NAS en entreprise : choisir, dimensionner, sécuriser

Un NAS regroupe plusieurs disques dans un boîtier relié au réseau local, qui distribue les fichiers à toute l’équipe et absorbe la panne d’un disque sans interruption de service. Trois décisions le déterminent : le niveau RAID retenu, la classe des disques installés, et la sauvegarde séparée qui prend le relais quand le boîtier lui-même disparaît.

Ce qu’un NAS apporte à une entreprise, et ce qu’il ne protège pas

Le sigle désigne un serveur de fichiers réduit à sa fonction essentielle : des emplacements de disques, un processeur modeste, un système dédié, une prise réseau. Les postes voient un dossier partagé, sans savoir qu’un système de fichiers complet travaille derrière.

Le gain se mesure sur trois plans. Les fichiers cessent de vivre en copies divergentes sur des postes individuels et des clés USB. Les droits d’accès deviennent explicites, service par service, au lieu de reposer sur la mémoire de chacun. La disponibilité ne dépend plus d’un poste allumé dans un bureau, avec son disque unique et son propriétaire en congé.

Le stockage réseau ne couvre pourtant qu’une partie du risque, et cette limite mérite d’être posée d’emblée. Un boîtier volé emporte l’intégralité des données. Un dégât des eaux dans le local aussi. Un fichier effacé par erreur disparaît de tous les disques dans la seconde, puisque la grappe reproduit fidèlement l’opération. Un rançongiciel qui chiffre un poste chiffre également les partages montés sur ce poste : l’ANSSI insiste dans son guide consacré aux attaques par rançongiciels, publié avec le ministère de la Justice, sur la nécessité de sauvegardes déconnectées du système d’information, seules à survivre à ce scénario.

Les niveaux RAID et ce que chacun tolère réellement

Le RAID répartit les données sur plusieurs disques pour qu’une défaillance matérielle n’arrête pas le service. Quatre configurations couvrent la quasi-totalité des besoins d’une petite structure.

Le RAID 1 duplique à l’identique : deux disques de 8 To offrent 8 To exploitables. Simple, lisible, coûteux en capacité. Le RAID 5 calcule une parité répartie et sacrifie l’équivalent d’un seul disque, ce qui explique sa popularité sur les boîtiers à quatre emplacements. La double parité du RAID 6 consomme un disque de plus et tolère deux défaillances au même moment. Le RAID 10 combine duplication et répartition, avec des performances d’écriture supérieures et une reconstruction rapide, au prix de la moitié de la capacité achetée.

La fenêtre de reconstruction, le risque que personne ne calcule

Un disque tombe, la grappe continue de fonctionner en mode dégradé, le disque de remplacement arrive. Commence alors l’opération la plus dangereuse du cycle de vie d’un volume.

Pour reconstituer les données absentes, le système relit intégralement tous les disques restants. Cette fenêtre de reconstruction dure de quelques heures à plusieurs jours selon la capacité unitaire et la charge du boîtier, et elle sollicite des disques qui ont vieilli ensemble, dans le même local, à la même température. Une seconde défaillance pendant cette période détruit le volume entier sur une grappe à simple parité. Un simple secteur devenu illisible sur l’un des disques survivants produit le même résultat.

Les prestataires de récupération de données citent ce scénario parmi les causes récurrentes de perte sur RAID 5. La conséquence pratique tient en une règle : au-delà de disques de grande capacité, préférez la double parité ou la duplication, et gardez un disque de rechange du même modèle sur une étagère plutôt que d’attendre une livraison en mode dégradé.

Choisir les disques : la classe prime sur la marque

Les disques représentent l’essentiel du budget et la totalité du risque. Deux caractéristiques techniques séparent un modèle conçu pour un usage continu d’un modèle de bureautique, et aucune des deux n’apparaît en gros caractères sur l’emballage.

CMR ou SMR, la nuance qui décide de la reconstruction

L’enregistrement classique écrit des pistes juxtaposées. L’enregistrement en tuiles les fait se chevaucher partiellement, gagne en densité, et impose au disque de réécrire des zones entières lors des modifications. Le second se comporte correctement en archivage séquentiel, très mal en écriture aléatoire soutenue, et catastrophiquement pendant une reconstruction de grappe.

Le sujet a explosé publiquement en avril 2020, quand Western Digital a reconnu avoir intégré des disques à enregistrement en tuiles dans plusieurs capacités de sa gamme Red destinée aux NAS, sans le mentionner sur les fiches techniques. Le fabricant a ensuite scindé cette gamme en trois niveaux distincts. Retenez la méthode plutôt que l’épisode : cherchez la mention de la technologie d’enregistrement sur la fiche du fabricant avant l’achat, et n’introduisez jamais de disques SMR dans une grappe existante.

La temporisation d’erreur, ce détail qui casse les grappes

Face à un secteur difficile à lire, un disque de bureautique insiste, parfois pendant une minute ou davantage, parce que sur un poste isolé cette obstination sauve le fichier. Dans une grappe, elle produit l’inverse : le contrôleur considère qu’un disque qui ne répond pas dans le délai imparti, souvent fixé autour de huit secondes, est défaillant, et il l’éjecte. La grappe passe en mode dégradé alors que le disque fonctionne.

Les firmwares conçus pour le RAID plafonnent cette recherche à quelques secondes et rendent la main au contrôleur, qui reconstruit le secteur à partir de la parité. Western Digital nomme cette temporisation d’erreur Time Limited Error Recovery, Seagate parle d’Error Recovery Control. Ajoutez à cela la certification pour un fonctionnement permanent et les capteurs de vibration présents sur les modèles multi-baies, et l’écart de prix avec un disque de bureau se justifie.

Dernier réflexe utile : achetez les disques chez deux fournisseurs différents ou à quelques semaines d’intervalle. Des unités issues du même lot de production partagent les mêmes défauts potentiels et vieillissent au même rythme.

Dimensionner la capacité sans racheter dans dix-huit mois

Deux soustractions séparent la capacité affichée sur le carton de la place réellement disponible, et les deux surprennent régulièrement.

La première tient à l’unité. Les fabricants comptent en téraoctets décimaux, mille milliards d’octets, quand les systèmes d’exploitation affichent des tébioctets, puissances de deux. Un disque vendu pour 4 To apparaît donc autour de 3,64 Tio, soit environ 9 % de moins que le chiffre annoncé. Rien d’anormal, mais l’écart se cumule sur quatre disques.

La seconde soustraction vient du niveau RAID. Quatre disques de 8 To donnent 24 To bruts en RAID 5, 16 To en RAID 6, 16 To en RAID 10. Calculez toujours la capacité utile avant de comparer deux devis, sans quoi la comparaison porte sur des volumes différents.

Reste la marge d’exploitation. Les systèmes de fichiers à copie sur écriture, qui servent de socle aux instantanés, se comportent mal lorsque le volume approche de la saturation, et les instantanés eux-mêmes consomment de la place à mesure que les fichiers changent. Prévoyez donc une réserve confortable dès le départ, mesurez le volume actuel de vos données partagées, observez sa croissance sur une année complète, puis projetez trois ans. Le raisonnement rejoint celui de tout inventaire du parc informatique : un équipement se dimensionne sur sa trajectoire, pas sur l’instantané du jour de l’achat.

Partages et droits, la moitié du travail

Un boîtier correctement monté et mal partagé reste un boîtier mal installé. Deux protocoles couvrent les usages courants : celui de Microsoft pour les postes Windows et macOS, celui du monde Unix pour les serveurs et les hyperviseurs.

La première vérification porte sur les versions. Microsoft a déprécié la première génération de son protocole de partage en 2014, puis l’a retirée de l’installation par défaut de Windows à partir de la version 1709, en raison de vulnérabilités massivement exploitées par les logiciels malveillants. Beaucoup de boîtiers d’entrée de gamme la laissent pourtant activée pour la compatibilité avec de vieux périphériques. Désactivez-la, et remplacez plutôt le périphérique récalcitrant.

La structure des droits obéit ensuite à quelques règles stables :

• attribuez les autorisations à des groupes, jamais à des personnes nommées, pour que l’arrivée d’un collaborateur se règle en une action ;
• appliquez le moindre privilège : chaque groupe accède à ce dont il a besoin, en lecture seule par défaut, en écriture par exception ;
• proscrivez le partage unique ouvert en écriture à tout le monde, qui devient la surface de contamination idéale lors d’un chiffrement malveillant ;
• créez un compte administrateur distinct des comptes quotidiens, renommez le compte par défaut, activez une authentification à plusieurs facteurs ;
• activez la journalisation des accès et des connexions, puis relisez-la de temps en temps.

Sauvegarder le NAS lui-même

Le point aveugle des installations que je vois reprendre tient en une phrase : la grappe protège contre la panne d’un disque, pas contre la perte du boîtier.

La CNIL détaille cette exigence dans la fiche consacrée à la sauvegarde de son guide de la sécurité des données personnelles. Elle recommande des sauvegardes fréquentes, une copie stockée dans un lieu géographiquement distinct, au moins une copie isolée et déconnectée du réseau, un niveau de protection identique à celui des données de production, et surtout des vérifications régulières de la capacité à restaurer. Cette organisation porte un nom court, la règle 3-2-1 : trois copies, deux supports différents, une copie hors site.

Les instantanés du système de fichiers occupent une place intermédiaire qu’il faut comprendre. Ils rattrapent une suppression accidentelle ou un fichier écrasé en quelques secondes, ce qui en fait le filet le plus utile au quotidien. Ils vivent cependant sur le même appareil et disparaissent avec lui. La réplication vers un second boîtier distant corrige la géographie sans corriger la logique : sans rétention ni versions conservées, elle recopie fidèlement une suppression ou un chiffrement vers la cible.

D’où la troisième couche, celle qui casse le lien permanent : un disque externe branché pour la sauvegarde puis débranché, ou un stockage distant en écriture seule avec conservation des versions. Testez la restauration deux fois par an, sur des fichiers réels, avec la même exigence que pour une sauvegarde testée par restauration. Une sauvegarde jamais restaurée reste une hypothèse.

Poser l’appareil dans de bonnes conditions

L’environnement physique décide d’une bonne part de la longévité des disques. Un boîtier posé sous un bureau ramasse la poussière, les coups de pied et la chaleur ; le même appareil monté dans une baie de brassage ventilée, dans un local fermé, travaille dans des conditions stables et reste accessible pour le remplacement d’un disque.

L’alimentation mérite la même attention. Une coupure pendant une écriture laisse un volume incohérent, et la vérification qui suit immobilise le stockage pendant des heures. Un onduleur correctement dimensionné, relié au boîtier par un câble de pilotage ou par le réseau, déclenche un arrêt propre avant l’épuisement des batteries. Sans cette liaison, l’onduleur ne fait que retarder la brutalité de la coupure.

Trois détails complètent l’installation. Reliez l’appareil en filaire, jamais en wifi, avec un lien d’au moins un gigabit par seconde. Étiquetez chaque emplacement de disque et notez le numéro de série correspondant, faute de quoi vous retirerez le mauvais disque le jour de la panne, sur une grappe déjà dégradée. Programmez enfin un contrôle mensuel de l’état des disques, que le système remonte tout seul si vous configurez une alerte par message.

Ce que la réglementation attend d’un stockage de fichiers

Dès que les dossiers partagés contiennent des données personnelles, clients, salariés ou candidats, le cadre juridique s’applique au boîtier comme au reste du système d’information.

L’article 32 du règlement général sur la protection des données impose des moyens permettant de rétablir la disponibilité des données et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique, ainsi qu’une procédure visant à tester et évaluer régulièrement l’efficacité des mesures adoptées. Le texte transforme donc la restauration testée en obligation, pas en bonne pratique optionnelle. Cette exigence s’articule naturellement avec un plan de continuité d’activité, qui fixe le délai acceptable avant reprise et la perte de données tolérable.

Deux mesures complémentaires méritent d’être décidées à l’installation. Le chiffrement du volume protège contre le vol du matériel, à condition que la clé ne réside pas uniquement sur l’appareil chiffré. Les durées de conservation, elles, se traduisent en purges programmées : un partage qui accumule dix ans de dossiers candidats crée un risque juridique sans créer la moindre valeur.

Les erreurs qui coûtent des données

Les mêmes ratages reviennent à chaque reprise d’installation existante.

Le RAID pris pour une sauvegarde arrive largement en tête, et sa correction ne demande qu’un disque externe et une procédure écrite. Suivent les disques tous identiques, achetés le même jour dans le même lot, qui rendent l’âme dans un mouchoir de poche. Le disque défaillant laissé en place des semaines, parce que le service continue en mode dégradé, transforme une panne banale en perte totale à la première défaillance suivante.

Viennent ensuite l’interface d’administration exposée sur internet avec un mot de passe simple ; les alertes envoyées vers une adresse que personne ne relève ; le volume rempli à ras bord qui empêche toute création d’instantané ; et la grappe montée sans jamais noter, quelque part, quel modèle de disque occupe quel emplacement.

Questions fréquentes sur le stockage réseau

Un NAS en RAID remplace-t-il une sauvegarde ?

Non, et la confusion coûte cher. Le RAID absorbe la défaillance d’un disque, rien de plus. Un fichier supprimé par erreur disparaît instantanément de tous les disques de la grappe, un vol emporte le boîtier entier, un rançongiciel chiffre les partages montés sur les postes. La CNIL recommande de conserver au moins une copie hors site et une copie déconnectée du réseau, précisément parce qu’un stockage relié en permanence partage le sort des machines qu’il sert.

Combien de baies prévoir pour une équipe d’une dizaine de personnes ?

Quatre baies constituent le point d’équilibre courant, parce qu’elles ouvrent l’accès au RAID 6 et à sa double parité, impossible sur deux ou trois emplacements. Deux baies suffisent quand le volume de fichiers reste modeste et que la sauvegarde externe est réellement tenue. Raisonnez sur le nombre d’emplacements avant de raisonner sur les téraoctets : ajouter un disque dans une baie libre coûte bien moins que remplacer un boîtier saturé.

Faut-il rendre son NAS accessible depuis l’extérieur pour le télétravail ?

Exposer directement l’interface d’administration sur internet revient à publier la porte d’entrée du stockage. La voie raisonnable passe par un tunnel chiffré qui ramène le collaborateur sur le réseau local, avec une authentification à plusieurs facteurs. Si un partage doit rester joignable en direct, limitez-le à un dossier dédié, sans compte administrateur autorisé, et surveillez le journal des connexions. Un boîtier joignable publiquement est scanné en continu.

Par où commencer

Ouvrez un tableur et mesurez le volume réel de vos dossiers partagés actuels, dispersés sur les postes et les disques externes. Ce chiffre, multiplié par trois pour couvrir la croissance et la marge d’exploitation, donne la capacité utile à viser. Choisissez ensuite le nombre d’emplacements avant le modèle, puis écrivez la procédure de sauvegarde externe sur une seule page. Sans cette page, l’achat n’a protégé personne.