NAS外网访问怎么开才安全？我把5001端口裸奔了一周，最后只留一个UDP口

上个月我把群晖DS220+的DSM端口映射到公网，心想改个复杂密码总没事。结果第二天打开日志中心，满屏都是陌生IP在试admin、试123456，一连试了几十个。我这才明白，端口挂出去那一刻，这台机器已经进了公共靶场。

后来我把群晖和飞牛N100都折腾了一遍，最后只留一个UDP口对外。这篇不教你背参数，只说我踩过的顺序：先把四条路分清，再说为什么直接端口映射最危险，最后给一套我现在用的方案。

四条远程访问的路，先摆在一起

想在外面连家里NAS，绕来绕去就这四类：厂商自己开的中继、DDNS加端口映射、自建内网穿透、VPN组网。没有哪条是绝对好，得看你要干的事。

群晖的QuickConnect和飞牛的FN Connect都属于第一类，装好、登录账号就能用，不用动路由器。缺点是走厂商服务器中转，速度容易飘，QuickConnect慢的时候我拿手机看张照片能转三秒，这事我之前在群晖QuickConnect为什么这么慢里拆过。飞牛的FN Connect也是同理，IPv6能不能直连差别很大，飞牛FN Connect为什么时快时慢这篇说过。

DDNS加端口映射是传统做法，好处是直连快，坏处是你得会配路由器，还得有公网IP。我在在外面怎么连家里的NAS里把DDNS、内网穿透、IPv6三条路都试过，第一次弄的人先看那篇把概念立起来。

自建内网穿透是没公网IP时的一条路，但它是拿一台云服务器当跳板，速度看服务器，安全性看配置。VPN组网我放到后面重点说，它是我现在最愿意留的那条。

直接端口映射为什么最危险

先把话说直：把DSM的5001、SMB的445、SSH的22直接挂到公网，等于把你家门牌号和门锁一起贴在大马路上。扫描器跑一个网段只要几分钟，它根本不用认识你是谁。

我用群晖日志中心数过一次，把5001开出去的头两天，来自十几个国家的IP轮流撞，失败记录刷得飞快。群晖控制面板里的「安全性→自动封锁」能挡一部分，比如5分钟内错5次就把这个IP封了，可这只能挡笨的。真碰上漏洞或弱口令，一次就成了。

最容易忽略的是SMB端口。很多人只在路由器上把445转发出去，图的是外面也能像局域网一样打开文件夹。结果SMB本身就不是为公网设计的，老版本还有不少洞。勒索病毒当年那么多NAS中招，很大一部分就是管理端口和SMB被扫进去，NAS会被勒索病毒盯上吗里那三道闸，第一道就是不乱开端口。

所以我的底线是：管理页面、SMB、SSH这三个，能不对公网就不对公网。改个非默认端口能减少点噪音，但别把它当安全，扫描器不是靠猜端口的。

想要网页方便，就上HTTPS加反向代理

如果你确实要在外面用浏览器打开NAS管理页、相册、Jellyfin这些，那就别把一个个端口裸开。给它们套一层反向代理，只暴露一个443，配好HTTPS，至少流量不裸奔。

我在飞牛N100上装的是Nginx Proxy Manager容器，官方叫npm。装的时候把80、443、81三个口映射出来，81是它的管理页，然后给域名申请Let's Encrypt证书。以后要加服务，就在里面填域名、内网IP、端口，勾上强制HTTPS，外面统一走443，里面走谁的5001、8096都行。

这步的前提是得有个域名，再把DDNS配好。域名怎么动态更新，可以看ddns-go怎么用那篇，IPv6前缀老变的情况下它也能追得上。

这里还有个现实问题要说：很多家庭宽带的运营商把80和443入站封了，我自己家就试过，443怎么都不通，只能把反代外部端口改成8443。真遇到别硬刚，访问时网址后头带上端口号就行，里面还是443，外面用8443，证书申请也可以走DNS验证，不一定非要80端口通。还有，证书一般三个月到期，用npm这种能自动续的，别手动记日子。

配完最好再加一层账号防线：把默认admin改掉，开两步验证。群晖和飞牛现在都支持，手机上装个验证器，就算密码漏了还得多过一关。反向代理解决的是“路上不裸奔”，管不住“门口有人硬撞”。

真正让我安心的是VPN：WireGuard和Tailscale

折腾一圈后我发现，家用场景最省心的不是让每个服务都上公网，而是只开一条加密隧道，人在外面先进隧道，再像坐在家里一样访问所有东西。

我自己的方案是WireGuard加wg-easy容器。路由器上只转发一个51820的UDP端口到NAS，别的口全关。UDP有个好处，扫描器很难知道这个端口到底有没有服务，更不知道协议怎么回。手机装个WireGuard客户端，导入二维码就通。

如果你家没公网IP，或者不想动路由器端口，那就用Tailscale。它不用开任何入站端口，靠两边的节点自己打洞。我给媳妇手机装了一个，连上后直接访问NAS的局域网IP，看照片、拖文件都能走，前提是每台设备都登录同一个账号，设备丢了还能在后台踢掉。

要提醒一句：WireGuard给你的是加密通道，不等于密码可以摆烂。通道里的NAS账号密码该复杂还复杂，两步验证该开还开。VPN只是把门藏起来了，不是把门拆了。

我踩过的三个坑，照着避

折腾这两个月，真正耽误时间的不是配置难，是几个小地方来回翻车。

• 别一边上反代一边留旧端口转发。我一开始给Jellyfin配了反向代理，可路由器上原来那条8096转发忘了删，等于新门装好了，旧门还开着。改完新方案，第一件事就是把旧规则逐条删掉，别留后门。
• 容器要设成开机自启。Tailscale、npm这些常驻货，建容器时把重启策略设成unless-stopped，不然NAS一跳电，隧道和反代不会跟着爬起来。群晖和飞牛网页后台都有自动重启开关，装完顺手勾上。
• 手机连上VPN还要接受子网路由。我用Tailscale的机器访问192.168.1.x网段时，一开始老不通，是没在NAS那条节点上跑tailscale up --advertise-routes=192.168.1.0/24，再到管理后台把这条路由确认开启。只连上隧道不代表整个局域网都自动看得见。

这三个坑都不复杂，但没人点一下，新手容易在最后一步反复怀疑自己配错了。改完一条就用手机流量切出去试一次，别在同一个WiFi里自测，那样测不出来。

最后按你的需求对号入座

我把几条路按需求排成一张表，你照着第一列看就够。

我现在最后留的配置是：Tailscale常年挂着，自己手机和电脑走它；需要给家里人临时用，就用NAS自带的分享链接；5001、445、22这些口在路由器上全关。日志中心终于安静了。

如果你现在还在把5001直接挂公网，先做一件事：去路由器把这条转发删了，再进NAS把自动封锁打开。剩下的反代和VPN，可以一条一条慢慢加，先把门关上，再谈装修。