企业级Tomcat部署实践及安全调优（再续）

原文链接：点击打开链接

摘要： Tomcat是Apache软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun和其他一些公司及个人共同开发而成。

1.11 监控tomcat集群状态

1.11.1 方法一：开发java监控页面

[root@web03 tomcat8_1]# cat /application/tomcat/webapps/memtest/meminfo.jsp <%Runtime rtm = Runtime.getRuntime();long mm = rtm.maxMemory()/1024/1024;long tm = rtm.totalMemory()/1024/1024;long fm = rtm.freeMemory()/1024/1024;out.println("JVM memory detail info :<br>");out.println("Max memory:"+mm+"MB"+"<br>");out.println("Total memory:"+tm+"MB"+"<br>");out.println("Free memory:"+fm+"MB"+"<br>");out.println("Available memory can be used is :"+(mm+fm-tm)+"MB"+"<br>");%>

1.11.2 方法二：使用jps命令进行监控

[root@web03 ~]# jps -lvm31906 org.apache.catalina.startup.Bootstrap start -Djava.util.logging.config.file=/application/tomcat8_1/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.endorsed.dirs=/application/tomcat8_1/endorsed -Dcatalina.base=/application/tomcat8_1 -Dcatalina.home=/application/tomcat8_1 -Djava.io.tmpdir=/application/tomcat8_1/temp31812 org.apache.catalina.startup.Bootstrap start -Djava.util.logging.config.file=/application/tomcat/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.endorsed.dirs=/application/tomcat/endorsed -Dcatalina.base=/application/tomcat -Dcatalina.home=/application/tomcat -Djava.io.tmpdir=/application/tomcat/temp31932 org.apache.catalina.startup.Bootstrap start -Djava.util.logging.config.file=/application/tomcat8_2/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.endorsed.dirs=/application/tomcat8_2/endorsed -Dcatalina.base=/application/tomcat8_2 -Dcatalina.home=/application/tomcat8_2 -Djava.io.tmpdir=/application/tomcat8_2/temp32079 sun.tools.jps.Jps -lvm -Denv.class.path=.:/application/jdk/lib:/application/jdk/jre/lib:/application/jdk/lib/tools.jar -Dapplication.home=/application/jdk1.8.0_60 -Xms8m

1.11.3 Tomcat远程监控功能

修改配置文件，开启远程监控

vim /application/tomcat8_1/bin/catalina.sh +97CATALINA_OPTS="$CATALINA_OPTS-Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=12345  -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.ssl=false -Djava.rmi.server.hostname=10.0.0.17"

        重启服务，检查12345端口是否开启

/application/tomcat8_1/bin/shutdown.sh /application/tomcat8_1/bin/startup.sh netstat -tunlp|grep 12345

        检查端口

[root@web03 ~]# netstat -tunlp|grep 12345tcp6       0      0 :::12345           :::*          LISTEN      33158/java  

在Windows上监控tomcat

注意：Windwos需要安装jdk环境！

查考：http://www.Oracle.com/technetwork/java/javase/downloads/index.html

        软件路径

C:\Program Files\Java\jdk1.8.0_31\binjconsole.exe   jvisualvm.exe

jconsole.exe 使用说明

        连接成功即可进行监控，连接的时候注意端口信息。

jvisualvm.exe使用说明

        输入ip地址

        主机添加完成，添加JMX监控

                  注意添加的时候输入端口信息。

        添加完成后就能够多tomcat程序进行监控。

1.11.4 zabbix监控tomcat程序

zabbix搭建详情参考： http://www.linuxidc.com/Linux/2017-11/148841.htm

服务端安装配置java监控服务

[root@m01 ~]# yum install zabbix-java-gateway -y

查看配置文件

配置文件路径：/etc/zabbix/zabbix_java_gateway.confsed -i -e '220a JavaGateway=127.0.0.1' -e '236a StartJavaPollers=5'  /etc/zabbix/zabbix_server.conf

启动zabbix-java-gateway服务，与zabbix服务

systemctl start zabbix-java-gateway.servicesystemctl restart zabbix-server.service

检查java端口是否开启

[root@m01 ~]# netstat -lntup |grep javatcp6       0      0 :::10052   :::*    LISTEN      72971/java  

        检查java进程是否存在

[root@m01 ~]# ps -ef |grep [j]avazabbix    72971      1  0 11:29 ?        00:00:00 java -server -Dlogback.configurationFile=/etc/zabbix/zabbix_java_gateway_logback.xml -classpath lib:lib/Android-json-4.3_r3.1.jar:lib/logback-classic-0.9.27.jar:lib/logback-core-0.9.27.jar:lib/slf4j-api-1.6.1.jar:bin/zabbix-java-gateway-3.0.13.jar -Dzabbix.pidFile=/var/run/zabbix/zabbix_java.pid -Dzabbix.timeout=3 -Dsun.rmi.transport.tcp.responseTimeout=3000 com.zabbix.gateway.JavaGatewayzabbix    73255  73226  0 11:35 ?        00:00:00 /usr/sbin/zabbix_server: java poller #1 [got 0 values in 0.000002 sec, idle 5 sec]zabbix    73256  73226  0 11:35 ?        00:00:00 /usr/sbin/zabbix_server: java poller #2 [got 0 values in 0.000002 sec, idle 5 sec]zabbix    73257  73226  0 11:35 ?        00:00:00 /usr/sbin/zabbix_server: java poller #3 [got 0 values in 0.000002 sec, idle 5 sec]zabbix    73258  73226  0 11:35 ?        00:00:00 /usr/sbin/zabbix_server: java poller #4 [got 0 values in 0.000002 sec, idle 5 sec]zabbix    73259  73226  0 11:35 ?        00:00:00 /usr/sbin/zabbix_server: java poller #5 [got 0 values in 0.000004 sec, idle 5 sec]

web界面添加

        添加主机

 

        主机管理模板，注意是JMX模板

 

        监控完成

 

1.11.5 排除tomcat故障步骤

a. 查看catalina.out

b. 使用sh show-busy-java-threads.sh脚本进行检测

脚本下载地址

https://files.cnblogs.com/files/clsn/show-busy-java-threads.sh

1.12 Tomcat安全优化

1.    telnet管理端口保护（强制）

类别

配置内容及说明

标准配置

备注

telnet管理端口保护

1.修改默认的8005管理端口为不易猜测的端口（大于1024）；

2.修改SHUTDOWN指令为其他字符串；

<Server port="8527" shutdown="dangerous">

1.以上配置项的配置内容只是建议配置，可以按照服务实际情况进行合理配置，但要求端口配置在8000~8999之间；

2. ajp连接端口保护（推荐）

类别

配置内容及说明

标准配置

备注

Ajp 连接端口保护

1.修改默认的ajp 8009端口为不易冲突的大于1024端口；

2.通过iptables规则限制ajp端口访问的权限仅为线上机器；

<Connector port="8528"

protocol="AJP/1.3" />

以上配置项的配置内容仅为建议配置，请按照服务实际情况进行合理配置，但要求端口配置在8000~8999之间；；

保护此端口的目的在于防止线下的测试流量被mod_jk转发至线上tomcat服务器；

3. 禁用管理端（强制）

类别

配置内容及说明

标准配置

备注

禁用管理端

1. 删除默认的{Tomcat安装目录}/conf/tomcat-users.xml文件，重启tomcat后将会自动生成新的文件；

2. 删除{Tomcat安装目录}/webapps下默认的所有目录和文件；

3.将tomcat应用根目录配置为tomcat安装目录以外的目录；

 

<Context path="" docBase=

"/home/work/local/tomcat

_webapps"

debug="0"

reloadable="false"

crossContext="true"/>

  对于前段web模块，Tomcat管理端属于tomcat的高危安全隐患，一旦被攻破，黑客通过上传web shell的方式将会直接取得服务器的控制权，后果极其严重；

4. 降权启动（强制）

类别

配置内容及说明

标准配置

备注

降权启动

1.tomcat启动用户权限必须为非root权限，尽量降低tomcat启动用户的目录访问权限；

2.如需直接对外使用80端口，可通过普通账号启动后，配置iptables规则进行转发；

 

避免一旦tomcat 服务被入侵，黑客直接获取高级用户权限危害整个server的安全；

[root@web03 ~]# useradd tomcat[root@web03 ~]# cp -a /application/tools/tomcat8_1 /home/tomcat/[root@web03 ~]# chown -R tomcat.tomcat /home/tomcat/tomcat8_1/[root@web03 ~]# su -c '/home/tomcat/tomcat8_1/bin/startup.sh' tomcatUsing CATALINA_BASE:   /home/tomcat/tomcat8_1Using CATALINA_HOME:   /home/tomcat/tomcat8_1Using CATALINA_TMPDIR: /home/tomcat/tomcat8_1/tempUsing JRE_HOME:        /application/jdkUsing CLASSPATH:       /home/tomcat/tomcat8_1/bin/bootstrap.jar:/home/tomcat/tomcat8_1/bin/tomcat-juli.jarTomcat started.[root@web03 ~]# ps -ef|grep tomcat

5.文件列表访问控制（强制）

类别

配置内容及说明

标准配置

备注

文件列表访问控制

1.conf/web.xml文件中default部分listings的配置必须为false；

<init-param>

<param-name>listings</param-name>

<param-value>false</param-value>

</init-param>

false为不列出目录文件，true为允许列出，默认为false；

6. 版本信息隐藏（强制）

类别

配置内容及说明

标准配置

备注

版本信息隐藏

1.修改conf/web.xml，重定向403、404以及500等错误到指定的错误页面；

2.也可以通过修改应用程序目录下的WEB-INF/web.xml下的配置进行错误页面的重定向；

<error-page>

<error-code>403</error-code>

<location>/forbidden.jsp</location>

</error-page>

<error-page>

<error-code>404</error-code>

<location>/notfound.jsp</location>

</error-page>

<error-page>

<error-code>500</error-code>

<location>/systembusy.jsp</location>

</error-page>

在配置中对一些常见错误进行重定向，避免当出现错误时tomcat默认显示的错误页面暴露服务器和版本信息；

必须确保程序根目录下的错误页面已经存在；

7. Server header重写（推荐）

类别

配置内容及说明

标准配置

备注

Server header重写

在HTTP Connector配置中加入server的配置；

server="webserver"

 

当tomcat HTTP端口直接提供web服务时此配置生效，加入此配置，将会替换http 响应Server header部分的默认配置，默认是Apache-Coyote/1.1

8. 访问限制（可选）

类别

配置内容及说明

标准配置或操作

备注

访问限制

通过配置，限定访问的ip来源

<Context path="" docBase="/home/work/tomcat" debug="0" reloadable="false" crossContext="true">

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="61.148.18.138,61.135.165.*" deny="*.*.*.*"/>

</Context>

通过配置信任ip的白名单，拒绝非白名单ip的访问，此配置主要是针对高保密级别的系统，一般产品线不需要；

9.    起停脚本权限回收（推荐）

类别

配置内容及说明

标准配置或操作

备注

起停脚本权限回收

去除其他用户对Tomcat的bin目录下shutdown.sh、startup.sh、catalina.sh的可执行权限；

chmod -R 744 tomcat/bin/*

防止其他用户有起停线上Tomcat的权限；

10.    访问日志格式规范（推荐）

类别

配置内容及说明

标准配置或操作

备注

访问日志格式规范

开启Tomcat默认访问日志中的Referer和User-Agent记录

<Valve className="org.apache.catalina.valves.AccessLogValve"

                 directory="logs"  prefix="localhost_access_log." suffix=".txt"

                pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts="false"/>

开启Referer和User-Agent是为了一旦出现安全问题能够更好的根据日志进行问题排查；

11.    附录：建议配置及标准执行方案

1.      配置部分（${ CATALINA_HOME }conf/server.xml）

 

<Server port="8527" shutdown=" dangerous"><!-- Define a non-SSL HTTP/1.1 Connector on port 8080 --><Connector port="8080" server="webserver"/> <!-- Define an AJP 1.3 Connector on port 8528 --><!--Define an accesslog --> <Valve className="org.apache.catalina.valves.AccessLogValve"                 directory="logs"  prefix="localhost_access_log." suffix=".txt"                 pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts="false"/>    <Connector port="8528" protocol="AJP/1.3" /><Context path="" docBase="/home/work/local/tomcat_webapps" debug="0" reloadable="false" crossContext="true"/>

 

2.      配置部分（${ CATALINA_HOME }conf/web.xml或者WEB-INF/web.xml）

 

<init-param>    <param-name>listings</param-name>    <param-value>false</param-value></init-param><error-page>    <error-code>403</error-code>    <location>/forbidden.jsp</location></error-page><error-page>    <error-code>404</error-code>    <location>/notfound.jsp</location></error-page><error-page>    <error-code>500</error-code>    <location>/systembusy.jsp</location></error-page>

 

3.      删除如下tomcat的默认目录和默认文件

tomcat/webapps/*tomcat/conf/tomcat-user.xml

4.      去除其他用户对tomcat 起停脚本的执行权限

chmod 744 –R tomcat/bin/*

1.13 Tomcat性能优化

tomcat性能取决于 内存大小

上策：优化代码

   该项需要开发经验足够丰富，对开发人员要求较高

中策：jvm优化机制 垃圾回收机制 把不需要的内存回收

                  优化jvm--优化垃圾回收策略

优化catalina.sh配置文件。在catalina.sh配置文件中添加以下代码

# tomcat分配1G内存模板JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -server -Xms1024m -Xmx1024m -XX:NewSize=512m -XX:MaxNewSize=512m -XX:PermSize=512m -XX:MaxPermSize=512m"        JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -server -Xms800m -Xmx800m -XX:NewSize=400m -XX:MaxNewSize=400m -XX:PermSize=400m -XX:MaxPermSize=400m"    # 重启服务su -c '/home/tomcat/tomcat8_1/bin/shutdown.sh' tomcatsu -c '/home/tomcat/tomcat8_1/bin/startup.sh' tomcat

        修改之前

        修改之后

下策：加足够大的内存

该项的资金投入较大

下下策：每天0点定时重启tomcat

使用较为广泛

博文使用的系统版本为: CentOS Linux release 7.4.1708 (Core) 内核版本为： 3.10.0-693.el7.x86_64

https://promotion.aliyun.com/ntms/act/ambassador/sharetouser.html?userCode=n7gh3gne&utm_source=n7gh3gne

我有几张阿里云幸运券分享给你，用券购买或者升级阿里云相应产品会有特惠惊喜哦！把想要买的产品的幸运券都领走吧！快下手，马上就要抢光了。