10 月底那几天，搞运维的朋友群里画风突变：一连串群晖 NAS 中招的截图刷了屏——共享文件夹里的文件全被加上 .L0CK3D 后缀，每个目录还躺着一份 read-me3.txt 勒索信。我顺手打开自家路由器的端口转发列表，看到那条指向群晖 5001 端口的映射时，后背是有点凉的。

这台 NAS 里躺着八年的照片、孩子的视频、十年的工作文档。以前总觉得勒索病毒是新闻里的事，这次它把 " 怎么远程访问 NAS" 变成了另一个问题：不是快不快、方不方便，而是敢不敢。

这篇按这次事件的教训，把主流远程访问方式按 " 暴露面 " 重新排一遍，再给出我现在用的方案：NAS 一条端口都不开，用蒲公英 X1 旁路组网盒子在旁边 " 开一扇只有自己能进的门 "，十来分钟搞定。

一、这次 " 暴雷 "，炸的不是群晖一家

先把事件捋清楚（信息来自 360 反勒索团队预警与群晖安全公告）：

漏洞分量：两条 CVSS 9.8 的严重漏洞（CVE-2026-13639、CVE-2026-13684），不需要任何账号密码，就能远程读写 NAS 上的任意文件；

补丁早就有了：群晖 9 月 18 日已发布修复版本（DSM 7.4-90075 等对应版本），10 月下旬集中中招的，绝大多数是一直没升级的设备；

入口尚有争议：也有应急团队发现部分受害设备已是最新版本，不排除第三方套件或凭据泄露；

唯一的共同点：这些 NAS 的管理端都能被公网直接访问到。

所以这事不该简单读成 " 群晖不行了 "。补丁永远有迟到的时候，任何品牌都一样——真正决定生死的，是你的 NAS 有没有把自己 " 挂 " 在公网上等人敲。 群晖官方的应急建议里也有一条：移除管理界面的公网暴露，改用 VPN 类通道访问。

二、6 种远程访问方式，按暴露面重排

" 远程访问 " 这个需求，业界一共就这么几种解法。我按 "NAS 在公网上暴露了多少 " 重新排了序：

说两句大实话：

端口映射是这次中招设备的典型姿势。它确实最快（公网直达），但等于把 DSM 登录界面挂到全世界扫描器都看得见的地方，赌的是 " 补丁永远快过攻击 "；

IPv6 是隐藏雷区：很多人以为没公网 IPv4 就安全，其实运营商默认分配 v6 地址，防火墙一放行，和 v4 裸奔没区别；

QuickConnect 不开端口，安全底子还行，但走官方中继时速度和稳定性都不可控，放个文档应急可以，日常拖大文件憋屈；

组网是唯一让 NAS 对公网 " 隐身 " 的路线：访问全在加密虚拟局域网里完成，公网上根本找不到这台设备。

三、组网路线的原理：让 NAS 从公网上 " 消失 "

图 1｜旁路部署示意：盒子只是 " 挂 " 在内网旁边，不动原有网络（图源：贝锐官方帮助文档）

思路一句话讲完：在 NAS 旁边放一个组网盒子，它和你的手机、电脑组成一张加密虚拟局域网；NAS 本身一个设置都不用改，继续只对内网服务。 你在外面访问的是虚拟 IP（172.16.x.x），公网上没有任何一条路能直接摸到 NAS ——勒索软件的扫描器扫不到，漏洞写得再厉害也没有入口。

这就是 " 最简单的就是组网 " 的含义：不改主路由、不开端口、NAS 不装任何东西，安全性的提升和操作量的下降是同时发生的。

四、动手：X1 旁路 + 群晖，四步搞定

我用的是蒲公英 X1（京东常卖价 99 元左右，2026 年 10 月口径），巴掌大小，网线接进主路由 LAN 口、通电等指示灯白色常亮即可，主路由和 NAS 全程零改动。

第 1 步：绑定盒子。 浏览器打开 pgybox.oray.com，输入 X1 背面的 SN 码登录云管理，玩法里直接选【远程访问 NAS】。

图 2｜云管理里直接选「远程访问 NAS」玩法

第 2 步：加旁路规则。 到蒲公英管理平台【异地组网】→【网络设置】→【旁路设置】里添加一条旁路，作用是让组网成员能访问 X1 所在网段——也就是 NAS 那个网段。

图 3｜旁路设置：放行组网成员访问 NAS 网段

第 3 步：群晖开 SMB。 NAS 端唯一要做的事：控制面板 → 文件服务 → 勾选【启用 SMB 服务】。

图 4｜群晖控制面板启用 SMB 文件服务

第 4 步：外地访问。 出门在外，手机或电脑装上蒲公英客户端，登录同一账号后先 PING 一下 NAS 的内网 IP，确认通道通了——

图 5｜客户端里 PING 通，组网通道已建立

电脑上【运行】输入 \NAS 的内网 IP，和坐在家里完全一样；手机端在 App 的 " 文件共享 " 里填一次地址和账号，之后一键直达。

图 6｜电脑端直接访问 NAS 共享文件夹

图 7｜手机端添加 SMB 共享，照片视频直接打开

五、换了入口，底子也要补

组网解决的是 " 入口 " 问题，NAS 本身的底子还得自己补。今晚就能做完的 6 项自查：

最后一条多啰嗦一句：快照救过很多人的命。这次不少中招用户连本机备份都被一起加密了，能留一份拔掉网线的冷备份，才是真正的底牌。

六、对号入座 + 说句实话

照例说边界，免得显得无脑吹：

X1 是百兆网口，组网性能标称 18Mbps，日常翻照片、拉文档没问题，大文件冷备份别指望它；

免费版 P2P 直连不限速，但打洞失败回落中转时只有 2Mbps/ 节点，速度看两端宽带的缘分；

免费额度是每账号 3 个组网授权，超出就得上付费授权。

结语

这次勒索风暴最值得记住的不是恐慌，而是一个朴素的结论：安全和便利经常被当成选择题，但 " 把 NAS 从公网上藏起来 + 用组网开一扇自己的门 " 这套做法，恰好是两头都占的那个选项。 一百块钱、十分钟、零端露——比任何 " 我会小心 " 都管用。

数据口径说明：勒索事件信息来自 360 反勒索团队 2026 年 10 月 29 日预警、群晖官方安全公告（Synology-SA-26:13 等）及公开报道，入口归因仍在持续更新；蒲公英价格与权益为 2026 年 10 月官网 / 电商公开口径，随促销浮动；" 暴露面评价 " 为基于公开原理的定性判断，非实测数据。截图来自贝锐官方帮助文档。

相关链接

官方教程：X1 远程访问 NAS 指南 — https://service.oray.com/question/12144.html

产品页：蒲公英 X1 — https://pgy.oray.com/router/x1.html