Dischi, ricambi e repliche

18 min · 10 sezioni

Ciò che si può fare con i dischi oltre a creare un volume: accelerarlo, avere un disco di riserva in attesa, mandare una copia viva a un altro NAS e prestare un disco attraverso la rete.

Disco di riserva

Archiviazione → la scheda del volume → «Disco di riserva». Solo ZFS.

Un volume con ridondanza regge la morte di un disco, ma resta senza protezione finché qualcuno non lo cambia. Se succede un venerdì sera, l'intero fine settimana è a un disco dal perdere tutto.

Il disco di riserva è un disco collegato, vuoto e in attesa. Quando un altro si guasta, ZFS lo mette al suo posto da solo e il volume torna protetto senza che nessuno debba essere davanti.

• Aggiungendo il primo, il pannello accende autoreplace, che è ciò che rende utile il disco di riserva: senza quella proprietà, ZFS lo lascia lì fermo e il volume degradato finché qualcuno non entra nel pannello.
• Non aggiunge spazio. È vuoto di proposito.
• Aggiungendolo, ciò che conteneva si perde: diventa di ZFS.
• Quando entra, il NAS avvisa. È la notizia migliore e peggiore insieme: un disco è morto, ma i tuoi dati sono già di nuovo protetti. Cambia quello guasto per tornare ad avere un disco di riserva.
• Un disco di riserva che è già entrato non si può togliere: questo non toglie un disco di riserva, toglie metà della ridondanza del volume. Cambia prima il disco che si è guastato e il disco di riserva si libera da solo.

In Btrfs non esiste: lì un disco che si guasta si sostituisce a mano da quella stessa schermata.

Cache di lettura (SSD)

Archiviazione → la scheda del volume → «Cache di lettura». Solo ZFS.

Un SSD davanti a dischi grandi accelera le letture ripetute. Non conserva dati: ciò che c'è dentro è una copia di ciò che è già sui dischi, quindi se l'SSD muore non si perde nulla —si torna solo a leggere dal disco lento—.

Non c'è «aggiungi log di scrittura» (SLOG) di proposito: accelera solo le scritture sincrone —un NAS di casa scrive via SMB, che non lo è— e uno senza mirror che muore si porta via le scritture in sospeso. Un pulsante che quasi nessuno usa e che può costare dati non è una funzionalità.

Replica su un altro NAS

Archiviazione → Protezione → Repliche.

Un backup ti restituisce i file. Una replica ti restituisce il volume: viaggia l'intero file system con tutta la sua storia di istantanee, quindi se questo dispositivo brucia, quello dell'altra casa monta il volume e prosegue.

• Incrementale davvero: la prima volta viaggia tutto e da lì in poi solo ciò che è cambiato.
• Con orario o a mano.
• Prova la destinazione prima di salvare. L'errore tipico —la chiave SSH non autorizzata sull'altro dispositivo— non può essere scoperto alle tre di notte.
• La chiave è la stessa dei backup: chi l'ha già autorizzata non deve fare nulla.

Cosa serve dall'altra parte

• Un dispositivo con ZFS (o Btrfs, secondo ciò che usi qui) e ssh.
• Che la chiave pubblica di questo NAS sia in ~/.ssh/authorized_keys dell'utente che indichi. Il pannello la mostra per copiarla.
• Una destinazione già creata: in ZFS, il dataset padre (tank2 per replicare in tank2/copia); in Btrfs, la cartella.

Ciò che conviene sapere

• La prima replica dura ore —viaggia tutto—, e non ha un limite di tempo, di proposito. Le successive sono minuti.
• La destinazione è una copia: ciò che lì è divergito si scarta a ogni invio.
• Se qualcuno elimina la replica sull'altro dispositivo, il NAS se ne accorge e manda di nuovo l'intero volume invece di fallire per sempre.

Il cambio: che il secondo NAS possa mettersi in moto

La replica manda le istantanee del volume a un altro NAS, intere e con la loro storia. Questo risolve metà del problema. L'altra metà è quella che decide se serve a qualcosa: il giorno in cui questo dispositivo muore, cosa bisogna fare perché la gente torni a vedere i suoi file?

Finora la risposta era un elenco di passaggi che conosceva solo chi aveva montato il NAS: entrare via SSH nel secondo, togliere la sola lettura al volume, montarlo, ricreare le cartelle della casa con gli stessi nomi e cambiare il nome del server. Questo non è un piano: è un elenco di cose che si fanno male alle tre di notte.

Come funziona

Il dispositivo di origine lascia scritto a quello di destinazione cosa deve fare: un piccolo file, .lgm-relevo.json, dentro il volume replicato stesso, con il suo nome, il suo nome di server SMB e le sue cartelle della casa con chi entra in ciascuna —l'elenco dei permessi, i dispositivi autorizzati dell'NFS e il resto delle sue impostazioni—. Viaggia per la stessa connessione SSH che usa già la replica. È un JSON leggibile di proposito: il giorno in cui servirà, deve poterlo leggere una persona con cat anche se il pannello non si avvia.

Nel secondo NAS quel piano compare in Archiviazione → Protezione → Repliche come «Questo dispositivo può dare il cambio a NAS-Casa», con un pulsante. Premendolo:

1. il volume replicato smette di essere in sola lettura;
2. si ricreano le sue cartelle della casa con gli stessi nomi e gli stessi permessi —che è da dove la gente di casa ritrova i suoi file senza cambiare nulla—. Gli account che non esistono sul secondo dispositivo vengono detti per nome: creali con lo stesso nome e ridai loro accesso. E se una cartella aveva NFS ma il piano non portava il suo elenco di dispositivi autorizzati, si ricrea con NFS spento e si avvisa: accenderlo senza elenco la aprirebbe a tutta la rete;
3. e, solo se lo segni, questo dispositivo comincia ad annunciarsi con il nome di rete dell'altro.

Una cartella che esiste già qui non viene calpestata: qualcuno potrebbe averla creata prima con i suoi permessi.

La prova

Una volta alla settimana il dispositivo di origine verifica —senza scrivere nulla— che il secondo potrebbe dare il cambio oggi: che si entra, che il volume esiste lì, che ha istantanee e che il piano è al suo posto. Se qualcosa che era pronto smette di esserlo, avvisa. È la stessa idea della prova di ripristino: provare, non promettere.

La prova inoltre sistema ciò che trova: se il piano non c'è —o se dice qualcosa di diverso da ciò che direbbe oggi— lo rimette. È ciò che mantiene aggiornato il piano: una cartella creata a maggio, o un permesso assegnato la settimana scorsa, entra nel cambio alla prova successiva senza che nessuno debba ricordarsene.

Perché non è automatico

Con due dispositivi e un solo collegamento, «l'altro non risponde» e «il cavo è tagliato» sono indistinguibili da qui. Un cambio automatico finirebbe, prima o poi, con i due NAS che scrivono contemporaneamente e due versioni diverse degli stessi file. Questo si chiama split brain ed è peggio che restare fermi, perché non si può annullare: non c'è modo di unire due storie che sono divergite.

Quindi serve una persona che dica «sì, il primo è morto». Per questo c'è il pulsante, e per questo chiede conferma.

Ciò che il cambio non fa

• Non prende l'IP dell'altro dispositivo. Quelli sono altri pezzi (VRRP, keepalived) e un'altra classe di rete. Ciò che può prendere è il nome del server SMB, che è ciò con cui la gente di casa trova il NAS.
• Vale solo per le repliche ZFS. In Btrfs la destinazione riceve sottovolumi, non un clone avviabile del volume.
• Non torna indietro da solo. Se il primo NAS resuscita, tornare alla situazione precedente è un lavoro a parte: bisogna decidere quale versione dei dati vale, ed è una decisione da persona.

Venire da un Synology o da un QNAP

Cambiare NAS è facile a dirsi e costosissimo da fare: sono tre tera da copiare, venti cartelle della casa da ricreare con gli stessi nomi e un elenco di utenti che nessuno ha annotato da nessuna parte. La maggior parte della gente non cambia per questo, non per il prezzo del dispositivo.

La procedura guidata di Pannello di controllo → Porta qui i dati del tuo NAS precedente fa la parte noiosa ed esatta.

Cosa fa

1. Guarda cosa c'è sull'altro dispositivo senza installargli nulla: si entra via SMB —che è ciò che parlano tutti— con l'account di amministratore di QUEL NAS. Si legge soltanto: durante il trasloco, il dispositivo vecchio resta quello che ha i dati buoni, e niente di questa schermata scrive o elimina su di esso.
2. Scopre gli utenti. Né DSM né QuTS mostrano il loro elenco di account via SMB, ma entrambi conservano le cartelle personali sotto una risorsa chiamata homes, una per persona: quell'elenco di cartelle è l'elenco degli utenti, ed è l'unica cosa che si può sapere da fuori.
3. Copia cartella per cartella, creando qui la cartella della casa con lo stesso nome. Se un nome non va bene in questo NAS —«Mis Fotos» contiene uno spazio—, si propone quello che va bene («Mis-Fotos») e si dice che è stato cambiato, invece di rifiutarsi.

La copia si può interrompere e riprendere: ciò che è già arrivato non si scarica di nuovo. E alla fine si contano i file ai due lati, cartella per cartella, e si dice se manca qualcosa.

Le credenziali del NAS vecchio non si salvano

Vivono solo finché dura il trasloco, in un file che legge solo l'aiutante del NAS, e si cancellano alla fine. Salvare la password di amministratore di un altro dispositivo per un trasloco che dura un fine settimana significa lasciarla lì per sempre. Non compaiono nemmeno nella riga di comando, perché durante le ore che dura la copia chiunque guardasse l'elenco dei processi le vedrebbe.

Ciò che NON si può portare

Si dice prima di cominciare, e non in una nota a piè di pagina, perché una migrazione che promette troppo lascia qualcuno convinto di avere ciò che non ha —e lo si scopre settimane dopo, quando il NAS vecchio è già stato venduto—:

L'ordine che fa meno male

1. Porta prima una cartella piccola e verificala: apri tre file.
2. Crea gli utenti che ha trovato, con password temporanea, e avvisali.
3. Porta il resto di notte, quando la rete è libera.
4. Non vendere il NAS vecchio finché non hai ripristinato davvero qualcosa da questo. Un mese con entrambi accesi costa poco ed evita l'unico errore irreversibile del trasloco.

La cifratura e le sue chiavi

Cifrare un volume si poteva già quando lo si creava: ZFS lo fa di serie. Ciò che mancava è il dopo, che è dove la cifratura diventa un problema invece di una protezione.

In Archiviazione → Protezione → Salute e cifratura → Cifratura e chiavi ci sono tre cose:

Cambiare la password

Se l'ha imparata qualcuno che non dovrebbe più saperla —un tecnico, un ex socio, un coinquilino—, finora l'unica via d'uscita era creare un volume nuovo e copiare tre tera. Nessuno lo fa, quindi in pratica la password non si cambiava mai.

ZFS conserva una chiave principale e la avvolge con la tua password: cambiarla riavvolge quella chiave e non ricifra nemmeno un byte. Ci vuole lo stesso tempo con un giga che con venti tera, quindi si può fare il giorno in cui serve.

Verificare di ricordarla

Con il volume già aperto non c'è alcun segnale che tu sappia la password: serve solo all'avvio. Se hai sbagliato ad annotarla, lo scopri mesi dopo, con il NAS fermo.

Il pulsante Verifica lo dice a secco: non apre nulla, non monta nulla e non ferma nulla. Verificala ogni tanto; è un attimo ed evita l'unico errore che non ha rimedio.

La chiave su una chiavetta

Un'interruzione di corrente alle quattro del mattino lascia chiuso il volume cifrato, e con lui non ci sono file, né backup, né telecamere che registrano finché qualcuno non torna a casa e scrive la password. Per molta gente questo è motivo sufficiente per non cifrare, che è il risultato peggiore possibile.

Con la chiave su una chiavetta, il NAS apre il volume da solo finché quel disco è inserito. Ciò che si salva lì è la stessa password, non un'altra: se perdi la chiavetta, la password scritta a mano continua a valere.

E ciò che questo significa, detto chiaramente: chi si porta via il NAS con la chiavetta inserita si porta via anche la chiave. Questo protegge dal furto di un disco —o dal fatto che un disco vecchio finisca nel cassonetto con le tue foto dentro—, non dal furto dell'intero dispositivo. Se è la seconda cosa a preoccuparti, lascia la password a mano e conserva la chiavetta da un'altra parte.

Il foglio di soccorso

Il pulsante Foglio di soccorso dà un testo da stampare con ciò che bisogna fare se questo pannello non si avvia: come importare il volume e aprirlo da qualsiasi Linux con ZFS.

Non contiene la password, e non è una dimenticanza: il NAS non la conserva da nessuna parte, ed è per questo che la cifratura serve a qualcosa. Un foglio che la contenesse sarebbe l'anello che rompe tutto il resto. Se nessuno ricorda la password, i dati di quel volume non si possono recuperare: né il produttore, né questo pannello, né nessuno.

Dischi esterni (USB)

Archiviazione → Dispositivi → Dischi esterni.

La chiavetta o il disco USB che colleghi per un po': per portare le foto del vecchio portatile, o per portarti via qualche file a casa di qualcuno. Non è un volume del NAS e non serve che lo sia; qui non si tocca nulla di ciò che hai già montato.

Collega il disco e compare da solo nell'elenco, con il suo nome, ciò che occupa e ciò che contiene. Tre pulsanti:

• Apri. Il disco comincia a vedersi in File come una cartella in più, con il nome che ha, e si può leggere e scrivere dal browser o dal telefono. Lo vede solo chi amministra il NAS: una chiavetta con le foto di casa non si mostra per intero a tutti gli account.
• Espelli. Svuota sul disco ciò che era ancora in memoria e lo chiude. **Fallo sempre prima di tirare il cavo**: ciò che si copia può impiegare minuti per arrivare davvero sul disco, e chi tira il cavo prima si ritrova un file a metà senza alcun avviso. Se qualcosa del disco è in uso, il pannello si rifiuta e lo dice — non dare retta alla fretta.
• Formatta. Lo lascia vuoto in exFAT, che è l'unico che leggono e scrivono Windows, macOS e Linux senza installare nulla. Si cancella tutto ciò che contiene e non si torna indietro; il pannello lo chiede con queste parole e ti lascia dargli un nome (fino a 11 lettere).

Ciò che conviene sapere:

• Si leggono i dischi di Windows (NTFS), FAT32, exFAT e Linux (ext2/3/4). Un disco del Mac con APFS o un file system strano compare nell'elenco, ma senza potersi aprire e dicendo perché: formattalo se vuoi usarlo qui.
• Un disco con diverse partizioni si apre dalla prima che il NAS sa leggere, e il pannello lo avvisa. Se ti servono le altre, prendile dal dispositivo dove sono state fatte.
• Un disco USB che è parte di un volume del NAS (un box esterno con un disco dell'insieme) **non compare qui**: per quello c'è la schermata dei volumi, e toglierlo dall'insieme è un'altra cosa che avvisa per conto suo.
• Se vuoi tenere il disco dentro il NAS —che faccia parte di un volume, con le sue istantanee e il suo RAID— questa non è la tua schermata: quello è creare o ampliare un volume.

Verso dove va ogni disco

La schermata Salute dice ciò che dice SMART: «bene» o «in errore». Quel verdetto arriva tardissimo, ed è bene sapere perché: la soglia di ogni attributo la mette il produttore, e la mette dove non c'è quasi più margine. Un disco può avere ottanta settori riallocati, centinaia di letture corrette e continuare a dire «bene», perché la soglia è a diverse migliaia. Quando finalmente dice «in errore», di solito si è già portato via qualcosa.

Ciò che predice davvero un guasto non è il numero: è che il numero salga.

Ogni sei ore il NAS lascia una foto di quattro contatori per disco —settori riallocati, settori in sospeso, settori non correggibili e letture non corrette— e confronta. Se uno è salito, avvisa anche se il valore assoluto è ridicolo, e dice il ritmo: «tre settori in venti giorni; a questo ritmo arriverebbe a 100 in circa X giorni».

I dischi si seguono dal loro numero di serie e non da /dev/sdX, che cambia posto al riavvio: avvisare del disco sbagliato è peggio che non avvisare.

Il cavo non è il disco

C'è un quinto contatore, gli errori di trasmissione (CRC), che sale per un cavo SATA cattivo o messo male, non per il disco. Quasi tutti lo confondono, cambiano un disco perfettamente sano e si lasciano il problema dentro il NAS.

Per questo si mostra a parte e a chiare lettere: spegni il dispositivo, ricollega quel cavo da entrambe le estremità e, se continua a salire, cambialo. È un cavo da tre euro.

Dischi in rete (iSCSI)

Archiviazione → Dispositivi → Dischi in rete.

Un disco del NAS che un altro dispositivo vede come se fosse suo: lo formatta lui con il suo file system (NTFS, VMFS, ext4) e lo usa un solo dispositivo alla volta. È ciò che chiedono Windows Server, Proxmox e VMware.

Non è una cartella della casa: il NAS presta blocchi e non sa cosa c'è dentro. Per condividere file tra diverse persone, usa una cartella della casa.

• Il disco è un file dentro il volume (<volume>/iscsi/<nome>.img) e occupa ciò che si usa, non l'intera dimensione dal primo giorno.
• Con password (CHAP) o senza. Se la metti, deve misurare tra 12 e 16 caratteri: è ciò che accetta l'iniziatore di Windows, e dirlo qui risparmia il «non si collega e non dice perché» dall'altra parte.
• Solo questi dispositivi. Puoi dire quali dispositivi possono montarlo, uno per riga. Vuoto, chiunque arrivi alla porta. È la seconda serratura: la password si può raccontare, il nome del dispositivo non viaggia.
• Un disco che un dispositivo ha montato non si può togliere. Non darebbe un errore: corromperebbe ciò che quel dispositivo stava scrivendo. Per lo stesso motivo, non gli si cambia nemmeno l'elenco dei dispositivi mentre è montato: scollegalo prima dal dispositivo che lo usa.
• Il pannello non conserva un suo elenco: mostra la configurazione che il sistema ripristinerà all'avvio, quindi non può dire una cosa mentre un server ne vede un'altra.

Dov'è il nome di un dispositivo

Ogni dispositivo si presenta con un nome lungo che comincia con iqn. (l'«iniziatore»). È quello che si incolla in Solo questi dispositivi, e si copia dal dispositivo stesso:

Resta qualcosa così: iqn.1991-05.com.microsoft:mio-pc. Si copia intero, così com'è, senza virgolette.

Come si collega un Windows

1. Iniziatore iSCSI (è incluso in Windows) → incolla l'indirizzo che mostra il pannello (<ip-del-nas>:3260) → Connessione rapida.
2. Il disco compare in Gestione disco come uno nuovo non formattato.
3. Inizializzalo e formattalo come qualsiasi disco.

Misurare la velocità dei dischi

In Archiviazione, «Misura velocità» legge ogni disco e scrive su ogni volume uno alla volta e salva il risultato accanto a ciascuno («180 MB/s l'8 set»). Un disco che misura meno della metà della volta precedente compare segnato in ambra: è il segnale che si guasterà prima che si guasti. La prova si interrompe dopo 60 secondi per disco e non si fa mentre c'è una cancellazione o una sostituzione di disco in corso.