Authelia 自建认证网关：Docker 部署保护你的自建服务

痛点：自建服务越来越多，怎么统一保护？#

搭了一堆自建服务：Gitea、Navidrome、Memos、Grafana……每个都有自己的登录页面。

但问题来了：

暴露到公网的服务，每个都要独立配置 HTTPS 和登录认证
有些服务没有自己的认证机制（比如 Dozzle、ntfy）
密码管理混乱——每个服务一套账号密码，记不住
没有统一的 2FA 保护——漏配一个服务就是安全漏洞

理想方案：一个统一登录入口，所有服务都在它后面。

这就是 Authelia 做的事。

Authelia 是什么？#

Authelia 是一个用 Go 编写的开源认证授权服务器。它作为一个**反向代理的中间件**，为所有自建服务提供统一登录保护。

核心指标：

指标	数据
⭐ GitHub Stars	28.2k
🐹 语言	Go（100%）
📦 最新版	v4.38（2026-06 活跃开发中）
📄 许可证	Apache-2.0
🐳 Docker 镜像	`authelia/authelia`

工作原理：

1
用户 → Nginx/Traefik/Caddy → Authelia 认证 → 自建服务
2
                          ↓（未登录）
3
                     登录页面（2FA可选）

Authelia 与反向代理配合使用：当用户访问被保护的服务时，反向代理先检查 Authelia 的 cookie，未登录则重定向到 Authelia 的登录页面，登录成功后才放行。

Authelia vs 其他方案#

特性	Authelia	OAuth2 Proxy	Keycloak	Caddy（基础认证）
部署难度	⭐⭐	⭐⭐	⭐⭐⭐⭐	⭐
2FA/TOTP	✅ 内置 🏆	✅	✅	❌
LDAP 集成	✅	✅	✅	❌
OIDC/OAuth	✅	✅	✅ 最强	❌
资源占用	极低 🏆	低	重（Java）	最低
配置复杂度	中	中	高	最简单
Docker 部署	✅ 单容器	✅ 单容器	❌ 需数据库	✅ 单容器

选型建议： 个人/家庭自建用 Authelia（轻量+功能够用），企业上 Keycloak（功能全）。

Docker 部署 Authelia#

前置准备#

需要一个域名用来访问 Authelia，还需要一块 Redis（用于会话存储）。

1
version: "3.8"
2

3
services:
4
  redis:
5
    image: redis:7-alpine
6
    container_name: authelia-redis
7
    volumes:
8
      - ./redis:/data
9
    restart: unless-stopped
10

11
  authelia:
12
    image: authelia/authelia:latest
13
    container_name: authelia
14
    volumes:
15
      - ./config:/config
16
    environment:
17
      - TZ=Asia/Shanghai
18
    ports:
19
      - "9091:9091"  # Authelia 端口
20
    depends_on:
21
      - redis
22
    restart: unless-stopped

配置 Authelia#

创建 config/configuration.yml：

1
# 主机与端口
2
host: 0.0.0.0
3
port: 9091
4

5
# 日志级别
6
log:
7
  level: info
8

9
# TOTP（2FA 一次性密码）
10
totp:
11
  issuer: authelia.example.com
12
  period: 30
13
  skew: 1
14

15
# 身份验证后端——使用文件存储
16
identity_validation:
17
  reset_password:
18
    enable: true
19

20
authentication_backend:
21
  file:
22
    path: /config/users.yml
23

24
# 访问控制规则
25
access_control:
26
  default_policy: deny  # 默认拒绝所有
27
  rules:
28
    # 允许无需认证的路径
29
    - domain: auth.example.com
30
      policy: bypass
31

32
    # 需要双因素认证的服务
33
    - domain: "*.secure.example.com"
34
      policy: two_factor
35

36
    # 只需单因素认证的服务
37
    - domain: "*.services.example.com"
38
      policy: one_factor
39

40
# 会话管理
41
session:
42
  name: authelia_session
43
  secret: your-random-session-secret-change-me
44
  expiration: 1h  # 会话超时
45
  inactivity: 5m  # 5分钟无操作自动登出
46
  redis:
47
    host: redis
48
    port: 6379
49

50
# 重定向设置
51
redirection:
52
  default_policy: deny
53
  # 自定义登录页面标题
54
  customize:
55
    title: 洞察小屋 - 统一登录
56

57
# 监管设置
58
regulation:
59
  max_retries: 5
60
  find_time: 2m
61
  ban_time: 5m
62

63
# 通知——没有邮件的场景用文件通知
64
notifier:
65
  filesystem:
66
    filename: /config/notifications.yml

创建用户文件 config/users.yml：

1
users:
2
  admin:
3
    displayname: "管理员"
4
    password: "$argon2id$v=19$m=65536,t=3,p=4$..."  # 使用 authelia hash-password 生成
5
    email: admin@example.com
6
    groups:
7
      - admins

生成密码哈希：

1
docker run authelia/authelia authelia hash-password 你的密码

与 Nginx 集成#

1
server {
2
    listen 443 ssl;
3
    server_name git.example.com;
4

5
    location / {
6
        # 请求发到 Authelia 验证
7
        auth_request /auth/verify;
8
        auth_request_set $auth_cookie $upstream_http_set_cookie;
9
        add_header Set-Cookie $auth_cookie;
10

11
        # 认证通过后转发到 Gitea
12
        proxy_pass http://gitea:3000;
13
    }
14

15
    # Authelia 验证端点
16
    location = /auth/verify {
17
        internal;
18
        proxy_pass http://authelia:9091/api/verify;
19
        proxy_pass_request_body off;
20
        proxy_set_header Content-Length "";
21
        proxy_set_header X-Original-URL $scheme://$http_host$request_uri;
22
        proxy_set_header X-Forwarded-Method $request_method;
23
        proxy_set_header X-Forwarded-Proto $scheme;
24
    }
25

26
    # Authelia 登录页面
27
    location /authelia {
28
        proxy_pass http://authelia:9091;
29
        proxy_set_header Host $host;
30
        proxy_set_header X-Forwarded-Proto $scheme;
31
        proxy_set_header X-Forwarded-Host $http_host;
32
        proxy_set_header X-Forwarded-Uri $request_uri;
33
    }
34
}

与 Caddy 集成#

1
git.example.com {
2
    # Authelia 验证端点——使用 Caddy 的 auth_portal 插件或手动配置
3
    @protected {
4
        not path /authelia/*
5
    }
6
    reverse_proxy @protected gitea:3000
7

8
    # Authelia 自身
9
    handle /authelia/* {
10
        reverse_proxy authelia:9091
11
    }
12
}

与 Traefik 集成（推荐方案）#

使用 Traefik 的 ForwardAuth 中间件：

1
# docker-compose.yml 中的 Traefik 配置
2
services:
3
  traefik:
4
    command:
5
      # ... 其他配置
6
      # 添加 ForwardAuth 中间件
7
      - "--experimental.plugins.authelia.moduleName=github.com/ClearlyClaire/traefik-forward-auth"
8

9
  # 需要保护的服务
10
  gitea:
11
    labels:
12
      - "traefik.http.routers.gitea.middlewares=authelia@file"
13

14
traefik:
15
  # 使用文件方式配置中间件
16
  volumes:
17
    - ./traefik-config:/etc/traefik/dynamic

traefik-config/authelia.yml：

1
http:
2
  middlewares:
3
    authelia:
4
      forwardAuth:
5
        address: http://authelia:9091/api/verify
6
        trustForwardHeader: true
7
        authResponseHeaders:
8
          - Remote-User
9
          - Remote-Groups
10
          - Remote-Email
11
          - Remote-Name

常用配置场景#

场景一：为 Grafana 添加 2FA 保护#

1
access_control:
2
  rules:
3
    - domain: "grafana.example.com"
4
      policy: two_factor

场景二：公开某些路径#

如果你的应用需要公开 API：

1
access_control:
2
  rules:
3
    - domain: "api.example.com"
4
      resources:
5
        - "^/api/public/*$"
6
      policy: bypass
7
    - domain: "api.example.com"
8
      policy: one_factor

场景三：不同用户不同权限#

1
access_control:
2
  rules:
3
    - domain: "admin.example.com"
4
      subject:
5
        - "group:admins"
6
      policy: one_factor
7
    - domain: "admin.example.com"
8
      policy: deny

FAQ#

Q：Authelia 需要多大的服务器资源？

A：约 50MB 内存，CPU 几乎无占用。Redis 也只要 30MB 左右。总占用不到 100MB。

Q：有了 Authelia，我是否需要为每个服务配置 HTTPS？

A：不用。Authelia 通过反向代理统一管理 HTTPS，你只需要在反向代理层面配一次 TLS 证书，所有后端服务都可以通过 HTTP 通信（在内网）。

Q：用户登录后能访问所有服务吗？

A：可以，只要 session 有效，Authelia 在所有配置了 auth_request 的域名之间共享同一个会话。

Q：手机浏览器支持吗？

A：支持。Authelia 的登录页面是响应式设计，手机浏览器上也能正常使用 + TOTP 扫码。

Q：怎么添加新用户？

A：编辑 users.yml，用 authelia hash-password 生成密码哈希，重启容器即可。

Q：忘记管理员密码了怎么办？

A：重新生成哈希并更新 users.yml，重启容器。

总结#

Authelia 是自建服务生态中不可或缺的一环：

✅ 统一认证——一个登录入口保护所有自建服务，告别每个服务各自一套密码
✅ 2FA/TOTP 内置——无需额外配置，开箱即用，大幅提升安全性
✅ 极轻量——Go 编写 + Redis 会话，100MB 内存搞定
✅ 灵活访问控制——按域名、路径、用户组精细控制访问权限
✅ Nginx/Traefik/Caddy 全兼容——适配主流反向代理

如果你搭了 3 个以上的自建服务并暴露到公网，Authelia 是值得花 30 分钟配置的安全投资。

本文由小啪撰写，基于 Authelia v4.38。

音乐

广告