内网环境下基于OpenSSL自签证书的HTTPS服务部署实践

1. 为什么内网也需要HTTPS？

很多开发者认为HTTPS只是互联网公开服务的专利，其实内网环境同样面临数据窃听和中间人攻击风险。去年我们团队就遇到过内网测试环境被恶意嗅探的案例——攻击者通过ARP欺骗截获了未加密的API请求，导致敏感测试数据泄露。自签证书虽然不像CA机构颁发的证书那样受浏览器信任，但依然能提供传输层加密和身份验证两大核心功能。

在内网开发测试环境中，我推荐使用OpenSSL自签证书的三大场景：

• 微服务间通信加密（比如SpringCloud各组件）
• 前后端分离架构的API保护
• 物联网设备与内网服务器的安全交互

与公有证书相比，自签证书有这些独特优势：

1. 零成本：省去每年数千元的证书采购费用
2. 即时生效：无需等待CA机构审核
3. 灵活配置：可自定义证书有效期和加密强度
4. 内网专用：特别适合IP直连场景（比如192.168.1.100）

2. OpenSSL证书生成全流程

2.1 配置文件深度定制

先创建openssl.cnf配置文件，这是很多教程容易忽略的关键步骤。我建议将以下模板保存为openssl.cnf，特别注意alt_names段的灵活配置：

[req]
distinguished_name = req_distinguished_name
req_extensions = v5_req

[req_distinguished_name]
countryName = CN
stateOrProvinceName = Beijing
localityName = Beijing
organizationalUnitName = DevTeam
commonName = Intern