Nginx外网域名如何反向代理到内网域名？

在现代网络架构中，Nginx 作为一款高性能的 Web 服务器和反向代理，扮演着至关重要的角色，一个常见的需求是，让同一台 Nginx 服务器既能通过公网域名对外提供服务，又能通过内网域名对内部用户开放特定功能，这种内外分离的访问模式，在保障安全性和提升管理效率方面具有显著优势，本文将深入探讨如何利用 Nginx 精确配置,实现外网域名与内网域名的差异化访问。

核心原理：server_name 指令的妙用

Nginx 处理请求的核心在于其 server 块的匹配规则，而 server_name 指令正是其中的关键，当一个 HTTP 请求到达 Nginx 时，Nginx 会提取请求头中的 Host 字段（即用户在浏览器中输入的域名），然后将其与所有 server 块中的 server_name 进行匹配，第一个匹配成功的 server 块将用于处理该请求。

要实现内外网域名的区分访问，我们只需为不同的域名创建独立的 server 块，并配置相应的 server_name 即可。

配置策略：独立 server 块实现隔离

这是最清晰、最推荐的配置方式，它将不同域名的配置完全隔离，便于管理和维护，假设我们的外网域名为 www.example.com，内网域名为 intranet.example.local。

外网域名配置

此配置用于处理来自互联网的公开访问请求,通常指向面向公众的网站内容。

server {
    listen 80;
    server_name www.example.com;
    # 网站根目录，存放对外公开的文件
    root /var/www/public;
    index index.html index.htm;
    location / {
        try_files $uri $uri/ =404;
    }
    # 其他外网访问所需的配置，如日志、SSL等
    access_log /var/log/nginx/www.example.com.access.log;
    error_log /var/log/nginx/www.example.com.error.log;
}

内网域名配置

此配置仅对内部网络用户可见，可以用于部署管理后台、内部文档、测试环境等。

server {
    listen 80;
    server_name intranet.example.local;
    # 内部网站根目录，存放内部系统文件
    root /var/www/internal;
    index index.html index.htm;
    location / {
        try_files $uri $uri/ =404;
    }
    # 可以增加访问控制，仅允许内网IP访问
    # allow 192.168.1.0/24;
    # deny all;
    access_log /var/log/nginx/intranet.example.local.access.log;
    error_log /var/log/nginx/intranet.example.local.error.log;
}

通过上述配置，当用户访问 www.example.com 时，Nginx 会匹配到第一个 server 块并返回 /var/www/public 目录下的内容；而当内网用户访问 intranet.example.local 时，则会匹配到第二个 server 块，返回 /var/www/internal 目录下的内容。

配置场景对比

为了更直观地理解,下表小编总结了不同场景下的配置策略：

关键补充：DNS 解析与网络设置

Nginx 配置完成后，还必须确保 DNS 解析正确无误,否则域名无法指向服务器。

• 外网域名：需要在公共域名服务商（如阿里云、腾讯云等）处，将 www.example.com 的 A 记录指向服务器的公网 IP 地址。
• 内网域名：
  • （推荐） 在公司内部的 DNS 服务器上，为 intranet.example.local 添加 A 记录，指向服务器的内网 IP 地址（如 168.1.100）。
  • （临时/小型网络） 如果没有内部 DNS 服务器，可以在需要访问的内部员工的电脑 hosts 文件中手动添加一条记录，将域名解析到内网 IP，在 Windows 的 C:WindowsSystem32driversetchosts 文件中添加：168.1.100 intranet.example.local。

通过灵活运用 Nginx 的 server_name 指令，我们可以轻松地在同一台服务器上实现基于域名的虚拟主机，将外网和内网的访问请求引导至不同的应用目录，这种做法不仅充分利用了服务器资源，还通过清晰的配置隔离，增强了系统的安全性和可维护性，结合正确的 DNS 解析设置，就能构建一个稳定、高效的内外网分离访问体系。

相关问答 (FAQs)

我配置了内网域名，但在外网环境下通过浏览器访问它，竟然也能打开（显示的是外网网站的内容），这是为什么？

解答： 这种情况通常不是 Nginx 配置有误，而是 DNS 解析和浏览器行为导致的，当您在外网访问一个不存在的域名（如您的内网域名 intranet.example.local）时，如果您的网络提供商（ISP）存在 DNS 劫持或配置了通配符解析，它可能会将这个未知域名解析到一个默认的 IP 地址，恰好是您服务器的公网 IP，请求到达了您的 Nginx 服务器，但由于 Host 头是 intranet.example.local，它无法匹配到任何明确的 server_name，Nginx 会将这个请求交给第一个 server 块处理（默认处理机制），因此您看到了外网网站的内容，要解决这个问题，可以设置一个默认的 server 块来捕获所有未匹配的请求，并返回 444 状态码或自定义错误页面,从而避免信息泄露。

如何让内网用户在访问外网域名时，能直接走内网速度，而不是绕到公网再回来？

解答： 这个问题可以通过配置 “分离式DNS”（Split-Horizon DNS） 来完美解决，您需要在内部的 DNS 服务器上创建一条与公网域名相同的记录，为 www.example.com 在内部 DNS 中也创建一个 A 记录，但将其指向服务器的内网 IP 地址，这样，当内网用户查询 www.example.com 时，他们首先会查询内部 DNS，得到内网 IP，从而实现直接、高速的内部访问，而外网用户仍然查询公共 DNS，得到公网 IP，这种内外有别的 DNS 解析策略，是提升内网用户体验、节约带宽成本的常用手段。