本文适用版本:ESXi 9.0 GA(vCenter 7.0 U3 / 8.0 U2 接入)阅读时长:约 7 分钟难度:⭐⭐(SSH 进主机就能修,5 分钟搞定)一、问题来源上周有网友私信问:新装的 ESXi 9.0 主机,想加到现有的 vCenter 7.0 U3 里,点 Add Host 时 vCenter 报 Unable to verify the certificate,试了好几次都不行。我让他把报错截图发过来,看到 vCenter 提示证书链验证失败。这种问题在 ESXi 8.0 时偶尔出现,9.0 GA 之后就变成了几乎 100% 必踩的坑。我自己搭了 ESXi 9.0 测试环境复现了一遍,翻了不少官方文档和 KB,把整个排查和修复流程摸清楚了,写下来给同样踩坑的同学参考。二、问题原因ESXi 9.0 默认证书链比 8.0 长了一截——多了一个中间 CA,这个 CA 是 VMware 新引入的,目的是支持更严格的合规要求。ESXi 8.0 证书链: Root CA → VMCA → hostd ESXi 9.0 证书链: Root CA → New Intermediate CA → VMCA → hostd问题来了:vCenter 7.0 U3 的 VMCA 证书库里没有这个 New Intermediate CA,所以在证书链验证时报失败,vCenter 不允许把 host 加进来。vCenter 8.0 之后的版本 VMCA 已经预置了这个 Intermediate CA,所以 9.0 加 8.0 的 vCenter 是没问题的。但很多生产环境还在用 vCenter 7.0,这是踩坑的主要原因。三、复现环境我在家里测试机上完整复现了这个故障,环境如下:ESXi 9.0 GA(干净安装,无任何自定义)vCenter 7.0 U3o(模拟还在用老版本 vCenter 的场景)网络:同网段,443 端口互通复现步骤很短:1. vCenter → Hosts and Clusters → Add Host 2. 输入 ESXi 9.0 IP 3. 输入 root 账号密码 4. 弹出错误: A certificate verification failed 5. 即使勾选 Ignore certificate,依然报错 报错原文(从 vCenter log 里捞的): [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (depth: 2)depth: 2 这个线索很关键——意味着证书链验证在第 2 层(Intermediate CA)就卡住了,和官方文档说的一致。四、3 步定位SSH 进 ESXi 9.0,确认问题确实是证书链不兼容:# 第 1 步:看 hostd 当前证书 openssl x509 -in /etc/vmware/ssl/rui.crt -noout -text | head -20 # 看 Issuer 字段,9.0 会有一个 Intermediate CA 字段 # 第 2 步:看证书链文件 ls -lh /etc/vmware/ssl/ # 输出: # rui.crt ← hostd 证书 # rui.key ← hostd 私钥 # castore.pem ← 受信任的 CA 库 # 第 3 步:确认 hostd 是否在监听 esxcli network ip connection list | grep 443 # 如果没输出,说明 hostd 都没起来,问题不在证书对照表:openssl 输出结论解法Issuer 含 Intermediate CA9.0 默认证书链走方案 A 或 BIssuer 不含 Intermediate CA9.0 但证书链被改过走方案 A 重签证书读取报错证书文件损坏走方案 C 重建五、解法方案 A:重启 hostd 让它重新向 VMCA 注册(60% 有效)这是最轻的修复方式,不破坏现有配置:# SSH 进 ESXi 9.0 /etc/init.d/hostd restart # 等 30 秒 sleep 30 # 检查 hostd 是否起来 /etc/init.d/hostd status # 应该输出 hostd is Running # 验证证书是否更新 openssl x509 -in /etc/vmware/ssl/rui.crt -noout -dates # notAfter 日期应该更新到今天 1 年重启 hostd 后,ESXi 会向 vCenter 的 VMCA 重新申请证书,这次会用 vCenter 能识别的证书链。30 秒后再去 vCenter Add Host,一般就能成功了。踩坑提醒:hostd 重启期间,VM 不会中断(VM 由 vmkernel 管)SSH 会断开一次,需要重连如果还失败,继续走方案 B方案 B:在 vCenter 端删掉该主机记录后重新 Add(80% 有效)如果方案 A 失败,可能是 vCenter 里残留了旧主机的记录冲突:# 1. 在 vCenter 删除该 ESXi 旧记录 # Inventory → Hosts → 找到目标主机(可能在 Disconnected 列表) # 右键 → Remove from Inventory # 2. 在 ESXi 上清掉旧的 agent 信息 # SSH 进 ESXi rm -f /etc/vmware/vpxa/hostd-id # 这个文件会让 vCenter 误以为 ESXi 还在管理下 # 3. 重启 vpxa 服务 /etc/init.d/vpxa stop /etc/init.d/hostd restart sleep 30 /etc/init.d/vpxa start # 4. 在 vCenter 重新 Add Host # 这时 vCenter 会从零开始和 ESXi 建立证书信任方案 C:在 ESXi 强制重新生成证书(95% 有效,根治)前面两步都不行,用这个终极方案:# ⚠️ 会清掉所有自定义 SSL 配置(如果之前用过 VCAT 替换证书,跑前先备份) # 1. 备份现有证书(以防万一) mkdir /tmp/ssl_backup cp /etc/vmware/ssl/* /tmp/ssl_backup/ # 2. 强制重新生成证书 /sbin/generate-certificates.sh # 3. 重启 hostd 应用新证书 /etc/init.d/hostd restart sleep 30 # 4. 看新证书 openssl x509 -in /etc/vmware/ssl/rui.crt -noout -text | head -10 # Issuer 字段应该是 VMCA 颁发的证书 # 5. 在 vCenter Add Host # 这次应该不会报 SSL 错误了方案 D:升级 vCenter 到 8.0(绕开根本问题)如果你的 vCenter 7.0 已经是 U3 最后一版,可以直接升级到 vCenter 8.0 U2b:vCenter 8.0 U2b 起,VMCA 已经预置 ESXi 9.0 的 Intermediate CA升级后直接 Add ESXi 9.0,不会再报证书错误升级前记得备份 vCenter 的 postgres 数据库六、防患于未然1. vCenter 版本对 ESXi 9.0 的支持矩阵vCenter 版本能否管理 ESXi 9.0需要额外操作7.0 U3o✅ 可以(需走方案 A-C)重启 hostd 或重签证书8.0 U2a✅ 可以(需走方案 A-C)同上8.0 U2b✅ 直接管理无9.0✅ 直接管理无2. 加主机前的预检脚本# 在 ESXi 上跑,确认能正常发证书申请 openssl s_client -connect vcenter.your.domain:443 /dev/null 2/dev/null | openssl x509 -noout -dates # 看 notAfter 是否过期 # 不应该过期3. 集群加入新主机时,统一重启 hostd加新 ESXi 到集群时,先批量重启 hostd 一次,确保所有主机证书对齐。# 批量重启(在 vCenter 里操作) Get-VMHost esxi-prod-0* | %{ $esxcli Get-EsxCli -VMHost $_ $esxcli.system.hostd.restart.Invoke() Start-Sleep -Seconds 30 Write-Host $($_.Name) hostd 已重启 }七、速查命令卡(可收藏转发)# 1. 看 hostd 状态 /etc/init.d/hostd status # 2. 重启 hostd(60% 有效) /etc/init.d/hostd restart # 3. 重新生成证书(95% 有效) /sbin/generate-certificates.sh /etc/init.d/hostd restart # 4. 看当前证书详情 openssl x509 -in /etc/vmware/ssl/rui.crt -noout -text | head -10 # 5. vCenter 端重连 # vSphere Client → 右键主机 → Connection → Reset # 6. ESXi 端清 vCenter 残留记录 rm -f /etc/vmware/vpxa/hostd-id /etc/init.d/vpxa stop /etc/init.d/hostd restart sleep 30 /etc/init.d/vpxa start # 7. 加主机失败后看 vCenter log # /var/log/vmware/vpxd/vpxd.log # 搜 certificate 字段
