Odpověď hned: NAS pro malou firmu vybírejte podle toho, jak rychle potřebujete obnovit data, jak rychle data přibývají a kam se budou zálohovat. Na samotné kapacitě disků záleží méně. Instalace musí zahrnovat účty a oprávnění, snapshoty, zálohu mimo budovu a zabezpečený vzdálený přístup. Na konci má zákazník dostat dokumentaci a všechny správní přístupy.
NAS se navrhuje podle provozu, ne podle terabajtů
Firemní NAS neslouží jen k odkládání dokumentů. Rozhoduje o tom, kdo se dostane ke smlouvám a jak rychle obnovíte omylem smazanou složku. Určuje také, co se stane po poruše disku a jestli data přežijí krádež, požár nebo ransomware.
Návrh proto nezačíná výběrem modelu. Nejdřív potřebujeme vědět:
- kolik dat firma skutečně používá a jak rychle přibývají,
- kolik lidí pracuje se soubory současně,
- zda NAS ponese jen dokumenty, nebo i databáze, virtuální stroje či kamerové záznamy,
- jak dlouhý výpadek firma unese,
- která data musí být k dispozici i po napadení nebo zničení kanceláře,
- kdo bude NAS spravovat po předání.
Výsledkem nemá být zařízení, kterému rozumí jen jeden technik. Zákazník dostane správní přístupy, popis konfigurace a postup obnovy. Pokud chcete návrh, instalaci a předání svěřit nám, v rámci IT služeb pro firmy to v Brně uděláme za vás.
Dvě, čtyři, nebo více šachet?
Počet šachet neurčuje jen dnešní kapacitu. Rozhoduje také o tom, jakou redundanci zvolíte, jak půjde pole rozšířit a jak dlouho bude po výměně vadného disku trvat obnova pole.
| Počet šachet | Kdy dává smysl | Hlavní omezení |
|---|---|---|
| 2 | Menší objem dokumentů, jednoduché sdílení, samostatná záloha jinde | Při zrcadlení je využitelná zhruba polovina hrubé kapacity, dvouparitní pole nejde |
| 4 | Běžná malá firma, růst dat, snapshoty, více zálohovacích úloh | Vyšší pořizovací cena, ale výrazně víc možností konfigurace |
| 6 a více | Virtuální stroje, větší databáze, video, požadavek na dvouparitní pole | Vyšší nároky na chlazení, UPS, správu a plán obnovy |
Pro kancelářské dokumenty může stačit dvoušachtový Synology DS224+. Čtyřšachtový Synology DS923+ nebo QNAP TS-464 nechává prostor pro rozšíření i pro jiné uspořádání pole. Ani jeden z nich ale není univerzální doporučení. Před nákupem ověřujeme výkon procesoru, velikost a rozšiřitelnost paměti, síťová rozhraní, podporovaný souborový systém a kompatibilitu disků. Synology u novějších řad pravidla pro disky třetích výrobců měnila, proto u každého modelu kontrolujeme aktuální seznam kompatibility.
Rozdíly mezi DSM a QTS, včetně omezení jednotlivých modelových řad, rozebírá srovnání Synology a QNAP pro firmy.
SHR, nebo klasický RAID?
Synology Hybrid RAID (SHR) usnadňuje postupné rozšiřování pole i disky různé velikosti. Se dvěma disky se SHR-1 chová jako zrcadlo. Se třemi a více disky funguje podobně jako RAID 5 a přežije výpadek jednoho disku. SHR-2 počítá se dvěma redundantními disky a potřebuje nejméně čtyři.
Klasický RAID volíme tam, kde firma chce standardní a předem pevně dané uspořádání. RAID 1 je zrcadlo dvou disků. RAID 5 obětuje kapacitu jednoho disku na paritu a potřebuje nejméně tři disky. RAID 6 obětuje kapacitu dvou disků a RAID 10 kombinuje zrcadlení s prokládáním. RAID 6 i RAID 10 potřebují nejméně čtyři disky.
SHR ani RAID nechrání před smazáním souboru, ransomwarem, chybou správce nebo zničením celého NAS. Jejich úkolem je udržet provoz, když selže disk. Výpočty využitelné kapacity a rizika jednotlivých úrovní shrnuje článek RAID 0, 1, 5, 6, 10 a SHR prakticky.
Proč nestačí libovolný „NAS disk“
Pro firemní pole vybíráme řady s technologií záznamu CMR určené pro nepřetržitý provoz: WD Red Plus a Red Pro, Seagate IronWolf a IronWolf Pro nebo Toshiba N300.
Samotné označení „Red“ ale nestačí. Obyčejné WD Red o kapacitě 2 až 6 TB s koncovkou EFAX, například WD40EFAX, používají záznam SMR. Při dlouhém souvislém zápisu, typicky během obnovy pole po výměně disku, se u nich výrazně propadá rychlost. Pole se pak obnovuje velmi dlouho, nebo disk z pole úplně vypadne. Jak se SMR a CMR od sebe liší a jak je poznat podle typového čísla, vysvětluje přehled CMR a SMR disků.
WD Purple je určený hlavně pro kamerové rekordéry a souvislý zápis videa. Nenahrazuje NAS disk pro dokumenty, databáze nebo virtuální stroje.
Kromě kapacity řešíme při výběru disků i očekávaný růst dat a délku obnovy pole u velkých disků. Důležité je také, aby byl náhradní kus rychle k dispozici a aby na svazku zbylo místo pro snapshoty.
Btrfs snapshot není záloha, ale rychle napraví chybu
U kompatibilních modelů Synology vytváříme svazek Btrfs. U důležitých sdílených složek zapínáme kontrolu dat pomocí kontrolních součtů. Toto nastavení se volí při vytvoření složky a později ho zapnout nejde. Kontrolní součty odhalí poškozený datový blok, který SMART disku nezachytí. Pokud je pole redundantní, DSM umí blok opravit z druhé správné kopie.
Snapshot zachytí stav sdílené složky v určitém okamžiku. Uživatel díky němu rychle získá dokument, který omylem přepsal nebo smazal. Obvyklý výchozí bod je snapshot každou hodinu během pracovní doby a denní snapshoty pro delší historii. Konečné nastavení ale záleží na objemu změn a volném místě.
Snapshot ale zůstává ve stejném NAS. Když zařízení selže, někdo ho odcizí nebo útočník ovládne účet správce, přijdete o data i o snapshoty. DSM 7.2 na podporovaných modelech přidalo neměnné snapshoty, které po zvolenou dobu nesmaže ani administrátor. Jejich délku je nutné navrhnout předem, protože zabírají místo, dokud nevyprší.
Co při instalaci skutečně nastavujeme
Vytvořením storage poolu instalace teprve začíná. Standardní rozsah konfigurace zahrnuje:
- vlastní účet pro každého uživatele místo jednoho společného přihlášení,
- skupiny podle rolí, například vedení, účetní a obchod,
- sdílené složky a oprávnění podle skutečné potřeby práce,
- oddělený účet správce s vícefaktorovým ověřením a vypnutý výchozí účet
admin, - snapshoty, jejich uchovávání a hlídání volné kapacity,
- plánovanou kontrolu integrity pole (data scrubbing) a testy SMART,
- upozornění na stav disků, selhání zálohy, teplotu a zaplnění,
- plán aktualizací DSM nebo QTS a nainstalovaných balíčků,
- řízené vypnutí přes kompatibilní UPS připojenou kabelem USB nebo po síti,
- zálohu konfigurace NAS.
Oprávnění ověřujeme přihlášením jako běžný uživatel. Pohled administrátora nestačí, protože vidí všechno. Neukáže vám, že zaměstnanec otevře cizí složku nebo se naopak nedostane ke svým souborům.
Záloha mimo budovu podle pravidla 3-2-1
Pravidlo 3-2-1 znamená tři kopie dat na dvou různých úložištích, z nichž jedna leží mimo hlavní lokalitu. RAID a snapshoty ve stejném NAS tři nezávislé kopie netvoří.
Vzdáleným cílem může být druhý NAS v jiné budově, objektové úložiště nebo spravovaná cloudová záloha. Na Synology k tomu slouží Hyper Backup nebo Snapshot Replication, na QNAP Hybrid Backup Sync. Zálohovací cíl nesmí sdílet přihlašovací údaje se správcem produkčního NAS. Pokud útočník získá jeden účet pro všechno, smaže i zálohu.
Po prvním běhu nestačí zelená ikona úlohy. Obnovíme vybranou složku na jiné místo a do dokumentace zapíšeme datum, obnovený vzorek a výsledek. Jak takový test udělat a zapsat, popisuje návod test obnovy zálohy a jeho dokumentace.
NAS nevystavujeme přímo do internetu
Sdílení SMB, správcovské rozhraní DSM nebo QTS ani SSH nemají být dostupné z internetu přes přesměrované porty. Ransomware DeadBolt v roce 2022 napadal právě QNAP zařízení dostupná z internetu a šifroval data přímo v NAS. Na routeru proto vypínáme UPnP a rušíme nepotřebná přesměrování portů. Automatické přesměrování zapnuté v NAS vypínáme také.
Synology QuickConnect není totéž co ručně otevřený port, ale pořád vytváří cestu k zařízení zvenčí. Pokud ho firma nepotřebuje, vypínáme ho. Pokud vzdálený přístup potřebuje, omezíme dostupné služby a zapneme vícefaktorové ověření. Přednost má firemní VPN nebo ZTNA.
Dodavatel se při vzdálené správě nemá přihlašovat hlavním účtem zákazníka. Dostane vlastní pojmenovaný servisní účet s omezenými právy, který může zákazník kdykoli zablokovat.
Jak probíhá instalace NAS v Brně
Nejdřív projdeme data, uživatele, aplikace a stávající zálohy. Podle toho navrhneme zařízení, disky, uspořádání pole, využitelnou kapacitu a zálohu mimo budovu.
NAS připravíme, aktualizujeme a otestujeme ještě před migrací. Migraci plánujeme tak, aby bylo jasné, kdy se staré úložiště přepne jen pro čtení a odkdy zaměstnanci pracují na novém. Po zkopírování porovnáme počty souborů, zkontrolujeme oprávnění a ověříme, že se důležité soubory otevírají.
Předání zahrnuje praktickou zkoušku. Uživatel se přihlásí a otevře sdílenou složku. Obnovíme soubor ze snapshotu, zkontrolujeme poslední zálohu a vysvětlíme, co znamenají jednotlivé výstrahy.
Pokud místo nové instalace řešíte stávající NAS s degradovaným polem nebo nedostupným svazkem, nic nepřestavujte ani neinicializujte. Jednoduché prvotní posouzení NAS a jeho disků může být zdarma; analýzu více disků nebo rekonstrukci pole předem naceníme.
Co má obsahovat předávací dokumentace
Zákazník dostane minimálně:
- výrobce, model, sériové číslo a osazení disků po šachtách,
- popis storage poolu, typu RAID nebo SHR a souborového systému,
- seznam sdílených složek a přehled oprávnění,
- síťové nastavení a fyzické umístění zařízení,
- zálohovací úlohy, jejich cíle a pravidla uchovávání,
- nastavení snapshotů, kontroly integrity, aktualizací a upozornění,
- záznam prvního testu obnovy,
- správní přístupy předané bezpečnou cestou,
- postup při poruše disku, výpadku NAS a selhání zálohy.
Hesla nepatří do PDF poslaného e-mailem. Předáváme je zvlášť, ideálně do správce hesel zákazníka. Firma tak může správu kdykoli převzít sama nebo ji předat jinému dodavateli.
Kolik instalace stojí a co má být v nabídce
Cena závisí na modelu NAS, počtu uživatelů, objemu migrace, složitosti oprávnění, zálohovacím cíli a rozsahu dokumentace. Nabídka má zvlášť uvádět hardware, disky, UPS, zálohovací úložiště, práci na migraci a případnou následnou správu.
Nízká cena samotného NAS nic neříká o tom, zda půjde data obnovit a zda bude řešení předatelné. Pokud zvažujete i pravidelnou správu, orientační náklady rozebírá článek kolik stojí správa IT pro malou firmu.
Jak poznáte dobře předaný NAS
Po dokončení musíte umět odpovědět na pět otázek:
- Kdo má správní přístup?
- Kdo vidí kterou složku?
- Kdy proběhla poslední záloha?
- Umíme obnovit konkrétní soubor?
- Co uděláme při poruše disku?
Pokud odpovědi zná jen dodavatel, NAS není řádně předaný.
Časté otázky
Stačí malé firmě dvoušachtový NAS?
Ano, pokud jde o menší objem dokumentů, jednoduché sdílení a existuje samostatná záloha mimo NAS. Čtyřšachtový model se vyplatí, pokud čekáte růst dat, chcete víc možností redundance nebo potřebujete oddělit různé typy úloh.
Je lepší Synology SHR, nebo RAID 1?
U dvou stejně velkých disků je výsledek prakticky stejný: data přežijí poruchu jednoho disku. SHR je pružnější, když později přidáte nebo vyměníte disky za větší. RAID 1 je jednodušší a předvídatelná volba, pokud rozšíření neplánujete.
Chrání snapshoty před ransomwarem?
Umožní rychle obnovit starší verzi souborů, ale běžný snapshot ve stejném NAS není samostatná záloha. Proti ransomwaru pomáhá oddělená kopie mimo NAS s vlastními přístupy a podle možností i neměnné snapshoty.
Musí být zapnutý QuickConnect?
Ne. Pokud zaměstnanci pracují jen v kanceláři nebo se připojují přes VPN, může zůstat vypnutý. Když pro něj existuje konkrétní důvod, omezíme dostupné služby a účty zabezpečíme vícefaktorovým ověřením.
Dostaneme po instalaci všechny přístupy?
Ano. Správní účet i dokumentace patří zákazníkovi. Pokud následnou správu dělá ITHOPE, používáme samostatný servisní účet. Zařízení nesmí být technicky závislé jen na nás.