DSM7 局域网无需Let’s Encrypt安全连接群晖NAS的自签证书设置咨询

本方案仅需简单操作即可实现局域网内NAS与设备通信的全流量加密，完全满足防范本地网络明文密码窃听的需求，无需高等级安全认证配置。

前置要求 #

• 群晖NAS已设置固定局域网IP
• 可在需要访问NAS的设备上安装信任根证书

操作步骤（DSM 7.0-41890版本适用） #

第一步：创建自签名证书 #

1. 进入DSM后台，打开控制面板→安全性→证书页签
2. 点击右上角「添加」按钮，选择添加新证书（不要选择「替换现有证书」，否则会看不到自签选项）
3. 自定义填写证书名称，勾选「设置为默认证书」，点击下一步
4. 页面会显示「创建自签名证书」选项，选中后点击下一步
5. 先填写根CA（证书颁发机构）信息：通用名称可自定义为NAS标识+CA后缀，其余信息可随意填写，点击下一步
6. 填写服务证书信息：通用名称填NAS的固定局域网IP（如192.168.1.120），使用者备用名称栏补充填入NAS的IP、你可能用到的本地访问域名，避免后续访问报名称不匹配错误
7. 点击「应用」即可完成证书创建

第二步：绑定NAS服务 #

1. 在证书页面点击「配置」按钮
2. 将所有你用到的NAS服务（DSM桌面、SMB文件服务、WebDAV、Drive等）全部绑定到刚创建的自签证书上，保存设置

第三步：局域网设备信任证书 #

完成上述配置后直接访问NAS会弹出不安全提示，需在访问设备上安装根证书：

1. 在DSM证书页面选中刚创建的自签证书，点击「导出」，下载得到的压缩包中ca.crt就是根证书文件
2. Windows设备：双击ca.crt→安装证书→选择「本地计算机」→将证书存入「受信任的根证书颁发机构」存储区→确认导入即可
3. 移动端（iOS/安卓）、Mac设备：将ca.crt传输到设备后点击安装，在系统设置的证书管理页将该证书设为完全信任即可

备选方案：手动生成证书导入 #

如果按上述步骤仍找不到创建入口，可直接用openssl手动生成证书后导入DSM：

• 本地设备安装openssl后，依次生成根CA证书、服务端证书和私钥
• 回到DSM证书页，点击「添加」→「添加新证书」→「导入证书」，按提示上传私钥、服务端证书、根CA证书即可
• 后续服务绑定和设备信任操作和上述步骤一致

内容的提问来源于stack exchange，提问作者mcExchange