我在 NAS 上运行 Synology 的 DSM torrent 客户端。由于我必须（？）打开并转发一个用于 DHT 的 UDP 端口和另一个用于数据传输的（UDP/TCP）端口，因此我将自己暴露在来自互联网的威胁之下。如果我不这样做，我就绕过了洪流网络的目的，成为了一个 leecher。
尽管我无法找到任何针对 Synology 下载管理器的漏洞利用，但我仍然不能放心我可以感到“安全”（顺便说一句，我是一个快乐的人，并保持我所有的系统都是最新的）。但是，根据定义，NAS 拥有大量数据，并且想到一些勒索软件通过这个开放的 torrent 服务攻击我的 NAS，这让我不寒而栗。
不幸的是，下载管理器本身不能在另一个网段 (DMZ) 中运行，然后是由 NAS 托管的其他服务。即使可以，打开套接字的进程仍将在相同的物理硬件上运行。
长话短说。如何防止洪流客户端被利用？是否有一些通过中继服务共享数据的被动方式，以便我可以保持端口关闭？
端口转发本身的行为不太可能成为主要的安全问题。风险来自 BitTorrent 协议非常复杂的事实，并且它的库也必然复杂。任何时候你有代码解析复杂的攻击者控制的数据结构，你就有被利用的风险。
可以使用各种形式的沙盒来强化 torrent 客户端。不同的操作系统对此有不同的技术，例如 Linux 系统上的 AppArmor、OSX 上的安全带和 Windows 上的 AppLocker。这些都是限制单个程序功能的框架，称为强制访问控制或 MAC。受限程序称为主体，它希望访问的资源称为对象。一个主体可以被限制为只能访问某些对象（即使那样，也只能对所述对象执行有限的操作），或者可以将对象标记为只有某些主体可以访问。这种通用技术对于防止受损的应用程序造成很大的危害很有用。
另一个更完整的解决方案是使用种子箱。种子箱是运行 torrent 客户端的远程服务器。待下载的种子上传到服务器，完成后可以通过直接连接（通常是http、ftp、sftp或rsync）下载。即使在您的计算机关闭或网络关闭时，种子盒也能够继续播种和提取，并且不受 ISP 施加的带宽上限的限制。但是，在这种情况下，它们还提供了额外的好处，即隔离种子箱本身对 torrent 客户端的任何妥协。
将所有数据保存在 NAS 上确实会带来勒索软件的风险。只想分发此类恶意软件的攻击者不太可能在完全最新的 torrent 客户端上刻录 0day。这种攻击要先进得多。但是，为了总体上降低勒索软件的风险，您应该将最重要的备份保存在离线存储中。这不仅对于避免勒索软件很重要，而且对于避免灾难性的文件系统损坏（即使 RAID 也无法防止）也很重要。您应该使用3-2-1 备份规则。这表明您应该保留3个您不想丢失的任何数据的副本，2 个在不同类型的存储介质上，1 个在异地。
您对信任您的数据的 NAS 公司有多大的安全感？
没有必要把它们扔掉。更好的隔离始终是解决方案。
然而，实际的解决方案是什么？
我认为自己强化 NAS 操作系统。