NAS IPv6 リモートアクセス：ONT / optical modem、firewall、DDNS をどう設定するか
先日、ある人から質問された：自宅回線にグローバル IPv4 がなく、QuickConnect の使い勝手が悪い場合、中継サービスを買うしかないのか。
私はまずお金を使うなと言い、スマホのモバイルデータ通信をオンにして Wi-Fi を切り、NAS の IPv6 アドレスをブラウザに貼り付けて試してみてくれと伝えた。試した彼は「どうしてこんなに速いんだ」と一言返してきた。
これは少し直感に反する——多くの人がまだ「グローバル IP」に頭を悩ませている一方で、自宅回線はすでに静かにグローバル IPv6 を払い出しており、ただ router 上でそれを開放している人がいないだけだ。この記事で扱うのは、開放した後に越えなければならない三つの関門、すなわち ONT と router、firewall、DDNS である。
まず確認すべきことが一つある：あなたの自宅にはすでに IPv6 があるかもしれない
2026 年 7 月 28 日、第 5 回中国 IPv6 イノベーション発展大会で『中国 IPv6 発展報告（2026）』が発表された。報告書内の二つの数字は問題をよく示している：2025 年 12 月時点で、中国の IPv6 アクティブユーザーは 8.69 億人で、ネットユーザーの 77.38% を占める；2026 年 6 月時点で、全国の家庭用ゲートウェイの IPv6 有効化率は 98.41%、通信事業者カスタム家庭用 router の IPv6 サポート率は 99.12% である。
同じ月、中央網信委は『インターネットプロトコル第 6 版（IPv6）技術革新と融合応用の深化実施方案（2026—2030 年）』を発行し、その中で「IPv6 単一スタックへの進化を加速する」ことに言及した。これを読者向けに言い換えれば、今後グローバル IPv4 を取得するのはさらに難しくなるだけで、IPv6 は長期的な方向であり、一時的な代替品ではない、ということだ。
だからといって急いで判断せず、まず三つの操作を行おう：
- DSM がアドレスを取得しているか確認する。「コントロールパネル > ネットワーク > ネットワークインターフェース」で、使用中のネットワークカードを選択し、「編集」をクリックして IPv6 タブに切り替える。ここで「自動」になっており、その下に実際にアドレス文字列が表示されていれば、この層はすでに通っている。
- スマホのモバイルデータ通信で一度アクセスする。Wi-Fi を切り、ブラウザで入力する
http://[你的IPv6地址]:5000——アドレスは角括弧で囲む必要がある。これは URL 内での IPv6 の書き方であり、囲まないとそのままでは開けない。中国国内の通信事業者でよく見られるセグメントは 240e、2408、2409 で始まるもの（それぞれ中国電信、中国聯通、中国移動に多く見られる）で、具体的には自分で確認したものを基準にする。 - アドレスが内部ネットワークのセグメントではないことを確認する。fe80 で始まるものはリンクローカルアドレスであり、LAN 内でしか使えず、対象外である；グローバルアドレスとして使えるのは 2400::/12 のようなグローバルユニキャストアドレスである。
3つのステップをすべて通過したなら、すでに中継よりはるかに速い経路が手元にあり、残るのはそれを安定して設定するだけだ。
第1の関門：ONT / optical modem とルーターで、まず誰かがプレフィックスを取得する必要がある。
IPv6 の家庭回線は IPv4 と根本的な違いがある：1つのアドレスが与えられるのではなく、1つのプレフィックスが与えられ、家庭内のルーターがそのプレフィックスを各デバイスに配る。このプレフィックスの専門用語がプレフィックス委任、つまり PD だ。
鍵は「誰がダイヤルするか」にある。ONT / optical modem 自身がダイヤルする（ルーターモードの）場合、プレフィックスは ONT / optical modem 側にあり、ルーターは単なる2段目のルーターにすぎない。この場合、ほぼ必ず ONT / optical modem に入って設定を一通り確認することになる。ONT / optical modem をブリッジに変更し、自分のルーターでダイヤルする場合にようやくプレフィックスが自分の手元に来る。Synology の DSM ヘルプドキュメントはこの点を非常に端的に書いている：DHCP-PD というオプションは「ISP のサポートが必要で、ルーターモードでのみ動作する」——NAS 自身がダイヤルする場合に初めて、NAS がプレフィックスを要求できる。
ブリッジ化そのものがやる価値があるかどうかについては、私はONT / optical modem をブリッジ化した件の記事でコストを計算した：それで得られるのは制御権であり、帯域幅ではない。ただし IPv6 では、制御権の重みは IPv4 より高い。なぜなら、プレフィックスが誰の手にあるかで、firewall が誰の手にあるかが決まるからだ。
ルーター側の設定に小細工はなく、難しいのはタイプを正しく選ぶことだ。ASUS の公式 FAQ には、サポートする7種類の IPv6 接続タイプが列挙されている：Native、静的 IPv6、Passthrough、FLET'S IPv6 Service、および Tunnel 6to4、6in4、6rd の3種類のトンネル。国内の家庭回線では绝大多数 Native を選べば正しい；後ろの数種類のトンネルは歴史的経緯によるものや海外事業者専用の方式で、選び間違えた場合の症状は「有効に見えるが実際には1パケットも出ていかない」であり、しかも調査が難しい。
もう1つ、特に見落とされやすいものがある：ONT / optical modem 自身の IPv6 firewall。ONT / optical modem がルーターモードの場合、インバウンドトラフィックはまず ONT / optical modem にぶつかる。自分のルーター側でどれだけきれいに許可しても、パケットはそもそも入ってきていない——この種の「明らかに有効にしたのに接続できない」は、9割がこの層で詰まる。
第2の関門：IPv6 には NAT がなく、玄関に残るのは firewall という1つの扉だけだ
これは記事全体で最も考え方を変える必要がある段落だ。
IPv4 の時代、私たちは「グローバル IP がなければ安全」に慣れてきた——NAT がついでに外部からのインバウンド要求をすべて遮断していた。もっとも、それは本来の役割ではなかった。IPv6 ではこのバッファ層は存在しない：各デバイスがそれぞれ自分のグローバルアドレスを持ち、ルーターの仕事は「転送」であり、「隠す」ことではない。したがって firewall はもはや任意の強化項目ではなく、唯一の境界だ。
ベンダーのデフォルトもそうなっています。ASUS 公式 FAQ の原文は次のとおりです：router はデフォルトでは、すべての未知のデバイスが LAN に参加すること、または router 経由で内部デバイスにアクセスすることを許可せず、目的は router および後段のデバイスが攻撃を受けるのを避けることです。許可する場合、パスは「firewall > 一般設定 > IPv6 firewall」（デフォルトで有効）で、次に「受信 firewall ルール」でルールを作成します。この FAQ にはいくつかの明確な情報もあります：最大 128 ルール；各ルールにはサービス名、リモート IP または CIDR、ローカル IP、通信 port 範囲、プロトコルを入力する必要があります；さらにこの機能は IPv6 アドレスのみをサポートし、IPv4 を入力しても意味がありません。
この構造に従うと、正しいやり方は実は一言だけです：NAS の port を 1 つだけ許可し、「すべての port、すべての送信元」を開けないことです。
- リモート IP の欄は入力できるなら入力します。これは「これらの送信元だけに進入を許可する」という意味で、空欄（どの送信元からでもアクセスできる）より桁違いに安全です。欠点は、モバイル回線で基地局が変わるとアドレスが変わるため、少し余裕を持たせる必要があることです。
- ローカル IP には NAS の IPv6 アドレスを入力し、port は実際に使う 1 つだけを書きます。DSM の 5000/5001 は管理用の入口なので、公開ネットワークに出さずに済むなら出さないでください；一般的な方法は reverse proxy を経由して 443 だけを開くか、いっそ非標準 port に変えてノイズを減らすことです。
- 「どの送信元でも」を許可する場合、NAS 側の認証を補う必要があります：自動ブロック、アカウント保護、2要素認証の 3 項目は DSM に用意されています。
Synology 側にももう 1 層あります。公式 DSM 機能ページでは、その firewall を「プロファイルベースの IPv4/IPv6 デュアルアーキテクチャ」と説明しており、ルールは IP または port で制限でき、どのインターフェースで有効にするかを決められます。ここで公式ヘルプドキュメントに明記されている詳細が 1 つあり、覚えておく価値があります：NAS が PPPoE で接続している場合、関連する firewall ルールは対応する PPPoE インターフェースに作成する必要がありますLAN インターフェースに作成しても有効になりません。
第 3 の関門：アドレスが変わるので、DDNS が必要です
事業者が提供するプレフィックスにはリース期間があり、ONT の再起動、回線の再ダイヤル、局側の調整などで別のプレフィックスに変わる可能性があります。プレフィックスが変わると、NAS のアドレス全体が変わります——これが「IP を直接覚える」ことが IPv6 では IPv4 より非現実的な理由です：IPv4 アドレスはまだ覚えられますが、IPv6 のあの文字列は誰も覚えません。
良いニュースは、Synology 自身が対応していることです。公式 DSM 機能ページの原文では、Synology は無料の DDNS サービスを提供しており、このサービスは IPv4 と IPv6 をサポートします；SRM（Synology router system）のヘルプページにはもっと断定的に書かれています：「Synology DDNS のみが IPv6 サービスをサポートします」。
パスは「コントロールパネル > 外部アクセス > DDNS」で、追加をクリックし、サービスプロバイダーで Synology を選び、ホスト名に xxx.synology.me を入力し、ついでに Let's Encrypt 証明書と Heartbeat（オフライン通知）にチェックを入れられます——これらの手順はすべて公式ヘルプページに記載されています。
正直に言うと、公式ヘルプページには「外部アドレス」入力欄が1つしか載っていませんが、ネット上の多くのチュートリアルでは新しいバージョンのポップアップがIPv4とIPv6の2列に分かれると述べています。あなたのDSMバージョンがどちらなのかは確認できません。ご自身のマシン上の画面を基準にしてください。IPv6を入力できるならIPv6を入力し、IPv4欄に公衆アドレスがなければ無効にしてください。
独自ドメインをお持ちの場合、またはより頻繁に監視させたい場合は、オープンソースツールのddns-goが一般的な選択肢です。リポジトリはMITライセンスで、READMEにはSynology向けのセクションが専用に用意されており、手順をそのままコピーすればOKです：Package CenterでDockerをインストール → レジストリでddns-goを検索してダウンロード → イメージでjeessy/ddns-goを起動 → 詳細設定のネットワークで「Docker Hostと同じネットワークを使用する」にチェック、自動再起動にチェック → ブラウザで開く http://群晖IP:9876 設定。コマンドライン方式でも可能です：
docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-goデフォルトの動作で注意すべき数字が2つあります：デフォルトで5分ごとに同期し、ページではデフォルトで「公衆ネットワークからのアクセスを禁止する」にチェックが入っています。後者のデフォルト値はオフにしないでください。そのWebページにはドメイン事業者のキーが保存されています。
ついでにDSMのそのページも一通り確認しましょう
DSMのIPv6設定は「コントロールパネル > ネットワーク > ネットワークインターフェース」にあり、ネットワークカードを選択して編集をクリックすると、IPv6タブに3種類のオプションがあります（公式ヘルプページの原文）：
- 自動：ルーターのRA通知に従ってアドレスを生成します。さらにステートレス、ステートレス+DHCPv6、ステートフル（DHCPv6サーバーを有効にしてアドレスプールを入力する必要あり）に細分できます。家庭用ブロードバンドならこれで十分です。
- 手動：IPv6アドレス、プレフィックス長、デフォルトゲートウェイを自分で入力します。プレフィックスが変わる環境では、手動の方がかえって面倒です。
- オフ、および6in4、6to4、DHCP-PD、IPv6 Tunnelingといった過渡的メカニズムがあります。DHCP-PD（NASが自分でダイヤルする場合に使用）を除き、残りは基本的にネイティブIPv6がないネットワーク向けのフォールバックであり、家庭用ブロードバンドでは使いません。
誰も事前に教えてくれない3つの落とし穴
一、相手側にもIPv6が必要。これは最もよくある「設定は完了したのに開けない」ケースです。会社のオフィスネットワークや、多くの商業施設やホテルのWi-FiはIPv6が無効になっており、そうしたネットワークからIPv6アドレスしか持たないドメインにアクセスすると、リクエストは直接失敗します。あなたの設定とは関係ありません。スマホのモバイルデータ通信は現在基本的にIPv6に対応しているので、切り分け時は優先的にモバイルデータ通信で試し、特定のWi-Fiで結論を出さないでください。
二、プレフィックスが変わると、firewall ルールは静かに無効になる。router 内のそのルールの「ローカル IP」には完全なアドレスが入っていて、前半分は事業者から割り当てられたプレフィックスだ。プレフィックスが変わると、このルールは存在しないアドレスを指す——エラーは出ず、単にマッチしなくなり、その結果「突然つながらなくなる」。これが、IPv6 直接接続の安定性の評判が本来あるべきほど良くない理由でもある。自分のやり方は、プレフィックスが頻繁に変わる環境では、ルールと格闘するより、認証を堅実にし、port をできるだけ少なく開けることだ。
三、ドメインに証明書を付けた時点で、それは公開と同じだ。Let's Encrypt で証明書を発行すると、ドメインは証明書透明性ログ（CT）に入る。これは公開照会可能な仕組みであり、脆弱性ではない。さらに DDNS ドメイン自体が推測しやすい（xxx.synology.me のような）ので、これは「自宅に NAS があり、アドレスはここ」と掲示板に貼り出すのと同じだ。使えないという意味ではなく、接続できるかどうかと公開すべきかどうかは別問題だということだ。自分で使うなら自分で使うでよいが、あちこちにアドレスを貼らないこと。
port についてもう一言：家庭用ブロードバンドの 80、443 のインバウンドは、地域の事業者によってポリシーが異なり、直接塞ぐところもある。だから日常的なアクセスは非標準 port を使うか、リバースプロキシ経由にする方が、80/443 に固執するより現実的だ。実際に塞がれているかどうかは、携帯回線で一度試せば分かる。他人の「こちらではできる」を信じるな。
最後に境界の問題：上記はすべて自分の機器へのアクセスについてだ。他人にこのアドレス経由で自分のサイトやサービスへアクセスさせたいなら、それは別の話だ——インターネット向けに情報サービスを提供するには届出が必要で、家庭用ブロードバンドの利用規約でも通常は許可されていない。この記事はその部分には触れず、家庭用ブロードバンドでやることも勧めない。
私の判断：この3タイプでは、答えが異なる。
自宅の IPv6 が安定していて、自分と家族だけが使う場合——やる価値があり、しかもコスパが異常に高い。一度の設定で得られるのは、第三者のリレーを一切経由しない直接接続で、速度上限は自宅ブロードバンドの上りそのものだ；この計算は「上り」の記事で計算した。外でファイルを取得する際の上限は決して NAS ではなく、その 30M の上りだ。
年に3～5回だけ使い、外出先でちょっと写真を見たいだけなら——無理にいじらず、QuickConnect で十分だ。その価値は速さではなく、「何も設定しなくてよく、自宅のドアを開けっ放しにもしない」ことにある。なぜ時々遅いのかはQuickConnect の記事で3段階の接続メカニズムを分解してある。読めば、自分の状況で経路を変える価値があるか分かる。
家庭回線で外部向けサービスを提供したい——おすすめしない。露出面、ICP登録、ブロードバンド契約条項の3つが、いずれもあなたの味方にはならない。どうしてもやるなら、きちんとしたサーバーをレンタルすべきで、家のマシンで代用しないこと。
最後に順序についての提案を一つ。これは私が実際にハマった末の結論だ：まず NAS 上で IPv6 を疎通させ、モバイル回線で直接接続できるようにしてから、DDNS と firewall ルールを考える。順序を逆にすると、ONT / optical modem、router、DDNS の3か所を同時に切り分けることになり、最終的に2番目のステップで諦める可能性が高い。上記の3つの関門は「データが入ってくる方向」で並べたもので、難易度順ではない。
まだ「自分はどのリモートアクセスを選ぶべきか」という段階で止まっているなら、まず次を見てほしい：4つの方式のコスト計算そちらはコスト、ハードル、露出面を、この記事は IPv6 という道を具体的にどう実装するかを扱う。IPv6 がない場合のフォールバック（reverse tunnel / port forwarding の選び方）が、このシリーズの次の話題だ。
本文の根拠：『中国 IPv6 発展報告（2026）』（2026-07-28 発表）、中央ネットワーク安全・情報化委員会『インターネットプロトコル第6版（IPv6）技術革新・融合応用深化実施方案（2026—2030 年）』、Synology 公式 DSM 機能ページと DSM 7 ヘルプドキュメント（DDNS、ネットワーク画面、firewall の3節）、ASUS 公式 FAQ 1013638（IPv6 firewall）と 113990（IPv6 設定）、ddns-go リポジトリの README と LICENSE（10-26 参照）。画面パス、フィールド名、事業者ポリシーはバージョンや地域ごとに異なるため、ご自身の機器上の表示を基準にしてください；「プレフィックス変化によるルール失効」「80/443 の inbound がブロックされる」は経験的判断であり、地域ごとの実測は行っていない。
