「外出先から会社のQNAP NASのファイルを開きたい」「在宅勤務でもNASの共有フォルダを使いたい」——QNAP NASには外部アクセスの手段が複数用意されていますが、方法選びを誤ると、NASがインターネット上の攻撃にさらされることになります。実際にQNAP NASは、インターネットに直接公開された個体を狙ったランサムウェア被害が世界的に多発したメーカーでもあります。
この記事では、QNAP NASに外部からアクセスする4つの方法の仕組みと設定手順の概要、そしてランサムウェア被害の実例から学ぶ「やってはいけない構成」を解説します。NAS全般の外部アクセス方法の比較は、NASに外出先からアクセスする3つの方法と安全な選び方もあわせてご覧ください。
QNAP NASへの外部アクセス方法は4つ
QNAP NAS（OSはQTSまたはQuTS hero）に外部からアクセスする方法は、大きく次の4つです。
| 方法 | 仕組み | ポート開放 |
|---|---|---|
| myQNAPcloud Link | QNAPのサーバー経由で接続 | 不要 |
| myQNAPcloud DDNS＋ポート開放 | NASへ直接接続 | 必要 |
| QVPN ServiceでVPNサーバー化 | NASをVPNサーバーにして接続 | 必要（VPN用の1ポート） |
| クラウド型リモートアクセスVPN | 社内側からクラウドへVPNを張る | 不要 |
ポート開放とは、ルーターに外部からの通信を通す設定を加えることです。開放したポートは世界中からアクセス可能になるため、どの方法がポート開放を必要とするかが安全性の分かれ目になります。
方法1：myQNAPcloud Link（クラウド中継）
myQNAPcloud Linkは、QNAPが提供するクラウド経由の接続サービスです。NASをQNAP ID（QID）で登録しておくと、専用のURLから、ルーターのポート開放なしでNASにアクセスできます。
設定手順の概要
- QTSのApp Centerから「myQNAPcloud Link」をインストール
- myQNAPcloudアプリでQNAP ID（QID）にサインインし、NASを登録
- デバイス名を設定すると専用URLが発行される
- 外出先からそのURLにアクセスするか、Qfile等のモバイルアプリで接続する
注意点：中継経由の速度と公開範囲の設定
myQNAPcloud Linkは接続環境に応じて最適な経路を自動選択し、直接接続できない場合はQNAPの中継サーバーを経由します。中継経由になると大容量ファイルの転送速度は大きく低下します。
また、myQNAPcloudにはNASの公開範囲（プライベート／限定公開／公開）の設定があります。業務用のNASでは、意図せず検索・アクセス可能な状態にならないよう、公開範囲を必ず「プライベート」側に絞ることが重要です。
方法2：myQNAPcloud DDNS＋ポート開放
myQNAPcloud DDNSは、example.myqnapcloud.com のようなホスト名を無料で割り当てるサービスです。グローバルIPアドレスが変わってもホスト名でNASに直接アクセスできるため、固定IPアドレスの契約は不要です。
設定手順の概要
- myQNAPcloudアプリでDDNSを有効化し、ホスト名を取得
- ルーターのポートフォワーディング設定で、管理画面等のポートをNASのローカルIPへ転送（UPnP対応ルーターでは自動設定も可能）
- 外出先から
https://example.myqnapcloud.com:（ポート番号）でアクセスする
注意点：この構成がランサムウェアの標的になった
この方法は高速な直接接続ができる反面、NASの管理画面やサービスをインターネットに直接公開する構成です。次章で紹介するとおり、QNAP NASを狙ったランサムウェアの被害は、まさにこの「直接公開された NAS」に集中しました。業務データを保存するNASでは避けるべき構成です。
方法3：QVPN ServiceでNASをVPNサーバーにする
QNAPの「QVPN Service」を使うと、NAS自体をVPNサーバーにできます。外出先のPCはまず暗号化されたVPNトンネルで社内LANに入り、そこからNASへアクセスするため、NASのサービスを直接公開せずに済みます。
QVPN Serviceが対応するサーバープロトコルは、QNAP独自のQBeltのほか、WireGuard・OpenVPN・L2TP/IPsec・PPTPです（QTSのバージョンにより異なる場合があります）。PPTPは古い方式で暗号化強度に課題があるため、実用上はWireGuardまたはOpenVPNを選ぶのが無難です。
設定手順の概要（WireGuardの場合）
- App Centerから「QVPN Service」をインストール
- VPNサーバーとしてWireGuardを有効化し、サーバー設定とピア（接続端末）を作成
- ルーターのポートフォワーディングでVPN用ポートをNASへ転送
- 各PCのWireGuardクライアントに設定ファイルを読み込み、接続を確認する
注意点：VPN用ポートの開放と運用管理は必要
方法2より安全性は大きく向上しますが、VPN用ポートの開放は必要です。接続先を固定するためのDDNS運用、利用者ごとの設定配布、退職時の失効管理も自社で担うことになります。ネットワークに慣れた担当者がいない環境では、この運用負荷が課題になりがちです。
方法4：クラウド型リモートアクセスVPN
クラウド型リモートアクセスVPNは、社内LANに置いた専用機器が「社内側から」クラウドのVPNサーバーへトンネルを張り、外出先のPCも同じクラウドへ接続して社内LANに入る方式です。通信はすべて外向きに始まるため、ポート開放も固定IPも不要で、NASを含む社内ネットワークを一切外部公開しません。
たとえば、だれリモVPNでは専用機器「FLINT plus」をNASと同じLANに挿すだけで導入が完了します。CGNAT回線やポート開放ができない環境でも、メーカーを問わずNASに安全にアクセスできるため、QNAPとSynologyが混在する環境でも接続方法を1つに統一できます。
QNAP NASを狙ったランサムウェアとポート開放のリスク
QNAP NASでは、インターネットに直接公開された個体を狙ったランサムウェア被害が実際に多発しています。方法を選ぶ前に、公式に報告された実例を知っておいてください。
Qlocker（2021年4月）
QNAPが公開したセキュリティ勧告（QSA-21-12）によると、2021年4月、バックアップアプリ「HBS 3」の脆弱性（CVE-2021-28799）を悪用するランサムウェア「Qlocker」の攻撃が発生しました。感染したNASではファイルがパスワード付きの7zアーカイブに変換され、復元と引き換えに身代金が要求されました。
DeadBolt（2022年）
2022年1月には、インターネットに直接露出したQNAP NASを広く標的にするランサムウェア「DeadBolt」が確認され、QNAPは「NASをインターネットに直接公開しない」よう強い注意喚起を出しました。同年9月には写真管理アプリPhoto Stationの脆弱性を悪用した攻撃も発生しています。
教訓：「公開しない」ことが最大の防御
これらの攻撃に共通するのは、ポート開放やUPnPによってNASがインターネットから直接見える状態だったことです。QNAP自身も、ダッシュボードに「System Administration serviceが外部IPから直接アクセス可能」と表示される状態は高リスクだと警告しています。ファームウェア・アプリの更新や強固なパスワードは大前提として、そもそもNASを外部に公開しない接続方式（VPN経由・クラウド中継）を選ぶことが、最も効果の高い対策です。
4つの方法の比較表
| 項目 | myQNAPcloud Link | DDNS＋ポート開放 | QVPN Service | クラウド型VPN |
|---|---|---|---|---|
| 安全性 | 中（中継経由） | 低（直接公開） | 高（要・適切な設定） | 高（外部公開なし） |
| 速度 | 環境依存（中継時は低下） | 高 | 高 | 中〜高 |
| 設定の手間 | 低 | 中 | 高 | 低（機器を挿すだけ） |
| ポート開放 | 不要 | 必要 | 必要（1ポート） | 不要 |
| CGNAT回線 | 利用可 | 利用不可 | 利用不可 | 利用可 |
| 運用管理の負荷 | 低 | 中 | 高 | 低 |
| ビジネス利用 | △ | 非推奨 | ○（管理できる場合） | ◎ |
なお、モバイル回線やホームルーター等のCGNAT回線（複数契約者でグローバルIPを共有する仕組み）では、外部からの接続を受けられないため、DDNS＋ポート開放とQVPN Serviceは利用できません。自社の回線の確認方法はCGNATとは何か・テレワークへの影響と対処法で解説しています。固定IPを取らずに外部アクセスを整える考え方は固定IPなしでリモートアクセスを実現する方法も参考になります。
社外から社内へ、工事不要・ルーター設定不要で安全にアクセス
「だれリモVPN」は専用機器を社内LANに挿すだけのクラウド型リモートアクセスVPNです。機器費用0円・初月無料・契約期間の縛りなしで、IT担当者がいなくても導入できます。
だれリモVPNの詳細・料金を見るよくある質問（FAQ）
Q1. myQNAPcloud Linkだけで業務利用しても大丈夫ですか？
小規模な閲覧用途であれば使えますが、業務データを日常的に扱うなら推奨しません。中継サーバー経由では大容量転送が遅く、NASのサービスへ外部からログインできる状態も残ります。利用する場合は公開範囲を「プライベート」に設定し、二要素認証を必ず有効化してください。
Q2. ポート開放してDDNSで直接アクセスするのは、なぜ危険なのですか？
開放したポートはインターネット全体からアクセス可能になり、自動スキャンによる総当たり攻撃や脆弱性攻撃の標的になるためです。実際にQNAP NASでは、直接公開された個体を狙ったQlocker（2021年）やDeadBolt（2022年）などのランサムウェア被害が多発し、QNAP公式もNASを直接公開しないよう注意喚起しています。
Q3. QVPN Serviceはどのプロトコルを選べばよいですか？
WireGuardまたはOpenVPNを推奨します。QVPN ServiceはQBelt・WireGuard・OpenVPN・L2TP/IPsec・PPTPに対応しますが、PPTPは暗号化強度に課題がある古い方式のため避けてください。QNAP独自のQBeltを使う場合は、接続側もQVPNクライアントアプリが必要になる点に注意が必要です。
Q4. 固定IPアドレスがなくてもQNAP NASに外部アクセスできますか？
できます。myQNAPcloud LinkとmyQNAPcloud DDNSはいずれも固定IP不要で、クラウド型リモートアクセスVPNも社内側から接続を張るため固定IPは不要です。固定IPが必須になるのは、DDNSを使わずにポート開放先を固定したい場合など、限られた構成だけです。
Q5. CGNAT回線（モバイルルーターなど）でも使える方法はありますか？
myQNAPcloud Linkとクラウド型リモートアクセスVPNが使えます。どちらもNAS側・社内側から外向きに接続を確立する仕組みのため、外部からの着信を受けられないCGNAT回線でも動作します。ポート開放を前提とするDDNS直接アクセスやQVPN Serviceは、CGNAT環境では利用できません。
まとめ
QNAP NASへの外部アクセスは、myQNAPcloud Link・DDNS＋ポート開放・QVPN Service・クラウド型リモートアクセスVPNの4つから選びます。
- 手軽さ重視・閲覧中心ならmyQNAPcloud Link（公開範囲は必ず絞る）
- DDNS＋ポート開放は、ランサムウェア被害の実例からも業務用途では非推奨
- 自社でVPNとポートを管理できるならQVPN Service（WireGuard/OpenVPN推奨）
- IT専任者がいない・CGNAT回線・運用を軽くしたいならクラウド型VPN
QlockerやDeadBoltの被害が示すとおり、QNAP NASを安全に使う最大のポイントは「インターネットに直接公開しない」ことです。ファームウェア更新や強固なパスワードとあわせて、外部公開しない接続方式を選びましょう。
QNAP NASへの外部アクセスを安全にするなら「だれリモVPN」
ロリポップ！固定IPアクセスが取次販売する「だれリモVPN」は、専用機器「FLINT plus」を社内LANに挿すだけで使えるクラウド型リモートアクセスVPNです。
- ポート開放不要・固定IP不要：社内側からVPNを張る方式で、NASも社内ネットワークも外部公開しない
- 既存ルーターの設定変更不要：VPN非対応ルーターでもOK
- CGNAT回線でも利用可能：メーカーを問わずNASに安全にアクセスできる
- AES-256/SHA-384の二重VPN暗号化・ノーログ運用
- 機器費用0円・初月無料・契約期間なし・最短2日で導入（現状Windows対応。Mac・スマートフォンは順次対応予定）
「ポート開放はランサムウェアが怖い」「QVPNの運用管理まで手が回らない」という方は、まず初月無料のトライアルからお試しください。
