Acceso externo a NAS Synology: por qué QuickConnect es lento

Hace unos días estuve en mi pueblo ayudando a alguien a configurar un NAS. El móvil conectado a 4G, abrí DS file para enseñarle a un familiar las fotos del año pasado, y la barra de progreso avanzaba como si estuviera cargando un juego web. Me preguntó si es que la subida de su banda ancha era muy baja y debía cambiarla. Le dije que no se apresurara a pagar, que ese círculo girando podría no tener nada que ver con la banda ancha.

Problemas similares me preguntan cada mes. El mismo Synology, el mismo QuickConnect ID, algunos lo usan tan rápido como si estuvieran en casa, otros se quedan atascados hasta querer abandonar el acceso remoto — esto no es suerte, ni Synology limitando la velocidad a escondidas. La respuesta está en el white paper oficial, solo que ese documento normalmente nadie va a consultarlo.

No es limitación de velocidad, es que se divide en tres tramos

El white paper de QuickConnect de Synology describe el proceso de establecimiento de una conexión en tres pasos, que se intentan en orden y se detienen al tener éxito:

• Detección de LAN/WAN. El cliente primero solicita al servidor de QuickConnect la información de red registrada de este NAS (IP pública, IP de LAN, tipo de NAT, etc.), y si puede conectar directamente, conecta directamente. Cuando este paso tiene éxito, la velocidad no tiene diferencia con acceder directamente por IP o DDNS.
• Hole punching. Si la conexión directa falla, el NAS y el cliente abren cada uno un port temporal en su propio NAT, y el servidor intercambia la información de los "agujeros" de ambos lados, después de lo cual el tráfico va punto a punto. La descripción oficial de este paso es que el rendimiento es muy cercano al de usar WAN IP/DDNS.
• Relay. Si los dos primeros pasos fallan, los datos primero se envían al servidor de relay de Synology, y luego este los reenvía al NAS. Las palabras originales del white paper vienen a decir que esto traerá una latencia evidente en la transmisión de datos, por eso se deja como último recurso; la página de especificaciones técnicas de DSM también indica que las conexiones vía relay pueden ser más lentas que el port forwarding, porque el camino es más largo, y además las restricciones de operadores en algunas regiones pueden hacer que el relay simplemente no funcione.

Así que la estructura real de "QuickConnect es lento" es: por defecto hará todo lo posible por conectarte directamente, y solo cuando la conexión directa falla se degrada. Que tú vayas lento significa que caíste al tercer tramo — no que te haya limitado la velocidad.

Cómo saber en qué tramo caíste

La interfaz oficial no marca directamente "ahora estás usando relay", al menos yo no encontré esa indicación en DSM, así que solo se puede deducir a partir de los síntomas. Los tres criterios siguientes son los que yo uso habitualmente, son experiencia y no criterio oficial:

• Abre DSM con el QuickConnect ID en la misma Wi-Fi, ¿acaso no se abre al instante? Si es así, el primer tramo funciona correctamente y el problema solo aparece después de "salir de casa".
• Al transferir un archivo grande, ¿la velocidad es notablemente inferior alupstreamde tu banda ancha doméstica? El upstream ya es el techo de este tipo de acceso, y el relay añade otra capa extra; la combinación de ambos hace que uno piense que el disco o el rendimiento del NAS no dan para más.
• ¿Cambiar de red marca mucha diferencia? Que con datos móviles conecte y con la red de la empresa no, o al revés, es la manifestación típica de que la tasa de éxito del hole punching se ve afectada por el tipo de NAT, y no tiene nada que ver con el NAS en sí.

El tercer punto merece especial atención. Muchas redes corporativas y algunas redes de operadores aplican políticas muy estrictas sobre UDP y puertos no convencionales; el hole punching falla casi siempre y solo queda el relay: en ese entorno, da igual lo caro que sea el NAS que pongas.

Dónde está QuickConnect en DSM y qué dos opciones hay que tocar

La ruta es «Panel de control > Acceso externo > QuickConnect» (DSM 7). Marca la casilla de habilitar, introduce un ID único en el mundo y listo. Los usuarios de China continental acceden en el navegador al dominio quickconnect.cn; la documentación oficial de ayuda lo menciona expresamente: «China continental es QuickConnect.cn/example», mientras que en el extranjero es quickconnect.to.

En la misma página hay dos sitios que merece la pena abrir para echar un vistazo:

• La lista de permisos de aplicaciones. QuickConnect no está activo para todos los servicios; la página oficial de especificaciones indica claramente que no admite aplicaciones de terceros, y algunos paquetes que requieren mapear directamente la IP o usar DDNS no funcionan por esta vía. Deja en la lista solo los uno o dos que realmente vayas a usar en remoto y desactiva el resto: cada uno menos es una entrada menos accesible desde fuera.
• El reenvío automático de puertos. La descripción de las especificaciones oficiales dice que se pueden aplicar automáticamente las reglas de reenvío de puertos necesarias en routers compatibles con UPnP. Mi recomendación es no activarlo: el valor de QuickConnect reside precisamente en no tener que abrir agujeros en el router, y esta opción, para que conectes más rápido, se pone a abrir agujeros. Querer ir rápido es comprensible, pero eso equivale a delegar en una casilla de verificación la decisión de "si exponer o no los puertos".

Otras tres vías y dónde está el interruptor de cada una

Uno, DDNS más reenvío de puertos: la velocidad más real, siempre que tengas IPv4 pública

«Panel de control > Acceso externo > DDNS», si eliges Synology como proveedor de servicios obtienes un xxx.synology.me gratuito, y además puedes marcar la casilla del certificado Let's Encrypt y Heartbeat (aviso de desconexión). El port forwarding está en el mismo lugar, en «Configuración del router»; los routers con UPnP lo rellenan automáticamente, y si no pueden, inicia sesión manualmente en el router.

Lo que bloquea a la mayoría en este camino no es la configuración, sino el requisito previo: tras el dial-up de la banda ancha doméstica puede que no obtengas una IPv4 pública, sino una dirección NAT de nivel de operador que empieza por 100.64, y en ese caso el port mapping no funciona de ninguna manera. El método para determinarlo y varias salidas las escribí enel artículo sobre cambiar el ONT a modo bridge, no lo repito aquí.

II. Proxy inverso: abrir solo un 443 hacia fuera

La ruta en DSM 7 es «Panel de control > Portal de inicio de sesión > Avanzado > Servidor proxy inverso» (en la época de DSM 6.2 esta función estaba bajo «Portal de aplicaciones»). Resuelve el problema de "colgar varios servicios bajo un solo dominio": hacia fuera solo se abre el 443, internamente se redirige por subdominio a distintos ports, y DSM, Photos y Drive tienen cada uno su propia dirección, sin necesidad de exponer el 5000/5001 a la red pública.

En la regla se puede marcar HSTS (solo surte efecto en el lado de origen), y también se puede asociar un perfil de control de acceso, permitiendo o denegando según la IP o el segmento de red de origen. Aquí hay un escollo que la documentación oficial indica explícitamente: habilitar simultáneamente el control de acceso y el certificado Let's Encrypt puede provocar que falle la renovación automática del certificado. El orden de actuación para cuando ocurre también lo da la documentación oficial: primero desactivar el control de acceso, renovar manualmente en la página de certificados, y volver a activarlo. Estos detalles no se te ocurren sin leer la documentación.

III. Redes entre ubicaciones: el camino correcto más sencillo cuando no hay IP pública

Synology tiene su propio paquete VPN Server, que admite protocolos estándar como L2TP/IPSec y OpenVPN; quienes no quieran tocar el router ni investigar ports también pueden usar herramientas de red de terceros para "traer de vuelta" el dispositivo externo a la red de casa. Este camino sigue el enfoque de "interconexión de dispositivos" en lugar de "exposición de servicios", es el más amigable para principiantes, a costa de instalar un cliente más y tener una cosa más que mantener.

Una vez activado el acceso remoto, haz primero estas cinco cosas

En cuanto se pueda entrar desde fuera, ya no es solo esa máquina del salón. Las cinco reglas siguientes están todas textualmente en la documentación oficial de Synology, no son invención mía:

• No expongas el port de administración de DSM directamente a la red pública.Por defecto son el 5000 (HTTP) y el 5001 (HTTPS). Las recomendaciones oficiales de hardening también insisten en abrir en el router solo los ports de servicio realmente necesarios. La administración remota va por el 443 del proxy inverso, o directamente por interconexión de red o QuickConnect.
• Bloqueo automático: «Panel de control > Seguridad > Protección > Bloqueo automático». Si la misma IP supera el número de fallos de inicio de sesión en el tiempo configurado, se bloquea; el ámbito de aplicación que enumera la documentación oficial incluye SSH, FTP, WebDAV, inicio de sesión de DSM, etc.
• Protección de cuenta con verificación en dos pasos. La protección de cuenta está en «Seguridad > Cuenta», la verificación en dos pasos en «Personal > Seguridad > Verificación en dos pasos», configúrala con Synology Secure SignIn o Google Authenticator, cualquiera sirve. Estas dos son la última barrera contra "contraseñas descifradas por fuerza bruta".
• HTTPS y certificados. En «Portal de inicio de sesión > DSM» hay dos opciones: "redirigir automáticamente HTTP a HTTPS" y HSTS; la documentación oficial indica claramente que no se deben marcar ambas a la vez, ya que provocará problemas de conexión.
• Cambiar el puerto predeterminado reduce el ruido, pero no es una frontera de seguridad.La documentación oficial incluye el cambio de puerto en la lista de endurecimiento; su función principal es evadir aquellos scripts automatizados que solo escanean puertos predeterminados; quien escanee en serio también lo encontrará. La verdadera frontera son estas dos cosas: "no exponer" y "reforzar la autenticación".

Mi criterio: a qué categoría perteneces

Se dividen en tres tipos de personas, la respuesta es bastante clara.

Lo usas tres o cinco veces al año, solo quieres ver una foto temporalmente o descargar un archivo desde fuera——QuickConnect es suficiente, no te compliques. Su mayor valor para ti no es la velocidad, sino que "no hay que configurar nada y no dejas la puerta de tu casa abierta".

Quieres ver discos 4K originales desde fuera, hacer copia de seguridad del álbum del móvil, o usar los paquetes de DSM como herramienta de oficina——El relay no aguanta, hay que buscar la forma de salir de la tercera sección. Si tienes IPv4 pública, usa DDNS más proxy inverso; si no, considera IPv6 o redes entre sitios. Aquí hay además un techo que se pasa por alto fácilmente: sin importar qué camino tomes, la velocidad de lectura de archivos desde la red externa hacia tu casa nunca superará lasubidade tu casa. Con una banda ancha de gigabit de bajada y 30M de subida, jalar archivos desde fuera se siente como 30Mbps, esto no tiene nada que ver con el rendimiento del NAS——esta cuenta la expliqué enel artículo de subidaCalculado en el artículo anterior.

Usuarios avanzados que quieren conectar varios dispositivos—puedes montar tu propio servidor de retransmisión con IP pública y centralizar los túneles en un solo punto. El precio es cambiar "comodidad" por "una máquina más que mantener y renovar"; si vale la pena depende de cuánto valores tu tiempo; si de verdad vas a hacerlo, puedes consultar cómo elegir la configuración enesta página sobre cómo elegir un servidor en la nube。

Este artículo es solo el comienzo; después vienen cuatro más.

"Acceso externo al NAS de Synology" no se puede cubrir en un solo artículo, así que dividí el resto en varios: cómo habilitar IPv6 paso a paso (los tres eslabones: ONT, firewall y DDNS), cómo elegir una solución de 内网穿透 → reverse tunnel / port forwarding cuando no hay IP pública, cuán peligroso es realmente exponer el puerto de administración a Internet, y si vale la pena mantener QuickConnect a largo plazo.

Si todavía estás en el paso de "cómo calcular el costo de cada una de las cuatro soluciones", mira primerocómo elegir el acceso remoto al NASese artículo, que calcula costos, barreras de entrada y superficie de exposición; este artículo calcula "dónde exactamente debes hacer clic en este Synology que tienes delante".

Este artículo se basa en el documento oficial de Synology "QuickConnect White Paper" (mecanismo de conexión en tres etapas y descripción del relay), la "Guía de inicio rápido para acceso externo al NAS de Synology" (versión actualizada del 2026-06-05), el capítulo de seguridad de la "Guía del usuario de Synology NAS 7.4", el documento oficial "Cómo mejorar la seguridad de Synology NAS" y la página de especificaciones técnicas de DSM. Las rutas de la interfaz y la disponibilidad de los paquetes dependen de la versión de DSM de tu propia máquina; "cómo determinar qué etapa se está usando" es experiencia personal, y el fabricante no ofrece ninguna indicación en la interfaz.

Índice completo de artículos · Volver a la página de inicio