Saran yang setiap orang berikan itu benar: jangan ekspos NAS Anda ke internet terbuka. Setiap port terbuka di IP perumahan dipindai dalam beberapa jam, dan sistem operasi NAS telah mengirimkan cukup CVE selama bertahun-tahun untuk membuat penerusan port menjadi langkah pertama yang buruk. Kabar baiknya adalah bahwa beberapa tahun terakhir telah memberi pihak yang menghost sendiri toolkit yang jauh lebih baik. Berikut adalah delapan aplikasi desktop yang kami gunakan untuk mencapai NAS rumah dari mana saja tanpa pernah memberikannya port publik.
Apa yang harus dicari dalam aplikasi akses NAS yang aman
- Nol port inbound terbuka di router rumah Anda
- Transportasi terenkripsi end-to-end, idealnya berbasis WireGuard
- Klien lintas platform (Windows, macOS, Linux, iOS, Android)
- ACL sehingga laptop yang dicuri tidak menyerahkan seluruh LAN
- Kemampuan untuk menjangkau NAS berdasarkan nama, bukan dengan jongling IP
- Bidang kontrol yang dihost sendiri opsional untuk privasi penuh
Perbandingan cepat
| Aplikasi | Terbaik untuk | Paket gratis | Harga mulai/bulan | Fitur unggulan |
|---|---|---|---|---|
| Tailscale | Mesh tanpa konfigurasi | Ya | $6 | Nama MagicDNS untuk setiap perangkat |
| WireGuard | VPN yang dihost sendiri | Ya | Gratis | Kinerja tingkat kernel |
| Cloudflare Tunnel | Web UI melalui nama host | Ya | $10 | Tanpa port inbound, aturan Zero Trust |
| Twingate | Zero trust yang ramah tim | Ya | $8 | ACL per aplikasi dan log audit |
| Pangolin | Alternatif Cloudflare yang dihost sendiri | Ya | Gratis | Tautan pratinjau publik tanpa paparan |
| Netbird | Alternatif Tailscale sumber terbuka | Ya | $5 | Sumber penuh dan opsi hosting sendiri |
| Headscale | Bidang kontrol Tailscale yang dihost sendiri | Ya | Gratis | Bawa bidang kontrol Anda sendiri |
| OpenZiti | VPN yang tertanam dalam aplikasi dan sadar identitas | Ya | Gratis | Jaringan overlay dengan kait SDK |
| Boundary | Broker SSH dan RDP asli HashiCorp | Ya | $10 | Perekaman sesi disertakan |
Mengapa mengekspos NAS Anda adalah ide yang buruk
Membuka port 5000 atau 443 ke Synology atau QNAP di router Anda memberikan internet yang lebih luas target yang ramah pemindai. Vendor NAS mengirimkan patch dengan cepat, tetapi penundaan antara pengungkapan dan pembaruan Anda adalah saat ketika penyerang oportunistik menyerang. Kampanye ransomware NAS terbaru menghapus backup dalam hitungan jam sejak awal eksploitasi massal.
Aplikasi di bawah memungkinkan Anda untuk mencapai NAS tanpa pernah membuka port inbound. Lalu lintas menerowong melalui koneksi hanya keluar ke bidang kontrol (atau peer-to-peer ke perangkat Anda), yang menjaga NAS tidak terlihat untuk pemindaian internet acak.
Aplikasi
1. Tailscale — Terbaik untuk mesh tanpa konfigurasi
Tailscale membangun mesh WireGuard antara perangkat Anda dan memberi masing-masing nama yang stabil. NAS Anda menjadi dapat dijangkau sebagai nas dari perangkat apa pun yang telah Anda daftarkan, tanpa membuka port apa pun di router. Perangkat baru bergabung dengan login SSO, dan ACL hidup dalam file teks yang dapat Anda kontrol versinya.
Dimana hal itu kurang: Tingkat gratis terbatas pada 100 perangkat dan tiga pengguna. Rumah tangga kecil, tidak masalah. Keluarga besar yang diperpanjang, upgrade.
Harga:
- Gratis: Paket pribadi, 100 perangkat, 3 pengguna
- Berbayar: Premium di $6/pengguna/bulan membuka kunci lebih banyak pengguna dan integrasi SSO
Platform: Windows, macOS, Linux, iOS, Android, Synology, QNAP
Unduh: Tailscale untuk desktop
Garis bawah: Pilihan tanpa konfigurasi default untuk mencapai NAS rumah.
2. WireGuard — Terbaik untuk VPN yang dihost sendiri
WireGuard adalah protokol di bawah sebagian besar VPN modern di daftar ini. Jalankan secara langsung jika Anda menginginkan kontrol penuh dan tidak keberatan menulis file konfigurasi. Kinerja tingkat kernel berarti lalu lintas NAS bergerak dengan kecepatan baris.
Dimana hal itu kurang: Tidak ada bidang kontrol. Menambahkan perangkat berarti mengedit konfigurasi di setiap rekan.
Harga:
- Gratis: Sumber terbuka, disertakan kernel di Linux
- Berbayar: Tidak ada
Platform: Windows, macOS, Linux, iOS, Android
Unduh: Unduhan WireGuard
Garis bawah: Opsi overhead terendah jika Anda suka mengelola kunci Anda sendiri.
3. Cloudflare Tunnel — Terbaik untuk Web UI
Cloudflare Tunnel mengekspos layanan web melalui jaringan Cloudflare tanpa membuka port apa pun di rumah. Tambahkan aturan Zero Trust dan web UI NAS Anda hanya dapat dijangkau oleh alamat email yang berwenang atau grup IdP.
Dimana hal itu kurang: Tingkat gratis memiliki batas bandwidth pada terowongan. Streaming perpustakaan film melalui itu membakar jatah Anda dengan cepat.
Harga:
- Gratis: 50 pengguna per akun Zero Trust, bandwidth terbatas
- Berbayar: Zero Trust dari $10/pengguna/bulan membuka kunci bandwidth dan pemeriksaan postur per aplikasi
Platform: Windows, macOS, Linux
Unduh: Penginstal Cloudflared
Garis bawah: Pilihan yang tepat ketika hanya web UI yang memerlukan akses jarak jauh.
4. Twingate — Terbaik untuk zero trust yang ramah tim
Twingate adalah alternatif Tailscale yang bermerek perusahaan, disesuaikan untuk tim. ACL per aplikasi, log audit, dan integrasi penyedia identitas yang lebih kaya memudahkan untuk memberi mitra akses sementara ke bagian NAS tertentu tanpa membuka seluruh LAN.
Dimana hal itu kurang: Berlebihan untuk pengguna solo. Tingkat gratis murah hati, tetapi nilainya muncul ketika beberapa orang berbagi pengaturan.
Harga:
- Gratis: 2 pengguna, 5 perangkat, hingga 5 jaringan jarak jauh
- Berbayar: Tim di $8/pengguna/bulan membuka kunci lebih banyak pengguna dan fitur
Platform: Windows, macOS, Linux, iOS, Android
Unduh: Twingate untuk desktop
Garis bawah: Pilihan ketika NAS dibagikan dengan tim kecil.
5. Pangolin — Alternatif Cloudflare yang dihost sendiri terbaik
Pangolin adalah alternatif Cloudflare Tunnel yang lebih baru yang dihost sendiri. Jalankan bidang kontrolnya di VPS dan dapatkan URL publik untuk NAS Anda tanpa memberikan seluruh terowongan kepada pihak ketiga. Rilis terbaru menambahkan tautan pratinjau publik sehingga tamu dapat mengenai berbagi tanpa akun.
Dimana hal itu kurang: Proyek yang lebih muda dari yang lain. Harapkan rilis lebih cepat dan perubahan yang menggemparkan sesekali.
Harga:
- Gratis: Sumber terbuka, hosting sendiri
- Berbayar: Tidak ada
Platform: Windows, macOS, Linux, Docker
Unduh: Pangolin di GitHub
Garis bawah: Pilih ini jika sentralisasi Cloudflare mengganggu Anda.
6. Netbird — Alternatif Tailscale sumber terbuka terbaik
Netbird adalah filosofi Tailscale dalam paket sumber terbuka sepenuhnya. Model mesh WireGuard yang sama, lapisan ACL yang sama, tetapi Anda dapat menghosting bidang kontrol sendiri jika layanan yang dihosting bukan gaya Anda.
Dimana hal itu kurang: Ekosistem yang lebih kecil daripada Tailscale. Integrasi aplikasi lebih sedikit, meskipun inti sudah solid.
Harga:
- Gratis: Paket cloud, 100 perangkat, 5 pengguna
- Berbayar: Paket tim dari $5/pengguna/bulan membuka kunci lebih banyak pengguna dan integrasi identitas
Platform: Windows, macOS, Linux, iOS, Android
Unduh: Klien desktop Netbird
Garis bawah: Pilihan yang tepat jika Anda menginginkan ergonomi Tailscale dengan sumber penuh.
7. Headscale — Bidang kontrol Tailscale yang dihost sendiri terbaik
Headscale mengimplementasikan ulang server kontrol Tailscale sebagai sumber terbuka. Arahkan klien Tailscale ke instans Headscale Anda dan Anda mendapatkan pengalaman MagicDNS dan ACL yang sama tanpa bergantung pada layanan yang dihosting.
Dimana hal itu kurang: Anda memelihara bidang kontrol sendiri. Itu termasuk backup, sertifikat HTTPS, dan upgrade.
Harga:
- Gratis: Sumber terbuka
- Berbayar: Tidak ada
Platform: Linux, Docker
Unduh: Headscale di GitHub
Garis bawah: Yang terbaik dari kedua dunia jika Anda nyaman menjalankan server kecil.
8. OpenZiti — Terbaik untuk akses yang sadar identitas
OpenZiti melangkah lebih jauh dari VPN mesh dengan membuat jaringan itu sendiri tidak terlihat: aplikasi menyematkan SDK Ziti dan mencapai layanan melalui overlay yang sadar identitas. Untuk NAS, jalankan router tepinya dan hanya sesi aplikasi yang berwenang yang dapat melihat NAS itu ada.
Dimana hal itu kurang: Kurva pembelajaran yang lebih curam daripada VPN lurus. Layak untuk kasus penggunaan bernilai tinggi.
Harga:
- Gratis: Sumber terbuka
- Berbayar: Tidak ada
Platform: Windows, macOS, Linux
Unduh: OpenZiti
Garis bawah: Pilihan jika Anda menginginkan pertahanan secara mendalam di luar VPN normal.
9. Boundary — Terbaik untuk SSH dan RDP ke NAS
Boundary adalah broker sesi yang sadar identitas HashiCorp. Alih-alih menerowong seluruh jaringan, itu menjadi broker sesi SSH, RDP, dan TCP per pengguna, dan itu merekam sesi untuk audit. Berlebihan untuk satu pengguna, ideal untuk tim kecil yang memerlukan akses shell NAS jarak jauh dan jejak audit.
Dimana hal itu kurang: Bukan mesh. Hanya berfungsi untuk jenis sesi yang didukung Boundary.
Harga:
- Gratis: Edisi komunitas, hosting sendiri
- Berbayar: HCP Boundary dari $10/bulan untuk bidang kontrol yang dihosting
Platform: Windows, macOS, Linux
Unduh: Unduhan Boundary
Garis bawah: Lapisan yang tepat jika jejak audit penting.
Cara memilih yang benar
- Jika Anda baru mengenal hal ini dan menginginkannya untuk bekerja dalam lima menit: Tailscale.
- Jika Anda suka mengelola manajemen kunci Anda sendiri: WireGuard.
- Jika Anda hanya memerlukan web UI NAS: Cloudflare Tunnel.
- Jika tim kecil berbagi NAS: Twingate.
- Jika Anda menginginkan pengalaman Cloudflare yang dihosting sendiri: Pangolin.
- Jika Anda menginginkan ergonomi Tailscale sumber terbuka sepenuhnya: Netbird atau Headscale.
- Jika Anda menginginkan pertahanan secara mendalam: OpenZiti.
- Jika Anda memerlukan audit sesi: Boundary.
Sebagian besar lab rumah berakhir di Tailscale plus Cloudflare Tunnel: Tailscale untuk mesh perangkat terpercaya, Cloudflare Tunnel untuk satu web UI yang diperlukan teman.
FAQ
Mengapa saya tidak harus mengekspos NAS saya ke internet?
Sistem operasi NAS mengirimkan CVE secara teratur, dan port inbound terbuka apa pun pada IP perumahan dipindai dalam beberapa jam. Celah antara pengungkapan dan patch adalah saat penyerang oportunistik menyerang, dan kampanye ransomware NAS terbaru telah mengosongkan drive dalam waktu sehari sejak exploit mendarat.
Apakah Tailscale benar-benar gratis untuk penggunaan pribadi?
Ya. Paket pribadi mencakup 100 perangkat dan tiga pengguna tanpa biaya, yang cukup untuk sebagian besar rumah tangga. Pengaturan yang lebih besar upgrade.
Apakah aplikasi ini berfungsi dengan Synology dan QNAP?
Tailscale mengirimkan paket Synology dan QNAP. WireGuard, Cloudflare Tunnel, dan Netbird berjalan dalam Docker di OS NAS modern apa pun. OpenZiti dan Boundary lebih mungkin berjalan di host Linux di samping NAS.
Bisakah saya menghosting pengaturan gaya Tailscale sendiri?
Ya. Headscale mengimplementasikan ulang bidang kontrol Tailscale sebagai sumber terbuka dan berfungsi dengan klien resmi. Netbird juga mengirimkan bidang kontrol sumber terbuka miliknya sendiri.
Bagaimana dengan hanya menggunakan VPN biasa?
WireGuard pada hardware Anda sendiri bekerja dan ada di daftar ini. VPN mesh di atas menambahkan nama perangkat, ACL, dan onboarding mudah di atas, itulah mengapa sebagian besar pemilik hosting sendiri mendarat di atasnya.
