/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */
#content_views .toc,
/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */
#content_views.markdown_views > p:empty:has(+ .toc),
#content_views.markdown_views > .toc + p:empty,
/* 富文本旧版目录标记 */
#content_views.htmledit_views #main-toc,
#content_views.htmledit_views #hr-toc,
#content_views.htmledit_views p[id*=\”-toc\”] {
display: none !important;
}
/* 目录去掉后，紧跟的首个标题不再多出一块上边距 */
#content_views.markdown_views > .toc + h1,
#content_views.markdown_views > .toc + h2,
#content_views.markdown_views > .toc + h3,
#content_views.markdown_views > .toc + h4,
#content_views.markdown_views > .toc + p:empty + h1,
#content_views.markdown_views > .toc + p:empty + h2,
#content_views.markdown_views > .toc + p:empty + h3,
#content_views.markdown_views > .toc + p:empty + h4 {
margin-top: 0 !important;
}
群晖 NAS 公网访问安全吗？C3RB3R 勒索事件后的 安全加固建议
- 摘要
- 正文
-
- 群晖 NAS 勒索事件，再次提醒我们关注公网访问入口
- ZeroNews 内网穿透：在访问入口增加安全策略
- 1. IP 白名单：只允许登记过的出口访问
- 2. 地址围栏：按国家或地区限制访问范围
- 3. 路由白名单：只开放业务需要的 URL 路径
- IP 白名单与路由白名单如何配合？
- TLS：保护远程访问的传输过程
- 安全策略之外，还要做好系统更新和数据备份
- 总结
- 参考资料
摘要
2026 年 10 月，群晖官方通报针对仍运行受影响旧版 DSM 设备的勒索攻击。NAS 需要远程访问时，怎样减少公网扫描和不可信请求？本文介绍如何借助 ZeroNews 内网穿透的边缘网关，通过 IP 白名单、地址围栏和路由白名单控制访问来源与可访问路径，并说明 TLS 等入口能力的作用和防护边界。
正文
群晖 NAS 勒索事件，再次提醒我们关注公网访问入口
2026 年 10 月 29 日，Synology 群晖发布公告称，攻击者利用一个已于 2024 年 12 月修复的安全漏洞，针对仍运行受影响旧版 DSM 的设备发起攻击，可能加密数据并勒索赎金。群晖建议受影响用户尽快更新 DSM。
香港网络安全事故协调中心（HKCERT）也建议用户更新 DSM 和相关 PHP 套件，并指出群晖尚未确认 PHP2Shell 漏洞与这波勒索攻击有关。
因此，讨论这起事件时应以已公开的信息为准，不宜将其简单描述为“公网映射直接导致感染”或“所有群晖设备都存在同一问题”。
不过，对需要远程访问的 NAS 来说，公网入口仍是值得认真管理的安全边界。服务一旦可以从互联网访问，就可能被自动化扫描发现，并遭遇口令尝试或漏洞探测。只修改默认端口，无法有效判断访问者是否可信，也无法限制对方能够访问哪些服务和路径。
如果业务确实需要从外网访问群晖，除了及时更新 DSM 和套件、做好独立备份，还可以在请求进入内网之前增加一层访问控制：只允许可信来源访问，并限制可访问的地区和 URL 路径。
ZeroNews 内网穿透：在访问入口增加安全策略
ZeroNews 内网穿透是一个企业级安全内网穿透与反向代理平台，可用于在没有固定公网 IP 的网络环境下，将内网中的 NAS、OA、API 服务、服务器等应用通过公网域名发布，便于企业员工或用户在异地访问内网应用及设备，用户侧无需安装客户端。
ZeroNews 在访问入口提供边缘网关，用于接收外部访问请求并执行访问策略。平台提供 IP 黑白名单、地址围栏、路由白名单和 TLS 等能力，可在请求转发到内网应用之前进行筛选，减少不可信访问请求直接触达 NAS 的机会。
下面以群晖 NAS 的远程访问为例，介绍几种常用策略。具体功能范围、配置方式及套餐支持情况，请以 ZeroNews 当前产品说明和控制台为准。
1. IP 白名单：只允许登记过的出口访问
IP 白名单适合访问者主要来自固定办公网络、机房、堡垒机或固定宽带出口的场景。将这些可信出口 IP 加入允许列表后，ZeroNews 边缘网关会根据访问请求的来源 IP 执行准入检查：符合白名单的请求才继续转发到内网 NAS，不符合策略的请求会在入口处被拒绝。
例如，企业可以把总部办公网、分公司固定出口和指定运维网络加入白名单。员工从这些网络访问群晖时，连接可按策略进入隧道；其他未授权来源则无法继续访问 NAS 服务。这样可以减少无关来源的扫描和登录尝试，也避免这类请求直接到达内网设备。
需要注意，家庭宽带、手机 4G/5G 和出差网络的公网出口地址可能变化。若访问者经常更换网络，单独依赖固定 IP 白名单可能造成正常用户无法访问。配置前应确认可信出口地址，并安排可用的管理方式，避免误配置后无法维护策略。 
2. 地址围栏：按国家或地区限制访问范围
对于团队成员主要在固定国家或地区办公，但不希望其他地区访问 NAS 的场景，可以使用地址围栏策略限制访问来源。例如，只允许中国大陆或指定省份的请求继续访问群晖，其他地区的请求在 ZeroNews 边缘入口处被拦截。
相较于为每位移动用户维护不断变化的 IP 地址，地区策略可以作为访问范围控制的一种补充。它适用于人员活动区域相对明确、业务不需要面向全球开放的团队。
地址围栏基于 IP 地址识别地理位置，识别结果可能受到代理、运营商网络或漫游等因素影响。因此，它适合缩小访问范围，不等同于用户身份认证。需要更精细的访问控制时，可结合 IP 白名单使用：固定办公出口通过白名单放行，其他访问再按地区策略限制。
3. 路由白名单：只开放业务需要的 URL 路径
群晖 NAS 上可能运行 DSM 管理界面、文件服务、GitLab、Wiki、相册、Home Assistant 或自建 API 等多种应用。若使用同一个公网域名或反向代理入口发布多个服务，开放整个站点可能会让不需要公开的管理页面和接口也暴露出来。
ZeroNews 路由白名单可按 URL 路径限制允许访问的范围。例如，业务只需要访问某个只读接口时，可以仅放行对应路径；对于管理后台、调试接口或不需要对外开放的 API 路径，则配置为拒绝访问。这样可以减少通过域名尝试访问其他页面和服务的机会。
配置路由规则时，应先梳理业务实际使用的域名、路径和请求方式，再按最小开放原则设置白名单。规则上线后，分别测试允许访问的路径和应被拒绝的路径，避免规则过宽或误拦截正常业务。
IP 白名单与路由白名单如何配合？
两类策略控制的对象不同：IP 白名单回答“哪些来源可以访问”，路由白名单回答“访问者可以访问哪些路径”。例如，企业可以先用 IP 白名单限定办公网和运维出口，再用路由白名单限制可访问的 NAS 应用路径。若还需要限制访问的国家或地区，则可以叠加地址围栏。
通过 ZeroNews 边缘网关组合这些策略，可以在请求进入内网之前完成来源和路径筛选。对不符合策略的请求，可在入口处拒绝，而不继续转发至 NAS。策略配置应结合实际网络出口和业务访问需求，并通过访问日志和测试请求持续检查效果。
TLS：保护远程访问的传输过程
远程访问群晖时，应使用 HTTPS/TLS，并确保证书有效、续期正常。TLS 用于保护客户端与访问入口之间的数据传输，避免通信内容以明文方式传递。ZeroNews 提供 TLS 等入口能力，使用时应按平台指引配置域名和证书，并确认访问链路中的加密范围。
TLS 解决的是传输加密问题，不能替代来源控制、账号认证或系统更新。建议将 TLS 与 IP 白名单、地址围栏、路由白名单及 NAS 侧的账号权限措施配合使用。
安全策略之外，还要做好系统更新和数据备份
访问入口控制可以减少不可信请求触达 NAS，但不能修复 DSM 或应用本身的漏洞。群晖用户仍应及时安装适用于设备型号的 DSM 和套件更新，停用不需要的服务，并为管理员账号设置强且唯一的密码；设备支持时启用多因素验证。
同时，NAS 中的重要数据应保留独立备份。RAID 不等同于备份；建议保留与 NAS 分离的离线或不可变副本，并定期演练恢复流程。若发现文件异常加密或出现勒索说明，应尽快隔离设备和相关同步任务，保留日志与样本，并在排查和清理后从已验证干净的备份恢复。支付赎金并不保证能够恢复数据，安装补丁也不会自动解密已加密文件。
总结
群晖 NAS 需要通过公网提供远程访问时，不能只依赖修改端口或隐藏域名。通过 ZeroNews 内网穿透的边缘网关，可以根据实际场景配置 IP 白名单、地址围栏和路由白名单，并使用 TLS 保护访问传输，在请求进入内网前筛选来源与访问路径。
这些入口策略有助于减少扫描和不可信访问，但仍需与 DSM 更新、账号权限管理及独立备份配合，形成完整的安全防护。对于企业用户，建议先盘点实际需要开放的 NAS 服务，再按可信来源、业务区域和必要路径逐项配置访问规则。
参考资料
[1] Synology 群晖：《Synology 呼吁尽速更新 DSM，避免过时版本暴露于风险》：https://www.synology.com/zh-hk/company/news/article/C3RB3R
[2] HKCERT：《Ransomware Alert – Ransomware Attacks Targeting Synology NAS Devices》：https://www.hkcert.org/security-bulletin/security-alert-ransomware-attacks-targeting-synology-nas-devices_20261102 [3]ZeroNews内网穿透安全网关：https://docs.zeronews.cc/guides/ip-whitelist
