标签：ssl   nginx https配置   tomcat https配置   https双向验证   nginx双向验证配置   

1. 安装 nginx

1.1 nginx 包及其依赖包下载

• gzip 模块需要 zlib 库(http://www.zlib.net/)；
• rewrite 模块需要 pcre 库(http://www.pcre.org/)；
• ssl 功能需要 openssl 库(http://www.openssl.org/)；

1.2 nginx 包及其依赖包安装

1.2.1 安装 openssl

1.2.2 安装 zlib

1.2.3 安装 pcre

1.2.4 安装 nginx

1.3 验证 Nginx 是否安装成功

证明 Nginx 安装成功。

2. SSL 服务器 / 客户端双向验证证书的生成

2.1 创建一个新的 CA 根证书

2.1.1 conf 目录新建 openssl.conf 文件

[ ca ]
default_ca      = foo                   # The default ca section
 
[ foo ]
dir            = /usr/local/nginx/ca         # top dir
database       = /usr/local/nginx/ca/index.txt          # index file.
new_certs_dir  = /usr/local/nginx/ca/newcerts           # new certs dir
 
certificate    = /usr/local/nginx/ca/private/ca.crt         # The CA cert
serial         = /usr/local/nginx/ca/serial             # serial no file
private_key    = /usr/local/nginx/ca/private/ca.key  # CA private key
RANDFILE       = /usr/local/nginx/ca/private/.rand      # random number file
 
default_days   = 365                     # how long to certify for
default_crl_days= 30                     # how long before next CRL
default_md     = md5                     # message digest method to use
unique_subject = no                      # Set to ‘no‘ to allow creation of
                                         # several ctificates with same subject.
policy         = policy_any              # default policy
 
[ policy_any ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = match
localityName            = optional
commonName              = supplied
emailAddress            = optional

2.1.2 生成私钥 key 文件

2.1.3 生成证书请求 csr 文件

提示输入 Email Address，输入 defonds@163.com 并回车后：

提示输入 A challenge password，输入 defonds 并回车后：

2.1.4 生成凭证 crt 文件

2.1.5 为我们的 key 设置起始序列号

2.1.6 创建 CA 键库

2.1.7 为 "用户证书" 的移除创建一个证书撤销列表

2.2 服务器证书的生成

2.2.1 创建一个 key

2.2.2 为我们的 key 创建一个证书签名请求 csr 文件

2.2.3 使用我们私有的 CA key 为刚才的 key 签名

2.3 客户端证书的生成

2.3.1 创建存放 key 的目录 users

2.3.2 为用户创建一个 key

2.3.3 为 key 创建一个证书签名请求 csr 文件

2.3.4 使用我们私有的 CA key 为刚才的 key 签名

2.3.5 将证书转换为大多数浏览器都能识别的 PKCS12 文件

要求输入 Export Password，这个是客户端证书的保护密码，在客户端安装证书的时候需要输入这个密码。我还是输入 defonds。users 目录下有 client.p12 文件生成。

3. Nginx 配置

worker_processes  1;

error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;

    log_format  main  ‘[$time_local] $remote_addr - "$request" ‘
                      ‘$status "$http_user_agent" ‘
                      ‘"$args"‘;

    access_log  logs/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  120;
    client_max_body_size    120m;
    client_body_buffer_size 128k;
    server_names_hash_bucket_size 128;
    large_client_header_buffers 4 4k;
    open_file_cache max=8192 inactive=20s;
    open_file_cache_min_uses 1;
    open_file_cache_valid 30s;

	upstream tomcat_server {
	# Tomcat is listening on default 8080 port
        server 192.168.1.177:8080 fail_timeout=0;
    }

    server {
        listen       443;
        server_name  localhost;
        ssi on;
        ssi_silent_errors on;
        ssi_types text/shtml;

        ssl                  on;
        ssl_certificate      /usr/local/nginx/ca/server/server.crt;
        ssl_certificate_key  /usr/local/nginx/ca/server/server.key;
        ssl_client_certificate /usr/local/nginx/ca/private/ca.crt;

        ssl_session_timeout  5m;
        ssl_verify_client on;  #开户客户端证书验证

        ssl_protocols  SSLv2 SSLv3 TLSv1;
        ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
        ssl_prefer_server_ciphers   on;
        
        charset utf-8;
		access_log  logs/host.access.log  main;

		#error_page  404              /404.html;

		# redirect server error pages to the static page /50x.html
		#

		error_page   500 502 503 504  /50x.html;
		location = /50x.html {
				root   html;
		}
		location = /favicon.ico {
				log_not_found off;
				access_log off;
				expires      90d;
		}
		location /swifton/ {
				proxy_pass http://tomcat_server;
				include proxy.conf;
		}      

    }
}

其中，tomcat(本例中和 nginx 部署同台机器) 是 nginx 同一局域网段的，swifton 是测试 tomcat 项目。proxy.conf 内容：

proxy_redirect   off;
proxy_set_header   Host             $host;
proxy_set_header   X-Real-IP        $remote_addr;
proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
proxy_connect_timeout 60;
proxy_read_timeout 600;
proxy_set_header   X-Forwarded-Proto $scheme;

4. Tomcat 配置

    <Connector port="8080" protocol="HTTP/1.1" 
               connectionTimeout="20000" 
               redirectPort="8443" />

    <Connector port="8080" protocol="HTTP/1.1" 
               connectionTimeout="20000" 
               redirectPort="8443"
			   scheme="https"
			   proxyName="localhost"
			   proxyPort="443" />

5. 配置验证

5.1 Tomcat 重启验证

5.2 Nginx 重启验证

5.3 客户访问 ssl 验证

CentOS 下对 Nginx + Tomcat 配置 SSL 实现服务器 / 客户端双向认证，至此结束。本文示例所涉及安装包 openssl-fips-2.0.9.tar.gz、pcre-8.36.tar.gz、zlib-1.2.8.tar.gz、nginx-1.7.10.tar.gz，Nginx 配置文件 nginx.conf、proxy.conf，以及 Tomcat 配置文件 server.xml 都已打包作为博客附件上传到 CSDN 资源，有兴趣的朋友可以去下载下来参考，下载地址：http://download.csdn.net/detail/defonds/8512071。

参考资料

• http://webapp.org.ua/sysadmin/setting-up-nginx-ssl-reverse-proxy-for-tomcat/
• http://serverfault.com/questions/172542/configuring-nginx-for-use-with-tomcat-and-ssl

图文：CentOS 下对 Nginx + Tomcat 配置 SSL 实现服务器 / 客户端双向认证

标签：ssl   nginx https配置   tomcat https配置   https双向验证   nginx双向验证配置   

原文地址：http://blog.csdn.net/defonds/article/details/44410359