Cómo elegir el acceso remoto al NAS: primero hay que calcular bien las cuentas de las cuatro soluciones

Hace unos días un amigo me preguntó por WeChat: está en su pueblo natal y quería usar el móvil para acceder a las fotos de sus hijos guardadas en el NAS de casa, pero la App se quedaba girando y no conectaba. Le dije que la máquina no estaba rota, era el tema de «cómo conectarse de vuelta a casa desde fuera», algo en lo que él ni siquiera pensó cuando compró el NAS.

Este tipo de problemas los he encontrado demasiadas veces en los últimos dos años. Cuando la gente elige un NAS se fija en bahías, CPU y memoria, pero lo que realmente se usa a diario después de instalarlo es la capacidad de «acceder a los archivos de casa aunque no estés en casa». Y eso no tiene una respuesta estándar, solo varias rutas con sus respectivos compromisos. En este artículo voy a poner las cuentas de las cuatro rutas principales juntas. La conclusión va primero:Para la mayoría de las familias basta con empezar probando el relay que trae el fabricante, y si no alcanza, ir subiendo; no lanzarse directamente a la conexión pública directa desde el principio.

Primero aclaremos una cosa: por qué los dispositivos de casa no pueden conectarse por defecto

La dirección que obtiene tu banda ancha en casa, con alta probabilidad no es una «dirección pública» accesible directamente desde fuera, sino una dirección dentro de la gran red interna del operador, lo que se conoce como NAT o CGNAT. Las direcciones IPv4 se agotaron hace tiempo y hay tantos usuarios de banda ancha residencial que el operador por defecto suele dar una dirección interna; los dispositivos de fuera no pueden obtener la dirección real y, naturalmente, no pueden entrar.

Así que para que se conecten desde fuera solo hay dos direcciones: o buscar la forma de «retransmitir» la petición hacia la red interna, o hacer que los dispositivos de casa «salgan» activamente a encontrarse con una máquina que ya está en la red pública. Las cuatro soluciones siguientes, en el fondo, son implementaciones distintas de estas dos rutas.

Solución uno: dirección pública + DDNS, o conexión directa por IPv6

Esta es la solución teóricamente máxima. Consigues que el operador te dé una dirección pública, luego usas DDNS para vincular la dirección cambiante a un dominio, y desde fuera te conectas directamente a ese dominio para entrar a casa.

Velocidad: sin relay en medio, puede saturar la subida de tu banda ancha. Ojo, es la «subida» — mucha gente solo mira la bajada, pero al traer archivos de casa desde fuera, lo que se atasca es precisamente ese cuello estrecho de la subida; esto ya lo calculé por separado enel artículo de la banda ancha de 3000M.

Coste: un dominio, de unos pocos yuanes a unas decenas de yuanes al año, según el precio actual del registrador.BarreraMedia: la dificultad no está en la configuración, sino en si se puede obtener una dirección pública: las políticas de los operadores varían según la región; en algunas zonas ya casi no se asigna IPv4 pública a la banda ancha residencial, y en otras hay que llamar para solicitarla o contratar un plan específico.

Seguridad: la de mayor superficie de exposición entre las cuatro vías. Una vez que el dispositivo queda directamente expuesto a la red pública, los escáneres de todo el mundo lo detectan rápidamente.Mapear un port hacia fuera equivale a sacar esta máquina de casa a la calle; el ataque y la defensa dependen por completo de la propia configuración.Antes de empezar, al menos primeroel tramo del ONT al routerhay que dejarlo claro, y no exponer también el panel de administración por descuido.

Si no se obtiene IPv4 pública, se puede mirar primero IPv6. Hoy en día muchas regiones asignan IPv6 por defecto a la banda ancha residencial; vinculándola a un dominio con DDNS se puede conectar directamente igual, y la velocidad prácticamente no tiene pérdida. Su inconveniente es que «hace falta en ambos extremos»: al acceder con datos móviles normalmente hay IPv6, pero la red de la oficina no necesariamente; si el extremo que accede no tiene IPv6, esta vía se corta en el acto.

Solución dos: usar el relay propio del fabricante (QuickConnect, UGREEN Cloud, Zspace, FN Connect)

Cada sistema NAS básicamente incluye un «acceso remoto cero configuración», cuyo principio es similar: tu NAS y el servidor de relay del fabricante mantienen una conexión persistente; tú inicias sesión desde fuera con la cuenta del fabricante, la solicitud se reenvía a través del servidor y los datos también pasan por el servidor.

Velocidadlimitada por el ancho de banda del servidor del fabricante, no por el límite de tu banda ancha doméstica. El plan gratuito normalmente solo alcanza para ver álbumes y sacar algún archivo pequeño ocasionalmente; pretender ver video en remoto con él es básicamente irreal.Coste: el plan gratuito sirve para emergencias; si alcanza o no depende de para qué lo uses — el servicio de acceso remoto FN Connect de fnOS empezó a cobrar desde julio de 2025, lo que también indica que esta vía tarde o temprano topará con los límites del plan gratuito.Barrera de entradaMínima, basta con iniciar sesión en la cuenta para usarlo.SeguridadNo abre ningún port de entrada, la superficie expuesta es pequeña, esta es su mayor ventaja, a costa de que los datos pasan por los servidores del fabricante.

Hay otro punto que se suele pasar por alto: este tipo de retransmisión normalmentesolo cubre las pocas aplicaciones integradas del propio fabricante(archivos, álbumes, sincronización, multimedia). Si instalas otros servicios por tu cuenta con Docker en el NAS, todos esos quedan fuera del alcance. Así que al elegir máquina, si ya tienes pensado trastear con servicios autoalojados, esto hay que tenerlo claro de antemano — el "grado de apertura" de la máquina influye más en lo que podrás hacer después que las especificaciones, como también mencioné enese artículo sobre cómo elegir un NAS doméstico.

Solución tres: red entre sedes, llevar los dispositivos externos a la misma red de área local virtual

Este camino es el más popular en los últimos dos años, representado por Tailscale, ZeroTier y el más reciente EasyTier. El principio es asignar una dirección privada a cada dispositivo para que, aunque estén separados por miles de kilómetros, parezcan conectados al mismo switch.

Hay una diferencia esencial entre ellos que vale la pena conocer: Tailscale se basa en WireGuard, opera en la capa de red y gestiona paquetes IP; ZeroTier se asemeja más a simular un switch virtual de capa dos, por lo que puede transportar tráfico de capa dos como el broadcast, e incluso permite usar métodos antiguos como el "Wake-on-LAN". EasyTier es una solución de código abierto más reciente, centrada en la descentralización.

Velocidad: una vez establecida la conexión directa punto a punto, puede saturar tu subida, al mismo nivel que una conexión directa por internet pública; cuando no se logra y se ve forzado a usar retransmisión, la velocidad cae.CosteEl plan gratuito suele ser suficiente para uso doméstico; los límites y políticas específicas cambian según el proveedor en cualquier momento, prevalece lo oficial.Barrera de entradaMedia; en el NAS hay que instalar el cliente, y si surge un problema hay que revisar la documentación y buscar en la comunidad por cuenta propia.

Aquí hay un punto clave para la experiencia en China: los servidores de coordinación y los nodos de retransmisión de respaldo de este tipo de herramientas están mayoritariamente en el extranjero; si la conexión directa no funciona y se recurre a la retransmisión en el extranjero, la latencia y el jitter suben notablemente un escalón.Por lo tanto, tu experiencia real depende en gran medida de la tasa de éxito de "establecer conexión directa" en tu propia red, y esto depende del operador, del tipo de NAT e incluso de la franja horaria; es difícil generalizar. Dicho de paso, tras la popularización de IPv6 la tasa de éxito de este tipo de redes ha mejorado; si quieres conocer primero el upload doméstico y las bases de tu red, puedes revisarel artículo sobre banda ancha de 10 Gby los varios aspectos que se explican allí.

Solución cuatro: túnel autoalojado, alquilar un servidor con IP pública como retransmisor

Si los servicios que necesitas usar no se limitan a los que trae el NAS y no quieres exponer los puertos de casa, puedes considerar alquilar tu propio servidor en la nube con dirección pública, hacer que el NAS se conecte hacia fuera y que el exterior reenvíe a través de este servidor. La práctica habitual es usar herramientas de túnel como frp, con el servidor desplegado en el servidor en la nube.

VelocidadLimitada en ambos extremos; depende tanto del ancho de banda del servidor en la nube como del upload de casa; el extremo más estrecho es el que limita.CosteEs la cuota mensual de un servidor en la nube ligero; los más baratos cuestan decenas de yuanes al mes, según la configuración y las promociones del proveedor; prevalece el precio oficial actual.Barrera de entradaDe las cuatro rutas, es la más alta; tanto el servidor como el cliente deben configurarse por cuenta propia, y la seguridad también corre por tu cuenta.SeguridadEs mejor que la conexión directa a la red pública, porque los dispositivos del hogar no aparecen en la red pública; lo que está delante es ese servidor en la nube; pero ese servidor pasa a ser tu responsabilidad: hay que endurecerlo y actualizarlo a tiempo.

Al elegir un servidor en la nube, no mires solo el eslogan publicitario de «cuántos núcleos y cuántos G»; lo clave es el ancho de banda y la cuota de tráfico, porque el límite superior de velocidad de esta ruta básicamente lo determina eso. Para ver cómo elegir, enla página de selección de servidores en la nubehe organizado una referencia comparativa.

Cuatro soluciones, vistas en conjunto

En la tabla no hay un «cuál es mejor» absoluto, porque quien lo decide nunca eres tú, sino varias condiciones que no puedes controlar: si tu casa puede obtener una dirección pública, para qué lo vas a usar principalmente, y si estás dispuesto a trastear por tu cuenta.

Cómo elegir exactamente

• Solo quieres echar un vistazo ocasional a archivos o álbumes desde fuera: usa primero el relay incluido por el fabricante, configuración cero, si alcanza no te compliques.
• Quieres ver vídeo en remoto y transferir archivos grandes: además del relay del fabricante, añade una vía, ya sea conexión directa por IP pública (incluido IPv6) o red entre ubicaciones; el límite de velocidad de ambas es del mismo orden.
• Muchos dispositivos y además necesitas acceder a servicios autoalojados: la red entre ubicaciones es más cómoda, basta con meter cada dispositivo en la misma red virtual.
• No quieres exponer los puertos de casa y además tienes varios servicios: monta tu propio túnel, con un servidor en la nube por delante haciendo de barrera.
• Te importa la privacidad y no quieres que los datos pasen por servidores ajenos: conexión directa por IP pública o red entre ubicaciones, que los datos vayan punto a punto en lo posible.

Una experiencia general: el orden en la mayoría de los hogares es «primero probar si el relay del fabricante basta, si no, pasar a la red entre ubicaciones, y solo al final considerar la conexión directa por IP pública y el autoalojado». Al revés, abrir puertos públicos de entrada solo para «ir a tope» suele ser cavarse uno mismo su propia fosa.

Una vez activado, lo que más debería preocuparte antes que la velocidad

Antes de las vacaciones del Día Nacional, las autoridades de seguridad pública publicaron un aviso para prevenir el fraude telefónico y en línea (reportaje de China Economic Net del 3 de octubre de 2026), en el que se señalaba específicamente un tipo de táctica: estafadores que se hacen pasar por atención al cliente e inducen a descargar Apps con funciones de «compartir pantalla y control remoto». Este tipo de riesgo no es lo mismo que el acceso remoto autoalojado, pero el principio es el mismo:El control remoto en sí es neutral; lo que falla es «qué herramienta se usa» y «hasta qué punto se conceden permisos».

Un aviso de seguridad del Ministerio de Seguridad del Estado sobre software de control remoto (reportaje de la periodista de CCTV Wang Li) también lo dice de forma muy directa; extracto algunas indicaciones relevantes para el ámbito doméstico:

• No uses software de control remoto de nicho y de origen desconocido. Este tipo de software suele carecer de certificación de seguridad formal y de protección de cifrado; algunos incluso incluyen backdoors en la fase de instalación, y ni siquiera sabes cuándo está transmitiendo datos hacia fuera.
• Conceder todos los permisos del dispositivo de una vez por comodidad y no supervisar en ningún momento equivale a abrir el riesgo de una vez. Tras vincular el dispositivo y autorizar el inicio de sesión, aunque esta conexión se desconecte, los permisos en segundo plano pueden permanecer indefinidamente.
• Revisa periódicamente el software instalado y la lista de autorizaciones; si detectas herramientas remotas desconocidas o registros de autorización que no reconoces, desinstala de inmediato, revoca permisos y cambia contraseñas.

Al aplicar este criterio oficial al NAS doméstico, yo vigilaría estos puntos: mantener el sistema actualizado (los parches suelen corregir precisamente vulnerabilidades explotables de forma remota); no exponer todo el panel de administración a la red pública; si hay que abrirlo, exponer solo la ruta o el port imprescindible, y si no estás seguro, usar primero todo a través de túnel o red privada; cambiar las cuentas por defecto, no usar contraseñas débiles y activar la verificación en dos pasos siempre que sea posible; crear una cuenta separada para el acceso remoto y otorgar permisos mínimos, sin dar permiso de escritura cuando baste con solo lectura; revisar periódicamente los registros de inicio de sesión y los dispositivos autorizados, y tomar en serio cualquier IP desconocida, dispositivo desconocido o momento que no recuerdes.

Para terminar

Recapitulando lo anterior, lo que quería decir al hacer esta tabla se resume en tres frases: primero, «cómo conectarse de vuelta» debe pensarse junto con «qué máquina comprar», no esperes a tenerlo instalado para descubrir que no conecta; segundo, ningún camino es absolutamente mejor, primero mira si tu propia casa puede obtener una dirección pública y luego para qué lo vas a usar principalmente; tercero, habilitar el acceso remoto y la seguridad son dos caras de lo mismo, comodidad y seguridad siempre han sido un intercambio mutuo.

En cuanto al paso concreto de diagnóstico, en este sitio hemos escrito esto, que puedes consultar junto con lo anterior:Tras aumentar la velocidad de banda ancha, la velocidad de red no cambió: revisa uno por uno desde el ONT hasta la tarjeta de red(primero aclara la base de esta línea de casa),Llegó la banda ancha de 3000M: primero mira si tu velocidad de subida es suficiente(El verdadero cuello de botella del acceso remoto está en el enlace ascendente),Cómo elegir un NAS doméstico: primero aclara estas tres cosas(cómo afecta la apertura de la máquina a lo que se puede hacer después).

Los principios de las soluciones mencionadas en el artículo, los momentos en que los servicios remotos de los fabricantes empiezan a cobrar (fnOS FN Connect cobra por el acceso remoto desde julio de 2025, según especificaciones de producto públicas y registros de entradas) y las advertencias de seguridad oficiales provienen de fuentes públicas verificadas; los precios se rigen siempre por el precio oficial vigente de cada fabricante, no he fijado cifras. No he realizado una comparativa de velocidad de varias soluciones bajo condiciones idénticas; los juicios sobre la experiencia se basan en información pública, tómalos como referencia, no como conclusión.

Índice completo de artículos · Volver a la página de inicio