Next-Terminal中配置mTLS双向认证：保护Web资产访问安全

双向TLS（mTLS）认证将安全性提升到了一个新层级。它不仅要求客户端验证服务端的证书，服务端也必须验证客户端证书的合法性。这意味着，任何未经授权的第三方都无法访问到服务端，即使服务端存在潜在漏洞，攻击面也大大缩小。这对于保护敏感的Web资产访问尤为重要。本文将详细介绍如何在Next-Terminal中配置和使用mTLS功能。

关于mTLS的工作原理，可以参考之前的文章 HTTPS 双向认证原理和实现方式。

证书生成与信任

整个过程的第一步是生成并信任一个客户端证书。

1. 新建并签发证书
   在Next-Terminal的“证书管理”界面，点击“新建”。

   • 在“域名”字段输入一个标识（例如 nt）。
   • 在“证书类型”中选择“自签发”。
   • 关键一步：开启“需要客户端证书”的开关。
   • 点击“确定”完成签发。

   

2. 下载客户端证书
   证书签发成功后，在证书列表中找到对应条目，通过右侧的“...”菜单选择“下载客户端证书”。你将得到一个 .p12 格式的文件（例如 nt-client.p12）。

3. 导入并信任证书（以macOS为例）
   为了能让浏览器在访问时自动使用这个证书进行身份验证，你需要将其导入到系统的信任存储中。

   • 打开“钥匙串访问”应用。
   • 将下载的 .p12 文件直接拖拽到“钥匙串”列表的“系统”区域下的“证书”分类中。
   • 在证书列表中双击刚刚导入的证书（例如 nt-client）。
   • 在弹出的证书详情窗口中，展开“信任”设置，将“使用此证书时”的选项从“使用系统默认”改为“始终信任”。
   • 关闭窗口并保存更改。完成这些证书管理步骤后，你可以在系统钥匙串中看到该证书已被标记为受信任。

现在，客户端证书已经准备就绪。

在Next-Terminal中配置mTLS

证书就位后，需要在Next-Terminal中为具体的Web资产启用mTLS保护。

1. 在Next-Terminal中找到你想要保护的Web资产，点击“编辑”。
2. 切换到“自定义证书”标签页。
3. 开启“启用”开关。
4. 在“证书”下拉框中，选择你之前创建的证书（例如 nt）。
5. 保存配置。

访问测试

配置完成后，尝试访问该Web资产。此时，浏览器会弹出“选择证书”对话框，要求你选择一个客户端证书来进行身份验证。选择你刚刚导入并信任的 nt-client 证书，点击“确定”。

如果一切配置正确，你将能够成功访问该网站。这个过程充分体现了mTLS的核心价值：没有有效客户端证书的设备将完全无法建立连接，从而实现了对资源访问的严格控制。

可选步骤：设置默认证书

如果你希望所有通过Next-Terminal代理的Web资产都默认启用客户端证书认证，可以采用更全局的配置方式，避免为每个资产单独设置。

在“证书管理”的证书列表中，找到你的mTLS证书，点击右侧的“设为默认”。这样，所有未单独配置证书的Web资产都将默认要求客户端证书认证。

注意：启用此设置前，请确保所有需要访问这些资产的客户端都已预先安装并信任了相应的客户端证书。

通过以上步骤，你就在Next-Terminal中成功部署了mTLS双向认证，为你的内部Web服务增加了一道坚固的身份验证防线。如果你在配置过程中遇到问题，或者想了解更多关于零信任网络和现代安全架构的知识，欢迎来云栈社区与我们交流探讨。