Acesso externo ao NAS Synology: por que o QuickConnect é lento

Outro dia, na casa dos meus pais, estava ajudando alguém a configurar um NAS. O celular conectado ao 4G, abri o DS file para mostrar aos parentes as fotos tiradas no ano passado, e a barra de progresso avançava como se estivesse carregando um jogo de navegador. Ele me perguntou se a largura de banda de upload da internet de casa era muito pequena e se deveria trocar. Eu disse para não gastar dinheiro ainda, porque esse carregamento giratório pode não ter nada a ver com a largura de banda.

Problemas parecidos aparecem todo mês. No mesmo Synology, com o mesmo QuickConnect ID, algumas pessoas usam com a mesma velocidade de estar em casa, enquanto outras travam a ponto de querer desistir do acesso remoto — isso não é sorte, nem o Synology limitando a velocidade secretamente. A resposta está no whitepaper oficial, só que ninguém costuma abrir esse documento.

Não é limitação de velocidade, são três trechos

O whitepaper do QuickConnect do Synology descreve o estabelecimento de uma conexão em três etapas, tentadas em ordem, parando quando uma funciona:

• Detecção de LAN/WAN. O cliente primeiro solicita ao servidor QuickConnect as informações de rede registradas deste NAS (IP público, IP da LAN, tipo de NAT etc.), e se a conexão direta for possível, ela é feita. Quando esta etapa funciona, a velocidade é igual à de acessar diretamente por IP ou DDNS.
• Hole punching. Se a conexão direta falha, o NAS e o cliente abrem cada um uma porta temporária no próprio NAT, e o servidor troca as informações dos "buracos" dos dois lados; depois disso, o tráfego segue ponto a ponto. A descrição oficial desta etapa é que o desempenho é muito próximo ao de usar WAN IP/DDNS.
• Relay. Se as duas primeiras etapas falham, os dados vão primeiro para o servidor de relay do Synology e depois são encaminhados ao NAS. O whitepaper diz, em resumo, que isso traz atraso evidente na transferência de dados, por isso é deixado como último recurso; a página de especificações técnicas do DSM também indica que conexões via relay podem ser mais lentas que port forwarding, porque o caminho é mais longo, e além disso, restrições de operadoras em algumas regiões podem fazer o relay simplesmente não funcionar.

Portanto, a estrutura real do "QuickConnect lento" é: por padrão, ele faz o possível para conectar diretamente, e só degrada quando a conexão direta falha. Se está lento, você caiu no terceiro trecho — e não é que ele tenha limitado sua velocidade.

Como saber em qual trecho você caiu

A interface oficial não mostra diretamente "você está usando relay agora", pelo menos eu não encontrei essa indicação no DSM, então só dá para deduzir pelos sintomas. Os três critérios abaixo são os que eu costumo usar, empíricos e não oficiais:

• Abrir o DSM com o QuickConnect ID na mesma rede Wi-Fi abre instantaneamente? Se sim, a primeira parte está a funcionar bem e o problema só aparece depois de "sair de casa".
• Ao transferir um ficheiro grande, a velocidade é claramente inferior àlargura de banda de uploadda tua ligação de casa. O upload é, por natureza, o teto deste tipo de acesso, e o relay ainda dá mais uma volta, pelo que a combinação dos dois faz pensar que o disco ou o desempenho do NAS não prestam.
• Mudar de rede faz muita diferença no resultado? O流量 do telemóvel consegue ligar e a rede da empresa não, ou vice-versa — é a manifestação típica de uma taxa de sucesso de hole punching afetada pelo tipo de NAT, e não tem nada a ver com o NAS em si.

O terceiro ponto merece particular atenção. Muitas redes empresariais e algumas redes de operadoras têm políticas muito restritivas em relação a UDP e portas não convencionais, pelo que o hole punching falha quase sempre e só resta o relay — neste ambiente, por muito caro que seja o NAS que troques, o resultado é o mesmo.

Onde está o QuickConnect no DSM e quais são as duas opções que deves mexer

O caminho é «Painel de Controlo > Acesso Externo > QuickConnect» (DSM 7). Basta assinalar a ativação, introduzir um ID único em todo o mundo e está feito. Os utilizadores da China continental acedem no navegador ao domínio quickconnect.cn — a documentação de ajuda oficial refere explicitamente «China continental é QuickConnect.cn/example», enquanto no estrangeiro é quickconnect.to.

Na mesma página há dois sítios que vale a pena abrir e ver:

• Lista de permissões de aplicações. O QuickConnect não funciona para todos os serviços; a página de especificações oficiais indica claramente que não suporta aplicações de terceiros, e há ainda alguns pacotes que exigem mapeamento direto de IP ou DDNS e que não passam por aqui. Deixa na lista apenas aquela ou duas que realmente vais usar remotamente e desliga as restantes — menos uma aberta é menos uma entrada acessível do exterior.
• Reencaminhamento automático de portas. A descrição nas especificações oficiais é que permite aplicar automaticamente as regras de reencaminhamento de portas necessárias em routers compatíveis com UPnP. A minha sugestão é não ativar: o valor do QuickConnect está precisamente em não ter de abrir buracos no router, e esta opção, para te ligar mais depressa, vai precisamente abrir buracos. Querer velocidade é compreensível, mas isso equivale a entregar a decisão de "expor ou não portas" a uma caixa de seleção.

As outras três vias e onde está o interruptor de cada uma

Um, DDNS mais reencaminhamento de portas: a velocidade mais real, desde que haja IPv4 público

"Painel de Controle > Acesso Externo > DDNS", escolha Synology como provedor e você terá um xxx.synology.me gratuito, e ainda pode marcar o certificado Let's Encrypt e o Heartbeat (alerta de desconexão). O encaminhamento de portas fica em "Configuração do Roteador" no mesmo lugar; roteadores com UPnP preenchem automaticamente, se não preencher, faça login manual no roteador.

O que trava a maioria das pessoas nesse caminho não é a configuração, mas o pré-requisito: após a discagem da banda larga residencial, o que se obtém pode não ser um IPv4 público, mas um endereço NAT de nível operadora começando com 100.64, e nesse caso o mapeamento de portas não funciona de jeito nenhum. O método de diagnóstico e algumas saídas eu escrevi emaquele artigo sobre mudar o ONT para bridge, não vou repetir aqui.

II. Proxy reverso: abrir apenas uma 443 externamente

No DSM 7 o caminho é "Painel de Controle > Portal de Login > Avançado > Servidor de Proxy Reverso" (no DSM 6.2 esse recurso ficava em "Portal de Aplicativos"). Ele resolve o problema de "vários serviços sob um único domínio": externamente abre-se apenas a 443, internamente redireciona-se por subdomínio para portas diferentes, DSM, Photos e Drive cada um com seu endereço, sem precisar expor 5000/5001 na internet pública.

Na regra pode-se marcar HSTS (efetivo apenas no lado de origem), e também anexar um perfil de controle de acesso, permitindo ou negando por IP ou faixa de rede de origem. Há uma armadilha explicitamente documentada na documentação oficial: habilitar simultaneamente o controle de acesso e o certificado Let's Encrypt pode causar falha na renovação automática do certificado. A ordem de tratamento quando isso realmente acontece também é dada oficialmente — primeiro desativar o controle de acesso, renovar manualmente na página de certificados, depois reativar. Detalhes assim não se imagina sem ler a documentação.

III. Rede entre locais: o caminho mais prático quando não há IP público

O Synology tem seu próprio pacote VPN Server, com suporte a protocolos padrão como L2TP/IPSec e OpenVPN; quem não quer mexer no roteador nem estudar portas pode usar ferramentas de rede de terceiros para "puxar" o dispositivo externo de volta para a rede de casa. Esse caminho segue a lógica de "rede entre dispositivos" e não de "exposição de serviços", sendo o mais amigável para iniciantes, ao custo de instalar mais um cliente e ter mais uma coisa para manter.

Uma vez ativado o acesso remoto, faça estas cinco coisas primeiro

Assim que for possível entrar de fora, ela deixa de ser apenas aquela máquina na sala. As cinco regras abaixo estão todas na documentação oficial do Synology, não são invenção minha:

• Não exponha a porta de administração do DSM diretamente à internet pública.O padrão é 5000 (HTTP) e 5001 (HTTPS). As recomendações oficiais de hardening também enfatizam que no roteador só devem ser abertas as portas de serviços realmente necessários. A administração remota deve passar pelo 443 do proxy reverso, ou simplesmente pela rede entre locais ou pelo QuickConnect.
• Bloqueio automático: "Painel de Controle > Segurança > Proteção > Bloqueio Automático". Quando o mesmo IP excede o número de falhas de login dentro do tempo configurado, ele é bloqueado; o escopo listado oficialmente inclui SSH, FTP, WebDAV, login do DSM, etc.
• Proteção de conta com verificação em duas etapas. A proteção de conta fica em «Segurança > Conta», a verificação em duas etapas fica em «Pessoal > Segurança > Verificação em duas etapas», configurando com Synology Secure SignIn ou Google Authenticator, tanto faz. Estas duas são a última linha de defesa contra "senha arrombada".
• HTTPS e certificado. Em «Portal de login > DSM» há duas opções: "redirecionar automaticamente HTTP para HTTPS" e HSTS; a documentação oficial diz explicitamente para não marcar as duas ao mesmo tempo, pois causa problemas de conexão.
• Alterar a porta padrão reduz ruído, mas não é fronteira de segurança.A documentação oficial lista a alteração de porta no checklist de hardening; o efeito principal é escapar daqueles scripts automatizados que só varrem portas padrão; quem escaneia a sério encontra do mesmo jeito. A fronteira real são duas coisas: "não expor" e "reforçar autenticação".

Meu julgamento: a qual categoria você pertence

Divido em três tipos de pessoa, a resposta é bem direta.

Usa três a cinco vezes por ano, só quer ver uma foto ou baixar um arquivo temporariamente de fora—— QuickConnect já basta, não complique. O maior valor para você não é velocidade, é "não precisa configurar nada e não deixa a porta de casa aberta".

Quer assistir 4K original de fora, fazer backup do álbum do celular, ou usar os pacotes do DSM como ferramenta de trabalho—— o relay não aguenta, é preciso sair do terceiro segmento. Se tiver IPv4 público, use DDNS mais proxy reverso; se não tiver, considere IPv6 ou rede overlay. Aqui há ainda um teto facilmente ignorado: não importa o caminho, a velocidade de leitura de arquivos de casa a partir da rede externa nunca ultrapassa a上行. Banda larga com 1 Gbps de download e 30M de upload, puxar arquivos de fora dá sensação de 30Mbps, isso não tem nada a ver com o desempenho do NAS —— essa conta eu fiz noartigo sobre uploadCalculado no artigo anterior.

Para quem gosta de experimentar e precisa conectar vários dispositivos— pode montar uma máquina intermediária com IP público, centralizando os túneis num só lugar. O custo é trocar a "simplicidade" por "mais uma máquina para manter e renovar"; se vale a pena depende de quanto vale o seu tempo; se for realmente fazer, pode ver como escolher a configuração emcomo escolher um servidor cloud。

Este artigo é só o começo, ainda há mais quatro

"Acesso externo ao NAS Synology" não cabe num só artigo, então dividi o restante: como habilitar IPv6 passo a passo (ONT, firewall e DDNS, três etapas), como escolher uma solução de 内网穿透 quando não há IP público, quão perigoso é expor a porta de administração à internet pública, e se vale a pena manter o QuickConnect a longo prazo.

Se você ainda está na etapa de "como calcular a conta de cada uma das quatro soluções", veja primeirocomo escolher o acesso remoto ao NASnaquele artigo, que calcula custo, barreira de entrada e superfície de exposição; este artigo calcula "onde exatamente clicar neste Synology que você tem em mãos".

Este artigo foi elaborado com base no documento oficial da Synology "QuickConnect White Paper" (mecanismo de conexão em três etapas e descrição do relay), no "Synology NAS External Access Quick Start Guide" (versão atualizada em 2026-06-05), no capítulo de segurança do "Synology NAS User Guide 7.4", no documento oficial "How to Enhance the Security of Synology NAS" e na página de especificações técnicas do DSM. Os caminhos de interface e a disponibilidade dos pacotes devem ser verificados conforme a versão do DSM na sua própria máquina; "como determinar por qual etapa a conexão passa" é experiência pessoal, pois a Synology não fornece indicador na interface.

Índice completo de artigos · Voltar à página inicial