Mutual TLS상호 TLS

일반 TLS:
Client ──→ Server (서버 인증서만 검증)

mTLS:
Client ←→ Server (서버↔클라이언트 상호 인증서 검증)

Client                           Server
  │── ClientHello ─────────────>│
  │<── ServerHello ─────────────│
  │<── Certificate (서버 인증서) ─│
  │<── CertificateRequest ───────│  ← 클라이언트 인증 요청
  │── Certificate (클라이언트 인증서)>│
  │── CertificateVerify ────────>│
  │── Finished ─────────────────>│
  │<── Finished ─────────────────│

# CA 생성
openssl genrsa -out ca.key 4096
openssl req -new -x509 -key ca.key -out ca.crt -days 3650

# 서버 인증서
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key   -CAcreateserial -out server.crt -days 365

# 클라이언트 인증서
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr   -subj "/CN=service-a/O=myorg"
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key   -CAcreateserial -out client.crt -days 365

server {
    listen 443 ssl;
    ssl_certificate     /etc/ssl/server.crt;
    ssl_certificate_key /etc/ssl/server.key;
    ssl_client_certificate /etc/ssl/ca.crt;
    ssl_verify_client   on;   # 클라이언트 인증 필수
    ssl_verify_depth    2;

    # 클라이언트 인증서 정보를 헤더로 전달
    location / {
        proxy_set_header X-Client-CN $ssl_client_s_dn_cn;
        proxy_pass http://backend;
    }
}