從外面連回家的風險評估：連接埠轉發到底有多危險，以及怎麼自己驗證

charles

這篇的內容（14 段）

1. 這篇會做完的事
2. 這篇用的版本
3. 1-1 查自己的對外 IP
4. 1-2 從手機測
5. 步驟 2：認清掃描的實際速度
6. 4-1 去把門檻填上
7. 4-2 驗證它真的會封
8. 4-3 解除自己的封鎖
9. 6-1 多重驗證
10. 6-2 盤點所有帳號
11. 6-3 盤點長期存取權杖
12. 8-1 建一個計數器
13. 8-2 抓日誌事件
14. 最後一個提醒

「我想在公司也能看家裡的攝影機」這個需求很自然，但做法之間的安全性差距不是一點點。這一篇不比較哪個好用，而是把攻擊面攤開來算：你現在暴露了什麼、被打進來會發生什麼、以及怎麼用自己手上的機器驗證防護有沒有真的生效。



這篇會做完的事

• 從外面實際量一次自己的攻擊面（不能從家裡的網路測，會得到相反的答案）
  
• 打開並讀懂失敗登入的紀錄
  
• 確認 Home Assistant 的 IP 封鎖有沒有真的在運作 —— 它預設是開的，但預設設定下不會封任何人
  
• 設定反向代理時那兩個最常卡關的參數，以及設錯時的兩種相反症狀
  
• 開啟多重驗證並盤點所有還活著的存取管道
  
• 寫一條「有人在嘗試登入」的通知自動化
  

四種連法（連接埠轉發、反向代理、VPN、Home Assistant Cloud）的完整安裝步驟站上另有專篇；這一篇專講風險與稽核，上面每一項都會寫完整。

這篇用的版本

Home Assistant 穩定版 2026.9.3。

⚠ 這篇裡最重要的版本變動：2026.8 起，http: 的設定從 configuration.yaml 搬到 UI 了。 位置是 設定 → 系統 → 網路 的 HTTP 伺服器 區塊。網路上 2026.8 以前的教學會叫你去編 configuration.yaml，那些步驟現在對不上畫面。

升級時舊的 http: 區塊會在第一次啟動時被匯入 UI，但你要自己把 configuration.yaml 裡那一段刪掉才算遷移完成。

⚠⚠ 沒刪掉的症狀特別會騙人：UI 上那些欄位會變成灰色、改不動，而且不會告訴你為什麼。 很多人會以為是權限問題或版本有 bug，其實是「設定還留在 YAML 裡，所以 UI 讓位」。看到灰色欄位，第一件事是回去看 configuration.yaml 還有沒有 http: 這一段。

YAML 的寫法會支援到 2027.2 為止，之後就只剩 UI。現在就遷移比較省事。

另一個容易踩到的變動：2026.8 起 Home Assistant OS 的新安裝預設用 80 埠，不再是 8123（Container 安裝維持 8123）。下面提到連接埠時，請換成你自己那台實際在聽的埠。

步驟 1：先量自己現在暴露了什麼

⚠ 這一步不能從家裡的 Wi-Fi 做。 從內網連自己的對外 IP，封包多半根本沒出家門（路由器的 hairpin NAT 會直接繞回來），你會看到「連得上」而誤以為外面也連得上；也可能反過來，路由器不支援 hairpin 而讓你以為沒開。兩種錯誤方向都有，所以內網測的結果不能當證據。

正確做法：拿手機，關掉 Wi-Fi，用行動網路。

1-1 查自己的對外 IP

在家裡任何一台電腦的瀏覽器打開任何一個「查我的 IP」網站，或在終端機打：

1. curl -s https://api.ipify.org

複製代碼

你會看到一串像 114.32.80.149 的數字。記下來。

看到的是 10.x.x.x、100.64.x.x～100.127.x.x 或 172.16～31.x.x → 你在電信業者的 CG-NAT 後面，根本沒有對外 IP。這代表連接埠轉發對你無效（設了也連不到），而 VPN 也要走中繼。這本身是好消息：你的攻擊面天生就小很多。

1-2 從手機測

手機關 Wi-Fi，瀏覽器輸入 http://你的對外IP:8123（或 80、或你自己設的埠）。

三種結果，意思完全不同：

• 出現 Home Assistant 的登入畫面 → 你的 Home Assistant 正在被全世界掃描。往下看步驟 2 的數字，然後做完整篇
  
• 一直轉圈最後逾時 → 沒開，或被防火牆擋掉。這是最好的結果
  
• 出現路由器的登入畫面 → 更糟。你的路由器管理介面開在外網，那是比 Home Assistant 更值錢的目標。立刻去關掉（通常在「遠端管理」或「WAN 端存取」）
  

1-3 順便查路由器上到底轉了哪些埠

登入路由器管理介面，找 連接埠轉發 / 虛擬伺服器 / Port Forwarding / NAT 轉發（各家名稱不同，通常在「進階設定」底下）。

你會看到一張表，每一列是「外部埠 → 內部 IP:內部埠」。

把這張表拍照存起來，然後逐列問自己「這是誰、什麼時候加的、現在還需要嗎」。 實務上最常見的是三年前為了某個 App 加的規則一直留著，而那台機器早就換掉了 —— 現在那個埠轉到的是 DHCP 重新發給別台機器的 IP。

看到 UPnP 是開啟的 → 這代表內網任何一支程式都可以自己去要求路由器幫它開埠，而且不會通知你。家裡沒有特別需要的話關掉它，然後回 1-2 再測一次。

步驟 2：認清掃描的實際速度

很多人對「會被掃」的想像是「總有一天」。實際的數字比那個快非常多：

以下還有約 81% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入