Настройка Synology NAS VPN

Присвойте NAS фиксированный адрес в вашей сети

Каждый последующий шаг указывает на один фиксированный адрес. Если ваш NAS автоматически получает свой адрес от маршрутизатора, этот адрес может измениться после перезагрузки — и тогда переадресация портов и VPN молча перестанут работать. Поэтому сначала исправьте адрес.

Откройте Панель управления → Сеть → Сетевой интерфейс, выберите подключение к локальной сети, нажмите Изменить и выберите Использовать настройку вручную. Присвойте NAS фиксированный адрес внутри вашей сети — в этом видео NAS находится по адресу 192.168.1.10. Запишите адрес; Шаги 6 и 7 используют именно этот адрес.

Установить пакет VPN-сервера

Synology предоставляет вам VPN-сервер бесплатно в виде отдельного официального пакета — ничего не нужно загружать со сторонних сайтов.

Откройте Центр пакетов, найдите VPN-сервер и нажмите Установить. По завершении откройте VPN-сервер в главном меню. В списке вы увидите три протокола: OpenVPN, L2TP/IPSec и PPTP. Это руководство основано только на OpenVPN.

Включите OpenVPN и разрешите доступ к локальной сети

В VPN-сервере откройте страницу OpenVPN и установите флажок Включить сервер OpenVPN. Оставьте порт по умолчанию 1194 и протокол UDP для первой настройки — правило маршрутизатора на шаге 6 и экспортированный файл на шаге 7 зависят от этих двух значений.

Также установите флажок Разрешить клиентам доступ к локальной сети сервера. Без него ваш телефон подключается к VPN, но не получает доступа ни к чему за ним — ни к NAS, ни к общим папкам. Нажмите Применить.

Разрешить подключение только нужному пользователю

Логин VPN — это ключ ко всей вашей домашней сети, поэтому никогда не передавайте его своей основной учетной записи администратора DSM. Создайте одного обычного пользователя DSM только для VPN с длинным уникальным паролем, который больше нигде не используется.

Затем откройте VPN-сервер → Привилегии и разрешите этому пользователю только OpenVPN — никто больше не получит доступ к VPN. Также оставьте включенной Автоблокировку в DSM (Панель управления → Безопасность → Учетная запись), чтобы повторяющиеся неправильные пароли из Интернета автоматически блокировали злоумышленника.

Настройка Synology DDNS — одно имя, которое всегда указывает на дом

Общественный адрес вашего домашнего подключения к Интернету время от времени меняется. Если ваш файл VPN указывает на сегодняшний адрес, он сломается при следующем изменении адреса. DDNS решает эту проблему: одно постоянное имя, которое всегда следует за вашим домом.

Откройте Панель управления → Внешний доступ → DDNS, нажмите Добавить, выберите поставщика услуг Synology и войдите в свою учетную запись Synology. Выберите имя хоста, например yourname.synology.me, и подтвердите, что статус отображается как Нормальный. Это имя, а не номер, будет использоваться вашим телефоном на шаге 7.

Перенаправить ровно один порт на маршрутизаторе и экспортировать файл .ovpn

Ваш маршрутизатор должен передавать VPN-трафик на NAS. Это одно правило, на один порт, на один адрес — не более того.

Войдите в свой маршрутизатор, найдите Переадресация портов и перенаправьте внешний UDP-порт 1194 на фиксированный адрес NAS из шага 1, порт 1194:

UDP 1194  ->  192.168.1.10 : 1194

Также разрешите VPN-сервер в брандмауэре DSM, если он включен (Панель управления → Безопасность → Брандмауэр). Затем вернитесь на страницу OpenVPN на VPN-сервере и нажмите Экспортировать конфигурацию, чтобы сохранить файл .ovpn. Откройте этот файл в текстовом редакторе и проверьте строку remote — она должна содержать ваше DDNS-имя и порт OpenVPN:

remote yourname.synology.me 1194

Подключайтесь со своего телефона и тестируйте мобильные данные

Установите бесплатное приложение OpenVPN Connect на свой телефон и импортируйте файл .ovpn, который вы экспортировали на шаге 6. Введите имя пользователя и пароль VPN из шага 4 и подключитесь.

Теперь честный тест: выключите Wi-Fi и оставьте мобильный трафик. Проверка собственного Wi-Fi ничего не доказывает, потому что вы уже находитесь внутри сети. При использовании мобильных данных откройте адрес NAS 192.168.1.10 или одну из его общих папок. Если ваши файлы открываются вне дома, значит, установка действительно завершена — это безопасная проверка, которой заканчивается видео.

После этого обеспечьте безопасность VPN

VPN — это безопасный способ получить доступ к вашему NAS извне, но только пока о нем заботятся. Три привычки способствуют этому:

• Обновление: постоянно обновляйте DSM и пакет VPN-сервера; Исправления VPN — это исправления безопасности.
• Пароли: каждый пользователь VPN сохраняет свой надежный пароль — никаких общих учетных записей; привилегии удаляются на VPN-сервере, как только кому-то больше не нужен доступ.
• Двери: UDP 1194, перенаправленный из шага 6, остается единственным новым отверстием на вашем маршрутизаторе.