Accéder à son NAS depuis Internet avec une Freebox : guide sécurisé

Accéder à un NAS depuis l’extérieur avec une Freebox est possible, mais la bonne méthode dépend du fabricant et de ce que vous voulez faire. QuickConnect concerne les appareils Synology ; myQNAPcloud Link est l’option QNAP sans redirection de ports ; l’application Free permet aujourd’hui de configurer un serveur WireGuard sur une Freebox. Un nom DDNS, à lui seul, ne sécurise pas la connexion.

Pour un usage courant, privilégiez un accès par VPN ou par le service distant du fabricant et évitez d’exposer directement l’administration du NAS à Internet. Les anciennes instructions qui conseillaient d’ouvrir les ports SMB, FTP ou DSM/QTS ne sont pas reprises : QNAP déconseille l’exposition directe de ses NAS et recommande des méthodes d’accès protégées.

Sommaire

• Choisir une méthode
• Accès depuis un NAS QNAP
• Accès depuis un NAS Synology
• VPN WireGuard de la Freebox
• Après la connexion au VPN
• DDNS et redirection de ports
• Préparer le réseau
• Sécurité et ports à éviter
• Dépannage
• Questions fréquentes
• À retenir

Quelle méthode choisir pour accéder au NAS ?

Méthode	Pour quel NAS ?	Ce qu’elle apporte	Point de vigilance
Serveur WireGuard de la Freebox	QNAP, Synology et autres appareils du réseau local	Accès au réseau domestique via un tunnel VPN ; pas de port de service NAS à publier	Configurer le VPN sur l’application Free et protéger le fichier de configuration
myQNAPcloud Link	QNAP compatible	Accès distant sans redirection de ports sur le routeur	Restreindre les comptes autorisés ; le débit peut varier
QuickConnect	Synology	Accès distant sans configurer soi-même de redirection de ports	Le relais Synology peut ralentir la connexion
DDNS et redirection ciblée	Configuration avancée, selon le service	Connexion directe à un service précis	Expose un service au réseau public ; ce n’est pas le choix par défaut recommandé par QNAP

Le VPN de la Freebox peut convenir si vous voulez retrouver depuis votre téléphone ou votre ordinateur l’accès au réseau de la maison. Les services du fabricant sont souvent plus simples à mettre en route. La redirection directe demande davantage de précautions : ne choisissez pas cette méthode uniquement parce qu’elle paraît plus rapide.

NAS QNAP : utiliser myQNAPcloud Link sans ouvrir de ports

myQNAPcloud Link permet d’atteindre un NAS QNAP par l’intermédiaire du service myQNAPcloud, sans publier directement l’adresse et les services du NAS sur Internet. QNAP indique que la connexion peut être plus lente aux périodes de forte utilisation et recommande un VPN lorsque le débit ou la sécurité le justifie.

1. Dans l’interface QTS ou QuTS hero, ouvrez myQNAPcloud et activez myQNAPcloud Link si votre modèle et votre version le prennent en charge.
2. Désactivez l’option « Auto Router Configuration » ou la redirection UPnP si elle est activée. Vérifiez également le routeur Freebox : l’UPnP et une règle DMZ peuvent publier des services sans que vous l’ayez prévu.
3. Dans « Access Control », choisissez « Private » ou « Customized » afin de limiter l’accès à votre compte ou aux comptes invités. Évitez de laisser l’appareil en accès public.
4. Depuis l’extérieur, connectez-vous à myQNAPcloud avec le compte autorisé, puis ouvrez seulement les applications dont vous avez besoin.

Les noms exacts des menus changent selon QTS, QuTS hero et la génération du NAS. Suivez la documentation correspondant à votre version. QNAP décrit la configuration et les réglages d’accès dans son guide d’accès distant sans redirection de ports.

NAS Synology : QuickConnect ou VPN

QuickConnect est une fonction Synology, et non une option universelle pour tous les NAS. Elle permet aux applications Synology de joindre le NAS sans que vous créiez vous-même une règle de redirection sur la Freebox. Si la connexion doit passer par le relais Synology, la latence peut augmenter et le transfert peut être plus lent qu’une liaison directe.

1. Dans DSM, ouvrez « Panneau de configuration », puis « Accès externe » et « QuickConnect ».
2. Connectez le NAS à votre compte Synology, définissez un identifiant QuickConnect et activez la fonction.
3. Dans les options avancées, ne rendez accessibles que les applications nécessaires. Vérifiez ensuite l’accès depuis un réseau extérieur, par exemple en coupant le Wi-Fi du téléphone.

Synology distingue QuickConnect de DDNS : le DDNS associe un nom à l’adresse IP du NAS, tandis qu’une connexion directe à DSM par DDNS nécessite aussi une configuration réseau sur le routeur. La documentation Synology précise que le relais QuickConnect peut être moins rapide. Pour un accès à tout le réseau domestique, vous pouvez plutôt établir d’abord un VPN sur la Freebox.

Configurer le serveur VPN WireGuard de la Freebox

L’assistance Free décrit la création d’un serveur VPN depuis l’application Free. La procédure présentée utilise WireGuard ; l’application ne propose pas d’autres protocoles de serveur VPN. Une fois le tunnel activé sur votre appareil distant, celui-ci peut communiquer avec les appareils du réseau local selon la configuration de la Freebox.

1. Dans l’application Free, ouvrez l’Espace Abonné, puis « Mes équipements Freebox » et « Server internet ».
2. Allez dans « Paramètres réseau avancés », puis « Serveur VPN », et activez WireGuard.
3. Ajoutez un appareil, donnez-lui un nom et récupérez le fichier de configuration correspondant.
4. Sur le téléphone ou l’ordinateur utilisé hors du domicile, installez le client WireGuard officiel, importez ce fichier et activez le tunnel.
5. Une fois le tunnel établi, ouvrez le NAS avec son adresse locale et connectez-vous avec un compte NAS personnel.

Le fichier WireGuard autorise l’appareil qu’il configure à rejoindre votre réseau : traitez-le comme un secret. Ne le publiez pas et supprimez ou révoquez la configuration d’un téléphone perdu ou d’un ancien appareil. Free recommande de ne pas modifier les paramètres avancés du profil si vous n’en avez pas besoin. Consultez sa procédure officielle pour créer un serveur VPN WireGuard si les menus de votre application diffèrent.

Autre possibilité : utiliser QVPN sur un NAS QNAP

Certains modèles QNAP peuvent héberger leur propre serveur VPN via QVPN. Cette configuration n’est pas identique au serveur VPN de la Freebox : il faut vérifier que le NAS prend en charge le protocole choisi, puis suivre les indications de QVPN et de Freebox pour le seul port VPN configuré. N’ouvrez pas en parallèle les ports d’administration ou de partage du NAS. La procédure QNAP pour l’accès par QVPN précise de n’exposer que les ports du service VPN et de vérifier leur valeur dans les réglages.

Après la connexion : retrouver le NAS sans publier son interface

Une fois le VPN connecté, le téléphone ou l’ordinateur rejoint le réseau prévu par le profil. Utilisez l’adresse locale ou le nom réseau du NAS, puis ouvrez la session avec votre compte personnel. Le VPN ne crée pas de droits dans QTS, QuTS hero ou DSM : l’autorisation d’ouvrir un dossier reste gérée par les utilisateurs et les permissions du NAS.

Si la page du NAS ne répond pas, vérifiez que le profil inclut une route vers le réseau local et que le pare-feu de l’appareil autorise la connexion. Certains réseaux publics ou d’entreprise utilisent déjà les mêmes plages d’adresses privées que le domicile ; ce chevauchement peut rendre l’accès ambigu. Ne modifiez pas les plages réseau au hasard : consultez l’aide de Freebox ou du fabricant si le problème persiste.

La portée du VPN est différente d’un lien de partage ponctuel : une personne connectée peut voir les appareils que le profil et le réseau lui permettent d’atteindre. Gardez un profil individuel pour chaque téléphone ou ordinateur, supprimez ceux qui ne sont plus utilisés et n’envoyez jamais un même fichier de configuration à un groupe entier.

Freebox : vérifier le modèle et la version avant de suivre un tutoriel

Les anciens guides attribuent parfois OpenVPN, PPTP ou WireGuard à des modèles précis. Cette matrice ne doit pas servir de référence pour une configuration actuelle : les menus et options évoluent. L’assistance Free classe sa procédure de serveur VPN dans l’aide « Toutes Freebox » et indique que l’application Free configure WireGuard. Elle recommande de ne pas modifier les réglages avancés du profil sans raison.

Si le menu n’apparaît pas, vérifiez l’application, le modèle du Server et la documentation Free correspondant à votre installation avant d’ouvrir un autre service à la place. Un nom de modèle seul ne garantit pas qu’une option soit disponible dans la version logicielle installée. La même précaution vaut pour QNAP et Synology : QTS, QuTS hero et DSM n’ont pas tous les mêmes menus.

DDNS et redirection de ports : ce que cela signifie

Le DDNS associe un nom, par exemple un domaine fourni par le fabricant, à l’adresse Internet qui change. Il aide à retrouver une connexion, mais ne chiffre pas le trafic et ne protège pas le NAS. Pour joindre directement un service derrière la Freebox, il faut aussi qu’une règle réseau autorise les connexions entrantes. L’exposition au public augmente le risque et demande une maintenance continue.

QNAP recommande de ne pas publier directement le NAS et de préférer un VPN ou myQNAPcloud Link. En particulier, ne redirigez pas vers Internet les ports de partage SMB, FTP, SSH ou WebDAV pour accéder à des fichiers à distance. Ne publiez pas non plus l’interface d’administration simplement pour éviter de configurer un VPN. Modifier le numéro du port ne remplace ni l’authentification, ni les mises à jour, ni un filtrage réseau.

Si un besoin précis impose une redirection, identifiez d’abord le service, vérifiez les consignes actuelles du fabricant et limitez la règle à l’adresse locale et au protocole nécessaires. Désactivez les autres règles automatiques, contrôlez le pare-feu du NAS et acceptez que le service reste exposé aux tentatives de connexion. Pour une configuration QVPN, le port à ouvrir dépend du protocole et des réglages effectifs : ne recopiez pas un numéro trouvé pour un autre modèle.

Préparer le réseau Freebox sans ouvrir le NAS

Vous n’avez pas besoin de rendre une adresse locale du NAS fixe pour myQNAPcloud Link ou QuickConnect. Une réservation DHCP est néanmoins utile pour une redirection ciblée ou pour retrouver facilement le NAS après connexion au VPN. L’assistance Free indique que l’application Free permet d’attribuer manuellement une adresse à un appareil, de régler le DHCP et de configurer les redirections de ports.

• Vérifiez d’abord que le NAS fonctionne depuis le réseau domestique et notez son adresse locale, son fabricant et sa version logicielle.
• Si vous devez créer une règle entrante, réservez l’adresse locale du NAS dans la section DHCP de l’application Freebox afin que la règle ne pointe pas ensuite vers un autre appareil.
• Pour une connexion qui nécessite un port entrant, vérifiez dans l’Espace Abonné si votre IPv4 est full-stack. Free indique que cette option donne accès à l’ensemble des ports de l’adresse IP attribuée.
• Ne confondez pas la redirection d’un port de VPN avec la publication du NAS : les deux règles n’ouvrent pas les mêmes services.

La configuration des paramètres avancés de l’application Free est décrite dans la page d’aide Free sur le DHCP et la redirection de ports. La demande d’une IPv4 fixe full-stack se fait depuis l’Espace Abonné et n’est utile que si votre configuration nécessite l’accès à tous les ports.

Avant de modifier les réglages

Choisissez d’abord le besoin à couvrir : consulter quelques photos, synchroniser un dossier, partager un document ou administrer tout le NAS. Ces usages n’exigent pas tous le même niveau d’accès. Évitez de donner un accès administrateur complet lorsqu’un compte de partage suffit. Si plusieurs personnes doivent se connecter, créez des comptes distincts plutôt que de transmettre le compte principal.

• Notez le fabricant, le modèle et la version du système du NAS, puis ouvrez la documentation correspondant à ces versions.
• Vérifiez que le NAS est à jour et qu’il fonctionne déjà depuis le réseau local. Une mise à jour ou une modification réseau peut affecter l’accès : conservez une sauvegarde séparée avant de changer les réglages.
• Repérez les comptes autorisés, les dossiers partagés et les applications qui ont réellement besoin d’un accès distant.
• Décidez comment couper l’accès si un téléphone est perdu ou si un utilisateur n’en a plus besoin : profil WireGuard, compte QNAP/Synology ou session du service distant.
• Photographiez ou notez les réglages réseau actuels avant toute modification avancée. Ne supprimez pas une règle inconnue avant d’avoir vérifié à quel équipement elle correspond.

Sécuriser un NAS accessible à distance

Le VPN et les services de relais réduisent le besoin d’exposer directement le NAS, mais ils ne remplacent pas la sécurité du compte et des données. Gardez QTS/QuTS hero ou DSM et les applications à jour ; activez la double authentification quand le modèle la propose ; choisissez des mots de passe uniques ; attribuez à chaque personne uniquement les droits nécessaires. N’utilisez pas un compte administrateur pour le partage quotidien des fichiers.

• Désactivez les services dont vous ne vous servez pas et vérifiez régulièrement les comptes et applications installés.
• Désactivez UPnP, la configuration automatique du routeur et la DMZ si vous n’avez pas un besoin précis qui les justifie.
• Pour myQNAPcloud Link, limitez l’accès à « Private » ou « Customized » et ne publiez pas les services inutiles.
• Protégez le fichier WireGuard et les comptes qui donnent accès au service distant ; supprimez les anciens appareils et les accès devenus inutiles.
• Conservez une sauvegarde indépendante et versionnée. Un NAS accessible à distance n’est pas, à lui seul, une sauvegarde contre une panne, une erreur ou un rançongiciel.

Pour les NAS QNAP, les recommandations du fabricant incluent la désactivation des redirections UPnP, l’usage de myQNAPcloud Link ou QVPN, le contrôle des accès et les mises à jour. La page QNAP sur les bonnes pratiques de sécurité détaille ces réglages. Les intitulés changent selon la version de QTS ou de QuTS hero : vérifiez la documentation de votre équipement.

Services à ne pas publier par défaut

Une redirection réseau rend un service joignable depuis l’extérieur. Le tableau ci-dessous indique la voie à privilégier pour les usages courants ; il ne constitue pas une liste de ports à ouvrir.

Service	Pourquoi éviter une exposition directe	Option à privilégier
Partage de fichiers SMB (souvent associé au port 445)	Protocole conçu pour les réseaux privés ; sa publication augmente l’exposition du NAS	Se connecter au VPN de la Freebox, puis accéder au partage local
FTP ou WebDAV	La sécurité dépend du service et de sa configuration ; une ouverture large est difficile à contrôler	VPN ou application de partage maintenue par le fabricant
Interface d’administration QTS, QuTS hero ou DSM	Elle permet de modifier les réglages et les comptes du NAS	Ouvrir l’interface après connexion au VPN ou via un service constructeur contrôlé
SSH ou accès technique	Une interface d’administration en ligne attire les tentatives de connexion	Accès par VPN ; si un besoin expert impose autre chose, appliquer les consignes de sécurité du fabricant

QNAP recommande de désactiver la redirection automatique UPnP et de ne pas exposer le NAS directement. Pour QVPN, sa documentation demande d’ouvrir le ou les ports du VPN configuré, puis de ne pas ouvrir les ports des services NAS. Les numéros par défaut dépendent du protocole et peuvent être changés : vérifiez l’écran QVPN avant toute règle.

Dépanner un accès distant qui ne fonctionne pas

1. Testez d’abord en local. Vérifiez que le NAS répond depuis le Wi-Fi de la maison et que votre compte est autorisé. Une erreur locale ne se règle pas par une ouverture de port.
2. Identifiez la méthode utilisée. QuickConnect et myQNAPcloud Link utilisent des comptes de fabricant ; le VPN WireGuard demande un profil actif sur l’appareil distant ; une règle DDNS exige aussi un port et un service configurés correctement.
3. Testez réellement depuis l’extérieur. Coupez le Wi-Fi du téléphone ou utilisez un autre accès Internet. Certains routeurs ne permettent pas de tester depuis le même réseau l’adresse externe de la maison.
4. Vérifiez l’adresse réservée et les autorisations. Pour un accès après VPN ou pour une redirection, assurez-vous que l’adresse locale correspond bien au NAS et que son pare-feu autorise le service voulu.
5. Si une connexion entrante est nécessaire, contrôlez l’IPv4 et le DDNS. Une adresse full-stack peut être requise pour disposer de tous les ports ; vérifiez aussi que le nom DDNS correspond à l’adresse Internet actuelle.
6. Retirez les règles inattendues. Désactivez UPnP ou DMZ si des redirections apparaissent sans que vous les ayez créées, puis vérifiez à nouveau les services publiés dans l’application du NAS.

Repères rapides pour le diagnostic

Symptôme	Vérification suivante
Le NAS ne répond pas chez soi	Rétablir d’abord l’accès local et vérifier l’alimentation, le réseau et le compte NAS
Le VPN est actif mais le NAS est introuvable	Contrôler l’adresse locale, la route vers le réseau domestique, les plages d’adresses et le pare-feu
myQNAPcloud Link refuse l’accès	Vérifier l’état du service Link, la connexion au compte et le contrôle d’accès Private/Customized
QuickConnect fonctionne mais semble lent	Vérifier si la connexion passe par le relais ; le débit varie aussi avec la connexion Internet du domicile
Le nom DDNS ne fonctionne plus	Vérifier qu’il pointe vers l’adresse actuelle et que la règle réseau correspond au service voulu
Des ports inattendus apparaissent ouverts	Désactiver l’UPnP ou la DMZ non voulue, examiner les règles du routeur et les services publiés du NAS

Questions fréquentes

QuickConnect fonctionne-t-il avec un NAS QNAP ?

Non. QuickConnect est un service Synology. Pour un QNAP, consultez myQNAPcloud Link ou QVPN, selon le modèle et le type d’accès souhaité.

Faut-il ouvrir un port sur la Freebox pour accéder au NAS ?

Pas nécessairement. QuickConnect, myQNAPcloud Link et un VPN configuré sur la Freebox évitent d’exposer directement les services du NAS. Une configuration QVPN ou un accès direct peut nécessiter une règle limitée au service concerné ; suivez la documentation de votre modèle.

Puis-je rediriger le port SMB 445 ou FTP 21 ?

Évitez de publier SMB, FTP ou les ports d’administration du NAS sur Internet. Pour accéder aux fichiers, privilégiez une connexion VPN au réseau domestique ou le service distant du fabricant, avec des comptes individuels et des droits limités.

Le DDNS protège-t-il la connexion ?

Non. Le DDNS fournit un nom qui suit l’adresse Internet, mais ne chiffre pas et ne filtre pas la connexion. La protection dépend du service utilisé, de l’authentification, du pare-feu et de la configuration du réseau.

Quel VPN Freebox faut-il choisir ?

La procédure publiée par Free pour l’application Free crée un serveur WireGuard et fournit un fichier de configuration pour chaque appareil. Les menus ou options visibles peuvent varier avec le matériel et la version de l’application ; suivez la documentation Free à jour plutôt qu’un tutoriel ancien sur OpenVPN ou PPTP.

Une adresse IP locale fixe est-elle obligatoire ?

Elle n’est pas nécessaire pour QuickConnect ou myQNAPcloud Link. Une réservation DHCP est utile lorsqu’une règle entrante doit toujours pointer vers le même NAS ou lorsque vous voulez retrouver son adresse après vous être connecté au VPN.

Le VPN réduit-il forcément le débit ?

Le débit dépend de la connexion Internet du domicile, du réseau utilisé à l’extérieur, de la puissance du routeur et de la méthode d’accès. Un relais peut ajouter de la latence ou réduire le débit ; QuickConnect et myQNAPcloud Link n’ont pas une vitesse garantie dans toutes les situations. Comparez depuis vos propres réseaux sans supposer un plafond universel.

À retenir

Pour accéder à un NAS derrière une Freebox, commencez par la solution correspondant à votre fabricant : myQNAPcloud Link pour un QNAP, QuickConnect pour un Synology, ou le serveur WireGuard de la Freebox pour rejoindre votre réseau domestique. Le DDNS est seulement un nom de domaine ; une redirection directe expose un service et demande une configuration entretenue. N’ouvrez pas des ports de partage ou d’administration pour contourner la mise en place d’un VPN.

Avant d’activer l’accès distant, mettez le NAS à jour, limitez les comptes autorisés, activez la double authentification quand elle est disponible et conservez une sauvegarde séparée. Pour les chemins de menus, ports et compatibilités, vérifiez toujours la documentation de la version installée sur votre Freebox et votre NAS.

Documentation officielle : serveur VPN WireGuard de Free, paramètres DHCP et redirection de ports Free, accès QNAP sans redirection, QVPN et QuickConnect et DDNS selon Synology.