Tomcat下具體的配置

Tomcat下關于使用SSL證書的配置可以分為三部分
1.啟用SSL，使用Tomcat Java平臺自身的SSL功能；
2.啟用SSL，通過apr協議調用openssl的SSL功能；
3.啟用SSL之后的安全配置。
Tomcat本身體型不大，它主要的底層工作都是由Java平臺的虛擬機來完成的，比如說內存的調度使用、SSL的通信等。它作為常用的中間件容器具有較好的擴展性，允許用戶使用Java平臺本身的SSL通信功能（默認），同時又向用戶提供了一種使用專業縱深性較好的openssl的SSL功能。
由于Java平臺本身在逐漸淘汰安全系數低的SSL2.0、SSL3.0協議，默認客戶端必須使用TLS1.0及以上的協議與之通信，這對很多客戶端還停留在xp系統IE6瀏覽器的環境的項目來說，增加了不少的推廣阻力和維護工作量。對于上述情況，openssl可以很好的解決這個問題，它仍支持使用SSL2.0及以上通信的客戶端進行訪問。并且使用openssl可以為SSL配置指定 證書、私鑰、證書鏈，分而治之可以很好的處理當證書鏈發生變化時引起的證書整體更換。也為向筆者之前那樣，因為不熟悉keytool、openssl工具的使用，導致的證書鏈問題的技術人員提供了解決方法。總之，使用擴展調用openssl將會給用戶更多的選擇。
當Tomcat啟用了SSL功能之后，為了更好地保證該功能的使用，需要對它做一些安全性配置，以保證用戶的訪問都是通過https的，在用戶試圖通過http進行訪問時，tomcat應可以直接跳轉至https協議通信。

下面將講述具體的配置步驟

1.啟用SSL，使用Tomcat Java平臺自身的SSL功能；

Java平臺使用SSL支持兩種協議
在tomcat/confg/server.xml對應的connector中配置其中之一即可
這是Tomcat官方文檔中給的示例：

<!-- Define a HTTP/1.1 Connector on port 8443, JSSE NIO implementation --> <Connector protocol="org.apache.coyote.http11.Http11NioProtocol"port="8443" .../><!-- Define a HTTP/1.1 Connector on port 8443, JSSE BIO implementation --> <Connector protocol="org.apache.coyote.http11.Http11Protocol"port="8443" .../> <!-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 --> <Connector protocol="org.apache.coyote.http11.Http11NioProtocol"port="8443" maxThreads="200"scheme="https" secure="true" SSLEnabled="true"keystoreFile="${user.home}/.keystore" keystorePass="changeit"clientAuth="false" sslProtocol="TLS"/>

Tomcat默認的http對應端口為8080，https對應端口為8443，實際上并不方便用戶直接訪問，這里我們可以改為80和443
下面是本實驗環境中的配置：

<Connector port="80" protocol="HTTP/1.1"connectionTimeout="20000"redirectPort="443" /> <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"maxThreads="150" SSLEnabled="true" scheme="https" secure="true"clientAuth="false"sslEnabledProtocols="SSLv2,SSLv3,TLSv1,TLSv1.1,TLSv1.2,SSLv2Hello"keystoreFile="/home/oa/tomcat7/conf/www.yuanlangchao.jks" keystorePass="yuanlangchao" />

我們此處使用sslEnabledProtocols增強型的ssl協議主要是為了使用SSLv2Hello,相對于 sslProtocols=”SSL+SSLv2+SSLv3+TLS+TLSv1+TLSv1.1+TLSv1.2” ,前者會讓客戶端有更多選擇；只要客戶端勾了TLS版本中的任意一個即可以與服務器建立通信，而后者做不到。就是說使用sslEnabledProtocols會有更好地兼容性。
很多情況下從安全性的腳本我們可能會指定 具體的協議算法規則如ciphers=”TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA”

最終效果如下圖

2.啟用SSL，通過apr協議調用openssl的SSL功能；

通過apr調用openssl在tomcat/conf/server.xml中的配置
官方文檔的說明：

<!-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 --> <Connector protocol="org.apache.coyote.http11.Http11AprProtocol"port="8443" maxThreads="200"scheme="https" secure="true" SSLEnabled="true"SSLCertificateFile="/usr/local/ssl/server.crt"SSLCertificateKeyFile="/usr/local/ssl/server.pem"SSLVerifyClient="optional" SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"/> 這里寫代碼片

APR是Apache的另一個項目，需要下載安裝；apr通過openssl來進行傳輸，需要保證服務器上已安裝了最新的openssl版本，尤其是注意使用應對openssl心臟出血漏洞修復之后的版本。此外還需要Tomcat的擴展包Tomcat native與APR、Openssl配合使用。請按照下面的先后順序安裝配置：
APR與OPENSSL的安裝如果系統yum為最新可以直接使用命令

yum install apr-devel openssl-devel

APR的下載安裝

//解壓配置編譯安裝 [root@oracle apr-1.5.2]# tar -vxf apr-1.5.2.tar.gz [root@oracle apr-1.5.2]# cd apr-1.5.2 [root@oracle apr-1.5.2]# ./configure [root@oracle apr-1.5.2]# make [root@oracle apr-1.5.2]# make install

openssl版本下載安裝

[root@oracle ~]# tar -vxf openssl-1.0.2d.tar.gz [root@oracle ~]# cd openssl-1.0.2d [root@oracle ~]# ./config [root@oracle ~]# make [root@oracle ~]# make test [root@oracle ~]# make install [root@oracle ~]# /usr/local/ssl/bin/openssl version OpenSSL 1.0.2d 9 Jul 2015

Tomcat native下載安裝

[root@oracle ~]# tar -vxf tomcat-native-1.1.33-src.tar.gz[root@oracle ~]# cd tomcat-native-1.1.33-src/jni/native/[root@oracle native]# ls build build.conf build-outputs.mk configure include libtcnative.dsw NMAKEmakefile os srclib tcnative.pc.in buildconf BUILDING config.layout configure.in libtcnative.dsp Makefile.in NMAKEmakefile.inc src tcnative.dsp tcnative.spec[root@oracle native]# ./configure --with-apr=/usr/local/apr/bin/apr-1-config \ >--with-java-home=/usr/java/jdk8/ > --with-ssl=yes \ > -prefix=/home/oa/tomcat7/[root@oracle native]# make && make install[root@oracle native]# cd /home/oa/tomcat7/lib/[root@oracle lib]# ls annotations-api.jar catalina-tribes.jar jasper.jar libtcnative-1.so servlet-api.jar tomcat-dbcp.jar tomcat-jdbc.jar catalina-ant.jar ecj-4.4.2.jar jsp-api.jar libtcnative-1.so.0 tomcat7-websocket.jar tomcat-i18n-es.jar tomcat-util.jar catalina-ha.jar el-api.jar libtcnative-1.a libtcnative-1.so.0.1.33 tomcat-api.jar tomcat-i18n-fr.jar websocket-api.jar catalina.jar jasper-el.jar libtcnative-1.la pkgconfig tomcat-coyote.jar tomcat-i18n-ja.jar //已經包含了native相關的包，表明安裝成功，需要將它配置到名為 LD_LIBRARY_PATH的環境變量 LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/home/oa/tomcat7/lib export LD_LIBRARY_PATH[root@oracle ~]# cat .bash_profile # .bash_profile# Get the aliases and functions if [ -f ~/.bashrc ]; then. ~/.bashrc fi# User specific environment and startup programsPATH=$PATH:$HOME/bin JAVA_HOME=/usr/java/jdk8 JRE_HOME=/usr/java/jdk8/jre/ CATALINA_HOME=/home/oa/tomcat7/ export JAVA_HOME export CATALINA_HOME PATH=$JAVA_HOME/bin:$PATH:/usr/local/ssl/bin/ export JRE_HOME export PATH LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/home/oa/tomcat7/lib export LD_LIBRARY_PAT

上面三步完成后：
需要檢查server.xml中的AprLifecycleListener,默認是開啟的

<Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />

本演示環境的配置：

<Connector port="443" protocol="org.apache.coyote.http11.Http11AprProtocol"maxThreads="150" SSLEnabled="true" scheme="https" secure="true"clientAuth="false"SSLProtocol="SSLv2+SSLv3+TLSv1+TLSv1.1+TLSv1.2"SSLCertificateFile="/home/oa/tomcat7/conf/www.yuanlangchao.com.pem_nochain.crt"SSLCertificateKeyFile="/home/oa/tomcat7/conf/www.yuanlangchao.com.private.key"SSLCertificateChainFile="/home/oa/tomcat7/conf/yuan_bundle.crt" />

啟動tomcat看日志中下面狀態表示apr啟動成功

Sep 23, 2015 6:52:16 AM org.apache.catalina.core.AprLifecycleListener lifecycleEvent INFO: Loaded APR based Apache Tomcat Native library 1.1.33 using APR version 1.5.2. Sep 23, 2015 6:52:16 AM org.apache.catalina.core.AprLifecycleListener lifecycleEvent INFO: APR capabilities: IPv6 [true], sendfile [true], accept filters [false], random [true]. Sep 23, 2015 6:52:16 AM org.apache.catalina.core.AprLifecycleListener initializeSSL

此時客戶端通過單獨通過SSL2.0、SSL3.0都可以訪問站點，當然這是不安全的也是Java平臺將其淘汰的原因，但它可以很好得處理客戶端兼容性，尤其是低版本的瀏覽器：

3.啟用SSL之后的安全配置。

tomcat啟用SSL之后，一般是需要做到基于安全考慮的強制跳轉，就是說用不知道這是個安全站點使用http進行訪問時，系統強制跳轉到安全的https端口進行訪問。Tomcat通過對頁面權限的訪問來做到：
需要在/conf/web.xml最后添加如下配置

<welcome-file-list><welcome-file>index.html</welcome-file><welcome-file>index.htm</welcome-file><welcome-file>index.jsp</welcome-file></welcome-file-list><!--下面是添加的--> <security-constraint><web-resource-collection ><web-resource-name >SSL</web-resource-name><url-pattern>/*</url-pattern></web-resource-collection><user-data-constraint><transport-guarantee>CONFIDENTIAL</transport-guarantee></user-data-constraint> </security-constraint> <!--上面是添加的--></web-app>

配置完成后重啟即可生效。

參考文檔
http://tomcat.apache.org/tomcat-7.0-doc/ssl-howto.html#Edit_the_Tomcat_Configuration_File
http://tomcat.apache.org/tomcat-7.0-doc/config/http.html#NIO_specific_configuration
http://docs.oracle.com/javase/7/docs/technotes/guides/security/StandardNames.html#jssenames

總結

以上是生活随笔為你收集整理的全面讲解Tomcat下SSL证书的配置（五）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。