安全便捷的群晖外网访问方案

一年多以前买了gen8，闲下来的时候就折腾，一年多的折腾成果如下：

1、装了个黑群晖6.1最新版（版本控，必须是最新版），用来备份图片（photo station 80/443端口），同步重要数据（cloud station server 6690端口），访问php网站（web station 80/443端口） ，数据库（Maria DB 80/443端口）和听音乐（audio station 8801端口），用docker建立了一个在线书库（calibre web 7443端口）。

2、装了个黑群晖5.2版，这个专门使用video station来看电影（群晖从6.0开始，通过NFS映射的文件夹无法索引媒体文件了，只好建了个5.2版专门用来映射NFS看电影，使用9008端口）。

3、在gen8的Windows上建立了个phpstudy程序，学习PHP程序（群晖的PHP服务只支持PHP5.6和php7.0），使用443端口。

4、远程管理刷了梅林固件的R7000路由器，设置成了8443端口，并且随着各种web服务的使用（zhe teng）还在不断的增长中。。。。。

如何安全又方便访问这些web服务成了个麻烦事，原来的解决方案：设置DDNS（有公网ip，80端口被封），做好路由器端口映射，然后通过DDNS提供的域名+端口号访问各种服务，一段时间下来，成了下图这样

常用的还好办些，那些不常用的经常会忘记，每次都得访问下路由器的端口映射页面看一下，才能正常访问，总是觉得太麻烦，而且有几个web服务必须都用443端口，经常改映射的话也不太方便，正好看到群晖有个Synology应用程序门户有个反向代理服务器可以实现通过二级域名来实现一个443端口访问不同的web服务。

以下是实现方式（实现3个小目标，a、安全访问；b、通过二级域名访问搭建在不同主机上的web服务；c、建个导航网站方便的访问自己的web服务）：

一、安全访问（SSL证书申请、运用，以群晖上web station服务为例）

前置条件1、443端口已转发到群晖主机上，已梅林固件为例，如下图；

2、有公网ip并且已经做好DDNS（这里以申请的xxxx.f3322.net为例）；

3、有个*级域名，建议在阿里云注册，推荐bid和win后缀的域名，2个都是首年注册4元，10年一次性付清也才67元。

4、把注册*级域名用CNAME解析到DDNS上。

ssl证书申请教程

登录阿里云，找到阿里云的证书服务，点击右上角的购买证书

选择免费型DV SSL证书，然后点击立即购买，去支付，确认支付，第一步完成。

接下来绑定域名，回到证书服务控制台，选择补全

输入自己绑定证书的二级域名，点击下一步，然后填写自己的个人信息，记得勾选域名验证类型DNS。

接下来先选择 系统 生成CSR，点击创建，然后提交审核。等待几分钟后，证书就会审核签发完毕。

等审核完成后下载该证书备用，选择下载证书for Apache 证书下载。

打开群晖的控制面板，点击 安全性选项，点击证书，然后新增，新增一个证书

添加新证书

导入证书

找到刚刚下载的ssl证书，解压缩后，点击浏览导入证书，.key结尾的是私钥，pem是证书，chain.pem是中间证书，public.pem文件用不到，然后确定，证书导入已经完成了。

接下来点配置证书，根据自己的域名选择对应的证书即可（一个证书只可对应一个二级域名）。

在chrome输入自己的域名访问，即可看到安全提示，通过SSL加密链接访问自己的web服务已达成。

二、通过二级域名访问搭建在不同主机上的web服务（443端口共用）

1、黑群晖6.1上的web服务 443端口（内网ip地址192.168.1.188）

2、gen8上的php服务 过443端口（内网ip地址192.168.1.210）

3、路由器远程访问 8443端口（内网ip地址192.168.1.1）

现在打算统一用二级域名访问各种服务（www.xxxx.com访问1，php.xxxx.com访问2、lyq.xxxx.com访问3）

先把所有的二级域名用CNAME记录解析到DDNS xxxx.f3322.net上

在阿里云域名管理找到域名列表点击解析，添加解析，记录类型选择CNAME，主机记录为www，线路默认，记录值为自己的DDNS xxxx.f3322.net，点击保存即可。同样步骤做好其他的二级域名CNAME记录。

再来做反向代理

登录群晖管理页面，打开控制面板，点击 Synology应用程序门户，再点击反向代理服务器，选新增

上面的来源主机名填已解析的二级域名，目的地主机名填内网提供php服务的ip地址，端口为443，或者其他服务端口，协议选择htpps，确定。这样就可以通过二级域名php.xxxx.com直接访问gen8上的php服务。同样步骤做好其他反向代理即可。记得到群晖的证书配置页面为各种二级域名申请证书并且配置。

3、为所有web服务建立个导航页面访问各种web服务

效果展示

网友提供的web页面，这里下载，把下载后的所有文件上传到群晖的web目录下，然后根据自己的需要添加上各种二级域名即可。

演示效果