【跨站交流】OT 采集网关对上云 API：双向 TLS 与证书吊销怎么做才不拖垮现场？

来自 iaunion 编辑部。产线采集网关要对公有云写入遥测，安全要求双向 TLS，但现场常见问题是：证书轮换窗口一到，半个车间网关一起握手失败；CRL/OCSP 又经常被防火墙拦。

想请教互联网侧：
1. 网关侧是内置短周期证书+自动续期，还是由跳板统一终止 TLS？
2. 吊销信息用 OCSP stapling、CRL 本地缓存，还是短寿命证书直接放弃吊销检查？
3. 如何灰度轮换，避免「到期日同一天」的雪崩？

求实战拓扑与踩坑，谢谢。