SMB или NFS для резервных копий с ноутбука

SMB или NFS для резервных копий с ноутбука: безопасность, скорость и настройка

Оба протокола решают задачу «отдать папку по сети», но устроены по-разному. SMB работает с учётными записями пользователей и умеет шифровать транспорт; NFS опирается на экспорт каталогов и идентификацию на уровне клиента, зато обычно легче по накладным расходам в Unix-среде. Для резервных копий выбор чаще определяется не скоростью, а тем, кто клиент и как вы будете ограничивать доступ.

Короткое сравнение

Критерий	SMB (CIFS)	NFS
Аутентификация	пользователь и пароль, доменные сценарии	по адресу клиента и параметрам экспорта, опционально Kerberos
Шифрование транспорта	предусмотрено в SMB 3	в базовом NFSv4 — нет, защита через Kerberos (целостность/приватность) или туннель
Права	ACL на стороне сервера	UID/GID должны совпадать на клиенте и сервере
Типичный клиент	Windows, macOS, Linux	Linux/Unix, реже macOS
Time Machine	поддерживается как приёмник	для Time Machine не используется
Накладные расходы	выше	обычно ниже
Поведение при обрыве сети	переподключение, возможны зависания операций	возможны «жёсткие» зависания монтирования при неверных опциях

Спецификации: возможности SMB 2/3 описаны в MS-SMB2, модели NFSv4.0 и NFSv4.1 — в RFC 7530 и RFC 8881.

Когда выбирать SMB

Клиенты — Windows и macOS (в том числе Time Machine: настройка приёма копий Mac по SMB).
Нужны разные права для разных пользователей и папок.
Важно шифрование трафика в локальной сети (SMB 3 поддерживает шифрование транспорта).
Хочется единого механизма учётных записей для всех устройств дома.

Когда выбирать NFS

Клиенты — Linux-машины и домашний сервер; копии делает rsync или restic поверх смонтированного каталога.
Нужна минимальная нагрузка на CPU NAS при больших объёмах.
Вы контролируете UID/GID на клиенте и сервере и понимаете модель прав.

Практика монтирования и типовые проблемы описаны в ArchWiki: разделы NFS и Samba.

Настройка NFS: что проверить

Экспорт каталога на сервере с указанием допустимых клиентов (по подсети, не «всем»).
Совпадение UID/GID: если идентификаторы различаются, файлы окажутся «чужими» и права поедут.
Опции монтирования на клиенте: для резервных копий чаще выбирают надёжное поведение при обрыве связи и явное указание версии протокола; конкретные опции сверяйте с документацией дистрибутива.
Версия протокола: NFSv4 предпочтительнее v3 — одна модель безопасности и меньше открытых портов.

Настройка SMB: что проверить

Версия протокола: устаревшие варианты SMB1 использовать нельзя; современный клиент и сервер должны согласовать SMB 2/3.
Учётные данные: отдельный пользователь только для резервных копий, без прав администратора; на Linux-клиенте credentials хранят в файле с ограниченными правами, а не в строке монтирования.
Шифрование: включите его, если сеть не полностью доверенная (например, общий Wi-Fi).
Гостевой доступ: отключите — анонимный доступ к шаре с копиями недопустим.

Скорость: что на неё влияет сильнее протокола

Канал: гигабитный Ethernet против Wi-Fi — разница на порядок важнее выбора протокола.
Диск на NAS и число одновременно пишущих клиентов.
Размер файлов: на миллионах мелких файлов выигрывает тот вариант, где меньше накладных расходов на операцию.
Шифрование: добавляет нагрузку на CPU как SMB, так и инструментам резервного копирования.

Измеряйте на своей задаче: скопируйте тестовый набор (несколько крупных файлов и каталог с мелкими) и сравните время. Чужие таблицы скорости для вашего железа ничего не гарантируют.

Безопасность: общее для обоих протоколов

Никакого доступа из интернета напрямую: только через VPN — VPN вместо проброса портов.
Отдельная учётная запись и отдельная шара под копии, с квотой.
Снапшоты на стороне NAS: они защищают от перезаписи и шифровальщика, добравшегося до шары; выбор платформы со снапшотами описан в статье Домашний NAS для резервных копий.
Шифрование самих копий на клиенте (restic/Borg или зашифрованный контейнер) — тогда доступ к шаре не даёт доступа к данным.

Альтернатива: копии по SSH

Если клиент — Linux, часто проще вообще не монтировать сетевую папку, а отправлять копии по SSH: rsync по SSH или restic с SFTP-бэкендом. Меньше открытых сервисов на NAS, проще ограничения по ключу.

Частые вопросы

Что быстрее для резервных копий с Linux?

Обычно NFS даёт чуть меньше накладных расходов, но на гигабитной сети узким местом чаще становится диск или канал, а не протокол. Разницу стоит измерить на своём наборе данных.

Можно ли держать оба протокола включёнными?

Да, так часто и делают: SMB для Windows/macOS, NFS для Linux-серверов. Но каждый включённый сервис — дополнительная поверхность атаки, поэтому лишнее лучше выключить.

Почему файлы, скопированные по NFS, принадлежат другому пользователю?

Из-за несовпадения UID/GID между клиентом и сервером. Приведите идентификаторы к общим значениям или используйте сопоставление на стороне сервера.

Нужен ли NFS для Time Machine?

Нет. Time Machine использует SMB-шару с включённой поддержкой резервных копий; NFS для этой задачи не применяется.