# Acceder al NAS desde fuera de la oficina con seguridad

> Cómo acceder a un NAS desde casa o desde un cliente (VPN, servicio del fabricante o puertos abiertos), qué riesgo tiene cada vía y qué piden los fabricantes.

El **acceso remoto al NAS** permite abrir desde casa o desde la oficina de un cliente los archivos guardados en el NAS de la empresa. Los fabricantes y el INCIBE coinciden en lo esencial: no dejar el panel de administración expuesto a internet, preferir una VPN o el servicio de conexión del fabricante, mantener el equipo actualizado y exigir verificación en dos pasos a las cuentas que lo administran.

**En resumen**

1. Abrir puertos del router hacia el NAS es la vía más rápida y la más expuesta: QNAP recomienda desactivar el reenvío de puertos y TrueNAS limitar la administración a redes privadas.
2. Una VPN cifra la conexión entre el dispositivo remoto y la red de la oficina y permite usar el NAS como si estuvieras dentro.
3. Las cuentas de administración del NAS necesitan contraseñas robustas y verificación en dos pasos, y el sistema debe recibir las actualizaciones del fabricante.


## Acceso remoto al NAS: las opciones y lo que arriesgas con cada una

Un NAS está pensado para la red de la oficina, pero tarde o temprano alguien necesita un archivo desde casa, desde un hotel o desde la sala de reuniones de un cliente. Es el precio de usar el NAS como [nube propia de la empresa](/guias/almacenamiento-en-la-nube/nas-y-migracion/): hay que decidir cómo se entra desde fuera, y los fabricantes no recomiendan todos los caminos por igual. QNAP, por ejemplo, califica la apertura directa de puertos de «vulnerable a ciberataques» y sin defensa frente a vulnerabilidades de día cero ([QNAP](https://www.qnap.com/es-es/security)).

La respuesta corta: para un uso diario, una VPN; para un acceso ocasional, el servicio de conexión del fabricante con verificación en dos pasos; y nunca el panel de administración abierto a internet. Lo demás es reforzar las cuentas y mantener el equipo al día.

### Cuatro maneras de entrar, de más a menos expuesta

| Método | Cómo funciona | Exposición del NAS | Encaja con |
|---|---|---|---|
| Abrir puertos en el router (reenvío, UPnP o DMZ) | El NAS responde directamente a cualquier dirección de internet | Máxima: cualquiera puede intentar entrar | Solo quien tiene conocimientos de seguridad y una razón concreta |
| Servicio de conexión del fabricante, como QuickConnect de Synology o myQNAPcloud Link de QNAP | Las aplicaciones se conectan a través de los servidores del fabricante | Baja: no hace falta abrir puertos, aunque depende de la cuenta del fabricante | Accesos ocasionales, equipos sin técnico |
| VPN en el router o en el propio NAS | El dispositivo remoto entra en la red de la oficina por un túnel cifrado | Baja: solo queda expuesto el servicio VPN | Uso diario, teletrabajo regular |
| VPN entre oficinas | Dos redes quedan unidas de forma permanente | Baja, con equipos de red adicionales | Negocios con varias sedes |

Synology explica que QuickConnect permite a las aplicaciones llegar al NAS «sin necesidad de configurar reglas de reenvío de puerto», y avisa de que las conexiones que pasan por su servidor de retransmisión pueden ser más lentas. QNAP, en su comparación, presenta myQNAPcloud Link como la opción más sencilla de configurar y la VPN en el NAS como la más completa, a cambio de una configuración algo más complicada.

### La VPN, explicada sin tecnicismos

Una VPN es un pasillo cifrado entre tu portátil (laptop) y la red de la oficina. Una vez dentro, abres las carpetas del NAS como si estuvieras sentado en tu mesa, y desde internet solo se ve la puerta del pasillo, no el NAS. TrueNAS lo dice sin rodeos en su documentación: recomienda restringir la interfaz web y cualquier otra interfaz de administración a subredes privadas y usar tecnologías VPN cuando los servicios se usan por internet ([TrueNAS](https://www.truenas.com/docs/solutions/optimizations/security/), en inglés).

La VPN también se protege. El INCIBE aconseja usar doble factor de autenticación para acceder a ella, cuentas de VPN sin privilegios de administrador y mantener actualizados tanto el equipo que la aloja como los clientes de cada trabajador ([INCIBE](https://www.incibe.es/empresas/blog/recomendaciones-seguridad-el-empleo-redes-vpn)).

### Las medidas que recomiendan los fabricantes

Synology, QNAP y TrueNAS coinciden en casi todo. Esta lista reúne sus recomendaciones; revísala con quien administre el NAS de la empresa:

1. **Desactiva la cuenta «admin» predeterminada** y crea una cuenta de administración con otro nombre (Synology y QNAP).
2. **Activa la verificación en dos pasos** para todas las cuentas que administran el NAS (los tres fabricantes).
3. **Activa las actualizaciones automáticas** del sistema y de las aplicaciones, o revísalas cada mes (QNAP y TrueNAS).
4. **Activa el bloqueo automático** de direcciones IP tras varios intentos fallidos de inicio de sesión (Synology y QNAP).
5. **Revisa el router:** desactiva el UPnP y elimina las reglas de reenvío hacia el NAS que no necesites (QNAP). Synology, por su parte, recomienda abrir solo los puertos públicos imprescindibles ([Synology](https://kb.synology.com/es-es/DSM/tutorial/How_to_add_extra_security_to_your_Synology_NAS)).
6. **Apaga los servicios que no uses,** como Telnet o SSH (QNAP y TrueNAS), y usa conexiones cifradas para los que sí: HTTPS para el panel y SFTP en lugar de FTP (Synology).
7. **Pasa el asesor de seguridad del fabricante** de forma periódica: el Consejero de seguridad en Synology, Security Center en QNAP.
8. **Da a cada persona su propia cuenta** con permisos solo sobre las carpetas que necesita.
9. **Programa instantáneas y copias de seguridad.** QNAP recuerda que las instantáneas no sustituyen a una copia y que un RAID tampoco lo es.

### Un caso práctico

Una gestoría de cuatro personas en Santiago de Chile trabaja desde la oficina tres días a la semana y desde casa los otros dos. Su router ya incluye un servidor VPN, así que lo activan con una cuenta por persona y doble factor, cierran la regla de reenvío que alguien creó años atrás para «entrar al NAS desde el móvil (celular)» y dejan el servicio del fabricante desactivado. Desde casa, cada uno se conecta a la VPN y abre la unidad de red de siempre.

### Si lo que más se usa fuera ya no es el NAS

Cuando media plantilla trabaja fuera casi siempre, quizá convenga dejar en el NAS solo los archivos pesados y [llevar a la nube los documentos del día a día](/guias/almacenamiento-en-la-nube/nas-y-migracion/nube-hibrida/), que se comparten mejor desde allí.

### Si algo sale mal a pesar de todo

Ninguna medida reduce el riesgo a cero. Por eso un NAS accesible desde fuera necesita [una copia cifrada fuera de la oficina](/guias/almacenamiento-en-la-nube/nas-y-migracion/nas-con-copia-en-la-nube/), con varias versiones y a salvo de un ransomware que cifre el equipo.

### Si todavía estás decidiendo

Si el acceso remoto te parece demasiado trabajo, merece la pena volver a [sopesar NAS y nube con calma](/guias/almacenamiento-en-la-nube/nas-y-migracion/nas-o-nube/) antes de comprar el equipo.