Como exportar com segurança um dispositivo (HDD)?

Question

Então eu tenho uma máquina do Scientific Linux 6.3 (clone do RHEL então basicamente a questão é relacionada ao Redhat) chamada "B" (com um HDD "A" extra além do HDD do sistema) e um notebook com SL 6.3. Eles estão em uma sub-rede IPv4 / 24 e podem alcançar completamente um ao outro.

Q : Como exportar o dispositivo "A" HDD para o notebook, para que no notebook eu possa ver o HDD "A" como um dispositivo / HDD /? (e criptografar localmente usando o LUKS - eu conheço esta última parte de criptografia)

O importante é que eu preciso que a conexão seja segura (SSL?) para que ninguém possa interceptar os dados que eu criptografo no notebook. OU : ele já está criptografado via LUKS? (e uma conexão SSL entre o notebook e a máquina "B" seria apenas uma sobrecarga?) - extra: também preciso que a "exportação do dispositivo" seja roteada pela rede.

ps .: então a questão principal é: a comunicação criptografada é necessária entre o notebook e a máquina "B" ou TODOS os dados no HDD já estão criptografados ao sair do notebook (mesmo o LUKS pwd também?)

    

Answer 1

O iSCSI Enterprise Target (iet) é o que você quer.

No final do servidor, você diz ao Iet para pegar um arquivo ou dispositivo de bloco e expô-lo como um alvo iSCSI.

No final do cliente, você executa um iniciador iSCSI. Você poderá montar o alvo como um dispositivo de bloco, por exemplo, /dev/iscsi_target_1

Você pode usar esse /dev/iscsi_target_1 e criptografá-lo usando cryptsetup ou truecrypt do seu lado. Somente os dados criptografados vão e voltam pela sessão iSCSI, semelhante a como apenas dados criptografados passariam por um SATA ou outro link de armazenamento na mesma situação com um dispositivo conectado localmente.

Algo um pouco mais simples que pode funcionar para você também: basta criar um arquivo grande no servidor e compartilhá-lo usando NFS ou samba e usar truecrypt para criptografá-lo no cliente final - a criptografia / descriptografia ocorre no sistema truecrypt está sendo executado e nenhum dado não criptografado seria transferido. Eu acredito que você também poderia montar esse arquivo grande como um dispositivo de loopback e usar cryptsetup para fazer um volume LUKS.

    

Answer 2

Como os dados de exportação são criptografados, você não precisa criptografar o tráfego. Você provavelmente não precisa autenticá-lo também (se houver um homem no meio, sua frase-senha cuidará da autenticação, como se você não fosse apresentado a um dispositivo em que a chave pode ser descriptografada com sua senha; falhar).

Uma solução simples e que funciona na Internet para exportar um dispositivo de bloco é usando o nbd (dispositivo de bloco de rede). Execute um nbd-server no exportado e no nbd-client onde deseja usá-lo. Os dispositivos nbd também podem ser particionados ( modprobe nbd max_part=16 ).

nbd é sobre uma conexão TCP, então você também pode encapsulá-lo em ssh ou openssl (usando socat), ou em SOCKS ou um proxy HTTP ...