如何处理不受信任的CA以在Nginx中启用双向TLS？

Question

我要使用以下配置在Nginx中验证客户端证书：

server {
    listen 443 ssl;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    server_name www.example.com;
    ssl_certificate server.crt;
    ssl_certificate_key server.key;

    ssl_verify_client on;
    ssl_client_certificate ca.crt;
}

“ ca.crt”是ROOT证书，但不受信任。当客户端请求服务器时，我可以在Nginx错误日志中找到代码为21的错误“无法验证第一个证书”。我尝试使用update-ca-trust extract命令将“ ca.crt”导入信任存储，以使Redhat系统信任“ ca.crt”，但仍然无法正常工作。在这种情况下如何实现客户验证？谢谢。