群晖基础网络配置：固定IP设置、端口转发、路由器UPnP设置、防火墙规则
说实话，很多朋友把群晖买回家，插上网线就开始用。能用，但隐患不少。我见过太多案例——路由器一重启，群晖IP变了，所有端口映射全失效，Home Assistant连不上，智能家居直接瘫痪。
所以这一章，咱们把网络基础打扎实。说白了，就是让群晖在局域网里有个固定身份，让外网能安全地找到它，同时把不速之客挡在门外。
核心逻辑：群晖是智能家居的中枢，网络配置就是它的神经系统。配好了，稳如老狗；配不好，三天两头掉线。
一、固定IP设置：给群晖一个永久的门牌号
为什么必须固定IP？你想想看，Home Assistant里配置了 192.168.1.100:8123，结果路由器一重启，群晖变成了 192.168.1.101，HA直接失联。我早期做项目时就吃过这个亏，半夜三点被客户电话吵醒，说家里灯全灭了一刚。
固定IP有两种主流做法：
- 路由器DHCP静态分配（我推荐这个）
- 群晖手动设置IP（备用方案）
方法一：路由器DHCP静态分配
说白了，就是让路由器记住群晖的MAC地址，每次都给同一个IP。这样做的好处是——如果以后搬家换网络，群晖自己不用改任何设置。
操作步骤（以常见路由器为例）：
- 登录路由器管理后台（通常是
192.168.1.1或192.168.0.1） - 找到「DHCP服务器」或「局域网设置」
- 找到「静态地址分配」或「地址保留」
- 填入群晖的MAC地址（在DSM的「控制面板→信息中心→网络」里可以查到）
- 指定一个IP，比如
192.168.1.100
我的习惯：把群晖放在 .100-.200 这个段，和普通设备（手机、电脑）分开。比如群晖用 .100，Home Assistant用 .101，摄像头用 .110 起。这样一眼就能看出哪些是基础设施。
方法二：群晖手动设置IP
如果路由器不支持静态分配（老款路由器常有这问题），那就直接在群晖里写死IP。
路径：控制面板 → 网络 → 网络界面 → 编辑 → IPv4
IP地址：192.168.1.100
子网掩码：255.255.255.0
默认网关：192.168.1.1
DNS：114.114.114.114（或 8.8.8.8）
注意：手动设置IP时，一定要确保这个IP没有被其他设备占用。我见过有人把群晖设成 192.168.1.1，结果和路由器网关冲突，整个网络瘫痪。嗯，别问我怎么知道的。
二、端口转发：让外网能访问你的群晖
固定好IP之后，下一步就是让外网能访问到群晖。端口转发，说白了就是——路由器收到来自外网某个端口的请求，把它转给内网里群晖的对应端口。
群晖默认的端口：
| 服务 | 默认端口 | 建议外网端口 | 说明 |
|---|---|---|---|
| DSM管理界面 | 5000 (HTTP) / 5001 (HTTPS) | 5000 / 5001 | 建议只开HTTPS |
| Home Assistant | 8123 | 8123 | 或改成其他端口防扫描 |
| SSH | 22 | 2222（改掉） | 默认22容易被暴力破解 |
在路由器里设置端口转发：
- 找到「端口转发」或「虚拟服务器」
- 添加规则：外部端口 → 内部IP:内部端口
- 比如：外部5001 → 192.168.1.100:5001
避坑指南：我曾经把群晖的5000端口直接暴露到公网，结果一天之内被扫描了三千多次。后来我学乖了——外网端口改成不常用的，比如 15000 映射到内网 5001。扫描器默认扫5000，扫不到就走了。
三、路由器UPnP设置：方便但危险
UPnP（通用即插即用）是个好东西。群晖里开启UPnP后，它会自动在路由器上开端口，不用你手动配置。对于新手来说，确实省事。
群晖里开启UPnP：
控制面板 → 外部访问 → 路由器配置 → 设置UPnP
勾选「启用UPnP」，群晖会自动检测路由器并列出可用的端口映射。
但是——我个人的建议是：关掉UPnP。
为什么？
- UPnP没有认证机制，内网任何程序都能自动开端口
- 如果某个设备被植入恶意软件，它可以通过UPnP把端口暴露出去
- 我曾经在客户家里发现，一台智能电视通过UPnP开了十几个端口，全是漏洞
我的做法：路由器里彻底关闭UPnP，所有端口转发手动配置。虽然多花几分钟，但心里踏实。你想想看，智能家居本来就涉及家庭安全，门锁、摄像头这些设备，端口暴露了可不是闹着玩的。
四、防火墙规则：给群晖穿上防弹衣
最后一步，也是最容易被忽略的一步——防火墙。群晖自带的防火墙功能其实很强，只是很多人不知道用。
路径：控制面板 → 安全性 → 防火墙
基础规则设置
我一般会建这么几条规则：
| 优先级 | 规则名称 | 来源IP | 端口 | 动作 |
|---|---|---|---|---|
| 1 | 允许内网 | 192.168.1.0/24 | 所有 | 允许 |
| 2 | 允许VPN | VPN网段 | 所有 | 允许 |
| 3 | 允许特定外网IP | 你的公网IP | 5001, 8123 | 允许 |
| 4 | 拒绝所有 | 0.0.0.0/0 | 所有 | 拒绝 |
规则从上到下匹配，匹配到就停止。所以「拒绝所有」一定要放在最后。
进阶技巧：如果你有固定公网IP，可以用「允许特定外网IP」来限制只有你能访问。我自己的群晖只允许公司IP和家里VPN的IP段访问，其他统统拒绝。有一次出差，在酒店想连回家看看HA，发现IP变了连不上——嗯，安全第一，麻烦点也值了。
区域隔离（高级玩法）
如果你的路由器支持VLAN，可以把群晖、Home Assistant、摄像头放在一个独立网段，和日常上网的设备隔离开。这样就算某个智能设备被攻破，也影响不到你的电脑和手机。
我现在的家庭网络结构：
- VLAN 1（主网络）：电脑、手机、电视 — 可以访问互联网
- VLAN 10（IoT网络）：群晖、HA、摄像头、智能灯 — 默认不能访问互联网
- VLAN 20（访客网络）：客人用 — 只能上网，不能访问内网
群晖防火墙里只允许VLAN 1的特定IP访问管理端口，其他全部拒绝。这样就算摄像头被黑，黑客也拿不到群晖的控制权。
总结一下：固定IP是基础，端口转发是通道，UPnP能省事但建议关掉，防火墙是最后一道防线。这四步走完，你的群晖网络配置才算真正到位。接下来就可以放心地往上面装各种服务了。
可可精品资料库