WireGuard entre Ubuntu 24.04 y un NAS QNAP: configurar la VPN

Conecta Ubuntu 24.04 con un NAS QNAP como cliente WireGuard, usando claves separadas, rutas limitadas y comprobaciones del túnel.

Escenario y requisitos

Ubuntu 24.04 recibe conexiones por UDP 51820; el NAS QNAP se conecta como cliente de QVPN Service. Comprueba el soporte del modelo y QTS/QuTS, DNS, router y cortafuegos. 10.77.20.1 y 10.77.20.2 son ejemplos: elige una red que no coincida con otras LAN o VPN. Esta configuración conecta dos pares, no toda la LAN del NAS.

Instala y crea las claves

Instala WireGuard y genera las claves en el directorio privado /etc/wireguard. El comando solo muestra la clave pública para QNAP; mantén server.key en secreto. Conserva el acceso SSH y una consola de rescate antes de modificar el cortafuegos.

sudo apt update
sudo apt install wireguard
sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub

Configura la interfaz del servidor

Crea /etc/wireguard/wg0.conf y sustituye los dos marcadores Base64 por la clave privada de Ubuntu y la pública de QNAP, sin signos angulares. AllowedIPs 10.77.20.2/32 en el servidor limita el par a la dirección VPN del NAS. Protege el archivo. Para llegar a redes detrás del NAS hacen falta rutas, reglas y reenvío IP adicionales.

[Interface]
Address = 10.77.20.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY_BASE64

[Peer]
PublicKey = QNAP_PUBLIC_KEY_BASE64
AllowedIPs = 10.77.20.2/32

Configura el cliente QNAP

Abre QVPN Service > VPN Client > VPN Connection Profiles > Add > WireGuard. Genera las claves del NAS y coloca su clave pública en Ubuntu. Define IP del túnel 10.77.20.2, clave pública de Ubuntu, endpoint server.example.com:51820 y Allowed IPs 10.77.20.1/32. Los nombres de menú pueden variar. No uses 0.0.0.0/0 salvo que quieras encaminar todo el tráfico del NAS por la VPN.

Abre el puerto y prueba

Comprueba SSH, permite UDP 51820 en UFW y en el cortafuegos externo; configura el reenvío del router si Ubuntu está detrás de NAT. Inicia wg-quick@wg0 y conecta QNAP. wg show muestra la negociación y los contadores. Un ping bloqueado no demuestra por sí solo que falle el túnel. Revisa claves, endpoint, direcciones y AllowedIPs.

sudo chmod 600 /etc/wireguard/wg0.conf
sudo ufw allow 51820/udp
sudo systemctl enable --now wg-quick@wg0
sudo wg show
ping -c 3 10.77.20.2

NAT y seguridad

Si QNAP está detrás de NAT y caduca la conexión inactiva, configura PersistentKeepalive = 25 en el par QNAP si QVPN ofrece esa opción. Ponerlo solo en el servidor no mantiene el NAT del cliente. Protege claves privadas, actualiza ambos equipos y limita servicios del NAS. Cifrar el tráfico no sustituye respaldos verificados.

Fuentes

QNAP QVPN: https://www.qnap.com/en/how-to/tutorial/article/how-to-set-up-and-use-qvpn-service-and-qvpn-device-client ; WireGuard: https://www.wireguard.com/quickstart/ .