内网实现 https 方案的问题

[qinyui]

最近用 n1 在局域网内搭建了个轻 nas ，整个架构现在是这样的：

https://imgur.com/a/i1zIMEK

但是现在访问是用 http://192.168.1.xxx 的方式，感觉不太安全，（因为局域网是合租公用的），所以想在现有基础上加上 https 传输更安全点

目前了解到的比较可行的方案是：解析一个二级域名，再申请个对应的 ssl 证书（非自签名证书），然后在局域网修改路由器的 hosts ，将域名转发到 n1 的 ip 上，这样在局域网内的所有设备都可以通过 https 加域名的方式访问 n1 并且不需要修改设备的 hosts 信息

但是现在问题是，主路由器是公用的并且不知道管理台密码，没法操作配置 hosts ，副路由器倒是我自己的但是配置 hosts 好像也没用

现在到这里卡住了，有什么办法解决吗？

[qinyui]

https://imgur.com/a/i1zIMEK

[pigeon2049]

cloudflare zero trust tunnel

[cpstar]

直接把域名解析为 192.168.1.x 就行了。改啥 hosts 。。。

[biabia123456]

外网有访问的需求吗 没有的话直接二级域名 DNS 解析到内网 ip 就好了

[Vegetable]

你能控制域名，直接解析到内网 IP 就行了，先找公网服务器做好证书，然后 DNS 解析到局域网，不用动什么 host

[cpstar]

然后，内网还要啥 ssl ，非要 ssl 自签一个得了。不对公网，证书的成本完全无法分摊。

[qinyui]

@cpstar 直接在域名控制台解析到内网地址就行了？我还没试过呢，一会我试试😂

[qinyui]

@cpstar 自签名的证书还要信任什么的不方便，ssl 证书有免费的也没啥成本呀

[ilovey482i]

本机改 hosts 也一样，在 host 里写域名对应的 IP

[qinyui]

@ilovey482i 那也手机改着不方便，需要 root 或者越狱

[cpstar]

部署配置不是成本？免费的每年更新一次不是成本？ Let'sEncrypt 的脚本实施不是成本？
你理解的成本是啥，只是那一点点钱么？

[leonshaw]

DNS 直接解析到内网 IP 不就行了

[InDom]

DNS 解析到内网，然后定时通过 DNS 认证签发证书。

[ilovey482i]

@qinyui 手机的话，你要自建 DNS 服务了，自己解析域名

[whileFalse]

1. 搞一张证书 2.域名解析到 n1 的内网地址
不就完了吗，楼主都在想些什么啊。

[qinyui]

#7 测试过没问题，直接域名解析到内网地址就行了，再配置上 ssl 证书也没问题，以前不知道还能直接解析到内网地址😂

[qinyui]

顺便再问下，如果是纯内网环境没有外网的话，域名解析内网 ip 这种方式就不行了吧？那时候怎么解决呢？

[Jinnrry]

what ？你是为了防止中间人攻击？我觉得跟你合租的人 99.999%是不懂中间人攻击的，就算你是那 0.001%刚好遇上了一个搞安全的，我觉得他 99.999%也不会吃饱了去中间人攻击研究你这个 nas 服务

[qinyui]

但是数据和各种密码请求都在 http 下传输一点都不放心。。。
@Jinnrry

[qinyui]

@biabia123456 后边也准备弄个内网穿透实现外网访问，到时候我再弄个二级域名解析就行了吧？