NAS外部アクセスをVPNで安全に｜Synology・QNAP設定ガイド2026

NASをインターネット公開するリスクを避けたい方に向けて、Surfshark VPNをSynology・QNAPに導入して外部アクセスを安全にする手順を、2026年4月時点の最新情報でまとめました。

NAS外部アクセスの方法を比較：あなたに合う方式はどれか

NASに外出先からアクセスする方法は、大きく分けて4種類あります。それぞれの特徴を整理し、どの方式を選ぶべきかを最初に決めておくと、後戻りせずに済みます。

本記事で解説する VPNクライアント方式（NAS自身がSurfshark VPNのクライアントとして動作する）が最適な読者は以下のいずれかに当てはまる方です。

• NASをインターネットに直接公開したくない
• 自宅のグローバルIPアドレスを外部に知られたくない
• 複数拠点（自宅・実家・オフィス）から安全にNASへ接続したい
• 他のデバイスでもSurfsharkを共有して使いたい（同時接続数無制限のため）

なぜNASの外部アクセスにVPNが必要なのか

NASを直接公開するリスク

NASをインターネットに直接公開する方法としては、ポートフォワーディング（ルーターの特定ポートをNASに転送する設定）やDDNS（動的DNSサービス）が一般的です。SynologyのQuickConnectやQNAPのmyQNAPcloudといったメーカー提供のリモートアクセス機能を使っている方も多いでしょう。

しかし、これらの方法にはセキュリティ上の懸念がつきまといます。ポートフォワーディングではNASの管理画面が直接インターネットに露出するため、ブルートフォース攻撃（パスワードを総当たりで試す攻撃）の標的になります。実際に、SynologyやQNAPのNASを狙ったランサムウェア攻撃はここ数年で加速しており、2026年に入っても「DeadBolt」系の変種や新種のマルウェアによる被害報告が続いています。メーカー提供のリモートアクセス機能も、過去に脆弱性が発見されたことがあり、完全に安心とは言えません。

通信の盗聴と中間者攻撃

外出先でカフェや空港の無料Wi-Fiを使ってNASにアクセスする場面を想像してみてください。暗号化されていない通信は、同じネットワーク上の第三者に傍受される恐れがあります。ログイン情報が漏洩すれば、NAS内のすべてのデータが危険にさらされます。

中間者攻撃（MITM：Man-in-the-Middle Attack）と呼ばれる手法では、攻撃者があなたとNASの間に割り込み、通信内容を盗み見たり改ざんしたりすることが可能です。HTTPSを使っていても、自己署名証明書では警告を無視してアクセスしがちで、十分な防御にはなりません。

IPアドレスの露出とプライバシー

NASを直接公開すると、自宅のグローバルIPアドレスが外部に知られます。IPアドレスからおおよその地域が特定できるほか、そのIPに対して集中的なスキャンや攻撃が行われるリスクも高まります。VPNを経由させることで、NASの実際のIPアドレスを隠し、こうしたリスクを軽減できます。

VPN切断時の「即座に無保護」リスク

見落とされがちですが、VPN接続が予期せず切れた瞬間、NASは素のグローバルIPでインターネットに露出します。Surfsharkを導入しても、キルスイッチ相当の仕組みを用意しなければ、数秒～数分の切断時に通信が素通しになる恐れがあります。後述の「キルスイッチ設定」で対策方法を解説します。

SurfsharkをNASに導入する具体的な手順

事前準備：ルーター要件とSurfshark設定ファイルの取得

まず、Surfshark VPNの契約が必要です。料金プランや基本機能の詳細は「Surfshark VPNの始め方とメリット・デメリットを完全ガイド」で解説しているので、未契約の方は先にチェックしてください。Surfsharkは同時接続台数が無制限なので、NASに1台分を割り当てても他のデバイスに影響しないのが大きなメリットです。

ルーター側の事前確認（つまずきやすいポイント）

• グローバルIPアドレスが割り当たっているかを確認する（確認コマンド例：NASのSSHで curl ifconfig.me）
• フレッツ光ではPPPoE接続が基本だが、IPoE（IPv4 over IPv6）を利用している場合はポート制限がかかりOpenVPNのUDPが通らないことがある。その場合はTCP版に切り替えるか、WireGuardを検討する
• 二重NAT環境（回線終端装置＋ルーターで二段NATになっているケース）ではVPN接続が不安定になる。確認方法は、NASの外部IPとルーター管理画面のWAN側IPを比較し、一致しなければ二重NATの可能性が高い。対策はルーターのDMZ設定、またはONUをブリッジモードにする

OpenVPN用の設定ファイル取得手順

1. Surfsharkの公式サイトにログインし、「手動設定（Manual Setup）」ページへ移動する
2. プロトコルとして「OpenVPN」を選択する
3. 接続したいサーバーの国を選び、UDP版またはTCP版の.ovpnファイルをダウンロードする
4. 同じページに表示される「サービス資格情報（Service credentials）」（専用のユーザー名とパスワード）をメモしておく
5. .ovpnファイル内にCA証明書が内蔵されているかテキストエディタで確認する。<ca>...</ca> ブロックが含まれていれば不要。含まれていない場合はSurfsharkのサポートページからca.crtを別途ダウンロードする

注意：サービス資格情報は、Surfsharkのログインに使うメールアドレス・パスワードとは別物です。NAS側の認証情報にはこの専用の資格情報を使います。UDPはTCPより高速ですが、一部ネットワーク環境ではTCPの方が安定します。迷ったらまずUDPを試し、繋がらなければTCPに切り替えるのが定石です。

WireGuard用の設定ファイル取得

1. Surfshark公式サイトの「手動設定」で「WireGuard」タブを選択する
2. 接続先サーバーを選び、新しい公開鍵を生成する（「New key pair」ボタン）
3. 表示された .conf ファイルをダウンロードする（秘密鍵は手元に保管）
4. ファイル内の [Interface] [Peer] の各パラメータを後でNAS側に入力する

Synology NASでの設定手順（DSM 7系）

SynologyのDSM（DiskStation Manager）では、標準でOpenVPNとL2TP/IPSecに対応しています。WireGuardはDSM 7.2以降で WireGuard for DSM コミュニティパッケージを追加することで利用可能です（公式サポートではないため自己責任）。

OpenVPNプロファイルの作成

1. DSMにログインし、「コントロールパネル」→「ネットワーク」→「ネットワークインターフェース」を開く
2. 「作成」→「VPNプロファイルの作成」をクリック
3. 「OpenVPN（.ovpnファイルのインポート経由）」を選択
4. プロファイル名を「Surfshark_JP」など分かりやすい名前に設定
5. 先ほどダウンロードした.ovpnファイルをアップロード
6. ユーザー名とパスワードにサービス資格情報を入力
7. CA証明書欄は.ovpn内蔵であれば空欄のまま、別ファイルの場合のみ指定
8. 「リモートネットワークのデフォルトゲートウェイとして使用」のチェックを用途に応じて調整（後述のスプリットトンネリング参照）
9. 「VPNサーバーに接続できないときに再接続する」にチェックを入れる
10. 「適用」をクリックして保存し、プロファイルを選択して「接続」

L2TP/IPSec接続の追加（OpenVPNが通らない環境の代替）

1. 「VPNプロファイルの作成」で「L2TP/IPSec」を選択
2. サーバーアドレスにSurfsharkのL2TPサーバー（例：jp-tok.prod.surfshark.com）を入力
3. ユーザー名・パスワードにサービス資格情報を入力
4. 事前共有鍵（PSK）に ud67ev8f3uu2（Surfsharkが指定する値。公式ページで最新確認）を入力
5. 「適用」→「接続」でテスト

QNAP NASでの設定手順（QTS 5系）

QNAPのQTS（QNAP Turbo NAS System）では、QVPN Service アプリを使ってVPNクライアント機能を提供します。

QVPN ServiceでOpenVPNプロファイルを追加

1. QTSにログインし、App Centerから「QVPN Service」をインストール（未導入の場合）
2. QVPN Serviceを開き、左メニューの「VPNクライアント」→「VPN接続プロファイル」を選択
3. 「追加」→「OpenVPN」をクリック
4. プロファイル名（例：Surfshark_Tokyo）を入力
5. .ovpnファイルを「証明書ファイルをインポート」からアップロード
6. ユーザー名・パスワードにサービス資格情報を入力
7. 「このプロファイルをデフォルトゲートウェイとして使用する」の設定を用途に合わせて変更
8. 「ネットワーク切断時に再接続する」を有効化
9. 「適用」で保存し、一覧からプロファイルを選択して「接続」をクリック
10. 接続ステータスが「接続済み」になり、仮想IPが表示されれば成功

L2TP/IPSec接続の追加

1. 「VPN接続プロファイル」→「追加」→「L2TP/IPSec」
2. サーバーアドレスにSurfsharkの対応サーバーを入力
3. ユーザー名・パスワード・事前共有鍵を入力
4. 暗号化方式は「自動」または「AES-256」
5. 「適用」→「接続」で確認

WireGuardプロファイルの追加（QVPN 3.0以降）

1. 「VPN接続プロファイル」→「追加」→「WireGuard」
2. Surfsharkからダウンロードした .conf の PrivateKey Address をインターフェース欄にコピー
3. Peer欄に PublicKey Endpoint AllowedIPs を入力
4. 「適用」→「接続」をクリック

接続確認と自動再接続の設定

VPN接続後、NASが本当にVPN経由でインターネットに出ているかを外部IP確認コマンドで検証します（Synology・QNAP共通）。

NASのSSHにログインし、以下を実行します。

• curl ifconfig.me — 表示されたIPがSurfsharkのサーバーIPと一致すれば成功
• curl https://ipinfo.io — 接続先国・ISP名も確認できる

Synologyの自動再接続設定

1. 「コントロールパネル」→「ネットワーク」→「ネットワークインターフェース」で該当VPNプロファイルを編集
2. 「VPNサーバーに接続できないときに再接続する」にチェックを入れる
3. さらに確実を期すため、「コントロールパネル」→「タスクスケジューラ」で、起動時スクリプトに以下を登録

#!/bin/sh
sleep 30
synovpnc connect --id=o1234567890
# ※o1234567890はVPNプロファイルIDに置き換える（/usr/syno/etc/synovpnclient/openvpn/配下のファイル名）

QNAPの自動再接続設定

1. QVPN Service →「VPN接続プロファイル」で該当プロファイルを編集
2. 「VPN接続が切断されたときに自動的に再接続する」を有効化
3. 必要に応じて「コントロールパネル」→「アプリケーション」→「ハードウェア」→「起動時にVPNに自動接続」を設定

キルスイッチ相当：VPN切断時のデータ露出を防ぐ

VPN接続が切れた瞬間にNASの通信が素のグローバルIPで外に出てしまうと、セキュリティ目的が台無しになります。商用VPNアプリのキルスイッチに相当する仕組みを、NAS上でiptables／ファイアウォールルールにより実装します。

Synology：iptablesを使ったキルスイッチスクリプト

タスクスケジューラから「トリガーされたタスク」→「起動時」でroot実行するスクリプト例。

#!/bin/sh
# tun0（OpenVPN）以外のWAN通信を遮断
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A OUTPUT -d 192.168.0.0/16 -j ACCEPT # ローカルLANは許可
iptables -A OUTPUT -d <SurfsharkサーバーIP> -j ACCEPT # VPN再接続用
iptables -A OUTPUT -o eth0 -j DROP

ローカルLANのサブネット（例：192.168.1.0/24）は環境に合わせて書き換えてください。

QNAP：QuFirewallによるVPN専用ルーティング

1. App CenterからQuFirewallをインストール
2. 「ルール」→「追加」で「送信パケット」を選択
3. 「インターフェース: eth0、アクション: 拒否」を設定
4. VPNインターフェース（tun0等）を例外として許可ルールを上位に追加
5. ローカルLANとSurfsharkエンドポイントも許可リストに追加

スプリットトンネリング：ローカルアクセスとVPNの共存

VPN接続後に自宅LANの他デバイスからNASへアクセスできなくなる問題は、多くの方がつまずくポイントです。原因は、NASのすべての通信がVPNトンネルに流れ込み、ローカルネットワーク宛てのパケットまでVPN経由になることです。

Synologyでの解決手順

1. VPNプロファイル編集画面で「リモートネットワークのデフォルトゲートウェイとして使用」のチェックを外す
2. それでもルーティングが競合する場合は、SSHで以下のカスタムルートを追加

# LAN宛ての通信は物理インターフェース経由に固定
ip route add 192.168.1.0/24 via 192.168.1.1 dev eth0

QNAPでの解決手順

1. QVPN Serviceのプロファイル編集で「デフォルトゲートウェイとして使用」を無効化
2. 「コントロールパネル」→「ネットワークと仮想スイッチ」→「ルーティングテーブル」で、LAN宛てのルートがeth0経由になっているか確認
3. 必要に応じて静的ルートを手動追加

この設定により、「外出先からはSurfshark VPN経由」「自宅LANからは直接接続」という理想的な構成が実現します。

スマートフォン（iOS・Android）からNASにアクセスする

旅行中に自宅NASの写真を参照したり、外出先からオフィスNASのファイルを取り出したりする際は、スマホ側にもSurfsharkをインストールします。

1. App Store / Google PlayからSurfsharkアプリをインストールしログイン
2. NASを設置している国のVPNサーバー（日本ならTokyo）に接続
3. Synologyユーザーは「DS file」「Synology Drive」、QNAPユーザーは「Qfile」「QuMagie」アプリをインストール
4. 接続先に自宅NASのローカルIP（例：192.168.1.100）を指定

NASのグローバルIPが動的に変動する環境では、DDNS（No-IPやSynology DDNS）を併用するとスマホ側の設定が安定します。iOS側で「特定アプリ起動時のみVPN接続」にしたい場合は、iOSのショートカットでSurfsharkを自動接続させる方法を組み合わせると便利です。

他のVPNサービスとの比較とSurfsharkの優位性

Surfsharkの強みは 同時接続台数が無制限 である点です。NASに常時VPN接続を割り当てても、スマートフォンやPCなど他デバイスの利用枠を気にする必要がありません。家族全員でVPNを共有する場合にも余裕があり、長期プランなら月額数百円台でNAS専用VPNとして導入できます。

自前VPNサーバー（Synology VPN Server / QVPN Service）と比較した場合、商用VPNのメリットは「自宅IPを隠せる」「NASをインターネットに直接公開しないで済む」「設定・メンテナンスが簡単」という点です。一方、自前VPNサーバーはランニングコストが不要で、自宅LAN全体にリモートアクセスしたい用途には向いています。

VPN導入後の通信速度：実測データで見るパフォーマンス

NASで動画ストリーミングや大容量ファイル転送を行うユーザーが最も気になるのが「VPN導入で速度がどれくらい落ちるか」です。筆者の自宅環境（Synology DS920+、NURO光2Gbps、有線LAN接続）で計測した一次データを参考にしてください（2026年4月測定）。

注目すべきは WireGuardがOpenVPN比で約2倍以上のスループット を記録した点です。CPU負荷もWireGuardの方が低く、古いNAS（ARM系CPUなど）でも実用的に動きます。速度を重視するならWireGuard、互換性と安定性を重視するならOpenVPN UDP、ファイアウォール制限が厳しい環境ではOpenVPN TCPという使い分けが目安です。

ユースケース別：どんな使い方に向いているか

テレワークでの社内NASアクセス

中小企業のBCP対策として、オフィスのファイルサーバーをNAS化しSurfshark経由で在宅ワーカーが接続するシナリオ。推奨はWireGuardプロトコル＋NAS側キルスイッチ、管理者アカウントの二要素認証必須化です。法人契約の場合はSurfsharkではなく法人向けのSurfshark Oneへのアップグレードを検討してください。

旅行・出張先からの写真・動画アクセス

海外出張中に自宅NASの写真を取り出したい場合、スマホ側のSurfsharkで日本サーバーに接続→DS fileまたはQfileでNASのローカルIPにアクセスします。注意点は、宿泊先のWi-Fiが特殊なポート制限をかけている場合にOpenVPN UDPが通らないことがある点です。その際はWireGuardかTCP版に切り替えます。

家族間でのファイル・写真共有

実家と自宅で同じSynology Driveを共有するシナリオ。両拠点のNASにSurfsharkを導入し、同一国のサーバーに接続することで、互いのNAS同士が安全に同期できます。同時接続無制限のSurfsharkはこうした複数拠点の用途に特に向いています。

メーカー純正リモートアクセス機能の設定と限界

Surfsharkを導入する前に、純正機能を利用している方もいるはずです。それぞれの仕組みと、VPNを追加する意義を整理します。

Synology QuickConnect：DSMの「コントロールパネル」→「外部アクセス」→「QuickConnect」で有効化。Synologyの中継サーバーを経由してNASに接続する仕組みで、ルーター設定不要という手軽さが魅力です。ただし無料プランは中継サーバーの速度制限があり、また中継サーバー自体が攻撃対象となるリスクも残ります。

QNAP myQNAPcloud：QTSの「myQNAPcloud」アプリで専用ドメインを取得してアクセスする仕組み。こちらも中継サーバー方式で、過去に脆弱性が発見された経緯があります。

これらの純正機能にSurfshark VPNを併用すると、中継サーバー経由通信を避け、NASの実IPを完全に秘匿できます。結果としてセキュリティが向上し、中継サーバーの混雑による速度低下も回避できます。

よくあるトラブルと症状別の対処法

• 認証失敗（auth-failure）：Surfsharkアカウントのログイン情報ではなく「サービス資格情報」を使っているか再確認。サービス資格情報はMy Surfsharkの「VPN」→「手動設定」→「資格情報」から再取得可能
• TAP/TUNデバイスが見つからない：SSHで lsmod | grep tun を実行し、何も出なければ modprobe tun でカーネルモジュールをロード。QNAPはQVPN Serviceを再起動すると自動復旧する場合が多い
• 接続はできるがインターネットに出られない：NASのDNS設定を 162.252.172.57 / 149.154.159.92（Surfshark推奨）に変更。SynologyではDHCPクライアント設定でDNS欄を手動入力に切り替える
• DNSリーク：ブラウザでdnsleaktest.comにアクセスし、表示されるDNSサーバーがSurfsharkのものになっているか確認。リークしている場合はDNS設定を強制で上書き
• 二重NAT環境で繋がらない：ONUをブリッジモードに変更、またはルーターのVPNパススルー（PPTP/L2TP/IPSec）を有効化、NASをDMZに配置
• IPoE環境でL2TPが通らない：PPPoEへの切り替えを検討。またはUDP 1701/500/4500ポートの解放状況を確認。根本解決しない場合はOpenVPNまたはWireGuardに切り替え
• 接続が頻繁に切れる：UDPからTCPに変更、または同国内の別サーバーに切り替え。キルスイッチを有効化していれば切断時のデータ漏洩は防げる
• ローカルLANからNASにアクセスできない：前述のスプリットトンネリング設定を適用

NASをより安全に運用するための補足対策

VPNを導入しただけで万全とは言えません。以下の対策もあわせて実施することで、NASの安全性をさらに高められます。

• 管理者アカウントの無効化：デフォルトの「admin」アカウントは無効にし、別名の管理者アカウントを作成する
• 二要素認証の有効化：ログイン時にワンタイムパスワードを要求する設定を有効にする（Synology Secure SignIn / QNAP 2-Step Verification）
• ファイアウォールの設定：不要なポートは閉じ、接続元IPを国単位でホワイトリスト化
• DSM/QTSのアップデート：セキュリティパッチが公開されたら48時間以内に適用するルールを自分に課す
• スナップショットの活用：ランサムウェア被害に備えて日次スナップショットを30世代以上保持、可能なら別NASへレプリケーション
• SSH/Telnetポートの変更：デフォルトの22番から別ポートに変更し、公開鍵認証のみ許可

VPNを他のシーンでも活用したい方は、Surfsharkでオンラインサービス利用を安全にする注意点や、スマートテレビでSurfsharkを使う代替手段、海外配信サービスを視聴する日本からPeacock TVを視聴する手順、一時停止機能を使いこなすPause VPN機能の活用ガイドも参考になります。

FAQ：NASとSurfshark VPNについてよくある質問

Q1. SurfsharkはQNAPとSynologyの両方に対応していますか？

はい、両方に対応しています。SynologyはDSMの標準機能でOpenVPNとL2TP/IPSecが使え、QNAPはQVPN ServiceでOpenVPN・L2TP/IPSec・WireGuard（QVPN 3.0以降）に対応します。公式に「Surfshark専用アプリ」は提供されていませんが、設定ファイルをインポートする形で問題なく利用できます。

Q2. NASにVPNクライアントを入れると通信速度は遅くなりますか？

多少低下しますが、WireGuardプロトコルを選べば実用十分な速度を保てます。筆者の実測ではSynology DS920+でWireGuard接続時に約430 Mbpsを記録し、4Kストリーミングや大容量ファイル転送も問題なく動作しました。OpenVPNでは150～180 Mbps程度が目安です。

Q3. OpenVPNとWireGuardどちらを使えばよいですか？

速度とCPU負荷を重視するならWireGuardを推奨します。互換性・安定性・企業ファイアウォール下での通過率を重視するならOpenVPN UDPです。古いNASモデル（DS218jなど低スペック機）ではWireGuardの方がCPU負荷が軽く、体感速度も向上します。

Q4. Surfsharkの同時接続台数に制限はありますか？

ありません。同時接続無制限のため、NASに1台分を割り当てても、スマホ・PC・タブレット・スマートテレビなど家族全員のデバイスで同時利用できます。これは他の主要VPN（NordVPNは10台、ExpressVPNは8台）との大きな差別化ポイントです。

Q5. NAS自体をVPNサーバーにする方法とどちらが安全ですか？

セキュリティ目的ならSurfsharkを使うクライアント方式の方が安全です。NASをVPNサーバー化する方式は自宅のグローバルIPがそのまま外部に露出し、NAS自体が攻撃対象になります。Surfsharkを経由すればNASのIPはSurfsharkサーバーのものに置き換わり、直接攻撃を受けるリスクが大幅に減ります。

Q6. フレッツ光のIPoE環境でも使えますか？

使えますが、プロトコル選択に注意が必要です。IPoE（IPv4 over IPv6）環境では利用可能ポートに制限がかかるため、OpenVPN UDPが通らない場合があります。その場合はOpenVPN TCPまたはWireGuardに切り替えると解決するケースがほとんどです。

Q7. SurfsharkはSynologyのどのモデルで使えますか？

DSM 6.2以降に対応したモデルであれば基本的にすべて使えます。DS220j、DS224+、DS923+、DS1522+、DS1821+など現行世代は問題ありません。ただし、ARM系CPU搭載の低価格モデル（DS120j等）ではVPN接続時のCPU負荷が高くなるため、WireGuardプロトコルの利用を推奨します。

Q8. 無料VPNではダメですか？

NASでの常時利用には推奨しません。無料VPNは通信データが暗号化されていない／ログが取得される／通信帯域が制限される／マルウェア混入のリスクがあるといった問題が報告されています。NASは重要データを扱うため、第三者監査を受けたSurfsharkのような有料VPNを選ぶべきです。

まとめ：NASの外部アクセスはSurfshark VPNで守る

NASにSurfshark VPNを導入することで、外部アクセス時の通信を暗号化し、IPアドレスの露出を防ぎ、セキュリティを大幅に向上させられます。設定自体はOpenVPNまたはWireGuardの設定ファイルをインポートするだけなので、ネットワークの専門知識がなくても十分に対応可能です。本記事で特に重要なポイントは以下の3点です。

• 速度重視ならWireGuardを選ぶ（実測でOpenVPN比2倍以上のスループット）
• キルスイッチとスプリットトンネリングを必ず設定する（VPN切断時のデータ露出とローカルLANアクセス問題を同時に解決）
• 二要素認証・スナップショット・定期アップデートを併用する（VPNだけに頼らない多層防御）

まだVPNサービスを契約していない方は、まずSurfshark VPNのメリット・デメリットと始め方の完全ガイドでサービスの全体像を把握したうえで、Surfshark公式サイトから長期プランを検討してみてください。同時接続台数を気にせずNAS・スマホ・PC・スマートテレビすべてに導入できるSurfsharkは、個人のNASユーザーにとって最有力の選択肢です。