配置Kong网关后如何禁用微服务初始暴露端口9000

这是生产环境里非常关键的配置——毕竟网关的核心作用就是作为API的唯一入口，管控流量、鉴权和监控，如果后端服务还能直接被访问，那网关的价值就打折扣了。下面是几种实用的解决方案，按推荐优先级排序：

1. 修改微服务的监听地址（最直接的方案） #

默认情况下，大多数微服务会监听0.0.0.0:9000，这意味着它会接受来自任何IP的请求。我们可以把它改成仅监听本地回环地址或者Kong所在的内网私有IP，这样只有Kong（或者本地进程）能访问它，外部无法直接连接9000端口。

举几个常见框架的配置例子：

• Spring Boot：在application.properties里添加server.address=127.0.0.1
• Node.js：启动服务时指定监听地址：app.listen(9000, '127.0.0.1', () => { ... })
• Python Flask：app.run(host='127.0.0.1', port=9000)

配置完成后，微服务只会响应来自本地的请求，Kong作为本地（或同内网）的进程，依然能正常转发流量到9000端口，但外部用户无法直接访问。

2. 用防火墙/安全组限制端口访问（适合无法修改服务配置的场景） #

如果因为某些原因不能调整微服务的监听地址，可以通过防火墙规则，禁止外部对9000端口的访问，只允许Kong所在的IP地址连接。

Linux系统（以ufw为例）： #

1. 先禁止所有外部对9000端口的访问：

   ufw deny 9000
   

2. 允许Kong服务器的IP访问9000端口（替换<Kong_IP>为实际IP）：

   ufw allow from <Kong_IP> to any port 9000
   

Linux系统（以iptables为例）： #

1. 允许Kong IP访问9000端口：

   iptables -A INPUT -p tcp --dport 9000 -s <Kong_IP> -j ACCEPT
   

2. 拒绝其他所有对9000端口的请求：

   iptables -A INPUT -p tcp --dport 9000 -j DROP
   

云服务器场景： #

直接在云服务商的安全组规则里，删除对9000端口的公网开放权限，只添加允许Kong所在服务器IP访问9000端口的规则即可。

3. 容器化环境的网络隔离（Docker/K8s场景） #

如果你的微服务和Kong都运行在容器化环境里，可以通过网络隔离来彻底屏蔽外部对微服务端口的访问：

Docker环境： #

1. 创建一个专属的Docker网络：

   docker network create kong-internal
   

2. 启动微服务时，加入这个网络，不要暴露端口到宿主机：

   docker run --network kong-internal --name my-api-service ...
   

3. 确保Kong也加入同一个网络，这样Kong可以通过服务名（比如my-api-service:9000）访问微服务，而宿主机和外部无法直接触及9000端口。

Kubernetes环境： #

默认情况下，微服务的Service类型是ClusterIP，这意味着它只能在K8s集群内部被访问。只要你不把Service改成NodePort或LoadBalancer，外部就无法直接访问微服务的9000端口，Kong作为集群内的组件，可以正常通过ClusterIP访问服务。

验证配置是否生效 #

完成配置后，你可以：

• 从外部机器（或手机流量）尝试访问你的服务器IP:9000，应该会出现连接超时或拒绝的情况
• 通过Kong的端口你的服务器IP:8000访问API，确认能正常响应

内容的提问来源于stack exchange，提问作者Oussama Elkhdadi