VPN em NAS Synology e QNAP: guia completo 2026 (WireGuard + OpenVPN)

Um NAS Synology pode executar um servidor WireGuard (via Docker), e as unidades modernas da QNAP oferecem WireGuard nativo no QTS 5.1 — sem necessidade de Docker. Este guia abrange ambos os caminhos, com expectativas realistas de desempenho e os erros a evitar.

Para uma visão mais ampla das opções de VPN auto-hospedadas, comece com o nosso guia completo das melhores soluções de VPN auto-hospedadas 2026.

Por que executar uma VPN no seu NAS

Um NAS doméstico funciona 24/7. O seu CPU está inativo 90% do tempo — pode muito bem colocá-lo a trabalhar.

Quatro casos de uso concretos que justificam a configuração:

Acesso remoto à LAN: a partir de um café ou hotel, acede aos seus discos como se estivesse em casa. Partilha de ficheiros, Surveillance Station, acesso a backups — sem expor uma única porta do NAS diretamente à internet.

Integração de dados do NAS: se tiver 20 TB de media no seu NAS, uma VPN local evita passar pelo relé na nuvem da Synology/QNAP (pago, limitado, potencialmente lento). Acede diretamente à LAN.

Dispositivo único: um dispositivo serve como NAS + servidor VPN + Plex + Pi-hole. Sem necessidade de gerir um Raspberry Pi adicional.

CPU ociosa disponível: um DS920+ consome 15-20W em repouso. Adicionar WireGuard não altera significativamente a conta de eletricidade — o CPU J4125 encripta em modo kernel com <5% de impacto noutros serviços.

A limitação honesta: ao contrário de um VPS na nuvem, uma falha de energia ou internet em casa corta a sua VPN. Para uso crítico em viagens de negócios, mantenha um VPS Contabo como backup — veja o nosso guia de VPN auto-hospedada no Contabo.

Synology vs QNAP: comparação de configuração de VPN

Aqui está como as duas plataformas se comparam para configuração de VPN:

Veredito: Se já possui um QNAP com QTS 5.1+, o WireGuard nativo é uma vantagem clara — sem Docker para gerir. Se está na Synology, o Docker WireGuard é uma configuração bem estabelecida e estável uma vez configurada.

Configuração do Servidor VPN na Synology (OpenVPN/L2TP)

O caminho mais simples para começar no DSM 7.2 sem Docker.

Instalação:

1. Centro de Pacotes → Pesquisar "Servidor VPN" → Instalar
2. Abrir Servidor VPN → Escolher OpenVPN ou L2TP/IPSec
3. Ativar o protocolo e marcar "Permitir que clientes VPN acedam à rede local do servidor"

Configuração do OpenVPN:

Em Servidor VPN > OpenVPN > Configurações Avançadas:

• Interface de rede: eth0 (Ethernet do NAS)
• Porta: 1194 UDP
• Encriptação: AES-256-CBC
• Marcar "Ativar compressão"

Encaminhamento de porta: no seu router, encaminhe UDP 1194 para o IP local do NAS.

DNS Dinâmico: Painel de Controlo > Acesso Externo > DDNS. Escolha "Synology" como fornecedor — your-nas.synology.me é gratuito. Este será o Endpoint no ficheiro de configuração do cliente .ovpn.

Gerar o ficheiro do cliente: Servidor VPN > OpenVPN > Exportar Configuração. O ficheiro .ovpn está pronto para ser importado no OpenVPN Connect em iOS/Android/Windows.

Limitação de desempenho do OpenVPN no NAS: O OpenVPN é notavelmente mais lento que o WireGuard nestes CPUs, uma vez que a encriptação AES é executada num CPU sem AES-NI de hardware. Espere que o OpenVPN entregue uma fração do desempenho do WireGuard no mesmo NAS. Se o desempenho for importante, passe para a seção do WireGuard Docker.

Configuração do WireGuard na Synology via Docker

Esta é uma configuração de produção bem comprovada. Mais performante que o OpenVPN, ligeiramente mais técnica de configurar.

Pré-requisitos: DSM 7.2, Container Manager instalado, pelo menos 4 GB de RAM no NAS.

Passo 1 — Criar a pasta de configuração:

No File Station, crie /volume1/docker/wireguard/.

Passo 2 — Obter a imagem:

Container Manager > Registry > Pesquisar linuxserver/wireguard > Download (última versão).

Passo 3 — Criar o container:

Container Manager > Container > Criar > Usar imagem linuxserver/wireguard.

Configurações críticas:

• Modo de rede: Host (necessário — permite que o container escute diretamente na interface de rede do NAS)
• Capacidades: NET_ADMIN, SYS_MODULE (adicionar manualmente nas configurações avançadas)

Variáveis de ambiente:

PUID=1000
PGID=1000
TZ=Europe/Lisbon
SERVERURL=your-nas.synology.me
SERVERPORT=51820
PEERS=3
PEERDNS=auto
INTERNAL_SUBNET=10.13.13.0

Volumes:

/volume1/docker/wireguard → /config

Passo 4 — Encaminhamento de porta:

DSM > Painel de Controlo > Segurança > Firewall: permitir UDP 51820 de entrada. Router: UDP 51820 → IP local do NAS.

Passo 5 — Recuperar configurações do cliente:

Após o container iniciar (30-60 segundos), em Container Manager > Logs do Container, aparecem códigos QR dos peers. Escaneie a partir da aplicação móvel WireGuard. Os ficheiros de configuração do cliente também estão disponíveis em /volume1/docker/wireguard/peer1/peer1.conf.

O que esperar: num CPU classe J4125, o WireGuard em Docker satura confortavelmente um upload típico de fibra doméstica enquanto mantém o CPU bem abaixo da saturação, permitindo que outros serviços do NAS continuem a funcionar sem problemas.

Para modelos de configuração WireGuard prontos para uso adaptados a diferentes cenários, consulte os nossos modelos de configuração WireGuard 2026.

Configuração do QVPN Service na QNAP (WireGuard nativo QTS 5.1+)

Num QNAP TS-464 (N5095, QTS 5.1.6), o WireGuard é nativo — sem necessidade de Docker.

Instalação:

App Center > Pesquisar "QVPN Service" > Instalar (gratuito). Abra o QVPN Service a partir do menu principal.

Configuração do WireGuard:

QVPN Service > Servidor VPN > WireGuard > Ativar Servidor WireGuard.

Configurações:

• Porta de escuta: 51820 UDP
• Endereço IP do túnel: 10.6.0.1/24
• DNS: 1.1.1.1 (ou IP do NAS para DNS local QNAP)

Adicionar clientes:

QVPN > Contas de Conexão > Adicionar Conta VPN. Cada conta gera automaticamente um par de chaves WireGuard. Clique no botão de Código QR para exibir o QR escaneável a partir da aplicação móvel WireGuard.

Encaminhamento de porta:

No seu router, encaminhe UDP 51820 para o IP do QNAP. Use o QNAP Cloud para DDNS gratuito (*.myqnapcloud.com): App Center > myQNAPcloud > Ativar.

Nota de desempenho: o N5095 é um CPU mais capaz que o Celeron J4125 e lida com a encriptação WireGuard com mais folga, por isso um TS-464 geralmente sustentará maior desempenho com menor uso de CPU do que uma unidade Synology classe J4125.

Para estratégias de nó de saída Tailscale em NAS, veja também o nosso guia completo de nó de saída Tailscale 2026 — complementar à VPN auto-hospedada.

Encaminhamento de saída: enviar tráfego do NAS através de uma VPN externa

Diferente caso de uso: deseja que o próprio NAS encaminhe o tráfego da internet via NordVPN/Surfshark (para aceder a conteúdo bloqueado geograficamente a partir do Plex, ou ter Sonarr/Radarr a sair de um IP diferente).

Na Synology via Docker (NordVPN):

Use a imagem ghcr.io/bubuntux/nordvpn:

version: "3"
services:
  nordvpn:
    image: ghcr.io/bubuntux/nordvpn
    cap_add:
      - NET_ADMIN
    environment:
      - USER=your@email.com
      - PASS=your_password
      - CONNECT=France
      - TECHNOLOGY=NordLynx
      - NETWORK=192.168.1.0/24
    ports:
      - 8080:8080

Os containers Sonarr/Radarr colocados na mesma rede Docker usam então esta conexão.

Caso de uso Plex + VPN de saída: se aceder ao Plex a partir de uma região com restrição geográfica (por exemplo, conteúdo francês a partir do Canadá), o encaminhamento através deste túnel contorna a restrição. Note que isto não o isenta de uma subscrição válida do Plex.

Na QNAP via QVPN: QVPN Service > Cliente VPN > Adicionar Conexão > WireGuard ou OpenVPN (importar o ficheiro .ovpn descarregado do site da NordVPN/Surfshark). Ativar a conexão. Verifique o IP de saída do QNAP com curl ifconfig.me via SSH.

Para estratégias avançadas de encaminhamento com tabelas de encaminhamento personalizadas, veja o nosso guia de VPN auto-hospedada no Raspberry Pi 5 — os princípios de encaminhamento de IP aplicam-se também ao NAS.

Desempenho e segurança: benchmarks e reforço

O desempenho do WireGuard depende principalmente do CPU do NAS. Celerons dual-core de gama baixa (J4025) são os mais lentos; unidades quad-core J4125 estão no meio; os novos chips Jasper Lake (N5095/N5105) e Ryzen (R1600) são os mais rápidos. Abaixo está um guia relativo aproximado — os seus números reais dependem do seu CPU, velocidade de upload de fibra e carga concorrente do NAS, por isso faça benchmark da sua própria configuração com iperf3:

Reforço de segurança (obrigatório antes de expor qualquer porta à internet):

1. MFA de administrador no DSM/QTS

Synology: Painel de Controlo > Conta de Utilizador > Verificação em 2 Passos → ativar TOTP (Google Authenticator ou Authy). QNAP: myQNAPcloud > Centro de Segurança > Verificação em 2 Passos → TOTP. Nunca exponha a porta de administrador do DSM (5000/5001) diretamente — apenas via VPN ou proxy reverso.

2. Fail2ban e bloqueio de IP

O DSM da Synology inclui nativamente um sistema de bloqueio automático: Painel de Controlo > Segurança > Proteção > Bloquear automaticamente endereços IP após X tentativas de login falhadas. Configurar: 5 tentativas, bloqueio de 24h.

3. Bloqueio geográfico de firewall

Synology: Painel de Controlo > Segurança > Firewall > Criar regra > Permitir apenas países de origem esperados (o seu país de origem + destinos de viagem). Bloquear tudo o resto. QNAP: QuFirewall (disponível no App Center) oferece o mesmo bloqueio geográfico.

4. Portas expostas mínimas

Exponha apenas a porta UDP do WireGuard (51820). Sem portas de administrador DSM/QTS, sem porta Plex direta (use QuickConnect ou apenas via VPN), sem SSH exposto (use a VPN como host de salto).

Impacto no CPU de produção: A encriptação WireGuard é leve. Num NAS classe J4125 quad-core, uma transferência WireGuard sustentada deixa bastante margem de CPU para outros serviços (como transcodificação Plex 1080p H.265 → H.264). O WireGuard é leve o suficiente para não comprometer as cargas de trabalho típicas do NAS.

Para uma cobertura mais aprofundada das estratégias de segurança de VPN, veja o nosso guia completo das melhores soluções de VPN auto-hospedadas 2026.