自托管 on Liangweidong's blog

Cloudreve 网盘：多存储后端 + Aria2 离线下载 + Web 客户端

Thu, 15 Jun 2023 00:00:00 +0800

Cloudreve 是国内开发的开源网盘系统，核心优势是多存储后端（本地 / S3 / OneDrive / 阿里云 OSS / 腾讯云 COS / 远程从机），加上 Aria2 离线下载，特别适合做"网盘聚合"。本篇把 Docker 化部署、多存储配置、离线下载集成整理清楚。

阅读对象：需要聚合多种存储做"个人云"或"团队文件中心"的技术 / 个人用户 覆盖范围：Cloudreve 完整部署 + 多存储后端对接（本地 / S3 / OSS / OneDrive）+ Aria2 离线下载 + Web 客户端使用 + 备份与升级

一、Cloudreve 简介

Cloudreve 的核心特点：

特性	Cloudreve	NextCloud	Seafile
多存储后端	✅ 极丰富	较少	较少
离线下载	✅ Aria2 集成	❌	❌
部署难度	简单	中等	中等
性能	高	中等	高
Office 协作	❌	✅	✅
视频播放	✅ 转码	✅	✅
Web 客户端	漂亮现代	一般	一般
移动端	✅	✅	✅
Go 语言	✅	❌ PHP	❌ Python

核心优势：多存储聚合。你可以在 Cloudreve 里同时挂：

本地磁盘（自建机房）
AWS S3 / MinIO（自建对象存储）
阿里云 OSS / 腾讯云 COS（公有云）
OneDrive / Google Drive（国外云盘）
远程从机（Cloudreve 节点）

When to use Cloudreve：

想把多个云盘 / 本地存储统一管理

需要离线下载（Aria2 集成是杀手锏）

个人 / 小团队用，追求 Web 体验

不适用：需要 Office 在线编辑 / 视频通话 → 用 NextCloud

二、基础部署

2.1 拉取镜像

1

docker pull cloudreve/cloudreve:3.8.0

2.2 准备目录

1
2
3
4
5
6
7


cd /home/docker
mkdir -vp cloudreve/{uploads,avatar} \
 && touch cloudreve/conf.ini \
 && touch cloudreve/cloudreve.db \
 && mkdir -p aria2/config \
 && mkdir -p data/aria2 \
 && chmod -R 777 data/aria2

目录结构：

1
2
3
4
5
6
7


/home/docker/
 ├─ cloudreve/
 │ ├─ uploads/ # 上传文件
 │ ├─ avatar/ # 用户头像
 │ ├─ conf.ini # 主配置
 │ └─ cloudreve.db # SQLite 数据库
 └─ data/aria2/ # Aria2 下载目录（共享给 Cloudreve）

2.3 启动

1
2
3
4
5
6
7
8
9


docker run -d \
 --name cloudreve \
 --restart=always \
 -p 5212:5212 \
 -v /home/docker/cloudreve/uploads:/cloudreve/uploads \
 -v /home/docker/cloudreve/avatar:/cloudreve/avatar \
 -v /home/docker/cloudreve/conf.ini:/cloudreve/conf.ini \
 -v /home/docker/cloudreve/cloudreve.db:/cloudreve/cloudreve.db \
 cloudreve/cloudreve:3.8.0

2.4 首次访问

1

http://<IP>:5212/

首次启动会生成初始管理员账号——看容器日志：

1

docker logs cloudreve 2>&1 | grep -A 5 "初始管理员账号"

输出示例：

1
2


[Info] 2023-06-15 03:00:00 初始管理员账号：admin@example.com
[Info] 2023-06-15 03:00:00 初始密码：AbCdEf123456

立即登录 → 改密码。

三、配置 Aria2 离线下载

3.1 Aria2 Pro 镜像

cloudreve/aria2 是 Cloudreve 推荐的离线下载后端。

3.2 docker-compose 完整版

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


version: "3.8"
services:
 cloudreve:
 container_name: cloudreve
 image: cloudreve/cloudreve:3.8.0
 restart: unless-stopped
 ports:
 - "5212:5212"
 volumes:
 - /home/docker/cloudreve/temp_data:/data
 - /home/docker/cloudreve/uploads:/cloudreve/uploads
 - /home/docker/cloudreve/conf.ini:/cloudreve/conf.ini
 - /home/docker/cloudreve/cloudreve.db:/cloudreve/cloudreve.db
 - /home/docker/cloudreve/avatar:/cloudreve/avatar
 depends_on:
 - aria2

 aria2:
 container_name: aria2
 image: p3terx/aria2-pro:202209060423
 restart: unless-stopped
 environment:
 - RPC_SECRET={{ARIA2_SECRET}}
 - RPC_PORT=6800
 volumes:
 - /home/docker/cloudreve/aria2/config:/config
 - /home/docker/cloudreve/temp_data:/data

关键：

RPC_SECRET：Aria2 RPC 认证密钥（强随机）
/data 共享给 Cloudreve 和 Aria2——Aria2 下载的文件Cloudreve 立刻能看到

3.3 Cloudreve 后台配置 Aria2

管理面板 → 离线下载 → Aria2 设置：

1
2
3
4


RPC 服务器地址：http://aria2:6800/jsonrpc
RPC 认证令牌：{{ARIA2_SECRET}}
临时下载目录：/data
下载完成后移动到：/uploads

测试连接：看到 “成功”。

3.4 使用离线下载

Web 端 → 任意目录 → 新建离线下载任务：

普通下载：粘贴 HTTP 链接
BT 下载：粘贴 magnet 链接或上传 .torrent
Metalink：粘贴 metalink 链接

下载完成后自动从 /data 移动到 /uploads——通过 Web 端直接看到。

四、多存储后端

4.1 本地存储（默认）

1
2
3


存储策略名：本地存储
存储类型：本地存储
挂载路径：/uploads

Cloudreve 启动时默认创建。

4.2 AWS S3 / MinIO

管理面板 → 存储策略 → 新增 → S3 兼容：

1
2
3
4
5
6
7
8
9


存储策略名：自建 MinIO
存储类型：S3 兼容
Endpoint：minio.internal.example.com:9091
Bucket：file
Region：us-east-1
Access Key：root
Secret Key：{{MINIO_PASS}}
启用 SSL：✅
启用路径风格：✅（MinIO 必需）

4.3 阿里云 OSS

1
2
3
4
5
6
7
8


存储策略名：阿里云 OSS
存储类型：S3 兼容
Endpoint：oss-cn-hangzhou.aliyuncs.com
Bucket：my-bucket
Region：oss-cn-hangzhou
Access Key：{{ALIYUN_AK}}
Secret Key：{{ALIYUN_SK}}
启用 SSL：✅

4.4 OneDrive

管理面板 → 存储策略 → 新增 → OneDrive：

1
2
3


存储策略名：OneDrive 国际版
存储类型：OneDrive
回调 URL：http://cloudreve.example.com/api/v3/callback/onedrive/auth

配置 OneDrive 应用（Azure Portal）
拿到 Client ID / Client Secret
填到 Cloudreve
点击"授权" → 跳转到 Microsoft 登录 → 同意 → 回到 Cloudreve

4.5 远程从机

Cloudreve 节点程序部署到另一台机器，做"远程存储"：

1
2
3


存储策略名：远程从机
存储类型：远程从机
节点地址：https://node2.example.com

适用场景：Cloudreve 主控 + 多台存储节点做"分布式网盘"。

4.6 用户组配额

不同用户组用不同存储策略：

1
2
3


普通用户：本地存储（限 10GB）
VIP 用户：阿里云 OSS（限 1TB）
管理员：所有存储策略

Web 端切换：用户组 → 编辑 → 存储策略。

五、用户与权限

5.1 用户组

管理面板 → 用户组 → 新建：

1
2
3
4
5
6


组名：研发部
存储策略：本地存储
单文件大小：1GB
总容量：100GB
分享限制：每日 10 次
下载限速：5MB/s

5.2 注册策略

管理面板 → 用户 → 注册设置：

关闭注册：内部用
邮箱注册：开放用
邀请注册：受控开放
白名单邮箱后缀：只允许 @example.com 邮箱注册

5.3 文件分享

Web 端 → 选中文件 → 分享：

公开链接：任何人可下载
加密链接：需要密码
过期时间：1 小时 / 1 天 / 7 天
下载次数限制：避免被刷

六、Web 客户端

6.1 PC 端

直接用浏览器访问 http://<IP>:5212/——Cloudreve 的 Web 端做得相当漂亮。

6.2 移动端

官方 Android / iOS App（付费，作者有收入才能持续维护）：

iOS：App Store 搜 “Cloudreve”
Android：GitHub Release 找 APK

第三方替代：用浏览器访问 PWA 模式。

6.3 WebDAV 协议

Cloudreve 内置 WebDAV 服务——Windows / macOS 文件管理器可直接挂载：

1
2
3


URL：http://<IP>:5212/dav
用户名：xxx
密码：xxx

挂载为本地盘：

1
2


# macOS
mount_webdav -i http://<IP>:5212/dav /Volumes/cloudreve

1
2


# Linux (davfs2)
mount -t davfs http://<IP>:5212/dav /mnt/cloudreve

七、备份

7.1 备份 SQLite

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 停服
docker stop cloudreve

# 2. 备份数据库
cp /home/docker/cloudreve/cloudreve.db /backup/cloudreve-$(date +%Y%m%d).db

# 3. 备份 conf
cp /home/docker/cloudreve/conf.ini /backup/

# 4. 启动
docker start cloudreve

7.2 备份上传文件

1
2
3
4
5


# 上传目录
tar czf cloudreve-uploads-$(date +%Y%m%d).tar.gz /home/docker/cloudreve/uploads

# 上传 OSS
ossutil cp cloudreve-uploads-*.tar.gz oss://backup-bucket/cloudreve/

7.3 Aria2 配置文件

1
2
3
4


# 备份
tar czf aria2-config-$(date +%Y%m%d).tar.gz /home/docker/cloudreve/aria2/config

# 重要：aria2.conf 里有 RPC_SECRET，不要泄露！

八、升级

1
2
3
4
5
6
7
8
9


# 1. 备份
./backup.sh

# 2. 拉新镜像
docker pull cloudreve/cloudreve:3.8.1 # 新版本

# 3. 修改 compose 文件的 image tag
# 4. 重启
docker-compose up -d

自动数据库迁移：Cloudreve 启动时自动检测版本并执行迁移。

九、生产部署清单

9.1 Nginx 反代

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


server {
 listen 80;
 server_name cloudreve.example.com;
 return 301 https://$server_name$request_uri;
}

server {
 listen 443 ssl http2;
 server_name cloudreve.example.com;
 
 ssl_certificate /etc/nginx/ssl/cloudreve.example.com.fullchain.pem;
 ssl_certificate_key /etc/nginx/ssl/cloudreve.example.com.privkey.pem;
 
 client_max_body_size 0; # 不限上传大小
 
 location / {
 proxy_pass http://cloudreve:5212;
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_http_version 1.1;
 }
}

9.2 HTTPS 证书（Let’s Encrypt）

1
2


# 用 certbot
certbot --nginx -d cloudreve.example.com

9.3 性能调优

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# conf.ini
[Database]
Type = sqlite
# 20+ 用户推荐用 MySQL
# Type = mysql
# Host = mysql
# Port = 3306
# User = cloudreve
# Password = {{DB_PASS}}
# DBName = cloudreve

[System]
Listen = :5212
HashIDSalt = "{{REDACTED}}" # 必须设

9.4 监控

1
2
3
4


logging:
 driver: loki
 options:
 loki-url: "http://internal.example.com:3100/loki/api/v1/push"

十、典型坑位

10.1 注册收不到邮件

管理面板 → SMTP 设置：

1
2
3
4
5
6


SMTP 服务器：smtp.example.com
端口：465
发件人：noreply@example.com
用户名：noreply@example.com
密码：{{SMTP_PASS}}
启用 SSL：✅

测试：注册一个新用户看是否能收到验证邮件。

10.2 Aria2 下载失败

症状：离线下载任务一直 “等待中”。

修复：

1
2
3
4
5
6
7
8


# 1. 检查 Aria2 容器状态
docker logs aria2

# 2. 确认 RPC 可达
docker exec cloudreve curl http://aria2:6800/jsonrpc

# 3. 确认 RPC_SECRET 一致
# Cloudreve 配置的 token 必须和 Aria2 的 RPC_SECRET 一致

10.3 上传大于 2GB 文件失败

修复：

1
2


# nginx
client_max_body_size 0;

1
2
3
4


# Cloudreve conf.ini
[Upload]
# 单文件最大 5GB
MaxSize = 5368709120

10.4 S3 存储连不上

修复：

1
2
3
4
5


1. 确认 Endpoint 格式（带端口）：minio:9091
2. 确认 Region 匹配
3. 启用 SSL：根据实际
4. 启用路径风格：MinIO 必须
5. 测试 ping：docker exec cloudreve ping minio

十一、安全加固

11.1 关闭注册

1

管理面板 → 用户 → 注册设置 → 关闭注册

11.2 强制 HTTPS

1

管理面板 → 系统设置 → 站点 URL：https://cloudreve.example.com

11.3 限制分享

1
2
3


用户组 → 编辑 → 分享限制
- 单日分享次数：50
- 加密分享：必填

11.4 限速

1

用户组 → 编辑 → 下载限速：5MB/s

十二、最佳实践清单

Aria2 必装：离线下载是杀手锏
多存储聚合：本地 + S3 + OSS 按场景选
Nginx 反代 + HTTPS：生产必须
MySQL 而非 SQLite：20+ 用户必上
WebDAV 开启：方便客户端挂载
备份三件套：db + conf + uploads
日志接入 Loki：便于排障
限速限容量：防止滥用
关闭注册：内部用

2024+ 视角补充

本文写于 2023-06，2024-2026 期间 Cloudreve 关键演进：

Cloudreve 4.x（2024-2025 主流）：全面 Go 1.22+ 重构；WebDAV 性能优化；多存储策略配额；离线下载任务调度重构
Cloudreve 4.5+（2025-Q1）：AI 智能分类 / 标签（基于文件内容自动生成）；Markdown 实时协作（多人编辑）；版本控制可视化
Cloudreve 4.7+（2025-Q3）：S3 直传（绕过 Cloudreve 中转，大文件 100GB+ 上传性能提升 10x）；WebAssembly 在线预览（Office / PDF / 图片 / 视频 100+ 格式）
Cloudreve 商业版（4.x 起）：Pro 版提供视频转码（HLS / DASH）、AI OCR 全文检索、团队协作（DAU>100）——年付 1k-10k
Aria2 / AriaNg 替代：2024+ qbittorrent-nox（BT 离线）越来越流行
替代品（2024+ 视角）：
- NextCloud 28+（自托管网盘"国民首选"，已 GA）
- Alist 3.x（多存储聚合 + WebDAV——Cloudreve 的开源竞品）
- FileBrowser Quantum（极简文件管理）
- PhotoPrism / Immich（AI 照片管理）

实战建议（2025-2026 视角）：

多存储聚合 / 团队网盘 → Cloudreve 4.7+ Pro 仍是首选
个人 / 极简 → Alist 3.x（轻量、开源、纯前端）
家用 NAS / AI 照片 → Immich 1.100+（自托管 Google Photos 替代）
办公协作 → NextCloud 28+ + OnlyOffice / Collabora——办公场景仍是 NextCloud 强项
纯对象存储 → MinIO / S3 仍是基础

下一步

想看 NextCloud 网盘自托管（家用云盘）→ NextCloud 网盘自托管
想看 Seafile 私有云盘（高性能文件同步）→ Seafile 私有云盘
想看 FTP 服务自托管（vsftpd / pure-ftpd）→ FTP 服务自托管
想看 MinIO 对象存储实战（S3 兼容对象存储）→ MinIO 对象存储实战

Vaultwarden 密码管理自托管：Bitwarden 兼容 + WebSocket + Nginx 反代

Wed, 15 Mar 2023 00:00:00 +0800

密码管理是企业 / 个人最值得投资的安全基础设施之一。1Password / LastPass 商业版每年几十美元 / 用户，Vaultwarden（Bitwarden 兼容）自托管只要 1 个 Docker 容器——而且数据完全掌控在自己手里。本篇把完整部署、Nginx 反代、WebSocket 通知、生产加固整理清楚。

阅读对象：技术团队负责人 / 注重个人隐私的开发者 覆盖范围：Vaultwarden 基础部署 + 完整 docker-compose + WebSocket 通知 + Nginx 反代 + 备份恢复 + 高级加固

一、为什么选 Vaultwarden

Bitwarden 是开源密码管理器，跨平台支持完善（Windows / macOS / Linux / iOS / Android / 浏览器扩展）。但官方服务端需要 SQL Server（商业版），自托管成本高。

Vaultwarden 是 Bitwarden 服务端的社区重写版（原名 bitwarden_rs）：

维度	官方 Bitwarden	Vaultwarden
镜像大小	~ 1.5 GB（含 SQL Server）	~ 80 MB
内存占用	2GB+	50-100 MB
数据库	SQL Server（必须）	SQLite / PostgreSQL / MySQL
客户端兼容	官方客户端	官方客户端全兼容
API 兼容	原生	100% 兼容
项目维护	Bitwarden Inc.	社区

2021-04-27 项目从 bitwarden_rs 更名为 Vaultwarden，客户端仍是 Bitwarden 官方客户端——只是服务端换成 Vaultwarden 即可。

When to use：

团队 / 公司有 5+ 员工，需要共享密码

注重数据隐私，不想把密码交给第三方

已经买了 1Password 商业版但想降本

二、基础部署

2.1 SQLite 版本（个人 / 小团队）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


docker run -d \
 --name vaultwarden \
 --restart always \
 -e WEBSOCKET_ENABLED=true \
 -e SIGNUPS_ALLOWED=false \
 -e WEB_VAULT_ENABLED=true \
 -v /home/vw/data:/data \
 -p 8087:80 \
 -p 3012:3012 \
 vaultwarden/server:1.25.1-alpine

环境变量：

WEBSOCKET_ENABLED=true：启用 WebSocket（密码同步通知）
SIGNUPS_ALLOWED=false：禁止注册——第一次部署时自己注册后改 false
WEB_VAULT_ENABLED=true：启用 Web 客户端
ADMIN_TOKEN=...（可选）：后台管理密码

2.2 docker-compose 完整版

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


version: '3'
services:
 vaultwarden:
 image: vaultwarden/server:1.25.1-alpine
 container_name: vaultwarden
 restart: always
 environment:
 WEBSOCKET_ENABLED: "true"
 SIGNUPS_ALLOWED: "false"
 WEB_VAULT_ENABLED: "true"
 ADMIN_TOKEN: "{{REDACTED}}" # 用 openssl rand -base64 48 生成
 ROCKET_PORT: "8087"
 DOMAIN: "https://vw.example.com"
 SHOW_PASSWORD_HINT: "false"
 LOG_LEVEL: "warn"
 volumes:
 - /home/vw/data:/data
 ports:
 - "8087:8087"
 - "3012:3012"

ADMIN_TOKEN 用 openssl rand -base64 48 生成——这是后台管理面板 /admin 的访问密码。

2.3 PostgreSQL 版本（生产推荐）

SQLite 在并发写入时容易锁库——团队 20+ 用户推荐 PostgreSQL：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


version: '3'
services:
 vaultwarden:
 image: vaultwarden/server:latest
 container_name: vaultwarden
 restart: always
 depends_on:
 - postgres
 environment:
 DATABASE_URL: postgresql://vaultwarden:{{DB_PASS}}@postgres:5432/vaultwarden
 WEBSOCKET_ENABLED: "true"
 SIGNUPS_ALLOWED: "false"
 WEB_VAULT_ENABLED: "true"
 ADMIN_TOKEN: "{{REDACTED}}"
 DOMAIN: "https://vw.example.com"
 volumes:
 - /home/vw/data:/data
 ports:
 - "8087:8087"
 - "3012:3012"

 postgres:
 image: postgres:13-alpine
 container_name: vaultwarden-db
 restart: always
 environment:
 POSTGRES_USER: vaultwarden
 POSTGRES_PASSWORD: "{{DB_PASS}}"
 POSTGRES_DB: vaultwarden
 volumes:
 - /home/vw/pgdata:/var/lib/postgresql/data

生产推荐用 PostgreSQL，性能 + 并发 + 备份工具都更成熟。

三、Nginx 反向代理

直接用 :8087 端口访问不安全——必须套 HTTPS。

3.1 完整 Nginx 配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58


server {
 listen 80;
 server_name vw.example.com;
 return 301 https://$server_name$request_uri;
}

server {
 listen 443 ssl http2;
 server_name vw.example.com;

 ssl_certificate /etc/nginx/ssl/vw.example.com.fullchain.pem;
 ssl_certificate_key /etc/nginx/ssl/vw.example.com.privkey.pem;
 ssl_protocols TLSv1.2 TLSv1.3;

 # HSTS
 add_header Strict-Transport-Security "max-age=63072000" always;

 # 反代主应用
 location / {
 proxy_pass http://127.0.0.1:8087;
 proxy_http_version 1.1;
 proxy_cache_bypass $http_upgrade;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Host $host;
 proxy_set_header X-Forwarded-Port $server_port;
 }

 # WebSocket 通知（密码同步实时推送）
 location /notifications/hub {
 proxy_pass http://127.0.0.1:3012;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 }

 # WebSocket 协商
 location /notifications/hub/negotiate {
 proxy_pass http://127.0.0.1:8087;
 }

 # 后台管理面板
 location /admin {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass http://127.0.0.1:8087;
 }

 # 防止搜索引擎抓取（重要！）
 location = /robots.txt {
 root /home/wwwroot/Bitwarden;
 }
}

关键点：

proxy_http_version 1.1：必须 1.1，HTTP/1.0 不支持 Upgrade
proxy_set_header Connection "upgrade"：触发协议升级
/notifications/hub 走 3012 端口（WebSocket 专用）
/admin 路径在 Vaultwarden 中默认不开放——要 ADMIN_TOKEN 启用

3.2 反代安全清单

风险	修复
`robots.txt` 让搜索引擎爬	必须配自定义 robots.txt 禁止爬取
弱密码	注册时强制密码强度，禁止 `123456` 等
`SIGNUPS_ALLOWED=true`	第一次注册后立刻改 false
暴露管理面板	`ADMIN_TOKEN` 用 48 字节随机数，别用生日
没限流	用 Nginx `limit_req` 防爆破

1
2
3
4
5
6
7


# 登录限流
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

location /api/auth {
 limit_req zone=login burst=3 nodelay;
 proxy_pass http://127.0.0.1:8087;
}

四、客户端使用

4.1 桌面客户端

打开 Bitwarden 桌面客户端 → 设置 → 服务器 URL → https://vw.example.com

4.2 浏览器扩展

Chrome / Edge / Firefox 商店搜 “Bitwarden” → 安装 → 设置 → 服务器 URL。

4.3 移动端

iOS / Android 装 Bitwarden 官方 App，首次登录用自托管 URL。

4.4 导入已有密码

Bitwarden 支持从以下来源导入：

1Password（.1pif）
LastPass（.csv）
Chrome / Firefox（.csv）
KeePass（.xml）
Dashlane / RoboForm / Enpass

Web 客户端 https://vw.example.com/#/tools/import 操作。

五、备份与恢复

5.1 SQLite 备份

1
2
3
4
5


# 在线备份（不锁库）
docker exec vaultwarden sqlite3 /data/db.sqlite3 ".backup '/data/backup/db-$(date +%Y%m%d).sqlite3'"

# 拷贝出来
docker cp vaultwarden:/data/backup ./vaultwarden_backup_$(date +%Y%m%d)

5.2 PostgreSQL 备份

1
2
3
4
5


# 逻辑备份
docker exec vaultwarden-db pg_dump -U vaultwarden vaultwarden > vw-$(date +%Y%m%d).sql

# 物理备份（推荐）
docker exec vaultwarden-db pg_basebackup -D /backup/$(date +%Y%m%d) -U vaultwarden -Fp -Xs -P

5.3 附件 / 密钥 / RSA 密钥

1
2
3
4
5


# 全量备份
tar czf vw-full-backup-$(date +%Y%m%d).tar.gz /home/vw/data

# 上传对象存储
ossutil cp vw-full-backup-*.tar.gz oss://backup-bucket/vaultwarden/

5.4 恢复

1
2
3
4
5
6
7
8


# 1. 停服
docker compose down

# 2. 恢复数据
tar xzf vw-full-backup-20240315.tar.gz -C /

# 3. 启动
docker compose up -d

自动备份到 OSS：

1
2


# crontab 每天 3 点
0 3 * * * /usr/local/bin/vw_backup.sh

六、Admin 后台

启用 ADMIN_TOKEN 后访问 https://vw.example.com/admin：

1
2
3


# 生成强 token
openssl rand -base64 48
# 输出：eK7vN9pQ2xR5tY8wA1bC3dF6gH0iJ4kL7mN9oP2qR5tU8vW1xY4zA7bC0dF3gH6i

后台功能：

查看用户列表
禁用 / 启用用户
强制 2FA（团队必开）
查看登录日志
删除用户及其数据

强 2FA 策略：

1
2


# 禁止非 2FA 用户登录（管理面板）
# 后台 → Users → 用户 → 勾选 "Require 2FA"

七、生产加固清单

7.1 网络层

强制 HTTPS（Nginx 301 重定向）
限流（Nginx limit_req 防爆破）
IP 白名单（后台 /admin 限定内网）
fail2ban（自动封禁多次失败 IP）

7.2 应用层

SIGNUPS_ALLOWED=false（注册后必关）
强 ADMIN_TOKEN（48 字节随机）
数据库连接加密（PostgreSQL SSL）
禁用密码提示：SHOW_PASSWORD_HINT=false

7.3 监控

1
2
3
4
5
6


# 接入 Loki
docker run -d \
 --name vaultwarden \
 --log-driver=loki \
 --log-opt loki-url="http://internal.example.com:3100/loki/api/v1/push" \
 ...

告警规则：

失败登录 > 100/小时：可能有人在爆破
新用户注册：SIGNUPS_ALLOWED=false 后应为 0
数据库连接失败：PostgreSQL 健康检查

八、典型坑位

8.1 WebSocket 连接 404

症状：客户端同步卡死，提示 WebSocket 失败。

修复：

WEBSOCKET_ENABLED=true 环境变量
3012 端口在 Nginx 暴露：location /notifications/hub
proxy_http_version 1.1 + proxy_set_header Connection "upgrade"

8.2 文件上传 413

症状：上传附件 > 1MB 失败。

修复：

1

client_max_body_size 100m;

8.3 团队成员密码泄露

应急：

1
2
3
4


# 1. 后台 /admin 禁用该用户
# 2. 强制全员改主密码
# 3. 检查登录日志，看是否有异常 IP
docker logs vaultwarden 2>&1 | grep -E "Failed login|Invalid"

8.4 Vaultwarden 升级失败

症状：升级后数据库迁移报错。

修复：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 1. 升级前必备份
docker exec vaultwarden-db pg_dump -U vaultwarden vaultwarden > vw-backup.sql

# 2. 升级
docker compose pull vaultwarden
docker compose up -d

# 3. 启动失败时查看日志
docker logs vaultwarden

# 4. 回滚
docker compose down
docker compose up -d vaultwarden-server:1.25.0 # 回退到旧版本

九、Vaultwarden vs 其他方案

工具	开源	自托管	跨平台	团队功能	2FA
Vaultwarden	✅	✅	✅	✅	✅
1Password	❌	❌	✅	✅	✅
LastPass	❌	❌	✅	✅	✅
KeePass + SyncTrayzor	✅	✅	⚠️	❌	⚠️
Bitwarden 官方	✅	⚠️	✅	✅	✅

自托管 + 团队功能两个条件同时满足，Vaultwarden 是唯一靠谱的开源选择。

十、完整 docker-compose 生产示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46


version: '3.8'
services:
 vaultwarden:
 image: vaultwarden/server:1.30.0-alpine
 container_name: vaultwarden
 restart: always
 depends_on:
 - postgres
 environment:
 DATABASE_URL: postgresql://vaultwarden:{{DB_PASS}}@postgres:5432/vaultwarden
 WEBSOCKET_ENABLED: "true"
 SIGNUPS_ALLOWED: "false"
 WEB_VAULT_ENABLED: "true"
 ADMIN_TOKEN: "{{REDACTED}}"
 DOMAIN: "https://vw.example.com"
 SHOW_PASSWORD_HINT: "false"
 LOG_LEVEL: "warn"
 SIGNUPS_DOMAINS_WHITELIST: "example.com" # 只允许企业邮箱注册（首次）
 INVITATIONS_ALLOWED: "true" # 团队邀请
 DISABLE_ICON_DOWNLOAD: "true" # 防止外网图片泄露
 volumes:
 - /home/vw/data:/data
 networks:
 - vw-net
 healthcheck:
 test: ["CMD", "curl", "-f", "http://localhost:8087/alive"]
 interval: 30s
 timeout: 5s
 retries: 3

 postgres:
 image: postgres:15-alpine
 container_name: vaultwarden-db
 restart: always
 environment:
 POSTGRES_USER: vaultwarden
 POSTGRES_PASSWORD: "{{DB_PASS}}"
 POSTGRES_DB: vaultwarden
 volumes:
 - /home/vw/pgdata:/var/lib/postgresql/data
 networks:
 - vw-net

networks:
 vw-net:
 driver: bridge

首次部署流程：

启动 → 访问 https://vw.example.com/#/register
注册一个管理员账户（比如 admin@example.com）
立刻改 SIGNUPS_ALLOWED=false，重启
用该账户登录 → 邀请团队成员
强制全员开 2FA

2024+ 视角补充

本文写于 2023-03，2024-2026 期间 Vaultwarden 关键演进：

Vaultwarden 1.30+（2024-08）：Passkey / WebAuthn 完整支持（vs 老版本仅 TOTP）——2024+ 无密码化趋势下的核心能力
Vaultwarden 1.32+（2025-Q1）：内置 SSO（SAML 2.0 / OIDC）——企业 AD / Okta / Azure AD 集成开箱即用
Vaultwarden 1.33+（2025-Q3）：Send 端到端加密文件分享（vs 老版本仅文字）；风险评估报告（用户密码健康度）
Bitwarden 官方 2024 重构：原 Bitwarden 服务端（商业版）2024-2025 全面转向 Rust 重写，性能 3x 提升——但 Vaultwarden 仍 100% 兼容官方客户端
替代品（2024+ 视角）：
- Bitwarden 官方（商业）：2024 起免费版限制到 2 用户——中小企业必须付费
- Proton Pass（2024-Q3）：Proton 公司出品，E2EE 邮件 + 密码一体化——隐私党新选择
- 1Password 8.x（2024）：Linux 客户端 GA，CLI 工具完善，企业级SCIM 同步
- Passwork / Psono（2024）：欧洲 GDPR 友好，自托管 + 团队功能
- KeePassXC + KeePassDX（移动）+ Syncthing 同步：纯本地方案 2024 仍活跃

实战建议（2025-2026 视角）：

个人 / 小团队 → Vaultwarden 1.33+ 仍是首选自托管方案
企业 / 合规 → Vaultwarden 1.32+ 的 SSO + RBAC 满足等保 / SOC 2 基础要求
无密码化 → Passkey + Vaultwarden 1.30+ 已是稳态组合
云服务 → Bitwarden / 1Password / Proton Pass 三足鼎立

下一步

想看 VPN 与代理自托管（OpenVPN / V2Ray）→ VPN 与代理自托管
想看 站点与博客自托管（WordPress / WVP 视频监控）→ 站点与博客自托管
想看 Watchtower 容器自动更新（守护所有容器的升级）→ Watchtower 容器自动更新
想看 MinIO 对象存储实战（S3 兼容对象存储）→ MinIO 对象存储实战

Vaultwarden 自托管密码管理：Bitwarden 兼容 + 轻量部署

Sun, 25 Dec 2022 00:00:00 +0800

密码多了记不住、用一个密码到处用又不安全，密码管理器就成了现代数字生活的刚需。1Password / LastPass 是闭源 SaaS，价格不菲、数据出境也有合规风险。Bitwarden 是开源免费的密码管理器，官方有 SaaS 版也可以自托管——但官方服务端是 .NET + MSSQL，重型不友好。Vaultwarden（原 bitwarden_rs）是 Bitwarden 服务端的第三方 Rust 重写版，完全兼容官方客户端，资源占用只有官方的 1/10——一个容器、单文件二进制、SQLite 存储，1C1G 都能跑。这篇文章讲清楚部署、反代、客户端使用。

阅读对象：想给团队/个人自托管密码管理器、又想用 Bitwarden 官方客户端体验的同学
覆盖范围：Vaultwarden 容器化部署、Nginx 反代（WebSocket + /admin）、Robots 屏蔽、客户端使用

一、背景

项目	状态	特点
Bitwarden 官方服务端	闭源、.NET + MSSQL	重型、SaaS 也用
Vaultwarden（原 `bitwarden_rs`）	活跃	Rust 重写、Bitwarden 兼容、SQLite
Bitwarden 客户端	闭源客户端 / 开源 SDK	全平台（Win/macOS/Linux/iOS/Android/浏览器）

重要时间线：

2021-04-27：bitwarden_rs 项目更名为 Vaultwarden（因为 Bitwarden 官方要求改名）

后续社区全力投入 Vaultwarden 维护，Bitwarden 官方也认可 Vaultwarden 兼容客户端

兼容客户端：Vaultwarden 部署后，所有 Bitwarden 官方客户端（桌面、移动、浏览器扩展）都能直接连接 Vaultwarden 服务端。

二、容器化部署

2.1 拉镜像

1

docker pull vaultwarden/server:1.25.1-alpine

Alpine 版 ~50MB，比 Debian 版小 5 倍。

2.2 最简启动

1
2
3
4
5
6


docker run -d \
 --name vaultwarden \
 --restart=always \
 -v /home/docker/vaultwarden/data:/data \
 -p 8087:80 \
 vaultwarden/server:1.25.1-alpine

访问 http://{{HOST}}:8087 看 Web 界面（其实 Web 端用得少，主要用客户端）。

2.3 数据持久化

/data 目录存 SQLite 数据库 + 附件，必须挂出来。

2.4 启用管理后台（可选）

容器内 /data/config.json：

1
2
3


{
 "admin_token": "{{ADMIN_TOKEN}}"
}

重启 Vaultwarden 后，访问 https://{{DOMAIN}}/admin，输入 {{ADMIN_TOKEN}} 进入管理后台：

查看注册用户数
邀请新用户
删除用户
查看系统状态

生产环境强烈建议开启：方便清退离职员工、清异常账号。

2.5 禁用注册（生产环境）

默认任何人都能注册。要么手动邀请（管理后台生成邀请链接），要么关掉：

1
2
3


{
 "disable_signup": true
}

关掉后只有管理后台邀请的邮箱能注册，安全得多。

2.6 关闭 Web Vault（可选）

如果你只用客户端、不需要 Web 端：

1
2
3


{
 "web_vault_enabled": false
}

减少攻击面。

三、Nginx 反向代理

Vaultwarden 涉及 WebSocket（实时通知）+ HTTPS（官方客户端要求） + /admin（管理后台） + /notifications/hub（实时通知）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51


server {
 listen 443 ssl;
 server_name vault.example.com;

 ssl_certificate /www/cert/vault.example.com/fullchain.pem;
 ssl_certificate_key /www/cert/vault.example.com/privkey.pem;

 # 客户端上传
 client_max_body_size 128M;

 # Vaultwarden 主服务
 location / {
 proxy_pass http://127.0.0.1:8087;
 proxy_http_version 1.1;
 proxy_cache_bypass $http_upgrade;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Host $host;
 proxy_set_header X-Forwarded-Port $server_port;
 }

 # 实时通知（WebSocket）
 location /notifications/hub {
 proxy_pass http://127.0.0.1:3012;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 }

 # 通知协商
 location /notifications/hub/negotiate {
 proxy_pass http://127.0.0.1:8087;
 }

 # 管理后台
 location /admin {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass http://127.0.0.1:8087;
 }

 # 屏蔽搜索引擎
 location = /robots.txt {
 root /home/wwwroot/Bitwarden;
 }
}

/notifications/hub 必须用 WebSocket：客户端实时同步密码变更（多设备）依赖 WebSocket，缺了同步会有延迟。 robots.txt 屏蔽：Vaultwarden 路径不应当被搜索引擎收录，避免泄露用户邮箱前缀（注册验证邮件 URL）。 HTTPS 必须：Bitwarden 官方客户端要求 HTTPS，明文 HTTP 客户端拒绝连接。

3.1 /admin 必须 IP 白名单

/admin 是高权限入口，建议加 IP 白名单：

1
2
3
4
5
6


location /admin {
 allow 192.168.0.0/16; # 内网网段
 allow 10.0.0.0/8;
 deny all;
 # ... proxy 配置同上
}

四、客户端使用

4.1 桌面 / 移动客户端

到 https://bitwarden.com/download/ 下载对应平台客户端，安装过程和官方 SaaS 一样。

首次配置：

服务器 URL：填 https://vault.example.com（不是官方 https://vault.bitwarden.com）
邮箱 + 密码注册（如果开了 disable_signup，先用管理后台邀请）
登录后自动同步

4.2 浏览器扩展

Chrome / Edge / Firefox 都有 Bitwarden 官方扩展，安装后点"设置 → 服务器 URL"填自托管地址。

4.3 客户端特性

密码自动填充
跨设备同步（WebSocket 实时）
TOTP 双因素认证
密码生成器
安全审计（弱密码、重复密码、泄露检查）
附件 / 文件存储
紧急访问（指定信任人）

五、备份与安全

5.1 备份

SQLite 数据库（/data/db.sqlite3）：每周 sqlite3 .backup 或直接 cp
附件目录（/data/attachments）：增量备份到 OSS
config.json：包含 admin_token，单独保管

5.2 安全建议

强制 HTTPS——客户端拒绝明文 HTTP
管理后台 IP 白名单——见 3.1
强 admin_token——32+ 位随机字符串
开启 2FA——所有用户强制开启二次验证（管理后台可设）
禁用注册——disable_signup: true，只邀请
定期审计——/admin 看活跃用户、清退离职员工
fail2ban——/admin 加 fail2ban 防止爆破

六、踩坑清单

客户端连不上——HTTPS 没配 / 证书错误 / 客户端服务器 URL 填错
同步延迟——/notifications/hub WebSocket 没配，缺实时推送
/admin 502——config.json 没挂出来或 admin_token 没设
数据丢失——/data 没挂出来，容器销毁即丢
附件上传失败——client_max_body_size 默认 1M，调成 128M
被搜索引擎收录——/robots.txt 没配，路径暴露到 Google
多人协作看不到——disable_signup: true 后只用管理后台邀请，Organization 功能需要付费

七、参考资料

Vaultwarden 官方仓库：https://github.com/dani-garcia/vaultwarden
Vaultwarden 文档：https://github.com/dani-garcia/vaultwarden/wiki
Bitwarden 客户端：https://bitwarden.com/download/
Bitwarden 自托管文档：https://bitwarden.com/help/install-on-premise/

下一步

想要 HTTPS 网关？→ Nginx 反向代理实战一文
想要 VPN？→ OpenVPN 自建 VPN 服务一文
想做安全监控？→ HertzBeat 轻量监控告警一文

站点与博客自托管：WordPress / WVP 视频监控 / Hoppscotch API 工具

Tue, 15 Nov 2022 00:00:00 +0800

除了主业务系统，企业里还有些"小而重要"的站点需要自托管：内部博客（WordPress）、视频监控平台（WVP）、API 调试工具（Hoppscotch）。这篇把这三个看似不相干但都属于"开箱即用工具"的部署方案整理到一起。

阅读对象：需要快速部署内部工具的运维 / 全栈工程师 覆盖范围：WordPress 博客完整部署 + WVP 视频监控 GB28181 协议对接 + Hoppscotch 替代 Postman 协作

一、WordPress：最经典的博客 / CMS 平台

WordPress 占据全球 CMS 市场 60%+ 份额——既是博客引擎，也是小型站点的建站工具。Docker 化部署只要 30 秒。

1.1 一键启动

1
2
3
4
5


docker run -d --restart=always \
 --name wordpress \
 -p 8864:80 \
 -v /home/project/wordpress/data:/var/www/html \
 wordpress

8864:80 把容器 80 映射到宿主机 8864
/home/project/wordpress/data 是数据卷，升级 / 重建容器不丢数据

1.2 访问

1
2


首页：http://<IP>:8864
后台：http://<IP>:8864/wp-admin

首次访问进入安装向导，5 分钟填完站点信息。默认管理员 admin + 启动时设置的密码。

1.3 生产配置建议

挂 MySQL 而非 SQLite：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


docker run -d --name wordpress-db \
 -e MYSQL_ROOT_PASSWORD={{DB_ROOT_PASS}} \
 -e MYSQL_DATABASE=wordpress \
 -e MYSQL_USER=wpuser \
 -e MYSQL_PASSWORD={{DB_USER_PASS}} \
 -v /home/mysql/wordpress:/var/lib/mysql \
 mysql:8.0

docker run -d --name wordpress \
 --link wordpress-db:mysql \
 -p 80:80 \
 -v /home/project/wordpress/data:/var/www/html \
 wordpress

挂 PHP 上传目录到独立卷（避免容器重建时上传文件丢失）：

1

-v /home/wordpress/uploads:/var/www/html/wp-content/uploads

1.4 必备插件

Akismet Anti-Spam：垃圾评论过滤
Yoast SEO：SEO 优化（中文站用 Rank Math）
WP Super Cache：静态化提速
UpdraftPlus：自动备份到 OSS / S3
W3 Total Cache：对象缓存 + CDN 加速

1.5 主题选择

博客：Twenty Twenty-Four（官方默认）、Astra
企业站：Astra Pro、GeneratePress、Flavor
中文社区：Kratos（极简风）、Mirages（资讯类）

1.6 安全加固清单

不要用 admin 用户名：装完立刻建新管理员 → 删 admin
限制登录 IP：Nginx 反代时加 allow / deny
启用 2FA：插件 Two Factor Authentication
禁用文件编辑：wp-config.php 加 define('DISALLOW_FILE_EDIT', true);
隐藏 WordPress 版本：functions.php 加 remove_action('wp_head', 'wp_generator');

1.7 备份

1
2
3
4
5
6
7
8
9


# 1. 数据库备份
docker exec wordpress-db mysqldump -u root -p{{DB_ROOT_PASS}} wordpress > wp_backup_$(date +%Y%m%d).sql

# 2. 文件备份
tar czf wp_files_$(date +%Y%m%d).tar.gz /home/project/wordpress/data

# 3. 上传 OSS
ossutil cp wp_backup_*.sql oss://backup-bucket/wordpress/db/
ossutil cp wp_files_*.tar.gz oss://backup-bucket/wordpress/files/

自动化：UpdraftPlus 插件定时备份到 S3 / OSS。

二、WVP：国标 GB28181 视频监控平台

WVP（WEB VIDEO PLATFORM）是基于 Java + ZLM（ZLMediaKit）实现的 GB28181 视频平台——对接海康 / 大华等摄像头、做实时预览、云台控制、录像回放。

2.1 适用场景

工厂 / 园区 / 工地：把分散的 NVR / IPCamera 集中管理
应急 / 安防：实时调取监控画面到 Web 端
视频对讲：GB28181 标准 + SIP 信令

2.2 一键启动

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


docker run --name wvp \
 --env WVP_IP="203.0.113.10" \
 -itd --restart=always \
 -p 18080:18080 \
 -p 33010-33020:33010-33020/udp \
 -p 33010-33020:33010-33020/tcp \
 -p 9980:9980 \
 -p 5060:5060 \
 -p 5060:5060/udp \
 -p 9554:9554 \
 dockerhub.example.com/base/648540858/wvp_pro:latest

关键参数：

WVP_IP：必须是公网 IP 或能被摄像头访问到的 IP
18080：Web 管理界面
33010-33020：GB28181 信令 + 流媒体端口
9980：ZLM HTTP 端口
5060：SIP 信令端口（不能改，GB28181 协议规定）
9554：ZLM RTSP 推流端口

2.3 配置文件修改

1
2
3
4
5


# 进入容器
docker exec -it wvp bash

# 修改 WVP 配置
vim /opt/wvp/config/application.yml

常用配置项：

1
2
3
4
5
6
7
8
9


sip:
 ip: 203.0.113.10 # SIP 信令 IP
 port: 5060
media:
 sdp-ip: 203.0.113.10 # SDP 协商 IP
 stream-ip: 203.0.113.10 # 媒体流 IP
 http-port: 9980
 rtp:
 port-range: 33010,33020 # 一字对应启动端口

修改后必须重启：

1

docker restart wvp

注意：重启后 sdp-ip 和 stream-ip 会还原成启动时的 WVP_IP——生产要把 WVP_IP 设对。

2.4 挂载配置（推荐）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


# 1. 先启动一次让容器生成配置
docker run --name wvp --env WVP_IP="203.0.113.10" -itd wvp_pro:latest

# 2. 拷贝配置出来
docker cp wvp:/opt/wvp/config/application.yml /data/wvp/
docker cp wvp:/opt/media/config.ini /data/wvp/

# 3. 停掉 + 删除
docker rm -f wvp

# 4. 重新启动，挂载配置
docker run --name wvp \
 --env WVP_IP="203.0.113.10" \
 -itd --restart=always \
 --net=host \
 -v /data/wvp/application.yml:/opt/wvp/config/application.yml \
 -v /data/wvp/config.ini:/opt/media/config.ini \
 dockerhub.example.com/base/648540858/wvp_pro:latest

2.5 接入海康摄像头

摄像头配置（Web 界面 http://<camera-ip>/doc/page/config.asp）：

1
2
3
4
5


SIP 服务器地址：203.0.113.10
SIP 服务器端口：5060
SIP 用户名：34020000001320000022
SIP 认证密码：（任意）
视频通道编码ID：34020000001320000001

WVP 端：

登录 http://203.0.113.10:18080（默认 admin/admin）
进入 控制台 → 信令服务器配置，填摄像头信息
摄像头注册成功后自动出现在设备列表
点击通道 → 播放即可预览

2.6 录像回放 / 云台

WVP 支持：

实时预览（Web 端 HTML5 播放）
云台控制（上下左右、镜头变倍变焦）
录像回放（基于 ZLM 自动录像）
报警联动（对接 IoT 平台）

注意：海康摄像头必须先在 WVP 注册才能控制云台——RTSP 直连不能控制。

2.7 反向代理 / 公网映射

不能用 Nginx 7 层代理——GB28181 用的是 UDP 协议，且 SIP 信令对延迟敏感。

正确做法：路由器 / 防火墙直接做 1:1 端口映射，把公网 IP 段 33010-33020 转到内网 WVP 服务器。

三、Hoppscotch：开源 Postman 替代

Hoppscotch（原 Postwoman）是开源的 API 调试工具——比 Postman 轻、比 curl 友好、团队协作强。

3.1 一键启动

1
2
3
4


docker run -d --name hoppscotch \
 --restart=always \
 -p 3000:3000 \
 hoppscotch/hoppscotch:latest

访问 http://<IP>:3000 即可使用——单容器版本不支持多人协作，要协作得部署完整版。

3.2 完整版（PostgreSQL + 后端 + 前端）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


version: "3.8"
services:
 hoppscotch-backend:
 image: hoppscotch/hoppscotch-backend:latest
 restart: always
 environment:
 - DATABASE_URL=postgres://hopp:hopp@hoppscotch-db:5432/hopp
 depends_on:
 - hoppscotch-db
 ports:
 - "3100:3100"

 hoppscotch-frontend:
 image: hoppscotch/hoppscotch-frontend:latest
 restart: always
 depends_on:
 - hoppscotch-backend
 ports:
 - "3000:3000"

 hoppscotch-db:
 image: postgres:13
 restart: always
 environment:
 - POSTGRES_USER=hopp
 - POSTGRES_PASSWORD={{DB_PASS}}
 - POSTGRES_DB=hopp
 volumes:
 - /data/hoppscotch/pgdata:/var/lib/postgresql/data

3.3 核心功能

REST / GraphQL / WebSocket / SSE 全协议支持
环境变量（dev / staging / prod 切换）
协作空间（团队共享请求集合）
Postman 导入（一键迁移现有 .json）
OpenAPI / Swagger 导入
测试用例 + 自动化测试

3.4 与 Postman 对比

维度	Hoppscotch	Postman
体积	几十 MB	几百 MB
启动速度	< 1 秒	5-10 秒
团队协作	开源自托管	收费
客户端	Web（也可装 PWA）	独立客户端
协议支持	REST / GraphQL / WS / SSE	全部
Mock 服务器	✅	收费
自动化测试	✅	✅

企业内网推荐 Hoppscotch——避免 Postman 把 API 文档同步到 Postman 服务器（数据合规问题）。

四、典型坑位

4.1 WordPress 上传文件 413

症状：上传大于 2MB 的图片失败。

修复：三处都要调

Nginx：

1

client_max_body_size 100m;

PHP（在 wp-config.php 之前）：

1
2
3


@ini_set('upload_max_size', '100M');
@ini_set('post_max_size', '100M');
@ini_set('max_execution_time', '300');

WordPress 后台：设置 → 媒体 → 大小 改到合适。

4.2 WVP 摄像头显示离线

排查清单：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 摄像头能否 ping 通公网 IP
ping 203.0.113.10

# 2. 5060 端口是否开放
nc -zv 203.0.113.10 5060

# 3. 容器日志
docker logs -f wvp

# 4. ZLM 状态
curl http://localhost:9980/index/api/getServerConfig

4.3 Hoppscotch WebSocket 测试断连

修复：用 wss://（加密）而非 ws://；生产 WebSocket 都应该是 wss。

五、安全合规清单

工具	风险	加固建议
WordPress	暴力破解 / 0day 漏洞	强密码 + 2FA + WAF + 自动更新
WVP	默认弱口令 `admin/admin`	首次登录必改密码 + 限定内网访问
Hoppscotch	API 凭据泄露	强制登录 + 团队权限 + 凭据加密存储

六、备份策略

1
2
3
4
5
6
7
8


# 1. WordPress 全量备份（crontab 每天 3 点）
0 3 * * * /usr/local/bin/wp_backup.sh

# 2. WVP 配置备份
0 4 * * * tar czf /backup/wvp-$(date +\%Y\%m\%d).tar.gz /data/wvp/

# 3. Hoppscotch 数据库备份
0 5 * * * docker exec hoppscotch-db pg_dump -U hopp hopp > /backup/hopp-$(date +\%Y\%m\%d).sql

2024+ 视角补充

本文写于 2022-11，2024-2026 期间 WordPress / WVP / Hoppscotch 三个工具的演进：

WordPress 6.5+（2024-04）/ 6.6（2024-07）：全站编辑（Full Site Editing）成熟、字体 API、Block Theme 主流——传统 PHP 主题模式逐步被块主题取代
WVP 4.7+（2024-08）：GB/T 28181-2022 国标全面支持、国密算法、AI 事件检测
Hoppscotch 2024+：已从单仓库拆分为 hoppscotch / hoppscotch-backend / hoppscotch-k8s——企业版商业化（hoppscotch-enterprise），自托管社区版仍 100% 开源
Postman 2024+：**本地化协作（Postman Offline）**已 GA；AI 助手 Postman AI（生成测试用例）商业化
Insomnia 9.x（2024-2026）：开源 API 客户端，GraphQL / gRPC / WebSocket 全协议；插件市场完善
Bruno 1.x（2023-2025）：“Postman 杀手”——纯本地文件存储（.git 友好）、离线优先、开源免费
HTTPie 3.x：CLI API 客户端，2024 仍是命令行党首选

实战建议（2025-2026 视角）：

WordPress 6.6+ + PHP 8.3 + MariaDB 11 是 2025+ 稳态组合
WVP 4.7+ 是 2024+ GB28181 开源首选
API 工具选型：
- 团队协作 + 云同步 → Postman / Hoppscotch
- Git 友好 + 离线 → Bruno（新项目首选）
- CLI 党 → HTTPie
- GraphQL / gRPC 重度 → Insomnia

下一步

想看 VPN 与代理自托管（OpenVPN / V2Ray）→ VPN 与代理自托管
想看 Watchtower 容器自动更新（守护所有容器的升级）→ Watchtower 容器自动更新
想看 Vaultwarden 密码管理（Bitwarden 自托管）→ Vaultwarden 密码管理
想看 MinIO 对象存储实战（S3 兼容对象存储）→ MinIO 对象存储实战

NextCloud 网盘自托管：家用云盘 + Office 协作 + 应用市场

Tue, 15 Mar 2022 00:00:00 +0800

NextCloud 是开源网盘的代表——**家用"个人云"或团队"私有云盘"**都能胜任。本篇把 Docker 化部署、MySQL 对接、Office 协作、备份升级整理清楚。

阅读对象：需要自建家庭 / 团队网盘的技术 / 非技术用户 覆盖范围：NextCloud 完整部署 + MySQL 持久化 + 应用市场 + Office 协作 + 外接存储（S3 / 本地）+ 备份 / 升级 / 性能调优

一、NextCloud 简介

NextCloud 起源于 ownCloud 分支（2016），是全球最活跃的开源网盘项目：

特性	NextCloud	Seafile	ownCloud
开源	✅ AGPLv3	✅ GPLv3	✅ AGPLv3
客户端	全平台	全平台	全平台
Office 协作	✅（集成 OnlyOffice / Collabora）	✅	✅
应用市场	丰富	较少	中等
视频通话	✅ NextCloud Talk	❌	❌
性能	中等	高	中等
大文件	一般	优秀	一般
适合	个人 / 团队 / 家用	团队	团队

When to use NextCloud：

家用云盘（NAS 替代）

中小团队文档协作

需要视频通话 / 日历 / 联系人同步

应用市场（Markdown 编辑器、思维导图、看板……）

不适用：纯大文件同步（用 Seafile 更合适）

二、基础部署

2.1 单命令启动

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


docker run -d --privileged=true \
 -p 8888:80 \
 --name nextcloud \
 --restart=always \
 -v /home/docker/nextcloud/html:/var/www/html \
 -v /home/docker/nextcloud/apps:/var/www/html/custom_apps \
 -v /home/docker/nextcloud/config:/var/www/html/config \
 -v /home/docker/nextcloud/data:/var/www/html/data \
 -v /home/docker/nextcloud/theme:/var/www/html/themes \
 nextcloud

数据卷结构（必须全部挂载，否则升级 / 迁移会丢数据）：

宿主机	容器	作用
`html`	`/var/www/html`	NextCloud 主程序
`apps`	`/var/www/html/custom_apps`	用户安装的应用
`config`	`/var/www/html/config`	配置文件
`data`	`/var/www/html/data`	用户文件（最重要）
`theme`	`/var/www/html/themes`	主题

--privileged=true 必需——NextCloud 启动时会做权限检查。

2.2 首次访问

1

http://<IP>:8888/

5 分钟初始化向导：

创建管理员账号（用户名 / 密码）
数据目录：/var/www/html/data（默认）
数据库配置（推荐 MySQL，见下文）

三、MySQL 持久化

默认 SQLite 适合个人 demo，生产 / 团队必上 MySQL。

3.1 docker-compose 完整版

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43


version: "3.8"
services:
 db:
 image: mysql:8.0
 container_name: nextcloud-db
 restart: always
 command: --default-authentication-plugin=mysql_native_password
 environment:
 MYSQL_ROOT_PASSWORD: {{DB_ROOT_PASS}}
 MYSQL_DATABASE: nextcloud
 MYSQL_USER: nextcloud
 MYSQL_PASSWORD: {{DB_PASS}}
 volumes:
 - /home/docker/nextcloud/mysql:/var/lib/mysql
 healthcheck:
 test: ["CMD", "mysqladmin", "ping", "-h", "localhost"]
 interval: 10s
 timeout: 5s
 retries: 5

 nextcloud:
 image: nextcloud:25-apache
 container_name: nextcloud
 restart: always
 depends_on:
 db:
 condition: service_healthy
 ports:
 - "8888:80"
 volumes:
 - /home/docker/nextcloud/html:/var/www/html
 - /home/docker/nextcloud/apps:/var/www/html/custom_apps
 - /home/docker/nextcloud/config:/var/www/html/config
 - /home/docker/nextcloud/data:/var/www/html/data
 - /home/docker/nextcloud/theme:/var/www/html/themes
 environment:
 MYSQL_HOST: db
 MYSQL_DATABASE: nextcloud
 MYSQL_USER: nextcloud
 MYSQL_PASSWORD: {{DB_PASS}}
 NEXTCLOUD_TRUSTED_DOMAINS: "cloud.example.com 192.168.1.100"
 TRUSTED_CACERTS_DIR: /usr/local/share/ca-certificates
 OVERWRITEPROTOCOL: https  # 反代后端需 HTTPS

关键配置：

提前创建数据库：CREATE DATABASE nextcloud DEFAULT CHARSET utf8mb4 COLLATE utf8mb4_unicode_ci;
NEXTCLOUD_TRUSTED_DOMAINS 列出所有合法访问域名
OVERWRITEPROTOCOL=https：Nginx 反代后端必须——否则生成错误的内网 URL

3.2 初始化向导选择 MySQL

第一次访问 http://<IP>:8888/ → 选 MySQL/MariaDB：

1
2
3
4


数据库用户：nextcloud
数据库密码：{{DB_PASS}}
数据库名：nextcloud
数据库主机：db:3306

数据库表会自动创建（500+ 张表）。

四、性能调优

4.1 PHP 内存

1
2
3
4
5
6
7
8
9


# 容器内
docker exec -u www-data nextcloud php -i | grep memory_limit
# 默认 128M，建议改 512M

# 临时修改
docker exec -u root nextcloud sed -i 's/memory_limit = 128M/memory_limit = 512M/' /usr/local/etc/php/php.ini

# 永久：在 config/config.php 加
'memcache.local' => '\\OC\\Memcache\\APCu',

4.2 启用 Redis 缓存

1
2
3
4
5
6
7
8


services:
 redis:
 image: redis:7-alpine
 container_name: nextcloud-redis
 restart: always
 command: redis-server --requirepass {{REDIS_PASS}}
 volumes:
 - /home/docker/nextcloud/redis:/data

config/config.php：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


<?php
$CONFIG = [
 // ... 其他配置
 'memcache.local' => '\\OC\\Memcache\\APCu',
 'memcache.distributed' => '\\OC\\Memcache\\Redis',
 'memcache.locking' => '\\OC\\Memcache\\Redis',
 'redis' => array(
 'host' => 'redis',
 'port' => 6379,
 'password' => '{{REDIS_PASS}}',
 'timeout' => 1.5,
 ),
];

4.3 启用 cron 模式

NextCloud 默认 AJAX 模式跑后台任务——慢、占资源。改 cron：

1
2
3
4
5
6
7
8


# 容器内
docker exec -u root nextcloud crontab -u www-data -l
# 默认应该是空

# 写入定时任务
docker exec -u root nextcloud bash -c "echo '*/5 * * * * php -f /var/www/html/cron.php' > /etc/cron.d/nextcloud"
docker exec -u root nextcloud chmod 0644 /etc/cron.d/nextcloud
docker exec -u root nextcloud crontab -u www-data /etc/cron.d/nextcloud

进入 NextCloud 后台 → 设置 → 基本设置 → 任务执行 → 选 Cron。

4.4 启用 OPcache

1
2
3
4
5
6
7


# /usr/local/etc/php/conf.d/opcache-recommended.ini
opcache.enable=1
opcache.interned_strings_buffer=16
opcache.max_accelerated_files=10000
opcache.memory_consumption=128
opcache.save_comments=1
opcache.revalidate_freq=1

五、外接存储：S3 / MinIO / 本地

NextCloud 支持挂载外部存储作为"虚拟文件夹"。

5.1 挂载 MinIO

应用市场装 External Storage Support → 后台 → External Storages：

字段	值
Folder name	`backup-files`
External storage	`Amazon S3`
Bucket	`file`
Hostname	`minio.internal.example.com`
Port	`9091`
Region	`us-east-1`（MinIO 不严格校验）
Access Key	`root`
Secret Key	`{{REDACTED}}`
Use SSL	✅
Enable path style	✅（MinIO 必须）

5.2 挂载本地目录

1
2
3
4


Folder name: external-data
External storage: Local
Authentication: None
Configuration: /mnt/data

容器内 /mnt/data 可以 bind mount 到宿主机。

5.3 挂载 SFTP

1
2
3
4
5
6
7


Folder name: server-files
External storage: SFTP
Authentication: Username + Password
Host: sftp.example.com
Port: 22
Username: backup
Password: {{REDACTED}}

六、Office 协作

NextCloud 默认只能看 .docx / .xlsx，协作编辑需要装 OnlyOffice 或 Collabora。

6.1 部署 OnlyOffice 社区版

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


services:
 onlyoffice:
 image: onlyoffice/documentserver:latest
 container_name: nextcloud-onlyoffice
 restart: always
 ports:
 - "8080:80"
 volumes:
 - /home/docker/nextcloud/onlyoffice/data:/var/www/onlyoffice/Data
 - /home/docker/nextcloud/onlyoffice/logs:/var/log/onlyoffice

6.2 NextCloud 装 OnlyOffice Connector

应用市场搜 ONLYOFFICE → 装 → 配置：

1
2


ONLYOFFICE Docs 地址：http://onlyoffice:8080
密钥：{{ONLYOFFICE_SECRET}}

效果：

直接在 Web 端打开 .docx 编辑
多人实时协作（类似 Google Docs）
自动保存到 NextCloud

6.3 Collabora 替代方案

1
2
3
4
5
6


docker run -d --name collabora \
 -p 9980:9980 \
 -e aliasgroup1="https://cloud.example.com:443" \
 --restart always \
 --cap-add MKNOD \
 collabora/code

NextCloud 应用市场装 Collabora Online。

七、客户端

7.1 桌面端

Windows / macOS / Linux 都有官方客户端：NextCloud Desktop Client。

1
2
3
4
5


# Ubuntu
sudo apt install nextcloud-desktop

# macOS
# App Store 搜 "Nextcloud"

7.2 移动端

iOS / Android 装 NextCloud App，首次登录填自托管 URL。

7.3 同步文件夹

桌面客户端的"同步文件夹"功能完全可替代 OneDrive / Dropbox——

1
2
3
4


~/NextCloud
 ├─ Documents/
 ├─ Photos/
 └─ Projects/

每个文件夹双向同步，离线可用。

八、备份与恢复

8.1 备份脚本

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


#!/bin/bash
BACKUP_DIR=/backup/nextcloud-$(date +%Y%m%d)
mkdir -p $BACKUP_DIR

# 1. 停服（避免数据不一致）
docker stop nextcloud

# 2. 备份数据卷
tar czf $BACKUP_DIR/data.tar.gz /home/docker/nextcloud/data
tar czf $BACKUP_DIR/config.tar.gz /home/docker/nextcloud/config
tar czf $BACKUP_DIR/apps.tar.gz /home/docker/nextcloud/apps

# 3. 备份数据库
docker exec nextcloud-db mysqldump -u root -p{{DB_ROOT_PASS}} nextcloud > $BACKUP_DIR/db.sql

# 4. 启动
docker start nextcloud

echo "备份完成: $BACKUP_DIR"

8.2 恢复

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


# 1. 停服
docker stop nextcloud nextcloud-db

# 2. 恢复数据
tar xzf data.tar.gz -C /
tar xzf config.tar.gz -C /
tar xzf apps.tar.gz -C /

# 3. 恢复数据库
docker start nextcloud-db
sleep 10
docker exec -i nextcloud-db mysql -u root -p{{DB_ROOT_PASS}} nextcloud < db.sql

# 4. 启动 NextCloud
docker start nextcloud

8.3 自动备份到 OSS

1
2
3
4
5


# /usr/local/bin/nextcloud-backup.sh
#!/bin/bash
# ... 上面备份脚本
ossutil cp $BACKUP_DIR/data.tar.gz oss://backup-bucket/nextcloud/$(date +%Y%m%d)/
ossutil cp $BACKUP_DIR/db.sql oss://backup-bucket/nextcloud/$(date +%Y%m%d)/

1
2


# crontab
0 2 * * * /usr/local/bin/nextcloud-backup.sh

九、升级

9.1 小版本升级

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# 1. 停服
docker stop nextcloud

# 2. 备份
./backup.sh

# 3. 拉新镜像
docker pull nextcloud:25-apache

# 4. 删容器（数据卷不删）
docker rm nextcloud

# 5. 重新启动（同 docker-compose 启动）
docker-compose up -d nextcloud

NextCloud 自动跑升级脚本——首次访问会卡 30 秒到 5 分钟，这是正常升级过程。

9.2 跨大版本升级

NextCloud 不支持跨大版本直跳：

21 → 22 → 23 → 24 → 25（逐级升）
跳过中间的版本会卡在 “Update in progress”

生产推荐用 docker exec 手动跑升级：

1
2


docker exec -u www-data nextcloud php occ upgrade
docker exec -u www-data nextcloud php occ maintenance:mode --off

十、典型坑位

10.1 上传大于 2MB 文件失败

修复：

1
2
3
4


# php.ini
upload_max_filesize = 1024M
post_max_size = 1024M
memory_limit = 512M

Nginx 也要调：

1
2


client_max_body_size 1024M;
client_body_buffer_size 1024K;

10.2 反代后 URL 错误

症状：登录后跳到 http://192.168.x.x:8888/...（内网地址）。

修复：

1
2
3
4


// config/config.php
'trusted_proxies' => ['172.18.0.1'], // Nginx 容器的 IP
'overwriteprotocol' => 'https',
'overwritehost' => 'cloud.example.com',

10.3 性能差

修复：

上 Redis（memcache.distributed）
开 OPcache
改 cron 模式
文件用 S3 兼容存储（不直接放 NextCloud data 目录）

10.4 应用市场无法访问

症状：装应用时 504 / 502。

修复：

1
2
3
4
5
6


# 1. 加代理（如有）
docker exec -u root nextcloud bash -c "echo 'https' > /usr/local/etc/php/conf.d/curl-ca-bundle.ini"

# 2. 或手动下载 app
wget https://github.com/nextcloud/richdocuments/releases/download/v6.0.0/richdocuments.tar.gz
tar xzf richdocuments.tar.gz -C /home/docker/nextcloud/apps

十一、安全加固

11.1 强制 2FA

应用市场装 Two-Factor TOTP Provider → 后台 → 安全 → 强制 2FA。

11.2 防爆破

应用市场装 Brute-force protection：

1
2


最大失败次数：5
封禁时长：15 分钟

11.3 限制登录 IP

1
2
3
4
5
6


// config/config.php
'trusted_domains' => [
 'cloud.example.com',
 '192.168.1.100', // 内网访问
],
'allow_local_remote_servers' => true,

11.4 HTTPS 必须

Nginx 反代 + Let’s Encrypt：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


server {
 listen 443 ssl http2;
 server_name cloud.example.com;
 
 ssl_certificate /etc/nginx/ssl/cloud.example.com.fullchain.pem;
 ssl_certificate_key /etc/nginx/ssl/cloud.example.com.privkey.pem;
 
 client_max_body_size 0; # 不限上传大小
 
 location / {
 proxy_pass http://nextcloud:80;
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 }
}

十二、最佳实践清单

MySQL 而非 SQLite：20+ 用户必上
Redis 缓存：性能提升 50%+
cron 而非 AJAX：后台任务不卡前端
OPcache 必开：PHP 性能翻倍
HTTPS 强制：敏感数据加密
应用市场装常用 app：Calendar / Contacts / Tasks / Notes / Deck
OnlyOffice 协作：.docx / .xlsx 在线编辑
S3 后端：不要用本地 data 目录存大文件
定期备份：数据库 + 数据卷双备份

2024+ 视角补充

本文写于 2022-03，2024-2026 期间 NextCloud 关键演进：

NextCloud Hub 9 (NC 29)（2024-04）：Nextcloud Assistant（AI 助手内置，集成 LLaMA / OpenAI）；**白板（Whiteboard）**协作（类似 Miro）；Mail 客户端
NextCloud Hub 10 (NC 30)（2024-10）：Talk 视频通话重构（HBP / SFU 模式）；Office 协作性能优化（OnlyOffice 8.x）
NextCloud Hub 11 (NC 31)（2025-04）：性能 5x 提升（PHP 8.3 + Go 重构后端）；NextCloud Workflow 工作流引擎（无代码自动化）
NextCloud Hub 12 (NC 32)（2025-10）：AI 知识库 + 语义搜索（基于 pgvector / ElasticSearch 向量检索）；全屏编辑
替代品（2024+ 视角）：
- ownCloud Infinite Scale 5+（2024）：Go 重写——性能 10x 提升
- Seafile 12.x（团队大文件）
- Proxmox Backup Server 3+（家用 NAS / 备份）
- Immich 1.100+（AI 照片管理，2024+ 自托管最火）
- FileGator 7+（极简文件管理）
- Paperless-ngx 2.x（OCR + 文档管理）

实战建议（2025-2026 视角）：

家用 / 团队办公 → NextCloud Hub 11+ 仍是 2024-2026 国民首选
AI 集成 → NextCloud Hub 11+ + 本地 LLM（Ollama + Qwen3）是 2025+ 自托管 AI 助手稳态
K8s 部署 → NextCloud Kubernetes Operator（2024 GA）生产可用
AI 照片管理 → Immich 1.100+（2024-2025 自托管人气增长最快）
大文件 → Seafile 12.x Pro 仍是首选

下一步

想看 Seafile 私有云盘（高性能文件同步）→ Seafile 私有云盘
想看 MinIO 对象存储实战（S3 兼容对象存储）→ MinIO 对象存储实战
想看 FTP 服务自托管（vsftpd / pure-ftpd）→ FTP 服务自托管
想看 Cloudreve 网盘（多存储后端）→ Cloudreve 网盘

企业 VPN 与代理自托管：OpenVPN 与 V2Ray 部署实战

Wed, 15 Dec 2021 00:00:00 +0800

自建 VPN / 代理是企业内网穿透、跨地域开发、远程办公的高频需求。本篇把两条主流路线整理清楚：基于 kylemanna/openvpn 的 OpenVPN 方案（10 分钟跑通），以及基于 v2fly/v2fly-core 的 V2Ray 方案（更现代、抗检测更强）。

说明：本文仅讨论技术原理与自托管方法。部署代理服务请遵守所在国家/地区法律法规——中国大陆、俄罗斯、伊朗、北朝、土库曼斯坦、白俄罗斯、伊拉克、缅甸等地区对代理工具有明确限制，部署前请评估合规风险。

阅读对象：需要为团队搭建远程办公网络、跨地域内网访问的运维 / 后端工程师 覆盖范围：kylemanna/openvpn 完整部署流程 + 多用户共享配置 + V2Ray Docker 部署 + 配置文件详解 + 客户端使用

一、OpenVPN vs V2Ray 选型

维度	OpenVPN	V2Ray
协议	SSL/TLS（基于 OpenSSL）	自研 VMess / VLESS（可套 TLS）
抗检测	较易被 DPI 识别	支持 mKCP / WebSocket / HTTP/2 伪装
速度	快（TLS 直连）	略慢（多一层封装）
配置复杂度	简单（脚本化）	中等（要写 JSON）
客户端支持	全平台（OpenVPN Connect）	全平台（v2rayN / v2rayNG / Qv2ray）
企业内网适用	✅ 首选	适合特殊场景

默认推荐 OpenVPN——稳定、客户端完善、企业内网审计方便。V2Ray 适合需要"看起来像正常 HTTPS"的场景。

二、OpenVPN 部署（kylemanna/openvpn）

2.1 一键启动

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# 1. 拉镜像
docker pull kylemanna/openvpn

# 2. 创建配置卷
OVPN_DATA="ovpn-data"
docker volume create --name $OVPN_DATA

# 3. 生成服务端配置（替换为你的公网 IP）
docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm \
 kylemanna/openvpn \
 ovpn_genconfig -u udp://vpn.example.com

# 4. 初始化 PKI（CA 证书）
docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn \
 ovpn_initpki

ovpn_initpki 交互式提示：

1
2
3
4
5


Confirm removal: yes # 输入 yes
Enter PEM pass phrase: # 输入 CA 私钥密码（如 {{REDACTED}}）
Verifying - Enter PEM pass phrase: # 重新输入
Common Name (eg: your user, host, or server name) [Easy-RSA CA]: # 直接回车
Enter pass phrase for /etc/openvpn/pki/private/ca.key: # 输入刚才的密码

2.2 启动 OpenVPN 服务

1
2
3
4
5


docker run -d --name openvpn --restart=always \
 -v $OVPN_DATA:/etc/openvpn \
 -p 1194:1194/udp \
 --cap-add=NET_ADMIN \
 kylemanna/openvpn

--cap-add=NET_ADMIN 必须加——OpenVPN 需要修改网络接口，Docker 默认不授予这个能力。

2.3 签发客户端证书

1
2
3
4


# 给用户 alice 签证书（nopass 表示不加密私钥）
docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn \
 easyrsa build-client-full alice nopass

nopass 适合脚本化场景——客户端不用每次输密码。生产推荐每个用户独立密码：

1
2
3


docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn \
 easyrsa build-client-full alice # 去掉 nopass，会交互式要求密码

2.4 导出客户端 .ovpn 文件

1
2
3


docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm \
 kylemanna/openvpn \
 ovpn_getclient alice > alice.ovpn

把 alice.ovpn 拷贝给用户，用户用 OpenVPN Connect 导入即可连接。

客户端下载：

Windows: https://openvpn.net/client/
macOS: Tunnelblick
iOS/Android: App Store / Google Play 搜 “OpenVPN Connect”

2.5 多人共用：开启 duplicate-cn

默认配置每个证书只能 1 个客户端在线。多人共用要开 duplicate-cn：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 拷贝配置到本地
docker cp openvpn:/etc/openvpn/openvpn.conf ./

# 2. 在最后一行加
echo "duplicate-cn" >> openvpn.conf

# 3. 拷回去
docker cp ./openvpn.conf openvpn:/etc/openvpn/

# 4. 重启
docker restart openvpn

2.6 增删用户脚本

加用户（add_user.sh）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


#!/bin/bash
OVPN_DATA="ovpn-data"
read -p "请输入用户名: " NAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn easyrsa build-client-full $NAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm \
 kylemanna/openvpn ovpn_getclient $NAME > "/root/${NAME}.ovpn"

docker restart openvpn
echo "客户端配置已生成: /root/${NAME}.ovpn"

删用户（del_user.sh）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


#!/bin/bash
OVPN_DATA="ovpn-data"
read -p "请输入要删除的用户名: " DNAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn easyrsa revoke $DNAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn easyrsa gen-crl

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn rm -f /etc/openvpn/pki/reqs/${DNAME}.req

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn rm -f /etc/openvpn/pki/private/${DNAME}.key

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn rm -f /etc/openvpn/pki/issued/${DNAME}.crt

docker restart openvpn

2.7 客户端使用

Linux 命令行：

1
2


sudo apt install openvpn
openvpn --config alice.ovpn

看到 Initialization Sequence Completed 就连接成功了。

三、V2Ray 部署（v2fly/v2fly-core）

3.1 服务端部署

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


# 1. 拉镜像
docker pull v2fly/v2fly-core:v4.45.2

# 2. 准备配置
mkdir -p /home/v2ray
cat > /home/v2ray/config.json <<'EOF'
{
 "inbounds": [{
 "port": 443,
 "protocol": "vless",
 "settings": {
 "clients": [{
 "id": "00000000-0000-0000-0000-000000000000",
 "level": 0
 }],
 "decryption": "none"
 },
 "streamSettings": {
 "network": "tcp",
 "security": "none"
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "tag": "direct"
 }]
}
EOF

# 3. 启动（用 host 网络）
docker run -d --name v2ray --network host \
 -v /home/v2ray/config.json:/etc/v2ray/config.json \
 v2fly/v2fly-core:v4.45.2

config.json 是 V2Ray 的核心——inbounds 定义接入协议，outbounds 定义出口规则。上面是最简配置：TCP + VLESS + 无加密——生产应该加 TLS。

3.2 完整 VLESS + WebSocket + TLS 配置

最常见的"看起来像正常 HTTPS"配置：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


{
 "inbounds": [{
 "port": 443,
 "protocol": "vless",
 "settings": {
 "clients": [{
 "id": "{{UUID}}",
 "level": 0
 }],
 "decryption": "none"
 },
 "streamSettings": {
 "network": "ws",
 "wsSettings": {
 "path": "/vless"
 },
 "security": "tls",
 "tlsSettings": {
 "certificates": [{
 "certificateFile": "/etc/v2ray/tls/fullchain.pem",
 "keyFile": "/etc/v2ray/tls/privkey.pem"
 }]
 }
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "tag": "direct"
 }]
}

关键点：

{{UUID}} 用 cat /proc/sys/kernel/random/uuid 生成
/vless 路径和 CDN 转发配合使用，让流量看起来像 WebSocket 网站
TLS 证书用 Let’s Encrypt 免费签发

3.3 客户端配置（v2rayN / v2rayNG）

Windows 客户端 v2rayN：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


{
 "v": "2",
 "ps": "my-v2ray-server",
 "add": "vpn.example.com",
 "port": "443",
 "id": "{{UUID}}",
 "aid": "0",
 "net": "ws",
 "type": "none",
 "host": "",
 "path": "/vless",
 "tls": "tls"
}

Android 客户端 v2rayNG：扫描 v2rayN 导出的二维码即可。

macOS 客户端 Qv2ray 或 V2RayXS。

四、容器内启用代理

部署好代理后，业务容器怎么用？在 Docker 中给容器设代理：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


# 1. 创建代理容器专用的 network
docker network create \
 --driver bridge \
 --subnet 10.10.0.0/24 \
 proxy-net

# 2. V2Ray 容器加入
docker run -d --name v2ray \
 --network proxy-net \
 --ip 10.10.0.2 \
 v2fly/v2fly-core

# 3. 业务容器也加入，配置走代理
docker run -d --name myapp \
 --network proxy-net \
 -e http_proxy=http://10.10.0.2:10809 \
 -e https_proxy=http://10.10.0.2:10809 \
 myapp:latest

Linux 全局代理：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 临时
export ALL_PROXY=socks5://127.0.0.1:1080
export http_proxy="socks5://127.0.0.1:1080"
export https_proxy="socks5://127.0.0.1:1080"

# 永久（写入 /etc/profile）
cat >> /etc/profile <<'EOF'
export ALL_PROXY=socks5://127.0.0.1:1080
export http_proxy="socks5://127.0.0.1:1080"
export https_proxy="socks5://127.0.0.1:1080"
EOF
source /etc/profile

五、安全加固

5.1 OpenVPN 加固清单

不要开 duplicate-cn 在生产——审计上每个用户独立证书更安全
关闭 comp-lzo：VORACLE 攻击利用 LZO 压缩解密的侧信道
强制 TLS 1.2+：

1
2
3
4


# openvpn.conf 添加
tls-version-min 1.2
auth SHA256
cipher AES-256-GCM

客户端证书有效期 1 年：easyrsa 默认 825 天，生产改成 365 天

5.2 V2Ray 加固清单

必须用 UUID 不用固定密码：cat /proc/sys/kernel/random/uuid
alterId 必须 0：V2Ray 5.x 已废弃 alterId，旧配置 alterId > 0 有被识别风险
开启 fallback：Nginx 同机部署，让 443 同时服务正常网站和 V2Ray

1
2
3
4
5
6
7
8


"streamSettings": {
 "network": "tcp",
 "security": "tls",
 "tlsSettings": {
 "alpn": ["h2", "http/1.1"],
 "certificates": [...]
 }
}

六、典型坑位

6.1 OpenVPN 连接后无法访问内网

症状：VPN 连上了，但 ping 不通内网服务器。

原因：服务端没开启 IP 转发或 NAT。

修复：

1
2
3
4


# 在 openvpn.conf 添加
push "route 10.0.0.0 255.255.255.0"
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"

并确保宿主机：

1

sysctl -w net.ipv4.ip_forward=1

6.2 V2Ray 启动报 “x509: certificate signed by unknown authority”

症状：V2Ray 启动失败，TLS 握手错误。

修复：

证书路径写对——/etc/v2ray/tls/fullchain.pem（不是 cert.pem）
fullchain.pem 是证书链（包含中间 CA），cert.pem 只有叶子证书
用 openssl x509 -in fullchain.pem -text -noout 检查是否完整

6.3 客户端频繁断连

症状：V2Ray 用 30 分钟断一次。

修复：

开启 mux（多路复用）：

1
2
3
4
5
6


"streamSettings": {
 "mux": {
 "enabled": true,
 "concurrency": 8
 }
}

或换 WebSocket + CDN（Cloudflare 免费层支持）

七、监控与日志

OpenVPN 状态查询：

1

docker exec openvpn tail -f /var/log/openvpn/status.log

输出：

1
2
3
4
5
6
7


OpenVPN CLIENT LIST
Updated,Fri May 21 05:02:01 2021
Common Name,Real Address,Bytes Received,Bytes Sent,Connected Since
alice,1.2.3.4:54321,12345,67890,Fri May 21 04:30:00 2021
bob,5.6.7.8:12345,50000,40000,Fri May 21 03:00:00 2021
ROUTING TABLE
...

V2Ray 接入 Prometheus：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


"stats": {},
"policy": {
 "levels": {
 "0": {
 "statsUserUplink": true,
 "statsUserDownlink": true
 }
 },
"api": {
 "tag": "api",
 "services": ["StatsService"]
},
"routing": {
 "rules": [{
 "inboundTag": ["api"],
 "outboundTag": "api",
 "type": "field"
 }]
}

然后用 v2ray-exporter 抓取 metrics。

八、卸载清理

1
2
3
4
5
6
7
8


# OpenVPN
docker rm -f openvpn
docker volume rm ovpn-data
rm -rf /home/docker/openvpn

# V2Ray
docker rm -f v2ray
rm -rf /home/v2ray

九、选型决策树

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


需要稳定、易审计、客户端完善？
└─ 是 → OpenVPN（kylemanna/openvpn）

需要抗检测、套 CDN、跨云？
└─ 是 → V2Ray（v2fly/v2fly-core）

需要浏览器插件直连（无需客户端）？
└─ 是 → Trojan / Shadowsocks（本文不展开）

需要 L3 VPN（路由全走 VPN）？
└─ 是 → WireGuard（性能最强，但配置稍复杂）

2024+ 视角补充

本文写于 2021-12，2024-2026 期间 VPN / 代理生态关键演进：

WireGuard 1.0+（2020 合并入 Linux 内核，2024+ 全面成熟）：比 OpenVPN 快 3-4x、配置极简、跨平台——2024+ 几乎所有自建 VPN 场景的首选
OpenVPN 2.6+（2023-2024）：WireGuard 模式化（不再强推 OpenVPN 模式）、DCO 内核加速、性能与稳定性提升
Tailscale / Headscale 1.50+：基于 WireGuard 的零配置 VPN——Headscale 是开源自托管版本，异地组网神器，2024-2026 替代 OpenVPN 的主流选择
NetBird 0.x（2023-2025）：Headscale 的同类竞品，自托管 + Web UI 体验更好
OpenZiti 1.x（2023-2024）：零信任网络（Zero Trust） 开源实现，比传统 VPN 更安全
V2Ray / Xray 1.8+（抗检测代理）：Vision / REALITY 等新协议——抗 DPI 能力 2024+ 大幅提升
sing-box 1.8+（2023-2025）：统一 SOCKS5 / HTTP / TUIC / Hysteria2 / ShadowTLS——V2Ray 体系更现代的替代
Cloudflare WARP + Zero Trust（2024+）：企业级零信任——小团队不折腾 VPN 的最佳选择

实战建议（2025-2026 视角）：

企业内网 VPN → WireGuard（首选）或 Headscale / NetBird（异地多机房）
远程办公 / 零信任 → Cloudflare Zero Trust / Tailscale——新项目首选
跨境 / 抗检测 → sing-box + Hysteria2（V2Ray 体系已被淘汰）
传统 OpenVPN 集群 → 老场景保留，但新项目不要选

合规提醒（2026 视角）：本文中 V2Ray 部分仍受合规限制（已在原文标注）。2024+ 主流趋势是"零信任 + 内网 SaaS 化"——VPN 需求被 Cloudflare Access / Okta / Azure AD Application Proxy 等方案部分替代。

下一步

想看 站点与博客自托管（WordPress / WVP 视频监控）→ 站点与博客自托管
想看 Watchtower 容器自动更新（守护所有容器的升级）→ Watchtower 容器自动更新
想看 Vaultwarden 密码管理（Bitwarden 自托管）→ Vaultwarden 密码管理

Seafile 私有云盘：高性能文件同步 + Office 预览 + 团队协作

Wed, 15 Sep 2021 00:00:00 +0800

Seafile 是国内开发的开源网盘，核心优势是大文件同步速度和分块存储。本篇把 Docker 化部署、数据库对接、Office 预览、团队协作整理清楚。

阅读对象：需要自建大文件存储 / 团队文件协作的运维 / 后端 覆盖范围：Seafile CE 部署 + MariaDB + Memcached + Office 预览（LibreOffice）+ 加密存储 + 多用户隔离 + 备份

一、Seafile vs NextCloud

维度	Seafile	NextCloud
文件分块存储	✅ 内置（默认 8MB 块）	❌ 整体存储
大文件同步	极快（增量分块）	一般
同步算法	自研 BitTorrent-like	rsync 类
数据库	SQLite / MySQL / PostgreSQL	SQLite / MySQL / PostgreSQL
Office 协作	✅ 预览（无在线编辑）	✅ OnlyOffice 在线编辑
视频通话	❌	✅ NextCloud Talk
应用市场	较少	丰富
性能	高	中等
适合场景	团队文件、代码库、设计稿	家用云盘、文档协作

When to use Seafile：

团队 / 公司需要同步大文件（GB 级别设计稿、视频素材、模型文件）

替代 SMB / NFS（多端实时同步）

不需要视频通话 / 应用市场等"花哨"功能

高安全要求（支持端到端加密）

二、Seafile 架构

1
2
3
4
5
6
7


Seafile Server = 3 个核心组件
 ├─ Seafile Server（核心，处理文件分块、同步、分享）
 ├─ Seahub（Django Web 前端）
 └─ Memcached（缓存）

数据库 = 1 个
 └─ MariaDB / MySQL（存元数据：用户、库、权限、版本）

存储分层：

文件系统：/shared/seafile/（存储文件分块 + 库）
数据库：用户、库元数据、权限、版本历史
Memcached：Seahub session 缓存

三、docker-compose 完整部署

3.1 完整配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76


# How to use:
# login_user=admin login_pass=admin123 db_pass={{DB_PASS}} uid=1000 gid=1000 docker-compose up -d
# docker-compose down

version: '2.1'
services:
 mariadb:
 image: mariadb:10.1
 container_name: SEAFILE_DB
 environment:
 - MYSQL_ROOT_PASSWORD={{DB_ROOT_PASS}}
 - MYSQL_LOG_CONSOLE=true
 volumes:
 - ./mariadb/data:/var/lib/mysql
 networks:
 vpn:
 ipv4_address: 172.168.29.2
 healthcheck:
 test: ["CMD", "mysqladmin", "ping", "-h", "localhost"]
 timeout: 20s
 retries: 10

 memcached:
 image: memcached:1.5.6
 container_name: SEAFILE_CACHE
 entrypoint: memcached -m 256
 depends_on:
 mariadb:
 condition: service_healthy
 networks:
 vpn:
 ipv4_address: 172.168.29.3

 seafile:
 image: seafileltd/seafile-mc:latest
 hostname: seafile
 container_name: SEAFILE_DOCKER
 ports:
 - "80:80" # 不要改，否则无法下载客户端
 volumes:
 - ./seafile/data:/shared
 environment:
 - DB_HOST=mariadb
 - DB_ROOT_PASSWD={{DB_ROOT_PASS}}
 - TIME_ZONE=Asia/Shanghai
 - SEAFILE_ADMIN_EMAIL=admin@example.com
 - SEAFILE_ADMIN_PASSWORD={{ADMIN_PASS}}
 - SEAFILE_SERVER_LETSENCRYPT=false
 - SEAFILE_SERVER_HOSTNAME=172.168.29.4
 depends_on:
 - memcached
 networks:
 vpn:
 ipv4_address: 172.168.29.4

 seafile-office-preview:
 image: seafileltd/office-preview:latest
 container_name: seafile-office-preview
 restart: always
 ports:
 - "8089:8089"
 command: bash start.sh
 volumes:
 - ./office-preview/shared:/shared
 networks:
 vpn:
 ipv4_address: 172.168.29.5

networks:
 vpn:
 driver: bridge
 ipam:
 driver: default
 config:
 - subnet: 172.168.29.0/24
 gateway: 172.168.29.1

关键环境变量：

DB_HOST=mariadb：Docker 网络内 hostname
TIME_ZONE=Asia/Shanghai：必须设——否则所有时间戳差 8 小时
SEAFILE_SERVER_LETSENCRYPT=false：内网无需 HTTPS
SEAFILE_SERVER_HOSTNAME：用户访问的域名/IP

3.2 一键部署脚本

社区版提供了一个一键部署脚本：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# 1. 克隆仓库
git clone https://github.com/EXP-Tools/seafile-docker /usr/local/seafile-docker
cd /usr/local/seafile-docker
chmod u+x *.sh

# 2. 构建并启动
./run.sh -u admin -p {{ADMIN_PASS}}

# 3. 访问
http://127.0.0.1:80

四、Office 文档预览

Seafile 默认只能预览 .pdf / .png / .mp4，要预览 .docx / .xlsx / .pptx 需要 LibreOffice 容器。

4.1 启动 Office Preview

docker-compose 已经包含 seafile-office-preview 服务。启动：

1

docker-compose up -d seafile-office-preview

4.2 配置 Seafile

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 进入容器
docker exec -it seafile bash

# 2. 修改 seahub_settings.py
vim /shared/seafile/conf/seahub_settings.py

# 3. 添加
OFFICE_CONVERTOR_ROOT='http://172.168.29.5:8089'

# 4. 重启 Seafile
docker-compose restart seafile

4.3 测试

上传一个 test.docx → Web 端点击 → 看到转换后的 PDF 预览。

支持格式：

Word：.docx / .doc
Excel：.xlsx / .xls
PowerPoint：.pptx / .ppt
文本：.txt / .md

五、用户与权限

5.1 创建用户（管理员后台）

Web → 右上角头像 → 系统管理 → 用户 → 添加用户：

1
2
3
4


用户名：alice
邮箱：alice@example.com
密码：{{USER_PASS}}
角色：普通用户

5.2 创建用户组

系统管理 → 组 → 新建组：

1
2


组名：研发部
成员：alice, bob, charlie

5.3 库（Library）权限

Seafile 的核心是"库"——每个库是独立的同步单元：

权限	用途
读	只读
读 / 写	可修改
管理员	可管理成员
云预览	浏览器预览（默认开）

5.4 加密库

Seafile 支持端到端加密库——服务端也看不到内容。

1
2
3
4


1. 创建库时勾选 "加密"
2. 设置库密码
3. 客户端需要输入密码才能同步
4. 忘记密码 → 无法恢复（设计如此）

使用场景：高度敏感数据（薪资、客户名单）。

六、客户端

6.1 桌面端

1
2
3
4
5


# Windows / macOS
# https://www.seafile.com/en/download/

# Ubuntu
sudo apt install seafile-gui

客户端特性：

双向同步（修改立即上传）
离线访问（本地有副本）
冲突解决（自动 / 手动）
按需同步（不占空间）

6.2 移动端

iOS / Android 装 Seafile 官方 App。

6.3 同步模式

模式	行为
双向同步	任何修改立即同步
仅下载	远端可改，本地只读
不下载（按需）	云端占空间，本地不占

七、文件分块与性能

7.1 分块原理

Seafile 把文件切成 8MB 块存储，不同文件的相同块去重——

1
2
3
4
5
6
7
8
9


GB 级视频 A 切割：
 block-1 (8MB) [hash=abc]
 block-2 (8MB) [hash=def]
 block-3 (8MB) [hash=ghi]

相同视频 B 切割（用户已下载 A）：
 block-1 (8MB) [hash=abc] # 秒传（hash 已存在）
 block-2 (8MB) [hash=def] # 秒传
 block-3 (8MB) [hash=xyz] # 需上传（不同块）

实战效果：

团队共享相同素材（设计稿、培训视频）—— 50%+ 节省存储
多版本文件—— 只存 diff
增量同步—— 断点续传

7.2 大文件同步技巧

1
2
3
4


# 1. 调整块大小（重启生效）
# seafile.conf
[block_backend]
# 默认 8MB，可改 4MB（更细粒度去重）或 16MB（更快）

1
2
3
4


# 2. 限制同步并发（避免大文件上传卡死）
# seafile.conf
[client]
# 限制每文件最大 100 MB/s 上传

八、备份策略

8.1 数据卷备份

1
2
3
4
5
6
7
8


# 1. 停服
docker-compose stop

# 2. 备份
tar czf seafile-backup-$(date +%Y%m%d).tar.gz ./seafile/data ./mariadb/data

# 3. 启动
docker-compose start

8.2 数据库单独备份

1
2
3
4
5
6


# 逻辑备份
docker exec SEAFILE_DB mysqldump -u root -p{{DB_ROOT_PASS}} --databases \
 seafile_ccnet seafile_seafile seafile_seahub > seafile-db-$(date +%Y%m%d).sql

# 物理备份（更快）
docker exec SEAFILE_DB mariabackup --backup --target-dir=/backup/$(date +%Y%m%d)

8.3 加密库不可备份

重要警告：加密库的密码不在数据库——忘记密码 = 数据永久丢失。

应急措施：

密码用 1Password / Vaultwarden 统一管理
多个管理员互为备份
严禁用脑记

九、升级

9.1 小版本升级

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 备份
./backup.sh

# 2. 拉新镜像
docker pull seafileltd/seafile-mc:latest

# 3. 停服
docker-compose stop seafile

# 4. 启动新版本
docker-compose up -d seafile

9.2 跨大版本升级

Seafile 跨大版本（如 8 → 9）需要数据库迁移：

1
2
3
4
5
6
7
8


# 1. 进入容器
docker exec -it seafile bash

# 2. 跑升级脚本
seafile-server/upgrade/upgrade_9.0.sh

# 3. 重启服务
seahub.sh restart

注意：跨版本升级必须逐级（8.0 → 8.1 → 9.0），不能跳。

十、典型坑位

10.1 80 端口已占用

修复：

1
2
3


# docker-compose.yml
ports:
 - "8080:80" # 改成 8080

然后访问 http://<IP>:8080——但 Seafile 客户端 URL 也要带 :8080。

10.2 客户端下载卡 0%

原因：80 端口是默认值，改了端口客户端连不上。

修复：恢复 80 端口；或前端 Nginx 反代隐藏端口。

10.3 登录提示 “Database is not initialized”

修复：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


# 进入容器
docker exec -it seafile bash

# 手动初始化
seafile-server/setup-seafile-mysql.sh auto \
 -n seafile \
 -i 172.168.29.4 \
 -p 80 \
 -d /shared/seafile/data \
 -e 0 \
 -P 8082 \
 -r / \
 -u https://172.168.29.4/seafhttp \
 -R /seafile \
 -q {{DB_PASS}}

10.4 Office 预览失败

修复：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 1. 检查 office-preview 容器
docker logs seafile-office-preview

# 2. 确认端口可达
curl http://172.168.29.5:8089

# 3. 重新配置
vim /shared/seafile/conf/seahub_settings.py
OFFICE_CONVERTOR_ROOT='http://172.168.29.5:8089'

# 4. 重启
docker-compose restart seafile

十一、安全加固

11.1 数据库加固

1
2
3
4
5


# 用专用用户（不是 root）
CREATE USER 'seafile'@'%' IDENTIFIED BY '{{DB_PASS}}';
GRANT ALL ON seafile_ccnet.* TO 'seafile'@'%';
GRANT ALL ON seafile_seafile.* TO 'seafile'@'%';
GRANT ALL ON seafile_seahub.* TO 'seafile'@'%';

11.2 强制 HTTPS

Nginx 反代：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


server {
 listen 80;
 server_name cloud.example.com;
 return 301 https://$server_name$request_uri;
}

server {
 listen 443 ssl http2;
 server_name cloud.example.com;
 
 ssl_certificate /etc/nginx/ssl/cloud.example.com.fullchain.pem;
 ssl_certificate_key /etc/nginx/ssl/cloud.example.com.privkey.pem;
 
 client_max_body_size 0; # Seafile 不限大小
 
 location / {
 proxy_pass http://seafile:80;
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 }
}

11.3 2FA

系统管理 → 设置 → 用户 → 强制二步验证。

11.4 防爆破

1
2
3
4
5
6
7


# 容器内
vim /shared/seafile/conf/seahub_settings.py

# 添加
ENABLE_LOGIN_ATTEMPT_LIMIT = True
LOGIN_ATTEMPT_LIMIT = 5
LOGIN_ATTEMPT_LOCKOUT_DURATION = 300 # 5 分钟

十二、最佳实践清单

MariaDB 而非 SQLite：20+ 用户必上
Memcached 必开：性能提升 5x
文件按需同步：本地不占空间
加密库谨慎用：密码丢了数据没了
块大小 8MB 默认：够用
Nginx 反代：隐藏 Seafile 真实端口
HTTPS 强制：登录 / 同步都加密
定期备份数据库：库 / 用户 / 权限易丢
大文件用分块同步：GB 级别秒级同步

2024+ 视角补充

本文写于 2021-09，2024-2026 期间 Seafile 关键演进：

Seafile 11.x（2024-Q3）：Python 3.11+ 全面；SeaDoc 协同编辑增强（基于 OnlyOffice 内核）；AI 智能分类（基于文件内容的自动打标）
Seafile 12.x（2025-Q1）：原生 ARM64 支持；Seafile Search 2.0（基于 Elasticsearch 8）；Knowledge Graph 内置（团队知识图谱）
SeaDoc 实时协作（2024+ GA）：类似 Notion / 飞书文档的块编辑体验——Seafile Pro / 企业版专属
AI 集成：2025 起 Seafile Pro 集成 LLM 智能问答——对团队文件做 RAG 检索问答
替代品 / 竞品（2024+ 视角）：
- NextCloud 28+（2024）：仍是开源网盘国民首选——应用市场最丰富
- ownCloud Infinite Scale 5+（2024）：Go 重写版本，性能 / 扩展性大幅提升
- FileCloud 22+（2024）：商业网盘，审计 / 合规强
- Immich 1.100+（AI 照片管理）——家用人气暴涨
- Synology Drive / Photos（NAS 自带）

实战建议（2025-2026 视角）：

大文件 / 团队文件协作 → Seafile 12.x Pro 仍是首选（分块同步、加密库）
办公协作 / 文档 → NextCloud 28+ + OnlyOffice / Collabora 更全
家用 NAS → Immich（照片）+ Synology Drive（文件）——比 Seafile 更易用
AI 知识库 → Seafile 12.x Pro 的 RAG + LLM 是 2025+ 趋势，但NextCloud + AnythingLLM 也可达到类似效果

下一步

想看 NextCloud 网盘自托管（家用云盘 + Office 协作）→ NextCloud 网盘自托管
想看 MinIO 对象存储实战（S3 兼容对象存储）→ MinIO 对象存储实战
想看 FTP 服务自托管（vsftpd / pure-ftpd）→ FTP 服务自托管
想看 Cloudreve 网盘（多存储后端）→ Cloudreve 网盘