Isilon: OneFS Konfigurowanie zasad SyncIQ w celu korzystania z szyfrowania SSL

Summary: Kroki tworzenia, weryfikowania i używania certyfikatów SSL z zasadami SyncIQ w wersji 8.2 i nowszych.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

W nawiązaniu do artykułu bazy wiedzy firmy Dell nr 153928: DSA-2020-039: Aktualizacja zabezpieczeń Dell Isilon OneFS dotycząca luki w zabezpieczeniach SyncIQ oraz wymóg korzystania z SyncIQ wraz z szyfrowaniem SSL.

Poniżej znajdują się kroki, jak skonfigurować to w laboratorium.

Nuta:    

  1. Certyfikaty użyte poniżej są tworzone w laboratorium przy użyciu narzędzia OpenSSL. Klienci mogą jednak swobodnie korzystać z własnych certyfikatów w zależności od określonych wymagań dotyczących zabezpieczeń.
  2. W naszym przykładzie okres ważności jest ustawiony na 365 dni (jeden rok). Postępuj zgodnie z aktualnymi standardami branżowymi i lokalnymi zasadami bezpieczeństwa podczas wprowadzania długości okresu ważności, typu klucza, rozmiaru klucza i algorytmu mieszania
  3. Wszystkie wygenerowane certyfikaty, w tym certyfikat urzędu certyfikacji (CA), muszą mieć unikatową wartość nazwy pospolitej (CN).


Procedura:      

  1. Utwórz certyfikat CA z podpisem własnym:       
Source-1# mkdir /ifs/data/Isilon_Support/synciq_certs
Source-1# chmod 700 /ifs/data/Isilon_Support/synciq_certs
Source-1# cd /ifs/data/Isilon_Support/synciq_certs
Source-1# openssl req -new -newkey rsa:4096 -sha256 -nodes -out ca.csr -keyout ca.key
Source-1# openssl x509 -days 365 -trustout -signkey ca.key -req -in ca.csr -out ca.crt
Signature ok
subject=/C=XX/ST=Some-State/L=city/O=XXXX/OU=section/CN=isilon.lab
Getting Private key
Source-1# openssl x509 -in ca.crt -outform PEM -out ca.pem
Source-1# ls ca*
ca.crt  ca.csr  ca.key  ca.pem
  1. Utwórz certyfikat źródłowy "certyfikatem podrzędnym" i podpisz go względem urzędu certyfikacji utworzonego w kroku 1.
Source-1# openssl req -new -newkey rsa:4096 -sha256 -nodes -out source.csr -keyout source.key
Source-1# openssl x509 -days 365 -req -in source.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out source.crt
Signature ok
subject=/C=XX/ST=Some-State/L=city/O=XXXX/OU=section/CN=source.isilon.lab
Getting CA Private Key
Source-1# openssl x509 -in source.crt -outform PEM -out source.pem
Source-1# ls source*
source.crt      source.csr      source.key      source.pem
Source-1# openssl verify -CAfile ca.pem source.pem
source.pem: OK
  1. Utwórz certyfikat docelowy "certyfikatem podrzędnym" i podpisz go względem urzędu certyfikacji utworzonego w kroku 1.
Source-1# openssl req -new -newkey rsa:4096 -sha256 -nodes -out target.csr -keyout target.key
Source-1# openssl x509 -days 365 -req -in target.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out target.crt
Signature ok
subject=/C=XX/ST=Some-State/L=city/O=XXXX/OU=section/CN=target.isilon.lab
Getting CA Private Key
Source-1# openssl x509 -in target.crt -outform PEM -out target.pem
Source-1# ls target*
target.crt      target.csr      target.key      target.pem
Source-1# openssl verify -CAfile ca.pem target.pem
target.pem: OK
  1. Skopiuj wymagane certyfikaty i klucze do klastra docelowego. 
Target-1# mkdir /ifs/data/Isilon_Support/synciq_certs
Source-1# scp target.* xxx.xxx.xxx.xxx:/ifs/data/Isilon_Support/synciq_certs
Source-1# scp source.pem xxx.xxx.xxx.xxx:/ifs/data/Isilon_Support/synciq_certs
Source-1# scp ca.pem xxx.xxx.xxx.xxx:/ifs/data/Isilon_Support/synciq_certs

W klastrze źródłowym:     

  1. Utwórz zasadę SyncIQ na potrzeby testowania:     
Source-1# mkdir /ifs/data/<test-dir-name>
Source-1# isi sync policies create --name=Test_SSL --source-root-path=/ifs/data/<test-dir-name> --target-host=xxx.xxx.xxx.xxx --target-path=/ifs/data/<test-dir-name> --action=sync
  1. Zaimportuj certyfikat CA do magazynu certyfikatów Isilon. 
Source-1# isi certificate authority import --name=CA_Sync --certificate-path=/ifs/data/Isilon_Support/synciq_certs/ca.pem 
  1. Zaimportuj certyfikat źródłowy i klucz do magazynu certyfikatów serwera SyncIQ, a następnie zaktualizuj globalną konfigurację SyncIQ przy użyciu identyfikatora zaimportowanego certyfikatu.
Source-1# isi sync certificates server import --certificate-path=/ifs/data/Isilon_Support/synciq_certs/source.pem --certificate-key-path=/ifs/data/Isilon_Support/synciq_certs/source.key
Source-1# isi sync certificates server list -v
          ID: e0a3377a5ed27808bbd8eba759d90335060ac53dc6f4da1f15fcb6c44ac743a8
        Name:
 Description:
     Subject: C=XX, ST=Some-State, L=city, O=XXXX, OU=section, CN=source.isilon.lab
      Issuer: C=XX, ST=Some-State, L=city, O=XXXX, OU=section, CN=isilon.lab
      Status: valid
  Not Before: 2020-05-03T08:27:42
   Not After: 2025-05-03T08:27:42
Fingerprints
            Type: SHA1
           Value: b5:d1:21:30:a6:b5:ed:79:65:7d:e6:e3:6f:10:a8:23:63:81:2b:1c

            Type: SHA256
           Value: e0:a3:37:7a:5e:d2:78:08:bb:d8:eb:a7:59:d9:03:35:06:0a:c5:3d:c6:f4:da:1f:15:fc:b6:c4:4a:c7:43:a8

Source-1# isi sync settings modify --cluster-certificate-id=e0a3377a5ed27808bbd8eba759d90335060ac53dc6f4da1f15fcb6c44ac743a8
  1. Zaimportuj certyfikat docelowy do magazynu certyfikatów równorzędnych SyncIQ.
Source-1# isi sync certificates peer import --certificate-path=/ifs/data/Isilon_Support/synciq_certs/target.pem
Source-1# isi sync certificates peer list -v
          ID: 3180c616bae639c27b422f0c4608855d6888f20327ca85e9e869733e85bf5b06
        Name:
 Description:
     Subject: C=XX, ST=Some-State, L=city, O=XXXX, OU=section, CN=target.isilon.lab
      Issuer: C=XX, ST=Some-State, L=city, O=XXXX, OU=section, CN=isilon.lab
      Status: valid
  Not Before: 2020-05-03T08:43:06
   Not After: 2025-05-03T08:43:06
Fingerprints
            Type: SHA1
           Value: 8e:12:52:c1:8c:12:1d:f8:ed:cf:da:8e:3d:3c:a3:47:21:79:43:0d

            Type: SHA256
           Value: 31:80:c6:16:ba:e6:39:c2:7b:42:2f:0c:46:08:85:5d:68:88:f2:03:27:ca:85:e9:e8:69:73:3e:85:bf:5b:06
  1. Zmodyfikuj zasady SyncIQ w celu użycia identyfikatora zaimportowanego certyfikatu docelowego
Source-1# isi sync policies modify --policy=Test_SSL --target-certificate-id=3180c616bae639c27b422f0c4608855d6888f20327ca85e9e869733e85bf5b06

Na cel:      

  1. Zaimportuj certyfikat CA do magazynu certyfikatów Isilon.
Target-1# isi certificate authority import --name=CA_Sync --certificate-path=/ifs/data/Isilon_Support/synciq_certs/ca.pem
  1. Zaimportuj certyfikat źródłowy do magazynu certyfikatów równorzędnych SyncIQ.
Target-1# isi sync certificates peer import --certificate-path=/ifs/data/Isilon_Support/synciq_certs/source.pem
  1. Zaimportuj certyfikat docelowy i klucz do magazynu certyfikatów serwera SyncIQ, a następnie zaktualizuj globalną konfigurację SyncIQ przy użyciu identyfikatora zaimportowanego certyfikatu.
Target-1# isi sync certificates server import --certificate-path=/ifs/data/Isilon_Support/synciq_certs/target.pem --certificate-key-path=/ifs/data/Isilon_Support/synciq_certs/target.key
Target-1# isi sync certificates server list -v
          ID: 3180c616bae639c27b422f0c4608855d6888f20327ca85e9e869733e85bf5b06
        Name:
 Description:
     Subject: C=XX, ST=Some-State, L=city, O=XXXX, OU=section, CN=target.isilon.lab
      Issuer: C=XX, ST=Some-State, L=city, O=XXXX, OU=section, CN=isilon.lab
      Status: valid
  Not Before: 2020-05-03T08:43:06
   Not After: 2025-05-03T08:43:06
Fingerprints
            Type: SHA1
           Value: 8e:12:52:c1:8c:12:1d:f8:ed:cf:da:8e:3d:3c:a3:47:21:79:43:0d

            Type: SHA256
           Value: 31:80:c6:16:ba:e6:39:c2:7b:42:2f:0c:46:08:85:5d:68:88:f2:03:27:ca:85:e9:e8:69:73:3e:85:bf:5b:06

Target-1# isi sync settings modify --cluster-certificate-id=3180c616bae639c27b422f0c4608855d6888f20327ca85e9e869733e85bf5b06


Na źródle:       

  1. Uruchom zasady SyncIQ i potwierdź, że zakończyły się pomyślnie. 
Source-1# isi sync jobs start  Test_SSL
2020-05-03T08:56:05+0000 Source-1 siq_coord[14712]coord: Job specified by name Test_SSL
2020-05-03T08:56:05+0000 Source-1 siq_coord[14712]coord[Test_SSL:1588496165]: Starting job 'Test_SSL' (e5fc89d623dda31b58437c86c59cbdfb)
2020-05-03T08:56:05+0000 Source-1 siq_coord[14712]coord[Test_SSL:1588496165]: Cipher being used for encryption: AES256-GCM-SHA384
...
...
...
2020-05-03T08:56:10+0000 Source-1 siq_coord[14712]coord[Test_SSL:1588496165]: Finished job 'Test_SSL' (e5fc89d623dda31b58437c86c59cbdfb) to xxx.xxx.xxx.xxx in 0h 0m 5s with status success and 0 checksum errors

Uwagi:       

  • Każdy klaster ma jedencertyfikat, który działa jako certyfikat klastra z magazynu serwerów "# isi sync settings modify --cluster-certificate-id."
  • Każda zasada domyślnie używa certyfikatu klastra jako certyfikatu źródłowego.
  • W magazynie równorzędnym zaktualizuj unikatowy certyfikat klastra docelowego.
  • Skonfiguruj zasady tak, aby używały odpowiedniego certyfikatu obiektu docelowego "imported in the peer certificate."
  • W przypadku użycia extv3 w certyfikacie należy zapoznać się z następującym artykułem, artykuł bazy wiedzy firmy Dell nr 186531: Zaszyfrowane zasady SyncIQ kończą się niepowodzeniem z komunikatem "sslv3 alert unsupported certificate".

Affected Products

PowerScale OneFS, Isilon SyncIQ
Article Properties
Article Number: 000021507
Article Type: How To
Last Modified: 11 Dec 2025
Version:  12
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.