Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

ONTAP TLSハードウェアオフロードを設定する

共同作成者 netapp-andreajost netapp-dbagwell
PDF

ONTAP 9.19.1以降では、サポートされているイーサネットカードのリソースを使用することで、TLSオフロードを設定してTLSハンドシェイク後のパフォーマンスを向上させることができます。この機能は暗号化と復号化の処理をオフロードすることで、CPU負荷を軽減し、パフォーマンスを向上させます。

TLSオフロードは、KTLSを使用するトラフィックに対してのみ有効にできます。この設定は、TLSが有効になっているすべてのトラフィックに適用されるわけではありません。HTTPSやREST APIトラフィックなどの管理トラフィックは、この設定の影響を受けません。HAトラフィックはサポートされていません。

タスク概要

  • TLSオフロードはデフォルトで無効になっています。

  • オフロードされるのは、AES-GCM暗号スイート（TLSv1.2/TLSv1.3、128/256ビット）のみです。

  • TLSハンドシェイクフェーズはオフロードされません。オフロードされるのは、ハンドシェイク後のデータフェーズのみです。

  • ネットワーク論理インターフェース（LIF）をオフロード機能のないポートに移行すると、自動的にソフトウェアによるフォールバックが発生します。

    TLSオフロード接続の場合、TLS暗号化処理は通常ソフトウェアを介さずに、オフロード対応のNICによって処理されます。この接続に関連付けられたLIFがTLSオフロード機能のないネットワークポートに移行した場合、暗号化処理はソフトウェアにフォールバックし、システムカーネルによって処理されます。

  • 管理インターフェース（HTTPS、REST API）はこの設定の影響を受けません。

  • TLSハードウェアオフロードは、クラスタ全体の設定です。

  • TLSハードウェアオフロードでは、HAトラフィックはサポートされていません。

サポートされているネットワークカードとプラットフォーム

TLSハードウェアオフロードには、対応するネットワークカードが必要です。以下の表は、プラットフォームごとにサポートされているネットワークカードの一覧です。

プラットフォームファミリー プラットフォーム 対応ネットワークカード

AFF と FAS

AFF A20、AFF A30、AFF A50、AFF C30、AFF C60、FAS50

  • 4ポートCX7 10/25GbE

  • 2ポートCX6-DX 40/100GbE

  • 2ポートCX7 40/100GbE

AFF と FAS

AFF A70、AFF A90、AFF C80、FAS70、FAS90、AFF A1K

  • 2ポートCX6-DX 40/100GbE

  • 2ポートCX7 40/100GbE

  • 2ポートCX7 40/100/200/400 GbE

ASA

ASA A20、ASA A30、ASA A50、ASA C30

  • 4ポートCX7 10/25GbE

  • 2ポートCX6-DX 40/100GbE

  • 2ポートCX7 40/100GbE

ASA

ASA A70、ASA A90、ASA A1K

  • 2ポートCX6-DX 40/100GbE

  • 2ポートCX7 40/100GbE

  • 2ポートCX7 40/100/200/400 GbE

AFX

AFX 1K

  • 2ポートCX6-DX 40/100GbE

  • 2ポートCX7 40/100GbE

  • 2ポートCX7 40/100/200/400 GbE

AFX

AFX 2K

  • 2ポートCX7 40/100/200/400 GbE
サポートされているトラフィックタイプ

次の表は、各トラフィックタイプでTLSハードウェアオフロードがサポートされているかどうかを示しています。

トラフィックタイプ サポート 注記

NVMe/TCP

はい

TLSオフロードをサポートするプラットフォームおよびネットワークカードでサポートされます。

クラスタピアリング暗号化

はい

クラスターネットワーク トラフィックでサポートされています。これにはHAトラフィックは含まれません。

FabricPool

はい

TLSオフロードをサポートするプラットフォームおよびネットワークカードでサポートされます。

S3

はい

TLSオフロードをサポートするプラットフォームおよびネットワークカードでサポートされます。

NFS over TLS

はい、ONTAP 9.19.1 以降

KTLS を使用した ONTAP NFS over TLS トラフィックでサポートされています。

KMIP

いいえ

サポートされていません。

System Manager

いいえ

管理インターフェースはこの設定の影響を受けません。

REST API

いいえ

管理インターフェースはこの設定の影響を受けません。

HAトラフィック

いいえ

TLSハードウェアオフロードはHAトラフィックには適用されません。
メモ ASA システムでは、TLS ハードウェアオフロードは NVMe/TCP トラフィックにのみ適用されます。NFS over TLS、FabricPool、および S3 は ASA プラットフォームではサポートされていません。
メモ AFX プラットフォームでは、TLS ハードウェアオフロードは NFS over TLS および S3 フロントエンド トラフィックタイプをサポートしています。AFX は SAN/ブロックプロトコルをサポートしていないため、AFX プラットフォームでは NVMe/TCP はサポートされていません。
開始する前に

  • 次のタスクを実行するには、 `admin`権限レベルの ONTAP 管理者である必要があります。

  • すべてのノードでONTAP 9.19.1以降が実行されている必要があります。

TLSオフロードを有効または無効にする

手順

  1. 現在のTLSオフロードステータスを表示します：

    security config show

    このコマンドは、クラスタ全体のTLSオフロード設定を表示します：

    cluster1::*> security config show
Cluster    Supported Offload
FIPS Mode  Protocols Enabled Supported Cipher Suites
---------- --------- ------- --------------------------------------------------
false      TLSv1.3,  false   TLS_RSA_WITH_AES_128_CCM,
           TLSv1.2           TLS_RSA_WITH_AES_128_CCM_8,
                             TLS_RSA_WITH_AES_128_GCM_SHA256,
                             TLS_RSA_WITH_AES_128_CBC_SHA,
                             TLS_RSA_WITH_AES_128_CBC_SHA256,
                             TLS_RSA_WITH_AES_256_CCM,
[...]

  2. TLSオフロードを有効または無効にする：

    security config modify * -is-offload-enabled {true|false}

    このコマンドは、新規接続時のTLSデータフェーズにおけるハードウェアオフロードを有効または無効にします。TLSオフロード機能を有効にする前に作成された既存の接続は、それらの接続が削除されて再作成されるまでオフロードされません。

関連情報