Accéder à son réseau local : Configurer un VPN sur Synology

On a tous vécu ce moment de solitude où l’on réalise qu’un fichier crucial est resté sur le NAS alors qu’on est déjà en déplacement. Face à l’urgence, la tentation est forte d’ouvrir simplement un port sur sa box pour accéder à l’interface DSM. C’est une erreur monumentale : exposer un service d’administration directement sur le web revient à tendre une invitation officielle aux bots et aux scanners de vulnérabilités qui ratissent le net en permanence.

La solution consiste à créer un tunnel sécurisé, un point d’entrée unique qui authentifie l’utilisateur avant de lui donner accès au réseau local. Dans ce guide, je vais vous montrer comment transformer votre NAS Synology en serveur VPN pour naviguer chez vous, même à l’autre bout du monde, sans compromettre la sécurité de vos données.

Pourquoi sécuriser son accès distant ?

Ouvrir des ports indiscriminément sur sa box internet revient à laisser des fenêtres ouvertes dans une maison isolée. Chaque port ouvert est une porte d’entrée potentielle pour une attaque par force brute ou l’exploitation d’une faille logicielle. Si vous exposez votre interface de gestion, un simple mot de passe faible peut suffire pour qu’un attaquant prenne le contrôle total de vos fichiers.

C’est ici que la différence entre l’exposition d’un service et l’utilisation d’un tunnel VPN devient cruciale. Au lieu d’ouvrir dix ports pour dix services différents, vous n’en ouvrez qu’un seul, dédié au VPN. Une fois le tunnel établi, vous êtes virtuellement “à la maison” et pouvez accéder à tous vos appareils via leurs adresses IP locales, sans qu’ils ne soient jamais visibles depuis l’extérieur.

Centraliser cet accès via un NAS Synology est un choix pragmatique. Le NAS est généralement allumé 24h/24 et possède une puissance de calcul suffisante pour gérer le chiffrement des flux sans ralentir le réseau. Cela évite de devoir configurer des règles complexes sur un routeur qui, souvent, propose des interfaces de gestion totalement ubuesques et limitées.

SSH ou VPN : Quelle solution choisir ?

Techniquement, un tunnel SSH simple via un proxy SOCKS peut suffire pour naviguer sur le web ou accéder à quelques services. C’est une solution légère, mais elle manque d’ergonomie pour un usage global car elle ne redirige pas tout le trafic réseau de votre machine. Vous devez configurer chaque application pour qu’elle utilise le proxy, ce qui devient vite fastidieux.

Le paquet VPN Server de Synology propose une approche beaucoup plus complète. En créant un véritable tunnel réseau, votre ordinateur reçoit une adresse IP interne au réseau domestique. C’est beaucoup plus transparent : vos partages SMB, vos imprimantes et vos interfaces de domotique fonctionnent comme si vous étiez connecté en Wi-Fi dans votre salon.

Les prérequis techniques

Avant de plonger dans la configuration, vous devez préparer votre environnement. L’installation commence par le Centre de Paquets du DSM où vous devez installer VPN Server. Une fois installé, assurez-vous que les utilisateurs auxquels vous souhaitez donner l’accès disposent des permissions nécessaires dans l’onglet “Privilèges” du logiciel.

Le point le plus critique reste l’adressage IP. La plupart des box internet fournissent une IP publique dynamique qui change régulièrement, rendant votre tunnel inaccessible sans une stratégie de mise à jour. Si l’utilisation d’un service DDNS classique (comme No-IP ou Dynu ou d’autres) est la solution la plus simple, vous pouvez tout à fait utiliser un nom de domaine propre acheté chez un registrar. L’élément technique déterminant ici est le TTL (Time To Live) : il doit être configuré au plus bas pour garantir que le serveur reste joignable immédiatement après un changement d’IP.

Pour automatiser cette mise à jour chez votre hébergeur, trois options s’offrent à vous :

• Le paramétrage dans votre box qui permet peut-être la mise à jour d’un DDNS,
• L’utilisation des fonctionnalités DDNS natives intégrées au DSM de Synology.
• L’implémentation d’un script personnalisé pour pousser l’IP modifiée via l’API de votre registrar.

Si ce n’est pas déjà fait, vous devez impérativement attribuer une adresse IP locale statique à votre NAS. Sans cela, un simple redémarrage de votre matériel pourrait modifier l’adresse attribuée par le serveur DHCP, rendant vos règles de redirection de ports totalement obsolètes. Je vous conseille de passer par le bail statique dans les paramètres DHCP de votre box plutôt que de fixer l’IP directement sur le NAS, ce qui évite les conflits d’adresses sur votre réseau.

Configurer le serveur VPN sur Synology

Comme vu plus tôt, nous allons utiliser le protocole OpenVPN. C’est le meilleur compromis actuel entre sécurité, compatibilité multiplateforme et facilité de déploiement. Évitez le PPTP, qui est aujourd’hui considéré comme obsolète et vulnérable.

Dans les paramètres OpenVPN, vous devrez définir le port d’écoute et la plage d’adresses IP que le serveur attribuera aux clients. Veillez à ce que cette plage ne chevauche pas celle de votre réseau local actuel pour éviter des conflits de routage. C’est un détail technique simple, mais qui peut rendre le diagnostic très pénible si vous vous trompez.

Les valeurs que je propose ici correspondent à mon usage quotidien. En termes de sécurisation et de performances, elles représentent un bon compromis pour la plupart des configurations domestiques. Je privilégie systématiquement le protocole UDP, car il assure une meilleure fluidité et un engorgement moindre du trafic en évitant la surcharge liée aux accusés de réception propres au TCP.

La dernière étape consiste à exporter le fichier de configuration .ovpn. Ce fichier regroupe les certificats et les paramètres de connexion indispensables au client. Vous devrez modifier manuellement l’adresse IP ou le nom d’hôte à l’intérieur du fichier pour qu’il pointe vers votre adresse DDNS plutôt que vers l’IP locale du NAS. Je vous conseille également d’y définir le serveur DNS utilisé lors de la connexion OpenVPN ; c’est un détail crucial pour pouvoir résoudre les noms de vos machines sur le réseau local. Personne n’a envie de jongler avec des adresses IP fastidieuses alors qu’un nom d’hôte est infiniment plus pratique. Cette IP est souvent l’adresse interne de la box, puisque c’est elle qui fait office de serveur DHCP et DNS local.

dhcp-option DNS <ip_dns_interne>
remote <votre_domaine> <port_public_sur_internet>

Exemple:

dhcp-option DNS 192.168.0.1
remote mon_domaine.org 12345

Ce fichier .ovpn regroupe l’ensemble des paramètres de configuration et les certificats nécessaires. Vous devrez le déployer sur vos différents clients pour établir la connexion sans avoir à configurer manuellement chaque paramètre réseau, ce qui serait fastidieux et source d’erreurs.

Ouvrir le réseau : Le port forwarding

C’est l’étape où beaucoup d’utilisateurs bloquent. Votre NAS est protégé par le pare-feu de votre box internet, qui rejette toutes les connexions entrantes par défaut. Vous devez donc créer une règle de redirection de port (port forwarding) dans l’interface de votre opérateur.

Le flux est simple : une requête arrive d’Internet sur un port de votre box (ex : 12345 ci-dessus), et la box la redirige vers l’IP locale de votre NAS sur ce même port ou un autre que vous aurez défini dans les paramètres OpenVPN. Sans cette règle, vos tentatives de connexion s’arrêteront net à la frontière de votre réseau. Assurez-vous de bien sélectionner le protocole UDP, car c’est ce que nous avons défini dans OpenVPN.

Sécuriser l’implémentation

La sécurité n’est pas un état, mais un processus. Si vous utilisez un simple mot de passe, vous êtes vulnérable aux attaques par dictionnaire. La hiérarchie de sécurité commence par le mot de passe fort, monte vers l’authentification à deux facteurs (2FA) et culmine avec l’utilisation de certificats clients uniques pour chaque appareil.

Je vous conseille fortement d’activer le blocage automatique des IP dans le Panneau de configuration du DSM. Cette fonctionnalité bannit temporairement toute adresse IP qui échouerait plusieurs fois consécutivement à s’authentifier. C’est l’arme la plus efficace contre les bots qui scannent le web en permanence.

Enfin, faites le ménage dans vos protocoles. Si vous n’utilisez qu’OpenVPN, désactivez explicitement L2TP et PPTP dans l’interface du VPN Server. Moins vous laissez de services actifs, plus vous réduisez votre surface d’attaque. C’est une règle d’or en cybersécurité : la simplicité est la meilleure des protections.

L’étape finale : La connexion client

Pour utiliser votre tunnel, installez le client OpenVPN officiel sur votre machine (Windows, macOS, Linux) ou votre smartphone (Android, iOS). L’opération consiste simplement à importer le fichier .ovpn que vous avez configuré précédemment. L’application s’occupera ensuite de gérer le chiffrement et la maintenance de la session.

Lors de la première authentification, saisissez vos identifiants DSM. Une fois connecté, vous devriez constater que votre adresse IP publique a changé pour devenir celle du serveur VPN. Vous pouvez alors tester l’accès à vos ressources locales en tapant l’IP interne de votre NAS (ex: 192.168.1.50) dans votre navigateur.

Le résultat final est un accès transparent et sécurisé à l’ensemble de votre infrastructure domestique. Vous pouvez désormais gérer vos fichiers, vos conteneurs Docker ou vos caméras de surveillance sans jamais exposer vos services directement sur le web. Votre réseau est maintenant une forteresse dont vous seul possédez la clé.