Tomcat配置SSL证书

本地配置ssl证书

为了更好的再服务器上配置ssl证书，先在本上上熟悉流程。本地不需要类似阿里云的证书，借助java的keytool帮助生成离线的证书。

keytool -genkey -alias ceshi -storetype PKCS12 -keyalg RSA -keystore D:\Java\apache-tomcat-9.0.55-windows-x64\apache-tomcat-9.0.55\conf\https.keystore

该命令会在指向的地址位置生成一个名为https.keystore的证书

进入该步骤后需要注意的密钥需要记住，之后还要用的，名字与姓氏要填域名即localhost其他的随便填即可。

如下在指定的目录下生成了证书：

配置证书加密访问，对于http协议来说，80是默认端口，若项目在其他端口上则需要带上端口号http://localhost:8080，对于https来说，443是默认端口号，若项目在其他端口上则也要带上端口号https://localhost:8443。

接下来配置本地的https协议访问，已经生成了离线的证书，需要配置证书及监听的端口号，在server.xml文件中进行如下配置：

<Server port="8005" shutdown="SHUTDOWN">
  <Listener className="org.apache.catalina.startup.VersionLoggerListener" />
  
  
  <Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />
  
  <Listener className="org.apache.catalina.core.JreMemoryLeakPreventionListener" />
  <Listener className="org.apache.catalina.mbeans.GlobalResourcesLifecycleListener" />
  <Listener className="org.apache.catalina.core.ThreadLocalLeakPreventionListener" />

  
  <GlobalNamingResources>
    
    <Resource name="UserDatabase" auth="Container"
              type="org.apache.catalina.UserDatabase"
              description="User database that can be updated and saved"
              factory="org.apache.catalina.users.MemoryUserDatabaseFactory"
              pathname="conf/tomcat-users.xml" />
  GlobalNamingResources>

  
  <Service name="Catalina">

    
    


    
    <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" URIEncoding="UTF-8"/>


     
     
      
    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" schema="https" secure="true" SSLEnabled="true">
      <SSLHostConfig>
        <Certificate
          certificateKeystoreFile="conf/https.keystore" 
          certificateKeystorePassword="Xwh190823" type="RSA"
        />
      SSLHostConfig>
    Connector>


    
    
    
    
    
    

    
    

    

    
    <Engine name="Catalina" defaultHost="localhost">

      
      

      
      <Realm className="org.apache.catalina.realm.LockOutRealm">
        
        <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
               resourceName="UserDatabase"/>
      Realm>

      <Host name="localhost"  appBase="webapps"
            unpackWARs="true" autoDeploy="true">

        
        

        
        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t "%r" %s %b" />

      Host>
    Engine>
  Service>
Server>

文件时全部的配置，来看https的部分：

     
      
    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" schema="https" secure="true" SSLEnabled="true">
      <SSLHostConfig>
        <Certificate
          certificateKeystoreFile="conf/https.keystore" 
          certificateKeystorePassword="123456" type="RSA"
        />
      SSLHostConfig>
    Connector>

监听的端口为8443，这个certificateKeystoreFile配置项填你生成证书的位置，certificateKeystorePassword这个填之前的密钥。就可以了！！！没错配置https就这么简单，只需要这就行就可以了，启动tomcat服务器即可。

keytool 错误: java.io.IOException: Invalid keystore format

在配置的过程中还遇到了一个问题keytool 错误: java.io.IOException: Invalid keystore format，出现这个问题的原因时jdk版本问题，不要使用高本版的jdk，用jdk8就可以了，在构建https.keystore是用的是jdk11导致tomcat一致报上面的错误，将jdk回退到jdk8之后就没问了。

配置完后进入bin目录开启tomcat服务器，通过http协议访问：http://localhost:8080

再通过https协议访问https://localhost:8443

如上图所示配置成功了，通过两个协议都可以访问。也可以进行其他的配置如修改为默认的端口号，这样就不需要每次添加端口号了，http协议是80，https协议是443。也可以配置跳转，将http协议访问的跳转到https协议上去即在web.xml配置文件中添加：

<security-constraint> 
    <web-resource-collection > 
        <web-resource-name >SSLweb-resource-name>  
        <url-pattern>/*url-pattern> 
    web-resource-collection> 
    <user-data-constraint> 
        <transport-guarantee>CONFIDENTIALtransport-guarantee> 
    user-data-constraint> 
security-constraint>

添加上面内容就会实现实现HTTP自动跳转为HTTPS。甚至在跳转到一个项目上直接跳到网站首页也是可以的。

服务器上SSL证书配置

前面已经配置了本地即离线的SSL证书，那么该如何配置服务器上的SSL证书呢？道理和步骤和本地几乎是一样的。唯一不同的时外网的需要提供外网的SSL证书，可以在购买云服务器的网站免费下载证书，也可以通过第三方下载。不限于，华为云，阿里云，腾讯云等。

接下来以阿里云，云服务器内核为CentOS7为例，WEB服务器为Tomcat下载并配置SSL证书，来开放HTTPS协议访问。

SSL证书下载

下载好证书后是一个压缩包类型：

解压得到两个文件，一个是证书文件pfx类型，一个是密码txt类型：

和之前配置本地的方式一样主要就是配置https的证书，将解压的证书上传到服务的可见文件夹，记录该文件地址，配置server.xml文件：

<Server port="8005" shutdown="SHUTDOWN">
  <Listener className="org.apache.catalina.startup.VersionLoggerListener" />
  
  
  <Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />
  
  <Listener className="org.apache.catalina.core.JreMemoryLeakPreventionListener" />
  <Listener className="org.apache.catalina.mbeans.GlobalResourcesLifecycleListener" />
  <Listener className="org.apache.catalina.core.ThreadLocalLeakPreventionListener" />

  
  <GlobalNamingResources>
    
    <Resource name="UserDatabase" auth="Container"
              type="org.apache.catalina.UserDatabase"
              description="User database that can be updated and saved"
              factory="org.apache.catalina.users.MemoryUserDatabaseFactory"
              pathname="conf/tomcat-users.xml" />
  GlobalNamingResources>

  
  <Service name="Catalina">

    
    


    
    <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" URIEncoding="UTF-8"/>


     
     
      
    

    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/cert/6340408_www.qiyuanrenli.com.pfx" 
                     certificateKeystoreType="PKCS12"
                     certificateKeystorePassword="zXOfVn8u" />
    SSLHostConfig>
Connector>


    
    
    
    
    
    

    
    

    

    
    <Engine name="Catalina" defaultHost="localhost">

      
      

      
      <Realm className="org.apache.catalina.realm.LockOutRealm">
        
        <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
               resourceName="UserDatabase"/>
      Realm>

      <Host name="localhost"  appBase="webapps"
            unpackWARs="true" autoDeploy="true">

        
        

        
        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t "%r" %s %b" />

      Host>
    Engine>
  Service>
Server>

同样的核心配置就这几行：

    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/cert/6340408.pfx" 
                     certificateKeystoreType="PKCS12"
                     certificateKeystorePassword="-----" />
    SSLHostConfig>
Connector>

certificateKeystoreFile是上传的证书所在的位置，certificateKeystoreType是证书的类型，不是所有证书都是fpx类型，也要适当更改例如还有RSA类型。certificateKeystorePassword是证书密钥，打开下载的哪个txt文档就可以看见密钥。

配置完成后重启Tomcat服务器即可。成功的HTTP和HTTPS都可以访问。

如果HTTPS配置了还能访问的话分析错误的原因：

1. 该网站为提供安全连接

如果浏览器出现该情况的大概率就是证书配置有问题，检查一下是否有配置错误的问题。

2. 无法访问此网页

浏览器出现该提示，首先检查域名或ip是否正确，然后是端口号，http协议的tomcat默认是8080，https协议在配置时监听的端口时8443。

3.服务器未响应

浏览器出现这个提示时，可能时服务上的服务未启动、端口被占用、或者是防火墙未开放端口，需要去云服务器的安全组开放端口。

最后要注意的是端口问题，如果安装了防火墙工具的话要开启用到的端口，云服务器去安全组开放端口，安装了宝塔的也要开启端口。