问题[jetty](server)

我正在尝试在 kubernetes 上运行一个 Jetty 网络服务器，它在我们的生产环境中需要大量的堆 ~ 250 GB，在我们的测试环境中 ~ 50 GB。

我正在使用jetty:9.4-jdk11，我试图避免显式设置Xms或Xmx标志，因为不同环境之间的值不同，因为我认为依赖-XX:MaxRAMPercentage -XX:InitialRAMPercentage会更好，但无论我尝试什么，我都无法MaxHeapSize通过32178700288 ~ 30 GB。

Node 上只有 Java 应用程序和一些小 sidcar，有 64 GB 内存。

Dockerfile

FROM jetty:9.4-jdk11

ENV APP_WAR root.war
ENV APP_EXPLODED_WAR root/
ENV APP_DESTINATION_PATH $JETTY_BASE/webapps/
ENV APP_DESTINATION_WAR $APP_DESTINATION_PATH$APP_WAR
ENV APP_DESTINATION_EXPLODED_WAR $APP_DESTINATION_PATH$APP_EXPLODED_WAR

ADD . $APP_DESTINATION_EXPLODED_WAR

ENV JAVA_OPTIONS -XX:+PrintFlagsFinal -XX:MaxRAMPercentage=90 -XX:InitialRAMPercentage=90 -XX:-OmitStackTraceInFastThrow -XX:+UseStringDeduplication -Xlog:gc*,stringdedup*=debug:file=/tmp/gc.log:time

容器资源设置

resources:
  limits:
    cpu: "8"
    memory: 60G
  requests:
    cpu: "6"
    memory: 60G

基于这些值，我应该得到 60 GB MaxHeapSize~ 54 GB 的 90%，而不是 30 GB。知道我缺少什么吗？

我最初在 stackoveflow 上发布了这个问题，但被告知它更适合这个网站。

我正在尝试从 LAN 外的另一台机器访问部署在一台机器上的 Jetty 服务器，但它不工作。我已经阅读了这个帖子并遵循了@Joakim Erdfelt提供的建议，但是它没有用。我的代码如下：

Server server = new Server();
    

    
// HTTP connector
ServerConnector serverConnector = new ServerConnector(server, 1, 1);
serverConnector.setHost("0.0.0.0"); <-
serverConnector.setPort(8080);
serverConnector.setIdleTimeout(30000);
    
    
 
 // Set the connector
 server.addConnector(serverConnector);

我尝试使用以下代码从另一台远程服务器访问服务器：

String postUrl = "http://" + myIP + ":8080"; // myIP is set to the public IP address of Jetty Server

System.out.println("Post URL: " + postUrl);

RequestConfig requestConfig = RequestConfig.custom().setConnectTimeout(120 * 1000).build();



try (CloseableHttpClient httpClient = HttpClientBuilder.create().setDefaultRequestConfig(requestConfig).build();) {

HttpPost httpPostRequest = new HttpPost(postUrl);

...

但是，这会引发以下异常：

HttpPostConnectException: Connect to 123.4.56.78:8080.. failed: Connection refused: connect

是什么导致了这个错误？我在提示时允许访问防火墙，所以我认为这不是防火墙问题。该端口8080也未用于任何其他进程。我尝试了多个端口无济于事。

谢谢

我安装了在 Jetty 9 上运行的 Shiboleth。通过 Apache，我有一个反向代理到 Jetty 的 8080 端口，该端口为 Shiboleth 实例提供服务。

当我在控制台中 curl http://localhost:8080/idp/shibboleth 时，正确生成了实例响应。

但是，当我在浏览器https://idp.example.com/idp/shibboleth上执行相同操作时，我收到 404 错误。

这表明反向代理无法正常工作？

这是我的 apache conf

SSLUseStapling on
SSLStaplingResponderTimeout 5
SSLStaplingReturnResponderErrors off
SSLStaplingCache shmcb:/var/run/ocsp(128000)

<VirtualHost *:80>
ServerName "idp.spectrum.com.cy"
Redirect permanent "/" "https://idp.spectrum.com.cy/"
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost _default_:443>
 ServerName idp.spectrum.com.cy:443
 ServerAdmin [email protected]
 # Debian
 CustomLog /var/log/apache2/idp.spectrum.com.cy.log combined
 ErrorLog /var/log/apache2/idp.spectrum.com.cy.org-error.log
 # Centos
 #CustomLog /var/log/httpd/idp.example.org.log combined
 #ErrorLog /var/log/httpd/idp.example.org-error.log
 
 DocumentRoot /var/www/html/idp.spectrum.com.cy
 
 SSLEngine On
 SSLProtocol All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
 SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4"

 SSLHonorCipherOrder on
 
 # Disallow embedding your IdP's login page within an iframe and
 # Enable HTTP Strict Transport Security with a 2 year duration
 <IfModule headers_module>
    Header set X-Frame-Options DENY
    Header set Strict-Transport-Security "max-age=63072000 ; includeSubDomains ; preload"
 </IfModule>
 
 # Debian
 SSLCertificateFile /etc/ssl/certs/idp.spectrum.com.cy.crt
 SSLCertificateKeyFile /etc/ssl/private/idp.spectrum.com.cy.key

 # ACME-CA or GEANT_OV_RSA_CA_4 (For users who use GARR TCS/Sectigo RSA Organization Validation Secure Server CA)
 #SSLCACertificateFile /etc/ssl/certs/ACME-CA.pem
 #SSLCACertificateFile /etc/ssl/certs/GEANT_OV_RSA_CA_4.pem


 # Centos
 #SSLCertificateFile /etc/pki/tls/certs/idp.example.org.crt
 #SSLCertificateKeyFile /etc/pki/tls/private/idp.example.org.key

 # ACME-CA or GEANT_OV_RSA_CA_4 (For users who use GARR TCS/Sectigo RSA Organization Validation Secure Server CA)
 #SSLCACertificateFile /etc/pki/tls/certs/ACME-CA.pem
 #SSLCACertificateFile /etc/pki/tls/certs/GEANT_OV_RSA_CA_4.pem

 <IfModule mod_proxy.c>
    ProxyPreserveHost On
    RequestHeader set X-Forwarded-Proto "https"
    ProxyPass /idp http://localhost:8080/idp/ retry=5
    ProxyPassReverse /idp http://localhost:8080/idp/ retry=5

    <Location /idp>
       Require all granted
    </Location>
 </IfModule>
</VirtualHost>
</IfModule>

<VirtualHost 127.0.0.1:80>
  ProxyPass /idp  http://localhost:8080/idp/ retry=5
  ProxyPassReverse /idp http://localhost:8080/idp/ retry=5
  <Location /idp>
   Require all granted
  </Location>
</VirtualHost>

我已经简化了我的 conf 文件以删除 https。下面的配置工作正常，但仅适用于 http。我将调查为什么 https 配置会产生 404 错误。

<VirtualHost *:80>
ServerName idp.spectrum.com.cy

 <IfModule mod_proxy.c>
    ProxyPreserveHost On
    ProxyPass /idp/ http://localhost:8080/idp/ retry=5
    ProxyPassReverse /idp/ http://localhost:8080/idp/ retry=5

    <Location /idp>
       Require all granted
    </Location>
 </IfModule>

# This virtualhost is only here to handle administrative commands 
for Shibboleth, executed from localhost
<VirtualHost 127.0.0.1:80>
  ProxyPass /idp  http://localhost:8080/idp/ retry=5
  ProxyPassReverse /idp http://localhost:8080/idp/ retry=5
  <Location /idp>
    Require all granted
  </Location>
</VirtualHost>

我有 Jetty 8.1.14.v20131031 在 EC2 Ubuntu 12.04 上运行。它在启动后大约 3 小时内自动关闭。只是为了确认这不是我的代码的问题，我从服务器中删除了 war 文件并以默认的 [spdy.war 和 test.war] 开始，但结果相同。3小时后就关机了。Jetty 不会在日志中记录任何错误。只是提到这个问题是一个月前开始的，在此之前它运行良好。

日志 -

网络服务器启动-

2016-11-28 18:00:30.694:INFO:oejs.Server:jetty-8.1.14.v20131031 2016-11-28     18:00:30.712:INFO:oejdp.ScanningAppProvider:Deployment monitor   /opt/jetty/webapps at interval 1 2016-11-28
18:00:30.718:INFO:oejd.DeploymentManager:Deployable added:  /opt/jetty/webapps/test.war 2016-11-28 18:00:30.748:INFO:oejw.WebInfConfiguration:Extract jar:file:/opt/jetty/webapps/test.war!/ to
/mnt/tmp/tmp/jetty-0.0.0.0-8080-test.war-_test-any-/webapp 2016-11-28 18:00:31.594:INFO:oejs.TransparentProxy:TransparentProxy @ /test/javadoc-proxy to http://download.eclipse.org/jetty/stable-
8/apidocs 2016-11-28 18:00:31.594:INFO:oejd.DeploymentManager:Deployable added: /opt/jetty/webapps/spdy.war 2016-11-28 18:00:31.596:INFO:oejw.WebInfConfiguration:Extract
jar:file:/opt/jetty/webapps/spdy.war!/ to /mnt/tmp/tmp/jetty-0.0.0.0-8080-spdy.war-_spdy-any-/webapp 2016-11-28 18:00:31.677:INFO:oejdp.ScanningAppProvider:Deployment monitor /opt/jetty/contexts at
interval 1 2016-11-28 18:00:31.678:INFO:oejd.DeploymentManager:Deployable added: /opt/jetty/contexts/javadoc.xml 2016-11-28 18:00:31.709:INFO:oejs.AbstractConnector:Started
[email protected]:8080

只是闲着。中间没有登录

3小时后自动停止-

2016-11-28 21:11:27.567:INFO:oejs.Server:Graceful shutdown [email protected]:8080 2016-11-28 21:11:27.567:INFO:oejs.Server:Graceful shutdown o.e.j.w.WebAppContext
{/test,file:/mnt/tmp/tmp/jetty-0.0.0.0-8080-test.war-_test-any-/webapp/},/opt/jetty/webapps/test.war 2016-11-28 21:11:27.568:INFO:oejs.Server:Graceful shutdown o.e.j.w.WebAppContext
{/spdy,file:/mnt/tmp/tmp/jetty-0.0.0.0-8080-spdy.war-_spdy-any-/webapp/},/opt/jetty/webapps/spdy.war 2016-11-28 21:11:27.568:INFO:oejs.Server:Graceful shutdown o.e.j.s.h.ContextHandler
{/javadoc,file:/opt/jetty/javadoc/} 2016-11-28 21:11:28.589:INFO:oejsh.ContextHandler:stopped o.e.j.s.h.ContextHandler{/javadoc,file:/opt/jetty/javadoc/} 2016-11-28
21:11:28.601:INFO:oejsl.ELContextCleaner:javax.el.BeanELResolver purged 2016-11-28 21:11:28.601:INFO:oejsh.ContextHandler:stopped o.e.j.w.WebAppContext{/spdy,file:/mnt/tmp/tmp/jetty-0.0.0.0-8080-
spdy.war-_spdy-any-/webapp/},/opt/jetty/webapps/spdy.war 2016-11-28 21:11:28.664:INFO:oejsl.ELContextCleaner:javax.el.BeanELResolver purged 2016-11-28 21:11:28.665:INFO:oejsh.ContextHandler:stopped
o.e.j.w.WebAppContext{/test,file:/mnt/tmp/tmp/jetty-0.0.0.0-8080-test.war-_test-any-/webapp/},/opt/jetty/webapps/test.war

Jetty 服务器在 localhost:8080 上运行，并在我通过 curl（putty）发出请求时成功响应：

curl -H "Content-Type: application/json" -X POST -d '{"message":"Hi"}' http://localhost:8080

我有以下nginx.conf配置：

server{
        listen 80;
        server_name 52.27.79.132;
        root /data/www;
        index index.html

        # static files: .png, .css, .js...
        location /static/ {
           root /data/www;
        }

        location ^~/api/*{
            proxy_pass        http://localhost:8080;
            proxy_set_header  X-Real-IP $remote_addr;
            proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header  Host $http_host;
        }

    }

# include /etc/nginx/sites-enabled/*;

当码头服务器收到对“/”的请求时，Java servlet 运行

浏览器成功返回 index.html 页面，但是当 javascript 向“ http://52.27.79.132/api/ ”发出 AJAX 请求时出现 404 错误

有谁知道为什么？

我在 Windows Server 2012 R2 下使用 apache Archiva v. 2.2.0。使用 Java 版本 1.8.0_60 一切正常。更新到 1.8.0_101_b13 后，我在访问档案 url: HTTP ERROR: 503 时收到一条错误消息。访问 / 时出现问题。原因：服务不可用，由 Jetty:// 提供支持。

Apache Archiva 服务正在运行。不生成错误日志。重新启动甚至重新安装服务都没有影响。

谢谢你的任何提示。

我们有一个稍微复杂的 IDAM 设置：

即最终用户的机器和浏览器与父 AD 位于一个网络中，而我们基于 Jetty 的应用程序和它可以与之对话的 AD（本地 AD）位于另一个网络中。

两个 AD 之间存在双向信任。父网络中的浏览器在受信任站点中具有本地域。

Jetty 服务器的设置如下：

• 它使用针对本地 AD 中的主体生成的 keytab 文件
• 它在本地 AD 中定义的用户下作为 Windows 服务运行
• 域、域-域映射和 kdc 是针对本地 AD 的域定义的
• 它使用 spnego - isInitiator 设置为 false；doNotPrompt 为真；storeKey 为真

问题是：

• 作为测试，从本地网络内的浏览器访问服务器（即链接到本地​​ AD）有效- Kerberos 调试信息出现在日志中，我可以在 HTTP 流量中看到正确的 Kerberos 协商，并且用户自动登录. 杰出的。

• 但是，从父网络中的浏览器访问服务器（这是我们的用户将如何做的事情）不起作用！浏览器返回 401 unauth，但随后提示输入凭据，输入时会出现空白屏幕。然后单击地址栏并按 Enter 会执行以下两项操作之一，具体取决于凭据是用于远程 AD 还是本地 AD：

  • 本地 AD 凭据然后登录正常，在日志中从头开始使用 Kerberos（GET 请求、401 unauth 响应、Kerberos 标头请求等）
  • 远程 AD 凭据未登录（GET 请求，401 unauth 响应，看起来像 NTLM 标头Authorization: Negotiate <60 or so random chars>：）

无论哪种方式，它提示的事实都是错误的！

这些症状有解释吗？我们的设置可以做我们想要的吗？

至于上面的描述可能是错误的：我提到的关于 Jetty 服务器的任何配置都应该是准确的，就像我所做的那样。我很乐意提供更多细节。任何关于 AD 或父网络浏览器的配置都可能是可疑的，因为它不在我的控制之下，而且我已经向我报告了配置，而不是亲自看到它。

我有一个带有 CentOS7 的 VPS，httpd + php 在 80 端口上运行，让我们说domainOne.tld.

所有的网络文件都在/var/www/html.

现在我需要在另一个域的码头上运行一个 java 应用程序，比如说domainTwo.tld.

如果我只是安装码头，它将在 8080 端口上，而 httpd 在 80 上。我猜它们应该可以正常工作，但是是否可以在domainTwo.tld无法访问码头时附加到码头的 8080 端口domainOne.tld:8080？

在CentOS 7 Linux 上，我已成功遵循为 FastCGI 配置 Jetty的指南。

但是$JETTY_BASE/webapps/jetty-wordpress.xml，该指南中的文件提供了位于以下位置的单个Wordpress 安装/var/www/wordpress：

<New id="root" class="java.lang.String">
    <Arg>/var/www/wordpress</Arg>
</New>

<Set name="contextPath">/</Set>
<Set name="resourceBase"><Ref refid="root" /></Set>
<Set name="welcomeFiles">
    <Array type="string"><Item>index.php</Item></Array>
</Set>

虽然我有几个虚拟主机，每个虚拟主机都安装了 Wordpress：

• /var/www/wordpress1 (www.site1.com)
• /var/www/wordpress2 (www.site2.com)
• /var/www/wordpress3 (www.site3.com)

到目前为止，我一直在使用 Apache httpd.conf（使用 localhost 作为 IP 地址，因为 Apache/Jetty 在 HAProxy 后面）：

<VirtualHost 127.0.0.1:8080>
    DocumentRoot /var/www/wordpress1
    ServerName site1.com
    ServerAlias *.site1.com
</VirtualHost>

<VirtualHost 127.0.0.1:8080>
    DocumentRoot /var/www/wordpress2
    ServerName site2.com
    ServerAlias *.site2.com
</VirtualHost>

<VirtualHost 127.0.0.1:8080>
    DocumentRoot /var/www/wordpress1
    ServerName site3.com
    ServerAlias *.site3.com
</VirtualHost>

如何将上述 Apache-config 转换为 Jetty IoC XML 格式？

在 CentOS 7 Linux（充当 LAMP - 而不是“防火墙/网关”）上，我创建了一个自定义 systemd 服务，用于在端口 8080 上以用户身份运行嵌入式 Jetty nobody：

[Unit]
Description=WebSocket Handler Service
After=network-online.target

[Service]
Type=simple
User=nobody
Group=nobody
ExecStart=/usr/bin/java -classpath '/usr/share/java/jetty/*' de.afarber.MyHandler 123.123.123.123:8080
ExecStop=/bin/kill ${MAINPID}
SuccessExitStatus=143

[Install]
WantedBy=multi-user.target

但是，我实际上需要服务器在端口 80 上进行侦听 - 这样即使通过公司防火墙，与它的 WebSocket 连接也能正常工作。

关于为非根用户设置端口 80 访问的 Jetty 文档建议运行以下命令：

# iptables -t nat -I PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

幸运的是，我已经iptables-services在我的专用服务器上使用了包，当前/etc/sysconfig/iptables文件包含：

*filter
:INPUT DROP
:FORWARD DROP
:OUTPUT ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp -m multiport --dports 25,80,443,8080 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 2/min --limit-burst 1 -j ACCEPT
COMMIT

我的问题是我不知道上述文件的正确 PREROUTING 语法。

我已经尝试运行上面的命令，然后iptables -S希望 iptables 会为我列出所需的行——但这并没有发生。

更新：

不幸的是，以下/etc/sysconfig/iptables文件不起作用：

*nat
:INPUT ACCEPT
:OUTPUT ACCEPT
:PREROUTING ACCEPT
:POSTROUTING ACCEPT
-A PREROUTING -p tcp -m tcp --dst 123.123.123.123 --dport 80 -j REDIRECT --to-ports 8080
COMMIT

*filter
:INPUT ACCEPT
:OUTPUT ACCEPT
:FORWARD ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A INPUT -p tcp -m tcp -m state --state NEW -m multiport --dports 25,80,443,8080 -j ACCEPT
-A INPUT -p tcp -m tcp -m state --state NEW --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 2/min --limit-burst 1 -j ACCEPT
-A FORWARD -p tcp -m tcp --dst 123.123.123.123 --dport 8080 -j ACCEPT
COMMIT

我需要将传入 123.123.123.123:80 的 HTTP 连接重定向到 123.123.123.123:8080 （Jetty 正在以用户“nobody”的身份监听），但由于某种原因，这不会发生。

当我浏览到http://123.123.123.123:8080时，我看到了 Jetty 响应。

但是当我浏览到http://123.123.123.123连接被拒绝。

有人可以帮我找出错误吗？

这是我当前的nat表：

# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
REDIRECT   tcp  --  anywhere             afarber.de           tcp dpt:http redir ports 8080

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

这是我当前的filter表：

# iptables -t filter -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere             icmp any
ACCEPT     tcp  --  anywhere             anywhere             tcp state NEW multiport dports smtp,http,https,webcache
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh flags:FIN,SYN,RST,ACK/SYN state NEW limit: avg 2/min burst 1

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             afarber.de           tcp dpt:webcache

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

这是我的/etc/sysctl.conf文件：

net.ipv4.ip_forward=1
net.ipv6.conf.all.disable_ipv6=1
net.ipv6.conf.default.disable_ipv6=1

问题：请求-d 123.123.123.123 --dport 80没有被重定向到8080

更新 2：

该行也无济于事：

-A PREROUTING -p tcp -m tcp -i eth0:1 --dst 123.123.123.123 --dport 80 -j DNAT --to-destination :8080

与的连接123.123.123.123:80仍然断开