昨天聊完最近爆发的群晖勒索病毒，一夜过后，我又看到有不少人中招了。

不过，有些同志提前打开过「不可变快照」功能，把文件恢复过来了。

在讲今天的猪脚「不可变快照」之前，我们先用两分钟，说说「快照」这个东西。

Part 1

快照是啥？

你可以把群晖的「快照」（Snapshot）直接理解成单机游戏里的「随时存档」。

平时我们做传统备份，相当于把整个文件夹里的照片和文档原封不动地再复印一份，如果文件夹有 2 TB，备份一次就得花上好几个小时，而且还会额外吃掉 2 TB 的硬盘空间。

但群晖 Btrfs 文件系统的「快照」完全不复印文件本身，它只是花 1 秒钟给当前的文件夹拍了一张「目录账本照片」，记录下这一刻每个文件分别存放在硬盘的哪个格子上。

因为只记账不拷贝，所以拍一张快照几乎是瞬间完成，而且刚拍完时占用的空间几乎是 0。

那它是怎么救命的呢？

当你拍完快照之后，如果某天误删了一张照片，或者勒索病毒把你主目录里的文件改成了乱码，群晖并不会真的去擦掉硬盘格子里的旧数据，而是把改坏的新数据写到旁边的空格子里，同时让之前的快照继续牢牢指着完好无损的旧格子。

只要你点一下「还原快照」，群晖只需要花几秒钟把目录账本翻回出事前的那一页，哪怕是十几个 TB 的海量文件，也能在两三分钟内瞬间满血复活。

听起来是不是已经很完美了。

但在前天的勒索病毒攻击里，不少熟悉技术的读者看出了一个让人后背发凉的隐患。

当时开启了普通快照的幸运用户之所以能救回数据，纯粹是因为那波黑客的自动化脚本写得比较糙，加密完文件就匆匆收工，忘了顺手去删快照。

要知道，攻击者当时通过系统漏洞拿到的是群晖最高级别的 root（超级管理员）权限。

如果下一次遇上稍微懂行的勒索病毒，在加密你的照片之前，先在后台把所有的历史存档（快照）删得一干二净，普通快照还能救命吗。

答案是完全顶不住。

在默认的权限规则下，拥有管理员密码或 root 权限的人，随时可以把积累了半年的普通快照一键清空。

为了堵死这个连管理员自己都防不住的漏洞，群晖从 DSM 7.2 开始引入了「不可变快照」（Immutable Snapshots）与「WriteOnce 共享文件夹」。

它的作用简单粗暴：一旦给你的游戏存档加上这把「不可变时间锁」，在设定的倒计时走完之前，全世界没有任何人能删掉它。

哪怕黑客拿到了最高 root 权限，哪怕勒索脚本想清空快照，甚至你本人气急败坏想格式化硬盘或者把群晖恢复出厂设置，系统都会在底层直接拒绝。

今天我们就用大白话，带你搞懂这项功能的防篡改原理，手把手教你用 3 分钟开启不可变快照、出事后怎么恢复数据，以及避开最容易把硬盘撑爆的几个新手坑。

Part 2

两种快照

打开群晖的 Snapshot Replication（快照复制）套件，在快照列表里，你可能会看到两种长得很像的图标：一个是黄色的挂锁，另一个是蓝色的盾牌。

很多朋友一直以为点一下「锁定」，出现那个黄色挂锁图标就万事大吉了。

其实，黄色挂锁只是一张贴在快照上的「免清理便签」，它的唯一作用是告诉群晖系统：平时自动清理过期旧快照的时候，请跳过这一张。

一旦黑客登录了你的群晖后台，或者拿到了 root 权限，他只需要点一下「解锁」撕掉便签，就能立刻把带黄色挂锁的快照删光。

而带有蓝色盾牌图标的「不可变快照」，才是一把真正的定时锁。

当鼠标选中那张带有蓝色盾牌的快照时，顶部的「删除」按钮直接变成了无法点击的灰色状态。

在设定的保护期（1 到 30 天）倒计时结束之前，系统定了几条铁律：

1. 谁也删不掉快照：不管是管理员 admin 还是最高权限 root，无论是点网页按钮还是敲命令行，都无法删除这张快照。

2. 保护期只准延长不准改短：如果你设了 7 天保护期，中途只能手动改成 10 天或 14 天，绝不允许提前解锁或改短。

3. 禁止连锅端：只要某个共享文件夹下面还有未过期的不可变快照，整个共享文件夹、所在的存储空间乃至存储池都禁止被删除。

4. 禁止恢复出厂设置：在倒计时结束前，哪怕去控制面板里点「恢复出厂设置」抹除整台 NAS，系统也会直接报错拦下。

5. 存档内容绝对只读：快照里面保存的历史文件处于完全冻结状态，任何病毒都无法往快照里塞文件或改写内容。

Part 3

时间无法绕过

看到这里，很多聪明的朋友脑子里肯定会冒出一个非常刁钻的破解思路。

既然不可变快照的保护期最长只有 30 天，那黑客拿到最高权限后，直接把群晖的系统时间往后调快 31 天，让系统误以为保护期已经到了，不就能顺理成章地删掉快照了吗。

这个想法非常接地气，也是早期很多电脑软件锁被轻易破解的原因。

为了防住这一招，群晖在官方《WriteOnce 白皮书》里专门介绍了一个底层设计：防篡改时钟（Tamper-Proof Clock）。

简单来说，群晖的不可变快照根本不看系统右上角的日历是几月几号，它自己在后台揣了一块独立的「计时秒表」。

当你给一张快照设下 7 天（也就是 168 个小时）的保护期时，这块独立秒表只按硬盘实际通电运行的小时数一秒一秒往下倒数。

哪怕黑客在第二天黑进系统，把群晖的日期改成了 2099 年，独立秒表一看：硬盘实际才跑了 24 小时，还差 144 个小时才满 7 天呢，删除请求照样会被直接踢回去。

更贴心的是，群晖在官方知识库（https://kb.synology.cn/zh-cn/DSM/tutorial/WriteOnce_retention_period_longer_than_specified）中说明，为了防止有人故意拔电源关机来熬过保护期，当遇到以下情况时，这块独立秒表还会自动按下暂停键：

1. 群晖关机或断电停机期间。

2. 存储空间被卸载、正在做文件系统检查或优化期间。

3. 把硬盘拔下来迁移到另一台群晖 NAS 的过程中。

4. 使用备份套件恢复整台群晖系统的过程中。

也就是说，如果你设了 7 天保护期，中间因为出差把 NAS 关机了 2 天，那这张快照的实际解锁日期也会自动往后顺延 2 天，只有 NAS 正常开机干活的时间才算数。

Part 4

WriteOnce 文件夹

在 DSM 7.2 之后，群晖把这项防篡改技术做成了两个功能：一个是快照套件里的「不可变快照」，另一个是控制面板里的「WriteOnce 共享文件夹」。

不可变快照锁的是「过去的历史存档」，而 WriteOnce 文件夹锁的是「当前文件夹里的文件本身」。

1. 不可变快照（推荐 95% 的日常文件夹使用）：你的相册、办公文档、家庭目录平时怎么用还怎么用，随时可以新建、修改和删除文件，日常体验没有任何变化；群晖只是每天半夜在后台悄悄拍一张存档快照，并把存档锁上 7 到 14 天。万一主文件夹被病毒毁了，直接拿锁住的存档一键恢复。

2. WriteOnce 共享文件夹（适合彻底不改的归档文件）：这是一个专门用来当「档案室」的特殊文件夹。你把文件拖进去之后，一旦过了设定的缓冲时间（比如 2 小时），这个文件本身在主文件夹里就会直接变成只读状态，连你自己打开 Word 想改个字或者想删掉它都不行，锁定期可以从 1 天设到 100 年甚至永久。

简单来说，WriteOnce 更猛，适合更变态的需求。

我们先看一眼官方关于 WriteOnce 文件夹两种模式的对比图：

如上图所示，如果你确实需要建一个 WriteOnce 档案室文件夹，系统会让你在「企业模式」和「法规模式」之间二选一。

家用和普通公司强烈建议选「企业模式」，因为万一将来你想重新规划硬盘，管理员还可以删掉整个 WriteOnce 文件夹腾地方；而「法规模式」是给金融机构应付严格审计用的，一旦选了它，在锁定期结束前连管理员自己都删不掉这个文件夹。

另外，一旦某个文件夹开启了 WriteOnce，你再去电脑上通过网络邻居删里面的锁定文件时，就会像下面这张截图一样直接弹窗报错，而且该文件夹会自动关闭回收站，也不支持直接原地回滚快照。

所以结论非常明确：平时每天都在用的照片库、文档库、Docker 目录，请统一使用「不可变快照」。

只有那些写完就再也不改的合同扫描件、历年税单、老照片归档包，才需要单独建一个「WriteOnce 共享文件夹」放进去。

Part 5

开启群晖不可变快照

在动手之前，先确认你的群晖满足两个前提：一是系统已经升级到 DSM 7.2 或更高版本，二是存储空间用的是 Btrfs 文件系统，并且机器是 20 系列及以后的新款机型（比如 DS920+、DS220+、DS923+、DS224+、DS925+ 等，老机型的注意事项我们在文末避坑指南里单独讲）。

打开套件中心安装并进入 Snapshot Replication（快照复制），在首页概览就能看到当前哪些文件夹已经受到了快照保护。

根据不同的使用场景，你有 3 种开启不可变快照的方式。

方式一：设置每天自动拍不可变快照

比较省心，强烈推荐这个方式。

这是最核心的防勒索设置，只要配好一次，以后就完全不用操心了。

1. 选中文件夹：在 Snapshot Replication 左侧点击 快照，选中你要保护的共享文件夹（比如存照片的 photo 或个人目录 homes），点击顶部的 设置。

2. 开启定时拍照：在 计划 页面勾选「启用快照计划」，把频率设为每天一次（比如凌晨两点），平时经常改文档的办公目录也可以设为每 4 小时一次。

3. 锁上蓝色盾牌：在同一个页面下方，勾选「启用不可变快照」，并在「保护期间」填入锁定的天数。

这里有个很多人问的细节：保护期间可以填 1 到 30 天，填多少天最合适呢。

群晖官方知识库给出的建议是填 7 到 14 天。

之所以不建议直接填满 30 天，是因为不可变快照在锁定期内谁也删不掉。如果你往文件夹里拷了很大的临时文件又删掉，被快照锁住的旧文件还是会占着硬盘空间。

万一中招了，一两周的时间足够你发现异常并恢复数据，同时过期的快照又能及时自动解锁清理，不会白白占着硬盘。

设好计划后，顺手点一下旁边的 保留 选项卡，把快照的自动清理规则也配好。

上图的清理规则，根据自己的需求配就好。

不用担心这个清理规则会把你的不可变快照提前删掉：在 7 天保护期走完之前，任何清理规则都动不了带蓝色盾牌的快照；只有等 7 天期满、蓝色盾牌自动解开变成普通快照后，清理规则才会按计划接管它。

方式二：折腾系统前，给某张快照手动加锁

如果你今天准备在群晖上做一件有风险的事（比如升级某个重要套件、用脚本批量整理几万张照片），可以先手动拍一张快照，然后去 快照 -> 快照列表 里选中它，点顶部的 编辑，勾上「启用不可变快照」锁个 3 天，折腾坏了随时能反悔。

方式三：两台群晖异地互相备份不可变快照

如果你家里和父母家（或者公司两个办公点）各有一台支持该功能的群晖，你还可以在 Snapshot Replication -> 复制 里创建异地复制任务，并在设置里勾上「启用不可变快照」。

就像上面这张官方示意图展示的一样，主 NAS 和远端备份 NAS 都会给快照锁上蓝色盾牌，两边各自跑着独立的防篡改秒表，哪怕主 NAS 被黑客攻陷或者遭遇硬件损坏，远端那台机器上的历史存档依然稳如泰山。

Part 6

文件被删或被加密后，如何救回

设好了不可变快照，万一哪天真的发现文档被病毒加密成了乱码，或者自己手滑删错了重要文件，怎么把它们找回来呢。

看你是想找回一两个文件，还是想把整个文件夹推倒重来，一共有 3 种恢复方法。

方法一：只找回误删的一两个文件

如果只是不小心删错了某份表格，或者想找回昨天改坏之前的设计稿，根本不需要动整个文件夹。

去 Snapshot Replication -> 快照 页面，选中文件夹点 设置 -> 高级，把「让快照可见」勾上。

勾上之后，你打开群晖的 File Station 或者电脑上的网络邻居，点进这个共享文件夹，会发现最上面多了一个叫 #snapshot 的文件夹。

点进去一看，里面全是用日期命名的历史文件夹，直接点进昨天凌晨的文件夹，把里面完好无损的文件复制出来粘贴到外面的主目录就完事了。

如果你用的是 Windows 电脑，甚至可以直接在文件上点右键，选 属性 -> 以前的版本，就能在 Windows 自带界面里直接挑一个历史版本一键还原。

而且这个 #snapshot 文件夹本身是完全只读的，病毒就算顺着目录爬进去也改不了里面的任何东西。

方法二：还原整个文件夹

如果整个文件夹成千上万张照片都被勒索病毒改成了乱码，一个个复制太慢，这时候就直接用整目录原地回滚。

注意：如果是中了勒索病毒，回滚前请先把外网端口关掉、改掉管理员密码、停掉可疑服务，把黑客先踢出去。

然后打开 Snapshot Replication，按这 4 步点就行：

1. 点击左侧的 还原 菜单。

2. 选中出事的共享文件夹，点击顶部的 还原 按钮。

3. 在弹出的列表里，找到出事前最近的一张带有「蓝色盾牌」的快照。

4. 点击左上角的 操作 按钮，选择「还原到此快照」。

这时系统会问你要不要「还原前拍摄一个快照」，建议勾上，以防回滚后想从当前现场捞某个刚建的文件。

点确定之后，哪怕你有十几个 TB 的数据，群晖也只需要两三分钟就能把账本翻回出事前，文件夹里所有的加密乱码瞬间消失，原来的照片和文档全部原样归位。

方法三：复制出一个新文件夹慢慢对比

如果你不想直接覆盖掉现在的文件夹，想先把历史快照恢复到旁边对比一下，可以在刚才的 操作 菜单里选第二项：「以新名称克隆」。

系统会在几秒钟内帮你变出一个新的共享文件夹（比如叫 photo_恢复），而且因为它和原快照共用底层数据块，不会额外多占一倍的硬盘空间，非常方便你慢慢核对文件。

Part 7

需要长期封存的档案，使用 WriteOnce 文件夹

前面提到，如果你有一批长年不需要修改的重要档案（比如合同扫描件、财务凭证、老照片归档），可以在 控制面板 -> 共享文件夹 -> 新增 里，专门建一个启用 WriteOnce 的档案文件夹。

创建时只需要注意上图里的 4 个选项：

1. 选择模式：普通家庭和企业请选「企业模式」，给自己留一条将来删除整个文件夹腾空间的后路；除非有强制合规要求，否则不要轻易选连管理员都删不掉的「法规模式」。

2. 自动锁定计时器：比如设为「2 小时后」，意思是文件拷进去的头 2 个小时内你还能改名字或删掉传错的文件，满 2 小时后自动落锁。

3. 保留期限：文件锁住多久不准改，可以按天、月、年设，也可以选永久。

4. 锁定状态：一般归档选「不可变」（彻底只读）；如果是用来存服务器日志或不断往下记账的文件，选「可附加」（只准在文件末尾继续往后写，不准改前面的内容）。

如果把硬盘拔下来换到另一台群晖上，或者按机身背面的 RESET 孔重装系统，这些锁会失效吗。

群晖官方白皮书第 13 页给出了一张非常直观的总结表：

简单总结就是：不管你是把硬盘拔下来插到另一台支持该功能的群晖上，还是用卡针按机身背面的重置孔重装 DSM 系统，原有的不可变快照和 WriteOnce 锁都会原封不动地保留下来，黑客或外人没法通过重装系统来绕过保护。

Part 8

避坑提醒

不可变快照之所以厉害，是因为它这把锁「连你自己都解不开」。但也正因为解不开，在打勾之前一定要避开下面这 4 个坑，免得把自己坑进死胡同。

千万别给下载目录和监控目录开不可变快照

这是最多人踩的头号大坑。

绝对不要给 PT/BT 电影下载目录、摄像头 24 小时循环录像目录或者虚拟机频繁读写的目录开启不可变快照。

道理很简单：假设你的硬盘还剩 2 TB 空间，你给电影下载目录开了 14 天的不可变快照。

这礼拜你每天下载 300 GB 的高清 Amazing Video，看完觉得不好看就顺手删了。

平时没开快照的时候，删掉电影立刻就能腾出 300 GB 空间；但开了不可变快照之后，昨晚半夜拍下的不可变快照还死死抓着那部电影不放，空间根本释放不出来。

只要连下 7 天电影，哪怕你的下载文件夹看着空空如也，2 TB 的硬盘也会被前几天的不可变快照彻底塞满。

最要命的是，等硬盘 100% 满了你想去删快照腾地方时，系统会冷酷地提示你「保护期未到，禁止删除」，除了买新硬盘插上去扩容，你只能干瞪眼等倒计时走完。

为了防止这种情况（或者黑客故意往文件夹里塞垃圾文件撑爆硬盘），强烈建议在 控制面板 -> 共享文件夹 -> 编辑 -> 高级 里，给开启了不可变快照的文件夹设一个「共享文件夹配额」（比如给文档库限制最多用 500 GB），给空间消耗加上一道安全阀。

DS918+ 等 20 系列以前的老机型，千万别强行刷机开启

哪些群晖机型能用不可变快照呢。

根据群晖官方机型清单（https://kb.synology.cn/zh-cn/DSM/tutorial/which_synology_nas_models_support_WriteOnce_and_secure_snapshots），基本上所有「20 系列及更新」且支持 Btrfs 的机型都原生支持。

而像保有量很大的经典老机型 DS918+、DS218+、DS1019+（尾号是 18 或 19），升级到 DSM 7.2 后在界面上是看不到这个选项的。

网上有些教程会教你通过 SSH 敲一行命令修改系统配置文件（把 synoinfo.conf 里的 support_worm 改成 yes），强行把不可变快照的按钮刷出来。

千万不要在存有重要数据的老机器上这么干。

群晖知名开源维护者 007revad 在 GitHub 社区（https://github.com/007revad/Synology_HDD_db/issues/127）专门发过警告：20 系列之前的老机型底层缺少完整的倒计时解锁支持。

一旦你在 DS918+ 上强行改配置开了不可变快照，你会发现那个保护期倒计时根本不会往下走，拍下的快照会变成永远不解锁的「钉子户」，最后只能把硬盘拆下来插到电脑上格式化才能清掉。

如果你用的是 DS918+ 等老机型，老老实实用「普通定时快照 + 禁用默认 admin 账号 + 开启两步验证 + 关闭外网管理端口 + 移动硬盘定期备份」就已经足够安全了。

加密文件夹一定要把密钥另外存好

如果你给某个共享文件夹同时开了「加密」和「不可变快照」，在快照倒计时结束前，系统是不允许你解除文件夹加密的。

而且一旦 NAS 重启，你必须先输入加密密码或导入 .key 密钥文件把文件夹挂载上，才能浏览或恢复里面的快照。所以加密密码和密钥文件一定要在电脑或密码管理器里多存一份。

不可变快照防的是病毒，防不住硬盘坏掉

不可变快照再强，它也是和你的原文件存在同一块（或同一组）硬盘里的。

如果遇到雷击、停电，硬盘嘎了，或者两块硬盘同时损坏导致存储池崩溃，快照也会跟着一起消失。

所以最省心的组合是：平时靠「本地不可变快照」防手滑误删和勒索病毒，再搭配一块移动硬盘或异地网盘定期做一次离线备份防硬盘损坏，这样你就可以安心当个甩手掌柜了。

Part 9

让 AI 给你检查快照

如果你拿不准自己的群晖能不能开不可变快照、或者怕哪个目录没设配额把硬盘撑爆，可以直接把下面这段咒语复制给 AI，让它用只读模式帮你做个检查：

请通过 SSH 以只读方式登录我的群晖 NAS（主机地址：[填入群晖IP]，端口：[填入SSH端口]，用户名：[填入管理员账号]），帮我做一次「不可变快照防线体检」，过程中严禁修改任何系统配置文件（尤其严禁修改 /etc.defaults/synoinfo.conf），请检查并用通俗语言汇报以下 4 件事：

1. 机型是否原生支持：查看系统配置中的机型名称、DSM 版本与 support_worm 状态，告诉我这台机器是否原生支持不可变快照（如果是 18/19 系列老机型，请提醒我只用普通快照，切勿强开）。
2. 硬盘剩余空间够不够：检查当前 Btrfs 存储空间的剩余可用比例，判断空间是否充裕（建议剩余空间大于 20%）。
3. 哪些目录有撑爆硬盘的风险：列出所有的共享文件夹，帮我看看有没有像下载目录（downloads）、监控目录（surveillance）这类大流量文件夹，并检查我的核心文件夹是否设置了空间配额。
4. 快照保护现状与建议：看看 Snapshot Replication 套件里目前哪些文件夹已经开了定时快照和不可变保护，哪些重要文件夹（如照片、个人文档、Docker）还在「裸奔」，并给我一份简单的设置建议（哪些目录该开 7~14 天不可变快照、哪些目录不该开）。

Part 10

最后

很多同志手里的群晖是 20 系列以后的新款机型，也已经升到了 DSM 7.2，却因为不知道「快照」是什么，或者从来没点开过那个「启用不可变快照」的小方框，眼睁睁看着攒了好几年的家庭照片被锁死。

给数据上保险，其实不难。

今天下班回家，花 5 分钟打开群晖后台，给存着家人照片和重要文档的文件夹开启每天一次的定时快照，再勾上 7 到 14 天的不可变保护。

下次黑客把你的文件偷偷加密，等着你乖乖交出大饼的时候，殊不知，你点击的是恢复快照按钮。

阅读原文：点击这里​