Da hast du vermutlich recht, das läuft dann über einen Vermmittlungsserver.
Ich habe offene Ports, wie z.B. für Plex 32400, und diese sind in synology, synology firewall, router und router firewall freigegeben.
Mit dem eigenen VPN Server kenne ich mich noch nicht so gut aus, ich fand die...