转自博客园@忽而今夏:https://www.cnblogs.com/tianzhenyun/p/5284311.html
Tomcat 启用 HTTPS
最近在阿里云购买了一个云服务器ECS,简单的部署了个人网站,使用ip地址访问一切正常,我之前在TK上申请了一个免费域名,就绑定了二级域名到阿里云,第一天正常访问,第二天就不行了,访问站点直接提示域名未注册(未备案.....),无法访问,显然被阿里云拦截了,通过IP地址访问还是正常的。
后来GOOGLE了一下,一般是备案域名和主机。。。,还有一种方式是启用HTTPS,http是明文传输,阿里云能够看到我访问的域名,发现在域名未注册然后拦截,但HTTPS是加密的,所以可以正常访问(哈哈)。
引用链接:
基本步骤:
-
使用 java 创建一个 keystore 文件
-
配置 Tomcat 以使用该 keystore 文件
-
测试
-
配置应用以便使用 SSL ,例如
执行 keytool -genkey -alias tomcat -keyalg RSA 结果如下
-
loiane:bin loiane$ keytool -genkey -alias tomcat -keyalg RSA
-
Enter keystore password: password
-
Re-enter new password: password
-
What is your first and last name?
-
[Unknown]: Loiane Groner
-
What is the name of your organizational unit?
-
[Unknown]: home
-
What is the name of your organization?
-
[Unknown]: home
-
What is the name of your City or Locality?
-
[Unknown]: Sao Paulo
-
What is the name of your State or Province?
-
[Unknown]: SP
-
What is the two-letter country code for this unit?
-
[Unknown]: BR
-
Is CN=Loiane Groner, OU=home, O=home, L=Sao Paulo, ST=SP, C=BR correct?
-
[no]: yes
-
-
Enter key password for
-
(RETURN if same as keystore password): password
-
Re-enter new password: password
这样就在用户的主目录下创建了一个 .keystore 文件
配置 Tomcat 以使用 keystore 文件
打开 server.xml 找到下面被注释的这段
-
<!--
-
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
-
maxThreads="150" scheme="https" secure="true"
-
clientAuth="false" sslProtocol="TLS" />
-
-->
取消注释,并将内容改为
-
Connector SSLEnabled="true" acceptCount="100" clientAuth="false"
-
disableUploadTimeout="true" enableLookups="false" maxThreads="25"
-
port="8443" keystoreFile="${user.home}/.keystore" keystorePass="password"
-
protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https"
-
secure="true" sslProtocol="TLS" />
测试1:只启用HTTPS,不启用HTTP
在server.xml中,为8080端口的Connector加上注释,并且去掉8443端口的Connector的注释。然后启动tomcat。
分别通过http\https访问docs:
-
http://localhost:8080/docs、https://localhost:8443/docs
结果:只有https可以访问。
测试2:HTTP、HTTPS同时启用
在server.xml中,去掉8080、8443端口的Connector的注释然后启动tomcat。
分别用http\https访问docs:
-
http://localhost:8080/docs、https://localhost:8443/docs
结果:两者都可正常访问。
配置应用使用 SSL
打开应用的 web.xml 文件,增加配置如下:
-
<security-constraint>
-
<web-resource-collection>
-
<web-resource-name>securedapp</web-resource-name>
-
<url-pattern>/*</url-pattern>
-
</web-resource-collection>
-
<user-data-constraint>
-
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
-
</user-data-constraint>
-
</security-constraint>
将 URL 映射设为 /* ,这样你的整个应用都要求是 HTTPS 访问,而 transport-guarantee 标签设置为 CONFIDENTIAL 以便使应用支持 SSL。
如果你希望关闭 SSL ,只需要将 CONFIDENTIAL 改为 NONE 即可
SSL证书服务
文章到这里基本上就应该结束了,可是,当我通过https访问网站时问题提示“There is a problem with this website’s security certificate.”,自己还好说无所谓,但是别人访问的时候也提示,可能很大程度上,别人可能就不会再访问了。。。。,
所以需要SSL证书服务,网上也有很多免费的()
我选择的是
Create a local Certificate Signing Request (CSR)
使用你之前创建的.keystore
-
keytool -certreq -keyalg RSA -alias tomcat -file certreq.csr -keystore <your_keystore_filename>
一般顺利的话最终你可以拿到一些*.crt文件,
接下来就是把这些文件导入到.keystore文件里。
比如我拿到的是四个压缩包
-
for Apache.zip
-
for IIS.zip
-
for Nginx.zip
-
for Other Server.zip
然后我使用的是for Other Server,里面有四个.crt
-
1_cross_Intermediate.crt
-
2_issuer_Intermediate.crt
-
3_user_contacts09.ml.crt
-
root.crt
先执行root,1_cross_Intermediate.crt,2_issuer_Intermediate.crt
-
keytool -import -alias <root> -keystore <your_keystore_filename> -trustcacerts -file <filename_of_the_chain_certificate>
最后执行 3_user_contacts09.ml.crt
-
keytool -import -alias tomcat -keystore <your_keystore_filename> -file <your_certificate_filename>
最后得到的.keystore直接替换之前的就可以了,现在再次访问就不会提示你证书问题了,哈哈。。。。。
阅读(1257) | 评论(0) | 转发(0) |