feng的博客

Synology NAS 如何外部访问

Fri, 14 Aug 2026 10:54:40 +0800

什么是外部访问？

外部访问是指您可以通过任何具备互联网连接的设备远程访问 Synology NAS。DSM 允许您轻松设置对 Synology NAS 的远程访问，只需在网页浏览器中输入自定义域名即可登录 DSM 或其他服务。此外，如果您需要直接访问某些服务，还可以为每个服务设置端口转发规则并在 NAS 上开放特定端口。

有哪些方法可以远程访问我的 Synology NAS？

①无公网IP：
通过 QuickConnect 创建自定义 ID 或地址。
②有公网IP：
使用公网IP地址或者 DDNS 访问您的 NAS 。
通过端口转发，将路由器上的端口映射到 NAS 的 IP 地址。

注意事项：

如果您最近更换了互联网服务提供商（ISP）或更换了路由器，可能需要在远程访问 Synology NAS 之前更新外部访问设置。

设置 QuickConnect

QuickConnect 允许您通过可自定义的 ID 或地址（如 QuickConnect.to/example，中国大陆为 QuickConnect.cn/example）在互联网中连接到 DSM。

请按照以下步骤设置并开始使用 QuickConnect。您也可以参考 DSM 7.0 和 DSM 6.2 的相关帮助文章，了解更多详情。

请根据您的 DSM 版本执行以下操作：

DSM 7.0 及以上版本：前往控制面板 > 外部访问 > QuickConnect。
DSM 6.2 及以下版本：前往控制面板 > QuickConnect。

勾选启用 QuickConnect 复选框。如果您尚未登录或注册 Synology 帐户，请单击登录或注册 Synology 帐户。
在 QuickConnect ID 字段中输入您想要的 QuickConnect ID，然后勾选勾选此处即表示您同意服务条款和隐私政策复选框。单击应用。
如果指定的 QuickConnect ID 可用，将会显示一个区域，展示您的 QuickConnect ID 以及 DSM 可访问的地址。
如果您想调整其他选项或权限设置，请根据您的 DSM 版本执行以下操作：

DSM 7.0 及以上版本：单击高级设置按钮。
DSM 6.2 及以下版本：前往高级选项卡。

启用 QuickConnect 后，您可以通过以下方式访问 DSM 服务：

通过计算机：打开网页浏览器，输入您的 QuickConnect URL
（如 http://QuickConnect.to/example123 或 http://QuickConnect.cn/example123）。按下 Enter，即可跳转到 DSM 登录界面。
通过移动设备：

打开 Synology 移动应用，例如 DS file。
输入您的 QuickConnect ID，以及 DSM 帐号和密码。
单击登录。

使用 DDNS 创建主机名

DDNS（动态域名系统）通过将主机名（如 example123.synology.me）映射到其 IP 地址，简化了通过 Internet 连接到 Synology NAS 的过程。

请按照以下步骤了解如何使用 DDNS 访问 DSM。您也可以参考DSM 7.0和DSM 6.2的相关帮助文章以获取更多详情。

设置 DDNS 主机名

进入控制面板 > 外部访问 > DDNS。
点击添加。
将弹出一个对话框，提示您编辑以下设置：

服务供应商：选择服务供应商。若要注册由 Synology 提供的免费主机名，请从下拉菜单中选择Synology。您也可以通过选择的 DDNS 服务供应商购买并注册 NAS IP 地址的主机名。
主机名：输入 DDNS 主机名，例如 example123.synology.me。
用户名/电子邮件：如果您的服务供应商未选择 Synology，则需要在此处输入 DDNS 供应商的用户名/电子邮件。
密码/密钥：如果您的服务供应商未选择 Synology，则需要在此处输入 DDNS 供应商的密码/密钥。
外部地址：如果您的服务供应商未选择 Synology，则需要在此处输入将使用该主机名的 Synology NAS 的外部 IP 地址。

点击测试连接以检查设置是否正确。
如果您选择Synology作为服务供应商，可以配置以下设置：

从 Let's Encrypt 获取证书，并将其设置为默认证书：勾选此复选框可为 Synology DDNS 应用Let's Encrypt SSL 证书，并将其设置为 DSM 的默认证书。但如果已为您的 DDNS 主机名匹配了 SSL 证书，则此复选框会处于禁用状态。有关 SSL 证书的更多信息，请参阅DSM 7.0和DSM 6.2的相关文章。
启用 Heartbeat：勾选此复选框可接收有关映射主机名状态的警报。

点击确定来保存并完成设置。
继续到下一部分，在您的 NAS 上设置端口转发。

设置完成后，您可以在网页浏览器中输入 DDNS 主机名，后跟冒号和 DSM 的端口号，通过 Internet 访问 Synology NAS。DSM 的默认端口号为 HTTP 的 5000 和 HTTPS 的 5001。

例如，如果您的 DDNS 主机名为 example123.synology.me，且您使用的是 HTTPS，则可以在网页浏览器中输入“example123.synology.me:5001”来访问 DSM。

配置端口转发

什么是端口转发？

端口转发是一种允许外部设备通过将路由器或网关的外部端口映射到标识您 NAS 的内部 IP 地址，从而访问本地网络服务的技术。您可以通过在 NAS 上设置端口转发规则来实现。

IP 地址用于标识您的 NAS，但如何区分 NAS 上的具体服务？由于有许多服务可用，如 MailPlus、Surveillance Station 等，您可能需要为每个要访问的服务设置不同的端口转发规则并开放特定端口。这样，您就可以通过其专属的 IP 地址和端口号从外部直接访问该服务。

要了解 DSM 或 SRM 服务使用了哪些网络端口，您可以参考以下文章：

DSM 服务使用了哪些网络端口？

设置端口转发规则

！！！！！！在设置端口转发规则之前，请确保您拥有路由器的管理权限、您的网络中只有一个路由器、您的路由器支持 upnp 。

前往控制面板 > 外部访问 > 路由器配置。
单击创建，然后在窗口中单击设置路由器以启动设置向导。
在向导中单击开始，DSM 将开始测试若干必需的网络设置。测试结果有两种类型：

已检测到 UPnP 路由器：单击下一步，您将进入显示路由器信息的页面。单击完成以完成设置。
未检测到 UPnP 路由器：单击下一步，系统将提示您手动设置与路由器的连接。输入路由器信息后，单击完成以完成设置。

单击创建以启动端口转发设置向导。
请选择以下其中一种设置方式，并按照指示操作：

内置应用程序：您可以选择一个或多个要转发的内置应用程序（例如，FTP、Web Station 等）。完成后单击完成。
自定义端口：您可以为自定义端口添加端口转发规则。定义协议、本地端口和路由器端口，然后单击完成。

在路由器配置页面再次单击完成以完成设置流程。

注意：

如果您的路由器是 Synology Router，请在设置 Synology NAS 的端口转发规则前，前往 SRM 的网络中心 > 本地网络 > 常规，并在启用 UPnP下拉菜单中选择已启用。
您可以使用以下语法来指定端口号和范围：

使用“-”表示端口范围，例如“6881-6890”。
使用“,”分隔端口，例如“21,22”、“21,55536-55663”。

每个网关路由器的端口只能用于一个转发规则。如果一个路由器端口被用于两个或以上规则，将会产生冲突，并且屏幕上会出现警告信息。您需要为该规则设置其他端口以避免冲突。
部分路由器不允许使用自定义端口来转发系统服务。

手动配置您的路由器

如果上述方法无效，您需要直接登录到路由器的管理界面。请参考路由器制造商提供的说明手册以获取更多信息。
找到路由器端口转发配置页面后，请参考本文获取 Synology 产品应用和服务所用端口号的完整列表。

保障您的外部连接安全

启用自动封锁

自动封锁功能通过封锁登录失败次数过多的客户端 IP 地址来提升 Synology NAS 的安全性。这有助于降低您的帐户被暴力破解入侵的风险。

如需了解如何启用自动封锁并将 IP 地址添加到允许列表，请参考DSM 7.0和DSM 6.2的相关帮助文章。

启用帐户保护

帐户保护可防止登录失败次数过多的不受信任客户端攻击您的 Synology NAS 帐户，从而最大程度降低帐户遭受暴力破解的风险。

如需了解如何启用帐户保护，请参考DSM 7.0和DSM 6.2的相关帮助文章。

启用 HTTPS

证书可用于保护 Synology NAS 的 SSL 服务，如网页（所有的 HTTPS 服务）、邮件或 FTP。拥有证书可让用户在发送任何保密信息之前验证服务器和管理员的身份。Synology 提供来自 Let's Encrypt 的免费且安全的 SSL/TLS 证书。

要了解如何在 Synology NAS 上获取 Let's Encrypt 证书，请参阅本文。

启用防火墙

与 PC 类似，您的 Synology NAS 也内置防火墙。启用防火墙、创建防火墙规则以及配置防火墙设置可以帮助防止未经授权的登录并控制服务访问。您还可以选择允许或拒绝特定 IP 地址访问某些网络端口。

要了解如何启用防火墙并创建防火墙规则，请参阅本文。

如何使用日志中心的文件传输日志来监控文件修改

Thu, 07 May 2026 11:41:29 +0800

启用文件传输日志

默认情况下，此功能通常处于禁用状态。若要记录文件更改，请从要监控的文件传输协议的设置中启用传输日志。（控制面板→文件服务）

SMB：

勾选启用传输日志复选框可对通过 SMB/CIFS 协议执行的文件操作启用日志记录。默认情况下，传输日志仅监控文件或文件夹的删除；但是，也可以前往日志设置以选择其他文件操作事件（创建、移动、重命名、读取、写入、权限更改）以供系统进行日志记录。请注意，选择的文件操作事件越多，便越可能会影响系统性能。

AFP：

勾选启用传输日志，系统将会记录通过 AFP 协议访问文件的操作，包括创建、删除、读取、写入、移动及重命名文件或文件夹。由于 Apple 已移除对AFP的支持，因此建议您使用其他文件服务。

FTP：

勾选启用 FTP 文件传输日志会记录FTP、FTPS 和 SFTP 下载或上传的文件的日志

File Station：

打开 File Station，然后单击设置按钮，启用 File Station 日志来记录所有用户的操作。用户活动包括新建文件夹、上传、下载、删除、重命名、移动、复制和属性设置。

WebDAV Server：

打开 WebDAV Server → 设置 → 高级设置 → 启用 WebDAV 日志：这会记录与 WebDAV 活动相关的事件。

查看文件传输日志

进入日志中心>日志（适用于 DSM）或日志搜索。
从右上角的下拉菜单中选择文件传输。
日志将显示每个事件的以下信息：

日志：用于此事件的文件传输协议类型。
时间：事件发生的日期和时间。
IP地址：此事件的源IP地址。
用户：执行此事件的用户帐户。
事件：已执行的操作（例如Delete 、 Move 、 Rename ）。
文件/文件夹：此事件涉及的文件类型（文件或文件夹）。
文件大小：文件大小（文件夹显示为NA ）。
文件名：事件中涉及的文件或文件夹的路径。

搜索特定日志

添加搜索条件以查找位于文件传输中的特定日志。例如，如果您要搜索与photos文件夹相关且在March 19 and March 24, 2023之间发生的SMB删除事件，请执行以下步骤。

单击放大镜图标并输入搜索条件。
单击搜索可查看结果。

保留日志

我们建议您保留日志，因为一旦达到限制，它们就会轮换：

连接日志： 10,000

传输日志 - SMB：100,000

传输日志 - AFP：20,000

传输日志 - File Station：20,000

传输日志 - FTP：20,000

传输日志 - TFTP：10,000

传输日志 - WebDAV：20,000

请按照以下步骤保留日志：

进入套件中心搜索并安装日志中心。
进入日志中心>存档设置并配置DSM的存档设置。

请按以下步骤查看归档日志：

对于 DSM：

进入日志中心>日志>存档，然后从右上角的下拉菜单中选择打开日志存档。
单击打开日志存档。
从右上角的下拉菜单中选择文件传输。

备注：

搜索条件事件仅适用于 DSM 7 及以上版本。
DSM 中的内置 Log Center 应用程序仅提供基本功能。若要访问日志中心的全部功能，请从 DSM套件中心安装套件。
套件中的某些活动可能会导致文件更改，但相应的更改历史记录可能仅记录在该特定套件的日志中。

如何通过 Web Assistant 或 Synology Assistant 找到我的Synology NAS ？

Thu, 07 May 2026 10:54:15 +0800

①、首先查看设备状态：是否正常开机、状态灯是否有异常、网络是否正常。

②、设备正常开机、状态灯无异常情况下进行以下操作

如何搜索Synology NAS

您可以通过以下任一工具找到Synology NAS ：

网页助手：在网页浏览器的地址栏中输入find.synology.com或synologynas:5000 （对于 Mac 计算机为synologynas.local:5000 ）。
Synology Assistant ：打开Synology Assistant桌面实用程序。如果尚未安装Synology Assistant ，请先进入下载中心> “桌面应用程序”将其下载并安装到计算机上。

如果仍然找不到Synology NAS，请继续执行以下方法来解决问题。

无法通过 Web Assistant 找到Synology NAS

请先尝试以下每种方法，然后再通过 Web Assistant 搜索Synology NAS ：

确保Synology NAS和计算机已正确连接到 Internet 网络。
确保Synology NAS和计算机位于同一局域网和子网中。
使用其他浏览器（如 Chrome 或 Firefox）。
如果 DSM 仍可访问，请进入DSM >控制面板>信息中心>设备分析>共享网络位置，并勾选允许此 DiskStation 在 Web Assistant (find.synology.com) 中显示复选框。
如果您在设置Synology NAS时更改了服务器名称，则可能无法找到Synology NAS。如果 DSM 仍可访问，请进入DSM >控制面板>网络>常规以将服务器名称更改为SynologyNAS ，然后再试一次。
如果上述方法无效，请尝试使用 Synology Assistant 搜索Synology NAS 。

无法通过 Synology Assistant 找到Synology NAS

在再次通过 Synology Assistant 搜索Synology NAS之前，请尝试以下每种方法：

确保Synology NAS和计算机位于同一局域网和子网中。
调整防火墙设置以允许 Synology Assistant 通过 DSM 和Windows防火墙。
暂时禁用或删除计算机上的防病毒软件。
使用其他以太网电缆连接Synology NAS ，以检查电缆是否有缺陷。
如果Synology NAS具有多个网络端口，请将以太网电缆连接到其他端口以检查端口是否有故障。
在另一台计算机上运行 Synology Assistant 并搜索您的Synology NAS。
如果您使用的是 Synology Assistant 7.0-50044 或更高版本，并且您尝试查找的Synology NAS运行的是 DSM 6.2.3 及更低版本或 DSM UC 3.0.1 及更低版本，请单击 Synology Assistant 中的齿轮图标并勾选以启用允许与不支持密码加密的设备兼容。
按住Synology NAS背面的 RESET 按钮四秒钟（您会听到哔声）以重置Synology NAS设置。若要了解有关如何重置Synology NAS的更多信息，请参阅本文（适用于 DSM 6.2.3 及更早版本）或本文（适用于 DSM 6.2.4 及以上版本）。
重置Synology NAS后，关闭计算机上的 WiFi 连接，并使用以太网电缆将Synology NAS直接连接到计算机，而无需通过网络交换机或路由器。将计算机的有线 LAN 接口设置为 DHCP，然后再次使用 Synology Assistant 搜索Synology NAS 。
如果在尝试上述方法后 Synology Assistant 仍无法找到Synology NAS ：
请关闭Synology NAS，卸下硬盘，重新启动Synology NAS，然后再次尝试搜索设备。
即使未安装任何硬盘也无法找到Synology NAS ，这可能是由于硬件故障。
如果 Synology Assistant 可以找到未安装任何硬盘的Synology NAS ，但在使用同一台计算机安装所有硬盘后仍找不到，请联系Synology 技术支持以获得进一步帮助。

备注：

如果您的所有Synology NAS设备都无法访问 Internet，请使用 Synology Assistant 搜索您的 NAS。
如果在按住 RESET 按钮时Synology NAS没有发出哔声，这可能是由于硬件故障。如果您的Synology NAS仍在保修期内，请联系当地经销商以获取 RMA 服务。
重置Synology NAS后，LAN IP地址可能会更改，并且管理员密码会重置。

群晖synology NAS FAQ问题整理

Thu, 07 May 2026 09:40:09 +0800

1、如何通过 find.synology.com 或者 Synology Assistant 在局域网之中找到 Synology 服务器

搜索不到NAS、无法访问NAS、无法登录NAS等问题都可以先尝试搜索NAS，看搜索结果中的状态。

①、首先查看设备状态：是否正常开机、状态灯是否有异常、网络灯是否正常，局域网是否可以正常访问。

②、设备正常开机、状态灯无异常情况下，拿一台笔记本电脑，与NAS网线直连（网线一头插NAS空闲网口，一头插笔记本网线接口），再次搜索。

Synology Assistant 安装过程中，

③、NAS系统 DSM 版本≤6.2.x ，打开 Synology Assistant → 点击右上角设置图标，在兼容性一栏勾选“允许与不支持密码加密的设备兼容（此选项较不安全）”

2、如何使用日志中心的文件传输日志来监控文件修改

默认情况下，多数日志处于禁用状态。若要记录文件更改，请从要监控的文件传输协议的设置中启用传输日志。（控制面板→文件服务：SMB / AFP / FTP）

File Station：打开 File Station，然后单击设置按钮，启用 File Station 日志来记录所有用户的操作。用户活动包括新建文件夹、上传、下载、删除、重命名、移动、复制和属性设置。

WebDAV Server：打开 WebDAV Server → 设置 → 高级设置 → 启用 WebDAV 日志：这会记录与 WebDAV 活动相关的事件。

通过日志中心可以查询用户登录NAS时间、操作文件等行为日志。

3、外网如何访问我的NAS

①无公网IP：通过 QuickConnect 自定义 ID 访问。（例：quickconnect.cn/test666）

②有公网IP：使用公网IP地址或者 DDNS 访问。（例：test666.synology.me:5000 或 120.100.9.55:5000 ）

③ VPN：通过公司或者学校 vpn 连接后与局域网访问方式一样。（例：192.168.20.100:5000）

不做RAID，8块盘，然后呢，我把数据放在两块盘里面，然后这个盘我存满了，因为我这个数据可能就是暂时不用随时打开，然后我就会把硬盘拿出来，然后我再换两块盘新的进去，这样可以吗？

群晖 Synology NAS 在高校内验证登录

Tue, 14 Oct 2025 14:14:33 +0800

群晖 Synology NAS 连接至校园网或者一些企业单位后，校园或者企业需要登录个人帐号验证后才能联网，由于群晖本身没有web浏览器用于网页登录认证导致 NAS 无法联网更新套件、更新系统等操作。推荐几种方法大家可以尝试下：

1. 使用代理

首先去群晖官网下载套件 Proxy Server，然后打开群晖套件中心，选择手动安装。

打开 Proxy Server 套件，做好配置，然后将个人电脑的代理服务器设置为 NAS IP 地址。

代理ip为群晖的ip地址，端口为Proxy Server中设置的端口。

设置好代理服务器后，打开个人电脑网页刷新出上网认证网页，登录成功即可。

2. Container Manager 导入一个浏览器容器

首先在其他docker中安装一个浏览器容器，然后导出容器，再导入Container Manager中。

通过容器中的浏览器页面登录认证后一样可以解决群晖NAS 上网认证问题

3. 咨询校园或者企业网络认证中心，Linux 登录验证方法

例：北京大学网络服务

命令行【供参考】

由于网关登录方式调整，原网关命令行登录程序connect已经停止使用，新的命令行登录方式请参考下面的示例。

Bash

curl -X POST -d 'cmd=open&username=**********&password=******&iprange=free' https://its4.pku.edu.cn/cas/ITSClient

Python

  import requests
  url = "https://its4.pku.edu.cn/cas/ITSClient"
  payload = {
      # 填写账号和密码
      'username': '********',
      'password': '********',
      'iprange': 'free',
      'cmd': 'open'
  }
  headers = {'Content-type': 'application/x-www-form-urlencoded'}
  result = requests.post(url, params=payload, headers=headers)
  print(result.text)

请使用学号或者职工号替代username后面的星号，并填写您的密码password。
如需断开链接，请将open改为disconnect。

群晖Synology DSM安装常见问题

Tue, 30 Sep 2025 11:15:03 +0800

安装时系统磁盘空间不足

可以浏览器输入 http://<ip>:5000/webman/clean_system_disk.cgi 尝试

群晖SynologyNAS DSM通过 acme.sh 实现域名证书自动更新

Wed, 13 Aug 2025 12:43:55 +0800

注意事项：

①尽量使使用root帐号去操作，管理员帐号可能会出现各种报错。

②群晖默认证书保存目录：

/usr/syno/etc/certificate/_archive/$(cat /usr/syno/etc/certificate/_archive/DEFAULT)

默认情况下群晖的默认证书是官方的证书，acme导入证书前一定先手动导入一次证书。

③阿里与腾讯及其他域名供应商的 dns api 参数不一样，具体可参考 Acme.sh 官方文档中的「DNS API」列表。

https://github.com/acmesh-official/acme.sh/wiki/dnsapi

④准备申请证书的域名一定先去阿里云、腾讯云(DNSPod) 看下有没有解析记录，新申请的域名或者从没有使用的二级域名会申请失败。

一、准备工作

登录阿里云、腾讯云(DNSPod) 创建并获取API密钥保存下来。

二、使用ssh登录群晖

1.下载acme.sh

acme.sh 是一个用于自动化获取和管理 Let’s Encrypt 证书的脚本。

curl https://get.acme.sh | sh -s email=1396053199@qq.com --force
或
wget -O -  https://get.acme.sh | sh -s email=1396053199@qq.com --force

将 1396053199@qq.com 替换为自己的有效电子邮件地址，用于接收 Let’s Encrypt 的重要通知，如证书即将过期等信息。

安装过程会有报错，群晖系统默认没有安装或没有权限启用 cron 服务（定时任务工具），而 Acme.sh 依赖 cron 实现证书自动续签。

可以忽略这个报错，最后出现 Install success 就可以。acme.sh 会自动添加到系统环境变量中。

如果成功安装，脚本会将 acme.sh 下载到当前用户目录下，也就是 ~/.acme.sh 目录。

通过 cd ~/.acme.sh 或 cd /var/services/homes/当前登录的用户名/.acme.sh 进入目录

使用命令验证 acme.sh 是否安装成功：

cd ~/.acme.sh    #或 cd /var/services/homes/sunfeng/.acme.sh “sunfeng”为我当前登录的用户名
./acme.sh --version

2. 添加API密钥至/etc/profile

#阿里云 API 密钥添加到环境变量
echo "export Ali_Key="AccessKey ID"" >> /etc/profile
echo "export Ali_Secret="AccessKey Secret"" >> /etc/profile && source /etc/profile

# 腾讯云 DNSPod 的 API 密钥添加到环境变量
echo "export DP_Id="AccessKey ID"" >> /etc/profile
echo "export DP_Key="AccessKey Token"" >> /etc/profile && source /etc/profile

# 删除包含"export DP_Id="的行
sudo sed -i '/export DP_Id=/d' /etc/profile

# 删除包含"export DP_Key="的行
sudo sed -i '/export DP_Key=/d' /etc/profile

3.申请证书，填写的域名一定是阿里、腾讯或其他域名供应商的管理页面上有过解析记录

./acme.sh --issue --dns dns_ali -d example.com -d *.example.com

./acme.sh                 # 使用 acme.sh 脚本执行证书申请操作
  --issue                 # 核心参数：表示证书申请流程
  --dns dns_ali           # 指定 DNS 验证方式，这里使用阿里云（Aliyun）的 DNS 解析接口
  -d example.com           # 为主域名 example.com 申请证书
  -d *.example.com         # 同时为该域名的所有子域名（通配符）申请证书

证书申请成功后会保存在 ~/.acme.sh （/root/.acme.sh/）目录下

4、查看已安装证书信息：

acme.sh --info -d example.com    # example.com 改为自己的域名

三、替换群晖NAS的默认证书

新申请的证书保存名录：

# ls /root/.acme.sh/ 可以看到多了一个example.com 或者 example.com_ecc的目录 此目录下就是新申请的证书
/root/.acme.sh/example.com_ecc/

群晖默认证书保存目录：

/usr/syno/etc/certificate/_archive/$(cat /usr/syno/etc/certificate/_archive/DEFAULT)

sudo cp -f "/root/.acme.sh/example.com_ecc/fullchain.cer" "/usr/syno/etc/certificate/_archive/$(cat /usr/syno/etc/certificate/_archive/DEFAULT)/cert.pem"
sudo cp -f "/root/.acme.sh/example.com_ecc/hkcnas.com.key" "/usr/syno/etc/certificate/_archive/$(cat /usr/syno/etc/certificate/_archive/DEFAULT)/privkey.pem"
sudo cp -f "/root/.acme.sh/example.com_ecc/ca.cer" "/usr/syno/etc/certificate/_archive/$(cat /usr/syno/etc/certificate/_archive/DEFAULT)/chain.pem"

路径格式：

源路径 /root/.acme.sh/hkcnas.com_ecc/ 是 ECC 证书的正确存放目录。
目标路径使用了 $(cat /usr/syno/etc/certificate/_archive/DEFAULT) 动态获取群晖默认证书的 ID 目录，能自动定位当前正在使用的证书目录，无需手动填写 ID。

文件名映射：

fullchain.cer → cert.pem（群晖要求的证书文件名）
hkcnas.com.key → privkey.pem（群晖要求的私钥文件名）
ca.cer → chain.pem（群晖要求的中间证书文件名）
文件名映射完全符合群晖系统对证书文件的命名规范，确保服务能正确识别。

参数 -f：
强制覆盖目标文件（如果已存在），避免因文件已存在而复制失败，适合证书更新场景。

然后重启 Nginx 即可看到证书已更新

nginx -s reload

四、设置自动更新

acme 申请证书每 60 天自动更新，默认情况下你无需任何操作，但是最开始下载安装 acme 时 cron 服务报错，不确定是否可以自动更新。

acme可以强制续签证书：

acme.sh --renew -d example.com --force    # example.com 改为自己的域名

！！！修改下面脚本中的 DOMAIN="example.com" 与 DNS_MODE="dns_ali"

未检测到证书：强制执行续签

证书已过期（剩余 0 天）：强制执行续签

证书剩余有效期≤10 天：强制执行续签

证书剩余有效期 > 10 天：不执行任何操作（无论是否超过 20 天）

#!/bin/bash
set -e  # 遇到错误立即退出

# ==================== 配置参数 ====================
DOMAIN="example.com"                  # 你的域名
ACME_CERT_PATH="/root/.acme.sh"       # acme.sh证书存放路径
SYNO_CERT_ARCHIVE="/usr/syno/etc/certificate/_archive"  # 群晖证书存档目录
DNS_MODE="dns_ali"                    # DNS验证方式（根据你的服务商修改 https://github.com/acmesh-official/acme.sh/wiki/dnsapi）
CERT_TYPE="ecc"                       # 证书类型（ecc/rsa，留空自动适配）
RENEW_THRESHOLD=10                    # 少于此天数时强制续签（天）
# =================================================

# 函数：显示信息
info() {
    echo -e "\033[1;34m=== $1 ===\033[0m"
}

# 函数：显示成功信息
success() {
    echo -e "\033[1;32m=== $1 ===\033[0m"
}

# 函数：显示错误信息
error() {
    echo -e "\033[1;31m=== 错误：$1 ===\033[0m"
    exit 1
}

# 函数：检查证书剩余有效期（天）
check_cert_validity() {
    local cert_file=$1
    if [ ! -f "$cert_file" ]; then
        echo 0
        return
    fi

    # 获取证书过期时间（Unix时间戳）
    local end_date=$(openssl x509 -in "$cert_file" -noout -enddate | cut -d= -f2)
    local end_timestamp=$(date -d "$end_date" +%s 2>/dev/null || true)
    local current_timestamp=$(date +%s)

    if [ -z "$end_timestamp" ] || [ "$end_timestamp" -le "$current_timestamp" ]; then
        echo 0  # 证书已过期
        return
    fi

    # 计算剩余天数
    local diff_seconds=$((end_timestamp - current_timestamp))
    local diff_days=$((diff_seconds / 86400))  # 86400秒=1天
    echo $diff_days
}

# 1. 检查证书是否已存在（支持RSA和ECC）
info "检查证书是否已存在"
CERT_DIR_RSA="$ACME_CERT_PATH/$DOMAIN"
CERT_DIR_ECC="$ACME_CERT_PATH/${DOMAIN}_ecc"
CERT_EXISTS=0
CURRENT_CERT_DIR=""
CERT_FILE=""

# 优先检查配置的证书类型
if [ "$CERT_TYPE" = "ecc" ] && [ -d "$CERT_DIR_ECC" ]; then
    CURRENT_CERT_DIR="$CERT_DIR_ECC"
    CERT_FILE="$CURRENT_CERT_DIR/fullchain.cer"
    CERT_EXISTS=1
elif [ "$CERT_TYPE" = "rsa" ] && [ -d "$CERT_DIR_RSA" ]; then
    CURRENT_CERT_DIR="$CERT_DIR_RSA"
    CERT_FILE="$CURRENT_CERT_DIR/fullchain.cer"
    CERT_EXISTS=1
# 未指定类型时自动检测
elif [ -z "$CERT_TYPE" ] && [ -d "$CERT_DIR_ECC" ]; then
    CURRENT_CERT_DIR="$CERT_DIR_ECC"
    CERT_FILE="$CURRENT_CERT_DIR/fullchain.cer"
    CERT_TYPE="ecc"
    CERT_EXISTS=1
elif [ -z "$CERT_TYPE" ] && [ -d "$CERT_DIR_RSA" ]; then
    CURRENT_CERT_DIR="$CERT_DIR_RSA"
    CERT_FILE="$CURRENT_CERT_DIR/fullchain.cer"
    CERT_TYPE="rsa"
    CERT_EXISTS=1
fi

if [ $CERT_EXISTS -eq 1 ]; then
    echo "发现已存在的$CERT_TYPE证书：$CURRENT_CERT_DIR"
    
    # 检查证书剩余有效期
    info "检查证书剩余有效期"
    REMAIN_DAYS=$(check_cert_validity "$CERT_FILE")
    echo "证书剩余有效期：$REMAIN_DAYS 天"
    
    # 根据剩余天数执行不同操作
    if [ $REMAIN_DAYS -eq 0 ]; then
        echo "证书已过期，将强制执行续签"
    elif [ $REMAIN_DAYS -le $RENEW_THRESHOLD ]; then
        echo "证书剩余有效期不足$RENEW_THRESHOLD天，将执行续签"
    else
        success "证书有效期充足（剩余$REMAIN_DAYS天），无需更新"
        exit 0
    fi
else
    echo "未发现已存在的证书，将执行新申请"
    # 未指定类型时默认使用ECC
    if [ -z "$CERT_TYPE" ]; then
        CERT_TYPE="ecc"
        echo "默认使用ECC证书类型"
    fi
fi

# 2. 生成证书命令参数
info "准备证书更新/申请命令"
ACME_CMD_BASE="$ACME_CERT_PATH/acme.sh"
DOMAIN_PARAMS="-d $DOMAIN -d *.${DOMAIN}"
FORCE_PARAM="--force"
DNS_PARAM="--dns $DNS_MODE"
CERT_TYPE_PARAM=""
if [ "$CERT_TYPE" = "ecc" ]; then
    CERT_TYPE_PARAM="--ecc"
fi

# 3. 执行更新或申请
info "执行证书操作（$([ $CERT_EXISTS -eq 1 ] && echo "续签" || echo "新申请")）"
if [ $CERT_EXISTS -eq 1 ]; then
    # 证书已存在，执行续签
    if ! $ACME_CMD_BASE --renew $DOMAIN_PARAMS $FORCE_PARAM $DNS_PARAM $CERT_TYPE_PARAM; then
        error "证书续签失败，请检查acme.sh配置和网络"
    fi
else
    # 证书不存在，执行新申请
    if ! $ACME_CMD_BASE --issue $DOMAIN_PARAMS $FORCE_PARAM $DNS_PARAM $CERT_TYPE_PARAM; then
        error "证书申请失败，请检查acme.sh配置和网络"
    fi
    # 申请后更新证书目录变量
    if [ "$CERT_TYPE" = "ecc" ]; then
        CURRENT_CERT_DIR="$CERT_DIR_ECC"
    else
        CURRENT_CERT_DIR="$CERT_DIR_RSA"
    fi
    CERT_FILE="$CURRENT_CERT_DIR/fullchain.cer"
fi

# 4. 验证证书文件是否存在
info "验证证书文件完整性"
REQUIRED_FILES=(
    "$CURRENT_CERT_DIR/fullchain.cer"
    "$CURRENT_CERT_DIR/$DOMAIN.key"
    "$CURRENT_CERT_DIR/ca.cer"
)

for file in "${REQUIRED_FILES[@]}"; do
    if [ ! -f "$file" ]; then
        error "缺少必要的证书文件：$file"
    fi
done

# 5. 复制证书到群晖默认目录并替换
info "复制证书到群晖系统目录"
# 获取群晖当前默认证书ID
CERT_ID=$(cat "$SYNO_CERT_ARCHIVE/DEFAULT" 2>/dev/null || true)
if [ -z "$CERT_ID" ]; then
    error "无法获取群晖默认证书ID，请检查证书目录"
fi

DEST_DIR="$SYNO_CERT_ARCHIVE/$CERT_ID"
if [ ! -d "$DEST_DIR" ]; then
    error "群晖证书目标目录不存在：$DEST_DIR"
fi

# 强制复制并覆盖
echo "复制证书到目标目录：$DEST_DIR"
cp -f "$CURRENT_CERT_DIR/fullchain.cer" "$DEST_DIR/cert.pem" || error "复制证书文件失败"
cp -f "$CURRENT_CERT_DIR/$DOMAIN.key" "$DEST_DIR/privkey.pem" || error "复制私钥文件失败"
cp -f "$CURRENT_CERT_DIR/ca.cer" "$DEST_DIR/chain.pem" || error "复制CA证书失败"

# 6. 重启相关服务确保生效
info "重启服务使证书生效"
if ! nginx -s reload; then
    error "Nginx重启失败，请手动检查"
fi


success "所有操作完成！证书已$( [ $CERT_EXISTS -eq 1 ] && echo "更新" || echo "安装" )并生效"

复制上面的代码并修改 “example.com”“dns_ali”另存为 “update_synology_cert.sh”（文件名可以随便定义）

或者直接下载我的脚本修改 “example.com”“dns_ali”update_synology_cert.sh

然后上传至群晖个人home目录下（目录自己随意选择），记住并复制“位置”信息。

打开计划任务：控制面板→计划任务→新增→用户自定义的脚本

用户帐号一定选择 “root”，

然后任务设置→用户自定义的脚本输入：

cd /volume1/homes/sunfeng/
chmod +x update_synology_cert.sh
./update_synology_cert.sh

保存计划任务即可，以后就不用操心证书更新问题了

群晖docker安装dreamacro/clash + haishanh/yacd面板

Sat, 09 Aug 2025 23:42:51 +0800

1、下载docker镜像 dreamacro/clash 、 haishanh/yacd 并导入NAS，如果你的NAS能访问docker 请忽略此步。

2、准备 clash 配置文件并修改配置（没有 clash 配置文件请止步直接放弃，后边的内容不适合您）

打开配置文件查找并修改

external-controller: '0.0.0.0:9090'
allow-lan: true

然后将配置文件上传至 NAS 目录下

3、打开 Container Manager → 项目 → 新增，直接 docker-compose 部署，clash_compose.yaml

version: '3'
services:
  yacd:
    image: haishanh/yacd
    container_name: yacd
    ports:
      - "31003:80"
    restart: always  # 自动重启配置
    networks:
      - clash-network

  clash:
    image: dreamacro/clash
    container_name: clash
    ports:
      - "7890:7890"
      - "7891:7891"
      - "7892:7892" #可以去掉，一般用不到
      - "7893:7893" #可以去掉，一般用不到
      - "9090:9090"
    volumes:
      - ./config.yaml:/root/.config/clash/config.yaml   #这里很重要
    restart: always  # 自动重启配置
    networks:
      - clash-network

networks:
  clash-network:
    driver: bridge

路径很重要！！！

4、打开 http://NAS_IP:31003 , 在 API Base URL 处输入 http://NAS_IP:9090 , 点击 ADD。（！！！“NAS_IP” 是NAS的局域网 IP 地址，一定改成自己NAS的局域网 IP 地址）

5、开始开心的玩耍吧

NAS本身如果需要走代理也要启用一下，地址添写127.0.0.1

群晖Synology NAS docker安装带 web UI 的openvpn

Mon, 04 Aug 2025 10:56:06 +0800

openvpn

docker 版openvpn，支持 web 管理。

openvpn 安全与加密相关配置参考于openvpn-install的Security and Encryption部分。

一、快速安装

1、登录群晖 NAS web 管理页面，打开container manager

搜索并下载yyxx/openvpn镜像（或者直接导入我下载好的镜像包：yyxx/openvpn）

ssh登录SynologyNAS并切换到root权限

login as: sunfeng
sunfeng@192.168.0.100's password:
sunfeng@SynologyNAS:~$ sudo -i
Password:
root@SynologyNAS:~# docker pull yyxx/openvpn

2、新建openvpn证书及配置文件挂载目录

在ssh后台直接使用命令创建

mkdir -p /volume1/docker/openvpn/data    #路径不要照抄我的，改为自己的实际路径

或者在web页面手动创建

初始化生成证书及配置文件

cd /volume1/docker/openvpn/    #先 cd 至openvpn目录下
docker run -v $(pwd)/data:/data --rm yyxx/openvpn --init    #初始化生成证书及配置文件

3、运行 openvpn

以host模式运行openvpn

docker run -d \
  --name openvpn \
  --cap-add NET_ADMIN \
  --network host \
  -e ADMIN_USERNAME=sunfeng \
  -e ADMIN_PASSWORD=sunfeng \
  -e OVPN_SUBNET=10.10.8.0/24 \
  -e WEB_PORT=31194 \
  -v $(pwd)/data:/data \
  -v /etc/localtime:/etc/localtime:ro \
  yyxx/openvpn

运行命令不一定照抄我的，可根据自己需求修改环境变量

4、compose 安装

创建 docker-compose.yml

services:
  openvpn:
    image: yyxx/openvpn
    cap_add:
      - NET_ADMIN
    network_mode: host    #不需要host模式可以注释或删除此项，然后取消掉ports的注释
    #ports:
      #- "1194:1194/udp"
      #- "8833:8833"
    environment:
      - ADMIN_USERNAME=sunfeng
      - ADMIN_PASSWORD=sunfeng
      # 新增：VPN子网配置（覆盖默认的10.8.0.0/24）
      - OVPN_SUBNET=10.10.8.0/24
      # 新增：vpn端口（默认端口1194）
      - OVPN_PORT=31194
      # 新增：vpn协议（默认udp）
      - OVPN_PROTO=udp
      # 新增：Web管理界面端口（默认8833，可按需修改）
      - WEB_PORT=31195
      #- OVPN_IPV6=true
    volumes:
      - ./data:/data
      - /etc/localtime:/etc/localtime:ro
    #sysctls:
      #- net.ipv6.conf.default.disable_ipv6=0
      #- net.ipv6.conf.all.forwarding=1

#networks:
  #default:
    #enable_ipv6: true

创建完成，浏览器访问 https:// NAS_IP:31195 即可管理openvpn

IPV6

注意：
启用ipv6后客户端跟服务器的proto需要都指定udp6/tcp6
docker的网络需要启用ipv6支持
使用openvpn-connect客户端的需要使用3.4.1以后的版本

services:
  openvpn:
    image: yyxx/openvpn
    cap_add:
      - NET_ADMIN
    ports:
      - "1194:1194/udp"
      - "8833:8833"
    environment:
      - ADMIN_USERNAME=admin
      - ADMIN_PASSWORD=admin
      - OVPN_IPV6=true
    volumes:
      - ./data:/data
      - /etc/localtime:/etc/localtime:ro
    sysctls:
      - net.ipv6.conf.default.disable_ipv6=0
      - net.ipv6.conf.all.forwarding=1

networks:
  default:
    enable_ipv6: true

环境变量参数

环境变量	说明	默认值
OVPN_DATA	数据存放目录	/data
OVPN_SUBNET	vpn子网	10.8.0.0/24
OVPN_SUBNET6	vpn ipv6子网	fdaf:f178:e916:6dd0::/64
OVPN_PROTO	协议 tcp(6)/udp(6)	udp
OVPN_PORT	vpn连接端口	1194
OVPN_MAXCLIENTS	vpn最大客户端连接数	200
OVPN_MANAGEMENT	openvpn管理接口监听地址	127.0.0.1:7505
OVPN_IPV6	启用ipv6	false
OVPN_GATEWAY	启用vpn网关所有流量走vpn	false
WEB_PORT	web端口	8833
ADMIN_USERNAME	web登录账号	admin
ADMIN_PASSWORD	web登录密码	admin
ENV_UPDATE_CONFIG	启用环境变量自动更新配置文件	true

最后分享一个小技巧，所有需要root登录NAS后台的命令都可以通过计划任务实现

小米路由器3G R3G 刷入Breed和OpenWrt

Fri, 25 Jul 2025 21:32:25 +0800

小米 R3G 市面上有R3G和R3Gv2两种型号, 注意区分, 后者是缩水版, 没有USB口. 内存只有128M, Flash只有16M. 这里描述的只适用于R3G.

开整

注：刷写openwrt需要小米R3G路由器联网（即wan插口连接到intel网络）

第一步、先给路由器通上电，重置路由器

第二步、进入路由器后台192.168.31.1/miwifi.com，将路由器系统 ROM 升级到最新开发版

ROM 的升级有两种方式

1、登陆路由器后台192.168.31.1在线升级

选择下载的文件进行升级。

2、将升级包拷贝到U盘根目录, 并命名为 miwifi.bin,

随后断开电源, 插上U盘, 并按住 reset 按钮后插入电源, 等到指示灯变为黄色闪烁(10-15秒)后松开 reset 键,

之后路由器将更新 ROM 并重启进入正常状态(指示灯变为蓝色常亮)，

如果出现异常、失败、U盘无法读取的状况，会进入红灯状态，建议重试或更换U盘再试。

3、ROM系统成功升级为小米3g开发版是前提条件

第三步、绑定完小米账号获取SSH权限

① 安装 “小米WiFi”手机APP, 连上路由器WIFI后绑定路由器；

② 登陆 http://d.miwifi.com/rom/ssh, 点击"下载工具包"；

③ ！！！特别提示！！！下载工具包时记下 root 密码（后边会用到）

工具包使用方法：小米路由器需升级到开发版0.5.28及以上，小米路由器mini需升级到开发版0.3.84及以上，小米路由器3即将支持。注意：稳定版不支持。                                  .

④ 开启 SSH

请将下载的工具包bin文件复制到U盘（FAT/FAT32格式）的根目录下，保证文件名为miwifi_ssh.bin；
断开小米路由器的电源，将U盘插入USB接口；
按住reset按钮之后重新接入电源，指示灯变为黄色闪烁状态即可松开reset键；
等待3-5秒后安装完成之后，小米路由器会自动重启，之后您就可以尽情折腾啦 ：）

⑤ 连接SSH

ssh连接方式，windows尽量别用CMD去连接ssh，推荐工具MobaXterm，putty，xshell等

ssh root@192.168.31.1

如果ssh连接报错：

Unable to negotiate with 192.168.31.1 port 22: no matching key exchange method found. Their offer: diffie-hellman-group1-sha1,diffie-hellman-group14-sha1

手动指定oKexAlgorithms

ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 root@192.168.31.1

ssh连接 ip 地址：192.168.31.1 ，帐号：root，密码：即下载工具包时特别提示保存的root密码

第五步、将breed文件上传到路由器 /tmp 目录下，刷入breed

！！！R3G 请使用 2011版的breed 下载, 不要使用最新2022版的.

首先 cd /tmp，

到tmp的路径下面，然后将文件breed文件上传到tmp的路径下

然后执行这个命令：

mtd -r write /tmp/breed-mt7621-xiaomi-r3g.bin Bootloader

回车后路由器会重启，注意观察指示灯，长时间未重启可手动重启。

重启完成后断电关机

然后按住 reset 键，上电直到l ed 闪烁，电脑浏览器访问192.168.1.1即可

第六步、恭喜你，已经刷进 breed 了，开始配置breed

① 在小米 R3G 设置中, 删除normal_firmware_md5这个键值,

（参考他人教程提示，未验证不删除是否会导致无法开机）

② 在环境变量编辑中, 添加一个环境变量, 变量名为 xiaomi.r3g.bootfw, 值为2 ，！！！必须设置！！！

参数说明 xiaomi.r3g.bootfw 如果写入 Breed 到 bootloader, 这个参数是必须的. Breed的启动流程如下
 1、如果 kernel0 存在, 那么启动 kernel0
 2、如果 kernel0 不存在, kernel1 存在, 那么启动 kernel1
 3、如果 kernel0 和 kernel1 都存在, 则检查环境变量 xiaomi.r3g.bootfw 的值, 如果存在且值为2, 那么启动 kernel1, 否则启动 kernel0

如果通过mtd写入了OpenWrt 到Kernel1, 但是不写这个环境变量, Breed就会从kernel0启动,

无法进入系统, 然后重启, 再次从kernel0启动, 这样一直循环下去.

至此就配置好breed

第七步、刷入open wrt 小米3G 底包

1、点击固件更新固件项选择后缀为 initramfs.kernel.bin的底包, 闪存布局选择固件 2 上传刷入

小米R3G底包下载地址 : 小米 R3G 底包

2、刷完之后，重启进入openwrt，电脑浏览器打开：http://192.168.3.1/cgi-bin/luci/admin/system/flashops

如无法打开页面可以看下路由器状态是否重启完成或确认下网关是否为 192.168.3.1

帐号：root 密码：password

在openwrt管理界面系统>>备份/升级>>刷写新的固件>>

选择openwrt-ramips-mt7621-xiaomi_mir3g-squashfs-sysupgrade.bin升级

小米R3G sysupgrade系统包下载地址：小米R3G sysupgrade系统包

注意：如果用的不是我提供的系统包，刷完 open wrt 后登录用户名密码可能不同