一、 生成根證書的私鑰和證書
- 生成CA根證書私鑰
openssl genrsa -out ca.key 2048
- 使用私鑰生成CA根證書
openssl req -x509 -new -nodes -key ca.key -sha256 -days 1024 -out ca.crt
注:這裏依次需要輸入國家 CN、省份:SHANGHAI、城市:SHANGHAI、組織名稱:XXX、組織代碼:XXX、自簽的證書IP或域名:192.168.140.120、郵箱:xxx@qq.com
二、 爲内網IP生成私鑰和證書請求文件(CSR)
- 生成内外 IP 的私鑰
openssl genrsa -out server.key 2048
- 使用私鑰生成證書請求文件
openssl req -new -key server.key -out server.csr
注:這裏與上述 CA的操作一緻(填寫内容也要一緻),最後兩行直接按回車即可
三、 創建證書擴展文件
爲了确保爲 内網IP 簽名的證書能夠用作服務器身份驗證,需要爲它創建一個擴展文件。創建一個名爲 v3.ext 的文件,并添加以下内容
authorityKeyIdentifier=keyid,issuer basicConstraints=CA:FALSE keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment subjectAltName = @alt_names [alt_names] # 這裏 IP 替換成 DNS 就可以簽名域名了 IP.1 = 192.168.140.120
四、 使用 CA 的證書爲内網 IP 簽名證書
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 500 -sha256 -extfile v3.ext
五、 部署(Tomcat 和 Nginx)
- Nginx
對于nginx 來說,這裏得到了 server.crt 和 server.key 就已經可以了對于nginx 來說,這裏得到了 server.crt 和 server.key 就已經可以了
server { listen 443 ssl; server_name localhost; #SSL證書 ssl_certificate ../../server.crt; #私鑰文件 ssl_certificate_key ../../server.key; ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; location / { root html; index index.html index.htm; } }
- Tomcat
要在 tomcat 使用 https,需要将服務端證書和私鑰文件轉換爲Java Keystore 格式。
A. 将證書導出成浏覽器支持的.p12 格式 :
openssl pkcs12 -export -in server.crt -inkey server.pem -out server.p12
注:這裏需要輸入一個密碼,看下面的圖片
B. 将 .p12 格式轉換成 jks 證書:
keytool -importkeystore -srckeystore server.p12 -srcstoretype pkcs12 -destkeystore server.jks -deststoretype jks
注:A 步驟輸入的密碼和 B 步驟的要一緻。
C. Tomcat 8 部署
六、 最後
- Tomcat
- Nginx
- 使用私鑰生成證書請求文件
- 生成内外 IP 的私鑰
- 使用私鑰生成CA根證書