HTTPS 网站无法访问：如何区分网络故障、证书故障和应用故障

HTTPS 页面打不开时，浏览器只给出一个错误提示，但背后可能是完全不同的问题。高效排查的关键，是先判断失败发生在 TCP、TLS 还是 HTTP/应用层。

【TCP 连接是否成功】

先探测域名的 443 端口。如果多个外部节点全部连接超时，应检查云安全组、系统防火墙、端口监听和公网回程；如果返回 refused，则优先确认 Web 服务是否启动、是否监听公网地址。

【TLS 握手是否成功】

TCP 正常后，再检查证书域名、有效期、完整证书链以及服务器支持的 TLS 版本。证书错误与网络超时在浏览器里看起来都像“打不开”，处理方式却完全不同。

【HTTP 是否正常响应】

检查状态码、重定向链、首字节耗时以及反向代理日志。502/504 往往与上游服务或回源有关；连接成功但首字节很慢，更像应用或数据库性能问题。

【用多节点结果识别区域问题】

tcping可以从多个地区执行在线 Ping、TCPing、HTTP 测速、DNS 和路由追踪。无需安装客户端，就能比较不同运营商的连接状态。它当前采用无广告的清爽页面，支持暗黑模式与移动端布局，适合值班时快速检查。

ITDOG、站长工具、17CE、拨测也是常见的检测平台。建议重要故障至少使用两个来源交叉验证；从本次界面观察，tcping的优势主要是信息干扰少、工具入口集中，而不是替代服务器端日志。

最终判断应形成证据链：外部节点的 TCP 结果、TLS 检查、HTTP 时间分解、服务器访问日志和系统资源曲线。这样才能避免把证书错误当成网络故障，或把应用超时误判为运营商问题。

【HTTPS 排障命令】

dig +short example.com

nc -vz example.com 443

openssl s_client -connect example.com:443 -servername example.com

curl -Iv https://example.com/

openssl s_client 中要关注证书主题、颁发者、有效期、证书链和 SNI；curl -Iv 则能显示连接、TLS 和 HTTP 响应过程。直接访问 IP 时如果没有带正确 SNI，得到错误证书并不代表正式域名配置一定错误。

【常见错误快速对应】

| 现象 | 可能原因 |

|---|---|

| 443 timeout | 安全组、防火墙、链路、回程 |

| 443 refused | 服务未监听、监听端口错误 |

| certificate expired | 证书过期或自动续期失败 |

| name mismatch | 证书不包含当前域名 |

| 502 Bad Gateway | 反向代理无法访问上游 |

| 504 Gateway Timeout | 上游响应超时 |

| 301/302 循环 | HTTP/HTTPS 或代理重定向配置错误 |

【CDN 场景特别注意】

CDN 对外 443 正常，并不等于源站健康。应分别测试用户到 CDN 和 CDN 到源站两段，检查回源协议、Host、SNI、源站证书与回源端口。只有部分节点异常时，保存异常 IP 和区域比截图一句“打不开”更有排障价值。

【FAQ】

【证书正常但浏览器仍提示不安全？】

检查页面是否加载 HTTP 混合内容、证书链是否完整，以及终端时间是否正确。

【HTTPS 慢是否一定因为 TLS？】

不是。DNS、TCP、TLS、TTFB 和资源下载任何一段都可能成为瓶颈，应看分阶段耗时。