2. 程式人生 > >Docker 快速驗證：不轉發讓 Tomcat 繫結 80 埠

Docker 快速驗證：不轉發讓 Tomcat 繫結 80 埠

阿新 • • 發佈：2019-01-03

前言

之前寫過 tomcat 單機多例項，最後解決80埠訪問用的是 iptables 轉發；

第三輪投產前，客戶做了遷移和擴容。重啟後，不但轉發策略失效，重新執行轉發命令後仍舊不能訪問80。後來我還發現是徹底關閉了防火牆。後來經研究，通過開啟防火牆，配置自定義防火牆函式儲存 iptables 策略，解決了iptables轉發重啟失效的問題；方案也提交了客戶。方案稍後整理髮布。

第三輪投產時，通過和一線溝通，得知客戶這邊的策略是生產一律關閉防火牆。so strange！但是，還得想辦法不是？總不能說這個系統必須得開防火牆吧？通過研究實驗和請教大神，最終搞定。整理如下。

# 進入docker容器啟動tomcat

 
[email protected]:/usr/local/tomcat/bin# ./startup.sh 
# get tomcat對應java程序：
[email protected]:/usr/local/tomcat/bin# ps -ef | grep java
# 新增kch使用者
[email protected]:/usr/local# # groupadd kch && useradd -d /kch -g kch -m kch && passwd kch
# 更改tomcat屬主為kch
[email protected]:/usr/local# chown -R kch.kch tomcat
# 賦予 tomcat對應java程序 u+s 許可權 (程序只能是exe，不能是指令碼):普通使用者訪問時，臨時使程序具有root許可權可以繫結80埠

 
[email protected]:/usr/local# chmod u+s /docker-java-home/jre/bin/java

實驗如下

本能就用官方 tomcat7 映象。沒有的自行 pull 一個

docker pull tomcat:7.0

預設是 8080 埠的，啟動命令

docker run --name w1 -it -p 8080:8080  tomcat:7.0 /bin/bash

這裡我們需要繫結 80 埠，所以啟動命令見下文，且需要修訂 server.xml，把 tomcat 的埠由 8080 改為 80；

啟動 Tomcat 映象

ChinaDreams:workspace kangcunhua$ docker images
REPOSITORY                          TAG                 IMAGE ID            CREATED             SIZE
....
tomcat                              7.0                 3402a4bb8ae6        4 months ago        357MB
....
ChinaDreams:workspace kangcunhua$ docker run --name www -it -p 80:80  tomcat:7.0 /bin/bash

 
[email protected]:/usr/local/tomcat# cd bin
[email protected]:/usr/local/tomcat/bin# ./startup.sh
[email protected]:/usr/local/tomcat/bin# ps -ef | grep java
root        12     1 37 15:12 pts/0    00:00:05 /docker-java-home/jre/bin/java -Djava.util.logging.config.file=/usr/local/tomcat/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djdk.tls.ephemeralDHKeySize=2048 -Djava.endorsed.dirs=/usr/local/tomcat/endorsed -classpath /usr/local/tomcat/bin/bootstrap.jar:/usr/local/tomcat/bin/tomcat-juli.jar -Dcatalina.base=/usr/local/tomcat -Dcatalina.home=/usr/local/tomcat -Djava.io.tmpdir=/usr/local/tomcat/temp org.apache.catalina.startup.Bootstrap start
root        56     1  0 15:12 pts/0    00:00:00 grep java
[email protected]:/usr/local/tomcat/bin# curl localhost:8080
<!DOCTYPE html>
...
[email protected]:/usr/local/tomcat/bin#

get 到 tomcat 的程序（exe）：/docker-java-home/jre/bin/java。注：這裡查詢記下來的，必須是程序（exe），不能是指令碼。後續有用；

修改 server.xml

ChinaDreams:workspace kangcunhua$ docker cp www:/usr/local/tomcat/conf/server.xml .
ChinaDreams:workspace kangcunhua$ vi server.xml 
ChinaDreams:workspace kangcunhua$ docker cp server.xml www:/usr/local/tomcat/conf/

將預設的 8080 改成 80

找到

<Connector port="8080"

修改為

 

<Connector port="80"

新建 prms 使用者

對應容器已新建 prms 使用者

[email protected]:/usr/local# # groupadd kch && useradd -d /kch -g kch -m kch
[email protected]:/usr/local# # passwd kch

更改 tomcat 屬主

[email protected]:/usr/local# ls -la
drwxr-sr-x 14 root staff 4096 Dec 18 15:12 tomcat
[email protected]:/usr/local# chown -R kch.kch tomcat
[email protected]:/usr/local# ls -la
drwxr-sr-x 20 kch  kch   4096 Dec 18 15:22 tomcat
[email protected]:/usr/local#

啟動

發現可以正常啟動，但是不能訪問80埠；

 

$ ./startup.sh
...
Tomcat started.
$ curl localhost
curl: (7) Failed to connect to localhost port 80: Connection refused
$ ./shutdown.sh

修訂 java 的屬主

[email protected]:/usr/local# ls -la /docker-java-home/jre/bin/java
-rwxr-xr-x 1 root root 6408 May 19  2017 /docker-java-home/jre/bin/java
[email protected]:/usr/local# chmod u+s /docker-java-home/jre/bin/java
[email protected]:/usr/local# ls -la /docker-java-home/jre/bin/java
-rwsr-xr-x 1 root root 6408 May 19  2017 /docker-java-home/jre/bin/java

啟動 tomcat

正常啟動，且可以訪問80埠

通過瀏覽器http://localhost也可以訪問，看到tomcat首頁；

 

[email protected]:/usr/local# su kch
$ ./startup.sh
Using CATALINA_BASE:   /usr/local/tomcat
Using CATALINA_HOME:   /usr/local/tomcat
Using CATALINA_TMPDIR: /usr/local/tomcat/temp
Using JRE_HOME:        /docker-java-home/jre
Using CLASSPATH:       /usr/local/tomcat/bin/bootstrap.jar:/usr/local/tomcat/bin/tomcat-juli.jar
Tomcat started.
$ curl localhost

<!DOCTYPE html>
...
$

 

收尾

提交映象

docker commit www tomcat-bind80:7.0

提交 dockerhub

ChinaDreams:workspace kangcunhua$ docker images
REPOSITORY                                  TAG                 IMAGE ID            CREATED             SIZE
tomcat-bind80                               7.0                 c6e1013adaf9        6 seconds ago       374MB
ChinaDreams:workspace kangcunhua$ docker tag c6e1013adaf9 aninputforce/tomcat7-bind80:latest
ChinaDreams:workspace kangcunhua$ docker images
REPOSITORY                                  TAG                 IMAGE ID            CREATED             SIZE
tomcat-bind80                               7.0                 c6e1013adaf9        2 minutes ago       374MB
aninputforce/tomcat7-bind80                 latest              c6e1013adaf9        2 minutes ago       374MB
ChinaDreams:workspace kangcunhua$ docker push aninputforce/tomcat7-bind80

使用映象

ChinaDreams:workspace kangcunhua$ docker pull aninputforce/tomcat7-bind80
ChinaDreams:workspace kangcunhua$ docker run --name www -it -p 80:80 aninputforce/tomcat7-bind80 /bin/bash
[email protected]:/usr/local/tomcat# su kch
$ pwd
/usr/local/tomcat
$ cd bin
$ ./startup.sh
Using CATALINA_BASE:   /usr/local/tomcat
Using CATALINA_HOME:   /usr/local/tomcat
Using CATALINA_TMPDIR: /usr/local/tomcat/temp
Using JRE_HOME:        /docker-java-home/jre
Using CLASSPATH:       /usr/local/tomcat/bin/bootstrap.jar:/usr/local/tomcat/bin/tomcat-juli.jar
Tomcat started.
$ curl localhost

<!DOCTYPE html>
....

參考連結

Is there a way for non-root processes to bind to “privileged” ports on Linux?

Bye

這幾篇筆記寫完。對linux的認識更加深刻了。不過對於80埠的繫結，被真實商業環境折磨許久，研究分析實現了種種可能。後續或許會追加筆記為“茴香豆系列” 

​本文由作者：蠻大人  授權釋出
連結：https://opsdev.fun/2017/12/18/O1-8-07-Docker%E5%BF%AB%E9%80%9F%E9%AA%8C%E8%AF%81%E4%B8%8D%E8%BD%AC%E5%8F%91%E8%AE%A9Tomcat%E7%BB%91%E5%AE%9A80%E7%AB%AF%E5%8F%A3/
著作權歸作者所有。
轉載請聯絡作者獲得授權。

51Reboot  K8s專場分享

時間：2019年1月4號21:00-22:00​

分享講師：GY 老師

​10年一線軟體開發經驗，先後經歷了傳統安全公司，以及多家網際網路公司；在安全開發方面，曾開發過 Linux 防火牆、web 應用防火牆、Linux 安全核心加固，基於大流量的 Web 安全威脅分析等專案；在網際網路公司工作時，曾基於 DPDK 高效能網路開發框架開發過基於全流量的網路流量分析平臺和基於 Sflow 網路流量分析平臺，基於 Golang 開發 SmartDNS 等；開發語言也是從C -> python -> golang 的轉變過程？現從事基於 K8S 和 Docker在私有云平臺建設方面的研發工作；具備豐富的Linux系統開發經驗、網路開發經驗以及專案管理經驗；目前開發工作 90+% 都在用 Golang，Golang 是一門簡潔、高效、強大且靈活的程式語言。

參與方式：掃碼新增小助手，備註：公開課，拉入直播分享群與老師互動

 

 

 

相關推薦

Docker 快速驗證：不轉發讓 Tomcat 繫結 80 埠

前言 之前寫過 tomcat 單機多例項，最後解決80埠訪問用的是 iptables 轉發； 第三輪投產前，客戶做了遷移和擴容。重啟後，不但轉發策略失效，重新執行轉發命令後仍舊不能訪問80。後來我還發現是徹底關閉了防火牆。後來經研究，通過開啟防火牆，配置自定義防火牆函式儲存 iptables

Docker 快速驗證 tomcat 單機多例項方案

概述 主要講的是解決問題的思路。當然也附帶了儘可能詳細的步驟，感興趣的童鞋可以一步一步跟著來實踐一把。因為運維職業的緣故，基本上是把事故當故事來寫了，希望能夠喜歡。 緣起 至少10年了，沒在一線玩過 Tomcat 了，這次客戶現場就來了一場遭遇戰。雖然客戶說了他來搭建，但是專案進度不等人，還是自己動手吧

Docker 快速驗證 tomcat 單機多實例方案

sysconfig ref shu alt 新人 web 安全 指定 cat 客戶現場 概述 主要講的是解決問題的思路。當然也附帶了盡可能詳細的步驟，感興趣的童鞋可以一步一步跟著來實踐一把。因為運維職業的緣故，基本上是把事故當故事來寫了，希望能夠喜歡。 緣起 至少10年了，

Docker學習(二)：不使用sudo執行Docker

為什麼需要建立docker使用者組？ Docker守候程序繫結的是一個unix socket，而不是TCP埠。 這個套接字預設的屬主是root，其他是使用者可以使用sudo命令來訪問這個套接字檔案。因為這個原因，docker服務程序都是以root帳號的身份執

條款8：不能讓異常逃離解構函式，否則難以想象

1、c++並不禁止解構函式吐出異常，但它不鼓勵你這樣做。 例：vector存的結構是class的話，當vector被銷燬時，如果兩個class在析構的時候丟擲異常，程式若不是結束執行就是導致不明確行為。 2、如果解構函式必須執行一個動作，該動作可能會失敗丟擲異常，該怎麼

tomcat 繫結花生殼域名實現訪問去埠號和專案名稱通過域名訪問內網可以,外網不加專案名怎麼不行?

tomcat 這麼配置的  <Connector port="80" protocol="HTTP/1.1"                connectionTimeout="20000"                redirectPort="8443"

VUE：class與style強制繫結

<!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title></title> <style>

Tomcat 繫結https證書

此文環境是centos 6.8, tomcat8, https是用的阿里雲的免費dv證書，tomcat繫結的是pfx證書（Tomcat支援JKS格式證書，從Tomcat7開始也支援PFX格式證書，兩種證書格式任選其一）。 此問目的是在開發小程式的時候需要配置https環境，且ht

SSH隧道與埠轉發及內網穿透繫結本地埠

ssh是一種安全的傳輸協議，我一般使用就是在登陸伺服器或遠端執行命令，最近我意識到這是個強大的命令。 開講～ 本地ssh隧道 工作中由於防火牆導致訪問某些網站或某些ftp連線超時，有什麼解決辦法呢。ssh隧道就是一種解決方式。 首先你需要了解一些資訊： 你自己

伺服器tomcat繫結域名後 http80埠自動跳轉https443埠

   2.4修改war包路徑（可選） ---------------------  作者：涓滴之水  來源：CSDN  原文：https://blog.csdn.net/u013344860/article/details/79591519&nb

CentOS配置Tomcat監聽80埠,虛擬主機

Tomcat更改預設埠為80 更改的配置檔案是: /usr/local/tomcat/conf/server.xml [root@test-a ~]# vim /usr/local/tomcat/conf/server.xml # 找到 Connector port="8080" pro

Tomcat介紹、安裝jdk 、安裝Tomcat、配置Tomcat監聽80埠、配置Tomcat虛擬主機、Tomcat日誌

一、Tomcat介紹 Tomcat是Apache軟體基金會(Apache Software Foundation)的Jakarta專案中的一個核心專案，由Apache、Sun和其他一些公司及個人共同開發而成。 Tomcat伺服器是一個免費的開放原始碼的Web應用

MFC多文件（三）：文件與檢視繫結

  多文件系列 MFC多文件（一）：檢視中獲取文件指標 MFC多文件（二）：文件中獲取檢視指標 MFC多文件（三）：文件與檢視繫結     問題 如題。   解決方法： 1、MFC多文件工程，手動新增CNaviM

面試問題：Vuejs如何實現雙向繫結

最近出去面試，栽在這個問題上，提到vuejs，面試官一般會讓你說vuejs的特點，一般就要回答virtual dom tree, dom tree diff, 以及資料雙向繫結,然後面試官會追問你，vuejs是如何實現資料雙向繫結的，前面的問題算基礎的話，能答出這個就更上一個臺階，說明你的思考能力不停留在表層

詳解nginx反向代理+SwitchHost+Tomcat繫結域名配置總結

首先說下具體請求流程： 假設客戶端A--------》瀏覽器url請求域名--------》域名被host解析對應的IP--------》到對應IP的伺服器--------》先被nginx反向代理攔截

Tomcat繫結多個域名和配置虛擬目錄的方法

server.xml 的修改方式如下: （一）多域名繫結 1.如果你要繫結網站,首先是要把tomcat的預設訪問埠8080,修改成80 原始: <Connector port="8080" maxHttpHeaderSize="8192" maxThreads

設定Tomcat監聽80埠

一開始看網上的教程直接設定tomcat目錄的server.xml，發現並沒有起作用，後面才得知這是因為只有root使用者才可訪問1024以下的埠。不過最後還是找到一種方法解決問題了。 解決方法：不用修

《Linux網路程式設計》： 埠複用（多個套接字繫結同一個埠）

在《繫結( bind )埠需要注意的問題》提到：一個網路應用程式只能繫結一個埠( 一個套接字只能繫結一個埠 )。 請檢視《Linux網路程式設計》： 繫結( bind )埠需要注意的問題 實際上，預設的情況下，如果一個網路應用程式的一個套接字 綁定了一個埠( 佔用了 80

《Linux網路程式設計》： 繫結( bind )埠需要注意的問題

所謂繫結(bind)是指別人連線我只能通過我所繫結的埠，相當於，我買了一個手機，別人要想聯絡我，必須要知道我的手機號碼，這時候，我需要怎麼辦呢？我需要給手機插上電話卡，固定一個電話號碼，這樣別人就能通過這個電話號碼聯絡我。手機插上電話卡，固定一個電話號碼，類似於繫結(bind)的過程，繫結(bi

面試總結：vue實現資料雙向繫結的原理

vue實現資料雙向繫結的原理就是用Object.defineproperty()重新定義（set方法）物件設定屬性值和（get方法）獲取屬性值的操縱來實現的 Object.property()方法的解釋：Object.property(引數1，引數2，引數3)   返回值為