Microserverで快調に動いているFreeNASにディスクを追加してみました。
目的は万が一空き巣にでも入られてHDDを持ち去られた場合に備えて、FreeNAS8.3.1で追加された暗号化を適用したいということです。全領域を暗号化するには一旦中身をバックアップしないといけないので、まずは外付けディスク以外に内蔵ディスクでもバックアップをとることにしました。
４本ある３．５インチベイのうち、すでに２ＴＢ×２でRAID1によるミラーリングで２本、初めからついてきた２５０ＧＢの作業領域で１本使っていますので、残りの１本に新たに買ってきた２ＴＢのHDDを取り付けて電源ONしました。
暗号化ボリュームの取扱いになれるのを兼ねて、バックアップ領域も暗号化を適用してみます。
１．ボリュームの作成
ボリュームマネージャでバックアップ領域としてボリュームを作成します。
ボリューム名に「BACKUP」、メンバディスクは今回追加した ada3(2.0TB) を選択、ファイルシステムはZFSを選択、ZFS選択後に出てくる「Enable full disk encryption」を選択して「ボリュームを追加」を押します。
この時点でシェルから今回のディスクにアクセスが可能になります。
/mnt # rsync -av /mnt/DATA/ /mnt/BACKUP/
として、データを丸ごとコピーします。
２．パスフレーズの設定等
※暗号化鍵やパスフレーズ、リカバリキーは厳重に保管する必要があります。
１）パスフレーズの設定
ストレージのレポートから追加したボリュームの右の方の鍵のマーク（鍵だけのマークで下記の画面コピーでは右から５番目のもの）をクリックして、パスフレーズを設定します。
２）リカバリ鍵の設定
上記アイコンのうち、「＋」と「－」のついた右の二つをつかってリカバリ鍵の追加と削除ができます。追加したリカバリ鍵はパスフレーズを忘れてしまった際にパスフレーズの代わりに使うことができます。
３）暗号化鍵のダウンロード
上記アイコンのうち、左から２番目の「↓」がついたボタンを使うと、暗号化鍵のコピーをダウンロードできます。
４）暗号化鍵の変更
上記アイコンのうち、真ん中のものを使うと、暗号化鍵を再生成することができます。再生成には現状のパスフレーズが必要です。暗号化鍵が漏洩したと思われる場合に暗号化鍵を変更するために使用します。
３．あまりに遅い？？
・・・ここまで終わったところで、rsyncの状況を確認したところ、30分で40GB程度の進捗。計算すると、20MB/s程度しか出ていません。これだと1.4TB＝1400GBコピーし終わるのは18時間後になってしまいます。AESによる暗号化処理をハードウェアでサポートするAESｰNIがCPUで持っていないと非常に遅くなる、とは書いてありましたが、20MB/sではあまりに遅すぎます。
一旦 rsync を中止しして、あらためて暗号化無しでボリュームを作成して転送してみると、20分で46GB程度の進捗ですので、暗号化を行うと半分強くらいまでスループットが落ちてしまうようです。
これだとrsyncが遅いだけかもしれませんので、簡単に速度の比較をしてみることにしました。
まず、FreeNAS上にWindows共有を２つ用意しました。片方は暗号化無しの250GBのHDD上のボリューム、もう片方は暗号化ありの2TBのHDD上のボリュームです。
ここにトータル600MB、3000個のファイル（大きなPDFからデジカメの写真など適当なファイルです）を書き込んでみました。先に暗号化無しの方に書き込むと141秒かかりましたので、4.25MB/sということになります。次に暗号化有りの方に書き込むと120秒で終わってしまいましたので、5.0MB/sということにないました。
次に各種Linuxディストリビューションファイルを3.85GB書き込んでみます。今度は先に暗号化有りの方から書き込んでみたところ108秒かかりましたので35.6MB/sということになります。次に暗号化無しの方に書き込んで見たところ73秒で終わりましたので52.7MB/sということになります。
この結果からすると、大きなファイル中心の書き込みは影響を受けてしまいそうですが、細かいファイル中心の場合にはディスクの性能の方が効いてきそうな感じです。
今日のところはここまでにして、とりあえず rsync でバックアップが取り終わるのを放置して待つことにします。