家庭NAS外网安全访问方案：雷池WAF+FRP实战-雷池技术博客投稿

作为折腾NAS五年的老玩家，我曾被外网访问问题反复困扰，最终通过“FRP穿透+雷池WAF”组合彻底解决。本文分为「实战分享」和「完整教程」两部分，所有配置基于真实环境测试可复现，兼顾价值说明与实操落地。
一、实战分享：从痛点到解决方案的落地

1. 家庭NAS的核心痛点

• 无固定公网IP：Immich照片备份、Jellyfin追剧需连内网WiFi，外网无法随时访问；
• 端口被封禁：运营商禁用80/443端口，标准HTTP/HTTPS服务无法直接暴露；
• 安全风险高：直接用穿透工具暴露NAS，3天内遭遇十几次扫描器攻击，后台全是异常请求。

2. 方案效果与核心价值
   采用“阿里云轻量服务器中转+FRP穿透+雷池WAF防护”后，实现10个核心应用（Immich、Jellyfin、MoviePilot等）的安全外网访问，关键效果如下：

• 防护力扎实：雷池WAF个人版（v9.2.7）开机3小时处理请求4217次，拦截恶意攻击109次，含扫描器探测（42%）、SQL注入尝试（35%），个人网站拦截率3.6%，TrueNAS后台拦截率12.3%；
• 零成本运维：雷池免费版支持10个应用防护，集成Let's Encrypt证书自动申请/续期，无需手动管理；
• 轻量易部署：FRP与雷池均为Docker部署，2核2G阿里云服务器即可运行，CPU占用7%-10%，内存占用不足1GiB。

3. 为什么选雷池WAF？

• 免费且功能完整：OWASP Top 10攻击规则库全覆盖，精准拦截SQL注入、XSS等威胁；
• 集成能力强：反向代理+SSL管理+攻击防护三合一，无需额外部署Nginx或Certbot；
• 门槛低：官方提供一键部署脚本，非专业用户也能5分钟完成配置。
  二、完整教程：从零部署FRP+雷池WAF
  核心目标：打通“家庭NAS服务→FRP加密隧道→雷池WAF防护→外网安全访问”全链路。

1. 前置准备：环境与工具清单
   1.1 硬件资源

• 家庭NAS：TrueNAS CE 25.10.0，开启Docker功能（入门级CPU+8GB内存即可，我的配置：AMD EPYC 7513+384GB内存，三ZFS存储池）；
• 中转服务器：阿里云轻量应用服务器（深圳地域，2核2GiB+40GiB+200Mbps带宽，公网IP：47.107.74.253）。
  1.2 软件与资源
• 备案域名：2个主域名+N个子域名（阿里云解析，A记录指向中转服务器IP）；
• 工具：Docker+Docker Compose（NAS与服务器均需安装）、SSH工具（如FinalShell）。

2. 第一步：FRP穿透服务部署（核心链路）
   采用vaalacat/frp-panel镜像（带管理面板），官方文档：https://vaala.cat/frp-panel/
   2.1 中转服务器（FRP服务端）配置
3. 远程连接服务器，创建FRP目录并新建docker-compose.yml：
   version: '3'
   services:
   frpp-master:
   image: vaalacat/frp-panel:latest
   network_mode: host
   environment:
   APP_GLOBAL_SECRET: your_secret # 自定义密钥，客户端需一致
   MASTER_RPC_HOST: 47.107.74.253 # 服务器公网IP
   MASTER_RPC_PORT: 9001 # RPC端口（安全组需放行）
   MASTER_API_HOST: 47.107.74.253 # 同公网IP
   MASTER_API_PORT: 9000 # API端口（安全组需放行）
   MASTER_API_SCHEME: http
   volumes:
   • ./data:/data # 数据持久化
     restart: unless-stopped
     command: master
4. 启动服务端：docker-compose up -d
   2.2 家庭NAS（FRP客户端）配置
5. 在TrueNAS Docker界面创建FRP目录，新建docker-compose.yml：
   version: '3'
   services:
   frp-panel-client:
   image: vaalacat/frp-panel
   container_name: frp-panel-client
   network_mode: host
   restart: unless-stopped

   -s为服务端密钥，--api-url/--rpc-url替换为服务器域名/IP

   command: client -s your_secret -i nas-client --api-url https://frp.yourdomain.com:443 --rpc-url wss://frp.yourdomain.com:443
6. 启动客户端：docker-compose up -d
7. 验证：访问http://中转IP:9000，确认客户端“在线”状态。
8. 第二步：雷池WAF部署（安全防护核心）
   3.1 快速部署雷池
9. 远程连接中转服务器，执行官方一键脚本：
   # 执行部署脚本
   bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)"
10. 访问后台：http://中转IP:9443，用账号admin和ssh显示的管理员密码登录。
    3.2 应用防护配置（以Jellyfin为例）
    每个NAS应用配置独立规则，其他应用可复用模板：
11. 后台左侧「应用管理」→「添加应用」；
12. 基础信息：应用名“Jellyfin”，域名“jellyfin.你的域名.cn”（提前解析），端口默认80/443；
13. 反向代理：后端地址填IP+原生端口（如localhost:8096）；
14. 自动HTTPS：勾选「申请Let's Encrypt证书」，系统自动完成DNS验证与部署；
15. 确定生效：1分钟后即可通过HTTPS安全访问。
    按此步骤配置Immich、MoviePilot等，雷池个人版支持10个应用。
16. 第三步：关键配置与运维要点
    4.1 网络权限必配
    阿里云安全组需放行3类端口：FRP（7000/9000/9001）、雷池（80/443/9443），NAS内网允许FRP客户端出站。
    4.2 避坑指南

• FRP连接失败：检查服务端/客户端密钥一致，安全组端口放行。

三、总结：高性价比方案的核心优势
这套方案每月成本不到50元（阿里云服务器），却实现企业级防护效果：无公网IP也能稳定访问，HTTPS零运维，3小时拦截百次攻击。对家庭NAS用户而言，它不是复杂技术堆砌，而是“痛点-解决方案”的精准匹配，值得直接抄作业。
附：测试环境信息
雷池WAF版本：9.2.7（个人版）
FRP版本：0.52.3
NAS系统：TrueNAS CE 25.10.0
中转服务器：阿里云轻量应用服务器（2核2GiB，华南1区）
雷池技术博客投稿