双证书各管什么

国密 TLS 与 SSL VPN 通常使用双证书：签名证书用于身份鉴别与签名验签，加密证书用于密钥交换与数据加密。两证由 CA 分别签发，密钥用途字段不同，因此不能互换使用。部署与更新时要成对管理：只换其中一只，或把两证部署反了，通常要到握手阶段才会暴露问题，排查成本较高。

基本信息

典型使用场景

• 国密 TLS 部署：服务端装配签名与加密两证
• SSL VPN 验收：核对双证书是否齐备且在有效期
• 证书轮换：按计划成对更换并验证握手
• 故障排查：握手失败时先核对两证用途与配对关系
• 台账管理：记录两证序列号与到期时间

核验命令

# 查看证书用途与算法
openssl x509 -in sign.crt -noout -text | grep -A1 "Key Usage"
openssl x509 -in enc.crt -noout -text | grep -A1 "Key Usage"
# 查看有效期与序列号，便于纳入到期提醒
openssl x509 -in sign.crt -noout -dates -serial
openssl x509 -in enc.crt -noout -dates -serial

两证对照

部署与轮换检查点

• 配对确认：两证主体一致、同属一条证书链，序列号登记在册
• 用途核对：用 x509 查看扩展密钥用途，确认签名与加密未装反
• 到期监控：两证到期时间分别设置提醒，轮换时成对操作
• 配置校验：改配置后先做语法检查，再重载服务并保留回滚
• 握手验证：用客户端命令确认协商成功，并核对使用的证书标识
• 灰度切换：先在预发或少量节点验证，确认无误再全量更换