生成SSL證書

筆者這裡用的是開源的Let's Encrypt的ssl證書，是免費而且好用的

1.下載certbot

# wget  https://dl.eff.org/certbot-auto

2.把檔案移動到/usr/local/bin目錄下，並賦予執行許可權

# mv certbot-auto /usr/local/bin/
# chmod a+x /usr/local/bin/certbot-auto

3.執行下面的命令生成證書

# certbot-auto certonly --webroot -w /home/xx/tomcat6/webapps -d test.omgdba.com -m [email protected]
 

命令解釋：

–webroot 指定網站根目錄，certbot會在該目錄下生成一個檔案以確認域名對網站的所有權

-d 指定要生成證書的域名，如有多個域名，可使用-d xxx.com -d ex.xxx.com來指定

-m 設定通知郵箱，證書生成後會向該郵箱傳送一封郵件

證書生成後有以下提示

IMPORTANT NOTES:
– Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/test.omgdba.com/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/test.omgdba.com/privkey.pem
Your cert will expire on 2018-07-16. To obtain a new or tweaked
version of this certificate in the future, simply run certbot-auto
again. To non-interactively renew *all* of your certificates, run
“certbot-auto renew”
– If you like Certbot, please consider supporting our work by:

Donating to ISRG / Let’s Encrypt:     https://letsencrypt.org/donate
Donating to EFF:                                 https://eff.org/donate-le

證書生成成功後，會存在於/etc/letsencrypt/live/你的域名，這個目錄下,內容有

下面是在tomcat中配置ssl證書

1.tomcat配置pem證書，需要apr支援

//配置gcc依賴  
# yum install gcc  
  
//安裝openssl  
# wget  https://www.openssl.org/source/openssl-1.1.0f.tar.gz  
# tar -zxvf openssl-1.1.0f.tar.gz  
# cd openssl-1.1.0f  
# ./config --prefix=/usr/local/openssl  
# make && make install  
     
     
    
     
   //安裝apr  
# cd ..  
# wget http://mirror.bit.edu.cn/apache/apr/apr-1.6.2.tar.gz  
# tar -zxvf apr-1.6.2.tar.gz  
# cd apr-1.6.2  
# ./configure --prefix=/usr/local/apr  
# make && make install  
  
//安裝apr-util  
# cd ..  
# wget http://mirror.bit.edu.cn/apache/apr/apr-util-1.6.0.tar.gz  
# tar -zxvf apr-util-1.6.0.tar.gz  
# cd apr-util-1.6.0  
# ./configure --prefix=/usr/local/apr-util --with-apr=/usr/local/apr  
# make && make install  
  
//安裝tomcat-native  
# cd ..  
# wget http://mirrors.tuna.tsinghua.edu.cn/apache/tomcat/tomcat-connectors/native/1.2.12/source/tomcat-native-1.2.12-src.tar.gz  
# tar -zxvf tomcat-native-1.2.12-src.tar.gz  
# cd tomcat-native-1.2.12-src/native  
# ./configure --with-apr=/usr/local/apr --with-ssl=/usr/local/openssl  
# make && make install  
  
  
//配置環境變數  
# vi /etc/profile  
//在末尾新增  
export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/usr/local/apr/lib  


使profile配置檔案生效
# source /etc/profile  
 

2.tomcat的配置

更改tomcat下conf目錄下的server.xml（紅色的是修改部分）

（1）該檔案的第一處更改（這個80，其實是8080，這樣是為了省略埠號）：

<Connector port="80" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="443" />
    <!-- A "Connector" using the shared thread pool-->

（2）該檔案的第二處修改

<Connector port="443" protocol="org.apache.coyote.http11.Http11AprProtocol"
               maxThreads="150" SSLEnabled="true" URIEncoding="UTF-8">
        <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
        <SSLHostConfig>
            <Certificate certificateKeyFile="/etc/letsencrypt/live/你的域名/privkey.pem"
                         certificateFile="/etc/letsencrypt/live/你的域名/cert.pem"
                         certificateChainFile="/etc/letsencrypt/live/你的域名/chain.pem"
                         type="RSA" />
        </SSLHostConfig>
    </Connector>

（3）該檔案的第三處修改

<!-- Define an AJP 1.3 Connector on port 8009 -->
    <Connector port="8009" protocol="AJP/1.3" redirectPort="443" />

3.將http強制調轉到https

在tomcat的conf檔案下的web.xml配置檔案末尾的地方新增下面的程式碼

        <security-constraint>  
	    <!-- Authorization setting for SSL -->  
	    <web-resource-collection >  
	        <web-resource-name >SSL</web-resource-name>  
	        <url-pattern>/*</url-pattern>  
	    </web-resource-collection>  
	    <user-data-constraint>  
	        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
	    </user-data-constraint>  
	</security-constraint>

注意：如果證書生成失敗，則有可能是因為python的版本過低，ssl證書生成需要的python版本至少是2.7以上

下載&編譯&安裝新版本的python

1.首先通過下面這個命令檢查python版本（注意V是大寫的）

# python -V

# wget https://www.python.org/ftp/python/3.5.2/Python-3.5.2.tgz

3.下載完解壓縮

# tar -zxvf Python-3.5.2.tgz

4.進入解壓縮後的目錄，安裝配置

# cd Python-3.5.2/
# ./configure 

執行 ./configure 時，如果報錯：

configure: error: no acceptable C compiler found in $PATH

說明沒有安裝合適的編譯器。這時，需要安裝/升級 gcc 及其它依賴包。

# yum install make gcc gcc-c++ 

完成之後，重新執行：

# ./configure 

5.配置完成後，就可以進行編譯了

# make 

6.最後就是安裝了

# make install 

安裝成功以後，就可以檢視 Python 的版本了：

# python -V
Python 2.7.5
# python3 -V
Python 3.5.2

你會發現有倆個python版本，

設定 3.x 為預設版本

檢視 Python 的路徑，在 /usr/bin 下面。可以看到 python 連結的是 python 2.6，所以，執行 python 就相當於執行 python 2.6。

# ls -al /usr/bin | grep python
-rwxr-xr-x.  1 root root      11216 12月  1 2015 abrt-action-analyze-python
lrwxrwxrwx.  1 root root          7 8月  30 12:11 python -> python2
lrwxrwxrwx.  1 root root          9 8月  30 12:11 python2 -> python2.6
-rwxr-xr-x.  1 root root       7136 11月 20 2015 python2.6

將原來 python 的軟連結重新命名：

# mv /usr/bin/python /usr/bin/python.bak

將 python 連結至 python3：

# ln -s /usr/local/bin/python3 /usr/bin/python

這時，再檢視 Python 的版本：

# python -V
Python 3.5.2

輸出的是 3.x，說明已經使用的是 python3了。

配置yum

升級 Python 之後，由於將預設的 python 指向了 python3，yum 不能正常使用，需要編輯 yum 的配置檔案：

# vi /usr/bin/yum

同時修改：(如果沒有，下面那個檔案，就不用修改)

# vi /usr/libexec/urlgrabber-ext-down

將 #!/usr/bin/python 改為 #!/usr/bin/python2.6，儲存退出即可。