Собственное облако: как я ушел из экосистемы Apple

Предыстория

Меня зовут Павел, и я уже целое десятилетие остаюсь преданным пользователем экосистемы Apple. Около двух месяцев назад я решился на кардинальный шаг — полностью мигрировать из iCloud на собственный домашний сервер под управлением Open Source решений.

К этому шагу я шел осознанно. Долгое время владение iPhone, iPad, MacBook, AirPods и прочими гаджетами из Купертино не доставляло мне никаких хлопот. Вся моя цифровая жизнь была бесшовно интегрирована в iCloud: архивы снимков за долгие годы, личные документы, рабочие файлы и реквизиты банковских карт. Однако со временем меня стали одолевать закономерные сомнения. Тотальная зависимость от одной технологической монополии — стратегия рискованная. Кто на самом деле имеет доступ к моим персональным данным, как они обрабатываются и можно ли это вообще проконтролировать? Что произойдет, если в один прекрасный день компания решит заблокировать мой Apple ID? Или очередное обновление превратит рабочие устройства в «кирпичи»? Конечно, они ведь солидная корпорация, они никогда так не поступят… Или все-таки поступят?..

Разумеется, можно было ограничиться созданием банальных резервных копий и успокоиться. Но меня занимали куда более глобальные вопросы: насколько комфортно современному человеку жить вне экосистем гигантов индустрии, хотя бы на уровне персонального цифрового пространства? Реально ли полностью перейти на открытое ПО, получить абсолютный контроль над конфиденциальной информацией и при этом не поступиться привычным уровнем удобства?

Так стартовал мой масштабный эксперимент. Цель была амбициозной — полностью отказаться от проприетарного софта на ПК, ноутбуке и смартфоне, объединив все устройства в единую независимую инфраструктуру. А отправной точкой должно было стать развертывание персонального облака.

По профессиональному профилю я Java-разработчик на стороне бэкенда, однако до этого момента мне никогда не доводилось администрировать домашнее «железо». Общий бэкграунд в IT и уверенное владение Linux у меня были, но опыт создания self-hosted систем отсутствовал напрочь. Тем не менее, я решил испытать свои силы.

Мини‑ПК для домашнего сервера

В качестве аппаратной базы я подобрал мини-ПК Asus NUC 14 Essential. Выбор обусловлен банальной практичностью: устройство досталось с рук по весьма привлекательной цене, а поскольку успех предприятия был под вопросом, вкладывать большие средства не хотелось:) Забегая вперед, отмечу, что покупка превзошла ожидания, и я ни разу о ней не пожалел. Конфигурация включала 8 ГБ оперативной памяти и NVMe-накопитель объемом 500 ГБ.

Инсталлировав чистую Ubuntu Server и сконфигурировав безопасный доступ по протоколу SSH, я вплотную столкнулся с первой задачей — организацией удаленного доступа к серверу из внешней сети.

VPN для доступа извне: Tailscale

Выставлять домашний сервер «наружу» без защиты не было никакого желания, равно как и тратиться на аренду статических IP-адресов или размещение оборудования в дата-центрах. Пользоваться ресурсом планируем максимум вдвоем с супругой, в то время как публичное интернет-пространство кишит ботами и злоумышленниками. Оптимальным решением закономерно стал виртуальный частный сектор.

Мой выбор пал на Tailscale. Программа оказалась невероятно дружелюбной к пользователю: она легко разворачивается на Linux, Windows, iOS и любых других платформах, объединяя девайсы в защищенную ячеистую сеть, управляемую через удобную веб-консоль. Кроме того, приятным бонусом стала возможность генерации валидных HTTPS-сертификатов для каждого узла, что пригодилось мне неоднократно.

Сразу оговорюсь, что проживаю за пределами РФ, поэтому у пользователей из других регионов опыт работы с Tailscale может отличаться.

Разобравшись с защищенным каналом связи, я приступил к развертыванию прикладных сервисов.

Сервисы

Какие инструменты способны полноценно заменить экосистему iCloud? Первое же решение, попавшееся на глаза, в описании выглядело как ультимативный швейцарский нож для организации облачного пространства.

Файловое облако: NextCloud

Функционал поражал воображение: заметочник, органайзер с календарем, файловое хранилище, фотогалерея и даже собственный офисный пакет взамен Google Docs. Казалось бы, установи один этот комплекс — и больше ничего искать не придется.

Развертывание прошло гладко. Тут-то и пригодился Tailscale, поскольку NextCloud безальтернативно требует работы по HTTPS, настроить которую без доменного имени проще всего именно через виртуальную сеть. Процесс свелся к использованию docker-compose по стандартному руководству. Правда, не обошлось без специфических нюансов вроде встроенного «магазина приложений» для управления аддонами и обновлениями.

И тут меня жгло горькое разочарование.

• Мобильное приложение для заметок лишено базовых возможностей форматирования текста.

• При многократном переименовании заметок регулярно случалась потеря несохраненных данных.

• Забыв нажать кнопку сохранения и случайно закрыв документ, можно было распрощаться с текстом.

• Встроенный веб-офис чудовищно тормозил как в браузере, так и на мобильных устройствах.

• Интерфейс календаря и офисного модуля показался мне откровенно неудобным на субъективный взгляд.

• Платформа написана на PHP, что лично у меня (да простят меня фанаты языка) доверия не вызвало 🙂

Единственным компонентом, который оправдал ожидания, стало классическое файловое хранилище. Оно функционирует стабильно, предлагая фирменные клиенты под Linux, Windows, macOS и iOS, благодаря чему пользовательский опыт практически неотличим от использования iCloud Drive.

Более того, система преподнесла два приятных сюрприза в виде протоколов CalDAV и CardDAV. Эти стандарты обеспечивают синхронизацию адресных книг и календарей между сторонними клиентами, причем нативная экосистема Apple поддерживает их из коробки.

Прописав специальную ссылку синхронизации, мне удалось заставить стандартные iOS-приложения забирать актуальные данные с личного сервера. Для первого этапа эксперимента это было идеальным решением.

Правда, вскоре выяснился неприятный баг: iPhone категорически отказывался сохранять вновь созданные контакты в NextCloud. Существующие записи правились без проблем, но новые упорно улетали в iCloud без возможности перенаправления. Впрочем, контакты я завожу редко, так что временным решением стал экспорт визиток вручную.

Интеграция NextCloud с системным приложением «Файлы» в iOS также оставила двоякое впечатление. Отправить PDF-файл на печать со смартфона превращалось в акробатический этюд с предварительным скачиванием документа во внутреннюю память девайса. К счастью, подобные операции требуются нечасто.

Сухой остаток: из обширного арсенала NextCloud я задействовал только файловое хранилище, а также механизмы CalDAV и CardDAV для перенаправления штатных коммуникационных приложений iPhone. От остального функционала пришлось отказаться.

Следующим этапом стала организация медиатеки.

Фотогалерея: Immich

Здесь меня ждал настоящий восторг. Прожив всю жизнь с галереей от Apple, я считаю, что в веб-интерфейсе Immich на голову опережает Купертино.

Конечно, здесь нет избыточных визуальных анимаций, а на старте наблюдались небольшие артефакты — например, миниатюры изображений не прорисовывались до завершения фоновых фоновых задач индексации. Но какой же здесь богатый функционал!

• Директории с фотографиями загружаются элементарным перетаскиванием в окно браузера.

• Возможность вставлять картинки через комбинацию CTRL+V прямо в браузере (невероятно удобно для коллекционирования мемов из Telegram 🙂

• Группировка дубликатов и похожих кадров в «стеки» (фишка, отсутствующая у Apple, но знакомая пользователям Google Photos).

• Автоматическая сортировка файлов на диске по временным папкам в соответствии с настраиваемыми паттернами.

• Интерактивная карта с быстрой отрисовкой и шустрой подгрузкой геотегов.

• Выбор различных моделей машинного обучения для распознавания лиц, текстовых фрагментов и объектов. Субъективно алгоритмы работают не хуже фирменных аналогов, хотя до идеала обоим далеко.

• Защищенный «закрытый альбом» для конфиденциальных снимков (правда, шифрование данных на диске отсутствует, безопасность обеспечивается лишь пин-кодом на уровне веб-интерфейса, так что решение компромиссное).

• Автоматическое создание дампов базы данных по расписанию с выгрузкой в выделенный каталог.

Установив клиент Immich на мобильный телефон, я запустил синхронизацию: кулеры моего скромного Asus NUC завыли, но уже через 15–20 минут весь мой архив из 10 000 кадров благополучно перекочевал на домашний сервер. Докинув туда же коллекцию со старого цифровика простым перетаскиванием папок, я получил единое централизованное хранилище.

Для iOS предусмотрен аккуратный виджет рабочего стола, демонстрирующий случайные фотографии из архива — отличная альтернатива родному виджету Apple.

Мини-ПК справляется с нагрузкой великолепно по сей день.

Сервис также защищен через Tailscale, поскольку штатный механизм автоматического переключения на локальную сеть работал нестабильно. Принудительный прогон трафика через VPN решил все проблемы.

В предыдущих релизах интерфейс геокарт был сыроват: снимки можно было выделять, но совершать с ними какие-либо действия не получалось. Начиная с версии 3.0.0, этот недостаток устранили.

Резюме: работа с галереей принесла исключительно положительные эмоции. Я с удовольствием поддержал разработчиков донатом, поскольку проект действительно великолепен. Приложение удобно в повседневном использовании как с мобильных устройств, так и через браузер — мелкие шероховатости с лихвой окупаются удобством.

Заметки: Joplin

Главное достоинство этого сервиса заключается в том, что он не требует развертывания сложной серверной инфраструктуры. Ему достаточно указать путь к любой папке, поддерживающей синхронизацию. Посредником отлично выступил NextCloud через протокол WebDAV: я просто создал соответствующий каталог и подключил его в настройках Joplin.

Функционал заметочника значительно превосходит стандартное решение Apple, что меня полностью устраивает — моя цифровая база знаний из старых конспектов Google Docs постепенно переезжает сюда.

— полноценная поддержка синтаксиса Markdown
— возможность шифрования локального хранилища мастер-паролем
— кроссплатформенные клиенты под все десктопные и мобильные ОС

Резюме: пользуюсь инструментом с удовольствием. Опыт взаимодействия на ПК, ноутбуке и смартфоне исключительно положительный.

Домашний стриминг: Jellyfin

Концепция собственного медиасервера для музыки и кино звучала крайне соблазнительно. Установка элементарна — на Ubuntu пакет инсталлируется банальной командой через apt. Указав в качестве медиаисточника директорию из Nextcloud (для удобства заливки контента с любых устройств), я получил готовую систему потокового вещания.

Главной сложностью оказался поиск легального контента. Я принципиальный противник пиратства, поэтому решил выстроить качественную фонотеку. Если для ознакомления подходит Spotify, то любимые альбомы в бескомпромиссном качестве FLAC я приобретаю на Bandcamp или Qobuz. Так и любимых исполнителей поддерживаешь, и звук радует.

Первое разочарование постигло меня при попытке запустить музыку со смартфона. Официальный клиент Jellyfin написан на веб-технологиях и банально не умеет воспроизводить аудио в фоновом режиме! Стоит заблокировать экран телефона, как воспроизведение останавливается. Вы издеваетесь??

К счастью, у сообщества есть сторонние клиенты. Мой выбор пал на FinAmp. Приложение далеко от идеала: например, ползунок прогресса длинных композиций рассинхронизирован с реальным таймингом при ручной перемотке, а история воспроизведения не сохраняется. Тем не менее, за звучное название и корректную работу в фоне я ему это простил.

Отдельным квестом стала проблема воспроизведения файлов в формате M4A. Сервер транслирует их на лету без проблем, но скачанные в память устройства треки приложение воспроизводить отказывалось из-за особенностей транкодера. Впрочем, для lossless-аудио наш выбор — исключительно FLAC.

Резюме: оставил Jellyfin в качестве домашней аудиобиблиотеки высокого качества. Клиент FinAmp хоть и раздражает мелкими багами, но со своей задачей справляется.

Менеджер паролей: Bitwarden Lite

Полноценная экосистема немыслима без надежного менеджера ключей. Главной Open Source альтернативой встроенной связке ключей Apple выступает Bitwarden. Изучив сообщество вокруг «тяжелого» оригинального сервера и его неофициального легковесного клона Vaultwarden, я долго сомневался. Использовать неофициальные форки не хотелось из соображений долгосрочной стабильности — вдруг изменятся API или возникнут проблемы с совместимостью? К счастью, разработчики выпустили официальное решение — Bitwarden Lite. Это компактный сервис из двух контейнеров, потребляющий минимум ресурсов. Правда, в нем отсутствуют расширенные премиум-функции, но поддержать авторов деньгами мне было не жалко.

Пришлось повозиться с настройкой переменной окружения Deployment Number при первом запуске, а также спрятать сервис за HTTPS посредством Tailscale. В остальном это великолепный инструмент: хранилище надежно удерживает пароли, платежные реквизиты и даже SSH-ключи. Мобильное приложение для iOS безупречно интегрируется в систему, обеспечивая автозаполнение и вход по FaceID.

Бэкапы — restic

Классическое правило резервного копирования гласит: формула 3-2-1. Главный вопрос заключался в реализации того самого «удаленного» экземпляра. Отказываясь от подписок на коммерческие облака, стоит признать: удаленный бэкап в стороннем хранилище — лучший способ защитить данные от форс-мажоров. Можно было купить второй сервер и поставить его у товарища или продолжать платить Apple. Однако существуют специализированные «архивные облака» со смехотворной стоимостью по сравнению с Google Drive или Dropbox. У них нет красивых десктопных клиентов и веб-интерфейсов, доступ предоставляется исключительно по протоколу SFTP, но цена за терабайт составляет порядка 4 евро (или 10 евро за 5 ТБ), что по европейским меркам крайне бюджетно.

Оценив риски, я пришел к выводу, что вероятность катастрофического сценария невелика:

• Актуальные снимки всегда дублируются в памяти смартфонов.

• Локальные кэши Bitwarden хранятся на каждом клиентском устройстве.

• Заметки Joplin также имеют офлайн-копии.

• Приобретенную музыку при необходимости можно скачать заново.

• Нагрузка на сервер минимальна — всего два пользователя с редкими обращениями.

Пока я решил обойтись без организации аппаратного RAID-массива, настроив ручное резервное копирование по календарному напоминанию. Раз в месяц я подключаю внешний жесткий диск и запускаю скрипт, архивирующий данные и дампы баз данных как на локальный носитель, так и в облако, после чего физически отключаю диск во избежание повреждения от скачков напряжения. Для этих целей используется утилита restic.

Этот инструмент невероятно удобен: он формирует зашифрованные с помощью мастер-пароля бэкапы, выполняя инкрементальное копирование только измененных блоков, что избавляет от необходимости перезаписывать массивы целиком. Беспокоиться о конфиденциальности данных на стороне стороннего провайдера не приходится.

Безопасность

Первый потенциальный вектор атаки на домашнюю инфраструктуру — точка входа в VPN. Разумеется, здесь обязателен сложный длинный пароль и двухфакторная аутентификация.

Второй, менее очевидный рубеж — домашняя точка доступа Wi-Fi. Надежный WPA3-пароль тут строго обязателен.

Административную панель роутера также необходимо защитить сложной комбинацией символов.

Я дополнительно убедился, что сервер полностью изолирован от внешнего интернета как по IPv4, так и по IPv6. Хотя современные домашние роутеры по умолчанию блокируют входящий трафик, лучше перестраховаться и проверить конфигурацию с мобильного устройства.

Кроме того, я полностью запретил авторизацию по паролю для SSH, перейдя на аутентификацию по криптографическим ключам. Сам ключ сохранен в Bitwarden, что позволяет подключаться к серверу как через SSH-агент с любого настроенного девайса. На случай недоступности сервера локальные копии базы паролей на клиентах гарантируют страховочный доступ. Проверено на практике.

Для самого Bitwarden также настоятельно рекомендую активировать двухфакторную аутентификацию, которая поддерживается из коробки.

Стек, который получился:

Мини-ПК — Asus NUC Essential

ОС — Ubuntu Server

Файловое хранилище — NextCloud

Календарь и контакты — нативные приложения iOS, синхронизированные через NextCloud

Фотогалерея — Immich

Заметки — Joplin

Медиасервер — JellyFin

Менеджер паролей — Bitwarden Lite

Внешний доступ — Tailscale

Итоги

Подведу итоги по ключевым аспектам.

Сложность развертки

Процесс оказался на удивление несложным. На развертывание каждого отдельного сервиса уходило около часа. Иногда приходилось обращаться за консультациями к искусственному интеллекту или изучать документацию, но все проблемы решались оперативно. Типичный сценарий сводился к правке docker-compose скрипта, настройке переменных окружения и последующей миграции данных.

Энергопотребление

Asus NUC демонстрирует феноменальную энергоэффективность. Показатели счетчика электроэнергии практически не изменились. В режиме простоя устройство потребляет около 5 Вт. Пиковые нагрузки случаются редко — преимущественно во время массового импорта фотографий.

Производительность и железо

Изначального объема SSD в 500 ГБ быстро перестало хватать после переноса архивов супруги. Пришлось докупать емкий накопитель и проводить миграцию данных.

Процессор Asus NUC 14 Essential справляется с нагрузкой блестяще, контейнеры работают без малейших нареканий.

Экономика

Финансовая сторона вопроса выглядит следующим образом:

Аппаратная часть (мини-ПК с рук): 200 евро (розничная цена нового составляла около 600).

Immich: 25 евро за пожизненную лицензию (при сохранении полной функциональности бесплатной версии).

Bitwarden: 20 евро в год (около 1.67 евро в месяц).

Архивное облако: 4 евро в месяц.

Апгрейд накопителя: 300 евро + 80 евро за внешний бокс для переноса данных.

При этом:

• Подписка на iCloud была снижена до минимального тарифного плана (фотографии выгружены, остались только системные бэкапы устройств, что сэкономило 2 евро ежемесячно).

• В перспективе планируется полный перевод супруги на домашний сервер с отказом от ее персональных подписок.

Глядя на цифры, очевидно, что заводить домашний сервер исключительно ради финансовой экономии — идея сомнительная. Это сродни покупке собственной квартиры ради ухода от аренды в условиях падающего рынка. Ощутимая выгода возможна лишь при колоссальных объемах хранимых данных на длинной дистанции.

Что порадовало

• Ощущение абсолютного контроля. Я четко знаю, где физически лежат мои файлы и фотографии. Тревога при сохранении скана паспорта или реквизитов карты в облако исчезла: инфраструктура под моим полным контролем, и доступ посторонних лиц исключен.

• Мой игровой Windows-ПК наконец-то органично влился в единую цифровую экосистему. Раньше существовал изолированный мир Apple и отдельно стоящий компьютер — теперь общая медиатека, заметки и пароли доступны отовсюду.

• Чувство цифровой независимости. Теперь выбор следующего смартфона (iPhone или Android) или ноутбука не имеет принципиального значения — любое устройство легко интегрируется в домашнее облако.

• Качество отдельных продуктов. Тот же Immich превзошел все ожидания.

Что не порадовало:

• Open Source решения уступают продуктам Apple в полировке интерфейса. Здесь меньше изящных анимаций, а баги и шероховатости встречаются чаще. Bitwarden временами подтупливал при авторизации, Immich требовал времени на построение превьюшек, а Jellyfin отказывался играть музыку в фоне до установки стороннего клиента.

• Уровень интеграции ниже коммерческих аналогов. Нативные сервисы Apple работают по принципу «включил и забыл», тогда как Open Source требует ручной настройки стыковки. К примеру, интеграция NextCloud в iOS-приложение «Файлы» работает неидеально, заставляя временами использовать родной клиент.

• Ответственность. Обслуживание, регулярные обновления, мониторинг и резервное копирование ложатся исключительно на ваши плечи. Для инженера это увлекательное хобби, но далеко не каждый пользователь готов тратить на это свободное время.

Резюме

Спустя два месяца я ни на секунду не пожалел о начале этого эксперимента. Эксплуатация собственного облака доставляет истинное удовольствие. Дополнительные хлопоты и груз ответственности с лихвой окупаются чувством полного контроля над персональными данными. Поймав себя на мысли, что возвращаться в экосистему iCloud мне больше не хочется, я считаю эксперимент успешным.

Рекомендовать подобный переезд абсолютно каждому я бы не стал: коммерческие облачные экосистемы подкупают своей простотой, стабильностью и вылизанностью. Миграция требует серьезных инвестиций времени, сил и денег, не гарантируя гладкого пользовательского опыта на каждом шаге. Но если вы цените конфиденциальность, испытываете стресс при загрузке документов в сторонние дата-центры и не боитесь повозиться с техникой — добро пожаловать в мир self-hosted. Здесь кипит своя жизнь, и у нее масса неоспоримых преимуществ.

Этот материал — часть моего глобального эксперимента по отказу от проприетарного софта в пользу Open Source на всех устройствах. За ходом эксперимента я веду хронику в своем телеграм‑канале.

 

Источник