一、两条新闻
飞牛 0day 事件过去半年，圈子还是没消停。一边是年初那次 0day 的余波：1 月 31 日漏洞曝出，第二天官方就发了通告致歉，宣布成立安全快速响应团队，第一时间处理用户反馈的漏洞。哔哩哔哩紧接着补丁连着发：先是推送 1.1.15 版本封堵，次日凌晨又紧急发布了内置木马查杀工具的 1.1.18。微博几天后 1.1.19 跟进，要求所有用户修改密码。另一边是个新话题：免费用了很久的远程访问功能 FnConnect，开始分档收费了。
对刚入手或者正准备入手 NAS 的你来说，先别慌。这两件事其实是同一件事：远程访问。功能决定一台 NAS 有多好玩，安全决定它能用多久。今天把这两件事一次讲清楚。
二、0day 过去半年，有两个事实该知道了
先复盘。今年 7 月底，有安全研究者重新扫了一遍公网，发现仍有几十万台运行着飞牛系统的设备直接暴露在外面，其中不少连年初的路径穿越补丁都没打。微博回看当时那 48 小时：1 月 31 日曝出，2 月 1 日官方通告加 1.1.15 补丁，当天凌晨再发 1.1.18 内置查杀，2 月 5 日的 1.1.19 要求全员改密码。反应不算慢，代价也足够惨痛。
第一个事实：这次漏洞最早可以追溯到 v0.9 版本，也就是说它几乎从系统诞生起就存在，直到被 0day 打出来才进入公众视野。知乎路径穿越加认证绕过的组合意味着，攻击者拿下 NAS 最高权限的门槛极低。
第二个事实：漏洞的影响不止在 NAS 本机，连挂在它上面的网盘也会被一起拿走。知乎你以为备份到云端的文件万无一失，只要它是通过 NAS 绑定同步的，那一刻同样暴露。
更反常识的是第三个：很多人觉得"我没开端口，只用了内网穿透，总安全了吧"。不行。内网穿透只能降低被扫到的概率，攻击面并没有消失。更要命的是，飞牛官方映射服务的域名规律还能被攻击者利用，按单词组合批量扫描。知乎你以为它是一条私密隧道，其实它是一个带门牌号的房间。
三、FnConnect 收费，到底谁要掏钱
先说结论：免费的基础版没变，只是官方给它多了个称呼来区分；真正开始收费的，是官方服务器转发这一段。知乎
FnConnect 的逻辑其实不复杂：家里有公网 IP（IPv4 或 IPv6）的话，设备和 NAS 可以直连，官方服务只负责"牵线"，流量不经过官方服务器，速度跑满你家宽带的上行带宽——这种情况用免费基础版就够了。没有公网 IP，就得靠官方服务器中继转发，速度受转发带宽限制，想要更快就得付费：
基础版：免费，直连场景不受转发带宽限制；
高级版：99 元/年，12Mbps 转发带宽，每月 500GB 极速流量，够单人日常看 4K；
专业版：199 元/年，40Mbps 转发带宽，面向多人和团队场景。
所以关键问题只有一个：你家宽带有没有公网 IP。这决定你是"免费档"还是"付费档"。现在多数家宽默认拿不到公网 IPv4，可以打客服电话问，部分地区能申请；实在没有，也可以先看家里有没有 IPv6。两头都没有，才轮到花钱走转发。
四、远程访问四条路：成本和风险摆在一起
路线 | 花钱吗 | 速度 | 安全 | 适合谁 |
|---|---|---|---|---|
A：公网 IP 直连 | 免费 | 跑满上行带宽 | 中，必须自己锁好门 | 有公网 IP 的家庭 |
B：FnConnect 官方转发 | 99-199 元/年 | 受转发带宽限制 | 相对省心 | 没公网 IP、不想折腾 |
C：自建虚拟组网（Tailscale 等） | 个人版免费 | 取决于两端网络 | 高 | 愿意花 20 分钟折腾的人 |
D：直接端口转发裸奔 | 免费 | 快 | 等于开门揖盗 | 不建议任何人 |
逐条说：
路线 A，有公网 IP 的用户首选。免费、快，但前提是锁好门：强密码、访问码、防火墙缺一不可。相当于你有一套带院的房子，不能夜不闭户。
路线 B，官方维护的转发通道。花钱买省心，飞牛承担运维风险，你只管看片。12Mbps 转发带宽对多数 4K 片源够用，单人日常观影没问题；多人同时看，再考虑专业版。
路线 C，是我更想推荐的。Tailscale 这类虚拟组网工具在飞牛应用中心就能直接装，手机、电脑登录同一个账号即完成组网，个人版免费，支持绑定 1 个用户和多达 100 台设备。知乎流量不经第三方转发，NAS 端口也不用暴露到公网，是四条路里安全上限最高的。代价是 20 分钟学习成本：注册账号、安装客户端、理解"虚拟组网"这个概念。跑通之后长期省心。
路线 D，端口直接映射加弱密码再不设防，那不是一条路，是靶子。前文说的几十万台暴露设备，大多就是这种情况。
五、五分钟自查清单
动手整改前，先打开飞牛客户端看一眼当前连接的连接模式。如果显示中继转发，说明你的流量正经过官方服务器；如果显示直连，说明设备和 NAS 在直接对话，下面这些条目更要认真对待。
确认版本：系统版本在 1.1.19 及以上。没升级的立刻升，升完把密码改掉——旧版本的密码可能已经泄露。
打开访问码：7 月下旬上线的功能，开启后别人必须先有访问码才能进入你的界面，暴力撞库连登录页都摸不到。
安装安全中心：今年 3 月上线，内置 ClamAV 引擎可查杀木马，装上后全盘扫一遍。
开防火墙和 IP 防护：5 月大版本里飞牛强化了防火墙与 IP 防护，同时把用不到的公网服务全部关掉。这也是官方在 2 月安全通告里的建议：开放公网访问时，优先采用加密隧道、2FA 验证、开启防火墙等安全访问方式。哔哩哔哩
备份：重要数据永远留第二份。前面全部做到，这一条也不能省。
最后
NAS 是一台"功能决定多好玩，安全决定用多久"的设备。飞牛这半年的补救不算慢：补丁、安全中心、访问码、防火墙强化陆续到位。但厂商只能帮你守大门，自己家的门锁还得自己上。
花五分钟过一遍自查清单，比刷十条动态都安心。
