更新SSL证书时的私钥更改

Question

使用新私钥更新证书时，以前连接的浏览器会发生什么情况？旧证书是否会被缓存并且请求的加密不正确？是否有可能在第4层运行多个服务器负载平衡，其中一些服务器拥有新的和其他旧的证书，而不会导致连接失败，假设没有使用粘性会话？

Answer 1

客户端通常不缓存SSL/TLS证书。只有当您使用“HTTP公钥固定扩展（HPKP）”客户端时，才会执行缓存并检查提供的证书（或确切地说，该证书的某些属性）。要更改证书，HPKP可以“允许”多个证书（例如一个旧的和一个新的证书）。

关于负载平衡器：如果他们在osi层4上工作，我假设他们在TCP层上工作。因此，平衡器后面的每台服务器都会建立它自己的SSL/TLS会话。如果会话不在服务器之间共享，则如果不是所有服务器都使用相同的证书，则不应该出现问题事件 - 只要所有证书都有效。 客户端可以在启动SSL/TLS连接时提供SSL/TLS会话标识，但服务器会决定会话是否已知。因此，如果客户端引用来自不同服务器的会话，则不会发生任何错误，客户端和服务器只需建立新会话。