这是 Apache + Tomcat 之间的虚假 SSL 连接吗？答案

【问题标题】：Is this a false SSL connection between Apache + Tomcat?这是 Apache + Tomcat 之间的虚假 SSL 连接吗？
【发布时间】：2014-10-05 03:49:48
【问题描述】：

我正在查看使用 SSL 设置 tomcat + apache 的指南：http://www.mulesoft.com/tcat/tomcat-ssl

在“何时将 SSL 与 Tomcat 一起使用”部分下它说：

"...换句话说，如果您在 Tomcat 前面使用 Web 服务器并且仅将其用作应用服务器或 Tomcat servlet 容器，在大多数情况下，您应该让 Web 服务器充当所有 SSL 请求的代理”

由于我已经使用 SSL 设置了网络服务器，所以我决定偷懒。我用默认设置安装了tomcat，然后启动了它。在我的 httpd.conf 中，我将所有 80 个流量重定向到 443，然后将 proxypass 和 proxypassreverse 重定向到 ajp://hostname.com:8009。我重新启动了 httpd，它“似乎”通过 ssl 重定向到 tomcat 服务器。这是完全坏了还是我真的设法做我第一次打算做的事情？非常感谢任何测试建议。

<VirtualHost *:80>
        ServerName hostname_DNS_alias.com
        Redirect / https://hostname_DNS_alias.com
</VirtualHost>

<VirtualHost *:443>
        SSLEngine On
        SSLCertificateFile /etc/pki/tls/certs/thecrt.crt
        SSLCertificateKeyFile /etc/pki/tls/private/thekey.key
        SSLCertificateChainFile /etc/pki/tls/certs/CA.crt
        ServerName hostname_DNS_alias.com
        DocumentRoot /var/www/html

        <Proxy *>
                AddDefaultCharset off
                Order deny,allow
                Allow from all
        </Proxy>

        ProxyPass          /    ajp://hostname.com:8009/
        ProxyPassReverse   /    ajp://hostname.com:8009/
</VirtualHost>

【问题讨论】：

看起来有效。确保从 Tomcat 的 server.xml 中删除 HTTPS 连接器和 HTTP 连接器。您现在只需要 AJP 连接器。

标签： java apache tomcat ssl https

【解决方案1】：

我想你已经明白了，但是你可以查看 HTTPD 和 Tomcat 上的访问日志来确认请求正在被代理。您应该会在两个系统上看到访问日志条目。

一些简短的笔记...

正如评论中提到的，您可以从 Tomcat 中删除 HTTP 连接器。但这不是必须的。有时为了测试目的而保持打开状态（即您可以直接访问服务器）或者如果您想在其上运行 Manager 应用程序会很好。如果您确实保留它，尤其是当您使用它来运行 Manager 应用程序时，您可能应该限制对它的访问。两种简单的方法是将 HTTP 连接器上的address 属性设置为localhost 或配置RemoteAddressFilter。
请记住，从 HTTPD 服务器到 Tomcat 的 AJP 连接未加密（SSL 在 HTTPD 处终止），因此您要确保流量永远不会通过不安全的网络（如 Internet）。
由于您已经混合使用了 HTTPD，您还可以使用它来提供静态文件。如果将它们部署到文档根目录，则可以添加“ProxyPass！”指令以排除该路径被代理到 Tomcat。由于 HTTPD 确实需要从 Tomcat 获取静态文件，因此这将稍微减少请求延迟。

【讨论】：