隨著互聯(lián)網(wǎng)和網(wǎng)絡(luò)應(yīng)用的迅速普及，社會在感受網(wǎng)絡(luò)所帶來的便利的同時，也面臨著各種各樣的網(wǎng)絡(luò)攻擊和威脅。數(shù)據(jù)表明，我國仍有63．6%的企業(yè)處于“高度風險”級別，每年因網(wǎng)絡(luò)數(shù)據(jù)泄密或破壞導(dǎo)致的經(jīng)濟損失高達上百億。在諸多安全事件中，網(wǎng)絡(luò)邊界和網(wǎng)絡(luò)內(nèi)部出現(xiàn)的安全事故的比例達到了3：7，而文件數(shù)據(jù)破壞或資料外泄70%以上由于內(nèi)網(wǎng)數(shù)據(jù)安全造成的，威脅已從外部轉(zhuǎn)向內(nèi)部。一項關(guān)于企業(yè)信息安全調(diào)查結(jié)果顯示，企業(yè)機密泄露的30%～40%是由電子文件的泄露造成的，而《財富》排名前1 000名的公司，每次電子文檔泄露造成的損失約400萬美元。盡管每年企業(yè)界花費大量資金防毒防黑，但企業(yè)防御失效的另一個容易被忽略的問題是來自員工、廠商或其他合法使用系統(tǒng)者的內(nèi)部濫用，所以，內(nèi)網(wǎng)數(shù)據(jù)文件存儲安全問題仍然嚴峻。

    根據(jù)企業(yè)內(nèi)網(wǎng)海量數(shù)據(jù)存儲系統(tǒng)的特點和數(shù)據(jù)存儲安全需求，我們首先設(shè)計基于多協(xié)議的安全文件系統(tǒng)(MPSFS)支持不同協(xié)議用戶的訪問，為不同用戶提供統(tǒng)一的訪問接口，實現(xiàn)用戶高效和快速的訪問。同時MPSFS與身份認證和訪問控制相結(jié)合充分保證內(nèi)網(wǎng)數(shù)據(jù)存儲系統(tǒng)的安全性。在此基礎(chǔ)上，通過設(shè)計相應(yīng)安全算法進一步保證系統(tǒng)所存信息的安全性。

1 內(nèi)網(wǎng)海量文件數(shù)據(jù)存儲原型系統(tǒng)MFDSS

    如圖1所示，內(nèi)網(wǎng)海量數(shù)據(jù)存儲原型系統(tǒng)由三部分組成：客戶機、服務(wù)器和存儲設(shè)備，客戶端：1)維護用戶存儲視圖(通過與服務(wù)器端的MPSFS交互)，向應(yīng)用服務(wù)器提交用戶請求并將應(yīng)用服務(wù)器返回的結(jié)果經(jīng)相應(yīng)處理后提供給客戶端；2)iSCSI客戶端在得到服務(wù)器提供的元數(shù)據(jù)后可直接與SD(基于iSCSI的存儲設(shè)備)進行數(shù)據(jù)交互。應(yīng)用服務(wù)器位于存儲網(wǎng)絡(luò)體系結(jié)構(gòu)的中間層：1)與客戶端進行交互。向用戶提供統(tǒng)一的存儲視圖，即統(tǒng)一命名空間；2)通過存儲接口與SD交互，主要負責主機認證、設(shè)備操作認證；3)文件到對象的轉(zhuǎn)換，對象ID的生成(通過Hash對象內(nèi)容)。MFDSS元數(shù)據(jù)分為系統(tǒng)元數(shù)據(jù)，內(nèi)容元數(shù)據(jù)和存儲元數(shù)據(jù)。系統(tǒng)元數(shù)據(jù)包括文件名列表和目錄結(jié)構(gòu)，文件劃分的對象列表，包括對象ID和對應(yīng)的存儲設(shè)備信息等；內(nèi)容元數(shù)據(jù)主要是文件的特征信息，由用戶在客戶編輯生成；存儲元數(shù)據(jù)包括對象的存儲位置、訪問許可權(quán)限、創(chuàng)建時間、對象長度等信息。系統(tǒng)元數(shù)據(jù)和特征元數(shù)據(jù)都位于元數(shù)據(jù)服務(wù)器上，而存儲元數(shù)據(jù)和對應(yīng)的對象位于對象存儲設(shè)備上。元數(shù)據(jù)服務(wù)器功能：1)元數(shù)據(jù)定義和管理；2)元數(shù)據(jù)和存儲對象之間的映射；3)對多個SD存儲設(shè)備和資源進行有效的統(tǒng)一管理和優(yōu)化，并根據(jù)應(yīng)用的不同和應(yīng)用程序的具體需求，安排與應(yīng)用程序相適應(yīng)的SD存儲設(shè)備，使應(yīng)用程序得到最優(yōu)的存儲資源分配。

    在傳統(tǒng)的文件系統(tǒng)中，元數(shù)據(jù)由本機或者文件服務(wù)器負責維護，每次對數(shù)據(jù)塊的操作都要獲取元數(shù)據(jù)。當操作頻繁發(fā)生時，元數(shù)據(jù)操作就成為整個系統(tǒng)的瓶頸，限制了系統(tǒng)的擴展，這一現(xiàn)象在NAs系統(tǒng)中非常明顯。在MFDSS系統(tǒng)中，由于每次操作只有一次對元數(shù)據(jù)的訪問，具體的數(shù)據(jù)傳輸都由SD和客戶端或者經(jīng)應(yīng)用服務(wù)器連接進行，大大減少了元數(shù)據(jù)的操作，降低了元數(shù)據(jù)服務(wù)器(MDS)的負擔，從而為系統(tǒng)的擴展提供了可能性。為了增強系統(tǒng)的安全性，MDS為客戶端提供認證與授權(quán)(對敏感數(shù)據(jù)的元數(shù)據(jù)保護)。SD將依據(jù)MDS提供的授權(quán)來決定是否為客戶端提供服務(wù)。

圖1 MFDSS模型

2 基于共享的多協(xié)議安全文件系統(tǒng)的設(shè)計

    2．1多協(xié)議并行安全文件系統(tǒng)

    多協(xié)議文件系統(tǒng)(MPSFS)保留了分布式文件系統(tǒng)的靈活性和高性能的優(yōu)點，而克服了其擴展性、并發(fā)訪問和安全性方面的缺陷。與傳統(tǒng)文件系統(tǒng)同的是MPSFS提供文件存取的方法和接口外，其組成的基本部件是存儲卷。每種存儲卷除包含文件目錄結(jié)構(gòu)外，還包含特定的存儲模式。每種存儲模式包含某種文件系統(tǒng)的元數(shù)據(jù)結(jié)構(gòu)(如NTFS中的MFT、Unix中的inode以及文件系統(tǒng)中的文件分配表等，它們在存儲卷提供的邏輯存儲空間中分配)、操作接口(文件類型和數(shù)據(jù)塊類型)、功能函數(shù)集(格式化，檢索等)、優(yōu)化方法(cache方法和預(yù)取等)和存儲空間分配回收方法(以卷為單位，塊空間的分配與回收由SD完成)及數(shù)據(jù)結(jié)構(gòu)。

    MPSFS是企業(yè)內(nèi)網(wǎng)MFDSS系統(tǒng)的核心，其結(jié)構(gòu)如圖2所示。它由全局nfsd(Gnfsd)、全局iSCSId(GiSCSld)、samba模塊、管理分區(qū)、MFDSS配置表、虛擬分區(qū)(邏輯卷)映射表、用戶訪問權(quán)限表、全局緩存與鎖管理器以及相應(yīng)的接口等組成。

圖2 MPSFS的結(jié)構(gòu)圖

    Gnfsd是NFS后臺程序的擴展程序模塊并與NFS完全兼容。它從Unix客戶端接收文件i／o請求，并把它發(fā)到適當?shù)腘FS服務(wù)器。盡管Gnfsd仿真了NFS后臺程序并且與NFS完全兼容，但它是輕量級的后臺擴展程序，所以結(jié)構(gòu)非常簡單，對MFDSS的性能影響很小。GiSCSId是服務(wù)器端的iSCSI設(shè)備驅(qū)動程序的擴展程序模塊，它從iSCSI客戶端接收塊I／O請求，并把它轉(zhuǎn)發(fā)到適當?shù)膇SCSI目的設(shè)備端。它是一個后臺進程模塊，結(jié)構(gòu)也很簡單。Samba是Unix下的一個資源共享軟件包，它主要用于配置實現(xiàn)Unix或Linux與Windows下的資源共享，即Windows客戶必須通過samba才能共享Unix或Linux系統(tǒng)下的資源。當一個Windows客戶發(fā)一個SMB請求到MFDSS，Samba收到這SMB請求，并通過Gnfsd發(fā)送這SMB請求到NFS后臺程序。管理分區(qū)主要存放MFDSS的元數(shù)據(jù)信息，包括向用戶提供的統(tǒng)一文件視圖信息和各個文件的入口信息，以及緩沖MFDSS元數(shù)據(jù)服務(wù)器的元數(shù)據(jù)信息等。如圖2所示，在管理分區(qū)中卷，它僅提供了該卷到一個特定的數(shù)據(jù)卷入口，數(shù)據(jù)卷的文件和目錄對應(yīng)的元數(shù)據(jù)信息則存放在MFDSS的元數(shù)據(jù)服務(wù)器中。配置表提供了MFDSS中所有存儲設(shè)備(SD)和基于iSCSI的存儲設(shè)備(SD)的主機名、人口點及對外獨立的IP地址信息。獨立的IP地址便于存儲設(shè)備與客戶端或者用戶直接進行數(shù)據(jù)通信換。虛擬分區(qū)(邏輯卷)映射表主要提供虛擬分區(qū)或邏輯卷與數(shù)據(jù)卷的映射關(guān)系。它通過兩級映射指明某個文件存放在哪個數(shù)據(jù)卷中。訪問權(quán)限表提供到MFDSS認證服務(wù)器的用戶訪問權(quán)限體的入口，即當用戶在客戶端認證通過后，MPSFS通過訪問權(quán)限表提供的入口信息訪問認證服務(wù)器對應(yīng)的訪問權(quán)限體中該用戶的訪問權(quán)限記錄，通過該記錄的內(nèi)容向用戶提供存儲視圖。身份認證和訪問控制模塊位于認證服務(wù)器上，負責用戶的身份認證和訪問控制相關(guān)的內(nèi)容。內(nèi)容管理和內(nèi)容搜索引擎模塊主要負責存儲系統(tǒng)中海量信息的管理和優(yōu)化，以及保證用戶信息的快速檢索。

    MPSFS能按訪問權(quán)限為不同的用戶或組提供不同的存儲訪問視圖，即某一用戶或組對某些文件或卷有訪問權(quán)限。他們的存儲視圖中只能看到這些文件和存儲卷。這在一定程度上能保證用戶所存信息的安全性，但如果某人非法竊取一個用戶或組的口令或密碼，并冒充該用戶或組成員去訪問或破壞對應(yīng)存儲視圖中的信息，可以使用戶在MFDSS中所存信息的安全性和可用性遭受破壞。為解決此問題，一方面通過身份認證和訪問控制保證系統(tǒng)中用戶所存數(shù)據(jù)的安全性，另一方面安全算法保證用戶所存數(shù)據(jù)的安全性。

    2．2基于MPSFS的用戶身份認證

    在MFDSS中，對用戶身份的認證是經(jīng)過專門的認證服務(wù)器來完成。認證服務(wù)器對用戶身份的認證是根據(jù)其內(nèi)部所存的多個證書文件來進行的，其證書文件的結(jié)構(gòu)如圖3所示：

圖3 MFDSS證書文件

    證書文件ID唯一地標識證書文件。一個證書文件包括多個清單，每個清單由用戶ID、用戶HMAc密鑰、用戶公鑰，用戶口令和時間戳組成。用戶ID標明該清單后各項所屬的用戶或組；用戶公鑰存儲在認證服務(wù)器上，方便用戶需要時便于查尋；口令是認證服務(wù)器使用來認證用戶的身份；HMAC密鑰被用來檢驗用戶所寫入存儲網(wǎng)絡(luò)數(shù)據(jù)信息的完整性以及對用戶的身份的校驗。用戶的HMAC密鑰和用戶的口令是被加密存放在認證服務(wù)器的非易失存儲器中。當認證服務(wù)被啟動時，證書文件被裝載到其內(nèi)存中，HMAC和用戶口令被解密并且緩存在易失內(nèi)存中。時間戳域記錄用戶修改HMAc密鑰和或修改其口令的時間。其認證過程如圖4所示。

    ①客戶端向MFDSS應(yīng)用服務(wù)器申請服務(wù)之前，首先需要認證服務(wù)器(authentication server)驗證自己的身份；

    ②認證服務(wù)器向客戶端發(fā)確認信息；

    ③認證服務(wù)器向MFDSS應(yīng)用服務(wù)器發(fā)放被認證客戶訪問授權(quán)信息；

    ④應(yīng)用服務(wù)器根據(jù)該用戶的訪問權(quán)限向被認證客戶端提供其對應(yīng)的存儲視圖；

    ⑤用戶在客戶端根據(jù)存儲視圖對MFDSS中的文件或存儲卷進行相應(yīng)的訪問

    這時，用戶可選擇相應(yīng)的加密算法在客戶端對自己所存文件進行加密，并在客戶端對自己所讀加密文件進行解密。在MFDSS原型系統(tǒng)中，認證服務(wù)器和元數(shù)據(jù)服務(wù)器是同一個服務(wù)器。

圖4 MFDSS中的客戶認證

    在MFDSS認證服務(wù)器中。除存放用戶證書文件以外，還存放有用于區(qū)分用戶訪問權(quán)限的數(shù)據(jù)庫。每個用戶在MFDSS中注冊時，MFDSS都要為該用戶生成一條該用戶的訪問權(quán)限記錄并存在認證服務(wù)器相應(yīng)的數(shù)據(jù)庫表中。當用戶登陸MFDSS時，MFDSS的認證服務(wù)器將該用戶的訪問權(quán)限信息發(fā)給應(yīng)用服務(wù)器的MPSFS。MPSFS根據(jù)該信息生成該用戶的存儲卷視圖并傳到客戶端。其訪問權(quán)限表單如圖5所示：

圖5用戶訪問權(quán)限記錄表

    在圖5中，用戶或組ID是用戶或組在MFDSs中注冊時的ID；卷清單是該用戶或組可以訪問的存儲卷清單，它可以是分區(qū)卷清單。也可以是文件卷清單，還可同時包含上述兩種卷清單或其中的兩種卷清單；安全級別可以分為4種：

    ①用戶對自己所有存儲卷中存放的文件都要在客戶端加密。其過程是用戶在將文件存人存儲卷視圖之前，在客戶端將該文件加密，并對加密文件信息的HAMC進行簽名，然后將加密的文件信息及簽名的HAMC一起發(fā)到MFDSS系統(tǒng)。MFDSS在將該加密文件存人存儲卷之前，要根據(jù)用戶簽名的HAMC檢查加密信息的完整性。如果完整性沒有問題。則將該加密文件和對應(yīng)簽名的HAMC一起存放在該用戶指定的存儲卷中。

    ②用戶將文件存人存儲卷之前，先在客戶端加密，然后將加密文件及其對應(yīng)的HAMC信息一起發(fā)到MFDSS。MFDSS用該用戶的HAMC密鑰來檢查加密信息的完整性。如果完整性沒有問題，則將該加密文件和對應(yīng)的HAMC一起存放在該用戶指定的存儲卷中。這種方式的安全性要比第1種方式要低，因為它沒有用戶的簽名，但它的速度比第1種要快得多。

    ③用戶在客戶端將要存儲文件的明文及對應(yīng)的HAMC一起發(fā)送到MFDSS。MFDSS根據(jù)其HMAC檢查所存文件的完整性。如果完整性沒有問題，則將該文件的明文和對應(yīng)的HAMc一起存放在該用戶指定的存儲卷。

    ④對于安全性要求不固定內(nèi)容數(shù)據(jù)，如視頻、音頻文件只要保證其完整性即可。用戶在客戶端上傳到MFDSS系統(tǒng)后，MPSFS可根據(jù)內(nèi)容生成對象ID，這樣既可保證其完整性又可保證內(nèi)容不重復(fù)存儲。

    在圖5中，加密方式主要是指明用戶是選擇對稱密鑰加密還是選擇非對稱密鑰加密；時間戳主要是指明該記錄最后一次修改的時間。因為隨著時間的變化，用戶有權(quán)限訪問的存儲卷可能發(fā)生增減，安全級別的需求也可能發(fā)生變化，加密方式也可能發(fā)生變化。用戶從MFDSS系統(tǒng)對應(yīng)的存儲卷視圖中讀文件時，所讀信息包括密文或明文。用戶可以通過HAMC來檢驗所讀信息的完整性以及判斷是不是自己所存的信息。這樣，可以保證用戶所存信息的安全性和可用性。

    2.3 MPSFS提供高性能的并發(fā)訪問

    在MFDSS中，底層的存儲設(shè)備SD具有足夠的智能管理它本地存放的數(shù)據(jù)，所以客戶端可以直接從SD存、取數(shù)據(jù)。因此如果文件被分條(分成多個子文件)存放到多個SD上，則聚合的I／O率和數(shù)據(jù)吞吐率可以呈線性擴展。

    MPSFS支持文件的分條，并且使文件的內(nèi)在并行結(jié)構(gòu)在用戶接口級可見。MPSFS盡可能地讓一個文件的每一個條帶存放在不同的存儲設(shè)備上，這樣每一個節(jié)點同時訪問多個存儲設(shè)備，增加了i／o的并行性。MPSFS允許并行文件訪問以許多不同的文件數(shù)據(jù)分解方式進行，例如，一個矩陣文件可以以行的方式被存放也可以以列的方式被存放。

    傳統(tǒng)的并行文件系統(tǒng)通過輪轉(zhuǎn)的方式在存儲設(shè)備上存放文件塊，假設(shè)存儲設(shè)備個數(shù)為N，文件的第i個塊將位于第歹個存儲設(shè)備上，j=i mod N這樣的分條方法在文件系統(tǒng)接口級是透明的，它獲得了并行訪問存儲設(shè)備的能力，但是對應(yīng)用程序隱藏了分條細節(jié)。為了對應(yīng)用程序提供并行能力，最簡單方法是把每一個存儲設(shè)備上的塊看成是一個分離的序列，這樣就可以把文件分割成多個子文件，每個子文件被并行應(yīng)用程序中的不同進程訪問，從而實現(xiàn)應(yīng)用程序?qū)ξ募�的高效并發(fā)訪問。圖6(a)為傳統(tǒng)文件并行存儲串行訪問方式，圖6(b)為文件并行存儲并行訪問方式。其中fd為應(yīng)用程序中的文件訪問進程，SD為存儲設(shè)備。

    由于增加了對象一級的抽象，MPSFS具有二維的結(jié)構(gòu)(如圖7所示)一維是對象，指定了訪問數(shù)據(jù)的并行性(水平尺度)，另一維是在對象中的數(shù)據(jù)(垂直尺度)。在絕大部分情況下，所有的對象具有相同量的數(shù)據(jù)，但這不是必需的。在每一個對象中的數(shù)據(jù)被看成是一個基本條帶單元(BSUs)序列，每一個BSU被用來作為分割機制的基本構(gòu)造塊，BSU尺寸可以是一個任意以字節(jié)為單位的值，但是被選擇的值應(yīng)該反映最小的數(shù)據(jù)訪問單元。因此可以通過選取不同方向的不同BSUS的分割獲得不同的文件并行視圖。

圖6傳統(tǒng)的文件訪問和并行的文件訪問

圖7 MPSFS中的二維文件分割

    為了保證MFDSS的高性能，對系統(tǒng)中的存儲設(shè)備采用靜態(tài)分組和動態(tài)分組相結(jié)合的方法。所謂靜態(tài)分組是將系統(tǒng)中支持iSCSI協(xié)議的SD的設(shè)備分為一組，其他不支持iSCSI協(xié)議的存儲設(shè)備分為一組；動態(tài)分組是動態(tài)將前面分組的基礎(chǔ)上，將某幾個I／O性能、容量等相近的存儲設(shè)備分為一組存放某個大文件。如對實時性要求高的文件則要存放I／O性能好的分組中，對實時性要求低的分組則可存放在I／O性能稍微差的分組中。

    2.4安全算法設(shè)計

    MPSFS能按訪問權(quán)限為不同的用戶或組提供不同的存儲訪問視圖，即某一用戶或組對某些文件或卷有訪問權(quán)限，他們的存儲視圖中只能看到這些文件和存儲卷。為了進一步保證用戶存儲卷中信息的安全性，我們設(shè)計一種端到端的加密算法。一方面，用戶通過在客戶端對其所存信息進行加密／解密，保證所存信息的安全性和完整性；另一方面，提供一個象AFS一樣的訪問控制清單(access controllist，簡稱ACL)，供一個用戶組中的多用戶共享一個存儲卷或一個目錄中的信息，這多個用戶可以組成一個標準的Unix組，共享一個對該存儲卷或目錄中的文件加密的密鑰；同時，阻止非法用戶刪除合法用戶在存儲卷中的信息。

    安全算法有4種主要數(shù)據(jù)結(jié)構(gòu)：文件體、密鑰體、證書體和訪問權(quán)限體。其中證書體和訪問權(quán)限體請參見2.2節(jié)(即證書文件和訪問權(quán)限記錄文件)，它們是位于認證服務(wù)器上，而文件體是由每個文件的屬性元數(shù)據(jù)及組成該文件的一個或多個加密數(shù)據(jù)塊(對象)組成，分別位于MFDSS系統(tǒng)的元數(shù)據(jù)服務(wù)器和相應(yīng)的存儲節(jié)點中，密鑰體也位于MFDSS認證服務(wù)器上。

    文件體的結(jié)構(gòu)如圖8所示，其加密數(shù)據(jù)塊是使用RC5對稱密鑰加密，數(shù)據(jù)塊是系統(tǒng)中能讀／寫的最小單元。HAMC是一個被加密的信息認證碼，是通過用戶證書體中的HAMC密鑰對文件的inode等信息Hash運算得到。文件對象ID是在存儲設(shè)備上一個文件對象的唯一標識，ACV是一個訪問控制版本號，用戶ID清單標識能夠訪問該加密文件的多個用戶，其中清單中的第1個用戶是該加密文件的建立者。在inode中，塊校驗和(block checksum)與其對應(yīng)的指針存放在一起，這祥只要inode在內(nèi)存中塊校驗總是可用的。指針是以加密形式存放的，它通過HAMC密鑰與加密數(shù)據(jù)塊x0R得到。

圖8文件體結(jié)構(gòu)

    密鑰體的結(jié)構(gòu)如圖9所示，其中文件ID是唯一標識該密鑰體文件，文件ID以下每一行都包含～個用戶ID和加密的密鑰及時間戳。其中，這里用戶ID是存放“被加密密鑰”的用戶ID；“被加密密鑰”域中，存放的是用戶私鑰加密的對稱密鑰(RC5)。這個用戶私鑰可以是一個RC5對稱密鑰，它可由一個用戶組共享，也可由這個用戶組協(xié)商更換。當這個組共享密鑰被修改后，這個用戶組中的各個用戶都要修改密鑰體中“被加密密鑰”域中的被加密密鑰，即用戶用新的共享密鑰對原加密文件的密鑰進行重新加密；時間戳用來記錄用戶修改密鑰體的時間，用來跟蹤用戶對密鑰體的修改。用戶對密鑰體的修改是當用戶認證通過后讀取、修改并重新寫入密鑰中與自己ID相匹配的記錄來完成。一個用戶文件的密鑰體記錄可以對應(yīng)該用戶所存的多個文件，即這多個文件都是用同一個對稱密鑰加密的，并且可由共享同一加密私鑰的一組用戶共享。

圖9密鑰體結(jié)構(gòu)

    在MFDSS中，證書體、訪問權(quán)限體、密鑰體和文件體之間的關(guān)系如圖10所示。

圖10證書體、密鑰體、訪問權(quán)限體和文件體之間關(guān)系

    從圖10可以看出，當一個用戶想訪問MFDSS中的文件時必通過認證。認證通過后，該用戶獲得一個資格證和密鑰體中該用戶所對應(yīng)的記錄項。MPSFS根據(jù)訪問權(quán)限體向該用戶提供存儲視圖。用戶可以在自己存儲視圖對加密文件體對應(yīng)的數(shù)據(jù)進行讀，或?qū)懖僮鳌?/p>

3 實驗

    3．1 實驗環(huán)境

    實驗環(huán)境如圖11、圖12所示：

圖11實驗機器配

圖12 MFDSS測試平臺

    我們主要通過實驗評估MPSFS文件系統(tǒng)及其安全算法對其整個系統(tǒng)性能的影響。整個性能測試分為兩組：第1組被測試的文件系統(tǒng)是NFS和NFS+MPSFS+MFDSS SM，主要針對FC-RAID，其測試平臺如圖8所示；第2組被測試的文件系統(tǒng)是NFS和NFS+MPSFS+MFDSS—SM，主要針對基于iSCSI的內(nèi)容存儲設(shè)備，其測試平臺如圖9所示。其中，MFDSS_SM是實現(xiàn)安全算法和訪問控_SM MFDSS制的安全模塊，它包括服務(wù)器端和客戶端安全模塊兩部分，由我們課題組自主開發(fā)；iSCSI啟動器，即iSCSI Initiator，它同時也充當應(yīng)用服務(wù)器，iSCSI目標器，即iSCSI Target。如圖12(a)所示，在基于FCRAID的MFDSS安全系統(tǒng)性能測試中，我們將MPSFS和MFDSs—SM都安裝在MFDSS服務(wù)器上，通過第1組實驗測試MPSFS和MFDSS_SM對_SMMFDSS服務(wù)器文件系統(tǒng)性能的影響。如圖12(b)所示，在基于iSCSI的MFDSS系統(tǒng)性能測試中，我們將MPSFS和MFDss—SM也都安裝在MFDSS服務(wù)器上，而通過第2組實驗測試MPSFS和MFDSS—SM對MFDSS服務(wù)器文件系統(tǒng)性能的影響。

    在本次實驗中，我們使用Bonnie++測試軟件。Bonnie++可以用3種方式測試文件系統(tǒng)的傳輸率和CPU的占用率，這3種方式為串行讀、串行寫和隨機讀/寫。串行讀／寫又可分為單字節(jié)讀／寫和塊讀/寫，這將影響文件系統(tǒng)的輸入／輸出性能。測試參數(shù)設(shè)置如下：文件的大小設(shè)為200 MB，內(nèi)存設(shè)為50MB。因為存儲網(wǎng)絡(luò)主要使用的數(shù)據(jù)備份和數(shù)據(jù)共享，所以僅能測試串行的塊讀、串行的塊寫和串行塊重寫。

    3．2實驗結(jié)果與分析

    實驗結(jié)果如圖13和圖14所示。第1組實驗結(jié)果如圖13所示。NFS+MPSFS+MFDSS_SM串行讀速率比NFS的串行讀傳輸速率下降了11.9%；NFS+MPSFS+MFDSS_SM的串行寫速率比NFS寫傳輸速率下降了13.3%；NFS的串行讀／寫速率是1 509KBps，而NFS+MPSFS+MFDSS—SM的串行讀/寫速率是1 289KBps，NFS+MPSFS+MFDSS—SM比NFS的串行讀／寫傳輸速率減少了14.6%。所以，在基于NAs的MFDSS測試中，加載安全系統(tǒng)比不加載安全系統(tǒng)的速度下降11．9%～14．6%。

圖13基于NAS的MFDSs安全系統(tǒng)性能測試

圖14 基于iSCSI的MFDSS安全系統(tǒng)的性能測試

    第2組實驗結(jié)果如圖14所示。NFS的串行讀速率是4 638 KBps，NFS+MPSFS+MFDSS—SM的串行讀速率是4 032 KBps，NFS+MPSFS+MFDSS—SM的串行讀速率比NFS下降了13．0%；NFS的串行寫速率是2 856 KBps，NFS+MPSFS+MFDSS—SM的串行寫速率是2 461 KBps，NFS+MPSFS+MFDSS—SM的串行寫速率比NFS下降了13．8%；NFS的串行讀／寫速率是1 263 KBps，NFS+MPSFS+MFDSS—SM的串行讀／寫速率是1031 KBps，NFS+MPSFS+MFDSS—SM的串行讀速率比NFS下降了18．3%．所以，在基于iSCSI的MFDSs測試中，加載MPSFS文件系統(tǒng)和安全模塊比不加載的速度下降13．0%～18．3%。圖14的傳輸速率比圖12的傳輸速率更小，因為用戶在客戶端通過用戶代理與MFDSS中的iSCSI目標器(iSCSITarget)進行數(shù)據(jù)交換時，都要經(jīng)過NAS Head(iSCSI Initiator)進行協(xié)議轉(zhuǎn)換，即把用戶寫入的文件組裝成iSCSI協(xié)議單元寫入iSCSI設(shè)備，以及把從iSCSI設(shè)備中讀的iSCSI協(xié)議單元數(shù)據(jù)塊轉(zhuǎn)換成文件發(fā)到客戶端。

4 結(jié)束語

    當MPSFS和MFDSS_SM被集成到MFDSS系統(tǒng)時，MFDSS系統(tǒng)能獲得更好的安全性，雖然讀寫性能下降了11．9%~18．3%，但在實際應(yīng)用中是可以接受的。并且，在MFDSS系統(tǒng)中，只有一部分敏感文件數(shù)據(jù)對安全性要求高，而大部分文件數(shù)據(jù)只要求保證數(shù)據(jù)的完整性即可，這樣安全系統(tǒng)對整個系統(tǒng)的性能影響更小。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標題：內(nèi)網(wǎng)數(shù)據(jù)存儲安全關(guān)鍵技術(shù)的研究與實現(xiàn)

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/1083968755.html