关于SSL认证后出现的http和https无法同时访问问题

news2024/9/28 17:33:43

--痛苦是人最好的试金石 Pain is man's best litmus test

问题：

我现在在我的Tomcat上面加了一个SSL 认证，但是我就是指认证了一个xxx.xxx.com的域名，我其他的域名也在同一个server.xml配置文件中，现在xxx.xx.com可以https可以使用了，但是我的其他域名连http也无法访问了怎么回事

答：

当你在 Tomcat 上配置 SSL 认证时，如果配置不当，可能会导致其他域名无法正常访问。以下是可能的原因和解决方法：

1. 端口冲突

确保你的 server.xml 文件中，SSL 配置使用了一个单独的端口（通常是 443），而非默认的 HTTP 端口（通常是 8080 或 80）。如果 SSL 配置端口和 HTTP 配置端口冲突，会导致 HTTP 服务无法正常工作。
检查 <Connector> 元素的 port 属性，确认 SSL 和 HTTP 配置分别使用不同的端口。

2. 虚拟主机配置冲突

如果你在 server.xml 中为 xxx.xxx.com 配置了一个 <Host> 元素，但没有为其他域名单独配置 <Host>，可能会导致这些域名没有正确的虚拟主机配置。
确保为每个域名都配置了相应的 <Host> 元素，或者使用 defaultHost 属性指定默认的虚拟主机。

3. SSL 配置中的 redirectPort 设置

Tomcat 的 SSL 配置中可能设置了 redirectPort，导致所有 HTTP 请求都被重定向到 HTTPS。检查 server.xml 中的 <Connector> 配置，看是否设置了 redirectPort，并确保它与 SSL 端口一致。
如果你不希望其他域名被强制重定向到 HTTPS，可以为这些域名单独配置一个 <Host>，并在 <Connector> 中确保没有设置 redirectPort。

4. 检查日志文件

检查 Tomcat 的日志文件（如 catalina.out），看看是否有关于启动过程中出现的错误或警告。这些日志信息通常可以帮助你找出问题所在。

5. SSL 配置的 keyAlias 和 keystore

如果你为 xxx.xxx.com 配置了 SSL 证书，可能在 <Connector> 中使用了 keyAlias 或 keystore 来指定特定的证书。如果这影响了其他域名的访问，可以考虑为不同的域名配置单独的 <Connector> 元素，或者检查是否可以调整证书配置来兼容多个域名。

解决步骤：

先确保你的 server.xml 中，为每个域名配置了独立的 <Host> 元素。
检查 Connector 元素，确保 HTTP 和 HTTPS 使用不同的端口，并且 redirectPort 设置合理。
尝试在 Tomcat 日志中查找更多信息，以便更好地定位问题。

从你提供的 server.xml 配置文件中，可以看出你为域名 xxx.xxx.com 配置了 SSL，但在配置上有几个潜在的问题可能导致其他域名无法访问 HTTP 服务。以下是详细分析和建议：

1. 端口配置问题

你将 Connector 配置在 443 端口上，并且启用了 SSL。这意味着这个端口只接受 HTTPS 请求。如果其他域名没有配置 SSL 证书，它们将无法通过 HTTPS 访问。
而且你没有配置一个单独的 HTTP 端口（例如默认的 8080 或 80 端口），这会导致非 HTTPS 请求没有对应的处理端口，因而无法访问。

2. 未配置 HTTP `Connector`

如果你希望其他域名继续使用 HTTP 访问，建议你在 server.xml 中添加一个非 SSL 的 HTTP Connector。例如，使用默认的 8080 端口：
xml
复制代码

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="443" />

3. `redirectPort` 配置

在现有的 HTTPS Connector 中，你设置了 redirectPort="8443"，但其实你并没有配置这个端口。这个设置通常用于将 HTTP 请求重定向到 HTTPS，但在这个情况下，它可能会引起混乱。如果你不打算使用 8443 端口，可以移除 redirectPort 属性，或者确保 HTTP 连接器的 redirectPort 配置正确。

4. SSL 证书与多个域名

当前 SSL 证书只适用于 xxx.xxxx.com，如果其他域名需要使用 HTTPS，它们需要各自的 SSL 证书，或者你需要一个支持多个域名（SAN）的 SSL 证书。

解决方法：

添加 HTTP Connector:
- 在 <Service name="Catalina"> 内添加一个新的 HTTP Connector，例如：
  xml
  复制代码
  
  <Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="443" />
- 这样，未配置 SSL 的域名可以通过 HTTP 访问。
调整 redirectPort 设置:
- 根据你是否需要将 HTTP 请求重定向到 HTTPS，选择保留或移除 redirectPort。
为其他域名配置 SSL:
- 如果希望其他域名也支持 HTTPS，你需要为它们配置相应的 SSL 证书，并在 server.xml 中为它们添加 SSL Connector。