1、軟體版本:
nginx-1.15+
tomcat-8.0+
2、先解決一個疑問:Tomcat到底需不需要配置SSL?
答案:不需要
3、SSL申請
使用騰訊雲、阿里雲的伺服器,會更加方便申請。(申請過程略)
申請完以後會得到兩個檔案:
1_www.domain.com_bundle.crt 證書檔案
2_www.domain.com.key 私鑰檔案
將這兩個檔案複製到 Nginx 伺服器的 /usr/local/nginx/conf 目錄下。
4、前提:nginx安裝了ssl模組,如果沒有安裝,點下面的連結:
https://www.cnblogs.com/hunttown/p/5757829.html
5、nginx證書部署
server { #SSL 訪問埠號為 443 listen 443 ssl; #填寫繫結證書的域名 server_name www.domain.com; #證書檔名稱 ssl_certificate 1_www.domain.com_bundle.crt; #私鑰檔名稱 ssl_certificate_key 2_www.domain.com.key; ssl_session_timeout 5m; #請按照這個協議配置 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #請按照這個套件配置,配置加密套件,寫法遵循 openssl 標準。 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; ssl_prefer_server_ciphers on; location / { #網站主頁路徑。此路徑僅供參考,具體請您按照實際目錄操作。 root /var/www/www.domain.com; index index.html index.htm; } }
6、部署完畢以後進行測試
./sbin/nginx -t
7、有人會出現這個問題:NGINX報錯 : [warn] the "ssl" directive is deprecated, use the "listen ... ssl" directive instead
原因是:新版本nginx需要這樣配置
#將 listen 443 ssl on #改成: listen 443 ssl
問題解決,SSL部署完畢!
8、如何在應用中取https正確的協議
問題:
request.getScheme() #總是 http,而不是實際的http或https request.isSecure() #總是false(因為總是http) request.getRemoteAddr() #總是 nginx 請求的 IP,而不是使用者的IP request.getRequestURL() #總是 nginx 請求的URL 而不是使用者實際請求的 URL response.sendRedirect( 相對url ) #總是重定向到 http 上 (因為認為當前是 http 請求)
解決辦法:只需要分別配置一下 Nginx 和 Tomcat
(1)配置 Nginx 的轉發項:
proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme;
(2)配置Tomcat server.xml 的 Engine 模組:
<Valve className="org.apache.catalina.valves.RemoteIpValve" remoteIpHeader="X-Forwarded-For" protocolHeader="X-Forwarded-Proto" protocolHeaderHttpsValue="https"/>
問題解決!