从 OT 网络的外部访问 InTouch Web 客户端

反向代理是位于一个或多个 Web 服务器的前面，可拦截来自客户端的请求的服务器。通过反向代理，在客户端向网站的源服务器发送请求时，反向代理服务器即会在网络边缘拦截那些请求。然后，反向代理服务器再将请求发送给源服务器，并接收来自源服务器的响应。如果这些 Web 服务器中的任何一个出现故障或其中一个发生故障转移，那么反向代理会将来自客户端的请求发送到冗余 Web 服务器。

正向代理位于客户端的前面，可确保没有任何源服务器能与该特定客户端直接通讯。另一方面，反向代理位于源服务器的前面，并确保没有任何客户端曾经与该源服务器直接进行通讯。

必须先在 DMZ 服务器上配置反向代理，OT 网络外部的设备才能访问 InTouch Web 客户端。有关更多信息，请参阅 AVEVA DMZ 安全链接。必须启用 AVEVA Identity Manager，反向代理才会起作用。有许多反向代理解决方案的提供商。请参阅相关的反向代理解决方案文档、有关冗余支持的信息以及有关在基础结构中设置反向代理解决方案的操作说明。

反向代理配置要求

反向代理必须在所有转发请求中包含 X-Forwarded-For HTTP 标头。

Web 客户端服务使用此标头来识别原始客户端 IP 地址，这是计算和管理许可会话所必需的。

如果缺少所需的标头，请求将不会被处理，并且会在 Logger 中记录错误。使用反向代理（如 NGINX）时，请确保已配置 X-Forwarded-For 标头，并将其随每个发往 InTouch Web 客户端服务的请求一并转发。

以下 NGINX 配置示例显示了如何添加 X-Forwarded-For 标头。

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;