NAS 安全的使用方式

[JustinJie]

• 个人搞了一个威联通, 鉴于网上 nas 各种被黑, 研究了一下 NAS 安全方式, 现在搞了 2 套, 求大佬们指点下, 哪种方式综合来说更好些
• 首先 admin 用户被禁用了, ftp / ssh 都没有打开, 默认的 5000 / 5001 端口也改了, upnp 端口转发没有开启, 密码错误 3 次直接封 IP, 这些基础操作
• 第一种: 个人域名直接登录, 在路由器里面端口跳转 nas 接口, 支持了 https , 登录也需要二次验证
• 第二种: 设置了一个 pptp 的 vpn 连接, 直接走内网访问 nas
• 以上第一种暴露在公网中, 但是做了 https 和 二次验证, 便捷性来说相对比较好, 第二种呢 , 不了解 vpn 会不会有什么坑, 路由器会不会被搞, 相对来说直接内网, 安全性更好些, 便捷性稍弱
• v2 的大佬们给点什么意见, 或者还有更好的办法

[Xusually]

L2TP/IPSEC VPN,内网操作

[ZRS]

不暴露到公网 VPN 回来操作

[JustinJie]

@Xusually # 1
@ZRS # 2
vpn 看起来稍微麻烦一点 ,
用 vpn 的话, 不知道路由器密码稍微简单一点 , 不知道路由器会不会被黑呢 ?

[826540272]

密码复杂点就行了,黑你没价值

[xtx]

黑就黑吧，都是些小姐姐，主动传播违法，被动传播不算吧。

[ysc3839]

如果要用 VPN，不建议使用 PPTP，建议 OpenVPN 或者 WireGuard，这两个都是证书认证的，会安全很多。
另外用路由器做 VPN 服务器的话，性能可能不足。

[JustinJie]

@xtx 哈哈哈 角度刁专啊

[JustinJie]

@826540272 哎 这个是的 主要图个心安

[JustinJie]

@ysc3839 不是用的路由器做的 vpn 服务器， 只是担心 vpn 链接会不会有隐患，路由器这边会不会是薄弱环节

[byte10]

VPN 最好了。不过可能手机连接 会麻烦点。

[tomychen]

好像也就是 vpn 比较靠谱，改默认端口并不等于安全，被探测到只是时间问题，现在有很多全网扫描，很快就指纹识别到了，再者就是，现在安全的模式，可能在未来某个时间就不安全了。
所以能在内网里使用就在内网用吧，暴露的越少越安全。

[JustinJie]

@byte10 嗯嗯 目前也就试了下电脑连接 如果大家都推荐 vpn 的方式 我就研究下手机端的

[JustinJie]

@tomychen 好的 了解了 如果搞个小项目部署 nas 上 只暴露项目端口 看起来也会导致风险了 ？

[Kilerd]

国内的 wireguard 不建议，udp 被丢包丢包直接握手就失败了。

[tomychen]

@JustinJie 你说的风险，我这统一归为“安全风险”来看待吧，我提过的 “现在的安全模式，可能在未来某个时间段就不安全了”。 涵盖的说法也是类似的说法， 小项目到底多小？风险评估又由谁来做呢？

或者简单的说，我放个纯 html 总不会有风险吧，好像没啥问题，但是 webserver 有了安全漏洞呢？(假定 nginx)，当然，现在并没有，以后都不会有吗？

所以你说小项目会不会有风险？这是很难回答的一个问题。如果要想规避风险最直接的办法就是减少暴露，减少接触，但这中间又会牺牲到很多便利性，因为安全和方便永远是对立面的。所以这中间的成本就要你自己来评估，是安全重要，还是方便重要，再找一个相对的折中方案，就算完成一个“安全”方案了

[xiaoz]

买 NAS 不就是图方便吗，我觉得基本的安全做到位就行了。

[iphoneXr]

我目前的方案是 openvpn 手机端。
电脑端走阿里云 ecs 的备案域名配合 nginx 的限制，如 geoip 深圳（最方便）或者公司固定 ip 、用户名密码啥的 。二级域名跳转对应内网服务再二次用户认证，感觉还算方便和安全。

[imgbed]

我用默认端口时经常被人尝试登录，端口改了之后就没有了

[ferock]

不要太纠结了…担心就 openVPN，如果公网只暴露 5001 的 https，二次验证加 ip 拖黑，问题不太大

[sinxccc]

扫端口这种完全没办法，除非上独立防火墙，否则只能让他扫了。

我觉得按照目前的大众硬件水平，二次验证的 https 登录和基于足够强度 key 的 ssh 还是安全的。