点击刷新
最近用传统的方式 生成的证书上用golang 1.15. 版本 报 grpc 上面
➜ ~ go version go version go1.15.3 darwin/amd64
上面调用的时候报错了
rpc error: code = Unavailable desc = connection error: desc = "transport: authentication handshake failed: x509: certificate relies on legacy Common Name field, use SANs or temporarily enable Common Name matching with GODEBUG=x509ignoreCN=0"
如果出现上述报错，是因为 go 1.15 版本开始废弃 CommonName，因此推荐使用 SAN 证书。 如果想兼容之前的方式，需要设置环境变量 GODEBUG 为 x509ignoreCN=0。
什么是 SAN
SAN(Subject Alternative Name) 是 SSL 标准 x509 中定义的一个扩展。使用了 SAN 字段的 SSL 证书，可以扩展此证书支持的域名，使得一个证书可以支持多个不同域名的解析。
下面简单示例如何用 openssl 生成 ca 和双方 SAN 证书。
准备默认 OpenSSL 配置文件于当前目录
linux系统在 :
/etc/pki/tls/openssl.cnf
Mac系统在:
/System/Library/OpenSSL/openssl.cnf
cp 目录到你随意目录进行修改设置
cp /System/Library/OpenSSL/openssl.cnf /Users/jackluo/works/golang/src/grpc-go-practice/example/hello/sslconf
此文件的格式是类似 ini 的配置文件格式，找到 [ req ] 段落，加上下面的配置：
req_extensions = v3_req # The extensions to add to a certificate request
将前面的#号去掉
加入一段名为 v3_req 的配置
这段配置中最重要的是在最后导入名为 alt_names 的配置段，因此我们还需要添加一个名为 [ alt_names ] 的配置段：
[ alt_names ] DNS.1 = www.zchd.ltd DNS.2 = www.test.zchd.ltd
这里填入需要加入到 Subject Alternative Names 段落中的域名名称，可以写入多个。
接着使用这个临时配置生成证书：
➜ openssl req -new -nodes -keyout ustack.key -out ustack.csr -config openssl.cnf
➜ openssl x509 -text -noout -in zchd.crt Certificate Request: Data: Version: 0 (0x0) Subject: C=CN, ST=Some-State, O=Internet Widgits Pty Ltd, CN=www.zchd.ltd Subject Public Key Info: Public Key Algorithm: rsaEncryption Public-Key: (1024 bit) Modulus: 00:be:b9:25:23:e3:89:39:8e:9e:71:4e:e1:89:da: fc:e8:ad:46:67:1a:ab:dd:1f:0e:24:52:32:fb:cd: 76:0b:bd:a5:1e:44:88:c1:5d:5d:61:ac:0a:54:6c: b3:ef:37:a7:e5:d3:73:13:55:c8:17:2c:5b:20:35: 27:03:9e:da:73:97:3e:ce:35:98:0b:a6:22:c0:07: b2:4e:75:07:29:ee:7b:20:04:79:fd:ff:39:a2:bf: c6:51:fd:53:9b:20:3c:dc:f4:8c:c1:48:7a:82:df: e7:bf:a6:95:52:3e:be:77:61:44:9a:b5:18:51:4b: 22:1f:0f:84:9a:62:fb:37:07 Exponent: 65537 (0x10001) Attributes: Requested Extensions: X509v3 Basic Constraints: CA:FALSE X509v3 Key Usage: Digital Signature, Non Repudiation, Key Encipherment X509v3 Subject Alternative Name: DNS:www.zchd.ltd, DNS:www.test.zchd.ltd Signature Algorithm: sha256WithRSAEncryption 69:c1:c3:4a:26:b3:87:1e:88:2e:be:de:f3:13:00:53:9a:7e: 60:6c:f5:1c:81:f1:04:84:9a:94:55:09:8d:66:05:da:79:7e: 6c:aa:53:a6:1a:d8:d5:bf:bd:51:2e:ee:45:04:6b:c9:24:73: 5b:5b:64:e6:3b:3b:b4:15:90:ba:b5:a4:a6:20:f8:4c:e8:f1: 2e:07:3c:ac:68:a5:3b:8c:ce:86:39:f1:84:59:26:9e:de:4f: 54:19:0c:8b:be:56:49:ef:86:11:86:4e:66:2f:d5:78:1d:fa: 16:76:a4:9f:4c:34:96:72:ef:d0:1d:ef:18:bf:ae:2b:f7:39: 81:38
使用单条命令实现
生成默认 ca:
openssl genrsa -out ca.key 2048 openssl req -x509 -new -nodes -key ca.key -subj "/CN=example.ca.com" -days 5000 -out ca.crt
生成证书
openssl req -new -sha256 \ -key ca.key \ -subj "/C=CN/ST=Beijing/L=Beijing/O=UnitedStack/OU=Devops/CN=www.zchd.ltd" \ -reqexts SAN \ -config <(cat /System/Library/OpenSSL/openssl.cnf \ <(printf "[SAN]\nsubjectAltName=DNS:www.zchd.ltd,DNS:www.test.zchd.ltd")) \ -out zchd.csr
签名证书
openssl x509 -req -days 365000 \ -in zchd.csr -CA ca.crt -CAkey ca.key -CAcreateserial \ -extfile <(printf "subjectAltName=DNS:www.zchd.ltd,DNS:www.test.zchd.ltd") \ -out zchd.crt
基本上就可以很愉快的玩耍了.
上面生成证书请求时的几个字段的意义：
C => Country ST => State L => City O => Organization OU => Organization Unit CN => Common Name (证书所请求的域名) emailAddress => main administrative point of contact for the certificate
© 著作权归作者所有
举报
相关热门文章
发表评论
0/200
