openssl 生成自签名证书

1、openssl生成CA根证书

1.1、生成CA私钥

openssl genrsa -out root_ca.key 2048

注意: 私钥必须妥善保管,既不能丢失,也不能泄露。如果发生丢失和泄露,必须马上重新

生成,以使旧的证书失效。

1.2、通过ca私钥生成pem格式的ca根证书

openssl req -x509 -new -nodes -key root_ca.key -sha256 -days 36500 -out root_ca.pem

接下来需要填写:

Country Name (2 letter code) [XX]:CN

State or Province Name (full name) []:ShannXi

Locality Name (eg, city) [Default City]:XiAn

Organization Name (eg, company) [Default Company Ltd]:xxx

Organizational Unit Name (eg, section) []:Test

Common Name (eg, your name or your server's hostname) []:xxx

Email Address []:

注意: '-days 36500'代表生成的根证书的有效期为36500天,下面的参数根据实际填写即可。

2、用根证书签发server证书

2.1、生成服务端私钥:

openssl genrsa -out http_server.key 2048

2.2、新建server_req.conf文件:

req

default_bits = 2048

distinguished_name = req_distinguished_name

req_extensions = req_ext

x509_extensions = v3_req

prompt = no

req_distinguished_name

countryName = CN

stateOrProvinceName = ShannXi

localityName = XiAn

organizationName = xxx

commonName = *.xxx.com #修改 设备连接用的域名或ip

req_ext

subjectAltName = @alt_names

v3_req

subjectAltName = @alt_names

alt_names

IP.1 = 0.0.0.0

IP.2 = 127.0.0.1

IP.3 = xxxxx

IP.4 = xxxxx

DNS.1 = *.xxx.com

DNS.2 = localhost

注意:

1、alt_names里的IP列填设备要访问的服务端的IP地址。

2、alt_names里的DNS列填设备要访问的服务端的域名地址。

3、commonName 填设备要访问的服务端的IP或域名地址。

4、当客户端访问服务端的地址为IP地址,那么只会在x509的扩展项subjectAltName 中寻找IP进行 匹配,也就是到alt_names 里面的IP列去寻找IP进行匹配。

5、当客户端访问服务端的地址为域名地址,则除了在 subjectAltName 中寻找域名进行匹配(也就是到alt_names里面的DNS列去匹配)外,还会检查req_distinguished_name中的 commonName 是否和域名匹配。

2.3、生成证书签名请求:

openssl req -new -key ./http_server.key -config server_req.conf -out http_server.csr

2.4、生成最终服务端证书

用请求文件、根证书、私钥、server_req.conf,签发新的服务端证书:http_server.pem,

设置有效期为36500天。

openssl x509 -req -in ./http_server.csr -CA root_ca.pem -CAkey root_ca.key -CAcreateserial -out http_server.pem -days 36500 -sha256 -extensions v3_req -extfile server_req.conf

3、用根证给签发client证书

3.1生成客户端私钥

openssl genrsa -out xxxxx.key 2048

注意:文件名为:xxxxx。

3.2、生成客户端证书签名请

openssl req -new -key xxxxx.key -out xxxxx.csr -subj "/C=CN/ST=Shanghai/L=Shanghai/O=Shanghai/CN=xxxxx"

注意:文件名、参数CN值,应该保持一致,都为xxxxx。

3.3、签发客户端证书

用证书请求文件、根证书、私钥,签发客户端证书:xxxxx.pem,设置有效期为36500天。文件名为:xxxxx。

openssl x509 -req -days 36500 -in xxxxx.csr -CA root_ca.pem -CAkey root_ca.key -CAcreateserial -out xxxxx.pem

4、当更换服务端的IP或者域名时

当迁移服务器,导致服务端IP变更,或者客户端访问服务端的域名发生变更时,我们该如何更换自签名证书?

4.1、当服务端的IP发生变更时:

只需要将新的IP 地址更新到server_req.conf 文件里alt_names 的IP列里面,然后用server_req.conf文件重新生成服务端证书签名请求,再重新生成服务端证书,用新证书替换原有的服务端旧证书,再重启ac-gateway-http服务,设备端不用变更证书,就可以直接访问新服务器了。

4.2、当服务端的域名发生变更时:

当服务端是以域名地址提供对外服务时,当域名地址变更时,我们除了要将新的域名地址更新到server_req.conf 文件里alt_names 的DNS列里面,还要将req_distinguished_name中的 commonName值更新成新的域名地址,然后用server_req.conf文件重新生成服务端证书签名请求,再重新生成服务端证书,用新证书替换原有的服务端旧证书,然后重启ac-gateway-http服务,设备端不用变更证书,就可以直接访问新服务器了。

相关推荐
遇见火星3 小时前
Ubuntu Docker 容器化部署教程
linux·ubuntu·docker
ybb_ymm4 小时前
mysql8在linux下的默认规则修改
linux·运维·数据库·mysql
半梦半醒*4 小时前
zabbix安装
linux·运维·前端·网络·zabbix
2501_915106327 小时前
Comodo HTTPS 在工程中的部署与排查实战(证书链、兼容性与真机抓包策略)
网络协议·http·ios·小程序·https·uni-app·iphone
2501_915909067 小时前
苹果软件混淆与 iOS 代码加固趋势,IPA 加密、应用防反编译与无源码保护的工程化演进
android·ios·小程序·https·uni-app·iphone·webview
2501_916007477 小时前
苹果软件混淆与 iOS 应用加固实录,从被逆向到 IPA 文件防反编译与无源码混淆解决方案
android·ios·小程序·https·uni-app·iphone·webview
武文斌777 小时前
复习总结最终版:单片机
linux·单片机·嵌入式硬件·学习
驱动探索者7 小时前
贝尔实验室发展史:20世纪科技圣殿的辉煌与沉浮
linux
何朴尧8 小时前
centos/cuos如何开启软件源
linux·运维·centos
YouEmbedded8 小时前
解码Linux文件IO之标准IO
linux·文件io·系统io