SSL证书不匹配本质是流量切换导致请求路由到未正确配置证书的后端节点，需从请求真实目标、证书域名一致性、证书链完整性三层排查。
流量切换时出现SSL证书不匹配，本质是客户端请求被路由到一个未正确配置或配置了不同证书的后端节点。这不是单纯的证书错误，而是服务拓扑与证书部署不一致导致的信任链断裂。排查需从“请求实际落到哪台机器、那台机器配了什么证书、浏览器是否信任该证书”三层切入。
确认当前请求的真实目标IP和端口
流量切换常经过多层（DNS → CDN → LB → 应用集群），不能只看域名。必须定位真实响应方：
- 用 curl -v https://your-domain.com 查看详细握手日志，重点关注 * Connected to x.x.x.x 和 * SSL certificate verify ok 或失败提示
- 配合 dig +short your-domain.com 和 nslookup -type=A your-domain.com 确认DNS解析结果是否符合预期
- 若使用CDN或四层LB，开启其访问日志或实时监控，确认请求是否被误导向灰度/测试环境或旧集群
检查目标服务器上的证书内容与域名一致性
连接到上一步确认的真实IP，直接抓取其返回的证书并验证：
- 执行 openssl s_client -connect x.x.x.x:443 -servername your-domain.com 2>/dev/null | openssl x509 -text -noout
- 重点核对输出中的 Subject: CN=... 和 X509v3 Subject Alternative Name: 是否包含你正在访问的完整域名（如 www.example.com 和 example.com 需同时存在，否则会不匹配）
- 注意：-servername 参数必须带上，否则可能拿到默认server块的证书（尤其在Nginx多server共用IP时）
验证证书链完整性与信任路径
即使域名对得上，中间证书缺失也会表现为“证书不受信任”，在流量切换场景中容易被误判为不匹配：
- 用 openssl s_client -connect x.x.x.x:443 -servername your-domain.com -showcerts 2>/dev/null 查看完整返回的证书列表
- 正常应有2–3段 PEM 编码证书：服务器证书、中间证书（1个或多个）、根证书（通常不传）；若只返回1段，说明链不完整
- 将全部返回的证书保存为 fullchain.pem，再用 openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt fullchain.pem 检查是否可被系统信任
排除客户端缓存与会话复用干扰
流量刚切换时，部分用户仍看到旧证书，很可能是连接复用或缓存所致，而非配置错误：
- 用不同设备、无痕窗口、甚至手机蜂窝网络访问，避开本地DNS和TLS会话缓存
- 临时在目标服务器Nginx配置中加入 ssl_session_cache off; 并重载，强制新连接重新协商证书（仅用于验证，勿长期关闭）
- 检查是否启用了HTTP/2或长连接保活（keepalive_timeout），这些会延长旧证书服务时间
