tomcat配置https以及nginx使用ssl模块配置HTTPS

如果希望 Tomcat 支持 Https，主要的工作是配置 SSL 协议
1.生成安全证书
2.配置tomcat

1.1 生成安全证书

第一个 创建证书的命令：
keytool -genkeypair -alias chenzhiyong -dname "CN=test,OU=HE,O=CUI,L=SHENGZHEN,ST=GUANGDONG,C=CN" -keyalg RSA -keystore D:/logs/chen.keystore -validity 365  
//第一次写成了 3650000 算不出来日期


keytool -export -alias chenzhiyong -keystore D:/logs/chen.keystore -file D:/logs/chen.crt -storepass 119119



keytool -import -v -trustcacerts -alias chenzhiyong -file D:/logs/chen.crt -keystore ../jre/lib/security/cacerts   

1.2 配置tomcat 的 server.xml

    <Connector URIEncoding="UTF-8" connectionTimeout="20000" port="80" protocol="HTTP/1.1" redirectPort="443"/>

<Connector SSLEnabled="true" clientAuth="false" maxThreads="150" port="443" protocol="org.apache.coyote.http11.Http11Protocol" scheme="https" secure="true" sslProtocol="TLS" keystoreFile="D:\\software\\apache-tomcat-7.0.65\\mykey" keystorePass="YOURPASSWORDHERE"/>
   <Connector port="8009" protocol="AJP/1.3" redirectPort="443"/>

nginx使用ssl模块配置HTTPS

实验步骤:

1.首先确保机器上安装了openssl和openssl-devel

#yum install openssl
#yum install openssl-devel

2.创建服务器私钥，命令会让你输入一个口令：

openssl genrsa -des3 -out server.key 1024<br>                                                   //生成私钥
#因为以后要给nginx使用。每次reload nginx配置时候都要你验证这个PAM密码的.由于生成时候必须输入密码,你可以输入后 再删掉。

3.创建签名请求的证书（CSR）：

openssl req -new -key server.key -out server.csr                                //生成证书颁发机构,用于颁发公钥

4.在加载SSL支持的Nginx并使用上述私钥时除去必须的口令：

cp server.key server.key.org
openssl rsa -in server.key.org -out server.key                                  //除去密码以便reload询问时不需要密码

5.配置nginx
最后标记证书使用上述私钥和CSR：

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

6.修改Nginx配置文件，让其包含新标记的证书和私钥：

#vim /usr/local/nginx/conf/nginx.conf
http {

        include server/*.cn; }

7.修改Nginx配置文件，让其包含新标记的证书和私钥：

#vim /usr/local/nginx/server/www.localhost.cn
server {
        listen       443;                                                                       //监听端口为443
        server_name  www.localhost.cn;

        ssl                  on;        　　　　　　　　　　//开启ssl
        ssl_certificate      /etc/pki/tls/certs/server.crt;      //证书位置
        ssl_certificate_key  /etc/pki/tls/certs/server.key;      //私钥位置
        ssl_session_timeout  5m;
        ssl_protocols  SSLv2 SSLv3 TLSv1;       　　　　 //指定密码为openssl支持的格式
        ssl_ciphers  HIGH:!aNULL:!MD5;              //密码加密方式
        ssl_prefer_server_ciphers   on;             //依赖SSLv3和TLSv1协议的服务器密码将优先于客户端密码

        location / {
            root   html;                        //根目录的相对位置
            index  index.html index.htm;
        }
    }

8.启动nginx服务器.

#/usr/local/nginx/sbin/nginx -s reload //如果环境允许的话直接杀掉进程在启动nginx

如果出现“[emerg] 10464#0: unknown directive “ssl” in /usr/local/nginx-0.6.32/conf/nginx.conf:74”则说明没有将ssl模块编译进nginx，在configure的时候加上“–with-http_ssl_module”即可

如:[root@localhost nginx-1.4.4]# ./configure --prefix=/usr/local/nginx --user=www --group=www --with-http_stub_status_module --with-http_ssl_module

9.测试网站是否能够通过https访问

https://www.localhost.cn

另外还可以加入如下代码实现80端口重定向到443

server {
listen 80;
server_name www.localhost.cn;
#rewrite ^(.*) https://$server_name$1 permanent;
rewrite ^(.*)$  https://$host$1 permanent;
}

过以下配置，可以设置一个虚拟主机同时支持HTTP和HTTPS

listen 80;
listen 443 default ssl;

简单描述就是： 服务器配置， 仅需修改nginx host配置
2.1、进入nginx目录创建服务器私钥，命令会让你输入一个口令：
openssl genrsa -des3 -out server.key 1024

2.2、创建签名请求的证书（CSR）：
openssl req -new -key server.key -out server.csr

2.3、在加载SSL支持的Nginx并使用上述私钥时除去必须的口令
cp server.key server.key.org
openssl rsa -in server.key.org -out server.key

2.4、最后标记证书使用上述私钥和CSR
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

server {
        server_name baidu.com;
        listen 443;
        ssl on;
        ssl_certificate /user/local/nginx/conf/server.crt;
        ssl_certificate_key /user/local/nginx/conf/server.key;
       location / {
               set $fixed_destination $http_destination;
               proxy_set_header Host $host;
               proxy_set_header X-Real-IP $remote_addr;
               proxy_set_header Destination $fixed_destination;
              proxy_pass http://SERVERIP:TOMCATPORT;
             /***如果有多个***/
           /*** if ($host ~* '(baidu.com)'){ proxy_pass http://SERVERIP:TOMCATPORT; } **/
          expires 1000000;
      }
         error_page 500 502 503 504 /50x.html;
         location = /50x.html {
             root html;
         }
}
server{
          listen 80;
         server_name baidu.com;
        location / {
               set $fixed_destination $http_destination;
               proxy_set_header Host $host;
               proxy_set_header X-Real-IP $remote_addr;
               proxy_set_header Destination $fixed_destination;
               proxy_pass http://SERVERIP:TOMCATPORT;
               expires 1000000;
        }
       error_page 500 502 503 504 /50x.html;
       location = /50x.html {
          root html;
     }
}

linux nginx启动 重启 关闭命令

启动操作

nginx -c /usr/local/nginx/conf/nginx.conf 

-c参数指定了要加载的nginx配置文件路径

停止操作
停止操作是通过向nginx进程发送信号来进行的

步骤1：查询nginx主进程号

ps -ef | grep nginx

在进程列表里 面找master进程，它的编号就是主进程号了。

步骤2：发送信号

从容停止Nginx：
kill -QUIT 主进程号  
例如：kill -QUIT 16391
快速停止Nginx：
kill -TERM 主进程号  
强制停止Nginx：
kill -9 主进程号  

另外， 若在nginx.conf配置了pid文件存放路径则该文件存放的就是Nginx主进程号，如果没指定则放在nginx的logs目录下。有了pid文 件，我们就不用先查询Nginx的主进程号，而直接向Nginx发送信号了，命令如下：

kill -信号类型’/usr/local/nginx/logs/nginx.pid’

平滑重启

如果更改了配置就要重启Nginx，要先关闭Nginx再打开？不是的，可以向Nginx 发送信号，平滑重启。
平滑重启命令：

kill -HUP 住进称号或进程号文件路径
或者使用

/usr/nginx/sbin/nginx -s reload  

注意，修改了配置文件后最好先检查一下修改过的配置文件是否正 确，以免重启后Nginx出现错误影响服务器稳定运行。判断Nginx配置是否正确命令如下：

nginx -t -c /usr/nginx/conf/nginx.conf 

或者

/usr/nginx/sbin/nginx -t