Tomcat 10.1.16如何限制Host Manager仅本地及局域网访问？

一、Host Manager访问控制实现 #

1. 家用实例配置 #

取消$TOMCAT_INSTANCE/webapps/host-manager/META-INF/context.xml中Valve标签的注释，替换allow属性值为以下规则，确保仅本地及192.168.1.0/24局域网IP可访问：

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
       allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1|192\.168\.1\.\d+" />

• 规则说明：
  • 127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1：匹配本地回环的IPv4和IPv6地址
  • 192\.168\.1\.\d+：匹配192.168.1.0/24网段内的所有IPv4地址

2. 生产实例配置 #

同样取消Valve标签注释，使用和家用实例完全相同的allow规则即可。生产实例的其他应用未配置该Valve限制，会默认对外开放，满足“成品网站、Web服务/API对公众开放”的需求。

二、系统架构最佳实践建议 #

1. 调整CATALINA_HOME的存储与权限 #

不要将CATALINA_HOME（bin、lib目录）存放在root用户目录下，建议创建专门的系统用户管理Tomcat核心文件：

• 创建系统用户：sudo useradd -r -m -U -d /opt/tomcat -s /sbin/nologin tomcat
• 将Tomcat核心目录迁移到/opt/tomcat，设置权限：sudo chown -R tomcat:tomcat /opt/tomcat
• 让userhome和userprod加入tomcat组：sudo usermod -aG tomcat userhome、sudo usermod -aG tomcat userprod
• 仅给tomcat用户赋予CATALINA_HOME的写权限，userhome和userprod仅保留读权限，降低权限泄露风险。

2. 实现实例的完全隔离（CATALINA_BASE分离） #

当前两个实例共享CATALINA_HOME，建议为每个实例配置独立的CATALINA_BASE目录，实现配置、应用、日志的隔离：

• 为家用实例创建CATALINA_BASE：mkdir -p /home/userhome/tomcat_base/{conf,webapps,logs,temp,work}
• 为生产实例创建CATALINA_BASE：mkdir -p /home/userprod/tomcat_base/{conf,webapps,logs,temp,work}
• 将原实例的conf、webapps等目录迁移到各自的CATALINA_BASE下
• 运行实例时指定CATALINA_BASE：export CATALINA_BASE=/home/userhome/tomcat_base，再启动Tomcat

这种方式既共享Tomcat核心的bin和lib（节省空间、方便统一升级），又避免实例间的配置干扰，也便于单独备份某个实例的数据。

3. 生产实例的反向代理优化 #

当前生产实例直接暴露9090端口到互联网，建议添加Nginx作为反向代理：

• Nginx负责接收外部80/443端口请求，转发到Tomcat的9090端口
• 核心优势：
  • 实现SSL终止，将HTTP转为HTTPS，提升传输安全性
  • 缓存静态资源，减轻Tomcat负载，提升性能
  • 实现访问控制、限流、日志统一收集
  • 隐藏Tomcat的真实端口和版本信息，降低被攻击的风险

4. 防火墙规则的补充加固 #

• 验证家用实例的8080端口规则：sudo firewall-cmd --list-all，确保仅192.168.1.0/24网段可访问
• 若配置了反向代理，修改生产实例的9090端口规则：仅允许本地回环访问9090，外部流量通过Nginx的80/443端口进入：

  sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="127.0.0.1" port port="9090" protocol="tcp" accept' --permanent
  sudo firewall-cmd --remove-port=9090/tcp --permanent
  sudo firewall-cmd --reload
  

内容的提问来源于stack exchange，提问作者Silverwolf