mTLS am Edge: Client-Zertifikate für interne APIs erzwingen

Mutual TLS (mTLS) ist eine zentrale Sicherheitsmaßnahme für interne APIs, die neben der klassischen Serverauthentifizierung auch die Authentizität des Clients überprüft. Durch mTLS kann sichergestellt werden, dass nur autorisierte Services miteinander kommunizieren, wodurch interne Microservices- oder API-Kommunikation deutlich sicherer wird. Diese Technik ist besonders relevant in Zero-Trust-Architekturen und bei hochsensiblen Daten.

Grundlagen von mTLS

Im klassischen TLS-Verfahren authentifiziert sich nur der Server gegenüber dem Client. mTLS erweitert dieses Modell, indem auch der Client ein Zertifikat präsentiert, das vom Server überprüft wird. Somit entsteht eine gegenseitige Authentifizierung.

Funktionsweise

• Server präsentiert sein Zertifikat, Client prüft Vertrauenswürdigkeit
• Client präsentiert eigenes Zertifikat, Server prüft Vertrauenswürdigkeit
• Verbindung wird nur aufgebaut, wenn beide Zertifikate validiert sind
• Verschlüsselte Kommunikation schützt vor Man-in-the-Middle-Angriffen

Vorteile von mTLS für interne APIs

• Sicherstellung, dass nur autorisierte Clients Zugriff haben
• Schutz vor internen und externen Angreifern
• Nahtlose Integration in Service-Mesh- oder Microservice-Architekturen
• Auditfähigkeit: jeder Client kann eindeutig identifiziert werden

mTLS mit Nginx als Edge-Termination

Nginx kann als Reverse Proxy oder API-Gateway fungieren und mTLS für eingehende API-Anfragen erzwingen. Dies reduziert die Komplexität in den internen Services.

Server-Konfiguration für mTLS

server {
    listen 443 ssl;
    server_name api.example.local;
ssl_certificate /etc/ssl/certs/server.crt;
ssl_certificate_key /etc/ssl/private/server.key;
ssl_client_certificate /etc/ssl/certs/ca-client.crt;
ssl_verify_client on;

location / {
    proxy_pass http://backend_service;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

}



ssl_client_certificate: CA-Zertifikat, das die Client-Zertifikate signiert
ssl_verify_client on: Erzwingt die Präsentation eines gültigen Client-Zertifikats
proxy_set_header: Leitet Header korrekt an den Backend-Service weiter

Client-Zertifikate erstellen
Für jeden Service, der die API aufrufen darf, wird ein individuelles Zertifikat erzeugt.
# Private Key für Client
openssl genrsa -out client.key 2048

# CSR erstellen
openssl req -new -key client.key -out client.csr -subj "/CN=service1"

# Signierung durch interne CA
openssl x509 -req -in client.csr -CA ca-client.crt -CAkey ca-client.key -CAcreateserial -out client.crt -days 365 -sha256


Private Keys sicher aufbewahren
Verwendung von unterschiedlichen CNs (Common Names) für Audit und Identifikation
Regelmäßige Rotation der Zertifikate einplanen

Best Practices für mTLS am Edge

Nur interne Services erhalten Client-Zertifikate
Kurze Gültigkeitsdauer für Zertifikate bei hoher Rotation
Integration in CI/CD, um Zertifikatswechsel automatisiert zu verteilen
Fehlerhafte oder abgelaufene Zertifikate frühzeitig überwachen
Fallback-Mechanismen testen: was passiert bei ungültigen Zertifikaten

Monitoring und Logging
Transparenz über mTLS-Verbindungen ist wichtig. Nginx kann Client-Zertifikatsinformationen in Logs ausgeben.
log_format mTLS '$remote_addr - $remote_user [$time_local] '
                 '"$request" $status $body_bytes_sent '
                 '"$http_referer" "$http_user_agent" '
                 'CN=$ssl_client_s_dn';

access_log /var/log/nginx/mtls_access.log mTLS;


CN und weitere Felder ermöglichen Audit der aufrufenden Services
Monitoring kann ungewöhnliche Zugriffe frühzeitig erkennen
Integration in zentralisierte Logging-Systeme wie ELK/Opensearch möglich

Fehlerbehandlung
Einige typische Szenarien:

Kein Client-Zertifikat: Nginx antwortet mit 400 Bad Request
Ungültiges Zertifikat: 495 SSL Certificate Error
Abgelaufenes Zertifikat: Verbindung wird verweigert
Debugging: ssl_verify_client optional in Testumgebungen verwenden

Integration in Service Mesh
In Kubernetes-Umgebungen kann mTLS auch durch Sidecars (z. B. Envoy/Istio) automatisiert werden. Nginx bleibt hier am Edge für externe API-Requests zuständig.

Service-zu-Service Kommunikation intern über Mesh mTLS
Edge-TLS über Nginx für externe Aufrufe
Audit, Logging und Rate-Limiting zentral am Edge

Zusammenfassung
mTLS am Edge bietet eine starke Sicherheitsbarriere für interne APIs, insbesondere in Microservice-Architekturen. Durch Nginx als Gateway können Client-Zertifikate durchgesetzt, Zugriffe geloggt und Fehler zentral behandelt werden. Best Practices wie kurze Zertifikatslaufzeiten, automatisierte Rotation und Monitoring runden das Konzept ab und sorgen für sichere, auditierbare API-Kommunikation.
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3
Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.
Meine Leistungen umfassen:


Professionelle Konfiguration von Routern und Switches


Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen


Erstellung von Topologien und Simulationen in Cisco Packet Tracer


Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG


Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible


Erstellung von Skripten für wiederkehrende Netzwerkaufgaben


Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege


Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting


Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.