群晖NAS HTTPS配置指南

返回知识库

一、前言

本文档详细介绍如何在群晖 DSM 7.x 系统上配置 HTTPS 安全访问，包括 SSL 证书申请、域名解析、反向代理设置等内容。通过本指南，您可以让群晖 NAS 实现安全的远程访问。

二、准备工作

2.1 必要条件

• 群晖 NAS 已安装 DSM 7.x 系统
• 拥有公网 IP（或已配置内网穿透）
• 已注册域名（推荐）
• 路由器管理权限（用于端口映射）

2.2 端口规划

服务	内部端口	外部端口（建议）
DSM HTTP	5000	5000
DSM HTTPS	5001	5001
Web Station HTTP	80	80
Web Station HTTPS	443	443

三、DDNS配置（无固定公网IP）

如果您没有固定公网 IP，可以使用群晖自带的 DDNS 服务。

推荐使用的 DDNS 服务商：

• Synology：群晖官方提供，格式为 xxx.synology.me
• 花生壳：国内服务商，稳定性较好
• 阿里云：需要配置 AccessKey

四、SSL证书申请

4.1 使用 Let's Encrypt 免费证书

填写证书信息：

• 域名：填写您的域名（如 nas.yourdomain.com）
• 邮箱：用于接收证书到期提醒
• 作为默认证书：勾选此项

4.2 导入自定义证书

如果您已有 SSL 证书（如从阿里云、腾讯云申请），可以手动导入：

1. 准备证书文件：
   • 证书（.crt 或 .pem）
   • 私钥（.key）
   • 中间证书（可选）
2. 进入 DSM 控制面板 → 安全性 → 证书
3. 点击"新增" → "导入证书"
4. 上传证书文件并配置

五、端口映射配置

在路由器上配置端口映射，将外部访问转发到群晖 NAS：

5.1 路由器端口映射

以常见路由器为例，配置以下端口映射：

外部端口	内部IP	内部端口	协议
80	NAS内网IP	80	TCP
443	NAS内网IP	443	TCP
5000	NAS内网IP	5000	TCP
5001	NAS内网IP	5001	TCP

5.2 防火墙放行

确保路由器防火墙放行上述端口：

• 进入路由器防火墙设置
• 添加规则允许外部访问 80、443、5000、5001 端口
• 保存并应用配置

六、HTTPS访问配置

6.1 启用HTTPS重定向

建议将 HTTP 请求自动重定向到 HTTPS：

6.2 自定义域名访问

配置完成后，您可以通过以下地址访问：

• DSM 管理界面：https://your-domain.com:5001
• Web Station：https://your-domain.com

七、反向代理配置（可选）

如果您有多个服务需要暴露，可以使用群晖的反向代理功能：

7.1 配置步骤

示例配置（将 plex.yourdomain.com 代理到本地 Plex 服务）：

• 来源：
  • 协议：HTTPS
  • 主机名：plex.yourdomain.com
  • 端口：443
• 目的地：
  • 协议：HTTP
  • 主机名：localhost
  • 端口：32400

八、安全加固建议

8.1 账户安全

• 禁用默认 admin 账户，创建新管理员账户
• 启用双因素认证（2FA）
• 设置强密码策略
• 定期更换密码

8.2 访问控制

• 启用自动封锁功能（防止暴力破解）
• 配置 IP 访问限制（如有固定办公 IP）
• 关闭不必要的服务和端口
• 启用防火墙规则

8.3 数据安全

• 启用快照功能，定期备份
• 配置 Hyper Backup 异地备份
• 启用文件完整性检查
• 加密敏感共享文件夹

九、常见问题排查

9.1 证书申请失败

• 确认域名已正确解析到公网 IP
• 检查 80 端口是否可从外网访问
• 查看 DSM 日志：控制面板 → 信息中心 → 日志
• 确认没有防火墙阻挡 Let's Encrypt 验证

9.2 HTTPS无法访问

• 检查端口映射是否正确
• 确认证书已正确配置并设为默认
• 检查路由器防火墙是否放行 443 端口
• 尝试清除浏览器缓存后重新访问

9.3 显示证书不安全

• 确认访问的域名与证书域名一致
• 检查证书是否已过期
• 确认系统时间正确
• 尝试重新申请证书

十、相关文档

• Vercel静态网站部署教程
• Cloudflare Pages部署手册
• 企业网络安全架构设计白皮书