NFSv3は広く普及していますが、デフォルトのセキュリティモデルは...quaintです。 CIFSはKerberos認証を使用できますが、POSIXセマンティクスがなければ、それはスターターではありません。 AFSはネットワーク上のトラフィックを暗号化したことがなく、krb4であり、基本的には死んだプロジェクトです。豪華な新しい実験的なファイルシステムは、実現しないか、速度に重点を置いています(そして、運が良ければ、データの信頼性も向上します)。たとえば、LusterはNFSv3と同じクライアント信頼モデルを使用します。家庭での使用では、sshfsは気の利いたものですが、確かに拡張性はありません。
そしてもちろん、sec = krb5pのNFSv4もあります。理論的には素晴らしいですが、10年後、現実の世界では使用されなくなっているようです。 Linuxクライアントの 今 実験的なタグが削除されました。そして、EMC Celerra、Isilonなどを見ると、すべてNFSv3です。 (CelerraはNFSv4をサポートしていますが、本当にがドキュメントに埋め込まれています。Isilonは、RPCGSSサポートをFreeBSDに追加する作業をしているようです。私はここに新しいので新しいタグになるので、この投稿に「nfsv4」というタグを付けることもできません。
したがって、本当に。何してるの?
これは特定の質問(あなたは何をしていますか)なので、答えましょう。何もありません。ほとんどの管理者とユーザーはNFSのセキュリティについて心配していません。そのため、誰もがNFSv3を使用しています。これは通常、制御された環境です(最初に、よく知られているマシンのみがネットワークに接続できるという意味で)。誰かがインフラストラクチャの乱用に巻き込まれた場合、彼らは解雇されるか刑務所に入れられます。
あなたが本当にだれにも読まれてほしくないデータについては、明示的に暗号化します。 Firefoxパスワードデータベース、sshキー、またはpgpキー。これは、管理者がファイルサーバーでファイルを読み取ることができるため、ネットワークファイルシステムのセキュリティが役に立たないためです。
ここで2つの質問をしているようです。
実際に何を使用していますか?およびこれは何ですか?
I'm実際に使用しているのはCIFSですが、私のユースケースではPOSIXはそれほど重要ではないため、問題は発生していません。 NFS3は、SLESインストールサーバーなど、セキュリティが重要ではない領域で使用されます。そして最後に、シンプルなユーザーランド共有のためのsshfs/gvfs。有線暗号化は必要ないと見なされているため、それは私たちにとって意味のある要素ではありません。
他の質問については、あなたが探しているものには6つの主要な要件があるようです:
私はここでポイント5と6がキラーになると思いますが、ここに行きます(また、これはテーブルがreally便利になるポイントですが、マークダウン/ StackExchangeはサポートしていません)。
NFSv3 + IPSec
NFSv4 + Krb + IPSec
[〜#〜] cifs [〜#〜]
CIFS + IPSec
[〜#〜] sshfs [〜#〜]
AFP/NetATalk
そして、私はそこにある分散ファイルシステムには触れません。それをすべて行う単一のことはありません。近くにあるもの(CIFS)もあれば、すでにあるものもありますが、誰も使用していません(NFS4 + IPSec、CIFS + IPSec)。何らかの理由で、安全なネットワークファイルシステムは、長年にわたって多くの妥協を受けてきたものです。
LinuxとWindowsの両方のクライアントで、何年も本番環境でopenafsを使用しています。さまざまなLinuxディストリビューションにパッケージングが含まれているため、このAPIは優れており、活発な開発コミュニティがあり、ここ数年でインストールと管理がはるかに簡単になりました。これには欠点がありますが、管理上の柔軟性の向上、低速リンクでクライアントとサーバーを分離する機能、オフサイトバックアップの容易さ、その他のポジティブなAFSismによって相殺されることがわかりました。
特に気に入っているのは、ACLがロックされた状態で、openafsでインターネットに接続されたWebサーバーを運用することです。 kerberosチケットがない場合、ファイルシステムに書き込むことができるプロセスは、ルートとして実行されているマシン上にありません。単純な対策のため、攻撃が完全に失敗したことに気付いた回数を数えることはできません。
かなり大きなopenafsユーザーが何人かいます-私が知っている最大の商用ユーザーはMorgan Stanleyです。
現時点での暗号化はDESのみなので、まだ有効なOpenAFSとその下のVPNはどうでしょうか。
さて、私にとっては、それらの分散ファイルシステムの1つがあなたに向いているように思えます。古いので、まだIPv6をサポートしていないので、OpenAFSを推奨したくありません。
GlusterFS にとても満足しています。 Glusterはかなり成熟しており、大丈夫です。優れた機能セットを備えています。ただし、最近IRCで説明したように、Glusterは安定した方法でIPv6をサポートしていません。この機能は3.6または3.7で予定されています。
Glusterに基づいて構築されたHekaFSと呼ばれるプロジェクトもあり、より高度な認証機能とSSLが追加されています。それは非常によく文書化され、非常によく設計されたimoです。
あなたにとって興味深いものは XtreemFS です。これはグローバルグリッドコンピューティング用に設計されているため、デフォルトでSSLなどが付属しています。コミュニティはよりアクティブになり、ドキュメント化が進んだため、使用方法の選択はGlusterに当てはまりました。
もちろん、どちらもposixに準拠しています。
このスレッドの多くの人がデータの非表示、つまり、データをスヌーピングできない攻撃について話しているようです。データの整合性と信頼性について考えることも同様に重要です。それらのNFSパケットは本当にあなたのNFSサーバーからのものですか?転送中にNFSパケットが変更されましたか?
NFSを使用しています。ただし、サーバー間NFSは専用のネットワークバックボーンを介して行われるため、暗号化は不要であり、認証は無意味です。 IPに基づいて選択したディレクトリのみをサーバーと共有するように各エクスポートを設定するだけです。