opensslコマンドでSSL/TLS証明書を確認する方法｜有効期限・暗号スイート・接続テストも

この記事のポイント

・openssl s_client でリモートサーバーのSSL/TLS接続状態を確認できる
・openssl x509 -dates で証明書の有効期限を即座に表示できる
・暗号スイートやプロトコルバージョンの確認も openssl s_client 一本で対応
・自己署名証明書はSAN（Subject Alternative Names）を入れないとブラウザが警告を出す
・内部CAを立てると複数サーバーの証明書をまとめて管理できる

$ openssl version
OpenSSL 3.2.2 4 Jun 2024 (Library: OpenSSL 3.2.2 4 Jun 2024)

# RHEL / Rocky Linux / AlmaLinux
# dnf install openssl -y

# Ubuntu / Debian
# apt install openssl -y

$ echo | openssl s_client -connect www.linuxmaster.jp:443 -servername www.linuxmaster.jp 2>/dev/null \
  | openssl x509 -noout -dates
notBefore=Mar 11 00:00:00 2025 GMT
notAfter=Apr 10 23:59:59 2026 GMT

$ openssl x509 -in /etc/pki/tls/certs/server.crt -noout -dates
notBefore=Mar 11 00:00:00 2025 GMT
notAfter=Apr 10 23:59:59 2026 GMT

# 証明書の詳細情報（サブジェクト・発行者・SAN）も確認したい場合
$ openssl x509 -in /etc/pki/tls/certs/server.crt -noout -subject -issuer -ext subjectAltName
subject=CN = www.linuxmaster.jp
issuer=C = US, O = DigiCert Inc, CN = RapidSSL TLS RSA CA G1
X509v3 Subject Alternative Name:
    DNS:www.linuxmaster.jp, DNS:linuxmaster.jp

$ echo | openssl s_client -connect www.linuxmaster.jp:443 2>/dev/null | grep -E "Protocol|Cipher"
    Protocol  : TLSv1.3
    Cipher    : TLS_AES_256_GCM_SHA384

# TLS 1.2 のみ許可して接続テスト
$ echo | openssl s_client -connect www.example.com:443 -tls1_2 2>&1 | grep -E "Protocol|alert"

# TLS 1.1 が拒否されることを確認（セキュリティ強化チェック）
$ echo | openssl s_client -connect www.example.com:443 -tls1_1 2>&1 | tail -5

#!/bin/bash
# check-cert-expiry.sh - SSL証明書の有効期限を確認して30日前に警告する

HOST="www.linuxmaster.jp"
WARN_DAYS=30
NOTIFY_EMAIL="admin@example.com"

# 有効期限を取得（秒単位のUnixタイム）
EXPIRY=$(echo | openssl s_client -connect "${HOST}:443" -servername "${HOST}" 2>/dev/null \
  | openssl x509 -noout -enddate \
  | sed 's/notAfter=//')
EXPIRY_EPOCH=$(date -d "${EXPIRY}" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( (EXPIRY_EPOCH - NOW_EPOCH) / 86400 ))

if [ "${DAYS_LEFT}" -le "${WARN_DAYS}" ]; then
  echo "警告: ${HOST} の証明書は残り ${DAYS_LEFT} 日で失効します" \
    | mail -s "[SSL期限警告] ${HOST}" "${NOTIFY_EMAIL}"
fi

# 秘密鍵と自己署名証明書を同時に生成（有効期間365日）
$ openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt \
  -days 365 -nodes -subj "/CN=localhost"

# 生成ファイルを確認
$ ls -lh server.key server.crt
-rw------- 1 user user 1.7K Apr 13 10:00 server.key
-rw-r--r-- 1 user user 1.1K Apr 13 10:00 server.crt

# SANを含む設定ファイルを作成する
$ cat > san.conf << 'EOF'
[req]
default_bits       = 2048
prompt             = no
distinguished_name = dn
x509_extensions    = v3_req

[dn]
C  = JP
ST = Tokyo
O  = Example Corp
CN = 192.168.10.100

[v3_req]
subjectAltName = @alt_names

[alt_names]
IP.1  = 192.168.10.100
DNS.1 = myserver.local
DNS.2 = www.myserver.local
EOF

# SANを含む自己署名証明書を生成する
$ openssl req -x509 \
  -newkey rsa:2048 \
  -keyout server.key \
  -out server.crt \
  -days 365 \
  -nodes \
  -config san.conf

# SANが設定されているか確認する
$ openssl x509 -text -noout -in server.crt | grep -A2 "Subject Alternative Name"
            X509v3 Subject Alternative Name:
                IP Address:192.168.10.100, DNS:myserver.local, DNS:www.myserver.local

# CA用のディレクトリを作成する
$ mkdir -p /etc/ssl/myca/certs /etc/ssl/myca/private
$ chmod 700 /etc/ssl/myca/private

# CA用の秘密鍵を生成する（4096bit 推奨）
$ openssl genrsa -out /etc/ssl/myca/private/ca.key 4096
$ chmod 600 /etc/ssl/myca/private/ca.key

# CA自己署名証明書を生成する（有効期間10年）
$ openssl req -x509 \
  -new \
  -key /etc/ssl/myca/private/ca.key \
  -out /etc/ssl/myca/certs/ca.crt \
  -days 3650 \
  -subj "/C=JP/ST=Tokyo/O=Example Internal CA/CN=Example Root CA"

# CA証明書の確認
$ openssl x509 -noout -issuer -subject -dates -in /etc/ssl/myca/certs/ca.crt
issuer=C=JP, ST=Tokyo, O=Example Internal CA, CN=Example Root CA
subject=C=JP, ST=Tokyo, O=Example Internal CA, CN=Example Root CA
notBefore=Sep 27 01:15:00 2026 GMT
notAfter=Sep 25 01:15:00 2036 GMT

# サーバー用秘密鍵を生成する
$ openssl genrsa -out server.key 2048

# SAN設定ファイルを作成する
$ cat > server-ext.conf << 'EOF'
basicConstraints=CA:FALSE
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1 = webserver01.local
IP.1  = 192.168.10.100
EOF

# CSRを生成する
$ openssl req -new \
  -key server.key \
  -out server.csr \
  -subj "/C=JP/ST=Tokyo/O=Example Corp/CN=webserver01.local"

# CAの秘密鍵でCSRに署名してサーバー証明書を発行する
$ openssl x509 -req \
  -in server.csr \
  -CA /etc/ssl/myca/certs/ca.crt \
  -CAkey /etc/ssl/myca/private/ca.key \
  -CAcreateserial \
  -out server.crt \
  -days 365 \
  -extfile server-ext.conf

# 発行者（Issuer）がCAと一致しているか確認する
$ openssl x509 -noout -issuer -subject -dates -in server.crt
issuer=C=JP, ST=Tokyo, O=Example Internal CA, CN=Example Root CA
subject=C=JP, ST=Tokyo, O=Example Corp, CN=webserver01.local
notBefore=Sep 27 01:20:00 2026 GMT
notAfter=Sep 27 01:20:00 2027 GMT

# /etc/nginx/conf.d/ssl.conf（最小構成の例）
server {
    listen 443 ssl;
    server_name webserver01.local;

    ssl_certificate     /etc/nginx/ssl/server.crt;
    ssl_certificate_key /etc/nginx/ssl/server.key;

    # TLS 1.2以上のみ許可する
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        root   /usr/share/nginx/html;
        index  index.html;
    }
}

# HTTP → HTTPS リダイレクト（任意）
server {
    listen 80;
    server_name webserver01.local;
    return 301 https://$host$request_uri;
}

# 証明書と秘密鍵を配置する
$ mkdir -p /etc/nginx/ssl
$ cp server.crt server.key /etc/nginx/ssl/
$ chmod 600 /etc/nginx/ssl/server.key

# Nginx設定の文法チェック
$ nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

# Nginxを再読み込みする
$ systemctl reload nginx

# 1. 秘密鍵を生成
$ openssl genrsa -out server.key 2048

# 2. CSRを生成（認証局に提出するファイル）
$ openssl req -new -key server.key -out server.csr \
  -subj "/C=JP/ST=Tokyo/O=Example Inc./CN=www.example.com"

# 3. CSRの内容確認（提出前に必ず確認する）
$ openssl req -in server.csr -noout -text | head -10
Certificate Request:
    Data:
        Version: 1 (0x0)
        Subject: C=JP, ST=Tokyo, O=Example Inc., CN=www.example.com

$ echo | openssl s_client -connect localhost:8443 2>/dev/null | openssl x509 -noout -subject -dates
subject=CN = localhost
notBefore=Apr 13 00:00:00 2025 GMT
notAfter=Apr 13 00:00:00 2026 GMT

# SMTPのSTARTTLSを使う場合は -starttls オプションを指定する
$ openssl s_client -connect mail.example.com:587 -starttls smtp

# ポートが開いているか先に確認する
$ nc -zv mail.example.com 587

# CA証明書を指定して接続テストする（Verify return code: 0 (ok) が出れば成功）
$ openssl s_client -connect 192.168.10.100:443 \
  -CAfile /etc/ssl/myca/certs/ca.crt \
  -servername webserver01.local 2>/dev/null | grep "Verify return code"
Verify return code: 0 (ok)

# 秘密鍵の検証（RSA key ok と表示されれば正常）
$ openssl rsa -check -in server.key
RSA key ok

＜PR＞手元に置いて学びを深める1冊

SSL/TLS実践入門──Webの安全性を支える暗号化技術の設計思想

証明書の仕組みからTLS 1.3のハンドシェイク詳細まで体系的に解説。openssl コマンドを使う際の「なぜ？」が一冊でわかります。