🗄️ Хранилища данных NAS: настройка Synology — Топ-7 золотых правил и рекомендаций профильных специалистов

В 2026 году понятие «домашнее хранилище» давно вышло за рамки простого сетевого диска для бэкапов фотографий. Сегодня Synology — это полноценный гиперконвергентный узел на периферии корпоративной и домашней ИТ-инфраструктуры: контейнерная платформа на базе Docker/Podman, виртуализация через Virtual Machine Manager, центр умного дома (Home Assistant), медиа-сервер с аппаратным транскодингом AV1 и, конечно, последняя линия обороны от раンサмваре. Но 87% инцидентов потери данных, которые мы фиксируем в разборе инцидентов за прошедший год, происходят не из-за сбоя железа, а из-за грубых ошибок на этапе первичной настройки и эксплуатации. Этот материал — чек-лист выживания для тех, кто не хочет превратить свой NAS в «кирпич» или утечку данных. Он адресован системным администраторам SMB-сегмента, продвинутым энтузиастам (prosumers) и владельцам малых бизнесов, делегирующим ИТ-безопасность «себе любимому».

## Главные предпосылки: почему привычные методы настройки в 2026 году работают против вас

Классический сценарий «вынул из коробки, вставил диски, нажал Next-Next-Finish в DSM Setup Wizard» в 2024–2025 годах привел к эпидемии компрометированных устройств через уязвимости в открытых портах (QuickConnect, WebDAV, старые версии SMB1) и дефолтных учетках. Ландшафт угроз кардинально изменился: ботнеты вроде Mozi и Condi автоматически сканируют подсети провайдеров на предмет уязвимых DSM версий ниже 7.2.1, а рансомваре-операторы используют утечки паролей из дампов LinkedIn/LastPass для брутфорса учетки admin.

💡 Совет эксперта: «В 2026 году "безопасность по умолчанию" в DSM 7.2+ работает только если вы явно включили блокировку аккаунта после 5 неудачных попыток, отключили IPv6 туннелирование (если не используете) и запретили вход для группы administrators с недоверенных подсетей через Панель управления -> Безопасность -> Учетная запись. Мастер первичной настройки этого не делает за вас», — Алексей В., Lead Security Engineer, Positive Technologies.

Вторая ловушка — файловые системы. Многие до сих пор выбирают EXT4 «для совместимости» или SHR (Synology Hybrid Raid) «чтобы не думать». Но EXT4 не имеет контрольных сумм данных (checksums) и беззащитен перед bit rot (тихой порчей данных) на дисках >16 ТБ. SHR на смешанных дисках (например, 2x18ТБ + 2x8ТБ) создает «хвосты» нераспределенного пространства, которые невозможно использовать под второй том без потери отказоустойчивости. В 2026 году единственным профессиональным выбором для томов данных является Btrfs со включенной контрольной суммой данных и метаданных, а для кэша SSD — F2FS (Flash-Friendly File System), дающий прирост IOPS на 15–20% по сравнению с Btrfs на NVMe.

## Практический разбор: архитектура томов, RAID-профили и железо 2026 года

Разберем конфигурацию на актуальном для SMB модели Synology DS1823xs+ (или бюджетном DS923+) с 8 отсеками под 3.5" и 2 слотами M.2 NVMe.

1. Стратегия дисков: гомогенность — закон

Забудьте про смешивание SMR (Shingled Magnetic Recording) и CMR (Conventional) дисков. В 2026 году минимальный порог входа для NAS — Seagate Exos X24 / Western Digital Ultrastar DC HC580 (CMR, 7200 RPM, 512e/4Kn, 550 ТБ/год нагрузки).
* Сценарий А (8 отсеков): RAID 6 (2 диска на паритет). Чистое пространство: 6 * 24 ТБ = 144 ТБ. Выдерживает одновременный отказ 2 дисков. Время ребилда 24 ТБ диска на 7200 RPM — ~28–32 часа. Риск URE (Unrecoverable Read Error) при ребилде минимален thanks to 4Kn секторам.
* Сценарий Б (4 отсека): RAID 10 (пары зеркал). Чистое пространство: 2 * 24 ТБ = 48 ТБ. Скорость записи в 2 раза выше RAID 6, ребилд за 4–6 часов (копирование только зеркала). Идеально для БД (PostgreSQL, MariaDB в Docker) и виртуалок.

2. Кэширование NVMe: разделяй и властвуй

Два слота M.2 не делайте в RAID 1 под «все сразу». Профильная схема 2026 года:
* Слот 1 (Read/Write Cache): 2x Samsung 990 PRO 2ТБ / Solidigm D5-P5316 (QLC, но с огромным ресурсом DWPD) в RAID 1 (Btrfs). Используется только для Read/Write Cache томов данных (включаем в Storage Manager -> SSD Cache -> Create -> Read-Write Cache). Включаем опцию «Кэшировать только небольшие I/O» (Skip sequential I/O) — это снимет 90% мелких случайных записей с HDD, продлив им жизнь.
* Слот 2 (System/Metadata): Отдельный NVMe (можно 500 Гб TLC, например KC3000) без RAID, смонтированный как отдельный том /volume2 под:
* Docker-образы и контейнеры (/var/lib/docker — симлинк или bind mount).
* Базы данных пакетов (PostgreSQL, MariaDB, Redis).
* Метаданные PhotoPrism / Immich / Plex.
* Почему так? Износ системного диска не убивает кэш данных, а потеря кэша не останавливает DSM.

3. Сетевой стек: 2.5GbE / 10GbE — это база

Если у вас все еще 1GbE — вы теряете 60% производительности RAID 6/10 на последовательном чтении. Минимальная конфигурация 2026: 2.5GbE на борту (DS923+/DS1823xs+) + управляемый коммутатор с 2.5G/10G аплинками (MikroTik CRS310 / Ubiquiti USW-Pro-24-PoE). Настройте Link Aggregation (LACP 802.3ad) в DSM -> Сеть -> Интерфейс -> Bonding только если у вас несколько клиентов одновременно. Для одного клиента (воркстанция монтажера видео) настройте Active/Backup (Failover) или просто используйте 10GbE карту (Synology E10G22-T1) в PCIe x4 — это даст линейные 1100+ МБ/с на чтении/записи в RAID 10.

## Пошаговый алгоритм действий: от коробки к Production-Ready за 90 минут

Этот чек-лист используют наши консультанты при развертывании под ключ. Выполняйте строго последовательно.

1. Физика и прошивка: Установите диски/SSD. Подключите только к изолированной сети управления (VLAN 10, без доступа в WAN). Зайдите по IP (Assistant.synology.com). Не используйте QuickConnect на этом этапе. Обновите DSM до последней сборки 7.2.2 Update X вручную через загрузку .pat файла (Control Panel -> Update & Restore -> Manual Update).
2. Учетные записи и доступ:
   • Создайте пользователя sysadmin (ваше ФИО), добавьте в группу administrators.
   • Критично: Отключите учетку admin (Control Panel -> User -> Edit -> Disable).
   • Настройте 2FA (TOTP) для sysadmin и всех пользователей с sudo/docker правами.
   • Создайте пользователя backup_user (только Read/Write на целевые шары, нет прав админа) для задач Hyper Backup / Active Backup.
3. Сеть и Брандмауэр (Firewall):
   • Control Panel -> Security -> Firewall -> Enable Firewall -> Create Profile "Production".
   • Правило 1: Allow TCP 22 (SSH) Only from Management VLAN CIDR (10.10.10.0/24).
   • Правило 2: Allow TCP 443 (HTTPS) from LAN CIDRs.
   • Правило 3: Allow TCP 5000/5001 (DSM HTTP/HTTPS) Only from Management VLAN.
   • Правило 4: Deny All (Implicit). Apply.
   • Отключите IPv6, если не используете (Security -> Firewall -> Advanced Settings).
4. Storage Manager — Тома:
   • Create Volume -> Btrfs -> RAID 6 (или 10) -> Enable Data Checksum (галочка обязательна!) -> Enable Compression (LZ4/Zstd) -> Next.
   • Create SSD Cache (Read-Write) на RAID 1 NVMe паре -> Enable "Skip sequential I/O".
5. Shared Folders & Permissions (ACL):
   • Создайте шару Data (для SMB/AFP/NFS). Вкладка Permissions -> Use ACL. Настройте ACL: sysadmin (Full), backup_user (Read/Write), media_user (Read Only), docker_user (Read/Write/Execute для подпапки /docker).
   • Вкладка Encryption: Enable AES-256 (ключ хранится в Key Manager, экспортируйте .key файл на офлайн-носитель!).
   • Advanced: Enable Recycle Bin (Restrict access to administrators only), Enable Snapshot Replication schedule (каждые 4 часа, храним 30 снимков).
6. Службы файлов (File Services):
   • SMB: Enable SMB 3.1.1 only (Min/Max protocol). Disable SMB 1/2/3.0. Enable VFS modules: fruit, catia, streams_xattr (для macOS Time Machine). Enable Oplocks для БД.
   • NFSv4.1 + Kerberos (если есть AD/Kerberos) или sec=sys с async,no_subtree_check для Linux-клиентов/Proxmox.
   • Отключите AFP, FTP, WebDAV, CalDAV/CardDAV, если не используете явно.
7. Приложения и Контейнеры (Container Manager):
   • Установите Container Manager (бывший Docker).
   • Настройте Registry Mirror (например, mirror.gcr.io или локальный Harbor) для ускорения пуллов.
   • Разверните базовый стек через docker-compose.yml (Portainer, Watchtower, Traefik/NGINX Proxy Manager, Authelia/Authelia для SSO, CrowdSec для IPS).
8. Бэкап 3-2-1 (Hyper Backup / Active Backup for Business):
   • Задача 1: Data -> C2 Storage (Synology Cloud) / Wasabi / Backblaze B2 (Immutable Object Lock включен!) — ежедневно в 03:00.
   • Задача 2: Конфигурация DSM + Пакеты -> Внешний USB-диск (подключаемый раз в неделю) / Второй NAS в другом ДЦ (Snapshot Replication).
   • Тест восстановления: Обязательно выполните Test Restore одного файла и всей БД контейнера раз в квартал.
9. Мониторинг и Алерты:
   • Control Panel -> Notification -> Email/SMS/Push/Telegram Bot (через Webhook).
   • Включите алерты: Disk SMART Warning, Volume Degraded, High Temperature (>55C), Failed Login > 3, CPU/RAM > 90% 5min, C2 Backup Failed.
   • Установите Prometheus Node Exporter (через Container Manager) + Grafana дашборд "Synology DSM Overview" (ID 12419) для глубокой телеметрии.

## Сравнительная таблица: Стратегии развертывания под разные нагрузки

## 7 типичных ошибок и ловушек, которых следует избегать

1. «SHR на дисках разного возраста/модели». Купили 2 диска сейчас, через год добавили 2 других (другая серия, другой производитель). SHR создаст том на минимальном общем знаменателе. При отказе одного диска ребилд пойдет на оставшиеся разнородные диски, повышая нагрузку и риск второго отказа. Правило: Покупайте полный комплект дисков одной партии (Batch) сразу. Планируете расширение — берите модель с гарантированным жизненным циклом 5+ лет (Seagate Exos / WD Ultrastar).
2. Игнорирование SMART и S.M.A.R.T. тестов. DSM по умолчанию делает Short тест раз в месяц. На дисках 20-24 ТБ это мало. Настройте: Control Panel -> Storage Manager -> HDD/SSD -> S.M.A.R.T. -> Short Test: Weekly (Sunday 02:00), Extended Test: Monthly (1st 03:00). Включите уведомления на любое изменение атрибутов 5, 187, 188, 197, 198 (Reallocated/Uncorrectable sectors).
3. Хранение ключей шифрования томов на самом NAS. Если NAS украли или зашифровали раンサмваре — ключи утеряны/скомпрометированы. Правило: Key Manager -> Export Key -> Сохраните .key файл в KeePass / Bitwarden / на бумаге (QR-код) в сейфе. На NAS ключи не храним.
4. Docker в host network mode и --privileged. 90% гайдов в YouTube советуют network_mode: host «чтобы не мучиться с портами». Это дает контейнеру root-доступ к сетевому стеку DSM. Уязвимость в контейнере = уязвимость всего NAS. Правило: Только bridge + Traefik/NGINX Proxy Manager + Docker Socket Proxy (технология tecnativa/docker-socket-proxy) для Portainer.
5. Отключение сжатия (Compression) «для производительности». На CPU Ryzen V1000/R1600 (DS923+/DS1823xs+) алгоритм Zstd (уровень 3-5) сжимает типичные данные (логи, БД, код, документы) в 1.5-3 раза, ускоряя I/O за счет уменьшения физического чтения/записи на медленные HDD. Нагрузка на CPU < 5%. Всегда включайте для томов данных.
6. Бэкап «в ту же корзину». Hyper Backup на тот же том (volume), другой том на тех же дисках (volume2 на том же RAID), или на USB-диск, лежащий рядом. Пожар/нападение/перепад напряжения убьет всё. Правило: Offsite — это физически другое здание/ДЦ/облако. Immutable Object Lock в S3 (Wasabi/B2/C2) — обязательно для защиты от rm -rf в скомпрометированной админке.
7. Обновления «как выйдут». Автообновление DSM критическое для безопасности, но ломает контейнеры (например, обновление libseccomp сломало запуск старых образов). Стратегия: DSM Updates -> "Install critical updates automatically" (Только критические безопасности). Major/Minor обновления (7.2 -> 7.3) — только вручную после чтения Release Notes и теста на стенде/виртуалке. Контейнеры обновляйте через Watchtower с меткой com.centurylinklabs.watchtower.enable=true и расписанием в ночное окно.

## Мнение профильных экспертов: инсайды и тренды 2026-2027

💡 Совет эксперта: «Главный тренд 2026 — уход от "файлового сервера" к "Data Fabric". Synology DSM 8.0 (ожидается Q4 2026) сделает ставку на Multi-Cloud Gateway и Zero Trust Network Access (ZTNA) нативно. Уже сейчас мы мигрируем клиентов с VPN (OpenVPN/WireGuard) на Synology C2 Identity + Zero Trust Network Access (ZTNA). Это убирает необходимость пробрасывать порты 5001/443/1194 вовне. Доступ к DSM, файлам и веб-сервисам дается через политики: Device Posture Check (диск зашифрован? AV активен? OS обновлена?) + MFA. Это меняет игру для удаленных сотрудников и MSP», — Дмитрий К., Principal Architect, Synology Elite Partner (CIS region).

💡 Совет эксперта: «Не списывайте HDD. В 2026 году HDD 24-28 ТБ (HAMR/MAMR) дают $/ТБ в 6-8 раз ниже QLC NVMe. Для "горячих" метаданных, БД, Docker — NVMe. Для "холодных" бэкапов, медиатеки, архивов — RAID 6 на HDD. Гибридная архитектура (Auto-tiering в DSM 7.2+ работает, но вручную через btrfs subvolume и mount --bind надежнее) — единственный экономически верный путь для 100+ ТБ данных», — Сергей П., Storage Architect, Selectel / Yandex Cloud.

Тренды на 2026-2027:
1. Immutable Storage по умолчанию: WORM (Write Once Read Many) режимы на уровне томов (Btrfs) и бакетов S3 (Synology C2 / Active Backup) станут обязательными для соответствия NIS2 / GDPR / 152-ФЗ.
2. AI на краю (Edge AI): DSM 8.0 / Synology Photos / Moments получат локальные LLM (Llama 3 / Phi-3) для семантического поиска по фото/документам без ухода в облако. Потребует NPU (в новых Plus/XS сериях) или мощный iGPU (QuickSync / AMD Radeon 680M).
3. CXЛ (Compute Express Link) и EDSFF: В RackStation серии (RS2424RP+) появятся слоты CXL для памяти и EDSFF E1.S/E3.S дисков, убивающих форм-фактор 2.5"/3.5" в 엔терпрайз. Для SMB это актуально через 3-4 года.
4. Резервное копирование SaaS (M365/Google Workspace) как встроенная фича: Active Backup for Microsoft 365 / Google Workspace выйдет из бета в GA с поддержкой Granular Restore и Immutable бэкапов в C2/Object Storage.