使用Let's Encrypt+tomcat实现http升级为https

深藏阁楼爱情的钟 2024-02-19 12:26 88阅读 0赞

转载自https://blog.csdn.net/lyq8479/article/details/79022888，在实践中将自己遇到的问题，也一并列出，方便后面的人少走弯路，我的服务器是centos tomcat 是7.0.57版本的，事实证明也是可以的

近几年，在浏览器厂商的强力推动下，HTTPS的使用率大增。据统计，Firefox加载的网页中启用HTTPS的占比为67%，谷歌搜索结果中HTTPS站点占比已达50%，HTTPS网站已获得浏览器和搜索引擎的共同青睐。据悉，浏览器开发商Mozilla，Google准备采取下一步措施：将所有的HTTP网站标记为不安全。

近两年，微信小程序也异常火爆，小程序相关话题频频在朋友圈刷屏。如果你想开发微信小程序，一样绕不开HTTPS。根据微信小程序开发文档介绍，小程序与服务器交互必须使用HTTPS协议。

不管是大势所趋，还是实际项目开发需要，掌握如何给网站添加HTTPS协议支持（Web服务器设置使用SSL证书后，网站就能支持HTTPS访问了）都是非常有必要的。

一般来说，很多公司都会直接购买由GlobalSign、GeoTrust、Verisign等全球公认的数字证书颁发机构颁发的SSL证书。购买？没错，大多数SSL证书都需要按年付费使用，而且价格不菲。很多小公司、创业团队或个人开发者往往不愿意承担这笔费用，那有没有免费的SSL证书可以使用？

Let’s Encrypt 是一个免费、开放，自动化的证书颁发机构，由 ISRG（Internet Security Research Group）运作。ISRG 是一个关注网络安全的公益组织，其赞助商包括 Mozilla、Akamai、Cisco、EFF、Chrome、IdenTrust、Facebook等公司。ISRG 的目的是消除资金和技术领域的障碍，全面推进网站从HTTP到HTTPS过度的进程。

目前，包括FireFox、Chrome在内的主流浏览器都支持Let’s Encrypt证书，已经有不少用户在真实项目中使用Let’s Encrypt证书。Let’s Encrypt免费SSL证书的有效期是90天，到期后可以再续期，这样也就可以变相长期使用了。

官方网站：[https://letsencrypt.org/][https_letsencrypt.org]

项目主页：[https://github.com/letsencrypt/letsencrypt][https_github.com_letsencrypt_letsencrypt]

实验环境  
![在这里插入图片描述][70]

PS：所有不说明实验环境的技术文章都是耍流氓！

笔者使用的是一台 Ubuntu 测试机，上面没有跑 Apache 和 Nginx，单独运行的 Tomcat，然后通过 iptables 进行端口转发（将 80 端口的请求转发到 8080，将 443 端口的请求转发到 8443），并且已完成域名解析。

获取Let’s Encrypt免费SSL证书

首先，我们需要从 [https://github.com/letsencrypt/letsencrypt][https_github.com_letsencrypt_letsencrypt] 上下载 letsencrypt-auto 脚本，使用它能够很方便地完成域名验证和SSL证书的获取。**注：如果提示git 找不到该命令，需要先下载git包**  
![在这里插入图片描述][70 1]  
脚本下载好了，来看看怎么使用吧。letsencrypt-auto工具的用法如下：  
root@iZ28425ljejZ:~/letsencrypt\# ./letsencrypt-auto --help  
**注：如果服务器中没有Python环境，执行这一步会系统会进行下载。**  
![在这里插入图片描述][70 2]

这里只对几个重要的命令参数进行说明：  
![在这里插入图片描述][70 3]  
关于域名验证和证书的获取安装，上面提到了5种方式：–apache, --standalone, --nginx, --webroot 和 --manual，请根据实际情况选择其一。再次重申，笔者使用的是公司的其中一台测试机，上面没有跑 Apache 和 Nginx，单独运行的 Tomcat，然后通过 iptables 进行端口转发（将 80 端口的请求转发到 8080，将 443 端口的请求转发到 8443），并且已完成域名解析。因此，笔者选择采用 --standalone 方式进行域名验证和证书获取。  
![在这里插入图片描述][70 4]

注意将上面的邮箱和域名替换成自己的。上面命令中的 certonly 表示只获取证书，不安装；-d 有两个，表示将要获取的SSL证书绑定两个域名。

上面的命令在执行过程中，会有两次确认。命令执行完成后，如果看到提示信息"Congratulations! Your certificate and chain…"就说明证书创建成功了，如下图所示。

![在这里插入图片描述][70 5]

Tomcat7配置Let’s Encrypt免费SSL证书

从上图（证书获取成功的提示信息）可以看出，获取到的 Let’s Encrypt 证书保存在 /etc/letsencrypt/live/quqianzhao.top/ 目录下，相关的证书文件有4个：  
![在这里插入图片描述][70 6]  
我们需要用到的是后面两个证书文件： fullchain.pem 和 privkey.pem。接下来，还需要用到 Linux 下的 openssl 和 keytool 工具，将SSL证书由 .pem 格式转换成 Tomcat 所支持的 .jks 格式。

## 导出.p12格式的证书 ##

![在这里插入图片描述][70 7]  
说明：执行 openssl 命令导出 .p12 格式证书时会要求设置密钥，执行 keytool 命令时也有3处要写密钥，最简单的方式就是所有需要密钥的地方，都使用同一个，这样也不会搞混。

**特别要提醒的是，执行上面操作的时候，服务器可能会报 problem binding to port 80: Could not bind to IPv4 or IPv6.异常，那是因为tomcat服务器正在运行，端口号又刚好是80，所以冲突了，把tomcat暂时关停，重新执行就可以了**

经过上面的两步操作，/etc/letsencrypt/live/quqianzhao.top/ 目录下就生成了一个新的证书 zyxx\_letsencrypt.jks。接下来，修改 %tomcat%/conf/server.xml 文件，添加 keystoreFile 和 keystorePass 两行配置。其中，keystoreFile 指向 jks 证书文件，而 keystorePass 则为证书的密钥。修改后的关键配置如下：  
![在这里插入图片描述][70 8]

OK，到这里 Tomcat 的配置工作就完成了。接下来，重启 Tomcat，然后使用浏览器访问 [https://www.quqianzhao.top][https_www.quqianzhao.top] 来验证服务器证书是否生效。

![在这里插入图片描述][70 9]

**如果不生效，考虑下防火墙是否有开放443端口号，如果不开放，是不能用https访问的，开放后再尝试  
下**

查看服务器证书信息：

![在这里插入图片描述][70 10]

Let’s Encrypt 证书续期

出于安全原因，Let’s Encrypt 颁发的 SSL 证书有效期为90天，我们可以通过自动续期来解决。如果到期没有更新证书，Let’s Encrypt 会向申请证书时提交的email发送提醒邮件。

进入到 letsencrypt-auto 脚本所在目录，如下图：  
![在这里插入图片描述][20190116100026566.png]

执行下面的命令即可完成 SSL 证书的续期。

![在这里插入图片描述][70 11]

默认情况下，在证书即将到期之前才能执行续期操作，否则会提示“Cert not yet due for renewal”，即证书尚未到期。如果需要强制执行续期操作，可以加上参数 --force-renew ，命令如下：  
![在这里插入图片描述][70 12]

以下是笔者强制执行证书续期的操作结果：  
![在这里插入图片描述][70 13]  
考虑到有可能会忘记续期，或者每3个月就要续期一次太麻烦，可以使用 linux crontab 每两个月（0 0 1 \*/2 \*）执行一次证书续期操作。

[https_letsencrypt.org]: https://letsencrypt.org/
[https_github.com_letsencrypt_letsencrypt]: https://github.com/letsencrypt/letsencrypt
[70]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/eedb1be8537e41c291f8be5ea24971ae.png
[70 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/da0db0d6ef5d4aa79dc8f2d79ac13aa4.png
[70 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/5b5dfc0f1fdf42f5998f93e928f03f76.png
[70 3]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/802061ad02ee48709e3d379eedbe0205.png
[70 4]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/33f3426f12024ce59d82df7b4de8e740.png
[70 5]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/59eba903e5cb4d06857e4894e289695a.png
[70 6]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/f8bd2d30e2fb42858ea8299d534a8142.png
[70 7]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/cdde4c839c8645d4945e9ce972391e6f.png
[70 8]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/5455407f3ce5490f952ae6042d56f8f9.png
[https_www.quqianzhao.top]: https://www.quqianzhao.top
[70 9]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/343384e490e345348f0db36562644d5a.png
[70 10]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/439f57960ce848f897cb9445fd5ff438.png
[20190116100026566.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/f202f1cd0c294e6fb63baee50e942121.png
[70 11]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/6a922968a37046ffa47d3ca19878e98d.png
[70 12]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/f53ea7d927ec4039b58e62d40a5373fa.png
[70 13]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/2ce3c0678e894e3994193ee4ee3448d2.png