大家晚上好，
我有 2 台服务器在不同的数据中心运行，它们都使用 OpenVPN 连接。两台服务器都有自己的 ca 服务器，可以使用中间证书签署新证书，这些证书目前由单独的根证书签署（每台服务器都有自己的根证书，这些证书安全地离线存储。）
如果一个 CA 不可用（受到损害、服务器离线等），我想确保 CA1 的证书在最初使用 CA2 创建时被接受。（因此是经典的证书交叉签名）。
我可以为中间证书生成密钥并由两个 CA 对其进行签名，但我不明白如何将两个证书放在一起，以便如果仅 CA2 受信任，则由 CA1 签名的证书仍然有效。
我的问题： - 如何写出交叉签名的中间证书。 - 这与 X509 有什么关系？我读到 X509 中不包含交叉签名。整个过程到底是如何进行的？
如何链接客户端证书和中间证书？（例如 NGINX）。
谢谢您的回答 ：），
根普科