解决内网 API 公网暴露风险：路由 + IP + 账号三重防护内网接口原创

大家好，本期分享zero news API g腿现在不少企业和团队都有这样的业务需求，内网里的rest接口、外部户口为跳本地大模型ERP业务系统都要封装成API开放给外部合作方，第三方业务系统对接调用。为了打通内外互通运维，一般都会选择端口映射、整站穿透这类简单粗暴的方式。但这么做隐患特别大，内网整套站点完整暴露在公网上，扫描器随便一爬，后台管理页、调试接口全都一览无余，直接拉大攻击面。同时，不少内网API本来就是弱健全甚至无健全，一旦公网可达，风险就会放大。既然传统端口映射、整站穿透风险这么高，那有没有更安全的替代方案？这里就给大家介绍z news API, 它能帮企业把内网API安全可控的发布到公网，核心优势就是实现路由路径级别的最小化暴露，不用把整个站点全部对外开放。整套操作完。

完全不用改动内网服务一行代码，所有流量过滤、访问、拦截都在网关层完成，只有经过授权的合法流量才会转发到后端内网应用，从源头规避全站裸奔带来的安全隐患。下面我本地启动一个API服务，用这个API服务来验证zero news的API gateway功能特性。这里客户端已经安装好了，客户端的安装教程可以看我们的往期视频。接着我们在创建域名，然后再添加API服务的隧道，在控制台的自定义域名界面添加域名前缀为ERP com API, 添加完成后再到隧道管理界面中添加隧道指向HPS服务，在添加隧道窗口隧道协议选择HTTPS带宽设置二公网域名选择自定义ERP com API前缀域名内网IP指向127.0.0.1，端口为1808。

80点击确认，等待创建完成，添加完成后，测试一下隧道是否能正常访问浏览器，输入health这个网址访问正常，在输入report这个网址访问也正常，在检查域名的TLS证书，证书都是由zus负责证书生命周期管理，用户不需要再部署engines斜杠和TLS证书。下面来到可观测性菜单下查看一下隧道的访问日志。找到映射访问日志。在日志中我们能看到每一个访问API的请求日志，如访问的来源、IP、请求方法、返回状态码、请求路径、请求时间等信息，这对后期的故障排查很有帮助。接下来进行zero news API gateway策略验证。ERP的API服务比较重要，我们给予最高的安全措施，分别从路由白名单、IP黑白名单、basic cost这三个维度增强API的访问安全。下面我们先配置路由白名单。路由白名单主要是控制API下哪些路由路径能访问，其他的路由路径都拒绝访问，实现最小化的暴露面，只暴露所需暴露的路由。在隧道的流量策略中，配置路由白名单只对外开放点API点V1REPORT跟斜杠health这两个路由，现在来测试一下效果。找到路由白名单，点击右侧编辑。点击启用，输入health和。

I piv one report点击确认，现在路由策略配置好了，我们来验证一下。浏览器输入斜杠health，显示正常访问，浏览器再输入API点V1斜杠report也正常访问，最后浏览器再输入斜杠admin，显示无法访问，因为它不在白名单列表中，所以不能访问。下面进行IP黑白名单的配置。IP黑白名单有两种模式，白名单模式跟黑名单模式。白名单模式就是只允许名单列表中的IP地址或IP断能访问，其他都拒绝，适合访问册有明确公网IP的场景。黑名单模式就是只拒绝名单列表中的IP地址或IP段等访问，其他都允许，主要是明确知道要拒绝的原IP，对攻击源进行拦截的场景。这里我们测试白名单只允许固定的分支的IP能访问，使用我本地出口IP进行测试。

在隧道的流量策略中选择IP黑白名单，点击右侧编辑，点击启用模式，我们先选择白名单，在IP地址列表中随机添加一个IP地址，然后保存，这时候我们访问API点V1REPORT和health就显示无法访问。然后再修改白名单中的IP地址，先查一下我的本地公网IP，百度输入IP，本地IP就可以显示14.2 18.7 0.9，这个就是本地IP。回到隧道管理IP黑白名单下，点击编辑，将白名单中的IP地址改为我本地公网IP地址，点击保存。

这里的IP就是我本地的公网IP了，然后再访问API点V1REPORT和health全部显示可以正常访问，这就是因为配置了白名单，允许名单列表中的IP地址或IP段才能访问。下面进行basic OS健全的配置，因为API接口没有健全，所以我们再给接口添加一个bases的健全认证配置后，用户必须携带账号、密码才能访问API服务。在隧道的流量策略中选择base，点击右侧编辑，点击开启，然后添加认证的用户名和密码，后面访问需要用到这个账号和密码。

点击保存，这时候再访问API点V1REPORT，就提示需要用户输入账号密码，这里我们先随便输入一个账号密码，提示认证失败无法访问，再输入正确的账号密码，访问正常zero news API位将分散到各地的内网API服务的公网入口收敛到API网关，统一域名访问，再叠加路由白名单、IP访问控制、basic认证等策略，把API的公网暴露面缩小，用户访问可控，快速实现将内网API服务安全的发布到公网。本期分享就到这里，感谢观看。