Tomcat7 安装StartSSL证书笔记
1.Tomcat-Native安装
使用StartSSL,Tomcat必须用apr方式启动(apr方式对于静态的内容,比默认的bio效率要高很多倍)
- Windows下tomcat-native安装
直接复制tcnative-1.dll到bin目录下即可(需要重启Ecplise)才能体现
注意:不同的Tomcat,对应的tomcat-native版本也不同,向下兼容,可以去下载最新版的
比如: http://apache.fayea.com/tomcat/tomcat-connectors/native/1.1.32/binaries/tomcat-native-1.1.32-win32-bin.zip
PS:tomcat-native 一般都会带一个已经编译好的绿色openssl.exe,很好用,下面会用到
PS： eclipse可能不会自动带上这个参数，还是以bio模式运行，那就 在Run > Run Configuration > Tomcat xxx > Arguments的VM arguments里写上参数
-Djava.library.path="dll的放置路径"
- Linux下tomcat-native安装
一般不用下载,在tomcat/bin目录下就有tomcat-native.tar.gz文件
先下载依赖包,注意需要装对应版本的openjdk-devel,其实就是openjdk的jdk,默认安装openjdk,其实是jre
$ yum install gcc gcc-java apr apr-devel openssl openssl-devel libgcc.x86_64
或者
$ apt-get install libapr1.0-dev libssl-dev...
然后,一般这样就可以了(注意apr的路径,如果默认路径,一般可以不配置,用tomcat的执行账户编译运行)
一般在 $tomcat/bin/tomcat-native-1.1.32-src/jni/native 下编译
$ ./configure --with-apr=/usr/bin/apr-1-config \
$ --with-java-home=/usr/lib/jvm/java-1.7.0-openjdk.x86_64/ \
$ --with-ssl=yes \
$ --prefix=/home/www/tomcat
$ make
$ make install
设置环境变量(可以设定到/etc/profile 或者.bash_profile里)
export LD_LIBRARY_PATH=/home/www/tomcat/lib
export LD_RUN_PATH=/home/www/tomcat/lib
安装完之后,启动tomcat
一月 13, 2015 3:43:58 下午 org.apache.coyote.AbstractProtocol init 信息: Initializing ProtocolHandler ["http-apr-8888"] 一月 13, 2015 3:43:58 下午 org.apache.coyote.AbstractProtocol init 信息: Initializing ProtocolHandler ["http-apr-443"] 一月 13, 2015 3:43:58 下午 org.apache.coyote.AbstractProtocol init 信息: Initializing ProtocolHandler ["ajp-apr-8009"]
http-apr-8888........说明tomcat已经在使用apr模式(默认是 http-bio-8888)
2.申请StartSSL免费证书
申请StartSSL证书,请参考 http://www.cnblogs.com/kreo/p/4221379.html
申请完后你会有一下三个文件，ssl.crt（公钥）,ssl.key(密钥),ssl.p12（PKCS12格式的证书）
- 查看证书的内容
$ keytool -list -rfc -keystore ssl.p12 -storetype pkcs12
如下,记下别名(alias),本文是 startcom pfx certificate (一般都是这个)
- 生成keystore
$ keytool -importkeystore -srckeystore ssl.p12 -srcstoretype PKCS12 -destkeystore keystore -srcalias "startcom pfx certificate" -destkeypass 123456
srcalias 是上面查到的别名
destkeypass 是默认加密密码,可能会忽略,重新输入一次即可
执行完之后,会在目录下生成名为keystore的文件
- 合并证书
这步主要是为了FireFox,因为FireFox会要求提供根证书
下载StartSSL CA证书
http://cert.startssl.com/certs/ca.pem
下载StartSSL Class1 Sub CA
http://cert.startssl.com/certs/sub.class1.server.ca.pem
然后把ca.pem和sub.class1.server.ca.pem,加在ssl.crt后面
记事本加一下就可以,这里要注意,每个证书都要有
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
这2个开始结束标记,第一个结束和第二个开始标记不能在一行,不然会报错
- 使用OpenSSL加解密功能,改变加密方式,使Tomcat不用启动就输入私匙密码
$ copy ssl.key ssl.key.tmp $ openssl rsa -in ssl.key.tmp -out ssl.key
3.Tomcat配置证书
<Connector SSLEnabled="true" URIEncoding="UTF-8" clientAuth="false" SSLCACertificateFile="D:/WorkSpace/ssl/ssl.crt" SSLCertificateFile="D:/WorkSpace/ssl/ssl.crt" SSLCertificateKeyFile="D:/WorkSpace/ssl/ssl.key" keystoreFile="D:/WorkSpace/ssl/keystore" keystorePass="changeit" keystoreType="PKCS12" maxThreads="150" port="443" protocol="HTTP/1.1" scheme="https" secure="true" sslProtocol="TLS"/>
4.把证书导入jre
$ keytool -import -alias cacerts -keystore "%JAVA_HOME%\jre\lib\security\cacerts" -file D:\ssl.crt -trustcacerts
最好所有jre都导一遍,以免出现PKIX path building failed错误
