Wer zu Hause ohnehin schon ein Synology-NAS rund um die Uhr laufen hat, findet dort einen naheliegenden Ort für einen persönlichen VPN-Server, ohne zusätzliche Hardware, ohne zusätzlichen Stromverbrauch über das hinaus, was das NAS bereits verbraucht. Der Haken: Synologys eigenes VPN-Server-Paket unterstützt OpenVPN, L2TP und PPTP, aber kein WireGuard. Um an WireGuards Geschwindigkeit und Einfachheit zu kommen, muss das native Paket über Docker umgangen werden.
Diese Anleitung zeigt genau diese Docker-basierte Einrichtung, damit Handy oder Laptop von überall zurück ins Heimnetzwerk tunneln können, um auf NAS-Freigaben, die Plex-Bibliothek oder eine Home-Assistant-Instanz zuzugreifen, ohne sie direkt dem Internet auszusetzen.
Was das tatsächlich bringt
Das baut einen persönlichen WireGuard-Server auf dem NAS, kein kommerzielles VPN. Es ändert weder den scheinbaren Standort noch anonymisiert es den Traffic unter anderen Nutzern, da der Ausgangspunkt die eigene Heimverbindung ist. Was es bringt: verschlüsselten, authentifizierten Fernzugriff auf alles im Heimnetzwerk, kostenlos, ohne Abo, vollständig selbst kontrolliert.
Das ist ein anderes Werkzeug als ein Dienst wie NordVPN, der den Traffic über einen Drittanbieter-Server leitet, um den Standort zu ändern oder den Traffic vor dem Internetanbieter zu verbergen. Beide lösen unterschiedliche Probleme und funktionieren gut nebeneinander, eines für den Weg nach Hause, das andere für alles andere.
Was Sie vorher brauchen
Ein Synology-NAS, das Docker unterstützt (auf DSM 7.2+ in Container Manager umbenannt), was die meisten Modelle der Plus-Serie und mehrere Value-Serien-Modelle der letzten Jahre abdeckt, prüfen Sie im Paketzentrum Ihres konkreten Modells nach. Außerdem brauchen Sie Administratorzugriff auf Ihren Heimrouter für den Port-Weiterleitungsschritt, und idealerweise einen DDNS-Hostnamen, den Synology über den eigenen QuickConnect- oder Synology-DDNS-Dienst kostenlos bereitstellt, falls Ihr Internetanbieter keine feste öffentliche IP vergibt.
Schritt 1: Docker (Container Manager) aktivieren
Öffnen Sie das Paketzentrum in DSM, suchen Sie nach Container Manager (auf älteren DSM-6.x-Systemen Docker genannt), und installieren Sie es. Auf DSM 7.2 und neuer ist das die integrierte Container-Plattform, kein separater Download nötig über die Installation aus dem Paketzentrum hinaus.
Schritt 2: Den wg-easy-Container laden und konfigurieren
Die unkomplizierteste WireGuard-Umsetzung für Synology ist wg-easy, ein Docker-Image, das den WireGuard-Server mit einer übersichtlichen Weboberfläche zur Verwaltung der Client-Geräte bündelt, ohne Konfigurationsdateien von Hand bearbeiten zu müssen.
Gehen Sie in Container Manager zu Registry, suchen Sie nach wg-easy, und laden Sie das Image herunter. Erstellen Sie danach einen neuen Container daraus und setzen Sie vor dem Start diese Umgebungsvariablen:
WG_HOST: Ihr DDNS-Hostname oder Ihre feste öffentliche IP, dahin verbinden sich Client-Geräte von außenPASSWORD: ein starkes Passwort zum Schutz der wg-easy-WeboberflächeWG_PORT: beim Standard 51820 belassen, außer es gibt einen konkreten Grund, das zu ändern
Mappen Sie die Container-Ports: UDP 51820 für den eigentlichen WireGuard-Tunnel, TCP 51821 für die Web-Admin-Oberfläche. Stellen Sie den Container so ein, dass er nach einem NAS-Neustart automatisch neu startet, damit das VPN einen Stromausfall oder geplanten Neustart ohne manuellen Eingriff übersteht.
Schritt 3: Port-Weiterleitung am Router einrichten
Ihr Router blockiert standardmäßig unaufgeforderte eingehende Verbindungen, eine Port-Weiterleitungsregel ist also nötig, damit WireGuard-Traffic von außerhalb des Netzwerks das NAS erreicht:
- Loggen Sie sich in die Admin-Oberfläche Ihres Routers ein.
- Suchen Sie den Bereich Port-Weiterleitung, virtueller Server oder NAT, die Bezeichnung variiert je nach Routermarke.
- Erstellen Sie eine Regel, die externen UDP-Port 51820 an die lokale IP-Adresse des NAS weiterleitet, interner Port 51820.
- Speichern und, falls gefragt, den Router neu starten.
Geben Sie dem NAS zuerst eine feste lokale IP, entweder über eine DHCP-Reservierung im Router oder eine statische IP in den Netzwerkeinstellungen von DSM, damit diese Port-Weiterleitung nicht bricht, sobald der Router das nächste Mal Adressen neu vergibt.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Schritt 4: Client-Profile anlegen
Öffnen Sie die wg-easy-Weboberfläche unter https://ihr-ddns-hostname:51821 und loggen Sie sich mit dem in Schritt 2 gesetzten Passwort ein. Klicken Sie für jedes Gerät, das Zugriff braucht, auf “New Client”, Handy, Laptop, Tablet, ein Profil pro Gerät statt eine einzige Konfiguration zu teilen, damit sich der Zugriff einzeln widerrufen lässt, falls ein Gerät verloren geht.
Jeder Client bekommt einen QR-Code, der sich direkt in der mobilen WireGuard-App scannen lässt, sowie eine herunterladbare .conf-Datei für Desktop-Clients. Importieren Sie eines von beidem in die WireGuard-App (verfügbar für Windows, macOS, Linux, iOS und Android), um die Einrichtung auf diesem Gerät abzuschließen.
Schritt 5: prüfen, ob es wirklich funktioniert
Diesen Schritt nicht überspringen. Schalten Sie das WLAN des Handys aus, wechseln Sie zu mobilen Daten, um wirklich außerhalb des Heimnetzwerks zu sein, aktivieren Sie die WireGuard-Verbindung, und prüfen Sie, ob Sie einen NAS-Dienst (File Station, Plex, oder das DSM-Admin-Panel selbst) über seine lokale Adresse erreichen. Führen Sie bei bestehender Verbindung einen IP-Leck-Test durch; die angezeigte IP sollte zur Heimverbindung gehören, nicht zum Mobilfunkanbieter.
Absichern, was das VPN offenlegt
Da dieser VPN-Server auf demselben Gerät läuft, das die Dateien speichert, zählen ein paar Sicherheitsgrundlagen mehr als sonst. Legen Sie über den Router nur den WireGuard-UDP-Port selbst offen, niemals den DSM-Admin-Port, Plex’ Standardport oder SSH direkt ins Internet, all das sollte nur erreichbar sein, wenn bereits eine Tunnelverbindung besteht. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr Synology-Konto unabhängig vom VPN, da der Tunnel den Netzwerkpfad schützt, nicht ein kompromittiertes Passwort. Halten Sie DSM und den wg-easy-Container beide aktuell, Sicherheitspatches für NAS-Betriebssysteme zielen gezielt auf offengelegte Dienste wie diesen.
Die häufigsten Fehler beheben
| Symptom | Wahrscheinliche Ursache | Lösung |
|---|---|---|
| Client verbindet sich gar nicht | Port-Weiterleitungsregel fehlt oder falsch konfiguriert | Router-Regel prüfen, sicherstellen, dass sich die lokale IP des NAS nicht geändert hat |
| Verbindet im Heim-WLAN, scheitert bei mobilen Daten | Problem mit Port-Weiterleitung oder DDNS, nur von außerhalb des LAN sichtbar | Prüfen, ob der DDNS-Hostname auf die aktuelle öffentliche IP auflöst |
| Verbunden, aber NAS-Dienste nicht erreichbar | DSM-Firewall blockiert internen Zugriff | Prüfen, ob Sicherheit > Firewall in DSM Traffic aus dem internen VPN-Subnetz nicht blockiert |
| Funktionierte, stoppte nach Router-Neustart | NAS hat die feste lokale IP verloren | DHCP-Reservierung für die MAC-Adresse des NAS setzen |
| Durchsatz deutlich unter der normalen Verbindung | Älteres NAS-Modell oder Einstiegsmodell mit begrenzter CPU-Leistung | WireGuard-Durchsatz des Modells in Synologys eigenen Hardware-Spezifikationen prüfen |
WireGuard über Docker auf einem Synology-NAS einzurichten dauert für jemanden, der mit Container Manager und Router-Einstellungen vertraut ist, etwa 30 Minuten und macht aus bereits vorhandener Hardware einen dauerhaften, kostenlosen Weg, das Heimnetzwerk von überall zu erreichen. Das richtige Projekt für alle, die bereits NAS-gehostete Dienste (Plex, Photos, Home Assistant) sicher erreichen wollen. Kein Ersatz für ein kommerzielles VPN, wenn eigentlich ein anderer scheinbarer Standort oder Datenschutz gegenüber dem Internetanbieter im offenen Internet gewünscht ist, das sind getrennte Probleme, die diese Einrichtung nicht löst.
Ist das die richtige Lösung für Ihre Situation?
Diese Docker-basierte Einrichtung passt am besten zu Nutzern, die bereits ein NAS besitzen und technisch bereit sind, Container-Einstellungen und Router-Konfiguration selbst zu verwalten. Für alle, die stattdessen einfach nur bequem und ohne technischen Aufwand ihre eigene Ländereinstellung ändern oder ihren Traffic vor dem Internetanbieter verbergen wollen, ist ein kommerzieller Anbieter wie NordVPN oder ProtonVPN die passendere Wahl, da diese Dienste kein eigenes Gerät und keine Wartung erfordern. Beide Lösungen schließen sich nicht gegenseitig aus, viele technisch versierte Nutzer betreiben genau diese Docker-Einrichtung für den Zugriff aufs Heimnetzwerk und parallel ein kommerzielles VPN-Abo für alles andere.
Wartung nach der Einrichtung
Einmal eingerichtet, braucht dieser Server wenig laufende Aufmerksamkeit, aber nicht null. Prüfen Sie alle paar Monate, ob Container Manager ein Update für das wg-easy-Image anbietet, und wenden Sie DSM-Sicherheitsupdates zeitnah an, statt sie über Wochen aufzuschieben. Wird ein Gerät verloren oder gestohlen, für das ein Client-Profil erstellt wurde, den betroffenen Client sofort in der wg-easy-Oberfläche widerrufen, statt sich auf ein einfaches Passwort zum Schutz des gesamten Zugriffs zu verlassen. Diese kleinen, regelmäßigen Schritte machen den Unterschied zwischen einem dauerhaft sicheren Heimserver und einem, der nach der Ersteinrichtung in Vergessenheit gerät.
Für die Raspberry-Pi-Variante desselben Projekts siehe unsere Anleitung für WireGuard auf dem Raspberry Pi, und für die Verbindung zu einem kommerziellen VPN-Anbieter auf Router-Ebene stattdessen deckt unsere OpenWrt-VPN-Anleitung diesen alternativen Ansatz ab.
Weiterlesen: VPN auf einem Raspberry Pi: der eigene VPN-Router zum Preis einer Pizza und Wie Sie ein VPN-IP-Leck prüfen.