Votre NAS stocke vos photos, vos sauvegardes, parfois vos documents de travail. Pour y accéder à distance, la tentation est grande d’ouvrir un port sur votre box et d’exposer l’interface d’administration directement sur Internet. Le problème, c’est que chaque port ouvert devient une surface d’attaque. Installer un serveur VPN sur votre NAS permet de créer un tunnel chiffré entre votre appareil et votre réseau local, sans exposer les services sensibles au monde entier.
Surface d’attaque réduite : le vrai gain d’un VPN sur NAS
Quand vous rendez DSM ou QTS accessible depuis l’extérieur, un attaquant peut tenter des connexions en boucle sur l’interface de login. Les vulnérabilités découvertes régulièrement sur les interfaces web des NAS Synology ou QNAP rendent ce scénario concret.
A lire également : Comment savoir si mon VPN me protège ?
Avec un VPN, vous n’ouvrez qu’un seul port (celui du protocole VPN). Tous les autres services, partage de fichiers, surveillance, administration, restent invisibles depuis Internet. Seul un appareil disposant des bonnes clés de chiffrement peut rejoindre le réseau.
Précision utile : le VPN déplace le risque vers le service VPN lui-même. Cela impose de maintenir ce service à jour et d’activer une authentification forte, idéalement multifacteur. Un VPN mal entretenu donne un faux sentiment de sécurité.
A lire en complément : Quelles mesures une organisation doit-elle prendre pour garantir la sécurité de son logiciel ?
Accès distant au réseau local complet, pas seulement au NAS
Un détail change tout dans la pratique. Quand vous vous connectez via le VPN de votre NAS, votre appareil rejoint virtuellement votre réseau domestique. Vous accédez au NAS, mais aussi à tout ce qui s’y trouve : imprimante réseau, caméras de surveillance, interface de votre box, autre machine en filaire.
Concrètement, depuis un hôtel ou un café, votre téléphone ou votre ordinateur portable se comporte comme s’il était branché chez vous. Les transferts de fichiers passent par un tunnel chiffré de bout en bout.
Le revers de cette confiance réseau
Ce confort a une contrepartie. Un VPN compromis ouvre l’accès à tout le réseau local, pas seulement au NAS. Sauvegardes, caméras, objets connectés : tout devient accessible à un attaquant qui aurait volé vos identifiants VPN.
Les approches dites « Zero Trust » fonctionnent différemment. Elles autorisent l’accès application par application, en vérifiant l’identité et l’appareil à chaque requête. Pour un usage familial, le VPN reste largement suffisant, à condition de protéger sérieusement les identifiants et les clés.
WireGuard, OpenVPN ou Tailscale : quel protocole VPN pour un NAS
Le choix du protocole influence la vitesse, la compatibilité et la charge de maintenance. Voici les trois options principales :
- OpenVPN : pris en charge nativement par la plupart des NAS (Synology VPN Server, QNAP QVPN). Configuration plus verbeuse, mais très documentée. Fonctionne bien derrière des réseaux restrictifs car il peut utiliser le port 443 (le même que HTTPS).
- WireGuard : protocole plus récent, plus rapide et plus léger. Sur certains NAS Synology, il n’est pas intégré dans l’outil officiel et nécessite un conteneur Docker ou un paquet tiers. Cela ajoute une couche de maintenance séparée pour les mises à jour.
- Tailscale et VPN maillés : ces solutions établissent des tunnels sortants sans ouvrir de port sur la box. Pratique si votre fournisseur d’accès utilise le CGNAT (fréquent avec les offres 4G/5G ou certaines offres fibre à bas coût), car la redirection de port classique ne fonctionne pas. En contrepartie, vous dépendez d’un service de coordination externe qui voit certaines métadonnées de connexion.
Pour un usage domestique classique avec une box standard, OpenVPN reste le choix le plus simple à déployer. Si la performance de transfert compte (vidéos, fichiers volumineux), WireGuard apporte un gain notable, au prix d’une configuration initiale moins guidée.
VPN sur NAS et protection contre les ransomwares : ce qu’il faut savoir
Une idée reçue circule souvent : un VPN protégerait le NAS contre les ransomwares. En réalité, le VPN ne protège pas les données si les sauvegardes sont accessibles depuis le réseau.
Un ransomware qui s’exécute sur un ordinateur connecté au VPN peut chiffrer les fichiers partagés du NAS exactement comme s’il était sur le réseau local. La connexion VPN donne un accès réseau complet, c’est précisément sa fonction.
Les mesures complémentaires à ne pas négliger
Le VPN sécurise le transport des données, pas leur intégrité. Pour se prémunir contre un ransomware, d’autres mécanismes entrent en jeu :
- Les snapshots (instantanés) immuables sur le NAS, qui permettent de restaurer un état antérieur au chiffrement malveillant
- La règle de sauvegarde 3-2-1 : trois copies, deux supports différents, une copie hors site
- La désactivation des protocoles de partage non utilisés (SMBv1 par exemple), même derrière un VPN
- La segmentation des droits d’accès : un compte utilisateur VPN ne devrait pas avoir un accès administrateur sur le NAS
CGNAT et absence d’IP publique : quand le VPN classique ne suffit plus
Vous avez configuré votre serveur VPN, ouvert le bon port sur la box, et la connexion échoue depuis l’extérieur ? Votre fournisseur d’accès utilise probablement le CGNAT. Plusieurs abonnés partagent alors la même adresse IPv4 publique, ce qui bloque la redirection de port.
Dans ce cas, les solutions maillées comme Tailscale contournent le CGNAT en établissant une connexion sortante depuis le NAS. Aucun port entrant à ouvrir. L’inconvénient : votre trafic passe par un serveur relais quand la connexion directe échoue, et le service de coordination connaît vos points de connexion.
Avant d’installer quoi que ce soit, vérifiez si votre box dispose d’une adresse IPv4 publique dédiée. Si oui, un serveur VPN classique (OpenVPN ou WireGuard) sur le NAS reste la solution la plus autonome. Si non, Tailscale ou ZeroTier offrent une alternative fonctionnelle, au prix d’une dépendance externe.
Le VPN sur NAS ne remplace pas une politique de sécurité complète. Il ferme la porte d’entrée la plus évidente, celle des services exposés directement sur Internet, et chiffre vos échanges à distance. Pour que cette protection tienne, les mises à jour du NAS et du service VPN restent votre première ligne de défense.
