群晖nas使用教程，从初始化设置到外网访问的完整配置

很多人把机器搬回家，插上电、连上网就以为完事了，结果卡在硬盘初始化，或者出门打不开家里的照片。这份群晖nas使用教程按实际动手的顺序走一遍，从新机首次开机、存储池与共享文件夹的建立，到 QuickConnect、DDNS 与反向代理三条外网通路怎么选。每一步都写清楚点了哪个菜单、为什么这样设，照着做能把一台裸机变成随时可用的私有云。

开箱之后先处理硬件与网络

新机拆开，先把硬盘托架抽出来。3.5 寸盘直接卡进免螺丝托架，2.5 寸盘要底部四颗螺丝。推回去之前确认卡扣到底，听到一声轻响才算装稳。硬盘尽量挑官方兼容列表里的，叠瓦盘重建容易拖很久。

网线插在 LAN1 口，路由器开着 DHCP 就行。群晖默认从 DHCP 取地址，用 Synology Assistant 扫局域网，或者翻路由器后台的客户端列表，都能看到它。群晖nas使用教程常跳过这一步：在路由器里把网卡 MAC 绑成固定 IP，群晖nas使用教程后面的映射与反代都轻松不少。

初始化与硬盘配置：群晖nas使用教程的第一道关

浏览器输入刚找到的 IP，进入 DSM 首次安装向导。系统会提示下载最新版 DSM，从官网取 .pat 文件上传，别用来路不明的整合包。安装过程会重启一次，中途不要断电。

装完先建存储池。打开存储管理器选 RAID 类型：单盘只有 Basic；双盘想留冗余就选 SHR 或 RAID 1；四盘以上混插不同容量的硬盘时，SHR 浪费的空间更少。

文件系统在 Btrfs 和 ext4 之间二选一，判断标准是要不要快照。Btrfs 支持快照和更强的数据校验，部分老机型的随机读写会略差。想知道手上这台支不支持 Btrfs，看规格页，入门型号里只给 ext4 的并不少。

存储池建好后创建共享文件夹，命名避开中文和空格，Windows 映射时少一堆麻烦。权限页给每个账号勾读写或只读，别把所有人都塞进 administrators 组。

想用命令行核查，先到控制面板的「终端机和 SNMP」里打开 SSH，端口默认 22。

ssh leetao@192.168.1.20 -p 22

df -h | grep volume

ls -l /volume1

这里的 /volume1 是共享文件夹的根，脚本备份与容器挂载的路径都由它起。

账号、套件与权限的日常维护

DSM 装好只是骨架。控制面板的用户与群组里建议一人一号，admin 只用来做管理操作，日常看照片、同步文档都走普通账号。

套件按需装。Photos 管照片，Drive 当同步盘，Note 记零散内容，看片用 Emby 或 Plex，也可以让播放器直接读 SMB。Video Station 在 DSM 7.2.2 之后已经停止提供，套件中心里搜不到，别再照旧教程去找。装太多会互相抢内存，2GB 内存的入门机型尤其明显，常用的留三五个就够。

权限有两层：共享文件夹级和子目录级。Windows 映射网络驱动器后提示无权访问，先回共享文件夹的编辑页看账号有没有勾上，再看子目录的 ACL 继承有没有被打断。这一层是群晖nas使用教程里最容易被跳过、也最容易反复踩坑的地方。

外网访问方案：群晖nas使用教程里问得最多的一段

QuickConnect 最省事。控制面板的外部访问里勾选启用，记下一个 ID，在外面用这个 ID 就能连回来。它走群晖的中转节点，速度受带宽限制，传大文件偏慢，应急看文件、改设置足够。

想跑满自家上行带宽，得用 DDNS 加端口映射。外部访问的 DDNS 页里新增一条，群晖自带域名可以先试，也可以把自己的域名解析到公网 IP。前提是宽带真的拿到公网地址，多数家宽在运营商 NAT 后面，先打客服确认再往下做。

端口映射在路由器上配，把外部端口转到 NAS 的内网地址。不建议直接把 DSM 的 5000/5001 暴露在公网，登录爆破每天都在发生。

下面的片段放在有公网地址的 VPS 或软路由上，域名解析到那台机器。先签证书，再让 nginx 引用它：

sudo certbot certonly --standalone -d drive.example.com

server {
    listen 443 ssl;
    server_name drive.example.com;

    ssl_certificate     /etc/letsencrypt/live/drive.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/drive.example.com/privkey.pem;

    location / {
        proxy_pass http://192.168.1.20:5005;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

这里转的是 Drive 的 5005，不是 DSM 的 5000，管理界面照旧只在内网访问。Upgrade 与 Connection 两条不能省，否则文件管理、实时通知这类依赖长连接的页面会出问题；X-Forwarded-Proto 让套件知道外层已经是 https。群晖自带的反向代理服务器也能做同样的事，图形界面填来源和目标即可，证书在安全性页面导入。

不管走哪条路，两步验证都要开。安全性页面里启用 OTP，手机装个验证器，多一层成本很低。自动封锁也打开，连续失败几次就封 IP，能挡掉大部分脚本扫描。

快照、备份与掉电保护

RAID 不是备份。两块盘同时坏、误删、勒索加密都救不回来。要做的是一份异地或离线副本，Hyper Backup 能定时把共享文件夹推到外置硬盘、另一台群晖或者云存储，任务建完记得做一次还原演练。

Btrfs 的快照很轻。给重要文件夹建每天凌晨的计划任务，保留三十份左右，误删后几分钟就能回滚。

有 UPS 就插上 USB 线，控制面板能识别型号并设置断电后自动关机。没有 UPS 的话，至少把硬盘休眠关掉，机械盘频繁启停的损耗比一直转着更大。不少群晖nas使用教程几乎不提这一段，真出事时却最疼。

连不上时按这个顺序排查

连不上先看灯。STATUS 橙色常亮多半是硬盘或系统异常，蓝色闪烁说明正在启动或写入。风扇一直高速转，进硬件和电源页看温度，别急着拆机。

套件打不开、页面转圈，通常是内存吃满。资源监控里看哪个进程占着，媒体索引与人脸识别在建库初期很吃 CPU，等它跑完就恢复。

彻底进不去系统，长按 RESET 孔四秒重置网络与密码，数据不动；按更久会重装 DSM，套件要重新配置。动手之前先确认没有别的办法，这条是最后手段。

把群晖nas使用教程里的流程走完一遍，机器才算真正能用。决定体验的不是硬件参数，而是固定 IP、权限边界、外网入口和一份能还原的备份这四件事有没有做扎实。