File Storage NAS:NFS ファイルシステムの転送中暗号化

仕組み

NAS クライアントは、標準の mount コマンドと互換性のある alinas という名前のネットワークファイルシステムタイプを定義します。alinas タイプのファイルシステムを ECS インスタンスにマウントし、tls パラメーターを指定すると、NAS クライアントは Stunnel リスナープロセスを開始します。このプロセスは、ECS インスタンスからのリクエストを NAS サーバーに転送して暗号化します。aliyun-alinas-mount-watchdog という名前のバックエンドプロセスがバックグラウンドで実行され、Stunnel リスナープロセスが利用可能な状態を維持します。

前提条件

• 汎用 NAS NFS ファイルシステムが作成されていること。詳細については、「ファイルシステムの作成」をご参照ください。

  重要

  転送中暗号化を有効にする前に、NFS ファイルシステムがすでにご利用の ECS インスタンスのターゲットディレクトリ (例：/mnt) にマウントされている場合は、まずファイルシステムをアンマウントする必要があります。その後、このトピックの手順に従って再マウントできます。ファイルシステムをアンマウントする方法については、「NAS コンソールでファイルシステムをアンマウントする」をご参照ください。

• ターゲットの ECS インスタンスがインターネットに接続されているか、Elastic IP アドレス (EIP) に関連付けられていること。詳細については、「ネットワーク帯域幅」をご参照ください。

• ECS インスタンスと NAS ファイルシステムが同じリージョンと VPC にあること。

注意事項

• 汎用 NAS NFS ファイルシステムのみがサポートされています。

• NAS クライアントは、次のオペレーティングシステムでサポートされています：

  オペレーティングシステム	サポートされているバージョン
  Alibaba Cloud Linux	Alibaba Cloud Linux 2.1903 64 ビット Alibaba Cloud Linux 3.2104 LTS 64 ビット
  Red Hat	Red Hat Enterprise Linux 7.x 64 ビット Red Hat Enterprise Linux 8.x 64 ビット
  CentOS	CentOS 7.x 64 ビット CentOS 8.x 64 ビット
  Ubuntu	Ubuntu 16.04 64 ビット Ubuntu 18.04 64 ビット Ubuntu 20.04 64 ビット
  Debian	Debian 9.x 64 ビット Debian 10.x 64 ビット

• 転送中暗号化のパフォーマンスへの影響

  暗号化されていないマウントと比較して、転送中暗号化を有効にすると、アクセスレイテンシーが約 10% 増加し、IOPS が約 10% 減少します。

• NAS クライアントの使用に関する注意事項

  • NAS クライアントは、Stunnel リスナープロセスを TLS 暗号化プロキシとして使用します。スループット集約型のアプリケーションの場合、Stunnel リスナープロセスは暗号化と復号のために大量の CPU リソースを消費します。極端な場合、各マウントで CPU コア全体を消費する可能性があります。

  • NAS クライアントの転送中暗号化は、定期的な更新が必要なサードパーティ証明書に依存しています。NAS は、証明書の有効期限が切れる 1 か月前に、メールとサイト内メッセージで通知を送信します。これらの通知を監視し、NAS クライアントの aliyun-alinas-utils のバージョンを速やかに更新してください。クライアントを更新しないと、証明書の有効期限が切れた後、暗号化してマウントされたファイルシステムはすべて応答しなくなります。

  • NAS クライアントは、ご利用の ECS インスタンス上の /etc/hosts ファイルを変更します。ファイルシステムをマウントすると、新しいマウントポイントマッピングが /etc/hosts ファイルに書き込まれます。ファイルシステムをアンマウントすると、クライアントは以前に書き込まれたマッピングを削除します。

  • NAS クライアントが Stunnel リスナープロセスを TLS プロキシとして使用する場合、127.0.1.1 から 127.0.255.254 の範囲の IP アドレスを占有し、ポート 12049 を使用します。ターゲットの IP アドレスとポートが利用可能であることを確認してください。

    ss -ant | grep -w 12049 コマンドを実行して、ターゲットポートが占有されているかどうかを確認できます。出力が空の場合、ポートは利用可能です。ポートが占有されている場合は、設定ファイルを変更する必要があります。詳細については、「NAS クライアント設定ファイルの変更」をご参照ください。

ステップ 1: NAS クライアントのダウンロードとインストール

ステップ 2: 転送中暗号化を使用したマウント

1. NFS ファイルシステムをマウントします。

   • NFSv3

     sudo mount -t alinas -o tls,vers=3 file-system-id.region.nas.aliyuncs.com:/ /mnt

   • NFSv4.0

     sudo mount -t alinas -o tls,vers=4.0 file-system-id.region.nas.aliyuncs.com:/ /mnt

   次の表に、マウントコマンドのパラメーターを示します。

   説明

   ファイルシステムをマウントすると、NAS クライアントは自動的に最適なマウントパラメーターを使用します。手動で指定する必要はありません。詳細については、「マウントコマンドのパラメーター」をご参照ください。

   パラメーター	説明
   file-system-id.region.nas.aliyuncs.com:/ /mnt	フォーマットは <マウントポイントドメイン>:<NAS ファイルシステムディレクトリ> <ローカルマウントディレクトリ> です。変数を実際の値に置き換えてください。 マウントポイントドメイン：File Storage NAS コンソールで、ファイルシステムリスト ページに移動し、対象のファイルシステムを見つけて、[操作] 列の [管理] をクリックします。マウントポイントドメインは マウント使用 ページで確認できます。詳細については、「マウントポイントの管理」をご参照ください。 NAS ファイルシステムディレクトリ：NAS ファイルシステムのルートディレクトリ (/) またはサブディレクトリ (例：/share)。サブディレクトリを指定する場合は、そのディレクトリが NAS ファイルシステムにすでに存在することを確認してください。 ローカルマウントディレクトリ：Linux ECS インスタンス上のディレクトリ (例：/mnt)。このディレクトリがローカルファイルシステムに存在することを確認してください。
   vers	NFS プロトコルのバージョン。 vers=3：NFSv3 を使用してファイルシステムをマウントします。 vers=4.0：NFSv4.0 を使用してファイルシステムをマウントします。
   tls	転送中暗号化を有効にします。

2. mount -l コマンドを実行して、マウント結果を表示します。

   出力に次のような情報が含まれている場合、マウントは成功です。

   alinas-xxx.cn-zhangjiakou.tls.127.0.1.3:/ on /mnt type nfs (rw,relatime,vers=3,rsize=1048576,wsize=1048576,namlen=255,hard,nolock,noresvport,proto=tcp,port=12050,timeo=600,retrans=2,sec=sys,mountaddr=127.0.1.3,mountvers=3,mountport=12050,mountproto=tcp,local_lock=all,addr=127.0.1.3)

   マウントが成功した後、df -h コマンドを実行してファイルシステムの容量を表示できます。

3. オプション： システム起動時にファイルシステムが自動的にマウントされるように設定します。

   システムの再起動後にファイルシステムが自動的に再マウントされるようにするには、Linux ECS インスタンスの /etc/fstab ファイルを設定して、NFS ファイルシステムを自動的にマウントできます。

   1. /etc/fstab 設定ファイルを開き、マウントエントリを追加します。

      file-system-id.region.nas.aliyuncs.com:/ /mnt alinas _netdev,tls 0 0

      この例の主要なパラメーターの説明については、「NFS ファイルシステムのマウント」をご参照ください。その他のパラメーターについては、以下で説明します。

      パラメーター	説明
      _netdev	ネットワークの準備が整う前にクライアントがファイルシステムをマウントしようとするのを防ぎます。
      0 (tls の後の最初の値)	ゼロ以外の値は、ファイルシステムが dump コマンドによってバックアップされるべきであることを示します。NAS ファイルシステムの場合、この値を 0 に設定します。
      0 (tls の後の 2 番目の値)	起動時に fsck がファイルシステムをチェックする順序を示します。NAS ファイルシステムの場合、この値を 0 に設定します。これにより、起動時に fsck がファイルシステムをチェックするのを防ぎます。

   2. reboot コマンドを実行して ECS インスタンスを再起動します。

      サーバーを再起動すると、サービスが中断される可能性があります。この操作は、オフピーク時に実行することを推奨します。

      説明

      起動の失敗を防ぐため、ECS インスタンスを再起動する前に /etc/fstab エントリが正しいことを確認してください。自動マウントが正しく設定されていれば、ECS インスタンスの再起動後に df -h コマンドを実行すると、マウントされた NAS ファイルシステムが表示されます。

NAS クライアントログ

マウントエラーのトラブルシューティングを行うには、/var/log/aliyun/alinas/ ディレクトリにある NAS クライアントログを確認します。また、/etc/aliyun/alinas/alinas-utils.conf にあるログ設定ファイルのパラメーターを変更して、ログの内容をカスタマイズすることもできます。設定ファイルを変更した後、sudo service aliyun-alinas-mount-watchdog restart コマンドを実行して、バックエンドのウォッチドッグプロセスを再起動します。

トラブルシューティング

• 症状

  ファイルシステムをマウントすると、次のエラーが表示されます：

  $sudo mount -t alinas -o tls,vers=4.0 xxx cn-hangzhou.nas.aliyuncs.com /mnt
  Failed to find a loopback ip from 127.0.1.1 ~ 127.0.255.254 with port 12049

• 原因

  Stunnel リスナープロセスに必要な IP アドレスまたはポート 12049 がすでに使用されているため、マウントに失敗します。

• 解決策

  • 解決策 1：ポート 12049 を使用しているプロセスを見つけて終了させ、ファイルシステムを再度マウントします。

  • 解決策 2：/etc/aliyun/alinas/alinas-utils.conf にある NAS クライアント設定ファイルの proxy_port パラメーターを未使用のポート番号に変更し、ファイルシステムを再度マウントします。

    [DEFAULT]
    logging_level = INFO
    logging_max_bytes = 1048576
    logging_file_count = 10
    [mount]
    stunnel_debug_enabled = false
    # マウント時に証明書ホスト名を検証します。このオプションは、一部の stunnel バージョンではサポートされていません。
    stunnel_check_cert_hostname = false
    # OCSP を使用して証明書の有効性を確認します。このオプションは、一部の stunnel バージョンではサポートされていません。
    stunnel_check_cert_validity = false
    proxy_port = 12050
    [mount-watchdog]
    poll_interval_sec = 1
    unmount_grace_period_sec = 30