Configurer le VPN du Synology NAS

Donnez au NAS une adresse fixe sur votre réseau

Chaque étape ultérieure pointe vers une adresse fixe. Si votre NAS prend automatiquement son adresse du routeur, cette adresse peut changer après un redémarrage, puis la redirection de port et le VPN cessent de fonctionner silencieusement. Alors corrigez d'abord l'adresse.

Ouvrez Panneau de configuration → Réseau → Interface réseau, sélectionnez votre connexion LAN, cliquez sur Modifier et choisissez Utiliser la configuration manuelle. Donnez au NAS une adresse fixe au sein de votre propre réseau. Dans cette vidéo, le NAS se trouve à 192.168.1.10. Notez l'adresse; Les étapes 6 et 7 utilisent exactement cette adresse.

Installer le package du serveur VPN

Synology vous offre le serveur VPN gratuitement dans son propre package officiel – rien à télécharger depuis un site tiers.

Ouvrez le Centre de paquets, recherchez Serveur VPN et cliquez sur Installer. Une fois l'opération terminée, ouvrez le Serveur VPN depuis le menu principal. Vous verrez trois protocoles répertoriés : OpenVPN, L2TP/IPSec et PPTP. Ce guide s'appuie uniquement sur OpenVPN.

Activez OpenVPN et autorisez l'accès au réseau local

Dans le serveur VPN, ouvrez la page OpenVPN et cochez Activer le serveur OpenVPN. Conservez le port par défaut 1194 et le protocole UDP pour votre première configuration : la règle du routeur à l'étape 6 et le fichier exporté à l'étape 7 dépendent tous deux de ces deux valeurs.

Cochez également Autoriser les clients à accéder au réseau local du serveur. Sans cela, votre téléphone se connecte au VPN mais n'atteint rien derrière lui : pas de NAS, pas de dossiers partagés. Cliquez sur Appliquer.

Autoriser uniquement le bon utilisateur à se connecter

Une connexion VPN est une clé pour l'ensemble de votre réseau domestique, alors ne la transmettez jamais à votre compte administrateur DSM principal. Créez un utilisateur DSM normal uniquement pour le VPN, avec un mot de passe long et unique qui n'est utilisé nulle part ailleurs.

Ensuite, ouvrez Serveur VPN → Privilège et autorisez cet utilisateur à OpenVPN uniquement : personne d'autre n'a accès au VPN. Gardez également le blocage automatique de DSM activé (Panneau de configuration → Sécurité → Compte), afin que les mots de passe erronés répétés sur Internet bloquent automatiquement l'attaquant.

Configurer Synology DDNS – Un nom qui pointe toujours vers la maison

L'adresse publique de votre connexion Internet domestique change de temps en temps. Si votre fichier VPN pointe vers l'adresse d'aujourd'hui, il sera interrompu la prochaine fois que l'adresse changera. DDNS résout ce problème : un nom permanent qui suit toujours votre maison.

Ouvrez Panneau de configuration → Accès externe → DDNS, cliquez sur Ajouter, choisissez le fournisseur de services Synology et connectez-vous avec votre compte Synology. Choisissez un nom d'hôte tel que yourname.synology.me et confirmez que l'état indique Normal. Ce nom (et non un numéro) est celui que votre téléphone utilisera à l'étape 7.

Transférer exactement un port sur le routeur et exporter le fichier .ovpn

Votre routeur doit acheminer le trafic VPN vers le NAS. C'est une règle, pour un port, pour une adresse — rien de plus.

Connectez-vous à votre routeur, recherchez Redirection de port et transférez le port UDP 1194 externe vers l'adresse fixe du NAS de l'étape 1, port 1194 :

UDP 1194  ->  192.168.1.10 : 1194

Autorisez également le serveur VPN dans le pare-feu DSM s'il est activé (Panneau de configuration → Sécurité → Pare-feu). Revenez ensuite à la page OpenVPN dans VPN Server et cliquez sur Exporter la configuration pour enregistrer le fichier .ovpn. Ouvrez ce fichier dans un éditeur de texte et vérifiez la ligne remote — elle doit porter votre nom DDNS et le port OpenVPN :

remote yourname.synology.me 1194

Connectez-vous depuis votre téléphone et testez les données mobiles

Installez l'application gratuite OpenVPN Connect sur votre téléphone et importez le fichier .ovpn que vous avez exporté à l'étape 6. Saisissez le nom et le mot de passe de l'utilisateur VPN de l'étape 4 et connectez-vous.

Maintenant, le test honnête : désactivez le Wi-Fi et restez connecté aux données mobiles. Un test sur votre propre Wi-Fi ne prouve rien, car vous êtes déjà à l'intérieur du réseau. Sur les données mobiles, ouvrez votre adresse NAS 192.168.1.10 ou l'un de ses dossiers partagés. Si vos fichiers s'ouvrent depuis l'extérieur de votre domicile, la configuration est véritablement terminée : c'est le test de sécurité par lequel la vidéo se termine.

Gardez le VPN en sécurité par la suite

Un VPN est le moyen sûr d'accéder à votre NAS de l'extérieur, mais uniquement pendant qu'il est entretenu. Trois habitudes le maintiennent ainsi :

• Mise à jour : maintient DSM et le package du serveur VPN à jour ; Les correctifs VPN sont des correctifs de sécurité.
• Mots de passe : chaque utilisateur VPN conserve son propre mot de passe fort – pas de comptes partagés et supprime le privilège sur le serveur VPN dès que quelqu'un n'a plus besoin d'y accéder.
• Portes : l'UDP 1194 suivant l'étape 6 reste la seule nouvelle ouverture sur votre routeur.