NAS verschlüsseltes volume remote entsperren

[lordpeng]

>Ja wieso will der Kunde das nicht am Gerät entsperren?
das soll nicht deine sorge sein ... hat aber einerseits was damit zu tun, dass es eine hohe mitarbeiterfluktuation gibt

>Schon mal daran gedacht das man Daten auch umleiten kann?
das ist keine option

[Riddik]

erste Reihe sitz.....

@lordpeng
deine Geduld ist schon bemerkenswert

[dadaniel]

Ein Script am NAS erstellen das nach dem Hochfahren zuerst den Schlüssel via wget von deinem via VPN verbundenen Server abholt und z.B. unter /tmp/mykey.key ablegt, dann

/sbin/cryptsetup luksOpen /dev/sdc3 encdisk --key-file=/tmp/mykey.key

Hab ich auf die schnelle via Google im QNAP Forum gefunden...

[kleinem]

Nachdem es anscheinend auch die Anforderung/Präferenz gibt commodity Hardware zu verwenden, möchte ich dir noch FreeNAS ans Herz legen.

pros:
ZFS!
-> NFSv4acls
-> AES encryption (nicht sicher inwieweit durch FreeNAS frontend unterstützt)
AD Integration
Gibts auch als Enterprise Appliance mit entsprechendem support. (genannt TrueNAS)
OpenSource
basiert auf BSD
uvm..

contra:
"DIY"
community support (siehe TrueNAS referenz oben)
Hardware ~300€ Teurer als eine Vergleichbare Synology (zumindest mein Build mit desginercase und fanless PSU)
Für feintuning v. services oder Parametern u.U. fricklerei im OS notwending


Du kannst es dir ja zumindest mal in einer VM anschauen...

[lordpeng]

falls das noch jemanden interessieren sollte, ich habe es mit einem QNAP NAS gelöst, das in einer unveränderten Konfiguration vorliegt, dadurch ist gewährleistet, dass das ganze einen möglichst kleinen Footprint hat und auch nach Firmware updates vom NAS weitestgehend problemlos funktionieren sollte

der lock/unlock befehl wird zeitgesteuert von einem remote Server auf der anderen seite des VPN's via plink am nas ausgeführt

das ganze sieht dann in der Praxis so aus

Unlock des verschlüsselten Volumes

Code: Alles auswählen

plink -batch -l ADMIN -pw PASSWORT IP-NAS 'qcli_encrypt -u volumeID=1 unlock_type=0 keyStr=GEHEIMERKEY sid=`qcli -l user=ADMIN pw=PASSWORT |grep sid |cut -d ' ' -f 3`'

Lock des verschlüsselten Volumes

Code: Alles auswählen

plink -batch -l ADMIN -pw PASSWORT IP-NAS 'qcli_encrypt -l volumeID=1 sid=`qcli -l user=ADMIN pw=PASSWORT |grep sid |cut -d ' ' -f 3`'

Status des verschlüsselten Volumes abfragen

Code: Alles auswählen

plink -batch -l ADMIN -pw PASSWORT IP-NAS 'qcli_volume -i sid=`qcli -l user=ADMIN pw=PASSWORT |grep sid |cut -d ' ' -f 3`'

falls jemand sowas mal nachbauen will, man braucht ein QNAP NAS das Festplattenverschlüssellung unterstützt, weiters braucht man einen remote rechner der das Kommando ausführt, in meinem fall ist das ein Windows Server auf dem plink zeitgesteuert aufgerufen wird um das Kommando via sicherer SSH Verbindung an das zu NAS schicken