给内网映射增加安全防护

1.背景       

       内部网络资源的访问，通用的做法是部署企业VPN，通过VPN设备提供公网接入服务，客户端接入后，则可以像本地网络一样访问内网资源。但是部署VPN需要专业设备，且配置管理往往需要专业人员，对普通小企业来说，不够灵活，价格较高，使用不够方便。

       在小微企业，或者个人soho网络中，甚至有人简单的部署内网映射，将内部网络资源直接映射到公网，从而在公网可以直接访问内网资源。这种操作带来很大的网络风险，内网资源公网可以访问，这种映射对内网无网络安全保护。公网上无处不在的攻击，探测，内网主机面临很大的被攻击、勒索的风险。

      通过内网访问云服务，内网服务器无需做公网映射，无需公网IP，只需要安装客户端和服务端，就可以实现安全的内网服务访问。

       公网恶意用户通过扫描、探测，均无法感知用户安全区任何网络信息，只有授权用户通过认证后，才能访问到资源。

2.方案

        下面内网网站 http://192.168.9.136:8081，通过云服务实现外部访问。

        配置步骤：

1. 注册免费子域名；

2. 安装服务端程序；

3. 配置域名下业务；

4.配置接入用户；

5. 用户接入。

3. 详细配置

1. 3.1.创建域名

2. 登陆cloudAccess控制台 http://cld.lstcloud.com，注册人员即为管理员，
4. 本例子中域名为ui.wxnet.top, 注册用户即为本子域名管理员用户，可以进行WEB页面实现配置和监视状态。

3.2. 安装AccessServer

创建域名后，下载AccessServer端程序，当前提供了Windows和Linux端，每个域名下载的程序包含了本域名专属配置数据，在本地网络中选择服务器或者能访问内网资源的PC安装即可。下载软件后直接安装运行，无需配置。

以windows为例，下载的软件包中包含了配置文件和安装程序，解压后直接安装即可，无需任何配置。一个域名只能安装在一台机器上。

下图为下载的服务器程序安装包，直接点击安装即可。

 

3.3.配置本地资源

在cld.lstcloud.com/上登录控制台，选择配置导航栏选择配置业务资源，如下图：

下图配置了一个web访问资源，访问网址http://ui.wxnet.top,对应内网机器http://192.168.9.136:81.

配置本地资源表示指定本地对外的服务，可以是普通的tcp服务，如http，https，windows文件共享，ssh，数据库，远程桌面，普通自定义业务等，用户接入后，通过这里定义的url来访问这个资源。

3.4.创建用户：

在http://cld.lstcloud.com的业务控制台上，导航栏用户列表页：

管理员登记接入用户账号和密码，建议填写手机号，后续该账号可以支持短信登录。

至此，所有配置已经完成。

4.用户接入和资源访问

4.1. 用户接入  

用户下载客户端程序并安装。

用户接入，填写管理员分配的用户名和密码即可，也可以短信登录。当然短信登录，需要管理员注册用户时，填写了该用户的手机号码。

  4.2 资源访问

        普通WEB资源，在导航界面上点击资源，实现资源访问。

        远程桌面、文件共享等windows上资源均可以实现一键快捷访问。

        其他tcp资源，如ssh等，通过putty等客户端，访问ui.wxnet.top访问。

下图显示通过远程桌面访问内网资源：