安全遙距存取 NAS：不開放連接埠，改用加密入口和獨立帳戶

要安全遙距存取 NAS，不應把 SMB 和管理介面放上公共互聯網，只用一種受支援的加密存取途徑，並為每人開設獨立、權限最小的帳戶。在家居網絡以外測試這條途徑，確認未獲授權的存取會被拒，並保留一套有記錄、可在裝置遺失時撤銷存取的方法。

關鍵要點

• 遙距存取檔案與遙距管理 NAS 是兩種不同的權限。
• 不要只為方便而開放 TCP 445、NAS 登入頁、UPnP 映射或 DMZ 主機。
• 優先選用廠商支援的加密中繼，或由你自行營運並了解其運作的私人隧道。
• 採用獨立帳戶，在支援時啟用 MFA，並配合最少的共用權限、警示和工作階段記錄。
• 在旅途中或緊急情況下依賴遙距存取之前，先測試撤銷和復原程序。

不熟悉儲存用語，可先閱讀 NAS 是甚麼 及範圍更廣的裝置與 App 疑難排解指南。遙距存取應是額外加設、界線清晰的途徑，而非取代你已信任的本地設定和備份措施。

安全遙距存取 NAS 之前要準備甚麼？

先寫下工作，再挑技術。「在手提電腦開啟工作文件」需要檔案存取權；「安裝更新、建立用戶或更改儲存設定」需要管理員權限。讓日常檔案帳戶擁有管理員權限，等於把兩種本應分開的風險合而為一。

用以下簡短清單盤點需要：

問題	較安全的預設做法
誰需要存取	每人一個獨立帳戶
需要哪些資料	一個專用共用資料夾，而非整個儲存區
需要進行甚麼操作	除非確實需要寫入，否則只限讀取
容許哪些裝置	已知、已更新並設有螢幕鎖的裝置
如何撤銷存取	停用該帳戶或裝置工作階段，而毋須更改所有用戶
NAS 無法使用時怎麼辦	為重要資料另外保留一份副本

透過廠商支援的渠道更新 NAS 作業系統及所選遙距存取元件。啟用新途徑前，核實裝置時鐘、儲存健康、警示和備份狀態。遙距功能修復不了狀況欠佳的陣列，也不會把 RAID 變成備份；這些基礎見首次設定 NAS 清單。

另設一個維護專用的管理員帳戶，不要用它日常瀏覽檔案。廠商支援時，停用或重新命名文件列明的預設帳戶。把復原碼存放在 NAS 以外，免得 NAS 故障時連唯一的帳戶復原方法也一併失去。

進行 NAS 遙距存取應選哪種方式？

沒有一種方法適用於所有 NAS、路由器和家庭。請選一條硬件官方支援、而且你能持續更新、監察和撤銷的途徑。

存取方式	適用情況	主要條件	不宜使用的情況
廠商支援的加密中繼	偶爾存取檔案，盡量少改路由器設定	NAS 與 App 為最新版本，並具備 MFA 及工作階段控制	廠商已停止支援，或帳戶復原方法不明確
通往家居網絡的私人隧道	在受控情況下存取選定的內部服務	隧道端點、密鑰、路由、更新和記錄全由你掌握	你無法限制路由或維護端點
同步至另一個獨立服務	在多部裝置上使用少量工作檔案	清楚了解衝突、刪除、保留期和加密安排	你需要完整的 NAS 管理功能
只限本地存取	最簡單，遙距攻擊面最小	檔案可等你回家再處理，或改用其他已核准的流程	工作確實需要即時存取遙距資料

QNAP 現行的保安指引要求用戶避免透過公共 IP、連接埠轉發、UPnP 或 DMZ 公開 NAS，並優先採用受支援的安全遙距存取方式。［1］ 這個廠商頁面只是說明保安界線的例子，並不證明某項 QNAP 服務適用於其他廠商的 NAS。

私人隧道可以合適，但前提是它確實設定為進入家居網絡的入站途徑。只保護裝置出站流量的消費級 VPN App，本身不會建立返回家中 NAS 的路由。不要只因名稱有「VPN」便購買或設定服務；先確認端點誰屬、路由範圍、驗證、撤銷方法及支援平台。

為何應避免 NAS 直接連接埠轉發？

直接轉發 TCP 445，會令 SMB 暴露於不請自來的互聯網流量；轉發 NAS 網頁管理連接埠，則公開一個價值極高的控制介面。UPnP 可能建立易被遺忘的映射，把 NAS 放進路由器 DMZ 則可能公開比預期更多的服務。

NIST 的儲存保安指引把身份、授權、管理介面、監察和受保護的管理操作視為互相關連的控制措施。［2］ 隨意改用外部高位連接埠並無實質保護：互聯網掃描工具仍能找到公開的服務，底層服務依然要獨自抵禦每次探測。

不要用以下方法解決遙距存取：

1. 為舊客戶端啟用 SMB1。
2. 把 TCP 445 公開到互聯網。
3. 在沒有獲核准的受保護存取層時，轉發 NAS 管理頁面。
4. 開啟 UPnP，讓 NAS 自動更改路由器映射。
5. 把 NAS 設為 DMZ 主機。
6. 讓多人共用同一個管理員密碼。
7. 為了讓 App 連上而關閉防火牆或證書檢查。

發現已有映射時，先記錄才改動。查清是誰建立、屬於哪項服務、有否人依賴它。只有在你控制路由器並已有測試過的替代途徑時，才移除不安全的映射；受管理的網絡應交由其管理員處理。

應如何設定帳戶和權限？

遙距存取只應開放完成工作所需的資料和操作。設計得宜的權限，比一長串例外規則更容易審核。

1. 為每位遙距用戶建立一個具名的標準帳戶。
2. 只授予所需共用資料夾或目錄的存取權。
3. 如不需要上載、重新命名或刪除，先由只讀權限開始。
4. 不要在日常檔案 App 中使用管理員帳戶。
5. 遙距服務支援 MFA 時便啟用。
6. 按裝置情況設定合適的工作階段時限，並撤銷閒置的工作階段。
7. 如有提供，開啟登入、失敗、設定更改及新裝置通知。
8. 加入用戶後檢查所屬群組；繼承而來的權限可能比共用資料夾上可見的規則更寬。

CISA 建議為遙距存取和具特權的帳戶啟用 MFA，並採用最小權限、網絡分段和受保護的備份，以降低勒索軟件風險。［3］ 這些措施需要互相配合：MFA 不會令管理員帳戶適合日常使用，權限最小的帳戶也不能取代獨立備份。

不要把復原碼、隧道密鑰、密碼或遙距連結放進共用筆記。使用家庭或機構已認可的帳戶及憑證儲存方式。裝置若多人共用、無法設螢幕鎖或已不再獲保安更新，就不要登記它長期遙距存取 NAS。

應如何測試遙距存取途徑？

請在真正位於家居區域網絡以外的網絡測試，例如可信的流動網絡。若仍連着家中 Wi-Fi，可能只證明本地存取正常。

使用一個無關痛癢的測試資料夾，並按固定次序進行：

1. 確認從已獲授權的家中裝置，仍可透過本地位址存取 NAS。
2. 讓測試裝置中斷家中 Wi-Fi。
3. 透過所選的遙距方式連線，並確認顯示的是預期身份。
4. 開啟一個不敏感的測試檔案。
5. 如果該帳戶應為只讀，嘗試新增或重新命名測試檔案，確認操作被拒絕。
6. 確認無法透過該帳戶存取無關的共用資料夾和管理介面。
7. 登出，撤銷該裝置或工作階段，確認無法再次連線。
8. 只有在正常復原程序有效、而舊工作階段仍保持失效時，才重新登記裝置。

測試後查看 NAS 及遙距服務記錄。記錄應能分辨登入成功、操作被拒和工作階段已撤銷，且不記下檔案內容或憑證。若沒有可用記錄或撤銷控制，便要重新考慮這種方式是否適合敏感資料。

出門前應做甚麼？

出發前數天完成整套測試。不要在出發當天早上一併更新 NAS、路由器、隧道端點和客戶端 App。每次只改一層，驗證後才繼續，並保留復原途徑。

預先準備：

• 一份不含有效密鑰的離線復原說明。
• 一份不依賴 NAS 在線的重要旅遊或工作檔案副本。
• 一位獲授權、可代為檢查本地設備電源的聯絡人，但不要把你的憑證交給對方。
• 已登記裝置的清單，以及確切的撤銷步驟。
• 臨時帳戶的到期日。

除非廠商程序明確支援，不要在傳輸期間遙距重新啟動、更新或重新設定儲存。NAS 報告磁碟、儲存區、溫度或備份錯誤時，先保護資料並安排本地診斷，不要從遠處一再重新啟動。

如何維護和停用遙距存取？

旅程結束、員工或家庭成員變動，以及任何裝置遺失或更換後，都要重新檢視遙距存取。停用不再使用的帳戶，移除過時的隧道對端，讓臨時連結失效，並確認路由器映射沒有再次出現。

保留一份簡短的證據記錄：存取方式、負責人、獲授權用戶、開放的路由或共用資料夾、MFA 狀態、最近一次更新、最近一次外部測試及撤銷結果。不要把憑證抄進這份記錄。如果廠商停止保安支援，便轉用受支援的方式，或讓 NAS 回復只限本地使用。

遙距存取亦會改變家庭 Wi-Fi 安全的檢查範圍：路由器、DNS 設定、遙距端點和 NAS 此時構成一條存取鏈。NAS 密碼再強，也彌補不了被棄置的隧道端點或範圍過寬的路由。

常見問題

為存取 NAS 而開放 SMB 445 連接埠安全嗎？

不安全。不要把 TCP 445 從公共互聯網轉發到 NAS。應使用受支援的加密中繼或管控妥善的私人隧道，並讓 SMB 只在受保護的網絡邊界內可以連上。

改用另一個外部連接埠是否已足夠保護？

不足夠。把服務移到罕見連接埠或可減少隨機掃描雜訊，但它不會驗證用戶、修補漏洞、限制權限，也無法令服務避過有針對性的掃描。

任何 VPN App 都能提供 NAS 遙距存取嗎？

不能。把裝置出站流量經供應商轉送的 App，不會自動建立進入你家的入站路由。遙距存取 NAS 需要受支援的端點、驗證、路由和撤銷設計。

應否遙距使用 NAS 管理員帳戶？

存取檔案應使用權限最小的標準帳戶。另設一個管理員帳戶專門作必要維護；除非受保護的存取方式和復原計劃都合適，否則避免遙距管理。

啟用 MFA 後直接公開就安全嗎？

MFA 能降低帳戶被盜用的風險，但不會修補服務、限制路由、保護不受支援的協議，也不能取代監察和備份。它只是其中一層，不代表可直接公開 SMB 或管理頁面。

如何測試只讀存取？

從外部網絡使用一個不敏感的測試資料夾。確認可以讀取、新增或重新命名測試檔案會被拒絕、其他共用資料夾不可見，而撤銷工作階段後無法重新連線。

如果 NAS 已不再獲得更新怎麼辦？

不要為不受支援的設備加設可經互聯網連上的新功能。讓它只在本地使用，把資料和服務遷到受支援的硬件；或在遷移期間，把它放在仍有維護、範圍受嚴格限制的存取層之後。

遙距存取算是備份嗎？

不算。遙距存取只是連上同一份資料的途徑。刪除、勒索軟件、帳戶被盜、硬件故障或火災仍會影響它，因此要另外保留獨立並經測試的備份副本。

延伸閱讀

• 裝置與 App 排查指南
• NAS 有甚麼用途
• 首次設定 NAS 清單
• SMB 檔案共享協議與公網風險
• 家庭 Wi-Fi 安全指南

單靠 AethoVPN 連線不會自動開放 NAS 遙距存取；伺服器端授權、強式驗證及復原測試仍須分別完成。

來源

1. QNAP, “Secure Remote Access” — https://www.qnap.com/en/solution/secure-remote-access
2. NIST, “Security Guidelines for Storage Infrastructure” — https://csrc.nist.gov/pubs/sp/800/209/final
3. CISA, “StopRansomware Guide” — https://www.cisa.gov/stopransomware/ransomware-guide

Sources checked 2026 年 8 月 28 日。