远程访问 NAS：不暴露公网端口的安全方案
很多 NAS 用户都会遇到类似问题：家里没有公网 IP，或者不想把 NAS 管理后台、WebDAV、Samba、相册服务直接暴露到公网。
云雀通的思路不是把 NAS 暴露出去，而是把你的手机、电脑和 NAS 放到一张受控的私有网络里。只有被授权的设备和账号，才能在 ACL 允许的范围内访问 NAS。
为什么不建议直接开放 NAS 端口
NAS 往往存放照片、文档、备份和家庭数据。直接做端口映射会带来几个风险：
- 管理后台暴露在公网扫描环境中。
- 家庭宽带 IP 变化后，访问入口不稳定。
- 多个服务分别开放端口，后续难以管理。
- 临时共享权限容易忘记回收。
使用云雀通后，NAS 可以继续留在内网。远程访问通过云雀通私有网络完成，不需要公网 IP，也不需要把 NAS 服务直接挂到互联网上。
推荐访问方式
常见做法有两种：
- 在 NAS 支持的情况下，直接安装或运行云雀通客户端，让 NAS 成为私有网络中的设备。
- 如果 NAS 不能安装客户端，可以在同一局域网内选择一台路由器、服务器或小主机作为子网路由，把 NAS 所在网段发布到云雀通网络。
无论哪种方式，都建议配合 ACL 限制访问范围。例如只允许自己的手机和电脑访问 NAS 的 Web 管理端口、文件端口或相册服务。
适合哪些用户
- 想在外访问家里 NAS 文件和相册的个人用户。
- 想安全访问家庭服务器、下载机或 Home Assistant 的用户。
- 没有公网 IP，不想折腾 DDNS 和端口映射的用户。
- 希望按设备、账号和端口管理访问权限的用户。