ocserv 的 server cert 能否使用 let's encrypt，然后自建 ca 给用户签发证书，最后使用证书认证？

[ioiioi]

我看到网上有很多教程写了两者可以共存，但是还是有个疑问。假如 server certificate 用的是 let's encypt 签发的，那么 ca 就是 let's encrypt，但是 let's encrypt 并不能签发 user certificate，所以只能自行建 ca。那么问题来了，ocserv 运行的时候支持两个 ca ？

[msg7086]

至少 HTTPS 里证书双向认证，用的证书就是两套。
服务器证书是公共可信的，客户端证书是服务器自签名 CA 的。

[yywudi]

可以的，我之前就是这么干的
server 端证书用的是公共可信的，之前是花钱买的，主要是在用户连接的时候不会报证书信任错误
然后用户证书则是 CA 自签发，用作认证。
在 ocserv 里面的 ca 是自建 ca，不是 letsencrypt 的 ca

[ioiioi]

谢谢两位，解答了我的困惑
@msg7086
@yywudi

[ioiioi]

@msg7086 我还有个问题，anyconnect client 4.5 在哪里可以导入自建的 p12 证书呢？网上搜了一圈没找到。

[ioiioi]

哦，我自己回答，原来是需要先将 p12 证书下载到 windows 本地，然后使用右键的“安装 pfx ”来进行导入。