1 生成自签名CA证书
1.1 生成CA私钥
# 高安全性的加密私钥openssl genrsa -aes256 -out ca.key 4096
1.2 创建CA证书
openssl req -x509 -new -key ca.key -out ca.crt -days 3650 \
-subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=Internal/CN=Internal Root CA"
关键点：CN字段需体现CA用途（如"Internal Root CA"），便于后续管理
2 服务器证书生成（适配内网域名+IP）
2.1 生成服务器私钥
# 2048位兼顾安全性与性能
openssl genrsa -out yyfbxt.key 2048
2.2 生成证书签名请求（CSR）
1、创建包含SAN的CSR配置文件
yyfbxt-csr.conf 内容如下：
[ req ]
default_bits = 2048
req_extensions = req_ext
distinguished_name = dn[ dn ]
# 必须与hosts配置完全一致
C = CN
ST = Zhejiang
L = Hangzhou
O = Government
CN = yyfbxt.szhz.hangzhou.gov.cn[ req_ext ]
subjectAltName = @alt_names[ alt_names ]
# 域名
DNS.1 = yyfbxt.szhz.hangzhou.gov.cn
# hosts中配置的内网IP
IP.1 = 192.168.x.x
2、执行生成证书签名（CSR）命令
openssl req -new -key yyfbxt.key -out yyfbxt.csr -config yyfbxt-csr.conf
2.3 签发服务器证书
2.3.1 签发证书
执行签发命令
openssl x509 -req -in yyfbxt.csr -CA ca.crt -CAkey ca.key \
-CAcreateserial -out yyfbxt.crt -days 365 -sha256 \
-extfile yyfbxt-full.conf -extensions req_ext
2.3.2 验证证书
验证服务器证书的SAN 扩展（非常重要）
openssl x509 -in yyfbxt.crt -text -noout | grep -A2 "X509v3 Subject Alternative Name"
输出应类似：
X509v3 Subject Alternative Name:DNS:yyfbxt.szhz.hangzhou.gov.cn, IP Address:192.168.1.100
2.4 合并证书链
Nginx/Apache必须要执行这一步：
cat yyfbxt.crt ca.crt > combined.crt
Web服务器配置中就要使用 combined.crt 此证书。
3 部署
nginx配置
server {listen 443 ssl;ssl_certificate /ssl/combined.crt; # 合并后的证书链ssl_certificate_key /ssl/yyfbxt.key;ssl_protocols TLSv1.2 TLSv1.3;ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
}
4 常用命令
证书有效期
openssl x509 -in yyfbxt.crt -dates -noout
