OpenWrt 配合 DDNS 实现动态证书绑定

OpenWrt 配合 DDNS 实现动态证书绑定：让家庭网络服务更安全

大家好，我是 33blog 的博主。今天想和大家分享一个我在家庭网络环境中反复实践过的方案——在 OpenWrt 路由器上配置 DDNS 服务，并配合 Let’s Encrypt 实现动态 SSL 证书绑定。这个方案特别适合像我这样，拥有动态公网 IP 但又想安全访问内网服务的用户。过程中踩过不少坑，也积累了一些经验，希望能帮助到有同样需求的你。

1. 准备工作：确认网络环境与安装必要组件

在开始之前，请确保你的 OpenWrt 路由器能够获取到公网 IP（即使是动态的），并且已经设置了端口转发，允许外部访问你的内网服务。我使用的是 OpenWrt 21.02 版本，如果你的版本不同，部分命令可能需要调整。

首先，我们需要安装几个核心软件包：

opkg update
opkg install ddns-scripts luci-app-ddns acme luci-app-acme

这里，ddns-scripts 负责动态域名解析，acme 用于申请和管理 Let’s Encrypt 证书。安装过程中如果遇到依赖问题，记得根据提示逐一解决——这是我第一次配置时耗时最多的地方。

2. 配置 DDNS 服务：绑定动态域名

我选择的是免费的 DDNS 服务商 DuckDNS，你也可以用其他服务（如 No-IP 或花生壳）。注册后，你会得到一个子域名（例如 myhome.duckdns.org）和一个 Token。

在 OpenWrt 的 Web 界面（LuCI）中，进入“服务” -> “动态 DNS”，添加一个新的配置：

勾选“启用”
服务提供商：选择“duckdns.org”
域名：填写你的子域名（如 myhome.duckdns.org）
用户名：任意值（DuckDNS 不需要）
密码：填写你的 Token
其他设置保持默认，保存并应用

保存后，可以点击“启动”测试一下。如果状态显示“更新成功”，说明 DDNS 已经正常工作。这一步我反复测试了几次，因为初期 Token 填写错误导致更新失败。

3. 申请 Let’s Encrypt 证书：使用 ACME 客户端

接下来，我们通过 ACME 客户端申请 SSL 证书。这里我使用 HTTP-01 验证方式，因为它对家庭网络环境最友好。

首先，在 LuCI 中进入“服务” -> “ACME”，配置基本设置：

ACME 目录：使用默认的 Let’s Encrypt 生产环境
验证方式：选择“standalone”

然后添加一个证书配置：

主域名：填写你的 DDNS 域名（如 myhome.duckdns.org）
密钥长度：推荐 2048 或 4096
验证方式：选择“standalone”
其他选项保持默认

保存后，点击“申请证书”。如果一切顺利，你会看到证书申请成功的提示。证书和密钥会保存在 /etc/acme/ 目录下。我第一次申请时因为防火墙没有开放 80 端口导致验证失败，记得检查端口是否可访问。

4. 配置服务使用新证书：以 Web 界面为例

证书申请成功后，我们需要让 OpenWrt 的 Web 界面使用这个证书。编辑 uHTTPd 的配置文件：

vi /etc/config/uhttpd

找到并修改以下行：

config uhttpd 'main'
    list listen_https '0.0.0.0:443'
    option cert '/etc/acme/myhome.duckdns.org/fullchain.cer'
    option key '/etc/acme/myhome.duckdns.org/myhome.duckdns.org.key'

保存后，重启 uHTTPd 服务：

/etc/init.d/uhttpd restart

现在，通过 https://myhome.duckdns.org 访问你的 OpenWrt 界面，应该能看到浏览器地址栏显示安全的锁标志。这个步骤我最初忘记重启服务，导致证书一直没有生效。

5. 设置证书自动续期：避免服务中断

Let’s Encrypt 证书的有效期是 90 天，我们需要设置自动续期。ACME 客户端已经内置了定时任务，但我们可以手动验证一下：

crontab -l | grep acme

如果看到类似以下的输出，说明自动续期已经配置：

0 0 * * * /usr/bin/acme --cron

你也可以在 LuCI 的“系统” -> “计划任务”中查看和修改这个定时任务。为了确保万无一失，我额外添加了一个每月检查证书状态的脚本，这在证书即将过期时特别有用。

实战经验与踩坑总结

经过多次实践，我总结了几个关键点：

防火墙配置：申请证书时确保 80 端口（HTTP-01 验证）或 443 端口（TLS-ALPN-01 验证）可从公网访问。
DDNS 更新延迟：IP 变更后，DDNS 可能需要几分钟才能生效，耐心等待或手动触发更新。
证书路径权限：确保 /etc/acme/ 目录下的证书文件可被相关服务读取。
备份配置：在重大变更前，备份你的 OpenWrt 配置，避免失误导致网络中断。

这个方案让我能够安全地访问家里的 Nextcloud、Home Assistant 等服务，不再担心证书警告。希望这篇教程也能帮你顺利实现动态证书绑定！如果你遇到问题，欢迎在评论区交流。

OpenWrt 配合 DDNS 实现动态证书绑定