ZFS, kryptera och lägga till en vdev i poolen?

Citera flera Citera

2013-09-05 11:39

aluser

Medlem

Registrerad: Apr 2013

●

http://www.larsko.org/ZfsUbuntu kan vara nåt. Har inte testat själv dock

Citera flera Citera

2013-09-05 11:53

Samsite

Medlem

Plats: Stockholm
Registrerad: Sep 2009

●

Hjälper dessvärre inte mig alls..
De verkar kryptera disken och sedan lägga till den i zpoolen, istället för att kryptera en hel vdev med diskar i poolen.

Citera flera Citera

2013-09-05 14:56

maniak

Medlem ★

Plats: 192.168.1.267
Registrerad: Apr 2003

●

Antingen krypterar du före zfs eller efter.

Förslagsvis krypterar du före och kör dm-crypt/luks istället, du krypterar alltså varje disk innan du ger den till zfs, och till zfs ger du den krypterade volymen efter den är upplåst.

Tänkte själv köra zfs med kryptering på linux. Slutade med att jag valde mdadm, lvm (med dm-crypt på vissa lv-volymer) och xfs.

Visa signatur

CCNP

Citera flera Citera

2013-09-05 20:53

Samsite

Medlem

Plats: Stockholm
Registrerad: Sep 2009

●

Hej maniak och tack för svaret!
Jag tror att jag läste fel förut i tråden jag hittade här tidigare, om att man kan kryptera en vdev och sedan slänga in den i poolen. Det som sades var nog bara att man krypterar den färdiga mountade volymen ("/tank" eller dylikt). De nämnde nog inte problemet man får när man ska utöka volymen.
Jag hade tänkt köra TC men har även kikat på dm-crypt litet. Oavsett metod så hade jag först och främst tänkt kryptera varje disk för sig och sedan bara lägga till dem i zpoolen senare. Det tänkte jag på först innan jag fick upp ögonen för vdev-krypteringen. Men nu verkar det åter vara aktuellt. Hm.. Intressant det där.

Fråga, som poppade upp i huvudet precis nu: Vad händer om jag krypterar den mountade poolen ("/tank" som i exemplet ovan) och bara avkrypterar när det väl är dags för fler diskar & vdevar? Det gör man ju inte så ofta direkt. Har hört liitet liitet om att det är riskabelt dock, jag skall gräva lite i det så får vi se.

Citera flera Citera

2013-09-05 21:05

Schrimp

Medlem

Plats: Lilla Edet
Registrerad: Aug 2004

●

Jag har en fråga relaterad till ämnet;

En skapad pool, raidz2, med 8st diskar. Kan man, en disk i taget, ta bort disken från poolen, kryptera den, och lägga tillbaka disken i poolen och på så sätt migrera sin pool till krypterad dito?
Jag har försökt hitta folk som gjort det, men det verkar mest göras från start. Är det omöjligt?

Inget hindrar mig från att prova med en disk och se om det fungerar, men jag är rädd att något strular när jag väl gjort den sista disken och ZFS uppfattar att alla diskar nu är något mindre än förut (korrekt?)

Det blir ju ett sant helvete att boota om burken med alla lösenord som ska skrivas in, men den startas väl om 2-3 ggr om året, så jag kan väl leva med det..

Visa signatur

Citera flera Citera

2013-09-05 21:45

maniak

Medlem ★

Plats: 192.168.1.267
Registrerad: Apr 2003

●

Skrivet av Samsite:

Hej maniak och tack för svaret!
Jag tror att jag läste fel förut i tråden jag hittade här tidigare, om att man kan kryptera en vdev och sedan slänga in den i poolen. Det som sades var nog bara att man krypterar den färdiga mountade volymen ("/tank" eller dylikt). De nämnde nog inte problemet man får när man ska utöka volymen.
Jag hade tänkt köra TC men har även kikat på dm-crypt litet. Oavsett metod så hade jag först och främst tänkt kryptera varje disk för sig och sedan bara lägga till dem i zpoolen senare. Det tänkte jag på först innan jag fick upp ögonen för vdev-krypteringen. Men nu verkar det åter vara aktuellt. Hm.. Intressant det där.

Fråga, som poppade upp i huvudet precis nu: Vad händer om jag krypterar den mountade poolen ("/tank" som i exemplet ovan) och bara avkrypterar när det väl är dags för fler diskar & vdevar? Det gör man ju inte så ofta direkt. Har hört liitet liitet om att det är riskabelt dock, jag skall gräva lite i det så får vi se.

Afaik kan du bara kryptera före du ger disken till zpool eller efter du skapat zfs filsystemet och monterad det. Så efter kan du bara köra en truecrypt fil, inte på filsystemet.

Visa signatur

CCNP

Citera flera Citera

2013-09-05 22:13

Samsite

Medlem

Plats: Stockholm
Registrerad: Sep 2009

●

Skrivet av maniak:

Afaik kan du bara kryptera före du ger disken till zpool eller efter du skapat zfs filsystemet och monterad det. Så efter kan du bara köra en truecrypt fil, inte på filsystemet.

Hm.. Kryptera en disk kan man ju göra, även likaså att avkryptera den?
Nu tänker jag visserligen på TC under Windows där man kan avkryptera hela diskar man har krypterat. Osäker på det går under Linux, vet att en hel del saker inte finns med där. Men i värsta fall kan man ju koppla ur & köra diskarna i en Windowsmaskin för avkryptering.

Edit igen: Se där ja. Man kan bara avkryptera systempartitioner tydligen. Så som de här diskarna är tänkt att användas så går det EJ.
Källa: http://www.truecrypt.org/docs/removing-encryption

Senast redigerat 2013-09-05 23:08

Citera flera Citera

2013-09-13 15:35

saddam

Avstängd

Plats: Sthlm
Registrerad: Nov 2008

●

Skrivet av Schrimp:

Jag har en fråga relaterad till ämnet;

En skapad pool, raidz2, med 8st diskar. Kan man, en disk i taget, ta bort disken från poolen, kryptera den, och lägga tillbaka disken i poolen och på så sätt migrera sin pool till krypterad dito?
Jag har försökt hitta folk som gjort det, men det verkar mest göras från start. Är det omöjligt?

Inget hindrar mig från att prova med en disk och se om det fungerar, men jag är rädd att något strular när jag väl gjort den sista disken och ZFS uppfattar att alla diskar nu är något mindre än förut (korrekt?)

Det blir ju ett sant helvete att boota om burken med alla lösenord som ska skrivas in, men den startas väl om 2-3 ggr om året, så jag kan väl leva med det..

Testa i en virtuel maskin? Skapa 8st tomma filer på 100MB styck, och gör en raidz2 utav dem och sätt igång?

Citera flera Citera

2013-09-13 15:58

Schrimp

Medlem

Plats: Lilla Edet
Registrerad: Aug 2004

●

Skrivet av saddam:

Testa i en virtuel maskin? Skapa 8st tomma filer på 100MB styck, och gör en raidz2 utav dem och sätt igång?

http://www.puppe.se/2013/09/14/encrypting-an-existing-raidz2/

Ja, tanken har inte ens slagit mig. Självklart gör jag så, tack

EDIT

Det verkar gå utmärkt. Kanske har det att göra med ashift=12 på poolen. Hursom, jag skrev ihop lite steg jag följde.

Jag har inte gjort det skarpt än tål att sägas, guiden är skriven som om det vore så, men allt pekar på att det fungerar hittills. Första disken håller på att dd'as just nu.

EDIT 2:
Och nu är resilvering igång.

  pool: tank
 state: DEGRADED
status: One or more devices is currently being resilvered.  The pool will
continue to function, possibly in a degraded state.
action: Wait for the resilver to complete.
  scan: resilver in progress since Sun Sep 15 09:45:09 2013
        105G scanned out of 7,20T at 392M/s, 5h16m to go
        12,8G resilvered, 1,42% done
config:

NAME                        STATE     READ WRITE CKSUM
tank                        DEGRADED     0     0     0
  raidz2-0                  DEGRADED     0     0     0
    replacing-0             UNAVAIL      0     0     0
      12045748676472643058  UNAVAIL      0     0     0  was /dev/label/ss-disk1
      label/ss-disk1.eli    ONLINE       0     0     0  (resilvering)
    label/ss-disk2          ONLINE       0     0     0
    label/ss-disk3          ONLINE       0     0     0
    label/ss-disk4          ONLINE       0     0     0
    label/ss-disk5          ONLINE       0     0     0
    label/ss-disk6          ONLINE       0     0     0
    label/ss-disk7          ONLINE       0     0     0
    label/ss-disk8          ONLINE       0     0     0

errors: No known data errors

Ska bli intressant att se vad min CPU mäktar med i throughput sen, med 8st krypterade diskar och ingen AES-NI (Intel Core i7 860).

Senast redigerat 2013-09-15 09:56 Lade till länk

Visa signatur

Citera flera Citera

2013-09-18 13:44

ronnylov

Medlem ★

Plats: Borås
Registrerad: Okt 2002

●

Ett tänkbart alternativ kan vara att skapa en "ZFS volume" som man därefter krypterar och formaterar med valfritt filsystem. Eller skapa en krypterad fil som man har som lagring för sina hemliga filer.

Men om man krypterar diskarna innan de läggs in i poolen, får man då upp ett lösenord när man startar datorn eller hur funkar det? Lagrar men en nyckel på USB-minne och man låser upp nyckeln med ett lösenord? Känns som det kommer kräva lite handpåläggning vid eventuell reboot.

Aaah, läste schrimps länk. Borde man inte kunna ha samma passphrase till alla diskar, alltså en gemensam nyckel på något sätt?