Quel VPN fonctionne avec un NAS Synology ou QNAP ? J’ai fini par choisir le tunnel sur le portable, pas dans le NAS

J’ai commencé ma recherche au mauvais endroit : dans l’App Center de mon QNAP.

Je voulais un VPN « compatible NAS ». Dans ma tête, cela signifiait forcément une application VPN installée directement sur le boîtier.

Je cherchais donc le nom des fournisseurs.
Rien.
Je regardais les tutoriels OpenVPN.
Puis WireGuard.
Puis les fichiers de configuration.
Au bout d’un moment, une question assez simple était devenue un petit projet réseau.

Le plus ironique, c’est que mon besoin n’était pas de faire sortir mon NAS sur Internet derrière une autre adresse IP. Je voulais faire exactement l’inverse.

J’étais en déplacement à Milan et je devais rentrer sur mon réseau domestique pour récupérer un dossier de photos stocké sur le QNAP de mon bureau.

Cette différence allait finalement décider quel VPN m’était réellement utile.

J’avais volontairement rendu le NAS plus difficile à atteindre

Quelques mois auparavant, j’avais réduit ce que mon QNAP exposait directement sur Internet.

La décision n’était pas seulement théorique. En mai 2026, QNAP a publié un avis concernant « Dirty Frag », une vulnérabilité du noyau Linux affectant notamment ses NAS x86 et ARM64 ainsi que QuTS hero. La faille a depuis été corrigée, mais les recommandations de l’entreprise restent intéressantes au-delà de ce cas précis : réduire la surface d’attaque, désactiver les services inutiles et éviter d’exposer directement le NAS à Internet, en utilisant notamment un pare-feu ou un VPN pour limiter l’accès.

J’avais donc fermé les services publics dont je n’avais pas besoin.

Pour l’accès distant, j’avais configuré QVPN.

C’est précisément l’un des scénarios prévus par QNAP : le NAS peut servir de serveur VPN avec QBelt, OpenVPN, L2TP ou WireGuard, et l’entreprise recommande de n’ouvrir vers Internet que le port nécessaire au service VPN plutôt que les autres ports du NAS.

Chez moi, tout fonctionnait.

Depuis la 5G aussi.

Je lançais OpenVPN sur l’ordinateur, le tunnel rejoignait le QNAP, puis j’ouvrais le partage privé comme si j’étais revenu au bureau.

C’est pourquoi, à Milan, je ne pensais pas avoir un problème de NAS.
J’avais déjà la solution.
Elle a simplement refusé de passer par le réseau devant moi.

Le Wi-Fi fonctionnait ; mon chemin vers la maison, non

J’étais dans un espace de coworking.
Le navigateur était rapide.
Ma messagerie synchronisait normalement.
Une visioconférence de test ne posait aucun problème.
OpenVPN, lui, restait bloqué sur la connexion.
Puis délai dépassé.
Nouvel essai.

Même chose.
J’ai vérifié l’adresse de mon domicile, le profil et les identifiants.
Toujours rien.
J’ai alors désactivé le Wi-Fi et partagé la connexion 5G de mon téléphone.
OpenVPN s’est connecté presque immédiatement.
Le partage du QNAP est apparu.
Je suis revenu sur le Wi-Fi du coworking.

Échec.

À partir de là, j’ai cessé de modifier le NAS. Le même serveur, le même ordinateur et le même profil venaient de fonctionner dès que je changeais de réseau.

Des utilisateurs de Synology rencontrent le même genre de paradoxe. Dans une discussion publique, un voyageur expliquait que son tunnel WireGuard vers son NAS fonctionnait sur ses connexions cellulaires et certains réseaux d’hôtel, mais devenait inaccessible sur d’autres Wi-Fi. Dans son cas, la discussion s’oriente notamment vers un conflit possible entre sous-réseaux locaux, ce qui rappelle quelque chose d’important : un VPN domestique parfaitement fonctionnel peut devenir inutilisable parce que le réseau depuis lequel on tente de le rejoindre n’a pas la même configuration.

Mon test Wi-Fi/5G ne me disait pas encore exactement pourquoi le coworking refusait ma route.

Mais il me disait où arrêter de chercher.

Le problème était devant mon ordinateur, pas dans le QNAP resté à la maison.

Mon premier plan B atteignait le NAS, mais pas vraiment mon dossier

J’avais encore myQNAPcloud Link activé comme accès de secours.
Je l’ai essayé.
Cette fois, le NAS est apparu.
File Station s’est ouvert.
J’ai vu le dossier.

Pendant quelques secondes, j’ai cru que toute ma réflexion sur les VPN venait de devenir inutile.

Puis j’ai lancé le téléchargement.

Le fichier avançait, mais beaucoup trop lentement pour que j’aie envie de récupérer plusieurs gigaoctets de cette manière.

Ce comportement a une explication assez simple. QNAP indique que myQNAPcloud Link permet de joindre le NAS via ses serveurs sans exposer directement le boîtier ni configurer de redirection de ports. L’entreprise précise aussi que les performances peuvent diminuer aux périodes de forte utilisation et recommande une connexion VPN lorsqu’on cherche de meilleures performances et davantage de contrôle sur la connexion.

Le relais était donc utile.
Il me confirmait que mon QNAP était vivant et accessible.
Mais ce n’était pas le chemin que je voulais utiliser pour déplacer un gros dossier.

Je revenais à mon problème initial : mon tunnel privé était la bonne route vers mes fichiers, mais le réseau devant moi empêchait cette route de fonctionner directement.

Et c’est là que j’ai compris pourquoi je cherchais le mauvais type de « compatibilité NAS ».

Le VPN commercial n’avait pas besoin d’être installé sur le QNAP

Mon raisonnement jusque-là était :

NAS QNAP → application VPN commerciale sur le QNAP → Internet.

Ce schéma a du sens lorsqu’on veut que le NAS lui-même sorte à travers un fournisseur VPN — par exemple pour une application exécutée directement sur le boîtier.

Ce n’était pas mon cas.
Mon QNAP avait déjà son propre VPN.
Ce qui échouait se trouvait de l’autre côté :
ordinateur en voyage → Wi-Fi du coworking → tunnel vers la maison.

J’avais besoin de réparer la première partie du trajet, pas de reconstruire la destination.

La distinction vaut aussi pour Synology. DSM permet d’utiliser le NAS comme destination d’un accès VPN, et Synology recommande précisément de passer par un VPN pour accéder à distance aux données SMB plutôt que d’exposer directement les ports CIFS/SMB sur Internet.

Le nom inscrit sur le boîtier comptait donc moins que le sens du tunnel.
Pour mon usage, le NAS devait rester la destination privée.
Le VPN commercial devait fonctionner sur l’ordinateur qui essayait de l’atteindre.

J’ai fait passer le tunnel de la maison à l’intérieur d’un autre tunnel

J’avais OnlydogVPN^↗ sur le portable.

Je ne l’avais pas installé pour administrer un NAS. C’était justement ce qui le rendait intéressant à ce moment-là.

J’ai lancé son mode destiné aux réseaux plus restrictifs.
La connexion s’est établie sur le Wi-Fi du coworking.
Puis j’ai relancé mon profil OpenVPN QNAP.
Cette fois :
Connected.
J’ai saisi l’adresse privée du NAS.
Le panneau QTS s’est ouvert.

Puis le partage.
Puis le dossier de photos.
J’ai lancé le même téléchargement que quelques minutes auparavant.

La vitesse est montée et, surtout, elle est restée suffisamment stable pour que je cesse de surveiller la barre de progression.

Le dossier est arrivé.

C’était tout ce que je demandais depuis le début.

Le petit VPN n’avait pas remplacé QVPN. Il lui avait donné un chemin utilisable depuis ce Wi-Fi.

L’image qui m’est restée est celle d’un colis dont l’adresse est parfaitement correcte, mais que le premier transporteur refuse de prendre. Je n’avais pas besoin de changer sa destination. J’avais besoin d’un autre véhicule pour lui faire franchir la première partie du trajet.

C’est exactement ce qui s’était passé ici.

Le changement de route expliquait mieux le résultat que toutes mes modifications du NAS

Je ne pouvais pas voir les règles internes du réseau du coworking, donc je n’allais pas prétendre savoir précisément ce qu’il faisait de ma connexion OpenVPN.

Mais je savais déjà une chose : le chiffrement ne rend pas automatiquement un protocole impossible à reconnaître.

Des chercheurs présentés à USENIX Security ont montré qu’OpenVPN peut être identifié à partir de caractéristiques observables de son trafic, notamment certains motifs de protocole, tailles de paquets et réponses du serveur. Dans leur expérimentation menée avec un FAI comptant environ un million d’utilisateurs, leur méthode identifiait plus de 85 % des flux OpenVPN avec très peu de faux positifs.

Je n’avais pas besoin d’aller plus loin techniquement pour comprendre mon propre test.
OpenVPN QNAP directement sur le Wi-Fi : échec.
Le même profil sur la 5G : connexion.
Le VPN extérieur sur le Wi-Fi : connexion.
Puis OpenVPN QNAP à travers cette nouvelle route : connexion.
Et enfin le partage privé accessible.

La comparaison avait changé une seule chose vraiment importante : le chemin emprunté avant d’arriver au tunnel de ma maison.

Pendant une heure, j’avais cherché quoi modifier sur le NAS.

Le NAS n’avait finalement besoin d’aucune modification.

Il reste un cas où j’aurais choisi autrement

Si ma question avait été :

« Quel VPN puis-je installer directement sur mon Synology ou mon QNAP pour faire sortir le trafic du NAS par un fournisseur commercial ? »

alors la réponse aurait été différente.

QNAP peut fonctionner comme client VPN avec QVPN ; sa documentation actuelle prévoit notamment des profils clients OpenVPN et WireGuard. Synology peut lui aussi devenir client VPN, avec des profils PPTP, OpenVPN ou L2TP/IPSec, et DSM précise certaines contraintes propres aux profils OpenVPN.

Dans ce scénario, il faut commencer par vérifier que le fournisseur livre réellement un profil et une méthode compatibles avec le NAS.

Le petit service que j’utilisais est d’abord proposé directement sur Windows, macOS, iPhone et Android. Il dispose aussi de moins de régions et de moins d’historique public que les grands fournisseurs.

C’est une vraie limite si mon objectif est de transformer le NAS lui-même en client VPN permanent.

Mais ce n’était précisément pas mon objectif.
Je voulais que mon ordinateur atteigne le VPN que le QNAP hébergeait déjà.
Une fois cette distinction faite, toute ma recherche s’est simplifiée.

Synology ou QNAP : je regarderais d’abord dans quel sens doit aller le tunnel

La question « quel VPN fonctionne avec un NAS ? » cache en réalité deux besoins qui se ressemblent dans Google et presque pas sur le réseau.

Si le NAS doit sortir par un VPN commercial, alors la compatibilité DSM ou QTS est déterminante. Il faut regarder les protocoles, les profils et les fichiers que le NAS sait réellement importer.

Si l’objectif est au contraire de revenir sur son réseau domestique pour récupérer les fichiers privés du NAS, la priorité change.

QNAP fournit QVPN pour ce rôle.

Synology documente lui aussi l’accès distant aux données à travers un VPN.

Le VPN commercial peut alors être utile ailleurs : sur l’appareil en déplacement, lorsque le Wi-Fi devant lui empêche le tunnel domestique de fonctionner correctement.

C’est cette différence que j’avais ratée.

Je pensais qu’un VPN compatible avec mon NAS devait nécessairement vivre dans le NAS.

À Milan, le QNAP était déjà correctement configuré. Il attendait derrière le tunnel que je voulais conserver. Le problème se trouvait à mille kilomètres de lui, entre mon portable et le premier réseau qu’il devait traverser.

Dans mon cas, le mode pour réseaux restrictifs du petit service a résolu cette première étape sans m’obliger à refaire QVPN, à exposer davantage le NAS ou à abandonner mon tunnel domestique.

J’avais passé mon temps à chercher un VPN à mettre dans mon QNAP ; celui qui m’a finalement rendu mon dossier de photos n’a jamais eu besoin d’y être installé.