想要黑群晖的 5000 端口用 Nginx 反代出来,会有什么安全问题?

请不要把任何和邀请码有关的内容发到 NAS 节点。

邀请码相关的内容请使用 /go/in 节点。

如果没有发送到 /go/in，那么会被移动到 /go/pointless 同时账号会被降权。如果持续触发这样的移动，会导致账号被禁用。

This topic created in 1088 days ago, the information mentioned may be changed or developed.

规则类似

location ~ /asdasd 比较长的随机路径/ {
 proxy_pass  http://127.0.0.1:5000
}

使用类似 xxx.xxx.com/asdasd 比较长的随机路径这样会有什么问题,感觉很不安全的样子主要是想在手机上看照片,又不想在手机上安装额外的软件

Supplement 1 · Nov 14, 2023

这样看来安全性还可以，谢谢大家

黑群晖

路径

随机

proxy_pass

26 replies • 2023-11-16 10:14:20 +08:00

hay0577

Nov 14, 2023

没啥问题。。等有问题的时候再改了呗。

leefor2020

Nov 14, 2023

NGINX 限制下访问 IP 呗，只允许你常用的 IP 段

AoEiuV020JP

Nov 14, 2023

5000 不是也要密码登录的吗，只要密码不太简单，安全性没啥问题吧，
另外 nas 本职是 smb, 手机上随便一个支持的文件管理器就行，不算额外安装软件吧，

xiamy1314

Nov 14, 2023

没有，密码复杂点。

prudence

Nov 14, 2023

有个限制密码错误封锁 ip 设置一分钟错一次锁，开了公网几年目前没事

rockddd

Nov 14, 2023

三年了，没有问题

devswork

Nov 14, 2023

1. 上 HTTPS SSL 证书
2. 仅你当地的运营商 IP allow ，其他一律 deny ，参考 http://ipcn.chacuo.net/
3. 路径足够随机，足够猜不到
4. 匹配其他路径兜底 301 302 到小米官网、华硕官网，模拟一个路由器出错跳转回官网的现象

hervey0424

Nov 14, 2023

上 https 把, 要不然被人家抓到密码就完犊子了

Livid

MOD

PRO

Nov 14, 2023

https://tailscale.com/kb/1131/synology/

tsanie

Nov 14, 2023

给可以登录 dsm 的用户开启 otp

gps949

Nov 14, 2023

看到 livid 都发了，我也凑个热闹：
https://www.v2ex.com/t/961711

话说回来，如果选择反代方式的话，建议可以 NPM 做简单些，并且建议两端 SSL （即走群晖 5001 口到你反代，你反代开 HTTPS ）。
另外，也可以考虑用 Cloudflare R2 、百度网盘、OneDrive 、Google 同步，既实现照片多备份又可以方便查看（当然百度网盘的话前提是已经是它的用户）。
再此外，还可以直接用群晖的 webstation 。

总的来说玩法还挺多的

cctv180

Nov 14, 2023

都用 Nginx 了，事情要简单很多开启证书，把默认网站直接返回 444,即你指定域名才能开，只要你不泄露域名只有运营商通过 SNI 才能查到。

listen 80 default_server;
listen 443 ssl http2 default_server;
return 444;

leconio

Nov 14, 2023

这写法有问题吧，

leconio

Nov 14, 2023

这写法有问题吧，我觉得应该是这样，不对请指出
location /比较长的随机路径 {
rewrite ^/比较长的随机路径/(.*)$ /$1 break;
proxy_pass http://127.0.0.1:5001;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection 'upgrade';
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
}