tomcat http到https

本实验环境：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

[root@localhost conf]# cd /usr/local/tomcat/bin/ [root@localhost bin]# ./version.sh  Using CATALINA_BASE:   /usr/local/tomcat Using CATALINA_HOME:   /usr/local/tomcat Using CATALINA_TMPDIR: /usr/local/tomcat/temp Using JRE_HOME:        /usr/java/jdk1.7.0_75 Using CLASSPATH:       /usr/local/tomcat/bin/bootstrap.jar Server version: Apache Tomcat/6.0.41 Server built:   May 19 2014 11:49:25 Server number:  6.0.41.0 OS Name:        Linux OS Version:     2.6.32-431.el6.i686 Architecture:   i386 JVM Version:    1.7.0_75-b13 JVM Vendor:     Oracle Corporation [root@localhost bin]#

基于jdk的keytool工具生成key,

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

[root@localhost ~]# find / -name keytool /usr/java/jdk1.7.0_75/jre/bin/keytool /usr/java/jdk1.7.0_75/bin/keytool [root@localhost ~]# cd /usr/java/jdk1.7.0_75/bin/ #/usr/local/tomcat/tomcat.keystore 证书存放位置； -validity 36500证书有效期，36500表示100年，默认值是90天 [root@localhost bin]# ./keytool -genkey -alias tomcat -keyalg RSA -keystore /usr/local/tomcat/tomcat.keystore -validity 36500 Enter keystore password:          #此处需要输入大于6个字符的字符串 Re-enter new password:  What is your first and last name?    #“您的名字与姓氏是什么？”这是必填项，并且必须是TOMCAT部署主机的域名或者IP[如：pvbutler.blog.51cto.com 或者 10.15.24.254]，就是你将来要在浏览器中输入的访问地址   [Unknown]:  10.15.24.254 What is the name of your organizational unit?   #“你的组织单位名称是什么？”可以按照需要填写也可以不填写直接回车，实验中直接回车   [Unknown]:   What is the name of your organization?    #“您的组织名称是什么？”，同上直接回车   [Unknown]:   What is the name of your City or Locality?   #“您所在城市或区域名称是什么？，同上直接回车   [Unknown]:   What is the name of your State or Province?    #“您所在的州或者省份名称是什么？”   [Unknown]:   What is the two-letter country code for this unit?    #“该单位的两字母国家代码是什么？”   [Unknown]:   Is CN=10.15.24.254, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown correct?      #系统询问“正确吗？”时，对照输入信息，如果符合要求则使用键盘输入字母“y”，否则输入“n”重新填写上面的信息   [no]:  y   Enter key password for <tomcat>        (RETURN if same as keystore password):    #输入<tomcat>的主密码，这项较为重要，会在tomcat配置文件中使用，建议输入与keystore的密码一致，设置其它密码也可以 Re-enter new password:  [root@localhost bin]#   #此时会在/usr/local/tomcat中生成文件tomcat.keystore

修改配置tomcat服务器

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52

[root@localhost bin]# cd /usr/local/tomcat/conf/ [root@localhost conf]# cp server.xml server.xmlbak [root@localhost conf]# cp web.xml web.xmlbak [root@localhost conf]# vim server.xml       <Connector port="80" protocol="HTTP/1.1"                   connectionTimeout="20000"                   redirectPort="443" />   #将redirectPort="8443"修改为redirectPort="443"      #去掉注释<!--和-->；修改port="8443"为port="443"；指定证书文件的位置和<tomcat>的主密码keystoreFile="/usr/local/tomcat/tomcat.keystore" key    storePass="justin"       <Connector port="443" protocol="HTTP/1.1" SSLEnabled="true"                  maxThreads="150" scheme="https" secure="true" 86                clientAuth="false" sslProtocol="TLS" keystoreFile="/usr/local/tomcat/tomcat.keystore" key    storePass="justin" />           #将redirectPort="8443"修改为redirectPort="443"    <Connector port="8009" enableLookups="false" protocol="AJP/1.3" redirectPort="443" /> [root@localhost conf]#   [root@localhost conf]# vim web.xml          <welcome-file-list>          <welcome-file>index.html</welcome-file>          <welcome-file>index.htm</welcome-file>          <welcome-file>index.jsp</welcome-file>      </welcome-file-list> #在文件</welcome-file-list>后面加上以下语句： <login-config>       <!-- Authorization setting for SSL -->       <auth-method>CLIENT-CERT</auth-method>       <realm-name>Client Cert Users-only Area</realm-name> </login-config> <security-constraint>      <!-- Authorization setting for SSL -->      <web-resource-collection >            <web-resource-name >SSL</web-resource-name>            <url-pattern>/*</url-pattern>      </web-resource-collection>      <user-data-constraint>            <transport-guarantee>CONFIDENTIAL</transport-guarantee>      </user-data-constraint> </security-constraint> [root@localhost conf]# service tomcat stop Using CATALINA_BASE:   /usr/local/tomcat Using CATALINA_HOME:   /usr/local/tomcat Using CATALINA_TMPDIR: /usr/local/tomcat/temp Using JRE_HOME:        /usr/java/jdk1.7.0_75 Using CLASSPATH:       /usr/local/tomcat/bin/bootstrap.jar [root@localhost conf]# service tomcat start Using CATALINA_BASE:   /usr/local/tomcat Using CATALINA_HOME:   /usr/local/tomcat Using CATALINA_TMPDIR: /usr/local/tomcat/temp Using JRE_HOME:        /usr/java/jdk1.7.0_75 Using CLASSPATH:       /usr/local/tomcat/bin/bootstrap.jar [root@localhost conf]#

上述配置完成后，重启TOMCAT后即可以使用SSL。IE地址栏中可以直接输入地址 “http://” 会自动跳转成为 “https://” ，windows环境类似，可参考修改对应文件。

注意事项：

（1）生成证书的时间，如果IE客户端所在机器的时间早于证书生效时间，或者晚于有效时间，IE会提示“该安全证书已到期或还未生效”

（2）如果IE提示“安全证书上的名称无效或者与站点名称不匹配”，则是由生成证书时填写的服务器所在主机的域名“您的名字与姓氏是什么？”/“What is your first and last name?”不正确引起的

（3）如果AC主机不能通过域名查找，必须使用IP，但是这个IP只有在配置后才能确定，这样证书就必须在AC确定IP地址后才能生成

（4）证书文件只能绑定一个IP地址，假设有10.1.25.250 和 192.168.1.250 两个IP地址，在证书生成文件时，如使用了10.1.25.250，通过IE就只能使用10.1.25.250 来访问AC-WEB，192.168.1.250是无法访问AC-WEB的