1.彎路：Tomcat支持SSL

騰訊云Tomcat服務器證書配置

修改server.xml文件

<Connector 
   port="443" 
   protocol="org.apache.coyote.http11.Http11NioProtocol" 
   SSLEnabled="true" 
   scheme="https" 
   secure="true" 
   keystoreFile="conf\ssl\生產的證書名稱我使用相對路徑.jks" 
   keystoreType="JKS" 
   keystorePass="證書對應的密碼" 
   clientAuth="false" 
   sslProtocol="TLSv1+TLSv1.1+TLSv1.2"
   maxThreads="150" ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256">
</Connector>
<!-- Define an AJP 1.3 Connector on port 8009 -->
<Connector port="8209" protocol="AJP/1.3" redirectPort="8443" secretRequired="" useBodyEncodingForURI="true" URIEncoding="UTF-8"/>

keystoreType="JKS"：請注意該配置跟阿里云的不一樣，記得修改

<Engine defaultHost="我的域名" name="Catalina" jvmRoute="tomcat1" URIEncoding="UTF-8">
 <Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>
 <Realm className="org.apache.catalina.realm.LockOutRealm">
  <Realm className="org.apache.catalina.realm.UserDatabaseRealm" resourceName="UserDatabase"/>
 </Realm>
 <Host name="我的域名" appBase="webapps" unpackWARs="true" autoDeploy="true">
  <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
    prefix="localhost_access_log" suffix=".txt"
    pattern="%h %l %u %t &quot;%r&quot; %s %b" />
 </Host>
</Engine>

服務器啟動完畢之后443端口也被占用了，真的好坑好坑，如果不需要轉發的時候，可以使用改配置。

啟動nginx 不成功bind() to 0.0.0.0:443 failed (10013: An attempt was made to access a socket in a way forbidden by its access permissions

2.需求概述

當在一個服務器(騰訊云的服務器的IP地址)部署多個服務，不同服務需要通過不同域名訪問時，可以通過Nginx代理進行域名轉發，同時還可以通過配置SSL模塊實現https訪問。(我的服務器使用window系統，如果沒有SSL模塊需要自行開啟，默認是支持的)

在一個服務器同時部署3個服務：服務A，服務B和服務C，服務需配置以下域名：

pangsir01.domain.com域名對應服務A;

pangsir02.domain.com域名對應服務B;

pangsir03.domain.com域名對應服務C;

服務通過https訪問，http請求重定向至https。

(1)服務代理設置

配置Nginx監聽443端口，實現域名轉發和https訪問，本示例使用的證書是crt格式證書

1)服務A的配置

server {
 listen 443 ssl; #監聽端口，Nginx1.5后推薦使用
 server_name pangsir01.domain.com; #請求域名
 ssl_certificate ssl/證書名稱A.crt; #crt證書路徑,存放位置Nginx的conf/ssl文件夾下，可以使用絕對路徑
 ssl_certificate_key  ssl/證書名稱A.key; #crt證書key路徑
 ssl_session_timeout  5m; #會話超時時間
 ssl_ciphers  ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL協議
 # 攔截所有請求
 location / {
  proxy_http_version 1.1; #代理使用的http協議
  proxy_set_header Host $host; #header添加請求host信息
  proxy_set_header X-Real-IP $remote_addr; # header增加請求來源IP信息
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理記錄
  proxy_pass http://127.0.0.1:8001; #服務A訪問地址
 }
}

2)服務B的配置

server {
 listen 443 ssl; #監聽端口，Nginx1.5后推薦使用
 server_name pangsir02.domain.com; #請求域名
 ssl_certificate ssl/證書名稱B.crt; #crt證書路徑,存放位置Nginx的conf/ssl文件夾下，可以使用絕對路徑
 ssl_certificate_key  ssl/證書名稱B.key; #crt證書key路徑
 ssl_session_timeout  5m; #會話超時時間
 ssl_ciphers  ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL協議
 # 攔截所有請求
 location / {
  proxy_http_version 1.1; #代理使用的http協議
  proxy_set_header Host $host; #header添加請求host信息
  proxy_set_header X-Real-IP $remote_addr; # header增加請求來源IP信息
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理記錄
  proxy_pass http://127.0.0.1:8002; #服務B訪問地址
 }
}

3)服務C的配置

server {
 listen 443 ssl; #監聽端口，Nginx1.5后推薦使用
 server_name pangsir03.domain.com; #請求域名
 ssl_certificate ssl/證書名稱C.crt; #crt證書路徑,存放位置Nginx的conf/ssl文件夾下，可以使用絕對路徑
 ssl_certificate_key  ssl/證書名稱C.key; #crt證書key路徑
 ssl_session_timeout  5m; #會話超時時間
 ssl_ciphers  ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL協議
 # 攔截所有請求
 location / {
  proxy_http_version 1.1; #代理使用的http協議
  proxy_set_header Host $host; #header添加請求host信息
  proxy_set_header X-Real-IP $remote_addr; # header增加請求來源IP信息
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理記錄
  proxy_pass http://127.0.0.1:8003; #服務B訪問地址
 }
}

(2)http請求自動轉發

增加server配置，監聽80端口，對所有域名進行https重定向

server {
 listen  80; #監聽端口
 server_name a.domain.com b.domain.com c.domain.com; #請求域名
 return  301 https://$host$request_uri; #重定向至https訪問。
}

3.WebSocket的SSL配置

假如服務A中使用到websocket(訪問接口為：/websocket)，需要將ws協議更換為wss協議，可在服務A的server配置中增加一個location配置，攔截websocket進行單獨代理。

服務A的配置，修改后：

server {
  listen 443 ssl; #監聽端口
  server_name pangsir01.domain.com; #請求域名
  ssl_certificate ssl/證書名稱A.crt; #crt證書路徑
  ssl_certificate_key  ssl/證書名稱A.key; #crt證書key路徑
  ssl_session_timeout  5m; #會話超時時間
  ssl_ciphers  ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法
  ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL協議
  # 攔截所有請求
  location / {
   proxy_http_version 1.1; #代理使用的http協議
   proxy_set_header Host $host; #header添加請求host信息
   proxy_set_header X-Real-IP $remote_addr; # header增加請求來源IP信息
   proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理記錄
   proxy_pass http://127.0.0.1:8001; #服務A訪問地址
  }  
  # 攔截websocket請求
  location /websocket {
   proxy_pass http://127.0.0.1:8001;
   proxy_http_version 1.1;
   proxy_set_header Upgrade $http_upgrade;
   proxy_set_header Connection "upgrade";
  }
 }

以上就是關于“Nginx轉發https訪問的實現”的介紹，大家如果想了解更多相關知識，可以關注動力節點Nginx視頻教程，里面有更豐富的知識點在等著大家去學習，希望對大家能夠有所幫助。