一、 生成根证书的私钥和证书
生成CA根证书私钥
openssl genrsa -out ca.key 2048
使用私钥生成CA根证书
openssl req -x509 -new -nodes -key ca.key -sha256 -days 1024 -out ca.crt
注：这里依次需要输入国家 CN、省份：SHANGHAI、城市：SHANGHAI、组织名称：XXX、组织代码：XXX、自签的证书IP或域名：192.168.140.120、邮箱：xxx@qq.com
二、 为内网IP生成私钥和证书请求文件（CSR）
生成内外 IP 的私钥
openssl genrsa -out server.key 2048
使用私钥生成证书请求文件
openssl req -new -key server.key -out server.csr
注：这里与上述 CA的操作一致（填写内容也要一致），最后两行直接按回车即可
三、 创建证书扩展文件
为了确保为 内网IP 签名的证书能够用作服务器身份验证，需要为它创建一个扩展文件。创建一个名为 v3.ext 的文件，并添加以下内容
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names
[alt_names]
# 这里 IP 替换成 DNS 就可以签名域名了
IP.1 = 192.168.140.120
四、 使用 CA 的证书为内网 IP 签名证书
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 500 -sha256 -extfile v3.ext
五、 部署（Tomcat 和 Nginx）
Nginx
对于nginx 来说，这里得到了 server.crt 和 server.key 就已经可以了对于nginx 来说，这里得到了 server.crt 和 server.key 就已经可以了
server {
listen 443 ssl;
server_name localhost;
#ssl证书
ssl_certificate ../../server.crt;
#私钥文件
ssl_certificate_key ../../server.key;
ssl_session_cache shared:SSL:1m;
ssl_session_timeout 5m;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
location / {
root html;
index index.html index.htm;
}
}
Tomcat
要在 tomcat 使用 https，需要将服务端证书和私钥文件转换为Java Keystore 格式。
A. 将证书导出成浏览器支持的.p12 格式 :
openssl pkcs12 -export -in server.crt -inkey server.pem -out server.p12
注：这里需要输入一个密码，看下面的图片
B. 将 .p12 格式转换成 jks 证书:
keytool -importkeystore -srckeystore server.p12 -srcstoretype pkcs12 -destkeystore server.jks -deststoretype jks
注：A 步骤输入的密码和 B 步骤的要一致。
C. Tomcat 8 部署
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true">
<SSLHostConfig>
<Certificate certificateKeystoreFile="jks 证 书 地 址 " certificateKeystorePassword="上述输入的密码" type="RSA" />
</SSLHostConfig>
</Connector>
六、 最后
客户端访问 https 的时候，如果想浏览器不带警告，需要将根 证书即:ca.crt 安装到本地的受信任目录中。
Windows
双击 ca.crt 文件
点击安装证书
选择本地计算机，点击下一步
选择将所有证书都放入下列存储，点击浏览
选择受信任的根证书颁发机构，点击确定
点击完成
Centos
sudo cp ca.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust
Ubuntu
sudo cp ca.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates
文章知识点与官方知识档案匹配，可进一步学习相关知识
原文链接：https://blog.csdn.net/cmy768330962/article/details/134380663