内网

起因：手上有一堆半死不活的服务 内网里跑着的东西越来越多了：NAS 的管理页、frp 的 dashboard、noVNC、几个自己写的小后台、偶尔起个文件服务。这些默认都是 HTTP，浏览器地址栏一片"不安全"，而我又懒。 最直接的做法是每个服务自签一张： openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 能用。但用着用着就会烦： 每张证书都要单独信任一次。同一个服务的证书一换（换 IP、换域名、重装），浏览器又红一次。 手机上是灾难。十张证书装十个描述文件，设置里翻半天。 没法验证链。每张都是自己签自己，出问题完全看不出来是证书错了还是服务挂了。 而"自己当 CA"这个选项，一开始听起来很重——好像要有 HSM、要有人管私钥、要有审计。实际上一个 CA 就是一张带 CA:TRUE 的证书加一把私钥，两个文件，一台电脑，半小时。 ...