如何在 Linux 上创建自己的通配符证书？

Question

有谁知道是否可以在 Ubuntu 下创建我自己的通配符证书？例如，我希望以下域使用一个证书：

https://a.example.com
https://b.example.com
https://c.example.com

Answer 1

只需遵循 其中一个 许多 步骤 使用 OpenSSL 创建您自己的证书的分步说明，但将“通用名称”www.example.com 替换为 *.example.com。

通常您必须准备更多的钱才能获得此证书。

> openssl req -new -x509 -keyout cert.pem -out cert.pem -days 365 -nodes
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Germany
Locality Name (eg, city) []:nameOfYourCity
Organization Name (eg, company) [Internet Widgits Pty Ltd]:nameOfYourCompany
Organizational Unit Name (eg, section) []:nameOfYourDivision
Common Name (eg, YOUR name) []:*.example.com
Email Address []:[email protected]

（抱歉，我最喜欢的 Howto 是德语文本，我目前没有现成的且无法找到的文本，因此有“很多”链接）

2017 年编辑：此问题的原始答案是从 2009 年开始，当时的证书选择不包括完全自动化和免费的选项，例如 Let's Encrypt。如今（如果 Let's Encrypt 的“域验证”认证级别足以满足您的目的）为每个子域获取单独的证书是微不足道的。如果您需要比域验证更高的信任级别，通配符证书仍然是一个选择。

同样从 2017 年开始，请注意 @ha9u63ar 的以下评论：

根据 RFC 2818 秒。 3 不再推荐使用 CN 进行主机名标识（已弃用）主题备用名称 (SAN) 似乎是可行的方法。

我对此评论的回答：我相信现在任何颁发通配符证书的 CA 都会有一套适当的说明。对于自签名的快速修复，我不担心。另一方面，随着 LetsEncrypt 的出现，我已经很久没有创建自签名证书了。哎呀，这个答案确实暴露了它的年龄。