为防勒索把QC关了，全家相册先不能用了？群晖远程入口这么选

10月底那波群晖勒索风暴（文件被加`.L0CK3D`后缀、每个目录躺着一封勒索信），把很多人吓得第一反应是关门：端口映射删了、UPnP关了、QuickConnect直接停用。结果三天后画风突变——人在外面取个文件要现场求助，家里老人只会点相册图标，NAS成了一台摸不得的昂贵摆件。评论区的热门问题早就不是"中招了吗"，而是"封完之后，这玩意儿还能不能用？"知乎小红书

先说一个保命的事实

这轮大量中招设备的共同点，不是"用了群晖"，而是管理端直接暴露在公网。两条CVSS 9.8评分的免认证漏洞（不输账号密码就能读写你的文件），官方9月中旬就发布了修复；迟迟没升级、还把5001端口朝全世界开着的机器，成了重灾区。所以群晖官方应急建议里白纸黑字写着：移除管理界面的公网暴露，改用VPN类通道访问。"关门"这个方向没有错——错在把门关死之后，忘了给自己和家人留钥匙。知乎知乎知乎

三扇门，按家里谁来选

门一：只留QC走官方中转（家里有老人小孩的首选）。删掉端口映射、关掉UPnP，只保留QuickConnect，NAS的公网IP不暴露，家人手机上什么都不用装，相册照常用；代价是中转带宽看缘分——翻照片、传文档够用，想在外面拖4K原盘就别指望了。小红书知乎

门二：自建VPN（只折腾自己的设备）。WireGuard、DSM自带的VPN Server，或者Tailscale这类组网工具，NAS对公网零暴露，速度取决于家里上行带宽。缺点和优点一样硬：每台要访问的设备都得装客户端——你自己行，你爸妈不行。小红书

门三：折中方案——分人分门。自己的笔记本和手机走VPN，老人的相册走QC中转，并且只给一个专用低权限账号。两类人，别硬塞进同一扇门。

评论区踩得最多的两颗雷

1. “我家没有公网IPv4，安全”——运营商默认开IPv6，路由防火墙一放行，暴露面和裸奔没有区别。不懂配置就把IPv6入站全关。知乎

2. “我QC都关了，稳了”——入口收得再漂亮，不打补丁等于白关。9月那批洞和11月刚补上的新洞都要填。但升级前看一眼发布说明、先做一份备份——前阵子"打完补丁共享文件夹反而打不开"的坑还热乎着。知乎

今晚5分钟检查清单

① 路由器端口映射逐条核查删除，UPnP关掉；② DSM升级到已含安全补丁的版本；③ QC要么保留并收紧权限，要么停掉换VPN，二选一别暧昧；④ 两步验证开起来，默认admin停用改名；⑤ 一份拔网线离线存放的冷备份。知乎

前四条防中招，最后一条防后悔。安全和便利从来不是选择题，记住一个原则就够：让NAS从公网上消失，但给你自己、给家人各留一扇只朝里开的门。