Debian OpenSSL的证书链如何配置

在Debian系统上配置OpenSSL的证书链，通常涉及以下几个步骤：

1. 获取证书：

   • 从你的证书颁发机构（CA）获取你的服务器证书。
   • 获取中间证书（Intermediate Certificate），如果有的话。
   • 获取根证书（Root Certificate），如果CA提供了的话。

2. 合并证书：

   • 将服务器证书、中间证书和根证书合并到一个文件中。通常，你应该先放置服务器证书，然后是中间证书，最后是根证书。例如：

     cat server.crt intermediate.crt root.crt > fullchain.crt
     

3. 配置OpenSSL：

   • 打开你的OpenSSL配置文件，通常位于/etc/ssl/openssl.cnf或/etc/ssl/openssl/openssl.cnf。
   • 确保配置文件中有正确的证书链设置。你可能需要添加或修改以下内容：

     [ req ]
     default_bits        = 2048
     prompt              = no
     default_md          = sha256
     req_extensions      = req_ext
     
     [ req_distinguished_name ]
     countryName                     = Country Name (2 letter code)
     stateOrProvinceName             = State or Province Name
     localityName                    = Locality Name
     0.organizationName              = Organization Name
     organizationalUnitName          = Organizational Unit Name
     commonName                      = Common Name
     
     [ req_ext ]
     subjectAltName                  = @alt_names
     
     [ alt_names ]
     DNS.1 = yourdomain.com
     

4. 配置Web服务器：

   • 如果你使用的是Apache或Nginx等Web服务器，你需要确保它们正确地引用了合并后的证书文件。
   • 对于Apache，编辑/etc/apache2/sites-available/your-site.conf文件，添加或修改以下内容：

     <VirtualHost *:443>
         ServerName yourdomain.com
         SSLEngine on
         SSLCertificateFile /path/to/fullchain.crt
         SSLCertificateKeyFile /path/to/private.key
         # 其他配置...
     </VirtualHost>
     

   • 对于Nginx，编辑/etc/nginx/sites-available/your-site文件，添加或修改以下内容：

     server {
         listen 443 ssl;
         server_name yourdomain.com;
     
         ssl_certificate /path/to/fullchain.crt;
         ssl_certificate_key /path/to/private.key;
         # 其他配置...
     }
     

5. 重启Web服务器：

   • 重启你的Web服务器以应用更改。
   • 对于Apache：

     sudo systemctl restart apache2
     

   • 对于Nginx：

     sudo systemctl restart nginx
     

6. 验证配置：

   • 使用浏览器访问你的网站，并检查证书链是否正确安装。
   • 你也可以使用openssl命令来验证证书链：

     openssl s_client -connect yourdomain.com:443 -showcerts
     

通过以上步骤，你应该能够在Debian系统上成功配置OpenSSL的证书链。