Rock Pi 4 modèle C

Les différences avec les modèles A, B et C sont les suivantes :

• les modèles A et B n’ont pas de port mini Display Port et le port HDMI est de taille classique ;
• les modèles A et B sont proposés en 1, 2 et 4 Go de mémoire vive LPDDR4 à 3,2 Ghz ;
• le modèle A ne possède pas de Wifi ni de Bluetooth ;
• le modèle A ne supporte pas le PoE.

Radxa propose plusieurs chapeaux, dont certains sont compatibles avec les Raspberry Pi ou même le Jetson Nano :

• des chapeaux pour le Power over Ethernet (PoE) : 23W, 13W et un pour le Rock Pi S ;
• un chapeau dual ou quad SATA pour le Rock Pi 4 et le Raspberry Pi 4 : les données passent par deux les ports USB 3 du nano-ordinateur ;
• un chapeau Penta SATA pour le Rock Pi 4 uniquement : les données passent par le bus PCIe du Rock Pi 4.

Ce dossier va porter sur l’installation et l’utilisation du Rock Pi 4 avec le chapeau Penta SATA afin de mettre en place un NAS.

I-A-2-a. Penta SATA▲

Afin de vérifier que le montage s’est bien passé et que le matériel fonctionne correctement, vous pouvez utiliser les commandes suivantes :

• i2cdetect -y 1, outil provenant du paquet i2c-tools. Le résultat doit être le suivant :

   

  Sélectionnez

       0  1  2  3  4  5  6  7  8  9  a  b  c  d  e  f
  00:          -- -- -- -- -- -- -- -- -- -- -- -- -- 
  10: -- UU -- -- -- -- -- -- -- -- -- -- -- -- -- -- 
  20: -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- 
  30: -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- 
  40: -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- 
  50: -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- 
  60: -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --

• fdisk -l ou lsblk pour lister les disques et partitions reconnus.

Contrairement à des solutions classiques (où à la solution avec un boîtier séparé proposée par Radxa), le changement de disque demande un démontage partiel du NAS. Pour pouvoir modifier la configuration, il faudra :

• dévisser les quatre vis de la base ;
• enlever le boîtier ;
• déconnecter le câble reliant le chapeau à la carte supérieure ;
• déconnecter les disques en soulevant l’armature ;
• changer la configuration des disques en les plaçant/enlevant de l’armature ;
• reconnecter les disques ;
• reconnecter le câble reliant la partie supérieure au chapeau ;
• replacer le boîtier ;
• revisser la base.

En observant bien le boîtier, on remarque qu’il n’y a pas de fente pour la carte SD. En effet, le lecteur de carte SD est rendu inaccessible par la nappe FPC. Cette dernière passe devant le lecteur de carte SD.

Aussi, on pourrait penser qu’il suffit d’installer la carte SD avant le montage, mais celle-ci gênera la mise en place du boîtier.

On remarque que par défaut, le bouton est placé du côté des connectiques. Il m’aurait semblé plus logique de le placer du côté des LED des disques, même si finalement, c’est équivalent et que l’utilisateur peut reconfigurer le sens d’affichage de l’écran OLED.

Par défaut, le service affiche en alternance de dix secondes, trois pages d’informations :

• le temps d’allumage (uptime), la température du CPU et l’adresse IP ;
• la charge CPU et mémoire du système ;
• l’utilisation en pourcentage de l’espace de stockage du disque système.

Le service repose sur le fichier de configuration : /etc/rockpi-penta.conf. À partir de celui-ci, il est possible de changer la vitesse du ventilateur suivant la température, la fonction du bouton (suivant un appui court, un appui long et un double appui), le temps permettant de différencier un appui long d’un court, si le service alterne parmi les informations à afficher, combien de temps il affiche chaque page d’information, le sens de l’affichage (rotation de 180°) ainsi que l’unité à utiliser pour la température.

Avec le code source à disposition sur GitHub, il est simple de comprendre et de modifier le comportement du chapeau.
Notamment, on remarque que les scripts sont en Python et sont installés dans le dossier /usr/bin/rockpi-penta/. Plus précisément, on y trouve les fichiers :

• fan.py : pour contrôler la vitesse du ventilateur ;
• main.py : pour lancer les threads gérant le chapeau ;
• misc.py : une multitude de fonctions, gérant le fichier de configuration, la récupération des informations sur les disques…
• oled.py : les fonctions gérant ce qui est affiché à l’écran.

À titre d’exemple, il est possible d’afficher l’heure sur une nouvelle page en modifiant la fonction gen_pages() du fichier oled.py. Voici le code à ajouter :

        3: [
            {'xy': (0, 2), 'text': datetime.now().strftime("%H:%M:%S"), 'fill': 255, 'font': font['12']},
        ],

Voici quelques remarques par rapport à la distribution Debian 9 fournie officiellement par Radxa.

III-C-1-a. Connexion▲

III-C-1-b. Paquets▲

wget -O - apt.radxa.com/stretch/public.key | sudo apt-key add -

III-C-1-c. Extinction▲

Armbian est une distribution reposant sur Debian dédiée à tous les nano-ordinateurs (au contraire de Raspbian qui est spécialisée dans le support du Raspberry Pi).

III-C-2-a. Première connexion▲

III-C-2-b. Installation sur le module eMMC▲

Par défaut, openmediavault est distribué sous la forme d’une image disque permettant l’installation du système (comme on le ferait avec Debian). Toutefois, dans le cas du RockPi 4, cela n’est pas possible, entre autres, car nous avons déjà un système en place, que l’ISO n’est distribuée que pour les systèmes x86 64 bits et que rien n’est prévu pour supporter notre nano-ordinateur. En bref, nous devons installer les logiciels à la main.

La communauté propose un script permettant l’installation d’openmediavault sur les nano-ordinateurs supportés par Armbian (Buster et Stretch). Ainsi, l’installation se fait en lançant cette commande :

sudo wget -O - https://github.com/OpenMediaVault-Plugin-Developers/installScript/raw/master/install | sudo bash

Une fois l’installation finalisée, vous pouvez redémarrer votre NAS.

sudo usermod -a -G ssh user

openmediavault est avant tout une interface Web de gestion de votre NAS. Vous pourrez donc vous connecter à cette interface, à l’aide de votre navigateur, simplement en utilisant l’adresse IP du RockPi 4.

Une fois connecté, on arrive sur un tableau de bord, personnalisable, qui par défaut affiche les informations du système ainsi que les services configurés.

Sur la colonne de gauche, on retrouve le menu principal, en haut, une barre de navigation, avec un menu déroulant permettant de réinitialiser les paramètres par défaut, changer la langue, de se déconnecter ou d’arrêter/redémarrer la machine.

Les options de configurations sont disposées en cinq catégories :

• Système ;
• Stockage ;
• Gestion des droits d’accès ;
• Services ;
• Diagnostiques ;
• Informations.

IV-A-3-a. Système▲

Dans la catégorie « Système », l’administrateur pourra configurer les paramètres généraux, c’est-à-dire : le port utilisé par l’interface Web, le temps avant la déconnexion automatique de l’utilisateur et les options pour mettre en place un accès utilisant le protocole HTTPS :

Le deuxième onglet « Sécurité Administrateur » permet simplement de changer le mot de passe de l’administrateur.

Ensuite, la section « Date & Heure » permet simplement de configurer l’heure et le serveur NTP :

La section « Réseau » est décomposée en cinq onglets :

• Général : pour changer le nom de l’hôte et le nom de domaine ;
• Interfaces : pour configurer les interfaces réseau ;
• Proxy : pour définir des proxy (HTTP, HTTPS et FTP) ;
• Découverte des services : pour activer et désactiver la découverte des services hébergées sur le NAS ;
• Pare-feu : pour définir les règles du pare-feu.

Avec openmediavault 4, les interfaces réseau, pourtant reconnues d’après le tableau de bord, n’apparaissent pas dans la liste de l’écran de configuration. Vous pouvez les ajouter manuellement, obligatoire pour configurer certains services, toutefois, l’ajout a toujours résulté en un échec.
Avec openmediavault 5, les interfaces sont correctement disponibles.

La section «  Notification » permet de configurer, d’une part, les paramètres SMTP pour l’envoi des notifications, d’une autre part, quelles notifications vous souhaitez recevoir.

Pour les catégories de notification, on ne peut qu'activer ou désactiver de les recevoir. On ne peut pas configurer les conditions déclenchant l’envoi…

La section « Gestion de l’énergie » permet de configurer si l’état du système doit être surveillé et quelle action se passe lors de l’appui sur le bouton d’alimentation. Évidemment, sur le RockPi, cette option n’a pas d’intérêt.
Un second onglet, « Tâches planifiées » permet de configurer des moments de veille ou de programmer des redémarrages ou arrêts du système.

La section « Surveillance » permet d’activer la collecte périodique des statistiques de performance du système.

La section « Certificats » permet d’ajouter des certificats SSH et SSL.

La section « Tâches planifiées » permet de configurer les tâches planifiées.

La section « Gestionnaire de mises à jour » permet de récupérer les mises à jour et les installer. Pour cela, openmediavault offre une interface donnant quelques détails sur les paquets prêts à être mise à jour.

La section « Plugins » permet d’accéder aux modules de la communauté afin d’ajouter des fonctionnalités à openmediavault.

La section « OMV-Extras » permet d’ajouter, mettre à jour et activer des dépôts de plugins supplémentaires.
Avec la version 5 d’openmediavault, la section « OMV Extras » intègre deux nouveaux onglets : le premier permet d’installer ou de désinstaller docker ainsi que les logiciels permettant de gérer les containers : portainer et yacht. Le dernier onglet permet d’installer cockpit (Site officiel), une solution de publication de contenu sans interface.

La catégorie « Stockage » permet de gérer les disques du système, le RAID, les systèmes de fichiers et les indicateurs S.M.A.R.T. La première section « Disques » recense les périphériques de stockage connectés à l’appareil :

En double cliquant sur un disque, vous pouvez configurer les propriétés suivantes :

• la gestion avancée de l’énergie ;
• la gestion acoustique automatique ;
• le temps de ralentissement ;
• le cache en écriture.

Ensuite, l’utilisateur peut trouver la section des indicateurs S.M.A.R.T. Celle-ci est décomposée en trois onglets :

• les paramètres, pour activer la vérification des indicateurs, définir l’intervalle de vérification et dans quelles conditions le système peut effectuer une vérification (par exemple, interdire la vérification si le disque est en veille), ainsi que définir la surveillance des températures ;
• les périphériques, listant les périphériques pour lesquels la surveillance est activée et permettant aussi d’obtenir les journaux des tests et la valeur des indicateurs ;
• les tests programmés, permettant de gérer et lancer des tests des disques.

Arrive la section de « Gestion du RAID ». Plus simple, elle permet de créer, agrandir, supprimer et récupérer vos RAID.

Suit la section « Systèmes de fichiers » permettant d’avoir un tableau récapitulatif des systèmes de fichiers disponibles sur votre NAS. À partir de cette interface, il est possible de créer, redimensionner, mettre un quota, monter, démonter et supprimer un système.

Finalement, une section dédiée à la mémoire Flash :

La troisième catégorie concerne la gestion des utilisateurs, des groupes et des dossiers partagés. D’abord, la section « Utilisateur » permet d’avoir un tableau énumérant les utilisateurs du système :

En double cliquant sur un utilisateur (ou en utilisant le bouton « Modifier »), il est possible de le renommer, de changer son mot de passe et son shell et de changer ses groupes et de lui définir des clés publiques.
Un bouton « Privilèges » permet de définir des droits en lecture et/ou écriture aux dossiers partagés.

Pour qu’un utilisateur puisse se connecter à SSH, il doit être dans le groupe ssh.

La section « Groupe » permet de gérer les groupes non système créés et d’y ajouter les utilisateurs. Les privilèges d’accès aux dossiers partagés peuvent aussi être configurés au niveau des groupes.

Finalement, la section « Dossiers partagés » permet de configurer les dossiers utilisables par les services tels que SMB, FTP ou NFS. La création est simple, il suffit de spécifier son nom et son emplacement sur l’espace de stockage. Ensuite, vous pourrez configurer les droits pour chaque utilisateur ainsi que les listes de contrôles d’accès (ACL).

La catégorie « Services » permet de configurer les services FTP, NFS, Rsync, SMB/CIFS et SSH. Chacun de ces services possède sa propre page de configuration.

Pour le service FTP, l’utilisateur a accès aux quatre onglets suivants :

• Paramètres : pour configurer le port, le nombre de clients maximum, le nombre de connexions par hôte, le nombre de tentatives de connexion, le délai d’inactivité, le message de bienvenue, mais aussi des éléments avancés, tels que l’activation du protocole FXP, l’autorisation de reprise de téléchargement, le FTP passif, la restriction de bande passante…
• SSL/TLS : les paramètres liés au support du chiffrement de la connexion ;
• Liste d’interdictions : permet de configurer des règles pour rejeter des connexions ;
• Partages : pour configurer les dossiers partagés, accessibles depuis FTP.

La configuration du service NFS est plus simple. En effet, openmediavault ne permet que d’activer/désactiver le service et de configurer le nombre de threads à utiliser et dans un second onglet, de configurer les dossiers partagés.

La section « Rsync » offre une interface pour créer des tâches de synchronisation (descendant et montant, local et distant) et de configurer le serveur ainsi que les dossiers exposés par le NAS au travers de ce service.

La configuration du service SMB/CIFS s’étale sur deux onglets. Le premier permet de configurer les paramètres du service (activation du serveur, support de WINS, journalisation…) alors que le second permet de configurer les partages.

Finalement, la configuration du service SSH s’effectue sur une unique page, permettant de manipuler les options les plus courantes du logiciel :

La catégorie « Diagnostiques » offre l’accès au tableau de bord, aux informations système, aux journaux et à l’état des services.
Plus précisément, les informations système offrent une vue d’ensemble récapitulative de l’état du système :

L’onglet processus permet d’afficher le résultat de la commande top alors que l’onglet « Statistiques performance » permet d’avoir des graphiques à propos des différentes ressources du système sur la durée :

Le dernier onglet « Rapport » permet de générer un rapport, téléchargeable, contenant une multitude d’informations sur le système : description du système, fichiers de configuration, règle du pare-feu…

La section « Journaux système » permet évidemment de lire les journaux du système, mais aussi de configurer un syslog distant :

La section « Services » permet d’avoir une vue d’ensemble de l’état des services (FTP, NFS, SSH…) mais aussi un détail des connexions en cours pour les services SSH, SMB et FTP.

La catégorie « Information » permet d’accéder à la section « À propos » de openmediavault et d’accéder à des liens de support (documentation, forums…) ainsi qu’à un lien pour faire des dons.

La mise en place du RAID est simplifiée par l’interface Web d’openmediavault. Dans la section « Gestion du RAID », il suffit de créer le RAID, de lui donner un nom, la politique à appliquer et de sélectionner les disques intégrant ce RAID.

Dans ce tutoriel, j’utilise deux disques. Un de récupération d’un vieux PC portable et un disque 3,5 pouces, X300 de Toshiba testé dans cet article.

dd if=/dev/zero of=/dev/sdX count=2048

Une fois le RAID en place, il faut formater l’espace disque nouvellement exposé. Dans la section « Systèmes de fichiers », cliquez sur le bouton « Créer » pour mettre en place une nouvelle partition :

Finalement, montez votre nouvelle partition afin de la rendre accessible comme source pour les dossiers partagés.

Sans dossier partagé, vous ne pourrez pas accéder à l’espace disque disponible sur le NAS. Il faut donc créer au moins un dossier partagé, dans la section éponyme.

La création se résume à la spécification du nom, de la partition où placer le dossier partagé, du chemin (si vous ne souhaitez pas que le dossier soit à la racine) et des permissions :

IV-A-10-a. Partage▲

Pour rendre l’espace de stockage disponible au travers du réseau, il ne reste plus qu’à activer le service souhaité (SMB, NFS, FTP…) et d’ajouter le dossier partagé dans la liste des partages pour ce service :

IV-A-10-b. rsync▲

rsync permet de synchroniser des données entre plusieurs postes. rsync possède deux modes : un mode client ou un mode serveur auquel les clients se connectent. Ces deux modes permettent aussi bien d’envoyer que de recevoir des données.

Dans rsync, les dossiers partagés sont appelés « modules ».

La configuration en mode client consiste à définir des tâches pour récupérer ou envoyer des fichiers (locaux ou distants), qui sont intégrés à cron afin de les répéter régulièrement.

Lorsque vous spécifiez le serveur, vous pouvez aussi bien spécifier un serveur rsync, ou un serveur SSH.

La configuration du serveur est plus simple, dans le sens où il n’y a que les dossiers (modules) pouvant être synchronisés à définir. Il est possible de protéger l’accès à un module donné en utilisant un utilisateur du NAS et un mot de passe (qui lui, est propre à cette utilisation). Ensuite, c’est aux clients de s’y connecter pour synchroniser les fichiers.

openmediavault propose quelques modules permettant d’ajouter des fonctionnalités directement dans l’interface Web. Cette section détaille quelques-uns d’entre eux.

IV-A-11-a. Serveur DLNA▲

IV-A-11-b. Let’s Encrypt▲

Le plugin Let’s Encrypt permet de générer des certificats afin de permettre une connexion en HTTPS à votre serveur.

La première étape est d’ajouter le ou les domaines pour lesquels vous avez besoin d’un certificat :

Mais, si vous lancez la génération d’un certificat immédiatement, l’opération échouera. Il est obligatoire de remplir les champs « Mél » et « Nom du certificat » de l’onglet « Paramètres » :

Les certificats Let’s Encrypt ne sont valides que trois mois. Il est heureusement possible de les renouveler automatiquement.

IV-A-11-c. OpenVPN▲

IV-A-11-d. dnsmasq/PXE/TFTP▲

Avec le combo dnsmasq (serveur DHCP), PXE et TFTP, vous pouvez mettre en place une solution de démarrage par le réseau sur le NAS, comme expliqué dans cet article.

Chaque module propose ainsi une entrée correspondante dans la catégorie « Services » (dnsmasq ajoute une section nommée « Local DNS/DHCP »). L’interface de configuration de dnsmasq est classique et propose des onglets pour configurer les adresses IP ainsi attribuées, un onglet pour définir des IP attribuées statiquement et un dernier onglet pour lister les IP attribuées.

Pour le module PXE, l’utilisateur est entièrement guidé. Le premier onglet sert simplement à définir le dossier partagé à partir duquel le serveur travaille. Le deuxième onglet permet de définir les entrées du menu fourni par le serveur PXE. Le troisième onglet permet d’installer des images disques. Le dernier onglet offre des informations sur comment configurer les autres services (DHCP/DNS/TFTP) :

Pour finir, le service TFTP se configure en une page pour activer le serveur et configurer son dossier partagé :

Avec openmediavault 5, il n’y a plus le module lié à PXE ni celui de dnsmasq. Par contre, cela laisse ainsi l’utilisateur choisir la solution qu’il souhaite (iPXE ou SYSLINUX).

IV-A-11-e. Backup▲

IV-A-11-e-i. Système▲

Un module ‘openmediavault-backup’ permet de sauvegarder le système (sans les données). Ce module affiche une page de configuration dans la catégorie « Système » :

Il est aussi possible de créer des tâches planifiées pour cette sauvegarde.

IV-A-11-e-ii. Duplicati▲

Le module duplicati ajoute une page de configuration dans la section « Services ». Cette page ne permet que de lancer un serveur Web. En ouvrant une page pour vous connecter à ce nouveau serveur, vous obtiendrez :

Évidemment, la première chose est d’ajouter une sauvegarde. En démarrant le processus pour ajouter une sauvegarde, l’utilisateur est guidé par une interface décomposée en étapes.

Les sauvegardes sont chiffrées et l’utilisateur doit donc garder son mot de passe précautionneusement. Une fois la sauvegarde en place, c’est-à-dire, après avoir configuré la destination (celle-ci peut être un service de stockage dans le nuage), la source (les dossiers à sauvegarder), la fréquence de sauvegarde et les options de la sauvegarde (comme combien de temps garder les sauvegardes), il devient alors possible de lancer la sauvegarde ou encore, de restaurer une sauvegarde.

IV-A-11-f. Fail2ban▲

Fail2ban est un service scrutant les logs de connexion des serveurs installés sur la machine afin de détecter et bannir les adresses IP malveillantes. Grâce aux journaux, le service peut savoir quelles sont les adresses IP ayant tenté de se connecter au serveur et ayant échoué (généralement, pour cause de mauvais identifiant).

Le module Fail2ban permet de configurer le service éponyme au travers de deux onglets : paramètres et prisons. Sans surprise, le premier onglet permet d’activer le service et de configurer les principaux paramètres :

Alors que l’onglet des prisons permet de configurer les règles permettant la détection des connexions échouées :

IV-A-11-g. Downloader▲

Le service « Downloader » repose sur curl, aria2 et youtube-dl. Grâce à cette interface, vous pourrez télécharger des fichiers et vidéos grâce à votre NAS.

Même si le module peut être intéressant, il existe quelques défauts :

• on ne voit pas la progression du téléchargement ;
• le nom du fichier est obligatoirement à remplir par l’utilisateur ;
• la taille du fichier n’est connue que lorsque le fichier est téléchargé.

Le module offre aussi un onglet pour téléverser des fichiers sur le NAS.

Lors de mes tests, je n’ai pas réussi à faire fonctionner le téléchargement grâce à youtube-dl.

Avec openmediavault 5, il est possible de configurer des ponts réseau.

Dans openmediavault 5, il n’y a plus de module pour la configuration d’un PXE ni de dnsmasq. Par contre, il y a un nouveau module permettant de créer des cibles iSCSI.

L’affichage des erreurs d’openmediavault reprend le design du classique Guru Meditation de l’Amiga :

Webmin n’est pas présent dans les dépôts d’Armbian. Il faudra l’installer en récupérant le paquet pour Debian à partir de la page des téléchargements. Vous pouvez l’installer avec les commandes suivantes :

apt install libauthen-pam-perl libio-pty-perl libnet-ssleay-perl perl-openssl-defaults shared-mime-info
wget https://prdownloads.sourceforge.net/webadmin/webmin_1.970_all.deb
dpkg -i ./webmin_1.970_all.deb

Une fois l’installation effectuée, l’utilisateur est invité de se connecter à l’adresse https://rockpi-4b:10000/ avec n’importe quel compte ayant accès à sudo ou directement avec le compte root.

La page principale présente les informations générales sur le système, l’utilisation des ressources de la machine sur 15 minutes, les connexions récentes, l’utilisation des disques et les interfaces réseau :

Sur la gauche est disposé le menu principal avec les différentes sections. En fin du menu, des boutons permettent de : replier le menu, passer en mode sombre, ouvrir un terminal, mettre en favori une page, accéder aux options d’affichage et de thème de l’interface, éditer les options de l’utilisateur et de se déconnecter.

Finalement, sur la droite l’utilisateur peut retrouver une cloche permettant d’accéder rapidement (et sur toutes les pages) aux informations (simplifiées) du système :

IV-B-2-a. Tour d’horizon▲

IV-B-2-a-i. Webmin▲

La première catégorie disponible dans le menu concerne Webmin.
La première section permet de sauvegarder et de restaurer la configuration de Webmin et de ses modules :

Le deuxième onglet permet de lister les sauvegardes automatiques de la configuration et d’en créer de nouvelles. Le troisième onglet permet de restaurer la configuration.

La deuxième section permet de changer la langue, la locale et le thème utilisé. Ces options sont spécifiques à l’utilisateur en cours.

La troisième section permet d’effectuer des recherches dans les journaux de Webmin.

La quatrième section permet de configurer en détail le fonctionnement de Webmin, notamment, de le mettre à jour, d’en restreindre l’accès suivant les adresses IP, de modifier l’apparence ou encore, de mettre en place une nouvelle autorité de certification.

La cinquième section permet de rechercher d’autres serveurs utilisant Webmin.

La dernière section permet de gérer les utilisateurs spécifiques à Webmin.

IV-B-2-a-ii. Système▲

La catégorie « Système » permet de :

• gérer les services au démarrage de la machine et d’en ajouter ;
• changer les mots de passe des utilisateurs de la machine ;

• lister et monter des partitions et systèmes de fichiers distants ;

• mettre en place des sauvegardes de fichiers ;

• gérer la rotation des journaux ;

• gérer les associations MIME des fichiers ;

• gérer les authentifications grâce au service PAM ;

• gérer les processus en cours d’exécution. Il est possible de les trier par utilisateur, utilisation mémoire, CPU, de rechercher un processus précis et d’exécuter un programme ;

• gérer les tâches planifiées ;

• gérer les mises à jour et d’en planifier ;

• gérer les paquets ;

• effectuer une recherche dans les documentations ;

• voir les journaux du système et configurer un serveur syslog ;

• gérer les utilisateurs et groupes.

IV-B-2-a-iii. Serveurs▲

Par défaut, la rubrique « Serveurs » ne contient que deux éléments :

• une section pour lire les emails locaux ;

• une section pour configurer le serveur SSH. La configuration est découpée en sous-parties :

  • authentification ;
  • réseau ;
  • contrôle d’accès ;
  • autres ;
  • options du client ;
  • initialisations des clés SSH de l’utilisateur ;
  • clé publique de l’hôte ;
  • et l’édition manuelle des fichiers.

IV-B-2-a-iv. Outils▲

La rubrique « Outils » permet :

• d’exécuter des commandes dans un terminal ;

• de créer de nouvelles commandes ;
• d’accéder à un gestionnaire de fichiers (avec possibilité d’envoi, de téléchargement et de modifications des permissions)  ;
• d’utiliser le serveur pour ouvrir des pages Web. L’ouverture d’une page ouvre un nouvel onglet avec lequel tout le trafic passe par le serveur ;
• de gérer les modules Perl ;
• de gérer des dossiers accessibles depuis Internet ;
• d’ouvrir un client SSH (nécessite JAVA) ;
• de surveiller le statut des serveurs installés sur le système ;
• d’ouvrir un terminal dans le navigateur (nécessite la commande python) ;
• de télécharger ou d’uploader un fichier ou même de télécharger un fichier à partir du serveur.

IV-B-2-a-v. Réseau▲

La rubrique réseau permet :

• de surveiller l’utilisation de la bande passante ;
• de configurer le pare-feu ;
• de configurer le réseau (interfaces, routes, fichier hosts) ;
• de configurer un client et un serveur NIS ;
• de configurer un TCP wrapper.

IV-B-2-a-vi. Matériel▲

La rubrique « Matériel » permet :

• de lister les espaces de stockage et les partitions ;
• de configurer des imprimantes ;
• de configurer la gestion du temps.

IV-B-2-a-vii. Cluster▲

La rubrique « Cluster » permet de gérer un parc de machines en un seul endroit. Pour cela, il faut que Webmin soit installé sur chacune des machines. Ainsi, on retrouvera des fonctionnalités déjà vues précédemment, mais dont la portée est étendue à plusieurs machines.

IV-B-2-a-viii. Modules non utilisés▲

La rubrique « Modules non utilisés » recense les modules qui n’ont pas pu être lancés. Chaque page indique la raison entraînant l’impossibilité de le lancer, généralement l’absence d’un fichier spécifique ou d’un exécutable. Certains modules proposent d’installer le paquet manquant pour régler le souci.

Ce tour d’horizon a présenté les fonctionnalités de base de Webmin, ou autrement dit, les fonctionnalités disponibles sur une distribution fraîchement installée. Tel quel, Webmin n’offre pas les outils nécessaires pour utiliser et configurer le NAS. Pour obtenir de telle fonctionnalité, il nous faut activer les modules suivants :

• Linux RAID ;
• SMART Drive Status ;
• NFS Exports ;
• Samba Windows File Sharing ;
• ProFTPD Server ;
• Fail2Ban Intrusion Detector.

Pour ce faire, il suffit d’installer les paquets nécessaires à chacun de ces paquets, opération réalisable avec la commande suivante :

apt install mdadm smartmontools samba nfs-kernel-server proftpd fail2ban

IV-B-3-a. Configuration du RAID▲

Dorénavant, vous pouvez trouver l’entrée « RAID Linux » dans la rubrique « Matériel ». Sans surprise, cela permet de créer et gérer vos RAID :

La création vous emmène sur un formulaire dédié dans lequel l’utilisateur peut sélectionner les partitions à inclure dans la politique.

L’interface ne permet que de créer un RAID à partir de partitions. Par conséquent, il faut préparer les disques en créant une partition sur ceux-ci. La partition à créer doit être de type « Linux RAID ».

Une fois le RAID créé, il sera listé sur la page principale du module. Il faut maintenant créer une partition sur ce RAID pour pouvoir l’utiliser, en cliquant sur le bouton « Créer un système de fichiers de type : » :

Finalement, il ne reste plus qu’à monter le RAID grâce au bouton « Montez le RAID sur : ». Celui-ci redirige vers la page de configuration d’un nouveau point de montage, avec le formulaire permettant de configurer toutes les options disponibles :

IV-B-3-b. Indicateurs S.M.A.R.T.▲

Toujours dans la rubrique « Matériel », vous trouverez la section « État du lecteur SMART ». Il est nécessaire de sélectionner un périphérique pour afficher ses données :

La vue complète du rapport affiche le résultat de la commande smartctl. Finalement, le module offre trois boutons pour lancer les trois tests d’autodiagnostiques.

IV-B-3-c. Samba▲

Le module « Samba Windows File Sharing » est placé dans la rubrique « Serveurs ». Sur la page principale, le module liste les partages en place et permet d’en configurer des nouveaux, de gérer les utilisateurs Samba et toutes les options du serveur.

En plus des options globales au serveur, il est possible d’accéder à des options spécifiques aux dossiers partagés en cliquant sur un élément de la liste :

IV-B-3-d. NFS▲

Le module « NFS Exports » est quant à lui, disponible dans la rubrique « Networking ». Plus simples en termes d’options que le module Samba, seules la liste de partage et la possibilité d’en ajouter et d’en supprimer sont disponibles :

IV-B-3-e. FTP▲

Le module « ProFTPD Server » est placé dans la rubrique « Serveurs ». Par défaut, l’utilisateur peut se connecter avec son compte, parcourir l’ensemble des dossiers du système et envoyer des fichiers.

Les options du serveur sont exposées au travers des différentes catégories. Notamment, dans « Files and Directories », il est possible de restreindre l’accès les utilisateurs à un dossier spécifique.

IV-B-3-f. Fail2Ban▲

Le module « Fail2Ban Intrusion Detector » est placé dans la rubrique « Networking ». Quatre catégories d’options sont disponibles :

• les filtres permettant d’analyser les journaux ;
• les actions pour bannir et rappeler une IP ;
• les options des prisons, permettant notamment de les activer/désactiver ;
• la configuration globale, gérant uniquement les journaux propres à fail2ban.

L’outil de référence pour manipuler un RAID logiciel sous Linux est : mdadm.
Les disques durs mécaniques connectés au RockPi apparaissent sous Linux avec les noms /dev/sdX où X peut aller de ‘a’ à ‘e’. Vous pouvez utiliser les commandes fdisk -l ou lsblk pour retrouver les espaces de stockage connus du système.

La création s’effectue avec la commande suivante :

mdadm --create --verbose /dev/NOM_OU_NOMBRE --level=[NIVEAU] –raid-devices=[NOMBRE] DISQUES

Commande dans laquelle il faut remplacer :

• NOM_OU_NOMBRE : par le nom du RAID avec lequel vous y accéderez (par exemple : md1) ;
• NIVEAU : le niveau du RAID (1 pour RAID 1…) ;
• NOMBRE : le nombre de disques intégrant le RAID à construire ;
• DISQUES : la liste des disques intégrant le RAID.

Ce qui donne, pour construire un JBOD de deux disques, la commande suivante :

mdadm --create --verbose /dev/md1 --level=linear --raid-devices=2 /dev/sda /dev/sdb

Une fois le RAID créé, il devient donc accessible dans /dev/md1. Vous pouvez en vérifier l’état en lisant le fichier /proc/mdstat :

cat /proc/mdstat

Ou encore, en utilisant la commande :

mdadm --detail /dev/md1

Maintenant, vous pouvez formater l’espace ainsi mis à disposition :

mkfs –t ext4 /dev/md1

Et il ne reste plus qu’à mettre à disposition la partition ainsi créée :

mount /dev/md1 /mnt/share

/dev/md1    /mnt/share    ext4    default    0    0

IV-C-1-a. Ajouter un disque▲

mdadm --manage /dev/md1 --add /dev/sdc

mdadm --grow --raid-devices=3 /dev/md1

IV-C-1-b. Obtenir des informations sur un disque▲

mdadm --examine /dev/sda

IV-C-1-c. Réparation▲

mdadm --manage /dev/md1 --add /dev/sdc

mdadm --manage --set-faulty /dev/md1 /dev/sdb

IV-C-1-d. Suppression▲

mdadm --stop /dev/md1

mdadm --zero-superblock /dev/sda

dd if=/dev/zero of=/dev/sda count=10 bs=1M

Les indicateurs S.M.A.R.T. permettent de vérifier si vos disques ont rencontré des erreurs lors de leur fonctionnement. Pour un NAS, il est donc d’autant plus important de les vérifier régulièrement afin de prévenir d’une panne.

Pour vérifier et surveiller les indicateurs de vos disques, l’administrateur a à disposition deux outils : smartctl et smartd. Le premier est un outil en ligne de commande permettant d’obtenir la valeur des indicateurs et de lancer des tests d’autodiagnostiques des disques alors que le second est un outil permettant de notifier du changement des valeurs des indicateurs S.M.A.R.T.

Leur installation s’effectue avec la commande suivante :

apt install smartmontools

IV-C-2-a. smartctl▲

smartctl -a /dev/sda

smartctl -t short /dev/sda

smartctl -c /dev/sda

IV-C-2-b. smartd▲

DEVICESCAN -a -o on -S on -n standby,q -s (S/../.././02|L/../../6/03) -m smartd@example.com

DEVICESCAN -m example@email.com -M test

IV-C-2-c. Documentation▲

De multiples raisons font que vous devez créer des groupes pour chaque utilisation et des comptes utilisateur pour chaque entité se connectant à votre NAS. Une telle organisation vous permet de mieux sécuriser votre machine, de restreindre les accès et les risques en cas de piratage.
Autrement dit, il est préférable d’avoir un groupe par service. Ainsi, si vous devez donner accès à ce service à un utilisateur donné, il suffira d’ajouter cet utilisateur à ce groupe.
De même, il est préférable d’avoir un utilisateur par entité se connectant au NAS. Le partage de compte rend difficile la surveillance pour prévenir des piratages et permet de restreindre les accès aux fichiers à telle ou telle entité.

Les commandes à retenir sont :

• ajout d’un groupe :

   

  Sélectionnez

  groupadd nom_du_groupe

• ajout d’un utilisateur ;

   

  Sélectionnez

  adduser nom_utilisateur

• ajout d’un utilisateur dans un groupe :

adduser nom_utilisateur nom_du_groupe

• connaître les groupes incluant l’utilisateur en cours :

groups

• retirer un utilisateur d’un groupe :

gpasswd -d nom_utilisateur nom_du_groupe

Finalement, le fichier /etc/group indique l’intégralité des groupes du système ainsi que les utilisateurs en faisant partie.

useradd -s /bin/false -d /dev/null nom_utilisateur

Samba est un serveur permettant de partager des fichiers et dossiers sur le réseau par l’intermédiaire du protocole CIFS/SMB. Ce dernier étant le protocole le plus communément implémenté pour une telle utilisation.

Son installation s’effectue avec la commande suivante :

apt install samba

La configuration de Samba repose sur le fichier /etc/samba/smb.conf, dont vous pouvez consulter la page de manuel ou encore le Wiki d’Ubuntu. L’ajout d’un dossier partagé se fait en ajoutant une section de la sorte, dans le fichier de configuration :

[tmp]
   path=/CHEMIN/DU/SERVEUR
   read only = yes
   guest ok = yes

En ajoutant ces lignes dans le fichier de configuration, un partage nommé « tmp » pointant sur le répertoire /tmp/ du serveur sera disponible aux clients. Ces derniers ne pourront y accéder qu’en lecture seule et n’auront pas besoin de compte pour y accéder.

IV-C-4-a. Gestion des utilisateurs▲

pdbedit -a nom_utilisateur

pdbedit -x -u nom_utilisateur

[test]
   path=/CHEMIN/DU/SERVEUR
   read only = no
   valid users = USER1 USER2 USER3

NFS est un standard ouvert pour partager des données, tout comme Samba.

Son installation s’effectue avec la commande suivante :

apt install nfs-kernel-server

Ensuite, la configuration s’effectue au travers du fichier /etc/exports, dans lequel il faut définir les dossiers partagés sur les réseaux. Chaque partage se définit avec une ligne du type :

/CHEMIN/PARTAGE HÔTE(OPTIONS)

Les clients (hôtes) pouvant accéder au dossier partagé peuvent être spécifiés grâce à une adresse IP ou à un ensemble d’adresse IP, un nom d’hôte, un nom de domaine, ou un nom de groupe réseau.
Parmi les options, vous pouvez spécifier rw ou ro ou encore sync permettant de mettre le partage en écriture ou en lecture seule ou encore, d’attendre la fin de chaque opération avant de traiter la prochaine requête, respectivement.

La documentation de ce fichier peut être consultée dans les pages de manuel.

Il existe la commande showmount avec l’option -e permettant de vérifier les dossiers exportés par NFS.

Un serveur FTP permet de transférer des fichiers et contrairement aux protocoles vus précédemment, il ne fait que ça. Par exemple, pour éditer un fichier, il est nécessaire de le récupérer entièrement, puis de le renvoyer entièrement.

Plusieurs serveurs sont disponibles sous Linux. Ici, nous utiliserons vsftpd, qui s’installe avec la commande :

apt install vsftpd

La configuration s’effectue dans le fichier : /etc/vsftpd.conf. Ce dernier est commenté. En voici quelques options :

IV-C-6-a. Sécuriser la connexion▲

openssl req -x509 -nodes -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem -days 365 -newkey rsa:2048

ssl_enable=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

require_ssl_reuse=NO
ssl_ciphers=HIGH

IV-C-6-b. Documentation▲

Le serveur SSH permet à un utilisateur de se connecter à distance au NAS et ainsi d’accéder à un shell. Le serveur SSH est déjà installé sur la majorité des distributions, notamment sur Armbian. Autrement, l’installation s’effectue avec la commande :

apt install openssh-server

La configuration s’effectue au travers du fichier /etc/ssh/sshd_config. Notamment, ce fichier possède les lignes suivantes :

Cette liste n’est pas exhaustive, toutes les options pourront être retrouvées dans la documentation officielle.

IV-C-7-a. Copie de fichiers▲

scp utilisateur@IP:/chemin/fichier ./fichier

IV-C-7-b. Montage distant▲

sshfs USER@SERVER:/share/PARTAGE/ /mnt/nas

IV-C-7-c. Authentification automatique▲

ssh-keygen -t rsa -b 4096

ssh-copy-id utilisateur@server

La mise en place d’un VPN est la meilleure solution pour communiquer avec un ou plusieurs équipements domestiques depuis l’extérieur du foyer.

Pour sa mise en place, vous pouvez suivre cet article dédié.

fail2ban est un service permettant de bannir les tentatives de connexion provenant de machines ayant échoué à la connexion plusieurs fois.

Ce service s’installe avec la commande suivante :

apt install fail2ban

Les fichiers de configuration de ce service se trouvent dans le dossier /etc/fail2ban.

Pour configurer fail2ban, vous devez créer un, ou plusieurs fichiers de configuration dans lesquels vous allez définir ou redéfinir les options pour chaque service à surveiller. Par exemple, pour activer la lecture des logs du service SSH, avec les options par défaut (comme mentionnées dans le jail.conf), vous devez créer le fichier suivant :

[sshd]
enabled = true

Si vous devez redéfinir des options (par exemple, car vous utilisez un port différent de celui par défaut), il suffit d’ajouter l’option en question au fichier :

[sshd]
enabled = true
port = 2222

La configuration globale (ou configuration par défaut) se configure ainsi :

[DEFAULT]
ignoreip = 127.0.0.1 124.32.5.48
findtime = 10m
bantime = 24h
maxretry = 3

Aussi, le service fail2ban est accompagné d’un client : fail2ban-client, qui permet de recharger les règles après modification grâce à la commande fail2ban-client reload ou encore, de vérifier le fonctionnement du service : fail2ban-client status.

Un serveur DLNA permet de rendre disponibles vos médias sur l’ensemble des clients compatibles (PC, téléphone, TV…). Plusieurs logiciels permettent d’offrir ce service, mais pour être raccord avec openmediavault, nous parlons ici de minidlna.
L’installation est classique :

apt install minidlna

La configuration se fait au travers du fichier /etc/minidlna.conf. Ce dernier étant commenté, il est simple à prendre en main. Principalement, il suffit de configurer les dossiers depuis lesquels le service lit les médias :

media_dir=/media/

Vous pouvez aussi trouver de l’aide dans la documentation des pages de manuel.

Afin d’établir une connexion HTTP sécurisée avec votre serveur, vous devez utiliser un certificat reconnu par une entité légitime. Le service en ligne Let’s Encrypt fournit de tels certificats et vous pouvez générer vos certificats grâce à l’outil certbot.

L’installation se fait avec la commande suivante :

apt install certbot

Son utilisation est plutôt simple. Suivant votre besoin, vous pouvez utiliser les options --apache ou --nginx afin de générer un certificat pour ces deux serveurs Web ou utiliser la commande :

certbot certonly --standalone

Pour générer un certificat à utiliser dans l’application de votre choix.

Le renouvellement de certificat se fait simplement avec la commande :

certbot renew

Rsync permet de synchroniser des fichiers. Vous pouvez l’installer avec :

apt install rsync

Rsync peut être utilisé dans deux modes. Le premier repose sur SSH et est prêt à l’emploi, pour peu que le client possède rsync. Le second est un mode démon, où, pour être démarré, nécessite le fichier /etc/rsyncd.conf.
Ce fichier permet de spécifier des options globales ainsi que des modules, c’est-à-dire, des dossiers synchronisés. Voici un exemple de ce fichier :

uid = user
gid = user
dont compress = *.gz *.tgz *.zip *.xz *.rpm *.deb *.bz2
[ftp]
    path = /home/ftp
    exclude = *.exe
    comment = FTP Backup

La documentation de ce fichier est disponible dans les pages de manuel.

Ensuite, sur les clients, vous pouvez synchroniser les dossiers ainsi exposés, en les spécifiant comme source :

rsync -av rsync://NAS_IP/ftp

Pour utiliser Duplicati, il est nécessaire de récupérer le fichier .deb sur le site officiel et de l’installer avec la commande :

dpkg -i ./duplicati_2.0.5.1-1_all.deb

Sachant que duplicati repose sur Mono, des dépendances peuvent être manquantes. Cela peut se réparer avec la commande :

sudo apt --fix-broken install

Une fois installé, vous devez modifier le fichier /etc/default/duplicati pour qu’il contienne la ligne suivante, option pour lancer correctement le service, comme indiqué dans la documentation officielle :

DAEMON_OPTS="--webservice-interface=any --webservice-port=8200 --portable-mode"

Une fois le service lancé (systemctl start duplicati), il suffit d’utiliser le logiciel en se connectant avec un navigateur Web à l’adresse du NAS, port 8200.

Il est possible d’utiliser un port USB afin d’y brancher un adaptateur USB vers RJ45 2.5 Gbps, tel que celui testé ici, afin d’augmenter le débit du NAS.
Premièrement, un test avec l’outil iperf3 est une bonne pratique pour vérifier le débit :

• dans le cas où le NAS est le serveur, le test se déroule correctement et le débit obtenu est de 2.18 Gbits/s ;
• dans le cas où le NAS est le client (émetteur des données), le débit est moindre (autour de 1.3 Gbits/s) et le test s’arrête après quelques secondes. Le noyau produit les messages suivants :
  

[  394.307825] xhci-hcd xhci-hcd.1.auto: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 3 comp_code 1
[  394.307838] xhci-hcd xhci-hcd.1.auto: Looking for event-dma 00000000e6d63080 trb-start 00000000e6d62f70 trb-end 0000000000000000 seg-start 00000000e6d62000 seg-end 00000000e6d62ff0
[  394.307843] xhci-hcd xhci-hcd.1.auto: Looking for event-dma 00000000e6d63080 trb-start 00000000e4775000 trb-end 00000000e4775370 seg-start 00000000e4775000 seg-end 00000000e4775ff0
[  394.307849] xhci-hcd xhci-hcd.1.auto: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 3 comp_code 1
[  394.307854] xhci-hcd xhci-hcd.1.auto: Looking for event-dma 00000000e6d631a0 trb-start 00000000e6d62f70 trb-end 0000000000000000 seg-start 00000000e6d62000 seg-end 00000000e6d62ff0
[  394.307859] xhci-hcd xhci-hcd.1.auto: Looking for event-dma 00000000e6d631a0 trb-start 00000000e4775000 trb-end 00000000e4775370 seg-start 00000000e4775000 seg-end 00000000e4775ff0

La charge CPU est différente suivant l’émission ou la réception des données. Dans ce dernier cas, un cœur est occupé à 60 % de sa capacité afin de traiter l’envoi des données, alors que dans le cas où le problème apparaît, un cœur est utilisé à 100 %.
Lorsque le bogue se produit, le transfert s’arrête net et interrompt toute communication sur le réseau utilisant cette interface. Pour la « rétablir » rapidement, il suffit de débrancher et rebrancher le câble.
Si on ne déconnecte pas le câble, le noyau va remarquer le problème grâce au watchdog et réinitialiser l’adaptateur. La connexion reprendra alors, comme s’il n’y avait pas eu de problème. Toutefois, dans un tel cas, les transferts sont inévitablement ralentis et l’utilisation de l’adaptateur est inutile.