浅谈外网通过反向代理访问内网资源时的权限保护

Dear 丶 2022-05-24 12:27 217阅读 0赞

标题可能有些绕口，意思就是我在外网要访问内网一资源(比如网站)时需要身份验证，只有通过身份验证才能访问，这个该如何实现？  
其实这是一朋友问我的一个问题，需求就是：

> 领导在外出差，要通过企业微信访问内网资源，而这个资源又是高度保密的，不能随便让别人看到，公司又不提供VPN等工具，要如何实现？

我觉得这个需求蛮有意思的，就去深入思考了一下。我们知道，微信开发很多情况下是需要绑定域名的，那么绑定域名的情况下又要访问内网资源，很容易让人想到反向代理。所以，要实现这个需求，通过反向代理是必须的，问题就是，如何进行身份验证？今天会介绍**两种** 方式，一种使用Apache服务器+验证模块(这里利用Java Web的Servlet，实现的语言不唯一)实现，另外一种使用内网穿透工具，frp实现。

# Apache实现 #

## 测试环境 ##

> Apache 2.2.31  
> JDK 1.8  
> IntelliJ IDEA 15

## 实现思路 ##

首先，Apache服务器要架设在一台内外网都可访问的计算机上。  
这个问题其实我想了蛮久的，最早想的是通过Apache服务器自带的验证模块，也就是记录用户名和密码到.htaccess文件，但是发现，这个只适用于架设在本机上的网站项目，通过反向代理就没用了。后来想到可以利图片防盗链的思路，我们在做防盗链时，常会判断请求HTTP头里是否有诸如HTTP\_REFERER之类的参数，然后根据这个参数进行重定向。我们在实现访问权限控制时不妨也效仿它，整体思路都一样，不一样的地方就是在访问页面前进行授权，授权通过之后加上某个HTTP头，表示授权成功。

## 需求 ##

假设我所在的公司开发了一套新的API，还没有开发完毕，不能随便公开，现在领导外出开会，需要对客户展示。(但是公司又不提供VPN)

## 实现步骤 ##

### Apache的httpd.conf文件配置 ###

需要开启Apache的mod\_rewrite模块。  
Apache支持检测的HTTP头如下：  
![70][]  
我这次就使用HTTP\_REFERER头吧  
Apache的反向代理设置如下：

<VirtualHost *:80>  
        ServerName  api.example.com
        ServerAlias api.example.com
        RewriteEngine On
        RewriteCond %{HTTP_REFERER} !^http://api.example.com/
        RewriteRule ^(.*)$ http://www.baidu.com/ [R=401]   
        ProxyPreserveHost On
        ProxyRequests Off
        ProxyPass / http://127.0.0.1:8080/api/sdk/
        ProxyPassReverse / http://127.0.0.1:8080/api/sdk/
    </VirtualHost>

> 这里解释一下意思：  
> 当对api.example.com发起请求时，Apache会检测请求头中是否有HTTP\_REFERER，如果有，值是否以[http://api.example.com/][http_api.example.com]开头，如果不是，则401强制外部重定向到百度，其实你根本看不到百度的页面，只会看到401 Forbidden。  
> 那为什么要判断HTTP\_REFERER是否以[http://api.example.com/][http_api.example.com]呢？其实，当我们每次对api.example.com发起请求时，包括对子页面，Apache都会进行拦截，它会对每次的请求头进行检查，如果不符合就会直接返回401。所以，这个要观察子站点，看一下子站点是不是在页面见跳转时都会带HTTP\_REFERER头，如果有的话就要按照它里面的规则来，验证成功后的**入口页面**的请求头要设置成一样的。否则我们永远只能看到一个页面了，页面间一旦跳转，就会401。

Apache的重写规则可以自行百度一下，这里推荐一篇简单的[Apache的Rewrite规则详细介绍][Apache_Rewrite]，里面关于重写标志的总结还是蛮清楚的。

### Java端的编写 ###

首先是Servlet

import javax.servlet.ServletException;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import java.io.IOException;
    
    /** * Created by Martin Huang on 2018/5/16. */
    public class ProxyServlet extends HttpServlet { 
    
        @Override
        protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
            //在这里进行验证授权
            resp.addHeader("REFERER","http://api.example.com/");
            resp.sendRedirect("http://api.example.com/");
        }
    }

然后是HTML页面，这里比较简单，我直接使用一个a标签进行代替，主要是为了演示效果

<html>
    <body>
    <h2>Hello World!</h2>
    <br/>
    <a href="proxyServlet">Jump</a>
    </body>
    </html>

最后是web.xml中Servlet的配置

<servlet>
        <servlet-name>proxyServlet</servlet-name>
        <servlet-class>com.example.servlet.ProxyServlet</servlet-class>
      </servlet>
    
      <servlet-mapping>
        <servlet-name>proxyServlet</servlet-name>
        <url-pattern>/proxyServlet</url-pattern>
      </servlet-mapping>

## 效果 ##

未授权情况下：  
![70 1][]  
![70 2][]

> 可以发现子页面也是无法访问的

授权后：  
![70 3][]  
![70 4][]  
![70 5][]

> 子页面也是可以访问的

## 存在的问题 ##

>  *  页面直接只能通过点击链接的方式跳转，不能直接输入地址栏，否则依然401
>  *  HTTP\_REFERER的值一旦被他人知道的话就容易使用第三方工具破解了

# frp的实现(推荐) #

对于访问网站的权限控制，我还是比较推荐[frp][]的，毕竟这是一个开源项目，已经经过多个版本的迭代，安全性也好。  
frp 是一个可用于内网穿透的高性能的反向代理应用，支持 tcp, udp, http, https 协议。  
frp的文档[点这里][Link 1]

## 实现步骤 ##

搭建、配置可以见这篇文章[LINUX | frp内网穿透穿透服务器][LINUX _ frp]  
这里我们只关心网站访问的授权  
frpc.ini配置文件如下：

[common]
    server_addr = x.x.x.x #frp服务器IP
    server_port = 7000 #与服务器进行通信的端口
    
    [web01]
    type = http
    local_ip = 127.0.0.1
    local_port = 80
    http_user = abc #用于授权的用户名
    http_pwd = abc #用于授权的密码
    custom_domains = api.example.com

注：

> 我在服务器上设置了5520为web的访问端口，所以我利用api.example.com:5520进行访问

## 效果 ##

![70 6][]  
访问时会让你输入用户名和密码进行验证，子页面也会。它这个验证是session级别的，也就是说如果浏览器关闭后要重新进行验证。

[70]: /images/20220524/b6af175739fb4f868be1fb3e97267d75.png
[http_api.example.com]: http://api.example.com/
[Apache_Rewrite]: https://jingyan.baidu.com/article/90bc8fc804f4faf652640c6c.html
[70 1]: /images/20220524/142657efa8b241b8bd072246beacc053.png
[70 2]: /images/20220524/aa2f86605f7148dfb8a00b7470811dbf.png
[70 3]: /images/20220524/c9ae428df4d640989fff99674d96b5d2.png
[70 4]: /images/20220524/66646aafa3e046a2a4fdb5ea9b8357cf.png
[70 5]: /images/20220524/ce67042e881b425db45a84c5e892f1c9.png
[frp]: https://github.com/fatedier/frp/
[Link 1]: https://github.com/fatedier/frp/blob/master/README_zh.md
[LINUX _ frp]: https://www.vediotalk.com/?p=375
[70 6]: /images/20220524/3027df21ed934a778eb61c2422978f7f.png