SSL Zertifikate bei DNS Diensten

Von duckdns hast du schon eine Domain, oder zumindest eine Subdomain, 
oder? Dann sollte das schon gehen. Ich würde Let's Encrypt dafür nehmen. 
Ein Synology NAS hab ich keins, aber die müssten das eigentlich 
unterstützen: 
https://kb.synology.com/de-de/DSM/tutorial/How_to_enable_HTTPS_and_create_a_certificate_signing_request_on_your_Synology_NAS

Benutze doch einfach openssl, um Dir eine eigene Certificate Authority 
zu erstellen und mit der ein eigenes Zertifikat zu signieren. Dann 
kannst Du den öffentlichen Key der CA an den Rechnern importieren, mit 
denen Du auf das NAS zugreifst. Öffentliche Signierdienste wie Let's 
Encrypt würde ich an Deiner Stelle nur für Services benutzen, die Du 
offiziell im Netz anbieten willst.

Ich würde übrigens auch mein NAS sicher nicht direkt ins Netz stellen, 
sondern nur über ein VPN zugreifen. Du musst immer bedenken, dass eine 
einzige Lücke reicht, und man kann darauf zugreifen. Wenn es eine Zero 
Day Lücke ist, hast Du vermutlich nicht mal Zeit, etwas zu patchen. 
Sollte man immer so machen - auch mindestens 2 Router 
hintereinanderschalten, bevor was dahinter kommt, damit im Notfall einer 
failen darf.