记一次给群晖NAS的第三方套件配置内网ssl的过程（Emby，Homebridge）

先决条件

我的白群晖系统是DSM7.2，硬件层级不支持docker、虚拟机啥的，所以以下内容的Emby和HomeBridge都是套件的配置方式。如果你用的是docker，以下内容仅供参考。

1.配置群晖ssl

1.1 证书签发

首先，我根据下面这个教程给群晖配置完了ssl。

使用mkcert免费给群晖创建十年期自签ssl证书_网络存储_什么值得买

简单描述一下就是

先让群晖生成一个证书签发请求（CSR），使用mkcert 根据生成好的CSR文件签发ssl证书

导入的时候，把签发好的PEM文件和刚才下载好的key文件（私钥）导入到群晖中，配置好就可以了。

需要注意的是，如果需要使用本地域名来访问群晖，以上配置完成还没有结束。

1.2 域名和ip映射

做好域名和ip的映射。我使用的方案是在路由器设置里自定义host。然后把所有连接路由器的设备，DNS改成路由器的“192.168.5.1”。这样就能确保访问这个域名的时候，会解析到这个ip。（经过尝试，我的iPhone和windows都可以正常访问，但是有个华为手机不行，我也不知道为什么）

1.3 群晖自定义域的配置

还需要在控制面板——登录门户——DSM——自定义域，把刚才注册好的域名填进去

在控制面版——安全性——证书里面，点“设置”，找到上一步填写好的自定义域，选择刚才上传好的证书。只有在上一步填了自定义域，这里面才会有这个服务。这样做是为了确保，在通过本地域名和公网域名访问的时候，能使用不同的证书。

1.4 本地设备安装根证书

根据1.1教程里面的内容，我把生成好的所有文件，上传到了nas的文件夹。使用各种设备访问nas来安装根证书。

到此为止，以上步骤正确的话，各种设备在家中，只要连接到wifi，就可以通过本地域名来访问nas了，并且浏览器不会报不安全，app连接也不会给警告提示。

2.配置Emby的ssl

2.1 证书转换

Emby使用的是pfx证书。

我们把之前生成的pem证书转换一下就可以了。

我用的是这个在线转换器。缺点是不能自定义密码，他会随机生成一个密码，然后在下载文件中提供给你。

SSL 转换器 | 在线转换您的SSL证书格式 – 网汇在线

密钥选择key文件，证书选择pem文件，点击提交就可以了。

2.2 访问证书授权

将转换好的证书放在nas上，这个路径需要emby可以访问，所以记得给权限。

给权限的操作如下图：

最后记得点保存

2.3 Emby配置

填写以下内容

填写完需要重启。

如果你配置成功了，你能在控制台的网络看到广域网访问的地址。失败了也没关系，用ip+端口号访问重新配置就可以了。

这里需要注意的是，Emby的http端口和https的端口不一样。群晖套件安装的时候主菜单那个地址是写死的http端口。现在你用本地域名访问nas的时候，因为端口号的不同，点主菜单的那个地址就跳转不过去了。需要在地址栏手动改一下端口号。这个目前还没有什么很好的解决办法。

3.配置homebridge的ssl

3.1 踩坑

homeBridge支持两种方式来配置，分别是key+crt的形式，和pfx+密码的形式。两种选一个就可以了。

homebridge特别娇气，我在尝试摸索的自己配置的时候，失败了好几次，失败了他就无法访问了。

如果配置失败了，会导致hombridge启动之后无法访问。这个时候，不要慌！

先去套件中心停掉，然后修改配置文件。

把SSL这一块删掉就可以了，保存后重新启动。

我把Emby那一步生成的pfx文件和密码填进去了，虽然https可以正常访问了，但是Apple家庭连接不上了，于是这个不行。

接下来是正文：

3.1 证书转换+访问授权

由于我用pfx+密码的形式会导致Apple家庭连接不上，这种方法咱们就不用了。

我们采用key+crt的形式。由于之前给nas配置的时候，已经有了key和pem了，是不是只要把pem用在线转换器转换一下就可以了呢？

不是的！因为根本不用！

直接把pem证书的扩展名改成crt就可以了。

我试过转换，启动之后又是访问不了了，看日志说和key不匹配。

小科普：

.PEM 扩展用于不同类型的X.509v3文件，是以“ - BEGIN ...”前缀的ASCII（Base64）数据。

.CRT 扩展用于证书。 证书可以被编码为二进制DER或ASCII PEM。 CER和CRT扩展几乎是同义词。 最常见的于Unix 或类Unix系统。

把文件传到Nas上，用2.2的方式给homebridge授权。

3.2 Homebridge配置

按照下图填写就好了，ssl设置里面，key和证书的路径是一定要填的，那个Reverse Proxy Hostname ，我不确定填或者不填有没有用，反正我是填上了本地域名。

最后点保存重启等待就可以了。

需要注意的是，Homebridge一旦配置好ssl，ip+端口号的形式就没法访问了,也就是说http和https只能二选一。

现在通过本地域名来访问nas的时候，可以通过群晖的主菜单直接跳转homebridge了。

3.3 Apple 家庭重新连接

我在iPhone的家庭里面，把原来的设备解除了绑定，homebridge的设置里面，重置了一下网桥。这样就可以重新绑定了。然后就可以正常使用了。