活用 NAS 全攻略:不想 NAS 在網上裸跑? 安裝 QuFirewall 防火牆,幫你預防網絡攻擊

- 18座大王 - 2021-03-02

在資訊科技的世界裏的產物,大家往往都只著眼於強大、實用的功能,而對於資訊安全方面卻是不少人忽視的地方。特別是對於連接至互聯網等公開網域的設備,其保安管理是十分重要的一環。而隨著近年自媒體、個人 vlog 拍攝的興起,再加上近期 Google 宣佈取消免費無限儲存的相簿服務等推動下,NAS 成為了網絡設備的人氣,甚至不少「初哥」紛紛入會。為此,大王今次將會教大家為 NAS 建立一個防火牆,利用簡單的通訊規則就能大幅降低裝置被攻擊、入侵的風險。

本次文章同樣地會以台灣 NAS 一線大廠 QNAP 的平台作為教學。於 QNAP 的 NAS 作業系統中 (包括 QTS、QuTS hero),原廠提供一個名為 QuFirewall 的應用免費供用家使用。由命名顯然可見它是一款「防火牆」應用程式,可以保護其設備防範外部攻擊。這個 QuFirewall「防火牆」的運作原理,主要是透過加入不同的通訊規則,去限制連接 NAS 設備的裝置、網域範圍、IP 地區、使用的通訊埠等等,從而大幅降低被攻擊的風險。換言之,當防火牆的通訊規則設定得愈精細,只準許信任區域內的裝置連接,那黑客攻擊該設備的難度將大大提升。此外,QuFirewall 防火牆亦設有通知機制,當發現到可疑的連接或過多被拒絕的不合通訊規則連接請求時,就會通知使用者,以及早作出警戒、預防受到進一步的攻擊。

除了加設「防火牆」之外,還有不少的設定與功能,可以讓你的 NAS 設備更安全,此方面大家可以參考大王之前的這篇文章

應用下載

以管理員帳號登入 NAS,找到並打開 App Center 應用。然後於「搜尋框」內輸入 QuFirewall,然後再於搜尋結果中將 QuFirewall 點選「安裝」,完成安裝後並將其「開啟」。

初始化防火牆

首次開啟 QuFirewall 時,會彈出一個簡易設定頁面,按下「開始」正式進行設定

之後的頁面蟬述了 QuFirewall 與原本的安全控管功能的整合,簡單檢視後再按「下一步」

接下來頁面提供三個預設「設定檔」供用家選擇,這一步大王建議先選擇「基本保護」,稍後再詳細設定,然後再按「下一步」

待安裝完成後,打開「QuFirewall」應用程式。然後系統就會跳出「開始使用」的設定精靈,第一步先按下「開始」進入基本設定步驟;之後的頁面蟬述了 QuFirewall 與原本作業系統的安全控管功能的整合,簡單檢視後再按「下一步」;接下來頁面會提供三個預設的「設定檔」可供選擇,這一步大王建議先選擇第一項的「基本保護」,然後再按「下一步」。

在「GeoIP」一步,只要選回 QNAP NAS 裝置的地理位置,就可以再按「下一步」

到最後一頁,只要再按「完成」就完成基本的防火牆規則建立

到了「GeoIP」設定的版面,只要選回 QNAP NAS 裝置的地理位置,就可以再按「下一步」;最後顯示你已完成建立防火牆設定檔,並預設剔上了「啟用防火牆」,只要再按「完成」,QuFirewall 就能正式啟用了。之後就會來到 QuFirewall 的主頁。

情境模擬

本次 QuFirewall 上選取 basic protection 設定檔的規則

本次模疑的連接例子

這個是在 QuFirewall 中,三個預設「設定檔」的「basic protection」,而本次將會以這個設定檔作為模擬情境。而這些設定檔的規則,防火牆是由上至下的順序讀取,故「允許」的規則將會先排,「拒絕」的將會放到最後,若果將這例子將最底部的兩項「拒絕」放到最頂,則全部連線皆會被擋住,所以在進行設定時務必留意。

  • 來自「中國」、「俄羅斯」等非「香港」IP,在頭 3 行的允許規則上皆不符合,故未能獲得防火牆放行,而直到第 4 行的規則就被擋住,拒絕連線了。
  • 而來自「香港」的 IP,將去到第 3 行的規則下,終於通過被放行了。
  • 來自 192.168.50.x 的內聯網的設備,只要是經 Adapter 2 的 LAN Port 連線的話,則會被第 2 行的規則放行,否則將會到第 3 行的規則才會通過。

提一提醒大家的是,若果需要在去旅行時,存取 NAS,建議先加入旅行地點的 IP 地區為「允許」,這樣就可以免去在旅行地點上,需要用 VPN 連回香港才能登錄 NAS 的步驟。

進階設定

當基本設定已完成後,就會進入到 QuFirewall 的主頁

在右方的「編輯」按鈕可為每一個「設定檔」進行編輯、加入更多規則等動作等等

在這裏你可以新增、刪除規則或者編輯現有規則,加入新規則只要在右上角按下「新增規則」

你甚至可以為而每條規則套用特定某個 LAN Port 及使用的通訊協定

如此例子,將界面設定為「Adapter 2」,來源地區設定為「Taiwan」

將剛剛新增的規則拖到第 3 行的排序,完成後再按「套用」

完成後回到防火牆主頁,並能再次確認更新後的設定檔規則

在加入上述新規則到「Basic protection」設定檔後,此設定檔上,來自「台灣地區」的 IP 及「192.168.50.0/24」內聯網只能經由「Adapter 2」LAN Port 進入,而所有介面皆允許來自「香港地區的」IP 進入,至於非以上條件及其他「地區」的 IP 皆不允許通常防火牆。

另外,QuFirewall 亦設有另外 2 個預設檔,不過不建議一般用家使用「Restricted Secirity」,由於其採用高度嚴謹的設定,所以若對「網絡」的認識不多的話,很容易導致不能連接上 NAS 設備,以致需要將 NAS 系統 reset。

其他功能概覽

防火牆事件

在「防火牆事件」中,記錄了在各時間段內,被拒絕封包數量

在設定頁面上,可設定記錄事件的頻率、儲存日數及警示訊息的觸發數字

在防火牆事件中,可於 「設定」頁面設定記錄事件的頻率、儲存日數及警示訊息的臨界值。當被拒絕的封包數達到設定的臨界值後,在「通知中心」便會記錄「警告」等級的系統記錄。同時在這些被拒絕封包與「警告」的數量異常地多的時候,便有機會是受到攻擊嘗試,建議此時到「擷取事件」錄取拒絕封包的記錄,並可嘗試更換連網的 Port。

擷取事件

QuFirewall 的「擷取事件」可讓用家設定一段時間內,對拒絕的封包進行詳細的記錄,包括對攻擊來源、通訊協定及服務連接埠進行深度檢查。這些記錄有利於管理員找出 NAS 最近是否受到攻擊,並更容易去製定合適的措施。

通知設定

點選「通知設定」後,便會進入到 NAS 的「通知中心」,並彈出對 Qufirewall 的通知設定

在「通知條件」可設定通知的嚴重性、加入關鍵字篩選以及發生時間範圍

大王建議普通用戶可以將「資訊」取消,否則你將會收到所有 QuFirewall 訊息,並將訊息推送給你。同時,你亦加以在「關鍵字篩選」中加入一些訊息中「須包含」、「不包含」的字眼,符合篩選才會發送訊息給你。

在通知的方式有 4 種類型,包括 Email、即時通訊程式、短訊和推播。當中的「即時通訊程式」方式,目前就支援 Facebook messager、Skype。

「摘要」將會列舉剛才所有的通知設定,如有錯誤可返回上一步更改

完成所有設定後,最後一步在「摘要」檢查所有設定是否正確,之後便可以按「完成」。之後,QuFirewall 防火牆便會以設定的「通知原則」,按使用者所選的「通知方式」,進行通知提醒。