Acesso remoto ao NAS via IPv6: como configurar ONT, firewall e DDNS

Outro dia alguém me perguntou: a banda larga de casa não tem IPv4 público, o QuickConnect é desconfortável de usar, será que só resta comprar um relay.

Eu disse para não gastar dinheiro ainda: ative os dados móveis, desligue o Wi-Fi e cole o endereço IPv6 do NAS no navegador para testar. Ele testou e respondeu: como é rápido.

Isso é um pouco contraintuitivo — muita gente ainda se preocupa com "IP público" quando, na verdade, aquela banda larga de casa já recebeu silenciosamente um IPv6 público, só que ninguém o liberou no router. Este artigo trata justamente das três etapas que ainda precisam ser vencidas depois de liberá-lo: ONT e router, firewall, DDNS.

Primeiro confirme uma coisa: sua casa provavelmente já tem IPv6

Em 28 de julho de 2026, na 5ª Conferência de Inovação e Desenvolvimento do IPv6 da China, foi divulgado o "Relatório de Desenvolvimento do IPv6 na China (2026)". Dois números do relatório explicam bem a situação: até dezembro de 2025, a China tinha 869 milhões de usuários ativos de IPv6, representando 77,38% dos internautas; até junho de 2026, a taxa de ativação de IPv6 nos gateways domésticos do país era de 98,41%, e a taxa de suporte a IPv6 nos routers domésticos personalizados pelas operadoras era de 99,12%.

No mesmo mês, a Comissão Central de Assuntos Cibernéticos emitiu o "Plano de Implementação para Aprofundar a Inovação Tecnológica e a Aplicação Integrada do Protocolo de Internet Versão 6 (IPv6) (2026—2030)", que menciona a necessidade de "acelerar a evolução para IPv6 single-stack". Traduzindo isso para o leitor: no futuro, obter um IPv4 público será cada vez mais difícil; o IPv6 é a direção de longo prazo, não um substituto temporário.

Portanto, não tire conclusões precipitadas; faça primeiro três coisas:

• Verifique se o DSM obteve um endereço.Em "Painel de Controle > Rede > Interface de Rede", selecione a placa de rede em uso, clique em "Editar" e vá para a aba IPv6. Se aqui estiver em "Automático" e abaixo realmente aparecer uma sequência de endereços, isso indica que essa camada já está funcionando.
• Acesse uma vez usando dados móveis.Desligue o Wi-Fi e digite no navegador http://[你的IPv6地址]:5000— observe que o endereço precisa estar entre colchetes; essa é a forma de escrever IPv6 em URLs, sem os colchetes não abre diretamente. Os blocos comuns das operadoras chinesas começam com 240e, 2408, 2409 (mais frequentes em Telecom, Unicom e Mobile, respectivamente); considere o que você mesmo visualizar.
• Confirme se o endereço não é de uma faixa de rede interna.Endereços que começam com fe80 são link-local, só funcionam na LAN e não contam; os que podem ser usados como endereço público são endereços unicast globais como 2400::/12.

Se os três passos passaram, então você já tem um caminho muito mais rápido que o relay, e o que resta é apenas configurá-lo de forma estável.

Primeira barreira: ONT e router, primeiro alguém precisa obter o prefixo

O IPv6 residencial tem uma diferença fundamental em relação ao IPv4: ele não te dá um endereço, mas sim um prefixo, e então o router de casa distribui esse prefixo para cada dispositivo. Esse prefixo é chamado tecnicamente de prefix delegation, ou seja, PD.

O ponto crítico está em "quem faz o dial-up". Quando o ONT faz o dial-up por conta própria (modo router), o prefixo fica nas mãos do ONT, e o router é apenas um router secundário; nesse caso, você quase certamente precisará entrar no ONT e vasculhar as configurações. Só quando o ONT é alterado para bridge e o seu próprio router faz o dial-up é que o prefixo fica nas suas mãos. A documentação de ajuda do DSM da Synology é bem direta sobre isso: a opção DHCP-PD "requer suporte do ISP e funciona apenas no modo router" — só quando o NAS faz o dial-up por conta própria é que ele pode solicitar o prefixo.

Se vale a pena fazer a bridge em si, eu já calculeino artigo sobre alterar o ONT para bridge: o que se troca é controle, não largura de banda. Mas para IPv6, a questão do controle tem peso maior do que no IPv4, porque quem tem o prefixo tem o firewall.

A configuração do lado do router não tem nada de excepcional; o difícil é escolher o tipo certo. O FAQ oficial da ASUS lista os sete tipos de conexão IPv6 que ela suporta: Native, IPv6 estático, Passthrough, FLET'S IPv6 Service, além dos três túneis Tunnel 6to4, 6in4 e 6rd. Para a grande maioria das conexões residenciais domésticas, escolher Native é o correto; os outros tipos de túnel são soluções legadas e específicas de operadoras estrangeiras, e o sintoma de escolher errado é "parece que está ativado, mas na prática nenhum pacote sai", e ainda é difícil de diagnosticar.

Há também um ponto especialmente fácil de passar despercebido:o firewall IPv6 do próprio ONT. Quando o ONT está no modo router, o tráfego de entrada primeiro esbarra no ONT. Por mais bonito que seja o liberamento no seu próprio router, os pacotes simplesmente nunca entraram — esse tipo de "eu claramente ativei, mas não consigo conectar" fica travado nessa camada em nove de cada dez casos.

Segunda barreira: IPv6 não tem NAT, na porta só resta o firewall como única barreira

Este é o trecho de todo o artigo que mais exige mudança de mentalidade.

Na era do IPv4, nos acostumamos com "não ter IP público equivale a estar seguro" — o NAT convenientemente bloqueava todas as requisições de entrada de fora, embora essa nunca tenha sido sua função. No IPv6, essa camada de buffer não existe: cada dispositivo tem seu próprio endereço público, e o trabalho do router é "encaminhar", não "esconder". Portanto, o firewall deixa de ser um item opcional de reforço e passa a ser a única fronteira.

Os fabricantes também fazem isso por padrão. As palavras exatas do FAQ oficial da ASUS são: o router, por padrão, não permite que todos os dispositivos desconhecidos entrem na LAN ou acedam a dispositivos internos através do router, com o objetivo de evitar ataques ao router e aos dispositivos a jusante. Para permitir, o caminho é «Firewall > Definições gerais > Firewall IPv6» (ativada por padrão) e, em seguida, criar regras em «Regras de firewall de entrada». Este FAQ também fornece alguns dados concretos: máximo de 128 regras; cada uma deve preencher nome do serviço, IP remoto ou CIDR, IP local, intervalo de portas de comunicação, protocolo; e além dissoesta funcionalidade só suporta endereços IPv6, preencher IPv4 não funciona。

Seguindo esta estrutura, a abordagem correta resume-se a uma frase: permitir apenas uma porta do NAS, não abrir «todas as portas, todas as origens».

• O campo IP remoto deve ser preenchido sempre que possível. Significa «permitir a entrada apenas destas origens», o que é uma ordem de grandeza mais seguro do que deixar em branco (qualquer origem pode entrar). A desvantagem é que o endereço do tráfego móvel muda ao trocar de estação base, pelo que é preciso deixar alguma margem.
• No IP local, preencher o endereço IPv6 do NAS, e na porta escrever apenas a que realmente vai usar. As portas 5000/5001 do DSM são a entrada de gestão; se puder evitar expô-las à Internet pública, evite; a prática comum é usar um reverse proxy abrindo apenas uma 443, ou simplesmente mudar para uma porta não padrão para reduzir o ruído.
• Se estiver a permitir «qualquer origem», então a autenticação do lado do NAS tem de ser reforçada: auto-bloqueio, proteção de conta e verificação em dois passos — estas três estão disponíveis no DSM.

Do lado da Synology também há uma camada. A página oficial de funcionalidades do DSM descreve a sua firewall como «arquitetura dupla IPv4/IPv6 baseada em perfis», com regras que podem restringir por IP ou porta e determinar em que interface se aplicam. Há um detalhe explicitado na documentação de ajuda oficial que vale a pena registar:Se o NAS acede à Internet através de discagem PPPoE, as regras de firewall relevantes devem ser criadas na interface PPPoE correspondente, criá-las na interface LAN não terá efeito.

Terceira barreira: o endereço muda, por isso é preciso DDNS

O prefixo atribuído pelo operador tem um período de locação; reiniciar o ONT, rediscar a linha ou ajustes do lado central podem todos mudar o prefixo. Quando o prefixo muda, todo o endereço do NAS muda — é por isso que «memorizar o IP diretamente» é ainda menos realista em IPv6 do que em IPv4: um endereço IPv4 ainda se consegue decorar, mas aquela sequência de IPv6 ninguém a decora.

A boa notícia é que a Synology suporta-o nativamente. As palavras exatas da página oficial de funcionalidades do DSM são: a Synology oferece um serviço DDNS gratuito,e este serviço suporta IPv4 e IPv6; a página de ajuda do SRM (sistema de router da Synology) é ainda mais categórica: «apenas o Synology DDNS suporta o serviço IPv6».

O caminho é «Painel de controlo > Acesso externo > DDNS», clicar em adicionar, selecionar Synology como fornecedor de serviço, preencher o nome do host como xxx.synology.me, e de passagem pode marcar o certificado Let's Encrypt e o Heartbeat (alerta de desconexão) — estes passos estão todos listados na página de ajuda oficial.

Uma coisa eu preciso dizer com franqueza: a página de ajuda oficial lista apenas um campo de entrada de "endereço externo", enquanto muitos tutoriais online dizem que o novo pop-up é dividido em duas colunas, IPv4 e IPv6. Não posso confirmar para você como a sua versão do DSM é, use a interface na sua própria máquina como referência; se puder preencher IPv6, preencha IPv6, e se a coluna IPv4 não tiver endereço público, desative-a.

Se você tem seu próprio domínio, ou quer que ele monitore com mais frequência, a ferramenta open source ddns-go é uma escolha comum. O repositório é licenciado sob MIT, e o README tem uma seção específica para Synology, basta seguir os passos: instalar Docker no Package Center → buscar ddns-go no registro e baixar → iniciar jeessy/ddns-go em imagens → nas configurações avançadas, em rede, marcar "usar a mesma rede que o Docker Host", marcar reinício automático → abrir no navegador http://群晖IP:9876 para configurar. A forma por linha de comando também funciona:

docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go

No comportamento padrão dele, há dois números para observar: por padrão sincroniza a cada 5 minutos, e a página marca por padrão "proibir acesso da rede pública". Não desative esse último valor padrão, pois essa página armazena a chave do seu provedor de domínio.

Aproveite e revise também aquela página do DSM

As configurações de IPv6 do DSM ficam em "Painel de Controle > Rede > Interfaces de Rede", selecione a placa de rede e clique em editar, na aba IPv6 há três tipos de opções (texto original da página de ajuda oficial):

• Automático: gera o endereço conforme os anúncios RA do router, e abaixo ainda pode ser subdividido em stateless, stateless com DHCPv6, stateful (requer ativar o servidor DHCPv6 e preencher o pool de endereços). Para banda larga residencial, escolher esta opção já basta.
• Manual: preencha você mesmo o endereço IPv6, o comprimento do prefixo e o gateway padrão. Em ambientes onde o prefixo muda, o manual acaba sendo mais trabalhoso.
• Desativado, além de 6in4, 6to4, DHCP-PD, IPv6 Tunneling, esses mecanismos de transição. Exceto DHCP-PD (usado quando o NAS disca sozinho), os demais servem basicamente como fallback para redes sem IPv6 nativo, e não são necessários para banda larga residencial.

Três armadilhas que ninguém te avisa antes

Um, o outro lado também precisa ter IPv6.Este é o "configurou mas não abre" mais comum. A rede de escritório da empresa, e o Wi-Fi de muitos shoppings e hotéis têm IPv6 desativado; acessar um domínio que só tem endereço IPv6 a partir dessas redes fará a requisição falhar diretamente, independentemente da sua configuração. O tráfego móvel atualmente basicamente todos têm IPv6, então ao diagnosticar, priorize testar com dados móveis, não tire conclusões usando um Wi-Fi específico.

II. Quando o prefixo muda, as regras de firewall falham silenciosamente.O "IP local" dessa regra no router é preenchido com um endereço completo, cuja primeira metade é o prefixo atribuído pelo operador. Quando o prefixo muda, essa regra passa a apontar para um endereço inexistente — não dá erro, simplesmente deixa de corresponder, e então "de repente já não consegues ligar-te". É também por isso que a reputação de estabilidade da ligação direta IPv6 não é tão boa quanto deveria ser. A minha abordagem é: em ambientes onde o prefixo muda com frequência, em vez de lutar com as regras, mais vale reforçar a autenticação e abrir o mínimo de portas possível.

III. Assim que um domínio tem certificado, torna-se público.Ao emitir um certificado com Let's Encrypt, o domínio entra nos Certificate Transparency logs (CT), um mecanismo de consulta pública, não uma vulnerabilidade. Somando a isso o facto de os domínios DDNS serem fáceis de adivinhar (coisas como xxx.synology.me), é como escrever num quadro de anúncios "tenho um NAS em casa, o endereço é este". Isto não significa que não se possa usar, mas sim que: conseguir ligar-se e dever ser público são duas questões diferentes. Se é para uso próprio, usa só para ti, não andes a colar o endereço por todo o lado.

A propósito das portas: o tráfego de entrada nas 80 e 443 em ligações domésticas varia conforme a política de cada operador, e alguns bloqueiam-nas diretamente. Por isso, para acesso diário, usar portas não padrão ou recorrer a um reverse proxy é mais realista do que insistir nas 80/443. Se bloqueiam ou não, basta testar uma vez com dados móveis para saber — não acredites no "aqui na nossa zona dá" dos outros.

Por fim, a questão dos limites: tudo o que foi dito acima diz respeito a aceder aos teus próprios dispositivos. Se queres que outras pessoas acedam ao teu site ou serviço através deste endereço, isso é outra coisa — fornecer serviços de informação na Internet envolve registo obrigatório, e os termos de serviço das ligações de banda larga doméstica normalmente também não o permitem. Este artigo não aborda essa parte, e também não recomendo usar banda larga doméstica para isso.

A minha avaliação: para estes três tipos de pessoas, a resposta é diferente

IPv6 estável em casa, usado apenas por ti e pela família— vale a pena, e a relação custo-benefício é absurdamente alta. Uma configuração rende-te uma ligação direta que não passa por nenhum relay de terceiros, e o limite de velocidade é o upload da tua ligação doméstica; essa conta já a fiz noartigo sobre upload— o teto para puxar ficheiros de fora nunca foi o NAS, é aqueles 30M de upload.

Usas três ou cinco vezes por ano, só queres ver uma foto pontualmente quando estás fora— não compliques, o QuickConnect chega. O valor dele não é ser rápido, é "não precisas de configurar nada e não deixas a porta de casa aberta". Porque é que às vezes é lento, já desmontei os três segmentos do mecanismo de ligação noartigo sobre QuickConnect— depois de leres, vais saber se o teu caso justifica mudar de caminho.

Querer expor serviços domésticos para a Internet——Não recomendado. Superfície de exposição, registo, termos do contrato de banda larga: nenhum dos três está do teu lado. Se realmente precisares, aluga um servidor a sério, não uses a máquina de casa para isso.

Por fim, uma sugestão de ordem, que é a conclusão a que cheguei depois de passar por problemas:Primeiro põe o IPv6 a funcionar no NAS e confirma que consegues ligar-te diretamente via dados móveis; só depois considera DDNS e regras de firewall.Se inverteres a ordem, vais andar a diagnosticar simultaneamente no ONT, no router e no DDNS, e muito provavelmente desistes no segundo passo. As três etapas acima estão ordenadas pela "direção por onde os dados entram", não por dificuldade.

Se ainda estás parado no "qual método de acesso remoto devo escolher", vê primeiroAs contas das quatro soluçõesesse artigo, que calcula custos, barreiras e superfície de exposição; este artigo calcula como concretizar o caminho do IPv6. A solução de recurso sem IPv6 (como escolher reverse tunnel / port forwarding) é o próximo tema desta série.

Fontes deste artigo: "Relatório de Desenvolvimento do IPv6 na China (2026)" (publicado em 2026-07-28), o "Plano de Implementação para Aprofundar a Inovação Tecnológica e a Aplicação Integrada do Protocolo de Internet Versão 6 (IPv6) (2026—2030)" da Comissão Central de Ciberespaço, as páginas oficiais de funcionalidades do DSM da Synology e a documentação de ajuda do DSM 7 (secções DDNS, interface de rede e firewall), o FAQ oficial da ASUS 1013638 (firewall IPv6) e 113990 (configuração de IPv6), e o README e a LICENSE do repositório ddns-go (consultados em 10-26). Os caminhos de interface, nomes de campos e políticas dos operadores variam consoante a versão e a região; prevalece o que aparece no teu próprio equipamento; "a mudança de prefixo invalida as regras" e "o tráfego de entrada em 80/443 está bloqueado" são juízos baseados em experiência, sem testes região a região.

Índice de todos os artigos · Voltar à página inicial