TLS 加密与 mTLS 双向认证体系

在零信任（Zero Trust）架构与云原生微服务中，所有跨节点、跨机房的网络流量都必须经过高强度加密与身份双向校验。gRPC 原生深度整合了 TLS（Transport Layer Security） 与 mTLS（Mutual TLS，双向传输层安全认证）。

---

1. 认证安全等级演进

graph TD
    Level0["Level 0: 明文传输 (Insecure)<br/>• 仅限本地单元测试<br/>• 无加密，无身份验证"]
    Level1["Level 1: 单向 TLS 认证<br/>• 客户端验证服务端合法性<br/>• 链路强加密，防中间人窃听与篡改"]
    Level2["Level 2: 双向 mTLS 认证 (生产金标准)<br/>• 客户端验证服务端，服务端同时强制验证客户端证书<br/>• 实现真正的零信任服务间身份准入"]

    Level0 --> Level1
    Level1 --> Level2

---

2. 证书生成实战指南 (OpenSSL)

现代 TLS（尤其是 Go 1.15+）强制要求证书必须包含 SAN（Subject Alternative Name），单纯配置 Common Name (CN) 会被直接拒绝报错 x509: certificate relies on legacy Common Name field。

① 生成自签名根证书 CA (Certificate Authority)

openssl req -x509 -newkey rsa:4096 -days 365 -nodes \
  -keyout ca-key.pem -out ca-cert.pem \
  -subj "/C=CN/ST=Beijing/O=MyCorp/CN=RootCA"

② 生成服务端证书（包含 SAN）

# 1. 生成私钥与签名请求
openssl req -newkey rsa:4096 -nodes \
  -keyout server-key.pem -out server-req.pem \
  -subj "/C=CN/ST=Beijing/O=MyCorp/CN=grpc-server"

# 2. 签署服务端证书并注入 SAN (匹配 localhost 与集群内域名)
openssl x509 -req -in server-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial \
  -out server-cert.pem \
  -extfile <(printf "subjectAltName=DNS:localhost,DNS:grpc-server.svc.cluster.local,IP:127.0.0.1")

③ 生成客户端证书 (用于 mTLS)

openssl req -newkey rsa:4096 -nodes \
  -keyout client-key.pem -out client-req.pem \
  -subj "/C=CN/ST=Beijing/O=MyCorp/CN=grpc-client"

openssl x509 -req -in client-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial \
  -out client-cert.pem \
  -extfile <(printf "subjectAltName=DNS:grpc-client")

---

3. mTLS 双向认证代码实现 (Go 语言)

服务端：启用客户端证书强制校验

package main

import (
    "crypto/tls"
    "crypto/x509"
    "log"
    "net"
    "os"

    "google.golang.org/grpc"
    "google.golang.org/grpc/credentials"
)

func main() {
    // 1. 加载服务端公钥和私钥
    serverCert, err := tls.LoadX509KeyPair("server-cert.pem", "server-key.pem")
    if err != nil {
        log.Fatalf("加载服务端证书失败: %v", err)
    }

    // 2. 加载受信任的根证书 CA (用于验证客户端证书)
    caCert, err := os.ReadFile("ca-cert.pem")
    if err != nil {
        log.Fatalf("加载 CA 证书失败: %v", err)
    }
    caCertPool := x509.NewCertPool()
    caCertPool.AppendCertsFromPEM(caCert)

    // 3. 构建 TLS 配置：设置为 RequireAndVerifyClientCert (强制双向认证)
    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{serverCert},
        ClientAuth:   tls.RequireAndVerifyClientCert,
        ClientCAs:    caCertPool,
        MinVersion:   tls.VersionTLS13, // 推荐强制使用 TLS 1.3
    }

    creds := credentials.NewTLS(tlsConfig)
    s := grpc.NewServer(grpc.Creds(creds))

    lis, _ := net.Listen("tcp", ":50051")
    log.Println("gRPC mTLS 安全服务端已启动在 :50051")
    s.Serve(lis)
}

客户端：出示自身证书并验证服务端

package main

import (
    "crypto/tls"
    "crypto/x509"
    "log"
    "os"

    "google.golang.org/grpc"
    "google.golang.org/grpc/credentials"
)

func main() {
    // 1. 加载客户端公钥证书与私钥
    clientCert, err := tls.LoadX509KeyPair("client-cert.pem", "client-key.pem")
    if err != nil {
        log.Fatalf("加载客户端证书失败: %v", err)
    }

    // 2. 加载 CA 证书 (用于验证服务端身份)
    caCert, err := os.ReadFile("ca-cert.pem")
    if err != nil {
        log.Fatalf("加载 CA 证书失败: %v", err)
    }
    caCertPool := x509.NewCertPool()
    caCertPool.AppendCertsFromPEM(caCert)

    // 3. 构建客户端 TLS 配置
    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{clientCert},
        RootCAs:      caCertPool,
        ServerName:   "localhost", // 必须匹配证书 SAN 中的 DNS/IP
    }

    creds := credentials.NewTLS(tlsConfig)
    conn, err := grpc.Dial("localhost:50051", grpc.WithTransportCredentials(creds))
    if err != nil {
        log.Fatalf("安全连接建立失败: %v", err)
    }
    defer conn.Close()
    // 安全调用业务 RPC...
}

---

4. 生产环境证书自动轮换（Dynamic Certificate Reloading）

在生产环境中，证书到期前必须动态轮换，不能直接重启整个服务进程： - gRPC 提供了高级凭证模块（credentials/tls 中的 GetConfigForClient 或 GetCertificate 回调函数）。 - 当证书在磁盘或 Kubernetes Secret 中更新时，通过文件监听器（如 fsnotify）重新加载内存对象，gRPC 握手会自动应用最新证书，实现零中断无感热轮换。