tomcat配置與應用(2)
一、Server組件
如上面示例文件中定義的：
<Server port=”8005” shutdown=”SHUTDOWN”>
這會讓Tomcat6啟動一個server實例（即一個JVM），它監聽在8005端口以接收shutdown命令。各Server的定義不能使用同一個端口，這意味著如果在同一個物理機上啟動了多個Server實例，必須配置它們使用不同的端口。這個端口的定義用於為管理員提供一個關閉此實例的便捷途徑，因此，管理員可以直接telnet至此端口使用SHUTDOWN命令關閉此實例。不過，基於安全角度的考慮，這通常不允許遠程進行。
Server的相關屬性：
className: 用於實現此Server容器的完全限定類的名稱，默認為org.apache.catalina.core.StandardServer；
port: 接收shutdown指令的端口，默認僅允許通過本機訪問，默認為8005；
shutdown：發往此Server用於實現關閉tomcat實例的命令字符串，默認為SHUTDOWN；
二、Service組件：
Service主要用於關聯一個引擎和與此引擎相關的連接器，每個連接器通過一個特定的端口和協議接收入站請求交將其轉發至關聯的引擎進行處理。困此，Service要包含一個引擎、一個或多個連接器。
如上面示例中的定義：
<Service name=”Catalina”>
這定義了一個名為Catalina的Service，此名字也會在產生相關的日誌信息時記錄在日誌文件當中。
Service相關的屬性：
className： 用於實現service的類名，一般都是org.apache.catalina.core.StandardService。
name：此服務的名稱，默認為Catalina；
三、連接器組件
1、連接器協議：AJP和HTTP
什麽是AJP協議:
AJP(Apache JServ Protocol)協議：
目前正在使用的AJP協議的版本是通過JK和JK2連接器提供支持的AJP13，它基於二進制的格式在Web服務器和Tomcat之間傳輸數據，而此前的版本AJP10和AJP11則使用文本格式傳輸數據。
2、連接器類型
1) HTTP連接器
2) SSL連接器
3) AJP 1.3連接器
4) proxy連接器
3.HTTP連接器示例：
<Connector port="8080" protocol="HTTP/1.1" 註：如果不想監聽本機的所有地址，需要在此處添加一個address
maxThreads="150" connectionTimeout="20000"
redirectPort="8443"/>
4、連接器常用屬性說明
定義連接器時可以配置的屬性非常多，但通常定義HTTP連接器時必須定義的屬性只有“port”，定義AJP連接器時必須定義的屬性只 有"protocol"，因為默認的協議為HTTP。以下為常用屬性的說明：
1) address：指定連接器監聽的地址，默認為所有地址，即0.0.0.0；
2) maxThreads：支持的最大並發連接數，默認為200；
3) port：監聽的端口，默認為0；
4) protocol：連接器使用的協議，默認為HTTP/1.1，定義AJP協議時通常為AJP/1.3；
5) redirectPort：如果某連接器支持的協議是HTTP，當接收客戶端發來的HTTPS請求時，則轉發至此屬性定義的端口；
6) connectionTimeout：等待客戶端發送請求的超時時間，單位為毫秒，默認為60000，即1分鐘；
7) enableLookups：是否通過request.getRemoteHost()進行DNS查詢以獲取客戶端的主機名；默認為true；
8) acceptCount：設置等待隊列的最大長度；通常在tomcat所有處理線程均處於繁忙狀態時，新發來的請求將被放置於等待隊列中；
5、SSL連接器示例：
<Connector port="8443"
maxThreads="150" minSpareThreads="25" maxSpareThreads="75"
enableLookups="false" acceptCount="100" debug="0" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />
四、Engine組件
1、Engine是Servlet處理器的一個實例，即servlet引擎，默認為定義在server.xml中的Catalina。Engine需要defaultHost屬性來為其定義一個接收所有發往非明確定義虛擬主機的請求的host組件。如前面示例中定義的：
<Engine name="Catalina" defaultHost="localhost">
2、常用的屬性定義：
defaultHost：Tomcat支持基於FQDN的虛擬主機，這些虛擬主機可以通過在Engine容器中定義多個不同的Host組件來實現；但如果此引擎的連接器收到一個發往非非明確定義虛擬主機的請求時則需要將此請求發往一個默認的虛擬主機進行處理，因此，在Engine中定義的多個虛擬主機的主機名稱中至少要有一個跟defaultHost定義的主機名稱同名；
name：Engine組件的名稱，用於日誌和錯誤信息記錄時區別不同的引擎；
五、Host組件
位於Engine容器中用於接收請求並進行相應處理的主機或虛擬主機，如前面示例中的定義：
<Host name="localhost" appBase="webapps"
unpackWARs="true" autoDeploy="true"
xmlValidation="false" xmlNamespaceAware="false">
</Host>
常用屬性說明：
1) appBase：此Host的webapps目錄，即存放非歸檔的web應用程序的目錄或歸檔後的WAR文件的目錄路徑；可以使用基於$CATALINA_HOME的相對路徑；
2) autoDeploy：在Tomcat處於運行狀態時放置於appBase目錄中的應用程序文件是否自動進行deploy；默認為true；
3) unpackWars：在啟用此webapps時是否對WAR格式的歸檔文件先進行展開；默認為true；
定義虛擬主機的示例：
<Engine name="Catalina" defaultHost="localhost">
<Host name="localhost" appBase="webapps">
<Context path="" docBase="ROOT"/>
<Context path="/bbs" docBase="/web/bss"
reloadable="true" crossContext="true"/>
</Host>
<Host name="mail.magedu.com" appBase="/web/mail">
<Context path="/" docBase="ROOT"/>
</Host>
</Engine>
主機別名定義：
如果一個主機有兩個或兩個以上的主機名，額外的名稱均可以以別名的形式進行定義，如下：
<Host name="www.magedu.com" appBase="webapps" unpackWARs="true">
<Alias>magedu.com</Alias>
</Host>
定義Host示例：
六、Context組件：
Context在某些意義上類似於apache中的路徑別名，一個Context定義用於標識tomcat實例中的一個Web應用程序；如下面的定義：
<!-- Tomcat Root Context -->
<Context path="" docBase="/web/webapps"/>
<!-- buzzin webapp -->
<Context path="/bbs"
docBase="/web/threads/bbs"
reloadable="true">
</Context>
<!-- chat server -->
<Context path="/chat" docBase="/web/chat"/>
<!-- darian web -->
<Context path="/darian" docBase="darian"/>
在Tomcat6中，每一個context定義也可以使用一個單獨的XML文件進行，其文件的目錄為$CATALINA_HOME/conf/<engine name>/<host name>。可以用於Context中的XML元素有Loader，Manager，Realm，Resources和WatchedResource。
常用的屬性定義有：
1) docBase：相應的Web應用程序的存放位置；也可以使用相對路徑，起始路徑為此Context所屬Host中appBase定義的路徑；切記，docBase的路徑名不能與相應的Host中appBase中定義的路徑名有包含關系，比如，如果appBase為deploy，而docBase絕不能為deploy-bbs類的名字；
2) path：相對於Web服務器根路徑而言的URI；如果為空“”，則表示為此webapp的根路徑；如果context定義在一個單獨的xml文件中，此屬性不需要定義；
3) reloadable：是否允許重新加載此context相關的Web應用程序的類；默認為false；
七、Realm組件：
一個Realm表示一個安全上下文，它是一個授權訪問某個給定Context的用戶列表和某用戶所允許切換的角色相關定義的列表。因此，Realm就像是一個用戶和組相關的數據庫。定義Realm時惟一必須要提供的屬性是classname，它是Realm的多個不同實現，用於表示此Realm認證的用戶及角色等認證信息的存放位置。
JAASRealm：基於Java Authintication and Authorization Service實現用戶認證；
JDBCRealm：通過JDBC訪問某關系型數據庫表實現用戶認證；
JNDIRealm：基於JNDI使用目錄服務實現認證信息的獲取；
MemoryRealm：查找tomcat-user.xml文件實現用戶信息的獲取；
UserDatabaseRealm：基於UserDatabase文件(通常是tomcat-user.xml)實現用戶認證，它實現是一個完全可更新和持久有效的MemoryRealm，因此能夠跟標準的MemoryRealm兼容；它通過JNDI實現；
下面是一個常見的使用UserDatabase的配置：
<Realm className=”org.apache.catalina.realm.UserDatabaseRealm”
resourceName=”UserDatabase”/>
下面是一個使用JDBC方式獲取用戶認證信息的配置：
<Realm className="org.apache.catalina.realm.JDBCRealm" debug="99"
driverName="org.gjt.mm.mysql.Driver"
connectionURL="jdbc:mysql://localhost/authority"
connectionName="test" connectionPassword="test"
userTable="users" userNameCol="user_name"
userCredCol="user_pass"
userRoleTable="user_roles" roleNameCol="role_name" />
八、Valve組件：
Valve類似於過濾器，它可以工作於Engine和Host/Context之間、Host和Context之間以及Context和Web應用程序的某資源之間。一個容器內可以建立多個Valve，而且Valve定義的次序也決定了它們生效的次序。Tomcat6中實現了多種不同的Valve：
AccessLogValve：訪問日誌Valve
ExtendedAccessValve：擴展功能的訪問日誌Valve
JDBCAccessLogValve：通過JDBC將訪問日誌信息發送到數據庫中；
RequestDumperValve：請求轉儲Valve；
RemoteAddrValve：基於遠程地址的訪問控制；
RemoteHostValve：基於遠程主機名稱的訪問控制；
SemaphoreValve：用於控制Tomcat主機上任何容器上的並發訪問數量；
JvmRouteBinderValve：在配置多個Tomcat為以Apache通過mod_proxy或mod_jk作為前端的集群架構中，當期望停止某節點時，可以通過此Valve將用記請求定向至備用節點；使用此Valve，必須使用JvmRouteSessionIDBinderListener；
ReplicationValve：專用於Tomcat集群架構中，可以在某個請求的session信息發生更改時觸發session數據在各節點間進行復制；
SingleSignOn：將兩個或多個需要對用戶進行認證webapp在認證用戶時連接在一起，即一次認證即可訪問所有連接在一起的webapp；
ClusterSingleSingOn：對SingleSignOn的擴展，專用於Tomcat集群當中，需要結合ClusterSingleSignOnListener進行工作；
RemoteHostValve和RemoteAddrValve可以分別用來實現基於主機名稱和基於IP地址的訪問控制，控制本身可以通過allow或deny來進行定義，這有點類似於Apache的訪問控制功能；如下面的Valve則實現了僅允許本機訪問/probe：
<Context path="/probe" docBase="probe">
<Valve className="org.apache.catalina.valves.RemoteAddrValve"
allow="127\.0\.0\.1"/>
</Context>
其中相關屬性定義有:
1) className：相關的java實現的類名，相應於分別應該為org.apache.catalina.valves.RemoteHostValve或org.apache.catalina.valves.RemoteAddrValve；
2) allow：以逗號分開的允許訪問的IP地址列表，支持正則表達式，因此，點號“.”用於IP地址時需要轉義；僅定義allow項時，非明確allow的地址均被deny；
3) deny: 以逗號分開的禁止訪問的IP地址列表，支持正則表達式；使用方式同allow；
LNMT的實現：
client -->http --> nginx --> reverse_proxy --> http --> tomcat (http connector)
在另一臺主機上啟動nginx，在nginx的配置文件中添加以下核心內容，具體步驟略:
location ~* \.(jsp|do)$ {
proxy_pass http://web1.magedu.com:8080;
}
LAMT：
client --> http --> httpd --> reverse_proxy --> {http|ajp} --> tomcat {http connector|ajp connector}
反代模塊：
主：proxy_module
子：proxy_module_http, proxy_module_ajp 註:httpd向後反向代理的子模塊，如果基於ajp協議向後代理，就要使用proxy_module_ajp
httpd實現反代的虛擬機設置（Centos 7）
proxy_module_http:
<VirtualHost *:80>
ServerName web1.magedu.com
ProxyVia On
ProxyRequests Off
ProxyPreserveHost On
<Proxy *>
Require all granted
</Proxy>
ProxyPass / http://172.16.100.67:8080/
ProxyPassReverse / http://172.16.100.67:8080/
<Location />
Require all granted
</Location>
</VirtualHost>
http基於ajp協議反代配置
proxy_module_ajp:
<VirtualHost *:80>
ServerName web1.magedu.com
ProxyVia On
ProxyRequests Off
ProxyPreserveHost On
<Proxy *>
Require all granted
</Proxy>
ProxyPass /status ! 註：訪問status頁面時不會反代到後端服務器
ProxyPass / ajp://172.16.100.67:8009/
ProxyPassReverse / ajp://172.16.100.67:8009/
<Location />
Require all granted
</Location>
</VirtualHost>
LNAMT：企業中一般不會讓tomcat面向用戶，都會在tomcat的前段加一個httpd服務器
註：http反代時，會自動調用http模塊或者ajp模塊
tomcat配置與應用(2)