Discos, reservas e replicações

19 min · 10 secções

O que se pode fazer com os discos para além de criar um volume: acelerá-lo, ter um de reserva à espera, enviar uma cópia viva para outro NAS e emprestar um disco pela rede.

Disco de reserva

Armazenamento → o cartão do volume → «Disco de reserva». Só ZFS.

Um volume com redundância aguenta que um disco morra, mas fica sem proteção até alguém o trocar. Se isso acontecer numa sexta-feira à noite, o fim de semana inteiro fica a um disco de perder tudo.

A reserva é um disco ligado, vazio e à espera. Quando outro falha, o ZFS põe-no no seu lugar sozinho e o volume volta a estar protegido sem que ninguém tenha de estar presente.

• Ao acrescentar o primeiro, o painel liga o autoreplace, que é o que faz com que a reserva sirva para alguma coisa: sem essa propriedade, o ZFS deixa-o ali parado e o volume degradado até alguém entrar no painel.
• Não soma espaço. Está vazio de propósito.
• Ao acrescentá-lo, o que tiver lá dentro perde-se: passa a ser do ZFS.
• Quando entra, o NAS avisa. É a melhor e a pior notícia ao mesmo tempo: um disco morreu, mas os teus dados já estão protegidos outra vez. Troca o avariado para voltares a ter reserva.
• Uma reserva que já entrou não pode ser removida: isso não remove uma reserva, remove metade da redundância do volume. Troca primeiro o disco que falhou e a reserva liberta-se sozinha.

No Btrfs não existe: aí, um disco que falha é substituído à mão a partir desse mesmo ecrã.

Cache de leitura (SSD)

Armazenamento → o cartão do volume → «Cache de leitura». Só ZFS.

Um SSD à frente de discos grandes acelera as leituras repetidas. Não guarda dados: o que está lá dentro é uma cópia do que já está nos discos, por isso, se o SSD morrer, não se perde nada —apenas se volta a ler do disco lento—.

Não há «acrescentar registo de escrita» (SLOG) de propósito: só acelera as escritas síncronas —um NAS de casa escreve por SMB, que não o é— e um sem espelho que morra leva consigo as escritas pendentes. Um botão de que quase ninguém precisa e que pode custar dados não é uma funcionalidade.

Replicação para outro NAS

Armazenamento → Proteção → Replicações.

Uma cópia de segurança devolve-te os ficheiros. Uma replicação devolve-te o volume: viaja o sistema de ficheiros inteiro com toda a sua história de instantâneos, por isso, se este NAS arder, o da outra casa monta o volume e continua.

• Incremental a sério: da primeira vez viaja tudo e, daí em diante, só o que mudou.
• Com horário ou à mão.
• Testa o destino antes de guardar. A falha típica —a chave SSH sem autorização no outro dispositivo— não pode ser descoberta às três da manhã.
• A chave é a mesma das cópias de segurança: quem já a autorizou não tem de fazer nada.

O que é preciso do outro lado

• Um dispositivo com ZFS (ou Btrfs, conforme o que usares aqui) e ssh.
• Que a chave pública deste NAS esteja em ~/.ssh/authorized_keys do utilizador que indicares. O painel mostra-a para a copiares.
• Um destino já criado: no ZFS, o dataset pai (tank2 para replicar em tank2/copia); no Btrfs, a pasta.

O que convém saber

• A primeira replicação demora horas —viaja tudo—, e não tem limite de tempo, de propósito. As seguintes são minutos.
• O destino é uma cópia: o que lá tiver divergido é descartado em cada envio.
• Se alguém eliminar a replicação no outro dispositivo, o NAS dá por isso e envia o volume inteiro outra vez, em vez de falhar para sempre.

A substituição: que o segundo NAS possa entrar em funcionamento

A replicação envia os instantâneos do volume para outro NAS, inteiros e com a sua história. Isso resolve metade do problema. A outra metade é a que decide se serve para alguma coisa: no dia em que este NAS morrer, o que é preciso fazer para que as pessoas voltem a ver os seus ficheiros?

Até agora, a resposta era uma lista de passos que só quem montou o NAS sabia: entrar por SSH no segundo, tirar o só-de-leitura ao volume, montá-lo, voltar a criar as pastas da casa com os mesmos nomes e mudar o nome do servidor. Isso não é um plano: é uma lista de coisas que se fazem mal às três da manhã.

Como funciona

O dispositivo de origem deixa escrito ao de destino o que tem de fazer: um ficheiro pequeno, .lgm-relevo.json, dentro do próprio volume replicado, com o seu nome, o seu nome de servidor SMB e as suas pastas da casa com quem entra em cada uma —a lista de permissões, os dispositivos autorizados do NFS e o resto das suas definições—. Viaja pela mesma ligação SSH que a replicação já usa. É um JSON legível de propósito: no dia em que for preciso, uma pessoa tem de o conseguir ler com cat, mesmo que o painel não arranque.

No segundo NAS, esse plano aparece em Armazenamento → Proteção → Replicações como «Este dispositivo pode substituir NAS-Casa», com um botão. Quando o carregas:

1. o volume replicado deixa de ser só de leitura;
2. as suas pastas da casa são recriadas com os mesmos nomes e as mesmas permissões —que é por onde as pessoas da casa voltam a encontrar os seus ficheiros sem mudar nada—. As contas que não existirem no segundo dispositivo são indicadas pelo nome: cria-as com o mesmo nome e volta a dar-lhes acesso. E se uma pasta tinha NFS mas o plano não trazia a sua lista de dispositivos autorizados, é recriada com o NFS desligado e é feito um aviso: ligá-lo sem lista abri-la-ia a toda a rede;
3. e, só se o marcares, este dispositivo passa a anunciar-se com o nome de rede do outro.

Uma pasta que já exista aqui não é substituída: alguém pode tê-la criado antes com as suas permissões.

O ensaio

Uma vez por semana, o dispositivo de origem verifica —sem escrever nada— que o segundo poderia substituí-lo hoje: que se consegue entrar, que o volume existe lá, que tem instantâneos e que o plano está no sítio. Se alguma coisa que estava pronta deixar de estar, avisa. É a mesma ideia do exercício de restauro: testar, não prometer.

Além disso, o ensaio corrige o que encontra: se o plano não estiver lá —ou se disser algo diferente do que diria hoje—, volta a deixá-lo. É isso que mantém o plano em dia: uma pasta criada em maio, ou uma permissão atribuída na semana passada, entra na substituição no ensaio seguinte sem que ninguém tenha de se lembrar.

Porque não é automático

Com dois dispositivos e uma única ligação, «o outro não responde» e «o cabo está cortado» são indistinguíveis a partir daqui. Uma substituição automática acabaria, mais cedo ou mais tarde, com os dois NAS a escrever ao mesmo tempo e duas versões diferentes dos mesmos ficheiros. Isso chama-se split brain e é pior do que estar parado, porque não se pode desfazer: não há forma de juntar duas histórias que divergiram.

Por isso, é preciso uma pessoa a dizer «sim, o primeiro está morto». É para isso que serve o botão, e é por isso que pede confirmação.

O que a substituição não faz

• Não fica com o IP do outro dispositivo. Isso são outras peças (VRRP, keepalived) e outro tipo de rede. O que pode ficar é o nome de servidor SMB, que é por onde as pessoas da casa encontram o NAS.
• Só serve para replicações ZFS. No Btrfs, o destino recebe subvolumes, não um clone arrancável do volume.
• Não volta sozinha. Se o primeiro NAS ressuscitar, voltar à situação anterior é um trabalho à parte: é preciso decidir que versão dos dados vale, e essa é uma decisão de uma pessoa.

Vir de um Synology ou de um QNAP

Mudar de NAS é fácil de dizer e caríssimo de fazer: são três teras para copiar, vinte pastas da casa para voltar a criar com os mesmos nomes e uma lista de utilizadores que ninguém tem apontada em lado nenhum. A maioria das pessoas não muda por causa disso, não pelo preço do equipamento.

O assistente de Painel de controlo → Trazer os dados do teu NAS anterior faz a parte aborrecida e exata.

O que faz

1. Vê o que há no outro dispositivo sem lhe instalar nada: entra por SMB —que é o que todos falam— com a conta de administrador DESSE NAS. Só lê: durante a mudança, o dispositivo antigo continua a ser o que tem os dados bons, e nada deste ecrã escreve nem elimina nada nele.
2. Descobre os utilizadores. Nem o DSM nem o QuTS mostram a sua lista de contas por SMB, mas os dois guardam as pastas pessoais num recurso chamado homes, uma por pessoa: essa lista de pastas é a lista de utilizadores, e é a única coisa que se pode saber a partir de fora.
3. Copia pasta a pasta, criando aqui a pasta da casa com o mesmo nome. Se um nome não for válido neste NAS —«Mis Fotos» tem um espaço—, é proposto um que seja («Mis-Fotos») e é dito que foi mudado, em vez de recusar.

A cópia pode ser interrompida e retomada: o que já chegou não volta a ser transferido. E, no fim, contam-se os ficheiros dos dois lados, pasta a pasta, e é dito se falta alguma coisa.

As credenciais do NAS antigo não são guardadas

Existem apenas enquanto a mudança dura, num ficheiro que só o assistente privilegiado do NAS lê, e são apagadas no fim. Guardar a palavra-passe de administrador de outro dispositivo para uma mudança que dura um fim de semana é deixá-la lá para sempre. Também não aparecem na linha de comandos, porque, durante as horas que a cópia demora, qualquer pessoa que olhasse para a lista de processos as veria.

O que NÃO se pode trazer

É dito antes de começar, e não numa nota de rodapé, porque uma migração que promete demais deixa alguém a acreditar que já tem o que não tem —e isso descobre-se semanas depois, quando o NAS antigo já foi vendido—:

A ordem que menos custa

1. Traz primeiro uma pasta pequena e verifica-a: abre três ficheiros.
2. Cria os utilizadores que te tiver encontrado, com palavra-passe temporária, e avisa-os.
3. Traz o resto à noite, quando a rede está livre.
4. **Não vendas o NAS antigo enquanto não tiveres restaurado alguma coisa a sério a partir deste.** Um mês com os dois ligados custa pouco e evita o único erro irreversível da mudança.

A cifragem e as suas chaves

Cifrar um volume já era possível ao criá-lo: o ZFS fá-lo de origem. O que faltava era o depois, que é onde a cifragem se torna um problema em vez de uma proteção.

Em Armazenamento → Proteção → Saúde e encriptação → Cifragem e chaves há três coisas:

Mudar a palavra-passe

Se alguém que já não a devia saber a ficou a conhecer —um técnico, um ex-sócio, um colega de casa—, até agora a única saída era criar um volume novo e copiar três teras. Ninguém faz isso, por isso, na prática, a palavra-passe nunca era mudada.

O ZFS guarda uma chave mestra e envolve-a com a tua palavra-passe: mudá-la volta a envolver essa chave e não volta a cifrar um único byte. Demora o mesmo com um giga ou com vinte teras, por isso pode ser feito no dia em que for preciso.

Verificar que te lembras dela

Com o volume já aberto, não há nenhum sinal de que sabes a palavra-passe: só é precisa no arranque. Se te enganaste ao apontá-la, descobres meses depois, com o NAS parado.

O botão Verificar di-lo a seco: não abre nada, não monta nada e não para nada. Verifica-a de vez em quando; é um instante e evita o único erro que não tem solução.

A chave numa pen

Um corte de luz às quatro da manhã deixa o volume cifrado fechado, e com ele não há ficheiros, nem cópias, nem câmaras a gravar até alguém chegar a casa e escrever a palavra-passe. Para muita gente, isso é motivo suficiente para não cifrar, que é o pior resultado possível.

Com a chave numa pen, o NAS abre o volume sozinho enquanto esse disco estiver ligado. O que se guarda lá é a mesma palavra-passe, não outra: se perderes a pen, a palavra-passe escrita à mão continua a valer.

E o que isso significa, dito claramente: quem levar o NAS com a pen ligada leva também a chave. Isto protege do roubo de um disco —ou de um disco antigo acabar no contentor do lixo com as tuas fotos lá dentro—, não do roubo do equipamento inteiro. Se é o segundo caso que te preocupa, deixa a palavra-passe à mão e guarda a pen noutro sítio.

A folha de resgate

O botão Folha de resgate dá um texto para imprimir com o que é preciso fazer se este painel não arrancar: como importar o volume e abri-lo a partir de qualquer Linux com ZFS.

Não inclui a palavra-passe, e não é um esquecimento: o NAS não a guarda em lado nenhum, e é por isso que a cifragem serve para alguma coisa. Uma folha que a incluísse seria o elo que quebra tudo o resto. Se ninguém se lembrar da palavra-passe, os dados desse volume não podem ser recuperados: nem pelo fabricante, nem por este painel, nem por ninguém.

Discos externos (USB)

Armazenamento → Dispositivos → Discos externos.

A pen ou o disco USB que ligas durante um bocado: para trazer as fotos do portátil antigo, ou para levar alguns ficheiros para casa de alguém. Não é um volume do NAS e não precisa de o ser; aqui não se mexe em nada do que já tens montado.

Liga o disco e ele aparece sozinho na lista, com o seu nome, o que ocupa e o que tem lá dentro. Três botões:

• Abrir. O disco passa a aparecer em Ficheiros como mais uma pasta, com o nome que tiver, e pode ser lido e escrito a partir do navegador ou do telemóvel. Só o vê quem administra o NAS: uma pen com as fotos da casa não é mostrada inteira a todas as contas.
• Ejetar. Despeja no disco o que ainda estiver em memória e fecha-o. **Fá-lo sempre antes de puxar o cabo**: o que se copia pode demorar minutos a chegar mesmo ao disco, e quem puxa o cabo antes fica com um ficheiro a meio sem nenhum aviso. Se alguma coisa do disco estiver em uso, o painel recusa-se e di-lo — não dês ouvidos à pressa.
• Formatar. Deixa-o vazio em exFAT, que é o único que o Windows, o macOS e o Linux leem e escrevem sem instalar nada. Apaga tudo o que tiver e não há volta atrás; o painel pergunta-o com essas palavras e deixa-te dar-lhe um nome (até 11 letras).

O que convém saber:

• São lidos os discos de Windows (NTFS), FAT32, exFAT e Linux (ext2/3/4). Um disco de Mac com APFS ou um sistema de ficheiros estranho aparece na lista, mas sem poder ser aberto e com a explicação do porquê: formata-o se o quiseres usar aqui.
• Um disco com várias partições é aberto pela primeira que o NAS sabe ler, e o painel avisa. Se precisares das outras, tira-as a partir do dispositivo onde foram feitas.
• Um disco USB que seja parte de um volume do NAS (uma caixa externa com um disco do conjunto) não aparece aqui: para isso existe o ecrã de volumes, e retirá-lo do conjunto é outra coisa, que avisa por si.
• Se quiseres ficar com o disco dentro do NAS —que faça parte de um volume, com os seus instantâneos e o seu RAID—, este não é o teu ecrã: isso é criar ou ampliar um volume.

Para onde vai cada disco

O ecrã de Saúde diz o que o SMART diz: «bem» ou «a falhar». Esse veredicto chega tardíssimo, e convém saber porquê: o limiar de cada atributo é definido pelo fabricante, e ele põe-no onde já quase não há margem. Um disco pode ter oitenta setores realocados, centenas de leituras corrigidas e continuar a dizer «bem», porque o limiar está em vários milhares. Quando finalmente diz «a falhar», normalmente já levou alguma coisa consigo.

O que realmente prevê uma falha não é o número: é o número subir.

A cada seis horas, o NAS tira uma fotografia de quatro contadores por disco —setores realocados, setores pendentes, setores incorrigíveis e leituras não corrigidas— e compara. Se algum tiver subido, avisa mesmo que o valor absoluto seja ridículo, e diz o ritmo: «três setores em vinte dias; a este ritmo chegaria a 100 em cerca de X dias».

Os discos são seguidos pelo seu número de série e não por /dev/sdX, que muda de sítio ao reiniciar: avisar do disco errado é pior do que não avisar.

O cabo não é o disco

Há um quinto contador, os erros de transmissão (CRC), que sobe por causa de um cabo SATA mau ou mal ligado, não do disco. Quase toda a gente o confunde, troca um disco perfeitamente saudável e deixa o problema dentro do NAS.

Por isso é mostrado à parte e com todas as letras: desliga o equipamento, volta a ligar esse cabo pelas duas pontas e, se continuar a subir, troca-o. É um cabo de três euros.

Discos em rede (iSCSI)

Armazenamento → Dispositivos → Discos em rede.

Um disco do NAS que outro dispositivo vê como se fosse seu: é ele que o formata com o seu próprio sistema de ficheiros (NTFS, VMFS, ext4) e é usado por um único dispositivo de cada vez. É o que pedem o Windows Server, o Proxmox e o VMware.

Não é uma pasta da casa: o NAS empresta blocos e não sabe o que há lá dentro. Para partilhar ficheiros entre várias pessoas, usa uma pasta da casa.

• O disco é um ficheiro dentro do volume (<volume>/iscsi/<nome>.img) e **ocupa o que for usado**, não o tamanho inteiro desde o primeiro dia.
• Com palavra-passe (CHAP) ou sem ela. Se a puseres, tem de ter **entre 12 e 16 caracteres**: é o que o iniciador do Windows aceita, e dizê-lo aqui poupa o «não liga e não diz porquê» do outro lado.
• Só estes dispositivos. Podes indicar que dispositivos o podem montar, um por linha. Vazio, qualquer um que chegue à porta. É a segunda fechadura: a palavra-passe pode ser contada, o nome do dispositivo não viaja.
• Um disco que um dispositivo tem montado não pode ser removido. Não daria um erro: corromperia o que esse dispositivo tivesse a meio de escrever. Pela mesma razão, também não se lhe muda a lista de dispositivos enquanto está montado: desliga-o primeiro a partir do dispositivo que o usa.
• O painel não guarda a sua própria lista: mostra a configuração que o sistema vai restaurar ao arrancar, por isso não pode dizer uma coisa enquanto um servidor vê outra.

Onde está o nome de um dispositivo

Cada dispositivo apresenta-se com um nome longo que começa por iqn. (o «iniciador»). É esse que se cola em Só estes dispositivos, e copia-se do próprio dispositivo:

Fica qualquer coisa como: iqn.1991-05.com.microsoft:mi-pc. Copia-se inteiro, tal como está, sem aspas.

Como se liga um Windows

1. Iniciador iSCSI (vem com o Windows) → cola o endereço que o painel mostra (<ip-do-nas>:3260) → Ligação Rápida.
2. O disco aparece em Gestão de Discos como um novo sem formatar.
3. Inicializa-o e formata-o como qualquer disco.

Medir a velocidade dos discos

Em Armazenamento, «Medir velocidade» lê cada disco e escreve em cada volume, um de cada vez, e guarda o resultado junto a cada um («180 MB/s a 8 set.»). Um disco que mede menos de metade do que da vez anterior aparece marcado a âmbar: é o sinal de que vai falhar antes de falhar. O teste para ao fim de 60 segundos por disco e não é feito enquanto houver uma eliminação ou uma substituição de disco em curso.