替换SVN与Bamboo为GitHub后，部署至防火墙内网需自托管运行器吗？

不是只能采用自托管运行器，但自托管运行器是适配性最高、最易用的方案，以下是具体的选项分析：

自托管运行器（优先推荐） #

• 直接将运行器部署在内网环境中（或者能访问内网资源的机器上），天然具备访问内网服务器的权限，不需要额外调整防火墙规则。
• 可以直接复用你现有的Ant部署脚本，无需修改核心逻辑，只需要在GitHub仓库中配置自托管运行器的注册信息即可。
• 完全符合内网的安全管控要求，所有构建部署操作都在内部网络完成，不会有公网暴露的额外风险。

其他可选方案（有局限性） #

• 开放内网白名单给GitHub官方IP：如果运维允许，可以将GitHub Actions官方运行器的IP段加入内网防火墙白名单，让托管运行器能直接访问内网部署目标。但GitHub的IP段会定期更新，需要持续维护白名单规则，且开放端口的安全性需要严格评估。
• 中转节点拉取部署：先通过GitHub托管运行器将构建产物上传到公网中转存储（比如GitHub Packages），然后在内网部署一个监听服务或定时任务，主动拉取产物完成部署。这种方式需要额外维护中转存储和内网拉取服务，流程复杂度更高。

总结来说，如果内网环境对外网访问限制严格，自托管运行器是最优选择；如果有一定的网络开放权限，可以根据实际情况评估其他方案的可行性。

内容的提问来源于stack exchange，提问作者gabriel