Chương 8
Kiến trúc NAS và đám mây
8.1 Mục tiêu học tập
- Thiết kế kiến trúc “NAS là trung tâm” (NAS-first) cho cá nhân hoặc gia đình.
- Cấu hình hướng đồng bộ an toàn giữa đám mây và NAS.
- Chọn cách truy cập từ xa an toàn: mạng riêng (VPN dạng mesh) thay vì mở cổng.
8.2 Khái niệm
NAS-first
NAS (thiết bị lưu trữ gắn mạng) là nơi lưu bản chuẩn. Laptop là nơi làm việc; đám mây chỉ giữ file hay dùng để truy cập nhanh trên điện thoại. Mọi dữ liệu quan trọng phải “về nhà” trên NAS, rồi từ NAS đi tiếp ra backup.
Các thành phần cấu hình NAS nên có
| Thành phần | Tác dụng | Ghi chú |
|---|---|---|
| Hai ổ trở lên, chế độ phản chiếu | Chịu được hỏng 1 ổ | Không phải backup |
| Hệ tệp hỗ trợ snapshot và checksum (ví dụ Btrfs, ZFS) | Phát hiện hỏng dữ liệu âm thầm; chụp nhanh để quay lại | Bật checksum khi tạo thư mục dùng chung |
| Mã hóa volume | Ổ bị trộm thì dữ liệu không đọc được | Phải giữ khóa khôi phục ở nơi khác (Chương 9) |
| Snapshot bất biến | Không xóa/sửa được trong thời hạn khóa | Chống mã độc và kẻ có quyền quản trị |
| Phần mềm backup có phiên bản | Đẩy ra ổ rời và offsite | Bật mã hóa phía máy khách |
| Thông báo qua email | Biết ngay khi ổ lỗi, đăng nhập lạ | Gửi về hộp thư bạn thật sự đọc |
Hướng đồng bộ
| Hướng | Rủi ro | Khuyến nghị |
|---|---|---|
| Hai chiều | Xóa ở một bên, mất ở cả hai | Tránh cho dữ liệu lưu trữ |
| NAS → đám mây | Mã độc trên NAS lan lên đám mây | Chỉ dùng khi có phiên bản |
| Đám mây → NAS, chỉ tải xuống, không xóa ở đích | NAS giữ cả file đã bị xóa trên đám mây | Phù hợp để “gom về nhà” |
Truy cập từ xa
- Mạng nội bộ (LAN): đường chính khi ở nhà.
- VPN dạng mesh: các thiết bị của bạn thấy nhau như cùng mạng, không mở cổng NAS ra Internet. Nên là đường mặc định khi ở ngoài.
- Dịch vụ chuyển tiếp của hãng NAS: đường dự phòng; bật 2FA và chặn IP tự động.
- SSH: chỉ đăng nhập bằng khóa, khóa riêng giữ trong trình quản lý mật khẩu hoặc khóa phần cứng; tắt đăng nhập bằng mật khẩu.
- Không mở cổng quản trị NAS trực tiếp ra Internet.
8.3 Ví dụ minh họa
Kiến trúc của anh A:
| Thành phần | Vai trò |
|---|---|
| NAS *** (2 ổ, phản chiếu, Btrfs, volume mã hóa, checksum bật cho thư mục “Data”) | Bản chuẩn |
| Đám mây cá nhân | File hay dùng; đồng bộ một chiều về NAS, chỉ tải xuống, không xóa ở đích |
| Đám mây của hệ điều hành điện thoại | Tối thiểu; không chứa dữ liệu duy nhất |
| Laptop, thư mục gom tạm | Chép lên NAS, đối chiếu SHA-256, rồi mới dọn |
| SSD rời | Đích backup có phiên bản, cắm khi chạy |
| Lưu trữ đối tượng offsite | Đích backup thứ hai |
| VPN mesh + dịch vụ chuyển tiếp dự phòng | Truy cập từ xa |
Quy trình anh A chuyển dữ liệu từ laptop vào NAS: chép (không di chuyển) → tính SHA-256 hai bên → so sánh → ghi nhật ký → chờ 30 ngày → dọn nguồn.
8.4 Sai lầm thường gặp
- Dùng đồng bộ hai chiều cho thư mục lưu trữ lâu dài.
- Mở cổng quản trị NAS ra Internet để “cho tiện”.
- Dùng tài khoản quản trị NAS cho công việc hằng ngày.
- Định dạng lại ổ rời cũ để làm đích backup trong khi dữ liệu cũ trên đó chưa có đủ bản sao.
- Bật checksum sau khi đã chép dữ liệu (thường chỉ áp dụng cho file ghi mới).
8.5 Checklist
8.6 Bài tập
- Vẽ sơ đồ dữ liệu của bạn: từ thiết bị nào, đi về đâu, theo hướng nào.
- Đánh dấu trên sơ đồ mọi mũi tên “hai chiều” và cân nhắc đổi sang một chiều.
- Liệt kê các cổng đang mở trên router nhà bạn; có cổng nào trỏ vào NAS không?
8.7 Tóm tắt
- NAS-first: bản chuẩn ở NAS, đám mây cho tiện lợi, backup đi ra từ NAS.
- Đồng bộ một chiều, không xóa ở đích, khi gom dữ liệu về nhà.
- Truy cập từ xa bằng mạng riêng, không mở cổng.