如何基于VPN实现Web应用访问控制？优化Spring Boot API验证逻辑

原逻辑仅通过IP前缀判断是否来自VPN，容易出现IP模式冲突，导致判断失效。以下是几种更可靠的实现方案：

一、精准匹配VPN IP段（CIDR格式） #

把原来的前缀判断改成基于完整IP段的匹配，用CIDR格式定义VPN的所有出口IP范围，避免单个前缀的冲突问题。

步骤： #

1. 引入Apache Commons Net依赖（Maven）：

<dependency>
    <groupId>commons-net</groupId>
    <artifactId>commons-net</artifactId>
    <version>3.9.0</version>
</dependency>

2. 修改验证方法：

import org.apache.commons.net.util.SubnetUtils;
import javax.servlet.http.HttpServletRequest;
import java.util.Arrays;
import java.util.List;

Boolean isAccess(HttpServletRequest request) {
    // 可从配置文件读取，比如在application.properties里配置vpn.cidr.ranges=192.168.1.0/24,10.0.0.0/8
    List<String> vpnCidrRanges = Arrays.asList("192.168.1.0/24", "10.0.0.0/8");
    
    String ipAddress = request.getHeader("X-FORWARDED-FOR");
    if (ipAddress == null || ipAddress.isEmpty()) {
        ipAddress = request.getRemoteAddr();
    }
    // 处理X-FORWARDED-FOR多IP的情况，取第一个真实IP
    if (ipAddress.contains(",")) {
        ipAddress = ipAddress.split(",")[0].trim();
    }
    
    for (String cidr : vpnCidrRanges) {
        SubnetUtils subnet = new SubnetUtils(cidr);
        if (subnet.getInfo().isInRange(ipAddress)) {
            return true;
        }
    }
    return false;
}

这种方式能精准覆盖所有VPN出口IP，不会出现误判。

二、基于VPN专属域名验证 #

如果你的VPN有专属访问域名（比如vpn.yourcompany.com），可以通过Host头或反向DNS验证来判断。

1. 验证请求Host头 #

要求用户必须通过VPN专属域名访问应用，直接判断Host头：

Boolean isAccess(HttpServletRequest request) {
    String allowedVpnHost = "vpn.yourcompany.com";
    String requestHost = request.getHeader("Host");
    
    // 去掉端口号，比如处理vpn.yourcompany.com:8080这种情况
    if (requestHost != null && requestHost.contains(":")) {
        requestHost = requestHost.split(":")[0];
    }
    
    return allowedVpnHost.equals(requestHost);
}

注意：要确保反向代理只转发该域名的请求，防止客户端伪造Host头。

2. IP反向DNS验证 #

通过IP反向解析，判断是否归属VPN专属域名：

import java.net.InetAddress;
import java.net.UnknownHostException;

Boolean isAccess(HttpServletRequest request) {
    String ipAddress = request.getHeader("X-FORWARDED-FOR");
    if (ipAddress == null || ipAddress.isEmpty()) {
        ipAddress = request.getRemoteAddr();
    }
    if (ipAddress.contains(",")) {
        ipAddress = ipAddress.split(",")[0].trim();
    }
    
    try {
        InetAddress addr = InetAddress.getByName(ipAddress);
        String hostName = addr.getCanonicalHostName();
        // 判断域名后缀是否匹配VPN专属域名
        return hostName.endsWith(".vpn.yourcompany.com");
    } catch (UnknownHostException e) {
        // 解析失败，直接拒绝访问
        return false;
    }
}

这种方式需要提前配置VPN出口IP的反向解析，指向专属域名。

三、VPN客户端证书验证（最高安全等级） #

如果需要绝对可靠的验证，要求VPN客户端携带专属证书，Spring Boot通过SSL客户端认证来验证：

步骤： #

1. 在application.properties配置SSL和信任库：

server.ssl.enabled=true
server.ssl.key-store=classpath:server.jks
server.ssl.key-store-password=your_password
server.ssl.trust-store=classpath:vpn_truststore.jks
server.ssl.trust-store-password=your_password
server.ssl.client-auth=required

2. 验证客户端证书信息：

import javax.servlet.http.HttpServletRequest;
import java.security.cert.X509Certificate;

Boolean isAccess(HttpServletRequest request) {
    X509Certificate[] certs = (X509Certificate[]) request.getAttribute("javax.servlet.request.X509Certificate");
    if (certs == null || certs.length == 0) {
        return false;
    }
    X509Certificate clientCert = certs[0];
    // 验证证书的OU字段是否为VPN客户端专属标识
    String dn = clientCert.getSubjectDN().getName();
    return dn.contains("OU=VPN-Client");
}

这种方式完全避免IP或域名冲突问题，只有持有合法VPN证书的客户端才能访问。

内容的提问来源于stack exchange，提问作者Govind Prasad