Возникла необходимость открыть доступ к крутящейся на сервере локалке базе наружу, чтобы можно было по логину/паролю авторизоваться из инета и смотреть данные. В качестве платформы выбран Tomcat, на котором будут жить сервлеты.
Как правильно с точки зрения безопасности - поставить Tomcat на открытый наружу линуксовый сервер и дать этому серверу возможность коннектиться на порт сервера БД в локалку, или поставить Tomcat на внутренний сервер и средствами файрволла пробросить порт? Первый вариант плох тем что открытый сервер получает возможность подключения к БД, и в случае взлома злоумышленник получает доступ к порту сервера БД. Второй вариант плох тем что в случае взлома самого Tomcat-а и получения шелла злоумышленник получит полный доступ к внутреннему серверу.
Как у томката с эксплоитами и безопасностью?
Может ли томкат работать через SSL без участия Apache2, и что вообще в плане безопасности и удобства дает интеграция томката и апачевского вебсервера?
И, формулируя более общо - как правильно защитить открытый в инет Tomcat?

xxx2Конфигурация:

client - firewall - tomcat - firewall - db
DMZ


То есть tomcat лучше вынести в DMZ и пробросить файрволлом порт, я правильно понимаю?

xxx2
SSL:
http://tomcat.apache.org/tomcat-3.3-doc/tomcat-ssl-howto.html

Вот там пишут:

When running Tomcat primarily as a Servlet/JSP container behind another web server, such as Apache or Microsoft IIS, it is usually necessary to configure the primary web server to handle the SSL connections from users.

Какие плюсы и минусы томката-самого-по-себе и tomcat-behind-another-web-server ?

xxx2apache - mod_jk - tomcat

Плюсы (IMHO):
- возможность отделения статического content'а (уменьшение нагрузки на tomcat)
- возможность балансировки нагрузки (при нескольких tomcat'ов)
- администраторы больше любят apache чем tomcat Ж^)

При низкой нагрузке и отсутствии админов лучше просто tomcat

Ага, спасибо. Поскольку это будет открытый наружу кусок интранета, нагрузка - ну мааааксимум два юзера одновременно, и админ-я-сам-себе, то получается что проще загнать томкат в локалку, настроить ему SSL, пробросить порт наружу и не приморачивать к нему апач.