Tomcat端口仅允许本地访问设置的两种实现方法

Tomcat 限制端口仅允许本地访问是一个重要的安全配置，可以有效防止外部网络直接访问管理端口（如 8080 应用端口、8005 SHUTDOWN 端口等）。

以下是两种最常用、最可靠的实现方法：

方法一：通过 Tomcat 连接器（Connector）配置（推荐）

这是最标准、最灵活的方式，直接在 Tomcat 的 server.xml 配置文件中修改连接器的 address 属性。

操作步骤：

找到并打开 Tomcat 的 server.xml 配置文件。

路径通常为：{TOMCAT_HOME}/conf/server.xml

定位到需要限制的 <Connector> 标签。

HTTP/1.1 连接器（默认 8080 端口）：

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443" />

AJP 连接器（默认 8009 端口，常用于与 Apache 等前端集成）：

<Connector protocol="AJP/1.3"
           address="::1"
           port="8009"
           redirectPort="8443" />

SHUTDOWN 命令端口（在文件最开始的 <Server> 标签中，默认 8005）：
```
<Server port="8005" shutdown="SHUTDOWN">
```

为需要限制的连接器添加 address 属性，并将其值设置为 127.0.0.1（IPv4 回环地址）或 ::1（IPv6 回环地址）。

修改后示例（以 HTTP 8080 端口为例）：

<Connector port="8080" protocol="HTTP/1.1"
           address="127.0.0.1"
           connectionTimeout="20000"
           redirectPort="8443" />

注意：对于 <Server port="8005">，它本身也是一个连接器，修改方式相同：
```
<Server port="8005" shutdown="SHUTDOWN" address="127.0.0.1">
```

保存文件，并重启 Tomcat 服务使配置生效。

验证方法：

在服务器本地执行：curl http://127.0.0.1:8080 或 telnet 127.0.0.1 8080，应该能正常连接。
从其他机器尝试访问服务器的 IP 和端口，应该会连接失败（Connection refused 或超时）。

优点：

配置精准：可以针对每个端口独立控制。
由 Tomcat 自身控制：最符合应用逻辑，配置清晰。
不依赖系统防火墙：即使防火墙配置发生变化，此限制依然有效。

方法二：通过操作系统防火墙配置

此方法在操作系统层面进行控制，适用于所有监听端口的服务，不局限于 Tomcat。

Linux 系统（以 firewalld 为例）

如果默认允许所有流量，可以先为 Tomcat 端口（如 8080）设置只允许本地回环接口访问，然后明确拒绝外部访问。

# 将8080端口的源限制为localhost（这条规则允许本地访问）
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="127.0.0.1" port port="8080" protocol="tcp" accept'
# 或者，更简单地，将服务端口绑定到回环接口的zone（如果使用zone的话）
# 但更通用的方法是：为8080端口添加一条只允许本地访问的规则后，确保没有其他允许外部访问8080的规则存在。
# 通常更直接的做法是：移除公共zone（public）上对8080端口的允许，然后添加一条特定规则。

# 更常见的做法：在公共zone（假设为public）中移除对该端口的开放
sudo firewall-cmd --permanent --zone=public --remove-port=8080/tcp

# 重载防火墙配置
sudo firewall-cmd --reload

关键点：确保防火墙的默认策略（public zone 的默认策略通常是 default: drop）会拒绝外部对 8080 端口的请求，而你添加的 127.0.0.1 规则允许了本地请求。

Linux 系统（以 iptables 为例）

添加一条规则，允许本地回环接口上的流量。

sudo iptables -A INPUT -p tcp -s 127.0.0.1 --dport 8080 -j ACCEPT

添加一条规则，拒绝（或丢弃）来自其他地址对 8080 端口的请求。这条规则需要放在上一条规则之后。

sudo iptables -A INPUT -p tcp --dport 8080 -j DROP
# 或者使用 REJECT 返回拒绝信息
sudo iptables -A INPUT -p tcp --dport 8080 -j REJECT

保存 iptables 规则（根据系统不同，命令可能为 iptables-save 或使用 netfilter-persistent 等工具）。

Windows 系统（使用 Windows Defender 防火墙）

打开“高级安全 Windows 防火墙”。创建一条 入站规则。规则类型：选择“端口”。协议和端口：选择“TCP”，并输入特定本地端口（如 8080）。操作：选择“阻止连接”。配置文件：根据情况选择域、专用、公用。名称：命名为“Block Tomcat 8080 from External”。注意：这条规则会阻止所有对该端口的连接，包括本地。因此，如果需要本地访问，还必须创建一条 允许规则。再创建一条 入站规则，步骤同上，但在第5步选择“允许连接”，并在第4步后的“远程IP地址”范围中，将“任何IP地址”改为“下列IP地址”，并添加 127.0.0.1 和 ::1。确保这条允许规则的优先级高于阻止规则（通常数字小的规则优先级高）。

优点：

系统级统一管理：适合需要集中管控所有服务端口的场景。
防御纵深：即使 Tomcat 配置被意外修改，防火墙仍能提供一层保护。

对比与总结

特性	方法一：Tomcat 配置	方法二：操作系统防火墙
控制粒度	应用级，针对每个连接器	系统级，针对所有进程的端口
配置位置	`{TOMCAT_HOME}/conf/server.xml`	系统防火墙配置界面或命令
生效范围	仅 Tomcat 进程	整个系统
依赖项	无，Tomcat 自身实现	系统防火墙服务必须运行
管理复杂度	简单，与 Tomcat 配置一体	相对复杂，需了解防火墙规则
推荐场景	绝大多数情况的首选，特别是仅需管理 Tomcat 时	需要统一服务器端口安全策略，或 Tomcat 版本过低不支持 `address` 属性

最佳实践建议

首选方法一：在 server.xml 中为所有管理端口（如 8005 SHUTDOWN， 8009 AJP）必须设置 address="127.0.0.1"。对于应用端口（8080），如果前面有 Nginx/Apache 反向代理，且代理服务器与 Tomcat 在同一台机器，也应设置此限制。 组合使用：对于安全性要求极高的环境，可以采用 “方法一 + 方法二” 的组合。

首先在 Tomcat 层面绑定到 127.0.0.1（第一层防护）。
其次在防火墙层面再次阻止该端口的公共访问（第二层防护）。这样即使 Tomcat 配置被还原，防火墙仍能阻挡外部访问。

不要忘记 AJP 和 SHUTDOWN 端口：这些端口通常比 HTTP 端口更危险，务必将其限制为仅本地访问。 修改后务必重启 Tomcat：server.xml 的修改需要重启 Tomcat 才能生效。 测试验证：配置完成后，务必从本地和远程分别进行连接测试，确保策略生效。