超详细！用OpenSSL创建自签名证书的完整指南（含高级技巧）

本文将为大家分享一篇超详细的使用 OpenSSL 创建自签名证书的完整指南教程，希望对大家有帮助。

一、为什么需要自签名证书？

自签名证书是由证书持有者自己签发的 SSL/TLS 证书，无需通过第三方 CA 认证。它在以下场景中非常实用：

• 开发测试环境：快速搭建 HTTPS 服务，避免购买证书的繁琐流程
• 企业内部网络：保护 VPN、邮件服务器等内部通信，降低成本
• 个人项目：学习 PKI 体系或临时验证接口安全性

虽然自签名证书不被浏览器默认信任，但通过手动导入可解决信任问题。

二、准备工作

1. 安装 OpenSSL
   大多数 Linux 系统已预装，可通过命令验证：

   openssl version
   

   若未安装，使用包管理器安装：

   # Debian/Ubuntu
   sudo apt-get install openssl
   # CentOS/RHEL
   sudo yum install openssl
   

2. 创建工作目录
   建议将证书相关文件集中管理：

   mkdir ~/ssl_certs && cd ~/ssl_certs
   

三、生成自签名证书的核心步骤

1. 生成私钥（Private Key）

私钥是证书的核心，必须严格保密！

openssl genpkey -algorithm RSA -out server.key -pkeyopt rsa_keygen_bits:4096

• 参数说明：
  • -algorithm RSA：使用 RSA 算法（推荐 2048 位以上）
  • -pkeyopt rsa_keygen_bits:4096：生成 4096 位高强度密钥
  • -out server.key：私钥保存路径

2. 创建证书签名请求（CSR）

CSR 包含公钥和证书主题信息：

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=Example Inc./CN=example.com"

• 参数说明：
  • -subj：指定证书主题信息，CN 必须与域名或 IP 一致
  • 若需支持多域名/IP，需添加 SAN 扩展（见下文高级技巧）

3. 生成自签名证书

使用私钥对 CSR 进行签名：

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

• 参数说明：
  • -days 365：证书有效期（可改为 3650 天）
  • -in server.csr：指定 CSR 文件
  • -signkey server.key：使用的私钥

4. 验证证书有效性

openssl x509 -in server.crt -text -noout

重点检查：

• 有效期（Validity）
• 主题信息（Subject）
• 签名算法（Signature Algorithm）

四、高级技巧：让证书更强大

1. 添加主题备用名称（SAN）

支持多域名/IP，避免浏览器警告：

# 创建配置文件 san.cnf
echo -e "[req]\nreq_extensions = SAN\n[SAN]\nsubjectAltName = DNS:example.com,DNS:www.example.com,IP:192.168.1.100" > san.cnf

# 生成带 SAN 的 CSR
openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=Example Inc./CN=example.com" -config san.cnf

# 生成证书时指定扩展
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt -extfile san.cnf -extensions SAN

2. 加密私钥（可选）

为私钥添加密码保护：

openssl rsa -aes256 -in server.key -out server_encrypted.key

• 输入密码后，私钥将被 AES-256 加密
• 使用时需通过-passin 参数指定密码

3. 生成证书链（CA 签名模式）

适合大规模证书管理：

# 生成根 CA 证书
openssl req -x509 -newkey rsa:4096 -keyout ca.key -out ca.crt -days 3650 -subj "/C=CN/CN=Example CA"

# 生成服务器证书（由 CA 签名）
openssl req -newkey rsa:4096 -keyout server.key -out server.csr -subj "/C=CN/CN=example.com"
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt

客户端需信任根 CA 证书才能验证服务器证书

五、安装证书到系统信任列表

1. Windows

1. 双击 server.crt，选择「安装证书」
2. 选择「受信任的根证书颁发机构」存储
3. 重启浏览器生效

2. macOS

1. 双击 server.crt，打开钥匙串访问
2. 找到证书，右键「显示简介」
3. 展开「信任」，选择「始终信任」
4. 输入管理员密码

3. Linux（以 Ubuntu 为例）

sudo cp server.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

六、注意事项与常见问题

1. 信任问题

• 自签名证书会被浏览器标记为不安全，需手动导入信任
• 生产环境强烈建议使用受信任的 CA 证书

2. 私钥安全

• 私钥泄露将导致证书失效，建议离线存储并定期轮换
• 加密私钥可增加一层保护，但需妥善保管密码

3. 证书有效期

• 建议设置较短有效期（如 1 年），到期前需重新生成
• 使用-days 参数调整有效期，最长不超过 10 年

4. 兼容性问题

• 旧浏览器可能不支持 SHA-256 算法，可通过-sha1 参数兼容（不推荐）
• 确保服务器配置正确的 SSL 协议和密码套件

七、验证证书链（高级）

若使用 CA 签名模式，需验证证书链：

# 验证服务器证书
openssl verify -CAfile ca.crt server.crt

# 验证证书链（包含中间 CA）
openssl verify -CAfile ca.crt -untrusted intermediate.crt server.crt

八、结语

通过本文，你已掌握：

1. 自签名证书的核心生成流程
2. SAN 扩展、证书链等高级技巧
3. 多平台信任配置方法
4. 安全性注意事项

自签名证书是开发测试的利器，但生产环境仍需专业 CA 支持。掌握这些技能后，你可以快速构建安全的本地 HTTPS 环境，同时深入理解 SSL/TLS 的工作原理。

以上就是关于使用 OpenSSL 创建自签名证书的完整教程，希望这篇教程能帮助你高效解决证书问题，享受安全开发的乐趣！

以上关于超详细！用OpenSSL创建自签名证书的完整指南（含高级技巧）的文章就介绍到这了，更多相关内容请搜索码云笔记以前的文章或继续浏览下面的相关文章，希望大家以后多多支持码云笔记。