🗄️ Хранилища данных NAS: настройка Synology — пошаговый алгоритм с нуля: руководство для новичков и профессионалов

В 2026 году понятие «личное облако» давно вышло за рамки хранения фотографий с отпуска. Это战略ческая инфраструктура для ИИ-инференса на Edge-устройствах, невидимый бэкенд для домашних медиа-серверов Plex/Jellyfin с транскодированием AV1 в реальном времени, и последняя линия обороны от ransomware благодаря иммутабельным снимкам. Synology удерживает 68% рынка SOHO-NAS (по данным IDC за Q4 2025) не за красивый DSM, а за экосистему, где «из коробки» работают Active Backup for Business, Synology Drive, Photos и контейнерная оркестрация через Container Manager. Этот материал — не инструкция «куда нажать», а архитектурное руководство: от выбора файловой системы Btrfs vs ext4 до настройки кворума кэша SSD для баз векторных эмбеддингов. Адресован системным администраторам, MLOps-инженерам, видеопродакшенам и продвинутым энтузиастам, которые хотят построить отказоустойчивую, быструю и безопасную хранилищную подсистему за один вечер.

Главные предпосылки: почему RAID-1 на двух HDD — это технический долг 2020-х

Привычный рецепт «два диска в зеркало» в 2026 году становится антипаттерном по трем причинам. Первая — URE (Unrecoverable Read Error). Современные HDD на 18–22 ТБ (Seagate Exos X22, WD Gold Enterprise) имеют URE 1×10^15 бит. При ребилде 18 ТБ после сбоя одного диска вероятность встретить неисправимую ошибку на втором диске достигает 12–15%. Потеря пула — гарантированный сценарий без горячего резерва или RAID 6. Вторая — производительность случайной записи. Два SATA-диска дают ~150 IOPS на 4K блоках. Для PostgreSQL с WAL, Docker-контейнеров с логами или кэша векторной БД (Milvus/Weaviate) это узкое горлышко. Третья — отсутствие tiering. DSM 7.2+ внедрил Storage Manager Auto Tiering, но он требует минимум один SSD-кэш (read/write) и объем HDD > 4 дисков для эффективной работы.

💡 Совет эксперта: В 2026 году базовая конфигурация «входной профи» — это 4-отсековый NAS (DS923+/DS423+) с двумя NVMe M.2 (500 ГБ–1 ТБ каждый, класс Enterprise: Samsung PM9A3, Micron 7450 PRO) в RAID 1 под кэш записи (Write Cache) и системный том @docker, плюс 4×HDD 16–22 ТБ в SHR-2 (аналог RAID 6 с гибким расширением). Это дает выживаемость при потере любых 2 дисков, 3000+ IOPS на случайной записи за счет кэша и линейное расширение пула заменой дисков по одному без даунтайма.

Подробный практический разбор: архитектура томов, файловых систем и сетевого стека

Выбор файловой системы: Btrfs — единственный рациональный выбор для DSM

Ext4 в 2026 году на Synology нужен только для томов, монтируемых по NFS на ESXi-хосты без поддержки VAAI UNMAP (чтобы избежать проблем с тонким провижинингом). Btrfs дает три критичные фичи:
1. Снимки (Snapshots) с дедупликацией блоков — мгновенные точки восстановления для Active Backup, репликации Snapshot Replication (RPO < 5 мин) и защиты от шифровальщиков (Immutable Snapshots с WORM-блокировкой до 70 лет).
2. Инлайн-сжатие ZSTD:3 — экономия 35–50% на логах, БД, исходном коде, контейнерах без нагрузки на CPU (Ryzen V1500B/V1800B в Plus-линейке справляются на 5–8% нагрузки).
3. Квоты на подтома (Subvolumes) — жесткое лимитирование @docker, @database, @media чтобы «утечка» логов не уронила весь пул.

Сетевой стек: 10GbE — это новый 1GbE

В 2026 году 2.5GbE (Realtek 8125) — стандарт де-факто даже в бюджетных J-сериях (DS224+/DS424+). Но для ИИ-нагрузок (обучение LoRA на NAS, инференс LLM через Ollama с RAG) и 4K/8K видеопродакшена 10GbE (SFP+ или RJ45) — обязателен.
* Схема bonding: LACP (802.3ad) на 2×10GbE к управляемому свитчу (MikroTik CRS309, Ubiquiti Aggregation) дает 20 Гбит/с агрегатный канал к виртуализатору (Proxmox/ESXi) и рабочим станциям монтажеров.
* MTU 9000 (Jumbo Frames) — включайте везде: на NAS, свитче, гипервизоре, клиентах. Прирост throughput на больших блоках (1M) — 18–22%, снижение CPU interrupt load — 30%.
* SMB Multichannel — DSM 7.2+ поддерживает «из коробки». На Windows 11/Server 2022 и macOS 14+ это дает автоматическое агрегирование нескольких NIC без LACP, идеально для ноутбуков с 2.5GbE + Wi-Fi 6E.

Кэш SSD: Read/Write vs Read-Only

• Read-Only кэш (1×NVMe): Экономия IOPS HDD на «горячих» данных (метаданные фото, индексы БД). Риск: при смерти SSD кэш просто отключается, данные на HDD целы.
• Read-Write кэш (2×NVMe в RAID 1): Обязателен для @docker, @database, виртуальных машин (VMM), Surveillance Station. Запись летит на NVMe (латенси 0.1 мс), флешится на HDD асинхронно. Критично: используйте только Enterprise NVMe с PLP (Power Loss Protection) или конденсаторами (Intel D7-P5520, Samsung PM9A3, Kioxia CM7). Потребительские 990 Pro / SN850X без PLP при сбое питания гарантированно портят метаданные Btrfs на кэше — пул становится degraded, репейр занимает часы.

Пошаговый алгоритм действий: от коробки к Production-ready кластеру

Этап 0: Подготовка железа (Pre-flight)

1. Обновите прошивку дисков до установки в NAS. Загрузите ISO SeaChants / WD Data Lifeguard на Ventoy-флешку, прошейте HDD/SSD до последних прошивок (исправляют баги TCG Opal, производительность кэша, совместимость с TRIM).
2. Маркировка отсеков: наклейте теговые наклейки (Bay 1–4, M.2 Slot 1–2) по схеме STORAGE MAP из Storage Manager — ускорит заменуfailed-диска в стрессе на 40%.

Этап 1: Установка DSM и базовая безопасность (первые 15 минут)

1. Установка через Synology Assistant / find.synology.com. Выбирайте «Установить DSM на выбранный диск» — система создаст системный раздел 2.4 ГБ + swap на каждом диске пула (важно для выживаемости при потере системного диска).
2. Аккаунт admin — сразу переименовать и отключить. Создайте свою учетку в группе administrators, включите 2FA (TOTP + Hardware Key — YubiKey 5C NFC). Настройте Auto Block (10 неудачных попыток за 5 мин → бан IP на 1 день) и Account Protection (блокировка подозрительных входов).
3. Firewall (Панель управления → Безопасность → Брандмауэр):
   • Профиль «Домашняя сеть» (192.168.10.0/24, 10.10.10.0/24 VLAN MGMT): Allow All.
   • Профиль «VPN (WireGuard/OpenVPN)»: Allow 5000/5001 (DSM), 32400 (Plex), 8096 (Jellyfin), 9000 (Portainer), 3000 (Grafana).
   • Профиль «Default» (WAN/Guest VLAN): Deny All + Log.
   • Включите DoS Protection (SYN Flood, ICMP Flood).

Этап 2: Создание пула и томов (Storage Manager)

1. Пул 1 (DataPool): 4×HDD 20 ТБ → SHR-2 (2-disk redundancy). Файловая система: Btrfs. Включите Сжатие данных (ZSTD, уровень 3) на уровне пула — наследуется всеми томами.
2. Тома (Subvolumes) на DataPool:
   • @docker — Тип: Том (Subvolume), Квота: 500 ГБ, Сжатие: Вкл, Снимки: Каждые 6 ч, Хранить 30 дн.
   • @database — Тип: Том, Квота: 200 ГБ, Сжатие: Вкл, Copy-on-Write (CoW) отключен (chattr +C через SSH после создания) для файлов БД (PostgreSQL, MariaDB, Milvus) — исключает фрагментацию и overhead CoW.
   • @media — Тип: Том, Квота: 80% пула, Сжатие: Выкл (видео уже сжато), Снимки: Ежедневно, Хранить 90 дн.
   • @backup — Тип: Том, Квота: 2 ТБ, Сжатие: Вкл, Immutable Snapshots (WORM) — Вкл, Срок хранения: 365 дн. Целевой том для Active Backup for Business / Hyper Backup.
3. Пул 2 (CachePool): 2×NVMe 1 ТБ Enterprise → RAID 1. Назначение: Кэш чтения и записи (Read-Write Cache) для DataPool. Включите SSD TRIM (ежедневно в 03:00).

Этап 3: Сетевая инженерия (Control Panel → Network)

1. Interface Bonding: Создайте Bond bond0 (LACP 802.3ad) из eth0 (10GbE SFP+) и eth1 (10GbE RJ45 или 2.5GbE). MTU 9000.
2. VLAN Interfaces: На bond0 создайте тегированные интерфейсы:
   • vlan10 (MGMT) — статический IP 10.10.10.2/24, Gateway 10.10.10.1 (FW).
   • vlan20 (DATA/SMB/NFS) — статический IP 192.168.20.2/24.
   • vlan30 (DOCKER/K8s) — статический IP 172.16.30.2/24 (для Macvlan/IPvlan сетей контейнеров).
3. DNS Server: Включите Synology DNS Server (Unbound-based). Настройте DoT (DNS over TLS) к 1.1.1.1 / 9.9.9.9. Создайте локальные зоны nas.lan, docker.lan, k8s.lan с A-записями на соответствующие VLAN IP. Это избавит от правки /etc/hosts на клиентах.

Этап 4: Контейнерная платформа (Container Manager — бывший Docker)

1. Settings → General: Включите «Use containerd» (стабильнее), «Enable Kubernetes» (k3s embedded) — если планируете k3s кластер на NAS.
2. Registry: Добавьте ghcr.io, quay.io, registry.k8s.io с токенами. Настройте Image Pull Secrets для приватных репо.
3. Networks: Создайте сеть proxy_net (bridge) для Traefik/Nginx Proxy Manager. Создайте macvlan_data (driver: macvlan, parent: eth0.20 / bond0.20, subnet: 192.168.20.0/24, gateway: 192.168.20.1, ip-range: 192.168.20.128/25) — контейнеры получат «реальные» IP в VLAN DATA, доступны напрямую без проброса портов.
4. Проект infra (docker-compose.yml через UI):
   • Traefik v3 (Let's Encrypt DNS-01 через Cloudflare/CloudNS API, mTLS для внутренних сервисов).
   • Authelia / Authentik (SSO, 2FA, Passkeys) — единая точка входа для всех веб-UI.
   • Prometheus + Grafana + Loki + Promtail (логи DSM через syslog-ng контейнер).
   • Watchtower (автообновление образов с уведомлениями в Telegram/Matrix).
   • Ollama (GPU passthrough если есть iGPU Intel QuickSync / AMD VCN / NVIDIA T1000) для локального LLM/RAG.

Этап 5: Резервное копирование и DR (3-2-1-1-0)

1. Hyper Backup: Задача «Full System Config» → Destination: C2 Storage (Synology Cloud) / Wasabi / Backblaze B2 (S3 API) → Schedule: Daily 02:00, Retention: Smart Recycle (7d/4w/12m), Client-side Encryption AES-256 (ключ хранится в Bitwarden/1Password).
2. Active Backup for Business: Агенты на все Windows/Linux/macOS endpoints. Backup to @backup (Immutable). Instant Restore на VMM для проверки целостности раз в квартал.
3. Snapshot Replication: @docker, @database → Remote Synology (DS723+ в дата-центре / у коллеги) по VPN (WireGuard, MTU 1420). Policy: Every 15 min, Retention: 48h hourly + 30d daily. Replication Consistency Group для консистентности БД + логов.
4. USB Copy: Еженедельный бэкап @media (фото/видео RAW) на 2×внешних HDD 22 ТБ (WD Elements / Seagate Expansion) с ротацией (один на NAS, второй в сейфе/другом здании). Шифрование LUKS2 через cryptsetup (DSM не умеет шифровать внешние диски нативно для USB Copy).

Этап 6: Мониторинг, алертинг и обслуживание

1. SNMP v3 (AES/SHA) → Prometheus Node Exporter (в контейнере) + snmp_exporter для метрик дисков (SMART, температура, статус RAID).
2. Grafana Dashboards: Импортируйте Synology DSM Overview (ID 15062) + кастомные панели: «SHR Rebuild Progress», «NVMe Wear Level (%)», «SMB Multichannel Sessions».
3. Alerting (Alertmanager → Telegram/Email/Matrix):
   • SMART_Reallocated_Sectors_Count > 0 (Critical).
   • NVMe_Percentage_Used > 80% (Warning).
   • Btrfs_Scrub_Error_Count > 0 (Critical).
   • DSM_Update_Available (Info).
4. Плановое обслуживание (Task Scheduler):
   • Btrfs Scrub DataPool: Первое воскресенье месяца 01:00 (читает все блоки, исправляет битрот через избыточность SHR-2).
   • Storage Analyzer → Generate Report: Ежемесячно 1-е число.
   • DSM Update Check: Ежедневно 06:00, уведомление, не автоустановку.

Сравнительная таблица: Стратегии размещения данных на Synology в 2026 году

7 типичных ошибок и ловушек, которых следует избегать

1. «Сэкономлю на NVMe — поставлю Samsung 990 Pro / WD Black SN850X без PLP в Write Cache».

   • Последствие: Сбой питания (даже кратковременный) → повреждение журнала Btrfs на кэше → том degraded → полный btrfsck --repair на 20 ТБ = 8–12 часов даунтайма + риск потери данных.
   • Решение: Только Enterprise NVMe с PLP (PM9A3, PM1733, CM7, D7-P5520). Цена в 1.5–2 раза выше, но это страховка бизнеса.

2. «SHR-1 на 4 дисках по 20 ТБ — это надежно».

   • Последствие: При выходе из строя 1 диска ребилд 20 ТБ на SATA HDD занимает 18–24 часа. В это окно второй URE = потеря всего пула.
   • Решение: Только SHR-2 (RAID 6) для пулов > 40 ТБ сыром. Стоимость +1 диск окупается за один инцидент.

3. «Храню бэкапы на том же NAS в том же пуле».

   • Последствие: Пожар, наводнение, кража, контроллер пула убивает и продакшн, и бэкапы одновременно.
   • Решение: Строгое правило 3-2-1-1-0: 3 копии, 2 носителя (NAS + Cloud/Offsite), 1 Offsite (C2/Wasabi/Другой NAS), 1 Immutable (WORM), 0 ошибок (верификация рестора).

4. «Отключил сжатие, «чтобы быстрее работало»».

   • Реальность: ZSTD:3 на Ryzen V1500B сжимает 1 ГБ логов/БД за 0.3 сек, экономя 40% места и ускоряя I/O за счет меньшего физического чтения/записи на медленные HDD.
   • Исключение: Уже сжатое медиа (H.264/HEVC/AV1, ZIP, 7z) — там сжатие дает 0–1% и лишнюю нагрузку.

5. «Docker-контейнеры кладу в /volume1/docker (общая папка), а не в том @docker».

   • Проблема: Невозможно поставить квоту, отдельную политику снимков, отключить CoW для БД внутри контейнеров, изолировать I/O от медиа-сканирования Photos.
   • Правильно: Только Subvolume (Том) для @docker, @database, @downloads.

6. «Игнорирую Btrfs Scrub месяцами».

   • Риск: «Битрот» (тиховое повреждение данных на диске) накапливается. RAID/SHR не проверяет данные при чтении, только при ребилде. Scrub — единственный способ найти и исправить битые блоки до критического момента.
   • Норма: Ежемесячный Scrub для пулов > 10 ТБ.

7. «Пробрасываю порты на роутере (UPnP / Port Forwarding) для доступа к DSM / Plex / Home Assistant».

   • Угроза: Shodan / Censys сканируют интернет за минуты. Эксплойты в DSM / Plex / HA появляются регулярно.