mTLS 双向认证实现服务间安全通信

# mTLS 双向认证实现服务间安全通信 ## 什么是 mTLS 普通 TLS（HTTPS）只验证服务端身份 — 客户端确认"我访问的确实是正确的服务器"。mTLS（mutual TLS）在此基础上增加了客户端验证 — 服务端也要确认"请求来自我信任的客户端"。 这是微服务零信任架构的基础。 ## TLS vs mTLS 握手对比 ``` 普通 TLS: Client -> Server: ClientHello Server -> Client: ServerHello + Server Certificate Client: 验证服务端证书 双方: 建立加密通道 mTLS: Client -> Server: ClientHello Server -> Client: ServerHello + Server Certificate + CertificateRequest Client -> Server: Client Certificate Server: 验证客户端证书 Client: 验证服务端证书 双方: 建立加密通道 ``` ## 证书体系 ``` Root CA (自签名) ├── Server Certificate (服务端证书) └── Client Certificate (客户端证书) ``` ### 生成证书 ```bash # 1. 创建 Root CA openssl genrsa -out ca.key 4096 openssl req -x509 -new -nodes -sha256 -days 3650 \ -key ca.key -out ca.crt \ -subj "/CN=MyOrg Root CA/O=MyOrg" # 2. 生成服务端证书 openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr \ -subj "/CN=api.internal.myorg.com" cat > server-ext.cnf client-ext.cnf new HttpComponentsClientHttpRequestFactory(httpClient)) .build(); } } ``` ## Nginx 配置 ```nginx server { listen 443 ssl; server_name api.internal.myorg.com; # 服务端证书 ssl_certificate /etc/nginx/certs/server.crt; ssl_certificate_key /etc/nginx/certs/server.key; # mTLS: 客户端证书验证 ssl_client_certificate /etc/nginx/certs/ca.crt; ssl_verify_client on; ssl_verify_depth 2; # 将客户端证书信息传递给后端 location /api/ { proxy_pass http://backend; proxy_set_header X-Client-CN $ssl_client_s_dn_cn; proxy_set_header X-Client-Cert-Verified $ssl_client_verify; } } ``` ## 证书轮换策略 ```python # 证书管理器 (示意) class CertRotator: def __init__(self, ca_key, ca_cert, cert_dir): self.ca_key = ca_key self.ca_cert = ca_cert self.cert_dir = cert_dir def check_expiry(self, cert_path, days_threshold=30): """检查证书是否即将过期""" cert = load_certificate(cert_path) remaining = cert.not_valid_after - datetime.utcnow() return remaining.days < days_threshold def rotate(self, service_name): """生成新证书并重新加载服务""" new_cert = self.generate_cert(service_name) self.deploy_cert(service_name, new_cert) self.reload_service(service_name) self.revoke_old_cert(service_name) ``` ## 常见问题 1. **证书链不完整**：确保中间 CA 证书也包含在信任链中 2. **SAN 配置遗漏**：现代 TLS 要求 Subject Alternative Name，光有 CN 不够 3. **时钟不同步**：证书验证依赖时间，服务器间时钟偏差超过几分钟会导致验证失败 4. **证书过期未续期**：建议到期前 30 天自动轮换 ## Service Mesh 中的 mTLS 在 Istio 等 Service Mesh 中，mTLS 是自动管理的： ```yaml apiVersion: security.istio.io/v1beta1 kind: PeerAuthentication metadata: name: default namespace: production spec: mtls: mode: STRICT # 所有服务间通信强制 mTLS ``` Istio 的 Citadel 组件自动签发和轮换证书，应用代码无需改动。 ## 总结 mTLS 是微服务零信任架构的基石。虽然证书管理增加了复杂度，但它提供了传输层的强身份认证。在 Kubernetes 环境中，推荐通过 Service Mesh 自动管理 mTLS；传统环境则需要建立完善的证书生命周期管理流程。