群晖内网穿透：NAS 外网访问的三条路怎么选
群晖内网穿透到底走哪条？QuickConnect、DDNS + 端口映射、公网映射三条路按零配置、要不要公网 IP、速度受什么限对比，威联通、绿联等能跑容器的 NAS 同样适用。
NAS 买回来是想随时能用的：出差路上翻相册、在公司拉一份文件、回家前先让下载跑起来。挡在中间的是同一件事——运营商给的那个地址不是你的，路由器上那个「端口映射」页面配了也不通。群晖内网穿透能走的路有三条，这一页把它们摆在一起，帮你在动手之前定下走哪条。
群晖内网穿透要不要做，先看 QuickConnect 够不够用
QuickConnect 能连上、速度也够用的时候，它就是最省事的那条路——群晖自家的中转，装完 DSM 勾一下就有，不必碰路由器、不必备案、不花钱。会想换，通常是撞上了它的边界：传大文件时快慢不由你定、某些网络下干脆连不上。
判断只要一步：同一台 NAS，在局域网里拉文件很快、走 QuickConnect 就慢下来——那么慢的不是你的硬盘，也不一定是你家宽带。具体卡在哪一段，本页后面那节拆得更细。
NAS 内网穿透的三条路：QuickConnect、DDNS、公网映射
三条路解决的是同一件事，代价落在不同地方：一条你不用管、一条要你有公网 IP、一条要你装个客户端。
| 走哪条 | 零配置吗 | 要不要公网 IP | 速度受什么限 |
|---|---|---|---|
| QuickConnect | 是，DSM 里勾一下 | 不要 | 群晖那段中转，你调不了 |
| DDNS + 端口映射 | 否，要配路由器 | 要，且得是真的 | 你家上行，直连没有中间段 |
| 公网映射 | 否，要装一次客户端 | 不要 | 套餐带宽档位，按条计 |
怎么对号入座：
- 家里宽带是运营商 NAT 后的地址 —— 第二行直接划掉。路由器上那个端口映射页面在这种环境里配了也不会通，这不是配置问题，是那个 IP 本来就不是你的。运营商能不能给公网 IP，打客服问一句就知道。
- 有真公网 IP，且只有自己用 —— DDNS + 端口映射是免费的，代价是 DSM 的登录页从此挂在全网可扫的地址上，安全全靠你自己在 DSM 里配。
- 没有公网 IP，又嫌 QuickConnect 慢 —— 那就是这一页剩下部分要讲的路。
客户端装在 NAS 上，还是装局域网里另一台电脑上
两种都行，选哪种取决于你想不想在 NAS 上多跑一个东西。
装在 NAS 上
DSM 本身是 Linux，所以客户端可以直接跑在 NAS 上——用套件中心里的 Container Manager（DSM 7.2 之前叫 Docker）起一个容器。NAS 常年开机，这条路做完就不用再管。
群晖的目录布局与开机自启机制和标准发行版有差异，Linux 通用的那条一键安装命令在这里未必装得上、装上了也可能重启后没自动跑起来——容器这条在群晖上更稳，文档里的步骤也是照容器写的。
装在局域网里另一台电脑上
不想动 NAS，就把客户端装在同一个局域网里的 Windows 电脑上，映射的本地地址填 NAS 的内网 IP。桌面客户端有图形界面，新建映射时顶部直接点「群晖 NAS」预设。
代价是那台电脑得开着——它关机，映射就断了。适合家里本来就有一台常开的小主机，不适合拿笔记本凑数。
威联通、绿联、TrueNAS 也是同一条路
客户端以容器镜像发布，所以判据不是牌子，是这台机器能不能跑容器。能跑的，装法只差在各家把入口放在了不同地方；装完之后客户端界面是同一个，建映射的步骤一模一样。
| 机器 | 容器入口在哪 |
|---|---|
| 群晖 DSM | 套件中心 → Container Manager（7.2 之前叫 Docker） |
| 威联通 QNAP | Container Station |
| 绿联 UGOS Pro | 应用中心 → Docker（默认没开，先装上） |
| TrueNAS | Apps |
| 黑群晖 | 与群晖相同 |
跑不了容器的老机器、或者不想在 NAS 上多装东西，走上面右边那条：客户端装在局域网里另一台常开的机器上，本地地址填这台 NAS 的内网 IP。这条对任何牌子都成立，包括系统封闭、装不了第三方东西的那些。
容器怎么起、镜像怎么拉、装完怎么验，完整步骤在群晖 NAS 映射实战里，含每一步的截图；命令与系统要求见客户端安装。
NAS 内网穿透速度受什么限，三段分开看
「慢」不是一件事。三个环节各有各的上限，认错了段，换哪条路都白换。
群晖那段中转
QuickConnect 在两端之间接了一段群晖自己的中转。这段的容量与走向由群晖决定，你这边能调的只有「要不要用它」。换一条路解决的正是这一段——把中转换成一条你能看见、能限速档位、能按 IP 收窄的映射。
你家那条上行
从外面拉 NAS 上的文件，走的是你家宽带的上行。家用宽带的上行通常远小于下行，几十兆的上行配上千兆下行是常态。这一段是物理上限，换任何方案都救不了——包括换成付费的。
映射本身的档位
走公网映射时，这一段按套餐的带宽档位计，每条映射独立。它是三段里唯一你能直接花钱抬高的。各档具体给多少，看价格页——数字以那一页为准，别记这里。
怎么定位是哪一段：先在局域网里拉同一个文件，量出 NAS 本身的速度；再从外网拉一遍。局域网快、外网慢，说明卡在中转或档位，换路有用；局域网也慢，那是硬盘或网络本身的事，跟走哪条路无关。至于家里上行只有十几兆这种情况，量一次测速就知道，别指望换方案。
Photos、File Station 要不要各开一条映射
大多数人不必。先看你要用的东西是不是本来就挂在 DSM 那个入口下。
走 DSM 入口的，一条就够
Photos、File Station、Audio Station 这些套件的网页版都挂在 DSM 自己的 Web 入口下，映射了 DSM 就等于把它们一起带出来了。手机上的群晖 App 填同一个地址即可。
自己另开端口的，才要单独建
你在 NAS 上跑的 Docker 服务、单独装的下载工具、自建的 Git 或笔记服务，端口不在 DSM 名下，要连它们就得各自建一条映射。
要传文件走 SFTP，不必再开一条
DSM 打开 SSH 之后，SFTP 与 SSH 共用同一个端口，一条 TCP 映射两件事都办了，不必为传文件再建一条。
开到公网之前，DSM 侧先做两件事
映射侧能把陌生人挡在门外，但 DSM 的登录页一旦能从外面打开，门锁就得是你自己的。
DSM 账号别留弱口令
NAS 上放的是相册、证件、备份，一次被登入就是全部。默认账号加简单密码是被撞开最多的组合。
动作：控制面板 → 用户账号，顺便关掉默认的 admin
开双因子认证
密码万一泄露，这一层还能拦住。群晖自带，把登录方法从「单一验证」换成「双重验证」即可，开一次就好。
动作：右上角头像 → 个人设置 → 安全性 → 登录方法
映射这一侧还能再收：只放行你常用的那几个出口 IP、只在某些时段开。设置在客户端「安全 → 访问规则」里，完整清单见安全指南；要连的是 Windows 桌面而不是 NAS，那页的加固口径在 RDP 暴露公网安全吗。
什么时候别选它
这几种情况，先别急着建映射。
- QuickConnect 用着没毛病 —— 那就继续用，没必要为了换而换。
- 你有真公网 IP，且只有自己一个人用 —— DDNS + 端口映射不花钱，安全上你愿意自己在 DSM 里盯着的话，它够用。
- 想把 NAS 当公开网盘给很多人下东西 —— 那是持续吃流量的用法，先按套餐的月流量算一遍再说。
- 测出来卡在你家上行 —— 见上面那一节，这一段换任何方案都救不了。
