CA & OpenSSL自签名证书（服务器/客户端）

zyx-java

已于 2024-07-08 17:23:18 修改

阅读量822

点赞数

文章标签：网络 linux 服务器

于 2023-05-10 10:12:13 首次发布

本文链接：https://blog.youkuaiyun.com/mengting2040/article/details/130584341

版权

本文详细介绍了如何使用OpenSSL生成自签名的根证书、服务器证书和客户端证书。创建过程中涉及创建Root Pair、配置Root Key和Crt，以及设置服务器和客户端的证书扩展属性。注意服务器证书的白名单配置，必须包含服务器的外网IP地址，否则可能导致错误。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

参考文章

https://juejin.cn/post/7092789498823573518
https://blog.youkuaiyun.com/mengting2040/article/details/120001810

使用 OpenSSL 生成证书

创建根证书

创建 Root Pair

Root Pair 即根证书的公钥和私钥，创建 Root Pair 需要在绝对安全的环境下，可以断开网络、拔掉网线和网卡，如果是在测试环境则无所谓。
首先我们创建一个 root 文件夹，用来存放根证书相关的文件：

mkdir root

创建 Root Key

可以使用 genrsa 命令创建 Root key，如下创建一个4096位的RSA私钥，并用aes256加密(密码为lettin11)，保存为root/ca.key文件

openssl genrsa -aes256 -passout pass:lettin11 -out root/ca.key 4096

创建 Root Crt

这一步就是创建根证书了，需要通过 req 子命令来创建，而且需要一个 Root CA 的 openssl.cnf 配置文件，可以复制下来自己修改（文件路径：root/openssl.cnf）

# OpenSSL root CA configuration file.
# Copy to `./root/openssl.cnf`.

[ ca ]
# `man ca`
default_ca = CA_default

[ CA_default ]
# Directory and file locations.
dir               = ./root
new_certs_dir     = $dir
database          = $dir/index.txt
serial            = $dir/serial


# The root key and root certificate.
private_key       = $dir/ca.key
certificate       = $dir/ca.crt

policy            =