群晖 NAS 怎么远程访问

群晖自带一套穿透服务，不碰路由器也能在外网打开 NAS；想要更快更稳，就得自己在路由器上做端口转发，代价是把设备暴露到公网。两条路各有利弊。

入口在哪

两处入口都在控制面板：外部访问和网络。不确定层级就在控制面板搜索框里搜关键词，比一层层翻快，也不怕版本改名。

外部访问下面通常几项：穿透服务，用设备自带编号在任意网络访问，不碰路由器；DDNS，把自己的域名指向家里公网地址，适合有固定或半固定地址的环境；路由器配置，用来尝试自动开端口。

网络这页要记下本机局域网地址，端口转发规则填的就是它，并在路由器上做静态绑定，否则重启后地址一变规则就指空。

具体步骤

1. 先在局域网里确认能正常打开。浏览器输入本机地址加端口，能进管理界面再做下一步。
2. 把 NAS 的局域网地址在路由器里固定下来，按网卡地址绑定，避免地址漂移。
3. 最省事：启用穿透服务，登录账号，记下发到的那串编号，外网用官方域名加编号访问，不涉及端口转发。
4. 要更快就走 DDNS 加端口转发。先确认宽带拿到公网地址：把路由器状态页的地址和外部查到的出口地址对一下，不一致多半是运营商大内网。
5. 在路由器上做端口转发，把外网端口映射到 NAS 的地址和端口。只开真正要用的那几个，不要整段映射。
6. 在 NAS 上开启强制加密连接，把默认端口改掉，管理员账号开两步验证。
7. 全部配好后用手机流量测，不要在同一 Wi-Fi 下测，否则测到的是局域网。

几个坑

• 以为一定有公网地址。很多宽带分到的是运营商内网地址，转发做了也不通，只能走穿透服务或向运营商申请公网地址。
• 光猫和路由器两层拨号。路由器在光猫后面多做一层转换，要么在光猫上再转一次，要么把光猫改桥接由路由器拨号；后者动宽带配置，改错直接断网，先记下原始设置。
• 只开端口不改默认账号密码。管理端口暴露在公网，被扫到只是时间问题，弱口令等于把钥匙挂在门口。
• 把整个管理界面直接映射出去又不加密。能用加密就别用明文，能限制来源地址就限制，用不上的服务一项项关。
• 拿穿透服务传大文件。它的速度上限明显低于局域网，几十 G 的备份不如等回家再同步。
• 改完没留退路。动了端口和桥接，先截图或记下原始配置，出问题能照着改回去，别指望还记得住。

怎么验证

第一验外网可达：手机关掉 Wi-Fi，用流量访问，能打开登录页说明路径通了。

第二验加密：地址栏要有锁标识，明文端口最好直接关掉或重定向。

第三验权限：用普通账号登录，确认看不到管理员专属设置项，再从外部打开共享文件夹查权限是否过宽。

第四验日志：登录日志里出现大量陌生地址的失败尝试，说明已被扫到，马上改端口、换密码、开两步验证。

常见问题

穿透服务和端口转发该选哪个

没有公网地址又不想折腾路由器，就用穿透服务，配置最少；要速度且有公网地址，就走 DDNS 加端口转发，代价是自己承担安全责任。两者可同开，日常用穿透，大流量再切。

外网能打开但很慢

先分清是链路慢还是设备忙。穿透服务本身限速，传大文件慢属正常；转发模式下也慢就查上传带宽和 NAS 负载，别在备份跑着时测。

改了端口就连不上了

端口改了访问地址要跟着改，转发规则的内部端口同样要改；路由器上改的是外部端口，外网就用新的。连不上先把设置改回原值确认能进，再一次只动一处。

一句话总结：想省事就用穿透服务，想要速度就配 DDNS 加端口转发，但把设备暴露到公网之前，改端口、开加密、上两步验证这三件一件都不能省。