NAS 内网穿透别乱买，三条路我全踩过一遍，最后只留了一条
前阵子收拾抽屉，翻出来三个吃灰的 U 盘。
其中一个是当年做启动盘买的，只有 8G，牌子都磨没了。当年装个系统还得刻盘，谁能想到如今连 U 盘都快用不上。科技这东西淘汰起人的习惯来，比翻书还快。
说回正题吧。
玩 NAS 折腾到最后，都躲不开内网穿透这四个字。本地跑得再丝滑，出了家门那一步照样傻眼。Docker 里明明躺着一排服务，一出门全变成 192.168 开头的寂寞。
咱们先把丑话说前头。这篇不劝任何人买东西，也不敢保证哪条路在谁家一定通。宽带环境差得太远，我只能说自己这边测出来是啥样，别人家什么脾气，那得自己摸去。
内网穿透压根不算新概念。
早些年大伙的做法特别朴素，去花生壳买个壳域名，或者干脆把路由器 DMZ 打开，主机直接怼到公网上。那时候宽带还给公网 IP，也没人管跑什么内容。
现在不行了。公网 IPv4 基本申请不到，运营商把 80、443、8080 这些入站口封得死死的。我办宽带那年问过师傅，人家一句「家宽不给开」就把我打发了。
剩下的路只有三条：直连、组网、中转。
## 直连派，IPv6 直接怼
这条路最干脆。中间没有别人，自家 NAS 和访问端直接对话，速度就是宽带的真实速度。
说白了就是省掉一切中间环节。包从家里发出去，走 IPv6 路由直奔手机，中间没人抽成，也没人限速。同样的上行带宽，走直连和走中转，体感差得不是一点半点。
当年第一次跑通的时候还挺激动。手机秒开。那一下的爽感，跟白捡一台设备差不多。
前提有三个，缺一个都白搭。
光猫、路由器、宽带那边，三样都得对得上。只要有一环掉链子，在外头就是连不上。报错信息呢，一个字都不给，你只能对着转圈干等。这气人不气人？
我头一回折腾就卡在这儿。明明 NAS 上能看到一长串 240e 开头的地址，外面死活访问不了。翻日志、换浏览器、重装客户端，全试过了。折腾到凌晨才发现，是光猫防火墙默认把入站全拦了。一晚上白干。
还有个更烦人的地方，前缀会变。
多数地区拨号重连之后，PD 前缀就换一遍。昨天写的 AAAA 记录，今天全是废的。不然天天手动改记录，人得疯。这条路必须配 DDNS，让域名跟着地址跑。
最后是安全问题。服务是真的挂在公网上了，端口扫描器一天能撞八百回。防火墙规则别图省事全开，管理密码别用 admin，SSH 端口别留 22，这三条记住了能少一半麻烦。
组网派，挖一条只有自己能进的地道
这条路我用得最久。原理是各端装个客户端，组成一张虚拟局域网。服务压根不出现在公网上。
好处很明显。从外面看啥都没有，扫描器自然发现不了。手机装个 App，出门就像还在家里一样。
坏处同样明显。
它有个绕不开的点：打洞。两端 NAT 类型合适的时候能直连，速度还行。一旦打不通，流量就得往厂商的中继节点绕。
我用 Tailscale 那阵子，直连和走中继大概是七三开。走中继的时候，打开一个网页得转两圈。
顺便说一句，Tailscale 免费版是 3 个用户、100 台设备。家里几口人用倒是够，想再加人大概率就要掏钱了。ZeroTier 那边免费额度是 25 个节点，超了同样得升档。这类工具收费不贵，可方向基本一个样，都按人头按设备算。
这里还得提醒一句，别以为装上组网工具就万事大吉。手机上常年挂着客户端，耗电是真能感觉出来的。我后来只在用的时候手动开，平时关着。
想自建也行。WireGuard 配起来就是一条命令的事，默认端口 51820/UDP。代价是每台设备都要单独配密钥，加一台改一次配置文件。我配到第七台就烦了，后来索性全删。
中转派，借别人的机器过一道
这条路最万能。租一台带公网 IP 的云服务器，上面跑服务端，NAS 上跑客户端，两边牵个手就成了。麻烦是麻烦点，可它几乎不看运营商的脸色。
主流工具有 frp 和 NPS。
frp 这边，服务端 bindPort 默认 7000，管理面板 webServer.port 默认 7500。面板千万别对外开，官方示例本来就写的 127.0.0.1，这都是吃过亏总结出来的。
NPS 更适合新手，因为它自带一个 Web 后台。默认 web_port 是 8080，服务端和客户端通信走 bridge_port 8024。
这里重点说一句。NPS 装完默认账号是 admin，密码 123456。
真的有人不改。
去年帮朋友看一台机器，登进去翻后台日志，密密麻麻全是境外 IP 在试密码。这里只有一句忠告，五分钟改完，能睡踏实。
流量这块也得想清楚。走中转等于把数据包交给第三方机器过一遍，自己租的机器还好，用别人的免费节点就另说了。什么时候被看、看了多少，你压根不清楚。
用 Docker 跑 NPS 记得给 host 网络，不然端口映射会出幺蛾子。
成本这块呢？国内轻量云 2 核 2G 那档，首年活动价大概一百多两百，续费常见三百往上。钱不算多，可它是年年的，咱们得把这笔账算进去。
还有个 Cloudflare Tunnel，隧道本身免费、不限流量，听着很美。它的服务条款明确写着，不让拿 CDN 代理大量非网页内容。想拿它跑影视流，那就踩线了。
那到底怎么选
我不能替谁决定，可以说说最后的方案。
家里 IPv6 稳定，主要设备都在局域网，就留了 IPv6 直连配 DDNS，图个快。出门在外用手机，走组网那套，省心。中转账留着做备用，云服务器上挂着 frp，平时不开。
三套并存听着复杂。配好之后基本不用管。
顺带一提，我家路由器到现在还是运营商送的那台，塑料壳都发黄了，一直懒得换。
至于 NAS 厂商自带的远程访问，比如群晖的 QuickConnect，免费，也不用公网 IP。可惜它只覆盖 DSM 和部分官方套件，随便一个 Docker 端口都管不了。飞牛那个 FN Connect 浪哥实测远程带宽 2–4Mbps，刷 1080P 够用了，4K 就别想。
对了，前两天看到某品牌硬盘又涨价，我默默把购物车清了。这年头存数据比传数据还贵啊。
所以这条路真没有标准答案。有人家里 IPv6 稳如老狗，有人连公网都摸不着。先摸清自家宽带什么脾气，剩下的都好办嘛。
相关标题
三条内网穿透路线实测：最后我只留了不到两条 家里没公网 IP，NAS 就真没法远程访问了吗？ 折腾半年 NAS 的人，最后会选哪种穿透方式
相关标签
主标签: #NAS #内网穿透 #Docker
副标签: #IPv6 #Tailscale #frp
长尾标签: #群晖QuickConnect #飞牛NAS #远程访问方案