好消息是nas有公网，坏消息是被黑了

现在的 NAS 想要连外网太容易了，IPv6、DDNS、内网穿透、官方套件……大家越来越习惯随时随地访问 NAS，各种服务往外发。

但这事儿有个隐患：安全问题越来越多。比如最近的一些 NAS 安全攻击事件。

不是说公网不好，我可没说。我本人就是公网开的飞起，但是前提是你搞得定网络安全。坏消息就是，小白搞不定。

传统的 DDNS、端口映射，看着是方便。可普通用户根本搞不定防火墙、WAF、可信、TLS这些复杂策略。结果就是在互联网上“裸奔”，安不安全全看运气。

我个人觉得，现在适合 NAS 的远程访问方式，应该是“异地组网”。它要求每个点都得通过安全客户端入网，听着麻烦，但这意味着外人基本没机会入侵。

图片

一、公网 IP + 端口转发 ≈ 自动售货机

以前很多 NAS 攻略，第一步就是搞公网 IP。然后让大家去做光猫桥接，做好端口映射，去开通 UPnP，更激进一点的说直接开 DMZ。

图片

这样做的好处很多，比如可以获得更好的网络连接性，方便 PT 上传；比如随时随地都可以访问家里的服务，无需借助外力。

图片

但实际上，你这是把家庭网络直接扔到了互联网上。

全世界的扫描器都能探到你的设备。尤其是使用 Qbittorrent 等种子下载工具的场所，IP 更是直接暴露在列表里。

图片

这就好比把你家的门牌号贴在了世界地图上，虽然你可以锁门，但并不妨碍坏人知道你家在哪里，并日夜不停地尝试撬锁。

现在 NAS 上跑的 Docker 越来越多，图个方便，大家都懂。

但是大家也要知道，docker 应用的质量良莠不齐，并不是所有开源开发者对安全都很在行。

图片

所有那些获取了 root 权限、根目录的 docker ，本质上就是一个定时炸弹。

你每多做一个路由器的端口转发，就多了一条进攻你 NAS 的通道。哪天爆个通用漏洞，别人扫网就能长驱直入。

图片

二、端对端加密 + P2P 直连

真正的安全组网，得学会隐身。企业里最典型的就是 VPN，搭条专属通道，隔绝外部访问。

那么个人用户如何做到这个效果呢？没错，异地组网。

虽然实现方式有很多，从传统的 IPsec/SSL VPN，到运营商级的 MPLS 专线，再到云端的 VPC 互联等，但对于个人和家庭用户来说，基于 Overlay 的虚拟局域网 是目前最符合“隐藏踪迹”这一安全哲学的方案。

图片

以飞牛、绿联、极空间等国产NAS的应用中心都上架的组网工具 —— 节点小宝为例，来具体解释一下为什么我们说异地组网更好。

图片

基于 Overlay 的虚拟局域网工具，通过一些创新的技术手段，它可以在复杂的 NAT 网络环境下实现跨网络设备的互联互通。

图片

最为常见的两种连接模式分别是：中转、P2P直连。

图片

1️⃣ 端到端加密

在多层 NAT 网络之后，连接性差，数据一般经由服务中间商进行转发。

很多人会对转发过程表示担忧，觉得经过中间商绕了一下，数据内容都会被第三方截取。

其实不必太过忧虑，工业级的 端到端加密（End-to-End Encryption），在正规的组网工具背景下是可以信任的（当然包括经过社区认证的开源服务）。

图片

这意味着，数据从 NAS 发送出来那一刻起就被加密，直到抵达你的设备解密，中间的任何节点都无法窥探数据内容。

2️⃣P2P 直连

如果你的两端网络连接性很好，那么恭喜你，P2P 直连成为了最优方案。

和服务器中转这种速度受限的方式不同，通过 P2P 打洞后，可以在连接性佳的多台设备之间建立一条直接的“虚拟专线”。

图片

服务商只负责牵线搭桥（握手），数据流完全不碰服务器。这就跟坐直达高铁似的，从 NAS 直通你手机，不经过第三方。速度快，延迟还低。

图片

这种架构让异地组网成为了一套符合现代安全标准的远程访问方案：隐身于网络之中，直连于设备之间，加密于数据全程。

图片

结语

公网 IP 是好东西，这没得黑。但前提是你得懂安全防护。

NAS 的初衷是私有与掌控，如果只为了公网访问的便利，却牺牲了安全性，无异于买了一个保险箱却把钥匙挂在了门外。

要是你觉得自己网络技术不太硬，建议试试“异地组网”，这招更聪明，也更低调。

异地组网工具使用“零端口暴露”来隐身，用“P2P 直连”保速度，用“端到端加密”护隐私，完美诠释了 “数据只在你的设备间流” 这个道理。

马上过年了，回家前部署一下节点小宝等异地组网工具（飞牛、绿联、极空间都是内置的，直接在应用中心安装），无论在哪里都可以随时随地访问自己的 NAS，又好用又安全！

作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～