Debian怎样配置OpenSSL

在 Debian 系统中配置 OpenSSL，通常包括安装、生成证书、配置服务使用、以及安全加固等几个方面。下面按常见使用场景给你一个完整说明。

一、检查与安装 OpenSSL

1. 检查是否已安装

openssl version

2. 安装 OpenSSL

sudo apt update
sudo apt install openssl

Debian 默认已安装，但版本可能较保守（稳定优先）。

二、查看 OpenSSL 配置文件

OpenSSL 的主配置文件路径：

/etc/ssl/openssl.cnf

查看内容：

cat /etc/ssl/openssl.cnf

常见配置项：

• dir：证书目录
• default_days：证书有效期
• default_bits：密钥长度
• req_extensions：请求扩展

⚠️ 不建议直接修改该文件，可复制后自定义。

三、生成自签名证书（最常见）

1. 生成私钥和自签名证书（一步完成）

openssl req -x509 -newkey rsa:2048 -keyout /etc/ssl/private/server.key \
-out /etc/ssl/certs/server.crt -days 365 -nodes

参数说明：

• -x509：生成自签名证书
• -newkey rsa:2048：生成 2048 位 RSA 密钥
• -nodes：不加密私钥
• -days 365：有效期
• -keyout：私钥路径
• -out：证书路径

2. 设置私钥权限（非常重要）

sudo chmod 600 /etc/ssl/private/server.key

四、生成 CSR（用于 CA 签名）

如果你需要向 CA 申请证书：

openssl req -new -newkey rsa:2048 -keyout server.key -out server.csr -nodes

查看 CSR 内容：

openssl req -text -noout -verify -in server.csr

五、配置服务使用 OpenSSL

1. Nginx 示例

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/server.crt;
    ssl_certificate_key /etc/ssl/private/server.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

2. Apache 示例

SSLEngine on
SSLCertificateFile /etc/ssl/certs/server.crt
SSLCertificateKeyFile /etc/ssl/private/server.key

六、生成 Diffie-Hellman 参数（提升安全性）

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

Nginx 中使用：

ssl_dhparam /etc/ssl/certs/dhparam.pem;

七、查看证书信息

查看证书内容

openssl x509 -in /etc/ssl/certs/server.crt -text -noout

检查证书有效期

openssl x509 -in server.crt -noout -dates

八、Debian 下证书信任机制（重要）

Debian 使用 ca-certificates 管理受信任 CA：

添加自定义 CA

sudo cp my-ca.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

九、安全建议（生产环境）

✅ 使用 TLS 1.2 / 1.3
✅ 禁用 SSLv2 / SSLv3
✅ 私钥权限 600
✅ 使用强加密套件
✅ 定期更新 OpenSSL

sudo apt upgrade openssl

十、常见问题

1. 找不到 openssl.cnf

openssl version -d

2. 证书不信任

• 自签名证书浏览器会提示
• 解决：使用受信任 CA（Let’s Encrypt）

如果你能说明具体用途（如：
✅ Web 服务器
✅ 邮件服务器
✅ 内网服务
✅ 只想升级 OpenSSL）

我可以给你更精确的配置方案。