把自建的Plex媒体服务器暴露到公网，意味着任何人都可能尝试访问你的设备。如果配置不当，轻则数据泄露，重则整个内网被攻破。在把服务器开放给外网访问之前，我做了4项安全加固，这里逐一拆解。

第一件事：强制开启两步验证

打开网易新闻 查看精彩图片

Plex账号是访问服务器的第一道门。默认情况下，仅凭邮箱和密码就能登录，而密码泄露在今天是常态。我在Plex账户设置中强制开启了两步验证（2FA），这样即使密码被撞库或钓鱼获取，攻击者也无法直接进入管理后台。

这一步成本最低，但收益最大。Plex官方支持通过Authenticator类应用生成动态验证码，绑定过程只需几分钟。

第二件事：为远程访问单独设置端口转发规则

Plex默认使用32400端口进行通信。直接把这个端口映射到公网，等于告诉扫描器"这里有一台Plex服务器"。我改用了非标准的外部端口，并在路由器上限制来源IP范围——只允许自己常用的几个IP段访问。

如果路由器支持，还可以进一步启用端口触发（Port Triggering）而不是静态端口转发，让端口只在有出站请求时才临时开放。

第三件事：关闭不必要的Plex功能

Plex自带的一些便利功能，在公网环境下反而是攻击面。我关闭了DLNA（数字生活网络联盟）发现服务和远程串流（Remote Streaming）中不必要的转码选项。DLNA会让局域网内的设备自动发现服务器，但在公网场景下，这个广播机制可能暴露服务器存在。

同时，我在Plex设置里禁用了"允许不安全的连接"选项，确保所有远程会话都走HTTPS加密通道。

第四件事：用反向代理加一层防护

最有效的一步是把Plex放到反向代理后面。我在服务器前部署了Nginx，用域名+SSL证书对外提供服务，Plex本身不再直接暴露公网IP。这样外部流量先经过Nginx的过滤规则，只有匹配的Host头才会被转发到Plex端口。

反向代理还能顺带解决一个问题：隐藏Plex的真实端口和服务器指纹。扫描器看到的只是一个标准的HTTPS站点，而不是一台Plex设备。

以上4步做完后，我的Plex服务器在公网运行了几个月，日志里没有出现一次可疑的未授权访问尝试。安全没有绝对，但把常见攻击路径堵住，已经能挡住绝大多数扫描和自动化攻击。