数字证书安装

John Doe
2019-09-09

4种主流服务器使用https时，在服务器端安装数字证书（ssl）

Apache服务器安装SSL证书

在证书控制台下载Apache版本证书，下载到本地的是一个压缩文件，解压后里面包含_public.crt文件是证书文件，_chain.crt是证书链(中间证书)文件，.key文件是证书的私钥文件（申请证书时如果没有选择系统创建CSR，则没有该文件）。

友情提示： .crt扩展名的证书文件采用Base64-encoded的PEM格式文本文件，可根据需要，修改成.pem等扩展名。

以Apache标准配置为例，假如证书文件名是a_public.crt，证书链文件是a_chain.crt,私钥文件是a.key。

操作步骤:

  1. 在Apache的安装目录下创建cert目录，并且将下载的全部文件拷贝到cert目录中。如果申请证书时是自己创建的CSR文件，请将对应的私钥文件放到cert目录下并且命名为a.key；

  2. 打开 apache 安装目录下 conf 目录中的 httpd.conf 文件，找到以下内容并去掉“#”。

    1
    2
    #LoadModule ssl_module modules/mod_ssl.so (如果找不到请确认是否编译过 openssl 插件)
    #Include conf/extra/httpd-ssl.conf（删除行首的配置语句注释符号“#”，保存后退出）

  3. 打开 apache 安装目录下 conf/extra/httpd-ssl.conf 文件 (也可能是conf.d/ssl.conf，与操作系统及安装方式有关)， 在配置文件中查找以下配置语句:

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    # 添加 SSL 协议支持协议，去掉不安全的协议
    SSLProtocol all -SSLv2 -SSLv3
    # 修改加密套件如下
    SSLCipherSuite HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM
    SSLHonorCipherOrder on
    # 证书公钥配置
    SSLCertificateFile cert/a_public.crt
    # 证书私钥配置
    SSLCertificateKeyFile cert/a.key
    # 证书链配置，如果该属性开头有 '#'字符，请删除掉
    SSLCertificateChainFile cert/a_chain.crt

  4. 重启 Apache。

    1
    2
    apachectl -k stop
    apachectl -k start

Nginx/Tengine服务器安装SSL证书

2018年11月30日 00:17:13

  1. 在证书控制台(可以在阿里云控制台购买或者获取免费的)下载Nginx版本证书。下载到本地的压缩文件包解压后包含：

.crt文件：是证书文件，crt是pem文件的扩展名。
.key文件：证书的私钥文件（申请证书时如果没有选择自动创建CSR，则没有该文件）。
友情提示： .pem扩展名的证书文件采用Base64-encoded的PEM格式文本文件，可根据需要修改扩展名。

以Nginx标准配置为例，假如证书文件名是a.pem，私钥文件是a.key。

在Nginx的安装目录下创建cert目录，并且将下载的全部文件拷贝到cert目录中。如果申请证书时是自己创建的CSR文件，请将对应的私钥文件放到cert目录下并且命名为a.key；

  1. 打开 Nginx 安装目录下 conf 目录中的 nginx.conf 文件，找到：

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    # HTTPS server
    # #server {
    # listen 443;
    # server_name localhost;
    # ssl on;
    # ssl_certificate cert.pem;
    # ssl_certificate_key cert.key;
    # ssl_session_timeout 5m;
    # ssl_protocols SSLv2 SSLv3 TLSv1;
    # ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
    # ssl_prefer_server_ciphers on;
    # location / {
    #
    #
    #}
    #}

将其修改为 (以下属性中ssl开头的属性与证书配置有直接关系，其它属性请结合自己的实际情况复制或调整) :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
server {
 listen 443;
 server_name localhost;
 ssl on;
 root html;
 index index.html index.htm;
 ssl_certificate   cert/a.pem;
 ssl_certificate_key  cert/a.key;
 ssl_session_timeout 5m;
 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
 ssl_prefer_server_ciphers on;
 location / {
     root html;
     index index.html index.htm;
 }
}
  1. 保存退出。
  2. 重启 Nginx。

Tomcat服务器安装SSL证书

在证书控制台下载Tomcat版本证书，下载到本地的是一个压缩文件，解压后里面包含.pfx文件是证书文件，pfx_password.txt是证书文件的密码。
友情提示： 每次下载都会产生新密码，该密码仅匹配本次下载的证书。如果需要更新证书文件，同时也要更新密码。
申请证书时如果没有选择系统创建CSR，则没有该文件，请选择其它服务器下载.crt文件，利用openssl命令自己生成pfx证书。

  1. PFX证书安装
    以Tomcat7标准配置为例，假如证书文件名是a.pfx。
    找到安装Tomcat目录下该文件server.xml,一般默认路径都是在 conf 文件夹中。找到 <Connection port=”8443”标签，增加如下属性：
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    keystoreFile="cert/200613478180598.pfx"
    keystoreType="PKCS12"
    #此处的证书密码，请参考附件中的密码文件或在第1步中设置的密码
    keystorePass="证书密码"
    完整的配置如下，其中port属性根据实际情况修改：

    <Connector port="8443"
        protocol="HTTP/1.1"
        SSLEnabled="true"
        scheme="https"
        secure="true"
        keystoreFile="cert/a.pfx"
        keystoreType="PKCS12"
        keystorePass="证书密码"
        clientAuth="false"
        SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
        ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

注意：不同的版本Tomcat，需要替换的属性字段不一定相同，所以只需要给预定的属性赋值即可

  1. JKS证书安装
    ( 1 ) 使用java jdk将PFX格式证书转换为JKS格式证书(windows环境注意在%JAVA_HOME%/jdk/bin目录下执行)
    1
    keytool -importkeystore -srckeystore amanda.pfx -destkeystore amanda.jks -srcstoretype PKCS12 -deststoretype JKS

回车后输入JKS证书密码和PFX证书密码，强烈推荐将JKS密码与PFX证书密码相同，否则可能会导致Tomcat启动失败。

( 2 ) 找到安装 Tomcat 目录下该文件Server.xml，一般默认路径都是在 conf 文件夹中。找到 <Connection port=”8443”标签，增加如下属性：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
keystoreFile="cert/a.jks"
keystorePass="证书密码"
完整的配置如下，其中port属性根据实际情况修改：
<Connector port="8443"
    protocol="HTTP/1.1"
    SSLEnabled="true"
    scheme="https"
    secure="true"
    keystoreFile="cert/a.jks"
    keystorePass="证书密码"
    clientAuth="false"
    SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
    ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>
( 注意:不要直接拷贝所有配置，只需添加 keystoreFile,keystorePass等参数即可，其它参数请根据自己的实际情况修改 )

  1. 重启 Tomcat。
 上一页

前端