内网服务也安全：手把手教你用mkcert为NAS、树莓派和智能家居设备签发HTTPS证书

内网HTTPS安全实践：用mkcert打造零警告的智能家居加密网络

在智能家居和家庭服务器日益普及的今天，我们经常需要通过浏览器访问内网中的各种设备管理界面——无论是群晖NAS的DSM系统、树莓派上运行的Home Assistant智能家居中枢，还是自建的Nextcloud私有云。但每次在地址栏看到那个刺眼的"不安全"警告时，总让人心里不太踏实。传统解决方案要么过于复杂，要么存在明显缺陷：

• 自签名证书：每个访问的设备都需要手动添加信任，且浏览器仍会显示警告
• 商业证书：不支持内网IP和自定义域名（如nas.local），且需要定期付费更新
• Let's Encrypt：不适用于纯内网环境，需要公网域名和定期续签

这就是mkcert的价值所在——它能一键创建被所有设备自动信任的本地证书，彻底解决内网HTTPS的信任问题。下面我将分享一套经过实战验证的完整方案。

1. mkcert核心原理与优势

mkcert之所以能优雅解决内网HTTPS问题，关键在于它实现了本地证书颁发机构(CA)的全自动部署。与传统的自签名证书不同，mkcert的工作流程是：

1. 在主机上安装时自动创建本地CA
2. 将该CA证书安装到系统根证书库
3. 用这个CA签发具体服务的证书

这种机制带来三个核心优势：

• 全自动信任：所有浏览器/设备自动认可证书有效性
• 支持任意名称：包括内网IP(192.168.x.x)、localhost及自定义域名(home.nas)
• 开发友好：证书有效期长达数年，无需频繁更新

技术提示：mkcert默认使用ECDSA P-256加密算法，比传统RSA 2048位证书具有更好的安全性和更快的握手速度。

2. 跨平台安装与配置指南

mkcert支持所有主流操作系统，下面给出各平台的典型安装方式：

2.1 Windows系统安装

对于Windows用户，推荐使用Chocolatey包管理器一键安装：

choco install mkcert -y mkcert -install

验证安装成功：

mkcert --help

2.2 macOS系统安装

通过Homebrew安装最为便捷：

brew install mkcert nss mkcert -install

对于Firefox用户需要额外配置：

brew install certutil certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "mkcert" -i "$(mkcert -CAROOT)/rootCA.pem"

2.3 Linux系统安装

各发行版安装方式略有差异：

通用安装步骤：

curl -JLO "https://dl.filippo.io/mkcert/latest?for=linux/amd64" chmod +x mkcert-v*-linux-amd64 sudo mv mkcert-v*-linux-amd64 /usr/local/bin/mkcert mkcert -install

3. 证书签发实战案例

3.1 基础证书生成

为NAS设备生成证书（同时支持IP和域名访问）：

mkcert nas.local 192.168.1.100 ::1

这将生成两个文件：

• nas.local+2.pem：证书文件
• nas.local+2-key.pem：私钥文件

3.2 通配符证书

对于有多个子服务的场景，可以使用通配符证书：

mkcert "*.home.lan"

3.3 特殊格式证书

某些服务需要特定格式的证书：

PKCS#12格式（适用于IIS）：

mkcert -pkcs12 home.nas # 默认密码为"changeit"

客户端证书（用于双向认证）：

mkcert -client remote.admin

4. 证书部署指南

4.1 群晖NAS部署

1. 登录DSM控制面板 → 安全性 → 证书
2. 选择"新增" → 添加新证书
3. 上传.pem文件作为证书，-key.pem作为私钥
4. 设置为默认证书并应用到所有服务

4.2 Nginx配置

典型配置示例：

server { listen 443 ssl; server_name nas.local; ssl_certificate /path/to/nas.local+2.pem; ssl_certificate_key /path/to/nas.local+2-key.pem; # 启用HTTP/2提升性能 listen 443 http2 ssl; # 安全强化配置 ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384'; ssl_prefer_server_ciphers on; }

4.3 Apache配置

<VirtualHost *:443> ServerName nas.local SSLEngine on SSLCertificateFile "/path/to/nas.local+2.pem" SSLCertificateKeyFile "/path/to/nas.local+2-key.pem" # 启用HSTS Header always set Strict-Transport-Security "max-age=63072000" </VirtualHost>

5. 全网络信任配置

要让家庭所有设备信任证书，需要分发CA证书：

5.1 Windows设备信任

1. 复制%CAROOT%/rootCA.pem到目标设备
2. 重命名为rootCA.crt
3. 双击安装到"受信任的根证书颁发机构"

5.2 macOS/iOS设备信任

通过AirDrop发送CA证书：

mkcert -CAROOT # 将rootCA.pem发送到移动设备

在iOS上：

1. 用文件App打开证书
2. 进入设置 → 已下载描述文件 → 安装
3. 在"关于本机 → 证书信任设置"中启用完全信任

5.3 Android设备信任

对于Android 7+：

1. 将CA证书转换为DER格式：

   openssl x509 -in rootCA.pem -outform DER -out rootCA.crt

2. 通过USB或网络传输到设备
3. 进入设置 → 安全 → 加密与凭据 → 安装证书

5.4 Linux设备信任

sudo cp rootCA.pem /usr/local/share/ca-certificates/ sudo update-ca-certificates

6. 高级应用场景

6.1 智能家居系统集成

Home Assistant配置示例：

http: ssl_certificate: /ssl/nas.local+2.pem ssl_key: /ssl/nas.local+2-key.pem base_url: https://homeassistant.local:8123

6.2 内网DNS配合方案

结合Pi-hole实现优雅的域名解析：

1. 在Pi-hole的Custom DNS中配置：

   192.168.1.100 nas.local 192.168.1.101 homeassistant.local

2. 为每个服务生成对应证书：

   mkcert nas.local homeassistant.local nextcloud.local

6.3 证书自动更新方案

虽然mkcert证书有效期长达数年，但自动化更新仍是推荐做法：

# 每月检查证书过期情况 0 0 1 * * openssl x509 -checkend 2592000 -noout -in /path/to/cert.pem || mkcert -cert-file /path/to/cert.pem -key-file /path/to/key.pem nas.local 192.168.1.100

7. 安全最佳实践

1. CA私钥保护：定期备份$CAROOT目录，设置适当权限

   chmod 600 $CAROOT/rootCA-key.pem

2. 证书轮换策略：即使长期有效，也建议每年更新证书
3. 网络隔离：结合VLAN划分将管理接口与日常网络隔离
4. 访问控制：即使有HTTPS，仍需配置强密码和2FA

在树莓派上部署时，建议将CA证书存储在只读文件系统中：

sudo mount -o remount,ro /path/to/ca/storage

通过这套方案，我在家庭网络中实现了所有服务的HTTPS加密访问，包括：

• 群晖DSM管理界面
• Home Assistant智能家居控制台
• 自建的GitLab代码仓库
• 内网测速服务器

每个服务都显示漂亮的绿色锁标志，手机、平板、智能电视访问时再也没有安全警告，数据传输全程加密。mkcert的易用性使得维护成本几乎为零，特别适合非专业运维人员使用。