Debian环境下Tomcat配置HTTPS后8443端口未监听问题排查

问题原因 #

你遇到的HTTPS启用失败、8443端口未监听的问题，核心是配置文件存在拼写错误，以及密钥库密码配置不匹配：

1. 配置属性拼写错误：
   • <Connector>标签中的defaultSSLHotConfigName拼写错误，正确属性名为defaultSSLHostConfigName
   • <Certificate>标签中的KeystorePass首字母大写不被Tomcat识别，正确属性为certificateKeystorePassword，部分旧版本兼容小写的keystorePass
2. 密钥库密码不匹配：生成JKS文件时，若密钥库（store）密码和密钥条目（key）密码不一致，仅配置密钥库密码也会触发密码错误报错
3. 路径识别问题：使用相对路径conf/keystore.jks可能因Tomcat工作目录变化导致文件找不到，触发加载失败

你之前认为证书配置错误也会监听端口的理解有误：如果Connector初始化过程中抛出致命错误（比如密钥库读取失败），Tomcat会跳过该Connector的启动，因此端口不会处于监听状态。

解决步骤 #

• 第一步：修正server.xml配置，参考以下示例修改，建议直接填写keystore文件的绝对路径，同时显式配置密钥条目密码：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           defaultSSLHostConfigName="qa-maintenance.company.com">
    <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
    <SSLHostConfig hostname="qa-maintenance.company.com" protocols="TLSv1.2,+TLSv1.1,+TLSv1">
        <Certificate certificateKeystoreFile="/你的Tomcat安装路径/conf/keystore.jks"
                     type="RSA" 
                     certificateKeystorePassword="123456"
                     certificateKeyPassword="123456"/>
    </SSLHostConfig>
</Connector>

• 第二步：验证密钥库密码正确性，执行JDK自带的keytool命令确认密码无误：

keytool -list -keystore /你的Tomcat安装路径/conf/keystore.jks -storepass 123456

如果命令正常输出密钥库条目信息，说明store密码正确；如果报错则说明生成密钥库时密码输入错误，重新生成即可。

• 第三步：统一密钥库密码和密钥条目密码，若生成密钥时未显式指定key密码，执行以下命令将key密码修改为和store密码一致（默认alias为mykey，如果你生成时指定了其他alias请替换）：

keytool -keypasswd -alias mykey -keystore /你的Tomcat安装路径/conf/keystore.jks -storepass 123456 -keypass 原有key密码 -new 123456

• 第四步：重启Tomcat，执行netstat -tulpn | grep LISTEN验证8443端口是否处于监听状态，正常配置下此时即可正常访问HTTPS服务。

内容的提问来源于stack exchange，提问作者RobTheRobot16