Tomcat与Nginx配置单向HTTPS指南

本文档主要介绍了如何在Tomcat和Nginx服务器上配置单向HTTPS，以实现安全的网络通信。 在Tomcat中配置HTTPS，首先需要生成JKS（Java Key Store）或PKCS12格式的密钥库。JKS是Java默认的密钥存储格式，而PKCS12则是一种跨平台的标准。以下是生成JKS密钥库的步骤： 1. 使用`keytool`命令行工具生成JKS密钥库： ``` keytool -genkey -alias "tomcat_store" -keyalg RSA -keysize 2048 -validity 3650 -keypass "password" -keystore "C:\tomcat_store.keystore" -storetype JKS -storepass "password" -dname "CN=localhost,OU=cn,O=cn,L=changsha,ST=hunan,C=China" ``` 参数解释： - `-alias`：别名，用于标识密钥对。 - `-keyalg`：密钥算法，这里选择RSA。 - `-keysize`：密钥长度，通常为2048位。 - `-validity`：证书有效期，单位为天。 - `-keypass`：私钥密码。 - `-keystore`：密钥库路径。 - `-storetype`：密钥库类型，这里是JKS。 - `-storepass`：密钥库密码。 - `-dname`：X.509证书的主体名称。 2. 查看密钥库内容： ``` keytool -list -v -keystore "C:\tomcat_store.keystore" -storepass "password" keytool -list -rfc -keystore "C:\tomcat_store.keystore" -storepass "password" ``` 如果需要将JKS转换为PKCS12格式，可以执行以下操作： ``` keytool -importkeystore -srcalias "tomcat_store" -srckeystore C:\tomcat_store.keystore -srcstorepass "password" -srckeypass "password" -destkeystore C:\tomcat_store.p12 -deststoretype pkcs12 -destkeypass "password" ``` 接着，可以导出证书的CA（Certificate Authority）： ``` keytool -export -alias "tomcat_store" -keystore "C:\tomcat_store.keystore" -storetype PKCS12 -storepass "pass" ``` 配置Tomcat服务器以使用HTTPS，需要修改`server.xml`文件中的`Connector`元素： ```xml <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true" maxThreads="150" scheme="https" secure="true" keystoreFile="C:/path/to/tomcat_store.jks" keystorePass="password" clientAuth="false" sslProtocol="TLS" /> ``` 在Nginx中配置HTTPS，需要在`nginx.conf`或对应的虚拟主机配置文件中添加SSL配置： ```nginx server { listen 443 ssl; server_name your_domain.com; ssl_certificate /path/to/your_domain.crt; # 你的证书文件 ssl_certificate_key /path/to/your_domain.key; # 你的私钥文件 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_prefer_server_ciphers on; ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH"; # 其他Nginx配置... } ``` 配置完成后，记得重启Tomcat和Nginx以使更改生效。 单向HTTPS意味着客户端（浏览器）到服务器之间的通信是加密的，但服务器不需要验证客户端的身份。这为网站提供了基础的安全保障，但并不提供完整的身份验证。对于更高级别的安全需求，可以考虑配置双向（mutual）HTTPS，即客户端也需要提供证书进行身份验证。