1
documentzhangx66 2022-02-20 20:40:31 +08:00
1.阿里云操作 API ,所以内网还是外网,与这个没关系。
2.VPN 组网也能实现。 |
2
ClericPy 2022-02-20 22:21:03 +08:00
同好奇来看看
目前小作坊用的 VPN 和堡垒机感觉还凑合, 虽然更喜欢云原生甚至 Serverless 层面, 越来越不喜欢自己搞运维了, devops 往前一小步能省一大笔时间和精力 |
3
duke807 2022-02-20 22:28:38 +08:00 via Android
我曾經為了方便同事在公司內部訪問局域網服務器,在我私人的域名上,用一個子域名綁定 IP 地址為 192.168.1.xx
域名綁定的 IP 地址又不會有什麼限制(當年用的還是 GoDaddy ),當然可以綁定內網 IP |
4
exiaohao 2022-02-20 22:37:29 +08:00
靠特定的机器所在的 VPC 能访问就好了
或者通过 VPN 进去 |
5
crazycen 2022-02-20 22:43:19 +08:00 1
ipsec site to site
|
6
zhzy0077 2022-02-20 23:16:58 +08:00
阿里云 堡垒机
|
7
ZXCDFGTYU 2022-02-21 00:14:35 +08:00
SSLVPN
|
8
LeeReamond 2022-02-21 00:41:33 +08:00
我倒很好奇外网解析出来是啥地址。。
|
9
rv54ntjwfm3ug8 OP @LeeReamond #8 只有通过内网 DNS 才有解析,外网没解析
|
10
tohuer00 2022-02-21 01:34:36 +08:00
专线接入?
|
11
xupefei 2022-02-21 05:43:47 +08:00
VPC 里加 VPN IP 白名单。
|
12
kwanzaa 2022-02-21 05:58:12 +08:00
虚拟局域网?
|
13
msg7086 2022-02-21 07:54:27 +08:00
我们是公司内网认证以后进两层堡垒机连到服务器上。
|
14
hawhaw 2022-02-21 08:11:46 +08:00 via Android
一个字:打洞
|
15
Davic1 2022-02-21 08:46:01 +08:00
会在云上规划一台跳板机, 这台跳板机有公网 IP 地址. 并且和生产环境的 VPC 相同或者同处于一个 VPC 里.
为了安全起见, 企业还会使用一个堡垒机,一般登录生产环境先要登录堡垒机, 然后通过堡垒机登录跳板机然后就可以对生产机器进行操作了. console.xxxx-inc.com 可能有很多种可能, 可能是某个云的弹性负载均衡, 有可能是 WAF 防火墙的 IP. 也有可能直接就是跳板机的 IP |
16
Davic1 2022-02-21 08:46:56 +08:00
# 15 相同->相通
|
17
imbushuo 2022-02-21 10:28:45 +08:00
在某些公司,要用专用的安全笔记本,用专用的 Prod 账户 (+MFA),登录专用的管理网络,获得一次性授权后,登上专用堡垒机然后限时进入生产环境(
|
18
zifangsky 2022-02-21 14:45:38 +08:00
一般都是 LocalNDS ,只在内网才能解析,解析到的服务器基本也是 Nginx 之类的,经过反向代理后才指向真正的业务服务器 IP
|
19
qmm0523 2022-02-25 16:10:43 +08:00 1
一般是通过 VPN 或者专线将办公网和线上打通,具体实现的方式不同的公司千差万别。以 lz 提到的阿里为例,办公网 ping 线上服务解析出来的地址往往不是服务器的真实地址,而是负载均衡器( LB )的地址。这个 LB 一般不会对外提供服务,仅供内部用户访问线上。LB 所在的网络区域可以同时访问线上与办公网,所有涉及跨办公网与线上的流量都会经过这个 LB 。同时,这个 LB 在很多公司也会承载其他业务,比如认证鉴权、日志审计、WEB 防火墙等。这么做的好处是把所有功能收口到一处,以免未经授权直接访问线上服务器。不过很多小公司路子比较野的话就直接一个 VPN/专线直连机房,不通过 LB 直接访问线上服务器,这种操作是非常不安全的。
如果还有问题欢迎回复。 |
20
rv54ntjwfm3ug8 OP @qmm0523 #19 请问这个 LB 一般是用什么实现的,用办公内网的服务器还是云计算厂商的现成方案?
|
21
qmm0523 2022-02-25 20:57:53 +08:00
@theklf4
1.请问这个 LB 一般是用什么实现的 一般用 openresty 开发比较多,openresty 实际上就是带 lua 的 nginx,兼具了 nginx 的效率和 lua 的灵活性。 2.用办公内网的服务器还是云计算厂商的现成方案 只需要保证能向内部用户提供服务,并且可以反代到生产网络的机器即可,放办公网(一般是办公室的小机房)和放线上服务器所在的机房均可,两种方案都有企业那么干。不过大企业一般偏向于放在机房的网络边界处,原因是办公室网络 /电源等无法保证高可靠性,如果放在机房,在办公网出问题的情况下依然能保证员工通过 VPN 等连上内网(没错,大企业的 VPN 很多也直接放在线上,而小公司则放在办公室的居多)。 |
22
mytsing520 2022-02-27 05:33:36 +08:00
1.解析层面
内网有 DNS ,直接在 DNS 层面做解析;或者外网权威 DNS 上针对特定来源做特定策略。这个方法有很多。 2.内网地址能访问到云上 第一种,这里叫私网地址好了,是企业内部地址,做了反代去访问云端资源 第二种,这是云上分配的私网地址,企业和云上专线打通即可,包括但不限于 SD-WAN 、IPsec 等 |