openssl s_client -showcerts 未显示所有证书

Question

负载平衡器上的服务器证书（public IP/CNAME）将于 5 月 31 日到期。我订购了一个新证书并上传到负载均衡器。我保留了旧证书，但没有从负载平衡器delete/remove

当我运行 showcerts 命令列出所有证书时，我没有看到最新的证书。仅显示 5 月 31 日到期的现有证书。

openssl s_client -showcerts -connect domainname:443

我查了下浏览器，那里也是一样。

如何验证证书是否已正确添加，以及如何在现有证书过期后获取新证书？

提前致谢

Answer 1

How do I verify that certificate are added properly and new certs will be picked up once the existing one expires?

事情不是这样的。一旦以前的证书过期，服务器将不会神奇地使用新证书。它只会使用明确配置的证书。

通常新旧证书之间会有一些重叠，因此可以将服务器配置为在新证书有效后立即使用它们（请参阅 X509 属性 NotBefore），即使旧证书也仍然有效。