我想为 Nodejs 服务器创建一个自签名证书。我从 macOS 运行它。我希望能够通过 Chrome 上的“https://192.9.200.77:8005”从同一 wifi 网络上的另一台设备 (Android) 通过 https 访问该服务器呈现的页面。 192.9.200.77是服务器的IP。
我设法使用 OpenSSL 和 SAN 创建 key 和证书。我在 Android 设备和 macOS 上安装了证书。
在 MacOS 上,证书适用于 Safari,但不适用于 Chrome 71。
在 Android 上,证书也不起作用。
app.js(节点服务器):
const fs = require('fs');
const https = require('https');
const credentials = {
key: fs.readFileSync('keys/priv_and_pub.pem'),
cert: fs.readFileSync('keys/CA.crt')
};
const express = require('express');
const app = express();
const port = 3000;
app.get('/', (req, res) => res.send('Hello World!'));
const httpsServer = https.createServer(credentials, app);
httpsServer.listen(8005, () => console.log(`Example app listening on port 8005 in https!`));
为了创建证书,我使用配置文件:
ssl.conf
[ req ]
x509_extensions = x509_ext
distinguished_name = subject
[ subject ]
countryName = Country Name (2 letter code)
countryName_default = US
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = California
localityName = Locality Name (eg, city)
localityName_default = SF
organizationName = Organization Name (eg, company)
organizationName_default = my company
commonName = Common Name (e.g. server FQDN or YOUR name)
commonName_default = 192.9.200.77
emailAddress = Email Address
emailAddress_default = myadress@domaine.com
[ x509_ext ]
basicConstraints = CA:TRUE
subjectAltName = @alternate_names
[ alternate_names ]
DNS.1 = 192.9.200.77
使用以下命令的 Openssl:
openssl genrsa -out priv_and_pub.key 2048
openssl req -config ssl.conf -new -x509 -sha256 -key priv_and_pub.key -subj "/C=US/ST=California/L=BSF/O=myCompany/OU=Prod/CN=192.9.200.77" -out CA.crt
然后,我按照建议将证书转换为适用于 Android 设备的 DER 格式 here :
openssl x509 -inform PEM -outform DER -in CA.crt -out CA.der.crt
并将 priv_and_pub.key 转换为节点服务器的 .pem:
cp priv_and_pub.key priv_and_pub.pem
app.js
工作正常。我在 macOS 中安装了 .cert
,在 Safari 上一切正常(绿色锁等),但在 Chrome 上不起作用:(net::ERR_CERT_COMMON_NAME_INVALID)。
浏览器控制台,在“安全”选项卡中,我得到连接(连接 - 安全(强 TLS 1.2))和资源(资源 - 全部安全服务)的绿色标志,但证书(证书 - 缺失)的红色标志和此错误:
'无法在服务器上验证这是域192.9.200.77,因为它的安全证书来自域192.9.200.77。这可能是由于配置错误或黑客的连接造成的。 (谷歌法语翻译)
感谢任何帮助,花了一天的时间来解决这个问题!谢谢!
最佳答案
要清理此解决方案并将其精简为核心元素,需要执行以下操作来创建 Chrome 信任的 IP 证书。
ssl.conf 文件...
[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no
[ req_distinguished_name ]
commonName = 192.168.1.10
[ req_ext ]
subjectAltName = IP:192.168.1.10
当然,192.168.1.10 是我们希望 Chrome 信任的本地网络 IP。
因此,不需要 CA:True 基本约束。
创建证书:
openssl genrsa -out key1.pem
openssl req -new -key key1.pem -out csr1.pem -config ssl.conf
openssl x509 -req -days 9999 -in csr1.pem -signkey key1.pem -out cert1.pem -extensions req_ext -extfile ssl.conf
rm csr1.pem
在 Windows 上,将证书导入到所有客户端计算机上的受信任根证书存储中。在 Android 手机或平板电脑上下载证书进行安装。现在 Chrome 将信任 Windows 和 Android 上的证书。
在 Windows 开发盒上,获取 openssl.exe 的最佳位置是“c:\Program Files\Git\usr\bin\openssl.exe”
关于android - 私有(private) IP 上的自签名 SSL 证书在 Chrome 中无效,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/54081191/