群晖NAS | 部署Let's Encrypt泛域名证书（支持自动续签）

说明：群晖 Quickconnect 的访问速度太慢，很大一批都宁愿自己淘一个低延迟且水管足够的 VPS 服务器配合群晖 NAS 来做内网穿透使用，来达到提升外网访问速度的目的。而对于一个暴露在外网的 NAS 来说，让后台访问支持 HTTPS 协议变得尤为重要。很多人会说为什么不用群晖 Quickconnect 服务，使用 DSM 系统自带的 SSL 证书？毕竟 Quickconnect 访问慢啊，另外我们很多时候需要在 NAS 上建站或者部署安装其他的项目都需要用到泛域名证书。

上图红框中的脚本命令为 (注意没有换行)：

/volume1/nas_share/certs/syno-acme/cert-up.sh update >> /volume1/nas_share/certs/syno-acme/log.txt 2>&1

具体的路径是步骤 i 中复制的路径。

另外，在申请证书 / 更新证书过程，如果出现 code:60 错误，无法建立 SSL 连接，请更新群晖内置 CA 机构根证书。执行以下命令：

# 备份根证书
sudo mv /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ca-certificates.crt.bak
# 更新根证书
sudo curl -Lko /etc/ssl/certs/ca-certificates.crt https://curl.se/ca/cacert.pem

iii. 试运行脚本

可以在新建的任务上点击右键立即执行任务：

这样脚本就会运行，自动更新证书，并重启 web 服务器加载新的脚本。以后，NAS 会每隔一个月执行一次该脚本，自动更新证书。

iv. 回滚

脚本里提供了回滚命令，可以通过 ssh 登录到 nas，定位到对应目录，执行如下命令回滚证书目录到备份的状态：

/volume1/nas_share/certs/syno-acme/cert-up.sh revert

总结

这个一键脚本的特点是支持回滚操作，又最小限度的触碰系统文件，仅 /usr/syno/etc/certificate/_archive 目录会被更改。acme.sh 工具随用随时下载，保持最新，用完即删除，不占用磁盘空间。