Der Zugriff von "aussenstehenden" wird immer nur im Einzelfall per qlink gewährt(Daher auch die sache mit User und Freigabeordner).
Dass ihr für den generellen und ständigen Zugriff VPN verwendet ist schonmal die halbe Miete, ungeachtet dessen, wie das VPN aussieht.
Nur hebelst Du dieses Sicherheitsfeature aus, indem du für "aussenstehende" eine Freigabe mittels Portfreigabe realisierst...
Oder schaltest Du die Portfreigabe nach Bedarf für Stunden oder Tage ein und anschließend wieder aus?
Letztlich spielt es bei dauerhafter Portfreigabe keine Geige mehr, ob am NAS irgendwelche Berechtigungen gesetzt sind: Das NAS ist offen im Netz.
Und wenn Du die Portfreigabe temporär ein und ausschalten willst, dann bist Du als Admin schon wieder mit im Boot