ユースケースとワークロード
変更を提案
PDF
TLS 上の NFS は、Kerberos インフラストラクチャなしでの回線暗号化、共有エクスポートでのクライアントごとの TLS 強制、相互クライアント認証という 3 つの一般的な展開シナリオに適しています。
すべてのワークロードが同じように恩恵を受けるわけではありません。どのパターンが適していて、どのパターンが適していないかを把握することで、導入計画を立てやすくなります。
ユースケース
*Kerberosインフラストラクチャなしで、ネットワーク上でNFS暗号化を実現します。*NFSのデータ転送時の暗号化が必要だが、キー配布センター（KDC）の導入と運用、クライアントへのキータブの配布、NASクライアントをカバーするためのKerberosレルムの拡張はしたくない場合、NFS over TLSがこれを直接解決します。ストレージ仮想マシン（SVM）ごとにサーバー証明書をインストールし、暗号化されたNFSを伝送する各データ論理インターフェース（LIF）でNFS over TLSを有効にし、クライアントは標準NFSポート上でTLS 1.3をインバンドでネゴシエートします。新たな認証サービスは不要です。
*共有NFSエクスポートにおけるクライアントごとのTLSのみの強制適用。*暗号化が必要なクライアントと暗号化を必要としないクライアントが混在している場合、他のクライアントに影響を与えずに、規制対象のクライアントを強制的に暗号化されたパスに誘導する方法が必要です。エクスポートポリシールールオプション `-allow-nfs-tls-only true`は、まさにその目的を果たします。これは、TCP経由で一致するクライアントからの非TLSマウントを拒否する一方で、他のエクスポートポリシールールには影響を与えません。
*ストレージとクライアント間の信頼関係構築のための相互クライアント認証（mTLS）。*ゼロトラストネットワークの原則に基づいて運用している場合、またはストレージコントローラが接続するすべてのクライアントのホストIDを検証することを義務付けるセキュリティ強化要件がある場合は、LIFごとの相互TLSオプションを使用してください。 -enforce-host-auth true`に設定します。 `vserver nfs tls interface enable`または `vserver nfs tls interface modify。ONTAPは、TLSハンドシェイク時に、接続してくる各クライアントのX.509証明書をSVMにインストールされている認証局（CA）の信頼チェーンに対して検証し、信頼できる証明書を提示しないクライアントを拒否します。これにより、「登録済みのホスト群のみがこのNFS LIFにアクセスできる」という暗号化による強制が可能になり、既存のエクスポートポリシーホストフィルタに加えて機能します。
ワークロード
暗号化は無料ではありません。TLSハンドシェイクには測定可能なコストがかかり、TLSレコードの暗号化はすべてのRPCにオーバーヘッドを追加します。パフォーマンスへの影響は、ワークロード、プラットフォーム、およびハードウェアオフロードが利用可能かどうかによって大きく異なります。詳細については、"Performance"を参照してください。
ワークロードパターン
安定したクライアント数を持つ、長期間稼働するNFSマウントは最適です。TLSハンドシェイクは、マウント時とセッション再確立時に発生する接続ごとのコストです。一度マウントすると数時間または数日間マウント状態を維持する、小規模で安定したクライアント群であれば、そのコストを問題なく吸収できます。
例えば、DNSレコードを自分で管理するなどして、LIFとホスト名のマッピングを既に適切に管理している場合、TLS経由のNFSのプロビジョニングは容易です。この機能はLIFごとに設定されます。LIFの完全修飾ドメイン名（FQDN）と一致するコモンネーム（CN）を持ち、サブジェクト代替名（SAN）リストにLIFのIPアドレスを含むサーバー証明書をインストールします。
NFS over TLS は、ネットワーク上の機密性、サーバーの身元確認、そして必要に応じてクライアントホストの身元確認がセキュリティ要件となる場合に最適なツールです。これらはまさに TLS が提供する特性です。
ワークロードのアンチパターン
接続チャーンが高い場合や大規模なマウントストームが発生する場合は、適していません。新しい TLS 接続ごとに、非対称暗号化、証明書の検証、およびオプションの mTLS チェーン検証を含む TLS 1.3 ハンドシェイクコストが発生します。多数のクライアントがマウントし、少量の作業を行い、アンマウントして繰り返し再接続すると、ハンドシェイクのコストを償却するのではなく、何度も支払うことになります。