群晖安全加固清单：联网前必须做完的十二件事
为什么必须单独做这件事
先建立一个正确的风险认知：NAS 出厂默认是为了局域网设计的。它的默认配置假设是”只有家里人能碰到这台机器”，所以很多安全开关都是关着的。
一旦你把 DSM 暴露到公网，这个假设就不成立了。互联网上有大量自动化扫描器 7×24 小时扫已知的 NAS 端口，一旦发现就用常见密码字典尝试登录。这不是理论风险，是每天都在发生的事。
看一眼群晖的日志中心 → 连接记录，如果你已经把 NAS 挂到公网上，大概率能看到大量来自陌生 IP 的失败登录尝试。
所以这篇讲的不是”可选的优化”，而是”联网前的必要条件”。
十二件事，按优先级排
1. 停用默认 admin 账号
这是头号必做项。
admin 是 DSM 的默认管理员账号，用户名固定。攻击者连猜都不用猜，只需破解密码。
操作：控制面板 → 用户与群组 → 新建一个管理员账号（用户名不要用 admin/admin123/nas 这类）→ 加入 administrators 群组 → 用它重新登录 → 停用原来的 admin。
2. 全账号启用双因素认证（2FA）
有了 2FA，密码泄露也不等于账号失守。
操作：控制面板 → 用户与群组 → 高级设置 → 勾选启用 Secure SignIn（或 OTP）。DSM 7.3 之后还支持”审批登录”和 FIDO2 硬件安全密钥。
别忘了配紧急救援码：DSM 7.3 新增了 OTP 收不到时通过邮件发送紧急救援码的功能，记得先填上有效邮箱，否则手机丢了会把自己锁在门外。
3. 配置自动封锁
这是对抗暴力破解最直接有效的手段。
操作：控制面板 → 安全性 → 保护 → 自动封锁
推荐参数：
| 参数 | 建议值 |
|---|---|
| 登录尝试失败次数 | 5 次 |
| 时间范围内 | 5 分钟 |
| 封锁到期 | 永久或数天（可按偏好选） |
配上之后，字典攻击基本失效——每个 IP 试五次就锁住。
4. 改掉默认端口或用 VPN / 组网替代
DSM 默认 5000(HTTP)/5001(HTTPS)。这两个端口是扫描器的重点目标。
三条路任选其一：
| 方案 | 做法 | 强度 |
|---|---|---|
| 改高位端口 | 控制面板 → 登录门户 → DSM → 改成 5xxxx 之类的随机高位端口 | 挡掉 90% 自动化扫描 |
| VPN / WireGuard | 不开端口，先连 VPN 再访问 | 推荐 |
| Tailscale 组网 | NAS 上零入站端口 | 推荐 |
单靠改端口属于”隐蔽式安全”，不是真正的防护，但性价比极高。
5. 启用 HTTPS 并强制跳转
操作：控制面板 → 安全性 → 证书 → 新增 Let’s Encrypt 证书（需要一个域名，可以用群晖提供的 DDNS 域名）
配好后到：控制面板 → 网络 → DSM 设置 → 勾选”自动将 HTTP 连接重新导向到 HTTPS”
同时把2222-2223 (DSM mobile)、6690 (Cloud Station) 等不用的服务端口关掉。
6. 绝对不要开放的端口
这几个端口一旦对公网开放，风险极高。
| 端口 / 服务 | 建议 |
|---|---|
| 22 (SSH) | 不对公网开。需要远程管理就走 VPN |
| 23 (Telnet) | 永远关闭 |
| 5000 / 5001 (DSM) | 改端口或用 VPN |
| 137-139 / 445 (SMB) | 绝对不对公网开放，这是勒索软件最爱 |
| 2049 (NFS) | 同上 |
| 3306 / 5432 等数据库端口 | 不要用端口转发暴露 |
SMB 端口暴露勒索软件传播是近年多起群晖数据被加密事件的主要入口，这条务必重视。
7. 配置防火墙规则
操作：控制面板 → 安全性 → 防火墙
建议的访问控制：
| 规则 | 配置 |
|---|---|
| 允许局域网段 | 192.168.x.x / 10.x.x.x 全放行 |
| 限制管理端口来源 | 仅允许国内 IP 段（可以导入 IP 库） |
| 拒绝所有其他入站 | 默认拒绝策略 |
注意修改防火墙前先确认自己不会被挡在门外，建议先把自己的 IP 加白，或者直接保留一条局域网规则。
8. 关闭不需要的服务
控制面板里逐个检查，用不到的就关：
| 服务 | 位置 | 建议 |
|---|---|---|
| SSH | 终端机和 SNMP | 默认关闭，用时再开，用完关掉 |
| Telnet | 同上 | 永久关闭 |
| SNMP | 同上 | 不用网络监控就关 |
| UPnP | 外部访问 → 路由器配置 | 关掉，不要让 NAS 自动开端口 |
| 第三方套件的外网访问 | 各套件设置 | 逐个检查 |
9. 用 Storage Analyzer / 安全顾问做体检
Security Advisor（安全顾问）是群晖自带的体检工具，套件中心免费安装。
它会检查：
- 密码强度
- 系统更新状态
- 网络设置是否有风险
- 恶意软件扫描
- 账号安全策略
每月跑一次，按它的建议逐条改。这是性价比最高的安全投入。
同时它还能做恶意软件扫描，发现被加密、被植入的可疑文件（不过它防不住正在运行的勒索软件，只能事后发现）。
10. 不可变快照 / WORM 保护
这一条是防勒索软件的最后一道锁。
普通勒索软件的攻击路径是：拿到你的账号 → 通过网络共享访问文件 → 加密所有能碰到的文件 → 甚至尝试删除 NAS 上的快照。
对策：
| 手段 | 说明 | 位置 |
|---|---|---|
| Immutable Snapshot | 快照在锁定时间内任何人都删不掉，包括管理员 | 快照设置（企业机型支持更完善） |
| 共享文件夹快照隐藏 | 不让普通用户看到 .snapshots 目录 |
共享文件夹设置 |
| 异地 Replication | 本地被删，远端那份还在 | Snapshot Replication |
| 回收站 | 第一道缓冲 | 共享文件夹设置 |
如果机型不支持不可变快照，就用 Replication 到另一台设备或异步云备份来近似替代。
11. 保持 DSM 和套件更新
翻一遍近一年的安全更新节奏就能理解为什么：
| 时间 | 修复内容 |
|---|---|
| 2025-11-18 | DSM 7.3.1 Update 1，安全弱点 SA-25:14 |
| 2026-02-10 | 7.3.2 Update 1，telnetd 漏洞 CVE-2026-24061 |
| 2026-03-16 | 7.3.2 Update 2，多个安全弱点 |
| 2026-03-19 | 7.3.2 Update 3，telnetd 漏洞 CVE-2026-32746 |
| 2026-07-29 | 7.3.2 Update 4，Synology-SA-26:06 |
可以看到 telnet 相关漏洞反复修补。如果你根本没开 Telnet/SSH，这些漏洞对你完全无影响——这再次说明”关闭不需要的服务”有多重要。
建议：控制面板 → 更新和还原 → DSM 更新勾选”自动安装重要更新”。同时套件中心的自动更新也打开。
12. 最后一道：离线备份
所有的防护都可能失败，唯一的万能药是至少一份离线备份。
推荐做法：
- Hyper Backup 到外接 USB 硬盘
- 两块盘轮换，一块在线备份，一块拔下来放抽屉或带去别处
- 重要数据额外做一份云端异地备份
这样即使整个 NAS 被勒索、被盗、被水淹，你依然拿得回数据。
快速检查表
打完一遍对照着看：
- [ ] admin 已停用，改用自定义管理员账号
- [ ] 所有账号开了双因素认证，且配好救援邮箱
- [ ] 自动封锁已开启（5 次 / 5 分钟）
- [ ] DSM 端口已改，或已改用 VPN/组网
- [ ] HTTPS 证书已配，HTTP 强制跳转
- [ ] SMB(445)、NFS、SSH、Telnet 未对公网开放
- [ ] 防火墙已配置，默认拒绝
- [ ] UPnP 已关，多余服务已停用
- [ ] 安全顾问每月跑一次
- [ ] 重要目录开了快照，且容量有上限
- [ ] 有条件的话配了不可变快照或异地 Replication
- [ ] DSM 与套件保持自动更新
- [ ] 有至少一份离线轮换备份
做到前面八条，你就已经比绝大多数 NAS 用户安全了。剩下几条是给万一情况准备的余量。
最后提醒一句：安全不是一次性的事，是习惯。每次新增套件、新增账号、改动网络配置之后，都值得回头过一遍这张表。
