Der freigegebene Ordner homes zeigt keine Verschlüsselungsoption in der Benutzeroberfläche. Es sieht so aus, als ob er automatisch vom System erstellt und verwaltet wird, wenn Home-Ordner aktiviert werden, anstatt über den normalen Dialog „Freigegebenen Ordner erstellen“, in dem das Verschreibungs-Kontrollkästchen vorhanden ist.
Da ZFS keine Verschlüsselung auf einem bestehenden Dataset aktivieren kann (zfs get zeigt encryption als EDIT: NO an), scheint das im Nachhinein nicht mehr reparierbar zu sein.
Das ist wichtig, weil hier echte persönliche Dokumente in den Home-Ordnern liegen werden.
Fragen
Kann der freigegebene Ordner homes überhaupt in QuTS hero verschlüsselt werden? Ist das Fehlen der Option eine bewusste Design-Einschränkung, oder schaue ich nur am falschen Ort?
Wenn Home-Ordner deaktiviert und erneut aktiviert werden, wird das zugrunde liegende Dataset neu erstellt — und falls ja, kann es verschlüsselt erstellt werden?
Gibt es eine unterstützte Möglichkeit, Home-Ordner in einem verschlüsselten freigegebenen Ordner zu platzieren, oder sie auf ein Dataset zu verweisen, das ich selbst verschlüsselt angelegt habe?
Falls nichts davon möglich ist: Was machen andere stattdessen? Mein aktueller Plan ist, homes minimal zu halten – nur das, was das Gerät selbst benötigt – und jedem Benutzer einen normalen verschlüsselten freigegebenen Ordner für seine echten Dokumente zu geben, der als ihr Laufwerk eingebunden wird. Gibt es ein besser etabliertes Muster?
Der Ordner „homes“ ist in QuTS (und ich glaube auch in QTS) optional. Du musst ihn nicht aktivieren. Es kann sein, dass darin einige Linux-Anwendungen zu finden sind, aber da es sich um eine Art „Betriebssystem“-Ordner handelt, kann man ihn eigentlich nicht (und würde das vermutlich auch nicht wollen) verschlüsseln. Es ist besser, wenn du den Nutzern eigene verschlüsselte freigegebene Ordner an einem anderen Ort zur Verfügung stellst. Verschlüsselte Ordner können problematisch sein, denn wenn jemand seinen Verschlüsselungsschlüssel verliert, gibt es keine Möglichkeit, die Daten wiederherzustellen. Außerdem funktionieren Backups auch nicht, wenn der verschlüsselte Ordner gesperrt ist.
Du kannst den Ordner „homes“ sowie seine Hierarchie nicht verschieben.
Ich glaube nicht, dass du einen bestimmten „Ordner“ in QuTS verschlüsseln kannst. In QuTS Hero musst du beim Erstellen eines freigegebenen Ordners die Option zur Verschlüsselung auswählen. Beachte, dass jeder freigegebene Ordner in QuTS als eigenes Volume behandelt wird. Danach musst du die Zugriffsberechtigungen für die Nutzer für jedes dieser Volumes einzeln festlegen.
Danke für den Tipp — ich habe die Home-Ordner deaktiviert und bin dann auf etwas gestoßen, das es wert ist, dokumentiert zu werden.
Mit deaktivierten Home-Ordnern wird /share/homes nicht entfernt. Stattdessen wird er auf einen Platzhalter umgeleitet:
lrwxrwxrwx /share/homes -> /tmp/homes/
tmpfs on /tmp type tmpfs (rw,size=128M)
Damit wird /share/homes zu einem 128 MB RAM-Datenträger. In /etc/passwd steht weiterhin /share/homes/<user> als Home-Verzeichnis, sodass Shell-Nutzer ein Home bekommen, das auf tmpfs liegt. Ich habe das getestet, indem ich neu gestartet habe: Das Home-Verzeichnis war gelöscht. Ich hatte meinen .ssh-Ordner dorthin kopiert, um weiterhin SSH-Zugriff mit Schlüssel zu haben, und er war weg. Zum Glück hatte ich vorher den Passwort-Login überprüft, sonst hätte ich mich ausgesperrt.
Meine Frage: Falls jemand nicht die integrierte Home-Ordner-Funktion nutzen möchte, wie kann man das offiziell unterstützen? Konkret:
Gibt es eine unterstützte Möglichkeit, das Home-Verzeichnis eines Nutzers auf einen normalen freigegebenen Ordner zu zeigen, einen Ordner, der Neustarts und Firmware-Updates übersteht? Direktes Bearbeiten von /etc/passwd scheint sinnlos, da die Datei beim Booten neu erstellt wird.
Ist die tmpfs-Umleitung Absicht oder ein Fallback, der nicht dauerhaft genutzt werden sollte?
Für SMB-Nutzer: Gibt es eine Möglichkeit, mehrere (verschlüsselte) freigegebene Ordner in einem einzigen Verzeichnisbaum erscheinen zu lassen, außer über gemappte Netzlaufwerke oder einen Windows DFS-Namespace? Symlinks sind durch die Samba-weite „wide-links“-Einschränkung blockiert und daher keine Option.
Im Idealfall suche ich eine stabile, dokumentierte Lösung und kein Workaround, der beim nächsten Firmware-Update kaputtgeht.
Ich glaube nicht, dass es dafür eine unterstützte Lösung gibt, deshalb nutze ich einen einzigen verschlüsselten freigegebenen Ordner für alle Nutzer und verhindere mit ACL, dass Nutzer auf die Dateien anderer zugreifen können.