1. #!/bin/sh  

  2. #  

  3.   

  4. # ssl 证书输出的根目录。  

  5. sslOutputRoot="/etc/apache_ssl"  

  6. if [ $# -eq 1 ]; then  

  7.     sslOutputRoot=$1  

  8. fi  

  9. if [ ! -d ${sslOutputRoot} ]; then  

  10.     mkdir -p ${sslOutputRoot}  

  11. fi  

  12.   

  13. cd ${sslOutputRoot}  

  14.   

  15. echo "开始创建CA根证书..."  

  16. #  

  17. # 创建CA根证书，稍后用来签署用于服务器的证书。如果是通过商业性CA如  

  18. # Verisign 或 Thawte 签署证书，则不需要自己来创建根证书，而是应该  

  19. # 把后面生成的服务器 csr 文件内容贴入一个web表格，支付签署费用并  

  20. # 等待签署的证书。关于商业性CA的更多信息请参见：   

  21. # Verisign - http://digitalid.verisign.com/server/apacheNotice.htm   

  22. # Thawte Consulting - http://www.thawte.com/certs/server/request.html   

  23. # CertiSign Certificadora Digital Ltda. - http://www.certisign.com.br   

  24. # IKS GmbH - http://www.iks-jena.de/produkte/ca /   

  25. # Uptime Commerce Ltd. - http://www.uptimecommerce.com   

  26. # BelSign NV/SA - http://www.belsign.be   

  27. # 生成CA根证书私钥  

  28. openssl genrsa -des3 -out ca.key 1024   

  29.   

  30. # 生成CA根证书  

  31. # 根据提示填写各个字段, 但注意 Common Name 最好是有效根域名(如 zeali.net ),  

  32. # 并且不能和后来服务器证书签署请求文件中填写的 Common Name 完全一样，否则会  

  33. # 导致证书生成的时候出现   

  34. # error 18 at 0 depth lookup:self signed certificate 错误  

  35. openssl req -new -x509 -days 365 -key ca.key -out ca.crt   

  36. echo "CA根证书创建完毕。"  

  37.   

  38. echo "开始生成服务器证书签署文件及私钥 ..."  

  39. #  

  40. # 生成服务器私钥  

  41. openssl genrsa -des3 -out server.key 1024   

  42. # 生成服务器证书签署请求文件, Common Name 最好填写使用该证书的完整域名  

  43. # (比如: security.zeali.net )  

  44. openssl req -new -key server.key -out server.csr    

  45. ls -altrh  ${sslOutputRoot}/server.*  

  46. echo "服务器证书签署文件及私钥生成完毕。"  

  47.   

  48. echo "开始使用CA根证书签署服务器证书签署文件 ..."  

  49. #  

  50. # 签署服务器证书，生成server.crt文件  

  51. # 参见 http://www.faqs.org/docs/securing/chap24sec195.html  

  52. #  sign.sh START  

  53. #  

  54. #  Sign a SSL Certificate Request (CSR)  

  55. #  Copyright (c) 1998-1999 Ralf S. Engelschall, All Rights Reserved.   

  56. #  

  57.   

  58. CSR=server.csr  

  59.   

  60. case $CSR in  

  61. *.csr ) CERT="`echo $CSR | sed -e 's/\.csr/.crt/'`" ;;  

  62. * ) CERT="$CSR.crt" ;;  

  63. esac  

  64.   

  65. #   make sure environment exists  

  66. if [ ! -d ca.db.certs ]; then  

  67.     mkdir ca.db.certs  

  68. fi  

  69. if [ ! -f ca.db.serial ]; then  

  70.     echo '01' >ca.db.serial  

  71. fi  

  72. if [ ! -f ca.db.index ]; then  

  73.     cp /dev/null ca.db.index  

  74. fi  

  75.   

  76. #   create an own SSLeay config  

  77. # 如果需要×××的有效期限，请修改下面的 default_days 参数.  

  78. # 当前设置为10年.  

  79. cat >ca.config <<EOT  

  80. [ ca ]  

  81. default_ca  = CA_own  

  82. [ CA_own ]  

  83. dir = .  

  84. certs   = ./certs  

  85. new_certs_dir   = ./ca.db.certs  

  86. database    = ./ca.db.index  

  87. serial  = ./ca.db.serial  

  88. RANDFILE    = ./ca.db.rand  

  89. certificate = ./ca.crt  

  90. private_key = ./ca.key  

  91. default_days    = 3650  

  92. default_crl_days    = 30  

  93. default_md  = md5  

  94. preserve    = no  

  95. policy  = policy_anything  

  96. [ policy_anything ]  

  97. countryName = optional  

  98. stateOrProvinceName = optional  

  99. localityName    = optional  

  100. organizationName    = optional  

  101. organizationalUnitName  = optional  

  102. commonName  = supplied  

  103. emailAddress    = optional  

  104. EOT  

  105.   

  106. #  sign the certificate  

  107. echo "CA signing: $CSR -> $CERT:"  

  108. openssl ca -config ca.config -out $CERT -infiles $CSR  

  109. echo "CA verifying: $CERT <-> CA cert"  

  110. openssl verify -CAfile ./certs/ca.crt $CERT  

  111.   

  112. #  cleanup after SSLeay   

  113. rm -f ca.config  

  114. rm -f ca.db.serial.old  

  115. rm -f ca.db.index.old  

  116. #  sign.sh END  

  117. echo "使用CA根证书签署服务器证书签署文件完毕。"  

  118.   

  119.   

  120. # 使用了 ssl 之后，每次启动 apache 都要求输入 server.key 的口令，  

  121. # 你可以通过下面的方法去掉口令输入(如果不希望去掉请注释以下几行代码)：  

  122. echo "去除 apache 启动时必须手工输入密钥密码的限制:"  

  123. cp -f server.key server.key.org  

  124. openssl rsa -in server.key.org -out server.key  

  125. echo "去除完毕。"  

  126.   

  127.   

  128. # 修改 server.key 的权限，保证密钥安全  

  129. chmod 400 server.key  

  130.   

  131. echo "Now u can configure apache ssl with following:"  

  132. echo -e "\tSSLCertificateFile ${sslOutputRoot}/server.crt"  

  133. echo -e "\tSSLCertificateKeyFile ${sslOutputRoot}/server.key"  

  134.   

  135. #  die gracefully  

  136. exit 0