Configurar VPN en Synology: acceso remoto con OpenVPN y comprobación de rutas

Pasos a seguir

1. Comprueba el papel del NAS y la compatibilidad

   Define si quieres que el NAS reciba conexiones o que se conecte a otra red. Para recibirlas utiliza VPN Server cuando esté disponible para tu modelo y versión de DSM. No confundas ese paquete con VPN Plus Server de los routers Synology. Revisa las versiones admitidas y actualiza antes de configurar acceso externo. La documentación incluye protocolos antiguos, pero PPTP no es una elección apropiada para una instalación nueva. Selecciona un protocolo compatible con tus dispositivos y sigue las instrucciones de la versión instalada, sin trasladar ajustes obsoletos de capturas antiguas.

2. Anota redes, dirección de entrada y acceso local

   Registra el rango de la LAN, el rango que utilizarán los clientes VPN y la dirección estable del NAS. Evita solapamientos entre esos rangos y la red desde la que te conectarás. Comprueba si dispones de una entrada pública alcanzable o si existe doble NAT o CGNAT. Un nombre DDNS puede ayudar a localizar una dirección cambiante, pero no crea conectividad donde el proveedor la impide. Conserva acceso local al NAS y al router mientras haces cambios. No dependas de la misma sesión remota que estás modificando para recuperar una configuración incorrecta.

3. Configura OpenVPN con un alcance definido

   En VPN Server activa OpenVPN y revisa rango de clientes, protocolo de transporte, puerto y límites de conexión disponibles. Decide si los clientes deben alcanzar la LAN y qué tráfico viajará por el túnel. No actives compresión ni opciones antiguas de cifrado únicamente porque aparezcan en un tutorial: utiliza parámetros compatibles con la versión actual del servidor y del cliente. Exporta la configuración y revisa el punto de entrada que contiene. Conserva los archivos y certificados con protección, porque forman parte del acceso a tu red y no son documentos para compartir públicamente.

4. Autoriza usuarios y limita la entrada

   Concede privilegio VPN solo a las cuentas que lo necesitan y revisa los permisos de carpetas de esas mismas personas. Evita utilizar el administrador para las conexiones cotidianas. En el router, cuando sea necesario, redirige únicamente el servicio VPN elegido hacia el NAS y permite ese tráfico en las reglas correspondientes. No abras SMB ni todos los puertos de DSM. Comprueba si otra VPN del router utiliza el mismo puerto o protocolo. Mantén un registro de cada regla creada para poder retirarla cuando cambie el diseño o deje de necesitarse.

5. Importa el perfil y prueba desde otra conexión

   Instala un cliente compatible y actualizado en el dispositivo remoto. Importa el perfil, verifica el nombre o dirección del servidor y autentica con la cuenta autorizada. Realiza la prueba mediante datos móviles u otra red externa. Tras conectar, abre una carpeta de ensayo utilizando la dirección interna del NAS. Comprueba lectura y escritura según los permisos previstos. Si puedes entrar por dirección pero no por nombre, revisa DNS. Si no puedes entrar por ninguna de las dos vías, revisa rutas y cortafuegos antes de cambiar credenciales que ya permitieron establecer el túnel.

6. Comprueba desconexión, revocación y continuidad

   Cierra la conexión y confirma que el recurso interno deja de estar disponible por esa ruta. Reinicia el cliente y repite el procedimiento documentado. Revisa cómo retirar el acceso de un usuario o dispositivo perdido, incluidas credenciales y perfiles que deban renovarse. Comprueba registros de VPN Server y conserva un método para entrar localmente si falla la VPN. Después de actualizar servidor o cliente, realiza una prueba pequeña antes de un viaje. La configuración está terminada cuando puedes usarla, mantenerla y retirarla de forma controlada, no solo cuando conecta una primera vez.

Guía detallada

Túnel dividido o salida completa

Con un túnel dividido solo las redes previstas viajan por la VPN; con una salida completa, también puede pasar por casa el tráfico general del cliente. Revisa rutas y DNS para saber cuál has configurado. La salida completa utiliza la conexión del lugar donde está el servidor y puede afectar a latencia y capacidad disponible. No asumas que todo queda protegido por la VPN solo porque su icono está activo. Prueba el recurso que necesitas y revisa el comportamiento de navegación según el objetivo, sin cambiar rutas globales por ensayo y error.

Cuando Synology actúa como cliente

Las opciones de red de DSM pueden conectar el NAS a un servidor externo. Ese perfil saliente tiene un objetivo distinto del acceso entrante descrito aquí. Synology documenta restricciones al combinar funciones de cliente y servidor con el mismo protocolo, por lo que debes revisar la combinación antes de activarla. Cambiar la ruta predeterminada del NAS puede afectar a copias, notificaciones y acceso remoto. Prueba esos servicios después del cambio y conserva una manera local de deshacerlo. Tampoco conviertas automáticamente al NAS en puerta de enlace para otros dispositivos sin un diseño específico.

Diagnóstico sin desactivar toda la protección

Separa cuatro preguntas: si el cliente alcanza el servidor, si autentica, si obtiene la ruta correcta y si el recurso acepta la cuenta. Registra el mensaje exacto y comprueba cada capa. Un fallo de autenticación no se corrige abriendo más puertos, y un permiso denegado en una carpeta no demuestra que la VPN esté rota. Evita desactivar todas las reglas del cortafuegos a la vez. Utiliza una prueba limitada y restaura cualquier cambio temporal. Si el entorno depende de CGNAT, considera una arquitectura compatible en lugar de insistir con redirecciones que no pueden funcionar.

Comparar situaciones

Preguntas frecuentes

Guías relacionadas

• UGREEN o Synology: qué NAS elegir
• Instalar Immich en Synology con Container Manager
• Restic Backup: configurar snapshots y comprobar el restablecimiento
• Regla de copia de seguridad 3-2-1: cómo organizarla y probarla