NAS。
任何通过 SMB 共享文件夹的设备都可以：NAS、Windows 服务器，或运行 Samba 的 Linux 机器。Loft 不会改动它，也不会在上面安装任何东西。
工作原理
家里放一个网关，口袋里装一个应用。
Loft 由两部分组成。网关运行在你的 NAS 旁边，应用运行在你的设备上。应用只与你的网关通信，网关只与你的 NAS 通信。
组成部分
Loft 网关。
运行在家中一台 Linux 机器上的小型服务。它以你的身份登录 NAS，因此 NAS 自身的权限设置照常生效。你的应用只连接它，不连接别的。
应用。
Loft 有 iPhone 和 iPad、Mac、Android、Windows 及 Linux 版。它们把共享文件夹放进系统自带的文件应用中，并在你打开文件时获取文件。
配对
loft-gateway pair 会输出一个二维码和一个链接。两者都包含网关的名称、地址以及密钥指纹。你的应用每次连接时都会核对这些指纹，因此不会被骗去与别的机器通信。这也是为什么没有“输入服务器地址”的输入框：手动输入的地址，正是假冒网关骗取密码的途径。（如果确实需要，应用的配对界面上有手动设置。）
链接的形式是 https://loft.incremental.no/pair#…。# 之后的所有内容都只保留在你的设备上，浏览器从不会把这部分发送到我们的网站。
每台设备同一时间只能与一个网关配对。
每条线路上加密了什么
| 在家 | 在外，经由隧道 | 在外，直连 | |
|---|---|---|---|
| 应用 ↔ 网关 | 加密，并绑定你网关的密钥 | 加密传输到隧道服务商，服务商可以读取流量，再经由服务商的隧道到达你的网关 | 加密，并绑定你网关的密钥，端到端 |
| 用密码登录 | 可以 | 不可以。请先在家登录 | 可以，连接已绑定密钥 |
| 网关 ↔ NAS | SMB 3，要求加密（对较旧的 NAS 可以放宽） | 相同 | 相同 |
该选哪种？隧道是简单的选择：无需在路由器上开放任何端口，但你要把流量托付给隧道服务商。直连模式需要把一个端口转发到网关：中间任何人都无法读取内容，但网关可以从互联网访问，因此它会限制登录尝试次数。很多 NAS 在密码输错后不会锁定账户，所以由网关来做这件事。你也可以两者都不用，只在家里使用 Loft。
你的密码。密码只会通过绑定密钥的连接发送到你的网关。网关用两把密钥加密存储它，一把由网关持有，另一把只在你的设备上，因此仅凭网关数据库的副本无法读出密码。每台已登录的设备都有自己的一份加密副本，从网关中移除该设备时，这份副本也会被删除。
坦白说，有些情况我们防不住。网关运行且你正在使用时，它必须用你的密码与 NAS 通信。如果有人控制了正在运行的网关，就可能截获当时正在使用它的人的密码。任何以你的身份登录 SMB 的网关都是如此。所以，请把网关运行在一台不做其他事情的机器上，并及时更新。
更新。网关从不自动更新。你需要在阅读版本说明后，自行安装新的 .deb 或拉取新的容器镜像。
→ 发现了安全问题？安全（hello@incremental.no）