2

Дано:

на с и -сертификат.

Задача:

Нужно подключить сертификат для возможности обращаться к приложениям, крутящимся на через с сохранением возможности ходить и по .

Вопрос:

Таки что нужно делать?

1 ответ 1

2

Нам нужна информация о -сертификате в виде 3 файлов:

domain_name.crt private.key chain.crt

Их можно создать вручную в текстовом редакторе и поместить в них информацию о сертификате.

Положим, что они находятся в папке /path/to/. Тогда мы можем получить из них файл с расширением p12 через программу openssl так:

openssl pkcs12 -export -in /path/to/domain_name.crt -inkey /path/to/private.key -out mycert.p12 -name tomcat -CAfile /path/to/chain.crt -caname root -chain

где mycert.p12 - собственно файл который мы должны скормить -у, а остальные - файлы сертификата. Программа предложит задать пароль, который после понадобится указать в настройках -а.

Полученный файл нужно положить в домашнюю папку юзера tomcat, например /usr/share/tomcat8/. После прописать в настройках его использование (файл var/lib/tomcat8/conf/server.xml):

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
       maxThreads="200" SSLEnabled="true"
       scheme="https" secure="true"
       clientAuth="false" sslProtocol="TLS"

       keystoreType="PKCS12"
       keystoreFile="${user.home}/mycert.p12"
       keystorePass="password"
       truststoreType="PKCS12"
       truststoreFile="${user.home}/mycert.p12"
       truststorePass="password"
       />

Чтобы можно было ходить и по и по нужно также в файле var/lib/tomcat8/conf/web.xml в конце прописать это:

<security-constraint>
  <web-resource-collection>
    <web-resource-name>Support Both HTTP and HTTPS</web-resource-name>
    <url-pattern>/*</url-pattern>
  </web-resource-collection>
  <user-data-constraint>
    <!-- <transport-guarantee>CONFIDENTIAL</transport-guarantee> -->
  </user-data-constraint>
</security-constraint>

здесь важно закоментировать строку <transport-guarantee>CONFIDENTIAL</transport-guarantee> или указать NONE вместо CONFIDENTIAL

Всё. Теперь можно обращаться к приложениям, крутящимся на и по и по . При этом на надо ходить не через 8080 порт, а через 8443.


Если нужен pfx файл, то его можно вот так сгенерировать:

openssl pkcs12 -export -out bundle.pfx -inkey privkey.pem -in cert.pem -certfile chain.pem -password pass:password

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.