Aerospike是否支持仅服务端验证客户端证书的非对称mTLS配置？

一、非对称TLS验证配置支持情况 #

Aerospike官方支持服务端验证客户端证书、客户端可选禁用服务端证书验证的非对称模式，启用tls-authenticate-client后并非强制严格双向验证。

服务端配置要点 #

• 开启客户端证书验证：在aerospike.conf中设置tls-authenticate-client true
• 指定验证客户端证书的CA：配置tls-cafile <path-to-client-ca-cert>，服务端会用此CA验证客户端提交的证书，并提取证书CN字段映射到用户以执行ACL规则
• 服务端自身TLS配置：仍需设置tls-certfile和tls-keyfile提供服务端证书，供选择验证服务端的客户端使用

客户端配置要点 #

客户端可通过自身SDK的常规配置项选择是否验证服务端证书，无需特殊“跳过”修改：

• 禁用服务端证书验证：不指定客户端的CA证书配置，或设置对应SDK的禁用验证参数（如Java SDK的SslPolicy.setValidatePeer(false)、Python SDK的tls_insecure=True）
• 启用服务端证书验证：指定客户端的CA证书路径即可

二、降低mTLS握手开销的推荐方案 #

针对你遇到的mTLS延迟高于密码认证的情况，可通过以下方式优化：

• 强制连接复用：确保客户端开启连接池并配置合理的连接数，避免每次操作新建TLS连接。Aerospike客户端默认启用连接池，可调整max_connections_per_node等参数适配业务流量
• 启用TLS会话复用：开启TLS会话ID或会话票据复用，Aerospike服务端默认支持，客户端需配置对应参数（如OpenSSL的SSL_OP_SESSION_REUSE_CACHE），复用会话可将握手延迟降至接近密码认证的水平
• 使用TLS 1.3：TLS 1.3相比1.2减少了握手往返次数，Aerospike 4.9及以上版本支持，服务端配置tls-protocols TLSv1.3，客户端同步启用即可
• 优化证书链：使用最短的证书链（避免多余中间CA），减少证书验证计算量；继续沿用ECDSA证书（比RSA计算开销更低）
• 硬件加速：在服务器上启用TLS硬件加速（如Intel AES-NI指令集、OpenSSL硬件引擎），降低CPU对TLS握手的处理开销

三、关键疑问确认 #

启用tls-authenticate-client后不是仅支持严格双向验证：该配置仅控制服务端是否要求并验证客户端证书，客户端是否验证服务端证书完全由客户端自身配置决定，属于独立的控制维度。

内容的提问来源于stack exchange，提问作者Adnan Khan