Un NAS QNAP guarda tus archivos, copias de seguridad y a menudo tus cámaras de seguridad, lo que lo convierte en un objetivo tentador si lo expones directamente a internet. Ejecutar un servidor VPN WireGuard en el propio NAS resuelve esto: consigues un túnel privado y cifrado directo a tu red doméstica, sin abrir puertos ni exponer cuentas a intentos de acceso remoto. Así se configura.
Qué necesitas antes de empezar
Un NAS QNAP con QTS o QuTS hero y App Center disponible, acceso de administrador al NAS, y acceso a la configuración de redirección de puertos de tu router, o bien un router QNAP con QuRouter, que gestiona WireGuard de forma algo distinta. También necesitarás la app WireGuard instalada en el dispositivo desde el que te vayas a conectar: móvil, portátil u otro NAS.
Paso 1: instalar QVPN Service desde App Center
Abre App Center en tu NAS QNAP, busca QVPN Service e instálalo. Es gratuito y lo mantiene directamente QNAP, y es la herramienta que configura servidores WireGuard, OpenVPN, L2TP/IPsec y PPTP desde una sola interfaz. Una vez instalado, abre QVPN Service desde el menú principal.
Paso 2: activar el servidor WireGuard
Dentro de QVPN Service, ve a VPN Server, selecciona WireGuard y actívalo. Dale al servidor un nombre que reconozcas después, y pulsa Generate Keypairs. QVPN genera automáticamente las claves privada y pública de 32 bytes del NAS; no hace falta generarlas a mano como en una instalación Linux sin más.
Paso 3: añadir un peer por cada dispositivo
Para cada dispositivo que vaya a conectarse (tu móvil, un portátil, un segundo NAS), pulsa Add Peer, dale un nombre identificable, y pega la clave pública WireGuard de ese dispositivo. Si aún no has generado claves de cliente, instala primero la app WireGuard en el dispositivo cliente; generará un par de claves que podrás copiar después. La sección Connection Accounts de QVPN también puede generar automáticamente un par de claves completo por usuario y mostrarlo como código QR escaneable, la forma más rápida de configurar la app móvil de WireGuard sin teclear claves a mano.
Paso 4: configurar la regla del cortafuegos
El Qufirewall de QNAP necesita una regla que permita tráfico WireGuard, o tu servidor, por bien configurado que esté, simplemente rechazará conexiones. En Qufirewall, añade una regla que permita el puerto WireGuard (51820 por defecto, en UDP) desde fuentes externas, tan restringida como te resulte cómodo.
Paso 5: redirigir el puerto en tu router
A menos que uses un router QNAP con QuRouter, tendrás que redirigir el puerto UDP 51820 desde tu router hacia la IP local de tu NAS, por ejemplo 192.168.1.2:51820. Este es el paso que más se olvida, y por eso “el servidor está corriendo pero nada se conecta” suele ser un problema del router, no de QNAP.
| Ajuste | Valor típico |
|---|---|
| Protocolo | UDP |
| Puerto por defecto | 51820 |
| IP local del NAS | p. ej. 192.168.1.2 |
| Redirigir a | IP del NAS : 51820 |
Paso 6: conectar desde un dispositivo cliente
En tu móvil o portátil, abre la app WireGuard, importa la configuración generada por QVPN (escaneando el código QR o importando el archivo), y conéctate. Si todo está bien configurado, deberías poder acceder a la página de administración de tu NAS y a tus carpetas compartidas usando su dirección de red local, incluso desde fuera de tu Wi-Fi doméstico.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Usar el NAS como cliente VPN en vez de servidor
Todo lo anterior convierte tu QNAP en un servidor VPN al que te conectas. QVPN Service también puede funcionar al revés: como cliente VPN, dirigiendo el tráfico del propio NAS, o el de apps que corren en Container Station, a través de un proveedor VPN comercial. Esto importa si ejecutas tareas de descarga o sincronización en el propio NAS y quieres que ese tráfico salga por la IP de un proveedor VPN en vez de por tu conexión doméstica. La configuración es parecida: importa el archivo de configuración WireGuard del proveedor en la sección de cliente de QVPN en vez de configurar un servidor.
Por qué WireGuard y no OpenVPN o L2TP
QVPN Service sigue soportando OpenVPN, L2TP/IPsec y PPTP además de WireGuard, y las guías antiguas de configuración VPN en QNAP suelen usar OpenVPN por costumbre. WireGuard sigue siendo la mejor opción para esta tarea concreta en casi todos los aspectos: su código es solo una fracción del tamaño del de OpenVPN, lo que lo hace más fácil de auditar y menos propenso a errores de configuración oscuros, y ofrece de forma constante mayor rendimiento y reconexiones más rápidas cuando tu móvil cambia entre Wi-Fi y datos móviles. PPTP no debería usarse en absoluto en 2026; su cifrado lleva años roto. L2TP/IPsec todavía funciona pero añade una sobrecarga que WireGuard no necesita. Salvo que tengas un dispositivo antiguo que de verdad no pueda ejecutar un cliente WireGuard, hay pocos motivos para elegir otra cosa en una configuración QNAP moderna. Para la comparación técnica completa, mira WireGuard vs OpenVPN.
Prueba la conexión desde fuera de tu red antes de confiar en ella
No des por hecho que la configuración funciona solo porque QVPN muestre el servidor como activo. Desconecta tu móvil por completo del Wi-Fi doméstico, pásalo a datos móviles, y luego conéctate por WireGuard e intenta acceder a una carpeta compartida o a la página de administración de tu NAS. Esta es la única prueba que confirma de verdad que la redirección de puertos, la regla del cortafuegos y la configuración del peer funcionan juntas. Una prueba desde un dispositivo todavía conectado a tu red doméstica puede pasar aunque la configuración esté rota, porque el tráfico local nunca necesita salir de tu router.
Hábitos de seguridad que conviene mantener una vez funcione
Trata las claves que genera QVPN como una contraseña: no las pegues en apps de chat ni en documentos compartidos, y elimina un peer por completo de QVPN si pierdes el dispositivo asociado, en vez de simplemente borrar la app. Mantén QTS o QuTS hero y el propio QVPN Service actualizados, ya que el software de servidor VPN es exactamente el tipo de componente que más se beneficia de parches de seguridad rápidos. Si añades un segundo servidor WireGuard, para el portátil de tu pareja o un familiar que visita a menudo, dale su propia entrada de peer en vez de compartir una sola configuración entre varios dispositivos; eso hace que revocar el acceso después sea mucho más limpio si se pierde o se cambia un teléfono.
Problemas comunes y soluciones
Si la conexión da tiempo de espera agotado, casi siempre es culpa de la redirección de puertos; comprueba que la IP local del NAS no haya cambiado desde que configuraste la regla, ya que los routers a veces reasignan direcciones DHCP. Si el túnel conecta pero no puedes acceder a las carpetas compartidas, confirma que el dispositivo cliente tiene permiso para enrutar hacia la subred de tu NAS en las allowed IPs del peer, no solo hacia el NAS en sí. Si QVPN Service se niega a activar WireGuard, comprueba que tu firmware QTS o QuTS hero esté actualizado; versiones antiguas se lanzaron antes de que QVPN Service 3 añadiera soporte para WireGuard.
El QVPN Service de QNAP hace que montar tu propio servidor WireGuard sea realmente accesible, sin línea de comandos, y es la forma más segura de acceder a tu NAS en remoto comparado con exponer directamente su página de administración a internet. Reserva veinte minutos para la configuración, la mayor parte de ellos la redirección de puertos en el router, y prueba la conexión desde fuera de tu red doméstica antes de confiar en ella.
Sigue leyendo: Cómo configurar una VPN en un NAS Synology y WireGuard vs OpenVPN: ¿qué protocolo elegir en 2026?.