创建CA根证书自签IP证书并设置Windows远程桌面自定义证书

创建根CA证书

openssl req -newkey rsa:2048 -nodes -keyout ca.key -out ca.csr
openssl x509 -req -days 36500 -in ca.csr -signkey ca.key -out ca.crt

使用该命令后会生成三个文件 ca.crt ca.key ca.csr 其中crt证书文件以及key私钥请妥善保存，以后有需要使用该CA自签证书的时候会使用到

使用根证书创建客户端证书

openssl genrsa -out 192.168.1.1.key 2048
openssl req -new -key 192.168.1.1.key -out 192.168.1.1.csr

字段    字段含义                    示例
/C=     Country 国家                CN
/ST=    State or Province 省        beijing
/L=     Location or City 城市       beijing
/O=     Organization 组织或企业     stars-mine
/OU=    Organization Unit 部门      stars-mine
/CN=    Common Name 是证书拥有者名称  172.xx.xx.xx

#下面这两个参数，大家直接回车跳过就行
A challenge password []:
An optional company name []:

基于IP的证书需要生成扩展配置文件

echo "subjectAltName = IP:192.168.1.1" > 192.168.1.1.ext

使用CA签发证书

openssl x509 -req -in 192.168.1.1.csr -CA ca.crt -CAkey ca.key -extfile ovpn.ext -out 192.168.1.1.crt -days 3650

您可以使用 openssl x509 -in 192.168.1.1.crt -text 命令查看证书详细信息，确保其中包含正确的IP地址。
您可以使用 openssl verify -CAfile ca.crt 192.168.1.1.crt 命令验证证书是否由您的CA签发。

生成pfx格式证书

openssl pkcs12 -export -out 192.168.1.1.pfx -inkey 192.168.1.1.key -in 192.168.1.1.crt

必须是 pfx 格式，因为他同时包含公钥和私钥

双击该证书存储位置选择 本地计算机 存储位置请选择 个人

此时可以右键大概pfx文件或者直接打开之前创建的 192.168.1.1.crt 证书，在详细信息中找到 指纹 选项复制该选项的数值（可以选择后ctrl+c复制）

使用WIN+R快捷键输入CMD后打开，使用如下命令（替换THUMBPRINT为刚才记录的指纹值）：

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="THUMBPRINT"

至此证书替换完成