离线内网中Apache HTTPS信任的关键是将自签或私有CA根证书导入客户端信任库；需用OpenSSL生成root-ca.crt、server.crt/server.key，Apache配置SSLCertificateFile等指令启用HTTPS，再分别在Windows/macOS/Linux/移动设备导入root-ca.crt并设为受信任根证书。
在离线内网环境中，Apache 无法连接公网 CA（如 Let’s Encrypt），只能使用自签名证书或私有 CA 签发的证书。要让客户端（如浏览器、内部系统）信任该证书，关键不是部署到 Apache，而是把**根证书（Root CA）导入客户端的信任库**——Apache 本身只负责提供证书和私钥，不参与“信任判断”。
一、生成自签名根证书与服务器证书
用 OpenSSL 在内网机器上一次性生成可信链：
- 生成根密钥和自签名根证书（长期有效，例如10年）：
openssl genrsa -out root-ca.key 4096openssl req -x509 -new -nodes -key root-ca.key -sha256 -days 3650 -out root-ca.crt - 为 Apache 站点生成服务器密钥和证书签名请求（CSR）：
openssl genrsa -out server.key 2048openssl req -new -key server.key -out server.csr - 用根 CA 签发服务器证书（关键步骤，建立信任链）：
openssl x509 -req -in server.csr -CA root-ca.crt -CAkey root-ca.key -CAcreateserial -out server.crt -days 365 -sha256
此时你得到三件套：root-ca.crt（需分发给所有客户端）、server.crt、server.key。
二、Apache 配置启用 HTTPS
将 server.crt 和 server.key 放入安全路径（如 /etc/ssl/private/），修改 Apache 的 SSL 配置（如 ssl.conf 或虚拟主机配置）：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 启用模块：
a2enmod ssl（Debian/Ubuntu）或确认LoadModule ssl_module modules/mod_ssl.so已加载 - 指定证书路径：
SSLCertificateFile /etc/ssl/private/server.crtSSLCertificateKeyFile /etc/ssl/private/server.key - （可选但推荐）附带完整证书链（虽然自签无中间层，但显式声明可避免部分客户端告警）：
SSLCertificateChainFile /etc/ssl/private/root-ca.crt - 重启服务：
systemctl restart apache2或apachectl graceful
三、让内网客户端信任该证书
这才是“离线信任链导入”的核心。Apache 不需要做额外操作，信任由客户端决定：
-
Windows 客户端：双击
root-ca.crt→ “安装证书” → 选择“本地计算机” → 存储位置选“受信任的根证书颁发机构” → 完成 - macOS 客户端：双击证书 → 打开“钥匙串访问” → 拖入“系统”钥匙串 → 右键证书 → “显示简介” → 展开“信任” → “当使用此证书时”设为“始终信任”
-
Linux（Chrome/Firefox）：Firefox 自带证书管理器（设置 → 隐私与安全 → 查看证书 → 证书机构 → 导入）；Chrome 通常复用系统证书库，需将 root-ca.crt 加入系统级信任库（如 Debian 系统：
cp root-ca.crt /usr/local/share/ca-certificates/ && update-ca-certificates） -
Android/iOS 设备：通过邮件或网页下载
root-ca.crt→ 手动安装并启用为“根证书”（iOS 需在“设置→已下载描述文件”中信任）
四、验证是否生效
在已导入根证书的客户端访问 https://your-intranet-site：
- 地址栏应显示锁形图标，点击可查看证书路径，Issuer 应显示为你定义的根 CA 名称（如 “CN=MyInternalCA”）
- 浏览器不应再弹出“您的连接不是私密连接”等警告
- 用命令行验证：
curl -v https://your-intranet-site，观察是否提示* SSL certificate verify ok.
注意：若仍报错，请检查证书 Subject 中的 CN 或 SAN 是否匹配实际访问域名（如 intranet.local），且客户端时间准确（证书有效期依赖系统时钟）。
