背景
某機(jī)房?jī)?nèi)部訪問(wèn)需要配置 HTTPS，網(wǎng)上找的一些證書教程都不是特別好，有些直接生成證書，沒(méi)有根 CA 的證書導(dǎo)致信任不了 Ubuntu 機(jī)器，有些教程只有域名生成，沒(méi)有 IP 生成，有些甚至報(bào)錯(cuò)。故發(fā)一個(gè)筆者在 Ubuntu 22.04 機(jī)器上測(cè)試正確可用的流程，這里使用 10.12.0.2 作為例子生成一個(gè)證書。
生成
-
生成根 CA 的私鑰和證書
# 生成根 CA 的私鑰 openssl genrsa -out rootCA.key 2048 # 使用私鑰生成根 CA 的證書 openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.crt -
為
10.12.0.2生成私鑰和證書請(qǐng)求文件（CSR）# 生成 10.12.0.2 的私鑰 openssl genrsa -out 10.12.0.2.key 2048 # 使用私鑰生成證書請(qǐng)求文件 openssl req -new -key 10.12.0.2.key -out 10.12.0.2.csr -
創(chuàng)建證書擴(kuò)展文件
為了確保為
10.12.0.2簽名的證書能夠用作服務(wù)器身份驗(yàn)證，需要為它創(chuàng)建一個(gè)擴(kuò)展文件。創(chuàng)建一個(gè)名為v3.ext的文件，并添加以下內(nèi)容：authorityKeyIdentifier=keyid,issuer basicConstraints=CA:FALSE keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment subjectAltName = @alt_names [alt_names] # 這里 IP 替換成 DNS 就可以簽名域名了 IP.1 = 10.12.0.2 -
使用根 CA 的證書為
10.12.0.2簽名證書openssl x509 -req -in 10.12.0.2.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out 10.12.0.2.crt -days 500 -sha256 -extfile v3.ext
此時(shí)文件夾內(nèi)應(yīng)該有以下文件：
-
rootCA.key- 根 CA 的私鑰。 -
rootCA.crt- 根 CA 的證書。 -
10.12.0.2.key- 10.12.0.2 的私鑰。 -
10.12.0.2.csr- 10.12.0.2 的證書請(qǐng)求文件。 -
10.12.0.2.crt- 由根 CA 簽名的 10.12.0.2 的證書。
信任
Ubuntu
sudo cp rootCA.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates
CentOS
sudo cp rootCA.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust
Windows
右鍵文件，選擇安裝證書，選擇本地計(jì)算機(jī)，指定安裝到受信任的根證書頒發(fā)機(jī)構(gòu)，即可文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-710584.html
使用
這里拿 ASP.NET CORE 無(wú)反代部署舉例，復(fù)制 10.12.0.2.key 和 10.12.0.2.crt 文件到應(yīng)用發(fā)布目錄，之后在 appsettings.json 里加入或修改如下內(nèi)容，并重啟服務(wù)即可。文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-710584.html
{
// 上面是其他內(nèi)容
"Kestrel": {
"Endpoints": {
"Https": {
"Url": "https://*",
"Certificate": {
"Path": "./10.12.0.2.crt",
"KeyPath": "./10.12.0.2.key"
}
}
}
}
}
到了這里，關(guān)于OpenSSL 生成 RootCA （根證書）并自簽署證書（支持 IP 地址）的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
