宝塔安装SSL后网站打不开，多半是端口没放行

浏览器转着圈，最后甩出一句“无法访问此网站”，地址栏前头那个小锁也消失了。装完证书本该是件高兴事，结果整站直接躺平，后台还能进、面板还能开，就前台一片白。先把结论撂在这儿：宝塔安装ssl这一步本身很少把站点弄坏，真正把门关上的是 443 端口没人放行——请求压根摸不到服务器，证书配得再漂亮也白搭。

宝塔安装ssl之后，先分清是端口不通还是证书不对

这俩毛病的表现差得挺远。端口不通时浏览器干脆利落：连接被拒绝、连接超时、无法访问此网站，页面根本不出来。证书不对就啰嗦，页面能开，顶上却飘一条“您的连接不是私密连接”，或者一串 ERR_CERT_ 开头的英文。见过不少人一看见打不开就去重装证书，删了装、装了删，折腾到后半夜，方向从第一步就是歪的。先花一分钟分清属于哪一类，比什么都要紧。顺带提一句 ERR_SSL_PROTOCOL_ERROR，它有时候不是证书坏了，而是 443 上蹲着的根本不是 https 服务，或者两边协议对不上——这种更该往端口和配置那边想。

一条命令看清 443 到底有没有人监听

登上服务器敲 ss -lntp | grep 443。有输出，说明 Nginx 确实在 443 上听着；干干净净什么都不打印，那就是没人监听，问题在站点配置而不是防火墙——去看站点配置里 listen 443 ssl 这句写没写全，nginx -t 有没有报错，改完 reload 了没有，别改完就当它生效了。

从外面看是另一条路。curl -Ikv https://你的域名，盯着输出卡在哪一步：停在 Trying 后面不动，或者立刻回 connection refused，那基本就是端口和防火墙层的账，跟证书关系不大。手边没 curl 的话，nc -zv 域名 443 或者 telnet 域名 443 也能凑合用，能连上会明确告诉你 succeeded。这两个视角一个是机器自己看自己，一个是外人看它，结论经常不一样，值得都跑一遍。

面板里点了放行，云上的安全组不一定认

有个特别常见的误解：在宝塔面板“安全”页面把 443 加进去，就当端口开好了。那层只是面板管的系统防火墙，机器外面还套着云厂商的安全组，那层不点头，里面放行多少次都是自己跟自己玩。登录云控制台，找到这台实例的安全组，看入方向有没有 443 的规则；规则加完有时候要等一小会儿才生效，具体以服务商控制台的说明为准。

本机那层也顺手确认。firewall-cmd –list-ports 看看端口列出来没有，ufw status 看看状态是不是 active；有些机器上还留着早年的 iptables 规则，或者装着云锁、安全狗一类防护软件，它们各自管一层，防火墙放行了它们在前面拦着，表现同样是连不上。这类东西装完就被忘掉，存在感极低，排查时值得扫一眼。

强制跳 https 这个开关，最容易补刀

宝塔站点设置里有个“强制 HTTPS”。开了以后 80 上的请求全被甩到 443，443 又不通，结果 http 也进不去，整站彻底打不开，看着像出了大事故，起因就是一个勾。排查阶段先把它关掉，用 http 打开确认站点本身还活着，活着再回头收拾 443。顺序颠倒过来，特别容易把小毛病误判成整站崩了。

证书链不完整、域名对不上，也会伪装成打不开

有些情况确实不是端口。证书少装中间证书，也就是证书链不完整，部分浏览器会直接拦下来；证书上的域名和实际访问的域名对不上，同样会报警告。这类页面一般还是能出来的，只是被拦了一层，和端口不通那种白屏加无法访问是两码事。混在一起谈，只会越查越乱。另外，服务器系统时间要是差得离谱，证书会被判成“还没生效”或者“已经过期”，浏览器缓存了旧的证书状态，也会让你误以为改配置没起效——换个无痕窗口、换台机器打开一次，几秒钟的事。

CDN 或者负载均衡夹在中间，就要多查一层

域名如果解析到 CDN，回源这一段得单独确认。CDN 上开了 https、回源走 http，源站不一定非要监听 443；反过来，源站只监听 443，回源却按 80 去连，用户端看到的就是 502。这层的端口规则在哪配，各家控制台不一样，别照着别人的截图硬套，以服务商页面上的说明为准。

顺序这块再啰嗦一句：先从外面探 443 通不通，再看云安全组和本机防火墙，接着确认 Nginx 有没有在 443 上监听，最后才轮到证书本身对不对。四步走完还是打不开，就把 nginx 的错误日志翻出来，时间点对上你最后一次改配置那一刻，答案基本就在里面。这类毛病看着吓人，真动手查起来往往一会儿就有结论，怕的是瞎猜——一会儿重装面板一会儿重装系统，把本来能用的东西先弄坏了，那才叫亏。