群晖勒索风暴之后：今晚就把路由器里这些端口映射删掉

10月底这几天，无数群晖用户的相册目录里多了同一个新文件：一份勒索信 read-me3.txt，照片、视频、工作文档整整齐齐被加上 .L0CK3D 后缀。而比勒索金额更扎心的，是排查结果——这次被利用的漏洞，官方早在2024年12月就修复了。知乎

先把事实捋直：群晖安全团队已确认，这波攻击利用的是2024年12月就已知并被修复的旧漏洞，官方建议也很直接：尽快升级DSM。集中中招的绝大多数是一直没升级的设备，其中不乏怕升级失效的黑群用户。但故事没有到此为止：已有少量用户更新到最新DSM仍然中招，入口被怀疑与第三方套件或凭据泄露有关，官方仍在追查。也就是说，“我打过补丁"不等于"我安全了”。在常年给NAS做安全加固的从业者眼里，病根只有一个：别让管理后台直接暴露在公网。扫描器不挑品牌，不讲故事，它只找开着的门。微博微博知乎知乎小红书

所以这波风暴真正该改写的，是你选远程访问方式的顺序——先问"能不能被扫到"，再问"方不方便"。按暴露面从高到低，常见6种玩法重排一遍：

• 端口映射（直开5000/5001）：本次中招设备的典型姿势。等于把DSM登录页挂到全世界扫描器眼皮底下，赌的是"补丁永远快过攻击"。知乎

• IPv6全放行：隐藏雷区，很多人以为没有公网IPv4就安全，其实运营商默认分配v6地址，防火墙一放行和裸奔没区别。

• DDNS+HTTPS直连：通道加密了，但门还立在那儿，登录页照样被爆破。

• QuickConnect：不开端口，安全底子还行，代价是走官方中继、速度不可控，应急传个文档够用，日常拖大文件憋屈。

• 自建frp/反向代理：NAS少暴露一点，但你的公网中转机成了新暴露面，安全水平=你的运维水平。

• VPN/组网（Tailscale类方案）：目前唯一能让NAS在公网上"隐身"的路线，访问全在加密虚拟局域网里完成。群晖官方的应急建议里同样写明：移除管理界面的公网暴露，改用VPN类通道访问。小红书

然后是今晚就能做完的自查清单，顺序记住六个字：先关门，再补底，留后路：

1. 删掉路由器里所有指向NAS的端口转发，5000/5001首当其冲。小红书

2. 升级系统并开启自动更新，看到系统更新直接升就对了。知乎

3. 停用SSH终端与闲置账号，管理员密码用独立长密码。

4. 重要目录安排快照与不可变快照，并保留独立备份。

5. 留一份能拔掉网的离线冷备份——这波不少人连本机备份目录都被一起加密，快照防不住被远程删，冷备份可以。知乎

这次事件最该记住的不是恐慌，而是一个朴素的道理：补丁可以迟到，暴露永远在算总账。只要门是开着的，任何品牌的NAS都只是"还没轮到"。今晚花十分钟打开路由器管理页，把那张转发列表看一遍——这可能是你今年做过最便宜、也最值的一笔安全投资。