Differences

This shows you the differences between two versions of the page.

--- пакет_openssl [2022/01/14 15:25]
val [Интерактивное подключение по ssl]
+++ пакет_openssl [2024/03/16 05:15]
val [Создание сертификата]
@@ Line 19: / Line 19: @@
 $ openssl s_client -CApath /etc/ssl/certs/ -showcerts -connect student.bmstu.ru:443
-$ faketime -f "+500d" ...
+$ openssl s_client -showcerts -connect webinar6.bmstu.ru:443 2>/dev/null | openssl x509 -noout -dates #-text | grep bmstu
+$ faketime -f "+500d" wget -q -O /dev/null https://webinar7.bmstu.ru && echo Ok || echo Err
 $ openssl s_client -CApath /etc/ssl/certs/ -starttls smtp -crlf -connect mailhub.bmstu.ru:25
@@ Line 71: / Line 73: @@
 ===== Создание параметра DH =====
 <code>
-# openssl dhparam -out /etc/openvpn/dh2048.pem 2048
+# time openssl dhparam -out /etc/openvpn/dh2048.pem 2048
+real    0m24.676s
 </code>
 ===== Создание самоподписанного сертификата =====
+  * *.corpX.un для wild card сертификата
 ==== Создание приватного ключа ====
 <code>
@@ Line 85: / Line 89: @@
 ==== Создание сертификата ====
 <code>
-server# openssl req -new -x509 -addext "subjectAltName=DNS:server.corpX.un" -days 3650 -key server.key -out server.crt
+server# openssl req -new -x509 -days 3650 -key server.key -out server.crt -addext 'subjectAltName=DNS:server.corpX.un'
 </code><code>
 ...
@@ Line 93: / Line 97: @@
 Organization Name (eg, company) [Internet Widgits Pty Ltd]:cko
 Organizational Unit Name (eg, section) []:noc
-Common Name (eg, YOUR name) []:server.corpX.un
+Common Name (eg, YOUR name) []:server.corpX.un       !!!! для некоторых сервисов (ovpn) не должно быть пустым
 Email Address []:noc@corpX.un
 </code>
+ИЛИ
+<code>
+openssl req -new -x509 -days 3650 -key wild.key -out wild.crt -subj '/CN=*.corpX.un/O=CKO/C=RU' -addext 'subjectAltName=DNS:*.corpX.un'
+</code>
 ==== Просмотр содержимого файла сертификата ====
 <code>
 server# openssl x509 -text -noout -in server.crt
-server# openssl x509 -text -noout -in -
 server# openssl x509 -text -noout
+-----BEGIN CERTIFICATE-----
+...
+$ cat ~/.kube/config | grep client-certificate-data | cut -f2 -d : | tr -d ' ' | base64 -d | openssl x509 -text -out -
 </code>
@@ Line 137: / Line 148: @@
 ===== Удаление сертификата центра сертификации =====
 <code>
-server# /usr/local/share/ca-certificates/corpX-PDC-CA.crt
+server# rm /usr/local/share/ca-certificates/corpX-PDC-CA.crt
 server# rm /etc/ssl/certs/corpX-PDC-CA.pem
@@ Line 147: / Line 158: @@
   * [[http://gagravarr.org/writing/openssl-certs/ca.shtml|Certificate Management and Generation with OpenSSL]]
   * [[http://www.opennet.ru/base/sec/ssl_cert.txt.html|Авторизация с помощью клиентских SSL сертификатов]]
+  * [[https://arminreiter.com/2022/01/create-your-own-certificate-authority-ca-using-openssl/|Create your own Certificate Authority (CA) using OpenSSL]]
+  * [[https://www.golinuxcloud.com/openssl-ca-vs-openssl-x509-comparison/|openssl ca vs openssl x509 comparison]]
 ==== Зачем может понадобиться свой УЦ? ====
@@ Line 161: / Line 174: @@
 ...
 [ CA_default ]
-...
 dir           = /root/CA
+...
 certificate   = /var/www/html/ca.crt
@@ Line 169: / Line 184: @@
 private_key   = $dir/ca.key
+[ policy_match ]
 ...
 </code><code>
 cd
+mkdir -p /var/www/html/
 mkdir CA
 mkdir CA/certs
@@ Line 229: / Line 247: @@
 <code>
 www# openssl genrsa -out www.key 2048
-www# chmod 400 www.key
 </code>
 ==== Создание запроса на сертификат ====
+  * *.corpX.un для wild card сертификата
 <code>
 lan# scp /etc/ssl/openssl.cnf www:/etc/ssl/
-www# openssl req -new -key www.key -out www.req
+www# openssl req -new -key www.key -out www.req   #-sha256
 </code><code>
 ...
@@ Line 243: / Line 263: @@
 </code>
+=== Добавление расширений в запрос на сертификат ===
+<code>
+# cat /etc/ssl/openssl.cnf
+</code><code>
+...
+[ req ]
+...
+req_extensions = v3_req
+[ req_distinguished_name ]
+...
+[ v3_req ]
+...
+subjectAltName = @alt_names
+[ alt_names ]
+DNS.1 = corpX.un
+DNS.2 = www.corpX.un
+#DNS.1 = *.corpX.un
+</code>
 ==== Передача и просмотр содержимого запроса на сертификат ====
 <code>
@@ Line 257: / Line 298: @@
 lan# ls CA/newcerts/
+</code>
+=== Добавление расширений при подписи запроса на сертификат ===
+<code>
+# cat www.ext
+</code><code>
+subjectAltName = @alt_names
+[alt_names]
+DNS.1 = corpX.un
+DNS.2 = www.corpX.un
+#DNS.1 = *.corpX.un
+</code><code>
+lan# openssl ca ... -extfile www.ext
 </code>
@@ Line 284: / Line 339: @@
 </code>
-==== Добавление атрибутов в сертификат ====
-  * На примере subjectAltName. Оказался, нужным для Spark клиента и, вероятно, нужен Chrome
-  * [[https://www.endpoint.com/blog/2014/10/30/openssl-csr-with-alternative-names-one|OpenSSL CSR with Alternative Names one-line]]
-<code>
-# cat /etc/ssl/openssl.cnf
-</code><code>
-...
-[ req ]
-...
-req_extensions = v3_req
-...
-[ v3_req ]
-# Extensions to add to a certificate request
-#basicConstraints = CA:FALSE
-#keyUsage = nonRepudiation, digitalSignature, keyEncipherment
-subjectAltName = @alt_names
-[ alt_names ]
-DNS.1 = corpX.un
-DNS.2 = server.corpX.un
-...
-</code>
 ===== Создание пользовательского сертификата, подписанного CA =====

Методические материалы Лохтурова Вячеслава

User Tools

Site Tools

Differences

Page Tools