Instalación de un certificado SSL en Tomcat – Alojamiento –

Esta guía está destinada a quienes utilizan Apache Tomcat y su sitio web se ejecuta en el puerto predeterminado 8080 u 80 a través del protocolo HTTP. Una vez que se cumple esta condición, se puede iniciar la instalación de SSL.

Tomcat le proporciona una forma bastante flexible de instalar SSL, a diferencia de la mayoría de los otros servidores. Los certificados SSL se pueden instalar a través de conectores APR (Apache Portable Runtime) o JSSE (Java Secure Socket Extension). El método JSSE es el conector más utilizado que incluye la interacción con almacenes de claves Java creados mediante keytool. APR simplifica la instalación de SSL al proceso habitual similar a Apache.

Requisitos previos

Almacenes de claves Java

Una vez que haya contenido la clave privada junto con la CSR correspondiente, deberá importar su certificado SSL emitido al almacén de claves con el alias del almacén de claves principal. Cada vez que interactúe con un archivo de almacén de claves, deberá ingresar su contraseña. A continuación se muestra una descripción general de todas las formas posibles de agregar un certificado a su almacén de claves.

PKCS#7

La forma más rápida de instalar su SSL en Tomcat desde un almacén de claves es utilizar un certificado con formato PKCS#7 (un archivo con la extensión .p7b o .cer).

Paso 1: cargue archivos SSL

Cargue el archivo de certificado PKCS#7 en el servidor. Luego, impórtalo usando el siguiente comando:

keytool -import -trustcacerts -alias tomcat -file certificado.p7b -keystore yourkeystore.jks

Dónde:

• Tomcat es el alias real de su almacén de claves.

• Certificate.p7b es el nombre/ruta real a su archivo de certificado.

• yourkeystore.jks es el nombre/ruta real al archivo del almacén de claves

Asegúrese de que el archivo del certificado tenga el mismo alias utilizado para . De lo contrario, puede producirse el error “”.

Una vez que haya importado correctamente, debería recibir el siguiente resultado:

La respuesta del certificado se instaló en el almacén de claves.

Paso 2: editar la configuración SSL

En el siguiente paso, deberá modificar el conector para el puerto predeterminado 8443 o 443.

La modificación debe realizarse en el archivo 'directorio de instalación de Tomcat'/conf/server.xml. Puede encontrar la ubicación del directorio que contiene el archivo de configuración server.xml emitiendo este comando:

sudo buscar / -ipath '*tomcat*servidor.xml'

Lo más probable es que esté en /opt/tomcat/conf/server.xml o /etc/tomcat/server.xml

A continuación se muestra un ejemplo de un conector JSSE para el puerto 443 que utiliza el protocolo HTTP/1.1 con TLS hasta 1.3 habilitado:

protocolo=”org.apache.coyote.http11.Http11NioProtocol”

puerto=”443″

maxThreads=”200″

esquema=”https”

seguro = “verdadero”

SSLEnabled=”verdadero”

keystoreFile=”/opt/tomcat/ssl/yourkeystore.jks”

keystorePass=”contraseña_almacén de claves”

clientAuth=”falso”

sslProtocol=”TLS”/>

Dónde:

• /opt/tomcat/ssl/yourkeystore.jks es la ruta absoluta y el nombre real del archivo del almacén de claves

• keystore_password es la contraseña real de su almacén de claves

Paso 3: Aplicar cambios

Una vez hecho esto, reinicie Tomcat para aplicar los cambios. Si no está muy seguro de los pasos para reproducir, no dude en aplicar los cambios y verificar la instalación de SSL.

PEM

La forma más desafiante, aunque aún común, de instalar un certificado SSL en Tomcat es mediante el uso de certificados SSL separados con formato PEM.

Paso 1: preparar los archivos

Este método requiere que tengas cada uno de los certificados guardados en archivos separados:

1. Certificado raíz de CA.
2. Segundo certificado intermedio de CA (opcional y se puede omitir si su paquete de CA contiene solo 1 certificado intermedio).
3. Certificado intermedio de CA.
4. Certificado de entidad final para su dominio.

El orden del certificado será el siguiente para el certificado más utilizado:

keytool -importar servicios de certificados AAA

keytool -import USERTrust Autoridad de certificación RSA

keytool -import Sectigo RSA Validación de dominio Servidor seguro CA

herramienta clave -importar ejemplo.com.crt

Nota: Puede encontrar más paquetes de CA.

Nota: Los “Servicios de certificados AAA” solo se instalan si elige el paquete CA que contiene el certificado con firma cruzada.

La lista anterior está compuesta en orden inverso a propósito, ya que este es el orden exacto en el que se deben importar los certificados al almacén de claves. Puede hacerlo desde su cuenta de junto con el paquete CA. Aquí está el enlace de descarga si solo necesita el paquete CA. Puede resultar útil si encuentra el error “”.

Paso 2: importa los archivos

Siga los pasos a continuación en el orden indicado para importar los archivos correctamente.

Importe el certificado raíz ejecutando:

keytool -import -trustcacerts -alias root -file root.crt -keystore yourkeystore.jks

Dónde:

• root es el alias del certificado raíz de CA importado

• root.crt es el nombre/ruta real de su certificado raíz de CA

• yourkeystore.jks es el nombre/ruta real del archivo del almacén de claves

Nota: Durante la importación del certificado raíz de CA, es posible que aparezca el siguiente mensaje.

El certificado ya existe en el almacén de claves de CA de todo el sistema con un alias
¿Aún quieres agregarlo a tu propio almacén de claves? :

Ignore la advertencia y confirme la importación del certificado enviando y.

Importe el segundo certificado intermedio:

keytool -import -trustcacerts -alias intermedio2 -archivo intermedio_2.crt -keystore yourkeystore.jks

Dónde:

• middle2 es el alias del segundo certificado de CA intermedio importado

• middle_2.crt es el nombre/ruta real de su segundo certificado de CA intermedio

Importe el primer certificado intermedio:

keytool -import -trustcacerts -alias intermedio1 -archivo intermedio_1.crt -keystore yourkeystore.jks

Dónde:

• intermediario1 es el alias del primer certificado de CA intermedio importado

• middle_1.crt es el nombre/ruta real de su primer certificado de CA intermedio

Después de la importación exitosa de cada uno de los certificados anteriores, debería recibir el siguiente resultado:

El certificado se agregó al almacén de claves.

Importe el certificado de entidad final para su dominio:

keytool -import -trustcacerts -alias tomcat -file certificado.crt -keystore yourkeystore.jks

Dónde:

• tomcat es el alias real de su almacén de claves. El alias de su certificado de entidad final debe ser el mismo que utilizó al crear el almacén de claves con la clave privada. Si no especificó el alias durante la creación del almacén de claves, el valor predeterminado será mykey.

• Certificate.crt es el nombre/ruta real de su archivo de certificado de entidad final.

Después de importar el certificado de entidad final, aparecerá el siguiente mensaje:

La respuesta del certificado se instaló en el almacén de claves.

Paso 3: edite el conector

En el siguiente paso, deberá modificar el conector para el puerto predeterminado 8443 o 443.

La modificación debe realizarse en el archivo 'directorio de instalación de Tomcat'/conf/server.xml. Puede encontrar la ubicación del directorio que contiene el archivo de configuración server.xml emitiendo el siguiente comando:

sudo buscar / -ipath '*tomcat*servidor.xml'

Lo más probable es que esté en /opt/tomcat/conf/server.xml o /etc/tomcat/server.xml

A continuación se muestra un ejemplo del conector JSSE para el puerto 443 que utiliza el protocolo HTTP/1.1 junto con TLS hasta las versiones del protocolo 1.3:

protocolo=”org.apache.coyote.http11.Http11NioProtocol”

puerto=”443″

maxThreads=”200″

esquema=”https”

seguro = “verdadero”

SSLEnabled=”verdadero”

keystoreFile=”/opt/tomcat/ssl/yourkeystore.jks”

keystorePass=”contraseña_almacén de claves”

clientAuth=”falso”

sslProtocol=”TLS”/>

Dónde:

• /opt/tomcat/ssl/yourkeystore.jks es la ruta absoluta y el nombre real del archivo del almacén de claves

• keystore_password es la contraseña real de su almacén de claves

Paso 4: hacer cumplir los cambios

Una vez hecho esto, reinicie Tomcat para aplicar los cambios. Si no está seguro de los pasos a seguir, puede ir a aplicar los cambios y verificar la instalación de SSL.

PKCS#12

Si no tiene APR habilitado en Apache Tomcat, este método de instalación SSL es el equilibrio óptimo entre los métodos de importación PKCS#7 y PEM. PKCS#12 es un estándar de certificado cuando todas las partes requeridas (certificado de entidad final para el nombre de host, paquete de CA y clave privada) se almacenan en el mismo archivo.

Paso 1: prepare los archivos SSL

No dude en pasar a la siguiente parte si ya tiene un certificado PKCS#12 (.pfx/.p12). Si no tienes uno, .

Paso 2: modificar el almacén de claves

El archivo PKCS#12 se considera un almacén de claves en sí mismo. Por lo tanto, sólo necesitará especificar la ruta al archivo PKCS#12 en la directiva keystoreFile. El proceso es prácticamente el mismo que para los estándares y.

La modificación debe realizarse en el archivo 'directorio de instalación de Tomcat'/conf/server.xml. Puede encontrar la ubicación del directorio que contiene el archivo de configuración server.xml emitiendo el siguiente comando:

sudo buscar / -ipath '*tomcat*servidor.xml'

Lo más probable es que esté en /opt/tomcat/conf/server.xml o /etc/tomcat/server.xml.

A continuación se muestra un ejemplo de conector JSSE PKCS#12 para el puerto 443 que utiliza el protocolo HTTP/1.1 junto con versiones de protocolo TLS hasta 1.3:

protocolo=”org.apache.coyote.http11.Http11NioProtocol”

puerto=”443″

maxThreads=”200″

esquema=”https”

seguro = “verdadero”

SSLEnabled=”verdadero”

keystoreFile=”/opt/tomcat/ssl/somefile.pfx”

keystorePass=”contraseña_de_tu_pfx”

keystoreType=”PKCS12″

clientAuth=”falso”

sslProtocol=”TLS”/>

Dónde:

• /opt/tomcat/ssl/somefile.pfx es la ruta absoluta y el nombre real del certificado PKCS#12

• contraseña_de_tu_pfx es la contraseña real para el archivo PKCS#12

Nota: En todos los casos en que utilice un archivo PKCS12, se debe especificar la directiva “keystoreType” en la configuración SSL para definir que el formato del almacén de claves es PKCS#12 para que el servidor lea el archivo correctamente.

Paso 3: Complete la instalación SSL

Una vez hecho esto, reinicie Tomcat para aplicar los cambios. Si no está seguro de los pasos para reproducir, vaya a esta sección para aplicar los cambios y verificar la instalación de SSL.

Instalación basada en APR

La mayoría de las distribuciones de Linux incluyen paquetes para APR…