Accès distant IPv6 au NAS : comment configurer l’ONT, le firewall et le DDNS

Il y a quelques jours, quelqu'un m'a posé une question : la connexion Internet de la maison n'a pas d'IPv4 publique, QuickConnect est pénible à utiliser, faut-il forcément acheter un relais.

J'ai dit de ne pas dépenser d'argent pour l'instant : activez les données mobiles, désactivez le Wi-Fi, collez l'adresse IPv6 du NAS dans le navigateur et essayez. Après l'essai, il a répondu : pourquoi c'est si rapide.

C'est un peu contre-intuitif — beaucoup de gens s'inquiètent encore de l'« IP publique » alors que la connexion Internet de la maison a déjà discrètement obtenu une IPv6 publique, simplement personne ne l'a libérée sur le router. Cet article traite des trois étapes à franchir après l'avoir libérée : ONT et router, firewall, DDNS.

Vérifiez d'abord une chose : votre maison a peut-être déjà IPv6

Le 28 juillet 2026, lors de la 5e Conférence chinoise sur l'innovation et le développement d'IPv6, le « Rapport sur le développement d'IPv6 en Chine (2026) » a été publié. Deux chiffres du rapport sont assez révélateurs : en décembre 2025, la Chine comptait 869 millions d'utilisateurs actifs d'IPv6, soit 77,38 % des internautes ; en juin 2026, le taux d'activation d'IPv6 des passerelles domestiques du pays atteignait 98,41 %, et le taux de support d'IPv6 des routeurs domestiques personnalisés des opérateurs atteignait 99,12 %.

Le même mois, la Commission centrale pour la cybersécurité et l'informatisation a publié le « Plan de mise en œuvre pour l'approfondissement de l'innovation technologique et de l'application intégrée du protocole Internet version 6 (IPv6) (2026—2030) », qui mentionne la nécessité d'« accélérer l'évolution vers le mono-pile IPv6 ». Traduit pour le lecteur : à l'avenir, obtenir une IPv4 publique ne fera que devenir plus difficile, IPv6 est une orientation à long terme, pas un substitut temporaire.

Donc ne vous précipitez pas pour juger, faites d'abord trois actions :

• Vérifiez si DSM a obtenu une adresse.« Panneau de configuration > Réseau > Interface réseau », sélectionnez la carte réseau en cours d'utilisation, cliquez sur « Modifier », basculez sur l'onglet IPv6. Si ici c'est sur « Automatique » et qu'une série d'adresses s'affiche réellement en dessous, cela signifie que ce niveau est déjà opérationnel.
• Accédez-y une fois via les données mobiles.Désactivez le Wi-Fi, saisissez dans le navigateur http://[你的IPv6地址]:5000— attention, l'adresse doit être entourée de crochets, c'est la notation d'IPv6 dans une URL, sans crochets elle ne s'ouvrira pas directement. Les segments courants des opérateurs chinois commencent par 240e, 2408, 2409 (respectivement plus fréquents chez Telecom, Unicom, Mobile), référez-vous à ce que vous voyez vous-même.
• Confirmez que l'adresse n'est pas un segment interne.Les adresses commençant par fe80 sont des adresses link-local, utilisables uniquement sur le réseau local, elles ne comptent pas ; celles utilisables comme adresses publiques sont les adresses unicast globales du type 2400::/12.

Les trois étapes sont passées, vous disposez alors déjà d'un chemin bien plus rapide qu'un relais, il ne reste plus qu'à le configurer de manière stable.

Premier palier : ONT et router, il faut d'abord que quelqu'un récupère le préfixe

L'IPv6 en accès résidentiel présente une différence fondamentale avec l'IPv4 : il ne vous donne pas une adresse, mais un préfixe, que le router du domicile répartit ensuite entre chaque équipement. Ce préfixe s'appelle en jargon délégation de préfixe, soit PD.

Le point clé réside dans « qui compose le numéro ». Lorsque l'ONT compose lui-même (mode routeur), le préfixe reste entre les mains de l'ONT, le router n'est qu'un routeur secondaire, et vous devrez alors presque inévitablement parcourir les réglages de l'ONT ; ce n'est qu'en passant l'ONT en bridge et en laissant votre propre router composer que le préfixe tombe entre vos mains. La documentation d'aide du DSM de Synology est très explicite à ce sujet : l'option DHCP-PD « nécessite le support de l'ISP et ne fonctionne qu'en mode routeur » — il faut que le NAS compose lui-même pour qu'il puisse demander le préfixe.

La question de savoir si le bridge vaut la peine d'être fait, je l'aidans l'article sur le passage de l'ONT en bridgechiffré : ce qu'il échange, c'est le contrôle, pas la bande passante. Mais pour l'IPv6, le contrôle pèse plus lourd que pour l'IPv4, car celui qui tient le préfixe tient le firewall.

Côté router, la configuration n'a rien de sorcier, la difficulté est de choisir le bon type. La FAQ officielle d'ASUS liste les sept types de connexion IPv6 qu'il prend en charge : Native, IPv6 statique, Passthrough, FLET'S IPv6 Service, ainsi que trois tunnels Tunnel 6to4, 6in4, 6rd. Pour l'accès résidentiel domestique, Native est le bon choix dans l'immense majorité des cas ; les autres tunnels sont des solutions héritées du passé et réservées aux opérateurs étrangers, et un mauvais choix se manifeste par « ça a l'air activé, mais en réalité aucun paquet ne sort », et c'est très difficile à diagnostiquer.

Il y a encore un point particulièrement facile à négliger :le firewall IPv6 de l'ONT lui-même. Lorsque l'ONT est en mode routeur, le trafic entrant heurte d'abord l'ONT. Vous avez beau ouvrir proprement sur votre propre router, le paquet n'est jamais entré — ce genre de « j'ai pourtant activé mais je ne peux pas me connecter » bloque neuf fois sur dix à ce niveau.

Deuxième palier : l'IPv6 n'a pas de NAT, il ne reste que le firewall comme unique porte

C'est le passage de tout l'article qui exige le plus de changer de mentalité.

À l'époque de l'IPv4, nous étions habitués à « pas d'IP publique = sécurité » — le NAT bloquait au passage toutes les requêtes entrantes de l'extérieur, même si ce n'était pas son rôle à l'origine. En IPv6, ce tampon n'existe pas : chaque équipement possède sa propre adresse publique, le travail du router est de « transmettre », pas de « cacher ». Le firewall n'est donc plus un renforcement optionnel, il est la seule frontière.

Les fabricants font par défaut la même chose. Les termes exacts de la FAQ officielle d'ASUS sont les suivants : par défaut, le router n'autorise aucun appareil inconnu à entrer dans le LAN ni à accéder aux appareils internes via le router, afin d'éviter que le router et les appareils en aval ne subissent des attaques. Pour autoriser le passage, le chemin est « firewall > Paramètres généraux > firewall IPv6 » (activé par défaut), puis créer une règle dans « Règles de firewall entrantes ». Cette FAQ donne aussi plusieurs informations concrètes : 128 règles maximum ; chaque règle doit renseigner le nom du service, l'IP distante ou le CIDR, l'IP locale, la plage de ports de communication, le protocole ; et en outrecette fonction ne prend en charge que les adresses IPv6, renseigner une IPv4 ne sert à rien。

Selon cette structure, la bonne approche tient en une phrase : n'autoriser qu'un seul port du NAS, ne pas ouvrir « tous les ports, toutes les sources ».

• Renseignez la colonne IP distante dès que possible. Cela signifie « n'autoriser que ces sources à entrer », ce qui est d'un ordre de grandeur plus sûr que de laisser vide (n'importe quelle source peut frapper). L'inconvénient est que l'adresse du trafic mobile change après un changement de station de base, il faut donc garder une marge.
• Renseignez l'adresse IPv6 du NAS dans l'IP locale, et n'écrivez que le port que vous utilisez réellement. Les 5000/5001 de DSM sont l'entrée d'administration, ne les exposez pas sur l'Internet public si possible ; la pratique courante est de passer par un reverse proxy en n'ouvrant qu'un seul 443, ou simplement de changer pour un port non standard afin de réduire le bruit.
• Si vous autorisez « n'importe quelle source », alors l'authentification côté NAS doit être complétée : blocage automatique, protection des comptes, authentification à deux facteurs, ces trois éléments sont déjà disponibles dans DSM.

Du côté de Synology, il y a aussi une couche. La page officielle des fonctions de DSM décrit son firewall comme une « architecture double IPv4/IPv6 basée sur des profils », les règles pouvant restreindre par IP ou par port et déterminer sur quelle interface elles s'appliquent. Voici un détail explicitement indiqué dans la documentation d'aide officielle qui mérite d'être noté :si le NAS accède à Internet via une connexion PPPoE, les règles de firewall concernées doivent être créées sur l'interface PPPoE correspondante, les créer sur l'interface LAN n'aura aucun effet.

Troisième étape : l'adresse change, il faut donc un DDNS

Le préfixe fourni par l'opérateur a un bail, le redémarrage de l'ONT, la reconnexion de la ligne, un ajustement côté central, peuvent tous changer un segment. Une fois le préfixe changé, toute l'adresse du NAS change — c'est pourquoi « retenir directement l'IP » est encore moins réaliste en IPv6 qu'en IPv4 : une adresse IPv4, vous pouvez encore la mémoriser, mais cette chaîne IPv6, personne ne la mémorise.

La bonne nouvelle est que Synology le prend en charge lui-même. Les termes exacts de la page officielle des fonctions de DSM sont : Synology fournit un service DDNS gratuit,ce service prend en charge IPv4 et IPv6; la page d'aide de SRM (système de router Synology) est encore plus catégorique : « seul Synology DDNS prend en charge le service IPv6 ».

Le chemin est « Panneau de configuration > Accès externe > DDNS », cliquez sur Ajouter, choisissez Synology comme fournisseur de service, saisissez un nom d'hôte xxx.synology.me, et vous pouvez au passage cocher le certificat Let's Encrypt et Heartbeat (rappel de déconnexion) — ces étapes sont toutes listées dans la page d'aide officielle.

Un point que je dois dire honnêtement : la page d'aide officielle ne liste qu'un seul champ « adresse externe », alors que pas mal de tutoriels en ligne disent que la nouvelle fenêtre pop-up est divisée en deux colonnes IPv4 et IPv6. Je ne peux pas confirmer pour toi à quoi ressemble ta version de DSM ; fie-toi à l'interface sur ta propre machine, remplis IPv6 si tu peux, et désactive la colonne IPv4 s'il n'y a pas d'adresse publique.

Si tu as ton propre domaine, ou si tu veux qu'il surveille plus souvent, l'outil open source ddns-go est un choix courant. Le dépôt est sous licence MIT, et le README contient une section dédiée à Synology ; il suffit de suivre les étapes : installer Docker depuis Package Center → rechercher ddns-go dans le registre et le télécharger → lancer jeessy/ddns-go depuis les images → dans les paramètres avancés, cocher « utiliser le même réseau que Docker Host » dans réseau, cocher le redémarrage automatique → ouvrir dans le navigateur http://群晖IP:9876 la configuration. La méthode en ligne de commande fonctionne aussi :

docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go

Deux chiffres sont à surveiller dans son comportement par défaut : une synchronisation toutes les 5 minutes par défaut, et la case « interdire l'accès depuis le réseau public » cochée par défaut sur la page. Ne désactive pas cette dernière valeur par défaut, cette page web contient la clé de ton fournisseur de domaine.

Au passage, vérifie aussi la page DSM

Les paramètres IPv6 de DSM se trouvent dans « Panneau de configuration > Réseau > Interface réseau » ; sélectionne la carte réseau et clique sur modifier ; sous l'onglet IPv6, il y a trois types d'options (texte de la page d'aide officielle) :

• Automatique: génère l'adresse selon les annonces RA du router ; en dessous, on peut encore distinguer sans état, sans état plus DHCPv6, avec état (nécessite d'activer le serveur DHCPv6 et de remplir le pool d'adresses). Pour une connexion domestique, ce choix suffit.
• Manuel: saisir soi-même l'adresse IPv6, la longueur du préfixe, la passerelle par défaut. Dans un environnement où le préfixe change, le mode manuel est en fait plus pénible.
• Désactivé, ainsi que les mécanismes de transition 6in4, 6to4, DHCP-PD et IPv6 Tunneling. À part DHCP-PD (utilisé quand le NAS compose lui-même la connexion), les autres servent essentiellement de solution de repli pour les réseaux sans IPv6 natif, inutiles pour une connexion domestique.

Trois pièges que personne ne te prévient

Un : le côté d'en face doit aussi avoir IPv6.C'est le cas le plus fréquent de « configuré mais impossible d'ouvrir ». Le réseau bureautique de l'entreprise, ainsi que le Wi-Fi de nombreux centres commerciaux et hôtels, ont IPv6 désactivé ; depuis ces réseaux, accéder à un domaine qui n'a qu'une adresse IPv6 échoue directement, indépendamment de ta configuration. Les données mobiles intègrent actuellement presque toujours IPv6, donc pour le dépannage, teste d'abord en données mobiles, ne conclus pas depuis un Wi-Fi spécifique.

Deuxièmement, dès que le préfixe change, les règles du firewall échouent silencieusement.Dans le router, le champ « IP locale » de cette règle contient une adresse complète dont la première partie est le préfixe attribué par l'opérateur. Si le préfixe change, cette règle pointe vers une adresse inexistante — elle ne renvoie pas d'erreur, elle ne correspond simplement plus, et vous vous retrouvez « soudainement incapable de vous connecter ». C'est aussi pourquoi la réputation de stabilité de la connexion directe IPv6 n'est pas aussi bonne qu'elle devrait l'être. Ma propre approche : dans les environnements où le préfixe change fréquemment, plutôt que de s'acharner sur les règles, mieux vaut soigner l'authentification et ouvrir le moins de ports possible.

Troisièmement, dès qu'un nom de domaine est associé à un certificat, il devient public.Lors de l'émission d'un certificat avec Let's Encrypt, le nom de domaine entre dans les journaux de transparence des certificats (CT), un mécanisme publiquement consultable, ce n'est pas une faille. Ajoutez à cela que les noms de domaine DDNS sont faciles à deviner (du type xxx.synology.me), c'est comme écrire « j'ai un NAS à la maison, l'adresse est ici » sur un panneau d'affichage. Cela ne signifie pas qu'il ne faut pas l'utiliser, mais que : pouvoir se connecter et devoir rendre public sont deux questions distinctes. Usage personnel reste usage personnel, n'affichez pas l'adresse partout.

Un mot sur les ports : pour les connexions entrantes sur 80 et 443 en fibre résidentielle, les politiques des opérateurs varient selon les régions, certains les bloquent directement. Donc pour l'accès quotidien, utiliser des ports non standard ou passer par un reverse proxy est plus réaliste que de s'acharner sur 80/443. Pour savoir si c'est bloqué chez vous, un test avec le réseau mobile suffit, ne croyez pas le « chez nous ça marche » des autres.

Enfin la question des limites : tout ce qui précède concerne l'accès à ses propres équipements. Si vous voulez que d'autres accèdent à votre site ou service via cette adresse, c'est une autre affaire — fournir des services d'information internet au public implique un enregistrement administratif, et les conditions de service de la fibre résidentielle ne l'autorisent généralement pas. Cet article ne traite pas de ce sujet et je ne recommande pas d'utiliser une connexion résidentielle pour cela.

Mon jugement : pour ces trois profils, la réponse diffère

IPv6 stable à la maison, usage réservé à soi et à la famille— ça vaut le coup, et le rapport coût-bénéfice est absurdement élevé. Une seule configuration vous offre une connexion directe sans aucun relais tiers, dont le plafond de vitesse est votre débit montant fibre ; ce calcul, je l'ai fait dansl'article sur le débit montant— le plafond quand vous tirez des fichiers de l'extérieur n'a jamais été le NAS, c'est ces 30M de montant.

Usage trois à cinq fois par an, juste pour consulter une photo en déplacement— ne vous embêtez pas, QuickConnect suffit. Sa valeur n'est pas la rapidité, c'est « rien à configurer, et on n'ouvre pas sa porte ». Pourquoi il est parfois lent, j'ai démonté dansl'article sur QuickConnectles trois mécanismes de connexion ; après lecture vous saurez si votre situation mérite de changer de voie.

Vouloir exposer des services vers l'extérieur depuis une connexion résidentielle— déconseillé. Surface d'exposition, enregistrement, conditions du contrat haut débit : les trois ne sont pas de votre côté. Si vous voulez vraiment le faire, louez un vrai serveur, ne faites pas porter ça par la machine à la maison.

Enfin, une suggestion sur l'ordre, c'est ma conclusion après avoir rencontré des problèmes :D'abord faire fonctionner IPv6 sur le NAS, vérifier qu'une connexion directe depuis le réseau mobile fonctionne, puis envisager le DDNS et les règles du firewall.Si vous inversez l'ordre, vous allez devoir diagnostiquer en même temps sur l'ONT, le router et le DDNS, et vous abandonnerez très probablement à la deuxième étape. Les trois étapes ci-dessus sont ordonnées selon « le sens d'arrivée des données », pas selon la difficulté.

Si vous en êtes encore à « quel mode d'accès distant choisir », lisez d'abordle bilan des quatre solutionscet article-là ; il évalue le coût, le seuil d'entrée et la surface d'exposition ; celui-ci explique comment concrétiser la voie IPv6. La solution de repli sans IPv6 (comment choisir le reverse tunnel / port forwarding) sera le prochain sujet de cette série.

Sources de cet article : « Rapport sur le développement d'IPv6 en Chine (2026) » (publié le 2026-07-28), le « Plan de mise en œuvre pour l'innovation technologique et l'application intégrée de la sixième version du protocole Internet (IPv6) (2026—2030) » de la Commission centrale des affaires du cyberespace, les pages officielles des fonctions DSM de Synology et la documentation d'aide DSM 7 (sections DDNS, interface réseau, firewall), les FAQ officielles ASUS 1013638 (firewall IPv6) et 113990 (configuration IPv6), le README et la LICENSE du dépôt ddns-go (consultés le 10-26). Les chemins d'interface, les noms de champs et les politiques des opérateurs varient selon les versions et les régions ; référez-vous à ce qui s'affiche sur vos propres appareils ; « la modification du préfixe invalide les règles » et « le blocage des connexions entrantes sur 80/443 » relèvent de jugements empiriques, sans tests région par région.

Table des matières de tous les articles · Retour à l'accueil