ssl - 如何处理不受信任的 CA 以在 Nginx 中启用双向 TLS？

Question

我想使用以下配置在 Nginx 中验证客户端证书：

server {
    listen 443 ssl;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    server_name www.example.com;
    ssl_certificate server.crt;
    ssl_certificate_key server.key;

    ssl_verify_client on;
    ssl_client_certificate ca.crt;
}

这里的“ca.crt”是一个 ROOT 证书，但它是不受信任的。当客户端请求服务器时，我可以在 Nginx 错误日志中找到代码 21 的错误“无法验证第一个证书”。我尝试使用命令将“ca.crt”导入信任库update-ca-trust extract，让 Redhat 系统信任“ca.crt”，但仍然无法正常工作。在这种情况下如何实现客户端验证？谢谢。

标签： sslnginxcertificatessl-certificateclient-certificates