服务器公网访问内网

服务器公网访问内网的详细说明

一、概念理解

1、公网

公网是公共网络，全球范围内的用户都可以访问，它由大量网络设备和通信线路组成，如互联网服务提供商（ISP）的网络、各级路由器等，我们日常使用浏览器访问外部网站，就是通过公网进行的，公网有唯一的IP地址范围，这些地址由互联网号码分配机构（IANA）进行管理和分配。

2、内网

内网是私有网络，通常用于企业内部或特定组织内部，它的访问受到限制，只有经过授权的设备和用户才能访问，一个公司内部的办公网络，员工可以通过内网访问公司内部的文件服务器、邮件服务器等资源，但外部未经授权的用户无法直接访问，内网的IP地址范围在专用地址范围内，如10.0.0.0 10.255.255.255、172.16.0.0 172.31.255.255、192.168.0.0 192.168.255.255。

二、服务器公网访问内网的方式

（一）端口映射（Port Forwarding）

1、原理

端口映射是在路由器或防火墙上将公网的一个端口映射到内网中某台服务器的一个端口，当公网用户访问公网IP的这个映射端口时，路由器会将请求转发到内网服务器对应的端口，将公网IP为203.0.113.1的8080端口映射到内网IP为192.168.1.100的80端口，当公网用户访问203.0.113.1:8080时，路由器会把请求转发给内网的192.168.1.100:80。

2、配置步骤（以常见路由器为例）

步骤
1. 登录路由器管理界面	通过在浏览器中输入路由器的IP地址（如192.168.1.1），输入用户名和密码登录。
2. 找到端口映射设置选项	一般在“转发”或“虚拟服务器”等相关菜单下。
3. 添加端口映射规则	设置公网端口（如8080）、内网IP地址（192.168.1.100）和内网端口（80），保存设置。

（二）反向代理（Reverse Proxy）

1、原理

反向代理服务器位于公网和内网之间，公网用户向反向代理服务器发送请求，反向代理服务器接收请求后，以自己的身份向内网服务器转发请求，直到获得内网服务器的响应，再将响应返回给公网用户，用户访问公网上的反向代理服务器（IP为203.0.113.2）来获取内网服务器（IP为192.168.1.101）上的资源，反向代理服务器就像中间人一样传递信息。

2、配置步骤（以Nginx为例）

步骤
1. 安装Nginx软件	在公网服务器上安装Nginx，可通过包管理工具（如在Linux系统下使用apt get install nginx）。
2. 配置Nginx反向代理	编辑Nginx配置文件（如/etc/nginx/nginx.conf），添加如下配置： “nginx server { listen 80; server_name example.com; location / { proxy_pass http://192.168.1.101; }} `	这里example.com是公网域名，192.168.1.101`是内网服务器IP。
3. 重启Nginx服务	使配置生效，命令为sudo systemctl restart nginx。

三、安全性考虑

（一）访问控制列表（ACL）

1、原理

ACL是一种网络安全机制，用于控制网络流量的进出，可以基于源IP地址、目的IP地址、端口号等因素来允许或拒绝数据包通过，在内网服务器上设置ACL，只允许来自特定公网IP范围（如公司办公地点的公网IP段）的访问，其他IP访问则被拒绝。

2、配置示例（以Cisco路由器为例）

命令	功能
access list 100 permit ip 203.0.113.0 0.0.0.255 any	允许来自203.0.113.0 203.0.113.255网段的任何主机访问。
access list 100 deny ip any any	拒绝其他所有主机访问。
interface fa0/0 ip access group 100 in	在接口fa0/0上应用编号为100的访问控制列表，方向为进入（in）。

（二）加密通信

1、SSL/TLS协议

在服务器配置中使用SSL/TLS证书来实现加密通信，当公网用户访问服务器时，数据在传输过程中会被加密，防止数据被窃取或改动，在Web服务器（如Apache或Nginx）上配置SSL/TLS证书，用户通过https://访问网站时，数据会以加密形式传输。

2、配置步骤（以Nginx为例）

步骤
1. 获取SSL证书	可以从证书颁发机构（CA）购买证书，或者使用免费的证书（如Let’s Encrypt）。
2. 配置Nginx使用SSL证书	编辑Nginx配置文件，添加如下配置： “nginx server { listen 443 ssl; server_name example.com; ssl_certificate /path/to/certificate.crt; ssl_certificate_key /path/to/private.key; } `	这里/path/to/certificate.crt和/path/to/private.key`分别是证书文件和私钥文件的路径。
3. 重启Nginx服务	使配置生效。

四、相关问题与解答

（一）问题

1、如果公网IP地址发生变化，对服务器公网访问内网有什么影响？

解答：如果公网IP地址发生变化，对于端口映射方式，需要在路由器上重新配置公网IP地址与内网端口的映射关系；对于反向代理方式，如果反向代理服务器是通过域名解析来定位公网服务器的，那么只要域名解析更新及时，一般不会影响访问，但如果是通过IP地址直接访问反向代理服务器，就需要更新访问的IP地址。

（二）问题

2、如何测试服务器公网访问内网是否成功？

解答：对于端口映射方式，可以在公网环境下，使用公网IP地址和映射端口来访问内网服务器资源，如果能正常访问，说明配置成功，通过浏览器访问配置了端口映射的公网IP的8080端口对应的内网网页；对于反向代理方式，同样在公网环境下，使用反向代理服务器的公网IP或域名来访问内网资源，若能顺利获取资源，则表示成功，还可以使用网络调试工具（如telnet命令）来检查端口连通性，进一步确认访问是否正常。