openssl 证书生成

openssl证书生成

openssl.jpg

问题

golang 1.15 版本上，用 gRPC通过TLS实现数据传输加密时，会报错证书的问题

`rpc error: code = Unavailable desc = connection error: desc = "transport:

authentication ha`

ndshake failed: x509: certificate is valid for www.eline.com, not xxx"

`panic: rpc error: code = Unavailable desc = connection error: desc =

"transport: authentication handshake failed: x509: certificate is valid for

www.eline.com, not xxx"`

造成的原因是因为我们用的证书，并没有开启SAN扩展（默认是没有开启SAN扩展）所生成的 ，

导致客户端和服务端无法建立连接

开始解决问题

使用开启扩展SAN的证书

什么是 SAN

SAN(Subject Alternative Name) 是 SSL 标准 x509 中定义的一个扩展。使用了 SAN 字段的 SSL

证书，可以扩展此证书支持的域名，使得一个证书可以支持多个不同域名的解析。

生成CA根证书

新建 ca.conf

vim ca.conf

写入内容如下:

代码语言：txt复制

[ req ]

代码语言：txt复制

default_bits       = 4096

代码语言：txt复制

distinguished_name = req_distinguished_name

代码语言：txt复制

[ req_distinguished_name ]

代码语言：txt复制

countryName                 = Country Name (2 letter code)

代码语言：txt复制

countryName_default         = CN

代码语言：txt复制

stateOrProvinceName         = State or Province Name (full name)

代码语言：txt复制

stateOrProvinceName_default = JiangSu

代码语言：txt复制

localityName                = Locality Name (eg, city)

代码语言：txt复制

localityName_default        = NanJing

代码语言：txt复制

organizationName            = Organization Name (eg, company)

代码语言：txt复制

organizationName_default    = Sheld

代码语言：txt复制

commonName                  = Common Name (e.g. server FQDN or YOUR name)

代码语言：txt复制

commonName_max              = 64

代码语言：txt复制

commonName_default          = Ted CA Test

生成ca秘钥，得到ca.key

openssl genrsa -out ca.key 4096

生成ca证书签发请求，得到ca.csr

代码语言：txt复制

openssl req 

代码语言：txt复制

  -new 

代码语言：txt复制

  -sha256 

代码语言：txt复制

  -out ca.csr 

代码语言：txt复制

  -key ca.key 

代码语言：txt复制

  -config ca.conf

shell交互时一路回车就行

生成ca根证书，得到ca.crt

代码语言：txt复制

openssl x509 

代码语言：txt复制

    -req 

代码语言：txt复制

    -days 3650 

代码语言：txt复制

    -in ca.csr 

代码语言：txt复制

    -signkey ca.key 

代码语言：txt复制

    -out ca.crt

生成终端用户证书

准备配置文件，得到server.conf

新建 server.conf

vim server.conf

写入内容如下:

代码语言：txt复制

[ req ]

代码语言：txt复制

default_bits       = 2048

代码语言：txt复制

distinguished_name = req_distinguished_name

代码语言：txt复制

req_extensions     = req_ext

代码语言：txt复制

[ req_distinguished_name ]

代码语言：txt复制

countryName                 = Country Name (2 letter code)

代码语言：txt复制

countryName_default         = CN

代码语言：txt复制

stateOrProvinceName         = State or Province Name (full name)

代码语言：txt复制

stateOrProvinceName_default = JiangSu

代码语言：txt复制

localityName                = Locality Name (eg, city)

代码语言：txt复制

localityName_default        = NanJing

代码语言：txt复制

organizationName            = Organization Name (eg, company)

代码语言：txt复制

organizationName_default    = Sheld

代码语言：txt复制

commonName                  = Common Name (e.g. server FQDN or YOUR name)

代码语言：txt复制

commonName_max              = 64

代码语言：txt复制

commonName_default          = xiamotong    # 此处尤为重要，需要用该服务名字填写到客户端的代码中

代码语言：txt复制

[ req_ext ]

代码语言：txt复制

subjectAltName = @alt_names

代码语言：txt复制

[alt_names]

代码语言：txt复制

DNS.1   = www.eline.com

代码语言：txt复制

IP      = 127.0.0.1

生成秘钥，得到server.key

openssl genrsa -out server.key 2048

生成证书签发请求，得到server.csr

代码语言：txt复制

openssl req 

代码语言：txt复制

  -new 

代码语言：txt复制

  -sha256 

代码语言：txt复制

  -out server.csr 

代码语言：txt复制

  -key server.key 

代码语言：txt复制

  -config server.conf

shell交互时一路回车就行

用CA证书生成终端用户证书，得到server.crt

代码语言：txt复制

openssl x509 

代码语言：txt复制

  -req 

代码语言：txt复制

  -days 3650 

代码语言：txt复制

  -CA ca.crt 

代码语言：txt复制

  -CAkey ca.key 

代码语言：txt复制

  -CAcreateserial 

代码语言：txt复制

  -in server.csr 

代码语言：txt复制

  -out server.pem

代码语言：txt复制

  -extensions req_ext 

代码语言：txt复制

  -extfile server.conf

现在证书已经生成完毕， server.pem 和 server.key 就是我们需要的证书和密钥

服务端代码：

代码语言：txt复制

creds, err := credentials.NewServerTLSFromFile("./keys/server.pem", "./keys/server.key")

客户端代码：

代码语言：txt复制

creds, err := credentials.NewClientTLSFromFile("./keys/server.pem", "xiaomotong")

shell rpc https SSL证书 数据分析

0 人点赞