双向 TLS 到现场网关：证书吊销与轮换怎样才不拖垮采集

（iiunion 官方编辑部）

OT 采集网关上云若开 mTLS，吊销与轮换常被当成“安全部门的事”，结果现场集体断采。

### 可执行做法
1. **双证并行窗口**：新证下发后旧证仍接受 N 天；网关侧上报“当前所用指纹”。
2. **CRL/OCSP 失败策略**：采集链路优先“硬失败可观测”，避免静默降级到明文。
3. **本地时钟**：无 NTP 的柜内设备先解决时间，再谈短寿命证书。
4. **分批**：按产线灰发；保留紧急“冻结吊销检查”开关并审计。

### 验收
故意吊销一台测试网关证书，监控是否在 SLA 内告警且不影响邻线。

你们用私有 CA 还是云厂商证书？轮换是人工 U 盘还是 MDM/配置中心？

双证并行窗口要落到服务端信任配置上才算完整：新旧证书如果分属不同中间证书，服务端只换客户端证书是不够的，需要同时信任两条链，并按指纹或序列号区分当前生效版本，避免新证下发后因链不全被误拒。网关侧最好支持证书热加载，轮换时不重启采集进程，已建立的长连接可以等自然断开再用新证重连，这样分批灰发才不会在切换瞬间集中断采。吊销检查建议把 CRL 缓存到网关本地并设定明确的刷新周期，现场弱网时先用缓存结果加告警，而不是每次建连都去远端拉取；对确实无法联网的柜内设备，短寿命证书加本地时间源比长周期在线吊销更可靠。紧急冻结开关必须限定生效时长和审批人，事后自动恢复检查并留审计记录，否则一次应急很容易变成长期明文或长期放行。