1、部署證書簽發環境：配置文件/etc/pki/tls/openssl.conf

2、創建私鑰文件：命令 文件名稱 存儲位置 私鑰

3、創建根證書文件：命令 文件名稱 存儲位置

4、共享根證書文件：使用那種服務共享 共享目錄 共享名

5、測試配置：客戶端下載按住嗯根證書文件

具體配置過程：

1、部署證書簽發環境：配置文件/etc/pki/tls/openssl.conf

# which openssl :查看是否有裝openssl包，默認裝

# rpm -qf /bin/openssl :查看要裝的包

# rpm -qc openssl-libs :查看軟件的配置文件

# vim /etc/pki/tls/openssl.cnf

40 [ CA_default ] :默認環境

42 dir = /etc/pki/CA :CA相關文件的默認目錄

43 certs = $dir/certs :為用戶頒發證書的存放位置

建 45 database = $dir/index.txt :證書數據的索引文件，需手動建立

改 50 certificate = $dir/my-ca.crt :CA服務器根證書文件

建 51 serial = $dir/serial :

改 55 private_key = $dir/private/my-ca.key :CA服務器私鑰文件

83 [ policy_match ] ：策略匹配

85 countryName = match ：配置和CA一致

86 stateOrProvinceName = match

87 organizationName = match

128 [ req_distinguished_name ] //證書請求的識別信息

改 129 countryName_default =

去#改134 stateOrProvinceName_default = beijing ：省

改 137 localityName_default = beijing ：市

改 140 0.organizationName_default = tarena ：公司名

去#改148 organizationalUnitName_default = ope ：部門

根據需要建立index.txt、serial文件

# touch /etc/pki/CA/index.txt

# chmod 600 /etc/pki/CA/index.txt

# touch /etc/pki/CA/serial

# echo 01 > /etc/pki/CA/serial

# chmod 600 /etc/pki/CA/serial

2、創建CA服務器私鑰文件：命令 文件名稱 存儲位置 私鑰

# cd /etc/pki/CA/private/

# openssl genrsa -des3 2048 > my-ca.key (設置保護私鑰的密碼123456)

# chmod 600 my-ca.key ：為啦安全，只有root有權限

# ls my-ca.key

3、創建根證書文件：命令 文件名稱 存儲位置

# cd /etc/pki/CA

# openssl req獲取 -new新的 -x509證書格式 -key私鑰 /etc/pki/CA/private/my-ca.key私鑰文件 -days 365有效時間 > my-ca.crt根證書文件

server's hostname:web

Email Address []:[email protected]

# chmod 600 my-ca.crt

4、共享根證書文件：使用那種服務共享 共享目錄 共享名

#yum -y install httpd

# systemctl restart httpd

# systemctl enable httpd

# mkdir /var/www/html/ca

# cp /etc/pki/CA/my-ca.crt /var/www/html/ca/

# chmod 755 /var/www/html/ca/my-ca.crt查看瀏覽器安裝的證書：首選項

http://192.168.4.100/ca/

瀏覽器--設置--高級--證書--導入

# ls /var/www/html/ca/my-ca.crt

# service httpd start; chkconfig httpd on

# systemctl stop firewalld

# setenforce 0

5、測試配置：客戶端下載根證書文件

查看瀏覽器安裝的證書：首選項

http://192.168.4.100/ca/

瀏覽器--設置--高級--證書--導入

①裝包

# yum -y install mod_ssl

②創建私鑰文件：作用 命令 文件名 存儲位置

# cd /etc/pki/tls/private/

# openssl genrsa 2048 > www.key

③創建證書請求文件：命令 文件名 存儲位置

# openssl req -new -key /etc/pki/tls/private/www.key > /root/www.csr

：證書請求文件以.csr結尾

CN guangdong shenzhen yiyi ope

your server's hostname) []:web :本機網站服務名

Email Address []:lili@163.com

④提交證書請求文件傳給CA服務：scp

# scp /root/www.csr 192.168.4.15:/root/

⑤配置本機的網站在運行時調用私鑰文件和數字證書文件mod_ssl、ssl.conf

# mv /root/www.crt /etc/pki/tls/certs/

# ls /etc/pki/tls/private/www.key

# yum -y install mod_ssl

# sed -n '100p;107p' /etc/httpd/conf.d/ssl.conf

100行 SSLCertificateFile /etc/pki/tls/certs/www.crt ：改路徑

107行 SSLCertificateKeyFile /etc/pki/tls/private/www.key ：改路徑

或

# vim /etc/httpd/conf.d/ssl.conf

100行 SSLCertificateFile /etc/pki/tls/certs/www.crt ：改路徑

107行 SSLCertificateKeyFile /etc/pki/tls/private/www.key ：改路徑

⑥重啟服務

# systemctl restart httpd

# netstat -untlap | grep httpd （443 80）

⑦CA服務器配置

A、審核並簽發數字證書： 命令 數字證書名稱 數字證書文件存放的位置 知道私鑰密碼

# ls /root/www.csr

# cd /etc/pki/CA/certs/

# openssl ca -in /root/www.csr > www.crt (web)

# cat www.crt

B、下發數字證書給網絡服務端：scp

# scp www.crt 192.168.4.13:/root/ ：把證書版發給13服務器

# cat /etc/pki/CA/indedx.txt ：看頒發證書記錄

C、客戶配置：驗證使用https協議訪問網站服務器，從CA服務器上下載根證書文件並安裝

# sed -i '$a192.168.4.13 web' /etc/hosts

或

# vim /etc/hosts

192.168.4.13 web :端口重定向訪問

# ping -c 2 web

HTTP加密第二篇