1.4.1 单域名证书#

• 也可以叫 二级域名证书 ，是给单个固定二级域名用的终端业务证书。

• 一张证书仅能保护一个完整的域名（例如 example.com 或 www.example.com ），不支持任何其他子域名。

• 特点：

  • 由中间 CA签发。
  • 只能绑定 1 个域名。
  • 只能给对应网站做 HTTPS，不能再签发任何子证书。
  • 有效期：现在主流 1 年。
  • 可以免费申请（Let’s Encrypt）。

• 适合场景：适合只有一个官方网站或博客的场景。

1.4.2 多域名证书#

• 也称为 SAN 证书或 UCC 证书 。
• 一张证书可以同时保护多个完全不同的域名。例如，一张证书可以同时保护 abc.com、kfc.cn 和 ccc.net 。
• 适合场景：非常适合拥有多个独立品牌、不同业务线或跨区域网站的企业集团。
• 由中间CA签发。

1.4.3 泛域名证书#

• 泛域名证书通过使用通配符 * 来保护一个主域名下的所有同级（二级）子域名

  • 例如，一张 *.abc.com 的证书，可以保护 www.abc.com 、shop.abc.com 、api.abc.com 等任意数量的二级子域名。

• 主要优势是无限扩展和管理便捷，新增子域名时无需重新申请或部署证书。

• 但需注意，它通常只能保护一层子域名，无法覆盖 a.b.abc.com 这样的三级域名。

• 特点：

  • 中间 CA 签发的终端证书。
  • 适合子域名多、业务系统多的企业。
  • 免费证书也能申请泛域名。
  • 风险：只要证书泄露，所有子域名都有风险。

1.4.4 自签名证书#

• 一个使用 OpenSSL 自己给自己签发的证书，没有权威的根、中间 CA参与。

• 特点：

  • 没有权威 CA 背书。
  • 浏览器、系统默认不信任，访问必报警告。
  • iBMC、路由器、内网设备默认都是自签名证书。
  • 只能内网测试、设备管理用，不能公网正式建站。

• 解决办法：把自签根证书导入电脑「受信任根证书」，就不告警了。

2.2.1 创建根证书配置文件#

1
cat > rootca.cnf << 'EOF'
2
[ req ]
3
distinguished_name = req_distinguished_name
4
x509_extensions = v3_req
5
prompt = no
6

7
[ req_distinguished_name ]
8
C  = CN
9
ST = Beijing
10
L  = Beijing
11
O  = My Organization
12
OU = Root CA
13
CN = My Root CA
14

15
[ v3_req ]
16
keyUsage = critical, digitalSignature, keyEncipherment, dataEncipherment, keyAgreement, keyCertSign, cRLSign
17
extendedKeyUsage = serverAuth, clientAuth
18
basicConstraints = critical, CA:TRUE
19
subjectKeyIdentifier = hash
20
EOF

[ req_distinguished_name ] 配置参数说明：

• C ：国家；
• O ：组织机构；
• OU ：单位部门；
• CN ：通用名，有时候是一个域名，如xxx.com；
• L ：地区；
• ST ：省市；
• STREET ：街道；
• POSTALCODE ：邮编；
• SERIALNUMBER ：序列号。

[ v3_ca ] 配置参数说明：

• subjectAltName ：证书使用者可选名称；
• nsCaRevocationUrl ：Netscape证书颁发机构吊销 URL；
• nsBaseUrl ：Netscape 证书基URLL；
• nsRevocationUrl ：Netscape 证书吊销 URLL；
• nsRenewalUrl ：Netscape 证书续订 URLL；
• nsCaPolicyUrl : Netscape 证书颁发机构策略 URLL；
• nsSslServerName ：Netscape 证书 SSL 服务器名称L。

2.2.2 生成私钥和请求文件#

使用 rootca.cnf 根证书配置文件，生成 rootca.csr 请求文件，同时生成 rootca.key 根私钥文件：

1
openssl req -config rootca.cnf -new -newkey rsa:4096 -keyout rootca.key -out rootca.csr -nodes

2.2.3 生成根证书#

使用根证书的配置文件、私钥、请求文件，生成 rootca.crt 根证书，期限为 10 年：

1
openssl x509 -req -extfile rootca.cnf -extensions v3_req -days 3650 -sha256 -signkey rootca.key -in rootca.csr -out rootca.crt

2.2.4 查看根证书信息#

1
openssl x509 -in rootca.crt -noout -text

2.3.1 创建中间证书配置文件#

1
cat > midca.cnf << 'EOF'
2
[ req ]
3
distinguished_name = req_distinguished_name
4
x509_extensions = v3_req
5
prompt = no
6

7
[ req_distinguished_name ]
8
C  = CN
9
ST = Beijing
10
L  = Beijing
11
O  = My Organization
12
OU = Intermediate CA
13
CN = My Intermediate CA
14

15
[ v3_req ]
16
keyUsage = critical, keyCertSign, cRLSign
17
basicConstraints = critical, CA:TRUE, pathlen:0
18
subjectKeyIdentifier = hash
19
authorityKeyIdentifier = keyid
20
EOF

2.3.2 生成私钥和请求文件#

使用 midca.cnf 中间证书配置文件，生成 midca.csr 请求文件，同时生成 midca.key 私钥文件：

1
openssl req -config midca.cnf -new -newkey rsa:4096 -keyout midca.key -out midca.csr -nodes

2.3.3 生成中间证书#

使用中间证书的配置文件、私钥、请求文件，以及根证书和私钥文件，一起生成 midca.crt 中间证书，期限为 5 年：

1
openssl x509 -req -extfile midca.cnf -extensions v3_req -days 1825 -sha256  -CA rootca.crt -CAkey rootca.key -CAcreateserial -CAserial serial -in midca.csr -out midca.crt

2.3.4 验证中间证书#

使用 rootca.crt 根证书，来验证 midca.crt 中间证书是否正确，显示 ok ，则表示证书没有问题：

1
openssl verify -CAfile rootca.crt midca.crt

2.3.5 查看中间证书信息#

1
openssl x509 -in midca.crt -noout -text

2.4.1 创建业务证书配置文件#

1
cat > server.cnf << 'EOF'
2
[ req ]
3
distinguished_name = req_distinguished_name
4
x509_extensions = v3_req
5
prompt = no
6

7
[ req_distinguished_name ]
8
C  = CN
9
ST = Beijing
10
L  = Beijing
11
O  = My Organization
12
OU = server ca
13
CN = my server ca
14

15
[ v3_req ]
16
keyUsage = critical, digitalSignature, keyEncipherment, dataEncipherment, keyAgreement
17
extendedKeyUsage = serverAuth, clientAuth
18
subjectKeyIdentifier = hash
19
authorityKeyIdentifier = keyid
20
basicConstraints = critical, CA:FALSE
21
subjectAltName = @alternate_names
22

23
[ alternate_names ]
24
DNS.1 = localhost
25
DNS.2 = test.cn
26
IP.1 = 127.0.0.1
27
IP.2 = 10.22.51.76
28
EOF

注：[ alternate_names ] 块中的 DNS 和 IP 分别用来指定哪些 域名 和 IP 可以使用此证书，为此可以分出多种证书类型。

1. 单域名 / IP 证书：

1
# 单域名证书
2
[ alternate_names ]
3
DNS.1 = www.test.cn
4

5
# 单 IP 证书
6
[ alternate_names ]
7
IP.1 = 10.22.51.76

2. 多域名 / IP 证书：

1
[ alternate_names ]
2
DNS.1 = hututu.net
3
DNS.2 = jenkins.love
4
DNS.3 = test.xyz.com
5
IP.1 = 10.2.51.44
6
IP.2 = 10.22.51.76
7
IP.3 = 10.33.21.54

3. 泛域名证书：

1
[alt_names]
2
DNS.1 = *.abc.com
3
DNS.2 = *.hututu.net

2.4.2 生成私钥和请求文件#

使用 server.cnf 业务证书配置文件，生成 server.csr 请求文件，同时生成 server.key 私钥文件：

1
openssl req -config server.cnf -new -newkey rsa:4096 -keyout server.key -out server.csr -nodes

2.4.3 生成业务证书#

使用业务证书的配置文件、私钥、请求文件，以及中间证书和私钥文件，一起生成 midca.crt 根证书，期限为 1 年：

1
openssl x509 -req -extfile server.cnf -extensions v3_req -days 365 -sha256 -CA midca.crt -CAkey midca.key -CAcreateserial -in server.csr -out server.crt

2.4.4 查看业务证书信息#

1
openssl x509 -in server.crt -noout -text

2.4.5 验证业务证书#

使用 2.5.1 生成的 mid-root-ca_chain.crt 复合证书，来验证 server.crt 业务证书是否正确，显示 ok ，则表示证书没有问题：

1
openssl verify -CAfile mid-root-ca_chain.crt server.crt

2.4.6 验证完整证书链#

使用根证书、中间证书、业务证书，验证完整的证书链，显示ok，则表示从域名证书 → 中间证书 → 根证书的完整信任链验证通过：

1
openssl verify -CAfile rootca.crt -untrusted midca.crt server.crt

2.5.1 生成 CA 链证书#

CA 链证书 也就是中间证书与根证书合并生成的一个复合证书，中间CA证书在前：

1
cat midca.crt rootca.crt > mid-root-ca_chain.crt

适用场景：

1. 电脑 / 服务器 / 设备 导入私有信任库。
2. 内网自建 CA，让整机信任所有由这个中间 CA 签发的业务证书。
3. 签发证书时，作为 OpenSSL 的可信 CA 池。

2.5.2 生成全链证书#

全链证书 也就是业务证书与中间证书合并生成的一个复合证书，业务证书在前：

1
cat server.crt midca.crt > server-mid_chain.crt

适用场景：公网网站、普通内网 HTTPS、Nginx / 反向代理、常规服务器。

2.5.3 生成含根全链证书#

含根全链证书 也就是业务证书与中间证书与根证书三个证书合并生成，也叫完整证书链、全包证书链：

1
cat server.crt midca.crt rootca.crt > server-mid-root_chain.crt

适用场景：

1. 嵌入式老旧设备 / BMC / 工控机 / 打印机：

   设备自身没有内置可信根证书库，不认公共根，必须整条链全给它。

2. 完全内网隔离环境，自建私有 CA：

   员工电脑没导入私有根，又不想每台机器手动装根证书，只能服务端下发含根全链，让客户端直接整条链校验通过。

3.2.1 浏览器导入#

以谷歌浏览器为例，访问 chrome://certificate-manager/（或者打开【设置】——【隐私与安全】——【安全】——【管理证书】）进入证书管理器，点击左侧【您的证书】——【管理从 Windows 导入的证书】：

打开【证书】窗口，点击【导入】，在【证书导入向导】中，选择下载好的 rootca.crt 根证书：

在下一步【证书存储】中，将其放到 受信任的根证书颁发机构 中，完成导入：

弹出窗口，选择【是】，安装证书：

安装完成后，进入【受信任的根证书颁发机构】栏，可查看到导入后的证书：

3.2.2 本地计算机导入#

双击 rootca.crt 根证书，点击【安装证书】，选择【证书存储】为 受信任的根证书颁发机构 ：

安装导入后，打开【运行】窗口，输入 mmc 进入【控制台根节点】，点击【文件】——【添加/删除管理单元】中的【证书】，双击打开【受信任的根证书颁发机构】中的【证书】，可看到自己已导入好的证书，双击可查看相应的信息内容：

3.3.1 部署证书文件#

1
# 创建证书存放目录
2
mkdir -p /usr/local/nginx/conf/certs
3

4
# 复制私钥与全链证书
5
cp /usr/local/CA/server.key /usr/local/CA/server-mid_chain.crt /usr/local/nginx/conf/certs
6

7
# 重命名全链证书
8
mv /usr/local/nginx/conf/certs/server-mid_chain.crt /usr/local/nginx/conf/certs/server.crt
9

10
# 设置私钥权限（必须为 600）
11
chmod 600 /usr/local/nginx/conf/certs/server.key

3.3.2 创建站点配置文件#

在 /usr/local/nginx/conf/conf.d 目录下，创建名为 ssl-test.conf 站点配置文件，用于测试 HTTPS 访问，添加以下内容：

1
cat > /usr/local/nginx/conf/conf.d/ssl-test.conf << 'EOF'
2
server {
3
    listen 80;
4
    server_name test.cn localhost;
5
    return 301 https://$host$request_uri;
6
}
7

8
server {
9
    # listen 443 ssl http2;  # Nginx 1.25 以下版本写法
10
    listen 443 ssl;
11
    http2 on;
12
    server_name test.cn localhost;
13

14
    ssl_certificate         /usr/local/nginx/conf/certs/server.crt;
15
    ssl_certificate_key     /usr/local/nginx/conf/certs/server.key;
16

17
    ssl_protocols           TLSv1.2 TLSv1.3;
18
    ssl_ciphers             HIGH:!aNULL:!MD5;
19
    ssl_prefer_server_ciphers on;
20

21
    ssl_session_cache       shared:SSL:10m;
22
    ssl_session_timeout     10m;
23

24
    location / {
25
        root   html;
26
        index  ssl-test.html;
27
    }
28
}
29
EOF

关键参数说明：

• ssl_certificate：指向全链证书，包含业务证书 + 中间证书。
• ssl_certificate_key：指向业务证书的私钥。
• ssl_protocols：仅启用 TLSv1.2 / TLSv1.3，禁用老旧协议。
• return 301：HTTP 自动跳转 HTTPS。

3.3.3 创建静态文件#

在 /usr/local/nginx/html 目录下，创建名为 ssl-test.html 的静态文件，添加以下内容：

1
cat > /usr/local/nginx/html/ssl-test.html <<'EOF'
2
<!DOCTYPE html>
3
<html lang="zh-CN">
4
<head>
5
    <meta charset="UTF-8">
6
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
7
    <title>HTTPS 测试页面</title>
8
    <style>
9
        body {
10
            font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, "Helvetica Neue", Arial, sans-serif;
11
            background-color: #f0f2f5;
12
            display: flex;
13
            justify-content: center;
14
            align-items: center;
15
            height: 100vh;
16
            margin: 0;
17
        }
18
        .card {
19
            background: white;
20
            padding: 40px;
21
            border-radius: 12px;
22
            box-shadow: 0 4px 12px rgba(0,0,0,0.1);
23
            text-align: center;
24
            max-width: 400px;
25
        }
26
        h1 { color: #2c3e50; margin-bottom: 10px; }
27
        p { color: #7f8c8d; font-size: 16px; }
28
        .status {
29
            display: inline-block;
30
            margin-top: 20px;
31
            padding: 8px 16px;
32
            background-color: #e8f5e9;
33
            color: #2e7d32;
34
            border-radius: 20px;
35
            font-weight: bold;
36
            border: 1px solid #2e7d32;
37
        }
38
        .icon { font-size: 48px; margin-bottom: 20px; }
39
    </style>
40
</head>
41
<body>
42

43
    <div class="card">
44
        <div class="icon">🔒</div>
45
        <h1>HTTPS 部署成功！</h1>
46
        <p>当前连接是安全的。</p>
47
        <p>服务器时间: <span id="time"></span></p>
48
        <div class="status">SSL 证书工作正常</div>
49
    </div>
50

51
    <script>
52
        // 简单的脚本显示当前时间，证明页面是动态加载的
53
        document.getElementById('time').innerText = new Date().toLocaleString();
54
    </script>
55

56
</body>
57
</html>
58
EOF

3.3.4 重载 Nginx 配置#

1
nginx -t
2
nginx -s reload

3.4.1 修改本地 hosts 解析#

以管理员身份编辑 C:\Windows\System32\drivers\etc\hosts 文件，添加以下内容：

1
10.22.51.76 test.cn

3.4.2 浏览器访问验证#

打开浏览器访问 https://test.cn ，点击地址栏旁边的锁图标按钮，可以看到显示 连接是安全的 ：

点击进入【证书有效】，可以查看证书详细信息，切换到【详细信息】标签页，可看到三层证书：My Root CA → My Intermediate CA → my server ca ，逐层点击可查看每级证书的详细信息（签发者、有效期、指纹等）：

若证书链完整且根证书已导入受信任库，浏览器不会弹出安全告警，页面正常加载，即证明整套自建 CA 证书体系可正常用于内网 HTTPS 环境。

常见问题排查：

现象	原因	解决
浏览器报 NET::ERR_CERT_AUTHORITY_INVALID	根证书未导入受信任库	重新导入 rootca.crt 到「受信任的根证书颁发机构」
报 NET::ERR_CERT_COMMON_NAME_INVALID	访问域名不在证书 SAN 列表中	检查 server.cnf 的 [alternate_names] 是否包含该域名
报 NET::ERR_CERT_DATE_INVALID	证书已过期	重新签发业务证书
报 SSL_ERROR_BAD_CERT_DOMAIN（Firefox）	域名与证书不匹配	确认 hosts 中 IP 与证书 SAN 中的 IP/域名一致