SSL 與 CA(憑證授權伺服器)

建立所需的目錄

cd /etc/pki
mkdir -m 0755 mypbxCA
mkdir -m 0755 private certs newcerts crl 

• mypbxCA 憑證工作的根目錄
• private 私密金鑰檔儲存目錄
• certs 憑證檔儲存目錄
• newcerts 用來放 PEM 檔
• crl 用來儲存已停用的憑證列表

建立 openssl 設定檔

cp /etc/pki/tls/openssl.cnf /etc/pki/mypbxCA/openssl.my.cnf
chmod 0600 /etc/pki/mypbxCA/openssl.my.cnf
touch /etc/pki/mypbxCA/index.txt
echo '01' > /etc/pki/mypbxCA/serial 

建立 CA(Root) 憑證 及 Private key

假設 FQDN 是 this.is.my.host

cd /etc/pki/mypbxCA
openssl req -config openssl.my.cnf -new -x509 -extensions v3_ca -keyout private/this-is-my-host_ROOT.key -out certs/this-is-my-host_ROOT.crt -days 1825 

Enter PEM pass phrase: <輸入一組密碼>
...
... <隨便輸入>

Common Name (eg, your name or your server's hostname) []: <這裡一定要輸入正確的 FQDN>

憑證的期限可設定為五年

執行完後，會產生兩個檔案

1. private/this-is-my-host_ROOT.key 私密金鑰，需妥善保存且已設有密碼
2. certs/this-is-my-host_ROOT.crt 這是 ROOT 憑證檔，可以公開讓用戶下載

修改 openssl 設定檔

編輯 /etc/pki/mypbxCA/openssl.my.cnf：

[ CA_default ]

dir             = .             # 改這行 <==
certs           = $dir/certs            # Where the issued certs are kept
crl_dir         = $dir/crl              # Where the issued crl are kept
database        = $dir/index.txt        # database index file.
#unique_subject = no                    # Set to 'no' to allow creation of
                                        # several ctificates with same subject.
new_certs_dir   = $dir/newcerts         # default place for new certs.

certificate     = $dir/certs/this-is-my-host_ROOT.crt      # 改這行 <==
serial          = $dir/serial           # The current serial number
crlnumber       = $dir/crlnumber        # the current crl number
                                        # must be commented out to leave a V1 CRL
crl             = $dir/crl.pem          # The current CRL
private_key     = $dir/private/this-is-my-host_ROOT.key # 改這行 <==
RANDFILE        = $dir/private/.rand    # private random number file

建立一個 Server 憑證

新增一個憑證簽署要求檔(CSR)

cd /etc/pki/mypbxCA
openssl req -config openssl.my.cnf -new -nodes -keyout private/this-is-my-host_SERVER.key -out this-is-my-host.csr -days 365 

Common Name：<必須是正確的 FQDN>

A challenge password []: <這裡不要輸入密碼，否則服務會無法自動重啟>

憑證期限可以設定為一年

執行完後，會產生兩個檔案

1. private/this-is-my-host_SERVER.key
2. this-is-my-host.csr Server 憑證簽署要求檔(CSR)
    

設定權限

chown root:asterisk /etc/pki/mypbxCA/private/this-is-my-host_SERVER.key
chmod 0440 /etc/pki/mypbxCA/private/this-is-my-host_SERVER.key 

簽署(發行)剛剛建立的 CSR 檔

cd /etc/pki/mypbxCA