İçeriğe atla
Bilgi Merkezi/Makale
Makale

NAS Nedir? Ağa Bağlı Depolama ve SAN'dan Farkı

NAS'ın dosyaları SMB ve NFS ile nasıl paylaştığını, DAS ve SAN'dan farkını, kullanım alanlarını, fidye yazılımı riskini ve seçim ölçütlerini anlattık.

Oğuzhan Gerçek··7 dk okuma
NAS Nedir? Ağa Bağlı Depolama ve SAN'dan Farkı

Kısa cevap: NAS (network attached storage, ağa bağlı depolama), ağa bağlanan ve istemcilere dosya katmanında erişim veren depolama cihazıdır: kullanıcılar ve sunucular paylaşılan klasörlere SMB ya da NFS protokolüyle ulaşır. İçinde diskler, onları disk arızasına karşı koruyan RAID, paylaşımları yürüten bir işletim sistemi ve ağ bağlantısı vardır. SAN (storage area network) ise sunuculara blok katmanında erişim verir; sunucu oradaki birimi kendi diski gibi biçimlendirir. NAS dosya paylaşımında, sanallaştırmada ve yedek hedefi olarak kullanılır; internete açık NAS'lar fidye yazılımlarının bilinen hedefidir.

NAS nedir?

Depolama sektörünün birliği SNIA, NAS'ı ağa bağlanan ve istemcilere dosya erişim hizmeti veren depolama cihazı olarak tanımlıyor. NIST'in depolama altyapısı güvenlik rehberi SP 800-209 (Ekim 2020) ağ üzerinden depolamayı erişim türüne göre ayırıyor: NAS dosya katmanında, SAN blok katmanında erişim verir. Rehbere göre dosya hizmetini özel bir NAS cihazı da, NFS sunucu hizmeti çalıştıran herhangi bir sunucu da verebilir.

SNIA'nın filer tanımına göre böyle bir cihazın donanımı ve yazılımı dosya hizmeti için tasarlanır. Kısacası NAS, paketlenmiş bir dosya sunucusudur (sunucu yazımız). Veri depolamanın kısa tanımı da sözlüğümüzde var.

NAS nasıl çalışır? Bileşenleri

  • Diskler: HDD ya da SSD'ler kapasiteyi ve hızı belirler.
  • RAID: Diskleri tek bir mantıksal birimde birleştirir; Red Hat'in anlatımıyla bir disk arızalandığında veri kaybını önlemeye yardım eder. Düzenlerin farkını RAID yazımızda anlattık; özeti şu: RAID disk arızasına karşı korur, silinen ya da şifrelenen veriye karşı korumaz.
  • İşletim sistemi: Paylaşımları, yetkileri, snapshot'ları ve yönetim arayüzünü yürütür. Linux tabanlı bir NAS'ta SMB hizmetini açık kaynak Samba verebilir.
  • Ağ: İstemciler NAS'a yerel ağ üzerinden bağlanır (LAN yazımız).

SMB ve NFS: NAS hangi protokolleri kullanır?

NIST, NAS erişimi için iki protokol ailesini sayıyor:

  • SMB (Server Message Block): Microsoft'un tanımıyla bir ağ dosya paylaşım protokolü; uygulamalar uzak sunucudaki dosyaları bununla okur, oluşturur ve günceller. Şifreleme ve imzalama gibi koruma katmanları da taşıyor.
  • NFS (Network File System): Sun Microsystems'in Mart 1989 tarihli RFC 1094 belgesinde tarif ettiği, paylaşılan dosyalara ağ üzerinden şeffaf erişim veren protokol; Microsoft'a göre Windows ile Linux ve UNIX arasında paylaşımın yolu. RFC 7530 (Mart 2015) ile tanımlanan NFSv4 dosya kilitlemeyi ve güçlü güvenliği protokole kattı; NFSv4.1'in güncel tanımı RFC 8881 (Ağustos 2020).

SMB'nin ilk sürümü ise geride kaldı: Microsoft'a göre SMBv2 2007'de SMBv1'in yerini aldı, SMBv1 2014'te kullanımdan kaldırıldı ve Windows 10 ile Windows Server'ın 1709 sürümünden beri varsayılan olarak kurulmuyor.

DAS, NAS ve SAN arasındaki fark

  • DAS (direct attached storage): SNIA'ya göre bir sunucuya yerel olarak bağlanan ve yalnızca ona hizmet veren depolama: sunucunun kendi diskleri ya da takılan harici bir disk.
  • NAS: Dosya katmanında paylaşım. Dosya sistemi cihazdadır; birçok istemci aynı klasörü aynı anda kullanır.
  • SAN (storage area network): SNIA'ya göre birincil amacı sunucularla depolama arasında veri taşımak olan ağ; terim çoğunlukla blok hizmetiyle özdeşleşir. NIST'e göre SAN'daki mantıksal birimin adı LUN.

NIST, SAN'ı kullandığı ağ stack'ine göre ayırıyor. Fibre Channel SAN, rehberin tarifiyle beş katmanlı kendi protokol stack'ini kullanır; sunucular ona HBA kartlarıyla ve switch'ler üzerinden bağlanır. RFC 7143 (Nisan 2014) ile tanımlanan iSCSI ise SCSI komutlarını TCP üzerinden taşır; NIST onu IP SAN örneği sayıyor. Trafik IP ağından geçtiği için ayrı bir Fibre Channel ağı gerekmez (switch yazımız).

Pratikteki fark şurada: SAN'ın verdiği birim sunucuya ham disk gibi görünür ve dosya sistemini sunucu kurar. Aynı birime birden çok sunucunun birlikte yazması, Windows Server'daki Cluster Shared Volume gibi ek bir mekanizma ister. NAS'ta ise paylaşım baştan çok kullanıcılıdır. Nesne depolamayı nesne depolama yazımızda, SAN'sız bir mimari olan HCI'ı HCI yazımızda anlattık.

NAS ne için kullanılır?

  • Dosya paylaşımı: Ekip klasörleri, kullanıcı dizinleri, arşivler. Microsoft'un SMB için saydığı kullanımlardan biri de son kullanıcı verisi.
  • Sanallaştırma veri deposu: Microsoft'un belgelerine göre Hyper-V sanal makine dosyaları SMB 3.0 paylaşımlarında durabilir; NFS paylaşımları da VMware, Hyper-V, Kubernetes ve Docker için kalıcı depolama olabilir (sanal makine yazımız).
  • Yedek hedefi: Microsoft'un NFS senaryoları arasında yedekleme de var. Yalnız NAS tek kopya olmamalı: NIST SP 800-209 kopya sayısını, coğrafi dağılımı ve değiştirilemezliği belirleyen bir yedek politikası (DP-SS-R1), kritik veride de yedeğin en az ayda bir sınanmasını (DP-SS-R3) istiyor. 3-2-1 kuralını yedekleme yazımızda anlattık; kopyaların işletimini yedekleme, replikasyon ve kurtarma hizmetimizde ele alıyoruz.

İnternete açık NAS ve fidye yazılımı

NIST SP 800-209'a göre fidye yazılımı, NAS ve yedekleme cihazlarını da hedef alacak biçimde gelişti. Üreticilerin duyuruları iki giriş yolu gösteriyor:

  • Yamanmamış yazılım: QNAP, Ocak 2022'de DeadBolt fidye yazılımının internete korumasız açılmış NAS'ları hedef aldığını ve veriyi Bitcoin fidyesi için şifrelediğini duyurdu; işletim sisteminin hemen güncellenmesini istedi (QSA-22-02).
  • Zayıf parola: Synology, Temmuz 2019'da yönetici parolalarının kaba kuvvet (brute force) denemeleriyle ele geçirildiğini ve verinin şifrelendiğini açıkladı; sebep bir açık değil, sözlük saldırısıydı.

Önlemler de bu iki yoldan çıkıyor:

  • İnternete açmayın: QNAP, yönlendiricide NAS yönetim portlarına port yönlendirmeyi, NAS'ta da UPnP ile otomatik port yönlendirmeyi kapatmayı istiyor (port yazımız). Uzaktan erişim VPN gibi bir katmanın arkasında kalmalı.
  • Güncel tutun: NIST'e göre her işletim sistemi gibi depolama işletim sistemi de düzenli olarak yamanmalı (yama yönetimi yazımız).
  • Hesapları koruyun: Synology varsayılan "admin" hesabını kapatmayı, güçlü parolayı ve iki adımlı doğrulamayı öneriyor (MFA yazımız).
  • SMBv1'i kapatın: Microsoft'un uyarısına göre bu eski protokolün fidye yazılımıyla ilgili bilinen güvenlik sorunları var.
  • Snapshot'ı yedek sanmayın: NIST'e göre snapshot kaynak veriye dayanır; yetki ele geçiren saldırgan snapshot'ları da bozabilir.

Saldırının akışını fidye yazılımı yazımızda anlattık.

Ev NAS'ı, kurumsal NAS ve scale-out NAS

Ev ya da küçük ofis NAS'ında asıl sorular disk arızası ve yedektir. Kurumsal dosya hizmetinde cihazın kendi arızası da hesaba girer: tek denetleyicili bir cihazda denetleyici ya da işletim sistemi arızası bütün paylaşımları durdurur. Microsoft'un cluster olarak çalışan dosya sunucularında paylaşımlar ya bir anda tek node'da açıktır (active-passive) ya da Scale-Out File Server'da bütün node'larda birlikte (active-active). Microsoft ilkini bilgi çalışanlarının dosyaları, ikincisini Hyper-V ve SQL Server verisi için öneriyor.

Scale-out NAS'ta kapasite ve performans sunucu ekleyerek büyür. NIST'e göre paralel NFS (pNFS) veriyi ve meta veriyi bir sunucu cluster'ına dağıtır ve büyük içerik depolarında kullanılır. CephFS da Ceph'in dağıtık nesne deposu RADOS üzerine kurulu, POSIX uyumlu bir dosya sistemi; istemciler veriye doğrudan RADOS'tan eriştiği için iş yükü alttaki depolamayla doğrusal ölçeklenebiliyor.

Seçmeden önce şu sorular cevaplanmalı:

  • Seçilen RAID düzeniyle kullanılabilir kapasite ne kadar, kaç disk arızasına dayanıyor?
  • Kimlik doğrulama Active Directory'ye bağlanıyor mu, yönetimde iki adımlı doğrulama var mı?
  • Üretici güvenlik güncellemesini ne kadar süre yayımlayacak?

Depolamanın tasarımını ve işletimini depolama ve veri altyapısı, veri korumayı veri koruma ve kurtarma hizmetimizde ele alıyoruz.

Sık sorulan sorular

NAS ne demek? Network attached storage, yani ağa bağlı depolama demek: ağ üzerinden dosya paylaşımı sunan depolama cihazı.

NAS ne işe yarar? Dosyaları tek yerde toplayıp paylaştırır; sanal makinelere veri deposu, yedekleme yazılımına hedef olabilir.

NAS ile SAN arasındaki fark nedir? NAS dosya katmanında paylaşır; istemci klasör ve dosya görür. SAN blok katmanında çalışır; sunucu oradaki birimi kendi diski gibi biçimlendirir.

SAN nedir? Sunucularla depolama cihazları arasında veri taşımak için kurulan ağdır; Fibre Channel ya da iSCSI ile blok erişimi verir.

NAS ile harici disk arasındaki fark nedir? Harici disk tek bir bilgisayara doğrudan bağlanır. NAS ağa bağlanır ve aynı anda birçok kullanıcıya hizmet verir.

NAS yedek yerine geçer mi? Tek başına geçmez. Aynı yerde duran ve aynı yönetici hesabıyla erişilen tek kopya, cihazın kaybına ve fidye yazılımına karşı korumaz.

Kaynaklar