關掉 router port forwarding：自架 mesh VPN 點樣縮細屋企網絡攻擊面

Port forwarding 開嘅其實係一個公網入口

XDA 作者原本每加一個遙距服務，就喺 router 開一條 port forwarding 規則，再用固定公網 IP 連返屋企。防火牆、HTTPS、密碼同 CrowdSec 全部都有做，但 CrowdSec 記錄仍然見到自動掃描同攻擊流量。呢啲記錄唔代表服務已經失守，只係證明一件幾現實嘅事：只要個 port 喺公網答到，掃描器遲早會搵到佢。 服務本身一有漏洞、密碼太弱或者設定出錯，嗰個入口就有機會俾人用。

Port forwarding 本身唔等於危險設定，公開網站、遊戲 server 同自架郵件服務本來就可能要接收公網連線。問題出喺用途：如果 Home Assistant、NAS 管理頁或者開發測試機淨係畀自己用，長期公開佢哋只係額外承受掃描、撞密碼同漏洞利用。CISA 嘅網絡加固指引亦建議，對外開放嘅 port 越少越好，另外要用強加密、MFA 同存取限制。

圖片：NetBird

Mesh VPN 點樣避開逐個服務開 port

作者最後用 NetBird 處理私人連線。獲授權嘅電腦、手機同屋企 server 會加入同一個虛擬私人網絡，再經 WireGuard 加密通道互相連接。NetBird 官方架構文件話，裝置會先嘗試建立點對點連線；遇到 NAT 或防火牆阻擋，先改經 relay 傳送已加密流量。NAS 網頁、SSH 或 Home Assistant 可以經私人網絡連入，router 冇必要逐項將佢哋轉發出去。

呢個改動最直接嘅效果係減少公網可見入口。掃描器就算撞中屋企個 IP，亦搵唔到已關閉嘅服務 port。不過 mesh VPN 冇令服務本身自動變安全：一部已登入 VPN 嘅手提電腦俾人控制、存取規則開得太闊，或者內部 app 仲用緊弱密碼，攻擊者一樣有路行。NIST 嘅遙距存取指引亦講明，加密 tunnel 主要保護傳輸同遠端存取，唔會順手保護 client、靜態資料或者 tunnel 後面每個系統。

圖片：NetBird

自架多咗控制權，但維護都要自己搞

自架控制平面可以自己揀 server、身份供應商、資料存放位置同存取政策，亦少咗依賴供應商帳戶。代價係 NetBird 嘅 Management、Signal、Relay、資料庫、TLS 憑證同登入系統都要有人照顧。點對點流量通常唔經 Management，但控制平面停機時，新裝置登入、政策更新同 peer 協調可能受影響；現有連線同 relay 會唔會中斷，就要視乎實際部署。如果管理帳戶失守，成個私人網絡嘅權限亦可能俾人改寫。

實際設定時，先為 NAS、管理頁、家居自動化同測試環境分組，再用 access policy 限定邊部裝置可以連邊項資源，唔好貪方便開成全網互通。管理帳戶要開 MFA；註冊裝置用嘅 setup key 應設期限、限制可加入嘅群組，用完就撤銷。自動化 token 同私鑰要放入 secrets manager，唔好散落 script、聊天記錄或者普通筆記，遺失裝置亦要盡快移除 peer 同換相關憑證。

更新同備份亦唔可以靠運氣。控制平面、VPN client、container image、作業系統同身份供應商要定期修補，資料庫同設定檔要有加密備份，仲要真係試過點樣還原。升級前睇 release notes，再留一條獨立管理路徑，避免 VPN 更新失敗之後連自己都入唔返。屋企得一部 server 嘅話，停電、硬碟故障同憑證過期都足以令遙距存取一齊斷線。

要公開嘅服務仍然要守公網邊界

作者把刻意公開嘅服務交畀 Pangolin，經 Newt、WireGuard、Gerbil 同反向代理接返屋企環境。咁做可以把公開入口集中喺一個受控邊界，統一處理 TLS、路由同身份驗證，屋企 router 亦少開幾條規則。不過個反向代理仍然面向公網，Pangolin server、Traefik、登入頁同公開 app 全部要更新、限制權限同監察記錄；原本 app 嘅密碼同 MFA 亦唔應該拆走。

有 NAS、Home Assistant 或開發機，又只係自己幾部裝置要遙距連線，可以先盤點現有 forwarding 規則，逐項搬入私人 mesh，再確認外網接通同撤銷裝置都運作正常，最後先關閉舊 port。公開服務則繼續當公網系統管理。咁樣做確實會縮細攻擊面，但之後安唔安全，仍然睇存取政策、端點保護同日常維護有冇跟足。

參考來源

• XDA Developers — I stopped forwarding ports on my router, and a self-hosted mesh VPN made my home lab safer overnight — original report
• NetBird Docs：How NetBird Works — 官方解釋 WireGuard 點對點連線、NAT traversal、Signal、Management 同 Relay 嘅分工。
• NetBird Docs：Understanding Groups and Access Policies — 官方存取控制同 setup key 文件，用嚟核對群組、最小權限同裝置註冊做法。
• NetBird Docs：Authentication and Identity Providers — 官方自架身份驗證文件，交代本地帳戶、OIDC 同外置身份供應商嘅設定選擇。
• Pangolin Docs：System Architecture — 官方架構資料，核對 Pangolin、Newt、Gerbil、WireGuard 同反向代理各自負責咩。
• CISA：Enhanced Visibility and Hardening Guidance for Communications Infrastructure — 安全背景資料，支持減少對外 port、使用強加密、MFA 同限制管理入口嘅建議。
• NIST SP 800-46 Rev. 2：Guide to Enterprise Telework, Remote Access, and BYOD Security — 解釋 VPN tunnel 可以保護傳輸同執行存取控制，但唔會保護端點、靜態資料同所有內部流量。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。