Guide d’administration de LGM-OS

63 min · 22 rubriques

Ce document est le manuel du quotidien : il couvre de bout en bout ce qu’on fait depuis le panneau. Quand un sujet demande plus de détails qu’il n’en tient ici, il a son propre guide :

Sommaire complet de la documentation : index.md.

Les dix premières minutes

Voici le chemin complet entre le moment où tu allumes le dispositif et celui où le NAS fait quelque chose d’utile. Il est pensé pour être suivi d’une traite, dans l’ordre, et chaque étape dit pourquoi elle compte —celles qu’on saute faute de les comprendre sont justement celles qui manquent le mauvais jour—.

1. Se connecter (1 min)

Ouvre https://<ip-del-nas>:5001. L’IP s’affiche sur la console du dispositif lui-même au démarrage.

Le certificat est auto-signé et le navigateur affiche un avertissement : c’est normal pour une machine de chez toi —accepte-le—. Si ça te gêne, tu pourras le remplacer plus tard par un vrai (voir Accès depuis internet).

L’assistant de premier accès te demande de créer l’administrateur : un nom en minuscules et un mot de passe d’au moins 8 caractères. Il n’y a ni utilisateur ni mot de passe d’usine, donc personne ne peut entrer avant toi.

2. Préparer les disques (2 min)

Stockage → Créer un volume. Il ne te propose que les disques utilisables : celui du système n’apparaît jamais, et un disque qui contient des données est signalé pour que tu ne le formates pas par erreur.

• Un seul disque : ça marche, mais ça ne protège de rien. Bien pour commencer.
• Deux ou plus : choisis miroir. Si l’un meurt, on ne perd rien et on le remplace depuis le panneau. C’est la différence entre une frayeur et une perte.
• Btrfs ou ZFS : Btrfs si tu ne sais pas lequel prendre (c’est celui qui demande le moins de mémoire) ; ZFS si tu vas mettre beaucoup de RAM et que tu veux le maximum d’intégrité.

À la fin, le NAS crée tout seul les dossiers du système (docker, vm) et trois dossiers de la maison : Galeria pour les photos, Musica pour les chansons et Peliculas pour la vidéothèque.

3. Un dossier et un compte par personne (3 min)

Panneau de configuration → Dossiers de la maison → « Créer ». Donne-lui un nom court et sans accents (il voyage vers Windows, le Mac et le téléphone).

Panneau de configuration → Utilisateurs et groupes → un compte par personne, pas un compte partagé. C’est ce qui permet de donner des droits d’accès différents, de voir qui s’est connecté et de couper l’accès à une seule personne sans changer le mot de passe de toute la maison.

Sur chaque dossier, l’interrupteur SMB le publie sur le réseau. Depuis Windows, il s’ouvre avec \\<ip-del-nas> ; depuis un Mac, avec Cmd+K → smb://<ip-del-nas>.

4. La sauvegarde (3 min)

C’est l’étape que personne ne fait et que tout le monde regrette. Un NAS en miroir protège contre la panne d’un disque ; il ne protège pas d’une suppression par erreur, d’un rançongiciel ni d’un incendie de la maison. Pour ça, il faut une sauvegarde AILLEURS.

Sauvegardes → « Nouvelle sauvegarde » → choisis quels dossiers et vers où (un disque USB, un autre dispositif par SSH ou ton cloud). Guide complet : Sauvegardes.

Et la seule chose qui n’est pas facultative : restaure un fichier quelconque pour vérifier que la sauvegarde sert. Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est un gros dossier.

5. Fermer la porte (1 min)

• Panneau de configuration → Sécurité → active la validation en deux étapes.
• Panneau de configuration → Pare-feu → active-le. Le panneau et SSH restent toujours autorisés, tu ne peux donc pas te retrouver enfermé dehors.
• Panneau de configuration → Alertes → configure l’e-mail ou le webhook et appuie sur « Envoyer un test ». Sans ça, le NAS n’a aucun moyen de te prévenir qu’un disque est en train de lâcher.

Et c’est tout

À partir de là, le reste s’ajoute quand on en a besoin : applications, caméras, accès depuis l’extérieur ou VPN. Le reste de ce guide est la référence, sujet par sujet.

Stockage

• Créer un volume : Stockage → « Créer un volume ». L’assistant ne propose que les disques éligibles (jamais le disque du système). ZFS pour une intégrité maximale (RAID-Z1/Z2), Btrfs pour la souplesse (RAID1/10). **Formater détruit les données des disques.**
• Datasets : des subdivisions avec leur propre quota et leur propre compression (Volumes → Dossiers du volume).
• Instantanés : l’onglet Instantanés pour les manuels ; Panneau de configuration → Tâches planifiées pour les automatiques avec rétention. La restauration ZFS utilise rollback (supprime les instantanés postérieurs) ; celle de Btrfs crée une copie inscriptible restaurado-<fecha> pour vérifier avant.
• Santé : l’onglet Santé affiche SMART et permet de lancer des scrubs. Programme un scrub mensuel avec une tâche. Un disque avec SMART « EN ÉCHEC » doit être remplacé tout de suite : dans « Disques des pools » de ce même onglet, on remplace le disque en panne par le nouveau (et on agrandit le pool avec des disques supplémentaires) sans passer par la console.

Sauvegardes

Les instantanés et le RAID vivent à l’intérieur du dispositif : ils ne protègent ni d’un incendie, ni d’un vol, ni d’un rançongiciel. C’est le rôle de l’app Sauvegardes, qui sort les données du NAS.

• Destinations : locale (un disque USB branché au NAS ou un autre pool) ou distante par rsync sur SSH (un autre NAS ou serveur : chez un proche, au bureau, un VPS). Le NAS génère sa propre clé SSH et il suffit d’autoriser la partie publique sur le dispositif de destination. Chaque destination est testée en y écrivant pour de vrai avant de lui confier quoi que ce soit. Le panneau indique aussi S3 comme non disponible, avec le motif : envoyer vers S3 exige de signer chaque requête depuis le processus privilégié, et ce processus n’exécute que les programmes de sa liste autorisée. C’est déclaré dans le contrat de l’API pour ne pas le casser le jour où ce sera implémenté, mais aujourd’hui l’API refuse une destination S3 au lieu de faire semblant que ça marche.
• Tâches : dossiers d’origine, destination, horaire et combien de versions (ou combien de jours) on conserve. Chaque sauvegarde est incrémentale : seul ce qui a changé voyage, et les versions précédentes restent complètes grâce à des liens physiques (rsync --link-dest), donc elles prennent peu de place. Elles s’exécutent avec leur progression comme les autres tâches longues et préviennent par les alertes si elles échouent (configure Panneau de configuration → Alertes : une sauvegarde qui échoue en silence n’est pas une sauvegarde). **Le chiffrement de la destination n’est pas encore disponible** et l’API le refuse explicitement : si la destination est un disque qui quitte la maison, chiffre-le toi-même sur le dispositif de destination (LUKS) ou range-le dans un endroit de confiance.
• Restauration depuis l’app elle-même : tu choisis la version et le dossier de destination. L’historique garde chaque exécution avec sa taille et son erreur exacte.

Quoi sauvegarder, à quelle fréquence, comment autoriser la clé pas à pas et —le plus important— comment vérifier que la sauvegarde sert en la restaurant pour de vrai : backups.md.

Partage de fichiers

Les dossiers se partagent depuis Dossiers de la maison, et les badges SMB, NFS et WebDAV de chacun se cliquent pour activer ou désactiver ce protocole sans ouvrir l’éditeur.

Le NAS apparaît tout seul sur le réseau. Avec SMB activé, pas besoin de connaître l’IP ni de configurer quoi que ce soit sur les dispositifs : il apparaît dans « Réseau » de Windows, dans la barre latérale du Finder de macOS et dans l’explorateur de fichiers de Linux. Partager et s’annoncer sont deux choses différentes, et c’est pour ça que le pare-feu ouvre cinq ports, pas deux :

Les trois derniers annoncent seulement que ce dispositif existe ; ils ne donnent accès à rien. Ils s’ouvrent et se ferment avec l’interrupteur SMB, donc le désactiver les retire tous.

Côté protocole : on négocie le plus élevé que les deux parties acceptent, et avec Windows 10/11, macOS et un Linux récent, c’est SMB 3.1.1 avec chiffrement. Le minimum est laissé à SMB2 exprès, pour ne pas exclure une télé ou un scanner qui ne parlent que cette version.

Qui voit quoi

Tout est refusé par défaut, et ça vaut pour toutes les portes. Un dossier de la maison sans liste de droits d’accès appartient aux administrateurs et à personne d’autre : il n’apparaît pas en se connectant à \NAS, ne s’ouvre pas, et on ne l’atteint pas non plus par NFS ni depuis la console. Pour que quelqu’un y entre, il faut le lui donner dans l’onglet Dossiers de sa fiche.

Les administrateurs entrent toujours dans tous, en plus de ce que dit chaque liste. C’est le deuxième tour de clé : si une vérification du panneau saute, il faut encore être administrateur. L’exception est un « aucun accès » posé exprès sur une personne précise, qui l’emporte sur tout le reste — même si cette personne est administratrice.

Mon disque. Chaque compte a son dossier privé, dans <volumen>/homes/<cuenta>/archivos. Il apparaît dans Fichiers et c’est aussi là qu’arrive son SFTP. C’est là qu’on range ses affaires sans monter de dossier de la maison, et il arrive avec ses dossiers Photos, Musique, Vidéos, Documents et Téléchargements déjà créés. Personne d’autre n’y entre — ni les autres comptes par le réseau, ni en tapant le chemin dans le panneau —, sauf dans ce que son propriétaire partage avec le bouton « Partager » (Utilisateurs et autorisations). Pas même qui administre, tant qu’il n’active pas « Voir le contenu de tous les comptes ».

Sur le réseau, il apparaît comme un dossier de la maison de plus. Dans Dossiers de la maison, il a sa ligne, au-dessus des autres, avec un interrupteur général et les badges SMB, NFS et WebDAV ; chaque personne entre dans le sien et seulement le sien par n’importe lequel d’entre eux, sans droits à distribuer :

• SMB, activé d’usine : en se connectant à \\NAS, sous home ou sous le nom du compte.
• NFS ne demande pas de mot de passe, donc il ne s’active qu’avec la liste des dispositifs qui peuvent le monter (leur IP ou leur réseau), et seuls ceux-là le montent.
• WebDAV le met à https://<NAS>:8081/~<cuenta> (ou sur le port qu’a WebDAV), pour les comptes qui ont « Accès web aux fichiers » dans leur fiche. C’est aussi le chemin par lequel LGM Connect l’ouvre depuis l’extérieur de la maison.

Désactivé, « Mon disque » ne sort par aucun des trois, mais les fichiers ne sont pas touchés et il reste visible dans Fichiers. Le SFTP est à part : il se donne dans la fiche de chaque compte et entre toujours dans son « Mon disque », quel que soit l’interrupteur.

Ce qui n’est pas à toi ne se voit pas. Ni dans le panneau ni dans la liste des dossiers de Windows : seuls les dossiers que ce compte peut ouvrir sont affichés, donc on ne lit même pas les noms. Un administrateur entre dans tous les dossiers de la maison, comme toujours ; le disque des autres, il ne le voit qu’avec « Voir le contenu de tous les comptes » activé, et seulement pour regarder.

Le Panneau de configuration, selon le rôle. Un compte normal y trouve trois choses : les informations du dispositif, son mot de passe et son second facteur, et la région et l’apparence. Le reste, ce sont des écrans d’administration qui ne lui sont pas proposés ; s’il arrive sur l’un d’eux par un lien direct, on le lui dit.

Une personne, un compte

Tout se gère dans Utilisateurs et groupes. Chaque personne a un mot de passe et quatre capacités qui se cochent dans sa fiche :

Décocher une capacité la retire pour de vrai (avant, on ne faisait que donner des droits, et décocher ne faisait rien). L’onglet Dossiers de sa fiche répartit l’accès dossier par dossier : aucun accès, lecture et écriture, ou lecture seule, et affiche en plus ce qu’elle hérite de ses groupes. En enregistrant sans taper de mot de passe, on conserve celui qu’elle avait déjà ; il n’en faut un nouveau que pour l’inscrire à un service qu’elle n’avait pas encore.

Dans la même fiche, « Compte enfant » (seulement pour qui se connecte au panneau, et seul un administrateur peut le cocher) : cette personne ne verra dans Films et séries que ce qui est classé tous publics jusqu’à 12 ans, et rien de ce qui n’a pas de classification. Le filtrage est fait par le NAS et non par l’écran, donc on ne le contourne pas en collant l’adresse d’un film. Voir « Films et séries ».

Le panneau ne laisse pas se retrouver sans administrateur : ni en se retirant soi-même l’accès, ni en rétrogradant ou en supprimant le dernier qui reste.

Rapport des fichiers

Édition Entreprise. Dans le « ⋯ » de chaque dossier de la maison, Rapport des fichiers montre le plus volumineux, ce que personne n’a touché depuis les mois que tu choisis et ce qu’occupe chaque personne. Il est fait par le même compteur qui affiche les tailles dans Fichiers, dossier par dossier et sans se presser, donc il ne ralentit pas le NAS ; dans un dossier énorme, ça peut prendre du temps, et tu peux fermer la fenêtre en attendant. Si le volume ne note pas quand un fichier est ouvert, « non touché » veut dire « non modifié », et le rapport le dit.

Un seul chemin pour toute l’entreprise

Édition Entreprise. Dans Services de fichiers → SMB, tu peux créer un dossier réseau —\\<NAS>\datos, avec le nom que tu choisis— qui réunit des dossiers de ce NAS et d’autres serveurs. Qui l’ouvre les voit tous ensemble et, en entrant dans l’un d’eux, son dispositif va sur le serveur où il se trouve, avec les autorisations habituelles.

• Les dossiers de ce NAS se choisissent dans la liste ; pour un autre serveur, on tape son nom (nas2 ou nas2.entreprise.local) et le dossier partagé.
• À l’ajout, le panneau vérifie que ce serveur répond ; sinon, rien n’est enregistré.
• Le retirer du chemin ne touche pas au dossier de destination.

NFS avec les comptes du domaine

Édition Entreprise. Par NFS, le NAS fait confiance au dispositif d’en face, donc la liste des dispositifs est la seule barrière. Avec le NAS joint à un domaine (Service d’annuaire), la fiche d’un dossier avec NFS permet de choisir Qui peut le monter : les dispositifs de la liste, comme d’habitude, ou chaque personne avec son compte du domaine (Kerberos), avec tout signé ou tout chiffré. Signé et chiffré sont un peu plus lents, et le dispositif doit être joint au même domaine. La première fois sur un dossier, le NAS vérifie qu’il a sa clé NFS dans le domaine ; sinon, rien n’est enregistré et il te dit quoi faire.

Rechercher des fichiers

• La recherche de Fichiers s’appuie sur un index des noms que le NAS tient à jour tout seul : un passage toutes les deux minutes qui ne regarde que les dossiers dont la date a changé, donc il ne relit pas tout le disque et ne se remarque pas. La recherche devient instantanée et surtout complète : le parcours en direct abandonnait à 60 000 entrées et répondait « il y en a plus que ce qui est affiché ».
• L’index vit dans l’état du système (/var/nas/state/indice.db), pas à côté de tes données, et ne garde que des chemins : qui peut voir quoi reste décidé par le dossier de la maison à chaque recherche. Il prend peu de place —environ 20 Mo pour 150 000 fichiers— et s’il est supprimé, il se reconstruit tout seul.
• La première fois, il met le temps qu’il faut pour lire l’arborescence —de quelques secondes à une nuit, selon le nombre de fichiers—, et pendant ce temps la recherche fonctionne comme avant, en parcourant.
• Ce que tu crées, envoies, déplaces ou supprimes depuis le panneau est noté sur-le-champ ; ce qui arrive par SMB ou NFS apparaît au passage suivant.
• Affiner la recherche ne demande pas d’appuyer de nouveau sur Entrée : une fois dans les résultats, changer le mot les refait tout seul. Seulement quand l’index est prêt ; sinon, on cherche toujours en appuyant sur Entrée, pour ne pas envoyer le NAS parcourir le disque à chaque touche.
• Chercher dans le contenu (la case de la recherche) s’appuie aussi sur l’index —il lui demande quels documents existent et dans quel ordre, du plus récent au plus ancien— mais les ouvre et les lit sur le moment, avec ses limites : indexer le texte de tout coûterait vraiment du disque et du processeur.

Les dossiers du système

Dans « Dossiers de la maison » apparaissent aussi ceux que crée le NAS lui-même : docker (les données des applications), vm (les disques des machines virtuelles), camaras (les enregistrements), Galeria (les photos et les vidéos), Musica (les chansons) et Peliculas (la vidéothèque). On peut les partager sur le réseau, leur donner une corbeille et des droits d’accès, mais on ne peut ni les renommer, ni les déplacer, ni les supprimer : les retirer laisserait les caméras, la Galerie, Musique et Films pointer vers un dossier qui n’existe plus. Ils portent l’étiquette SYSTÈME dans la liste, et ceux qui existaient déjà sur ton NAS la reçoivent à la mise à jour. Dans ton « Mon disque », tu peux créer des dossiers avec ces mêmes noms : là, ils ne réservent rien. Ils n’apparaissent que lorsque le volume est préparé —il a ses dossiers docker, vm et appstore—, ce qui jusqu’ici n’arrivait que pour les volumes créés depuis le panneau : un volume adopté ou venu d’une réinstallation restait sans eux. Le NAS le vérifie désormais toutes les dix minutes et les crée s’ils manquent.

Photos et vidéos (Galerie)

• Le NAS crée un dossier de la maison « Galeria » la première fois qu’il y a un volume : c’est l’endroit évident où déposer les photos (il se voit dans Fichiers, se partage sur le réseau et le téléphone peut y copier sa pellicule), et la Galerie l’indexe toujours. C’est un dossier du système, donc il ne se renomme ni ne se supprime depuis le panneau. Sans accent, parce que le nom d’un dossier de la maison voyage vers SMB, vers NFS et dans un chemin du disque.
• La Galerie ne copie ni ne déplace rien : elle lit les photos et les vidéos qui sont déjà dans tes dossiers de la maison et les classe sur une frise chronologique par mois.
• Elle se met à jour toute seule, toutes les demi-heures. Ce qui arrive par SMB —la copie de la pellicule du téléphone, qui est la façon dont arrivent presque toutes— apparaît sans que personne n’appuie sur rien ; « Indexer maintenant » reste là quand tu ne veux pas attendre. Si tu ne choisis pas de dossiers, elle indexe « Galeria » et les dossiers de la maison dont le nom évoque des photos ou des vidéos (Fotos, Photos, Imágenes, DCIM, Vídeos) ; depuis l’app elle-même, on peut les choisir à la main. N’y entrent ni le dossier des caméras de surveillance ni une vidéothèque de films : ce ne sont pas des souvenirs.
• L’index est une base SQLite à part et se remplit en arrière-plan : le premier passage d’un gros dossier prend du temps, et l’app indique qu’elle analyse pendant ce temps. Arrêter de partager un dossier le retire de l’index au passage suivant.
• Les albums sont des listes, pas des dossiers : une photo peut être dans plusieurs, et créer, renommer ou supprimer un album ne touche aucun fichier du disque. En télécharger un donne un zip.
• Les vidéos sont servies par plages, donc on peut sauter à une minute précise sans télécharger tout le fichier, et leur miniature est une image prise à la seconde 1.
• Formats acceptés : JPEG (y compris .jfif), PNG, WebP, AVIF, GIF, BMP, TIFF, HEIC/HEIF (iPhone) et RAW d’appareil photo —.cr2, .cr3, .nef, .nrw, .arw, .sr2, .rw2, .orf, .raf, .pef, .srw, .rwl, .3fr, .erf— y compris le ProRAW de l’iPhone, qui est un .dng. En vidéo : .mp4, .mov, .m4v, .mkv, .webm, .avi, .3gp, .mts et .m2ts.
• Le RAW n’est pas développé (ça demande un processeur d’image complet et des secondes par photo) : on affiche l’aperçu que le dispositif a laissé dans le fichier, qui est un JPEG presque en pleine taille, et c’est ce que font toutes les galeries. C’est exiftool qui l’extrait ; les HEIC sont ouverts par heif-convert. LGM-OS les installe ; s’ils manquent, ces photos sont indexées quand même mais restent sans miniature, et le panneau le dit.
• Live Photos : l’iPhone enregistre chacune sous forme de deux fichiers (IMG_0042.HEIC et IMG_0042.MOV). La Galerie les reconnaît par le nom et affiche un seul élément, avec l’étiquette « Live » et un bouton dans la visionneuse pour voir le mouvement. Avant, les deux apparaissaient, et récupérer un dossier du téléphone doublait la grille.
• Supprimer depuis la Galerie envoie à la corbeille du NAS : on récupère depuis Fichiers.
• La recherche de doublons regroupe par taille et par début de fichier, et ne laisse jamais supprimer la dernière copie restante d’une photo.

Musique

• Le NAS crée un dossier de la maison « Musica » la première fois qu’il y a un volume : c’est l’endroit évident où déposer les chansons —il se voit dans Fichiers et se partage sur le réseau, donc la discothèque se glisse depuis l’ordinateur—, et Musique le regarde toujours. C’est un dossier du système : il ne se renomme ni ne se supprime depuis le panneau. Sans accent, parce que le nom d’un dossier de la maison voyage vers SMB, vers NFS et dans un chemin du disque.
• Elle ne copie ni ne déplace rien : elle lit les fichiers audio qui sont déjà dans tes dossiers de la maison et les classe par artiste, par album et par dossier. L’index est une base SQLite à part ; le supprimer ne touche aucune chanson, et la prochaine analyse le refait.
• Elle se met à jour toute seule. Elle regarde si quelque chose a changé toutes les dix minutes et fait un passage complet toutes les heures ; « Chercher de la musique » reste là quand tu ne veux pas attendre.
• Si tu ne choisis pas de dossiers, elle regarde dans tous les dossiers de la maison. La musique d’une maison est dans « Musique », dans « Disques », dans « CD » et dans le dossier de chacun, donc deviner par le nom laisserait l’app vide sans dire pourquoi ; filtrer par extension ne coûte rien. Depuis l’écran lui-même, on peut restreindre (c’est l’administrateur qui décide : ça vaut pour toute la maison).
• Formats : .mp3, .flac, .m4a, .aac, .ogg, .opus et .wav.
• Les titres apparaissent avant les données. À l’indexation, le nom du fichier sert de titre et celui du dossier d’album, donc on peut écouter dès le premier instant ; l’artiste, l’année, la piste et la durée sont lus ensuite, par lots et en arrière-plan. Sur un dispositif sans ffmpeg, on en reste là et l’écran le dit en une ligne.
• Pochettes : le cover.jpg (ou folder.jpg, ou front.jpg) du dossier de l’album. S’il n’y en a pas, on extrait celle qui est dans le fichier lui-même, en la copiant sans la réencoder. Un album sans aucune des deux est dessiné avec son initiale : ce n’est pas une erreur.
• Compléter depuis internet (désactivé d’usine, c’est l’administrateur qui l’active). Le NAS envoie les noms de tes artistes, albums et chansons à sept catalogues libres et sans clé —MusicBrainz, Cover Art Archive, Deezer, iTunes, TheAudioDB, Wikipedia et LRCLIB— et récupère pochette, date de sortie, genres, nom correct de l’artiste, sa photo, sa biographie et les paroles des chansons. **Aucun fichier ni aucune donnée à toi n’est envoyé, et aucune chanson n’est touchée.** Ce qui vient de la maison l’emporte toujours : l’année de tes étiquettes passe avant celle du catalogue, et le cover.jpg et la pochette intégrée passent avant celle d’internet. Ça se complète petit à petit en arrière-plan —les catalogues acceptent peu de requêtes par seconde et le NAS le respecte— ; « Compléter maintenant » fait un long lot sans attendre.
• Corriger à la main (avec « Compléter depuis internet » activé, et seulement pour l’administrateur). L’appariement automatique préfère laisser un album sans pochette plutôt que de lui mettre celle d’un autre, donc avec un dossier nommé « Disque 1 », il ne reconnaît rien. Le bouton Corriger de l’en-tête d’un album, de celui d’un artiste et du menu de chaque chanson cherche ce nom dans le catalogue et affiche les candidats avec leur pochette : en choisir un applique sa fiche, et **l’artiste de l’album est attribué à toutes ses chansons qui n’en ont aucun** —c’est ce qui enlève le « Sans artiste » de la moitié d’une discothèque rippée—. Ce qui est choisi à la main n’est plus réapparié tout seul, et sur une chanson, on peut annuler pour revenir à ce que disait son fichier.
• Reconnaître les chansons sans étiquettes (désactivé d’usine, c’est l’administrateur qui l’active). Les chansons arrivées sous la forme Track01.mp3 —d’un CD rippé sans rien consulter— sont identifiées par leur son : le NAS calcule une empreinte acoustique des deux premières minutes, la soumet au catalogue libre AcoustID et leur donne **titre, artiste et album. Aucun fichier n’est envoyé, seulement cette empreinte, et aucune chanson n’est touchée** : ce qui est reconnu est écrit dans la bibliothèque. Sur la ligne de chaque chanson, un bouton permet de la reconnaître sur-le-champ et, pour celles déjà reconnues, de les ramener à ce que disait leur fichier. On ne regarde que ce qui semble sans étiquette (sans artiste, ou avec des titres comme « Piste 3 » ou « AudioTrack 07 ») ; ce qui est déjà correct n’est pas touché. Ce qui est reconnu entre ensuite dans « Compléter depuis internet » comme n’importe quelle autre chanson, et reçoit ainsi pochette et date.
• Il faut une clé gratuite : inscris-toi sur acoustid.org/new-application et colle-la dans les réglages de Musique. Sans clé, la fonction s’explique et ne s’active pas ; la clé est vérifiée auprès d’AcoustID avant d’être enregistrée et ne voyage pas dans la sauvegarde.
• Paroles : elles sont demandées à l’ouverture d’une chanson, pas à l’indexation, et sont conservées. Si les paroles sont synchronisées, la ligne en cours est mise en évidence et toucher une ligne saute à ce moment. Un fichier .lrc ou .txt du même nom à côté de la chanson l’emporte sur internet et fonctionne même si « Compléter depuis internet » est désactivé.
• La musique est servie par plages, donc on peut sauter à une minute précise sans télécharger toute la chanson. Elle continue de jouer quand on change d’onglet et avec la fenêtre réduite.
• Les listes de lecture et les favoris sont à chacun : personne d’autre ne les voit, et supprimer une liste ne touche aucun fichier du disque.
• La frontière est celle de toujours : **ce que tu ne peux pas ouvrir dans Fichiers n’apparaît pas ici**, ni son nom ni sa pochette.

Radio

• Des milliers de radios internet, dans l’onglet « Radio ». Elles viennent du catalogue libre radio-browser.info : pas de compte à créer ni de clé à coller.
• On cherche par nom, par pays (le tien est présélectionné) et par thème. Sans rien chercher, on voit les plus écoutées de ton pays.
• Le son passe par le NAS, pas par ton navigateur. C’est ce qui permet de faire jouer aussi les radios qui diffusent encore sans chiffrement —un navigateur les bloque dans une page sécurisée, sans rien dire— et, au passage, la radio ne voit qu’une seule connexion au lieu de celle de chaque téléphone et de chaque ordinateur de la maison.
• On vérifie que la radio joue avant de la lancer. Un catalogue ouvert contient des radios éteintes depuis des années : c’est pourquoi appuyer prend une seconde de plus et, quand quelque chose ne va pas, on dit ce qui se passe (« la lecture n’a pas commencé en 10 secondes ») au lieu de laisser le lecteur muet.
• Tes radios sont à toi : les enregistrées et les dernières écoutées, personne d’autre ne les voit, pas même l’administrateur. Elles voyagent dans la sauvegarde de la configuration.
• Elle joue dans le lecteur habituel : elle continue quand on change d’onglet et se pilote avec les touches multimédia du clavier et depuis l’écran de verrouillage du téléphone.

Podcasts

• Abonne-toi par son nom ou en collant l’adresse de son flux RSS, dans la même case. Les noms sont cherchés dans le catalogue public d’iTunes ; à partir de là, le NAS parle directement avec celui qui publie le podcast.
• Chacun suit les siens. Personne ne voit à quoi tu t’abonnes ni où tu en es, pas même l’administrateur. L’émission est téléchargée UNE fois, même si trois personnes de la maison la suivent.
• Elle s’actualise toute seule toutes les six heures, et « Actualiser » le fait sur-le-champ. Si une émission ne répond plus, sa fiche le dit et ses épisodes restent là.
• Préviens-moi des nouveaux épisodes : un interrupteur par personne. Une alerte arrive par émission et par passage, jamais une par épisode.
• On se souvient d’où tu en étais dans chaque épisode, comme dans Films et séries, et on peut le marquer comme écouté à la main. Ici aussi l’audio passe par le NAS, et sauter à une minute précise fonctionne toujours.
• Ce qui est téléchargé, c’est la liste des épisodes, pas l’audio : **les épisodes ne prennent pas de place sur le NAS**.

Films et séries

• Le NAS crée un dossier de la maison « Peliculas » la première fois qu’il y a un volume : c’est l’endroit évident où déposer les films et les séries —il se voit dans Fichiers et se partage sur le réseau, donc on les glisse depuis l’ordinateur—, et l’application le regarde toujours. C’est un dossier du système : il ne se renomme ni ne se supprime depuis le panneau. Sans accent ni espaces, parce que le nom d’un dossier de la maison voyage vers SMB, vers NFS et dans un chemin du disque.
• Elle ne copie ni ne déplace rien : elle lit les vidéos qui sont déjà dans tes dossiers de la maison et les classe en films et en séries. L’index est une base SQLite à part ; le supprimer ne touche aucun fichier.
• Choisis les dossiers (c’est l’administrateur qui décide : ça vaut pour toute la maison). Si tu n’en choisis aucun, elle regarde dans « Peliculas » et dans les dossiers de la maison dont le nom évoque une vidéothèque (« Series », « Cine »). Les enregistrements des caméras n’y entrent jamais.
• Le nom du fichier, c’est la fiche. De « Origen (2010).mkv », elle tire le titre et l’année ; de « Serie.S01E02.mkv » ou « Serie - 1x02.mkv », la série, la saison et l’épisode, et elle les regroupe. D’usine, rien n’est consulté à l’extérieur, donc ce qu’on voit, c’est ce qu’il y a dans le fichier : un nom bien écrit fait toute la différence.
• Compléter depuis internet (Réglages, et c’est l’administrateur qui décide). Désactivé d’usine, et désactivé, le NAS ne raconte à personne quels films tu as. Activé, il envoie le titre et l’année de chaque film et de chaque série à Wikidata, à Wikipedia et à TVmaze, et récupère pochette, synopsis, genres, date de sortie et les titres des épisodes. Rien d’autre ne sort : ni chemins, ni noms de fichiers, ni qui regarde quoi.
• Deux clés facultatives et gratuites. Avec celle de themoviedb.org (la « API Key (v3) » ou le jeton v4 conviennent), les pochettes sont meilleures et on reçoit en plus la bande-annonce, la distribution et la saga ; avec celle d’omdbapi.com, la note IMDb. Sans aucune, ça marche pareil, avec ce que fournissent Wikipedia et TVmaze. Chaque clé est testée à l’enregistrement : si le catalogue ne la reconnaît pas, elle n’est pas enregistrée et on dit pourquoi. Les clés ne sortent jamais du NAS et ne voyagent pas dans la sauvegarde de la configuration.
• Ce qui vient de la maison l’emporte. S’il y a à côté du film un .nfo (celui que laissent Kodi, Jellyfin et les organisateurs de vidéothèque), c’est de là que viennent le titre et le synopsis ; et si le nom du fichier ou du dossier contient un identifiant IMDb (tt1375666), la fiche est demandée exactement au lieu d’être cherchée par titre.
• Ça se complète tout seul, petit à petit, après chaque recherche de films ; « Compléter maintenant » fait un long lot sans attendre. Ce qu’aucun catalogue ne reconnaît reste tel quel et n’est plus redemandé ; ce qui a échoué à cause du réseau est réessayé quelques heures plus tard.
• « Corriger », dans la fiche, apparie à la main : il cherche par titre et année et affiche les fiches candidates avec leur pochette pour choisir la bonne.
• La bande-annonce s’ouvre à l’extérieur, dans un nouvel onglet : aucun lecteur tiers n’est intégré dans le panneau.
• « Tu pourrais aimer » et « Pour toi ». Dans la fiche d’un film ou d’une série apparaît une rangée de jusqu’à huit titres semblables, et sur l’accueil une autre à partir de ce que tu as regardé en dernier (personne ne voit celle d’un autre). **On ne recommande que ce qui EST sur le NAS** et dans tes dossiers : il n’y a rien à aller chercher ailleurs. Avec une clé themoviedb.org, on utilise ses recommandations et on les croise avec ta vidéothèque ; sans clé, on compare par saga, genres et décennie, ce qu’apporte « Compléter depuis internet ». Avec cette fonction désactivée, il n’y a rien à comparer et les rangées n’apparaissent pas. Le résultat est conservé une semaine ; corriger une fiche à la main le refait.
• Prévenir des nouveaux épisodes (Réglages, sous « Compléter depuis internet » et à l’intérieur : si celui-ci est désactivé, ceci ne demande rien). Une fois par jour, on demande au catalogue, pour chaque série du NAS, quel a été son dernier épisode diffusé ; s’il n’est pas ici, une alerte du panneau arrive avec la saison, le numéro, le titre et la date de diffusion. Chaque épisode n’est signalé qu’une fois, même s’il manque toujours. Avec une clé themoviedb.org, on demande là-bas ; sans aucune, à TVmaze. Une série appariée avec Wikidata ou avec OMDb ne donne pas cette alerte : ces catalogues ne listent pas les épisodes avec leur date.
• Pochettes : l’image posée à côté passe toujours en premier (Origen (2010).jpg, poster.jpg, folder.jpg) ; ensuite, celle téléchargée depuis le catalogue ; et s’il n’y en a aucune, le NAS extrait une image à 10 % du film. Un film sans aucune des trois est dessiné avec son initiale : ce n’est pas une erreur.
• Elle se met à jour toute seule. Elle regarde si quelque chose a changé toutes les dix minutes et fait un passage complet toutes les heures ; « Chercher des films » reste là quand tu ne veux pas attendre.
• La lecture se fait dans le panneau. Ce que le navigateur ouvre tel quel est servi par plages (avec ses propres sauts) ; ce qu’il n’ouvre pas —un film avec un son Dolby Digital, un MKV sur un iPhone— est converti à la volée par le NAS, en copiant la vidéo quand il suffit de changer le son. L’écran dit quand il convertit et pourquoi.
• Qualité : à côté des sous-titres, pendant que tu regardes quelque chose. « Originale » est la valeur normale ; 1080p, 720p et 480p demandent au NAS de réduire l’image, ce qu’il faut quand tu regardes hors de la maison ou sur un téléphone et que ça saccade. Seules apparaissent les qualités inférieures à celle du film. On la change sans perdre la minute en cours, et elle reste choisie sur ce dispositif pour les suivants.
• Sous-titres : les .srt ou .vtt posés à côté du fichier, avec la langue dans le nom s’il y en a une (Origen (2010).en.srt). Ils sont convertis à la volée dans ce que comprend le navigateur.
• Les récupérer sur internet. Dans la fiche de n’importe quel film, il y a un bouton « Chercher des sous-titres » : il affiche ce que le catalogue propose pour ce titre dans la langue du panneau et télécharge celui que tu choisis. Le fichier est déposé **à côté du film** (Origen (2010).es.srt), donc à partir de là toute la maison l’a ; si on ne peut pas écrire dans ce dossier, il reste sur le NAS et s’affiche pareil.
• Ceux marqués « Pour ce fichier » sont synchronisés avec ta copie exacte : le catalogue les a appariés par une empreinte du fichier, pas par le titre. Les autres peuvent être en avance ou en retard par rapport à ton montage.
• « Sous-titres automatiques » (Réglages, sous « Compléter depuis internet » et désactivé d’usine) : quand il est activé, en ouvrant un film qui n’a pas de sous-titres dans ta langue, le NAS les cherche une fois et les met en place. Ce qu’il ne trouve pas n’est plus redemandé tout seul ; le bouton de recherche manuelle, lui, réessaie chaque fois que tu appuies dessus.
• Ce qui sort de la maison, c’est le titre, l’année et cette empreinte du fichier ; jamais son chemin ni qui le regarde. La source est opensubtitles.org, et ça fonctionne sans s’inscrire nulle part.
• Compte opensubtitles.com, facultatif. Sans lui, on cherche et on télécharge pareil, avec le quota quotidien partagé par tout le monde ; avec un compte gratuit à toi (clé, utilisateur et mot de passe), le quota est le tien. Il est testé à l’enregistrement : s’il n’est pas reconnu, il n’est pas enregistré et on dit pourquoi. Il ne sort jamais du NAS et ne voyage pas dans la sauvegarde de la configuration.
• Reprends là où tu t’es arrêté. Chaque compte garde sa propre minute et personne ne voit celle des autres ; à 95 %, le film est considéré comme terminé et sort de « Continuer à regarder ». Dans une série, on propose l’épisode suivant.
• « Reprendre la lecture » aussi sur le bureau. Avec le bouton « + » du panneau des widgets (en haut à droite), on active le widget « Reprendre la lecture » : jusqu’à six films ou épisodes en cours avec leur pochette et où ils en sont, et un clic ouvre l’application sur ce film. Il n’est proposé qu’à ceux qui ont Films et séries.
• Comptes enfants. En cochant « Compte enfant » dans la fiche d’une personne (Panneau de configuration → Utilisateurs et groupes), ce compte ne voit ici que ce qui est classé tous publics jusqu’à 12 ans : le catalogue, les séries, la recherche, « Reprendre la lecture » et le lecteur. Le filtrage est fait par le NAS, pas par l’écran, donc coller l’adresse d’un film non adapté ne l’ouvre pas non plus. **Ce qui n’a pas de classification n’apparaît pas non plus**, alors active « Compléter depuis internet » —c’est de là qu’elle vient— sinon sa vidéothèque restera presque vide. L’application le dit en une ligne, pour qu’elle n’ait pas l’air en panne.
• La frontière est celle de toujours : **ce que tu ne peux pas ouvrir dans Fichiers n’apparaît pas ici**, ni son nom ni sa pochette.

Applications (Docker)

• Centre de paquets : il installe les recettes maison (/var/nas/appstore/templates/), qui arrivent avec chaque version du NAS : 1058 applications d’autres développeurs, sélectionnées et testées par nous, chacune avec sa version figée. Aucun catalogue tiers n’est téléchargé.
• Recherche, puces de catégorie avec compteurs et filtre « Installées » pour se déplacer dans le catalogue.
• Le bouton « ⟳ » d’une app installée télécharge la nouvelle image et recrée les conteneurs.
• L’app Docker affiche les journaux en direct, le processeur et la RAM, et pilote chaque conteneur. Un conteneur créé à la main (depuis le terminal, par exemple) qui publie un port TCP a son bouton « Ouvrir » et apparaît dans le Launchpad comme une application de plus.

Mettre à jour LGM-OS sans réinstaller

Depuis le panneau : Panneau de configuration → Mettre à jour LGM-OS → « Mettre à jour maintenant ». Rien de plus. Pas besoin de repasser l’ISO à chaque version, ni d’avoir accès au code, ni de configurer un dépôt : le NAS demande au serveur de l’éditeur quelle est la dernière version, la télécharge et l’installe.

Ce qui se passe à l’intérieur, au cas où il faudrait y regarder un jour :

1. Le NAS demande la dernière version publiée et la compare à la sienne. Il compare des nombres, pas du texte : la 1.10.0 est postérieure à la 1.9.0.
2. Il télécharge le paquet et vérifie son SHA-256 par rapport à celui annoncé par le serveur. S’il ne correspond pas, il n’installe rien et le dit avec ces mots : ce qui est arrivé n’est pas ce que le serveur avait annoncé, ce qui est très différent de « le téléchargement a échoué ».
3. Il applique la mise à jour avec la même procédure que d’habitude : il compile, valide et seulement ensuite promeut. Si le panneau ne répond pas après, il revient tout seul à la version précédente.

Depuis la console : sudo lgm update.

Options

• Automatique : « Rechercher les mises à jour automatiquement » prévient dans Notifications quand une nouvelle version est disponible ; « Les installer sans demander » les applique toutes seules toutes les 6/12/24 heures ou tous les 7 jours, et seulement dans la plage horaire que tu choisis (d’usine, de 03:00 à 06:00) : la mise à jour redémarre les services et les enregistreurs des caméras, et en pleine nuit elle ne gêne personne. En dehors de la plage, l’alerte arrive quand même.
• Depuis ton propre code (seulement si tu as cloné le dépôt) : si le dispositif a un checkout git avec un dépôt distant, le panneau l’utilise à la place du serveur de versions. C’est le chemin des développeurs ; pour un NAS installé depuis l’ISO, rien de tout ça n’est nécessaire.

Ce que le NAS raconte au site web

Toutes les douze heures, le NAS demande au serveur de versions si sa licence —ou son essai— est toujours valable, et dans le même appel il lui indique comment il s’appelle, quelle version il a, combien d’espace il lui reste et s’il a des alertes en attente : c’est ce que tu vois dans la fiche de ton NAS dans ton compte sur le site. Voyagent aussi l’empreinte du certificat du panneau et ses adresses sur ton réseau domestique, ce qui permet à l’app LGM Connect de trouver le NAS sans passer par internet.

Avec ce même signal voyagent les données techniques du dispositif, pour pouvoir t’aider si quelque chose ne va pas : fabricant et modèle de la carte mère, processeur, mémoire, les disques (modèle, taille, type et état de santé), la façon dont les volumes sont montés, le type de cartes réseau et graphique, et combien d’apps, de machines virtuelles et de caméras il y a. Sans numéros de série, sans adresses réseau et sans rien à toi dedans (ni noms de fichiers, ni comptes). Elles se désactivent dans Panneau de configuration → Licence → Données techniques et assistance, et Voir ce qui est envoyé —dans « Quelque chose ne va pas ? »— montre exactement ce qui sort. Les nouvelles versions arrivent par vagues : chaque dispositif a son tour un jour différent des premiers, et « Installer quand même » l’installe avant son tour.

Pendant la mise à jour

Tu verras une barre avec la phase et un pourcentage approximatif —sauvegarde, paquets du système, préparation de l’interface, backend, redémarrage des services—. L’étape longue est l’installation des paquets du système : elle peut durer plusieurs minutes sans donner signe de vie, et c’est normal. L’interface arrive déjà prête et se met en place en quelques secondes. Le panneau redémarre en cours de route : la barre le dit et continue de compter dès qu’il revient.

À la fin, le programme de mise à jour vérifie que tout ce qui était allumé l’est toujours (Docker, Samba, libvirt, NFS…) et, si quelque chose est resté arrêté, il le démarre et le cite par son nom. Même si la mise à jour échoue : une version qui abandonne en cours de route ne peut pas te laisser sans conteneurs ni sans dossiers de la maison.

Si ça échoue

L’alerte rouge contient les dernières lignes du journal —c’est là qu’est l’erreur— et un volet dépliant avec le journal complet. Depuis la console :

sudo tail -n 40 /var/log/lgm-update.log

Comme la mise à jour revient en arrière toute seule, le NAS continue de fonctionner avec la version précédente : rien ne presse pour réparer. La cause habituelle est un manque d’espace sur le disque du système, et le panneau le dit avec ces mots.

Vérification des services

Panneau de configuration → Vérification du système passe en revue un par un le panneau, le stockage, SMB, NFS, WebDAV, SSH, Docker, les sauvegardes et les caméras. Il ne regarde pas ce que le panneau a enregistré comme devant se passer : il regarde le système —si l’unité systemd est vivante, si quelque chose écoute sur le port, si le pare-feu laisse passer, si la configuration correspond à ce qui a été demandé— et chaque problème est accompagné de ce qu’il faut faire.

C’est la première chose à ouvrir quand quelque chose « ne marche pas » depuis un autre dispositif : il dit si la panne est dans le NAS ou en dehors, et c’est la moitié du travail.

Moniteur de ressources

Ce que le NAS a fait pendant que tu ne regardais pas. L’app Moniteur enregistre l’utilisation du processeur, de la mémoire, du disque et du réseau et la dessine en quatre graphiques, avec la période au choix : dernière heure, jour, semaine ou mois.

Il sert à répondre aux trois questions auxquelles un chiffre instantané ne répond pas :

• « C’est lent… depuis quand ? » — une marche dans le graphique du processeur ou de la mémoire donne le jour et presque l’heure où ça a commencé, ce qui coïncide souvent avec une application installée ou une nouvelle sauvegarde.
• « Il manque de mémoire ? » — un plafond plat à 100 % pendant des heures, c’est ça ; des pics ponctuels pendant une copie de fichiers sont normaux.
• « J’exploite bien le réseau ? » — le graphique réseau pendant une grosse copie dit si le goulot d’étranglement est le disque ou le câble.

L’historique est écrit par le NAS lui-même toutes les quelques minutes et prend très peu de place : rien à activer, il tourne déjà. En réinstallant ou en détruisant le volume, on repart de zéro, parce que c’est de l’historique, pas des données.

Le bureau

Tout le panneau vit sur un bureau avec des fenêtres, pareil dans le navigateur et dans LGM Connect.

Bureaux virtuels et centre de contrôle

• Il y a trois bureaux, chacun avec ses fenêtres. On change avec Ctrl+Alt+← / →, en glissant deux doigts de côté sur le fond ou depuis les bureaux de la zone de notification du dock. Pour emmener une fenêtre sur un autre, clic droit sur sa barre de titre → « Déplacer vers un autre bureau ». Au rechargement, chaque fenêtre retrouve son bureau.
• Ctrl+Espace ouvre le Centre de contrôle : toutes les apps et tous les réglages que ton compte peut ouvrir, rangés, et les réglages de cet appareil, avec le grand texte sous la main.

Le clic droit et l’appui long

• Le clic droit ouvre un menu partout : le fond, la barre du haut, les fenêtres, les widgets, le dock, Applications et à l’intérieur de chaque app. Dans les champs de texte, c’est toujours celui du navigateur qui sort, pour copier et coller.
• Les menus ont des sous-menus et affichent leurs raccourcis, et se manient avec les flèches, Entrée et Échap.
• Sur le fond se trouvent « Actualiser le bureau » et « Réglages rapides » (thème, widgets et barre). Sur la barre de titre d’une fenêtre : réduire, agrandir, ancrer sur une moitié de l’écran, changer de bureau ou fermer. Sur une app dans Applications : l’ouvrir, la mettre sur le bureau ou l’épingler dans la barre.
• Sur le téléphone, garde le doigt appuyé une demi-seconde n’importe où : le même menu apparaît, et confirmer donne une petite vibration.

Le dock et les widgets

• D’origine, le dock porte les apps de tous les jours que ton compte peut ouvrir, et les ouvertes à la fin, après un trait. Un point marque l’app ouverte, une pastille ses alertes non lues, et l’icône montre l’avancement de ses tâches. Si tu l’avais déjà arrangé à ton goût, il reste comme il était.
• Il a trois modes, dans son clic droit → « Configurer la barre » : « Toujours visible », « Se masquer seule » et « Flottant compact ».
• Au bout du dock se trouve la zone de notification : les bureaux, le réseau du NAS, éteindre ou redémarrer et « Ton compte », où sont tes informations et « Se déconnecter ».
• Chaque widget choisit sa taille — « Petit (demi-ligne) », « Large (ligne entière) » ou « Grand » — dans son menu « ⋯ » ou avec le clic droit, qui sert aussi à le replier, le configurer, le dupliquer ou le retirer. C’est enregistré avec ton compte, donc ça te suit sur un autre appareil.

IA locale

L’app IA locale répond depuis le NAS lui-même, sans rien envoyer dehors. La personne qui administre le NAS l’allume et choisit le modèle ; ensuite elle la donne dans Panneau de configuration → Utilisateurs et groupes comme n’importe quelle autre app (d’origine, personne d’autre ne l’a).

• À chaque compte la sienne. Chaque personne qui a la permission l’utilise avec ses dossiers et ses documents : les résumer, laisser un tableur dans son dossier, ranger son bureau. Ce que dit chaque compte, et ce que l’IA retient de lui, lui seul le voit, pas même la personne qui administre.
• Des conversations gardées. Dans « Conversations » il y en a plusieurs, avec un nom, enregistrées sur le NAS : elles sont toujours là quand tu fermes la fenêtre ou recharges. « Commencer une autre conversation » en ouvre une nouvelle.
• Elle utilise le panneau avec tes permissions. Elle trouve l’action, te laisse le bouton pour aller à l’écran et, si quelque chose changerait le NAS, te montre d’abord ce qu’elle va faire et attend que tu appuies sur « Approuver ». Elle ne peut jamais plus que toi, et ce qu’elle lit dans un document, elle le prend comme une donnée, pas comme un ordre. « Arrêter » la coupe sur-le-champ. Pour la personne qui administre, elle peut aussi installer une app du Centre de paquets ou mesurer la vitesse des disques, toujours avec approbation.
• L’état du NAS. Demande-lui comment va le NAS et elle répond avec la carte **« L’état du NAS en ce moment »** : un verdict — Bien, Attention ou Grave — avec ses chiffres (disques, températures, réseau, carte graphique) et le guide d’où vient chaque étape ; chaque citation ouvre son guide. À l’ouverture, elle propose ce qui vaut la peine d’être vérifié : un disque chaud, une sauvegarde qui a échoué, un volume presque plein.
• « Demander à l’IA », dans le clic droit d’un conteneur, d’un disque, d’un fichier, d’une alerte ou d’un widget, l’interroge sur cette chose sans que tu aies à l’expliquer.
• « Explique-le simplement », sous chaque réponse à côté de copier et redemander, la répète sans mots techniques.

L’onglet Graphiques

L’ancienne app Graphiques et IA est maintenant l’onglet Graphiques de l’IA locale, et seule la personne qui administre le voit : chaque carte graphique et appareil d’IA du NAS, à quel point il sert et quelles applications l’ont. Si tu avais un raccourci vers l’ancienne app, il n’existe plus : ouvre IA locale → Graphiques.

Terminal web

Un vrai shell dans le navigateur, réservé aux administrateurs. Il démarre en tant qu’utilisateur du service (nas, sans privilèges), et le bouton « Session root » ouvre un shell administrateur. Les deux —et aussi la console d’un conteneur, dans Docker— demandent d’abord de confirmer le mot de passe et le code du second facteur si tu l’as activé (ou une clé d’accès) : l’autorisation est un jeton à usage unique qui expire en 60 secondes et n’ouvre que la console pour laquelle il a été demandé. La session root est créée par le processus privilégié (le service du panneau tourne avec NoNewPrivileges=yes, où sudo ne peut pas fonctionner) et chaque ouverture est inscrite dans l’audit. De là, tu peux installer ce que tu veux (docker run …, apt install …) ; si ce que tu lances publie un port web, il apparaîtra dans Docker et dans le Launchpad.

Licence et essai

Il existe une licence Maison (paiement unique, avec un an de mises à jour qui se prolonge d’année en année), une À vie (mises à jour pour toujours) et l’Entreprise (mensuelle, annuelle ou à vie). Tout se fait dans Panneau de configuration → Licence, qui affiche aussi le compte à rebours des mises à jour restantes.

• Quand les mises à jour se terminent, le NAS continue de fonctionner entièrement : il n’installe simplement plus les versions publiées ensuite. Mettre à jour LGM-OS le dit et mène à lgm-os.com pour ajouter un an ou passer à la licence à vie ; la licence prolongée arrive toute seule sur le NAS en quelques heures.
• Si un abonnement Entreprise est annulé, à la fin de la période payée le NAS continue en Maison : les fonctions entreprise s’éteignent et rien n’est supprimé.
• Relier ton compte. Appuie sur Relier mon compte : le panneau affiche un code et une adresse de lgm-os.com. Ouvre-la depuis n’importe quel dispositif —le téléphone convient—, connecte-toi avec ton compte gratuit et choisis quoi faire de ce NAS : **commencer l’essai ou utiliser une de tes licences**. Le panneau s’en rend compte tout seul en quelques secondes ; aucune clé à copier.
• L’essai dure 60 jours et ouvre tout sauf l’adresse LGM Tunnel, qui fait partie de la licence. Il y en a un par dispositif, attaché au compte qui l’a commencé : réinstaller continue le même essai, avec la même date de fin.
• Un NAS fraîchement installé a 7 jours pour être lié. Jusque-là, il fonctionne entièrement et le panneau te le rappelle.
• Si tu as plusieurs licences, au moment de lier, tu choisis laquelle va sur ce dispositif et tu lui donnes un nom (« Maison », « Bureau ») pour les distinguer dans ton compte.
• Avec une licence achetée, pas besoin de lier quoi que ce soit : **J’ai une clé → Coller une clé** fonctionne comme toujours.

Quand l’essai se termine : « données seules »

Sans licence, à la fin de l’essai —ou des 7 jours sans liaison— le NAS passe en données seules. Tes données ne sont jamais retenues :

• Continue de fonctionner ce qui sert à les emporter : se connecter au panneau, **voir et télécharger tous tes fichiers, les dossiers de la maison en lecture seule** depuis tes dispositifs, l’état des disques et leurs alertes, mettre à jour le système, éteindre et redémarrer.
• Se met en pause tout le reste : les apps et les machines virtuelles s’arrêtent, les caméras cessent d’enregistrer et les sauvegardes et tâches planifiées ne s’exécutent pas. Le VPN et le nom de la maison continuent de fonctionner : si tu es à l’extérieur, tu peux entrer pour récupérer tes fichiers et activer la licence.
• Rien n’est supprimé. En activant une licence, ce qui tournait redémarre tel que tu l’avais laissé.

Quelque chose ne va pas ?

Quelque chose ne va pas ? se trouve dans la barre du haut du bureau —sur le téléphone, en premier dans le centre de contrôle— et dans Panneau de configuration → Licence. Il envoie un rapport à l’assistance : ce que tu écris, la version et l’app qui posait problème. Si tu laisses la case cochée, il joint les données techniques du dispositif et les dernières lignes d’erreur du panneau, desquelles le NAS retire auparavant les mots de passe, les adresses avec identifiants, les e-mails et les chemins des dossiers personnels. Personne n’entre dans ton NAS : le rapport est la seule chose qui sort.

Système

• Nom du dispositif : celui que tu as mis à l’installation se change dans **Panneau de configuration → Informations du dispositif, avec le bouton Modifier** à côté du nom. Seulement des lettres minuscules, des chiffres et des tirets (de 1 à 63, sans commencer ni finir par un tiret) : c’est un nom de machine, pas un titre. C’est **l’adresse par laquelle on entre dans le NAS** (https://<nombre>.local:5001), donc en le changeant, il faut mettre à jour les favoris de toute la maison. Le NAS se réannonce tout seul sur le réseau (le Finder du Mac et « Réseau » de Windows) ; le certificat du panneau contient le nom et il est refait au prochain redémarrage, donc d’ici là le navigateur affiche un avertissement quand on entre par le nouveau nom.
• Réseau : IP statique/DHCP par interface via systemd-networkd. ⚠️ Une erreur ici peut rendre le NAS inaccessible ; garde une console physique à portée de main.
• Heure : le fuseau horaire et la synchronisation NTP sont dans **Panneau de configuration → Région et langue. En dessous, Serveurs de temps** permet d’écrire les tiens, un par ligne (pool.ntp.org, ou l’adresse du routeur, qui donne presque toujours l’heure). Vide = ceux fournis par le système, ce qui est normal ; on les change quand le réseau n’a pas d’accès à internet ou que le port 123/UDP est fermé, car avec une horloge fausse les certificats expirent avant l’heure et les tâches planifiées se déclenchent à contretemps.
• Écran du serveur (mode kiosque) : si le dispositif a un écran branché (ou la console de sa machine virtuelle), il démarre en affichant ce même panneau en plein écran, comme n’importe quel autre système d’exploitation, et on continue de l’administrer par le web depuis le reste du réseau comme avant. Il s’installe seulement quand il y a un écran et se désactive avec un interrupteur dans Panneau de configuration → Informations du dispositif.

La console ne disparaît jamais : le panneau occupe le terminal 7 et la connexion habituelle reste sur le 1. Si l’écran plante —X ne démarre pas, le navigateur se ferme, le panneau ne répond pas— avec Ctrl+Alt+F1 tu as une vraie console, et Ctrl+Alt+F7 revient au panneau. Depuis la console, lgm kiosk off le désactive, lgm kiosk log dit pourquoi il échoue et lgm kiosk on le réactive.

• Mises à jour du système d’exploitation : elles ne se font pas depuis le panneau. Un apt upgrade sans surveillance peut redémarrer des services ou les laisser à moitié sans personne devant ; qui veut mettre à jour Debian a le terminal. Ce qui se met à jour depuis le panneau, c’est LGM-OS, qui est notre propre code et sait redémarrer tout seul.
• Sauvegarde de la configuration : téléchargement ponctuel ou tâche planifiée de type « backup » vers un pool. Elle contient tout l’état du panneau (utilisateurs, groupes, dossiers de la maison avec leurs droits d’accès, services, pare-feu, réseau, tâches…) sauf les secrets du dispositif, qui sont régénérés. Elle n’inclut pas tes données (pour ça, l’app Sauvegardes) ; range-la dans la sauvegarde externe, parce que c’est la première chose dont tu auras besoin pour reconstruire le dispositif. Détails et restauration dans disaster-recovery.md.
• Journaux : journald par unité ; Audit : qui a fait quoi et depuis quelle IP.
• Envoyer les journaux à un autre dispositif (syslog) : Panneau de configuration → Centre des journaux → Envoyer les journaux à un autre dispositif. Il envoie une copie de tout ce que le NAS écrit vers un serveur de journaux de ton réseau (dispositif, port —514 par défaut— et UDP ou TCP). Ça sert à tout avoir au même endroit et surtout à ce que la trace reste en dehors du NAS si quelqu’un s’y introduit. À l’enregistrement, la destination est testée : en TCP la réponse est réelle, et en UDP on vérifie seulement que le dispositif existe sur le réseau, car personne ne confirme un datagramme. C’est rsyslog qui s’en charge, que LGM-OS installe et laisse désactivé jusqu’à ce que tu actives ceci ; sur un NAS installé avant la 1.65, il peut manquer et l’écran te dit comment l’installer.

Réinitialiser aux paramètres d’usine

Panneau de configuration → Réinitialiser aux paramètres d’usine remet le panneau comme au premier jour sans réinstaller ni toucher aux disques : pour quand le NAS change de mains ou que tu préfères recommencer la configuration de zéro. Seul l’administrateur le voit.

Comment on confirme. Il faut trois choses : ton mot de passe, le code de validation en deux étapes si ton compte l’a, et un code de huit lettres et chiffres qui ne s’affiche que sur l’écran branché au NAS. Appuie sur Demander le code et regarde-le là-bas (si cet écran affiche le panneau, appuie sur Ctrl+Alt+F1). Il expire au bout de dix minutes, accepte trois essais et doit être tapé à la main, parce que c’est ce qui prouve que tu as le NAS devant toi. Sans écran branché, ce n’est pas possible : branches-en un. Pas non plus pendant que tourne quelque chose qui déplace des données —une sauvegarde, une restauration, un changement de disque— ou une mise à jour : l’écran dit ce que c’est et qu’il faut attendre.

Ce qui se passe ensuite. Avant de supprimer quoi que ce soit, le NAS garde une copie des réglages actuels sur son disque système, dans /var/nas/apartados/fabrica-<fecha>. À la fin, le panneau redémarre et te demande de créer le compte administrateur, comme au premier jour, avec le code d’inscription affiché sur l’écran du NAS. La première alerte dit où se trouve cette copie et, si quelque chose n’a pas pu être retiré, ce que c’est et quoi en faire. Ça ne peut pas être annulé depuis le panneau.

Tes données restent sur les volumes : si le NAS quitte la maison et que tu veux aussi les effacer, supprime le pool dans Stockage.

Sécurité

• Architecture à deux processus : l’API tourne en tant qu’utilisateur nas sans privilèges et délègue à nas-helper (root) via un socket Unix ; l’assistant privilégié n’accepte qu’une liste fermée de commandes et de chemins (backend/app/core/allowlist.py).
• TLS : auto-signé, généré au premier démarrage, avec les adresses du dispositif à l’intérieur et une validité de 396 jours —sous la limite de 398 qu’acceptent iOS et iPadOS ; au-delà, un iPhone ne laisse pas entrer dans le panneau, même avec l’avertissement—. Il est vérifié à chaque démarrage et refait seulement s’il va expirer ou si le NAS change d’IP ; le tien ou celui de Let's Encrypt ne sont pas touchés. Le plus courant est de le remplacer par un certificat Let's Encrypt en publiant le NAS (voir Accès depuis internet) ; pour en mettre un à toi à la main : ```bash cp tucert.pem /etc/nas/tls/cert.pem && cp tuclave.pem /etc/nas/tls/key.pem chgrp nas /etc/nas/tls/key.pem && chmod 640 /etc/nas/tls/key.pem systemctl restart nas-backend ```
• Protection de la connexion : 10 tentatives/minute par IP ; 5 échecs consécutifs bloquent le compte 5 minutes. Tout reste dans l’audit.
• Durée de la session : d’usine, le panneau se ferme tout seul après **30 minutes sans utilisation**, et ça se change dans Panneau de configuration → Sécurité → *Règles du mot de passe* → Durée de la session (de 5 à 1440 minutes). Ce n’est pas un délai strict : chaque action prolonge la session, donc en travaillant elle ne se coupe jamais, et ce qui expire, c’est un panneau ouvert et oublié. Qui coche « rester connecté » à la connexion garde 30 jours, et les sessions déjà ouvertes durent ce qui leur a été donné : le nouveau délai s’applique à partir de la connexion suivante.
• Rôles : admin (total) et viewer (lecture seule), gérés dans Sécurité.
• N’ouvre jamais le port 5001 dans le routeur : il sert le panneau avec un certificat auto-signé et expose l’API d’administration sans rien devant. Ce bricolage n’est plus nécessaire, car il existe deux meilleures façons d’arriver depuis l’extérieur et le NAS fournit les deux : le VPN —WireGuard, ou Tailscale et NetBird— (il ne publie aucun service sur internet) ou l’accès externe avec Apache sur 80/443 et un certificat Let's Encrypt valide. Ce sont les deux sections suivantes.

Accès depuis internet

Panneau de configuration → Accès externe : domaine dynamique (DDNS), certificat Let's Encrypt et proxy inverse pour publier le panneau et les apps par sous-domaine. Apache reste le seul service exposé (80 et 443) et redirige vers 127.0.0.1 ; le port 5001 et ceux des apps ne sortent pas du NAS. Avec un certificat valide, en plus, l’interface peut s’installer comme application (PWA).

La procédure complète —ports du routeur, DuckDNS pas à pas, émission et renouvellement du certificat, sous-domaines et la liste de sécurité préalable (2FA, Conseiller de sécurité, blocage d’IP)— est dans external-access.md. Alternative plus prudente si tu n’as pas besoin de partager avec des tiers : le VPN du NAS lui-même (section suivante), sans exposer aucun service.

Services réseau (VPN, DNS et DHCP)

Panneau de configuration → VPN, DNS et DHCP. Les trois pièces qui font du NAS le centre du réseau de la maison, classées par risque :

• Le VPN est la façon la plus sûre d’atteindre le NAS depuis l’extérieur : il ne publie aucun service sur internet et donne accès à tout le réseau local, pas seulement au panneau.
• Tailscale et NetBird s’installent depuis le même écran, dans leurs onglets, et sont la solution quand tu ne peux pas ouvrir de ports (CGNAT). Ce qui entre par eux compte comme venant de la maison pour le pare-feu.
• Le DNS et le DHCP sont le même service (dnsmasq), donc l’arrêter stoppe les deux : c’est exactement ce qu’il faut en cas d’urgence (sudo systemctl stop dnsmasq).
• dnsmasq s’installe désactivé et ne démarre que lorsque tu actives le DNS ou le DHCP depuis le panneau.

Ports du routeur, installation du client VPN pas à pas, comment faire pointer les dispositifs vers le DNS et —le plus important— comment récupérer le réseau si le DHCP te laisse sans connexion : network-services.md. Lis-le avant d’activer le DHCP, et garde-le sur ton téléphone : si tu te retrouves sans réseau, tu ne pourras pas le consulter depuis le NAS.

Publier des apps dans le catalogue

Chaque app est un répertoire /var/nas/appstore/templates/<id>/ avec :

• manifest.json — id, nom, description, images (pré-téléchargées avec progression), web_port et env (variables que l’installateur demande à l’utilisateur ; secret les masque).
• docker-compose.yml — utilise ces variables plus NAS_APP_DATA (chemin des données qu’injecte le backend).

Installer exige un pool : les données de chaque app vivent dans <pool>/docker/<id>/ (les installations antérieures à cette règle restent dans /var/nas/apps/ et ne sont pas déplacées). Ce dossier docker n’est pas un dossier de la maison —le gestionnaire de fichiers et SMB/NFS ne l’affichent pas— et son nom est réservé à la création de dossiers de la maison. Chaque port que l’app publie (et, si elle partage le réseau du NAS, ceux que déclare sa recette) reçoit à l’installation une règle dans le pare-feu avec le nom de l’app, ouverte au réseau de la maison. Dans Sécurité → Pare-feu, on la ferme ou on l’ouvre à n’importe quelle origine ; ce choix revient si on réinstalle, et la règle est retirée à la désinstallation.

Pour un dépôt distant, sers en https un index.json :

{
  "apps": [
    {
      "id": "jellyfin",
      "manifest_url": "https://repo.example.com/jellyfin/manifest.json",
      "compose_url": "https://repo.example.com/jellyfin/docker-compose.yml",
      "sha256_manifest": "<sha256>",
      "sha256_compose": "<sha256>"
    }
  ]
}

Console de flotte

Édition Entreprise. L’app Flotte montre d’un coup d’œil tous les LGM-OS de l’entreprise : s’ils vont bien, leurs alertes non lues, disques et volumes, capacité, dernière sauvegarde réussie et version, avec la mise à jour en attente. Elle parle à chaque NAS par son panneau chiffré habituel (5001) : elle n’ouvre aucun nouveau port. Un NAS qui ne répond pas apparaît avec sa raison et les dernières données connues, sans ralentir les autres.

Ajouter un NAS. Sur le NAS que tu veux voir, ouvre Flotte → Ce NAS et crée une clé : Lecture seule (lit son résumé et rien d’autre) ou Voir et mettre à jour (peut en plus lancer sa mise à jour). Sur la console, clique sur « Ajouter un NAS », saisis son adresse et colle la clé. Avant de l’envoyer, la console affiche l’empreinte du certificat de ce NAS : compare-la avec celle de Flotte → Ce NAS et, si ce n’est pas la même, arrête-toi.

Un certificat qui change. Dès lors, la console ne parle à ce NAS que si son certificat est signé par la même autorité : le renouvellement annuel ne déclenche pas d’alarme, mais un NAS réinstallé (ou quelqu’un qui se fait passer pour lui) apparaît comme « Certificat changé » et ne reçoit pas la clé. Après l’avoir réinstallé, « Comparer à nouveau l’empreinte ».

Mettre à jour en groupe. Coche « Inclure dans la mise à jour » sur les NAS voulus et clique sur « Mettre à jour la sélection ». Ils se mettent à jour un par un, dans l’ordre de la liste, et si l’un échoue tout s’arrête là : les autres restent tels qu’ils étaient.

Les clés. Les clés des autres NAS sont conservées à part, hors de la sauvegarde de la configuration, et le panneau ne les affiche plus jamais. Si tu restaures la configuration sur un autre dispositif, ajoute de nouveau chaque NAS. Pour qu’une console ne voie plus un NAS, révoque sa clé sur ce NAS (Flotte → Ce NAS).