详解 Nginx + Tomcat HTTPS/SSL 配置办法[服务器安全]

Lmdlb3RydXN0LmNvbS9jcmxzL2d0c3NsZHYuY3JsMB0GA1UdDgQWBBSMnwGchSF9

4rpwjGM0R5TdD/OU3zAMBgNVHRMBAf8EAjAAMEcGCCsGAQUFBwEBBDswOTA3Bggr

BgEFBQcwAoYraHR0cDovL2d0c3NsZHYtYWlhLmdlb3RydXN0LmNvbS9ndHNzbGR2

LmNydDANBgkqhkiG9w0BAQUFAAOCAQEAYtzSVIU/O43qyL4mBFv8DSwoLfi5kHIz

35sBVHM1Z3LW8tnIyscPewYZdy6pszBsm4AtJ0C+fdCM6Ai4GnMdIacao18OIcXS

n2ZiYVrZAs/GCzHRpCpu3VfFTogBiuTS+/Sm87KD8o1kHCxGxNDftfPorq4K5B+0

sIWhxU2gErog1vkGqzuO5CiupMIIp6swqGR0rUnh7XH+WkfjamnU9I8Yqz//QENT

cIaUI/2E2btqCvK4vgtsvhzYHLhmcGljiu0PEeCtIBa4CZSiiMk6E9P7tb/+l3o4

CS9dHYutNG1LqN3FNx34EYBYykGOz2N79L3BIUwIXa7v7QoO+T+c6w==

-----END CERTIFICATE-----

这就是你的网站,经过声望机构签名的证书.当用户通过HTTPS拜候你的网站的时刻,浏览器会考证这个证书.

 

1.3 下载证书

 

证书分很多种格局,比方X.509（.crt文件）、PKCS #7（.p7s文件）等等.差别的网站服务器大概要求差别格局的证书.很多时刻,给我们的证书签名的是二级证书机构,它上面还有根证书机构.所以你在购置 签名过的证书今后,它还会给你一个它自己的证书叫做“Intermediate CA（中间证书）”,格局和你自己的证书是一样的.在布置证书的时刻你需求同时布置你自己的证书还有中间证书,这就叫做Certificate Chain.好的证书发行机构会供应多种证书供你挑选下载,倡议下载同时下载X.509还有 PKCS #7两种格局.不要忘掉下载 X.509格局的中间证书.PKCS #7格局的不如果因为这个格局自带了各种中间证书. 

 

2. 布置证书到Tomcat

 

Tomcat要求的是包含签名过证书的keystore文件和keystore密码.所以我们要先把证书导入keystore

 

2.1 导入证书到KeyStore

 

$JAVA_HOME/bin/keytool -import -alias linuxde -trustcacerts -file linuxde.p7s -keystore linuxde.keystore

上面的号令中 Alias “linuxde” 和之前申请证书的时刻输入的 alias 要一致.

 

2.2 改正Tomcat配置

 

<Connector SSLEnabled="true" acceptCount="100" clientAuth="false"

disableUploadTimeout="true" enableLookups="false" maxThreads="25"

port="8443" keystoreFile="/linuxde/webapp/linuxde.keystore" keystorePass="xxxxxxx"

protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https"

secure="true" sslProtocol="TLS" />

3. 布置证书到Nginx

 

Nginx和Tomcat不一样,它要求的是证书文件 .crt 和私钥 .key .遗憾的是,我们的私钥在keystore里面,而JDK自带的keytool并不供应私钥的导出功效,所以我们得借助第三方工具来导出私钥.

 

3.1 导出私钥（key）

 

有一个开源的私钥导出工具叫做 JAVA-exportpriv .它是一个简单的java程序,你下载今后参考它的阐明,编译,然后运行便可,非常简单,我就不多罗嗦了.

 

3.2 成立certificate chain

 

和Apache不一样,Nginx没有Certificat Chain这个参数,所以你要把你的证书和中间证书归并.归并证书很简单,成立一个先的文件 linuxde-chain.crt,内容以下:

 

-----BEGIN CERTIFICATE-----

这里是你证书的内容

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

这里是中间证书的内容

-----END CERTIFICATE-----

3.3 改正Nginx配置文件

 

server {

listen 443 ssl;

server_name localhost;

ssl on;

ssl_certificate /linuxde/webapp/linuxde-chain.crt;

ssl_certificate_key /linuxde/webapp/linuxde.key;

 

location / {

include proxy.conf;

proxy_pass https://61.145.122.155:443;

}

 

}

4. 考证证书能否安装精确

 

首先当然是自己用HTTPS的方法拜候自己的网站,看看浏览器能否报错大概报警,记得要把各种浏览器都试一遍.然后用 在线工具来测试你的网站HTTPS的配置能否精确,假如都测试通过,那么就打工搞成啦!