外观
安全检查清单
装好、改完配置之后，照这一页走一遍。每项都有检查方法和通过标准；没通过的，点「详见」去修。以后每次改了网络、端口、账号或升级大版本，再走一遍。
账户与登录
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
admin 默认密码已改 | 用无痕窗口试 admin / openmediavault | 登录失败 | 管理员账户 |
| 每个管理员有自己的账号 | OMV 的 shell 里运行 getent group openmediavault-admin | 成员只有你认可的人 | 管理员账户 |
| 普通用户没有多余的组 | 同样用 getent group _ssh sudo 查看 | 只有确实需要的人在里面 | 管理员账户 |
| 管理员已开两步验证，并验证过恢复流程 | 用户 → 2FA TOTP（Users → 2FA TOTP）的列表里，管理员账号的已启动打勾 | 打勾，且你在测试账号上演练过恢复 | 两步验证 |
| root 的密码是长口令 | 安装时设置的，想不起来就重设 | 不是简单口令 | 忘记管理员密码 |
Web 界面
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
| 已启用 HTTPS，并强制使用 | 系统 → 工作台 → 设置（System → Workbench → Settings） | 已启用SSL/TLS 和 强制使用 SSL/TLS 都勾选 | Web 界面安全 |
| 自动注销没被禁用 | 同一页的自动注销 | 不是禁用，建议 5 到 15 分钟 | Web 界面安全 |
| 证书没过期 | 系统 → 证书 → SSL（System → Certificates → SSL）的有效期列 | 距到期还有足够时间 | 证书 |
SSH
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
| root 不能 SSH 登录 | OMV 的 shell 里运行 sshd -T 再看 permitrootlogin | no | SSH 加固 |
| 只接受公钥 | 看 passwordauthentication | no，且你有一个能用的公钥账号 | SSH 加固 |
| TCP 转发是关的 | 看 allowtcpforwarding | no | SSH 加固 |
查看这三项用的是一条只读命令：
sh
# 在 OMV 的 shell 里，以 root 身份
sshd -T | grep -E '^(permitrootlogin|passwordauthentication|allowtcpforwarding) '暴露面
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
| 路由器上没有指向管理入口的端口映射 | 登录路由器，列出端口映射和 UPnP 映射 | 没有 OMV 的 Web 端口、22、445、2049、21 等 | 远程访问 |
| 路由器关闭了 UPnP | 路由器设置页 | 关闭 | 远程访问 |
| 从外网访问不了 NAS | 关 Wi-Fi，用手机流量访问公网 IP | 打不开 OMV 登录页 | 远程访问 |
| 监听的服务都认识 | OMV 的 shell 里运行 ss -tulnp | 没有看不懂的服务监听在所有地址上 | 防火墙规则 |
| 不用的服务已关闭 | 服务 菜单下的 FTP、NFS、Rsync 服务器、SNMP、TFTP 等 | 没在用的都是未启用 | 文件共享服务 |
| 启用了 IPv6 的话，IPv6 也检查过 | 路由器的 IPv6 防火墙，以及 网络 → 接口（Network → Interfaces） | 没有意外对外可达的服务 | IPv6 |
| 容器发布的端口都是必要的 | 服务 → Compose（Services → Compose）的端口页或 docker ps 的 PORTS 列 | 管理类后台没有映射到所有地址 | Docker 与应用 |
共享与权限
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
| SMB 共享没有无意的访客访问 | 服务 → SMB/CIFS → 共享（Services → SMB/CIFS → Shares）里每个共享的公开项 | 都是否，除非你明确需要 | SMB 基础 |
| 共享按组授权，权限最小 | 存储器 → 共享文件夹（Storage → Shared Folders）的权限 | 每个人只有该有的读写权限 | 三层权限 |
更新与监控
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
| 邮件通知可用 | 系统 → 通知 → 设置（System → Notification → Settings）发测试邮件 | 收得到 | 配置邮件通知 |
| 通知事件开着 | 系统 → 通知 → 事件（System → Notification → Events） | 验证（登录提醒、账户锁定）等事件已勾选 | 管理员账户 |
| 没有积压的更新 | 系统 → 更新管理 → 更新（System → Update Management → Updates），或仪表盘的系统更新小部件 | 没有拖了很久的更新 | 系统更新 |
| 偶尔看一眼认证日志 | 诊断 → 系统日志（Diagnostics → System Logs）选 auth | 没有陌生来源的成功登录 | 查看系统日志 |
| 对外开放服务时有封禁机制 | 诊断 → 服务 → Fail2ban（Diagnostics → Services → Fail2ban） | 启用了合适的 jail，且你自己的网段在忽略 IP 里 | Fail2ban |
数据与备份
| 检查项 | 怎么查 | 通过标准 | 详见 |
|---|---|---|---|
| 有独立于 NAS 的备份 | 你的备份计划 | 重要数据至少有两份，不在同一台机器上 | 备份策略 |
| 恢复演练过 | 做一次真实恢复 | 恢复出来的数据能用 | 恢复演练 |
| 有一份离线或异地副本 | 拔掉连接的备份盘，或放在别处 | 勒索软件加密 NAS 时，这份不会一起被加密 | 异地与云端备份 |
| 硬盘健康有人盯 | 存储器 → S.M.A.R.T.（Storage → S.M.A.R.T.）已启用且有邮件告警 | 出现预警能第一时间知道 | S.M.A.R.T. |
冗余（RAID、Btrfs RAID1、ZFS、SnapRAID）防的是坏盘，防不了误删、勒索、配置改崩和整机损坏。只有独立备份能防这些。