基于自建CA为Debian 10 Apache服务器配置无安全报错的HTTPS网站方案咨询

当然可以搞定！我来一步步给你讲怎么操作，确保你的Debian 10 Apache网站能正常显示HTTPS，不会出现那个烦人的红色不安全提示：

第一步：在Debian服务器上生成证书请求并从Windows CA获取签发证书 #

• 首先登录你的Debian服务器，打开终端，用openssl生成证书签名请求（CSR）和私钥：

  openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr
  

  执行命令后会提示你填写一些信息，其中**Common Name（CN）**一定要填你的网站域名（比如yourdomain.com），其他信息可以根据实际情况填写，或者直接回车跳过。
• 生成完成后，把yourdomain.csr文件传到你的Windows CA服务器上（可以用scp、FTP或者共享文件夹）。
• 在Windows CA服务器上，打开「证书颁发机构」控制台：右键点击你的CA名称 → 选择「提交新请求」，选中刚才传过来的CSR文件。然后在弹出的窗口里选择「Web服务器」模板，完成证书签发。
• 签发成功后，导出两个文件：一是网站的证书（选择PEM格式或者DER格式，之后转成PEM也可以），二是你的CA根证书（这个很重要，用来让客户端信任你的证书）。

第二步：在Debian的Apache上配置HTTPS #

• 把从Windows CA拿到的网站证书（比如命名为yourdomain.crt）、之前生成的私钥yourdomain.key，还有CA根证书（比如ca-root.crt）放到Apache的SSL目录里，一般是/etc/apache2/ssl/。记得设置好文件权限，私钥要确保只有root能读写：

  chmod 600 /etc/apache2/ssl/yourdomain.key
  

• 启用Apache的SSL模块：

  a2enmod ssl
  

• 配置HTTPS站点：可以修改默认的SSL站点配置文件/etc/apache2/sites-available/default-ssl.conf，或者新建一个专门的配置文件/etc/apache2/sites-available/yourdomain-ssl.conf，关键配置项如下：

  <VirtualHost *:443>
      ServerName yourdomain.com
      DocumentRoot /var/www/yourdomain
  
      SSLEngine on
      SSLCertificateFile /etc/apache2/ssl/yourdomain.crt
      SSLCertificateKeyFile /etc/apache2/ssl/yourdomain.key
      SSLCACertificateFile /etc/apache2/ssl/ca-root.crt
  
      # 可选：配置安全的SSL协议和加密套件，提升安全性
      SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
      SSLCipherSuite HIGH:!aNULL:!MD5:!3DES
  </VirtualHost>
  

• 启用这个HTTPS站点：

  a2ensite yourdomain-ssl.conf
  

• 测试Apache配置是否有错误：

  apache2ctl configtest
  

  如果输出Syntax OK，就重启Apache服务：

  systemctl restart apache2
  

第三步：确保客户端信任你的自建CA #

这一步是关键！如果客户端（浏览器、操作系统）不信任你的CA根证书，还是会出现红色不安全提示。你需要把CA根证书安装到每个访问网站的客户端上：

• Windows客户端：双击CA根证书文件，选择「安装证书」，然后选择「本地计算机」，跟着向导把证书放到「受信任的根证书颁发机构」存储里。
• Linux客户端：把CA根证书复制到/usr/local/share/ca-certificates/目录，然后执行update-ca-certificates命令更新信任列表。
• 浏览器：大部分浏览器可以手动导入根证书，比如Chrome的「设置→隐私和安全→安全→管理证书」，然后导入根证书并设置为受信任。

额外注意事项 #

• 确保你的DNS服务器已经正确配置，把域名解析到Debian Apache服务器的IP地址。
• 定期检查证书的有效期，提前从Windows CA续签证书，避免证书过期导致的报错。
• 可以用openssl s_client -connect yourdomain.com:443命令测试证书配置是否正确，查看输出里的证书链信息是否完整。

备注：内容来源于stack exchange，提问作者Dave