如何让NPM托管的远程Web客户端访问Linux防火墙后私有端口后端？

核心思路 #

所有外部请求仅通过公网80端口进入，由服务器内的代理服务将API请求转发到本地私有端口5000——本地回环（127.0.0.1）的流量不受UFW公网规则限制，因此无需开放5000端口给外部。

方案1：Nginx反向代理（最推荐） #

Nginx作为公网入口，同时托管前端静态文件并代理后端API请求，完全匹配你的需求，且能绕过UFW规则（Nginx与后端的通信属于本地回环流量，UFW默认允许本地请求）。

配置步骤： #

1. 调整前端请求路径：将前端代码中所有指向http://hostname:5000的请求，改为http://hostname/api（或其他自定义前缀，如/backend）。
2. 配置Nginx：在站点配置文件中添加代理规则：

server {
    listen 80;
    server_name hostname;

    # 托管前端静态文件（替换为你的前端打包目录路径）
    location / {
        root /var/www/frontend/dist;
        try_files $uri $uri/ /index.html; # 兼容单页应用路由
    }

    # 代理后端API请求到本地5000端口
    location /api/ {
        proxy_pass http://localhost:5000/; # 末尾斜杠需与前缀对应，避免路径拼接错误
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. 重启Nginx：执行sudo systemctl restart nginx使配置生效。

浏览器仅向80端口发送请求，Nginx自动将API请求转发到本地5000端口，UFW无需额外配置。

方案2：使用Unix域套接字（更安全，无端口暴露） #

若想彻底避免使用端口，可让后端监听Unix域套接字，Nginx直接转发到套接字文件，完全绕过端口相关防火墙规则。

配置步骤： #

1. 修改后端监听方式：以Node.js为例，将监听端口改为套接字文件：

const http = require('http');
const app = require('./app');
const fs = require('fs');

const socketPath = '/tmp/backend.sock';

// 启动前清理旧套接字文件
if (fs.existsSync(socketPath)) {
    fs.unlinkSync(socketPath);
}

const server = http.createServer(app);
server.listen(socketPath, () => {
    console.log(`Backend running on Unix socket: ${socketPath}`);
    // 设置套接字权限，让Nginx可访问
    fs.chmodSync(socketPath, '770');
    // 将套接字所属组改为Nginx组（通常为www-data）
    fs.chownSync(socketPath, process.getuid(), 33); // 33为www-data的GID，可根据实际调整
});

2. 修改Nginx配置：将代理目标改为套接字文件：

location /api/ {
    proxy_pass http://unix:/tmp/backend.sock:/;
    # 其余proxy头部配置与方案1一致
}

3. 重启后端和Nginx：确保套接字文件权限正确，Nginx可正常访问。

方案3：UFW允许本地回环访问5000端口（备选） #

若不想使用代理，可仅允许本地回环地址访问5000端口，公网仍无法访问：

sudo ufw allow in from 127.0.0.1 to any port 5000

随后通过Nginx或其他本地代理将请求转发到127.0.0.1:5000，本质与方案1类似，但灵活性稍差。

方案4：前端开发环境代理（仅用于开发，生产建议用Nginx） #

开发阶段可在前端项目中配置本地代理，例如React项目在src/setupProxy.js中添加：

const { createProxyMiddleware } = require('http-proxy-middleware');

module.exports = function(app) {
    app.use(
        '/api',
        createProxyMiddleware({
            target: 'http://localhost:5000',
            changeOrigin: true,
        })
    );
};

生产环境仍需依赖Nginx或类似反向代理服务。

内容的提问来源于stack exchange，提问作者Jay Nayak