局域网HTTPS部署指南：自签名证书与私有CA实战

1. 为什么要在局域网内实现HTTPS？

上周帮朋友公司部署内网系统时，发现他们所有内部服务都在用HTTP明文传输。财务系统提交的凭证数据、员工档案信息、甚至门禁系统的通信全都暴露在局域网里。运维主管的原话是："反正都在内网，没必要搞那么复杂"。直到我用Wireshark抓包演示如何轻松截获管理员密码，他们才意识到问题的严重性。

HTTPS不是公网的专利。现代企业内网中，打印机、NAS、摄像头、IoT设备都可能成为攻击跳板。通过ARP欺骗等手法，攻击者可以轻易实现中间人攻击。去年某制造企业就因内网HTTP协议导致生产线控制指令被篡改，直接损失超百万。

2. 自签名证书 vs 私有CA方案对比

2.1 自签名证书的快速实现

对于小型团队或临时测试环境，自签名证书是最快捷的方案。以Nginx为例，用OpenSSL生成证书只需三步：

bash复制# 生成2048位RSA私钥
openssl genrsa -out server.key 2048

# 创建证书签名请求(CSR)
openssl req -new -key server.key -out server.csr -subj "/CN=internal-app.example.com"

# 生成有效期365天的证书
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

关键参数说明：

• -subj 中的CN(Common Name)必须与访问域名完全一致
• 现代浏览器要求RSA密钥至少2048位
• 生产环境建议将有效期缩短至90天以内

实测坑点：Windows系统默认不信任自签名证书，需要在每台客户端手动安装证书到"受信任的根证书颁发机构"。Chrome还会强制显示红色警告页，需手动输入"thisisunsafe"才能跳过。

2.2 私有CA的标准化方案

当内网服务超过5个时，建议建立私有证书颁发机构(CA)。以下是使用OpenSSL搭建CA的完整流程：

bash复制# 创建CA私钥（建议4096位并加密存储）
openssl genrsa -aes256 -out ca.key 4096

# 生成CA根证书（有效期建议5-10年）
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=IT/CN=MyRootCA"

# 为web服务签发证书
openssl genrsa -out web.key 2048
openssl req -new -key web.key -out web.csr \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=IT/CN=internal-web.example.com"

# 关键步骤：创建扩展配置文件
cat > web.ext << EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage=digitalSignature,keyEncipherment
extendedKeyUsage=serverAuth
subjectAltName=DNS:internal-web.example.com,DNS:*.example.com
EOF

# 签发带SAN扩展的证书
openssl x509 -req -in web.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
  -out web.crt -days 365 -sha256 -extfile web.ext

方案优势：

• 一次安装CA根证书后，所有子证书自动受信
• 支持多域名(SAN)和通配符证书
• 符合企业级证书管理规范

3. 主流服务的HTTPS配置实战

3.1 Nginx配置优化

基础配置片段：

nginx复制server {
    listen 443 ssl;
    server_name internal-web.example.com;
    
    ssl_certificate /path/to/web.crt;
    ssl_certificate_key /path/to/web.key;
    
    # 强制TLS1.2+ 禁用不安全的加密套件
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    
    # HSTS增强安全
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
    
    # 其他业务配置...
}

性能调优参数：

• ssl_session_cache shared:SSL:10m 启用会话缓存
• ssl_session_timeout 24h 适当延长会话有效期
• ssl_buffer_size 4k 小文件传输优化

3.2 Windows IIS的特殊处理

通过PowerShell安装证书：

``