如何使用自签 CA 签发服务器证书与客户端证书

如何使用自签 CA 签发服务器证书与客户端证书

在上一篇文章中，我们生成了一个自签的 CA 根证书：

• my_ca.key → 根证书私钥（保密）
• my_ca.crt → 根证书公钥证书（可分发）

接下来，我们将用它来签发 服务器证书 和 客户端证书，这样内部系统就可以通过 TLS/SSL 或双向认证实现安全通信。

一、签发服务器证书

1. 生成服务器私钥

openssl genrsa -out server.key 2048

• 生成服务器私钥文件 server.key。
• 这个私钥通常放在 Web 服务器（如 Nginx、Apache、Tomcat）上使用。

2. 生成服务器证书请求（CSR）

openssl req -new -key server.key -out server.csr \\
-subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/OU=Dev/CN=server.mycompany.com"

• server.csr 是证书签名请求文件。
• CN 要填写服务器的域名，例如 server.mycompany.com。

3. 用 CA 签发服务器证书

openssl x509 -req -in server.csr -CA my_ca.crt -CAkey my_ca.key \\
-CAcreateserial -out server.crt -days 365 -sha256

参数说明：

• -CA my_ca.crt → 指定根证书。
• -CAkey my_ca.key → 指定根证书私钥。
• -CAcreateserial → 自动生成 my_ca.srl 文件（记录序列号）。
• -days 365 → 有效期 1 年(作为懒人，还是先输入5年10年再说吧)。
• 输出 server.crt 就是服务器证书。

4. 验证服务器证书

openssl verify -CAfile my_ca.crt server.crt

输出：

server.crt: OK

说明服务器证书是由我们自签 CA 正常签发的。

二、签发客户端证书

客户端证书常用于 双向 TLS 认证（Mutual TLS），比如 VPN、内部系统登录。

1. 生成客户端私钥

openssl genrsa -out client.key 2048

2. 生成客户端证书请求（CSR）

openssl req -new -key client.key -out client.csr \\
-subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/OU=IT/CN=client1"

• CN=client1 表示客户端用户名或唯一标识。

3. 用 CA 签发客户端证书

openssl x509 -req -in client.csr -CA my_ca.crt -CAkey my_ca.key \\
-CAcreateserial -out client.crt -days 365 -sha256

4. 验证客户端证书

openssl verify -CAfile my_ca.crt client.crt

输出：

client.crt: OK

三、完整的文件清单

到这里我们有：

• CA 文件

  • my_ca.key → 根 CA 私钥（保密）
  • my_ca.crt → 根 CA 证书（分发给系统/客户端）

• 服务器文件

  • server.key → 服务器私钥
  • server.csr → 服务器证书请求
  • server.crt → 服务器证书

• 客户端文件

  • client.key → 客户端私钥
  • client.csr → 客户端证书请求
  • client.crt → 客户端证书

四、使用场景

总结

通过前后两篇文章(如何自签CA根证书)，我们完成了一个简易的 PKI 体系：

这样就可以在内部系统中实现 HTTPS / 双向 TLS 认证。