tomcat，https加密方式（jsse.openssl）

### Tomcat HTTPS 加密配置详解 #### 一、JSSE（Java Secure Socket Extension）SSL 配置 在本文档中，我们重点介绍了如何利用 JSSE（Java Secure Socket Extension）为 Tomcat 实现 HTTPS 加密。这种方法是通过配置 Java 的内置 SSL/TLS 库来实现的，适用于希望使用 Java 本身提供的安全套接字功能的用户。 ##### 1. 生成 Java 认证文件 为了确保 HTTPS 连接的安全性，首先需要生成一个 Java 认证文件，即 keystore 文件。这可以通过 Java 提供的 `keytool` 工具完成。 **命令示例**： ```bash keytool -genkey -alias nsp -keyalg RSA -validity 3650 -keystore /root/nsp.keystore ``` 这里使用了以下参数： - `-alias nsp`：定义了密钥的别名。 - `-keyalg RSA`：指定了生成密钥的算法为 RSA。 - `-validity 3650`：设置了密钥的有效期为 3650 天。 - `-keystore /root/nsp.keystore`：指定了密钥库的存储路径及文件名为 `/root/nsp.keystore`。 ##### 2. 导入证书 接下来需要将生成的证书导入到证书信任库中，以便 Tomcat 能够识别并使用该证书。 **命令示例**： ```bash keytool -export -alias nsp -keystore /opt/apache-tomcat-6.0.26/keystore/nsp.pl2 -storetype PKCS12 -storepass cdcgs123 -rfc -file /opt/apache-tomcat-6.0.26/keystore/nsp.cer ``` 这里使用了以下参数： - `-export`：用于导出证书。 - `-alias nsp`：与生成密钥时使用的别名相同。 - `-keystore`：指定了包含密钥的 keystore 文件路径。 - `-storetype PKCS12`：指定了 keystore 文件的类型为 PKCS12。 - `-storepass`：提供了 keystore 文件的密码。 - `-rfc`：表示输出格式遵循 RFC 标准。 - `-file`：指定输出的证书文件路径。 需要注意的是，这一步可以省略，Tomcat 在启动时会自动加载证书，但可能会导致启动时间稍长。 ##### 3. 配置 Tomcat 的 server.xml 文件 接下来，需要修改 Tomcat 的 `server.xml` 文件，添加 SSL Connector 的配置信息。 **配置示例**： ```xml <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true" maxThreads="150" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="/root/nsp.keystore" keystorePass="123456" /> ``` 关键配置包括： - `keystoreFile` 和 `keystorePass`：分别指定了 keystore 文件的路径和密码。 - `SSLEnabled="true"`：启用 SSL 支持。 - `sslProtocol="TLS"`：指定了使用的 SSL 协议版本。 此外，还可以强制所有客户端连接都必须使用 SSL： **web.xml 示例**： ```xml <login-config> <auth-method>CLIENT-CERT</auth-method> <realm-name>ClientCertUsers-onlyArea</realm-name> </login-config> <security-constraint> <web-resource-collection> <web-resource-name>SSL</web-resource-name> <url-pattern>/*</url-pattern> </web-resource-collection> <user-data-constraint> <transport-guarantee>CONFIDENTIAL</transport-guarantee> </user-data-constraint> </security-constraint> ``` 这些配置确保所有请求均通过 HTTPS 完成，并且数据传输过程中被加密保护。 #### 二、OpenSSL SSL 配置 另一种实现 HTTPS 加密的方式是通过 OpenSSL。此方法适用于希望使用 OpenSSL 提供的更高级 SSL/TLS 功能的用户。 ##### 1. 安装 OpenSSL 在开始之前，首先需要确保系统中已安装 OpenSSL。 **命令示例**： ```bash yum install openssl ``` ##### 2. 生成证书 接着需要生成服务器证书和私钥。 **命令示例**： ```bash # cd /usr/local/ssl openssl genrsa -des3 -out server.key 2048 ``` 这里： - `genrsa`：生成 RSA 私钥。 - `-des3`：使用 DES3 算法对私钥进行加密。 - `-out server.key`：指定私钥文件的输出路径。 - `2048`：指定密钥长度为 2048 位。 后续步骤还包括生成 CSR（Certificate Signing Request）、提交 CSR 到 CA 机构或自签名证书等。 无论是使用 JSSE 还是 OpenSSL 来配置 Tomcat 的 HTTPS 加密，都需要生成证书、配置 Tomcat 以及可能的其他相关设置。选择哪种方法取决于具体的场景需求和个人偏好。