Сертификат SSL-сертификата в Tomcat

Question

Я приобрел сертификат подстановочного знака, и я пытаюсь использовать его с Tomcat 8.

Я выполнил несколько строк команд, чтобы включить SSL. SSL включен, но я всегда получаю предупреждение о том, что я использую самоподписанный сертификат. Конечно, этого не должно быть, вместо этого следует использовать доверенный сертификат.

Я получил сертификат и промежуточный сертификат (от 1 и 1), и я выяснил, что Корневой сертификат выдается GeoTrust Global CA (я его загрузил).

Генерация ключа: keytool -genkey -alias tomcat -keyalg RSA

Добавление корневого сертификата keytool -import -alias root -keystore .keystore -trustcacerts -file root.pem

Добавление промежуточного сертификата keytool -import -alias intermed -keystore .keystore -trustcacerts -file intermediate.cer

Добавление Главный сертификат keytool -import -alias main -keystore .keystore -file main.cer

Я модифицировал разъем в server.xml, это очень простая деталь, обеспечивающая хранилище ключей и пароль.

Когда я просматриваю к домену, я получаю предупреждение, что это само сертификат, и я должен добавить исключение и так далее ...

Этот сертификат уже используется в IIS, и это отлично работает.

Используя некоторые онлайн-инструменты ssl-checker, это доказывает, что это самоподписанный сертификат, а эмитент равен «Имя и фамилия», которые я предоставляю в начале первой команды.

Что может быть недостающей проблемой?

Спасибо!

Answer 1

Я недавно столкнулся с проблемой в Java/Keytool с импортом и использованием цепочки сертификатов.

Я предполагаю, что ТОЛЬКО первый сертификат отправляется клиенту (я предполагаю, что вы используете тот же браузер, что и на сайте IIS). Это может быть проверено с выходом следующего OpenSSL команды:

OpenSSL s_client -connect YOURSITE.COM:443 -showcerts

Если подтвердится, так как клиент не попадает в промежуточный сертификат и делает ваш сертификат невозможно проверить. В этом случае вам следует, вероятно, «заставить» keytool (не знаю, что вы java-версия/ОС) «съесть» цепочку сертификатов, выполненную вручную.

См. Это excellent post (это то, что я сделал в моем случае). Вспомните, чтобы поставить все сертификаты, включая CA Root.