tomcat ssl apr x509

Question

这是我在这个论坛上的第一个问题，如果有任何错误，请提前接受我的道歉。我在使用 SSL 和 APR 配置 tomcat 时遇到问题。

上下文:tomcat 7、Java 7、OpenSSL、几个有效的 x509 证书。

我的 https 连接器:

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true" maxThreads="150" scheme="https" secure="true"
           SSLVerifyClient="require" SSLVerifyDepth="3"
           SSLCertificateFile="${catalina.home}/security/server.pem"
           SSLCertificateKeyFile="${catalina.home}/security/server.key"
           SSLCertificateChainFile="${catalina.home}/security/trust.pem"
           SSLCACertificateFile="${catalina.home}/security/trust_ca.pem"
           />

PKI 树:

ROOT -> CA_intermediate -> CA4Servers -> server (tomcat)
                                      -> serv2Cert
                        -> CA4People  -> people1Cert

在 windows keystore (Windows-MY) 中有 2 个证书的 windows pc 客户端:people1Cert 和 serv2Cert

trust.pem 包括 ROOT、CA_intermediate、CA4Servers 和 tomcat pem 编码的公钥。trust_ca.pem 除了 tomcat 证书之外的所有 trust.pem。

我想要什么:转到 https://tomcat.server:8443/，浏览器向我显示带有一个证书的证书选择器对话框:serv2Cert，我选择它并成功进入网页。如果我选择另一个证书，服务器会显示一个错误页面。

我的问题:当我看到证书选择器对话框时，我看到 2 个证书:serv2Cert 和 people1Cert (?)。他们俩都让我去网页!如果我更改 SSLVerifyDepth 或 trust_ca.pem 以将客户端证书限制为仅 serv2Cert，我会收到 SSL 错误，例如 unknown ca 或 unknown certificate

我已经尝试过一些 SSLVerifyDepth 值，例如 1、2、3、4。只有“3”让我登录到服务器。如果我从 trust_ca.pem 中删除所有 CA 证书，但删除 ROOT，让我使用两个客户端证书(people1Cert 和 serv2Cert)登录。

对于这方面的任何帮助，我将不胜感激，抱歉我的英语不好，在此先感谢您。最好的问候。

Answer 1

你不能用 Tomcat 做到这一点。 SSL 非常不灵活。请注意，您正在为整个 Tomcat 容器而不是单个 Web 应用程序进行配置。我建议您将 Apache HTTP 放在 Tomcat 前面，即作为反向代理。 Apache HTTPD 允许您配置 SSL 的各个方面，包括可接受的客户端身份，一直到单个目录级别。