那个 .csr 文件仍然是一份证书请求
在把文件分配给代理的 TLS 配置之前，先区分证书请求、已签发的证书和私钥。
server.csr 通常是向证书颁发机构申请签发证书的请求。把代理的证书选项指向它，并不会完成那个过程。
看看 PEM 文件内部：
-----BEGIN CERTIFICATE REQUEST-----
-----BEGIN CERTIFICATE-----
-----BEGIN PRIVATE KEY-----这些标签描述的是不同的对象。请求不是已签发的证书，它的私钥也不是。把文件改名为 .pem 不会改变其中任何一项。
对于用来表明代理身份的 TLS 监听器，请使用为该代理名称签发的证书和与之匹配的私钥，并按软件文档所述的排列方式部署。openssl req 检查证书请求；openssl x509 检查证书。请为手上的对象选用对应的解析工具。在 Squid 6.13 中，在其 TLS 监听器里使用已签发的证书和匹配的私钥。
普通服务器证书也不同于用于授权拦截的 CA。它并不授予签署无关网站证书的权限。
在排查主机名检查或网络可达性之前，先确认对象类型和密钥配对。TLS 无法使用从未提供过的证书。