Diese Aussage geht mir allmählich auf die Nerven. Für was legt man sich ein NAS System mit diesen Funktionen zu, wenn man diese wegen der Unsicherheit und Hosenschei*er der anderen nicht nutzen darf / sollte.
Ich vergleiche das gern mit einem Sportwagen mit (TS-) 464 PS, den ich mir gekauft habe. Das Ding könnte 240 Km/Std auf der Autobahn fahren. Da ich aber Angst habe, dass mir einer in die Karre fährt, fahre ich mit dem Ding nur in Opa's Garten! 
In meiner Hardware Firewall sind nur Ports freigegeben, die ich auch nur nutze. Alles andere wird gesperrt. Nun erklärt bitte, wie meine QNAP für den Missbrauch benutzt werden kann?
Da der Relay eh über die Standort laufen würde, hätte eine Firewall keinen Einfluss, außer man würde dem NAS den Zugriff in das NAS unterbinden und nur Zugriffe aus dem Internet zulassen. Beim dem QNAP-Apache kann man nicht immer genau sagen, welche Funktionen in dem Webserver compiliert wurden. Man kann zwar die Übersicht der aktiven Funktionen abfragen, aber es bietet keine absolute Sicherheit.
Außerdem aktualisiert QNAP diese Anwendungen ( Apache, PHP, usw.) in unregelmäßigen Abständen und ist somit nicht immer auf dem aktuellen Stand.
Daher wäre eine VM sicherer, da man hier selbst die Dienste aktuell und auf das notwendigste halten, die Anfälligkeit durch Sicherheitslücken minimieren kann und vom eigentlichen System (NAS/QTS) abgeschottet ist.
Da bleibt dann noch die Frage, wie aktuell ist das Mono-Projekt und wie hoch ist damit die Gefahr einer Sicherheitslücke und Mißbrauch gegeben?
Never - Never ever sind Standardports wie z. B. 80/443/22 beim Heimrouter offen. Das die http Adresse der FB dann von außen nicht mehr erreichbar ist, ist hinnehmbar - die sollte sowieso nicht genutzt werden -> only https unter Nichtnutzung 443 (schlägt die FB sowieso so vor). Ports immer verschleiern (80 -> 64280). Das ist nur ein kleiner Baustein und hilft sicher nicht gegen einen Fullscan, die Erfahrung zeigt aber, dass generell meist immer nur die "bekannten" Standardports abgegrast werden. Seit ich alle Ports so maskiert habe sind die FW-Logs deutlich kleiner geworden.
