VPN-сервер на Synology NAS: полное руководство по настройке OpenVPN, L2TP/IPsec и PPTP

Зачем нужен VPN-сервер на Synology NAS

Synology NAS — это не просто хранилище данных, но и полноценный мини-сервер, способный выполнять функции VPN-концентратора. Развернув VPN-сервер на NAS, вы получаете безопасный удалённый доступ к домашней сети: файлам, камерам, умным устройствам и другим ресурсам, не открывая их напрямую в интернет. Это особенно актуально, если вы часто находитесь в поездках или работаете из мест с небезопасными публичными Wi-Fi сетями.

В отличие от использования сторонних VPN-сервисов, собственный VPN на Synology даёт полный контроль над данными и не зависит от внешних провайдеров. Вы сами управляете учётными записями, протоколами и политиками безопасности. Кроме того, VPN-сервер на NAS может использоваться для объединения нескольких офисов или домашних сетей в единое пространство (site-to-site), что удобно для малого бизнеса.

Важно понимать, что VPN — это не панацея. Он защищает трафик между клиентом и вашей сетью, но не скрывает вашу активность от интернет-провайдера, если вы используете полный туннель. Тем не менее, для удалённого доступа к домашним ресурсам это надёжное и гибкое решение.

Обзор протоколов VPN: OpenVPN, L2TP/IPsec и PPTP

Synology VPN Server поддерживает три основных протокола: OpenVPN, L2TP/IPsec и PPTP. У каждого есть свои сильные и слабые стороны.

OpenVPN — самый гибкий и безопасный протокол, работающий поверх SSL/TLS. Он поддерживает шифрование AES-256, сертификаты и множество опций настройки. OpenVPN легко обходит NAT и работает через UDP или TCP порт 1194. Его главный недостаток — более низкая скорость по сравнению с WireGuard или L2TP/IPsec, а также сложность настройки для новичков. Однако благодаря широкой поддержке клиентов (Windows, macOS, Linux, iOS, Android, роутеры) он остаётся универсальным выбором.

L2TP/IPsec — комбинация туннельного протокола L2TP и шифрования IPsec. Он обеспечивает хорошую скорость и встроенную поддержку в большинстве операционных систем без установки дополнительного ПО. Однако L2TP/IPsec часто блокируется в сетях с агрессивным файрволом, а также требует открытия нескольких портов (UDP 500, 1701, 4500). Кроме того, для работы за NAT на Windows может потребоваться изменение реестра.

PPTP — устаревший протокол, который не рекомендуется использовать из-за серьёзных уязвимостей в шифровании. Он быстр и прост в настройке, но его взлом не представляет сложности для современного оборудования. Некоторые провайдеры (например, МГТС, Yota, Мегафон) блокируют GRE-протокол, на котором работает PPTP, что делает его ненадёжным. Если безопасность важна, выбирайте OpenVPN или L2TP/IPsec.

Для большинства сценариев оптимальным является OpenVPN: он сочетает безопасность, гибкость и кроссплатформенность. Если нужна максимальная скорость и простота, можно рассмотреть WireGuard, но он не входит в стандартный пакет Synology VPN Server и требует установки через Docker или сторонние пакеты.

Установка пакета VPN Server и первоначальная настройка

Первый шаг — установка пакета VPN Server из Центра пакетов Synology. Откройте Package Center, найдите VPN Server и нажмите «Установить». После установки запустите приложение — оно появится в главном меню DSM.

В интерфейсе VPN Server вы увидите вкладки для каждого протокола: OpenVPN, PPTP, L2TP/IPsec. Для каждого протокола можно включить или отключить сервер, задать динамический диапазон IP-адресов для клиентов и максимальное количество одновременных подключений.

При первом включении любого протокола система предупредит о необходимости открыть соответствующие порты на маршрутизаторе. Запишите эти порты — они понадобятся для проброса.

Также важно настроить права пользователей. Перейдите на вкладку «Привилегии» и отметьте, каким пользователям DSM разрешено подключаться через VPN. Рекомендуется создать отдельную учётную запись, которая имеет доступ только к VPN-серверу, а не ко всем службам NAS. Это повышает безопасность: даже если учётные данные VPN будут скомпрометированы, злоумышленник не получит доступ к файлам и настройкам NAS напрямую.

После включения протокола и настройки прав можно приступать к конфигурации маршрутизации и проброса портов.

Настройка OpenVPN-сервера на Synology

OpenVPN — самый популярный протокол для Synology. Для его настройки выполните следующие шаги:

1. В VPN Server перейдите на вкладку OpenVPN и установите флажок «Включить OpenVPN-сервер».
2. Укажите динамический IP-адрес (пул) для клиентов, например 10.8.0.0/24. По умолчанию сервер получает адрес 10.8.0.1.
3. Установите максимальное количество подключений.
4. Обязательно отметьте «Разрешить клиентам доступ к локальной сети сервера» — это позволит клиентам обращаться к другим устройствам в вашей домашней сети.
5. Включите «Проверять TLS-ключ аутентификации» для дополнительной защиты от DDoS-атак.

После этого перейдите на вкладку «Привилегии» и разрешите нужным пользователям доступ к OpenVPN.

Затем необходимо настроить проброс портов на роутере: UDP 1194 на IP-адрес вашего NAS. Убедитесь, что NAS имеет статический локальный IP-адрес, иначе проброс перестанет работать после перезагрузки.

Далее экспортируйте конфигурационный файл клиента: в VPN Server нажмите «Экспорт конфигурации». В полученном архиве будет файл .ovpn. Отредактируйте его в текстовом редакторе:

• Замените YOUR_SERVER_IP на ваш DDNS-хостнейм или статический внешний IP-адрес.
• Если вы хотите, чтобы весь трафик клиента шёл через VPN (полный туннель), оставьте строку redirect-gateway def1. Для раздельного туннеля (только трафик в вашу домашнюю сеть) закомментируйте её.
• Если у вас есть локальный DNS-сервер (например, Pi-hole), укажите его IP в строке dhcp-option. В противном случае оставьте строку закомментированной.
• Добавьте строку client-cert-not-required, если используете современные клиенты OpenVPN — это предотвратит ошибки при подключении.

Сохраните файл и передайте его только доверенным пользователям. Файл содержит сертификаты, поэтому не публикуйте его в открытом доступе.

Настройка L2TP/IPsec-сервера на Synology

L2TP/IPsec — хороший выбор, если вам нужна встроенная поддержка в Windows, macOS и мобильных устройствах без установки дополнительных приложений. Настройка в Synology VPN Server проста:

1. Перейдите на вкладку L2TP/IPsec и включите сервер.
2. Укажите динамический IP-адрес (пул) для клиентов, например 10.2.0.0/24. Можно использовать диапазоны из частных подсетей: 10.0.0.0/8, 172.16.0.0/12 или 192.168.0.0/16.
3. Задайте максимальное количество подключений и лимит на одну учётную запись.
4. Выберите метод аутентификации MS-CHAP v2 — он шифрует пароли.
5. В поле Pre-shared key введите надёжный общий ключ (или сгенерируйте его). Запишите ключ — он понадобится клиентам.
6. Включите режим совместимости SHA2-256 (96 бит), если некоторые клиенты не поддерживают стандартный SHA2.

После применения настроек откройте на роутере порты UDP 500, 1701 и 4500 и направьте их на IP-адрес NAS.

Для подключения с Windows 10/11 может потребоваться изменить реестр, чтобы разрешить L2TP за NAT. Создайте DWORD-значение AssumeUDPEncapsulationContextOnSendRule в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent и установите его значение в 2. После этого перезагрузите компьютер.

При создании VPN-подключения в Windows выберите тип L2TP/IPsec с предварительным общим ключом, введите адрес сервера (DDNS или IP), общий ключ и учётные данные пользователя DSM. В свойствах подключения на вкладке «Безопасность» разрешите протоколы CHAP и MS-CHAP v2. На вкладке «Сеть» снимите флажок IPv6 и отключите «Использовать шлюз по умолчанию в удалённой сети», если не хотите гнать весь трафик через VPN.

Настройка PPTP-сервера и его ограничения

PPTP — самый простой в настройке протокол, но и самый небезопасный. В Synology VPN Server достаточно включить PPTP, задать пул IP-адресов и права пользователей. Порт для проброса — TCP 1723, а также требуется разрешить GRE-протокол (протокол 47) на роутере.

Однако использовать PPTP не рекомендуется по нескольким причинам:

• Шифрование MPPE уязвимо к атакам, и пароли могут быть перехвачены.
• Многие интернет-провайдеры в России (МГТС, Yota, Мегафон) блокируют GRE, из-за чего соединение не устанавливается.
• Современные операционные системы часто отключают PPTP по умолчанию.

Если вам нужен быстрый и безопасный туннель, лучше выбрать OpenVPN или L2TP/IPsec. PPTP можно использовать только в крайнем случае, когда другие протоколы недоступны, и только в доверенной сети.

Если вы всё же решили использовать PPTP, учтите, что при подключении с Synology в качестве клиента (к внешнему PPTP-серверу) необходимо правильно настроить параметры аутентификации и шифрования: для шифрования используйте MS-CHAPv2 и MPPE, для незашифрованного соединения — CHAP и отключение MPPE. Неправильные комбинации приведут к неработоспособности подключения.

Проброс портов и настройка маршрутизации

Чтобы VPN-сервер был доступен из интернета, необходимо настроить проброс портов на вашем роутере. Для каждого протокола нужны свои порты:

• OpenVPN: UDP 1194
• L2TP/IPsec: UDP 500, 1701, 4500
• PPTP: TCP 1723 + GRE

Перед настройкой убедитесь, что ваш NAS имеет статический локальный IP-адрес. Это можно сделать в DSM: Панель управления → Сеть → Сетевой интерфейс → Редактировать → вручную задать IP-адрес, маску и шлюз. Либо настройте DHCP-резервирование на роутере.

Затем войдите в веб-интерфейс роутера и создайте правила проброса портов. Например, для OpenVPN: внешний порт UDP 1194 → внутренний IP NAS, порт 1194. Для L2TP/IPsec: три правила для UDP 500, 1701 и 4500.

Если ваш внешний IP-адрес динамический, настройте DDNS на NAS или роутере. В DSM это делается в Панель управления → Внешний доступ → DDNS. Укажите провайдера DDNS, имя хоста и учётные данные. После этого в конфигурационном файле OpenVPN используйте DDNS-имя вместо IP-адреса.

Также важно настроить брандмауэр на самом NAS. Если включён встроенный файрвол, создайте разрешающие правила для входящих соединений на соответствующие порты. Иначе VPN-сервер не будет принимать подключения, даже если проброс на роутере настроен верно.

Для сценария site-to-site (объединение двух сетей) потребуется более сложная настройка: редактирование конфигурационного файла OpenVPN через SSH, создание каталога ccd с файлами для каждого клиента, указание статических IP-адресов и маршрутов. Это продвинутый уровень, но он позволяет связать несколько офисов в единую сеть.

Подключение клиентов: Windows, macOS, iOS, Android

После настройки сервера необходимо подключить клиентские устройства.

OpenVPN: установите приложение OpenVPN Connect (Windows, macOS, iOS, Android) или используйте клиент с открытым исходным кодом. Импортируйте отредактированный файл .ovpn, введите имя пользователя и пароль DSM. После подключения вы получите доступ к домашней сети.

L2TP/IPsec: в Windows создайте VPN-подключение через «Параметры → Сеть и Интернет → VPN». В macOS — через «Системные настройки → Сеть → VPN». На iOS и Android — в настройках сети выберите тип L2TP/IPsec и введите общий ключ.

PPTP: аналогично L2TP, но тип подключения PPTP. Помните о рисках безопасности.

При тестировании подключения важно находиться в другой сети, нежели ваш NAS. Если вы подключаетесь из той же локальной сети, маршрутизация может не работать из-за NAT loopback. Отключите Wi-Fi на телефоне и используйте мобильный интернет для проверки.

После подключения проверьте доступ к сетевым ресурсам: попробуйте открыть веб-интерфейс NAS по его локальному IP-адресу, обратиться к общим папкам через проводник (например, \\192.168.1.220) или выполнить ping до другого устройства в сети.

Безопасность VPN-сервера: лучшие практики

VPN-сервер — это точка входа в вашу домашнюю сеть, поэтому его безопасность критически важна. Вот несколько рекомендаций:

1. Используйте сильные пароли для всех учётных записей DSM, особенно для тех, у кого есть доступ к VPN. Включите двухфакторную аутентификацию (2FA) для администратора.
2. Создайте отдельного пользователя VPN с минимальными правами. Этот пользователь должен иметь доступ только к VPN-серверу, но не к файлам и настройкам NAS. После подключения вы сможете авторизоваться на NAS под своей основной учётной записью.
3. Ограничьте количество одновременных подключений и подключений с одной учётной записи.
4. Используйте только безопасные протоколы: OpenVPN или L2TP/IPsec. Избегайте PPTP.
5. Регулярно обновляйте DSM и пакет VPN Server, чтобы получать исправления уязвимостей.
6. Настройте брандмауэр на NAS, разрешив только необходимые порты и ограничив доступ по IP-адресам, если это возможно.
7. Не экспортируйте конфигурационные файлы OpenVPN в открытый доступ — они содержат сертификаты и ключи.
8. Используйте DDNS вместо статического IP, если ваш IP динамический, но при этом защитите DDNS-аккаунт.
9. Включите журналирование и периодически просматривайте логи VPN-сервера на предмет подозрительной активности.
10. Рассмотрите использование WireGuard через Docker, если нужна более высокая скорость и современная криптография, но помните, что это потребует дополнительной настройки.

Следуя этим рекомендациям, вы значительно снизите риск несанкционированного доступа к вашей сети.

Решение типичных проблем и диагностика

Даже при правильной настройке могут возникать проблемы с VPN-подключением. Рассмотрим самые распространённые.

Не удаётся подключиться из внешней сети. Проверьте, что проброс портов на роутере выполнен верно, а брандмауэр NAS разрешает входящие соединения. Убедитесь, что используете правильный внешний IP или DDNS-имя. Если провайдер выдаёт серый IP (CGNAT), проброс портов невозможен — потребуется использовать VPN-сервис с ретрансляцией или настроить туннель через VPS.

Подключение устанавливается, но нет доступа к локальной сети. Убедитесь, что в настройках OpenVPN включена опция «Разрешить клиентам доступ к локальной сети сервера». Для L2TP/IPsec проверьте, что на клиенте не включён «Использовать шлюз по умолчанию в удалённой сети», если это не требуется. Также проверьте маршруты на клиенте: для доступа к подсети 192.168.1.0/24 должен быть маршрут через VPN-интерфейс.

Медленная скорость. OpenVPN по своей природе медленнее WireGuard. Скорость также ограничена скоростью загрузки вашего домашнего интернета при полном туннеле. Попробуйте использовать UDP вместо TCP, уменьшить шифрование (не рекомендуется) или перейти на L2TP/IPsec.

Ошибка аутентификации. Проверьте правильность имени пользователя и пароля. Убедитесь, что пользователю разрешён доступ к VPN в настройках привилегий. Для L2TP/IPsec проверьте общий ключ.

Проблемы с GRE (PPTP). Если ваш провайдер блокирует GRE, PPTP не будет работать. Переключитесь на OpenVPN или L2TP/IPsec.

Ошибка в OpenVPN-клиенте. Если вы используете современный клиент, добавьте строку client-cert-not-required в конфигурационный файл. Также убедитесь, что в файле указан правильный адрес сервера.

Для диагностики используйте логи: в VPN Server есть вкладка «Журнал», где отображаются события подключения. Также можно выполнить ping с клиента до VPN-сервера (например, 10.8.0.1) и до устройств в локальной сети.

Вопросы и ответы