Tomcat优化

Posted 2020-11-10 杨灏

降权启动

tomcat启动用户权限必须为非root，避免一旦tomcat服务被入侵，获取root权限，普通用户只能使用大于1024端口，如果要想使用80端口，可以使用 iptables规则进行转发，或者使用代理。一般情况下，tomcat前方有一个反向代理服务器nginx或者apache等。

telnet管理端口保护

使用telnet连接进来可以输入SHUTDOWN可以直接关闭tomcat，极不安全，必须关闭。可以修改默认的管理端口8005改为其他端口，修改SHUTDOWN指令为其他字符串。

# vi conf/server.xml

<Server port="8365" shutdown="IN0IT">

ajp连接端口保护

Tomcat 服务器通过Connector连接器组件与客户程序建立连接，Connector组件负责接收客户的请求，以及把Tomcat服务器的响应结果发送给客 户。默认情况下，Tomcat在server.xml中配置了两种连接器，一种使用ajp，要和apache结合使用，一种使用http。当使用http 时，可以限制ajp端口访问，在于防止线下测试流量被mod_jk转发至线上tomcat服务器。可以通过iptables规则限制ajp端口的访问，或者直接将改行注释。如果不使用apache就直接注释掉吧

# vim conf/server.xml

    <!--<Connector port="8329" protocol="AJP/1.3" redirectPort="8443" />-->

禁用管理端

对于tomcat的web管理端属于高危安全隐患，一旦被攻破，黑客通过上传web shell方式取得服务器的控制权，那是非常可怕的。我们需要删除tomcat安装目录下conf/tomcat-user.xml或者删除webapps下默认的目录和文件。

# mv webapps/* /tmp

版本信息隐藏

对一些常见错误重定向，避免出错暴露服务器和版本信息。在conf/web.xml重定向403，404及500等错误到指定页面。

<error-page>

    <error-code>404</error-code>

    <location>/404.html</location>

</error-page>

<error-page>

    <error-code>403</error-code>

    <location>/403.html</location>

</error-page>

<error-page>

    <error-code>500</error-code>

    <location>/500.html</location>

</error-page>

文件列表访问控制

conf/web.xml文件中的default部分listings的配置必须为false，false为不列出目录文件，true为允许列出，默认为false。

       <init-param>

            <param-name>listings</param-name>

            <param-value>false</param-value>

        </init-param>

设置信任IP白名单

只允许192.168.31.0网段访问

     <Host name="192.168.31.128"  appBase="webapps"

            unpackWARs="true" autoDeploy="true">

        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"

               prefix="localhost_access_log" suffix=".txt"

               pattern="%h %l %u %t "%r" %s %b %{Referer}i %{User-Agent}i %D" />

        <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="192.168.31.*"/>

        <Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path=""  reloadable="true"/>

        <Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path="/FWYsWeb"  reloadable="true"/>

      </Host>

脚本权限回收

去除其他用户对bin目录下可执行权限，防止其他用户起停tomcat

# chmod -R 744 bin/*

性能的优化

屏蔽dns查询

当web应用程序向要记录客户端的信息时，它也会记录客户端的IP地址或者通过域名服务器查找机器名 转换为IP地址。

DNS查询需要占用网络，并且包括可能从很多很远的服务器或者不起作用的服务器上去获取对应的IP的过程，这样会消耗一定的时间。

修改server.xml文件中的Connector元素，修改属性enableLookups参数值: enableLookups="false"

如果为true，则可以通过调用request.getRemoteHost()进行DNS查询来得到远程客户端的实际主机名，若为false则不进行DNS查询，而是返回其ip地址.

屏蔽dns查询enableLookups="false"

    <Connector  port="8081" protocol="HTTP/1.1"

               connectionTimeout="6000" enableLookups="false" acceptCount="800"

               redirectPort="8443" />

内存的优化

Tomcat最吃内存，只要内存足够，这只猫就跑的很快。

如果系统资源有限，那就需要进行调优，提高资源使用率。

优化catalina.sh配置文件。在catalina.sh配置文件中添加以下代码：

[[email protected] ~]# vim /application/tomcat/bin/catalina.sh

放到97行，前面的注释完后

JAVA_OPTS="-Djava.awt.headless=true -Dfile.encoding=UTF-8 -server -Xms1024m -Xmx1024m -XX:NewSize=512m -XX:MaxNewSize=512m -XX:PermSize=512m -XX:MaxPermSize=512m"

说明

server:一定要作为第一个参数，在多个CPU时性能佳

-Xms：初始堆内存Heap大小，使用的最小内存,cpu性能高时此值应设的大一些

-Xmx：初始堆内存heap最大值，使用的最大内存

上面两个值是分配JVM的最小和最大内存，取决于硬件物理内存的大小，建议均设为物理内存的一半。

-XX:PermSize:设定内存的永久保存区域

-XX:MaxPermSize:设定最大内存的永久保存区域

-XX:MaxNewSize:

-Xss 15120 这使得JBoss每增加一个线程（thread)就会立即消耗15M内存，而最佳值应该是128K,默认值好像是512k.

+XX:AggressiveHeap 会使得 Xms没有意义。这个参数让jvm忽略Xmx参数,疯狂地吃完一个G物理内存,再吃尽一个G的swap。

-Xss：每个线程的Stack大小

-verbose:gc 现实垃圾收集信息

-Xloggc:gc.log 指定垃圾收集日志文件

-Xmn：young generation的heap大小，一般设置为Xmx的3、4分之一

-XX:+UseParNewGC ：缩短minor收集的时间

-XX:+UseConcMarkSweepGC ：缩短major收集的时间

tomcat 并发优化

<Connector port="80"

protocol="HTTP/1.1"

maxThreads="600"

minSpareThreads="100"

maxSpareThreads="500"

acceptCount="700"

URIEncoding="utf-8"

connectionTimeout="20000"

redirectPort="8443" />

一些有关并发参数说明

maxThreads="600"       ///最大线程数
minSpareThreads="100"///初始化时创建的线程数
maxSpareThreads="500"///一旦创建的线程超过这个值，Tomcat就会关闭不再需要的socket线程。
acceptCount="700"//指定当所有可以使用的处理请求的线程数都被使用时，可以放到处理队列中的请求数，超过这个数的请求将不予处理
connectionTimeout  //连接超时 
redirectPort  //在需要基于安全通道的场合，把客户请求转发到基于SSL 的 redirectPort 端口 
minProcessors //服务器创建时的最小处理线程数 
maxProcessors //服务器同时最大处理线程数 
URIEncoding   //URL统一编码

这里是http connector的优化，如果使用apache和tomcat做集群的负载均衡，并且使用ajp协议做apache和tomcat的协议转发，那么还需要优化ajp connector。

<Connector port="8009"

protocol="AJP/1.3"

maxThreads="600"

minSpareThreads="100"

maxSpareThreads="500"

acceptCount="700"

connectionTimeout="20000" redirectPort="8443" /> 

由于tomcat有多个connector，所以tomcat线程的配置，又支持多个connector共享一个线程池。

首先。打开/conf/server.xml，增加

<Executor name="tomcatThreadPool" namePrefix="catalina-exec-" maxThreads="500" minSpareThreads="20" maxIdleTime="60000" />

最大线程500（一般服务器足以），最小空闲线程数20，线程最大空闲时间60秒。

然后，修改<Connector ...>节点，增加executor属性，executor设置为线程池的名字：

<Connector executor="tomcatThreadPool" port="80" protocol="HTTP/1.1"  connectionTimeout="60000" keepAliveTimeout="15000" maxKeepAliveRequests="1"  redirectPort="443" />

可以多个connector公用1个线程池，所以ajp connector也同样可以设置使用tomcatThreadPool线程池。

tomcat缓存优化

Tomcat中的配置示例

　　<Connector port="9027"

　　protocol="HTTP/1.1"

　　maxHttpHeaderSize="8192"

　　maxThreads="1000"

　　minSpareThreads="100"

　　maxSpareThreads="1000"

　　minProcessors="100"

　　maxProcessors="1000"

　　enableLookups="false"

　　compression="on"

　　compressionMinSize="2048"

　　compressableMimeType="text/html,text/xml,text/javascript,text/css,text/plain"

　　connectionTimeout="20000"

　　URIEncoding="utf-8"

　　acceptCount="1000"

　　redirectPort="8443"

　　disableUploadTimeout="true"/>

参数说明

compression 打开压缩功能 
compressionMinSize 启用压缩的输出内容大小，这里面默认为2KB 
compressableMimeType 压缩类型 
connectionTimeout 定义建立客户连接超时的时间. 如果为 -1, 表示不限制建立客户连接的时间

设置session过期时间

直接翻到584行

conf\web.xml中通过参数指定：

    <session-config>   

        <session-timeout>180</session-timeout>     

    </session-config>

单位为分钟。

Apr插件提高Tomcat性能

介绍什么是APR

Tomcat可以使用APR来提供超强的可伸缩性和性能，更好地集成本地服务器技术.

APR(Apache Portable Runtime)是一个高可移植库，它是Apache HTTP Server 2.x的核心。APR有很多用途，包括访问高级IO功能(例如sendfile,epoll和OpenSSL)，OS级别功能(随机数生成，系统状态等等)，本地进程管理(共享内存，NT管道和UNIX sockets)。这些功能可以使Tomcat作为一个通常的前台WEB服务器，能更好地和其它本地web技术集成，总体上让Java更有效率作为一个高性能web服务器平台而不是简单作为后台容器。

  在产品环境中，特别是直接使用Tomcat做WEB服务器的时候，应该使用Tomcat Native来提高其性能  

  要测APR给tomcat带来的好处最好的方法是在慢速网络上（模拟Internet），将Tomcat线程数开到300以上的水平，然后模拟一大堆并发请求。
  如果不配APR，基本上300个线程狠快就会用满，以后的请求就只好等待。但是配上APR之后，并发的线程数量明显下降，从原来的300可能会马上下降到只有几十，新的请求会毫无阻塞的进来。
  在局域网环境测，就算是400个并发，也是一瞬间就处理/传输完毕，但是在真实的Internet环境下，页面处理时间只占0.1%都不到，绝大部分时间都用来页面传输。如果不用APR，一个线程同一时间只能处理一个用户，势必会造成阻塞。所以生产环境下用apr是非常必要的。

启用APR模式步骤

1) 安装依赖库

因为apr模式本质是使用JNI技术调用操作系统IO接口，需要用到相关API的头文件

到http://archive.apache.org/dist/apr/下载下面的包 

• apr-1.5.2.tar.gz

• apr-util-1.5.4.tar.gz

1) 安装APR

tar zxf apr-1.5.2.tar.gz

cd apr-1.5.2

./configure --prefix=/usr/local/apr

make && make install

 安装APR-UTILS

tar zxf apr-util-1.5.4.tar.gz

cd apr-util-1.5.4

./configure --with-apr=/usr/local/apr

make && make install

 安装tomcat-native

yum -y install gcc

cd /application/tomcat/bin/

tar zxf tomcat-native-1.1.34-src.tar.gz

cd tomcat-native-1.1.34-src/jni/native/

./configure --with-apr=/usr/local/apr/

make && make install

.................................................................

----------------------------------------------------------------------

Libraries have been installed in:

   /usr/local/apr/lib

 

If you ever happen to want to link against installed libraries

in a given directory, LIBDIR, you must either use libtool, and

specify the full pathname of the library, or use the `-LLIBDIR‘

flag during linking and do at least one of the following:

   - add LIBDIR to the `LD_LIBRARY_PATH‘ environment variable

     during execution

   - add LIBDIR to the `LD_RUN_PATH‘ environment variable

     during linking

   - use the `-Wl,-rpath -Wl,LIBDIR‘ linker flag

   - have your system administrator add LIBDIR to `/etc/ld.so.conf‘

 

See any operating system documentation about shared libraries for

more information, such as the ld(1) and ld.so(8) manual pages.

echo $?    ---->返回值是否为0

2) 配置APR本地库到系统共享库搜索路径中

方式1：

设置LD_LIBRARY_PATH和LD_RUN_PATH环境变量，指向/usr/local/apr/lib目录，可配置到$HOME/.profile文件中

export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/usr/local/apr/lib

export LD_RUN_PATH=$LD_RUN_PATH:/usr/local/apr/lib

用echo追加到环境变量配置文件

echo -e "export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/usr/local/apr/lib \nexport LD_RUN_PATH=$LD_RUN_PATH:/usr/local/apr/lib" >> /etc/profile

方式2：

拷贝/usr/local/apr/lib目录下所有动态库到/usr/lib或/lib系统共享库搜索目录下即可。

copy /usr/local/apr/lib/libtcnative* /usr/lib/

方式3：（推荐）

编辑$TOMCAT_HOME/bin/catalina.sh文件，在虚拟机启动参数JAVA_OPTS中添加java.library.path参数，指定apr库的路径

JAVA_OPTS="$JAVA_OPTS -Djava.library.path=/usr/local/apr/lib"

运行tomcat后，看到如下日志表示开启apr模式成功

Starting ProtocolHandler ["http-bio-8080"]

Starting ProtocolHandler ["http-nio-8080"]

Starting ProtocolHandler ["http-apr-8080"]

 

cat catalina.out

..................................................................

01-Sep-2017 20:03:03.698 INFO [main] org.apache.coyote.AbstractProtocol.start Starting ProtocolHandler ["http-apr-8080"]

01-Sep-2017 20:03:03.715 INFO [main] org.apache.coyote.AbstractProtocol.start Starting ProtocolHandler ["ajp-apr-8009"]