Auto-hébergement de transferts de médias volumineux avec OpenMediaVault et Cloudflare Tunnels

Un récent guide technique décrit une méthode de partage de gros fichiers multimédias en utilisant une infrastructure auto-hébergée plutôt que du stockage cloud commercial. L'auteur, travaillant sur des projets vidéo pour de petites compagnies théâtrales, a configuré OpenMediaVault avec FileBrowser Quantum et Cloudflare Tunnels pour gérer en toute sécurité des jeux de données multi-téraoctets.

Ce qui s'est passé

Le projet a commencé par un défi pratique : transférer d'énormes quantités de données vidéo brutes et de photos depuis un serveur local vers les clients. Une production impliquait deux spectacles de 3 heures enregistrés en 4K ProRes 422 HQ, totalisant environ 1,6 To, ainsi que 600 fichiers Fuji RAW ajoutant 10 Go supplémentaires. Après le montage, les livrables finaux ont été réduits à environ 80 Go de rendus H.265 et 4 Go d'images fixes, mais la nécessité de partager les séquences brutes est restée. Les services cloud traditionnels comme Google Drive ou Dropbox se sont révélés insuffisants en raison des limites des offres gratuites et du coût élevé de l'extension du stockage pour de tels volumes.

Pour résoudre ce problème, l'auteur a utilisé un serveur Dell R730xd exécutant ESXi. La configuration consistait à installer OpenMediaVault (OMV) sur une machine virtuelle pour gérer un pool de disques durs de 12 To. Le système était configuré avec des dossiers partagés spécifiques pour les applications Docker, les partages de fichiers et le stockage multimédia. L'accès réseau a été activé via SMB, permettant de déplacer efficacement les fichiers des stations de travail de montage vers le serveur. L'auteur a souligné l'importance de séparer physiquement les données, en utilisant un disque pour le stockage principal et un autre pour les configurations Docker, bien qu'un seul pool avec une séparation logique soit également viable.

Le cœur de la solution repose sur FileBrowser Quantum, un gestionnaire de fichiers basé sur le web, exposé de manière sécurisée sur Internet grâce aux tunnels Cloudflare Zero Trust. Cette approche évite d'ouvrir des ports sur le routeur local tout en fournissant un chiffrement HTTPS. La configuration du tunnel restreint l'accès externe uniquement aux chemins de partage publics, empêchant les utilisateurs non autorisés d'atteindre la page de connexion ou les interfaces administratives. Cette configuration permet de générer des liens protégés par mot de passe et limités dans le temps pour que les clients téléchargent des fichiers spécifiques directement depuis le serveur local.

Détails clés

• Le flux de travail gère les données brutes initiales d'environ 1,6 To pour la vidéo et 10 Go pour les photos avant que le montage ne les réduise à ~80 Go.
• OpenMediaVault est installé sur une VM basée sur Debian dans un environnement ESXi, gérant le stockage via RAID ou disques individuels.
• Les plugins Docker et omv-extras sont installés pour gérer les conteneurs, utilisant spécifiquement des fichiers compose pour le déploiement.
• Cloudflare Tunnels offrent un accès externe sécurisé sans redirection de port, restreignant la visibilité publique à des chemins d'URL spécifiques.
• FileBrowser Quantum fonctionne dans un conteneur avec des montages en lecture seule pour les répertoires partagés afin d'éviter les suppressions accidentelles.
• Les liens partagés peuvent être configurés avec des dates d'expiration et des mots de passe, imitant les fonctionnalités trouvées dans les services cloud payants.

Contexte

OpenMediaVault est une solution populaire de stockage attaché au réseau (NAS) basée sur Linux Debian. Elle fournit une interface web pour gérer les disques durs, créer des dossiers partagés et configurer des services comme SMB ou NFS pour le transfert de fichiers. Pour les utilisateurs à l'aise avec Linux, elle offre plus de contrôle que les appareils NAS grand public, permettant l'utilisation de matériel personnalisé et un support étendu de plugins.

Cloudflare Tunnels, faisant partie de la suite Zero Trust, créent une connexion sortante sécurisée depuis un serveur local vers le réseau edge de Cloudflare. Cela élimine le besoin d'adresses IP statiques ou de redirection de port sur les routeurs domestiques ou de bureau, qui constituent des risques de sécurité courants. En routant le trafic via Cloudflare, le serveur reste caché des scans directs d'Internet, et tout le trafic est chiffré via HTTPS, même si le service interne utilise du HTTP simple.

Pourquoi c'est important

Pour les équipes gérant de grands actifs multimédias, compter sur le stockage cloud tiers peut devenir prohibitivement coûteux. Transférer des téraoctets de données nécessite souvent des abonnements de niveau entreprise, tandis que l'auto-hébergement exploite les investissements matériels existants. Cette approche donne aux organisations un contrôle total sur le cycle de vie de leurs données, garantissant que les séquences brutes et les fichiers de projet sensibles restent sur site jusqu'à ce qu'ils soient explicitement partagés.

La sécurité est un autre facteur critique. En utilisant des tunnels et en restreignant l'accès à des chemins spécifiques, les administrateurs peuvent atténuer le risque d'attaques par force brute sur les pages de connexion. La capacité de générer des liens éphémères avec mots de passe ajoute une couche de sécurité similaire aux réseaux de diffusion de contenu d'entreprise, mais sans les frais mensuels récurrents. Ce modèle est particulièrement pertinent pour les petits studios ou les équipes indépendantes qui ont besoin de mécanismes de livraison de qualité professionnelle sans les contraintes des contrats informatiques corporatifs.

Ce que vous pouvez faire

• Évaluez vos coûts de stockage actuels et comparez-les à la dépense unique de construction d'un NAS local avec du matériel d'entreprise d'occasion.
• Installez OpenMediaVault sur une machine inutilisée ou une VM pour tester son interface et ses capacités de gestion de fichiers avant de migrer les données de production.
• Configurez un compte Cloudflare et un tunnel Zero Trust pour expérimenter l'exposition sécurisée de services locaux sans redirection de port.
• Utilisez Docker Compose pour déployer FileBrowser ou des gestionnaires de fichiers légers similaires, en veillant à monter les volumes en lecture seule lorsque c'est approprié.
• Implémentez des contrôles d'accès stricts en limitant les chemins du tunnel aux répertoires de partage publics, gardant les interfaces administratives accessibles uniquement localement.
• Testez la génération de liens avec les fonctionnalités d'expiration et de mot de passe pour garantir que les clients peuvent accéder aux fichiers facilement tout en maintenant les normes de sécurité.