给 NAS 办张身份证阿里云域名、飞牛 DDNS 与 HTTPS 证书全流程 想从外面访问家里的飞牛 NAS记住一串会变的 IP 很容易出错。更省心的组合是**域名负责名字DDNS 负责跟着公网 IP 变化HTTPS 证书负责加密访问。**完成后你只要记住类似nas.example.com的地址即可。这篇以阿里云为例带你走完“买域名 → 给飞牛 DDNS 授权 → 申请证书”的闭环。操作前请先看一眼文末的“公网入口”提醒域名和证书不等于已经能从外网连回家。 请只在自己拥有或获授权管理的网络和域名上操作。不要把 AccessKey、密码、验证码、真实域名、IP 或路由器后台截图公开到文章、群聊或工单里。先把路线看明白 阿里云域名 ──→ 阿里云 DNS 记录 ↑ 飞牛 DDNS 定时更新 ↑ 家里的公网 IPv4 / IPv6 浏览器 ── HTTPS ──→ 域名 ──→ 路由器端口转发 ──→ 飞牛 NAS你需要准备一个已完成实名审核、状态正常的阿里云域名已完成初始化的飞牛 NAS并能在局域网正常打开一个准备给 NAS 用的子域名例如nas.example.com如需真正外网直连还要有可入站的公网 IPv4 或 IPv6以及路由器转发权限。1. 注册域名先给 NAS 起个好记的名字 打开 阿里云万网搜索喜欢的域名并按页面完成购买、实名和支付。后缀不用追求“最便宜”或“最酷”选自己能长期续费、好记的就行。域名买好后进入阿里云的域名列表确认状态是“正常”。实名审核、DNS 生效都可能需要一点时间状态没正常之前先别急着往下配。为什么建议用子域名假设主域名是example.com建议单独给 NAS 用NASnas.example.com 相册photo.example.com以后需要再加这里的*指的是可以自定义前缀例如你的域名是example.com你用nas.example.com也可以用a.example.com也行不过你通过飞牛填写域名后这里会自动增加ipv4和ipv6的记录值。这样不会影响主域名未来做博客、邮箱或其他服务。本文后面的nas.example.com都只是示例请替换成你的实际子域名。2. 创建一个专给 DDNS 用的 RAM 用户 飞牛要替你更新 DNS 记录需要阿里云凭证。**不要使用阿里云主账号的密钥。**正确做法是创建一个职责单一的 RAM 用户它只负责 DNS 解析不用于登录控制台、不授予管理员权限。打开 RAM 访问控制 - 用户依次操作点击创建用户登录名称可以写fnos-ddns便于日后识别访问方式只保留使用永久 AccessKey 访问。日常不需要它登录控制台在授权页面搜索并添加 DNS 相关权限新手先确认当前控制台里显示的策略名称为AliyunDNSFullAccess后再添加创建完成立刻把生成的AccessKey ID与AccessKey Secret保存到密码管理器该 Secret 通常只在创建时完整显示一次。这一项权限为什么要特别说AliyunDNSFullAccess可以管理该账号下的云解析 DNS适合第一次快速跑通但范围不小。它不是AdministratorAccess也不应该附带域名购买、费用、ECS 或 RAM 管理权限。如果你的阿里云账号下有多个域名建议在跑通后把目标域名放进单独的资源组改为资源组范围授权或按阿里云的自定义 DNS 策略继续收窄范围。阿里云官方也明确建议优先最小授权部分查询接口需要额外的全局只读权限实际以控制台报错与官方策略说明为准。⚠️ 名称纠正阿里云官方叫AccessKey ID / AccessKey SecretSecretId / SecretKey是其他云厂商常见叫法。你提供的“新增 DDNS”素材当前默认选中的是腾讯云。请先把服务商切换成阿里云再按阿里云表单填写不要把两家的名称混用。3. 在飞牛里配置阿里云 DDNS 在飞牛桌面依次进入系统设置 → 远程访问 → DDNS点击新增。新增时按下面填项目推荐填写服务商阿里云域名完整子域名例如nas.example.comAccessKey ID / SecretID填入刚创建的阿里云 AccessKey IDAccessKey Secret / SecretKey填入阿里云 AccessKey Secret外部 IPv4 地址初次使用可选“自动”有多个网口时确认选的是实际出网的网口点击确认后回到 DDNS 列表点击一次立即更新。状态显示“已更新”后再到阿里云云解析 DNS 页面检查nas这条记录是否出现或被更新。小提示如果飞牛当前版本在阿里云表单里仍显示SecretID、SecretKey它们对应的仍是上表中的“ID”和“Secret”两项不要颠倒填写字段以你实际选择“阿里云”后的页面为准。4. 为域名申请 HTTPS 证书 ️域名解析正确后在飞牛里进入系统设置 → 安全性 → 证书点击新增证书。选择获取证书而不是“导入证书”。前者会按页面流程申请可信证书后者用于你已经在其他地方拿到证书文件的情况。接下来通常只要把证书域名填成与 DDNS完全一致的nas.example.com再按当前界面完成验证即可。第一次不建议直接申请*.example.com通配符证书它用途更广权限边界也更大只有多个子服务确实需要时再考虑。证书显示有效后进入服务配置把它绑定到飞牛的 HTTPS 服务。确认 HTTPS 地址能正常打开后再考虑开启“强制 HTTPS”。飞牛官方说明也提醒强制 HTTPS 前必须先准备好安全、有效的证书。5. 域名能解析不代表外网已经能打开 DDNS 解决的是“域名指向哪里”证书解决的是“访问是否加密”。要从外网进家门还需要网络入口。先在飞牛中给 NAS 保留一个稳定的局域网 IP再在路由器的端口转发 / 虚拟服务器中只转发必要的 HTTPS 端口。较新版本 fnOS 的默认 HTTPS 端口是5667若你修改过端口以 NAS 的“系统设置 → 安全性”实际值为准。例如可将外部54443示例转发到 NAS 内网 IP 的5667外部访问地址https://nas.example.com:54443 转发目标NAS 的固定局域网 IP:5667 协议TCP不要图省事映射一整段端口更不要把 SMB、SSH、数据库后台直接暴露到公网。手机测试时请先关闭家中 Wi‑Fi用蜂窝网络打开域名一些路由器不支持 NAT 回环在家里打不开不一定代表外网失败。如果路由器 WAN 地址是10.x.x.x、172.16.x.x172.31.x.x、192.168.x.x或100.64.x.x100.127.x.x大概率处在运营商 NAT 后。此时端口映射很可能无效需要咨询运营商是否能提供公网入口或评估 IPv6、FN Connect 等适合自己网络的方案。常见卡点照着查就行 现象优先检查DDNS 创建失败服务商是否已选“阿里云”AccessKey 是否复制完整RAM 是否有 DNS 权限显示已更新但解析不对填的是不是完整子域名NAS 选的是否为实际出网网口等待 DNS 缓存刷新证书申请失败域名是否已解析证书域名与 DDNS 域名是否完全相同按当前页面验证方式检查网络条件局域网能开、蜂窝网络打不开是否有公网入口端口转发是否指向 NAS 固定 IP防火墙是否允许 HTTPS 端口浏览器仍提示不安全证书没有绑定到 HTTPS 服务或访问的域名与证书域名不一致最后做一次安全收尾 ✅管理员账号用独立长密码并开启双重验证DDNS 的 RAM 凭证只给 DNS 所需权限发现泄露立刻禁用并重新生成不用的端口转发规则及时删除定期更新 fnOS、路由器固件与证书状态对外分享文章前重新检查截图里是否含账号、域名、IP、AccessKey 或路由器信息。这样配置完成后域名会随出口 IP 自动更新HTTPS 也有了可信证书。它不保证任何宽带速度、流量额度或公网 IPv4 的可得性但会让“回家访问 NAS”这件事更好记也更有边界。✨参考资料飞牛如何远程访问到飞牛 NAS飞牛如何修改飞牛系统的端口阿里云管理 RAM 用户的权限阿里云云解析 DNS 身份管理阿里云云解析 DNS 自定义权限策略参考