域名规划与 DDNS

为什么需要域名

HTTPS 证书绑定的是域名，而不是 IP。你想用正式的证书，就必须有一个域名。其次，家庭宽带的 IP 是会变的，今天能用 IP 访问，明天或许就不行了。域名把变化封装在解析这一层，用户只要记住一个固定的名字。

对家用密码服务来说，域名的价值就是可记忆与稳定。家人在手机上填服务器地址时，一个好记的子域名比一串数字靠谱得多，IP 变了也不用挨个设备改设置。手机客户端的设置里服务器地址一栏填一次就基本不用再动，这个体验差异在长期使用中非常明显。

域名是一笔很小的年费支出，但它让整套自建设施从「能用的临时拼凑」变成「像样的家庭服务」。如果你已经为其他服务买过域名，直接复用即可，不用再花钱。

顶级域名与子域名

买一个顶级域名之后，可以任意切分子域名。推荐给密码服务单独分配一个子域名，而不是和其他服务共用。一来证书配置互相隔离，二来将来挪动服务的时候只影响这一个子域名，三来万一某个服务出了安全问题，也不会波及其他服务的访问。

如果其他服务也计划陆续上线，可以一开始就考虑泛域名证书，省去每加一个服务就申请一次证书的麻烦。成本几乎一样，管理负担小得多。几年下来家庭自建服务通常会越加越多，提前留好泛域名的人会感谢现在的自己。

选域名还有一点经验之谈：尽量选简短好记的后缀，家人会用直觉记忆它。复杂的域名最后往往变成家人每次输入都要问你一遍，好记的域名能省掉这些麻烦。

域名注册商的选择也有讲究。选能自由修改解析记录、提供解析 API 的服务商，DDNS 和后续运维才方便。价格差异不大的时候，优先选口碑好、续费政策透明的服务商，避免那种首年极低、续费翻倍的套路。

DDNS 解决动态 IP

家庭宽带的公网 IP 通常不是固定的，重启光猫或者运营主动调整都会导致变化。DDNS 的原理很简单：家里的一个程序定期查当前的公网 IP，变了就去域名服务商更新解析记录。这样无论 IP 怎么变，域名永远指向最新的地址。

《软路由指南》里介绍的主流固件都内置了 DDNS 功能，这是最推荐的做法——它跑在路由器上，不依赖任何一台内网主机开机。配置时只需要域名、账号令牌和记录类型这几项填写，配完看一眼解析记录是否更新就算完成。

需要说明的是，有些运营环境只提供大内网地址，没有公网 IP。这种情况下 DDNS 不起作用，因为解析过去也没有可抵达的目的地。要解决从外网访问的问题，需要换内网穿透或者 VPN 方案，家族场景里更常见的选择是干脆只在局域网内使用，把外网访问的需求交给 VPN 通道完成。

判断自己有没有公网 IP 的办法很简单：登录路由器后台看 WAN 口地址，再与在线工具查到的出口 IP 对比，两者一致就是公网，不一致则说明运营商分配了大内网地址。这个对比值得在部署前先做一次，免得 DDNS 配了半天发现方向就是错的。

内网解析的两种做法

域名解析到公网 IP 之后，在家里用同样的域名访问，流量会绕一圈再回到自家路由器，速度和稳定性都受影响，这就是所谓的发夹问题。两种常见做法可以解决：

普通家庭场景下，NAT 回环配好之后一劳永逸，是最优雅的方案。如果路由器不支持，hosts 覆盖也能用，只是家人每换一个设备就要改一次。也可以两者结合：自用设备走 hosts，家人设备走正常解析。

再升级一步的做法是在内网搭一个私有 DNS 解析，让所有内网设备直接在内网拿到域名的内网地址。听起来复杂，实际上很多软路由固件已经内置了这个能力，有兴趣的读者可以翻翻《OpenWrt 基础》里的 DNS 章节。

证书与域名的配合

规划好域名之后，反向代理配置才有意义。建议的推进顺序是：先买域名并配好解析，再跑 DDNS 确认解析能跟上 IP 变化，最后做证书申请。每一步验证通过再走下一步，出问题时定位容易。

有一点容易被忽略：DNS 解析记录的 TTL 建议调短一些，比如 300 秒。这样 IP 变化时客户端能更快拿到新地址，不至于出现「外面能访问家里不能访问」的尴尬窗口期。部分域名服务商对最低 TTL 有限制，按它的下限设就好。

没有公网 IP 的替代方案

如果没有公网 IP，外网访问需要借助其他技术手段。每种方式都有适用场景，共同点是不再把端口直接暴露在公网。

对密码服务这个场景，最优雅的做法其实是降低外网访问的需求。平时在公司、在路上需要查密码的频率有多高？大多数时候家里的内网访问就能满足需求。真正需要外出使用时再通过 VPN 通道连回家，既安全又不用维护额外的穿透服务。这也是为什么很多自建玩家最后选择软路由上开 VPN，把内网当作可以随身携带的资源，而不是把每个服务都暴露在公网上。

不同访问场景的期望

理解自己在不同场景下的使用频率，有助于决定网络方案的投入程度：

最后一个场景值得单独记住：即使完全连不上服务器，已登录客户端的本地缓存依然能查看密码。这降低了对外网可用性的焦虑，也是后面宕机自救章节会展开的主题。

域名的注册与续费

第一次买域名的流程值得一提。选好服务商与心仪的名字，结算时注意续费价格而不是首年价，很多超低首年价的套路在续费那一年才显现。付款完成不等于立刻可用，需要等解析服务接管生效，通常几分钟到几小时不等。

域名过期是一件很麻烦的事：不仅访问中断，还可能被别人抢注。把自动续费打开，然后在日历里留一条每年提醒，双保险。这笔小钱买的是整个家庭服务的门牌号，值得长期持有。

从单域名到域名体系

家庭自建往往从一个域名开始，慢慢地长出一整套子域名体系。提前知道这一点，规划时可以更从容：把密码服务放在最短最好记的子域名上，因为它是全家人使用频率最高的服务。

能在第一阶段就想到第三阶段的人不多，但看到这里你可以做到：域名买来时就留好扩展空间，证书直接上泛域名，省掉后面几年的重复劳动。

再提醒一个细节：把域名相关的账号与令牌统一记在密码库里。域名服务商的账号一旦丢失，整个家庭服务的门牌号就失控了。它应该成为你密码库里最早入库、密码最强的那批条目之一。

延伸阅读

• 软路由指南：在路由器上配置 DDNS 与 NAT 回环
• OpenWrt 基础：理解内网设备的解析行为