SSL下Apache代理Weblogic集群配置手冊-V10

1、遠(yuǎn)光軟件股份有限公司遠(yuǎn)光軟件股份有限公司ERP 軟件部軟件部 SSL 下下 Apache 代理代理 Weblogic 集群配置手冊集群配置手冊版本版本 ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 2 of 27修訂歷史記錄修訂歷史記錄日期日期版本版本說明說明作者作者2010-7-23V1.0SSL 下 Apache 代理 Weblogic 集群配置孫鵬ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date:

2、 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 3 of 27目錄目錄1.簡介簡介.41.1目的.41.2范圍.41.3定義、首字母縮寫詞和縮略語.41.4參考資料.41.5概述.42.配置配置 WEBLOGIC 集群集群.43.構(gòu)建證書和證書庫構(gòu)建證書和證書庫.43.1下載安裝必須軟件.43.2構(gòu)建 CA 體系.43.3構(gòu)建 JAVA證書庫.174.部署證書庫和配置部署證書庫和配置 SSL .225.配置配置 APACHE HTTP SERVER .245.1下載安裝 APACHE HTTP SERVER.245.2配置 HTTP SERVER.245.3啟動 HTTP SER

3、VER.276.補(bǔ)充補(bǔ)充.27ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 4 of 27SSL 下下 Apache 代理代理 Weblogic 集群配置手冊集群配置手冊1.1.簡介簡介本文檔包括了 SSL 下 Apache 代理 Weblogic 集群配置方法。1.11.1目的目的1.21.2范圍范圍Weblogic 集群、Apache HTTP Server1.31.3定義、首字母縮寫詞和縮略語定義、首字母縮寫詞和縮略語1.41.4參考資料參考資料1.51.5概

4、述概述2.2.配置配置 WeblogicWeblogic 集群集群集群配置環(huán)境節(jié)點(diǎn)名稱節(jié)點(diǎn)名稱IPIP端口端口說明說明AdminServer307001管理節(jié)點(diǎn)server1307011（8008）集群節(jié)點(diǎn)server237012（8008）集群節(jié)點(diǎn)Apache HTTP Server38002代理節(jié)點(diǎn) 本文檔應(yīng)用的集群環(huán)境如上所示，其中 Weblogic9.2 的安裝、Weblogic 域的創(chuàng)建與配置、集群節(jié)點(diǎn)的創(chuàng)建、安裝 FMIS 服務(wù)端這些操作請參考“Weblogic92 安裝配置手冊-初級”

5、和“Weblogic92 安裝配置手冊-中級”，在此不再贅述。集群節(jié)點(diǎn) server1 和 server2 對 Http 請求的監(jiān)聽端口為 7011 和7012，對于 Https 請求的監(jiān)聽端口都為 8008。3.3.構(gòu)建證書和證書庫構(gòu)建證書和證書庫3.13.1下載安裝必須軟件下載安裝必須軟件本文中用 XCA 構(gòu)建 CA 體系，用 KeytoolGUI 生成證書庫（也可以用 SecureX 的 Eclipse 插件），本文附件中提供了相應(yīng)的安裝程序，也可以去網(wǎng)上搜索下載最新版本。本節(jié)要用到軟件如下圖：根據(jù)安裝向?qū)У奶崾就瓿砂惭b即可，對于 SecureX 的 Eclipse 插件的安裝，可使用

6、link 的方式。3.23.2構(gòu)建構(gòu)建 CACA 體系體系1、 打開 XCA，點(diǎn)擊菜單“File”-“New DataBase”，選擇要生成 DB 的路徑并填寫名稱，如下：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 5 of 27點(diǎn)擊“保存”后，彈出對話框要求你輸入并確認(rèn) DB 的密碼，在此輸入你的 DB 密碼并確認(rèn)。如下：點(diǎn)擊“OK”后完成 DB 的創(chuàng)建，下面在 XCA 中生成的 Key 和證書都保存在這個 DB 中。ERP 軟件部 Version: 1.0SS

7、L 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 6 of 272、 創(chuàng)建根創(chuàng)建根 CACA，點(diǎn)擊軟件界面左上方的“New Key”按鈕，彈出 New Key 對話框，輸入Name：Root_Key,選擇 Keytype 為“RSA”，Keysize 為“2048 bit”，如下圖所示：點(diǎn)擊“Create”后生成一個新的 Private Key。如下：選擇“Certificate signing requests”選項(xiàng)卡，點(diǎn)擊“New Request”按鈕，彈出“Create Certificate signin

8、g request”對話框，選擇“Subject”選項(xiàng)卡，輸入相應(yīng)的信息，如下：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 7 of 27其中PrivatePrivate keykey要選擇剛才生成的“Root_Key（RSA）”，點(diǎn)擊“OK”按鈕后，我們可以看到 CSR 區(qū)多了一項(xiàng)“root_request”，如下：接下來，為該 CSR 簽名，生成 CA 的根證書。右鍵點(diǎn)擊“root_request”,選擇“sign”，彈出“Create x509 Certif

9、icate”對話框，“Source”選項(xiàng)卡如下圖：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 8 of 27SignSign thisthis CertificateCertificate signingsigning requestrequest選擇剛才生成的“root_request”,SigningSigning部分點(diǎn)選“Create a self signed certificate with the serial”,SignatureSignature

10、algorithmalgorithm選擇“MD 5”，TemplateTemplate選擇“default CA”,操作完畢后點(diǎn)選“Extensions”選項(xiàng)卡，如下圖：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 9 of 27BasicBasic constraintsconstraints中TypeType選擇“Certification Authority”，點(diǎn)選“Critical”；KeyKey identifieridentifier中點(diǎn)選“Subjec

11、t Key Identifier”和“Authority Key Identifier”；TimeTime rangerange中輸入“10”，選擇“Years”，點(diǎn)擊“Apply”按鈕，選擇“Key Usage”選項(xiàng)卡，如下圖：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 10 of 27KeyKey usageusage中選擇“Certificate Sign”和“CRL Sign”,點(diǎn)擊“OK”完成證書的創(chuàng)建，這時在“Certificate”選項(xiàng)卡中有一個“r

12、oot_request”項(xiàng)，將其重命名為“root_cer”。如下圖所示： 至此完成了根 CA 的創(chuàng)建。ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 11 of 273、 創(chuàng)建創(chuàng)建 2 2 級級 CACA（server1server1），使用 1024 bit 的 RSA key 作為 CA Key，如下圖所示：點(diǎn)擊“Create”按鈕后如下圖：選擇“Certificate signing requests”選項(xiàng)卡，點(diǎn)擊“New Request”按鈕，彈出“Crea

13、te Certificate signing request”對話框，選擇“Subject”選項(xiàng)卡，輸入相應(yīng)的信息，如下：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 12 of 27其中PrivatePrivate keykey要選擇剛才生成的“server1_key（RSA）”，CommonCommon namename 要填入該證書文件對應(yīng)的地址或域名，由于此處是為 server1 創(chuàng)建證書，所以填入“30”點(diǎn)擊“OK”按鈕后，我們可以

14、看到 CSR 區(qū)多了一項(xiàng)“server1”，如下：接下來，為該 CSR 簽名，生成對于 server1 的 2 級證書。右鍵點(diǎn)擊“server1”,選擇“sign”，ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 13 of 27彈出“Create x509 Certificate”對話框，“Source”選項(xiàng)卡如下圖：SignSign thisthis CertificateCertificate signingsigning requestrequest選擇剛才生

15、成的“server1”,SigningSigning部分點(diǎn)選“Used this Certificate for for signing”選擇剛才生成好的根證書“root_cer”,SignatureSignature algorithmalgorithm選擇“MD 5”，TemplateTemplate選擇“default HTTPS_server”,操作完畢后點(diǎn)選“Extensions”選項(xiàng)卡，如下圖：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 14 of 2

16、7BasicBasic constraintsconstraints中TypeType選擇“Certification Authority”，點(diǎn)選“Critical”；KeyKey identifieridentifier中點(diǎn)選“Subject Key Identifier”和“Authority Key Identifier”；TimeTime rangerange中輸入“1”，選擇“Years”，點(diǎn)擊“Apply”按鈕，選擇“Key Usage”選項(xiàng)卡，如下圖：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-

17、23遠(yuǎn)光軟件股份有限公司, 2010Page 15 of 27KeyKey UsageUsage中選擇“Digital Signature”、“Non Repudiation”、“Key Encipherment”，點(diǎn)擊“Netscape”選項(xiàng)卡，如下圖所示：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 16 of 27選擇“SSL Server”，點(diǎn)擊“OK”按鈕完成 server1 證書的創(chuàng)建，在“Certificate”選項(xiàng)卡中如下圖所示：4、 創(chuàng)建創(chuàng)建 2

18、2 級級 CACA（server2server2），），創(chuàng)建過程參照 server1，要修改的地方就是生成 CSR 請求時的Common name 要設(shè)置為 server2 的地址，為“3”。ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 17 of 27至此構(gòu)建完成的 CA 體系如下圖：3.33.3構(gòu)建構(gòu)建 JavaJava 證書庫證書庫 在 XCA 中，右鍵點(diǎn)擊上圖中的 server1，選擇“Export”-“File”，如下圖所示： Ex

19、portExport FormatFormat選為“PKCS #12 with Certificate chain”，點(diǎn)擊“OK”導(dǎo)出證書鏈，此時會要求輸入和確認(rèn)加密 PKCS#12 文件的密碼，如下圖所示：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 18 of 27點(diǎn)擊“OK”按鈕導(dǎo)出文件。對 server2 進(jìn)行相同的操作，ExportExport FormatFormat也相同。對 root_cer 操作也相同，但是ExportExport FormatFo

20、rmat應(yīng)選為“PKCS #12”，如下圖所示：對 root_cer 再進(jìn)行一次相同的操作，此時 Export Format 選為“PEM”，如下圖所示：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 19 of 27至此一共導(dǎo)出了四個文件，如下圖所示：打開 KeyToolsGUI，點(diǎn)擊“File”-“New KeyStore”，彈出對話框如下圖所示：點(diǎn)選“JKS”，點(diǎn)擊“OK”按鈕。接下來點(diǎn)擊菜單欄“Tools”-“Import Key Pair”，選擇剛才導(dǎo)出的

21、server1.p12 文件，此時會要求你輸入剛才導(dǎo)出文件時的密碼,如下圖所示：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 20 of 27輸入密碼后點(diǎn)擊“OK”，彈出如下圖所示對話框：點(diǎn)選“server1”后，點(diǎn)擊“Import”按鈕，轉(zhuǎn)到輸入別名對話框，如下圖所示：輸入別名后，點(diǎn)擊“OK”，會提示輸入和確認(rèn) Key Pair Entry Password，如下圖所示：輸入和確認(rèn)密碼后點(diǎn)擊“OK”，彈出“Key Pair Import Successful”信息

22、，點(diǎn)擊“確定”。按 Ctrl+S 保存證書庫，會彈出“Set KeyStore Password”對話框，如下圖所示：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 21 of 27輸入和確認(rèn)密碼后，點(diǎn)擊“OK”，彈出選擇保存證書庫對話框，在文件名處要輸入完整名稱，如下圖所示：至此完成了 server1 證書庫的創(chuàng)建，對于 server2.p12 和 root_cer.p12 也按照上面的操作導(dǎo)入到KeyToolGUI 中，創(chuàng)建相應(yīng)的證書庫。注：1、上述步驟中多次要求

23、輸入和確認(rèn)各種密碼，為了便于記憶和操作可以全部設(shè)為同一密碼，以免記混了。2、root_cer.crt 要在下一章配置 Apache HTTP Server 的時候用到。 通過上面的操作又獲得了三個證書庫文件,如下圖所示： ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 22 of 274.4.部署證書庫和配置部署證書庫和配置 SSLSSL Weblogic 中配置 KeyStores、配置 SSL 和啟動 SSL 可參考文檔“Weblogic SSL 安全配置手冊”，

24、 需要說明的是 server1.jks 和 server2.jks 分別為集群節(jié)點(diǎn) server1 和 server2 的身份證書庫，root.jks 為 server1 和 server2 的信任證書庫，下圖為 server1 的 Keystores 配置： 對應(yīng)的 SSL 配置如下：ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 23 of 27 server1 啟動 SSL 的配置如下： server2 的配置可仿照 server1 進(jìn)行。 ERP 軟件部 Ve

25、rsion: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 24 of 275.5.配置配置 ApacheApache HTTPHTTP ServerServer5.15.1下載安裝下載安裝 ApacheApache HTTPHTTP ServerServer可以去 Apache 官方網(wǎng)站查找需要下載安裝程序，要下載包含 OpenSSL 的 Apache HTTP Server，同 時為了于 Weblogic9.2 相對應(yīng)，需要 Apache HTTP Server 的 2.0 版本，不同的操作系統(tǒng)

26、下安裝文件和安裝的方式不同，本文僅以 window xp 操作系統(tǒng)為例，介紹 apache Http Server 的安裝配置。下載到的安裝文件如下圖所示：根據(jù)安裝向?qū)У奶崾?，完?Apache HTTP Server 的安裝，最好裝在磁盤的根目錄下，例如D:Apache2。本文檔所使用的集群環(huán)境，需在 3 機(jī)器安裝 Apache HTTP Server。5.25.2配置配置 HTTPHTTP ServerServer 1、復(fù)制“WL_HOMEweblogic92serverpluginwin32mod_wl_20.so”至“APACHE_HOMEApache2modu

27、les”。 2、打開“APACHE_HOMEApache2confhttpd.conf”，在 LoadModule 部分找到#LoadModule ssl_module modules/mod_ssl.so,去掉前面的注釋，并在該句下面加入一行：LoadModule weblogic_module modules/mod_wl_20.so 形成如下圖所示的配置： 在文件最后一行增加如下圖所示的信息： 注：上圖的配置是針對 Http 請求的，通過于下面對于 Https 請求的配置進(jìn)行結(jié)合，使 Apache HTTP Server 能同時分發(fā)兩種請求。3、點(diǎn)擊“開始”-“運(yùn)行”，輸入“cmd”進(jìn)入

28、命令提示符切換到“APACHE_HOMEApache2bin“ 目錄，運(yùn)行下面三條命令：(1) openssl req -new -out server.csr -config f(2) openssl rsa -in privkey.pem -out server.key(3) openssl x509 -in server.csr -out server.crt -req -signkey server.key -days 3650ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2

29、010Page 25 of 27 注：上面三條命令是生成 Apache HTTP Server 要用到的證書文件和私鑰文件。在執(zhí)行第一條命在執(zhí)行第一條命令時，會被問到很多問題，最重要的是令時，會被問到很多問題，最重要的是 CommonCommon NameName 的值要和你以后訪問的值要和你以后訪問 ApacheApache HTTPHTTP ServerServer 用到的地址或域名相同用到的地址或域名相同，本例中輸入 3.如下圖所示： 第三條命令中-days 指定證書的有效天數(shù)，可根據(jù)實(shí)際需求情況輸入相應(yīng)的天數(shù)。 Apache HTTP Server 附帶的 Op

30、enSSL 只提供了基本的功能，如果想使用完整功能的OpenSSL 可以到 下載源文件，具體編譯、安裝方法可以參考隨本文檔一起打包的“第 14 章 OpenSSL 編譯和安裝.pdf”。 生成證書文件等還可以選擇 XCA，具體使用方法請參考隨本文檔一起打包的“Weblogic+Security+In+Action(2).swf”，圖形化操作比 OpenSSL 的命令行方式方便了許多。但是本例中用 XCA 生成的證書和密鑰用于 Apache HTTP Server 時無效，原因不明。 4、創(chuàng)建目錄“APACHE_HOMEApache2confssl.crt”和“A

31、PACHE_HOMEApache2confssl.key”, 如下圖所示： 把在“APACHE_HOMEApache2bin”目錄中生成的 server.crt 移動到“APACHE_HOMEApache2confssl.crt”，把 server.key 移動到“APACHE_HOMEApache2confssl.key”。ERP 軟件部 Version: 1.0SSL 下 Apache 代理 Weblogic 集群配置手冊 Date: 2010-7-23遠(yuǎn)光軟件股份有限公司, 2010Page 26 of 275、 打開文件“APACHE_HOMEApache2confssl.conf”,

32、增加一臺虛擬主機(jī)的配置： DocumentRoot D:/Apache2/htdocs ServerName 3:443 ServerAdmin ErrorLog logs/error_log TransferLog logs/access_log SSLEngine on SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL SSLCertificateFile conf/ssl.crt/server.crt SSLCertificateKeyFile conf/

33、ssl.key/server.key MatchExpression *WebLogicCluster 30:8008,3:8008SecureProxy ONTrustedCAFile E:root_cer.crt Debug OFF DebugConfigInfo OFF KeepAliveEnabled ON KeepAliveSecs 30 HungServerRecoverSecs 3600 SSLOptions +StdEnvVars SSLOptions +StdEnvVars SetEnvIf User-Agent .*MSIE.* nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0 CustomLog logs/ssl_request_log %t %h %SSL_PROTOCOLx %SSL_CIP