Accéder à son NAS depuis l’extérieur n’a rien de compliqué… mais toutes les méthodes ne se valent pas. Certaines privilégient la simplicité, d’autres la sécurité ou les performances. Si vous possédez un NAS, vous vous êtes probablement déjà demandé quelles solutions existent et quelles sont leurs différences. Voici un rapide tour d’horizon, avec les bonnes pratiques à connaître 😉
Accès à distance
Quand on possède un NAS, on devient vite exigeant en matière de sécurité. Pendant longtemps, il était strictement impossible d’accéder à mon NAS depuis l’extérieur. Et puis, les usages ont changé, les enfants ont grandi… nos besoins ne sont plus les mêmes.
La question n’est donc plus “faut-il y accéder ?” mais plutôt “comment le faire correctement ?”
Accès facile des constructeurs
Les fabricants de NAS proposent des solutions clés en main, très simples à configurer. Chacun propose son propre service de type Cloud Relay.
| Service | Accès | |
|---|---|---|
| Synology | QuickConnect | quickconnect.to/mon-id |
| QNAP | myQNAPcloud Link | qlink.to/mon-id |
| ASUSTOR | EZ-Connect | mon-id.ezconnect.to |
| UGREEN | UGREENlink | ug.link/mon-id |
| TerraMaster | TNAS.online | tnas.online/mon-id |
L’activation se fait généralement en un clic, sans configuration réseau ni redirection de port. Ces services fonctionnent via un serveur relais hébergé par le fabricant. Cela signifie que vos données transitent par une infrastructure tierce. Même si elles sont chiffrées, cela implique une dépendance à l’écosystème du fabricant… et des performances souvent en retrait.
Sa simplicité extrême pousse de nombreux utilisateurs à l’activer sans en mesurer les implications, d’autant que certains fabricants la proposent dès le premier démarrage. C’est tellement simple que personnellement, je trouve cela dangereux.
DDNS
Le DDNS (Dynamic DNS) permet d’associer une adresse IP publique (celle de votre Box qui change régulièrement) à un nom de domaine fixe. Vous pouvez acheter un domaine (.fr, .com, .eu…) pour quelques euros par an chez un registrar comme OVH ou Cloudflare, ou opter pour un sous-domaine gratuit via des services tiers tels que ChangeIP, FreeDNS, ou ceux proposés directement par les fabricants de NAS. Dans ce dernier cas, vous n’aurez pas la maîtrise totale du nom de domaine.
Cette méthode nécessite une redirection de port sur votre routeur. Il est également possible d’intégrer un reverse proxy (directement sur le NAS ou sur un autre équipement) pour gérer proprement un domaine et ses sous-domaines avec HTTPS.
VPN auto-hébergé
Héberger son propre serveur VPN est la solution offrant le meilleur rapport sécurité/contrôle. Le VPN constitue une porte d’entrée chiffrée vers votre réseau domestique. Pour accéder au NAS, vous devez d’abord vous authentifier via ce tunnel sécurisé… vous êtes connectés ensuite comme si vous étiez en local.
Le serveur VPN peut être installé sur :
- Votre Box ou routeur ;
- Un appareil dédié comme un Raspberry Pi ;
- Le NAS lui-même.
Je recommande WireGuard, qui combine une sécurité élevée avec d’excellentes performances, notamment en mobilité. C’est la solution que je privilégie personnellement. La contrepartie, c’est que sa configuration est plus technique que les autres méthodes. Elle nécessite également une redirection d’un port sur votre Box.
VPN hybride (mesh VPN)
Des solutions comme Tailscale proposent une approche simplifiée du VPN. Il suffit d’installer l’application sur le NAS et sur vos appareils, puis de se connecter avec un compte. La mise en relation entre les appareils est gérée automatiquement, sans configuration réseau.
Ces outils sont bien sécurisés (chiffrement de bout en bout), mais les données transitent via les serveurs de l’éditeur pour l’établissement de la connexion. Les performances sont souvent inférieures à un VPN auto-hébergé. L’offre gratuite est souvent suffisante pour un usage personnel…
Cloudflare Tunnel
Cloudflare Tunnel permet d’exposer son NAS via un nom de domaine, sans ouvrir le moindre port sur votre box… et en bénéficiant de la protection applicative de Cloudflare (WAF, gestion des accès, authentification à deux facteurs…).
Le fonctionnement repose sur un agent installé sur le NAS (généralement via Docker), qui établit une connexion sortante vers les serveurs Cloudflare. C’est ce tunnel qui permet l’accès depuis l’extérieur, sans exposition directe de votre réseau. La limite principale reste la même que pour toute solution cloud : vous faites confiance à un tiers pour le transit de vos données.
Rappel de sécurité
Dès qu’un NAS est accessible depuis Internet, il devient une cible potentielle. Des robots scannent en permanence le Web à la recherche de services exposés et des failles exploitables.
Je vous recommande d’appliquer un minimum de règles de sécurité :
- Activez le blocage automatique après plusieurs tentatives de connexion infructueuses ;
- Désactivez les comptes par défaut (admin, guest) ;
- Activez le pare-feu du NAS ;
- Utilisez un mot de passe robuste (majuscules, minuscules, chiffres et caractères spéciaux) ;
- Changez les ports par défaut ;
- Forcez l’utilisation du HTTPS (redirection HTTP vers HTTPS) ;
- Maintenez votre NAS à jour (système et applications) ;
- Mettez en place des sauvegardes régulières…
Il faut respecter toutes ces règles, voire plus…
En synthèse
Accéder à son NAS à distance est aujourd’hui indispensable, mais cela ne doit pas se faire au détriment de la sécurité. Plus une solution est simple à activer, plus elle mérite d’être questionnée. Prenez le temps de comprendre vos besoins et privilégiez toujours une approche sécurisée, même si elle demande un peu plus d’effort à la mise en place.
| Facilité | Sécurité | Contrôle | Ouverture de port | |
|---|---|---|---|---|
| Solution constructeur | ⭐⭐⭐⭐⭐ | ⭐⭐ | ⭐ | Non |
| DDNS | ⭐⭐⭐ | ⭐⭐ | ⭐⭐⭐⭐ | Oui |
| VPN auto-hébergé | ⭐⭐ | ⭐⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | Oui |
| VPN hybride | ⭐⭐⭐⭐ | ⭐⭐⭐⭐ | ⭐⭐ | Non |
| Cloudflare Tunnel | ⭐⭐⭐ | ⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | Non |