第一步：搭建CA服务器

spacer.gif 

1、部署证书签发环境：配置文件/etc/pki/tls/openssl.conf

2、创建私钥文件：命令 文件名称  存储位置  私钥

3、创建根证书文件：命令 文件名称  存储位置

4、共享根证书文件：使用那种服务共享 共享目录 共享名

5、测试配置：客户端下载按住嗯根证书文件

 

具体配置过程：

1、部署证书签发环境：配置文件/etc/pki/tls/openssl.conf

# which openssl            :查看是否有装openssl包，默认装

# rpm -qf /bin/openssl      :查看要装的包

# rpm -qc openssl-libs      :查看软件的配置文件

# vim  /etc/pki/tls/openssl.cnf

    40 [ CA_default ]                 :默认环境

    42 dir          = /etc/pki/CA      :CA相关文件的默认目录

    43 certs        = $dir/certs       :为用户颁发证书的存放位置

 建 45 database   = $dir/index.txt   :证书数据的索引文件，需手动建立 

 改 50 certificate   = $dir/my-ca.crt   :CA服务器根证书文件

 建 51 serial       = $dir/serial      :序号记录文件，需手动建立，从01开始

 改 55 private_key = $dir/private/my-ca.key  :CA服务器私钥文件

    83 [ policy_match ]   ：策略匹配

    85 countryName             = match   ：配置和CA一致

    86 stateOrProvinceName     = match

    87 organizationName        = match

    128 [ req_distinguished_name ]        //证书请求的识别信息

 改 129 countryName_default             = CN      ：国家

去#改134 stateOrProvinceName_default   = beijing ：省

 改 137 localityName_default              = beijing ：市

 改 140 0.organizationName_default       = tarena   ：公司名

去#改148 organizationalUnitName_default = ope     ：部门

 

根据需要建立index.txt、serial文件

# touch  /etc/pki/CA/index.txt

# chmod 600 /etc/pki/CA/index.txt

# touch  /etc/pki/CA/serial

# echo 01 > /etc/pki/CA/serial

# chmod 600  /etc/pki/CA/serial

 

2、创建CA服务器私钥文件：命令 文件名称  存储位置  私钥

# cd  /etc/pki/CA/private/

# openssl  genrsa  -des3  2048  >  my-ca.key (设置保护私钥的密码123456)

# chmod  600 my-ca.key  ：为啦安全，只有root有权限

# ls  my-ca.key

 

3、创建根证书文件：命令 文件名称  存储位置

# cd /etc/pki/CA

# openssl  req获取  -new新的  -x509证书格式  -key私钥  /etc/pki/CA/private/my-ca.key私钥文件  -days 365有效时间  > my-ca.crt根证书文件

   server's hostname:web

   Email Address []:lili@163.com

# chmod  600 my-ca.crt

 

4、共享根证书文件：使用那种服务共享 共享目录 共享名

#yum -y  install httpd

# systemctl restart httpd

# systemctl enable  httpd

# mkdir /var/www/html/ca

# cp /etc/pki/CA/my-ca.crt /var/www/html/ca/

# chmod 755 /var/www/html/ca/my-ca.crt查看浏览器安装的证书：首选项

http://192.168.4.100/ca/

浏览器--设置--高级--证书--导入

# ls /var/www/html/ca/my-ca.crt

# service httpd start; chkconfig httpd on

# systemctl stop firewalld

# setenforce 0

 

5、测试配置：客户端下载根证书文件

查看浏览器安装的证书：首选项

http://192.168.4.100/ca/

浏览器--设置--高级--证书--导入

 

①装包

# yum  -y  install  mod_ssl

②创建私钥文件：作用 命令  文件名  存储位置

# cd  /etc/pki/tls/private/

# openssl  genrsa  2048  >  www.key

③创建证书请求文件：命令 文件名 存储位置

# openssl req -new -key /etc/pki/tls/private/www.key > /root/www.csr

     ：证书请求文件以.csr结尾

    CN    guangdong    shenzhen    yiyi    ope

   your server's hostname) []:web  :本机网站服务名

   Email Address []:lili@163.com

 

④提交证书请求文件传给CA服务：scp

# scp /root/www.csr   192.168.4.15:/root/

 

⑤配置本机的网站在运行时调用私钥文件和数字证书文件mod_ssl、ssl.conf

# mv   /root/www.crt    /etc/pki/tls/certs/

# ls  /etc/pki/tls/private/www.key

# yum  -y   install  mod_ssl

# sed   -n  '100p;107p'  /etc/httpd/conf.d/ssl.conf

    100行 SSLCertificateFile /etc/pki/tls/certs/www.crt  ：改路径

    107行 SSLCertificateKeyFile /etc/pki/tls/private/www.key ：改路径

或

# vim /etc/httpd/conf.d/ssl.conf

    100行 SSLCertificateFile /etc/pki/tls/certs/www.crt  ：改路径

    107行 SSLCertificateKeyFile /etc/pki/tls/private/www.key ：改路径

 

⑥重启服务

# systemctl   restart  httpd

# netstat  -untlap  | grep httpd   （443  80）

 

⑦CA服务器配置

A、审核并签发数字证书： 命令 数字证书名称 数字证书文件存放的位置 知道私钥密码

# ls  /root/www.csr

# cd /etc/pki/CA/certs/

# openssl  ca  -in  /root/www.csr  >  www.crt    (web)

# cat  www.crt

 

B、下发数字证书给网络服务端：scp

# scp   www.crt   192.168.4.13:/root/  ：把证书版发给13服务器

# cat /etc/pki/CA/indedx.txt  ：看颁发证书记录

 

C、客户配置：验证使用https协议访问网站服务器，从CA服务器上下载根证书文件并安装

# sed -i '$a192.168.4.13  web'   /etc/hosts

或

# vim /etc/hosts

  192.168.4.13 web  :端口重定向访问

# ping -c 2  web