Home Assistant 資安加固：九個步驟，從備好退路到關掉對外入口

charles

這篇的內容（16 段）

1. 先講一件會害你卡住的事
2. 步驟 0：確認你現在是哪一版
3. 步驟 1：先備好退路，再上鎖
4. 如果你是 Container 版（Docker）
5. 步驟 2：開兩步驟驗證
6. 步驟 3：開 IP 自動封鎖
7. 3-1 先清掉 YAML 裡的殘留
8. 3-2 設定 IP 封鎖
9. 3-3 驗證它真的會封人
10. 5-1 先確認自己到底有沒有開
11. 選項 B：Tailscale
12. 選項 C：WireGuard
13. 5-3 關掉轉發，再測一次
14. 步驟 7：家人用非管理員帳號
15. 做完之後的自我檢查
16. 還想繼續往下做的話

Home Assistant 管得到你家的門鎖、攝影機和所有電器。它被打進去的後果，跟網銀被盜刷不是同一個量級 —— 網銀還有爭議款可以申訴，門鎖被打開沒有。



這一篇把九個步驟從頭做完，每一步都告訴你做完之後畫面上會出現什麼、以及沒出現代表哪裡沒設好。做完之後你會有：兩步驟驗證、一條你自己驗證過的救命通道、一個會自動封鎖爆破者的 HA、一個從外網連不到的 8123 埠，以及一份能安心貼上網求助的日誌。

先講一件會害你卡住的事

Home Assistant 2026.8 把 `http:` 這一整塊設定從 YAML 搬進了圖形介面。

網路上絕大多數「HA 資安」的教學都是叫你在 `configuration.yaml` 裡加這兩行：

1. http:
2.   ip_ban_enabled: true
3.   login_attempts_threshold: 5

複製代碼

現在照著做的結果是：它還是會動（所以你不會馬上發現有問題），但同時會發生三件事 ——

• 升級後第一次啟動，HA 會把你的 `http:` 區塊自動匯入 UI，然後在 設定 → 系統 → 修復 掛一個提醒，要你把 YAML 裡那段刪掉
  
• 只要那段還留在 YAML 裡，UI 上對應的欄位就是灰色的、點不動。很多人以為是介面壞了
  
• YAML 寫法會在 2027.2 停止支援
  

官方原文是這樣寫的：「The first time Home Assistant starts after you upgrade, your existing `http:` block is imported into the UI, and a repair issue is raised under Settings > System > Repairs to remind you to remove it.」

所以下面步驟 3 會走 UI，不走 YAML。如果你的 `configuration.yaml` 裡現在還有 `http:` 區塊，先做步驟 3 的第一小步把它清掉，後面才改得動。

步驟 0：確認你現在是哪一版

到 設定 → 系統 → 一般，或直接開 設定 → 關於。

你會看到三行版本號，長得像這樣：

1. Home Assistant 2026.9.3
2. Supervisor 2026.09.1
3. Operating System 18.3

複製代碼

• 第一行是 2026.8 或更新 → 照這一篇做，步驟 3 走 UI
  
• 第一行比 2026.8 舊 → 先把 HA 升上去再回來。低於 2026.8 的版本沒有 UI 那一頁，而且你正在用的是一個已經停止修安全漏洞的版本
  
• 看不到 Operating System 那一行 → 你跑的是 Container 版，不是 HA OS。這一篇除了步驟 2 的救援指令不同（下面會分開寫），其餘都一樣
  

順手把這個版本號記下來，步驟 2 跟步驟 4 都會用到。

步驟 1：先備好退路，再上鎖

這一步一定要排在兩步驟驗證前面。

理由很實際：兩步驟驗證的秘鑰只存在你手機的那一個 App 裡。手機掉了、換機沒轉移、App 被誤刪 —— 這三件事任何一件發生，你就再也登不進自己的 HA，而 HA 官方明文寫著「You cannot recover an owner password from within Home Assistant.」 系統內部沒有任何救援管道。

所以先把救命通道走一次，確認它真的通，再去開鎖。

如果你是 HA OS（綠盒子、Yellow、樹莓派燒 HAOS、虛擬機）

救援必須在裝置本機的主控台下指令。「本機主控台」的意思是：

• 虛擬機（Proxmox、VMware、VirtualBox）→ 打開虛擬機的主控台視窗
  
• 樹莓派 / 迷你主機 → 接一個實體鍵盤和螢幕上去
  
• Home Assistant Green / Yellow → 照官方硬體文件用 USB 序列埠連進去
  

進去之後先打一行：

1. auth list

複製代碼

你會看到目前所有帳號的清單，大概長這樣：

以下還有約 82% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入