一 背景
我们的mqtt broker服务，使用了SSL自签证书，可以提高mqtt连接安全性。
二 生成自签证书
在Centos7下生成，有效时长：100年
# copy openssl的默认配置 到当前目录下
cp /etc/pki/tls/openssl.cnf ./
# 1 放开注释 req_extensions = v3_req
# 2 在v3_req中增加subjectAltName，并在下面增加多个域名如下
----------------------start---------------------------------------------
vim openssl.cnf
[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names
[ alt_names ]
DNS.1 = mafgwo.cn
DNS.2 = *.mafgwo.cn
DNS.3 = dev.mafgwo.cn
DNS.4 = *.dev.mafgwo.cn
------------------------end------------------------------------------
# 3 生成ca证书
------------------start-----------------------------------------------------------------------
Country Name (2 letter code) [AU]:CN ← 国家
State or Province Name (full name) [Some-State]:Guangdong ← 省
Locality Name (eg, city) []:Guangzhou ← 市
Organization Name (eg, company) [Internet Widgits Pty Ltd]:ZG ← 公司英文名
Organizational Unit Name (eg, section) []: ← 可以不输入
Common Name (eg, YOUR name) []: ← 此时不输入
Email Address []: ← 电子邮箱，可随意填 或不填
-----------------end---------------------------------------------------------------------------
openssl req -new -x509 -days 36500 -config openssl.cnf -extensions v3_ca -keyout ca.key -out ca.crt
# 4 生成server证书
openssl genrsa -out server.key 2048
----------------start-------------------------------------------------------------
> Country Name (2 letter code) [AU]:CN ← 国家名称，中国输入CN
> State or Province Name (full name) [Some-State]:Guangdong ← 省名，拼音
> Locality Name (eg, city) []:Guangzhou ← 市名，拼音
> Organization Name (eg, company) [Internet Widgits Pty Ltd]:ZG ← 公司英文名
> Organizational Unit Name (eg, section) []: ← 可以不输入
> Common Name (eg, YOUR name) []:mafgwo.cn ← 服务器域名或IP地址
> Email Address []: ← 电子邮箱，可随便填 或不填
> Please enter the following ‘extra’ attributes
> to be sent with your certificate request
> A challenge password []: ← 可以不输入
> An optional company name []: ← 可以不输入
----------------end---------------------------------------------------------------
openssl req -config openssl.cnf -out server.csr -key server.key -new
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 36500
# touch /etc/pki/CA/index.txt 该文件没有则需要生成
# echo 01 >> /etc/pki/CA/serial 该文件没有则需要生成
openssl ca -in server.csr -md sha256 -out server.crt -cert ca.crt -keyfile ca.key -extensions v3_req -config openssl.cnf
文章来源：https://www.cnaaa.net，转载请注明出处：https://www.cnaaa.net/archives/7571
