如何在OpenSSL证书nameConstraints中使用IPv6地址

可以为根CA添加IPv6名称约束，直接使用-addext参数时出现错误，是因为OpenSSL命令行解析逻辑无法正确处理IPv6地址格式。推荐使用OpenSSL配置文件定义扩展，避免解析冲突。

步骤1：创建CA配置文件 #

新建ca-config.cnf文件，内容如下：

[req]
default_bits = 4096
prompt = no
default_md = sha256
distinguished_name = dn

[dn]
C = NL
O = Local Environment
OU = Development
CN = Local Environment Development Root

[v3_ca]
basicConstraints = critical, CA:true, pathlen:0
subjectKeyIdentifier = hash
keyUsage = critical, keyCertSign, cRLSign
nameConstraints = permitted;DNS:.development.local, permitted;IP:127.0.0.1/32, permitted;IP:::1/128

注：IPv6本地回环地址可使用简化格式::1/128，配置文件能正确解析该格式。

步骤2：生成带约束的根CA证书 #

执行以下命令生成证书：

openssl req -x509 -nodes -days 3650 -newkey rsa:4096 -keyout development.ca.key -config ca-config.cnf -extensions v3_ca -out development.ca.crt

验证结果 #

生成证书后，运行以下命令查看证书内容，确认Name Constraints字段包含正确的IPv6地址：

openssl x509 -in development.ca.crt -text -noout

内容的提问来源于stack exchange，提问作者Tom Brouwer