设置 VPN Server
通过 VPN Server 套件,您可轻松将 Synology NAS 转变为 VPN 服务器,让用户可以安全地远程访问 Synology NAS 局域网中共享的资源。VPN Server 整合最常用的 VPN 协议 - PPTP、OpenVPN 和 L2TP/IPSec - 提供您可根据自己的需求建立和管理 VPN 服务的各种选项。
注:
- 启用 VPN 服务会影响系统的网络性能。
- 只有 administrators 才能安装并设置 VPN Server。
PPTP
PPTP(点对点隧道协议)是常用的 VPN 解决方案,且大多数的客户端(包括 Windows、Mac、Linux 及移动设备)皆支持此协议。要了解更多有关 PPTP 的信息,请参阅此处。
若要启用 PPTP VPN 服务器:
- 打开 VPN Server,然后进入左侧面板中的 PPTP。
- 勾选启用 PPTP VPN 服务器。
- 在动态 IP 地址栏中指定 VPN 服务器的虚拟 IP 地址。请参阅下方的关于动态 IP 地址来了解更多信息。
- 设置连接数上限以限制 VPN 同时连接数量。
- 设置与同一帐户的最大连接数以限制与同一帐户的 VPN 同时连接数量。
- 从验证下拉菜单中选择以下其中一项以验证 VPN 客户端:
- PAP:验证过程中不加密 VPN 客户端的密码。
- MS-CHAP v2:验证过程中使用 Microsoft CHAP 版本 2 加密 VPN 客户端的密码。
- 如果您在上面为验证选择了 MS-CHAP v2,请从加密下拉菜单中选择以下其中一项来加密 VPN 连接:
- 无 MPPE:VPN 连接不会受到加密机制的保护。
- 可选 MPPE: VPN 连接是否会受到 40 位或 128 位(视客户端的设置而定)加密机制的保护。
- 需要 MPPE: VPN 连接会受到 40 位或 128 位(视客户端的设置而定)加密机制的保护。
- 设置 MTU(最大传输单元)来限制通过 VPN 传送的数据包大小。
- 勾选手动设置 DNS 并指定 DNS 服务器的 IP 地址以将 DNS 推送到 PPTP 客户端。如果禁用此选项,则会将 Synology NAS 当前使用的 DNS 服务器推送到客户端。
- 单击应用来使更改生效。
注:
- 连接到 VPN 时,VPN 客户端的验证和加密设置必须与 VPN Server 上指定的设置相同,否则客户端将无法成功连接。
- 为兼容运行 Windows、Mac OS、iOS 和 Android 操作系统的大多数 PPTP 客户端,默认 MTU 设置为 1400。对于更复杂的网络环境,可能需要较小的 MTU。如果您经常收到超时错误或遇到连接不稳定的情况,请尝试减小 MTU 大小。
- 请检查您的 Synology NAS 和路由器的端口转发以及防火墙设置,确保 TCP 1723 端口已打开。
- 部分路由器已内置 PPTP VPN 服务,因此可能会占用 1723 端口。若要确保 VPN Server 正常运行,可能需要通过路由器的管理界面禁用内置 PPTP VPN 服务,才能使 VPN Server 的 PPTP 正常运作。此外,部分旧式路由器可能会封锁 GRE 协议(即 IP 协议 47),这会造成 VPN 连接失败。建议使用支持 VPN pass-through 连接的路由器。
OpenVPN
OpenVPN 是实现 VPN 服务的开放源代码解决方案。它会以 SSL/TLS 加密机制保护 VPN 连接。要了解更多有关 OpenVPN 信息,请访问此处。
若要启用 OpenVPN VPN 服务器:
- 打开 VPN Server,然后进入左侧面板中的 OpenVPN。
- 勾选启用 OpenVPN 服务器。
- 在动态 IP 地址栏中指定 VPN 服务器的虚拟内部 IP 地址。请参阅下方的关于动态 IP 地址来了解更多信息。
- 设置连接数上限以限制 VPN 同时连接数量。
- 设置与同一帐户的最大连接数以限制与同一帐户的 VPN 同时连接数量。
- 为 OpenVPN 数据传输设置端口和协议。您可以决定用于在 VPN 上转发数据包的 Synology NAS 端口和协议。默认为 UDP 端口 1194。
注:若要确保 Synology NAS 上的服务正常运行,请避免分配与其他 Synology 服务相同的端口和协议集。要了解更多信息,请参阅本文。
- 从下拉菜单中配置加密,以在 VPN 隧道中对数据包进行加密。
- 从下拉菜单中配置验证以验证 VPN 客户端。
- 如果您要在传输过程中压缩数据,请勾选启用 VPN 链接压缩。此选项可提升传输速度,但可能会消耗较多系统资源。
- 勾选允许客户端访问服务器的 LAN,可允许客户端访问服务器的 LAN。
- 勾选启用 IPv6 服务器模式,可启用 OpenVPN 服务器来发送 IPv6 地址。您需要先通过 6in4/6to4/DHCP-PD 在控制面板 > 网络 > 网络接口中获取前缀。然后在此页面选择前缀。
- 单击应用来使更改生效。
注:
- VPN Server 不支持 Site-to-Site 连接的桥接模式。
- 请检查您的 Synology NAS 和路由器的端口转发以及防火墙设置,确保 UDP 1194 端口已打开。
- 在 Windows Vista 或 Windows 7 上运行 OpenVPN GUI 时,请注意 UAC(用户帐户控制)默认为启用。若此设置已启用,您需要使用作为管理员运行选项来通过 OpenVPN GUI 正确连接。
- 通过 OpenVPN GUI 在 Windows 中启用 IPv6 服务器模式后,请注意以下信息:
- VPN 使用的接口名称不能包含空格,如 LAN 1 需更改为 LAN1。
- 必须在客户端的 openvpn.ovpn 文件中设置重定向网关选项。如果不想设置此选项,您应手动设置 VPN 接口的 DNS。您可使用 Google IPv6 DNS:2001:4860:4860::8888。
若要导出配置文件:
请单击导出配置。OpenVPN 可让 VPN 服务器向客户端颁发验证证书。所导出的文件为 zip 格式文件,其中包含 ca.crt(VPN 服务器的证书文件)、openvpn.ovpn(供客户端使用的配置文件)以及 README.txt(有关如何为客户端设置 OpenVPN 连接的简易说明)。要了解更多信息,请参阅此处。
注:
- 每次 VPN Server 运行时,都会自动复制并使用在控制面板 > 安全性 > 证书中显示的证书。如果您需要使用第三方证书,请在控制面板 > 安全性 > 证书 > 添加中导入证书并重启 VPN Server。
- 每次修改在控制面板 > 安全性 > 证书中显示的证书时,VPN Server 都会自动重启。
L2TP/IPSec
L2TP over IPSec(第二层隧道协议)提供更安全的虚拟专用网络,且大多数的客户端(如 Windows、Mac、Linux 及移动设备)皆支持此协议。要了解更多有关 L2TP 的信息,请参阅此处。
注:
- 若要使用 L2TP/IPSec,请确保 Synology NAS 运行的是 DSM 4.3 或更高版本。
若要启用 L2TP/IPSec VPN 服务器:
- 打开 VPN Server,然后进入左侧面板中的 L2TP/IPSec。
- 勾选启用 L2TP/IPSec VPN 服务器。
- 在动态 IP 地址栏中指定 VPN 服务器的虚拟 IP 地址。请参阅下方的关于动态 IP 地址来了解更多信息。
- 设置连接数上限以限制 VPN 同时连接数量。
- 设置与同一帐户的最大连接数以限制与同一帐户的 VPN 同时连接数量。
- 从验证下拉菜单中选择以下其中一项以验证 VPN 客户端:
- PAP:验证过程中不加密 VPN 客户端的密码。
- MS-CHAP v2:验证过程中使用 Microsoft CHAP 版本 2 加密 VPN 客户端的密码。
- 设置 MTU(最大传输单元)来限制通过 VPN 传送的数据包大小。
- 勾选手动设置 DNS 并指定 DNS 服务器的 IP 地址以将 DNS 推送到 L2TP/IPSec 客户端。如果禁用此选项,则会将 Synology NAS 当前使用的 DNS 服务器推送到客户端。
- 要获得最大的 VPN 性能,请选择以核心模式运行。
- 输入预共享密钥并进行确认。您应将此密钥授予 L2TP/IPSec VPN 用户来验证连接。
- 勾选启用 SHA2-256 兼容模式(96 位)允许特定客户端(非 RFC 标准)使用 L2TP/IPSec 连接。
- 单击应用来使更改生效。
注:
- 连接到 VPN 时,VPN 客户端的验证和加密设置必须与 VPN Server 上指定的设置相同,否则客户端将无法成功连接。
- 为兼容运行 Windows、Mac OS、iOS 和 Android 操作系统的大多数 L2TP/IPSec 客户端,默认 MTU 设置为 1400。对于更复杂的网络环境,可能需要较小的 MTU。如果您经常收到超时错误或遇到连接不稳定的情况,请尝试减小 MTU 大小。
- 请检查您的 Synology NAS 和路由器的端口转发以及防火墙设置,确保 UDP 1701、500 和 4500 端口已打开。
- 部分路由器已内置 L2TP 或 IPSec VPN 服务,因此可能会占用 1701、500 或 4500 端口。若要确保 VPN Server 正常运行,可能需要通过路由器的管理界面禁用内置 L2TP 或 IPSec VPN 服务,才能使 VPN Server 的 L2TP/IPSec 正常运作。建议使用支持 VPN pass-through 连接的路由器。
关于动态 IP 地址
在向 VPN 客户端分配 IP 地址时,VPN Server 会根据您在动态 IP 地址中输入的数字,从某个虚拟 IP 地址范围中进行选择。例如,如果 VPN 服务器的动态 IP 地址设置为“10.0.0.0”,则 VPN 客户端的虚拟 IP 地址范围对于 PPTP 为“10.0.0.1”至“10.0.0.[连接数量上限]”,对于 OpenVPN 则为“10.0.0.2”至“10.0.0.255”。
重要事项:指定 VPN 服务器的动态 IP 地址之前,请注意:
- VPN 服务器允许的动态 IP 地址必须为以下任何一个:
- 从“10.0.0.0”到“10.255.255.0”
- 从“172.16.0.0”到“172.31.255.0”
- 从“192.168.0.0”到“192.168.255.0”
- VPN 服务器的指定动态 IP 地址以及分配给 VPN 客户端的虚拟 IP 地址不能与局域网中当前使用的任何 IP 地址产生冲突。
关于客户端进行 VPN 连接时使用的网关设置
通过 VPN 连接至 Synology NAS 的局域网之前,客户端可能需要为 VPN 连接更改网关设置。否则在建立 VPN 连接时,客户端可能会无法连接至 Internet。要了解详细信息,请参阅此处。