带 SSL 的 Mosquitto，为什么要生成 .csr？答案

【问题标题】：Mosquitto with SSL, Why do I generate .csr?带 SSL 的 Mosquitto，为什么要生成 .csr？
【发布时间】：2017-05-11 10:04:52
【问题描述】：

我不熟悉 SSL/TLS，我正在尝试使用 SSL 设置我的 moquitto 代理。出于测试目的，我没有使用真正的 rootCA，我创建了自己的 rootCA。以下是我对 SSL 的看法，如果我错了，请纠正我，我是菜鸟。

rootCA可以下发二层ca，cert，keys，client/server交换这些信息，当需要验证其他人的身份时，会将这些信息带到rootCA，询问是否正确。

所以，我按照Mosquitto的文档，使用OpenSSL生成rootCA.crt、server.crt、server.key。我还生成了 client.crt 和 client.key，因此当我的客户端应用程序连接到 Mosquitto 代理时，代理可以识别该连接。我将 ca 文件、密钥文件、cert 文件配置添加到我的 local.conf 中。重新启动蚊子，它的工作原理。然后我使用 mosquitto_sub 和 ca.crt、client.crt 和 client.key 来连接代理，也可以。

我不明白的是，为什么文档教我如何生成server.csr和client.csr？我猜如果我不是 rootCA，我需要将这些 csr 发送到真正的 rootCA 以使这些证书变得合法，这就是 csr 的用途吗？

【问题讨论】：

Stack Overflow 是一个编程和开发问题的网站。这个问题似乎离题了，因为它与编程或开发无关。请参阅帮助中心的What topics can I ask about here。也许Unix & Linux Stack Exchange 或Information Security Stack Exchange 会是一个更好的提问地点。
另见 How do you sign Certificate Signing Request with your Certification Authority 和 How to create a self-signed certificate with openssl? 您还需要将自签名证书放在适当的信任库中。

标签： ssl openssl mosquitto csr

【解决方案1】：

.csr 是一个使用 CA.crt 和 CA.key 签名的证书签名请求，您不需要在 mosquitto 代理上使用它，只需要 CA.crt 和 client.crt/key。如果您想测试它，请下载 MQTT.fx 客户端以检查您的 MQTT 连接与这些认证。 http://mqttfx.jensd.de/

openssl 命令例如是：

x509 -req -in client.csr -CA CA.crt -CAkey CA.key -CAcreateserial -out client.crt -days 365

【讨论】：