Synology VPN Server (2026) : le paquet DSM, ses trois protocoles, et ce qu'il ne sait pas faire

Transparence affiliation - Ce guide cite des hébergeurs et des services que nous utilisons réellement. Une commande via nos liens nous rémunère sans surcoût pour vous, et ne change rien à ce qui est écrit ici.

Un NAS est déjà allumé en permanence, déjà branché au réseau, et déjà sauvegardé : c'est le candidat évident pour héberger un tunnel. Synology fournit pour cela un paquet officiel, VPN Server, qui s'installe en deux clics et se règle en dix minutes. Le piège n'est pas l'installation, il est ailleurs, et cette page va droit dessus.

Ce que le paquet fait, et ce qu'il ne fait pas

Il fait : accepter des connexions entrantes, donner accès à votre réseau domestique, gérer les comptes et leurs droits, et journaliser les connexions.

Il ne fait pas : vous rendre anonyme. Le tunnel se termine chez vous, donc vous sortez sur internet par votre propre abonnement, avec votre propre adresse. C'est parfait pour lire vos fichiers depuis un hôtel, et sans le moindre intérêt si votre objectif est de ne pas être reconnu.

Et il ne propose pas WireGuard. Les trois protocoles exposés sont OpenVPN, L2TP/IPsec et PPTP. Ce dernier ne devrait plus servir : son chiffrement est cassé depuis longtemps et il ne reste que pour de très vieux clients.

Gros plan de tiroirs de disques empilés dans un châssis noir, façade avec une matrice de voyants verts numérotés de 1 à 16, deux ports USB et des poignées grises.

Les trois protocoles, en pratique

	OpenVPN	L2TP/IPsec	PPTP
À utiliser	Oui, par défaut	Si le client n'a pas OpenVPN	Non
Client à installer	Oui, une application	Non, intégré aux systèmes	Non, intégré
Ports à rediriger	Un seul, en UDP	Plusieurs	Un
Sécurité	Solide	Correcte, si la clé partagée est forte	Cassée

OpenVPN demande une application côté client, et c'est son seul vrai défaut. En échange, un port unique, un fichier de configuration exporté depuis DSM, et un fonctionnement fiable.

L2TP/IPsec a l'avantage inverse : tous les téléphones et ordinateurs savent s'y connecter sans rien installer, ce qui compte quand on configure l'appareil de quelqu'un d'autre. En contrepartie il exige plusieurs ports et une clé partagée, que trop de tutoriels laissent à une valeur devinable.

La panne numéro un, et elle n'a rien de technique

Créer un utilisateur DSM ne lui donne pas le droit d'utiliser le VPN. Le paquet a son propre écran de privilèges, où chaque compte doit être coché, pour chaque protocole activé séparément.

Le symptôme est déroutant : le mot de passe est correct, le serveur répond, et la connexion échoue sans message exploitable. On soupçonne le pare-feu, la box, le protocole, la clé partagée, et la case est simplement décochée. Vérifiez cet écran avant tout le reste, c'est trente secondes et cela résout la majorité des cas.

Les autres causes, dans l'ordre où il faut les regarder

Le port n'est pas redirigé, ou il l'est dans le mauvais transport. OpenVPN écoute en UDP ; une redirection créée en TCP donne un client qui tourne indéfiniment. Lisez le port dans l'onglet du protocole plutôt que dans un tutoriel écrit pour une autre version.
Le pare-feu de DSM bloque. Il est distinct de celui de la box, et une règle d'autorisation doit exister pour le port du VPN.
Vous testez depuis chez vous. Depuis votre propre Wi-Fi, la connexion ne sort pas et ne revient pas. Testez depuis le réseau mobile, toujours.
Votre ligne partage son adresse publique. Dans ce cas aucun port ne peut être ouvert, et ce montage est impossible : il faut un réseau maillé, qui n'a besoin d'aucune ouverture.

Un disque dur 3,5 pouces ouvert, capot retiré, plateau miroir et bras de lecture visibles, nappe orange sur le circuit, posé sur fond blanc.

Le débit : ce que le NAS sait vraiment faire

Le chiffrement tourne sur le processeur du NAS, et sur les modèles d'entrée de gamme ce processeur est modeste. Vous atteindrez son plafond bien avant celui de vos disques ou de votre ligne.

Pour consulter des documents ou une photothèque, cela ne se remarque pas. Pour rapatrier plusieurs gigaoctets, c'est le facteur limitant, et il n'existe pas de réglage qui le contourne : seul un processeur plus rapide, ou un tunnel porté par une autre machine, change quelque chose.

Serveur ou client : deux besoins qu'il ne faut pas mélanger

DSM sait aussi faire l'inverse, c'est-à-dire connecter le NAS lui-même à un fournisseur. Le trafic sortant du NAS passe alors par ce fournisseur, ce qui sert typiquement à un client de téléchargement ou à des tâches automatiques.

Ce n'est pas le même réglage, ce n'est pas le même paquet, et cela ne donne aucun accès à distance. Les deux peuvent tourner en même temps sur le même NAS, à condition de savoir lequel répond à quel besoin. La moitié des questions posées sur ce sujet vient de cette confusion.

En résumé

Pour accéder à votre réseau domestique, VPN Server fait exactement le travail et il est gratuit puisque le NAS est déjà là. Prenez OpenVPN, cochez les droits utilisateurs, redirigez le bon port en UDP, et testez depuis le réseau mobile.

Pour du débit, pour WireGuard, ou pour sortir par un autre pays, regardez ailleurs : un petit serveur loué chiffre plus vite qu'un NAS d'entrée de gamme, et un fournisseur commercial donne un choix de pays qu'aucun montage maison ne peut fournir.

★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · 200+ Mbps garantis

Héberge ton VPN sur ton propre VPS → ContaboAccès root complet · IPv4 publique · choisis ta région→

Questions fréquentes

Quels protocoles propose le paquet VPN Server de Synology ?

Le paquet officiel expose OpenVPN, L2TP/IPsec et PPTP, chacun activable séparément dans son propre onglet. WireGuard n'y figure pas : il s'obtient par un paquet communautaire ou en le faisant tourner dans un conteneur sur le NAS. Pour un usage courant, OpenVPN est le choix par défaut ; PPTP ne devrait plus servir, son chiffrement est considéré comme cassé depuis longtemps.

J'ai créé un utilisateur mais il ne peut pas se connecter au VPN, pourquoi ?

Parce que créer un compte DSM ne donne pas le droit d'utiliser le VPN. Le paquet VPN Server possède son propre écran de privilèges, où chaque utilisateur doit être coché pour chaque protocole activé. C'est la panne la plus fréquente et la plus déroutante : le mot de passe est bon, le serveur répond, et la connexion est refusée sans explication utile.

Quel port faut-il rediriger vers le NAS ?

Cela dépend du protocole. OpenVPN écoute par défaut en UDP sur un port qui lui est propre, L2TP/IPsec en utilise plusieurs, dont un pour la négociation et un pour le transport. Redirigez exactement ceux que l'onglet du protocole affiche, dans le bon protocole de transport : une redirection en TCP alors que le serveur écoute en UDP donne un client qui tourne dans le vide, sans message clair.

Le NAS peut-il se connecter à un VPN au lieu d'en héberger un ?

Oui, et c'est un tout autre besoin. DSM sait se comporter en client VPN, ce qui fait sortir le trafic du NAS par un fournisseur. C'est utile pour un client de téléchargement ou pour des tâches sortantes, et cela n'a rien à voir avec le paquet VPN Server, qui accepte des connexions entrantes. Les deux peuvent coexister, à condition de savoir lequel règle quoi.

Le VPN du NAS ralentit-il mes transferts ?

Oui, et la limite est le processeur du NAS. Les modèles d'entrée de gamme chiffrent bien moins vite qu'ils ne lisent leurs disques : vous atteindrez le plafond du processeur avant celui du stockage ou de la ligne. Sur un usage de consultation de fichiers, cela ne se voit pas. Sur une copie de plusieurs gigaoctets, c'est le facteur limitant, et aucun réglage ne le contourne.