人在外面想連回家裡的 NAS、監視器或電腦，有三種免費做法：用 NAS 內建的 VPN Server、用華碩這類路由器內建的 VPN Server，或是裝不用開埠的 Tailscale。
先講結論：新手、或家裡拿不到實體 IP 的人，直接用 Tailscale 最省事。家裡是中華電信光世代、願意設定路由器的人，用華碩路由器的 WireGuard VPN Server，速度快、又能連回整個家裡網路。
不管選哪一種，都不要把 NAS 的管理頁面直接開在外網，QNAP 和 Synology 都發生過大規模的勒索病毒攻擊。
這篇整理 Synology、QNAP、華碩和 Tailscale 的設定概要，以及中華電信浮動 IP、CGNAT 該怎麼處理。
連回家 VPN 跟翻牆、跨區 VPN 是兩種需求
VPN（虛擬私人網路）的原理是在你的裝置和另一台伺服器之間建立一條加密通道。差別在於通道的另一端是誰：
- 連回家：通道的另一端是你家裡的 NAS 或路由器。連上之後，手機就像接在家裡的 Wi-Fi 上，可以打開 NAS 的檔案、看監視器、遠端控制家裡的電腦。這種要自己架設，也就是「自架 VPN」。
- 翻牆、跨區：通道的另一端是 VPN 業者在世界各地的伺服器，例如 NordVPN、Surfshark。用途是隱藏你的 IP、切換到其他國家，或在公共 Wi-Fi 上保護連線。
這兩種不能互相取代：自架 VPN 只有「你家」這一個出口，沒辦法換國家；一般商業 VPN 的伺服器則連不進你家裡的網路，NordVPN 的 Meshnet 是例外，後面會說明。VPN 的基本原理可以閱讀 VPN 是什麼？
NAS VPN、路由器 VPN、Tailscale 比較表
先看三種做法的差別，粗體代表該項目比較省事或比較有利的做法：
| 比較 | NAS 內建 VPN Server | 華碩路由器 VPN Server | Tailscale |
|---|---|---|---|
| 代表工具 | Synology VPN Server、QNAP QVPN Service | 華碩 VPN Server | Tailscale（ZeroTier 類似） |
| 設定難度 | 中等 | 中等 | 低，登入帳號就能用 |
| 要不要開埠 | 要，在路由器設定埠轉發到 NAS | 路由器自己撥號上網就不用；前面還有數據機要另外處理 | 不用 |
| 要不要實體 IP | 要，浮動 IP 可以搭配 DDNS | 要，浮動 IP 可以搭配 DDNS | 不用，CGNAT 也能用 |
| 支援 WireGuard | Synology 沒有；QNAP 有 | 有（韌體 3.0.0.4.388 以上） | 有，全程使用 |
| 能連到的範圍 | NAS 和家裡網路 | 整個家裡網路 | 裝了 Tailscale 的裝置；設定子網路路由後可連整個家裡網路 |
| 速度 | 看家裡上傳頻寬和 NAS 效能 | 看家裡上傳頻寬和路由器效能 | 直連時看上傳頻寬；走中繼伺服器會變慢 |
| 費用 | NAS 內建，免費 | 路由器內建，免費 | 個人方案免費（限非商業用途） |
| 適合誰 | 只需要連 NAS、家裡路由器沒有 VPN 功能 | 想連回監視器、電腦等整個家裡網路 | 新手、拿不到實體 IP、不想動路由器 |
這裡的「速度」是指從外面連回家的速度，上限是家裡網路的上傳頻寬。例如家裡是 300M／100M 的方案，從外面連回家最快大約就是 100M。
做法一：NAS 內建 VPN Server（Synology、QNAP）
如果你只是想在外面打開 NAS 裡的檔案，用 NAS 自己的 VPN 功能最直接，不用另外買設備。
Synology VPN Server 設定概要
Synology 的官方套件 VPN Server 支援 OpenVPN、L2TP/IPSec 和 PPTP 三種協定（DSM 7.2〜7.4），最多 40 個同時連線，實際上限看機型。官方 VPN Server 沒有 WireGuard。建議用 OpenVPN，步驟概要如下：
- 用管理員帳號登入 DSM，到「套件中心」安裝 VPN Server。
- 打開 VPN Server，左側選 OpenVPN，勾選啟用。
- 設定「動態 IP 位址」，這是連進來的裝置會拿到的虛擬 IP，跟家裡網段不要重複。
- 按套用後，點「匯出組態」，取得 OpenVPN 設定檔。
- 到 DSM「控制台」的「外部存取」設定 DDNS，免費取得 xxx.synology.me 的網址。
- 到家裡路由器設定埠轉發，把 OpenVPN 用的埠號（預設 1194）轉到 NAS 的內網 IP。
- 用文字編輯器打開設定檔，把伺服器位址改成你的 DDNS 網址。
- 手機或電腦安裝 OpenVPN Connect，匯入設定檔，用 DSM 帳號密碼登入。
要注意的是，開啟 VPN 服務會影響 NAS 的網路效能，而且只有管理員可以安裝和設定。要讓某些使用者不能連 VPN，可以在 VPN Server 的「權限」裡關掉。
Synology VPN Plus Server 是什麼？
很多人搜尋的「synology vpn plus」是 VPN Plus Server，它屬於 Synology 路由器系統（SRM），是 Synology 路由器上的進階版 VPN Server。除了 OpenVPN、L2TP/IPSec、PPTP，還多了 SSTP 和 Synology 自家的 SSL VPN。如果你用的是 Synology NAS 而不是 Synology 路由器，用上面的 VPN Server 就好。
QNAP QVPN Service 設定概要
QNAP 的 QVPN Service 支援的協定比較多：WireGuard、OpenVPN、L2TP/IPSec、PPTP，以及 QNAP 自家的 QBelt。其中 WireGuard 速度最快、適合傳大檔案；QVPN 3.0 搭配 QTS 5.0 以上才有 WireGuard。步驟概要如下：
- 到 App Center 安裝或更新 QVPN Service。
- 打開 QVPN Service，在「VPN 伺服器」選 WireGuard 並啟用。
- 新增要連線的裝置（對等端），產生設定。
- 到 myQNAPcloud 設定 DDNS，取得 xxx.myqnapcloud.com 的網址。
- 到家裡路由器設定埠轉發，把 QVPN 設定畫面上顯示的 WireGuard 埠號轉到 NAS。
- 手機或電腦安裝 WireGuard App，匯入設定，伺服器位址填 DDNS 網址。
QBelt 要搭配 QNAP 的 QVPN Client App 使用，設計上比較不容易被判斷成 VPN 流量。
做法二：華碩路由器 VPN Server（WireGuard、OpenVPN）
用路由器當 VPN Server 的好處是，連上之後能存取整個家裡網路，NAS、監視器、印表機、遠端桌面都可以，而且路由器 24 小時開著，不用另外開機。
華碩路由器的 VPN Server 支援 PPTP、OpenVPN、IPSec VPN 和 WireGuard，其中 WireGuard 要韌體 3.0.0.4.388 以上，支援的機型可以在華碩官網查詢。步驟概要如下，完整說明可以參考華碩官方 WireGuard 設定說明：
- 到路由器管理頁面（router.asus.com 或路由器的內網 IP），先把韌體更新到最新版。
- 進入「VPN」→「VPN Server」，開啟服務，選 WireGuard VPN 分頁。
- 按「＋」新增一個用戶端設定，按套用。
- 手機安裝 WireGuard App 掃描畫面上的 QR Code；電腦則匯出設定檔，再匯入 WireGuard 用戶端。
- 到「外部網路（WAN）」→「DDNS」開啟華碩免費 DDNS，取得 xxx.asuscomm.com 的網址。
iPhone 用 WireGuard 連回家時，如果有些網站打不開，可以在 WireGuard App 的設定裡手動指定 DNS 伺服器。
要注意的是，華碩的 VPN Server 需要網路業者給的實體 IP。如果你家是中華電信數據機後面再接華碩路由器，華碩拿到的會是 192.168 開頭的內網 IP，要先把數據機改成橋接模式由華碩撥號，或在數據機上再設定一次埠轉發。
做法三：Tailscale 免開埠連回家
如果上面的開埠、DDNS 讓你看得頭很痛，或是家裡拿不到實體 IP，Tailscale 是最簡單的選擇。
Tailscale 是什麼？安全嗎？
Tailscale 是用 WireGuard 協定做的虛擬區網工具。每台裝了 Tailscale、登入同一個帳號的裝置之後，會獲得一個 100 開頭的專屬位址，彼此可以直接連線，就像接在同一個區網裡。
它不用開埠的原因是，每台裝置都是主動往外連，再由 Tailscale 協助彼此「打洞」直連；真的打不通時，才改走 Tailscale 的中繼伺服器（DERP）。實際上超過 90% 的連線都可以直連。
安全性方面，Tailscale 裝置的私密金鑰不會離開裝置本身，中繼伺服器只轉送加密過的資料，沒辦法解密。比較需要注意的是登入帳號：Tailscale 使用 Google、Microsoft、Apple、GitHub 等帳號登入，帳號被盜就等於家裡網路被打開，所以登入帳號一定要開兩步驟驗證。
Tailscale 設定步驟（Synology、QNAP）
Synology 和 QNAP 都可以直接在套件商店裝 Tailscale，步驟概要如下：
- Synology 到「套件中心」、QNAP 到「App Center」，搜尋 Tailscale 並安裝。
- 打開 Tailscale，用 Google 等帳號登入，第一次登入會自動建立免費帳號。
- 手機、筆電也安裝 Tailscale App，登入同一個帳號。
- 在手機上用 NAS 的 Tailscale 位址或裝置名稱，就能打開 NAS 的管理頁面和檔案。
幾個補充：
- 想連整個家裡網路：在 NAS 上把 Tailscale 設成「子網路路由（Subnet Router）」，外面的裝置就能連到監視器、印表機等沒有裝 Tailscale 的設備。做法是 SSH 登入 NAS，執行
sudo tailscale set --advertise-routes=192.168.1.0/24（換成你家的網段），再到 Tailscale 網頁後台的「Machines」核准這段路由。手機、Windows、Mac 會自動套用，Linux 電腦要另外加--accept-routes才連得到。 - NAS 有開防火牆：要放行 100.64.0.0/10 這段位址，否則連不進來。
- 套件版本比較舊：Synology 套件中心的 Tailscale 版本大約一季更新一次，建議開啟自動更新。
沒有 NAS 也能用，家裡有一台不關機的電腦裝 Tailscale，一樣可以當連回家的入口。
Tailscale 免費方案限制，以及 ZeroTier、NordVPN Meshnet
Tailscale 的方案如下，只有美元標價：
| 方案 | 價格（美國官網） | 重點 |
|---|---|---|
| Personal | 免費 | 最多 6 位使用者、使用者裝置不限數量，限非商業用途 |
| Standard | 每位使用者每月 8 美元 | 給公司團隊使用 |
| Premium | 每位使用者每月 18 美元 | 進階權限與管理功能 |
一般家庭用 Personal 免費方案就夠了。類似的工具還有：
- ZeroTier：免費的 Personal 方案限非商業用途、1 個網路、10 台裝置。
- NordVPN Meshnet：NordVPN App 內建的類似功能。NordVPN 在 2025 年 8 月 18 日宣布 Meshnet 將在 12 月 1 日停止，但 9 月 29 日又撤回了這個決定，目前仍持續提供。
中華電信浮動 IP 怎麼辦？DDNS、固定 IP、CGNAT
用 NAS 或路由器自架 VPN，外面的裝置要知道「你家在哪裡」，也就是你家的對外 IP。這裡分三種情況：
浮動的實體 IP：用 DDNS
中華電信光世代的一般家用方案，預設給的是浮動的實體 IP，重新撥號後可能會變。這時候用 DDNS（動態網域名稱）就好，它會幫你的 IP 綁一個固定網址，IP 變了網址也會自動跟著更新：
- Synology：免費的 xxx.synology.me
- QNAP：免費的 xxx.myqnapcloud.com
- 華碩路由器：免費的 xxx.asuscomm.com
想要 IP 不會變：申請固定 IP
中華電信非固定制的用戶，可以線上申請 1 個固定 IP。申請方式和費用可以閱讀固定 IP 是什麼？，一般家庭用 DDNS 通常就夠了。
拿到的是 CGNAT：只能用 Tailscale 這類工具
CGNAT 是網路業者讓很多用戶共用同一個對外 IP，你家沒有自己的實體 IP，外面的人連不進來，DDNS 和埠轉發都沒用。判斷方式是看路由器管理頁面裡的 WAN IP：
- 100.64〜100.127 開頭：CGNAT。
- 192.168、10、172.16〜31 開頭：路由器前面還有一層 NAT（雙重 NAT），通常是數據機沒有改橋接，可以自己處理。
- 其他開頭，而且跟查 IP 網站顯示的一樣：實體 IP，可以自架 VPN。
4G、5G 分享器和手機熱點大多是 CGNAT。遇到 CGNAT 時，只能請網路業者改給實體 IP，或改用 Tailscale、ZeroTier 這類不需要開埠的工具。雙重 NAT 和 CGNAT 的處理方式，可以參考另一篇 NAT 類型是什麼？
NAS VPN 安全嗎？不要把管理頁直接開在外網
用 VPN 連回家本身是安全的做法，危險的是另一種常見設定：直接在路由器把 NAS 的管理頁面（DSM、QTS）轉發到外網，讓任何人都能從網路上看到登入畫面。
Synology、QNAP 都發生過勒索病毒事件
- QNAP DeadBolt（2022 年 1 月）：勒索病毒 DeadBolt 從 2022 年 1 月 25 日起大規模攻擊連上網路的 QNAP NAS，把檔案加密後勒索比特幣。QNAP 在 1 月 26 日要求用戶關掉管理頁面的埠轉發、關掉 UPnP 自動開埠，並更新 QTS。當時至少有 3,687 台裝置被加密，台灣是受害較多的地區之一。
- Synology StealthWorker（2021 年 8 月）：殭屍網路 StealthWorker 大量用常見帳號密碼猜測登入 Synology NAS，猜中後可能植入勒索病毒，Synology 在 2021 年 8 月 4 日發出警告。這波攻擊沒有利用軟體漏洞，是針對弱密碼。
自架 VPN 的安全設定
連回家時最好做到這幾點：
- 只開 VPN 的埠，不要開管理頁面的埠：從外面連回家一律先連 VPN，再打開 NAS。
- 關掉 UPnP 自動開埠：避免 NAS 自己在路由器上開埠。
- 管理員帳號用強密碼並開兩步驟驗證：Synology NAS 也建議開啟「自動封鎖」和帳號保護。
- NAS 和路由器保持最新韌體：安全漏洞多半靠更新修補。
- 開啟快照：用快照（Snapshot）防範加密型勒索病毒，被加密時還能還原。
WireGuard、OpenVPN、L2TP、PPTP 協定怎麼選？
VPN 協定是加密通道的規格，各家設備支援的不一樣。粗體代表建議優先使用的協定：
| 協定 | 安全性 | 速度 | 哪些設備支援 |
|---|---|---|---|
| WireGuard | 安全 | 快 | QNAP、華碩、Tailscale |
| OpenVPN | 安全 | 中等 | Synology、QNAP、華碩 |
| IKEv2／IPsec | 安全 | 快 | 手機、電腦系統內建用戶端，家用 NAS 較少當伺服器 |
| L2TP／IPsec | 尚可 | 較慢 | Synology、QNAP |
| PPTP | 不安全，不要用 | 快 | Synology、QNAP、華碩仍保留 |
PPTP 是很舊的協定，Apple 在 2016 年的 iOS 10 和 macOS Sierra 就移除了 PPTP，並建議改用 L2TP/IPSec 或 IKEv2/IPSec，所以現在 iPhone 也沒辦法用 PPTP 連線。L2TP/IPsec 沒有明顯的安全問題，但遇到 NAT 比較容易連不上。有 WireGuard 就選 WireGuard，沒有就選 OpenVPN。WireGuard 跟其他協定的詳細比較，可以閱讀 WireGuard 是什麼？
自架 VPN 跟 NordVPN 這類服務差在哪？
自架 VPN 的出口只有你家這一個，所以有兩個限制：不能換國家，也不能隱藏家裡的 IP。
| 比較 | 自架 VPN（NAS、路由器、Tailscale） | 商業 VPN（NordVPN、Surfshark） |
|---|---|---|
| 主要用途 | 連回家裡的 NAS、監視器、電腦 | 隱藏 IP、切換國家、保護公共 Wi-Fi |
| 對外 IP | 設成全部流量走家裡時是家裡的 IP；Tailscale 預設只有連家裡裝置的流量經過家裡，一般上網要選用家裡的出口節點 | VPN 業者的 IP，可以選國家 |
| 伺服器位置 | 只有你家 | 世界各地 |
| 速度上限 | 家裡上傳頻寬 | VPN 伺服器和你當地的網路 |
| 費用 | 免費（設備已經有的話） | 需要訂閱 |
什麼時候兩個都要？
- 人在外面要連 NAS，又想在家上網時隱藏 IP：NAS 用 Tailscale 或自架 VPN，平常上網用 NordVPN 或 Surfshark。
- 出國想看其他國家的影片、用公共 Wi-Fi：商業 VPN 有多國伺服器，自架 VPN 做不到。公共 Wi-Fi 的風險可以參考另一篇公共 Wi-Fi 安全嗎？
要注意的是，手機一次只能開一個 VPN App，Tailscale 和 NordVPN 不能同時連線，要用哪一個就切換到哪一個。
我的建議
- 新手、只想連回 NAS：在 NAS 上裝 Tailscale，安裝後登入帳號就能用，不用碰路由器。
- 家裡是 4G、5G 分享器或 CGNAT：用 Tailscale、ZeroTier 或 NordVPN Meshnet 這類不用開埠的工具。Meshnet 要在家裡留一台開著 NordVPN 的電腦（Windows、Linux 或官網下載版 Mac）當入口，允許區域網路存取後才連得到 NAS。
- 家裡是中華電信光世代＋華碩路由器：用華碩的 WireGuard VPN Server 搭配華碩 DDNS，可以連回整個家裡網路，WireGuard 速度也快。
- 只有 Synology NAS：用 VPN Server 的 OpenVPN；不想開埠就改用 Tailscale。
不管用哪一種，都不要把 NAS 管理頁面直接開在外網。如果你還需要切換國家或隱藏 IP，就要另外用商業 VPN，我自己用的是 NordVPN，兩家的比較可以參考另一篇 NordVPN 和 Surfshark 比較。
常見問題
Synology QuickConnect 跟 VPN 差在哪？
QuickConnect 是 Synology 的免費連線服務，不用設定埠轉發就能從外面打開 DSM 和 Synology 的 App。它會先嘗試直連，連不上時改走 Synology 的中繼伺服器，走中繼時速度會比較慢。QuickConnect 只能連 Synology 的服務，要連家裡其他設備還是要用 VPN。
自架 VPN 可以在中國翻牆連回台灣嗎？
技術上可以連回台灣家裡，但 OpenVPN、WireGuard 這類常見協定容易被中國的網路審查辨識並阻擋，不保證穩定。QNAP 的 QBelt 標榜比較不容易被判斷成 VPN，但官方沒有保證能在中國使用。各家 VPN 在中國的外媒實測結果，可以閱讀中國 VPN 推薦。
連回家 VPN 會拖慢家裡的網路嗎？
會占用家裡的上傳頻寬。你在外面從 NAS 下載檔案時，家裡要把資料「上傳」給你，如果同時有人在家裡視訊或上傳檔案，兩邊都會變慢。一般看照片、開文件影響不大，大量傳檔時才會比較明顯。
連回家之後，上網會用家裡的 IP 嗎？
看設定。NAS 和路由器的 VPN Server 可以設定成所有流量都從家裡出去，這時上網就是用家裡的 IP，也可以只讓連家裡設備的流量走 VPN；Tailscale 預設只有連家裡裝置的流量會走 Tailscale，要讓所有流量從家裡出去，要另外把家裡的裝置設成「出口節點（Exit Node）」。