如何配置Tomcat以使用TLS v1。2在出站连接中

Question

我的web应用程序正在使用Apigee背后的某个REST服务，现在Apigee只需要与TLS v1通信。2.作为REST服务的客户，我们还收到通知，如果我们不将web应用配置为使用更新版本的TLS，我们的请求将被拒绝。

我正在使用Java 7和Tomcat 7，我知道这些Java和Tomcat支持TLS v1。2个现成的连接，但我在Tomcat服务器上没有配置SSL/TLS，因为我只将Tomcat用作SSL通信的HTTP和出站代理。

问题1：
有没有办法检查Tomcat上发送我的web应用程序的请求类型，以及这些请求是否会被只接受TLS v1的服务器拒绝。2.

问题2：
如果默认情况下没有配置，如何在Tomcat上配置？我从官方文件中发现了这一点，但我想知道这是否只会影响入站连接，还是也会影响出站连接。

Answer 1

是否有任何方法可以检查在Tomcat上发送我的Web应用程序的请求类型，以及仅接受TLS v1.2的服务器是否会拒绝这些请求？

使用系统属性javax.net.debug=ssl运行-通常最好设置在CATALINA_OPTS中setenv.sh或setenv.bat尽管可能有其他方法-并捕获写入标准输出的大量跟踪-如何执行取决于您的环境。这将记录JVM进程中的所有SSL/TLS连接，但由于您没有使用SSL/TLS（HTTPS）入站，这应该不是问题。

或者，使用Wireshark或tcpdump或类似工具从网络中捕获；这可能需要root或某些（Linux）功能，但可以只过滤到感兴趣的连接。

是的，如果您（通过Java）发送的握手不提供1.2，而服务器需要（仅）1.2，握手将失败。

如果默认情况下没有配置，如何在Tomcat上配置它？我从官方文件中发现了这一点，但我想知道这是否只会影响入站连接，还是也会影响出站连接。

是的，这只影响入站SSL/TLS（HTTPS）连接。Tomcat代码通常只处理入站HTTP或HTTPS连接；任何出站连接要么在代码中是显式的，要么在您调用的库代码（如数据库驱动程序）中是显式的。

Oracle Java 7的免费版本实现了TLS 1.2，但默认情况下在客户端禁用了它（以及1.1）。如何改变这一点取决于您的代码如何建立连接，比如通过哪个库，而您没有提供任何相关信息。关于这一点有很多问题（很多年前），比如：

https://superuser.com/questions/747377/enable-tls-1.1-and-1.2-for-clients-on-java-7
获取javax.net.ssl.SSLException：收到致命警报：protocol_version时在JDK7客户端启用TLS 1.2
如何在Win10/Tomcat7/Java7上从Web应用程序启用TLSv1.1出站通信？
服务器关闭使用httpClient和Java7建立的连接
SSLHandshakeException：握手期间远程主机关闭连接
如何在Java7中启用TLS 1.2
TLS 1.2在Java8中支持，但在Java7中不支持

最后两点指出，如果你支付Oracle支持合同的费用，你只需升级到7u131（或更好）。或者如果你可以使用OpenJDK。