最近用传统的方式 生成的证书上用golang 1.15. 版本 报 grpc 上面

➜ ~ go version
go version go1.15.3 darwin/amd64

上面调用的时候报错了

rpc error: code = Unavailable desc = connection error: desc = "transport: authentication handshake failed: x509: certificate relies on legacy Common Name field, use SANs or temporarily enable Common Name matching with GODEBUG=x509ignoreCN=0"

如果出现上述报错，是因为 go 1.15 版本开始废弃 CommonName，因此推荐使用 SAN 证书。 如果想兼容之前的方式，需要设置环境变量 GODEBUG 为 x509ignoreCN=0。

什么是 SAN
SAN(Subject Alternative Name) 是 SSL 标准 x509 中定义的一个扩展。使用了 SAN 字段的 SSL 证书，可以扩展此证书支持的域名，使得一个证书可以支持多个不同域名的解析。

下面简单示例如何用 openssl 生成 ca 和双方 SAN 证书。

准备默认 OpenSSL 配置文件于当前目录

linux系统在 :

/etc/pki/tls/openssl.cnf

Mac系统在:

/System/Library/OpenSSL/openssl.cnf

cp 目录到你随意目录进行修改设置

cp /System/Library/OpenSSL/openssl.cnf /Users/jackluo/works/golang/src/grpc-go-practice/example/hello/sslconf

此文件的格式是类似 ini 的配置文件格式，找到 [ req ] 段落，加上下面的配置：

req_extensions = v3_req # The extensions to add to a certificate request

将前面的#号去掉

加入一段名为 v3_req 的配置

这段配置中最重要的是在最后导入名为 alt_names 的配置段，因此我们还需要添加一个名为 [ alt_names ] 的配置段：

[ alt_names ]
DNS.1 = www.zchd.ltd
DNS.2 = www.test.zchd.ltd

这里填入需要加入到 Subject Alternative Names 段落中的域名名称，可以写入多个。

接着使用这个临时配置生成证书：

➜ openssl req -new -nodes -keyout ustack.key -out ustack.csr -config openssl.cnf

➜ openssl x509 -text -noout -in zchd.crt 
Certificate Request:
Data:
Version: 0 (0x0)
Subject: C=CN, ST=Some-State, O=Internet Widgits Pty Ltd, CN=www.zchd.ltd
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (1024 bit)
Modulus:
00:be:b9:25:23:e3:89:39:8e:9e:71:4e:e1:89:da:
fc:e8:ad:46:67:1a:ab:dd:1f:0e:24:52:32:fb:cd:
76:0b:bd:a5:1e:44:88:c1:5d:5d:61:ac:0a:54:6c:
b3:ef:37:a7:e5:d3:73:13:55:c8:17:2c:5b:20:35:
27:03:9e:da:73:97:3e:ce:35:98:0b:a6:22:c0:07:
b2:4e:75:07:29:ee:7b:20:04:79:fd:ff:39:a2:bf:
c6:51:fd:53:9b:20:3c:dc:f4:8c:c1:48:7a:82:df:
e7:bf:a6:95:52:3e:be:77:61:44:9a:b5:18:51:4b:
22:1f:0f:84:9a:62:fb:37:07
Exponent: 65537 (0x10001)
Attributes:
Requested Extensions:
X509v3 Basic Constraints:
CA:FALSE
X509v3 Key Usage:
Digital Signature, Non Repudiation, Key Encipherment
X509v3 Subject Alternative Name:
DNS:www.zchd.ltd, DNS:www.test.zchd.ltd
Signature Algorithm: sha256WithRSAEncryption
69:c1:c3:4a:26:b3:87:1e:88:2e:be:de:f3:13:00:53:9a:7e:
60:6c:f5:1c:81:f1:04:84:9a:94:55:09:8d:66:05:da:79:7e:
6c:aa:53:a6:1a:d8:d5:bf:bd:51:2e:ee:45:04:6b:c9:24:73:
5b:5b:64:e6:3b:3b:b4:15:90:ba:b5:a4:a6:20:f8:4c:e8:f1:
2e:07:3c:ac:68:a5:3b:8c:ce:86:39:f1:84:59:26:9e:de:4f:
54:19:0c:8b:be:56:49:ef:86:11:86:4e:66:2f:d5:78:1d:fa:
16:76:a4:9f:4c:34:96:72:ef:d0:1d:ef:18:bf:ae:2b:f7:39:
81:38

生成默认 ca:

openssl genrsa -out ca.key 2048
openssl req -x509 -new -nodes -key ca.key -subj "/CN=example.ca.com" -days 5000 -out ca.crt

生成证书

openssl req -new -sha256 \
-key ca.key \
-subj "/C=CN/ST=Beijing/L=Beijing/O=UnitedStack/OU=Devops/CN=www.zchd.ltd" \
-reqexts SAN \
-config <(cat /System/Library/OpenSSL/openssl.cnf \
<(printf "[SAN]\nsubjectAltName=DNS:www.zchd.ltd,DNS:www.test.zchd.ltd")) \
-out zchd.csr

签名证书

openssl x509 -req -days 365000 \
-in zchd.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
-extfile <(printf "subjectAltName=DNS:www.zchd.ltd,DNS:www.test.zchd.ltd") \
-out zchd.crt

基本上就可以很愉快的玩耍了.

上面生成证书请求时的几个字段的意义：

C => Country
ST => State
L => City
O => Organization
OU => Organization Unit
CN => Common Name (证书所请求的域名)
emailAddress => main administrative point of contact for the certificate