内网穿透生产踩坑：别用随机域名访问 OA/ERP，自有域名完整实战

内网穿透生产踩坑：别用随机域名访问 OA/ERP，自有域名完整实战

• • 前言
  • 工作原理
  • 使用自有域名的核心收益
  • • 1. 域名归属企业，IT审计可控
    • 2. TLS证书平台托管，自动续期
    • 3. 访问入口长期稳定
    • 4. 可叠加多层网关安全策略
    • 5. 多业务、多分厂子域名便于拆分管理
  • 业务落地适用场景
  • • 场景1：外勤访问内网OA处理审批
    • 场景2：ERP对外给销售、外协厂使用
    • 场景3：企微 / 飞书 /钉钉内网机器人回调
    • 场景4：微信小程序、微信支付回调
    • 场景5：内网应用接入企业微信工作台
  • 完整实操步骤
  • • 步骤1：控制台添加自有域名
    • 步骤2：自动申请TLS证书
    • 步骤3：隧道绑定自有域名
  • 总结

前言

很多中小企业、IT运维会使用内网穿透，将内网OA、ERP、小程序后端、知识库系统暴露到公网，解决外勤员工、外协合作方远程访问的需求。

在测试阶段，穿透平台分配的随机域名上手很快，复制即可使用。但是很多团队直接将随机域名投入正式生产业务，后续会遇到一系列棘手的业务问题：

针对以上痛点，可以采用企业已经完成ICP备案的自有子域名来做内网穿透。下面记录完整落地实操。

工作原理

✅关键特性

• 内网业务服务器不需要公网IP，无需手动部署SSL证书；
• 客户端仅做出站连接 + 本地端口转发；
• HTTPS解密、IP黑白名单、访问围栏、BasicAuth鉴权全部在边缘网关处理；
• 仅映射业务所需Web端口，不会把整台主机暴露公网，缩小攻击面。

⚠️注意：该方案优化公网入口层，不能替代业务应用本身的安全加固。

使用自有域名的核心收益

1. 域名归属企业，IT审计可控

解析记录保存在企业自己DNS台账，域名变更、权限审计沿用企业现有IT流程。邮件、合同、培训资料中的对外链接都是企业自有域名，不依赖穿透服务商域名后缀。

2. TLS证书平台托管，自动续期

内网NAS、业务服务器、工控旁路设备，不需要额外部署Nginx处理证书。证书申请、续期交由平台处理，内网应用只监听内网HTTP端口，对缺少专职运维的中小团队十分友好。

3. 访问入口长期稳定

OA外网地址、企微/飞书回调、小程序合法域名、Webhook地址配置完成之后可以长期复用。 即使内网客户端换机、内网IP变更、调整隧道带宽，只要域名‑隧道绑定关系不变，外部访问地址无需改动。

4. 可叠加多层网关安全策略

自有域名仅仅定义外部访问的主机名。依旧可以限制隧道仅开放必要端口，网关侧配置IP白名单、地区访问限制、路由白名单。

示例：ERP仅暴露Web门户，API只放行/v1/*接口，屏蔽管理后台路由。域名解决身份与HTTPS加密，网关策略管控访问权限。

5. 多业务、多分厂子域名便于拆分管理

OA、ERP、IM机器人回调可以配置不同子域名，分别绑定隧道。内网业务分布在不同网段、不同客户端，外网对外入口统一规整。

业务落地适用场景

场景1：外勤访问内网OA处理审批

泛微、致远、蓝凌等OA部署在内网，办公室访问正常。销售、实施人员在外需要处理待办审批。 绑定oa.yourcompany.com，外勤直接访问企业域名处理审批，不必部署笨重VPN，对外地址具备企业品牌。

场景2：ERP对外给销售、外协厂使用

用友、金蝶ERP部署厂区机房，销售在外查询库存交期、外协厂网页报工。 随机域名一旦变化，大量外协文档都要更新。使用自有子域名，业务权限依旧由ERP管控，内网穿透仅负责公网HTTPS入口。

场景3：企微 / 飞书 /钉钉内网机器人回调

内网部署审批Agent、对话机器人，IM开放平台要求固定HTTPS回调地址。 随机域名隧道重建就需要重新校验回调配置，自有域名可以让回调地址永久固定。

场景4：微信小程序、微信支付回调

微信支付、小程序合法域名强制校验域名主体归属企业，随机域名无法通过审核。 小程序后端部署内网，通过自有域名做穿透代理，合法域名配置一次，不影响小程序提审、发版。

场景5：内网应用接入企业微信工作台

业务数据保留在内网不出公网，同时需要接入企业微信工作台。企微IAM校验域名主体，自有域名内网穿透满足该业务条件。

完整实操步骤

前置条件：拥有已经完成ICP备案的企业子域名

步骤1：控制台添加自有域名

进入控制台「自定义域名」页面，域名类型选择自有域名，填写完整域名、ICP备案号，提交等待审核。

审核通过，页面输出CNAME记录值。复制记录，前往域名服务商后台配置DNS解析。

以阿里云DNS为例，新增CNAME解析记录，填入分配的记录值，等待解析生效。

步骤2：自动申请TLS证书

CNAME验证通过，点击配置证书，选择自动申请证书。等待数分钟平台自动下发HTTPS证书。证书状态显示「TLS已启用」代表域名准备完成。

步骤3：隧道绑定自有域名

隧道管理页面新建隧道，公网域名选择自定义域名，下拉选择配置完成的自有域名，创建隧道。

配置完成，外勤、合作方就可以通过企业自有域名访问内网业务系统。

总结

内网穿透如果用于正式生产业务，不建议长期使用平台分配的随机域名。

自有域名方案解决域名不稳定、品牌公信力不足，同时解决微信、企业微信开放平台域名主体校验问题。配合网关访问控制策略，可以安全对外暴露OA、ERP、小程序后端等内网业务，适合中小企业运维落地。

💬思考：你们生产环境内网穿透会使用自有域名吗？欢迎评论区交流。