Let’s Encrypt 的证书国内访问的问题

[loginv2]

申请了一个 Let ’ s Encrypt 的证书用在阿里云新加坡的 ECS 上

用公司办公网络访问发现 HTTPS 打不开 但是 HTTP 是好的。翻到外面 HTTPS 也好

一开始以为是证书问题，后来思考了一下。打开手机热点 共享给电脑 发现 HTTPS 也是好的

于是本机架了一个 DNS 然后远端走代理，把本机 DNS 设置成 127.0.0.1

正常了，WTF。

[yatesun]

要学会问问题，打不开是什么状况，有什么提示，证书有显示吗，证书是啥，有没有 HTTP 错误码

[chroming]

DNS 缓存还没完全更新吧

[sundayhk]

缓存问题吧

[roychan]

感觉不同的证书用起来确实有点差异，但是又说不出来具体是什么。记得多年以前是出现过所有 StartSSL 免费证书都被屏蔽的事件。

[eaglexiang]

不是缓存问题，因为服务器本身没有变动。单纯代理了 DNS 解析就解决问题了，大概是因为 DNS 劫持吧

[doubleflower]

你打不开自已的用了 let's encrypt 的 https 网站，那能打开不用这个的 https 网站吗？


我之前的网站也用了 let's encrypt，各地很多用户反映打不开（少数用户），我只能去掉强制 https。我没有深入调查是否是 let's encrypt 的原因。

[loginv2]

@yatesun 并不是问问题，仅仅吐槽而已，至于状态，没状态，根本没发出去请求，和断网一样，证书没出现

[loginv2]

@doubleflower 没有别的站，没法测试

[loginv2]

@sundayhk
@chroming 我清过缓存，感觉仅仅是 dns 劫持。

[loginv2]

@doubleflower 看错了，其他证书的 https 是正常的。

[Showfom]

你们办公室网络请求 CA 的时候有问题呗

[loginv2]

@Showfom 是的，我老家的网也这个问题。

[sundayhk]

@loginv2 也有可能是 dns 运营商的缓存。明天估计正常了。

[joshu]

是 TLS 协商时，客户端的 client hello 包发出去但是对端没收到，对应的，如果 client hello 阶段不带 SNI 字段则收发正常
坐标北京，运营商电信或电信通(校园出口)
对端阿里 HKB
这个问题时有时无，而且我连接过邻居 ip 的 443 端口，发现非 le 签发的证书同样存在这个问题，所以我觉得不是 le 的问题

[msg7086]

ocsp stapling 的问题？

[sangmingming]

我也是这个问题。http 正常，https 不正常。准备重新在国内备案了。在国内服务器 Let ’ s Encrypt 的证书，https 就是正常的。

[moult]

用 openssl 的 s_client 看看，哪一步出问题。

[Showfom]

@loginv2 试试其他证书吧 国内线路好的就 GlobalSign 了 因为他们用的百度云

[caola]

免费的还可以使用 TrustAsia 啊，因为很多国人在使用，可以到 freessl.org 免费申请。

[a2213108]

@Showfom 其实是 cloudflare 的 China Network