安装OpenSSL教程
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
引言：为什么需要启用 HTTPS？
随着网络安全意识的不断增强,越来越多的家庭与企业用户开始重视路由器管理界面的安全问题，OpenWrt 作为一款功能强大、高度可定制的嵌入式 Linux 系统，广泛应用于各类路由器设备中。
默认情况下,OpenWrt 提供的 Web 管理界面 LuCI 使用的是 HTTP 协议，这意味着所有通信内容（包括用户名、密码等敏感信息）都是明文传输，存在被窃听或篡改的风险，通过为 OpenWrt 添加 SSL 证书并启用 HTTPS 协议，可以有效防止中间人攻击，提升管理界面的安全性与可信度。
本文将详细讲解如何在 OpenWrt 系统中添加 SSL 证书，并配置 HTTPS 访问方式，涵盖证书生成、安装、服务配置及常见问题的解决方法，帮助你打造一个更加安全的路由器管理环境。
为什么要在 OpenWrt 中添加 SSL 证书？
在路由器上启用 HTTPS 协议，具有以下几大优势：
-
数据加密传输
SSL/TLS 协议能够对浏览器与服务器之间的通信内容进行加密，有效防止敏感信息（如登录凭证、配置参数等）被窃取。 -
身份验证
安装由可信 CA 签发的证书后，浏览器可以验证路由器管理界面的真实性，避免访问钓鱼页面。 -
提升信任度
使用 HTTPS 协议可以避免浏览器弹出“不安全连接”警告，提升用户对管理界面的信任感与使用体验。
准备工作
在开始配置之前,请确保你已完成以下准备工作：
- 一台运行 OpenWrt 系统 的路由器（Linksys WRT 系列、GL.iNet 系列等）。
- 已配置并拥有 SSH 访问权限，可以使用 PuTTY 或终端工具进行连接。
- LuCI Web 管理界面 已安装（OpenWrt 默认已集成）。
- 拥有 PEM 格式的 SSL 证书文件，可以选择以下几种方式获取：
- 自签名证书：适合内部网络使用，无需费用。
- Let’s Encrypt 免费证书：适合公网访问，浏览器信任度高。
- 商业 CA 签发的证书：适合企业级部署，提供更强的安全保障。
生成自签名 SSL 证书（适用于内网使用）
如果你仅在局域网中使用 OpenWrt 路由器，可以使用 OpenSSL 工具生成一个自签名证书，以下是具体步骤：
安装 OpenSSL 工具
opkg update opkg install openssl-util
生成私钥和证书
openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
上述命令将生成以下文件：
server.key：私钥文件server.csr：证书请求文件（可忽略）server.crt：自签名证书文件
合并为 PEM 格式
将私钥和证书合并为一个 PEM 文件，供 Lighttpd 使用：
cat server.key server.crt > /etc/lighttpd/server.pem
配置 Lighttpd 启用 HTTPS
OpenWrt 默认使用 Lighttpd 作为 Web 服务器，我们需修改其配置文件以启用 HTTPS。
编辑配置文件
vi /etc/lighttpd/lighttpd.conf
启用 mod_openssl 模块
找到以下行并取消注释（删除前面的 ）：
server.modules += ( "mod_openssl" )
添加 SSL 配置
在配置文件中添加以下内容：
$SERVER["socket"] == ":443" {
ssl.engine = "enable"
ssl.pemfile = "/etc/lighttpd/server.pem"
ssl.ca-file = "/etc/lighttpd/server.crt"
ssl.verifyclient = "disable"
}
说明：
ssl.pemfile应指向包含私钥和证书的 PEM 文件。ssl.ca-file用于指定 CA 证书，若使用自签名证书，可指向server.crt。
重启服务
/etc/init.d/uhttpd restart
使用 Let’s Encrypt 证书（适用于公网访问）
如果你希望路由器的 HTTPS 页面在浏览器中显示为“安全连接”，建议使用 Let’s Encrypt 免费证书，以下是配置流程：
安装 ACME 客户端
opkg install acme
申请证书
acme.sh --issue -d yourdomain.com --webroot /www
请将
yourdomain.com替换为你的域名，并确保该域名已解析到路由器的公网 IP。
安装证书
acme.sh --install-cert -d yourdomain.com \ --key-file /etc/lighttpd/yourdomain.key \ --fullchain-file /etc/lighttpd/yourdomain.pem
修改 Lighttpd 配置
编辑 Lighttpd 配置文件：
ssl.pemfile = "/etc/lighttpd/yourdomain.pem" ssl.ca-file = "/etc/lighttpd/yourdomain.pem"
重启服务
/etc/init.d/uhttpd restart
浏览器访问 HTTPS 管理界面
完成配置后,打开浏览器访问：
https://路由器IP地址如果是自签名证书,浏览器可能会提示“连接不安全”，你可以选择“继续访问”或手动将证书加入浏览器的信任列表中。
常见问题及解决方法
无法访问 HTTPS 页面
- 检查路由器的防火墙设置,确保 443 端口已开放。
- 确认证书路径是否正确,文件权限应设置为 600。
- 查看系统日志：
logread
证书报错或显示无效
- 检查证书是否过期。
- 若为自签名证书,需在浏览器中手动信任该证书。
- 确保域名与证书中的 Common Name（CN）一致。
HTTPS 页面加载缓慢
- 路由器性能较低可能导致加载缓慢,建议关闭不必要的插件。
- 尝试使用更轻量级的浏览器访问。
通过为 OpenWrt 添加 SSL 证书并启用 HTTPS 协议，我们不仅可以有效提升路由器管理界面的安全性，还能增强用户对系统的信任感和使用体验。
无论是使用自签名证书还是 Let’s Encrypt 免费证书，都可以根据实际需求灵活选择，在操作过程中，若遇到问题，建议结合系统日志逐步排查，并保持良好的维护习惯，如定期更新证书、清理无用配置等。
附录：常用命令汇总
# 安装 OpenSSL 工具 opkg install openssl-util # 生成自签名证书 openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt cat server.key server.crt > /etc/lighttpd/server.pem # 安装 ACME 客户端 opkg install acme # 申请 Let’s Encrypt 证书 acme.sh --issue -d yourdomain.com --webroot /www # 安装证书到指定路径 acme.sh --install-cert -d yourdomain.com \ --key-file /etc/lighttpd/yourdomain.key \ --fullchain-file /etc/lighttpd/yourdomain.pem # 编辑 Lighttpd 配置并重启服务 vi /etc/lighttpd/lighttpd.conf /etc/init.d/uhttpd restart
版权声明
本文由 OpenWrt 爱好者原创撰写，欢迎转载，请注明出处。
如需商业用途，请联系作者授权。
