这几个月NAS圈的破事，比股市还热闹。群晖被C3RB3R勒索病毒打了好几次，文件后缀一夜变成.L0CK3D，有用户十几TB的家庭照片和工作资料直接锁死。最扎心的是，回头看大多数中招案例，都绕不开同一个姿势：路由器开着UPnP，把DSM管理端口5000、5001直接"透"到了公网上。说白了，门是自己开的。知乎知乎哔哩哔哩小红书
先自查：你的NAS是不是在裸奔
打开路由器后台，看看有没有这三个习惯：
UPnP开着，NAS自己"顺手"把端口捅到了公网；
手动映射过5001、22或者8088，理由多半是"外面访问方便"；
后台只靠一个密码守着，两步验证从没开过。
中任意一条，先别关心数据值多少钱，先断掉这个公网入口再继续看。顺便说个扎心又保命的事实：家宽绝大多数没有公网IPv4（运营商CGNAT），端口映射本来大多无效——能映射通的，不是运气好，是在裸奔。知乎
远程访问的四条路，怎么选看你到底要干嘛
门是关上了，人还得在外头用NAS。主流就四条路，各有各的坑：
官方中转（QuickConnect这类）。最省事，装完就能用。代价是速度全看时段和负载，网页功能基本够用，SSH之类的想都别想。知乎
虚拟局域网（Tailscale / ZeroTier / WireGuard）。多数家庭的最优解：设备组一个"云上内网"，不用对外开任何端口，黑客连你都找不着。ZeroTier个人免费额度是10台设备，Tailscale个人版免费额度日常也够用。坑在于每台要访问的设备都得装客户端，且部分公司网络会拦UDP打洞，打洞失败时速度会比较难看。知乎
第三方穿透（路由侠、快解析这类）。适合"发条链接给别人看"的场景，对方什么都不用装。但免费额度卡得死：路由侠体验版1Mbps、每月1GB，快解析免费版每月2GB流量，付费档一千多一年起——指望它回家看电影的不太多。
公网IP＋DDNS。速度天花板，家宽里的隐藏福利。但快和暴露是一体两面：默认端口要改、只走HTTPS、开两步验证和登录失败自动封锁、DSM版本保持更新，少一样都可能让你出现在下一波事故名单里。小红书
访问方式见仁见智，这三条底线没有
关UPnP、升DSM、开两步验证，这三条零门槛的保命动作，优先级比纠结选哪条路高。能不能兜住底还得看备份离不离线：这次风暴里两台互相备份的NAS被一锅端，快照在机器上就跟着机器一起被加密。真想留颗"后悔药"，把重要数据定期冷备到断线的移动硬盘或第二台离线设备，平时麻烦十分钟，出事时值十几TB。小红书哔哩哔哩
这场风暴里，勒索病毒其实没"闯"进谁家，它只是挨个试了试那些自己没关的门。今晚花十分钟，打开路由器后台，把该关的洞关掉。
