Tomcat SSL 적용시 https로 자동 리다이렉트 설정하기

요즘은 대부분의 사이트들이 SSL을 사용해서 https:// 로 연결을 합니다. SSL을 사용하던 초창기에는 성능 문제로 로그인, 회원가입 등 주요한 데이터가 전달되는 곳에 부분적으로 적용을 하였는데, 요즘은 서버와 클라이언트의 성능이 좋아져서 사이트 전체에 SSL을 적용하는것이 일반적입니다.

하지만 대부분의 사람들은 http:// 주소를 사용해서 페이지 접근하므로 http 요청을 https 요청으로 리다이렉트 시켜야 합니다. Tomcat 에서 이것을 자동으로 처리하도록 설정하는 방법을 알아보겠습니다.

1. SSL설정을 먼저 합니다.

먼저 SSL 설정이 되어 있다고 가정합니다. 설정이 되고 https:// 로 접근이 된다면 Tomcat 의 server.xml 파일에 다음과 유사하게 설정되어 있을 것입니다.

<Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />

<Connector port="80" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="443" />

<!-- JavaKeyStore 의 경우 -->
<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="conf/domain.jks" keystorePass=".jks 비밀번호" />

<Connector port="8009" protocol="AJP/1.3" redirectPort="443" />

2. WEB-INF/web.xml에 리다이렉트 설정 추가하기

아래 설정을 web.xml 파일에 추가합니다. 그리고 Tomcat 을 재시작하고, http://domain/index.jsp 처럼 호출 하게 되면 https://domain/index.jsp 로 바로 리다이렉트 되는 것을 확인할 수 있을 것입니다.

<security-constraint>
    <web-resource-collection>
        <web-resource-name>SSL Forward</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

3. 특정 리소스는 http와 https 양쪽 모두 처리되도록 설정하기

아래설정은 위의 설정 아래에 추가하면 /images/*, /css/* 리소스는 http 또는 https 모두에서 처리됩니다.

<security-constraint>
    <web-resource-collection>
        <web-resource-name>HTTPS or HTTP</web-resource-name>
        <url-pattern>/images/*</url-pattern>
        <url-pattern>/css/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>NONE</transport-guarantee>
    </user-data-constraint>
</security-constraint>

web.xml 파일에 <security-constraint> 태그는 여러번 나올 수 있습니다. Tomcat 에서 보안 목적으로 특정 HTTP Method 를 제한하는 것도 <security-constraint> 를 사용합니다. 필요하면 이것도 같이 추가하면 되겠습니다.

Tomcat SSL 적용시 https로 자동 리다이렉트 설정하기

Windows에서 TOMCAT에 개발용으로 SSL 적용하기

SSL 동작 방식을 간단히 알아보기