群晖NAS防火墙配置指南

防火墙设置

群晖nas系统版本是DSM7.1，在控制面板里面可以找到菜单连接性-安全性-防火墙，点击勾选启用防火墙，点击编辑规则按钮。要说明的是，群晖设置防火墙规则和VPS设置不一样。群晖设置防火墙拦截，默认会连接所有请求，就算是docker内部的端口访问都会拦截。所以需要加上docker内部的IP地址和家里路由器的IP地址。

如下图所示，是所有的防火墙配置。从上到下颗粒度越来越大，匹配了上面的规则就会直接执行，不会继续往下匹配规则，所以影响范围越小的放到越前面。

第一条规则，设置全部IP可以访问，也可以根据需要进行配置。选择需要外部访问的服务，一般选择群晖的DSM访问端口4999、5000即可，想外网访问服务器的也可以把21、22端口放开。

第二条规则是一些自定义的端口开放外网访问，端口之间用逗号分隔即可。

第三四条规则是一些自定义的端口开放指定外网IP访问。可以是VPS的IP，也可以是办公室等地方的IP地址。

第五六条规则是所有端口开放开放给内网访问。包括了家里路由器连接的设备，以及群晖NAS中的docker容器。路由器的内网IP好获取，docker容器的内网地址可以使用portainer进行查看。也可以使用群晖自带的docker套件查看网络。如果是172开头的IP，配置如下图将192改为172即可。

最后一条规则，是颗粒度最大的规则，阻止任意IP访问内部端口。

至此，所有防火墙规则配置完成，保存应用即可。

参考资料：如何在DSM中配置防火墙？