Quên mật khẩu NAS QNAP: 4 cách vào lại, không mất dữ liệu

Mất quyền admin trên QNAP: ba lớp khoá, ba chìa khác nhau

NAS QNAP, dù chạy QTS hay QuTS hero, có ba lớp chặn người lạ: mật khẩu tài khoản, cơ chế tự chặn IP khi đăng nhập sai nhiều lần, và xác minh 2 bước bằng điện thoại. Cả ba đều làm tốt việc của mình. Rồi tới một hôm, người bị chặn ngoài cửa lại chính là chủ nhà. NAS vẫn chạy, dữ liệu vẫn nằm đó, chỉ có bạn là không vào được.

Bài này đi từ cách nhẹ nhất tới nút Reset sau lưng máy. Ở bước nào dữ liệu trên ổ cũng còn nguyên. Cụ thể:

• Mình quên đúng cái gì: mật khẩu NAS, mật khẩu QNAP ID hay tên truy cập myQNAPcloud. Đặt lại nhầm loại là mất cả buổi.
• Cách gỡ IP bị chặn mà không đụng tới phần cứng.
• Cách vào lại khi mất điện thoại xác minh 2 bước. QNAP không có mã khẩn cấp như Synology nên cách xử lý khác hẳn.
• Cách reset đúng 3 giây và mật khẩu mặc định sau reset là gì. Gợi ý: từ QTS 5.2 không còn là "admin".

Mấy cảnh rất đời thường:

• Gia đình dùng TS-233. Người cài máy chuyển vào Sài Gòn làm, mang luôn mật khẩu theo trong đầu. Nhà không có admin thứ hai. Đường duy nhất là reset 3 giây rồi đăng nhập bằng Cloud Key in trên tem dán của máy.
• Nhân viên văn phòng gõ sai mật khẩu ổ mạng vài lần. Từ QTS 5.2.3, IP Access Protection bật mặc định cho cả SMB. IP máy đó bị chặn, ổ mạng biến mất. Admin vào từ máy khác gỡ chặn là xong.
• Admin đổi điện thoại mới. Chuyển đủ Zalo, ảnh, danh bạ, trừ đúng app Authenticator. Email dự phòng thì chưa từng cấu hình. Phải nhờ admin khác tắt 2 bước, không có ai thì đành reset.

Ai từ Synology sang thì định vị thế này: reset 3 giây của QNAP tương đương Mode 1. Giữ tới 10 giây thì QNAP không cài lại hệ điều hành như Mode 2, nhưng xoá user, group và cấu hình thư mục chia sẻ. Đau theo kiểu khác.

Bước 0: bạn đang quên mật khẩu nào?

Ba thứ dưới đây hay bị gọi chung là "mật khẩu QNAP" nhưng chẳng dính gì tới nhau. Trên forum QNAP có người bấm "forgot password" ở myQNAPcloud, đổi xong quay lại NAS vẫn bị từ chối. Lý do đơn giản: cái vừa đổi là mật khẩu QNAP ID.

(*) Ngoại lệ: QuTS hero h6.0 trở lên cho đăng nhập NAS bằng QNAP ID, nhưng chỉ khi đã liên kết từ trước.

Việc thứ hai: xem máy đang chạy firmware nào, vì mật khẩu mặc định sau reset phụ thuộc vào nó. Qfinder Pro hiện phiên bản firmware mà không cần đăng nhập. Mốc đối chiếu tại thời điểm viết:

• QTS ổn định mới nhất là 5.2.10.3577 build 20260731.
• QuTS hero ổn định mới nhất là h6.0.2.3591 build 20260819.
• QTS 6.1 mới ở Public Beta từ 13/10/2026, chưa có bản ổn định.

Menu trong bài theo QTS 5.2.x. QuTS hero h6.0 đổi vài chỗ, nhưng Control Panel > System > Security vẫn còn.

Cây quyết định: dừng ở nhánh đầu tiên giải quyết được

1. Còn admin khác, hoặc đã bật khôi phục qua email → Nhánh 1.
2. Không mở được trang đăng nhập, lỗi 403, mất ổ mạng → Nhánh 2, bị chặn IP.
3. Nhớ mật khẩu nhưng kẹt ở bước xác minh 2 bước → Nhánh 3.
4. Hết đường → Nhánh 4, nút Reset 3 giây.

Ba nhánh đầu làm hết trên giao diện web: không đụng phần cứng, không mất cấu hình mạng. Nhánh 4 vẫn giữ dữ liệu, user và thư mục chia sẻ, nhưng bạn phải cấu hình lại IP tĩnh, VLAN, cổng và mức bảo mật. Không nhánh nào cần SSH.

Nhánh 1: quên mật khẩu nhưng còn đường vòng

Còn admin khác thì người đó vào Control Panel > Privilege > Users, chọn Change Password ở cột Action. Mười giây là xong.

Không còn admin nào thì bấm Forgot password ở màn hình đăng nhập. Hệ thống gửi URL kèm mã xác minh về email. Nghe thì gọn, nhưng link này chỉ chạy được khi trước đó đã có đủ ba thứ:

• Email cá nhân đã điền trong Personal Settings > Profile.
• Tuỳ chọn Send a URL and verification code to my personal email address đã bật (tên người dùng trên taskbar > Login and Security > tab Password).
• NAS gửi được mail, tức là đã cấu hình SMTP trong Notification Center.

Thiếu một thứ là link đó chỉ để trang trí.

Trường hợp tài khoản bị Account Access Protection khoá (Control Panel > System > Security), tài liệu QNAP không nói rõ khoá theo kiểu gì. Hướng hợp lý: admin vào Control Panel > Privilege > Users xem trạng thái, mở Edit Account Profile, bỏ chọn Disable this account nếu đang được tích. Chi tiết này chưa được kiểm trên máy thật, bạn đối chiếu với giao diện máy mình.

Nhánh 2: QNAP bị chặn IP

Dấu hiệu: không mở được trang đăng nhập hoặc trang báo lỗi 403, ổ mạng đang map tự nhiên mất. Thủ phạm là IP Access Protection (Control Panel > System > Security). Nó đếm số lần đăng nhập sai (Failed login attempts) trong một khoảng thời gian (Time interval). Vượt ngưỡng là IP bị chặn trong một thời lượng (IP block length).

Mặc định nó canh SSH, Telnet, HTTP(S). Từ QTS 5.2.3 có thêm SMB. Thế nên nhiều văn phòng vừa nâng firmware xong bỗng thấy máy nhân viên mất ổ mạng.

1. Vào NAS từ IP khác: máy khác trong LAN, hoặc điện thoại bắt Wi-Fi nhà. Phát 4G chỉ dùng được khi NAS đã mở truy cập từ xa qua myQNAPcloud, và đừng để đường này thành thói quen.
2. Đăng nhập admin, vào Control Panel > System > Security > Allow/Deny List.
3. Đang để Allow all connections thì bạn sẽ không thấy IP bị chặn nào, vì chế độ này không hiện chúng (FAQ cid=1187). Chuyển tạm sang Deny connections from the list là danh sách hiện ra.
4. Chọn IP > Remove > Apply.
5. Đưa lựa chọn về như cũ rồi Apply lần nữa. Bước này hay quên nhất, vì gỡ chặn xong ai cũng thở phào đóng tab.

Đã cài QuFirewall thì Allow/Deny List chuyển hết sang đó. Gỡ ở QuFirewall > Firewall Profiles > (profile đang dùng) > Denied IP Addresses > Delete, hoặc dùng Denied IP Analysis. Không có thiết bị nào khác để vào thì chỉ còn cách chờ hết IP block length.

Nhánh 3: mất điện thoại xác minh 2 bước

Người từ Synology sang hay hụt chân ở đây: QNAP không có mã khẩn cấp. Dự phòng duy nhất là mã gửi qua email, và phải cấu hình từ trước. Trên QTS 5.2.x, xác minh 2 bước chạy với QNAP Authenticator, Microsoft Authenticator hoặc Google Authenticator. Hai app sau chỉ có mã TOTP.

Mất điện thoại thì đi lần lượt:

1. Ở màn hình xác minh, bấm Try another way, chọn nhận mã qua email.
2. Chưa có email thì nhờ admin khác vào Control Panel > Privilege > Users > Edit Account Profile, chọn Disable 2-step Verification.
3. Không có admin khác thì sang nhánh 4. Theo FAQ QNAP, reset 3 giây tắt luôn xác minh 2 bước của tài khoản admin (QTS 4.4.3 trở lên). Vào bằng admin + Cloud Key, tắt 2 bước cho tài khoản của bạn, rồi tắt "admin" lại.

Nhánh 4: nút Reset 3 giây, đường cuối cùng

QNAP gọi đây là Basic system reset. Nó không đụng tới dữ liệu, user hay thư mục chia sẻ. Những thứ bị đưa về mặc định:

• Tài khoản admin bật lại, mật khẩu về mặc định (xem bảng dưới).
• TCP/IP chuyển sang DHCP, jumbo frame tắt, port trunking về Active Backup.
• Cổng hệ thống về 8080, Security level về Low (Allow all connections).
• Mật khẩu màn hình LCD về trống, VLAN tắt, service binding chạy trên mọi card mạng.

Mật khẩu "admin" sau reset là gì?

Đây là chỗ kẹt nhiều nhất, vì mật khẩu đổi theo phiên bản (FAQ QNAP cid=2288):

Cloud Key là Q1234-5678 thì gõ Q12345678. Nó được in trên tem dán của máy và trong Quick Installation Guide, đồng thời hiện trong cửa sổ Device Details của Qfinder Pro và ở tab Device Detail trên myQNAPcloud. Không thấy ở đâu cả thì gửi MAC cho bộ phận hỗ trợ QNAP.

Các bước

1. Để NAS đang chạy, dùng kẹp giấy ấn vào lỗ Reset sau lưng máy.
2. Thấy "click" thì giữ khoảng 3 giây. Nghe 1 tiếng bíp là thả ngay.
3. Mở Qfinder Pro tìm IP mới do DHCP cấp. Chỉ tải bản mới nhất ở trang Utilities trên qnap.com, vì QNAP đang cảnh báo có web Qfinder Pro giả mạo.
4. Vào http://<IP>:8080, đăng nhập admin với mật khẩu theo bảng trên.
5. Từ 5.2, hệ thống bắt tạo admin mới và tắt "admin". Mật khẩu mới không được trùng Cloud Key hay MAC.
6. Cấu hình lại IP tĩnh, VLAN, trunking, cổng, Security level và Allow/Deny List.

Một người dùng trên forum QNAP cho biết reset 3 giây xoá luôn Allow/Deny List. Còn các IP do IP Access Protection chặn có được thả theo không thì QNAP chưa xác nhận chính thức.

Cảnh báo: 3 giây và 10 giây khác nhau một trời một vực

• 3 giây, 1 bíp: chỉ đặt lại mật khẩu admin và cấu hình mạng. Đây là thứ bạn cần.
• Giữ tới 10 giây (bíp ở giây 3 và giây 10) là Advanced system reset. Ngoài những gì reset 3 giây làm, nó đưa mọi cài đặt hệ thống về mặc định và xoá mọi user, user group, cấu hình thư mục chia sẻ. Dữ liệu vẫn còn, nhưng phải khôi phục thư mục chia sẻ và tạo lại từng user. Trong giao diện, bản tương đương là Control Panel > System > Backup/Restore > Restore to Factory Default > Reset Settings.
• Tuyệt đối không bấm Restore Factory Defaults & Format All Volumes hay Reinitialize NAS, nằm cùng chỗ đó. Hai nút này xoá sạch dữ liệu.
• Không rút ổ ra "thử xem sao". Qfinder hỏi có khởi tạo NAS không thì trả lời không.

Người đang hoảng hay đếm "một… hai…" chậm như đọc thơ, đếm xong thì đồng hồ thật đã sang giây thứ 10. Đừng đếm. Nghe bíp là thả.

Lỗi hay gặp và cách xử lý

• Gõ admin hoặc MAC trên QTS 5.2+ bị từ chối. Từ 5.2.0 mật khẩu là Cloud Key. Mất tem thì xem trong Qfinder Pro, trên myQNAPcloud, hoặc gửi MAC cho hỗ trợ QNAP.
• Bấm Reset không có phản ứng. Có thể Enable configuration reset switch (Control Panel > System > Hardware > General) đang tắt. Không có cách tự vượt qua, phải liên hệ hỗ trợ QNAP.
• Reset xong không thấy NAS. IP đã sang DHCP, cổng về 8080, gõ địa chỉ cũ dĩ nhiên không vào. Dùng Qfinder Pro tìm IP mới.
• Dùng "Allow connections from the list only" như allow list bên Synology. Bên Synology, allow list của Auto Block chỉ là danh sách miễn chặn. Lựa chọn này của QNAP thì chặn mọi IP không có trong danh sách. Gõ sai dải mạng một con số là tự khoá mình ngoài cửa nhà mình. Muốn máy trong LAN không bị chặn thì dùng Exclude internal IP addresses. Lỡ khoá rồi thì reset 3 giây (theo forum QNAP).
• Đã cài QuFirewall mà vẫn tìm IP bị chặn trong Control Panel. Sang QuFirewall mà gỡ.
• "Forgot password" báo "Email notification service is currently disabled". Có người báo lỗi này trên forum với QTS 5.2.4, chưa có cách sửa được xác nhận. Đừng coi email là đường cứu duy nhất.
• Reset rồi mà mật khẩu mặc định vẫn sai. Phần cấu hình hệ thống có thể đã hỏng. Mở ticket hỗ trợ QNAP trước. Rành Linux thì xem phần nâng cao.

Đối chiếu nhanh: Synology và UGREEN

Synology Mode 1 đưa mật khẩu admin về rỗng và mạng về DHCP. Làm thêm một lần nữa (3 bíp) là Mode 2. Reset mức nặng của UGREEN không mất dữ liệu trên ổ. Có điều hai tài liệu của hãng ghi thời gian không khớp nhau, nên kiểm đúng trang hỗ trợ của model mình trước khi bấm.

Nâng cao: QuTS hero h6.0 và đường SSH

Đăng nhập bằng QNAP ID (h6.0+). Admin bật ở Control Panel > Security > Login and Password. Người dùng liên kết QNAP ID trong Desktop > Login & Security. Nếu đã liên kết từ trước, đây là cửa phụ khi quên mật khẩu cục bộ (theo release notes, chưa kiểm trên máy thật).

QNAP khuyên đặt mật khẩu QNAP ID khác mật khẩu NAS và bật 2 bước cho QNAP ID trước khi liên kết. Hợp lý thôi: từ lúc liên kết, QNAP ID cũng là một chìa mở NAS.

Passkey (FIDO2). Cũng từ h6.0, bạn đăng nhập được bằng Windows Hello, Touch ID hoặc YubiKey. Cần truy cập qua HTTPS có tên miền và cài FIDO2 Server từ App Center.

Reset rồi vẫn không đăng nhập được (FAQ cid=2258). Đường này dành cho người rành Linux. Chính QNAP cảnh báo rút hoặc cắm ổ sai cách có thể mất dữ liệu, nên mở ticket hỗ trợ trước. Vẫn muốn tự làm thì:

1. Tắt máy, rút ổ và đánh dấu thứ tự khay.
2. Khởi động không có ổ, rồi cắm lại ổ đúng thứ tự.
3. SSH vào, kiểm loại máy và chạy lệnh tương ứng:

ls /sbin/hal_app

# Máy HAL (có file trên):
storage_util --sys_startup
passwd
reboot

# Máy Legacy:
config_util 1
storage_boot_init 1
cp /etc/default_config/passwd /mnt/HDA_ROOT/.config/
cp /etc/default_config/shadow /mnt/HDA_ROOT/.config/
cp /etc/default_config/group /mnt/HDA_ROOT/.config/
reboot

Qfinder hỏi khởi tạo NAS thì vẫn trả lời không.

Checklist phòng ngừa: 15 phút hôm nay, khỏi cầm kẹp giấy mai sau

• Tạo 2 tài khoản admin cho hai người giữ, tắt "admin" mặc định.
• Chụp ảnh tem Cloud Key (kèm MAC1) và lưu ngoài NAS. Lưu trong NAS thì lúc cần, nó nằm ngay sau cánh cửa đang khoá.
• Cấu hình SMTP trong Notification Center, điền email trong Profile, bật "Send a URL and verification code…".
• Bật xác minh 2 bước xong thì bấm thử Try another way, xem email dự phòng có nhận được mã không.
• Bật Exclude internal IP addresses trong IP Access Protection (có từ 5.2.3).
• Ghi lại IP tĩnh, VLAN, cổng đang dùng. Sau reset bạn sẽ cần đúng mấy con số này.
• Để Enable configuration reset switch bật, trừ khi NAS đặt ở chỗ người lạ chạm tới được.

Bảo mật sau khi reset

Reset 3 giây để NAS ở trạng thái khá thoáng: Security level Low, tài khoản admin bật lại. NAS có mở ra Internet thì ngay lần đăng nhập đầu phải tạo admin mới, tắt "admin" và bật lại các hạn chế.

Nút reset cũng là cửa sau cho bất kỳ ai chạm được vào máy: một cái kẹp giấy, 3 giây, Cloud Key dán ngay trên thân máy. Đặt NAS ở chỗ khoá được. Chỉ tắt công tắc reset khi đã có 2 admin và email khôi phục chạy tốt.

Qfinder Pro và QNAP Authenticator chỉ cài từ qnap.com hoặc kho ứng dụng chính thức. QuTS hero h6.0 không hạ cấp firmware được, nên gặp hướng dẫn nào bảo "hạ firmware để vượt khoá" thì đóng tab luôn.

Quên mật khẩu thì ai cũng có ngày. Ngày đó dài hay ngắn tuỳ vào tấm ảnh chụp tem Cloud Key và một tài khoản admin thứ hai. Làm hai việc đó hôm nay, để bài này mãi chỉ là thứ bạn đọc cho biết.