Как выбрать удалённый доступ к NAS: сначала посчитайте затраты на четыре варианта

Несколько дней назад друг спросил меня в WeChat: он в родном городе, хочет с телефона достать фотографии ребёнка с домашнего NAS, но приложение бесконечно крутит колесо и не подключается. Я сказал, что машина не сломана — проблема в том, «как подключиться к дому снаружи»; когда он покупал NAS, он об этом вообще не думал.

За последние два года я сталкивался с такими вопросами слишком часто. Все при выборе NAS смотрят на количество отсеков, CPU, память, но после установки каждый день используется как раз возможность «получить доступ к домашним файлам, когда тебя нет дома». И у этого нет стандартного ответа — есть лишь несколько путей с разными компромиссами. В этой статье я сведу воедино и посчитаю четыре основных маршрута. Вывод сразу:Большинству семей достаточно начать с фирменного релея производителя, а если не хватает — двигаться дальше; не стоит сразу бросаться на прямой публичный доступ.

Сначала разберёмся: почему домашние устройства по умолчанию недоступны извне

Адрес, который получает ваш домашний широкополосный доступ, скорее всего, не тот «публичный адрес», который можно напрямую выставить наружу, а адрес внутри большой операторской сети — то, что обычно называют NAT или CGNAT. Адреса IPv4 давно распределены, а домашних пользователей так много, что оператор по умолчанию выдаёт внутренний адрес; внешнее устройство не получает реального адреса и, естественно, не может постучаться в дверь.

Поэтому чтобы подключиться снаружи, есть только два направления: либо придумать способ «эстафетной передачи» запроса во внутреннюю сеть, либо заставить домашнее устройство само «подключиться наружу» и встретиться с машиной, которая изначально находится в публичной сети. Четыре варианта ниже, по сути, и есть разные реализации этих двух путей.

Вариант первый: публичный адрес + DDNS, или прямое подключение по IPv6

Это теоретически максимальный вариант. Попросите оператора дать вам публичный адрес, затем через DDNS привяжите меняющийся адрес к доменному имени, и снаружи можно напрямую подключаться к этому домену и попадать домой.

Скорость: посередине нет релея, можно выжать всю восходящую полосу вашего домашнего широкополосного доступа. Обратите внимание — именно «восходящую»: многие смотрят только на нисходящую, но при вытягивании файлов из дома снаружи упирается как раз узкое горлышко восходящей полосы; это я отдельно считал в статье«Пришёл широкополосный доступ 3000M».

Стоимость: одно доменное имя, от нескольких юаней до нескольких десятков юаней в год, по текущей цене регистратора.Порог входаСредний: сложность не в настройке, а в том, можно ли вообще получить публичный адрес — политика операторов в разных регионах различается, в некоторых регионах для домашнего широкополосного доступа публичный IPv4 уже практически не выдают, в других нужно звонить и подавать заявку или подключать специальный тариф.

Безопасность: из четырёх вариантов этот имеет наибольшую поверхность атаки. Как только устройство напрямую оказывается в публичной сети, его быстро начинают сканировать сканеры со всего мира.Пробросить один port наружу — это всё равно что выставить домашнюю машину на улицу: и атака, и защита целиком зависят от вашей конфигурации.Перед началом хотя бы сначалаучасток от оптического модема до routerприведите в порядок, не выставляйте заодно и панель администратора.

Если публичный IPv4 получить не удаётся, можно сначала посмотреть на IPv6. Сейчас во многих регионах домашний широкополосный доступ по умолчанию выдаёт IPv6-адрес, привязав его через DDNS к домену, можно точно так же подключаться напрямую, и скорость практически без потерь. Сложность в том, что «нужно с обеих сторон»: при доступе через мобильный трафик IPv6 обычно есть, а вот в сети компании — не обязательно; если на стороне доступа нет IPv6, этот путь сразу обрывается.

Вариант второй: использовать встроенную переадресацию производителя (QuickConnect, UGREEN Cloud, Zspace, FN Connect)

В каждой системе NAS基本 есть встроенный «удалённый доступ без настройки», принцип примерно одинаков: между вашим NAS и ретрансляционным сервером производителя поддерживается長ое соединение, вы снаружи входите в учётную запись производителя, запрос перенаправляется сервером, и данные тоже идут через сервер.

СкоростьОграничена пропускной способностью сервера производителя, а не上限ом вашего домашнего широкополосного доступа. Бесплатного тарифа обычно хватает только на просмотр альбомов и временное скачивание небольших файлов, рассчитывать на него для удалённого просмотра видео практически нереально.СтоимостьС точки зрения затрат бесплатный тариф может выручить в экстренном случае, хватит ли его — зависит от того, что вы делаете — сервис удалённого доступа fnOS FN Connect с июля 2025 года стал платным, что также говорит о том, что этот путь рано или поздно упрётся в границы бесплатного тарифа.ПорогМинимальный: достаточно войти в аккаунт, и можно пользоваться.БезопасностьНа нём не открывается ни один входящий port, поверхность атаки мала — это его главное преимущество, ценой является то, что данные проходят через серверы производителя.

Есть ещё один легко упускаемый момент: такой тип ретрансляции обычноохватывает только несколько встроенных приложений самого производителя(файлы, фотоальбом, синхронизация, видео). Если вы на NAS через Docker установили другие сервисы, они все вне этого охвата. Поэтому при выборе машины, если вы изначально планируете возиться с self-hosted сервисами, это нужно продумать заранее — «открытость» машины влияет на то, что вы сможете делать в будущем, больше, чем характеристики; я встатье о том, как выбрать домашний NASтоже об этом упоминал.

Вариант третий: организация сети между площадками — подключить внешние устройства в одну виртуальную локальную сеть

Это направление последние два года самое горячее, представители — Tailscale, ZeroTier, а также более новый EasyTier. Принцип в том, что каждому устройству назначается частный адрес, чтобы они, даже разделённые тысячами километров, выглядели так, будто подключены к одному и тому же коммутатору.

Между ними есть одно существенное различие, которое стоит знать: Tailscale основан на WireGuard, работает на сетевом уровне и управляет IP-пакетами; ZeroTier больше похож на эмуляцию виртуального коммутатора второго уровня, поэтому он может нести трафик второго уровня, такой как широковещательный, и даже такой старый способ, как «сетевое пробуждение», работает. EasyTier — более новый открытый проект, делающий ставку на децентрализацию.

Скорость: как только установлено прямое peer-to-peer соединение, можно полностью использовать вашу исходящую полосу, это тот же уровень, что и прямое подключение через публичную сеть; когда пробить не удаётся и приходится идти через ретранслятор, скорость падает.Стоимость：Бесплатный тариф обычно достаточен для домашнего использования; конкретные квоты и политика у каждого провайдера меняются в любое время — ориентируйтесь на официальные данные.Порог входаСредний: на NAS нужно установить клиент, при возникновении проблем придётся самостоятельно читать документацию и изучать сообщество.

Здесь есть ключевой момент для опыта использования в Китае: координационные серверы и резервные релейные узлы таких инструментов в большинстве своём находятся за рубежом; как только прямое соединение не устанавливается и трафик идёт через зарубежный релей, задержка и джиттер заметно возрастают.Поэтому ваш реальный опыт во многом зависит от успешности «установления прямого соединения» в вашей домашней сети, а это зависит от оператора, типа NAT и даже от времени суток — обобщить сложно. Кстати, после распространения IPv6 успешность такого построения сетей на самом деле улучшилась; чтобы сначала разобраться с домашним апстримом и сетевой базой, можно пересмотретьстатью о 10-гигабитном широкополосном доступе, где разобраны несколько ключевых моментов.

Вариант четвёртый: собственный туннель — аренда публичного сервера в качестве транзитного узла

Если нужных сервисов больше, чем встроенные в NAS, а открывать домашние порты наружу не хочется, можно арендовать собственный облачный сервер с публичным адресом, чтобы NAS сам инициировал исходящее подключение, а внешний доступ шёл через этот сервер. Обычная практика — использовать туннельные инструменты вроде frp, размещая серверную часть на облачном сервере.

СкоростьОграничена с обеих сторон: нужно учитывать и пропускную способность облачного сервера, и домашний апстрим — где узкое место, там и будет затык.СтоимостьЭто месячная плата за один лёгкий облачный сервер; дешёвые варианты — несколько десятков юаней в месяц, в зависимости от конфигурации и акций провайдера — ориентируйтесь на текущую официальную цену.Порог входаСамый высокий из четырёх вариантов, и серверную, и клиентскую часть нужно настраивать самостоятельно, за безопасность тоже отвечаете вы.БезопасностьЛучше, чем прямое подключение через публичную сеть, потому что домашние устройства сами по себе не видны в публичной сети, перед ними стоит тот облачный сервер; но этот сервер становится вашей ответственностью — его нужно укреплять и своевременно обновлять.

При выборе облачного сервера не смотрите только на рекламные фразы «столько-то ядер и столько-то ГБ», главное — пропускная способность и лимит трафика, потому что верхний предел скорости на этом пути в основном определяется ими. Как выбирать, я настранице выбора облачного серверасобрал сравнительную таблицу критериев.

Четыре варианта, рассмотрим их вместе

В таблице нет абсолютного «что лучше», потому что это определяете не вы, а несколько условий, которые вы не контролируете: можете ли вы получить публичный адрес, для чего вы в основном это используете, готовы ли вы возиться самостоятельно.

Как всё-таки выбрать

• Хотите лишь изредка снаружи посмотреть файлы, фотоальбомы: сначала используйте встроенный релей провайдера, нулевая настройка, если хватает — не усложняйте.
• Нужно удалённо смотреть видео, передавать большие файлы: помимо релея провайдера добавьте один вариант — либо прямое подключение по публичному адресу (включая IPv6), либо организацию сети между площадками, верхний предел скорости у обоих одного порядка.
• Много устройств, и нужен доступ к собственным сервисам: организация сети между площадками проще, достаточно подключить каждое устройство в одну виртуальную сеть.
• Не хотите выставлять домашние порты наружу, и нужно несколько сервисов: собственный туннель, с облачным сервером впереди в качестве прикрытия.
• Заботитесь о приватности, не хотите, чтобы данные проходили через чужие серверы: прямое подключение по публичному адресу или организация сети между площадками, данные по возможности point-to-point.

Общий опыт: в большинстве семей порядок такой — «сначала проверить, хватает ли релея провайдера, если нет — перейти к организации сети, и только потом рассматривать прямое подключение по публичному адресу и собственный туннель». Наоборот, сразу открывать публичные порты ради «полной скорости» — часто рыть себе яму.

После включения: несколько вещей, о которых стоит беспокоиться больше, чем о скорости

Перед праздниками по случаю Дня образования КНР органы общественной безопасности опубликовали предупреждение о противодействии телефонному и интернет-мошенничеству (репортаж China Economic Net от 3 октября 2026 г.), где отдельно указан один приём: мошенники выдают себя за службу поддержки и побуждают вас скачать App с функциями «совместного использования экрана и удалённого управления». Этот риск и самостоятельный удалённый доступ — не одно и то же, но логика схожа —Само удалённое управление нейтрально; проблемы возникают из-за «какие инструменты используются» и «какой уровень прав предоставлен».

Опубликованное Министерством государственной безопасности предупреждение о безопасности ПО для удалённого управления (репортаж корреспондента CCTV Ван Ли) также говорит прямо; приведу несколько пунктов, связанных с домашними сценариями:

• Не используйте малоизвестное ПО для удалённого управления непонятного происхождения. Такое ПО часто не имеет официальной сертификации безопасности, лишено шифрования, а некоторые уже на этапе установки содержат бэкдоры — вы даже не знаете, когда оно передаёт данные наружу.
• Ради удобства открыть права устройства на максимум и при этом не следить за ним — значит открыть риски на максимум. После привязки устройства и авторизации входа даже если это соединение разорвано, фоновые права могут сохраняться.
• Регулярно проверяйте установленное ПО и список авторизаций; обнаружив незнакомый инструмент удалённого доступа или неизвестную запись авторизации, немедленно удалите его, закройте права и смените пароль.

Применяя эту официальную формулировку к домашнему NAS, я буду следить за следующим: система остаётся обновлённой (патчи часто закрывают именно те уязвимости, которые можно использовать удалённо); панель администрирования не должна быть целиком выставлена в публичную сеть — если действительно нужно открыть, открывайте только один необходимый путь или port, а если не уверены — сначала пускайте всё через туннель или организацию сети; смените учётную запись по умолчанию, не используйте слабые пароли, включайте двухэтапную проверку, если возможно; для удалённого доступа создайте отдельную учётную запись и давайте минимальные права — где достаточно только чтения, не давайте права записи; регулярно просматривайте журнал входов и авторизованные устройства — незнакомые IP, незнакомые устройства и моменты времени, которые вы не помните, должны восприниматься серьёзно.

В заключение

Подводя итог сказанному выше: когда я делал эту таблицу, я хотел сказать по сути три вещи: во-первых, «как подключаться обратно» нужно продумывать вместе с «какую машину покупать», не ждите, пока всё установите, чтобы обнаружить, что подключиться нельзя; во-вторых, нет пути, который был бы абсолютно лучше, — сначала смотрите, можете ли вы получить публичный адрес, а затем — для чего вы в основном это используете; в-третьих, включение удалённого доступа и безопасность — две стороны одного целого, удобство и безопасность всегда идут на взаимные уступки.

Что касается конкретного шага по диагностике, на этом сайте уже писали об этом, можно посмотреть вместе:После ускорения широкополосного доступа скорость не изменилась: проверяйте по очереди от оптического модема до сетевой карты(сначала разберитесь с основой домашней линии),Пришёл широкополосный доступ 3000M: сначала проверьте, достаточно ли у вас исходящей скорости(исходящий канал — вот реальное узкое место удалённого доступа),Как выбрать домашний NAS: сначала разберитесь с этими тремя вещами(как открытость устройства влияет на то, что можно делать дальше).

Принципы описанных в статье решений, моменты начала взимания платы за удалённые сервисы производителей (fnOS FN Connect с июля 2025 года взимает плату за удалённый доступ, источник — публичные описания продукта и записи в справочниках), а также официальные предупреждения о безопасности — всё это сверено по открытым каналам; цены всегда берутся по текущим официальным ценам производителей, я не фиксировал конкретные цифры. Я не проводил сравнительных замеров скорости нескольких решений в полностью одинаковых условиях, суждения об опыте использования основаны на открытых данных — воспринимайте их как справку, а не как вывод.

Полное оглавление статей · Вернуться на главную