Apache Tomcat 8.5 安全配置与高并发优化

优化配置参考一(APR与内存配置)

 

第一步：配置user登录tomcat

　　参考：https://www.cnblogs.com/kevincaptain/p/10370794.html

 

第二步：性能优化

　　2.1tomcat的运行模式有3种：

bio： 
tomcat7.0默认的模式，性能非常低下,没有经过任何优化处理和支持.
阻塞式I/O操作，表示Tomcat使用的是传统Java I/O操作(即java.io包及其子包)。Tomcat7以下版本默认情况下是以bio模式运行的，由于每个请求都要创建一个线程来处理，线程开销较大，不能处理高并发的场景，在三种模式中性能也最低。

nio： 
tomcat8以上默认的模式, nio(new I/O)，是Java SE 1.4及后续版本提供的一种新的I/O操作方式(即Java.nio包及其子包)。java nio是一个基于缓冲区、并能提供非阻塞I/O操作的Java API，因此nio也被看成是non-blocking I/O的缩写。它拥有比传统I/O操作(bio)更好的并发运行性能。

apr： 
安装起来最困难,但是从操作系统级别来解决异步的IO问题,大幅度的提高性能.
就是从操作系统级别解决异步IO问题，大幅度的提高服务器的处理和响应性能， 也是Tomcat运行高并发应用的首选模式。

　　如果是tomcat7.0可以通过server.xml修改模式

　　　　修改server.xml里的Connector节点,　　

　　　　vim conf/server.xml 

<Connector port="8080" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443" />

　　　　修改成：

<Connector port="8080" protocol="org.apache.coyote.http11.Http11NioProtocol"
connectionTimeout="20000"
redirectPort="8443" />

 

        2.2执行器优化（线程池）

　　　　在tomcat中每一个用户请求都是一个线程，所以可以使用线程池提高性能。

　　　　Executor中打开注释：

　    　　　　

　　　　在Connector中指定使用共享线程池:

　　　　　　

Executor重要参数说明：
name：共享线程池的名字。这是Connector为了共享线程池要引用的名字，该名字必须唯一。默认值：None；
namePrefix:在JVM上，每个运行线程都可以有一个name 字符串。这一属性为线程池中每个线程的name字符串设置了一个前缀，Tomcat将把线程号追加到这一前缀的后面。默认值：tomcat-exec-；
maxThreads：该线程池可以容纳的最大线程数。默认值：200；
maxIdleTime：在Tomcat关闭一个空闲线程之前，允许空闲线程持续的时间(以毫秒为单位)。只有当前活跃的线程数大于minSpareThread的值，才会关闭空闲线程。默认值：60000(一分钟)。
minSpareThreads：Tomcat应该始终打开的最小不活跃线程数。默认值：25。
threadPriority：线程的等级。默认是Thread.NORM_PRIORITY



Connector重要参数说明：
executor：表示使用该参数值对应的线程池；
minProcessors：服务器启动时创建的处理请求的线程数；
maxProcessors：最大可以创建的处理请求的线程数；
acceptCount：指定当所有可以使用的处理请求的线程数都被使用时，可以放到处理队列中的请求数，超过这个数的请求将不予处理。

 

2.3禁用AJP连接器

　　JP（Apache JServer Protocol） 
　　AJPv13协议是面向包的。WEB服务器和Servlet容器通过TCP连接来交互；为了节省SOCKET创建的昂贵代价，WEB服务器会尝试维护一个永久TCP连接到servlet容器，并且在多个请求和响应周期过程会重用连接。 

                

　　我们一般是使用Nginx+tomcat的架构，所以用不着AJP协议，所以把AJP连接器禁用。

　　

　　在管理界面中看不到ajp了： 

　　　

 

2.4启用apr模式步聚

Requirements:

APR 1.2+ development headers (libapr1-dev package)
OpenSSL 1.0.2+ development headers (libssl-dev package)
JNI headers from Java compatible JDK 1.4+
GNU development environment (gcc, make)

2.4.1、安装依赖库

因为apr模式本质是使用JNI技术调用操作系统IO接口，需要用到相关API的头文件

yum install -y apr-devel openssl-devel gcc make 

注意：openssl库要求在0.9.7以上版本，APR要求在1.2以上版本，用rpm -qa | grep openssl检查本机安装的依赖库版本是否大于或等于apr要求的版本。

2.4.2、安装apr动态库

进入tomcat的bin目录

 tar -zxvf tomcat-native.tar.gz
cd tomcat-native-1.2.21-src/native
./configure && make && make install

 

2.4.3、配置APR本地库到系统共享库搜索路径中

编辑$TOMCAT_HOME/bin/catalina.sh文件，在虚拟机启动参数JAVA_OPTS中添加java.library.path参数，指定apr库的路径

JAVA_OPTS="$JAVA_OPTS -Djava.library.path=/usr/local/apr/lib"

2.4.4修改模式为apr

<Connector port="8080" protocol="org.apache.coyote.http11.Http11AprProtocol"
               connectionTimeout="20000"
               redirectPort="8443" 
                maxThreads="500"
                minSpareThreads="100"
                maxSpareThreads="200"
                acceptCount="200"
                maxIdleTime="30000"
                enableLookups="false"
　　　　　　　　　 SSLEnabled="false"
 />

Tomcat的并发请求处理数量=maxThreads + acceptCount

protocol：启用APR连接模式，提高异步IO处理性能。启用配置请参考：《开启Tomcat APR运行模式，优化并发性能》
maxThreads：最大能接受的请求数，默认为200
minSpareThreads：最少备用线程数，默认初始化，默认为25
maxSpareThreads：最多备用线程数，一旦创建的线程超过这个值，Tomcat就会关闭不再需要的socket线程
acceptCount：等待处理的请求队列，默认为100，超过队列长度，服务器则拒绝客户端请求，直接返回403
maxIdleTime：如果一个线程在30秒以内没有活跃，则终止运行并从线程池中移除。除非线程池数量小于或等于minSpareThreads数量。默认值是1分钟
enableLookups：如果为true，调用request.getRemoteHost会执行DNS反查，反向解析IP对应的域名或主机，效率较低，建议设为false。
更多参考：http://tomcat.apache.org/tomcat-8.5-doc/apr.html#Linux

 

JVM内存配置优化

　　在开发当中，当一个项目比较大时，依赖的jar包通常比较多，我们都知道，在应用服务器启动时，会将应用引用到的所有类通过ClassLoader依次全部加载到内存当中。Java的逻辑内存模型大致分为堆内存、栈内存、静态内存区，也称持久区，该区的内存不会被GC回收。堆内存用于存储类的实例、数组等引用类型数据，也就是用new生成的对象，都存放在这里，栈内存存储局部变量（如：方法参数），静态内存区存储常量、静态变量、类元数据信息（方法、属性等）。开发当中常遇到的三类内存溢出异常：

　　java.lang.OutOfMemoryError: Java heap space异常
　　　　表示堆内存空间满了，如果不是程序逻辑的bug，可能是因为项目中引用的jar比较多，导到内存溢出。JVM默认堆的最小使用内存为物理内存的1/64，最大使用内存为物理内存的1/4，如8G的物理内存，JVM默认堆的最小和最大内存分别为128m和2048m。通过调整JVM的-Xms（初始内存）和-Xmx（最大内存）两个参数加大内存使用限制。

　　java.lang.OutOfMemoryError: PermGen space异常
　　　　表示静态内存区满了，通常是由于加载的类过多导致。jdk8以下版本通过修改JVM的-XX:PermSize和-XX:MaxPermSize两个参数，限制静态区最小和最大内存范围。jdk8改变了内存模型，将类定义存放到了元数据（MetaspaceSize）空间，而元数据空间是与堆空间共享同一块内存区域的，所以在JDK8以后版本不会存在PermGen space异常了，故不用设置此参数。

　　java.lang.StackOverflowError异常
　　　　表示栈内存溢出。通常是由于死循环、无限递归导致。

　　修改Tomcat的内存配置，打开$TOMCAT_HOME/bin/catalina.sh文件（Windows系统是catalina.bat文件），大楖在250行左右，在JAVA_OPTS参数上添加内存参数设置即可。完整的JVM参数设置如下所示：

JAVA_OPTS="$JAVA_OPTS -server -Xms2048m -Xmx2048m -XX:PermSize=128m -XX:MaxPermSize=256 -Djava.awt.headless=true"

-server参数：表示以服务模式启动，启动速度会稍微慢一点，但性能会高很多。不加这个参数，默认是以客户端模式启动。 
java.awt.headless=true参数：与图形操作有关，适用于linux系统。如生成验证码，含义是当前使用的是没有安装图安装图形界面的服务器，应用中如果获取系统显示有关参数会抛异常，可通过jmap -heap proccess_id查看设置是否成功。 
-Xmx：java heap最大值，使用的最大内存,上面两个值是分配JVM的最小和最大内存，取决于硬件物理内存的大小，建议均设为物理内存的一半。

 

转载于:https://www.cnblogs.com/kevincaptain/p/10370907.html

相关资源：tomcat8.5.56_X64_nio2模式性能优化版+垃圾处理机制.zip

 

 

 

 

优化配置参考二(连接数配置)

 

通常我们在生产环境中，Tomcat的默认配置显然不能满足我们的产品需求，所以很多时候都需要对Tomcat的配置进行调优，以下综合我自己的经验来配置 Tomcat 安全与优化情况，如果你有更好的方案，请留言，我会参考并加纳进去。

关于JAVA JDK JRE的安装配置，请阅读《Linux JAVA JDK JRE 环境变量安装与配置》篇。
关于Tomcat的安装，请阅读《Linux Apache Tomcat 8.5 安装与配置》篇。

1.编辑修改配置文件：

# vim /usr/program/tomcat8/conf/server.xml

2.禁用8005端口

telnet localhost 8005 然后输入 SHUTDOWN 就可以关闭 Tomcat，为了安全我们要禁用该功能

默认值:

<Server port="8005" shutdown="SHUTDOWN">

修改为:

<Server port="-1" shutdown="SHUTDOWN">

3.应用程序安全&关闭自动部署

默认值:

<Host name="localhost" appBase="webapps"
 unpackWARs="true" autoDeploy="true">

修改为:

<Host name="localhost" appBase="webapps"
 unpackWARs="false" autoDeploy="false" reloadable="false">

4.maxThreads 连接数限制修改配置

默认值:

<!--
 <Executor name="tomcatThreadPool" namePrefix="catalina-exec-"
 maxThreads="150" minSpareThreads="4"/>
 -->

修改为:

<Executor
 name="tomcatThreadPool"
 namePrefix="catalina-exec-"
 maxThreads="500"
 minSpareThreads="30"
 maxIdleTime="60000"
 prestartminSpareThreads = "true"
 maxQueueSize = "100"
/>

参数解释：

maxThreads：最大并发数，默认设置 200，一般建议在 500 ~ 800，根据硬件设施和业务来判断
minSpareThreads：Tomcat 初始化时创建的线程数，默认设置 25
maxIdleTime：如果当前线程大于初始化线程，那空闲线程存活的时间，单位毫秒，默认60000=60秒=1分钟。
prestartminSpareThreads：在 Tomcat 初始化的时候就初始化 minSpareThreads 的参数值，如果不等于 true，minSpareThreads 的值就没啥效果了
maxQueueSize：最大的等待队列数，超过则拒绝请求

5.Connector 参数优化配置

默认值:

<Connector 
 port="8080" 
 protocol="HTTP/1.1" 
 connectionTimeout="20000" 
 redirectPort="8443" 
 />

修改为:

 

<Connector
 executor="tomcatThreadPool"
 port="8080"
 protocol="org.apache.coyote.http11.Http11Nio2Protocol"
 connectionTimeout="60000"
 maxConnections="10000"
 redirectPort="8443"
 enableLookups="false"
 acceptCount="100"
 maxPostSize="10485760"
 maxHttpHeaderSize="8192"
 compression="on"
 disableUploadTimeout="true"
 compressionMinSize="2048"
 acceptorThreadCount="2"
 compressableMimeType="text/html,text/plain,text/css,application/javascript,application/json,application/x-font-ttf,application/x-font-otf,image/svg+xml,image/jpeg,image/png,image/gif,audio/mpeg,video/mp4"
 URIEncoding="utf-8"
 processorCache="20000"
 tcpNoDelay="true"
 connectionLinger="5"
 server="Server Version 11.0"
 />

参数解释：

protocol：Tomcat 8 设置 nio2 更好：org.apache.coyote.http11.Http11Nio2Protocol
protocol：Tomcat 6 设置 nio 更好：org.apache.coyote.http11.Http11NioProtocol
protocol：Tomcat 8 设置 APR 性能飞快：org.apache.coyote.http11.Http11AprProtocol 更多详情：《Tomcat 8.5 基于 Apache Portable Runtime（APR）库性能优化》
connectionTimeout：Connector接受一个连接后等待的时间(milliseconds)，默认值是60000。
maxConnections：这个值表示最多可以有多少个socket连接到tomcat上
enableLookups：禁用DNS查询
acceptCount：当tomcat起动的线程数达到最大时，接受排队的请求个数，默认值为100。
maxPostSize：设置由容器解析的URL参数的最大长度，-1(小于0)为禁用这个属性，默认为2097152(2M) 请注意， FailedRequestFilter 过滤器可以用来拒绝达到了极限值的请求。
maxHttpHeaderSize：http请求头信息的最大程度，超过此长度的部分不予处理。一般8K。
compression：是否启用GZIP压缩 on为启用（文本数据压缩） off为不启用， force 压缩所有数据
disableUploadTimeout：这个标志允许servlet容器使用一个不同的,通常长在数据上传连接超时。 如果不指定,这个属性被设置为true,表示禁用该时间超时。
compressionMinSize：当超过最小数据大小才进行压缩
acceptorThreadCount：用于接受连接的线程数量。增加这个值在多CPU的机器上,尽管你永远不会真正需要超过2。 也有很多非维持连接,您可能希望增加这个值。默认值是1。
compressableMimeType：配置想压缩的数据类型
URIEncoding：网站一般采用UTF-8作为默认编码。
processorCache：协议处理器缓存的处理器对象来提高性能。 该设置决定多少这些对象的缓存。-1意味着无限的,默认是200。 如果不使用Servlet 3.0异步处理,默认是使用一样的maxThreads设置。 如果使用Servlet 3.0异步处理,默认是使用大maxThreads和预期的并发请求的最大数量(同步和异步)。
tcpNoDelay：如果设置为true,TCP_NO_DELAY选项将被设置在服务器套接字,而在大多数情况下提高性能。这是默认设置为true。
connectionLinger：秒数在这个连接器将持续使用的套接字时关闭。默认值是 -1,禁用socket 延迟时间。
server：隐藏Tomcat版本信息，首先隐藏HTTP头中的版本信息

Tomcat配置优化 maxTread maxConnections 理解

https://blog.csdn.net/truelove12358/article/details/115166546

 

 

6.隐藏或修改 Tomcat 版本号

 # cd /usr/local/tomcat/lib/
 # unzip catalina.jar
 # cd org/apache/catalina/util
 # vim ServerInfo.properties

 server.info=Apache Tomcat/8.5.16
 server.number=8.5.16.0
 server.built=Jun 21 2017 17:01:09 UTC

将以上去掉或修改版本号即可。

7.删除禁用默认管理页面以及相关配置文件

 # rm -rf /usr/local/apache-tomcat-8.5.16/webapps/*
 # rm -rf /usr/local/apache-tomcat-8.5.16/conf/tomcat-users.xml

参考内容：
https://tomcat.apache.org/tomcat-8.5-doc/config/
https://github.com/judasn/Linux-Tutorial/blob/master/Tomcat-Install-And-Settings.md
http://wiki.jikexueyuan.com/project/linux-in-eye-of-java/Tomcat-Install-And-Settings.html
http://netkiller.github.io/journal/tomcat.html
http://zjliu.me/2015/12/14/tomcat-config-connector/