Почему я выбрал Synology NAS?
Когда я решил перенести некоторые основные функции на NAS, я подумал об отдельном домашнем домашнем сервере. Но с увеличением ежедневных обязанностей, обслуживание этого сервера потребовало бы дополнительного времени, которого у меня не было. Так что NAS был идеальным решением. Но какой?
Несмотря на то, что в наши дни большинство NAS могут делать все, что я хотел, включая Docker, я решил сохранить домашний сервер по некоторым причинам, которые будут обсуждаться позже в этом посте. Мне нужен был только NAS для следующих функций:
- Samba Share на ПК с Windows по всему дому
- NFS Share на коробки Kodi по всему дому – Kodi теперь является резервной копией для Plex
- Plex Media Server
- MariaDB
- Наблюдение – предпочтительно
На моем домашнем сервере хранится всего около 5 ТБ общего содержимого, большинство из которых не являются критическими (Media). Я часто делаю резервную копию своего домашнего сервера на внешний жесткий диск и удаленный сервер. Поэтому мне никогда не требовалась настройка RAID (RAID не является резервной копией ).
Исходя из этих требований, я всерьез рассматривал только Drobo 5N2 и Synology DS918 +. Я знаю, что QNAP и Asustor также имеют похожие продукты. Я настроил Synology для моего друга, и поэтому я чувствовал себя комфортно с ним. У NASCompares уже есть хорошая статья о Synology DS918 + против Drobo 5N2. Поэтому я не собираюсь объяснять различия здесь. В итоге, за $ 60 за Synology DS918 + я получил поддержку NFS, Surveillance Station (хотя включены только две лицензии на камеру), eSATA, 2 порта USB для совместного использования внешних жестких дисков, 3-летнюю гарантию, NVMe M2 Cache и многое другое.
Synology DS918 +
Я знаю, что у Drobo 5N2 всего 5 отсеков вместо 5, но для моих требований к хранению это не проблема в обозримом будущем. Кроме того, Synology DSM имеет великолепно выглядящий веб-интерфейс.
Synology DSM WebUI – обратите внимание, что предупреждение “ухудшено” связано с тем, что я вытащил диск для тестирования
Модернизация оборудования Synology DS918 +
Обновление ОЗУ
Synology DS918 + поставляется с 4 ГБ оперативной памяти, установленной в одном из двух слотов. Этого может быть достаточно для большинства целей обслуживания файлов. Однако, если вы планируете запускать контейнеры Docker или виртуальные машины, тогда 4 ГБ могут заполниться довольно быстро. И это где дополнительный слот памяти пригодится.
У Synology есть «официальные» ОЗУ для DS918 +. Тем не менее, они стоят дороже, чем некоторые другие варианты. Наиболее часто рекомендуемые из Crucial:
- Важнейший 8 ГБ КиТ (4 ГБ x2) DDR3 / DDR3L 1866 МТ / с (PC3-14900) Небуферизованная 204-контактная память SODIMM – ~ 57 $
- Набор Crucial 16 ГБ (8 ГБ x2) DDR3 / DDR3L 1866 МТ / с (PC3-14900) Небуферизованная 204-контактная память SODIMM
– ~$110
Обратите внимание, что замена заводских флеш-накопителей Synology на другие бренды может привести к аннулированию гарантии. Обратите внимание, что Synology анонсирует DS918 + с 8 ГБ ОЗУ, Celeron J3455 может поддерживать до 16 ГБ ОЗУ
Поэтому многие успешно обновили RAM до 16 ГБ
Обратите внимание, что Synology анонсирует DS918 + с 8 ГБ ОЗУ, Celeron J3455 может поддерживать до 16 ГБ ОЗУ. Поэтому многие успешно обновили RAM до 16 ГБ
Я решил остаться с начальными 4 ГБ и добавить еще один модуль 4 ГБ.
Synology SSD Cache или нет?
Следующим большим вопросом было инвестировать в SSD M2 Cache или нет. Есть несколько дискуссий на эту тему на форумах Reddit, Synology и Plex. Для моих целей, таких как Plex и обслуживание файлов, добавление кеша SSD может быть нецелесообразным. Даже на собственной странице поддержки Synology упоминается следующее:
Однако, основываясь на этом потоке, кэш чтения SSD может помочь с загрузкой интерфейса Plex быстрее, поскольку метаданные могут быть прочитаны из кэша. Кроме того, уменьшение чтения с диска может «теоретически» продлить срок службы дисков. На момент написания этого руководства Samsung EVO 970 с высококлассным 256-ГБ кэш-диском стоил около 75 долларов. Стоит ли эта инвестиция для вас или нет – это решение, которое вам придется принять.
Если вы использовали многотомную настройку SSD-HDD, как я, вы сможете добавить кэш только для одного тома. Если на томе 2 (HDD) хранятся носители, то кеш SSD для тома 1 – это то, что нужно.
В моем случае я собираюсь начать работу с метаданными в томе SSD (не в кеше) и посмотреть, как это происходит. Если это поможет, мне может не понадобиться кеш. В противном случае я рассмотрю возможность добавления кеша только для чтения объемом 256 ГБ.
DS220+ работает до неприличия быстро (и экономично)
Чтобы система не тормозила во время одновременной записи на оба накопителя, DS220+ оснастили двухядерным 64-битным процессором с частотой 2 ГГц с возможностью буста до 2,9 ГГц.
Его дополняют 2 Гб быстрой памяти DDR4, распаянные на материнской плате, и свободный слот памяти. Если хранилище часто сохраняет мелкие файлы или работает с большим числом пользователей, можно установить ещё 4 Гб. Так точно справится.
Устройство самостоятельно управляет частотой, оптимизируя энергопотребление (впрочем, оно и без того очень скромное, поскольку организовано через блок питания всего на 60 Вт) и повышая производительность под нагрузкой.
Дополнительно позволят снизить потребление электроэнергии функции включения по сигналу от сети (Wake On LAN) и включение по расписанию. Если не пользуешься прямо сейчас – зачем гонять зря?
Охлаждение тоже своё, с помощью встроенного вентилятора. Регулировка автоматическая, хотя в настройках можно выбрать собственный режим работы. «Тихий» режим «шумит» всего на 19,3 дБ, в жилом доме его не услышать.
Если и такое не устраивает (услышать шум уровнем 20 дБ можно разве что на даче в лесу), можно установить DS220+ на балконе или в кладовке: работает в диапазоне от 0 до 40 градусов.
6 – кодируем Data at Transit для защиты от снифферов
Понятие Data at Transit охватывает любые данные, которые находятся буквально в проводах или в воздухе, то есть передаются между устройствами. Еще совсем недавно в этой области данные не защищались, поскольку считалось, что интранет является безопасной сетью. Наверное, по этой причине по умолчанию в Synology DSM «данные в полете» не шифруются.
6а – включаем кодирование файловых протоколов
Файловый протокол Samba (SMB) или CIFS, который используется для подключения общих сетевых папок с NAS на компьютеры под управлением Windows и MacOS, поддерживает сквозное кодирование каждого запроса. На сервере Windows Server 2022 и в ОС Windows 11 применяются пакеты средств криптографической защиты AES-256-GCM и AES-256-CCM для защиты SMB 3.1.1. Windows будет автоматически согласовывать этот более сложный метод кодирования при подключении к другому компьютеру, который его поддерживает. Кроме того, этот метод можно сделать обязательным с использованием в групповой политике.
Windows 10 и Windows Server 2016/2019 по-прежнему поддерживают AES-128-GCM и AES-128-CCM для протокола SMB 3.0.
Современные процессоры, на которых построены NAS Synology, поддерживают аппаратное ускорение операций кодирования, поэтому влияние на производительность минимальное.
Обратите внимание, что протокол AFP для компьютеров Apple не поддерживает сквозную кодировку, по умолчанию он отключен и трогать здесь ничего не надо: «яблочные» компьютеры прекрасно справляются с работой по протоколу SMB 3
Протокол NFS, часто используемый для Linux клиентов и гипервизоров VMware ESXi, также по умолчанию не защищен. Это настраивается индивидуально для каждой папки и диапазона IP-адресов в закладке NFS Permissions. Здесь вам нужно создать определенное правило, в котором обязательно выбрать поле Kerberos privacy и отключить тип авторизации AUTH_SYS. После этого вам нужно импортировать ключи Kerberos, общие для всей службы NFS.
Для файлового обмена с простыми устройствами включаем FTPs (кодирование поверх FTP) и SFTP (передача данных по защищенному SSH-туннелю), а для того, чтобы ваш NAS мог выступать средством хранения бэкапов с других Linux-устройств, включаем протокол RSync, который также работает по SSH. Здесь все по умолчанию использует кодирование, и никаких настроек делать не нужно.
Обратите внимание: включение RSync и SFTP не означает включение терминального доступа по SSH, и если последний отключен, а первые два включены, то при подключении через терминал соединение будет разорвано
Вообще доступ по SSH вам скорее всего не потребуется, и его можно не включать, но в случае, если он все же нужен, в настройках безопасности вам будет предложен огромный выбор алгоритмов защиты трафика. Я рекомендую отключить поддержку 128-битных ключей, оставив 256-битные и выше.
Осталось только настроить права доступа на общие папки, чтобы исключить возможность доступа с гостевой учетной записи, и почти все закончено.
Расширенные полномочия
Можно настроить индивидуальные разрешения для файлов, назначить ограничение квоты для определенных пользователей или общих папок и даже разрешить доступ к приложениям из определенных сетей.
Поддержка Windows ACL дает ИТ-администраторам возможность детального управления доступом к отдельным файлам, а также возможность назначения прав для чтения, записи или администрирования. Это позволяет повысить гибкость и одновременно сохранить высокий уровень безопасности.
DSM обеспечивает гибкость назначения квот данных для отдельных пользователей, томов или общих папок. Эта функция полезна при управлении доступным местом для хранения, если несколько групп или отделов хранят файлы на одной системе Synology NAS.
Доступом к приложениям и пакетам можно управлять, предоставляя разные права доступа учетным записям, группам пользователей или IP-адресам. Также можно зарезервировать доступ к определенным приложениям по локальной сети. Это значительно повышает эффективность управления.
Источник
1 – отключаем учетку Admin и настраиваем политику паролей
По умолчанию на NAS Synology отключен терминальный доступ, а веб-интерфейс вынесен на порт 5000. Чтобы защититься от подбора пароля администратора, первым делом отключаем учетную запись admin/administrator, присваивая админские функции вновь созданному пользователю. В настройках пользователя можно задать политику для пароля, хотя настроек по умолчанию (восемь символов разного регистра + цифры + спецсимволы) будет достаточно.
NAS может интегрироваться не только в доменную службу Domain/LDAP, но и выступать как единое средство аутентификации, чтобы пользователь мог логиниться в другие приложения через Synology, как это сделано через Facebook и Google на различных веб-сайтах. Такой подход позволяет централизованно хранить учетные данные пользователя и снизить область атаки для похищения логина/пароля, даже если брешь присутствует в других сторонних приложениях.
Доменное имя для NAS Synology
Заходим в панель управления хостингом и выбираем Домены и Поддомены
Покупаем домен, ждем его полной регистрации и после жмем на шестеренку.
Смотрим на список настроек домена, нам нужна А запись. Там вы можете увидеть IP адрес хостинга. Меняем его на тот что предоставил нам оператор. Далее идем в панель управления NAS Synology для того чтобы пробросить порты нужных нам приложений.
Кстати если у вас роутер без функции UPnP то вам придется прописывать перенаправления ручками. В любом случае заходим в роутер и проверяем.
Не забываем прописать свой домен в панель управления. Смотрим на скрин ниже.
После всех манипуляций вы можете попробовать зайти в Synology DSM под своим доменным именем например mynas.ru. Но самое интересное далее.
Для того чтобы зайти удаленно в приложение VideoStation или Moments а так же Download Station делаем имя приложению а не порт. Создаем псевдоним для приложения. Идем в панель управления — портал приложений.
Это делается для того чтобы ссылку на приложение VideoStation привести к виду http://mynas.ru/video и так далее. А не например к такому http://mynas.ru:36544. И так выбираем нужное приложение и жмем редактировать.
Источник
Шаг третий: протестируйте новый жесткий диск
После того, как вы установили новый жесткий диск для замены старого, вышедшего из строя, важно убедиться, что он работает должным образом, прежде чем вводить его в действие (потому что всегда есть шанс получить диск DOA по почте). Лучший способ сделать это — запустить тест SMART
Большинство современных жестких дисков контролируются самостоятельно, и они сообщат вам, если они выйдут из строя или скоро выйдут из строя. Вы узнаете эту информацию, запустив тест SMART на диске. Чтобы выполнить тест SMART на новом диске в своем сетевом хранилище, перейдите в диспетчер хранилища и снова перейдите на экран HDD / SDD. Выберите новый диск и нажмите кнопку «Информация о состоянии».
Нажмите на вкладку «SMART Test» в верхней части окна.
Оттуда вы можете выбрать «Быстрый тест» или «Расширенный тест». Мы рекомендуем расширенный тест, потому что, хотя он занимает больше времени, результаты гораздо более точны. Нажмите «Старт», когда будете готовы.
Вы получите всплывающее подтверждение, которое показывает приблизительное количество времени, которое займет тест. Это займет некоторое время (как минимум, несколько часов), так что наберитесь терпения.
Во время работы вы увидите статус и ход теста SMART среди других деталей нового диска. Вы можете продолжать использовать NAS как обычно, но вы можете заметить снижение производительности во время теста.
2а (опционально) – настраиваем двухфакторную аутентификацию
Для некоторых доверенных устройств (личный ноутбук, рабочий компьютер) можно отключить проверку OTP-кода. Кстати, для генерации OTP-кодов можно использовать и программу Google Authentificator вместо Synology SignIn: точно так же сканируете пригласительный QR-код и просто добавляете Synology DSM к другим вашим сервисам (интернет-банкинг, вход в личный кабинет и т.д.) – чертовски удобно.
Двухфакторная и беспарольная аутентификации работают только в пределах веб-интерфейса Synology: это полезно для таких встроенных приложений, как веб-почта, календарь, офисный пакет или чат. Да, все это может быть запущено в пределах одного NAS, что избавит вас от зависимости от интернет-сервисов. Тем не менее протоколы файлового и терминального доступа остаются зависимы только от пары «логин/пароль», поэтому защита от перебора остается важным шагом в настройке безопасности.
Делать бэкапы (в том числе в экосистеме Apple) стало ещё проще
Обновленная DSM 7.0 наконец-то сделала очевидной необходимость использования фирменной файловой системы Synology под названием Btrfs.
Благодаря технологии Snapshot Replication пара жестких дисков, отформатированных в ней, под свежей операционной системой научилась делать по расписанию до 1024 теневых копий и хранить до 65 тысяч снимков всей системы.
Доступен возврат к любой заданной точке. И не обязательно делать это самостоятельно – повреждённые файлы восстанавливаются средствами NAS без участия пользователя в ближайшее состояние. Есть даже интеграция с Time Machine на macOS. Вручную доступна работа как с отдельными файлами, так и с целыми папками.
Как упоминают специалисты Synology, средства DSM 7.0 позволяют бороться даже с программами-вымогателями: если они блокируют восстановление по сети, бэкап системы можно залить через USB практически без отката по времени, без потерь данных.
Мобильные устройства тоже не останутся в стороне: приложение Synology Drive для iOS и Android так же позволяет создавать резервные копии данных, используя NAS для хранения и сквозного шифрования.
Фактически, на сервере можно хранить полный бэкап личного смартфона или портативных устройств всей семьи. Было бы желание.
Еще более быстрый Ethernet
Попробуем очевидный вариант: подключаем гигабитный сетевой адаптер к порту USB в надежде настроить агрегацию. Промах, причем двойной: адаптер системой не опознан, пришлось искать драйвер; и даже после его установки возможности настроить агрегацию в системе так и не появилось. Дополнительный сетевой интерфейс не был пронумерован, оба порта (и встроенный, и USB) показаны в интерфейсе под названием LAN. Что ж, никто и не обещал, что в устройстве с одним портом разработчики DSM оставят настройки агрегации.
Остается другой вариант: использовать внешний сетевой адаптер со скоростью 2,5 или 5 Гбит/с. В продаже есть множество вариантов, все они основаны на одном из двух чипсетов: Marvell (Aquantia) AQtion AQC111U либо Realtek RTL8156 (на котором построен добрый десяток моделей, отличающихся в основном формой корпуса, а иногда и вовсе только названием производителя).
Вариант 1: 5 Гбит, адаптер QNA-UC5G1T на чипсете AQtion AQC111U
Пробуем подключить пятигигабитный адаптер от основного конкурента Synology — компании QNAP. Просто взять и подключить адаптер, разумеется, недостаточно: DSM корректно определит устройство, но без драйвера для AQC111U не увидит сетевого линка. На помощь приходит GitHub: драйверы для чипсета AQC111U в формате пакета для DSM можно скачать отсюда.
В список совместимых моделей входят DS918+, DS620slim, DS1019+, DS718+, DS418play, а также DS218+. Впрочем, сборки доступны и для более старых чипсетов, но — без гарантии. При этом поддерживаются в основном устройства с процессорами Intel; модели на чипах Realtek (архитектура ARMv8) не поддерживаются, так что использовать адаптер с DS218, DS218Play, DS220j или DS118j не удастся.
А что насчет современных устройств — DS220+, DS720+, DS420+ и так далее? Для них еще не выложены нужные библиотеки и фреймворки, которые необходимы для компиляции драйверов.
Устанавливается драйвер просто: достаточно использовать команду Manual Install из раздела Packages. После установки драйвер становится доступным в виде установленного пакета; его нужно будет запустить.
Драйвер готов к работе, но рекомендуется его предварительно настроить, изменив в свойствах адаптера MTU = 9000. В настройках адаптер будет выглядеть примерно так:
На этом не все. Пятигигабитный адаптер склонен к нагреву, а где нагрев — там и тротлинг. Соответственно, стоит отключить температурный тротлинг, а чтобы не возникал перегрев — включить EEE (Energy Efficient Ethernet). Это можно сделать двумя командами в терминале (предполагается, что идентификатор подключения — eth1, что верно для систем с единственным встроенным сетевым портом):
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку!
Подробнее
Я уже участник «Xakep.ru»
Подключение к Apple Home и пример работы на терморегуляторах terneo sx
Покажу на примере добавления регуляторов теплого пола terneo sx, которые я монтировал себе ранее.
Во вкладке «Плагины» нужно найти подходящий плагин через поиск. В данном случае я установил наиболее свежий:
Настраиваем по аналогии. У меня четыре терморегулятора, поэтому настройки я вбиваю для каждого в отдельности.
Не забываем все сохранить и после этого перезагрузить Homebridge.
Для подключения к Apple Home понадобится iPad или Apple TV, то есть устройство, которое будет постоянно находиться в доме и выступать в качестве связующего звена между пользователем и сервером. На корневой странице Homebridge, в левой части находится qr-код. Нужно отсканировать его с помощью вашего iOS устройства и все автоматически подтянется в Apple Home.
Далее наживаете «Добавить в дом» и можете управлять всеми ранее добавленными устройствами в Homebridge.
Так, к примеру, выглядит интерфейс управления терморегуляторами terneo:
Ранее рассмотрел в обзоре Synology NAS DS420+ — мощный сервер для работы, домашнее хранилище фильмов, семейный и личный фотоальбом. Применяется для записи данных видеонаблюдения без размещения в онлайн-сервисах.
5
1
голос
Рейтинг статьи
А ещё каждый NAS Synology – это мультимедиа-сервер
Даже самые скромные NAS Synology обладают внушительным перечнем возможностей работы с мультимедийными файлами.
Менеджером торрентов выступает привычный Transmission, позволяющий скачивать, хранить и организовывать потоки любым удобным способом. Настроек масса – легко выставить только ночную работу или определить скорость, доступ к полученным файлам.
Системы DS Audio и DS Video, работающие в формате веб-интерфейс, позволяют получать к сохраненным файлам доступ из любой точки мира.
Поддерживается Google Cast для трансляции на телевизоры и медиаприставки, систематизация сохраненного и только ещё скачивающегося контента, удобный доступ к сетевым ресурсам.
Фактически, эти приложения позволяют полностью отказаться от других умных устройств в доме – лишь бы передача экрана поддерживалась.
Шаг первый: определить сбойный диск
Когда выходит из строя жесткий диск, Synology позволяет вам узнать об этом, громко пиная на вас. Вдобавок ко всему, вы получите предупреждения о «деградированном» томе.
Вы можете увидеть, какой жесткий диск вышел из строя, войдя в DiskStation Manager и нажав кнопку главного меню в верхнем левом углу.
Затем откройте приложение «Диспетчер хранилища».
Затем в левой боковой панели нажмите «HDD / SDD», чтобы отобразить список жестких дисков и их состояние.
Рядом с каждым диском вы увидите зеленый или красный статус, в зависимости от состояния диска. Когда все работает нормально, рядом с каждым диском вы увидите зеленое «Нормальное». Но неисправный жесткий диск отобразит красный статус «Сбой» или «Сбой». В моем случае неисправный жесткий диск показывался как «Нормальный», но он громко гудел, что является хорошим признаком неисправного диска в процессе создания.
Номер диска будет позицией привода в корпусе NAS слева направо. Так что, если «Диск 2» вышел из строя, то это второй жесткий диск слева.
10 – защита архивных данных
Давайте разберемся с шифрованием различных резервных копий, которые могут храниться на NAS. Поскольку Synology DSM состоит из ядра и приложений, то за снэпшоты отвечает одно приложение (Snapshot Replication), за резервные копии между NAS или в облако – другое (Hyper Backup), а за резервирование серверов, виртуальных машин и рабочих мест – третье (Active Backup for Business). Соответственно, механизмы защиты у каждого из приложений свои. Начнем по порядку.
Внутри снимков закодированных папок также находятся закодированные данные, так что даже при репликации на удаленный сервер открыть данные без ключа невозможно. Вы не можете просматривать содержимое снэпшотов закодированных папок, что, конечно, осложняет задачу типа «вытащить» нужный файл за вчерашний день. Незащищенные папки имеют доступные снэпшоты, и для их защиты можно использовать защищенное соединение при репликации на удаленный сервер.
Резервирование содержимого самого NAS на другой NAS или в облако с помощью программы Hyper Backup поддерживает защиту как при передаче, так и для хранения. Ключ задается единожды для задачи резервирования, то есть у вас могут быть разные пароли для сохранения данных в Google и на Synology C2.
В программе резервирования Active Backup for Business кодирование реализовано наиболее удобным способом: каждая задача бэкапа может использовать собственное хранилище (папку верхнего уровня на дисковом томе), которому совершенно не обязательно находиться в смонтированном состоянии, чтобы на него можно было бэкапиться. Да, вы можете создавать новые задачи или удалять старые, используя защищенную папку, ключ от которой знает только ваш босс. Удобно, правда? И таких папок может быть сколько угодно, вы можете миксовать закодированные и незакодированные хранилища. Ну а подключить закрытую папку вводом пароля придется при восстановлении бэкапа или для автоматической проверки целостности копий. Кстати, в настройках хранилища можно ввести автомонтирование закрытого хранилища и указать, на каком именно разделе NAS должен хранить ключи доступа, подгружая их после ребута, но я не советую это делать.
Перемещение приложений и данных между томами
Если у вас есть несколько томов на NAS-устройстве Synology (в моей настройке есть 2 тома), существует способ перемещения приложений с одного тома на другой. По умолчанию DSM устанавливает приложения в том 1, который затем подключается к другим томам. Synology позволяет перемещать данные приложения с одного тома на другой с помощью параметра «Общие папки», как показано ниже.
Переместить данные приложения на другой том – Synology DS918 +
Однако это не то же самое, что перенос самого приложения на другой том. Это должно быть сделано с удаленного терминала SSH. Например, в моем случае у меня было 3 жестких диска, изначально установленных как один том. Скажем, я хотел переместить приложения на SSD в моем 4-м отсеке в качестве нового тома, а затем сделать это с терминала SSH, как описано в связанном руководстве.