Synology NAS externer Zugriff: Warum QuickConnect langsam ist

Vor ein paar Tagen habe ich zu Hause jemandem geholfen, ein NAS einzurichten. Das Handy war mit 4G verbunden, ich öffnete DS file, um für Verwandte die Fotos vom letzten Jahr durchzublättern, und der Fortschrittsbalken bewegte sich, als würde ein Browserspiel geladen. Er fragte mich, ob der Upload der heimischen Breitbandverbindung zu klein sei und ob er sie wechseln sollte. Ich sagte, er solle nicht sofort Geld ausgeben, dieses Kreisen habe möglicherweise überhaupt nichts mit der Breitbandverbindung zu tun.

Ähnliche Fragen werden tatsächlich jeden Monat gestellt. Beim selben Synology-Gerät und derselben QuickConnect ID ist es bei manchen so schnell, als säße man zu Hause, während es bei anderen so hängt, dass man den Fernzugriff am liebsten ganz aufgeben würde – das ist kein Glück, und Synology drosselt auch nicht heimlich die Geschwindigkeit. Die Antwort steht im offiziellen Whitepaper, nur schlägt niemand dieses Dokument normalerweise auf.

Es ist keine Drosselung, sondern es sind drei Wegabschnitte

Das QuickConnect-Whitepaper von Synology beschreibt den Aufbau einer Verbindung in drei Schritten, die der Reihe nach versucht werden und bei Erfolg stoppen:

• LAN/WAN-Erkennung. Der Client fragt zuerst beim QuickConnect-Server die für dieses NAS registrierten Netzwerkinformationen ab (öffentliche IP, LAN-IP, NAT-Typ usw.) und verbindet direkt, wenn eine Direktverbindung möglich ist. Wenn dieser Schritt gelingt, ist die Geschwindigkeit identisch mit dem Zugriff direkt über IP oder DDNS.
• Hole Punching. Ist die Direktverbindung nicht möglich, öffnen NAS und Client jeweils auf ihrem eigenen NAT einen temporären Port, der Server tauscht die „Loch“-Informationen beider Seiten aus, und danach laufen die Daten Punkt-zu-Punkt. Die offizielle Formulierung zu diesem Schritt lautet, die Leistung sei sehr nahe an WAN-IP/DDNS.
• Relay. Wenn die ersten beiden Schritte fehlschlagen, werden die Daten zuerst an den Relay-Server von Synology geschickt und von dort an das NAS weitergeleitet. Der Wortlaut des Whitepapers besagt im Wesentlichen, dass dies eine deutliche Verzögerung bei der Datenübertragung mit sich bringt und deshalb als letzter Fallback eingeordnet wird; auch die technischen Spezifikationen von DSM stellen klar, dass Verbindungen über Relay langsamer sein können als Port Forwarding, weil der Weg länger ist, und dass Einschränkungen der Provider in manchen Regionen Relay sogar gänzlich unbrauchbar machen können.

Die tatsächliche Struktur von „QuickConnect ist langsam“ ist also: Es versucht standardmäßig mit aller Kraft, eine Direktverbindung herzustellen, und degradiert nur, wenn die Direktverbindung fehlschlägt. Dass es bei dir langsam ist, bedeutet, dass du auf den dritten Abschnitt gefallen bist – und nicht, dass es dich drosselt.

Wie man herausfindet, auf welchen Abschnitt man gefallen ist

Die offizielle Oberfläche zeigt nicht direkt an, „du gehst gerade über Relay“, zumindest habe ich in DSM keine solche Anzeige gefunden, also kann man nur von den Symptomen zurückschließen. Die folgenden drei Kriterien sind meine eigenen üblichen Anhaltspunkte, Erfahrungswerte und keine offizielle Aussage:

• Öffnest du DSM im selben Wi-Fi mit der QuickConnect ID, ist es sofort offen, oder? Wenn ja, funktioniert der erste Abschnitt normal, und das Problem tritt erst auf, nachdem du das Haus verlassen hast.
• Überträgst du eine große Datei, ist die Geschwindigkeit deutlich niedriger als dieUplinkdeines Heimbreitbandanschlusses. Der Uplink ist ohnehin die Obergrenze für diese Art des Zugriffs, und der Relay muss noch eine zusätzliche Schicht umgehen; beides zusammen lässt vermuten, dass die Festplatte oder die NAS-Leistung nicht ausreicht.
• Ist das Ergebnis bei einem anderen Netz deutlich anders? Mobile Daten funktionieren, das Firmennetzwerk nicht, oder umgekehrt – das ist ein typisches Anzeichen dafür, dass die Erfolgsrate beim Hole Punching von der NAT-Typ abhängt und nichts mit der NAS selbst zu tun hat.

Der dritte Punkt ist besonders erwähnenswert. Viele Firmennetzwerke und einige Betreibernetzwerke haben sehr strenge Richtlinien für UDP und ungewöhnliche Ports; Hole Punching schlägt fast immer fehl, und es bleibt nur der Relay – in einer solchen Umgebung ist es egal, wie teuer die NAS ist, die du wechselst.

Wo befindet sich QuickConnect in DSM, und welche zwei Optionen sollten geändert werden

Der Pfad ist „Systemsteuerung > Externer Zugriff > QuickConnect“ (DSM 7). Aktivieren anhaken, eine weltweit eindeutige ID eintragen, fertig. Nutzer in Festlandchina greifen im Browser auf die Domain quickconnect.cn zu – in der offiziellen Hilfedokumentation steht ausdrücklich der Satz „Festlandchina ist QuickConnect.cn/example“, nur im Ausland ist es quickconnect.to.

Auf derselben Seite gibt es zwei Stellen, die einen Blick wert sind:

• Liste der App-Berechtigungen. QuickConnect gilt nicht für alle Dienste; auf der offiziellen Spezifikationsseite steht ausdrücklich, dass Drittanbieter-Apps nicht unterstützt werden, und einige Pakete, die direkt IP oder DDNS zugeordnet werden müssen, funktionieren nicht. Lass in der Liste nur die ein oder zwei Dienste aktiviert, die du wirklich remote nutzt, und schalte den Rest aus – einen weniger zu öffnen bedeutet einen weniger von außen erreichbaren Einstiegspunkt.
• Automatische Portweiterleitung. In den offiziellen Spezifikationen steht die Beschreibung, dass die erforderlichen Portweiterleitungsregeln auf kompatiblen UPnP-Routern automatisch angewendet werden können. Meine Empfehlung ist, es nicht zu aktivieren: Der Wert von QuickConnect liegt gerade darin, keine Löcher im Router öffnen zu müssen, und diese Option öffnet umgekehrt Löcher, damit du schneller verbinden kannst. Der Wunsch nach Geschwindigkeit ist verständlich, aber das bedeutet, die Entscheidung „ob Ports exponiert werden sollen“ einer Checkbox zu überlassen.

Die anderen drei Wege und wo jeweils der Schalter liegt

Erstens, DDNS plus Portweiterleitung: Die Geschwindigkeit ist am solidesten, Voraussetzung ist eine öffentliche IPv4

„Systemsteuerung > Externer Zugriff > DDNS": Wählen Sie als Anbieter Synology, dann erhalten Sie eine kostenlose xxx.synology.me, und Sie können gleichzeitig das Let's Encrypt-Zertifikat und Heartbeat (Ausfallbenachrichtigung) aktivieren. Die Portweiterleitung befindet sich am selben Ort unter „Routerkonfiguration"; bei UPnP-Routern wird sie automatisch eingetragen, andernfalls melden Sie sich manuell am Router an.

Was die meisten Leute auf diesem Weg blockiert, ist nicht die Einrichtung, sondern die Voraussetzung: Nach dem Wählen beim Heimbreitbandanschluss erhält man möglicherweise keine öffentliche IPv4, sondern eine Carrier-Grade-NAT-Adresse, die mit 100.64 beginnt; in diesem Fall funktioniert die Portzuordnung unabhängig von der Konfiguration nicht. Die Beurteilungsmethode und mehrere Auswege habe ich indem Artikel über das Umstellen des ONT auf Bridge-Modusbeschrieben, hier wiederhole ich das nicht.

Zwei, Reverse Proxy: nach außen nur 443 öffnen

Der Pfad in DSM 7 ist „Systemsteuerung > Anmeldeportal > Erweitert > Reverse-Proxy-Server" (in der DSM 6.2-Ära befand sich diese Funktion unter „Anwendungsportal"). Sie löst das Problem „mehrere Dienste unter einer Domain": nach außen wird nur 443 geöffnet, intern wird nach Subdomain auf verschiedene Ports weitergeleitet, DSM, Photos und Drive erhalten jeweils eine eigene Adresse, und 5000/5001 müssen nicht ins öffentliche Netz gestellt werden.

In der Regel können Sie HSTS aktivieren (wirkt nur auf der Quellseite), und Sie können auch ein Zugriffskontrollprofil hinterlegen, das nach Quell-IP oder Netzsegment freigibt oder ablehnt. Hier gibt es eine ausdrücklich in der offiziellen Dokumentation genannte Falle: Wenn Zugriffskontrolle und Let's Encrypt-Zertifikat gleichzeitig aktiviert sind, kann die automatische Verlängerung des Zertifikats fehlschlagen. Die offizielle Reihenfolge für den Umgang damit ist ebenfalls angegeben — zuerst die Zugriffskontrolle deaktivieren, auf der Zertifikatsseite manuell verlängern, dann wieder aktivieren. Auf solche Details kommt man ohne Blick in die Dokumentation nicht.

Drei, Standortübergreifende Vernetzung: der unkomplizierteste reguläre Weg ohne öffentliche IP

Synology selbst hat das VPN Server-Paket, das Standardprotokolle wie L2TP/IPSec und OpenVPN unterstützt; wer den Router nicht anfassen und sich nicht mit Ports beschäftigen möchte, kann auch ein Drittanbieter-Vernetzungstool verwenden, um das externe Gerät „zurück" in das Heimnetz zu holen. Dieser Weg verfolgt den Ansatz „Gerätevernetzung" statt „Dienstexposition", ist für Einsteiger am freundlichsten, kostet aber einen zusätzlichen Client und ein weiteres zu wartendes Element.

Fünf Dinge, die Sie zuerst tun sollten, sobald der Fernzugriff aktiviert ist

Sobald von außen zugegriffen werden kann, ist es nicht mehr nur die Maschine im Wohnzimmer. Die folgenden fünf Punkte stehen alle im Original in der offiziellen Synology-Dokumentation, sie sind nicht von mir erfunden:

• Stellen Sie den DSM-Verwaltungsport nicht direkt ins öffentliche Netz.Standardmäßig sind es 5000 (HTTP) und 5001 (HTTPS). Auch in den offiziellen Härtungsempfehlungen wird betont, am Router nur die tatsächlich benötigten Dienstports zu öffnen. Für die Fernverwaltung nutzen Sie den 443 des Reverse Proxy oder gehen gleich über Vernetzung bzw. QuickConnect.
• Automatische Blockierung: „Systemsteuerung > Sicherheit > Schutz > Automatische Blockierung". Wenn dieselbe IP innerhalb eines festgelegten Zeitraums die zulässige Anzahl fehlgeschlagener Anmeldungen überschreitet, wird sie blockiert; der offiziell angegebene Geltungsbereich umfasst SSH, FTP, WebDAV, DSM-Anmeldung und weitere.
• Kontoschutz mit Zwei-Faktor-Authentifizierung. Kontoschutz unter „Sicherheit > Konto", Zwei-Faktor-Authentifizierung unter „Persönlich > Sicherheit > Zwei-Faktor-Authentifizierung", entweder mit Synology Secure SignIn oder Google Authenticator. Diese beiden sind die letzte Verteidigungslinie gegen „geknackte Passwörter".
• HTTPS und Zertifikate. Unter „Anmeldeportal > DSM" gibt es die beiden Optionen „HTTP automatisch auf HTTPS umleiten" und HSTS; laut offizieller Dokumentation sollten beide nicht gleichzeitig aktiviert werden, da dies zu Verbindungsproblemen führt.
• Das Ändern des Standard-ports reduziert Rauschen, ist aber keine Sicherheitsgrenze.Offiziell ist die Portänderung in der Härtungscheckliste aufgeführt; ihr Zweck besteht hauptsächlich darin, automatisierte Skripte zu umgehen, die nur Standard-ports scannen; wer gezielt scannt, findet ihn trotzdem. Die eigentliche Grenze sind die beiden Dinge „nicht exponieren und starke Authentifizierung".

Meine Einschätzung: Zu welcher Kategorie du gehörst

Drei Typen, die Antwort ist ziemlich klar.

Drei- bis fünfmal im Jahr, nur mal eben von unterwegs ein Foto anschauen oder eine Datei herunterladen— QuickConnect reicht, kein Herumgefummel. Der größte Wert für dich ist nicht die Geschwindigkeit, sondern „nichts konfigurieren zu müssen und die eigene Tür nicht offen stehen zu lassen".

Von unterwegs 4K-Originaldiscs schauen, Handy-Alben sichern oder DSM-Pakete als Bürowerkzeug nutzen— Relay hält das nicht aus, man muss aus dem dritten Abschnitt herauskommen. Mit öffentlicher IPv4: DDNS plus Reverse Proxy; ohne: IPv6 oder standortübergreifendes Netzwerk in Betracht ziehen. Hier gibt es noch eine leicht übersehene Obergrenze: Egal welchen Weg man wählt, die Lesegeschwindigkeit von Dateien aus dem eigenen Zuhause über das externe Netz überschreitet nie dieUplinkdes eigenen Anschlusses. Bei einem Breitbandanschluss mit Gigabit-Downstream und 30M-Uplink fühlt sich das Ziehen von Dateien von unterwegs wie 30Mbps an — das hat nichts mit der NAS-Leistung zu tun — diese Rechnung habe ich imUplink-ArtikelHabe ich dort berechnet.

Bastler, die mehrere Geräte anbinden wollen— man kann sich selbst eine Relay-Maschine mit öffentlicher IP einrichten und die Tunnel zentral an einer Stelle verwalten. Der Preis dafür ist, dass man „einfach" gegen „eine weitere Maschine, die gewartet und bezahlt werden muss" eintauscht; ob sich das lohnt, hängt davon ab, wie viel dir deine Zeit wert ist; wenn du es wirklich angehen willst, findest du zur Auswahl der Konfigurationdiese Seite zur Auswahl von Cloud-Servern。

Dieser Beitrag ist ein Anfang, es folgen noch vier weitere

„Synology NAS von außen erreichbar machen" lässt sich nicht in einem Beitrag abhandeln, ich teile den Rest auf: wie man IPv6 Schritt für Schritt durchbringt (drei Stationen: ONT, firewall, DDNS), wie man bei fehlender öffentlicher IP das 内网穿透 → reverse tunnel / port forwarding-Schema auswählt, wie gefährlich es ist, den Verwaltungs-port ins öffentliche Netz zu stellen, und ob QuickConnect es wert ist, langfristig behalten zu werden.

Wenn du noch bei der Frage stehst, „wie die Kosten der vier Varianten jeweils aussehen", lies zuerstNAS-Fernzugriff: wie auswählenjenen Beitrag, er berechnet Kosten, Hürden und Angriffsfläche; dieser Beitrag berechnet, „wo genau du bei dieser konkreten Synology klicken musst".

Dieser Beitrag basiert auf dem offiziellen Synology „QuickConnect Whitepaper" (Drei-Segment-Verbindungsmechanismus und Relay-Erläuterung), dem „Synology NAS External Access Quick Start Guide" (aktualisierte Version vom 2026-06-05), dem Sicherheitskapitel des „Synology NAS User Guide 7.4", dem offiziellen „How to Enhance Synology NAS Security" und den DSM-Technischen Daten. UI-Pfade und Paketverfügbarkeit richten sich bitte nach der DSM-Version auf deiner eigenen Maschine; „woran man erkennt, welches Segment durchlaufen wird" ist persönliche Erfahrung, die offizielle Seite bietet keine UI-Kennzeichnung.

Vollständiges Artikelverzeichnis · Zurück zur Startseite