十月底这轮群晖被打穿，很多人第一反应是改密码、上 2FA、把 5000 换个端口。
方向就错了。有人复盘了攻击路径：攻击者通过 DDNS 域名访问公网上的 5001 端口，发了一个“登录请求”，整个过程不需要知道任何密码。另一位的结论更狠：强密码、2FA、自动封锁、改端口，这轮基本全废。小红书小红书
换端口也白搭，端口有响应特征，扫描几秒就能把一台 IP 上的服务全摸出来。这条路径要成立，前提是登录页在公网可达——澳门司法警察局警情通报的六条防范建议里，最后一条正是：避免直接向互联网开放设备的登入界面。所以真正该做的是删掉路由器那条端口映射，关掉 UPnP。问题是删完之后，人在外面怎么连回家？小红书小红书微博
三条路，各有各的账
VPN 组网：Tailscale / ZeroTier / EasyTier / WireGuard
路由器上一条映射都不留，设备装个客户端就进了同一个虚拟局域网，有没有公网 IP 都行。代价是打洞：打不通就回落中继，慢和断九成是这个原因，回落的还往往是海外 DERP。有人从 frp 中转换成 Tailscale，SSH 延迟从 410ms 掉到 29ms。判断有没有打到直连，一条 `tailscale netcheck` 就够。这不是工具之争，是直连和中继之争。小红书小红书小红书
IPv6 直连加 DDNS
速度最快，上行多少就跑多少，前提是你手里有 IPv6。但 IPv6 地址就是公网地址，STUN 打洞不是隐身术，只要外网能访问，你的 NAS 就是实打实暴露在公网上。更坑的是：不少光猫的 IPv6 防火墙默认拦入站，有人为了从外面连进家里，找电信维修师傅要超级管理员密码把网关防火墙整个关掉。小红书哔哩哔哩
这一步等于把内网裸挂公网。正确做法反过来：防火墙别关，连不上就只放行你要用的那一个端口。哔哩哔哩
官方中继：QuickConnect / fnConnect / uglink
最省事，不要公网 IP，不用配置，代价写在速度和功能上。有用户实测 QuickConnect 不挂代理，有时能低到十几 KB/s。功能也只覆盖几个官方套件，飞牛的三方应用和 Docker 服务没公网时通过中继往往用不了。小红书小红书哔哩哔哩
决定你走哪条的，是运营商
出口 IP 是 100.64 开头就是运营商大内网，端口转发直接失效，公网 IPv4 这条路本来就不存在。有公网 IPv4 也别高兴太早：上行宣称 30Mb，传久了会被限到 5Mb 甚至 1Mb，有用户写了保证书才恢复速率。广东几家上行都卡在 50M，NAS 用户直呼憋屈。小红书小红书小红书
顺序别搞反
先判断是不是运营商大内网，再关掉代理测 NAT 类型（目标是 NAT1 / FullCone），确认能拿到，再去谈装工具。顺序错了全是白折腾：NAT 类型不支持就先装 NATMap，测 NAT 忘关代理测出的是机场出口，OpenWrt 没放行会显示拿到公网 IP 但外网照样超时。小红书
收尾验证
UPnP 能关就关，权限不够就用 NAS 自己的防火墙兜底。改完用手机关掉 WiFi 走流量连一次，能连上说明链路通了。小红书
还有一处容易漏：隧道搭好了，SSH 却还挂在公网上。有位飞牛用户的记录是 SSH 端口一开爆破请求就没停过，上了 fail2ban 之后拉出统计，累计失败尝试 1514 次。关端口之前先想清楚：哪些服务根本不需要从外面访问。小红书
