Tomcat需在server.xml中通过address属性绑定指定内网IP（如192.168.209.121），Apache代理配置中ProxyPass必须指向该IP而非localhost；重启后用ss命令验证监听地址，并配合防火墙限制网卡入向流量，确保隔离有效。
Apache 本身不部署 Tomcat，而是通过反向代理或 AJP 协议与 Tomcat 协同工作。在多网卡环境中，“Apache 中 Tomcat 部署指定绑定具体 IP”实际包含两个独立但需协同的环节：一是 Tomcat 自身监听指定网卡 IP，二是 Apache 仅向该 IP 的 Tomcat 发起请求。两者都必须明确绑定，否则可能绕过隔离逻辑，导致内网服务意外暴露在公网。
Tomcat 端：强制监听特定网卡 IP
修改 $CATALINA_HOME/conf/server.xml 中的 <Connector> 标签，添加 address 属性指向目标网卡 IP（如内网 IP 192.168.209.121）：
<Connector port="8080" address="192.168.209.121" protocol="HTTP/1.1" ... />- 若使用 AJP 连接 Apache，同样要加：
<Connector port="8009" address="192.168.209.121" protocol="AJP/1.3" /> - 避免留空或写
0.0.0.0、localhost或127.0.0.1—— 这些会导致监听所有接口，失去网卡级隔离意义
Apache 端：只连指定 IP 的 Tomcat
在 Apache 的虚拟主机或代理配置中，ProxyPass 和 ProxyPassReverse 的后端地址必须写死为 Tomcat 绑定的那个 IP，不能用 localhost 或 127.0.0.1：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 正确：
ProxyPass / http://192.168.209.121:8080/ - 错误：
ProxyPass / http://localhost:8080/（若 Apache 和 Tomcat 同机，localhost 可能走回环，绕过网卡策略） - 若启用 AJP：
ProxyPass / ajp://192.168.209.121:8009/
系统层验证：确认监听行为真实生效
仅改配置不等于生效。重启 Tomcat 后，执行以下命令确认：
-
ss -tlnp | grep :8080—— 应显示192.168.209.121:8080，而非*:8080或127.0.0.1:8080 -
ss -tlnp | grep :8009—— 同理检查 AJP 端口 - 从公网机器尝试 telnet
203.0.113.50 8080，应连接超时；从内网机器 telnet192.168.209.121 8080，应成功
防火墙与网络路径配合
即使 Tomcat 和 Apache 都绑定了正确 IP，若防火墙未限制，仍可能被误连。建议补充：
- iptables/nftables 入站规则中，只允许
eth1网卡接收发往192.168.209.121:8080的包 - 禁止
eth0接收任何目的端口为 8080 或 8009 的入向连接 - 确保操作系统路由表未将内网流量错误导向公网网卡
