编注:本文入选「自力更生」征文活动。本次征文选题灵活,只要围绕「自托管」展开即可,软件推荐、经验分享、技术科普、观点评论均可投稿,6 月 23 日前发布投稿文章即可。入围作品均可获得稿酬、Zeabur 订阅、少数派 PRIME 会员等奖励。了解详情
之前我在 也许你也用得上的技术,从零开始了解内网穿透 这篇文章中简要介绍了内网穿透的一些基本原理,便于普通人了解内网穿透。但实际上这并非一项标准的技术或是某些具体的应用,你甚至不能在维基百科中搜索到「内网穿透」。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/717d414c96d08b0a136cde1f57a017c7.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
因此我并没有具体介绍如何实施,或是推荐一些落地的方法、软件。但是有些小伙伴似乎对应用落地的具体操作很感兴趣。因此这篇我借助家中的一台群晖 NAS,展开聊聊我如何使用家庭服务器,以及我自己采用的内网穿透方案。
先从 NAS 开始
我这台群晖是 DS918+ 型号,没有升级过内存,只有预装的 4G,目前日常待机大概是 50% 的 RAM 占用,CPU 平时在 5% 上下。硬盘是 4 块 4TB 组了 RAID5 在用,目前占用 45%。
群晖中的服务,我最常使用的是这些:
- Cloud Sync:用于百度网盘同步,做百度盘的离线下载使用
- Synology Drive:群晖家自带的同步盘,代替了我使用多年的坚果云
- WebDAV Server:各类手机平板电视盒子等播放器读取视频资源时,较易兼容的协议
- Surveillance Station:家中的小蚁摄像机录像存储回放、直播
- Docker:一些常用的自托管服务,如 Nginx、DDNS、Bitwarden、Memos 等,也是我内网穿透方案的核心应用
![image.png](https://cdnfile.sspai.com/2024/05/24/article/5289f5461ffb31bc5e339b8e281f1a4d.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
还有用于日常离线下载的 Download Station 与偶尔听本地音频用的 Audio Station,这些功能相对简单且使用频率低,便不再展开。
接下来我逐个介绍。
具体使用方法
Cloud Sync
这是内置应用是一个可以将 NAS 磁盘文件,同步到诸如阿里云 OSS、腾讯云存储、百度网盘等等云存储的服务,且支持双向同步。我将其用作百度网盘的离线下载功能,只要在百度网盘与群晖中关联同一个目录,保持双向同步,那么转存其中的资源自然就会启动同步,没有 VIP 速度依然很慢,但好在是无感执行,适合不着急使用的资源。
同步成功后的资源,及时在群晖中转移到其他目录,百度网盘中的资源也会自动进行删除。目前还不支持阿里网盘,但是支持 WebDAV,因此理论上可以通过中间件比如 alist 这样的项目中转,实现阿里网盘的转存 + 离线下载。
![SCR-20240523-ipeg.png](https://cdnfile.sspai.com/2024/05/24/article/ad255104d272d5c2a008d5930c66e20e.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
Synology Drive
在使用群晖自带的同步盘之前,我一直是使用坚果云。工作需要,多台电脑间同步资料我经常要用到同步盘。偶尔给别人发送大文件的时候,由于近期资料都存储在坚果云,我就可以直接使用坚果云的分享功能,创建分享链接,开启游客权限,对方可以满速下载,且给我节约了每次再单独上传的时间。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/b6b892cc939958a3f4e9522641bddc9c.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
Synology Drive 除了能够覆盖坚果云的功能以外,由于我 10TB 的空间,所以基本可以同时作为备份盘使用。而之前,坚果云不到 100GB 的小空间,只能做同步使用。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/1c391cf388effcdb190696858ed0c6b9.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
WebDAV Server
这是我主要的共享群晖空间内容所使用的协议。由于 Windows 与 Android 下的内网共享通常使用 SMB 协议,而 Apple 系列的硬件使用的是 NFS,但是一般不用于外网。因此为了统一协议与安全性,方便各个软件在各种网络环境下有着一致的访问体验,我选用了 WebDAV 服务。
配合 Nginx 的反向代理,我只需要在硬件中设置 https://webdav.a.com:81
这样的二级域名,就可以随时在各种播放器应用中访问到 NAS 中的片源或是资料。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/4c590192f3a2b2db19e46e180d75490d.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
Surveillance Station
使用 Surveillance Station 纯粹是个意外。该应用在群晖中并非完全免费,而是有两个免费的额度,但我完全够用了,因为我家只有一个摄像头。该应用的功能是可以对接一个使用 rtmp
协议推流的摄像头,解决摄像头直播、录制、观看回放等功能。
你可能会好奇,现在的家用网络摄像头不都有这些基本的功能吗?没错,但是那种网络摄像头大概有如下几个缺点:
- 延迟:由于数据经过厂家的服务器,相比起内网传输,直播与回放的速度都有很高的延迟;
- 隐私:我其实并不很注重个人信息的隐私,但唯独家中的网络摄像头,可能会暴露的不仅仅是我个人的数据,所以我希望它是本地运作的;
- 费用:网络摄像头的云存储基本都需要一定的费用,且给予的空间极小,数据存放在群晖中,我甚至可以看到一年前的录像;
- 功能:由于是一款商业软件,整体功能做的并不比其他家平台差,且我的摄像头是第一代小蚁,原本功能很单一,但是刷机后,通过该软件就可以实现很多自动监测性的功能。
可能因为隐私的关系,在家中没有用过网络摄像头的人会疑惑,这类产品的需求点到底在哪。对于我家来说,放在客厅的网络摄像头回放频率很高,且每次都是关键时候发挥作用,比如:
- 小孩子打架、吵架,或做错一些事情,想要看一些证据;
- 遥控器找不到了,包包找不到了,玩具找不到了……
我设置了记录 30 天,平时用来找东西基本够用了,目前占用 176GB。通过内网查看回放十分丝滑,4 倍速 16 倍速真正可以做到像传统闭路监控系统一样。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/cd0a2c57d695335f4ecd1db3003ba113.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
Docker
其实 Docker 应该单独一个大章节来写。因为单 Docker 中就托管了 5 个服务,接下来我将聊一下其中最常用的 3 个。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/852553199fbcf2a67dad117743938d16.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
Bitwarden
这个开源的密码管理工具,是我把主力浏览器从 Chrome 更换到 Arc 时部署的。由于 Arc 谜一样的用户同步方式,我不敢轻易将账号密码也迁移过去。所以决定选用一个免费易用的跨平台解决方案,就是 Bitwarden。
最初我并没有自己托管,而是使用的官方服务器,但是软件在加载或是操作的时候,由于服务器的延迟,总是让整个操作都卡顿不已。后来我发现了社区用 rust 重写的开源服务端(官方的服务端资源消耗极大),可以托管在低配的硬件平台上,尝试后果然解决了卡顿的问题。目前已经是主力的密码管理工具。
Nginx proxy manager
只要用到 Nginx 的地方,我就会优先选择部署这个项目。比起原生 Nginx 让人眼花缭乱的配置文件,这个项目的 webui 几乎不需要说明就能让普通人上手操作。
给不清楚 Nginx 的同学简单解释一下:Nginx 通常是在服务器搭建网站的时候,将某个域名指向自身某个网站的目录,或是指向其自身或内网中的另外一个网站(反向代理)的软件,是一个入口软件。与其齐名的还有开源的 Apache、微软家的 IIS。
为什么我选择这个,我会在下边的公网方案章节解答。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/2d0608f7304c7d9b4f527eaf5fc7f967.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
DDNS-go
最后这个很重要,在做内网穿透的时候必不可少。由于家庭宽带每次重连后的 IP 都会变化,所以我们在公网上访问家中资源的时候,就不能每次都重新去查询 IP 进行连接,而是通过域名,与域名背后的 IP 进行连接。这个工具就是让你每一次宽带断线重连的时候,都依次更新一下你的域名背后指向的 IP。
这里有一个小建议,如果你申请的域名只在家中使用,那么在 DDNS 中只需要更新一个 *.a.com
这样的通配符域名即可,这样每次使用新的二级域名的时候,就直接使用,不需要像我一样再在这里逐个添加了:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/811da38c45e521022310cb30aac83d26.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
外网访问方案
由于我的宽带有公网 IP,所以暴露服务到公网的方案有很多,不清楚这块的可以回去看这篇讲述公网 IP 重要性的。有些伙伴通过我上方部署的项目可能已经猜到了,我采用的是二级域名 + 反向代理 + DDNS 的方式,由于运营商不允许家庭宽带使用 80 与 443 端口,所以我使用公网的 81 端口代替 https 的 443 端口进行访问。
同时,因为 nginx 只是代理 http 流量比较方便,虽然 tcp/udp 流量也能转发,但是没有路由器直接,这类流量如果多绕一圈可能增加延迟。另外我在路由器中开启了 VPN 服务器,作为后备方案,用于临时访问内网中没有公开暴露的设备。所以整个家中的网络结构如下:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/7c944de791edcbfd7d0dbb3f6204c51f.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
这套方案的优点如下:
- 优先使用常见的开源软件或协议,稳定,安全,穿透内网的时候不需要第三方工具,尤其是 L2TP VPN,Apple 全家桶原生支持;
- 使用域名与统一的 81 端口转发各种内网的服务方便我记忆,且使用带 UI 界面的 Nginx 开源项目很方便统一管理;
- 一些基于 http 的内网服务,经过 Nginx 的 https 代理后,访问更方便,可以避免部分浏览器提示页面不安全。
举个例子。比如我要将 Bitwarden 这个服务暴露在公网,具体的实现步骤是这样:
首先,在群晖的 Docker 中创建 Bitwarden 的新容器,成功后比如内网访问的地址是 http://10.0.0.249:3011
:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/6088e280a1d59f9ab5728730cc9de5a8.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
接着进入 Nginx Proxy Manager 的管理后台,增加一条反向代理规则,让域名 https://bitwarden.example.com
指向内网的 http://10.0.0.249:3011
,同时顺手自动申请一个免费 SSL 证书,让其可以通过 https 访问避免某些客户端出现一些奇怪的问题:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/803bf070fae199d40a841e328e32ebdb.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
最后进入 DDNSgo 的管理后台,将 bitwarden.example.com
加入到列表中,保持 IP 时刻为最新:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/fdc0266d16a7e0509c84b92f957283ac.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
稍等域名解析片刻后,即可通过域名 + 81 端口的方式访问:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/95838a398c07d79b54203f683af0cb7a.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
对了,别忘记在路由器中提前映射好你的 81 端口到 Nginx 服务的 443 端口:
![image.png](https://cdnfile.sspai.com/2024/05/24/article/fb6b203e431e3a10e81f3d8320f9141d.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
最后聊聊安全
有伙伴说,开放越多的端口,被攻击的面就越大。看起来是这样的,但其实像我这样只暴露 81 端口,然后通过反向代理的方式把服务公开出去,与暴露多个端口的形式是一样的。只是端口可以被扫描到,域名可能会被社工猜或者被爆破。
因此,并非暴露端口越多越不安全,而是你暴露了多少个服务在公网。攻击者始终是通过某个服务的最新漏洞,或是弱口令,进入你某个服务的内部,拿到该服务下的一些资料,比如一些密码,然后再渗透到你的一些其他的服务中。因为 docker 或是其他的一些服务,应用之间权限都是相互隔离的,现在已经很少有服务沦陷,服务器也被渗透的局面了,除非你喜欢用一样的密码,还被猜到了不同的入口。
再或者你的路由器(通常是带复杂功能的软路由)被侵入,攻击者有了网关权限后,通过抓包解包改包的方式攻击,那么整个内网都将被渗透。
看起来被攻击好像很容易,但其实你被攻击的概率极低:
- 一个应用通常不会有漏洞,即便有,也很少是致命的,甚至涉及不到隐私;
- 攻击者对普通用户的攻击通常是面性的扫描,一扫就是成千上万的 IP 一起扫,比如某个应用出现了漏洞,而这个应用通常使用 8989 端口,而懂映射的你在暴露服务到公网的时候不一定使用这个端口,且你所用的版本也不一定存在该漏洞;
- 退 100 万步说,即便真的被攻击者拿到了重要的权限,普通用户被窥隐私的概率也极小,通常是被当作僵尸网络使用。
![image.png](https://cdnfile.sspai.com/2024/05/24/article/8faf3ce58db6df273154cd37f6c3c456.png?imageView2/2/w/1120/q/40/interlace/1/ignore-error/1)
而以上还都是你有公网 IP 的情况下,攻击者才勉强能实现,否则你根本没有机会暴露端口给公网。所有这类片伤型的攻击手段,都比不上你在网上随便下载软件后运行中马的概率高。如果你还是担心自己的服务被攻击,做到以下几条建议,从概率上来说,几乎可以杜绝被误伤:
- 无论使用哪类服务,账户都尽量使用不同的密码;
- 开源项目选择使用人数多的,商业软件也尽量选择大厂的,保持更新;
- 对于可以修改配置的托管应用,尽量不使用官方默认的端口号或是路径、用户名等;
- 别轻易得罪人。
以上是我在个人托管服务方面的一丝心得,与大家分享,希望能够给予一点启发。
> 关注 少数派小红书,感受精彩数字生活 🍃
> 实用、好用的 正版软件,少数派为你呈现 🚀
© 本文著作权归作者所有,并授权少数派独家使用,未经少数派许可,不得转载使用。