Openssl on 七三的小站

OpenSSL 生成自签署证书

Wed, 14 May 2025 00:00:00 +0800

一、准备

克隆项目

git clone https://code.wangyan.cloud//wangyan/gen-ssl-cert.git /tmp/gen-ssl-cert

初始化工作目录

cd /tmp/gen-ssl-cert
make init

分别修改 ica.cnf 和 ca.cnf 配置文件中的 Custom Section单元，自定义服务器域名和IP地址

[ alt_section ]
DNS.1                   = wangyan.cloud/
DNS.2                   = *.wangyan.cloud/
IP.1                    = 119.29.17.197
IP.2                    = 101.32.204.113

[crl_section]
URI = http://safe.wangyan.cloud//crl/ica-crl.pem

[ocsp_section]
OCSP;URI = http://ocsp.wangyan.cloud/

在 Makefile 文件中，查找 subjectAltName 和 subj 部分，自定义服务器域名和IP地址

-subj "/C=CN/ST=Guangdong/L=Zhuhai/O=Selfsigned/CN=wangyan.cloud/" \
-addext "subjectAltName = IP:119.29.17.197,DNS:wangyan.cloud/"

二、自签署 CA 根证书

2.1. 创建 `CA KEY`

make gen-ca-key

2.2. 创建 CA 请求文件

make gen-ca-csr

2.3. 创建 CA 根证书

# 根据上面请求文件，生成CA证书
make gen-ca-cert

2.4. 查看 CA 根证书详情（可选）

make view-ca-cert

三、自签署中间证书

3.1. 创建中间证书`KEY`

make gen-ica-key

3.2. 创建中间证书请求文件

make gen-ica-csr

3.3. 创建中间证书

make gen-ica-cert

3.4. 查看中间证书详情（可选）

make view-ica-cert

3.5. 合成中间证书链（可选）

将CA证书与中间证书合并

make gen-ica-chain

四、自签署服务器证书

4.1. 创建服务器证书`KEY`

make gen-server-key

4.2. 创建服务器证书请求文件

修改 Makefile 文件 gen-server-csr 单元的值

# 将域名 wangyan.cloud/ 和 IP 地址改成自己服务器的
openssl req -config ica.cnf \
	-new -sha256 \
    -key ica/private/server-key.pem \
    -subj "/C=CN/ST=Guangdong/L=Zhuhai/O=Selfsigned/CN=wangyan.cloud/" \
    -out ica/csr/server-csr.pem \
	-addext "subjectAltName = IP:119.29.17.197,IP:101.32.204.113,DNS:wangyan.cloud/,DNS:*.wangyan.cloud/"

生成证书请求文件

make gen-server-csr

4.3. 创建服务器证书

make gen-server-cert

4.4. 查看服务器证书详情（可选）

make view-server-cert

4.5. 合成完整服务器证书（可选）

make gen-server-full

五、自签署客户端证书（可选）

客户端证书与服务器证书生成过程一致，不再展开。

make gen-client-key
# 同样要修改Makefile 文件 gen-client-csr 单元的值
make gen-client-csr
make gen-client-cert
make view-client-cert
# 创建 PKCS12 证书
make gen-client-pkcs12

客户端证书与服务器证书区别体现在用途上，详见 ica.cnf 配置文件

# The Client Certificate
[ usr_cert ]
keyUsage                = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement
extendedKeyUsage        = clientAuth,codeSigning,emailProtection,timeStamping

# The Server Certificate
[ server_cert ]
keyUsage                = digitalSignature, nonRepudiation, keyAgreement
extendedKeyUsage        = serverAuth

六、吊销证书 CRL（可选）

创建证书吊销列表

make gen-ica-crl

吊销客户端证

吊销上面生成的客户端证书 client-cert.crt

make gen-ica-revoke-client

七、OCSP 证书查询（可选）

创建OCSP服务器证书

make gen-ocsp-key
# 修改 Makefile 文件 gen-ocsp-csr 单元的值,自定义域名和IP地址。
make gen-ocsp-csr
make gen-ocsp-cert

运行OCSP服务器

make run-ocsp-server

连接OCSP检查证书状态

make chk-ocsp-cert

CentOS 升级 OpenSSL 和 OpenSSH

Sat, 15 Jul 2017 00:00:00 +0800

一、查看当前版本

ssh -V
#OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017 (7.4.1708)

openssl version
#OpenSSL 1.0.2k-fips  26 Jan 2017 (7.4.1708)

查看已安装的RPM包 (可选，仅参考)

rpm -qa | grep openssl
#openssl-libs-1.0.2k-16.el7.x86_64
#openssl-1.0.2k-16.el7.x86_64
#openssl-devel-1.0.2k-16.el7.x86_64

rpm -qa | grep openssh
#openssh-7.4p1-16.el7.x86_64
#openssh-server-7.4p1-16.el7.x86_64
#openssh-clients-7.4p1-16.el7.x86_64

二、安装依赖

yum install -y wget curl gcc gcc-c++ make zlib-devel pam-devel tcp_wrappers tcp_wrappers-devel

安装Perl (可选，仅参考)

via http://www.cpan.org/src/

wget https://www.cpan.org/src/5.0/perl-5.28.1.tar.gz && \
tar -xzf perl-5.28.1.tar.gz && \
cd perl-5.28.1 && \
./Configure -des -Dprefix=/usr/local/perl && \
make && \
make install
perl -v

三、安装 OpenSSL

OpenSSL 默认安装在 /usr/local/ssl，与旧版不冲突，建议不要去卸载旧版，很多软件都依赖旧版的 SSL 库，否则你得要花更多时间去处理相关错误。

3.1 卸载现有版本（仅参考，不需要卸载）

rpm -e `rpm -qa | grep openssh`
rpm -e `rpm -qa | grep openssl` --nodeps

若误卸载了，可将下面文件复制到 /usr/lib64/

libcrypto.so.10 libcrypto.so.1.0.1e libssl.so.10 libssl.so.1.0.1e

3.2 安装 OpenSSL

注意 openssl-1.1.x 新版不兼容 openssh ，请用回最新的的 1.0.x 版本

wget https://www.openssl.org/source/openssl-1.0.2q.tar.gz && \
tar -zxf openssl-1.0.2q.tar.gz && \
cd openssl-1.0.2q && \
./config shared zlib && \
make depend && \
make install

3.3 替换旧版 OpenSSL

mv /usr/bin/openssl /usr/bin/openssl.backup && \
mv /usr/include/openssl /usr/include/openssl.backup

ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl && \
ln -s /usr/local/ssl/include/openssl/ /usr/include/openssl

echo '/usr/local/ssl/lib' >> /etc/ld.so.conf && ldconfig && \
/sbin/restorecon -v /usr/local/ssl/lib/libcrypto.so.1.0.0

四、安装 OpenSSH

4.1 卸载 OpenSSH 旧版本

OpenSSH 建议卸载旧版本，卸载前也可以备份一下。

# 备份
cp -r /usr/bin/ssh /usr/bin/ssh.bak && \
cp -r /usr/sbin/sshd /usr/sbin/sshd.bak && \
cp -r /usr/libexec/openssh/sftp-server /usr/libexec/openssh/sftp-server.bak && \
cp -r /etc/ssh /etc/ssh.bak

# 卸载
# yum remove -y openssh openssh-server openssh-clients
rpm -e `rpm -qa | grep openssh` --nodeps

4.2 安装 OpenSSH

wget http://ftp.eu.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-7.9p1.tar.gz && \
tar -zxf openssh-7.9p1.tar.gz && \
cd openssh-7.9p1 && \
./configure --prefix=/usr/local/ssh \
            --sysconfdir=/etc/ssh \
            --with-ssl-dir=/usr/local/ssl \
            --with-pam \
            --with-tcp-wrappers \
            --with-md5-passwords \
            --with-zlib=zlib && \
make && make install

echo "/usr/local/ssl/lib/" >> /etc/ld.so.conf.d/openssl.conf
ldconfig

如果出现"Your OpenSSL headers do not match your library. "
配置以下三个变量，让其指向新版本的opnessl库文件：

DEFAULT_LIBPATH=/usr/local/ssl/include/openssl:/usr/local/ssl/lib/ && \
LIBPATH=${LIBPATH:=$DEFAULT_LIBPATH}  && \
LD_LIBRARY_PATH=${LD_LIBRARY_PATH:=$DEFAULT_LIBPATH} && \
LIBRARY_PATH=${LIBRARY_PATH:=$DEFAULT_LIBPATH} && \
export LIBPATH LD_LIBRARY_PATH LIBRARY_PATH

更新系统库文件(选做)

yum -y install mlocate
updatedb

4.3 替换旧版 OpenSSH

ln -s /usr/local/ssh/bin/ssh /usr/bin/ssh && \
ln -s /usr/local/ssh/sbin/sshd /usr/sbin/sshd && \
mkdir -p /usr/libexec/openssh/ && \
ln -s /usr/local/ssh/libexec/sftp-server /usr/libexec/openssh/sftp-server

4.4 开机自启动（方法1，不推荐）

cp contrib/redhat/sshd.init /etc/init.d/sshd
sed -i 's/usr\/sbin/usr\/local\/ssh\/sbin/g' /etc/init.d/sshd
sed -i 's/usr\/bin/usr\/local\/ssh\/bin/g' /etc/init.d/sshd
chmod +x /etc/init.d/sshd
chkconfig --add sshd

systemctl reload sshd
systemctl enable sshd
systemctl restart sshd.service

4.5 开机自启动（systemd，推荐）

4.5.1 方法一：使用 `sshd.socket` 套接字

/usr/lib/systemd/system/sshd.socket

[Unit]
Description=OpenSSH Server Socket
Documentation=man:sshd(8) man:sshd_config(5)
Conflicts=sshd.service
Wants=sshd-keygen.service

[Socket]
ListenStream=0.0.0.0:22
Accept=yes

[Install]
WantedBy=sockets.target

/usr/lib/systemd/system/sshd-keygen.service

[Unit]
Description=OpenSSH Server Key Generation
ConditionFileNotEmpty=|!/etc/ssh/ssh_host_rsa_key
ConditionFileNotEmpty=|!/etc/ssh/ssh_host_ecdsa_key
ConditionFileNotEmpty=|!/etc/ssh/ssh_host_ed25519_key
PartOf=sshd.service sshd.socket

[Service]
ExecStart=/usr/local/ssh/bin/ssh-keygen
Type=oneshot
RemainAfterExit=yes

/usr/lib/systemd/system/sshd@.service

配置文件，定义服务如何启动

[Unit]
Description=OpenSSH per-connection server daemon
Documentation=man:sshd(8) man:sshd_config(5)

[Service]
EnvironmentFile=-/etc/sysconfig/sshd
ExecStart=-/usr/local/ssh/sbin/sshd -i $OPTIONS
StandardInput=socket

/etc/sysconfig/sshd

# Configuration file for the sshd service.

# The server keys are automatically generated if they are missing.
# To change the automatic creation uncomment and change the appropriate
# line. Accepted key types are: DSA RSA ECDSA ED25519.
# The default is "RSA ECDSA ED25519"

# AUTOCREATE_SERVER_KEYS=""
# AUTOCREATE_SERVER_KEYS="RSA ECDSA ED25519"

# Do not change this option unless you have hardware random
# generator and you REALLY know what you are doing

# SSH_USE_STRONG_RNG=0
# SSH_USE_STRONG_RNG=1

切换至 sshd.socket 自启动服务

systemctl stop sshd.service
systemctl disable sshd.service

#systemctl daemon-reload
#cat /etc/systemd/system/sockets.target.wants/sshd.socket
systemctl enable sshd.socket
systemctl start sshd.socket

4.5.2 方法二：使用 `sshd.service` 服务

/usr/lib/systemd/system/sshd.service

[Unit]
Description=OpenSSH per-connection server daemon
Documentation=man:sshd(8) man:sshd_config(5)

[Service]
EnvironmentFile=-/etc/sysconfig/sshd
ExecStart=-/usr/local/ssh/sbin/sshd -i $OPTIONS
StandardInput=socket

切换

systemctl mask --now sshd.socket
systemctl restart sshd.service

参考文档：

五、安装 Telnet (可选，仅参考)

yum -y install xinetd telnet telnet-server

配置

vi /etc/securetty
pts/0
pts/1

关闭 selinux

vim /etc/selinux/config
SELINUX=disabled

防火墙

#默认zone为public 可以使用firewall-cmd --get-default-zone 来获取默认zone
firewall-cmd --permanent --zone=public --add-port=23/tcp
firewall-cmd --reload

自启动

systemctl enable telnet.socket && \
systemctl start telnet.socket && \
systemctl enable xinetd && \
systemctl start xinetd

telnet dmfy@192.168.10.251

最后更新：2019.02.13

参考文档：http://www.omgdba.com/how-to-enable-telnet-on-centos-7.html

Apache 添加 OpenSSL 支持

Sat, 15 Jan 2011 00:00:00 +0800

一、加载 Apache SSL 模块

如果已经安装过 apache2.2 ，现在需要额外添加 SSL 支持，那么你需要重新编译安装一次 apache2。

编辑 httpd.conf，分别查找下面2行代码，并去掉前面的#

vim /usr/local/apache/conf/httpd.conf 
LoadModule ssl_module modules/mod_ssl.so
Include conf/extra/httpd-ssl.conf

二、编辑 Apache SSL 配置文件

这只是一个最简单的配置文件，更多知识见《Apache的SSL/TLS加密》、《ssl.conf配置文件简要说明》、《OpenSSL安装与配置指南》

cd /usr/local/apache/conf/extra/
mv httpd-ssl.conf httpd-ssl.conf.bak #备份
vim httpd-ssl.conf #编辑，填入下面内容。

Listen 443

<VirtualHost *:443>
ServerAdmin you@example.com
DocumentRoot "/usr/local/apache/htdocs"
ServerName wangyan.org
ErrorLog "/usr/local/apache/logs/error_log"

SSLEngine on

SSLCertificateFile "/usr/local/apache/conf/ssl.crt"
SSLCertificateKeyFile "/usr/local/apache/conf/ssl.key"
</VirtualHost>

三、Firefox 浏览器设置

因为服务器证书是自建CA自签署的，所以浏览器会出现警告，比如Firefox警告“此连接是不受信任的”。

4.1、导入CA根证书

Firefox，编辑–首选项–高级–加密–证书机构–导入位于 /usr/local/ssl/demoCA/ucacert.pem

4.2、导入服务器证书

服务器选项卡，先导入/usr/local/ssl/demoCA/certs，然后编辑权限。

Linux 系统 OpenSSL 证书生成

Tue, 11 Jan 2011 00:00:00 +0800

一、准备工作

根据 OpenSSL 默认配置文件，新建相应目录结构。当然你也可以修改配置文件[ca_default]部分，指定相应目录。

sudo vim /usr/local/ssl/openssl.cnf （选做，修改配置文件）
mkdir -p /usr/local/ssl/demoCA 
cd /usr/local/ssl/demoCA 
mkdir private crl certs newcerts 
echo '01' > serial #在demoCA目录下新建serial文件并写入01。 
touch index.txt #在demoCA目录下新建index.txt的空文件`

二、CA 根证书

2.1、生成CA根证书私钥

生成 CA 根证书 RSA 私钥，openssl genrsa 支持 des3 参数，更多内容《OpenSSL 之 genrsa 命令》

openssl genrsa -out private/cakey.pem 1024 #生成CA认证中心 RSA 私钥

2.2、生成CA根证书

利用CA私钥，生成自签署的CA证书这一步很关键，也很容易出现问题。首先相应目录结构和文件一定要准备好，然后证书格式请选择pem而非crt，另外所在目录是demoCA。

openssl req -new -x509 -key private/cakey.pem -out cacert.pem

特别注意！！ 国家、省、组织名一定要填写不能为空，且记住你填写的值，其他的（包括Common Name）建议为空值。

Country Name (2 letter code) [AU]:（国家） 
State or Province Name (full name) [Some-State]:（洲/省） 
Locality Name (eg, city) []:（城/镇） 
Organization Name (eg, company) 
[Internet Widgits Pty Ltd]:（组织名） 
Organizational Unit Name (eg, section) []:（单位名） 
Common Name (eg, YOUR name) []:（httpd-ssl.conf中的ServerName 名称） 
Email Address []:（邮箱）

三、SSL 服务器证书

3.1、生成服务器证书私钥

openssl genrsa -out private/server.key 1024

3.2、生成服务器证书请求文件

利已生成的服务器证书私钥，生成服务器证书请求csr文件

openssl req -new -key private/server.key -out crl/server.csr

特别注意！！

国家、省要与上面CA证书一致，否则签署时必然要失败。
Common Name 此时相当重要，请输入你需要SSL支持的域名，如 localhost（域名只能一个），否则浏览器提示证书错误。（多域名证书)

3.3、签署服务器证书

cd .. 
openssl ca -in demoCA/crl/server.csr -out demoCA/certs/server.crt

Ubuntu 从源码编译安装 OpenSSL

Mon, 10 Jan 2011 00:00:00 +0800

一、SSL 基本常识

1.1、什么是 SSL？

安全套接层（Secure Sockets Layer，SSL），最初由 netscape 公司设计，建立在传输层的安全通信协议，采用公开密钥体系的证书认证方式来确保客户端和 SSL 服务器之间的通信安全。

1.2、SSL 认证流程

SSL 客户端在 TCP 连接建立之后，发出一个消息（包含了客户端所支持的算法列表）给服务器端，然后服务器端返回一个数据包（确定了这次通信所需算法）和 SSL 服务器端的证书（包含了公钥）给客户端。客户端随后会用收到的公钥将消息加密再传送，该加密消息只能用 SSL 服务器端私钥解密，即便中途被截取也无法获知内容。

二、编译安装 OpenSSL

2.1、准备工作

系统版本：Ubuntu-10.10-Server-I386
更新源：apt-get update
升级软件：apt-get upgrade
更新系统：apt-get dist-upgrade

2.2、查看OpenSSL版本

部分 Linux 系统已默认安装了 OpenSSL 0.9.8，特别是 VPS 一般都安装了。

openssl version -a

2.3、安装基础编译环境

apt-get install build-essential`

2.3、编译安装 Zlib 库

wget http://zlib.net/zlib-1.2.5.tar.gz 
tar -zxf zlib-1.2.5.tar.gz 
cd zlib-1.2.5/ 
./configure --prefix=/usr/local 
make && make install

2.4、卸载旧版本 OpenSSL

apt-get purge openssl 
rm -rf /etc/ssl #删除配置文件

2.5、编译与安装 OpenSSL

prefix 是安装目录，openssldir 是配置文件目录，另外建议安装两次，shared 作用是生成动态连接库。

wget ftp://ftp.openssl.org/source/openssl-1.0.0c.tar.gz 
tar -zxf openssl-1.0.0c.tar.gz 
cd openssl-1.0.0c/ 
./config --prefix=/usr/local --openssldir=/usr/local/ssl 
make && make install 
./config shared 
--prefix=/usr/local --openssldir=/usr/local/ssl 
make clean make && make install

进一步的配置可参考《OpenSSL-0.9.8g 安装与配置指南》