Tomcat(106)如何在Tomcat中解决SSL/TLS握手失败？

在Tomcat中，SSL/TLS握手失败通常归因于证书配置错误、不匹配的协议或密码套件、不正确的密钥库密码等问题。下面是详细的排查步骤和代码示例：

1. 检查server.xml中的SSL/TLS配置

首先，确保在server.xml中正确配置了SSL/TLS连接器。以下是一个基本的SSL/TLS连接器配置示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     certificateKeystorePassword="changeit"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

确保：

• certificateKeystoreFile 指向正确的密钥库文件位置。
• certificateKeystorePassword 与创建密钥库时使用的密码匹配。
• protocol 通常设为 org.apache.coyote.http11.Http11NioProtocol。

2. 确认密钥库和证书

如果没有现成的SSL证书，需要生成一个自签名证书或从证书颁发机构（CA）获取证书。以下示例展示了如何使用 keytool 生成一个自签名证书：

keytool -genkey -alias tomcat -keyalg RSA -keystore conf/keystore.jks -keysize 2048

完成后，将会生成一个名为 keystore.jks 的文件，该文件包含自签名证书。

确保密钥库密码和证书密码正确：

<Certificate certificateKeystoreFile="conf/keystore.jks"
             certificateKeystorePassword="changeit"
             type="RSA" />

3. 检查协议和密码套件

确保启用了正确的TLS协议和密码套件。如果需要限制某些协议或密码套件，可以进行如下配置：

<SSLHostConfig>
    <Certificate certificateKeystoreFile="conf/keystore.jks"
                 certificateKeystorePassword="changeit"
                 type="RSA" />
    <Cipher>TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_128_GCM_SHA256</Cipher>
    <Protocols>TLSv1.2, TLSv1.3</Protocols>
</SSLHostConfig>

4. 检查Tomcat和Java版本

确保Tomcat和Java版本都支持所配置的TLS协议和密码套件。较旧版本的Java可能不支持较新的TLS协议或强密码套件。执行以下命令检查Java版本：

java -version

5. 检查日志文件

Tomcat的日志文件位于<TOMCAT_HOME>/logs目录下，特别是catalina.out和localhost.log。在启动Tomcat后，检查这些日志文件以获取有关SSL/TLS问题的详细信息。

例如，可能看到如下错误：

SEVERE: Failed to initialize end point associated with ProtocolHandler ["http-nio-8443"]
java.io.IOException: Keystore was tampered with, or password was incorrect

这种错误通常表明密钥库密码不正确。

6. 使用OpenSSL进行验证

使用OpenSSL工具来检查SSL连接是否正常：

openssl s_client -connect localhost:8443

这可以帮助确认SSL证书是否正确加载，并且没有配置错误。

7. 检查证书链

确保证书链完整并正确配置。如果使用中间证书，确保它们包含在密钥库中或者通过certificateChainFile参数进行配置。

8. 复查配置示例

以下是一个完整的SSL/TLS配置示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     certificateKeystorePassword="changeit"
                     type="RSA" />
        <Cipher>TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_128_GCM_SHA256</Cipher>
        <Protocols>TLSv1.2, TLSv1.3</Protocols>
    </SSLHostConfig>
</Connector>

总结

通过以上步骤，可以有效地排查并解决Tomcat中的SSL/TLS握手失败问题。确保正确配置密钥库和证书、选择合适的协议和密码套件，以及通过日志和工具进行验证。这样可以保证Tomcat的SSL/TLS配置稳定和安全。