告别内网 HTTP 与配置混乱：开源安全基建 Infisical 落地指南

如果你曾在一个完全没有互联网连接的“物理隔离（Air-gapped）”环境中部署过应用，你一定体会过那种绝望：无法使用云端的密钥管理服务，服务器之间靠 U 盘拷贝 .env 文件，内网通信满天飞的 HTTP 明文，以及因为自签证书导致的各种浏览器弹窗警告。

传统企业级方案（如 HashiCorp Vault）虽然强大，但对于小型开发团队来说，其陡峭的学习曲线和沉重的运维成本往往令人望而却步。

今天，向大家介绍一款定位为“开源的密钥、证书和特权访问管理（PAM）平台”的现代工具——Infisical。它不仅能以极低的门槛解决内网配置同步的痛点，还能作为你的内部证书颁发机构（Internal CA），优雅地将内网 HTTP 服务全面升级为 HTTPS。

为什么小型团队需要 Infisical？

对于小团队和隔离网络环境，Infisical 提供了几个击中痛点的核心价值：

100% 纯私有化部署： 核心功能基于 MIT 开源协议。你可以轻松将 Docker 镜像打包带入无网环境，一键拉起，在内网建立一个绝对安全的“配置与密钥真理源（Single Source of Truth）”。
零代码侵入的密钥注入： 告别在代码里写死环境判断。通过 Infisical CLI 或 Agent（例如执行 infisical run -- npm start），它会在进程启动时动态将密码作为环境变量注入。你的业务代码不需要改动哪怕一行。
极佳的开发者体验（DX）： 相比于 Vault 复杂的解封机制和 HCL 策略配置，Infisical 提供了一个类似 Vercel 般清爽的现代 Web UI。开发者只需几分钟即可上手，支持密钥版本控制、差异比对和秒级回滚。

进阶实战：在内网用 Infisical 建立私有 PKI 并启用 HTTPS

除了管配置，Infisical 极其亮眼的一点是内置了 Certificate Management（私有 PKI）。

在内网环境，因为无法连接 Let's Encrypt 等公网 CA，很多团队干脆裸奔 HTTP，或者每个人自己用 OpenSSL 瞎签证书，导致内网信任链彻底崩溃。利用 Infisical，你可以轻松建立企业内部的根证书，并为内网的 Nginx 或 IIS 代理服务签发受信任的 TLS 证书。

第一步：建立内网信任链（核心前置）

在 Infisical 控制台进入 Certificate Management -> Internal CAs。
创建一个内网根证书（Root CA），例如命名为 MyCompany Internal Root CA，有效期设长一点（如 10 年）。
关键动作： 下载这个 Root CA 的 .crt 文件，并将其分发导入到所有需要访问内网服务的客户端电脑的“受信任的根证书颁发机构”中。这是消除浏览器不安全警告的根本。
创建一个用于实际签发的中间 CA 和证书模版（定义允许的内网域名，如 *.internal.local）。

建立好 PKI 后，接下来我们分 Nginx 和 IIS 两种常见的 Web 服务器来看看如何配置。

方案 A：为 Nginx 代理配置 HTTPS

Nginx 处理 HTTPS 非常直接，需要标准的 PEM 格式证书。

1. 签发并下载证书

在 Infisical 中为你的域名（如 api.internal.local）申请证书，下载 certificate.crt（包含完整证书链）和 private.key（私钥）。

2. 部署到服务器

将文件上传至 Nginx 服务器的 /etc/nginx/certs/ 目录，并确保私钥权限安全（chmod 600）。

3. 修改 Nginx 配置

打开你的 nginx.conf 或站点配置文件，将 80 端口重定向，并监听 443 端口：

# 将 HTTP 强制重定向到 HTTPS
server {
    listen 80;
    server_name api.internal.local;
    return 301 https://$host$request_uri;
}

# HTTPS 核心配置
server {
    listen 443 ssl;
    server_name api.internal.local;

    # 指向 Infisical 生成的证书与私钥
    ssl_certificate /etc/nginx/certs/certificate.crt;
    ssl_certificate_key /etc/nginx/certs/private.key;

    # 推荐的安全套件配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        proxy_pass http://127.0.0.1:8080; # 反向代理到你的实际后端
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

最后执行 nginx -s reload，你的内网 Nginx 就拥有了受信任的 HTTPS 绿锁！

方案 B：为 IIS 代理配置 HTTPS

Windows 环境下的 IIS 需要将证书和私钥打包成 .pfx (或 .p12) 格式。

1. 准备 PFX 证书

你可以直接在 Infisical 导出时选择 PFX 格式（需设置保护密码），或者通过 OpenSSL 将刚下载的文件合并：

openssl pkcs12 -export -out server.pfx -inkey private.key -in certificate.crt

2. 导入 Windows 服务器

在 IIS 服务器上运行 mmc，添加“证书”管理单元（选择计算机账户）。
在“个人” -> “证书”中，右键选择“所有任务 -> 导入”，导入你的 server.pfx 文件并输入密码。

3. 在 IIS 中绑定证书

打开 IIS 管理器，找到你的目标网站。
点击右侧面板的 “绑定...” (Bindings)，然后点击 “添加”。
类型选择 https，端口默认 443，主机名填入内网域名（如 api.internal.local）。
在最下方的 SSL 证书 下拉菜单中，选中你刚刚导入的 Infisical 证书，点击确定即可。

结语

在现代软件工程中，安全基建不应该只存在于连接着外网的云原生集群里。通过引入 Infisical，即便是在最严格的物理隔离网络中，小型团队也能以极低的成本享受到现代化的密钥注入、统一配置管理和自动化的内部 HTTPS 信任体系。

如果你正为内网部署的配置文件散落一地而头疼，不妨去看看 Infisical，或许它就是你一直在找的那个轻量级破局方案。

告别内网 HTTP 与配置混乱：开源安全基建 Infisical 落地指南