先说个真事。上个月B站有条讲NAT的硬核科普视频，878个赞、857个收藏，评论区里一条留言把PT圈的现状说明白了：一位用户说，自己家联通有IPv4公网，但为了安全主动NAT4，开了IPv4的NAS天天被爆破，换了高位端口照样被扫。哔哩哔哩底下不少人附和：IPv6没人扫，安全。
这个判断对吗？只对一半。今天这篇就把另一半说清楚——你在PT站挂着qBittorrent 24小时做种刷流的时候，你的NAS很可能正以你看不见的方式挂在公网上。
为什么PT玩家比普通NAS用户更容易被盯上
普通NAS用户想外网访问，最多开一个管理端口。PT玩家天然多两个"刚需"：
第一，BT监听端口得开。P2P的连通性直接决定你的下载速度和做种效率，qBittorrent、Transmission的监听端口基本都得对公网可达，不少人还会顺手开UPnP。这是刷流量的本钱，也是敞开的门。
第二，很多人从IPv4换到IPv6，是因为"不用做端口映射，开箱即用"。但IPv6的方便恰恰来自它没有NAT这层挡板——默认情况下，你的每台设备、每个开了服务的端口，都是公网直达。你省掉的配置步骤，正是原来挡在你前面的那堵墙。
今年7月知乎有篇帖子，作者专门演示了针对BT/PT用户的"定向钓鱼"：做一个种子放出去，然后扫描连接这个种子的所有IP。为什么这招毒？因为连上来的几乎都是开着BT端口的机器，而按那位作者的估算，玩BT的九成都有NAS。等于一份精准的名单直接送到手。知乎
他演示的案例里，扫到一台设备的5001端口开着——那是群晖DSM的管理端口；对方还给服务配了SSL证书，证书里直接暴露了域名。接下来如果这台NAS是弱密码，或者系统版本带着已知漏洞，跑字典、进系统、拿数据，一路通畅。作者的原话是：别觉得没必要用六位数密码保护四位数余额的银行卡。
这不是吓唬人。今年春节前飞牛NAS爆出的0day漏洞事件就是现成的例子：漏洞本身是一回事，但相当多用户中招的原因，是NAS直接暴露在公网上，漏洞利用脚本扫到即中招。知乎那篇复盘文章里还有个提醒值得记住：主流NAS系统基本都被爆出过严重漏洞，用破解版、停止维护的版本更惨，补丁都拿不到。
"IPv6没人扫"到底能不能信
先给结论：作为统计现象，大体是真的；作为安全依据，完全站不住。
全网无差别扫描IPv6确实比扫IPv4成本高——地址空间大到没法挨个试，所以"广撒网"的脚本少见，那位联通用户"用了IPv6从来没被扫过"的体验大概率真实。
但前面那篇演示文章点破了关键：对PT用户不需要广撒网。种子连接列表就是现成的定向名单，扫这些IP有没有开5001、5000、8096这类常见NAS端口，成本低到发指。你赌"不被扫到"的前提，是攻击者也只会广撒网——这个前提不成立。
所以正确的姿势不是纠结"会不会被扫"，而是把"被扫到之后的暴露面"收掉。下面的事半小时能做完。
自查六步，半小时做完
前两步十分钟，先把最要命的关掉：
打开路由器的端口映射/UPnP列表，逐条确认每个映射是干什么的。BT监听端口留着，其他你都说不出用途的，先删了再说。
给NAS管理账号换强密码、开两步验证。群晖、威联通、飞牛都在系统设置里有，十分钟的事，能挡掉绝大多数跑字典的。
中间两步二十分钟，把系统和边界理顺：
把NAS系统升到最新版。0day挡不住，但已知漏洞的补丁必须打上；用破解版黑群晖、停更老版本的，这步等于"把锁换成正品"，优先级最高。
在NAS自带防火墙里做白名单：管理端口只允许内网（或你组网的虚拟网段）访问，公网只留BT监听端口。
后两步看你需求：
NAS上没在用的套件、Web服务、远程访问功能，全关。暴露面是减法，不是加法。
翻一下最近一个月的登录失败日志。群晖在日志中心，能看到大量失败尝试的话，说明你已经在别人的名单上了。
想在外面看片？三条"回家"的路，别再把管理页面挂公网
自查完还有个现实问题：人在公司想访问家里的NAS怎么办。按推荐程度排：
第一条，虚拟组网。Tailscale、ZeroTier、WireGuard这类，手机和NAS装进同一个虚拟局域网，外网访问走加密隧道，NAS一个公网端口都不用开。个人用基本免费，是飞牛0day之后社区里讨论最多的方案。
第二条，自建反向代理+域名证书，配合IP白名单。NAT视频评论区就有老玩家这么干：弄个域名、弄个证书再弄个反代，对不上前缀的直接全拒绝。哔哩哔哩能用，但门槛高、配置错一个地方就白给，不适合新手。
第三条，厂商自带的远程中继（群晖QuickConnect这类）。不用公网、配置最傻瓜，代价是速度和中转稳定性一般，看大码率原盘容易卡。图省心可以看片用，但不建议把它当唯一入口。
一句话原则：回家走隧道，别开门。
对号入座
24小时挂种刷流量、用公网IPv6的：本文说的就是你，六步自查这周就做，尤其第1、4步。
还想在外面访问NAS的：自查之外，把直连方案换成虚拟组网，别嫌麻烦，这是把"门"换成"隧道"的一次性投入。
用破解版群晖或停止维护的老设备/老系统的：风险最高的一档——补丁拿不到，漏洞一来就是裸的。要么换回正版/新系统，要么彻底断公网只走组网，二选一，别拖。
最后说句不制造焦虑的：PT刷流量本身没问题，问题只是顺手把家门也敞开了。漏洞公告值得持续关注，但比盯公告更实在的，是现在花半小时把上面六步做完。
你家的NAS是怎么"回家"的？评论区聊聊你的方案，看到好抄的作业我会补进来。
