波仔
🔌 第五章 服务器端的局域网中有什么玄机
📄 一句话概括

外部进不了公司内网，两道理由叠加：内网用私有地址（互联网上不可路由）＋防火墙把外到内方向全部阻止——内网只能自己先出站。

📝 本节和前面几节的关系

5.2.5 把服务器安顿在 DMZ；本篇解释内网本身为什么安全。

一、两道锁

私有地址：内网设备用的是 3.4.1 讲的私有 IP， 在互联网上根本不可路由，包想回也回不来； 防火墙：外到内方向全部阻止，双保险。

二、主动权

内网设备只能【自己先出站、再收回应】—— 与 5.2.4 的控制位思路一脉相承。

三、动手 Demo：外面为什么进不来

外部无法直接访问公司内网，两道理由叠在一起：

for a, b in [('私有地址','内网地址在互联网上不可路由，包根本回不来'),
             ('防火墙拦截','外 -> 内方向的包被规则全部阻止')]:
    print('%-6s %s' % (a, b))

实跑输出：

--------------------------------------------------------------------
外面为什么进不来
--------------------------------------------------------------------
  外部无法直接访问公司内网，两道理由叠在一起：

  理由           说明
  --------------------------------------------------------
  私有地址       内网地址在互联网上不可路由，包根本回不来
  防火墙拦截     外 -> 内方向的包被规则全部阻止
  --------------------------------------------------------

  内网设备只能【自己先出站、再收回应】——
  主动权永远在内网手里。

⭐ 2026 现状：远程办公普及后，VPN 成了 【唯一合法的进门通道】——进门不再是默认，而是审批。

30 秒实验

  1. 背出三段私有地址的范围（3.4.1）。
  2. 解释为什么包【回不来】。
  3. 说说 VPN 打破了哪一道锁。

常见误区

  1. 以为内网安全全靠防火墙——私有地址本身就挡了一道。
  2. 以为外部完全无法访问内网——VPN 等受控通道是例外。
自测三问（点开对答案） 1. 外部进不了内网的两道理由？ —— 私有地址不可路由＋防火墙拦截。 2. 内网设备怎么通信？ —— 自己先出站，再收回应。 3. 受控的例外通道叫什么？ —— VPN。

相关笔记