Настройка OpenSSL с помощью Resin 4.0.32 в Ubuntu 12.0.4

Контейнер для серво с открытым исходным кодом

Контейнер сервлетов веб-профиля Java EE

Caucho’s Resin 4.0 JCache сообщение в блоге

Использование GoDaddy

Настройте учетную запись GoDaddy.

Вы должны изменить размер закрытого ключа на 2048 следующим образом:

$ sudo openssl genrsa -des3 -out myprivate.key 2048
$ sudo openssl req -new -config openssl.cnf -key myprivate.key -out CA_request.csr

Выше создается файл запроса. Вы можете передать этот файл запроса в любой центр сертификации. Вы даете им деньги. Подождите от 2 до 24 часов, а затем вам дадут сертификат.

Перейдите на  https://certs.godaddy.com/,  чтобы узнать больше информации.

(Это не одобрение GoDaddy. Я выбрал его, потому что он был самым дешевым.)

Вы должны вырезать и вставить файл CA_request.csr в текстовое поле godaddy.com, связанное с созданием нового сертификата SSL.

Подождите два дня и поспорите со службой технической поддержки GoDaddy, что я на самом деле реальный человек, и я не собираюсь использовать SSL-сертификат для того, чтобы забить тюленей с помощью слизгера Луисвилла.

Если повезет, сертификат GoDaddy появится в моей учетной записи в домене, который я зарегистрировал. www.mydomain.com.

Прикрепите zip-файл с сертификатами где-нибудь, где вы можете его получить. Загрузите сертификат на сервер.

$ unzip mydomain.com.zip

Здесь должно быть два файла:

$ ls
go_bundle.crt
mydomain.com.crt

Вы должны переместить их туда, где Ресин сможет их найти.

$ sudo mv gd_bundle.crt /etc/resin/keys
$ sudo mv mydomain.info.crt /etc/resin/keys
$ cd /etc/resin/keys
$ ls
CA_request.csr  mydomain.info.crt  my-self-signed-certificate.crt
gd_bundle.crt   myprivate.key       openssl.cnf

Вы должны сохранить эти файлы в безопасном месте.

Теперь нам нужно изменить Resin, чтобы получить файл цепочки SSL.

Вы можете указать цепочку сертификатов следующим образом:

<http port="443">
  <openssl>
    <certificate-key-file>keys/your_domain.key</certificate-key-file>
    <certificate-file>keys/your_domain.crt</certificate-file>        
    <certificate-chain-file>keys/chain.txt</certificate-chain-file>
    <password>test123</password>
  </openssl>
</http>

По умолчанию openssl настраивается с помощью смолы.properties и cluster-default.xml.

Вот фрагмент из /etc/resin/cluster-default.xml

      <resin:when test="${openssl_file != null}">
        <http address="${http_address?:'*'}" port="${https}">
          <openssl>
            <certificate-file>${file_lookup(openssl_file,__DIR__)}</certificate-file>
            <certificate-key-file>${file_lookup(openssl_key, __DIR__)}</certificate-key-file>
            <password>
              <resin:Password>${openssl_password}</resin:Password>
            </password>
          </openssl>
        </http>
      </resin:when>

Проблема в том, что он не указывает файл цепочки, что может быть довольно распространенным явлением, но недостаточно распространенным, чтобы по умолчанию его можно было преобразовать в смолы. Свойства. (Если вы используете Verisign или более известные полномочия CA, вам понадобится только файл цепочки, это в основном для поддержки GoDaddy и других менее известных авторитетов, полное объяснение внизу этой записи.)

Попробуй это. Измените /etc/resin/cluster-default.xml следующим образом:

      <resin:when test="${openssl_file != null}">
        <http address="${http_address?:'*'}" port="${https}">
          <openssl>
            <certificate-file>${file_lookup(openssl_file,__DIR__)}</certificate-file>
            <certificate-key-file>${file_lookup(openssl_key, __DIR__)}</certificate-key-file>
            <certificate-chain-file>${file_lookup(openssl_chain_file,__DIR__)}</certificate-chain-file>

              <password>
              <resin:Password>${openssl_password}</resin:Password>
            </password>
          </openssl>
        </http>
      </resin:when>

Обратите внимание, что я добавил <файл-цепочки сертификатов> к кластеру по умолчанию и указал его на свойство openssl_chain_file.

Если вы используете Verisign или более известный центр сертификации CA, вам понадобится только следующее:

# OpenSSL certificate configuration                                             
# Keys are typically stored in the resin configuration directory.               
openssl_file : keys/mydomain.com.crt                                                 
openssl_key : keys/myprivate.key             
openssl_password : password

Вам не понадобится файл цепочки с Verisign.

Но для этого примера нам нужен файл цепочки, поэтому давайте попробуем его настроить.

Затем измените ваш /etc/resin/resin.properties следующим образом (эта конфигурация неверна, но из документов это звучит так, как будто они говорят вам делать):

# OpenSSL certificate configuration                                             
# Keys are typically stored in the resin configuration directory.               
openssl_file : keys/mydomain.com.crt                                                 
openssl_key : keys/myprivate.key             
openssl_chain_file : keys/gd_bundle.crt                                      
openssl_password : password

Вышеописанное не работает из браузера, поэтому давайте отладим его, но оно работает из инструментов командной строки из openssl.

$ sudo openssl s_server -accept 9999 -key myprivate.key -cert javaeefun.info.crt -CAfile gd_bundle.crt 

$ openssl s_client -connect localhost:9999

Это работает. Итак, теперь мы знаем, что нам нужно добавить mydomain.com.crt в цепочку. (Хорошо, это был довольно большой скачок, поэтому позвольте мне объяснить, что такое файл chain.txt сразу после того, как я покажу вам, как его правильно создать.)

Тестовый клиент и сервер сработали, поэтому подключите mydomain.com.crt к цепочке следующим образом:

$ sudo cat mydomain.com.crt  gd_bundle.crt  > chain.txt

Файл gd_bundle.crt представляет собой полную цепочку сертификатов SSL от GoDaddy, но он не содержит наш сертификат, который нам нужен. Мы использовали cat для добавления gd_bundle.crt после нашего mydomain.com.crt.

Теперь повторите тестирование с помощью инструментов openssl следующим образом:

$ sudo openssl s_server -accept 9999 -key myprivate.key -cert mydomain.com.crt -CAfile chain.txt

$ openssl s_client -connect localhost:9999

Инструментам openssl нравится наша новая настройка. Мы можем подключиться с клиента.

Теперь настройте смолу, чтобы использовать файл chain.txt вместо нашего файла.

# OpenSSL certificate configuration                                             
# Keys are typically stored in the resin configuration directory.               
openssl_file : keys/mydomain.com.crt                                                 
openssl_key : keys/myprivate.key             
openssl_chain_file : keys/chain.txt                                      
openssl_password : password

Теперь повторите тест из браузера.

https://mydomain.com:8443/resin-admin/

Все должно быть хорошо.

Примечание: если вы видите «T_CLIENT_HELLO: нет общего шифра» на стороне сервера, убедитесь, что вы правильно включили mydomain.com.crt и gd_bundle.crt в chain.txt.

  {resin-port-443-46} BadRequestException: java.io.IOException: errno=0 openssl='139770598954752:error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher:s3_srvr.c:1230:

___________________________________________________

) — энтузиаст Java EE / Servlet и энтузиаст Open Source, который любит работать с контейнерным сервлетом Caucho Servlet, контейнером сервлетов Java EE Web Profile.