防火墙内JVisualVM连接jstatd解决方案

小鱼儿 2022-04-11 08:54 252阅读 0赞

**jstatd**启动后会打开两个端口，其中一个端口可通过参数“**-p**”指定，如果不指定默认为**1099**，另一个是一个随机端口，不能参数指定：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">#&nbsp;netstat&nbsp;-lpnt|grep&nbsp;jstatd</p> <p style="margin-left:0pt;">tcp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;0.0.0.0:<strong>47260</strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0.0.0.0:*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LISTEN&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;4998/jstatd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</p> <p style="margin-left:0pt;">tcp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;0.0.0.0:<strong>1099</strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0.0.0.0:*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LISTEN&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;4998/jstatd&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

**47260**是一个随机端口，不方便穿透防火墙。这导致了一个问题，有防火墙时，JVisualVM将无法和jstatd正常通讯。看到的现象将如下：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">较详细:&nbsp;RMI&nbsp;TCP&nbsp;Connection(4063)-192.168.1.31:&nbsp;[192.168.1.31:&nbsp;sun.rmi.registry.RegistryImpl[0:0:0,&nbsp;0]:&nbsp;java.rmi.Remote&nbsp;lookup(java.lang.String)]</p> <p style="margin-left:0pt;">十二月&nbsp;05,&nbsp;2018&nbsp;7:15:45&nbsp;上午&nbsp;sun.rmi.server.UnicastServerRef&nbsp;logCall</p> <p style="margin-left:0pt;">较详细:&nbsp;RMI&nbsp;TCP&nbsp;Connection(4064)-192.168.1.31:&nbsp;[192.168.1.31:&nbsp;sun.rmi.registry.RegistryImpl[0:0:0,&nbsp;0]:&nbsp;java.rmi.Remote&nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

启动参数：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">jstatd&nbsp;-J-Djava.security.policy=/usr/local/jdk/bin/jstatd.policy&nbsp;-J-Djava.rmi.server.hostname=192.168.1.31&nbsp;-p&nbsp;1099</p> </td> 
  </tr> 
 </tbody> 
</table>

而正常的应当如下：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">Dec&nbsp;04,&nbsp;2018&nbsp;7:19:30&nbsp;PM&nbsp;sun.rmi.server.UnicastServerRef&nbsp;logCall</p> <p style="margin-left:0pt;">FINER:&nbsp;RMI&nbsp;TCP&nbsp;Connection(5)-192.168.1.37:&nbsp;[192.168.1.37:&nbsp;sun.tools.jstatd.RemoteVmImpl[-220b68dc:16778f1bf45:-7ff2,&nbsp;-324702369529557764]:&nbsp;public&nbsp;abstract&nbsp;byte[]&nbsp;sun.jvmstat.monitor.remote.RemoteVm.getBytes()&nbsp;throws&nbsp;java.rmi.RemoteException]</p> </td> 
  </tr> 
 </tbody> 
</table>

原因正是JVisualVM和jstatd的随机端口**47260**不通。

**解决方案一：gdb修改监听端口号**

操作步骤：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">#&nbsp;gdb&nbsp;/usr/local/jdk/bin/jstatd</p> <p style="margin-left:0pt;">(gdb)&nbsp;set&nbsp;args&nbsp;-J-Djava.security.policy=/usr/local/jdk/bin/jstatd.all.policy&nbsp;-J-Djava.rmi.server.hostname=192.168.31.98&nbsp;-J-Djava.net.preferIPv4Stack=true&nbsp;-J-Djava.rmi.server.logCalls=true&nbsp;-p&nbsp;8080</p> <p style="margin-left:0pt;">(gdb)&nbsp;b&nbsp;bind</p> <p style="margin-left:0pt;">(gdb)&nbsp;r</p> <p style="margin-left:0pt;">(gdb)&nbsp;bt</p> <p style="margin-left:0pt;">#0&nbsp;&nbsp;0x00007ffff74da040&nbsp;in&nbsp;bind&nbsp;()&nbsp;from&nbsp;/lib64/libc.so.6</p> <p style="margin-left:0pt;">#1&nbsp;&nbsp;0x00007fffd8eafc99&nbsp;in&nbsp;Java_java_net_PlainSocketImpl_socketBind&nbsp;()&nbsp;from&nbsp;/usr/local/jdk1.8.0_121/jre/lib/amd64/libnet.so</p> <p style="margin-left:0pt;">#2&nbsp;&nbsp;0x00007fffe1015834&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#3&nbsp;&nbsp;0x00007ffff60eb260&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#4&nbsp;&nbsp;0x00007fffe10155b9&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#5&nbsp;&nbsp;0x00007ffff0008000&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#6&nbsp;&nbsp;0x00007fffe1015582&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#7&nbsp;&nbsp;0x00007ffff60eb220&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#8&nbsp;&nbsp;0x00007fffdac2d250&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#9&nbsp;&nbsp;0x00007ffff60eb290&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#10&nbsp;0x00007fffdac33d28&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">#11&nbsp;0x0000000000000000&nbsp;in&nbsp;??&nbsp;()</p> <p style="margin-left:0pt;">(gdb)&nbsp;info&nbsp;<strong>reg</strong></p> <p style="margin-left:0pt;">rax&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0</p> <p style="margin-left:0pt;">rbx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff00081f8&nbsp;&nbsp;&nbsp;140737219953144</p> <p style="margin-left:0pt;">rcx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff7374f60&nbsp;&nbsp;&nbsp;140737340985184</p> <p style="margin-left:0pt;">rdx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;16</p> <p style="margin-left:0pt;">rsi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<strong>0x7ffff60eb1a0&nbsp;&nbsp;&nbsp;</strong>140737321546144</p> <p style="margin-left:0pt;">rdi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x11&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;17</p> <p style="margin-left:0pt;">rbp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff60eb1f0&nbsp;&nbsp;&nbsp;0x7ffff60eb1f0</p> <p style="margin-left:0pt;">rsp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff60eb188&nbsp;&nbsp;&nbsp;0x7ffff60eb188</p> <p style="margin-left:0pt;">r8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff0007730&nbsp;&nbsp;&nbsp;140737219950384</p> <p style="margin-left:0pt;">r9&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x719d2f148&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;30498025800</p> <p style="margin-left:0pt;">r10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff60ead50&nbsp;&nbsp;&nbsp;140737321545040</p> <p style="margin-left:0pt;">r11&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff74da040&nbsp;&nbsp;&nbsp;140737342447680</p> <p style="margin-left:0pt;">r12&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff60eb288&nbsp;&nbsp;&nbsp;140737321546376</p> <p style="margin-left:0pt;">r13&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0</p> <p style="margin-left:0pt;">r14&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff60eb290&nbsp;&nbsp;&nbsp;140737321546384</p> <p style="margin-left:0pt;">r15&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff60eb1a0&nbsp;&nbsp;&nbsp;140737321546144</p> <p style="margin-left:0pt;">rip&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x7ffff74da040&nbsp;&nbsp;&nbsp;0x7ffff74da040&nbsp;&lt;bind&gt;</p> <p style="margin-left:0pt;">eflags&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x206&nbsp;&nbsp;&nbsp;&nbsp;[&nbsp;PF&nbsp;IF&nbsp;]</p> <p style="margin-left:0pt;">cs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x33&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;51</p> <p style="margin-left:0pt;">ss&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x2b&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;43</p> <p style="margin-left:0pt;">ds&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0</p> <p style="margin-left:0pt;">es&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0</p> <p style="margin-left:0pt;">fs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0</p> <p style="margin-left:0pt;">gs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0x0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0</p> </td> 
  </tr> 
 </tbody> 
</table>

端口号是在调用系统函数bind时指定的，bind函数原型如下：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">int&nbsp;bind(int&nbsp;sockfd,&nbsp;const&nbsp;struct&nbsp;sockaddr&nbsp;*addr,&nbsp;socklen_t&nbsp;addrlen);</p> </td> 
  </tr> 
 </tbody> 
</table>

也就是第二个参数，sockaddr的结构为：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">struct&nbsp;sockaddr_in</p> <p style="margin-left:0pt;">{ </p> <p style="margin-left:0pt;">&nbsp;&nbsp;&nbsp;&nbsp;sa_family_t&nbsp;sin_family;</p> <p style="margin-left:0pt;">&nbsp;&nbsp;&nbsp;&nbsp;in_port_t&nbsp;sin_port;</p> <p style="margin-left:0pt;">&nbsp;&nbsp;&nbsp;&nbsp;struct&nbsp;in_addr&nbsp;sin_addr;</p> <p style="margin-left:0pt;">&nbsp;&nbsp;&nbsp;&nbsp;unsigned&nbsp;char&nbsp;sin_zero[X];</p> <p style="margin-left:0pt;">};</p> <p style="margin-left:0pt;">typedef&nbsp;unsigned&nbsp;short&nbsp;int&nbsp;sa_family_t;</p> <p style="margin-left:0pt;">typedef&nbsp;uint16_t&nbsp;in_port_t;</p> </td> 
  </tr> 
 </tbody> 
</table>

寄存器rsi保存了bind函数的第二个参数addr的地址0x7ffff60eb1a0（对应的十进制值为140737321546144），对于IPv4，sin\_family的值一般为AF\_INET(2)，可gdb确认（查看addr的头2个字节值）：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">(gdb)&nbsp;p&nbsp;*(unsigned&nbsp;short*)0x7ffff60eb1a0</p> <p style="margin-left:0pt;">$10&nbsp;=&nbsp;2</p> </td> 
  </tr> 
 </tbody> 
</table>

结果符合预期，再查看sin\_port的值：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">(gdb)&nbsp;p&nbsp;*(unsigned&nbsp;short*)(0x7ffff60eb1a0+2)</p> <p style="margin-left:0pt;">$11&nbsp;=&nbsp;0</p> </td> 
  </tr> 
 </tbody> 
</table>

值为0，表示随机端口，这正是需要修改的地方，将它改成十进制值443：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">(gdb)&nbsp;set&nbsp;*(unsigned&nbsp;short*)(0x7ffff60eb1a0+2)=443</p> <p style="margin-left:0pt;">(gdb)&nbsp;p&nbsp;*(unsigned&nbsp;short*)(0x7ffff60eb1a0+2)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</p> <p style="margin-left:0pt;">$12&nbsp;=&nbsp;443</p> </td> 
  </tr> 
 </tbody> 
</table>

注意jstat即会绑定IPv4(AF\_INET)地址，还会绑PF\_NETLINK(16)，而第一次bind时的端口正是随机端口，因此只需要修改这一处。

传递给bind的端口号需为网络字节序值，即大端值，所以不能简单的修改为十进制443，443的十六进制值为0x01BB，这个为小端值，对应的大端值为0xBB01。

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">(gdb)&nbsp;set&nbsp;*(unsigned&nbsp;short*)(0x7ffff60eb1a0+2)=0xBB01</p> <p style="margin-left:0pt;">(gdb)&nbsp;d</p> <p style="margin-left:0pt;">(gdb)&nbsp;c</p> <p style="margin-left:0pt;">Continuing.</p> </td> 
  </tr> 
 </tbody> 
</table>

会遇到几个SIGSEGV，均不用管，继续执行即可进入正常工作状态：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">Program&nbsp;received&nbsp;signal&nbsp;SIGSEGV,&nbsp;Segmentation&nbsp;fault.</p> <p style="margin-left:0pt;">[Switching&nbsp;to&nbsp;Thread&nbsp;0x7fffd9536700&nbsp;(LWP&nbsp;28085)]</p> </td> 
  </tr> 
 </tbody> 
</table>

可以看到jstatd工作在期望的端口上：

至此JVisualVM已能够正常连接jstatd了。可考虑使用gdb脚本自动修改端口，这样就可广泛部署并且零门槛。

**解决方案二：端口转发方式**

不需要懂gdb操作，在jstatd安装反向代理，如rinetd或直接使用sshd或iptables做端口转发也可以。在JVisualVM也安装正向代理，如Proxifier等，数据路径如下：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;">JVisualVM&nbsp;&lt;-&gt;&nbsp;Proxifier&nbsp;&lt;-&gt;&nbsp;rinetd&nbsp;&lt;-&gt;&nbsp;jstatd</p> </td> 
  </tr> 
 </tbody> 
</table>

网上搜索相关的资料即可。

**解决方案三：使用增强型****ejstatd**

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;"><a href="https://github.com/anthony-o/ejstatd" rel="nofollow">https://github.com/anthony-o/ejstatd</a></p> </td> 
  </tr> 
 </tbody> 
</table>

编译需要访问internet，执行“mvn package”编译（一些环境可能需要配置maven的proxy才能访问internet）。也可直接下载编译好的ejstatd：

<table style="width:426.1pt;"> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;width:426.1pt;"> <p style="margin-left:0pt;"><a href="https://download.csdn.net/download/aquester/10829579" rel="nofollow">https://download.csdn.net/download/aquester/10829579</a></p> </td> 
  </tr> 
 </tbody> 
</table>