可以在信任关系中使用服务器证书作为客户端证书吗？

Question

我正在开发一个系统，其中多个服务器可以相互建立信任关系。这些关系是通过使用 X.509 证书身份验证的服务器到服务器连接建立的。

服务器拥有自己的服务器证书，客户端使用这些证书来验证服务器的身份（与浏览器客户端和 Web 服务器完全相同）。

我的问题：在两台服务器（A 和 B）之间建立信任关系时，当服务器 A 与服务器 B 通信时，使用服务器 A 的服务器证书作为客户端身份是否存在固有的不安全或问题？实际上，这涉及将服务器 A 的服务器证书安装到服务器 B 的信任库中，反之亦然。出于某种原因，为服务器 A 和 B 创建单独的客户端身份，而不是使用它们的服务器身份作为客户端身份更好吗？

就我个人而言，我看不出它有什么问题，而且从高层次的角度来看，它实际上是有道理的——服务器 A 毕竟是连接到服务器 B 的客户端。

Answer 1

在两台服务器（A 和 B）之间建立信任关系时，在服务器 A 与服务器 B 通信时，使用服务器 A 的服务器证书作为客户端身份是否存在固有的不安全或问题？

不，只要对等点可以相互验证就可以了。

实际上，这涉及将服务器 A 的服务器证书安装到服务器 B 的信任库中，反之亦然。

在实践中，证书应从集中式 CA 安装。无论是公共/商业还是内部。避免最终实体的自签名证书。自签名证书会增加证书管理开销，并且不允许吊销检查（如果需要吊销对等证书）。