安全
tomcat隐藏版本号
类似于nginx的server_tokens off ,tomcat也可以隐藏版本号，具体步骤如下：
|
1
2
3
4
5
6
7
8
9
10
|
cd apache-tomcat-7.0.59/lib
mkdir test
cd test
jar xf ../catalina.jar
vi org/apache/catalina/util/ServerInfo.properties
server.info=Tomcat
server.number=6
server.built=Jan 18 2013 14:51:10 UTC
jar cf ../catalina.jar ./*
rm -rf test
|
删除不必要的配置
当Tomcat完成安装后你首先要做的事情如下：
首次安装完成后立即删除webapps下面的所有代码
|
1
|
rm -rf /srv/apache-tomcat/webapps/*
|
注释或删除 tomcat-users.xml 所有用户权限，看上去如下：
|
1
2
3
4
|
# cat conf/tomcat-users.xml
<?xml version='1.0' encoding='utf-8'?>
<tomcat-users>
</tomcat-users>
|
虚拟主机
不要使用Tomcat的虚拟主机，每个站点一个实例。即，启动多个tomcat.
这也是PHP运维在这里常犯的错误，PHP的做法是一个Web下面放置多个虚拟主机，而不是每个主机启动一个web服务器。Tomcat 是多线程,共享内存，任何一个虚拟主机中的应用出现崩溃，会影响到所有应用程序。采用多个实例方式虽然开销比较大，但保证了应用程序隔离与安全。
应用程序安全
以普通用户启动tomcat并关闭war自动部署 unpackWARs="false" autoDeploy="false"。防止被植入木马等恶意程序
优化
Tomcat的运行模式有3种
1、bio
默认的模式,性能非常低下,没有经过任何优化处理和支持.
2、nio
使用NIO在服务器端会有更好的性能，加强服务器端对并发处理的性能。 请注意：很抱歉，在tomcat6及其以后版本在默认的配置选项中是没有把NIO功能打开。利用java的异步io护理技术,noblocking IO技术.想运行在该模式下，直接修改server.xml里的Connector节点,修改protocol为
|
1
2
3
4
5
6
7
|
<Connector port="80″
protocol="org.apache.coyote.http11.Http11NioProtocol"
connectionTimeout="20000"
URIEncoding=”UTF-8″
useBodyEncodingForURI="true"
enableLookups="false"
redirectPort="8443">
|
重启tomcat ,就可以生效。
3、apr
从操作系统级别来解决异步的IO问题,大幅度的提高性能。必须要安装apr和native，直接启动就支持apr修改protocol为org.apache.coyote.http11.Http11AprProtocol
安装apr
|
1
|
yum -y install apr apr-devel
|
安装native 进入tomcat/bin目录，比如：
|
1
2
3
4
5
|
cd /usr/local/tomcat/bin/
tar xzfv tomcat-native.tar.gz
cd tomcat-native-1.1.20-src/jni/native/
./configure --with-apr=/usr/bin/apr-1-config
make && make install
|
安装完成之后 会出现如下提示信息
|
1
2
|
Libraries have been installed in:
/usr/local/apr/lib
|
安装成功后还需要对tomcat设置环境变量，方法是在setenv.sh文件中增加1行：
CATALINA_OPTS="-Djava.library.path=/usr/local/apr/lib"
修改8080端对应的conf/server.xml
|
1
|
protocol="org.apache.coyote.http11.Http11AprProtocol"
|
启动tomcat之后，查看日志会有这一行信息，说明已经是APR模式启动了
INFO: APR capabilities: IPv6 [true], sendfile [true], accept filters [false], random [true].
并发优化 1.JVM调优 新增文件TOMCAT_HOME/bin/setenv.sh如下语句，具体数值视情况而定。
|
1
|
JAVA_OPTS="-Xms1024m -Xmx1024m -Xss1024K -XX:PermSize=64m -XX:MaxPermSize=128m"
|
参数详解
-Xms JVM初始化堆内存大小 -Xmx JVM堆的最大内存 -Xss 线程栈大小 -XX:PermSize JVM非堆区初始内存分配大小 -XX:MaxPermSize JVM非堆区最大内存 建议和注意事项: -Xms和-Xmx选项设置为相同堆内存分配，以避免在每次GC 后调整堆的大小，堆内存建议占内存的60%~80%;非堆内存是不可回收内存，大小视项目而定;线程栈大小推荐256k.
32G内存配置如下：
|
1
|
JAVA_OPTS="-Xms20480m -Xmx20480m -Xss1024K -XX:PermSize=512m -XX:MaxPermSize=2048m"
|
2.关闭DNS反向查询 在<Connector port=”8080″中加入如下参数
enableLookups="false"
3.优化tomcat参数(使用APR)
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
|
<Listener className="org.apache.catalina.core.AprLifecycleListener" />
...
<Connector port="8080"
protocol="org.apache.coyote.http11.Http11AprProtocol"
connectionTimeout="20000" //链接超时时长
redirectPort="8443"
maxThreads="500"
minSpareThreads="20"
acceptCount="1000"
enableLookups="false"
compression="on" //压缩传输，取值on|off|force，默认值off。
noCompressionUserAgents="gozilla, traviata"
compressableMimeType="text/html,text/xml,text/javascript,text/css,text/plain,,application/octet-stream"="2048"
URIEncoding="UTF-8"
server="baidu" />
|
1. JVM
1.1. 使用 Server JRE 替代JDK。
服务器上不要安装JDK，请使用 Server JRE. 服务器上根本不需要编译器，代码应该在Release服务器上完成编译打包工作。
理由：一旦服务器被控制，可以防止在其服务器上编译其他恶意代码并植入到你的程序中。
1.2. JAVA_OPTS
export JAVA_OPTS="-server -Xms512m -Xmx4096m -XX:PermSize=64M -XX:MaxPermSize=512m"-Xms 指定初始化时化的栈内存
-Xmx 指定最大栈内存
2. Tomcat 优化
2.1. maxThreads 连接数限制
maxThreads 是 Tomcat 所能接受最大连接数。一般设置不要超过8000以上，如果你的网站访问量非常大可能使用运行多个Tomcat实例的方法。
即，在一个服务器上启动多个tomcat然后做负载均衡处理。
<Connector port="8080" address="localhost"
maxThreads="2048" maxHttpHeaderSize="8192"
emptySessionPath="true" protocol="HTTP/1.1"
enableLookups="false" redirectPort="8181" acceptCount="100"
connectionTimeout="20000" disableUploadTimeout="true" />提示
很多做过php运维的朋友在这里会犯一个大错误，php优化服务器通常怎做法是安装cpu以及内存的情况配置连接数，连接数过万都很正常，但java不同jvm配置要非常小心，稍有差错就会崩溃。
maxThreads 配置要结合 JVM -Xmx 参数调整，也就是要考虑内存开销。
maxThreads 客户请求最大线程数
minSpareThreads 初始化时创建的 socket 线程数
maxSpareThreads 连接器的最大空闲 socket 线程数2.2. 虚拟主机
不要使用Tomcat的虚拟主机，每个站点一个实例。即，启动多个tomcat.
这也是PHP运维在这里常犯的错误，PHP的做法是一个Web下面放置多个虚拟主机，而不是每个主机启动一个web服务器。Tomcat 是多线程,共享内存，任何一个虚拟主机中的应用出现崩溃，会影响到所有应用程序。采用多个实例方式虽然开销比较大，但保证了应用程序隔离与安全。
2.3. 压错传输
通常所说的gzip压缩，Tomcat通过在server.xml配置设置压缩的选项。
<Connector port="8080" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443"
compression="on"
compressionMinSize1="2048"
noCompressionUserAgents="gozilla, traviata"
compressableMimeType="text/html,text/xml,text/javascript,text/css,text/plain,,application/octet-stream"/>提示
压缩会增加Tomcat负担，最好采用Nginx + Tomcat 或者 Apache + Tomcat 方式，压缩交由Nginx/Apache 去做。
compression 打开压缩功能
compressionMinSize 启用压缩的输出内容大小，这里面默认为2KB
compressableMimeType 压缩类型3. Tomcat 安全配置
3.1. 安装后初始化配置
当Tomcat完成安装后你首先要做的事情如下：
首次安装完成后立即删除webapps下面的所有代码
rm -rf /srv/apache-tomcat/webapps/*注释或删除 tomcat-users.xml 所有用户权限，看上去如下：
# cat conf/tomcat-users.xml
<?xml version='1.0' encoding='utf-8'?>
<tomcat-users>
</tomcat-users>3.1.1. 隐藏版本信息
隐藏Tomcat版本信息
vim $CATALINA_HOME/conf/server.xml
<Connector port="80" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443"
maxThreads="8192"
minSpareThreads="64"
maxSpareThreads="128"
acceptCount="128"
enableLookups="false"
server="Neo App Srv 1.0"/>
# curl -I http://localhost:8080/
HTTP/1.1 400 Bad Request
Transfer-Encoding: chunked
Date: Thu, 20 Oct 2011 09:51:55 GMT
Connection: close
Server: Neo App Srv 1.0服务器信息已经被改为 Server: Neo App Srv 1.0
3.1.2. 应用程序安全
关闭war自动部署 unpackWARs="false" autoDeploy="false"。防止被植入木马等恶意程序
关闭 reloadable="false" 也用于防止被植入木马
3.1.3. JSESSIONID
修改 Cookie 变量 JSESSIONID， 这个cookie 是用于维持Session关系。建议你改为PHPSESSID。
3.2. 启动用户与端口
不要使用root用户启动tomcat，Java程序与C程序不同。nginx,httpd 使用root用户启动守护80端口，子进程/线程会通过setuid(),setgid()两个函数切换到普通用户。即父进程所有者是root用户，子进程与多线程所有者是一个非root用户，这个用户没有shell，无法通过ssh与控制台登陆系统，Java 的JVM 是与系统无关的，是建立在OS之上的，你使用什么用户启动Tomcat，那麽Tomcat 就会继承该所有者的权限。
这造成了一个问题，Linux系统小于1024的端口只有root可以使用，这也是为什么Tomcat默认端口是8080。如果你想使用80端口只能使用root启动Tomcat。这有带来了很多安全问题。
解决方案是创建一个不同用户，如：
groupadd -g 80 daemon
adduser -o --home /daemon --shell /sbin/nologin --uid 80 --gid 80 -c "Web Server" daemon注意 /sbin/nologin , 意味着该用户不能登录，同时我也没有给它指定密码，这个用户只能用于启动tomcat
chown daemon:daemon -R /srv/*
su - daemon -c "/srv/apache-tomcat/bin/startup.sh"接下来解决80端口问题, 思路就是80去调用8080，或者映射端口。
下面是影射方案,80 跳转 8080
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
取消跳转
iptables -t nat -D PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
查看规则
iptables -t nat -L另一个就是从80请求去调用8080的方案
这个方案可以在 Tomcat 前段增加反向代理，例如：Nginx,Apache,Squid,Varnish或者F5， Array这类设备等等
4. 如何部署应用程序
应用程序部署与tomcat启动,不能使用同一个用户。
我的tomcat 安装在 /srv目录下，Tomcat启动用户为daemon; 应用程序放在/www目录下www所有者是www用户。这样的目的是一旦tomcat被植入web shell程序，它将不能创建或编辑/www目录下面的任何内容。
adduser --home /www -c "Web Application" www我的Tomcat安装在/srv目录下，但应用程序放在/www目录下，一般是这样的结构。
/www/example.com/www.example.com每次升级将压错包解压到 /www/example.com/目录下，www.example.com 是符号连接，连接到刚刚解压的目录。
这个可以实现通过符号连接在多个版本之间快速切换。
扫一扫
3766
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
