SSL on KnightLiブログ

Windows で llama-cli から Hugging Face に直接アクセスすると SSL 証明書検証に失敗する場合の対処

Fri, 17 Apr 2026 14:20:29 +0800

Windows で次のコマンドを実行したとします。

`1`	`llama-cli -hf unsloth/gemma-4-E4B-it-GGUF`

そして、次のようなエラーが表示される場合があります。

1
2

get_repo_commit: error: HTTPLIB failed: SSL server verification failed
error: failed to download model from Hugging Face

この場合、問題は CUDA や llama.cpp 本体ではないことが多いです。多くの場合、現在の環境でプログラムがシステムの証明書チェーンを正しく参照できず、HTTPS の検証に失敗しています。

ログを見ると、ggml-rpc.dll と ggml-cpu-alderlake.dll は正常に読み込まれています。つまり、実行環境自体はおおむね利用可能で、問題は主にモデルのダウンロード段階にあります。

とにかく早く動かしたい場合は、ローカルに手動でダウンロードする方法がもっとも安定しています。

`1`	`llama-cli -m C:\Users\knightli\Downloads\gemma-4-e4b-it.gguf`

この方法なら、-hf のダウンロード段階で発生する SSL 検証問題を回避できます。まずモデルが正常に推論できるか確認したい場合に向いています。

証明書ファイルのパスを手動で指定し、現在のセッションで利用できる CA 証明書をプログラムに見つけさせます。

cacert.pem は curl 公式が管理している CA Extract ページから取得できます。

ブラウザでダウンロードする場合は、上の直接ダウンロード URL を開いて cacert.pem として保存します。PowerShell で固定ディレクトリにダウンロードすることもできます。

1
2

New-Item -ItemType Directory -Force C:\certs
Invoke-WebRequest -Uri https://curl.se/ca/cacert.pem -OutFile C:\certs\cacert.pem

ダウンロード後、コマンドラインで次のように設定します。

1
2

set SSL_CERT_FILE=C:\certs\cacert.pem
set CURL_CA_BUNDLE=C:\certs\cacert.pem

その後、元のコマンドをもう一度実行します。

`1`	`llama-cli -hf unsloth/gemma-4-E4B-it-GGUF`

問題の原因が証明書チェーンにある場合、この方法で解決できることが多いです。

Thu, 02 Apr 2026 00:00:00 +0000

Let’s Encrypt 証明書の有効期限は 90 日間のみです。オンラインサイトでは、証明書の有効期限切れによる HTTPS エラーを回避するために自動更新を構成する必要があります。

更新タスクを自分で明示的に管理したい場合は、root ユーザーとして追加します。

`1`	`sudo crontab -e`

次の行を追加します (毎日午前 3 時に 1 回実行)。

`1`	`0 3 * * * certbot renew --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx" >> /tmp/certbot-renew.log 2>&1`

このコマンドの意味は次のとおりです。

スケジュールされたタスクを追加した後、まずプロセスが利用可能かどうかを手動で確認します。

`1`	`sudo certbot renew --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx" --dry-run`

シミュレーションが正常に更新されたことを確認した後、長期実行のためにスケジュールされたタスクに渡されます。

webroot または nginx プラグインを使用している場合、多くのシナリオで Nginx を停止する必要はありません。代わりに、更新後に構成をリロードすることもできます。

`1`	`certbot renew --deploy-hook "systemctl reload nginx"`

certbot renew は、証明書の有効期限が近づいた場合にのみ実際の更新を実行するため、1 日に 1 回実行するのが通常の一般的な方法です。
長期的な運用とメンテナンスを容易にするために、ログディレクトリを長期的に追跡可能な場所 (/var/log/letsencrypt/ など) に変更することをお勧めします。