Tomcat 容器 SSL 配置详解：keystore 生成与 Connector 参数调优

1. SSL 在 Tomcat 中的核心作用

SSL/TLS 协议通过加密通信保障数据传输安全，防止中间人攻击。Tomcat 作为 Servlet 容器，通过配置 HTTPS Connector 实现 SSL 支持，涉及两个关键技术点：

• keystore 管理：存储服务器证书和私钥的数字保险库
• Connector 调优：优化性能与安全性的关键参数

---

2. keystore 生成全流程

keystore 是 Java 密钥库（JKS 或 PKCS12），生成步骤：

2.1 生成密钥对与自签名证书

keytool -genkeypair \
  -alias tomcat_ssl \
  -keyalg RSA \
  -keysize 2048 \
  -validity 365 \
  -keystore /path/to/keystore.jks \
  -storetype JKS \
  -dname "CN=yourdomain.com, OU=IT, O=Company, L=City, ST=State, C=CN"

参数说明：

• -keysize 2048：RSA 密钥长度（推荐 $\geq$ 2048 bits）
• -validity 365：证书有效期（天）
• -storetype JKS：密钥库格式（兼容性优先）

2.2 导出证书（供客户端信任）

keytool -exportcert \
  -alias tomcat_ssl \
  -keystore /path/to/keystore.jks \
  -file server_cert.cer

2.3 密码安全规范

• 使用强密码（长度 $\geq$ 12$，含大小写字母、数字、符号）
• 通过 -storepass 和 -keypass 分别设置库密码与私钥密码

---

3. Connector 配置与参数调优

在 conf/server.xml 中配置 HTTPS Connector：

<Connector 
  port="8443" 
  protocol="org.apache.coyote.http11.Http11NioProtocol"
  SSLEnabled="true"
  maxThreads="200"
  scheme="https" 
  secure="true"
  keystoreFile="/path/to/keystore.jks"
  keystorePass="your_keystore_password"
  keyAlias="tomcat_ssl"
  clientAuth="false" 
  sslProtocol="TLS"
  ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256"
  connectionTimeout="30000"
/>

关键参数调优指南：

参数	推荐值	作用
maxThreads	$200 \sim 500$	最大并发连接数（根据 $CPU核心数 \times 2$ 调整）
ciphers	限定 GCM 模式	禁用弱加密算法（如 CBC），提升安全性
sslProtocol	TLS	支持 TLSv1.2+，禁用 SSLv3
clientAuth	false	是否验证客户端证书（双向认证需设为 true)
connectionTimeout	$\leq 30000$ ms	防止 SSL 握手资源耗尽

性能优化技巧：

• 启用 NIO 协议 (Http11NioProtocol) 减少线程阻塞
• 会话复用配置：添加 SSLHonorCipherOrder="true" 和 useServerCipherSuitesOrder="true"

---

4. 高级调优场景

4.1 OCSP 装订（提升握手速度）

<Connector
  ...
  useOCSP="true"
  ocspResponseTimeout="5000"
/>

4.2 证书自动更新
通过 -storepass 密码轮换脚本 + Tomcat 热部署实现：

keytool -importkeystore \
  -srckeystore old.jks \
  -destkeystore new.jks \
  -deststoretype PKCS12

---

5. 配置验证与测试

5.1 基础验证
访问 https://localhost:8443，浏览器应显示安全锁图标。

5.2 命令行深度检测

openssl s_client -connect localhost:8443 -servername yourdomain.com -tlsextdebug

检查输出：

• 证书链完整性
• 支持的协议版本（确保无 SSLv3）
• 密码套件列表

5.3 性能压测工具
使用 jmeter 模拟高并发 SSL 请求，监控：

• 内存占用：$JVM_heap \leq 70%$
• 线程利用率：$active_threads \leq maxThreads \times 80%$

通过以上步骤，可实现企业级 Tomcat SSL 配置，平衡安全性与性能。建议每季度审查密码套件与证书有效期。