给 NAS 办张身份证：飞牛 DDNS 与 HTTPS 证书全流程 🌐

给 NAS 办张身份证：飞牛 DDNS 与 HTTPS 证书全流程 🌐

想从外面访问家里的飞牛 NAS，记住一串会变的 IP 很容易出错。更省心的组合是：**域名负责名字，DDNS 负责跟着公网 IP 变化，HTTPS 证书负责加密访问。**完成后，你只要记住类似 nas.example.com 的地址即可。

这篇以阿里云为例，带你走完"买域名 → 给飞牛 DDNS 授权 → 申请证书"的闭环。操作前请先看一眼文末的"公网入口"提醒：域名和证书不等于已经能从外网连回家。

🔐 请只在自己拥有或获授权管理的网络和域名上操作。不要把 AccessKey、密码、验证码、真实域名、IP 或路由器后台截图公开到文章、群聊或工单里。

先把路线看明白 🧭

阿里云域名  ──→  阿里云 DNS 记录
                      ↑
                飞牛 DDNS 定时更新
                      ↑
              家里的公网 IPv4 / IPv6

浏览器 ── HTTPS ──→ 域名 ──→ 路由器端口转发 ──→ 飞牛 NAS

你需要准备：

• 一个已完成实名审核、状态正常的阿里云域名；
• 已完成初始化的飞牛 NAS，并能在局域网正常打开；
• 一个准备给 NAS 用的子域名，例如 nas.example.com；
• 如需真正外网直连，还要有可入站的公网 IPv4 或 IPv6，以及路由器转发权限。

1. 注册域名：先给 NAS 起个好记的名字 🪪

打开 阿里云万网，搜索喜欢的域名并按页面完成购买、实名和支付。后缀不用追求"最便宜"或"最酷"，选自己能长期续费、好记的就行。

域名买好后，进入阿里云的域名列表，确认状态是"正常"。实名审核、DNS 生效都可能需要一点时间；状态没正常之前，先别急着往下配。

为什么建议用子域名？

假设主域名是 example.com，建议单独给 NAS 用：

NAS：nas.example.com
相册：photo.example.com（以后需要再加）

这里的*指的是可以自定义前缀，例如：你的域名是example.com，你用nas.example.com也可以，用a.example.com也行，不过你通过飞牛填写域名后，这里会自动增加ipv4和ipv6的记录值。

这样不会影响主域名未来做博客、邮箱或其他服务。本文后面的 nas.example.com 都只是示例，请替换成你的实际子域名。

2. 创建一个专给 DDNS 用的 RAM 用户 🔑

飞牛要替你更新 DNS 记录，需要阿里云凭证。**不要使用阿里云主账号的密钥。**正确做法是创建一个职责单一的 RAM 用户：它只负责 DNS 解析，不用于登录控制台、不授予管理员权限。

打开 RAM 访问控制 - 用户，依次操作：

1. 点击 创建用户；
2. 登录名称可以写 fnos-ddns，便于日后识别；
3. 访问方式只保留 使用永久 AccessKey 访问。日常不需要它登录控制台；
4. 在授权页面搜索并添加 DNS 相关权限；新手先确认当前控制台里显示的策略名称为 AliyunDNSFullAccess 后再添加；
5. 创建完成，立刻把生成的 AccessKey ID 与 AccessKey Secret 保存到密码管理器；该 Secret 通常只在创建时完整显示一次。

这一项权限为什么要特别说？

AliyunDNSFullAccess 可以管理该账号下的云解析 DNS，适合第一次快速跑通，但范围不小。它不是 AdministratorAccess，也不应该附带域名购买、费用、ECS 或 RAM 管理权限。

如果你的阿里云账号下有多个域名，建议在跑通后把目标域名放进单独的资源组，改为资源组范围授权，或按阿里云的自定义 DNS 策略继续收窄范围。阿里云官方也明确建议优先最小授权；部分查询接口需要额外的全局只读权限，实际以控制台报错与官方策略说明为准。

⚠️ 名称纠正：阿里云官方叫 AccessKey ID / AccessKey Secret ；SecretId / SecretKey 是其他云厂商常见叫法。你提供的"新增 DDNS"素材当前默认选中的是腾讯云。请先把服务商切换成 阿里云，再按阿里云表单填写，不要把两家的名称混用。

3. 在飞牛里配置阿里云 DDNS 🔄

在飞牛桌面依次进入 系统设置 → 远程访问 → DDNS ，点击 新增。

新增时按下面填：

项目	推荐填写
服务商	阿里云
域名	完整子域名，例如 nas.example.com
AccessKey ID / SecretID	填入刚创建的阿里云 AccessKey ID
AccessKey Secret / SecretKey	填入阿里云 AccessKey Secret
外部 IPv4 地址	初次使用可选"自动"；有多个网口时，确认选的是实际出网的网口

点击确认后，回到 DDNS 列表，点击一次 立即更新 。状态显示"已更新"后，再到阿里云云解析 DNS 页面检查 nas 这条记录是否出现或被更新。

小提示：如果飞牛当前版本在阿里云表单里仍显示 SecretID、SecretKey，它们对应的仍是上表中的"ID"和"Secret"两项，不要颠倒填写；字段以你实际选择"阿里云"后的页面为准。

4. 为域名申请 HTTPS 证书 🛡️

域名解析正确后，在飞牛里进入 系统设置 → 安全性 → 证书 ，点击 新增证书。

选择 获取证书，而不是"导入证书"。前者会按页面流程申请可信证书；后者用于你已经在其他地方拿到证书文件的情况。

接下来通常只要把证书域名填成与 DDNS 完全一致 的 nas.example.com，再按当前界面完成验证即可。第一次不建议直接申请 *.example.com 通配符证书：它用途更广，权限边界也更大；只有多个子服务确实需要时再考虑。

证书显示有效后，进入 服务配置，把它绑定到飞牛的 HTTPS 服务。确认 HTTPS 地址能正常打开后，再考虑开启"强制 HTTPS"。飞牛官方说明也提醒：强制 HTTPS 前必须先准备好安全、有效的证书。

5. 域名能解析，不代表外网已经能打开 🚪

DDNS 解决的是"域名指向哪里"，证书解决的是"访问是否加密"。要从外网进家门，还需要网络入口。

先在飞牛中给 NAS 保留一个稳定的局域网 IP，再在路由器的 端口转发 / 虚拟服务器 中只转发必要的 HTTPS 端口。较新版本 fnOS 的默认 HTTPS 端口是 5667；若你修改过端口，以 NAS 的"系统设置 → 安全性"实际值为准。

例如可将外部 54443（示例）转发到 NAS 内网 IP 的 5667：

外部访问地址：https://nas.example.com:54443
转发目标：NAS 的固定局域网 IP:5667
协议：TCP

不要图省事映射一整段端口，更不要把 SMB、SSH、数据库后台直接暴露到公网。手机测试时请先关闭家中 Wi‑Fi，用蜂窝网络打开域名；一些路由器不支持 NAT 回环，在家里打不开不一定代表外网失败。

如果路由器 WAN 地址是 10.x.x.x、172.16.x.x～172.31.x.x、192.168.x.x 或 100.64.x.x～100.127.x.x，大概率处在运营商 NAT 后。此时端口映射很可能无效，需要咨询运营商是否能提供公网入口，或评估 IPv6、FN Connect 等适合自己网络的方案。

常见卡点：照着查就行 🧩

现象	优先检查
DDNS 创建失败	服务商是否已选"阿里云"；AccessKey 是否复制完整；RAM 是否有 DNS 权限
显示已更新但解析不对	填的是不是完整子域名；NAS 选的是否为实际出网网口；等待 DNS 缓存刷新
证书申请失败	域名是否已解析；证书域名与 DDNS 域名是否完全相同；按当前页面验证方式检查网络条件
局域网能开、蜂窝网络打不开	是否有公网入口；端口转发是否指向 NAS 固定 IP；防火墙是否允许 HTTPS 端口
浏览器仍提示不安全	证书没有绑定到 HTTPS 服务，或访问的域名与证书域名不一致

最后做一次安全收尾 ✅

• 管理员账号用独立长密码，并开启双重验证；
• DDNS 的 RAM 凭证只给 DNS 所需权限，发现泄露立刻禁用并重新生成；
• 不用的端口转发规则及时删除；
• 定期更新 fnOS、路由器固件与证书状态；
• 对外分享文章前，重新检查截图里是否含账号、域名、IP、AccessKey 或路由器信息。

这样配置完成后，域名会随出口 IP 自动更新，HTTPS 也有了可信证书。它不保证任何宽带速度、流量额度或公网 IPv4 的可得性，但会让"回家访问 NAS"这件事更好记，也更有边界。✨

---