把对外暴露的 NAS 收进最小攻击面：强密码、两步验证和限源这几道关

很多人把家庭 NAS 接到外网，图的是随时随地能取文件、看照片。但方便的另一面，是原本只属于内网的一台机器，从此直接面对互联网上全天候自动扫描的机器人。对攻击者来说，一台开着默认端口、还挂着 admin 账户的家庭存储，几乎就是摆在门口的诱饵。本文不谈用什么工具连回去，只聊一件事：在把 NAS 暴露出去之前，如何把它收进最小攻击面。

第一关，先把账户这道门焊死

绝大多数入侵成功的案例，起点都不是什么高深漏洞，而是弱口令加默认账户。第一步就该把设备出厂的 admin、root 这类默认管理员改名或禁用，新建一个专属管理员账户。密码不要图好记，长度优先于复杂度，十二位以上的无规律组合比频繁更换的短密码更可靠，并且这台设备的密码不要和其它网站共用。

在此之上，务必开启两步验证。即便密码意外泄露，没有第二步的动态验证码，对方依然登不进来。最后给登录加上失败次数限制和账户临时锁定，连续输错就拉黑一段时间，能把自动化撞库脚本的命中率压到极低。

第二关，把能开的端口缩到最小

对外开放的服务越少，攻击面越小。只保留你真正需要远程使用的那一两个服务，其余一律不对外。很多人图省事直接把整台设备放进路由器的 DMZ，相当于拆掉所有围墙，这是最危险的做法，坚决不要。

把不同服务收敛到同一个反向代理后面、统一走一个端口，比各自开一堆端口更清爽也更可控。另外留意路由器上的 UPnP 自动映射，它会让内网应用悄悄在公网上开门，不需要时建议关掉，改成手动、明确地只放行你确认过的端口。

第三关，给登录加上来源与频率的限制

即便账户和端口都收好了，也可以再上一道保险。开启登录防护或类似 Fail2ban 的机制，对短时间内大量失败尝试的地址自动封禁。更进一步，如果只有固定几个地方需要访问，可以把允许的来源 IP 限定下来，或者至少屏蔽掉明显异常的地区。

更稳妥的思路是：能走 VPN 回家，就不要直接把服务暴露在公网。先连进家庭内网再访问 NAS，等于把整台设备的攻击面又缩回内网一侧。对外的接口能少一个是一个。

第四关，别让过期的系统和漏洞替你开门

前面几关再严，系统本身有未修补的漏洞也一样会失守。把系统和套件保持在受支持的最新版本，订阅厂商的安全公告，该更新的别拖。那些已经不用的应用、停更的旧容器，该下线就下线，它们往往是被遗忘的薄弱点。

容器类服务尽量以最小权限运行，不要把宿主机的目录随意挂载进去。一条原则贯穿始终：对外暴露的每一个组件，都应该处在你能解释、能更新、能撤回的状态。

把安全当成一连串习惯

最小攻击面不是某一次配置就能一劳永逸，而是一组持续的习惯：默认账户关掉、密码足够长、两步验证开着、端口只留必要的、来源能限就限、系统及时更新。便利和安全从来不是二选一，把这几道关设好，外网访问带来的那份从容，才真正经得起考验。