Домашній сервер як хобі: що можна запустити на старому ноутбуці або міні-ПК

Старий ноутбук або недорогий міні ПК цілком можна перетворити на домашній сервер. На ньому зручно зберігати файли, тримати власну медіатеку й бекапи або експериментувати із Linux, Docker і віртуалізацією. Для першого такого проєкту окреме серверне обладнання часто взагалі не потрібне.

Разом з автором блогу HomeLab.net.ua, відомим під нікнеймом Softer розбираємося, з чого почати перший homelab, яке обладнання для нього підійде, коли потрібні Docker і Proxmox, як організувати NAS та Jellyfin і як безпечно отримати доступ до домашнього сервера з інтернету.

Головне в матеріалі

• Домашній сервер можна зібрати на старому ноутбуці або міні-ПК. Ноутбук — найдешевший старт, а міні-ПК тихіший, енергоефективніший і тягне кілька сервісів одночасно. Окремий NAS із кількома SATA-дисками варто купувати, коли даних більше за 4–6 ТБ.

• Для першого homelab вистачить Debian або Ubuntu LTS із Docker Compose. Proxmox знадобиться, коли потрібні кілька ОС, снапшоти всієї системи або ізоляція у віртуальних машинах. На 8 ГБ RAM поміщаються дві-три VM, решту сервісів краще тримати в LXC-контейнерах.

• Для медіасервера Jellyfin головне — уникнути транскодування. Якщо воно потрібне, оптимальний вибір — Intel Quick Sync: міні-ПК на N100 або ноутбук з i5 7–10-го покоління.

• Домашній сервер найбезпечніше не відкривати в інтернет. Для доступу ззовні використовуйте VPN: WireGuard, якщо є біла IP-адреса, або Tailscale за CGNAT. RAID не замінює бекап: важливі дані зберігайте за правилом 3-2-1.

Що таке домашній сервер і навіщо він потрібен

Домашній сервер (home server) — це комп'ютер, який працює постійно або вмикається за потреби й дає іншим пристроям доступ до даних і сервісів у домашній мережі. Це може бути як окрема машина або старий ноутбук, якому знайшли нове застосування.

На такому сервері можна:

• зберігати фото й документи та робити резервні копії;

• запустити медіасервер;

• поставити Home Assistant для розумного будинку;

• блокувати рекламу на рівні DNS через Pi-hole;

• тримати приватну хмару Nextcloud, менеджер паролів або власні невеликі проєкти.

Його також можна використовувати як навчальний майданчик для Linux, Docker, роботи з мережею та інших технологій.

Головна відмінність від хмарних сервісів — контроль. Ви самі вирішуєте, де лежать дані, які сервіси працюють і хто має до них доступ.

Що краще для домашнього сервера: старий ноутбук чи міні-ПК

Старий ноутбук — найдешевший спосіб почати. Якщо він уже є, витрат майже немає, а батарея підстрахує під час коротких відключень. Для цілодобової роботи стежте за температурою та станом акумулятора, а за можливості — обмежте максимальний рівень заряду.

Слабкі місця ноутбука — апгрейд і дисків. Зазвичай усередині є місце лише для одного-двох накопичувачів, а мережевий порт один або взагалі відсутній.

Miні-ПК (mini PC), дорожчий на старті, але зазвичай компактний, тихий, енергоефективний і продуктивніший за старий ноутбук. Залежно від моделі отримаєте більше RAM, кілька USB- і мережевих портів та запас ресурсів для кількох сервісів одночасно. Але місця для кількох внутрішніх дисків у компактному корпусі зазвичай теж немає.

Що таке homelab і чим він відрізняється від звичайного сервера

Homelab — це домашнє середовище для експериментів із Linux, контейнерами, віртуалізацією, мережами, DevOps-інструментами та self-hosted застосунками. Від звичайного сервера він відрізняється не залізом, а підходом.

Це одна й та сама коробка: той самий Linux, ті самі контейнери. Різниця лише в тому, чи можна цю машину ламати, — пояснює Softer. — Поки на сервері працюють Jellyfin і Nextcloud для родини, зміна конфігурації о десятій вечора закінчується скаргами. Лабораторія починається там, де з'явився відкат: снапшоти, бекапи, конфіги в git.

Тому сервіси, від яких залежать інші люди, він радить відокремлювати від експериментів окремими віртуальними машинами (VM) або хоча б окремими стеками Docker Compose.

Для першого homelab Softer пропонує такий набір:

• Debian або Ubuntu LTS;

• SSH із входом за по ключем;

• статична адреса на роутері;

• Docker Compose.

Усе, від чого залежить доступ до машини, коли контейнери впали, краще тримати прямо на хості: SSH, WireGuard, Samba, ZFS і моніторинг.

Коли переходити з Docker на Proxmox

Proxmox знадобиться, коли Docker уже не вистачає. Наприклад, вам потрібні:

• кілька ОС;

• снапшот усієї системи;

• NAS із прямим доступом до SATA-контролера (passthrough);

• ізоляція сервісів на рівні VM і віртуальних мереж (VLAN).

«Сам гіпервізор легкий, а от віртуалки дорого коштують у плані ресурсів: кожна забирає свою пам'ять і свій шматок диска. На 8 ГБ це дві-три VM і вже тісно, на 16 ГБ — вільно», — пояснює Softer. Контейнери ж використовують спільне ядро системи, тому обходяться дешевше.

Proxmox на ноутбуці з одним диском Softer вважає радше навчальним стендом, ніж повноцінною інфраструктурою. Компромісом можуть стати LXC — системні контейнери Proxmox. Вони працюють на ядрі хоста, тому потребують менше ресурсів, ніж VM, і при цьому підтримують снапшоти й бекапи.

Я тримав би у VM лише те, що інакше не працює: іншу ОС, прокинуте залізо, справді ізольований сервіс. Решту в LXC. Тоді звичайного mini PC вистачає на пристойну лабораторію: OPNsense у віртуалці, домашня Windows, пара тестових машин, а поруч десяток легких контейнерів.

З чого почати практику

Першими Softer радить налаштувати reverse proxy та локального DNS, наприклад nginx із Let's Encrypt і Pi-hole: тоді наступні сервіси отримають нормальні імена й HTTPS замість набору портів. Далі можна додати:

• Immich для фотографій;

• бекап через restic із тестовим відновленням;

• моніторинг через Uptime Kuma.

Ускладнювати систему наперед не варто. Kubernetes на одній ноді, Ceph на трьох mini PC, окрема віртуалка під кожен контейнер — типові приклади зайвого. «Критерій простий — якщо через місяць ви не відновите систему за власними нотатками, вона вже складніша, ніж треба», — каже Softer.

Як зробити домашній NAS для зберігання файлів

NAS (Network Attached Storage) — це централізоване сховище, доступне всім пристроям домашньої мережі. Найпростіший домашній NAS — старий ноутбук або міні-ПК із підключеними дисками та мережевими папки через Samba.

Які диски обрати і як їх підключити

Обладнання Softer радить обирати в такому порядку: спершу диски і спосіб їх підключення, потім мережа та RAM. «Починати раджу з того, що лежить удома: диск у ноутбуці, пара зовнішніх USB. Так ви зрозумієте, скільки місця реально треба», — каже він. Диски NAS-серії для цілодобової роботи варто купувати пізніше, коли з'явиться постійне сховище.

USB годиться для старту, але багато залежить від перехідника. Дешеві USB-SATA-адаптери можуть:

• не передавати SMART-дані (Self-Monitoring, Analysis and Reporting Technology — показники «здоров'я» диска);

• самостійно переводити накопичувач у сон;

• показувати однаковий серійний номер для кількох дисків, через що система перестає розрізняти їх у масиві.

Окреме питання — живлення. 3,5-дюймовому диску потрібен зовнішній адаптер, а USB-хаб без власного блока живлення рано чи пізно просяде.

Для диска, який підключають час від часу для бекапу, USB цілком підійде. Якщо ж накопичувач постійно працює в NAS, краще підключати його напряму через SATA.

На окрему машину з кількома SATA-портами варто переходити, коли даних більше за 4–6 ТБ або USB-підключення стає нестабільним. Для домашньої мережі достатньо гігабітного Ethernet: це близько 110 МБ/с, бажано по кабелю. Samba на Linux вистачить 2–4 ГБ RAM. Для TrueNAS і ZFS закладайте щонайменше 8 ГБ, комфортно — 16 ГБ.

ZFS чи ext4

ZFS Softer обрав би заради трьох речей: контрольних сум, снапшотів для миттєвого відкату і реплікації на другу машину. Але це рішення має вимоги: 8–16 ГБ RAM, пряме підключення дисків до контролера і менша гнучкість, коли сховище треба розширити.

Якщо задача звучить як «розшарити папку з фільмами», чесніше поставити звичайний Linux з ext4 і Samba. ZFS без снапшотів і реплікації — це файлова система, яка просто вимагає більше пам'яті.

Бекап за правилом 3-2-1

Для важливих даних Softer радить за можливості брати диски парами і робити дзеркало, тобто зберігати однакові дані на обох. Але дзеркало не замінює резервної копії.

RAID і дзеркало — це доступність, а не бекап. Вони рятують від смерті диска й більше ні від чого.

Видалений файл, шифрувальник, помилка адміністратора, залиття чи крадіжка однаково зачеплять усі диски масиву. Тому Softer дотримується правила 3-2-1: три копії, два різні носії, одна копія поза домом. Принаймні одна копія має бути офлайн, на від'єднаному носії.

Домашню схему він будує так:

• фото автоматично потрапляють на NAS через Immich або Syncthing;

• система регулярно робить снапшоти й зберігає версії за останні сім днів, чотири тижні та кілька місяців;

• зашифрований бекап через restic лежить на від'єднаному зовнішньому диску;

• незамінні дані додатково зберігаються в Amazon S3 або сумісному сховищі.

Без двох речей ця схема не працює. Перша — сповіщення, коли бекап не відпрацював: «Типова історія — це не збій, а тиша протягом пів року». Друга — окрема офлайн-копія паролів і 2FA-сідів. «Інакше ключ від бекапу лежить усередині цього ж бекапу», — пояснює Softer.

Як створити домашній медіасервер із Jellyfin

Jellyfin — open-source медіасервер для власної колекції фільмів, серіалів і музики, яку можна дивитися на телевізорі, смартфоні чи комп'ютері. Головне питання під час вибору заліза, за словами Softer, — чи доведеться серверу транскодувати відео.

Direct play чи транскодування

Якщо клієнт розуміє файл, сервер просто віддає його мережею (direct play), і тоді вистачить будь-якого міні-ПК. «Транскод вмикається, коли клієнт не тягне кодек чи бітрейт або треба вшити субтитри: PGS і складні ASS завжди змушують перекодовувати відео», — пояснює експерт.

Найдешевший шлях — уникати транскодування взагалі. Тут багато залежить від пристрою відтворення. За словами Softer, Apple TV, NVIDIA Shield і плеєр Kodi відтворюють майже все напряму. Ще допомагають зовнішні субтитри SRT замість вшитих.

Якщо перекодування все ж потрібне, вимоги до процесора різко зростають. «Програмно один потік 1080p H.264 з'їдає два-чотири сучасні ядра, а 4K HEVC на старому залізі не тягнеться», — каже Softer.

Яке залізо потрібне для апаратного транскодування

Для hardware transcoding Softer орієнтувався б насамперед на Intel Quick Sync, бо під Linux він підтриманий найкраще. Що дають різні покоління:

• з сьомого покоління — підтримка HEVC 10-bit;

• з одинадцятого — помітно краща якість;

• з дванадцятого (N100, N150) — декодування AV1 при споживанні 6–10 Вт.

Кодувати в AV1 ці чипи не вміють, для цього потрібна дискретна Arc. Але вдома це майже ніколи не потрібно.

Практично: міні-ПК на N100 або ноутбук з i5 7–10-го покоління закривають домашній сценарій. AMD через VAAPI працює гірше. NVIDIA працює добре, але має ліміт сесій NVENC. У Xeon без вбудованої графіки Quick Sync немає взагалі.

Окремий сценарій — HDR-контент. Якщо файл має HDR, а пристрій підтримує лише SDR, Jellyfin виконує tone mapping, тобто перетворює динамічний діапазон. Softer називає це однією з найчастіших причин транскодування в 4K-бібліотеці. Програмно таке навантаження майже не тягнеться, а апаратно нормально працює з 11-го покоління Intel. На старших чипах зображення може втрачати насиченість кольорів.

Решта вимог помірні. «8 ГБ RAM я вважаю достатнім. Систему й кеш транскоду тримав би на SSD, бібліотеку — на HDD, а в контейнер треба прокинути /dev/dri», — радить Softer.

Мережа між сервером і телевізором

4K remux, за оцінкою Softer, потребує 50–80 Мбіт/с, тож Wi-Fi 2,4 ГГц може не впоратися. Іноді вузьким місцем стає навіть Ethernet-порт телевізора.

Трапляються 4K-телевізори з сотенним Ethernet-портом (Xiaomi, це я про тебе): виглядає як кабель, а стеля близько 90 Мбіт/с, і сервер починає транскодувати на рівному місці.

Тому порт варто перевіряти до покупки телевізора, а не після того, як бібліотека вже зібрана в remux.

Наскільки безпечно відкривати домашній сервер в інтернет

Поки домашній сервер доступний лише в локальній мережі, ризик віддаленої атаки значно менший. Але для доступу до Jellyfin, NAS або іншого self hosted сервісу ззовні потрібен безпечний спосіб підключення.

VPN замість відкритих портів

«Людині без досвіду я радив би не відкривати назовні нічого. VPN закриває майже всі особисті сценарії», — каже Softer. WireGuard підійде, якщо є біла IP-адреса і хочеться контролю. Якщо білої IP немає, допоможе Tailscale: він проходить крізь CGNAT і ставиться за десять хвилин.

Публікувати сервіс варто, коли ним користуються люди без VPN-клієнта або коли потрібні публічні посилання чи вебхуки. Тоді єдиною точкою входу має бути reverse proxy, а сам сервіс Softer радить ізолювати в окремій VM або VLAN.

Що робити, якщо немає білої IP

Багато домашніх підключень працюють через CGNAT (Carrier-Grade NAT — коли провайдер видає одну публічну адресу на багатьох абонентів). У такому разі переадресація портів (port forwarding) просто не працюватиме. Лишається два варіанти: біла IP за окрему плату або Cloudflare Tunnel. З Cloudflare Tunnel агент на сервері сам тримає вихідне з'єднання, тому вхідні порти не потрібні взагалі.

«Мінус — трафік іде через Cloudflare, TLS вони термінують у себе, а великі медіапотоки через тунель гнати не варто. Тож Jellyfin туди я б не пускав».

Мінімальний набір захисту

• Не відкривайте назовні адмінінтерфейси: SSH із паролем, Proxmox на порту 8006, TrueNAS, роутер, RDP, бази даних, Docker API.

• Налаштуйте firewall за принципом deny by default. Ззовні достатньо UDP-порту WireGuard, а для публічного вебсервісу — портів 80 і 443 на reverse proxy. Без правильного ключа WireGuard не відповідає на пакети, тому сканер бачить порт закритим.

• Використовуйте HTTPS з валідним сертифікатом і редиректом з HTTP.

• Регулярно оновлюйтеся. Для ОС налаштуйте unattended-upgrades, а Docker-образи оновлюйте окремо.

• Увімкніть MFA (багатофакторну автентифікацію) скрізь, де вона є, і використовуйте унікальні паролі з менеджера.

• Захистіть reverse proxy через fail2ban або CrowdSec.

• Майте бекапи, перевірені відновленням. Вони знадобляться, зокрема, після атаки шифрувальника.

Серед типових помилок Softer називає:

• увімкнений UPnP, через який сервіси самі відкривають порти;

• доступ до SMB чи NFS з інтернету;

• стандартні паролі на кшталт admin/admin;

контейнери з надмірними привілеями (--privileged) або доступом до docker.sock;

• адмінпанелі, відкриті назовні «тимчасово».

Нестандартний порт теж не захищає.

«Вас не ламають адресно, вас знаходить сканер. Проміжок між "відкрив" і "знайшли" — не дні, а години, іноді навіть хвилини».

FAQ