端口转发配置生成器

常用服务端口速查

转发之前先确认端口号和风险等级。标红的几个不要直接开到公网——它们要么默认没有认证，要么一旦被爆破就等于整台机器交出去。

表格可左右滑动

没有匹配的服务，换个关键词或端口号试试。

按下保存之前，先过一遍这 8 条

端口一开，你的 NAS 就上了全球扫描器的名单——这不是吓唬人，公网上的 IP 被首次扫描通常只需要几分钟。下面这几条做完，绝大多数自动化攻击就进不来了。勾选状态存在你自己的浏览器里。

1. 别用默认端口 5000、5001、8080 这些是扫描器的第一梯队。换成 10000 以上的随机端口挡不住定向攻击，但能把 99% 的批量扫描甩掉。上方生成器的"随机安全端口"按钮就是干这个的。
2. 只开 HTTPS，不开 HTTP 走 HTTP 的话，你的密码在从咖啡馆 Wi-Fi 到家里这一路上都是明文。各家 NAS 都能签 Let's Encrypt 证书，配好之后把 HTTP 那条转发规则删掉。
3. 关掉 admin，换个用户名 爆破脚本的用户名字典第一行永远是 admin、第二行是 root。把默认管理员停用、另建一个名字不好猜的管理账号，攻击者要猜的东西就从"一个密码"变成"用户名 + 密码"。
4. 开二次验证 这一条的性价比最高：即使密码在别处泄露了被撞库，没有那串六位数也进不来。主流 NAS 系统都内置，扫码就能绑。
5. 配自动封禁 连续失败 5 次就封 IP 一小时。这一条决定了对方是"试上千万次"还是"试五次就出局"，是挡住暴力破解最直接的开关。群晖叫自动封锁，QNAP 叫连线保护，其他系统一般在安全设置里。
6. 别转发 SSH、SMB、数据库端口 22、445、2049、3306、6379 这一批不该出现在公网。真的需要远程使用文件共享或数据库，就先建立加密组网连接，再访问内网地址——多一步操作，少一个被勒索的可能。
7. 限制来源 IP 或国家 如果你只在国内用，把访问限定在国内来源就能砍掉绝大部分扫描流量。固定办公地点的话，直接白名单那个出口 IP 更省事。
8. 开好之后回来测一次 规则填对了不代表通了——运营商封端口、路由器有二级 NAT、防火墙没放行，都会让它悄悄不生效。用上方的"检测端口连通性"从公网真连一次，比在内网自己访问一下靠谱得多。

八条都过了。剩下的就是别忘了定期看一眼登录日志。

先别急着开端口，这里有四条路

端口转发是最快的，但不是每种情况下都最合适——尤其是当你根本没有公网 IPv4 的时候。四条路各有各的代价，先看清楚再动手。

表格可左右滑动

不确定自己属于哪种情况？先用 NAT 类型检测 看看你的网络是不是在运营商大内网后面，再用 IPv6 连通性检测 确认 IPv6 通不通。这两件事查清楚了，上面选哪条路基本就定了。

配套用得上的几个工具

常见问题