配置mtls需服务端加载ca根证书（ca.crt）并启用客户端证书验证，客户端须提供该ca签发的有效证书；nginx用ssl_client_certificate与ssl_verify_client on，kubernetes通过secret挂载ca.crt。（149字符）
要配置客户端证书双向认证（mTLS），需在服务端挂载 CA 根证书用于验证客户端证书签名，并要求客户端提供有效证书。关键不在“挂载 client_certificate”，而在于服务端正确加载 CA 证书、启用客户端证书验证，并确保客户端证书由该 CA 签发。
服务端需加载 CA 根证书（ca.crt）用于校验客户端证书
服务端（如 Nginx、Envoy、Spring Boot 或 Kubernetes Ingress）必须显式指定可信的 CA 根证书文件（通常为 ca.crt），而非客户端证书本身。该文件用于构建信任链，验证客户端提交的证书是否由该 CA 或其下级 CA 签发。
- Nginx 示例：在 server 块中添加
ssl_client_certificate /etc/nginx/certs/ca.crt;和ssl_verify_client on; - Envoy：通过
validation_context中的trusted_ca指向挂载的 ca.crt 文件 - Kubernetes Ingress（如 nginx-ingress）：使用 annotation
nginx.ingress.kubernetes.io/auth-tls-secret: "default/ca-secret"，其中 secret 包含 key 为ca.crt的数据
客户端必须提供由该 CA 签发的有效证书（client.crt + client.key）
客户端发起 TLS 连接时，需携带由上述 CA 签发的证书（client.crt）及其私钥（client.key）。服务端用 ca.crt 验证 client.crt 的签名、有效期、用途（如 clientAuth）及未被吊销（若配置了 CRL/OCSP）。
- 证书生成时需确保
Extended Key Usage包含clientAuth - 避免使用自签名证书直接作为 client.crt——它必须是 CA 签发的终端实体证书
- cURL 测试示例：
curl --cert client.crt --key client.key --cacert ca.crt https://api.example.com
挂载方式取决于运行环境，核心是让服务端进程能读取 ca.crt
在容器化场景（如 Kubernetes）中，“挂载”指将包含 ca.crt 的 Secret 或 ConfigMap 以文件形式注入到 Pod 容器内指定路径，供服务端配置引用。
- 创建 Secret：
kubectl create secret generic ca-secret --from-file=ca.crt=./ca.crt - 在 Pod spec 中 volumeMounts 挂载到如
/etc/tls/ca，并在服务端配置中指向该路径下的 ca.crt - 确认容器内权限：ca.crt 文件需可被服务进程（如 nobody、nginx 用户）读取
验证与排错要点
双向认证失败常见于证书链、配置路径或策略限制问题，建议按顺序检查：
- 服务端日志是否提示 “SSL certificate error” 或 “unable to get local issuer certificate” —— 多为 ca.crt 缺失或内容错误
- 用
openssl verify -CAfile ca.crt client.crt在本地验证证书是否被 CA 信任 - 确认客户端证书未过期、未被吊销，且 Subject 或 SAN 符合服务端准入策略（如某些系统校验 CN 或 URI SAN）
- 抓包分析 TLS handshake：Client Certificate 消息是否发出？Server Hello 后是否收到 CertificateRequest？
