阿里云和ucloud服务器配置ssl证书将http服务https化的配置详解

项目背景:

苹果App于2017年1月1日将启用App Transport Security安全功能,即强制App通过HTTPS连接网络服务,各公司猜测按照苹果的一贯作风可能会强制要求开发厂商实施http向https化,否则可能不会让app上架,于是就有了服务由http向https转化的需求。

公司的主要业务跑在公有云环境,部分使用了负载均衡器类似lvs的产品slb、ulb等,lvs后面部署了服务器集群,有部分服务是通过http来接入的,所以需要将这部分服务改造为https,之前因为有部分业务已经在用http,所以要做到http和Https兼容,即能通过http也能通过https访问

方案:

在ulb或slb这类负载均衡上使用ssl证书,https通过ulb或者slb加密后转发给服务端处理,这种方式是最节省成本的处理方法,服务端不需要做改造,需要在客户端做适配即可

对于使用了lvs负载均衡的服务直接将证书放在lvs即ulb和slb上即可,对于单台云服务器的机器需要单独处理。

主要的两种业务访问方式:

如果ios或android端是通过ip的方式直接连接http服务的需要将ip更改为域名,ssl证书只颁发给域名(国内一般都有备案,在浏览器访问的时候会给出更加好的ui体验)

app_ios客户端 --> app_server

app_ios客户端 --> lvs --> app_servers(这种情况下,如果)

具体步骤:

1.申请ssl证书

为了以后管理方便此处我们直接通过阿里云申请的,大家也可以直接去相关的ssl证书颁发官网申请

此处我们申请的是类似*.chinasoft.com这种通配符域名的ssl证书

关于证书的说明:

需要注意一点的是a.chinasoft.com和b.a.chinasoft.com这两种方式的通配符域名不同,需要改造或者申请两次

具体参考:https://help.aliyun.com/knowledge_detail/48020.html?spm=5176.7842212.2.1.rJpNNc

此处我们选择了GeoTrust DV SSL: 价格便宜, 支持泛域名, 颁发迅速(30 min之内), 最重要的是统一使用了阿里云进行管理

有钱的朋友建议使用更加专业的ssl证书,比如ov等

2.支付完订单后,需要填写证书的详细信息并且提交审核才能完成证书申请流程

点击进度,上面有提示需要将厂商验证的html文件上传到chinasoft.com这个域名指向服务器的web根目录下,并且能访问,一般1个小时就可以收到官方的ssl验证(阿里云就比较慢,一般需要1天左右才能同步过来)

3.将证书传到具体的负载均衡产品或服务器中

①有负载均衡的方式:即 ios --> slb --> app_servers 的方式

aliyun:

将证书拷贝到slb的地域中


在具体的slb负载均衡中添加https端口的转换

uloud:

在需要添加的ulb中添加https的端口转换

验证是否ok:将dns需要https化的域名指向刚才添加的slb上,可以通过360浏览器访问验证(如果是可信机构颁发的证书会显示绿色的加锁标志)

②单服务器的配置方法: 即 ios --> app_server 的方式

nginx的配置示例:

将.pem公钥和.key私钥上传到/etc/nginx/sslkey/目录下,并修改配置文件

vim /etc/nginx/conf.d/chinasoft.conf

server {
listen 80;
server_name chinasoft.com www.chinasoft.com;
listen 443 ssl; # ssl写在443端口后面,这样http和https的链接都可以用 access_log /data/logs/www.chinasoft.com-acceess.log;
error_log /data/logs/www.chinasoft.com-error.log; location / {
root /var/www/www.chinasoft.com/;
index index.php index.html index.htm;
}
ssl_certificate /etc/nginx/sslkey/chinasoft.pem;
ssl_certificate_key /etc/nginx/sslkey/chinasoft.key;
error_page 404 = /404/;
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/share/nginx/html;
} # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
location ~ \.php$ {
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /var/www/chinasoft.com/$fastcgi_script_name;
include fastcgi_params;
} location ~ /\.ht {
deny all;
}
} nginx证书优化的配置:
# cat ssl_test.conf
server {
listen ssl;
server_name es.chinasoft.com;
keepalive_timeout ; ssl on;
ssl_session_cache shared:SSL:10m; # 缓存10M,可以大概缓存8000~5W个连接
ssl_session_timeout 10m; ssl_certificate /etc/nginx/ssl_key/yunva.pem;
ssl_certificate_key /etc/nginx/ssl_key/yunva.key; index index.html index.htm;
location / {
root /opt/app/codes/;
}
}

tomcat的配置示例:

将chinasoft.pfx证书上传到/data/tomcat/sslkey/目录中

/conf/server.xml配置示例:

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
keystoreFile="/data/tomcat/sslkey/chinasoft.pfx"
keystoreType="pfx-password.txt中的密码"
keystorePass="pass"
clientAuth="false" sslProtocol="TLS" />

说明文档:
安装证书
Tomcat支持JKS格式证书,从Tomcat7开始也支持PFX格式证书,两种证书格式任选其一。下载包中包含PFX格式证书和密码文件。

PFX证书安装

找到安装 Tomcat 目录下该文件server.xml,一般默认路径都是在 conf 文件夹中。找到 <Connection port="8443" 标签,增加如下属性:
keystoreFile="/你的磁盘目录/订单号.pfx"
keystoreType="PKCS12"
keystorePass="证书密码"
完整的配置如下,其中port属性根据实际情况修改:

<Connector port="8443" protocol="HTTP/1.1"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
keystoreFile="/你的磁盘目录/订单号.pfx"
keystoreType="PKCS12"
keystorePass="证书密码"
sslEnabledProtocols="TLSv1"
clientAuth="false" sslProtocol="TLS" />


JKS证书安装

( 1 ) 使用java jdk将PFX格式证书转换为JKS格式证书(windows环境注意在%JAVA_HOME%/jdk/bin目录下执行)

keytool -importkeystore -srckeystore 订单号.pfx -destkeystore your-name.jks -srcstoretype PKCS12 -deststoretype JKS
回车后输入一次PFX证书密码,然后输入两次要设置的JKS证书密码,并牢记此证书密码。

( 2 ) 找到安装 Tomcat 目录下该文件Server.xml,一般默认路径都是在 conf 文件夹中。找到 <Connection port="8443" 标签,增加如下属性:

keystoreFile="/你的磁盘目录/your-name.jks"
keystorePass="证书解压密码"
完整的配置如下,其中port属性根据实际情况修改:

<Connector port="8443" protocol="HTTP/1.1"
    maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
    keystoreFile="/你的磁盘目录/your-name.jks"
    keystorePass="证书解压密码"
    clientAuth="false" sslProtocol="TLS" />

自此,关于证书的申请和在云服务器集群和单机中的应用已告一段落,后面就需要在客户端程序中进行适配性改造了,服务端一般不需要做任何改动

阿里云slb和ucloud负载均衡ulb添加ssl证书将http服务https化的配置详解的更多相关文章

  1. 阿里云SLB负载均衡与使用SSL域名证书

    阿里云SLB负载均衡与使用SSL证书 1.购买两台ECS服务器,这就是后台服务器,在这两个服务器上面部署你的网站,注意网站的端口要一样:比如都是 88. 2.在阿里云控制台的菜单里找到 负载均衡,创建 ...

  2. [网站公告]3月10日23:00-4:00阿里云SLB升级,会有4-8次连接闪断

    大家好,阿里云将于3月10日23:00-4:00对负载均衡服务(SLB)做升级操作,升级期间SLB网络连接会有约4-8次闪断.由此给您带来麻烦,敬请谅解! 阿里云SLB升级公告内容如下: 尊敬的用户: ...

  3. [云上天气预报-有时有闪电]2月3日23:00-4:00阿里云SLB升级期间网络会闪断

    大家好,2月3日23:00-2月4日4:00,阿里云将对SLB(负载均衡)进行升级,在升级期间,SLB会有约4-8次的网络闪断.由此给您带来麻烦,望谅解! 阿里云官方公告内容如下: 尊敬的用户: 您好 ...

  4. 阿里云SLB出现502 Bad Gateway 错误排查解决方法

    502 Bad Gateway The proxy server received an invalid response from an upstream server. 原本系统是通过一个SLB转 ...

  5. 阿里云SLB快速切换至https

    域名caifuxiang.com是直接解析到阿里云SLB的,运行了好几年的http服务,今天通过修改配置快速切换到了https,莫名就感觉更上档次了! 首先,SSL证书 服务可以提供免费单域名证书 w ...

  6. 发生在阿里云 SLB 4 层的一次故障记录

    阿里云 SLB 与 ECS 之间发生故事.环境如下: SLB api-node: 该 SLB 后端接着 10 台节点服务器 SLB sql-node: 该 SLB 后端接着 2 台节点服务器 问题描述 ...

  7. [网站公告]18:07-18:20阿里云SLB故障造成网站不能正常访问

    (注:由于阿里云SLB管理控制台监控数据不准,实际故障时间是18:07-18:20.) 17:55-18:2018:07-18:20,我们使用的阿里云SLB(负载均衡)中有3台出现突发故障,造成全站无 ...

  8. 基于阿里云SLB/ESS/EIP/ECS/VPC的同城高可用方案演练

    今天基于阿里云SLB/ESS/EIP/ECS/VPC等产品进行了一次同城高可用方案演练: 基本步骤如下: 1. 在华东1创建VPC网络VPC1,在华东1可用区B和G各创建一个虚拟交换机vpc1_swi ...

  9. 配置阿里云SLB全站HTTPS集群

    配置阿里云SLB全站HTTPS集群(以下内容仅为流程,信息可能有些对应不上) 1 登录阿里云购买两台实例 1.1 按量付费购买两台实例 1.2 配置网络可以不选择分配外网 1.3 自定义密码 1.4 ...

随机推荐

  1. android安装busybox

    大家是否有过这样的经历,在命令行里输入adb shell,然后使用命令操作你的手机或模拟器,但是那些命令都是常见Linux命令的阉割缩水版,用起来很不爽.是否想过在Android上使用较完整的shel ...

  2. DES,AeS加解密,MD5,SHA加密

    1.DES一共就有4个参数参与运作:明文.密文.密钥.向量.其中这4者的关系可以理解为: 密文=明文+密钥+向量: 明文=密文-密钥-向量: 为什么要向量这个参数呢?因为如果有一篇文章,有几个词重复, ...

  3. Python torndoa mysql 模块安装

    pip install torndb pip install pip install mysql-python #不支持3.x版本 ln -s /usr/local/mysql/lib/libmysq ...

  4. js多文件上传

    一.HTML 选择文件的时候可以选择多个文件,这个需要我们在input file 里面加入一个属性multiple="multiple" 这样就可以框选文件了 <!DOCTY ...

  5. 使用canvas编写环形图.

    原理使用canvas画图: 第一步:画一个大圆 第二部:画一个扇形 第三部:画一个小圆 相互叠加. 最终效果: 现在上代码: (function($){ $.fn.drawPic=function(o ...

  6. C++中三种new的用法

    转载自:http://news.ccidnet.com/art/32855/20100713/2114025_1.html 作者: mt 1 new operator,也叫new表达式:new表达式比 ...

  7. ArcGIS Engine渲染

    符号化之Renderer( 渲染)体系 ArcGIS Engine9.3对GIS数据的符号化分为矢量数据渲染和栅格数据渲染两大类.接下来分别介绍FeatureRender和RasterRender. ...

  8. oracle修改字符集

    在linux下面安装了oracle 11G,由于安装的时候没有注意导致字符集问题,impdp导入操作后中文乱码. 1.用命令select userenv('language') from dual; ...

  9. 一键配置openvpn

    页面:https://github.com/Nyr/openvpn-install openvpn-install OpenVPN road warrior installer for Debian, ...

  10. java 项目创建中的问题汇总

    eclipse 创建maven项目时 报错 Unable to create project from archetype [org.apache.maven.archetypes:ma 你看看你ma ...