很多企业使用内网穿透时，为图方便直接把整套内网服务完整映射到公网。业务接口对外开通的同时，管理后台、调试文档、模型管理接口也一并暴露，容易遭到外部扫描探测。老旧系统改造成本高，额外部署 Nginx 又加重运维负担。
ZeroNews 边缘网关路由白名单可解决该痛点：以隧道为维度管控 HTTPS 访问，仅转发白名单内 URL 路径；非白名单请求在网关直接拒绝，流量不进入隧道、不触碰内网业务。
核心逻辑：先判断访问路径，名单外请求网关直接拦截，流量不再进入企业内网。
01.ZeroNews 路由白名单，给企业带来哪些核心价值
仅开放业务契约约定路径，收缩公网攻击面
内网服务可继续保留管理页面、调试接口、模型管理接口，公网侧仅放行真实业务需要调用的路由。攻击者扫描/admin等敏感路径的请求，在边缘网关就被拦截，根本无法触达企业内网。
拦截发生在网关，减轻内网服务器压力
区别于 “流量进入内网后再返回 404/401” 的防护模式，未授权请求直接在边缘网关阻断，减少内网服务遭受路径枚举扫描。访问日志可清晰区分网关策略拦截与业务自身报错，方便企业安全运维排查。
按隧道独立配置，满足多场景差异化管控
企业不同业务隧道可以配置独立白名单规则：研发联调隧道可开放更多调试接口；面向第三方的对外业务隧道收紧权限；回调专用隧道仅放行回调路径。关闭隧道即可直接回收全部对外访问入口，灵活适配企业多角色、多合作方的访问需求。
内网业务零代码改造，降低运维成本
老旧 API、Ollama 大模型服务、自研业务系统无需修改代码，原有端口、服务逻辑保持不变。全部路径访问策略在 ZeroNews 控制台可视化配置，无需在企业内部机器维护多套公网专用 Nginx 代理规则。
可与多安全策略叠加使用
路由白名单聚焦管控[哪些 URL 路径允许访问]，可以和 IP 黑白名单、BasicAuth 账号口令、区域访问控制组合使用。企业 API 对接、OA 系统、第三方外协对接场景，推荐多重安全策略搭配，构建多层防护体系。
02.企业典型落地应用场景
场景 1｜内网 API 对外对接，只开放合作方需要的业务接口
很多企业内部订单、库存、主数据 API 需要给外部分支、合作系统调用，如果直接整站穿透，管理接口、内部任务接口同步对外暴露。 借助路由白名单，在对应 HTTPS 隧道配置放行 /api/v1/order、/api/v1/inventory等业务接口，其余全部路径网关拦截。内网业务无需改动，快速安全完成系统对外对接。
场景 2｜Ollama/vLLM 大模型服务对外：仅开放推理，屏蔽模型管理能力
企业部署本地大模型服务，对外仅需要对话、向量推理能力。通过白名单放行 /v1/chat/completions、/v1/embeddings； 拦截/api/tags、/api/pull、/api/delete等模型管理接口。 💡小建议：区分员工内部调试隧道与对外服务隧道，对外的隧道权限设置更加严格，防止模型列表泄露、权重被恶意拉取。
场景 3｜小程序业务 API，抵御分散客户端扫描
小程序业务域名访问来自海量分散用户 IP，IP 白名单很难作为主防护手段。 路由白名单限定只放行登录、订单等业务接口，/admin、接口文档、监控指标页面统一在网关拦截。管理后台尽量不对外生成隧道；如果端口无法拆分，路由白名单就成为隔离管理面的关键屏障。
场景 4｜Webhook & 支付回调，隧道只放行回调地址
企业微信、飞书、微信支付等平台回调，只会请求固定的回调 URL。 隧道白名单仅配置回调路径如 /wecom/webhook、/feishu/webhook、/api/v1/pay/notify，必要时临时增加健康检查路径。避免回调专用隧道被当做整站访问入口，搭配业务签名校验，保障回调链路安全。
场景 5｜外协、分支厂商对接，隔离内外接口
外协供应商、合作厂商仅需要调用报工、同步类接口， 例如/api/v1/report、/api/v1/sync。 在对接专属隧道配置路由白名单，叠加合作方 IP 限制、应用 Token 鉴权。内部管理接口不对外映射。合作方网络出口发生变更时，仅更新安全策略，不用反复调整业务映射。
03.企业快速配置操作指引
当完成内网业务 HTTPS 隧道创建之后，即可开启路由白名单：
1.进入 ZeroNews 控制台 -【隧道管理】，找到目标 HTTPS 隧道，点击[流量策略]入口,在策略菜单选择【路由白名单】;
2.点击开启策略的开关，添加允许公网访问的 URL 路径，支持精确路径、前缀通配匹配；例如 /api/v1/login、/api/v1/order，保存后策略在 边缘网关实时生效。
提示：仅白名单内配置路径可以访问，其余所有访问请求都会被网关拒绝，请仔细核对业务所需全部路径，避免业务访问异常。
内网穿透极大便利企业内外网业务互通，但“全部对外映射” 不等于最佳实践。 ZeroNews 路由白名单，帮助企业把公网暴露面精准收缩至真正需要对外开放的业务路由。让拦截发生在互联网边缘网关，流量不进入企业内网，从源头降低被扫描探测、非法访问的风险，兼顾业务连通性与企业网络安全。