使用cfssl为程序添加https证书
使用cfssl为程序添加https证书
- 下载安装
- 使用cfssl
- 使用cfssl实现创建证书浏览器认证
cfssl是一款比较好用的PKI/TLS工具，可以方便的生成https证书
下载与安装
cfssl 官方地址 https://github.com/cloudflare/cfssl
下载地址
https://github.com/cloudflare/cfssl/releases/tag/v1.6.3
证书的创建相关操作只需要下载使用
- cfssljson_1.6.3_linux_amd64
- cfssl_1.6.3_linux_amd64
已上传到百度云（/常用软件/https/cfssl）
下载完成后，重命名为cfssl 并修改其权限后即可使用
实例1 自定义CA签发DV证书
相关配置文件在 /config/demo1 下
实例1：创建一个自定义的CA机构根证书，使用这个根证书实现对其他证书的颁发,让浏览器能够信息此证书
例如
自定义的CA机构名称为LYJCA , 要签发一个网址为 api.liuyijiang.com DV证书
step1 创建自定义的CA根证书
CA根证书就是一个自签名证书 可以使用 ./cfssl gencert -initca xx.json 命令创建 在此之前先创建一个证书签名请求文件csr配置json
可以使用 ./cfssl print-defaults csr > ca-csr.json先创建一个证书签名请求文件内容模板
ca-csr.json最终内容如下 （见/config/demo1/ca-csr.json）注意使用的时候不能有注释
{
"CN": "LYJCA", //CN:Common Name
"key": {
"algo": "rsa", //指定加密算法
"size": 2048 //指定加密算法位数
},
"names": [
{
"C": "CN", //C: Country，配置国家信息 例如 US美国 CN中国
"L": "Chengdu", //L: Locality，地区，城市 例如 BeiJing Chengdu
"ST": "Sichuan", //ST: State，州，省 例如 SICHUAN Sichuan Guangzhou
"O": "liuyjCA", //O: Organization Name，组织名称，公司名称 例如公司名称为
"OU": "System" //OU: Organization Unit Name，组织单位名称，公司部门名字任意 System
}
]
}
使用 ./cfssl gencert -initca ca-csr.json | ./cfssljson -bare ca 创建证书，私钥，csr
使用cfssl 命令读取ca-csr.json配置中的内容生成的内容用管道发送给cfssljson命令 -bare ca（ca这个名称可以自定义 就是生成文件的名称）
生成内容如下
- ca-key.pem ca证书私钥
- ca.csr ca证书签名请求文件
- ca.pem ca证书
主要将使用ca-key.pem 与 ca.pem
可以使用 ./cfssl certinfo -cert=./ca.pem 查看证书信息
注意：可以使用cat ca.pem > ca.crt 各式转换
step2 使用CA根证书签发api.liuyijiang.comDV证书
先使用 ./cfssl print-defaults config > ca-config.json先创建一个证书签发配置文件
这个配置文件主要用于CA根证书颁发其他证书时的一些配置
ca-config.json最终内容如下 （见/config/demo1/ca-config.json）注意使用的时候不能有注释
{
"signing":{
"default":{
"expiry":"8760h" //指定了证书的有效期
},
"profiles":{//配置策略
"mytest":{ //配置一个名称为mytest的策略
"expiry":"8760h", //指定了证书的有效期
"usages":[
"signing", //表示该证书可用于签名其它证书
"key encipherment",
"server auth", // client端（客户端） 可以用该 CA 对 server 提供的证书进行验证
"client auth" // server端（服务端） 可以用该 CA 对 client 提供的证书进行验证
]
}
}
}
}
在创建一个api.liuyijiang.com-csr.json，即api.liuyijiang.com这个域名的证书申请配置文件
api.liuyijiang.com-csr.json内容如下 （见/config/demo1/api.liuyijiang.com-csr.json）
{
"CN":"liuyijiang.com",
"hosts":[
"api.liuyijiang.com" //配置域名 这个证书作用于api.liuyijiang.com这个域名
],
"key":{
"algo":"rsa",
"size":2048
},
"names":[
{
"C": "CN", //C: Country，配置国家信息 例如 US美国 CN中国
"L": "Chengdu", //L: Locality，地区，城市 例如 BeiJing Chengdu
"ST": "Sichuan", //ST: State，州，省 例如 SICHUAN Sichuan Guangzhou
"O": "liuyijiang.com", //O: Organization Name，组织名称，公司名称 例如公司名称为
"OU": "System" //OU: Organization Unit Name，组织单位名称，公司部门名字任意 System
}
]
}
最后使用cfssl gencert命令生成 api.liuyijiang.com域名的证书
命令如下：
./cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=mytest api.liuyijiang.com-csr.json | ./cfssljson -bare api.liuyijiang.com
参数说明
-ca=ca.pem 指定CA证书 （这里就是step1中创建的CA证书）
-ca-key=ca-key.pem 指定CA的私钥 （这里就是step1中创建的CA私钥）
-config=ca-config.json 指定配置文件
-profile=mytest 指定使用配置文件中的哪个配置 这里对应ca-config.json中的mytest配置
这样api.liuyijiang.com.pem这个证书就可以使用ca.pem这个根证书来验证合法性了
step3 测试api.liuyijiang.com.pem证书
第一步 nginx配置
nginx中添加 https 配置
server {
listen 443 ssl;
server_name api.liuyijiang.com;
ssl_certificate /ops/cfssl/api.liuyijiang.com.pem;
ssl_certificate_key /ops/cfssl/api.liuyijiang.com-key.pem;
location / {
root html;
index index.html index.htm;
}
}
./nginx -s reload 重启nginx
第二步 添加域名映射
这里使用switchhosts来配置域名映射，也可以直接修改 C:\Windows\System32\drivers\etc\hosts文件 效果是一样的
此时浏览器（Chrome）访问 https://api.liuyijiang.com/ 此域名还没有被浏览器信任
第三步 将自定义的CA根证书安装到浏览器
我们在网上申请的证书，那些签发机构的CA证书其中早就内置到浏览器中了，所有我们的证书才能受信。
此步只需要把我们自己的CA证书导入到浏览器即可
将Step1中得到的ca.pem 重命名为 cat.crt 并保存在电脑上
这里使用Chrome浏览器作为测试
选择隐私设置和安全性
选择管理证书
选择“受信任的根证书颁发机构”
导入自定义的CA证书
可以看到自定义的CA证书已经导入成功
重启浏览器后生效
再次访问 https://api.liuyijiang.com/ 成功受信，出现小锁
可以看到证书的信息
