K8s 集群 mTLS 证书轮换时出现 3–8 秒明文降级窗口，如何做到零降级零中断？

【背景】 我负责一套 K8s 1.28（containerd 1.7）集群上约 60 个微服务的传输层安全加固。服务间通信走 Istio 1.21 的 mTLS（STRICT 模式），证书由 cert-manager 签发，初始有效期 90 天。安全合规要求：任何时刻、任何路径上，Pod 间流量不得出现明文。

【现象】 过去 12 个月里，计划内证书轮换触发了 3 次事故：

1. 第 1 次：某 namespace 的 12 个 Pod 在同一秒收到新证书，但 Envoy sidecar 的 xDS 推送有 2–5 秒延迟，期间旧证书仍被对端 Pod 接受（对端还没收到新证书），握手成功但用的是即将过期的证书——严格来说没降级，但审计日志里出现了"使用已标记为 deprecated 的证书"告警。
2. 第 2 次：更严重。一个 Deployment 的滚动更新和新证书下发产生了竞态：新 Pod 拿到的挂载卷里还是旧 CA，旧 Pod 已经收到新证书。结果 mTLS 双向校验失败，Istio 的 STRICT 策略把流量直接 RST 掉，持续约 6 秒，上游网关返回 502。
3. 第 3 次：最隐蔽。一次 cert-manager 的 Issuer 切换（从自签 CA 切到内部 PKI），新 CA 和旧 CA 的信任链没有同时下发到所有 Node，导致约 4 秒窗口内部分 Envoy 把 mTLS 降级为单向 TLS（服务端校验通过、客户端没校验），流量"看起来正常"但安全等级已经掉了。事后靠审计日志里的 TLS cipher 字段差异才发现。

【已尝试的排查与结果】

• 按 namespace 错峰轮换（间隔 30 秒）：缓解了第 1 次的问题，但第 2 次和第 3 次的竞态依然存在，因为问题出在 Pod 级别而非 namespace 级别。
• 把证书有效期从 90 天缩短到 30 天、cert-manager 提前 15 天自动续签：减少了手动操作窗口，但自动续签时仍然撞上滚动更新。
• 在 Istio PeerAuthentication 里加了 tolerations 字段（允许旧证书在 60 秒内继续有效）：第 1 次的问题解决了，但第 2 次（CA 不匹配）和第 3 次（单向降级）没有覆盖到。
• 抓 Envoy access log + istioctl analyze：能事后发现降级，但做不到实时阻断。

【期望得到的答案形态】 希望社区里做过类似加固的朋友给出具体的、可复现的方案，最好包含：

1. 双证书共存的具体配置：让新旧证书在过渡窗口内同时被接受，过渡期结束后旧证书自动失效——证书怎么签、怎么挂载、Istio 的 PeerAuthentication / DestinationRule 怎么配；
2. 零降级验证：有没有办法在运行时实时检测"mTLS 是否真的双向校验通过"，而不是事后翻日志？比如 eBPF 探针、Envoy 的 TLS 统计指标、或者一个轻量 sidecar 做握手审计；
3. 与滚动更新的协调：readiness probe 里加证书校验、或者用 Istio 的 drainDuration 控制 Pod 退出时先完成 in-flight 请求再销毁 sidecar，有没有人踩过坑、踩过什么坑；
4. 如果 Istio 方案太重，纯 cert-manager + 自写 CA 注入的轻量方案是否可行？

如果社区里有现成的 runbook 或 config 片段，直接贴出来最好。