openssl 安装步骤详解 – wiki基地

作者： /

OpenSSL 安装步骤详解

OpenSSL 是一个强大的、商业级的、功能齐全的通用密码库，同时也是一个命令行工具，用于生成密钥、创建CSR、颁发证书、实现SSL/TLS协议等。无论您是进行Web开发、系统管理还是网络安全工作，OpenSSL 几乎都是不可或缺的工具。

本文将详细介绍 OpenSSL 在不同操作系统上的安装方法，包括使用系统自带的包管理器进行快速安装，以及从源代码编译安装以获取最新版本或进行定制化配置。

1. OpenSSL 简介与安装需求

OpenSSL 项目提供了 SSL/TLS 协议的开源实现。它包含三个主要部分：
1. libcrypto： 一个通用的密码库，包含了各种加密算法（如 AES, DES, RSA, ECDSA 等）、哈希函数（如 SHA-256, MD5 等）以及其他实用功能。
2. libssl： 实现了 SSL/TLS 协议，构建于 libcrypto 之上。
3. openssl 可执行程序： 命令行工具，允许用户执行库中的各种功能，如生成密钥、证书签名请求(CSR)、测试 SSL/TLS 连接等。

在大多数现代操作系统中，OpenSSL 已经预装或可以通过标准的包管理器轻松安装。然而，在某些情况下，您可能需要从源代码编译安装：

  • 需要特定版本： 系统自带的版本可能不是您项目或应用所需的版本。
  • 需要最新版本： 包管理器中的版本可能滞后于官方最新发布版本，而新版本通常包含重要的安全更新和新特性。
  • 定制化需求： 您可能需要启用或禁用特定的算法、特性或模块。
  • 在没有包管理器的系统上安装： 在某些嵌入式系统或其他非标准环境中，可能需要手动编译安装。

接下来，我们将分别介绍使用包管理器和从源代码编译这两种主要安装方式。

2. 使用包管理器安装 (推荐多数用户)

对于大多数用户和场景，使用操作系统或发行版自带的包管理器是安装 OpenSSL 最简单、最快捷且最推荐的方式。这种方法的好处是：
* 安装过程自动化，依赖关系自动处理。
* 便于管理和升级，可以通过包管理器直接获取安全更新。
* 与系统环境集成良好。

以下是在几种常见操作系统上使用包管理器安装 OpenSSL 的方法：

2.1 在基于 Debian/Ubuntu 的系统上

使用 apt 包管理器：

  1. 更新软件包列表：
    bash
    sudo apt update
    这条命令会从配置的软件源下载最新的软件包信息。

  2. 安装 OpenSSL 及其开发库：
    bash
    sudo apt install openssl libssl-dev

    • openssl：安装 OpenSSL 命令行工具本身。
    • libssl-dev：安装开发所需的头文件和静态/共享库链接文件。如果您只是想使用命令行工具，可能只需要安装 openssl。如果您是开发者，需要编译依赖 OpenSSL 的软件，则需要 libssl-dev。

  3. 验证安装：
    安装完成后，可以通过以下命令检查安装的 OpenSSL 版本：
    bash
    openssl version -a
    -a 选项会显示详细的版本信息、构建配置等。

2.2 在基于 RHEL/CentOS/Fedora 的系统上

使用 yum (较旧版本) 或 dnf (较新版本，Fedora、CentOS 8+、RHEL 8+) 包管理器：

  1. 使用 dnf (推荐在较新系统上)：
    bash
    sudo dnf install openssl openssl-devel

    • openssl：安装 OpenSSL 命令行工具。
    • openssl-devel：安装开发库和头文件。

  2. 使用 yum (在较旧系统上)：
    bash
    sudo yum install openssl openssl-devel
    功能与 dnf 类似。

  3. 验证安装：
    同样使用 openssl version -a 命令验证：
    bash
    openssl version -a

2.3 在 macOS 上

macOS 系统通常自带一个 OpenSSL 版本，但它可能比较旧。推荐使用 Homebrew 包管理器安装最新版本。

  1. 安装 Homebrew (如果尚未安装)：
    访问 Homebrew 官网 (https://brew.sh/) 获取安装命令。通常是一条 ruby 脚本命令。

  2. 安装 OpenSSL：
    bash
    brew install openssl
    Homebrew 会下载编译安装最新版本的 OpenSSL。

  3. 配置环境变量 (重要)：
    Homebrew 安装的软件默认在 /usr/local/Cellar 或 /opt/homebrew/Cellar (Apple Silicon) 下，其可执行文件和库文件路径需要添加到系统的 PATH 和库搜索路径中，以便系统或其他程序能够找到新安装的 OpenSSL。Homebrew 在安装完成后通常会给出提示，类似：
    “`
    For compilers to find openSSL, you may need to set:
    export LDFLAGS=”-L/usr/local/opt/openssl/lib”
    export CPPFLAGS=”-I/usr/local/opt/openssl/include”
    For pkg-config to find openSSL you may need to set:
    export PKG_CONFIG_PATH=”/usr/local/opt/openssl/lib/pkgconfig”

    If you need to have openssl first in your PATH:
    export PATH=”/usr/local/opt/openssl/bin:$PATH”
    ``
    您需要将这些行添加到您的 shell 配置文件中（如    ~/.bash_profile,~/.zshrc等），并重新加载配置（例如执行source ~/.zshrc` 或重启终端）。将 OpenSSL 的 bin 目录添加到 PATH 的前面可以确保您使用的是 Homebrew 安装的版本而不是系统自带的版本。

  4. 验证安装：
    bash
    openssl version -a
    确认显示的版本是 Homebrew 安装的版本（路径中应包含 Homebrew 的安装路径）。

2.4 在 Windows 上

Windows 上没有标准的包管理器（尽管 Chocolatey 和 Winget 越来越流行）。安装 OpenSSL 的常见方法有：

  • 下载预编译的二进制文件： 一些第三方机构（如 Shining Light Productions）提供预编译的 Windows 版本 OpenSSL。这种方法最简单，但要确保下载来源的可靠性。请访问 OpenSSL 官网的 “Related Projects” 或搜索可信的 Windows OpenSSL 二进制分发。

  • 使用包管理器： 如果您使用 Chocolatey (choco) 或 Winget (winget)，可以尝试搜索并安装：
    “`bash
    # 使用 Chocolatey
    choco install openssl

    使用 Winget

    winget install OpenSSL.OpenSSL
    “`
    * 从源码编译： 这是最复杂的方式，需要安装 Visual Studio 或 MinGW/Cygwin 等构建环境。通常在 Windows 上进行源码编译 OpenSSL 的场景较少，除非有特殊需求。

下载预编译版本通常是最简单的方式。下载后，将其解压到您选择的目录，并将该目录下的 bin 目录添加到系统的 PATH 环境变量中，以便在命令行中直接使用 openssl 命令。

3. 从源代码编译安装 (适用于特定需求和高级用户)

从源代码编译安装 OpenSSL 提供了最大的灵活性，但过程相对复杂，需要一定的系统管理和编译知识。

3.1 前提条件

在开始编译之前，您需要确保系统安装了必要的构建工具和依赖库：

  1. C/C++ 编译器和构建工具链：

    • Linux： 安装 build-essential (Debian/Ubuntu) 或 Development Tools group (RHEL/CentOS/Fedora)，包含 gcc, g++, make 等。
      “`bash
      # Debian/Ubuntu
      sudo apt update
      sudo apt install build-essential checkinstall zlib1g-dev perl

      RHEL/CentOS/Fedora

      sudo dnf groupinstall “Development Tools”
      sudo dnf install zlib-devel perl
      * **macOS：** 安装 Xcode 命令行工具。bash
      xcode-select –install
      “`
      * Windows： 需要安装 Visual Studio 或 MinGW/Cygwin。这部分过程较为复杂且依赖于具体的构建环境，超出了本文的通用范畴，我们主要聚焦于类 Unix 系统（Linux/macOS）。

  2. Perl 解释器： OpenSSL 的配置脚本 (Configure) 是用 Perl 写的，因此需要安装 Perl。大多数类 Unix 系统都预装了 Perl，但如果没有，需要手动安装（如 sudo apt install perl 或 sudo dnf install perl）。

  3. zlib 开发库 (可选但推荐)： 用于支持压缩。

    • Linux： zlib1g-dev (Debian/Ubuntu) 或 zlib-devel (RHEL/CentOS/Fedora)。
    • macOS： 通常已包含或通过 Homebrew 安装其他软件时已安装。

  4. 足够的磁盘空间和编译时间。

3.2 下载 OpenSSL 源代码

  1. 访问 OpenSSL 官网： 前往 https://www.openssl.org/Source/ 下载页面。
  2. 选择版本： 选择您需要的版本。通常推荐下载最新的稳定版本。文件的格式通常是 .tar.gz 或 .tar.xz。
  3. 下载源代码压缩包和对应的校验文件： 例如，下载 openssl-3.1.4.tar.gz 和 openssl-3.1.4.tar.gz.sha256。

3.3 验证源代码完整性和真实性 (重要!)

为了确保下载的源代码没有被篡改，务必验证其哈希校验值：

  1. 打开终端，进入下载文件所在的目录。
  2. 计算下载文件的哈希值：
    bash
    # 如果下载的是 .sha256 文件
    sha256sum openssl-3.1.4.tar.gz
    # 或者在 macOS 上使用
    shasum -a 256 openssl-3.1.4.tar.gz
  3. 与官方提供的哈希值进行比对： 打开下载的 .sha256 文件，里面有一行包含文件名和哈希值。将您计算出的哈希值与文件中的值进行精确比对。如果两者完全一致，则说明文件是完整的且未被篡改。如果哈希值不匹配，请勿使用该文件！

3.4 解压源代码

使用 tar 命令解压下载的压缩包：

“`bash
tar -xzf openssl-3.1.4.tar.gz

如果是 .tar.xz 文件，可能需要不同的选项，如 tar -xJf openssl-X.Y.Z.tar.xz

``
解压后会创建一个名为openssl-3.1.4` (或其他版本号) 的目录。

3.5 进入源代码目录

bash
cd openssl-3.1.4

3.6 配置编译选项

这是源代码编译中最关键的一步。OpenSSL 提供了强大的配置脚本来适应不同的系统和需求。主要使用 ./Configure 命令（注意是大写 C）。

基本配置：

bash
./config
或者
bash
./Configure
简单的 ./config 或 ./Configure 会尝试检测系统并使用默认设置进行配置。通常这会将 OpenSSL 安装到 /usr/local/ssl 目录下。

定制化配置 (推荐安装到非系统默认路径)：

为了避免覆盖系统自带的 OpenSSL 版本，推荐安装到 /usr/local 或 /opt 下的子目录。例如，安装到 /usr/local/openssl：

bash
./Configure --prefix=/usr/local/openssl --openssldir=/usr/local/openssl/ssl shared zlib

重要配置选项说明：

  • --prefix=/path/to/install: 指定 OpenSSL 的安装根目录。所有的文件（包括 bin, lib, include, ssl 等子目录）都将安装到这个目录下。强烈建议指定一个非系统默认路径，例如 /usr/local/openssl 或 /opt/openssl-X.Y.Z，以避免与系统自带的 OpenSSL 冲突。
  • --openssldir=/path/to/config: 指定 OpenSSL 配置文件 (openssl.cnf) 和证书目录的存放位置。通常将其设置在 --prefix 目录下，例如 ${prefix}/ssl。
  • shared: 构建共享库 (.so 或 .dylib 文件)。如果您的其他程序需要链接 OpenSSL 共享库，需要此选项。这是大多数情况下的需求。
  • zlib: 启用 zlib 压缩支持（如果系统中安装了 zlib 开发库）。
  • <system>: 指定目标操作系统和编译器。例如 linux-x86_64, darwin64-x86_64-cc, mingw64 等。通常 ./Configure 会自动检测。
  • no-<feature>: 禁用特定功能或算法，例如 no-ssl2, no-ssl3, no-comp (禁用压缩)。
  • --help: 查看所有可用的配置选项、目标系统列表以及禁用/启用功能的列表。在配置前运行 ./Configure --help 是个好习惯。

选择好配置选项后，执行 ./Configure 命令。它会检查您的系统环境、生成 Makefile 文件等。

3.7 编译源代码

配置成功后，执行 make 命令开始编译：

bash
make
这个过程可能需要一些时间，具体取决于您的系统性能。

3.8 运行测试 (可选但强烈推荐)

编译完成后，您可以运行内置的测试套件来验证编译是否成功以及功能是否正常：

“`bash
make test

或者

make check
“`
如果所有测试都通过，说明编译是成功的。如果出现失败，需要检查之前的配置和编译过程，或者查看测试日志找出问题。

3.9 安装 OpenSSL

测试通过后，执行 make install 命令将编译好的 OpenSSL 安装到 --prefix 指定的目录：

bash
sudo make install
注意： 如果 --prefix 指定的目录是系统目录（如 /usr, /usr/local），则需要使用 sudo 命令以root权限运行。再次强调，强烈建议安装到如 /usr/local/openssl 这样的非系统默认路径，以避免冲突。

3.10 配置环境变量和库搜索路径

如果您将 OpenSSL 安装到了非系统默认路径（例如 /usr/local/openssl），系统默认情况下是找不到它的。您需要进行额外的配置：

  1. 将 OpenSSL 的 bin 目录添加到系统的 PATH 环境变量：
    这样您就可以在任何地方直接运行新安装的 openssl 命令。
    例如，编辑您的 shell 配置文件（如 ~/.bashrc, ~/.zshrc, /etc/profile 等），添加类似下面这行：
    bash
    export PATH="/usr/local/openssl/bin:$PATH"
    然后执行 source ~/.bashrc (或其他文件) 或重新登录/打开终端使配置生效。

  2. 配置动态库搜索路径：
    如果您的其他程序需要链接新安装的 OpenSSL 共享库，需要让系统知道去哪里找这些库文件 (.so 或 .dylib)。

    • Linux：
      a. 创建一个新的配置文件（例如 /etc/ld.so.conf.d/openssl-自定义版本.conf）：
      bash
      sudo echo "/usr/local/openssl/lib" | sudo tee /etc/ld.so.conf.d/openssl-自定义版本.conf
      b. 更新动态链接库缓存：
      bash
      sudo ldconfig
      或者，您也可以通过设置 LD_LIBRARY_PATH 环境变量来临时指定库路径，但这通常不推荐用于全局配置：
      bash
      export LD_LIBRARY_PATH="/usr/local/openssl/lib:$LD_LIBRARY_PATH"
    • macOS：
      设置 DYLD_LIBRARY_PATH 环境变量（类似 Linux 的 LD_LIBRARY_PATH）：
      bash
      export DYLD_LIBRARY_PATH="/usr/local/openssl/lib:$DYLD_LIBRARY_PATH"
      并将此添加到 shell 配置文件中。

完成上述步骤后，关闭并重新打开终端，或者执行 source 命令加载配置文件。

3.11 验证新安装的 OpenSSL

在新终端中，执行以下命令：

bash
openssl version -a
检查输出是否显示了您刚刚编译安装的版本，并且 --prefix 和 --openssldir 的路径与您配置的相符。如果显示的还是系统旧版本，说明 PATH 环境变量没有配置正确，或者新路径没有放在 PATH 的前面。

4. 安装后的注意事项

  • 版本管理： 如果系统中有多个 OpenSSL 版本（系统自带和您编译安装的），请确保您使用的程序链接的是您期望的版本。这通常通过环境变量 (PATH, LD_LIBRARY_PATH/DYLD_LIBRARY_PATH) 或编译依赖它们的软件时指定库路径来控制。
  • 安全更新： 通过包管理器安装的 OpenSSL 会随系统更新获取安全补丁。但是，从源代码编译安装的版本不会自动更新！ 当 OpenSSL 发布安全公告时，您需要手动下载新版本的源代码，重新编译并安装来获取安全更新。这是从源代码安装的主要维护成本。
  • 配置文件： OpenSSL 的主配置文件是 openssl.cnf，默认安装在 --openssldir 指定的目录下。您可以根据需要修改此文件。
  • 卸载： 如果需要卸载从源代码安装的版本，通常需要在源代码目录下执行 sudo make uninstall。但这要求 Makefile 存在且支持 uninstall 目标，并且是在您安装时所在的源代码目录执行。如果没有 uninstall 目标或目录已丢失，您可能需要手动删除安装目录下的文件，但这要非常小心，避免误删系统文件。因此，谨慎选择安装路径非常重要。

5. 故障排除

  • openssl: command not found： 检查 PATH 环境变量是否包含 OpenSSL bin 目录，以及配置是否已生效（新开终端或 source）。
  • 程序运行时提示找不到 OpenSSL 库： 检查库搜索路径 (LD_LIBRARY_PATH, DYLD_LIBRARY_PATH 或 ldconfig) 是否配置正确，或者程序编译时是否正确链接了新安装的库。
  • ./Configure 失败： 查看输出错误信息，通常是缺少依赖项（如 perl, zlib-devel, 编译器等），根据提示安装所需依赖。
  • make 失败： 查看编译输出的错误信息，通常是代码错误或依赖问题。如果是官方发布版本，很可能是环境问题。
  • make test 失败： 可能是编译问题，也可能是环境问题。检查编译步骤是否正确，或者搜索具体的错误信息。
  • 权限问题： 在安装到系统目录时，确保使用了 sudo。在非系统目录安装时，确保当前用户对 --prefix 目录有写入权限。

结语

通过本文，您应该对 OpenSSL 的安装有了全面的了解。对于大多数用户而言，使用包管理器是最方便和安全的选项。而对于需要特定版本、最新特性或进行定制的用户，从源代码编译提供了最大的灵活性。无论选择哪种方法，确保您使用的 OpenSSL 版本是安全的并且环境配置正确是至关重要的。定期关注 OpenSSL 的安全公告，并及时更新您的安装版本，以保障系统的安全性。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部