Synology NAS の外部アクセス：QuickConnect はなぜ遅いのか

先日、実家で人に頼まれてNASを調整していた。スマホを4GにつないでDS fileを開き、親戚に去年撮った写真を見せようとしたが、プログレスバーはWebゲームを読み込んでいるかのようにしか進まなかった。彼は、家のブロードバンドのアップロードが小さすぎるのか、乗り換えるべきかと聞いてきた。私は、すぐにお金を払う必要はなく、このスピナーはブロードバンドとはほとんど関係ないかもしれないと言った。

同様の質問は実は毎月のように聞かれる。同じSynology、同じQuickConnect IDでも、家にいるのと同じくらい速く使える人もいれば、リモートアクセスを諦めたくなるほど詰まる人もいる。これは運でも、Synologyがこっそり速度制限しているのでもない。答えは公式ホワイトペーパーに書かれているが、普段その文書を開く人はいないだけだ。

それは速度制限ではなく、経路が3段階に分かれているのだ。

SynologyのQuickConnectホワイトペーパーは、1回の接続確立プロセスを3ステップとして記載し、順番に試して成功した時点で止まるとしている：

• LAN/WAN検出クライアントはまずQuickConnectサーバーに、このNASが登録しているネットワーク情報（公衆IP、LAN IP、NATタイプなど）を問い合わせ、直接接続できるなら直接接続する。このステップが成功した場合の速度は、IPやDDNSで直接アクセスするのと変わらない。
• ホールパンチング直接接続ができない場合、NASとクライアントがそれぞれ自分のNAT上に一時的なportを開き、サーバーが双方の「穴」の情報を交換し、その後はトラフィックがポイントツーポイントで流れる。公式のこのステップに関する表現では、性能はWAN IP/DDNS経由と非常に近い。
• リレー最初の2ステップが両方とも失敗すると、データはいったんSynologyのリレーサーバーに送られ、そこからNASへ転送される。ホワイトペーパーの表現の大意は、これが明らかなデータ転送遅延を招くため最後のフォールバックとして置かれているというものだ。DSMの技術仕様ページにも、リレー経由の接続はport forwardingより遅くなる可能性があり、経路が長くなるため、また一部地域ではキャリアの制限によりリレーがそもそも使えなくなることがあると明記されている。

つまり「QuickConnectが遅い」という事象の実際の構造は、デフォルトではできる限り直接接続しようとし、直接接続に失敗した場合にだけ降格するというものだ。遅いということは、第3段階に落ちているのであって、速度制限されているわけではない。

自分がどの段階に落ちているかを知る方法

公式UIには「現在リレー経由で接続している」と直接表示されない。少なくとも私はDSMでその表示を見つけられなかったので、現象から逆推するしかない。以下3つは私がよく使う判断基準で、経験則であり公式見解ではない：

• 同じ Wi-Fi 下で QuickConnect ID を使って DSM を開くと、すぐに開くだろうか。そうなら最初の区間は正常に動作しており、問題は「家の外」に出た後だけに起きている。
• 大きなファイルを1つ転送するとき、速度は明らかに自宅ブロードバンドの上り。上りは本来この種のアクセスの天井であり、中継はさらに1層余計に回るため、両者が重なると HDD や NAS の性能が低いと誤解させる。
• ネットワークを変えると結果は大きく変わるか。モバイルデータ通信では接続でき、会社のネットワークでは接続できない、あるいはその逆なら、NAT タイプの影響で hole punching の成功率が変わる典型例であり、NAS 自体とは関係ない。

3番目は特に覚えておく価値がある。多くの会社ネットワークや一部の ISP ネットワークでは UDP と非標準 port に対するポリシーが厳しく、hole punching はほぼ必ず失敗し、中継しか使えない——この環境ではどれだけ高価な NAS に替えても同じだ。

QuickConnect は DSM のどこにあり、どの2つのオプションを変更すべきか

パスは「コントロールパネル > 外部アクセス > QuickConnect」（DSM 7）。有効化にチェックを入れ、世界で一意の ID を入力すれば完了。中国大陸のユーザーがブラウザでアクセスするのは quickconnect.cn というドメイン——公式ヘルプドキュメントには「中国大陸は QuickConnect.cn/example」とわざわざ書かれており、海外が quickconnect.to だ。

同じページ内で、開いて一度見る価値がある場所が2つある：

• アプリ権限リスト。QuickConnect はすべてのサービスに有効なわけではなく、公式仕様ページにはサードパーティアプリは非対応と明記されており、さらに IP や DDNS を直接マッピングする必要がある一部のパッケージは利用できない。リストには実際にリモートで使う1～2個だけ残し、他はオフにする——1つ減らせば、外から到達できる入口も1つ減る。
• 自動 port forwarding。公式仕様の説明では、UPnP 対応の router 上で必要な port forwarding ルールを自動適用できる。私の提案はオフにすることだ：QuickConnect の価値はまさに router に穴を開けなくて済むことにあり、このオプションはより速く接続させるために逆に穴を開けに行く。速さを求める気持ちは理解できるが、それは「port を公開するかどうか」という判断を1つのチェックボックスに委ねることに等しい。

残り3つの方法は、それぞれスイッチがどこにあるか

一、DDNS と port forwarding：速度が最も実用的で、前提は公衆 IPv4 があること

「コントロールパネル > 外部アクセス > DDNS」で、サービスプロバイダーに Synology を選ぶと無料の xxx.synology.me が使え、ついでに Let's Encrypt 証明書と Heartbeat（オフライン通知）にチェックを入れられます。port forwarding は同じ場所の「router 設定」にあり、UPnP router なら自動入力でき、入力できなければ router に手動でログインします。

この道で多くの人が詰まるのは設定ではなく前提です。家庭用ブロードバンドのダイヤル後に取得するのはパブリック IPv4 ではなく、100.64 で始まるキャリアグレード NAT アドレスである可能性があり、この場合 port をどうマッピングしても通じません。判断方法といくつかの回避策はONT をブリッジモードに変更する記事で書いたので、ここでは繰り返しません。

二、リバースプロキシ：外部には 443 だけを開ける

DSM 7 のパスは「コントロールパネル > ログインポータル > 詳細 > リバースプロキシサーバー」です（DSM 6.2 時代、この機能は「アプリケーションポータル」の下にありました）。これは「1つのドメインに複数のサービスをぶら下げる」問題を解決します。外部には 443 だけを開け、内部ではサブドメインごとに異なる port へ転送し、DSM、Photos、Drive はそれぞれ別アドレスにして、5000/5001 をインターネット上に公開する必要はありません。

ルールでは HSTS（送信元側にのみ有効）をチェックでき、アクセス制御プロファイルを割り当てて、送信元 IP またはサブネットで許可・拒否することもできます。ここには公式ドキュメントに明記されている落とし穴があります。アクセス制御と Let's Encrypt 証明書を同時に有効にすると、証明書の自動更新に失敗する可能性があります。実際に遭遇した場合の対処順序も公式に示されています。まずアクセス制御をオフにし、証明書ページで手動更新し、再度オンに戻します。こうした細部はドキュメントを見ないと到底思いつきません。

三、リモートネットワーキング：パブリック IP がないときに最も手間が少ない正道

Synology には VPN Server パッケージがあり、L2TP/IPSec や OpenVPN といった標準プロトコルをサポートしています。router を触りたくない、port も調べたくない人は、サードパーティ製のネットワーク構築ツールで外にあるこのデバイスを自宅のネットワークに「引き戻す」こともできます。この道は「サービスの公開」ではなく「デバイス同士のネットワーク構築」の考え方で、初心者に最も優しい一方、クライアントを1つ余分にインストールし、メンテナンス対象が1つ増えるコストがあります。

リモートアクセスを有効にしたら、まずこの5つを行う

一度外部から入れるようになると、それはもうリビングにあるただのマシンではありません。以下の5項目は Synology の公式ドキュメントにすべて原文があり、私の発明ではありません。

• DSM の管理 port を直接インターネットに置かないでください。デフォルトは 5000（HTTP）と 5001（HTTPS）です。公式の強化推奨事項でも、router 上では本当に必要な service port だけを開放するよう強調しています。リモート管理はリバースプロキシの 443 経由にするか、いっそネットワーク構築や QuickConnect 経由にします。
• 自動ブロック：「コントロールパネル > セキュリティ > 保護 > 自動ブロック」。同一 IP が設定時間内にログイン失敗回数の上限を超えるとブロックされ、公式が挙げる適用範囲には SSH、FTP、WebDAV、DSM ログインなどが含まれます。
• アカウント保護と2段階認証を追加。アカウント保護は「安全性 > アカウント」、2段階認証は「個人 > 安全性 > 2段階認証」にあり、Synology Secure SignIn または Google Authenticator と組み合わせればよい。この2つは「パスワードを突破される」ことに対する最後の防線です。
• HTTPS と証明書。「ログインポータル > DSM」には「HTTP を HTTPS へ自動リダイレクト」と HSTS の2つのオプションがあり、公式は同時にチェックしないよう明言している。接続問題が発生する。
• デフォルト port の変更はノイズを減らせるが、セキュリティ境界ではない。公式は port 変更をハードニングチェックリストに載せているが、主な効果はデフォルト port だけをスキャンする自動化スクリプトを避けることであり、本気でスキャンする人には同じように見つかる。本当の境界は「露出させない」「認証を強化する」の2点です。

私の判断：あなたはどの類型か

3種類に分けると、答えはかなりはっきりしている。

年に3～5回だけ使い、外で一時的に写真を見たりファイルを1つダウンロードしたいだけなら——QuickConnect で十分で、無理にいじらないこと。あなたにとって最大の価値は速さではなく、「何も設定しなくてよく、自宅の門を開けっぱなしにもしない」ことです。

外で 4K 原盤を見たい、スマホのアルバムをバックアップしたい、あるいは DSM パッケージを業務ツールとして使いたいなら——中継では支えきれないので、第三段から抜け出す方法を考える必要がある。グローバル IPv4 があれば DDNS とリバースプロキシ、なければ IPv6 か拠点間ネットワークを検討する。ここには見落とされがちな上限がもう1つある。どの経路を通っても、外部から家のファイルを読む速度は家の上り。1Gbps 下りと 30M 上りの回線では、外部からファイルを取得すると 30Mbps の体感になり、これは NAS の性能とはまったく関係ない——この計算は上りの記事でで計算済み。

いじり倒す派、複数台のデバイスをつなぎたい人——グローバルIP付きの中継機を自分で用意し、トンネルを1箇所に集約して管理できる。代償は「手軽さ」を「メンテナンスと更新料が必要なマシンが1台増える」ことに置き換えることで、価値があるかどうかは自分の時間にいくらの価値があるか次第だ；実際にやるなら、構成の選び方は次を参照クラウドサーバーの選び方のページ。

この記事は導入で、この後さらに4本ある

「Synology NAS の外部アクセス」は1本では語り切れないので、残りは分割して書く：IPv6 をどう段階的に通すか（ONT / optical modem、firewall、DDNS の3段階）、グローバルIPがない場合の reverse tunnel / port forwarding の方式をどう選ぶか、管理ポートをインターネットに公開するのがどれほど危険か、そして QuickConnect を長期的に残して使う価値があるか。

まだ「4つの方式それぞれのコストをどう計算するか」の段階にいるなら、まず次を参照NAS のリモートアクセスの選び方その記事で計算しているのはコスト、ハードル、露出面；この記事で計算しているのは「目の前のこの Synology で具体的にどこをクリックすべきか」。

本記事は Synology 公式「QuickConnect ホワイトペーパー」（3段階の接続メカニズムと中継の説明）、「Synology NAS 外部アクセス クイックスタートガイド」（2026-06-05 更新版）、「Synology NAS ユーザーガイド 7.4」のセキュリティ章、公式「Synology NAS のセキュリティを向上させる方法」、DSM の技術仕様ページに基づいて整理した。UI のパスとパッケージの利用可否は、自分のマシン上の DSM バージョンを基準にしてください；「どの段階を通っているかをどう判断するか」は個人の経験であり、公式は UI 上の表示を提供していない。

全記事目次 · ホームへ戻る