《Linux运维实战：使用openssl生成免费证书》

分手后的思念是犯贱 2023-01-20 09:49 25阅读 0赞

### 文章目录 ###

*  一、背景
 *  二、生成证书
 *  三、Nginx配置
 *  四、安装客户端证书
 *  总结：整理不易，如果对你有帮助，可否点赞关注一下？

--------------------

# 一、背景 #

**由于第三方外部应用使用的是https，系统是部署在专网环境，无法使用外网ssl证书，所以需要将我们的系统在内网中实现全站https，才能调用第三方接口，这里采用自签名的证书方式且使用openssl工具实现。**

--------------------

# 二、生成证书 #

# 1、创建CA.cnf文件;
    # 说明：CA.cnf文件是为申请CA根证书的配置文件
    mkdir -p /opt/ssl && cd /opt/ssl
    vim CA.cnf
    [ req ]
    distinguished_name  = req_distinguished_name
    x509_extensions     = root_ca
     
    [ req_distinguished_name ]
     
    # 以下内容可随意填写
    countryName             = CN (2 letter code)
    countryName_min         = 2
    countryName_max         = 2
    stateOrProvinceName     = guangdong
    localityName            = shenzhen
    0.organizationName      = sxdl
    organizationalUnitName  = technology 
    commonName              = sxdl
    commonName_max          = 64
    emailAddress            = admin@sxdl.com 
    emailAddress_max        = 64
     
    [ root_ca ]
    basicConstraints            = critical, CA:true
    
    
    # 2、ServerCA.ext
    # 说明：ServerCA.ext是生成服务器证书的扩展配置文件
    cd /opt/ssl && vim ServerCA.ext
    subjectAltName = @anxin
    extendedKeyUsage = serverAuth
    
    [anxin]
    # 域名，如有多个用DNS.2,DNS.3…来增加
    DNS.1 = 
    # IP地址
    IP.1 = 192.168.1.170  #根据自己实际情况填写
    
    # 3、生产CA根证书和服务器证书
    vim a.sh
    #!/bin/bash
    openssl req -x509 -newkey rsa:2048 -out CA.cer -outform PEM -keyout CA.pvk -days 10000 -verbose -config CA.cnf -nodes -sha256 -subj "/CN= CA"
    openssl req -newkey rsa:2048 -keyout ServerCA.pvk -out ServerCA.req -subj /CN=192.168.1.170 -sha256 -nodes
    openssl x509 -req -CA CA.cer -CAkey CA.pvk -in ServerCA.req -out ServerCA.cer -days 10000 -extfile ServerCA.ext -sha256 -set_serial 0x1111
    
    # 4、执行脚本
    sh a.sh
    
    # 总结
    # 如果当前ip与我这里的ip不一致，请修改为对应的ip

**执行完效果如下：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70]

--------------------

# 三、Nginx配置 #

# 1、拷贝证书文件到/etc/nginx目录
    cd /opt/ssl
    cp ServerCA.cer ServerCA.pvk  /etc/nginx/
    
    # 2、编辑nginx.conf文件
        server { 
            listen  80;
            server_name     192.168.1.170;
            return  301     https://$host$request_uri;
        }
        server { 
            listen 443 default ssl;  #监听443端口
            server_name    192.168.1.170;
            ssl_certificate     /etc/nginx/ServerCA.cer;
            ssl_certificate_key /etc/nginx/ServerCA.pvk;
            ssl_session_cache    shared:SSL:1m;
            ssl_session_timeout  5m;
            ssl_ciphers  HIGH:!aNULL:!MD5;
            ssl_prefer_server_ciphers  on;
            ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
            location / { 
                root /usr/share/nginx/html;
                index index.html;
            }
        }
    
    # 3、加载配置文件
    nginx -t
    nginx -s reload

--------------------

# 四、安装客户端证书 #

**说明：将CA.cer文件拷贝到windows电脑桌面上，点击安装。**

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 1]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 2]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 3]  
**查找证书**  
**【Win+R】—> certmgr.msc —> 操作 —>查找证书**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 4]  
**注意事项一：如果此时还是不安全，如下图所示， 记得一定要重启电脑然后在打开浏览器访问后尝试**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 5]

**注意事项二：如果此时还是不安全，如下图所示**

**解决方法：在chrome的地址栏里输入 chrome://net-internals/\#hsts**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 6]  
**安装完成之后，效果图如下：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 7]

--------------------

# 总结：整理不易，如果对你有帮助，可否点赞关注一下？ #

**更多详细内容请参考：[Linux运维实战总结][Linux]**

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70]: /images/20221021/2db3c35e46604bc381202cdcac4729cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 1]: /images/20221021/b306bd62fbaf4851a81cc6b1c261c0dd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 2]: /images/20221021/7db1945788bc45fea408ad65de31eb82.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 3]: /images/20221021/6ee1eb064ea34a51b508c1ab7bc65068.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 4]: /images/20221021/ec7a7b4d65ec41fea62316ae5be17f74.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 5]: /images/20221021/cf80cd147db349d3bc02a044e0cc7e1b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 6]: /images/20221021/ac99159ca6954f758522e75b4b440062.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 7]: /images/20221021/e229832679dd4e26ac89ebba5a34a78e.png
[Linux]: https://blog.csdn.net/m0_37814112/category_10867749.html?spm=1001.2014.3001.5482