证书链在Firefox中不可见

Question

我们已在负载均衡器上安装了证书链。当我们以chrome访问网站时，我们不会遇到任何问题，链条也可见。

但是，在某些版本的Firefox中，证书链没有显示，因此我们得到“连接是不可信的错误”。

导致这种情况的原因是，我们已经清除了缓存。但是证书没有随链一起显示。

Answer 1

如果链未由服务器（或在此情况下为负载均衡器）发送（完全），则通常会出现这种情况。 Chrome不会自己查找这个缺失的链证书。但Firefox会将早期连接的中间证书缓存到其他站点，因此如果之前访问过正确的站点，则Firefox已知缺少的证书，并将用于完成信任链。但是，如果您使用新的Firefox配置文件，则不会缓存任何证书，因此您会收到验证错误。

浏览器不是检查服务器实际发送内容的好工具。一个更好的工具是openssl s_client。如果该站点是公共可访问的，您也可以针对SSLabs进行检查，这也会显示服务器发送的链是否不完整以及链中缺少哪些证书。