Configurar una VPN en QNAP: servidor, cliente y acceso a la red local

Pasos a seguir

1. Define origen, destino y dirección del túnel

   Escribe qué dispositivo inicia la conexión y qué recurso debe alcanzar. Un portátil que quiere abrir carpetas del QNAP necesita una ruta hacia la red del NAS. Un QNAP que envía una copia a otra ubicación puede actuar como cliente. Conectarlo a un proveedor comercial no crea automáticamente una entrada remota hacia casa. Dibuja las redes y sus rangos de direcciones, y comprueba que no se solapan. Dos ubicaciones con el mismo rango privado pueden provocar rutas ambiguas aunque la autenticación de la VPN termine correctamente.

2. Comprueba soporte real del modelo y del paquete

   Abre App Center y anota versión de QVPN Service y firmware. QNAP documenta diferencias entre generaciones y arquitecturas; la presencia de WireGuard en una guía no garantiza que esté disponible en cualquier modelo ARM. Selecciona un protocolo moderno compatible con ambos extremos, como OpenVPN o WireGuard cuando estén admitidos. Evita PPTP para una instalación nueva. Consulta también el cliente que corresponde al protocolo y sistema operativo. No copies ajustes antiguos de cifrado o compresión para resolver un aviso sin comprender la compatibilidad y las consecuencias de seguridad.

3. Prepara una ruta de entrada controlada

   Si el servidor está dentro de tu red, necesita un punto de entrada alcanzable desde fuera. Comprueba la dirección pública y si existe doble NAT o CGNAT. Un nombre DDNS actualiza una dirección, pero no elimina esas barreras. Cuando sea necesario, configura únicamente la redirección del servicio VPN elegido hacia una dirección local estable. No abras SMB ni toda la administración del NAS. Si no puedes recibir conexiones, valora una solución compatible que establezca conexiones salientes o un servidor VPN en otra ubicación, con su propio diseño de acceso.

4. Configura usuarios, claves y redes permitidas

   En QVPN activa solo el servicio requerido y define el rango de clientes sin conflictos. Concede permisos a las cuentas necesarias y revisa cómo se autentica el protocolo seleccionado. Para WireGuard protege las claves privadas y asigna las redes permitidas de cada participante; para perfiles exportados de OpenVPN confirma dirección, puerto y parámetros actuales. No distribuyas un mismo secreto a personas que luego deban revocarse de forma independiente. Guarda las configuraciones con protección y documenta qué acceso obtiene cada dispositivo. El permiso de conectarse no debe implicar acceso administrativo a todos los recursos.

5. Prueba desde una conexión realmente externa

   Desactiva el Wi-Fi del móvil o utiliza una red distinta a la del NAS. Inicia la VPN y revisa el registro de conexión. Después prueba el recurso previsto por su dirección interna y con una cuenta normal. Comprueba lectura y, si procede, escritura en una carpeta de ensayo. Si funciona por dirección pero no por nombre, investiga DNS antes de modificar el túnel. Prueba también un recurso que no debería estar autorizado. El resultado correcto incluye límites de acceso, no únicamente que una pantalla muestre el estado conectado.

6. Verifica rutas y mantenimiento después de reiniciar

   Reinicia de forma planificada el cliente y comprueba que puede reconectar con el procedimiento documentado. Revisa si el tráfico debe ir solo a redes concretas o si configuraste una salida completa por la VPN. Esa elección afecta a navegación, DNS y capacidad de subida de casa. Conserva un acceso local de recuperación mientras haces cambios y evita modificar rutas de forma remota sin una salida alternativa. Actualiza NAS, paquete y clientes; elimina perfiles antiguos y revoca dispositivos perdidos. Repite una prueba cuando cambies router, proveedor o rangos de red.

Guía detallada

Si el túnel conecta pero la carpeta no abre

Comprueba primero que la carpeta funciona dentro de la LAN con la misma cuenta. Después revisa rutas del cliente, reglas del cortafuegos y alcance del servicio. Un error de permisos es distinto de una dirección inalcanzable. Evita desactivar todos los controles a la vez, porque perderías la pista de qué cambio resolvió el problema. Registra hora y mensaje de cada prueba y modifica una sola condición. Si la dirección responde pero el nombre no, corrige resolución de nombres o utiliza temporalmente la dirección para aislar el diagnóstico.

Cuando el QNAP es cliente VPN

Un perfil saliente puede cambiar la puerta de enlace utilizada por el NAS y afectar a tareas, avisos o acceso remoto. Antes de activarlo como ruta predeterminada, anota el comportamiento esperado y cómo volver a la conexión original. Revisa qué redes deben viajar por el túnel y cuáles deben seguir siendo locales. Prueba las copias y servicios que dependan de internet, además de la propia conexión VPN. No supongas que los demás dispositivos de casa utilizan esa salida: convertir el NAS en cliente no lo convierte automáticamente en router de toda la red.

Cuándo conviene terminar la VPN en el router

Si la finalidad es dar acceso a varios recursos de la LAN, un router o equipo dedicado compatible puede simplificar la separación entre almacenamiento y acceso remoto. Evalúa soporte, actualizaciones, rendimiento y recuperación de ese dispositivo. Mantener el servidor en QNAP puede ser razonable si satisface tus requisitos y puedes administrarlo, pero evita convertir el NAS en un punto de dependencia innecesario. La elección debe responder a qué servicios necesitan seguir accesibles si el almacenamiento está reiniciándose o fuera de servicio, además de la comodidad de configurar todo en una sola interfaz.

Comparar situaciones

Preguntas frecuentes

Guías relacionadas

• Restic Backup: configurar snapshots y comprobar el restablecimiento
• Regla de copia de seguridad 3-2-1: cómo organizarla y probarla