# Je Synology NAS op afstand bereiken: VPN Server, QuickConnect of Tailscale > Je Synology NAS van buitenaf bereiken: VPN Server met OpenVPN, wat QuickConnect wel en niet doet, Tailscale op DSM en de beveiliging die Synology aanraadt. Een **Synology NAS op afstand benaderen** kan op drie manieren. Het pakket VPN Server maakt van de NAS een VPN-server met OpenVPN, L2TP/IPSec of PPTP, zodat je in het hele netwerk komt. QuickConnect verbindt de apps van Synology met je NAS zonder port forwarding, eventueel via een relayserver van Synology. Tailscale zet de NAS in een privénetwerk zonder open poort. Deze gids legt de verschillen uit voor zelfstandigen en kmo's, en zet de beveiligingsadviezen van Synology op een rij. **In het kort** 1. Het pakket VPN Server van Synology ondersteunt PPTP, OpenVPN en L2TP/IPSec; OpenVPN gebruikt standaard UDP-poort 1194, die je op de router naar de NAS doorstuurt. 2. QuickConnect geeft de apps en pakketten van Synology toegang tot je NAS zonder port forwarding, maar brengt je niet in de rest van je netwerk. 3. Synology raadt aan op de router alleen de poorten van de nodige diensten te openen en DSM op afstand via een VPN te beheren, in plaats van de beheerpoorten rechtstreeks aan het internet bloot te stellen. *Of: drie bruggen naar dezelfde archiefkast* Voor veel zaken is de NAS de reden om [een eigen ingang naar kantoor](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/) te maken. De facturen, de plannen en de foto's van de werf staan erop, en iemand heeft ze altijd nodig op een moment dat hij niet op kantoor is. Synology geeft je daarvoor drie bruggen: het pakket [VPN Server](https://kb.synology.com/nl-nl/DSM/help/VPNCenter/vpn_setup?version=7), de dienst QuickConnect en, via een pakket van een derde, Tailscale. Het korte antwoord: gebruik je alleen de apps van Synology, zoals Synology Drive, Synology Photos of File Station, dan volstaat QuickConnect vaak. Moet je ook bij de printer, een andere pc of de beheerinterface van de NAS zelf, kies dan VPN Server of Tailscale. ## NAS op afstand benaderen: drie wegen naar dezelfde kast ### VPN Server: de klassieke brug Met VPN Server wordt de NAS een volwaardige VPN-server. Alleen een beheerder kan het pakket installeren en instellen, en Synology waarschuwt dat de VPN-dienst de prestaties van het systeem beïnvloedt. Het pakket ondersteunt drie protocollen: PPTP, OpenVPN en L2TP/IPSec. WireGuard staat er niet bij. Voor een kleine zaak is OpenVPN de logische keuze. Zo zet je het aan, volgens de handleiding van Synology: 1. Open VPN Server en ga in het linkerpaneel naar OpenVPN. 2. Vink „OpenVPN-server inschakelen” aan. 3. Geef bij Dynamisch IP-adres een reeks virtuele adressen op voor de VPN-clients, en stel het maximumaantal verbindingen in. 4. Laat Poort en Protocol op de standaardwaarde, UDP-poort 1194, tenzij je een reden hebt om ze te wijzigen. 5. Vink „Clients toegang geven tot de LAN-server” aan als je ook bij andere toestellen in het netwerk wilt. 6. Klik op Toepassen, en klik daarna op Configuratie exporteren. Het geëxporteerde zip-bestand bevat openvpn.ovpn, het configuratiebestand voor de client, en README.txt met een korte uitleg. Op de router stuur je UDP-poort 1194 door naar de NAS. Verandert het certificaat van de NAS, onder Configuratiescherm > Beveiliging > Certificaat, dan exporteer je een nieuw .ovpn-bestand naar alle clients. L2TP/IPSec gebruikt UDP-poorten 1701, 500 en 4500 en een vooraf gedeelde sleutel. PPTP laat je beter uit: het protocol is verouderd, en ook Microsoft raadt het af wegens het gebrek aan beveiligingsfuncties. Heb je geen vast IP-adres, geef de NAS dan een naam via Configuratiescherm > Externe toegang > DDNS. Synology biedt daar een [gratis hostnaam](https://kb.synology.com/nl-nl/DSM/help/DSM/AdminCenter/connection_ddns?version=7) op synology.me aan, met een Let's Encrypt-certificaat als optie. ### QuickConnect: gemak, met een kanttekening [QuickConnect](https://kb.synology.com/nl-nl/DSM/help/DSM/AdminCenter/connection_quickconnect?version=7) laat de apps van Synology via het internet met je NAS verbinden zonder dat je regels voor port forwarding instelt. Je zet het aan onder Configuratiescherm > Externe toegang > QuickConnect: vink „QuickConnect inschakelen” aan, meld je aan met je Synology-account, kies een QuickConnect ID en klik op Toepassen. Lukt een rechtstreekse verbinding niet, dan kan QuickConnect het verkeer via de relayserver van Synology sturen, als de relayservice aan staat. Dat werkt, maar trager. Onder Geavanceerde instellingen kies je voor welke toepassingen en diensten QuickConnect aan staat. QuickConnect is geen VPN. Het verbindt de apps en pakketten van Synology met de NAS, niet je laptop met je kantoornetwerk. De printer, de pc van de boekhouder of een andere server bereik je er niet mee. Is het veilig? QuickConnect maakt je NAS bereikbaar via het internet, met je QuickConnect ID als adres. De beveiliging hangt dan vooral af van je accounts: zet QuickConnect alleen aan voor de toepassingen die je gebruikt, en volg de beveiligingsadviezen van Synology zelf. ### Tailscale op de NAS Tailscale zet de NAS in een privénetwerk met je andere toestellen, zonder open poort. Volgens de [handleiding van Tailscale](https://tailscale.com/kb/1131/synology) installeer je het pakket niet uit het Package Center, omdat die versie niet meer ondersteund wordt, maar download je het juiste pakket van de eigen pakketserver van Tailscale. Op DSM 7 kunnen andere pakketten op de NAS standaard geen uitgaande verbindingen over Tailscale maken; de handleiding beschrijft hoe je dat oplost. De NAS kan wel zijn lokale netwerk delen met de andere toestellen in je Tailscale-netwerk. > **Kmo-Kristof:** We hebben QuickConnect. Dus we hebben een VPN. > > **Security-Sofie:** Kun je ermee afdrukken op de printer op kantoor? > > **Kmo-Kristof:** Waarom zou ik van thuis afdrukken op kantoor? > > **Security-Sofie:** Dat is de juiste vraag. Als het antwoord nooit is, heb je misschien geen VPN nodig. {.dialoog} ### Wat Synology zelf aanraadt In zijn artikel over [de beveiliging van een Synology NAS](https://kb.synology.com/nl-nl/DSM/tutorial/How_to_add_extra_security_to_your_Synology_NAS) geeft Synology een reeks maatregelen. Voor toegang op afstand tellen deze het meest: - **Tweefactorauthenticatie**, in DSM 7 onder Opties > Persoonlijk > Beveiliging > Tweefactorauthenticatie. - **Automatisch blokkeren** van IP-adressen na te veel mislukte aanmeldingen, onder Configuratiescherm > Beveiliging > Bescherming. - **Het standaardaccount admin uitschakelen**, nadat je gecontroleerd hebt dat je met een ander beheerdersaccount kunt aanmelden. - **Alleen de nodige poorten openen** op de router. Moet je DSM op afstand beheren, dan raadt Synology aan dat via een VPN te doen, in plaats van de beheerpoorten rechtstreeks aan het internet bloot te stellen. Dat laatste advies zegt veel. De fabrikant van de NAS raadt zelf aan zijn beheerinterface achter een VPN te zetten. Twee voorbeelden. Een zelfstandige fotograaf die alleen Synology Photos op zijn gsm gebruikt, heeft genoeg aan QuickConnect met tweefactorauthenticatie. Een boekhoudkantoor van vijf mensen dat ook de beheerinterface en de printer op afstand nodig heeft, zet VPN Server of Tailscale op, en laat de poorten van DSM dicht. ### Tailscale buiten de NAS Tailscale werkt niet alleen op de NAS, maar ook op laptops, gsm's en servers. Hoe zo'n netwerk zonder open poort in elkaar zit, lees je bij [de werking van Tailscale](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/tailscale/). ### De poort voor VPN Server Kies je voor VPN Server, dan moet UDP-poort 1194 de NAS bereiken. Hoe je die bij Proximus, Telenet en Orange doorstuurt, staat bij [port forwarding naar je NAS](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/poort-openzetten/). ### Of toch een ander toestel Wil je de NAS zijn eigen werk laten doen en de VPN ergens anders laten draaien, bekijk dan [andere plekken voor een server](/gidsen/vpn-voor-bedrijven/eigen-vpn-server/eigen-vpn-server-opzetten/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).