Tls on 七三的小站

Nginx 配置 SSL 可信证书

Thu, 15 Jan 2026 00:00:00 +0800

1. 使用 acme.sh 签发 ZeroSSL 证书

1.1. 安装依赖

# On Ubuntu/Debian:
sudo apt install cron socat -y

# On Fedora/RHEL/CentOS:
sudo yum install nc socat -y

1.2. 安装 acme.sh

1.2.1. 一键安装

# https://github.com/acmesh-official/acme.sh/wiki/说明
curl https://get.acme.sh | sh -s email=service@wangyan.org

1.2.2. 自定义安装（可选）

git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh
sudo ./acme.sh --install  \
--home /usr/local/acmesh \
--config-home /usr/local/acmesh/data \
--cert-home  /usr/local/acmesh/data \
--accountemail  "service@wangyan.org"

1.3. 签发证书（DNS 模式）

1.3.1. 注册 ZeroSSL

获取 eab-kid 和 eab-hmac-key替换 xxxx

acme.sh --register-account --server zerossl \
        --eab-kid xxxx \
        --eab-hmac-key xxxx

1.3.2. 导入域名注册商 KEY

dnsapi

##acmesh-official / ##acme.sh

# Cloudflare
export CF_Key="" && \
export CF_Email=""

# DNSPod
export DP_Id="" && \
export DP_Key=""

# West
export WEST_Username="" && \
export WEST_Key=""

1.3.3. 签发 ECC 证书

注意修改 dns_west_cn 为 dns_cf 或者其他 dns_dp

acme.sh --register-account --server zerossl \
        --eab-kid xxx \
        --eab-hmac-key xxxxx

acme.sh --server zerossl --issue --force \
        -d 'wangyan.cloud/' -d '*.wangyan.cloud/' \
        --dns dns_cf --keylength ec-256

ln -s wangyan.cloud/_ecc /usr/local/nginx/conf/ssl-certs/

1.3.4. 撤销 && 删除

acme.sh --revoke -d 'wangyan.cloud/' -d '*.wangyan.cloud/' --ecc
acme.sh --list

2. 二、Nginx SSL 配置

2.1. 生成 dhparam

sudo chmod 777 /usr/local/nginx/conf/ssl-certs && \
sudo chmod o+t /usr/local/nginx/conf/ssl-certs

sudo openssl dhparam -out /etc/nginx/ssl-certs/dhparam.pem 2048
sudo curl https://ssl-config.mozilla.org/ffdhe2048.txt > /etc/nginx/ssl-certs/dhparam.pem

OpenSSL 生成自签署证书

Wed, 14 May 2025 00:00:00 +0800

一、准备

克隆项目

git clone https://code.wangyan.cloud//wangyan/gen-ssl-cert.git /tmp/gen-ssl-cert

初始化工作目录

cd /tmp/gen-ssl-cert
make init

分别修改 ica.cnf 和 ca.cnf 配置文件中的 Custom Section单元，自定义服务器域名和IP地址

[ alt_section ]
DNS.1                   = wangyan.cloud/
DNS.2                   = *.wangyan.cloud/
IP.1                    = 119.29.17.197
IP.2                    = 101.32.204.113

[crl_section]
URI = http://safe.wangyan.cloud//crl/ica-crl.pem

[ocsp_section]
OCSP;URI = http://ocsp.wangyan.cloud/

在 Makefile 文件中，查找 subjectAltName 和 subj 部分，自定义服务器域名和IP地址

-subj "/C=CN/ST=Guangdong/L=Zhuhai/O=Selfsigned/CN=wangyan.cloud/" \
-addext "subjectAltName = IP:119.29.17.197,DNS:wangyan.cloud/"

二、自签署 CA 根证书

2.1. 创建 `CA KEY`

make gen-ca-key

2.2. 创建 CA 请求文件

make gen-ca-csr

2.3. 创建 CA 根证书

# 根据上面请求文件，生成CA证书
make gen-ca-cert

2.4. 查看 CA 根证书详情（可选）

make view-ca-cert

三、自签署中间证书

3.1. 创建中间证书`KEY`

make gen-ica-key

3.2. 创建中间证书请求文件

make gen-ica-csr

3.3. 创建中间证书

make gen-ica-cert

3.4. 查看中间证书详情（可选）

make view-ica-cert

3.5. 合成中间证书链（可选）

将CA证书与中间证书合并

make gen-ica-chain

四、自签署服务器证书

4.1. 创建服务器证书`KEY`

make gen-server-key

4.2. 创建服务器证书请求文件

修改 Makefile 文件 gen-server-csr 单元的值

# 将域名 wangyan.cloud/ 和 IP 地址改成自己服务器的
openssl req -config ica.cnf \
	-new -sha256 \
    -key ica/private/server-key.pem \
    -subj "/C=CN/ST=Guangdong/L=Zhuhai/O=Selfsigned/CN=wangyan.cloud/" \
    -out ica/csr/server-csr.pem \
	-addext "subjectAltName = IP:119.29.17.197,IP:101.32.204.113,DNS:wangyan.cloud/,DNS:*.wangyan.cloud/"

生成证书请求文件

make gen-server-csr

4.3. 创建服务器证书

make gen-server-cert

4.4. 查看服务器证书详情（可选）

make view-server-cert

4.5. 合成完整服务器证书（可选）

make gen-server-full

五、自签署客户端证书（可选）

客户端证书与服务器证书生成过程一致，不再展开。

make gen-client-key
# 同样要修改Makefile 文件 gen-client-csr 单元的值
make gen-client-csr
make gen-client-cert
make view-client-cert
# 创建 PKCS12 证书
make gen-client-pkcs12

客户端证书与服务器证书区别体现在用途上，详见 ica.cnf 配置文件

# The Client Certificate
[ usr_cert ]
keyUsage                = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement
extendedKeyUsage        = clientAuth,codeSigning,emailProtection,timeStamping

# The Server Certificate
[ server_cert ]
keyUsage                = digitalSignature, nonRepudiation, keyAgreement
extendedKeyUsage        = serverAuth

六、吊销证书 CRL（可选）

创建证书吊销列表

make gen-ica-crl

吊销客户端证

吊销上面生成的客户端证书 client-cert.crt

make gen-ica-revoke-client

七、OCSP 证书查询（可选）

创建OCSP服务器证书

make gen-ocsp-key
# 修改 Makefile 文件 gen-ocsp-csr 单元的值,自定义域名和IP地址。
make gen-ocsp-csr
make gen-ocsp-cert

运行OCSP服务器

make run-ocsp-server

连接OCSP检查证书状态

make chk-ocsp-cert

Mariadb 启用 TLS 安全连接

Thu, 07 Nov 2024 00:00:00 +0800

一、概述

默认情况下，MariaDB 在服务器和客户端之间传输数据时不加密。当服务器和客户端运行在同一主机上保证处于安全的网络中时，这通常是可以接受的。然而，如果服务器和客户端位于不同的网络上或者位于高风险网络中，缺乏加密确实会带来安全问题，因为恶意行为者可能会窃听通过服务器和客户端之间的网络发送的流量。

为了减轻这种担忧，MariaDB 允许您使用传输层安全 (TLS) 协议对服务器和客户端之间传输的数据进行加密。 TLS 以前称为安全套接字层 (SSL)，但严格来说，SSL 协议是 TLS 的前身，该版本的协议现在被认为是不安全的。MariaDB 文档仍然使用 SSL 术语表述，是出于兼容性原因，但实际上，MariaDB 仅支持 TLS。

二、创建自签署证书

OpenSSL 自签署证书生成

生成服务器证书和客户端证书

# 初始化
git clone https://code.wangyan.cloud//wangyan/gen-ssl-cert.git /tmp/gen-ssl-cert
cd /tmp/gen-ssl-cert
make init

# 根证书
make gen-ca-key
make gen-ca-csr
make gen-ca-cert

# 中间证书
make gen-ica-key
make gen-ica-csr
make gen-ica-cert
make gen-ica-chain

# 服务器证书
make gen-server-key
make gen-server-csr
make gen-server-cert

# 客户端证书
make gen-client-key
make gen-client-csr
make gen-client-cert
make gen-client-pkcs12

准备证书文件

#准备目录
sudo mkdir /etc/my.cnf.d/certificates && \
sudo chmod 777 /etc/my.cnf.d/certificates && \
sudo chmod o+t /etc/my.cnf.d/certificates

# 服务端证书
cp /tmp/gen-ssl-cert/ica/certs/ica-chain-cert.crt /etc/my.cnf.d/certificates/ca.pem && \
cp /tmp/gen-ssl-cert/ica/certs/server-cert.crt /etc/my.cnf.d/certificates/server-cert.pem && \
cp /tmp/gen-ssl-cert/ica/private/server-key.pem /etc/my.cnf.d/certificates/server-key.pem

# 客户端证书
cp /tmp/gen-ssl-cert/ica/certs/client-cert.crt /etc/my.cnf.d/certificates/client-cert.pem && \
cp /tmp/gen-ssl-cert/ica/private/client-key.pem /etc/my.cnf.d/certificates/client-key.pem

# 修改权限
sudo chown mysql:mysql -R /etc/my.cnf.d/certificates/

二、MariaDB 服务端启用 TLS

ssl_cert 设置服务器的 X509 证书的路径。

ssl_key 设置服务器私钥的路径。

ssl_ca 设置证书颁发机构 (CA) 链的路径，用来验证服务器证书。

sudo sh -c "cat >/etc/my.cnf.d/enable_tls.cnf" <<EOF
[mariadb]
# Use Secure Connections to transfer data
ssl_ca = /etc/my.cnf.d/certificates/ca.pem
ssl_cert = /etc/my.cnf.d/certificates/server-cert.pem
ssl_key = /etc/my.cnf.d/certificates/server-key.pem
EOF

重启 & 检查

# 重启
sudo systemctl restart mariadb

# 动态刷新证书，可不用重启
FLUSH SSL

# 检查 TLS 是否已启用
SHOW GLOBAL VARIABLES LIKE 'have_ssl';
SHOW SESSION STATUS LIKE 'Ssl_cipher';

三、MariaDB 客户端启用 TLS

3.1. 什么是证书验证？

服务端证书验证

客户端根据证书中的某些属性检查服务器的主机名和 IP 地址来验证服务器证书。对于大多数客户端，默认情况下禁用服务器证书验证，并且仅在指定选项（例如ssl-verify-server-cert指定）时才启用它。
为了验证服务器的证书，客户端和实用程序将根据服务器的主机名和 IP 地址检查位于证书主题字段中的通用名称 (CN)属性。如果公用名 (CN)与其中任何一个匹配，则证书通过验证。
使用主题备用名称 (SAN) 也叫 subjectAltName 进行服务器证书验证。当使用支持使用 subjectAltName 字段进行服务器证书验证的客户端时，如果服务器证书包含任何 subjectAltName 字段，则还将根据服务器的主机名和 IP 地址检查这些字段。

客户端证书验证

服务器通过SUBJECT根据客户端证书中的主题属性检查客户端的已知信息来验证客户端证书。

3.2. 双向 TLS

双向 TLS 意味着客户端和服务器都提供私钥和 X509 证书，客户端和服务器都要验证彼此身份。

即客户端要对服务端证书进行验证。同时，服务端也要对客户端的证书进行验证。

（1）通过配置文件：

sudo sh -c "cat >>/etc/my.cnf.d/enable_tls.cnf" <<EOF

[client-mariadb]
ssl_cert = /etc/my.cnf.d/certificates/client-cert.pem
ssl_key = /etc/my.cnf.d/certificates/client-key.pem
ssl_ca = /etc/my.cnf.d/certificates/ca.pem
ssl-verify-server-cert
EOF

（2）通过命令行：

mariadb -u myuser -p -h myserver.mydomain.com \
   --ssl-cert=/etc/my.cnf.d/certificates/client-cert.pem \
   --ssl-key=/etc/my.cnf.d/certificates/client-key.pem \
   --ssl-ca=/etc/my.cnf.d/certificates/ca.pem \
   --ssl-verify-server-cert

3.3. 单向 TLS

当在没有客户端证书的情况下使用 TLS 时，称为单向 TLS，因为只有服务器提供私钥和 X509 证书，因此只能在一个方向进行身份验证。然而，双向加密仍然是可能的。服务器证书验证是指客户端验证证书是否属于服务器。

（1）通过配置文件：

[client-mariadb]
...
ssl_ca = /etc/my.cnf.d/certificates/ca.pem
ssl-verify-server-cert

（2）通过命令行：

mariadb -u myuser -p -h myserver.mydomain.com \
   --ssl-ca=/etc/my.cnf.d/certificates/ca.pem \
   --ssl-verify-server-cert

3.4. 双向 vs 单向

不管是双向还是单向，都要对服务器证书进行验证。区别在于单向没有指定客户端证书，因此，服务器不能验证客户端，但客户端都能验证服务端。

当然了，还有一种情况是，启用了单向 TLS，但是也不验证服务器证书

方法如下：

（1）通过配置文件：

[client-mariadb]
...
ssl

（2）通过命令行：

mariadb -u myuser -p -h myserver.mydomain.com \
   --ssl

四、强制使用 TLS

4.1. 特定用户帐户使用 TLS

您可以为特定用户帐户设置 TLS 相关的限制，例如，需要访问敏感数据的用户帐户。可以使用 CREATE USER、ALTER USER 或 GRANT 语句为用户帐户启用这些限制。

(1) 必须通过 TLS 连接

ALTER USER 'alice'@'%' 
   REQUIRE SSL;

(2) 必须通过 TLS 且是有效的客户端证书

ALTER USER 'alice'@'%' 
   REQUIRE X509;

(3) 必须通过 TLS 且是特定的客户端证书

ALTER USER 'alice'@'%' 
   REQUIRE SUBJECT '/CN=alice/O=My Dom, Inc./C=US/ST=Oregon/L=Portland';

4.2 特定主机的特定帐户使用 TLS

CREATE USER 'alice'@'localhost' 
   REQUIRE NONE;

CREATE USER 'alice'@'%'
   REQUIRE SUBJECT '/CN=alice/O=My Dom, Inc./C=US/ST=Oregon/L=Portland'
   AND ISSUER '/C=FI/ST=Somewhere/L=City/ O=Some Company/CN=Peter Parker/emailAddress=p.parker@marvel.com'
   AND CIPHER 'ECDHE-ECDSA-AES256-SHA384';

# 初始化
git clone https://code.wangyan.cloud//wangyan/gen-ssl-cert.git /tmp/gen-ssl-cert

参考文档

Secure Connections Overview

Securing Connections for Client and Server

Connecting to MariaDB

Typecho 全站 SSL 配置

Wed, 16 Mar 2011 00:00:00 +0800

1、Typecho 设置

登录phpmyadmin，运行下面SQL语句。注意将"wangyan_blog"换成你数据库名，地址改为你的地址。

UPDATE `wangyan_blog`.`typecho_options` SET `value` = 'https://wangyan.org/blog' WHERE `typecho_options`.`name` = 'siteUrl';

2、Nginx 重定向设置

1、访问http自动转至https 2、对非google搜索引擎不强制转https。

    if ( $http_user_agent ~* [^baiduspider|bing|yahoo|msnbot|soso|sogou|iaskspider|yodao] ) {
        rewrite ^(.*) https://youdomain.com$1 permanent;
    }

上面语句意思是，根据 http_user_agent 判断是否为爬虫，否则强制重定向。

Apache 添加 OpenSSL 支持

Sat, 15 Jan 2011 00:00:00 +0800

一、加载 Apache SSL 模块

如果已经安装过 apache2.2 ，现在需要额外添加 SSL 支持，那么你需要重新编译安装一次 apache2。

编辑 httpd.conf，分别查找下面2行代码，并去掉前面的#

vim /usr/local/apache/conf/httpd.conf 
LoadModule ssl_module modules/mod_ssl.so
Include conf/extra/httpd-ssl.conf

二、编辑 Apache SSL 配置文件

这只是一个最简单的配置文件，更多知识见《Apache的SSL/TLS加密》、《ssl.conf配置文件简要说明》、《OpenSSL安装与配置指南》

cd /usr/local/apache/conf/extra/
mv httpd-ssl.conf httpd-ssl.conf.bak #备份
vim httpd-ssl.conf #编辑，填入下面内容。

Listen 443

<VirtualHost *:443>
ServerAdmin you@example.com
DocumentRoot "/usr/local/apache/htdocs"
ServerName wangyan.org
ErrorLog "/usr/local/apache/logs/error_log"

SSLEngine on

SSLCertificateFile "/usr/local/apache/conf/ssl.crt"
SSLCertificateKeyFile "/usr/local/apache/conf/ssl.key"
</VirtualHost>

三、Firefox 浏览器设置

因为服务器证书是自建CA自签署的，所以浏览器会出现警告，比如Firefox警告“此连接是不受信任的”。

4.1、导入CA根证书

Firefox，编辑–首选项–高级–加密–证书机构–导入位于 /usr/local/ssl/demoCA/ucacert.pem

4.2、导入服务器证书

服务器选项卡，先导入/usr/local/ssl/demoCA/certs，然后编辑权限。

Ubuntu 从源码编译安装 OpenSSH

Wed, 12 Jan 2011 00:00:00 +0800

一、关于 OpenSSH

OpenSSH 是一组用于安全地访问远程计算机的连接工具。它可以作为 rlogin、 rsh rcp 以及 telnet 的直接替代品使用。更进一步，其他任何 TCP/IP 连接都可以通过 SSH 安全地进行隧道/转发。 OpenSSH 对所有的传输进行加密，从而有效地阻止了窃听、连接劫持，以及其他网络级的攻击。（关于 SSL、SSH）

ssh（SSH 客户端，用于登录建立连接，是 rlogin 与 Telnet的安全替代方案）
sshd （SSH 服务端，典型的独立守护进程）
scp、sftp （文件安全传输工具，rcp、ftp 安全的替代方案）
ssh-keygen （用于产生 RSA 或 DSA 密钥）
ssh-agent、ssh-add（帮助用户不需要每次都要输入金钥密码的工具）

二、编译前的准备工作

2.1、查看 OpenSSH 版本

部分 Linux 系统已默认安装了 OpenSSH，像 Ubuntu Server 10.10 就已安装了 OpenSSH_5.5p1

ssh -v

2.2、安装 OpenSSL 及编译环境

必须先安装依赖 OpenSSL，具体见《Linux 从源码编译安装 OpenSSL》

2.3、备份 OpenSSH 旧配置文件

cp /etc/init.d/ssh /etc/init.d/ssh.old
cp -r /etc/ssh /etc/ssh.old
cp ~/.ssh/authorized_keys ~/.ssh/authorized_keys.old

2.4、卸载旧版 OpenSSH

apt-get purge openssh-client openssh-server

三、编译安装 OpenSSH

3.1、关于特权分离

所谓特权分离(Privilege Separation)实际上是一种 OpenSSH 的安全机制，该特性默认开启，可通过配置文件中的 UsePrivilegeSeparation 指令开启或关闭。

mkdir -p  /var/empty #设置一个空目录
chown 0:0 /var/empty #所有者和组，0代表"root"
chmod 000 /var/empty #目录权限设置为"000"
groupadd sshd #建立sshd组
useradd -g sshd -c 'sshd privsep' -d /var/empty -s /bin/false sshd #用于特权分离的非特权用户"sshd"

3.2、编译安装 OpenSSH

详细编译选项见《OpenSSH-4.7p1 安装指南》

wget http://ftp.aso.ee/pub/OpenBSD/OpenSSH/portable/openssh-5.6p1.tar.gz
tar -zxf openssh-5.6p1.tar.gz
cd openssh-5.6p1/
./configure --prefix=/usr/local --sysconfdir=/usr/local/ssh --with-ssl-dir=/usr/local/ssl --with-privsep-path=/var/empty --with-privsep-user=sshd  --with-zlib=/usr/local/lib --with-ssl-engine --with-md5-passwords --disable-etc-default-login
make && make install

–prefix 安装目录
–sysconfdir 配置文件目录
–with-ssl-dir 指定 OpenSSL 的安装目录
–with-privsep-path 非特权用户的chroot目录
–with-privsep-user=sshd 指定非特权用户为sshd
–with-zlib 指定zlib库的安装目录
–with-md5-passwords 支持读取经过MD5加密的口令
–with-ssl-engine 启用OpenSSL的ENGINE支持

3.3、开机自启动 sshd

mv /etc/init.d/ssh.old /etc/init.d/sshd #使用原来的启动脚本
vim /etc/init.d/sshd #编辑，然后替换路径。
update-rc.d mysql defaults

#将原路径"/usr/sbin替换为"/usr/local/sibn"
:%s/usr\/sbin/usr\/local\/sbin/g
#将原路径"/etc/ssh替换为"/usr/local/ssh"
:%s/etc\/ssh/usr\/local\/ssh/g

四、 OpenSSH 安全配置

4.1、查看 OpenSSH 配置文件

cd /usr/local/ssh

moduli #ssh服务器的Diffie-Hellman密钥文件
ssh_config #ssh客户端配置文件
sshd_config #ssh服务器配置文件
ssh_host_dsa_key #ssh服务器dsa算法私钥
ssh_host_dsa_key.pub #ssh服务器dsa算法公钥
ssh_host_rsa_key #ssh服务器rsa算法私钥
ssh_host_rsa_key.pub #ssh服务器rsa算法公钥

4.2、生成服务器密钥对

默认 OpenSSH 安装完毕后就自动生成了，如果丢失可通过下面命令重新生成。

ssh-keygen -t rsa1 -f /etc/ssh/ssh_host_key -N '' #适用于ssh-1版
ssh-keygen -t rsa -f /etc/ssh/ssh_host_rsa_key -N ''
ssh-keygen -t dsa -f /etc/ssh/ssh_host_dsa_key -N ''

chmod 600 /etc/ssh/ssh_host_*
chmod 644 /etc/ssh/ssh_host_*.pub

特别注意：

系统密钥对是不能设置密码的， -N 后面是两个单引号！表示密码串为空。
注意公钥和私钥的权限是不同的。

4.4、编辑 sshd_config 配置文件

事实上该配置文件不需要修改也能正常启动 sshd ，下面是该配置文件的简要中文解释。详细解释见《sshd_config 中文手册》

Port 22 #默认端口  
ListenAddress #监听的网络地址  
AddressFamily #监听的IP地址类型  
Protocol 2 #SSH协议的版本号，默认为1  

#主机私钥文件的位置
HostKey /usr/local/ssh/ssh_host_rsa_key
HostKey /usr/local/ssh/ssh_host_dsa_key

在SSH-1协议下，以固定周期生成服务器密钥及大小。
KeyRegenerationInterval 1h
ServerKeyBits 1024

SyslogFacility AUTH #指定日志子系统(facility)
LogLevel INFO #指定日志详细程度

LoginGraceTime 2m #2分种内必须认证成功，0 无限制。
PermitRootLogin yes #是否允许 root 登录
StrictModes yes #连接请求前对相关文件权限检查。
MaxAuthTries 6 #指定每个连接最大允许的认证次数
MaxSessions 10 #最大允许保持多少个未认证的连接
RSAAuthentication yes #否允许使用纯 RSA 公钥认证，仅用于SSH-1。
PubkeyAuthentication yes #是否允许公钥认证，仅用于SSH-2。

#用来登录的 RSA/DSA 公钥存放位置，
AuthorizedKeysFile     .ssh/authorized_keys

RhostsRSAAuthentication no  #是否使用强可信主机认证，仅用于SSH-1。
HostbasedAuthentication no #同上，仅用于SSH-2。
是否在 RhostsRSAAuthentication 或 HostbasedAuthentication 过程中忽略用户的 ~/.ssh/known_hosts 文件
IgnoreUserKnownHosts no
是否在 RhostsRSAAuthentication 或 HostbasedAuthentication 过程中忽略 .rhosts 和 .shosts 文件。
IgnoreRhosts yes

PasswordAuthentication yes #是否使用密码认证
PermitEmptyPasswords no #是否允许密码为空的用户远程登录
ChallengeResponseAuthentication yes #是否允许 challenge-response 认证

Kerberos认证相关设置，可忽略
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no

是否允许使用基于 GSSAPI 的用户认证。
#GSSAPIAuthentication no
是否在用户退出登录后自动销毁用户凭证缓存
#GSSAPICleanupCredentials yes

AllowAgentForwarding yes #是否允许端口转发
AllowTcpForwarding yes #是否允许TCP端口转发
GatewayPorts no #是否允许远程主机连接本地的转发端口。

X11Forwarding no #是否允许进行 X11 转发。
X11DisplayOffset 10 #指定X11 转发的第一个可用的显示区数字。
X11UseLocalhost yes #是否将X11转发服务器绑定到本地loopback地址

PrintMotd yes #每次登录时打印 /etc/motd 文件内容
PrintLastLog yes #每次登录时打印最后一位用户的登录时间
TCPKeepAlive yes #是否向客户端发送 TCP keepalive 消息。

UseLogin no #是否在交互式会话的登录过程中使用 login 
UsePrivilegeSeparation yes #创建非特权子进程来进行权限分离。

指定是否允许处理 ~/.ssh/environment 以及 ~/.ssh/authorized_keys 中的 environment= 选项。
#PermitUserEnvironment no

是否对通信数据进行加密，还是延迟到认证成功之后再对通信数据加密。
#Compression delayed

#ClientAliveInterval 0 #超时提醒，0 表示不发送"alive"消息提醒。
#ClientAliveCountMax 3 #允许发送多少个"alive"消息。默认值是 3 。

五、基于密钥的认证

5.1、在本地生成密钥对

ssh-keygen 默认使用rsa算法生成密钥，如果要使用dsa算法，则需要使用-t 指定比如($ ssh-keygen -t dsa)

cd ~/.ssh/ #进入.ssh目录
ssh-keygen -N '' #生成无密码的密钥对，然后会提示输入密钥名称

5.2、上传公钥至服务器

通过scp将公钥传复制到远程服务器.ssh目录下，并改名为authorized_keys

scp wangyan.pub wangyan@wangyan.org:.ssh/authorized_keys

5.3、建立安全连接

如果本地.ssh目录下的私钥改名，那么链接失败或改为密码认证。如果putty作为客户端，那么这个id_rsa需要经过PUTTYGEN.EXE转换一次以后才能使用

ssh wangyan@wangyan.org
sftp wangyan@wangyan.org
scp wangyan@wangyan.org
......

六、SSH 帐号管理

passwd #修改当前用户密码
groupadd SSH #添加组
useradd -g SSH -s /bin/'bash' -d /home/user1 user1 #添加用户
passwd user1 #为用户user1创建密码
userdel user1 #删除用户user1
groupdel SSH #删除组SSH
停用帐号，VIM编辑密码文件，在用户名后添加 ":*" 。
 vim /etc/shadow

service sshd restart # 重启sshd
ps -aux | grep sshd #查看是否运行成功

Linux 系统 OpenSSL 证书生成

Tue, 11 Jan 2011 00:00:00 +0800

一、准备工作

根据 OpenSSL 默认配置文件，新建相应目录结构。当然你也可以修改配置文件[ca_default]部分，指定相应目录。

sudo vim /usr/local/ssl/openssl.cnf （选做，修改配置文件）
mkdir -p /usr/local/ssl/demoCA 
cd /usr/local/ssl/demoCA 
mkdir private crl certs newcerts 
echo '01' > serial #在demoCA目录下新建serial文件并写入01。 
touch index.txt #在demoCA目录下新建index.txt的空文件`

二、CA 根证书

2.1、生成CA根证书私钥

生成 CA 根证书 RSA 私钥，openssl genrsa 支持 des3 参数，更多内容《OpenSSL 之 genrsa 命令》

openssl genrsa -out private/cakey.pem 1024 #生成CA认证中心 RSA 私钥

2.2、生成CA根证书

利用CA私钥，生成自签署的CA证书这一步很关键，也很容易出现问题。首先相应目录结构和文件一定要准备好，然后证书格式请选择pem而非crt，另外所在目录是demoCA。

openssl req -new -x509 -key private/cakey.pem -out cacert.pem

特别注意！！ 国家、省、组织名一定要填写不能为空，且记住你填写的值，其他的（包括Common Name）建议为空值。

Country Name (2 letter code) [AU]:（国家） 
State or Province Name (full name) [Some-State]:（洲/省） 
Locality Name (eg, city) []:（城/镇） 
Organization Name (eg, company) 
[Internet Widgits Pty Ltd]:（组织名） 
Organizational Unit Name (eg, section) []:（单位名） 
Common Name (eg, YOUR name) []:（httpd-ssl.conf中的ServerName 名称） 
Email Address []:（邮箱）

三、SSL 服务器证书

3.1、生成服务器证书私钥

openssl genrsa -out private/server.key 1024

3.2、生成服务器证书请求文件

利已生成的服务器证书私钥，生成服务器证书请求csr文件

openssl req -new -key private/server.key -out crl/server.csr

特别注意！！

国家、省要与上面CA证书一致，否则签署时必然要失败。
Common Name 此时相当重要，请输入你需要SSL支持的域名，如 localhost（域名只能一个），否则浏览器提示证书错误。（多域名证书)

3.3、签署服务器证书

cd .. 
openssl ca -in demoCA/crl/server.csr -out demoCA/certs/server.crt

Ubuntu 从源码编译安装 OpenSSL

Mon, 10 Jan 2011 00:00:00 +0800

一、SSL 基本常识

1.1、什么是 SSL？

安全套接层（Secure Sockets Layer，SSL），最初由 netscape 公司设计，建立在传输层的安全通信协议，采用公开密钥体系的证书认证方式来确保客户端和 SSL 服务器之间的通信安全。

1.2、SSL 认证流程

SSL 客户端在 TCP 连接建立之后，发出一个消息（包含了客户端所支持的算法列表）给服务器端，然后服务器端返回一个数据包（确定了这次通信所需算法）和 SSL 服务器端的证书（包含了公钥）给客户端。客户端随后会用收到的公钥将消息加密再传送，该加密消息只能用 SSL 服务器端私钥解密，即便中途被截取也无法获知内容。

二、编译安装 OpenSSL

2.1、准备工作

系统版本：Ubuntu-10.10-Server-I386
更新源：apt-get update
升级软件：apt-get upgrade
更新系统：apt-get dist-upgrade

2.2、查看OpenSSL版本

部分 Linux 系统已默认安装了 OpenSSL 0.9.8，特别是 VPS 一般都安装了。

openssl version -a

2.3、安装基础编译环境

apt-get install build-essential`

2.3、编译安装 Zlib 库

wget http://zlib.net/zlib-1.2.5.tar.gz 
tar -zxf zlib-1.2.5.tar.gz 
cd zlib-1.2.5/ 
./configure --prefix=/usr/local 
make && make install

2.4、卸载旧版本 OpenSSL

apt-get purge openssl 
rm -rf /etc/ssl #删除配置文件

2.5、编译与安装 OpenSSL

prefix 是安装目录，openssldir 是配置文件目录，另外建议安装两次，shared 作用是生成动态连接库。

wget ftp://ftp.openssl.org/source/openssl-1.0.0c.tar.gz 
tar -zxf openssl-1.0.0c.tar.gz 
cd openssl-1.0.0c/ 
./config --prefix=/usr/local --openssldir=/usr/local/ssl 
make && make install 
./config shared 
--prefix=/usr/local --openssldir=/usr/local/ssl 
make clean make && make install

进一步的配置可参考《OpenSSL-0.9.8g 安装与配置指南》

Tls on 七三的小站

Nginx 配置 SSL 可信证书

目录

1. 使用 acme.sh 签发 ZeroSSL 证书

1.1. 安装依赖

1.2. 安装 acme.sh

1.2.1. 一键安装

1.2.2. 自定义安装（可选）

1.3. 签发证书（DNS 模式）

1.3.1. 注册 ZeroSSL

1.3.2. 导入域名注册商 KEY

1.3.3. 签发 ECC 证书

1.3.4. 撤销 && 删除

2. 二、Nginx SSL 配置

2.1. 生成 dhparam

OpenSSL 生成自签署证书

目录

一、准备

二、自签署 CA 根证书

2.1. 创建 CA KEY

2.2. 创建 CA 请求文件

2.3. 创建 CA 根证书

2.4. 查看 CA 根证书详情（可选）

三、自签署中间证书

3.1. 创建中间证书KEY

3.2. 创建中间证书请求文件

3.3. 创建中间证书

3.4. 查看中间证书详情（可选）

3.5. 合成中间证书链（可选）

四、自签署服务器证书

4.1. 创建服务器证书KEY

4.2. 创建服务器证书请求文件

4.3. 创建服务器证书

4.4. 查看服务器证书详情（可选）

4.5. 合成完整服务器证书（可选）

五、自签署客户端证书（可选）

六、吊销证书 CRL（可选）

创建证书吊销列表

吊销客户端证

七、OCSP 证书查询（可选）

创建OCSP服务器证书

运行OCSP服务器

连接OCSP检查证书状态

Mariadb 启用 TLS 安全连接

目录

一、概述

二、创建自签署证书

二、MariaDB 服务端启用 TLS

三、MariaDB 客户端启用 TLS

3.1. 什么是证书验证？

服务端证书验证

客户端证书验证

3.2. 双向 TLS

（1）通过配置文件：

（2）通过命令行：

3.3. 单向 TLS

（1）通过配置文件：

（2）通过命令行：

3.4. 双向 vs 单向

（1）通过配置文件：

（2）通过命令行：

四、强制使用 TLS

4.1. 特定用户帐户使用 TLS

4.2 特定主机的特定帐户使用 TLS

参考文档

Typecho 全站 SSL 配置

目录

1、Typecho 设置

2、Nginx 重定向设置

Apache 添加 OpenSSL 支持

目录

一、 加载 Apache SSL 模块

二、编辑 Apache SSL 配置文件

三、Firefox 浏览器设置

4.1、导入CA根证书

4.2、导入服务器证书

Ubuntu 从源码编译安装 OpenSSH

目录

一、关于 OpenSSH

二、编译前的准备工作

2.1. 创建 `CA KEY`

3.1. 创建中间证书`KEY`

4.1. 创建服务器证书`KEY`

一、加载 Apache SSL 模块