ssl证书制作

常见问题

Q:

如何创建SSL证书？

1：先下载安装Java

2：安装完毕后，根据实际路径找到keytool.exe，如我在这里的路径：C:\ProgramFiles(x86)\Java\jdk1.8.0_101\bin\keytool.exe

3：生成keystore。打开命令行。（cmd)，去keytool所在的路径，运行keytool-genkey-aliastomcat-stopePKCS12-keyalgRSA-2048年-keystored:\mykeystore\keystore.validity365-extsan=ip:192.168.100.132-dname"CN=garyyan,OU=mycompany,O=mycompany,L=gd,ST=gd,C=china“此命令中间只需输入密码即可生成keystore，假设密码为：123456

其中：

1)keystore可以理解为一个数据库，可以存储多组数据。每组数据主要包括以下两种数据：

a:密钥实体（Keyentity）——密钥（secretkey）或私钥和配对公钥(不对称加密)

b:可信的证书实体（trustedcertificateentries）——只包含公钥

2）-keystored:\mykeystore\keystore.p12，指定在d:\mykeystore(首先，手动创建此文件夹)，生成keystore:keystore.p12

3）-aliastomcat，指示keystore中唯一的别名：tomcat，因为keystore中可能还有其他的别名，比如：tomcat2

4)-storePKCS12指示密钥仓库类型为PKCS12

5）-keyalgRSA，指定加密算法，本例采用通用RAS加密算法

6)-keysize2048指定密钥的长度为2048

7)-validity3650指定证书有效期为3650天

8）-extsan=ip:请根据您的服务器IP地址设置192.168.100.132，如果不设置，客户端在访问时可能会报错

9）-dname“CN=garyyan,OU=mycompany,O=mycompany,L=gd,ST=gd,C=china”

其中：”CN=(姓名与姓氏)，OU=(组织单位名称)，O=(组织名称)，L=(城市或区域名称)，ST=(州或省名)，C=(单位两字母国家代码)”，我在测试过程中发现随便填就行了

4：导出公钥证书(主要用于客户端)：

运行命令：keytool-export-keystored:\mykeystore\keystore.p12-aliastomcat-filemycer.cer-storepass123466

其中：

1）-keystored:\mykeystore\keystore.P12是指上面的keystore文件

2)-aliastomcat是指定别名为tomcat的组

3）-filemycer.当前目录生成的cer指定为mycer.cer证书

4)-storepass123456是生成keystore所用的密码

Q:

申请SSL证书时关于域名都有什么注意事项？

本文主要用于介绍申请SSL证书时有关域名的注意事项。

（1）使用哪个域名申请

以demo.ihuyi.com网站为例，您在维护网站安全时通常会出现以下两种情况：

1、用户登录页面为http://demo.ihuyi.com/login.asp，此时，您需要申请SSL数字证书，以确保用户输入的用户名、密码的安全。

2、用户登录信息管理页面http:/demo.ihuyi.com/oa/manage.asp，您需要使用SSL数字证书，以确保内部管理系统的信息安全。

在上述两种情况下，需要使用demo.ihuyi.com申请SSL数字证书作为域名，从而实现相关页面的安全保护。

（2）如何优化网站安全

如果您的网站访问量较大，建议为使用SSL数字证书的网站页面配置独立的Web服务器，即HTTPServer。同时，使用独立域名申请SSL证书，例如，learn.ihuyi.com或guide.ihuyi.com。

（3）填写域名的一致性

在访问https://demo.ihuyi.com网站时，网站域名必须与申请SSL数字证书的域名一致，否则浏览器可能会出现“安全证书上的名称无效或与网站名称不匹配”的提示。

Q:

通配符SSL证书都支持哪些域名？

用户可以使用通配符域名证书保护服务器的单个主域名和主域名下同级别的所有子域名。域名DV和企业OV证书都支持通配符域名。

如果你有多个同级别的子域名服务器，使用通配符域名证书时，只需要购买并安装一个证书，不需要单独购买和安装每个子域名的证书。

购买通配符域名证书时要注意通配符域名证书与域名匹配的规则：

通配符域名证书只能与同级别的子域名相匹配，不能跨级别匹配。

例如：*.ihuyi.com匹配域名证书demo.ihuyi.com，learn.ihuyi.com，example.ihuyi.com等子域名，但不匹配guide.demo.ihuyi.com，developer.demo.ihuyi.com等域名。

*.demo.ihuyi.com匹配guide.demo.ihuyi.com，developer.demo.ihuyi.com等子域名。

通配符域名证书支持的域名包括一级域名。

通配符域名证书只支持一个通配符主域名，不支持多个主域名。

目前，通配符域名证书仅支持通配符类型域名，不支持非通配符域名。

如果需要一个证书，包括多个通配符域名或混合域名(同时包括通配符域名和普通域名)"

"用户可以使用通配符域名证书保护服务器的单个主域名和主域名下同级别的所有子域名。域名DV和企业OV证书都支持通配符域名。

如果你有多个同级别的子域名服务器，使用通配符域名证书时，只需要购买并安装一个证书，不需要单独购买和安装每个子域名的证书。

购买通配符域名证书时要注意通配符域名证书与域名匹配的规则：

通配符域名证书只能与同级别的子域名相匹配，不能跨级别匹配。

例如：*.ihuyi.com匹配域名证书demo.ihuyi.com，learn.ihuyi.com，example.ihuyi.com等子域名，但不匹配guide.demo.ihuyi.com，developer.demo.ihuyi.com等域名。

*.demo.ihuyi.com匹配guide.demo.ihuyi.com，developer.demo.ihuyi.com等子域名。

通配符域名证书支持的域名包括一级域名。

通配符域名证书只支持一个通配符主域名，不支持多个主域名。

目前，通配符域名证书仅支持通配符类型域名，不支持非通配符域名。

如果需要一个证书，包括多个通配符域名或混合域名(同时包括通配符域名和普通域名)