在威联通NAS上使用certd自动更新SSL证书的实践指南

背景介绍

certd是一款优秀的证书管理工具，能够自动化完成SSL证书的申请、续期和部署。本文将详细介绍如何在威联通(QNAP)NAS系统中通过Container Station部署certd，并实现证书自动更新后无缝应用到NAS系统的完整流程。

环境准备

1. 系统要求：

   • 威联通QTS 5.1.8.2823或更新版本
   • 已安装Container Station
   • SSH服务已启用（默认使用22端口）

2. 网络配置：

   • 确保内网IP可达性（示例中使用192.168.2.3）
   • 确认SSH连接正常（推荐使用OpenSSH 9.8p1或以上版本）

部署步骤

1. 容器部署

通过Container Station部署certd容器时，需要特别注意挂载目录的配置：

/mnt/HDA_ROOT/.config/secure_tunnel:/etc/secure_tunnel

这一挂载操作将NAS系统的证书目录映射到容器内部，为后续证书更新提供持久化存储。

2. 证书配置

威联通系统使用特殊的证书格式要求：

• 需要将证书(backup.crt)和私钥(backup.key)合并为单个secure_tunnel.pem文件
• 合并后的文件格式应为：私钥在前，证书在后

3. 自动化脚本配置

在certd的"上传证书到主机"任务中，需要配置以下后处理脚本：

cp /etc/secure_tunnel/secure_tunnel.pem /etc/secure_tunnel/secure_tunnel.pem.bak && \
cat /etc/secure_tunnel/backup.key /etc/secure_tunnel/backup.crt > /etc/secure_tunnel/secure_tunnel.pem && \
/etc/init.d/secure_tunnel.sh restart && \
/etc/init.d/Qthttpd.sh restart

该脚本实现了：

1. 备份原有证书
2. 合并新证书和私钥
3. 重启相关服务使新证书生效

常见问题解决

1. 执行远程脚本错误

在早期版本(v1.23.1)中可能出现SSH命令执行失败的情况，这是由于：

• 威联通系统的SSH配置特殊性
• 容器与主机间的SSH协议兼容性问题

解决方案： 升级到certd v1.24.0或更高版本，该版本已针对威联通系统做了专门优化。

2. 证书格式验证

合并后的证书文件需要确保：

1. 私钥和证书之间没有多余的空行或字符
2. 文件权限设置为600
3. 所属用户/组与原有证书一致

可通过以下命令验证：

openssl x509 -in secure_tunnel.pem -noout -text

最佳实践建议

1. 测试验证：

   • 先手动执行脚本验证可行性
   • 使用certd的测试功能验证各环节

2. 监控机制：

   • 设置证书到期提醒
   • 记录证书更新日志

3. 回滚方案：

   • 保留最近3次证书备份
   • 准备手动恢复脚本

通过以上配置，certd可以在威联通NAS上实现全自动的证书管理，大大简化了SSL证书维护的工作量，同时确保了服务的高可用性。对于企业用户而言，这种自动化方案能够有效降低因证书过期导致的服务中断风险。