如何在 OPNsense 防火墙上安装 ACME SSL 证书

最后更新于 14 7 月, 2025 由 Dionisie Gitlan

如果你要在OPNsense防火墙上管理SSL/TLS，使用内置的ACME客户端插件是一种安全且自动化的方式，可以从Sectigo等可信CA签发和更新证书。在本指南中，你将学习如何使用官方插件在OPNsense上安装ACME证书、使用EAB凭证配置ACME账户、验证域名所有权以及自动部署证书。

这种方法非常适合将 OPNsense 用作网关、反向代理或保护 NAT 后面的服务。下面让我们逐一介绍。

所需物品

在开始之前，请确保您已

管理员访问 OPNsense 网络界面的权限
指向 OPNsense 实例的有效域名
80 端口开放（用于 HTTP-01 验证）
您的证书提供商提供的 ACME 证书：
- ACME 目录 URL（如 https://acme.sectigo.com/v2/DV）
- EAB 密钥标识符 (KID) 和 HMAC 密钥

步骤 1 – 安装并启用 ACME 插件

登录 OPNsense 网络界面。
导航至系统 > 固件 > 插件。
找到名为os-acme-client 的插件。
点击旁边的+ 按钮 进行安装。
安装完成后，刷新界面（按 F5）。
进入服务 > ACME 客户端 > 设置并选中启用插件。单击保存。

这将启用 ACME 客户端后台并解锁配置选项。

步骤 2 – 添加 ACME 账户

要将 OPNsense 连接到证书颁发机构，您需要创建一个具有外部账户绑定（EAB）功能的 ACME 账户。

转到服务 > ACME 客户 > 帐户。单击+ 添加。
填写表格：

账户名称：选择任何描述性名称。
电子邮件地址：过期通知或错误。
ACME CA：选择自定义 CA URL。
自定义 CA URL：粘贴 CA 的 ACME 目录 URL（如 https://acme.sectigo.com/v2/DV）
密钥标识符：输入您的 EAB KID。
HMAC 密钥：输入您的 EAB HMAC 密钥。

单击 “保存”，然后单击 “注册 “创建 ACME 账户。

确保准确复制 KID 和 HMAC，不留前导/尾部空格。

第 3 步 – 设置验证方法（挑战类型）

为了证明域名所有权，ACME 使用挑战类型。对于 OPNsense，最常见的是HTTP-01。

转到服务 > ACME 客户端 > 挑战类型。单击+ 添加。
选择 HTTP-01 作为验证方法。这要求端口 80 可以从公共互联网访问。
保存并应用更改。

如果防火墙阻止 80 端口或使用基于 DNS 的主机，请考虑使用其他验证方法（并非所有版本都支持本机验证）。

第 4 步 – 创建和颁发证书

现在您的账户和验证方法都已准备就绪：

转到服务 > ACME 客户端 > 证书。单击+ 添加。
填写证书设置：
- 域名：输入完整域名（如 vpn.example.com）
- ACME 帐户：选择在步骤 2 中创建的账户。
- 验证方法：选择在步骤 3 中设置的HTTP-01挑战。
- 保存并应用。