参考：
OpenSSL生成证书
ssl介绍
SSL证书是数字证书的一种，类似于驾驶证、护照和营业执照的电子副本。因为配置在服务器上，也称为SSL服务器证书。
SSL 证书就是遵守 SSL协议，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。
SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道（Secure socket layer(SSL)安全协议是由Netscape Communication公司设计开发。该安全协议主要用来提供对用户和服务器的认证；对传送的数据进行加密和隐藏；确保数据在传送中不被改变，即数据的完整性，现已成为该领域中全球化的标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中，因此，仅需安装服务器证书就可以激活该功能了），即通过它可以激活SSL协议，实现数据信息在客户端和服务器之间的加密传输，可以防止数据信息的泄露，保证了双方传递信息的安全性，而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。数字签名又名数字标识、签章 (即 Digital Certificate，Digital ID )，提供了一种在网上进行身份验证的方法，是用来标志和证明网络通信双方身份的数字信息文件，概念类似日常生活中的司机驾照或身份证。 数字签名主要用于发送安全电子邮件、访问安全站点、网上招标与投标、网上签约、网上订购、网上公文安全传送、网上办公、网上缴费、网上缴税以及网上购物等安全的网上电子交易活动。
加密数据在通讯过程中如何防止数据不被窃取呢？
客户端第一次给服务器发送请求的时候(拿到证书之前的那个请求)，会在请求里面放一个随机数(比如叫A)，服务器的返回证书的响应里也会带一个随机数(比如叫B)， 客户端拿到证书后，会使用公钥加密一个随机数(比如叫C)发送给服务器，因此客户端，服务器就有三个随机数：A、B、C。双方使用这些随机数和一个相同的算法会生成一个密钥，以后所有的通信都使用这个对称密钥来进行的。
一般情况下，这三个密钥不可能同时被泄露的，因为它是由三个随机数随机生成的。并且其中一个随机数使用了公钥加密的。因此是通过这种方式来保证数据不被窃取的。
上面都是在网上看到的一些概念性问题，简单的理解下就好了，知道是这么个概念就行了，而我们的openssl是SSL的实现版。因此openssl的作用避免信息被窃取到，它是通过上面的知识点来做到的。
openssl的应用场景：
在使用http网站中，我们经常看到网站会有一些广告什么的，这些广告其实不是网站自己放上去的，而是中间的运营商在中间篡改了内容导致的。现在我们可以使用https技术(基于openssl)来对数据进行加密的。它能保证数据不被篡改。
OpenSSL介绍
openssl 是目前最流行的 SSL 密码库工具，其提供了一个通用、健壮、功能完备的工具套件，用以支持SSL/TLS 协议的实现。
基本功能
OpenSSL整个软件包大概可以分成三个主要的功能部分：SSL协议库、应用程序以及密码算法库。OpenSSL的目录结构自然也是围绕这三个功能部分进行规划的。
作为一个基于密码学的安全开发包，OpenSSL提供的功能相当强大和全面，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，并提供了丰富的应用程序供测试或其它目的使用。
对称加密
OpenSSL一共提供了8种对称加密算法，其中7种是分组加密算法，仅有的一种流加密算法是RC4。这7种分组加密算法分别是AES、DES、Blowfish、CAST、IDEA、RC2、RC5，都支持电子密码本模式（ECB）、加密分组链接模式（CBC）、加密反馈模式（CFB）和输出反馈模式（OFB）四种常用的分组密码加密模式。其中，AES使用的加密反馈模式（CFB）和输出反馈模式（OFB）分组长度是128位，其它算法使用的则是64位。事实上，DES算法里面不仅仅是常用的DES算法，还支持三个密钥和两个密钥3DES算法。
非对称加密
OpenSSL一共实现了4种非对称加密算法，包括DH算法、RSA算法、DSA算法和椭圆曲线算法（EC）。DH算法一般用于密钥交换。RSA算法既可以用于密钥交换，也可以用于数字签名，当然，如果你能够忍受其缓慢的速度，那么也可以用于数据加密。DSA算法则一般只用于数字签名。
信息摘要
OpenSSL实现了5种信息摘要算法，分别是MD2、MD5、MDC2、SHA（SHA1）和RIPEMD。SHA算法事实上包括了SHA和SHA1两种信息摘要算法。此外，OpenSSL还实现了DSS标准中规定的两种信息摘要算法DSS和DSS1。
安装OpenSSL
第一种
安装openssl
tar zxvf openssl-1.1.1.tar.gz
如果没有gcc就安装gcc
./config --prefix=/usr/local --openssldir=/usr/local/openssl
make
make install
修改OpenSSL库的位置
ln -s /usr/local/lib64/libssl.so.1.1 /usr/lib64/libssl.so.1.1
ln -s /usr/local/lib64/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1
证书创建与配置加载
创建证书
[root@gitlab ~] mkdir -p /etc/gitlab/ssl
[root@gitlab ~] openssl genrsa -out /etc/gitlab/ssl/gitlab.example.com.key 2048 #生成一个本地私有密钥
或者:
openssl genrsa -des3 -out server.key 2048
- des3 是算法，2048位强度(为了保密性)。 server.key 是密钥文件名 -out的含义是：指生成文件的路径和名称。
查看刚刚生成的私钥
openssl rsa -text -in server.key
创建证书签名请求CSR文件
openssl req -new -key server.key -out server.csr
- -key的含义是：指定ca私钥
- -out的含义是： server.csr 生成证书文件
运行如上命令后，生成CSR时会要求填入以下信息：
Country Name (2 letter code) []:CN // 输入国家代码，中国填写 CN
State or Province Name (full name) []:HangZhou // 输入省份，这里填写 HangZhou
Locality Name (eg, city) []:HangZhou // 输入城市，我们这里也填写 HangZhou
Organization Name (eg, company) []:tbj // 输入组织机构(或公司名，我这里随便写个tbj)
Organizational Unit Name (eg, section) []:tbj // 输入机构部门
Common Name (eg, fully qualified host name) []:*.abc.com // 输入域名，我这边是 (*.abc.com)
Email Address []:[email protected] // 你的邮箱地址
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456 // 你的证书密码，如果不想设置密码，可以直接回车
查看csr文件如下命令：
openssl req -text -in server.csr -noout
生成CA证书
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
- x509的含义: 指定格式
- -in的含义: 指定请求文件
- -signkey的含义: 自签名
生成客户端证书
- 先要生成私钥
openssl genrsa -out client.key 2048
- 生成请求文件
openssl req -new -key client.key -out client.csr
- 发给ca签名
openssl x509 -req -days 365 -in client.csr -signkey client.key -out client.crt