Last Updated on 01/02/2026 by administrator

OpenVPN Server Setup on Synology DSM 7

Motivace:

Tento článek popisuje zprovoznění VPN na systému DSM 7 (OpenVPN Server Setup on Synology DSM 7). Postupně provedeme tyto kroky:

Instalace VPN Serveru: Ukážeme si, jak balíček správně nainstalovat z Centra balíčků.
Konfigurace OpenVPN: Nastavíme parametry serveru tak, aby byl stabilní a zbytečně nezatěžoval procesor vašeho NASu.
Nastavení oprávnění: Určíme, kteří uživatelé se mohou k VPN bezpečně připojit.
Zprůchodnění sítě: Vysvětlíme, jak nastavit router (Port Forwarding), aby se spojení dostalo z internetu až k vašemu NASu.
Příprava klientů: Upravíme konfigurační soubor a ukážeme si, jak se připojit z mobilu s Androidem nebo z počítače s Windows.

Výsledkem bude robustní a bezpečný vzdálený přístup, který zvládne nastavit každý majitel Synology.

Implementace – OpenVPN Server Setup on Synology DSM 7 [1]:

1. Instalace OpenVPN Serveru:

Přihlásit se do DSM jako administrátor:

Otevřít Centrum balíčků (Package Center):

Vyhledat a nainstalovat balíček VPN Server:

2. Konfigurace OpenVPN:

Po instalaci aplikaci otevřít a postupovat následovně (nastavení ukazuje obrázek níže):

V levém panelu klikněte na OpenVPN.
Zaškrtnout políčko Aktivovat server OpenVPN (Enable OpenVPN server).
Nastavení parametrů:
- IP adresa dynamického klienta (Dynamic IP address): Můžete ponechat výchozí (obvykle zde bude zvoleno 10.10.30.1).
- Maximální počet připojení (Maximum connection number): Upravte dle potřeby (je doporučeno max. 5–10).
- Protokol (Protocol): UDP (je rychlejší pro VPN).
- Port: 1194 (výchozí).
- Šifrování (Encryption): AES-128-CBC.
- Autentizace (Authentication): SHA256.

Pozn. Byť je AES-256-CBC a SHA512 bezpečnější můj starší DS216j má slabší procesor bez hardwarové akcelerace šifrování (AES-NI). Šifrování tak probíhá čistě softwarově. Proto volím AES-128-CBC s SHA256, už jen proto, že průměrná přenosová rychlost je větší a latence menší v porovnání s AES-256-CBC a SHA512. Z hlediska bezpečnosti proti hackerům tím nic neriskujete, stále jde o šifry, které v rozumném čase nikdo neprolomí. Čili je to zlatá střední cesta.

Odškrtnout Enable compression on the VPN link“ (Povolit kompresi na linku VPN) – Je doporučeno políčko nechat prázdné (vypnuté). Pro NAS bude spojení stabilnější a pravděpodobně i svižnější, protože procesor nebude zbytečně zatěžován algoritmem LZO/LZ4.
Zaškrtnout Povolit klientům přístup k serverové síti LAN (Allow clients to access server’s LAN) – pokud chcete vidět ostatní zařízení v domácí síti, nejen NAS.
Zaškrtnout Ověřit klíč TLS auth (Verify TLS auth key) – Chrání váš NAS před útoky typu DoS (zahltění serveru) a skenováním portů
Zaškrtnout Ověřit CN serveru (Verify server CN)– Zabraňuje útoku typu Man-in-the-Middle

Kliknout na Apply (Použít):

OpenVPN Server Setup on Synology DSM 7 nastaven.

3. Nastavení oprávnění:

Je potřeba nastavit, který uživatel se smí přes VPN připojit:

V okně VPN Server přejít do sekce Nastavení oprávnění (Privilege).
Najít uživatele a ujistěte se, že má zaškrtnuté políčko ve sloupci OpenVPN – v tomto případě, je oprávnění pro použití OpenVPN nastaveno pro všechny uživatele.
Kliknout na Apply (Použít):

4. Průchod skrze Firewall a Router:

Pro přístup z internetu na OpenVPN server je potřeba mít veřejnou IP adresu (zeptat se svého poskytovatele připojení). Tuto veřejnou IP adresu je potřeba namapovat k VPN serveru NASboxu. To se nejčastěji provádí na routeru přes port forwarding (přesměrování portů), kde je potřeba povolit

Externí port: 1194
Interní port: 1194
Protokol: UDP
Cílová IP: Lokální IP adresa vašeho Synology (např. 192.168.1.50).

Obecný průvodce pro několik routerů, kde nastavit port forwarding je možné najít zde:

https://www.noip.com/support/knowledgebase/general-port-forwarding-guide/

5. Export a úprava konfiguračního souboru:

Aby mobil nebo notebook věděl, kam připojit, potřebuje konfigurační soubor.

V aplikaci VPN Server (sekce OpenVPN) kliknout na tlačítko Exportovat konfiguraci (Export Configuration):

Stáhne se ZIP soubor, ten rozbalit a otevřít soubor VPNConfig.ovpn v textovém editoru (Poznámkový blok):

Najít řádek, který vypadá takto:

remote YOUR_SERVER_IP 1194

a slovo YOUR_SERVER_IP nahradit svou veřejnou IP adresou nebo DDNS adresou.

Následně soubor uložit.

6. Připojení klienta:

Postup připojení klienta bude ukázan na systému Android a Windows.

Android:

Nainstalovat aplikaci OpenVPN Connect a importovat soubor .ovpn:

Profile Name lze libovolně upravit. Server Hostname nelze upravit jelikož je natvrdo zapsán v souboru .ovpn. Jako username vložit jednoho z uživatelů na NAS Synology a kliknout na Connect: