生成含有使用者备用名称(SAN) 的 SSL 证书, 解决 Chrome 和 Okhttp HTTPS 报错

之前设置了 ipv6 DDNS, 可以从外网访问到家里 AIO 上的 http 服务器.

由于只是自己使用, 就打算使用自签名证书. 但按照网上教程生成的证书导入 Chrome 后报错 ERR_CERT_COMMON_NAME_INVALID, 在 OkHttp 中报错Hostname xxx is not verified.

查阅资料发现是生成的证书没有 SAN 的缘故, 网上生成 SAN 自签名证书的教程很多都有问题, 最终找到一种可行的方法, 记录在此.

0x00 准备工作

新建一个文件夹, cd 到该文件夹下, 并确保 openssl 命令可用.

0x01 新建配置文件

启用 SAN 拓展的无法直接通过 cli 生成, 故使用配置文件.

新建 openssl.cnf 文件, 写入以下内容.

[ req ]
default_bits        = 4096
default_keyfile     = private/ca.key
distinguished_name  = req_distinguished_name
req_extensions      = req_ext
x509_extensions     = x509_ext
string_mask         = utf8only

[ req_distinguished_name ] 
countryName                 = Country Name (2 letter code)
stateOrProvinceName         = State or Province Name (full name)
localityName                = Locality Name (eg, city)
organizationName            = Organization Name (eg, company)
commonName                  = Common Name (e.g. server FQDN or YOUR name)
emailAddress                = Email Address

countryName_default         = CN
stateOrProvinceName_default = Jiangsu
localityName_default        = Suzhou


[ x509_ext ]
subjectKeyIdentifier   = hash
authorityKeyIdentifier = keyid,issuer
basicConstraints       = CA:FALSE
keyUsage               = digitalSignature, keyEncipherment
subjectAltName         = @alt_names

[ req_ext ]
subjectKeyIdentifier = hash
basicConstraints     = CA:FALSE
keyUsage             = digitalSignature, keyEncipherment
subjectAltName       = @alt_names

[ alt_names ]
DNS.1 = example1.com
DNS.2 = *.example2.com(可以使用通配符.)