apache - mod_proxy：在 8443 上从 apache 代理 tomcat 时，是否需要 tomcat 证书

Question

我现在开始向我的 web 应用程序添加 SSL 登录页面。我正在使用 apache mod_proxy 代理 tomcat。

一些教程表明我需要为 apache 获取 SSL 证书并将我的登录页面代理到端口 8443 上的 tomcat。

端口 8443 是否自动成为 tomcat 的加密 SSL 端口？我需要一个 apache 证书和一个 tomcat 证书吗？

安迪

Answer 1

就浏览器而言，Apache Httpd 将“终止”与您的 Web 服务器的 SSL/TLS 连接。它所提供的内容是否实际上来自 Tomcat 对浏览器来说并不重要。在这种情况下，浏览器只能看到 Apache Httpd。如果设置了浏览器可以识别的证书，这就足够了。

除此之外，您可能希望加密 Apache Httpd 和 Tomcat 之间的连接。仅当您不信任两者之间的网络时，这才真正有用（例如，在同一主机上很少有用）。我认为不mod_proxy_ajp支持 SSL/TLS，但mod_proxy_http确实支持，在这种情况下，您需要配置SSLProxy*指令（请参阅介绍）：Apache Httpd 在这方面将是一个客户端，在这种情况下，Tomcat 将需要配置一个证书.

如果您不需要加密 Apache Httpd 和 Tomcat 之间的链接，最简单的可能是mod_proxy_http用作 Tomcat 纯 HTTP 端口的反向代理（并确保该端口不能被外部访问，通过防火墙例子）。