本技能是一份关于使用双向 TLS（mTLS）与服务网格模式保护服务间通信的综合指南，内容按主题分层展开。
用途与适用场景
适用于以下工作：在服务之间实现 mTLS；部署服务网格（Istio、Linkerd）；为服务做证书管理；在集群内实现零信任网络；服务身份与认证；加密东西向流量。
mTLS 基础
标准 TLS 为单向：客户端验证服务端身份，客户端对服务端保持匿名。mTLS 为双向：服务端与客户端互验证书，双方身份都得到验证。
mTLS 握手流程：1）客户端发送 Client Hello，声明支持的密码套件；2）服务端返回 Server Hello 与自身证书，并要求客户端提供证书；3）客户端提交证书；4）双方验证证书链有效、未过期、未被吊销、身份匹配；5）进行密钥交换，派生共享会话密钥；6）后续通信均以会话密钥加密。
服务证书字段包括：Subject（如 CN、O）、Subject Alternative Names（如 DNS 与 spiffe URI 格式）、Issuer、有效期（示例为短周期、自动轮换）、Key Usage（Digital Signature、Key Encipherment）、Extended Key Usage（TLS Web Server Authentication、TLS Web Client Authentication）。
服务网格架构
架构分为控制面与数据面。控制面功能包括证书颁发机构（签发/轮换证书）、配置分发、策略管理、服务发现；数据面功能包括 mTLS 终止、流量加密、策略执行、遥测采集。
边车代理模式：应用将请求发往 localhost，边车通过 iptables 规则拦截，建立 mTLS 连接，加密传输至目标边车，目标边车解密并转发给应用。
Istio 安全
PeerAuthentication 有三种模式：PERMISSIVE（默认初始阶段，同时接受明文与 mTLS，适合迁移）、STRICT（要求所有流量 mTLS，拒绝明文连接）、DISABLE（禁用 mTLS，不推荐）。文中给出 PeerAuthentication 与 AuthorizationPolicy 的 YAML 示例，后者包含 selector、action、from（来源身份 principals）、to（方法与路径）、when（附加条件）等字段。 Istio 证书流程：工作负载带边车启动，边车向 Istiod（CA）请求证书，Istiod 验证服务账号身份后签发短期证书（默认 24 小时），边车在内存中保存并在到期前自动轮换；SPIFFE 身份格式为 spiffe://cluster.local/ns/namespace/sa/service-account；私钥不离开工作负载。
Linkerd 安全
Linkerd 默认启用 mTLS，零配置，证书自动轮换，基础 mTLS 无需 YAML。身份系统基于 Kubernetes 服务账号，证书由 Linkerd 身份服务签发，默认 24 小时有效期并自动轮换。验证命令包括 linkerd viz tap deploy/my-service 与 linkerd check --proxy。授权通过 Server 与 ServerAuthorization 资源定义，示例中按服务账号限定客户端。
证书管理
轮换策略有三种：短期证书（推荐，1–24 小时，自动轮换，无需吊销）、长期证书加吊销（天到月，需 CRL/OCSP 基础设施，管理更复杂）、混合方式（网格内短期、对外连接较长）。轮换时间线示例：24 小时生命周期，在 12 小时（寿命 50%）时轮换。 根 CA 层级有两种：单根（简单）与中间 CA（推荐）。根 CA 轮换步骤：生成新根 CA、更新信任包（同时包含新旧）、由新根签发新中间证书、工作负载同时接受两个根、旧根在所有证书轮换完成后移除。
迁移到 mTLS
迁移策略分四阶段：第一阶段观察（第 1–2 周，以 permissive 模式启用网格，监控明文连接，识别服务间流量与依赖）；第二阶段测试（第 3–4 周，在测试环境启用 strict，验证通信与故障场景）；第三阶段铺开（第 5–8 周，逐命名空间启用 strict，从最不关键的命名空间开始，准备回滚方案）；第四阶段执行（第 9 周起，集群范围启用 strict，移除 permissive 策略，记录例外并持续监控）。 常见迁移问题与对应处理：外部服务无法连接（用 Gateway 处理外部到内部流量）；遗留服务不支持 mTLS（对特定服务使用 permissive 模式）；性能下降（调优边车资源与连接池）；证书错误（检查信任包与证书链）；非网格服务无法通信（加入网格或使用 permissive 模式）。
最佳实践
证书管理：使用短期证书、完全自动化轮换、保护根 CA（尽可能离线）、监控到期。策略管理：默认拒绝、显式允许，命名空间隔离，定期策略审计，先在预发测试。可观测性：监控 mTLS 成功/失败率，对明文连接告警（strict 模式下），记录授权决策，跨服务追踪请求。运维：记录所有例外、定期安全审查、事件响应流程、轮换操作手册。性能：合理配置边车资源、连接池、监控延迟开销、对比有无网格的基准。
故障排查
常见问题：连接重置（检查双方证书有效性、信任包同步、证书到期）；503 服务不可用（目标可能无边车、授权策略拦截、服务不在网格内）；高延迟（边车资源受限、证书验证开销、网络策略冲突）；间歇性失败（证书轮换竞态、信任包传播延迟、轮换期间边车重启）。Istio 调试命令：istioctl analyze、istioctl proxy-status、istioctl proxy-config secret <pod>；Linkerd 调试命令：linkerd check、linkerd viz tap <resource>、linkerd viz stat <resource>。
限制与关联
本文档未提供具体收费、价格、平台支持范围与版本要求等信息。相关技能包括 zero-trust-architecture、api-security、container-orchestration、distributed-tracing。