企业级Tomcat部署实践及安全调优（再续）
2017-12-04 14:23
316 查看
原文链接：点击打开链接
摘要： Tomcat是Apache软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun和其他一些公司及个人共同开发而成。
修改配置文件，开启远程监控
重启服务，检查12345端口是否开启
检查端口
在Windows上监控tomcat
注意：Windwos需要安装jdk环境！
查考：http://www.Oracle.com/technetwork/java/javase/downloads/index.html
软件路径
jconsole.exe 使用说明
连接成功即可进行监控，连接的时候注意端口信息。
jvisualvm.exe使用说明
输入ip地址
主机添加完成，添加JMX监控
注意添加的时候输入端口信息。
添加完成后就能够多tomcat程序进行监控。
zabbix搭建详情参考： http://www.linuxidc.com/Linux/2017-11/148841.htm
服务端安装配置java监控服务
查看配置文件
启动zabbix-java-gateway服务，与zabbix服务
检查java端口是否开启
检查java进程是否存在
web界面添加
添加主机
主机管理模板，注意是JMX模板
监控完成
a. 查看catalina.out
b. 使用sh show-busy-java-threads.sh脚本进行检测
脚本下载地址
https://files.cnblogs.com/files/clsn/show-busy-java-threads.sh
1. 配置部分（${
CATALINA_HOME }conf/server.xml）
2. 配置部分（${
CATALINA_HOME }conf/web.xml或者WEB-INF/web.xml）
3. 删除如下tomcat的默认目录和默认文件
4. 去除其他用户对tomcat 起停脚本的执行权限
tomcat性能取决于 内存大小
上策：优化代码
该项需要开发经验足够丰富，对开发人员要求较高
中策：jvm优化机制 垃圾回收机制 把不需要的内存回收
优化jvm--优化垃圾回收策略
优化catalina.sh配置文件。在catalina.sh配置文件中添加以下代码
修改之前
修改之后
下策：加足够大的内存
该项的资金投入较大
下下策：每天0点定时重启tomcat
使用较为广泛
博文使用的系统版本为: CentOS Linux release 7.4.1708 (Core) 内核版本为： 3.10.0-693.el7.x86_64
https://promotion.aliyun.com/ntms/act/ambassador/sharetouser.html?userCode=n7gh3gne&utm_source=n7gh3gne
我有几张阿里云幸运券分享给你，用券购买或者升级阿里云相应产品会有特惠惊喜哦！把想要买的产品的幸运券都领走吧！快下手，马上就要抢光了。
摘要： Tomcat是Apache软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun和其他一些公司及个人共同开发而成。
1.11 监控tomcat集群状态
1.11.1 方法一：开发java监控页面
[root@web03 tomcat8_1]# cat /application/tomcat/webapps/memtest/meminfo.jsp
<%
Runtime rtm = Runtime.getRuntime();
long mm = rtm.maxMemory()/1024/1024;
long tm = rtm.totalMemory()/1024/1024;
long fm = rtm.freeMemory()/1024/1024;
out.println("JVM memory detail info :<br>");
out.println("Max memory:"+mm+"MB"+"<br>");
out.println("Total memory:"+tm+"MB"+"<br>");
out.println("Free memory:"+fm+"MB"+"<br>");
out.println("Available memory can be used is :"+(mm+fm-tm)+"MB"+"<br>");
%>
1.11.2 方法二：使用jps命令进行监控
[root@web03 ~]# jps -lvm 31906 org.apache.catalina.startup.Bootstrap start -Djava.util.logging.config.file=/application/tomcat8_1/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.endorsed.dirs=/application/tomcat8_1/endorsed -Dcatalina.base=/application/tomcat8_1 -Dcatalina.home=/application/tomcat8_1 -Djava.io.tmpdir=/application/tomcat8_1/temp 31812 org.apache.catalina.startup.Bootstrap start -Djava.util.logging.config.file=/application/tomcat/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.endorsed.dirs=/application/tomcat/endorsed -Dcatalina.base=/application/tomcat -Dcatalina.home=/application/tomcat -Djava.io.tmpdir=/application/tomcat/temp 31932 org.apache.catalina.startup.Bootstrap start -Djava.util.logging.config.file=/application/tomcat8_2/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.endorsed.dirs=/application/tomcat8_2/endorsed -Dcatalina.base=/application/tomcat8_2 -Dcatalina.home=/application/tomcat8_2 -Djava.io.tmpdir=/application/tomcat8_2/temp 32079 sun.tools.jps.Jps -lvm -Denv.class.path=.:/application/jdk/lib:/application/jdk/jre/lib:/application/jdk/lib/tools.jar -Dapplication.home=/application/jdk1.8.0_60 -Xms8m
1.11.3 Tomcat远程监控功能
修改配置文件，开启远程监控vim /application/tomcat8_1/bin/catalina.sh +97 CATALINA_OPTS="$CATALINA_OPTS -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=12345 -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.ssl=false -Djava.rmi.server.hostname=10.0.0.17"
重启服务，检查12345端口是否开启
/application/tomcat8_1/bin/shutdown.sh /application/tomcat8_1/bin/startup.sh netstat -tunlp|grep 12345
检查端口
[root@web03 ~]# netstat -tunlp|grep 12345 tcp6 0 0 :::12345 :::* LISTEN 33158/java
在Windows上监控tomcat
注意：Windwos需要安装jdk环境！
查考：http://www.Oracle.com/technetwork/java/javase/downloads/index.html
软件路径
C:\Program Files\Java\jdk1.8.0_31\bin jconsole.exe jvisualvm.exe
jconsole.exe 使用说明
连接成功即可进行监控，连接的时候注意端口信息。
jvisualvm.exe使用说明
输入ip地址
主机添加完成，添加JMX监控
注意添加的时候输入端口信息。
添加完成后就能够多tomcat程序进行监控。
1.11.4 zabbix监控tomcat程序
zabbix搭建详情参考： http://www.linuxidc.com/Linux/2017-11/148841.htm服务端安装配置java监控服务
[root@m01 ~]# yum install zabbix-java-gateway -y
查看配置文件
配置文件路径：/etc/zabbix/zabbix_java_gateway.conf sed -i -e '220a JavaGateway=127.0.0.1' -e '236a StartJavaPollers=5' /etc/zabbix/zabbix_server.conf
启动zabbix-java-gateway服务，与zabbix服务
systemctl start zabbix-java-gateway.service systemctl restart zabbix-server.service
检查java端口是否开启
[root@m01 ~]# netstat -lntup |grep java tcp6 0 0 :::10052 :::* LISTEN 72971/java
检查java进程是否存在
[root@m01 ~]# ps -ef |grep [j]ava zabbix 72971 1 0 11:29 ? 00:00:00 java -server -Dlogback.configurationFile=/etc/zabbix/zabbix_java_gateway_logback.xml -classpath lib:lib/Android-json-4.3_r3.1.jar:lib/logback-classic-0.9.27.jar:lib/logback-core-0.9.27.jar:lib/slf4j-api-1.6.1.jar:bin/zabbix-java-gateway-3.0.13.jar -Dzabbix.pidFile=/var/run/zabbix/zabbix_java.pid -Dzabbix.timeout=3 -Dsun.rmi.transport.tcp.responseTimeout=3000 com.zabbix.gateway.JavaGateway zabbix 73255 73226 0 11:35 ? 00:00:00 /usr/sbin/zabbix_server: java poller #1 [got 0 values in 0.000002 sec, idle 5 sec] zabbix 73256 73226 0 11:35 ? 00:00:00 /usr/sbin/zabbix_server: java poller #2 [got 0 values in 0.000002 sec, idle 5 sec] zabbix 73257 73226 0 11:35 ? 00:00:00 /usr/sbin/zabbix_server: java poller #3 [got 0 values in 0.000002 sec, idle 5 sec] zabbix 73258 73226 0 11:35 ? 00:00:00 /usr/sbin/zabbix_server: java poller #4 [got 0 values in 0.000002 sec, idle 5 sec] zabbix 73259 73226 0 11:35 ? 00:00:00 /usr/sbin/zabbix_server: java poller #5 [got 0 values in 0.000004 sec, idle 5 sec]
web界面添加
添加主机
主机管理模板，注意是JMX模板
监控完成
1.11.5 排除tomcat故障步骤
a. 查看catalina.outb. 使用sh show-busy-java-threads.sh脚本进行检测
脚本下载地址
https://files.cnblogs.com/files/clsn/show-busy-java-threads.sh
1.12 Tomcat安全优化
1. telnet管理端口保护（强制）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| telnet管理端口保护 | 1.修改默认的8005管理端口为不易猜测的端口（大于1024）； 2.修改SHUTDOWN指令为其他字符串； | <Server port="8527" shutdown="dangerous"> | 1.以上配置项的配置内容只是建议配置，可以按照服务实际情况进行合理配置，但要求端口配置在8000~8999之间； |
2. ajp连接端口保护（推荐）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| Ajp 连接端口保护 | 1.修改默认的ajp 8009端口为不易冲突的大于1024端口； 2.通过iptables规则限制ajp端口访问的权限仅为线上机器； | <Connector port="8528" protocol="AJP/1.3" /> | 以上配置项的配置内容仅为建议配置，请按照服务实际情况进行合理配置，但要求端口配置在8000~8999之间；； 保护此端口的目的在于防止线下的测试流量被mod_jk转发至线上tomcat服务器； |
3. 禁用管理端（强制）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| 禁用管理端 | 1. 删除默认的{Tomcat安装目录}/conf/tomcat-users.xml文件，重启tomcat后将会自动生成新的文件； 2. 删除{Tomcat安装目录}/webapps下默认的所有目录和文件； 3.将tomcat应用根目录配置为tomcat安装目录以外的目录； | <Context path="" docBase= "/home/work/local/tomcat _webapps" debug="0" reloadable="false" crossContext="true"/> | 对于前段web模块，Tomcat管理端属于tomcat的高危安全隐患，一旦被攻破，黑客通过上传web shell的方式将会直接取得服务器的控制权，后果极其严重； |
4. 降权启动（强制）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| 降权启动 | 1.tomcat启动用户权限必须为非root权限，尽量降低tomcat启动用户的目录访问权限； 2.如需直接对外使用80端口，可通过普通账号启动后，配置iptables规则进行转发； | 避免一旦tomcat 服务被入侵，黑客直接获取高级用户权限危害整个server的安全； |
[root@web03 ~]# useradd tomcat [root@web03 ~]# cp -a /application/tools/tomcat8_1 /home/tomcat/ [root@web03 ~]# chown -R tomcat.tomcat /home/tomcat/tomcat8_1/ [root@web03 ~]# su -c '/home/tomcat/tomcat8_1/bin/startup.sh' tomcat Using CATALINA_BASE: /home/tomcat/tomcat8_1 Using CATALINA_HOME: /home/tomcat/tomcat8_1 Using CATALINA_TMPDIR: /home/tomcat/tomcat8_1/temp Using JRE_HOME: /application/jdk Using CLASSPATH: /home/tomcat/tomcat8_1/bin/bootstrap.jar:/home/tomcat/tomcat8_1/bin/tomcat-juli.jar Tomcat started. [root@web03 ~]# ps -ef|grep tomcat
5.文件列表访问控制（强制）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| 文件列表访问控制 | 1.conf/web.xml文件中default部分listings的配置必须为false； | <init-param> <param-name>listings</param-name> <param-value>false</param-value> </init-param> | false为不列出目录文件，true为允许列出，默认为false； |
6. 版本信息隐藏（强制）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| 版本信息隐藏 | 1.修改conf/web.xml，重定向403、404以及500等错误到指定的错误页面； 2.也可以通过修改应用程序目录下的WEB-INF/web.xml下的配置进行错误页面的重定向； | <error-page> <error-code>403</error-code> <location>/forbidden.jsp</location> </error-page> <error-page> <error-code>404</error-code> <location>/notfound.jsp</location> </error-page> <error-page> <error-code>500</error-code> <location>/systembusy.jsp</location> </error-page> | 在配置中对一些常见错误进行重定向，避免当出现错误时tomcat默认显示的错误页面暴露服务器和版本信息； 必须确保程序根目录下的错误页面已经存在； |
7. Server header重写（推荐）
| 类别 | 配置内容及说明 | 标准配置 | 备注 |
| Server header重写 | 在HTTP Connector配置中加入server的配置； | server="webserver" | 当tomcat HTTP端口直接提供web服务时此配置生效，加入此配置，将会替换http 响应Server header部分的默认配置，默认是Apache-Coyote/1.1 |
8. 访问限制（可选）
| 类别 | 配置内容及说明 | 标准配置或操作 | 备注 |
| 访问限制 | 通过配置，限定访问的ip来源 | <Context path="" docBase="/home/work/tomcat" debug="0" reloadable="false" crossContext="true"> <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="61.148.18.138,61.135.165.*" deny="*.*.*.*"/> </Context> | 通过配置信任ip的白名单，拒绝非白名单ip的访问，此配置主要是针对高保密级别的系统，一般产品线不需要； |
9. 起停脚本权限回收（推荐）
| 类别 | 配置内容及说明 | 标准配置或操作 | 备注 |
| 起停脚本权限回收 | 去除其他用户对Tomcat的bin目录下shutdown.sh、startup.sh、catalina.sh的可执行权限； | chmod -R 744 tomcat/bin/* | 防止其他用户有起停线上Tomcat的权限； |
10. 访问日志格式规范（推荐）
| 类别 | 配置内容及说明 | 标准配置或操作 | 备注 |
| 访问日志格式规范 | 开启Tomcat默认访问日志中的Referer和User-Agent记录 | <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="localhost_access_log." suffix=".txt" pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts="false"/> | 开启Referer和User-Agent是为了一旦出现安全问题能够更好的根据日志进行问题排查； |
11. 附录：建议配置及标准执行方案
1. 配置部分（${CATALINA_HOME }conf/server.xml）
<Server port="8527" shutdown=" dangerous">
<!-- Define a non-SSL HTTP/1.1 Connector on port 8080 -->
<Connector port="8080" server="webserver"/>
<!-- Define an AJP 1.3 Connector on port 8528 -->
<!--Define an accesslog -->
<Valve className="org.apache.catalina.valves.AccessLogValve"
directory="logs" prefix="localhost_access_log." suffix=".txt"
pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts="false"/>
<Connector port="8528" protocol="AJP/1.3" />
<Context path="" docBase="/home/work/local/tomcat_webapps" debug="0" reloadable="false" crossContext="true"/>2. 配置部分（${
CATALINA_HOME }conf/web.xml或者WEB-INF/web.xml）
<init-param> <param-name>listings</param-name> <param-value>false</param-value> </init-param> <error-page> <error-code>403</error-code> <location>/forbidden.jsp</location> </error-page> <error-page> <error-code>404</error-code> <location>/notfound.jsp</location> </error-page> <error-page> <error-code>500</error-code> <location>/systembusy.jsp</location> </error-page>
3. 删除如下tomcat的默认目录和默认文件
tomcat/webapps/* tomcat/conf/tomcat-user.xml
4. 去除其他用户对tomcat 起停脚本的执行权限
chmod 744 –R tomcat/bin/*
1.13 Tomcat性能优化
tomcat性能取决于 内存大小上策：优化代码
该项需要开发经验足够丰富，对开发人员要求较高
中策：jvm优化机制 垃圾回收机制 把不需要的内存回收
优化jvm--优化垃圾回收策略
优化catalina.sh配置文件。在catalina.sh配置文件中添加以下代码
# tomcat分配1G内存模板 JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -server -Xms1024m -Xmx1024m -XX:NewSize=512m -XX:MaxNewSize=512m -XX:PermSize=512m -XX:MaxPermSize=512m" JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -server -Xms800m -Xmx800m -XX:NewSize=400m -XX:MaxNewSize=400m -XX:PermSize=400m -XX:MaxPermSize=400m" # 重启服务 su -c '/home/tomcat/tomcat8_1/bin/shutdown.sh' tomcat su -c '/home/tomcat/tomcat8_1/bin/startup.sh' tomcat
修改之前
修改之后
下策：加足够大的内存
该项的资金投入较大
下下策：每天0点定时重启tomcat
使用较为广泛
博文使用的系统版本为: CentOS Linux release 7.4.1708 (Core) 内核版本为： 3.10.0-693.el7.x86_64
https://promotion.aliyun.com/ntms/act/ambassador/sharetouser.html?userCode=n7gh3gne&utm_source=n7gh3gne
我有几张阿里云幸运券分享给你，用券购买或者升级阿里云相应产品会有特惠惊喜哦！把想要买的产品的幸运券都领走吧！快下手，马上就要抢光了。
内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理 
相关文章推荐
- 企业级Tomcat部署实践及安全调优
- Tomcat 生产应用实践-调优+安全+监控 - 学习笔记
- Nginx 下部署 HTTPS 与安全调优
- linux新加坡专有网络部署tomcat以后外部浏览器无法访问--专线网络安全组策略
- Tomcat+Nginx+Lvs部署方案与性能调优
- Docker实践-使用maven插件自动部署web应用至Docker容器的tomcat
- 部署和调优 2.5 tomcat配置和优化
- Tomcat实践1【Tomcat 利用server.xml进行项目映射的部署】
- Nginx+SSL+Tomcat+CDN部署总结，已实践有效~
- TOMCAT部署调优方案
- JAVA企业级应用Tomcat实战(安装调优)
- tomcat安装部署调优
- 性能调优之tomcat生产部署关键参数设置
- Docker实践-docker + svn + maven + tomcat 一键部署Java Web项目
- Docker实践 - 使用maven插件自动部署web应用至Docker容器的tomcat
- Kubernetes部署的最佳安全实践
- 部署和调优 2.3 tomcat中JDK安装
- Docker 实践 06 搭建基于Nginx+Tomcat的分布式部署架构
- 大数据Spark “蘑菇云”行动第100课：Hive性能调优之企业级Join、MapJoin、GroupBy、Count、数据倾斜彻底解密和最佳实践