在Linux系统中使用.pfx文件（通常包含私钥、服务器证书及中间证书链）时，需先将其转换为Linux工具（如Nginx、Apache、OpenSSL等）兼容的PEM格式，再根据场景配置使用,以下是详细步骤及注意事项。
.pfx文件简介与转换必要性
.pfx（Personal Information Exchange Syntax）是一种用于存储证书、私钥及证书链的二进制格式，常见于Windows系统（如IIS、Exchange），Linux下的多数服务（如Nginx、Apache）默认使用PEM（Privacy-Enhanced Mail）格式的文本证书，需通过OpenSSL工具将.pfx转换为PEM格式后才能使用。
使用OpenSSL转换.pfx为PEM格式
Linux系统通常预装OpenSSL，若未安装可通过包管理器安装（如apt install openssl或yum install openssl）,转换步骤如下：
提取私钥与证书
执行以下命令，按提示输入.pfx文件的密码（创建.pfx时设置的密码）：
openssl pkcs12 -in yourfile.pfx -nocerts -out private_key.pem
-nocerts：仅提取私钥，不包含证书；-out private_key.pem：输出的私钥文件（默认为加密格式，若需去除密码可追加-nodes参数）。
继续执行以下命令提取证书（包含服务器证书及中间证书链）：
openssl pkcs12 -in yourfile.pfx -clcerts -nokeys -out certificate.pem
-clcerts：仅提取客户端证书（服务器证书）；-nokeys：不提取私钥。
若需同时提取完整证书链（包括中间证书和根证书），使用：
openssl pkcs12 -in yourfile.pfx -cacerts -out chain.pem
-cacerts：提取CA证书（中间证书及根证书）。
合并证书与私钥（可选）
部分服务（如Nginx）需将私钥与证书合并为一个PEM文件，便于配置：
cat private_key.pem certificate.pem chain.pem > fullchain.pem
合并后的文件包含私钥、服务器证书及完整证书链,可直接用于服务配置。
转换后PEM文件的使用场景
Nginx配置
编辑Nginx配置文件（如/etc/nginx/sites-available/default），在server块中添加以下内容：
server {
listen 443 ssl;
server_name yourdomain.com;
ssl_certificate /path/to/fullchain.pem; # 合并后的证书文件
ssl_certificate_key /path/to/private_key.pem; # 私钥文件
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
}
保存后执行nginx -t测试配置，无误后nginx -s reload重载服务。
Apache配置
编辑Apache配置文件（如/etc/apache2/sites-available/default-ssl.conf），添加：
SSLCertificateFile /path/to/certificate.pem # 服务器证书 SSLCertificateKeyFile /path/to/private_key.pem # 私钥 SSLCertificateChainFile /path/to/chain.pem # 中间证书链（若未合并则需单独指定）
启用SSL模块并重启Apache：
a2enmod ssl systemctl restart apache2
客户端工具（如curl、wget）
若需通过命令行工具使用.pfx转换后的证书，可直接指定PEM文件：
curl --cert /path/to/fullchain.pem --key /path/to/private_key.pem https://example.com
注意事项
- 私钥权限：私钥文件权限需严格限制，仅允许所有者读写（
chmod 600 private_key.pem），避免泄露。 - 证书链顺序：合并证书链时，需确保服务器证书在前，中间证书次之，根证书在后（部分服务对顺序敏感）。
- 密码处理：若.pfx私钥设置了密码，服务启动时可能需交互式输入，可通过
openssl rsa -in private_key.pem -out private_key_nopass.pem去除密码（但会降低安全性）。
相关问答FAQs
Q1：转换.pfx时提示“bad password read for Private Key”，如何解决？
A：通常是由于.pfx密码错误或OpenSSL版本兼容性问题导致，首先确认.pfx密码无误；若密码正确，可尝试升级OpenSSL版本（如apt upgrade openssl），或使用-legacy参数（openssl pkcs12 -legacy -in yourfile.pfx ...）解决旧格式兼容性问题。
Q2：Nginx配置PEM证书后启动失败，报“SSL_CTX_use_PrivateKey_file() failed (SSL: error: 0B080074: RSA routines: RSA_check_key: invalid key)”，如何处理？
A：该错误通常由私钥格式不正确或私钥与证书不匹配导致，检查私钥文件是否为PEM格式（以-----BEGIN PRIVATE KEY-----开头），或尝试重新从.pfx提取私钥（确保输入正确密码），若问题依旧，可能是.pfx文件损坏，需重新生成.pfx证书。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/24251.html
