企业借助内网穿透，把内部 OA、ERP、小程序后端、RAG 知识库、文档系统映射到公网，方便外勤人员、外协合作方访问已经是很常见的方案。
但不少团队还在使用内网穿透平台分配的随机域名做对外访问。临时测试没问题，但投入正式业务场景会暴露出不少棘手问题：
- 随机域名冗长难记忆，不方便口头通知登录地址；
- 带有平台随机后缀，看起来像临时测试链接，缺少企业公信力，不适合审批、订单、合同协作场景；
- 隧道重建后域名可能发生变化，旧链接、文档、后台回调配置全部需要修改；
- 没有企业品牌标识，对外访问入口观感差；
- 无法满足企业微信、微信支付、小程序开放平台的域名主体一致性校验，很多业务直接无法使用。
ZeroNews 的自有域名功能可以解决以上痛点。企业将已经备案的域名接入平台，通过自有域名做隧道映射，外部用户即可通过公司自己的域名安全访问内网业务。
ZeroNews 自有域名工作原理
企业在控制台录入已备案子域名，例如 oa.yourcompany.com； 在域名 DNS 服务商配置 CNAME 记录指向平台分配的地址。 由 ZeroNews 边缘网关承接 HTTPS 流量，平台自动完成 TLS 证书申请和自动续期。
✅重要特性： 内网应用不需要公网 IP，服务器不用手动安装证书；客户端仅做对外出站连接和本地转发。 HTTPS 解密、证书握手、IP 黑白名单、访问围栏、BasicAuth 鉴权全部在边缘网关完成。 HTTPS 隧道只映射 Web 业务端口，不会把整台主机暴露公网，缩小攻击面，保障内网安全。
使用企业自有域名的核心优势
1. 域名所有权归企业
对外访问使用企业自己的子域名，DNS 解析记录掌握在企业手里，变更、审计沿用现有 IT 流程。合同、邮件、培训文档中的访问地址都是企业域名，不依赖第三方穿透平台域名后缀。
2. 平台托管 HTTPS 证书自动续期
内网 NAS、业务服务器不需要额外部署 Nginx 处理 TLS。绑定自有域名后，证书申请、到期续期全部交给平台处理。内网应用只需要监听普通 HTTP 内网端口即可，非常适合没有专职运维人员的中小团队。
注意：该能力简化入口层运维，不能替代业务应用本身的安全加固。
3. 访问入口长期稳定
OA 外网地址、飞书 / 企微回调 URL、小程序合法域名、Webhook、项目配置文件中的访问地址一旦配置好可以长期复用。 就算内网客户端更换机器、内网 IP 变动、调整隧道带宽，只要域名‑隧道绑定关系不变，外部访问地址无需改动。
4. 可叠加网关安全策略
自有域名只定义外部访问的主机名。依旧可以限制隧道只开放必要端口，同时在网关配置 IP 白名单、地区访问控制、BasicAuth 认证、路由白名单。 举例：ERP 仅开放 Web 门户，API 只放行指定接口路径，把管理后台路径对外隐藏。域名解决对外身份与 HTTPS 加密；网关策略解决谁有权访问、可以访问哪些资源。
5. 多业务多站点方便管理
总部、分厂、多条业务线可以拆分不同子域名：shturl.cc/、shturl.cc/g、llm‑shturl.cc/w、shturl.cc/8NK。分别 CNAME 接入平台，绑定不同隧道。 统一 TLS 证书管理，内网业务分布在不同网段、不同客户端，外网对外入口体系规整可控。
企业真实业务落地场景
📌场景 1：企业 OA，外勤现场审批流程
泛微、致远、蓝凌这类 OA 部署在内网。办公室内网访问正常，销售、实施人员外出就无法处理待办。
通过自有域名 oa.企业域名.com 映射 OAWeb 端口。外勤在客户现场直接访问企业域名处理审批，不需要部署笨重 VPN。培训文档直接写企业域名，浏览器地址栏展示公司域名，对外更专业可信。
📌场景 2：工业 ERP，销售查库存、外协报工
用友、金蝶 ERP 部署在厂区机房。销售外出查询库存交期、跨分厂对账、外协工厂网页报工。 如果使用随机域名，链接一旦变更，外协所有文档都要更新。 配置erp.企业域名.com，外协、外勤全部走企业自有域名访问，账号权限依旧由 ERP 系统本身管控，穿透仅提供公网 HTTPS 入口。
📌场景 3：企微 / 飞书 / 钉钉内网机器人回调
内网部署的对话机器人、审批 Agent，IM 平台要求固定 HTTPS 回调地址。随机域名一旦隧道重建，回调配置就要重新修改校验。 配置agent.企业域名.com绑定隧道，回调地址永久固定，无需反复修改开放平台配置。
📌场景 4：微信小程序 & 微信支付回调
微信支付回调、小程序 request 合法域名有硬性要求：域名主体必须和企业资质一致。随机域名无法通过校验。 把小程序后端放在内网，通过企业自有域名做内网穿透代理。合法域名配置一次，后续不用频繁改动，不会影响小程序提审发版。
📌场景 5：企业微信 IAM，内网应用集成到工作台
希望内网业务接入企业微信工作台，同时业务数据保留在内网不出公网。企微 IAM 同样要求回调域名主体归属企业，接入自有域名穿透，即可实现工作台访问内网应用。
ZeroNews 自有域名完整操作步骤
前置条件：准备好已经完成 ICP 备案的企业域名。
步骤 1：控制台添加自有域名
进入 ZeroNews 控制台【自定义域名】页面，域名类型选择自有域名，填写完整子域名、ICP 备案号提交等待平台审核。
审核通过之后，页面会给出分配的 CNAME 解析记录值。复制该记录，前往你的域名服务商后台配置 DNS 解析。
审核通过之后，页面会给出分配的 CNAME 解析记录值。复制该记录，前往你的域名服务商后台配置 DNS 解析。
以阿里云 DNS 为例，新增一条 CNAME 类型解析记录，主机记录填子域名前缀，记录值填写平台给出 CNAME 地址，保存等待解析生效验证。
步骤 2：申请自动 TLS 证书
CNAME 解析验证成功后，在自有域名详情页点击【配置证书】，选择自动申请证书。 平台会自动申请、下发 HTTPS 证书，几分钟后证书自动生效，无需自己上传证书文件。
证书状态显示 TLS 已启用，代表域名准备全部完成。
步骤 3：隧道绑定自有域名
进入【隧道管理】新建隧道。公网域名选项选择自定义域名，下拉选择刚才准备就绪的自有域名，完成隧道创建。
隧道创建完成，外部用户就可以直接访问企业自有域名，流量通过穿透到达内网业务系统。
总结
内网穿透如果用于企业正式业务，不要长期依赖随机域名。 自有域名可以解决域名不稳定、品牌形象、微信 / 企微开放平台域名校验的一系列问题，配合网关层鉴权、访问控制策略，可以安全地把内网 OA、ERP、小程序后端对外提供访问，非常适合中小企业 IT 运维场景。