OpenSSL Windows 环境入门指南 – wiki基地

---

OpenSSL Windows 环境入门指南：从安装到基础使用

1. 引言：什么是 OpenSSL？为什么在 Windows 上使用它？

OpenSSL 是一个强大、开源的软件库，包含了用于安全通信（尤其是 TLS/SSL 协议）和通用密码学功能的工具。它提供了命令行工具以及 C 语言库，广泛应用于互联网服务器、电子邮件客户端、VPN、软件签名等众多领域。简单来说，OpenSSL 是处理证书、密钥、加密、解密、哈希等安全任务的瑞士军刀。

虽然 OpenSSL 主要在 Linux/Unix 环境下更为流行和易于安装，但在 Windows 环境下，它同样是执行各种安全相关操作的不可或缺的工具。例如，您可能需要在 Windows 服务器上生成 CSR (Certificate Signing Request) 申请 SSL 证书，或者管理现有的证书文件，进行格式转换（如 PEM 转 PFX），或者进行文件加密解密等。本指南将详细介绍如何在 Windows 环境下获取、安装并开始使用 OpenSSL。

2. 在 Windows 上获取 OpenSSL

与其他开源项目不同，OpenSSL 官方网站 (openssl.org) 不直接提供 Windows 平台的预编译二进制发行版。这是因为在 Windows 上编译 OpenSSL 涉及到复杂的构建系统和依赖关系（如不同的 C 运行时库，MSVC 或 MinGW/Cygwin），官方为了避免支持所有可能的编译变体，选择不提供官方二进制文件。

因此，在 Windows 上安装 OpenSSL，您通常需要依赖由第三方提供的预编译版本，或者自己进行编译（后者对于初学者来说较为复杂）。以下是获取 OpenSSL 预编译版本的几种常见且推荐的方式：

2.1 使用第三方提供的预编译二进制安装包 (推荐)

这是最常见且对新手最友好的方式。一些第三方组织会维护并提供 OpenSSL 在 Windows 上的预编译安装程序。

主要的提供者包括：

• Shining Light Productions: (slproweb.com/products/Win32OpenSSL.html) 这是最常用、更新也比较及时的第三方提供商之一。他们提供 32位 (Win32) 和 64位 (Win64) 版本的 OpenSSL 安装包。
• WikiLeaks Mirror (Historical): 虽然 WikiLeaks 曾经提供过 OpenSSL Windows 版本，但现在 Shining Light Productions 是更推荐和活跃的来源。请直接访问 Shining Light Productions。

从 Shining Light Productions 下载的步骤：

1. 访问其官方网站上的 OpenSSL 下载页面 (slproweb.com/products/Win32OpenSSL.html)。
2. 您会看到不同版本的 OpenSSL (例如 1.1.1, 3.0, 3.1, 3.2 等) 以及对应的 32位和 64位安装程序。请根据您的 Windows 操作系统架构选择合适的版本（大部分现代 Windows 都是 64位）。如果您不确定，通常选择 64位版本是安全的。
3. 注意: 有些安装包名称中带有 Light 字样 (例如 Win64OpenSSL_ 版本号_light.exe)，这些是 “精简版”，不包含文档和一些可选组件，但对于大多数基本使用来说足够了。标准版包含更多内容。新手可以选择 Light 版本以减小下载体积。
4. 下载对应的 .exe 安装文件。
5. 重要提示: OpenSSL 依赖于 Microsoft Visual C++ Redistributable 安装包。如果您下载的安装包名称中包含 VC++ 20XX Redist 或类似的字样，说明它依赖特定的 Visual C++ 运行时库。通常，在下载页面下方会明确指出需要的运行时库版本，并提供下载链接 (例如 Microsoft Visual C++ 2008, 2010, 2015-2022 Redistributable等)。请确保您的系统已经安装了对应的运行时库，否则 OpenSSL 可能无法运行（表现为执行命令时提示缺失 DLL 文件）。大多数现代 Windows 系统可能已经安装了较新的版本，但为了保险起见，最好按照下载页面提示检查或安装。

2.2 使用包管理器 (推荐，现代化方式)

对于习惯使用命令行工具或开发人员来说，使用 Windows 包管理器如 Chocolatey 或 Scoop 是更现代和便捷的方式。它们可以自动化下载、安装和更新过程。

使用 Chocolatey 安装 (假设已安装 Chocolatey):

1. 打开一个管理员权限的命令提示符 (cmd) 或 PowerShell 窗口。
2. 执行命令： choco install openssl
3. Chocolatey 会自动下载最新版本的 OpenSSL 并安装。安装完成后，它通常会自动配置环境变量。

使用 Scoop 安装 (假设已安装 Scoop):

1. 打开一个普通的命令提示符 (cmd) 或 PowerShell 窗口。
2. 执行命令： scoop install openssl
3. Scoop 会下载并安装 OpenSSL。Scoop 的优点是它安装在用户目录下，不需要管理员权限，并且会自动处理环境变量（通过 shim 可执行文件）。

使用包管理器的好处是更新方便 (choco upgrade openssl 或 scoop update openssl)，并且能更好地管理依赖。

2.3 从源代码编译 (不推荐新手)

如果您有特定的需求（例如需要最新的开发版本、特定的编译选项或进行调试），您可以选择从 OpenSSL 官方网站下载源代码并在 Windows 上自行编译。这通常需要安装构建工具 (如 Visual Studio C++ 构建工具或 MinGW)、Perl 解释器、以及处理各种编译配置和依赖问题。这个过程相对复杂，超出了本入门指南的范围。

3. 安装步骤详解 (以第三方安装包为例)

以从 Shining Light Productions 下载的 Win64OpenSSL_3_X_X.exe 或 Win64OpenSSL_3_X_X_light.exe 为例，安装步骤如下：

1. 运行安装程序: 双击下载的 .exe 文件。
2. 用户账户控制 (UAC): 如果弹出 UAC 提示，请点击“是”允许程序运行。
3. 许可协议: 阅读并接受许可协议，点击 “Next”。
4. 选择安装目录: 选择 OpenSSL 的安装路径。默认路径通常在 C:\Program Files\OpenSSL-Win64 或 C:\Program Files (x86)\OpenSSL-Win32。您可以选择其他路径，但请确保记住它，因为后续可能需要配置环境变量。点击 “Next”。
5. 选择组件: 如果是标准版，您可以选择安装哪些组件（通常全部安装即可）。如果是 Light 版本，此步骤可能跳过。点击 “Next”。
6. 安装位置选项: 这是一个关键步骤。安装程序会询问是否将 OpenSSL DLL 文件复制到：
   • “The OpenSSL binaries (/bin) directory” (OpenSSL 安装目录下的 bin 目录) – 推荐此选项。将 DLL 放在 OpenSSL 自己的 bin 目录是最干净的方式。
   • “The Windows system directory” (System32 或 SysWOW64 目录) – 不推荐此选项，因为可能引起版本冲突。
   • “The directory of the program(s) that use OpenSSL” – 仅当您为特定程序安装时使用，不适合通用命令行使用。
     请选择第一个选项：”The OpenSSL binaries (/bin) directory”，然后点击 “Next”。
7. 添加到 PATH 环境变量 (重要): 安装程序通常会询问是否将 OpenSSL 的安装目录添加到系统的 PATH 环境变量中。
   • “The OpenSSL directory” (OpenSSL 安装目录) – 不推荐，因为安装目录下有其他文件。
   • “The OpenSSL binaries directory” (OpenSSL 安装目录下的 bin 目录) – 强烈推荐此选项。将 bin 目录添加到 PATH 可以让您在任何命令提示符窗口中直接运行 openssl 命令，而无需切换到安装目录。
     如果您在这里选择了添加 PATH，请选择 “The OpenSSL binaries directory”。如果您错过了这一步或选择了不添加，没关系，后续我们会手动配置 PATH。点击 “Next”。
8. 准备安装: 点击 “Install” 开始安装。
9. 完成安装: 安装完成后，点击 “Finish”。

4. 验证安装并配置环境变量 (手动)

安装完成后，第一步是验证 OpenSSL 是否成功安装并且可以运行。

4.1 验证安装

1. 打开一个新的命令提示符 (cmd) 或 PowerShell 窗口。注意： 如果您在安装过程中选择了添加 PATH，您需要打开一个新的终端窗口，旧的窗口不会加载新的环境变量。
2. 在命令行中输入： openssl version
3. 如果安装成功并正确配置了 PATH，您应该会看到类似以下的输出：
   OpenSSL 3.x.x 日期 [版本信息]
   例如： OpenSSL 3.2.1 1 Jan 2024 (Library: OpenSSL 3.2.1 1 Jan 2024)
4. 如果您看到 “openssl” 不是内部或外部命令，也不是可运行的程序或批处理文件。(或类似的错误)，这意味着系统找不到 openssl.exe 可执行文件。这通常是因为 OpenSSL 的 bin 目录没有被添加到系统的 PATH 环境变量中。

4.2 手动配置 PATH 环境变量

如果 openssl version 命令失败，您需要手动将 OpenSSL 的 bin 目录添加到系统的 PATH 环境变量。

1. 找到 OpenSSL 安装目录: 找到您安装 OpenSSL 的目录。如果您使用了默认路径，它可能在 C:\Program Files\OpenSSL-Win64 或 C:\Program Files (x86)\OpenSSL-Win32。进入该目录，找到 bin 文件夹。复制这个 bin 文件夹的完整路径 (例如：C:\Program Files\OpenSSL-Win64\bin)。
2. 打开系统环境变量设置:
   • 在 Windows 搜索栏中输入 “环境变量” 或 “environment variables”。
   • 选择 “编辑系统环境变量” (Edit the system environment variables)。
3. 进入环境变量对话框: 在弹出的 “系统属性” 窗口中，点击右下角的 “环境变量…” (Environment Variables…) 按钮。
4. 编辑系统变量的 Path:
   • 在 “系统变量” (System variables) 列表中，找到名为 Path 的变量，选中它。
   • 点击 “编辑…” (Edit…) 按钮。
5. 添加新的路径:
   • 在弹出的 “编辑环境变量” 窗口中，点击 “新建” (New)。
   • 将您之前复制的 OpenSSL bin 目录路径粘贴进去 (例如：C:\Program Files\OpenSSL-Win64\bin)。
   • 注意： 如果您使用的是旧版本的 Windows (如 Windows 7 或更早)，PATH 变量可能是一个很长的字符串，各个路径之间用分号 ; 分隔。在这种情况下，您需要在现有路径的末尾添加一个分号 ;，然后粘贴 OpenSSL bin 目录的路径。
6. 确认保存: 点击多次 “确定” (OK) 关闭所有打开的对话框 (“编辑环境变量”, “环境变量”, “系统属性”)。
7. 重新打开终端: 非常重要！ 关闭所有现有的命令提示符或 PowerShell 窗口。打开一个新的终端窗口。
8. 再次验证: 在新的终端窗口中，输入 openssl version。这次应该能成功显示 OpenSSL 的版本信息了。

现在，您已经在 Windows 环境下成功安装并配置了 OpenSSL，可以在命令行中开始使用它的各种功能了。

5. OpenSSL 基础使用：常用命令介绍

OpenSSL 的命令行工具功能非常强大，包含了众多子命令 (commands) 和选项 (options)。基本语法通常是：

bash
openssl <command> [options] [arguments]

以下介绍一些最常用的 OpenSSL 命令及其在 Windows 环境下的应用。

5.1 生成私钥 (Generating Private Keys)

私钥是许多密码学操作的基础，如生成证书请求或用于解密。常见的私钥类型有 RSA 和 Elliptic Curve (EC)。

5.1.1 生成 RSA 私钥

RSA 私钥生成命令是 genrsa。

• 基本用法 (生成不加密的私钥):
  bash
openssl genrsa -out private.key 2048
  解释：

  • genrsa: 指定生成 RSA 私钥。
  • -out private.key: 指定输出文件名为 private.key。这个文件将包含生成的私钥（默认 PEM 格式）。
  • 2048: 指定密钥的模长（位数）。常见的选择是 2048 或 4096。位数越多，安全性越高，但生成和处理速度越慢。对于大多数用途，2048 位已足够。

• 生成加密的私钥 (更安全):
  bash
openssl genrsa -aes256 -out private_encrypted.key 2048
  解释：

  • -aes256: 指定使用 AES-256 对私钥文件进行加密。执行此命令后，OpenSSL 会提示您设置并验证一个密码 (passphrase)。每次使用这个私钥时都需要输入密码。
  • 您也可以使用 -des3 等其他加密算法。使用加密的私钥可以防止私钥文件被未经授权访问后直接使用。

• 从私钥提取公钥: 虽然通常公钥是从证书中提取的，但您也可以直接从私钥文件中提取对应的公钥。
  bash
openssl rsa -in private.key -pubout -out public.key
  解释：

  • rsa: 指定处理 RSA 密钥文件。
  • -in private.key: 指定输入文件为 private.key (您的私钥)。
  • -pubout: 指定输出的是公钥。
  • -out public.key: 指定输出文件名为 public.key。

5.1.2 生成 EC 私钥

EC 私钥生成命令是 ecparam 和 ec。EC 密钥相比 RSA 密钥，在相同的安全级别下通常更短，处理速度更快。

• 基本用法 (生成不加密的私钥):
  bash
openssl ecparam -name prime256v1 -genkey -noout -out ec_private.key
  解释：

  • ecparam: 指定处理 EC 参数或密钥。
  • -name prime256v1: 指定使用的椭圆曲线名称。prime256v1 (也称为 secp256r1) 是非常常用的曲线。其他常见曲线还有 secp384r1, secp521r1 等。
  • -genkey: 指定生成密钥。
  • -noout: 指定不输出参数，只输出密钥。
  • -out ec_private.key: 指定输出文件名为 ec_private.key (默认 PEM 格式)。

• 生成加密的 EC 私钥:
  bash
openssl ecparam -name prime256v1 -genkey -aes256 -noout -out ec_private_encrypted.key
  添加 -aes256 参数即可，与 RSA 类似。

• 从 EC 私钥提取公钥:
  bash
openssl ec -in ec_private.key -pubout -out ec_public.key
  解释：

  • ec: 指定处理 EC 密钥文件。
  • -in ec_private.key: 指定输入文件。
  • -pubout: 指定输出公钥。
  • -out ec_public.key: 指定输出文件。

5.2 生成证书签名请求 (CSR – Certificate Signing Request)

CSR 是您向证书颁发机构 (CA) 申请 SSL/TLS 证书时需要提交的文件。它包含您的公钥以及身份信息（如域名、组织名称等），并使用您的私钥进行签名。

生成 CSR 的命令是 req。

• 基本用法:
  bash
openssl req -new -key private.key -out server.csr
  解释：

  • req: 指定生成证书请求或自签名证书。
  • -new: 指定生成一个新的证书请求。
  • -key private.key: 指定用于签名的私钥文件。确保此私钥文件存在。如果私钥是加密的，OpenSSL 会提示您输入密码。
  • -out server.csr: 指定输出文件名为 server.csr。

  执行此命令后，OpenSSL 会以交互方式提示您输入证书请求的各个字段信息：
  * Country Name (2 letter code) [AU]: 国家代码 (如 CN 代表中国)
  * State or Province Name (full name) [Some-State]: 省/州名称 (如 Guangdong)
  * Locality Name (eg, city) []: 城市名称 (如 Shenzhen)
  * Organization Name (eg, company) [Internet Widgits Pty Ltd]: 组织/公司名称 (如 My Company Ltd)
  * Organizational Unit Name (eg, section) []: 组织单位名称 (如 IT Department)
  * Common Name (e.g. server FQDN or YOUR name) []: 通用名称 (CN)。这是证书最重要的字段，对于服务器证书，通常是网站域名 (如 www.example.com) 或 IP 地址。对于通配符证书，格式为 *.example.com。
  * Email Address []: 电子邮件地址。
  * A challenge password []: 可选的挑战密码。通常留空。
  * An optional company name []: 可选的公司名称。通常留空。

  填写完所有信息后，server.csr 文件就会生成。您可以将此文件提交给 CA。

• 非交互式生成 CSR (通过 -subj 参数): 如果您想自动化生成过程，可以使用 -subj 参数直接指定主题信息。
  bash
openssl req -new -key private.key -out server.csr -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=My Company Ltd/OU=IT Department/CN=www.example.com"
  解释：

  • -subj "/C=.../...=...": 使用斜杠分隔的键值对指定主题信息。键名遵循 X.509 标准，如 C (Country), ST (State), L (Locality), O (Organization), OU (Organizational Unit), CN (Common Name)。请将引号内的内容替换为您自己的信息。

5.3 生成自签名证书 (Generating Self-Signed Certificates)

自签名证书是由您自己的私钥签名的证书，而不是由一个受信任的 CA 签名。它们常用于测试环境、内部应用或不需要公开信任的场景。

生成自签名证书也使用 req 命令，但需要添加 -x509 选项。

• 基本用法:
  bash
openssl req -x509 -new -key private.key -out server.crt -days 365
  解释：

  • -x509: 指定输出自签名证书而不是 CSR。
  • -new: 指定生成一个新的证书。
  • -key private.key: 指定用于签名和公钥提取的私钥文件。
  • -out server.crt: 指定输出文件名为 server.crt（默认 PEM 格式）。
  • -days 365: 指定证书的有效期（天）。这里设置为 365 天，即一年。
  • 执行后，同样会提示您输入证书的主题信息，与生成 CSR 类似。

• 生成没有密码的私钥并直接生成自签名证书 (方便测试): 如果您想一步到位，并且生成的私钥不需要加密（仅用于测试），可以使用 -nodes 选项和 -newkey 选项。
  bash
openssl req -x509 -newkey rsa:2048 -nodes -keyout private.key -out server.crt -days 365 -subj "/CN=localhost"
  解释：

  • -newkey rsa:2048: 生成一个新的 RSA 私钥，模长 2048 位。
  • -nodes: No DES, 即生成的私钥不加密。
  • -keyout private.key: 将生成的私钥保存到 private.key 文件。
  • 其他参数同上。 -subj "/CN=localhost" 快速指定通用名称为 localhost。

5.4 查看证书/CSR 信息 (Examining Certificates/CSRs)

要查看证书 (.crt, .cer, .pem) 或证书请求 (.csr) 的详细内容，可以使用 x509 (针对证书) 或 req (针对 CSR) 命令配合 -text 选项。

• 查看证书信息:
  bash
openssl x509 -in server.crt -text -noout
  解释：

  • x509: 指定处理 X.509 证书。
  • -in server.crt: 指定输入文件为 server.crt。
  • -text: 以人类可读的文本格式输出证书的各个字段。
  • -noout: 指定不输出证书本身（只输出文本信息）。
    此命令会显示证书的版本、序列号、签名算法、颁发者 (Issuer)、主题 (Subject)、有效期 (Validity)、公钥信息等。

• 查看 CSR 信息:
  bash
openssl req -in server.csr -text -noout
  解释：

  • req: 指定处理证书请求。
  • -in server.csr: 指定输入文件为 server.csr。
  • -text: 以文本格式输出 CSR 内容。
  • -noout: 指定不输出 CSR 本身。
    此命令会显示 CSR 的主题信息、公钥信息等。

5.5 格式转换 (Converting Formats)

证书和密钥文件有多种格式，OpenSSL 可以在它们之间进行转换。常见的格式包括 PEM (Base64 编码的文本格式) 和 DER (二进制格式)，以及 PKCS#12 (PFX) 格式 (通常包含私钥和证书)。

• PEM 转 DER (证书):
  bash
openssl x509 -in server.crt -outform DER -out server.der
  解释：

  • -in server.crt: 输入 PEM 格式证书。
  • -outform DER: 指定输出格式为 DER。
  • -out server.der: 输出 DER 格式文件。

• DER 转 PEM (证书):
  bash
openssl x509 -in server.der -inform DER -out server.pem
  解释：

  • -in server.der: 输入 DER 格式证书。
  • -inform DER: 指定输入格式为 DER。
  • -out server.pem: 输出 PEM 格式文件。
    （注意：server.pem 和 server.crt 通常内容相同，只是扩展名不同）

• PEM 格式的私钥和证书转换为 PKCS#12 (.pfx 或 .p12): PKCS#12 格式常用于将私钥和证书一起导入到 Windows 证书管理器或某些服务器软件中。
  bash
openssl pkcs12 -export -out server.pfx -inkey private.key -in server.crt -name "MyServerCertificate"
  解释：

  • pkcs12: 指定处理 PKCS#12 文件。
  • -export: 指定进行导出操作（即 PEM 转 PKCS#12）。
  • -out server.pfx: 指定输出 PKCS#12 文件名（常用 .pfx 或 .p12）。
  • -inkey private.key: 指定输入的私钥文件。
  • -in server.crt: 指定输入的证书文件。
  • -name "MyServerCertificate": 为导出的证书起一个友好的名称（可选）。
  • 执行此命令后，会提示您设置并验证一个导出密码。

• 从 PKCS#12 文件中提取 PEM 格式的私钥和证书:

  • 提取私钥:
    bash
openssl pkcs12 -in server.pfx -nocerts -out private_extracted.key -nodes
    解释：
    • -in server.pfx: 输入 PKCS#12 文件。
    • -nocerts: 指定不输出证书。
    • -out private_extracted.key: 输出提取的私钥文件。
    • -nodes: 如果不想为提取的私钥设置密码，使用此选项（不安全，仅用于测试或特定用途）。如果不加 -nodes，会提示您设置私钥密码。
    • 执行此命令时，会提示您输入 PKCS#12 文件的导入密码。
  • 提取证书:
    bash
openssl pkcs12 -in server.pfx -nokeys -out server_extracted.crt
    解释：
    • -in server.pfx: 输入 PKCS#12 文件。
    • -nokeys: 指定不输出私钥。
    • -out server_extracted.crt: 输出提取的证书文件。
    • 执行此命令时，会提示您输入 PKCS#12 文件的导入密码。

5.6 加密和解密文件 (Encryption and Decryption)

OpenSSL 可以使用对称或非对称算法对文件进行加密和解密。

• 使用对称加密 (例如 AES): 常用于加密大量数据。通常使用密码进行加密。

  • 加密:
    bash
openssl enc -aes256 -in plaintext.txt -out encrypted.enc -pbkdf2
    解释：
    • enc: 指定进行加密/解密操作。
    • -aes256: 指定使用 AES-256 算法。您也可以使用 -aes128, -des3 等。
    • -in plaintext.txt: 指定输入文件（要加密的文件）。
    • -out encrypted.enc: 指定输出文件（加密后的文件）。
    • -pbkdf2: 强烈建议使用 PBKDF2 从密码派生密钥，增加安全性。
    • 执行后会提示您输入并验证加密密码。
  • 解密:
    bash
openssl enc -d -aes256 -in encrypted.enc -out decrypted.txt -pbkdf2
    解释：
    • -d: 指定进行解密操作。
    • 其他参数与加密时对应。
    • 执行后会提示您输入解密密码。

• 使用非对称加密 (例如 RSA): 主要用于加密对称密钥或小块数据。使用公钥加密，私钥解密。

  • 加密 (使用公钥):
    bash
openssl pkeyutl -encrypt -in plaintext_small.txt -pubin -inkey public.key -out encrypted_asym.ssl
    解释：
    • pkeyutl: 通用密钥工具，可以执行加密、解密、签名、验证等操作。
    • -encrypt: 指定加密操作。
    • -in plaintext_small.txt: 输入文件（注意 RSA 不适合加密大文件，通常用于加密对称密钥）。
    • -pubin: 指定输入的密钥是公钥。
    • -inkey public.key: 指定输入的公钥文件。
    • -out encrypted_asym.ssl: 输出加密后的文件。
  • 解密 (使用私钥):
    bash
openssl pkeyutl -decrypt -in encrypted_asym.ssl -inkey private.key -out decrypted_asym.txt
    解释：
    • -decrypt: 指定解密操作。
    • -in encrypted_asym.ssl: 输入加密文件。
    • -inkey private.key: 指定输入的私钥文件。
    • -out decrypted_asym.txt: 输出解密后的文件。

5.7 计算文件哈希值 (Hashing Files)

OpenSSL 可以计算文件的哈希值（或摘要），用于验证文件完整性。

• 基本用法:
  bash
openssl dgst -sha256 filename.txt
  解释：
  • dgst: 指定计算摘要 (digest) 操作。
  • -sha256: 指定使用 SHA-256 算法。您也可以使用 -md5, -sha1, -sha512 等。
  • filename.txt: 指定要计算哈希值的文件。
    输出会是文件的哈希值，例如：SHA256(filename.txt)= 1234567890abcdef...

5.8 测试 SSL/TLS 连接 (Testing SSL/TLS Connections)

s_client 命令是一个非常有用的工具，可以模拟客户端发起 SSL/TLS 连接，用于测试服务器的 SSL/TLS 配置、查看服务器证书链等。

• 连接到网站并查看证书:
  bash
openssl s_client -connect google.com:443
  解释：
  • s_client: 模拟 SSL/TLS 客户端。
  • -connect google.com:443: 连接到 google.com 的 443 端口 (HTTPS 默认端口)。
    执行此命令后，OpenSSL 会尝试建立 TLS 连接，并显示连接协商的详细信息、服务器证书链、证书信息等。连接建立后，您可以手动输入 HTTP 请求头（例如 GET / HTTP/1.1 后跟两次回车），然后输入 QUIT 后回车断开连接。

6. 故障排除 (Troubleshooting)

在 Windows 环境下使用 OpenSSL 可能会遇到一些问题：

• openssl 不是内部或外部命令: 最常见的问题，通常是因为 OpenSSL 的 bin 目录没有正确添加到系统的 PATH 环境变量中。请回到第 4 节检查并重新配置 PATH，然后打开新的终端窗口。
• 缺失 DLL 文件 (例如 libcrypto-x64-1_1.dll 或 vcruntime140.dll): 这通常意味着您的系统缺少 OpenSSL 依赖的 Visual C++ Redistributable 安装包。请根据您下载的 OpenSSL 版本，访问 Microsoft 官网下载并安装对应的 VC++ Redistributable。
• 文件路径问题: 在 Windows 命令提示符中，文件路径通常使用反斜杠 \，OpenSSL 通常也能正确处理。但如果路径中包含空格，需要用双引号 " " 将整个路径括起来。例如：openssl x509 -in "C:\My Documents\Certificates\server.crt" -text -noout。在 PowerShell 中，路径中包含空格可能需要特殊处理，但通常双引号也适用。
• 权限问题: 如果您尝试在系统目录或受保护的目录中生成或修改文件，可能会遇到权限错误。尝试以管理员身份运行命令提示符或 PowerShell。
• 私钥密码问题: 如果您的私钥是加密的，每次使用时都会提示输入密码。如果您想生成一个不加密的私钥（用于测试或其他非敏感场景），可以在生成时使用 -nodes 选项。在转换格式时，可以使用 -passin 和 -passout 选项通过命令行指定密码，但这样做不安全，应避免在脚本中硬编码密码。

7. 总结与进一步学习

本指南介绍了在 Windows 环境下获取、安装和配置 OpenSSL，并详细讲解了生成密钥、CSR、自签名证书，查看证书信息，进行格式转换，以及基础的加密解密和哈希计算等常用命令。

OpenSSL 是一个功能极其丰富的工具集，这里介绍的只是冰山一角。要深入学习 OpenSSL，您可以：

• 查阅 OpenSSL 的官方文档：这是最权威和全面的资源，尽管有时对于新手来说可能比较晦涩。
• 阅读其他更专业的教程和文章，它们通常会针对特定的 OpenSSL 功能进行更深入的讲解。
• 在实践中多尝试不同的命令和选项。

掌握 OpenSSL 在 Windows 环境下的使用，将大大提升您在证书管理、网络安全测试、数据加密等方面的能力。祝您学习顺利！

---