OpenWrt 系统下配置 SSL 证书的完整指南
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
美国云虚拟主机 助力出海企业低成本上云 WAF网站防火墙 为您的业务网站保驾护航
本文详细介绍了在 OpenWrt 系统下配置 SSL 证书的完整步骤，包括准备证书文件、安装必要的软件包、配置 uHTTPd 服务器以及重启服务等过程，帮助用户实现 HTTPS 安全访问，提升网络服务的安全性与可信度。
在当今高度互联的网络环境中,数据传输的安全性已成为不可忽视的重要议题，随着 HTTPS 协议的广泛普及，SSL/TLS 证书已经成为现代网站和各类网络服务的标准配置，对于使用 OpenWrt 系统的路由器用户来说，配置 SSL 证书不仅可以显著提升 Web 管理界面（如 LuCI）的安全性，还能为本地搭建的 Web 服务、反向代理、家庭私有云盘等提供加密通信支持。
本文将详细介绍如何在 OpenWrt 系统中部署 SSL 证书，涵盖从证书申请、安装到服务配置的全过程，帮助你打造更加安全可靠的网络环境。
OpenWrt 系统简介
OpenWrt 是一款基于 Linux 内核的嵌入式操作系统，专为路由器等网络设备设计，它以高度可定制性、丰富的软件包支持和强大的网络功能而受到技术爱好者和网络管理者的广泛欢迎，OpenWrt 提供了完整的软件包管理系统，用户可以根据需求自由安装各类网络服务，如 Web 服务器（如 uHTTPd）、DNS 服务、DHCP 服务、防火墙模块等。
默认情况下,OpenWrt 的 Web 管理界面 LuCI 使用的是一个自签名的 SSL 证书，虽然这种证书可以实现基本的加密通信，但由于不是由可信的证书颁发机构（CA）签发，大多数浏览器会显示“连接不安全”的警告信息，为了消除这类提示并提升访问体验与安全性，我们可以手动配置受信任的 SSL 证书。
SSL/TLS 证书简介
SSL（Secure Sockets Layer）及其后继协议 TLS（Transport Layer Security）是用于在客户端与服务器之间建立加密连接的安全协议，通过在服务器上部署 SSL/TLS 证书，可以实现 HTTPS 协议通信，从而有效保护数据在传输过程中的隐私性和完整性。
SSL 证书通常由受信任的 CA（Certificate Authority）颁发，常见的证书颁发机构包括 Let's Encrypt、DigiCert、Comodo、GoDaddy 等，Let's Encrypt 是一个提供免费、自动化、开放证书颁发服务的非营利组织，非常适合个人用户和小型项目使用。
在 OpenWrt 上配置 SSL 证书的完整步骤
准备环境
在开始配置之前,请确保你的 OpenWrt 路由器已经接入互联网，并可以通过 LuCI 或 SSH 登录系统，推荐使用 SSH 进行操作，以便更方便地执行命令行任务。
更新软件包列表并安装必要的工具：
opkg update opkg install uhttpd openssl-util
如果你计划使用 Let's Encrypt 证书，还需安装 acme 客户端工具：
opkg install acme
生成私钥与 CSR（可选）
如果你打算从商业证书颁发机构（如 DigiCert、Comodo）获取证书，需要先生成私钥和证书签名请求（CSR）：
openssl genrsa -out /etc/ssl/private/server.key 2048 openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/certs/server.csr
执行上述命令后,将生成两个文件：server.key（私钥）和 server.csr（证书签名请求），将 server.csr 提交给 CA 即可申请正式的 SSL 证书。
获取 Let's Encrypt 证书
Let's Encrypt 提供了自动化的证书申请和更新机制，非常适合在 OpenWrt 等嵌入式设备上使用，我们可以通过 acme.sh 脚本来实现证书的自动签发。
编辑 acme 的全局配置文件 /etc/acme/acme.conf，设置邮箱地址和默认证书颁发机构（推荐使用 Let's Encrypt）：
email="your@email.com" server="https://acme-v02.api.letsencrypt.org/directory"
为你的域名创建单独的证书配置文件,/etc/acme/example.com.conf：
domain="example.com" alt_domains="www.example.com" key_type="rsa" key_path="/etc/ssl/private/example.com.key" cert_path="/etc/ssl/certs/example.com.crt" fullchain_path="/etc/ssl/certs/example.com.fullchain.pem"
执行证书申请命令：
acme.sh --issue -d example.com -d www.example.com --webroot /www
确保你的域名已正确解析到路由器的公网 IP，80 端口未被其他服务占用，申请成功后，证书文件将保存在你指定的路径中。
配置 uHTTPd 使用 SSL 证书
OpenWrt 默认使用 uHTTPd 作为 Web 服务器，为了启用 HTTPS，我们需要修改其配置文件以加载证书。
编辑 /etc/config/uhttpd，调整相关配置项如下：
config uhttpd 'main'
option listen_http '0.0.0.0:80'
option listen_https '0.0.0.0:443'
option home '/www'
option rfc1918_filter '1'
option max_requests '3'
option cert '/etc/ssl/certs/example.com.fullchain.pem'
option key '/etc/ssl/private/example.com.key'
保存后,重启 uHTTPd 服务以应用更改：
/etc/init.d/uhttpd restart
你的 LuCI 管理界面或其他 Web 服务即可通过 HTTPS 安全访问。
自动更新 Let's Encrypt 证书
Let's Encrypt 颁发的证书有效期为 90 天，因此建议配置自动更新机制，OpenWrt 可通过 cron 定时任务实现自动化更新。
编辑当前用户的定时任务：
crontab -e
添加以下条目,表示每天凌晨 2 点执行更新操作：
0 2 * * * /usr/bin/acme.sh --cron --home /etc/acme
保存退出后,重启 cron 服务以使配置生效：
opkg install acme0
常见问题与解决方案
-
证书申请失败
检查域名解析是否正确，确保 80 端口未被占用，并确认公网 IP 与域名绑定一致。 -
证书未生效
核对 uHTTPd 配置中证书路径是否正确，并确认服务已重启。 -
浏览器仍提示“不安全”
可能是中间证书未正确拼接，请确保使用的是fullchain.pem文件而非仅证书文件。 -
私钥权限问题
私钥文件权限应设置为600，所有者为root，防止权限泄露。
扩展应用：使用 OpenWrt 搭建 HTTPS 本地服务
除了提升 LuCI 管理界面的安全性，OpenWrt 还可以作为轻量级服务器运行各类 HTTPS 服务，
- 搭建家庭 NAS 的管理控制面板
- 运行个人博客、Wiki 系统
- 部署内网穿透工具的 Web 管理界面
- 构建私有 Git 服务器
- 搭建小型监控平台或 IoT 管理中心
在这些场景中,SSL 证书不仅能确保数据在局域网或公网中安全传输，还能提升服务的可信度与用户体验。
通过本文的详细指导,你应该已经掌握了如何在 OpenWrt 系统中配置 SSL 证书的基本流程，无论是提升路由器管理界面的安全性，还是搭建本地 HTTPS 服务，配置 SSL 都是一项非常实用且值得掌握的技能。
如果你对 OpenWrt 和 SSL/TLS 有更深入的兴趣，还可以尝试集成更多高级功能，如：
- OCSP Stapling（提高证书状态验证效率）
- HSTS（强制 HTTPS 连接）
- HTTP/2 支持（提升传输性能）
通过不断探索与实践,你将能够构建一个更加安全、稳定、高效的网络系统。
如果你喜欢本教程，欢迎分享、收藏或提出宝贵建议！
