释放小七猫的分享欲

一直以来，Lucky 都是我的在 OpenWRT 路由器上的必备软件，它可以图形化配置 SSL 证书、反向代理等比较复杂的功能。我主要使用 Lucky 的三个功能：反向代理+http 重定向、DDNS、端口转发。

还有很多用不上的功能……例如网络唤醒、存储管理这类的，我觉得这不是一个网络服务器该做的事，它管得太宽了。我个人不太喜欢这样，也许我更加追求极简，Lucky 对于 CPU、内存的资源占用也确实比较大，反向代理功能感觉慢吞吞的，稳定性也不太行，有时候会报错。

从 uhttpd 迁移到 Nginx

把 OpenWrt 的 Web 服务器从 uhttpd 迁到 luci-nginx，听起来不麻烦，我以为和 dedian 上配置 nginx 差不多，不就是代理 /www 网页吗？真正动手才发现官方端口、证书、防火墙，并不能靠复制粘贴配置文件解决，全部需要用 UCI 来配置。

先辟个谣：有些资料和大模型 AI 认为 OpenWRT 的 luci-nginx 只有基础的网页访问功能，说反向代理、SSL 功能需要额外装插件，实际上 luci-nginx 已经带有了反向代理和 SSL 功能，完全不需要操心，对了，我的版本是 ImmortalWRT 24.10，可能与纯血 OpenWRT 有所不同。

编译固件时 … 阅读全文

编译固件时只要勾上 luci -> collection -> luci-nginx，第一次刷机系统会自动把 uhttpd 踢出自启动列表，80 和 443 直接被 nginx 取代，并且 luci-nginx 默认会把 80 端口的 http 访问重定向到 443 的 https。如果是升级刷机，uhttpd 不会自动禁用，这可能导致 nginx 无法启动（看谁先抢到，一般是 uhttpd），需要手动 /etc/init.d/uhttpd stop 然后 /etc/init.d/uhttpd disable。

OpenWrt 的 Nginx 没有 site-available 一类的东西，所有基本参数被拆成 UCI 节点，躺在 /etc/config/nginx 里，像改防火墙一样改 Web 服务器——uci set + commit + reload 三件套。

此外，可以把传统配置写在 /etc/nginx/conf.d 里面，这些配置会自动加载。

我把默认的 HTTPS 端口从 443（被禁用）挪到高端口。然后改掉 _lan 区块的 listen，把 IPv4 和 IPv6 一起写成 18888 ssl，再把 80 端口的重定向目标指向新端口。从内网访问 ip 会直接被 302 到 https://路由器:18888/，外网则直接访问 https。

如之前所说，luci 界面不打算反向代理了，直接走 https。

# 修改 https 端口
uci set nginx._redirect2ssl.listen='list 18888 ssl default_server'
uci set nginx._redirect2ssl.listen='list [::]:18888 ssl default_server'
#  302 重定向规则
uci set nginx._redirect2ssl.return='302 https://$host:18888$request_uri'
# 提交并重启 nginx 使配置生效
uci commit nginx
/etc/init.d/nginx restart

为了达到公网访问的效果，还需要禁用 restrict_locally 这个 nginx 自带的防火墙，他会拦截公网连接。

因为 openwrt 本来就有防火墙，添加这个玩意纯属多此一举。

# 去掉 _lan 区块中对 restrict_locally 的引用
uci del_list nginx._lan.include='restrict_locally'
# 提交并重启 nginx 使配置生效
uci commit nginx
/etc/init.d/nginx restart

最后设置一下证书路径：

uci set nginx._redirect2ssl.ssl_certificate='/etc/nginx/conf.d/_.Example.com.crt'
uci set nginx._redirect2ssl.ssl_certificate_key='/etc/nginx/conf.d/_.Example.com.key'

uci commit nginx
/etc/init.d/nginx restart

目前这个路径是空的，后面可以用 acme.sh 生成，最好可以等有证书之后再设路径。

SSL 自动化

OpenWrt 的 init 脚本有个“贴心”设计：只要发现 _lan.crt 或 _lan.key 不存在，就会立刻现场生成一套自签名证书，并把文件硬写到 /etc/nginx/conf.d/。这意味着如果你提前把 SSL 证书覆盖他俩，再 restart，你的证书直接啪、没了。解决方法是把证书放到脚本不会碰的路径，再通知 UCI 用新文件。或者可以禁用 uci_manage_ssl 自签功能。根据最小改动原则，最好是更换路径（命令在上文）。

例如可以把通配符证书 *.Example.com 放在同一目录下，命名成 _.Example.com.crt 与 _.Example.com.key。不建议手动添加证书，可以用 acme.sh 一次性解决证书问题。

说到这玩意我有点气，不得不提 luci-app-acme——名字像官方 app，界面看着省心，其实年久失修，几乎没有功能可以正常使用，默认还不支持 cloudflare 自动化，最后还是回到官方 acme.sh 最踏实。

以下是我折腾时的一些笔记，可能有点乱，供参考：

安装 curl https://get.acme.sh | sh -s email=email.email@email.com

安装完成后，acme.sh 会位于 /root/.acme.sh 目录

但 ~ 下的文件，每次升级系统都会被清空，因此把 .acme.sh 目录转移到 /etc/

转移并进入这个目录 mv ~/.acme.sh/ /etc/acme.sh; cd /etc/acme.sh/，一定要去掉隐藏文件夹符号 .，否则 OpenWRT 的备份会忽略这个文件夹

如果转移目录的话，还需要修改以下文件的路径，并每次操作前 source 一下这份文件，不然证书还是会生成到~` 下面

root@OpenWRT:/etc/acme.sh# cat acme.sh.env
# 修改变量路径，每次操作前source一下这份文件
export LE_WORKING_DIR="/etc/.acme.sh"
alias acme.sh="/etc/.acme.sh/acme.sh"

然后 source 这份文件 source ./acme.sh.env，这样的话 acme 会把这里当成工作目录

root@OpenWRT:/etc/.acme.sh# ls
account.conf      acme.sh.env       deploy            http.header
acme.sh           ca                dnsapi            notify

在 account.conf 中加入

# 区域 ID，不要填成账户 ID 了
export CF_Zone_ID="dbxxxxxxxxxxxxxxxxxxxxxxxxx49"
export CF_Token="HkDxxxxxxxxxxxxxxxxxxxxxxxxxX6B"

在 CloudFlare 中可以获取 Token，不赘述。如果还是提示 API 未配置，就直接在终端中粘贴这两行，就这次生成 CA 需要，后面自动和手动 renew 都会利用现有的 CA。

获取通配证书

# 先注册账户
root@OpenWRT:/etc/acme.sh# ./acme.sh --register-account -m email@email.com
...
[Tue Oct 21 09:28:53 CST 2025] Registered
...

# 申请证书
root@OpenWRT:/etc/acme.sh# ./acme.sh --issue --dns dns_cf -d "*.Example.com" -d Example.com
...
[Tue Oct 21 09:35:37 CST 2025] Processing. The CA is processing your order, please wait. (1/30)
...
[Tue Oct 21 09:36:12 CST 2025] Le_LinkCert='https://acme.zerossl.com/v2/DV90/cert/ZwfTwf62OfrWJfn-8BC_CA'
[Tue Oct 21 09:36:14 CST 2025] Cert success.
-----BEGIN CERTIFICATE-----
MIID/TCCA4OgAwIBAgIQJVNY8s4byCEsTVwEK6ux+DAKBggqhkjOPQQDAzBLMQsw
...
h35UkbjZYZPD6vZYMEMAAjAIM1HWamQ9HmHPpZs1E43uO98ryH3YPwpLgUaKZVnA
AnKjtPEgSauzjhriukPRo8o=
-----END CERTIFICATE-----
[Tue Oct 21 09:36:14 CST 2025] Your cert is in:...
[Tue Oct 21 09:36:14 CST 2025] Your cert key is in:...
[Tue Oct 21 09:36:14 CST 2025] The intermediate CA cert is in:...
[Tue Oct 21 09:36:14 CST 2025] And the full-chain cert is in:...

成功的话生成一份 *.Example.com_ecc 文件夹，里面放置了申请到的证书文件：

root@OpenWRT:/etc/acme.sh# ls *.Example.com_ecc/
*.Example.com.cer       *.Example.com.csr       *.Example.com.key       ca.cer
*.Example.com.conf      *.Example.com.csr.conf  backup                 fullchain.cer

部署证书

注意通配域名必须要用 "" 包裹，部署的目的文件，文件名不要有 *，最好用下划线 _ 代替。

./acme.sh --install-cert -d "*.Example.com" \
--key-file /etc/nginx/conf.d/certs/_.Example.com.key \
--fullchain-file /etc/nginx/conf.d/certs/_.Example.com.crt \
--reloadcmd '/etc/init.d/nginx restart'

nginx 会自动重启，关闭浏览器，清除缓存再次打开网页（快捷键 Ctrl+Shift+R），不安全提示消失。

刷新证书

acme 会自动向 crontab 中添加定时刷新

root@OpenWRT:/etc/acme.sh# crontab -l
# 这里要改一下路径，默认还是 /root/.acme.sh/
43 5 * * * "/etc/acme.sh"/acme.sh --cron --home "/etc/acme.sh" > /dev/null

手动刷：

# 时间没到的话要加 --force
acme.sh --renew -d *.Example.com --force
...
-----END CERTIFICATE-----
[Tue Oct 21 10:08:21 CST 2025] Your cert is in: /etc/.acme.sh/*.Example.com_ecc/*.Example.com.cer
[Tue Oct 21 10:08:21 CST 2025] Your cert key is in: /etc/.acme.sh/*.Example.com_ecc/*.Example.com.key
[Tue Oct 21 10:08:21 CST 2025] The intermediate CA cert is in: /etc/.acme.sh/*.Example.com_ecc/ca.cer
[Tue Oct 21 10:08:21 CST 2025] And the full-chain cert is in: /etc/.acme.sh/*.Example.com_ecc/fullchain.cer
[Tue Oct 21 10:08:21 CST 2025] Installing key to: /etc/nginx/conf.d/_.Example.com.key
[Tue Oct 21 10:08:21 CST 2025] Installing full chain to: /etc/nginx/conf.d/_.Example.com.crt
[Tue Oct 21 10:08:21 CST 2025] Running reload cmd: /etc/init.d/nginx restart
[Tue Oct 21 10:08:22 CST 2025] Reload successful
[Tue Oct 21 10:08:22 CST 2025] ===End cron===

可以看到不仅自动申请了证书，还替换了已经部署的证书。

这部分主要难点就是 OpenWRT 重启清理非持久化数据的问题，acme.sh 默认安装在/root 下面，是无法持久化的，必须转移安装位置。

Nginx 反向代理

root@OpenWRT:/etc/nginx# cat uci.conf
{
        ...
        include conf.d/*.conf;
}

nginx 的反向代理配置在 /etc/nginx/conf.d 中编写，以下是一个模板，注释的地方需要注意

server {
    listen 8443 ssl;
    # IPv6 监听
    listen [::]:8443 ssl;

    # 监听的域名
    server_name emby-server.domain.xyz;

    # 证书的路径
    ssl_certificate     /etc/nginx/conf.d/_.domain.xyz.crt;
    ssl_certificate_key /etc/nginx/conf.d/_.domain.xyz.key;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    add_header Strict-Transport-Security "max-age=63072000" always;

    location / {
        proxy_pass http://10.0.0.111:8096;
        # 不能用 Host $host，必须完整 IP + 端口
        proxy_set_header Host 10.0.0.111:8096;

        # 启用 WebSocket 监听，不懂就留着
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto https;
    }
}

每一次反向代理的域名都要写一份配置文件，例如

root@OpenWRT:/etc/nginx/conf.d# ls | grep conf
emby-server.conf
hoage.conf
...
xi.conf

也可以写在一份文件里面，但不建议这样做，管理起来很麻烦。

写好配置后，重启 nginx 服务 /etc/init.d/nginx restart，不报错的话就行，如果报错则说明有配置没写对，注意有没有少字母或者多打标点符号。收起

释放小七猫的分享欲

欢迎来到小七猫的博客~！

我喜欢的东西：

从 Lucky 迁移到 luci-nginx

从 Lucky 迁移到 luci-nginx

从 uhttpd 迁移到 Nginx

SSL 自动化

Nginx 反向代理