粉丝974获赞7238


哈喽,大家好,我是熊猫。今天从普通用户的使用视角分享非牛 nice 的 安全防护方案。近期非牛 nice 遭遇的木马黑客攻击引发广泛关注, 普通用户做好这几步,就能有效保护 nice 数据和远程访问安全。搭建 nice 后,我强烈建议搭配软路由使用,软路由能安装专业安全插件,从网关层面加固内网,安全是防护的核心硬件 先讲非牛 nice 本机的安全设置,非牛官方后续会优化防火墙参数,我们先手动配置高级防火墙。局域网默认允许访问,重点修改入站规则, 核心原则是让 nas 仅在内网运行,公网访问全部通过软路由管控。 nice 本机拒绝外网直接访问,编辑入站规则时,开启不符合规则全部拒绝的选项。新建允许规则勾选全部连接,选择全部协议与端口 来源 ip, 填写内网网段,比如幺九二点幺六八点幺点零二十四。仅允许局域网设备访问 nice 保存生效后,外网就无法直接触达 nice, 再开启账号的强制双重验证,登录虚动态验证码,进一步提升账号安全。 同时关闭 nice 自带的 f n 访问协议。前期该协议存在安全漏洞,有公网环境就不要起用,还要关闭 s s h 服务,若必须使用,就把默认二、二端口修改为随机高位端口。网络协议方面优先仅起用 i p v 四,稳定性更强。只有无 i p v 四公网仅存 i p v 六时 才同时开启两种协议,有 ipv 四公网就关闭 ipv 六,减少攻击面。完成 nas 本机防护后,远程访问通过软路由的 lucky 插件实现光猫后的网络全部由软路由管控。 lucky 作为网关安全插件,负责所有外网转发规则。 先准备域名,可选免费域名或年费几十元的短域名,性价比更高。将域名绑定 ipv 六公网地址,多数家庭公网都是 ipv 六类型域名会自动解析对应 ip, 接着免费申请 ssl 证书,起用 http 加密访问,提升传输安全性。最后,配置反向代理,仅暴露单一服务端口,隐藏 nars、 docker 应用、音乐库等所有业务端口,访问时通过自定义域名前缀跳转。相比传统端口转发,反向代理仅暴露一个入口, 安全系数大幅提升。注意, windows 远程桌面不支持反向代理,只能用端口转发,转发时需同时勾选 tcp 和 udp 协议,仅开 tcp 会出现卡顿延迟。额外配置 ip 白名单,强化防护。软路由的 ip 过滤模块,可加载中国大陆 ipv 四网段白名单 总计八千七百九十一个,国内网段仅允许国内实名 ip 访问,境外 ip 全部拦截,能有效抵御境外黑客攻击,不建议细化到省市白名单。手机随身 wifi 是 动态 ip, 跨地区切换会导致访问受限,仅限定国内网段即可,兼顾安全与便捷。 再对比两种远程方案,反向代理适配手机、车机、电视等全设备,通用性强,但需手动更新 ip 与白名单。 vpn 方案安全性更高,但局限性明显。车机、电视等设备无法安装 vpn 客户端,仅适配手机、电脑,大家可根据自身使用场景取舍。 核心提醒,不建议在非牛 nice 本机安装 lucky 插件,一旦 nice 被攻破,插件会直接失效。软路由作为独立网关设备,运行逻辑与 nice 隔离相当于内网守门员,谨防行合规流量,防护效果远优于 nice。 本机插件完整的 lucky 部署 d d n s 配置教程我会整理到网盘,大家可自行获取。 最后给大家安全建议,无强制外网需求就关闭所有端口转发,保持 nice 端口全锁定状态,从源头杜绝攻击风险。做好以上设置,普通用户也能搭建高安全级别的私人 nice。 本期非牛 nice 安全防护分享就到这里,我们下期再见!

如何用 d d n s go 设定代理,然后使用域名远程登录飞流纳? 那么有些小伙伴说我不想用官方自带的 d d n s, 我想用 d d n s go 应用里面是有一个 d d n s go 的,哎,在哪里? 那我们先安装 ddnas go 啊,我这个是在虚拟机上面的,还没装呢,应该是在网络这边,网络使用效率 啊,使用效率,然后安装 d d n s go, 那这里有个 d d n s go 下载安装,然后默认就行了, 咱就等待安装好了,这边已经启动中,然后我们打开,打开它,哇,它就自动切换到这个页面了,这个页面呢实际上就是你的飞流 id 加九八七六的端口号, 记住啊,这个就是你的登录的后台,就是实际上我们不用进入这个,然后直接在浏览器上面局网的浏览器上输这个,你飞流的 ip 加九八七六也是能够进入的。 那进入之后他的设置呢?跟那个前面我们提到的那个官方 ddns 呢,是没太大区别的。这边是添加一个配置,然后我们还是先把域名的 id 申请。域名我就不说了啊,然后 id 复制进来粘贴进去,然后 meal 复制粘贴,然后供应商服务商,然后这边还我还是不建议勾上 ipv 四,因为 ipv 六的公网就用 ipv 六就可以了。然后呢,这边就是通过网卡去获取, 网卡去获取,假如说你想用其他方式的话,你会其他方式就就没必要看我这个视频了,哎,接口跟那个我还是建议通过这个网卡去获取,因为通过接口的话,有可能你装的那些 turtle scale 还有 clta 那些,他会 通过那那些接口去获取的,所以我们尽量是使用网卡去获取表达四个,不用管它。然后这边就梳理了网址,然后我们的把我们的那个二级域名那边 复制,然后就把这个网址输进去,再加个开头,比如说我这边 g o 点 s y z, 然后呢这个呢?是否允许公网访问?就是你这个设置的页面, 就是允不允许用这个域名加这个端口号去访问你这个页面,然后如果,假如说我不想,那就勾转账,假如说我想远程可以访问,我就不要勾, 那么就这样保存成功了。成功之后呢,我们点一下这个益智,这边看一下他的描述, 这边说查询域名信息发生异常,就是说证明我这个是没有设计成功的,这个是设计错误的,是没有成功的。那我们看一下是什么原因, 我们看看是不是这里有个空格啊?我们再重新试一下, 再保存一下,然后我们再打开日志看一下。这边没有 啊,这边显示说我的域名有异常,那就重新输输入一下吧,有可能是这边这个是有问题的,这个域名我们再重新输一下 g o o 点,直接重新输入,手打一下吧 一下,然后再保存,保存成功, 然后看一下日志。哎,这边是解释成功了,有可能刚刚考的时候考了一下空格或者什么吧。这边看到他新增域名解释成功, g o o 点这个已经解 成功了,那我们换一台电脑,用手机网络去测试一下。 那我们还是用手机浏览器去测试一下刚刚设定的有没有问题啊? 输入刚刚设定的网址,域名 s y 一些,然后端口六六六,然后进入好看到是没问题的,然后登录,哎, 是 ok 的,这个浏览器是没有叉浏览器好用,所以才会显示成这样,我们还是尽量用那个叉浏览器吧。好, 手机测试就到这里。电脑这一边假如一个域名满足不了你,我还想再添加一个,那我们就可以来到这边右上角再添加, 然后这里就有两个了,第一个是刚刚已经设定好的,然后我们再添加一个,同样是 sk, 可以用你刚刚同样的蜜药, 因为一个二级域名是可以创建很多个三级域名的,这个你放心, 基本上一百来个够你用了。然后这边同样 ip 是我这边是不勾选,嗯,网卡,然后这边再输入你的那个设要设定的域名,比如说我这边设定一个 god, 然后保存,就这么简单。然后我们再看一下日志,他说已经成功了, 上面这个是没变,没有变化,然后新增的这个已解释成功了,就证明这个域名是能用了。如果有部分用浏览器打不开的话,有可能,很大可能啊,很大可能并不是, 并不是你的域名设定的问题,有可能是你的电脑拦截了,你看是正常的。手机那边我就不试了,基本上他的设定就是这样, 看到登录是没问题的,就是有可能那个浏览器或者那个你的那个防火墙会拦截掉,因为我们这些设定的 域名基本上他们都会判定为私人域名的话,他会就是说有不安全的那个 需要添加证书才是一个安全的链接。那怎么添加证书呢?那我下一期就用那个 lucky 去给他添加证书吧。好,我们这一期就到这边,到这里, ok。


你的非牛纳斯可能正在被攻击,最近大批量的非牛用户遭遇疑似境外不明组织的攻击,导致刀客或者应用异常退出,路由器显示的绘画数暴增到几万。 很多用户中招的核心原因就是图省事,把 i p v 四和 i p v 六地址直接暴露在公网。如果你正在使用非牛,那么就跟着视频来一起自查一下, 看看到底有没有被黑,尤其是有公网的小伙伴。先确保你已经在飞牛里面打开了 s s h。 在 电脑上使用 s s h 工具进行连接,或者使用 power shell, 在 这里演示一下 power shell 的 使用方式,点击键盘的文件,输入 power 就 能出来 s s h 空格前面输入你的用户名,加一个艾特, 再输入你的内网 ip 地址,然后回车输入你的密码,密码这里是不显示的,输入完之后直接点回车就可以了。复制下面一条命令粘贴上去,只要显示这个就没有问题了。 如果显示这个或者其他评论区打出来,我们来帮你排查。孙妞也在最新版的一点一点一五版本已经修复了这个漏洞,不管怎么说,没有升级最新版系统的小伙伴一定要尽快升级,以后也要尽量避免把你的公网地址暴露在互联网上,为了安全起见,还是建议大家使用 https 访问。