如何在 Apache Tomcat 中实现 SSL？

客官°小女子只卖身不卖艺 2023-09-28 22:09 32阅读 0赞

[保护 Tomcat][Tomcat]的基本任务之一是配置 SSL 证书，以便通过**HTTPS**访问 Web 应用程序。

有很多方法可以实现这一目标。

*  您可以在负载均衡器上终止 SSL
 *  在 CDN 级别实施 SSL
 *  在前面使用 Apache、Nginx 等 Web 服务器并在那里实现 SSL

但是，如果您不使用上述任何一种或将其用作前端或需要直接在 Tomcat 中部署 SSL，那么以下内容将对您有所帮助。

在本文中，我们将执行以下操作。

*  生成 CSR（证书签名请求）
 *  在密钥库文件中导入证书
 *  在 Tomcat 中启用 SSL
 *  配置 TLS 协议
 *  更改 Tomcat 以侦听 443 端口
 *  测试 Tomcat 的 SSL 漏洞

开始吧…

### **准备 SSL/TLS 证书** ###

第一步是生成 CSR 并获得[证书颁发机构][Link 1]的签名。我们将使用`keytool` 实用程序来管理证书。

*  登录到 Tomcat 服务器
 *  进入tomcat安装路径
 *  创建一个名为 ssl 的文件夹
 *  执行命令**创建密钥库**

keytool -genkey -alias domainname -keyalg RSA -keysize 2048 -keystore filename.jks

复制

上述命令中有两个变量可能需要更改。

1.  别名 - 最好让它有意义，以便将来您可以快速识别。我更喜欢将其保留为域名。
2.  文件名——同样，保留域名是件好事。

**前任：**

[root@geekflare ssl]# keytool -genkey -alias bloggerflare -keyalg RSA -keysize 2048 -keystore bloggerflare.jks
    Enter keystore password:
    Re-enter new password:
    What is your first and last name?
    [Unknown]: bloggerflare.com
    What is the name of your organizational unit?
    [Unknown]: Blogging
    What is the name of your organization?
    [Unknown]: Geek Flare
    What is the name of your City or Locality?
    [Unknown]:
    What is the name of your State or Province?
    [Unknown]:
    What is the two-letter country code for this unit?
    [Unknown]:
    Is CN=bloggerflare.com, OU=Blogging, O=Geek Flare, L=Unknown, ST=Unknown, C=Unknown correct?
    [no]: yes
    
    Enter key password for <bloggerflare>
    (RETURN if same as keystore password):
    
    [root@geekflare ssl]#

复制

注意**名字和姓氏的问题**。我认为这有点误导。这不是您的名字，而是您想要保护的域名。

提供所有信息后，它将在当前工作目录上创建一个密钥库文件。

接下来是 使用以下命令使用新创建的密钥库**生成新的 CSR 。**

keytool -certreq -alias bloggerflare -keyalg RSA -file bloggerflare.csr -keystore bloggerflare.jks

复制

这将创建一个 CSR，您需要将其发送给证书颁发机构以对其进行签名。如果您在玩，那么您可以考虑使用[免费的证书提供者][Link 2]，或者选择高级证书提供者。

我签署了证书，并将继续使用以下命令**导入密钥库。**

*  导入根证书由提供商提供

keytool -importcert -alias root -file root -keystore bloggerflare.jks

复制

*  进口中间证书

keytool -importcert -alias intermediate -file intermediate -keystore bloggerflare.jks

复制

**注意**：如果不导入根和中间，您将无法将域证书导入密钥库。如果您有多个中间体，那么您必须将它们全部导入。

*  导入域证书

keytool -importcert -file bloggerflare.cer -keystore bloggerflare.jks -alias bloggerflare

复制

并且，您将收到已安装的确认信息。

> 证书回复已安装在密钥库中

**太好了**，现在证书密钥库已经准备好了。让我们进入下一步。

如果您是 SSL 新手并有兴趣了解更多信息，请报名参加此在线课程 - [SSL/TLS 操作][SSL_TLS]。

### **在 Tomcat 中启用 SSL** ###

假设您仍然登录到 Tomcat 服务器，请转到 conf 文件夹

*  备份 server.xml 文件
 *  转到 `<Connector port="8080" protocol="HTTP/1.1"`部分并添加一行

SSLEnabled="true" scheme="https" keystoreFile="ssl/bloggerflare.jks" keystorePass="chandan" clientAuth="false" sslProtocol="TLS"

复制

*  不要忘记使用您的更改密钥库文件名和密码
 *  重新启动 Tomcat，您应该会看到 Tomcat 可以通过 HTTPS 访问

![b045a7d2dd0524cae19f7037a76d87c0.png][]

甜的！

### **标准 HTTPS 端口** ###

为什么？

好吧，如果你看上面的截图，我正在使用 https 访问超过 8080 的 Tomcat，这不是标准的，还有其他一些原因。

*  您不想要求用户使用自定义端口
 *  浏览器会发出警告，因为证书是在没有端口的域名上颁发的

所以想法是让 Tomcat 监听 443 端口，这样就可以通过 https:// 访问它，而无需端口号。

为此，请使用您喜欢的编辑器编辑 server.xml

*  去 `<Connector port="8080"`
 *  将端口从 8080 更改为 443
 *  它应该看起来像这样

复制

*  重新启动 Tomcat 并使用 https 访问您的应用程序，无需任何端口号

![7acf210758cc4f116109b08244d77b36.png][]

**厉害**了，成功了！

### **SSL/TLS 漏洞测试** ###

最后，我们将进行测试以确保它不易[受到在线威胁][Link 3]。

[我在这里讨论了][Link 4]很多在线工具，在这里我将使用 SSL Labs。

*  转到[SSL Labs][]并输入 URL 以开始测试

![0d18cafca828e972d993d9396cd0fb0a.png][]

它是**绿色的 - 评级**。

但是，向下滚动报告并查看是否发现任何漏洞并修复它总是一个好主意。

这就是今天的全部内容。

我希望这可以帮助您了解使用 SSL/TLS 证书保护 Tomcat 的过程。

[Tomcat]: https://geekflare.com/apache-tomcat-hardening-and-security-guide/
[Link 1]: https://namecheap.pxf.io/c/245992/386170/5618?u=https%3A%2F%2Fwww.namecheap.com%2Fsecurity%2Fssl-certificates.aspx
[Link 2]: https://geekflare.com/free-ssl-tls-certificate/
[SSL_TLS]: https://click.linksynergy.com/deeplink?id=jf7w44yEft4&mid=39197&murl=https%3A%2F%2Fwww.udemy.com%2Fssltls-operations%2F
[b045a7d2dd0524cae19f7037a76d87c0.png]: https://img-blog.csdnimg.cn/img_convert/b045a7d2dd0524cae19f7037a76d87c0.png
[7acf210758cc4f116109b08244d77b36.png]: https://img-blog.csdnimg.cn/img_convert/7acf210758cc4f116109b08244d77b36.png
[Link 3]: https://geekflare.com/online-scan-website-security-vulnerabilities/
[Link 4]: https://geekflare.com/ssl-test-certificate/
[SSL Labs]: https://www.ssllabs.com/ssltest/
[0d18cafca828e972d993d9396cd0fb0a.png]: https://img-blog.csdnimg.cn/img_convert/0d18cafca828e972d993d9396cd0fb0a.png