Финальные штрихи
На данном этапе мы максимально защитили наш NAS Synology от DoS-атак, попыток подобрать пароль, кражи пароля кейлоггером или другим зловредом, физическим похищением всего устройства или его дисков, а так же от снифферов всех мастей. При грамотной настройке привилегий для доступа к общим папкам, NAS превращается в неприступный сейф, вскрыть который не под силу даже специалистам Synology. Осталось защититься от самой страшной проблемы — от человеческого фактора.
Во-первых, настраиваем антивирусное сканирование внутреннего пространства NAS бесплатным пакетом Antivirus Essential, либо платным McAfee Antivirus. Оба решения примерно идентичны по параметрам, а так же включаем еженедельное сканирование настроек безопасности средством Security Advisor.
Во-вторых, настраиваем резервирование всего NAS-а в облачную службу Synology C2. Это дёшево, практично, удобно и плюс Synology не продаёт ваши данные рекламщикам.
И рекомендую обратить внимание на приложение Note station для сохранения заметок на NAS-е: здесь есть возможность использовать защищённые записные книжки, что полезно для хранения настроек, паролей и просто секретиков. Не забудьте включить Note Station в список бэкапов в программе HyperBackup для резервирования в облако, ну а чтобы не забыть пароли, Synology предлагает использовать собственный облачный сервис C2 Password
Михаил Дегтярёв (aka LIKE OFF)
04/10.2021
2 — настраиваем беспарольную аутентификацию
Всё большую популярность набирают методы идентификации пользователя не через пару логин/пароль, а через токен, которым может выступать как аппаратный ключ, так и смартфон. Начиная с версии DSM 7, в NAS-ах Synology поддерживаются оба этих метода. Для идентификации с аппаратным ключом потребуется, чтобы NAS был доступен по HTTPs через доменное имя, например nas.yourdomain.com, что не всегда возможно и желательно. Идентификация через смартфон не требует даже «белого» IP адреса, и работает через встроенную систему доменных имён Synology QuickConnect.
Настройка проста: всё что нам нужно — это установить на смартфон нужного пользователя программу Synology SignIn, и в свойствах пользователя включить беспарольный вход. После этого сканируем сгенерированный QR-код из приложения, подтверждаем его в настройках NAS-а — и всё. Теперь при попытке войти в NAS вам предложено будет только ввести логин, после чего на смартфон будет отправлено уведомление с просьбой подтвердить вход на устройство. Но возможность аутентификации вводом пароля с клавиатуры остаётся как резервный вариант на случай если смартфон разрядился/потерялся и т.д.
Облако теперь будет в вашем NAS. А NAS – на столе
Главным способом связи DS220+ с миром стала пара Ethernet-портов со скоростью в гигабит. Полностью идентичных, без ограничений возможностей. Встроенного Wi-Fi нет, поэтому по меньшей мере один надо отдать роутеру. Второй пригодится для домашнего компьютера, быстрой передачи файлов на мультимедийную систему или подключить резервный канал связи.
Пользователь может превратить свои диски в полноценный удаленный ресурс благодаря облаку Synology Drive, обращаясь к нему любым удобным способом. Поддерживается Samba, NFS, AFP, FTP, а также через браузер и File Station.
А как на счет системы хранения версий файлов? Незаменимо при активной командной работе с правками: DSM 7.0 умеет хранить до 32 вариантов.
Домашний сервер для всего: Synology DS220+
Одним из лучших устройств для домашнего использования на российском рынке стоит назвать компактный двухдисковый сервер Synology DS220+.
Он занимает место пары книг, весит меньше игровой приставки и выглядит стильно, так что можно даже под телевизором поставить.
Именно 2 слота станут необходимым минимумом для надежного хранилища: меньшее число не позволит организовать массив типов RAID0, RAID 1 или фирменного для корпорации SHR.
RAID – технология объединения нескольких накопителей в виртуальный массив для повышения отказоустойчивости путем создания выделенного места для резервного копирования.
Synology Hybrid RAID – технология, позволяющая автоматизировать настройки и само использование RAID без участия пользователя. Эффективно работает при наличии 4 и более дисков, разбивая массив на более мелкие блоки для оптимизации хранения.
Фактически, один диск будет использоваться для хранения данных, второй – для хранения «зеркала» файлов. Если что-то случится с основным винчестером, можно будет все восстановить.
Для дома или удаленной работы без каких-то уникальных условий большего не потребуется. А уж если использовать диски по 8, 12 или 16 терабайт (помнится, кто-то говорил о нескольких килобайтах?) – хватит надолго, и для проектов, и для развлечений.
Кстати о дисках: специалисты Synology обеспечили совместимость DS220+ с большинством жестких типоразмеров 3,5 и 2,5 дюйма, включая твердотельные SSD. Поддерживается «горячая» замена – вышедший из строя можно тут же заменить на «живой».
Пара USB-портов версии 3.0 позволят подключить ещё пару дисков. Работать будут медленнее, в RAID не установятся, но как дополнительная временная мера – идея отличная.
Ещё один приятный бонус: хотя для внутренних накопителей DS220+ обязательно форматирование в Btrfs или EXT4, внешние могут использовать практически любую файловую систему, NIX, Apple или Win-ориентированную.
5 — настраиваем OpenVPN
Вообще, VPN-тоннели обычно реализуют с помощью программных или аппаратных шлюзов доступа, но каждый NAS от Synology может выступать как клиентом, так и сервером VPN: без зависимости от стороннего ПО, без лицензий и сложных настроек командной строки. Мы рекомендуем максимально заворачивать внешний трафик через VPN, даже если соединение итак защищено. В серверной части поддерживаются устаревший PPTP, быстрый и эффективный L2TP/IPsec и универсальный OpenVPN, который можно использовать не только по UDP, но и по TCP транспорту. Для максимальной безопасности имеет смысл поменять стандартный порт 1194 на произвольный.
Настройка VPN-клиента осуществляется в разделе сетевых подключений, и здесь так же доступны три типа туннелей: PPTP, IPSec и OpenVPN. Последний настраивается путём импорта .ovpn файла, без ручных настроек.
На данном этапе мы произвели все настройки, чтобы защитить учётные записи от попыток похищения пароля или взлома методом перебора. Ещё раз спешу заметить, что пока что наши действия относятся только к web-панели NAS-а, и не касаются хранимых на нём данных.
6 — кодируем Data at Transit для защиты от снифферов
Понятие Data at Transit охватывает любые данные, которые находятся буквально в проводах или в воздухе, то есть передаются между устройствами. Ещё совсем недавно в этой области данные не защищались, поскольку считалось что интранет является безопасной сетью. Наверное, по этой причине по умолчанию в Synology DSM «данные в полёте» не шифруются.
6а — включаем кодирование файловых протоколов
Файловый протокол Samba (SMB) или CIFS, который используется для подключения общих сетевых папок с NAS на компьютеры под управлением Windows и MacOS, поддерживает сквозное кодирование каждого запроса. На сервере Windows Server 2022 и в ОС Windows 11 применяются пакеты средств криптографической защиты AES-256-GCM и AES-256-CCM для защиты SMB 3.1.1. Windows будет автоматически согласовывать этот более сложный метод кодирования при подключении к другому компьютеру, который его поддерживает. Кроме того, этот метод можно сделать обязательным с использованием в групповой политики.
Windows 10 и Windows Server 2016/2019 по-прежнему поддерживают AES-128-GCM и AES-128-CCM для протокола SMB 3.0.
Современные процессоры, на которых построены NAS-ы Synology поддерживают аппаратное ускорение операций кодирование, поэтому влияние на производительность минимальное.
Обратите внимание, что протокол AFP для компьютеров Apple не поддерживает сквозную кодировку, по умолчанию он отключен и трогать здесь ничего не надо: «яблочные» компьютеры прекрасно справляются с работой по протоколу SMB 3
Протокол NFS, часто используемый для Linux клиентов и гипервизоров VMware ESXi, так же по умолчанию не защищён. Это настраивается индивидуально для каждой папки и диапазона IP-адресов в закладке NFS Permissions. Здесь вам нужно создать определённое правило, в котором обязательно выбрать поле Kerberos privacy и отключить тип авторизации AUTH_SYS. После этого вам нужно импортировать ключи Kerberos, общие для всей службы NFS.
Для файлового обмена с простыми устройствами включаем FTPs (кодирование поверх FTP) и SFTP (передача данных по защищённому SSH туннелю), а для того, чтобы ваш NAS мог выступать средством хранения бэкапов с других Linux устройств, включаем протокол RSync, который так же работает по SSH. Здесь всё по умолчанию использует кодирование, и никаких настроек делать не нужно.
Обратите внимание — включение RSync и SFTP не означает включение терминального доступа по SSH, и если последний отключен, а первые два включены, то при подключении через терминал, соединение будет разорвано
Вообще, доступ по SSH вам скорее всего не потребуется, и его можно не включать, но в случае если он всё же нужен, в настройках безопасности вам будет предложен огромный выбор алгоритмов защиты трафика. Я рекомендую отключить поддержку 128-битных ключей, оставив 256-битные и выше.
Осталось только настроить права доступа на общие папки, чтобы исключить возможность доступа с гостевой учётной записи, и почти всё закончено.
Ещё нет NAS? Стоит попробовать прямо сейчас
С внедрением DSM 7.0 домашние сетевые хранилища Synology стали удобнее в использовании и значительно быстрее. Настолько, что будет заметно и тем пользователям, которые никогда не использовали NAS, потому что обмен файлами, фотографиями и видео происходит намного быстрее, чем в процессе работы с обычными компьютерами или медиаприставками.
Организация резервного копирования так же стала проще и заметно быстрее. Впрочем, если не использовал Synology, оценка все равно будет на пять с плюсом, поскольку так удобно организовать этот процесс в домашних условиях не представляется возможным иным способом.
Стоит ли упоминать о сетевой защите и хранилище паролей? Конечно да. Это не организуешь за пару часов своими силами, а без них сегодня домашний сервер не так уж и нужен. А с ними никакие iCloud и Google Drive, ставшие предельно ненадежными, уже не нужны.
Надо просто попробовать.
#партнёрский материал
iPhones.ru
В 2021 году не осталось тех, кто верит в неприкосновенность личных данных в «облаке». И если таковые были, то после анонса (и последующего скандала) сканирования фотографий на iPhone, о потенциальном доступе третьих лиц к вашим снимкам теперь знает каждый. В интернете от такого очень тяжело спрятаться. Ведь когда вы отдаете кому-то свои данные, то априори…
4 — используем встроенный Firewall
В топовых NAS-ах Synology, монтируемых в стойку, поддерживаются функции проброса сетевого порта в виртуальную машину, запущенную на NAS через Virtual Machine Manager. Для каких-то особых ситуаций развёртывания инфраструктуры я рекомендую просто устанавливать в виртуалку PFSense или OPNSense, чтобы можно было пользоваться признанным во всём мире ПО для сетевой безопасности, но если такой возможности нет, встроенный Firewall не стоит сбрасывать со счетов.
По умолчанию он отключен, и буквально в несколько кликов можно закрыть доступ ко встроенным сервисам NAS-а из регионов, в которых у вас нет ни сотрудников, ни клиентов. Все используемые службами порты уже прописаны, так что выбираем все службы, и запрещаем для примера им доступ из Антарктиды, Анголы и некоторых других стран.
3 — включаем защиту от перебора паролей
По умолчанию эта опция отключена, но Synology предлагает два уровня защиты. Первый — это временная блокировка самой учётной записи, на которую идёт атака. Это наиболее экологичный вид защиты, потому что если атакующий использует IP-адреса вашей подсети или подсети ваших клиентов, работа сервисов не пострадает.
Также можно по-старинке блокировать IP адреса атакующих, для чего открываем панель управления -> безопасность -> защита и включаем блокировку IP адреса при 10 ошибочных логинах в течение 5 минут. Удаление IP-адреса блокировщика можно поставить через 1-2 дня, и здесь же имеет смысл добавить локальные подсети или доверенные IP-адреса в белый список, чтобы исключить их блокировку, когда например зловред имеет своей целью специально заблокировать хост, выполняя бескнечный брутфорс NAS-а.
На этой же вкладке можно включить защиту от DoS атак без каких-либо дополнительных настроек.
2а (опционально) — настраиваем двухфакторную аутентификацию
Для некоторых доверенных устройств (личный ноутбук, рабочий компьютер) можно отключить проверку OTP-кода. Кстати, для генерации OTP-кодов можно использовать и программу Google Authentificator вместо Synology SignIn: точно так же сканируете пригласительный QR-код и просто добавляете Synology DSM к другим вашим сервисам (интернет-банкинг, вход в личный кабинет и т.д.): чертовски удобно.
Двухфакторная и беспарольная аутентификации работают только в пределах Web-интерфейса Synology: это полезно для таких встроенных приложений, как Web-почта, календарь, офисный пакет или чат. Да, всё это может быть запущено в пределах одного NAS, что избавит вас от зависимости от интернет-сервисов. Тем не менее, протоколы файлового и терминального доступа остаются зависимы только от пары логин/пароль, поэтому защита от перебора остаётся важным шагом в настройке безопасности.
10 — защита архивных данных
Давайте разберёмся с шифрованием различных резервных копий, которые могут храниться на NAS-е. Поскольку Synology DSM состоит из ядра и приложений, то за снэпшоты отвечает одно приложение (Snapshot Replication), за резервные копии между NAS-ами или в облако — другое (Hyper Backup), а за резервирование серверов, виртуальных машин и рабочих мест — третье (Active Backup for Business). Соответственно, механизмы защиты у каждого из приложений свои. Начнём по порядку:
Внутри снимков закодированных папок так же находятся закодированные данные, так что даже при репликации на удалённый сервер, открыть данные без ключа невозможно. Вы не можете просматривать содержимое снэпшотов закодированных папок, что конечно осложняет задачу типа «вытащить нужный файл за вчерашний день. Незащищённые папки имеют доступные снэпшоты, и для их защиты можно использовать защищённое соединение при репликации на удалённый сервер.
Резервирование содержимого самого NAS-а на другой NAS или в облако с помощью программы Hyper Backup поддерживает защиту как при передаче, так и для хранения. Ключ задаётся единожды для задачи резервирования, то есть у вас могут быть разные пароли для сохранения данных в Google и на Synology C2.
В программе резервирования Active Backup for Business кодирование реализовано наиболее удобным способом: каждая задача бэкапа может использовать собственное хранилище (папку верхнего уровня на дисковом томе), которой совершенно не обязательно находиться в смонтированном состоянии, чтобы на неё можно было бэкапиться. Да, вы можете создавать новые задачи или удалять старые, используя защищённую папку, ключ от которой знает только ваш босс. Удобно, правда? И таких папок может быть сколько угодно, вы можете миксовать закодированные и незакодированные хранилища. Ну а подключить закрытую папку вводом пароля придётся при восстановлении бэкапа или для автоматической проверки целостности копий. Кстати, в настройках хранилища можно ввести автомонтирование закрытого хранилища и указать, на каком именно разделе NAS должен хранить ключи доступа, подгружая их после ребута, но я не советую это делать.
Можно доверить любые тайны
Безопасность хранилищ Synology – немаловажная особенность всех продуктов компании. Поэтому в DSM 7.0 появился ряд дополнительных функций, которые понравятся не только сетевым параноикам.
Обширные возможности администрирования и раньше позволяли владельцам NAS этого бренда создавать сложные конфигурации пользователей с определением доступа к разным файлам: не только владелец мог скрывать что-то от других, но и подключенные члены семьи или сотрудники офиса легко запрещали доступ своей информации.
Теперь в прошивке появилась двухфакторная аутентификация, и не простая.
Первый вариант использует фирменное мобильное приложение, при входе через которое с мобильного телефона NAS спрашивает только логин. Второй дополняет учетную запись данными физического устройства – USB-ключа, сканера отпечатка пальцев или образа, переданного через Windows Hello.
Есть и другие приятные возможности. С DSM 7.0, Synology DS220+ отлично справляется с ассиметричным шифрованием файлов на лету. Без ключа брутфорсом не возьмешь.
После выпуска DSM7.0, Synology анонсировала и масштабное расширение платформы С2 – автономная облачная платформа доступна абсолютно для всех пользователей, ведь для использовать С2 не требуется наличие систем NAS. Расширение произошло за счет добавления новых служб таких как C2 Password и C2 Transfer.
C2 Password — это не просто генератор паролей, он имеет встроенную поддержку безопасного хранения файлов, общего доступа и множество других функций. С C2 Password, ваши данные всегда защищены от несанкционированного доступа благодаря использованию современных стандартов безопасности. Бесплатный план для C2 Password уже доступен.
С помощью облачного решения C2 Transfer можно осуществлять защищённую передачу файлов, на лету добавлять водяные знаки, запрашивать у получателя учетные данные или секретные коды или устанавливать срок жизни ссылки.
DSM 7.0 имеет встроенную систему проактивной защиты хранилища, самостоятельно определяя сетевые атаки и распознавая реальные угрозы. NAS без участия пользователя блокирует доступ от маркированных нежелательными источников, умеет определять трояны, вирусы и программы-вымогатели.
Сетевые атаки так же успешно распознаются DS220+ самостоятельно, как и подозрительные попытки входа, брутфорс или DDoS. А при необходимости администратор может воспользоваться консолью управления, чтобы настроить ограничения доступа по любым сетевым параметрам.
Как Synology создаёт защищенное хранилище фото в пару кликов
Новая подсистема Synology Photos позволяет отказаться от любых сетевых хранилищ фото- и видеофайлов. Интерфейс предлагает раздел со всеми фотографиями, отдельную вкладку альбомов (которые можно создавать как в ручном, так и в автоматическом режимах) и окно с материалами, доступными другим пользователям.
Поиск и сортировку можно осуществлять по геотегам, дате, названию и даже конкретной камере, на которую был сделан снимок. Так же доступна временная шкала и, больше того, распознавание лиц, которое сортирует снимки по результатам. Работает корректно.
Общий доступ формируется в пару кликов получением общей ссылки. Но тут-то и кроются особенности подхода к хранению данных Synology. Для каждой ссылки можно задать пароль или время жизни.
Доступ к фотографиям организован как с помощью веб-интерфейс, так и через приложение Synology Photos для iOS и Android. В последнем легко можно включить автоматическое сохранение всех новых снимков или включить синхронизацию конкретных папок.
Снимки загружаются на домашний сервер в фоновом режиме без потери качества.
При просмотре происходит кэширование, поэтому однажды полученный файл сохранится для локального доступа (но кэш легко чистить).
DS220+ работает до неприличия быстро (и экономично)
Чтобы система не тормозила во время одновременной записи на оба накопителя, DS220+ оснастили двухядерным 64-битным процессором с частотой 2 ГГц с возможностью буста до 2,9 ГГц.
Его дополняют 2 Гб быстрой памяти DDR4, распаянные на материнской плате, и свободный слот памяти. Если хранилище часто сохраняет мелкие файлы или работает с большим числом пользователей, можно установить ещё 4 Гб. Так точно справится.
Устройство самостоятельно управляет частотой, оптимизируя энергопотребление (впрочем, оно и без того очень скромное, поскольку организовано через блок питания всего на 60 Вт) и повышая производительность под нагрузкой.
Дополнительно позволят снизить потребление электроэнергии функции включения по сигналу от сети (Wake On LAN) и включение по расписанию. Если не пользуешься прямо сейчас – зачем гонять зря?
Охлаждение тоже своё, с помощью встроенного вентилятора. Регулировка автоматическая, хотя в настройках можно выбрать собственный режим работы. «Тихий» режим «шумит» всего на 19,3 дБ, в жилом доме его не услышать.
Если и такое не устраивает (услышать шум уровнем 20 дБ можно разве что на даче в лесу), можно установить DS220+ на балконе или в кладовке: работает в диапазоне от 0 до 40 градусов.
Делать бэкапы (в том числе в экосистеме Apple) стало ещё проще
Обновленная DSM 7.0 наконец-то сделала очевидной необходимость использования фирменной файловой системы Synology под названием Btrfs.
Благодаря технологии Snapshot Replication пара жестких дисков, отформатированных в ней, под свежей операционной системой научилась делать по расписанию до 1024 теневых копий и хранить до 65 тысяч снимков всей системы.
Доступен возврат к любой заданной точке. И не обязательно делать это самостоятельно – повреждённые файлы восстанавливаются средствами NAS без участия пользователя в ближайшее состояние. Есть даже интеграция с Time Machine на macOS. Вручную доступна работа как с отдельными файлами, так и с целыми папками.
Как упоминают специалисты Synology, средства DSM 7.0 позволяют бороться даже с программами-вымогателями: если они блокируют восстановление по сети, бэкап системы можно залить через USB практически без отката по времени, без потерь данных.
Мобильные устройства тоже не останутся в стороне: приложение Synology Drive для iOS и Android так же позволяет создавать резервные копии данных, используя NAS для хранения и сквозного шифрования.
Фактически, на сервере можно хранить полный бэкап личного смартфона или портативных устройств всей семьи. Было бы желание.
9 — защита Data at Work
Ранее мы достаточно защитили все собственные сервисы Synology, запускаемые на NAS, но теперь пришло время позаботиться о сторонних программах, которые вы можете перенести в гипервизор Virtual Machine Manager. В NAS-ах, построенных на базе процессоров Intel, сохраняется опасность выполнения эксплоитов Meltdown и Spectre , благодаря чему заражённая виртуалка может получить доступ к данным в памяти другой виртуальной машины. Для предотвращения такой возможности компанией Intel внесены изменения в микрокод процессора, серьёзно замедляющие операции случайного чтения с дисковой подсистемы.
В Synology DSM защита от Meltdown и Spectre по умолчанию выключена, поскольку даже далеко не каждому гипервизору она требуется, а на скорость влияет ощутимо. Если вы планируете дать возможность пользователям запускать в виртуальных машинах, хостящихся на Synology собственный код, то проследуйте в панель управления, в закладку Security — Advanced и включите защиту от Meltdown и Spectre. Если вы точно знаете, что никаких сторонних программ никто в пределах виртуалок запускать не будет, можете этого не делать.
А ещё каждый NAS Synology – это мультимедиа-сервер
Даже самые скромные NAS Synology обладают внушительным перечнем возможностей работы с мультимедийными файлами.
Менеджером торрентов выступает привычный Transmission, позволяющий скачивать, хранить и организовывать потоки любым удобным способом. Настроек масса – легко выставить только ночную работу или определить скорость, доступ к полученным файлам.
Системы DS Audio и DS Video, работающие в формате веб-интерфейс, позволяют получать к сохраненным файлам доступ из любой точки мира.
Поддерживается Google Cast для трансляции на телевизоры и медиаприставки, систематизация сохраненного и только ещё скачивающегося контента, удобный доступ к сетевым ресурсам.
Фактически, эти приложения позволяют полностью отказаться от других умных устройств в доме – лишь бы передача экрана поддерживалась.
Что такое NAS? И как его выбрать
На первый взгляд, сетевое хранилище, он же домашний сервер, должно уметь совсем немного: файлы скачивать в фоне да как-то давать им доступ через домашнюю сеть.
На деле, как только появляется подобное устройство, понимаешь: задач у NAS очень и очень много. Что действительно требуется для домашнего сервера в 2021 году?
► возможность использования дисков пользователя
► поддержка аппаратной защиты данных
► умение работать с дисками больших объемов любых типов
► производительная платформа и защищенные цепи питания
► интеграция с мобильными устройствами
► функция автоматического резервного копирования данных и системы в целом
► поддержка версий файлов
► интуитивный интерфейс и настройка
► работа в виде облачного сервиса, доступного из глобальной сети
Много? Очень. Нужно? Безусловно, ведь сегодня вся жизнь – в сети. Рано или поздно приходишь к этой идее, начинаешь искать варианты и приходишь к одному из корпоративных решений или их домашних версий.
Проще всего будет купить файловый сервер Synology – они идеально подходят для пользователей, которые хотят максимум возможностей с минимальным вложением усилий.
Впрочем, дело даже не в этом: просто новое поколение их NAS действительно умеет все, что можно. И делает это так, что без внимания не останется ни одна функция.
Новая система – новые возможности
Все возможности DS220+ с новейшей версией DSM7.0 в один материал не уместятся, но основное попробую рассказать.
Самая главная особенность свежей ОС- обновленная работа с дисками. Хотя большинство этого не заметит, улучшенное кэширование и оптимизация этого процесса серьезно увеличивает производительность устройства. Быстрее NAS пока не найти даже среди компьютеров в миниатюрных корпусах.
Но это только начало: DiskStation Manager версии 7.0 стал самой быстрой системой Synology, получив массу обновлённых модулей. Большинство из них предназначено суровым корпоративным пользователям и системным администраторам.
Так, установленная при использовании на DS220+, она ускоряет доступ к файлам, работу серверной части с PHP, упрощает передачу мультимедийных файлов по сети и создание зашифрованных сетевых копий.
Куда интереснее для нас с вами обновленный модуль сохранения фото на устройства Synology. Теперь они куда надежнее, чем Apple или любой другой корпорации, ведь диски принадлежат только владельцу и расположены локально.
Достаточно позаботиться о физической защите NAS – все остальное сделает Synology и новая DSM 7.0.
1 — отключаем учётку Admin и настраиваем политику паролей
По умолчанию на NAS-ах Synology отключен терминальный доступ, а веб-интерфейс вынесен на порт 5000. Чтобы защититься от подбора пароля администратора, первым делом отключаем учётную запись admin / administrator, присваивая админские функции вновь созданному пользователю. В настройках пользователя можно задать политику для пароля, хотя настроек по умолчанию (8 символов разного регистра + цифры + спец.символы) будет достаточно.
NAS может интегрироваться не только в доменную службу Domain/LDAP, но и выступать как единое средство аутентификации, чтобы пользователь мог логиниться в другие приложения через Synology, как это сделано через Facebook и Google на различных веб-сайтах. Такой подход позволяет централизованно хранить учётные данные пользователя и снизить область атаки для похищения логина/пароля даже если брешь присутствует в других, сторонних приложениях.
Главная особенность Synology: собственная операционная система
Рабочий стол операционной системы DSM 7.0.
Технически DS220+ удивительно сбалансирован для своих задач. Но технические характеристики – только затравка. В случае с домашними серверами очень многое решает операционная система.
Многие годы специалисты Synology работают над собственной модульной ОС DiskStation Manager на основе Linux с браузерной оболочкой, которая, по факту, и является их основным продуктом (с учетом модификаций для роутеров и стоек).
Модульность позволяет добавлять с каждым релизом новые функции. И не только: включать и отключать дополнительные возможности так становится проще, а во время неактивности их нельзя использовать в качестве бекдора.
Интерфейс DSM очевиден и удобен любому пользователю, даже ребенок справится и с настройкой, и с постоянным использованием.
