飞牛系统安全：远程访问之前先做这几件事

NAS 里往往存着家里最私密的数据：照片、证件、工作文档。一旦被入侵，损失比丢一台电脑还大。

飞牛（fnOS）内置了不少安全相关的设置，这篇按「从内到外」的顺序梳理一遍。

账号安全

双重验证（2FA）：强烈建议开启。登录时除了密码，还要输入一次动态验证码，即使密码泄露也不容易被登进来。

强密码：别用生日、手机号、重复密码。管理员账号尤其要注意。

独立账号：每个人一个账号，别共用管理员。

SSH

SSH 是命令行入口，权限极大。

• 不用的时候关掉；
• 必须用时，改默认端口、限制来源 IP、用密钥登录；
• 千万别用 root 弱密码暴露在公网。

飞牛的「设置 → 远程访问 → SSH」可以开关和改端口。

端口与防火墙

• 把默认端口改掉（比如 5666 改成不常见的端口），能挡掉一部分扫描；
• 如果系统/路由器有防火墙，只放行必要的端口；
• 不要把管理界面直接暴露到公网，尽量走远程访问或 VPN。

HTTPS

如果通过域名访问，一定要配 HTTPS：

• 飞牛支持自定义证书；
• 用反向代理时，证书配在代理层；
• 自签证书要手动信任，不如用 Let’s Encrypt。

远程访问的安全

• FN Connect：方便，但账号要开 2FA；
• Tailscale/VPN：最安全，只有自己的设备能进；
• 端口映射：风险最高，尽量少用。

更新

系统和应用要及时更新，很多漏洞都是靠补丁修的。但生产环境建议先看更新说明，别盲目自动更新。

日志与审计

定期看一下登录日志：

• 有没有异常 IP 尝试登录；
• 有没有陌生账号；
• 有没有异常的应用操作。

飞牛的日志中心可以按模块筛选，出问题时也方便排查。

常见的坑

管理端口暴露公网：被扫到就危险，尽量别这么做。 SSH 一直开着：不用就关。 共用管理员账号：出问题找不到人。 忽略登录失败日志：被爆破没发现。 自签证书 + 公网：中间人风险。

一套推荐配置

如果你准备把 NAS 开放到公网，建议按这个顺序：

1. 开 2FA；
2. 改默认端口；
3. 关掉不用的服务（SSH、FTP 等）；
4. 优先用 Tailscale/远程访问，而不是端口映射；
5. 配 HTTPS；
6. 定期看日志。

小结

安全不是「装个软件」就完事，而是一套习惯：最小暴露、强认证、及时更新、定期审计。

花半小时把这几项配好，比事后补救划算得多。