2. OpenSSL入门：安装、编译与核心配置

说实话，做PKI这一行，OpenSSL就是你的瑞士军刀。我入行那会儿，第一个任务就是编译OpenSSL——当时踩了不少坑，今天我把这些经验都摊开来讲。

2.1 安装与编译：别小看这一步

大部分Linux发行版都预装了OpenSSL，但版本往往偏旧。我个人习惯从源码编译，这样能精确控制功能开关和补丁。

2.1.1 快速安装（包管理器）

如果你只是测试或学习，用包管理器最省事：

# Debian/Ubuntu
sudo apt-get install openssl libssl-dev

# CentOS/RHEL
sudo yum install openssl openssl-devel

# macOS (Homebrew)
brew install openssl

2.1.2 源码编译（生产环境推荐）

为什么要自己编译？因为你可以选择是否支持SM2/SM3/SM4国密算法，也可以禁用掉不安全的旧协议。我曾经在客户现场遇到过因为OpenSSL版本太旧导致TLS 1.3握手失败的案例——从那以后，我坚持用源码编译。

# 下载源码（以1.1.1k为例）
wget https://www.openssl.org/source/openssl-1.1.1k.tar.gz
tar -xzf openssl-1.1.1k.tar.gz
cd openssl-1.1.1k

# 配置（启用国密、禁用旧协议）
./config --prefix=/usr/local/openssl \
         --openssldir=/usr/local/openssl \
         enable-sm2 enable-sm3 enable-sm4 \
         no-ssl2 no-ssl3 no-rc5 no-md2

# 编译与安装
make -j$(nproc)
sudo make install

# 更新动态链接库
sudo ldconfig

2.2 常用命令概览：每天都会用到的那些

OpenSSL的命令行工具功能极其丰富，但日常工作中高频使用的其实就十几个。我把它们分成三类：

举个例子，查看一个证书的详细信息：

openssl x509 -in server.crt -text -noout

这个命令我每天至少用十次。你想想看，拿到一个证书，第一件事就是看它的签发者、有效期、SAN（主题备用名称）对不对。

2.3 配置文件 openssl.cnf 解析

这是OpenSSL的灵魂。没有它，你连一个像样的CSR都生成不出来。我见过太多人直接跳过配置，结果生成的证书要么缺SAN，要么扩展字段全是错的。

2.3.1 配置文件结构

openssl.cnf 采用INI风格，分为几个核心段落：

[ req ]                    # 请求相关默认值
default_bits        = 2048
distinguished_name  = req_distinguished_name
req_extensions      = req_ext

[ req_distinguished_name ]  # DN字段定义
countryName             = Country Name (2 letter code)
countryName_default     = CN
stateOrProvinceName     = State or Province Name
localityName            = Locality Name
organizationName        = Organization Name
organizationalUnitName  = Organizational Unit Name
commonName              = Common Name

[ req_ext ]              # 请求扩展（SAN等）
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = example.com
DNS.2 = www.example.com

嗯，这里要注意：distinguished_name 指向的段落定义了证书主题（DN）的各个字段，而 req_extensions 指向的段落则定义了扩展属性——SAN就是放在这里的。

2.3.2 核心参数详解

2.3.3 实战：生成一个带SAN的CSR

假设你有一个配置文件 my.cnf，内容如上。生成CSR的命令：

openssl req -new -key server.key -out server.csr -config my.cnf

验证CSR中的SAN：

openssl req -in server.csr -text -noout | grep -A 1 "Subject Alternative Name"

如果输出为空，说明你的配置没生效。我建议你检查一下 req_extensions 是否指向了正确的段落。

2.4 本章知识体系

下面这张图帮你理清OpenSSL的核心脉络：