服务器配置SSL双向认证操作手册
一．Tomcat配置SSL证书
一．第一步为服务器生成证书
生成一个用户证书
keytool -genkey -v -alias tomcat -keyalgRSA -keystore D:\tomcat.keystore -validity 36500
生成.keystore文件在 用户目录下
输入keystore密码： ************
您的名字与姓氏是什么？
[Unknown]： localhost
您的组织单位名称是什么？
[Unknown]： localhost
您的组织名称是什么？
[Unknown]： Inc
您所在的城市或区域名称是什么？
[Unknown]： 上海
您所在的州或省份名称是什么？
[Unknown]： 上海
该单位的两字母国家代码是什么
[Unknown]： CN
CN=localhost, OU= dept, O= Inc, L=bj, ST=bj, C=CN 正确吗？
[否]： Y
输入的主密码
（如果和 keystore 密码相同，按回车）：*************
注意: localhost，是网站的域名或者ip,根据实际情况填写，比如www.baidu.com 192.168.0.85 否则会出现证书上的名称无效，或者与站点名称不匹配。
建议：将生成的tomcat.keystore文件，放到%TOMCAT_HOME%或其子目录中（如：%TOMCAT_HOME%/conf）
(其实放哪里都一样，只是放到%TOMCAT_HOME%里面会方便一些)
“D:\tomcat.keystore”含义是将证书文件的保存路径，证书文件名称是tomcat.keystore(可自定义名称)；
“-validity 36500”含义是证书有效期，36500表示100年，默认值是90天；
二．第二步 为客户端生成证书
1.keytool-genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystoreD:\client.key.p12
C:\Windows\system32>keytool-genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystoreD:\client.key.p12
输入keystore密码：
再次输入新密码:
您的名字与姓氏是什么？
[Unknown]： hewy
您的组织单位名称是什么？
[Unknown]： hewy
您的组织名称是什么？
[Unknown]： Inc
您所在的城市或区域名称是什么？
[Unknown]： shanghai
您所在的州或省份名称是什么？
[Unknown]： shanghai
该单位的两字母国家代码是什么
[Unknown]： CN
CN=hewy, OU=hewy, O=Inc, L=shanghai, ST=shanghai,C=CN 正确吗？ [否]： y
正在为以下对象生成 1,024 位 RSA 密钥对和自签名证书 (SHA1withRSA)（有效期为 90 天）:
CN=hewy, OU=hewy,O=inc, L=shanghai, ST=shanghai, C=CN
[正在存储 D:\client.key.p12]
C:\Windows\system32>
生成两个文件
2.安装客户端证书
双击客户端证书“client.key.p12”完成导入证书过程如下：
三．让服务器信任客户端证书
1、将客户端证书导出为CER文件
由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。因不能直接将PKCS12格式的证书库导入服务器证书库，将客户端证书导出为一个单独的CER文件
keytool -export -alias mykey -keystore D:\client.key.p12 -storetype PKCS12-storepass password -rfc -file D:\client.key.cer
注：password为客户端证书的密码
2、将CER文件导入到服务器的证书库
添加为一个信任证书使用命令如下：
keytool -import -v -file D:\client.key.cer-keystore D:\tomcat.keystore
3、检查安装结果
通过list命令查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书：
keytool -list -keystore D:\tomcat.keystore (tomcat为你设置服务器端的证书名)。
keytool -list-keystore D:\tomcat.keystore
四．让客户端信任服务器证书
1、把服务器证书导出为CER文件
由于是双向SSL认证，客户端也要验证服务器证书，因此，必须把服务器证书添加到浏览的“受信任的根证书颁发机构”。由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令：
keytool -keystore D:\home\tomcat.keystore -export -alias tomcat -fileD:\home\tomcat.cer (tomcat为你设置服务器端的证书名)。
keytool-keystore D:\tomcat.keystore -export -alias tomcat -file D:\tomcat.cer
2、在客户端安装服务器证书
双击“tomcat.cer”，按照提示安装证书，将证书填入到“受信任的根证书颁发机构”
3、检查安装结果
IE -> Internet选项 -> 内容 -> 证书
五．配置tomcat服务器
把tomcat.store文件移动到tomcat conf目录下
修改%TOMCAT_HOME%/conf/server.xml
去掉下面SSL HTTP那个注释，修改为如下：
Xml代码
<Connector port="8443"protocol="HTTP/1.1" connectionTimeout="20000"redirectPort="8443"
SSLEnabled="true"
maxThreads="150"
scheme="https"
secure="true"
clientAuth="true"
sslProtocol="TLS"
keystoreFile="/conf/tomcat.keystore"
keystorePass="111111"
truststoreFile="/conf/tomcat.keystore"
truststorePass="111111"/>
注意服务端证书名保持一致
属性说明：
clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证
keystoreFile:服务器证书文件路径
keystorePass:服务器证书密码
truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书
truststorePass:根证书密码
六．测试
重启Tomcat，访问地址https://localhost:8443/