Acceder al NAS desde fuera de casa: opciones reales (2026)
QuickConnect, puertos abiertos, Tailscale, WireGuard y Cloudflare Tunnel. Una matriz clara para no publicar el NAS al mundo por error.
Quieres ver Immich desde el curro, apagar una luz de Home Assistant en el tren o bajar un PDF del NAS en casa de tu madre. El mercado te vende mil túneles mágicos. En 2026 las opciones reales se reducen a un puñado — y abrir puertos a lo loco sigue siendo la peor por defecto.
Esta es una guía hub: te oriento y te mando a la pieza profunda. Tailscale lo desgranamos en acceso remoto con Tailscale; la comparativa amplia está en Tailscale vs VPN; HTTPS público sin agujeros, en Cloudflare Tunnel.
Si solo quieres «entrar yo a mis cosas», Tailscale. Si quieres URL pública para compartir un servicio, Tunnel (con cuidado). Si abres puertos porque «siempre se ha hecho así», párate.
QuickConnect y túneles del fabricante
Synology QuickConnect (y equivalentes QNAP/Ugreen) te sacan del apuro el primer día: cuenta, ID, listo. Funciona. El peaje es depender del relay del fabricante, de su cuenta y de su modelo de amenazas. Para fotos personales y panel admin del NAS, en Privutx preferimos no dejar ese camino como plan A a largo plazo.
Úsalo de puente mientras montas Tailscale. No lo dejes como única puerta con 2FA flojo y contraseña reciclada.
Abrir puertos: por qué no (casi nunca)
Exponer DSM, SSH, Immich o Samba a Internet «con un puerto raro» es invitar a bots. Aunque cambies el 5001, el servicio sigue siendo el mismo. CGNAT de muchos ISP ni siquiera te deja un puerto limpio. Y un fallo de 0-day en el panel del NAS se come la casa.
Tailscale (plan A en casa)
Tailscale monta una red privada sobre WireGuard: instalas cliente en el NAS (o en un contenedor/sidecar) y en el móvil. Sin abrir puertos en el router. Ideal para Immich, DSM, SSH y «estar en la LAN» desde fuera.
Guía paso a paso: Tailscale en el NAS. Comparativa con VPN clásica: Tailscale vs VPN.
WireGuard «a mano» (avanzado)
Si quieres cero dependencia de cola de coordinación de terceros y te sobra redes, un servidor WireGuard en casa (o en un VPS) es el camino hardcore. Más control, más mantenimiento (IPs, keys, roaming, firewall).
En Privutx lo tratamos como alternativa avanzada; la guía dedicada WireGuard en el NAS puede no estar publicada aún — mientras tanto, Tailscale te da el mismo protocolo por debajo con menos fricción.
Cloudflare Tunnel
Cuando necesitas una URL HTTPS pública (compartir un enlace, webhook, demo) sin abrir puertos, Cloudflare Tunnel brilla. No sustituye a Tailscale para acceso admin personal: son trabajos distintos. Combínalos: Tunnel para lo público acotado, Tailscale para tú.
Matriz de decisión
| Necesitas… | Opción | Notas |
|---|---|---|
| Entrar tú al NAS / Immich | Tailscale | Plan A doméstico |
| Arrancar ya con Synology | QuickConnect | Temporal; luego migra |
| URL pública HTTPS | Cloudflare Tunnel | Con Access / reglas |
| Máximo control self-hosted | WireGuard propio | Avanzado; ver /wireguard-nas/ |
| Abrir 443/5001 al mundo | No | Salvo caso muy justificado |
Para llevar
- Tailscale = acceso personal sin abrir puertos.
- QuickConnect = comodidad con dependencia; no lo dejes eterno.
- Abrir puertos = casi nunca en casa.
- Cloudflare Tunnel = HTTPS público puntual.
- WireGuard propio = avanzado; guía /wireguard-nas/ cuando esté.