> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/run-the-platform/zh/xi-tong-guan-li/certificates.md).

# 服务器证书

如何在 VergeOS 中管理 TLS/SSL 证书，包括申请 Let's Encrypt 证书、安装手动证书、配置监听器以及注册自定义根 CA。

VergeOS Web 服务器要求使用 HTTPS，并且必须至少配置一个 TLS 证书。默认情况下，系统安装时会带有一个自签名证书。VergeOS 还内置了功能，可请求并应用来自 **Let's Encrypt**的免费 TLS 证书。您也可以手动从其他任何证书颁发机构（CA）安装证书。

{% hint style="success" %}
**VergeOS v26 新增**

VergeOS 现在支持每个系统配置多个服务器证书，从而提供更大的灵活性、安全性和弹性
{% endhint %}

### 默认自签名证书

安装后，VergeOS 会自动生成一个自签名证书：

* 分配给 **Verge-API** 界面（用于本地控制台访问）
* 此证书应保留用于本地访问，以及恢复或回退场景。

{% hint style="info" %}
**自签名证书会自动续订**

VergeOS 会在默认自签名证书到期前自动续订它。即使所列到期日临近，也无需管理员操作。 **续订** 证书表单上的标志仅适用于 Let's Encrypt（ACME）证书。

没有受公开信任 CA 的站点——例如隔离网络环境——可以长期依赖默认自签名证书。
{% endhint %}

## 请求并应用 Let's Encrypt（或其他基于 ACME 的）证书

以下步骤将指导您直接从 VergeOS 界面生成并应用基于 ACME 的证书（默认使用 Let's Encrypt）。

{% hint style="success" %}
***Let's Encrypt***** 是一个全球受信任的开放证书颁发机构，提供免费的 TLS 证书来保护网站；其根证书几乎被所有现代浏览器和操作系统信任。**
{% endhint %}

### 步骤：

{% hint style="info" %}
**需要公共访问**

来自 *Let's Encrypt*以及其他基于 ACME 的提供商的证书，需要一个可公开访问的域名。
{% endhint %}

1. 导航到 **系统** > **证书**.
2. 点击 **新建** 在左侧菜单中。
3. 在 **证书类型** 下拉菜单中，选择 **Let's Encrypt**.
4. 输入 **域** 名（例如， `verge.abcco.com`).
5. 选择一个 **联系用户** 下拉项。证书将使用与该用户关联的电子邮件地址进行注册。要验证用户的电子邮件，请转到 **系统** > **用户**，然后双击该用户条目。
6. 查看 [Let's Encrypt 服务条款](http://letsencrypt.org/repository) 并勾选 **同意服务条款** 以继续。使用非 Let's Encrypt 的 ACME 服务器时，您必须查看并接受该提供商的服务条款。

{% hint style="success" %}
**强制续订**

启用后，证书请求会立即发送。若禁用，则会在下一次自动续订周期中处理（通常每天一次）
{% endhint %}

7. **使用其他基于 ACME 的提供商** （除 Let's Encrypt 之外的提供商）
   * 选择 **使用自定义 ACME 服务器** 选项。
   * 提供 **ACME 服务器** 完整目录 URL（例如， `https://ca.smallstep.com/acme/acme/directory`)
   * 请参阅所给提供商的文档以了解其他 ACME 服务器设置的说明，例如 *外部账户绑定的密钥标识符*, *外部账户绑定的 HMAC 密钥*, *密钥类型*
8. 点击 **提交** 以请求并应用证书。

## 从其他 CA 安装现有证书（手动输入）

使用此方法安装由 Let's Encrypt/ACME 兼容提供商之外的 CA 签发的证书。

### 步骤：

1. 转到 **系统** > **证书**.
2. 点击 **新建** 在左侧菜单中。
3. 在 **证书类型** 下拉菜单中，选择 **手动**.
4. （可选）输入 **描述** （例如，域名、用途）。
5. 粘贴 **公钥** 和 **私钥** 文本到各自的字段中。
6. 如果证书包含信任链（例如，中间 CA 证书），请粘贴完整链（例如来自 `chain.pem` 或 `fullchain.pem`的内容）到 **链密钥** 字段中。
7. 点击 **提交** 以应用证书。

***

## 监听器

**适用于 VergeOS v26.0 及更高版本**

监听器定义了 VergeOS 用于接受传入连接的端口和密码套件设置。

### 默认监听器

VergeOS 包含两个默认监听器：

* `default_443`：监听 TCP 端口 443，并使用默认 TLS 密码套件
* `default_80`：监听 TCP 端口 80，并重定向到 HTTPS（443）

{% hint style="warning" %}
**修改默认监听器时请谨慎**

* 仅在需要满足组织要求时才更改默认监听器条目
* **更改端口：** 确保外部网络防火墙规则允许访问新端口
* **修改密码套件设置：** 查看下面的警告
  {% endhint %}

### 添加自定义监听器

1. 转到 **系统** > **证书**.
2. 点击 **监听器** 在左侧菜单中。
3. 点击 **新建**.
4. 输入 **名称** 作为监听器。
5. （可选）添加一个 **描述**.
6. 输入所需的 **端口** 号。
7. （可选）定义自定义 **密码套件** 字符串。参见 [OpenSSL 密码套件文档](https://www.openssl.org/docs/man1.1.1/man1/ciphers.html).

{% hint style="warning" %}
**密码套件设置 - 需要高级配置**

* 默认密码套件设置遵循当前 OpenSSL 对强安全性和广泛兼容性的建议。
* 您可以覆盖这些设置以强制更严格的策略，但这样做需要对 TLS 密码套件行为有深入了解。
* 配置不当的密码套件可能会削弱安全性——例如，启用过时算法或禁用前向保密。始终根据最佳实践验证更改，并在部署前跨客户端环境进行测试。
  {% endhint %}

***

## 注册自定义根 CA

**适用于 VergeOS v26.0 及更高版本**

此功能允许您向 VergeOS 系统的信任库添加受信任的根证书颁发机构（CA）。这对于内部企业 CA、开发环境或与使用私有证书的系统同步很有用。

**常见用例**：为了在不允许不安全证书的情况下启用安全站点同步，请将您的内部 CA 注册为根 CA。

### 添加受信任的根 CA

1. 转到 **系统** > **证书**.
2. 点击 **根 CA** 在左侧菜单中。
3. 点击 **新建**.
4. 将根证书文本粘贴到 **证书** 字段中。
5. 点击 **提交** 中以保存。

***


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/run-the-platform/zh/xi-tong-guan-li/certificates.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.