NAS
安全的 NAS 远程访问：QuickConnect、VPN 与端口转发
根据工作选择远程访问：受支持的 Synology 应用、私有文件共享，或有明确规划的对外服务。开放端口前，先比较连接路径、权限及恢复计划。
根据所用应用和打算允许的访问范围，选择 NAS 远程访问方式。 QuickConnect 适用于受支持的 Synology 应用；妥善管理的 VPN 可为文件共享提供私有访问；端口转发则是有意向外开放选定服务。它们是不同设计，并非三种可以互换的速度设置。
办公室 NAS 在桌前使用一切正常，但员工需要从家中、客户现场或酒店访问项目文件。有人建议用 QuickConnect，有人要求 VPN，也有人想打开路由器端口。
应先看工作内容，而不是连接方式的名称。通过浏览器下载已完成文档，与挂载私有文件共享或管理 NAS，是不同任务。
定义任务及需要使用的人
列出涉及的应用、人员、设备及文件夹。员工需要 Synology Drive 同步、浏览器文件交付、SMB 共享，还是管理会话？只接收一个文件夹的访客，不应获得技术管理员所需的访问权限。
同时明确文件是否需要在整个任务中保持在线，或可先同步到本地工作。通过高延迟连接反复打开大型项目文件，与一次性下载已完成的归档，体验可能截然不同。
| 任务 | 访问问题 |
|---|---|
| 受支持的 Synology 应用或浏览器工作流程 | 此服务支持 QuickConnect 吗？用户需要哪些权限？ |
| 私有 SMB 文件共享 | 哪条获准 VPN 路径、哪些路由和文件夹权限可提供访问？ |
| 面向外部用户的服务 | 由谁负责身份验证、HTTPS、更新、监控及对外开放的端点？ |
| NAS 管理 | 是否可以限制为仅通过获准的私有管理路径，并由指定管理员访问？ |
三条访问路径，各有不同责任
受支持的应用 → QuickConnect 选择的连接 → NAS 服务。检查服务支持及实际路径。
获授权设备 → VPN 端点 → 获准私有资源。定义网络及文件夹访问范围。
外部请求 → 已对外启用的网关规则 → 选定服务。明确承担公网开放及维护责任。
图示展示逻辑访问路径。VPN 端点可以设在受支持的网络设备或其他获准平台上，不一定运行于 NAS 本身。
在受支持的应用中使用 QuickConnect
QuickConnect 协助受支持的 Synology 应用连接 NAS，无需用户记住不断变化的地址。应在当前受支持服务清单中确认应用与功能，不要假设所有网络协议都包括在内。
它也不总是使用中继。连接流程可以利用可用的直连路径和连接穿透，必要时才退回中继。排查性能时，这一区别很重要。
在 QuickConnect 配置中选择要开放的应用，并授予预定用户权限。便利性不能替代账户安全、应用更新，以及对远程访问安排明确负责的人。
QuickConnect ID 不是 SMB 服务器地址，也不会自动让笔记本电脑加入办公室网络。对于映射的私有共享，应评估合适的私有访问路径。
为 SMB 使用受管理的私有路径
远程访问 SMB 共享时，Synology 建议使用 VPN，而不是直接向互联网开放 CIFS/SMB 端口。远程设备先加入获准私有路径，再访问获准 NAS 资源。
确认 VPN 端点、客户端支持、地址配置、路由及身份验证。隧道显示“已连接”只是其中一个阶段。用户仍需要正确的网络可达性及 NAS 文件夹权限。
有意识地限定允许范围。需要项目共享的用户，不会因此自动需要访问所有办公室子网或 NAS 管理界面。应规划设备或用户不再获授权时如何撤销访问。
如果互联网路径改变后 VPN 无法恢复， 双 WAN（Dual-WAN）恢复指南 解释了为何路由恢复与既有会话恢复是不同结果。
将端口转发视为对外发布服务
转发规则让内部服务可通过选定外部端点访问。如果有明确需求，并有人负责该对外服务，这可以是合理设计。
但有可用地址还不够。应审查身份验证、HTTPS 与证书、受支持软件、访问限制、监控及恢复。执行获准生产变更前，保留现有配置，并确认回滚方案。
DDNS 通过将主机名关联到不断变化的 IP 地址，解决地址问题。它本身不会创建 VPN、授予访问，也不会让不受支持的连接变得安全。运营商级 NAT 和上游限制也可能阻止预期的入站路径。
不要为试出应用能否运行，就打开一批端口。应先定义所需服务，再评估合适且受支持的方法。
远程访问缓慢时，检查实际路径
NAS 的 2.5GbE 端口只是本地网络的一部分。远程传输还取决于办公室上传能力、远端连接的下载能力、延迟及应用。这些限制可能远低于本地端口速率。
将一项有代表性的任务在本地和远程进行比较。保持相同文件集及应用，并在信息可得时确认连接是直连还是中继。中继可能增加延迟，但这并不能证明所有 QuickConnect 传输都经过该路径。
如果同一工作在办公室内部也很慢，请使用 NAS 文件传输故障排查指南。如果本地很快，应先排查远程路径，再考虑更换硬盘或购买更快的 NAS 接口。
一起审查用户、设备及文件夹权限
使用具名账户，在受支持时采用合适的多因素身份验证，并只提供任务所需的最小访问范围。维护 NAS、相关套件及访问端点。按照组织正常流程审查登录和访问记录。
决定哪些设备可保留本地副本、如何保护这些副本，以及设备遗失时如何处理。同步文件夹可以改善工作性能，同时也增加了独立的端点存储管理责任。
将备份与可用性分开。远程访问和同步本身，并不能在删除、系统被入侵或存储故障后提供独立且可恢复的副本。
交付前，从办公室外部测试
- 记录获准的应用、用户、设备及文件夹范围。
- 通过外部连接测试，不要只在办公室 LAN 内测试。
- 确认身份验证及预定资源，同时检查一项该用户不应访问的资源。
- 重复实际工作任务，并记录连接路径及耗时。
- 检查关于设备遗失、账户被撤销及主互联网连接不可用的书面应对流程。
- 交付资料应包括访问负责人、配置记录及恢复说明。
管理员登录成功，并不是普通员工使用的验收测试。应测试员工实际使用的账户与应用。
定义访问设计后，再选择硬件
其中， Synology DS925+ 是可按存储负载评估的一款 NAS。其本地接口并不能保证外部互联网连接或特定 VPN 实现的速度。
对于受支持的 Synology 应用，从合适的 QuickConnect 工作流程开始并验证。对于私有文件共享，评估受管理的 VPN 路径。只有需求和运维责任足以支持该设计时，才对外发布服务。
请准备 NAS 型号、软件版本、互联网地址配置、应用及用户需求，与 网络专员讨论。这些事实比单纯选择听起来最快的方法，更有助于实用设计。
常见问题
QuickConnect 总是通过中继传输文件吗？
不是。QuickConnect 可根据服务和网络条件选择直连、使用连接穿透，或退回中继。在把中继表现当作整个产品的表现之前，应先检查实际路径。
QuickConnect 可以为所有应用取代 VPN 吗？
不可以。QuickConnect 支持指定 Synology 应用与服务。私有 SMB 共享或其他不受支持的应用，需要合适的独立访问设计，不能假设 QuickConnect ID 是通用网络隧道。
应该将 SMB 端口转发到 NAS 吗？
应避免直接向互联网开放 SMB/CIFS。远程 SMB 访问应使用受支持的私有 VPN 路径，并配置合适的用户和网络权限。VPN 端点与地址配置仍须适合实际部署。
DDNS 与 VPN 相同吗？
不同。DDNS 维持主机名与变化地址的关联。它本身不会创建加密私有路径、授予权限，也无法解决所有上游地址限制。
为什么 NAS 在办公室访问很快，远程却很慢？
远程路径增加了互联网上传与下载限制、延迟、可能的中继路由及应用开销。比较同一任务在本地与远程的表现，再确认实际路径，然后才考虑更换硬盘或 NAS 网络端口。
远程访问可以取代备份吗？
不可以。能从远程访问文件，并不代表有独立且可恢复的副本。应在访问控制及远程工作计划之外，保留合适的备份与恢复流程。
