Acceso remoto IPv6 al NAS: cómo configurar el ONT, el firewall y DDNS

Hace unos días alguien me preguntó: en casa el ancho de banda no tiene IPv4 pública, QuickConnect resulta incómodo de usar, ¿acaso solo queda comprar un relay?

Le dije que no gastara dinero todavía: activa los datos móviles, apaga el Wi-Fi y pega la dirección IPv6 del NAS en el navegador para probar. Después de probarlo respondió: qué rápido.

Esto es un poco contraintuitivo: mucha gente sigue preocupada por la "IP pública" cuando en realidad esa conexión de banda ancha de casa ya ha emitido una IPv6 pública en silencio, solo que nadie la ha liberado en el router. Este artículo trata de las tres barreras que hay que superar después de liberarla: el ONT y el router, el firewall y el DDNS.

Primero confirma una cosa: puede que tu casa ya tenga IPv6

El 28 de julio de 2026, en la Quinta Conferencia de Innovación y Desarrollo de IPv6 de China se publicó el «Informe de Desarrollo de IPv6 en China (2026)». Dos cifras del informe lo dicen bastante claro: a diciembre de 2025, los usuarios activos de IPv6 en China eran 869 millones, el 77,38% de los internautas; a junio de 2026, la tasa de activación de IPv6 en las pasarelas domésticas del país era del 98,41%, y la tasa de soporte de IPv6 en los routers domésticos personalizados por los operadores era del 99,12%.

Ese mismo mes, la Comisión Central de Ciberseguridad emitió el «Plan de Implementación para Profundizar la Innovación Tecnológica y la Aplicación Integrada del Protocolo de Internet versión 6 (IPv6) (2026—2030)», en el que se menciona "acelerar la evolución hacia IPv6 de pila única". Traducido para el lector: en adelante conseguir una IPv4 pública solo será más difícil; IPv6 es la dirección a largo plazo, no un sustituto temporal.

Así que no te apresures a juzgar; primero haz tres acciones:

• Comprueba si DSM ha obtenido una dirección.«Panel de control > Red > Interfaz de red», selecciona la tarjeta de red que estás usando, haz clic en «Editar» y cambia a la pestaña IPv6. Si aquí está en «Automático» y debajo realmente aparece una cadena de dirección, significa que esta capa ya está conectada.
• Accede una vez usando datos móviles.Apaga el Wi-Fi e introduce en el navegador http://[你的IPv6地址]:5000—ojo, la dirección debe ir entre corchetes, que es la forma de escribir IPv6 en una URL; sin corchetes no abre directamente. Los segmentos comunes de los operadores chinos empiezan por 240e, 2408, 2409 (más frecuentes en Telecom, Unicom y Mobile respectivamente); guíate por lo que veas tú mismo.
• Confirma que la dirección no es un segmento de red interna.Las que empiezan por fe80 son direcciones link-local, solo sirven dentro de la LAN y no cuentan; las que pueden usarse como dirección pública son direcciones unicast globales como 2400::/12.

Si has pasado los tres pasos, ya tienes en tus manos una ruta mucho más rápida que el relay; lo que queda es solo configurarla de forma estable.

Primera barrera: el ONT / optical modem y el router; primero alguien tiene que obtener el prefijo

La banda ancha doméstica IPv6 tiene una diferencia fundamental respecto a IPv4: no te da una dirección, sino un prefijo, y luego el router de casa reparte ese prefijo entre cada dispositivo. El término técnico para este prefijo es delegación de prefijo, es decir, PD.

La clave está en "quién marca". Cuando el ONT / optical modem marca por sí mismo (modo router), el prefijo está en manos del ONT / optical modem y el router es solo un router secundario; en ese caso, casi con certeza tendrás que entrar en el ONT / optical modem y revisar la configuración. Solo cuando el ONT / optical modem pasa a bridge y tu propio router marca, el prefijo queda en tus manos. La documentación de ayuda de DSM de Synology lo dice muy claramente: la opción DHCP-PD "requiere soporte del ISP y solo funciona en modo router"; solo si el NAS marca por sí mismo puede pedir el prefijo.

Si vale la pena hacer el bridge en sí, ya lo calculé enel artículo sobre cambiar el ONT / optical modem a bridge: lo que se intercambia es control, no ancho de banda. Pero para IPv6, el control pesa más que en IPv4, porque quien tiene el prefijo tiene el firewall.

La configuración del lado del router no tiene nada complicado; lo difícil es elegir bien el tipo. La FAQ oficial de ASUS enumera sus siete tipos de conexión IPv6 compatibles: Native, IPv6 estática, Passthrough, FLET'S IPv6 Service, y los tres túneles Tunnel 6to4, 6in4 y 6rd. En la mayoría de las bandas anchas domésticas de China basta con elegir Native; los otros tipos de túnel son soluciones heredadas y específicas de operadores extranjeros. Si eliges mal, el síntoma es "parece que está activado, pero en la práctica no sale ni un paquete", y además es difícil de diagnosticar.

Hay otra cosa que se pasa por alto con especial facilidad:el firewall IPv6 del propio ONT / optical modem. Cuando el ONT / optical modem está en modo router, el tráfico entrante choca primero con el ONT / optical modem. Por muy bien que habilites el paso en tu propio router, si el paquete nunca llegó a entrar, este tipo de "lo he activado claramente pero no puedo conectarme" se atasca en este nivel nueve de cada diez veces.

Segunda barrera: IPv6 no tiene NAT; en la puerta solo queda el firewall como única barrera

Este es el párrafo de todo el artículo en el que más hay que cambiar de mentalidad.

En la era IPv4, nos acostumbramos a que "no tener IP pública equivale a estar seguro": NAT bloqueaba de paso todas las solicitudes entrantes de fuera, aunque en realidad esa no fuera su función. En IPv6 esa capa de amortiguación no existe: cada dispositivo tiene su propia dirección pública, y la tarea del router es "reenviar", no "esconder". Por eso el firewall ya no es un elemento opcional de refuerzo, sino la única frontera.

Los fabricantes también lo hacen así por defecto. Las palabras textuales de la FAQ oficial de ASUS son: el router, en estado predeterminado, no permite que todos los dispositivos desconocidos entren en la LAN ni accedan a dispositivos internos a través del router, con el objetivo de evitar que el router y los dispositivos posteriores sufran ataques. Para permitirlo, la ruta es «firewall > configuración general > firewall IPv6» (habilitado por defecto), y luego crear una regla en «reglas de firewall entrantes». Esta FAQ también proporciona varios datos concretos: máximo 128 reglas; cada una debe rellenar nombre del servicio, IP remota o CIDR, IP local, rango de puertos de comunicación, protocolo; y ademásesta función solo admite direcciones IPv6, rellenar IPv4 no sirve。

Según esta estructura, la postura correcta se resume en una sola frase: permite solo un port del NAS, no abras "todos los ports, todas las fuentes".

• Si puedes rellenar el campo de IP remota, rellénalo. Significa "solo permitir la entrada desde estas fuentes", lo cual es un orden de magnitud más seguro que dejarlo vacío (cualquier fuente puede entrar). La desventaja es que la dirección del tráfico móvil cambia al cambiar de estación base, así que hay que dejar cierto margen.
• En IP local pon la dirección IPv6 del NAS, y en port escribe solo el que realmente vayas a usar. Los 5000/5001 de DSM son la entrada de administración; si puedes no exponerlos a la red pública, no lo hagas; la práctica habitual es usar un reverse proxy abriendo solo un 443, o directamente cambiar a un port no estándar para reducir el ruido.
• Si lo que se permite es "cualquier fuente", entonces la autenticación del lado del NAS debe completarse: bloqueo automático, protección de cuentas y verificación en dos pasos; estas tres opciones ya existen en DSM.

Del lado de Synology también hay una capa. La página oficial de funciones de DSM describe su firewall como "arquitectura dual IPv4/IPv6 basada en perfiles", las reglas pueden restringir por IP o port y determinar en qué interfaz surten efecto. Aquí hay un detalle especificado en la documentación de ayuda oficial que vale la pena recordar:Si el NAS se conecta a Internet mediante marcación PPPoE, las reglas de firewall correspondientes deben crearse en la interfaz PPPoE correspondiente, crearlas en la interfaz LAN no surtirá efecto.

Tercera barrera: la dirección cambia, así que se necesita DDNS

El prefijo que te asigna el operador tiene un periodo de arrendamiento; reiniciar el ONT, remarcar la línea o ajustes en la central pueden cambiarlo. Cuando el prefijo cambia, toda la dirección del NAS cambia — por eso "recordar la IP directamente" en IPv6 es menos realista que en IPv4: una dirección IPv4 aún puedes memorizarla, pero esa cadena de IPv6 nadie se la memoriza.

La buena noticia es que Synology lo soporta por sí mismo. Las palabras textuales de la página oficial de funciones de DSM son: Synology ofrece un servicio DDNS gratuito,este servicio admite IPv4 e IPv6; la página de ayuda de SRM (sistema de router de Synology) lo dice de forma más categórica: "solo Synology DDNS admite el servicio IPv6".

La ruta está en «Panel de control > Acceso externo > DDNS», haz clic en añadir, selecciona Synology como proveedor de servicios, rellena un nombre de host xxx.synology.me, y de paso puedes marcar el certificado Let's Encrypt y Heartbeat (aviso de desconexión) — estos pasos están listados en la página de ayuda oficial.

Una cosa tengo que decir con sinceridad: la página de ayuda oficial solo muestra un campo de entrada de «dirección externa», mientras que muchos tutoriales en línea dicen que en la nueva versión del cuadro de diálogo se divide en dos columnas, IPv4 e IPv6. No puedo confirmarte cómo se ve tu versión de DSM; guíate por la interfaz de tu propia máquina. Si puedes rellenar IPv6, rellena IPv6; si la columna IPv4 no tiene dirección pública, desactívala.

Si tienes tu propio dominio, o quieres que lo monitorice con más frecuencia, la herramienta de código abierto ddns-go es una opción habitual. El repositorio tiene licencia MIT, y el README incluye una sección específica para Synology; basta con seguir los pasos tal cual: instalar Docker desde Package Center → buscar ddns-go en el registro y descargarlo → iniciar jeessy/ddns-go desde image → en la configuración avanzada, en red, marcar «usar la misma red que Docker Host» y activar el reinicio automático → abrir en el navegador http://群晖IP:9876 la configuración. También vale la vía de línea de comandos:

docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go

En su comportamiento predeterminado hay dos números a tener en cuenta: por defecto sincroniza cada 5 minutos, y la página marca por defecto «prohibir el acceso desde la red pública». No desactives este último valor predeterminado: esa página web guarda las claves de tu proveedor de dominios.

De paso, revisa también esa página de DSM

La configuración de IPv6 de DSM está en «Panel de control > Red > Interfaz de red»; selecciona la tarjeta de red y pulsa editar. En la pestaña IPv6 hay tres tipos de opciones (texto original de la página de ayuda oficial):

• Automático: genera la dirección según los anuncios RA del router; debajo aún se puede subdividir en sin estado, sin estado más DHCPv6, y con estado (requiere activar el servidor DHCPv6 y rellenar el pool de direcciones). Para una conexión doméstica basta con elegir esta.
• Manual: rellenas tú mismo la dirección IPv6, la longitud del prefijo y la puerta de enlace predeterminada. En entornos donde el prefijo cambia, lo manual resulta más engorroso.
• Desactivado, así como los mecanismos de transición 6in4, 6to4, DHCP-PD e IPv6 Tunneling. Salvo DHCP-PD (que se usa cuando el NAS marca por sí mismo), los demás sirven básicamente como respaldo para redes sin IPv6 nativo; en una conexión doméstica no hacen falta.

Tres trampas que nadie te cuenta de antemano

Uno: el otro extremo también debe tener IPv6.Este es el caso más común de «ya está configurado pero no abre». La red de oficina de la empresa y el Wi-Fi de muchos centros comerciales y hoteles tienen IPv6 desactivado; al acceder desde esas redes a un dominio que solo tiene dirección IPv6, la solicitud falla directamente, sin relación con tu configuración. Los datos móviles actualmente casi siempre incluyen IPv6, así que al diagnosticar, prueba primero con datos móviles y no saques conclusiones desde un Wi-Fi concreto.

II. Cuando el prefijo cambia, las reglas del firewall dejan de funcionar silenciosamente.La "IP local" de esa regla en el router es una dirección completa, cuya primera mitad es el prefijo asignado por el operador. Si el prefijo cambia, esa regla apunta a una dirección inexistente: no da error, simplemente deja de coincidir, y entonces "de repente ya no puedes conectarte". Esta es también la razón por la que la reputación de estabilidad de la conexión directa IPv6 no es tan buena como debería ser. Mi propio enfoque es: en entornos donde el prefijo cambia con frecuencia, en lugar de pelearse con las reglas, es mejor reforzar bien la autenticación y abrir el menor número de ports posible.

III. Una vez que un dominio tiene certificado, equivale a ser público.Al emitir un certificado con Let's Encrypt, el dominio entra en los Certificate Transparency Logs (CT), un mecanismo de consulta pública, no una vulnerabilidad. Sumado a que el dominio DDNS en sí es fácil de adivinar (tipo xxx.synology.me), equivale a escribir en un tablón de anuncios "tengo un NAS en casa, la dirección es esta". Esto no significa que no se pueda usar, sino que indica: poder conectarse y deber ser público son dos cuestiones distintas. Si es para uso propio, úsalo para ti, no andes pegando la dirección por todas partes.

Aparte, una nota sobre los ports: para el tráfico entrante a 80 y 443 en banda ancha doméstica, las políticas varían según el operador, y algunos los bloquean directamente. Por eso, para el acceso diario es más realista usar ports no estándar o tirar de un proxy inverso, que obstinarse con 80/443. Para saber si lo bloquean concretamente, basta con probar una vez con datos móviles; no te fíes del "aquí sí se puede" de otros.

Por último, la cuestión de los límites: todo lo anterior trata del acceso a tus propios dispositivos. Si quieres que otros accedan a tu sitio web o servicios a través de esta dirección, eso es otro asunto: ofrecer servicios de información a Internet implica registro administrativo, y los términos de servicio de la banda ancha doméstica normalmente tampoco lo permiten. Este artículo no cubre esa parte, y tampoco recomiendo usar banda ancha doméstica para ello.

Mi criterio: para estos tres tipos de personas, la respuesta es distinta

IPv6 estable en casa, solo para uso propio y de la familia—Vale la pena, y la relación calidad-precio es absurdamente alta. Una sola configuración te da una conexión directa que no pasa por ningún relé de terceros; el límite de velocidad es tu velocidad de subida de banda ancha. Esta cuenta ya la calculé enel artículo sobre subida—el techo al descargar archivos desde fuera nunca es el NAS, son esos 30M de subida.

Usarlo tres o cinco veces al año, solo para ver una foto temporalmente desde fuera—No te compliques, QuickConnect es suficiente. Su valor no es la velocidad, sino "no hay que configurar nada y no dejas la puerta de casa abierta". Sobre por qué a veces va lento, enel artículo de QuickConnectdesglosé los tres mecanismos de conexión; después de leerlo sabrás si tu caso merece la pena cambiar de ruta.

Querer exponer servicios al exterior usando la conexión de banda ancha doméstica——No se recomienda. Superficie de exposición, registro, términos del contrato de banda ancha: ninguno de los tres está de tu lado. Si de verdad quieres hacerlo, alquila un servidor en condiciones, no uses la máquina de casa para suplirlo.

Por último, una sugerencia sobre el orden, esta es mi conclusión después de haber pisado el palo:Primero pon en marcha IPv6 en el NAS y consigue conexión directa usando datos móviles, luego considera DDNS y las reglas del firewall.Si inviertes el orden, acabarás diagnosticando simultáneamente en el ONT, el router y el DDNS, y con alta probabilidad abandonarás en el segundo paso. Los tres obstáculos anteriores están ordenados según "la dirección en la que entran los datos", no por dificultad.

Si todavía estás en el paso de "cuál método de acceso remoto debo elegir", mira primeroLas cuentas de las cuatro solucionesese artículo, que calcula costo, barrera de entrada y superficie de exposición; este artículo calcula cómo aterrizar concretamente el camino de IPv6. La solución de respaldo sin IPv6 (cómo elegir 内网穿透 → reverse tunnel / port forwarding), es el siguiente tema de esta serie.

Base de este artículo: 《Informe de Desarrollo de IPv6 de China (2026)》 (publicado el 2026-07-28), el 《Plan de Implementación para Profundizar la Innovación Tecnológica y la Aplicación Integrada del Protocolo de Internet Versión 6 (IPv6) (2026—2030)》 de la Comisión Central de Ciberseguridad e Informatización, la página oficial de funciones de DSM de Synology y la documentación de ayuda de DSM 7 (secciones DDNS, interfaz de red y firewall), las FAQ oficiales de ASUS 1013638 (firewall IPv6) y 113990 (configuración IPv6), el README y la LICENSE del repositorio ddns-go (leídos el 10-26). Las rutas de interfaz, los nombres de campos y las políticas de los operadores varían según versión y región; prevalece lo que muestre tu propio dispositivo; "el cambio de prefijo invalida las reglas" y "el tráfico entrante a 80/443 está bloqueado" son juicios empíricos, sin pruebas por región.

Directorio de todos los artículos · Volver a la página de inicio