File Storage NAS:NFS ファイルシステムの転送中の暗号化

仕組み

NAS クライアントは、標準の mount コマンドに対応した alinas という名前のネットワークファイルシステムタイプを定義します。 ECS インスタンスに alinas タイプのファイルシステムをマウントし、tls パラメーターを指定すると、NAS クライアントは Stunnel リスナープロセスを起動します。 このプロセスは、ECS インスタンスから NAS サーバーへのリクエストを転送および暗号化します。 aliyun-alinas-mount-watchdog という名前のバックエンドプロセスがバックグラウンドで実行され、Stunnel リスナープロセスが利用可能な状態を維持します。

前提条件

• 汎用 NAS NFS ファイルシステムが作成されていること。詳細については、「ファイルシステムの作成」をご参照ください。

  重要

  転送中の暗号化を有効にする前に、NFS ファイルシステムが ECS インスタンスのターゲットディレクトリ (例：/mnt) にすでにマウントされている場合は、まずファイルシステムをアンマウントする必要があります。その後、このトピックの手順に従って再マウントできます。ファイルシステムをアンマウントする方法については、「NAS コンソールでのファイルシステムのアンマウント」をご参照ください。

• ターゲットの ECS インスタンスがインターネットに接続されているか、Elastic IP アドレス (EIP) に関連付けられていること。詳細については、「ネットワーク帯域幅」をご参照ください。

• ECS インスタンスと NAS ファイルシステムが同じリージョンおよび VPC にあること。

注意事項

• 汎用 NAS NFS ファイルシステムのみがサポートされています。

• NAS クライアントは、次のオペレーティングシステムでサポートされています。

  オペレーティングシステム	サポートされているバージョン
  Alibaba Cloud Linux	Alibaba Cloud Linux 2.1903 64 ビット Alibaba Cloud Linux 3.2104 LTS 64 ビット
  Red Hat	Red Hat Enterprise Linux 7.x 64-bit Red Hat Enterprise Linux 8.x 64-bit
  CentOS	CentOS 7.x 64 ビット CentOS 8.x 64 ビット
  Ubuntu	Ubuntu 16.04 64 ビット Ubuntu 18.04 64 ビット Ubuntu 20.04 64 ビット
  Debian	Debian 9.x 64 ビット Debian 10.x 64 ビット

• 転送中の暗号化によるパフォーマンスへの影響

  転送中の暗号化を有効にせずにマウントした場合と比較して、転送中の暗号化を有効にしてマウントした場合は、アクセスレイテンシーが約 10% 高くなり、IOPS が約 30% 低下します。

• NAS クライアントの使用に関する注意事項

  • NAS クライアントは、Stunnel リスナープロセスを TLS 暗号化プロキシとして使用します。スループット集約型のアプリケーションの場合、Stunnel リスナープロセスは暗号化と復号化のためにかなりの CPU リソースを消費します。極端な場合、各マウントで CPU コア全体が消費される可能性があります。

  • NAS クライアントの転送中の暗号化は、定期的な更新が必要なサードパーティ証明書に依存しています。NAS は、証明書の有効期限が切れる 1 か月前に、メールと内部メッセージで通知を送信します。これらの通知を監視し、NAS クライアントの aliyun-alinas-utils バージョンを速やかに更新してください。クライアントの更新に失敗した場合、証明書の有効期限が切れた後、暗号化してマウントされたファイルシステムは応答しなくなります。

  • NAS クライアントは、ECS インスタンス上の /etc/hosts ファイルを変更します。ファイルシステムをマウントすると、新しいマウントターゲットマッピングが /etc/hosts ファイルに書き込まれます。ファイルシステムをアンマウントすると、クライアントは以前に書き込まれたマッピングを削除します。

  • NAS クライアントが Stunnel リスナープロセスを TLS プロキシとして使用する場合、127.0.1.1 から 127.0.255.254 の範囲の IP アドレスを占有し、ポート 12049 を使用します。ターゲットの IP アドレスとポートが利用可能であることを確認してください。

    ss -ant | grep -w 12049 コマンドを実行して、ターゲットポートが使用中かどうかを確認できます。出力が空の場合、ポートは使用可能です。ポートが使用中の場合は、設定ファイルを変更する必要があります。詳細については、「NAS クライアント設定ファイルを変更する」をご参照ください。

ステップ 1：NAS クライアントのダウンロードとインストール

ステップ 2：転送中の暗号化を有効にしてマウント

1. NFS ファイルシステムをマウントします。

   • NFSv3

     sudo mount -t alinas -o tls,vers=3 file-system-id.region.nas.aliyuncs.com:/ /mnt

   • NFSv4.0

     sudo mount -t alinas -o tls,vers=4.0 file-system-id.region.nas.aliyuncs.com:/ /mnt

   次の表に、マウントコマンドのパラメーターを示します。

   説明

   ファイルシステムをマウントすると、NAS クライアントは自動的に最適なマウントパラメーターを使用します。手動で指定する必要はありません。詳細については、「マウントコマンドのパラメーター」をご参照ください。

   パラメーター	説明
   file-system-id.region.nas.aliyuncs.com:/ /mnt	フォーマットは <マウントターゲットドメイン>:<NAS ファイルシステムディレクトリ> <ローカルマウントディレクトリ> です。変数を実際の値に置き換えてください。 マウントターゲットドメイン: File Storage NAS コンソールで、ファイルシステムリスト ページに移動し、お使いのファイルシステムを見つけ、操作列の 管理 をクリックします。マウントターゲットドメインは マウント使用 ページで確認できます。詳細については、「マウントターゲットの管理」をご参照ください。 NAS ファイルシステムディレクトリ：NAS ファイルシステムのルートディレクトリ (/) またはサブディレクトリ (例: /share) です。 サブディレクトリを指定する場合は、そのサブディレクトリが NAS ファイルシステムにすでに存在することを確認してください。 ローカルマウントディレクトリ: ご使用の Linux ECS インスタンス上のディレクトリ (例: /mnt)。 このディレクトリがローカルファイルシステムに存在することを確認してください。
   バージョン	NFS プロトコルのバージョン。 vers=3: NFSv3 を使用してファイルシステムをマウントします。 vers=4.0: NFSv4.0 を使用してファイルシステムをマウントします。
   tls	転送中の暗号化を有効にします。

2. mount -l コマンドを実行し、マウント結果を確認します。

   出力に次のような情報が含まれている場合、マウントは成功です。

   alinas-xxx.cn-zhangjiakou.tls.127.0.1.3:/ on /mnt type nfs (rw,relatime,vers=3,rsize=1048576,wsize=1048576,namlen=255,hard,nolock,noresvport,proto=tcp,port=12050,timeo=600,retrans=2,sec=sys,mountaddr=127.0.1.3,mountvers=3,mountport=12050,mountproto=tcp,local_lock=all,addr=127.0.1.3)

   マウントに成功すると、df -h コマンドを実行してファイルシステムの容量を確認できます。

3. 任意: システム起動時にファイルシステムが自動的にマウントされるように設定します。

   システムの再起動後にファイルシステムが自動的に再マウントされるように、Linux ECS インスタンスの /etc/fstab ファイルを設定して、NFS ファイルシステムを自動的にマウントできます。

   1. /etc/fstab 設定ファイルを開き、マウントエントリを追加します。

      file-system-id.region.nas.aliyuncs.com:/ /mnt alinas _netdev,tls 0 0

      この例の主要なパラメーターの説明については、「NFS ファイルシステムのマウント」をご参照ください。その他のパラメーターは以下のとおりです。

      パラメーター	説明
      _netdev	ネットワークの準備が整う前にクライアントがファイルシステムをマウントしようとするのを防ぎます。
      0 (tls の後の最初の値)	ゼロ以外の値は、dump コマンドによってファイルシステムをバックアップする必要があることを示します。NAS ファイルシステムの場合、この値を 0 に設定します。
      0 (tls の後の 2 番目の値)	起動時に fsck によってファイルシステムチェックが行われる順序を示します。NAS ファイルシステムの場合、この値を 0 に設定します。これにより、起動時に fsck がファイルシステムをチェックしなくなります。

   2. reboot コマンドを実行して ECS インスタンスを再起動します。

      サーバーを再起動すると、サービスが中断される可能性があります。この操作はオフピーク時に実行することを推奨します。

      説明

      起動の失敗を防ぐため、ECS インスタンスを再起動する前に /etc/fstab エントリが正しいことを確認してください。自動マウントが正しく設定されている場合、ECS インスタンスの再起動後に df -h コマンドを実行して、マウントされた NAS ファイルシステムを確認できます。

NAS クライアントのログ

マウントエラーのトラブルシューティングを行うには、/var/log/aliyun/alinas/ ディレクトリにある NAS クライアントログを確認できます。 また、/etc/aliyun/alinas/alinas-utils.conf にあるログ設定ファイルのパラメーターを修正して、ログの内容をカスタマイズすることもできます。 設定ファイルを修正した後、sudo service aliyun-alinas-mount-watchdog restart コマンドを実行して、バックエンドのウォッチドッグプロセスを再起動します。

トラブルシューティング

• 現象

  ファイルシステムをマウントすると、次のエラーが表示されます。

  $sudo mount -t alinas -o tls,vers=4.0 xxx cn-hangzhou.nas.aliyuncs.com /mnt
  Failed to find a loopback ip from 127.0.1.1 ~ 127.0.255.254 with port 12049

• 原因

  Stunnel リスナープロセスで必要な IP アドレスまたはポート 12049 がすでに使用されているため、マウントに失敗します。

• 解決策

  • 解決策 1：ポート 12049 を使用しているプロセスを特定して終了させてから、ファイルシステムを再度マウントします。

  • 解決策 2: NAS クライアント設定ファイル /etc/aliyun/alinas/alinas-utils.conf 内の proxy_port パラメーターを未使用のポート番号に変更し、再度ファイルシステムをマウントします。

    [DEFAULT]
    logging_level = INFO
    logging_max_bytes = 1048576
    logging_file_count = 10
    [mount]
    stunnel_debug_enabled = false
    # マウント時に証明書のホスト名を検証します。このオプションは、一部の stunnel バージョンではサポートされていません。
    stunnel_check_cert_hostname = false
    # OCSP を使用して証明書の有効性を確認します。このオプションは、一部の stunnel バージョンではサポートされていません。
    stunnel_check_cert_validity = false
    proxy_port = 12050
    [mount-watchdog]
    poll_interval_sec = 1
    unmount_grace_period_sec = 30