117笔记问答配置Debian上的Tomcat安全是一个重要的步骤，以下是一个详细的指南，涵盖了从安装到高级安全配置的各个方面：
安装Tomcat
- 更新系统：
sudo apt update
- 安装OpenJDK：
sudo apt install default-jdk
- 下载并解压Tomcat：
wget https://downloads.apache.org/tomcat/tomcat-9/v9.0.76/bin/apache-tomcat-9.0.76.tar.gz tar -zxvf apache-tomcat-9.0.76.tar.gz sudo mv apache-tomcat-9.0.76 /opt/tomcat
创建Tomcat用户
sudo groupadd tomcat sudo useradd -s /bin/false -g tomcat -d /opt/tomcat tomcat
配置Tomcat权限
sudo chgrp -R tomcat /opt/tomcat sudo chmod -R 750 /opt/tomcat sudo chown -R tomcat:tomcat /opt/tomcat
创建systemd服务文件
sudo nano /etc/systemd/system/tomcat.service
添加以下内容：
[Unit] Description=Apache Tomcat Web Application Container After=network.target [Service] Type=forking Environment=JAVA_HOME=/usr/lib/jvm/default-java Environment=CATALINA_PID=/opt/tomcat/temp/tomcat.pid Environment=CATALINA_HOME=/opt/tomcat Environment=CATALINA_BASE=/opt/tomcat Environment='CATALINA_OPTS=-Xms512M -Xmx1024M -server -XX:UseParallelGC' Environment='JAVA_OPTS=-Djava.security.egdfile=/dev/./urandom' ExecStart=/opt/tomcat/bin/startup.sh ExecStop=/opt/tomcat/bin/shutdown.sh User=tomcat Group=tomcat RestartSec=10 Restart=always [Install] WantedBy=multi-user.target
重新加载systemd并启动Tomcat
sudo systemctl daemon-reload sudo systemctl start tomcat sudo systemctl enable tomcat
基本安全配置
- 删除默认页面：
cd /opt/tomcat/webapps rm -rf docs examples
- 修改默认端口号： 编辑
/opt/tomcat/conf/server.xml文件，修改HTTP端口为1234：
- 隐藏Tomcat版本信息： 修改
/opt/tomcat/conf/server.xml中的 server 属性：
Connector port="1234" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" server="Custom Server Name" />
- 限制远程管理界面的访问： 删除
/opt/tomcat/webapps/manager和/opt/tomcat/webapps/host-manager目录：
rm -rf /opt/tomcat/webapps/manager rm -rf /opt/tomcat/webapps/host-manager
- 配置SSL/TLS： 编辑
/opt/tomcat/conf/server.xml文件，添加SSL连接器：
- 配置用户验证： 编辑
/opt/tomcat/conf/tomcat-users.xml文件，添加管理用户：
高级安全配置
- 防火墙配置： 使用
ufw限制访问Tomcat端口：
sudo ufw allow 1234/tcp sudo ufw allow 8443/tcp
- 禁用不必要的服务： 关闭不必要的Tomcat服务和端口，减少潜在的攻击面。
- 定期更新Tomcat： 定期检查并更新Tomcat至最新版本，修复已知的安全漏洞。
- 监控和日志审核： 定期审查Tomcat的日志文件，监控任何异常活动或安全事件。