NAS 自架唔一定抵：呢 4 類服務維護成本高過你諗，密碼庫同 email 最易出事

XDA 呢篇個人經驗，講中 homelab 嘅暗位

XDA 作者 Yash Patel 7 月 3 日寫咗篇自架服務經驗文，佢最後停咗 4 類服務：音樂串流、網站 hosting、email 同密碼庫。件事本身唔算重大新聞，但好啱拎嚟講 NAS / homelab 最常見嘅誤判：Docker container 跑得起，只代表第一晚成功；之後每次更新、備份、憑證、資料遷移、外網連線出錯，都要有人執手尾。屋企部 Synology、QNAP 或迷你 PC 一開始好似好萬能，去到要俾家人用、要出街都入到、要半夜唔停機，成本就即刻現形。

圖片：Synology

音樂同網站，最大成本未必喺 CPU

自架音樂串流聽落好合理：自己嘅檔案、自己嘅音質、唔使月費。但 XDA 原文講嘅痛點好實際，麻煩位唔係 server，而係曲庫。新碟要入庫，metadata 要執，封面要對，手機同電腦同步又要睇 client 夾唔夾。你真係有一大堆自己 rip 嘅 CD，或者好介意串流平台下架，Jellyfin/Navidrome 呢類方案仍然有意思；如果你平時只係想開歌單聽新歌，SaaS 會慳返好多重複功夫。

網站 hosting 亦似。NAS 反向代理加 DDNS，一晚可以整到個 blog 出街，但之後就係 TLS 憑證、Nginx/Caddy 設定、CMS 更新、備份還原、uptime 監察同安全 patch。你寫文章、賣小產品、放 portfolio，本來想做內容，結果變成 sysadmin。對公開網站嚟講，managed hosting 或平價 VPS 加自動備份，通常抵過用家居寬頻硬頂；比較啱自架嘅，反而係內部 wiki、測試站、或者耐唔耐停一陣都冇大影響嘅 side project。

Email 同密碼庫，停一次已經夠煩

email 最唔適合攞嚟試運氣。收得到同寄得到係兩件事，寄得入 Gmail 又牽涉 SPF、DKIM、DMARC、PTR reverse DNS、TLS、IP reputation 同 blocklist。Google sender guidelines 由 2024 年 2 月 1 日起要求寄去 Gmail 嘅 sender 至少做 SPF 或 DKIM、有效正反向 DNS 同 TLS；大量寄信仲要 DMARC。家居寬頻 IP、動態 IP、ISP 封 port、反向 DNS 改唔到，任何一樣都可以令你封信入 spam。公司、freelance、銀行、政府服務都靠 email，呢類風險交畀 managed email 服務處理，講真好合理。

密碼庫仲敏感。自架 Vaultwarden/Bitwarden 好吸引，尤其你想掌握資料同避免單一平台鎖死；但你要確保資料庫、attachments、環境設定、憑證、admin token、還原流程全部有備份，更新前仲要先拍 snapshot。Bitwarden 官方文件都講，自架 Bitwarden 要自己負責備份程序，又強調 keep up to date 好重要，因為更新可能包含安全修補，舊 server 亦可能同新 client 夾唔到。只俾自己喺內網或 VPN 用，風險細好多；一旦開 port 放出街畀全家共用，佢就唔再只係一個玩具 container。

外網一開，維護成本會放大

好多 NAS 用家嘅分水嶺，就係由「屋企 LAN 入到」變成「街外都要入到」。Synology 官方安全文件建議開 Security Advisor、MFA、自動封鎖、HTTPS 同有效 SSL certificate，router 亦只開必要 public ports。QNAP 嘅 security guide 講得仲白，UPnP/DMZ/port forwarding 直接對外有 cyber attack 同 0-day 風險，適合嗰類人要明白風險、識 network 設定、已經有多份備份同 DR plan。呢啲聽落好煩，其實就係日常保養清單。

如果你真係要外網入屋，做法可以係 VPN、Tailscale、Cloudflare Tunnel、或者反向 proxy 加 access control；揀邊個視乎你識唔識維護。Cloudflare 文件提到 Tunnel 係用 outbound-only connection 接去 Cloudflare，唔使你部機有 publicly routable IP。呢類方案可以減少 port forwarding，但唔會幫你處理 app 漏洞、弱密碼、備份失敗、家人唔識用 2FA 呢啲問題。外網入口只係縮窄咗攻擊面，唔代表你可以放棄更新同演習還原。

點計抵唔抵：睇停機同還原成本

我會咁分：相簿、文件同步、media server、內部文件庫、local AI、download box 呢啲，資料大、流量多、私隱考慮重，而且停一晚未必壞大事，自架好有價值；email、密碼庫、公開網站、支付或客戶通知，就要先問自己三件事：壞咗係咪即刻有人受影響、你係咪有離線備份同演習過還原、你出 trip 或瞓覺嗰陣有冇人可以接手。答唔實，就用 managed service，或者起碼用 hybrid：資料留 NAS，身份登入、email、DNS、備份其中一層交畀專門服務。

自架最爽係掌控感，但掌控感唔會自動變成可靠。買 NAS 或迷你 PC 之前，唔好只睇 CPU、RAM、幾多個 bay；亦要寫低更新節奏、備份位置、還原時間、TLS 點續、外網入口點關、家人點拎 emergency access。做到呢啲，先諗放邊啲服務上去；做唔到，SaaS 唔一定係妥協，可能只係你用時間換返生活。

參考來源

• XDA Developers — I stopped self-hosting these 4 services after realizing maintenance wasn't worth it — original report
• Synology Knowledge Center: What can I do to enhance the security of my Synology NAS? — 補 NAS 安全設定背景，包括 MFA、HTTPS、auto block、SSL certificate 同只開必要 public ports。
• QNAP NAS Security Guide — 補 QNAP 官方對 UPnP、DMZ、port forwarding、VPN、備份同 DR plan 嘅風險提示。
• Bitwarden: Backup Server Data — 補自架密碼庫備份責任，包括資料庫、附件、設定同還原流程。
• Bitwarden: Update a Server — 補自架 Bitwarden 要 keep up to date，同更新前先備份嘅安全理由。
• Gmail Help: Email sender guidelines — 補 email deliverability 背景，包括 SPF/DKIM/DMARC、PTR reverse DNS、TLS 同 spam rate。
• Cloudflare Docs: Cloudflare Tunnel — 補外網接入方案背景：outbound-only connection，唔使公開 routable IP。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。