玩机日记 3 PVE配置SSL证书，主路由端口转发，实现远程访问PVE

木谷羊宫切割

已于 2025-02-17 21:15:46 修改

阅读量1.8k

点赞数 30

CC 4.0 BY-SA版权

分类专栏： All in One 玩机日记文章标签： ssl 网络智能路由器

于 2025-02-12 18:05:04 首次发布

本文链接：https://blog.youkuaiyun.com/handsome_Druid/article/details/145595698

All in One 玩机日记专栏收录该内容

16 篇文章

订阅专栏

1、设置路由器端口转发

2、解决内网无法访问域名

3、下载部署SSL证书到PVE

1、设置路由器端口转发

对于大多数路由器来说，端口转发这个功能都是做的比较简洁易用的；这次我使用OpenWRT的主路由进行演示，目的是为了尽可能搞明白背后的原理（当然，也会复杂很多）。我个人依然不推荐把主路由刷成OP。

我已经实现配置好了DDNS

你可能会注意到我是用的是阿里云。这是因为这个路由器是小米wr30u刷的op固件，就像我在玩机日记 1 里面说的，部分小米路由不支持贝锐ddns（这是我打贝锐客服电话，人家主动讲的）。也许是我的操作有误，也有可能是不幸躺枪了，总之，这台路由器上我确实没办法配置贝锐ddns。

我买了一个阿里云，一个贝锐的域名，当需要url记录功能的时候，再使用贝锐的域名进行功能上的补全。显而易见，这样就需要花两份钱，所以我不建议读者也买两个域名。如果你用的也是阿里云的ddns，那咱们就不用url记录的功能了，远程连接的时候无非多输个端口号，也不很麻烦。

打开网络——防火墙，像我这样调整设置。简单来说，就是把除了ddos防御之外的所有防御全部关掉。你可能会担心这样会有安全风险，但是对于一般的路由器来说，本来就没有那么多防护规则，不需要像op一样，每次配置完端口转发再配置防火墙入站规则；此外，我打算将http转发的工作交给fnos来干，因此会设置dmz主机为fnos，既然都设置dmz主机了，那防火墙肯定就是冲突的了（否则不是dmz个寂寞吗？）

点击上面的端口转发，添加第一条转发规则。内部ip地址就是PVE的ip地址。点击添加。然后点击下面的保存并应用。

前文中我提到打算用fnos来转发http端口。pve的网页就是http端口，但是我们不能用nas来转发。否则nas一但挂了，pve也就访问不了了。一定要在主路由里面添加转发规则，这样只要主路由和pve本身不挂，就一定可以访问。

由于我们还没有添加SSL证书，所以暂时先不着急测试公网访问。

2、解决内网无法访问域名

这个问题并不是每个人都会遇到，但是如果遇到的话就会很恶心。我研究下来，有两种解决方案。这两种方法，对我来说只要做了任意一种就有效。这里我会同时采用两种方案，因为它们并不冲突。

（1）修改wan区域的设置，将允许转发到目标区域的lan勾上，点击保存并应用。

（2）修改dnsmasq的设置，关闭重绑定保护，保存并应用。

为什么会出现这个问题我还没搞太明白。不过我用telnet+wireshark抓包做过实验，当内网无法访问域名这个问题出现时，内网设备向路由器发出了tcp第一次握手的syn数据包，但是本来应该通过端口转发收到syn的设备并没有收到，因此它也没有返回syn-ack。也就是说，在这种情况下，内网访问公网ip的端口转发是失效的。但是要怎么稳定复现这个现象？目前还没有思路。

对了，这样设置是错误的，不可以把覆盖网络的lan勾上。