很多人架好 NAS 的第一件事，就是想辦法從外面連進來。這很合理——NAS 放在家裡，但你不一定隨時在家。
但「從外面能連進來」這件事，本質上就是把你的設備暴露在網路上。
這篇不是要你完全不用遠端存取，而是幫你看清楚每種方式的風險，讓你做出合適的選擇。
🎯 這篇適合誰
| 你的情況 | 建議先看哪段 |
|---|---|
| 想了解遠端存取有哪些風險 | 常見的攻擊方式 |
| 目前用 QuickConnect，想知道安不安全 | QuickConnect 的風險 |
| 用 DDNS + 端口轉發，有多危險 | DDNS + Port 轉發的風險 |
| 想比較各種方案的安全性 | 各種遠端存取方式的風險比較 |
| 想降低直接暴露 | 降低暴露的遠端存取方案：VPN |
🌐 遠端存取的本質
不管用哪種方式，遠端存取的核心邏輯都是一樣的：
讓網路上的某個人（你）能夠和家裡的 NAS 建立連線。
問題是，網路是公開的。只要你的 NAS 在某個地址上「等著被連線」，就不只是你能連，任何人都能嘗試。
掃描器、機器人、惡意腳本會持續掃描公開服務，尋找可登入或有漏洞的端點。你的 NAS 一旦暴露，就應假設會收到自動化探測，不要把「目前還沒看到攻擊」當成安全證據。
🔍 常見的攻擊方式
1. 暴力破解登入
最常見的手法。腳本自動嘗試：
- 帳號：
admin、administrator、root、user - 密碼：常見密碼字典（
123456、password、admin123...）
NAS 一旦暴露在外，每天可能有幾百到幾千次嘗試。沒有設定登入限制的話，腳本會一直試到成功為止。
2. 利用已知漏洞
Synology DSM 跟所有軟體一樣，偶爾會發現安全漏洞。Synology 通常很快發布修補，但如果你沒更新——攻擊者早就知道你的版本有什麼洞，直接打進來。
歷史上幾次大規模的 Synology 攻擊，都是針對已知漏洞、打沒更新的設備。
3. 中間人攻擊（MITM）
如果你用 HTTP（不是 HTTPS）連線，或者用不安全的通道，連線過程中的資料可以被攔截。這在公共 Wi-Fi 環境下尤其危險。
4. 憑證填充（Credential Stuffing）
如果你的帳號密碼曾經在其他服務的資料外洩事件中洩漏，攻擊者會拿同樣的帳密來試你的 NAS。這就是為什麼「每個服務用不同密碼」很重要。
📊 各種遠端存取方式的風險比較
| 方式 | 暴露面 | 主要風險 | 建議程度 |
|---|---|---|---|
| QuickConnect | Synology 中繼伺服器 | 依賴第三方、速度慢 | 適合新手，但別當唯一方案 |
| DDNS + Port 轉發 | 公開 IP + 指定 Port | 直接暴露，風險最高 | 謹慎使用，需搭配其他防護 |
| HTTPS 反向代理 | 公開 IP + 443 | 需要設定正確 | 進階用戶，設定好很穩 |
| Tailscale / VPN | 通常不需入站轉發 | 直接暴露較少，但仍需權限設定 | 優先評估 |
⚠️ QuickConnect 的風險
QuickConnect 看起來最方便：不用設定 Port、不用 DDNS，Synology 幫你打通。
但要了解它的運作方式：
- 你的 NAS 會連線到 Synology 的中繼伺服器
- 你從外面連進來，也是透過那台中繼伺服器
- 如果中繼伺服器出問題，你的存取也中斷
需要理解的風險與取捨：
- 依賴第三方服務：連線能否建立、是否走中繼與可用速度會受 Synology 服務與目前網路環境影響；應另外保留本機救援方式
- 仍需帳號防護：知道 QuickConnect ID 的人可以嘗試連線，因此要搭配 2FA、強密碼與登入防護；不要把 ID 當成秘密金鑰
- 速度受限：透過中繼傳輸，速度比直連慢
QuickConnect ID 不要公開貼在網路上，這等於把你家的地址告訴所有人。
⚠️ DDNS + Port 轉發的風險
這是「傳統」的遠端存取方式：在路由器上把某個 Port 轉發到 NAS，讓外部可以直接連到指定服務。
這種方式的問題是：你的 NAS 直接暴露在公開網路上。
常見的高風險設定：
用預設 Port： - DSM HTTP：5000 - DSM HTTPS：5001 - SSH：22
這些 Port 是攻擊者掃描的第一目標。換成非標準 Port 可以減少自動掃描命中，但不是根本解法。
開放太多 Port： 每開一個 Port，就多一個攻擊面。只開真正需要的服務。
沒有 IP 白名單： 如果你只從家、公司、或固定幾個地方連線，可以在防火牆設定只允許這些 IP，拒絕其他所有來源。
HTTP 沒有換成 HTTPS： 任何暴露在外的服務都應該用 HTTPS，否則帳號密碼在傳輸過程中是明文。
✅ 降低風險的具體做法
不管你用哪種遠端存取方式，這幾件事都應該做：
一定要做
- 開啟 2FA：即使密碼洩漏，對方沒有你的驗證碼就進不來
- 設定登入失敗自動封鎖：控制台 → 安全性 → 自動封鎖
- 保持 DSM 更新：已知漏洞是最容易被打的點
- 強密碼：12 位以上，混合大小寫、數字、符號；每個服務用不同密碼
視情況做
- 換掉預設 Port：DSM 從 5001 換成其他數字，SSH 從 22 換掉
- IP 白名單：如果你的連線來源固定，只允許這些 IP
- 改用 VPN（Tailscale）：完全不暴露 Port，是最乾淨的解法
最好不要做
- 用 HTTP 而不是 HTTPS
- 開啟「允許所有 IP」的 SSH
- 把 NAS 直接設定為 DMZ 主機（路由器設定，等於完全暴露）
- 用出廠預設的 admin 帳號
🔒 降低暴露的遠端存取方案：VPN
如果你的主要需求是自己或家人安全地連回家裡 NAS，Tailscale 是值得優先評估的方案；若要讓不受控的第三方公開使用服務，仍要另外考慮應用程式登入、Access policy、日誌與資料隔離。
Tailscale 的運作方式是建立加密的私有網路通道，通常不需要在家用路由器開入站轉發。這能降低直接暴露 NAS 服務的機會，但仍要設定 tailnet 權限、DSM 防火牆與服務本身的帳號控制。
從安全性角度：
- 不開入站轉發 → 降低直接被掃描到 NAS 服務的機會
- 所有流量加密 → 中間人攻擊無效
- 裝置認證 → 不是你的裝置連不進來
缺點是設定比 QuickConnect 稍微複雜，但只需要設定一次。
相關教學：Synology 遠端訪問怎麼選？QuickConnect、DDNS、Tailscale 比較
📌 結論
遠端存取沒有「零風險」這件事，但風險可以管理。
關鍵是要清楚自己用的方式暴露了什麼，然後做對應的防護。
- 想要方便：QuickConnect + 2FA + 登入封鎖
- 想要彈性：DDNS + HTTPS + 非標準 Port + 防火牆
- 想降低直接暴露：優先評估 Tailscale，再依裝置、使用者與服務需求設定存取控制
資訊來源與更新範圍
本文於 2026 年 8 月 4 日重新核對。QuickConnect、DSM 安全功能與 Tailscale 的方案及 DSM 整合限制可能變動；以下官方文件用來確認本文的原則：
- Synology：外部存取快速入門：QuickConnect、DDNS 與外部存取設定
- Synology：QuickConnect 說明：DSM 7 的 QuickConnect 選項
- Tailscale：Synology NAS 整合文件：DSM 7、防火牆與已知限制
本文是風險與選擇框架，不是對任何方案的安全保證；公開服務仍需自行負責更新、最小權限、備份與登入紀錄監控。
🔗 延伸閱讀
- Synology NAS 資安設定清單：架好之後這 10 件事一定要做
- 遠端訪問方式比較：QuickConnect、DDNS、Tailscale
- Synology NAS 2FA + VPN + 防火牆：三層安全設定
- Cloudflare Tunnel：安全對外暴露自架服務
