debian tomcat如何配防火墙

在 Debian 上给 Tomcat 配置防火墙，通常有两种常见做法：使用 UFW（推荐，简单） 或 使用 iptables/nftables（更底层）。下面以 UFW 为主说明，并补充 iptables 示例。

一、确认 Tomcat 端口

Tomcat 默认端口：

• 8080：HTTP
• 8005：SHUTDOWN（本机即可，不要对外）
• 8009：AJP（一般不用就关掉）

假设你要开放 8080。

二、使用 UFW（Debian 推荐方式）

1. 安装 UFW（如未安装）

sudo apt update
sudo apt install ufw

2. 设置默认策略（安全做法）

sudo ufw default deny incoming
sudo ufw default allow outgoing

3. 允许 SSH（非常重要，防止被锁）

sudo ufw allow 22/tcp

4. 开放 Tomcat 端口

sudo ufw allow 8080/tcp

如果你用 HTTPS（如 8443）：

sudo ufw allow 8443/tcp

5. 启用防火墙

sudo ufw enable

6. 查看状态

sudo ufw status

示例输出：

8080/tcp                   ALLOW       Anywhere
22/tcp                     ALLOW       Anywhere

三、限制只能某些 IP 访问 Tomcat（可选）

只允许内网访问：

sudo ufw allow from 192.168.1.0/24 to any port 8080

只允许单个 IP：

sudo ufw allow from 203.0.113.10 to any port 8080

四、iptables 方式（不推荐新手）

iptables -A INPUT -p tcp --dport 8080 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP

保存（Debian）：

apt install iptables-persistent
netfilter-persistent save

五、Tomcat 自身安全建议（很重要）

1. 关闭 AJP（conf/server.xml）

<!-- <Connector port="8009" protocol="AJP/1.3" /> -->

2. 绑定地址（只允许本机或内网）

<Connector port="8080" address="127.0.0.1" />

3. 前面加 Nginx 反代 + HTTPS

六、检查 Tomcat 是否监听正确

ss -tulnp | grep java

如果你愿意，可以告诉我：

• Debian 版本（11 / 12）
• Tomcat 版本
• 是否用 Nginx 反代

我可以给你更精确的配置方案。