在Tomcat 7中使用多个SSL证书

Question

我一直在Apache Tomcat7中使用通配符SSL证书，但现在我必须续签，我看到了这些EV (扩展验证) SSL证书，浏览器会显示一个漂亮的绿色条，让用户感觉更好。这对我的网站很重要，所以我想要它！但我有多个子域，显然EV SSL证书不是通配符的性质。所以好吧，我有一组子域，我可以买一堆(我肯定需要至少2个) EV SSL证书为每个子域。

我可以在Tomcat7中设置它，以便在一个web应用程序上有多个SSL证书吗？为这台机器分配多个IP地址对我来说不是问题。

Answer 1

如果没有服务器名称指示(SNI) ( Java (6)中不支持)，则每个IP地址都需要一个证书。

您可以使用address attribute将Tomcat配置为使用多个连接器，这些连接器具有不同的IP地址和证书。

例如：

<Connector 
       port="8443" maxThreads="200" address="10.0.0.1"
       scheme="https" secure="true" SSLEnabled="true"
       keystoreFile="keystore1.jks" keystorePass="..."
       clientAuth="false" sslProtocol="TLS"/>
<Connector 
       port="8443" maxThreads="200" address="10.0.0.2"
       scheme="https" secure="true" SSLEnabled="true"
       keystoreFile="keystore2.jks" keystorePass="..."
       clientAuth="false" sslProtocol="TLS"/>

如果需要，您还可以使用相同的密钥库，并使用keyAlias属性(在Connector中)告诉连接器使用哪个密钥/证书(基于密钥库中的别名)。

Answer 2

我不确定，在这里"SNI“是否真的相关。

但在您的情况下，典型的解决方案将是所谓的ssloffloading或ssl终止:即将您的tomcat放在apache后面，apache配置为在同一ip上使用多个vhost/域名。您可以将apache中的每个vhost配置为使用其自己的SSL证书。

这里有关于此主题的分步指南：

http://milestonenext.blogspot.de/2012/09/ssl-offloading-with-modjk-part-1.html

Answer 3

我正在使用tomcat 8.5，现在可以使用多个SSL/多域配置tomcat。这是我的配置。

    <Connector port="443" protocol="org.apache.coyote.http11.Http11AprProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true" 
           defaultSSLHostConfigName="localhost" >

    <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
    <SSLHostConfig hostName="localhost">
        <Certificate certificateKeyFile="/$path/privkey.pem"
                     certificateFile="/$path/certificate.pem"
                     certificateChainFile="/$path/chain.pem"
                     type="RSA" />
    </SSLHostConfig>
       <SSLHostConfig hostName="domainname.com">
        <Certificate certificateKeyFile="/$path/privkey.pem"
                     certificateFile="/$path/certificate.pem"
                     certificateChainFile="/$path/chain.pem"
                     type="RSA" />
    </SSLHostConfig>

</Connector>