Hệ thống tập tin mạng an toàn cho Linux: Mọi người đang làm gì?

NFSv3 là phổ biến, nhưng mô hình bảo mật mặc định là ... kỳ quặc . CIFS có thể sử dụng xác thực Kerberos, nhưng không có ngữ nghĩa POSIX, nó không phải là khởi đầu. AFS không bao giờ mã hóa lưu lượng trên dây và là krb4 - và về cơ bản là một dự án đã chết. Các hệ thống tệp thử nghiệm mới lạ mắt không bao giờ thành hiện thực hoặc tập trung vào tốc độ (và nếu bạn may mắn, độ tin cậy của dữ liệu) - ví dụ, Luster sử dụng mô hình tin cậy khách hàng giống như NFSv3. Đối với sử dụng tại nhà, sshfs là tiện lợi, nhưng điều đó chắc chắn không quy mô.

Và dĩ nhiên, có NFSv4, với sec = krb5p. Tuyệt vời về lý thuyết, nhưng sau mười năm, nó dường như không được sử dụng trong thế giới thực. Máy khách Linux vừa mới xóa thẻ thử nghiệm. Và nếu bạn nhìn vào EMC Celerra, Isilon, v.v., tất cả đều là NFSv3. (Celerra hỗ trợ NFSv4, nhưng nó thực sự chôn trong tài liệu. Isilon dường như làm việc tại thêm sự hỗ trợ RPCGSS để FreeBSD, như vậy có lẽ nó đến, nhưng nó không có ở đó bây giờ.) Tôi thậm chí không thể tag bài này là "NFSv4" bởi vì tôi Mới ở đây và đó là một thẻ mới .

Vì vậy, thực sự . Bạn đang làm gì vậy

Vì đó là một câu hỏi cụ thể (tất cả những gì bạn đang làm), hãy trả lời nó: không có gì. Hầu hết quản trị viên và người dùng không lo lắng về bảo mật NFS, vì vậy mọi người đều sử dụng NFSv3. Đó thường là một môi trường được kiểm soát (theo nghĩa là chỉ những máy nổi tiếng mới có thể gắn vào mạng ngay từ đầu). Nếu ai đó bị bắt vì lạm dụng cơ sở hạ tầng, họ sẽ bị sa thải hoặc vào tù.

Đối với dữ liệu mà bạn thực sự không muốn ai có thể đọc được, bạn mã hóa chúng một cách rõ ràng, ví dụ: cơ sở dữ liệu mật khẩu Firefox, khóa ssh hoặc khóa pgp. Bạn làm điều đó bởi vì bạn biết rằng quản trị viên có thể đọc chúng trên máy chủ tệp, vì vậy bảo mật hệ thống tệp mạng sẽ không giúp được gì.

Có vẻ như bạn đang hỏi hai câu hỏi ở đây:

Chúng ta thực sự đang sử dụng cái gì? và cái này là gì?

Thứ tôi thực sự đang sử dụng là CIFS, trong trường hợp sử dụng POSIX của tôi ít quan trọng hơn nên tôi không gặp vấn đề gì. NFS3 được sử dụng trong các khu vực bảo mật không quan trọng, chẳng hạn như máy chủ cài đặt SLES của tôi. Và cuối cùng, sshfs / gvfs để chia sẻ đất người dùng đơn giản. Mã hóa hữu tuyến không được coi là cần thiết, vì vậy đó không phải là một yếu tố có ý nghĩa đối với chúng tôi.

Đối với câu hỏi khác, dường như có sáu yêu cầu chính cho những gì bạn đang tìm kiếm:

1. Mã hóa lưu lượng trên dây.
2. Mã hóa xác thực.
3. Ngữ nghĩa Posix.
4. Thực thi mạnh mẽ các ACL dựa trên máy chủ.
5. Không phải là người dùng.
6. Được thực sự sử dụng.

Tôi nghi ngờ điểm 5 và 6 sẽ là kẻ giết người ở đây, nhưng rồi đây (đây cũng là điểm mà một bảng sẽ thực sự tiện dụng, nhưng markdown / StackExchange không hỗ trợ nó).

NFSv3 + IPSec

1. Được mã hóa trên dây, vượt qua
2. Không xác thực được mã hóa, không thành công
3. Ngữ nghĩa Posix, vượt qua
4. Không thực thi mạnh mẽ các ACL dựa trên máy chủ, thất bại
5. Không phải là người dùng, vượt qua
6. Được sử dụng thực sự, vượt qua

NFSv4 + Krb + IPSec

1. Được mã hóa trên dây, vượt qua
2. Xác thực được mã hóa, vượt qua
3. Ngữ nghĩa Posix, vượt qua
4. Thực thi mạnh mẽ các ACL dựa trên máy chủ, vượt qua
5. Không phải là người dùng, vượt qua
6. Không thực sự được sử dụng, thất bại

CIFS

1. Không được mã hóa trên dây, thất bại
2. Xác thực được mã hóa
3. Ngữ nghĩa Posix, vượt qua (Samba & Kernel bây giờ, Windows đã có lớp Posix kể từ ngày NT)
4. Thực thi mạnh mẽ các ACL dựa trên máy chủ, vượt qua
5. Không phải là người dùng, vượt qua
6. Được sử dụng thực sự, vượt qua

CIFS + IPSec

1. Được mã hóa trên dây, vượt qua
2. Xác thực được mã hóa
3. Ngữ nghĩa Posix, vượt qua (Samba & Kernel ngay bây giờ)
4. Thực thi mạnh mẽ các ACL dựa trên máy chủ, vượt qua
5. Không phải là người dùng, vượt qua
6. Không thực sự được sử dụng, thất bại

SSHFS

1. Được mã hóa trên dây, vượt qua
2. Xác thực được mã hóa, vượt qua
3. Ngữ nghĩa Posix, vượt qua
4. Thực thi mạnh mẽ các ACL dựa trên máy chủ, vượt qua
5. Là người dùng, thất bại
6. Được sử dụng thực sự, vượt qua

AFP / NetATalk

1. Được mã hóa trên dây, thất bại
2. Xác thực được mã hóa, vượt qua
3. Ngữ nghĩa Posix, vượt qua
4. Thực thi mạnh mẽ các ACL dựa trên máy chủ, vượt qua
5. Không phải là người dùng, vượt qua
6. Thực sự được sử dụng, thất bại

Và tôi không chạm vào các hệ thống tệp phân tán ngoài kia. Đơn giản là không có một thứ duy nhất nào làm được tất cả. Một số đến gần (CIFS) và một số đã ở đó nhưng không ai sử dụng chúng (NFS4 + IPSec, CIFS + IPSec). Vì một số lý do, một hệ thống tập tin mạng an toàn là một thứ đã phải chịu nhiều thỏa hiệp trong những năm qua.

Tôi đã sử dụng openafs trong sản xuất trong nhiều năm, với cả máy khách Linux và Windows. Nó hoạt động rất tốt, có một cộng đồng phát triển tích cực và đã dễ dàng cài đặt và quản trị hơn trong vài năm qua vì các bản phân phối linux khác nhau đã bao gồm đóng gói cho nó. Nó có mụn cóc, nhưng tôi thấy rằng chúng được bù đắp bởi tính linh hoạt quản trị cao hơn, khả năng có các máy khách và máy chủ được phân tách bằng các liên kết chậm, dễ dàng sao lưu ngoại vi và AFSism tích cực khác.

Một điều tôi đặc biệt thích là chạy các máy chủ web trực tuyến sản xuất trên openaf, với các ACL bị khóa. Không có vé kerberos, không có quy trình nào trên máy - ngay cả một máy chạy bằng root - có thể ghi vào hệ thống tập tin. Tôi không thể đếm được bao nhiêu lần chúng tôi nhận thấy các cuộc tấn công hoàn toàn thất bại vì biện pháp đơn giản đó.

Có một số người dùng openafs khá lớn - người dùng thương mại lớn nhất mà tôi biết là Morgan Stanley.

Làm thế nào về OpenAFS vẫn còn sống và VPN theo nó bởi vì mã hóa duy nhất của nó tại thời điểm này là DES.

Tôi thấy rằng rất nhiều người trong chủ đề này đang nói về việc ẩn dữ liệu, tức là các cuộc tấn công không thể rình mò dữ liệu của bạn. Một điều quan trọng không kém để suy nghĩ về tính toàn vẹn và tính xác thực của dữ liệu. Là những gói nfs thực sự từ máy chủ nfs của bạn? Có phải một gói nfs đã được thay đổi trong quá cảnh?

Chà, với tôi nghe có vẻ như một trong những Hệ thống tập tin phân tán đó sẽ dành cho bạn. Tôi hoàn toàn không muốn giới thiệu OpenAFS, vì nó đã cũ, chưa hỗ trợ IPv6, ..

Bản thân tôi khá hài lòng với GlusterFS . Gluster khá trưởng thành, hoạt động ổn và có một bộ tính năng tốt. Tuy nhiên, như đã thảo luận gần đây trong IRC, Gluster cũng không hỗ trợ IPv6 một cách ổn định. Tính năng này sẽ được lên kế hoạch cho 3.6 hoặc 3.7.

Ngoài ra còn có một dự án tên là HekaFS, được xây dựng trên Gluster, bổ sung thêm các tính năng Xác thực và SSL nâng cao. Nó là tài liệu cực kỳ tốt và được thiết kế rất tốt.

Điều mà alos có thể quan tâm đến bạn là XtreemFS , được thiết kế cho điện toán lưới toàn cầu, do đó, nó đi kèm với SSL và các công cụ theo mặc định. Sự lựa chọn của tôi cho việc sử dụng rơi vào Gluster, vì cộng đồng dường như hoạt động nhiều hơn và nó được ghi nhận tốt hơn.

Tất cả đều tuân thủ posix tất nhiên.

Tôi sử dụng NFS. Nhưng NFS từ máy chủ đến máy chủ được thực hiện trên một mạng trục chuyên dụng nên không cần mã hóa và xác thực là vô nghĩa. Chỉ cần đặt mỗi lần xuất thành chỉ chia sẻ một thư mục được chọn vào một máy chủ dựa trên IP.

Với tất cả sự tôn trọng, bạn hoàn toàn nhìn nhận vấn đề này một cách sai lầm và bạn nên lùi xa khỏi bàn điều khiển trong vài giờ.

Khá nhiều tất cả io lưu trữ không được mã hóa bởi vì nó không quan trọng ở lớp trừu tượng đó. Nghi ngờ điều đó? Đặt một nút trên công tắc sợi thổ cẩm của bạn và bạn sẽ thấy kênh sợi đó, giống như iscsi và nfs, tất cả đều là một mớ hỗn độn không được mã hóa - theo thiết kế. Giải quyết đó là một vấn đề trung bình, không phải là vấn đề giao thức lưu trữ. Ví dụ, muốn nfs an toàn và mã hóa? Tạo một lan được mã hóa điểm tới điểm giữa máy khách và máy chủ nfs bằng ipsec / ssl / tls hoặc một giải pháp phần cứng thuần túy.