Synology DP320 : découvrez l’appliance ActiveProtect, une solution de sauvegarde tout-en-un

I. Présentation

Chez Synology, l'année 2025 marque le début du lancement d'une nouvelle gamme de produits : ActiveProtect. Derrière ce nom se cache une véritable solution de protection des données tout-en-un, englobant à la fois le matériel et la couche logicielle, avec une nouvelle interface de gestion pensée pour la sauvegarde et la restauration de données.

Avec les appliances ActiveProtect, l'objectif de Synology est le suivant : proposer du matériel préconfiguré et optimisé pour la sauvegarde, la récupération, la restauration instantanée, la réplication et la déduplication de données.

"Synology comprend bien le marché et a identifié le besoin d'une solution conçue pour toutes les entreprises qui souhaitent une solution de protection des données simple mais robuste, avec un minimum d'installation et de maintenance."

À ce jour, Synology propose trois modèles différents dans la gamme ActiveProtect lancée en 2025. Il y a le modèle 2 baies DP320 avec une capacité utile de 8 To présenté dans cet article, ainsi que deux autres modèles pour les entreprises plus exigeantes : DP340 et DP7400. L'appliance Synology DP320 est équipée d'un processeur AMD R1600 (2 coeurs) et de 8 Go de RAM.

Lorsque vous achetez une appliance ActiveProtect, vous achetez aussi une licence d'utilisation. Vous pouvez interconnecter 3 appliances ensemble sans devoir acheter de licences supplémentaires. À partir de 4 appliances ou plus, vous devez acheter une licence additionnelle, et ce, dès la première année d'utilisation.

II. Déballage et montage

L'emballage écologique et épuré proposé par Synology offre un aperçu sur le design de ce boitier et sur les caractéristiques du produit. Il est précisé qu'il a une capacité utile de 8 To (via un RAID-1), 2 interfaces réseau RJ45 en 1 Gbit/s dont une pour l'administration et que le matériel est accompagné de 3 ans de garantie. Le matériel est bien protégé et une boite cartonnée contient les accessoires.

L'appliance Synology est accompagnée par deux câbles RJ45, une alimentation externe, deux clés pour verrouiller/déverrouiller les baies de disques et un guide d'installation rapide. Sans oublier la présence deux disques durs dans le carton : Synology HAT3310-8T (8 To). Quand vous commandez une appliance Synology DP320, vous recevez donc un package complet et vous n'avez pas à vous soucier de l'achat des disques. A contrario, vous n'avez pas le choix de la capacité de votre futur espace de stockage.

L'appliance Synology DP320 semble partager le même boitier qu'un modèle de NAS que vous connaissez peut-être : le DS723+. La forme du boitier et la façade sont identiques, à la différence du nom de modèle inscrit sur le boitier. Le seul et unique port USB présent sur le boitier se situe en façade, juste au-dessus du bouton power, tandis qu'à l'arrière, se situent les deux ports Ethernet. Une encoche Kensington est aussi présente, de quoi sécuriser physiquement le boitier.

Les disques durs, protégés par des sachets anti-statiques, doivent être installés par vos soins. Il n'y a pas d'outil à prévoir puisque les racks en plastique sont à clipser de chaque côté du disque. Lorsque les baies de disque sont retirées, vous pouvez accéder aux deux slots de RAM, sur la droite.

Cette présentation de l'ensemble étant terminée, passons désormais à la découverte du système et ses fonctionnalités clés.

III. Initialisation du Synology DP320

Pour la mise en route, j'ai pris la décision de connecter uniquement le port réseau "Management" du boitier. Cette interface dédiée à l'administration n'a pas d'accès à Internet, pour des raisons de sécurité. De ce fait, le système d'exploitation doit être téléchargé sur le site de Synology puis chargé sur l'interface web lors de la configuration initiale.

Remarque : pour une intégration en production, vous devez, dans la mesure du possible, connecter le port de management sur le réseau associé à cet usage, et le second port sur le réseau de données. Ce cloisonnement participe à protéger votre appliance contre les attaques et les accès non autorisés.

Rendez-vous à l'adresse "https://finds.synology.com/" pour lancer la détection de l'appliance sur le réseau, une fois qu'elle sera connectée et allumée. Un assistant bien ficelé est ensuite là pour nous guider. Comptez environ 20 minutes le temps de l'installation et la configuration du système.

La configuration initiale se résume à quelques étapes simples, comme la création du compte administrateur et la configuration du réseau. Le stockage est automatiquement configuré par l'assistant et aucun choix n'est proposé à ce sujet : le RAID-1 avec les deux disques est imposé. Le système de fichiers Btrfs est imposé également, mais c'est de toute façon le choix que je vous recommande (notmament pour la fonction de clichés instantanés).

Bienvenue sur ActiveProtect Manager 1.0 !

C'est original de voir une version 1.0 quand on connait l'historique de Synology et sa renommée à l'échelle mondiale dans le domaine du stockage. Cette fois-ci, c'est une certitude : j'ai bien un boitier Synology à côté de moi, mais le système ne se nomme pas DSM.

IV. Découverte de la solution ActiveProtect

A. Aperçu de l'interface d'APM

Un menu principal, située sur la gauche, permet à l'administrateur de parcourir les différentes sections de l'interface. Ma première impression : lorsque je navigue sur l'interface du système ActiveProtect Manager (APM), j'ai le sentiment de me trouver sur une version améliorée et évoluée de l'application Active Backup for Business, développée par Synology et disponible sur DSM. Il ne fait aucun doute que cette console est le futur centre de pilotage de l'infrastructure de sauvegarde des entreprises qui adopteront cette solution.

ActiveProtect Manager prend en charge la sauvegarde et la restauration de charges de travail variées, parmi lesquelles : ordinateurs sous Windows et Mac, serveurs de fichiers, serveurs physiques, machines virtuelles (Hyper-V et VMware) et les environnements Cloud basés sur Microsoft 365. Il y a bien des possibilités de sauvegarde pour les serveurs sous Linux.

B. Les fonctionnalités principales

ActiveProtect Manager propose un large éventail de fonctionnalités. Après avoir exploré ses menus et consulté sa documentation, j’ai établi la liste suivante :

• Protection étendue : sauvegarde des charges de travail variées (VMware, Hyper-V, Windows, macOS, Linux, bases de données, SaaS).
• Sauvegarde fiable : vérification des sauvegardes et tests de reprise après sinistre en sandbox.
• Restauration flexible : restauration au niveau des fichiers ou une restauration P2V/V2V
• Protection anti-ransomware : stockage WORM, immuabilité, chiffrement et isolation réseau.
• Efficacité de sauvegarde : déduplication globale à la source pour économiser bande passante et stockage.
• Gestion des accès : authentification avec Active Directory, LDAP, SAML 2.0 et gestion fine des accès.
• Administration centralisée : interface unique pour gérer plusieurs sites et clusters.

La force de la solution ActiveProtect réside dans la multitude de scénarios pris en charge, les capacités de gestion unifiées et les protections notamment pour lutter contre ransomware. Une appliance ActiveProtect peut fonctionner seule ou être liée à d'autres appliances en mode cluster, ce qui, de facto, ouvre la voie à divers scénarios.

Ci-dessous, un exemple avec 2 appliances, dont une première sur le site de production et une seconde dans une zone isolée dédiée Disaster Recovery (plan de reprise d'activité). Le caractère immuable des sauvegardes effectué est important puisque cela signifie qu'il n'est pas possible de supprimer ces sauvegardes, y compris pour un administrateur (principe WORM).

C. ActiveProtect Manager : un système qui s'inspire de DSM

Sans que ce soit une réelle surprise, le système ActiveProtect Manager semble partager la même base que le célèbre système DiskStation Manager (DSM) de Synology et que nous retrouvons sur les NAS de la marque. Il s'agit d'une version minimaliste, sans possibilité d'installer de paquets additionnels et conçue dans un seul but : la protection de vos données.

Les habitués de DSM relèverons quelques différences, comme cette option spécifique à cet OS. Elle sert à autoriser l'accès à l'interface de gestion de l'appliance depuis le réseau de données (connecté sur le port réseau correspondant). Sur DSM, cette option n'existe pas, et créer cette séparation entre le réseau de management et le réseau de données impliquent de le faire volontairement et de passer du temps à configurer le pare-feu. Avec ActiveProtect, cette protection est native et elle se gère avec une simple case à cocher.

D. Sauvegarder une infrastructure virtualisée

L'intégration d'un hyperviseur Hyper-V à la solution ActiveProtect nécessite la même configuration que lors de l'utilisation de la suite Active Backup (voir ce tutoriel). Il est envisageable d'ajouter un serveur Hyper-V autonome, un cluster Hyper-V ou de passer par la solution SCVMM de Microsoft. La connexion entre l'appliance et Hyper-V est établie par l'intermédiaire du protocole de gestion à distance WinRM.

Vous pouvez sélectionner manuellement les machines virtuelles à sauvegarder ou demander à ActiveProtect de sauvegarder toutes les VM, y compris celles créées ultérieurement. Ce mode assure la protection automatique de vos machines virtuelles, sans nécessité de revoir la stratégie de sauvegarde à chaque fois.

Un plan de protection doit être associé aux machines virtuelles précédemment sélectionnées. Il s'agit de la stratégie de sauvegarde à appliquer, notamment la durée de rétention et la fréquence d'exécution des sauvegardes.

L'administrateur peut créer autant de plan de protection qu'il le souhaite et activer différentes options. Un plan de protection immuable va créer des sauvegardes immuables et appliquer la méthode WORM : Write Once Read Many, soit une seule écriture et plusieurs lectures.

Chaque sauvegarde immuable est verrouillée et ne peut pas être supprimée, y compris par un attaquant, pendant toute la durée de conservation définie par la stratégie. Si vous venez à modifier la durée de rétention, cela ne s'appliquerait pas aux sauvegardes déjà réalisées afin de ne pas remettre en question leur caractère immuable.

Dans le cas où votre infrastructure ActiveProtect est constituée de plusieurs serveurs appliances, cette option est utilisable. Ce n'est pas le seul scénario possible puisque la copie de sauvegarde peut être effectuée vers un espace de stockage Cloud (ou distant), notamment vers :

• ActiveProtect Vault
• Synology C2 Object Storage
• Amazon S3

Le stockage distant repose sur du stockage objet S3, ce qui offre la possibilité d'appliquer le verrouillage au niveau des objets, et donc de bénéficier de copies de sauvegarde immuables.

E. Suivi des sauvegardes

La console ActiveProtect Manager regroupe toutes les informations nécessaires pour suivre l'état des sauvegardes. Cela est accompagné par la possibilité de recevoir des notifications selon différents événements, ainsi que des statistiques d'utilisation du stockage.

La fonctionnalité de déduplication implémentée par Synology effectue un excellent travail, de quoi rivaliser avec les meilleures solutions du marché. Dans mon exemple, le taux de réduction est de x8.29, soit 220.9 Go consommé sur l'appliance pour 1.79 To de données à sauvegarder.

ActiveProtect donne accès à des journaux relatifs aux dernières tâches de sauvegarde (heure de début, état, durée, plan de protection, etc.). En cas d'erreur, vous pouvez consulter le message d'erreur directement depuis la console centrale. Si vous avez plusieurs appliances, vous pouvez consulter les journaux de toutes vos appliances dans une vue unifiée.

F. Les modes de restauration

Un portail de récupération dédié, auquel vous pouvez déléguer l'accès de façon granulaire, vous offre la possibilité de parcourir les sauvegardes d'une ressource. L'opérateur peut naviguer entre les différentes versions de sauvegarde et prendre la décision de restaurer un fichier, plusieurs fichiers ou la ressource dans son intégralité.

Prenons l'exemple d'une machine virtuelle. Deux modes de restauration sont proposés : restauration instantanée et restauration complète. Le premier mode sert à démarrer la machine virtuelle directement depuis le NAS, c'est-à-dire via le réseau, tandis que le second mode implique de restaurer la VM dans son intégralité sur un hyperviseur avant de la lancer.

ActiveProtect peut s'avérer utile dans un scénario V2V (Virtual to Virtuel) puisque vous pouvez sauvegarder une VM Hyper-V et la restaurer sur un hyperviseur VMware ESXi.

G. Isolation de l'appliance : air-gap

Dans la configuration, une section a particulièrement attiré mon attention : Air Gap. Dans le contexte des sauvegardes, le terme "air gap" désigne une séparation physique ou logique entre les données de production et leur copie de sauvegarde afin de prévenir tout accès non autorisé, notamment en cas de cyberattaque. Autrement dit, c'est comme si vous mettiez sous cloche l'appliance de sauvegarde pour empêcher tous les accès externes.

ActiveProtect propose une première série d'options basée sur du filtrage réseau pur. Il est ainsi possible d'autoriser les accès uniquement à partir depuis certaines adresses IP.

Le filtrage au niveau réseau est complété par les paramètres d'isolement. Vous pouvez déterminer des plages horaires pendant lesquels le système sera isolé, notamment au niveau du réseau de données. En tant qu'administrateur, vous gardez la main sur l'appliance via le réseau de gestion, mais si un attaquant parvient à compromettre votre hyperviseur Hyper-V via le réseau de données, il ne pourra pas accéder à l'appliance.

Plusieurs méthodes d'isolement dans l'esprit "Air Gap" sont prises en charge, y compris la possibilité d'éteindre et démarrer automatiquement l'appliance pendant les phases d'isolement.

H. La gestion des permissions

Au-delà de pouvoir connecter l'appliance à un service de gestion des identités tierces (Active Directory, par exemple), vous pouvez créer des utilisateurs locaux et des groupes de sécurité. Pour chaque groupe, vous pouvez définir des permissions fines allant de l'administrateur de la solution au simple superviseur.

ActiveProtect permet à l'administrateur de définir une stratégie de mots de passe, comprenant l'expiration automatique du mot de passe au bout d'un certain temps.

V. Conclusion

Simple et efficace, c'est ainsi que nous pourrions décrire cette nouvelle solution de sauvegarde signée Synology. Avec cette nouvelle estampillée ActiveProtect Manager, Synology a pris la décision de distinguer ses NAS habituels de ces nouvelles appliances.

Vous disposez des fonctionnalités nécessaires pour mettre en œuvre des plans de sauvegarde complet, tout en respectant les bonnes pratiques de sécurité (isolation, sauvegardes immuables, principe du moindre privilège). ActiveProtect repose sur un matériel optimisé et maitrisé par Synology, sur lequel la marque a installé son propre OS.

ActiveProtect est une solution tournée vers la protection des données, là où le système DSM est plus polyvalent. Cela se ressent dans la liste des paramètres proposés, y compris pour répondre aux besoins en matière de sécurité, comme l'atteste le mode Air Gap.

Le modèle DP320 présenté dans cet article partage le même boitier et le même processeur que le NAS DS723+, mais ce dernier n'a que 2 Go de RAM contre 8 Go pour cette appliance. À mon sens, ce qui manque à cette appliance, c'est une interface réseau 10 GbE mais probablement qu'elle s'adresse aux réseaux de TPE où la connectivité 1 Gbit/s est bien souvent suffisante. C'est plus dans une logique de PRA où cela pourrait présenter un intérêt pour réduire le temps nécessaire pour restaurer les ressources en cas d'incident.

Pour cette solution clé en main, Synology recommande le prix de vente de 1 650,00 € HT soit 1 980,00 € TTC (le tarif peut varier selon les revendeurs). Acheter un NAS DS723+ et 2 disques 8 To de chez Synology coûterait environ 1 040 € TTC. L'écart de prix peut se justifier par les apports de la couche logicielle ActiveProtect.

Si vous souhaitez en savoir plus ou si vous avez des questions, vous pouvez contacter l'équipe de Synology via ce lien. Vous pouvez aussi déposer un commentaire sur cet article afin que je vous apporte une réponse dans la mesure du possible.