脱GoogleのためのNAS活用ガイド(3)

外出先からNASに接続するための環境設定

2021/2/16
2021/2/10

企業向けや一部の家庭用光回線契約で固定IPを利用している場合を除き、QNAPのNASを外出先からインターネット経由で利用するためには、myQNAPcloudというWebサービスを使用します。

このページでは、まず外部アクセスにおける myQNAPcloudとNASの関係と仕組みについて解説し、最後にQNAPのサーバーを介さずに直接VPNで接続する場合の設定例やルーターの手動ポート開放について紹介します。

myQNAPcloudとは

myQNAPcloudはQNAP製NASユーザーに提供されている無料のWebサービスです。自宅のNASからQNAP IDでログインすると、myQNAPcloudと接続され、myQNAPcloud Linkアプリを有効にすることで、複雑な設定なしでGoogleドライブやOneDriveのようにブラウザを使ってNASのファイルにアクセスできます。

ただ、myQNAPcloudとmyQNAPcloud Link の組み合わせだけでは、ブラウザまたはQNAP純正スマホアプリでしか利用できないので、NASの利用目的や使用したい接続方式によっては、NASやルーターを手動で設定して、直接アクセスすることも可能です。

myQNAPcloudとNASの関係(禁転載)

このように、外部からQNAPのNASにアクセスする経路には、大きく分けて QNAPのサーバーを経由する方法と 直接アクセスする方法の2種類があります。

自宅のNASに直接アクセスするための仕組み

上の図をみてわかるように、直接NASにアクセスする場合でも myQNAPcloud に含まれるサービスの一部は利用することになります。

これは一般的な家庭の光回線契約は外部から直接接続するのに不向きで、QNAPcloudのDDNS(ダイナミックドメインネームシステム)というサービスを使ってこの問題を解決するためです。

光回線契約によって接続業者から提供されるホームゲートウェイには、「グローバルIPアドレス」と呼ばれるインターネット上に膨大に存在するコンピューター等の固有のアドレスが割り振られています。

ところが、一般的な家庭向けの契約ではグローバルIPは固定されておらず、ある日突然変更になることがあります。それでも家の中から普通にインターネット回線を利用する場合に問題になることはありませんが、外部からのアクセスをする場合には不都合があります。

たとえば、契約しているプロバイダーが4月1日にあなたの家に割り当てたグローバルIPが、123.456.789.0 だったとして、そのIPアドレスにアクセスできるようにスマホを設定していたとします。ところが、5月1日には、123.456.789.1 に変更になってしまうと、従来の設定ではアクセスできなくなってしまいます。

DDNSを使ったアクセスの仕組みは概ね以下のとおりです。

NASに対して NAS-NAME.myqnapcloud.com といった具合に ホームページアドレスのようなアドレス(サブドメイン)が発行されます
  • myQNAPcloudを利用するためのQNAPアカウント(QNAP ID)を作成します。費用は掛かりませんが、とりあえずNAS管理者用に1つだけあれば 良いでしょう。

  • NAS(QNAPのデスクトップ画面)で、myQNAPcloud アプリを起動し、作成したQNAP IDでログインすると、そのNASとmyQNAPcloudが接続されます。この時指定したQNAPcloudデバイス名(NAS名)がDDNSで使用されるサブドメインになります。

※ 詳しい作業内容と設定方法は、ダウンロードセンターから QTS-4.x.xの日本語ユーザーガイドを入手して、myQNAPcloud の項を参照してください。

DDNSは「NAS-NAME.myqnapcloud.com のグローバルIPアドレスは何番?」という問い合わせに対し、サブドメインとNAS側から常時報告されてくる最新のグローバルIPアドレスを紐づけて「NAS-NAME.myqnapcloud.com なら 123.456.789.1 にアクセスしてね!」と応答します。
利用者はサブドメインを指定するだけで、常に目的のNASにたどり着けるようになります。 

参考:VPN接続のみ使用する場合の設定例

私の使用しているNASは、2013年に発売された QNAP TS-120 の中古品で、自宅のLANでファイルサーバーやDLNAサーバー、プリントサーバーとしてまだまだ現役ですが、myQNAPcloudを使って 音楽や動画をストリーミングするにはスペックが足りないようです。

そこで余計なNASアプリやサービスをことごとく停止して、外部からの接続はVPNだけにしたところ、外出先からNASの音楽を聴いたりすることはもちろん、公衆無線LANなど、スマホの回線速度や通信容量さえ確保できる環境であれば、動画も視聴することができるようになりました。

  • セキュリティの観点からも、自分でよくわからない・使わないサービスやアプリは有効にしない、ルーターのポート開放も必要最小限にしておくことが、環境設定のポイントです。
  • 実際に設定する際は、QTSのユーザーガイドを参照しながらご自身の用途や環境に合わせて適切におこなってください

私の場合の設定は以下のとおりです。

有効にしているサービス

  • OS搭載のアンチウィルス
  • DLNAメディアサーバー
  • Microsoftネットワーク
  • マルチメディア管理
  • VPNサーバー(OpenVPN)

※その他のシステムサービスは、QTSのコントロールパネルからすべて停止しました。

インストールしてあるアプリ

システムでアンインストールできない標準アプリを除いて、次の4つのアプリのみインストールしてあります。

  • QVPN service(VPN接続設定用アプリ)
  • Malware Remover(セキュリティ対策用)
  • ヘルプデスク(なんとなく)
  • QTS SSL Certificalte(HTTPS接続時のSSL証明書設定アプリ≒私の場合不要)

myQNAPcloud アプリの設定

myQNAPcloudは、VPN接続時のDDNSサービスのためだけに利用しています。

  • 自動ルータ構成
    無効:ルーターのポートは、VPN用に1194番(UDP)のみ手動で開放しました。システムポート用の8080番は開かないので、外部からQTSにログインされたり、QNAP純正アプリでアクセスすることもできません。

  • MyDDNS
    有効:我が家の光回線(Nuro光)は、固定IPではないのでDDNSを使用します。IPは10分間隔でチェックしているようです。

  • 公開サービス
    NAS Web(NASの管理画面 ex 192.168.x.x)と File Station(ファイルとフォルダの操作およびアクセス権限の設定)の2つのみ、有効(非公開)ステータスになっています。その他はすべて無効(コントロールパネルから無効化または該当アプリのアンインストール)

  • myQNAPcloud Link
    無効。該当アプリもアンインストール済み

  • アクセスコントロール
    デバイスアクセス制御:無効、アクセスできる人:私だけ

  • SSL証明書
    私の環境ではHTTPSアクセスが発生しないので未設定。HTTPSを使用する場合は 画面に従って Let’s Encrypt をインストールしてください。

Let’s Encrypt の証明書は無料ですが、証明書の有効期限を自動更新するために NASの設定で Webサーバーを有効にし、ルーターの80番ポートを開放しておく必要があります。

ルーターのポート開放とは?

myQNAPcloud Linkを使わない場合や、myQNAPcloud アプリで自動ルータ構成機能がお使いのルーターで機能しない場合は、ホームゲートウェイ(ルーター)のポートを手動で開放する必要があります。

【ポートとは】
コンピューターやNAS、ルーターなどネットワークに接続されている機器には、データを受け渡しするための目に見えない電子的なデータの受け渡し口があり、これを「ポート」と呼んでいます。

ポートは通信用途別(メールの送受信やインターネット閲覧、ファイル共有等々)に数多く存在し、それぞれに固有の番号が振られて、使用しないポートは通常閉じられた状態になっています。そのため、外部からNASにアクセスする場合は必要なポートを開ける作業をおこないます。

ルーターのポート開放を適切に行うことで、同一LAN内に複数のPCやNASがある場合でも、目的のNASに接続することができます。次の図はVPNでNASに接続する場合のポート開放状態を簡単に表したものです。

ポート開放の仕組み(禁転載)

ここでは 外部からグローバルIPアドレスを持つルーターの1194番ポートにアクセスがあった場合に、同一LAN内にある機器の中から 192.168.1.100 のローカルIPアドレスを持つ NAS に通信経路が開かれています。そのため、ポートを解放する際、NASに割り振るローカルIPアドレスを常に 192.168.1.100になるように固定する設定も同時におこないます
※ IPアドレスはご自身のものに置き換えてください。

  • ポートの開放は グローバルIPをローカルIPへ転送(forwarding)または、グローバルIPとローカルIPの位置的な突合(mapping)ともいえる処理をおこなうことから、ポートの開放のことを「ポートフォワーディング」とか「ポートマッピング」と呼ぶ場合があります。

  • 使用しないポート閉じたまま、使用しないNASのサービスは停止しておくことはセキュリティ対策の基本です。なお、上記図に記載されているNASのシステムポート8080は、ルーターのポートを開かなければ外部からアクセスすることは出来ませんが、内部(同一ネットワークの他のPC)からはアクセス可能なので、メンテナンスの実施に支障になることはありません。

ルーターのポート開放方法

ルーターのポート開放(ポートマッピング・ポートフォワーディング)は、接続する機器(NASなど)に割り振られたローカルIP(プライベートIP)の固定作業とセットでおこないます。

(所要時間:約15分)

ここでは、Nuro光で提供されている Huawei製ホームゲートウェイ HG8045D を例に解説します。

  1. 接続機器のMACアドレスを調べる

    DHCPの例外として特定の機器のローカルIPアドレスを固定するには、機器を識別するためのMAC アドレスが必要になることがあります。

    例えばQNAP TS-120のMACアドレス は NASの「コントロールパネル > システムステータス > ネットワーク状態」から調べることができます。

  2. ルーターにログインする

    ブラウザのアドレス欄に「192.168.1.1」と入力し、ルーターにログインします。

    ご利用のルーターやネットワーク環境によってログイン用のアドレス等が異なる場合があります。詳しくはルーターのマニュアルを参照してください。

  3. DHCPスタティックIPを設定(接続機器のローカルIPを固定)

    ルーターの管理画面で、有線LAN > DHCPスタティックIP の項目を開き、ローカルIPアドレスを固定したい機器(NASなど)のMACアドレスと、固定後の ローカルIPアドレス(例 192.168.1.100 など4つ目の数字をお好みで)を設定します。

    機種によっては、ルーターの有線LANポートに対して割り当てるIPアドレスの範囲を指定するタイプのものがあります(例:Huawei製 HG8045j)。

    その場合は当該LANポートに割り当てるIPアドレスの範囲を一つに絞ることで、IPアドレスの固定と同様の効果が得られます。例えば、
    開始IP:192.168.1.100
    終了IP:192.168.1.100
    といった振合いになります。

  4. 開放するポートと転送先IPを紐づける

    転送ルール > ポートマッピング設定 の項目を開き、適宜の名前と開放するポート番号、接続する機器(NAS等)のローカルIPアドレスを設定します。

    設定について詳しくない方は、外部ポート番号と内部ポート番号の範囲はいずれも、解放したいポート番号と同じにします。UDPなどのプロトコル欄が不明な時は、「TCP/UDP」を選択します(画像はVPN用の開放例)。

    外部送信元IPアドレスや外部送信元ポート番号を指定すると、アクセスしてくる端末をより限定することができますが、個人向けの用途では設定不要(制限しない)です。

以上で 外出先からNASに接続するための基本的な環境設定が終わりました。VPNでの接続に興味がある方は以下の関連記事もぜひご覧ください。

この記事がお役に立ちましたら、シェアしていただけると嬉しいです!