Удалённый доступ к NAS по IPv6: как настроить ONT, firewall и DDNS

Несколько дней назад меня спросили: дома широкополосный доступ без публичного IPv4, QuickConnect работает неудобно — неужели остаётся только купить релей.

Я сказал: не спеши тратить деньги, включи мобильный интернет, отключи Wi-Fi и вставь IPv6-адрес NAS в браузер. Он попробовал и ответил: как это быстро.

Это немного противоречит здравому смыслу — многие всё ещё переживают из-за «публичного IP», а та домашняя широкополосная линия на самом деле уже тихо выдала публичный IPv6, просто никто не выпустил его на router. Эта статья как раз о том, что после того, как его выпустили, нужно пройти ещё три关卡: ONT и router, firewall, DDNS.

Сначала确认一件事: у тебя дома, возможно, уже есть IPv6

28 июля 2026 года на Пятом форуме инновационного развития IPv6 в Китае был опубликован «Доклад о развитии IPv6 в Китае (2026)». Две цифры из доклада хорошо иллюстрируют ситуацию: по состоянию на декабрь 2025 года активных пользователей IPv6 в Китае 869 млн, что составляет 77,38% интернет-пользователей; по состоянию на июнь 2026 года доля включённого IPv6 на домашних шлюзах по всей стране составила 98,41%, а доля поддержки IPv6 в定制家庭 router операторов — 99,12%.

В том же месяце Центральная комиссия по делам киберпространства выпустила «План реализации углублённого технологического инновационного развития и интеграционного применения интернет-протокола шестой версии (IPv6) (2026—2030 годы)», в котором упоминается необходимость «ускорить переход к одностаковому IPv6». Если перевести это для читателя: получить публичный IPv4 в будущем станет только сложнее, IPv6 — это долгосрочное направление, а не временная замена.

Поэтому не спеши делать выводы, сначала выполни три действия:

• Проверь, получил ли DSM адрес.«Панель управления > Сеть > Сетевые интерфейсы», выбери используемую сетевую карту, нажми «Изменить», переключись на вкладку IPv6. Если здесь стоит «Автоматически» и ниже действительно отображается строка адреса, значит этот уровень уже работает.
• Один раз зайди с мобильного интернета.Отключи Wi-Fi, введи в браузере http://[你的IPv6地址]:5000— обрати внимание, что адрес нужно заключать в квадратные скобки, это способ записи IPv6 в URL, без скобок он просто не откроется. У китайских операторов常见的段 — начинающиеся с 240e, 2408, 2409 (чаще всего соответствуют Telecom, Unicom, Mobile), конкретно ориентируйся на то, что видишь сам.
• Убедись, что адрес не из внутренней подсети.Адреса, начинающиеся с fe80, — это link-local адреса, они работают только в локальной сети и не считаются; в качестве публичного адреса можно использовать глобальные unicast-адреса типа 2400::/12.

Все три шага пройдены — значит, у вас уже есть путь, который намного быстрее релея, осталось только настроить его стабильно.

Первый барьер: ONT и router — сначала кто-то должен получить префикс в свои руки

У IPv6 в домашнем широкополосном подключении есть принципиальное отличие от IPv4: он даёт вам не один адрес, а некий префикс, и уже домашний router распределяет этот префикс по каждому устройству. На жаргоне этот префикс называется делегированием префикса, то есть PD.

Ключ — в том, «кто выполняет дозвон». Когда ONT дозванивается сам (режим router), префикс находится у ONT, а router — лишь вторичный router, и в этом случае вам почти наверняка придётся залезть в настройки ONT и перебрать их; только когда ONT переведён в bridge, а дозванивается ваш собственный router, префикс попадает к вам в руки. В справочной документации Synology DSM об этом сказано прямо: опция DHCP-PD «требует поддержки со стороны ISP и работает только в режиме router» — только когда NAS дозванивается сам, у него появляется возможность запросить префикс.

Стоит ли вообще заниматься переводом в bridge, я втой статье о переводе ONT в bridgeпосчитал: он меняет контроль, а не пропускную способность. Но для IPv6 вес контроля выше, чем для IPv4, потому что у кого в руках префикс, у того в руках и firewall.

В настройках со стороны router нет ничего хитрого, сложно выбрать правильный тип. В официальном FAQ ASUS перечислены семь поддерживаемых им типов подключения IPv6: Native, статический IPv6, Passthrough, FLET'S IPv6 Service, а также три туннеля — Tunnel 6to4, 6in4, 6rd. Для подавляющего большинства домашних широкополосных подключений в стране правильно выбирать Native; остальные туннели — это решения для исторического наследия и зарубежных операторов, и признак неправильного выбора — «вроде бы включено, а на деле ни один пакет не выходит», причём это ещё и трудно диагностировать.

Есть ещё один момент, который особенно легко упустить:собственный IPv6 firewall у ONT. Когда ONT работает в режиме router, входящий трафик сначала упирается в ONT. Как бы красиво вы ни разрешали трафик на своём router, пакет просто не дошёл — такие случаи «я же открыл, а подключиться не могу» в девяти случаях из десяти упираются именно в этот уровень.

Второй барьер: в IPv6 нет NAT, у входа остаётся только firewall как единственная дверь

Это тот абзац во всей статье, где больше всего нужно изменить образ мыслей.

В эпоху IPv4 мы привыкли, что «нет публичного IP — значит, безопасно» — NAT попутно блокировал все входящие запросы извне, хотя изначально это не было его обязанностью. В IPv6 этого буфера не существует: у каждого устройства есть свой публичный адрес, задача router — «пересылать», а не «прятать». Поэтому firewall — уже не опциональное усиление, а единственная граница.

Производители по умолчанию поступают так же. В официальном FAQ ASUS сказано дословно: router по умолчанию не разрешает всем неизвестным устройствам входить в локальную сеть или через router получать доступ к внутренним устройствам, цель — избежать атак на router и устройства за ним. Чтобы разрешить, путь такой: «firewall > Общие настройки > IPv6 firewall» (по умолчанию включён), затем в «Правила входящего firewall» создать правило. В этом FAQ также приведены несколько конкретных данных: максимум 128 правил; в каждом нужно указать имя службы, удалённый IP или CIDR, локальный IP, диапазон port, протокол; иэта функция поддерживает только адреса IPv6, указывать IPv4 бесполезно。

Следуя этой структуре, правильный подход на самом деле укладывается в одну фразу: разрешить только один port NAS, не открывать «все port, все источники».

• В поле удалённого IP заполняйте, если есть возможность. Это означает «разрешить вход только с этих источников», что на порядок безопаснее, чем оставить пустым (тогда может постучаться любой источник). Недостаток: после смены базовой станции мобильный трафик меняет адрес, нужно оставить запас.
• В локальный IP впишите адрес IPv6 NAS, в port укажите только тот, который действительно нужен. 5000/5001 в DSM — это точка входа управления, не выставляйте их в публичную сеть без необходимости; обычная практика — использовать reverse proxy и открыть только один 443, или просто сменить на нестандартный port для снижения шума.
• Если разрешён «любой источник», то аутентификацию на стороне NAS необходимо усилить: автоматическая блокировка, защита учётных записей, двухфакторная аутентификация — все три есть в DSM готовыми.

У Synology тоже есть свой уровень. На официальной странице функций DSM его firewall описан как «двойная архитектура IPv4/IPv6 на основе профилей», правила могут ограничивать по IP или port и определять, на каком интерфейсе действовать. Здесь есть деталь, явно указанная в официальной справке, которую стоит запомнить:если NAS подключается к сети через PPPoE-дозвон, соответствующие правила firewall должны быть созданы на соответствующем интерфейсе PPPoE, созданные на интерфейсе LAN не вступят в силу.

Третий барьер: адрес меняется, поэтому нужен DDNS

Префикс, выданный оператором, имеет срок аренды; перезагрузка ONT, переподключение линии, изменения на стороне оператора — всё это может сменить сегмент. При смене префикса меняется весь адрес NAS — вот почему «просто запомнить IP» в IPv6 менее реалистично, чем в IPv4: адрес IPv4 вы ещё можете запомнить, а ту строку IPv6 никто не запоминает.

Хорошая новость в том, что Synology поддерживает это сама. На официальной странице функций DSM сказано дословно: Synology предоставляет бесплатный сервис DDNS,этот сервис поддерживает IPv4 и IPv6; на странице справки SRM (система router Synology) написано ещё категоричнее: «только Synology DDNS поддерживает сервис IPv6».

Путь: «Панель управления > Внешний доступ > DDNS», нажмите добавить, поставщик услуги выберите Synology, имя хоста впишите xxx.synology.me, заодно можно отметить сертификат Let's Encrypt и Heartbeat (уведомление об отключении) — все эти шаги перечислены в официальной справке.

Одна вещь, которую я должен сказать честно: на официальной странице помощи есть только одно поле ввода «внешний адрес», а во многих руководствах в интернете говорится, что в новом всплывающем окне будет две колонки — IPv4 и IPv6. Я не могу за вас подтвердить, как выглядит ваша версия DSM — ориентируйтесь на интерфейс на вашей машине: если можно заполнить IPv6, заполняйте IPv6; если в колонке IPv4 нет публичного адреса, отключите её.

Если у вас есть собственный домен или вы хотите, чтобы он отслеживался чаще, открытый инструмент ddns-go — распространённый выбор. Репозиторий распространяется по лицензии MIT, в README есть отдельный раздел для Synology — просто повторяйте шаги: в Package Center установите Docker → в реестре найдите ddns-go и скачайте → в образах запустите jeessy/ddns-go → в дополнительных настройках в сети отметьте «Использовать ту же сеть, что и Docker Host», поставьте галочку автоматического перезапуска → откройте в браузере http://群晖IP:9876 конфигурацию. Можно и через командную строку:

docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go

В его поведении по умолчанию есть две цифры, на которые стоит обратить внимание: по умолчанию синхронизация каждые 5 минут, на странице по умолчанию стоит галочка «Запретить доступ из интернета». Последнее значение по умолчанию не отключайте — на той веб-странице хранятся ключи вашего доменного провайдера.

Заодно сверьте ту страницу DSM

Настройки IPv6 в DSM находятся в «Панель управления > Сеть > Сетевые интерфейсы»: выберите сетевую карту, нажмите редактировать — на вкладке IPv6 есть три типа параметров (текст официальной страницы помощи):

• Автоматически: адрес генерируется по RA-объявлениям router'а, ниже можно уточнить: без состояния, без состояния + DHCPv6, с состоянием (нужно включить сервер DHCPv6 и заполнить пул адресов). Для домашнего широкополосного подключения этого достаточно.
• Вручную: самостоятельно заполнить адрес IPv6, длину префикса, шлюз по умолчанию. В среде, где префикс меняется, ручной режим скорее создаёт лишние хлопоты.
• Выключено, а также несколько переходных механизмов: 6in4, 6to4, DHCP-PD, IPv6 Tunneling. Кроме DHCP-PD (используется, когда NAS сам устанавливает соединение), остальные в основном служат запасным вариантом для сетей без нативного IPv6 — в домашнем широкополосном подключении они не нужны.

Три подводных камня, о которых никто не предупреждает заранее

Первое: на другой стороне тоже должен быть IPv6.Это самое частое «настроил, а открыть не могу». В офисной сети компании, а также во Wi-Fi многих торговых центров и отелей IPv6 отключён; при доступе из таких сетей к домену, у которого есть только адрес IPv6, запрос просто завершится ошибкой — это не связано с вашей конфигурацией. Мобильный трафик сейчас в основном поддерживает IPv6, поэтому при диагностике в первую очередь пробуйте через трафик и не делайте выводов, находясь в какой-то конкретной Wi-Fi сети.

II. При изменении префикса правила firewall молча перестают работать.В правиле на router в поле "локальный IP" указан полный адрес, первая половина которого — префикс, выданный провайдером. Если префикс сменился, это правило указывает на несуществующий адрес — оно не выдаёт ошибку, просто перестаёт совпадать, и вы "внезапно не можете подключиться". Именно поэтому репутация стабильности прямого подключения по IPv6 хуже, чем она того заслуживает. Мой собственный подход: в средах с частой сменой префикса вместо того, чтобы бороться с правилами, лучше сделать аутентификацию надёжной и открывать как можно меньше port'ов.

III. Как только домен получает сертификат, он становится публичным.При выпуске сертификата через Let's Encrypt домен попадает в логи прозрачности сертификатов (CT) — это публично проверяемый механизм, а не уязвимость. В сочетании с тем, что домены DDNS сами по себе легко угадываются (типа xxx.synology.me), это равносильно тому, чтобы написать на доске объявлений: "у меня дома есть NAS, адрес вот такой". Это не значит, что нельзя использовать — это значит, что "можно ли подключиться" и "следует ли раскрывать" — два разных вопроса. Для себя — так для себя, не стоит везде развешивать адрес.

Отдельно про port'ы: входящие 80, 443 на домашнем широкополосном канале — политика операторов в разных местах разная, некоторые просто блокируют. Поэтому для повседневного доступа использовать нестандартные port'ы или идти через reverse proxy реалистичнее, чем упорно долбиться в 80/443. Заблокированы ли они конкретно у вас — достаточно один раз проверить с мобильного трафика, не верьте чужим "у нас тут можно".

И последнее — про границы: всё вышесказанное касается доступа к собственным устройствам. Если вы хотите, чтобы другие через этот адрес обращались к вашему сайту или сервису — это другое дело: предоставление интернет-информационных услуг наружу связано с регистрацией (备案), а условия обслуживания домашнего широкополосного доступа обычно этого не допускают. Эта статья ту часть не затрагивает и не рекомендует использовать домашний широкополосный канал для этого.

Моё суждение: для этих трёх категорий людей ответ разный

Дома IPv6 стабилен, используется только вами и семьёй— стоит сделать, и соотношение цена-качество до смешного высокое. Одна настройка даёт прямое подключение без какого-либо стороннего релея, верхний предел скорости — это исходящая скорость вашего домашнего широкополосного канала; этот расчёт я втой статье про исходящую скоростьприводил — потолок при скачивании файлов извне — это никогда не NAS, а те самые 30M исходящей скорости.

Используете три-пять раз в год, хотите лишь изредка посмотреть фото извне— не заморачивайтесь, QuickConnect достаточно. Его ценность не в скорости, а в том, что "ничего не нужно настраивать, и дверь в дом при этом не открыта". Почему он иногда медленный, я втой статье про QuickConnectразобрал три сегмента механизма подключения — прочитав, вы поймёте, стоит ли в вашем случае менять маршрут.

Хотите предоставлять услуги из домашней сети наружу— не рекомендуется. Поверхность атаки, регистрация, условия договора с провайдером — все три пункта не на вашей стороне. Если действительно нужно, арендуйте нормальный сервер, не подставляйте домашнюю машину.

В конце дам рекомендацию по порядку действий — это вывод после того, как я наступил на грабли:Сначала на NAS настройте IPv6 так, чтобы можно было подключиться напрямую через мобильный трафик, и только потом думайте о DDNS и правилах firewall.Если порядок обратный, вы будете одновременно разбираться с ONT, router и DDNS в трёх местах, и в итоге с большой вероятностью сдадитесь на втором шаге. Три этапа выше расположены по «направлению входящего потока данных», а не по сложности.

Если вы всё ещё на этапе «какой способ удалённого доступа мне вообще выбрать», сначала посмотритерасчёт четырёх вариантовв той статье — там считаются стоимость, порог входа и поверхность атаки; а в этой статье считается, как конкретно реализовать путь через IPv6. Резервный вариант без IPv6 (как выбрать 内网穿透 → reverse tunnel / port forwarding) — следующая тема в этой серии.

Источники для этой статьи: «Доклад о развитии IPv6 в Китае (2026)» (опубликован 2026-07-28), «План реализации углублённого технологического инновационного и интеграционного применения интернет-протокола версии 6 (IPv6) (2026—2030)» Центрального комитета по делам киберпространства, официальная страница функций Synology DSM и справочная документация DSM 7 (разделы DDNS, сетевой интерфейс, firewall), официальные FAQ ASUS 1013638 (IPv6 firewall) и 113990 (настройка IPv6), README и LICENSE репозитория ddns-go (прочитано 10-26). Пути в интерфейсе, названия полей и политики операторов различаются в зависимости от версии и региона — ориентируйтесь на то, что отображается на вашем устройстве; «изменение префикса приводит к недействительности правил» и «входящие 80/443 заблокированы» являются эмпирическими суждениями и не проверялись по каждому региону.

Каталог всех статей · На главную