这波 C3RB3R（.LOCK3D）勒索，把很多群晖用户逼成了同一个动作：路由器后台一登，公网映射全删。恐慌过去了，新问题才上来——公司电脑、外地手机，看不了相册、同步不了文件，花大价钱请回来的 NAS 直接退休。关网关得对，但把 NAS 关成摆设，只算做了一半。
先把一件事说清楚：这事到今天还没定论。入侵入口官方与响应团队都仍待确认，而且已有装着最新版 DSM 7.4.1 的用户中招。"更了系统就安全"这个说法，现在撑不住。但各家应急口径都指向同一个动作：先收回公网管理入口。它不是灵丹，是目前成本最低的断粮方式。哔哩哔哩哔哩哔哩哔哩哔哩
第一步：把"门"关干净，而不是关一半
路由器里删掉端口转发：5000/5001、SSH 的 22、自己加过的自定义映射，挨个清；
关掉 QuickConnect 等官方暴露开关。QC 是不是本轮攻击路径，社区还没吵出结果，但这几天主流教程都建议顺手把它关掉，别赌自己不在撞库名单里。哔哩哔哩
只关一半最常见：删了映射，忘了群晖还在 DDNS 上挂着一颗公网域名。
三条远程访问路线，按你的动手能力选
路线一：官方 VPN Server（大多数人的正解）。 DSM 自带的 VPN Server 配一套 WireGuard 隧道，再绑定 OTP 二次验证。生效后公网上彻底看不到 DSM，你得先"进隧道"才能"开抽屉"。免费、官方、文档全，优先推荐。
路线二：零信任组网（无公网IP、图省事）。 用 Container Manager 部署 Tailscale 这类组网工具，手机、电脑、NAS 拉进同一个虚拟局域网，自己不开任何一个端口。但别把它当绝对安全：隧道里任何一台常在线的公网设备，都别顺手暴露 DSM，木桶效应照样生效。
路线三：域名+反代+雷池WAF（进阶）。 前置一层 WAF 清洗恶意流量，再放行到你的服务，网页体验最好，门槛也最高。有个已踩过的坑：反代搭好后，群晖登录日志里所有来源 IP 全变成反代机器的 IP。审计能力反而下降，没能力处理就退回去选路线一。哔哩哔哩
顺手把三把锁上了
开 2FA+自动封锁；禁用或改名 admin 默认账户；给备份做一次真恢复演练。评论区里，有人近 10T 文件被加密至今没解出来。另一边，有人干脆"每次用完就把硬盘拔了"，毫发无损。差别从来不是运气，是你那份从没验证过的备份，可能等于没有。小红书
关公网只是事发第一天的应急；出得了门、还敢用 NAS，才是过日子的长久之计。门要关，钥匙得留对地方。
