easy-rsa 证书签发避坑指南：新手最容易踩的 4 个坑与一次性排解法

【免费下载链接】easy-rsaeasy-rsa - Simple shell based CA utility项目地址: https://gitcode.com/gh_mirrors/ea/easy-rsa

easy-rsa 是构建和管理 PKI（公钥基础设施）的 Shell 命令行工具，核心职责是创建根证书颁发机构（CA）、完成证书签发、维护中间 CA 与证书吊销列表（CRL）。功能听起来高大上，新手实操却常在环境配置、权限和配置文件上连环翻车——下面这位主人公的经历，可能就是明天的你。

小李在终端里执行git clone https://gitcode.com/gh_mirrors/ea/easy-rsa拉下代码，兴冲冲敲下./easyrsa init-pki，屏幕却先回他一句No such file or directory；好不容易让命令跑起来，又撞上Permission denied。教程明明每一步都照抄了，为什么总在报错？跟着他的旅程走完四个阶段，答案就有了。

第一阶段 环境准备：OpenSSL 版本不兼容的排查方法

小李的第一个报错，问题出在 OpenSSL 身上。

现象：执行 easyrsa 提示找不到 openssl，或运行到一半报openssl: command not found。

根因：easy-rsa 本身不实现任何加密算法，所有加解密都调用系统里的 openssl。系统没装、版本太旧，命令自然跑不起来。另外要特别注意，OpenSSL 3.x 与旧版 easy-rsa（v3.0.6 及更早分支）并不兼容，老版本项目在 OpenSSL 3 环境下会莫名报错。

解决：先看本机 openssl 的版本：

openssl version

提示找不到命令就先安装（Debian/Ubuntu 用sudo apt install openssl，CentOS/RHEL 用sudo yum install openssl）；版本太旧就升级到 1.1.1 或 3.x，再搭配同代的新版 easy-rsa 使用。

预防：把版本核对养成习惯——openssl version和./easyrsa --version各看一眼，两边版本都够新，这条坑基本就填平了。

PATH 环境变量一步配置到位

排掉第一个坑后，小李又在别的目录敲命令时收到easyrsa: command not found。

现象：必须 cd 进仓库目录才能运行，换个目录就找不到命令。

根因：easy-rsa 本质是一个脚本，没有"安装"这一步，系统默认不知道上哪找它。

解决：在~/.bashrc（zsh 用户改~/.zshrc）末尾加一行：

export PATH=$PATH:/path/to/easyrsa

保存后执行source ~/.bashrc立即生效。同时记住：Unix 下执行脚本必须带./前缀（./easyrsa init-pki），Windows 用户则双击EasyRSA-Start.bat进入自带环境，不必折腾 PATH。

预防：不想改 PATH 也行——每次进入仓库目录再执行，二选一，别混着用。

💡 小技巧：Windows 下若 openssl 不在 PATH，可在配置里用正斜杠写明全路径，例如set_var EASYRSA_OPENSSL "C:/Program Files/OpenSSL-Win32/bin/openssl.exe"。

第二阶段 初始化证书库：证书权限报错的常见来源

命令终于能跑了，小李却在./easyrsa init-pki时撞上Permission denied。

现象：创建 pki 目录时报没有权限，或生成出来的私钥权限过宽。

根因：一是习惯用 root 运行，导致后续文件权限错乱；二是旧环境 umask 设置异常，私钥 600、目录 700 的保护没有生效。

解决：全程用普通用户操作，不要加 sudo。执行：

./easyrsa init-pki

正常会生成pki/private和pki/reqs两个空目录。跑完ls -l pki检查一下：目录权限应为 700，之后生成的私钥应为 600（easy-rsa 默认 umask 为 077）。

预防：pki/private/ca.key是整套 PKI 的命根子，务必物理隔离存放，别用 root 跑，也别把 pki 目录随手同步到网盘。

vars 配置文件错误的 3 种典型写法

配置参数时，小李在同一个地方连踩三次。

现象：改了配置却不生效；或报 "You appear to be sourcing an Easy-RSAvarsfile"。

根因：三个典型错误——① 文件名没改成vars（必须一字不差，多个.example后缀都不行）；② 用source vars手动加载，而 easy-rsa 3.x 已明确禁止这种旧式做法；③ Windows 下路径写成反斜杠。顺带提醒：init-pki会故意忽略 vars 配置，别指望初始化这一步能读到你改的参数。

预防：先用默认配置跑通，再逐个调整参数；每次改完 vars 重启终端并重新执行命令验证，别猜。

第三阶段 签发第一张证书：从 build-ca 到 sign-req 全流程

环境理顺后，小李终于走到证书签发这一步。正确顺序是四步，缺一不可：

./easyrsa build-ca # 1. 创建根 CA，设置强密码并牢记 ./easyrsa gen-req myserver # 2. 生成密钥对与证书请求(CSR) ./easyrsa import-req reqs/myserver.req myserver # 3. 导入请求 ./easyrsa sign-req server myserver # 4. 按类型签发

每步执行后看什么：build-ca 完成后pki下应出现ca.crt、index.txt、serial和private/ca.key；sign-req 时类型要选对——server给服务端、client给客户端、ca用于中间 CA、serverClient两者兼用，签出的证书落在pki/issued/目录。

⚠️ 易错点：全局选项必须放在命令之前，例如./easyrsa --batch build-ca；写成build-ca --batch会被静默忽略。自动化场景用--batch --nopass可免交互。

第四阶段 验证与维护：吊销后证书为什么"仍然有效"

证书签发成功后，小李又遇到最后一个迷思：用./easyrsa revoke myserver吊销了证书，对端却依然能正常连接。

现象：吊销命令执行成功，但服务端不认账。

根因：吊销只是把证书登记进index.txt并标记状态，还没生成吊销列表。对端只要没拿到新的 CRL（证书吊销列表），就不知道这张证书已作废。

解决：吊销后立刻生成 CRL 并发布：

./easyrsa gen-crl

把生成的pki/crl.pem同步到所有依赖 CRL 校验的服务端，吊销才算真正生效。

预防：把"吊销三步"记成口诀——revoke → gen-crl → 发布 CRL，缺一不可。

写在最后：一张避坑清单

回看小李的旅程，四个坑其实都有共性：慢点读报错、先查版本、别用 root、分清"生成"与"生效"。浓缩成一张清单贴在终端旁：

• ✅ 先核对openssl version与 easy-rsa 版本是否匹配
• ✅ PATH 配好，./easyrsa前缀别丢
• ✅ 普通用户执行，私钥 600、目录 700
• ✅ vars 必须命名为vars，Windows 路径用正斜杠
• ✅ 全局选项放命令前，批处理用--batch
• ✅ revoke 之后必须 gen-crl 并发布

想深入研究的读者，可以翻阅仓库 doc/ 目录下的 EasyRSA-Readme.md、EasyRSA-Advanced.md 与 Intro-To-PKI.md，主程序源码入口在 easyrsa3/easyrsa，示例配置见 easyrsa3/vars.example。

【免费下载链接】easy-rsaeasy-rsa - Simple shell based CA utility项目地址: https://gitcode.com/gh_mirrors/ea/easy-rsa