旧手机改造成家庭NAS：ARM设备搭建私有云全攻略

前阵子整理抽屉翻出两台吃灰好几年的旧手机一台骁龙625一台联发科P10都是当年千元机里的明星。本来打算直接送去回收顺手查了下回收价一台不到四十块另一台干脆不收。倒是那天晚上闲着没事把它们擦干净接上电源试了试系统还能正常开机电池也没怎么鼓包。突然就想起圈子里一直有人聊的玩法——ARM设备DIY家庭NAS。与其让它们继续吃灰不如让它们干点正事。折腾了一个周末把其中一台刷成了家庭私有云Samba共享、离线下载、影音串流、Docker容器全跑起来了本来准备花两三千买的群晖暂时也不急着下单了。这篇文章我就把自己踩过的坑、验证过可行的方法、还有那些别人不会明说的细节全部整理出来。不管你是手头有旧手机、吃灰电视盒子还是正准备买开发板这套内容应该都能让你少走不少弯路。1. 项目概述与硬件选型ARM私有云到底值不值得折腾1.1 为什么要用旧手机和ARM设备做NAS先说个扎心的事实家庭NAS这个需求大多数人最后用到的功能就是文件备份、多设备共享、离线下载、看片。这些需求对硬件的门槛远没有厂商宣传的那么高。群晖和威联通是我很尊重的品牌它们做的东西也确实好但如果你只是自己一个人用或者三口之家日常存储花两千多块买一台入门级四盘位再配几块硬盘预算轻松破四千这钱花得值不值真得看你的实际场景。旧手机这类ARM设备恰好卡在一个很舒服的位置上。成本这块没法比。旧手机是沉没成本你不用它它就在抽屉里贬值。二手玩客云目前也就五十块上下斐讯N1稍微贵点一百出头但比全新NAS便宜一个数量级。功耗更是降维打击——一台旧手机空载待机能做到1到2W跑满也就5W上下而一台四盘位成品NAS加上硬盘和风扇日常二三十瓦起步一年下来电费差出好几十块听着不多但积少成多。ARM架构还有一个天然优势它本身就是嵌入式Linux生态的主力军。安卓底层就是LinuxARM设备跑Linux的驱动、内核、软件源都非常成熟这意味着你可以拿它跑不少正经的服务器级软件而不是只能做个摆设。你可能会问那旧电脑、NUC之类的x86设备不是更香吗确实x86性能更强能干的事更多但它体积大、功耗高、噪音也大而且旧电脑不一定比旧手机容易找。ARM设备最大的差异化竞争力是它往往是你手头已经有了的东西是手机淘汰后自然产生的副产品。1.2 哪些机器值得翻出来用四个选型方向不是所有旧手机都适合当NAS选错了后面全是坑。我按优先级排一下第一梯队骁龙625/626、骁龙660、骁龙710及以上或者麒麟950以上、联发科P60以上的旧手机。这类芯片是当年的中端主力性能跑NAS服务完全够用。选手机时重点关注三件事Bootloader能不能解锁决定你能不能刷机、内存至少2GB起步最好3GB以上、USB接口能不能做OTG外接硬盘。电池最好还能扛住连续充电不能鼓包。第二梯队电视盒子/矿渣盒子。玩客云、斐讯N1、章鱼星球这些当年被矿潮带火的东西二手价格感人自带千兆网口这点比很多旧手机强刷机方案也非常成熟。玩客云是晶晨S805芯片老一点跑轻量NAS还行斐讯N1是S905D芯片2GB内存刷小钢炮或Armbian之后非常香甚至能跑Docker。第三梯队树莓派和各类开发板。树莓派4B现在价格不便宜性价比已经被国产开发板甩开。香橙派、瑞芯微RK3328/RK3399的板子一百多块钱自带千兆网口、USB 3.0接口扩展性好适合想长期当正规军用的玩家。第四梯队你真的没有任何旧设备的场景。那就去闲鱼淘一台二手玩客云或者N1记得问清楚是否可以刷机、是否包含电源。我整理了一个简单的选型对照表方便你按图索骥设备类型典型型号参考价格CPU/内存千兆网口推荐指数旧手机骁龙660机型0闲置8核/3-6GB无USB转★★★★★矿渣盒子玩客云50元左右4核/1GB有★★★★矿渣盒子斐讯N1100元左右4核/2GB有★★★★★开发板香橙派RK3399150元左右6核/2-4GB有USB3.0★★★★成品NAS对照群晖DS223j1800元左右4核/1GB有-1.3 先把预期管理好它能做什么不能做什么ARM设备做NAS最怕的就是预期错位。有人拿到手就想让它干群晖DS920的活跑一堆虚拟机还要实时转码4K那肯定是要失望的。实测下来这类设备在家庭环境里做得非常好的事有这些Samba/NFS局域网文件共享、Aria2和Transmission离线下载、DLNA投屏给电视、轻量Docker容器比如Portainer、FileBrowser、Syncthing、Nextcloud个人网盘、Jellyfin或Emby在不转码前提下的影音串流、定时备份脚本。反过来下面这些需求就不太适合它多人同时高并发访问三四个人同时写入大文件就可能卡、4K实时转码ARM芯片的GPU驱动在Linux下往往不完整、重型数据库和应用服务、需要长时间高负载稳定运行的生产环境。有个特别容易忽略的瓶颈旧手机的USB接口大概率是2.0理论带宽480Mbps实际拷文件能跑35到40MB/s就到顶了。如果你把手机放在路由器旁边用USB转网口的百兆有线网卡那速度上限就是12MB/s左右还不如Wi-Fi 5频段。这些细节我在后面专门讲排查时再说但选型阶段你心里有数后面不用骂娘。2. 系统方案选型从安卓到Linux的四条路线2.1 四条路线的对比和适用场景确定硬件之后下一步是选择跑什么系统。这一步直接决定你后面所有的操作难度和维护成本。路线A保留安卓系统用Linux Deploy做chroot容器。这是我最推荐新手走的路尤其适合旧手机。不需要刷机破坏系统在安卓上装一个Linux Deploy应用就能在手机里装一个完整的Linux发行版SSH连进去操作。缺点是这样跑Linux是chroot环境不是独立内核某些内核模块没法用但绝大多数NAS应用都不受影响。路线B刷LineageOS等类原生系统再走Linux Deploy。如果你的旧手机原厂系统太脏、广告太多、内存占用太大可以刷一个干净的类原生系统思路和路线A一样。多一步刷机但系统更干净资源占用也更低。路线C直接刷完整的Linux系统。这适合开发板和部分支持度好的盒子。比如斐讯N1刷Armbian或者给手机刷Ubuntu Touch、PostmarketOS等移动Linux系统。优点是系统干净直接就是Linux跑Docker非常顺手缺点是驱动支持不一定完整某些手机的触屏、Wi-Fi、音频驱动在Linux下可能不可用——不过你做NAS这些也不需要。路线D上成品NAS系统。比如飞牛fnOS这类新兴的免费NAS系统界面现代、功能齐全对部分ARM设备有适配。还有人在盒子上折腾黑群晖引导不过对设备限制较多稳定性也看运气。这条路更适合喜欢折腾、追求图形化界面的人。我个人的建议如果你用的旧手机老老实实走A路线如果你用的盒子或开发板C路线体验最好如果你想要一个看得见的漂亮界面可以试试D但别抱太高期望。路线难度系统干净度性能开销适合设备推荐玩法A. Linux Deploy低中中旧手机新手首选B. 刷类原生LD中高低系统太脏的手机进阶首选C. 整板Linux中最高最低盒子/开发板老手最爱D. 成品NAS系统中高中特定盒子界面党2.2 不刷机路线Linux Deploy完整配置过程路线A的具体操作我拆开来写按我实际验证过的流程来。第一步是准备基础环境。去应用商店装一个Linux Deploy旁边再装一个BusyBox建议用Stericson版这俩是关键。打开Linux Deploy第一次运行会提示你获取Root权限按你自己的手机型号授权Magisk用户通常直接弹框点允许就行。第二步是配置Linux发行版。打开Linux Deploy的主界面点右下角的配置按钮可以看到一系列参数发行版Debian是我首选的理由是稳定、文档多、软件源全Ubuntu也行但对旧手机来说内存占用稍微大一点。架构保持默认让App自动识别arm64或armhf。源地址默认的源在国外国内用户强烈建议提前改成清华镜像或阿里云镜像不然后面下载能慢到怀疑人生。安装类型选“目录”系统会装在安卓系统的一个目录里相当于chroot根目录。安装路径默认是/sdcard/linux.img就是一个IMG镜像文件。这设计其实很好相当于一台虚拟机虚拟磁盘删掉文件就是系统卸载。文件系统ext4。用户名/密码自己设一个后面SSH登录用。启用SSH服务打开端口默认22可以之后改。环境设置勾选“初始化”让容器启动时执行初始化脚本。设置好之后回到主界面点“安装”。这个过程视网络情况可能要5到15分钟Debian基础系统大概几百MB。装完之后把界面拉到最下面点“启动”。启动成功的标志是前面的圆形图标变成绿色并且Log窗口显示类似Starting SSH service的提示。第三步是用SSH连进去。电脑上打开终端ssh 用户名手机IP地址手机IP可以在路由器的后台或者安卓设置里查。第一次连接会提示确认指纹输入yes然后输密码就进去了。进去之后先做一件事sudo apt update sudo apt upgrade -y这样基础系统就干净了。后面装Samba、Docker、Jellyfin都是以这个SSH会话为基础的。2.3 刷机路线从类原生到完整Linux路线B和C虽然多一步刷机但思路很成熟。这里不展开到每个机型讲通用流程和注意事项。先说手机刷类原生系统路线B。第一步解锁Bootloader不同品牌解锁方式区别很大——小米对玩家友好解锁流程规范华为和荣耀现在基本没戏索尼和部分一加机型也很方便。建议先用官方工具解锁不要用来历不明的第三方解锁工具容易把手机变砖。解锁后刷入TWRP等第三方Recovery然后刷LineageOS或Pixel Experience之类的包。刷完系统再重复2.2的Linux Deploy流程。注意刷机前一定要备份手机里还在意的数据包括基带、EFS分区这些搞丢了手机就只能变砖。再说盒子刷Armbian路线C。这类设备刷Linux通常是把Armbian镜像写到TF卡或U盘插到盒子上断电重启盒子的引导程序会自动从卡启动。以斐讯N1为例先下载对应的Armbian镜像用写卡工具比如balenaEtcher写入TF卡写入后如果需要在电视上配置初始化的就接一下HDMI线和键盘不需要的话插网线开机后去路由器后台找它的IPSSH登录改默认密码即可。路线C的坑在于不是所有盒子的硬件配件都能被内核识别。有些电视盒子的Wi-Fi芯片驱动没进Linux主线内核你就只能插网线用这其实也够用。买盒子之前最好去论坛搜一下“型号Armbian”看看别人反馈的兼容性。2.4 系统装好后的第一轮加固SSH改端口、换源不管走哪条路线Linux起来了之后建议先做基础加固。我一般习惯按这个顺序来。先改SSH端口。默认22端口是公网扫描器重点照顾对象哪怕你暂时不暴露公网改成比如22022也不耽误什么。改端口的方法sudo sed -i s/#Port 22/Port 22022/ /etc/ssh/sshd_config sudo systemctl restart ssh顺手把密码登录改成密钥登录。在本地电脑生成密钥ssh-keygen -t ed25519然后上传公钥到设备ssh-copy-id -p 22022 用户设备IP之后再把sshd_config里的PasswordAuthentication设置成no重启SSH服务。这样就算密码被人猜到也登不进来。再换国内软件源。Debian系的源文件在/etc/apt/sources.list拿阿里云镜像举例deb http://mirrors.aliyun.com/debian/ bookworm main contrib non-free deb http://mirrors.aliyun.com/debian/ bookworm-updates main contrib non-free deb http://mirrors.aliyun.com/debian-security/ bookworm-security main contrib non-free改完之后再执行一次sudo apt update应该会明显感觉到变快。3. 存储布局与文件共享把NAS接入家庭网络3.1 存储规划eMMC和USB盘的合理分工系统准备好之后第一个要动脑筋的是存储。手机自带的eMMC闪存容量一般是32GB或64GB跑系统、装软件足够但存电影和重要资料就不够看了。我的方案是分工明确eMMC承担系统和应用数据全部放在外接USB盘上。外接USB盘的选择有讲究。我最早试过用OTG线接一个2.5英寸移动机械硬盘结果发现手机的USB口供电带不动硬盘频繁掉盘写文件时发出咔哒咔哒的怪声。后来换了一个带供电的USB HUB才稳定下来。如果你不想折腾供电直接买一个USB闪存盘或者固态移动硬盘会省心很多——虽然贵一点但稳定性和速度都能接受。文件系统格式方面我最推荐exFAT因为Windows、macOS、安卓、Linux四端都认识不用装额外驱动。但exFAT在Linux下的权限控制比较弱没有POSIX权限。如果只把它当纯数据盘用问题不大如果里面放了很多需要特定权限的配置目录那还是格式化成一个ext4分区更稳妥。折中方案是系统盘ext4数据盘exFAT各自干各自擅长的活。外接盘插上后先分区和格式化。在Linux Deploy环境下插入U盘后检查设备lsblk sudo fdisk -l通常会看到类似/dev/block/vold/8:1一类的设备节点安卓环境下设备节点路径和标准Linux略有差异或者你用Termux的lsusb确认设备是否被识别。确认之后把exFAT盘挂载到目录sudo mkdir -p /mnt/usb sudo mount -t exfat /dev/block/sda1 /mnt/usb为了让开机自动挂载需要写进fstab。注意在安卓chroot环境里fstab的挂载项要小心写挂载失败的后果是系统起不来。稳妥做法是在Linux Deploy的“初始化”脚本里加挂载命令而不是直接改fstab。写之前把命令测通确认无误再固化。3.2 Samba共享配置实战Windows和手机都能直接访问存储挂载好下一步就是把目录共享出去。Samba是家庭局域网共享的王者Windows认识它macOS认识它手机上用文件管理器也能直接连它。安装和配置sudo apt install samba samba-common-bin -y编辑配置文件/etc/samba/smb.conf在文件末尾追加共享配置[shared] path /mnt/usb browseable yes writeable yes guest ok no create mask 0644 directory mask 0755 valid users nas创建访问用户并设置Samba密码sudo useradd -M nas sudo smbpasswd -a nas sudo systemctl restart smbd nmbd这里有个很常见的坑Samba的密码和Linux系统登录密码是两套smbpasswd -a设置的是访问共享目录的密码和SSH登录密码无关别搞混了。Windows上访问很简单文件资源管理器地址栏输入\\设备IP\shared然后输nas账号密码。安卓手机用文件管理器比如CX文件管理器或小米文件管理器的“远程连接”功能选择SMB协议同样填IP、账号、密码。iPad和iPhone在“文件”App里点击“连接服务器”输入smb://设备IP/shared。实测下来同一局域网内手机通过Wi-Fi 5连Samba拷贝速度一般在20到30MB/s之间已经能满足日常备份照片和拉视频的节奏了。3.3 NFS、DLNA和WebDAV别让Samba包办一切Samba虽然好用但它不是万能的。根据不同的使用场景我建议你同时开另外三个服务。NFS适合挂载Linux设备和macOS。电影放在手机上电脑上用Kodi读取NFS共享比Samba更顺滑。装的时候sudo apt install nfs-kernel-server -y在/etc/exports里加一行/mnt/usb 192.168.1.0/24(rw,sync,no_subtree_check,no_root_squash)然后sudo exportfs -ra就生效了。客户端用mount -t nfs 设备IP:/mnt/usb /mnt/localdir挂载。注意nfs协议版本Debian 12默认启用NFSv4老客户端连不上时加-o vers3试试。DLNA适合给电视和音响用。一个miniDLNAReadyMedia就能把整个媒体库广播到客厅电视上。配置非常简单sudo apt install minidlna -y sudo sed -i s|#media_dir/opt|media_dir/mnt/usb| /etc/minidlna.conf sudo systemctl restart minidlna然后电视上打开“媒体中心”或“局域网共享”就能看到你的电影和照片了。DLNA对格式兼容性要求高电视不支持编码格式的话会放不了所以我更喜欢配合Jellyfin使用后面细说。WebDAV则适合给笔记软件、网盘客户端用。如果你习惯用坚果云、Nextcloud这类工具WebDAV相当于把NAS变成一个自带认证的Web磁盘。装起来也不复杂但要配好HTTPS证书才安全不然用户名密码会明文裸奔在内网还好公网就危险了。4. 家庭私有云的杀手级应用下载、影音与Docker4.1 下载工具链Aria2和Transmission的组合拳NAS一个很刚需的用途是离线下载。还没回到家就把磁力链接丢给NAS下载到家就能看。ARM设备上最容易上手、最稳定的下载工具是Aria2和Transmission两个我都试过各有绝活。Aria2是一个支持HTTP、FTP、BitTorrent、Metalink的下载器后台运行通过RPC接口交互。安装sudo apt install aria2 -y写一个配置目录sudo mkdir -p /etc/aria2 /mnt/usb/downloads sudo touch /etc/aria2/aria2.session sudo chmod 777 /etc/aria2/aria2.session再写一份基础配置文件/etc/aria2/aria2.confdaemontrue dir/mnt/usb/downloads continuetrue max-concurrent-downloads5 max-connection-per-server16 min-split-size10M enable-rpctrue rpc-listen-alltrue rpc-allow-origin-alltrue rpc-listen-port6800 input-file/etc/aria2/aria2.session save-session/etc/aria2/aria2.session bt-enable-lpdtrue dht-listen-port6881-6999启动aria2c --conf-path/etc/aria2/aria2.conf前端管理界面我用AriaNg它是纯网页的下载release包解压放到任意web目录或者本地打开HTML文件就能连。连上之后填RPC地址和端口就能在浏览器里控制下载任务。Transmission是BitTorrent专用客户端界面简洁资源占用低配好Web管理界面非常顺手sudo apt install transmission-daemon -y sudo systemctl stop transmission-daemon sudo vim /var/lib/transmission-daemon/.config/transmission-daemon/settings.json注意第一次启动daemon会生成默认配置修改之前必须先停服务否则配置文件会被覆盖。改两个关键项rpc-whitelist-enabled: false, rpc-password: 你的密码,启动后浏览器访问http://设备IP:9091就能管理种子。ARM设备上Transmission跑PT站和常规种子都没问题连接数控制在300以内比较稳妥。4.2 影音串流Jellyfin的ARM现实影音这块Jellyfin是目前最值得折腾的免费开源媒体服务。它能自动刮削封面、整理演员信息还能把整个媒体库通过网页、手机App、电视端串流出去。安装Jellyfin在Debian上可以走官方脚本也可以装Docker版。我先说原生安装ARM架构的deb包在官方的软件源里有curl -L https://github.com/jellyfin/jellyfin/releases/latest # 去官方源下载对应架构包 sudo dpkg -i jellyfin_*.deb sudo systemctl enable jellyfin sudo systemctl start jellyfin装好后在浏览器打开http://设备IP:8096按引导完成初始化添加媒体库。媒体目录指向/mnt/usb下的Movies、TV Shows等文件夹。接下来是现实问题ARM设备能不能硬解很遗憾大部分旧手机和盒子的GPU在Linux里的驱动不完整硬解4K和转码是几乎不可能的。但不用灰心Jellyfin的原码直出Direct Play能力很强只要你的播放端电视、手机、电脑支持视频编码格式它就只是把文件原封不动地吐给播放器CPU占用很低4K原盘也能轻松推送。我实测过一台骁龙625处理器性能很低了的旧手机跑Jellyfin1080P H.264电影原码直出到客厅的小米电视完全流畅CPU占用不到20%。但一旦开启转码比如把1080P转成720P输出给老设备CPU直接拉满画面疯狂卡顿。所以我的经验是ARM设备上跑Jellyfin核心策略是关闭所有转码功能让端侧解码。老旧播放端如果解码不了就换播放端而不是让服务端硬扛。字幕问题是另一个常见坑。Jellyfin默认会把外挂字幕转成WebVTT格式发送给客户端这个操作需要转码在ARM设备上会很慢。解决办法是在“播放设置”把“字幕运行模式”改成“仅图像格式”这样服务端就不动字幕了直接把ASS/SRT原文件发出去。实测下来绝大多数播放端都能自己渲染字幕根本不用服务端多管闲事。4.3 Docker扩展轻量容器带来的无限可能聊完影音说一个让NAS想象力翻倍的东西——Docker。在ARM设备上跑Docker是可行的只是镜像得注意架构。安装Docker官方脚本curl -fsSL https://get.docker.com | sh sudo systemctl enable docker装好后第一步拉镜像时一定要带上架构信息。ARM设备一般分为arm64也就是aarch64和arm/v7两种手机大多是arm64老盒子可能是arm/v7。拉取时docker pull --platform linux/arm64 镜像名如果你不管平台标签有些镜像默认是x86架构的拉下来直接报exec format error这问题我见过好多次。我长期在ARM NAS上跑的容器清单Portainer图形化管理DockerFileBrowser网页文件管理器Syncthing多设备同步Nextcloud个人网盘watchtower自动更新容器用docker-compose管理这些容器最舒服。一个简化的docker-compose.yml示例version: 3.8 services: filebrowser: image: filebrowser/filebrowser:latest restart: unless-stopped ports: - 8080:80 volumes: - /mnt/usb:/srv - /opt/filebrowser/config:/config environment: - PUID1000 - PGID1000跑起来sudo mkdir -p /opt/filebrowser/config sudo docker compose up -dARM设备和x86设备在这一步的分水岭就出来了x86设备可以跑任何镜像ARM设备则要看镜像是否提供对应架构的构建版本。好在目前主流镜像基本都支持arm64了Docker Hub上搜一下架构标签写清楚了就能直接用。资源限制是我特别想提醒的一点。ARM设备内存可能只有2GBDocker容器不设限制的话几个服务一起吃内存终归有一方要崩。我习惯在compose里给每个容器加mem_limit: 512m cpus: 1.0这样即使某个容器内存泄漏也不至于拖死整个系统。5. 远程访问与数据安全私有云不能裸奔5.1 局域网内的安全基线改端口、上密钥、开防火墙很多人觉得自己的NAS藏在内网里很安全不需要防护——这个想法可能有点天真。家庭局域网虽然相对封闭但也不是绝对安全。尤其你还要通过路由器上网某些路由器的漏洞可能被利用而且你的手机如果感染了恶意App局域网里的服务就是它攻击的后花园。我给自己定了个安全基线成本低、效果实在第一所有需要密码的服务密码必须独立且强。不要图省事所有服务用一个密码这样等于没设。第二SSH只用密钥登录已经在前文说过了。第三开启防火墙默认拒绝所有进来的连接只放行必要端口。Debian装ufw一条条加sudo apt install ufw -y sudo ufw default deny incoming sudo ufw allow 22022/tcp comment SSH sudo ufw allow 445/tcp comment Samba sudo ufw allow from 192.168.1.0/24 to any port 8096 proto tcp comment Jellyfin LAN sudo ufw enable细节是Samba协议除了445端口还有NetBIOS相关端口如果局域网里其他设备发现不了NAS可以再放行137/138/139及UDP端口。但注意这些端口请不要暴露到公网。第四不要轻易把管理类服务比如Portainer的9000端口暴露到公网。5.2 外网访问DDNS、组网与内网穿透怎么选外网访问是最多人问的也是最容易踩坑的。判断你家宽带到底是公网IP还是大内网IP方法很简单去路由器后台看WAN口IP如果是一个192.168.x.x、10.x.x.x或100.64.x.x开头的地址基本没戏这是运营商的大内网如果是一个看起来随机的公网IP恭喜你可以直接走DDNS方案。有公网IP的情况下最稳的方案是DDNS动态域名解析 路由器端口转发。因为家庭宽带IP经常变动你需要一个DDNS服务来把固定的域名解析到变动的IP上。很多路由器都内置了DDNS插件去设置页面填账号就能用。我自己的做法是用了阿里云的域名解析API配合cron脚本每5分钟检测一次IP变了就自动更新解析记录。脚本逻辑不复杂核心就一个curl请求。路由器端口转发只转发一个入口就行比如443端口映射到NAS的某个反向代理上这样所有外部请求都走443其他端口一律不开。没有公网IP的情况下ZeroTier或Tailscale是目前体验最好的组网方案。这类工具相当于在现有互联网上搭一条虚拟网线把你所有设备逻辑上放在同一个局域网里。装好之后在外面用手机连上虚拟网直接访问家里NAS的内网IP就像坐在家里一样。安装很简单在Debian上装ZeroTiercurl -s https://install.zerotier.com | sudo bash sudo zerotier-cli join 你的网络ID然后在ZeroTier的Web管理后台把你的设备打勾授权就会分配一个虚拟内网IP。手机装App后登录同一个账号也会加入这个虚拟网络。这个方案不需要在路由器上做任何端口转发安全性也比端口转发好因为服务不对公网暴露。如果你的确需要暴露特定HTTP服务给特定人群可以用内网穿透工具如frp配一台有公网IP的云主机做中转。但坦白讲对于个人家庭用户我优先推荐ZeroTier/Tailscale这类组网方案——它对ARM设备友好无需公网IP配置量最小安全边界也最清晰。只有当你需要给别人比如朋友提供访问权限而对方不方便装客户端时才值得考虑frp 域名 反代那套组合那是另一篇文章的体量了。无论用哪种方案都记住一条默认白名单不要把所有端口都暴露出去尽量只暴露一个入口其他服务都在内网访问。5.3 数据备份策略不能把鸡蛋全放一个篮子里数据安全里最扎心的真相是RAID不是备份NAS也不是备份。就算你的NAS做得再专业硬件损坏、火灾、雷击、误删除任何一种情况都足够让你后悔。所以如果你在NAS里存了重要资料请认认真真做一个备份方案。我的策略是分级备份第一级本地NAS内的重要文件通过Syncthing实时同步到另一台闲置设备比如另一台旧手机或电脑。Syncthing的增量同步比rsync更自动化它会持续监控文件变化并同步不用写脚本。第二级不可再生的照片和文档定期打包加密后推到云存储比如阿里云OSS或者百度网盘的加密压缩包。一个月一次手动操作就够。第三级系统配置备份。把/etc目录下改过的关键配置、Docker的compose文件、cron脚本统一打一个tar包放远一点。这样系统崩了重装几分钟就能恢复所有配置。我见过太多人包括曾经的我总觉得“数据没那么重要吧”直到某天硬盘出现坏道才追悔莫及。备份这件事成本最小的时候就是你刚开始用NAS的时候别拖到数据出问题才动手。另外提醒一点外接单块USB盘没有RAID保护也不要依赖“它现在好好的一定会继续好下去”这种心理。定期检查S.M.A.R.T信息sudo smartctl -a /dev/sda看到重映射扇区数涨了就赶紧备份换盘。6. 常见问题与排查实录那些年踩过的坑6.1 拷贝速度慢得离谱按这个顺序排查速度慢是ARM NAS玩家第一个遇到的坑。看到这里请按顺序检查一遍第一链路的物理瓶颈。你的手机是Wi-Fi连接还是USB转网线如果走Wi-Fi先确认连的是5GHz频段还是2.4GHz。2.4GHz实际吞吐也就30到40Mbps拷贝速度5MB/s左右属于正常水平5GHz频段能跑到100Mbps以上。如果走USB转网线确认网卡是百兆还是千兆——很多USB百兆网卡理论极限就是12MB/s别怀疑NAS性能是网卡先投降了。第二Samba协议版本和加密开销。Windows默认会协商SMB3加密开销在ARM处理器上比较明显。可以在smb.conf加一行server min protocol SMB2关闭SMB1或降低协商版本排除加密带来的CPU拖累。如果还慢可以试试用NFS把同一个目录挂载到另一台Linux设备上测试对比Samba到底损失了多少速度。第三USB接口版本。旧手机的USB通常2.0理论极限480Mbps实际有效吞吐35到40MB/s就顶天了。如果你接的是U盘或移动硬盘跑在USB 2.0上拷贝速度在30MB/s左右已经算优秀了不要幻想跑到100MB/s。有条件的话换一台带USB 3.0的ARM设备比如瑞芯微RK3399的板子瓶颈会大幅改善。第四文件系统碎片和坏道。外接盘用了很久之后读写速度下降先扫一遍坏道sudo badblocks -v /dev/sda换一个ext4格式化基本能恢复。6.2 设备频繁掉线、重启供电和散热的教训旧手机当NAS掉线重启多半出在两个地方供电和散热。电池鼓包是最大的安全隐患。手机长期插电运行电池保持在满电状态锂聚合物电池很容易鼓包。鼓包早期你未必看得出来但手机后盖被顶起来或者充电时外壳明显发烫就赶紧处理——如果准备长期挂机建议拆机拔掉电池排线直接改DC供电。网上有很多旧手机改DC供电的教程需要一定的动手能力但风险远比电池鼓包小。暂时没条件拆机的至少装一个电池温度监控App温度超过45度就降低负载或停用部分服务。USB外接盘的供电问题也很常见。手机USB口输出的电流有限带不动部分2.5英寸机械硬盘。症状是拷贝大文件到一半硬盘“咔哒”一声掉盘或者系统日志里出现大量I/O错误。解决办法是用带独立供电的USB HUB或者弃用机械硬盘换成SSD/U盘。散热这块手机在安静角落里闷着跑芯片温度很容易冲到七八十度。我拿一个几块钱的小风扇对着吹温度控制在五十多度稳得像老狗。如果你的手机支持可以在系统里关掉大核只让省电小核跑NAS任务根本不挑算力温度能低一大截。6.3 文件系统损坏与数据恢复提前做好预案ARM设备拔电、掉盘、异常重启最容易导致文件系统损坏。我在玩客云上就栽过一次一次停电之后外接盘的分区表直接没了幸好数据盘上放的是可再下载的电影损失不大但那个教训我记住了。动手之前先说预期外接exFAT盘在Linux下没有完整的日志功能断电后损坏概率比ext4高。如果你长期挂机我建议重要数据盘用ext4而exFAT只放那种丢了也无所谓的影音缓存。当然如果你需要Windows直接读这个盘那还是exFAT方便两难之下看你自己取舍。文件系统损坏后的急救手段ext4盘sudo fsck.ext4 -f /dev/sda1通常能修复大部分元数据。exFAT盘Linux下可以用fsck.exfat但效果一般。数据恢复工具testdisk和photorec是Linux下最好用的开源恢复工具分区表丢失就用testdisk扫描并重建文件被删了就用photorec按签名恢复。但必须强调恢复操作要作用在磁盘镜像上而不是直接操作原盘以免造成二次破坏。比恢复更重要的预案是关键目录做快照或者同步到另一台设备这个我前面已经说过这里再强调一遍——不要让NAS只剩一种数据存在方式。6.4 性能调优小技巧Swap、日志与监控ARM设备内存小跑多个服务容易爆内存。一个立竿见影的办法是开启Swap。在系统盘上划分一个swap文件sudo fallocate -l 1G /swapfile sudo chmod 600 /swapfile sudo mkswap /swapfile sudo swapon /swapfile如果要开机自动挂载在/etc/fstab末尾加一行/swapfile none swap sw 0 0启用后我建议观察一下swap是否被频繁使用。如果内存不够导致交换频繁那说明服务开多了还是砍掉几个吧。另外提示一点在NAND闪存上跑swap会加速闪存磨损所以Swap容量不要贪大512MB到1GB足够缓解尖峰压力了别把它当成内存扩展来用。日志清理也是ARM设备容易忽略的问题。systemd日志和docker容器日志默认无限增长跑几个月可能吃掉好几个GB。设置日志大小上限sudo journalctl --vacuum-size200M sudo vim /etc/systemd/journald.conf把SystemMaxUse改成200M再重启systemd-journald就根治了。Docker日志也要限制在/etc/docker/daemon.json里加{ log-driver: json-file, log-opts: { max-size: 20m, max-file: 3 } }重启Docker生效之后日志最多占60MB一个容器。还有一个免费好用的监控工具值得推荐安装一个netdata开箱即看CPU、内存、磁盘、网络的全套实时图表。ARM设备上装它bash (curl -Ss https://my-netdata.io/kickstart.sh)装完之后浏览器打开http://设备IP:19999随时观察设备状态比如内存泄漏、IO尖峰一眼就能看出来。写完这篇我自己也回头翻了翻当时折腾的记录。最后想说的是用ARM旧设备做NAS最值钱的不是省下那两三千元而是把一个濒临报废的东西重新用起来还能顺手学会Linux运维、文件系统、网络协议这些硬知识。它可能不如成品NAS省心但那种从零到一、把硬件和软件都捏在自己手里的掌控感是花钱买不来的。如果你要入坑我的建议是先拿手头最不值钱的那台试试水跑通共享和下载再慢慢探索Docker和远程访问。不要一上来就想着完美方案NAS这东西够用、稳定、数据不丢就已经是满分了。