将Tomcat服务器部署到公网,意味着让互联网上的任何用户都可以访问您在Tomcat上运行的Web应用，这不仅是将个人项目分享给世界的窗口，也是企业级应用提供服务的基础，这个过程并非一键完成，它涉及网络配置、安全防护等多方面知识，本文将系统性地介绍将Tomcat服务器接入公网的几种主流方法、关键配置步骤以及必须注意的安全事项。
理解核心障碍：网络地址转换（NAT）
在深入探讨具体方案前,我们必须先理解为什么处于家庭或办公室内网的Tomcat服务器无法直接被外网访问，这背后的核心原因是网络地址转换（NAT）。
绝大多数个人或小型办公网络都通过一个路由器连接到互联网,互联网服务提供商（ISP）会分配一个公网IP地址给这个路由器，而路由器内部的每一台设备（如您的电脑、手机）则被分配私有IP地址（如192.168.x.x或10.x.x.x），当您在内网访问外网时，路由器会记录下这次请求，并在返回数据时，准确地将数据转发给发起请求的内部设备，这个过程对用户是透明的，如果外网用户主动尝试连接您的私有IP，路由器并不知道该将这个请求发给谁，因此默认会直接丢弃，我们所有将Tomcat暴露到公网的操作，本质上都是在解决这个NAT穿透问题。
主流解决方案对比
针对NAT穿透,有三种主流且各具特点的解决方案，适用于不同的场景和需求，下表对它们进行了清晰的对比：
| 方法 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 端口转发 | 成本低（无需额外硬件）、连接稳定、数据不经过第三方 | 需要公网IP、配置路由器、依赖家庭网络带宽和稳定性 | 家庭或固定办公环境下的个人项目、临时演示 |
| 云服务器 | 稳定性极高、专业防护、带宽有保障、拥有独立公网IP | 需要持续付费、需要一定的Linux运维知识 | 生产环境、商业应用、需要高可用性的服务 |
| 内网穿透 | 无需公网IP、无需配置路由器、设置简单快捷 | 免费服务通常有速度和流量限制、数据经过第三方服务器、稳定性相对较差 | 快速开发测试、向客户展示Demo、个人学习 |
端口转发（最直接的方式）
这是最传统的方法,适用于您拥有一个公网IP地址的场景。
步骤详解：
-
确保拥有公网IP：通过访问
ipinfo.io或whatismyip.com等网站，查看您路由器的公网IP，登录路由器管理后台（通常是168.1.1或168.0.1），在WAN口设置中确认获取到的IP与网站查询的一致，如果一致，说明您拥有公网IP。 -
固定Tomcat服务器的内网IP：为了避免服务器重启后内网IP变化，需要为其设置静态IP，在Windows系统中，可以在网络适配器设置中手动配置IP地址、子网掩码、网关和DNS。
-
配置路由器端口转发：
- 登录路由器管理界面。
- 寻找“端口转发”、“虚拟服务器”或“NAT转发”等功能的页面。
- 添加一条新规则：
- 外部端口：这是公网用户访问的端口，建议使用一个非标准端口（如8080、8888）以避免被ISP封锁，如果可能，80端口是HTTP的默认端口，体验最佳。
- 内部IP地址：填写您为Tomcat服务器设置的静态内网IP（如192.168.1.100）。
- 内部端口：填写Tomcat实际运行的端口，默认为8080。
- 保存设置并重启路由器。
-
配置系统防火墙：确保运行Tomcat的服务器操作系统（Windows或Linux）防火墙允许了外部端口的入站连接。
完成以上步骤后,您就可以通过 http://[您的公网IP]:[外部端口] 来访问您的Tomcat应用了。
使用云服务器（最专业的方案）
如果您需要为应用提供稳定、可靠的服务，购买一台云服务器是最佳选择。
核心流程：
-
购买云服务器：选择一家云服务提供商（如阿里云、腾讯云、AWS、DigitalOcean等），根据需求配置CPU、内存和带宽，购买时会获得一个固定的公网IP地址。
-
配置安全组：这是云服务器的虚拟防火墙，您需要在安全组规则中添加一条入站规则，允许来自任何IP（0.0.0.0/0）的流量访问您的Tomcat端口（如8080）。
-
远程连接并部署：使用SSH工具（如PuTTY或Xshell）连接到您的云服务器，在服务器上安装Java环境，下载并解压Tomcat，然后将您的Web应用（WAR包）部署到
webapps目录下。 -
启动Tomcat：运行Tomcat的
startup.sh（Linux）或startup.bat（Windows）脚本。
通过云服务器的公网IP和端口号即可直接访问,无需任何NAT配置。
内网穿透（最便捷的捷径）
当您没有公网IP或不想折腾路由器时,内网穿透工具是理想选择，其原理是在您的内网机器和一台具有公网IP的服务器之间建立一个加密隧道。 **
-
选择内网穿透工具：常见的开源工具有frp、ngrok，也有一些商业化的服务如花生壳、Sunny-Ngrok等。
-
运行服务：通常分为两步，首先在内网机器上运行客户端程序，配置它连接到穿透服务商的服务器，并指定要转发的本地端口（Tomcat的8080端口）。
-
获取公网地址：客户端连接成功后，服务商会为您分配一个临时的公网域名或IP:端口组合，访问这个地址，流量就会被自动转发到您本地的Tomcat服务器。
此方法非常适合快速分享和演示,但不宜用于长期、高负载的生产环境。
安全是永恒的主题
将Tomcat暴露在公网意味着它将直接面对来自全球的潜在威胁,因此安全措施至关重要。
- 修改默认密码：立即修改Tomcat的
manager-gui和admin-gui等管理后台的弱密码，这是最基本的安全防线。 - 启用HTTPS：配置SSL/TLS证书，将HTTP升级为HTTPS，可以加密客户端与服务器之间的通信，防止数据被窃听，您可以通过为Java生成一个Keystore文件，并修改
server.xml中的Connector配置来启用。 - 保持更新：定期更新Tomcat版本和Java运行环境，及时修复已知的安全漏洞。
- 最小化权限：以非root用户（Linux）或普通用户（Windows）身份运行Tomcat服务，降低被攻击后的系统权限。
- 禁用不必要应用：在生产环境中，建议删除或严格限制访问Tomcat自带的
manager、host-manager等管理应用。
相关问答FAQs
Q1：我在家按照教程做了端口转发，但外网还是无法访问我的Tomcat，可能是什么原因？
A1：这是一个常见问题，排查步骤如下：
- 检查防火墙：首先确认您电脑的操作系统防火墙（Windows Defender防火墙或Linux的iptables/firewalld）是否已经放行了您设置的外部端口，这是最容易被忽略的一环。
- 确认公网IP类型：部分ISP（特别是移动网络）分配给用户的可能是大内网IP（如100.x.x.x），这种IP本身就不具备公网访问能力，端口转发无效。
- ISP封锁端口：一些运营商会封锁常用的80、8080等端口，以防止用户搭建服务器，您可以尝试更换一个不常用的端口（如8888、9000）再进行转发。
- 路由器功能问题：极少数老旧路由器的端口转发功能可能存在bug，可以尝试重启路由器或查阅其官方文档。
Q2：将Tomcat服务器暴露在公网有哪些主要的安全风险？
A2：主要风险包括：
- 未授权访问：如果Tomcat的管理后台（如Manager App）使用弱密码或默认密码，攻击者可以轻易登录并部署恶意WAR包，从而控制整个服务器。
- 漏洞利用：过时的Tomcat或Java版本可能存在远程代码执行等高危漏洞，攻击者可利用这些漏洞直接获取服务器权限。
- 拒绝服务攻击：您的服务器可能会成为DDoS攻击的目标，大量恶意请求会耗尽服务器资源，导致正常用户无法访问。
- 数据泄露：如果您的Web应用处理敏感数据且未使用HTTPS加密，数据在传输过程中可能被中间人窃取，启用HTTPS、保持软件更新、强化访问控制是保障公网服务安全的基石。