如何禁止群晖DSM的5000/5001端口被公网直接访问

Posted on Views:

要禁止群晖DSM的5000/5001端口被公网直接访问，最重要的是在路由器上删除端口转发规则，而不是单纯修改群晖端口号。

0.先关闭群晖的远程访问功能

在DSM管理界面中操作：

  1. 登录群晖DSM。
  2. 打开「控制面板」→「外部访问」→「QuickConnect」。
  3. 取消勾选「启用QuickConnect」，并保存设置。

然后检查「控制面板」→「外部访问」中的其他远程访问设置，例如DDNS。如果不再需要从外网访问，可以删除不再使用的DDNS配置。

1.检查并删除路由器端口映射

登录家里的路由器管理页面，通常是：

  • 192.168.1.1
  • 192.168.0.1

找到以下菜单之一：

  • 端口转发
  • 虚拟服务器
  • NAT转发

检查是否存在以下规则：

外部端口 内部IP 内部端口 操作
5000 NAS IP 5000 删除
5001 NAS IP 5001 删除
其他端口 NAS IP 5000/5001 删除

例如你的NAS内网地址是192.168.1.100，如果发现：
公网:5001 → 192.168.1.100:5001

就删除这条规则。目标：公网无法直接访问DSM

2.关闭UPnP自动端口映射

有些群晖会自动要求路由器开放端口。

群晖DSM操作：

  1. 打开控制面板。
  2. 进入外部访问。
  3. 点击路由器配置。
  4. 检查是否设置了端口转发。
  5. 删除DSM对应的5000、5001转发规则。

然后进入路由器设置：

  1. 找到UPnP设置。
  2. 关闭UPnP。
  3. 保存设置。

这样可以避免部分应用自动在路由器上创建端口映射。

3.开启群晖防火墙

登录DSM：

控制面板→安全性→防火墙

  1. 勾选启用防火墙。
  2. 点击编辑规则。
  3. 选择对应网络接口。
  4. 创建规则。

建议规则如下：

优先级 来源IP 端口 操作
1 192.168.1.0/24 所有 允许
2 所有 TCP 5000、5001 拒绝
3 所有 所有 拒绝（按需）

注意：

  • 第一条允许内网访问。
  • 第二条拒绝其他来源访问DSM管理端口。
  • 第三条默认拒绝规则需要结合其他业务端口配置，不能直接盲目启用，否则可能影响备份、同步等功能。
  • 如果有IPv6公网地址，也要检查IPv6防火墙规则。

特别注意：规则顺序很重要，允许内网的规则必须排在拒绝规则前面。

4.验证是否真正关闭公网访问

不要只在家里Wi-Fi下测试。

建议：

  1. 手机关闭Wi-Fi。
  2. 使用手机5G/4G网络。
  3. 浏览器输入：
https://你的公网IP:5001
http://你的公网IP:5000

预期结果：
无法连接或连接超时：符合预期

如果还能打开DSM登录页面，说明公网访问仍然存在，需要继续检查路由器映射、IPv6或其他网络入口。