Acceder a un NAS desde fuera de casa permite consultar documentos, subir fotografías o trabajar con archivos cuando no estás conectado a tu red local. También amplía la superficie de exposición del equipo. La comodidad debe ir acompañada de autenticación fuerte, actualizaciones, cifrado y una decisión consciente sobre qué servicios estarán disponibles.
No existe un único método correcto para todos. Los servicios de conexión del fabricante simplifican la configuración; una VPN crea un acceso privado a la red; y la publicación directa mediante puertos ofrece control, pero exige más conocimientos y mantenimiento.
Antes de activar el acceso remoto
Empieza por endurecer el acceso local. Si una cuenta usa una contraseña débil o el NAS tiene una actualización crítica pendiente, cambiar el método de conexión no corrige esos problemas.
- Actualiza el sistema operativo y las aplicaciones instaladas.
- Utiliza contraseñas únicas y largas para todas las cuentas.
- Activa autenticación multifactor en las cuentas compatibles.
- Deshabilita cuentas y servicios que no utilices.
- Activa bloqueo por intentos fallidos, protección de cuentas y alertas.
- Comprueba que la fecha y la hora del NAS sean correctas.
- Conserva una copia independiente de la información.
Tres formas habituales de conectarse
| Método | Ventaja | Consideración |
|---|---|---|
| Servicio del fabricante | Configuración sencilla y aplicaciones integradas. | Depende del servicio y puede usar conexión directa o relay. |
| VPN | Acceso cifrado a recursos de la red como si estuvieras dentro. | Requiere configurar servidor, clientes y recuperación de acceso. |
| DDNS y puertos | Control directo sobre dominios y servicios publicados. | Exige certificados, reglas mínimas, vigilancia y actualización continua. |
Servicios de conexión del fabricante
QuickConnect, myQNAPcloud, EZ-Connect y servicios equivalentes permiten localizar el NAS aunque cambie la dirección pública. Según la plataforma y la red, la conexión puede ser directa o pasar por un relay. Esta última opción simplifica escenarios donde no es posible abrir puertos, aunque puede limitar rendimiento o determinadas aplicaciones.
Utiliza únicamente aplicaciones oficiales, revisa qué permisos solicita cada dispositivo y elimina los clientes que ya no usas. El identificador público del servicio no sustituye la contraseña ni el segundo factor.
Acceso mediante VPN
Una VPN establece un túnel cifrado entre el dispositivo remoto y tu red. Una vez conectado, puedes acceder al NAS mediante su dirección privada sin publicar cada servicio por separado. El servidor VPN puede ejecutarse en el router, en un cortafuegos dedicado o en el propio NAS, siempre que el modelo y la política de seguridad lo permitan.
La VPN reduce el número de servicios expuestos, pero sigue necesitando credenciales fuertes, actualizaciones y control de dispositivos. Conserva un método de recuperación si pierdes el teléfono o la clave utilizada para autenticarte.
DDNS, certificados y redirección de puertos
DDNS asocia un nombre de dominio a una dirección IP pública que puede cambiar. La redirección de puertos indica al router qué equipo interno recibirá una conexión determinada. Son funciones distintas: disponer de un nombre no abre el acceso, y abrir un puerto no garantiza una conexión cifrada.
Si publicas un servicio directamente:
- Expón solo el servicio imprescindible.
- Utiliza HTTPS con un certificado válido.
- Evita protocolos obsoletos o sin cifrado.
- Limita por cortafuegos las redes de origen cuando sea posible.
- No uses la cuenta administrativa para acceder a archivos.
- Revisa registros y alertas de inicio de sesión.
Qué ocurre si tu conexión utiliza CGNAT
Con CGNAT, varios clientes comparten una dirección pública gestionada por el operador. En ese escenario, una redirección configurada en tu router puede no ser accesible desde Internet. Los servicios con relay, determinadas VPN superpuestas o una dirección pública contratada son alternativas posibles.
Compara la dirección WAN que muestra el router con la dirección pública observada desde Internet. Si no coinciden, consulta al proveedor antes de modificar repetidamente el router.
Separa administración y uso diario
La cuenta que consulta fotografías no necesita instalar aplicaciones. La cuenta que sincroniza documentos no necesita leer las copias de otros ordenadores. Crea usuarios individuales y grupos, limita cuotas y revisa los enlaces compartidos.
Compartir archivos con otras personas
Un enlace temporal puede ser más apropiado que crear una cuenta permanente. Define fecha de caducidad, contraseña, límite de descargas y permisos de solo lectura cuando el sistema lo permita. Elimina el enlace al terminar el intercambio.
No utilices enlaces públicos para sustituir un sistema de colaboración si necesitas auditoría, versiones y permisos por usuario. La facilidad para reenviar un enlace también implica que puede acabar en manos no previstas.
Protege los dispositivos remotos
La seguridad no termina en el NAS. Un portátil sin cifrado de disco o un móvil sin bloqueo puede conservar sesiones y archivos descargados. Activa cifrado, bloqueo automático, actualizaciones y capacidad de revocar sesiones.
Evita iniciar sesión desde dispositivos públicos. En redes Wi-Fi que no controlas, utiliza la aplicación oficial o una VPN y comprueba el dominio antes de introducir credenciales.
Registros, alertas y revisión periódica
Configura notificaciones ante intentos fallidos repetidos, inicio de sesión de administradores, cambios de permisos y desactivación de la protección. Revisa periódicamente:
- usuarios y grupos activos;
- dispositivos con sesiones abiertas;
- reglas de redirección del router;
- certificados próximos a caducar;
- aplicaciones que escuchan en la red;
- enlaces compartidos que continúan activos;
- actualizaciones y avisos de seguridad del fabricante.
Prepara un plan para cerrar el acceso
Debes poder revocar rápidamente una cuenta, un dispositivo o una clave. Documenta cómo desactivar el acceso remoto desde la red local y conserva códigos de recuperación multifactor en un lugar seguro.
Si observas accesos desconocidos, desconecta la exposición externa, conserva los registros, cambia credenciales desde un equipo limpio y revisa el NAS antes de volver a publicarlo. No confíes únicamente en cambiar el puerto.
Preguntas frecuentes
¿Cambiar el puerto hace seguro el NAS?
Puede reducir parte del ruido automatizado, pero no corrige vulnerabilidades, contraseñas débiles ni configuraciones incorrectas. Debe considerarse una medida secundaria.
¿Una VPN elimina todos los riesgos?
No. El servidor VPN y sus clientes también deben actualizarse y protegerse. Una cuenta comprometida puede proporcionar acceso a la red según los permisos concedidos.
¿Puedo acceder sin abrir puertos?
Sí, algunos servicios del fabricante y redes superpuestas utilizan conexiones salientes o relay. Las funciones y el rendimiento dependen del servicio elegido.