将内部部署系统的端口暴露给外部访问，并且仅允许指定 IP 的服务器访问该端口

以下是实现将内部部署系统的端口暴露给外部访问，并且仅允许指定 IP 的服务器访问该端口的步骤和思路：

一、网络架构调整

二、使用 iptables 的实现步骤（适用于 Linux 系统）

# 假设要开放的端口是 8080，允许访问的外部 IP 是 203.0.113.10

# 首先确保 iptables 服务已启动
sudo systemctl start iptables

# 允许本地回环访问
sudo iptables -A INPUT -i lo -j ACCEPT

# 允许已建立的连接和相关连接
sudo iptables -A INPUT -m conntrack –ctstate ESTABLISHED,RELATED -j ACCEPT

# 允许指定 IP 访问端口 8080
sudo iptables -A INPUT -p tcp –dport 8080 -s 203.0.113.10 -j ACCEPT

# 拒绝其他 IP 访问端口 8080
sudo iptables -A INPUT -p tcp –dport 8080 -j DROP

# 保存 iptables 规则
sudo iptables-save | sudo tee /etc/iptables/rules.v4

代码解释：

• sudo systemctl start iptables：启动 iptables 服务。
• sudo iptables -A INPUT -i lo -j ACCEPT：允许本地回环接口的访问，确保本地进程可以正常通信。
• sudo iptables -A INPUT -m conntrack –ctstate ESTABLISHED,RELATED -j ACCEPT：允许已建立和相关的连接，以保证正常通信不受影响。
• sudo iptables -A INPUT -p tcp –dport 8080 -s 203.0.113.10 -j ACCEPT：允许来自 203.0.113.10 的 TCP 连接访问端口 8080。
• sudo iptables -A INPUT -p tcp –dport 8080 -j DROP：拒绝其他 IP 对端口 8080 的 TCP 连接。
• sudo iptables-save | sudo tee /etc/iptables/rules.v4：保存 iptables 规则，确保重启后规则仍然有效。

三、使用 firewalld 的实现步骤（适用于 Linux 系统）

# 假设要开放的端口是 8080，允许访问的外部 IP 是 203.0.113.10

# 启动 firewalld 服务
sudo systemctl start firewalld

# 允许指定 IP 访问端口 8080
sudo firewall-cmd –permanent –zone=public –add-rich-rule='rule family="ipv4" source address="203.0.113.10/32" port protocol="tcp" port="8080" accept'

# 重新加载 firewalld 规则
sudo firewall-cmd –reload

代码解释：

• sudo systemctl start firewalld：启动 firewalld 服务。
• sudo firewall-cmd –permanent –zone=public –add-rich-rule='rule family="ipv4" source address="203.0.113.10/32" port protocol="tcp" port="8080" accept'：添加一条永久的防火墙规则，允许来自 203.0.113.10 的 TCP 连接访问端口 8080。
• sudo firewall-cmd –reload：重新加载 firewalld 规则，使新添加的规则生效。

四、Windows 防火墙设置

五、网络安全考虑

六、使用 VPN 或反向代理作为替代方案

# Nginx 配置示例
http {
server {
listen 80;
server_name example.com;

location / {
allow 203.0.113.10;
deny all;
proxy_pass http://internal_system_ip:8080;
}
}
}

代码解释：

• listen 80;：监听端口 80。
• server_name example.com;：服务器名称。
• allow 203.0.113.10;：只允许 IP 为 203.0.113.10 的服务器访问。
• deny all;：拒绝其他所有 IP 的访问。
• proxy_pass http://internal_system_ip:8080;：将请求转发到内部系统的 8080 端口。

        通过上述的一种或多种方法，可以在确保安全性的前提下将内部系统的端口暴露给外部的指定 IP 服务器。可以根据系统的具体环境和需求，选择合适的方法和工具进行配置。