内网服务公网访问的路径控制方法：路由白名单演示原创

企业把内网服务映射到公网，真的只开放了需要的接口。嗯，很多时候一个域名出去的不只是业务API，还有点admin docks matricx, 甚至模型管理接口。当扫描器拿到隧道域名后，可以不断尝试常见路径，即使应用最终返回401或404请求也已经进入隧道，消耗了内网服务的连接数，扩大了公网暴露面。Z news路由白名单把拦截位置前移到边缘，网关管理员只需按URL路径配置允需访问的接口，未列出的路径直接在网关拒绝，不进入隧道也不会到达内网应用配置过程也很简单，添加好内网服务的HTTPS隧道后，进入zero news控制台的隧道管理，导到目标隧道，点击隧道右侧的流量策略，然后选择路由白名单，开启策略后，可以填写精确路径，比如点a PV login和I piv.

Fund order也可以使用前缀通配，统一放行apiv one assterisk保存后，策略会在边缘网关生效。第一个场景是把内网API当做一个对外API网关使用，比如外部系统只需要调用订单和库存接口就可以只放行apiv order和apiv one inver未列出的路径在网关直接拒绝，不进入隧道。对于企业微信飞书、gith或支付回调，则只保留平台实际调用的那一条URL，例如we web hook或apib one或API not try. 回调链路仍然应该结合业务签名校验路由白名单负责确保这个回调域名不会变成整站入口。其他场景比如欧拉马或推理服务只开放聊天和向量接口，不开放模型拉取、删除等管理操作。Zero news的白名单策略以隧道为维度，每条HTTPS隧道都可以独立配置员工联条可以开放聊天和embeddings。对外API只开放chat，其。

微回调隧道则只开放web hook, 不同入口使用不同规则，不需要一套策略覆盖所有场景。Zero news路由白名单让公网只看到必要路由，让内网服务更安全、更可控。