Accès externe au NAS Synology : pourquoi QuickConnect est lent

Ces derniers jours, j'ai aidé quelqu'un au village à configurer un NAS. Le téléphone était connecté en 4G, j'ai ouvert DS file pour montrer à un proche des photos prises l'année dernière, et la barre de progression avançait comme si elle chargeait un jeu web. Il m'a demandé si la bande passante montante de sa box était trop faible et s'il devait en changer. J'ai répondu de ne pas se précipiter pour payer, que cette roue qui tourne n'avait probablement rien à voir avec la bande passante.

Des problèmes similaires me sont posés chaque mois. Sur le même Synology, avec le même QuickConnect ID, certains l'utilisent aussi vite que s'ils étaient assis à la maison, d'autres rament au point de vouloir abandonner l'accès distant — ce n'est ni de la chance, ni un bridage caché de Synology. La réponse figure dans le livre blanc officiel, sauf que personne ne va consulter ce document en temps normal.

Ce n'est pas un bridage, c'est un trajet en trois segments

Le livre blanc QuickConnect de Synology décrit l'établissement d'une connexion en trois étapes, tentées dans l'ordre, avec arrêt dès que l'une réussit :

• Détection LAN/WAN. Le client demande d'abord au serveur QuickConnect les informations réseau enregistrées par ce NAS (IP publique, IP locale, type de NAT, etc.), et se connecte directement si possible. Quand cette étape réussit, la vitesse est identique à un accès direct par IP ou DDNS.
• Perforation NAT. Si la connexion directe échoue, le NAS et le client ouvrent chacun un port temporaire sur leur NAT respectif, le serveur échange les informations des deux « ouvertures », puis le trafic passe en point à point. La formulation officielle pour cette étape est que les performances sont très proches d'un accès par WAN IP/DDNS.
• Relais. Si les deux premières étapes échouent, les données sont d'abord envoyées au serveur relais de Synology, qui les transmet ensuite au NAS. Le livre blanc dit en substance que cela introduit une latence de transfert notable, d'où sa place en dernier recours ; la page des spécifications techniques de DSM précise aussi qu'une connexion relayée peut être plus lente qu'un port forwarding, car le chemin est plus long, et que dans certaines régions les restrictions des opérateurs peuvent rendre le relais tout simplement inutilisable.

La vraie structure de « QuickConnect est lent » est donc la suivante : par défaut, il fait de son mieux pour établir une connexion directe, et ne dégrade qu'en cas d'échec. Si c'est lent, c'est que vous êtes tombé sur le troisième segment — et non qu'il vous a bridé.

Comment savoir sur quel segment on est tombé

L'interface officielle n'indique pas directement « vous passez actuellement par le relais », du moins je n'ai pas trouvé cet affichage dans DSM, il faut donc déduire à partir des symptômes. Les trois critères ci-dessous sont ceux que j'utilise habituellement, ils relèvent de l'expérience et non d'une source officielle :

• Ouvrir DSM avec l'ID QuickConnect sous le même Wi-Fi, est-ce instantané ? Si oui, le premier segment fonctionne normalement, le problème n'apparaît qu'« une fois sorti de chez soi ».
• Transférer un gros fichier, la vitesse est-elle nettement inférieure à l'uploadde votre connexion haut débit domestique ? L'upload est déjà le plafond de ce type d'accès, le relais ajoute encore une couche, et la superposition des deux laisse croire que le disque ou les performances du NAS sont en cause.
• Changer de réseau change-t-il beaucoup le résultat ? Le trafic mobile passe, le réseau de l'entreprise ne passe pas, ou l'inverse : c'est la manifestation typique d'un taux de réussite du hole punching dépendant du type de NAT, sans rapport avec le NAS lui-même.

Le troisième point mérite particulièrement d'être noté. Beaucoup de réseaux d'entreprise et certains réseaux d'opérateurs appliquent des politiques très strictes sur UDP et les ports non standard ; le hole punching échoue presque systématiquement et seul le relais reste possible — dans un tel environnement, quel que soit le prix du NAS, le résultat est identique.

Où se trouve QuickConnect dans DSM, quelles deux options faut-il modifier

Le chemin est « Panneau de configuration > Accès externe > QuickConnect » (DSM 7). Cochez l'activation, saisissez un ID unique au monde, et c'est terminé. Les utilisateurs de Chine continentale accèdent dans le navigateur au domaine quickconnect.cn — la documentation d'aide officielle précise explicitement « Chine continentale : QuickConnect.cn/example », quickconnect.to étant réservé à l'étranger.

Sur la même page, deux endroits méritent un coup d'œil :

• La liste des autorisations d'application. QuickConnect ne s'applique pas à tous les services ; la page de spécifications officielle indique clairement que les applications tierces ne sont pas prises en charge, et certains paquets nécessitant un mappage direct d'IP ou de DDNS ne passent pas. Ne gardez dans la liste que les un ou deux services que vous utilisez réellement à distance, désactivez le reste — une ouverture en moins, c'est une entrée de moins accessible depuis l'extérieur.
• La redirection automatique de ports. La description des spécifications officielles indique que les règles de redirection de ports nécessaires peuvent être appliquées automatiquement sur les routeurs compatibles UPnP. Mon conseil est de ne pas l'activer : la valeur de QuickConnect réside précisément dans le fait de ne pas avoir à percer de trous sur le routeur, or cette option, pour vous connecter plus vite, va justement percer des trous. Vouloir la vitesse se comprend, mais cela revient à confier la décision « faut-il exposer des ports » à une case à cocher.

Trois autres voies, et où se trouve leur interrupteur respectif

Un, DDNS plus redirection de ports : la vitesse la plus concrète, à condition de disposer d'une IPv4 publique

« Panneau de configuration > Accès externe > DDNS », choisissez Synology comme fournisseur de service et vous obtenez un xxx.synology.me gratuit, avec en plus la possibilité de cocher le certificat Let's Encrypt et Heartbeat (alerte de déconnexion). La redirection de port se fait au même endroit dans « Configuration du routeur » ; un routeur UPnP peut remplir automatiquement les champs, sinon connectez-vous manuellement au routeur.

Ce qui bloque la plupart des gens sur cette voie, ce ne sont pas les réglages, mais le prérequis : après le dial-up de la connexion haut débit domestique, l'adresse obtenue n'est peut-être pas une IPv4 publique, mais une adresse NAT de niveau opérateur commençant par 100.64, auquel cas aucune redirection de port ne fonctionnera. La méthode de diagnostic et quelques pistes, je les ai décrites dansl'article sur le passage du modem optique en mode bridge, je ne les répète pas ici.

II. Reverse proxy : n'exposer qu'un seul 443 vers l'extérieur

Le chemin dans DSM 7 est « Panneau de configuration > Portail de connexion > Avancé > Serveur proxy inversé » (à l'époque de DSM 6.2, cette fonction se trouvait sous « Portail d'applications »). Il résout le problème du « plusieurs services sous un seul domaine » : on n'expose que le 443 vers l'extérieur, et en interne on redirige par sous-domaine vers différents ports ; DSM, Photos et Drive ont chacun leur adresse, sans exposer 5000/5001 sur l'Internet public.

Dans la règle, on peut cocher HSTS (effectif uniquement côté source), ou attacher un profil de contrôle d'accès pour autoriser ou refuser selon l'IP ou le sous-réseau source. Il y a un piège explicitement mentionné dans la documentation officielle : activer simultanément le contrôle d'accès et le certificat Let's Encrypt peut entraîner l'échec du renouvellement automatique du certificat. La procédure officielle en cas de problème est également indiquée : désactiver d'abord le contrôle d'accès, renouveler manuellement le certificat depuis la page des certificats, puis le réactiver. Ce genre de détail est impossible à deviner sans lire la documentation.

III. Réseau inter-sites : la voie la plus simple sans IP publique

Synology dispose de son propre paquet VPN Server, qui prend en charge des protocoles standard comme L2TP/IPSec et OpenVPN ; pour ceux qui ne veulent pas toucher au routeur ni étudier les ports, utiliser un outil de réseau tiers pour « ramener » l'appareil externe dans le réseau domestique est aussi une option. Cette voie suit une logique de « mise en réseau d'appareils » plutôt que d'« exposition de services », c'est la plus accessible aux débutants, au prix d'un client supplémentaire à installer et d'un élément de plus à maintenir.

Une fois l'accès distant activé, faites d'abord ces cinq choses

Dès qu'on peut y accéder depuis l'extérieur, ce n'est plus seulement la machine du salon. Les cinq points ci-dessous figurent tous dans la documentation officielle de Synology, ce ne sont pas mes inventions :

• N'exposez pas directement le port d'administration DSM sur l'Internet public.Par défaut, ce sont 5000 (HTTP) et 5001 (HTTPS). Les recommandations de durcissement officielles insistent aussi : n'ouvrez sur le routeur que les ports de service réellement nécessaires. Pour l'administration à distance, passez par le 443 du reverse proxy, ou carrément par le réseau inter-sites ou QuickConnect.
• Blocage automatique: « Panneau de configuration > Sécurité > Protection > Blocage automatique ». Une même IP est bloquée lorsque le nombre d'échecs de connexion dépasse la limite dans un intervalle défini ; la portée indiquée officiellement inclut SSH, FTP, WebDAV, la connexion DSM, etc.
• Protection du compte avec authentification à deux facteurs. La protection du compte se trouve dans « Sécurité > Compte », l'authentification à deux facteurs dans « Personnel > Sécurité > Authentification à deux facteurs », avec Synology Secure SignIn ou Google Authenticator, les deux fonctionnent. Ces deux éléments constituent la dernière barrière contre le « cassage de mot de passe ».
• HTTPS et certificats. Dans « Portail de connexion > DSM », il y a deux options « rediriger automatiquement HTTP vers HTTPS » et HSTS ; la documentation officielle indique explicitement de ne pas cocher les deux en même temps, cela provoquerait des problèmes de connexion.
• Changer le port par défaut réduit le bruit, mais ce n'est pas une frontière de sécurité.La documentation officielle liste le changement de port dans la checklist de durcissement ; son rôle principal est d'éviter les scripts automatisés qui ne scannent que les ports par défaut ; quelqu'un qui scanne sérieusement trouvera quand même. La vraie frontière, ce sont ces deux choses : « ne pas exposer » et « renforcer l'authentification ».

Mon jugement : à quelle catégorie vous appartenez

Trois types de personnes, la réponse est assez nette.

Trois à cinq utilisations par an, juste pour regarder temporairement une photo ou télécharger un fichier depuis l'extérieur—— QuickConnect suffit, ne vous compliquez pas. Sa plus grande valeur pour vous n'est pas la rapidité, c'est « rien à configurer, et vous n'ouvrez pas la porte de chez vous ».

Vous voulez regarder des Blu-ray 4K originaux depuis l'extérieur, sauvegarder l'album photo du téléphone, ou utiliser les paquets DSM comme outil de travail—— le relais ne tient pas, il faut trouver un moyen de quitter le troisième segment. Si vous avez une IPv4 publique, DDNS plus reverse proxy ; sinon, envisagez IPv6 ou un réseau maillé inter-sites. Il y a ici un plafond facilement négligé : quelle que soit la voie empruntée, la vitesse de lecture des fichiers domestiques depuis l'extérieur ne dépassera jamais l'upload. Une connexion avec 1 Gbit/s en descente et 30M en montée, tirer des fichiers depuis l'extérieur donne une sensation de 30 Mbps, cela n'a rien à voir avec les performances du NAS —— ce calcul, je l'ai détaillé dansl'article sur l'uploadC'est calculé dans.

Les bidouilleurs, ceux qui veulent connecter plusieurs appareils— vous pouvez monter votre propre machine relais avec une IP publique, et centraliser les tunnels au même endroit. Le prix à payer, c'est de remplacer « la simplicité » par « une machine de plus à maintenir et à renouveler » ; à vous de voir si ça vaut le coup selon la valeur de votre temps ; si vous voulez vraiment vous lancer, pour choisir la configuration, voirla page comment choisir un serveur cloud。

Cet article n'est qu'un début, il y en a quatre autres derrière

Le sujet « accès externe au NAS Synology » ne tient pas en un seul article, j'ai découpé le reste : comment mettre en place IPv6 étape par étape (les trois maillons : ONT, firewall, DDNS), comment choisir une solution de reverse tunnel / port forwarding quand on n'a pas d'IP publique, à quel point il est dangereux d'exposer le port d'administration sur l'Internet public, et si QuickConnect vaut la peine d'être conservé à long terme.

Si vous en êtes encore à l'étape « comment calculer le coût de chacune des quatre solutions », lisez d'abordcomment choisir l'accès distant au NAScet article-là ; il calcule le coût, le seuil et la surface d'exposition ; celui-ci calcule « où cliquer concrètement sur ce Synology que vous avez devant vous ».

Cet article est basé sur le livre blanc officiel Synology « QuickConnect » (mécanisme de connexion en trois segments et description du relais), le « Guide de démarrage rapide pour l'accès externe au NAS Synology » (version mise à jour du 2026-06-05), le chapitre Sécurité du « Guide de l'utilisateur Synology NAS 7.4 », le document officiel « Comment améliorer la sécurité de votre Synology NAS » et la page des spécifications techniques de DSM. Les chemins d'interface et la disponibilité des paquets dépendent de la version de DSM sur votre propre machine ; « comment déterminer par quel segment passe la connexion » relève de l'expérience personnelle, l'officiel ne fournissant aucun indicateur d'interface.

Table des matières de tous les articles · Retour à l'accueil