WireGuard entre Ubuntu 24.04 et un NAS QNAP : créer un tunnel VPN

Relier Ubuntu 24.04 à un NAS QNAP client WireGuard avec des clés distinctes, un routage limité et des contrôles de connexion.

Scénario et prérequis

Ubuntu 24.04 est joignable sur UDP 51820 ; le NAS QNAP lance la connexion comme client QVPN Service. Vérifiez la compatibilité du modèle et de QTS/QuTS, le DNS, les règles du routeur et du pare-feu. 10.77.20.1 et 10.77.20.2 sont des exemples : choisissez un réseau sans chevauchement avec vos LAN et VPN. Le tunnel relie les deux pairs, pas tout le LAN du NAS.

Installer et générer les clés

Installez WireGuard et générez les clés dans le dossier privé /etc/wireguard. La commande affiche seulement la clé publique destinée au QNAP ; gardez server.key secrète. Préservez l’accès SSH et une console de secours avant de modifier le pare-feu.

sudo apt update
sudo apt install wireguard
sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub

Configurer le serveur

Créez /etc/wireguard/wg0.conf en remplaçant les deux valeurs Base64 fictives par la clé privée Ubuntu et la clé publique QNAP, sans chevrons. AllowedIPs 10.77.20.2/32 sur le serveur limite le pair à son adresse VPN. Protégez ce fichier. Atteindre un réseau derrière le NAS exige en outre routes, règles de filtrage et transfert IP.

[Interface]
Address = 10.77.20.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY_BASE64

[Peer]
PublicKey = QNAP_PUBLIC_KEY_BASE64
AllowedIPs = 10.77.20.2/32

Configurer le client QNAP

Ouvrez QVPN Service > VPN Client > VPN Connection Profiles > Add > WireGuard. Générez les clés du NAS, copiez sa clé publique sur Ubuntu. Réglez l’adresse du tunnel à 10.77.20.2, la clé publique Ubuntu, le point de connexion server.example.com:51820 et Allowed IPs à 10.77.20.1/32. Les libellés varient selon la version. 0.0.0.0/0 dirigerait tout le trafic du NAS dans le VPN.

Ouvrir le port et tester

Après avoir vérifié SSH, autorisez UDP 51820 dans UFW et le pare-feu externe ; transférez le port sur le routeur si Ubuntu est derrière NAT. Démarrez wg-quick@wg0 et connectez le profil QNAP. wg show montre la négociation et les compteurs. Un ping bloqué par le pare-feu ne suffit pas à conclure à une panne. Comparez clés, point de connexion, adresses et AllowedIPs.

sudo chmod 600 /etc/wireguard/wg0.conf
sudo ufw allow 51820/udp
sudo systemctl enable --now wg-quick@wg0
sudo wg show
ping -c 3 10.77.20.2

NAT et protection

Si le NAS est derrière NAT et que la connexion inactive expire, activez PersistentKeepalive = 25 sur le pair QNAP si QVPN le permet. Le placer uniquement côté serveur ne maintient pas la traduction NAT du client. Protégez les clés privées, maintenez les appareils à jour et restreignez les services NAS. Le chiffrement ne remplace pas les sauvegardes vérifiées.

Sources

QNAP QVPN : https://www.qnap.com/en/how-to/tutorial/article/how-to-set-up-and-use-qvpn-service-and-qvpn-device-client ; WireGuard : https://www.wireguard.com/quickstart/ .