Moinsen,
ich würde ebenfalls dazu tendieren, wenn überhaupt nur die https Ports (5001, 8001 etc) freizugeben.
Generell mal die DynDNS Konfiguration in Ruhe ansehen, ob da alles geht. Dann in der Fritz einrichten, probieren...ggf. nochmal hier melden.
Wenn dann DynDNS auch verlässlich geht (also du ohne Fehler bis zum Gerät kommst), dann kannst du dich mal in das Thema VPN einlesen.
Du hast da die Möglichkeit, entweder die Fritz oder zur Not das NAS als VPN Server zu nutzen, damit wird die Einwahl ins Heimnetz sicherer und wäre imho zu bevorzugen. Bietet noch weitere Vorteile, die du dir bei deiner Recherche sicherlich schnell anlesen wirst.
Viel Erfolg und wie gesagt: gerne wieder melden mit neuen Probs...
Have fun.