ssl - 从 Let's Encrypt from scratch 生成 CRT 和 KEY ssl 文件

Question

我想使用 Let's Encrypt 生成 CRT/KEY 对 SSL 文件(手动质询)。

我正在尝试这样的事情:

certbot certonly --manual -d mydomain.com

但我只在我的 /etc/letsencrypt/live/mydomain.com 文件夹中获取这些文件:

• cert.pem
• 链.pem
• 全链.pem
• 私钥.pem

我错过了什么吗？

Answer 1

我是 Greenlock 的作者，一个与 certbot 兼容的 Let's Encrypt v2 客户端，所以我也必须了解所有这些东西的来龙去脉。

希望这对您有所帮助:

关键

privkey.pem 是“ key ”文件

有时它被错误地命名为 cert.key 或 example.com.key。

屏幕显示

fullchain.pem 是您的“crt”文件。

有时它被错误地命名为example.com.crt。

CRT/KEY 包

bundle.pem 会像这样:cat fullchain.pem privkey.pem > bundle.pem

HAProxy 是我所知道的唯一使用 bundle.pem 的服务器。

证书.pem

cert.pem 只包含你的证书，如果浏览器已经有签署它的证书，它只能自己使用，这可能在测试中工作(这让它看起来可能是正确的文件)，但对于生产中的许多用户来说实际上会失败，并出现不受信任证书的安全错误。

但是，您通常不会单独使用 cert.pem。它几乎总是作为 fullchain.pem 与 chain.pem 耦合。

链.pem

chain.pem 是中间签名机构，由根机构签署 - 这是所有浏览器都保证在其预建缓存中拥有的内容。

检查证书

您只能像这样检查证书:

openssl x509 -in cert.pem -text -noout

这里有一个有用的命令列表:

https://www.sslshopper.com/article-most-common-openssl-commands.html