换好证书之后，再从公网看一次

证书文件可能已经替换，但旧进程、另一层代理或错误的虚拟主机仍然提供旧证书。磁盘检查与公网握手检查对应不同层次，缺一项都可能漏掉问题。

磁盘上的证书更新不等于进程已经使用新证书，必须从外部核对。

实际怎么检查

配置片段不是完整配置文件，应放入正确的上下文，并按实际环境调整路径与端口。

openssl x509 -in fullchain.pem -noout -subject -dates

比较本地证书与公网握手拿到的证书指纹。

遇到异常再检查什么

带正确 SNI 连接目标域名，核对指纹、有效期和证书链。再确认自动续期后有安装证书与重载步骤，续期成功日志本身不能证明线上生效。

证书到期监控应针对公网正在提供的证书。续期工具自己的状态可以作为补充，却不能代替外部探测。这样即使安装路径写错，也能在真正到期前发现问题。

SNI 域名不同可能选中另一张证书，验证时应明确目标主机名。

参考：Nginx 文档。