配置mTLS需服务端加载CA根证书（ca.crt）并启用客户端证书验证，客户端须提供该CA签发的有效证书；Nginx用ssl_client_certificate与ssl_verify_client on，Kubernetes通过Secret挂载ca.crt。（149字符）

要配置客户端证书双向认证（mTLS），需在服务端挂载 CA 根证书用于验证客户端证书签名，并要求客户端提供有效证书。关键不在“挂载 client_certificate”，而在于服务端正确加载 CA 证书、启用客户端证书验证，并确保客户端证书由该 CA 签发。

服务端需加载 CA 根证书（ca.crt）用于校验客户端证书

服务端（如 Nginx、Envoy、Spring Boot 或 Kubernetes Ingress）必须显式指定可信的 CA 根证书文件（通常为 ca.crt），而非客户端证书本身。该文件用于构建信任链，验证客户端提交的证书是否由该 CA 或其下级 CA 签发。

• Nginx 示例：在 server 块中添加 ssl_client_certificate /etc/nginx/certs/ca.crt; 和 ssl_verify_client on;
• Envoy：通过 validation_context 中的 trusted_ca 指向挂载的 ca.crt 文件
• Kubernetes Ingress（如 nginx-ingress）：使用 annotation nginx.ingress.kubernetes.io/auth-tls-secret: "default/ca-secret"，其中 secret 包含 key 为 ca.crt 的数据

客户端必须提供由该 CA 签发的有效证书（client.crt + client.key）

客户端发起 TLS 连接时，需携带由上述 CA 签发的证书（client.crt）及其私钥（client.key）。服务端用 ca.crt 验证 client.crt 的签名、有效期、用途（如 clientAuth）及未被吊销（若配置了 CRL/OCSP）。

• 证书生成时需确保 Extended Key Usage 包含 clientAuth
• 避免使用自签名证书直接作为 client.crt——它必须是 CA 签发的终端实体证书
• cURL 测试示例：curl --cert client.crt --key client.key --cacert ca.crt https://api.example.com

挂载方式取决于运行环境，核心是让服务端进程能读取 ca.crt

在容器化场景（如 Kubernetes）中，“挂载”指将包含 ca.crt 的 Secret 或 ConfigMap 以文件形式注入到 Pod 容器内指定路径，供服务端配置引用。

• 创建 Secret：kubectl create secret generic ca-secret --from-file=ca.crt=./ca.crt
• 在 Pod spec 中 volumeMounts 挂载到如 /etc/tls/ca，并在服务端配置中指向该路径下的 ca.crt
• 确认容器内权限：ca.crt 文件需可被服务进程（如 nobody、nginx 用户）读取

验证与排错要点

双向认证失败常见于证书链、配置路径或策略限制问题，建议按顺序检查：

• 服务端日志是否提示 “SSL certificate error” 或 “unable to get local issuer certificate” —— 多为 ca.crt 缺失或内容错误
• 用 openssl verify -CAfile ca.crt client.crt 在本地验证证书是否被 CA 信任
• 确认客户端证书未过期、未被吊销，且 Subject 或 SAN 符合服务端准入策略（如某些系统校验 CN 或 URI SAN）
• 抓包分析 TLS handshake：Client Certificate 消息是否发出？Server Hello 后是否收到 CertificateRequest？