Tomcat集群配置及监控和安全调优
1.1 Tomact配置多实例
1.1.1 复制程序文件
cd /application/tools/ tar xf apache-tomcat-8.0.27.tar.gz cp -a apache-tomcat-8.0.27 tomcat8_1 cp -a apache-tomcat-8.0.27 tomcat8_2
1.1.2 修改端口，以启动多实例。多实例之间端口不能一致
sed -i 's#8005#8011#;s#8080#8081#' tomcat8_1/conf/server.xml sed -i 's#8005#8012#;s#8080#8082#' tomcat8_2/conf/server.xml
1.1.3 将配置好的tomcat程序打包，以备以后使用
tar zcf syk_tomcat.tar.gz ./tomcat8_1 ./tomcat8_2
1.1.5 启动tomcat多实例
/application/tomcat8_1/bin/startup.sh
/application/tomcat8_2/bin/startup.sh
1.1. 6 检查端口是否启动
[root@syk application]# netstat -tlunp |grep java tcp6 0 0 :::8009 :::* LISTEN 12234/java tcp6 0 0 127.0.0.1:8011 :::* LISTEN 12215/java tcp6 0 0 127.0.0.1:8012 :::* LISTEN 12234/java tcp6 0 0 :::8081 :::* LISTEN 12215/java tcp6 0 0 :::8082 :::* LISTEN 12234/java
1.1.7 每个网页对实例进行区分测试
echo 8081 >>/application/tomcat8_1/webapps/ROOT/index.jsp echo 8082 >>/application/tomcat8_2/webapps/ROOT/index.jsp
浏览器端访问测试页面：
1.2 使用nginx做tomcat的反向代理集群
1.2.1 nginx负载均衡相关重要参数说明
|
Nginx反向代理重要参敎 |
解释说明 |
|
proxy.pass http://server_pools; |
通过proxy_pass功能把用户的清求转向到反向代理定义的upstream服务器池 |
|
proxy_set_header Host $host |
在代理向后端服务器发送的 http请求头中加入 host字段信息，用于当后端服务器配置有多个虚拟主机时，可以识别代理的是哪个虚拟主机。这是节点服务器多虚拟主机时的关键配置 |
|
proxy_set_header X-ForwardedFor $remote_addr; |
在代理向后端服务器发送的 http请求头中加入 X-Forward-For字段信息，用于后端服务器程序、日志等接收记录真实用户的 IP ,而不是代理服务器的 IP这是反向代理时，节点服务器获取用户真实 IP的必要功能配置 |
1.2.2 nginx作为负载均衡器配置
编辑nginx.conf
worker_processes 4; events { worker_connections 2048; } http { client_max_body_size 1000M; include mime.types; default_type application/octet-stream; sendfile on; keepalive_timeout 65; upstream web_pools { server 10.0.0.200:8081 weight=1; server 10.0.0.200:8082 weight=2; } server { listen 80; server_name locahost; location / { root html; index index.jsp index.php index.html index.htm; proxy_pass http://web_pools; proxy_set_header Host $host; } location ~* .*\.(php|php5)?$ { root html; fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; include fastcgi.conf; } } }
配置完成后重启nginx服务
/application/nginx/sbin/nginx -s stop
/application/nginx/sbin/nginx
本地测试：
curl -s 10.0.0.9|tail -1 8081 curl -s 10.0.0.9|tail -1 8082
1.3 监控tomcat
1.3.1 一个监控Java内存的jsp文件
[root@syk webapps]# cat /application/tomcat8_1/webapps/memtest/meminfo.jsp <% Runtime rtm = Runtime.getRuntime(); long mm = rtm.maxMemory()/1024/1024; long tm = rtm.totalMemory()/1024/1024; long fm = rtm.freeMemory()/1024/1024; out.println("JVM memory detail info :<br>"); out.println("Max memory:"+mm+"MB"+"<br>"); out.println("Total memory:"+tm+"MB"+"<br>"); out.println("Free memory:"+fm+"MB"+"<br>"); out.println("Available memory can be used is :"+(mm+fm-tm)+"MB"+"<br>"); %>
页面测试：
1.3.2 开启tomcat的远程监控功能
修改配置文件，开启远程监控
[root@syk ~]# vim /application/tomcat8_1/bin/catalina.sh +107 CATALINA_OPTS="$CATALINA_OPTS -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=12345 -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.ssl=false -Djava.rmi.server.hostname=10.0.0.200" # OS specific support. $var _must_ be set to either true or false.
重启服务，检查12345端口是否开启
/application/tomcat8_1/bin/shutdown.sh /application/tomcat8_1/bin/startup.sh
[root@syk ~]# netstat -tlunp |grep java tcp6 0 0 :::42207 :::* LISTEN 12846/java tcp6 0 0 :::8009 :::* LISTEN 12846/java tcp6 0 0 :::8081 :::* LISTEN 12846/java tcp6 0 0 :::35028 :::* LISTEN 12846/java tcp6 0 0 :::12345 :::* LISTEN 12846/java [root@syk ~]#
1）使用zabbix监控tomcat
搭建zabbix参考：https://blog.csdn.net/mr_rsq/article/details/78457587
zabbix服务端安装监控java的监控程序：yum install zabbix-java-gateway -y
更改配置文件：/etc/zabbix/zabbix_server.conf （两处）
JavaGateway=127.0.0.1 StartJavaPollers=5
启动zabbix-java-gateway服务，与zabbix服务
systemctl start zabbix-java-gateway.service
systemctl restart zabbix-server.service
检测Java进程是否存在
[root@syk ~]# ps -ef |grep java zabbix 2067 1 0 04:47 ? 00:01:42 java -server -classpath lib:lib/android-json-4.3_r3.1.jar:lib/logback-classic-0.9.27.jar:lib/logback-core-0.9.27.jar:lib/slf4j-api-1.6.1.jar:bin/zabbix-java-gateway-4.0.0rc3.jar -Dzabbix.pidFile=/var/run/zabbix/zabbix_java.pid -Dsun.rmi.transport.tcp.responseTimeout=3000 com.zabbix.gateway.JavaGateway zabbix 2204 2190 0 04:53 ? 00:00:02 /usr/sbin/zabbix_server: java poller #1 [got 0 values in 0.000002 sec, idle 5 sec] zabbix 2205 2190 0 04:53 ? 00:00:02 /usr/sbin/zabbix_server: java poller #2 [got 0 values in 0.000003 sec, idle 5 sec] zabbix 2206 2190 0 04:53 ? 00:00:02 /usr/sbin/zabbix_server: java poller #3 [got 0 values in 0.000004 sec, idle 5 sec] zabbix 2207 2190 0 04:53 ? 00:00:02 /usr/sbin/zabbix_server: java poller #4 [got 0 values in 0.000004 sec, idle 5 sec] zabbix 2208 2190 0 04:53 ? 00:00:02 /usr/sbin/zabbix_server: java poller #5 [got 0 values in 0.000004 sec, idle 5 sec] root 8344 1428 0 11:08 pts/0 00:00:00 grep java
在web界面添加主机
2) 使用Java自带监控程序
在Windows上安装Java环境
提示：使用360软化管家直接搜素Java快速安装
使用Java性能监控程序（
jconsole.exe jvisualvm.exe
）
jconsole.exe 使用说明：
jvisualvm.exe使用说明
输入ip地址
主机添加完成，添加JMX监控
注意添加的时候输入端口信息。
添加完成后就能够多tomcat程序进行监控。
1.4 Tomcat安全优化及性能调优
1.4.1 安全优化
- 降权启动
- telnet管理端口保护
- ajp连接端口保护
- 禁用管理端
降权启动：指的是让tomcat以普通用户的身份启动。
配置实例：
[root@web03 ~]# cp -a /application/tools/tomcat8_1 /home/tomcat/ [root@web03 ~]# chown -R tomcat.tomcat /home/tomcat/tomcat8_1/ [root@web03 ~]# su -c '/home/tomcat/tomcat8_1/bin/startup.sh' tomcat Using CATALINA_BASE: /home/tomcat/tomcat8_1 Using CATALINA_HOME: /home/tomcat/tomcat8_1 Using CATALINA_TMPDIR: /home/tomcat/tomcat8_1/temp Using JRE_HOME: /application/jdk Using CLASSPATH: /home/tomcat/tomcat8_1/bin/bootstrap.jar:/home/tomcat/tomcat8_1/bin/tomcat-juli.jar Tomcat started. [root@web03 ~]# ps -ef|grep tomcat
Telnet管理端口保护：
1）修改默认的8005管理端口为不易猜测的端口（大于1024）；
2）修改SHUTDOWN指令为其他字符串；
配置：
<Server port="8527" shutdown="dangerous">
说明：1以上配置项的配置内容只是建议配置，可以按照服务实际情况进行合理配置，但要求端口配置在8000~8999之间
ajp连接端口保护：
1.修改默认的ajp 8009端口为不易冲突的大于1024端口；
2.通过iptables规则限制ajp端口访问的权限仅为线上机器；
配置：<Connector port="8528" protocol="AJP/1.3" />
说明：以上配置项的配置内容仅为建议配置，请按照服务实际情况进行合理配置，但要求端口配置在8000~8999之间；
保护此端口的目的在于防止线下的测试流量被mod_jk转发至线上tomcat服务器。
禁用管理端：
1）删除默认的{Tomcat安装目录}/conf/tomcat-users.xml文件，重启tomcat后将会自动生成新的文件。
2） 删除{Tomcat安装目录}/webapps下默认的所有目录和文件。
3）将tomcat 应用根目录配置为tomcat安装目录以外的目录。
配置：<Context path="" docBase="/home/work/local/tomcat_webapps" debug="0" reloadable="false"crossContext="true"/>
更多参考：https://www.cnblogs.com/clsn/p/7904611.html#auto_id_36
jvm调优
Tomcat最吃内存，只要内存足够，这只猫就跑的很快。
如果系统资源有限，那就需要进行调优，提高资源使用率。
优化catalina.sh配置文件。在catalina.sh配置文件中添加以下代码：JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -server -Xms1024m -Xmx1024m -XX:NewSize=512m -XX:MaxNewSize=512m -XX:PermSize=512m -XX:MaxPermSize=512m"server:一定要作为第一个参数，在多个CPU时性能佳-Xms：初始堆内存Heap大小，使用的最小内存,cpu性能高时此值应设的大一些-Xmx：初始堆内存heap最大值，使用的最大内存上面两个值是分配JVM的最小和最大内存，取决于硬件物理内存的大小，建议均设为物理内存的一半。-XX:PermSize:设定内存的永久保存区域-XX:MaxPermSize:设定最大内存的永久保存区域-XX:MaxNewSize:-Xss 15120 这使得JBoss每增加一个线程（thread)就会立即消耗15M内存，而最佳值应该是128K,默认值好像是512k.+XX:AggressiveHeap 会使得 Xms没有意义。这个参数让jvm忽略Xmx参数,疯狂地吃完一个G物理内存,再吃尽一个G的swap。-Xss：每个线程的Stack大小-verbose:gc 现实垃圾收集信息-Xloggc:gc.log 指定垃圾收集日志文件-Xmn：young generation的heap大小，一般设置为Xmx的3、4分之一-XX:+UseParNewGC ：缩短minor收集的时间-XX:+UseConcMarkSweepGC ：缩短major收集的时间
原文链接:http://www.zyops.com/java-tomcat
浙公网安备 33010602011771号