Installer un VPN directement sur votre NAS Synology semble simple sur le papier. Pourtant, la plupart des utilisateurs se retrouvent avec un tunnel qui fonctionne à moitié, un NAS devenu inaccessible en local ou une protection qui fuit sans qu’ils s’en rendent compte. Avant de cliquer sur Connect, mieux vaut connaître les trois pièges qui reviennent le plus souvent et qui transforment une bonne idée en casse-tête.
Première erreur, et pas des moindres. Elle n’a rien à voir avec Synology, OpenVPN ou votre fournisseur d’accès VPN. Elle se cache dans une case que la majorité des tutoriels expédient en une ligne : « use default gateway on remote network ».
La gateway avant le protocole
Cette option décide si le trafic du NAS passe entièrement par le tunnel, ou s’il continue à emprunter votre routeur local pour certaines destinations. Si vous la cochez sans réfléchir, votre NAS devient injoignable depuis le réseau local. Les partages SMB ne répondent plus. Les sauvegardes Time Machine échouent. Vous croyez avoir cassé la machine, alors qu’il suffit de décocher la case.
À l’inverse, si vous ne la cochez pas alors que vous vouliez isoler tout le trafic du NAS derrière le VPN, vous obtenez une protection partielle. Le tunnel existe, mais certaines requêtes partent en clair. C’est exactement le genre de détail qu’on découvre 3 mois plus tard, en relisant les journaux.
Sur le plan technique, une gateway n’est pas qu’une simple case à cocher dans un profil VPN. Dans l’architecture réseau, c’est une passerelle de niveau 3, c’est-à-dire un équipement qui opère sur la couche réseau du modèle OSI et qui détermine le routage des paquets entre des réseaux différents. Dans l’IoT, la gateway sert à faire transiter les données des objets connectés vers la plateforme chargée de les analyser.
Votre NAS Synology, lorsqu’il est derrière un tunnel VPN, remplit exactement ce rôle : il devient un nœud de transit dont la table de routage décide du chemin emprunté par chaque paquet. Si la passerelle est mal configurée, c’est toute l’architecture de communication qui se retrouve compromise, pas seulement un partage de fichiers.
Vérifiez ce paramètre avant de cliquer sur « Connect ». Cochez-le si le NAS doit être exclusivement accessible via le tunnel. Décochez-le si vous avez besoin de conserver l’accès local.
Un fichier .ovpn, ça se remplace
Deuxième erreur : télécharger un fichier .ovpn générique fourni par le support, l’importer dans le panneau de configuration Synology, puis ne plus jamais y toucher. Un fichier .ovpn contient des directives précises : l’adresse du serveur, le port, le protocole, les certificats, parfois des options de compression ou de renégociation de clé.
Si votre fournisseur met à jour ses serveurs, change un certificat ou modifie le port UDP 1194, votre profil devient obsolète. Le NAS affiche « Connecté », mais aucun paquet ne circule. Ou pire, la connexion tombe toutes les 7 minutes sans message d’erreur explicite. Source : linternaute.com
La parade est simple. Conservez le fichier .ovpn dans un dossier dédié sur le NAS lui-même, notez la date de téléchargement, et régénérez-le à chaque changement d’abonnement ou de serveur. Un fichier de configuration n’est pas un meuble. Il se remplace.
Les causes d’échec d’un fichier .ovpn sont rarement mystérieuses quand on prend la peine de les examiner. Les plus fréquentes sont documentées : le profil référence des fichiers externes (ca.crt, client.key, un fichier auth-user-pass) qui ne se trouvent pas à côté de lui ; un identifiant ou un mot de passe manquant ; ou un serveur injoignable sur le port ou le protocole indiqué. Remplacer une connexion VPN existante sous OpenVPN Connect Client suit d’ailleurs une procédure simple : on sélectionne le nouveau fichier de configuration dans son dossier d’extraction, puis on l’importe.
Le problème, c’est que sur un NAS Synology, cette procédure n’est pas toujours évidente, et beaucoup d’utilisateurs se contentent de réimporter l’ancien profil en espérant qu’il se mette à jour tout seul. Il ne le fera pas.
Si le sujet vous intéresse : Tunnel VPN : Configs Pro WireGuard & IKEv2
Le pare-feu DSM, l’angle mort
Troisième erreur, et la plus sournoise : ignorer le pare-feu intégré à DSM. Synology embarque un pare-feu accessible dans Panneau de configuration, rubrique Sécurité. Quand vous activez un profil VPN, le trafic entrant et sortant change de route. Si vos règles de pare-feu ont été écrites pour une adresse IP locale fixe, elles deviennent incohérentes dès que le tunnel prend le relais.
Résultat : le NAS refuse des connexions légitimes, bloque le trafic du tunnel, ou laisse passer ce qu’il devrait filtrer. Certains utilisateurs désactivent carrément le pare-feu « pour voir si ça règle le problème ». Mauvaise idée. Un NAS exposé avec un pare-feu désactivé, c’est une porte ouverte sur l’ensemble de vos fichiers.
Ajoutez une règle pour l’interface VPN avant d’activer le tunnel. Testez avec un appareil extérieur. Si le trafic passe, verrouillez. Si le trafic ne passe pas, relisez la règle. Le pare-feu ne se devine pas, il se configure.
Avant de configurer votre pare-feu, prenez le temps de définir précisément les services et les utilisateurs concernés. Le Centre de connaissances de Synology insiste sur ce point : une règle de pare-feu ne s’écrit pas au hasard, elle se déduit d’un besoin concret. Voici les étapes minimales à respecter :
- Identifier les interfaces réseau actives (LAN, VPN, éventuellement une seconde passerelle).
- Lister les services indispensables : SMB, AFP, WebDAV, DSM en HTTPS, sauvegarde réseau.
- Définir les plages d’adresses IP autorisées pour chaque service, en distinguant le réseau local du tunnel VPN.
- Tester chaque règle depuis un appareil extérieur avant de la considérer comme valide.
Ensuite seulement, vous pourrez activer le tunnel sans craindre de vous enfermer dehors ou de laisser une brèche ouverte.
| Erreur | Cause probable | Conséquence directe | Correctif rapide |
|---|---|---|---|
| Case « default gateway » cochée sans réflexion | Tutoriel suivi trop vite | NAS injoignable depuis le LAN | Décocher si accès local requis |
| Fichier .ovpn obsolète | Mise à jour serveur chez le fournisseur | Tunnel instable ou trafic bloqué | Régénérer le fichier, noter la date |
| Pare-feu DSM inadapté au tunnel | Règles écrites pour IP locale fixe | Blocages aléatoires, failles ouvertes | Ajouter règle interface VPN, tester |
Pourquoi mon NAS Synology ne se reconnecte pas après une coupure ?
Parce que la reconnexion automatique dépend de deux choses : l’option « reconnecter en cas de perte de la connexion VPN » dans le profil, et la stabilité du fichier .ovpn. Si l’une manque, le NAS reste déconnecté jusqu’à intervention manuelle. Vérifiez l’option, puis régénérez le fichier de configuration. Une coupure électrique ne devrait jamais laisser votre NAS à poil sur le réseau.
DSM 7 et box françaises
| Cas limite | Piège spécifique | Réflexe à adopter |
|---|---|---|
| Freebox Delta (Free) | Le port forwarding OpenVPN (1194 UDP) exige de passer par l’interface « Gestion des ports » et non par le mode bridge, sinon le NAT double écrase les règles | Vérifiez que le NAS est bien en IP fixe dans le DHCP Freebox, sinon chaque redémarrage casse la redirection |
| Livebox 6 (Orange) | L’IPv6 est activée par défaut et peut court-circuiter votre tunnel IPv4 : certains clients OpenVPN se connectent en IPv6 sans passer par le port forward | Désactivez l’IPv6 sur l’interface WAN du NAS ou forcez la résolution IPv4 dans le fichier .ovpn |
| Bbox (Bouygues) | Le firmware Bbox bride les paquets UDP au-delà de 20 Mbps sur certains modèles, rendant OpenVPN quasi inutilisable en UDP | Basculez le tunnel en TCP 443 (souvent mieux traité par la box) malgré la perte de performance |
| Accès TV française depuis l’étranger | Les box détectent les plages d’IP des datacenters : si votre VPN sort par un serveur OVH ou Scaleway, le replay reste bloqué | Montez le VPN sur une IP résidentielle (celle de votre NAS à domicile), pas sur un VPS : c’est la seule parade fiable |
Ce que disent les forums
Un utilisateur a voulu faire évoluer son Synology 2 baies (modèle 211j) qui tournait avec deux disques de 1 To en RAID 1. La question posée était simple : comment passer à deux disques de 3 To sans passer par un support de sauvegarde externe ni un second NAS ? C’est un cas d’usage typique quand on a configuré un VPN sur un NAS Synology pour sécuriser ses téléchargements et qu’on se retrouve à court d’espace. La solution existe (remplacement disque par disque avec reconstruction du miroir), mais elle suppose que le volume soit sain avant de commencer.
Un autre retour d’expérience, venu d’un utilisateur qui a testé un Mac Mini comme serveur domestique, illustre pourquoi beaucoup reviennent vers du matériel dédié. Les problèmes cités sont concrets : un boîtier externe qui se déconnecte fréquemment (souvent lié au chipset du boîtier, pas au disque), des services qui refusent de démarrer tant qu’une session n’est pas ouverte, et l’obligation de saisir le mot de passe FileVault à chaque redémarrage. Sa : si vous voulez du prêt à l’emploi, un Synology avec un processeur Intel (pour la transcodification vidéo) reste le choix le plus sûr.
Il mentionne aussi Xpenology, une façon d’installer le système Synology sur son propre matériel. Son verdict mérite d’être noté : étonnamment stable, plus stable que le Mac Mini qu’il utilisait avant. C’est une piste pour ceux qui veulent les fonctionnalités DSM sans payer le matériel officiel, mais elle implique de gérer soi-même la compatibilité.
Sur le front de la virtualisation, un administrateur compare XCP-ng et Proxmox après les avoir utilisés au travail et à la maison. Les points de friction sont précis : Proxmox mélange l’hyperviseur avec le reste du système (un souci sur le système de base affecte Proxmox), tandis que XCP-ng sépare les couches. Proxmox gagne sur le passage de matériel (interface graphique) et sur la communauté, qui permet des installations non officielles comme macOS ou le logiciel de NAS Synology. Son choix final : migrer les machines de travail vers Proxmox.
Enfin, un cas de transcodage raté sur une installation Plex fraîche (DSM 7.1) : le lecteur affichait « Conversion failed. A required codec could not be found or failed to install. » Le film de test (un James Bond) ne se lançait pas via Chrome. Un second utilisateur a rencontré un échec d’installation du paquet Plex sur DSM 7.1.1 avec un message « Invalid File Format ». Dans les deux cas, le problème venait de la version du paquet ou de son format d’archive, pas de la configuration réseau. C’est un rappel utile : installer un VPN sur le NAS ne suffit pas à régler les soucis de codecs, ce sont deux couches distinctes.
Upgrading disks in a RAID1 Synology 2-bay drive (CC-BY-SA 4.0)
Vous aimerez aussi : Avec un VPN, le FAI a-t-il accès à vos échanges ?
Mon avis
Un serveur VPN sur un NAS Synology n’est pas une décoration technique. C’est une décision d’architecture réseau qui engage la disponibilité de vos données et la confidentialité de vos échanges. Les 3 erreurs ci-dessus se corrigent en quelques minutes, à condition de les chercher avant qu’elles ne vous trouvent.
Prenez le temps de relire les paramètres avancés. Observez les journaux de connexion. Et surtout, méfiez-vous des tutoriels qui promettent une installation en deux clics. En 17 ans de gendarmerie, je n’ai jamais vu une procédure critique tenir en deux clics.
À lire juste après
| Comment installer Forticlient Vpn |
| Évitez la liste noire : 10 raisons pour lesquelles vous avez besoin d'un VPN en Russie |
La preuve, c’est une chaîne de custody
Quand je rédigeais un PV de synthèse, chaque élément devait être traçable du prélèvement jusqu’au tribunal. Un scellé mal conditionné, une date manquante, et tout l’édifice s’effondrait devant le juge.
Sur un NAS, c’est exactement la même logique. Votre fichier .ovpn, votre gateway, vos règles de pare-feu : chaque maillon doit être vérifiable, horodaté, remplaçable.
Ce que je regarde en premier sur une config VPN, c’est ce qui reste quand on débranche tout. Les traces, pas les promesses.
Article utile ? Dites-le à Google. Ajoutez ce blog à vos sources préférées : un clic, et vous le retrouverez dans vos recherches (et l’AI Mode) au lieu du contenu recyclé par des robots. C’est votre façon de reprendre le contrôle sur ce que vous lisez.
Et si vous avez aimé, partagez (c’est le meilleur coup de pouce pour un blog indépendant qui publie sans algorithme ni sponsor déguisé).
Un clic, gratuit. Nécessite d’être connecté à votre compte Google.
Franchement j'ai galéré toute la journée dessus... J'avais beau mettre le # devant pull ça bloquait encore. Et là d'un coup j'ai relu, désactivé le truc et bam, ça a marché direct. Bon j'avoue j'ai aussi perdu une heure à chercher pourquoi mon vieux routeur en cascade foutait le bazar, mais bref, ça y est.
C’est quoi un NAS Synology exactement ? On peut y mettre un VPN comme sur un pc normal ?
Toujours pas. Erreur : option_error, ni ‘client’ ni ‘tls-client’ et ‘pull’. Le client OpenVPN3 gère que le mode –client. Ça commence à me gaver.
Bonjour,
Je ne vois pas l’interêt de de se protéger derrière un VPN pour ensuite s’exposer avec QuickConnect.
Il doit bien y avoir une solution pour retrouver son Nas lorsqu’on a une IP fixe et un nom de domaine ?
Il suffit d’entrer \\diskstation dans la boîte de dialogue Exécuter.
Cela fonctionne par défaut car le service de fichiers Windows est activé sur le Synology NAS.
Nordvpn est vraiment parfait comme service. Rapide 8/10, discret, utile aux petites connexions internet, la qualité à un prix..