公司内部系统通常包含敏感数据，比如员工信息、财务记录或客户资料。为了防止信息泄露，很多单位都会要求这些系统只能在办公室内网使用，不能通过外网随意访问。这种设置其实并不复杂，只要掌握几个关键点，普通技术人员也能搞定。
为什么要做外网访问限制
想象一下，你在咖啡馆连上公共Wi-Fi，顺手打开公司OA系统处理邮件。如果这个系统没做外网限制，黑客也可能像你一样，从任何地方登录查看甚至篡改数据。一旦发生这种情况，损失可能难以挽回。所以，限制外网访问本质就是给系统加了一道“门”，只允许局域网内的设备进入。
通过路由器或防火墙设置IP规则
最常见的做法是在网络出口设备（比如企业路由器或防火墙）上配置访问控制列表（ACL）。例如，假设你的内网网段是192.168.1.0/24，可以添加一条规则：只允许该网段的IP访问服务器的80和443端口，其他来源一律拒绝。
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP上面这条Linux防火墙命令的意思是：只放行来自192.168.1.x的请求访问Web服务，其他所有外部请求直接丢弃。这类规则可以在企业级路由器界面中图形化设置，不需要手动敲命令。
利用Web服务器配置访问范围
如果你用的是Apache或Nginx这类常见Web服务器，也可以直接在配置文件里限定访问来源。
比如Nginx中可以这样写：
location / {
allow 192.168.1.0/24;
deny all;
}这段配置表示，只有来自192.168.1.0网段的设备能访问网站内容，其他IP都会收到“403 Forbidden”错误。重启服务后立即生效。
结合VPN提升安全性
有时候员工需要在家办公，完全禁止外网访问又不太现实。这时候可以搭配使用VPN。把内部系统彻底屏蔽公网访问，然后要求员工必须先连接公司VPN，才能像在办公室一样访问系统。
这种方式相当于把外网用户“拉进”内网环境，既保证了安全，又不影响远程办公效率。很多中小企业现在都采用这种折中方案。
定期检查开放端口
做完设置后别忘了验证效果。可以在公司外面用手机热点尝试访问系统地址，看看是否被拦截。同时，在服务器上运行netstat -tuln命令，确认没有不必要的端口暴露在公网上。
有些单位曾经出过问题：明明设置了防火墙规则，但后来换了新服务器，忘记同步策略，导致系统意外暴露在互联网上。定期检查能避免这类疏漏。