双11拆箱的新NAS到家，很多人第一反应是：打开教程，装 Docker。
停。10月底到11月，比"折腾"更值钱的是"别被入侵"。 群晖那波勒索风暴才过去两周——10月28日凌晨起，国内外各大 NAS 社区陆续传出群晖设备遭大规模勒索攻击的消息，大量用户中招。被加密的文件统一追加 .LOCK3D 后缀，这个新家族暂被命名为 C3RB3R。知乎知乎知乎
刚上车的新手，头一周把这 5 件事办了。
1、先把"芝麻开门"关掉。 路由器端口转发、UPnP，不用就关死，FTP、WebDAV 用不上就停用——正儿八经对外提供服务，就没见过直接裸着放的。中招设备很多都栽在同一个问题上：公网还挂着 5000/5001 这类管理面板端口、安全补丁又没打全的设备，成了这轮自动化脚本的首批猎物。远程访问，厂商中转或者自己组个隧道就够：别指望中转满速，高峰期基本没速度，公网 IP 运营商也大概率不给——这是便利的代价，跟安不安全是两码事。知乎知乎哔哩哔哩
2、自动安全更新打开，再自查一遍。 最新版中招不等于最新版有"天顶星 0day"——入侵也可能来自套件、泄露的凭据或被暴露的服务，先打补丁，再排查暴露面。开了双重验证、设了强密码、升级到最新 DSM 照样中招的案例确实存在。顺手翻一眼存储卷根目录：发现随机字母命名的隐藏目录，别慌着乱删，先留证据再求助——那位自认"从没暴露公网"的威联通用户，硬盘里就躺过这么一位，而且躺了 118 天。“没中勒索"不等于"没被入侵过”，这句话值得刻在机顶。知乎知乎知乎
3、RAID 不是备份。 勒索病毒在文件系统层面直接改写文件，阵列不但救不了你，还会在毫秒级把加密乱码同步写进每一块镜像盘。常年插在 NAS 上的外接盘、还在自动同步的网盘，都会跟着一起遭殃。重要数据单开一路：NAS 一份、移动硬盘一份（拷完就拔）、隔离云端一份，全家人的照片，别让它只躺一个机器里。知乎
4、涨价周期，别交无知税。 这轮硬盘涨价不是商家乱涨，是上游存储产能被 AI 数据中心抢走了。整机也一样"越等越贵"，玩了20台NAS的老手双十一都替你捋不清价。知乎哔哩哔哩
补盘第一句：买 CMR，别买 SMR——需要频繁改写、持续写入和 RAID 重建的环境，靠的是 CMR 这种不重叠记录方式换来的稳定写入表现。知乎
第二句：别只认"多少 TB"。同为 20TB，两款酷狼 Pro 的标称年工作负载一个是 550TB、一个是 300TB，下单前核对完整型号；第三句，四盘位不必一次插满，容量是层层加的钱坑——7200 转校验时会嗷嗷叫，卧室党慎装。知乎
5、最后，别被"鄙视链"吓住。 NAS 圈确实有鄙视链，"手机瘦身、备份照片"派被踩在底层——但不允许需求不同，是圈子的病，不是你的错。一家人连上 WiFi，照片自动汇总进 NAS；电影后台慢慢挂着下，下完自动整理成海报墙，电视上一点就播。把这三件事跑顺一个月，你再决定要不要碰 Docker，不迟。小红书知乎
开箱当晚的十分钟就做四件事：关转发、开自动更新、跑一遍照片备份、建第一份离线备份。把公网端口关掉、把补丁打上，保个平安。折腾是第二年的事，活着是第一个星期的事。知乎
