Serviços de rede do NAS (VPN, DNS e DHCP)

26 min · 7 seções

Estas três funções transformam o NAS no centro da rede da sua casa: você entra de fora como se estivesse na sala (VPN), seus dispositivos se chamam pelo nome em vez de pelo IP (DNS) e é o NAS —não o roteador— quem distribui os endereços (DHCP).

Elas são configuradas no Painel de controle, cada uma na sua tela: VPN, DNS e DHCP. A de VPN tem três abas: WireGuard, o servidor de VPN do próprio NAS, e Tailscale e NetBird, que colocam o NAS na sua rede desses serviços sem abrir nenhuma porta (seção 1.8).

Eles estão ordenados por risco, e essa também é a ordem em que convém ativá-los. A VPN não pode quebrar nada do que já funciona; o DHCP pode. Se você só vai ativar um, que seja a VPN. Se vai ativar o DHCP, leia inteira a seção 3 —e em especial “Se você ficar sem rede”— antes de mexer em qualquer coisa.

0. Antes de começar

Não importa qual dos três você vai usar: tenha isto à mão e anotado em papel ou no celular (não em um documento que fique no NAS ou que precise de internet para abrir).

• IP fixo do NAS. Reserva de DHCP no roteador ou IP estático em Painel de controle → Rede (também IPv6, com seu prefixo: 2001:db8:1::10/64 e seu gateway). Um NAS que muda de IP quebra o redirecionamento de portas da VPN, os registros do DNS e o seu próprio DHCP.
• IP do roteador e sua senha de administração (costuma estar na etiqueta do dispositivo). Você vai precisar dela para abrir a porta da VPN e para desativar o DHCP dele.
• Acesso físico ao NAS (teclado e monitor) ou SSH já funcionando. O console mostra o IP do dispositivo e o comando lgm dá acesso ao menu de recuperação.
• Faça isso com calma e sem ninguém conectado. Mudar o DHCP no meio da videochamada de outra pessoa tem consequências sociais.
• Nunca faça essas mudanças remotamente, de fora de casa: se algo der errado, a própria conexão pela qual você está administrando o NAS é a primeira coisa que cai.

1. VPN (WireGuard)

Com a VPN ativa, seu celular ou seu notebook entram na rede de casa de qualquer lugar: o painel do NAS, as pastas da casa, a impressora ou as câmeras respondem com seu IP local como se você estivesse no sofá. E sem publicar um único serviço na internet: o roteador só tem aberta uma porta UDP que não responde absolutamente nada a quem não tiver a chave certa.

Comparada a publicar o NAS com proxy reverso, a VPN é a opção mais segura e a que pede menos manutenção. O porém: é preciso instalar um cliente em cada dispositivo, então ela não serve para compartilhar com pessoas de fora da sua casa.

1.1 Abrir a porta no roteador

Um único redirecionamento de portas:

Dois erros clássicos: escolher TCP (o WireGuard é UDP e só UDP; com TCP não volta nem um único pacote) e redirecionar para um IP do NAS que depois muda.

Esse redirecionamento é a única coisa manual: o firewall do NAS é gerenciado pelo próprio painel. Ao ativar a VPN, a regra udp 51820 é adicionada sozinha (aparece em Segurança → Firewall como “VPN WireGuard (gerenciada pelo LGM-OS)”) e, ao desativá-la, é retirada. Não a adicione à mão: a regra que você criar terá outro identificador, o painel não vai reconhecê-la e a porta vai ficar aberta para sempre, mesmo que você desligue a VPN.

IP dinâmico: seu IP público muda a cada poucos dias, e o cliente precisa saber para onde ligar. Configure um domínio dinâmico (DDNS) seguindo o passo 3 do guia de acesso externo e use esse nome (micasa.duckdns.org) como servidor da VPN em vez do IP.

Se você está atrás de CGNAT (sua operadora não lhe dá um IP público próprio), o redirecionamento não vai funcionar, e com ele a VPN também não. Confira comparando curl -s https://api.ipify.org com o IP WAN que o roteador mostra: se não coincidirem, ou se o do roteador começar por 100.64.–100.127., há CGNAT. Solução: pedir um IP público à operadora (costuma ser gratuito) ou entrar com Tailscale ou NetBird (seção 1.8), que não precisam de nenhuma porta aberta.

1.2 Criar o perfil de cada dispositivo

Em Painel de controle → VPN: ative o servidor e adicione um dispositivo (“peer”) para cada celular, tablet ou computador que vai se conectar.

• Um perfil por dispositivo, sempre. Não reutilize o mesmo no celular e no notebook: os dois teriam o mesmo endereço dentro do túnel e um atrapalharia o outro. Além disso, perfis separados permitem revogar só o do celular que você perdeu.
• Que tráfego passa pelo túnel (o que o WireGuard chama de AllowedIPs):
• Só a rede de casa (por exemplo 192.168.1.0/24): você navega com os dados da sua operadora e só o que vai para o NAS ou para a impressora entra pelo túnel. Gasta menos bateria e não deixa o resto mais lento.
• Todo o tráfego (0.0.0.0/0): além de chegar em casa, você sai para a internet pela sua conexão doméstica. É o que você quer no Wi-Fi de um hotel ou de um aeroporto, e também se usa o DNS do NAS estando fora.
• O perfil inclui a chave privada do dispositivo. O NAS não precisa dela para nada depois de entregá-la a você: se você perder o perfil, gera-se outro; ele não se “recupera”.

1.3 Instalar o cliente

Baixe sempre da loja oficial ou de wireguard.com. Há clones nas lojas com nomes parecidos que pedem permissões que não têm nada a ver.

1.4 Celular: escanear o código QR

1. No painel, abra o perfil do dispositivo e toque em Ver código QR.
2. No celular, abra o WireGuard e toque no botão + (embaixo, à direita).
3. Escolha Escanear código QR e conceda a permissão de câmera.
4. Aponte para a tela do computador. Ao reconhecê-lo, ele pede um nome para o túnel (Casa, por exemplo). Aceite.
5. Ative a chave do túnel. Na primeira vez, o Android ou o iOS vão pedir para autorizar uma “configuração de VPN”: é normal, aceite.

⚠️ Esse QR é a chave da sua rede. Ele contém a chave privada do dispositivo em texto claro: quem o fotografar pode entrar na sua casa de qualquer parte do mundo. Não o compartilhe, não o cole em um chat e não o deixe em uma captura de tela. Se um celular for perdido ou trocado, exclua o perfil dele no painel: essa chave deixa de valer na hora.

1.5 Computador: importar o arquivo de configuração

1. No painel, Baixar .conf salva um arquivo .conf (por exemplo portatil.conf).
2. Windows / macOS: abra o WireGuard → Importar túnel(eis) do arquivo → escolha o .conf → Ativar.
3. Linux:

sudo install -m 600 portatil.conf /etc/wireguard/casa.conf
sudo wg-quick up casa                       # conectar agora
sudo systemctl enable --now wg-quick@casa   # ...e a cada inicialização

1. Exclua o .conf da pasta de downloads depois de importá-lo: ele é tão sensível quanto o QR.

1.6 Verificar se o túnel funciona de verdade

Teste de fora de casa. Com o celular nos dados móveis e o Wi-Fi desligado; se você testar pelo seu próprio Wi-Fi, pode falhar mesmo com tudo certo (muitos roteadores não sabem redirecionar para dentro uma conexão que sai da sua própria rede: isso se chama hairpin NAT).

No cliente, com o túnel ativado, olhe o último handshake (latest handshake): se ele mostra um horário recente e os contadores de dados sobem, o túnel está de pé. Depois, o teste real:

ping 192.168.1.50            # o IP local do NAS, a partir do dispositivo conectado

e abra https://192.168.1.50:5001 no navegador: o painel tem que aparecer. Se você também usa o túnel completo, https://api.ipify.org tem que devolver o IP público da sua casa, e não o da sua operadora de celular.

No próprio NAS, a visão de dentro:

sudo wg show

Para cada dispositivo você verá latest handshake (há quanto tempo ele falou) e transfer (quantos dados passaram). Um peer que nunca fez handshake nunca chegou a se conectar: o problema está no roteador ou no perfil, não no NAS.

1.7 Se a VPN não conecta

Diagnóstico no NAS:

sudo systemctl status wg-quick@wg0
sudo wg show
sudo ss -lunp | grep 51820        # está escutando?
sudo journalctl -u wg-quick@wg0 -n 50

1.8 Sem abrir portas: Tailscale e NetBird

Se você não pode abrir uma porta no roteador —está atrás de CGNAT, ou o roteador não é seu—, as outras duas abas de Painel de controle → VPN levam ao mesmo lugar por outro caminho: o NAS entra na sua rede do Tailscale ou do NetBird, e você chega a ele a partir de qualquer dispositivo seu que tenha o aplicativo conectado, onde você estiver. É preciso ter uma conta nesse serviço; o roteador não é tocado.

1. Instale. Não vem instalado: Instalar Tailscale (ou Instalar NetBird) baixa o programa do repositório oficial em uns dois minutos.
2. Coloque o NAS na sua rede.
• Tailscale: cole uma chave de autenticação —ela é criada no console dele, em Settings → Keys— ou toque em Conectar sem chave: aparece um link, com seu código QR, para entrar com sua conta do Tailscale. A tela se atualiza sozinha assim que você faz isso. Se a sua rede pede para aprovar cada dispositivo novo, aprove o NAS no console do Tailscale.
• NetBird: cole uma chave de cadastro (setup key), que é criada no painel dele, em Setup Keys. Se você tem seu próprio servidor do NetBird, escreva o endereço dele em Servidor próprio; vazio, usa-se a nuvem do NetBird.
3. Entre. Conectado, a tela mostra o endereço do NAS nessa rede e como abrir o painel: https://<esse-endereço>:5001, de qualquer dispositivo seu com o aplicativo conectado. Esse endereço também aparece em Painel de controle → Endereços e vai no convite do LGM Connect.

O que entra pelo Tailscale ou pelo NetBird conta como de casa no firewall, e o bloqueio por país não o filtra: são os seus dispositivos, onde quer que estejam.

• O painel em qualquer navegador, com NetBird. Para abri-lo sem instalar nada, o proxy reverso é montado no painel do NetBird, não no NAS: crie lá um serviço de Reverse Proxy que aponte para este dispositivo por https, porta 5001, com “Skip TLS Verification” ativado. Com o NAS conectado, a tela lembra você disso com o link. Isso publica o painel na internet: leia antes a [lista de segurança](external-access.md#6-segurança-leia-antes-de-mexer-no-roteador).
• Desligar (a chave lá em cima): o NAS continua na sua rede, mas não é alcançado por ela até que você o ligue.
• Sair da rede: tira o NAS da sua rede. Para colocá-lo de novo, é preciso uma chave nova ou entrar outra vez.
• Desinstalar: o NAS sai da sua rede e o programa é removido com tudo o que guardava.
• Um de cada vez. O Tailscale e o NetBird distribuem os mesmos endereços (100.x): com os dois ligados, um pode deixar o outro sem conexão. A tela avisa.

2. Servidor DNS

O DNS traduz nomes em endereços. Com o do NAS ativo, você consegue três coisas:

• Nomes para os seus dispositivos: nas.casa em vez de 192.168.1.50, impresora.casa, camara.casa. Chega de decorar IPs ou procurá-los num papel.
• Cache: as consultas repetidas são respondidas pelo NAS, sem sair para a internet.
• Um único lugar para mudar as coisas: se o NAS mudar de IP, você corrige em um registro e a casa toda fica sabendo.

Funciona igual pela VPN: conectado de fora, nas.casa continua resolvendo.

2.1 Ativar o serviço

Em Painel de controle → DNS você escolhe os servidores de encaminhamento (a quem o NAS pergunta o que não sabe: os da sua operadora, 1.1.1.1, 9.9.9.9…), o domínio local e os registros locais. Ao salvar, o painel escreve a configuração e inicia o serviço.

A porta 53 tem que estar livre. Uma instalação normal do Debian 12 não a ocupa, mas muitas imagens de máquina virtual e de nuvem trazem o systemd-resolved ligado, e então o servidor DNS não inicia. Verifique e libere a porta:

sudo ss -lunp | grep ':53'          # quem está escutando na 53?
sudo systemctl disable --now systemd-resolved

Se você desativar o systemd-resolved, garanta que o próprio NAS mantenha um DNS válido, ou ele vai ficar sem resolver nomes (e sem poder se atualizar):

ls -l /etc/resolv.conf              # se for um link para ../run/systemd/resolve/...:
sudo rm /etc/resolv.conf
# O primeiro é o dnsmasq do próprio NAS; o segundo é a rede de segurança para que o
# dispositivo continue resolvendo enquanto o serviço estiver parado.
printf 'nameserver 127.0.0.1\nnameserver 1.1.1.1\n' | sudo tee /etc/resolv.conf

2.2 Os registros locais

Um registro é um par nome → IP:

Sobre o domínio que você escolher:

• Não use .local: ele é reservado para mDNS/Bonjour (Apple, impressoras, Chromecast) e usá-lo para DNS normal causa falhas intermitentes muito difíceis de diagnosticar.
• Boas opções: .casa, .lan ou .home.arpa (este último é o reservado oficialmente para redes domésticas).
• Se você tem um domínio próprio, um subdomínio interno (interno.midominio.com) é o mais limpo e ainda permite usar certificados válidos dentro de casa.

Os dispositivos que recebem o IP do DHCP do NAS podem se registrar sozinhos com o nome que anunciam, então as duas peças se complementam.

2.3 Apontar os dispositivos para o NAS

Três formas, da que dá menos trabalho à que dá mais:

1. Com o DHCP do NAS ativo: não é preciso fazer nada, o próprio DHCP entrega o NAS como servidor DNS para a casa toda.
2. Pelo roteador (o mais prático se você não vai usar o DHCP do NAS): na configuração de DHCP do roteador, mude o “servidor DNS” que ele entrega e coloque o IP do NAS. Os dispositivos vão pegá-lo ao renovar a concessão (ou ao se reconectar).
3. Dispositivo por dispositivo, útil para testar sem afetar ninguém:
• Windows: Configurações → Rede e Internet → Wi-Fi/Ethernet → Editar atribuição de servidor DNS → Manual → IPv4 → DNS preferencial: o IP do NAS.
• macOS: Ajustes do Sistema → Rede → Detalhes → DNS → +.
• Linux: nmcli con mod "<conexão>" ipv4.dns 192.168.1.50 ipv4.ignore-auto-dns yes e nmcli con up "<conexão>".
• Android/iPhone: nas opções da rede Wi-Fi, configuração de IP → estático.

Deixe sempre um DNS reserva. Se o NAS for o único DNS da casa e desligar ou reiniciar para se atualizar, todo mundo fica “sem internet” (o que falha não é a conexão: são os nomes). Colocar como secundário o roteador ou 1.1.1.1 evita a queda, com a contrapartida de que algum dispositivo às vezes resolva pelo secundário e não encontre os nomes locais. É o meio-termo normal: reserva sim, e aceite que nas.casa pode falhar durante o tempo em que o NAS estiver desligado.

2.4 Verificar se funciona

# Linux / macOS
dig @192.168.1.50 nas.casa +short       # deve devolver o IP local
dig @192.168.1.50 www.google.com +short # deve devolver algo: o encaminhamento funciona

# Windows
nslookup nas.casa 192.168.1.50

E para saber qual DNS um dispositivo está usando de verdade: ipconfig /all no Windows ou resolvectl status / cat /etc/resolv.conf no Linux.

2.5 Se o DNS não funciona

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -n 50
sudo dnsmasq --test                 # a configuração é válida?

3. Servidor DHCP

O DHCP é quem distribui para cada dispositivo o endereço IP, a máscara, o gateway e o DNS. Hoje quem faz isso é o seu roteador. Se você passar essa tarefa para o NAS, ganha reservas por MAC bem gerenciadas, nomes automáticos junto com o DNS e uma lista clara do que está conectado na sua casa.

### ⚠️ Leia isto antes de ativar Em uma rede só pode haver um servidor DHCP. Antes de ativar o do NAS você precisa desativar o do roteador. Se os dois estiverem ligados ao mesmo tempo, cada dispositivo que se conecta pergunta aos gritos e fica com a primeira resposta que chegar —às vezes a do roteador, às vezes a do NAS—, então alguns dispositivos vão funcionar e outros não, mudando de um dia para o outro. Não é “uma configuração meio bagunçada”: é uma falha intermitente que enlouquece qualquer um. E o risco do outro lado: com o DHCP do roteador desligado, se o do NAS não funcionar ninguém consegue IP e a casa inteira fica sem rede, incluindo o computador com que você ia consertar. Por isso a seção importante deste guia é “Se você ficar sem rede”.

3.1 Preparação (cinco minutos que poupam uma tarde)

• [ ] Salve esta página no celular (ou imprima). Se você ficar sem rede não vai conseguir consultá-la, e é justamente quando vai precisar dela.
• [ ] Anote em papel: IP do roteador, IP do NAS, máscara (quase sempre 255.255.255.0) e a faixa que o NAS vai distribuir.
• [ ] Anote a senha do roteador. Se ela fica num gerenciador de senhas na nuvem e você ficar sem internet, não vai tê-la.
• [ ] Copie as reservas por MAC que o roteador já tiver (impressora, câmeras, videogame…). Se você não passá-las para o NAS, esses dispositivos vão mudar de IP e deixar de responder onde você esperava.
• [ ] Deixe teclado e monitor conectados ao NAS, ou SSH funcionando a partir de um dispositivo com IP fixo configurado à mão.
• [ ] Escolha a faixa com cuidado: ela não deve incluir o IP do roteador, nem o do NAS, nem o de nenhum dispositivo com IP fixo. Um exemplo saudável numa rede 192.168.1.0/24:

| Elemento | Valor | |---|---| | Roteador (gateway) | 192.168.1.1 | | NAS | 192.168.1.50 | | Dispositivos com IP fixo | 192.168.1.2 – 192.168.1.99 | | Faixa do DHCP | 192.168.1.100 – 192.168.1.200 | | DNS que é entregue | 192.168.1.50 (o NAS) e, opcional, 1.1.1.1 | | Concessão (lease) | 2 h enquanto você testa; 12–24 h depois |

Uma concessão curta durante a migração faz os dispositivos pegarem as mudanças em minutos em vez de dias. Quando tudo funcionar, aumente-a: com concessões longas, se o NAS desligar, os dispositivos mantêm o IP por muitas horas e você não descobre o apagão do pior jeito.

3.2 A ordem correta (não a mude)

1. Configure o DHCP em Painel de controle → DHCP: faixa, máscara, gateway (o IP do roteador, não o do NAS), DNS e concessão. Salve sem ativar.
2. Entre no roteador e desative o DHCP dele. Costuma ficar em LAN → DHCP → “Servidor DHCP: desativado”. Os dispositivos já ligados mantêm o IP até a concessão expirar, então você ainda tem rede.
3. Ative o DHCP do NAS pelo painel.
4. Teste com um único dispositivo antes de mexer em qualquer outra coisa:

ipconfig /release
ipconfig /renew
ipconfig /all          # "Servidor DHCP" deve ser o IP do NAS

sudo nmcli con down "<conexão>" && sudo nmcli con up "<conexão>"   # Linux
nmcli device show <interface> | grep -E 'IP4.ADDRESS|IP4.GATEWAY|IP4.DNS'

Num celular, basta desligar e ligar o Wi-Fi.

1. Olhe a lista de concessões no painel: os dispositivos devem ir aparecendo com o nome e o MAC à medida que renovam.
2. Só quando o teste der certo, aumente a concessão para 12–24 h e passe o resto das reservas.

3.3 O que significa cada campo

3.4 Se você ficar sem rede

⛑️ Nada de pânico: nada quebrou. Só parou de funcionar a distribuição de endereços; o cabo, o Wi-Fi, o roteador e os seus dados estão intactos. Isso se resolve em dois minutos.

Como reconhecer: os dispositivos dizem “sem internet” ou “conectado, sem acesso à rede”, e o IP deles começa por 169.254. (esse é o endereço de emergência que um dispositivo inventa quando ninguém lhe responde) ou eles simplesmente não têm nenhum.

Plano A — dê um IP à mão para o seu computador (funciona quase sempre)

Com um IP configurado à mão você não precisa de DHCP nenhum: vai conseguir abrir o roteador ou o NAS e desfazer a mudança. Use um endereço livre fora da faixa que você configurou, por exemplo 192.168.1.90, com máscara 255.255.255.0, gateway 192.168.1.1 (seu roteador) e DNS 1.1.1.1.

Windows (rápido, num prompt de comando como administrador):

netsh interface ip show config                     # ver o nome exato da interface
netsh interface ip set address name="Ethernet" static 192.168.1.90 255.255.255.0 192.168.1.1
netsh interface ip set dns     name="Ethernet" static 1.1.1.1

Pelos menus: Configurações → Rede e Internet → Ethernet (ou Wi-Fi) → Atribuição de IP → Editar → Manual → ative IPv4 → preencha esses quatro valores.

macOS: Ajustes do Sistema → Rede → sua conexão → Detalhes → TCP/IP → “Configurar IPv4”: Manualmente → preencha endereço, máscara e roteador.

Linux:

nmcli con mod "<conexão>" ipv4.method manual \
  ipv4.addresses 192.168.1.90/24 ipv4.gateway 192.168.1.1 ipv4.dns 1.1.1.1
nmcli con up "<conexão>"

Android: mantenha pressionada a rede Wi-Fi → Modificar rede → Opções avançadas → Configurações de IP: Estático. iPhone: Ajustes → Wi-Fi → (i) → Configurar IP → Manual.

Com rede outra vez, escolha o caminho:

• Voltar tudo atrás: entre no roteador (http://192.168.1.1) e **reative o DHCP dele**. A casa volta ao normal na hora.
• Consertar o do NAS: entre no painel (https://192.168.1.50:5001) e corrija ou desative o DHCP do NAS.

Quando tudo funcionar, volte o seu computador para automático, ou daqui a um mês você vai ter um conflito de IP sem saber de onde vem:

netsh interface ip set address name="Ethernet" dhcp
netsh interface ip set dns     name="Ethernet" dhcp

nmcli con mod "<conexão>" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns ""
nmcli con up "<conexão>"

Plano B — pelo console do NAS (teclado e monitor)

Se o NAS está distribuindo endereços errado e você quer pará-lo já, sem depender de ter rede:

sudo systemctl stop dnsmasq       # para de distribuir IP (e de resolver nomes) agora mesmo
sudo systemctl disable dnsmasq    # ...e também ao iniciar

Depois reative o DHCP do roteador e recomece com calma. Atenção: isso para também o servidor DNS, porque são o mesmo processo; é exatamente o que você quer numa emergência.

Quando tiver consertado, ligue-o de novo pelo painel e não com systemctl enable: assim a interface e o serviço dizem a mesma coisa e o painel reescreve a configuração com os valores que você está vendo na tela.

Plano C — não consigo nem entrar no roteador

Se você não lembra a senha de administração do roteador, resta a restauração de fábrica (botão reset com um clipe, 10 segundos com o dispositivo ligado). O DHCP dele volta a ficar ativado —que é o que você quer— mas também se apagam o nome e a senha do Wi-Fi, os redirecionamentos de portas e qualquer configuração sua: você vai ter que reconfigurar tudo, incluindo a porta da VPN. É o último recurso, não o primeiro.

Plano D — preciso de internet para procurar informação

Compartilhe os dados do celular por USB ou Wi-Fi com o computador. Você terá internet para ler este guia enquanto conserta a rede de casa, embora dali não vá ver o NAS.

E para a próxima vez

• Volte à ordem correta e confira cada passo.
• O erro mais comum, de longe, é o gateway: se você coloca o IP do NAS em vez do do roteador, os dispositivos pegam IP perfeitamente e depois não navegam.
• O segundo, o DNS vazio: tudo parece certo e nenhum site abre.
• O terceiro, dois DHCP ligados: olhe ipconfig /all em um par de dispositivos; se em um o “Servidor DHCP” é o roteador e no outro é o NAS, o do roteador continua vivo.

3.5 Verificações e diagnóstico

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -f        # dá para ver ao vivo: DHCPDISCOVER, DHCPOFFER, DHCPACK
cat /var/lib/misc/dnsmasq.leases     # concessões entregues (a mesma lista do painel)
sudo ss -lunp | grep -E ':(53|67)'   # escuta DNS e DHCP?

Uma sequência saudável no registro é DHCPDISCOVER → DHCPOFFER → DHCPREQUEST → DHCPACK. Se você vê DISCOVER sem OFFER, quase sempre é porque a faixa se esgotou ou porque o pedido chega por uma interface que o serviço não atende.

Dispositivos novos na rede. Com o DHCP do NAS ligado, cada vez que se conecta um dispositivo que nunca tinha sido visto, o painel avisa com o nome, o endereço e a placa de rede dele. Na primeira vez, ele anota os que já estavam conectados sem avisar de nenhum; um dispositivo que fique mais de um ano sem ser visto volta a contar como novo.

4. Como as três peças se encaixam

                 Internet
                     │
            roteador (gateway)                 ← o DHCP do roteador: DESLIGADO
                     │
   ┌─────────────────┴───────────────────┐
   │            rede de casa             │
   │   PC   celular   TV   impressora    │
   └─────────────────┬───────────────────┘
                     │  IP + DNS + gateway
                 NAS · dnsmasq  (DHCP 67 · DNS 53)
                     │
                 WireGuard (UDP 51820) ──► seu celular, fora de casa

O NAS distribui os endereços e, na mesma entrega, se anuncia como servidor DNS; o DNS conhece os nomes de tudo o que o DHCP foi colocando; e a VPN põe o seu celular dentro dessa rede, com nomes e tudo, onde você estiver.

Dá para usá-los separadamente sem problema: a VPN sozinha é perfeitamente útil, e o DNS sem o DHCP também (basta o roteador entregar o IP do NAS como servidor de nomes).

5. Cola de comandos

# VPN
sudo wg show                            # peers, último handshake e dados transferidos
sudo systemctl status wg-quick@wg0
sudo journalctl -u wg-quick@wg0 -n 50

# DNS e DHCP (os dois são o dnsmasq)
sudo systemctl status dnsmasq
sudo systemctl stop dnsmasq             # ⛑️ parar DNS e DHCP em emergência
sudo dnsmasq --test                     # validar a configuração
sudo journalctl -u dnsmasq -f
cat /var/lib/misc/dnsmasq.leases

# Portas em uso
sudo ss -lunp | grep -E ':(53|67|51820)'

E os comandos do lado do cliente, que são os que dizem de verdade se a rede vai bem:

ipconfig /all          # IP, servidor DHCP, DNS e gateway (Windows)
ipconfig /flushdns
nslookup nas.casa

ip addr show           # Linux
nmcli device show <interface>
dig @192.168.1.50 nas.casa +short

Relacionado

• Publicar o NAS na internet — a alternativa à VPN quando você precisa compartilhar com pessoas que não vão instalar um cliente.
• Guia de administração — o resto do painel.
• Recuperação de desastres — o que fazer quando o que falha é o dispositivo inteiro.