1

Intentando instalar un SSL certificate on Tomcat 8.5.57.

Habiendo obtenido el archivo para el keystore my.domain.jks file, y establecido un nuevo conector en el archivo de configuración, no funciona la conexión al sitio.

El código del connector en el server.xml es

<Connector port="8443"     
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    maxThreads="150"     
    SSLEnabled="true"     scheme="https"     secure="true"
    clientAuth="false"     
    sslProtocol="TLS"     
    keystoreFile="/opt/tomcat/certificat/app.aprenonline.eu.jks"     
    keystoreType="JKS" keystorePass=""/>

<!-- Define an AJP 1.3 Connector on port 8009 -->
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

A partir de ahí, cuando intento conectarme, la barra de estado del chrome pone "trying to make a secure connection..." pero se cuelga en ese punto.

Debería cambiar algun puerto? Eso lo pienso porque el 8443 ya se usa como redirect port en el conector por defecto.

Cualquier ayuda muchas gracias

El log:

22-Sep-2020 14:56:51.718 INFO [aprenonline.eu-startStop-1] org.apache.catalina.startup.HostConfig.deployDirectory Deployment of web application directory [/opt/tomcat/webapps/aprenonline/ao] has finished in [34] ms
22-Sep-2020 14:56:51.735 INFO [main] org.apache.coyote.AbstractProtocol.start Starting ProtocolHandler ["http-nio-8080"]
22-Sep-2020 14:56:51.760 SEVERE [main] org.apache.catalina.core.StandardService.startInternal Failed to start connector [Connector[AJP/1.3-8009]]
    org.apache.catalina.LifecycleException: Protocol handler start failed
        at org.apache.catalina.connector.Connector.startInternal(Connector.java:1102)
        at org.apache.catalina.util.LifecycleBase.start(LifecycleBase.java:183)
        at org.apache.catalina.core.StandardService.startInternal(StandardService.java:440)
        at org.apache.catalina.util.LifecycleBase.start(LifecycleBase.java:183)
        at org.apache.catalina.core.StandardServer.startInternal(StandardServer.java:766)
        at org.apache.catalina.util.LifecycleBase.start(LifecycleBase.java:183)
        at org.apache.catalina.startup.Catalina.start(Catalina.java:688)
        at java.base/jdk.internal.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
        at java.base/jdk.internal.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
        at java.base/jdk.internal.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
        at java.base/java.lang.reflect.Method.invoke(Method.java:566)
        at org.apache.catalina.startup.Bootstrap.start(Bootstrap.java:342)
        at org.apache.catalina.startup.Bootstrap.main(Bootstrap.java:473)
    Caused by: java.lang.IllegalArgumentException: The AJP Connector is configured with secretRequired="true" but the secret attribute is either null or "". This combination is not valid.
        at org.apache.coyote.ajp.AbstractAjpProtocol.start(AbstractAjpProtocol.java:274)
        at org.apache.catalina.connector.Connector.startInternal(Connector.java:1100)
        ... 12 more
22-Sep-2020 14:56:51.761 INFO [main] org.apache.catalina.startup.Catalina.start Server startup in 3321 ms

He probado de poner el conector AJP así:

<!-- Define an AJP 1.3 Connector on port 8009 -->
<!-- <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> -->
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" secret="untextoultrasecreto102030" />

Y también sin el conector AJP, comentando ambas lineas, y restarteando el tomcat cada vez...

También tengo dudas sobre la etiqueta que añadí al web.xml:

<security-constraint>
        <web-resource-collection>
            <web-resource-name>Protected Context</web-resource-name>
            <url-pattern>/*</url-pattern>
        </web-resource-collection>  -->
    <!-- auth-constraint goes here if you require authentication -->
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint> 
</security-constraint>

He prbado con y sin ella:

  • Con la etiqueta en el web.xml -> Chrome me dice establecieno conexión segura... en la barra de estado, pero no llega a conectarse.

  • Sin la etiqueta -> Chrome se conecta normalmente, y el sitio funciona, pero no es https. Queda como lugar no seguro.

Gracias por vuestro tiempo.

3
  • Asumimos que en la contraseña estás poniendo la contraseña del keystore. Verdad? Qué te sale en el catalina.out/server.log cuando despliegas el Tomcat con esta configuración? (Añade la respuesta a esto en tu pregunta, editándola)
    – Alfabravo
    el 22 sep. 2020 a las 13:22
  • No veo la forma de volver a editar la pregunta... El fichero catalina.2020-09-22.log muestra el error 22-Sep-2020 13:29:31.783 SEVERE [main] org.apache.catalina.core.StandardService.startInternal Failed to start connector [Connector[AJP/1.3-8009]] org.apache.catalina.LifecycleException: Protocol handler start failed at org.apache.catalina.connector.Connector.startInternal(Connector.java:1102)
    – carles
    el 22 sep. 2020 a las 13:27
  • Justo debajo de la pregunta y las etiquetas hay un enlace 'editar'. Y añade una traza más completa. Ahí se ve que el conector AJP no arranca pero no sabemos cuál es la causa. Revisa el log localhost también. Y no es necesario cambiar puertos, que como están deberan funcionar. De hecho son redirecciones habituales cuando se configura de esta forma.
    – Alfabravo
    el 22 sep. 2020 a las 13:41

1 respuesta 1

0

Ese comportamiento es resultado de un parche aplicado a TOmcat recientemente, buscando mitigar una vulnerabilidad crítica (conocida como Ghostcat)

Esencialmente, cuando se habilita el conector AJP, este trae en true por defecto el valor para secretRequired. Por lo tanto, debes indicar, muy al estilo del puerto de shutdown, un valor para el atributo secret.

Prueba habilitar tu conector AJP así:

<!-- Define an AJP 1.3 Connector on port 8009 -->
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" secret="untextoultrasecreto102030" />

Y todos los workers que se conecten por AJP deberían usar ese secret para conectarse.

La otra opción es: si no necesitas habilitar AJP, comenta ese bloque y apaga el conector.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.