Tomcat在CentOS上的最佳实践有哪些

CentOS 上 Tomcat 最佳实践

一 安装与运行环境

• 使用受支持的 Java 版本（OpenJDK 11 或 JDK 8+），先执行系统更新并安装 JDK，确保开发与运行环境一致。
• 下载并解压 Apache Tomcat 10.1.x（或 9.0.x LTS），建议将解压目录软链到 /opt/tomcat，便于后续升级与回滚。
• 配置环境变量（建议写入 /etc/profile 或 $CATALINA_HOME/bin/setenv.sh）：设置 JAVA_HOME、CATALINA_HOME、PATH，便于统一管理与脚本调用。
• 创建专用的 tomcat 系统用户（非 root）运行进程，遵循最小权限原则，降低被提权风险。
• 使用 systemd 托管 Tomcat，配置为开机自启、自动重启与标准输出日志，便于生产运维。

二 安全加固

• 访问控制与防火墙：仅开放必要端口（如 8080/8443/22），使用 firewalld 精准放行；管理界面限制来源 IP，仅内网或跳板机可访问。
• 禁用管理应用与示例：删除或禁用 webapps 下的 docs、examples、host-manager、manager、ROOT 等默认应用，减少攻击面。
• 目录遍历防护：在 conf/web.xml 中将 listings 设为 false，禁止目录列表。
• 隐藏版本信息：在 Connector 设置 server 属性伪装标识，或调整 ServerInfo.properties 隐藏版本，降低信息泄露风险。
• 强制 HTTPS：在 8443 配置 SSL/TLS，证书可用自签（测试）或 CA 签发（生产），对外服务强制跳转 HTTPS。
• 运行与权限：以 非 root 用户运行 Tomcat，文件与目录权限最小化；定期更新 CentOS 与 Tomcat 补丁，修复已知漏洞。

三 性能与连接器优化

• I/O 模型：优先使用 NIO/NIO2 连接器，提升并发与吞吐。
• 线程与队列：在 server.xml 的 Executor/Connector 中合理设置 maxThreads、minSpareThreads、acceptCount，可按“每核 50–100 线程”估算并结合压测微调。
• 超时与压缩：设置 connectionTimeout（如 20000 ms）；启用 compression 减少传输体积（注意 CPU 权衡）。
• 协议取舍：如无 Apache/Nginx AJP 集成需求，建议关闭 AJP 8009 端口，减少暴露面与攻击路径。
• JVM 参数：设置 -Xms/-Xmx（初始/最大堆，建议等值避免运行时扩缩），配置 Metaspace 上限；选择合适的 GC（如 G1 或 ParallelGC），并开启 HeapDumpOnOutOfMemoryError 便于排障。
• 数据库与连接池：使用成熟连接池（如 HikariCP/DBCP/C3P0），合理设置最大连接、超时与验证查询，避免连接泄漏。

四 操作系统与网络调优

• 文件描述符：在 /etc/security/limits.conf 提升 nofile（如 65536），避免并发连接受句柄限制。
• 内核网络：在 /etc/sysctl.conf 调整 net.core.somaxconn、tcp_tw_reuse 等参数，提高连接处理能力（注意不同内核版本参数差异与云厂商安全组策略）。
• 透明大页（THP）：在 RHEL/CentOS 上建议禁用 Transparent Huge Pages，降低内存碎片与延迟抖动。
• 资源与稳定性：保证充足内存，尽量避免 Swap；对磁盘与网络进行基线压测，确认瓶颈后再调参。

五 监控与运维

• 日志与审计：启用并轮转 catalina.out、localhost_access_log 与应用日志；定期审计异常访问与错误堆栈。
• 本地诊断：使用 jstat -gcutil 观察 GC 与健康度，配合 top/htop 查看资源占用。
• 可视化与告警：接入 Prometheus + Grafana 或 Zabbix，监控 JVM、线程、连接、QPS、RT、错误率 等关键指标并设置阈值告警。
• JMX 与远程诊断：在 setenv.sh 中按需开启 JMX（指定端口与访问控制），配合 VisualVM/JConsole 做深度分析。
• 变更与压测：任何参数调整遵循“小步变更 + 回归验证 + 压测复盘”，使用 JMeter 等工具验证吞吐、并发与稳定性。