openssl CSR使用多个SAN和扩展密钥使用

Question

我是新手。我的目标是为我的思科防火墙创建CSR。我被建议使用openssl，因为我需要添加EKU，这在Cisco CSR上是不可能的。第二个要求是使用多个SAN。

我不知道如何做到这一点以及我将如何生成密钥（Cisco或openssl）。我有openssl的Linux和MacOS。有人可以为我发布逐步说明以实现这一目标吗？

WOuld真的很感谢你的帮助!!!

Answer 1

对于OpenSSL中的SAN和EKU：

• 生成密钥：
  openssl genrsa -out key.pem 2048

• 根据您的需要创建配置文件（cisco_fw_csr_config.cnf）：
  

  [req] distinguished_name = req_distinguished_name req_extensions = v3_req

  [req_distinguished_name] countryName = Country Name (2 letter code) countryName_default = BE stateOrProvinceName = State or Province Name (full name) stateOrProvinceName_default = Brussels localityName = Locality Name (eg, city) localityName_default = Brussels organizationalUnitName = Organizational Unit Name (eg, section) commonName = Common Name (eg, YOUR name) commonName_max = 64 emailAddress = Email Address emailAddress_max = 40

  [v3_req] keyUsage = keyEncipherment, dataEncipherment extendedKeyUsage = serverAuth subjectAltName = @alt_names

  [alt_names] DNS.1 = san.domain1.com DNS.2 = san.domain2.com
  

• 创建CSR：
  openssl req -new -key key.pem -out cisco_fw.csr -config cisco_fw_csr_config.cnf

• 如果您需要查看CSR内容：
  openssl req -in cisco_fw.csr -noout -text

Answer 2

如果您需要在没有 openssl 要求您输入值的情况下生成 csr，您还需要指定 -batch 选项。

openssl req -new -batch -key key.pem -out cisco_fw.csr -config cisco_fw_csr_config.cnf