HTTPS 提示证书尚未生效或已经过期，先看服务器时钟是否正确。时间落后或超前太多，都可能让本来有效的证书被判定为不可用。

先分清是显示时区不对，还是系统时钟本身不准。只把时区改成上海，不能修正一个差了几天甚至几年的时钟。

先看系统到底差在哪里

date
date -u
timedatectl status

date 显示本地时间，date -u 显示 UTC，timedatectl 汇总时区、时钟和同步状态。

如果 UTC 对得上可信时间，只是本地显示少了 8 小时，一般应调整时区；如果 UTC 也不对，就需要同步系统时间。

以中国大陆常用时区为例，按 root 执行：

timedatectl set-timezone Asia/Shanghai

改完再运行 date 和 date -u。时区只影响时间如何显示，不应拿它补偿真正的时钟偏差。

用 chrony 持续同步时间

CentOS 7 可以使用 chrony。先确认是否已经安装以及是否有其他时间服务：

rpm -q chrony
systemctl status chronyd
systemctl status ntpd

没有安装时，在软件源可用的前提下执行：

yum install chrony

不要让 ntpd 和 chronyd 同时调校系统时间。选择 chrony 前，应确认现有服务用途，在维护安排下停用冲突服务。

编辑 /etc/chrony.conf，使用网络中批准的 NTP 服务器。比如，假设内网时间服务器确实位于 192.168.50.10：

server 192.168.50.10 iburst

这是示例地址，必须替换。先核对文件里已有的 server、pool 或 include 配置，按本机 chrony 版本支持的语法整理有效时间源，不能随便保留一批不可达条目。

确认配置后启动并设置开机运行：

systemctl enable chronyd
systemctl restart chronyd
chronyc sources -v
chronyc tracking

配置变更后重启服务即可，不必重启整台服务器。

看到服务 active，还不算同步成功

systemctl 只能说明进程在运行。chronyc sources -v 中，常见的 ^* 标记表示当前选中的服务器时间源；大量 ? 一般意味着不可用或暂未取得足够数据，应继续检查。

同时看 chronyc tracking 的参考源、偏差和同步状态。刚启动后需要等待采样，不要运行一次没看到选中源，就立刻反复换配置。

普通 NTP 客户端需要能访问时间服务器的 UDP 123，并允许响应流量。它不需要因为“要对时”就向所有来源开放本机 NTP 服务。内网防火墙和云网络限制也需要核对。

时间差太大，怎么处理？

如果已经获得可信时间源，但偏差过大需要立即校正，可在维护窗口评估：

chronyc makestep

这可能让系统时间发生跳变，影响数据库、任务调度、日志顺序和身份认证。生产机先停妥相关业务或按应用要求操作，不要为了修一个下载错误就随时跳时钟。

如果错误时间已经让软件包下载无法完成，可以先在控制台参照可信时钟校正到大致正确的时间，再安装并配置 chrony。手工校时也有跳变影响；不要把教程里的固定日期当成今天的时间输入。

时间对了，证书仍然报错怎么办？

继续核对访问目标、证书有效期、完整证书链和本机 CA 证书包。旧 CentOS 7 的信任库、TLS 能力或企业网络中的证书部署，也可能导致失败。

证书校验失败不能统一靠 curl -k 或 sslverify=0 解决。它们绕过验证，并没有修好时间或信任链。

在实验机重启或服务器维护重启后，再确认时区与 chronyd 自动运行、时间源能够选中。若每次启动都回到错误年份，应继续检查硬件时钟和虚拟化平台的时间设置。