当前位置:   article > 正文

tomcat https配置_tomcat.keystore

tomcat.keystore

    一、生成服务器端证书(以tomcat为例)


             如果tomcat bin目录下的setclasspath.bat中没有指定java路径,则默认使用系统环境变量中的java_home;

          进入java bin目录,打开cmd命令窗口,使用keytool为Tomcat生成证书,使用如下命令生成:

         keytool -genkey -v -alias tomcat -keyalg RSA -keystore D:\tomcat\tomcat.keystore -validity 36500
    

        (参数说明:-alias tomcat 为证书取别名tomcat, “D:\tomcat\tomcat.keystore”指定证书文件的保存路径,

        证书文件名称是tomcat.keystore ;“-validity 36500”含义是证书有效期,36500表示100年,默认值是90天 )。

        


二、为客户端生成证书

       为浏览器生成证书,以便让服务器来验证它。为了能将证书顺利导入至IE和Firefox,证书格式应该是PKCS12,

       因此,使用如下命令生成:

       keytool -genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystore D:\tomcat\mykey.p12 (mykey为自定义)。

       对应的证书库存放在“D:\tomcat\mykey.p12”,客户端的CN可以是任意值。

       双击mykey.p12文件,即可将证书导入至浏览器(客户端)。


三、让服务器信任客户端证书

       由于是双向SSL认证,服务器必须要信任客户端证书,因此,必须把客户端证书添加为服务器的信任认证。

        由于不能直接将PKCS12格式的证书库导入,必须先把客户端证书导出为一个单独的CER文件,使用如下命令:

        keytool -export -alias mykey -keystore D:\tomcat\mykey.p12 -storetype PKCS12 -storepass 你的password -rfc -file D:\home\mykey.cer

    (mykey为自定义与客户端定义的mykey要一致,password是你设置的密码)。通过以上命令,客户端证书就被我们导出到“D:\tomcat\mykey.cer”文件了。

      下一步,是将该文件导入到服务器的证书库,添加为一个信任证书使用命令如下:

      keytool -import -v -file D:\tomcat\mykey.cer -keystore D:\tomcat\tomcat.keystore

      通过list命令查看服务器的证书库,可以看到两个证书,一个是服务器证书,一个是受信任的客户端证书:

       keytool -list -keystore D:\tomcat\tomcat.keystore


四、让客户端信任服务器证书

        由于是双向SSL认证,客户端也要验证服务器证书,因此,必须把服务器证书添加到浏览的“受信任的根证书颁发机构”。

        由于不能直接将keystore格式的证书库导入,必须先把服务器证书导出为一个单独的CER文件,使用如下命令:

        keytool -keystore D:\tomcat\tomcat.keystore -export -alias tomcat -file D:\tomcat\tomcat.cer

       (tomcat为你设置服务器端的证书名)。

       通过以上命令,服务器证书就被我们导出到“D:\tomcat\tomcat.cer”文件了。

       双击tomcat.cer文件,按照提示安装证书,将证书填入到“受信任的根证书颁发机构”。


五、配置Tomcat服务器

      将如下注释掉的https打开并加入证书路径:

      <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               clientAuth="fasle" sslProtocol="TLS"
               keystoreFile="D:\\tomcat\\tomcat.keystore" keystorePass="tomcat"
               truststoreFile="D:\\tomcat\\tomcat.keystore" truststorePass="tomcat" />

    clientAuth:设置是否双向验证,默认为false,设置为true代表双向验证(改为true后客户端验证证书仍有问题)

    keystoreFile:服务器证书文件路径

    keystorePass:服务器证书密码

    truststoreFile:用来验证客户端证书的根证书,此例中就是服务器证书

    truststorePass:根证书密码


    该端口默认8443或443,如果更改,对应的http 端口的转发端口也要一同调整:

    <Connector port="8088" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />

   <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />


六、 测试

     在浏览器中输入:https://localhost:8443/,会弹出选择客户端证书界面,点击“确定”,会进入tomcat主页,地址栏后会有“锁”图标,表示本次会话已经通过HTTPS双向验证,接下来的会话过程中所传输的信息都已经过SSL信息加密。

   



添加后可以访问https://localhost:8443/

七、强转https访问

tomcat : conf/web.xml  </welcome-file-list> 后追加如下配置,强制转换https:

 <welcome-file-list>
        <welcome-file>index.html</welcome-file>
        <welcome-file>index.htm</welcome-file>
        <welcome-file>index.jsp</welcome-file>
    </welcome-file-list>
    
    <login-config>
        <!-- Authorization setting for SSL -->
        <auth-method>CLIENT-CERT</auth-method>
        <realm-name>Client Cert Users-only Area</realm-name>
    </login-config>
    <security-constraint>
        <!-- Authorization setting for SSL -->
        <web-resource-collection >
            <web-resource-name >SSL</web-resource-name>
            <url-pattern>/*</url-pattern>
        </web-resource-collection>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>



声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/小桥流水78/article/detail/885235
推荐阅读
相关标签
  

闽ICP备14008679号