登录
10月底，不少群晖用户一觉醒来天塌了：NAS里的文件全被加密，目录里多出一封勒索信。更让人窒息的是，这波.L0CK3D勒索病毒利用的漏洞，官方近两年前就已经修复了，扫描器在公网自动化撒网，中招最多的正是把管理端口映射出去的设备。知乎知乎
一夜之间，NAS圈集体进入"地堡模式"。有人吓得关了所有外网连接，连云同步都停掉，NAS真成了局域网服务器。安全是安全了，但问题来了：人在外面，文件怎么取？全家人的相册难道就此吃灰？知乎
其实"裸奔"和"断网"之间，还有第三条路：业务端口全留在局域网，出门的路只留一条隧道。
自己用，挖一条VPN隧道
大多数人的远程需求很简单：看看文件、盯个下载任务、偶尔改改Docker配置。这种场景的最优解是VPN组网，常用的是Tailscale和WireGuard。装上之后，手机和NAS加入同一个虚拟局域网，在外面照样用内网IP访问，相册、SMB、管理页面全都原样能用，相当于先连回家里，再像在家一样使用NAS。原理很朴素：对公网暴露的只剩一个加密监听端口，业务端口一个都不露，扫描器根本"看不见"你的NAS。Tailscale零配置，大多数情况下不必手动开放防火墙端口，能直连就直连，直连不了自动退回中继。WireGuard配合家宽IPv6直连更稳，两者都免费。知乎知乎
给家人用，只留一扇门
VPN对自己好使，但没法逼爸妈装客户端——给家人一个相册地址，浏览器打开、登录就能看照片，总不能先教每个人怎么组网。这类场景的正确姿势是反向代理：只发布一个网页入口，配好域名、HTTPS证书和强密码，NAS管理后台依然躲在局域网里。门牌可以让人敲，家门钥匙不能露。知乎
懒得折腾？厂商中继兜底
实在不想碰配置，还有厂商自带的保底方案：飞牛fnOS的FN Connect、群晖的QuickConnect，注册即用，会根据网络情况自动在中继和P2P直连之间切换。代价是中继要走厂商服务器，有流量成本，限速是必然选择。拿它当"偶尔瞄一眼文件"的兜底可以，别指望传几个G的素材。小红书
最后再唠叨两句
有公网IP的，别图省事用 IP:端口 裸连管理页面，你有公网IPv6，不等于必须把NAS的管理页直接开放到公网。至少套一层DDNS加证书，fnOS原生支持腾讯云、阿里云、华为云、花生壳、DuckDNS等家的DDNS。再把登录失败自动封锁IP打开。知乎小红书
还有，系统赶紧更新。这次群晖事件中，据说重灾区是怕更新导致引导失效的黑群晖用户，没打补丁的人被收割了。知乎
隧道不能防住所有风险，但能让你的NAS在绝大多数扫描器面前"隐身"。端口可以关，路不能断，这才是这波勒索事件教给DIY NAS玩家最实用的一课。
