Apache tomcat：将现有证书导入密钥库

Question

我正在尝试为我们的服务器配置 SSL。现在，我已确保 crt 文件密码与密钥库（.jks 密码）相同。但是，每当我将 crt 文件作为别名 tomcat 或 root 导入时（我只能使用其中一个，因为只有一个 crt 文件），我得到ssl_error_no_cypher_overlap。

我找不到任何导入一个证书的指南，它不会抱怨它是一个自签名证书并且一个证书没有 ssl_error_no_cypher_overlap 错误。

这些是我拥有的文件 domainname.ca-bundle, .crt, .csr, .key, .p12, domainname.jks,

这是我给的命令：

keytool -import -trustcacerts -alias root -file domainname.crt -keyalg RSA -keystore domainaname.jks

连接器：

 <Connector port="443" protocol="HTTP/1.1" SSLEnabled="true" maxThreads="200" compression="force"
              compressionMinSize="1024" scheme="https" secure="true" clientAuth="false" sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1" sslProtocol="TLS" URIEncoding="utf-8"
 compressableMimeType="text/html,text/xml,text/plain,text/css,text/javascript,application/x-javascript,application/javascript"
               keystoreFile="domain.jks" keystorePass="pass" />

任何帮助都会很好。非常感谢。

Answer 1

Meta：这感觉像是重复的，但我无法轻易找到匹配项，所以...

SSL/TLS 服务器必须有一个带有 MATCHING PRIVATE KEY 的证书 和链证书（如果适用）。一个证书本身，甚至多个证书是不够的。先做

 keytool -list -v -keystore $d.jks

并查找 PrivateKey 条目（不是trustedCert 条目）。如果存在，请查看证书以确定它们是否是您想要的证书。如果它们不是所需的证书，但您的 .crt 和捆绑文件中确实有所需的证书，请描述 .crt 的内容，尤其是捆绑文件的内容，我们可以弄清楚如何使用他们修复.jks。特别是，单个证书通常使用两种格式，CA“捆绑”有几种格式；如果您在记事本或 vi 等编辑器中打开文件，并且第一行是 -----BEGIN something-----，然后是几乎所有字母和数字的块，然后是 ----END same----，也许更多相同，请发布一些东西；如果它们看起来都是随机字符，并且至少在前 64 个字节后您有可用的十六进制转储工具，或者如果您有 OpenSSL 或任何其他 ASN.1（二进制）解析器可用，则发布结果。如果根本没有私钥，这个.jks 是没用的；丢弃它并继续。

您的.key 文件听起来可能包含私钥，但人们标记.key 的格式有几十种，而且该文件不太可能是可用格式。如果 p12 中的 key 不是更方便，我们可以回到这个。

您的.p12 文件几乎肯定包含私钥和一些证书，但不一定包含所需的证书。 （从技术上讲，PKCS#12 标准允许文件没有私钥，但创建 PKCS#12 的所有常用工具都不会这样做。）要查看您现在拥有的内容，请执行

keytool -list -v -keystore $d.jks -storetype pkcs12

如果这是您想要的，Tomcat（和 Java/JSSE）实际上可以直接使用 pkcs12 作为密钥库来代替 JKS：只需为其设置 keystoreFile 和 keystorePass 并添加 keystoreType="pkcs12"。或者，您可以使用

将 pkcs12 转换为 JKS

keytool -importkeystore -srckeystore $d.p12 -srcstoretype pkcs12 -destkeystore $d.jks 

如果 .p12 包含私钥但证书错误，则有两种方法：

• 首先将 pkcs12 转换为 JKS，然后修复 JKS 中的证书；现在这与我的第一段相同：JKS contains privatekey but wrong cert(s)

1234563这让您回到我的第四段：具有正确证书的 pkcs12，您可以使用或转换为 JKS 并使用它。

Answer 2

我尝试了您的连接器属性（使用 protocol 进行了一些更改）

 <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" SSLEnabled="true" maxThreads="200" compression="force"
              compressionMinSize="1024" scheme="https" secure="true" clientAuth="false" sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1" sslProtocol="TLS" URIEncoding="utf-8"
              compressableMimeType="text/html,text/xml,text/plain,text/css,text/javascript,application/x-javascript,application/javascript"
               keystoreFile="domainaname.jks" keystorePass="123456"    keystoreType="JKS"
               truststoreFile="domainaname.jks"
                truststoreType="JKS" truststorePass="123456"
               />

一切正常 变化：

 protocol="org.apache.coyote.http11.Http11NioProtocol"
 truststoreFile="domainaname.jks"
 truststoreType="JKS" truststorePass="123456"

您是否在密钥库中导入了私钥？

keytool -importkeystore -destkeystore mykeystore.jks -srckeystore keystore.p12 -srcstoretype pkcs12 -alias myservercert