1、安装openssl

openssl是一个开源的实现加解密和证书的专业系统。

查看使用的系统是否已经安装openssl： 验证是否安装成功亦是如此

（博主使用的是centos自带openssl）

openssl version -a

 

 

如果在联网状态下可以使用如下命令安装openssl

Ubuntu系统安装openssl：

sudo apt-get install openssl
//安装openssl-devel
//由于ubuntu下无法安装openssl-devel 所以使用libssl-dev代替openssl-devel
sudo apt-get install libssl-dev

 centos系统下安装openssl：

//解压openssl安装包
[root@localhost opt]# tar xvzf openssl-1.0.0d.tar.gz
//进入解压后的目录
[root@localhost opt]# cd openssl-1.0.0d
//修改openssl配置文件
[root@localhost openssl-1.0.0d]# ./configure --prefix=/usr/local/openssl
//编译代码
[root@localhost openssl-1.0.0d]# make
//安装
[root@localhost openssl-1.0.0d]# make install
//安装curses.h头文件的库
sudo apt-get install libncurses5-dev
//所需软件安装完毕：openssl、openssl-devel、libncurses5-dev 三个软件

openssl的配置文件是openssl.cnf，我们一般就是用默认配置就可以。如果证书有特殊要求的话，可以修改配置适应需求。这样必须把相关的文件放到配置文件指定的目录下面。

 

2.颁发证书

ca.crt 为自签名证书；
server.crt，server.key 为服务器端的证书和私钥文件；
proxy.crt，proxy.key 为代理服务器端的证书和私钥文件；
client.crt，client.key 为客户端的证书和私钥文件。

 

生成根证书私钥

openssl genrsa -out /home/konglanqing/ca.key

  #利用私钥生成一个根证书的申请，一般证书的申请格式都是csr。所以私钥和csr一般需要保存好

openssl req -new -key /home/konglanqing/ca.key -out /home/lengshan/ca.csr

  #自签名的方式签发我们之前的申请的证书，生成的证书为ca.crt

openssl x509 -req -days 3650 -in /home/konglanqing/ca.csr -signkey /home/konglanqing/ca.key -out /home/konglanqing/ca.crt

  #为我们的证书建立第一个序列号，一般都是用4个字符，这个不影响之后的证书颁发等操作

echo FACE > /home/konglanqing/serial

  #建立ca的证书库，不影响后面的操作，默认配置文件里也有存储的地方

touch /home/konglanqing/index.txt

  #建立证书回收列表保存失效的证书

openssl ca -gencrl -out /home/konglanqing/ca.crl -crldays 7

已上就完成了根证书的相关操作，下一步可以颁发证书了。

 

生成和签发服务器身份验证证书，注意证书是自签名的，浏览器会提示不受信任

  

 #建立服务器验证证书的私钥

openssl genrsa -out /home/konglanqing/server.key

  #生成证书申请文件

openssl req -new -key /home/konglanqing/server.key -out /home/konglanqing/server.csr

  #利用根证书签发服务器身份验证证书

openssl ca -in /home/konglanqing/server.csr -cert /home/konglanqing/ca.crt -keyfile /home/konglanqing/ca.key -out /home/konglanqing/server.crt

至此，服务器端身份认证证书已经完成，可以利用证书和私钥生成pfx格式的证书给微软使用，命令如下：

openssl pkcs12 -export -clcerts -in /home/konglanqing/server.crt -inkey /home/konglanqing/server.key -out 

签发客户端身份认证证书

#生成私钥

openssl genrsa -des3 -out /home/konglanqing/users/1/1.key 1024

  #生成证书请求文件

openssl req -new -key /home/konglanqing/users/1/1.key -out /home/konglanqing/users/1/1.csr

  #签发证书

openssl ca -in /home/konglanqing/users/1/1.csr -cert /home/konglanqing/ca.crt -keyfile /home/konglanqing/users/1/1.crt

  #生成pfx格式

openssl pkcs12 -export -clcerts -in /home/konglanqing/users/1/1.crt -inkey /home/konglanqing/users/1/1.key -out /home/konglanqing/users/1/1.p12

客户端证书完成