HTTPS 证书申请与配置

1、安装 SSL 证书

使用 Let's Encrypt 的免费证书：

## 创建git创库
[root@iz8vb7zx4f3doaej0xdq1oz ~]# mkdir -p /home/jeesaas/soft/git

## 进入git仓库
[root@iz8vb7zx4f3doaej0xdq1oz ~]# cd /home/jeesaas/soft/git

## 下载源码
[root@iz8vb7zx4f3doaej0xdq1oz git]# git clone https://github.com/letsencrypt/letsencrypt

## 进入源码目录
[root@iz8vb7zx4f3doaej0xdq1oz git]# cd letsencrypt

## 执行安装脚本 说明：-email:邮箱； -d:域名；多个域名，用多个-d分隔；
[root@iz8vb7zx4f3doaej0xdq1oz letsencrypt]# ./letsencrypt-auto certonly --standalone --email admin@****.com -d www.demo.com

如果出现下图所示，则表示 SSL 证书申请成功。

注意：该证书只有三个月的有效期，过期之后，需要重新执行命令生成新的证书。证书的默认存放路径为：/etc/letsencrypt

2、配置 Nginx

server {
	listen       80;
	server_name  www.demo.com; ##自己的域名
	rewrite ^(.*)$ https://$host$1 permanent;    
}

server{
		listen       443;  
		server_name  www.demo.com; ## 自己的域名

		ssl                   on;
		ssl_certificate       /etc/letsencrypt/live/www.demo.com/fullchain.pem; 	## 申请证书的文件路径
		ssl_certificate_key   /etc/letsencrypt/live/www.demo.com/privkey.pem;		## 申请证书的文件路径

		ssl_session_cache     shared:SSL:1m;
		ssl_session_timeout   5m;

		#ssl_protocols TLSv1;

		ssl_ciphers  HIGH:!aNULL:!MD5;
		ssl_prefer_server_ciphers   on;

		 location / {
			  proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
			  proxy_set_header        Host $host;
			  proxy_set_header        X-Forwarded-Proto https;
			  proxy_set_header        X-Real-IP $remote_addr;

			  proxy_next_upstream     off;
			  proxy_connect_timeout   300;
			  proxy_send_timeout      300;
			  proxy_read_timeout      300;


			  client_max_body_size    16m;
			  client_body_buffer_size 128k;
			  proxy_pass              http://xxx.xxx.xxx.xxx:8080; 	##Tomcat访问路径
		}
}

修改完成以后重启 Nginx

3、Tomcat 配置

tomcat server.xml 配置有两处需要修改的:

第一处修改点：

第二处修改点：

修改后重启 Tomcat