第8章
NAS与云架构
8.1 学习目标
- 为个人或家庭设计"以NAS为中心"（NAS-first）的架构。
- 配置云与NAS之间安全的同步方向。
- 选择安全的远程访问方式：私有网络（mesh VPN）而不是开放端口。
8.2 概念
NAS-first
NAS（网络附加存储）是保存标准副本的地方。笔记本电脑是工作的地方；云端只存放常用文件，方便在手机上快速访问。所有重要数据都必须"回家"到NAS上，再从NAS继续流向备份。
NAS应具备的配置组件
| 组件 | 作用 | 备注 |
|---|---|---|
| 两块或以上硬盘，镜像模式 | 可承受1块硬盘损坏 | 不是备份 |
| 支持快照和校验和的文件系统（如Btrfs、ZFS） | 发现静默数据损坏；快照便于回滚 | 创建共享文件夹时开启校验和 |
| 卷加密 | 硬盘被盗也无法读取数据 | 恢复密钥须保存在别处（第9章） |
| 不可变快照 | 锁定期内无法删除/修改 | 防范恶意软件和拥有管理员权限者 |
| 带版本的备份软件 | 推送到外置硬盘和异地 | 开启客户端加密 |
| 邮件通知 | 硬盘出错、异常登录时立即知晓 | 发送到你真正会看的邮箱 |
同步方向
| 方向 | 风险 | 建议 |
|---|---|---|
| 双向 | 一边删除，两边都丢 | 存档数据避免使用 |
| NAS → 云 | NAS上的恶意软件蔓延到云端 | 仅在有版本控制时使用 |
| 云 → NAS，仅下载，目标端不删除 | NAS连云端已删除的文件也保留 | 适合"把数据收回家" |
远程访问
- 局域网（LAN）： 在家时的主要通道。
- mesh VPN： 你的设备彼此可见，如同在同一网络中，无需把NAS端口暴露到互联网。外出时应作为默认通道。
- NAS厂商的中继服务： 备用通道；开启2FA和自动封禁IP。
- SSH： 仅允许密钥登录，私钥保存在密码管理器或硬件密钥中；关闭密码登录。
- 绝不将NAS管理端口直接暴露到互联网。
8.3 示例
A先生的架构：
| 组件 | 角色 |
|---|---|
| NAS ***（2块硬盘，镜像，Btrfs，加密卷，"Data"文件夹开启校验和） | 标准副本 |
| 个人云 | 常用文件；单向同步回NAS，仅下载，目标端不删除 |
| 手机操作系统的云 | 尽量少用；不存放唯一数据 |
| 笔记本电脑，临时汇集文件夹 | 复制到NAS，比对SHA-256，之后才清理 |
| 外置SSD | 带版本的备份目标，运行时接入 |
| 异地对象存储 | 第二个备份目标 |
| mesh VPN + 备用中继服务 | 远程访问 |
A先生把数据从笔记本电脑迁到NAS的流程：复制（不是移动）→ 两端计算SHA-256 → 比较 → 记录日志 → 等待30天 → 清理源数据。
8.4 常见错误
- 对长期存档文件夹使用双向同步。
- 为了"方便"把NAS管理端口开放到互联网。
- 用NAS管理员账户做日常工作。
- 旧外置硬盘上的数据还没有足够副本时，就把它格式化作备份目标。
- 在数据复制完成后才开启校验和（通常只对新写入的文件生效）。
8.5 检查清单
8.6 练习
- 画出你的数据流图：从哪些设备出发，流向哪里，朝哪个方向。
- 在图上标出所有"双向"箭头，考虑改为单向。
- 列出你家路由器上开放的端口；有没有指向NAS的？
8.7 小结
- NAS-first：标准副本在NAS，云端图方便，备份从NAS流出。
- 把数据收回家时，单向同步，目标端不删除。
- 通过私有网络远程访问，不开放端口。