NAS私密文件怎么加密？群晖加密共享文件夹我设了一个，密码忘了神仙也救不回

大刘上个月搬了新家，他那台二手收来的DS920+跟着进了电视柜。装修收尾那阵子他家跟赶集一样，师傅一拨接一拨，他忽然反应过来一件事：这台机器要是被人顺手端走，盘里媳妇孩子五年的照片、还有一堆证件扫描件，在人家电脑上就是插根线就能翻的几个文件夹。他跑来问我有没有办法，我说有，群晖有个东西叫加密共享文件夹，我陪你设一遍。

权限管的是门，加密管的是保险柜

先把两个东西掰开，很多人混着用。

我之前写过一篇讲给家人开账号、设权限的，那套东西管的是「谁能登录进来」。我爸拿admin账号把我的文件夹拖没了，是权限没设好；蹭网的、翻NAS的亲戚，也是权限的事。但权限有个天花板：它是长在系统里的，系统跑起来才生效。硬盘一旦离开这台机器，被插到别的电脑上，什么账号权限统统作废——文件系统直接挂载，里面的东西一览无余。

加密换了个思路：文件落盘的时候就是密文，密码不输，谁来都一样。NAS整台被搬走、硬盘单独被拔、机器拿去送修、哪天出二手忘了擦盘，盘到了别人手里就是一堆打不开的乱码。打个比方，权限是门锁，防的是走进你家的人；加密是保险柜，防的是把整个柜子搬走的人。NAS放在自己独门独户的书房里，门锁够用；放在客厅、办公室、合租屋这种人来人往的地方，就值得上保险柜了。

还有一层：误删、盘坏这些灾，加密救不了，那是回收站和备份的活。加密防的是「数据落到不该拿的人手里」，就这一件事，但它把这件事做到了底。

建一个加密共享文件夹，五步

大刘家这台是DSM7，我照着新界面给他设的，全程五分钟。

第一步，控制面板，共享文件夹，新增。名字他起的「私密」，跟建普通文件夹一个入口。往下翻选项，有个勾选框叫「将此共享文件夹加密」，勾上。下面立刻多出两行输入框，让你设加密密钥，输两遍。这个密钥就是以后开锁的密码，跟admin密码、与家人的账号密码都是两码事，别设成一样的。

第二步，勾选容量配额那些照旧，确定。这时候列表里的「私密」文件夹跟别的长得一模一样，右下角多了个上锁的小标记。

第三步，建完会问你要不要现在装载，选是，输一遍密钥，文件夹进入可用状态，往里拷东西、手机相册备份指过去，都跟普通文件夹没差别。用的人感知不到加密存在。

第四步，顺手把密钥导出来备份。还是控制面板、共享文件夹，页面顶上有个「加密」的页签，点进去是密钥管理器。里面能把这个文件夹的密钥导出成一个文件，存到你自己邮箱或者打印出来锁抽屉。这一步我按着大刘的头让他做完了，为什么这么较真，下一节说。

第五步，右键这个文件夹，加密，卸载。卸载完再看，File Station里它就剩一个名字，里面空的，管理员自己也看不见。这就是「上锁」状态。想用了再右键装载，输密钥，回来。日常就这两下。

三笔账，设之前要想清楚

这功能不是白用的，有三笔账我先摊开，谁劝你无脑上你就把这三条甩给他。

第一笔，密码忘了，神仙也救不回。群晖官方的原话说得很直白：加密密钥丢失后无法恢复数据，官方也破解不了。这不是客服吓唬人，加密的意义就在这——连厂商都打不开，才轮不到别人打开。所以密钥必须有两处备份，导出的密钥文件存一份，密码本身写在纸上贴保险柜或者记进密码管理器再来一份。大刘导完密钥我让他当场给自己发了封邮件，他不情不愿的，说至于吗。我说你相册库一万八千张照片全在里面，至于。我之前写过误删救援那篇，回收站能捞的是「删了」，这种「锁死了」的，真没有后悔药，比出二手前擦盘还不归路，擦盘至少是你主动的。

第二笔，性能打折。这套加密底层是Linux的eCryptfs，一层叠在文件系统上面的实时加解密，文件写进去算一遍，读出来再算一遍。我们往里拷了六十来个G的视频，速度比拷到普通文件夹慢一截，能感觉出来；照片这种小文件、手机自动备份这种慢速写入，完全无感。所以适合放证件、相册、合同这些「量不大但金贵」的东西，把下载的几个T电影塞进去，纯属自己给自己上刑。

第三笔，小别扭。加密文件夹里的文件和文件夹名字有长度上限，官方规范写的一百四十三个字符，正常起名碰不到，但堆目录的下载党、自动生成的超长文件名，偶尔会撞上复制失败。撞上了把名字改短就行，不是坏了。

重启之后，装着还是锁着

有个事必须提前知道：NAS重启之后，加密文件夹默认是卸载状态的。停电一来电，别人开机进不去，你自己也进不去，得手动装载输一遍密钥。

嫌烦的话，密钥管理器里有个「启动时装载」的选项，勾上，密钥存在NAS本机，开机自动解锁。这等于把保险柜密码贴在保险柜门上——机器整台被抱走的话，人家开机等它自己解锁就行，加密的意义打了对折。大刘的折中办法我觉得挺聪明：常用的相册库设了启动装载，反正照片丢了心疼但不算要命；证件扫描件那个文件夹坚决手动，一年也开不了几次。你自己掂量哪边重。

顺带说一句，有次他担心「加密了会不会影响救援」，比如哪天存储空间出问题。官方有专门的处理文档，前提就一条：知道加密密钥。密钥在手，卷崩了照样能把加密文件夹装载到别的机器上读出来。所以又绕回那句话，密钥备份比什么都金贵。

防勒索这事，它只能帮一半

有人听说加密能防勒索病毒，这话对一半，得说清楚。

文件夹处于卸载状态时，勒索软件确实摸不到它，密文它也啃不动，这是真防住。但只要文件夹装载着——而你用的时候它必然装载着——勒索软件是拿着你的运行权限干活的，它看到的就是一个普通可写文件夹，照样给你加密成它要赎金的样子。锁是防小偷的，不是防骗子上门你还亲手把保险柜打开的。

所以真正的底牌还是那套老三样：快照留着，勒索加密了几分钟前的版本随时翻回去；重要东西按老规矩多备一份；再配个告警，出事第一时间知道。加密在这个体系里的位置是最后一道墙——就算全线失守，卸载状态的那几个文件夹还在。四道工序各管各的，谁也替代不了谁。

飞牛和其他NAS怎么办

写群晖不是因为只有群晖好，是我手上正好有大刘这台可以折腾。飞牛这边我把自己那台的设置翻了个遍，没找到图形界面的加密共享文件夹，官方论坛也一直有人在催这个功能，到目前为止我的版本上还是没有。哪天更新了，路径应该也跑不出去「存储空间管理」那一带，你可以自己翻一眼。

不过有个通用路子不挑系统：Cryptomator这类客户端加密。逻辑是文件在你电脑上、手机上先加密，再扔给NAS，NAS硬盘上从头到尾只存密文，它自己都看不懂。缺点是每个要看文件的设备都得装客户端、都得有密钥，家里人一多就麻烦；好处是任何NAS都能用，飞牛、组装机、甚至百度网盘都行。跟群晖原生加密比，一个是系统替你干，一个是你自己动手，看你的机器给不给力。

收尾给个对号：

大刘现在电视柜上那台机器，相册库启动装载图省事，证件文件夹锁着，密钥一份在他邮箱一份在他妈家抽屉。装修师傅再来几拨，他也不惦记这事了。