File Storage NAS:Cifrado en tránsito para sistemas de archivos NFS

Funcionamiento

El cliente NAS define un tipo de sistema de archivos de red llamado alinas, compatible con el comando estándar mount. Cuando usted monta un sistema de archivos de tipo alinas en una instancia ECS y especifica el parámetro tls, el cliente NAS inicia un proceso de escucha Stunnel. Este proceso reenvía y cifra las solicitudes desde la instancia ECS hacia el servidor NAS. Un proceso de backend llamado aliyun-alinas-mount-watchdog se ejecuta en segundo plano para garantizar que el proceso de escucha Stunnel permanezca disponible.

Requisitos previos

• Se creó un sistema de archivos NAS NFS de propósito general. Para obtener más información, consulte Create a file system.

  Importante

  Antes de habilitar el cifrado en tránsito, si ya existe un sistema de archivos NFS montado en el directorio de destino (por ejemplo, /mnt) de su instancia ECS, primero debe desmontarlo. Después, siga las instrucciones de este tema para volver a montarlo. Para conocer el procedimiento de desmontaje, consulte Unmount a file system in the NAS console.

• La instancia ECS de destino cuenta con conexión a internet o está asociada a una dirección IP elástica (EIP). Para obtener más información, consulte Network bandwidth.

• La instancia ECS y el sistema de archivos NAS se encuentran en la misma región y VPC.

Notas de uso

• Solo se admiten los sistemas de archivos NAS NFS de propósito general.

• El cliente NAS es compatible con los siguientes sistemas operativos:

  Sistema operativo	Versiones compatibles
  Alibaba Cloud Linux	Alibaba Cloud Linux 2.1903 64-bit Alibaba Cloud Linux 3.2104 LTS 64-bit
  Red Hat	Red Hat Enterprise Linux 7.x 64-bit Red Hat Enterprise Linux 8.x 64-bit
  CentOS	CentOS 7.x 64-bit CentOS 8.x 64-bit
  Ubuntu	Ubuntu 16.04 64-bit Ubuntu 18.04 64-bit Ubuntu 20.04 64-bit
  Debian	Debian 9.x 64-bit Debian 10.x 64-bit

• Impacto del cifrado en tránsito en el rendimiento

  En comparación con los montajes sin cifrado de transmisión, aquellos que lo tienen habilitado presentan aproximadamente un 10 % más de latencia de acceso y cerca de un 30 % menos de IOPS.

• Consideraciones sobre el uso del cliente NAS

  • El cliente NAS utiliza un proceso de escucha Stunnel como proxy de cifrado TLS. En aplicaciones intensivas en rendimiento, este proceso consume recursos significativos de CPU para cifrar y descifrar. En casos extremos, cada montaje puede consumir un núcleo completo de CPU.

  • El cifrado en tránsito del cliente NAS depende de un certificado de terceros que requiere renovación periódica. NAS envía notificaciones por correo electrónico y mensaje interno un mes antes de que el certificado expire. Supervise estas notificaciones y actualice oportunamente la versión aliyun-alinas-utils del cliente NAS. Si no actualiza el cliente, cualquier sistema de archivos montado con cifrado dejará de responder cuando el certificado expire.

  • El cliente NAS modifica el archivo /etc/hosts de su instancia ECS. Al montar un sistema de archivos, se escribe una nueva asignación de destino de montaje en el archivo /etc/hosts. Al desmontarlo, el cliente elimina la asignación escrita previamente.

  • Cuando el cliente NAS usa un proceso de escucha Stunnel como proxy TLS, ocupa una dirección IP del rango de 127.0.1.1 a 127.0.255.254 y utiliza el puerto 12049. Asegúrese de que la dirección IP y el puerto de destino estén disponibles.

    Ejecute el comando ss -ant | grep -w 12049 para comprobar si el puerto de destino está ocupado. Si la salida está vacía, el puerto está disponible. Si el puerto está ocupado, debe modificar el archivo de configuración. Para obtener más información, consulte Modify the NAS client configuration file.

Paso 1: Descargar e instalar el cliente NAS

Paso 2: Montar con cifrado en tránsito

1. Monte el sistema de archivos NFS.

   • NFSv3

     sudo mount -t alinas -o tls,vers=3 file-system-id.region.nas.aliyuncs.com:/ /mnt

   • NFSv4.0

     sudo mount -t alinas -o tls,vers=4.0 file-system-id.region.nas.aliyuncs.com:/ /mnt

   A continuación se describen los parámetros del comando de montaje.

   Nota

   Al montar el sistema de archivos, el cliente NAS utiliza automáticamente los parámetros de montaje óptimos. No es necesario especificarlos manualmente. Para obtener más información, consulte Mount command parameters.

   Parámetro	Descripción
   file-system-id.region.nas.aliyuncs.com:/ /mnt	El formato es <dominio del destino de montaje>:<directorio del sistema de archivos NAS> <directorio de montaje local>. Reemplace las variables con sus valores reales. Dominio del destino de montaje: en la consola de File Storage NAS, vaya a la página File System List, busque su sistema de archivos y haga clic en Manage en la columna Actions. El dominio del destino de montaje se encuentra en la página Mount Targets. Para obtener más información, consulte Manage mount targets. Directorio del sistema de archivos NAS: el directorio raíz (/) o un subdirectorio (por ejemplo, /share) del sistema de archivos NAS. Si especifica un subdirectorio, asegúrese de que ya exista en el sistema de archivos NAS. Directorio de montaje local: un directorio en su instancia ECS Linux (por ejemplo, /mnt). Asegúrese de que este directorio exista en su sistema de archivos local.
   vers	Versión del protocolo NFS. vers=3: monta el sistema de archivos mediante NFSv3. vers=4.0: monta el sistema de archivos mediante NFSv4.0.
   tls	Habilita el cifrado en tránsito.

2. Ejecute el comando mount -l para consultar el resultado del montaje.

   Si la salida contiene información similar a la siguiente, el montaje fue exitoso.

   alinas-xxx.cn-zhangjiakou.tls.127.0.1.3:/ on /mnt type nfs (rw,relatime,vers=3,rsize=1048576,wsize=1048576,namlen=255,hard,nolock,noresvport,proto=tcp,port=12050,timeo=600,retrans=2,sec=sys,mountaddr=127.0.1.3,mountvers=3,mountport=12050,mountproto=tcp,local_lock=all,addr=127.0.1.3)

   Después de un montaje exitoso, ejecute el comando df -h para consultar la capacidad del sistema de archivos.

3. Opcional: Configure el sistema de archivos para que se monte automáticamente al iniciar el sistema.

   Para garantizar que el sistema de archivos se vuelva a montar automáticamente después de reiniciar el sistema, configure el archivo /etc/fstab de la instancia ECS Linux para montar el sistema de archivos NFS de forma automática.

   1. Abra el archivo de configuración /etc/fstab y agregue una entrada de montaje.

      file-system-id.region.nas.aliyuncs.com:/ /mnt alinas _netdev,tls 0 0

      Para consultar la descripción de los parámetros principales de este ejemplo, consulte Mount an NFS file system. Los demás parámetros se describen a continuación.

      Parámetro	Descripción
      _netdev	Evita que el cliente intente montar el sistema de archivos antes de que la red esté lista.
      0 (primer valor después de tls)	Un valor distinto de cero indica que el sistema de archivos debe respaldarse con el comando dump. Para un sistema de archivos NAS, establezca este valor en 0.
      0 (segundo valor después de tls)	Indica el orden en que fsck verifica los sistemas de archivos durante el inicio. Para un sistema de archivos NAS, establezca este valor en 0. Esto evita que fsck verifique el sistema de archivos al iniciar.

   2. Ejecute el comando reboot para reiniciar la instancia ECS.

      Reiniciar el servidor puede interrumpir sus servicios. Se recomienda ejecutar esta operación fuera del horario de mayor actividad.

      Nota

      Para evitar errores de arranque, compruebe que la entrada de /etc/fstab sea correcta antes de reiniciar la instancia ECS. Si el montaje automático se configuró correctamente, podrá ver el sistema de archivos NAS montado al ejecutar el comando df -h después de que la instancia ECS se reinicie.

Registros del cliente NAS

Consulte los registros del cliente NAS en el directorio /var/log/aliyun/alinas/ para solucionar errores de montaje. También puede personalizar el contenido de los registros si modifica los parámetros del archivo de configuración de registros ubicado en /etc/aliyun/alinas/alinas-utils.conf. Después de modificar el archivo de configuración, ejecute el comando sudo service aliyun-alinas-mount-watchdog restart para reiniciar el proceso watchdog de backend.

Solución de problemas

• Síntoma

  Al montar el sistema de archivos, aparece el siguiente error:

  $sudo mount -t alinas -o tls,vers=4.0 xxx cn-hangzhou.nas.aliyuncs.com /mnt
  Failed to find a loopback ip from 127.0.1.1 ~ 127.0.0.255.254 with port 12049

• Causa

  El montaje falla porque la dirección IP o el puerto 12049 que requiere el proceso de escucha Stunnel ya están en uso.

• Solución

  • Solución 1: identifique y finalice el proceso que utiliza el puerto 12049. Luego, vuelva a montar el sistema de archivos.

  • Solución 2: modifique el parámetro proxy_port en el archivo de configuración del cliente NAS ubicado en /etc/aliyun/alinas/alinas-utils.conf y asígnele un número de puerto que no esté en uso. Después, vuelva a montar el sistema de archivos.

    [DEFAULT]
    logging_level = INFO
    logging_max_bytes = 1048576
    logging_file_count = 10
    [mount]
    stunnel_debug_enabled = false
    # Validate the certificate hostname on mount. This option is not supported by certain stunnel versions.
    stunnel_check_cert_hostname = false
    # Use OCSP to check certificate validity. This option is not supported by certain stunnel versions.
    stunnel_check_cert_validity = false
    proxy_port = 12050
    [mount-watchdog]
    poll_interval_sec = 1
    unmount_grace_period_sec = 30