ระบบไฟล์เครือข่ายที่ปลอดภัยสำหรับ Linux: ผู้คนกำลังทำอะไร

NFSv3 เป็นที่แพร่หลาย แต่รูปแบบการรักษาความปลอดภัยเริ่มต้นคือ ... แปลกตา CIFS สามารถใช้การพิสูจน์ตัวตน Kerberos แต่ถ้าไม่มี POSIX semantics จะไม่ใช่การเริ่มต้น AFS ไม่เคยเข้ารหัสการรับส่งข้อมูลบนสายและเป็น krb4 - และเป็นโครงการที่ตายแล้ว แฟนซีระบบไฟล์ทดลองใหม่ไม่เคยเกิดขึ้นจริงหรือเน้นที่ความเร็ว (และหากคุณโชคดีความน่าเชื่อถือของข้อมูล) - ตัวอย่างเช่น Luster ใช้รูปแบบความเชื่อมั่นของลูกค้าเช่นเดียวกับ NFSv3 สำหรับใช้ในบ้าน sshfs นั้นดี แต่ก็ไม่ได้ปรับขนาด

และแน่นอนว่ามี NFSv4 ด้วย sec = krb5p ยิ่งใหญ่ในทางทฤษฎี แต่หลังจากผ่านไปสิบปีดูเหมือนว่ามันจะไม่ได้ใช้อย่างจริงจังในโลกแห่งความจริง ไคลเอ็นต์ Linux เพิ่งลบแท็กทดสอบออกแล้ว และถ้าคุณดู EMC Celerra, Isilon ฯลฯ มันคือ NFSv3 ทั้งหมด (Celerra สนับสนุน NFSv4 แต่มันจริงๆฝังอยู่ในเอกสาร. Isilon เห็นได้ชัดว่าทำงานอยู่ที่การเพิ่มการสนับสนุน RPCGSS เพื่อ FreeBSD ดังนั้นบางทีมันมา แต่ยังไม่ได้มีในขณะนี้.) ฉันไม่สามารถแม้แต่จะแท็กโพสต์นี้ว่า "nfsv4" เพราะฉัน 'm ใหม่ที่นี่และที่ต้องการจะแท็กใหม่

ดังนั้นจริงๆ คุณทำอะไรอยู่

เนื่องจากเป็นคำถามที่เฉพาะเจาะจง (คุณกำลังทำอะไรอยู่) ลองตอบคำถามนี้: ไม่มีอะไร ผู้ดูแลระบบและผู้ใช้ส่วนใหญ่ไม่ต้องกังวลเกี่ยวกับความปลอดภัยของ NFS ดังนั้นทุกคนจึงใช้ NFSv3 โดยทั่วไปจะเป็นสภาพแวดล้อมที่มีการควบคุม (ในแง่ที่ว่ามีเพียงเครื่องที่รู้จักกันดีเท่านั้นที่สามารถเชื่อมต่อกับเครือข่ายได้ตั้งแต่แรก) หากใครบางคนถูกจับได้ว่าใช้โครงสร้างพื้นฐานอย่างไม่เหมาะสม

สำหรับข้อมูลที่คุณจริงๆไม่ต้องการให้ใครที่จะสามารถอ่านคุณเข้ารหัสพวกเขาอย่างชัดเจนเช่นฐานข้อมูลรหัสผ่าน Firefox, กุญแจ SSH หรือคีย์ PGP คุณทำเช่นนั้นเพราะคุณรู้ว่าผู้ดูแลระบบสามารถอ่านไฟล์เหล่านั้นบนเซิร์ฟเวอร์ไฟล์ดังนั้นความปลอดภัยของระบบไฟล์เครือข่ายก็ไม่ได้ช่วยอะไรเลย

คุณดูเหมือนจะถามคำถามสองข้อที่นี่:

เราใช้อะไรจริง และสิ่งที่ทำอย่างนี้?

สิ่งที่ฉันใช้จริงคือ CIFS ในกรณีใช้งาน POSIX ของฉันมีความสำคัญน้อยกว่าดังนั้นฉันจึงไม่มีปัญหาใด ๆ NFS3 ใช้ในพื้นที่ที่ความปลอดภัยไม่สำคัญเช่นเซิร์ฟเวอร์ติดตั้ง SLES ของฉัน และในที่สุด sshfs / gvfs สำหรับการแชร์พื้นที่ผู้ใช้อย่างง่าย ไม่จำเป็นต้องใช้การเข้ารหัสแบบไวร์ไลน์ดังนั้นจึงไม่ใช่ปัจจัยที่มีความหมายสำหรับเรา

สำหรับคำถามอื่น ๆ ดูเหมือนว่ามีข้อกำหนดหลักหกประการสำหรับสิ่งที่คุณกำลังมองหา:

1. เข้ารหัสการรับส่งข้อมูลบนสาย
2. เข้ารหัสการรับรองความถูกต้อง
3. ความหมายของ Posix
4. การบังคับใช้ที่แข็งแกร่งของ ACL บนเซิร์ฟเวอร์
5. ไม่ใช่ userland
6. มีการใช้งานจริง

ฉันสงสัยว่าคะแนน 5 และ 6 จะเป็นนักฆ่าที่นี่ แต่ที่นี่จะไป (เช่นนี้เป็นจุดที่ตารางจะมีประโยชน์จริงๆแต่ markdown / StackExchange ไม่สนับสนุนมัน)

NFSv3 + IPSec

1. เข้ารหัสบนสายผ่าน
2. ไม่มีการรับรองความถูกต้องเข้ารหัสล้มเหลว
3. Posix semantics, pass
4. ไม่มีการบังคับใช้ที่แข็งแกร่งของ ACL ของเซิร์ฟเวอร์ที่ใช้ล้มเหลว
5. ไม่ใช่ userland, pass
6. ใช้งานจริงผ่าน

NFSv4 + Krb + IPSec

1. เข้ารหัสบนสายผ่าน
2. การพิสูจน์ตัวตนที่เข้ารหัสผ่าน
3. Posix semantics, pass
4. การบังคับใช้ที่แข็งแกร่งของ ACLs ที่ใช้เซิร์ฟเวอร์ผ่าน
5. ไม่ใช่ userland, pass
6. ไม่ได้ใช้จริงล้มเหลว

CIFS

1. ไม่เข้ารหัสบนสายล้มเหลว
2. การพิสูจน์ตัวตนที่เข้ารหัส
3. Posix semantics, pass (Samba & เคอร์เนลตอนนี้ Windows มีเลเยอร์ Posix ตั้งแต่วัน NT)
4. การบังคับใช้ที่แข็งแกร่งของ ACLs ที่ใช้เซิร์ฟเวอร์ผ่าน
5. ไม่ใช่ userland, pass
6. ใช้งานจริงผ่าน

CIFS + IPSec

1. เข้ารหัสบนสายผ่าน
2. การพิสูจน์ตัวตนที่เข้ารหัส
3. Posix semantics, pass (Samba & Kernel now)
4. การบังคับใช้ที่แข็งแกร่งของ ACLs ที่ใช้เซิร์ฟเวอร์ผ่าน
5. ไม่ใช่ userland, pass
6. ไม่ได้ใช้จริงล้มเหลว

SSHFS

1. เข้ารหัสบนสายผ่าน
2. การพิสูจน์ตัวตนที่เข้ารหัสผ่าน
3. Posix semantics, pass
4. การบังคับใช้ที่แข็งแกร่งของ ACLs ที่ใช้เซิร์ฟเวอร์ผ่าน
5. คือ userland, ล้มเหลว
6. ใช้งานจริงผ่าน

เอเอฟพี / netatalk

1. การเข้ารหัสบนสายล้มเหลว
2. การพิสูจน์ตัวตนที่เข้ารหัสผ่าน
3. Posix semantics, pass
4. การบังคับใช้ที่แข็งแกร่งของ ACLs ที่ใช้เซิร์ฟเวอร์ผ่าน
5. ไม่ใช่ userland, pass
6. มีการใช้งานจริงล้มเหลว

และฉันไม่ได้สัมผัสกับระบบไฟล์แบบกระจายที่นั่น มีเพียงสิ่งเดียวเท่านั้นที่ทำได้ทั้งหมด บางคนเข้ามาใกล้ (CIFS) และบางคนก็อยู่ที่นั่น แต่ก็ไม่มีใครใช้มัน (NFS4 + IPSec, CIFS + IPSec) ด้วยเหตุผลบางอย่างระบบไฟล์เครือข่ายที่ปลอดภัยเป็นสิ่งที่ได้รับการประนีประนอมเป็นจำนวนมากในช่วงหลายปีที่ผ่านมา

ฉันใช้ openafs ในการผลิตมาหลายปีแล้วทั้งลูกค้า Linux และ Windows มันใช้งานได้ดีมีชุมชนพัฒนาที่ใช้งานง่ายและติดตั้งและจัดการได้ง่ายขึ้นในช่วงไม่กี่ปีที่ผ่านมาเนื่องจากลินุกซ์ distros ต่างๆได้รวมบรรจุภัณฑ์ไว้แล้ว มันมีหูด แต่ฉันพบว่ามันถูกชดเชยด้วยความยืดหยุ่นในการบริหารที่มากขึ้นความสามารถในการแยกไคลเอนต์และเซิร์ฟเวอร์โดยลิงก์ช้าความสะดวกในการสำรองนอกสถานที่และ AFSisms เชิงบวกอื่น ๆ

สิ่งหนึ่งที่ฉันชอบเป็นพิเศษคือการใช้งานเว็บเซิร์ฟเวอร์ที่ใช้งานอินเทอร์เน็ตบน openafs โดยที่ ACLs ถูกล็อคไว้ หากไม่มีตั๋ว kerberos จะไม่มีกระบวนการใด ๆ บนเครื่อง - แม้แต่เครื่องเดียวที่ทำงานเป็นรูท - ซึ่งสามารถเขียนไปยังระบบไฟล์ได้ ฉันไม่สามารถนับได้ว่ามีกี่ครั้งที่เราสังเกตเห็นว่าการโจมตีล้มเหลวอย่างสิ้นเชิงเพราะมาตรการง่ายๆ

มีผู้ใช้ openafs ที่ค่อนข้างใหญ่ - ผู้ใช้เพื่อการค้าที่ใหญ่ที่สุดที่ฉันรู้จักคือ Morgan Stanley

วิธีการเกี่ยวกับ OpenAFS ซึ่งยังมีชีวิตอยู่และ VPN ภายใต้เนื่องจากการเข้ารหัสเท่านั้นในขณะนี้คือ DES

ฉันเห็นว่ามีผู้คนจำนวนมากในชุดข้อความนี้กำลังพูดถึงการซ่อนข้อมูลเช่นการโจมตีที่ไม่สามารถดักข้อมูลของคุณได้ ความสำคัญเท่าเทียมกันในการคิดเกี่ยวกับความถูกต้องของข้อมูลและความถูกต้อง แพ็กเก็ต nfs เหล่านั้นจริง ๆ จากเซิร์ฟเวอร์ nfs ของคุณหรือไม่ แพ็กเก็ต nfs เปลี่ยนไประหว่างการขนส่งหรือไม่

สำหรับฉันแล้วดูเหมือนว่าหนึ่งในระบบไฟล์แบบกระจายเหล่านั้นจะเป็นของคุณ ฉันยังไม่อยากแนะนำ OpenAFS เนื่องจากเป็นรุ่นเก่ายังไม่รองรับ IPv6 เลย ..

ฉันค่อนข้างมีความสุขกับGlusterFSด้วยตัวเอง Gluster ค่อนข้างเป็นผู้ใหญ่ทำงานได้ดีและมีชุดคุณสมบัติที่ดี อย่างไรก็ตามตามที่กล่าวไว้ใน IRC เมื่อเร็ว ๆ นี้ Gluster ไม่สนับสนุน IPv6 ในลักษณะที่เสถียรเช่นกัน คุณสมบัตินี้จะถูกกำหนดไว้เป็น 3.6 หรือ 3.7

นอกจากนี้ยังมีโครงการที่เรียกว่า HekaFS ซึ่งสร้างบน Gluster ซึ่งเพิ่มคุณสมบัติการตรวจสอบสิทธิ์ขั้นสูงและ SSL มันเป็นเอกสารที่ดีมาก imo และการออกแบบที่ดีมาก

สิ่งที่น่าสนใจสำหรับคุณคือXtreemFSซึ่งออกแบบมาสำหรับการคำนวณแบบกริดทั่วโลกดังนั้นจึงมาพร้อมกับ SSL และสิ่งต่าง ๆ ตามค่าเริ่มต้น ตัวเลือกของฉันสำหรับการใช้งานลดลงใน Gluster เนื่องจากชุมชนดูเหมือนจะมีความกระตือรือร้นมากขึ้นและมีการจัดทำเป็นเอกสารที่ดีขึ้น

ทั้งสองเป็นไปตาม posix แน่นอน

ฉันใช้ NFS แต่เซิร์ฟเวอร์ไปยังเซิร์ฟเวอร์ NFS ทำผ่านเครือข่ายเฉพาะเพื่อไม่จำเป็นต้องเข้ารหัสและการรับรองความถูกต้องนั้นไม่มีจุดหมาย เพียงตั้งค่าการส่งออกแต่ละรายการเพื่อแชร์เฉพาะไดเรกทอรีที่เลือกไปยังเซิร์ฟเวอร์โดยยึดตาม IP

ด้วยความเคารพอย่างสูงคุณกำลังมองปัญหานี้อย่างผิดวิธีและคุณควรถอยห่างจากคอนโซลสักสองสามชั่วโมง

ที่เก็บข้อมูลทั้งหมดของ io นั้นไม่มีการเข้ารหัสเพราะมันไม่สำคัญที่เลเยอร์ของ abstraction stack สงสัยมัน? ใส่ก๊อกน้ำบนสวิตช์ใยผ้าของคุณและคุณจะเห็นช่องสัญญาณไฟเบอร์ดังเช่น iscsi และ nfs นั้นเป็นระเบียบที่ไม่ได้เข้ารหัสทั้งหมด - โดยการออกแบบ การแก้ปัญหาที่เป็นปัญหาปานกลางไม่ใช่ปัญหาโปรโตคอลการจัดเก็บ ตัวอย่างเช่นต้องการ nfs ที่ปลอดภัยและเข้ารหัสหรือไม่ สร้าง lan ที่เข้ารหัสแบบจุดต่อจุดระหว่างไคลเอนต์และเซิร์ฟเวอร์โดยใช้ ipsec / ssl / tls หรือโซลูชันฮาร์ดแวร์แท้