ssl - 使用 SSL 的 Mosquitto，为什么要生成 .csr？

Question

我不熟悉 SSL/TLS，我正在尝试使用 SSL 设置我的 moquitto 代理。出于测试目的，我没有使用真正的 rootCA，而是创建了自己的 rootCA。这是我对 SSL 的看法，如果我错了请纠正我，我是菜鸟。

rootCA可以签发第二层ca、cert、keys，client/server交换这些信息，当需要验证对方身份时，会把这些信息带给rootCA，询问是否正确。

于是，我按照Mosquitto的文档，使用OpenSSL生成rootCA.crt、server.crt、server.key。我还生成了 client.crt 和 client.key，这样当我的客户端应用程序连接到 Mosquitto 代理时，代理可以识别该连接。我将 ca 文件、 key 文件、证书文件配置添加到我的 local.conf。重新启动 Mosquitto，它可以工作。然后我将 mosquitto_sub 与 ca.crt、client.crt 和 client.key 一起使用来连接到代理，这也很有效。

我不明白的是，为什么文档教我如何生成server.csr和client.csr？我猜如果我不是 rootCA，我需要将这些 csr 发送到真正的 rootCA 以使这些证书变得合法，这就是 csr 的用途吗？

Answer 1

.csr 是要用您的 CA.crt 和 CA.key 签名的证书签名请求，您不需要在您的 mosquitto 代理上使用它，只需要 CA.crt 和 client.crt/key。如果您想对其进行测试，请下载 MQTT.fx 客户端以使用这些认证检查您的 MQTT 连接。 http://mqttfx.jensd.de/

例如，openssl 命令是:

x509 -req -in client.csr -CA CA.crt -CAkey CA.key -CAcreateserial -out client.crt -days 365