非容器Apache经AJP连接Docker化Tomcat报ajp_ilink_receive failed

故障根因定位 #

你遇到的ajp_ilink_receive failed、读取响应失败的报错，说明TCP层连接已经建立，但AJP协议交互过程中被Tomcat主动断开，并非单纯的端口不通（端口不通会直接报连接拒绝/超时，不会走到读取AJP请求头的阶段）。结合你之前使用host网络模式可正常转发、端口映射模式就失效的现象，核心原因是两处配置不符合Docker端口映射的流量路径：

• Tomcat默认的AJP连接器绑定范围，无法接收Docker网桥转发过来的流量
• Docker端口映射的流量源IP，触发了Tomcat AJP内置的安全校验拦截

具体配置调整步骤 #

1. 修正Tomcat侧AJP连接器参数 #

在你现有server.xml的AJP连接器配置中，补充两个必填属性：

• address="0.0.0.0"：强制AJP连接器绑定容器内所有网卡。Tomcat 8.5及以上版本的AJP连接器默认仅绑定127.0.0.1，这种配置下host网络模式可以正常工作（因为host网络和宿主机共享回环网卡），但端口映射模式下，Docker从网桥网卡转发过来的流量无法到达仅监听127.0.0.1的服务，就会出现读请求头失败的报错。
• allowedTopRemoteAddresses：将Docker私有网段（默认Docker网桥网段为172.16.0.0/12，可根据实际部署的Docker网段调整）加入AJP受信任来源白名单。Docker做端口映射时，所有转发到容器的请求，在容器视角的源IP都是Docker网桥的网关地址（通常为172.17.0.1），如果不加入白名单，就算AJP密钥匹配，Tomcat也会因为来源不受信任直接断开连接。

修正后的完整AJP连接器配置参考：

<Connector port="8009"
  protocol="AJP/1.3"
  address="0.0.0.0"
  redirectPort="8443"
  asyncTimeout="60000"
  maxPostSize="52428800"
  allowedRequestAttributesPattern=".*"
  allowedTopRemoteAddresses="127.0.0.1,172.16.0.0/12"
  secret="mySecret"/>

2. 优化Docker端口映射的绑定范围 #

你现有docker-compose的端口配置默认会绑定宿主机所有网卡的端口，存在AJP服务暴露到非信任网络的风险，建议根据实际部署场景调整绑定地址：

• 如果Apache和Docker部署在同一台宿主机上，将端口绑定到宿主机回环地址，避免对外暴露：

ports:
  - "127.0.0.1:8009:8009"
  - "127.0.0.1:9080:9080"
  - "127.0.0.1:5005:5005"

注意：如果Apache部署在独立的其他服务器上，这里的绑定地址要替换为Docker宿主机和Apache通信的内网网卡IP，不要用0.0.0.0将端口暴露到公网。

3. 快速连通性排查验证 #

调整配置重建容器后，不需要直接测试Apache代理，先在Docker宿主机上直接验证AJP端口可用性：

# 测试8009端口TCP连通性
nc -zv 127.0.0.1 8009

如果TCP连接正常，再查看Tomcat的catalina.out日志，确认没有“来源不受信任”“密钥不匹配”类报错，就说明AJP侧配置正常，即可回到Apache侧测试代理转发。

4. 确认Apache侧的主机解析正确性 #

你现有Apache配置中使用的目标地址是ajp://staffan:8009/，需要确认Apache所在机器的hosts配置或DNS解析，能将staffan这个域名正确解析到Docker宿主机的实际IP——如果解析到容器内部的私有IP，外部部署的Apache是无法正常路由的。

为什么host网络模式可以正常运行 #

host网络模式下容器直接共享宿主机的网络栈，不存在Docker网桥NAT转发的环节：

• 容器内的AJP服务就算默认绑定127.0.0.1，Apache发出的请求走宿主机本地回环就能直接到达AJP端口
• 请求的源IP就是127.0.0.1，完全符合Tomcat AJP的默认安全白名单，不会被拦截
  但这种模式在Windows、macOS的Docker Desktop环境下存在兼容性限制，无法满足跨非Linux主机的部署要求。

内容的提问来源于stack exchange，提问作者Staffan Runnsjö