MSM Wiki

主题

域名服务 ​

域名服务把动态域名解析、HTTPS 证书和反向代理串成一条可观测、可恢复的发布链路，适合把 NAS、相册、家庭面板等 Web 服务通过自己的域名安全发布。当前页面包含 概览、动态域名解析、证书管理、反向代理 四个工作区。

域名和服务授权

仅可修改自有或已授权域名的 DNS，为已授权域名申请证书，并反向代理自有或已授权服务。公网发布前应开启身份验证、HTTPS、最小暴露面和必要的访问审计。

该模块属于 Pro 功能，并受 系统设置 → 功能开关 → 域名服务 控制。

发布链路 ​

text
内网 Web 服务
  ↓ 健康与可达性检查
DDNS：域名指向家庭公网地址
  ↓ 权威解析验证
ACME：申请或导入 HTTPS 证书
  ↓ 证书加载
反向代理：域名 → 内网目标
  ↓
公网 HTTPS 验证与持续健康检查

快速发布一个域名 ​

进入 域名服务 → 概览，点击 发布一个域名。向导会按阶段执行：

  1. 填写服务名称、域名和内网目标 URL
  2. 新建或选择 DNS 服务商凭据
  3. 创建并同步 DDNS 记录
  4. 申请新证书或选择已有证书
  5. 创建反向代理路由并校验配置
  6. 从公网域名执行最终 HTTPS 检查

每个阶段都会先执行预检。失败后可修正当前阶段并继续，不必从头重复创建已成功的资源；需要放弃时可清理当前工作流并重新开始。

动态域名解析 ​

进入 域名服务 → 动态域名解析 管理 DNS 凭据和任务。

建议流程 ​

  1. 使用服务商提供的最小权限 Token / API 凭据
  2. 测试凭据可用性
  3. 填写域名、记录类型、TTL 和检查间隔
  4. 选择公网 IPv4 / IPv6 来源
  5. 保存并执行 立即同步
  6. 等待权威 DNS 验证与服务商记录一致

任务会分别记录服务商写入状态和权威解析验证状态。出现“已写入但尚未传播”时，先等待 TTL 和 DNS 传播，不要反复删除重建。

DNS 凭据表单按服务商显示真正需要的字段，不要求用户手工维护可自动推断的 Zone。SecretId、数字 ID、SecretKey 和 Token 默认以掩码显示并标记“已保存”；管理员可通过小眼睛临时查看，留空保存会保留原凭据，输入新值才会替换。

双栈任务会分别显示 IPv4、IPv6 当前地址、来源和最近同步时间。公网地址来源可按地址族单独选择接口、直连探测服务或脚本；直连探测禁用 HTTP 环境代理，并绕开 MSM 托管代理链。没有可用地址族时页面显示“不支持”，不会把 IPv4 结果冒充 IPv6。

与自建私网联动

WireGuard 自建私网可以直接选择已就绪的 DDNS 任务作为 Endpoint。先让 DDNS 任务通过权威解析验证，再进入 自建私网。

HTTPS 证书 ​

进入 域名服务 → 证书管理。

ACME 自动签发 ​

简单模式默认使用 DNS-01，支持通配符，并且不要求公网开放 80 / 443 端口。可选择 Let's Encrypt、ZeroSSL 或受信任的自定义 ACME Directory。

建议先使用 Staging 完成流程验证，再明确确认切换到 Production。Staging 证书不受浏览器信任，不能用于生产 HTTPS 路由。

专家模式还可选择 HTTP-01 或 TLS-ALPN-01：

  • HTTP-01 需要公网 80 端口到达当前代理服务，不支持通配符
  • TLS-ALPN-01 需要公网 443 端口到达当前代理服务，不支持通配符
  • 创建订单前先运行申请前检查

导入已有证书 ​

可以粘贴 PEM，或从 MSM 配置目录下受限的 imports 路径导入。保存前会校验证书链、有效期、域名和私钥是否匹配。

私钥属于高度敏感数据。MSM 会加密存储，但你仍不应在日志、截图、工单或聊天中传播私钥。

生命周期 ​

  • 自动续期会在续期窗口内启动
  • 失败按退避策略重试，并显示下次尝试时间
  • 尚未过期的旧证书会继续使用
  • 已被反向代理引用的证书不能直接删除
  • 生产签发受 CA 速率限制，不要反复创建相同订单

反向代理 ​

进入 域名服务 → 反向代理。MSM 内置并托管代理运行时，负责生成、加载和回滚配置，不要求用户再单独安装一套外部反向代理。概览中的运行时状态会检查组件是否已安装、进程是否运行、管理端点是否可达、当前配置是否成功加载，并提示端口冲突或配置漂移；异常时可执行修复。

创建路由时先选择类型：

类型适用场景关键设置
反向代理把域名或路径转发到一个或多个内网服务上游、负载均衡、健康检查、超时与重试
重定向把请求跳转到另一个 URL目标 URL 和跳转状态码
静态响应直接返回固定内容HTTP 状态、响应体和响应头

所有类型都可以按域名和路径前缀匹配，并通过优先级处理重叠规则；需要把匹配前缀从上游请求中移除时，可启用路径剥离。

保存后 MSM 会：

  1. 验证域名、目标和证书关系
  2. 生成代理运行时配置
  3. 安全加载新配置
  4. 检查目标健康状态
  5. 在失败时保留或恢复上一份可用配置

反向代理路由支持多个上游，并可选择随机、轮询或最少连接负载均衡。高级设置包括健康检查、连接与响应超时、失败重试、上游 TLS SNI、自定义 CA，以及请求头和响应头的增加、设置或删除。

列表支持批量启用、停用和删除，也可以复制已有路由。修改后先执行校验，再应用运行时配置。

受管 Edge 默认不会抢占 80 / 443，也不会因为安装运行时就创建任何公网监听。只有启用路由后，MSM 才按该路由配置的本机监听端口启动服务；Docker 和路由器还需分别映射对应端口。列表中的新增、编辑、启用 / 暂停和删除都会经过配置校验与失败回滚。

专家用户可在高级设置中编辑受控 JSON 路由配置，调整监听、公网端口、路径优先级、上游、Header、TLS 与健康参数。保存前仍会执行结构和安全校验，不会直接接受任意运行时配置。MSM 管理的 HTTPS 响应使用 MSM 服务标识，不依赖用户额外安装或维护外部 Caddy。

目标地址建议 ​

  • MSM 与目标同机：使用目标真实监听地址和端口
  • MSM 在 Docker 内：不要想当然地使用 127.0.0.1，应使用容器可访问的宿主机或服务地址
  • 目标使用自签名 HTTPS：谨慎配置上游 CA 和 SNI，不要直接关闭所有验证

状态与诊断 ​

概览会分别显示 DDNS、有效证书、健康路由和 DNS 服务商数量，并给出代理运行时的安装、进程、管理端点和配置加载状态。

出现问题时按链路顺序排查：

  1. DDNS 诊断：服务商记录、权威解析、当前公网地址
  2. 证书状态：签发环境、挑战方式、有效期、运行时加载
  3. 反向代理健康：目标连通性、HTTP 状态和延迟
  4. 运行时诊断：安装状态、端口冲突、配置漂移和最近加载错误
  5. 访问日志：按关键词和状态码筛选请求，并查看请求量、2xx / 4xx / 5xx 与 P95 延迟

安全建议 ​

  • DNS 凭据只授予所需区域和记录的最小权限
  • 生产前先用 Staging 验证 ACME 流程
  • 不要把家庭管理面板裸露到公网；配合强认证、访问策略或 VPN
  • 定期检查证书到期、代理健康、运行时状态和访问日志
  • 删除资源前确认依赖关系，先解除路由与证书绑定

下一步 ​