Не понятно доступен сайт или нет

Ответ лежит на поверхности.

Да я понимаю что нужно какой-то сертифкиат поставить, только не могу понять чей. Сайта к которому хочу подключиться? промежуточной? корневой? Я вообще в этом плане слабо разбираюсь

openssl s_client -connect и изучай портянку в обоих случаях

google wget ignore certificate

Корневой

Устанавливать в систему другие будет ошибкой, но в принципе работает

Игнорировать сертификат дело хорошее, но дело в том, что не только wget`у нужен доступ к сайту и там уже такое не прописать. Поэтому хотелось бы решить проблему в корне, на центосе же работает и без этого

Вам доступ к каким-то сайтам с сервера на Astra или к сайтам на хостящимся на этом сервере?

Убедись, что

1. нужный тебе корень установлен
2. сервер отдает всю цепочку (иногда по ошибке ставят только сертификат сервера, забывая, что нужы все)

Теотерически, ещё могли к wget’у прикрутить паранойю (только sha256 и новее, обязателно поле SAN и т.д.), но это менее вероятно

Теоретически, там может быть бородатая версия астры с истёкшими сертификатами, о которых она пока не знает, что они истекли )

С таким вариантом не сталкивался, т.к. сертификаты корневых УЦ обычно выпускают лет на 10, и мейнтейнеру надо быть совсем уж слоупоком

Зато пару раз видел, что у CA появился новый корень, а в старых дистрибутивах его нет

К определенным сайтам в интернете

1. Тут куча сертификатов =) Ставили до меня. И сайт по https работает. Вроде корневой есть.
2. Если посмотреть сертификат который по https показывается, то там до полного доменного пути сайта идёт

Ну тогда у тебя «вроде» все ок, проверяй.

Что ты от нас хочешь? Тебе говорят делать X, ты не делаешь, а пишешь в ответ короткие сочинения на тему. Сделай X.

Есть корневой. Тот, в пути которого прописан наш центр сертификации и всё

Ничего не понял, где и что ты проверяшь

На компе, с которого ты запускаешь wget или curl, должен быть установлен корневой сертификат

Корневой сертификат того УЦ, который выпустил сертификат сервера, к которому ты пробуешь подключиться

man s_client
echo | openssl s_client -showcerts -connect SITE:PORT | less

Для начала смотри, какие предупреждения покажет сам s_client. А он скорее всего покажет

Если нет или ты их не замечаешь, сохраняй эти сертификаты в файл и смотри через openssl x509 (man x509. ну или google openssl show certificate)

Разбирись, как идёт цепочка сертификатов (какой чем подписан). Увидишь, кто из них корневой

Потом тебе нужно убедиться, что сертификат именно этого root CA установлен на компе (с которого ты запускаешь wget и curl)

Сверяй серийник или fingerprint, не важно

Потому что 99% сейчас у тебя он не установлен