Как настроить и подключиться к VPN на Synology NAS с Windows 10

TL;DR

Кратко: вы можете превратить Synology NAS в VPN‑сервер и подключаться к нему с Windows 10 по PPTP, L2TP/IPsec или OpenVPN. OpenVPN даёт лучшую безопасность, L2TP/IPsec — хороший компромисс с нативной поддержкой, PPTP — самый простой, но небезопасный. В статье — пошаговая настройка сервера на NAS, создание VPN‑подключения в Windows 10, рекомендации по безопасности, отладка и проверочные списки.

Краткое определение: NAS — это сервер хранения данных в локальной сети (LAN), к которому вы можете подключать компьютеры и мобильные устройства. На Synology NAS можно хранить фотографии, видео и документы локально и предоставить удалённый доступ через VPN без сторонних облачных сервисов.

Цель этой статьи: показать пошагово, как настроить VPN‑сервер на Synology NAS и подключиться к нему с компьютера под управлением Windows 10. Также вы найдёте рекомендации по безопасности, проверочные сценарии и инструкции по отладке.

Основные варианты использования

• Удалённый доступ к файлам и медиа на домашнем NAS.
• Безопасное подключение сотрудников к офисному хранилищу через интернет.
• Шифрование трафика при работе из общественных сетей.

Важно: для удалённого подключения потребуется публичный IP-адрес вашего маршрутизатора или сервис динамического DNS (DDNS), а также корректная настройка переадресации портов на роутере.

Ключевые термины

• VPN — виртуальная частная сеть, защищённый туннель для передачи данных через интернет.
• PPTP — старый VPN‑протокол с низкой степенью защиты.
• L2TP/IPsec — комбинация L2TP и IPsec для шифрования и аутентификации.
• OpenVPN — современный и гибкий VPN‑протокол, требующий клиента.

Какой VPN‑протокол выбрать

• OpenVPN — лучший выбор по безопасности и гибкости. Требует установки клиента на Windows.
• L2TP/IPsec — хорошая совместимость и нативная поддержка Windows, баланс между безопасностью и удобством.
• PPTP — прост в настройке, но небезопасен; рекомендуется только для тестов или очень старых устройств.

Примечание: при изменении конфигурации VPN сервера не забудьте обновить настройки на каждом VPN клиенте.

Важное

Если вы выбираете L2TP/IPsec, Windows требует небольшого правочного вмешательства в реестр или альтернативного решения для корректного подключения через NAT. OpenVPN избавляет от подобных проблем, но требует установки клиента.

Подготовка и предварительные требования

1. Обновите DSM (DiskStation Manager) на Synology до актуальной версии.
2. Убедитесь, что у вас есть права администратора на NAS и на Windows‑машине.
3. Заранее подготовьте публичный IP роутера или настройте DDNS у Synology или у провайдера.
4. Проверьте модель роутера — он должен поддерживать VPN pass-through (PPTP/L2TP) или позволять переадресацию портов.
5. Составьте список пользователей NAS, которые будут иметь доступ по VPN, и задайте для них сильные пароли.

Совет: используйте статический локальный IP для NAS в вашей LAN или привяжите IP к MAC‑адресу в настройках роутера.

Настройка VPN‑сервера на Synology NAS

В Synology VPN Server доступны три режима: PPTP, L2TP/IPsec и OpenVPN. Ниже приведены расширенные инструкции для каждой опции, исходные пункты сохранены, дополнены пояснениями.

PPTP

1. Откройте приложение VPN Server на Synology.
2. В левом меню выберите PPTP.
3. Установите флажок Enable PPTP VPN server.
4. В поле Dynamic IP address укажите пул виртуальных IP‑адресов для VPN‑клиентов (например, 10.8.0.2–10.8.0.50). Этот пул не должен пересекаться с локальной сетью.
5. Maximum connection number — ограничьте количество одновременных подключений по необходимости.
6. Maximum number of connections with same account — ограничение подключений под одной учетной записью.
7. Authentication: выберите MS‑CHAP v2 для совместимости с Windows и шифрования паролей.
8. Encryption: установите Require MPPE для включения шифрования MPPE.
9. MTU оставьте по умолчанию (1400), если не требуется тонкая настройка.
10. Use manual DNS оставьте не отмеченным, чтобы клиенты получали DNS от NAS, либо укажите собственные DNS‑адреса.
11. Нажмите Apply.

Примечание: PPTP использует протокол GRE (IP‑протокол 47), который может блокироваться некоторыми роутерами и провайдерами.

Когда PPTP всё ещё может быть полезен: для совместимости с очень старыми устройствами или в лабораторных условиях. Для боевого применения лучше выбрать L2TP/IPsec или OpenVPN.

L2TP/IPsec

1. В VPN Server откройте L2TP/IPsec в левом меню.
2. Установите Enable L2TP/IPsec VPN server.
3. Dynamic IP address — задайте пул виртуальных адресов, не пересекающийся с LAN.
4. Maximum connection number — лимит подключений.
5. Authentication: MS‑CHAP v2.
6. MTU по умолчанию 1400.
7. Use manual DNS — по желанию; обычно оставляют выключенным.
8. IKE authentication — введите и подтвердите pre‑shared key (PSK). Выберите длинную, случайную строку.
9. Нажмите Apply.

Замечание: L2TP/IPsec использует порты UDP 500 и 4500 для IPsec и UDP 1701 для L2TP. Если NAS находится за NAT, убедитесь в поддержке NAT‑Traversal (NAT‑T) на роутере.

OpenVPN

1. В VPN Server выберите OpenVPN.
2. Отметьте Enable OpenVPN server.
3. Dynamic IP address — задайте пул виртуальных адресов для OpenVPN (например, 10.9.0.2–10.9.0.100).
4. Maximum connection number — ограничьте количество клиентов.
5. Enable compression on the VPN link — включайте компрессию, если у вас медленный канал и малые файлы; компрессия может повысить скорость, но увеличит загрузку CPU.
6. Allow clients to access server’s LAN — включите, если VPN‑клиенты должны иметь доступ к локальным ресурсам NAS в LAN.
7. Enable IPv6 server mode — только если вы проектируете IPv6‑подключения.
8. Нажмите Apply.

Далее экспортируйте OpenVPN конфигурацию и сертификаты: нажмите Export configuration и скачайте ZIP‑архив. Потребуется скопировать ca.crt и openvpn.ovpn на клиент.

Важно: OpenVPN по умолчанию использует UDP порт 1194. Для установки сервера за NAT потребуется переадресовать этот порт на NAS.

Примечание о Dynamic IP address

Dynamic IP address — пул виртуальных адресов, который сервер раздаёт клиентам при подключении. Он не должен совпадать с локальными IP в вашей домашней сети. Чтобы быстро просмотреть локальные адреса, используйте команду arp -a на Windows.

Настройка маршрутизатора и переадресации портов

Чтобы VPN‑клиенты могли подключиться из интернета, нужно настроить проброс портов (port forwarding) на роутере:

• PPTP: TCP 1723 и протокол GRE (IP 47)
• L2TP/IPsec: UDP 1701, UDP 500, UDP 4500
• OpenVPN: UDP 1194 (или другой порт, если вы сменили)

Кроме того, отключите VPN‑сервер на роутере, если вы запускаете VPN сервер на Synology, чтобы избежать конфликтов портов и двойной NAT. Убедитесь, что маршрутизатор поддерживает VPN pass‑through для L2TP и IPsec.

Если ваш провайдер использует CGNAT (carrier‑grade NAT), проброс портов невозможен — используйте DDNS с обратным прокси или внешние решения наподобие VPN‑службы/Cloud Relay.

Создание VPN‑подключения в Windows 10

Ниже показано, как создать VPN-профиль и подключиться в Windows 10 для каждого протокола. Мы сохраняем UI‑метки Windows в оригинале, чтобы легко найти элементы.

PPTP в Windows 10

1. Создание VPN‑подключения:

   • Нажмите Start, введите VPN settings и нажмите Enter.
   • Нажмите Add a VPN connection.
   • VPN provider: Windows (built‑in).
   • Connection name: любое удобное имя.
   • Server name or address: публичный IP адрес или DDNS‑имя вашего роутера.
   • VPN type: Point to Point Tunneling Protocol (PPTP).
   • Укажите User name и Password для доступа.
   • Нажмите Save.

2. Изменение свойств подключения:

   • Правый клик по Start → Network Connections → Change adapter options.
   • Правый клик по новому VPN‑подключению → Properties.
   • Security: Data encryption → Require encryption (disconnect if server declines).
   • Разрешить протоколы: Challenge Handshake Authentication Protocol (CHAP) и Microsoft CHAP Version 2 (MS‑CHAP v2).
   • Networking: включите Internet Protocol Version 4 (TCP/IPv4) и Client for Microsoft Networks.
   • OK.

3. Подключение:

   • Нажмите иконку сети в трее, выберите VPN и нажмите Connect.

Совет: если соединение падает сразу после установления, проверьте логи на Synology и включите запись логов на клиенте.

L2TP/IPsec в Windows 10

Для L2TP/IPsec в Windows 10 может потребоваться изменение реестра, если клиент находится за NAT. Ниже аккуратная пошаговая инструкция. Перед редактированием реестра создайте точку восстановления системы.

1. Редакция реестра (однократная настройка на клиенте):

   • Нажмите Ctrl+R, введите regedit, нажмите Enter.
   • Подтвердите UAC.
   • Перейдите к ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent.
   • Правый клик → New → DWORD (32‑bit) Value.
   • Назовите значение AssumeUDPEncapsulationContextOnSendRule.
   • Дважды кликните → Value data = 2, Base = Hexadecimal.
   • OK и перезагрузите компьютер.

2. Создание VPN‑подключения:

   • Start → VPN settings → Add a VPN connection.
   • VPN provider: Windows (built‑in).
   • Connection name: любое имя.
   • Server name or address: публичный IP или DDNS.
   • VPN type: L2TP/IPsec with pre‑shared key.
   • Pre‑shared key: тот же PSK, который вы ввели в настройках NAS.
   • Укажите User name и Password.
   • Save.

3. Изменение свойств:

   • Start → Network Connections → Change adapter options → правый клик на VPN → Properties.
   • Security → Data encryption: Require encryption (disconnect if server declines).
   • Разрешите CHAP и MS‑CHAP v2.
   • Networking → включите IPv4 и Client for Microsoft Networks.
   • OK.

4. Подключение: через иконку сети → выбрать подключение → Connect.

Примечание: если вы не хотите редактировать реестр, альтернативно можно использовать OpenVPN или сторонние L2TP клиенты, которые лучше работают через NAT.

OpenVPN в Windows 10

OpenVPN требует установки клиента и копирования конфигурационных файлов.

1. Подготовьте конфигурацию на NAS:

   • В VPN Server → OpenVPN → Export configuration.
   • Скачайте ZIP‑архив на клиентский ПК.
   • Разархивируйте и откройте openvpn.ovpn в текстовом редакторе.
   • Замените YOUR_SERVER_IP на публичный IP или DDNS‑имя.

2. Установите OpenVPN GUI (доступен на openvpn.net) или другой совместимый клиент.

   • По умолчанию конфигурации помещают в C:\Program Files\OpenVPN\config.
   • Скопируйте файлы ca.crt и openvpn.ovpn в папку config.

3. Подключение:

   • Запустите OpenVPN GUI от имени администратора.
   • Правый клик по иконке в трее → выберите профиль Synology → Connect.

Преимущество: OpenVPN поддерживает дополнительные методы аутентификации (cert + user), легко настраивается и работает через NAT при правильной переадресации порта.

Безопасность и рекомендации по защите

• Всегда используйте сильные уникальные пароли для учетных записей NAS.
• Для L2TP/IPsec выбирайте длинный Pre‑Shared Key (PSK) и отключайте слабые шифры на NAS, если есть такая возможность.
• Для OpenVPN настройте TLS/сертификаты и, при возможности, TLS auth или TLS crypt для защиты от атак типа TLS‑DoS.
• Отключите PPTP в продакшн среде.
• Регулярно обновляйте DSM и пакеты на NAS.
• Включите двухфакторную аутентификацию для доступа к DSM, если она необходима для управления сервером.
• Ограничьте доступ по IP‑адресам, если клиенты постоянно подключаются с известных внешних адресов.

Пример политики логов и уведомлений:

• Включите запись логов VPN на Synology и при обнаружении подозрительных подключений настоятельно настройте оповещения по e‑mail.

Отладка и распространённые проблемы

Проверочные шаги при проблемах с подключением:

1. Убедитесь, что переадресация портов на роутере настроена верно и указывает на локальный IP NAS.
2. Проверьте, что на NAS включён соответствующий VPN‑сервис (PPTP/L2TP/OpenVPN).
3. Просмотрите логи VPN Server в DSM: Network Center → Log Center или прямо в приложении VPN Server.
4. Убедитесь, что на Windows включён нужный протокол и в сетевых адаптерах нет конфликтующих настроек.
5. Проверьте, не блокирует ли провайдер нужные порты (некоторые ISP блокируют 1194, 500, 4500 и т. п.).
6. Для L2TP/IPsec на клиенте проверьте значение AssumeUDPEncapsulationContextOnSendRule в реестре.
7. Для OpenVPN проверьте, что YOUR_SERVER_IP в openvpn.ovpn заменён на реальный публичный адрес и что файлы сертификатов корректно скопированы.

Проверочные команды:

• На Windows: ping (внутри сети), tracert для трассировки.
• На NAS: проверьте статус службы VPN в DSM и логи событий.

Сценарии и тест кейсы

1. Тест: подключение по OpenVPN из внешней сети

   • Предусловие: порт 1194 открыт и проброшен.
   • Шаги: импорт конфигурации → запуск OpenVPN GUI → подключиться.
   • Критерий приёмки: туннель установлен, доступ к SMB/HTTP ресурсам NAS доступен по локальным адресам.

2. Тест: подключение по L2TP/IPsec через маршрутизатор с NAT

   • Предусловие: PSK совпадает на сервере и клиенте; на клиенте правка реестра выполнена.
   • Критерий приёмки: успешное подключение и обмен трафиком.

3. Тест: отказ одного аккаунта при превышении максимума подключений

   • Установите лимит подключений на сервере и попытайтесь подключиться одновременно с нескольких клиентов.
   • Критерий приёмки: дополнительные подключения отклоняются.

Роли и чек‑листы

Администратор NAS

• Обновить DSM и пакеты.
• Настроить пользователей и права доступа.
• Включить нужный VPN‑протокол и задать пул адресов.
• Экспортировать OpenVPN конфигурацию, если используется OpenVPN.
• Настроить оповещения и мониторинг логов.

Сетевой администратор (роутер)

• Настроить переадресацию портов на IP NAS.
• Отключить встроенный VPN‑сервер роутера.
• Проверить поддержку NAT‑Traversal и VPN pass‑through.

Пользователь (Windows 10)

• Установить OpenVPN GUI при необходимости.
• Создать VPN‑профиль в настройках Windows.
• Проверить доступность DDNS или публичного IP.

Пошаговый SOP для администратора (сценарий OpenVPN)

1. Обновить DSM до последней стабильной версии.
2. В VPN Server → OpenVPN включить сервер, настроить пул адресов, включить Allow clients to access server’s LAN.
3. Export configuration → скачать ZIP и проверить openvpn.ovpn.
4. На роутере пробросить UDP порт 1194 на IP NAS.
5. Скопировать ca.crt и openvpn.ovpn в клиент C:\Program Files\OpenVPN\config.
6. Запустить OpenVPN GUI от имени администратора → Connect.
7. Проверить доступ к расшаренным папкам и журналам на NAS.

Критерии приёмки

• VPN соединение успешно устанавливается из внешней сети.
• VPN‑клиент получает IP из заданного пула и имеет доступ к необходимым ресурсам LAN.
• Нет утечек DNS — при необходимости принудительно укажите DNS сервера NAS или безопасные публичные DNS.
• Логи не показывают подозрительных попыток авторизации после настройки ограничений.

Мини‑методология выбора (1‑строчный эвристики)

• Если нужна максимальная безопасность и гибкость — OpenVPN.
• Если требуется нативная поддержка Windows без сторонних клиентов — L2TP/IPsec.
• Для совместимости со старыми устройствами или тестов — PPTP, но только временно.

Короткий глоссарий

• DDNS: служба динамической привязки доменов к динамическому IP.
• NAT: трансляция сетевых адресов.
• PSK: pre‑shared key, общий ключ для IPsec.

Часто задаваемые вопросы

Нужно ли покупать дополнительное ПО для Synology VPN?

Нет: Synology предоставляет пакет VPN Server бесплатно в центре пакетов DSM. Для OpenVPN потребуется клиент на машине Windows (бесплатный OpenVPN GUI).

Могу ли я использовать DDNS вместо публичного IP?

Да. Synology поддерживает DDNS и вы можете настроить его в панели управления, чтобы использовать доменное имя вместо меняющегося IP.

Что делать, если провайдер блокирует порты?

Свяжитесь с провайдером или используйте другой порт для OpenVPN (изменить в настройках сервера и в openvpn.ovpn). Альтернатива — использование внешнего VPS как точки доступа или коммерческого VPN‑решения.

Насколько безопасен PPTP?

PPTP считается устаревшим и уязвимым. Для реальной защиты данных используйте L2TP/IPsec или OpenVPN.

Заключение

Настройка Synology NAS как VPN‑сервера даёт контроль над данными и позволяет безопасно подключаться к домашним или офисным ресурсам из любой точки мира. Выбор протокола зависит от требований к безопасности и совместимости. OpenVPN обеспечивает наилучшую защиту, L2TP/IPsec удобен и работает нативно в Windows, PPTP — устаревший вариант. Следуйте представленной инструкции, настройте проброс портов и меры безопасности, а также выполните проверочные тесты перед развёртыванием в продакшн.