因为在项目中要使用HTTPS,所以参考了网上的很多文章,终于将环境配置好了,在此做个记录,给有需要的同学,少走弯路。
我的环境:WIN7 64位 +TOMCAT7 + OPENSSL1.0f
1. 首先安装OPENSSL1.0f软件及其依赖的软件,这个软件是别人编译好的,不需要自己编
译。我们主要是使用OPenSSL软件生成证书等信息,其它两个软件是OpenSSL运行时需
要。OPENSSL安装完成后,一般是在C盘,如我电脑上安装在C:\OpenSSL-Win64目录
中。注意我的操作系统是64位的,所以需要64位软件,如果是32位的系统,请下载相应的
软件。
Win64OpenSSL-1_0_1f.exe,
ActivePerl-5.16.3.1603-MSWin32-x64-296746.msi,
vcredist_x64.exe
2. 用管理员身份运行CMD命令, 进入到C:\OpenSSL-Win64\bin目录,执行openssl.exe
命令,或者直接以管理员身份运行openssl.exe。
3. 首先要生成服务器端的私钥(key文件):
4. 生成证书请求csr文件,交给CA签名后形成服务端自己的证书
5. CSR文件必须有CA的签名才可形成证书.OPENSSL可以生成自己的CA证书
6. 用生成的CA的证书为刚才生成的server.csr文件签名
使用CA签名时,需要做一些准备工作,当我们安装完成OPENSSL时,在安装目录下的bin\PEM目录中有一个demoCA目录,如我本机的demoCA的路径为:C:\OpenSSL-Win64\bin\PEM\demoCA,请将整个目录拷贝到bin目录中,如我本机的目录为:C:\OpenSSL-Win64\bin\demoCA,并在demoCA目录中建立一个newcerts目录,我本机的地址为:
C:\OpenSSL-Win64\bin\demoCA\newcerts。
生成证书以后,就可以将其放到tomcat7/conf的目录下(建议),并修改conf/server.xml配置文件,在windows下部署修改如下:
如果是单个工程需要https访问,修改工程中的web.xml文件,增加如下内容:
在LIUNX下部署会有一些区别,首先要将证书和密钥放入到密码库中,并且密码库的格式必须是JDK可以识别的,因为我们直接用的是OPENSSL生成的密钥和证书,所以先将执行如下命令,将密钥和证书放入到pkcs12的证书文件中。
7.创建server端的pkcs12文件
注意-name demo_server,这个是指定keystore的别名。
8.转换pkcs12为JKS keystore文件,这个过程需要用到jetty.jar, 在命令行中执行如下JAVA命令,切记要使用管理员身份运行cmd命令。
生成server.jks后,就可以将其放到tomcat7/conf的目录下(建议),并修改conf/server.xml配置文件如下:
protocol属性的取值很重要,如果修改为其它值,可能使用OPENSSL软件生成的密钥库文件就不支持,需要使用JDK命令生成的密钥库。
好了,通过https://localhost:8443端口访问,看是否可以显示tomcat首页。
相应的软件我已经上传到百度云上面。此处不能上传超过10M的软件。
[url]http://pan.baidu.com/share/link?shareid=1291566681&uk=3339208821[/url]
我的环境:WIN7 64位 +TOMCAT7 + OPENSSL1.0f
1. 首先安装OPENSSL1.0f软件及其依赖的软件,这个软件是别人编译好的,不需要自己编
译。我们主要是使用OPenSSL软件生成证书等信息,其它两个软件是OpenSSL运行时需
要。OPENSSL安装完成后,一般是在C盘,如我电脑上安装在C:\OpenSSL-Win64目录
中。注意我的操作系统是64位的,所以需要64位软件,如果是32位的系统,请下载相应的
软件。
Win64OpenSSL-1_0_1f.exe,
ActivePerl-5.16.3.1603-MSWin32-x64-296746.msi,
vcredist_x64.exe
2. 用管理员身份运行CMD命令, 进入到C:\OpenSSL-Win64\bin目录,执行openssl.exe
命令,或者直接以管理员身份运行openssl.exe。
3. 首先要生成服务器端的私钥(key文件):
genrsa -des3 -out server.key 1024
4. 生成证书请求csr文件,交给CA签名后形成服务端自己的证书
req -new -key server.key -out server.csr -config
openssl.cfg
5. CSR文件必须有CA的签名才可形成证书.OPENSSL可以生成自己的CA证书
req -new -x509 -keyout ca.key -out ca.crt -config openssl.cfg
6. 用生成的CA的证书为刚才生成的server.csr文件签名
ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config openssl.cfg
使用CA签名时,需要做一些准备工作,当我们安装完成OPENSSL时,在安装目录下的bin\PEM目录中有一个demoCA目录,如我本机的demoCA的路径为:C:\OpenSSL-Win64\bin\PEM\demoCA,请将整个目录拷贝到bin目录中,如我本机的目录为:C:\OpenSSL-Win64\bin\demoCA,并在demoCA目录中建立一个newcerts目录,我本机的地址为:
C:\OpenSSL-Win64\bin\demoCA\newcerts。
生成证书以后,就可以将其放到tomcat7/conf的目录下(建议),并修改conf/server.xml配置文件,在windows下部署修改如下:
<Connector port="8443" maxHttpHeaderSize="8192"
maxThreads="150"
enableLookups="false" disableUploadTimeout="true"
acceptCount="100" scheme="https" secure="true"
SSLEnabled="true"
SSLCertificateFile="${catalina.base}/conf/server.crt"
SSLCertificateKeyFile="${catalina.base}/conf/server.key"
SSLPassword="password"/>
如果是单个工程需要https访问,修改工程中的web.xml文件,增加如下内容:
<!-- 增加ssl请求 -->
<login-config>
<!-- 认证方式基于客户端证书-->
<auth-method>CLIENT-CERT</auth-method>
<realm-name>Client Cert Users-only Area</realm-name>
</login-config>
<security-constraint>
<!-- 此元素确定应该保护的资源 -->
<web-resource-collection>
<web-resource-name>SSL</web-resource-name>
<!-- url-pattern适用于直接访问这些资源的客户机,不适用于转发-->
<url-pattern>/*</url-pattern>
</web-resource-collection>
<!-- 访问相关资源时使用任何传输层保护 -->
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
在LIUNX下部署会有一些区别,首先要将证书和密钥放入到密码库中,并且密码库的格式必须是JDK可以识别的,因为我们直接用的是OPENSSL生成的密钥和证书,所以先将执行如下命令,将密钥和证书放入到pkcs12的证书文件中。
7.创建server端的pkcs12文件
pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name demo_server
注意-name demo_server,这个是指定keystore的别名。
8.转换pkcs12为JKS keystore文件,这个过程需要用到jetty.jar, 在命令行中执行如下JAVA命令,切记要使用管理员身份运行cmd命令。
java org.mortbay.util.PKCS12Import server.p12 server.jks
生成server.jks后,就可以将其放到tomcat7/conf的目录下(建议),并修改conf/server.xml配置文件如下:
<Connector port="8443" protocol="HTTP/1.1"
maxHttpHeaderSize="8192"
maxThreads="150"
enableLookups="false" disableUploadTimeout="true"
acceptCount="100" scheme="https" secure="true"
SSLEnabled="true"
keystoreFile="/opt/apache-tomcat7.0.42/conf/server.jks"
keystorePass="password"/>
protocol属性的取值很重要,如果修改为其它值,可能使用OPENSSL软件生成的密钥库文件就不支持,需要使用JDK命令生成的密钥库。
好了,通过https://localhost:8443端口访问,看是否可以显示tomcat首页。
相应的软件我已经上传到百度云上面。此处不能上传超过10M的软件。
[url]http://pan.baidu.com/share/link?shareid=1291566681&uk=3339208821[/url]