基于OpenSSL 生成Nginx双向证书校验

1、创建Root CA私钥
openssl genrsa -out root-ca.key 1024

2、创建Root CA证书请求
openssl req -new -out root-ca.csr -key root-ca.key

3、签发Root CA根证书
openssl x509 -req -in root-ca.csr -out root-ca.crt -signkey root-ca.key -CAcreateserial -days 3650

5、生成服务器私钥
openssl genrsa -out server.key 2048

6、生成服务器证书签名请求
openssl req -new -out server.csr -key server.key
Common Name注意使用服务器的域名

7、使用Root CA签发服务器证书（Root CA证书、Root CA私钥、服务器CSR）
openssl x509 -req -in server.csr -out server.crt -CA root-ca.crt -CAkey root-ca.key -CAcreateserial -days 3650

8、生成客户端私钥
openssl genrsa -out client.key 2048

9、生成客户端证书签名请求
openssl req -new -out client.csr -key client.key

10、签发客户端证书（Root CA证书、Root CA私钥、服务器CSRc）
openssl x509 -req -in client.csr -out client.crt -CA root-ca.crt -CAkey root-ca.key -CAcreateserial -days 3650

11、客户端证书转为p12格式（p12格式才能导入浏览器）
openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

全过程：

然后配置Nginx：

6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22

server     {         listen       11111;         server_name  *.*.com;           ssl                     on;         ssl_certificate         /root/ssl-cert/server.crt;         ssl_certificate_key     /root/ssl-cert/server.key;         ssl_verify_client       on;         ssl_client_certificate  /root/ssl-cert/root-ca.crt;           location / {             client_max_body_size 10M;             proxy_set_header X-Forwarded-Host $host;             proxy_set_header X-Forwarded-Server $host;             proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;             proxy_set_header X-Real-IP $remote_addr;             proxy_ssl_verify off;             proxy_pass http://172.*.*.*:8080/;             proxy_redirect default;         }     }

此时若不设置客户端证书访问会报错“No required SSL certificate was sent”，我们可以先使用curl进行验证（–insecure标识忽略服务器端证书校验，否则自签名证书会报错）：

把client证书导入可正常访问。