Discos, reservas e replicações

19 min · 10 seções

O que dá para fazer com os discos além de criar um volume: acelerá-lo, ter um de reserva esperando, mandar uma cópia viva para outro NAS e emprestar um disco pela rede.

Disco reserva

Armazenamento → o cartão do volume → “Disco reserva”. Só ZFS.

Um volume com redundância aguenta a morte de um disco, mas fica sem proteção até alguém trocá-lo. Se isso acontece numa sexta à noite, o fim de semana inteiro fica a um disco de perder tudo.

O reserva é um disco conectado, vazio e esperando. Quando outro falha, o ZFS o coloca no lugar sozinho e o volume volta a ficar protegido sem que ninguém precise estar na frente.

• Ao adicionar o primeiro, o painel liga o autoreplace, que é o que faz o reserva servir para alguma coisa: sem essa propriedade, o ZFS o deixa lá parado e o volume degradado até alguém entrar no painel.
• Não soma espaço. Fica vazio de propósito.
• Ao adicioná-lo, o que houver dentro dele se perde: ele passa a ser do ZFS.
• Quando ele entra, o NAS avisa. É a melhor e a pior notícia ao mesmo tempo: um disco morreu, mas seus dados já estão protegidos de novo. Troque o disco com defeito para voltar a ter reserva.
• Um reserva que já entrou não pode ser removido: isso não remove um reserva, remove metade da redundância do volume. Troque primeiro o disco que falhou e o reserva se libera sozinho.

No Btrfs isso não existe: lá, um disco que falha é substituído manualmente nessa mesma tela.

Cache de leitura (SSD)

Armazenamento → o cartão do volume → “Cache de leitura”. Só ZFS.

Um SSD na frente de discos grandes acelera as leituras repetidas. Ele não guarda dados: o que há dentro é uma cópia do que já está nos discos, então, se o SSD morrer, nada se perde —só volta a ser lido do disco lento—.

Não existe “adicionar log de escrita” (SLOG) de propósito: ele só acelera as escritas síncronas —um NAS doméstico escreve por SMB, que não é síncrono— e um sem espelho que morra leva junto as escritas pendentes. Um botão de que quase ninguém precisa e que pode custar dados não é uma funcionalidade.

Replicação para outro NAS

Armazenamento → Proteção → Replicações.

Um backup devolve os arquivos. Uma replicação devolve o volume: viaja o sistema de arquivos inteiro com toda a sua história de snapshots, então, se este dispositivo pegar fogo, o da outra casa monta o volume e segue em frente.

• Incremental de verdade: na primeira vez viaja tudo e, daí em diante, só o que mudou.
• Com horário ou manualmente.
• Testa o destino antes de salvar. A falha típica —a chave SSH sem autorização no outro dispositivo— não pode ser descoberta às três da manhã.
• A chave é a mesma dos backups: quem já a autorizou não precisa fazer nada.

O que é preciso do outro lado

• Um dispositivo com ZFS (ou Btrfs, conforme o que você usa aqui) e ssh.
• Que a chave pública deste NAS esteja em ~/.ssh/authorized_keys do usuário que você indicar. O painel a mostra para você copiar.
• Um destino já criado: no ZFS, o dataset pai (tank2 para replicar em tank2/copia); no Btrfs, a pasta.

O que é bom saber

• A primeira replicação leva horas —viaja tudo— e, de propósito, não tem limite de tempo. As seguintes levam minutos.
• O destino é uma cópia: o que tiver divergido lá é descartado a cada envio.
• Se alguém excluir a replicação no outro dispositivo, o NAS percebe e manda o volume inteiro de novo em vez de falhar para sempre.

A substituição: que o segundo NAS possa entrar em funcionamento

A replicação manda os snapshots do volume para outro NAS, inteiros e com sua história. Isso resolve metade do problema. A outra metade é a que decide se serve para alguma coisa: no dia em que este dispositivo morrer, o que é preciso fazer para que as pessoas voltem a ver seus arquivos?

Até agora, a resposta era uma lista de passos que só quem montou o NAS sabia: entrar por SSH no segundo, tirar o somente leitura do volume, montá-lo, criar de novo as pastas da casa com os mesmos nomes e trocar o nome do servidor. Isso não é um plano: é uma lista de coisas que se fazem mal às três da manhã.

Como funciona

O dispositivo de origem deixa escrito para o de destino o que ele tem de fazer: um arquivo pequeno, .lgm-relevo.json, dentro do próprio volume replicado, com o nome dele, o nome de servidor SMB e as pastas da casa com quem entra em cada uma —a lista de permissões, os dispositivos autorizados do NFS e o resto das configurações—. Viaja pela mesma conexão SSH que a replicação já usa. É um JSON legível de propósito: no dia em que for necessário, uma pessoa precisa conseguir lê-lo com cat mesmo que o painel não inicie.

No segundo NAS, esse plano aparece em Armazenamento → Proteção → Replicações como “Este dispositivo pode substituir NAS-Casa”, com um botão. Ao clicar nele:

1. o volume replicado deixa de ser somente leitura;
2. as pastas da casa dele são recriadas com os mesmos nomes e as mesmas permissões —que é por onde o pessoal da casa volta a encontrar seus arquivos sem mudar nada—. As contas que não existirem no segundo dispositivo são informadas pelo nome: crie-as com o mesmo nome e dê acesso a elas de novo. E, se uma pasta tinha NFS mas o plano não trazia a lista de dispositivos autorizados dela, ela é recriada com o NFS desligado e você é avisado: ligá-lo sem lista a abriria para a rede toda;
3. e, só se você marcar, este dispositivo passa a se anunciar com o nome de rede do outro.

Uma pasta que já exista aqui não é sobrescrita: alguém pode tê-la criado antes com as permissões dela.

O ensaio

Uma vez por semana, o dispositivo de origem verifica —sem escrever nada— se o segundo conseguiria assumir hoje: se dá para entrar, se o volume existe lá, se tem snapshots e se o plano está no lugar. Se algo que estava pronto deixar de estar, ele avisa. É a mesma ideia do teste de restauração: testar, não prometer.

Além disso, o ensaio conserta o que encontra: se o plano não estiver lá —ou se disser algo diferente do que diria hoje—, ele o deixa de novo. É isso que mantém o plano em dia: uma pasta criada em maio, ou uma permissão concedida na semana passada, entra na substituição no ensaio seguinte sem que ninguém precise se lembrar.

Por que não é automático

Com dois dispositivos e um único link, “o outro não responde” e “o cabo está cortado” são indistinguíveis daqui. Uma substituição automática acabaria, mais cedo ou mais tarde, com os dois NAS escrevendo ao mesmo tempo e duas versões diferentes dos mesmos arquivos. Isso se chama split brain e é pior do que ficar parado, porque não tem como desfazer: não há como juntar duas histórias que divergiram.

Então é preciso uma pessoa dizendo “sim, o primeiro está morto”. É para isso que serve o botão, e é por isso que ele pede confirmação.

O que a substituição não faz

• Não assume o IP do outro dispositivo. Isso são outras peças (VRRP, keepalived) e outro tipo de rede. O que ela pode assumir é o nome de servidor SMB, que é por onde o pessoal da casa encontra o NAS.
• Só vale para replicações ZFS. No Btrfs, o destino recebe subvolumes, não um clone inicializável do volume.
• Não volta sozinha. Se o primeiro NAS ressuscitar, voltar à situação anterior é um trabalho à parte: é preciso decidir qual versão dos dados vale, e essa é uma decisão de uma pessoa.

Vindo de um Synology ou de um QNAP

Trocar de NAS é fácil de dizer e caríssimo de fazer: são três teras para copiar, vinte pastas da casa para criar de novo com os mesmos nomes e uma lista de usuários que ninguém anotou em lugar nenhum. A maioria das pessoas não troca por causa disso, não pelo preço do dispositivo.

O assistente de Painel de controle → Trazer os dados do seu NAS anterior faz a parte chata e exata.

O que ele faz

1. Olha o que há no outro dispositivo sem instalar nada nele: entra por SMB —que é o que todos falam— com a conta de administrador DESSE NAS. Ele só lê: durante a mudança, o dispositivo antigo continua sendo o que tem os dados bons, e nada desta tela escreve nem exclui nada nele.
2. Descobre os usuários. Nem o DSM nem o QuTS mostram a lista de contas por SMB, mas os dois guardam as pastas pessoais sob um recurso chamado homes, uma por pessoa: essa lista de pastas é a lista de usuários, e é a única coisa que dá para saber de fora.
3. Copia pasta por pasta, criando aqui a pasta da casa com o mesmo nome. Se um nome não for válido neste NAS —“Mis Fotos” tem um espaço—, ele propõe um que seja válido (“Mis-Fotos”) e diz que o nome mudou, em vez de se recusar.

A cópia pode ser interrompida e retomada: o que já chegou não é baixado de novo. E, ao terminar, os arquivos são contados dos dois lados, pasta por pasta, e ele diz se falta alguma coisa.

As credenciais do NAS antigo não são salvas

Elas existem só enquanto durar a mudança, em um arquivo que só o assistente privilegiado do NAS lê, e são excluídas ao terminar. Salvar a senha de administrador de outro dispositivo para uma mudança que dura um fim de semana é deixá-la lá para sempre. Elas também não aparecem na linha de comando, porque, durante as horas que a cópia leva, qualquer um que olhasse a lista de processos as veria.

O que NÃO dá para trazer

Isso é dito antes de começar, e não em uma nota de rodapé, porque uma migração que promete demais deixa alguém achando que já tem o que não tem —e isso só se descobre semanas depois, quando o NAS antigo já foi vendido—:

A ordem que dói menos

1. Traga primeiro uma pasta pequena e confira: abra três arquivos.
2. Crie os usuários que ele tiver encontrado, com senha temporária, e avise-os.
3. Traga o resto à noite, quando a rede está livre.
4. Não venda o NAS antigo até ter restaurado algo de verdade a partir deste. Um mês com os dois ligados custa pouco e evita o único erro irreversível da mudança.

A criptografia e suas chaves

Criptografar um volume já era possível ao criá-lo: o ZFS faz isso de fábrica. O que faltava era o depois, que é onde a criptografia vira um problema em vez de uma proteção.

Em Armazenamento → Proteção → Saúde e criptografia → Criptografia e chaves há três coisas:

Trocar a senha

Se alguém que não deveria mais sabê-la a aprendeu —um técnico, um ex-sócio, alguém que dividia o apartamento—, até agora a única saída era criar um volume novo e copiar três teras. Ninguém faz isso, então, na prática, a senha nunca era trocada.

O ZFS guarda uma chave mestra e a embrulha com a sua senha: trocá-la reembrulha essa chave e não criptografa de novo nem um byte. Demora o mesmo com um giga ou com vinte teras, então dá para fazer no dia em que for necessário.

Verificar se você se lembra

Com o volume já aberto, não há nenhum sinal de que você sabe a senha: ela só é necessária ao iniciar. Se você errou ao anotá-la, só descobre meses depois, com o NAS parado.

O botão Verificar se é esta diz isso a seco: não abre nada, não monta nada e não para nada. Verifique de vez em quando; leva um instante e evita o único erro que não tem conserto.

A chave em um pendrive

Uma queda de energia às quatro da manhã deixa o volume criptografado fechado e, com ele fechado, não há arquivos, nem backups, nem câmeras gravando até alguém chegar em casa e digitar a senha. Para muita gente, isso é motivo suficiente para não criptografar, que é o pior resultado possível.

Com a chave em um pendrive, o NAS abre o volume sozinho enquanto esse disco estiver conectado. O que fica guardado nele é a mesma senha, não outra: se você perder o pendrive, a senha anotada à mão continua valendo.

E o que isso significa, dito com clareza: quem levar o NAS com o pendrive conectado leva também a chave. Isso protege do roubo de um disco —ou de um disco velho acabar no lixo com suas fotos dentro—, não do roubo do dispositivo inteiro. Se o segundo caso é o que te preocupa, deixe a senha para digitar à mão e guarde o pendrive em outro lugar.

A folha de resgate

O botão Folha de resgate gera um texto para imprimir com o que fazer se este painel não iniciar: como importar o volume e abri-lo em qualquer Linux com ZFS.

Ela não traz a senha, e não é esquecimento: o NAS não a guarda em lugar nenhum, e é por isso que a criptografia serve para alguma coisa. Uma folha que a trouxesse seria o elo que quebra todo o resto. Se ninguém se lembrar da senha, os dados desse volume não podem ser recuperados: nem pelo fabricante, nem por este painel, nem por ninguém.

Discos externos (USB)

Armazenamento → Dispositivos → Discos externos.

O pendrive ou o disco USB que você conecta por um tempo: para trazer as fotos do notebook velho, ou para levar alguns arquivos para a casa de alguém. Não é um volume do NAS e não precisa ser; aqui não se mexe em nada do que você já tem montado.

Conecte o disco e ele aparece sozinho na lista, com o nome, o espaço ocupado e o que tem dentro. Três botões:

• Abrir. O disco passa a aparecer em Arquivos como mais uma pasta, com o nome que tiver, e dá para ler e escrever nele pelo navegador ou pelo celular. Só quem administra o NAS o vê: um pendrive com as fotos da casa não é mostrado inteiro para todas as contas.
• Ejetar. Grava no disco o que ainda estiver na memória e o fecha. **Faça isso sempre antes de puxar o cabo**: o que é copiado pode levar minutos para chegar de verdade ao disco, e quem puxa o cabo antes fica com um arquivo pela metade sem nenhum aviso. Se algo do disco estiver em uso, o painel se recusa e diz isso — não dê ouvidos à pressa.
• Formatar. Deixa o disco vazio em exFAT, que é o único que Windows, macOS e Linux leem e gravam sem instalar nada. Tudo o que ele tiver é apagado e não há volta; o painel pergunta com essas palavras e deixa você dar um nome a ele (até 11 letras).

O que é bom saber:

• São lidos discos de Windows (NTFS), FAT32, exFAT e Linux (ext2/3/4). Um disco de Mac com APFS ou com um sistema de arquivos estranho aparece na lista, mas sem poder ser aberto e dizendo por quê: formate-o se quiser usá-lo aqui.
• Um disco com várias partições é aberto pela primeira que o NAS sabe ler, e o painel avisa. Se você precisar das outras, tire os dados delas no computador onde foram criadas.
• Um disco USB que seja parte de um volume do NAS (uma caixa externa com um disco do conjunto) não aparece aqui: para isso existe a tela de volumes, e tirá-lo do conjunto é outra coisa, que avisa por conta própria.
• Se você quer deixar o disco dentro do NAS —fazendo parte de um volume, com seus snapshots e seu RAID—, esta não é a sua tela: isso é criar ou ampliar um volume.

Para onde vai cada disco

A tela de Saúde diz o que o SMART diz: “bom” ou “falhando”. Esse veredicto chega tardíssimo, e é bom saber por quê: o limite de cada atributo é definido pelo fabricante, e ele o coloca onde já quase não há margem. Um disco pode ter oitenta setores realocados, centenas de leituras corrigidas e continuar dizendo “bom”, porque o limite está em vários milhares. Quando ele finalmente diz “falhando”, normalmente já levou algo junto.

O que realmente prevê uma falha não é o número: é o número subir.

A cada seis horas, o NAS tira uma foto de quatro contadores por disco —setores realocados, setores pendentes, setores incorrigíveis e leituras não corrigidas— e compara. Se algum subiu, ele avisa mesmo que o valor absoluto seja ridículo, e diz o ritmo: “três setores em vinte dias; neste ritmo chegaria a 100 em uns X dias”.

Os discos são acompanhados pelo número de série e não por /dev/sdX, que muda de lugar ao reiniciar: avisar sobre o disco errado é pior do que não avisar.

O cabo não é o disco

Há um quinto contador, os erros de transmissão (CRC), que sobe por causa de um cabo SATA ruim ou mal encaixado, não do disco. Quase todo mundo confunde, troca um disco perfeitamente saudável e deixa o problema dentro do NAS.

Por isso ele é mostrado à parte e com todas as letras: desligue o dispositivo, reconecte esse cabo nas duas pontas e, se continuar subindo, troque-o. É um cabo de três euros.

Discos em rede (iSCSI)

Armazenamento → Dispositivos → Discos em rede.

Um disco do NAS que outro dispositivo vê como se fosse dele: ele o formata com o próprio sistema de arquivos (NTFS, VMFS, ext4) e o usa um único dispositivo por vez. É o que pedem o Windows Server, o Proxmox e o VMware.

Não é uma pasta da casa: o NAS empresta blocos e não sabe o que há dentro. Para compartilhar arquivos entre várias pessoas, use uma pasta da casa.

• O disco é um arquivo dentro do volume (<volume>/iscsi/<nome>.img) e **ocupa o que for usado**, não o tamanho inteiro desde o primeiro dia.
• Com senha (CHAP) ou sem. Se você colocar uma, ela precisa ter **entre 12 e 16 caracteres**: é o que o iniciador do Windows aceita, e dizer isso aqui poupa o “não conecta e não diz por quê” do outro lado.
• Só estes dispositivos. Você pode dizer quais dispositivos podem montá-lo, um por linha. Vazio, qualquer um que chegue à porta. É a segunda fechadura: a senha pode ser contada a alguém, o nome do dispositivo não viaja.
• Um disco que um dispositivo tem montado não pode ser removido. Não daria um erro: corromperia o que esse dispositivo estivesse escrevendo. Pelo mesmo motivo, também não se muda a lista de dispositivos enquanto ele está montado: desconecte-o primeiro no dispositivo que o usa.
• O painel não guarda uma lista própria: mostra a configuração que o sistema vai restaurar ao iniciar, então não tem como dizer uma coisa enquanto um servidor vê outra.

Onde está o nome de um dispositivo

Cada dispositivo se apresenta com um nome longo que começa por iqn. (o “iniciador”). É ele que se cola em Só estes dispositivos, e se copia do próprio dispositivo:

Fica mais ou menos assim: iqn.1991-05.com.microsoft:mi-pc. Copie inteiro, do jeito que está, sem aspas.

Como conectar um Windows

1. Iniciador iSCSI (vem com o Windows) → cole o endereço que o painel mostra (<ip-del-nas>:3260) → Conexão Rápida.
2. O disco aparece no Gerenciamento de Disco como um disco novo sem formatar.
3. Inicialize-o e formate-o como qualquer disco.

Medir a velocidade dos discos

Em Armazenamento, “Medir velocidade” lê cada disco e escreve em cada volume, um de cada vez, e guarda o resultado junto de cada um (“180 MB/s em 8 set.”). Um disco que mede menos da metade da vez anterior aparece marcado em âmbar: é o sinal de que vai falhar antes de falhar. O teste para aos 60 segundos por disco e não é feito enquanto houver uma exclusão ou uma substituição de disco em andamento.