@txydhr 对不起，我错了，我真不装监控。所以大胆来讨论了。向杠精下跪求饶。

有创意

@txydhr 好的，向杠精致敬，教育的是，我错了。

优先用 docker /compose ，它的数据你可以指定文件夹挂载，这个文件夹本身还可以再做快照。 如果用套件，文件是在 var/package 下面，你无法做过多操作，另外也涉及到部分套件需要用 root 权限，以及 iptable 操作，此时用 docker 版，就可以保持 NAS 系统的干净。
只有退求其次时，你才用套件。

给老人手机设置成家长模式，减少污染

@txydhr 摊手，这世界有很多不可能。各自安好就好

@txydhr 我从事了宽带安装 4 年，闭口不谈。

1. 你的设备应该尽可能的通过 redirect 、301 或者 web server 反代的方式，使各类服务尽可能共用同一个端口，比如所有的 web 服务都共用 5001 （群晖）。 然后在你的防火墙上就只开放这一个端口。
2. 家庭的服务应该尽可能使用非特权容器运行，比如 非特权 docker/LXC/LXD ；永远不要为了方便，授予你的容器特权。你可以找到各种非特权运行的方法
3. 家庭设备如果要远程登录，使用 ssh ，要禁用密码，使用密码；通常 linux 默认就禁止了 root 登录，永远不要为了方便而启用 root 使用密码。这很蠢，中文很多教程都教人安装后启用 root 的 ssh 密码登录，别学，这些人的核心逻辑就是“爱爱时不用 TT 也行，不见得会得病也不见得会怀孕”
4. 能安装 fail2ban 的就尽量安装。NAS 上能设置自动永久封锁帐户的，就一直开着。能打开防火墙的就要打开。
5. 尽量设置 ACL 防问规则。比如仅允许某一台特定设备才能连接其他设备。然后在这台设备上可以使用 vpn 等方式远程连接上来。这最大限度保障了即使有密钥泄露、即使又发生密码泄露，也能保证了家里网络的安全。
6. 当然你也可以在确保安全的前提下，使用诸如 headscale/ tailscale set —ssh 的方式，将 ssh 仅监听在 tailnet ，进一步保证安全性
7. 将你的密钥 key 一定要加上密码，在生成时就要加密码。不要担心麻烦，它保证了即使发生泄露，密钥也是安全地。

应该说颜色仅仅为了让人能区别出来，实际上线序只要两头能对上就行了。所以有可能线序是对的，颜色使用了安装人员自己习惯的

@BellaCampen app 上可选。或者在 linux 用 webclient 来自己选。

虽然你家里是公网 IP ，但不表示它在海外还是公网的，有些运营商会对 公网 IP 做 NAT ，以便于控制海外的出口流量。它会造成你在国内是真正的公网 IP ，但在海外是 NAT 的。
由于策略各不相同，没办法确认你的情况。

会，下一个问题。

你问得是 2 个不同的问题：公网 IP 只代表你的服务可以在公网展示； ddns 则是解决你公网 IP 不停变化的问题。
所以除非你是固定公网 IP ，否则你必需 ddns ……

我……是建议你，要建就建个 head scale ，它直接使用 tail scale 的客户端，所以也算方便，同时连接过程又是通过 wireguard 进行连接。
比 wireguad 好的地方是，极容易组成局域网，极容易指定 exit node （网络出口），比如我把家里的 nas 和欧洲、美国的 服务器都设置为 exit node ，这样手机上就可以随意在 3 都间切换。

有啊，ios 170.0 ，trollstore ，装 nicecaller ，原生的电话就变成 T9 智能匹配加通话录音。归属地这些附加功能也有。

@xpn282 是的，它当然可以。你试过就知道有什么不同了。

@xpn282 如果这样理解的话，由于 infuse 并不内置媒体源，所以媒体文件都属于“自建”，除非有个公用网站，所有人都能公共添加为播放源，这样才能算作是非自建。

无论哪一种后端，无论你文件名是什么，都可以手动匹配，而无需重命名文件。

引导式访问，你借给他一天都行。要解锁，只需要按 2 下电源，然后刷 face id ，或者按 3 下电源，输入你设置的密码（你可以忘记这个密码，只凭 facie id 就行）