自宅サーバー構築譚：オレオレ認証局が認証する証明書

能書き

自宅サーバー構築譚：基本構想に基づく自宅サーバー構築、前回の続き。

前回はオレオレ認証局を作成しましたが、今回は証明書を作成してこの認証局で認証してみます。

参考文献：easy-rsaで簡単に自宅CA構築+自己証明書発行 - paloma blog
参考文献：easy-rsaでプライベートCA(認証局)を作ってオレオレ証明書ではないローカル用TLS証明書の管理をする

サーバー鍵

有効期限

これから作る証明書の有効期限を100年にしておきます。忘れた頃に期限が切れるとパニクりますので。

参考文献：【AWS Client VPN】OpenVPN easy-rsaでサーバ証明書の有効期限を100年にする - (技)DENET 技術ブログ

前回の続きでしたら、CAの有効期限は設定しましたが、証明書の有効期限は設定していません。

cd /opt/CA/demoCA/
grep EASYRSA_CERT_EXPIRE vars

この場合は下記のコマンドを実行します。EASYRSA_CERT_EXPIREの設定が済んでいたら下記は不要です。

echo 'set_var EASYRSA_CERT_EXPIRE "36500"' >>vars

鍵生成

EasyRSA の新しいバージョンでは、秘密鍵やCSR（Certificate Signing Request、証明書署名要求）を作らなくてよいらしい。コマンド一発で全部やってくれちゃいます。

サーバー名がexample.homeの場合、下記コマンドを実行します。
途中で認証局 demoCA のパスフレーズを要求されますので、それを入力します。

cd /opt/CA/demoCA/
./easyrsa build-server-full example.home nopass

生成された各ファイルは、pkiディレクトリ内の各サブディレクトリに格納されます。

• 秘密鍵: pki/private
• 証明書要求: pki/reqs
• 証明書: pki/issued

鍵確認

生成した鍵を確認。

# openssl x509 -text -in pki/issued/example.home.crt -text | grep -E "Issuer:|Subject:"
        Issuer: CN = demoCA
        Subject: CN = example.home

有効期限は100年後になっています。

# openssl x509 -dates -noout -in pki/issued/example.home.crt
notBefore=Dec 15 06:26:22 2022 GMT
notAfter=Nov 21 06:26:22 2122 GMT

仕舞い

鍵を作って署名するのは簡単でした。

本当は、この鍵を仕込んで何かのサーバーが暗号化されるのを確認したかったのですが、それはまた今度。サーバーを何も立てていないので。うーん残念。

とはいえ、これで暗号の為の鍵が出来ました。やったね