Tomcat(105)Tomcat的SSL/TLS故障排除

要在Tomcat中解决SSL/TLS相关的故障，通常需要检查配置、证书、密钥库、协议等。下面是详细的排查步骤和代码示例：

1. 配置SSL/TLS连接器

首先，确保在server.xml中正确配置了SSL/TLS连接器。以下是一个基本的示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

确保：

• port 设置为适当的SSL端口（通常是8443）。
• protocol 设置为 org.apache.coyote.http11.Http11NioProtocol 或 org.apache.coyote.http11.Http11AprProtocol。
• SSLEnabled 设置为 true。
• certificateKeystoreFile 路径正确，指向包含SSL证书的密钥库文件。

2. 生成或导入证书

如果没有现成的SSL证书，需要生成一个自签名证书或从证书颁发机构（CA）获取证书。以下示例展示了如何使用 keytool 生成一个自签名证书：

keytool -genkey -alias tomcat -keyalg RSA -keystore conf/keystore.jks -keysize 2048

完成后，将会生成一个名为 keystore.jks 的文件，该文件包含自签名证书。

3. 检查密钥库配置

确保密钥库和其密码正确配置在server.xml中：

<SSLHostConfig>
    <Certificate certificateKeystoreFile="conf/keystore.jks"
                 certificateKeystorePassword="changeit"
                 type="RSA" />
</SSLHostConfig>

4. 检查协议和密码套件

确保启用了正确的TLS协议和密码套件。如果需要限制某些协议或密码套件，可以进行如下配置：

<SSLHostConfig>
    <Certificate certificateKeystoreFile="conf/keystore.jks"
                 certificateKeystorePassword="changeit"
                 type="RSA" />
    <SSLHostConfig>
        <Cipher>TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_128_GCM_SHA256</Cipher>
        <Protocols>TLSv1.2, TLSv1.3</Protocols>
    </SSLHostConfig>
</SSLHostConfig>

5. 检查日志文件

Tomcat的日志文件位于<TOMCAT_HOME>/logs目录下，特别是catalina.out和localhost.log。在启动Tomcat后，检查这些日志文件以获取有关SSL/TLS问题的详细信息。

例如，可能看到如下错误：

SEVERE: Failed to initialize end point associated with ProtocolHandler ["http-nio-8443"]
java.io.IOException: Keystore was tampered with, or password was incorrect

这表明密钥库密码可能不正确。

6. 使用OpenSSL进行验证

使用OpenSSL工具来检查SSL连接是否正常：

openssl s_client -connect localhost:8443

这可以帮助确认SSL证书是否正确加载，并且没有配置错误。

7. 复查证书链

确保证书链完整并正确配置。如果使用中间证书，确保它们包含在密钥库中或者通过certificateChainFile参数进行配置。

8. 更新Java版本

确保你使用的Java版本支持你所配置的TLS协议和密码套件。较旧版本的Java可能不支持新的TLS协议或强密码套件。

配置示例

以下是一个完整的SSL/TLS配置示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     certificateKeystorePassword="changeit"
                     type="RSA" />
        <Cipher>TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_128_GCM_SHA256</Cipher>
        <Protocols>TLSv1.2, TLSv1.3</Protocols>
    </SSLHostConfig>
</Connector>

总结

通过以上步骤，可以有效地排查并解决Tomcat中的SSL/TLS故障。确保正确配置密钥库和证书、选择合适的协议和密码套件，并通过日志和工具进行验证。这样可以保证Tomcat的SSL/TLS配置稳定和安全。