【问题标题】：Generate CRT & KEY ssl files from Let's Encrypt from scratch从 Let's Encrypt 从头开始生成 CRT 和 KEY ssl 文件
【发布时间】：2018-10-27 15:06:51
【问题描述】：

我想使用 Let's Encrypt（手动质询）生成 CRT/KEY 对 SSL 文件。

我正在尝试这样的事情：

certbot certonly --manual -d mydomain.com

但我只在我的/etc/letsencrypt/live/mydomain.com folder 中获得这些文件：

cert.pem
chain.pem
fullchain.pem
privkey.pem

我错过了什么吗？

【问题讨论】：

那是因为这些是提供 SSL 内容等所需的文件。如果您在/etc/letsencrypt/csr 下查看，您将看到您的实际 CSR。您可能正在尝试做的事情 - 将您的姓名、城市、地址等添加到证书中 - 我认为 LE 不支持，仅仅是因为他们试图自动化他们的流程并且它是一项免费服务......跨度>
@ivanivan Let's Encrypt 证书是 DV，而不是 OV，更不用说 EV。所以其中没有个人数据，只有技术端点（主机名）。
@PatrickMevzek - 谢谢。我只知道，当我执行普通 CSR 以从 CA 获取 SSL 证书时（我只使用 StartSSL，最初的免费选项），有关于城市、公司的问题需要回答（Snake Oil Inc iirc 是默认设置），等等
@ivanivan 是的，您在生成 OV 时会遇到这些问题。 DV 只需要名称和对它们的验证（通过 DNS 或 HTTP）

标签： ssl ssl-certificate lets-encrypt

【解决方案1】：

我是 Greenlock 的作者，这是一个与 certbot 兼容的 Let's Encrypt v2 客户端，所以我还必须了解所有这些东西的来龙去脉。

希望这会有所帮助：

键

privkey.pem 是“关键”文件

有时它被错误地命名为cert.key 或example.com.key。

CRT

fullchain.pem 是您的“crt”文件。

有时它被错误地命名为example.com.crt。

CRT/KEY 包

bundle.pem 会变成这样：cat fullchain.pem privkey.pem > bundle.pem

HAProxy 是我所知道的唯一使用 bundle.pem 的服务器。

cert.pem

cert.pem 仅包含您的证书，如果浏览器已经拥有签署它的证书，则只能由它自己使用，这可能在测试中起作用（这使它看起来可能是正确的文件），但会实际上，由于证书不受信任的安全错误，您的许多用户在生产中都失败了。

但是，您通常不会单独使用 cert.pem。它几乎总是与 chain.pem 作为 fullchain.pem 结合使用。

链.pem

chain.pem 是中间签名权限，由根权限签名 - 这是所有浏览器都保证在其预构建缓存中拥有的内容。

检查证书

您只能像这样检查证书：

openssl x509 -in cert.pem -text -noout

这里有一个有用的命令列表：

https://www.sslshopper.com/article-most-common-openssl-commands.html

【讨论】：

这个mozilla.github.io/server-side-tls/ssl-config-generator 指令示例帮助我设置了我的东西，同样在 ISPConfig SSL 配置中，您可以将 chain.pem 添加到“SSL Bundle”字段中
@CoolAJ86 感谢您提供这个令人难以置信的答案。但是你为什么说*.key 和*.crt 文件被不正确命名了？ ?
@GlennMohammad 老实说，我只是表明立场，并且过分热心地用没有押韵或理由命名的东西来平衡一个已经消失的世界。但是，我的技术推理是 PEM 是一种定义明确的 RFC 格式，而 .key 和 .crt 是模棱两可的（可能是 DER 或 PEM）。我会接受 .pem.crt 和 .pem.key 或 .cert.pem 和 .key.pem （或同样的 der 变体）。
@CoolAJ86 哈哈哈，那好吧。你相当狂热和技术性的推理实际上对我来说都很有意义！ ? 再次感谢。
@FernandoLeón 这取决于。大多数时候 .crt 已经是 PEM 格式。您可以将其重命名为 .pem。如果您的 .crt 不是 PEM 格式，那么它可能是 DER 格式，在这种情况下，您需要谷歌如何从 DER 转换为 PEM。