VPN сервер на Synology NAS: полное руководство по настройке OpenVPN, L2TP/IPSec и PPTP

Зачем нужен VPN-сервер на Synology NAS

Synology NAS — это не просто сетевое хранилище для файлов и резервных копий. Благодаря пакету VPN Server он превращается в полноценный VPN-сервер, который позволяет безопасно подключаться к домашней или офисной сети из любой точки мира. Основной сценарий использования — удалённый доступ к файлам, камерам видеонаблюдения, умным устройствам и другим ресурсам локальной сети, как если бы вы находились дома.

VPN-сервер на NAS решает несколько задач одновременно. Во-первых, он закрывает доступ к внутренним сервисам извне: вместо того чтобы открывать порты для каждого приложения (например, для панели управления DSM или камер), вы открываете только порты VPN. Во-вторых, соединение шифруется, что защищает трафик от перехвата в публичных Wi-Fi сетях. В-третьих, VPN позволяет объединять несколько сетей (site-to-site), например, домашнюю и офисную, для обмена данными между устройствами.

Важно понимать: VPN-сервер на Synology — это инструмент для доступа к вашей собственной сети, а не для обхода блокировок или маскировки трафика. Для анонимности и обхода географических ограничений лучше использовать коммерческие VPN-сервисы или арендованный VPS. Домашний VPN-сервер привязан к вашему IP-адресу и не скрывает вашу активность от провайдера, он лишь защищает канал от внешних атак.

Тем не менее, для личного использования и небольших офисов это отличное решение: не нужно платить за отдельный сервер, всё работает на уже имеющемся оборудовании. Пакет VPN Server входит в состав DSM и устанавливается из Package Center бесплатно, без дополнительных лицензий.

Установка пакета VPN Server и базовые настройки

Установка VPN Server занимает не больше минуты. Откройте Package Center в DSM, найдите пакет VPN Server и нажмите «Установить». После установки в главном меню появится приложение VPN Server, которое предоставляет вкладки для настройки трёх протоколов: PPTP, OpenVPN и L2TP/IPSec.

Один из самых частых камней преткновения — права пользователей. Сама по себе установка пакета не даёт никому права подключаться по VPN. Необходимо отдельно разрешить доступ: Control Panel → User & Group → выбрать пользователя → Edit → Applications → VPN Server и поставить галочку. Без этого даже при правильном логине и пароле подключение будет падать с ошибкой аутентификации.

В самом приложении VPN Server есть раздел Privilege, где можно гибко ограничить, какие пользователи и группы имеют доступ к каким протоколам. Например, можно разрешить OpenVPN всем сотрудникам, а PPTP не разрешать никому. Это удобно для управления безопасностью.

Перед началом настройки убедитесь, что у вас есть публичный IP-адрес или настроен DDNS. Если провайдер выдаёт динамический IP, используйте встроенный сервис Synology.me (Control Panel → External Access → DDNS) или сторонний DDNS-провайдер. Без DDNS адрес сервера будет меняться, и клиентские конфиги придётся переделывать вручную.

Настройка OpenVPN — рекомендуемый протокол

OpenVPN — это открытый протокол с надёжным шифрованием, который поддерживается всеми основными платформами: Windows, macOS, Linux, iOS, Android. Для подключения требуется установить клиентское приложение, например, официальный OpenVPN Connect или Tunnelblick на macOS. Зато настройка сервера в DSM интуитивно понятна.

Во вкладке OpenVPN включите сервер, задайте динамический IP-адрес (например, 10.0.0.0), маску подсети 255.255.255.0, порт 1194 (UDP) и протокол UDP. В качестве шифрования выберите AES-256 — это современный стандарт, обеспечивающий достаточную защиту. Опцию сжатия рекомендуется отключить, так как она создаёт риск атаки VORACLE. Максимальное количество подключений задайте вручную, исходя из производительности вашей модели NAS.

После сохранения настроек Synology сгенерирует архив openvpn.zip, который содержит файлы client.ovpn, ca.crt и вспомогательный конфиг. Этот архив нужно раздать пользователям. В файле client.ovpn важно заменить строку remote your_ds_domain 1194 на реальный адрес — либо ваш DDNS-адрес вида yourname.synology.me, либо собственный домен, если вы его настроили.

Для подключения клиент импортирует .ovpn файл в OpenVPN Connect и вводит логин и пароль пользователя DSM. Всё работает из коробки, если порт 1194/UDP проброшен на роутере и брандмауэр NAS не блокирует входящие соединения.

Настройка L2TP/IPSec — встроенная поддержка без приложений

L2TP/IPSec — это комбинация протокола туннелирования L2TP и шифрования IPsec. Главное преимущество — встроенная поддержка во всех современных операционных системах: Windows, macOS, iOS, Android. Не нужно устанавливать сторонние приложения, что особенно удобно на корпоративных устройствах с ограничениями на установку ПО.

В настройках L2TP/IPSec включите сервер, задайте динамический пул IP-адресов (например, 10.0.1.0/24) и сгенерируйте длинный случайный Pre-shared key (общий ключ). Не используйте словарные фразы — ключ должен быть максимально случайным. MTU рекомендуется установить 1400, это значение меньше стандартного и помогает избежать фрагментации пакетов.

Для подключения клиент настраивает VPN-соединение вручную: тип — L2TP/IPSec PSK, адрес сервера (DDNS или IP), общий ключ, логин и пароль пользователя DSM. На Windows могут возникнуть сложности из-за NAT: встроенный клиент Windows по умолчанию не поддерживает L2TP/IPSec через NAT, так как IPsec использует протокол ESP, который не работает с PAT. Решение — добавить в реестр параметр AssumeUDPEncapsulationContextOnSendRule со значением 2. Это можно сделать через PowerShell:

Set-ItemProperty -Path "HKLM:SYSTEM\CurrentControlSet\Services\PolicyAgent" -Name "AssumeUDPEncapsulationContextOnSendRule" -Type DWORD -Value 2

Если проблема сохраняется, можно ослабить шифрование (разрешить MD5 и DES) и включить IPsec через реестр, но это снижает безопасность. В крайнем случае используйте PPTP, хотя он не рекомендуется.

PPTP — почему лучше отказаться

PPTP — один из старейших протоколов VPN, который присутствует в пакете VPN Server по историческим причинам. Он быстрый и простой в настройке, но его шифрование (MPPE) считается взломанным ещё с середины 2000-х годов. При наличии достаточных вычислительных мощностей трафик, зашифрованный PPTP, может быть расшифрован. Поэтому использовать PPTP для передачи чувствительных данных крайне не рекомендуется.

Кроме того, PPTP работает через протокол GRE (IP-протокол 47), который многие роутеры пробрасывают некорректно или вообще не поддерживают. Некоторые интернет-провайдеры, особенно в России (например, МГТС, Yota, Мегафон), блокируют GRE, что делает PPTP полностью неработоспособным. Симптомы — подключение зависает на этапе аутентификации, в логах сервера появляется сообщение о готовности проверить пароль, но соединение не устанавливается.

Если у вас нет специфического устройства, которое поддерживает только PPTP, лучше полностью отключить этот протокол во вкладке Privilege для всех пользователей. Это снизит поверхность атаки и не даст случайно использовать небезопасное соединение.

Для совместимости со старыми устройствами можно оставить PPTP включённым, но только для конкретных пользователей и с пониманием рисков. В любом случае, для новых подключений выбирайте OpenVPN или L2TP/IPSec.

Проброс портов и работа за NAT

NAS почти всегда находится за домашним роутером с NAT, а иногда и за CGNAT провайдера. Для того чтобы внешние подключения доходили до VPN-сервера, необходимо пробросить соответствующие порты на роутере в сторону NAS.

Для OpenVPN нужно пробросить UDP-порт 1194 (или ваш кастомный порт). Для L2TP/IPSec — UDP-порты 500, 1701 и 4500. Для PPTP — TCP-порт 1723 и протокол GRE (47). Обратите внимание, что GRE — это не TCP/UDP порт, а отдельный IP-протокол, и многие бытовые роутеры не умеют его пробрасывать корректно.

Если провайдер выдаёт динамический IP, обязательно настройте DDNS. Встроенный сервис Synology.me позволяет получить бесплатный домен вида yourname.synology.me, который автоматически обновляется при смене IP. Это избавит от необходимости вручную менять адрес сервера в клиентских конфигах.

Особая ситуация — CGNAT. Если провайдер использует CGNAT (адреса из диапазона 100.64.0.0/10), то у вас нет реального публичного IP, и входящие подключения не дойдут до роутера в принципе. DDNS в этом случае не поможет. Решения: запросить у провайдера выделенный IP (часто платно), использовать обратный туннель (например, через VPS) или отказаться от домашнего VPN в пользу арендованного сервера.

Ограничения производительности и узкие места

Производительность VPN-сервера на Synology напрямую зависит от модели NAS. Младшие модели с ARM-процессорами без аппаратного ускорения AES могут заметно проседать по скорости шифрования при нескольких одновременных подключениях. Точные цифры зависят от конкретной модели и версии DSM, поэтому ориентируйтесь на характеристики своего устройства, а не на общие обещания.

Второе узкое место — исходящий канал домашнего интернета. Когда вы подключаетесь к домашнему VPN снаружи и скачиваете файлы с NAS, трафик идёт через upload-канал вашего домашнего провайдера, который у большинства тарифов асимметричен и значительно уже входящего. Например, при тарифе 100 Мбит/с входящих и 10 Мбит/с исходящих, скорость скачивания через VPN будет ограничена примерно 10 Мбит/с.

Третье ограничение — единая точка отказа. Если дома пропадёт электричество или интернет, VPN станет недоступен. В отличие от арендованного сервера в дата-центре, где есть резервное питание и стабильный канал, домашний NAS зависит от бытовых условий.

Наконец, официальный пакет VPN Server не поддерживает WireGuard — современный протокол с высокой производительностью и простотой настройки. WireGuard можно поднять через Docker или сторонние пакеты, но Synology не гарантирует их работу после обновлений DSM. Для постоянной работы лучше использовать официально поддерживаемые протоколы.

Расширенная настройка: site-to-site и ручная конфигурация OpenVPN

Стандартный интерфейс DSM предоставляет ограниченный набор настроек для OpenVPN. Например, типовая конфигурация позволяет клиентам получать доступ к локальной сети сервера, но не наоборот — хосты локальной сети не видят подсети клиентов. Для сценария site-to-site, когда нужно объединить две удалённые сети, требуется ручная настройка через SSH.

Рассмотрим пример: NAS DS918+ с пакетом VPN Server, OpenVPN настроен, подсеть сервера 192.168.1.0/24, пул OpenVPN 10.8.0.0/24, сервер получает адрес 10.8.0.1. Нужно подключить две удалённые подсети: 192.168.10.0/24 (клиент VPN) и 192.168.5.0/24 (клиент VPN-GUST). Для этого создаются две учётные записи в DSM с правами только на VPN, и для каждой назначается статический IP в пуле OpenVPN (например, 10.8.0.5 и 10.8.0.4).

Затем через SSH (например, с помощью Midnight Commander) редактируется файл /var/packages/VPNCenter/etc/openvpn/openvpn.conf. Необходимо добавить параметр client-config-dir ccd, указать роуты на подсети клиентов через их статические IP, и применить топологию subnet. В каталоге ccd создаются файлы с именами, соответствующими логинам пользователей, где прописываются параметры для каждого клиента.

После изменения конфигурации нужно перезагрузить сервис VPN Server. На роутере, через который NAS выходит в интернет, добавляются статические маршруты для подсетей клиентов через IP-адрес NAS. Также не забудьте настроить брандмауэр на NAS и на клиентских устройствах.

Это сложная процедура, требующая знаний сетевых технологий, но она позволяет реализовать полноценное объединение сетей без покупки дополнительного оборудования.

Безопасность и рекомендации по настройке

Безопасность VPN-сервера на Synology зависит от нескольких факторов. Прежде всего, отключите PPTP, если он не нужен, и используйте OpenVPN с AES-256 или L2TP/IPSec с длинным предварительным ключом. Для L2TP/IPSec обязательно задайте сложный Pre-shared key — лучше сгенерировать случайную строку длиной не менее 20 символов.

Используйте сильные пароли для учётных записей DSM, которые имеют доступ к VPN. Лучше создать отдельные учётные записи с минимальными правами, только для VPN-подключения, а не использовать администраторскую учётку. Включите двухфакторную аутентификацию для администратора DSM, если это возможно.

Настройте брандмауэр на NAS, разрешив только необходимые порты для VPN-протоколов. Если вы используете OpenVPN, можно ограничить доступ по IP-адресам клиентов, если они статичны. Также регулярно обновляйте DSM и пакет VPN Server, чтобы получать исправления уязвимостей.

Если вы используете DDNS-адрес Synology.me, это не снижает безопасность — важно, какой протокол и шифрование используются поверх. Однако не публикуйте свои конфигурационные файлы и общие ключи в открытом доступе.

Для максимальной безопасности рассмотрите использование сертификатов вместо паролей в OpenVPN, но это требует дополнительной настройки и подходит для опытных пользователей.

Альтернативы: когда домашний VPN не подходит

Пакет VPN Server на Synology — отличное решение для личного использования и небольших офисов, но у него есть ограничения, которые делают его непригодным для некоторых сценариев.

Если вам нужен VPN для обхода блокировок, маскировки трафика или гарантированной пропускной способности, лучше арендовать VPS в дата-центре. На арендованном сервере нет проблем с CGNAT, upload-канал ограничен только тарифом, а сам сервер не зависит от домашнего электричества. Вы можете развернуть WireGuard, OpenVPN или любой другой протокол с полным контролем над конфигурацией.

Если вам нужно объединить несколько офисов с постоянными туннелями, домашний NAS может не справиться с нагрузкой или оказаться ненадёжным. В этом случае также лучше использовать выделенный сервер или облачные VPN-шлюзы.

Для временного доступа к домашней сети можно использовать решения на основе обратного туннеля, например, Tailscale или ZeroTier, которые не требуют проброса портов и работают даже за CGNAT. Однако они не являются полноценной заменой VPN-сервера для всех сценариев.

В любом случае, выбор зависит от ваших задач: если нужно просто «попасть домой» — VPN Server на Synology справится отлично. Если нужен стабильный и быстрый VPN для работы — рассмотрите аренду VPS.

Вопросы и ответы