內網網站僅允許 VPN 存取的架構實作

需求：建立一個網站，外網無法直接存取，僅允許透過 VPN 連線至內網後訪問。

架構圖解

外網使用者 --> VPN Client --> VPN Server (公網 IP) --> 內網 Web Server (私有 IP)

實作步驟

1. 內網部署 Web Server：在內網機器（如 192.168.1.100）安裝 Nginx/Apache/Tomcat，綁定私有 IP 與埠（80/443/8080），不做任何公網映射。
2. 部署 VPN Server：在有公網 IP 的邊界伺服器（或雲端實例）安裝 OpenVPN / WireGuard / IPsec / L2TP 等 VPN 服務端。
3. 配置 VPN 路由：確保 VPN 客戶端連線後，能路由至內網 Web Server 所在網段（如 192.168.1.0/24）。
4. 防火牆策略：內網 Web Server 防火牆僅允許 VPN 虛擬網段（如 10.8.0.0/24）存取 80/443 埠，拒絕其他來源。
5. 客戶端分發：將 VPN 客戶端設定檔（.ovpn / .conf）分發給授權人員。

常見 VPN 方案比較

進階：零信任網路存取 (ZTNA)

若不想維護傳統 VPN，可採用 Cloudflare Access、Tailscale、Twistlock 等 ZTNA 服務，以身分驗證取代網路邊界，更細粒度控制存取權限。

核心原則：Web Server 絕不暴露於公網，所有流量必須經過加密通道進入內網。