如何将HTTPS请求重定向到私有端口 规避非加密服务端口暴露风险

1. 现有代理方案的合理性判断 #

你当前使用的https://example.com <--> nginx <--> http://example.com:3001反向代理逻辑本身是正确的，本身无HTTPS能力的内网服务通过Nginx做SSL卸载是行业通用的成熟方案。你担忧的问题确实存在：如果3001端口对公网开放，用户可以绕开HTTPS直接通过HTTP协议访问3001端口，存在数据明文传输的风险，同时端口暴露也会增加被恶意扫描、攻击的概率。

2. 禁止3001端口公网访问的实现方法 #

完全可以在主机侧配置实现，仅允许本机的Nginx访问3001端口，公网用户无法直接连接该端口，常见有两种实现方案：

• 防火墙拦截方案
  直接通过主机防火墙规则限制3001端口的访问来源，仅放行本地回环地址的请求：
  如果你使用UFW防火墙（Debian/Ubuntu默认），执行命令：

  sudo ufw deny 3001
  sudo ufw allow in from 127.0.0.1 to any port 3001
  sudo ufw reload
  

  如果你使用Firewalld防火墙（CentOS/RHEL默认），执行命令：

  sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="3001" protocol="tcp" source address="0.0.0.0/0" reject'
  sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="3001" protocol="tcp" source address="127.0.0.1" accept'
  sudo firewall-cmd --reload
  

• 服务绑定本地地址方案
  你可以修改snap部署的Web服务的监听配置，让服务仅绑定127.0.0.1而非默认的0.0.0.0，从根源上避免公网访问到该端口。该方案比防火墙配置更轻量化，不需要额外维护规则，修改后重启对应snap服务即可生效。

两种方案都不会影响Nginx的反向代理转发，只要确保Nginx配置中上游服务地址填127.0.0.1:3001即可正常运行。

内容的提问来源于stack exchange，提问作者Benjamin