证书与首次登录

为什么需要导入证书

Qidun 面板启用 mTLS 双向认证：浏览器除了验证服务器证书，还必须出示由服务器 CA 签发的客户端证书，否则 TLS 握手直接失败（表现为连接被重置，而不是打开登录页）。因此每个需要访问面板的浏览器都要完成一次证书导入。

导出客户端证书（服务器上执行）

导出给浏览器用的客户端证书

参数	说明	默认
-o	输出 .p12 文件路径（必填）；同名 .txt 自动生成密码文件	—
-name	证书显示名（CN），建议按人 / 设备命名，便于吊销定位	qidun-client
-days	有效期天数（上限 3650）	365

同时把 CA 公钥复制出来：<数据目录>/certs/ca.crt（路径可用 qidun cert ca 查询）。

分发并导入证书（管理电脑上执行）

把 ca.crt、client.p12、client.txt（密码）安全地拷贝到管理电脑（私有渠道，勿走公网明文），然后：

Windows

1. 双击 ca.crt → 安装证书 → 存储位置选当前用户 → 「将所有的证书都放入下列存储」→ 浏览选择受信任的根证书颁发机构 → 完成。
2. 双击 client.p12 → 存储位置当前用户 → 输入 client.txt 中的密码（不含换行）→ 证书存储选个人 → 完成。

Linux / macOS 桌面

• 多数桌面发行版：双击 CA 证书导入「受信任根」，.p12 导入个人证书；或使用命令行工具（如 certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n QidunCA -i ca.crt 导入 Firefox/NSS）。
• 不同浏览器管理方式不同，核心要求一致：信任 CA + 个人存储含客户端证书。

浏览器首次登录

1. 访问 https://<服务器IP>:529（注意 https 与端口）。
2. 浏览器弹出「选择证书」对话框 → 选择刚导入的客户端证书。
3. 出现登录页：用户名 admin，密码为 安装部署中 qidun init 输出的初始密码（忘记可用 qidun user show 查看，仅限未修改过）。
4. 登录后建议立即在「系统设置 → 账号」修改密码（至少 8 位）。

会话有效期默认 12 小时；退出登录或修改密码会立即吊销 token。

证书检查 / 重置 / 多设备管理

证书辅助命令

• cert check 在 Windows 会逐项比对指纹给出 ✅ / ❌ 结论，是排查「连不上面板」的第一工具。
• 多设备：为每台管理设备单独执行 cert client -o xxx.p12 -name 设备名，互不影响。
• cert reset 后旧客户端证书全部失效，所有设备需重新导出导入。

登录后的上手 5 步

1. 改密：登录后到「系统设置 → 系统设置 → 账号」修改初始密码；
2. 配置看门狗（可选）：「系统设置 → 看门狗」填写 Webhook URL 并「发送测试」；
3. 添加站点目录：「站点防护 → 添加目录」，开启一句话后门扫描；
4. 配置 MySQL：「数据库监控」添加实例（多实例），设置阈值；
5. 设置磁盘阈值：「系统设置 → 系统指标」逐盘设置。

常见问题

现象	原因与处理
ERR_HTTP_RESPONSE_CODE_FAILURE / 连接被重置	用了 http:// 访问 HTTPS 端口，或浏览器没有客户端证书 → 核对 https 并完成导入
证书选择框没弹出 / 直接被拒	客户端证书导入到「计算机」而非「当前用户」存储，或导入到了错误的账户 → 重新按步骤导入
提示证书不受信任	ca.crt 未导入「受信任的根证书颁发机构」
换电脑后无法访问	每台设备都要单独导入；也可以导出一份 .p12 给新设备（建议按设备独立签发）