Linux Tomcat 证书配置后访问提示不安全怎么办？

在Linux环境下部署Tomcat并配置SSL证书是保障Web应用安全的重要步骤，本文将详细介绍从环境准备到证书配置的完整流程,涵盖关键操作要点及常见问题解决方案。

环境准备与依赖安装

在开始配置前，需确保Linux系统已安装Java运行环境（JRE）或JDK，Tomcat 9及以上版本要求Java 8或更高版本,可通过以下命令检查Java版本：

java -version

若未安装Java，以Ubuntu系统为例，使用以下命令安装OpenJDK 11：

sudo apt update
sudo apt install openjdk-11-jdk

确保Tomcat已正确安装并运行，下载Tomcat压缩包后，解压至指定目录（如/opt/tomcat）,并设置执行权限：

sudo chmod +x /opt/tomcat/bin/*.sh

SSL证书获取

证书配置前需准备有效的SSL证书,可通过以下三种方式获取：

1. Let’s Encrypt免费证书：适用于生产环境,使用Certbot工具自动申请。
2. 商业证书：从Symantec、DigiCert等CA机构购买,提供更高保障。
3. 自签名证书：仅用于测试环境，可通过OpenSSL生成：

   openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt -days 365 -nodes

Tomcat证书配置步骤

创建证书存储目录

在Tomcat的conf目录下创建证书存放文件夹：

sudo mkdir /opt/tomcat/conf/ssl

导入证书文件

将证书文件（.crt）和私钥文件（.key）复制至ssl目录，若为Let’s Encrypt证书,需合并证书链：

sudo cat /etc/letsencrypt/live/yourdomain.com/fullchain.pem /etc/letsencrypt/live/yourdomain.com/privkey.pem > /opt/tomcat/conf/ssl/keystore.jks

配置server.xml

编辑Tomcat的conf/server.xml文件，找到Connector节点,添加SSL配置：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="http" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="/opt/tomcat/conf/ssl/keystore.jks"
    keystorePass="your_password"
    ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"
    sslEnabledProtocols="TLSv1.2,TLSv1.3"/>

参数说明：

• keystoreFile：证书存储路径
• keystorePass：证书密码（若为JKS格式）
• sslEnabledProtocols：启用的TLS协议版本

配置web.xml（可选）

强制HTTPS访问时，在应用的web.xml中添加安全约束：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Entire Application</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

证书验证与测试

配置完成后重启Tomcat服务：

sudo /opt/tomcat/bin/shutdown.sh
sudo /opt/tomcat/bin/startup.sh

通过浏览器访问https://yourdomain.com:8443，若地址栏显示安全锁图标，则配置成功,也可使用OpenSSL命令验证证书：

openssl s_client -connect yourdomain.com:8443 -servername yourdomain.com

常见问题解决方案

1. 证书不信任错误：确保证书链完整,包含中间证书。
2. 协议版本不兼容：禁用过时的SSLv3/TLSv1.0，优先使用TLSv1.2+。
3. 内存不足：在catalina.sh中添加JVM参数：

   export JAVA_OPTS="-Xms512m -Xmx1024m -Djavax.net.ssl.keyStore=/path/to/keystore"

自动化证书更新（Let’s Encrypt）

使用Certbot的 renew选项实现自动续期：

sudo certbot renew --dry-run

添加定时任务（crontab）每月自动执行：

0 0 1 * * /usr/bin/certbot renew --quiet && systemctl restart tomcat

性能优化建议

通过以上步骤，可完成Linux环境下Tomcat的安全证书部署，确保数据传输加密并提升用户信任度,定期检查证书有效期并保持系统更新是长期维护的关键。