后端调用场景下IHS的证书过期时间校验规则咨询

核心结论 #

IBM HTTP Server（IHS）与后端服务进行TLS通信时，默认会完整校验证书的日期+精确时间，不会仅校验日期维度。

过期后延迟报错的常见原因 #

你观测到的证书到期后仍正常运行1天左右才报错的情况，符合IHS的现有运行机制，常见触发原因如下：

• 证书校验结果缓存：IHS的mod_ibm_ssl模块默认会对后端证书的校验结果做缓存，默认缓存有效期为24小时。如果证书在缓存生效期内过期，IHS会直接沿用此前的有效校验结果，直到缓存过期重新校验时才会识别到证书过期，返回500错误，你观测到的24小时左右的延迟符合该机制的特征。
• 时区偏差：需要确认证书标注的过期时间的时区，和IHS所在服务器的系统时区是否一致。比如证书标注的是UTC时间9月7日下午1点，换算为东八区时间为9月7日晚9点，叠加24小时缓存后刚好在9月8日触发重新校验报错。
• 长连接复用：如果证书过期前IHS与WLP之间已经建立了存活的长连接，已经完成过TLS握手与证书校验，后续请求会复用该连接不会重新校验证书，直到长连接断开后新建连接时才会重新校验，也会出现延迟报错的情况。

排查建议 #

• 查看IHS配置文件httpd.conf中的SSLSessionCacheTimeout参数，默认值为86400秒（24小时），该参数控制TLS会话缓存的超时时间。
• 核对IHS、WLP服务器的系统时间与时区配置，确认与证书标注的过期时间时区对齐。

内容的提问来源于stack exchange，提问作者kn9