排查内部域名123.abc.com跳转至外部站点的配置与实现方式

一、先查DNS层面配置 #

这是域名跳转最常见的源头，优先排查：

• 本地hosts文件：在内部Web服务器或负责解析的机器上，查看/etc/hosts（Linux）或C:\Windows\System32\drivers\etc\hosts（Windows），确认是否存在123.abc.com的映射记录，是否直接指向publicdomain.com的公网IP。
• 内部DNS服务器记录：联系管理员查看公司内部DNS服务（如Bind、Windows DNS），检查123.abc.com的A记录、CNAME记录——如果配置了CNAME指向publicdomain.com，或者A记录直接对应外部站点的IP，那就是DNS在起作用。
• 验证操作：在内部机器执行nslookup 123.abc.com或dig 123.abc.com，对比返回的IP与publicdomain.com的解析IP是否一致。

二、检查反向代理/应用层配置 #

你提到内部Web层本身有反向代理规则，这部分可能存在二次转发：

• 代理服务器配置文件：
  • Nginx：查看nginx.conf或站点专属配置，找是否有针对123.abc.com或/theURI/theResourceIwant.js的proxy_pass指令，指向https://publicdomain.com。
  • Apache：检查httpd.conf或虚拟主机配置，确认是否存在ProxyPass/ProxyPassReverse规则，将请求转发到外部站点。
• 验证操作：在内部Web服务器上直接执行curl https://123.abc.com/theURI/theResourceIwant.js -v，通过 verbose 输出看请求实际流向；或者查看代理服务器的访问日志，看是否有转发到外部站点的记录。

三、排查防火墙/网关的NAT策略 #

如果DNS和代理都无异常，就看网络设备的地址转换规则：

• DNAT/SNAT规则：找管理员检查防火墙或网关设备，是否配置了DNAT规则——将访问内网IP10.n.n.n（对应123.abc.com）的特定端口/URI请求，转发到publicdomain.com的公网IP。
• 透明代理：部分网关会做透明代理，自动拦截特定域名的请求，直接转发到外部站点，无需客户端配置。
• 验证操作：在内部机器用tcpdump抓包，看访问10.n.n.n的请求，最终是否被发往publicdomain.com的IP地址。

四、其他小众配置方向 #

• 本地代理工具：检查内部Web服务器是否运行squid、privoxy等代理软件，配置文件中是否有针对123.abc.com的转发规则。
• 内部缓存/CDN服务：如果公司有内部CDN或缓存系统，可能配置了回源规则，当请求123.abc.com的资源时，自动从publicdomain.com拉取内容。

内容的提问来源于stack exchange，提问作者on-ca