Disques, secours et réplications

21 min · 10 rubriques

Ce qu’on peut faire avec les disques au-delà de créer un volume : l’accélérer, avoir un disque de secours qui attend, envoyer une copie vivante vers un autre NAS et prêter un disque par le réseau.

Disque de secours

Stockage → la carte du volume → « Disque de secours ». ZFS uniquement.

Un volume avec redondance supporte la mort d’un disque, mais il reste sans protection jusqu’à ce que quelqu’un le remplace. Si ça arrive un vendredi soir, tout le week-end se passe à un disque de tout perdre.

Le disque de secours est un disque branché, vide, qui attend. Quand un autre lâche, ZFS le met à sa place tout seul et le volume est de nouveau protégé sans que personne ait besoin d’être là.

• Quand tu ajoutes le premier, le panneau active autoreplace, qui est ce qui rend le disque de secours utile : sans cette propriété, ZFS le laisse là sans rien faire et le volume reste dégradé jusqu’à ce que quelqu’un entre dans le panneau.
• Il n’ajoute pas d’espace. Il est vide exprès.
• Quand tu l’ajoutes, ce qu’il contenait est perdu : il appartient désormais à ZFS.
• Quand il entre en service, le NAS envoie une alerte. C’est à la fois la meilleure et la pire nouvelle : un disque est mort, mais tes données sont déjà de nouveau protégées. Remplace le disque en panne pour avoir de nouveau un disque de secours.
• Un disque de secours déjà entré en service ne peut pas être retiré : ce ne serait pas retirer un disque de secours, ce serait retirer la moitié de la redondance du volume. Remplace d’abord le disque qui a lâché et le disque de secours se libère tout seul.

En Btrfs, ça n’existe pas : là, un disque qui lâche se remplace à la main depuis ce même écran.

Cache de lecture (SSD)

Stockage → la carte du volume → « Cache de lecture ». ZFS uniquement.

Un SSD devant de gros disques accélère les lectures répétées. Il ne garde pas de données : ce qu’il contient est une copie de ce qui est déjà sur les disques, donc si le SSD meurt, rien n’est perdu —c’est simplement relu depuis le disque lent—.

Il n’y a pas d’« ajouter un journal d’écriture » (SLOG), et c’est voulu : il n’accélère que les écritures synchrones —un NAS de maison écrit en SMB, qui ne l’est pas— et un SLOG sans miroir qui meurt emporte les écritures en attente. Un bouton dont presque personne n’a besoin et qui peut coûter des données n’est pas une fonctionnalité.

Réplication vers un autre NAS

Stockage → Protection → Réplications.

Une sauvegarde te rend les fichiers. Une réplication te rend le volume : c’est tout le système de fichiers qui voyage, avec tout son historique d’instantanés, donc si ce dispositif brûle, celui de l’autre maison monte le volume et prend le relais.

• Vraiment incrémentale : la première fois, tout voyage, et ensuite seulement ce qui a changé.
• Avec un horaire ou à la main.
• Elle teste la destination avant d’enregistrer. La panne typique —la clé SSH non autorisée sur l’autre dispositif— ne doit pas se découvrir à trois heures du matin.
• La clé est la même que celle des sauvegardes : si tu l’as déjà autorisée, tu n’as rien à faire.

Ce qu’il faut de l’autre côté

• Un dispositif avec ZFS (ou Btrfs, selon ce que tu utilises ici) et ssh.
• Que la clé publique de ce NAS soit dans ~/.ssh/authorized_keys de l’utilisateur que tu indiques. Le panneau l’affiche pour que tu la copies.
• Une destination déjà créée : en ZFS, le dataset parent (tank2 pour répliquer dans tank2/copia) ; en Btrfs, le dossier.

Ce qu’il vaut mieux savoir

• La première réplication dure des heures —tout voyage—, et elle n’a volontairement pas de limite de temps. Les suivantes prennent quelques minutes.
• La destination est une copie : ce qui y a divergé est écarté à chaque envoi.
• Si quelqu’un supprime la réplication sur l’autre dispositif, le NAS s’en rend compte et renvoie le volume entier au lieu d’échouer indéfiniment.

La relève : que le second NAS puisse prendre le relais

La réplication envoie les instantanés du volume vers un autre NAS, entiers et avec leur historique. Ça règle la moitié du problème. L’autre moitié est celle qui décide si ça sert à quelque chose : le jour où ce dispositif meurt, que faut-il faire pour que les gens retrouvent leurs fichiers ?

Jusqu’ici, la réponse était une liste d’étapes que seule la personne qui avait monté le NAS connaissait : entrer en SSH sur le second, retirer la lecture seule du volume, le monter, recréer les dossiers de la maison avec les mêmes noms et changer le nom du serveur. Ce n’est pas un plan : c’est une liste de choses qu’on fait mal à trois heures du matin.

Comment ça marche

Le dispositif d’origine laisse par écrit à celui de destination ce qu’il doit faire : un petit fichier, .lgm-relevo.json, dans le volume répliqué lui-même, avec son nom, son nom de serveur SMB et ses dossiers de la maison avec qui a accès à chacun —la liste des droits d’accès, les dispositifs autorisés en NFS et le reste de leurs réglages—. Il voyage par la même connexion SSH que celle qu’utilise déjà la réplication. C’est un JSON lisible exprès : le jour où on en a besoin, une personne doit pouvoir le lire avec cat même si le panneau ne démarre pas.

Sur le second NAS, ce plan apparaît dans Stockage → Protection → Réplications sous la forme « Ce dispositif peut prendre le relais de NAS-Casa », avec un bouton. Quand tu appuies dessus :

1. le volume répliqué n’est plus en lecture seule ;
2. ses dossiers de la maison sont recréés avec les mêmes noms et les mêmes droits d’accès —c’est comme ça que les gens de la maison retrouvent leurs fichiers sans rien changer—. Les comptes qui n’existent pas sur le second dispositif sont indiqués par leur nom : crée-les avec le même nom et redonne-leur l’accès. Et si un dossier avait le NFS mais que le plan ne contenait pas sa liste de dispositifs autorisés, il est recréé avec le NFS désactivé et tu en es averti : l’activer sans liste l’ouvrirait à tout le réseau ;
3. et, seulement si tu le coches, ce dispositif se présente désormais sous le nom réseau de l’autre.

Un dossier qui existe déjà ici n’est pas écrasé : quelqu’un a pu le créer avant, avec ses droits d’accès.

La répétition

Une fois par semaine, le dispositif d’origine vérifie —sans rien écrire— que le second pourrait prendre le relais aujourd’hui : qu’on peut s’y connecter, que le volume y existe, qu’il a des instantanés et que le plan est à sa place. Si quelque chose qui était prêt ne l’est plus, il envoie une alerte. C’est la même idée que l’exercice de restauration : vérifier, pas promettre.

La répétition répare aussi ce qu’elle trouve : si le plan n’est pas là —ou s’il dit autre chose que ce qu’il dirait aujourd’hui—, elle le remet. C’est ce qui garde le plan à jour : un dossier créé en mai, ou un droit d’accès attribué la semaine dernière, entre dans la relève à la répétition suivante sans que personne ait à y penser.

Pourquoi ce n’est pas automatique

Avec deux dispositifs et un seul lien, « l’autre ne répond pas » et « le câble est coupé » sont impossibles à distinguer d’ici. Une relève automatique finirait, tôt ou tard, avec les deux NAS qui écrivent en même temps et deux versions différentes des mêmes fichiers. Ça s’appelle le split brain et c’est pire que d’être à l’arrêt, parce que ça ne peut pas être annulé : il n’y a aucun moyen de réunir deux historiques qui ont divergé.

Il faut donc une personne pour dire « oui, le premier est mort ». C’est à ça que sert le bouton, et c’est pour ça qu’il demande une confirmation.

Ce que la relève ne fait pas

• Elle ne prend pas l’IP de l’autre dispositif. Ça demande d’autres outils (VRRP, keepalived) et un autre type de réseau. Ce qu’elle peut prendre, c’est le nom de serveur SMB, qui est ce par quoi les gens de la maison trouvent le NAS.
• Elle ne fonctionne qu’avec des réplications ZFS. En Btrfs, la destination reçoit des sous-volumes, pas un clone du volume prêt à démarrer.
• Elle ne revient pas toute seule. Si le premier NAS ressuscite, revenir à la situation précédente est un travail à part : il faut décider quelle version des données est la bonne, et c’est une décision humaine.

Venir d’un Synology ou d’un QNAP

Changer de NAS, c’est facile à dire et très coûteux à faire : trois téras à copier, vingt dossiers de la maison à recréer avec les mêmes noms et une liste d’utilisateurs que personne n’a notée nulle part. La plupart des gens ne changent pas à cause de ça, pas à cause du prix du dispositif.

L’assistant Panneau de configuration → Récupérer les données de ton ancien NAS fait la partie ennuyeuse et minutieuse.

Ce qu’il fait

1. Il regarde ce qu’il y a sur l’autre dispositif sans rien y installer : il s’y connecte en SMB —que tous parlent— avec le compte administrateur de CET autre NAS. Il ne fait que lire : pendant le déménagement, l’ancien dispositif reste celui qui a les bonnes données, et rien dans cet écran n’y écrit ni n’y supprime quoi que ce soit.
2. Il découvre les utilisateurs. Ni DSM ni QuTS ne montrent leur liste de comptes en SMB, mais tous deux rangent les dossiers personnels sous une ressource appelée homes, un par personne : cette liste de dossiers est la liste des utilisateurs, et c’est la seule chose qu’on peut savoir de l’extérieur.
3. Il copie dossier par dossier, en créant ici le dossier de la maison avec le même nom. Si un nom n’est pas valide sur ce NAS —« Mis Fotos » contient un espace—, il propose celui qui l’est (« Mis-Fotos ») et dit qu’il l’a changé, au lieu de refuser.

La copie peut être interrompue et reprise : ce qui est déjà arrivé n’est pas retéléchargé. Et à la fin, les fichiers sont comptés des deux côtés, dossier par dossier, et il te dit s’il manque quelque chose.

Les identifiants de l’ancien NAS ne sont pas conservés

Ils n’existent que le temps du déménagement, dans un fichier que seul le service privilégié du NAS lit, et ils sont supprimés à la fin. Garder le mot de passe administrateur d’un autre dispositif pour un déménagement qui dure un week-end, c’est le laisser là pour toujours. Ils n’apparaissent pas non plus dans la ligne de commande, parce que pendant les heures que dure la copie, n’importe qui regardant la liste des processus les verrait.

Ce qu’on NE peut PAS récupérer

C’est dit avant de commencer, et pas dans une note de bas de page, parce qu’une migration qui promet trop laisse quelqu’un croire qu’il a déjà ce qu’il n’a pas —et ça se découvre des semaines plus tard, quand l’ancien NAS est déjà vendu— :

L’ordre le moins douloureux

1. Récupère d’abord un petit dossier et vérifie-le : ouvre trois fichiers.
2. Crée les utilisateurs qu’il a trouvés, avec un mot de passe temporaire, et préviens-les.
3. Récupère le reste la nuit, quand le réseau est libre.
4. Ne vends pas l’ancien NAS avant d’avoir vraiment restauré quelque chose depuis celui-ci. Un mois avec les deux allumés coûte peu et évite la seule erreur irréversible du déménagement.

Le chiffrement et ses clés

On pouvait déjà chiffrer un volume en le créant : ZFS le fait de base. Ce qui manquait, c’était l’après, et c’est là que le chiffrement devient un problème au lieu d’une protection.

Dans Stockage → Protection → Santé et chiffrement → Chiffrement et clés, il y a trois choses :

Changer le mot de passe

Si quelqu’un qui ne devrait plus le connaître l’a appris —un technicien, un ancien associé, un colocataire—, jusqu’ici la seule solution était de créer un nouveau volume et de copier trois téras. Personne ne fait ça, donc en pratique le mot de passe ne changeait jamais.

ZFS garde une clé maîtresse et l’enveloppe avec ton mot de passe : le changer ré-enveloppe cette clé et ne rechiffre pas un seul octet. Ça prend le même temps avec un giga qu’avec vingt téras, donc on peut le faire le jour où il le faut.

Vérifier que tu t’en souviens

Une fois le volume ouvert, rien n’indique si tu connais le mot de passe : il ne sert qu’au démarrage. Si tu t’es trompé en le notant, tu l’apprends des mois plus tard, avec le NAS à l’arrêt.

Le bouton Vérifier te le dit à blanc : il n’ouvre rien, ne monte rien et n’arrête rien. Vérifie-le de temps en temps ; ça prend un instant et ça évite la seule erreur qui n’a pas de solution.

La clé sur une clé USB

Une coupure de courant à quatre heures du matin laisse le volume chiffré fermé, et avec lui il n’y a plus de fichiers, plus de sauvegardes, plus de caméras qui enregistrent jusqu’à ce que quelqu’un rentre à la maison et tape le mot de passe. Pour beaucoup de gens, c’est une raison suffisante pour ne pas chiffrer, ce qui est le pire résultat possible.

Avec la clé sur une clé USB, le NAS ouvre le volume tout seul tant que cette clé est branchée. Ce qui y est enregistré, c’est le même mot de passe, pas un autre : si tu perds la clé USB, le mot de passe écrit à la main reste valable.

Et ce que ça veut dire, clairement : qui emporte le NAS avec la clé USB branchée emporte aussi la clé. Ça protège contre le vol d’un disque —ou contre un vieux disque qui finit à la poubelle avec tes photos dedans—, pas contre le vol du dispositif entier. Si c’est la deuxième chose qui t’inquiète, garde le mot de passe à la main et range la clé USB ailleurs.

La fiche de secours

Le bouton Fiche de secours donne un texte à imprimer avec ce qu’il faut faire si ce panneau ne démarre pas : comment importer le volume et l’ouvrir depuis n’importe quel Linux avec ZFS.

Elle ne contient pas le mot de passe, et ce n’est pas un oubli : le NAS ne le garde nulle part, et c’est pour ça que le chiffrement sert à quelque chose. Une fiche qui le contiendrait serait le maillon qui casse tout le reste. Si personne ne se souvient du mot de passe, les données de ce volume ne peuvent pas être récupérées : ni par le fabricant, ni par ce panneau, ni par personne.

Disques externes (USB)

Stockage → Périphériques → Disques externes.

La clé ou le disque USB que tu branches un moment : pour récupérer les photos du vieux portable, ou pour emporter quelques fichiers chez quelqu’un. Ce n’est pas un volume du NAS et ça n’a pas besoin de l’être ; ici, on ne touche à rien de ce que tu as déjà monté.

Branche le disque et il apparaît tout seul dans la liste, avec son nom, sa taille et ce qu’il contient. Trois boutons :

• Ouvrir. Le disque apparaît dans Fichiers comme un dossier de plus, avec le nom qu’il porte, et on peut le lire et y écrire depuis le navigateur ou depuis le téléphone. Seule la personne qui administre le NAS le voit : une clé avec les photos de la maison ne se montre pas en entier à tous les comptes.
• Éjecter. Écrit sur le disque ce qui était encore en mémoire et le ferme. **Fais-le toujours avant de débrancher le câble** : ce qu’on copie peut mettre des minutes à arriver vraiment sur le disque, et qui débranche avant se retrouve avec un fichier à moitié copié sans aucun avertissement. Si quelque chose sur le disque est en cours d’utilisation, le panneau refuse et le dit — ne cède pas à la précipitation.
• Formater. Le vide et le formate en exFAT, le seul format que Windows, macOS et Linux lisent et écrivent sans rien installer. Tout ce qu’il contient est effacé, sans retour possible ; le panneau le demande avec ces mots et te laisse lui donner un nom (jusqu’à 11 lettres).

Ce qu’il vaut mieux savoir :

• Les disques Windows (NTFS), FAT32, exFAT et Linux (ext2/3/4) sont lisibles. Un disque Mac en APFS ou avec un système de fichiers inhabituel apparaît dans la liste, mais ne peut pas être ouvert, et le panneau dit pourquoi : formate-le si tu veux l’utiliser ici.
• Un disque avec plusieurs partitions s’ouvre par la première que le NAS sait lire, et le panneau le signale. Si tu as besoin des autres, récupère-les depuis le dispositif où elles ont été créées.
• Un disque USB qui fait partie d’un volume du NAS (un boîtier externe avec un disque de l’ensemble) n’apparaît pas ici : il y a l’écran des volumes pour ça, et le sortir de l’ensemble est une autre opération qui a ses propres avertissements.
• Si tu veux garder le disque dans le NAS —qu’il fasse partie d’un volume, avec ses instantanés et son RAID—, ce n’est pas le bon écran : c’est créer ou agrandir un volume.

Où va chaque disque

L’écran Santé dit ce que dit SMART : « bon » ou « en panne ». Ce verdict arrive très tard, et il vaut mieux savoir pourquoi : le seuil de chaque attribut est fixé par le fabricant, et il le fixe là où il ne reste presque plus de marge. Un disque peut avoir quatre-vingts secteurs réalloués, des centaines de lectures corrigées et continuer à dire « bon », parce que le seuil est à plusieurs milliers. Quand il dit enfin « en panne », il a généralement déjà emporté quelque chose.

Ce qui prédit vraiment une panne, ce n’est pas le chiffre : c’est que le chiffre augmente.

Toutes les six heures, le NAS prend une photo de quatre compteurs par disque —secteurs réalloués, secteurs en attente, secteurs incorrigibles et lectures non corrigées— et compare. Si l’un d’eux a augmenté, il envoie une alerte même si la valeur absolue est ridicule, et il donne le rythme : « trois secteurs en vingt jours ; à ce rythme, il arriverait à 100 dans environ X jours ».

Les disques sont suivis par leur numéro de série et non par /dev/sdX, qui change de place au redémarrage : alerter sur le mauvais disque est pire que ne rien dire.

Le câble n’est pas le disque

Il y a un cinquième compteur, les erreurs de transmission (CRC), qui augmente à cause d’un câble SATA défectueux ou mal branché, pas du disque. Presque tout le monde confond, change un disque parfaitement sain et laisse le problème dans le NAS.

C’est pour ça qu’il est affiché à part et en toutes lettres : éteins le dispositif, rebranche ce câble aux deux bouts et, si le compteur continue d’augmenter, change-le. C’est un câble à trois euros.

Disques en réseau (iSCSI)

Stockage → Périphériques → Disques en réseau.

Un disque du NAS qu’un autre dispositif voit comme s’il était à lui : c’est lui qui le formate avec son propre système de fichiers (NTFS, VMFS, ext4) et un seul dispositif à la fois l’utilise. C’est ce que demandent Windows Server, Proxmox et VMware.

Ce n’est pas un dossier de la maison : le NAS prête des blocs et ne sait pas ce qu’il y a dedans. Pour partager des fichiers entre plusieurs personnes, utilise un dossier de la maison.

• Le disque est un fichier dans le volume (<volume>/iscsi/<nom>.img) et **n’occupe que ce qui est utilisé**, pas toute sa taille dès le premier jour.
• Avec mot de passe (CHAP) ou sans. Si tu en mets un, il doit faire **entre 12 et 16 caractères** : c’est ce qu’accepte l’initiateur de Windows, et le dire ici évite le « ça ne se connecte pas et ça ne dit pas pourquoi » de l’autre côté.
• Seulement ces dispositifs. Tu peux indiquer quels dispositifs peuvent le monter, un par ligne. Vide, n’importe qui atteignant le port. C’est la deuxième serrure : un mot de passe peut se répéter, le nom du dispositif ne circule pas.
• Un disque qu’un dispositif a monté ne peut pas être retiré. Ça ne donnerait pas une erreur : ça corromprait ce que ce dispositif était en train d’écrire. Pour la même raison, on ne change pas non plus la liste des dispositifs tant qu’il est monté : déconnecte-le d’abord depuis le dispositif qui l’utilise.
• Le panneau ne garde pas sa propre liste : il affiche la configuration que le système va restaurer au démarrage, il ne peut donc pas dire une chose pendant qu’un serveur en voit une autre.

Où trouver le nom d’un dispositif

Chaque dispositif se présente avec un long nom qui commence par iqn. (l’« initiateur »). C’est celui qu’on colle dans Seulement ces dispositifs, et on le copie depuis le dispositif lui-même :

Ça donne quelque chose comme : iqn.1991-05.com.microsoft:mi-pc. On le copie en entier, tel quel, sans guillemets.

Comment connecter un Windows

1. Initiateur iSCSI (fourni avec Windows) → colle l’adresse affichée par le panneau (<ip-del-nas>:3260) → Connexion rapide.
2. Le disque apparaît dans la Gestion des disques comme un nouveau disque non formaté.
3. Initialise-le et formate-le comme n’importe quel disque.

Mesurer la vitesse des disques

Dans Stockage, « Mesurer la vitesse » lit chaque disque et écrit dans chaque volume, un par un, et enregistre le résultat à côté de chacun (« 180 Mo/s le 8 sept. »). Un disque qui mesure moins de la moitié de la fois précédente est marqué en orange : c’est le signe qu’il va lâcher avant qu’il ne lâche. Le test s’arrête au bout de 60 secondes par disque et ne se fait pas pendant un effacement ou un remplacement de disque en cours.