NAS и IP-камеры

Доступ к NAS и камерам без белого IP

Проброс веб-админки DSM/QNAP и RTSP-потоков через туннель Selfunnel — без проброса портов, без белого IP, без облака посредника.

Открыть NAS и камеры Документация

Проблема

Твой NAS и IP-камеры завязаны на доступ извне. Сидишь на работе, нужно глянуть ленту записей — а из-за CGNAT веб-админка Synology DSM не открывается. С телефона вне домашнего Wi-Fi RTSP-поток с камеры не качается. «Пустой IP» у провайдера — и все решения из коробки перестают работать. Это особенно заметно, когда нужно быстро проверить, что по дому творится, или дать родственникам доступ к видеоархиву.

Что нужно открыть

Чтобы удалённый доступ к NAS и камерам работал, наружу обычно требуется пробросить несколько портов:

  • Веб-интерфейс NAS — Synology DSM по HTTPS 5001 (или 5000), QNAP QTS по 8080 / 443. Через него заходишь в файловый менеджер, Surveillance Station, панель управления.
  • RTSP-поток камер — стандартный порт 554 либо кастомный (зависит от модели). Именно он нужен, чтобы смотреть live-видео и подключать камеру к внешнему плееру или Home Assistant.
  • Веб-интерфейс камеры — у некоторых камер (Hikvision, Dahua и др.) есть своя веб-панель для настроек: обычно 80/443, иногда 8000/8443. Пробрасывать её наружу нужен редко, но иногда бывает удобно.

Официальные провайдеры обычно не дают белый IP, а белый IP с пробросом портов — это когда вся админка NAS светится в интернете. Ниже разберём, что с этим делать.

Сравнение способов открыть NAS и камеры

Белый IP + проброс портов

Классический вариант: берёшь белый IP у провайдера, пробрасываешь 5001 и 554.

Плюсы

  • Просто и привычно
  • Ничего дополнительно устанавливать не нужно

Минусы

  • Веб-админка NAS светится в интернете — это открытая дверь для сканеров и брутфорса
  • Белый IP у большинства провайдеров — платная опция или только в бизнес-тарифах
  • CGNAT у мобильных и дешёвых тарифов — проброс физически невозможен
  • При смене IP придётся перенастраивать динамический DNS

Tailscale / WireGuard

Mesh-VPN: создаёшь виртуальную сеть, подключаешь устройства, заходишь как в локалку.

Плюсы

  • Бесплатно для личного использования
  • Не нужен белый IP
  • Надёжное шифрование

Минусы

  • Каждому зрителю нужно установить клиент Tailscale и авторизоваться в твоём аккаунте — для родных или знакомых это не вариант
  • Нельзя открыть публичную ссылку «на всякий случай» без установки
  • Конфигурация на каждом устройстве отдельно

Облачные сервисы (rtspx.com, ekbit и аналоги)

Специализированные сервисы для подключения камер: регистрируешь камеру в их облако, смотришь через их приложение или веб.

Плюсы

  • Очень просто для камер
  • Не нужен разбор портов и настройка
  • Мобильные приложения из коробки

Минусы

  • Видео проходит через чужое облако — ты не контролируешь, где хранятся и куда уходят кадры
  • Платно за каждое подключённое устройство (камеру, NAS)
  • Не решает задачу с NAS-админкой — только с камерами
  • Зависимость от стороннего сервиса: подорожал или закрылся — всё падает

Свой VPS + VPN

Берёшь виртуальный сервер, ставишь WireGuard или OpenVPN, пробрасываешь порты через него.

Плюсы

  • Полный контроль над данным и сервером
  • Дёшево (от 300–500 ₽/мес)
  • Нет ограничений на тип протокола

Минусы

  • Админишь всё сам: обновления, безопасность, мониторинг
  • Если VPS за NAT без проброса портов — всё равно возвращаемся к проблеме
  • Нет публичных HTTP(S)-ссылок «из коробки» — веб-админку DSM придётся дополнительно поднимать через reverse proxy
  • Нагрузка RTSP на дешёвый VPS с жёстким лимитом трафика может не влезть

Туннель Selfunnel

Создаёшь туннель от своей машины в интернет — наружу выходят HTTPS-адреса и TCP/UDP-порты.

Плюсы

  • HTTPS-адрес вида my-nas.selfunnel.ru для веб-админки DSM/QNAP — из коробки, с сертификатом
  • TCP/UDP-проброс для RTSP (порт 554) — плееры и Home Assistant подключаются как к локальному потоку
  • Видео и файлы НЕ уходят в чужое облако — трафик идёт через твой сервер дома наружу, мы не храним ваши данные
  • Не нужен белый IP, не нужен VPS
  • Без установки клиентов у зрителей — даёшь ссылку и всё работает
  • Работает и для NAS, и для камер, и для всего остального, что слушает TCP/UDP

Минусы

  • Нужно установить агент Selfunnel на машину рядом с NAS (один раз, через /install)
  • RTSP-проброс — это TCP, а не веб-ссылка: плеер должен уметь открывать TCP-поток (VLC, Home Assistant умеют)

Как подключить: 4 шага

1

Регистрация

Создай аккаунт на Selfunnel — нужно только почта, плясок нет.

2

Установка агента

На машину, у которой виден NAS (лучше — сам NAS, если это Synology с Docker, или микроПК рядом) ставишь агент Selfunnel. Одна команда с /install — и он сам подключится.

3

Настройка туннелей

Создай туннель до 5001 (DSM HTTPS) и/или до 554 (RTSP). Веб-туннель даст публичный HTTPS-адрес, TCP-туннель — открытый порт наружу.

4

Готово — заходи откуда угодно

Веб-админка: https://my-nas.selfunnel.ru:5001 — открывай в браузере. RTSP: rtsp://your-server.selfunnel.ru:554/stream1 — открывай в VLC или в Home Assistant.

Для интеграции камер с Home Assistant через туннель — смотри страницу про умный дом.

Безопасность

Несколько важных замечаний, которые лучше прочитать до того, как открыть доступ:

  • Туннель — это не «открытый порт в интернет» в привычном смысле. Мы даём HTTPS-адрес и TCP-проброс, но это не значит, что можно забыть про защиту. Туннель решает проблему доступа, но не заменяет пароль на NAS.
  • Включи пароль и 2FA на DSM / QNAP. Даже за туннелем админка должна быть защищена. Без 2FA на открытом адресе — это как оставить ключ под ковриком.
  • HTTPS-адрес уже в комплекте. Сертификат подставляется автоматически, так что путь «админка по HTTP с паролем в открытом виде» — не наш путь.
  • Не пробрасывай SMB наружу. Сетевой доступ к файлам (445) — главная цель брутфорса в интернете. Пробрасывай веб-админку и RTSP, а файлы забирай через DSM/QTS в браузере.
  • RTSP-поток — без аутентификации по умолчанию у многих камер. Если пробрасываешь 554, включи авторизацию на камере (username/password в настройках RTSP).

Частые вопросы

Работает ли RTSP через Selfunnel?

Да. Selfunnel умеет пробрасывать TCP (а RTSP поверх TCP) — создай туннель на порт 554 и используй адрес вида rtsp://your-server.selfunnel.ru:554/.... VLC, Home Assistant, любые RTSP-плееры подключаются точно так же, как к локальному адресу камеры. UDP для настроек по кастомным протоколам тоже пробрасывается.

Нужен ли белый IP?

Нет. Агент Selfunnel сам инициирует соединение наружу и работает за CGNAT, за NAT роутера, за мобильным туннелем провайдера. Белый IP, проброс на роутере, DynDNS — ничего из этого не требуется.

Подходит ли для Synology и QNAP?

Да, и для любой другой NAS (TrueNAS, unRAID, Asustor, Thecus) тоже. Selfunnel не зависит от модели или прошивки — он пробрасывает TCP-порты, а веб-интерфейс NAS висит на порту, который ты задашь. DSM на 5001, QTS на 8080 — это туннель до нужного порта, и всё.

Чем отличается от rtspx.com и подобных?

Главная разница: мы не храним и не видим видео на своей стороне. Трафик идёт от твоего NAS/камеры через туннель наружу напрямую — мы не копируем кадры, не сохраняем записи, не передаём видео в облако-посредник. Это полный туннель (TCP/UDP), а не облачная витрина для камер. Плюс одной подпиской открываешь и NAS, и камеру, и всё остальное — не по цене за каждое устройство.

Можно повесить на свой домен?
Да — на Pro (2 домена) и Business (5): подключаешь свой домен в кабинете (раздел «Домены»), проверка DNS и SSL-сертификат автоматом. Удобно, если хочешь адрес вида nas.tvoi-domen.ru вместо nas.selfunnel.ru.

Итого: NAS и камеры без белого IP — это не «потерянный мир», а задача проброса портов. Selfunnel даёт HTTPS-адреса для веб-админки и TCP-туннель для RTSP, а видео остаётся на твоей стороне — не на чужом облаке.

Открыть NAS и камеры Документация