Laut den Einstellungen ist er aus dem Internet erreichbar,
Wie erreichbar?
CloudLink (ohne Portweiterleitungen) oder DDNS (Sau gefährlich mit Portweiterleitungen)
doch schalt ich den VPN Tunnel ab dann läuft nichts mehr.
Du spielst auch gerne russisch Roulette oder? Wie kann man nur auf die Idee kommen ohne VPN zuzugreifen?
Es wäre ja nicht so, das da nicht überall die Meldungen über gehackte NAS in den Foren stehen. 
No risk - no fun, oder?
Wenn die Verbindung über VPN aus irgendwelchen Gründen ein Problem sein sollte, lässt sich alternativ SMB (also die Verzeichnisfreigabe) über einen ssh-Tunnel mit gleicher Sicherheit nutzen. Ich habe es ausprobiert, es geht.
Ansonsten kannst du im Router den Port für SMB öffnen und zu deinem NAS leiten, dann kommst du über eine Dyndns-Adresse da drauf. Dann gibst du aber ein Protokoll, das für das vergleichsweise sichere lokale Netzwerk entwickelt wurde, im unsicheren Internet frei. Ich habe das Gefühl, dass SMB in den Versionen 2 und 3 recht gut auf Sicherheit getestet wurde (aber nicht Version 1, die ist unsicher). Dann musst du aber gut verfolgen, ob für SMB Sicherheitslücken entdeckt und von Qnap zeitnah geschlossen werden. Du musst darauf vertrauen, dass Qnap dir kein Ei ins Nest legt (z. B. vergessene Testzugänge). Und du musst die Freigaben auf dem NAS absolut sicher konfigurieren. Es hat im Firmenumfeld schon üble Sicherheitslücken gegeben, weil bei den Freigaben Rechte falsch eingestellt waren. - Wenn auf dem NAS nur unkritische Daten liegen (wie deine Musikbibliothek, wo es nicht schlimm ist, wenn diese in falsche Hände gerät) und das NAS in einer DMZ liegt, kann man das lockerer sehen.
