tomcat 服务器配置 https 双向认证

    对外开放的网站一般都会提供安全证书,已保证应用的安全性。

   我们可以通过 keytool (Windows下路径:%JAVA_HOME%/bin/keytool.exe) 工具,生成自签名证书。

   keytool 命令解释:

-genkey 在用户主目录中创建一个默认文件“.keystore”
-alias       产生别名,每个keystore都关联这一个独一无二的alias
-keystore    指定密钥库的名称(产生的各类信息将不在.keystore文件中
-keyalg      指定密钥的算法 (如 RSA  DSA(如果不指定默认采用DSA)
-validity    指定创建的证书有效期多少天
-keysize     指定密钥长度
-storepass   指定密钥库的密码(获取keystore信息所需的密码)
-keypass     指定别名条目的密码(私钥的密码)
-dname       指定证书拥有者信息 (CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码)
-list        显示密钥库中的证书信息
-v           显示密钥库中的证书详细信息
-export      将别名指定的证书导出到文件
-file        参数指定导出到文件的文件名
-delete      删除密钥库中某条目
-keypasswd   修改密钥库中指定条目口令
-import      将已签名数字证书导入密钥库 

    1.首先是生成服务端证书:

keytool -genkey -keyalg RSA -dname "cn=localhost,ou=test,o=test,l=china,st=shanghai,c=cn" -alias server -keypass password -keystore e:/cert/server.jks -storepass password -validity 3650

    注意:上面的 cn=localhost这是必填项,并且必须是TOMCAT部署主机的域名或者IP[如:gbcom.com 或者 10.1.25.251](就是你将来要在浏览器中输入的访问地址),否则浏览器会弹出警告窗口,提示用户证书与所在域不匹配。在本地做开发测试时,应填入“localhost”。

    2.生成客户端证书:

keytool -genkey -keyalg RSA -dname "cn=test,ou=test,o=test,l=china,st=上海,c=cn" -alias custom -storetype PKCS12 -keypass password -keystore e:/cert/custom.p12 -storepass password -validity 3650

    客户端的 cn 值可以随便设置,并没有限制

    3.由于是双向SSL认证,服务器必须要信任客户端证书,因此,必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入,我们必须先把客户端证书导出为一个单独的CER文件.

keytool -export -alias custom -file custom.cer -keystore custom.p12 -storepass password -storetype PKCS12 -rfc

    4.将客户端证书添加到服务端证书中:

keytool -import -v -alias custom -file custom.cer -keystore server.jks -storepass password

    5.查看证书内容:

keytool -list -v -keystore server.jks -storepass password

   6.生成服务端浏览器证书:

keytool -export -v -alias server -keystore server.jks -storepass password -rfc -file server.cer

    将服务端证书(server.cer),导入到 “受信任的根证书颁发机构” 中,如下图:

    双击 server.cer,

  



    至此,服务端证书已导入到浏览器中。现在修改,tomcat server.xml 文件。

    找到如下位置:

   

    <Connector port="8090" protocol="org.apache.coyote.http11.Http11Protocol"
               connectionTimeout="20000"
	       SSLEnabled="true" 
               maxThreads="150" scheme="https" secure="true"
               clientAuth="true" sslProtocol="TLS"
               keystoreFile="d:/cert/server.jks" keystorePass="password"   
               truststoreFile="d:/cert/server.jks" truststorePass="password"
/>

    如果没有修改过端口,则通常情况下不是 8090 而是 8080.

    注意:如果 protocol="HTTP/1.1" 会出现访问不了 tomcat 主页。必须写 protocol="org.apache.coyote.http11.Http11Protocol"

    补充:后续发现,并不是所有的 tomcat 版本都必须 protocol="org.apache.coyote.http11.Http11Protocol",具体情况需要根据 tomcat 版本而定。

                隔天为 tomcat 6 版本添加证书时,就发现,protocol="HTTP/1.1" 也有效果。

                那我们如何确定应该是 protocol="HTTP/1.1" or protocol="org.apache.coyote.http11.Http11Protocol" 呢?

                最简单办法是根据 server.xml 内部的注释:

首先是 tomcat 6.0.35 版本 server.xml


然后是,tomcat 7.0.57 版本,server.xml


   可以看到,框出的部分,具体情况各位视不同 tomcat 版本为准。

  

   然后修改 tomcat,web.xml 文件,在 </welcome-file-list> 后面添加:

  

    <login-config>
            <auth-method>CLIENT-CERT</auth-method>
            <realm-name>Client Cert Users-only Area</realm-name>
    </login-config>
    <security-constraint>
        <web-resource-collection>	
                    <web-resource-name>SSL</web-resource-name>
                    <url-pattern>/*</url-pattern>
        </web-resource-collection>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>

    重启,tomcat,访问:https://localhost:8090 验收成果。



评论 5
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值