Certificate Management Service:Instal Sertifikat SSL pada server Tomcat (Linux)

Catatan penggunaan

Sebelum memulai, pastikan Anda memenuhi persyaratan berikut:

Buka port 443 di security group

Jika server Anda berjalan di ECS Alibaba Cloud, tambahkan aturan masuk untuk mengizinkan TCP port 443:

1. Buka instans Elastic Compute Service (ECS) dan klik nama instans target.

2. Di bagian Security Group Details, tambahkan aturan security group dengan pengaturan berikut lalu simpan: Untuk platform cloud lain, rujuk dokumentasi mereka.

   Field	Value
   Action	Allow
   Protocol	Custom TCP
   Destination (Current Instance)	HTTPS (443)
   Source	0.0.0.0/0 (anywhere)

Buka port 443 di firewall OS

Pertama, periksa apakah port 443 sudah dapat dijangkau. Jalankan perintah berikut sesuai distribusi Linux Anda:

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Ganti <your_server_public_ip> dengan Alamat IP publik server Anda.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Jika output berisi Ncat: Connected to <your_server_public_ip>:443, port 443 terbuka dan tidak diperlukan tindakan lebih lanjut.

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Ganti <your_server_public_ip> dengan Alamat IP publik server Anda.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Jika output berisi Connection to <your_server_public_ip> port [tcp/https] succeeded! atau [<your_server_public_ip>] 443 (https) open, port 443 terbuka dan tidak diperlukan tindakan lebih lanjut.

Jika port 443 tidak terbuka, identifikasi firewall aktif dan buka port tersebut:

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

Jika output adalah none, tidak ada firewall aktif. Jika tidak, jalankan perintah sesuai firewall Anda:

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Untuk mempertahankan aturan iptables setelah reboot:

• RHEL/CentOS:

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu:

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

(Opsional) Paksa pengalihan HTTP ke HTTPS

Untuk mengalihkan semua permintaan HTTP ke HTTPS secara otomatis, tambahkan blok berikut di bagian bawah conf/web.xml, tepat sebelum tag penutup </web-app>:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>SSL</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

Validasi dan restart Tomcat

1. Validasi konfigurasi. Dari direktori bin Tomcat, jalankan:

   ./configtest.sh

   Jika output adalah Configuration file test successful, konfigurasi valid. Jika muncul error, perbaiki konfigurasi berdasarkan pesan error lalu jalankan validasi ulang.

2. Restart Tomcat untuk menerapkan perubahan:

   sudo ./shutdown.sh
   sudo ./startup.sh

HTTPS tidak dapat diakses setelah instalasi atau pembaruan sertifikat

Periksa hal berikut secara berurutan:

1. Port 443 diblokir. Verifikasi bahwa security group dan firewall OS mengizinkan lalu lintas inbound TCP pada port 443. Lihat Langkah 2.

2. Ketidakcocokan domain. Pastikan domain yang Anda akses tercantum di bidang Bound Domains sertifikat. Lihat bagian Prasyarat untuk aturan pencocokan domain.

3. Tomcat belum direstart. Konfigurasi baru hanya berlaku setelah Tomcat direstart. Lihat langkah validasi dan restart di Langkah 3.

4. Path atau file sertifikat salah. Periksa bahwa certificateKeystoreFile (atau keystoreFile) di server.xml mengarah ke file sertifikat yang benar dan mutakhir.

5. Sertifikat tidak ada di layanan hulu. Jika domain Anda melewati Content Delivery Network (CDN), Server Load Balancer (SLB), atau Web Application Firewall (WAF), sertifikat juga harus dipasang di layanan tersebut. Lihat Lokasi penerapan sertifikat saat trafik melewati beberapa Layanan Alibaba Cloud.

6. Penerapan multi-server tidak lengkap. Jika DNS domain di-resolve ke beberapa server, instal sertifikat di semua server tersebut.

Untuk troubleshooting lebih lanjut, lihat Selesaikan masalah penerapan sertifikat berdasarkan pesan error browser dan Panduan troubleshooting penerapan Sertifikat SSL.

Tomcat gagal start, dan log menampilkan error "Keystore was tampered with, or password was incorrect"

Hampir selalu berarti password di server.xml tidak sesuai dengan file keystore. Untuk memperbaikinya:

1. Buka file password (.txt) dari paket sertifikat dan salin isinya secara tepat, tanpa spasi atau baris baru di akhir.

2. Perbarui atribut certificateKeystorePassword (atau keystorePass) di server.xml dengan nilai tersebut.

3. Pastikan certificateKeystoreFile (atau keystoreFile) mengarah ke path file yang benar.

4. Pastikan pengguna Tomcat memiliki izin baca pada file sertifikat.

Koneksi direset / Koneksi ditolak saat mengakses server

Ini adalah masalah konektivitas jaringan, bukan masalah sertifikat. Periksa hal berikut:

1. Pastikan security group dan firewall OS mengizinkan lalu lintas inbound pada port 443 (atau port yang dikonfigurasi di server.xml). Lihat Langkah 2.

2. Verifikasi bahwa Tomcat sedang berjalan: ps -ef | grep tomcat

3. Pastikan atribut port pada konektor SSL di server.xml sesuai dengan port yang Anda akses.

Cara memperbarui atau mengganti Sertifikat SSL di Tomcat

1. Cadangkan file yang ada. Simpan salinan file sertifikat saat ini (.pfx atau .jks) dan file password (.txt) dari server.

2. Unduh sertifikat baru. Dapatkan paket sertifikat baru dari Konsol Layanan Manajemen Sertifikat.

3. Ganti file. Unggah file sertifikat dan password baru ke path yang sama di server, timpa file lama. Path dan nama file harus persis sesuai dengan yang dikonfigurasi di server.xml.

4. Restart Tomcat. Jalankan sudo ./shutdown.sh dan sudo ./startup.sh dari direktori bin Tomcat untuk menerapkan sertifikat baru.