Proč vůbec řešit „cloud vs. vlastní NAS“
Digitální obsah (fotografie, videa, dokumenty, projekty, zálohy) roste rychleji než naše disky. Pro běžné uživatele i malé firmy se dilema obvykle zužuje na dva směry: veřejný cloud (Dropbox/OneDrive/Google Drive/iCloud a další) nebo vlastní síťové úložiště (NAS – Network Attached Storage). Rozhodnutí není jen o ceně a kapacitě, ale především o soukromí, bezpečnosti, dostupnosti a komfortu. Tento článek systematicky porovnává kompromisy, doporučuje architektonické vzory a nabízí praktické checklisty.
Soukromí: kde a kdo vidí vaše data
- Cloud: data leží v datových centrech poskytovatele. Šifrování je standard, ale často není zero-knowledge (poskytovatel drží klíče nebo má přístup k metadatům). Výhodou je silná fyzická a provozní bezpečnost; nevýhodou je důvěra v procesy a právní prostředí.
- NAS: data zůstávají u vás. Máte plnou kontrolu nad šifrovacími klíči a logy. Zároveň ale nesete odpovědnost za fyzickou bezpečnost, aktualizace a správné nastavení sítě (expozice do internetu, porty, reverzní proxy).
Bezpečnostní model: hrozby a typické selhání
| Hrozba | Cloud | Vlastní NAS |
|---|---|---|
| Únik účtu (phishing, slabé heslo) | Zmírnění: MFA, detekce anomálií, geografické bloky | Zmírnění: MFA přes IdP, IP whitelist, WAF/reverzní proxy, auditní logy |
| Ransomwar | Verzování, neměnné snapshoty, detekce hromadných změn | ZFS/Btrfs snapshoty, WORM/neměnná sdílení, offline/offsite zálohy |
| Fyzická rizika (krádež, požár) | Multi-region redundance | Nutnost offsite kopie a pojistek; UPS, monitoring, poplachový systém |
| Zranitelnosti softwaru | Rychlé patchování na straně poskytovatele | Nutné aktivně spravovat aktualizace NAS/OS/aplikací |
| Soukromí/metadata | Možná analýza metadat, zákonné požadavky | Úplná kontrola, ale povinnost správného logování a retence |
Komfort a funkce: co dostanete „z krabice“
- Cloud: špičková synchronizace, selektivní sync, řešení konfliktů, kolaborace (komentáře, verze), nativní mobilní aplikace, sdílení odkazů s expirací.
- NAS: multimediální servery (DLNA/Plex/Jellyfin), fotoknihovny s lokálním zpracováním, Time Machine/Windows Backup, kontejnery (Docker) pro vlastní aplikace, správa práv na úrovni SMB/NFS/WebDAV a SSO integrace.
Dostupnost a latence: SLA vs. upload
- Cloud: vysoké SLA, CDN, rychlá globální dostupnost. Omezení jsou spíše na straně vaší sítě a API limitů.
- NAS: v LAN nejrychlejší (1–10 GbE). Na dálku závisí na domácím uploadu a latenci. Pro spolehlivý přístup zvažte reverzní proxy, WireGuard/OpenVPN nebo Zero Trust tunely.
Náklady a TCO: co čísla často zkreslují
| Položka | Cloud | NAS |
|---|---|---|
| Fixní vs. variabilní | Měsíční paušál za uživatele/kapacitu | CapEx (NAS + disky) + energie + výměna disků + čas administrátora |
| Škálování | Okamžité (za příplatek) | Omezené počtem šachet a RAID plánem |
| Skryté náklady | Poplatky za egress, nadstandardní funkce | UPS, záložní disky, offsite záloha, chlazení, vlastní čas |
Šifrování: at-rest, in-transit a „zero-knowledge“
- In-transit: TLS/HTTPS je samozřejmostí jak pro cloud, tak NAS (reverzní proxy, moderní TLS, HSTS).
- At-rest: NAS: LUKS/SED/ZFS-native šifrování; Cloud: nativní šifrování poskytovatele nebo client-side (Cryptomator, rclone + encfs).
- Zero-knowledge: ideál pro citlivá data. V cloudu ho dosáhnete klientským šifrováním; na NAS je to přirozené, pokud držíte klíče mimo zařízení a máte bezpečný boot.
Zálohování: pravidlo 3–2–1–1–0 v praxi
- 3 kopie: primární, lokální záloha, offsite.
- 2 různá média: NAS + externí disk/tape nebo cloudový objektový storage.
- 1 offsite: mimo budovu (cloud nebo jiná lokalita).
- 1 offline/neměnné: WORM, S3 Object Lock, ZFS snapshoty chráněné proti změně.
- 0 bez chyb: pravidelné testy obnovy (restore drills).
Právní a compliance hlediska
- Cloud: potřebujete smluvní garance (smlouvy o zpracování, lokalita dat, subprocesory), logiku retence a práva osob (přístup/vymazání).
- NAS: vše je na vás: klasifikace dat, přístupové role, logy, retence, šifrování, bezpečnostní audity a postupy incident response.
Typické scénáře použití: co se hodí kam
- Rodinné fotografie a videa: NAS s lokálním přepočtem náhledů, klientské šifrování + offsite replikace do objektového úložiště.
- Firemní kolaborace na dokumentech: cloud s real-time spoluprací, DLP a SSO; pro citlivé složky client-side šifrování.
- Media server a velké archivy: NAS v LAN, transcoding na serveru, pro sdílení mimo domov tunel/VPN a kvótované přístupy.
- Zálohy pracovních stanic: NAS jako lokální backup target (Time Machine/rsync/Veeam), replikace snapshotů do cloudu.
Hybridní vzor: „best of both worlds“
- NAS v LAN pro rychlou práci, snapshoty a lokální sdílení.
- Replikace vybraných datasetů do cloudu (S3/B2/Glacier) s objektovým zámkem proti ransomwaru.
- Klientské šifrování pro citlivé složky (např. „Privát“), které jdou i do cloudu.
- Zero Trust přístup (WireGuard, identity-aware proxy) pro vzdálený přístup.
Bezpečnostní hardening NAS: minimum, které se vyplatí
- Vypnout přímý exponovaný port-forwarding; používat reverzní proxy nebo VPN.
- MFA pro admin rozhraní a všechny uživatele; silná hesla + správce hesel.
- Pravidla firewallu, IP whitelist, oddělené VLAN pro IoT/média.
- Automatické aktualizace, bezpečnostní advisories, podepsané balíčky.
- ZFS/Btrfs snapshoty + pravidla replikace; WORM pro kritická sdílení.
- SIEM/monitoring upozornění: změny konfigurace, neúspěšné přihlašování, anomálie I/O.
Bezpečnostní hardening v cloudu: minimum, které dává smysl
- MFA (ideálně FIDO2) pro všechny účty; zakázat SMS fallback.
- Detekce anomálií a alerty při hromadných změnách, sdíleních a egressech.
- Politiky sdílení s expirací, zákaz „public link“ ve výchozím nastavení.
- Client-side šifrování pro citlivé složky; oddělené identity pro osobní a pracovní účty.
- Automatické retence a legal hold pouze pro definované případy; logování přístupů a export auditních záznamů.
Výkon a souborové systémy: na čem záleží
- NAS: ZFS/Btrfs kvůli snapshotům a scrubům; 2,5/10 GbE; cache (NVMe) pro malé soubory; RAIDZ1/2/10 podle profilu rizika.
- Cloud: výkon na klienta řídí sync engine a latence; pro mnoho malých souborů používejte archivní kontejnery (.zip/.tar) při dlouhodobém uložení mimo aktivní práci.
Rozhodovací strom: rychlý rámec výběru
- Nutná kolaborace v reálném čase? Ano → Cloud (s klientským šifrováním pro citlivé). Ne → pokračuj.
- Citlivá data s potřebou zero-knowledge? Ano → NAS + client-side šifrování + offsite objekt storage. Ne → pokračuj.
- Omezený upload/latence na dálku? Ano → NAS v LAN pro primární práci + selektivní cloud sync. Ne → cloud vhodný.
- Máte kapacitu na správu infrastruktury? Ne → Cloud. Ano → NAS nebo hybrid.
Migrační plán: jak přejít bez výpadků
- Inventura dat: velikost, typy, citlivost, požadavky na verze.
- Návrh taxonomie složek a přístupových rolí (nejprve nejméně privilegované).
- Pilotní migrace 5–10 % dat; otestujte verze, sdílení, obnovu ze snapshotu.
- Postupná plná migrace přes rsync/rclone/sync klienty; zmrazení sdílení během cutover.
- Zapněte zálohy a offsite replikaci; proveďte test obnovy.
Checklist: cloud vs. NAS – rychlé srovnání
- Cloud: + kolaborace, + dostupnost, + bez údržby; − důvěra ve třetí strany, − poplatky za egress, − méně „zero-knowledge“ ve výchozím nastavení.
- NAS: + kontrola, + soukromí, + levné v dlouhodobém horizontu při velkých objemech; − správa a bezpečnost na vašich bedrech, − dostupnost mimo LAN závislá na síti.
Doporučené „baseline“ konfigurace
- Rodina/individuální tvůrce: 4–6 šachet NAS (ZFS/Btrfs), snapshoty každou hodinu/den, replikace do levného objektového storage s verzováním; mobilní fotoknihovna s lokálním zpracováním a klientským šifrováním citlivé složky.
- Malá firma (do 25 lidí): cloud pro dokumenty a kolaboraci (SSO, DLP, audit), NAS v kanceláři pro CAD/video a lokální zálohy; hybridní replikace, politiky sdílení s expirací.
- „Privacy-first“ uživatel: pouze NAS pro primární úložiště, client-side šifrovaný mirror do cloudu, žádné přímé veřejné linky, přístup pouze přes VPN/Zero Trust.
Kompromis podle vašich priorit
Pokud je pro vás klíčová kolaborace a nulová údržba, vyhrává cloud (s klientským šifrováním pro citlivé složky). Pokud preferujete maximální soukromí a kontrolu, dává smysl NAS (s disciplinovanou bezpečností a offsite zálohami). Nejpraktičtější je však často hybrid: NAS pro výkon a lokální funkce, cloud jako odolná a dostupná „druhá noha“ s neměnnými kopiemi. Klíčem je jasný plán přístupů, šifrování a zálohování – potom se z kompromisu stane výhoda.
