從外面連回家裡的 Home Assistant：四種做法的完整設定與風險

charles

這篇的內容（39 段）

1. 做完這篇你會有什麼
2. 先講一件絕對不要做的事
3. 1-1 開兩步驟驗證
4. 1-2 開登入失敗封鎖
5. 你會看到什麼
6. A-1 安裝附加元件
7. A-2 登入
8. A-3 手機也裝上
9. A-4 先用最笨的方法驗證一次
10. A-5 開 MagicDNS 與 HTTPS 憑證
11. A-6 讓 HA 信任反向代理
12. A-7 開啟 Serve（不要開 Funnel）
13. 你會看到什麼
14. A-8 設定手機 App
15. Tailscale 的優缺點
16. B-1 安裝附加元件
17. B-2 準備一個能連回家的名字
18. B-3 設定附加元件
19. 四個一定要注意的地方
20. B-4 在路由器上轉發通訊埠
21. B-5 啟動並取得用戶端設定
22. B-6 手機匯入
23. B-7 驗證
24. 你會看到什麼
25. B-8 一個很實用的設定
26. C-3 它順便給你什麼
27. C-4 資料經過誰
28. D-1 先決條件
29. D-2 安裝 cloudflared 附加元件
30. D-3 設定主機名稱
31. D-4 讓 HA 信任附加元件的網段
32. D-5 啟動並授權
33. D-8 一個加分項
34. 具體差在哪裡
35. 正確的測法
36. 你會看到什麼
37. 你會看到什麼
38. 四條路怎麼選
39. 自我檢查

這篇從「什麼都還沒設定」開始，做到你人在外面、用行動網路就能打開 Home Assistant，而且家裡的路由器一個埠都沒有對外打開。四種做法各有完整步驟。

每一步都有「你會看到什麼」。做完第三步能自己確認第三步成功了，才走第四步。



做完這篇你會有什麼

• 一條從外面連得回家的路，而且你知道它的風險在哪裡
  
• 一份驗證過的「真的是從外網進來」的測試結果，不是在家裡自己騙自己
  
• HA 的兩步驟驗證與登入失敗封鎖都設好了
  
• 一條「遠端連線斷掉時會通知你」的自動化
  

---

先講一件絕對不要做的事

不要把 Home Assistant 的 8123 埠直接轉發到網際網路上。這是官方文件也明講的一條。

理由不是「理論上有風險」，是每天都在發生：

• 全世界的掃描機器人二十四小時在掃常見埠。8123 是 HA 的預設埠，它在所有掃描清單裡
  
• 被進去之後，對方拿到的不是「一個網頁」，是你家所有裝置的控制權 —— 包括電子門鎖、車庫門、攝影機的即時畫面
  
• HA 的登入頁預設沒有速率限制（要自己開，見步驟 1-2）
  
• 而且家用寬頻的 IP 很少換，被掃到一次就會一直被回訪
  

下面四條路都沒有這個問題。四條裡有三條是「家裡的路由器完全不用開任何埠」。

---

步驟 1：四條路共用的前置作業（不做這個，後面都是白搭）

1-1 開兩步驟驗證

左下角點自己的名字 → 安全性分頁 → 多重要素驗證 → 啟用。用手機的 Google Authenticator 或 Authy 掃 QR code。

⚠ 把那串備用代碼存起來，存在手機以外的地方。手機掉了又沒有備用碼的話，你就進不去自己的 HA 了。

你會看到什麼：登出再登入一次，輸入帳密之後應該多出一個六位數驗證碼的欄位。沒有多這一格代表沒設成功。

1-2 開登入失敗封鎖

在 configuration.yaml 的最外層（頂格）加上：

1. http:
2.   ip_ban_enabled: true
3.   login_attempts_threshold: 5

複製代碼

重啟 HA。之後同一個 IP 連錯五次密碼就會被寫進 `/config/ip_bans.yaml` 並永久擋掉。

你會看到什麼：故意用錯的密碼登入六次（用無痕視窗，不然你自己也會被鎖），第六次之後頁面連載入都載不出來。到檔案編輯器看 `/config/ip_bans.yaml`，裡面會有一行：

1. 192.168.1.50:
2.   banned_at: "2026-09-25T10:14:02"

複製代碼

解除封鎖就是把那幾行刪掉再重啟 HA。

1-3 確認你家是不是 CGNAT —— 這一步決定你有沒有得選

CGNAT 是電信業者把好幾戶人家共用一個對外 IP 的做法。在 CGNAT 底下，連接埠轉發完全無效，因為那個對外 IP 不是你一個人的。

判斷方法（兩個數字比一比）：

• 數字 A：登入你家路由器，找「WAN IP」或「外部 IP」
  
• 數字 B：用家裡的電腦開瀏覽器搜尋「what is my ip」，看網站告訴你的那個
  

你會看到什麼

• A 和 B 一模一樣 → 你有真實對外 IP，四條路都可以走
  
• A 是 `100.64.x.x` 到 `100.127.x.x` 之間 → 這是 CGNAT 的保留網段，確定是 CGNAT
  
• A 是 `10.x.x.x` 或 `172.16～31.x.x` 而 B 是別的 → 也是被上游 NAT 了
  

是 CGNAT 的話，路線二（自架 WireGuard）直接排除，走路線一、三、四。

---

路線一：Tailscale —— 最少步驟，而且 CGNAT 也能用

Tailscale 是一套「幫你把 WireGuard 的麻煩部分自動處理掉」的服務。裝置之間直接打洞連線，連不通時才幫你中繼。家裡的路由器一個埠都不用開。

⚠ 第一個坑：HA 裡有兩個東西都叫 Tailscale

• Tailscale 整合（Integration） —— 這個是唯讀的，只會顯示你 tailnet 裡有哪些裝置。裝了它你還是連不回家。
  
• Tailscale App（附加元件 / Add-on） —— 這個才是你要的
  

很多人裝錯這個，然後在「為什麼還是連不上」上面卡半天。

A-1 安裝附加元件

設定 → 附加元件 → 附加元件商店，搜尋 Tailscale，安裝後按啟動。

以下還有約 81% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入