在群晖DSM系统中，通过一个域名访问多个内部服务，本质上是实现基于域名的反向代理。这是企业级应用和高级家庭用户中常见的需求，旨在通过统一的入口（如 synology.example.com）和不同的子路径或子域名，安全、整洁地访问不同的服务（如Drive、Photos、Note Station等），而无需记忆多个端口号。
实现这一目标的核心技术是反向代理。群晖DSM内置了功能强大的反向代理服务器（基于Nginx），允许用户灵活配置。通常有两种主流方案：基于子域名的反向代理和基于子路径的反向代理。
方案一：基于子域名的反向代理
这是最清晰、最推荐的方式。您需要为每个服务分配一个独立的子域名，并在DNS提供商处将所有这些子域名（或使用通配符*）解析到您的群晖公网IP地址或DDNS域名。然后在DSM的控制面板 -> 登录门户 -> 高级 -> 反向代理服务器中，为每个子域名创建一条规则。
| 服务 | 源（客户端访问） | 目标（内部服务） | 备注 |
|---|---|---|---|
| DSM管理界面 | dsm.yourdomain.com, 端口:443 | localhost, 端口:5001 | 协议需一致（HTTP/HTTPS） |
| Synology Drive | drive.yourdomain.com, 端口:443 | localhost, 端口:6690 | Drive默认使用6690端口 |
| Synology Photos | photos.yourdomain.com, 端口:443 | localhost, 端口:443 | Photos可直接复用443 |
| Note Station | note.yourdomain.com, 端口:443 | localhost, 端口:5001 | 与DSM同端口但主机头不同 |
方案二：基于子路径的反向代理
此方案使用同一个域名，通过路径区分服务。例如：synology.example.com/drive 访问Drive。配置时需要注意，许多Web应用对运行在子路径下有严格要求，可能需要额外设置。配置相对复杂，容易冲突，非必要不推荐。
| 服务 | 源（客户端访问） | 目标（内部服务） | 潜在问题 |
|---|---|---|---|
| Synology Drive | yourdomain.com/drive, 端口:443 | localhost, 端口:6690 | Drive客户端可能无法正常同步 |
| Synology Photos | yourdomain.com/photos, 端口:443 | localhost, 端口:443 | 需在Photos设置中指定子路径 |
关键配置步骤与注意事项：
1. 前置条件：确保您拥有公网IP并配置了DDNS，或拥有自己的域名并正确设置了DNS解析（A记录或CNAME记录指向群晖）。
2. 获取内部服务端口：在控制面板 -> 网络 -> DSM设置中可查看DSM HTTP/HTTPS端口。其他套件的默认端口可在官方文档或套件本身的“设置”中找到。
3. 配置反向代理规则：在反向代理设置页面，点击“新增”，按照表格示例填写“来源”（域名、端口、协议）和“目的地”（内部服务器IP、端口）。协议通常选择HTTPS以保障安全。
4. SSL证书配置：若使用HTTPS，您需要为每个子域名（或通配符域名）准备并部署SSL证书。可在控制面板 -> 安全性 -> 证书中为每个子域名分配证书，并在反向代理规则的“来源”设置中选用对应证书。
5. 防火墙与路由器：确保DSM防火墙放行了反向代理规则中使用的“来源端口”（通常是443）。在路由器上，只需将443端口（HTTPS）转发到群晖NAS的IP，无需为每个服务单独做端口转发。
6. 应用程序兼容性：部分套件（如Video Station、Audio Station）对反向代理支持不佳，可能需要额外配置或无法通过此方式访问。建议优先查阅官方兼容性文档。
扩展：安全增强与最佳实践
1. 启用HSTS：在证书设置中强制使用HTTPS并启用HSTS，可有效防止中间人攻击。
2. 使用通配符证书：如果子域名众多，申请一张*.yourdomain.com的通配符SSL证书可以简化管理。
3. 隔离管理流量：强烈建议将DSM管理界面（5001端口）的反向代理源设置为一个独立且复杂的子域名（如admin-secure.yourdomain.com），并限制其访问IP范围，以提升安全性。
4. 监控日志：定期检查DSM的日志中心和反向代理服务器的访问日志，监控异常访问尝试。
通过以上专业配置，您可以实现用一个主域名及其子域名，安全、高效、有序地访问群晖NAS上的所有Web服务，提升使用体验与安全性。
查看详情
查看详情
