【导读】

OpenWRT路由器启用HTTPS管理界面却反复报错NET::ERR_CERT_INVALID？根源往往不在配置，而在SSL证书未针对嵌入式Linux环境做轻量化适配。

OpenWRT对SSL证书的关键限制

OpenWRT基于精简型BusyBox Linux系统，其TLS栈（uhttpd/mbedtls）存在三项硬约束：

• - 不支持ECDSA密钥算法以外的椭圆曲线参数变体；
• - 拒绝加载含密码保护的私钥文件（即PKCS#8 Encrypted Private Key）；
• - 对OCSP装订响应大小超4KB时触发截断，引发浏览器警告。

多数商用SSL证书默认启用了密钥加密或非标准扩展，直接导入后LuCI后台无法启动HTTPS服务。

新网SSL证书为何更适配OpenWRT

新网面向物联网场景优化了证书签发策略，已实现三重匹配：

• - 默认交付RSA 2048位+SHA256签名组合，完全兼容mbedTLS v2.x/v3.x；
• - 私钥文件始终为PEM明文格式，无需额外解密命令；
• - 可选关闭CRL分发点与OCSP URI字段，降低HTTP头部开销。

实测显示，在Linksys WRT3200ACM（ARM Cortex-A9）、GL.iNet Beryl（MT7621A）等主流平台完成安装平均耗时＜90秒。

四步完成OpenWRT HTTPS加固

以最新版本OpenWRT 23.05为例，请按顺序执行：

1. 登录SSH终端，进入/etc/uhttpd/目录；
2. 上传新网颁发的fullchain.pem与privkey.pem至该路径；
3. 修改/etc/config/uhttpd中cert与key指向对应文件绝对路径；
4. 运行service uhttpd restart并验证curl -I https://192.168.1.1返回200 OK。

延伸问答

• Q：能否复用已有域名通配符证书用于OpenWRT子域管理？
• A：可以。只要主证书绑定域名覆盖*.lan.local类本地解析名，且DNSMASQ正确转发即可生效。
• Q：是否需要定期手动更新到期证书？
• A：推荐开通新网SSL证书自动续期API接口，配合crontab脚本实现零干预轮换。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。