在EC2 Tomcat服务器上安装SSL

Question

我正在尝试使用Ubuntu和Tomcat7.0.52在AWS EC2实例上获得一个CA证书/SSL。浏览器无法连接。以下是我走过的步骤：

keytool -genkey -alias mydomain -keyalg RSA -keystore mydomain.keystore -keysize 2048
<fill out information>

keytool -certreq -keyalg RSA -alias mydomain -file certreq.csr -keystore ../mydomain.keystore

将csr提交给ssls.com/geoTrust，并接收返回：bundle.crt www.mydomain.net.crt

将证书导入密钥库：

keytool -import -trustcacerts -alias root -keystore ../mydomain.keystore -file bundle.crt
keytool -import -alias mydomain -keystore ../mydomain.keystore -file www.mydomain.net.crt

接下来，更新$TOMCAT_HOME/config/server.xml:

<Connector port="8080" protocol="HTTP/1.1"
       connectionTimeout="20000"
       redirectPort="443" />
<Connector port="8443" SSLEnabled="true"
       maxThreads="150" scheme="https" secure="true"
       keystoreFile="/home/ubuntu/mydomain.keystore" 
       keystorePass="xxxxxxx"
       clientAuth="false" sslProtocol="TLS" />

然后重新启动Tomcat。

sudo iptables -t nat -n -L PREROUTING --line-numbers
Chain PREROUTING (policy ACCEPT)
num  target     prot opt source               destination         
1    REDIRECT   tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:443 redir ports 8443
2    REDIRECT   tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 redir ports 8080

54.200.126.130  www.mydomain.net
54.200.126.130  mydomain.net

openssl测试：

openssl s_client -connect www.mydomain.net:443
CONNECTED(00000003)
64007:error:14077410:SSL routines:SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure:s23_clnt.c:602:

切换到使用keytool生成的自签名证书可以很好地工作（除了强制性的浏览器警告之外）。因此，问题似乎一定是证书和/或密钥库的问题，但我不确定问题是什么。

Answer 1

除非在连接器上指定keyalias属性，否则Tomat假定keystore别名为“tomcat”。只需添加keyalias=mydomain或使用keytool将别名重命名为“tomcat”。