安全远程访问 NAS：不开放端口，改用加密入口和独立账户

想要安全远程访问 NAS，不要把 SMB 和管理界面暴露在公网上，只用一种受支持的加密访问路径，并为每人分配独立的最小权限账户。从家庭网络之外测试这条路径，确认未授权访问会被拒绝，并保留一套有记录、可在设备丢失时撤销访问的方法。

关键要点

• 远程访问文件和远程管理 NAS 是两种不同的权限。
• 不要仅仅为了方便而暴露 TCP 445、NAS 登录页、UPnP 映射或 DMZ 主机。
• 优先使用厂商支持的加密中继，或你自己运营并理解的私有隧道。
• 使用独立账户，在支持时启用 MFA，并配合最小共享权限、告警和会话日志。
• 在出差或紧急情况下依赖远程访问之前，先测试撤销和恢复流程。

不熟悉存储术语时，可先阅读 NAS 是什么 和更全面的设备与 App 排查指南。远程访问应是额外增加、边界明确的路径，而不是取代你已信任的本地设置和备份措施。

安全远程访问 NAS 之前需要准备什么？

先写下任务，再选技术。“在笔记本上打开工作文档”需要文件访问权限；“安装更新、创建用户或修改存储设置”需要管理员权限。给日常文件账户管理员权限，会把两种本应分开的风险合在一起。

用下面这份简短清单盘点需求：

问题	更安全的默认做法
谁需要访问	每人一个独立账户
需要哪些数据	一个专用共享文件夹，而不是整个存储卷
需要执行什么操作	除非确实需要写入，否则只读
允许哪些设备	已知、已更新且设有锁屏的设备
如何撤销访问	停用该账户或设备会话，而不必修改所有用户
NAS 不可用时怎么办	为重要数据另外保留一份副本

通过厂商支持的渠道更新 NAS 系统和所选远程访问组件。启用新路径前，核实设备时钟、存储健康、告警和备份状态。远程功能修不好不健康的阵列，也不会让 RAID 变成备份；这些基础见首次设置 NAS 清单。

另建一个维护专用的管理员账户，不要用它日常浏览文件。厂商支持时，停用或重命名文档列出的默认账户。把恢复代码存在 NAS 之外，以免 NAS 故障时连唯一的账户恢复手段也一起丢失。

实现 NAS 远程访问应选择哪种方式？

没有一种方法适用于所有 NAS、路由器和家庭。选择一条硬件官方支持、而且你能持续更新、监控和撤销的路径。

访问方式	适用场景	主要前提	不宜使用的情况
厂商支持的加密中继	偶尔访问文件，尽量少改路由器	NAS 和 App 为当前版本，具备 MFA 与会话控制	厂商已停止支持，或账户恢复方式不明确
通往家庭网络的私有隧道	受控访问选定的内部服务	隧道端点、密钥、路由、更新和日志都由你掌控	你无法限制路由或维护端点
同步到另一个独立服务	在多台设备上使用少量工作文件	了解冲突、删除、保留期限和加密方式	你需要完整的 NAS 管理能力
仅限本地访问	最简单，远程攻击面最小	文件可以等你回家再处理，或改用其他获批流程	任务确实需要实时访问远程数据

QNAP 当前的安全指引要求用户避免通过公网 IP、端口转发、UPnP 或 DMZ 暴露 NAS，并优先采用受支持的安全远程访问方式。［1］ 这个厂商页面只是说明安全边界的一个例子，并不能证明某项 QNAP 服务适用于其他厂商的 NAS。

私有隧道可以合适，但前提是它确实配置成进入家庭网络的入站路径。只保护设备出站流量的消费级 VPN App，本身不会建立回到家中 NAS 的路由。不要只因名称里有“VPN”就购买或配置服务；先确认端点归属、路由范围、认证、撤销方式和支持的平台。

为什么要避免 NAS 直接端口转发？

直接转发 TCP 445 会让 SMB 暴露在不请自来的互联网流量之下。转发 NAS 网页管理端口，则会暴露一个价值很高的控制面。UPnP 可能创建容易被遗忘的映射，而把 NAS 放进路由器 DMZ，可能暴露比预期更多的服务。

NIST 的存储安全指南把身份、授权、管理接口、监控和受保护的管理操作视为相互关联的控制措施。［2］ 随便换一个外部高位端口并不能提供实质保护：互联网扫描器仍然能找到暴露的服务，而底层服务依旧要独自抵御每一次探测。

不要用下列方式来解决远程访问：

1. 为旧客户端启用 SMB1。
2. 把 TCP 445 发布到互联网。
3. 在没有获批的受保护访问层时转发 NAS 管理页面。
4. 开启 UPnP，让 NAS 自动修改路由器映射。
5. 把 NAS 设为 DMZ 主机。
6. 让多人共用同一个管理员密码。
7. 为了让 App 连上而关闭防火墙或证书校验。

发现已有映射时，先记录再改动。弄清是谁创建的、属于哪个服务、是否有人依赖它。只有在你控制路由器并已有测试过的替代路径时，才移除不安全的映射；受管理的网络应上报给其管理员。

如何配置账户和权限？

远程访问只应暴露完成任务所需的数据和操作。一套好用的权限设计，比一长串例外规则更容易审计。

1. 为每位远程用户创建一个独立的标准账户。
2. 只授予所需共享文件夹或目录的访问权限。
3. 如果不需要上传、重命名或删除，先从只读权限开始。
4. 不要在日常文件 App 中使用管理员账户。
5. 远程服务支持 MFA 时启用它。
6. 按设备情况设置合适的会话时长，并撤销不活跃的会话。
7. 在可用时开启登录、登录失败、配置变更和新设备通知。
8. 添加用户后检查所属用户组；继承而来的权限可能比共享文件夹上可见的规则更宽。

CISA 建议对远程访问和特权账户启用 MFA，采用最小权限、网络分段和受保护的备份，作为降低勒索软件风险的措施。［3］ 这些控制需要相互配合：MFA 不会让管理员账户变得适合日常使用，最小权限账户也不能替代独立备份。

不要把恢复代码、隧道密钥、密码或远程链接放进共享笔记。使用家庭或组织已认可的账户和凭据存储方式。设备若多人共用、无法锁屏或已不再获得安全更新，就不要登记它长期远程访问 NAS。

如何测试远程访问路径？

从真正位于家庭局域网之外的网络进行测试，例如可信的移动数据连接。如果仍连着家里的 Wi-Fi，可能只证明了本地访问正常。

使用一个无害的测试文件夹，并按固定顺序操作：

1. 确认从已授权的家庭设备仍能通过本地地址访问 NAS。
2. 让测试设备断开家中 Wi-Fi。
3. 通过所选远程方式连接，并确认显示的是预期身份。
4. 打开一个不敏感的测试文件。
5. 如果该账户应为只读，尝试新建或重命名测试文件，确认操作被拒绝。
6. 确认通过该账户无法访问无关的共享文件夹和管理界面。
7. 退出登录，撤销该设备或会话，确认无法再次连接。
8. 只有在常规恢复流程有效、且旧会话仍保持失效时，才重新登记设备。

测试后查看 NAS 和远程服务日志。日志应能区分登录成功、操作被拒和会话已撤销，且不记录文件内容或凭据。若没有可用日志或撤销控制，要重新考虑这种方式是否适合敏感数据。

出行前应该做什么？

至少在出发前几天完成整套测试。不要在出行当天早上同时更新 NAS、路由器、隧道端点和客户端 App。每次只改一层，验证后再继续，并保留一条恢复路径。

提前准备：

• 一份不含有效密钥的离线恢复说明。
• 一份不依赖 NAS 在线的重要出行或工作文件副本。
• 一位获授权、可帮忙检查本地设备供电的联系人，但不要把你的凭据交给对方。
• 已登记设备的清单，以及确切的撤销步骤。
• 临时账户的到期日期。

除非厂商流程明确支持，不要在传输进行中远程重启、更新或重新配置存储。NAS 报告磁盘、存储卷、温度或备份错误时，先保护数据并安排本地诊断，不要从远处反复重启。

如何维护和停用远程访问？

出行结束后、员工或家庭成员变动后，以及任何设备丢失或更换后，都要复查远程访问。停用不再使用的账户，移除过时的隧道对端，让临时链接过期，并确认路由器映射没有重新出现。

保留一份简短的证据记录：访问方式、负责人、获授权用户、开放的路由或共享文件夹、MFA 状态、最近一次更新、最近一次外部测试以及撤销结果。不要把凭据抄进这份记录。如果厂商停止安全支持，就改用受支持的方式，或让 NAS 回到仅限本地使用。

远程访问也会改变家庭 Wi-Fi 安全的检查范围：路由器、DNS 配置、远程端点和 NAS 此时构成一条访问链。NAS 密码再强，也弥补不了被弃置的隧道端点或范围过宽的路由。

常见问题

为访问 NAS 而开放 SMB 445 端口安全吗？

不安全。不要把 TCP 445 从公网转发到 NAS。应使用受支持的加密中继或管控得当的私有隧道，并让 SMB 只在受保护的网络边界内可达。

换一个外部端口就足够安全了吗？

不够。把服务移到不常见的端口也许能减少随机扫描噪声，但它不会认证用户、修补漏洞、限制权限，也无法让服务躲过有针对性的扫描。

任何 VPN App 都能提供 NAS 远程访问吗？

不能。把设备出站流量经服务商转发的 App，不会自动建立进入你家的入站路由。远程访问 NAS 需要受支持的端点、认证、路由和撤销设计。

应该远程使用 NAS 管理员账户吗？

访问文件应使用最小权限的标准账户。另留一个管理员账户专门用于必要的维护；除非受保护的访问方式和恢复计划都合适，否则避免远程管理。

启用 MFA 后直接暴露就安全了吗？

MFA 能降低账户被接管的风险，但它不会修补服务、限制路由、保护不受支持的协议，也不能取代监控和备份。它只是其中一层，并不意味着可以直接暴露 SMB 或管理页面。

如何测试只读访问？

从外部网络使用一个不敏感的测试文件夹。确认可以读取，新建或重命名测试文件会被拒绝，其他共享文件夹不可见，并且撤销会话后无法重新连接。

如果 NAS 已不再获得更新怎么办？

不要给不受支持的设备新增可从互联网访问的功能。让它只在本地使用，把数据和服务迁到受支持的硬件；或在迁移期间，把它放在仍有维护、范围严格受限的访问层之后。

远程访问算是备份吗？

不算。远程访问只是访问同一份数据的途径。删除、勒索软件、账户被盗、硬件故障或火灾仍然会影响它，因此要另外保留独立且经过测试的备份副本。

延伸阅读

• 设备与 App 排查指南
• NAS 能做什么
• 首次设置 NAS 清单
• 什么是 SMB
• 家庭 Wi-Fi 安全指南

仅有 AethoVPN 连接不会自动开放 NAS 远程访问；服务端授权、强认证和恢复测试仍需分别完成。

来源

1. QNAP, “Secure Remote Access” — https://www.qnap.com/en/solution/secure-remote-access
2. NIST, “Security Guidelines for Storage Infrastructure” — https://csrc.nist.gov/pubs/sp/800/209/final
3. CISA, “StopRansomware Guide” — https://www.cisa.gov/stopransomware/ransomware-guide

Sources checked 2026 年 8 月 28 日。