远程访问安全指南

目录

1. 为什么有风险
2. 推荐的整体结构
3. 选择远程访问方案
4. 方案一：Cloudflare Tunnel
5. 方案二：云服务器 + frp + HTTPS
6. 方案三：Home Assistant Cloud
7. 反向代理下的 HA 配置
8. 账号安全
9. HA 加固
10. 不要这样做
11. 腕上智家做了什么
12. 发现异常时怎么办
13. 安全检查清单

1. 为什么有风险

Home Assistant 控制的是真实世界里的东西：门锁、空调、热水器、摄像头。账号一旦被盗，对方可以开门、关掉安防、读取你的作息规律，后果远比一般网站账号泄露严重。

• 自动扫描无处不在。公网上一直有程序在扫描常见端口，暴露的 8123 端口通常几小时内就会被发现并开始尝试猜密码。
• 明文 HTTP 会泄露密码。不加密的连接在途经的任何网络上都能被截获，包括你连的公共 Wi‑Fi。
• 旧版本有已知漏洞。长期不升级的 HA 和第三方集成，可能被直接利用漏洞入侵，不需要密码。

2. 推荐的整体结构

家里不开放任何入站端口，由家里主动向外建立一条加密隧道；手表只通过 HTTPS 域名访问。

3. 选择远程访问方案

手表上装不了 VPN 客户端（如 Tailscale、WireGuard），所以必须有一个公网可访问的 HTTPS 地址。三种常见做法对比：

家里有公网 IP 时，也可以用路由器端口转发到家里的反向代理（只开 443、只转发到代理），但暴露面比隧道大，不作为首选。

4. 方案一：Cloudflare Tunnel

需要：一个已托管到 Cloudflare 的域名（以 example.com 为例），一台能常开、能访问 HA 的机器（可以就是运行 HA 的那台）。

1. 登录 Cloudflare，进入 Zero Trust → Networks → Tunnels，点 Create a tunnel，类型选 Cloudflared，起名如 home。
2. 在「安装连接器」一步选择 Docker，复制页面给出的令牌（--token 后面那一长串）。
3. 在家里的机器上用 Docker 运行连接器：

   # docker-compose.yml
   services:
     cloudflared:
       image: cloudflare/cloudflared:latest
       restart: unless-stopped
       network_mode: host          # 直接访问本机的 8123
       command: tunnel --no-autoupdate run
       environment:
         - TUNNEL_TOKEN=粘贴第 2 步的令牌

   然后执行 docker compose up -d，回到网页确认连接器状态为 Healthy。
4. 在隧道的 Public Hostname 里添加：子域名 ha，域名 example.com，服务类型 HTTP，地址 localhost:8123（cloudflared 不在 HA 那台机器上时填 HA 的局域网地址，如 192.168.1.10:8123）。
5. 在域名的 SSL/TLS 设置里打开 Always Use HTTPS。
6. 按 第 7 节 修改 HA 的 configuration.yaml 并重启 HA。
7. 在手机浏览器打开 https://ha.example.com 能看到 HA 登录页，即可在手表上使用这个地址登录。

5. 方案二：云服务器 + frp + HTTPS

需要：一台有公网 IP 的云服务器、一个解析到这台服务器的域名（以 ha.example.com 为例）。服务器上运行 frps 和 Caddy（负责 HTTPS），家里运行 frpc。

服务器端

# /etc/frp/frps.toml
bindPort = 7000                    # frpc 连接用的端口，安全组只放行这个和 80/443
vhostHTTPPort = 8080               # 只给本机的 Caddy 用，不要对外放行
auth.method = "token"
auth.token = "换成至少 32 位的随机字符串"

# /etc/caddy/Caddyfile —— Caddy 会自动申请并续期 HTTPS 证书
ha.example.com {
    reverse_proxy 127.0.0.1:8080
}

云服务器安全组只放行 80、443、7000，不要放行 8080。

家里

# frpc.toml
serverAddr = "云服务器公网 IP"
serverPort = 7000
auth.method = "token"
auth.token = "与服务器端相同"

[[proxies]]
name = "home-assistant"
type = "http"
localIP = "192.168.1.10"           # 换成你的 HA 局域网地址
localPort = 8123
customDomains = ["ha.example.com"]

启动后按 第 7 节 配置 HA，HA 看到的请求来源是运行 frpc 的那台机器。

6. 方案三：Home Assistant Cloud

1. 在 HA 中打开 设置 → Home Assistant Cloud，注册并订阅。
2. 打开 远程控制，HA 会给出一个 https://xxxxxxxx.ui.nabu.casa 地址。
3. 在手表上用这个地址登录即可，不需要修改 configuration.yaml。

这是 HA 官方提供的付费服务，配置最省事；服务器在境外，国内访问速度取决于网络环境。

7. 反向代理下的 HA 配置

使用隧道或反向代理后，所有请求在 HA 看来都来自代理。必须告诉 HA 哪些代理可信，HA 才会从 X-Forwarded-For 里读取真实的访问者 IP；否则 HA 会拒绝代理请求，或者把登录失败算在代理头上、把所有人一起封掉。

# configuration.yaml
http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 127.0.0.1                    # 代理和 HA 在同一台机器（cloudflared 使用 host 网络时）
    - ::1
    # - 172.16.0.0/12              # 代理运行在 Docker 默认网桥里时
    # - 192.168.1.20               # 代理 / frpc 在局域网另一台机器上时，填它的地址
  ip_ban_enabled: true             # 登录失败达到次数后封禁该 IP
  login_attempts_threshold: 5

修改后到 开发者工具 → YAML → 检查配置，通过后重启 HA。被误封的 IP 记录在配置目录的 ip_bans.yaml 里，删掉对应条目并重启即可解封。

8. 账号安全

给手表建一个专用账号

1. 进入 设置 → 人员 → 添加人员，起名如「手表」，打开 允许登录，设置用户名和密码。
2. 不要打开 管理员。万一手表或密码泄露，对方也无法修改 HA 的配置、安装集成或查看全部令牌。
3. 不要打开 只能从本地网络登录，否则在外面无法使用。

非管理员账号可以正常控制设备。如果使用后房间分组显示异常（设备都出现在「未分配」），请反馈给我们。

开启双重验证

1. 用手表专用账号登录 HA 网页，点左下角用户名进入 个人资料 → 安全。
2. 在 多因素身份验证模块 里启用 身份验证器应用，用手机上的验证器 App 扫码。
3. 以后在手表登录时，按提示输入验证器里的 6 位数字即可。

密码

• 至少 16 位，不与其他网站重复，最好由密码管理器生成。
• 管理员账号同样要设置强密码并开启双重验证。

9. HA 加固

• 及时升级。HA 每月发布新版本，安全修复会第一时间包含在内；第三方集成（HACS）也要定期更新，不再使用的及时删除。
• 清理令牌和会话。个人资料 → 安全 页面里，删除不再使用的「长期访问令牌」，以及不认识的「刷新令牌」（每个登录过的设备一条）。
• 关注登录失败通知。有人尝试登录失败时，HA 会在通知中心提示来源 IP；短时间内大量出现说明地址已被扫描到。
• 只暴露 HA 本身。Node-RED、文件编辑器、数据库管理等附加服务不要通过同一个隧道对外开放。
• 定期备份。设置 → 系统 → 备份，开启自动备份并把备份保存到另一台设备上。

10. 不要这样做

11. 腕上智家做了什么

12. 发现异常时怎么办

1. 立即修改相关账号的密码。
2. 在 个人资料 → 安全 里删除全部可疑的刷新令牌和长期访问令牌；手表需要重新登录。
3. 检查 设置 → 系统 → 日志 和通知中心的登录记录，确认来源 IP。
4. 暂时关闭隧道（停止 cloudflared / frpc 容器），排查完成后再恢复。
5. 检查自动化、脚本、集成有没有被改动或新增；必要时从备份恢复。

13. 安全检查清单

勾选状态只保存在你当前的浏览器里。