Comment installer un VPN sur un NAS QNAP avec WireGuard (guide pas à pas 2026)

Un NAS QNAP héberge vos fichiers, vos sauvegardes et souvent vos caméras de sécurité, ce qui en fait une cible tentante si vous l’exposez directement sur internet. Faire tourner un serveur VPN WireGuard directement sur le NAS résout ce problème : vous obtenez un tunnel privé et chiffré jusqu’à votre réseau domestique, sans ouvrir de ports ni exposer de comptes aux tentatives de connexion à distance. Voici comment tout configurer.

Ce qu’il vous faut avant de commencer

Un NAS QNAP tournant sous QTS ou QuTS hero avec l’App Center disponible, un accès admin au NAS, et soit un accès aux réglages de redirection de ports de votre routeur, soit un routeur QNAP tournant sous QuRouter, qui gère WireGuard un peu différemment. Il vous faudra aussi l’app WireGuard installée sur l’appareil depuis lequel vous comptez vous connecter : téléphone, ordinateur portable ou un autre NAS.

Étape 1 : installer QVPN Service depuis l’App Center

Ouvrez l’App Center de votre NAS QNAP, cherchez QVPN Service, et installez-le. C’est gratuit et maintenu directement par QNAP, et c’est l’outil qui configure les serveurs WireGuard, OpenVPN, L2TP/IPsec et PPTP depuis une seule interface. Une fois installé, ouvrez QVPN Service depuis le menu principal.

Étape 2 : activer le serveur WireGuard

Dans QVPN Service, allez dans VPN Server, sélectionnez WireGuard, et activez-le. Donnez un nom reconnaissable au serveur, puis cliquez sur Generate Keypairs. QVPN crée automatiquement les clés privée et publique 32 octets du NAS ; pas besoin de les générer manuellement comme sur une installation Linux nue.

Étape 3 : ajouter un peer pour chaque appareil

Pour chaque appareil qui se connectera (votre téléphone, un ordinateur portable, un second NAS), cliquez sur Add Peer, donnez-lui un nom identifiable, et collez la clé publique WireGuard de cet appareil. Si vous n’avez pas encore généré de clés client, installez d’abord l’app WireGuard sur l’appareil client ; elle générera une paire de clés à copier ensuite. La section Connection Accounts de QVPN peut aussi générer automatiquement une paire de clés complète par utilisateur et l’afficher sous forme de QR code scannable, la façon la plus rapide de configurer l’app mobile WireGuard sans taper de clés à la main.

Étape 4 : configurer la règle du pare-feu

Le Qufirewall de QNAP a besoin d’une règle autorisant le trafic WireGuard, sinon votre serveur pourtant bien configuré refusera simplement les connexions. Dans Qufirewall, ajoutez une règle autorisant le port WireGuard (51820 par défaut, en UDP) depuis des sources externes, aussi restreinte que vous le souhaitez.

Étape 5 : rediriger le port sur votre routeur

Sauf si vous utilisez un routeur QNAP sous QuRouter, il faudra rediriger le port UDP 51820 depuis votre routeur vers l’adresse IP locale de votre NAS, par exemple 192.168.1.2:51820. C’est l’étape la plus souvent oubliée, et c’est pourquoi “le serveur tourne mais rien ne se connecte” est généralement un problème de routeur, pas de QNAP.

Étape 6 : se connecter depuis un appareil client

Sur votre téléphone ou ordinateur, ouvrez l’app WireGuard, importez la configuration générée par QVPN (en scannant le QR code ou en important le fichier), et connectez-vous. Si tout est bien configuré, vous devriez pouvoir accéder à la page d’admin de votre NAS et à vos dossiers partagés via son adresse réseau locale, même depuis l’extérieur de votre Wi-Fi domestique.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Utiliser le NAS comme client VPN plutôt que serveur

Tout ce qui précède transforme votre QNAP en serveur VPN auquel vous vous connectez. QVPN Service peut aussi fonctionner dans l’autre sens : en client VPN, faisant transiter le trafic du NAS lui-même, ou celui des apps tournant dans Container Station, à travers un fournisseur VPN commercial. Utile si vous faites tourner des tâches de téléchargement ou de synchronisation sur le NAS et voulez que ce trafic sorte via l’IP d’un fournisseur VPN plutôt que votre connexion domestique. La configuration est similaire : importez le fichier de configuration WireGuard du fournisseur dans la section client de QVPN plutôt que de configurer un serveur.

Pourquoi WireGuard plutôt qu’OpenVPN ou L2TP

QVPN Service supporte toujours OpenVPN, L2TP/IPsec et PPTP en plus de WireGuard, et d’anciens guides de configuration VPN QNAP recommandent souvent OpenVPN par habitude. WireGuard reste le meilleur choix pour cette tâche précise sur presque tous les plans : son code source ne représente qu’une fraction de celui d’OpenVPN, ce qui le rend plus facile à auditer et moins sujet à des erreurs de configuration obscures, et il offre systématiquement un débit plus rapide et des reconnexions plus rapides quand votre téléphone bascule entre Wi-Fi et données mobiles. PPTP ne devrait plus être utilisé du tout en 2026 ; son chiffrement est cassé depuis des années. L2TP/IPsec fonctionne encore mais ajoute une surcharge dont WireGuard n’a pas besoin. Sauf appareil ancien qui ne peut vraiment pas faire tourner un client WireGuard, il y a peu de raisons de privilégier autre chose sur une installation QNAP moderne. Pour la comparaison technique complète, voir WireGuard vs OpenVPN.

Testez la connexion depuis l’extérieur de votre réseau avant d’en dépendre

Ne présumez pas que la configuration fonctionne juste parce que QVPN affiche le serveur comme actif. Déconnectez complètement votre téléphone du Wi-Fi domestique, passez-le en données mobiles, puis connectez-vous via WireGuard et essayez d’accéder à un dossier partagé ou à la page d’admin de votre NAS. C’est le seul test qui confirme vraiment que la redirection de port, la règle de pare-feu et la configuration du peer fonctionnent ensemble. Un test depuis un appareil encore connecté à votre réseau domestique peut réussir même quand la configuration est cassée, parce que le trafic local n’a jamais besoin de sortir de votre routeur.

Habitudes de sécurité à garder une fois que ça tourne

Traitez les clés générées par QVPN comme un mot de passe : ne les collez pas dans des apps de chat ou des documents partagés, et retirez complètement un peer de QVPN si vous perdez l’appareil qui lui est associé, plutôt que de simplement supprimer l’app. Gardez QTS ou QuTS hero et QVPN Service à jour, un serveur VPN étant exactement le genre de composant qui bénéficie le plus de correctifs de sécurité rapides. Si vous ajoutez un second serveur WireGuard, pour l’ordinateur d’un partenaire ou un proche qui vient souvent, donnez-lui sa propre entrée peer plutôt que de partager une seule configuration entre plusieurs appareils ; ça rend la révocation d’accès bien plus propre en cas de téléphone perdu ou remplacé.

Problèmes courants et solutions

Si la connexion expire, la redirection de port est presque toujours en cause ; vérifiez que l’IP locale du NAS n’a pas changé depuis la configuration de la règle, les routeurs réattribuant parfois des adresses DHCP. Si le tunnel se connecte mais que vous n’accédez pas aux dossiers partagés, confirmez que l’appareil client est autorisé à router vers le sous-réseau de votre NAS dans les allowed IPs du peer, pas seulement vers le NAS lui-même. Si QVPN Service refuse d’activer WireGuard, vérifiez que votre firmware QTS ou QuTS hero est à jour ; d’anciennes versions ont été livrées avant l’ajout du support WireGuard à QVPN Service 3.

À lire aussi : Comment installer un VPN sur un NAS Synology et WireGuard vs OpenVPN : quel protocole choisir en 2026 ?.