（万字长文）ubuntu+tomcat9配置HTTPS与HTTP2.0

最新推荐文章于 2022-04-13 23:19:58 发布

weixin_43278641

最新推荐文章于 2022-04-13 23:19:58 发布

阅读量727

点赞数

分类专栏： javaweb 文章标签：网络 linux java http

本文链接：https://blog.csdn.net/weixin_43278641/article/details/104868793

版权

javaweb 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

阿里云ecs给tomcat9配置https与http2.0

背景：最新的http版本http2.0早在2015年就已经正式发布，随着近几年互联网的发展，许多web应用对安全性以及传输速率/延迟都有了新的需求。为了应对这些新需求，不少互联网公司也进行了许多开创性的尝试，其中最实用也最广泛的也就是https与http2.0了。这两种更先进的安全协议，都要求网站服务器具备CA认证的安全证书，不过近几年对个人免费的证书申请与认证也越来越多，越来越便捷。在得知http2.0的优势性后，我开始了对网站改造的新尝试，于是便有了如下的教程。

点击观看http2.0可视化对比http1.1：https://http2.akamai.com/demo

第一部分为操作方法
第二部分为相关的原理
第三部分为可能遇见的一些问题

本文共约一万字，阅读预估需要10分钟左右。

操作方法

系统环境

os：阿里云ecs–ubuntu18.04
java：jdk1.8.0_211
application serser：tomcat9.0.21

注意：springboot内置的tomcat服务器可能还不支持http2.0配置，胆大的同学可以去碰一碰/滑稽，这里我没有尝试过使用内置的tomcat服务器进行配置。

所需下载的包

CA认证的ssl证书（在阿里云其他相关的云服务厂商基本都有免费的单域名证书，自己申请个人认证通常10分钟内搞定）
apr（apache portable runtime）相关：apr1.7.0，apr-util1.6.1，apr-iconv1.2.2
openssl加密包：openssl1.1.1d（系统有自带的，不过版本比较低，apt仓库更新也比较慢，此处需要自行编译安装）

#这里某些版本的tomcat可能还需要额外下载tomcat-native组件，不过在tomcat8以后在tomcat安装目录下的bin目录下已经附带了tomcat-native压缩包（.tar.gz）

下载地址：（官方）
ssl证书申请（阿里云）：https://www.aliyun.com/product/cas?spm=5176.12825654.h2v3icoap.115.e9392c4a89XCbG&aly_as=uBGTdgtv
apr：https://apr.apache.org/download.cgi
openssl：https://www.openssl.org/source/
tomcat-native：https://tomcat.apache.org/download-native.cgi

操作步骤

前提

将所有下载的包全部放在/opt/apache/目录下
将你的证书放在/opt/apache/apache-tomcat9.0.21/ssl（自己创建的目录，用于存放证书）中
JAVA_HOME=/opt/java/jdk1.8.0_211（这里每个人安装java的位置不一样，根据自己的情况填写）

先复习一下linux的一些常用操作：

tar zxvf —解压操作
这里z：gzip压缩指令；x：extract提取压缩包文件；v：verbose显示解/压缩过程；f：指定备份文件
另：tar zcvf —压缩操作（c:compress，大写的C是输出文件操作别搞混了）
make编译，make install编译安装

证书操作

$/opt/apache/apache-tomcat9.0.21/ssl目录下
yourkey.pfx,password.txt(全默认操作的话会产生这两个文件)
另外，证书格式并不止pfx一种，还有一种在tomcat使用也比较广泛的是jks文件。这里以pfx为例。

Tomcat 9强制要求证书别名设置为tomcat。您需要使用以下keytool命令将protocol=”HTTP/1.1”转换为protocol=”org.apache.coyote.http11.Http11NioProtocol”

keytool -changealias -keystore yourkey.pfx -alias alias -destalias tomcat

#接下来若提示输入密码，则将password.txt中的内容手动输入

$/opt/apache/ 后文所有的指令都在该路径下，完全第一次配置http2的同学可以抄作业

先安装apr相关库

# 安装apr
tar zxvf apr-1.7.0.tar.gz
cd apr-1.7.0
#此时你所在的目录 $/opt/apache/apr-1.7.0
./configure --prefix=/usr/local/apr  
# 这里--prefix为安装文件的前缀，即安装路径，可以根据自己需求选择性改变
make && make install
cd .. # 回到上一级目录

# 安装apr-util
tar zxvf apr-util1.6.4.tar.gz
cd apr-util1.6.4
./configure --prefix=/usr/local/apr-util --with-apr=/usr/local/apr
make && make install
cd ..

# 安装apr-iconv
tar zxvf apr-iconv1.2.2.tar.gz
cd apr-iconv1.2.2
./configure --prefix=/usr/local/apr-iconv --with-apr=/usr/local/apr
make && make install
cd ..

安装openssl

# 安装openssl
tar zxvf openssl-1.1.1d.tar.gz
cd openssl-1.1.1d
./config shared --prefix=/usr/local/openssl1.1.1d #切记切记这里要加上shared参数，用于创建动态链接库
make && make install
cd ..

安装tomcat-native组件

# 安装tomcat-native
cd apache-tomcat-9.0.21/bin
tar zxvf tomcat-native.tar.gz # 解压出来是源码形式，因此下一行为tomcat-native-1.2.21-src目录
cd tomcat-native-1.2.21-src/native
./configure --prefix=/usr/local/tomcat-native --with-apr=/usr/local/apr --with-java-home=/opt/java/jdk1.8.0_211 --with-ssl=/usr/local/openssl-1.1.1d
#这里为重点步骤
#--with-java-home命令后面填写自己的java_home，不知道自己java_home,使用echo $PATH命令查看
#--with-ssl命令后面填写自己安装的openssl路径，这里不指定ssl可能会导致tomcat出现ssl引擎初始化错误的问题
make && make install
cd ..

配置tomcat支持https和http2.0

在$/opt/apache/apache-tomcat-9.0.21路径下

# 配置tomcat支持https和http2.0
cd conf/
vi server.xml # 通过修改server.xml来配置

这里我将一些不需要的内容删除了以便于阅读，嫌麻烦的同学可以直接copy至你的server.xml，这里必要的内容都是健全的。
修改的地方分别为33，52，77行
52行处配置443端口的https服务时，证书路径及密码请根据自己的实际情况填写

<?xml version="1.0" encoding="UTF-8"?>
<Server port="8005" shutdown="SHUTDOWN">
  <Listener className="org.apache.catalina.startup.VersionLoggerListener" />
  <!-- Security listener. Documentation at /docs/config/listeners.html
  <Listener className="org.apache.catalina.security.SecurityListener" />
  -->
  <!--APR library loader. Documentation at /docs/apr.html -->
  <Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />
  <!-- Prevent memory leaks due to use of particular java/javax APIs-->
  <Listener className="org.apache.catalina.core.JreMemoryLeakPreventionListener" />
  <Listener className="org.apache.catalina.mbeans.GlobalResourcesLifecycleListener" />
  <Listener className="org.apache.catalina.core.ThreadLocalLeakPreventionListener" />
  <GlobalNamingResources>
    <!-- Editable user database that can also be used by
         UserDatabaseRealm to authenticate users
    -->
    <Resource name="UserDatabase" auth="Container"
              type="org.apache.catalina.UserDatabase"
              description="User database that can be updated and saved"
              factory="org.apache.catalina.users.MemoryUserDatabaseFactory"
              pathname="conf/tomcat-users.xml" />
  </GlobalNamingResources>
  <Service name="Catalina">
    <!--
    <Executor name="tomcatThreadPool" namePrefix="catalina-exec-"
        maxThreads="150" minSpareThreads="4"/>
    -->
    # 这里修改了
    <Connector port="80" protocol="org.apache.coyote.http11.Http11AprProtocol"
               connectionTimeout="20000"
           redirectPort="443">
           <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
    </Connector>
    # 这里为我配置出错的地方
    <!--<Connector port="443" protocol="org.apache.coyote.http11.Http11AprProtocol"
        maxThreads="150" SSLEnabled="true"
        scheme="https" secure="true" sslProtocol="TLS"
        keystoreFile="/opt/apache/apache-tomcat-9.0.21/ssl/yourkey.pfx" # 你的证书路径
        keystoreType="PKCS12"
        keystorePass="passowrd" # 你的证书密码
        clientAuth="false"
        SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
        ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256">
        <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
</Connector>-->
    # 这里修改了
    <Connector port="443" protocol="org.apache.coyote.http11.Http11AprProtocol"
        maxThreads="150" SSLEnabled="true"
                scheme="https" secure="true" sslProtocol="TLS"
                keystoreFile="/opt/apache/apache-tomcat-9.0.21/ssl/yourkey.pfx" # 你的证书路径
            keystoreType="PKCS12"
            keystorePass="passowrd" # 你的证书密码
        SSLProtocol="TLSv1+TLSv1.1+TLSv1.2">
        <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
    </Connector>
    <!-- Define an AJP 1.3 Connector on port 8009 -->
    <Connector port="8009" protocol="AJP/1.3" redirectPort="443" />
    <Engine name="Catalina" defaultHost="localhost">
      <Realm className="org.apache.catalina.realm.LockOutRealm">
        <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
               resourceName="UserDatabase"/>
      </Realm>
      <Host name="localhost"  appBase="webapps"
            unpackWARs="true" autoDeploy="true">
       <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b" />
        # 这里修改了，用于配置无项目名访问以及开启缓存
       <Context path="" docBase="blog" reloadable="true">
        <Resources cachingAllowed="true" cacheMaxSize="102400"  />
       </Context>
      </Host>
    </Engine>
  </Service>
</Server>

配置完成后重启tomcat即可。
重启后访问https:// 加上你的ip/域名即可。

查看网站是否使用http2.0的方法：（在chromium系浏览器）F12打开console，在element中可以看到protocol为h2，表示该元素为http2.0协议传输的。

可能遇到的一些问题

下面的操作基本路径：
$/opt/apache/apache-tomcat9.0.21/

0.权限问题

此教程的所有操作均在root用户权限下进行，若遇到permission deny的问题

请自行解决。。。

1.安装openssl出错

cat logs/catalina.out 
或者cat logs/catalina.out|grep 你要查找的内容
# 极有可能出现以下错误
SEVERE: Failed to initialize the SSLEngine.
org.apache.tomcat.jni.Error: 70023: This function has not been implemented on this  platform

翻译翻译：
致命错误：初始化SSLEngine失败
错误代码：70023：这个方法还未在此平台上实现

这里并不是操作系统层面的平台不支持，而是tomcat-native组件配置的ssl出了问题
解决办法：重新编译安装openssl和tomcat-native

2.openssl安装后，terminal窗口中查看openssl版本仍为旧版本

linux读取可执行文件命令的顺序为$PATH中的顺序，请注意读取的ssl所处的优先级
解决办法：软链接一个openssl命令至最优先的bin目录下

ln -s /usr/local/openssl-1.1.1d/bin/openssl /usr/bin/openssl

或者直接复制文件也行

cp /usr/local/openssl-1.1.1d/bin/openssl /usr/bin/openssl

3.http2.0与websocket的不兼容问题

websocket是一个基于http的全双工通信协议，复用了http连接建立过程的握手通道，通过http1.x协议header中的upgrade属性来进行协议替换。

虽然http2.0中本身就有服务端推送的新特性，不过仅由浏览器内部实现，并没有提供相应的消息推送端口，因此截至2020/3/16，升级到http2.0以后有可能导致之前版本的websocket不兼容问题（博主并没有遇到）。有服务器端主动推送消息的应用程序可以使用SSE（server-send event）或长轮询来暂时替代websocket。

不过RFC8441中明确了将来会有基于http2.0的websocket实现。