〇、方案选型：为什么是 WebDAV + Remotely Save#

先把候选方案摆上桌。同等「自建、多端同步」需求下，常见的四条路：

选型的三条决定性理由：

1. 便宜的机器经不起再养一个数据库。本站服务器 2 GB 内存已跑着图床，CouchDB/Nextcloud 一类「为了同步再开一整个全家桶」的方案直接出局。而 rclone serve webdav 是一个二进制的事，内存占用几乎可以四舍五入为零；
2. WebDAV 是被 Obsidian 插件生态充分支持的通用协议。Remotely Save 官方支持 WebDAV，配置只有地址、账号、密码三项，没有专有协议绑架——哪天不想用它了，同一个 WebDAV 端点还能给 Cyberduck、rclone、系统文件管理器复用；
3. 能复用现成的 Nginx + certbot 体系。绝大多数人自建服务的机器上已经有 Nginx 和证书自动续签，加一个子域名反代是增量里最小的那种。

官方 Obsidian Sync（约 $4–8/月）当然省事，但它解决的是「懒得自建」而不是「不能自建」。本文面向后者。

一、架构与前置条件#

1
Obsidian（Remotely Save 插件）
2
   │  HTTPS + Basic Auth（rclone 校验）
3
   ▼
4
https://sync.你的域名.com
5
   │
6
   ├─ DNS：A 记录 → 你的服务器公网 IP
7
   │
8
Nginx（:80/:443，certbot 证书，80 强制 301 到 443）
9
   │  反代到 127.0.0.1:8082（本机回环，公网摸不到裸端口）
10
   ▼
11
rclone serve webdav（systemd 常驻，--user/--pass 认证）
12
   │
13
   ▼
14
/var/lib/obsidian-sync/     ← vault 真身（普通目录，随便备份）

1
sudo apt-get update
2
sudo apt-get install -y nginx rclone certbot python3-certbot-nginx
3
rclone version   # 本文实测 rclone v1.60.x，任何 1.5x+ 都够用

二、服务器侧复刻步骤#

下文用两个占位符，照抄时替换：

• sync.你的域名.com —— 本文实站为 sync.mstzuomu.space；
• 账号 obsidav、密码 —— 密码自己生成，不要抄示例。

1
sudo mkdir -p /var/lib/obsidian-sync
2
sudo chown "$USER":"$USER" /var/lib/obsidian-sync
3

4
# 24 位随机密码（去 base64 特殊字符，避免 shell/配置里转义麻烦）
5
PASS=$(openssl rand -base64 24 | tr -dc 'A-Za-z0-9' | cut -c1-24)
6
echo "$PASS"   # 记下来，稍后填进 systemd 和 Obsidian

1
[Unit]
2
Description=rclone WebDAV server for Obsidian vault sync
3
After=network.target
4

5
[Service]
6
User=你的登录用户
7
ExecStart=/usr/bin/rclone serve webdav /var/lib/obsidian-sync \
8
    --addr 127.0.0.1:8082 \
9
    --user obsidav \
10
    --pass YOUR_PASSWORD \
11
    --dir-cache-time 1s
12
Restart=on-failure
13
RestartSec=5
14

15
[Install]
16
WantedBy=multi-user.target

1
sudo systemctl daemon-reload
2
sudo systemctl enable --now rclone-obsidian-webdav
3
systemctl is-active rclone-obsidian-webdav   # 期望：active
4

5
# 本机冒烟（207 Multi-Status = WebDAV PROPFIND 正常）
6
curl -u "obsidav:$PASS" -X PROPFIND -H 'Depth: 1' http://127.0.0.1:8082/

1
server {
2
    listen 80;
3
    listen [::]:80;
4
    server_name sync.你的域名.com;
5

6
    # 笔记附件里有图/PDF，上限别太小；与常见图床站保持一致用 100m
7
    client_max_body_size 100m;
8

9
    location / {
10
        proxy_pass http://127.0.0.1:8082;
11
        proxy_http_version 1.1;
12
        proxy_set_header Host $host;
13
        proxy_set_header X-Real-IP $remote_addr;
14
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
15
        proxy_set_header X-Forwarded-Proto $scheme;
16
        # WebDAV 上传希望边收边转，别在 Nginx 落盘缓冲
17
        proxy_request_buffering off;
18
        proxy_buffering off;
19
    }
20
}

1
sudo ln -s /etc/nginx/sites-available/sync /etc/nginx/sites-enabled/
2
sudo nginx -t && sudo systemctl reload nginx
3

4
# 此时带 Host 头应能透传到 rclone（401 = 认证层已生效）
5
curl -s -o /dev/null -w '%{http_code}\n' -H 'Host: sync.你的域名.com' http://127.0.0.1/
6
# 期望 401（未带账密被 rclone 拒绝；不是 502 就说明反代通了）

1
nslookup sync.你的域名.com 你的权威NS   # 如 ns1.qeodns.com

1
sudo certbot certonly --nginx -d sync.你的域名.com \
2
  --non-interactive --agree-tos --register-unsafely-without-email

1
server {
2
    listen 443 ssl;
3
    http2 on;
4
    server_name sync.你的域名.com;
5

6
    ssl_certificate     /etc/letsencrypt/live/sync.你的域名.com/fullchain.pem;
7
    ssl_certificate_key /etc/letsencrypt/live/sync.你的域名.com/privkey.pem;
8
    include /etc/letsencrypt/options-ssl-nginx.conf;
9
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
10

11
    client_max_body_size 100m;
12

13
    location / {
14
        proxy_pass http://127.0.0.1:8082;
15
        proxy_http_version 1.1;
16
        proxy_set_header Host $host;
17
        proxy_set_header X-Real-IP $remote_addr;
18
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
19
        proxy_set_header X-Forwarded-Proto $scheme;
20
        proxy_request_buffering off;
21
        proxy_buffering off;
22
    }
23
}

1
server {
2
    listen 80;
3
    listen [::]:80;
4
    server_name sync.你的域名.com;
5
    return 301 https://$host$request_uri;
6
}

1
sudo ln -sf /etc/nginx/sites-available/sync-ssl /etc/nginx/sites-enabled/
2
sudo nginx -t && sudo systemctl reload nginx

1
# 1. 未带凭据必须被挡在门外
2
curl -s -o /dev/null -w '%{http_code}\n' -X PROPFIND -H 'Depth: 1' https://sync.你的域名.com/
3
# 期望 401
4

5
# 2. 带凭据列目录 = WebDAV 正常
6
curl -s -o /dev/null -w '%{http_code}\n' \
7
  -u "obsidav:你的密码" -X PROPFIND -H 'Depth: 1' https://sync.你的域名.com/
8
# 期望 207
9

10
# 3. 写入
11
echo "hello obsidian" > /tmp/smoke.md
12
curl -s -o /dev/null -w '%{http_code}\n' \
13
  -u "obsidav:你的密码" -T /tmp/smoke.md https://sync.你的域名.com/smoke-test.md
14
# 期望 201
15

16
# 4. 读回
17
curl -s -u "obsidav:你的密码" https://sync.你的域名.com/smoke-test.md
18
# 期望原样输出 hello obsidian
19

20
# 5. 删除
21
curl -s -o /dev/null -w '%{http_code}\n' \
22
  -u "obsidav:你的密码" -X DELETE https://sync.你的域名.com/smoke-test.md
23
# 期望 204

三、Obsidian 客户端：Remotely Save 配置#

1. Obsidian → 设置 → 第三方插件 → 浏览 → 搜索 Remotely Save（作者 fyears）→ 安装并启用；
2. 进入 Remotely Save 设置：

3. 首次同步务必先确认方向：设置页有「Force Upload / 强制上传」与「Force Download / 强制下载」一类按钮（不同版本措辞略有差异）。空仓库起步时先 Force Upload 把本地内容推上去；若远端已有数据、本地是空的，才 Force Download。方向搞反的代价是整库被空内容覆盖——这一步别靠肌肉记忆；
4. 多 vault：同一端点下用子路径区分，如 https://sync.你的域名.com/日记/、https://sync.你的域名.com/工作/，目录不存在时插件会自行创建（rclone 端 MKCOL 默认允许）。

验收：手机和电脑各装一份插件指向同一地址，一边改一行字触发同步，另一边拉下来——链路即宣告打通。

四、踩坑记录与日常运维#

以下均为本站实测踩过或现场规避的点，按严重程度排序：

1. rclone 绝不能绑 0.0.0.0/公网 IP。反代架构里裸 WebDAV 端口一旦暴露，就是全网扫密码的活靶子。固定 127.0.0.1，云安全组也不要放行 8082（或你选的端口）；
2. 大陆服务器 + 未备案域名 = 443 连不上。症状极具迷惑性：服务器本地 curl 全绿、证书正常、安全组也开了，外网就是超时——因为域名没备案。子域跟随根域备案，无需单独操作，但根域必须已备案；
3. 轻量服务器控制台防火墙默认不开 443。症状同上但域名已备案：本地通、外网不通。去控制台「防火墙」放行 443 即可；
4. --dir-cache-time 默认值是同步场景的暗坑。5 分钟目录缓存会让刚建的文件对其他设备「隐身」，表现为同步时偶发漏文件，重启服务又好了——就是缓存在作怪；
5. Windows 上管理 systemd 单元别硬拼引号。远程改 unit 建议写成临时 .sh 文件用管道传给 ssh ... bash -s，比在 PowerShell 里嵌套多层引号可靠得多；
6. 改密码的完整动线：重新生成 PASS → 改 unit 文件 ExecStart → sudo systemctl restart rclone-obsidian-webdav → 同步更新所有设备上 Remotely Save 的密码（漏一台的症状是那台设备 401）；
7. 备份就是拷目录。同步端点本身不是备份（设备 A 删了，同步会把删除带到所有端和服务器）。建议在服务器上加一条 cron 定期打包：

1
# 每天 04:10 打包，保留最近 14 份
2
10 4 * * * tar -czf /var/backups/obsidian-sync-$(date +\%F).tar.gz /var/lib/obsidian-sync && \
3
  find /var/backups -name 'obsidian-sync-*.tar.gz' -mtime +14 -delete

五、写给复刻者的最短路径#

1. 服务器：apt install nginx rclone certbot，建 /var/lib/obsidian-sync，openssl rand 生成密码；
2. 写 rclone-obsidian-webdav.service（绑 127.0.0.1:8082、--dir-cache-time 1s），enable --now，本机 PROPFIND 冒烟到 207；
3. Nginx 先配 HTTP 站点反代到 8082，nginx -t + reload；
4. DNS 加 sync A 记录指向服务器，等权威 NS 应答；
5. certbot certonly --nginx 签证书，升级 443 配置，80 改 301；
6. 跑 §2.6 五条 curl 验收，全绿；
7. 装 Remotely Save，填地址/账密，首次先 Force Upload 确认方向，双端对拷验证；
8. 加备份 cron，收工。

方案便宜、链路透明、每一段都能用 curl 单独验证——笔记是长期资产，同步后端值得用这种「随时能看穿」的朴素架构。祝各位一次跑通。