企业内网穿透后，如何限制境外访问？原创

很多企业会通过内网穿透，把OA papi、文件空间、SSH或RDP等内网能力映射到公网入口，这样员工、分支机构和远程运维人员就可以通过HTTPS或TTP访问企业内部服务。但服务能够访问之后，还有一个问题需要认真考虑，这个公网入口是否真的需要对所有地区开放。一旦内网服务有了公网URL、域名或固定端口，互联网中的扫描器就可能发现这个入口。对企业来说，风险不只是有没有人登录成功，还包括大量无关请求是否会持续到达zero news client、内网网关和业务应用。如果企业的业务主要服务某一地区，或者明确不面向某地区提供访问，那么让全球来源都可以尝试连接通常并不是最合适的做法。IP白名单当然有价值，尤其是和固定办公出口、固定合作方和固定运维地址。但在实际企业环境中销售实施。

和管理人员可能使用家庭宽带、手机，热点或分支机构网络外勤人员换了网络出口IP就可能发生变化。如果所有访问都依赖单个IP地址，白名单会越来越长，维护成本也会越来越高。配置过严，合法用户可能无法访问，配置过宽，又会扩大公网暴露范围。对很多企业来说，更实际的做法是先明确业务边界。这条隧道主要服务哪个国家、哪个地区或者哪些办公区域。如果业务只面向某些地区，就没有必要让所有地区来源都进入同一条访问链路。这就是区域访问控制的基本思路。先按访问来源的国家或地区收窄公网入口的可访问范围。Zero news GE location区域访问控制把地理位置判断放在边缘网关，用户从公网发起请求后，网关会根据访问来源IP判断其所国家或地区，再根据这条隧道的策略决定是否继续处理和转发。符合策略的请求可以。

继续进行TS和流量转发，不符合策略的请求则在网关入口直接拒绝。配置也非常简单，在zero news控制台中，区域访问控制是以隧道为单位配置的，进入隧道管理，选择需要保护的HTTPS或TCP隧道，打开右侧流量策略，找到g location菜单，开启策略后可以选择仅允许模式，在选择允许访问的国家或地区。例如，这条ERP外勤隧道可以设置为仅允许中国大陆。配置生效后，允许区域内的用户可以继续访问对应业务，不符合区域策略的请求则会在边缘网关处被拒绝。常见场景对OA和ERP企业可以限制外勤隧道只允许主要办公区域访问对apilama或其他内部服务。如果终端用户主要在国内，可以先拒绝海外来源，对open web UI harness s sh r dp和数据库TCP隧道则可以利用区域策略减少明显不符合业。

范围的探测请求。这要强调的是，区域访问控制不是身份认证，也不是唯一的安全措施。企业可以根据风险把location与IP黑白名单、basic us路由白名单、应用账号权限和临时隧道结合起来，形成分层控制。内网穿透解决的是能不能访问，区域访问控制解决的是哪些地区可以访问。Zero news让企业的公网入口更接近真实的业务边界。如果你的企业正在使用内网穿透，可以先检查每一条公网隧道是否真的需要对全球开放。