Skip to main content

Crear certificado para Webserver

Si tiene la necesidad de crear un certificado con la PKI para una web interna. Suponiendo que el dominio de la web va a ser test.psc.local.

Crear request desde SUBCA

Si usted se encarga de generar los certificados y administrar las web del entorno, entonces puede generar el certificado directamente desde la Subca y luego mover los ficheros al servidor que hara uso de ellos.

cd /root/ca
openssl req -config intermediate/sub-ca-openssl.cnf \
      -key intermediate/private/test.psc.local.key \
      -new -sha512 -out intermediate/csr/test.psc.local.csr \
      -addext "subjectAltName = DNS:test.psc.local" \

Se le preguntará por una password y los datos. Recuerde mantener en medida de lo posible, todos aquellos datos que identifican la empresa.

Este comando generará dos ficheros,

  • test.psc.local.key: Clave privada que no debe compartir con nadie
  • test.psc.local.csr: Certificate Sign Request (petición de firma) que ha de firmar con la PKI para generar el certificado público (.crt / .pem)

Copie el fichero en la SUBCA y firmelo con el siguiente comando. Se eligen 375 días ya que navegadores como Chrome no permiten una longitud mas larga y darán error. Si no usa Chrome en el entorno, puede aumentar los dias (siempre y cuando no superen el máximo de la SubCA, 10 años).

cd /root/ca
openssl ca -config intermediate/openssl.cnf \
    -extensions server_cert \
    -days 375 -notext -md sha512 \
    -in intermediate/certs/test.psc.local.csr \
    -out intermediate/certs/test.psc.local.com.crt

Se le solicitará la contraseña de la clave privada de la SubCA. Copie los ficheros .key y .crt al servidor que alojará la web y configure el servidor Web con dichos certificados.

Generar request desde nodo externo

openssl req -nodes -new -newkey rsa:4096 \
	-keyout test.psc.local.key \
    -out test.psc.local.csr \
    -addext "subjectAltName = DNS:test.psc.local" \
    -subj "/C=ES/ST=Barcelona/L=Barcelona/O=GRG-CA/OU=GRG-CA/emailAddress=your@email.dot/CN=test.psc.local/"

Convertir a formato PFX

Los servidores Web IIS de Microsoft solo admiten el formato PFX. Puede convertir el .key y el .crt a dicho formato haciendo uso del siguiente comando.

openssl pkcs12 -export \
	-out test.psc.local.pfx \
	-inkey test.psc.local.key \
	-in test.psc.local.pem
Back to top