群晖勒索风暴过去一个多星期，群里的画风变了。
前半周还在问：文件被加密了没？还有没有救？这周开始动手：删端口映射、解绑DDNS、连远程套件都关了——然后，很多人连自家NAS都进不去了。
有人留言很直白：“关掉外网访问后界面都进不去，算了，直接拔网线吧。”
拔网线不是解决方案，是把NAS判了死刑。群晖官方应急公告里其实写了一句话：移除管理界面的公网暴露，改用VPN类通道访问。门可以开，但要开一扇只有你找得到的门。知乎知乎
先说一个冷事实：这波烧的是"公网直连"姿势
据360反勒索团队10月29日预警与群晖安全公告，本轮涉及两条CVSS 9.8级的严重漏洞（CVE-2026-13639/13684），不需要账号密码就能远程读写文件。补丁9月就发了，中招的大多是没升级的设备；但也有已更新到最新系统照样中招的，入口目前仍有争议。知乎
唯一的共识是：中招的NAS，管理端口都能被公网直接访问到。而且这不只是群晖的问题——有威联通用户案发后去翻TS-251的日志，发现自家机器118天前就被攻陷过。安全研究者的实测分析也指出，飞牛的fnos.net输入一个nasID就能拿到设备的公网IP。知乎知乎知乎
四条路线，按"你在公网上露了多少"从多到少排
1、端口映射+公网IP：最快，也最敢露。 典型的中招姿势，等于把登录页挂到全世界扫描器眼皮底下，赌"补丁永远快过攻击"。这个周期别用；非要留公网，至少随机端口＋两步验证＋前置WAF。知乎
2、厂商中转（QuickConnect、极空间、绿联、飞牛APP）：零映射、开箱即用。 代价是中继速度不可控——应急传文档够用，日常拖4K素材会憋屈。另外"ID式入口"这类会泄露设备信息的功能，能关就关。
3、IPv6直连：双刃剑。 很多人以为没有公网IPv4就安全，但运营商默认就下发v6地址，防火墙不放好，和v4裸奔没区别。反过来，v6防火墙只对自己放行，就能零映射拿到直连速度。新动向：中国移动已联合极空间在11月4日启动IPv6家庭NAS直连加速试点（江苏先行），方向就是砍掉云中继、把外网访问速度提上来。知乎知乎
4、组网（Tailscale、ZeroTier、蒲公英X1一类旁路组网）：让NAS从公网上"隐身"。 手机、电脑和NAS组成一张加密虚拟局域网，公网上没有任何路能摸到你。补丁迟到不再是生死题——这正是官方推荐的VPN类路线。代价：两端都要装客户端，免费档有设备数上限，P2P速度看NAT类型，打洞失败回落中转时明显变慢。知乎
怎么选，一句话
只看照片文档、图省心→中转先用着，别对速度抱期待；要安全又肯装APP→组网，当下最推荐；影音仓储、要拉大文件→v6直连，前提是先配好v6防火墙。
最后留一道底：这次不少中招用户是本机备份被连着一块加密了。无论选哪条路，都记得备一份拔了网线的冷备份——它不是访问方式，是你的底牌。知乎
恐慌期过了，教训就一句：别再赌"攻击者找不到我"，改成"攻击者找不到我"。
