Envoy仅证书实现下游客户端认证：无私钥时的配置位置疑问

核心结论 #

你要实现的功能本质是服务端强制验证客户端证书，手里只有证书没有私钥完全不影响——服务端只需要“信任”客户端的证书，不需要持有客户端的私钥。

你的疑问逐一解答 #

1. 无钥PEM证书的配置位置
   直接放到listener.tls_context.common_tls_context.validation_context.trusted_ca里即可。这个字段仅需证书文件（PEM格式），不需要私钥，它的作用是告诉Envoy：哪些证书/CA是可信的，客户端发来的证书必须能被这个列表里的证书验证通过。

2. Cloudflare自定义证书的配置
   如果Cloudflare的证书是自定义（自签）的，把它的PEM内容追加到你已有的trusted_ca证书文件里就行。trusted_ca支持同时配置多个证书，不管是CA根证书还是单个客户端证书，只要在这个列表里，Envoy就会信任对应的客户端请求，不需要额外配置到其他位置。

3. 排除后的可选配置补充
   你排除tls_certificates是对的——这是Envoy作为服务端对外展示的证书（需要私钥），和客户端认证无关。但你排除validation_context是误解了，它恰恰是客户端认证的核心配置项，且完全不需要私钥。除此之外，还有几个关键配置可以配合使用：

   • require_client_certificate: true：在tls_context下开启这个开关，强制要求客户端必须发送证书，否则直接拒绝请求，这是开启客户端认证的前提。
   • validation_context.verify_certificate_hash：如果只信任特定的Cloudflare证书，不需要把整个证书放到trusted_ca，直接配置该证书的SHA-256哈希值即可，更轻量化。
   • validation_context.verify_depth：比如设为1，只验证客户端证书本身是否在信任列表里，适合直接信任单个客户端证书的场景（而非验证整个CA链）。

极简配置示例 #

listeners:
- name: https_listener
  address:
    socket_address: { address: 0.0.0.0, port_value: 443 }
  filter_chains:
  - filters:
    - name: envoy.filters.network.http_connection_manager
      # 此处省略HTTP路由等常规配置
    transport_socket:
      name: envoy.transport_sockets.tls
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
        # 若需对外提供HTTPS，此处配置Envoy自身的证书（含私钥）
        common_tls_context:
          tls_certificates:
          - certificate_chain: { filename: "/path/to/server-cert.pem" }
            private_key: { filename: "/path/to/server-key.pem" }
          # 客户端证书验证核心配置
          validation_context:
            trusted_ca: { filename: "/path/to/your-trusted-certs.pem" } # 包含Cloudflare证书
            verify_depth: 1
        # 强制要求客户端提供证书
        require_client_certificate: true

内容的提问来源于stack exchange，提问作者user3547998