Installer ProtonVPN sur NAS Synology

En 2026, tous les VPN ne se valent pas pour un usage NAS torrent. La différence se joue sur deux critères techniques : le protocole (pour les débits) et le port forwarding (pour le ratio).

ProtonVPN Plus coche les deux cases avec un atout décisif : le port forwarding se fait via NAT-PMP, un protocole que GlueTUN sait interroger automatiquement. Résultat : à chaque reconnexion, le nouveau port est transmis à qBittorrent sans intervention manuelle. C'est unique sur l'écosystème Docker grand public en 2026.

Le plan Plus (~10€/mois, ~5€ en engagement long) reste le meilleur investissement si votre priorité est un ratio sérieux sur trackers privés et une connexion toujours opérationnelle sans script de maintenance.

Contrairement à NordVPN ou AirVPN, ProtonVPN utilise un générateur de config WireGuard en ligne. Aucun identifiant OpenVPN à gérer, aucun port à réserver manuellement : tout est intégré au dashboard.

Attention : vous n'utiliserez pas votre email + mot de passe Proton directement dans Docker. Le dashboard génère une paire de clés WireGuard dédiée qu'on va injecter dans GlueTUN. Vos identifiants de compte Proton ne quittent jamais le navigateur.

1. Connectez-vous sur account.protonvpn.com
2. Dans le menu de gauche : Downloads → WireGuard configuration
3. Configurez les options exactement comme indiqué ci-dessous
4. Cliquez sur Create et téléchargez le fichier .conf

Une fois le fichier .conf téléchargé, ouvrez-le avec un éditeur de texte (Bloc-notes, TextEdit, Nano…). Vous y trouverez deux lignes importantes :

[Interface]
PrivateKey = xxxxx...xxxxx  ← Notez cette ligne
Address = 10.2.0.2/32  ← Notez cette ligne
DNS = 10.2.0.1

[Peer]
PublicKey = ...
AllowedIPs = 0.0.0.0/0
Endpoint = fr-xx.protonvpn.udp:51820

Gardez la PrivateKey et l'Address sous la main. Elles vont dans le docker-compose à l'étape suivante.

Docker est déjà installé sur votre Synology (depuis DSM 7.2, c'est Container Manager). On va utiliser Docker Compose qui permet de lancer plusieurs conteneurs en une seule commande.

On va lancer 2 conteneurs qui travaillent ensemble :

Créez un fichier docker-compose.yml dans /volume1/docker/qbittorrent/ et collez le code ci-dessous. Remplacez VOTRE_CLE_PRIVEE par la clé récupérée à l'étape 2, et adaptez WIREGUARD_ADDRESSES à la valeur de votre fichier .conf.

services:
  gluetun:
    image: qmcgaw/gluetun:latest
    container_name: gluetun
    cap_add:
      - NET_ADMIN
    devices:
      - /dev/net/tun:/dev/net/tun
    environment:
      - VPN_SERVICE_PROVIDER=protonvpn
      - VPN_TYPE=wireguard
      - WIREGUARD_PRIVATE_KEY=VOTRE_CLE_PRIVEE
      - WIREGUARD_ADDRESSES=10.2.0.2/32
      - SERVER_COUNTRIES=France
      - VPN_PORT_FORWARDING=on
      - VPN_PORT_FORWARDING_PROVIDER=protonvpn
      - VPN_PORT_FORWARDING_UP_COMMAND=/bin/sh -c 'wget -q -O- --post-data "json={\"listen_port\":{{PORTS}}}" http://localhost:9775/api/v2/app/setPreferences 2>&1'
      - TZ=Europe/Paris
    ports:
      - 9775:9775
    volumes:
      - /volume1/docker/gluetun:/gluetun
    restart: always

  qbittorrent:
    image: lscr.io/linuxserver/qbittorrent:latest
    container_name: qbittorrent
    network_mode: "service:gluetun"
    depends_on:
      gluetun:
        condition: service_healthy
    environment:
      - PUID=1026
      - PGID=100
      - TZ=Europe/Paris
      - WEBUI_PORT=9775
    volumes:
      - /volume1/docker/qbittorrent:/config
      - /volume1/docker/qbittorrent/downloads:/downloads
    restart: always

Lancez ensuite les conteneurs. Dans Container Manager (DSM 7.2+), cliquez sur Project puis Create, sélectionnez votre fichier docker-compose.yml et validez.

Décortiquons les lignes vraiment spécifiques à ProtonVPN :

• VPN_SERVICE_PROVIDER=protonvpn : dit à GlueTUN d'utiliser les serveurs ProtonVPN et les bons endpoints WireGuard.
• VPN_PORT_FORWARDING=on + VPN_PORT_FORWARDING_PROVIDER=protonvpn : active l'interrogation NAT-PMP pour négocier un port côté Proton. Spécifique à ProtonVPN, aucun autre VPN ne supporte cette combinaison dans GlueTUN.
• VPN_PORT_FORWARDING_UP_COMMAND : la ligne magique. Quand GlueTUN obtient un port, il lance automatiquement un wget qui pousse ce port dans qBittorrent via l'API /api/v2/app/setPreferences. Plus besoin de toucher à qBittorrent manuellement.
• network_mode: "service:gluetun" : qBittorrent utilise le réseau de GlueTUN. Si le VPN tombe, qBittorrent perd Internet instantanément. C'est votre kill switch automatique.
• PUID=1026 PGID=100 : les identifiants utilisateur/groupe sur Synology. Vérifiez les vôtres en SSH avec id.

Les disques durs mécaniques sont le deuxième goulot d'étranglement après le VPN. Un HDD lit/écrit à 100-150 Mo/s quand les données sont séquentielles. Mais BitTorrent télécharge par petits morceaux en désordre : c'est ce qu'on appelle les écritures aléatoires, et ça tue les performances.

L'astuce : utiliser la RAM du NAS comme tampon pour absorber ces écritures en vrac, puis les écrire sur le disque de façon plus ordonnée.

Connectez-vous à l'interface web de qBittorrent (http://IP-NAS:9775), puis allez dans Paramètres → Avancé :

Puis dans Comportement :

Par défaut, qBittorrent exige un nom d'utilisateur et un mot de passe pour accéder à son API. Problème : la commande wget lancée par GlueTUN pour pousser le nouveau port ne connaît pas ces identifiants. Sans ce réglage, la flamme restera orange malgré une config par ailleurs correcte. C'est l'erreur la plus fréquente sur ce setup.

Dans l'interface web de qBittorrent, allez dans Paramètres → WebUI :

Pourquoi c'est safe : qBittorrent tourne en network_mode: "service:gluetun", ce qui signifie que localhost (127.0.0.1) n'est accessible que depuis les processus qui partagent cette stack réseau, c'est-à-dire GlueTUN et qBittorrent eux-mêmes. Personne d'autre ne peut s'y connecter, même sur le réseau local.

Après avoir coché la case et cliqué sur Enregistrer, redémarrez GlueTUN pour qu'il relance l'UP_COMMAND :

# En SSH sur le NAS
docker restart gluetun
docker logs gluetun --tail 50 | grep -E "port forwarded|setPreferences"

2 réglages complémentaires qui font gagner beaucoup de débit sur HDD : limiter le nombre de torrents actifs en parallèle, et préallouer l'espace disque.

Allez dans Paramètres → BitTorrent → File d'attente :

Puis dans Paramètres → Téléchargements, cochez Préallouer l'espace disque pour tous les fichiers. Cela évite la fragmentation des fichiers sur HDD et accélère à la fois le téléchargement, le seeding et la lecture Plex/Jellyfin.

Résultat concret : passer de 15 torrents actifs à 3 peut doubler votre débit effectif sur HDD, et la préallocation divise par 2 à 3 le temps de scan au démarrage de qBittorrent.

Une fois tout lancé, comment savoir si tout fonctionne ? Regardez en bas à droite de l'interface web de qBittorrent. Vous y verrez une petite icône de connexion :

Si l'icône reste orange, voici le diagnostic pas à pas :

1. Vérifiez les logs GlueTUN : cherchez une ligne du type port forwarded: 47821. Si elle n'apparaît pas, le problème est côté VPN : revérifiez que NAT-PMP est bien coché dans votre config ProtonVPN (étape 2) et que votre plan est bien Proton VPN Plus ou supérieur.
2. Vérifiez le port dans qBittorrent : Paramètres → Connexion. Le port d'écoute doit correspondre exactement au numéro affiché dans les logs GlueTUN. S'il ne correspond pas, c'est que l'UP_COMMAND n'a pas fonctionné.
3. Vérifiez le bypass auth localhost : Paramètres → WebUI → case Contourner l'authentification pour les clients localhost. Sans ça, la commande UP_COMMAND est rejetée en 403 Forbidden. C'est l'erreur #1 (voir étape 5).
4. Redémarrez GlueTUN après avoir coché la case : docker restart gluetun. Sans redémarrage, l'UP_COMMAND ne sera pas relancée.

Dernière étape : valider que tout tient la route en conditions réelles. Lancez un torrent de test (n'importe quel .torrent Linux officiel fait l'affaire, par exemple Ubuntu ISO) et surveillez trois indicateurs pendant 10-15 minutes.

Si les trois check passent : félicitations, votre NAS seede derrière ProtonVPN avec flamme verte, port forwarding actif, kill switch opérationnel. Vous pouvez laisser tourner 24/7.