ceph - CEPH，通过 Internet 运行集群

Question

在 Internet 上运行 CEPH 集群时是否存在安全问题？

我无法直接找到使其无法用于此用例的东西。我不需要低 I/O 响应时间，我很好。

多谢你们。

Answer 1

虽然集群守护进程的身份验证由 cephx 处理，但流量并未加密。

所以是的，存在安全问题。

Answer 2

CEPH 建议您的集群不要面向 Internet。

我们建议使用两个网络运行 Ceph 存储集群：公共（前端）网络和集群（后端）网络。

他们建议将您的集群放在后端，因为它可以提高性能（这对您的用例而言并不重要），而且还有安全性：将它放在后端有助于抵御 DoS 攻击。

虽然大多数人通常是平民，但只有极少数人喜欢参与所谓的拒绝服务 (DoS) 攻击。当 Ceph OSD 守护进程之间的流量中断时，归置组可能不再反映活动 + 清洁状态，这可能会阻止用户读取和写入数据。击败此类攻击的一个好方法是维护一个不直接连接到 Internet 的完全独立的集群网络。

（来源）

Answer 3

我最终使用了 TincVPN，它易于设置并使用公钥/私钥连接我的所有节点。

但正如我被告知的那样，这不是一个好的用例，但它确实有效，所以嗯。