Apache、Tomcat 和 mod 代理 http 设置答案

【问题标题】：Apache, Tomcat and mod proxy http set upApache、Tomcat 和 mod 代理 http 设置
【发布时间】：2012-01-15 18:33:50
【问题描述】：

我在 Tomcat（端口 8080）上运行一个 Web 应用程序，Apache（端口 80）在前面（在 Ubuntu 上），使用 mod-proxy_http 作为连接器。该应用程序可通过端口 80 使用，也可通过端口 8080 使用。这实际上非常有用（在部署/测试时）。

以这种方式保持端口 8080 开放有什么特别的缺点/漏洞吗？

【问题讨论】：

【解决方案1】：

我的意见是您应该关闭 8080 端口，或者至少允许某些主机/IP 使用它。更少的开放端口，更少的问题。打开 8080 端口可以让攻击者拥有更多的入口点（80 和 8080，使用不同的技术）并利用不同的技术。 HTTPd 服务器也有更好的安全模块。

您考虑过使用 mod_ajp_proxy 吗？

希望这会有所帮助。

【讨论】：

我查看了 mod_ajp_proxy 但发现 http 更易于理解和设置（我第一次设置这种类型的东西）。但我真的想保留 http，因为它允许对应用程序的新部署进行健全性测试（同时通过端口 80 提供维护页面）。我觉得这很有用。
我认为如果您只允许特定 IP 访问端口 8080，您可以实现同样的开发/测试简单性。从安全的角度来看，这要好得多。