安全な NAS リモートアクセス：QuickConnect、VPN、ポート転送

オフィスの NAS はデスクから快適に使えても、社員は自宅、顧客先、ホテルからプロジェクトファイルを必要とします。ある人は QuickConnect を提案し、別の人は VPN を求め、さらに別の人はルーターのポートを開けたいと考えます。

接続名ではなく業務から始めてください。ブラウザーで完成した文書をダウンロードすることと、プライベートなファイル共有をマウントすることや NAS を管理することは別です。

作業と利用者を定義する

関連するアプリケーション、利用者、機器、フォルダーを列挙します。社員が必要なのは Synology Drive の同期、ブラウザー経由のファイル受け渡し、SMB 共有、管理セッションのどれでしょうか。フォルダー一つを受け取るゲストに、技術管理者向けのアクセスを与えてはいけません。

作業中ずっとファイルをオンラインに置く必要があるのか、同期してローカル作業ができるのかも定義します。高遅延の回線で大きなプロジェクトファイルを何度も開く体験は、完成したアーカイブを一度ダウンロードする場合と大きく異なります。

責任が異なる三つのアクセス経路

図は論理的なアクセス経路です。VPN エンドポイントは対応するネットワーク機器や他の承認済みプラットフォームに置けます。NAS 自体で動作する必要はありません。

対応アプリケーションに QuickConnect を使う

QuickConnect は対応する Synology アプリケーションから NAS への接続を支援し、変わるアドレスをユーザーが覚える必要をなくします。すべてのネットワークプロトコルに対応すると思わず、現在の対応サービス一覧でアプリケーションと機能を確認してください。

常にリレーを使うわけでもありません。接続処理では利用可能な直接経路や接続トラバーサルを使い、必要に応じてリレーへ切り替わります。性能を調べるときは、この違いが重要です。

QuickConnect の設定で公開するアプリケーションを選び、想定ユーザーへ権限を与えます。利便性はアカウントの安全性、アプリケーション更新、リモートアクセス構成の明確な管理責任者の代わりにはなりません。

QuickConnect ID は SMB サーバーアドレスではなく、ノートパソコンを自動で社内ネットワークに参加させるものでもありません。プライベート共有をマッピングする場合は、適切なプライベートアクセス経路を検討してください。

SMB には管理されたプライベート経路を使う

SMB 共有へのリモートアクセスでは、Synology は CIFS/SMB ポートを直接インターネットへ公開する代わりに VPN を推奨しています。リモート端末はまず承認済みのプライベート経路に参加し、許可された NAS リソースへ接続します。

VPN エンドポイント、クライアント対応、アドレス、ルート、認証を確認します。トンネルの「接続済み」表示は一段階にすぎません。ユーザーには正しいネットワーク到達性と NAS フォルダー権限も必要です。

許可範囲を意図的に定めてください。プロジェクト共有が必要な人が、すべての社内サブネットや NAS 管理画面を必要とするわけではありません。端末やユーザーが承認対象から外れたとき、アクセスをどう解除するかも計画します。

インターネット経路の変更後に VPN が復旧しない場合は、 Dual-WAN 復旧ガイド が、経路の復旧と既存セッションの復旧は別の結果である理由を説明します。

ポート転送はサービスの公開として扱う

転送規則は、選択した外部エンドポイント経由で内部サービスに到達できるようにします。要件が明確で、公開サービスに責任を持つ人がいる場合は、正当な設計になり得ます。

ただし、利用できるアドレスがあるだけでは不十分です。認証、HTTPS と証明書、対応ソフトウェア、アクセス制限、監視、復旧を確認します。承認済みの本番変更を行う前に、既存設定を保管し、戻し方を確認してください。

DDNS は、ホスト名と変動する IP アドレスを関連付けてアドレスの問題を解決します。それ自体で VPN を作ったり、アクセスを許可したり、非対応の接続を安全にしたりはしません。キャリアグレード NAT や上流の制限で、想定する着信経路が使えない場合もあります。

アプリケーションが動くポートを探すために、多数のポートを開けないでください。まず必要なサービスを定義し、適切な対応方法を評価します。

リモートアクセスが遅い場合は経路を確認する

NAS の 2.5GbE ポートはローカルネットワークの一部です。リモート転送は、オフィス側のアップロード容量、リモート側のダウンロード容量、遅延、アプリケーションにも左右されます。これらはローカルポート速度を大きく下回る場合があります。

代表的な作業一つをローカルとリモートで比べます。ファイル群とアプリケーションをそろえ、情報が得られる場合は直接接続かリレーかを確認します。リレーは遅延を増やす場合がありますが、QuickConnect の全転送がその経路を使うという証拠にはなりません。

社内でも同じ作業が遅い場合は、 NAS ファイル転送のトラブルシューティングガイドを使ってください。ローカルでは速いなら、ドライブ交換や高速な NAS インターフェースの購入前にリモート経路を調べます。

ユーザー、端末、フォルダー権限をまとめて確認する

個人を識別できるアカウントを使い、対応する場合は適切な多要素認証を適用し、作業に必要な最小限のアクセスだけを許可します。NAS、関連パッケージ、アクセス用エンドポイントを保守してください。組織の通常の手順で、サインインとアクセスの記録を確認します。

ローカルコピーを保存できる端末、そのコピーの保護方法、紛失時の対応を決めます。同期フォルダーは作業性能を高める一方、端末側のストレージに対する別の管理責任を追加します。

バックアップと可用性を分けて考えてください。リモートアクセスと同期だけでは、削除、侵害、ストレージ故障の後に独立して復元できるコピーは得られません。

引き渡し前にオフィスの外からテストする

1. 承認済みのアプリケーション、ユーザー、端末、フォルダーの範囲を記録します。
2. オフィス LAN だけでなく、外部接続からテストします。
3. 認証と目的のリソースを確認し、ユーザーが接続してはいけないリソースも確認します。
4. 実際の業務を繰り返し、接続経路と所要時間を記録します。
5. 端末紛失、アカウントの取り消し、主回線停止への文書化された対応を確認します。
6. 引き渡し資料に、アクセス責任者、設定記録、復旧手順を含めます。

管理者がログインできても、一般社員の受け入れテストにはなりません。社員が実際に使うアカウントとアプリケーションでテストしてください。

アクセス設計を決めてからハードウェアを選ぶ

モデルの Synology DS925+ は、ストレージの業務に照らして検討できる NAS の一例です。ローカルインターフェースは、外部インターネット接続や特定の VPN 実装の速度を保証しません。

対応する Synology アプリケーションには、適切な QuickConnect の業務フローから始めて検証します。プライベートファイル共有には、管理された VPN 経路を評価してください。サービスの公開は、要件と運用責任がその設計を正当化する場合に限ります。

NAS のモデル、ソフトウェアバージョン、インターネットのアドレス構成、アプリケーション、ユーザー要件を用意し、 ネットワークスペシャリストへ相談してください。最も速そうな名前の方法を選ぶより、これらの事実を基にする方が役立つ設計になります。

よくある質問