* 证书规则

假如我们的域名有：

1. my.ttt.com.cn pay.ttt.com.cn
2. my.yyy.com pay.yyy.com
3. my.xxx.com pay.xxx.com

我们要生成一个仅有的一个证书包含以上的三个或以上的域名。

如google.com的证书:

common name 中定义的域名必须要出现在subject alertnative name中，如.google.com*

* 生成证书

• openssl配置

使用openssl生成带有san扩展的证书请求文件 首先我们将 openssl 的配置文件复制一份作临时使用，CentOS6 中 openssl 的配置文件在 /etc/pki/tls/openssl.cnf，假如配置为/etc/pki/tls/openssl.fofo.cnf

关键需修改配置文件中的以下几个参数：

1、打开注释 req_extetions = v3_req

2、subjectAltName = @alt_names

3、按序填写包含的域名 [ alt_names ]

DNS.1 = *.ttt.com.cn

DNS.2 = *.yyy.com

DNS.3 = *.xxx.com

4、设置目录 dir = /etc/pki/CA

• 命令行（默认使用sha1，而sha1被chrome认为不安全）：

1、生成server.key和server.csr

openssl req -new -sha256 -nodes -keyout server.key -out server.csr -config /etc/pki/tls/openssl.fofo.cnf -subj "/C=CN/ST=GD/L=GZ/O=TRENDY/OU=EC/CN=*.ttt.com.cn"

2、生成ca.crt

openssl req -new -sha256 -x509 -key ustack.key -out ca.crt -days 3650 -subj "/C=CN/ST=GD/L=GZ/O=TRENDY/OU=EC/CN=*.ttt.com.cn"

3、生成server.crt

openssl x509 -req -sha256 -days 3650 -in server.csr -CA ca.crt -CAkey server.key -CAcreateserial -out server.crt -extfile /etc/pki/tls/openssl.fofo.cnf -extensions v3_req

4、查看证书

$openssl x509 -text -noout -in server.crt