Домашнее облако на Synology: Immich и резервная копия 3-2-1

Практический сценарий домашнего облака: Synology хранит файлы, Immich заменяет облачную галерею фотографий, а данные живут в трёх копиях по правилу 3-2-1. Все шаги выполняются в интерфейсе DSM, терминал не нужен.

Целевая картина

flowchart LR
    P[Телефоны и ноутбуки] --> N[Synology NAS]
    N --> I[Immich: фотобиблиотека]
    N --> D[Общие папки: документы и архив]
    I --> U[Копия на внешнем диске]
    D --> U
    I --> S[Копия в S3-хранилище]
    D --> S

Контур состоит из трёх уровней:

• Рабочие данные. Оригиналы фото и файлов на томе NAS, с ними вы работаете каждый день.
• Локальная копия. Внешний USB-диск, подключённый к NAS. Нужен для быстрого восстановления после ошибки или отказа тома.
• Внешняя копия. Бакет в S3-совместимом хранилище. Страховка от кражи, пожара и залива.

RAID относится только к первому уровню и копией не является.

Словарь на входе

Кому подходит и когда не подходит

Сценарий подходит, когда архив перерос бесплатные лимиты облака, семейные фото и документы хочется держать на своём железе, а дома есть постоянный интернет и место для устройства, которое шумит и греется.

От сценария лучше отказаться, когда нужен нулевой уровень обслуживания, когда дома нестабильное электричество без источника бесперебойного питания или когда единственный носитель — сам NAS и денег на вторую и третью копию нет. Хранилище без копий опаснее облачной подписки, потому что создаёт ложное ощущение безопасности.

Сценарии применения

Собранный контур нужен не ради самого себя. Вот ситуации, в которых он отрабатывает вложенное время.

Что нужно до старта

• Модель NAS. Immich работает на платформах amd64 и arm64. Начиная с версии 3 контейнер машинного обучения на amd64 требует уровня микроархитектуры x86-64-v2, который поддерживают процессоры примерно с 2012 года. Старые модели на 32-битных ARM не подойдут.
• Память. Официальный минимум Immich — 6 ГБ, рекомендуется 8 ГБ. Базовые двухдисковые модели часто идут с 4 ГБ: на такой машине система запускается только с отключённым машинным обучением, то есть без умного поиска и распознавания лиц. Под лимитами Docker одному PostgreSQL нужно не меньше 2 ГБ.
• Диски. Два диска в зеркале как минимум. Свободного места нужно примерно вдвое больше текущего архива с запасом на рост.
• Где живёт база. Каталог данных PostgreSQL нельзя размещать на сетевой шаре ни в каком виде. Лучший вариант — локальный SSD или том с SSD-кэшем; если база лежит на обычных дисках, это отдельно указывается в настройках проекта на втором шаге.
• Питание. Источник бесперебойного питания с корректным выключением NAS по сигналу: живая база данных плохо переносит внезапное обесточивание.
• DSM 7 и пакеты. Container Manager и Hyper Backup ставятся из Центра пакетов.
• Сеть. Фиксированный локальный адрес для NAS, выданный роутером по MAC-адресу.
• Внешний диск. USB-диск объёмом не меньше объёма защищаемых данных, лучше два для ротации.
• S3-хранилище. Аккаунт, бакет и пара ключей доступа для второй копии.

Шаг 1. Хранилище и папки

1. Соберите пул из дисков и создайте том на файловой системе Btrfs: она нужна для снапшотов.
2. В Панель управления → Общая папка создайте отдельные папки: docker для сервисов, photo для фотоархива, docs для документов.
3. Создайте отдельного пользователя для сервисов и дайте ему права только на нужные папки. Учётная запись администратора для повседневной работы не используется.
4. В Менеджер хранения включите регулярную проверку данных по расписанию и уведомления о состоянии дисков.
5. В Панель управления → Уведомления включите письма об ошибках задач: без них молча сломавшийся бэкап обнаружится в худший момент.

Шаг 2. Immich в Container Manager

1. В File Station создайте структуру каталогов: docker/immich-app, внутри неё postgres и library.
2. Скачайте с последнего релиза Immich файлы docker-compose.yml и example.env, загрузите их в docker/immich-app и переименуйте второй в .env.
3. Заполните .env значениями из примера ниже.
4. Откройте Container Manager → Проект → Создать, задайте имя проекта и укажите путь docker/immich-app. DSM предложит использовать найденный docker-compose.yml, согласитесь.
5. На экране правки файла найдите параметр DB_STORAGE_TYPE: 'HDD' и раскомментируйте его, если том собран на обычных жёстких дисках.
6. Пропустите шаг с настройкой портала Web Station и завершите мастер. Контейнеры соберутся и запустятся.
7. Откройте раздел Контейнер, зайдите в детали immich-server и запишите IP-адрес контейнера.
8. В Панель управления → Безопасность → Брандмауэр добавьте правило для этого IP-адреса и правило для порта 2283, на котором работает Immich.
9. Откройте http://IP-адрес-NAS:2283 в браузере и создайте первую учётную запись: она станет администратором.

# Куда Immich складывает загруженные фото и видео
UPLOAD_LOCATION=/volume1/docker/immich-app/library
# Каталог данных PostgreSQL
DB_DATA_LOCATION=/volume1/docker/immich-app/postgres
# Версия: для предсказуемых обновлений подставьте конкретный тег
IMMICH_VERSION=release
# Пароль базы: сгенерируйте свой и сохраните в менеджере паролей
DB_PASSWORD=CHANGE_ME_STRONG_PASSWORD
TZ=Europe/Moscow

networks:
  immich-network:
    driver: bridge
    ipam:
      config:
        - subnet: 172.20.0.0/16
          gateway: 172.20.0.1

services:
  immich-server:
    # остальные параметры без изменений
    networks:
      - immich-network
  immich-machine-learning:
    networks:
      - immich-network
  redis:
    networks:
      - immich-network
  database:
    networks:
      - immich-network

Шаг 3. Библиотека: телефоны и старый архив

У Immich два разных способа получить ваши файлы, и они решают разные задачи.

Автозагрузка с телефона. Установите мобильное приложение, войдите по локальному адресу сервера и выберите альбомы для резервного копирования. Приложение загружает новые снимки на NAS, оригиналы попадают в каталог из UPLOAD_LOCATION, а структурой файлов управляет сам Immich.

Внешняя библиотека. Если фотоархив уже лежит в общей папке, подключите её как внешнюю библиотеку в режиме только для чтения. Immich проиндексирует файлы на месте, не перемещая и не переименовывая их: имена и структура каталогов остаются вашими.

Шаг 4. Доступ вне дома: Tailscale или QuickConnect

Для этого сценария основным вариантом берите Tailscale: контейнер Immich доступен по адресу внутри вашей личной сети, а порты роутера остаются закрытыми. После установки пакета откройте его веб-интерфейс и авторизуйте устройство по ссылке входа.

Сразу после этого зайдите в админ-консоль Tailscale, найдите NAS в разделе Machines и в меню устройства выберите Disable Key Expiry. В самом пакете DSM этой настройки нет. По умолчанию ключ устройства действует 180 дней, после чего NAS молча выпадает из сети.

QuickConnect остаётся удобным запасным входом в DSM с чужого компьютера. Держите его включённым только при необходимости и не разрешайте службе автоматически создавать правила проброса портов на роутере: этот переключатель открывает NAS наружу.

Шаг 5. Правило 3-2-1 в этом контуре

Три копии данных, два разных носителя, одна копия вне дома. В нашем сценарии это выглядит так.

Шаг 6. Копия на внешний диск

1. Подключите USB-диск к NAS и убедитесь, что DSM его видит.
2. Откройте Hyper Backup → плюс → Папки и пакеты и выберите назначением локальную общую папку или внешнее устройство.
3. Отметьте общие папки с фото и документами, а также каталог из UPLOAD_LOCATION целиком: в нём лежат оригиналы (upload, library, profile), превью и — главное — автоматические дампы базы в подпапке backups.
4. Включите шифрование на стороне клиента и сразу скачайте файл ключа восстановления. Без него копия не читается. Учтите: после создания задачи шифрование нельзя отключить, а пароль нельзя сменить.
5. Задайте расписание на ночное время и включите ротацию версий, чтобы старые версии удалялись автоматически, а недавние сохранялись подробно.
6. Включите проверку целостности копии по расписанию.

Шаг 7. Копия в S3-совместимое хранилище

1. Создайте бакет у выбранного провайдера и отдельную пару ключей доступа только для этого бакета. Ключи от основной учётной записи в задачу бэкапа не подставляйте.
2. В Hyper Backup создайте вторую задачу и выберите назначением S3-совместимое хранилище.
3. Укажите адрес точки доступа провайдера, имя бакета, ключ и секрет. Оставьте включённым шифрование канала.
4. Включите шифрование на стороне клиента и сохраните файл ключа в менеджере паролей, у которого есть собственная копия вне дома.
5. Запустите первую полную выгрузку в момент, когда канал свободен: она может занять несколько суток.
6. Проверьте у провайдера стоимость не только хранения, но и обратного трафика. Восстановление терабайта иногда стоит дороже, чем год хранения.

Шаг 8. Защита от шифровальщика

• Снапшоты Btrfs. Настройте Snapshot Replication на общие папки с фото и документами: откат к состоянию до заражения занимает минуты. Часть моделей DSM поддерживает неизменяемые снапшоты, которые нельзя удалить до истечения срока.
• Версии в копиях. Ротация версий в Hyper Backup позволяет вернуться к состоянию до того, как зашифрованные файлы попали в копию.
• Разные учётные данные. Ключ доступа к бакету используется только задачей бэкапа и нигде больше.
• Неизменяемость на стороне хранилища. Версионирование и блокировка объектов настраиваются в самом бакете и работают независимо от NAS. Здесь нужна осторожность: Synology не заявляет официальной поддержки блокировки объектов в Hyper Backup, а ротация версий требует удаления старых объектов, которое блокировка как раз запрещает — задача может начать завершаться с ошибкой. Проверяйте связку на отдельном тестовом бакете с коротким сроком блокировки и помните, что заблокированные версии нельзя удалить досрочно, а значит счёт за хранение вырастет.
• Физическое отключение. Внешний диск, подключённый круглосуточно, шифруется вместе с NAS. Диск для ротации держите отключённым между сеансами.

Как восстанавливать

Восстановление состоит из двух частей: файлы и база. Порядок обратен порядку резервного копирования.

1. Разверните Immich заново по шагу 2: те же docker-compose.yml и .env с теми же значениями UPLOAD_LOCATION и DB_DATA_LOCATION.
2. Верните из копии содержимое UPLOAD_LOCATION: каталоги upload, library, profile, thumbs, encoded-video и backups.
3. Запустите проект и на экране приветствия выберите Restore from backup. Immich перейдёт в режим обслуживания и покажет, какие каталоги он видит и сколько в них файлов.
4. Выберите нужный дамп из списка и запустите восстановление. Если экземпляр уже работает, то же самое делается в Administration → Maintenance → Restore database backup.
5. Проверьте таймлайн, альбомы и общие папки. Если превью не открываются, запустите заново задания генерации миниатюр и перекодирования.

Проверка результата

Контур считается рабочим, когда выполняются все пункты.

• В Container Manager все контейнеры проекта находятся в состоянии running, а не перезапускаются по кругу.
• Immich открывается по локальному адресу и по адресу личной сети с телефона в мобильном интернете.
• Новый снимок с телефона появляется в библиотеке в течение нескольких минут.
• Обе задачи Hyper Backup завершаются со статусом успеха, письма об ошибках не приходят.
• Контрольное восстановление проходит: возьмите один альбом и одну папку документов, восстановите их в отдельный каталог и сравните с оригиналом.

Эталонная конфигурация

Расписание всех задач в одном месте, чтобы они не наступали друг на друга.

По умолчанию Immich делает дамп в 2:00, то есть уже после ночных задач Hyper Backup. Сдвиньте его на 00:30 в Administration → Settings → Backup, чтобы в обе копии попадала свежая база.

Минимальный набор переменных Immich, от которых зависит, где окажутся ваши данные, приведён в шаге 2. Держите этот файл в резервной копии вместе с библиотекой: без него восстановленные каталоги придётся собирать вручную.

Сколько это занимает места и времени

Цифры зависят от доли видео и настроек перекодирования, поэтому считайте их ориентирами, а не обещанием.

• Место под библиотеку. Сверх оригиналов Immich хранит миниатюры, превью и перекодированные видео. Закладывайте примерно на четверть больше объёма исходного архива, а если видео много — до полутора раз.
• Место под копии. Версионная копия с ротацией занимает больше одного слепка: для архива в 500 ГБ разумно брать диск от 1 ТБ.
• Первая выгрузка в облако. Считается арифметикой канала: 500 ГБ при отдаче 50 Мбит/с — около 22 часов непрерывной передачи, терабайт — около двух суток. Реальный срок будет больше: скорость плавает, а задача прерывается.
• Индексация и распознавание лиц. Первый проход по большому архиву на домашнем процессоре без ускорителя идёт часами и заметно нагружает NAS. Запускайте его на ночь.
• Тестовое восстановление. На один альбом и одну папку документов закладывайте полчаса вместе с проверкой.

Типичные ошибки

Обслуживание

Раз в месяц. Проверьте состояние дисков и отчёты обеих задач, освободите место от неиспользуемых образов Docker, обновите DSM.

Раз в квартал. Обновите Immich по штатной процедуре: остановите проект, выполните действие очистки, удалите неиспользуемые образы, соберите проект заново и проверьте правило брандмауэра. Перед этим убедитесь, что свежая копия существует.

Раз в полгода. Проверьте, что ключи шифрования и доступа к бакету всё ещё лежат там, где вы их ищете, и что человек, который будет восстанавливать архив без вас, знает, где инструкция.

Чеклист быстрой проверки

Следующий шаг

Правило 3-2-1: рабочая схема резервного копирования

Связанные материалы

• Статья: Как мы перегоняем терабайт с Яндекс.Диска на Synology под присмотром Codex
• Блог: Данные важнее модели
• База знаний: Synology DSM — NAS как домашний сервер

Домашнее хранилище — это первый контур, где данные окончательно переходят под ваш контроль, и те же принципы работают для рабочих архивов, баз клиентов и материалов команды.

Если захотите обсудить, как это применить у себя или в команде — пишите в Telegram @pimenov