TLS handshake fails

Síntomas

agent: x509: certificate signed by unknown authority

Causas

1. La CA no es de confianza — el agente no conoce nuestro CA bundle
2. System time skew — el cert es válido de X a Y, pero el reloj del agente está fuera de rango
3. SNI mismatch — el cert se emitió para one.example.com, el agente se conecta a another.example.com

Soluciones

1. unimoni-agent --ca-bundle /etc/ssl/unimoni-ca.crt
2. sudo systemctl restart systemd-timesyncd + comprobación timedatectl status
3. Usa el hostname del SAN del cert (openssl s_client -connect host:8443 | openssl x509 -noout -text)