非root用户无法启动监听80端口的Tomcat

213次阅读

共计 2768 个字符，预计需要花费 7 分钟才能阅读完成。

一、问题

网站绑定域名后直接通过域名访问使用的是 80 端口，因此 tomcat 须监听 80 端口，而为了安全起见 tomcat 一般不用 root 身份运行，综上，需要以普通用户来运行监听 80 端口的 tomcat。此时就会启动失败，报没有权限，因为只有 root 身份才能监听 1024 以下的熟知端口。

二、解决

（以下未经验证）

There are a few different solutions to work around this:
Install and configure Apache or nginx as a reverse proxy server, which can be started as root to open the port, and then downgrade its privileges back to a normal user.
Set up a firewall on the server using iptables or an alternative, so that the lower port number is forwarded internally to a higher port number listened by Confluence.
Use jsvc, which is able to open ports as root, and then downgrade privileges.
Use authbind to grant privileges for a non-root user to open a privileged port.

1、通过 iptables 进行端口转发

tomcat 监听 8080（其他非熟知端口皆可）端口，直接执行 sudo iptables -t nat -A PREROUTING -p tcp –dport 80 -j REDIRECT –to-port 8080 将对 80 端口的请求转发到 8080 端口。
iptables 规则设置后都是即时生效的，但在机器重启后 iptables 中的配置信息会被清空。因此可以将这些配置保存下来，让 iptables 在 interface 启动时自动被加载：

（1）保存防火墙规则：sudo iptables-save > /etc/zsmiptables.rules

（2）编辑 /etc/network/interfaces，在末尾加一行：pre-up iptables-restore < /etc/zsmiptables.rules

参考资料：

1、Linux 配置本地 Tomcat 应用 80 端口转发 http://www.linuxidc.com/Linux/2016-07/133078.htm

iptables 规则设置后都是即时生效的, 在机器重启后,iptables 中的配置信息会被清空.
您可以将这些配置保存下来, 让 iptables 在启动时自动加载, 省得每次都得重新输入.
iptables-save 和 iptables-restore 就是用来保存和恢复设置的.
先将防火墙规则保存到 /etc/iptables.up.rules 文件中:
iptables-save > /etc/iptables.up.rules
然后修改脚本 /etc/network/interfaces, 在末尾添加一行, 在网络启动时应用防火墙规则:
pre-up iptables-restore < /etc/iptables.up.rules

Ubuntu 使用 iptables 配置防火墙简化总结:
sudo ufw disable && sudo ufw default allow 确保 INPUT/FORWARD/OUTPUT 几条链都是 ACCEPT 状态, 否则网络访问中断, 包括 ssh.
sudo iptables -F && sudo iptables -X && sudo iptables -Z && sudo iptables -L
sudo iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -p tcp -i eth0 –dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp -i eth0 –dport 80 -j ACCEPT
sudo iptables -A INPUT -j DROP
iptables-save > /etc/iptables.up.rules 切换到 root 用户执行,sudo 会提示无权限
sudo nano /etc/network/interfaces 在末尾添加一行, 在网络启动时应用防火墙规则:
pre-up iptables-restore < /etc/iptables.up.rules

（前者言将 iptables-restore < /etc/zsmiptables.rules 放到一脚本里置于 /etc/network/if-pre-up.d/ 下，但一直不成功；改用后者所言将 iptables-restore < /etc/zsmiptables.rules 加到 /etc/network/interfaces 末尾成功了）