FreeBSD + ZFS + Encryption? Alternative? Suggerimenti?

Vorrei creare un server fisico dedicato che funzionerà come NAS e fileserver all'interno della mia LAN (oltre che tramite VPN).

Tuttavia ho bisogno di crittografare completamente le unità (sia quelle di sistema che quelle dei dati, poiché penso che userò due zpool). Poiché la crittografia ZFS non è supportata nella versione 28, che è ciò che supporta FreeBSD (e OpenIndiana, Nexenta, ...) l'unica possibilità sembra essere quella di usare GELI.

Ora sto pensando che l'aggiunta di un livello GELI sopra ZFS potrebbe portare alla perdita di dati. Alcuni post su Internet (anche se non molti) sembrano evidenziare questo problema. In particolare, ZFS sembra essere un filesystem di gran lunga superiore rispetto a qualsiasi altro nel mondo Unix / Linux (ad esempio ext4, xfs e btrfs) considerando l'integrazione di RAID (Z) e checksumming.

Ora aggiungere GELI oltre a questo mi sembra proprio come aggiungere LUKS sopra un'impostazione RAID, anche se non ho mai provato Geli e non ne conosco l'affidabilità. Le prestazioni non sono un problema principale, anche se preferirei non avere un trasferimento di 1 MB / s sulla mia LAN (> 20 MB / s saranno comunque accettabili).

Non sono mai uscito dal mio mondo Linux, quindi non ho esperienze con FreeBSD o i derivati ​​Solaris. Preferirei non usare Solaris Express 11 a causa del problema di supporto pagato (costoso). Questo sarà un computer a casa. Sarò disposto a impararli se necessario.
Il server dovrà eseguire le attività di base del NAS (in particolare la condivisione di file samba / cifs, non ho bisogno di quelle integrate con le nuove versioni di ZFS).

Dopo aver considerato il livello di crittografia, GELI + ZFS sarà più o meno affidabile di LUKS + LVM + ext4 ? Ho chiesto in un altro post su superutente e hanno suggerito FreeBSD / Solaris (es) a causa di ZFS, anche se non abbiamo parlato di crittografia. Non so se OpenIndiana e simili supportano un metodo di crittografia a blocchi come LUKS o GELI.

Inoltre sarà facile aggiungere un disco all'array, far crescere il RAID (Z) e il filesystem come facciamo in Linux (per esempio qui )?

Dovresti essere in grado di utilizzare uno dei provider di geom per la crittografia con ZFS, ma devi crittografare i dispositivi sotto lo ZFS. Probabilmente installerei geli e poi creerei una partizione gpt all'interno di tipo freebsd-zfs e poi vado da lì.

Ti consiglio di testare entrambe le soluzioni (freebsd e linux) e decidere in base al tempo e alle prestazioni dell'amministratore di sistema che ha senso per te.

Solaris 11 supporta la crittografia nativa all'interno di ZFS. Se non sei legato a BSD è qualcosa da considerare. È gratuito per usi non produttivi, quindi puoi utilizzarlo a casa senza dover acquistare una licenza di supporto.

Per far crescere il tuo pool dovrai aggiungere più vdev, non puoi far crescere un singolo raidz o un altro tipo di vdev aggiungendo più dischi. Tuttavia, una volta che inizi ad aggiungere altri vdevs ZFS eseguirà lo striping dei dati su di essi e otterrai prestazioni aggiuntive.

Non penso che ti debba preoccupare indebitamente della perdita di dati. Geli su FreeBSD è maturo e nella mia esperienza è stato a prova di proiettile. Prima Geli, poi ZFS in cima . È quindi possibile utilizzare zpool per creare pool in qualsiasi configurazione desiderata: unità singola, mirror, RAID-Z, qualunque cosa.

La mia esperienza:

Ho un server di casa FreeBSD 9 con una configurazione simile - due dischi, uno zpool su ciascuno. È un'installazione ZFS-on-root - nessun UFS. Un'unità è il sistema, l'altra sono i dati. L'unità dati ha la crittografia dell'intero disco, mentre l'unità di sistema no (anche se credo non ci sia motivo per cui non sia possibile - volevo solo evitare l'ulteriore complicazione).

Ho usato Geli per crittografare l'unità di dati nudo. ZFS (rigorosamente, zpool) vede questo come qualsiasi altro dispositivo a blocchi e tu chiami semplicemente "zpool create ..." nel modo normale, e da lì in poi crei set di dati zfs sul pool come preferisci.

Le prestazioni non sono state un problema nel mio caso d'uso. Il mio funziona perfettamente su un Atom D520 da 4 GB. Probabilmente non fulmineo (i dischi sono solo 5200 giri / min 2,5 ", per bassa potenza / rumore) ma vanno bene per servire la rete domestica.

Questo set-up funziona senza problemi da un paio d'anni ormai.

Se si rilascia una crittografia del disco completo (FDE) come LUKS o Geli su ZFS, non si sfrutterà gran parte del set di funzionalità di ZFS. Tuttavia, se metti ZFS su FDE funzionerà.

Ho ascoltato discussioni di esperti di FreeBSD ZFS di recente in cui stanno raccomandando PEFS su ZFS in quanto ciò consente a ZFS di vedere ancora i singoli file. Potrebbe essere possibile che PEFS configurabile per cartelle e file sia configurabile e in bundle nella libreria ZFS di FreeBSD in futuro.

Sebbene ci siano esperti di crittografia che raccomandano di non dipendere dalla crittografia completa del disco, penso su FreeBSD o Linux, che concatenare diverse strategie di crittografia potrebbe essere una strategia ragionevole.

Ad esempio: Raw Disk -> FDE (Geli / LUKS) -> ZFS -> (per / home) Userland Encryption usando PEFS o EncFS. Con questo modello, se la crittografia dell'intero disco è compromessa e da quello che capisco non è così difficile se qualcuno ha le risorse e la motivazione, avrai ancora PEFS / EncFS per proteggere i tuoi file più importanti che saranno molto più difficili da crepa.