如何减少 NAS 端口暴露至公网

NAS 的域名是 example.com ，部署了 SSL 证书，上面有若干敏感服务，例如端口号是 1234 ，将其映射到公网，防火墙放行，通过访问 https://example.com:1234 获得服务。
一段时间后被爆破攻击，考虑隐藏这个端口，不再暴露至公网，防火墙不再放行。考虑引入一种验证机制，验证通过后直接访问 https://example.com:1234 获得服务，允许在服务端和客户端进行配置，配置好后应当自动完成这种验证，无需用户手动操作，有何较好的方案

docker 部署个 ss ，vmess 啥的

写个规则，在外先回家，再访问 nas 。

Port Knocking

通过子域名做反向代理

用 VPN 。我路由器上直接配置拒绝所有由公网到内网的连接，简单粗暴。

HTTPS 双向验证

用雷池 WAF 挡一下。

家庭网络告别裸奔：群晖一键部署雷池 WAF 防火墙教程： https://xuanyuan.me/blog/archives/908

自己的就 vpn 回家，通过内网连。需要公共就 fail2ban 。我群晖的端口都不放公网了

我用的是 pomerium ，直接把所有需要验证的服务都丢到反向代理后面去就行了

参考 https://fshex.com/t/982608
端口处于打开状态，域名不正确选择直接关闭连接，可一定程度上避免基于 ip 的 http 扫描