反向代理 — 核心概念

1.1 什么是反向代理

通过同一个端口进入服务器，由服务器内的程序根据请求中的域名（Host 头）将流量分发到不同的内部端口。

1.2 工作原理

• DNS 将不同域名解析到同一个公网 IP
• 反向代理读取 Host 头判断域名
• 根据域名转发到对应的内部端口

1.3 关键机制

三种实现方式与安全性对比

2.1 实现方式概览

2.2 安全性排名

2.3 安全维度详细对比

2.4 选型建议

2.5 配置示例

Nginx

        

          

          nginx
        
        server {
    listen 80;
    server_name a.com;
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl;
    server_name a.com;
    ssl_certificate     /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;
    location / {
        proxy_pass http://127.0.0.1:3000;
    }
}
      

Caddy

        

          

          caddyfile
        
        a.com {
    reverse_proxy localhost:3000
}
b.com {
    reverse_proxy localhost:8080
}
      

Node.js

        

          

          javascript
        
        const http = require('http');
const httpProxy = require('http-proxy');
const proxy = httpProxy.createProxyServer();

const routes = {
  'a.com': 'http://127.0.0.1:3000',
  'b.com': 'http://127.0.0.1:8080',
};

http.createServer((req, res) => {
  const host = req.headers.host.split(':')[0];
  const target = routes[host];
  if (target) {
    proxy.web(req, res, { target });
  } else {
    res.writeHead(404);
    res.end('Unknown host');
  }
}).listen(80);
      

流量入口

3.1 入口端口

所有面向公网的 HTTP/HTTPS 请求都从 80（HTTP）或 443（HTTPS）进入服务器。

3.2 这是协议标准决定的

• 用户不需要在域名后写 :80 或 :443
• 浏览器根据协议自动补全
• 全球统一规范

3.3 安全意义

流量出口

4.1 出口端口特点

4.2 四种流量场景

4.3 出口安全防护

• 出站白名单：只允许访问已知外部 API 地址
• 出站协议限制：只允许 443、53 等必要协议
• 异常监控：监控服务器是否大量访问未知 IP（可能被入侵）

        

          

          firewall
        
        # 防火墙配置示例
入站：只开放 80, 443
出站：只允许访问 api.stripe.com:443, smtp.qq.com:465
      拒绝其他所有出站流量
      

端口 80 vs 443

5.1 核心区别

• 80 → HTTP → 明文传输，数据裸奔
• 443 → HTTPS → 加密传输，截获也看不懂

5.2 详细对比

5.3 HTTPS 加密原理（简化版）

5.4 现代互联网为什么必须用 443

只用 443 不开 80 的可行性分析

6.1 三种方案对比

6.2 只开 443 的问题

6.3 标准做法（推荐）

        

          

          nginx
        
        # 80 端口只做一件事：重定向到 443
server {
    listen 80;
    server_name a.com;
    return 301 https://$host$request_uri;
}
# 443 端口提供实际服务
server {
    listen 443 ssl;
    server_name a.com;
    # ...
}
      

6.4 适用只开 443 的场景

知识点关系总图