「マニュアルどおりにDDNSとポート開放を設定したのに、外出先からNASにつながらない」——NASの外部アクセスは、つまずく人がとても多い設定です。
原因はNASの設定ミスとは限りません。契約している回線が、そもそも外部からの接続を受け付けない仕組みになっていることも多く、その場合は何度設定を見直しても解決しません。
この記事では、NASに外部からアクセスできない代表的な原因を「症状→原因→確認方法→対処」の順に整理します。確認手順は、Synology・QNAP・バッファローの公式ナレッジベースの案内をもとにしています。外部アクセスの方式そのものを比較したい方は、先にNASに外部からアクセスする方法の比較をご覧ください。
まずは切り分け：どこで止まっているかを確かめる
原因を探る前に、次の3点で「どこまでは正常か」をはっきりさせます。
- 社内LANからNASに接続できるか：NASのローカルIPアドレス（例:
192.168.1.10）をブラウザに入力し、管理画面が開くか確認します。開かなければ、外部アクセス以前の問題です。 - 社外の回線から試しているか：社内のWi-Fiにつないだままでは正しく判定できないことがあります（原因8）。スマートフォンのWi-Fiを切り、モバイル通信で試すのが手軽です。
- どの方式で接続しているか：DDNS＋ポート開放のようにNASへ直接つなぐ方式か、QuickConnectなどメーカーのサーバーを経由する方式かで、確認箇所が変わります。
社内からは開けるのに社外からは開けないなら、原因は「ルーター・回線・プロバイダ」のどこかにあると絞り込めます。
原因1：回線がCGNATで、グローバルIPアドレスがない
症状：ポート開放もDDNSも設定したのに、社外からまったく応答がない。
原因：モバイル回線・ホームルーター・一部の光回線では、プロバイダが1つのグローバルIPアドレスを複数の契約者で共有するCGNAT（キャリアグレードNAT）が使われています。JPNICの用語解説では、CGNには共有用のアドレス空間「100.64.0.0/10」が使われ、NATを越える必要がある通信に悪影響が出る可能性があるとされています。バッファローの公式FAQも、Webアクセス機能はプロバイダからグローバルIPアドレスが割り振られる環境でないと利用できないと明記しています。
確認方法：ルーターのWAN側IPアドレスと、IPアドレス確認サイトに表示されるグローバルIPを比べます。一致しない、またはWAN側が 100.64.x.x〜100.127.x.x や 10.x.x.x ならCGNATの可能性が高い状態です。詳しい判定手順はCGNATの仕組みと確認方法で解説しています。衛星回線を使う拠点の場合はStarlinkの固定IPとCGNATの制約も参考になります。
対処：プロバイダ側の仕組みのため、NASやルーターの設定では解決できません。固定IPオプションでグローバルIPを確保するか、社内側から外へつなぐ方式に切り替えます。
原因2：IPv6 IPoE（v6プラスなど）でポート開放が制限されている
症状：光回線を「IPv6（IPoE）」接続に切り替えてから、外部からつながらなくなった。
原因：IPv6 IPoE接続では、IPv4の通信を「IPv4 over IPv6」で運び、IPv4アドレスを複数の契約者で共有します。NTT東日本の解説によると、代表的な2方式の違いは次のとおりです（2026年10月時点の公式情報）。
- DS-Lite（transixなど）：プロバイダ側の設備でNATを行うため、利用者側でのIPv4のポート開放は難しい
- MAP-E（v6プラスなど）：契約者側のルーターでNATを行い、ポート数に制限はあるがポート開放は可能
MAP-E方式では、利用者が使えるポートは回線ごとに割り当てられた範囲に限られます。NASの初期ポート（DSMのHTTPSは5001番など）が割り当て範囲外なら、そのままでは外部に開けません。使えるポートの範囲は、契約しているプロバイダの案内で確認してください。
確認方法：ルーターの管理画面で、接続方式が「v6プラス」「transix」「DS-Lite」「MAP-E」などになっていないか確認します。
対処：DS-Liteでは、ポート開放を前提とした方法は使えません。MAP-Eなら割り当てポートを外部ポートにして転送できますが、選択肢は限られます。IPv4を専有したい場合は、JPIXの「v6プラス」固定IPサービスのような固定IPサービスをプロバイダ経由で契約する方法があります。
CGNATやDS-Liteのように外からの接続を受け付けない回線では、何度設定し直しても状況は変わりません。こうした回線では、外から入るのではなく「社内側から外へつなぐ」方式が近道です。
ポート開放できない回線でも、社外からNASへアクセスする方法
「だれリモVPN」なら、専用機器をNASと同じ社内LANに挿すだけ。社内側からVPNを張るため、固定IPの取得もルーター設定の変更も不要です。
だれリモVPNの仕組みを見る原因3：ルーターが2台ある「二重ルーター」になっている
症状：Wi-Fiルーターにポート転送を設定したのに、外から届かない。
原因：プロバイダのホームゲートウェイの下に、Wi-Fiルーターをルーターモードでつなぐと、NATが二重になります。内側のルーターだけに転送を設定しても、外側で通信が止まります。バッファローの公式FAQは、2台以上のルーターが動作しているとWebアクセス機能を利用できないとしてブリッジモードへの変更を案内し、Synologyも「すべての親ルーター／モデムでポート転送規則を設定する必要がある」と注記しています。
確認方法：Wi-FiルーターのWAN側IPが 192.168.x.x などのプライベートアドレスなら、上流にもう1台ルーターがあります。
対処：どちらかをブリッジモード（アクセスポイントモード）にしてルーター機能を1台にまとめるか、両方に転送設定を入れます。
原因4：転送先のNASのIPアドレスが変わっている
症状：停電やルーターの再起動のあとから、急につながらなくなった。
原因：ポート転送は「どのローカルIPの機器へ渡すか」を指定する設定です。NASがDHCPで自動取得していると、再起動などでアドレスが変わり、転送が空振りします。バッファローのポート変換を使ったWebアクセス設定手順でも、最初のステップはNASのIPアドレスの固定です。
確認方法：NASの現在のローカルIPと、ルーターに登録した転送先IPが一致しているか見比べます。
対処：NASのIPを固定するか、ルーターのDHCP設定でNASに常に同じアドレスを割り当てます。NAS側で固定する場合は、デフォルトゲートウェイとDNSの設定も確認します。転送とIPの関係はポート開放の仕組みと固定IPが必要な理由で解説しています。
原因5：DDNSのホスト名が現在のIPを指していない
症状：IPアドレス直指定ならつながるのに、example.synology.me などのホスト名ではつながらない。
原因：DDNSの更新が止まり、ホスト名が古いIPを指したままになっています。
確認方法：Synologyのナレッジベースでは、DSMの［外部アクセス］→［DDNS］でステータスが「正常」か、ホスト名が外部IPに解決されるかを確認し、NASの時刻をNTPで同期するよう案内しています。QNAPは、ルーターのWAN側IPとmyQNAPcloudに表示されるDDNSのIPv4アドレスの一致を確認項目に挙げています。
対処：DDNSを有効化し直し、IPの一致を確認します。なお、CGNAT環境ではホスト名が正しくても接続は届きません。
原因6：ファイアウォールやプロバイダがポートを遮断している
症状：転送もDDNSも正しいのに、特定のポートだけ応答がない。
原因と確認方法：Synologyは、親ルーターとNASのファイアウォール規則が転送ポートへのアクセスを許可しているか確認し、一時的に無効化して切り分ける方法を案内しています。QNAPは、ネットワーク管理者やプロバイダにポートが遮断されていないか問い合わせるよう案内しています。
対処：原因が判明したら、ファイアウォールは必要なポートだけを許可する設定に戻します。プロバイダや建物の共用回線による遮断は、利用者側では解除できないことがほとんどです。
原因7：メーカーの中継サービスの設定・状態に問題がある
症状：QuickConnectやmyQNAPcloud Linkで、社外からNASが見つからない。
確認方法：各社の公式ナレッジベースでの主な確認項目は次のとおりです。
- Synology QuickConnect：サービス状態ページで稼働中か、DSMでQuickConnectと対象サービスが有効かを確認。続いてDNSの手動設定、IPv6・ファイアウォールの一時無効化、時刻同期を試します。プロバイダがDS-Liteの場合は、提供ルーターの再起動も挙げられています。
- QNAP myQNAPcloud Link：アプリを更新し、myQNAPcloud Linkを無効化→再有効化してステータスが「正常」か確認。改善しなければ診断ツールを実行します。
対処：直接通信できない環境では中継サーバー経由になり、大容量ファイルの転送が遅くなることがあります。なお、バッファローのWebアクセスはポート開放を伴うため、原因1〜6がそのまま当てはまります。
原因8：社内から確認していて、正しく判定できていない
症状：社内からDDNSのホスト名で開けない。または社内で「つながった」のに出先ではつながらない。
原因：社内から自社のグローバルIP宛てに通信して社内のNASへ折り返すには、ルーターがNATループバック（ヘアピンNAT）に対応している必要があります。Synologyは、ローカルネットワークからDDNSで接続できない場合、ルーターがNATループバックに対応しているかを製造元に確認するよう案内しています。
確認方法と対処：社内からはローカルIPで、外部アクセスの確認はモバイル通信など別の回線で行います。社外から正常につながるなら、設定に問題はありません。
症状別チェック表
| 症状 | 考えられる原因 | 確認方法 | 設定で解決できるか |
|---|---|---|---|
| 社外からまったく応答がない | CGNAT | WAN側IPと確認サイトのIPを比較 | できない |
| IPv6 IPoEに切り替えてから不通 | DS-Lite／MAP-E | ルーターの接続方式を確認 | DS-Liteは不可、MAP-Eは割り当てポートのみ |
| 転送設定したのに届かない | 二重ルーター | Wi-FiルーターのWAN側IPを確認 | できる |
| 再起動後に急に不通 | NASのIP変化 | 転送先IPとNASのIPを比較 | できる |
| ホスト名だとつながらない | DDNS未更新 | DDNSのステータスと解決先IP | できる |
| 特定ポートだけ応答なし | ファイアウォール・遮断 | 一時無効化で切り分け | 自社機器ならできる |
| 中継サービスで見つからない | サービスの状態・設定 | サービス状態・診断ツール | おおむねできる |
| 社内からホスト名で開けない | NATループバック非対応 | 社外の回線から試す | 外から正常なら問題なし |
社外から社内へ、工事不要・ルーター設定不要で安全にアクセス
「だれリモVPN」は専用機器を社内LANに挿すだけのクラウド型リモートアクセスVPNです。機器費用0円・初月無料・契約期間の縛りなしで、IT担当者がいなくても導入できます。
だれリモVPNの詳細・料金を見る「つながった」あとにも残る、ポート開放のリスク
設定を直してつながっても、安心はできません。ポート開放でつながるということは、同じ入口に世界中の誰でも接続を試せるということだからです。
開いているポートは自動スキャンで見つけられ、パスワードの総当たりやファームウェアの脆弱性を狙った攻撃の対象になります。インターネットに公開されたNASを狙ったランサムウェア被害を受け、NASメーカー自身も直接公開を避けるよう注意喚起しています。詳しくはNASのポート開放が危険な理由をご覧ください。
つまり、つまずいたときの選択肢は2つです。
- ポート開放でつながるように直す：グローバルIPがある回線が前提。公開ポートの管理とNASの更新を続ける必要がある
- 社内側から外へつなぐ方式に切り替える：回線の着信制限に左右されにくく、NASを外部に公開しない
CGNATやDS-Liteの回線では、前者はそもそも選べません。
解決策：社内側から外へつなぐクラウド型リモートアクセスVPN
クラウド型リモートアクセスVPNは、社内LANに置いた専用機器が社内側からクラウドのVPNサーバーへ接続し、外出先のPCも同じクラウドに接続して社内LANに入る方式です。通信が社内から外へ向かって始まるため、外部からの着信を受け付けない回線でもポート開放は必要ありません。ルーターに手を加えない仕組みはルーター設定なしでVPNを導入する方法でも解説しています。
「だれリモVPN」では、専用機器「FLINT plus」をLANポートか既存ルーターに挿すだけで導入できます。公式の案内では、固定IPアドレスの取得は不要、プロバイダを変えずに導入でき、インターネットにつながる環境があれば現在の社内ネットワークのまま利用できます。導入前には次の点を確認してください。
- 動作環境：DHCPでプライベートIPを取得できること、
192.168.99.0/24と社内のアドレスが重複しないこと、プロキシを設定していないこと（満たさない場合は個別設定を相談可能） - 対応端末：現在はWindowsのみ（Mac・iPhone・Androidは順次対応予定）
- 通信速度：VPNサーバーを経由するため、VPNなしより遅くなる
VPN接続後は、社内にいるときと同じようにエクスプローラーからNASの共有フォルダを開けます。
まとめ
NASに外部からアクセスできないときは、まず社内LANから開けるか、社外の回線から試しているかを確認して切り分けます。
- 二重ルーター・NASのIP変化・DDNS・ファイアウォールは、設定の見直しで解決できることが多い
- CGNATとDS-Liteは回線側の仕組みのため、設定では解決できない
- MAP-E（v6プラスなど）はポート開放できるが、使えるポートが限られる
- 社内からのDDNS確認は、NATループバックの影響で誤判定しやすい
何度設定してもつながらない回線や、NASを公開したくない場合は、社内側から外へつなぐクラウド型リモートアクセスVPNが現実的な解決策です。
NASの「外からつながらない」を解消するなら「だれリモVPN」
ロリポップ！固定IPアクセスが取次販売する「だれリモVPN」（提供：株式会社グローカルネット）は、専用機器「FLINT plus」を社内LANに挿すだけで使えるクラウド型リモートアクセスVPNです。
- ポート開放不要・固定IP不要：社内側からVPNを張り、NASを外部に公開しない
- ルーター設定変更不要・プロバイダはそのまま：VPN非対応ルーターでもOK
- AES-256/SHA-384の二重VPN暗号化・ノーログポリシー
- 機器費用0円・初月無料・契約期間なし・最短2日で構築（月額基本13,200円＋1ユーザー990円、接続端末は現在Windowsのみ）
「回線の都合でポート開放できない」という方は、初月無料の期間に自社の回線で動作を確かめてみてください。
ポート開放なしで、社外からNASに安全にアクセスするなら
「だれリモVPN」は専用機器を社内LANに挿すだけのクラウド型リモートアクセスVPN。NASをインターネットに公開せず、外出先からいつものNASに接続できます。機器費用0円・初月無料で、お申込みから最短2日で始められます。
だれリモVPNの詳細を見る（初月無料）よくある質問（FAQ）
Q1. NASにつながらない原因がCGNATかどうかは、どう確認できますか？
ルーターのWAN側IPアドレスと、IPアドレス確認サイトに表示されるグローバルIPを比べます。一致しない場合や、WAN側が100.64.x.x〜100.127.x.xや10.x.x.xの場合はCGNATの可能性が高く、ポート開放やDDNSを設定しても外部からの接続は届きません。
Q2. v6プラス（MAP-E）の回線でもNASのポート開放はできますか？
できますが、使えるポートは割り当て範囲に限られます。MAP-E方式（v6プラスなど）ではルーター側でNATを行うためポート開放自体はできますが、使えるポートの範囲は回線ごとに決まっています。transixなどのDS-Lite方式はプロバイダ側でNATを行うため、利用者側でのポート開放は困難です。
Q3. 社内からDDNSのアドレスでNASを開けないのは故障ですか？
故障とは限りません。社内から自社のグローバルIP宛てに接続するには、ルーターがNATループバックに対応している必要があります。スマートフォンのモバイル通信など社外の回線から接続できれば、外部アクセスの設定は正常です。
Q4. だれリモVPNはCGNATやIPv6（IPoE）の回線でも使えますか？
社内側から外向きにVPNを張る方式のため、外部からの着信を受け付けない回線でもポート開放は不要です。公式には、固定IPアドレスの取得は不要で、プロバイダを変えずに、インターネットにつながる環境があれば現在の社内ネットワークのまま利用できると案内されています。初月無料の期間に自社の回線で動作を確認できます。
