家庭局域网服务对外暴露，如何确保安全

[abcfreedom]

家里有一些服务，比如 Nas 和各种虚拟机，为了方便在外面使用，我在内网搭了一个 ss ，外网通过 ss 协议连接到该服务，再进行局域网的访问。这个方案有一个风险点是，如果 ss 的密码暴露了，那么拿到密码的人就也可以访问家里局域网了。目前这套方案运行了两年多时间，可能没有出什么问题，也可能出了问题我没有察觉到。虽然局域网内的各个服务都有密码，但还是感觉不太踏实。

想咨询一下 v 友们有没有什么安全策略，比如局域网的监控服务、或者其他更好的对外暴露内网服务的方案。

[duduke]

对外开放 vmess ，通过 vmess 回家，反正电脑手机都要开着科学

[yanyuechuixue]

用 tailscale 呀，其实现在由于有 ipv6 的原因，大部分设备都可以打洞直连。

[ysc3839]

换 WireGuard 等基于非对称密钥认证的协议

[deplivesb]

vpn 回家

[Jhma]

用 opnsense 防火墙简单配置一下 openvpn,能实现用户+密码+证书+APP 动态密码的高安全访问，其他 vpn 只要能拿到你的用户密码证书文件配置文件等就可以随意链接，是不安全的

[shangyu7]

ss 够安全了吧？密码关了用证书呗

[sadfQED2]

内网开 v2 ，使用梯子服务器做分流。连上梯子以后，内网，墙外，大陆都能流畅连接

[esee]

@Jhma 用户密码证书就够安全了吧,还要动态密码最后黑客没来,防的全是自己

[Jhma]

@esee 你怎么知道黑客没来，高手都是很少有痕迹的，放个免杀的木马很轻松的事情

[blankmiss]

tailscale 搭建私有 derp 服务器

[abelyao]

@Jhma #9 被你这么一说 害怕了，比直接格盘还吓人… 还是不开放了…

[Jhma]

@abelyao 嗯，尽量少开放端口给公网，说不定某些服务端口会有未被公开的漏洞，植入木马或者勒索病毒之类的就惨了

[0o0O0o0O0o]

@Jhma #9 每次在 v 站看到一些诸如“我很多年都是这样那样配置没被黑过”的发言，我也想问他们你怎么知道自己没被黑，难道黑客只是进来格盘大声嚷嚷的

[janzwong]

sslvpn 应该是相对更加安全的方式，还有你内网 ss 的服务器的端口开放情况要把控好，不要开放无用端口出去了，最好能起个防火墙搞个定时清理黑名单 ip 的策略。

[monkey110]

目前个人在用的方案是华硕路由开 openvpn,防火墙放行指定端口，用群晖自家 ddns(可以 https 访问)反代群晖和内网部分服务，vpn 和 ddns 配合使用,强密码二部验证是基操。

另外使用何种组网软件能用最新版的就用最新版的，防止漏洞类。
我就是用的 nps 然后作者不更了，被从漏洞进来裸奔了两年之久，直到最近才发现。
详见 https://www.v2ex.com/t/939787

[wogjdjaj]

只要联网就没有安全可言
多备份 少开放太多服务和端口

[1521815837]

疑人不用用人不疑呗移动硬盘又不贵

[winson030]

推荐 Tailscale ，稳

[JayZXu]

tailscale, zerotier 。组虚拟局域网，不需要对外开端口也能用了

[a632079]

😨同楼上，为啥不用 VLAN 终端？比如 tailscale 、zerotier ？
如果担心中心节点的问题的话，可以直接用 tailscale 的非官方开源控制服务器 headscale 的。