使用 Linux 生成 SSL 证书的完整指南
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
本文详细介绍了在 Linux 系统下生成 SSL 证书的完整步骤，包括安装 OpenSSL 工具、生成私钥、创建证书签名请求（CSR）、生成自签名证书以及配置证书的使用方法，适用于搭建 HTTPS 服务器或实现安全通信的场景，帮助用户快速掌握 SSL 证书的生成与应用。
随着互联网安全意识的不断提升,SSL（Secure Sockets Layer）证书已经成为网站、服务和应用程序中不可或缺的一部分，SSL 证书不仅可以为数据传输提供加密保护，还能验证服务器身份，防止中间人攻击，在 Linux 系统中，OpenSSL 是一个功能强大且广泛使用的工具，可以用于生成 SSL 证书，本文将详细介绍如何在 Linux 系统下使用 OpenSSL 工具生成自签名 SSL 证书以及如何生成用于生产环境的证书签名请求（CSR）。
SSL 证书的基本概念
SSL 证书是一种数字证书，用于建立客户端与服务器之间的加密连接，它通常包含以下信息：
- 域名（Common Name）
- 组织名称（Organization）
- 公钥
- 证书颁发机构（CA）
- 有效期
根据用途不同,SSL 证书可以分为：
- 自签名证书（Self-signed Certificate）：由自己签名的证书，适用于测试环境或内网服务。
- CA 签名证书（CA-signed Certificate）：由受信任的证书颁发机构签名，适用于公开访问的网站或服务。
安装 OpenSSL 工具
大多数 Linux 发行版默认已经安装了 OpenSSL，如果没有安装，可以使用以下命令进行安装：
-
Debian / Ubuntu：
sudo apt update sudo apt install openssl
-
CentOS / RHEL：
sudo yum install openssl
安装完成后,可以通过以下命令查看 OpenSSL 的版本：
openssl version
生成自签名 SSL 证书
自签名证书适用于测试或内部网络使用,不能被浏览器或客户端自动信任，以下是生成自签名证书的步骤：
步骤 1：生成私钥
我们需要生成一个私钥文件（通常为 .key 文件）：
openssl genrsa -out server.key 2048
genrsa：生成 RSA 私钥2048：指定密钥长度（推荐使用 2048 或 4096 位）
步骤 2：生成自签名证书
使用刚刚生成的私钥,创建一个自签名证书：
openssl req -new -x509 -days 365 -key server.key -out server.crt
req：用于创建证书请求-new：生成新的证书请求-x509：输出 X.509 证书格式-days 365：证书有效期为 365 天-key server.key：指定使用的私钥文件-out server.crt：输出证书文件
执行上述命令后,系统会提示输入一些基本信息，如国家、省份、组织名称、域名等，这些信息将被包含在证书中。
步骤 3：查看证书内容（可选）
可以使用以下命令查看生成的证书详细信息：
openssl x509 -in server.crt -text -noout
生成用于申请正式 SSL 证书的 CSR
如果你希望获得由受信任的证书颁发机构（CA）签发的 SSL 证书，则需要生成一个证书签名请求（CSR）并提交给 CA。
步骤 1：生成私钥（如未生成）
如果尚未生成私钥,可以运行：
openssl genrsa -out domain.key 2048
步骤 2：生成 CSR 文件
使用私钥生成 CSR 文件：
openssl req -new -key domain.key -out domain.csr
系统会提示输入一系列信息,其中最重要的是“Common Name”，即你希望使用 SSL 证书保护的域名（如 example.com），如果该字段填写错误，CA 将不会签发证书。
步骤 3：提交 CSR 给证书颁发机构
将 domain.csr 文件提交给 CA（如 Let's Encrypt、DigiCert、GoDaddy 等），CA 会验证你的域名所有权并签发证书。
使用 OpenSSL 验证和管理证书
OpenSSL 提供了多种命令来验证和管理证书文件。
查看 CSR 内容
openssl req -in domain.csr -text -noout
验证证书与私钥是否匹配
openssl x509 -noout -modulus -in server.crt | openssl md5 openssl rsa -noout -modulus -in server.key | openssl md5
如果两个 MD5 值相同，说明证书和私钥匹配。
检查证书的有效期
openssl x509 -in server.crt -dates -noout
将证书部署到服务中
生成 SSL 证书后，需要将其部署到 Web 服务器或服务中。
在 Nginx 中配置 SSL
编辑 Nginx 配置文件：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/server.crt;
ssl_certificate_key /path/to/server.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
}
重启 Nginx 服务：
sudo systemctl restart nginx
在 Apache 中配置 SSL
启用 SSL 模块：
sudo a2enmod ssl sudo systemctl restart apache2
编辑站点配置文件：
<VirtualHost *:443>
ServerName example.com
SSLEngine on
SSLCertificateFile "/path/to/server.crt"
SSLCertificateKeyFile "/path/to/server.key"
</VirtualHost>
重启 Apache：
sudo systemctl restart apache2
使用 Let's Encrypt 获取免费 SSL 证书（可选）
除了手动使用 OpenSSL 生成 CSR 并购买证书外，还可以使用 Let's Encrypt 提供的免费 SSL 证书，Let's Encrypt 是一个由非营利组织提供的自动化、免费、开放的证书颁发机构。
安装 Certbot（以 Ubuntu 为例）：
sudo apt install certbot python3-certbot-nginx
为 Nginx 获取并安装证书：
sudo certbot --nginx -d example.com
Certbot 会自动配置 Nginx 并设置自动续期。
通过本文,我们了解了在 Linux 系统下使用 OpenSSL 工具生成 SSL 证书的基本方法，包括生成自签名证书和证书签名请求（CSR），SSL 证书是保障网络安全的重要工具，无论是在测试环境还是生产环境，合理使用 SSL 都能有效提升系统的安全性和可信度，结合 Let's Encrypt 等免费证书服务，可以轻松为网站或服务部署可信的加密连接。
无论是开发人员、系统管理员，还是企业运维人员，掌握 Linux 环境下 SSL 证书的生成与配置，都是提升系统安全性的关键技能之一。
