先看清浏览器到底连向哪里
输入 https://nas.example.com 而没有端口时，浏览器会连接这个域名解析地址的 443 端口。DDNS 解决的是“这个名字现在指向哪个 IP”，不会替浏览器改变默认连接端口。有公网 IP，也不代表运营商允许所有端口从外部进入。
本次家庭环境可以通过高位端口访问群晖，80 和 443 已从外部测试确认不可用。因此，单独换域名、增加 CNAME，或在群晖里增加一个反向代理规则，都不能让外部连接自动绕过被封的 443。
带端口直连 浏览器 → ddns.example.com:5001 → 家庭路由器 → DSM 免端口入口 浏览器 → 云端 443 → ddns.example.com:5001 → DSM
把 DNS、路由器和应用分三层检查
- DNS：域名是否指向当前家庭公网地址，是否存在过期的 IPv6 记录。
- 路由器：外部端口是否映射到正确的 NAS 内网地址和应用端口。
- 应用：服务是否运行、证书是否覆盖访问域名，登录是否正常。
检查时应使用手机蜂窝网络或另一条外网。仅在同一局域网访问成功，可能只是内网解析或路由器回环行为，并不能证明外部入口可用。测试 HTTPS 时还要确认没有跳过证书校验。
这次为什么保留两条访问路径
最终保留高位端口直连作为备用，同时为浏览器配置云端 HTTPS 入口。前者路径短，但需要输入端口；后者地址简洁，会多经过云端节点。选择非中国大陆节点后，家庭与节点之间的跨境网络状况会影响速度，所以不能只凭“加速平台”这个名称判断一定更快。
DSM 登录会拉取多个脚本、样式和接口，首屏速度与单个网页的返回时间不完全相同。本次也遇到过入口 HTTP 返回正常、桌面仍需继续加载的情况。判断问题应分别观察证书、登录页、桌面和具体功能。
哪些流量适合走这个入口
浏览器管理页和小型静态网站适合使用经过验证的 HTTPS 入口。媒体播放、文件大流量传输则需要单独评估平台规则、流量成本和连接协议。本次 Plex 使用直连方案，没有把媒体流经过网页入口转发。
验收清单
- 在外网测试域名解析和 HTTPS，证书校验通过。
- 能打开登录页，并实际登录到 DSM 桌面。
- 保留可访问的直连备用地址。
- 公网地址改变后，确认 DDNS 与云端回源仍使用同一个稳定名称。