Назад | Перейти на главную страницу

Как оформить SSL-сертификат с расширением SAN?

У меня есть пара ключей Root CA. Как выпустить новый SSL-сертификат с расширением SAN (Subject Alternative Name)? Я пробовал это

openssl genrsa -out ssl.key 2048
openssl req -new -config ssl.conf -key ssl.key -out ssl.csr
openssl x509 -req -sha256 -days 3650 -CAcreateserial -CAkey root.key -CA root.crt -in ssl.csr -out ssl.crt

ssl.conf:

[req]
prompt = no
distinguished_name = req_distinguished_name
x509_extensions = v3_ca

[req_distinguished_name]
CN = 127.0.0.1

[v3_ca]
subjectAltName = @alt_names

[alt_names]
IP.1 = 127.0.0.1
IP.2 = ::1
DNS.1 = localhost

но сгенерированный сертификат не содержал SAN.

Однако самозаверяющий сертификат, созданный следующей командой, содержит SAN:

openssl req -new -x509 -sha256 -days 3650 -config ssl.conf -key ssl.key -out ssl.crt
  1. Моя CSR не содержала SAN. Расширения следует указывать в req_extensions вместо того x509_extensions.
  2. Там есть Жук в x509 команда:

    Расширения сертификатов не передаются в запросы сертификатов, и наоборот.

Итак, я решил свою проблему с ca команда:

  1. Создано пустым ca/newcerts папка и пустая ca/index.txt файл.

  2. Отредактировано ssl.conf:

    [ca]
default_ca = CA_default

[CA_default]
dir = ./ca
database = $dir/index.txt
new_certs_dir = $dir/newcerts
serial = $dir/serial
private_key = ./root.key
certificate = ./root.crt
default_days = 3650
default_md = sha256
policy = policy_anything
copy_extensions = copyall

[policy_anything]
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

[req]
prompt = no
distinguished_name = req_distinguished_name
req_extensions = v3_ca

[req_distinguished_name]
CN = 127.0.0.1

[v3_ca]
subjectAltName = @alt_names

[alt_names]
IP.1 = 127.0.0.1
IP.2 = ::1
DNS.1 = localhost

  3. Выполнить команды:

    openssl genrsa -out ssl.key 2048
openssl req -new -config ssl.conf -key ssl.key -out ssl.csr
openssl ca -config ssl.conf -create_serial -batch -in ssl.csr -out ssl.crt