我的做法是：
二级备案域名解析到家宽（电信公网动态 IP ），家宽下接 ikuai 做所有设备的网关，给所有设备设置限定 IP 白名单才能访问。ikuai 的外网访问给关了。但是在外面手机用流量时的 IP 很难即时更新到 ikuai 白名单，所以就在外面时我一般都不同步 NAS 。
我还给家里所有设备和手机都装了 TailScale+ZeroTier ，使用同地域的云服务器自建 derp 打洞，延迟只有 6ms ，但我懒得手机一直允许 tailscale ，目前采用前面方案。最近运营商查得越来越离谱了，每天都提心吊胆的。

另外还有 2 个方案：
1.买台云服务器做反代中转，云服务器跟家宽走 tailscale 打洞，缺点就是受限于云服务器的带宽。买轻量服务器带宽只有几 M ，至少 200 一年；买普通按量计费服务器，每月 1C1G 配置费 30+流量 8 毛每 G ，年费也要大几百。使用云服务器的方法只适合使用流量少的场景。
2.使用 CDN 反代到家宽，CDN 流量便宜，但是很多 CDN 必须备案域名而且只支持 HTTP 协议就很难搞。