vCenter 报 no healthy upstream / 503：先查证书，不要急着重启

vCenter 登录页出现 no healthy upstream 或 503 Service Unavailable，很多人第一反应是重启 VCSA。我一般不建议一上来就这么做。

这个报错通常说明反向代理后面的服务没有正常响应。常见原因包括证书过期、STS 问题、vpxd/vpxd-svcs 起不来、磁盘满、DNS/NTP 异常。Broadcom KB 344201 也把证书过期列为这个现象的重要原因之一。

先看现象

• vSphere Client 显示 no healthy upstream。
• 页面返回 503 Service Unavailable。
• 登录一直转圈。
• VAMI 出现证书校验失败。
• 重启后多个 vCenter 服务起不来。

先保留回滚点

如果是生产 vCenter，先确认 VAMI file-based backup。需要快照的话，尽量在关机状态从 ESXi 主机侧做，并注意 Enhanced Linked Mode 或 VCHA 场景。

检查证书过期

for store in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list | grep -v TRUSTED_ROOT_CRLS); do
  echo "[*] Store: $store"
  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store "$store" --text | grep -ie "Alias" -ie "Not After"
done

不要只看浏览器证书。STS、Machine SSL、Solution User 证书都可能影响服务启动。

再看服务状态

service-control --status --all

如果多个服务同时失败，优先找共同原因：证书、时间、DNS、磁盘空间，而不是反复 restart all。

参考

参考 Broadcom KB Article ID 344201：Error no healthy upstream or 503 Service Unavailable when accessing vCenter Server。