想要黑群晖的 5000 端口用 Nginx 反代出来,会有什么安全问题?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

请不要把任何和邀请码有关的内容发到 NAS 节点。

邀请码相关的内容请使用 /go/in 节点。

如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。

这是一个创建于 385 天前的主题，其中的信息可能已经有所发展或是发生改变。

规则类似

location ~ /asdasd 比较长的随机路径/ {
 proxy_pass  http://127.0.0.1:5000
}

使用类似 xxx.xxx.com/asdasd 比较长的随机路径这样会有什么问题,感觉很不安全的样子主要是想在手机上看照片,又不想在手机上安装额外的软件

第 1 条附言 · 2023-11-14 20:45:11 +08:00

这样看来安全性还可以，谢谢大家

黑群晖

路径

随机

proxy_pass

26 条回复 • 2023-11-16 10:14:20 +08:00

hay313955795

2023-11-14 13:57:54 +08:00

没啥问题。。等有问题的时候再改了呗。

leefor2020

2023-11-14 14:08:34 +08:00

NGINX 限制下访问 IP 呗，只允许你常用的 IP 段

AoEiuV020JP

2023-11-14 14:19:12 +08:00

5000 不是也要密码登录的吗，只要密码不太简单，安全性没啥问题吧，
另外 nas 本职是 smb, 手机上随便一个支持的文件管理器就行，不算额外安装软件吧，

xiamy1314

2023-11-14 14:24:05 +08:00

没有，密码复杂点。

prudence

2023-11-14 14:32:24 +08:00

有个限制密码错误封锁 ip 设置一分钟错一次锁，开了公网几年目前没事

wxw752

2023-11-14 14:34:35 +08:00

三年了，没有问题

devswork

2023-11-14 14:38:48 +08:00

1. 上 HTTPS SSL 证书
2. 仅你当地的运营商 IP allow ，其他一律 deny ，参考 http://ipcn.chacuo.net/
3. 路径足够随机，足够猜不到
4. 匹配其他路径兜底 301 302 到小米官网、华硕官网，模拟一个路由器出错跳转回官网的现象

hervey0424

2023-11-14 15:35:34 +08:00

上 https 把, 要不然被人家抓到密码就完犊子了

Livid

MOD

2023-11-14 15:36:37 +08:00

https://tailscale.com/kb/1131/synology/

tsanie

2023-11-14 15:41:51 +08:00

给可以登录 dsm 的用户开启 otp

gps949

2023-11-14 15:45:52 +08:00

看到 livid 都发了，我也凑个热闹：
https://www.v2ex.com/t/961711

话说回来，如果选择反代方式的话，建议可以 NPM 做简单些，并且建议两端 SSL （即走群晖 5001 口到你反代，你反代开 HTTPS ）。
另外，也可以考虑用 Cloudflare R2 、百度网盘、OneDrive 、Google 同步，既实现照片多备份又可以方便查看（当然百度网盘的话前提是已经是它的用户）。
再此外，还可以直接用群晖的 webstation 。

总的来说玩法还挺多的

cctv180

2023-11-14 17:09:07 +08:00

都用 Nginx 了，事情要简单很多开启证书，把默认网站直接返回 444,即你指定域名才能开，只要你不泄露域名只有运营商通过 SNI 才能查到。

listen 80 default_server;
listen 443 ssl http2 default_server;
return 444;

leconio

2023-11-14 17:14:07 +08:00

这写法有问题吧，

leconio

2023-11-14 17:18:23 +08:00

这写法有问题吧，我觉得应该是这样，不对请指出
location /比较长的随机路径 {
rewrite ^/比较长的随机路径/(.*)$ /$1 break;
proxy_pass http://127.0.0.1:5001;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection 'upgrade';
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
}