在 Linux 中创建自签名 SSL 证书的完整指南

在当今的网络环境中，SSL/TLS 证书是确保数据传输安全的关键。虽然许多网站使用由受信任的证书颁发机构（CA）签发的证书，但在某些情况下，自签名 SSL 证书也是一个不错的选择。本文将详细介绍如何在 Linux 系统中创建自签名 SSL 证书，帮助你快速搭建安全的本地或测试环境。

什么是自签名 SSL 证书？

怎样在 Linux 中创建自签名 SSL 证书

自签名 SSL 证书是由用户自己生成和签发的证书，而不是由受信任的第三方 CA 签发。它的主要用途包括：

本地开发环境
内部网络服务
测试和实验环境

虽然自签名证书不会被浏览器默认信任，但它仍然可以提供加密功能，非常适合非生产环境。

创建自签名 SSL 证书的步骤

1. 安装 OpenSSL

OpenSSL 是生成 SSL 证书的常用工具。在大多数 Linux 发行版中，它可以通过包管理器轻松安装。

sudo apt update
sudo apt install openssl

对于基于 RPM 的系统（如 CentOS），可以使用以下命令：

sudo yum install openssl

2. 生成私钥

首先，我们需要生成一个私钥文件。私钥是证书的核心部分，必须妥善保管。

openssl genpkey -algorithm RSA -out private.key -aes256

这条命令会生成一个使用 AES-256 加密的 RSA 私钥。系统会提示你输入一个密码来保护私钥。

3. 生成证书签名请求（CSR）

接下来，我们需要生成一个证书签名请求（CSR），其中包含证书的详细信息。

openssl req -new -key private.key -out request.csr

在生成 CSR 时，你需要输入以下信息：

国家代码（如 CN）
省/州（如 Beijing）
城市（如 Beijing）
组织名称（如 My Company）
部门名称（如 IT）
通用名称（如 mydomain.com）
电子邮件地址

通用名称（Common Name）是证书的关键部分，必须与你要保护的域名一致。

4. 生成自签名证书

使用 CSR 和私钥生成自签名证书：

openssl x509 -req -days 365 -in request.csr -signkey private.key -out certificate.crt

这条命令会生成一个有效期为 365 天的自签名证书。

5. 移除私钥密码（可选）

如果你不希望每次使用私钥时都输入密码，可以移除私钥的加密：

openssl rsa -in private.key -out private.key

6. 验证证书

生成证书后，可以通过以下命令验证其内容：

openssl x509 -in certificate.crt -text -noout

这将显示证书的详细信息，包括有效期、公钥和签名算法。

配置服务器使用自签名证书

生成证书后，你需要将其配置到服务器中。以下是常见的服务器配置示例：

Nginx

在 Nginx 配置文件中，添加以下内容：

server {
    listen 443 ssl;
    server_name mydomain.com;

    ssl_certificate /path/to/certificate.crt;
    ssl_certificate_key /path/to/private.key;

    location / {
        root /var/www/html;
        index index.html;
    }
}

Apache

在 Apache 配置文件中，添加以下内容：

<VirtualHost *:443>
    ServerName mydomain.com
    DocumentRoot /var/www/html

    SSLEngine on
    SSLCertificateFile /path/to/certificate.crt
    SSLCertificateKeyFile /path/to/private.key
</VirtualHost>