这两周，群晖用户群分成了两拨。
一拨中了勒索，共享文件夹里的文件全被拖上了 .L0CK3D 后缀，每个目录里还躺着一份勒索信。另一拨侥幸躲过，连夜整改完的共同动作是——拔电源、抽网线、关掉 QuickConnect、删光端口映射。然后爽了不到一天，问题来了：出差时想备份手机相册，进不去；公司里想看家里照片，还是进不去。整个 NAS 变成一座孤岛。知乎
"不让别人进门"这话只对了一半，把门关死、把自己的路也封死，那不叫安全，叫退网。你真正要的，不是戒掉远程访问，是把它换成安全的那种。
先回头看看攻击者是怎么进来的。这轮事件里，群晖在 10 月 29 日罕见地发新闻稿，确认了这是发生在野的真实攻击，被利用的是 2024 年 12 月就已发布补丁的已知漏洞。而中招设备几乎有一个共同点：DSM 的管理端口（5000/5001）能被公网直接摸到——大多来自路由器的 UPnP 自动打洞或手动端口映射，等于天天被扫描器撞库。不是密码被猜出来的，是门本来就开着。微博知乎小红书
把远程访问的方式按"门开多大"排个序，就三档：
第一档：公网 IP + 端口映射 / 开着 UPnP——别再留了
速度最快、功能最全，但它是这轮勒索的标志性入口。做法就两下：进路由器后台删掉 5000/5001 这类转发规则，顺手关掉 UPnP。特别提醒老群晖用户：这条"自动打洞"的路，官方从 DSM 7.2 起已经亲手堵上了——QuickConnect 高级设置里的"自动创建端口转发（UPnP）"选项被移除。但老版本当年创建的那条规则，还静静躺在你路由器里，它不会自己消失。小红书
第二档：QuickConnect 这类官方中继——能用，但别期待速度
自己不暴露任何端口，门是关着的，走官方中继是相对安全的；代价是速度有限，而且功能基本只限官方那几个套件，第三方应用、视频串流都别指望。给爸妈备份照片、应急取个文件，够用；在外面看 NAS 里的 4K 片，想都别想。绿联 UGREENlink、飞牛中继属于同类，结论一样。
第三档：Tailscale / WireGuard 这类加密组网——我推荐的方案
一个端口都不用开，只有你授权过的设备能连进来；打洞成功就直连，速度接近局域网，打不通再走中继。群晖在套件中心就能直接装 Tailscale，全程纯图形界面操作，不用命令行也不用开 SSH。WireGuard 走官方 VPN Server 套件，稍微多几步。对个人家庭场景来说，免费版就够用。NAS 换成威联通、极空间、绿联，思路照搬。小红书
最后说几句难听但保命的：无论选哪种，DSM 先升到最新版、打开安全补丁自动更新、停用默认 admin、给管理员上两步验证、核心数据做离线备份。组网解决的是"门"的问题，补丁和备份解决的是"底子"——真出事后能救命的，恰恰是后者。
拔电源抽网线，不是这波勒索的结局。折腾完你会发现，NAS 远程从来不是"开不开门"的问题，是给谁开门的问题。
