问腾讯云 SSL 证书部署到 CLB 后浏览器仍提示证书不受信任，如何排查？

场景：在腾讯云 SSL 证书服务申请了一张 DV 单域名证书，状态已显示"已签发"，并部署到负载均衡 CLB 的 HTTPS:443 监听器，后端为两台 CVM 上的 Nginx（HTTP 80 转发）。 环境：CLB 公网型，监听器协议 HTTPS，单向认证，域名已解析到 CLB 的 VIP。 现象： 1. Chrome 访问提示"您的连接不是私密连接"，证书详情里显示颁发给的域名正确，但部分用户反馈提示证书链不完整。 2. 用 openssl s_client -connect 域名:443 查看，只返回了一张叶子证书，没有中间证书。 3. 部分安卓旧机型访问时直接握手失败。 已尝试： 1. 在控制台重新选择证书并保存监听器，现象不变。 2. 确认证书未过期，域名与证书绑定域名一致。 想请教： 1. CLB 上部署证书时，中间证书链是否需要自己手动合并上传？控制台下载的哪个文件才是完整链？ 2. 旧安卓机型握手失败，是否与 TLS 版本或加密套件策略有关，CLB 应选哪个安全策略？ 3. 有没有推荐的排查顺序和验证工具？