HTTPS 自签名证书生成与安装完整指南
内容提要
本文介绍了如何生成支持多IP地址的自签名HTTPS证书，解决浏览器兼容性问题，强调SAN扩展、证书类型及密钥用途的重要性，并提供生成、验证证书及Nginx配置的详细步骤。同时讨论了Windows证书安装及常见错误的解决方案，建议使用Let's Encrypt获取受信任证书。
关键要点
- 在开发或内网环境中需要配置HTTPS证书。
- 现代浏览器对HTTPS证书的要求包括必须包含SAN扩展、不能标记为CA证书、需要正确的密钥用途扩展。
- 生成支持多IP地址的自签名证书的命令示例。
- 验证证书信息的步骤，包括检查SAN扩展和证书有效期。
- Nginx配置示例，包含SSL证书和密钥的路径设置。
- Windows证书安装步骤，确保证书安装到受信任的根证书颁发机构。
- 浏览器测试支持的访问地址，并提供清除浏览器缓存的步骤。
- 常见错误及解决方案，包括SSL_ERROR_BAD_CERT_DOMAIN和MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY。
- 建议使用Let's Encrypt获取受信任证书，并定期更新证书。
延伸问答
如何生成支持多IP地址的自签名HTTPS证书？
使用命令：openssl req -x509 -newkey rsa:4096 -keyout server.key -out server.crt -days 3650 -nodes -subj '/C=CN/S=Province/L=City/O=Organization/OU=Department/CN=10.0.0.100' -addext 'subjectAltName=IP:10.0.0.100,IP:192.168.1.100,IP:172.16.0.100' -addext 'basicConstraints=CA:FALSE' -addext 'keyUsage=digitalSignature,keyEncipherment' -addext 'extendedKeyUsage=serverAuth'。
在Nginx中如何配置SSL证书？
在Nginx配置文件中，添加server块，设置listen为8084 ssl，server_name为支持的IP地址，并指定ssl_certificate和ssl_certificate_key的路径，最后重启Nginx。
如何在Windows上安装自签名证书？
将server.crt文件复制到Windows，右键点击证书文件选择'安装证书'，选择'本地计算机'，将证书放入'受信任的根证书颁发机构'存储中。
如何验证自签名证书的有效性？
使用命令openssl x509 -in server.crt -text -noout检查SAN扩展、基本约束和证书有效期。
常见的HTTPS证书错误有哪些？
常见错误包括SSL_ERROR_BAD_CERT_DOMAIN（缺少SAN扩展或域名不匹配）和MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY（证书被错误标记为CA证书）。
使用Let's Encrypt获取证书的优势是什么？
Let's Encrypt提供免费的受信任证书，并且可以定期更新，避免证书过期。
