安全与远程访问

OMV 刚装好时默认「信任整个局域网」：Web 界面走明文 HTTP，管理员 admin 的默认密码是公开的，root 还能用密码 SSH 登录。局域网里任何一台中毒的电脑，都能直接去撞这些入口。

这一章把入口一个个收紧，并回答最容易出事的那个问题：人不在家，怎么访问 NAS。

本章文章

Web 界面安全：HTTPS、端口与自动注销：在 系统 → 工作台（System → Workbench）启用 HTTPS、改端口、设置自动注销，改坏了用 omv-firstaid 救回来。
证书：自签名、导入与 Let's Encrypt：创建和导入 SSL 证书，以及为什么 Let's Encrypt 在 OMV 上要手动导入。
管理员账户与最小权限：admin、openmediavault-admin 组、普通用户能做什么，以及账户被锁定怎么办。
两步验证：TOTP 与邮件验证码：两个官方 2FA 插件的启用步骤，以及丢了验证器怎么恢复。
SSH 加固：先建一个能用的 sudo 用户，再关 root 登录和密码登录。
用 Fail2ban 封禁暴力破解：omv-extras 的 Fail2ban 插件，默认值里有几处容易误伤自己。
远程访问：别把 NAS 直接暴露到公网：VPN 优先，反向代理加 HTTPS 其次，端口映射是最后手段。
安全检查清单：一页纸过一遍，每一项都给出检查方法。

管理入口（Web 界面、SSH）不直接暴露到公网；人不在家，走 VPN。 暴露得越少，要加固的东西越少。

默认密码已经改掉；root 不能再用密码 SSH 登录；管理界面走 HTTPS，且不暴露到公网；需要远程访问时走 VPN；你知道管理员丢了验证器或被锁定后怎么恢复。