群晖NAS下如何实现特定IP仅访问对应域名的Docker容器？

针对你在群晖NAS上遇到的这个问题，核心是要从「端口+IP」的限制升级到「域名+IP」的访问控制——毕竟现在用了子域名后，所有请求可能都会打到同一服务器IP的80/443端口，原来的端口限制逻辑自然就失效了。结合群晖的环境，给你几个可行的方案：

一、用Nginx反向代理实现（最推荐，支持HTTP/HTTPS） #

这是最稳定可靠的方案，因为Nginx可以直接读取请求的Host头（HTTPS场景下还能解析SNI），轻松实现「指定IP+指定域名」的访问控制。

步骤如下：

1. 部署Nginx：你可以选择在群晖套件中心安装Web Station并启用Nginx，或者直接用Docker拉一个Nginx镜像来运行。
2. 配置子域名的反向代理规则：
   针对每个子域名，在Nginx的配置文件里添加对应的server块，同时加上IP访问限制。举个例子：

   server {
       listen 80;
       server_name sub1.domain.example;
   
       # 只允许user1的IP访问
       allow 1.2.3.4;
       deny all;
   
       # 反向代理到对应的Docker容器端口
       location / {
           proxy_pass http://localhost:5801;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
       }
   }
   
   server {
       listen 80;
       server_name sub2.domain.example;
   
       # 只允许user2的IP访问
       allow 5.6.7.8;
       deny all;
   
       proxy_pass http://localhost:5802;
       proxy_set_header Host $host;
       proxy_set_header X-Real-IP $remote_addr;
   }
   

3. 调整Docker端口映射：把原来直接暴露到公网的容器端口（比如5801、5802）改成仅监听本地（127.0.0.1），避免绕过Nginx直接访问。
4. 重启Nginx生效：修改配置后重启Nginx服务，这样所有请求都会先经过Nginx的访问控制，符合条件才会转发到对应容器。

如果需要支持HTTPS，只需要给每个server块添加SSL证书配置，逻辑和HTTP完全一致，Nginx会自动解析SNI来匹配对应的域名和访问规则。

二、iptables结合string模块（仅适合HTTP场景，不推荐） #

这个方法只能用于未加密的HTTP请求，因为HTTPS的Host头是加密传输的，iptables无法读取。而且这种方式对请求格式的兼容性较差，只适合临时应急使用：

执行类似这样的命令：

# 禁止非1.2.3.4的IP访问sub1.domain.example
iptables -I INPUT -p tcp --dport 80 -m string --algo bm --string "Host: sub1.domain.example" \! --src 1.2.3.4 -j DROP

# 禁止非5.6.7.8的IP访问sub2.domain.example
iptables -I INPUT -p tcp --dport 80 -m string --algo bm --string "Host: sub2.domain.example" \! --src 5.6.7.8 -j DROP

注意：这个命令依赖iptables的string模块，而且Host头的格式必须完全匹配（比如大小写、空格都不能错），如果客户端发送的Host头带额外空格或者小写，规则就会失效，所以不推荐长期使用。

关于你遇到的ipset问题 #

你提到执行ipset时报错Cannot open session to kernel，这是因为群晖NAS的默认内核通常没有加载ipset模块，而且群晖的系统权限管控比较严格，普通用户很难手动加载内核模块（官方也不建议这么做，容易导致系统不稳定）。所以ipset这条路在群晖上基本走不通，还是优先考虑前面的Nginx方案。

备注：内容来源于stack exchange，提问作者evgeniy317