在美国，不玩 BT PT 什么的，就备份一点自己买的动漫光盘和一些 4k 录像，预估未来 5 年数据量 30TB 以内，有什么高安全性（必须支持全盘加密、SMB 传输加密）高性价比的 NAS 方案？不喜欢折腾，最好是成品

[drymonfidelia]

SMB 传输加密用来防止内网不可信设备 ARP 攻击

[duanxianze]

成品还有啥好说的，直接买群晖不就好了，30t 买个 4 盘位，单盘 16t*4,做 raid5

[drymonfidelia]

@duanxianze 群晖的漏洞多得有点可怕 https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=synology

[KenThompson1729]

qnap 买回来之后装上最新版 debian

[drymonfidelia]

不知道那些用群晖的企业是怎么做安全防护的？

[totoro625]

https://www.truenas.com/truenas-mini/

[codehz]

@drymonfidelia 有没有可能是因为其他产品用的人少根本没人报 cve ，只有没人用的，和有一堆 cve 报告的两种产品

[drymonfidelia]

功能上没有要求，不需要转码什么的，如果能有个相册最好（最基本的内网在线预览功能就可以，不需要人脸识别什么的）
另外想问下 SMB 客户端是不是没办法像 TLS 那样验证服务器身份，防止 MITM ？我研究了下是没找到这样的文档，看起来还是只能挂载 WebDAV over HTTPS 或者 FTPS

[drymonfidelia]

@codehz 群晖功能太多了，很多关不掉，攻击面比较大，而且闭源黑盒社区不能审计代码

[Tianao]

重安全的 CIFS/SMB NAS, Windows Server 和 NetApp 是唯二的神，再加上高性价比的话，就只有 Windows Server 了。

[drymonfidelia]

SMB 客户端是不是没办法像 TLS 那样验证服务器身份，防止 MITM ？我研究了下是没找到这种功能的文档
@Tianao

[drymonfidelia]

@Tianao 我标题里的 SMB 加密主要是解决内网传输的安全问题，如果有别的安全替代方案也可以

[whileFalse]

你不就家用么，搞这么复杂干什么

[zxjxzj9]

不想要群辉的话，winserver 和 linux 自己选咯。毕竟你要求这么多，发行版已经算折腾的少的了，特别是现在有 ai 你就把这需求跟 ai 讲让他给你写个一键脚本，说不定就搞定了，搞不好比用成品系统的 GUI 还快。

[alfawei]

@drymonfidelia #2 群晖会一直补漏洞，其他小品牌估计不补。你看当年 WD 的因为漏洞被搞的。 其他家不是没有漏洞，是没有到一定的量级，可以预见其他几家品牌搞不好以后漏洞吃大亏的

[willwon1]

看你的描述就足够折腾.....

[Tuuure]

自组硬件 + linux / bsd ，安全性拉满，最大缺点就是便利性几乎为 0

[duanxianze]

@drymonfidelia #2 这有啥的，哪个大规模使用的系统 bug 不多？ windows 这么多年了不还是一直打补丁

[dilidilid]

群晖你都嫌漏洞多那你还买啥成品？难不成你觉得不披露=没漏洞？

[dilidilid]

哦还要高性价比，还在美国，哥们你真不是来玩抽象的吗

[allplay]

这点需求实在是太简单，随便买个台式机，最近几年的主板上基本都有 TPM 加密芯片，Windows 开 bitlocker ，磁盘静态加密，SMBv3 。

[oldboy627]

@drymonfidelia #11 看看这个 https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-secure-traffic#block-inbound-smb-access

[drymonfidelia]

@dilidilid 只是不想要买太低性价比的硬件，以前买的企业级硬件出二手至少 70%off

[allplay]

Windows：

强制 SMB 签名：为了确保 SMB 共享过程中的数据完整性，可以通过组策略强制启用 SMB 签名。签名可以有效防止中间人攻击和数据篡改。

配置路径：计算机配置 > 管理模板 > 网络 > 网络安全 > SMB 服务器签名

[dilidilid]

@drymonfidelia 没懂你的意思，你买 4 年前的消费级硬件板 U 出二手也 70% off 呀。成品除了群晖甚至根本不存在二手市场，三折出售已经算不错的了。你的这个需求随便弄个成品或者弄个 Windows 主机都行，只要不开放端口到公网没人拿漏洞打你，不要想太多了

[Tianao]

@drymonfidelia #10 有的。
https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-signing-overview

https://learn.microsoft.com/en-us/windows-server/storage/file-server/file-server-smb-overview

#11 技术上，应用层认证和加密不可被替代；工程上，只要你的物理环境和网络基础设施是可信的（且受到持续保护的），划分 VLAN 、实施 DAI 和 IPSG 、实施端口安全，乃至实施保护的端口/PVLAN 、ACL 、VRF 都可以解决地址安全（真实且被授权）问题。

[Kepy]

国内买国外产品，保安全，国外买国内产品，保平安。

[ranaanna]

@drymonfidelia 安全的 SMB/CIFS 并不需要 TLS 。如果想要确保安全，实际上只要用最新的 Windows Server 版本，搭建 AD 域及域控和 DNS ，DNS 要 enable dnssec ，file server 强制 SMB 3.1.1 （即强制 pre-authentication integrity ，V1V2 当然绝对要禁掉的）即可。如果用 Linux ，最新版的 SAMBA server 应该也能做到，域控还是必需的。当然，这些都是成品满足 OP 的要求

当然，真这样做的话可能就会有老旧的客户端连不上啦。没用过群晖但是可以推测也是可以做到的，大概率就是禁止或强制开启某些选项把。但是出于兼容的考虑其实当前 SMBV2 还是大行其道的呢

最后，想说的是漏洞多其实并不可怕，只是表明产品比较 popular

[kome]

二手服务器, 带 12 块 3.5 吋硬盘笼的那种, 带不带 raid 卡看自己选择, 硬 Raid 还是软 Raid 自己选择.
硬盘二手还是全新看自己选择.
系统装 Windows server, 不用去盗版激活, 下载个 180 天试用版, 后面不去激活系统也能用. 开启 Bitlocker 加密, 自己记好密钥, 只用 SMBv3.

[alfawei]

@drymonfidelia #2 你可以看看这里 https://www.synology.com/en-us/security/advisory/Synology_SA_25_06

这些都被修复了，https://www.synology.com/en-us/security/advisory

[mayli]

你内网都有不可信设备了
那还内个毛
不喜欢折腾就成品群晖 没必要考虑别的

[allplay]

smbv1 是绝对不能用的，smb v2 也可以抛弃。
smb v3 是 2012 年出现的，现在还有什么软件是 2012 年的，且不可替代？

[allplay]

@mayli 有可能是在一个比较大的局域网，有其它用户。当然不可信。

[RicardoY]

你需要一个 windows server

[ranaanna]

@allplay 真巧。2012 年本人买了一个 Buffalo linkstation ，到现在整 13 年连硬盘都没有坏掉过所以也没舍得淘汰，最新固件 20130731 默认还是 v1 幸好后来可以 hack ssh 进去改为 v2 ，一直正常工作直至去年域控制器升级成 server 2025 之后无论如何也不能加入域（估计和 SMB signing 有关），最后没有办法只好另外开了一个 server 2022 单独给它作域控，

还能凑合用，windows/macos/linux 的客户端都还支持，也没觉得有什么不安全的

[windyboy]

truenas mini ?

[allplay]

@ranaanna
openmediavault 里面有个功能叫 remote mount ，其它系统应该有类似的但不知叫什么。具体就是：
把你的 smb v1 的设备 mount 起来，然后开一个 smbv3 的服务出去，WebDav 也行，你原来的 smb v1 只是新的服务底层的一个目录。底层虽然不安全，但暴露给外面是安全的。
就相当于内网 HTTP 没有加密，但是反代后 HTTPS 加密了。

[mayli]

@allplay 那就局域网开个 vpn ？

[allplay]

楼主的安全涉及到几个层面：
传输加密 smb v³加密
静态加密 bitlocker 实现，需要 TPM ，可选
签名认证 smb v3 签名认证
登录保护 既然需要 bitlocker 了，当然还要保护登录，这个也靠 TPM
这些全部实现，在消费级产品里面，只能靠 Windows ！

[ddczl]

不折腾的话，我觉得威联通比群晖好，因为价格便宜，该有的功能都有，经过市场验证。后台稍微复杂但你不折腾

[pWHx3x96]

@ddczl
复议威联通
主要是铁马威更难用
成品没有了

[ranaanna]

@allplay #36 对于 windows 就是，共享“已挂载的共享文件夹”的文件夹，简单而又有趣...不知道是否是可以的

另外 OMV 似乎不支持加入域，只能是 local users and groups?

[FateTrack]

Windows 系统本身就有 smb 和 ftp 等等, 能实现一大堆功能, 安全性看你组策略和额外软件配置.
就是移动端访问我没找到什么好用的应用, 比如苹果文件系统自带 smb 访问, 但是非要下载视频才能看, 不能直接播放.
而且 smb 不少软件没支持最新的协议, 导致传输速度好低.

[Regened]

好奇什么场景内网会有不可信设备，难道 op 是准备在公司/学校局域网里架 nas ？

[SeaTac]

二手 Mac mini + hdd enclosure ？
apfs 能加密 Sharing 里设好账户访问权限
设置好反代也能 access from anywhere
我自己是类似的配置（退下来的 Mac Studio+usb 直连外接硬盘），缺点就是 macOS 没法看 usb external drive smart data
如果看中这个还是自己组个 nas 吧

[iv8d]

成品那必须群晖了，你买了还有售后呢

[allplay]

@ranaanna
omv 有 active directory 插件，可实现域

[ern]

@drymonfidelia #4 非互联网的大企业，哪个企业自己造轮子？没钱的企业就自己请 IT 打补丁，有钱的企业就买原厂服务。互联网大企业自己搞云、搞平台，多数也是为了竞争优势和成本考虑。

[vain]

北美且需求简单的话，ubnt nas pro 799 刀 七盘万兆

[zsxzy]

没什么价值的数据谁有那时间来黑你 ..

[feikaras]

30T 就 1-2 个盘，还要啥 nas ，你电脑没 sata ？

[jojobobo]

@whileFalse 他在 us, 还要加密,放视频, 那不是怕佛波了上门,被抓到把柄,啊, 那可是美帝,什么事情都能干出来

[bullfrog]

对于对别人没什么价值的数据， 忘记密码/无法解密的风险远远大于被盗的风险

[coymail]

群晖纯内网访问+zerotier+按需桥接

[FirstMing]

自己买个台式机，刷个系统当 nas 吧，或者买个 macmini 当 nas 用。

[dilidilid]

@jojobobo FBI 谁没事管他私人硬盘存啥，哪怕是盗版资料只要不分发/上传也没人管，除非他存的是炼铜材料

[ryd994]

内网防什么 MITM ？说了多少次了，智能家居不要连 WiFi 内网。单独开个访客网络给不需要连接内网的机器用。

我内网只有自己的手机电脑打印机。打印机还禁止连接外网了。

@drymonfidelia #22 那你买二手不就得了。我的 nas 是 x99 洋垃圾。除了硬盘，剩下的部件加起来 100 美元不到。只有电源和硬盘是新的。

[drymonfidelia]

@ranaanna 在 NAS 上搭建域控，会不会导致万一那天 NAS 被黑，我电脑一起被黑了？我没折腾过域控，但我记得域控能直接在客户端设备上以 UAC 权限运行程序

[msg7086]

又要成品方案又要高安全性又要高性价比，这要求确实有点抽象。
要成品方案买群辉，要高安全性高性价比就自己弄一台超微机架之类的装个 debian/ubuntu 跑 zfs 。

[ExplodingFKL]

你的需求都这么明确了，为什么不是从零到一自己构建 ？整一台 HP 的 micro server 或者任意 x86 支持 ecc 内存的机器然后部署 debian / rhel 搭积木

[manateelazycat]

老板，懒猫微服了解一下，自带超强内网穿透，比 Tailscale+Cloudflare 更快, 不依赖公网 IP,自带 MFA 认证，防黑客攻击

懒猫微服 = 传统 NAS + Cloudflare + Tailscale + VPN 虚拟专网 + Authy + Nginx + AI 大模型 + 微信小程序 + AppStore + KVM/Docker/PVE + iCloud/TimeMachine + Chrome 电视

阿里安全专家用户笔记 http://post.smzdm.com/p/aprqvvl9/

支持全自动同步 iCloud 相片，同步好后，Android 或 PC 也都支持直接查看，一家人使用非常方便。内置最大支持 16T 空间，存个上百万张照片妥妥的，iCloud 也退订省钱了。

[ranaanna]

@drymonfidelia #37 不是说在 nas 上建域控，而是（为了安全）在局域网内最好要有若干 servers ，起码有两个 AD domain controllers, 一个 radius (NPS) server, 等等，nas 上的 file server 才有网络高安全性。这在当前虚拟机横行的年代并不困难，硬件随便一个低功耗低配置低价格 mini pc 即可，软件 windows server 和 linux 都可以，这都是成品方案，不算折腾

[Chihaya0824]

你不能指望一个 nas 就防下了所有，你想要安全内网肯定要有流量审计设备的，说实话谁都不能保证自己家产品没有安全问题
所以安全性并非单点，应该是要一套解决方案才正常吧

[piero66]

内网蜜罐拉满，再装套审计，nas 系统随边用