Arquivos NAS sem encaminhamento de porta: quanto custa um relay

O roteador é de outra pessoa, o NAS fica atrás dele, e o arquivo precisa ser recuperável de fora mesmo assim. Uma VPN completa para essa LAN é uma resposta, mas não a única: um relay de aplicação fornecido pelo fabricante do NAS pode transportar um fluxo de arquivos baseado em navegador sem nenhum mapeamento de porta de entrada. O que ele não pode fazer é dar ao computador remoto uma rota geral para a rede, então o projeto precisa combinar com o fluxo de trabalho e não o contrário.

Decida do que o usuário realmente precisa: um arquivo no navegador ou uma unidade mapeada com o comportamento nativo do sistema de arquivos.

O que é de fato o caminho do relay

O QuickConnect permite alcançar um NAS Synology pela infraestrutura do fornecedor quando não há nenhum caminho de entrada disponível. Conforme o que a rede permite, ele pode negociar uma conexão direta, tentar perfurar o NAT ou recorrer a um relay. Essa flexibilidade é útil, e também significa que «sem encaminhamento de porta» não é a mesma afirmação que «sempre pelo relay».

A conta na nuvem que registra o serviço, o ID QuickConnect que localiza o NAS e a conta NAS que autoriza operações de arquivo são três coisas diferentes. Perder a noção de qual delas você está depurando é a forma mais comum de esta configuração travar.

Registre-o como proprietário e depois restrinja

No DSM 7 os controles ficam em Control Panel, External Access, e a configuração é feita com uma conta Synology aprovada. Registre o dispositivo pelo proprietário dele em vez de uma credencial compartilhada, e revise as opções avançadas de serviços enquanto estiver ali. O objetivo é o fluxo de arquivos aprovado, não uma demonstração de que cada função de gerenciamento é alcançável a partir de uma rede de hotel. Cada serviço que você ativa é outra superfície que esse mesmo ID pode alcançar.

Registre o ID QuickConnect e a conta proprietária no inventário de ativos. Um relay não documentado é difícil de revogar quando a pessoa que o configurou vai embora.

Use o aplicativo que realmente tem suporte

Conceda a uma conta NAS dedicada o privilégio de aplicativo e as permissões de pasta de que o fluxo precisa, e então teste com essa conta e um arquivo inofensivo. Inclua um caminho negado e a remoção de uma conta no teste, porque a falha interessante costuma ser uma permissão ampla demais e não uma quebrada. Um ID de serviço é um endereço, não uma senha, e não substitui nenhuma das duas verificações.

Não cole o ID QuickConnect em uma montagem SMB. A lista de serviços com suporte da Synology inclui o File Station e exclui o mapeamento comum de unidades do Windows e o acesso SMB do Finder, então um upload pelo navegador não substitui um sistema de arquivos mapeado.

Entenda a fronteira de confiança que você aceitou

O caminho do relay não é um tubo cego. O portal de navegador da Synology pode encerrar a conexão do navegador e abrir uma conexão protegida separada para o NAS, o que torna o portal um componente confiável e não um simples repassador. Use o caminho HTTPS com suporte e deixe a validação do certificado fazer o trabalho dela; clicar através de um aviso porque o destino é «só um NAS» transfere o risco para o usuário. Se a política proíbe UPnP ou mudanças automáticas no roteador, revise esses recursos separadamente sob o dono deles.

Um firewall restritivo ainda pode bloquear o lado de saída. Um recurso de relay não é permissão para contornar um controle de rede.

Teste o fluxo de trabalho e depois documente a dependência

Repita a operação de arquivo necessária após uma reinicialização aprovada do NAS e após uma mudança de rede, e anote qual caminho foi usado e como ele se comportou. Sessões diretas e com relay podem diferir bastante, então um fluxo que parece bom no laboratório pode ser penoso por um relay. Adicione a transferência ao teste de restauração se os arquivos importarem.

Registre a dependência do provedor e o comportamento esperado durante uma queda. Se o requisito real for SMB nativo, as opções honestas são uma rede overlay aprovada ou uma VPN gerenciada, e ambas são projetos de rede com seus próprios requisitos de registro e firewall.