nas 暴露在公网有多危险？

[HeHeDa]

nas 新手请教，在 v2 经常看到一种说法不要暴露 nas 在公网。
可是拿群晖 nas 来说，系统集成的各种功能不就是为了方便公网使用 nas 吗？

目前有一台白群晖 nas ，鉴于 qc 访问实在是慢如蜗牛，所以配置了仅 ipv6 ddns 绑定自己的域名（宽带没有 ipv4 公网地址），op 硬路由仅开放了访问 nas 的端口，dsm 系统用户添加了两步验证，如此配置的情况下还是会被爆破吗？

另外测试发现运营商 ipv6 地址没有封锁 80 、443 端口，在绑定二级域名的情况下使用 443 端口会被警告吗？

[opengps]

@li19910102 用例子来说明问题，完全是个错误的做法。我一个小破站都被人脱库过，我完全可以没发现这个事认为没出问题

[Kimyx]

@kid1412621 cf tunnel 我这边用起来慢慢的，frp 走美 vps gia 线路速度很稳，串流也无 ok

[jasonyang9]

@dcsuibian 分流设定好就可以了，无感的

[DrLty]

我是只开 80 端口，用 cloudflare tunnel + nginx 反向代理根据域名代理对应服务。再用 auth_request 验证 header 。这样的风险大么。

[Anakin078]

@HeHeDa #3 “不过群晖系统好像还没有出现漏洞的历史记录”
https://www.cvedetails.com/vulnerability-list/vendor_id-11138/Synology.html 来 看这个

[bluehtt]

@swiftg #100 多谢。不过我查了一下，11 月 5 号修复的不是 CVE-2024-10443 。CVE-2024-10443 指的是几个相册应用，差不多一个月前已经推送了最新版。

[bluehtt]

推荐这两个 rss 订阅，一个是群晖的，一个是 cve 的。
https://www.synology.cn/api/rssfeed/security/zh-cn
https://cvefeed.io/rssfeed/latest.xml

[panda1001]

说说自己的方法，对于内网暴露在公网的服务
1.敏感服务或者潜在漏洞多，比如 ssh ，rdp ，php/java web 之类的，用 frp 的 stcp
2.不敏感或者漏洞较少，比如 nginx 静态站，go web ，不想公开的用 nginx 反代套一层 http basic auth 认证

[nkcfc]

借地问一下，大家说不要把群晖暴露在公网，主要是哪些服务呢？我只是把 webdav 映射到家宽动态 ip 的高位端口会有问题吗？

[SakuraYuki]

高位端口没那么容易扫到的，以前刚玩的时候把所有端口都设置成高位的然后直接暴露在公网也没被扫过，现在换成 surge ponte 回家直连了

[rubbishmod]

部署 tailscale 到群晖或者软路由上，然后打开 exit node ，统一管理家里的内网设备，这样流量理论上应该就只能通过你的群晖或者软路由来管理。群晖和软路由有 root 的账号密码，应该安全性会好很多，很少会被绕过进入到内网吧？(所以说现在运营商都收回了 ipv4 ，我也懒得申请了，安全这种事运营商应该比自己会更好？)