Dockhand 开源 Docker 可视化管理面板：群晖 NAS 一键部署实战 Dockhand 开源 Docker 可视化管理面板：群晖 NAS 一键部署实战还在用命令行 docker ps 一个个查容器状态？Portainer 用久了觉得功能跟不上？今天介绍一款新面孔——Dockhand：开源免费的 Docker 可视化管理平台，家庭实验室永久免费，自带中文界面，群晖 NAS 上一条命令就能跑起来。Dockhand 是什么？Dockhand（dockhand.pro）是一个现代化的 Docker 管理平台，定位和 Portainer 类似：给你一个网页管理界面，容器的启停、日志、终端、Compose 编排都能点鼠标完成，不用再记命令。几个关键特点，先说结论：家庭实验室永久免费：核心功能（容器管理、Compose、Git 部署、漏洞扫描、备份）免费版全有，不按功能阉割；部署极轻：默认 SQLite，不用额外装数据库，树莓派 4 都能跑，群晖 NAS 更不在话下；中文界面：支持简体中文，浏览器语言自动识别；零遥测：不回传任何使用数据，数据只留在你自己的机器上；源码开放：BSL 1.1 协议开源，每个版本四年后自动转为 Apache 2.0。功能亮点速览功能说明容器管理启停、重启、删除、批量操作，CPU/内存实时指标可视化 Compose可视化编辑 Compose，还有依赖关系图，不用死磕 YAML网页终端直接进容器执行命令，不用 SSH实时日志日志流式查看，支持 ANSI 颜色、时间范围和关键字过滤Git 部署从 Git 仓库部署 Stack，支持 Webhook 自动部署定时任务镜像自动更新、定时同步，带安全拉取保护（先扫描再更新）备份恢复基于 restic 的加密备份，可备份数据卷和 Stack 文件，支持 S3 等漏洞扫描集成 Grype/Trivy 扫描镜像 CVE 漏洞通知推送支持 Bark、Telegram、ntfy 等，容器崩了第一时间知道多环境管理一台 Dockhand 管多台 Docker 主机，还有穿透 NAT 的 Hawser AgentOIDC/SSO免费版就带单点登录和双因素认证对 NAS 用户来说，最实用的就是前四项：容器状态一目了然，日志和终端点开即用，Compose 项目可视化管理。部署：一分钟跑起来Dockhand 官方给出了一键命令，数据只用一个 volume，配置极简：docker run -d \ --name dockhand \ --restart unless-stopped \ -p 3000:3000 \ -v /var/run/docker.sock:/var/run/docker.sock \ -v dockhand_data:/app/data \ fnsys/dockhand:latest更推荐用 Compose，方便以后升级维护：services: dockhand: image: fnsys/dockhand:latest container_name: dockhand restart: unless-stopped ports: - 3000:3000 volumes: - /var/run/docker.sock:/var/run/docker.sock - dockhand_data:/app/data volumes: dockhand_data:安全提醒：挂载 docker.sock 意味着 Dockhand 拥有操作宿主机 Docker 的最高权限，这是所有 Docker 管理面板的通用做法。务必给 Dockhand 设置强密码，不要把 3000 端口直接暴露到公网，需要远程访问请走反代 + HTTPS。群晖 NAS（Container Manager）部署步骤打开 Container Manager → 项目 → 新增，项目名称填 dockhand，路径选一个顺手的共享文件夹；在 docker-compose.yml 编辑框粘贴上面的 Compose 内容；点下一步完成，等待镜像拉取完成、容器状态变为运行中；浏览器打开 http://群晖IP:3000，看到登录页即部署成功。初始化：创建管理员并连接本地环境首次打开会让你创建一个管理员账号，设置好用户名和强密码。登录后 Dockhand 会自动识别本机的 Docker 环境（通过挂载的 docker.sock），仪表盘上立刻能看到这台机器的容器数量、镜像数、CPU 内存状态。如果你有多台机器（比如一台群晖 + 一台小主机），可以在“环境”里添加远程主机：支持 TCP + TLS 连接；内网穿透场景可以用官方的 Hawser Agent，Agent 主动向外连，不用开防火墙端口——思路和 FRP 内网穿透很像，适合没有公网 IP 的机器。核心用法：日常用这几个就够了容器管理：容器列表里能看到每个容器的实时 CPU/内存占用，批量选中可以一键重启、停止、删除；点进容器详情能看完整配置、挂载、环境变量，改 CPU/内存限制不需要重建容器。网页终端：选中容器点 Shell，直接进容器执行命令，排查问题不用再 SSH 到 NAS 上敲 docker exec。下面是官方的终端界面实拍：日志查看：日志页面支持实时流式输出，带颜色高亮，可以按时间范围和关键字过滤。容器起不来的时候，先来这里看第一条报错——排查思路和之前写的 Docker 升级排障指南是一样的：先看日志，再动手。Stacks（Compose 项目）：可以可视化创建和编辑 Compose 项目，还有只读的依赖关系图；已经用 Compose 跑起来的项目，Dockhand 能自动识别接管，不用重建。Git 部署：把 Compose 文件放 Git 仓库，Dockhand 定时同步，配合 Webhook 实现改完代码自动部署，适合跑博客、图床这类自建服务。通知推送：在设置里配好 Bark（iOS）或 Telegram，容器异常退出、备份完成都能收到推送。之前本站介绍过自建 Bark 服务器推送评论，Dockhand 的通知走 Apprise 协议，Bark 同样支持。远程访问：建议走反代不要把 3000 端口直接映射到公网。正确做法是在内网跑 Dockhand，外网访问走反向代理：有公网 IP：用 Lucky 或 Nginx Proxy Manager 反代 http://群晖IP:3000，配好 HTTPS 证书；没公网 IP：内网穿透（FRP/Lucky）把 3000 端口穿透出去，同样建议套一层 HTTPS。反代配置可以参考本站之前的 Lucky 反代教程和 FRP 内网穿透教程。和 Portainer 简单对比对比项DockhandPortainer CE费用家庭实验室永久免费社区版免费数据库默认 SQLite，极轻需要外部数据库（较重）中文界面原生支持简体中文社区汉化备份内置 restic 加密备份需手动/商业版漏洞扫描内置 Grype/Trivy商业版功能通知推送内置 Bark/Telegram 等需 Webhook 自行对接上手难度界面更现代，学习成本低生态成熟，教程多如果你是 Portainer 老用户，Dockhand 值得一试；如果你还没用过任何面板，直接上 Dockhand 更省事。两者可以共存，不冲突。注意事项数据持久化：dockhand_data 这个 volume 一定要保留，删了配置和用户数据就没了；重要环境建议再用 Dockhand 自带的备份功能定期备份；升级：fnsys/dockhand:latest 拉新镜像重建即可，升级前按老规矩备份数据、记录版本；资源占用：官方称树莓派 4 可跑，群晖上实测内存占用很小，适合长期挂着；安全：强密码 + 不直接暴露端口 + 定期更新，三件套做好。总结Dockhand 给我的整体感觉是“Portainer 的现代化重制版”：部署一条命令、界面清爽、中文原生、备份扫描通知全家桶免费。对群晖 NAS 用户来说，它是管理一堆 Docker 容器的好帮手——容器状态、日志、终端、Compose 项目，一个网页全搞定。花十分钟部署上，你的 NAS 容器管理就从命令行时代进入面板时代了。相关阅读：群晖 Docker 容器升级失败怎么办：备份、回滚与日志排查完整指南群晖 NAS 使用 Docker 部署 Lolia FRP 实现多隧道内网穿透Lucky 反代宝塔面板 — Docker macvlan + bridge 双网络解决方案群晖更新 Docker 容器

Vaultwarden 自建密码库：Docker 一键部署 + 多端同步实测 Vaultwarden 自建密码库：Docker 一键部署 + 多端同步实测密码这东西，越攒越多：网站账号、服务器 SSH、路由器后台、摄像头 NVR、各种 App……浏览器自带的密码管理器换台电脑就抓瞎，1Password、Bitwarden 官方云要么收费、要么数据在别人手里。我的解法是：在群晖 NAS 上用 Docker 跑 Vaultwarden——Bitwarden 服务器的轻量开源实现，几十 MB 内存就能跑，手机 App、浏览器插件、桌面客户端全兼容官方 Bitwarden 协议，数据完完全全在自己手里。一、Vaultwarden 是干什么用的一句话：自建的 Bitwarden 服务器。Bitwarden 是开源密码管理器，官方提供云服务；Vaultwarden 用 Rust 重写了服务端 API，功能对齐官方（密码库、TOTP、组织共享、附件、应急访问），但资源占用极低，树莓派、群晖这种小机器都能轻松跑。为什么值得折腾：数据自主：密码库存在自家 NAS 的硬盘上，不经过第三方服务器。全端同步：官方 Bitwarden 客户端（iOS / Android / Windows / macOS / 浏览器插件）直接连自建地址登录，自动同步。离线可用：客户端有本地加密缓存，断网也能查密码。免费：核心功能全开，不用订阅。二、Docker 一键部署（群晖 DSM 7.2）群晖 Container Manager 里用「项目」（docker compose）部署最省事。先在 docker 共享文件夹下建好目录，比如 /volume1/docker/vaultwarden。compose 文件如下：services: vaultwarden: image: vaultwarden/server:latest container_name: vaultwarden restart: unless-stopped environment: - DOMAIN=https://vw.example.com # 改成你自己的域名 - SIGNUPS_ALLOWED=true # 先允许注册，建好账号后改成 false - ADMIN_TOKEN=换成一串强随机口令 # 后台管理 /admin 用 volumes: - /volume1/docker/vaultwarden:/data ports: - "127.0.0.1:8080:80"部署步骤：Container Manager → 项目 → 新增 → 项目名称填 vaultwarden，路径选 docker/vaultwarden，把上面 compose 内容粘进去，点「下一步」建好并启动。容器跑起来后先别急着暴露公网——Bitwarden 客户端强制要求 HTTPS，纯 http 直连会报安全错误。去 DSM「登录门户 → 高级 → 反向代理服务器」加一条规则：来源 https://vw.example.com，目的地 http://localhost:8080，并配好 Let's Encrypt 证书。浏览器打开 https://vw.example.com，注册你的管理员账号，然后立刻把 SIGNUPS_ALLOWED 改成 false 并重建容器——公开注册的密码库等于给全网开了个保险柜门，这一步不能忘。访问 https://vw.example.com/admin，用 ADMIN_TOKEN 进后台，可以看到用户、组织与配置一览。到这一步服务端就绪。整个链路是：群晖 Docker 跑 Vaultwarden 容器 → DSM 反向代理做 HTTPS 统一入口 → 手机、电脑、浏览器各端连同一个域名同步。三、多端同步实测网页端：浏览器直接打开域名登录，就是完整的密码库管理界面，新增、编辑、搜索、生成强密码都在这。手机端：装官方 Bitwarden App，登录时点齿轮把「自托管」服务器地址填成你的域名，登录后密码库秒同步。实测：手机上新增一条 NAS 登录，电脑端刷新即出现。浏览器插件：Chrome / Edge 装 Bitwarden 插件，同样填自托管地址，登录表单自动填充，体验和官方云无差别。离线：手机开飞行模式，已同步过的密码照样能查——客户端本地有加密缓存。另外 TOTP（一次性验证码）也能直接存在条目里，扫码登录网站时自动填充验证码，手机上可以少装一个验证器 App。四、避坑指南必须 HTTPS：客户端依赖 Web Crypto，纯 http 下网页版直接报错，这是新手翻车最多的地方。注册完立刻关闭公开注册：SIGNUPS_ALLOWED=false，否则任何人都能在你的服务器上注册账号。ADMIN_TOKEN 用强口令：/admin 后台能管理所有用户，别用弱口令。备份 /data 目录：密码库本质是个 SQLite 文件，用 Hyper Backup 把 docker/vaultwarden 目录定时备份一份。丢了就是真丢了——没有官方客服能帮你找回。端口别直接映射公网：上面 compose 绑的是 127.0.0.1:8080，只走 DSM 反向代理；需要外网访问就走你已有的内网穿透方案。升级：Container Manager 里拉取最新的 vaultwarden/server 镜像后重建容器即可，数据都在映射卷里，不会丢。五、怎么卸载不想要了也很干净：Container Manager 里停止并删除 vaultwarden 项目和容器，删除 vaultwarden/server 镜像，最后删掉 /volume1/docker/vaultwarden 数据目录——密码数据彻底清除。各客户端退出登录并清除本地缓存即可。删数据目录前先确认已导出备份（网页端 → 工具 → 导出密码库，建议选加密 json），别手滑。自建密码库这件事，门槛就是一台 NAS 加十分钟。数据回到自己手里之后，换设备、重装系统再也不用为密码发愁了。相关旧文Lucky / FRP / ECH 三种内网穿透实测对比：延迟、成本、稳定性怎么选 —— 自建服务要从外网访问，穿透方案看这篇选型群晖 Docker 容器升级失败怎么办：备份、回滚与日志排查完整指南 —— 容器升级翻车时的标准处理流程

群晖 Docker 容器升级失败怎么办：备份、回滚与日志排查完整指南 整理一套适合群晖与家庭服务器用户的 Docker 升级失败恢复流程。

dsm7.X mailplus server 安装报错，“当前数据库无法访问，无法执行此操作” 安装了mailplus server打开后输入域名信息后出现“当前数据库无法访问，无法执行此操作”错误。我的解决办法是退出群晖账号，就可以了。应该是登录账号的时候走的集群服务，导致无法连接。

使用群晖7.2 webstation搭建h5ai默认启动路径修改 群晖7.2修改的路径为/usr/local/etc/nginx/conf.d-available目录下找到对应h5ai的w3conf文件把第二行修改为下面的代码即可index index index.html index.htm index.php /_h5ai/public/index.php;

Lucky 反代宝塔面板 — Docker macvlan + bridge 双网络解决方案 背景群晖 NAS IP：192.168.2.108Lucky：部署在群晖 Docker 中，使用 host 网络模式宝塔面板：部署在群晖 Docker 中，使用 macvlan 网络模式，独立 IP 192.168.2.109目标：通过 Lucky 反代宝塔面板问题描述在 Lucky 中配置反代地址为 http://192.168.2.109:8888/ 后，访问报错：proxy url [http://192.168.2.109:8888/] err: dial tcp 192.168.2.109:8888: connect: no route to host原因分析macvlan 网络模式有一个特性：容器与宿主机之间网络是隔离的，宿主机无法直接访问 macvlan 容器，反之亦然。虽然 Lucky 使用的是 host 模式（直接使用宿主机网络），但 macvlan 容器对宿主机同样不可达，因此访问 192.168.2.109 会直接失败。解决方案：为宝塔容器添加 bridge 双网络让宝塔容器同时连接两个网络：网络驱动用途bridge-hostmacvlan保留宝塔独立 IP 192.168.2.109bridgebridge与 Lucky（host 模式）通信，用于反代操作步骤1. 在群晖 Docker 界面添加 bridge 网络打开群晖 Docker → 左侧菜单 网络，可以看到当前所有网络列表：找到 bridge 网络，点击 管理 → 新增，在容器名称下拉框中选择 baota，点击 应用：2. 确认双网络配置成功操作完成后，在宝塔容器详情 → 网络 标签页中可以看到：网络名称驱动程序bridgebridgebridge-hostmacvlan3. 查询宝塔在 bridge 网络中的 IPSSH 登录群晖，执行：docker inspect baota | grep '"IPAddress"'输出示例："IPAddress": "172.17.0.14", "IPAddress": "192.168.2.109",其中：172.17.0.14 → bridge 网络 IP（用于 Lucky 反代）192.168.2.109 → macvlan 独立 IP（对外访问保留）4. 配置 Lucky 反代在 Lucky 反代设置中，将目标地址改为：http://172.17.0.14:8888保存后即可正常反代宝塔面板。总结方案优点缺点宝塔改为 host 模式简单直接失去独立 IPmacvlan + bridge 双网络保留独立 IP，同时支持反代需额外配置最终采用双网络方案，既保留了宝塔的独立 IP 192.168.2.109，又通过 bridge 网络实现了 Lucky 的正常反代，两全其美。

群晖 DSM 6.1.7 Docker 配置代理 {message type="info" content="由于群晖6.17系统的docker版本过低，不支持 daemon.json 中的 proxies 字段（这是 23.0+ 才有的功能），所以必须用 systemd 环境变量方式来配置代理"/}修改配置文件文件路径为/etc/init/pkg-Docker-dockerd.conf步骤 1：备份原文件cp /etc/init/pkg-Docker-dockerd.conf /etc/init/pkg-Docker-dockerd.conf.bak步骤 2：编辑配置文件vi /etc/init/pkg-Docker-dockerd.conf将文件内容改为以下内容（添加 3 行 env）：cgroup cpuacct "pkgctl-Docker" cgroup memory "pkgctl-Docker" description "Docker daemon" author "System Integration Team" limit nofile 524288 1048576 console log respawn respawn limit 5 10 kill timeout 60 env HTTP_PROXY=http://192.168.1.100:7890 env HTTPS_PROXY=http://192.168.1.100:7890 env NO_PROXY=localhost,127.0.0.1,192.168.1.0/24 exec /var/packages/Docker/target/usr/bin/dockerd --config-file /var/packages/Docker/etc/dockerd.json post-start script DOCKER_SOCKET=/var/run/docker.sock while ! [ -e "$DOCKER_SOCKET" ]; do initctl status $UPSTART_JOB | grep -qE "(stop|respawn)/" && exit 1 echo "Waiting for $DOCKER_SOCKET" || true sleep 0.1 done echo "$DOCKER_SOCKET is up" || true end script{message type="warning" content="把 192.168.1.100:7890 改成你实际的代理地址和端口"/}步骤 3：重启 Dockersynoservicectl --restart pkgctl-Docker步骤 4：验证docker info | grep -i proxy成功的输出： HTTP Proxy: http://192.168.1.100:7890 HTTPS Proxy: http://192.168.1.100:7890 No Proxy: localhost,127.0.0.1,192.168.1.0/24步骤 5：测试拉取镜像docker pull hello-world

群晖surveillance接入监控摄像头实现无限制空间存储录像 用nas来存储监控的录像，实现无容量空间限制的云存储也省钱了购买内存卡的费用。群晖的套件surveillance可以自定义协议接入不通品牌的摄像头。（使用的RTSP协议接入）针对群晖列表中不支持的监控用rtsp自定义协议添加路径格式在rtsp后面写入一下信息admin:监控验证码@监控内网IP地址:554/video_path配置如下（本文以海康的家用摄像头为例）各大品牌摄像头rtsp协议模版(192.168.10.199替换为自己摄像头的IP地址)海康摄像头rtsp规则(常见)rtsp://admin:admin@192.168.10.199:554/h264/ch1/main/av_streamrtsp://admin:admin@192.168.10.199:554/Streaming/Channels/101 (主码)rtsp://admin:admin@192.168.10.199:554/Streaming/Channels/102 (子码)海康摄像头rtsp规则（部分版本支持）rtsp://admin:admin@192.168.10.199:554/1rtsp://192.168.10.199:554rtsp://192.168.10.199:554/Streaming/Channels/101?transportmode=unicast&profile=Profile_1大华摄像头rtsp规则rtsp://admin:admin@192.168.10.199:554/cam/realmonitor?channel=1&subtype=0 (主码)rtsp://admin:admin@192.168.10.199:554/cam/realmonitor?channel=1&subtype=1 (子码)宇视摄像头rtsp规则rtsp://admin:admin@192.168.10.199:554/video1 (主码)rtsp://admin:admin@192.168.10.199:554/video2 (子码)rtsp://admin:admin@192.168.10.199:554/media/video1宇视硬盘录像机rtsp规则:rtsp://192.168.10.199:554/unicast/c10/s0/livertsp://admin:admin@192.168.10.199:554/unicast/c10/s0/live中威摄像机rtsp规则rtsp://admin:admin@192.168.10.199:554/Streaming/Channels/1华为摄像头rtsp规则rtsp://admin:admin@192.168.10.199:554/LiveMedia/ch1/Media2rtsp://192.168.10.199:554/stream0?username=admin&password=16位MD5TP-LINK摄像头rtsp规则rtsp://admin:a1234567@192.168.10.199:554/stream1 (主码)rtsp://admin:a1234567@192.168.10.199:554/stream2 (子码)

群晖搭建Typecho伪静态去掉链接地址中的index.php {message type="success" content="群晖web使用Apache搭建Typecho，访问链接会自动带上index.php影响美观，使用伪静态去掉链接地址中的index.php"/}在网站根目录创建.htaccess文件，并写入以下代码<IfModule mod_rewrite.c> RewriteEngine On RewriteBase / RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule ^(.*)$ index.php [L,E=PATH_INFO:$1] </IfModule>进入网站后台开启设置永久连接开启地址重写功能，选择喜欢的链接格式{message type="warning" content="当出现重写功能检测失败,请检查你的服务设置，如果你仍想启用此功能,请勾选这里。记得打勾保存设置即可。"/}

群晖设置自动删除文件 {alert type="info"}用群晖搭建了甜糖，缓存需要手动删除，要不然经常提示存储空间不足。故设置自动删除文件。{/alert}1.进入群晖的控制面板，选择“任务计划”选项，点击“创建”按钮。2.在“新建任务”界面中，选择“用户定义的脚本”选项，填写脚本名称和描述信息。3.在“任务设置”中，选择“定期执行”选项，并设置执行的时间间隔。4.在“任务设置”中，选择“用户定义的脚本”选项，填写以下脚本命令：find /path/to/folder -type f -mtime +30 -delete其中，“/path/to/folder”为需要自动删除文件的文件夹路径，“+30”表示删除30天前的文件。5.设置完成后，点击“应用”按钮保存设置即可。