VPN sur NAS Synology et QNAP : guide complet 2026 (WireGuard + OpenVPN)

Un NAS Synology peut servir de serveur WireGuard (via Docker), et les QNAP récents proposent WireGuard natif dans QTS 5.1 - sans Docker. Ce guide couvre les deux chemins, avec des débits réalistes à attendre et les erreurs à éviter.

Pour une vue d'ensemble des solutions d'auto-hébergement VPN, commence par notre comparatif complet des meilleures solutions VPN auto-hébergées 2026.

Pourquoi héberger un VPN sur son NAS

Un NAS domestique tourne 24h/24, 7j/7. Son CPU est idle à 90 % du temps - autant le mettre à profit.

Les quatre cas d'usage concrets qui justifient la démarche :

Accès LAN distant : depuis un café ou un hôtel, tu accèdes à tes disques comme si tu étais à la maison. Partage de fichiers, Surveillance Station, accès aux sauvegardes - sans exposer un seul port NAS directement.

Intégration données NAS : si tu as 20 To de médias sur ton NAS, un VPN local évite de passer par le relay cloud Synology/QNAP (payant, limité, potentiellement lent). Tu accèdes directement au LAN.

Device unique : un seul appareil fait office de NAS + serveur VPN + Plex + Pi-hole. Pas de Raspberry Pi supplémentaire à gérer.

CPU idle disponible : le NAS est de toute façon allumé en permanence, et le chiffrement WireGuard est léger : l'ajouter ne devrait changer sensiblement ni la facture électrique ni la réactivité des autres services.

La limite à connaître honnêtement : contrairement à un VPS cloud, une panne de courant ou d'internet à domicile coupe ton VPN. Pour un usage critique en déplacement professionnel, garde un VPS Contabo en backup - voir notre guide VPN auto-hébergé sur Contabo.

À vérifier d'abord : ton NAS est-il joignable depuis internet ?

Un serveur VPN sur un NAS ne marche que si un paquet venu de l'extérieur atteint l'IP publique de ta box et peut être redirigé vers le NAS. Beaucoup de lignes ne le permettent plus. Derrière du CGNAT (adresses en 100.64.0.0/10, fréquent en IPv4 partagée, chez les opérateurs mobiles et sur la fibre de certains FAI), ta box n'a pas d'IPv4 publique à elle : aucune redirection de port ne fonctionnera, quoi que tu règles dans DSM ou QTS. Les box 4G/5G sont presque toujours dans ce cas.

Test en deux minutes : compare l'adresse WAN affichée dans l'interface de ta box avec ton IP publique. Notre vérificateur de port WireGuard gratuit fait la comparaison pour toi et te dit si tu es derrière du CGNAT ou un double NAT, avant d'y passer une soirée.

Si tu es derrière du CGNAT, trois sorties :

1. Demander une IPv4 publique à ton FAI. Certains l'activent gratuitement sur demande (Free via l'espace abonné, par exemple), d'autres la font payer ou refusent.
2. Utiliser un service mesh qui traverse le NAT. Tailscale est disponible dans le Centre de paquets Synology et l'App Center QNAP, gratuit en usage perso ; la contrepartie : ses serveurs de coordination appartiennent à une entreprise.
3. Placer un petit VPS devant. WireGuard tourne sur le VPS, qui a une IP publique. Le NAS s'y connecte en client (connexion sortante, donc le CGNAT ne gêne plus) avec PersistentKeepalive = 25, et ton téléphone ou ton portable se connectent au VPS. Le débit reste plafonné par l'upload de ta ligne, comme pour tout VPN maison. Notre guide WireGuard derrière CGNAT donne les configs exactes des deux côtés.

Synology vs QNAP : comparatif setup VPN

Voici comment les deux plateformes se comparent pour monter un VPN :

Verdict : Si tu possèdes déjà un QNAP QTS 5.1+, WireGuard natif est un avantage clair - pas de Docker à gérer. Si tu es sur Synology, le Docker WireGuard est une solution éprouvée et stable une fois configurée.

Setup VPN Server Synology (OpenVPN/L2TP)

Le chemin le plus simple pour débuter sur DSM 7.2 sans Docker.

Installation :

1. Package Center → Rechercher "VPN Server" → Installer
2. Ouvrir VPN Server → Choisir OpenVPN ou L2TP/IPSec
3. Activer le protocole et cocher "Autoriser les clients VPN à accéder au réseau local du serveur"

Configuration OpenVPN :

Dans VPN Server > OpenVPN > Paramètres avancés :

• Interface réseau : eth0 (Ethernet NAS)
• Port : 1194 UDP
• Chiffrement : AES-256-CBC
• Cocher "Activer la compression"

Port forwarding : sur ta box internet, rediriger UDP 1194 vers l'IP locale du NAS.

DNS dynamique : Panneau de Configuration > Connectivité externe > DDNS. Choisir "Synology" comme fournisseur - le nom ton-nas.synology.me est gratuit. Ce sera l'Endpoint du fichier config client .ovpn.

Génération du fichier client : VPN Server > OpenVPN > Exporter la configuration. Le fichier .ovpn est prêt à importer dans OpenVPN Connect sur iOS/Android/Windows.

Limite OpenVPN sur NAS : OpenVPN est en général plus lent que WireGuard sur les CPU de NAS : il tourne en espace utilisateur et, sur les modèles dont le CPU n'a pas d'accélération matérielle AES, son chiffrement AES est calculé en logiciel. WireGuard utilise ChaCha20-Poly1305, qui ne dépend pas d'AES-NI. Attends-toi à ce qu'OpenVPN ne délivre qu'une fraction du débit de WireGuard sur le même NAS. Si le débit compte, passe à la section WireGuard Docker.

Setup WireGuard sur Synology via Docker

C'est une configuration largement documentée. Plus performante qu'OpenVPN, légèrement plus technique à mettre en place.

Prérequis : DSM 7.2, Container Manager installé, au moins 4 Go de RAM sur le NAS.

Étape 1 - Créer le dossier de config :

Dans File Station, créer /volume1/docker/wireguard/.

Étape 2 - Télécharger l'image :

Container Manager > Registry > Rechercher linuxserver/wireguard > Télécharger (latest).

Étape 3 - Créer le conteneur :

Container Manager > Conteneur > Créer > Utiliser l'image linuxserver/wireguard.

Paramètres critiques :

• Mode réseau : Host (obligatoire - permet au conteneur d'écouter sur l'interface réseau du NAS directement)
• Capabilities : NET_ADMIN, SYS_MODULE (ajouter manuellement dans les paramètres avancés)

Variables d'environnement :

PUID=1000
PGID=1000
TZ=Europe/Paris
SERVERURL=ton-nas.synology.me
SERVERPORT=51820
PEERS=3
PEERDNS=auto
INTERNAL_SUBNET=10.13.13.0

Volumes :

/volume1/docker/wireguard → /config

Étape 4 - Port forwarding :

DSM > Panneau de Configuration > Sécurité > Firewall : autoriser UDP 51820 entrant. Box internet : UDP 51820 → IP locale NAS.

Étape 5 - Récupérer les configs clients :

Après démarrage du conteneur (30-60 secondes), dans Container Manager > Logs du conteneur, les QR codes des peers apparaissent. Scanner depuis l'app WireGuard mobile. Les fichiers /volume1/docker/wireguard/peer1/peer1.conf contiennent également les configs texte.

À quoi s'attendre : sur un CPU type J4125, WireGuard en Docker sature confortablement l'upload d'une fibre domestique typique tout en laissant le CPU bien en dessous de la saturation, donc les autres services du NAS continuent de tourner sans souci.

Pour des templates WireGuard prêts à l'emploi adaptés à différents scénarios, consulte nos modèles de configuration WireGuard 2026.

Setup QVPN Service QNAP (WireGuard natif QTS 5.1+)

Sur un QNAP TS-464 (N5095, QTS 5.1.6), WireGuard est natif - aucun Docker nécessaire.

Installation :

App Center > Rechercher "QVPN Service" > Installer (gratuit). Ouvre QVPN Service depuis le menu principal.

Configuration WireGuard :

QVPN Service > Serveur VPN WireGuard > Activer le serveur WireGuard.

Paramètres :

• Port d'écoute : 51820 UDP
• Adresse IP tunnel : 10.6.0.1/24
• DNS : 1.1.1.1 (ou IP NAS pour QNAP DNS local)

Ajouter des clients :

QVPN > Comptes de connexion > Ajouter un compte VPN. Chaque compte génère automatiquement une clé WireGuard. Clique sur le bouton QR Code pour afficher le QR scannable depuis l'app WireGuard mobile.

Port forwarding :

Sur ta box internet, rediriger UDP 51820 vers l'IP du QNAP. Utilise QNAP Cloud pour le DDNS gratuit (*.myqnapcloud.com) : App Center > myQNAPcloud > Activer.

Note débit : le N5095 est un CPU plus capable que le Celeron J4125 et gère le chiffrement WireGuard avec plus de marge ; un TS-464 soutiendra donc en général un débit plus élevé à charge CPU plus faible qu'un NAS Synology à CPU J4125.

Pour les stratégies de sortie via exit node Tailscale sur NAS, voir aussi notre guide exit node Tailscale 2026 - complémentaire au VPN self-hosted.

Routing sortant : faire passer le trafic NAS via VPN externe

Cas d'usage différent : tu veux que le NAS lui-même sorte sur internet via NordVPN / Surfshark (liens affiliés) (pour accéder à du contenu géo-bloqué depuis Plex, ou que Sonarr/Radarr sortent via une IP différente).

Sur Synology via Docker (NordVPN) :

Utilise l'image ghcr.io/bubuntux/nordvpn :

version: "3"
services:
  nordvpn:
    image: ghcr.io/bubuntux/nordvpn
    cap_add:
      - NET_ADMIN
    environment:
      - USER=ton@email.com
      - PASS=ton_mot_de_passe
      - CONNECT=France
      - TECHNOLOGY=NordLynx
      - NETWORK=192.168.1.0/24
    ports:
      - 8080:8080

Les conteneurs Sonarr/Radarr placés dans le même réseau Docker utilisent alors cette connexion.

Cas d'usage Plex + VPN sortant : si tu accèdes à Plex depuis une région géo-restreinte (ex. contenu FR depuis Canada), le relay Plex via ce tunnel permet de contourner la restriction. Note que cela ne dispense pas d'un abonnement Plex valide.

Sur QNAP via QVPN : QVPN Service > Client VPN > Ajouter connexion > WireGuard ou OpenVPN (importer le fichier .ovpn NordVPN/Surfshark téléchargé depuis leur site). Activer la connexion. Vérifier l'IP sortante du QNAP avec curl ifconfig.me depuis SSH QNAP.

Pour les scénarios de routing avancé avec tables de routage personnalisées, voir notre guide self-host VPN Raspberry Pi 5 - les principes IP forwarding s'appliquent aussi aux NAS.

Performance et sécurité : benchmarks et durcissement

Le débit WireGuard dépend avant tout du CPU du NAS. Les Celeron double cœur d'entrée de gamme (J4025) sont les plus lents ; les quad-cœur J4125 se situent au milieu ; les puces plus récentes Jasper Lake (N5095/N5105) et Ryzen (R1600) sont les plus rapides. Voici un repère relatif indicatif - tes chiffres réels dépendent de ton CPU, de l'upload de ta fibre et de la charge concurrente du NAS, donc benchmarke ton propre setup avec iperf3 :

Durcissement sécurité (obligatoire avant d'ouvrir un port sur internet) :

1. MFA admin DSM/QTS

Synology : Panneau de Configuration > Compte > Vérification en 2 étapes → activer TOTP (Google Authenticator ou Authy). QNAP : myQNAPcloud > Security Center > Vérification en 2 étapes → TOTP. Ne jamais exposer le port admin DSM (5000/5001) directement - uniquement via VPN ou reverse proxy.

2. Fail2ban et blocage IP

Synology DSM intègre nativement un système de blocage automatique : Panneau de Configuration > Sécurité > Protection > Bloquer automatiquement les IP après X tentatives d'échec. Configurer : 5 tentatives, blocage 24h.

3. Firewall géo-block

Synology : Panneau de Configuration > Sécurité > Firewall > Créer règle > Autoriser uniquement les pays sources attendus (France + pays de déplacement). Bloquer tout le reste. QNAP : QuFirewall (disponible dans App Center) offre le même geo-blocking.

4. Port minimal exposé

N'exposer que le port UDP WireGuard (51820). Aucun port admin DSM/QTS, aucun port Plex direct (utiliser QuickConnect ou via VPN uniquement), aucun SSH exposé (utiliser le VPN comme jump host).

Impact CPU : le chiffrement WireGuard est léger. Sur un NAS quad-cœur type J4125, un transfert WireGuard soutenu laisse une bonne marge CPU pour les autres services (comme le transcoding Plex 1080p H.265 → H.264). WireGuard est suffisamment léger pour ne pas compromettre les workloads NAS habituels.

Pour approfondir les stratégies de sécurité VPN en général, consulte notre guide complet des meilleures solutions VPN auto-hébergées 2026.