域名转发架构文档

从公网到家庭服务的完整转发链路分析

目录

• 系统架构概览
• 域名层级结构
• 转发流程详解
• 服务配置矩阵
• 安全策略
• 性能优化策略

系统架构概览

整个系统采用双层 Nginx 反向代理架构，实现了从公网到家庭局域网服务的安全访问：

• 第一层：公网 VPS 上的 Nginx
• 第二层：家庭网络内的 Nginx

架构优势

域名层级结构

二级域名（*.example.com）- VPS 公网层

证书配置

• 证书类型: *.example.com 泛域名证书
• 证书路径: /ssl/example.com.{crt,key}
• 续期方式: acme.sh 自动续期
• 有效期: 90天（30天前自动续期）

三级域名（*.ddns.example.com）- 家庭网络层

证书配置

• 证书类型: *.ddns.example.com 泛三级域名证书
• 证书路径: /etc/nginx/ssl/ddns.example.com/
• 续期方式: acme.sh DNS API 自动续期
• OCSP Stapling: 已启用,提升 SSL 握手性能

转发流程详解

流程 1: 主站访问（博客服务）

配置文件: example.com.conf

关键配置:

location / {
    proxy_pass http://ddns.example.com:8090;
    # WebSocket 支持
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

流程 2: 大文件服务访问（带宽优化型）

VPS 配置: service1.example.com.conf

server {
    listen 443 ssl http2;
    server_name service1.example.com;

    # 永久重定向到DDNS域名
    return 301 https://service1.ddns.example.com:8443$request_uri;
}

家庭网络配置: service1.ddns.example.com.conf

server {
    listen 8443 ssl http2;
    server_name service1.ddns.example.com;

    location / {
        proxy_pass http://192.168.x.x:9001;
        # 大文件上传支持
        client_max_body_size 1000m;
        proxy_request_buffering off;
    }
}

流程 3: 未配置域名的处理

配置文件: wildcard-redirects.conf

服务配置矩阵

VPS 公网层

家庭网络层

安全策略

SSL/TLS 配置

共同安全配置

所有配置文件都包含以下安全措施：

1. 强制 HTTPS

   # HTTP自动跳转HTTPS
   return 301 https://$server_name$request_uri;
   

2. HSTS 头部

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   

3. 安全头部

   add_header X-Frame-Options SAMEORIGIN always;
   add_header X-Content-Type-Options nosniff always;
   add_header X-XSS-Protection "1; mode=block" always;
   

4. OCSP Stapling（仅家庭网络层）

   ssl_stapling on;
   ssl_stapling_verify on;
   resolver 8.8.8.8 8.8.4.4 valid=300s;
   

访问控制策略

性能优化策略

1. 带宽优化架构

成本分析:

• VPS 流量费用: ~$0.01/GB
• 家庭宽带: 包月无限流量
• 节省: 大文件传输完全绕过 VPS

2. SSL 性能优化

3. 大文件传输优化

大文件服务 API 专用配置 (service3.ddns.example.com.conf):

# 禁用缓冲，支持流式传输
proxy_request_buffering off;
proxy_buffering off;

# 大文件超时
proxy_connect_timeout 300;
proxy_send_timeout 300;
proxy_read_timeout 300;

# Range请求支持（断点续传）
proxy_set_header Range $http_range;
proxy_set_header If-Range $http_if_range;

# CORS跨域支持
add_header Access-Control-Allow-Origin * always;

4. WebSocket 支持

所有需要实时通信的服务都启用了 WebSocket：

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";

适用服务:

• 博客服务（实时编辑）
• 服务1 Console（实时日志）
• 服务2（实时同步）

证书管理策略

证书更新时间线

acme.sh 自动续期配置

Cron 任务:

55 16 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

续期命令:

# 公网层证书
~/.acme.sh/acme.sh --renew -d example.com

# 内网层证书
~/.acme.sh/acme.sh --renew -d ddns.example.com

证书共存策略

故障排查指南

常见问题诊断流程

检查命令速查

# 1. 证书检查
openssl x509 -in /etc/nginx/ssl/ddns.example.com/fullchain.pem -noout -dates
~/.acme.sh/acme.sh --list

# 2. Nginx配置测试
sudo nginx -t
sudo nginx -s reload

# 3. 端口监听检查
sudo netstat -tlnp | grep nginx
sudo netstat -tlnp | grep 9001  # 服务1 Console
sudo netstat -tlnp | grep 9000  # 服务3 API

# 4. 服务日志
sudo tail -f /var/log/nginx/error.log
sudo tail -f /var/log/nginx/access.log

# 5. DNS解析测试
dig service1.ddns.example.com
nslookup service2.ddns.example.com

# 6. HTTPS连通性测试
curl -I https://service1.ddns.example.com:8443
curl -I https://service3.ddns.example.com:8443

部署清单

VPS 公网服务器

• 安装 Nginx
• 配置 *.example.com 泛域名证书
• 部署公网层配置文件
• 测试 HTTP 到 HTTPS 重定向
• 验证 301 重定向功能
• 测试博客服务访问

家庭内网网关

• 安装 Nginx
• 安装 acme.sh
• 配置 DNS API
• 申请 *.ddns.example.com 证书
• 部署内网层配置文件
• 配置防火墙（开放 8443 端口）
• 测试所有服务访问
• 验证 OCSP Stapling

网络层

• 配置路由器端口转发（8443 → 内网网关）
• 设置 DDNS 自动更新
• 测试外网访问（使用移动网络测试）

附录

端口映射表

相关文档

• ACME 证书配置说明
• Nginx 公网层配置文件
• Nginx 内网层配置文件

文档版本: 1.0
更新日期: 2025-12-06
作者: 系统架构分析
状态: 生产环境