FreeNAS и полнодисковое шифрование

[Artiom N.]

Здравствуйте.

Хочу поставить FreeNAS с полнодисковым шифрованием.
Вот предполагаемая схема разбиения:

------------

### Системные SSD

Вторая SSD является зеркалом первой.

Структура данных на SSD:

- `part_boot` - раздел с фиктивным загрузчиком. Размер = 256 MB. Не используется.
FreeBSD позволяет загружаться с зашифрованного раздела без вынесения загрузчика с него.
- `part_system` - раздел с системой. Размер = 24 GB (Рекомендованный размер: 16 GB + 1/2).
- `part_zil` - раздел с ZIL. Размер = 96 GB (ZIL не может быть более размера RAM = 32 GB + 48 GB swap = 80 GB,
16 GB с учётом возможного расширения swap).

`part_system` и `part_zil` зашифрованы в XTS режиме.

В целом, их организация такова:

```
SSD1: [part_boot] -> [fat32] <---> SSD2
SSD1: [part_system] -> [geli_xts] -> [zfs_mirror] <---> SSD2
SSD1: [part_zil] -> [geli_xts] -> [zfs_zil_mirror] <---> SSD2
```
------------

Как это сделать?

 

[mav@]

Стандартно из коробки это не поддерживается:
- FreeNAS не располагает разделы данных на загрузочном устройстве;
- вплоть до самого свежего релиза FreeNAS использует GRUB loader, а я не знаю поддерживает ли он шифрование, переход на BSD loader намечен в будущем 11.2 (сейчас в ночных сборках);
- шифрованный SLOG может быть узким местом производительности из-за роста задержек ввиду шифрования;
- 96GB SLOG не нужно и даром наже не больших системах, 8-16GB вполне достаточно;
- я не знаю какие SSD планируются на роль SLOG, но убедитесь что они подходят, большинство бытовых -- нет, либо теряя данные при пропадании питания, либо имея задержку сброса кешей измеряемую в миллисекундах.

Я не скажу что этого нельзя добиться какими-то манипуляциями, но стоит ли?

 

[Artiom N.]

Про то, что не поддерживается, я заметил.
SLOG не будет узким местом: у меня аппаратное ускорение AES.
Размеры скорректирую. Нормальной формулы для расчёта я найти не смог. Перестраховался.
Samsung Pro и Micron в зеркале, плюс ИБП, не должно быть проблем.
Под L2ARC - Samsung Evo.

По-идее, неплохо бы. Полнодисковое шифрование защищает от нескольких видов угроз, которые частичное шифрование пропускает, а накладные расходы не сильно увеличиваются.
С FreeBSD (и её загрузчиком) это сделать возможно.

 

[Artiom N.]

Но, если только загрузчик оставить на отдельном разделе (пусть даже Grub) - тоже вариант.
Возможно ли сделать так?