Comment choisir et configurer un NAS en sécurité ?

Définir les usages avant le modèle

Listez les fonctions réellement nécessaires :

• dossiers partagés pour une ou plusieurs personnes ;
• sauvegarde des ordinateurs et téléphones ;
• bibliothèque de photos, vidéos ou musique ;
• archivage de documents professionnels ;
• synchronisation entre plusieurs lieux ;
• accès distant ponctuel ;
• vidéosurveillance, conteneurs ou machines virtuelles ;
• conservation de versions et restauration après erreur.

Pour une TPE, ajoutez le nombre d’utilisateurs simultanés, la taille quotidienne des fichiers, les logiciels métiers, les délais de reprise et les obligations liées aux données personnelles. Une bibliothèque familiale et les dossiers actifs de dix collaborateurs ne demandent ni la même disponibilité, ni le même support.

Écartez les services gadgets qui augmentent la surface d’attaque sans répondre à un besoin identifié.

Calculer la capacité utile

Mesurez d’abord le volume actuel, puis estimez la croissance sur trois à cinq ans. Ajoutez l’espace des sauvegardes, des versions et des instantanés. Ne remplissez pas le stockage jusqu’à sa limite : les mises à jour, reconstructions et services ont besoin d’une marge.

La capacité utile dépend du nombre de disques et du niveau de RAID. Deux disques de même taille en miroir donnent approximativement la capacité d’un seul disque. Avec davantage de baies, d’autres schémas offrent un compromis différent entre capacité, tolérance de panne et temps de reconstruction.

Utilisez le calculateur du constructeur pour le modèle envisagé. Vérifiez aussi comment l’espace évoluera lors de l’ajout ou du remplacement de disques : toutes les configurations ne s’agrandissent pas de la même manière.

Deux baies ou quatre baies ?

Un NAS à deux baies convient souvent à un particulier ou une petite structure dont les besoins sont prévisibles. Configuré en miroir, il tolère la panne d’un disque, mais sa capacité utile est limitée à celle du plus petit.

Un modèle à quatre baies coûte davantage, consomme plus et prend plus de place. Il offre en contrepartie une évolution plus souple, plusieurs choix de RAID et la possibilité de mieux séparer certains usages. Il ne faut pas acheter quatre baies uniquement « pour être plus sûr » : la sécurité dépend surtout des sauvegardes, des comptes et de la maintenance.

Prévoyez également le coût des disques, d’un onduleur, d’une sauvegarde externe et éventuellement d’une extension de garantie. Le boîtier seul ne représente pas le budget complet.

Choisir les disques

Utilisez des modèles figurant dans la liste de compatibilité du constructeur du NAS, avec une technologie et une capacité adaptées à un fonctionnement prolongé. Vérifiez notamment :

• la capacité et la garantie ;
• la technologie d’enregistrement recommandée pour le RAID ;
• le bruit et la température dans le lieu d’installation ;
• les limites de charge du constructeur ;
• la disponibilité future d’un modèle de remplacement.

N’achetez pas automatiquement tous les disques du même lot si l’objectif est de réduire le risque de défaut simultané. Cette pratique ne remplace toutefois ni la compatibilité ni une sauvegarde.

Un SSD peut améliorer les petits accès, certaines applications et le silence, mais son prix par téraoctet reste différent. Un cache SSD n’accélère pas tous les usages et ajoute de la complexité. Il doit répondre à une mesure réelle, pas à une option marketing.

Comprendre ce que fait le RAID

Le RAID vise principalement la disponibilité : selon sa configuration, le NAS peut continuer à fonctionner après la panne d’un disque. Il faut remplacer le disque défaillant puis laisser le volume se reconstruire.

Le RAID ne protège pas contre :

• la suppression ou l’écrasement d’un fichier ;
• la propagation d’un rançongiciel ;
• le vol ou la destruction du NAS ;
• une erreur du système de fichiers ou du contrôleur ;
• une compromission du compte administrateur ;
• l’effacement volontaire ou accidentel de tout le volume.

Pendant la reconstruction, les disques sont fortement sollicités et le niveau de protection peut être réduit. Une sauvegarde vérifiée doit exister avant de remplacer un disque ou de modifier le groupe de stockage.

Dimensionner le réseau et le processeur

Un port Gigabit suffit à de nombreux usages de bureautique et de sauvegarde. Le 2,5 Gb/s devient intéressant pour de gros fichiers, plusieurs utilisateurs ou un poste équipé de stockage rapide, à condition que le switch, les câbles et les ordinateurs suivent.

L’agrégation de liens ne double pas automatiquement la vitesse d’un seul transfert. Elle peut répartir plusieurs connexions lorsqu’elle est correctement prise en charge par le NAS et le réseau.

La mémoire et le processeur comptent surtout pour le chiffrement, l’indexation de photos, les conteneurs, les machines virtuelles ou le transcodage vidéo. Pour un serveur de fichiers simple, privilégiez fiabilité, mises à jour et sauvegardes plutôt qu’un processeur surdimensionné.

Réaliser la première configuration en local

1. Installez les disques selon le manuel et placez le NAS dans un endroit ventilé.
2. Reliez-le en Ethernet au réseau local.
3. Identifiez-le avec l’outil ou l’adresse officielle du constructeur.
4. Installez immédiatement la dernière version stable du système.
5. Créez le pool de stockage et le volume après avoir vérifié les disques sélectionnés.
6. Donnez-lui un nom clair et réservez son adresse IP dans le serveur DHCP de la box ou du routeur.
7. Configurez la date, l’heure, les notifications et les destinataires d’alerte.
8. Créez les utilisateurs et partages avant de copier les données.

N’exposez pas l’interface d’administration sur Internet pendant l’installation. Ne branchez pas un ancien disque contenant des données en supposant que le NAS le conservera : l’initialisation peut le reformater.

Sécuriser les comptes

• créez un compte nominatif par personne ;
• utilisez un mot de passe long et unique ;
• activez l’authentification multifacteur pour les administrateurs et l’accès distant ;
• désactivez ou protégez le compte administrateur par défaut selon les possibilités du constructeur ;
• réservez les droits d’administration aux tâches qui l’exigent ;
• bloquez ou ralentissez les tentatives répétées ;
• conservez les codes de secours dans un emplacement distinct ;
• retirez immédiatement les anciens utilisateurs et appareils.

Évitez les comptes partagés. Ils empêchent d’identifier l’auteur d’une modification et obligent à diffuser le même secret. Un utilisateur quotidien n’a pas besoin de pouvoir installer des applications ou supprimer les sauvegardes.

Organiser les partages et les droits

Créez des dossiers par usage plutôt qu’un unique partage ouvert à tous. Attribuez lecture, écriture ou aucun accès à des groupes simples : direction, comptabilité, collaborateurs, invités ou sauvegardes.

Désactivez l’accès invité et les protocoles anciens qui ne sont pas nécessaires. SMB1 ne doit pas être réactivé pour un vieux périphérique sans évaluer le risque et les solutions de remplacement. Utilisez les versions actuelles de SMB et activez les options de signature ou de chiffrement lorsque le besoin et les performances le justifient.

Séparez les comptes de sauvegarde des comptes ordinaires. Un logiciel malveillant lancé avec les droits d’un utilisateur ne doit pas pouvoir effacer toutes les versions et toutes les sauvegardes.

Organiser une vraie sauvegarde

Le NAS peut recevoir les sauvegardes des ordinateurs, mais il doit lui-même être sauvegardé. Une stratégie robuste comprend plusieurs copies, sur des supports distincts, dont une hors site ou déconnectée.

Exemple :

• données de travail sur les ordinateurs ou le NAS ;
• sauvegarde locale versionnée sur le NAS ou un support dédié ;
• seconde copie chiffrée sur un disque déconnecté ou un service distant ;
• tests réguliers de restauration.

Les instantanés permettent de revenir rapidement à un état antérieur lorsqu’ils sont disponibles. Ils restent sur le même système et ne remplacent pas une copie externe. Utilisez des instantanés verrouillés ou protégés contre l’administration courante si la plateforme le permet.

Documentez les durées de conservation, l’espace réservé, les alertes d’échec et la personne responsable. Testez la restauration d’un fichier, d’un dossier et, pour les données critiques, d’un volume ou service complet.

Accès à distance : ne pas ouvrir le NAS au hasard

Évitez la redirection directe des ports d’administration ou de partage de fichiers depuis la box. Une interface exposée en permanence attire les scans automatisés et dépend d’une mise à jour parfaite de tous les services.

Préférez :

• un VPN maintenu sur le routeur, un pare-feu ou une solution adaptée ;
• le service relais du constructeur lorsqu’il est nécessaire, avec authentification multifacteur et contrôle des appareils ;
• un partage temporaire limité plutôt qu’un compte permanent ;
• des journaux et alertes de connexion.

Désactivez UPnP sur le NAS s’il ouvre automatiquement des ports sans contrôle. Vérifiez périodiquement les applications installées, certificats, règles de pare-feu et connexions actives.

Protéger le NAS physiquement et électriquement

Placez-le dans un espace ventilé, stable, hors de portée des chocs, de l’eau et de la poussière. Ne l’enfermez pas dans un meuble chaud. Contrôlez les températures et nettoyez les grilles selon le manuel.

Un onduleur compatible permet au NAS de s’arrêter proprement lors d’une coupure prolongée. Testez la communication USB ou réseau, le seuil d’arrêt et l’état de la batterie. L’onduleur limite les arrêts brutaux ; il ne protège pas d’un vol, d’un incendie ni de toutes les surtensions.

Pour des données professionnelles sensibles, contrôlez aussi l’accès physique au boîtier et aux supports de sauvegarde.

Mises à jour, surveillance et remplacement d’un disque

Activez les notifications pour les erreurs de disque, de sauvegarde, de température, de capacité et de connexion. Consultez-les réellement ; une adresse de notification périmée rend la surveillance inutile.

Programmez les tests de santé et la vérification du système de fichiers ou du RAID selon les recommandations du constructeur. Les indicateurs SMART peuvent annoncer certains défauts, mais un disque peut tomber en panne sans avertissement.

Lorsqu’un disque est déclaré défaillant :

1. identifiez exactement la baie et le volume ;
2. vérifiez les sauvegardes avant toute manipulation ;
3. utilisez un disque compatible d’une capacité suffisante ;
4. suivez la procédure de remplacement à chaud uniquement si le modèle l’autorise ;
5. surveillez la reconstruction jusqu’à son terme ;
6. contrôlez ensuite le volume et les sauvegardes.

Ne retirez pas plusieurs disques pour « trouver le mauvais ». Étiquetez les baies et photographiez l’ordre avant maintenance.

Migrer les données sans perdre l’ancienne copie

Sauvegardez les données avant la migration. Copiez-les vers le NAS au lieu de les déplacer immédiatement, puis comparez les volumes, dossiers et fichiers importants.

Testez :

• l’ouverture de documents récents et anciens ;
• les droits de chaque type d’utilisateur ;
• les chemins utilisés par les logiciels ;
• la sauvegarde automatique des postes ;
• l’accès après redémarrage ;
• la restauration d’une version.

Conservez l’ancienne source intacte pendant une période définie. Une copie rapide n’est pas validée tant que les utilisateurs, applications et sauvegardes n’ont pas été contrôlés.

Chiffrement et clés de récupération

Le chiffrement au repos protège les disques retirés ou volés, mais il exige une gestion rigoureuse des clés. Conservez la clé ou phrase de récupération hors du NAS et testez la procédure de déverrouillage.

Utilisez HTTPS pour l’administration et les applications. Remplacez les certificats expirés et ne banalisez pas les avertissements du navigateur. Pour les sauvegardes distantes, chiffrez les données avant ou pendant le transfert lorsque leur sensibilité l’exige.

Un volume chiffré monté et accessible à un compte compromis peut quand même être modifié. Le chiffrement complète les droits, instantanés et sauvegardes ; il ne les remplace pas.

Quand un NAS n’est-il pas la bonne solution ?

Un disque externe correctement organisé peut suffire pour un seul ordinateur et un petit volume, à condition d’avoir une seconde copie. Un service cloud administré peut être plus simple pour une équipe très mobile, si les contrats, comptes, sauvegardes et possibilités d’export sont maîtrisés.

Un NAS devient pertinent lorsque la centralisation locale, la capacité, plusieurs utilisateurs, la maîtrise du stockage ou certaines sauvegardes justifient son administration. Il demande des mises à jour, une surveillance, des tests et le remplacement des disques : ce n’est pas un appareil que l’on installe puis oublie pendant dix ans.

Besoin de dimensionner et sécuriser un NAS ?

AIService peut définir les usages, choisir le nombre de baies et les disques, organiser les comptes et partages, configurer les sauvegardes, l’onduleur et l’accès distant, puis documenter la restauration. Les données ne sont jamais migrées en supprimant prématurément leur seule copie existante.

Demander un projet de stockage et sauvegarde

Découvrir l'accompagnement des professionnels

Pour continuer