Discos, repuestos y réplicas

19 min · 10 apartados

Lo que se puede hacer con los discos más allá de crear un volumen: acelerarlo, tener uno de repuesto esperando, mandar una copia viva a otro NAS y prestar un disco por la red.

Disco de repuesto

Almacenamiento → la tarjeta del volumen → «Disco de repuesto». Solo ZFS.

Un volumen con redundancia aguanta que muera un disco, pero se queda sin protección hasta que alguien lo cambia. Si eso pasa un viernes por la noche, el fin de semana entero está a un disco de perderlo todo.

El repuesto es un disco enchufado, vacío y esperando. Cuando otro falla, ZFS lo mete en su sitio solo y el volumen vuelve a estar protegido sin que nadie tenga que estar delante.

• Al añadir el primero, el panel enciende autoreplace, que es lo que hace que el repuesto sirva de algo: sin esa propiedad, ZFS lo deja ahí quieto y el volumen degradado hasta que alguien entra al panel.
• No suma espacio. Está vacío a propósito.
• Al añadirlo, lo que tuviera dentro se pierde: pasa a ser de ZFS.
• Cuando entra, el NAS avisa. Es la mejor y la peor noticia a la vez: un disco ha muerto, pero tus datos ya están protegidos otra vez. Cambia el averiado para volver a tener repuesto.
• Un repuesto que ya ha entrado no se puede quitar: eso no quita un repuesto, quita media redundancia del volumen. Cambia primero el disco que falló y el repuesto se libera solo.

En Btrfs no existe: ahí un disco que falla se sustituye a mano desde esa misma pantalla.

Caché de lectura (SSD)

Almacenamiento → la tarjeta del volumen → «Caché de lectura». Solo ZFS.

Un SSD delante de discos grandes acelera las lecturas repetidas. No guarda datos: lo que hay dentro es una copia de lo que ya está en los discos, así que si el SSD muere no se pierde nada —solo se vuelve a leer del disco lento—.

No hay «añadir log de escritura» (SLOG) a propósito: solo acelera las escrituras síncronas —un NAS de casa escribe por SMB, que no lo es— y uno sin espejo que muera se lleva las escrituras pendientes. Un botón que casi nadie necesita y que puede costar datos no es una funcionalidad.

Réplica a otro NAS

Almacenamiento → Protección → Réplicas.

Una copia de seguridad te devuelve los archivos. Una réplica te devuelve el volumen: viaja el sistema de archivos entero con toda su historia de instantáneas, así que si este equipo se quema, el de la otra casa monta el volumen y sigue.

• Incremental de verdad: la primera vez viaja todo y de ahí en adelante solo lo que ha cambiado.
• Con horario o a mano.
• Prueba el destino antes de guardar. El fallo típico —la llave SSH sin autorizar en el otro equipo— no puede descubrirse a las tres de la mañana.
• La llave es la misma que la de las copias de seguridad: quien ya la autorizó no tiene que hacer nada.

Qué hace falta al otro lado

• Un equipo con ZFS (o Btrfs, según lo que uses aquí) y ssh.
• Que la llave pública de este NAS esté en ~/.ssh/authorized_keys del usuario que indiques. El panel la enseña para copiarla.
• Un destino ya creado: en ZFS, el dataset padre (tank2 para replicar en tank2/copia); en Btrfs, la carpeta.

Lo que conviene saber

• La primera réplica dura horas —viaja todo—, y no tiene límite de tiempo puesto a propósito. Las siguientes son minutos.
• El destino es una copia: lo que haya divergido allí se descarta en cada envío.
• Si alguien borra la réplica en el otro equipo, el NAS se da cuenta y manda el volumen entero otra vez en lugar de fallar para siempre.

El relevo: que el segundo NAS pueda ponerse en marcha

La réplica manda los snapshots del volumen a otro NAS, enteros y con su historia. Eso resuelve la mitad del problema. La otra mitad es la que decide si sirve de algo: el día que este equipo se muera, ¿qué hay que hacer para que la gente vuelva a ver sus archivos?

Hasta ahora la respuesta era una lista de pasos que solo sabía quien montó el NAS: entrar por SSH al segundo, quitarle el solo-lectura al volumen, montarlo, volver a crear las carpetas de la casa con los mismos nombres y cambiar el nombre del servidor. Eso no es un plan: es una lista de cosas que se hacen mal a las tres de la mañana.

Cómo funciona

El equipo de origen le deja escrito al de destino lo que tiene que hacer: un archivo pequeño, .lgm-relevo.json, dentro del propio volumen replicado, con su nombre, su nombre de servidor SMB y sus carpetas de la casa con quién entra en cada una —la lista de permisos, los equipos autorizados del NFS y el resto de sus ajustes—. Viaja por la misma conexión SSH que ya usa la réplica. Es un JSON legible a propósito: el día que haga falta, tiene que poder leerlo una persona con cat aunque el panel no arranque.

En el segundo NAS ese plan aparece en Almacenamiento → Protección → Réplicas como «Este equipo puede relevar a NAS-Casa», con un botón. Al pulsarlo:

1. el volumen replicado deja de ser de solo lectura;
2. se recrean sus carpetas de la casa con los mismos nombres y los mismos permisos —que es por donde la gente de la casa vuelve a encontrar sus archivos sin cambiar nada—. Las cuentas que no existan en el segundo equipo se dicen por su nombre: créalas con el mismo nombre y vuelve a darles acceso. Y si una carpeta tenía NFS pero el plan no traía su lista de equipos autorizados, se recrea con NFS apagado y se avisa: encenderlo sin lista la abriría a toda la red;
3. y, solo si lo marcas, este equipo pasa a anunciarse con el nombre de red del otro.

Una carpeta que ya exista aquí no se pisa: alguien pudo crearla antes con sus permisos.

El ensayo

Una vez por semana el equipo de origen comprueba —sin escribir nada— que el segundo podría relevar hoy: que se entra, que el volumen existe allí, que tiene snapshots y que el plan está en su sitio. Si algo que estaba listo deja de estarlo, avisa. Es la misma idea que el simulacro de restauración: probar, no prometer.

El ensayo además arregla lo que encuentra: si el plan no está —o si dice algo distinto de lo que diría hoy— lo vuelve a dejar. Eso es lo que mantiene el plan al día: una carpeta creada en mayo, o un permiso repartido la semana pasada, entra en el relevo en el ensayo siguiente sin que nadie tenga que acordarse.

Por qué no es automático

Con dos equipos y un solo enlace, «el otro no contesta» y «el cable está cortado» son indistinguibles desde aquí. Un relevo automático acabaría, antes o después, con los dos NAS escribiendo a la vez y dos versiones distintas de los mismos archivos. Eso se llama split brain y es peor que estar parado, porque no se puede deshacer: no hay forma de juntar dos historias que divergieron.

Así que hace falta una persona diciendo «sí, el primero está muerto». Para eso está el botón, y por eso pide confirmación.

Lo que el relevo no hace

• No toma la IP del otro equipo. Eso son otras piezas (VRRP, keepalived) y otra clase de red. Lo que sí puede tomar es el nombre de servidor SMB, que es por lo que la gente de la casa encuentra el NAS.
• Solo vale para réplicas ZFS. En Btrfs el destino recibe subvolúmenes, no un clon arrancable del volumen.
• No vuelve solo. Si el primer NAS resucita, volver a la situación anterior es un trabajo aparte: hay que decidir qué versión de los datos vale, y esa es una decisión de persona.

Venir de un Synology o un QNAP

Cambiar de NAS es fácil de decir y carísimo de hacer: son tres teras que copiar, veinte carpetas de la casa que volver a crear con los mismos nombres y una lista de usuarios que nadie tiene apuntada en ninguna parte. La mayoría de la gente no se cambia por eso, no por el precio del equipo.

El asistente de Panel de control → Traer los datos de tu NAS anterior hace la parte aburrida y exacta.

Qué hace

1. Mira qué hay en el otro equipo sin instalarle nada: se entra por SMB —que es lo que todos hablan— con la cuenta de administrador de ESE NAS. Solo se lee: durante la mudanza, el equipo viejo sigue siendo el que tiene los datos buenos, y nada de esta pantalla escribe ni borra en él.
2. Descubre los usuarios. Ni DSM ni QuTS enseñan su lista de cuentas por SMB, pero los dos guardan las carpetas personales bajo un recurso llamado homes, una por persona: esa lista de carpetas es la lista de usuarios, y es lo único que se puede saber desde fuera.
3. Copia carpeta a carpeta, creando aquí la carpeta de la casa con el mismo nombre. Si un nombre no vale en este NAS —«Mis Fotos» lleva un espacio—, se propone el que sí vale («Mis-Fotos») y se dice que se ha cambiado, en vez de negarse.

La copia se puede cortar y reanudar: lo que ya llegó no se vuelve a bajar. Y al terminar se cuentan los archivos a los dos lados, carpeta por carpeta, y se dice si falta algo.

Las credenciales del NAS viejo no se guardan

Viven solo mientras dura la mudanza, en un archivo que solo lee el ayudante del NAS, y se borran al terminar. Guardar la contraseña de administrador de otro equipo para una mudanza que dura un fin de semana es dejarla ahí para siempre. Tampoco aparecen en la línea de órdenes, porque durante las horas que dura la copia cualquiera que mirase la lista de procesos las vería.

Lo que NO se puede traer

Se dice antes de empezar, y no en un pie de página, porque una migración que promete de más deja a alguien creyendo que ya tiene lo que no tiene —y eso se descubre semanas después, cuando el NAS viejo ya se ha vendido—:

El orden que menos duele

1. Trae primero una carpeta pequeña y compruébala: abre tres archivos.
2. Crea los usuarios que te haya encontrado, con contraseña temporal, y avísales.
3. Trae el resto por la noche, que la red está libre.
4. No vendas el NAS viejo hasta que hayas restaurado algo de verdad desde este. Un mes de los dos encendidos cuesta poco y evita la única equivocación irreversible de la mudanza.

El cifrado y sus claves

Cifrar un volumen ya se podía al crearlo: ZFS lo hace de serie. Lo que faltaba es lo de después, que es donde el cifrado se convierte en un problema en vez de una protección.

En Almacenamiento → Protección → Salud y cifrado → Cifrado y claves hay tres cosas:

Cambiar la contraseña

Si se la aprendió alguien que ya no debería saberla —un técnico, un ex-socio, un compañero de piso—, hasta ahora la única salida era crear un volumen nuevo y copiar tres teras. Nadie hace eso, así que en la práctica la contraseña no se cambiaba nunca.

ZFS guarda una clave maestra y la envuelve con tu contraseña: cambiarla vuelve a envolver esa clave y no vuelve a cifrar ni un byte. Tarda lo mismo con un giga que con veinte teras, así que se puede hacer el día que hace falta.

Comprobar que te acuerdas

Con el volumen ya abierto no hay ninguna señal de si sabes la contraseña: solo hace falta al arrancar. Si te equivocaste al apuntarla, te enteras meses después, con el NAS parado.

El botón Comprobar lo dice en seco: no abre nada, no monta nada y no para nada. Compruébala de vez en cuando; es un momento y evita la única equivocación que no tiene arreglo.

La llave en un pendrive

Un corte de luz a las cuatro de la mañana deja el volumen cifrado cerrado, y con él no hay archivos, ni copias, ni cámaras grabando hasta que alguien llegue a casa y escriba la contraseña. Para mucha gente eso es motivo suficiente para no cifrar, que es el peor resultado posible.

Con la llave en un pendrive, el NAS abre el volumen solo mientras ese disco esté puesto. Lo que se guarda ahí es la misma contraseña, no otra: si pierdes el pendrive, la contraseña escrita a mano sigue valiendo.

Y lo que eso significa, dicho claro: quien se lleve el NAS con el pendrive puesto se lleva también la llave. Esto protege del robo de un disco —o de que un disco viejo acabe en el contenedor con tus fotos dentro—, no del robo del equipo entero. Si lo segundo es lo que te preocupa, deja la contraseña a mano y guarda el pendrive en otro sitio.

La hoja de rescate

El botón Hoja de rescate da un texto para imprimir con lo que hay que hacer si este panel no arranca: cómo importar el volumen y abrirlo desde cualquier Linux con ZFS.

No lleva la contraseña, y no es un olvido: el NAS no la guarda en ningún sitio, y por eso el cifrado sirve de algo. Una hoja que la llevara sería el eslabón que rompe todo lo demás. Si nadie recuerda la contraseña, los datos de ese volumen no se pueden recuperar: ni el fabricante, ni este panel, ni nadie.

Discos externos (USB)

Almacenamiento → Dispositivos → Discos externos.

El pendrive o el disco USB que enchufas un rato: para traer las fotos del portátil viejo, o para llevarte unos archivos a casa de alguien. No es un volumen del NAS y no hace falta que lo sea; aquí no se toca nada de lo que ya tienes montado.

Enchufa el disco y aparece solo en la lista, con su nombre, lo que ocupa y lo que lleva dentro. Tres botones:

• Abrir. El disco pasa a verse en Archivos como una carpeta más, con el nombre que tenga puesto, y se puede leer y escribir desde el navegador o desde el móvil. Solo lo ve quien administra el NAS: un pendrive con las fotos de la casa no se enseña entero a todas las cuentas.
• Expulsar. Vacía al disco lo que aún estuviera en memoria y lo cierra. **Hazlo siempre antes de tirar del cable**: lo que se copia puede tardar minutos en llegar de verdad al disco, y quien tira del cable antes se lleva un archivo a medias sin ningún aviso. Si algo del disco está en uso, el panel se niega y lo dice — no le hagas caso a la prisa.
• Formatear. Lo deja vacío en exFAT, que es lo único que leen y escriben Windows, macOS y Linux sin instalar nada. Se borra todo lo que tenga y no hay vuelta atrás; el panel lo pregunta con esas palabras y te deja ponerle nombre (hasta 11 letras).

Lo que conviene saber:

• Se leen los discos de Windows (NTFS), FAT32, exFAT y Linux (ext2/3/4). Un disco de Mac con APFS o un sistema de archivos raro sale en la lista, pero sin poder abrirse y diciendo por qué: formatéalo si lo quieres usar aquí.
• Un disco con varias particiones se abre por la primera que el NAS sabe leer, y el panel lo avisa. Si necesitas las demás, sácalas desde el equipo donde se hicieron.
• Un disco USB que sea parte de un volumen del NAS (una caja externa con un disco del conjunto) no sale aquí: para eso está la pantalla de volúmenes, y sacarlo del conjunto es otra cosa que avisa por su cuenta.
• Si quieres quedarte el disco dentro del NAS —que forme parte de un volumen, con sus instantáneas y su RAID— esto no es tu pantalla: eso es crear o ampliar un volumen.

Hacia dónde va cada disco

La pantalla de Salud dice lo que dice SMART: «bien» o «fallando». Ese veredicto llega tardísimo, y conviene saber por qué: el umbral de cada atributo lo pone el fabricante, y lo pone donde ya casi no hay margen. Un disco puede tener ochenta sectores reasignados, cientos de lecturas corregidas y seguir diciendo «bien», porque el umbral está en varios miles. Cuando por fin dice «fallando», normalmente ya se ha llevado algo por delante.

Lo que de verdad predice un fallo no es el número: es que el número suba.

Cada seis horas el NAS deja una foto de cuatro contadores por disco —sectores reasignados, sectores pendientes, sectores incorregibles y lecturas no corregidas— y compara. Si alguno ha subido, avisa aunque el valor absoluto sea ridículo, y dice el ritmo: «tres sectores en veinte días; a este ritmo llegaría a 100 en unos X días».

Los discos se siguen por su número de serie y no por /dev/sdX, que cambia de sitio al reiniciar: avisar del disco equivocado es peor que no avisar.

El cable no es el disco

Hay un quinto contador, los errores de transmisión (CRC), que sube por un cable SATA malo o mal puesto, no por el disco. Casi todo el mundo lo confunde, cambia un disco perfectamente sano y se deja el problema dentro del NAS.

Por eso se enseña aparte y con todas las letras: apaga el equipo, vuelve a enchufar ese cable por los dos extremos y, si sigue subiendo, cámbialo. Es un cable de tres euros.

Discos en red (iSCSI)

Almacenamiento → Dispositivos → Discos en red.

Un disco del NAS que otro equipo ve como si fuera suyo: lo formatea él con su propio sistema de archivos (NTFS, VMFS, ext4) y lo usa un solo equipo a la vez. Es lo que piden Windows Server, Proxmox y VMware.

No es una carpeta de la casa: el NAS presta bloques y no sabe qué hay dentro. Para compartir archivos entre varias personas, usa una carpeta de la casa.

• El disco es un archivo dentro del volumen (<volumen>/iscsi/<nombre>.img) y **ocupa lo que se use**, no el tamaño entero desde el primer día.
• Con contraseña (CHAP) o sin ella. Si la pones, tiene que medir **entre 12 y 16 caracteres**: es lo que acepta el iniciador de Windows, y decirlo aquí ahorra el «no se conecta y no dice por qué» del otro lado.
• Solo estos equipos. Puedes decir qué equipos pueden montarlo, uno por línea. Vacío, cualquiera que llegue al puerto. Es la segunda cerradura: la contraseña se puede contar, el nombre del equipo no viaja.
• Un disco que un equipo tiene montado no se puede quitar. No daría un error: corrompería lo que ese equipo tuviera a medio escribir. Por lo mismo, tampoco se le cambia la lista de equipos mientras está montado: desconéctalo primero desde el equipo que lo usa.
• El panel no guarda su propia lista: enseña la configuración que el sistema va a restaurar al arrancar, así que no puede decir una cosa mientras un servidor ve otra.

Dónde está el nombre de un equipo

Cada equipo se presenta con un nombre largo que empieza por iqn. (el «iniciador»). Es el que se pega en Solo estos equipos, y se copia del propio equipo:

Queda algo así: iqn.1991-05.com.microsoft:mi-pc. Se copia entero, tal cual, sin comillas.

Cómo se conecta un Windows

1. Iniciador iSCSI (viene en Windows) → pega la dirección que enseña el panel (<ip-del-nas>:3260) → Conexión rápida.
2. El disco aparece en Administración de discos como uno nuevo sin formatear.
3. Inicialízalo y formatéalo como cualquier disco.

Medir la velocidad de los discos

En Almacenamiento, «Medir velocidad» lee cada disco y escribe en cada volumen de uno en uno y guarda el resultado junto a cada uno («180 MB/s el 8 sept»). Un disco que mide menos de la mitad que la vez anterior sale marcado en ámbar: es la señal de que va a fallar antes de que falle. La prueba corta a los 60 segundos por disco y no se hace mientras haya un borrado o una sustitución de disco en marcha.