装完 HA 的人，都会撞上同一堵墙
Home Assistant 玩家的第一次挫败，往往不是部署，而是"出门"。
家里的 Wi-Fi 下，仪表盘丝滑得不行：灯光、空调、窗帘、扫地机全在一个页面里。第一次下班路上想远程开空调，官方 App 转圈、网页连不上，整套全屋智能瞬间退回"离家即失明"。
这不是个别现象。B 站按"远程访问 + Home Assistant"能搜出一长串教程，时间从 2019 年 3 月一直排到今年 9 月 18 日，播放最高两条分别是 19678（免费内网穿透）和 13912（ngrok 方案），点赞和收藏的比例普遍倒挂——603 收藏对 182 赞、428 收藏对 241 赞。没人爱聊，但人人都存，这是典型的"真刚需"选题形状：它不产生争论，只产生收藏。哔哩哔哩哔哩哔哩
而在动手之前，大多数教程都没告诉你的第一件事是：你可能把两个问题混成了一个。
先拆问题：你未必需要给家里网络开洞
远程访问 HA，其实是两类需求：
一类是持续访问——人在外面，要打开面板、触发自动化、看摄像头，这是常态需求。
另一类是一次性回调——绑米家这类云端集成时，小米的授权服务器要把 code 回调给你 HA 的地址。问题在于，国内家庭宽带普遍是"外网能出、内网不能进"，小米的服务器永远穿不进你的 192 网段。于是出现诡异的一幕：账号明明授权成功，HA 就是收不到设备，整个绑定流程瘫痪。知乎
知乎用户 kevin chen 的实测帖说得很直白：九成教程只会让你去做端口映射、DDNS、申请 SSL 证书——为了一次性的授权动作，强行给家里网络打一条永久的洞，纯属本末倒置。知乎
他的方案值得所有内网部署党抄作业：授权页面卡住时，从浏览器地址栏里把 code 和 state 两个参数抄出来，在局域网内手动模拟一次回调，HA 分不清请求是小米发的还是你自己发的，绑定直接完成。全程无公网暴露，重新授权时才需要再做一次。评论区"测试能用，感谢大佬"六个字，比任何参数都有说服力。知乎
拆完问题再看路线，你只需要为"持续访问"选型——而市面上可选的路，粗算有七条。
七条路线，账各不相同
第一条：公网 IP + 端口映射，把 8123 直接开到互联网上。 零成本，也是风险最高的一条。知乎用户 ccmaya 的说法没什么修饰：这等于在互联网上给黑客留了一扇大门，扫描器摸上门，控制的就是你家的摄像头和门锁。2025 年 11 月底，小红书一条《一封邮件，控制了我的摄像头》拿下 1799 赞、1233 收藏——不管具体漏洞链后来修没修，它记录的是社区对"家里设备暴露在公网"这件事的真实恐慌。这条路线不用研究，先回去检查你路由器上有没有现成的映射。知乎小红书
第二条：公网 IPv4/IPv6 + DDNS。 依然是免费路线，但有两道隐性门槛：IPv4 公网地址现在要向运营商申请，看地区和套餐；IPv6 则取决于你出门那一端——酒店 Wi-Fi、公司网络、部分 5G 环境不一定给到 IPv6。2022 年的"申请公网 IPv6 远程访问 HA"教程到今天还有 6019 播放、182 收藏，说明这条路一直有人在走，也说明它一直没变成人人可用的大路。哔哩哔哩
第三条：Nabu Casa 官方云。 HA 官方运营的中继服务，HAOS 里一键开通，不用碰任何路由器配置；因为你的 HA 主动连出去，前面说的米家回调这类"外网进不来"的问题会顺带消失。代价是订阅制，社区文章的报价口径并不一致：有教程写"订阅 NabuCasa（约 5 美元/月）"，也有教程按"每月约 6.5 美元"来算，以官网当前标价为准。另一个被反复提到的槽点是国内连接延迟偏高。适合不想折腾、接受按月付费的人。知乎知乎
第四条：Tailscale / ZeroTier / EasyTier 组网。 目前社区免费方案的主流答案：HAOS 加载项商店一键装 Tailscale，授权后拿一个 100.x.x.x 的虚拟 IP，手机装同一家 App、登同一个账号，在外面就像在家里。ccmaya 还给了进阶动作——用 ACL 给 HA 单独打标签，只允许家人分组访问 8123，公司电脑被入侵也横向摸不到你家。但评论区的实测同样真实：有人追问 5G 回 NAS 的速率，答案是"速率还是几百 kbps"——控制指令绰绰有余，摄像头流别指望。另外出差住酒店，要赌对方网络不拦 VPN 类流量。小红书知乎哔哩哔哩
第五条：Cloudflare Tunnel。 思路和端口映射正好相反：让家里设备主动连出去，挂到 Cloudflare 边缘，公网扫描器摸不到你家真实 IP，路由器一个端口都不用开。今年 9 月 18 日 B 站"尘墨成"的飞牛 fnOS 实战视频（1966 播放、32 收藏）说明它正在被 NAS 党接纳。门槛有两个：要自己有域名；以及境内可达性看运气——同一条视频的评论区就有"边缘节点证书日期是 2020 年的，一直握手不成功"的翻车记录。选它，就默认接受"能用但偶尔失联"，出门前先在 5G 下测一次。哔哩哔哩
第六条：国内厂商托管隧道。 cpolar、节点小宝、JMGLink、云亿连们的教程侧需求确实旺盛——"远程控制家中的智能家居系统"本身就是这类工具的招牌卖点。但这类方案有两笔隐藏账：免费档普遍伴随随机域名、限速限流的限制，适合验证不适合常驻；更关键的是，你的访问链路挂在厂商的经营决策上，套餐一改、服务一停，全屋智能说失联就失联——而且流量经对方服务器中继，敏感度你自己掂量。哔哩哔哩
第七条：借路代理。 不直接暴露 HA，而是通过 HA 的 HomeKit Bridge 把设备桥接给苹果家庭，用 HomePod/Apple TV 充当家里的中转，远程交给苹果生态；或者退而求其次，米家设备保留小爱远程控制兜底。一次硬件投入换长期省心，代价是覆盖范围受限于"代理愿意认的设备"，HA 自动化里的传感器逻辑并不会因此全都可远程。
谁该选哪条，不是排名是适配
刚部署完、只想出差路上开空调的入门党：先订一个月 Nabu Casa 把体验跑通，不付钱就用 Tailscale 图文教程照着做。
中度玩家、设备几十个：控制走组网免费方案，别把摄像头这种大流量挂同一条路上；有条件就补一条 IPv6/DDNS 作机动。
NAS 党 + 已有域名：Cloudflare Tunnel 值得一试，但把"境内偶尔握手失败"写进预期，出门前 5G 实测。
只是想绑米家授权：什么隧道都不用开，局域网内手动模拟一次回调就完事。
所有人：现在就去路由器后台确认一次，8123 有没有映射到公网。有，先关。
看完这篇，做四件事
关掉路由器上所有对 HA 的端口转发，做一次"无洞"基线。
选一条路线部署后，关掉家里 Wi-Fi、用 5G 实测三样：面板打开、一次自动化触发、一次摄像头快照（如有）。
把 HA 里所有云集成的授权重新走一遍——确认哪些集成依赖公网回调，哪些可以切到本地方案，这决定了你对任何一条隧道的依赖程度。
设两个观察信号：Nabu Casa 与 HAOS 版本更新是否改动远程路径（每次大版本发布后看一眼 changelog）；你在用的隧道厂商免费策略是否变化——一旦变动，两周内迁到自建组网。
HA 圈有句老话：本地优先。但"本地优先"不等于"与外网绝缘"，而是——每一条通向家里的洞，都要说得出它是给谁开、什么时候能关。
