用VisualVM远程监控阿里云ECS上的Java进程

用visualvm远程监视java进程的过程，假设远程机器的 ip=121.*.*.*

1.首先必须在远程机器上面启动jstatd这个后台进程。它位于JDK安装路径的bin目录里面。配置java安全访问，在jstatd所在的目录的下新建文件jstatd.all.policy,在我的机器上是/usr/java/jdk1.7.0_05/bin

grant codebase "file:${java.home}/../lib/tools.jar" {

 permission java.security.AllPermission;

};

注意结尾还有一个分号。

此处策略中的java.home，和JAVA_HOME不是一个概念，童鞋们不要搞错了，此处的java.home指的是JRE的路径，这个是Java的系统属性，不需要手工指定，通常是这个jdk下面的jre路径,即可以认为${java.home}和${JAVA_HOME}/jre是等价，如果想查看这个变量的值，可以任意找一个运行着的Java应用，找到它的PID，然后通过如下jinfo命令查看就可以查看到java.home的值：

jinfo ${PID}|grep java.home 

2.然后在/usr/java/jdk1.7.0_05/bin下用如下命令启动jstatd：

jstatd -J-Djava.security.policy=jstatd.all.policy

正常启动没有任何输出。默认打开端口是1099，也可以通过-p 参数设置端口。

3.在远程机器上面用jps命令查询启动的java进程,执行结果如下:

2301 Jstatd

2461 Jps

1689 Bootstrap

Jstatd就是启动的jtatd后台进程，Bootstrap是我之前已经启动的一个Tomcat服务，Jps就是查询命令自己的进程。

4.在本地机器上面启动visualvm，选择远程->添加远程主机.奇怪的是没有任何错误提示，也没有显示出任何远程的java进程，应该是没有连接成功。用命令行 jps 121.*.*.* 的时候出现如下错误：

Error communication with remote host: Connection refused to host: 127.0.0.1; nested exception is

   java.net.ConnectException: Connection refused

奇怪，我明明指定了要连接的IP，为什么会告诉我连接127.0.0.1错误，怎么会被重定向到本机来了。测试用了不同的机器去连接jstatd，都被重定向到了本机，而在远程机器上面用jps 121.*.*.*，这样却可以成功看到机器上面的java进程。问题大概就是为什么jstatd要重定向client到另外一个ip呢？这个ip又是如何得到的？

第一种解决方案:

hostname命令查看了远程机器的server name和ip，分别是ubuntu-server 127.0.0.1，是否jstatd把这里的ip返回给client端了呢？尝试修改了/etc/hosts

127.0.0.1 ubuntu-server

替换为

121.*.*.* ubuntu-server

重新启动jstatd进程。然后在本地用jps 121.*.*.*，居然可以看到远程java进程了，不出意外的visualvm也可以连上，远程监控java进程的运行状况。

第二种解决方案:

jstatd -J-Djava.security.policy=jstatd.all.policy -J-Djava.rmi.server.hostname=121.*.*.*

5.如果用命令行 jps 121.*.*.* 的时候出现如下错误：

Error communicating with remote host: Exception creating connection to: 121.*.*.*; nested exception is:
    java.net.NoRouteToHostException: No route to host

则说明启动了防火墙,关掉即可: service iptables stop.

不关闭防火墙就在防火墙规则中添加2个端口（启动jstatd后有两个端口，一个1099，一个不固定，只添加1099仍会报错No route to host）

vi /etc/iptables.up.rules

把 iptables -A INPUT-m state --state NEW -m tcp -p tcp --dport 1099 -j ACCEPT

iptables -A INPUT-m state --state NEW -m tcp -p tcp --dport jstatd另一个端口 -j ACCEPT

放在REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited的前面，

保存本文件，然后加载规则,使之生效，只需要加载一次即可。
iptables-restore < /etc/iptables.up.rules 
然后再查看最新的配置,应该所有的设置都生效了. 
iptables -L

保存生效的配置,并且让系统启动时可以实现自动加载
需要执行iptables-save > /etc/iptables.up.rules
然后就game over了.