OpenVPN Synology DSM 7 VPN Server
在 Synology NAS 上架設 OpenVPN 伺服器，讓外部裝置能安全回到內網存取資源。這份筆記以 DSM 7 的 VPN Server 套件（OpenVPN 模式）為主，從 NAS 端建置走到用戶端連線。
概述
OpenVPN 是以 TLS 為基礎的開源 VPN，跨平台、設定彈性高。Synology 的 VPN Server 套件把伺服器端封裝成圖形介面，匯出的.ovpn 已整合好憑證，用戶端匯入即可連線。整體分兩個角色：
- IT 管理員：在 NAS 端建置伺服器、開帳號、設路由與對外位址、匯出設定檔。
- 一般用戶：拿到
.ovpn與帳號密碼，用 OpenVPN Connect 匯入連線。
NAS 端建置流程（IT 管理員）
1
安裝並啟用 VPN Server 套件
DSM「套件中心」搜尋 VPN Server 安裝後啟動，開啟左側選單的 OpenVPN，勾選「啟用 OpenVPN 伺服器」。
2
建立 VPN 專用帳號
DSM「控制台 → 使用者與群組」建立專用帳號（例如
vpnuser）：- 設定強密碼（長度 ≥ 12，含大小寫、數字、符號）
- 在「應用程式權限」只開必要服務（如 File Station / SMB）
3
調整 OpenVPN 伺服器設定
在 OpenVPN 設定頁依需求調整：
必勾：「允許用戶端存取伺服器的 LAN」「將伺服器的 LAN 路由推送給用戶端」。只需回內網存取資源時，不要勾「將所有用戶端流量導向 VPN」。
4
設定 VPN 使用權限
VPN Server 左側「權限」頁，把目標帳號的 OpenVPN 欄設為「允許」。建議在「一般設定」取消「授予 VPN 權限給新增加的本地使用者」，改由 IT 手動賦予，避免新帳號自動取得權限。
5
設定 DDNS（建議）
DSM「控制台 → 外部存取 → DDNS」新增 Synology DDNS（主機名如
your-nas.example.synology.me），NAS 會定期更新對應的外部 IP。用 DDNS 可免去 IP 變動造成設定失效。未用 Synology DDNS 時，也可改用 Cloudflare DNS A 記錄指向外部 IP 並配自動更新。6
路由器連接埠轉發
在主路由器的「Port Forwarding / 虛擬伺服器」新增規則：
雙 NAT 環境（電信終端設備 + 自己的 Router）須先在外層轉到內層 Router，再由內層轉到 NAS，否則外網連不進來。
7
DSM 防火牆放行（若有啟用）
DSM「控制台 → 安全性 → 防火牆」新增允許規則：來源可限公司 IP 段、連接埠填你設定的 OpenVPN 埠、動作「允許」，並把此規則排在拒絕規則之前。
8
匯出並編輯 .ovpn 設定檔
OpenVPN 頁點「匯出設定」取得 確認
.ovpn（可能附憑證）。用文字編輯器打開，把 remote YOUR_SERVER_IP 1194 改成你的 DDNS 或外部固定 IP 與實際使用的埠：ca / cert / key 憑證設定（Synology 匯出通常已整合）。存檔後連同帳號密碼提供給用戶。用戶端連線
各平台都裝 OpenVPN Connect，匯入.ovpn 後輸入帳號密碼即可。
- Windows
- macOS / Linux
- iOS
- Android
- 安裝 OpenVPN Connect。
Import Profile → Upload File選入.ovpn。- 輸入帳號密碼，按 Connect。
- 若提示缺憑證，確認
.ovpn已內嵌ca／tls-auth或一併匯入附帶憑證檔。
疑難排解
維運建議
- VPN 帳號由 IT 手動賦權，離職或專案結束即停權。
- 定期檢視 VPN Server 連線記錄，留意異常來源與時間。
- 伺服器埠避開預設值，搭配 DSM 防火牆限制來源網段。
- 機密（私鑰、
tls-auth金鑰、帳號密碼）只透過安全管道交付，絕不進版控或公開頻道。
相關連結
本頁是私人組織 repo issp-mes-lab/labvpn 的公開精簡版，已移除實驗室內部位址、連接埠、帳號與憑證等敏感資訊。原始 repo 為私有，需組織權限方可存取。
- 原始 repo（私有）：issp-mes-lab/labvpn
- Synology 官方：如何將 Synology NAS 設定為 VPN 伺服器
- 用戶端下載：OpenVPN Connect