Внешний доступ к Synology NAS: почему QuickConnect работает медленно

На днях в родном городе помогал человеку настроить NAS. Телефон подключён к 4G, открываю DS file, хочу показать родственнику фотографии, снятые в прошлом году, а полоса прогресса ползёт так, будто грузится браузерная игра. Он спрашивает: может, у домашнего широкополосного канала слишком маленькая скорость отдачи, пора менять? Я сказал, не спеши тратить деньги, это вращение колёсика может вообще не иметь отношения к широкополосному каналу.

Похожие вопросы на самом деле задают каждый месяц. Один и тот же Synology, один и тот же QuickConnect ID: у кого-то работает так же быстро, как будто сидишь дома, а у кого-то всё виснет до желания вообще отказаться от удалённого доступа — это не удача и не тайное ограничение скорости со стороны Synology. Ответ написан в официальном white paper, просто этот документ обычно никто не открывает.

Это не ограничение скорости, а разделение на три участка пути

В white paper Synology по QuickConnect процесс установления соединения описан как три шага, которые пробуются по порядку, и при успехе процесс останавливается:

• Обнаружение в локальной/глобальной сети. Клиент сначала запрашивает у сервера QuickConnect зарегистрированную для этого NAS сетевую информацию (публичный IP, локальный IP, тип NAT и т. д.) и, если возможно прямое подключение, подключается напрямую. Когда этот шаг успешен, скорость не отличается от прямого доступа по IP или DDNS.
• Пробивка отверстий. Если прямое подключение не удалось, NAS и клиент каждый открывают на своём NAT временный port, сервер обменивается информацией об «отверстиях» обеих сторон, после чего трафик идёт точка-точка. Официальная формулировка для этого шага такова: производительность очень близка к работе через WAN IP/DDNS.
• Релейная передача. Если первые два шага не удались, данные сначала отправляются на релейный сервер Synology, а затем он пересылает их на NAS. Смысл оригинальной формулировки white paper в том, что это приносит заметную задержку передачи данных, поэтому оставлено как последний вариант; на странице технических характеристик DSM также указано, что соединение через релей может быть медленнее port forwarding, поскольку путь длиннее, кроме того, ограничения операторов в некоторых регионах могут сделать релей вообще непригодным.

Поэтому реальная структура «QuickConnect медленный» такова: по умолчанию он изо всех сил старается обеспечить прямое подключение и понижает уровень только при неудаче прямого подключения. Если у вас медленно, значит, вы попали на третий участок — а не он ограничил вам скорость.

Как понять, на каком участке вы оказались

Официальный интерфейс не показывает напрямую «сейчас вы идёте через релей», по крайней мере в DSM я такой индикации не нашёл, поэтому остаётся только делать вывод по симптомам. Три критерия ниже — те, что я обычно использую сам; это опыт, а не официальная формулировка:

• Открываете DSM по QuickConnect ID в той же Wi-Fi сети — открывается мгновенно? Если да, первый этап работает нормально, проблема проявляется только «за пределами дома».
• Передаёте большой файл — скорость заметно нижеисходящейвашего домашнего широкополосного канала? Исходящая полоса изначально является потолком для такого доступа, а релейный режим добавляет ещё один обходной слой — в сумме это создаёт впечатление, что виноваты диск или производительность NAS.
• При смене сети результат сильно отличается? Мобильный трафик подключается, корпоративная сеть — нет, или наоборот: это типичное проявление влияния типа NAT на успешность пробивки отверстий, к самому NAS отношения не имеет.

Третий пункт особенно стоит запомнить. Политики многих корпоративных сетей и части операторских сетей весьма строги к UDP и нестандартным портам — пробивка почти гарантированно проваливается, остаётся только релейный режим; в такой среде бесполезно менять NAS на сколь угодно дорогой.

Где QuickConnect в DSM и какие два параметра стоит трогать

Путь: «Панель управления > Внешний доступ > QuickConnect» (DSM 7). Ставите галочку включения, вводите всемирно уникальный ID — и готово. Пользователи из материкового Китая в браузере обращаются к домену quickconnect.cn — в официальной справке специально указано: «для материкового Китая — QuickConnect.cn/example», за рубежом — quickconnect.to.

На той же странице есть два места, куда стоит заглянуть:

• Список разрешений приложений. QuickConnect действует не для всех сервисов: на официальной странице спецификаций прямо сказано, что сторонние приложения не поддерживаются, а некоторые пакеты, требующие прямого маппинга IP или DDNS, через него не пройдут. В списке оставьте только те одно-два приложения, которые реально используете удалённо, остальные отключите — меньше открыто, меньше входов, до которых можно дотянуться снаружи.
• Автоматическая переадресация портов. В официальной спецификации описание таково: на совместимых с UPnP роутерах можно автоматически применять необходимые правила переадресации портов. Моя рекомендация — не включать: ценность QuickConnect как раз в том, что не нужно открывать дыры на роутере, а этот параметр ради более быстрого подключения наоборот идёт открывать дыры. Желание скорости понятно, но это равносильно передаче решения «открывать ли порт» одному чекбоксу.

Ещё три пути и где находится их переключатель

Первый: DDNS плюс переадресация портов — скорость самая реальная, при условии наличия публичного IPv4

«Панель управления > Внешний доступ > DDNS», выберите провайдера Synology — получите бесплатный xxx.synology.me, заодно можно поставить галочки для сертификата Let's Encrypt и Heartbeat (уведомление об отключении). Проброс портов находится там же в «Настройке маршрутизатора», UPnP-маршрутизатор заполнит автоматически, если не заполняется — зайдите в маршрутизатор вручную.

На этом пути большинство людей тормозит не настройка, а предпосылка: после дозвона домашнего широкополосного подключения может выдаваться не публичный IPv4, а адрес операторского NAT, начинающийся с 100.64, и в этом случае любое сопоставление портов не работает. Как это определить и несколько вариантов решения я описал встатье о переводе оптического модема в режим моста, здесь не повторяюсь.

II. Обратный прокси: снаружи открыт только один 443

В DSM 7 путь такой: «Панель управления > Портал входа > Дополнительно > Сервер обратного прокси» (в эпоху DSM 6.2 эта функция находилась в «Портале приложений»). Он решает задачу «несколько сервисов под одним доменом»: наружу открыт только 443, внутри по поддоменам трафик идёт на разные порты, у DSM, Photos, Drive свой адрес, и не нужно выставлять 5000/5001 в публичный интернет.

В правиле можно включить HSTS (действует только на стороне источника), а также привязать профиль управления доступом, разрешая или запрещая по IP источника или подсети. Здесь есть явно описанная в официальной документации ловушка: одновременное включение управления доступом и сертификата Let's Encrypt может привести к сбою автоматического продления сертификата. Порядок действий на этот случай официально тоже дан — сначала отключить управление доступом, на странице сертификатов продлить вручную, затем включить обратно. Такие детали без чтения документации вообще не придумаешь.

III. Объединение в сеть между площадками: самый простой правильный путь при отсутствии публичного IP

У Synology есть собственный пакет VPN Server, поддерживающий стандартные протоколы вроде L2TP/IPSec и OpenVPN; тем, кто не хочет трогать маршрутизатор и разбираться с портами, можно использовать сторонние инструменты объединения в сеть, чтобы «затянуть» внешнее устройство обратно в домашнюю сеть. Этот путь идёт по идее «объединение устройств в сеть», а не «экспонирование сервисов», он наиболее дружелюбен к новичкам, ценой является установка ещё одного клиента и ещё одна вещь, которую нужно обслуживать.

Как только удалённый доступ открыт, сделайте эти пять вещей в первую очередь

Как только появляется возможность зайти снаружи, это уже не просто та машина в гостиной. Пять пунктов ниже есть дословно в официальной документации Synology, это не моё изобретение:

• Не выставляйте порт управления DSM напрямую в публичный интернет.По умолчанию это 5000 (HTTP) и 5001 (HTTPS). В официальных рекомендациях по усилению безопасности также подчёркивается, что на маршрутизаторе следует открывать только действительно необходимые порты сервисов. Удалённое управление — через 443 обратного прокси или вообще через объединение в сеть, QuickConnect.
• Автоматическая блокировка: «Панель управления > Безопасность > Защита > Автоматическая блокировка». Если число неудачных входов с одного IP за заданное время превышает лимит, IP блокируется; официально указанная область применения включает SSH, FTP, WebDAV, вход в DSM и т. д.
• Защита аккаунта и двухфакторная аутентификация. Защита аккаунта находится в «Безопасность > Аккаунт», двухфакторная аутентификация — в «Личное > Безопасность > Двухфакторная аутентификация», подойдёт Synology Secure SignIn или Google Authenticator. Эти две вещи — последний рубеж против «взлома пароля».
• HTTPS и сертификаты. В «Портал входа > DSM» есть две опции — «автоматически перенаправлять HTTP на HTTPS» и HSTS; официально прямо сказано не включать их одновременно, иначе будут проблемы с подключением.
• Смена порта по умолчанию снижает шум, но это не граница безопасности.Официально смена порта включена в список мер по усилению защиты; её роль в основном в том, чтобы обойти автоматические скрипты, которые сканируют только порты по умолчанию; те, кто сканирует всерьёз, всё равно найдут. Настоящая граница — это «не выставлять наружу» и «усилить аутентификацию».

Моё суждение: к какой категории вы относитесь

Три типа людей, ответ довольно однозначный.

Используете три-пять раз в год, хотите лишь изредка посмотреть фото или скачать файл извне— QuickConnect достаточно, не мучайтесь. Его главная ценность для вас не в скорости, а в том, что «ничего не нужно настраивать и при этом не открываете свою дверь наружу».

Хотите извне смотреть 4K-оригиналы, бэкапить альбомы телефона или использовать пакеты DSM как офисный инструмент— релей не выдержит, нужно выбираться из третьего сегмента. Если есть публичный IPv4 — DDNS плюс обратный прокси; если нет — рассмотрите IPv6 или организацию сети между площадками. Здесь есть ещё один часто упускаемый потолок: каким бы путём вы ни шли, скорость чтения домашних файлов из внешней сети не превысит домашнююисходящую. При широкополосном канале с гигабитным входящим и 30M исходящим скорость вытягивания файлов извне будет ощущаться как 30Mbps, и это никак не связано с производительностью NAS — этот расчёт я втой статье про исходящуюУже посчитано в.

Для энтузиастов, которым нужно подключить несколько устройств— можно поднять собственный транзитный сервер с публичным IP и централизованно управлять туннелями в одном месте. Цена — замена «простоты» на «ещё одну машину, которую нужно обслуживать и оплачивать»; стоит ли это того, зависит от того, сколько стоит ваше время; если действительно браться, как выбирать конфигурацию, можно посмотретьна этой странице о том, как выбрать облачный сервер。

Эта статья — только начало, дальше будет ещё четыре

Тему «внешний доступ к Synology NAS» в одной статье не раскрыть, поэтому я разбил остальное: как шаг за шагом пробить IPv6 (три звена: ONT, firewall, DDNS), как выбирать решение для内网穿透 → reverse tunnel / port forwarding, когда нет публичного IP, насколько опасно выставлять порт управления в публичную сеть, и стоит ли надолго оставлять QuickConnect.

Если вы всё ещё на этапе «как посчитать затраты по каждому из четырёх вариантов», сначала посмотритекак выбрать удалённый доступ к NASту статью — там считаются стоимость, порог входа и поверхность атаки; а в этой статье считается, «куда конкретно нажимать на вашем текущем Synology».

Эта статья подготовлена на основе официального «QuickConnect Whitepaper» Synology (описание трёхступенчатого механизма подключения и ретрансляции), «Synology NAS External Access Quick Start Guide» (обновление от 2026-06-05), раздела безопасности «Synology NAS User Guide 7.4», официальных материалов «How to Enhance the Security of Synology NAS» и страницы технических характеристик DSM. Пути в интерфейсе и доступность пакетов следует сверять с версией DSM на вашей машине; «как определить, какой этап используется» — это личный опыт, официального обозначения в интерфейсе нет.

Полный каталог статей · Вернуться на главную