Technical Tutorials

در فضای مدرن میکروسرویس‌ها و برنامه‌های سازمانی، انتخاب پشته سرور وب مناسب برای مقیاس‌پذیری، امنیت و عملکرد حیاتی است. اگرچه آپاچی تومکت استاندارد پیش‌فرض برای ارائه برنامه‌های مبتنی بر جاوا (WAR) است، استقرار مستقیم آن در اینترنت عمومی معمولاً یک اصل خوب محسوب نمی‌شود. در عوض، معماری مستحکم معمولاً شامل یک سرور وب HTTP در لایه جلو—مانند Apache HTTP Server، Nginx یا HAProxy—است که به عنوان یک پروکسی معکوس و دروازه امنیتی عمل می‌کند و ترافیک را قبل از رسیدن به نمونه تومکت مدیریت می‌نماید. این مقاله به بررسی نحوه پیکربندی این هم‌افزایی برای دستیابی به حداکثر کارایی و امنیت می‌پردازد.

الگوی پروکسی معکوس: امنیت و تعادل بار

قرار دادن یک سرور HTTP در جلوی تومکت، چندین لایه انتزاع را فراهم می‌کند. این سرور وظیفه کش کردن محتوای استاتیک، پایان دادن به اتصالات SSL/TLS برای کاهش بار محاسباتی رمزنگاری از روی سرور برنامه، و محافظت از بک‌اند در برابر دسترسی مستقیم را بر عهده دارد. روش استاندارد صنعتی برای اتصال Apache HTTP Server به تومکت از طریق ماژول‌های mod_proxy_ajp یا mod_proxy_http است. پروتکل AJP (Apache JServer Protocol) اغلب به دلیل کارایی باینری بالاتر نسبت به HTTP ترجیح داده می‌شود، اگرچه پشتیبانی از HTTP/2 با استفاده از mod_proxy_http نیز به طور فزاینده‌ای امکان‌پذیر شده است.

در زیر یک قطعه کد پیکربندی برای httpd.conf آورده شده است که یک پروکسی معکوس به یک نمونه محلی تومکت را که روی پورت پیش‌فرض AJP (8009) در حال اجراست، راه‌اندازی می‌کند:

<VirtualHost *:80>
    ServerName app.example.com

    # فعال‌سازی ماژول‌های پروکسی
    ProxyRequests Off
    ProxyPreserveHost On

    # پروکسی AJP به تومکت
    <Proxy >
        Order deny,allow
        Allow from all
    </Proxy>

    ProxyPass / ajp://localhost:8009/
    ProxyPassReverse / ajp://localhost:8009/
</VirtualHost>

<VirtualHost *:443>
    ServerName app.example.com
    # پیکربندی SSL در اینجا قرار می‌گیرد
    ProxyPass / ajp://localhost:8009/
    ProxyPassReverse / ajp://localhost:8009/
</VirtualHost>

پایان‌دهی SSL/TLS و هاست‌های مجازی

لایه امنیتی سوکت‌ها (SSL) و امنیت لایه انتقال (TLS) برای برنامه‌های وب مدرین غیرقابل مذاکره هستند. بسیار کارآمدتر است که پایان دادن به TLS در لایه سرور HTTP انجام شود، نه در داخل تومکت. این امر به شما امکان می‌دهد از مجموعه‌های رمزنگاری و پروتکل‌های مدرن (مانند TLS 1.3) بدون نیاز به باز-compiling یا راه‌اندازی مجدد سرور برنامه جاوا استفاده کنید. علاوه بر این، هاست‌های مجازی به شما امکان می‌دهند تا چندین برنامه متمایز را از یک آدرس IP واحد ارائه دهید و ترافیک را بر اساس هدر Host مسیریابی نمایید.

هنگام پیکربندی هاست‌های مجازی، اطمینان حاصل کنید که ProxyPreserveHost On فعال باشد. این اطمینان حاصل می‌کند که نام میزبان اصلی درخواست شده توسط مشتری به سرور تومکت بک‌اند ارسال می‌شود که برای برنامه‌هایی که URLهای مطلق تولید می‌کنند یا سیاست‌های CORS را بر اساس دامنه مبدأ مدیریت می‌کنند، حیاتی است.

بهینه‌سازی عملکرد: گروه‌های رشته‌ای و محدودیت‌های اتصال

پس از ایجاد زیرساخت معماری، تنظیمات دقیق ضروری می‌شود. عملکرد تومکت عمدتاً توسط پیکربندی کانکتور آن در server.xml تعیین می‌شود. پارامترهای acceptCount، maxThreads و minSpareThreads تعیین می‌کنند که سرور چگونه با اتصالات ورودی برخورد می‌کند.

برای برنامه‌های جاوای با ترافیک بالا، دستورالعمل‌های بهینه‌سازی زیر را در نظر بگیرید:

حداکثر رشته‌ها (Max Threads): این مقدار را بر اساس هسته‌های CPU و حافظه در دسترس افزایش دهید. یک قاعده سرانشتی کلی هسته‌های CPU * 2 تا هسته‌های CPU * 3 برای وظایف محدود به I/O است، اما این موضوع به منطق برنامه بستگی دارد.
Keep-Alive: اطمینان حاصل کنید که keep-alive هم در سرور HTTP و هم در کانکتور تومکت فعال باشد تا سربار ایجاد اتصالات TCP جدید برای هر درخواست کاهش یابد.
اندازه بافرها: bufferSize را در کانکتور تنظیم کنید تا با اندازه‌های معمول payload شما مطابقت داشته باشد و تعداد تخصیص‌های بافر را کاهش دهد.

در نهایت، فراموش نکنید که استفاده از حافظه JVM و گزارش‌های Garbage Collection را نظارت کنید. حتی با بهینه‌ترین پیکربندی سرور، خطای Out-of-memory یا توقف‌های مکرر Full GC می‌تواند کل پشته شما را دچار گلوگاه کند. ابزارهایی مانند JVisualVM، Prometheus و Grafana برای تجسم این معیارها به صورت زمان واقعی بی‌نظیر هستند.

نتیجه‌گیری

ترکیب Apache HTTP Server با تومکت، محیطی مقاوم، امن و با عملکرد بالا برای برنامه‌های جاوا ایجاد می‌کند. با واگذاری پایان‌دهی SSL، مدیریت دارایی‌های استاتیک و پروکسی کارآمد درخواست‌های پویا از طریق AJP یا HTTP/2، نگرانی‌های زیرساخت خود را از منطق کسب‌وکار جدا می‌کنید. با تنظیم دقیق گروه‌های رشته‌ای و محدودیت‌های اتصال، این پشته می‌تواند میلیون‌ها درخواست را با حفظ تأخیر کم و در دسترس‌پذیری بالا پردازش کند.