HTTPS 自签名证书生成与安装完整指南
内容提要
本文介绍了如何生成支持多IP地址的自签名HTTPS证书，解决浏览器兼容性问题，强调SAN扩展、证书类型及密钥用途的重要性，并提供生成、验证证书及Nginx配置的详细步骤。同时讨论了Windows证书安装及常见错误的解决方案，建议使用Let's Encrypt获取受信任证书。
关键要点
-
在开发或内网环境中需要配置HTTPS证书。
-
现代浏览器对HTTPS证书的要求包括必须包含SAN扩展、不能标记为CA证书、需要正确的密钥用途扩展。
-
生成支持多IP地址的自签名证书的命令示例。
-
验证证书信息的步骤，包括检查SAN扩展和证书有效期。
-
Nginx配置示例，包含SSL证书和密钥的路径设置。
-
Windows证书安装步骤，确保证书安装到受信任的根证书颁发机构。
-
浏览器测试支持的访问地址，并提供清除浏览器缓存的步骤。
-
常见错误及解决方案，包括SSL_ERROR_BAD_CERT_DOMAIN和MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY。
-
建议使用Let's Encrypt获取受信任证书，并定期更新证书。
延伸解读
自签名证书的适用场景
自签名证书适合于开发和内网环境，能够快速配置HTTPS。然而，在生产环境中，使用受信任的证书如Let's Encrypt更为安全，避免了浏览器的信任问题。了解自签名证书的局限性，有助于选择合适的证书类型。
证书生成的关键要素
生成自签名证书时，确保包含SAN扩展、正确的密钥用途和不标记为CA证书是至关重要的。这些要素不仅影响证书的有效性，还直接关系到浏览器的兼容性，避免常见的SSL错误。
Windows证书安装注意事项
在Windows系统中安装自签名证书时，务必将其放入受信任的根证书颁发机构中。错误的安装位置会导致证书不被信任，影响HTTPS访问的正常使用。
常见错误及解决方案
在使用自签名证书时，可能会遇到SSL_ERROR_BAD_CERT_DOMAIN等错误。确保证书包含正确的SAN扩展和基本约束设置，可以有效避免这些问题。了解这些常见错误及其解决方案，有助于快速排查和修复证书相关问题。
延伸问答
如何生成支持多IP地址的自签名HTTPS证书？
使用命令：openssl req -x509 -newkey rsa:4096 -keyout server.key -out server.crt -days 3650 -nodes -subj '/C=CN/S=Province/L=City/O=Organization/OU=Department/CN=10.0.0.100' -addext 'subjectAltName=IP:10.0.0.100,IP:192.168.1.100,IP:172.16.0.100' -addext 'basicConstraints=CA:FALSE' -addext 'keyUsage=digitalSignature,keyEncipherment' -addext 'extendedKeyUsage=serverAuth'。
在Nginx中如何配置SSL证书？
在Nginx配置文件中，添加server块，设置listen为8084 ssl，server_name为支持的IP地址，并指定ssl_certificate和ssl_certificate_key的路径，最后重启Nginx。
如何在Windows上安装自签名证书？
将server.crt文件复制到Windows，右键点击证书文件选择'安装证书'，选择'本地计算机'，将证书放入'受信任的根证书颁发机构'存储中。
如何验证自签名证书的有效性？
使用命令openssl x509 -in server.crt -text -noout检查SAN扩展、基本约束和证书有效期。
常见的HTTPS证书错误有哪些？
常见错误包括SSL_ERROR_BAD_CERT_DOMAIN（缺少SAN扩展或域名不匹配）和MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY（证书被错误标记为CA证书）。
使用Let's Encrypt获取证书的优势是什么？
Let's Encrypt提供免费的受信任证书，并且可以定期更新，避免证书过期。
