Si vous avez déjà un NAS Synology qui tourne en permanence à la maison, c’est un endroit naturel pour héberger un VPN personnel, sans matériel supplémentaire, sans consommation électrique en plus de ce que le NAS utilise déjà. Le hic : le paquet VPN Server de Synology prend en charge OpenVPN, L2TP et PPTP, mais pas WireGuard. Pour obtenir la vitesse et la simplicité de WireGuard, il faut contourner le paquet natif via Docker.
Ce guide couvre cette installation via Docker, pour que votre téléphone ou ordinateur puisse revenir dans votre réseau domestique depuis n’importe où, atteignant vos partages NAS, votre bibliothèque Plex ou votre instance Home Assistant sans les exposer directement à internet.
Ce que ça donne concrètement
Ça construit un serveur WireGuard personnel sur votre NAS, pas un VPN commercial. Ça ne change pas votre position apparente et ça ne vous anonymise pas parmi d’autres utilisateurs, puisque le point de sortie est votre propre connexion domestique. Ce que ça donne : un accès distant chiffré et authentifié à tout ce qui se trouve sur votre réseau domestique, gratuitement, sans abonnement, entièrement contrôlé par vous.
C’est un outil différent d’un service comme NordVPN, qui fait sortir votre trafic via un serveur tiers pour changer votre position ou cacher votre trafic à votre FAI. Les deux résolvent des problèmes différents et fonctionnent bien ensemble, l’un pour rejoindre la maison, l’autre pour tout le reste.
Ce qu’il faut avant de commencer
Un NAS Synology qui prend en charge Docker (rebaptisé Container Manager sur DSM 7.2+), ce qui couvre la plupart des modèles de la gamme Plus et plusieurs modèles Value sortis ces dernières années, vérifiez le Centre de paquets de votre modèle précis pour confirmer. Il vous faudra aussi un accès administrateur à votre routeur domestique pour l’étape de redirection de port, et idéalement un nom d’hôte DDNS, que Synology fournit gratuitement via son propre service QuickConnect ou Synology DDNS si votre FAI ne vous donne pas d’IP publique fixe.
Étape 1 : activer Docker (Container Manager)
Ouvrez le Centre de paquets dans DSM, cherchez Container Manager (appelé Docker sur les anciens systèmes DSM 6.x), et installez-le. Sur DSM 7.2 et versions ultérieures, c’est la plateforme de conteneurs intégrée ; aucun téléchargement séparé n’est nécessaire au-delà de l’installation depuis le Centre de paquets.
Étape 2 : récupérer et configurer le conteneur wg-easy
L’implémentation WireGuard la plus simple pour Synology est wg-easy, une image Docker qui regroupe le serveur WireGuard avec une interface web propre pour gérer les appareils clients, supprimant le besoin d’éditer des fichiers de configuration à la main.
Dans Container Manager, allez dans Registre, cherchez wg-easy, et téléchargez l’image. Une fois téléchargée, créez un nouveau conteneur à partir de celle-ci et configurez ces variables d’environnement avant de le démarrer :
WG_HOST: votre nom d’hôte DDNS ou votre IP publique fixe, c’est ce à quoi les appareils clients se connecteront depuis l’extérieurPASSWORD: un mot de passe fort protégeant l’interface web d’administration de wg-easyWG_PORT: laissez le port par défaut 51820 sauf raison précise de le changer
Mappez les ports du conteneur : UDP 51820 pour le tunnel WireGuard proprement dit, et TCP 51821 pour l’interface web d’administration. Réglez le conteneur pour qu’il redémarre automatiquement si le NAS redémarre, pour que le VPN survive à une coupure de courant ou un redémarrage programmé sans intervention manuelle.
Étape 3 : configurer la redirection de port sur votre routeur
Votre routeur bloque par défaut les connexions entrantes non sollicitées, une règle de redirection de port est donc nécessaire pour que le trafic WireGuard atteigne le NAS depuis l’extérieur de votre réseau :
- Connectez-vous à l’interface d’administration de votre routeur.
- Trouvez la section redirection de port, serveur virtuel, ou NAT, le nom varie selon la marque du routeur.
- Créez une règle redirigeant le port UDP externe 51820 vers l’adresse IP locale de votre NAS, port interne 51820.
- Enregistrez et, si demandé, redémarrez le routeur.
Donnez d’abord une IP locale fixe à votre NAS, soit via une réservation DHCP dans votre routeur, soit via une IP statique réglée dans les paramètres réseau de DSM, pour que cette redirection de port ne casse pas la prochaine fois que votre routeur réattribue les adresses.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Étape 4 : créer les profils clients
Ouvrez l’interface web de wg-easy à https://votre-nom-ddns:51821 et connectez-vous avec le mot de passe réglé à l’étape 2. Cliquez sur “New Client” pour chaque appareil qui a besoin d’accès, téléphone, ordinateur, tablette, un profil par appareil plutôt que de partager une seule config entre plusieurs appareils, ce qui permet de révoquer l’accès individuellement si un appareil est perdu.
Chaque client reçoit un QR code scannable directement dans l’appli mobile WireGuard, et un fichier .conf téléchargeable pour les clients de bureau. Importez l’un ou l’autre dans l’appli WireGuard (disponible sur Windows, macOS, Linux, iOS et Android) pour terminer la configuration sur cet appareil.
Étape 5 : vérifier que ça fonctionne vraiment
Ne faites pas l’impasse sur cette étape. Coupez le Wi-Fi de votre téléphone, passez en données mobiles pour être vraiment en dehors de votre réseau domestique, activez la connexion WireGuard, et vérifiez que vous pouvez atteindre un service du NAS (File Station, Plex, ou le panneau d’administration DSM lui-même) via son adresse locale. Lancez un test de fuite d’IP une fois connecté ; l’IP affichée doit appartenir à votre connexion domestique, pas à votre opérateur mobile.
Verrouiller ce que le VPN expose
Comme ce serveur VPN tourne sur le même appareil qui héberge vos fichiers, quelques bases de sécurité comptent plus que d’habitude. N’exposez que le port UDP WireGuard lui-même via votre routeur, jamais le port d’administration de DSM, le port par défaut de Plex, ou SSH directement sur internet, tout ça ne doit être joignable qu’une fois déjà connecté via le tunnel. Activez l’authentification à deux facteurs sur votre compte Synology peu importe le VPN, puisque le tunnel protège le chemin réseau mais pas un mot de passe compromis. Gardez DSM et le conteneur wg-easy à jour tous les deux, les correctifs de sécurité pour les systèmes d’exploitation NAS visent spécifiquement des services exposés comme celui-ci.
Dépanner les pannes courantes
| Symptôme | Cause probable | Solution |
|---|---|---|
| Le client ne se connecte pas du tout | Règle de redirection de port manquante ou mal configurée | Revérifiez la règle du routeur, confirmez que l’IP locale du NAS n’a pas changé |
| Se connecte en Wi-Fi domestique, échoue en données mobiles | Problème de redirection de port ou de DDNS, visible seulement depuis l’extérieur du LAN | Vérifiez que le nom d’hôte DDNS résout bien vers votre IP publique actuelle |
| Connecté, mais impossible d’atteindre les services du NAS | Pare-feu DSM bloquant l’accès interne | Vérifiez que les règles Sécurité > Pare-feu de DSM ne bloquent pas le trafic venant du sous-réseau interne du VPN |
| Fonctionnait, puis s’est arrêté après un redémarrage du routeur | Le NAS a perdu son IP locale fixe | Réglez une réservation DHCP pour l’adresse MAC du NAS |
| Débit lent comparé à votre connexion normale | Modèle de NAS ancien ou d’entrée de gamme avec CPU limité | Vérifiez le débit WireGuard de votre modèle dans les spécifications matérielles de Synology |
Faire tourner WireGuard sur un NAS Synology via Docker prend environ 30 minutes pour quelqu'un à l'aise avec Container Manager et les réglages du routeur, et ça transforme du matériel que vous possédez déjà en un moyen permanent et gratuit d'atteindre votre réseau domestique depuis n'importe où. C'est le bon projet si vous faites déjà tourner des services hébergés sur le NAS (Plex, Photos, Home Assistant) que vous voulez atteindre en sécurité. Ce n'est pas un substitut à un VPN commercial si ce que vous voulez vraiment, c'est une position apparente différente ou une confidentialité au niveau du FAI sur internet ouvert, ce sont des problèmes séparés que cette configuration ne résout pas.
Pour l’équivalent Raspberry Pi de ce même projet, voir notre guide WireGuard sur Raspberry Pi, et pour connecter un fournisseur VPN commercial au niveau du routeur à la place, notre guide VPN OpenWrt couvre cette approche alternative.
À lire aussi : VPN sur Raspberry Pi : construisez votre routeur VPN pour le prix d’une pizza et Comment vérifier une fuite d’IP VPN.