NAS 里放着工作文件、照片和项目资料，一旦被 C3RB3R（.L0CK3D）这类勒索病毒加密，损失的往往不只是数据本身。
NAS 里放着工作文件、照片和项目资料，一旦被 C3RB3R（.L0CK3D）这类勒索病毒加密，损失的往往不只是数据本身。但更值得追问的是：攻击者是怎么碰到这台 NAS 的？
很多时候，答案并不复杂——NAS 被放在了公网上。
C3RB3R 近期针对群晖 NAS 的攻击中，受影响设备普遍运行着较旧版本的 DSM，而相关漏洞的补丁早在 2024 年 12 月就已经发布。攻击成功后，文件被加上 .L0CK3D 扩展名，勒索说明以 read-me3.txt 的形式出现在各个文件夹中。群晖官方给出的建议中，除了更新系统，还有一条明确指向网络层：不要将 NAS 管理界面直接暴露在互联网上，应将其限制在内网或 VPN 连接中访问。
这意味着，补丁和端口暴露是两件需要同时处理的事。系统更新解决的是「已知漏洞会不会被利用」，而减少公网暴露解决的是「攻击者有没有机会碰到你的 NAS」。后者不依赖于某一个具体漏洞，它改变的是 NAS 在整个网络中的位置。
传统远程访问的隐患：NAS 站到了公网面前
很多用户最初开放远程访问时，采用的方式是端口映射：在路由器上把 NAS 的管理端口或文件服务端口转发出去，这样在外网输入一个地址就能连回来。这种做法之所以常见，是因为它直接、不需要额外设备。
但它同时把 NAS 推到了攻击面的最前面。自动化脚本持续扫描公网 IP 段，一旦发现可访问的 NAS 服务端口，就会尝试弱口令、已知漏洞或默认配置。NAS 本身并不是为「在公网上被陌生人敲门」而设计的设备，它的管理界面、文件协议和配套服务更适合在一个受信任的内网环境中运行。
更麻烦的是，端口映射一旦设置好，用户往往不会频繁检查。某个旧服务忘记关闭、某次临时开放没有回收，都会让暴露面在不知不觉中扩大。
旁路组网的逻辑：让 NAS「不存在于公网」
蒲公英旁路组网提供的是一条不同的路径：NAS 完全不直接面对公网，远程访问通过一条加密的虚拟通道回到内网。
部署方式本身并不复杂。将蒲公英 X1 或 P5 接入 NAS 所在的局域网，与 NAS 处于同一网段，但 NAS 本身不配置公网端口映射，也不直接连接互联网。蒲公英设备保持联网，负责与云端组网平台通信。外出的电脑或手机安装蒲公英客户端，登录同一组网账号后，就可以通过 NAS 原来的局域网 IP 访问它。
这里的关键差异在于网络角色的分配：承担公网通信的是蒲公英设备，而不是 NAS。NAS 仍然留在内网中，它的管理页面和文件服务不需要被映射到公网端口上。外部终端进入组网后，相当于获得了一个「内网身份」，通过旁路路由到达 NAS 所在网段。
从攻击者的视角看，公网上不存在一台可以直接连接的 NAS。能被扫描到的只是蒲公英的组网入口，而进入这个入口需要经过身份认证，数据在组网隧道中采用 RSA/AES 非对称加密传输。NAS 本身退到了认证通道之后。
X1 和 P5 的选择，取决于现有网络的样子
蒲公英 X1 和 P5 都可以承担旁路组网中的接入角色，但它们的部署逻辑并不完全相同。
P5 的定位更「纯粹」 ：它是一台旁路组网盒子，接入现有局域网后，系统会根据其上网 IP 所在网段生成旁路路由规则，外网客户端连接组网后即可访问 NAS。它不改变原有网络的出口结构，适合已经有一套稳定主路由、不想动现有接线的场景。
X1 则更灵活：除了旁路模式，它还支持静态 IP、动态 IP、宽带拨号和 4G 上网卡等多种上网方式。这意味着在一些没有固定宽带、或者网络环境临时变化的情况下，X1 可以用更少的额外设备完成组网接入。
两者的共同点是：都不要求 NAS 本身具备公网 IP，也不要求在主路由器上开放 NAS 的服务端口而是沿用原有的局域网 IP。
选择时主要看的是现有网络的形态——是已经有了稳定的主路由和局域网，需要「加一个入口」，还是接入环境本身需要更灵活的联网方式。
远程体验不变，变化发生在看不见的地方
对使用者来说，部署完成后的体验几乎没有变化。在外打开蒲公英客户端，连接组网，然后仍然使用 NAS 原来的内网地址访问共享文件或管理页面。Windows 下输入 \\192.168.3.25 这样的路径，或者浏览器打开原来的管理地址，操作方式和在办公室局域网里一致。
变化发生在网络层：这条访问路径不再经过公网端口映射，NAS 也没有被直接推到互联网上。勒索病毒的攻击不会因此消失，系统更新、强密码、双因素认证和离线备份仍然是必需的。但至少，NAS 不再是一台「公网上能找到的设备」 。对于一台存着工作文件和项目资料的机器来说，这个位置本身就有意义。
来源：互联网
