关于内外网隔离的网络访问解决方案

雨点打透心脏的1/2处 2022-06-09 08:54 405阅读 0赞

该问题的解决方案比较简单，但是偶有同事还是在问这个问题，因此将该问题的解决方案记录下来，写给那些需要这个方案的小朋友。如有不正之处，欢迎批评指正。

### 问题描述 ###

在公司的生产环境中存在DMZ 和 APP 两个网络区域，从外网中可以直接访问 DMZ 区，不可以直接访问 APP 区，如下图所示：  
![这里写图片描述][SouthEast]

目前在开发的微信小程序部署在微信的服务器上（也就是在外网中），它需要访问 APP 区部署的服务接口。也就是需要在外网中访问 APP 区的服务接口，如下图所示：  
![这里写图片描述][SouthEast 1]

### 解决方案 ###

在 DMZ 区增加中转服务器，微信小程序直接请求中转服务器，中转服务器接收到请求后，将请求内容转发至 APP 区的相应服务中。  
APP 区中的服务接收到请求后，进行相应的业务处理，将响应结果返回给中转服务器，之后中转服务器将结果返回给微信小程序，如下图所示：  
![这里写图片描述][SouthEast 2]

中转服务器需要配置相应的转发规则，将外网的域名映射至中转服务器，内网的域名映射至 APP 区服务器，转发规则就是将外网域名映射至相应的内网域名。  
假定存在如下的映射关系：

<table> 
 <thead> 
  <tr> 
   <th align="left">外网域名</th> 
   <th align="left">内网域名</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">user.waiwang.com</td> 
   <td align="left">user.neiwang.com</td> 
  </tr> 
  <tr> 
   <td align="left">news.waiwang.com</td> 
   <td align="left">news.neiwang.com</td> 
  </tr> 
  <tr> 
   <td align="left">prod.waiwang.com</td> 
   <td align="left">prod.neiwang.com</td> 
  </tr> 
 </tbody> 
</table>

我们在外网中访问user.waiwang.com，请求会被直接转发到 user.neiwang.com进行响应。

该方案对业务系统没有侵入，具备良好的扩展性。

结合以上的解决方案，我们只需要在 DMZ 区中增加 Nginx 中转服务器，在 Nginx 中配置现有系统的内外网域名映射规则，即可实现外网访问 APP 区中的应用。

[SouthEast]: /images/20220609/fea65c6842e9411889a123e5541e2d6a.png
[SouthEast 1]: /images/20220609/4aced1d6a2e342678645a3990aee29ab.png
[SouthEast 2]: /images/20220609/c1601c8c7bac450391fb21b0b119756b.png