VPN auf Synology und QNAP NAS: umfassender Leitfaden 2026 (WireGuard + OpenVPN)

Ein Synology NAS kann einen WireGuard-Server (über Docker) betreiben, und moderne QNAP-Geräte bieten in QTS 5.1 native WireGuard-Unterstützung - kein Docker erforderlich. Dieser Leitfaden behandelt beide Ansätze, mit realistischen Durchsatzerwartungen und den Fehlern, die es zu vermeiden gilt.

Für einen umfassenderen Überblick über selbst gehostete VPN-Optionen beginnen Sie mit unserem vollständigen Leitfaden zu den besten selbst gehosteten VPN-Lösungen 2026.

Bevor Sie DSM oder QTS anfassen, prüfen Sie eines: Ein VPN-Server auf einem NAS funktioniert nur, wenn Ihr Router eine eigene öffentliche IPv4 hat. Hinter CGNAT oder DS-Lite wird keine Portweiterleitung je funktionieren, egal was Sie einstellen. Unser kostenloser WireGuard-Port-Checker vergleicht die WAN-Adresse Ihres Routers mit Ihrer öffentlichen IP und sagt Ihnen in zwei Minuten, ob Sie hinter CGNAT oder doppeltem NAT sitzen.

Warum ein VPN auf Ihrem NAS betreiben

Ein Heim-NAS läuft rund um die Uhr. Seine CPU ist 90 % der Zeit im Leerlauf - man könnte sie genauso gut nutzen.

Vier konkrete Anwendungsfälle, die die Einrichtung rechtfertigen:

Fernzugriff auf das LAN: Von einem Café oder Hotel aus greifen Sie auf Ihre Laufwerke zu, als wären Sie zu Hause. Dateifreigabe, Surveillance Station, Backup-Zugriff - ohne einen einzigen NAS-Port direkt dem Internet auszusetzen.

NAS-Datenintegration: Wenn Sie 20 TB Medien auf Ihrem NAS haben, vermeidet ein lokales VPN den Umweg über das Synology/QNAP-Cloud-Relay (kostenpflichtig, begrenzt, potenziell langsam). Sie greifen direkt auf das LAN zu.

Einzelgerät: Ein Gerät dient als NAS + VPN-Server + Plex + Pi-hole. Kein zusätzlicher Raspberry Pi zur Verwaltung.

Verfügbarer Leerlauf-CPU: Das NAS läuft ohnehin rund um die Uhr, und die WireGuard-Verschlüsselung ist leichtgewichtig. Sie sollte daher weder die Stromrechnung noch andere Dienste spürbar beeinflussen.

Die ehrliche Einschränkung: Anders als bei einem Cloud-VPS führt ein Strom- oder Internetausfall zu Hause dazu, dass Ihr VPN ausfällt. Für kritische Geschäftsreisen halten Sie einen Contabo-VPS als Backup bereit - siehe unseren Leitfaden zum selbst gehosteten VPN auf Contabo.

Zuerst prüfen: Ist Ihr NAS aus dem Internet erreichbar?

Ein VPN-Server auf dem NAS funktioniert nur, wenn ein Paket von außen die öffentliche IP Ihres Routers erreicht und an das NAS weitergeleitet wird. Viele Heimanschlüsse lassen das nicht mehr zu. Hinter Carrier-Grade-NAT (CGNAT, Adressen in 100.64.0.0/10) oder DS-Lite (bei Kabel- und Glasfaseranschlüssen in Deutschland verbreitet) hat Ihr Router keine eigene öffentliche IPv4: Keine Portweiterleitung wird je funktionieren, egal was Sie in DSM oder QTS einstellen. 4G/5G-Router für zu Hause sind fast immer betroffen.

Test in zwei Minuten: Vergleichen Sie die WAN-Adresse auf der Statusseite Ihres Routers (bei der FritzBox unter Übersicht) mit Ihrer öffentlichen IP. Unser kostenloser WireGuard-Portprüfer macht den Vergleich für Sie und zeigt, ob Sie hinter CGNAT oder doppeltem NAT sitzen, bevor Sie einen Abend in die Schritte unten investieren.

Wenn Sie hinter CGNAT sitzen, gibt es drei Auswege:

1. Beim Provider eine öffentliche IPv4 anfragen. Manche schalten sie auf Nachfrage kostenlos frei, andere verlangen Geld oder lehnen ab.
2. Einen Mesh-Dienst nutzen, der NAT durchquert. Tailscale gibt es im Synology-Paketzentrum und im QNAP App Center, kostenlos für private Nutzung; der Haken: Die Koordinationsserver gehören einem Unternehmen.
3. Einen kleinen VPS davorschalten. WireGuard läuft auf dem VPS, der eine öffentliche IP hat. Das NAS verbindet sich als Client dorthin (ausgehend, CGNAT spielt also keine Rolle mehr) mit PersistentKeepalive = 25, und Handy oder Laptop verbinden sich mit dem VPS. Die Geschwindigkeit bleibt wie bei jedem Heim-VPN durch Ihren Upload begrenzt. Unser Leitfaden WireGuard hinter CGNAT liefert die genauen Konfigurationen für beide Seiten. Um beide Seiten ohne Abtippen von Schlüsseln zu schreiben, erstellt unser kostenloser WireGuard-Konfigurationsgenerator die Serverkonfiguration für den VPS und eine Datei pro Gerät (das NAS eingeschlossen), jeweils mit PersistentKeepalive = 25 und QR-Code; die Schlüssel entstehen in Ihrem Browser. Der Generator ist kostenlos und ohne Konto, bis 250 Geräte, und sein ZIP-Export enthält jede Client-.conf mit ihrem QR-Code als PNG, praktisch, um ein ganzes Büro oder eine Familie auf einmal auszustatten.

Lieber ein US-Anbieter mit 30 Tagen Geld-zurück-Garantie? Ultahost VPS Basic kostet 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, gelesen am 21. Oktober 2026), genug für das WireGuard-Relay vor Ihrem NAS.

Weitere Option: HostPapa Unmanaged VPS Lite (Affiliate-Link) für 2,95 $ im Monat bei 3 Jahren Laufzeit, danach zum regulären Preis (1 Kern, 1 GB RAM, 25 GB NVMe, Root-Zugang per SSH, 30 Tage Geld-zurück-Garantie, Stand 28. Oktober 2026), genug für das WireGuard-Relay vor Ihrem NAS.

Synology vs. QNAP: Vergleich der VPN-Einrichtung

So vergleichen sich die beiden Plattformen bei der VPN-Einrichtung:

Fazit: Wenn Sie bereits ein QNAP mit QTS 5.1+ besitzen, ist native WireGuard ein klarer Vorteil - kein Docker zu verwalten. Wenn Sie Synology verwenden, ist Docker WireGuard eine gut etablierte, stabile Einrichtung, sobald sie konfiguriert ist.

Welche Ports braucht ein VPN auf Synology und QNAP?

Am Router wird nur der Port des Protokolls weitergeleitet, das Sie wirklich nutzen, und zwar an die lokale IP des NAS. Die Werte für den Synology VPN Server stammen aus der Synology-Liste der von DSM-Diensten genutzten Netzwerkports (kb.synology.com, gelesen am 29. Oktober 2026):

Zwei Punkte, an denen die Verbindung meist scheitert: Die DSM-Firewall (Systemsteuerung > Sicherheit > Firewall) muss denselben Port freigeben wie der Router, und ein abweichender externer Port (z. B. 51821 statt 51820) muss im Client als Endpoint = ihr-nas.synology.me:51821 stehen. Ob der Port von außen wirklich ankommt, zeigt unser WireGuard-Port-Checker.

Einrichtung des VPN-Servers auf Synology (OpenVPN/L2TP)

Der einfachste Weg, um auf DSM 7.2 ohne Docker zu starten.

Installation:

1. Paketzentrum → Suche "VPN-Server" → Installieren
2. VPN-Server öffnen → OpenVPN oder L2TP/IPSec auswählen
3. Protokoll aktivieren und "VPN-Clients erlauben, auf das lokale Netzwerk des Servers zuzugreifen" aktivieren

OpenVPN-Konfiguration:

In VPN-Server > OpenVPN > Erweiterte Einstellungen:

• Netzwerkschnittstelle: eth0 (NAS Ethernet)
• Port: 1194 UDP
• Verschlüsselung: AES-256-CBC
• "Komprimierung aktivieren" aktivieren

Portweiterleitung: Auf Ihrem Router, UDP 1194 an die lokale IP des NAS weiterleiten.

Dynamisches DNS: Systemsteuerung > Externer Zugriff > DDNS. Wählen Sie "Synology" als Anbieter - your-nas.synology.me ist kostenlos. Dies wird der Endpunkt in der Client-.ovpn-Konfigurationsdatei sein.

Erstellen der Client-Datei: VPN-Server > OpenVPN > Konfiguration exportieren. Die .ovpn-Datei ist bereit, in OpenVPN Connect auf iOS/Android/Windows importiert zu werden.

OpenVPN-Durchsatzbegrenzung auf NAS: OpenVPN ist auf NAS-CPUs in der Regel langsamer als WireGuard: Es läuft im Userspace, und bei Modellen, deren CPU keine AES-Hardwarebeschleunigung hat, wird die AES-Verschlüsselung in Software berechnet. WireGuard verwendet ChaCha20-Poly1305, das nicht von AES-NI abhängt. Erwarten Sie, dass OpenVPN nur einen Bruchteil des Durchsatzes von WireGuard auf demselben NAS liefert. Wenn der Durchsatz wichtig ist, wechseln Sie zum WireGuard-Docker-Abschnitt.

Einrichtung von WireGuard auf Synology über Docker

Dies ist eine breit dokumentierte Konfiguration. Leistungsfähiger als OpenVPN, etwas technischer einzurichten.

Voraussetzungen: DSM 7.2, Container Manager installiert, mindestens 4 GB RAM auf dem NAS.

Schritt 1 - Erstellen Sie den Konfigurationsordner:

In File Station, erstellen Sie /volume1/docker/wireguard/.

Schritt 2 - Ziehen Sie das Image:

Container Manager > Registry > Suche linuxserver/wireguard > Herunterladen (neueste).

Schritt 3 - Erstellen Sie den Container:

Container Manager > Container > Erstellen > Verwenden Sie das Image linuxserver/wireguard.

Wichtige Einstellungen:

• Netzwerkmodus: Host (erforderlich - ermöglicht es dem Container, direkt auf die NAS-Netzwerkschnittstelle zuzugreifen)
• Fähigkeiten: NET_ADMIN, SYS_MODULE (manuell in den erweiterten Einstellungen hinzufügen)

Umgebungsvariablen:

PUID=1000
PGID=1000
TZ=Europe/London
SERVERURL=your-nas.synology.me
SERVERPORT=51820
PEERS=3
PEERDNS=auto
INTERNAL_SUBNET=10.13.13.0

Volumes:

/volume1/docker/wireguard → /config

Schritt 4 - Portweiterleitung:

DSM > Systemsteuerung > Sicherheit > Firewall: Erlauben Sie UDP 51820 eingehend. Router: UDP 51820 → NAS lokale IP.

Schritt 5 - Abrufen der Client-Konfigurationen:

Nachdem der Container gestartet ist (30-60 Sekunden), erscheinen in Container Manager > Container Logs Peer-QR-Codes. Scannen Sie diese mit der WireGuard-Mobile-App. Client-Konfigurationsdateien sind auch unter /volume1/docker/wireguard/peer1/peer1.conf verfügbar.

Was zu erwarten ist: Auf einer CPU der Klasse J4125 sättigt WireGuard in Docker bequem einen typischen Heim-Fiber-Upload, während die CPU weit unter der Sättigung bleibt, sodass andere NAS-Dienste reibungslos weiterlaufen.

Für gebrauchsfertige WireGuard-Vorlagen, die an verschiedene Szenarien angepasst sind, sehen Sie sich unsere WireGuard-Konfigurationsvorlagen 2026 an.

Einrichtung des QVPN-Dienstes auf QNAP (native WireGuard QTS 5.1+)

Auf einem QNAP TS-464 (N5095, QTS 5.1.6) ist WireGuard nativ - kein Docker erforderlich.

Installation:

App Center > Suche "QVPN Service" > Installieren (kostenlos). Öffnen Sie den QVPN-Dienst aus dem Hauptmenü.

WireGuard-Konfiguration:

QVPN-Dienst > VPN-Server > WireGuard > WireGuard-Server aktivieren.

Einstellungen:

• Abhörport: 51820 UDP
• Tunnel-IP-Adresse: 10.6.0.1/24
• DNS: 1.1.1.1 (oder NAS-IP für lokalen QNAP-DNS)

Hinzufügen von Clients:

QVPN > Verbindungsaccounts > VPN-Account hinzufügen. Jeder Account generiert automatisch ein WireGuard-Schlüsselpaar. Klicken Sie auf die Schaltfläche QR-Code, um den scannbaren QR-Code aus der WireGuard-Mobile-App anzuzeigen.

Portweiterleitung:

Auf Ihrem Router, UDP 51820 an die QNAP-IP weiterleiten. Verwenden Sie QNAP Cloud für kostenloses DDNS (*.myqnapcloud.com): App Center > myQNAPcloud > Aktivieren.

Durchsatzhinweis: Der N5095 ist eine leistungsfähigere CPU als der Celeron J4125 und bewältigt die WireGuard-Verschlüsselung mit mehr Spielraum, sodass ein TS-464 im Allgemeinen einen höheren Durchsatz bei geringerer CPU-Auslastung als eine Synology-Einheit der J4125-Klasse aufrechterhalten kann.

Für Tailscale-Exit-Node-Strategien auf NAS, siehe auch unseren vollständigen Leitfaden zum Tailscale-Exit-Node 2026 - ergänzend zu selbst gehosteten VPNs.

Ausgehendes Routing: NAS-Verkehr über ein externes VPN senden

Anderer Anwendungsfall: Sie möchten, dass das NAS selbst den Internetverkehr über NordVPN / Surfshark (Affiliate-Links) routet (um geoblockierte Inhalte von Plex zuzugreifen oder Sonarr/Radarr von einer anderen IP aus zu betreiben).

Auf Synology über Docker (NordVPN):

Verwenden Sie das ghcr.io/bubuntux/nordvpn-Image:

version: "3"
services:
  nordvpn:
    image: ghcr.io/bubuntux/nordvpn
    cap_add:
      - NET_ADMIN
    environment:
      - USER=your@email.com
      - PASS=your_password
      - CONNECT=France
      - TECHNOLOGY=NordLynx
      - NETWORK=192.168.1.0/24
    ports:
      - 8080:8080

Sonarr/Radarr-Container, die im selben Docker-Netzwerk platziert sind, verwenden dann diese Verbindung.

Plex + ausgehender VPN-Anwendungsfall: Wenn Sie von einer geografisch eingeschränkten Region auf Plex zugreifen (z. B. französische Inhalte aus Kanada), umgeht das Routing durch diesen Tunnel die Einschränkung. Beachten Sie, dass dies Sie nicht von einem gültigen Plex-Abonnement befreit.

Auf QNAP über QVPN: QVPN-Dienst > VPN-Client > Verbindung hinzufügen > WireGuard oder OpenVPN (importieren Sie die .ovpn-Datei, die von der NordVPN/Surfshark-Website heruntergeladen wurde). Aktivieren Sie die Verbindung. Überprüfen Sie die ausgehende IP des QNAP mit curl ifconfig.me über SSH.

Für erweiterte Routing-Strategien mit benutzerdefinierten Routing-Tabellen, siehe unseren Leitfaden zum selbst gehosteten VPN auf Raspberry Pi 5 - die Prinzipien der IP-Weiterleitung gelten auch für NAS.

Damit die Entscheidung griffbereit bleibt: Unser kostenloses Home Server Remote Access Cheat Sheet (PDF, 4 Seiten auf Englisch, direkter Download, ohne Anmeldung) zeigt, wie Sie CGNAT, doppeltes NAT und eine dynamische IP unterscheiden, welche Methode zu welchem Fall passt, und die Befehle für DDNS, ein WireGuard-Relay auf einem VPS, Cloudflare Tunnel oder Pangolin sowie wstunnel. Cheat Sheet herunterladen.

Leistung und Sicherheit: Benchmarks und Härtung

Der WireGuard-Durchsatz hängt hauptsächlich von der NAS-CPU ab. Niedrigere Dual-Core-Celerons (J4025) sind die langsamsten; Quad-Core-J4125-Einheiten liegen in der Mitte; neuere Jasper Lake (N5095/N5105) und Ryzen (R1600) Chips sind die schnellsten. Unten ist ein grober relativer Leitfaden - Ihre tatsächlichen Zahlen hängen von Ihrer CPU, der Fiber-Upload-Geschwindigkeit und der gleichzeitigen NAS-Auslastung ab, also benchmarken Sie Ihr eigenes Setup mit iperf3:

Sicherheitshärtung (obligatorisch, bevor Sie einen Port dem Internet aussetzen):

1. Admin-MFA auf DSM/QTS

Synology: Systemsteuerung > Benutzerkonto > 2-Schritt-Verifizierung → TOTP (Google Authenticator oder Authy) aktivieren. QNAP: myQNAPcloud > Sicherheitscenter > 2-Schritt-Verifizierung → TOTP. Setzen Sie den DSM-Admin-Port (5000/5001) niemals direkt aus - nur über VPN oder Reverse Proxy.

2. Fail2ban und IP-Blockierung

Synology DSM enthält nativ ein Auto-Block-System: Systemsteuerung > Sicherheit > Schutz > IP-Adressen nach X fehlgeschlagenen Anmeldeversuchen automatisch blockieren. Konfigurieren: 5 Versuche, 24h Block.

3. Firewall-Geo-Block

Synology: Systemsteuerung > Sicherheit > Firewall > Regel erstellen > Erlauben Sie nur erwartete Herkunftsländer (Ihr Heimatland + Reiseziele). Alles andere blockieren. QNAP: QuFirewall (verfügbar im App Center) bietet die gleiche Geo-Blockierung.

4. Minimal exponierte Ports

Setzen Sie nur den WireGuard-UDP-Port (51820) aus. Keine DSM/QTS-Admin-Ports, kein direkter Plex-Port (nur QuickConnect oder über VPN), kein exponiertes SSH (verwenden Sie das VPN als Sprung-Host).

CPU-Auswirkung: Die WireGuard-Verschlüsselung ist leichtgewichtig. Auf einem Quad-Core-NAS der Klasse J4125 hinterlässt ein anhaltender WireGuard-Transfer genügend CPU-Spielraum für andere Dienste (wie Plex-Transkodierung von 1080p H.265 → H.264). WireGuard ist leicht genug, um typische NAS-Workloads nicht zu beeinträchtigen.

Für eine tiefere Abdeckung von VPN-Sicherheitsstrategien, siehe unseren vollständigen Leitfaden zu den besten selbst gehosteten VPN-Lösungen 2026.