Serviços de rede do NAS (VPN, DNS e DHCP)

26 min · 7 secções

Estas três funções transformam o NAS no centro da rede da tua casa: entras a partir de fora como se estivesses na sala (VPN), os teus dispositivos chamam-se pelo nome em vez de pelo IP (DNS) e é o NAS —não o router— quem distribui os endereços (DHCP).

Configuram-se no Painel de controlo, cada uma no seu ecrã: VPN, DNS e DHCP. A da VPN tem três separadores: WireGuard, o servidor de VPN do próprio NAS, e Tailscale e NetBird, que põem o NAS na tua rede desses serviços sem abrir nenhuma porta (secção 1.8).

Estão ordenados por risco, e essa é também a ordem em que convém ativá-los. A VPN não consegue estragar nada do que já funciona; o DHCP sim. Se só vais ativar um, que seja a VPN. Se vais ativar o DHCP, lê por inteiro a secção 3 —e em especial «Se ficares sem rede»— antes de mexer em seja o que for.

0. Antes de começar

Não importa qual dos três vais usar: tem isto à mão e apontado em papel ou no telemóvel (não num documento que viva no NAS ou que precise de internet para abrir).

• IP fixo do NAS. Reserva DHCP no router ou IP estático em Painel de controlo → Rede (também IPv6, com o seu prefixo: 2001:db8:1::10/64 e o seu gateway). Um NAS que muda de IP estraga o reencaminhamento de portas da VPN, os registos do DNS e o seu próprio DHCP.
• IP do router e a sua palavra-passe de administração (costuma estar no autocolante do dispositivo). Vais precisar dela para abrir a porta da VPN e para desativar o DHCP do router.
• Acesso físico ao NAS (teclado e monitor) ou SSH já a funcionar. A consola mostra o IP do dispositivo e o comando lgm dá acesso ao menu de recuperação.
• Fá-lo com tempo e sem pessoas ligadas. Mudar o DHCP a meio de uma videochamada alheia tem consequências sociais.
• Nunca faças estas alterações à distância, de fora de casa: se algo correr mal, a própria ligação com que estás a administrar o NAS é a primeira coisa a cair.

1. VPN (WireGuard)

Com a VPN ativa, o teu telemóvel ou o teu portátil entram na rede de casa a partir de qualquer sítio: o painel do NAS, as pastas da casa, a impressora ou as câmaras respondem com o seu IP local tal como se estivesses no sofá. E sem publicar um único serviço na internet: o router só tem aberta uma porta UDP que não responde absolutamente nada a quem não tiver a chave correta.

Comparada com publicar o NAS com proxy inverso, a VPN é a opção mais segura e a que pede menos manutenção. O inconveniente: é preciso instalar um cliente em cada dispositivo, por isso não serve para partilhar com pessoas de fora da tua casa.

1.1 Abrir a porta no router

Um único reencaminhamento de portas:

Dois erros clássicos: escolher TCP (o WireGuard é UDP e só UDP; com TCP não vai haver um único pacote de volta) e reencaminhar para um IP do NAS que depois muda.

Este reencaminhamento é a única coisa manual: a firewall do NAS é gerida pelo próprio painel. Ao ativar a VPN, a regra udp 51820 é acrescentada sozinha (aparece em Segurança → Firewall como «VPN WireGuard (gerida pelo LGM-OS)») e ao desativá-la é retirada. Não a acrescentes à mão: a regra que criares terá outro identificador, o painel não a vai reconhecer e a porta vai ficar aberta para sempre, mesmo que desligues a VPN.

IP dinâmico: o teu IP público muda de poucos em poucos dias, e o cliente precisa de saber para onde ligar. Configura um domínio dinâmico (DDNS) seguindo o passo 3 do guia de acesso externo e usa esse nome (micasa.duckdns.org) como servidor da VPN em vez do IP.

Se estiveres atrás de CGNAT (o teu operador não te dá um IP público próprio) o reencaminhamento não vai funcionar, e com ele também não a VPN. Confirma-o comparando curl -s https://api.ipify.org com o IP WAN que o router mostra: se não coincidirem, ou se o do router começar por 100.64.–100.127., há CGNAT. Solução: pedir um IP público ao operador (costuma ser grátis), ou entrar com o Tailscale ou o NetBird (secção 1.8), que não precisam de nenhuma porta aberta.

1.2 Criar o perfil de cada dispositivo

Em Painel de controlo → VPN: ativa o servidor e acrescenta um dispositivo («peer») por cada telemóvel, tablet ou computador que se vá ligar.

• Um perfil por dispositivo, sempre. Não reutilizes o mesmo no telemóvel e no portátil: os dois teriam o mesmo endereço dentro do túnel e iam pisar-se um ao outro. Além disso, perfis separados permitem revogar só o do telemóvel que perdeste.
• Que tráfego passa pelo túnel (o que o WireGuard chama AllowedIPs):
• Só a rede de casa (por exemplo 192.168.1.0/24): navegas com os dados do teu operador e só o que vai para o NAS ou para a impressora entra pelo túnel. Gasta menos bateria e não torna o resto mais lento.
• Todo o tráfego (0.0.0.0/0): além de chegares a casa, sais para a internet pela tua ligação doméstica. É o que queres no Wi-Fi de um hotel ou de um aeroporto, e também se usares o DNS do NAS estando fora.
• O perfil inclui a chave privada do dispositivo. O NAS não precisa dela para nada depois de ta entregar: se perderes o perfil, gera-se outro; não se «recupera».

1.3 Instalar o cliente

Transfere sempre da loja oficial ou de wireguard.com. Há clones nas lojas com nomes parecidos que pedem permissões que não vêm a propósito.

1.4 Telemóvel: digitalizar o código QR

1. No painel, abre o perfil do dispositivo e carrega em Ver código QR.
2. No telemóvel, abre o WireGuard e toca no botão + (em baixo, à direita).
3. Escolhe Digitalizar a partir de código QR e concede a permissão da câmara.
4. Aponta para o ecrã do computador. Ao reconhecê-lo, pede um nome para o túnel (Casa, por exemplo). Aceita.
5. Ativa o interruptor do túnel. Da primeira vez, o Android ou o iOS vão pedir para autorizar uma «configuração de VPN»: é normal, aceita.

⚠️ Esse QR é a chave da tua rede. Contém a chave privada do dispositivo em claro: quem o fotografar pode entrar na tua casa a partir de qualquer parte do mundo. Não o partilhes, não o coles num chat e não o deixes numa captura de ecrã. Se um telemóvel se perder ou o trocares, elimina o seu perfil no painel: essa chave deixa de valer no mesmo instante.

1.5 Computador: importar o ficheiro de configuração

1. No painel, Transferir .conf guarda um ficheiro .conf (por exemplo portatil.conf).
2. Windows / macOS: abre o WireGuard → Importar túnel(eis) de ficheiro → escolhe o .conf → Ativar.
3. Linux:

sudo install -m 600 portatil.conf /etc/wireguard/casa.conf
sudo wg-quick up casa                       # ligar agora
sudo systemctl enable --now wg-quick@casa   # ...e em cada arranque

1. Elimina o .conf da pasta de transferências depois de o importares: é tão sensível como o QR.

1.6 Verificar que o túnel funciona de verdade

Testa a partir de fora de casa. Com o telemóvel em dados móveis e o Wi-Fi desligado; se testares a partir do teu próprio Wi-Fi pode falhar mesmo que esteja tudo bem (muitos routers não sabem reencaminhar para dentro uma ligação que sai da sua própria rede: chama-se hairpin NAT).

No cliente, com o túnel ativado, olha para o último aperto de mão (latest handshake): se mostrar uma hora recente e os contadores de dados subirem, o túnel está de pé. Depois, o teste a sério:

ping 192.168.1.50            # o IP local do NAS, a partir do dispositivo ligado

e abre https://192.168.1.50:5001 no navegador: deve aparecer o painel. Se além disso usares o túnel completo, https://api.ipify.org tem de devolver o IP público da tua casa, não o do teu operador móvel.

A partir do próprio NAS, a vista de dentro:

sudo wg show

Para cada dispositivo vais ver latest handshake (há quanto tempo falou) e transfer (quantos dados passaram). Um peer que nunca fez handshake nunca chegou a ligar-se: o problema está no router ou no perfil, não no NAS.

1.7 Se a VPN não liga

Diagnóstico no NAS:

sudo systemctl status wg-quick@wg0
sudo wg show
sudo ss -lunp | grep 51820        # está à escuta?
sudo journalctl -u wg-quick@wg0 -n 50

1.8 Sem abrir portas: Tailscale e NetBird

Se não consegues abrir uma porta no router —estás atrás de CGNAT, ou o router não é teu—, os outros dois separadores de Painel de controlo → VPN levam-te ao mesmo sítio por outro caminho: o NAS entra na tua rede do Tailscale ou do NetBird, e chegas a ele a partir de qualquer dispositivo teu que tenha a respetiva aplicação ligada, estejas onde estiveres. É precisa uma conta nesse serviço; no router não se mexe.

1. Instala-o. Não vem instalado: Instalar Tailscale (ou Instalar NetBird) transfere-o do seu repositório oficial num par de minutos.
2. Põe o NAS na tua rede.
• Tailscale: cola uma chave de autenticação —cria-se na consola dele, em *Settings → Keys*— ou carrega em Ligar sem chave: aparece uma ligação, com o seu código QR, para entrares com a tua conta do Tailscale. O ecrã atualiza-se sozinho assim que o fizeres. Se a tua rede pedir para aprovar cada dispositivo novo, aprova o NAS na consola do Tailscale.
• NetBird: cola uma chave de registo (setup key), que se cria no painel dele, em *Setup Keys*. Se tiveres o teu próprio servidor do NetBird, escreve o seu endereço em **Servidor próprio**; vazio, usa-se a nuvem do NetBird.
3. Entra. Com a ligação feita, o ecrã mostra o endereço do NAS nessa rede e como se abre o painel: https://<esse-endereço>:5001, a partir de qualquer dispositivo teu com a aplicação ligada. Esse endereço aparece também em Painel de controlo → Endereços e vai no convite do LGM Connect.

O que entra pelo Tailscale ou pelo NetBird conta como de casa na firewall, e o bloqueio por país não o filtra: são os teus dispositivos, estejam onde estiverem.

• O painel em qualquer navegador, com o NetBird. Para o abrires sem instalar nada, o proxy inverso monta-se no painel do NetBird, não no NAS: cria lá um serviço de *Reverse Proxy* que aponte para este dispositivo por https, porta 5001, com «Skip TLS Verification» ativado. Com o NAS ligado, o ecrã lembra-to com a ligação. Isso publica o painel na internet: lê antes a [lista de segurança](external-access.md#6-segurança-lê-isto-antes-de-mexer-no-router).
• Desligar (o interruptor lá em cima): o NAS continua na tua rede, mas não é alcançável por ela até o ligares.
• Sair da rede: tira o NAS da tua rede. Para o voltares a pôr lá é precisa uma chave nova ou iniciar sessão outra vez.
• Desinstalar: o NAS sai da tua rede e o programa é removido com tudo o que tinha guardado.
• Um de cada vez. O Tailscale e o NetBird distribuem os mesmos endereços (100.x): com os dois ligados, um pode deixar o outro sem ligação. O ecrã avisa.

2. Servidor DNS

O DNS traduz nomes em endereços. Com o do NAS ativo consegues três coisas:

• Nomes para as tuas geringonças: nas.casa em vez de 192.168.1.50, impresora.casa, camara.casa. Acabou-se decorar IPs ou procurá-los num papel.
• Cache: as consultas repetidas são respondidas a partir do NAS, sem sair para a internet.
• Um único sítio onde mudar as coisas: se o NAS mudar de IP, corriges isso num registo e a casa toda fica a saber.

Funciona da mesma forma através da VPN: ligado a partir de fora, nas.casa continua a resolver.

2.1 Ativar o serviço

Em Painel de controlo → DNS escolhes os servidores de reencaminhamento (a quem o NAS pergunta o que não sabe: os do teu operador, 1.1.1.1, 9.9.9.9…), o domínio local e os registos locais. Ao guardar, o painel escreve a configuração e arranca o serviço.

A porta 53 tem de estar livre. Uma instalação normal do Debian 12 não a ocupa, mas muitas imagens de máquina virtual e de nuvem trazem o systemd-resolved ligado, e então o servidor DNS não arranca. Confirma-o e liberta-a:

sudo ss -lunp | grep ':53'          # quem está à escuta na 53?
sudo systemctl disable --now systemd-resolved

Se desativares o systemd-resolved, garante que o próprio NAS mantém um DNS válido ou vai ficar sem resolver nomes (e sem se poder atualizar):

ls -l /etc/resolv.conf              # se for uma ligação para ../run/systemd/resolve/...:
sudo rm /etc/resolv.conf
# O primeiro é o dnsmasq do próprio NAS; o segundo é a rede de segurança para que o
# dispositivo continue a resolver enquanto o serviço estiver parado.
printf 'nameserver 127.0.0.1\nnameserver 1.1.1.1\n' | sudo tee /etc/resolv.conf

2.2 Os registos locais

Um registo é um par nome → IP:

Sobre o domínio que escolheres:

• Não uses .local: está reservado para mDNS/Bonjour (Apple, impressoras, Chromecast) e usá-lo para DNS normal produz falhas intermitentes muito difíceis de diagnosticar.
• Boas opções: .casa, .lan ou .home.arpa (este último é o reservado oficialmente para redes domésticas).
• Se tiveres um domínio próprio, um subdomínio interno (interno.midominio.com) é o mais limpo e permite-te além disso usar certificados válidos dentro de casa.

Os dispositivos que recebem o seu IP do DHCP do NAS podem registar-se sozinhos com o nome que anunciam, por isso as duas peças complementam-se.

2.3 Apontar os dispositivos para o NAS

Três formas, da que dá menos trabalho para a que dá mais:

1. Com o DHCP do NAS ativo: não é preciso fazer nada, o próprio DHCP entrega o NAS como servidor DNS à casa toda.
2. A partir do router (o mais prático se não vais usar o DHCP do NAS): na configuração DHCP do router, muda o «servidor DNS» que ele entrega e põe o IP do NAS. Os dispositivos vão apanhá-lo ao renovar a sua concessão (ou ao voltar a ligar-se).
3. Dispositivo a dispositivo, útil para testar sem afetar ninguém:
• Windows: Definições → Rede e Internet → Wi-Fi/Ethernet → Editar a atribuição de servidores DNS → Manual → IPv4 → DNS preferido: o IP do NAS.
• macOS: Definições do Sistema → Rede → Detalhes → DNS → +.
• Linux: nmcli con mod "<ligação>" ipv4.dns 192.168.1.50 ipv4.ignore-auto-dns yes e nmcli con up "<ligação>".
• Android/iPhone: nas opções da rede Wi-Fi, configuração de IP → estática.

Deixa sempre um DNS de reserva. Se o NAS for o único DNS da casa e se desligar ou reiniciar para se atualizar, toda a gente fica «sem internet» (o que falha não é a ligação: são os nomes). Pôr como secundário o router ou 1.1.1.1 evita o corte, em troca de algum dispositivo resolver às vezes pelo secundário e não encontrar os nomes locais. É o compromisso normal: reserva sim, e aceita que nas.casa pode falhar durante o tempo em que o NAS estiver desligado.

2.4 Verificar que funciona

# Linux / macOS
dig @192.168.1.50 nas.casa +short       # deve devolver o IP local
dig @192.168.1.50 www.google.com +short # deve devolver algo: o reencaminhamento funciona

# Windows
nslookup nas.casa 192.168.1.50

E para saber que DNS um dispositivo está mesmo a usar: ipconfig /all no Windows ou resolvectl status / cat /etc/resolv.conf no Linux.

2.5 Se o DNS não funciona

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -n 50
sudo dnsmasq --test                 # a configuração é válida?

3. Servidor DHCP

O DHCP é quem distribui a cada dispositivo o seu endereço IP, a máscara, o gateway e o DNS. Hoje é o teu router que o faz. Se o passares para o NAS ganhas reservas por MAC bem geridas, nomes automáticos junto com o DNS e uma lista clara do que está ligado na tua casa.

### ⚠️ Lê isto antes de o ativares Numa rede só pode haver um servidor DHCP. Antes de ativares o do NAS tens de desativar o do router. Se os dois estiverem ligados ao mesmo tempo, cada dispositivo que se liga pergunta aos gritos e fica com a primeira resposta que chegar —às vezes a do router, às vezes a do NAS—, por isso uns dispositivos vão funcionar e outros não, mudando de um dia para o outro. Não é «uma configuração um pouco suja»: é uma avaria intermitente que deixa qualquer um maluco. E o risco do outro lado: com o DHCP do router desligado, se o do NAS não funcionar ninguém obtém IP e a casa inteira fica sem rede, incluindo o computador com que ias resolver o problema. Por isso a secção importante deste guia é «Se ficares sem rede».

3.1 Preparação (cinco minutos que te poupam uma tarde)

• [ ] Guarda esta página no telemóvel (ou imprime-a). Se ficares sem rede não a vais poder consultar, e é exatamente quando precisas dela.
• [ ] Aponta em papel: IP do router, IP do NAS, máscara (quase sempre 255.255.255.0) e o intervalo que o NAS vai distribuir.
• [ ] Aponta a palavra-passe do router. Se vive num gestor de palavras-passe na nuvem e ficares sem internet, não a vais ter.
• [ ] Copia as reservas por MAC que o router já tenha (impressora, câmaras, consola…). Se não as passares para o NAS, esses dispositivos vão mudar de IP e deixar de responder onde esperavas.
• [ ] Tem teclado e monitor ligados ao NAS, ou SSH a funcionar a partir de um dispositivo com IP fixo posto à mão.
• [ ] Escolhe o intervalo com cuidado: não deve incluir o IP do router nem o do NAS nem o de nenhum dispositivo com IP fixo. Um exemplo saudável numa rede 192.168.1.0/24:

| Elemento | Valor | |---|---| | Router (gateway) | 192.168.1.1 | | NAS | 192.168.1.50 | | Dispositivos com IP fixo | 192.168.1.2 – 192.168.1.99 | | Intervalo do DHCP | 192.168.1.100 – 192.168.1.200 | | DNS entregue | 192.168.1.50 (o NAS) e, opcional, 1.1.1.1 | | Concessão (lease) | 2 h enquanto testas; 12–24 h depois |

Uma concessão curta durante a migração faz com que os dispositivos apanhem as alterações em minutos em vez de dias. Quando tudo funcionar, aumenta-a: com concessões longas, se o NAS se desligar os dispositivos mantêm o IP durante muitas horas e não dás pelo apagão da pior maneira.

3.2 A ordem correta (não a mudes)

1. Configura o DHCP em Painel de controlo → DHCP: intervalo, máscara, gateway (o IP do router, não o do NAS), DNS e concessão. **Guarda sem ativar.**
2. Entra no router e desativa o DHCP dele. Costuma estar em LAN → DHCP → «Servidor DHCP: desativado». Os dispositivos já ligados mantêm o IP até a concessão expirar, por isso ainda tens rede.
3. Ativa o DHCP do NAS a partir do painel.
4. Testa com um único dispositivo antes de mexer em mais alguma coisa:

ipconfig /release
ipconfig /renew
ipconfig /all          # "Servidor DHCP" deve ser o IP do NAS

sudo nmcli con down "<ligação>" && sudo nmcli con up "<ligação>"   # Linux
nmcli device show <interface> | grep -E 'IP4.ADDRESS|IP4.GATEWAY|IP4.DNS'

Num telemóvel basta desligar e voltar a ligar o Wi-Fi.

1. Olha para a lista de concessões no painel: os dispositivos devem ir aparecendo com o seu nome e o seu MAC à medida que renovam.
2. Só quando o teste correr bem, aumenta a concessão para 12–24 h e passa o resto das reservas.

3.3 O que significa cada campo

3.4 Se ficares sem rede

⛑️ Nada de pânico: não se estragou nada. Só deixou de funcionar a distribuição de endereços; o cabo, o Wi-Fi, o router e os teus dados estão intactos. Resolve-se em dois minutos.

Como se reconhece: os dispositivos dizem «sem internet» ou «ligado, sem acesso à rede», e o seu IP começa por 169.254. (esse é o endereço de emergência que um dispositivo inventa quando ninguém lhe responde) ou simplesmente não têm nenhum.

Plano A — dá um IP à mão ao teu computador (funciona quase sempre)

Com um IP posto à mão não precisas de nenhum DHCP: vais poder abrir o router ou o NAS e desfazer a alteração. Usa um endereço livre fora do intervalo que configuraste, por exemplo 192.168.1.90, com máscara 255.255.255.0, gateway 192.168.1.1 (o teu router) e DNS 1.1.1.1.

Windows (rápido, numa linha de comandos como administrador):

netsh interface ip show config                     # ver o nome exato da interface
netsh interface ip set address name="Ethernet" static 192.168.1.90 255.255.255.0 192.168.1.1
netsh interface ip set dns     name="Ethernet" static 1.1.1.1

Pelos menus: Definições → Rede e Internet → Ethernet (ou Wi-Fi) → Atribuição de IP → Editar → Manual → ativa o IPv4 → preenche esses quatro valores.

macOS: Definições do Sistema → Rede → a tua ligação → Detalhes → TCP/IP → «Configurar IPv4»: Manualmente → preenche o endereço, a máscara e o router.

Linux:

nmcli con mod "<ligação>" ipv4.method manual \
  ipv4.addresses 192.168.1.90/24 ipv4.gateway 192.168.1.1 ipv4.dns 1.1.1.1
nmcli con up "<ligação>"

Android: mantém premida a rede Wi-Fi → Modificar rede → Opções avançadas → Definições de IP: Estático. iPhone: Definições → Wi-Fi → (i) → Configurar IP → Manual.

Com rede outra vez, escolhe o caminho:

• Voltar completamente atrás: entra no router (http://192.168.1.1) e **volta a ativar o DHCP dele**. A casa volta à normalidade no mesmo instante.
• Corrigir o do NAS: entra no painel (https://192.168.1.50:5001) e corrige ou desativa o DHCP do NAS.

Quando tudo funcionar, volta a pôr o teu computador em automático, ou daqui a um mês vais ter um conflito de IP que não vais saber de onde vem:

netsh interface ip set address name="Ethernet" dhcp
netsh interface ip set dns     name="Ethernet" dhcp

nmcli con mod "<ligação>" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns ""
nmcli con up "<ligação>"

Plano B — a partir da consola do NAS (teclado e monitor)

Se o NAS estiver a distribuir endereços mal e o quiseres parar já, sem depender de ter rede:

sudo systemctl stop dnsmasq       # deixa de distribuir IPs (e de resolver nomes) neste instante
sudo systemctl disable dnsmasq    # ...e também ao arrancar

Depois reativa o DHCP do router e recomeça com calma. Atenção: isto para também o servidor DNS, porque são o mesmo processo; é exatamente o que queres numa emergência.

Quando o tiveres resolvido, volta a ligá-lo a partir do painel e não com systemctl enable: assim a interface e o serviço dizem o mesmo e o painel reescreve a configuração com os valores que estiveres a ver no ecrã.

Plano C — nem sequer consigo entrar no router

Se não te lembras da palavra-passe de administração do router, resta a reposição de fábrica (botão reset com um clipe, 10 segundos com o dispositivo ligado). O DHCP dele volta a ficar ativado —que é o que procuras— mas também são apagados o nome e a palavra-passe do Wi-Fi, os reencaminhamentos de portas e qualquer definição tua: vais ter de reconfigurar tudo, incluindo a porta da VPN. É o último recurso, não o primeiro.

Plano D — preciso de internet para procurar informação

Partilha os dados do telemóvel por USB ou Wi-Fi com o computador. Vais ter internet para ler este guia enquanto resolves a rede de casa, embora daí não vejas o NAS.

E para a próxima

• Volta à ordem correta e confirma cada passo.
• O erro mais comum, de longe, é o gateway: se puseres o IP do NAS em vez do do router, os dispositivos obtêm IP perfeitamente e depois não navegam.
• O segundo, o DNS vazio: tudo parece bem e nenhum site abre.
• O terceiro, dois DHCP ligados: olha para ipconfig /all em dois ou três dispositivos; se num o «Servidor DHCP» for o router e noutro o NAS, o do router continua vivo.

3.5 Verificações e diagnóstico

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -f        # vê-se em direto: DHCPDISCOVER, DHCPOFFER, DHCPACK
cat /var/lib/misc/dnsmasq.leases     # concessões entregues (a mesma lista que o painel)
sudo ss -lunp | grep -E ':(53|67)'   # DNS e DHCP estão à escuta?

Uma sequência saudável no registo é DHCPDISCOVER → DHCPOFFER → DHCPREQUEST → DHCPACK. Se vires DISCOVER sem OFFER, quase sempre é porque o intervalo está esgotado ou porque o pedido chega por uma interface que o serviço não atende.

Dispositivos novos na rede. Com o DHCP do NAS ligado, sempre que se liga um dispositivo que nunca tinha sido visto, o painel avisa com o seu nome, o seu endereço e a sua placa de rede. Da primeira vez regista os que já estavam ligados sem avisar de nenhum; um dispositivo que esteja há mais de um ano sem ser visto volta a contar como novo.

4. Como encaixam as três peças

                 Internet
                     │
            router (gateway)                   ← o DHCP do router: DESLIGADO
                     │
   ┌─────────────────┴───────────────────┐
   │            rede de casa             │
   │   PC   telemóvel  TV   impressora   │
   └─────────────────┬───────────────────┘
                     │  IP + DNS + gateway
                 NAS · dnsmasq  (DHCP 67 · DNS 53)
                     │
                 WireGuard (UDP 51820) ──► o teu telemóvel, fora de casa

O NAS distribui os endereços e, na mesma entrega, anuncia-se como servidor DNS; o DNS conhece os nomes de tudo o que o DHCP foi colocando; e a VPN põe o teu telemóvel dentro dessa rede, com os nomes e tudo, estejas onde estiveres.

Podem usar-se em separado sem problema: a VPN sozinha é perfeitamente útil, e o DNS sem o DHCP também (basta que o router entregue o IP do NAS como servidor de nomes).

5. Cábula de comandos

# VPN
sudo wg show                            # peers, último handshake e dados transferidos
sudo systemctl status wg-quick@wg0
sudo journalctl -u wg-quick@wg0 -n 50

# DNS e DHCP (os dois são o dnsmasq)
sudo systemctl status dnsmasq
sudo systemctl stop dnsmasq             # ⛑️ parar DNS e DHCP de emergência
sudo dnsmasq --test                     # validar a configuração
sudo journalctl -u dnsmasq -f
cat /var/lib/misc/dnsmasq.leases

# Portas em uso
sudo ss -lunp | grep -E ':(53|67|51820)'

E os comandos do lado do cliente, que são os que dizem de verdade se a rede está bem:

ipconfig /all          # IP, servidor DHCP, DNS e gateway (Windows)
ipconfig /flushdns
nslookup nas.casa

ip addr show           # Linux
nmcli device show <interface>
dig @192.168.1.50 nas.casa +short

Relacionado

• Publicar o NAS na internet — a alternativa à VPN quando precisas de partilhar com pessoas que não vão instalar um cliente.
• Guia de administração — o resto do painel.
• Recuperação de desastres — o que fazer quando o que falha é o dispositivo inteiro.