“续期完成但外网仍能看到旧证书”是一个典型的部署链路问题。新证书的文件已经存在并不代表运行中的TLS终止点都已经读取它。排查时不要只比对证书文件名也不要先清浏览器缓存应先记录外部连接实际收到的证书指纹再逐层定位旧版本在哪一段链路上被返回。排查的核心对象是证书指纹同一域名可能有多份PEM文件、多张历史证书和多个入口。文件名往往会被覆盖或复用只有序列号和指纹能准确说明客户端拿到的是哪一张证书。先从公网记录新旧两张证书的SHA-256指纹、序列号和到期日再把同一组信息用于CDN、负载均衡和源站逐点比对。openssl s_client -connect example.com:443 -servername example.com /dev/null 2/dev/null | openssl x509 -noout -serial -fingerprint -sha256 -dates该命令中的-servername用于发送SNI。没有它多域名服务可能只返回默认证书导致结论错误。把访问链路画出来 再决定从哪里查一次HTTPS访问未必会到源站。常见链路是DNS解析到CDN边缘CDN回源到负载均衡负载均衡再转发给网关或应用服务器。任何一层终止TLS的地方都可能保存独立证书。位置如何判断是否终止TLS常见旧证书原因CDN边缘用户直接连接CDN域名或边缘IP新证书未关联域名区域部署未完成负载均衡HTTPS监听器配置了证书对象监听器或SNI规则仍引用旧版本API网关或WAF入口独立处理HTTPS请求控制台上传成功但没有发布配置反向代理或Web服务器Nginx、Apache等监听443端口文件替换后未reload或路径引用错误Ingress控制器Kubernetes入口引用SecretSecret更新后控制器或挂载未刷新四组比对可以快速缩小范围公网域名与源站IP域名返回旧、源站返回新优先检查CDN或负载均衡。同一服务的不同后端IP有的IP新、有的IP旧说明集群同步不一致。带SNI与不带SNI带SNI新、不带SNI旧多半是默认监听器证书不同。IPv4与IPv6A记录路径新、AAAA记录路径旧需要检查IPv6入口或对应的CDN配置。这四组结果比“网页能否打开”更有价值。网页内容相同并不代表TLS证书相同浏览器最终显示的是它所连接节点返回的证书。逐点检查时 容易被遗漏的细节一 负载均衡证书对象与监听器绑定是两件事不少云平台允许先上传证书再选择是否绑定到监听器。上传动作成功只说明证书对象在控制台中存在只有HTTPS监听器、域名规则或SNI规则引用了新对象访问入口才会更新。多证书场景应同时检查默认证书和每个域名规则。二 reload必须有可验证结果将新证书覆盖到磁盘后服务进程未必自动重载。部署脚本应记录配置校验、reload返回码和服务日志。之后再从该节点对外发起TLS连接并比对指纹不能只根据脚本执行结束就判断成功。三 CDN不是浏览器缓存问题的代名词浏览器缓存通常不决定TLS握手中服务器发出的证书。若不同网络、不同地域持续拿到旧证书更应关注CDN边缘的证书关联和部署状态。可以从外部网络分别执行证书指纹检查确认问题是否集中在某个区域。四 容器环境要看实际引用关系Secret更新并不总能保证所有Ingress和Pod立刻使用新内容。应确认运行中的Ingress引用的Secret名称、命名空间以及控制器的刷新状态。若存在多个集群或灾备环境也要检查它们是否由同一套自动化任务覆盖。把验证纳入续期任务自动化续期的闭环至少应包含申请新证书、分发到所有目标、绑定到入口、重载服务、外部探测和异常告警。缺少最后两步时团队只能知道“任务成功”却无法知道用户是否真的拿到了新证书。GlobalSign ACME服务可配合ACME客户端完成证书生命周期中的自动化签发和更新。企业在设计部署钩子时应明确CDN、负载均衡、网关、服务器和容器入口中哪些位置需要执行更新避免自动化只覆盖其中一台机器。结语旧证书问题并不神秘。先用指纹确认真实现象再沿着“公网入口、CDN、负载均衡、网关、服务器、容器”的顺序逐点比对通常就能定位是哪一层仍然引用了旧版本。真正的续期完成应该以所有预期路径返回新证书为标准。参考资料GlobalSign ACME产品资料https://globalsign.cn/resources/datasheets/ACME_Datasheet_Updated_06_20_2024_Final.pdfGlobalSign Atlas Discovery和证书管理https://www.globalsign.cn/atlas-discovery-certificate-management