一、前言：Synology 自签名证书过期，不处理会导致这些麻烦
Synology NAS 默认使用的自签名证书（用于加密 HTTPS 访问、文件服务、远程连接等），通常有效期为 1 年（365 天）。一旦Synology 自签名证书过期，会直接影响 NAS 的正常使用：访问 DSM 管理界面时浏览器提示 “不安全连接”“证书已过期”，无法通过 HTTPS 正常登录；依赖证书的服务（如 SMB 文件共享、WebDAV、LDAP）可能中断，甚至导致手机端 DS file 等 APP 连接失败。对企业用户而言，还可能影响员工数据访问效率；对个人用户，会增加数据传输的安全风险。因此，及时处理 Synology 自签名证书过期问题是保障 NAS 安全性与可用性的关键。本文基于 Synology 官方技术文档，针对 DSM 7.x（如 DSM 7.2、7.1）主流版本，详细拆解 “突破登录限制 - 更新证书 - 验证服务” 的全流程，同时解决 “过期后无法登录 DSM” 等高频难题，兼顾新手与进阶用户需求。
二、先识别：Synology 自签名证书过期的 3 个典型征兆
在证书正式过期前，NAS 与客户端会出现明显提示，提前识别可避免突发故障：
- 浏览器访问 DSM 提示安全警告：用 Chrome、Safari 等浏览器打开 DSM（https://NASIP:5001）时，页面显示 “您的连接不是私密连接”“证书已过期或无效”，无法直接进入登录界面（需手动选择 “高级”→“继续访问” 才能临时进入）；
- DSM 系统弹窗提醒：若证书即将过期（通常提前 30 天），登录 DSM 后会弹出 “证书即将过期” 通知，点击 “前往设置” 可直接进入证书管理页面；
- 客户端 APP 连接失败：手机端 DS file、DS photo，或电脑端 Synology Drive 客户端，登录时提示 “证书错误”“连接被拒绝”，无法同步文件或访问数据。
三、解决前必做：3 项核心准备（突破登录限制 + 确认条件）
自签名证书过期后，最大难题是 “HTTPS 登录 DSM 受限”，需先完成以下准备，确保后续更新操作能正常开展：
1. 突破登录限制：2 种方式进入 DSM（关键第一步）
证书过期后，HTTPS（默认端口 5001）会触发浏览器安全拦截，可通过以下 2 种方式临时登录 DSM：
- 方式 1：通过 HTTP 端口临时登录（推荐）
Synology NAS 默认开启 HTTP 端口（5000，未加密），在浏览器地址栏输入 “http://NASIP:5000”（如 “http://192.168.1.100:5000”），无需经过证书验证，可直接进入 DSM 登录界面（注意：此方式数据传输未加密，仅用于更新证书，操作完成后建议关闭 HTTP 端口）。
- 方式 2：忽略浏览器 HTTPS 警告（备用）
若 HTTP 端口已关闭（企业安全配置），打开 “https://NASIP:5001”，在浏览器警告页操作：
- Chrome：点击 “高级”→“继续访问 XXX（不安全）”；
- Safari：点击 “显示详细信息”→“访问此网站（不安全）”；
- Edge：点击 “高级”→“继续前往 XXX（不安全）”。
2. 确认核心条件（避免操作到一半卡住）
3. 备份旧证书（可选，避免误操作后无法恢复）
若旧证书关联特殊服务（如自定义端口的 Web 服务），可提前备份：
进入 DSM “控制面板”→“安全性”→“证书”，选中过期的自签名证书，点击 “操作”→“导出”，选择保存路径（如电脑桌面），备份文件包含证书与私钥，后续可按需恢复。
四、核心步骤：更新 Synology 自签名证书（DSM 7.x 详细操作）
完成登录后，通过 “重新创建自签名证书” 或 “更新现有证书” 2 种方式解决过期问题，推荐优先选择 “更新现有证书”，避免重新配置服务关联。
方案 1：更新现有自签名证书（推荐，保留服务关联）
此方案无需修改证书与服务的绑定关系，适合大多数用户：
- 登录 DSM 后，进入 “控制面板”→“安全性”→“证书”，在证书列表中找到 “过期的自签名证书”（通常名称为 “default” 或 “自签名证书”）；
- 选中该证书，点击上方 “操作”→“更新证书”，在弹出窗口中选择 “自签名证书”，点击 “下一步”；
- 填写自签名证书核心参数（关键信息，需准确填写）：
- 通用名称：必填，建议填写 NAS 的 IP 地址（如 “192.168.1.100”）或局域网主机名（如 “synology-nas.local”），确保客户端访问时 “访问地址” 与 “通用名称” 一致，避免证书警告；
- 组织：可选，填写企业名称或个人名称（如 “Home NAS”）；
- 组织单位：可选，填写部门（如 “IT 部”）；
- 位置：可选，填写城市（如 “Beijing”）；
- 州 / 省：可选，填写省份（如 “Beijing”）；
- 国家 / 地区：必填，选择 “CN”（中国）；
- 有效期：默认 365 天（1 年），可按需调整（最长建议不超过 3 年，避免长期未更新导致风险）；
- 点击 “下一步”，系统自动生成新的自签名证书，覆盖过期证书；
- 点击 “完成”，此时证书列表中该证书的 “有效期至” 会更新为 “当前日期 + 365 天”，说明更新成功。
方案 2：重新创建自签名证书（适合旧证书损坏场景）
若过期证书无法更新（如提示 “证书文件损坏”），可删除旧证书后重新创建：
- 进入 “控制面板”→“安全性”→“证书”，选中过期证书，点击 “操作”→“删除”，弹出确认窗口时点击 “确定”（注意：若证书关联服务，需先记录服务绑定关系，后续重新关联）；
- 点击证书列表上方 “新增”，选择 “自签名证书”，点击 “下一步”；
- 填写与 “方案 1” 一致的证书参数（通用名称、国家 / 地区等），点击 “下一步”；
- （关键）选择需关联的服务：系统会列出 NAS 所有依赖证书的服务（如 “DSM”“Web Station”“SMB”“LDAP”），勾选需绑定新证书的服务（建议全选，避免遗漏），点击 “下一步”；
- 点击 “完成”，新的自签名证书会显示在列表中，有效期更新为最新。
五、关键后续：2 步验证证书有效性 + 修复残留问题
证书更新后，需通过 “访问验证” 和 “服务重启”，确保所有功能恢复正常，避免隐藏故障：
1. 验证证书有效性（3 种常用方法）
- 方法 1：HTTPS 访问 DSM 验证
关闭浏览器缓存（Chrome：Ctrl+Shift+Del→勾选 “缓存的图像和文件”→“清除数据”），重新打开 “https://NASIP:5001”，此时浏览器应显示 “安全连接”（地址栏有小锁图标），无过期警告，说明 DSM 访问恢复正常；
- 方法 2：查看证书详情
在 DSM “控制面板”→“安全性”→“证书” 中，选中新证书，点击 “操作”→“查看证书”，在 “有效期” 栏确认 “至” 的日期为 “当前日期 + 1 年”，且 “颁发者” 与 “使用者” 信息与填写参数一致；
- 方法 3：客户端 APP 验证
打开手机端 DS file，输入 NAS IP、账号密码，若能正常登录并查看文件，无 “证书错误” 提示，说明 APP 连接恢复；电脑端 Synology Drive 同步任务若之前暂停，可手动触发同步，确认无报错。
2. 修复残留问题：重启依赖服务（避免服务异常）
部分服务（如 SMB、WebDAV）可能未自动加载新证书，需手动重启：
- 进入 “控制面板”→“服务”，找到 “文件服务”（含 SMB、AFP 等），点击 “停止”，等待 10 秒后点击 “启动”；
- 若使用 Web 服务（如 Web Station），进入 “主菜单”→“Web Station”，点击右上角 “服务”→“重启 Web 服务”；
- 若启用 LDAP Server，进入 “套件中心”→“已安装”→找到 “LDAP Server”，点击 “操作”→“重启”；
- 重启后，通过客户端访问对应服务（如访问 SMB 共享文件夹），确认功能正常。
六、常见难题：Synology 自签名证书过期后的 3 个高频问题解决
问题 1：HTTP 端口关闭，HTTPS 无法登录 DSM，怎么处理？
- 原因：部分用户为安全关闭了 HTTP（5000 端口），证书过期后 HTTPS 拦截导致无法登录；
- 解决方案：通过 SSH 临时开启 HTTP 端口
- 用电脑打开 “终端”（Windows 用 PowerShell，Mac 用自带终端），执行 “ssh 管理员账号 @NASIP”（如 “ssh admin@192.168.1.100”），输入管理员密码登录 NAS；
- 执行命令开启 HTTP 端口：synoservicecfg --start httpd（DSM 7.x），执行后显示 “httpd started” 说明成功；
- 浏览器输入 “http://NASIP:5000” 登录 DSM，按前文步骤更新证书；
- 证书更新后，若需关闭 HTTP 端口，执行命令：synoservicecfg --stop httpd。
问题 2：更新证书后，浏览器仍提示 “证书过期”，怎么办？
- 原因：浏览器缓存残留旧证书信息，或证书 “通用名称” 与访问地址不匹配；
- 解决方案：
- 彻底清除浏览器缓存（如 Chrome：Ctrl+Shift+Del→勾选所有缓存选项→“清除数据”），关闭浏览器后重新打开；
- 检查 “访问地址” 与证书 “通用名称” 是否一致：若证书通用名称填 “192.168.1.100”，则必须用 “https://192.168.1.100:5001” 访问，不能用主机名（如 “https://synology-nas:5001”）；
- 若不一致，重新更新证书，将 “通用名称” 改为常用的访问地址（IP 或主机名）。
问题 3：自签名证书更新后，Synology Drive 同步提示 “证书不信任”？
- 原因：客户端未信任新的自签名证书，导致同步工具拦截连接；
- 解决方案：
- 在同步客户端（如电脑端 Synology Drive）登录界面，点击 “证书错误” 提示→“查看证书”→“安装证书”；
- 按向导选择 “当前用户”→“将所有证书放入下列存储”→“浏览”→选择 “受信任的根证书颁发机构”→“确定”；
- 完成证书安装后，重启 Synology Drive 客户端，重新登录即可正常同步。
七、延伸建议：长期避免证书过期，可切换为免费第三方证书
若不想每年手动更新自签名证书，推荐使用 Let's Encrypt 免费 SSL 证书（自动续期，无需手动操作），配置步骤如下：
- 进入 DSM “控制面板”→“安全性”→“证书”→“新增”，选择 “Let's Encrypt”；
- 填写 “域名”（需提前为 NAS 配置公网域名，如 “nas.xxx.com”），输入邮箱（用于续期通知）；
- 点击 “下一步”，系统自动验证域名并申请证书，成功后证书会自动绑定服务，且每 90 天自动续期，彻底解决过期问题。
八、总结：Synology 自签名证书过期，按 “登录 - 更新 - 验证” 三步解决
处理Synology 自签名证书过期的核心逻辑是 “先突破登录限制，再更新证书，最后验证服务”—— 通过 HTTP 端口或忽略 HTTPS 警告进入 DSM，优先选择 “更新现有证书” 保留服务关联，填写参数时确保 “通用名称” 与访问地址一致，更新后清除缓存并验证所有依赖服务。若长期受过期困扰，切换为 Let's Encrypt 证书是更优解。
按本文步骤操作，可在 10 分钟内解决证书过期问题，恢复 NAS 的 HTTPS 安全访问与服务可用性。若遇到特殊报错（如证书创建失败），可查看 DSM “日志中心”→“系统日志”，搜索 “certificate” 关键词定位故障原因，或联系 Synology 官方售后获取技术支持。
Synology 自签名证书过期怎么办？DSM 7.x 更新步骤 + 登录难题解决
相关文章
地址：北京市海淀区白家疃尚品园 1号楼225
北京群晖时代科技有限公司