Apache Tomcat for Windows SSL实现不工作

Question

• 环境：Windows 2003 Server-64位
• 服务器名称:devtest.domain.local
• Apache Tomcat 6.0.36服务器-http://Tomcat.apache.org/（Windows）
• 孙Java JDK:jdk1.6.0_26

同时定义%CATALINA_HOME%和%JAVA_HOME%.

CATALINA_HOME=d:\tomcat
JAVA_HOME=D:\Program Files\Java\jdk1.6.0_26

正在为我们的证书颁发机构生成CSR..

"%JAVA_HOME%\bin\keytool.exe" -genkey -alias "test.domain.local" -keyalg RSA -sigalg SHA256withRSA -keysize 2048 -keystore "C:\NewCert\keystore.ks" -dname "CN=test.domain.local, OU=IT, O=Company Name, L=AnyTown, ST=State, C=US" -storepass "APASSWORD" && "%JAVA_HOME%\bin\keytool.exe" -certreq -keyalg RSA -sigalg SHA256withRSA -alias "test.domain.local" -file "C:\NewCert\test.csr" -keystore "C:\NewCert\keystore.ks" -storepass "APASSWORD"

是的，我知道服务器名：devtest.domain.local与test.domain.local的CSR不同。我也修改了windows主机文件，但仍然不能工作。

然后，我将test.csr发送给我们的证书管理员，并收到一个名为：test.cer的文件

让我们导入证书：

"%JAVA_HOME%\bin\keytool.exe" -importcert -file "C:\NewCert\test.cer" -keystore "C:\NewCert\keystore.ks" -alias "tomcat" -storepass "APASSWORD"

编辑文件D:\tomcat\conf\server.xml,我们得到：

    <!-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 -->
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
               SSLEnabled="true"
maxThreads="200" scheme="https" secure="true"
keystoreFile="C:\NewCert\keystore.ks" keystorePass="APASSWORD"
clientAuth="false" keyAlias="tomcat" sslProtocol="TLS" />

然后重新启动Apache Tomcat for Windows..

站点出现良好..http：//localhost/manager/html

让我们看看端口8443:https://localhost:8443/manager/html我们无法拉出一个基于SSL的网页。我也尝试过443端口，但也没有成功。自签名证书不是一个选项--我们被阻止了审计与这些。

发现错误，请参阅下文。

-Djavax.net.debug=ssl,handshake

事实上，我已经添加了我们定制的服务器选项：

-Xms1g
-Xmx6g
-XX:PermSize=256m
-XX:NewSize=256m
-XX:MaxNewSize=256m
-XX:MaxPermSize=256m
-XX:+AggressiveHeap
-XX:+PrintGCDetails
-XX:+PrintGCTimeStamps
-verbose:gc
-Dcom.sun.management.jmxremote.port.8086
-Dcom.sun.management.jmxremote.ssl=false
-Dcom.sun.management.jmxremote.authenticate=false
-Dhttps.proxyHost=10.10.10.10
-Dhttps.proxyPort=8080
-Djavax.net.debug=ssl,handshake

在我们的stdout日志中发现了以下内容。

*** ClientHello, TLSv1
RandomCookie:  GMT: 1409089044 bytes = { <REMOVED_COOKIE> }
Session ID:  {}
Cipher Suites: [SSL_RSA_WITH_RC4_128_MD5, SSL_RSA_WITH_RC4_128_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_RSA_WITH_DES_CBC_SHA, SSL_RSA_EXPORT1024_WITH_RC4_56_SHA, SSL_RSA_EXPORT1024_WITH_DES_CBC_SHA, SSL_RSA_EXPORT_WITH_RC4_40_MD5, SSL_RSA_EXPORT_WITH_RC2_CBC_40_MD5, SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA, SSL_DHE_DSS_WITH_DES_CBC_SHA, SSL_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA]
Compression Methods:  { 0 }
Extension renegotiation_info, renegotiated_connection: <empty>
***
http-8443-exec-1, fatal error: 40: no cipher suites in common
javax.net.ssl.SSLHandshakeException: no cipher suites in common
http-8443-exec-1, SEND TLSv1 ALERT:  fatal, description = handshake_failure
http-8443-exec-1, WRITE: TLSv1 Alert, length = 2
http-8443-exec-1, fatal: engine already closed.  Rethrowing javax.net.ssl.SSLHandshakeException: no cipher suites in common
http-8443-exec-1, called closeOutbound()
http-8443-exec-1, closeOutboundInternal()
Using SSLEngineImpl.
Allow unsafe renegotiation: false
Allow legacy hello messages: true
Is initial handshake: true
Is secure renegotiation: false
http-8443-exec-2, READ: SSLv3 Handshake, length = 67

找到了这篇文章--似乎正是我所需要的--Tomcat 7在尝试进行客户端服务器ssl验证时出现getting SSLv2Hello被禁用的错误

谢谢！

Answer 1

1. 尝试对key、certreq和cert使用相同的别名（例如test.domain.local）。然后在server.xml中配置keyalias=“test.domain.local”
2. 使用KeyTool生成私钥时是否指定了密钥密码？尝试在server.xml中为https连接器指定keypass= 。

日志目录中的任何日志文件中真的没有错误/警告/致命消息吗？应该有一个。