Unraid 通过 Nginx 加速 Docker pull 及 Apps 应用下载速度 & 解决插件页面加载时间过长

Unraid 是一个由 Lime Technology, Inc. 开发的买断制家庭 NAS 系统。因其活跃的社区支持、美观易用的WebUI、相比 RAID 更适合家庭 NAS 的奇偶校验保护，在很早之前就受到了大量玩家的喜爱，包括 Linus Media Group 的 Linus 在 LTT 的不少项目中都介绍、使用了 Unraid ，国内 NAS 玩家圈中也有小范围关于 Unraid 的介绍。

自从 Unraid 6.9 版本添加了多国语言、支持了简体中文之后，在国内 NAS 玩家中的用户量逐渐增长。

但众所周知，Unraid 系统安装插件、下载 Docker 镜像、检查更新等各项功能都依赖良好的网络连接，受限于网络环境，国内玩家常常面临下载速度慢的问题。并且，Unraid 也没有办法方便地设置代理，在社区中相关的问题也因需求不足，大多没有下文。

目前对于这种难以设置代理的设备，常见的方案是在网关设置透明代理，或利用软路由、旁路由的相关插件。

对于不想折腾网关的朋友，本文将介绍如何通过 Nginx，实现加速 Docker 及 Apps 的方法。

Unraid WebUI 插件页加载时间长的原因和解决方案

有部分用户可能会注意到，在 Unraid WebUI 进入插件页时，每次都需要等待很久才能加载完成，且安装的插件数量越多，加载时间越久。

这是因为，Unraid 默认每次进入插件页时，都会对所有插件检查更新，检查更新需要访问 raw.githubusercontent.com，若恰逢网络环境不佳，则可能长时间无法完成。

要解决这个问题，可以简单通过关闭每次的自动检查更新，在有需要的时候自行点击检查更新。

如果想通过代理彻底解决网络连接问题，请继续往下看。（请务必全文浏览后再进行操作）

方法一：在 VPS 上配置 Nginx 通过 SNI 分流转发流量

通过 Nginx 加速有两种操作方法

直接在你拥有的 VPS 上配置 Nginx 通过 SNI 分流转发流量
在 Unraid 中配置 Nginx 搭配 socat 及自签名证书通过 HTTP 代理转发流量

方法一需要：一台你拥有 root 权限的、到你本地 NAS 线路优良的 VPS，相关 Nginx 知识。

方法一的流量路径为：Unraid 系统 → | → VPS 上的 Nginx → 实际访问网站；在这之中，Nginx 仅对 TLS 流量进行转发，不会进行加密解密，配置较为简单。

方法二需要：一个部署在本地的、可通过 HTTP 传入连接的代理工具，相关 Nginx 知识，相关 OpenSSL 知识。

方法二的流量路径为：Unraid 系统 → Nginx → socat → HTTP 代理入 → | → HTTP 代理出 → 实际访问网站；在这之中，Nginx 需要建立两段 TLS 连接，需要自签名证书。

首先说明为什么会有两种方法，实际上，笔者先想到的是方法一，但在操作中发现，raw.githubusercontent.com 因为 SNI 信息中包含 GitHub 关键字，连接质量会受到劣化，且 VPS 的 IP 段常常会有人扫描，有被偷流量的可能，故在方法一的基础上进一步改出了方法二。

所以，方法一只适合加速 Docker 不适合加速 GitHub，在这一节简单介绍，不做推荐，如果使用该方法，请密切关注 VPS 的流量使用情况，谨防流量盗贼。

第一步：在 VPS 上安装 Docker

直接通过系统包管理器安装 Nginx 可能不包含需要用到的 ngx_stream_ssl_preread_module 模块，为了避免自行编译 Nginx 的复杂，用到 Docker。

已有 Docker 或编译好的 Nginx 可跳过。以下命令均以 Ubuntu 系统 root 用户下操作为例。

# 更新软件包索引
apt update
# 安装必要软件包
apt install apt-transport-https ca-certificates curl gnupg lsb-release

# 添加 Docker 官方 GPG key
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
# 添加稳定版 Docker 软件源
echo "deb [arch=amd64 signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 安装 Docker
apt update
apt install docker-ce docker-ce-cli containerd.io

# 安装成功则输出版本号
docker -v

第二步：在 Docker 中安装 Nginx

用到 linuxserver/nginx 镜像，已安装可跳过。

# 拉取镜像
docker pull linuxserver/nginx
# 创建容器 (/path/to/config 替换为你喜欢的配置文件存放路径)
docker run -d --name="nginx" -e PUID="1000" -e PGID="1000" -e TZ="Asia/Shanghai" -v /path/to/config:/config --net="host" --restart=always linuxserver/nginx

第三步：配置 Nginx

找到 Nginx 的配置文件（上例中为 /path/to/config/nginx/nginx.conf ），在 http 块前添加以下内容。

stream {
	map $ssl_preread_server_name $backend_pool {
		example.com				127.0.0.1:6443;
		
		#raw.githubusercontent.com		raw.githubusercontent.com:443;
		~^(?<ns1>.+).amazonaws.com		$ns1.amazonaws.com:443;
		
		hub.docker.com				hub.docker.com:443;
		docker.io				docker.io:443;
		~^(?<ns1>.+).docker.io			$ns1.docker.io:443;
		~^(?<ns1>.+).hub.docker.com		$ns1.hub.docker.com:443;
		
		unraid.net				unraid.net:443;
		~^(?<ns1>.+).unraid.net			$ns1.unraid.net:443;
		lime-technology.com			lime-technology.com:443;
		~^(?<ns1>.+).lime-technology.com	$ns1.lime-technology.com:443;
		
		default					block;
	}
	
	upstream block {
		server 127.0.0.1:1;
	}
	
	server {
		listen 443 reuseport;
		ssl_preread on;
		resolver 208.67.222.222;
		proxy_pass $backend_pool;
		proxy_connect_timeout 15s;
		proxy_timeout 15s;
		proxy_next_upstream_timeout 15s;
	}
}

map $ssl_preread_server_name $backend_pool 将读取 SNI 中的 Server Name 并映射到对应后端，如果你在 Nginx 中已经部署有其他 HTTPS 网站，可以让你的它监听另一个端口（如上例中的 6443，该端口无需暴露在公网），然后修改 example.com 为你的网站域名，即可不影响原有网站。

resolver 使用的是 Unraid 官方推荐的 DNS，你也可以更改为如 8.8.8.8 等其他可用 DNS。

# 重启 Nginx 容器使配置生效
docker restart nginx

有关 Nginx 的其他配置问题，本文不做详细介绍。

第四步：修改 Unraid 中的 hosts

让 Docker 相关地址解析到你的 VPS IP 最简单的方法是直接修改 hosts，Unraid 的 hosts 文件在 /etc/hosts，修改后应该是立即生效的，注意先备份原 hosts 文件。以下列表供参考，0.0.0.0 替换为你 VPS 的 IP 地址。

127.0.0.1 UNRAID localhost

0.0.0.0	s3.amazonaws.com
0.0.0.0	unraid.net
0.0.0.0	forums.unraid.net
0.0.0.0	wiki.unraid.net
0.0.0.0	registration.unraid.net
0.0.0.0	registration-dev.unraid.net
0.0.0.0	lime-technology.com
0.0.0.0	keys.lime-technology.com
# 54.149.176.35	keys.lime-technology.com

0.0.0.0	hub.docker.com
0.0.0.0	docker.io
0.0.0.0	index.docker.io
0.0.0.0	registry-1.docker.io

另外，hosts 文件中无法使用通配符，可能存在域名遗漏，你也可以通过自建 DNS 等方法，达到相同的目的。

方法二：在 Unraid 中配置 Nginx 搭配 socat 及自签名证书通过 HTTP 代理转发流量

本方法相比方法一具有更好的稳定性、隐私性，但配置过程较繁琐，请务必全文阅读后再进行操作。

第一步：创建私有 CA 根证书、用户证书

创建一个私有 CA 根证书，然后使用它创建出 raw.githubusercontent.com 的用户证书。如果需要代理更多域名，则创建对应域名的证书即可。

碍于篇幅，本文不再赘述证书创建方法，你可以查看这篇文章（https://www.cnblogs.com/sparkdev/p/10369313.html）获得相关指南。

第二步：在 Docker 中安装 Nginx 及 socat

因 Nginx proxy_pass 似乎无法直接配置为通过 HTTP 代理，笔者在此选择搭配 socat 使用。这里用到以下两个镜像。

docker pull linuxserver/nginx
docker pull alpine/socat

注意，你既可以在 WebUI 操作，也可以 SSH 连接终端操作，因 Unraid WebUI 管理 Docker 容器需要创建 xml 文件，如果直接在终端创建容器，就无法在 WebUI 中编辑，也无法为容器设置图标，所以笔者个人习惯于在终端 pull 好镜像后，再到 WebUI 创建容器。上述 linuxserver/nginx 镜像在 Unraid Apps 中也可以找到，你也可以在 Apps 中获取。

进入 Unraid WebUI Docker 页，点击下方添加容器按钮，再点击右上角开关进入高级视图。Nginx 容器创建参数与方法一所述大同小异，不再赘述。

socat 容器创建参数如下图。

这里建议将 Nginx、socat 以及可能存在的代理工具容器，网络类型都设置为 Host，避免不必要的复杂性。当然你也可以根据自身需要进行个性化配置。

这里假设你拥有的可顺畅访问 GitHub 的 HTTP 代理地址为 127.0.0.1:10808，则在发布参数中，填写

TCP4-LISTEN:4443,reuseaddr,fork PROXY:127.0.0.1:raw.githubusercontent.com:443,proxyport=10808

上例中的 4443 端口为稍后需要 Nginx 转发到的端口，也可以根据需要修改。配置完成后，直接运行 socat 容器。

==2021-04-05 追记==

如果需要代理多个网站，可以写一个脚本映射入容器内，例如将以下内容写入 run.sh 映射入容器 /run/run.sh

#!/bin/sh
/usr/bin/socat TCP-LISTEN:10000,reuseaddr,fork PROXY:127.0.0.1:raw.githubusercontent.com:443,proxyport=10808 & /usr/bin/socat TCP-LISTEN:10001,reuseaddr,fork PROXY:127.0.0.1:github.com:443,proxyport=10808 & /usr/bin/socat TCP-LISTEN:10002,reuseaddr,fork PROXY:127.0.0.1:s3.amazonaws.com:443,proxyport=10808 &
while true; do sleep 300; done

然后在额外参数处填入 –entrypoint=”/run/run.sh”，发布参数留空即可

==追记结束==

第三步：使 Unraid 信任私有 CA 根证书

证书创建后，将私有 CA 根证书或证书链文件，放入 Unraid 系统 /usr/local/share/ca-certificates 目录内，如果没有 ca-certificates 目录，自行建立即可。

若证书文件后缀为 pem，改为 crt，例如 /usr/local/share/ca-certificates/FakeCA.crt

根证书放入后，在 Unraid 终端执行

# 添加和删除证书都需要执行
update-ca-certificates

若看到提示 1 added, 0 removed; done. 输出，则说明添加成功。

注意：添加信任根证书为高危操作，意味着该根证书颁发的任何网站的证书都会被系统信任，请务必妥善保管好你生成的私钥文件，泄露可能导致你面临中间人攻击。

第四步：配置 Nginx

找到 Nginx 的配置文件，在 http 块前添加

stream {
	map $ssl_preread_server_name $name {
		raw.githubusercontent.com	web;
		default				block;
	}
	upstream web {
		server 127.0.0.1:3443;
	}
	upstream block {
		server 127.0.0.1:8144;
	}
	server {
		listen 443 reuseport;
		resolver 208.67.222.222;
		proxy_pass $name;
		ssl_preread on;
		proxy_connect_timeout 15s;
		proxy_timeout 15s;
		proxy_next_upstream_timeout 15s;
	}
}

在 http 块中添加 server

server {
		listen 8144 default_server;
		return 444;
}

server {
		listen 3443 ssl http2;
		server_name raw.githubusercontent.com;
		#==========SSL相关设置==========
		ssl_certificate /path/to/gitraw.cert.pem;
		ssl_certificate_key /path/to/gitraw.key.pem;
		ssl_session_cache shared:SSL:10m;
		ssl_session_timeout 1d;
		ssl_session_tickets off;
		ssl_prefer_server_ciphers off;
		ssl_early_data on;
		ssl_protocols TLSv1.2 TLSv1.3;
		ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
		#===============================
		location / {
			proxy_set_header Host raw.githubusercontent.com;
			proxy_pass https://127.0.0.1:4443/;
		}
}

上例中的 3443 8144 端口为 SNI Name 分流用，可自定义为其他端口，但 443 端口不得更改，若有端口冲突，请更改冲突服务的端口。

这里不直接在 server 监听 443 是为了留出拓展空间，你可以在 stream 块 map 中添加多个域名映射到 3443，添加多个监听 3443 端口的 server 后，Nginx 会自动匹配 server_name 选择合适的 server。

上例中 /path/to/gitraw.cert.pem 及 /path/to/gitraw.key.pem 为第一步创建的 raw.githubusercontent.com 用户证书和私钥存放路径，修改到你的存放位置即可，其他参数也可以参照 Nginx 相关文档进行个性化修改。

特别提醒：如果你不了解相关风险，国内家庭宽带用户请不要将上例任何端口转发到公网，特别是具有公网 IP 的用户，被运营商误认为私开 Web 服务可能导致严重后果。

第五步：修改 Unraid 中的 hosts

在 Unraid 系统 /etc/hosts 文件中添加

127.0.0.1	raw.githubusercontent.com

第六步：验证

在 Unraid 终端执行以下命令，尝试下载一个文件测试

wget https://raw.githubusercontent.com/jellyfin/jellyfin/master/README.md && rm README.md

若没有提示证书错误，下载成功，则说明配置正确。你可以尝试在 WebUI 中为插件检查一下更新，应该能看到速度明显提升。

第七步：设置开机自动添加证书、hosts

Unraid 系统重启后大部分系统更改不会保留，需要设置一下。

首先将你的根证书 FakeCA.crt 和修改好的 hosts 文件复制一份到 U 盘根目录（在 Unraid 系统中是 /boot ）。

然后找到 /boot/config/go 文件，在 /usr/local/sbin/emhttp & 之前添加以下内容

mkdir -p /usr/local/share/ca-certificates && cp /boot/FakeCA.crt /usr/local/share/ca-certificates/
chmod 755 /usr/local/share/ca-certificates && chmod 644 /usr/local/share/ca-certificates/FakeCA.crt
update-ca-certificates
mv /etc/hosts /etc/hosts.bak && cp /boot/hosts /etc/hosts

现在，每次开机都会自动执行添加信任证书和替换 hosts 了。注意打开所需 Docker 容器的自动启动开关，如有需要，在设置——磁盘设置——启用自动启动，打开阵列自动启动开关（阵列启动前，Docker 不会启动）。

参考资料

《Install Docker Engine on Ubuntu | Docker Documentation》https://docs.docker.com/engine/install/ubuntu/#install-using-the-repository
《Module ngx_http_map_module | nginx documentation》https://nginx.org/en/docs/http/ngx_http_map_module.html#map
《Regular expressions names | nginx documentation》https://nginx.org/en/docs/http/server_names.html#regex_names
《Nginx TLS SNI routing, based on subdomain pattern》https://gist.github.com/kekru/c09dbab5e78bf76402966b13fa72b9d2
《使用 OpenSSL 创建私有 CA - sparkdev》https://www.cnblogs.com/sparkdev/p/10369313.html

前言