Python后端部署排障10：端口能连，为什么HTTPS仍然拒绝连接-平芜编程栈

Python后端部署排障10：端口能连，为什么HTTPS仍然拒绝连接

一次curl失败可能发生在HTTP之前。TCP握手成功只能说明网络可达，TLS还要协商加密参数、验证对方身份并建立可信连接。很多初学者遇到证书错误就加-k，得到200后认为问题解决，实际上绕过了本来要验证的身份条件。本课建立独立实验CA，分别证明正确连接、主机名错误和缺少信任根三种情况。

E09答案：代理恢复之后再谈TLS

上一课的错误上游实验由labctl集中管理，故障容器和配置恢复也在同一处记录。答案不复制一套任意修改Nginx的逻辑，而是调用真实演练入口，再独立请求ready确认恢复。完整故障与恢复信息随JSON输出，不依靠截图上一个模糊的绿色图标判断。

`lessons/10/answer_previous.py`

"""E09: reproduce an invalid upstream and prove recovery through the real edge."""importjsonimportsubprocessimportsysfrompathlibimportPathfromurllib.requestimportProxyHandler,build_opener ROOT=Path(__file__).resolve().parents[2]deflab(*args):result=subprocess.run([sys.executable,"ops/labctl.py",*args],cwd=ROOT,capture_output=True,text=True,timeout=60,check=True,)returnjson.loads(result.stdout)defmain():state=lab("status")report=lab("drill","nginx-502")assertreport["status"]=="PASS",reportassertreport["evidence"]["observed_status"]==502,reportwithbuild_opener(ProxyHandler({})).open(state["http_url"]+"/ready",timeout=5)asresponse:assertresponse.status==200assertjson.load(response)["status"]=="ready"print(json.dumps({"status":"PASS","fault_and_recovery":report},indent=2))if__name__=="__main__":main()

执行python3 lessons/10/answer_previous.py之前，实验环境应已启动。若HTTP入口尚未恢复，先解决代理问题，不要同时改证书、上游和端口；一次改变多个层次会让成功后也说不清真正原因。分层排查的价值就在于每次只用足够的证据缩小范围。

证书、私钥和CA各自承担什么

服务器证书是一份带签名的身份声明，其中包含公钥、有效期、用途和域名。私钥用于证明服务器持有与公钥配对的秘密，不能因为“只是测试证书”就跟着文章或ZIP公开。CA用自己的签名让客户端能够验证服务器证书来源；客户端信任的是CA证书所代表的根，而不是任何声称由某CA签发的文本。

本实验生成专用CA与叶证书，只在单次运行内使用。CA有效期七天，服务器证书两天，便于明确它们不是长期生产材料。服务器证书包含subjectAltName=DNS:quoteops.test和serverAuth用途。现代客户端检查域名应依赖SAN，不能仅靠证书主题里的CN“看着差不多”。通配符、多个SAN和IP地址SAN各有规则，本课只用一个精确DNS名称降低变量数量。

`deploy/make_tls.py`

"""Generate an isolated lab CA and SAN leaf certificate with host OpenSSL."""importargparseimportosimportshutilimportsubprocessfrompathlibimportPathdefgenerate(output:Path)->None:ifos.name!="posix":raiseSystemExit("Generate lab TLS on Linux so private-key modes are enforced")ifshutil.which("openssl")isNone:raiseSystemExit("Host openssl is required")output=output.resolve()output.mkdir(parents=True,exist_ok=True,mode=0o700)ifany(output.iterdir()):raiseSystemExit(f"Refusing to overwrite nonempty TLS directory:{output}")output.chmod(0o700)old_umask=os.umask(0o077)try:extensions=output/"server.ext"extensions.write_text("basicConstraints=critical,CA:FALSE\n""keyUsage=critical,digitalSignature,keyEncipherment\n""extendedKeyUsage=serverAuth\n""subjectAltName=DNS:quoteops.test\n",encoding="ascii",)commands=[["req","-x509","-newkey","rsa:2048","-nodes","-sha256","-days","7","-keyout","ca.key","-out","ca.crt","-subj","/CN=QuoteOps Lab CA","-addext","basicConstraints=critical,CA:TRUE","-addext","keyUsage=critical,keyCertSign,cRLSign",],["req","-new","-newkey","rsa:2048","-nodes","-sha256","-keyout","server.key","-out","server.csr","-subj","/CN=quoteops.test",],["x509","-req","-in","server.csr","-CA","ca.crt","-CAkey","ca.key","-CAcreateserial","-out","server.crt","-days","2","-sha256","-extfile","server.ext",],["verify","-CAfile","ca.crt","-verify_hostname","quoteops.test","server.crt",],]forcommandincommands:result=subprocess.run(["openssl",*command],cwd=output,text=True,capture_output=True)ifresult.returncode:raiseRuntimeError(f"openssl failed:{result.stderr.strip()}")fornamein("ca.crt","server.crt"):(output/name).chmod(0o644)(output/"server.key").chmod(0o600)# The runtime has no CA signing key; a new experiment generates a new CA.fornamein("ca.key","ca.srl","server.csr","server.ext"):(output/name).unlink(missing_ok=True)finally:os.umask(old_umask)print(f"TLS files ready:{output}")defmain()->None:parser=argparse.ArgumentParser(description=__doc__)parser.add_argument("--output",required=True,type=Path)generate(parser.parse_args().output)if__name__=="__main__":main()

脚本以参数数组调用宿主OpenSSL，不拼接shell命令，也不要求Python第三方加密库。它拒绝覆盖非空目录，先用严格umask创建密钥，再把公开证书设为644、服务器私钥设为600。签发完成后删除CA私钥、序列文件和中间CSR，只保留运行所需的三份文件。这意味着该实验CA之后不能继续签发新叶证书；重新实验会生成新CA，客户端也要换用相应的公开根。

运行目录本身为700，Nginx root master负责读取证书和私钥，worker降权为nginx处理请求。这个安排与应用进程UID10001无关，不需要把私钥改成所有用户可读。容器挂载只读，应用镜像也不包含证书。是否只读控制修改能力，文件权限控制读取能力，两者需要同时理解。

DNS、连接地址、SNI和验证名称不能混在一起

浏览器请求https://quoteops.test:端口时，通常先解析域名，再连接得到的地址，TLS握手携带SNI告诉服务器请求哪个站点，客户端同时按URL里的主机名检查证书。实验不修改宿主hosts和公共DNS，而用curl的--resolve临时指定这一次请求的地址映射。这样URL仍然是quoteops.test，SNI和主机名校验仍然使用正确域名，连接却落到127.0.0.1的实验端口。

直接请求https://127.0.0.1:端口再手工加一个Host头并不等价。Host头属于TLS建立后的HTTP消息，不能替代握手时的SNI和证书名称验证。我们的SAN没有127.0.0.1这个IP地址，客户端理应拒绝这种身份不匹配。若为了让它通过而关闭验证，就失去了实验需要证明的安全属性。

下面脚本从状态文件读取真实端口与CA位置，避免读者把上一次的随机端口复制进本次实验。它只执行正确连接这一种情况，完整三向答案留到下一课。

importjsonimportsubprocessimportsysfromurllib.parseimporturlsplit state=json.loads(subprocess.check_output([sys.executable,"ops/labctl.py","status"],text=True,timeout=60))port=urlsplit(state["https_url"]).port subprocess.run(["curl","--noproxy","*","--fail","--show-error","--connect-timeout","2","--max-time","5","--resolve",f"quoteops.test:{port}:127.0.0.1","--cacert",state["ca_file"],f"https://quoteops.test:{port}/ready",],check=True,timeout=10)

--noproxy '*'避免机器上已有代理变量把个人实验请求送去别处。--cacert仅为这一条curl进程提供根证书，不修改全系统信任仓库。正确调用应完成证书验证并得到ready响应，退出码为0。注意成功证据有两个部分：TLS校验通过，以及之后的HTTP业务检查通过；只有其中一个还不能说明整条请求链路可用。

同一个错误码，也可能有不同原因

curl常用退出码60表示证书验证失败的类别，主机名不匹配和不受信任的CA都可能归在这里。因此不能只把“60”记成一个固定故障，应保留stderr说明，并检查证书SAN、颁发者、有效期以及使用的CA路径。服务器可能返回了别的站点证书，客户端也可能用了上一轮实验留下的CA文件，它们都需要不同修复。

过期是另一种时间条件。客户端验证时看当前时钟是否在证书有效区间，宿主时间明显错误也可能表现成“尚未生效”或“已过期”。本课不调整宿主时钟来造故障，避免影响其他服务。需要检查时用OpenSSL读取notBefore和notAfter，再对照UTC时间。续期要替换正确的证书和私钥、测试配置、reload并重新校验，不能只更新文件名。

对不受信任的本地CA，正确操作是让当前客户端显式信任本次公开CA证书；对主机名不匹配，正确操作是使用证书覆盖的域名或重新签发包含正确SAN的证书。两者都不需要关闭验证。证书链问题还可能来自中间证书缺失，在公网部署中应根据服务端发送链和客户端信任根逐段核对；本实验的根直接签发叶证书，链条更短。

TLS终止后的边界仍然存在

本课TLS在edge终止，edge到应用使用同一受控Docker网络中的HTTP。这是教学部署的边界，不能由“浏览器出现锁图标”推导出内部每一跳都加密。若业务要求跨主机加密、双向认证或更严格隔离，需要单独设计内部传输和证书生命周期。公网证书签发、自动续期、域名控制权和密钥管理也都超出这个两天有效期的实验流程。

SSH隧道只改变如何到达服务器回环端口，不改变客户端应该检查的域名。隧道另一端仍应使用URL中的quoteops.test与显式CA，必要时让--resolve指向隧道本地监听地址。把隧道连通与TLS验证分开验收，才能识别究竟是SSH转发错误、端口错误还是证书错误。

读取证书时应该看哪几项

OpenSSL的证书查看功能不需要私钥，就能显示主题、签发者、序列号、有效期和扩展。首先确认文件真的是服务器正在使用的那一份，再检查SAN是否覆盖URL主机名，extendedKeyUsage是否允许服务端认证，最后核对签发者与客户端信任根。证书文件在磁盘上更新了但master未reload时，客户端可能仍看到内存里的旧材料，因此从真实入口观察证书也很有必要。

私钥与证书不匹配通常会使Nginx配置测试或加载失败，与客户端不信任CA处在不同位置。前者应检查成对材料和文件读取权限，后者应检查客户端信任来源；把server.key权限放宽不会修复客户端的信任链。密钥损坏、证书过期、域名不匹配也不应该共享一个“重签试试”的盲目操作，各自有可以先读取的证据。

浏览器与curl可能使用不同的信任仓库或代理设置，一个通过不保证另一个必然通过。课程用curl显式指定CA和地址映射，目的就是减少这些环境差异。若后来需要浏览器体验，应单独记录如何信任实验根以及如何撤销，不能把个人实验CA安装到整台共享服务器的系统仓库来让脚本方便通过。

证书续期验证也应保持原来的成功与失败对照：正确主机名通过，错误主机名继续失败，未知CA继续失败。只确认新证书日期变长却没有验证错误身份会被拒绝，无法证明校验仍然启用。这样的负向检查同样适用于后面的坏候选发布：系统在不满足条件时拒绝操作，是合同的一部分。

最后，演练报告可以保存公开证书的指纹、有效期和错误摘要，但不应保存私钥文本。即使server.key只有两天有效，也应跟随本次runtime清理，ZIP只交付生成脚本和公开验证证据。可复现意味着读者能生成自己的实验材料，而不是所有读者共用同一份秘密。

E10：做三次请求，而不是加一个开关

第一次使用正确域名、本次CA和正确端口，要求退出0且ready成功。第二次仍信任CA，但把URL主机名换成wrong.quoteops.test，同时用resolve连接同一入口，要求名称校验失败。第三次恢复正确主机名，去掉专用CA，要求信任校验失败。保留每次退出码与错误摘要，任何一条命令都不能包含-k或--insecure。

下一课提供完整答案，并把健康检查放回进程生命周期里：证书和代理都成功之后，为什么/health是200而/ready仍然可能是503。

参考：curl手册、curl证书验证、OpenSSL req、OpenSSL verify、Nginx HTTPS配置。

课程目录：《Linux、网络与后端部署排障：从“接口能跑”走到“服务能维护”》 · 上一篇：第09篇 · 下一篇：第11篇