威联通 QNAP NAS 的 VPN 设置指南

QNAP NAS 往往一开始只是个备份盒子，慢慢变得越来越重要：家人的照片库、小办公室的文件服务器、媒体库，也许还跑着几个容器。到了这一步，问题就变了。怎样从外面访问它？怎样避免它向互联网“裸奔”？VPN 在整件事里处于什么位置？

多数指南一上来就讲 VPN 菜单。本文的顺序不同，因为在实践中 VPN 是第三步，而不是第一步。下面的方案分四个阶段：先加固设备；如果 NAS 本身需要，就添加客户端配置；如果想远程访问，再添加服务器；最后测试一切并保留回退办法。本文面向家庭和小型办公室用户，用通用名称来称呼 QNAP 的工具。QTS 与 QuTS hero 的不同版本在菜单、应用名称和默认值上会有变化，请把它当作地图，细节以设备自带的帮助为准。

为什么要先加固，再上 VPN

VPN 是一条受保护的路径，但它对两端有什么毫无说明。如果 NAS 仍在使用默认管理员账号、固件很旧，或者开着十几项服务，那么加上 VPN 只是给一个薄弱的目标铺了一条加密得很好的路。

网络存储设备是自动扫描和勒索软件活动的常客，因为它存有有价值的文件，又常常直接接在家庭网络上。这不是不要买 NAS 的理由，而是要在折腾隧道之前先花一小时处理基础问题的理由。

建议用 建立隐私威胁模型 里的简单思路：列出你存了什么、谁可能想要、他们可能怎样接触到。对多数家庭来说，现实的威胁是对暴露端口的自动扫描、被盗的密码，以及因不小心的同步而损坏的文件。VPN 对第一项有帮助，对第二项有一部分帮助，对第三项没有帮助。

QNAP 提供了什么，用大白话说

组件	通常用途	与 VPN 方案的关系
VPN 服务器与客户端应用（常称 QVPN）	在 NAS 上运行 VPN 服务器，或用客户端配置连出去	两个方向都用得到的主要工具
厂商提供的云中继服务	无需开放端口，用名称访问 NAS	端口转发的便利替代品，但有其自身的信任取舍
防火墙应用	按来源和端口允许或拦截流量	限制谁能访问 VPN 端口或网页
容器平台	在相互隔离的容器中运行应用	可让某个应用独占一条隧道
安全检查工具	扫描 NAS 的薄弱设置	在第一阶段很有用
备份与快照工具	防止数据因意外受损	你试验期间的安全网

具体名称和可用性随型号与固件而异。规划任何事情之前，先打开设备上的应用中心，看看装了什么、可以装什么。

第 1 阶段：加固设备

在开放任何端口之前先在这里花时间。这一阶段完全在本地进行，不会把自己锁在外面。

1. 更新固件和应用。 在设备自己的更新页面操作。如果你依赖某个特定应用，先看发布说明。
2. 替换默认账号。 创建一个有名字的管理员，设置长而不重复的密码；系统允许的话，停用或重命名默认的 admin 账号。
3. 为管理员账号开启双重登录验证。 CISA 的指南说明了它为什么重要，双重验证是什么则带你看有哪些选择。
4. 关掉用不到的东西。 停用不用的文件协议、远程桌面工具、访客账号，以及任何你说不出用途的服务。
5. 检查哪些端口可从外部访问。 列出 NAS 在监听什么，确保路由器没有把这些端口转发给它，除非那是你有意为之。
6. 做一次快照或备份。 导出 NAS 配置，重要的共享在 NAS 之外再保留一份副本。
7. 开启告警。 对登录失败和固件更新启用邮件或应用通知。

第一阶段结束时，写一句话总结：开放了哪些端口、为什么。如果答案是“一个也没有，是有意的”，你就处在不错的位置。

第 2 阶段：决定 NAS 要不要 VPN 客户端

有些 NAS 用户完全不需要这一阶段。客户端配置会让 NAS 自己的部分或全部互联网流量走外部 VPN 服务器。以下情况有用：

• NAS 按计划从互联网下载内容，而你不希望家里的地址出现在这些连接中。
• 容器要从许多网站获取数据，你希望它走独立的路径。
• 你把 NAS 当作常开的小盒子，希望它的出站流量受到保护。

当 NAS 只是为家里自己的设备提供文件服务时就没有用，因为几乎没有出站流量需要保护。

如果确实需要：

1. 确认服务商提供了什么。 QVPN 客户端只接受特定的连接类型，请与服务商公布的选项对照。对 XPASS 来说，设置信息在 My Pass 页面，而下载页面上免费的 VPNclient 应用是手机和电脑上受支持的使用方式。如果 NAS 用不了服务商提供的东西，那么这个服务就不适合 NAS 配置。
2. 用提供的服务器信息、用户名和密码创建客户端配置。 看不懂的项目保持默认值。
3. 有意识地选择路由。 决定是让 NAS 的全部流量还是只让部分流量走隧道。要小心“所有流量走隧道”的选项，它可能让你自己无法从局域网访问 NAS。
4. 连接并测试。 确认 NAS 显示已连接，再用一个能显示出站地址的任务，确认它与家里的地址不同。
5. 从电脑和连着 Wi-Fi 的手机测试本地访问。 任何一个失败，就撤销路由修改。
6. 测试隧道断开时的行为。 有意断开，观察计划任务是停止还是在普通连接上继续。判断这对你的用途是否可以接受。

第 3 阶段：添加 VPN 服务器以便远程访问

NAS 上的服务器给你自己的设备提供一条回到家庭网络的安全通道。它比直接暴露 NAS 网页好，但仍然需要小心。

开放任何东西之前。 先确认你的宽带提供了可以从外部访问的公网地址。如果运营商让许多用户共用一个地址，转发就不会生效，需要换个办法。对比路由器 WAN 地址与公网地址，两分钟就能得到答案。

步骤：

1. 安装并打开 VPN 服务器组件。 选择连接类型。优先选现代的选项，避开最老的那种，具体可参考 NIST 的 IPsec VPN 指南和 OpenVPN 社区资源。
2. 创建专用的 VPN 用户。 只给需要的人账号，并限制每个人能访问的范围。
3. 在路由器上转发一个端口到 NAS。可读 端口转发详解 了解其影响，如果路由器支持，也用规则限制来源。
4. 添加防火墙规则，让外部只能访问 VPN 端口，连接之后也只允许必要的网段。
5. 导出客户端配置并安装到笔记本或手机。请妥善保管该文件，任何持有文件和凭据的人都可以尝试连接。
6. 在家庭网络之外测试。 用手机的移动数据，而不是家里的 Wi-Fi。如果那里能用，远程访问就是真的可用。

请注意，同一台笔记本上的商用 VPN 应用可能与 NAS 的客户端冲突，同一时间只应有一个持有默认路由。如果两个都要用，请看商用应用是否能让本地或特定地址不走隧道。自建 VPN 与商用 VPN 的对比一文解释了为什么它们是不同的工具。

第 4 阶段：测试、监控，并保留回退办法

没有测试过的配置，就是不能信任的配置。使用一份简短的测试计划，每次固件更新后重复一遍。

测试	方法	通过条件
本地访问正常	在家庭网络中用电脑打开一个共享	以正常速度打开
远程访问正常	用移动数据连接 VPN，再打开同一共享	能打开，较慢但可用
从外面看是关闭的	用移动数据、不开 VPN，尝试用公网地址打开 NAS 网页	加载不出来
出站地址（若有客户端配置）	运行显示出站地址的任务	与家里的地址不同
隧道断开时的行为	有意断开客户端配置	与你的决定一致
告警	故意输错一次密码登录	收到通知

适用于任何 VPN 的测试可看 如何测试 VPN。最初几周，也建议每周查看一次 NAS 的连接日志和登录日志。任何暴露的服务上，来自陌生地址的反复失败尝试都很正常，但数量突然增加，或出现你不认识的成功登录，就需要处理。

保留回退办法。 每次修改前，记下旧值。如果失去访问，就把电脑接到同一局域网，停用 VPN 配置，恢复保存的配置。不要试图在外面修复一个坏掉的远程设置，往往会越弄越糟。

三个现实场景

摄影师。 小莉把多年的照片存在 QNAP 上，并从笔记本同步新拍的作品。她希望出差时也能访问照片库。她认真完成了第一阶段，开启双重登录验证，然后安装 VPN 服务器组件，只转发一个端口。她在公共 Wi-Fi 上使用商用 VPN 应用，但在访问 NAS 时暂停它，需要照片库时再切换。

小办公室。 一家五人的设计工作室把 NAS 当作共享盘，有两位员工有时在家办公。负责人为他们创建了专用的 VPN 账号，权限仅限项目共享，设置防火墙规则只允许 VPN 端口，并把配置记录下来，方便以后接手的人。

下载盒子。 老周的 NAS 每晚抓取公开数据集，他不希望这些连接来自家里的地址。他创建了客户端配置，检查了出站地址，并确认隧道断开时计划任务会停止，因为他为此设置了防火墙规则。他把本地文件共享放在隧道之外。

常见错误

• “就一天”地把 NAS 网页开放到互联网。 自动扫描几分钟内就会发现它。
• 在 NAS 和其他账号之间重复使用密码。
• 为了保险转发一整段端口。 只转发需要的那一个。
• 首次设置之后忘记更新固件。
• 把 VPN 当成完整的答案。 VPN 会被黑吗讨论了真正的局限：隧道的安全程度取决于两端。
• 一次改好几样东西，之后说不清是哪一项导致访问失败。
• 不从外部测试，到了外地才发现设置不起作用。

总结

对 QNAP NAS 来说，VPN 排在基础工作之后。先加固设备，再决定它是否需要客户端配置，只有想远程访问时才添加 VPN 服务器，然后从外部测试并准备回退方案。规划客户端配置前，先确认服务商究竟提供什么；也请记住，VPN 保护的是路径，而不是两端的薄弱环节。

如果你也想在自己的电脑和手机上使用 VPN，价格页面列出了预付通行证，下载页面提供免费的 VPNclient 应用链接。