Supervision de NAS en TPE : la veille permanente, point par point

Un NAS (serveur de stockage branché sur votre réseau) n’est en général regardé qu’à deux moments : à l’installation, et le jour où quelque chose ne marche plus. Entre les deux, il fonctionne en silence. Pourtant il donne des signes de fatigue bien avant la panne, et le problème n’est pas que ces signes n’existent pas, c’est que personne n’ouvre l’interface du NAS pour les voir. Cet article détaille comment je règle ce problème avec NAS-Monitoring : ce qui est relevé, quand une alerte part, ce que vous voyez, ce que demande la mise en service, et ce que cette veille ne couvre pas.

Ce qu’un NAS dit avant de tomber en panne

Un NAS Synology ou QNAP suit son propre état : santé de chaque disque, température, remplissage des volumes, ventilateurs, redémarrages. Ces informations existent, mais elles restent dans une interface que personne n’ouvre. Voici ce qui mérite d’être regardé :

• Un disque qui se dégrade. Le NAS signale un disque en « avertissement » ou en « critique » avant sa défaillance complète. Si personne ne le voit, le prochain disque à lâcher peut entraîner une perte de données, surtout sans sauvegarde à jour.
• Un volume presque plein. Quand l’espace manque, les sauvegardes et les snapshots échouent, parfois sans bruit.
• Une température anormale ou un ventilateur arrêté. Souvent un local trop chaud, ou un NAS dans un placard fermé.
• Un redémarrage inattendu. Coupure de courant, mise à jour ou plantage : à vérifier.
• Des échecs de connexion répétés. Sur un NAS joignable de l’extérieur, c’est le signe d’un robot qui essaie des mots de passe.

Les quatre premiers déclenchent une alerte avec NAS-Monitoring (voir plus bas). Les échecs de connexion apparaissent dans le journal des événements, mais ne déclenchent pas d’alerte par mail.

En bref

• Votre NAS est relevé toutes les 5 minutes, en lecture seule, par un protocole de supervision standard (SNMP).
• Une alerte part par mail si un disque, un volume ou un ventilateur pose problème, si le NAS redémarre, ou si plus aucun relevé n’arrive.
• Un espace client en ligne montre l’état du NAS, un score de santé, le journal des événements et la configuration.
• Il faut un accès sécurisé (VPN) à votre NAS, et un contrat avec une annexe RGPD signés avant toute collecte.
• Pour un NAS Synology ou QNAP. Sur devis, après un audit.

Voir la veille en images

La vidéo ci-dessous montre l’espace de suivi tel que vous le verriez. Les NAS, les chiffres et les noms sont fictifs : aucune donnée réelle n’y apparaît.

On y voit d’abord un NAS en bonne santé : disques, espace libre, sauvegardes, sécurité, journal des événements. J’y simule ensuite trois incidents : une panne de disque, une sauvegarde qui échoue, une température qui monte. Le score de santé passe de 100 à 90 avec la panne de disque, puis à 35 après l’échec de la sauvegarde, et l’état du NAS change en conséquence. Enfin, le tableau de bord se personnalise : on ajoute un bloc, on le déplace, on en masque un autre.

La démonstration est en ligne, vous pouvez la tester vous-même sur nas.makantet.fr. Précision utile : la démonstration simule aussi l’état des sauvegardes ; sur un vrai NAS, aucune alerte par mail n’est construite dessus (voir plus bas).

Ce qui est relevé

Trois sources de données alimentent l’espace de suivi.

Les mesures de santé, toutes les 5 minutes. Un serveur interroge votre NAS en SNMP, version 3 (authentifiée et chiffrée). Le serveur ne fait que lire : il pose des questions au NAS, il ne lui envoie aucun réglage. Il relève l’état de chaque disque et sa température, l’état de chaque volume et son remplissage, les ventilateurs, la température du système, le temps de fonctionnement (qui permet de repérer un redémarrage), ainsi que la charge du processeur, de la mémoire et du réseau.

Le journal des événements. Votre NAS envoie ses journaux au serveur : connexions et déconnexions, accès aux dossiers partagés, opérations sur les fichiers. Dans l’espace client, ces lignes sont traduites en français. Quand un utilisateur enchaîne beaucoup d’opérations sur un même dossier (une sauvegarde Time Machine en produit des dizaines), elles sont regroupées en une seule ligne dépliable, pour que le journal reste lisible.

La configuration. Un relevé en lecture seule liste les dossiers partagés (qui y a accès, avec quels droits) et les comptes. Il est à relancer quand la configuration change, pas toutes les 5 minutes.

Quand une alerte part

Chaque contrôle est refait après chaque relevé. Les seuils ci-dessous sont des valeurs de départ, ajustables à l’usage.

Situation	Seuil de l’alerte
Un disque	N’est plus en bon état, ou dépasse 50 °C
Un volume	N’est plus « prêt », ou est rempli à plus de 85 %
Un ventilateur	Tourne sous 500 tr/min (sur Synology, qui ne donne pas la vitesse : état autre que « normal »)
Température du NAS	Dépasse 65 °C
Plus de relevé	Rien reçu depuis 15 minutes, c’est-à-dire trois relevés manqués (NAS éteint ou injoignable, tunnel coupé, collecteur arrêté)
Redémarrage	Le temps de fonctionnement du NAS repart de zéro

Une anomalie est signalée quand elle apparaît, puis rappelée toutes les 24 heures tant qu’elle dure. Quand elle disparaît, un second mail le dit. Si plus aucun relevé n’arrive, les autres contrôles sont suspendus : leurs valeurs seraient périmées.

Ce que la veille ne voit pas

Une veille a des limites, et mieux vaut les connaître que les découvrir un jour de panne.

• L’alerte sur les sauvegardes. Votre NAS note ses sauvegardes dans son journal : début et fin d’une tâche, parfois une erreur. Ces messages arrivent chez moi, mais aucun mail d’alerte n’est construit dessus : un échec de sauvegarde ne déclenche pas d’alerte. Les messages d’échec varient selon le NAS et l’application de sauvegarde, et je n’en ai observé en réel qu’un seul, pour la sauvegarde de la configuration d’un NAS, jamais pour une tâche de sauvegarde de données. La vidéo et la démonstration, elles, simulent l’état des sauvegardes. Elles se contrôlent donc autrement (c’est un point de l’audit, voir NAS-Tracker).
• L’état RAID détaillé. Il n’est pas lu directement. L’état des volumes en donne une idée, sans remplacer le diagnostic complet.
• Un disque qui disparaît entièrement de la liste. Seuls l’état et la température d’un disque listé sont contrôlés.
• Ce qui se passe dans vos fichiers. Un rançongiciel qui chiffre vos dossiers n’est pas détecté par une veille de santé matérielle.

Ce que vous voyez dans l’espace client

L’espace client est une page en ligne, protégée par un compte. Il réunit :

• Un score de santé de 0 à 100, en trois niveaux : « Tout est sous contrôle » (95 et plus), « À surveiller » (de 70 à 94), « Intervention nécessaire » (sous 70). Chaque point perdu est expliqué : « Disque 3 à surveiller », « Volume 1 rempli à 92 % », et ainsi de suite.
• L’état des disques, des volumes et des ventilateurs, avec leurs températures.
• Le journal des événements, avec un compteur d’alertes.
• La configuration : dossiers partagés, droits, comptes.
• Plusieurs vues : une vue d’ensemble, une vue pour la direction (l’essentiel) et une vue technique (le détail). Chaque bloc se déplace, se redimensionne ou se masque, et vous pouvez créer vos propres vues.

Comment se déroule la mise en service

La veille ne s’installe pas en dix minutes. Les étapes, dans l’ordre :

1. Cadrage et contrat. Marque et modèle du NAS, version du système, box et accès Internet, référent chez vous. Le contrat et l’annexe RGPD sont signés avant toute collecte.
2. Audit de départ. Réglages de sécurité, double authentification, mises à jour, sauvegardes, accès distant. C’est le même point de départ que pour NAS-Tracker : il vaut mieux surveiller un NAS dont la base est saine.
3. Le VPN. Un tunnel chiffré est établi entre votre NAS et mon serveur. C’est lui qui permet d’interroger le NAS sans l’exposer sur Internet : il ne reste qu’une seule ouverture sur votre box, pour ce tunnel, et les autres redirections sont supprimées. Le principe est celui détaillé dans Accès distant à votre NAS.
4. Les relevés, le journal, les alertes. Configuration du SNMP, envoi des journaux, réglage des seuils, création de votre accès à l’espace client.
5. Essais et observation. Tests d’alerte, redémarrage du NAS à l’heure convenue avec vous, puis environ une semaine d’observation pour vérifier que tout remonte.

C’est cette mise en service qui prend du temps, et c’est pourquoi la formule se chiffre sur devis, après l’audit. Un cas peut tout arrêter : si la box de votre opérateur est derrière un partage d’adresse IP (CGNAT), aucune ouverture n’est possible et le VPN prévu ne marche pas. Je le vérifie avant de signer.

Ce qu’il faut de votre côté

• Un NAS Synology ou QNAP. Une autre marque demande d’écrire un collecteur spécifique.
• Une box dont on peut ouvrir un port, et un accord écrit sur les réglages à modifier (VPN sur le NAS, SNMP, envoi des journaux).
• Une double authentification pour les administrateurs du NAS.
• Un référent technique et un décisionnaire, et une fenêtre pour redémarrer le NAS lors des essais.
• Un contrat et une annexe RGPD signés avant la première collecte.

Vos données

Ce qui sort de chez vous, ce sont des mesures de santé et des journaux, jamais le contenu de vos fichiers. Ces journaux contiennent cependant des noms de comptes, des adresses IP et des noms de dossiers : ce sont des données personnelles au sens du RGPD, d’où l’annexe au contrat. Vous restez responsable du traitement, et je suis votre sous-traitant. Le collecteur, les alertes et l’espace de suivi sont développés et maintenus en interne.

Les durées de conservation sont fixées avec vous. Par défaut : 90 jours pour le journal, 12 mois pour les mesures (le détail de chaque relevé est gardé 7 jours, puis résumé par heure). Vous pouvez demander une durée plus courte, ou obtenir l’export de vos données sur demande.

Veille permanente ou visites régulières ?

NAS-Tracker est la formule d’un technicien qui s’occupe de votre NAS : un audit (réglages de sécurité, double authentification, sauvegardes, mises à jour, accès distant), puis deux interventions à distance par mois, avec un compte rendu après chaque visite. Je ne collecte aucun journal de votre NAS : il n’y a rien à installer et aucune donnée ne sort de chez vous. La limite : entre deux visites, personne ne regarde. Un disque qui lâche le lendemain d’une intervention sera découvert à la suivante.

NAS-Monitoring ajoute la surveillance continue, au prix d’un VPN, d’une collecte de données et d’une mise en service plus longue.

Votre situation	Ce qui convient
Vous voulez un NAS entretenu régulièrement, sans rien installer ni envoyer à l’extérieur	NAS-Tracker
Vous voulez être prévenu dès qu’un disque ou un volume pose problème	NAS-Monitoring
Vos données sont sensibles et vous préférez ne rien envoyer à l’extérieur	NAS-Tracker
Plusieurs personnes utilisent le NAS tous les jours et un arrêt coûte cher	Les deux se complètent

Dans la pratique, la plupart des structures commencent par l’audit, puis ajoutent la veille si l’activité en dépend vraiment.

Ce que la veille ne remplace pas

Ni la veille ni les visites ne remplacent une sauvegarde hors site, testée en restauration. La veille signale qu’un disque faiblit ; elle ne remplace pas ce disque, et elle ne protège pas d’un incendie, d’un vol ou d’un rançongiciel. Sauvegarde d’abord, surveillance ensuite : c’est l’objet de l’article sur la règle 3-2-1.

Questions fréquentes

Combien ça coûte ? C’est sur devis, après l’audit, parce que la mise en service dépend de votre marque de NAS, de votre box et de ce qu’il y a à corriger au départ.

Peut-on lire mes fichiers ? Non : les relevés portent sur l’état du NAS, et les journaux sur les événements (qui s’est connecté, quel dossier a été touché), pas sur le contenu.

Mon NAS doit-il être joignable depuis Internet ? Non, c’est le contraire. Le VPN permet de l’interroger sans l’exposer.

Que se passe-t-il si ma box est en CGNAT ? Le VPN prévu ne fonctionne pas. On cherche une autre solution avant de signer, ou on se rabat sur NAS-Tracker.

Puis-je prendre la veille sans NAS-Tracker ? L’audit de départ fait partie de la mise en service. Les visites mensuelles sont une option.

Faire le point sur votre NAS

Si vous voulez savoir si une veille permanente a du sens pour votre NAS, contactez-moi via makantet.fr/contact : je commence par un état des lieux, puis je vous dis quelle formule convient, y compris aucune.