外观
小团队文件服务器
目标：给 5 到 20 人的小公司或工作室搭一台文件服务器。每个人有自己的账号，各部门只能访问自己的目录，误删能找回，谁动了文件有记录，坏盘、误删和整机损坏都有备份可以恢复。
适合谁
- 人数不多、用 Windows 和 Mac 访问共享的小团队。
- 有一个愿意学习的管理员，每季度能做一次恢复演练。
- 做不到的事要先说清楚：OMV 的用户是本机用户，由管理员在 OMV 里建，没有集中认证。OMV 8 的软件源里也没有 LDAP 插件，见 OMV 8 插件变化。人数多、需要和域账号或单点登录打通的，选别的方案。
- 对外网访问、协作编辑文档有要求的，OMV 的文件共享只是其中一环，需要另行设计。
权限和删除类操作会影响已有文件
- 影响范围：对共享文件夹递归修改权限或 ACL，会改动目录下所有已有的文件；删除用户或共享文件夹会让依赖它们的服务和应用失效。
- 前置条件：先在一个测试用的共享文件夹上演练，再用到正式目录；动手之前有可用的备份。
- 怎么回退：权限被理乱后，可以用 omv-extras 的
openmediavault-resetperms插件把共享文件夹恢复成标准权限，见访问控制列表（ACL）详解。恢复之后要重新授权。
需求与 OMV 功能对照
| 需求 | OMV 里怎么做 | 教程 |
|---|---|---|
| 每人一个账号，离职能停用或清理 | 在 用户 → 用户（Users → Users）里给每个人建账号，不用 admin 访问共享 | 用户与用户组、管理员账户与最小权限 |
| 部门目录，只有本部门能读写 | 每个部门一个用户组，每个部门目录一个共享文件夹，授权给对应的组 | 三层权限、设置共享文件夹权限、常见权限方案 |
| 公共资料区，大家只读 | 共享文件夹设成只读，管理者读写 | 常见权限方案 |
| 误删能找回 | SMB 共享上启用回收站（Enable recycle bin），可以设文件大小限制和保留时间 | SMB 进阶 |
| 谁动了哪个文件 | SMB 共享上启用审核文件操作（Audit file operations） | SMB 进阶、查看系统日志 |
| 只允许办公室网段访问 | SMB 共享上的允许主机（Hosts allow），再配合防火墙 | 防火墙规则 |
| 防止某个人占满磁盘 | 用户或组的配额 | 磁盘配额 |
| 管理员不止一个人 | 把普通用户加进 openmediavault-admin 组，成为 Web 管理员 | 管理员账户与最小权限 |
| 防暴力破解、防账号被盗 | Fail2ban 和两步验证 | 用 Fail2ban 封禁暴力破解、两步验证 |
| 远程办公 | 走 VPN，不做端口映射 | 远程访问、WireGuard |
| 停电保护 | UPS 加 NUT | 接入 UPS |
默认权限要收紧
界面创建的用户默认都在 users 组，而共享文件夹默认的属主属组是 root:users，目录模式是 2775。官方 FAQ 的说法是：用默认设置时，界面里创建的所有用户都能读写这些目录。也就是说，默认情况下所有账号对新建的共享文件夹都有读写权限。家庭够用，小团队不行，必须按部门收紧，具体做法见常见权限方案里的「小团队部门目录」。
两点注意：
- 回收站只对通过这个 SMB 共享删除的文件起作用，它不是备份。
- 审核记录放在系统日志里，OMV 默认把日志占用的上限设为 1G，约合三个月。要留更久，在
诊断 → 系统日志 → 远程（Diagnostics → System Logs → Remote）里转发到远程 syslog 服务器，或自行定期导出。
硬件与存储方案
| 项 | 选择 | 说明 |
|---|---|---|
| 机器 | 64 位 x86，内存 8 GiB 起 | 官方对默认安装的「最佳实践」 |
| 系统盘 | 小容量 SSD | 系统盘与数据盘分开 |
| 数据盘 | 两块以上同容量的 CMR 盘做 RAID1 或 RAID 5/6，或 Btrfs | 冗余只防坏盘，见多块硬盘怎么组 |
| 网络 | 千兆有线，必要时 VLAN 隔离 | VLAN |
| 电源 | UPS | 断电容易损坏文件系统 |
分步路线
| 步骤 | 做什么 | 教程 |
|---|---|---|
| 1. 规划 | 列出部门、人数、数据量、哪些数据丢不起 | 规划你的第一台 NAS |
| 2. 装系统 | 安装、改默认密码、更新、邮件通知 | 用 ISO 安装 OMV、第一次登录、配置邮件通知 |
| 3. 存储 | 组盘、建文件系统，开 SMART | 软件 RAID、创建并挂载文件系统、S.M.A.R.T. |
| 4. 用户与目录 | 建用户组、用户、共享文件夹，按部门授权 | 用户与用户组、共享文件夹、常见权限方案 |
| 5. SMB | 开 SMB，启用回收站和审核文件操作，限制允许主机 | SMB/CIFS 共享、SMB 进阶 |
| 6. 安全 | HTTPS、管理员账户、两步验证、Fail2ban，不暴露公网 | Web 界面安全、安全检查清单 |
| 7. 备份 | 见下面的「备份方案」 | 备份策略 |
| 8. 演练 | 恢复演练，记录耗时 | 恢复演练 |
| 9. 维护 | 更新窗口、UPS、健康检查 | 系统更新、健康检查清单 |
在界面里保存任何设置之后，都要点页面顶部黄色提示条上的应用（Apply），配置才会真正生效。
备份方案
| 层 | 做法 | 教程 |
|---|---|---|
| 冗余 | 镜像或 RAID，防坏盘，不防误删和勒索 | 软件 RAID |
| 每日备份 | rsync 同步到第二台机器，或另一台 OMV 的 rsync 服务端 | rsync 任务、rsync 服务端 |
| 离线副本 | 每周一块 USB 盘轮换，带离办公室，并记录谁带走的 | 插上 USB 硬盘自动备份 |
| 异地副本 | restic 或 borg 加密备份到云存储或另一处 | 异地与云端备份 |
| 系统与配置 | 系统盘镜像，加一份写明用户、组、共享、权限的文档 | 备份系统盘、OMV 配置怎么留底 |
| 恢复演练 | 每季度一次，文件级、系统级各演练，记录耗时 | 恢复演练 |
备份任务里带删除选项的要特别小心：同步方向写反，空的一边会清空另一边。起步先不开删除选项，并在每次改动后做试运行，见 rsync 任务。
验收清单
- [ ] 每个人有独立账号，没有人用
admin访问共享。 - [ ] 部门目录：用两个不同部门的账号实测，非本部门的账号会被拒绝。
- [ ] 回收站生效：在共享里删一个测试文件，能找回来。
- [ ] 审核记录生效：删除测试文件后，
诊断 → 系统日志 → 日志（Diagnostics → System Logs → Logs）里的 SMB/CIFS - 审核日志中能看到记录。 - [ ] 日志保留期满足要求，不够就转发到远程 syslog。
- [ ] 邮件通知可用：SMART 告警、磁盘 I/O 错误、备份失败都能收到。
- [ ] 每日备份成功，离线盘有轮换记录。
- [ ] 做过一次恢复演练，并记录了耗时和遇到的问题。
- [ ] Web 管理员用单独的账号，开启了两步验证。
- [ ] Web 界面走 HTTPS，路由器上没有对外的端口映射。
常见问题
需要和 Windows 域账号打通怎么办？ OMV 8 没有现成的集成，见上面「适合谁」。可以继续用本机用户，人数多时考虑别的方案。
共享文件夹删不掉？ 它还被某个服务引用，先在引用它的服务里取消，见删不掉共享文件夹。
SMB 访问被拒绝或反复要密码？ 见 SMB 访问被拒绝或反复要密码。