如何在 SonicWall 上生成 CSR

本指南将向您展示如何在运行 SonicOS 的 SonicWall 防火墙上生成 CSR（证书签名请求）。您需要在网页管理界面的Device > Settings > Certificates中创建请求，填写主题详细信息，选择 2048 位（或更大）的 RSA 密钥和 SHA-256 签名算法，然后导出请求并发送给您的证书颁发机构。

私钥在同一时间创建，并作为待处理请求（Pending Request）保存在防火墙上：导出 CSR 时不会包含私钥。以下步骤适用于 SonicOS 7.x；如果 SonicOS 6.5 及旧版 SMA / SSL-VPN 设备的菜单路径有所不同，我们会特别注明。

在 SonicWall（SonicOS 7.x）上生成 CSR

如果您已经生成了 CSR 并收到了已签发的证书文件，请直接跳转至如何在 SonicWall 上安装 SSL 证书。

步骤 1：打开 Certificates 页面

• 以管理员身份登录 SonicWall 网页管理界面。
• 前往Device > Settings > Certificates。该页面列出了设备上当前所有的证书。
• 点击New Signing Request打开证书对话框。

在 SonicOS 6.5 的 Manage 视图中，路径为Manage > Appliance > Certificates。在旧版 SMA 100 系列及更早的 SSL-VPN 设备上，路径为System > Certificates，按钮标签为Generate CSR。各版本之间的字段名称基本相同。

步骤 2：输入证书别名和主题详细信息

在Certificate Alias字段中，输入一个您日后在防火墙上能够识别的标签，例如您的域名加上年份。该别名仅为内部名称；它不会出现在证书本身中。

使用下拉菜单和文本字段构建Subject Distinguished Name（主题专有名称）。当您填写每个组成部分时，SonicOS 会在Subject Distinguished Name预览字段中组装出完整的 DN。

• Country（国家）：您所在组织注册所在国家的两位ISO 国家代码，例如US。
• State（州/省）：州或地区的全名，例如 Hawaii。对于组织验证（OV）或扩展验证（EV）证书，请使用您公司合法注册所在的州或省。
• Locality, City, or County（地区、城市或县）：城市的全名，例如 Honolulu。
• Company or Organization（公司或组织）：您公司的完整法定名称，例如 Your Company LLC。只有在订购域名验证（DV）证书时才可将此项留空。
• Department（部门）：可选项。您可以填写例如 IT 或 Web 之类的值，也可以留空。公有 CA 不会验证此字段。
• Common Name（通用名称）：您要保护的完全限定域名（FQDN），例如vpn.example.com。若为通配符证书，请在域名前加一个星号，例如*.example.com。通用名称应与您访问防火墙所使用的主机名（管理页面、SSL VPN 门户或两者）一致。
• E-Mail Address（电子邮件地址）：您组织内有效的联系邮箱地址。

步骤 3：添加 Subject Alternative Name（可选）

在Subject Alternative Name下，从下拉菜单中选择一个类型（Domain Name、Email Address或IPv4 Address）并输入对应的值。现代浏览器根据 SAN 列表而非通用名称来验证证书，因此第一条 SAN 条目应与通用名称一致。SonicOS 在请求本身中只允许添加一条 SAN 条目；如果您的证书需要覆盖多个主机名，请在向 CA 结账时列出其他名称。大多数公有 CA 都接受在订单表单中随 CSR 一起提供的额外 SAN 条目。

步骤 4：选择签名算法和密钥

• Signature Algorithm（签名算法）：将默认值从SHA1更改为SHA256（或 SHA384 / SHA512）。自 2015 年起，公有 CA 已拒绝签发使用 SHA-1 签名的证书，因此使用 SHA-1 签名的 CSR 将无法被签发。
• Subject Key Type（主题密钥类型）：保留默认值RSA。只有当您的 CA 及所有服务对象的客户端都支持 ECDSA 证书时，才选择ECDSA。
• Subject Key Size/Curve（主题密钥大小/曲线）：对于 RSA，请至少选择2048位。出厂默认值为 1024 位，公有 CA 会拒绝该值；3072 位和 4096 位同样被接受。对于 ECDSA，prime256v1是一个安全的选择。

步骤 5：生成请求

检查各项内容后，点击Generate。SonicOS 会生成 CSR 及其对应的私钥，并在证书表中添加一行新条目。新条目的类型为Pending request（待处理请求），并会一直保持该状态，直到您导入已签发的证书为止。

导出 CSR

• 在证书表中找到新生成的 Pending request 条目。
• 点击其旁边的Export图标。SonicOS 会下载一个仅包含请求内容的.csr文件。私钥仍保留在防火墙上。

在旧版 SMA 100 / SSL-VPN 设备上，行为有所不同：提交表单后会下载一个.zip压缩包，其中包含server.csr和server.key。请将这两个文件一并保存；稍后以 PKCS#12 包形式导入已签发证书时，您需要用到server.key。而在 SonicOS 7.x 防火墙上，您不会得到密钥文件，因为密钥永远不会离开设备。

使用任何纯文本编辑器（例如记事本）打开导出的.csr文件。文件内容以-----BEGIN CERTIFICATE REQUEST-----开头，以-----END CERTIFICATE REQUEST-----结尾。在申请 SSL 证书的过程中，请将整段内容（包括这两行头尾标记）复制到 SSL 供应商订单页面的 CSR 字段中。

提交前检查 CSR

在下单之前，请确认该请求包含正确的域名和组织信息。如果您在任意机器上安装了 OpenSSL，可使用以下命令解码导出的文件：

openssl req -noout -text -in request.csr

请检查通用名称、SAN 条目及组织字段是否正确，签名算法是否为 sha256 或更强，以及密钥大小是否为 2048 位或以上。如有任何问题，应在防火墙上重新生成新的 CSR，而不是直接编辑文件：对文本的任何改动都会使签名失效。如果没有 OpenSSL，可以将导出的请求粘贴到我们的在线CSR 解码工具中，以确认相同的字段。

如果您希望在浏览器中而非在 SonicOS 中准备请求，也可以使用我们的CSR 生成器来生成 CSR。在 SonicOS 7.x 防火墙上，在设备外部生成 CSR 意味着日后您需要以 PKCS#12 包的形式导入已签发的证书（其中同时包含证书及对应的密钥），而不是完成设备上的待处理请求流程。

CA 签发证书之后

一旦 CA 验证了 CSR 并签发了您的 SSL 证书，请返回Device > Settings > Certificates，找到同一个 Pending request 条目，然后点击其旁边的Upload图标以附加已签名的文件。不要创建新条目：SonicOS 只有在您将已签发的证书上传到同一个待处理条目上时，才会将其与相应的私钥配对。可接受的格式为 PEM（.pem、.cer）和 PKCS#7（.p7b）。有关完整流程，包括如何将证书分配给管理页面和 SSL VPN 门户，请参阅我们的指南如何在 SonicWall 上安装 SSL 证书。

常见问题