Aller au contenu
LGM-OS Enterprise
Maison Entreprise
Se connecter Acheter
FR
version 4.1.0

Ton NAS, sur Debian

Transforme un PC avec des disques en NAS complet, géré à 100 % depuis le navigateur. Il s’installe depuis sa propre ISO et ne dépend d’aucun cloud : les données, le panneau et les sauvegardes sont à toi et vivent sur ta machine. Licence à paiement unique, sans abonnement.

Paiement unique, sans abonnement

Tu la paies une fois et elle est à toi, avec un an de mises à jour ; la licence à vie les inclut pour toujours. Sans abonnement ni frais. Et une fois activée, elle fonctionne sans internet : la licence est vérifiée sur la machine elle-même.

Tout depuis le navigateur

Disques, dossiers, utilisateurs, applications, machines virtuelles, caméras et sauvegardes. Un bureau à fenêtres en clair et en sombre, et il s’installe comme une application.

Il se met à jour tout seul

Sans repasser par l’ISO. La mise à jour compile et vérifie avant de s’appliquer, et si le panneau ne répond plus ensuite, elle revient en arrière toute seule.

Voilà à quoi ça ressemble

Des captures des apps du panneau, dans le thème que tu utilises en ce moment.

Fichiers · LGM-OS Fichiers · LGM-OS, thème sombre
Fichiers Les dossiers partagés de l’utilisateur, jamais l’arborescence du système. Glisser-déposer, corbeille, recherche dans le contenu des documents et liens publics avec date d’expiration.
Centre de paquets · LGM-OS Centre de paquets · LGM-OS, thème sombre
Centre de paquets 1058 applications préparées par nous, chacune testée en l’installant pour de vrai. Les données de chaque application vivent dans le volume.
Stockage · LGM-OS Stockage · LGM-OS, thème sombre
Stockage Pools Btrfs et ZFS avec un assistant RAID, datasets, snapshots verrouillés, SMART et scrubs. Les disques qu’on ne peut pas toucher sont expliqués, pas cachés.
Machines virtuelles · LGM-OS Machines virtuelles · LGM-OS, thème sombre
Machines virtuelles Windows ou Linux sur KVM, avec leur écran dans le panneau. UEFI, démarrage sécurisé et TPM pour ce qui en a besoin.

Et sur le téléphone, une application

Ce n’est pas le bureau rétréci : sur les écrans étroits, le panneau change de forme.

L’écran d’accueil L’écran d’accueil, thème sombre
L’écran d’accueil
Une app ouverte Une app ouverte, thème sombre
Une app ouverte

Un écran d’accueil avec les icônes, l’application qui occupe tout l’écran et une barre en bas pour revenir, changer d’app ou voir les widgets. Revenir à l’accueil ne ferme rien. Elle s’ajoute à l’écran d’accueil du téléphone et s’ouvre sans la barre du navigateur, comme n’importe quelle autre application.

Ce qu’il sait faire

21 domaines, et ce qu’il y a dans chacun.

Stockage

  • Tout ce qui grandit vit dans le pool : les données des applications, les images Docker et les disques des machines virtuelles y déménagent tout seuls quand tu le crées
  • pools Btrfs (par défaut) et ZFS avec assistant RAID
  • datasets avec quota et compression
  • instantanés manuels et planifiés avec rétention
  • SMART, autotests et scrubs
  • remplacer un disque en panne ou agrandir le pool depuis l’interface
  • réplication vers un autre NAS : les instantanés complets voyagent par SSH (zfs send/btrfs send), en incrémental, avec horaire et en testant la destination avant d’enregistrer — l’autre appareil garde une copie du volume prête à monter
  • disques en réseau (iSCSI) : publier un disque du volume pour Windows, Proxmox ou VMware, avec mot de passe CHAP facultatif, et impossible à retirer tant qu’un appareil l’a monté
  • disque de secours (hot spare) : un disque vide en attente qui entre TOUT SEUL quand un autre tombe en panne —avec autoreplace activé— et prévient quand il le fait

Utilisateurs

  • Une personne, un compte, un mot de passe : le même sert pour le panneau, les dossiers partagés, SSH/SFTP et WebDAV — le changer à un endroit le change partout
  • une fiche par personne avec ses onglets : Compte (mot de passe et accès au panneau), Applications, Dossiers (les droits d’accès de chacun, y compris ceux qui viennent de ses groupes), Accès (dossiers partagés, WebDAV, SFTP et SSH), Groupes et Limites
  • groupes avec membres
  • politique de mots de passe (longueur, complexité et expiration ; la complexité est désactivée exprès)
  • « rester connecté »

Annuaire (AD/LDAP)

  • Joindre le NAS à un Active Directory, FreeIPA ou LDAP+Kerberos existant (realmd/sssd) : les utilisateurs du domaine existent alors sur l’appareil et reçoivent des droits d’accès sur les dossiers
  • facultatif et désactivé par défaut : que les dossiers partagés acceptent les comptes du domaine (winbind avec les mêmes uid que sssd) et que ces comptes se connectent au panneau avec leur mot de passe d’entreprise, toujours en « lecture seule »
  • le mot de passe du domaine n’est jamais copié sur le NAS et le ticket est vérifié avec la clé machine du keytab, donc un faux KDC sur le réseau ne passe pas

Fichiers

  • Dossiers partagés avec droits d’accès par utilisateur et par groupe
  • SMB (corbeille #recycle par dossier et Time Machine), NFS et WebDAV avec des utilisateurs unifiés
  • rsync comme serveur : un autre NAS dépose ici ses sauvegardes avec son propre utilisateur et mot de passe, seulement dans les dossiers que tu coches
  • le NAS apparaît tout seul dans « Réseau » de Windows et dans le Finder (WS-Discovery et Bonjour), avec nom et groupe de travail réglables
  • SFTP en cage : accès à distance aux fichiers d’un utilisateur sans lui donner de terminal ni de sortie vers le système
  • clients NFS par IP (seuls les appareils que tu autorises montent le dossier)
  • gestionnaire de fichiers web qui montre les dossiers partagés de l’utilisateur, jamais l’arborescence du système
  • glisser-déposer, menu contextuel complet, corbeille, recherche instantanée (un index des noms se tient à jour tout seul en arrière-plan, donc chercher ne parcourt pas le disque et ne donne pas de résultats à moitié ; sans index à jour, on parcourt comme avant) et dans le contenu des documents, aperçu des photos, vidéos, audio, PDF et texte, compresser et extraire ZIP/TAR et liens publics avec expiration et mot de passe
  • Bloc-notes : ouvrir et enregistrer un .txt, un .md ou un .conf du NAS depuis le navigateur —avec numéros de ligne, rechercher et remplacer et aperçu Markdown— sans le télécharger sur l’ordinateur ni passer par le terminal
  • « Versions précédentes » dans Windows même (et « Revenir à » sur Mac) : chaque dossier partagé peut montrer ses instantanés, donc qui abîme un fichier le récupère lui-même sans appeler personne
  • restaurer un dossier entier depuis un instantané, qui revient à côté et jamais par-dessus
  • audit de qui supprime, déplace ou renomme par SMB, avec son utilisateur et son appareil, dans le Centre des journaux
  • cherche dans les documents scannés : le texte d’un PDF qui est la photo d’un papier est reconnu en arrière-plan (tesseract) et entre dans la recherche par contenu

Photos et vidéos

  • App Galerie : les photos et les vidéos de tes dossiers, sur une frise chronologique par mois
  • elles sont indexées toutes seules en arrière-plan (SQLite propre) et les vidéos entrent comme les photos, avec une image en miniature
  • ce qui sort d’un téléphone ou d’un bon appareil photo, tel quel : JPEG, PNG, WebP, AVIF, GIF, TIFF, HEIC/HEIF de l’iPhone et RAW d’appareil photo (.cr2/.cr3, .nef, .arw, .rw2, .orf, .raf… et le ProRAW .dng), en montrant l’aperçu que l’appareil a laissé à l’intérieur
  • Live Photos : la photo et sa vidéo de trois secondes sont UN seul élément, avec son mouvement dans la visionneuse, pas deux cases en double
  • de vrais albums —une photo peut être dans plusieurs— qu’on crée, renomme et télécharge en zip sans déplacer un seul fichier du disque
  • favoris avec leur filtre
  • visionneuse avec flèches, rotation, zoom et plein écran, et la vidéo se lit par morceaux (une de 3 Go ne remplit pas la mémoire du téléphone et n’empêche pas de sauter à une minute précise)
  • envoyer depuis l’app elle-même
  • chercheur de doublons qui regroupe ce qui est répété et ne laisse jamais supprimer la dernière copie
  • supprimer envoie à la corbeille du NAS

Sauvegardes

  • Sauvegarde de tes données hors de l’appareil : rsync incrémental (--link-dest) vers un disque USB, un autre pool ou un serveur distant par SSH
  • et vers le cloud (Google Drive, OneDrive, Dropbox, Box, pCloud, MEGA, WebDAV, S3, Wasabi, MinIO et Backblaze B2), en connectant le compte depuis le panneau
  • chiffrement de bout en bout dans le cloud : noms et contenu sont chiffrés sur le NAS avant l’envoi et le fournisseur ne peut rien lire, avec une phrase de récupération montrée une seule fois
  • Object Lock sur S3 : chaque fichier arrive verrouillé et même le compte ne peut pas le supprimer avant l’heure
  • rétention intelligente (toutes celles de 24 h → quotidiennes 7 jours → hebdomadaires 4 semaines → mensuelles 12 mois), ou par versions ou par jours
  • explorateur de la sauvegarde : on entre dans n’importe quelle version comme dans un dossier et on restaure tout ou un seul fichier
  • contrôle d’intégrité : relit toute la sauvegarde à la destination et prévient si elle ne correspond pas à ce qui était noté
  • vitesse et temps restant en direct pendant la sauvegarde
  • historique de chaque exécution
  • sauvegarde à part de la configuration du système
  • synchronisation avec le cloud : un dossier du NAS et un de ton cloud identiques, en envoi, en réception ou dans les deux sens, avec les mêmes comptes connectés dans Fichiers — avec frein aux suppressions et une alerte seulement en cas d’échec

Surveillance

  • App Caméras : trouve les caméras du réseau par ONVIF et leur demande leur propre adresse vidéo
  • ajout par marque (Hikvision, Dahua, Reolink, Tapo, Foscam, Axis…) ou en collant le RTSP
  • direct sans réencodage avec moins d’une seconde de retard, et une seule connexion par caméra même si plusieurs personnes regardent en même temps (avec MJPEG de secours pour les caméras en H.265)
  • enregistrement continu par morceaux sans réencodage, avec rétention par jours et plafond de taille
  • un service par caméra, donc une qui tombe n’entraîne pas les autres

Téléchargements

  • App Téléchargements : tu colles un lien (http/https/ftp), un magnet ou tu déposes un .torrent et le NAS le télécharge tout seul, dans le dossier partagé que tu choisis, même si tu éteins l’ordinateur d’où tu l’as demandé
  • reprend après une coupure de courant
  • limite de réception et d’envoi, combien à la fois, et continuer à partager les torrents jusqu’à rendre ce qui a été reçu
  • prévient à la fin par le même chemin que les autres alertes, et ce qui est téléchargé garde le groupe et les droits d’accès du dossier, visible depuis Windows, le Mac ou le téléphone

Multimédia sur la télé

  • Serveur DLNA : la télé, la console ou le lecteur du salon trouvent le NAS tout seuls et lisent ce qu’il y a dans les dossiers que tu choisis, sans rien installer sur la télé
  • sert le fichier tel quel (sans réencodage), donc ça marche sur les vieux téléviseurs et ça n’use pas le processeur
  • ce que tu copies apparaît tout seul, et un bouton « réexplorer » est là pour quand quelque chose ne sort pas

Bureau à la maison

  • Agenda et contacts à toi (CalDAV/CardDAV avec Radicale) : l’iPhone, l’Android, Outlook ou Thunderbird synchronisent agenda et carnet d’adresses avec le NAS, avec le même compte que les fichiers et chacun voyant ce qui est à lui
  • imprimante en réseau : celle en USB branchée au NAS imprime depuis toute la maison, aussi par AirPrint depuis le téléphone, en détectant ce qui est branché et en l’ajoutant depuis le panneau

Contre les rançongiciels

  • Cadenas sur les instantanés (zfs hold) : un instantané protégé ne peut être supprimé ni par le panneau, ni par le nettoyage par ancienneté, ni par zfs destroy en root — c’est la première chose que fait celui qui prend un NAS en otage. Voir docs/ransomware.md
  • piège : un fichier appât dans chaque dossier partagé, vérifié chaque minute ; si quelque chose le chiffre ou le supprime, alerte critique et —si on le demande— les dossiers partagés se ferment sur-le-champ pour freiner le chiffrement, en laissant debout le panneau et les sauvegardes

Diagnostic

  • Vérification par service : panneau, stockage, SMB, NFS, WebDAV, SSH, Docker, sauvegardes et caméras sont vraiment contrôlés (unité systemd vivante, port à l’écoute, règle du pare-feu, configuration cohérente) et chaque panne vient avec quoi faire. Il ne lit pas l’intention enregistrée : il regarde le système
  • tests réseau vers l’extérieur : ping, vérifier un port de n’importe quel appareil et mesurer la vraie vitesse de téléchargement

Rapport d’espace

  • Analyse un dossier et montre où part le disque : plus gros dossiers, plus gros fichiers et fichiers en double (détectés par le contenu, pas seulement par la taille) avec combien on libérerait
  • l’analyse tourne en arrière-plan et est bornée pour ne pas lire des téraoctets

Historique des mesures

  • CPU, mémoire, réseau et disque dans une série temporelle légère (une mesure par minute dans un SQLite propre), par heure/jour/semaine/mois
  • les longues périodes sont agrégées pour que le graphique pèse toujours pareil

Accès depuis internet

  • DDNS
  • certificats Let’s Encrypt avec certbot et renouvellement automatique, par HTTP ou par DNS (DNS-01 avec Cloudflare : sans ouvrir de ports et avec jokers)
  • proxy inverse Apache qui publie le panneau et les apps par sous-domaine en laissant 80/443 comme seule surface exposée

Services réseau

  • VPN WireGuard « qui se configure tout seul » : détecte l’adresse publique, propose le DNS et prévient si un client n’atteindrait pas le réseau de la maison
  • profils par appareil et code QR
  • serveur DNS avec noms locaux et cache
  • serveur DHCP avec réservations par MAC (les deux sur dnsmasq)

Applications

  • Boutique d’applications : accueil avec sélections et étagères par catégorie, recherche classée par pertinence (sans accents et à plusieurs mots), défilement infini et fiche par app
  • <!--apps-->807<!--/apps--> applications maison, chacune testée en l’installant pour de vrai et avec son logo officiel (Jellyfin, Plex, Nextcloud, Vaultwarden, Home Assistant, PhotoPrism, Paperless-ngx, Pi-hole, AdGuard, *arr, Syncthing, Gitea……)
  • les données de chaque app vivent dans le pool
  • chaque port qu’elle publie reçoit sa règle dans le pare-feu, ouverte au réseau de la maison, et on la ferme ou on l’ouvre à tous depuis Sécurité → Pare-feu
  • éditeur visuel des ports et des dossiers (sans toucher au compose) en plus de l’éditeur de la recette
  • Docker intégré (journaux en direct, CPU/RAM) et les conteneurs créés à la main apparaissent aussi comme des apps

Machines virtuelles

  • App VM : créer, démarrer et supprimer des machines sur KVM/libvirt
  • installation depuis un .iso de tes dossiers
  • écran (VNC) dans le panneau, publié seulement sur l’appareil lui-même

Système

  • Réseau statique/DHCP/VLAN
  • agrégation de cartes (bond) pour la redondance ou la vitesse
  • routes statiques, DNS manuel du NAS lui-même (ce que demande la jonction à un domaine) et proxy sortant pour les téléchargements du NAS et de Docker
  • les disques apparaissent quand on les branche (udev, sans recharger)
  • mode kiosque : le serveur démarre en affichant le panneau en plein écran sur son propre moniteur
  • mises à jour signées (Ed25519) depuis le canal de versions de LGM-OS, d’un bouton ou toutes seules si tu l’actives
  • onduleur par NUT avec arrêt dans l’ordre (ferme les machines virtuelles et les conteneurs, écrit sur le disque et seulement alors éteint)
  • SNMP
  • fuseau horaire et NTP
  • périphériques USB
  • terminal web avec session root après nouvelle authentification
  • alertes par e-mail, webhook, Telegram, Discord et ntfy, en choisissant quel niveau part par où et ce qui attend le résumé quotidien
  • seuils de disque, de CPU soutenu et de température
  • tâches automatiques : nettoyer les fichiers temporaires, ranger les téléchargements et trier les séries
  • journaux et audit, téléchargeables déjà filtrés
  • arrêt et démarrage automatiques : le NAS s’éteint à son heure et revient tout seul le matin (le réveil est porté par l’horloge de la carte mère, pas par le réseau), avec Wake-on-LAN pour l’allumer depuis le téléphone ; si le réveil ne peut pas être programmé, il NE s’éteint PAS, et pas non plus avec une sauvegarde en cours
  • les disques se mettent en veille après 20 minutes, 30, 1 h ou 2 sans usage (moins de bruit et moins d’électricité), et on le leur redit à chaque démarrage

Sécurité

  • 2FA TOTP
  • rôles admin/viewer
  • politique de mots de passe
  • pare-feu nftables qui ouvre et ferme les ports avec chaque service (SMB, NFS, WebDAV, SSH, SNMP, rsync, VPN, découverte) et se met à jour au démarrage
  • conseiller de sécurité
  • blocage automatique des IP, aussi par SSH (c’est le pare-feu qui l’applique, pas seulement le panneau)
  • sessions connectées révocables
  • antivirus (ClamAV) : analyse les dossiers partagés à la main ou chaque semaine, avec des signatures à jour, et prévient de ce qu’il trouve ; par défaut il ne touche à rien, et qui veut peut sortir le fichier du dossier vers une quarantaine
  • blocage par pays : on ne laisse entrer que depuis les pays que tu choisis —liste d’autorisés, avec les plages téléchargées et rafraîchies toutes seules— et depuis ton propre réseau on entre toujours
  • rapport hebdomadaire de l’état (espace, disques, sauvegardes, antivirus et mises à jour) par les alertes habituelles, et on peut le lire avant de l’activer

Licence

  • Paiement unique et à vie, avec les mises à jour incluses
  • la clé est signée (Ed25519) et, une fois activée —ça, oui, demande internet, une fois—, elle se vérifie sur l’appareil lui-même, sans internet ; s’il y a une connexion, elle vérifie de temps en temps qu’elle n’a pas été révoquée
  • liée à toi, pas à la machine : si l’appareil tombe en panne, la même clé s’active sur un autre, sans limite d’activations
  • 60 jours de vrai essai en liant ton compte gratuit de lgm-os.com
  • tes données ne sont jamais prises en otage : sans licence (après l’essai, ou au bout de 7 jours si tu ne lies pas ton compte ni n’en actives une) le NAS passe en « données seules » —voir et télécharger tous tes fichiers, dossiers partagés en lecture seule— et rien n’est supprimé ; avec la licence activée, rester sans réseau ne bloque rien

Commencer

Un dispositif x86-64 avec 4 Go de mémoire et un disque système de 32 Go.

Depuis notre propre ISO, qui installe Debian et LGM-OS en une seule passe :

bash deploy/build-iso.sh

Ou sur un Debian 12 ou 13 que tu as déjà :

sudo bash deploy/install.sh

À la fin, ouvre https://<ip-del-nas>:5001: l’assistant te demande de créer ton administrateur. Il n’y a ni utilisateur ni mot de passe d’usine. Toutes les étapes, dans télécharger et installer.

La licence, en clair

Paiement unique. Sans abonnement, sans attache au matériel et sans verrou sur tes données.

Tu la paies une fois et elle est à toi

La Maison inclut un an de mises à jour et se prolonge d’année en année ; la licence à vie, pour toujours. La licence n’expire pas : une fois les mises à jour terminées, le NAS fonctionne entièrement. Tu l’achètes, tu reçois ta clé et tu la colles dans le panneau, dans Panneau de configuration → Système → Licence.

Elle est vérifiée sur ton propre dispositif

La clé est signée et le NAS la vérifie tout seul, sur ton dispositif. Internet est nécessaire pour l’activer (une fois) et pour l’essai, qui vient de la liaison de ton compte ; ensuite, rester sans réseau n’éteint rien et ne bloque rien. Si en 7 jours tu ne lies pas ton compte et n’actives pas de licence, le NAS ne sert plus qu’à récupérer tes fichiers jusqu’à ce que tu le fasses.

Si le dispositif tombe en panne, tu la gardes

La licence est liée à toi, pas à la machine. Si le NAS tombe en panne, tu en montes un autre, tu colles la même clé et tu reprends là où tu t’étais arrêté. Sans appeler personne et sans limite d’activations.

Tes données ne sont jamais prises en otage

Si l’essai se termine sans licence, le NAS passe en « données seules » : tu continues à voir et à télécharger tous tes fichiers et à lire tes dossiers partagés, et rien n’est supprimé. La licence active le produit ; jamais elle ne met de cadenas sur ce qui est à toi.

Acheter une licence J’ai déjà un compte

Tu veux regarder avant d’acheter ? Toute la documentation et ces pages se lisent sans s’inscrire ni se connecter : pas besoin d’être connecté à quoi que ce soit.

Sous le capot

Pour qui veut regarder sous le capot.

Backend
Python 3.11 + FastAPI. Les opérations privilégiées passent par un processus à part avec une liste blanche de commandes : le panneau tourne sans privilèges.
Interface
React 18 + TypeScript + Vite + Tailwind. Un bureau multifenêtre, clair et sombre, installable comme une application (PWA).
Base
Debian stable. Pas de distribution maison : les paquets sont ceux de Debian et le système peut aussi s’administrer par SSH.
Testé
Une batterie de tests automatiques du backend, les types et la compilation de l’interface à chaque changement, et une vraie installation depuis l’ISO dans une machine virtuelle.