NAS 和群晖怎么走梯子：Docker 拉镜像、下载工具、套件更新分别设置

NAS 哪些流量需要走梯子

NAS 上真正需要出海的流量很集中：Docker Hub 等镜像仓库的 docker pull、GitHub Release 里的程序包、托管在海外的第三方套件源，以及部分应用的元数据刮削。它们在国内直连时常见超时或只有几十 KB/s。最稳妥的思路是只让这几类流量走代理，其余全部直连：NAS 通常 7×24 小时在线，整机全局代理既浪费机场流量，也会拖慢局域网和远程访问。下面先选接入方式，再按 Docker、下载工具、套件更新分别配置。

三种接入方式怎么选

家里已经有软路由的，直接参考 路由器梯子方案 和 OpenWrt 插件对比。没有的话，第二种最适合新手：在一台常开的电脑或路由上运行客户端，打开“允许局域网连接”类选项，记下它的局域网 IP 和端口（下文写作 192.168.1.10:7890，以实际为准）。

Docker：守护进程和容器分开配

拉镜像的是 Docker 守护进程，不读你在 SSH 终端里 export 的变量。标准 Linux 上用 systemd drop-in 为 dockerd 设置代理，完整命令见 程序员梯子 一文，这里不重复。群晖 Container Manager、威联通 Container Station 的守护进程启动方式与标准 Linux 不完全相同，修改方法以官方文档或所用版本的社区说明为准；嫌麻烦就用旁路由让 NAS 整机走代理，最省心。

容器内的应用（例如需要访问 GitHub API 的工具）要在 compose 文件里单独加环境变量：

services:
  app:
    image: example/app:latest
    environment:
      - HTTPS_PROXY=http://192.168.1.10:7890
      - HTTP_PROXY=http://192.168.1.10:7890
      - NO_PROXY=localhost,127.0.0.1,192.168.0.0/16

NO_PROXY 一定要包含局域网网段，否则容器之间、容器访问 NAS 自身服务也会被送去代理。改完守护进程配置后，执行一次 docker pull hello-world 验证：几秒内完成说明代理已生效；仍然超时，先在 NAS 上用 curl -x 指定同一个代理地址访问一次外网，区分是代理不通还是守护进程没读到配置。

在 NAS 上运行 Mihomo 容器

不想依赖其他设备时，可以在 NAS 上运行 Mihomo 内核：用 host 网络模式启动，把配置目录挂载进容器，配置里开启 allow-lan 并设置 authentication，其他容器和设备再指向 NAS 的 IP 与端口。注意一个“先有鸡还是先有蛋”的问题：拉取 Mihomo 镜像本身也要访问镜像仓库，第一次可以先借用局域网代理拉取，或在电脑上 docker save 导出后到 NAS 上 docker load 导入。

下载工具与套件更新

• HTTP 下载：aria2 这类工具可以用 all-proxy 选项指定代理，适合下载 GitHub Release 等海外文件。
• BT / PT：保持直连。BT 流量大且连接数多，走机场会迅速耗尽套餐；不少 PT 站点要求固定 IP 或明确禁止代理，很多机场的服务条款也不允许 BT 下载。旁路由方案下，用 Mihomo 的 SRC-IP-CIDR 规则把下载器所在 IP 设为直连，镜像拉取改用局域网代理。
• 系统与套件更新：在 NAS 系统网络设置的代理服务器选项中填入局域网代理，官方更新和多数套件通常直连即可，海外托管的第三方套件源才需要它。

订阅链接与端口安全

订阅泄露后的处理见 订阅链接安全。设备数方面，按本站数据二猫云、宇宙云、微风网络都标注不限同时在线设备，NAS 加进来不必担心超出限制。