群晖 Synology NAS 如何搭配 VPN 使用

群晖 Synology NAS 是放在柜子里的一台小型服务器，存着照片、文档、备份，有时还跑着几个应用。一旦开始关心隐私或远程访问，VPN 的问题就会以一种让人糊涂的方式冒出来：“我想在 NAS 上用 VPN”其实有三种含义，每一种的设置都不同。选错了，要么白忙一场，要么不小心留了一扇门。

本文把这三种情形理清，解释群晖 DiskStation Manager（DSM）上相关的设置，并给出实用的操作顺序。我们不会点名或推荐任何 VPN 公司，也不保证每一个 VPN 账号都能用在 NAS 的配置文件里。不同 DSM 版本的菜单名称会有变化，请把步骤当作“要找什么”的指引，而不是逐字逐键的脚本。

三种方案，你要的是哪一种

先把你要解决的问题说清楚。

目标	NAS 的角色	含义
“NAS 要经由互联网下载或同步，我想保护这部分流量”	VPN 客户端	NAS 主动连接外部 VPN 服务器，把部分或全部互联网流量送过去
“我想在酒店或办公室打开自己的文件，又不想把 NAS 暴露给全世界”	VPN 服务器	NAS 接受你授权设备的连接，并让它们进入家里的网络
“我想让笔记本在公共 Wi-Fi 上受保护，同时还要能访问 NAS”	两者都不是	VPN 应用装在笔记本上，NAS 保持原样，另走一条路访问它

多数混乱都来自把第二种和第三种搞混。笔记本上的商用 VPN 应用保护的是笔记本的流量，它并不会给你一条进入家庭网络的通道，在某些设置下反而让访问本地设备更难。先读一读 自建 VPN 与商用 VPN 的对比，就能明白它们是任务不同的两类产品。

方案 A：让 NAS 作为 VPN 客户端

这种情形是想让 NAS 本身的流量走外部 VPN 服务器。常见于 NAS 上运行下载工具、索引器、容器或同步任务，而你不希望这些连接暴露家里的地址。

DSM 自带 VPN 客户端功能。在较新的版本中，它位于控制面板，然后是网络，再到网络接口，在那里可以创建 VPN 配置文件。系统提供几种连接类型，你导入或填写服务商公布的详细信息。对于 OpenVPN 类的配置，通常要上传一个配置文件，再填入用户名和密码。具体措辞因 DSM 版本而异。

多数情况下可行的步骤如下。

1. 先确认服务商提供了什么。 DSM 的配置文件需要连接文件或一组服务器信息。服务商自己的文档，或者对于 XPASS 来说 My Pass 页面上的设置说明，会告诉你有哪些连接方式。如果没有一种与 DSM 能接受的相符，那么这个服务就不适合做 NAS 配置，如实接受即可，不要猜。
2. 在“网络接口”中创建配置文件，填入服务商提供的用户名和密码，不要用网站邮箱。
3. 找到控制路由的选项。 有些版本提供“让全部流量通过远程网络”的选项。开启后，几乎所有流量都会经过隧道；关闭后，只有 VPN 自身网络的流量会经过，那不是这里想要的效果。
4. 连接，确认 NAS 显示已连接。
5. 从 NAS 一侧测试。 用一个能显示出站地址的方法，比如命令行检查或下载工具的状态页，确认地址不是你家的。
6. 测试本地访问。 在家庭网络里用电脑打开一个文件。如果打不开或变慢，说明本地流量被拉进了隧道，需要调整路由。

NAS 上的客户端配置文件往往是“全开或全关”的开关。这时容器就派上用场了：有些人在容器里为某一个应用运行 VPN 客户端，只让该应用的流量进入隧道。这更为高级，取决于你的容器环境和服务商提供的文件。若走这条路，请放慢节奏，并先备份 NAS 的设置。

方案 B：让 NAS 作为 VPN 服务器

如果目标是在外面安全地访问自己的文件和家里的设备，NAS 可以当作 VPN 的入口。群晖为此提供了 VPN 服务器套件，可以从套件中心安装，选择连接类型，再为获准连接的人创建账号或证书。

需要做对的事情：

• 选风险最小的连接类型。 PPTP 等老类型存在众所周知的弱点，PPTP 的安全性一文解释了原因。请优先选 DSM 提供的现代选项，并参考平台当前的建议。NIST 的 IPsec VPN 指南和 OpenVPN 社区资源是中立的参考。
• 只转发需要的端口。 路由器必须把 VPN 服务器的端口转交给 NAS。开一个端口，而不是一个范围，并读一读 VPN 端口转发详解，弄清自己暴露了什么。
• 检查是否处于 CGNAT 之后。 如果运营商让许多用户共用一个公网地址，端口转发根本无法生效，需要改用其他办法，比如中继或向运营商申请地址。
• 使用强且彼此独立的凭据。 只为需要的人创建账号，并在 NAS 本身开启双重验证。双重验证是什么介绍了各种选择，CISA 的指南是通俗易懂的参考。
• 按账号限制，条件允许时按网络限制。 DSM 的防火墙功能可限制哪些来源地址能访问 VPN 端口。只有当你外出时的地址比较固定，才适合这样做。
• 保持 DSM 和套件更新。 暴露在网络上的设备是常见目标，补丁很重要。

连接成功后，你的笔记本或手机会在虚拟网络里获得一个地址，可以像在家一样访问 NAS 和其他家庭设备。设备上的其他流量依旧走原来的路径，除非你另行配置。

如果经常出差，你也许两者都想要：NAS 上的服务器用于回家，笔记本上的商用 VPN 应用用于公共 Wi-Fi。它们可以共存，但需要一点小心，这就是下一节的内容。

方案 C：电脑上开 VPN，同时还要访问 NAS

这是最常见的真实场景。你在笔记本上打开 VPN 应用，家里网络上的 NAS 一下子就“消失”了。

原因是 VPN 应用把笔记本的全部流量送进隧道，包括发往 192.168.1.50 这类本地地址的请求。VPN 服务器进不了你家，请求就失败了。有些 VPN 应用提供让本地网络流量留在隧道之外的设置，常叫“本地网络访问”或 LAN 绕行，应用里有的话请开启。还有的提供分应用隧道（split tunneling），让选定的应用或目的地不走隧道。

NAS“消失”时的实用办法：

1. 使用应用中的本地网络设置（如果有），然后重新连接。
2. 用本地地址连接 NAS，而不要用需要通过 VPN 的 DNS 解析的名称。以你自家域名结尾的名称，经外部解析器可能解析不出来。
3. 对文件管理器或 NAS 客户端启用 split tunneling，让它的流量直接走。
4. 临时暂停 VPN 一分钟：只是要复制文件，且你所在的网络是可信的。

离开家之后，访问 NAS 需要方案 B 或群晖自己的远程访问功能。VPN 应用不会为你打开这扇门。

哪些流量该走 VPN，哪些该放过

如果让 NAS 走 VPN 客户端，请有选择地来，NAS 的任务并不都能受益。

NAS 的任务	要不要走 VPN	原因
下载与建立索引	通常要	这些连接不会暴露家里的地址
从网上拉取数据的容器	通常要	整个容器共用一条隧道
家里的本地文件共享和媒体播放	不要	本地流量应留在局域网内
云备份、同步到存储服务	视情况	稳定时可以，但长时间会话可能中断
依赖厂商中继的远程访问功能	通常不要	可能与隧道冲突
检查更新、下载套件	都可以	两种方式都行

如果你把所有流量都送进去，要预料到一些副作用：厂商的远程访问功能可能失效；隧道断开时计划任务可能失败；其他设备对本地的访问可能需要明确的路由。这就是为什么在 NAS 允许的情况下，有选择地路由值得多花一点功夫。

类似 kill switch 的行为也值得思考。如果隧道断了而 NAS 继续运行，下载可能改走你的普通连接，暴露你原本想隐藏的家庭地址。DSM 并不是在所有设置下都提供可靠的 kill switch，所以请有意断开一次，看看会发生什么，再判断防火墙规则或基于容器的做法是否更适合你。

排查 NAS 与 VPN 的问题

现象	可能原因	可以尝试
配置文件连不上	凭据或文件错误；NAS 的时间或日期不对	重新填写；检查 NAS 的时钟和时区
已连接，但 NAS 上不了网	路由选项或 DNS 未设置	切换默认网关选项；设置 DNS 服务器
连接后电脑访问不到 NAS	本地流量被隧道截走	关闭全部流量选项；添加本地路由
每隔几个小时断一次	空闲超时，或服务商服务器重启	启用自动重连；查看日志
VPN 服务器在家里可用，在外面不行	端口未转发、防火墙，或 CGNAT	检查转发规则；对比路由器 WAN 地址与公网地址以排除 CGNAT
厂商的远程功能失效	两个功能争抢路由	使用该功能期间关闭客户端配置

适用于任何 VPN 的通用排查，可参考 VPN 连接不上 里的检查清单。在 NAS 上，日志中心往往比连接状态更清楚地告诉你哪里出错了。

开始之前值得养成的安全习惯

NAS 里存的是私人数据，因此 VPN 只是多层防护中的一层。

• 修改网络设置前先备份。 导出 DSM 配置，并把重要数据的副本放在别处。
• 关闭不用的服务。 每个在监听的服务都是潜在入口。
• 不要直接暴露管理页面。 需要远程管理时，通过 VPN 服务器进入，而不是通过转发出去的网页端口。
• 管理员账号与日常账号分开。 系统允许的话，停用默认账号。
• 每次改动后检查防火墙。 范围过宽的规则会抵消你的小心。
• 记住 VPN 不覆盖的内容。 它拦不住你自己拷进 NAS 的恶意软件、被盗的密码或错误的共享设置。可以读 VPN 无法保护你的哪些方面。

总结

“群晖 NAS 上的 VPN”有三种含义。NAS 本身要把流量送往外部服务器时，用 DSM 的 VPN 客户端配置；想从外面安全访问自己的文件时，用 VPN 服务器套件；需要保护的是笔记本时，在电脑上用普通的 VPN 应用。规划 NAS 配置前，先确认服务商究竟提供了什么，别让本地流量进入隧道，只转发必要的端口，并测试隧道断开时会发生什么。

如果你决定在电脑和手机上使用 VPN，价格页面列出了预付选项，下载页面则指向免费的 VPNclient 应用。