DSMの更新はインターネット接続が必要でしょうか？ NASは基本インターネットへの接続は必要でしょうか？ファイヤーウォールで制限するのであれば、何ポート開放するべきでしょうか？

DSMの更新はインターネット経由のほか、パッケージでのインストールも可能です。
SynologyNASがインターネットに接続できない場合は、インターネットアクセス可能なPC
からSynology社のホームページにアクセスし、パッケージをダウンロードする必要があります。
デフォルトではSynologyにアクセスする為のポートは5000番（http)と5001番(https)です。
一般的に80番と8080番ポートはインターネット接続に必要ですのでこちらも許可する必要があると思います。
<a href=”https://www.synology.com/ja-jp/knowledgebase/DSM/tutorial/Network/What_network_ports_are_used_by_Synology_services”>https://www.synology.com/ja-jp/knowledgebase/DSM/tutorial/Network/What_network_ports_are_used_by_Synology_services</a>