tomcat中端口的TCP连接传递

最新推荐文章于 2023-08-27 00:15:11 发布

原创最新推荐文章于 2023-08-27 00:15:11 发布 · 6k 阅读

0 ·

CC 4.0 BY-SA版权

Apache 同时被 2 个专栏收录

17 篇文章

订阅专栏

个人项目框架

15 篇文章

订阅专栏

本文介绍了如何在Linux系统中利用iptables将80端口的TCP连接转发到非root用户运行的Tomcat服务器的8080端口，以此避免以root用户运行JVM的需求。通过这种方式，即使没有root权限，也能实现对80端口的访问。此外，还提到了在FreeBSD Unix上类似的方法，利用pf包过滤机制进行端口转发。

tomcat服务器运行时一般端口号都为80，且需要JVM必须以root用户运行。但是，如果除JVM进程之外的东西可以将所有端口80的TCP连接传递给高于1024端口号的端口，那么JVM就可以不必以root用户运行。这点在linux系统中权限尤其重要，如果没有root权限，可以让tomcat运行在8080上，然后有合适权限的其他用户可以把80端口TCP连接传递给8080端口。

这用到了linux中内嵌的iptables特性

# iptables -t nat -I prerouting -p tcp --dport 80 -j redirect --to-ports 8080
# iptables -t nat -I output -p tcp --dport 80 -j redirect --to-ports 8080

这样用户访问时会默认重写网址加上8080端口。

如果不想加上8080端口，可以修改server.xml如下：

    <Connector port="8080" protocol="HTTP/1.1" 
               connectionTimeout="20000" 
               redirectPort="8443" />

修改为

    <Connector port="8080" protocol="HTTP/1.1" proxyPort="80"
               connectionTimeout="20000" 
               redirectPort="8443" />

其他操作系统也有类似方法，比如在FreeBSD Unix上，是ps(包过滤，packet filter)机制的一部分功能，典型的可以使用/ect/pf.conf文件中的一行：

#map tomcat on 8080 to appear to be on 80
rdr on ne3 proto tcp from any to any port 80 ->127.0.0.1 port 8080