Nginx HTTPS SSL 双向认证（mTLS）生产级实践大全

从“能跑”到“企业级安全基础设施”的完整方案

---

HTTPS 解决的是“数据是否安全传输”， mTLS（双向 TLS）解决的是“通信双方到底是谁”。

当系统进入微服务化、多集群、多客户端、多租户阶段时：

mTLS 不是加分项，而是安全基础设施。 HTTPS 是加密通道，mTLS 是身份系统，证书就是最底层、最可信的身份凭证。

---

一、环境准备

1.1 环境要求

• Nginx ≥ 1.14
• OpenSSL ≥ 1.1.1
• Linux / Unix

1.2 目录结构

mkdir -p /etc/nginx/ssl/{ca,server,client}

---

二、证书体系设计（CA 规范化）

生产环境必须用完整 CA 目录结构：

mkdir -p /etc/nginx/ssl/ca/{certs,crl,newcerts,private} chmod 700 /etc/nginx/ssl/ca/private touch /etc/nginx/ssl/ca/index.txt echo 1000 > /etc/nginx/ssl/ca/serial

openssl.cnf（核心片段）：

[ ca ] default_ca = CA_default [ CA_default ] dir = /etc/nginx/ssl/ca database = $dir/index.txt new_certs_dir = $dir/newcerts certificat