Mã hóa OneFS và SMB

Nhận được một số câu hỏi gần đây về mã hóa SMB, được hỗ trợ ngoài các thành phần khác của phương ngữ giao thức SMB3 mà OneFS hỗ trợ, bao gồm đa kênh, khả dụng liên tục (CA) và chứng kiến.

OneFS cho phép mã hóa cho máy khách SMB3 được cấu hình trên cơ sở chia sẻ, vùng hoặc cụm. Khi cấu hình mã hóa ở cấp độ cụm, OneFS cung cấp tùy chọn cho phép kết nối không được mã hóa cho máy khách cũ hơn, không phải SMB3.

Lệnh CLI sau đây sẽ chỉ ra liệu mã hóa SMB3 đã được cấu hình toàn cầu trên cụm hay chưa:

# isi smb settings chế độ xem toàn cục | grep -i mã hóa
     Hỗ trợ mã hóa Smb3: Không

Bảng sau đây liệt kê hành vi mà nhiều phiên bản Microsoft Windows và Apple Mac OS sẽ hỗ trợ liên quan đến mã hóa SMB3:

 Lưu ý rằng chỉ có hệ điều hành hỗ trợ mã hóa SMB3 mới có thể hoạt động với các chia sẻ được mã hóa. Các hệ điều hành này cũng có thể hoạt động với các chia sẻ không được mã hóa, nhưng chỉ khi cụm được cấu hình để cho phép các kết nối không được mã hóa. Các hệ điều hành khác chỉ có thể truy cập các chia sẻ không được mã hóa nếu cụm được cấu hình để cho phép các kết nối không được mã hóa.

Nếu mã hóa được bật cho một chia sẻ hoặc vùng hiện có và nếu cụm được thiết lập để chỉ cho phép các kết nối được mã hóa, thì chỉ Windows 8/Server 2012 trở lên và OSX 10.12 mới có thể truy cập vào chia sẻ hoặc vùng đó. Không thể bật hoặc tắt mã hóa ở cấp máy khách.

Các thủ tục CLI sau đây sẽ cấu hình mã hóa SMB3 trên một chia sẻ cụ thể, thay vì trên toàn cụm:

Trước tiên, hãy đảm bảo rằng cụm và máy khách được liên kết và kết nối với miền Active Directory mong muốn (ví dụ trong trường hợp này là ad1.com).

Để tạo chia sẻ với mã hóa SMB3 được bật từ CLI:

# mkdir -p /ifs/smb/data_encrypt
# chmod +a nhóm "AD1\\Domain Users" cho phép generic_all /ifs/smb/data_encrypt
# isi smb chia sẻ tạo DataEncrypt /ifs/smb/data_encrypt --smb3-encryption-enabled true
 # isi smb chia sẻ quyền sửa đổi DataEncrypt --wellknown Mọi người -d cho phép -p đầy đủ

Để xác minh phiên máy khách SMB3 thực sự đang được mã hóa, hãy khởi chạy phiên giao thức máy tính từ xa (RDP) tới máy khách Windows, đăng nhập với tư cách quản trị viên và thực hiện các thao tác sau:

1. Đảm bảo công cụ bắt và phân tích gói tin như Wireshark được cài đặt.
2. Bắt đầu chụp Wireshark bằng cách sử dụng bộ lọc chụp “ cổng 445 ”
3. Ánh xạ chia sẻ DataEncrypt từ nút thứ hai trong cụm
4. Tạo một tệp trên màn hình nền của máy khách (ví dụ: README-W10.txt).
5. Sao chép tệp README-W10.txt từ Desktop trên máy khách đến các chia sẻ DataEncrypt bằng Windows explorer.exe
6. Dừng việc bắt giữ Wireshark
7. Đặt bộ lọc hiển thị Wireshark thành “smb2 và ip.addr cho nút 1
   1. Kiểm tra trao đổi gói SMB2_NEGOTIATE để xác minh khả năng, bối cảnh đã thương lượng và phương ngữ giao thức (3.1.1)
   2. Kiểm tra SMB2_TREE_CONNECT để xác minh rằng hỗ trợ mã hóa chưa được bật cho chia sẻ này
   3. Kiểm tra các yêu cầu SMB2_WRITE để đảm bảo rằng nội dung tệp có thể đọc được.
8. Đặt bộ lọc hiển thị Wireshark thành “smb2 và ip.addr cho nút 2
   1. Kiểm tra trao đổi gói SMB2_NEGOTIATE để xác minh khả năng, bối cảnh đã thương lượng và phương ngữ giao thức (3.1.1)
   2. Kiểm tra SMB2_TREE_CONNECT để xác minh rằng hỗ trợ mã hóa đã được bật cho chia sẻ này
   3. Kiểm tra thông tin liên lạc sau phản hồi SMB2_TREE_CONNECT thành công rằng các gói tin đã được mã hóa
9. Lưu Wireshark Capture vào chia sẻ DataEncrypt bằng tên Win10-SMB3EncryptionDemo.pcap .

Mã hóa SMB3 cũng có thể được áp dụng trên toàn cầu cho một cụm. Điều này có nghĩa là tất cả các giao tiếp SMB với cụm sẽ được mã hóa, không chỉ với các chia sẻ riêng lẻ. Các máy khách SMB không hỗ trợ mã hóa SMB3 sẽ chỉ có thể kết nối với cụm miễn là cụm được cấu hình để cho phép các kết nối không được mã hóa. Bảng sau đây trình bày các tùy chọn cấu hình mã hóa SMB3 toàn cầu có sẵn:

Cú pháp CLI sau đây sẽ cấu hình mã hóa SMB3 toàn cầu:

# isi smb cài đặt toàn cầu sửa đổi --support-smb3-encryption=yes

Xác minh cài đặt mã hóa toàn cầu trên cụm bằng cách chạy:

# isi smb settings chế độ xem toàn cục | grep -i encrypt
Từ chối truy cập không được mã hóa: Có
     Hỗ trợ mã hóa Smb3: Có

Mã hóa SMB3 toàn cầu cũng có thể được bật từ WebUI bằng cách duyệt đến Giao thức > Chia sẻ Windows (SMB) > Cài đặt máy chủ SMB: 

 Tác giả : Nick Trimbee