当前位置：首页 > 虚拟主机 > 正文

pem生成ssl证书时如何正确配置避免报错？

admin
虚拟主机
2025-12-20
5

生成SSL证书是保障网站数据传输安全的重要步骤，其中PEM格式是SSL证书中最常见的格式之一，适用于大多数Web服务器（如Apache、Nginx等），本文将详细介绍如何使用OpenSSL工具生成PEM格式的SSL证书，包括证书申请、私钥生成、证书签名请求（CSR）提交以及证书签收后的完整配置流程。

准备工作：安装OpenSSL工具

在生成SSL证书前，需确保系统已安装OpenSSL工具，Linux/macOS系统通常默认已安装，可通过命令openssl version检查；Windows用户需从OpenSSL官网下载并配置环境变量，若未安装，可通过包管理器安装，如Ubuntu使用sudo aptget install openssl，CentOS使用sudo yum install openssl。

生成私钥（Private Key）

私钥是SSL证书的核心，用于加密和解密数据，需妥善保管,生成RSA私钥的命令如下：

algorithm RSA：指定加密算法为RSA（目前最常用）。
out private.key：输出私钥文件名,建议使用强密码保护私钥。
rsa_keygen_bits:2048：密钥长度为2048位（推荐至少2048位，安全性更高）。

生成后可通过openssl rsa in private.key text noout查看私钥信息。

创建证书签名请求（CSR）

CSR是向证书颁发机构（CA）申请证书时提交的文件，包含公钥和域名信息,生成CSR的命令如下：

openssl req new key private.key out server.csr subj "/C=CN/ST=Beijing/L=Beijing/O=Example Inc/OU=IT Department/CN=yourdomain.com"

new：表示生成新的CSR。
key private.key：指定私钥文件。
out server.csr：输出CSR文件。
subj：填写证书主体信息，格式为/国家代码/省份/城市/组织名称/部门名称/通用域名（CN），其中CN需与实际访问域名一致。

若需交互式填写，可省略subj参数，按提示输入信息，生成后可通过openssl req in server.csr text noout查看CSR内容。

pem生成ssl证书时如何正确配置避免报错？第1张

生成自签名证书（测试用）

若用于本地测试，可生成自签名证书（CA为自身）,命令如下：

openssl x509 req days 365 in server.csr signkey private.key out server.crt

req：表示输入为CSR文件。
days 365：证书有效期365天（测试环境可自定义）。
in server.csr：输入CSR文件。
signkey private.key：使用私钥签名。
out server.crt：输出证书文件（PEM格式）。

生产环境证书申请流程

生产环境需向CA（如Let’s Encrypt、DigiCert、GlobalSign等）提交CSR，CA验证域名所有权后签发证书，以Let’s Encrypt为例，可通过certbot工具自动申请：

pem生成ssl证书时如何正确配置避免报错？第2张

sudo certbot certonly nginx d yourdomain.com d www.yourdomain.com

签发后，证书文件通常位于/etc/letsencrypt/live/yourdomain.com/目录下，包含fullchain.pem（证书链）和privkey.pem（私钥）。

PEM格式证书的组成与配置

PEM格式证书通常由多部分组成，可通过文本编辑器查看（以BEGIN和END标记）,以下为常见PEM文件类型及配置示例：

文件类型	内容说明	服务器配置示例（Nginx）
私钥文件（.key）	包含私钥，需保密	ssl_certificate_key /path/to/private.key;
证书文件（.crt）	服务器证书（不含中间证书）	ssl_certificate /path/to/server.crt;
证书链文件（.pem）	服务器证书+中间证书+根证书（可选）	ssl_certificate /path/to/fullchain.pem;

Nginx配置示例：

server { listen 443 ssl; server_name yourdomain.com; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; }

证书安装与验证

上传证书文件：将私钥、证书文件上传至服务器指定目录（如/etc/nginx/ssl/）。
配置服务器：修改服务器配置文件（如Nginx的nginx.conf或虚拟主机配置）,添加SSL相关指令。
重启服务：执行sudo nginx t测试配置，无误后重启sudo systemctl restart nginx。
验证证书：通过浏览器访问https://yourdomain.com，查看地址栏锁标志；或使用openssl s_client connect yourdomain.com:443 servername yourdomain.com命令验证证书链。