VPN su Synology e QNAP NAS: guida completa 2026 (WireGuard + OpenVPN)

Un NAS Synology può eseguire un server WireGuard (tramite Docker), e le unità QNAP moderne offrono WireGuard nativo in QTS 5.1 - senza bisogno di Docker. Questa guida copre entrambi i percorsi, con aspettative realistiche di throughput e gli errori da evitare.

Per una panoramica più ampia delle opzioni VPN self-hosted, inizia con la nostra guida completa alle migliori soluzioni VPN self-hosted 2026.

Prima di toccare DSM o QTS, verifica una cosa: un server VPN su un NAS funziona solo se il tuo router ha un IPv4 pubblico proprio. Dietro CGNAT o DS-Lite nessun port forwarding funzionerà mai, qualunque cosa tu configuri. Il nostro verificatore di porta WireGuard gratuito confronta l'indirizzo WAN del tuo router con il tuo IP pubblico e ti dice in due minuti se sei dietro CGNAT o doppio NAT.

Perché eseguire una VPN sul tuo NAS

Un NAS domestico funziona 24/7. La sua CPU è inattiva il 90% del tempo - tanto vale metterla al lavoro.

Quattro casi d'uso concreti che giustificano l'installazione:

Accesso LAN remoto: da un caffè o un hotel, accedi ai tuoi drive come se fossi a casa. Condivisione file, Surveillance Station, accesso ai backup - senza esporre direttamente un singolo porta del NAS a internet.

Integrazione dati NAS: se hai 20 TB di media sul tuo NAS, una VPN locale evita di passare attraverso il relay cloud Synology/QNAP (a pagamento, limitato, potenzialmente lento). Accedi direttamente alla LAN.

Dispositivo unico: un dispositivo serve come NAS + server VPN + Plex + Pi-hole. Nessun Raspberry Pi aggiuntivo da gestire.

CPU inattiva disponibile: il NAS è comunque acceso 24 ore su 24, e la crittografia WireGuard è leggera: aggiungerla non dovrebbe cambiare in modo apprezzabile né la bolletta elettrica né gli altri servizi.

La limitazione onesta: a differenza di un VPS cloud, un'interruzione di corrente o internet a casa interrompe la tua VPN. Per un uso critico durante viaggi di lavoro, mantieni un VPS Contabo come backup - vedi la nostra guida VPN self-hosted su Contabo.

Verifica prima: il tuo NAS è raggiungibile da internet?

Un server VPN su un NAS funziona solo se un pacchetto dall'esterno raggiunge l'IP pubblico del tuo router e può essere inoltrato al NAS. Molte linee domestiche non lo permettono più. Dietro CGNAT (indirizzi in 100.64.0.0/10, frequente su FWA, connessioni mobili e alcune fibre), il tuo router non ha un IPv4 pubblico proprio: nessun port forwarding funzionerà mai, qualunque cosa imposti in DSM o QTS. I router 4G/5G domestici sono quasi sempre in questa situazione.

Test di due minuti: confronta l'indirizzo WAN mostrato nella pagina di stato del router con il tuo IP pubblico. Il nostro verificatore di porta WireGuard gratuito fa il confronto per te e ti dice se sei dietro CGNAT o doppio NAT, prima di passare una serata sui passaggi qui sotto.

Se sei dietro CGNAT, ci sono tre vie d'uscita:

1. Chiedere un IPv4 pubblico al tuo provider. Alcuni lo attivano gratis su richiesta, altri lo fanno pagare o rifiutano.
2. Usare un servizio mesh che attraversa il NAT. Tailscale è disponibile nel Centro pacchetti Synology e nell'App Center QNAP, gratuito per uso personale; il compromesso è che i suoi server di coordinamento appartengono a un'azienda.
3. Mettere un piccolo VPS davanti. WireGuard gira sul VPS, che ha un IP pubblico. Il NAS si collega come client (connessione in uscita, quindi il CGNAT non conta più) con PersistentKeepalive = 25, e telefono o portatile si collegano al VPS. La velocità resta limitata dall'upload della tua linea, come per qualsiasi VPN domestica. La nostra guida WireGuard dietro CGNAT fornisce le configurazioni esatte dei due lati. Per scrivere i due capi senza digitare chiavi, il nostro generatore di configurazione WireGuard gratuito crea la configurazione server del VPS e un file per dispositivo (NAS compreso), ciascuno con PersistentKeepalive = 25 e un codice QR, con le chiavi generate nel tuo browser. Il generatore è gratuito e senza account, fino a 250 dispositivi, e la sua esportazione ZIP raccoglie ogni .conf client e il suo codice QR in PNG, comodo per configurare un intero ufficio o una famiglia in una volta.

Se preferisci un provider statunitense con 30 giorni soddisfatti o rimborsati, il VPS Basic di Ultahost costa 5,52 $ al mese su 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026), sufficiente per il relay WireGuard davanti al tuo NAS.

Altra opzione: HostPapa Unmanaged VPS Lite (link affiliato) a 2,95 $ al mese con un impegno di 3 anni, poi a tariffa normale (1 core, 1 GB di RAM, 25 GB NVMe, accesso root via SSH, rimborso entro 30 giorni, rilevato il 28 ottobre 2026), sufficiente per il relay WireGuard davanti al tuo NAS.

Synology vs QNAP: confronto configurazione VPN

Ecco come si confrontano le due piattaforme per la configurazione VPN:

Verdetto: Se possiedi già un QNAP su QTS 5.1+, WireGuard nativo è un chiaro vantaggio - nessun Docker da gestire. Se sei su Synology, WireGuard tramite Docker è una configurazione ben consolidata e stabile una volta configurata.

Configurazione del server VPN su Synology (OpenVPN/L2TP)

Il percorso più semplice per iniziare su DSM 7.2 senza Docker.

Installazione:

1. Centro pacchetti → Cerca "VPN Server" → Installa
2. Apri VPN Server → Scegli OpenVPN o L2TP/IPSec
3. Abilita il protocollo e seleziona "Consenti ai client VPN di accedere alla rete locale del server"

Configurazione OpenVPN:

In VPN Server > OpenVPN > Impostazioni avanzate:

• Interfaccia di rete: eth0 (Ethernet del NAS)
• Porta: 1194 UDP
• Crittografia: AES-256-CBC
• Seleziona "Abilita compressione"

Inoltro delle porte: sul tuo router, inoltra UDP 1194 all'IP locale del NAS.

DNS dinamico: Pannello di controllo > Accesso esterno > DDNS. Scegli "Synology" come provider - your-nas.synology.me è gratuito. Questo sarà l'Endpoint nel file di configurazione del client .ovpn.

Generazione del file client: VPN Server > OpenVPN > Esporta configurazione. Il file .ovpn è pronto per essere importato in OpenVPN Connect su iOS/Android/Windows.

Limitazione del throughput OpenVPN su NAS: OpenVPN è in genere più lento di WireGuard sulle CPU dei NAS: gira in userspace e, sui modelli la cui CPU non ha accelerazione hardware AES, la crittografia AES è calcolata via software. WireGuard usa ChaCha20-Poly1305, che non dipende da AES-NI. Aspettati che OpenVPN fornisca una frazione del throughput di WireGuard sullo stesso NAS. Se il throughput è importante, passa alla sezione WireGuard Docker.

Configurazione di WireGuard su Synology tramite Docker

Questa è una configurazione ampiamente documentata. Più performante di OpenVPN, leggermente più tecnica da configurare.

Prerequisiti: DSM 7.2, Container Manager installato, almeno 4 GB di RAM sul NAS.

Passo 1 - Crea la cartella di configurazione:

In File Station, crea /volume1/docker/wireguard/.

Passo 2 - Scarica l'immagine:

Container Manager > Registro > Cerca linuxserver/wireguard > Scarica (ultima versione).

Passo 3 - Crea il container:

Container Manager > Container > Crea > Usa immagine linuxserver/wireguard.

Impostazioni critiche:

• Modalità di rete: Host (richiesto - consente al container di ascoltare direttamente sull'interfaccia di rete del NAS)
• Capacità: NET_ADMIN, SYS_MODULE (aggiungi manualmente nelle impostazioni avanzate)

Variabili d'ambiente:

PUID=1000
PGID=1000
TZ=Europe/London
SERVERURL=your-nas.synology.me
SERVERPORT=51820
PEERS=3
PEERDNS=auto
INTERNAL_SUBNET=10.13.13.0

Volumi:

/volume1/docker/wireguard → /config

Passo 4 - Inoltro delle porte:

DSM > Pannello di controllo > Sicurezza > Firewall: consenti UDP 51820 in entrata. Router: UDP 51820 → IP locale del NAS.

Passo 5 - Recupera le configurazioni client:

Dopo l'avvio del container (30-60 secondi), in Container Manager > Registri del container, appaiono i codici QR dei peer. Scansiona dall'app mobile WireGuard. I file di configurazione client sono disponibili anche in /volume1/docker/wireguard/peer1/peer1.conf.

Cosa aspettarsi: su una CPU di classe J4125, WireGuard in Docker satura comodamente un tipico upload in fibra domestica lasciando la CPU ben al di sotto della saturazione, quindi altri servizi NAS continuano a funzionare senza problemi.

Per modelli di configurazione WireGuard pronti all'uso adattati a diversi scenari, consulta i nostri modelli di configurazione WireGuard 2026.

Configurazione del QVPN Service su QNAP (WireGuard nativo QTS 5.1+)

Su un QNAP TS-464 (N5095, QTS 5.1.6), WireGuard è nativo - non serve Docker.

Installazione:

Centro App > Cerca "QVPN Service" > Installa (gratuito). Apri QVPN Service dal menu principale.

Configurazione WireGuard:

QVPN Service > VPN Server > WireGuard > Abilita WireGuard Server.

Impostazioni:

• Porta di ascolto: 51820 UDP
• Indirizzo IP del tunnel: 10.6.0.1/24
• DNS: 1.1.1.1 (o IP del NAS per DNS locale QNAP)

Aggiunta di client:

QVPN > Account di connessione > Aggiungi account VPN. Ogni account genera automaticamente una coppia di chiavi WireGuard. Clicca sul pulsante QR Code per visualizzare il QR scansionabile dall'app mobile WireGuard.

Inoltro delle porte:

Sul tuo router, inoltra UDP 51820 all'IP del QNAP. Usa QNAP Cloud per DDNS gratuito (*.myqnapcloud.com): Centro App > myQNAPcloud > Abilita.

Nota sul throughput: l'N5095 è una CPU più capace del Celeron J4125 e gestisce la crittografia WireGuard con più margine, quindi un TS-464 generalmente sosterrà un throughput più elevato con un uso della CPU inferiore rispetto a un'unità Synology di classe J4125.

Per strategie di nodo di uscita Tailscale su NAS, vedi anche la nostra guida completa al nodo di uscita Tailscale 2026 - complementare alla VPN self-hosted.

Routing in uscita: inviare il traffico del NAS tramite una VPN esterna

Caso d'uso diverso: vuoi che il NAS stesso instradi il traffico internet tramite NordVPN / Surfshark (link affiliati) (per accedere a contenuti geo-bloccati da Plex, o far uscire Sonarr/Radarr da un IP diverso).

Su Synology tramite Docker (NordVPN):

Usa l'immagine ghcr.io/bubuntux/nordvpn:

version: "3"
services:
  nordvpn:
    image: ghcr.io/bubuntux/nordvpn
    cap_add:
      - NET_ADMIN
    environment:
      - USER=your@email.com
      - PASS=your_password
      - CONNECT=France
      - TECHNOLOGY=NordLynx
      - NETWORK=192.168.1.0/24
    ports:
      - 8080:8080

I container Sonarr/Radarr posizionati nella stessa rete Docker utilizzano quindi questa connessione.

Caso d'uso Plex + VPN in uscita: se accedi a Plex da una regione con restrizioni geografiche (ad es. contenuti francesi dal Canada), instradare attraverso questo tunnel bypassa la restrizione. Nota che ciò non ti esonera da un abbonamento Plex valido.

Su QNAP tramite QVPN: QVPN Service > VPN Client > Aggiungi connessione > WireGuard o OpenVPN (importa il file .ovpn scaricato dal sito di NordVPN/Surfshark). Abilita la connessione. Verifica l'IP in uscita del QNAP con curl ifconfig.me via SSH.

Per strategie di routing avanzate con tabelle di routing personalizzate, vedi la nostra guida VPN self-hosted su Raspberry Pi 5 - i principi di inoltro IP si applicano anche ai NAS.

Una VPN cambia il tuo IP. Non cambia il tuo browser.

Un tunnel sostituisce l'indirizzo che un servizio vede. Non cambia nulla di ciò che il tuo browser dichiara da solo - caratteri, schermo, fuso orario, stack grafico - e quella combinazione basta spesso a riconoscerti da una sessione all'altra.

Misura la tua impronta del browser - misurazione passiva, senza domande, senza account, senza email.

Per avere la decisione a portata di mano: la nostra Home Server Remote Access Cheat Sheet gratuita (PDF di 4 pagine in inglese, download diretto, senza registrazione) spiega come distinguere CGNAT, doppio NAT e IP dinamico, quale metodo scegliere in ogni caso, e i comandi per DDNS, un relay WireGuard su un VPS, Cloudflare Tunnel o Pangolin, e wstunnel. Scarica la scheda.

Prestazioni e sicurezza: benchmark e rafforzamento

Il throughput di WireGuard dipende principalmente dalla CPU del NAS. I Celeron dual-core di fascia bassa (J4025) sono i più lenti; le unità quad-core J4125 si trovano nel mezzo; i chip Jasper Lake più recenti (N5095/N5105) e Ryzen (R1600) sono i più veloci. Di seguito una guida relativa approssimativa - i tuoi numeri effettivi dipendono dalla tua CPU, dalla velocità di upload in fibra e dal carico NAS concorrente, quindi testa la tua configurazione con iperf3:

Rafforzamento della sicurezza (obbligatorio prima di esporre qualsiasi porta a internet):

1. MFA amministratore su DSM/QTS

Synology: Pannello di controllo > Account utente > Verifica in due passaggi → abilita TOTP (Google Authenticator o Authy). QNAP: myQNAPcloud > Centro sicurezza > Verifica in due passaggi → TOTP. Non esporre mai direttamente la porta amministrativa DSM (5000/5001) - solo tramite VPN o proxy inverso.

2. Fail2ban e blocco IP

Synology DSM include nativamente un sistema di blocco automatico: Pannello di controllo > Sicurezza > Protezione > Blocca automaticamente gli indirizzi IP dopo X tentativi di accesso falliti. Configura: 5 tentativi, blocco di 24 ore.

3. Blocco geografico del firewall

Synology: Pannello di controllo > Sicurezza > Firewall > Crea regola > Consenti solo i paesi di origine previsti (il tuo paese di origine + destinazioni di viaggio). Blocca tutto il resto. QNAP: QuFirewall (disponibile nel Centro App) offre lo stesso blocco geografico.

4. Porte esposte minime

Esporre solo la porta UDP di WireGuard (51820). Nessuna porta amministrativa DSM/QTS, nessuna porta Plex diretta (usa QuickConnect o solo tramite VPN), nessun SSH esposto (usa la VPN come host di salto).

Impatto CPU: La crittografia WireGuard è leggera. Su un NAS quad-core di classe J4125, un trasferimento WireGuard sostenuto lascia ampio margine di CPU per altri servizi (come la transcodifica Plex 1080p H.265 → H.264). WireGuard è abbastanza leggero da non compromettere i carichi di lavoro tipici del NAS.

Per una copertura più approfondita delle strategie di sicurezza VPN, vedi la nostra guida completa alle migliori soluzioni VPN self-hosted 2026.