連接埠轉發設定生成器

常用服務連接埠速查

轉發之前先確認連接埠號與風險等級。標紅的幾個不要直接開到公網——它們要嘛預設沒有認證，要嘛一旦被爆破就等於整台機器交出去。

表格可左右滑動

沒有符合的服務，換個關鍵字或連接埠號試試。

按下儲存之前，先過一遍這 8 條

連接埠一開，你的 NAS 就上了全球掃描器的名單——這不是嚇唬人，公網上的 IP 被首次掃描通常只需要幾分鐘。下面這幾條做完，絕大多數自動化攻擊就進不來了。勾選狀態存在你自己的瀏覽器裡。

1. 別用預設連接埠 5000、5001、8080 這些是掃描器的第一梯隊。換成 10000 以上的隨機連接埠擋不住定向攻擊，但能把 99% 的批次掃描甩掉。上方產生器的「隨機安全連接埠」按鈕就是做這件事的。
2. 只開 HTTPS，不開 HTTP 走 HTTP 的話，你的密碼在從咖啡廳 Wi-Fi 到家裡這一路上都是明文。各家 NAS 都能簽 Let's Encrypt 憑證，設定好之後把 HTTP 那條轉發規則刪掉。
3. 關閉 admin，換一個使用者名稱 爆破腳本的使用者名稱字典第一行永遠是 admin、第二行是 root。把預設管理員停用、另建一個名字不好猜的管理帳號，攻擊者要猜的東西就從「一個密碼」變成「使用者名稱 + 密碼」。
4. 開二次驗證 這一條的性價比最高：即使密碼在別處外洩被撞庫，沒有那串六位數也進不來。主流 NAS 系統都內建，掃碼就能綁定。
5. 設定自動封鎖 連續失敗 5 次就封鎖 IP 一小時。這一條決定了對方是「試上千萬次」還是「試五次就出局」，是擋住暴力破解最直接的開關。群暉叫自動封鎖，QNAP 叫連線保護，其他系統一般在安全設定裡。
6. 別轉發 SSH、SMB、資料庫連接埠 22、445、2049、3306、6379 這一批不該出現在公網。真的需要遠端用檔案分享或資料庫，就先連 VPN 再存取內網位址——多一步操作，少一個被勒索的可能。
7. 限制來源 IP 或國家 如果你只在國內用，把存取限定在國內來源就能砍掉絕大部分掃描流量。固定辦公地點的話，直接白名單那個出口 IP 更省事。
8. 開好之後回來測一次 規則填對了不代表通了——電信業者封連接埠、路由器有二級 NAT、防火牆沒放行，都會讓它悄悄失效。用上方的「檢測連接埠連通性」從公網真連一次，比在內網自己存取一下可靠得多。

八條都過了。剩下的就是別忘了定期看一眼登入日誌。

先別急著開連接埠，這裡有四條路

連接埠轉發是最快的，但不是每種情況下都最合適——尤其是當你根本沒有公網 IPv4 的時候。四條路各有各的代價，先看清楚再動手。

表格可左右滑動

不確定自己屬於哪種情況？先用 NAT 類型檢測 看看你的網路是不是在電信業者大內網後面，再用 IPv6 連通性檢測 確認 IPv6 通不通。這兩件事查清楚了，上面選哪條路基本就定了。

配套用得上的幾個工具

常見問題