1、背景:
想必现在很多人都喜欢用NAS搭建一套家庭影音,毕竟现在NAS不贵,我也一样。由于NAS是通过公网进行访问,安全性则会成为一道考验,那么今天我就介绍一下我自己搭建的一套NAS是怎么做安全防护的。
目前我个人认为TS-464C2是威联通性价比最高的消费级机型,比464C也就贵了小几百。支持4K高清视频输出、HDMI接口。支持多种协议(如SMB、AFP)、云服务集成以及与手机应用程序的兼容性。
接下来进入正题:
2、NAS公网安全访问
1、公网IP
先把光猫改了桥接,可以用笔记本查询的NAS IP和主路由的WAN IP是否一致,一致说明有公网。
2、端口转发
ps:每款路由器的配置位置不同,我这展示的是小米路由器的。
以端口5000为例,配置完后就可以通过网页输入公网IP:5000 访问到NAS,但是这个时候网址没做任何防护的情况下,会非常不安全。不过这只是先做下演示,咱们接着操作!
3、域名相关
目前国内域名注册一般都是使用阿里云或腾讯云,主要是新用户第一年一块钱可以注册一个,需要实名认证;如果大家“有上网小技巧”,可以去看看Namesilo,目前国外最大的 ICANN 认证域名提供商之一,简单概述:价格便宜好用~
购买完域名后,首先要做的是解析工作:
这里做个小讲解,具体配置可以看阿里云的官网产品文档:
“@”代表主域名,代表我们可以解析二级域名,例如注册域名为 http://abcd.com,我们给NAS配置的二级域名可以为 http://nas.abcd.com,“*”就代表所有的前缀,*.http://abcd.com
然后准备AccessKey,阿里云的位置如下,选择创建即可:切记生成后立刻保存好ID和密码
4、部署Lucky
①第一步在文件管理器中创建一个主机挂载目录,这样就算删除容器后配置也不会丢失
接着咱们打开Container Station,创建应用
代码如下
这个端口可以不做修改,保持默认,如下图所示
也可ssh工具进入后台,直接输入Docker run命令安装,加粗的可进行修改。
参照上面docker compose拉起服务
-p 16601:16601
-v /root/luckyconf:/goodluck
部署命令:
运行成功后,我们就通过网页端输入 NAS_IP:16061进行访问,默认账户密码:666/666
建议咱们先去设置中修改一下账户密码
一切顺利,下面我们开始进行动态域名解析
4、设置动态域名DDNS
在Lucky的“动态域名”一栏点击“添加任务”添加DDNS任务
看到同步结果为 更新成功,就说明DDNS设置成功了
5、SSL证书
1、转到“安全管理”选项卡,并点击“添加证书”
2、证书的添加方式选择【ACEM】即可
3、域名颁发机构为 Let's Encrypt,SSL证书有效期三个月,但是Lucky支持自动续签,我们无需理会
4、验证方式、密钥、域名与添加DDNS时一样,选择对应的DNS服务商填好AccessKey或Token
5、这里我的是 IPv6 所以我这更多设置勾选 CNAME支持
如果你的是 IPv4 更多选项就要把下面这两项勾选上
“DNS查询强制IPv4”和“DNS查询仅使用TCP通道”
其它内容无需做额外改动,最终如下图所示,点击右下角【添加】
稍等一会就会显示证书,显示绑定域名、颁发时间和到期时间就表示申请SSL成功
6、设置反向代理
1、规则名称随便填
2、监听类型根据宽带情况选择,是IPv6就选择IPv6,是IPv4就选IPv4
3、监听端口,填写可用端口,标准端口443国内基本是关闭状态,我改成了8001
特别注意:我们要实现https访问,TLS是必须的,必须开启!否则无法使用HTTPS。
添加子规则
①模式选择:简易模式
②类型选择:反向代理
③前端域名:设置一个好记的二级域名,我用来访问NSA。比如:alist.aliluya.com;博客:blog.aliluya.com
路由放行端口
反代设置完成之后,最后一步还需要去路由器把8001端口做一下映射。
正向代理是一个服务转发一个端口,反向代理是只需要映射一个反代端口就可以了。
最终展示
浏览器访问nas.xxx.xxx:8001,访问我的NAS,目的达成