生成自签名证书时指定主题备用名称

Question

有没有办法获取主题备用名称设置的.crt和.key文件？我正在使用此命令生成的openssl .crt和.key配置代理

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout proxy.key -out proxy.crt

然后我用.key和.crt来获取.pem并在客户端使用它。 此证书可用于保护https连接，但我收到警告，证明未在证书中设置主题备用名称。在另一个客户端我使用警告实际上是一个终止连接的错误。

这里的解决方案https://security.stackexchange.com/a/91556给了我一个.csr，我将其重命名为我需要的.crt，当我在客户端使用它时，https连接在错误的ssl证书上失败。

Answer 1

  

有没有办法获取主题备用名称设置的.crt和.key文件？

是的，但您无法从命令行执行此操作。你必须使用CONF文件。

要通过CONF文件设置SAN，请参阅How do you sign Certificate Signing Request with your Certification Authority和How to create a self-signed certificate with openssl?。两者都包括程序中的SAN。

Answer 2

按照@vog的answer：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -subj "/CN=example.com" \
  -addext "subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1"

（请注意，这仅适用于OpenSSL> = 1.1.1）。