| 客户端验证 | s_client -cert / -key 携带客户端材料并观察 verify 输出 |
|---|---|
| 服务端配置 | ssl_client_certificate 指定信任的客户端 CA，ssl_verify_client 开启校验 |
| 用途约束 | 客户端证书需要 clientAuth EKU 或被 CA 策略覆盖 |
复现客户端故障
复现客户端故障
openssl s_client -connect api.example.com:443 -servername api.example.com -cert client.pem -key client.key -CAfile ca.pem </dev/null 2>&1 | grep -i 'verify\|error\|certificate'nginx 参考配置
nginx 参考配置
ssl_client_certificate /etc/nginx/ssl/client-ca.pem;
ssl_verify_client on;
# 可在日志格式中加入 $ssl_client_s_dn 记录主体会话恢复会跳过部分证书请求交互，排错阶段建议先验证完整握手路径。