nas 暴露在公网有多危险？

[HeHeDa]

nas 新手请教，在 v2 经常看到一种说法不要暴露 nas 在公网。
可是拿群晖 nas 来说，系统集成的各种功能不就是为了方便公网使用 nas 吗？

目前有一台白群晖 nas ，鉴于 qc 访问实在是慢如蜗牛，所以配置了仅 ipv6 ddns 绑定自己的域名（宽带没有 ipv4 公网地址），op 硬路由仅开放了访问 nas 的端口，dsm 系统用户添加了两步验证，如此配置的情况下还是会被爆破吗？

另外测试发现运营商 ipv6 地址没有封锁 80 、443 端口，在绑定二级域名的情况下使用 443 端口会被警告吗？

已经在群晖部署了 wireguard ，导入配置到移动端设备的代理工具做好分流，基本上无缝连接家庭内网。
不过据说运营商阻断 udp 流量，还要观察一段时间。

群晖配置了登录失败封锁 ip ，所有用户都添加了两步验证加强密码。
路由器防火墙仅开放两个端口，一个给 wireguard ，一个给群晖文件系统，因为要方便家人使用。

暂时先这样了，nas 文件都有第三方网盘和异地备份，所以应该问题不大。

[opengps]

@li19910102 用例子来说明问题，完全是个错误的做法。我一个小破站都被人脱库过，我完全可以没发现这个事认为没出问题

[Kimyx]

@kid1412621 cf tunnel 我这边用起来慢慢的，frp 走美 vps gia 线路速度很稳，串流也无 ok

[jasonyang9]

@dcsuibian 分流设定好就可以了，无感的

[DrLty]

我是只开 80 端口，用 cloudflare tunnel + nginx 反向代理根据域名代理对应服务。再用 auth_request 验证 header 。这样的风险大么。

[Anakin078]

@HeHeDa #3 “不过群晖系统好像还没有出现漏洞的历史记录”
https://www.cvedetails.com/vulnerability-list/vendor_id-11138/Synology.html 来 看这个

[bluehtt]

@swiftg #100 多谢。不过我查了一下，11 月 5 号修复的不是 CVE-2024-10443 。CVE-2024-10443 指的是几个相册应用，差不多一个月前已经推送了最新版。

[bluehtt]

推荐这两个 rss 订阅，一个是群晖的，一个是 cve 的。
https://www.synology.cn/api/rssfeed/security/zh-cn
https://cvefeed.io/rssfeed/latest.xml

[panda1001]

说说自己的方法，对于内网暴露在公网的服务
1.敏感服务或者潜在漏洞多，比如 ssh ，rdp ，php/java web 之类的，用 frp 的 stcp
2.不敏感或者漏洞较少，比如 nginx 静态站，go web ，不想公开的用 nginx 反代套一层 http basic auth 认证

[nkcfc]

借地问一下，大家说不要把群晖暴露在公网，主要是哪些服务呢？我只是把 webdav 映射到家宽动态 ip 的高位端口会有问题吗？