通配符 SSL证书

一、制作CSR文件

CSR是CertificateSecurequest证书请求文件。该文件由申请人制作，系统在制作时会产生两个密钥，一个是公钥，另一个是存储在服务器上的私钥。要制作CSR文件，申请人可以参考WEBSERVER文件，一般APACHE等，使用OPENSL命令行生成KEY+CSR2文件，Tomcat，JBoss，Resin等使用KEYTOOL生成JKS和CSR文件，IIS通过向导建立一个挂起请求和一个CSR文件。此外，还可以通过本站提供的CSR在线生成工具在线生成，或者联系本站工作人员协助生成。

二、CA认证

通常有两种认证方法可以将CSR提交给我们的员工:

1、域名认证，一般通过管理员邮箱认证，这种认证速度快，但签发的证书中没有企业名称；

2、企业文档认证，需要提供企业营业执照。一般需要3-5个工作日。还有两种证书需要同时认证，称为EV证书，可以使IE7以上的浏览器地址栏变绿，所以认证也是最严格的。

三、证书的安装

收到我们发给你的CA证书后，可以在服务器上部署证书。一般APACHE文件直接将KEY+CER复制到文件中，然后修改HTTPD.CONF文件；TOMCAT等，需要将CA签发的CER文件导入JKS文件，复制服务器，然后修改SERVER.XML;IIS需要处理挂起请求，导入CER文件。

一、证书验证失败

当我们申请证书时，我们需要的是验证，当我们通过验证，证书失败，说明证书不是一个有效的证书，有可能是他的发行机构不是一个正式的合格的发行机构，在这种情况下如果我们的证书直接安装在系统中，是无法对我们的信息安全起到保护作用的，所以建议去合格的地方签发数字证书。

二、本地证书验证失败

当我们的证书验证失败时，也许是我们的证书有问题，比如系统的安全级别太高，导致我们的证书申请，不能通过认证，我们可以设置系统的级别，直接将证书设置成一个可以信任的证书，同时，我们可以看看他的时间戳是否正确，如果有错误，也会有验证失败。

三、手机证书验证失败

当手机证书验证失败时，我们可以先打开手机中的一个设置。会有出现一个应用程序，点击程序管理，可以看到一个软件安装。选择全部，然后进行在线证书检查，运行完毕后我们可以关闭这个东西。基本上可以解决手机证书验证失败的问题

1、生成加密自签名（SSL）证书

使用命令：

opensslreq-new-x509-newkeyrsa:2048-keyout/data/server.key-out/data/server.crt

注:执行命令后，需要输入密码，然后依次输入国家、地区、城市、组织、组织单位、Commonname和Email。其中，Commonname，可以写自己的名字或域名，如果要支持https，Commonname应该与域名保持一致，否则会引起浏览器警告。

2、生成不加密的签名（SSL）证书

1)生成私钥

使用openssl工具生成RSA私钥

opensslgenrsa-des3-out/data/server.key2048

注：生成rsa私钥，des3算法，2048位强度，server.key是一个密钥文件名，生成一个私钥，要求您输入这个key文件的密码至少提供四个密码，因为您必须在生成时输入密码。您可以在输入后删除它（因为它将来会被nginx使用。每次reloadnginx配置，您都需要验证此PAM密码）。

2)删除密码

mv/data/server.key/data/server.key.org（或cp/data/server.key/data/server.key.org）

opensslrsa-in/data/server.key.org-out/data/server.key

3)生成CSR(证书签名请求)

生成私钥后，根据这个key文件生成证书请求csr文件

使用OpenSSL实现自签名，具体操作如下：

opensslreq-new-key/data/server.key-out/data/server.csr

注:执行命令后，需要输入密码，然后依次输入国家、地区、城市、组织、组织单位、Commonname和Email。其中，Commonname，可以写自己的名字或域名，如果要支持https，Commonname应该与域名保持一致，否则会引起浏览器警告。

4)生成自签名crt证书

最后，根据key和csr生成crt证书文件

openslx509-req-days3650-in/data/server.csr-signkey/data/server.key-out/data/server.crt