創建CA和申請證書、吊銷證書
搭建工具：openssl
服務端：centos7
客戶端：centos6
配置實驗環境：
需要兩臺虛擬機為服務端、客戶端提供運行環境，裝載openssl工具，添加必要文件；通過查看openssl的配置文件/etc/pki/tls/openssl.cnf（圖一），對比服務端的/etc/pki/CA文件內容（圖二），如果第一次搭建服務的話會缺少部分文件，這樣需要我們手工添加，其中文件index.txt、serial是用于搭建CA，文件crlnumber則是用于吊銷證書用的。
（圖一）
（圖二）
實驗一，搭建CA服務端（在centos7上）：
第一步；創建必要文件，如圖三
touch /etc/pki/CA/index.txt #創建index.txt
echo 01> /etc/pki/CA/serial #創建新證書編號為01，往下依次類推，為十六進制
（圖三）
第二步；生成私鑰文件，如圖四
cd /etc/pki/CA #切換目錄
(umask 066;openssl genrsa –out /etc/pki/CA/private/cakey.pem
1024) #生成1024位的私鑰
（圖四）
也可以通過命令cat / etc/pki/CA/private/cakey.pem來查看是否生成了私鑰。
第三步；生成自簽文件，也就是讓CA給自己頒發證書，注意都是在/etc/pki/CA目錄下的工作，如圖五
openssl req -new -x509 -key
/etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650
（圖五）
以文本形式查看自簽證書進行校驗：
openssl x509 -in cacert.pem -noout -text
（圖六）
把cacert.pem文件導出放置到Windows界面中查看，注意要更改為.crt的后綴才能查看，受信任前后效果對比為圖七，到此CA服務端搭建完畢。
（圖七）
實驗二，搭建CA客戶端，申請證書（在centios6上）：
第一步；創建私鑰文件，如圖八
cd /etc/pki/tls/private/
(umask 066;openssl genrsa -out
/etc/pki/tls/private/test.key)
（圖八）
第二步；生成申請文件（注意：默認國家、省、公司三項必須跟CA一致），如圖九
openssl req -new -key
/etc/pki/tls/private//test.key -out /etc/pki/tls/private/test.csr -days 365
（圖九）
把生成好的申請文件傳至服務端CA，如圖十
（圖十）
第三步；回到服務端（centos7上），頒發證書，如圖十一
openssl ca -in
/etc/pki/CA/test.csr -out /etc/pki/CA/certs/test.crt -days 365
（圖十一）
把證書傳回至客戶端（centos6），如圖十二
scp /etc/pki/CA/certs/test.crt
172.18.24.2:/etc/pki/CA/
（圖十二）
可以把test.crt導出，查看證書效果如圖十三，到此實驗二結束。
（圖十三）
實驗三：吊銷證書，在服務端進行（centos7）
第一步；創建必要文件，生成吊銷證書的編號，如圖十四
echo 01
>/etc/pki/CA/crlnumber
（圖十四）
第二步，在客戶端（centos6上）查找要吊銷的證書以確保吊銷正確，如圖十五
openssl x509 -in /etc/pki/CA/test.crt
-noout -serial -subject
（圖十五）
第三步；在服務端（centos7上）吊銷證書，如圖十六
（圖十六）
第四步；更新證書吊銷列表，如圖十七
openssl
ca -gencrl -out
/etc/pki/CA/crl/crl.pem #注意crl.pem在Windows里面需要更改為crl的后綴才能查看
（圖十七）
查看crl文件，如圖十八：
openssl crl -in /etc/pki/CA/crl/crl.pem -noout
-text #以文本形式查看吊銷證書文件
（圖十八）
原創文章，作者：chenxu@magedu.com，如若轉載，請注明出處：http://www.www58058.com/73187
