Nginx 场景：只有 .crt 证书文件，能生成对应私钥吗？

答案：不能——证书是 CA 对 CSR（内含公钥）的签名产物，私钥只存在于你申请证书那一刻生成它的机器上；能从证书算出私钥，HTTPS 的信任体系就垮了。Nginx 启动 TLS 必须同时具备证书与配对私钥**，缺私钥只能：找到它，或重新签发。**

找回私钥的常见位置

ls /etc/ssl/private/                          # Debian/Ubuntu 惯例
ls /etc/pki/tls/private/                      # RHEL/CentOS 惯例
sudo find / -name "*.key" 2>/dev/null         # 全盘搜
sudo find / -name "privkey.pem" 2>/dev/null   # Let's Encrypt 风格

别忘了：申请证书的那台机器、当时的 shell 历史（history | grep openssl 可能暴露生成路径）、备份归档。

验证私钥与证书配对

openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa  -noout -modulus -in server.key | openssl md5
# 两者输出一致 → 配对成功

找不到就重签

openssl req -new -newkey rsa:2048 -nodes \
  -keyout server.key -out server.csr -subj "/CN=example.com"
# server.csr 提交 CA 重签；Let's Encrypt 直接重新跑 certbot
certbot --nginx -d example.com

Nginx 配置与校验

server {
    listen 443 ssl;
    ssl_certificate     /etc/nginx/ssl/server.crt;   # 建议用 fullchain（含中间证书）
    ssl_certificate_key /etc/nginx/ssl/server.key;   # 权限 600，属主 root
}

sudo nginx -t && sudo systemctl reload nginx

nginx -t 会直接告诉你 key 与证书不配对（key values mismatch）。

观测云对照

证书链完整性纳入巡检。 观测云拨测对 HTTPS 端点持续检查证书有效期、链完整性；缺中间证书、密钥不匹配导致的握手失败在用户报障前告警。

常见问题（FAQ）

Q：fullchain.pem 和 cert.crt 有什么区别？
A：fullchain = 服务器证书 + 中间证书链。用只有站点证书的 crt 可能导致部分客户端（尤其 Android 老版本）报不受信，优先用 fullchain。

Q：pfx/p12 里能拆出私钥吗？
A：能：openssl pkcs12 -in cert.pfx -nocerts -nodes -out server.key。

Q：私钥丢了旧证书还能用吗？
A：在任何还存有配对私钥的机器上旧证书照常可用；都没有就等同作废，重签后建议吊销旧证。