File Storage NAS:Enkripsi dalam transit untuk sistem file NFS

Cara kerja

Klien NAS mendefinisikan tipe sistem file jaringan bernama alinas yang kompatibel dengan perintah mount standar. Saat Anda memasang sistem file bertipe alinas pada Instance ECS dan menentukan parameter tls, klien NAS akan menjalankan proses pendengar Stunnel. Proses ini meneruskan dan mengenkripsi permintaan dari Instance ECS ke server NAS. Sebuah proses backend bernama aliyun-alinas-mount-watchdog berjalan di latar belakang untuk memastikan proses pendengar Stunnel tetap tersedia.

Prasyarat

• Sistem file NFS tujuan umum telah dibuat. Untuk informasi selengkapnya, lihat Buat sistem file.

  Penting

  Sebelum mengaktifkan enkripsi dalam transit, jika sistem file NFS sudah dipasang ke direktori target (misalnya, /mnt) pada Instance ECS Anda, Anda harus terlebih dahulu melepas pemasangan sistem file tersebut. Setelah itu, ikuti petunjuk dalam topik ini untuk memasang ulang. Informasi tentang cara melepas pemasangan sistem file tersedia di Lepas pemasangan sistem file di Konsol NAS.

• Instance ECS target memiliki koneksi internet atau dikaitkan dengan alamat IP elastis (EIP). Untuk informasi selengkapnya, lihat Bandwidth jaringan.

• Instance ECS dan sistem file NAS berada dalam wilayah dan VPC yang sama.

Catatan penggunaan

• Hanya sistem file NFS NAS tujuan umum yang didukung.

• Klien NAS didukung pada sistem operasi berikut:

  Sistem operasi	Versi yang didukung
  Alibaba Cloud Linux	Alibaba Cloud Linux 2.1903 64-bit Alibaba Cloud Linux 3.2104 LTS 64-bit
  Red Hat	Red Hat Enterprise Linux 7.x 64-bit Red Hat Enterprise Linux 8.x 64-bit
  CentOS	CentOS 7.x 64-bit CentOS 8.x 64-bit
  Ubuntu	Ubuntu 16.04 64-bit Ubuntu 18.04 64-bit Ubuntu 20.04 64-bit
  Debian	Debian 9.x 64-bit Debian 10.x 64-bit

• Dampak performa enkripsi dalam transit

  Dibandingkan dengan pemasangan tanpa enkripsi dalam transit, pemasangan dengan enkripsi dalam transit memiliki latensi akses sekitar 10% lebih tinggi dan IOPS sekitar 30% lebih rendah.

• Catatan penggunaan klien NAS

  • Klien NAS menggunakan proses pendengar Stunnel sebagai proxy enkripsi TLS. Untuk aplikasi yang intensif throughput, proses pendengar Stunnel mengonsumsi sumber daya CPU signifikan untuk enkripsi dan dekripsi. Dalam kasus ekstrem, setiap pemasangan dapat menghabiskan satu core CPU penuh.

  • Enkripsi dalam transit untuk klien NAS bergantung pada sertifikat pihak ketiga yang memerlukan perpanjangan berkala. NAS mengirim notifikasi melalui email dan pesan internal satu bulan sebelum sertifikat kedaluwarsa. Pantau notifikasi tersebut dan segera perbarui versi aliyun-alinas-utils klien NAS. Jika Anda gagal memperbarui klien, sistem file apa pun yang dipasang dengan enkripsi akan menjadi tidak responsif setelah sertifikat kedaluwarsa.

  • Klien NAS memodifikasi file /etc/hosts pada Instance ECS Anda. Saat Anda memasang sistem file, pemetaan titik pemasangan baru ditulis ke file /etc/hosts. Saat Anda melepas pemasangan sistem file, klien akan menghapus pemetaan yang sebelumnya ditulis.

  • Saat klien NAS menggunakan proses pendengar Stunnel sebagai proxy TLS, proses tersebut menempati alamat IP dari rentang 127.0.1.1 hingga 127.0.255.254 dan menggunakan Port 12049. Pastikan alamat IP dan port target tersedia.

    Anda dapat menjalankan perintah ss -ant | grep -w 12049 untuk memeriksa apakah port target sedang digunakan. Jika output kosong, port tersebut tersedia. Jika port tersebut sedang digunakan, Anda harus memodifikasi file konfigurasi. Untuk informasi selengkapnya, lihat Modifikasi file konfigurasi klien NAS.

Langkah 1: Unduh dan instal klien NAS

Langkah 2: Pasang dengan enkripsi dalam transit

1. Pasang sistem file NFS.

   • NFSv3

     sudo mount -t alinas -o tls,vers=3 file-system-id.region.nas.aliyuncs.com:/ /mnt

   • NFSv4.0

     sudo mount -t alinas -o tls,vers=4.0 file-system-id.region.nas.aliyuncs.com:/ /mnt

   Tabel berikut menjelaskan parameter dalam perintah mount.

   Catatan

   Saat Anda memasang sistem file, klien NAS secara otomatis menggunakan parameter mount optimal. Anda tidak perlu menentukannya secara manual. Untuk informasi selengkapnya, lihat Parameter perintah mount.

   Parameter	Deskripsi
   file-system-id.region.nas.aliyuncs.com:/ /mnt	Formatnya adalah <domain titik pemasangan>:<direktori sistem file NAS> <Direktori lokal tempat pemasangan>. Ganti variabel dengan nilai aktual Anda. Domain titik pemasangan: Di Konsol File Storage NAS, buka halaman File System List, temukan sistem file Anda, lalu klik Manage di kolom Tindakan. Anda dapat menemukan domain titik pemasangan di halaman Mount Targets. Untuk informasi selengkapnya, lihat Kelola titik pemasangan. Direktori sistem file NAS: Direktori root (/) atau subdirektori (misalnya, /share) dari sistem file NAS. Jika Anda menentukan subdirektori, pastikan subdirektori tersebut sudah ada di sistem file NAS. Direktori lokal tempat pemasangan: Direktori pada instance ECS Linux Anda (misalnya, /mnt). Pastikan direktori ini ada di sistem file lokal Anda.
   vers	Versi protokol NFS. vers=3: Memasang sistem file menggunakan NFSv3. vers=4.0: Memasang sistem file menggunakan NFSv4.0.
   tls	Mengaktifkan enkripsi dalam transit.

2. Jalankan perintah mount -l untuk melihat hasil pemasangan.

   Jika output berisi informasi yang mirip dengan berikut, pemasangan berhasil.

   alinas-xxx.cn-zhangjiakou.tls.127.0.1.3:/ on /mnt type nfs (rw,relatime,vers=3,rsize=1048576,wsize=1048576,namlen=255,hard,nolock,noresvport,proto=tcp,port=12050,timeo=600,retrans=2,sec=sys,mountaddr=127.0.1.3,mountvers=3,mountport=12050,mountproto=tcp,local_lock=all,addr=127.0.1.3)

   Setelah pemasangan berhasil, Anda dapat menjalankan perintah df -h untuk melihat kapasitas sistem file.

3. Opsi: Konfigurasikan sistem file agar dipasang secara otomatis saat startup sistem.

   Untuk memastikan sistem file dipasang ulang secara otomatis setelah restart sistem, Anda dapat mengonfigurasi file /etc/fstab pada instance ECS Linux agar secara otomatis memasang sistem file NFS.

   1. Buka file konfigurasi /etc/fstab dan tambahkan entri pemasangan.

      file-system-id.region.nas.aliyuncs.com:/ /mnt alinas _netdev,tls 0 0

      Untuk deskripsi parameter utama dalam contoh ini, lihat Pasang sistem file NFS. Parameter lainnya dijelaskan di bawah ini.

      Parameter	Deskripsi
      _netdev	Mencegah klien mencoba memasang sistem file sebelum jaringan siap.
      0 (nilai pertama setelah tls)	Nilai bukan nol menunjukkan bahwa sistem file harus dibackup oleh perintah dump. Untuk sistem file NAS, atur nilai ini ke 0.
      0 (nilai kedua setelah tls)	Menunjukkan urutan pemeriksaan sistem file oleh fsck saat startup. Untuk sistem file NAS, atur nilai ini ke 0. Hal ini mencegah fsck memeriksa sistem file saat startup.

   2. Jalankan perintah reboot untuk me-restart Instance ECS.

      Me-restart server dapat mengganggu layanan Anda. Kami menyarankan Anda melakukan operasi ini pada jam sepi.

      Catatan

      Untuk mencegah kegagalan boot, verifikasi bahwa entri /etc/fstab Anda benar sebelum me-restart Instance ECS. Jika pemasangan otomatis dikonfigurasi dengan benar, Anda dapat melihat sistem file NAS yang telah dipasang dengan menjalankan perintah df -h setelah Instance ECS dinyalakan ulang.

Log klien NAS

Anda dapat meninjau log klien NAS di direktori /var/log/aliyun/alinas/ untuk memecahkan masalah error pemasangan. Anda juga dapat menyesuaikan konten log dengan memodifikasi parameter dalam file konfigurasi log di /etc/aliyun/alinas/alinas-utils.conf. Setelah memodifikasi file konfigurasi, jalankan perintah sudo service aliyun-alinas-mount-watchdog restart untuk me-restart proses watchdog backend.

Pemecahan masalah

• Gejala

  Saat Anda memasang sistem file, Anda menerima error berikut:

  $sudo mount -t alinas -o tls,vers=4.0 xxx cn-hangzhou.nas.aliyuncs.com /mnt
  Failed to find a loopback ip from 127.0.1.1 ~ 127.0.0.255.254 with port 12049

• Penyebab

  Pemasangan gagal karena alamat IP atau Port 12049 yang dibutuhkan oleh proses pendengar Stunnel sedang digunakan.

• Solusi

  • Solusi 1: Temukan dan hentikan proses yang menggunakan Port 12049, lalu pasang ulang sistem file.

  • Solusi 2: Modifikasi parameter proxy_port dalam file konfigurasi klien NAS di /etc/aliyun/alinas/alinas-utils.conf menjadi nomor port yang tidak digunakan, lalu pasang ulang sistem file.

    [DEFAULT]
    logging_level = INFO
    logging_max_bytes = 1048576
    logging_file_count = 10
    [mount]
    stunnel_debug_enabled = false
    # Validate the certificate hostname on mount. This option is not supported by certain stunnel versions.
    stunnel_check_cert_hostname = false
    # Use OCSP to check certificate validity. This option is not supported by certain stunnel versions.
    stunnel_check_cert_validity = false
    proxy_port = 12050
    [mount-watchdog]
    poll_interval_sec = 1
    unmount_grace_period_sec = 30