Tomcat에서 JNDI를 설정하는 방법을 알아보도록 하겠습니다. 

 

수정할 파일은 2개 입니다.

context.xml server.xml

 

context.xml

<WatchedResource>WEB-INF/web.xml</WatchedResource>
<ResourceLink global="jdbc/gcimjndi" name="jdbc/gcimjndi" type="javax.sql.DataSource"/>

 

server.xml

<Context docBase="system" path="/" reloadable="true" source="org.eclipse.jst.jee.server:system">
	<Resource auth="Container" 
			defaultAutoCommit="false" 
			driverClassName="oracle.jdbc.driver.OracleDriver" 
			factory="<암호화 모듈 사용시 패키지 경로>"
			initialSize="1" maxActive="2" 
			maxWait="10000" minIdle="2" 
			name="<jndi_name>" 
			url="<db_url_info>" 
			username="<db_account_info>" 
			password="<db_account_password_info>" 
			type="javax.sql.DataSource" 
			validationQuery="select 1 from dual" />
</Context>

설정파일을 위와같이 수정 한 후 

name="<jndi_name>" 에 설정한 이름으로 JNDI를 연결하여 사용할 수 있다. 

 

Spring Framework를 사용하는 경우 context-datasource.xml 이나 db 접속을 위한 내용이 있는 부분을 수정해서 적용할 수 있다.

 

context-datasource.xml

    <bean id="dataSource" class="org.springframework.jndi.JndiObjectFactoryBean">
        <property name="jndiName" value="<jndi 이름>"/>
        <property name="resourceRef" value="true"/>
    </bean>

web.xml 

	<resource-ref>
		<res-ref-name>[jndi이름]</res-ref-name>
		<res-type>javax.sql.DataSource</res-type>
		<res-auth>Container</res-auth>
	</resource-ref>

사이트 접속시 www.testurl.com/a%5c.jsp  등의 경로로 테스트를 진행할 경우 400 bad request 를 만나게 된다.

 

web.xml에서 에러페이지를 아무리 설정해도 에러페이지로 이동하지 않고 브라우저 오류 페이지로 이동한다.

 

tomcat에서 보안상의 사유로 특정 특수문자에 대해서 파싱을 시도하는 중 파싱 오류가 나는 현상으로 

아래와 같은 방법으로 해결 가능하다.

 

catalina.properties 파일을 수정한다. (없으면 추가한다.)

org.apache.catalina.connector. CoyoteAdapter.ALLOW_BACKSLASH=true

 

본 솔루션은 tomcat 7.0.1xx / 7.0.4x 에서 테스트 되었다. (이전버전은 안될 수도 있다. )

시놀로지(XPEnology) DSM 6.0 이후 부터는 ROOT 계정 사용이 막혀있습니다

 

WinSCP프로그램으로 ROOT(Administrator Group) 계정으로 로그인 하면 "선택한 쉘이 프로그램과 호환되지 않습니다"

메세지를 만나게 됩니다. 

 

 

etc/sudoers 파일을 수정해야 정상적으로 로그인 이 가능합니다.

 

해당파일을 내려받거나 vi editor로 수정하여 아래 설정을 변경해주어야 합니다

 

#<변경전>
# Allow members of group administrators to execute any command
%administrators ALL=(ALL) ALL 

 

#<변경후>
# Allow members of group administrators to execute any command
%administrators ALL=(ALL) NOPASSWD: ALL

※ 주의하실 점은 해당파일을 백업 받아놓으시길 바랍니다. (혹시 모르니까요)

'Server' 카테고리의 다른 글

[Tomcat] JNDI 설정  (0) 2022.12.28
[TOMCAT] url parse 오류로 인한 400 Error  (0) 2022.08.10
[Tomcat] get방식 파라메터 '|' (파이프) 오류  (0) 2020.07.15
[Tomcat] 톰켓 기초 설정 가이드  (1) 2018.04.12
robots.txt 설정  (0) 2018.01.08

방법을 설명하기에 앞서 가장먼저 말씀드리자면 Apache Tomcat 8.0.30에서는 작동하지만 Tomcat 8.5에서는 작동하지 않습니다. 아마도 아래와 같은 에러로그를 만날 수 있을 겁니다.

Java.lang.IllegalArgumentException: Invalid character found in the request target. The valid characters are defined in RFC 7230 and RFC 3986
	at org.Apache.coyote.http11.Http11InputBuffer.parseRequestLine(Http11InputBuffer.Java:467)
	at org.Apache.coyote.http11.Http11Processor.service(Http11Processor.Java:667)
	at org.Apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.Java:66)
    ......
    ....
    ...
    ..
    .
    

 

8.5버전 이전까지는 아래의 매개 변수를 이용하여 사용할 수 없는 파라메터에 대해서 정의할 수 있었습니다.

Tomcat.util.http.parser.HttpParser.requestTargetAllow 

 

8.5버전 부터는 해당 매개변수를 지원하지 않아 Sever.xml의 Connector 설정에서 별도의 파라메터인 relaxedQueryChars를 통해 설정 할 수 있습니다. 

<작성예시>
<Connector port="80" 
           protocol="HTTP/1.1"
           maxThreads="150"
           connectionTimeout="20000"
           redirectPort="443"
           compression="on"
           compressionMinSize="2048"
           noCompressionUserAgents="gozilla, traviata"
           compressableMimeType="text/html,text/xml"
           
           relaxedQueryChars="[,]"
/>

응용 프로그램에 기본적으로 Tomcat에서 지원하지 않는 특수 문자가 더 필요한 경우 relaxedQueryChars 속성에 해당 특수 문자를 쉼표로 구분하여 추가 할 수 있습니다.

 

 

마치며...

파이프 기호는 시간이 지남에 따라 브라우저마다 다르게 처리 된 기호입니다. 예를 들어, Chrome 및 Firefox는 복사/붙여 넣기시 파이프가있는 URL을 다르게 변환합니다.  따라서 파이프기호는 사용을 지양하는것이 오류를 줄일 수 있고 우리가 시간을 절약할 수 있는 길입니다.

우선 Tomcat 의 경우 실행할때에 옵션을 줄수있습니다.

다만 이 옵션이 Tomcat 을 실행할때 다른 프로세스와 다르게 CATALINA_OPTS 라는 변수로 추가를 해줘야 합니다.

방법은 정해져 있지 않습니다. Tomcat 설치 디렉토리의 bin 폴더 밑에 catalina.sh 에

추가해주거나 접속한 계정의 홈 디렉토리에 있는 .bash_profile 이나 /etc/profile 에 추가해줘도 전혀 문제 없습니다.

(Tomcat 실행시 CATALINA_OPTS 라는 변수를 참고해서 실행하기에 그렇습니다.)

 

우선 Tomcat 의 CATALINA 옵션에 대해 알아보겠습니다.

- server : Server HotSpot JVM을 사용하는 옵션입니다. Server HotSpot JVM은 Desktop용 Appkication을
구동하는데 유리하고, 최적화(Optimization)에 필요한 모든 과정을 최대한으로 수행합니다.
Application의 시작시간은 느리지만, 일정 시간이 흐르면 Client HotSpot JVM에 
비해 훨씬 뛰어난 성능을 보장합니다.  
※ Jdk 1.5부터는 Server-Class머신인 경우에는 -server 옵션이 기본값이며,
 Server-Class머신이란 2장 이상의 CPU와 2G이상의 메모리를 갖춘 머신을 의미합니다.  
 
 - Xms  : Java Heap의 최소 크기값을 지정하는 부분입니다. 
          Java Heap Size는 -Xms 옵션으로 지정한 크기로 시작하며 최대 -Xmx옵션으로 지정한 크기만큼 
          증가합니다.  
 
 - Xmx  : Java Heap의 최대 크기값을 지정하는 부분입니다. -Xms 옵션으로 지정한 크기로 시작하며 
          최대 -Xmx옵션으로 지정한 크기만큼  증가합니다.   
          ※ Sun HotSpt JVM 계열에서는 최초 크기와 최대 크기를 동일하게 부여할 것을 권장하고 있으며, 
             크기의 동적인 변경에 의한 오버 헤들를 최소화하기 위해서입니다.  
- XX:NewSize=  : New Generation의 시작 크기를 지정값 입니다.  
- XX:MaxNewSize=  : New Generation의 최대 크기를 지정값 입니다.  
※ New Generation의 크기는 NewSize옵션값과 MaxNewSize옵션값에 의해 결정됩니다   

- XX:PermSize=  : Permanent Generation의 최초 크기를 지정하는 값입니다.   
- XX:MaxPermSize=  : Permanent Generation의 최대 크기를 지정하는 값입니다.  
※ 많은 수의 Class를 사용하는 Application들은 Permanent Generation의 크기가 
   작을 경우 Out of Memory Error가 발생하며 Class를 로딩하지 못하거나 사용중 
   다운되는 경우 때문에 초기 Permanent Generation의 값을 메모리에 여유가 있다면 
   넉넉하게 주는 것이 좋습니다.
- XX:NewRatio=  : New Generation과 Old Generation의 비율을 결정합니다.
- XX:SurvivorRatio=  : Survivor Space와 Eden Space의 비율을 지정하는 값입니다. 
                       만일 이 값이 6이면,  To Survivor Ratio:From Survivor Ratio:Eden Space = 1:1:6 이 됩니다.  
                       즉, 하나의 Survivor Space의 크기가 New Generation의 1⁄8 이 된다. Survivor Space의   
                       크기가 크면 Tenured Generation으로 옮겨가기 전의 중간 버퍼 영역이 커지는 게됩니다.    
                       따라서 Full GC의 빈도를 줄이는 역할을 할 수 있는 반면 Eden Space의 크기가 줄어들므로 
                       Mirror GC가 자주 발생하게 될 가능성이 있습니다.  
- XX:ReservedCodeCacheSize=  : Code Cache의 최대 사이즈의 크기(byte) 설정값 입니다.  
- XX:+DisableExplicitGC  : System.gc 호출에 의한 Explicit GC를 비활성화하며, RMI에 의한 
                           Explicit GC나   Applicaton에서의 Explicit GC를 원천적으로 
                           방지하고자 할 경우에 사용됩니다.  
- XX:+UseConcMarkSweepGC  : CMS Collector를 사용할 지의 여부를 지정하는 옵션이며, 
                            GC Pause에 의한 사용자  응답 시간 저하 현상을 줄이고자 할 경우에
                            사용이 권장됩니다.  
- XX:+AggressiveOpts  : 최신 HotSpot VM 성능을 최적화하는 옵션입니다.  
- Djava.net.preferIPv4Stack  : IPv4인식하기 위해 사용합니다.  
- Djava.awt.headless  : 비윈도우 환경에서 GUI 클래스를 사용할 수 있게 하는 옵션입니다.

해서.. 저의 경우 /etc/profile 에 JAVA_HOME 과 같이 CATALINA_OPTS 변수를 추가해서 아래의 처럼 사용 중입니다.

CATALINA_OPTS="-server -Xms2048M -Xmx2048M
-XX:PermSize=128M 
-XX:MaxPermSize=128M 
-Xnoclassgc -XX:NewSize=512M
-XX:MaxNewSize=1024M
-XX:+UseParNewGC 
-XX:ParallelGCThreads=4
-XX:+UseConcMarkSweepGC
-XX:CMSInitiatingOccupancyFraction=50
-XX:+PrintGCDetails
-XX:+PrintGCTimeStamps
-XX:+PrintHeapAtGC 
-XX:+AggressiveOpts 
-Djava.net.preferIPv4Stack=true 
-Djava.awt.headless=true"

※ 출처 : http://soul.tistory.com/63

 


 

 

 

Apache Tomcat Tuning Guide

 

이번에는 톰캣 서버에 대한 튜닝 옵션에 대해서 한번 알아보자.

애플리케이션 관점에서의 튜닝도 중요하지만, 각 솔루션에 대한 특성을 업무 시나리오에 맞춰서 튜닝하는 것도 못지 않게 중요하다. 여기서 톰캣 튜닝을 설명하는 것은 톰캣 자체에 대한 튜닝 옵션을 소개하는 것도 목적이 있지만, 그보다 업무형태에 따라서 어떠한 접근을 해서 톰캣을 튜닝하는지를 소개하기 위함이다.

 

가정

여기서 튜닝 하는 톰캣은 HTTP/JSON형태의 REST 형태로 서비스를 제공하는 API 서버의 형태이다. 여러대의 톰캣을 이용하여 REST 서비스를 제공하며, 앞단에는 L4 스위치를 둬서 부하를 분산하며, 서비스는 stateless 서비스로 공유되는 상태 정보가 없다. 

 

server.xml 튜닝

톰캣의 대부분 튜닝 패러미터는 ${Tomcat_HOME}/conf/server.xml 파일에 정의된다.

몇몇 parameter를 살펴보도록 하자.

 

Listener 설정

 <Listener className="org.apache.catalina.security.SecurityListener" checkedOsUsers="root" /> 

이 옵션은 tomcat이 기동할 때, root 사용자이면 기동을 하지 못하게 하는 옵션이다. 서버를 운영해본 사람이라면 종종 겪었을 실수중의 하나가application server를 root 권한으로 띄웠다가 다음번에 다시 실행하려고 하면 permission 에러가 나는 시나리오 이다. root 권한으로 서버가 실행되었기 때문에, 각종 config 파일이나 log 파일들의 permission이 모두 root로 바뀌어 버리기 때문에, 일반 계정으로 다시 재 기동하려고 시도하면, config 파일이나 log file들의 permission 이 바뀌어서 파일을 읽어나 쓰는데 실패하게 되고 결국 서버 기동이 불가능한 경우가 있다. 이 옵션은 이러한 실수를 막아 줄 수 있다.

 

Connector 설정

 

protocol="org.apache.coyote.http11.Http11Protocol"

먼저 protocol setting인데, Tomcat은 네트워크 통신하는 부분에 대해서 3가지 정도의 옵션을 제공한다. BIO,NIO,APR 3 가지이다. NIO는 Java의 NIO 라이브러리를 사용하는 모듈이고, APR은 Apache Web Server의 io module을 사용한다. 그래서 C라이브러리를 JNI 인터페이스를 통해서 로딩해서 사용하는데, 속도는 APR이 가장 빠른것으로 알려져 있지만, JNI를 사용하는 특성상, JNI 코드 쪽에서 문제가 생기면, 자바 프로세스 자체가 core dump를 내면서 죽어 버리기 때문에 안정성 측면에서는 BIO나 NIO보다 낮다. BIO는 일반적인 Java Socket IO 모듈을 사용하는데, 이론적으로 보면 APR > NIO > BIO 순으로 성능이 빠르지만, 실제 테스트 해보면 OS 설정이나 자바 버전에 따라서 차이가 있다. Default는 BIO이다.

 

acceptCount="10"

이 옵션은 request Queue의 길이를 정의한다. HTTP request가 들어왔을때, idle thread가 없으면 queue에서 idle thread가 생길때 까지 요청을 대기하는 queue의 길이이다. 보통 queue에 메세지가 쌓였다는 것은 해당 톰캣 인스턴스에 처리할 수 있는 쓰레드가 없다는 이야기이고, 모든 쓰레드를 사용해도 요청을 처리를 못한다는 것은 이미 장애 상태일 가능성이 높다.

그래서 큐의 길이를 길게 주는 것 보다는, 짧게 줘서, 요청을 처리할 수 없는 상황이면 빨리 에러 코드를 클라이언트에게 보내서 에러처리를 하도록 하는 것이 좋다. Queue의 길이가 길면, 대기 하는 시간이 길어지기 때문에 장애 상황에서도 계속 응답을 대기를 하다가 다른 장애로 전파 되는 경우가 있다.

순간적인 과부하 상황에 대비 하기 위해서 큐의 길이를 0 보다는 10내외 정도로 짧게 주는 것이 좋다.

 

enableLookups="false"

톰캣에서 실행되는 Servlet/JSP 코드 중에서 들어오는 http request에 대한 ip를 조회 하는 명령등이 있을 경우, 톰캣은 yahoo.com과 같은 DNS이름을 IP주소로 바뀌기 위해서 DNS 서버에 look up 요청을 보낸다. 이것이 http request 처리 중에 일어나는데, 다른 서버로 DNS 쿼리를 보낸다는 소리이다. 그만큼의 서버간의 round trip 시간이 발생하는데, 이 옵션을 false로 해놓으면 dns lookup 없이 그냥 dns 명을 리턴하기 때문에, round trip 발생을 막을 수 있다.

 

compression="off"

HTTP message body를 gzip 형태로 압축해서 리턴한다. 업무 시나리오가 이미지나 파일을 response 하는 경우에는  compression을 적용함으로써 네트워크 대역폭을 절약하는 효과가 있겠지만, 이 업무 시스템의 가정은, JSON 기반의 REST 통신이기 때문에, 굳이 compression을 사용할 필요가 없으며, compression에 사용되는 CPU를 차라리 비지니스 로직 처리에 사용하는 것이 더 효율적이다.

 

maxConnection="8192"

하나의 톰캣인스턴스가 유지할 수 있는 Connection의 수를 정의 한다.

이 때 주의해야 할 점은 이 수는 현재 연결되어 있는 실제 Connection의 수가 아니라 현재 사용중인 socket fd (file descriptor)의 수 이다. 무슨 말인가 하면 TCP Connection은 특성상 Connection 이 끊난 후에도 바로 socket이 close 되는 것이 아니라 FIN 신호를 보내고, TIME_WAIT 시간을 거쳐서 connection을 정리한다. 실제 톰캣 인스턴스가 100개의 Connection 으로 부터 들어오는 요청을 동시 처리할 수 있다하더라도, 요청을 처리하고 socket이 close 되면 TIME_WAIT에 머물러 있는 Connection 수가 많기 때문에, 단시간내에 많은 요청을 처리하게 되면 이TIME_WAIT가 사용하는 fd 수 때문에, maxConnection이 모자를 수 있다. 그래서 maxConnection은 넉넉하게 주는 것이 좋다.

이외에도 HTTP 1.1 Keep Alive를 사용하게 되면 요청을 처리 하지 않는 Connection도 계속 유지 되기 때문에, 요청 처리 수 보다, 실제 연결되어 있는 Connection 수가 높게 된다.

그리고, process당 열 수 있는 fd수는 ulimit -f 를 통해서 설정이 된다. maxConnection을 8192로 주더라도, ulimit -f에서 fd 수를 적게 해놓으면 소용이 없기 때문에 반드시 ulimit -f 로 최대 물리 Connection 수를 설정해놔야 한다.

 

maxKeepAliveRequest="1"

HTTP 1.1 Keep Alive Connection을 사용할 때, 최대 유지할 Connection 수를 결정하는 옵션이다. 본 시나리오에서는 REST 방식으로Connectionless 형태로 서비스를 진행할 예정이기 때문에, Kepp Alive를 사용하지 않기 위해서 값을 1로 준다.

만약에 KeepAlive를 사용할 예정이면, maxConnection과 같이 ulimit에서 fd수를 충분히 지정해줘야 하낟.

 

maxThread="100"

사실상 이 옵션이 가장 중요한 옵션이 아닌가 싶다. 톰캣내의 쓰레드 수를 결정 하는 옵션이다. 쓰레드수는 실제 Active User 수를 뜻한다. 즉 순간 처리 가능한 Transaction 수를 의미한다.

일반적으로 100 내외가 가장 적절하고, 트렌젝션의 무게에 따라 50~500 개 정도로 설정하는 게 일반적이다. 이 값은 성능 테스트를 통해서 튜닝을 하면서 조정해 나가는 것이 좋다.

 

tcpNoDelay="true"

TCP 프로토콜은 기본적으로 패킷을 보낼때 바로 보내지 않는다. 작은 패킷들을 모아서 버퍼 사이즈가 다 차면 모아서 보내는 로직을 사용한다. 그래서 버퍼가 4K라고 가정할때, 보내고자 하는 패킷이 1K이면 3K가 찰 때 까지 기다리기 때문에, 바로바로 전송이 되지 않고 대기가 발생한다.

tcpNoDelay 옵션을 사용하면, 버퍼가 차기전에라도 바로 전송이 되기 때문에, 전송 속도가 빨라진다. 반대로, 작은 패킷을 여러번 보내기 때문에 전체적인 네트워크 트래픽은 증가한다. (예전에야 대역폭이 낮아서 한꺼번에 보내는 방식이 선호되었지만 요즘은 망 속도가 워낙 좋아서tcpNoDelay를 사용해도 대역폭에 대한 문제가 그리 크지 않다.)

 

 

Tomcat Lib 세팅

다음으로 자바 애플리케이션에서 사용하는 라이브러리에 대한 메모리 사용률을 줄이는 방법인데, 일반적으로 배포를 할때 사용되는 라이브러리(jar)를 *.war 패키지 내의 WEB-INF/jar 디렉토리에 넣어서 배포 하는 것이 일반적이다. 보통 하나의 war를 하나의 톰캣에 배포할 때는 큰 문제가 없는데, 하나의 톰캣에 여러개의 war 파일을 동시 배포 하게 되면, 같은 라이브러리가 각각 다른 클래스 로더로 배포가 되기 때문에, 메모리 효율성이 떨어진다.

그래서 이런 경우는 ${TOMCAT_HOME}/lib 디렉토리에 배포를 하고 war 파일에서 빼면 모든 war가 공통 적으로 같은 라이브러리를 사용하기 때문에 메모리 사용이 효율적이고, 또한 시스템 운영 관점에서도 개발팀이 잘못된 jar 버전을 패키징해서 배포하였다 하더라도, lib 디렉토리의 라이브러리가 우선 적용되기 때문에, 관리가 편하다.

반대로 war의 경우, war만 운영중에 재배포를 하면 반영이 가능하지만, lib 디렉토리의 jar 파일들은 반드시 톰캣 인스턴스를 재기동해야 반영되기 때문에, 이 부분은 주의해야 한다.

 

JVM Tuning

Java Virtual Machine 튜닝은 java 기반 애플리케이션에서는 거의 필수 요소이다.

-server

제일 먼저 해야할일은 JVM 모드를 server 모드로 전환하는 것이다. JVM 내의 hotspot 컴파일러도 클라이언트 애플리케이션이나 서버 애플리케이션이냐 에 따라서 최적화 되는 방법이 다르다.

그리고 메모리 배치 역시 클라이언트 애플리케이션(MS 워드와같은)의 경우 버튼이나 메뉴는 한번 메모리에 로드 되면, 애플리케이션이 끝날 때 까지 메모리에 잔존하기 때문에 Old 영역이 커야 하지만, 서버의 경우 request를 받아서 처리하고 응답을 주고 빠져서 소멸되는 객체들이 대부분이기 때문에, New 영역이 커야 한다.

이런 서버나 클라이언트냐에 대한 최적화 옵션이 이 옵션 하나로 상당 부분 자동으로 적용되기 때문에, 반드시 적용하기를 바란다.

 

메모리 옵션

앞에서도 설명하였듯이 JVM 튜닝의 대부분의 메모리 튜닝이고 그중에서도 JVM 메모리 튜닝은 매우 중요하다. 결국 Full GC 시간을 줄이는 것이 관건인데, 큰 요구 사항만 없다면, 전체 Heap Size는 1G 정도가 적당하다. 그리고 New대 Old의 비율은 서버 애플리케이션의 경우 1:2 비율이 가장 적절하다. 그리고 PermSize는 class가 로딩되는 공간인데, 배포하고자 하는 애플리케이션이 아주 크지 않다면 128m 정도면 적당하다. (보통256m를 넘지 않는다. 256m가 넘는다면 몬가 애플린케이션 배포나 패키징에 문제가 있다고 봐야 한다.)

그리고 heap size는 JVM에서 자동으로 늘리거나 줄일 수 가 있다. 그래서 -Xms와 -Xmx로 최소,최대 heap size를 정할 수 있는데, Server 시스템의 경우 항상 최대 사용 메모리로 잡아 놓는 것이 좋다. 메모리가 늘어난다는 것은 부하가 늘어난다는 것이고, 부하가 늘어날때 메모리를 늘리는 작업 자체가 새로운 부하가 될 수 있기 때문에, 같은 값을 사용하는 것이 좋다.

이렇게 JVM 메모리를 튜닝하면 다음과 같은 옵션이 된다.

-Xmx1024m –Xms1024m -XX:MaxNewSize=384m -XX:MaxPermSize=128m

이렇게 하면 전체 메모리 사용량은 heap 1024m (이중에서 new가 384m) 그리고 perm이 128m 가 되고, JVM 자체가 사용하는 메모리가 보통300~500m 내외가 되서 java process가 사용하는 메모리 량은 대략 1024+128+300~500 = 대략 1.5G 정도가 된다.

 

32 bit JVM의 경우 process가 사용할 수 있는 공간은 4G가 되는데, 이중 2G는 시스템(OS)이 사용하고 2G가 사용자가 사용할 수 있다. 그래서 위의 설정을 사용하면 32bit JVM에서도 잘 동작한다.

64 bit JVM의 경우 더 큰 메모리 영역을 사용할 수 있는데, 일반적으로 2G를 안 넘는 것이 좋다.(최대 3G), 2G가 넘어서면 Full GC 시간이 많이 걸리기 시작하기 때문에, 그다지 권장하지 않는다. 시스템의 가용 메모리가 많다면 Heap을 넉넉히 잡는 것보다는 톰캣 인스턴스를 여러개 띄워서 클러스터링이나 로드밸런서로 묶는 방법을 권장한다.

 

OutOfMemory

자바 애플리케이션에서 주로 문제가 되는 것중 하나가 Out Of Memory 에러이다. JVM이 메모리를 자동으로 관리해줌에도 불구하고, 이런 문제가 발생하는 원인은 사용이 끝낸 객체를 release 하지 않는 경우이다. 예를 들어 static 변수를 통해서 대규모 array나 hashmap을 reference 하고 있으면, GC가 되지 않고 계속 메모리를 점유해서 결과적으로 Out Of Memory 에러를 만들어낸다.

Out Of Memory 에러를 추적하기 위해서는 그 순간의 메모리 레이아웃인 Heap Dump가 필요한데, 이 옵션을 적용해놓으면, Out Of Memory가 나올때, 순간적으로 Heap Dump를 떠서 파일로 저장해놓기 때문에, 장애 발생시 추적이 용이하다.

-XX:-HeapDumpOnOutOfMemoryError -XX:HeapDumpPath=./java_pid<pid>.hprof

 

GC 옵션

다음은 GC 옵션이다. Memory 옵션 만큼이나 중요한 옵션인데, Parallel GC + Concurrent GC는 요즘은 거의 공식처럼 사용된다고 보면 된다. 이때 Parallel GC에 대한 Thread 수를 정해야 하는데, 이 Thread수는 전체 CPU Core수 보다 적어야 하고, 2~4개 정도가 적당하다.

-XX:ParallelGCThreads=2 -XX:-UseConcMarkSweepGC

GC 로그 옵션

그리고 마지막으로 GC Log 옵션이다. 서버와 JVM이 건강한지 메모리상 문제는 없는지 GC 상황은 어떻게 디는지를 추적하려면 GC 로그는 되도록 자세하게 추출할 필요가 있다. GC로그를 상세하게 걸어도 성능 저하는 거의 없다.

-XX:-PrintGC -XX:-PrintGCDetails -XX:-PrintGCTimeStamps -XX:-TraceClassUnloading -XX:-TraceClassLoading

 

마지막에 적용된 TraceClassLoading은 클래스가 로딩되는 순간에 로그를 남겨준다. 일반적으로는 사용하지 않아도 되나, OutOfMemory 에러 발생시 Object가 아니라 class에서 발생하는 경우는 Heap dump로는 분석이 불가능 하기 때문에, Out Of Memory 에러시 같이 사용하면 좋다.

 

지금까지 간략하게 나마 톰켓 솔루션에 대한 튜닝 parameter 에 대해서 알아보았다. 사실 이러한 튜닝은 일반적인 개발자에게는 힘든 일이다. 해당 솔루션에 대한 많은 경험이 있어야 하기 때문에, 이런 parameter는 vendor의 기술 지원 엔지니어를 통해서 가이드를 받고, 성능 테스트 과정에서 최적화를 하고 표준화된 parameter를 정해서 사용하는 것이 좋다. Apache Tomcat의 경우에도 오픈소스이기는 하지만, Redhat등에서 기술 지원을 제공한다.

 

※ 출처 : http://bcho.tistory.com/788

 

-- 2016-11-24 추가 ------------------------------------------------------------------

 1) Permanent space: JVM 클래스와 메소드 개체를 위해 쓰인다. 
 2) Old object space: 오래된 개체들을 위해 쓰인다. 
 3) New(young) object space: 새로 생성된 개체들을 위해 쓰인다.



구글링은 안되게 막고 구글 광고는 표시하고 싶을때에 다음과 같이 설정하도록 합니다. 


<기존 : 모든 크롤링은 허용하지 않지만 구글봇에게는 허용합니다.>


User-agent:*

Disallow:/

User-agent: Googlebot

Allow:/



<변경 : 구글에서 검색은 안되지만 구글 광고는 가져다 쓸수 있음>

User-agent:*

Disallow:/

User-agent: Mediapartners-Google

Allow:/



참고 사이트

https://support.google.com/webmasters/answer/1061943?hi=ko


※ 참고 : Web Server를 이용하거나 L4 장비등을 이용하여 서비스를 하는경우가 아닌 Was를 이용한 단독 서비를 진행할 경우 SSL 인증서를 설치하는 케이스의 문서입니다. 


1. 준비사항

- 인증서 파일 : keystore 파일 혹은 *.jks 파일

- 인증서 파일의 패스워드 

- SSL 통신을 위한 방화벽 Open



2. 인증서 적용을 위한 설정파일 수정

- 인증서는 server.xml 파일을 수정하여 적용할 수 있습니다. 톰켓이 설치된 폴더의 conf/server.xml이 존재합니다. 


- Tomcat 6.x 이하 버전의 설정


1
2
3
4
5
6
7
8
9
10
<Connector port="443"
           protocol="HTTP/1.1" 
           SSLEnabled="true"
           maxThreds="150" 
           scheme="https" 
           secure="true" 
           clientAuth="false"
keystoreFile="/usr/local/tomcat/conf/domain.jks"
         keystorePass="password" 
           sslProtocol="TLS" 
/>
cs

 

- Tomcat 7.x 이상 버전의 설정 


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<Connector port="443" 
           protocol="HTTP/1.1" 
           SSLEnabled="true"
           maxThreds="150" 
           scheme="https" 
           secure="true" 
           clientAuth="false"
           keystoreFile="/usr/local/tomcat/conf/domain.jks" 
         keystorePass="password"
           sslEnabledProtocols="TLSv1.1,TLSv1.2"
           ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
                    ,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
                    ,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
                    ,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
                    ,TLS_RSA_WITH_AES_128_CBC_SHA256
                    ,TLS_RSA_WITH_AES_128_CBC_SHA
                    ,TLS_RSA_WITH_AES_256_CBC_SHA256
                    ,TLS_RSA_WITH_AES_256_CBC_SHA" 
/>
cs


- KeystoreFile은 인증서 파일의 경로 입니다. 

- KeystorePass는 인증서의  패스워드 입니다.

- ciphers는 보안 문자열로 별도 구글링을 이용하여 공부하시기 바랍니다. 

  위에 예제로 나와있는 보안 문자열은 국내에서 일반적으로 사용함에 있어 적당한 보안 문자열 입니다. 

  단 해외 사이트에 적용할 경우 보안검열 시 걸릴 수 있습니다. 


  참고 : 해외 결제사이트에서 사용한 사이퍼 슈트 - URL : http://cheezred.tistory.com/88


- SSL 기본포트는 443포트 입니다.

  SSL관련 Connector에 주석처리가 되어있는 경우, 주석을 해제해 주시기 바랍니다.

  Windows 서버의 경우에도 아래와 같이 인증서 파일의 경로를 입력하시면 됩니다.

  keystoreFile="C:\Tomcat\conf\domain.jks"


- Protocol의 경우, server.xml에 설정된 기본 Protocol을 사용하시면 되고,서비스가 정상 실행되지 않을 경우,    

  protocol="HTTP/1.1" 이나 protocol="org.apache.coyote.http11.Http11Protocol" 로 변경한 후

  서비스 재시작하시면 됩니다.


3. 적용 테스트

- SSL 포트 확인

[root@certkorea bin]# netstat -nap|grep 443

tcp     0     0:0:0:0:443     0:0:0:0:*     LISTEN     14321/httpd 


- 방화벽 확인

사용하고 있는 방화벽에서 SSL포트(기본 443)를 80포트와 동일한 조건으로 OPEN 해주시기 바랍니다.


- 적용 후 WAS를 재기동 하신 뒤 https://서버주소를 주소창에 입력하신 후 해당 페이지가 https로 페이지가 열리면 정상적으로 설치가 완료된 것 입니다. 



 4. 오류 발생 시

- java.lang.Exception: No Certificate file specified or invalid file format 오류

jks 파일을 JAVA에서 인식하지 못하는 것으로, 아래의 두 가지 방법 중 하나로 처리가 가능합니다.

1) .keystore 파일로 처리

발급된 domain.jks 파일을 Unix/Linux 서버의 root 폴더(/)나 Windows 서버의 Administrator 폴더(C:\Documents and Settings\Administrator) 폴더에 복사하신 후, 파일이름을 .keystore로 변경한 후 저장

2) p12 파일로 처리

pkcs12 형식의 파일로 인증서를 변환발급 받으신 후 server.xml 파일을 아래와 같이 설정하신후 적용하시면 됩니다.


1
2
3
4
5
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtoco" 
           SSLEnabled="true" maxThreds="150" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="/usr/local/tomcat/conf/domain.p12"
           keystoreType="pkcs12" keystorePass="password" />
cs

- java.lang.Exception: Connector attribute SSLCertificateFile must be defined when using SSL with APR 오류

APR로 SSL 설정을 해야하는 환경입니다.

SSLCertificateFile / SSLCertificateKeyFile / SSLCACertificateFile 항목으로 domain.crt / domain.key / chainca.crt 파일로 인증서를 설정해야 합니다.

1
2
3
4
5
6
7
<Connector port="443" protocol="HTTP/1.1" SSLEnabled="true"
           maxThreds="150" scheme="https" secure="true" clientAuth="false"
           SSLCertificateFile="/usr/local/tomcat/config/ssl/domain.crt"
           SSLCertificateKeyFile="/usr/local/tomcat/config/ssl/domain.key"
           SSLCACertificateFile="/usr/local/tomcat/config/ssl/chainca.crt"
           sslProtocol="TLS" 
/>
cs


'Server' 카테고리의 다른 글

[Tomcat] 톰켓 기초 설정 가이드  (1) 2018.04.12
robots.txt 설정  (0) 2018.01.08
Activate HTTPS on JBoss AS 7  (0) 2016.02.23
[Weblogic] Was 기동 시 User Name / Pass word 묻는 경우  (0) 2016.02.01
[Tomcat 7.x] server.xml ciphers 설정  (0) 2015.12.18



keytool -genkey -keystore filename.keystore -storepass mypassword -keypass mypassword -keyalg RSA -validity 180 -alias somealias -dname "cn=Name Surname,o=MyCompany,c=US"


The command will create a self-signed certificate, stored in the .keystore file.

Copy the .keystore file to JBOSS_AS_7_HOME/standalone/configuration

Open JBOSS_AS_7_HOME/standalone/configuration/standalone.xml

Look for the following element:

1
2
3
4
5
6
7
<subsystem xmlns="urn:jboss:domain:web:1.0" default-virtual-server="default-host">
    <connector name="http" protocol="HTTP/1.1" socket-binding="http" scheme="http"/>
    <virtual-server name="default-host" enable-welcome-root="true">
        <alias name="localhost"/>
        <alias name="example.com"/>
    </virtual-server>
</subsystem>

Change it to make it look like this:

1
2
3
4
5
6
7
8
9
10
<subsystem xmlns="urn:jboss:domain:web:1.0" default-virtual-server="default-host">
    <connector name="http" protocol="HTTP/1.1" socket-binding="http" scheme="http"/>
    <connector name="https" protocol="HTTP/1.1" socket-binding="https" scheme="https" secure="true">
        <ssl key-alias="somealias" password="mypassword" certificate-key-file="../standalone/configuration/filename.keystore" cipher-suite="ALL" protocol="TLS"/>
    </connector>
    <virtual-server name="default-host" enable-welcome-root="true">
        <alias name="localhost"/>
        <alias name="example.com"/>
    </virtual-server>
</subsystem>

Restart JBoss AS 7.

Notice the following lines in the console output/log:

17:45:21,689 INFO  [org.apache.coyote.http11.Http11Protocol] (MSC service thread 1-4) Starting Coyote HTTP/1.1 on http--127.0.0.1-8080
17:45:22,138 INFO  [org.apache.coyote.http11.Http11Protocol] (MSC service thread 1-3) Starting Coyote HTTP/1.1 on http--127.0.0.1-8443

HTTPS will be running on port 8443 by default.

To change the HTTPS port, look for the socket-binding-group element in standalone.xml


Fusion Middleware Managing Server Startup and Shutdown for Oracle WebLogic Server


현상 

- Oralce Weblogic 10.3.x (↑ version)에서 Was 기동 시 weblogic console의 접근 정보를 묻는 현상이 있다.

- boot.properties를 생성하여 넣어 주었는데도 같은 현상이 반복된다.

- [DOMAIN_HOME_DIR] 하위 경로에 boot.properties를 생성했으면에도 접근정보를 요청한다.



해결방법

- 해결방법에는 두가지 방법이 있다. 

1. 가장 단순한 방법 : [DOMAIN_HOME_DIR]/server/[SERVER_NAME]/security/ 의 경로에 boot.properties를 복사해 넣는다.

boot.propertis가 was 기동 시 더이상 자동으로 복사되어 해당경로에 생성되지 않기때문에 수동으로 미리 넣어줌으로서 해당 현상을 해결 할 수 있다.

단점은 서버를 신규를 생성할 때 마다 같은 작업을 계속 해주어야한다. 


2. Startup Script 수정 : Startup Script 중 java option에 아래와 같은 구문을 추가

-Dweblogic.system.BootIdentityFile=File name [ ex) [DOMAIN_HOME]/boot.properties]

마찬가지로 단점은 서버를 신규를 생성할 때 마다 같은 작업을 계속 해주어야한다. 


JAVA_OPTION=${JAVA_OPTION}${JAVA_PROPERTIES}-Dwlw.iterativeDev=........... 

-Dweblogic.system.BootIdentityFile=[DOMAIN_HOME]/boot.properties

또는

-Dweblogic.system.BootIdentityFile=${DOMAIN_HOME}/boot.properties


3. 모든서버에 적용 : Admin Server와 Managed Server까지 일괄 처리 할 수 있는 방법으로 2번의 작업 내용을 

[DOMAIN_HOME]/bin/setDomainEnv.cmd 또는 sh 파일에 추가해 준다.


-Dweblogic.system.BootIdentityFile=%DOMAIN_HOME}%\boot.properties 



기타

관련 레퍼런스


http://download.oracle.com/docs/cd/E15523_01/web.1111/e13708/overview.htm

server.xml ciphers 설정


<Connector SSLEnabled="true" 

              sslEnabledProtocols="TLSv1.1,TLSv1.2" ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA"

              clientAuth="false" 

              keystoreFile="[keystore path]" keystorePass="[keystore password]" 

              maxThreads="150" 

              port="443" 

              protocol="org.apache.coyote.http11.Http11Protocol" 

              scheme="https" 

              secure="true" />

+ Recent posts