Anleitung zur Verwaltung von LGM-OS

56 min · 22 Abschnitte

Dieses Dokument ist das Handbuch für jeden Tag: Es deckt von Anfang bis Ende ab, was du vom Panel aus machst. Wenn ein Thema mehr Platz braucht, als hier hineinpasst, hat es eine eigene Anleitung:

Vollständiges Verzeichnis der Dokumentation: index.md.

Die ersten zehn Minuten

Das ist der ganze Weg, vom Einschalten des Geräts bis zu einem NAS, das etwas Nützliches tut. Er ist zum Durchgehen in einem Stück gedacht, der Reihe nach, und jeder Schritt sagt warum er wichtig ist —die, die man überspringt, weil man sie nicht versteht, sind genau die, die einem am schlechten Tag fehlen—.

1. Anmelden (1 Min.)

Öffne https://<ip-des-nas>:5001. Die IP zeigt dir die Konsole des Geräts beim Starten.

Das Zertifikat ist selbst signiert, und der Browser warnt dich: Das ist bei einem Gerät bei dir zu Hause normal —nimm es an—. Wenn es dich stört, wird es später durch ein echtes ersetzt (siehe Zugriff aus dem Internet).

Der Assistent beim ersten Start bittet dich, den Administrator anzulegen: Name in Kleinbuchstaben und ein Passwort mit mindestens 8 Zeichen. Es gibt ab Werk weder Benutzer noch Passwort, also kommt niemand vor dir hinein.

2. Die Festplatten vorbereiten (2 Min.)

Speicher → Volume erstellen. Angeboten werden nur Festplatten, die sich nutzen lassen: Die des Systems erscheint nie, und eine mit Daten darauf wird markiert, damit du sie nicht versehentlich formatierst.

• Eine einzige Festplatte: Geht, schützt aber vor gar nichts. Zum Anfangen in Ordnung.
• Zwei oder mehr: Wähle Mirror. Wenn eine stirbt, geht nichts verloren, und du tauschst sie vom Panel aus. Das ist der Unterschied zwischen einem Schreck und einem Verlust.
• Btrfs oder ZFS: Btrfs, wenn du dir nicht sicher bist (es braucht am wenigsten Speicher); ZFS, wenn du viel RAM einbaust und das Höchste an Unversehrtheit willst.

Am Ende legt das NAS von selbst die Ordner des Systems an (docker, vm) und drei Freigaben: Galeria für die Fotos, Musica für die Lieder und Peliculas für die Filmsammlung.

3. Ein Ordner und ein Konto pro Person (3 Min.)

Systemsteuerung → Ordner des Haushalts → „Erstellen“. Gib ihr einen kurzen Namen ohne Akzente (er reist zu Windows, zum Mac und aufs Handy).

Systemsteuerung → Benutzer und Gruppen → ein Konto pro Person, kein gemeinsames. Nur so kannst du unterschiedliche Berechtigungen vergeben, sehen, wer sich angemeldet hat, und einem Einzelnen den Zugang nehmen, ohne das Passwort des ganzen Hauses zu ändern.

Bei jedem Ordner veröffentlicht ihn der Schalter SMB im Netz. Von Windows aus öffnest du ihn mit \\<ip-des-nas>; vom Mac aus mit Cmd+K → smb://<ip-des-nas>.

4. Das Backup (3 Min.)

Das ist der Schritt, den niemand macht und den alle bereuen. Ein NAS mit Mirror schützt davor, dass eine Festplatte kaputtgeht; es schützt nicht vor versehentlichem Löschen, nicht vor Ransomware und nicht davor, dass das Haus abbrennt. Dafür braucht es eine Kopie AUSSERHALB.

Sicherungen → „Neue Sicherung“ → wähle, welche Ordner und wohin (eine USB-Festplatte, ein anderes Gerät über SSH oder deine Cloud). Die ganze Anleitung: Sicherungen.

Und das Einzige, was nicht freiwillig ist: hol irgendeine Datei zurück, um zu prüfen, dass die Sicherung taugt. Eine Sicherung, die du nie zurückgeholt hast, ist keine Sicherung, sondern ein großer Ordner.

5. Die Tür zumachen (1 Min.)

• Systemsteuerung → Sicherheit → schalte die Bestätigung in zwei Schritten ein.
• Systemsteuerung → Firewall → schalte sie ein. Das Panel und SSH sind immer erlaubt, du kannst dich also nicht selbst aussperren.
• Systemsteuerung → Warnungen → richte die E-Mail oder den Webhook ein und drücke „Test senden“. Ohne das hat das NAS keine Möglichkeit, dir zu sagen, dass eine Festplatte ausfällt.

Und das war's

Ab hier kommt alles Weitere dazu, wenn du es brauchst: Anwendungen, Kameras, Zugriff von außen oder VPN. Der Rest dieser Anleitung ist das Nachschlagewerk, Thema für Thema.

Speicher

• Volume erstellen: Speicher → „Volume erstellen“. Der Assistent bietet nur geeignete Festplatten an (nie die des Systems). ZFS für höchste Unversehrtheit (RAID-Z1/Z2), Btrfs für Beweglichkeit (RAID1/10). Formatieren zerstört die Daten auf den Festplatten.
• Datasets: Unterteilungen mit eigenem Limit und eigener Komprimierung (Reiter Datasets).
• Snapshots: Reiter Snapshots für Snapshots von Hand; Systemsteuerung → Geplante Aufgaben für automatische mit Aufbewahrung. Das Zurückholen bei ZFS nutzt rollback (es entfernt spätere Snapshots); bei Btrfs entsteht eine beschreibbare Kopie restaurado-<Datum>, die du vorher ansehen kannst.
• Zustand: Der Reiter Zustand zeigt SMART und lässt dich Scrubs starten. Plane einen Scrub pro Monat als Aufgabe ein. Eine Festplatte, deren SMART „FEHLERHAFT“ meldet, muss sofort ersetzt werden: Unter „Festplatten der Pools“ auf demselben Reiter tauschst du die kaputte gegen die neue (und erweiterst den Pool um weitere Festplatten), ohne in die Konsole zu müssen.

Sicherungen

Snapshots und RAID leben im Gerät: Sie schützen weder vor einem Brand noch vor einem Diebstahl noch vor Ransomware. Dafür gibt es die App Sicherungen, die die Daten aus dem NAS herausholt.

• Ziele: lokal (eine USB-Festplatte am NAS oder ein anderer Pool) oder entfernt über rsync über SSH (ein anderes NAS oder ein Server: das Haus eines Verwandten, das Büro, ein VPS). Das NAS erzeugt seinen eigenen SSH-Schlüssel, und du musst nur den öffentlichen Teil auf dem Zielgerät zulassen. Jedes Ziel wird geprüft, indem wirklich darauf geschrieben wird, bevor du ihm etwas anvertraust. Das Panel führt außerdem S3 als nicht verfügbar auf, mit dem Grund: Hochladen zu S3 verlangt, jede Anfrage aus dem privilegierten Prozess zu signieren, und dieser Prozess führt nur Programme aus der Allowlist aus. Es steht im Vertrag der API, damit an dem Tag nichts bricht, an dem es umgesetzt wird, aber heute lehnt die API ein S3-Ziel ab, statt so zu tun, als ginge es.
• Aufgaben: Quellordner, Ziel, Zeitplan und wie viele Versionen (oder wie viele Tage) aufbewahrt werden. Jede Kopie ist inkrementell: Es reist nur, was sich geändert hat, und die früheren Versionen bleiben über harte Links vollständig (rsync --link-dest), belegen also wenig. Sie laufen mit Fortschrittsanzeige wie die übrigen langen Aufgaben und melden sich über die Warnungen, wenn sie scheitern (richte Systemsteuerung → Warnungen ein: eine Sicherung, die still scheitert, ist keine Sicherung). **Das Ziel zu verschlüsseln gibt es noch nicht**, und die API lehnt es ausdrücklich ab: Wenn das Ziel eine Festplatte ist, die das Haus verlässt, verschlüssle sie selbst auf dem Zielgerät (LUKS) oder bewahre sie an einem Ort auf, dem du traust.
• Zurückholen aus der App selbst: Du wählst die Version und den Zielordner. Der Verlauf bewahrt jeden Durchlauf mit seiner Größe und seinem genauen Fehler auf.

Was zu kopieren ist, wie oft, wie du den Schlüssel Schritt für Schritt zulässt und —das Wichtigste— wie du durch echtes Zurückholen prüfst, dass die Sicherung taugt: backups.md.

Dateien teilen

Ordner gibst du unter Ordner des Haushalts frei, und die Abzeichen SMB, NFS und WebDAV jeder Freigabe kannst du anklicken, um dieses Protokoll ein- oder auszuschalten, ohne den Editor zu öffnen.

Das NAS taucht von selbst im Netz auf. Mit eingeschaltetem SMB musst du weder die IP kennen noch an den Geräten etwas einstellen: Es erscheint unter „Netzwerk“ in Windows, in der Seitenleiste des Finder von macOS und im Dateimanager von Linux. Teilen und sich ankündigen sind zwei verschiedene Dinge, und deshalb öffnet die Firewall fünf Ports, nicht zwei:

Die letzten drei kündigen nur an, dass es dieses Gerät gibt; Zugriff auf irgendetwas geben sie nicht. Sie gehen mit dem Schalter von SMB auf und zu, ihn auszuschalten zieht also alle zurück.

Zum Protokoll: Ausgehandelt wird das höchste, das beide Seiten können, und mit modernem Windows 10/11, macOS und Linux ist das SMB 3.1.1 mit Verschlüsselung. Das Minimum bleibt mit Absicht bei SMB2, um einen Fernseher oder einen Scanner nicht auszuschließen, der nur diese Version spricht.

Wer sieht was

Verweigert wird standardmäßig, und das gilt für jede Tür. Eine Freigabe ohne Liste von Berechtigungen gehört den Administratoren und sonst niemandem: Sie erscheint nicht, wenn du dich mit \\NAS verbindest, sie geht nicht auf, und über NFS oder aus der Konsole kommt man auch nicht an sie heran. Damit jemand hineinkommt, musst du es ihm auf dem Reiter Ordner seiner Karteikarte geben.

Administratoren kommen immer in alle hinein, zusätzlich zu dem, was jede Liste sagt. Das ist die zweite Umdrehung des Schlüssels: Wenn irgendeine Prüfung des Panels übersprungen wird, musst du immer noch Administrator sein. Die Ausnahme ist ein absichtlich gesetztes „Kein Zugriff“ auf eine bestimmte Person, das über allem anderen steht — auch wenn diese Person verwaltet.

Mein Laufwerk. Jedes Konto hat seinen eigenen, privaten Ordner unter <volume>/homes/<konto>/archivos. Er erscheint in Dateien, und dort landet auch das SFTP des Kontos. Dort legst du deine Sachen ab, ohne eine Ordner des Haushalts einzurichten, und er bringt seine Ordner Fotos, Musik, Videos, Dokumente und Downloads schon mit. Niemand sonst kommt hinein — weder andere Konten übers Netz noch durch Eintippen des Pfads im Panel —, außer in das, was sein Besitzer mit dem Knopf „Teilen“ teilt (Benutzer und Berechtigungen). Auch die Verwaltung nicht, solange sie „Alles aus allen Konten sehen“ nicht einschaltet.

Ins Netz geht er wie eine Freigabe mehr. Unter Ordner des Haushalts hat er seine eigene Zeile, über den anderen, mit einem Hauptschalter und den Abzeichen SMB, NFS und WebDAV; jede Person kommt über jedes davon in ihren und nur ihren, ohne Berechtigungen, die zu verteilen wären:

• SMB, ab Werk eingeschaltet: beim Verbinden mit \\NAS, als home oder unter dem Namen des Kontos.
• NFS fragt nach keinem Passwort, deshalb lässt es sich nur mit der Liste der Geräte einschalten, die ihn einhängen dürfen (ihre IP oder ihr Netz), und nur die hängen ihn ein.
• WebDAV legt ihn unter https://<NAS>:8081/~<konto> ab (oder unter dem Port, den WebDAV hat), für die Konten mit „Webzugriff auf die Dateien“ auf ihrer Karteikarte. Über diesen Weg öffnet ihn auch LGM Connect von unterwegs.

Ausgeschaltet geht „Mein Laufwerk“ über keines der drei hinaus, aber die Dateien bleiben unberührt, und in Dateien ist es weiter zu sehen. SFTP ist eine Sache für sich: Es wird auf der Karteikarte jedes Kontos vergeben und landet immer in seinem „Mein Laufwerk“, egal wie der Schalter steht.

Was nicht dir gehört, wird nicht gezeigt. Weder im Panel noch in der Ordnerliste von Windows: Es erscheinen nur die Ordner, die dieses Konto öffnen kann, also lassen sich nicht einmal die Namen lesen. Ein Administrator kommt wie immer in jeden Ordner des Haushalts; die Laufwerke der anderen sieht er nur mit eingeschaltetem „Alles aus allen Konten sehen“, und nur zum Ansehen.

Die Systemsteuerung, je nach Rolle. Ein gewöhnliches Konto findet dort drei Dinge: die Angaben zum Gerät, sein Passwort und seinen zweiten Faktor sowie Region und Sprache. Der Rest sind Bildschirme der Verwaltung und werden nicht angeboten; kommt jemand über einen direkten Link dorthin, wird es ihm gesagt.

Eine Person, ein Konto

Alles wird unter Benutzer und Gruppen verwaltet. Jede Person hat ein Passwort und vier Zugänge, die auf ihrer Karteikarte angekreuzt werden:

Ein Häkchen wegzunehmen entzieht den Zugang wirklich (früher wurden Berechtigungen nur vergeben, und das Häkchen wegzunehmen tat nichts). Der Reiter Ordner der Karteikarte verteilt den Zugriff Ordner für Ordner: kein Zugriff, Lesen und Schreiben oder nur Lesen, und er zeigt außerdem, was die Person von ihren Gruppen erbt. Speicherst du, ohne ein Passwort zu schreiben, bleibt das bisherige erhalten; ein neues brauchst du nur, um die Person in einem Dienst anzumelden, den sie noch nicht hatte.

Auf derselben Karteikarte steht „Kinderkonto“ (nur für Personen, die sich am Panel anmelden, und nur wer verwaltet, kann es setzen): Diese Person sieht unter Filme und Serien nur, was bis 12 Jahre freigegeben ist, und nichts ohne Altersfreigabe. Den Schnitt macht das NAS und nicht der Bildschirm, er lässt sich also nicht umgehen, indem man die Adresse eines Films einfügt. Siehe „Filme und Serien“.

Das Panel lässt dich nicht ohne Administrator dastehen: weder indem du dir selbst den Zugang nimmst noch indem du den letzten verbliebenen herabstufst oder löschst.

Dateibericht

Business-Edition. Im „⋯“ jedes Haushaltsordners zeigt Dateibericht das Größte, was seit den gewählten Monaten niemand angefasst hat, und wie viel jede Person belegt. Ihn erstellt derselbe Messer, der in Dateien die Größen anzeigt, Ordner für Ordner und ohne Eile, also bremst er das NAS nicht; in einem riesigen Ordner kann es dauern, und du kannst das Fenster solange schließen. Vermerkt das Volume nicht, wann eine Datei geöffnet wird, heißt „unberührt“ „unverändert“, und der Bericht sagt es.

Ein einziger Pfad für das ganze Unternehmen

Business-Edition. Unter Dateidienste → SMB kannst du einen Netzwerkordner anlegen —\\<NAS>\datos, mit dem Namen deiner Wahl—, der Ordner dieses NAS und anderer Server zusammenführt. Wer ihn öffnet, sieht sie alle zusammen, und beim Öffnen eines davon geht sein Gerät zu dem Server, auf dem er liegt, mit den gewohnten Berechtigungen.

• Ordner dieses NAS wählst du aus der Liste; für einen anderen Server tippst du seinen Namen (nas2 oder nas2.firma.local) und den freigegebenen Ordner ein.
• Beim Hinzufügen prüft das Panel, ob der Server antwortet; wenn nicht, wird nichts gespeichert.
• Aus dem Pfad entfernen lässt den Zielordner unberührt.

NFS mit Domänenkonten

Business-Edition. Über NFS vertraut das NAS dem Gerät auf der anderen Seite, also ist die Geräteliste die einzige Hürde. Ist das NAS einer Domäne beigetreten (Verzeichnisdienst), lässt sich in den Einstellungen eines Ordners mit NFS Wer ihn einbinden darf wählen: die Geräte auf der Liste wie bisher, oder jede Person mit ihrem Domänenkonto (Kerberos), mit allem signiert oder allem verschlüsselt. Signiert und verschlüsselt sind etwas langsamer, und das Gerät muss derselben Domäne beigetreten sein. Beim ersten Mal in einem Ordner prüft das NAS, ob es seinen NFS-Schlüssel in der Domäne hat; wenn nicht, wird nichts gespeichert, und es sagt dir, was zu tun ist.

Dateien finden

• Die Suche in Dateien stützt sich auf einen Index der Namen, den das NAS von selbst pflegt: ein Durchlauf alle zwei Minuten, der nur die Ordner ansieht, deren Datum sich geändert hat, er liest also nicht die ganze Festplatte neu und fällt nicht auf. Suchen wird damit augenblicklich und vor allem vollständig: Der Gang durch die Ordner gab bei 60.000 Einträgen auf und antwortete „es gibt mehr, als gezeigt wird“.
• Der Index liegt im Zustand des Systems (/var/nas/state/indice.db), nicht neben deinen Daten, und er speichert nur Pfade: Wer was sehen darf, entscheidet weiterhin die Freigabe bei jeder Suche. Er belegt wenig —etwa 20 MB je 150.000 Dateien— und baut sich neu auf, wenn er gelöscht wird.
• Beim ersten Mal dauert es so lange, wie das Lesen des Baums dauert —von ein paar Sekunden bis zu einer Nacht, je nachdem, wie viele Dateien es gibt—, und in der Zwischenzeit funktioniert die Suche wie vorher, indem sie die Ordner durchgeht.
• Was du vom Panel aus anlegst, hochlädst, verschiebst oder löschst, wird sofort vermerkt; was über SMB oder NFS ankommt, erscheint im nächsten Durchlauf.
• Die Suche zu verfeinern verlangt kein erneutes Enter: Bist du erst einmal in den Ergebnissen, werden sie beim Ändern des Wortes von selbst neu gemacht. Nur, wenn der Index fertig ist; sonst wird weiterhin beim Drücken von Enter gesucht, damit das NAS nicht bei jedem Tastendruck über die Festplatte geschickt wird.
• Im Inhalt zu suchen (das Kästchen im Suchfeld) stützt sich ebenfalls auf den Index —es fragt ihn, welche Dokumente es gibt und in welcher Reihenfolge, vom neuesten zum ältesten—, öffnet und liest sie aber in diesem Moment, mit ihren Grenzen: den Text von allem zu indizieren würde wirklich Festplatte und CPU kosten.

Die Ordner des Systems

Unter „Ordner des Haushalts“ erscheinen auch die, die das NAS selbst anlegt: docker (die Daten der Anwendungen), vm (die Festplatten der virtuellen Maschinen), camaras (die Aufnahmen), Galeria (die Fotos und Videos), Musica (die Lieder) und Peliculas (die Filmsammlung). Sie lassen sich übers Netz freigeben, mit Papierkorb und Berechtigungen versehen, aber nicht umbenennen, verschieben oder löschen: Zieht man sie darunter weg, zeigen die Kameras, die Galerie, Musik und Filme auf einen Ordner, den es nicht mehr gibt. Sie tragen ihr Abzeichen SYSTEM in der Liste, und die, die es auf deinem NAS schon gab, bekommen es beim Aktualisieren. In deinem „Mein Laufwerk“ darfst du Ordner mit genau diesen Namen anlegen: Dort reservieren sie nichts. Sie erscheinen nur, wenn das Volume vorbereitet ist —es hat seine Ordner docker, vm und appstore—, was bislang nur bei Volumes passierte, die vom Panel aus angelegt wurden: Ein übernommenes oder eines aus einer Neuinstallation blieb ohne sie. Das NAS sieht jetzt alle zehn Minuten nach und legt sie an, wenn sie fehlen.

Fotos und Videos (Galerie)

• Das NAS legt eine Freigabe „Galeria“ an, sobald es zum ersten Mal ein Volume gibt: Sie ist der naheliegende Ort für die Fotos (sie ist in Dateien zu sehen, wird übers Netz freigegeben, und das Handy kann die Aufnahmen dorthin kopieren), und die Galerie indiziert sie immer. Sie ist ein Ordner des Systems, lässt sich also vom Panel aus weder umbenennen noch löschen. Ohne Akzent, weil der Name einer Freigabe zu SMB, zu NFS und in einen Pfad auf der Festplatte reist.
• Die Galerie kopiert und verschiebt nichts: Sie liest die Fotos und Videos, die schon in deinen Freigaben liegen, und ordnet sie auf einem Zeitstrahl nach Monaten.
• Sie bringt sich alle halbe Stunde selbst auf den Stand. Was über SMB ankommt —die Kopie der Aufnahmen vom Handy, und so kommt fast alles an— erscheint, ohne dass jemand etwas drückt; „Jetzt indizieren“ gibt es weiterhin für den Fall, dass du nicht warten willst. Wählst du keine Ordner, indiziert sie „Galeria“ und die Freigaben, deren Name nach Fotos oder Videos klingt (Fotos, Photos, Imágenes, DCIM, Vídeos); in der App selbst lassen sie sich von Hand wählen. Weder der Ordner der Überwachungskameras noch eine Filmsammlung kommen hinein: Das sind keine Erinnerungen.
• Der Index ist eine eigene SQLite-Datei und füllt sich im Hintergrund: Der erste Durchlauf über einen großen Ordner dauert, und die App sagt so lange, dass sie indiziert. Eine Freigabe zurückzunehmen nimmt sie im nächsten Durchlauf aus dem Index.
• Alben sind Listen, keine Ordner: Ein Foto kann in mehreren sein, und ein Album anzulegen, umzubenennen oder zu löschen fasst keine einzige Datei auf der Festplatte an. Lädst du eines herunter, bekommst du ein ZIP.
• Videos werden in Bereichen ausgeliefert, du kannst also zu einer bestimmten Minute springen, ohne die ganze Datei herunterzuladen, und ihr Vorschaubild ist ein Einzelbild aus Sekunde 1.
• Welche Formate hineinkommen: JPEG (auch .jfif), PNG, WebP, AVIF, GIF, BMP, TIFF, HEIC/HEIF (iPhone) und RAW aus der Kamera —.cr2, .cr3, .nef, .nrw, .arw, .sr2, .rw2, .orf, .raf, .pef, .srw, .rwl, .3fr, .erf— einschließlich ProRAW vom iPhone, das ein .dng ist. Bei Video: .mp4, .mov, .m4v, .mkv, .webm, .avi, .3gp, .mts und .m2ts.
• RAW wird nicht entwickelt (das verlangt einen ganzen Bildprozessor und Sekunden pro Foto): Gezeigt wird die Vorschau, die die Kamera in die Datei gelegt hat, ein JPEG fast in voller Größe, und genau das machen alle Galerien. Herausgeholt wird sie von exiftool; die HEIC öffnet heif-convert. LGM-OS installiert beide; fehlen sie, werden diese Fotos trotzdem indiziert, bleiben aber ohne Vorschaubild, und das Panel sagt es.
• Live Photos: Das iPhone speichert jedes als zwei Dateien (IMG_0042.HEIC und IMG_0042.MOV). Die Galerie erkennt sie am Namen und zeigt einen einzigen Eintrag, mit dem Abzeichen „Live“ und einem Knopf im Betrachter, um die Bewegung zu sehen. Früher erschienen beide Dinge, und einen Ordner vom Handy zu holen verdoppelte das Raster.
• Aus der Galerie zu löschen schickt die Sachen in den Papierkorb des NAS: Aus Dateien holst du sie zurück.
• Die Suche nach Doppelten gruppiert nach Größe und Dateianfang und lässt dich nie die letzte verbliebene Kopie eines Fotos löschen.

Musik

• Das NAS legt eine Freigabe „Musica“ an, sobald es zum ersten Mal ein Volume gibt: Sie ist der naheliegende Ort für die Lieder —sie ist in Dateien zu sehen und wird übers Netz freigegeben, du kannst die Plattensammlung also vom Rechner herüberziehen—, und Musik sieht immer dort nach. Sie ist ein Ordner des Systems: Vom Panel aus lässt sie sich weder umbenennen noch löschen. Ohne Akzent, weil der Name einer Freigabe zu SMB, zu NFS und in einen Pfad auf der Festplatte reist.
• Es wird nichts kopiert und nichts verschoben: Gelesen werden die Audiodateien, die schon in deinen Freigaben liegen, und sie werden nach Interpret, nach Album und nach Ordner geordnet. Der Index ist eine eigene SQLite-Datei; sie zu löschen fasst kein einziges Lied an, und der nächste Durchlauf baut sie neu auf.
• Sie bringt sich selbst auf den Stand. Alle zehn Minuten sieht sie nach, ob sich etwas geändert hat, und einmal pro Stunde macht sie einen vollständigen Durchlauf; „Musik suchen“ gibt es weiterhin für den Fall, dass du nicht warten willst.
• Wählst du keine Ordner, wird in allen Freigaben nachgesehen. Die Musik eines Haushalts liegt in „Musik“, in „Platten“, in „CDs“ und im Ordner jedes Einzelnen, nach dem Namen zu raten würde die App also leer lassen, ohne zu sagen warum; nach Endung zu filtern kostet nichts. Auf dem Bildschirm selbst lässt sich das eingrenzen (das entscheidet, wer verwaltet: Es gilt für das ganze Haus).
• Formate: .mp3, .flac, .m4a, .aac, .ogg, .opus und .wav.
• Die Titel erscheinen vor den Angaben. Beim Indizieren steht der Dateiname für den Titel und der Ordnername für das Album, du kannst also vom ersten Moment an hören; Interpret, Jahr, Nummer und Länge werden danach gelesen, in Schüben und im Hintergrund. Auf einem Gerät ohne ffmpeg bleibt es beim Ersten, und der Bildschirm sagt es in einer Zeile.
• Cover: die cover.jpg (oder folder.jpg, oder front.jpg) im Ordner des Albums. Gibt es keine, wird die aus der Datei selbst herausgeholt und ohne neu zu kodieren kopiert. Ein Album ohne beides wird mit seinem Anfangsbuchstaben gezeichnet: Das ist kein Fehler.
• Aus dem Internet ergänzen (ab Werk aus, eingeschaltet von wem verwaltet). Das NAS schickt die Namen deiner Interpreten, Alben und Lieder an sieben freie Kataloge ohne Schlüssel —MusicBrainz, Cover Art Archive, Deezer, iTunes, TheAudioDB, Wikipedia und LRCLIB— und holt Cover, Erscheinungsdatum, Genres, den richtigen Namen des Interpreten, sein Foto, seine Biografie und die Liedtexte. **Es wird keine Datei und kein Datum von dir gesendet, und kein einziges Lied wird angefasst.** Was zu Hause liegt, gewinnt immer: Das Jahr aus deinen Tags schlägt das des Katalogs, und die cover.jpg wie das eingebettete Cover schlagen das aus dem Internet. Ergänzt wird nach und nach im Hintergrund —die Kataloge nehmen nur wenige Anfragen pro Sekunde an, und das NAS hält sich daran—; „Jetzt ergänzen“ macht einen langen Schub, ohne zu warten.
• Von Hand korrigieren (mit eingeschaltetem „Aus dem Internet ergänzen“, und nur wer verwaltet). Die automatische Zuordnung lässt ein Album lieber ohne Cover, als ihm das eines anderen zu geben, bei einem Ordner namens „Disco 1“ erkennt sie also nichts. Der Knopf Korrigieren in der Kopfzeile eines Albums, in der eines Interpreten und im Menü jedes Liedes sucht diesen Namen im Katalog und zeigt die Kandidaten mit ihrem Cover: Wählst du einen aus, wird seine Karteikarte übernommen, und **der Interpret des Albums geht an all seine Lieder, die keinen haben** —und genau das nimmt das „Ohne Interpret“ aus einer halben von CD gerippten Sammlung—. Was du von Hand gewählt hast, wird nie wieder von selbst zugeordnet, und bei einem Lied lässt es sich rückgängig machen, um zu dem zurückzukehren, was seine Datei sagte.
• Songs ohne Tags erkennen (ab Werk aus, eingeschaltet von wem verwaltet). Die Lieder, die als Track01.mp3 ankamen —von einer CD gerippt, ohne irgendwo nachzusehen—, werden an ihrem Klang erkannt: Das NAS berechnet eine akustische Zusammenfassung der ersten zwei Minuten, fragt damit beim freien Katalog AcoustID nach und gibt ihnen **Titel, Interpret und Album. Es wird keine Datei gesendet, nur diese Zusammenfassung, und kein einziges Lied wird angefasst**: Was erkannt wird, wird in die Bibliothek geschrieben. In der Zeile jedes Liedes gibt es einen Knopf, um es sofort zu erkennen, und bei den schon erkannten, um sie auf das zurückzusetzen, was ihre Datei sagte. Angesehen wird nur, was ohne Tags aussieht (ohne Interpret, oder mit Titeln wie „Pista 3“ oder „AudioTrack 07“); was schon stimmt, bleibt unangetastet. Was erkannt wurde, geht danach wie jedes andere Lied durch „Aus dem Internet ergänzen“, und so kommen Cover und Datum dazu.
• Ein kostenloser Schlüssel ist nötig: Melde dich unter acoustid.org/new-application an und füge ihn in den Einstellungen von Musik ein. Ohne Schlüssel wird die Funktion erklärt und bleibt aus; der Schlüssel wird vor dem Speichern gegen AcoustID geprüft und reist nicht in der Sicherung mit.
• Liedtexte: Sie werden beim Öffnen eines Liedes geholt, nicht beim Indizieren, und dann gespeichert. Kommt der Text synchron, wird die Zeile hervorgehoben, die gerade gesungen wird, und eine Zeile anzutippen springt an diese Stelle. Eine Datei .lrc oder .txt mit demselben Namen neben dem Lied schlägt das Internet und funktioniert auch, wenn „Aus dem Internet ergänzen“ aus ist.
• Die Musik wird in Bereichen ausgeliefert, du kannst also zu einer bestimmten Minute springen, ohne das ganze Lied herunterzuladen. Sie spielt weiter, wenn du den Reiter wechselst, und auch bei kleingemachtem Fenster.
• Die Wiedergabelisten und die Favoriten gehören jedem selbst: Niemand sonst sieht sie, und eine Liste zu löschen fasst keine einzige Datei auf der Festplatte an.
• Die Grenze ist die gewohnte: **Was du in Dateien nicht öffnen kannst, erscheint hier nicht**, weder sein Name noch sein Cover.

Radio

• Tausende Sender aus dem Internet, auf dem Reiter „Radio“. Sie kommen aus dem freien Katalog radio-browser.info: Es ist kein Konto anzulegen und kein Schlüssel einzufügen.
• Gesucht wird nach Namen, nach Land (deines ist schon gesetzt) und nach Thema. Ohne Suche werden die meistgehörten Sender deines Landes gezeigt.
• Der Ton geht über das NAS, nicht über deinen Browser. Genau das bringt auch die Sender zum Klingen, die noch unverschlüsselt senden —ein Browser blockiert sie innerhalb einer sicheren Seite, ohne etwas zu sagen— und nebenbei sieht der Sender eine einzige Verbindung statt einer pro Handy und pro Rechner im Haus.
• Es wird geprüft, ob der Sender klingt, bevor er läuft. In einem offenen Katalog stehen Sender, die seit Jahren aus sind: Deshalb dauert das Drücken eine Sekunde länger, und wenn etwas nicht geht, wird gesagt, was los ist („hat in 10 Sekunden nicht zu spielen begonnen“), statt den Spieler stumm zu lassen.
• Deine Sender gehören dir: Die gespeicherten und die zuletzt gehörten sieht niemand sonst, auch nicht, wer verwaltet. Sie reisen in der Sicherung der Konfiguration mit.
• Er klingt im gewohnten Spieler: Er bleibt an, wenn du den Reiter wechselst, und lässt sich über die Musiktasten der Tastatur und vom Sperrbildschirm des Handys steuern.

Podcasts

• Abonniere über den Namen oder indem du die Adresse seines RSS einfügst, im selben Kästchen. Die Namen werden im öffentlichen Katalog von iTunes gesucht; ab da spricht das NAS unmittelbar mit dem, der den Podcast veröffentlicht.
• Jeder folgt seinen eigenen. Niemand sieht, was du abonnierst oder wo du stehst, auch nicht, wer verwaltet. Eine Sendung wird EINMAL heruntergeladen, selbst wenn drei Leute im Haus ihr folgen.
• Es wird alle sechs Stunden von selbst aufgefrischt, und „Aktualisieren“ macht es sofort. Antwortet eine Sendung nicht mehr, sagt es ihre Karteikarte, und ihre Folgen bleiben da.
• Über neue Folgen Bescheid geben: ein Schalter pro Person. Es kommt ein Hinweis pro Sendung und pro Durchlauf, nie einer pro Folge.
• Es wird gemerkt, wo du warst, bei jeder Folge, wie in Filme und Serien, und du kannst sie von Hand als gehört markieren. Auch hier geht der Ton über das NAS, und zu einer bestimmten Minute zu springen funktioniert weiterhin.
• Heruntergeladen wird die Liste der Folgen, nicht der Ton: **Die Folgen belegen keinen Platz auf dem NAS**.

Filme und Serien

• Das NAS legt eine Freigabe „Peliculas“ an, sobald es zum ersten Mal ein Volume gibt: Sie ist der naheliegende Ort für Filme und Serien —sie ist in Dateien zu sehen und wird übers Netz freigegeben, du kannst sie also vom Rechner herüberziehen—, und die App sieht immer dort nach. Sie ist ein Ordner des Systems: Vom Panel aus lässt sie sich weder umbenennen noch löschen. Ohne Akzent und ohne Leerzeichen, weil der Name einer Freigabe zu SMB, zu NFS und in einen Pfad auf der Festplatte reist.
• Es wird nichts kopiert und nichts verschoben: Gelesen werden die Videos, die schon in deinen Freigaben liegen, und sie werden in Filme und Serien geordnet. Der Index ist eine eigene SQLite-Datei; sie zu löschen fasst keine einzige Datei an.
• Du wählst die Ordner (das entscheidet, wer verwaltet: Es gilt für das ganze Haus). Wählst du keinen, wird in „Peliculas“ nachgesehen und in den Freigaben, deren Name nach Filmsammlung klingt („Series“, „Cine“). Die Aufnahmen der Kameras kommen nie hinein.
• Der Dateiname ist die Karteikarte. Aus „Inception (2010).mkv“ kommen Titel und Jahr; aus „Serie.S01E02.mkv“ oder „Serie - 1x02.mkv“ die Serie, die Staffel und die Folge, und sie werden gruppiert. Ab Werk wird nichts von außen abgefragt, was du siehst, ist also das, was in der Datei steht: Ein gut gesetzter Name macht den ganzen Unterschied.
• Aus dem Internet ergänzen (Einstellungen, und das entscheidet, wer verwaltet). **Ab Werk aus**, und solange es aus ist, erzählt das NAS niemandem, welche Filme du hast. Eingeschaltet schickt es den Titel und das Jahr jedes Films und jeder Serie an Wikidata, an Wikipedia und an TVmaze und holt Cover, Inhaltsangabe, Genres, Erscheinungsdatum und die Titel der Folgen. Sonst geht nichts hinaus: keine Pfade, keine Dateinamen, und nicht, wer was sieht.
• Zwei freiwillige, kostenlose Schlüssel. Mit dem von themoviedb.org (der „API Key (v3)“ oder das Token v4 taugen) sind die Cover besser, und dazu kommen der Trailer, die Besetzung und die Filmreihe; mit dem von omdbapi.com die Note von IMDb. Ohne beide funktioniert es genauso, mit dem, was Wikipedia und TVmaze geben. Jeder Schlüssel wird beim Speichern geprüft: Erkennt ihn der Katalog nicht, wird er nicht gespeichert, und es wird gesagt warum. Die Schlüssel verlassen das NAS nie und reisen nicht in der Sicherung der Konfiguration mit.
• Was zu Hause liegt, gewinnt. Liegt neben dem Film eine .nfo (die, die Kodi, Jellyfin und die Sammlungsverwalter hinterlassen), kommen Titel und Inhaltsangabe von dort; und trägt der Name der Datei oder des Ordners eine Kennung von IMDb (tt1375666), wird die Karteikarte genau abgefragt, statt nach dem Titel zu suchen.
• Ergänzt wird von selbst, nach und nach, nach jeder Suche nach Filmen; „Jetzt ergänzen“ macht einen langen Schub, ohne zu warten. Was kein Katalog erkennt, bleibt, wie es ist, und wird nicht wieder abgefragt; was an der Verbindung scheiterte, wird ein paar Stunden später erneut versucht.
• „Korrigieren“ auf der Karteikarte ordnet von Hand zu: Es sucht nach Titel und Jahr und zeigt die möglichen Karteikarten mit ihrem Cover, damit du die richtige wählst.
• Der Trailer geht außerhalb auf, in einem neuen Reiter: Im Panel wird kein fremder Spieler eingebettet.
• „Könnte dir gefallen“ und „Für dich“. Auf der Karteikarte eines Films oder einer Serie erscheint eine Reihe mit bis zu acht ähnlichen Titeln, und auf der Startseite eine weitere aus dem, was du zuletzt gesehen hast (niemand sieht die eines anderen). **Empfohlen wird nur, was AUF dem NAS ist**, und nur innerhalb deiner Ordner: Es gibt nichts, was irgendwo geholt werden müsste. Mit einem Schlüssel von themoviedb.org werden dessen Empfehlungen genutzt und mit deiner Sammlung gekreuzt; ohne Schlüssel wird nach Filmreihe, Genres und Jahrzehnt verglichen, und das bringt „Aus dem Internet ergänzen“. Ist diese Funktion aus, gibt es nichts zum Vergleichen, und die Reihen erscheinen nicht. Das Errechnete wird eine Woche aufbewahrt; eine Karteikarte von Hand zu korrigieren macht es neu.
• Über neue Folgen Bescheid geben (Einstellungen, unter „Aus dem Internet ergänzen“ und darin: Ist jenes aus, fragt dieses nichts). Einmal am Tag wird der Katalog für jede Serie auf dem NAS nach ihrer letzten ausgestrahlten Folge gefragt; ist sie nicht hier, kommt ein Hinweis des Panels mit Staffel, Nummer, Titel und dem Datum der Ausstrahlung. Über jede Folge wird nur ein einziges Mal Bescheid gegeben, auch wenn sie weiterhin fehlt. Mit einem Schlüssel von themoviedb.org wird dort gefragt; ohne Schlüssel bei TVmaze. Eine Serie, die Wikidata oder OMDb zugeordnet ist, gibt diesen Hinweis nicht: Diese Kataloge führen die Folgen nicht mit ihrem Datum.
• Cover: Es gewinnt immer das Bild, das daneben liegt (Inception (2010).jpg, poster.jpg, folder.jpg); danach das aus dem Katalog geholte; und gibt es keines, holt das NAS ein Einzelbild bei 10 % des Films. Ein Film ohne alle drei wird mit seinem Anfangsbuchstaben gezeichnet: Das ist kein Fehler.
• Es bringt sich selbst auf den Stand. Alle zehn Minuten wird nachgesehen, ob sich etwas geändert hat, und einmal pro Stunde gibt es einen vollständigen Durchlauf; „Filme suchen“ gibt es weiterhin für den Fall, dass du nicht warten willst.
• Abgespielt wird im Panel. Was der Browser so öffnet, wird in Bereichen ausgeliefert (mit eigenen Sprüngen); was er nicht kann —ein Film mit Dolby-Digital-Ton, ein MKV auf einem iPhone— wandelt das NAS im Flug um und kopiert dabei das Bild, wenn es reicht, den Ton zu ändern. Der Bildschirm sagt, wann es umwandelt und warum.
• Qualität: neben den Untertiteln, während du etwas ansiehst. „Original“ ist das Übliche; 1080p, 720p und 480p bitten das NAS, das Bild zu verkleinern, und das brauchst du, wenn du außer Haus oder auf dem Handy siehst und es ruckelt. Angeboten werden nur die Qualitäten unterhalb des Films. Gewechselt wird, ohne die Minute zu verlieren, und die Wahl bleibt auf diesem Gerät für die nächsten Male.
• Untertitel: die .srt oder .vtt, die neben der Datei liegen, mit der Sprache im Namen, wenn sie eine tragen (Inception (2010).de.srt). Sie werden im Flug in das umgewandelt, was der Browser versteht.
• Sie aus dem Internet holen. Auf der Karteikarte jedes Films gibt es einen Knopf „Untertitel suchen“: Er zeigt, was der Katalog für diesen Titel in der Sprache des Panels hat, und lädt den herunter, den du wählst. Die Datei wird neben den Film gelegt (Inception (2010).de.srt), von da an hat sie also das ganze Haus; lässt sich in diesem Ordner nicht schreiben, bleibt sie auf dem NAS und ist trotzdem zu sehen.
• Die mit „Für diese Datei“ markierten sind die, die zu deiner genauen Kopie passen: Der Katalog hat sie über einen Fingerabdruck der Datei zugeordnet, nicht über den Titel. Die übrigen können gegenüber deinem Schnitt vor- oder nachgehen.
• „Automatische Untertitel“ (Einstellungen, unter „Aus dem Internet ergänzen“, ab Werk aus): Ist es an, sucht das NAS beim Öffnen eines Films ohne Untertitel in deiner Sprache einmal danach und legt sie ein. Was es nicht findet, wird von selbst nicht wieder abgefragt; der Knopf zum Suchen von Hand versucht es jedes Mal erneut, wenn du ihn drückst.
• Aus dem Haus gehen der Titel, das Jahr und dieser Fingerabdruck der Datei; nie ihr Pfad und nie, wer sie sieht. Die Quelle ist opensubtitles.org, und es funktioniert, ohne sich irgendwo anzumelden.
• Konto bei opensubtitles.com, freiwillig. Ohne es wird genauso gesucht und heruntergeladen, mit dem Tageskontingent, das sich alle teilen; mit einem eigenen kostenlosen Konto (Schlüssel, Benutzer und Passwort) gehört das Kontingent dir. Es wird beim Speichern geprüft: Wird es nicht erkannt, wird es nicht gespeichert, und es wird gesagt warum. Es verlässt das NAS nie und reist nicht in der Sicherung der Konfiguration mit.
• Es geht weiter, wo du aufgehört hast. Jedes Konto merkt sich seine eigene Minute, und niemand sieht die der anderen; bei 95 % gilt der Film als zu Ende und fällt aus „Weiterschauen“. Bei einer Serie wird die nächste Folge angeboten.
• „Weiterschauen“ auch auf dem Desktop. Mit dem Knopf „+“ der Widget-Leiste (oben rechts) schaltest du das Widget „Weiterschauen“ ein: bis zu sechs halb gesehene Filme oder Folgen mit ihrem Cover und dem Stand, und ein Klick öffnet die App bei diesem Film. Angeboten wird sie nur denen, die Filme und Serien haben.
• Kinderkonten. Kreuzt du „Kinderkonto“ auf der Karteikarte einer Person an (Systemsteuerung → Benutzer und Gruppen), sieht dieses Konto hier nur, was bis 12 Jahre freigegeben ist: den Katalog, die Serien, die Suche, „Weiterschauen“ und den Spieler. Den Schnitt macht das NAS, nicht der Bildschirm, ihm die Adresse eines nicht freigegebenen Films zu schicken öffnet ihn also auch nicht. **Was keine Altersfreigabe hat, erscheint ebenfalls nicht**, schalte also „Aus dem Internet ergänzen“ ein —von dort kommt sie— oder seine Sammlung bleibt fast leer. Die App sagt es in einer Zeile, damit es nicht kaputt aussieht.
• Die Grenze ist die gewohnte: Was du in Dateien nicht öffnen kannst, erscheint hier nicht, weder sein Name noch sein Cover.

Anwendungen (Docker)

• Paketzentrum: installiert die Rezepte des Hauses (/var/nas/appstore/templates/), die mit jeder NAS-Version kommen: 1058 Anwendungen anderer Entwickler, von uns kuratiert und geprüft, jede mit ihrer festen Version. Es wird kein Katalog von Dritten heruntergeladen.
• Ein Suchfeld, Kategorie-Chips mit Zählern und der Filter „Installiert“, um sich im Katalog zu bewegen.
• Der Knopf „⟳“ einer installierten App lädt das neue Image herunter und baut die Container neu.
• Die App Docker zeigt Logs in Echtzeit, CPU/RAM und steuert einzelne Container. Ein von Hand angelegter Container (zum Beispiel aus dem Terminal), der einen TCP-Port veröffentlicht, bekommt seinen Knopf „Öffnen“ und erscheint im Launchpad wie jede andere Anwendung.

LGM-OS aktualisieren, ohne neu zu installieren

Vom Panel aus: Systemsteuerung → LGM-OS aktualisieren → „Jetzt aktualisieren“. Mehr nicht. Du musst nicht für jede Version wieder die ISO durchlaufen lassen, brauchst keinen Zugang zum Code und musst kein Repository einrichten: Das NAS fragt den Server des Herstellers nach der letzten Version, lädt sie herunter und installiert sie.

Was darunter passiert, falls es doch einmal jemand ansehen muss:

1. Das NAS fragt nach der zuletzt veröffentlichten Version und vergleicht sie mit seiner eigenen. Es vergleicht Zahlen, keinen Text: Die 1.10.0 kommt nach der 1.9.0.
2. Es lädt das Paket herunter und prüft dessen SHA-256 gegen den, den der Server angekündigt hat. Stimmen sie nicht überein, installiert es nichts und sagt es mit diesen Worten: Was angekommen ist, ist nicht das, was der Server angekündigt hat, und das ist etwas ganz anderes als „der Download ist fehlgeschlagen“.
3. Es wendet die Aktualisierung mit dem gewohnten Verfahren an: bauen, prüfen und erst dann übernehmen. Antwortet das Panel danach nicht, geht es von selbst zurück auf die vorige Version.

Aus der Konsole: sudo lgm update.

Optionen

• Automatisch: „Automatisch nach Updates suchen“ meldet sich in den Benachrichtigungen, wenn es eine neue Version gibt; „Sie ohne Nachfrage installieren“ wendet sie von selbst alle 6/12/24 Stunden oder alle 7 Tage an, und nur innerhalb des Zeitfensters, das du wählst (ab Werk von 03:00 bis 06:00): Die Aktualisierung startet die Dienste und die Aufnahme der Kameras neu, und mitten in der Nacht stört das niemanden. Außerhalb des Fensters kommt der Hinweis trotzdem.
• Aus deinem eigenen Code (nur, wenn du das Repository geklont hast): Hat das Gerät einen Checkout von git mit einem Remote, nutzt das Panel ihn statt des Versionsservers. Das ist der Weg für die, die entwickeln; für ein NAS, das von der ISO installiert wurde, braucht es nichts davon.

Was das NAS der Website erzählt

Alle zwölf Stunden fragt das NAS beim Versionsserver, ob seine Lizenz —oder seine Testphase— noch gilt, und im selben Aufruf erzählt es, wie es heißt, welche Version es hat, wie viel Platz ihm bleibt und ob es offene Hinweise gibt: Genau das siehst du auf der Karteikarte deines NAS in deinem Konto auf der Website. Mit dabei sind auch der Fingerabdruck des Zertifikats des Panels und seine Adressen innerhalb deines Netzes zu Hause, und damit findet die App LGM Connect das NAS, ohne ins Internet zu gehen.

Mit derselben Meldung reisen die technischen Daten des Geräts, damit dir geholfen werden kann, wenn etwas schiefgeht: Hersteller und Modell der Platine, Prozessor, Speicher, die Festplatten (Modell, Größe, Art und Zustand), wie die Volumes eingebunden sind, die Art der Netzwerk- und Grafikkarte und wie viele Apps, virtuelle Maschinen und Kameras es gibt. Ohne Seriennummern, ohne Netzwerkadressen und ohne irgendetwas von dir darin (keine Dateinamen, keine Konten). Ausgeschaltet werden sie unter Systemsteuerung → Lizenz → Technische Daten und Support, und Ansehen, was gesendet wird —in „Ist etwas schiefgelaufen?“— zeigt genau, was hinausgeht. Die neuen Versionen kommen in Wellen: Jedes Gerät ist an einem anderen der ersten Tage an der Reihe, und „Trotzdem installieren“ holt sie vor.

Während es aktualisiert

Du siehst einen Balken mit der Phase und einem ungefähren Prozentsatz —Sicherung, Pakete des Systems, Oberfläche vorbereiten, Backend, Dienste neu starten—. Der lange Schritt ist, die Pakete des Systems zu installieren: Er kann mehrere Minuten ohne ein Lebenszeichen dauern, und das ist normal. Die Oberfläche kommt fertig an und ist in Sekunden an ihrem Platz. Das Panel startet auf halbem Weg neu: Der Balken sagt es und zählt weiter, sobald es zurück ist.

Am Ende prüft das Update, dass alles, was lief, weiterhin läuft (Docker, Samba, libvirt, NFS…), und wenn etwas stehen geblieben ist, startet es das und nennt es beim Namen. Genauso, wenn die Aktualisierung scheitert: Eine Version, die auf halbem Weg aufgibt, darf dich nicht ohne Container und ohne Freigaben zurücklassen.

Wenn es schiefgeht

Der rote Hinweis bringt die letzten Zeilen des Logs mit —und dort steht der Fehler— und ein Aufklappfeld mit dem ganzen Log. Aus der Konsole:

sudo tail -n 40 /var/log/lgm-update.log

Da die Aktualisierung von selbst zurückgeht, läuft das NAS mit der vorigen Version weiter: Es eilt nicht, das in Ordnung zu bringen. Die übliche Ursache ist, auf der Systemfestplatte ohne Platz dazustehen, und das Panel sagt es mit diesen Worten.

Die Dienste prüfen

Systemsteuerung → Systemprüfung geht eins nach dem anderen durch: das Panel, den Speicher, SMB, NFS, WebDAV, SSH, Docker, die Sicherungen und die Kameras. Es sieht nicht nach, was das Panel gespeichert hat, das passieren sollte: Es sieht sich das System an —ob die Einheit von systemd lebt, ob etwas auf dem Port lauscht, ob die Firewall es durchlässt, ob die Einstellung zu dem passt, was gefragt wurde— und zu jedem Problem steht dabei, was zu tun ist.

Es ist das Erste, was du öffnen solltest, wenn etwas von einem anderen Gerät aus „nicht geht“: Es sagt, ob der Fehler im NAS steckt oder außerhalb, und das ist die halbe Arbeit.

Ressourcen-Monitor

Was das NAS gemacht hat, während du nicht hingesehen hast. Die App Monitor bewahrt die Nutzung von Prozessor, Speicher, Festplatte und Netz auf und zeichnet sie in vier Diagrammen, mit dem Bereich nach deiner Wahl: letzte Stunde, Tag, Woche oder Monat.

Sie beantwortet die drei Fragen, die eine Zahl von diesem Augenblick nicht beantwortet:

• „Es ist langsam… seit wann?“ — eine Stufe im Diagramm von CPU oder Speicher nennt den Tag und fast die Stunde, an der es anfing, und das passt meist zu einer installierten Anwendung oder zu einer neuen Sicherung.
• „Geht ihm der Speicher aus?“ — eine flache Decke bei 100 % über Stunden ist genau das; kurze Spitzen beim Kopieren von Dateien sind normal.
• „Nutze ich das Netz aus?“ — das Diagramm des Netzes während einer großen Kopie sagt dir, ob der Engpass die Festplatte oder das Kabel ist.

Den Verlauf schreibt das NAS selbst alle paar Minuten, und er belegt sehr wenig: Du musst nichts einschalten, es läuft schon. Neu zu installieren oder das Volume zu zerstören fängt von vorn an, weil es Geschichte ist und keine Daten.

Der Desktop

Das ganze Panel lebt auf einem Desktop mit Fenstern, im Browser genauso wie in LGM Connect.

Virtuelle Arbeitsflächen und Kontrollzentrum

• Es gibt drei Arbeitsflächen, jede mit ihren eigenen Fenstern. Gewechselt wird mit Strg+Alt+← / →, mit zwei Fingern seitlich über den Hintergrund oder über die Arbeitsflächen in der Systemleiste des Docks. Um ein Fenster auf eine andere zu bringen: Rechtsklick auf seine Titelleiste → „Auf andere Arbeitsfläche verschieben“. Beim Neuladen kehrt jedes Fenster auf seine Arbeitsfläche zurück.
• Strg+Leertaste öffnet das Kontrollzentrum: alle Apps und Einstellungen, die dein Konto öffnen darf, geordnet, dazu die Einstellungen dieses Geräts, mit der großen Schrift gleich zur Hand.

Rechtsklick und langes Drücken

• Der Rechtsklick öffnet überall ein Menü: auf dem Hintergrund, in der oberen Leiste, an Fenstern, Widgets, im Dock, in Apps und in jeder App. In Textfeldern erscheint weiter das des Browsers, zum Kopieren und Einfügen.
• Die Menüs haben Untermenüs und zeigen ihre Tastenkürzel, und sie lassen sich mit den Pfeiltasten, Eingabe und Esc bedienen.
• Auf dem Hintergrund stehen „Desktop aktualisieren“ und „Schnelleinstellungen“ (Design, Widgets und Leiste). In der Titelleiste eines Fensters: minimieren, maximieren, an eine Bildschirmhälfte andocken, Arbeitsfläche wechseln oder schließen. Auf einer App in Apps: öffnen, auf den Desktop legen oder an die Leiste heften.
• Auf dem Handy hältst du den Finger eine halbe Sekunde irgendwo gedrückt: Es erscheint dasselbe Menü, und das Bestätigen gibt eine kurze Vibration.

Das Dock und die Widgets

• Ab Werk trägt das Dock die Apps für jeden Tag, die dein Konto öffnen darf, und die offenen am Ende, hinter einem Strich. Ein Punkt markiert die offene App, ein Kreis ihre ungelesenen Hinweise, und das Symbol zeigt den Fortschritt ihrer Aufgaben. Hattest du es schon nach deinem Geschmack eingerichtet, bleibt es so.
• Es hat drei Modi, per Rechtsklick → „Die Leiste einrichten“: „Immer sichtbar“, **„Von selbst ausblenden“ und „Kompakt schwebend“**.
• Am Ende des Docks liegt die Systemleiste: die Arbeitsflächen, das Netzwerk des NAS, Ausschalten oder Neustarten und „Dein Konto“, wo deine Daten und „Abmelden“ stehen.
• Jedes Widget wählt seine Größe — „Klein (halbe Zeile)“, „Breit (ganze Zeile)“ oder „Groß“ — in seinem Menü „⋯“ oder per Rechtsklick, mit dem es sich auch einklappen, einrichten, verdoppeln oder entfernen lässt. Das wird mit deinem Konto gespeichert und folgt dir auf ein anderes Gerät.

Lokale KI

Die App Lokale KI antwortet vom NAS selbst aus, ohne etwas nach draußen zu schicken. Wer das NAS verwaltet, schaltet sie ein und wählt das Modell; danach vergibt diese Person sie unter Systemsteuerung → Benutzer und Gruppen wie jede andere App (ab Werk hat sie sonst niemand).

• Jedes Konto hat seine eigene. Jede Person mit dem Recht nutzt sie mit ihren eigenen Ordnern und Dokumenten: sie zusammenfassen, eine Tabelle in ihrem Ordner ablegen, ihren Desktop ordnen. Was jedes Konto sagt und was sich die KI von ihm merkt, sieht nur dieses Konto, nicht einmal wer das NAS verwaltet.
• Gespeicherte Unterhaltungen. Unter „Gespräche“ gibt es mehrere, mit Namen, auf dem NAS gespeichert: Sie sind noch da, wenn du das Fenster schließt oder neu lädst. „Neue Unterhaltung beginnen“ öffnet eine neue.
• Sie benutzt das Panel mit deinen Rechten. Sie sucht die Aktion, gibt dir den Knopf zur passenden Seite und zeigt dir vorher, was sie tun will, wenn sich am NAS etwas ändern würde, und wartet, bis du auf „Zustimmen“ tippst. Sie kann nie mehr als du, und was sie in einem Dokument liest, nimmt sie als Angabe, nicht als Befehl. „Stopp“ bricht sie sofort ab. Wer das NAS verwaltet, kann sie außerdem eine App aus dem Paketzentrum installieren oder die Geschwindigkeit der Festplatten messen lassen, immer mit Zustimmung.
• Der Zustand des NAS. Frag sie, wie es dem NAS geht, und sie antwortet mit der Karte **„So geht es dem NAS gerade“**: ein Urteil — Gut, Achtung oder Ernst — mit seinen Zahlen (Festplatten, Temperaturen, Netzwerk, Grafikkarte) und der Anleitung, aus der jeder Schritt stammt; jedes Zitat öffnet seine Anleitung. Beim Öffnen schlägt sie vor, was einen Blick wert ist: eine heiße Festplatte, eine gescheiterte Sicherung, ein fast volles Volume.
• „Die KI fragen“ im Rechtsklick auf einen Container, eine Festplatte, eine Datei, einen Hinweis oder ein Widget fragt nach genau dem, ohne dass du es erklären musst.
• „Einfacher erklären“ unter jeder Antwort, neben Kopieren und Erneut fragen, wiederholt sie ohne Fachwörter.

Der Reiter Grafik

Die frühere App Grafik & KI ist jetzt der Reiter Grafik der Lokalen KI, und nur wer das NAS verwaltet, sieht ihn: jede Grafikkarte und jedes KI-Gerät des NAS, wie stark es genutzt wird und welche Anwendungen es haben. Hattest du eine Verknüpfung zur alten App, ist sie weg: Öffne Lokale KI → Grafik.

Web-Terminal

Eine echte Shell im Browser, nur für Administratoren. Sie startet als Benutzer des Dienstes (nas, ohne Rechte), und der Knopf „Root-Sitzung“ öffnet eine Shell des Administrators. Beide —und auch die Konsole eines Containers in Docker— verlangen vorher, dass du dein Passwort bestätigst und den Code des zweiten Faktors, wenn du ihn an hast (oder einen Passkey): Die Erlaubnis ist ein Token für ein einziges Mal, das nach 60 Sekunden abläuft und nur die Konsole öffnet, für die es angefordert wurde. Die Root-Sitzung legt der privilegierte Helfer an (der Dienst des Panels läuft mit NoNewPrivileges=yes, wo sudo nicht funktionieren kann), und jedes Öffnen bleibt im Audit-Protokoll stehen. Von dort aus kannst du installieren, was du willst (docker run …, apt install …); veröffentlicht das, was du startest, einen Web-Port, erscheint es in Docker und im Launchpad.

Lizenz und Testphase

Es gibt eine Home-Lizenz (Einmalzahlung, mit einem Jahr Updates, das sich Jahr für Jahr verlängern lässt), eine lebenslange (Updates für immer) und Business (monatlich, jährlich oder lebenslang). Alles geschieht unter Systemsteuerung → Lizenz, die auch den Countdown der verbleibenden Updates zeigt.

• Wenn die Updates enden, funktioniert das NAS vollständig weiter: Es installiert nur keine später erschienenen Versionen. LGM-OS aktualisieren sagt es und führt zu lgm-os.com, um ein Jahr zu verlängern oder auf Lebenslang zu wechseln; die verlängerte Lizenz kommt in wenigen Stunden von selbst auf das NAS.
• Wird ein Business-Abo gekündigt, läuft das NAS nach dem bezahlten Zeitraum als Home weiter: Die Business-Funktionen gehen aus, gelöscht wird nichts.
• Dein Konto verknüpfen. Drücke Mein Konto verknüpfen: Das Panel zeigt einen Code und eine Adresse von lgm-os.com. Öffne sie von einem beliebigen Gerät —das Handy reicht—, melde dich mit deinem kostenlosen Konto an und wähle, was mit diesem NAS geschehen soll: **die Testphase beginnen oder eine Lizenz von dir nutzen**. Das Panel erfährt es von selbst innerhalb von Sekunden; es ist kein Schlüssel abzuschreiben.
• Die Testphase dauert 60 Tage und öffnet alles außer der Adresse von LGM Tunnel, die zur Lizenz gehört. Es gibt eine pro Gerät, und sie gehört dem Konto, das sie begonnen hat: Neu zu installieren führt dieselbe Testphase weiter, mit demselben Enddatum.
• Ein frisch installiertes NAS hat 7 Tage, um verknüpft zu werden. Bis dahin funktioniert es ganz, und das Panel erinnert dich daran.
• Hast du mehrere Lizenzen, wählst du beim Verknüpfen, welche auf dieses Gerät kommt, und gibst ihr einen Namen („Zuhause“, „Büro“), um sie in deinem Konto auseinanderzuhalten.
• Mit einer gekauften Lizenz ist nichts zu verknüpfen: **Ich habe einen Schlüssel → Einen Schlüssel einfügen** funktioniert weiterhin genau wie immer.

Wenn die Testphase endet: „nur Daten“

Ohne Lizenz geht das NAS nach dem Ende der Testphase —oder der 7 Tage ohne Verknüpfung— in den Nur-Daten-Modus. Deine Daten werden nie zurückgehalten:

• Es funktioniert weiter, was dir hilft, sie mitzunehmen: dich am Panel anzumelden, **all deine Dateien anzusehen und herunterzuladen, die Freigaben nur zum Lesen** von deinen Geräten aus, der Zustand der Festplatten und ihre Hinweise, das System zu aktualisieren, auszuschalten und neu zu starten.
• Angehalten wird alles andere: Die Apps und die virtuellen Maschinen halten an, die Kameras hören auf aufzunehmen, und die Sicherungen und geplanten Aufgaben laufen nicht. Das VPN und der Name zu Hause funktionieren weiter: Bist du unterwegs, kommst du trotzdem an deine Dateien und kannst die Lizenz aktivieren.
• Es wird nichts gelöscht. Aktivierst du eine Lizenz, startet alles wieder so, wie du es verlassen hast.

Ist etwas schiefgelaufen?

Ist etwas schiefgelaufen? sitzt in der oberen Leiste des Desktops —auf dem Handy als Erstes im Kontrollzentrum— und unter Systemsteuerung → Lizenz. Es schickt einen Bericht an den Support: was du schreibst, die Version und die App, die versagt hat. Lässt du das Kästchen angekreuzt, gehen die technischen Daten des Geräts und die letzten Fehlerzeilen des Panels mit, aus denen das NAS vorher Passwörter, Adressen mit Zugangsdaten, E-Mail-Adressen und Pfade persönlicher Ordner entfernt. Niemand kommt in dein NAS: Der Bericht ist das Einzige, was es verlässt.

System

• Name des Geräts: Den, den du beim Installieren gesetzt hast, änderst du unter Systemsteuerung → Angaben zum Gerät, mit dem Knopf Ändern neben dem Namen. Nur Kleinbuchstaben, Ziffern und Bindestriche (von 1 bis 63, und er darf nicht mit einem Bindestrich anfangen oder enden): Es ist ein Name für eine Maschine, kein Titel. Es ist **die Adresse, über die man ins NAS kommt** (https://<name>.local:5001), nach dem Ändern musst du also die Lesezeichen im ganzen Haus anpassen. Das NAS kündigt sich von selbst wieder im Netz an (der Finder vom Mac und „Netzwerk“ in Windows); das Zertifikat des Panels trägt den Namen in sich und wird beim nächsten Neustart neu ausgestellt, bis dahin warnt der Browser also, wenn du über den neuen Namen hereinkommst.
• Netzwerk: feste IP/DHCP pro Schnittstelle über systemd-networkd. ⚠️ Ein Fehler hier kann das NAS unerreichbar machen; halte eine Konsole am Gerät bereit.
• Uhrzeit: Die Zeitzone und der Abgleich über NTP stehen unter **Systemsteuerung → Region und Aussehen. Darunter lässt dich Zeitserver** deine eigenen schreiben, einen pro Zeile (pool.ntp.org, oder die Adresse des Routers, der fast immer die Uhrzeit liefert). Leer = die, die das System mitbringt, und das ist der Normalfall; geändert werden sie, wenn das Netz nicht ins Internet kommt oder den Port 123/UDP geschlossen hat, denn bei falscher Uhr laufen Zertifikate zu früh ab und geplante Aufgaben lösen zur Unzeit aus.
• Bildschirm des Servers (Kiosk-Modus): Hat das Gerät einen Monitor angeschlossen (oder die Konsole seiner virtuellen Maschine), startet es mit genau diesem Panel im Vollbild, wie jedes andere Betriebssystem, und es wird weiterhin übers Web vom Rest des Netzes aus verwaltet wie vorher. Er wird nur installiert, wenn es einen Bildschirm gibt, und mit einem Schalter unter Systemsteuerung → Angaben zum Gerät ausgeschaltet.

Die Konsole verschwindet nie: Das Panel belegt Terminal 7, und die gewohnte Anmeldung bleibt auf Terminal 1. Geht der Bildschirm kaputt —X startet nicht, der Browser schließt sich, das Panel antwortet nicht— bekommst du mit Strg+Alt+F1 eine echte Konsole, und Strg+Alt+F7 geht zurück zum Panel. Aus der Konsole schaltet lgm kiosk off ihn aus, lgm kiosk log sagt, warum er versagt, und lgm kiosk on schaltet ihn wieder ein.

• Aktualisierungen des Betriebssystems: Die macht man nicht vom Panel aus. Ein unbeaufsichtigtes apt upgrade kann Dienste neu starten oder sie halb fertig liegen lassen, ohne dass jemand danebensteht; wer Debian aktualisieren will, hat das Terminal. Was sich sehr wohl vom Panel aus aktualisiert, ist LGM-OS, eigener Code, der sich selbst neu zu starten weiß.
• Sicherung der Konfiguration: ein einmaliger Download oder eine geplante Aufgabe der Art „Backup“ auf einen Pool. Sie trägt den gesamten Zustand des Panels (Benutzer, Gruppen, Freigaben mit ihren Berechtigungen, Dienste, Firewall, Netz, Aufgaben…) außer den Geheimnissen des Geräts, die neu erzeugt werden. Deine Daten sind nicht dabei (dafür gibt es die App Sicherungen); bewahre sie innerhalb der Kopie außer Haus auf, denn sie ist das Erste, was du beim Wiederaufbau des Geräts brauchst. Einzelheiten und Zurückholen in disaster-recovery.md.
• Logs: journald pro Einheit; Audit: wer was getan hat und von welcher IP aus.
• Die Logs an ein anderes Gerät senden (syslog): Systemsteuerung → Protokollzentrum → Die Logs an ein anderes Gerät senden. Es schickt eine Kopie von allem, was das NAS aufschreibt, an einen Log-Server in deinem Netz (Gerät, Port —514 ab Werk— und UDP oder TCP). Das hilft, alles beisammenzuhaben, und vor allem, damit die Spur außerhalb des NAS bleibt, falls jemand hineinkommt. Beim Speichern wird das Ziel geprüft: Mit TCP ist die Antwort echt, und mit UDP wird nur geprüft, dass es das Gerät im Netz gibt, denn ein Datagramm bestätigt niemand. Das macht rsyslog, das LGM-OS installiert und ausgeschaltet lässt, bis du das hier einschaltest; auf einem NAS, das vor der 1.65 installiert wurde, kann es fehlen, und der Bildschirm sagt dir, wie du es nachlegst.

Auf Werkseinstellungen zurücksetzen

Systemsteuerung → Werkseinstellungen setzt das Panel auf den ersten Tag zurück, ohne neu zu installieren und ohne die Festplatten anzufassen: für den Fall, dass das NAS den Besitzer wechselt oder du die Einrichtung lieber von vorn beginnst. Nur wer verwaltet, sieht es.

Wie es bestätigt wird. Es braucht drei Dinge: dein Passwort, den Code der Zwei-Faktor-Anmeldung, wenn dein Konto sie hat, und einen Code aus acht Buchstaben und Ziffern, der nur auf dem Bildschirm am NAS erscheint. Drück auf Code anfordern und lies ihn dort ab (zeigt dieser Bildschirm das Panel, drück Strg+Alt+F1). Er läuft nach zehn Minuten ab, lässt drei Versuche zu und muss von Hand eingetippt werden, denn genau das beweist, dass du vor dem NAS stehst. Ohne angeschlossenen Bildschirm geht es nicht: Schließ einen an. Auch nicht, solange etwas läuft, das Daten bewegt —eine Sicherung, eine Wiederherstellung, ein Festplattentausch—, oder eine Aktualisierung: Der Bildschirm sagt, was es ist, und dass du warten sollst.

Was danach passiert. Bevor etwas gelöscht wird, speichert das NAS eine Kopie der jetzigen Einstellungen auf seinem Systemdatenträger, unter /var/nas/apartados/fabrica-<datum>. Danach startet das Panel neu und bittet dich, das Administratorkonto anzulegen, wie am ersten Tag, mit dem Einrichtungscode vom Bildschirm des NAS. Die erste Benachrichtigung sagt, wo diese Kopie liegt und, falls sich etwas nicht entfernen ließ, was es ist und was zu tun ist. Im Panel lässt sich das nicht rückgängig machen.

Deine Daten bleiben auf den Volumes: Verlässt das NAS das Haus und sollen sie auch weg, lösch den Pool unter Speicher.

Sicherheit

• Aufbau aus zwei Prozessen: Die API läuft als Benutzer nas ohne Rechte und gibt über einen Unix-Socket an nas-helper (root) ab; der Helfer nimmt nur eine geschlossene Liste von Befehlen und Pfaden an (backend/app/core/allowlist.py).
• TLS: selbst signiert, beim ersten Start erzeugt, mit den Adressen des Geräts darin und einer Gültigkeit von 396 Tagen —unter der Grenze von 398, die iOS und iPadOS annehmen; mit mehr lässt ein iPhone dich nicht ins Panel, auch nicht über die Warnung hinweg—. Es wird bei jedem Start geprüft und von selbst neu ausgestellt, wenn es ablaufen wird oder das NAS die IP wechselt; deins oder das von Let's Encrypt wird nicht angefasst. Üblich ist, es beim Veröffentlichen des NAS durch eines von Let's Encrypt zu ersetzen (siehe Zugriff aus dem Internet); um eines von dir von Hand einzulegen: ```bash cp deincert.pem /etc/nas/tls/cert.pem && cp deinschluessel.pem /etc/nas/tls/key.pem chgrp nas /etc/nas/tls/key.pem && chmod 640 /etc/nas/tls/key.pem systemctl restart nas-backend ```
• Schutz der Anmeldung: 10 Versuche pro Minute und IP; 5 Fehlschläge hintereinander sperren das Konto für 5 Minuten. Alles landet im Audit-Protokoll.
• Dauer der Sitzung: Ab Werk meldet dich das Panel nach 30 Minuten ohne Nutzung von selbst ab, und das änderst du unter Systemsteuerung → Sicherheit → Passwortregeln → **Dauer der Sitzung** (von 5 bis 1440 Minuten). Es ist keine harte Frist: Jede Sache, die du machst, verlängert die Sitzung, beim Arbeiten wirst du also nie unterbrochen, und ab läuft nur ein Panel, das offen und vergessen liegen geblieben ist. Wer beim Anmelden „Angemeldet bleiben“ ankreuzt, behält weiterhin 30 Tage, und schon offene Sitzungen dauern so lange, wie ihnen gegeben wurde: Die neue Frist gilt ab der nächsten Anmeldung.
• Rollen: admin (alles) und viewer (nur lesen), verwaltet unter Sicherheit.
• Öffne nie den Port 5001 im Router: Er liefert das Panel mit einem selbst signierten Zertifikat aus und legt die API der Verwaltung ohne irgendetwas davor offen. Dieser Behelf ist nicht mehr nötig, denn es gibt zwei bessere Wege von außen herein, und das NAS bringt beide mit: das VPN —WireGuard oder Tailscale und NetBird— (das keinen Dienst im Internet veröffentlicht) oder den externen Zugriff mit Apache auf 80/443 und gültigem Zertifikat von Let's Encrypt. Die zwei folgenden Abschnitte.

Zugriff aus dem Internet

Systemsteuerung → Externer Zugriff: dynamische Domain (DDNS), Zertifikat von Let's Encrypt und Reverse Proxy, um das Panel und die Apps über Unterdomains zu veröffentlichen. Apache bleibt als einziger offener Dienst (80 und 443) und leitet an 127.0.0.1 weiter; der Port 5001 und die der Apps verlassen das NAS nicht. Mit einem gültigen Zertifikat lässt sich die Oberfläche außerdem als Anwendung installieren (PWA).

Das ganze Verfahren —Ports des Routers, DuckDNS Schritt für Schritt, Ausstellen und Erneuern des Zertifikats, Unterdomains und die Liste an Sicherheit, die vorher dran ist (2FA, Sicherheitsberater, IPs sperren)— steht in external-access.md. Die vorsichtigere Möglichkeit, wenn du nichts mit Fremden teilen musst: das VPN des NAS selbst (nächster Abschnitt), ohne irgendeinen Dienst offenzulegen.

Netzwerkdienste (VPN, DNS und DHCP)

Systemsteuerung → VPN, DNS und DHCP. Die drei Teile, die aus dem NAS die Mitte des Netzes zu Hause machen, nach Risiko geordnet:

• Das VPN ist der sicherste Weg, von außen ans NAS zu kommen: Es veröffentlicht keinen Dienst im Internet und gibt Zugriff auf das ganze lokale Netz, nicht nur auf das Panel.
• Tailscale und NetBird werden auf demselben Bildschirm installiert, auf ihren eigenen Reitern, und sind der Weg, wenn du keine Ports öffnen kannst (CGNAT). Was über sie hereinkommt, zählt in der Firewall als Zuhause.
• DNS und DHCP sind derselbe Dienst (dnsmasq), ihn anzuhalten hält also beide an: und genau das braucht man im Notfall (sudo systemctl stop dnsmasq).
• dnsmasq wird ausgeschaltet installiert und startet erst, wenn du DNS oder DHCP vom Panel aus einschaltest.

Ports des Routers, den Client des VPN Schritt für Schritt installieren, wie du die Geräte auf das DNS zeigen lässt und —das Wichtigste— wie du das Netz zurückbekommst, wenn DHCP dich ohne Verbindung lässt: network-services.md. Lies sie, bevor du DHCP einschaltest, und speichere sie auf dem Handy: Wenn du ohne Netz dastehst, kannst du sie nicht vom NAS aus nachlesen.

Eigene Apps im Katalog veröffentlichen

Jede App ist ein Verzeichnis /var/nas/appstore/templates/<id>/ mit:

• manifest.json — id, Name, Beschreibung, images (mit Fortschritt vorab heruntergeladen), web_port und env (Variablen, nach denen der Installer den Benutzer fragt; secret verbirgt sie).
• docker-compose.yml — es verbraucht diese Variablen plus NAS_APP_DATA (der Pfad der Daten, den das Backend einsetzt).

Zum Installieren braucht es einen Pool: Die Daten jeder App leben in <pool>/docker/<id>/ (Installationen von vor dieser Regel bleiben in /var/nas/apps/ und werden nicht verschoben). Dieser Ordner docker ist keine Freigabe —der Dateimanager und SMB/NFS zeigen ihn nicht— und sein Name ist beim Anlegen von Freigaben reserviert. Jeder Port, den die Anwendung veröffentlicht (und, wenn sie das Netz des NAS teilt, die in ihrem Rezept angegebenen), bekommt beim Installieren eine Firewall-Regel mit dem Namen der Anwendung, offen für das Heimnetz. Unter Sicherheit → Firewall lässt sie sich schließen oder für jede Herkunft öffnen; diese Wahl kommt bei einer Neuinstallation zurück, und die Regel verschwindet beim Deinstallieren.

Für ein entferntes Repository lieferst du über https eine index.json aus:

{
  "apps": [
    {
      "id": "jellyfin",
      "manifest_url": "https://repo.example.com/jellyfin/manifest.json",
      "compose_url": "https://repo.example.com/jellyfin/docker-compose.yml",
      "sha256_manifest": "<sha256>",
      "sha256_compose": "<sha256>"
    }
  ]
}

Flottenkonsole

Business-Edition. Die App Flotte zeigt alle LGM-OS des Unternehmens auf einen Blick: ob sie in Ordnung sind, ungelesene Hinweise, Festplatten und Volumes, Kapazität, letzte erfolgreiche Sicherung und Version, samt anstehender Aktualisierung. Sie spricht mit jedem NAS über sein gewohntes verschlüsseltes Panel (5001) und öffnet keinen neuen Port. Ein NAS, das nicht antwortet, erscheint mit seinem Grund und dem zuletzt Bekannten, ohne die anderen aufzuhalten.

Ein NAS hinzufügen. Öffne auf dem NAS, das du sehen willst, Flotte → Dieses NAS und erstelle einen Schlüssel: Nur ansehen (liest seine Übersicht und sonst nichts) oder Ansehen und aktualisieren (kann zusätzlich seine Aktualisierung starten). Klicke in der Konsole auf „NAS hinzufügen“, gib seine Adresse ein und füge den Schlüssel ein. Bevor er gesendet wird, zeigt die Konsole den Fingerabdruck des Zertifikats dieses NAS: Vergleiche ihn mit dem unter Flotte → Dieses NAS und hör auf, wenn er nicht gleich ist.

Ein Zertifikat, das sich ändert. Ab dann spricht die Konsole nur mit diesem NAS, wenn sein Zertifikat von derselben Stelle signiert ist: Die jährliche Erneuerung löst keinen Alarm aus, aber ein neu installiertes NAS (oder jemand, der sich als es ausgibt) erscheint als „Zertifikat geändert“ und bekommt den Schlüssel nicht. Nach einer Neuinstallation „Fingerabdruck erneut vergleichen“.

In der Gruppe aktualisieren. Setze bei den gewünschten NAS „In Aktualisierung einbeziehen“ und klicke auf „Ausgewählte aktualisieren“. Sie werden nacheinander in der Reihenfolge der Liste aktualisiert; schlägt eines fehl, wird dort angehalten und die übrigen bleiben, wie sie waren.

Die Schlüssel. Die Schlüssel der anderen NAS werden getrennt gespeichert, außerhalb der Konfigurationssicherung, und das Panel zeigt sie nie wieder an. Stellst du die Konfiguration auf einem anderen Gerät wieder her, füge jedes NAS erneut hinzu. Damit eine Konsole ein NAS nicht mehr sieht, ziehe ihren Schlüssel auf diesem NAS zurück (Flotte → Dieses NAS).