TrueNAS 12 schluckt FreeNAS und bringt native ZFS-Verschlüsselung

Inhaltsverzeichnis

Mit Version 12 veröffentlicht iXsystems sein neues TrueNAS und stellt damit das ehemalige FreeNAS sowie seinen kommerziellen TrueNAS-Zweig auf dieselbe Code-Basis. Mit OpenZFS 2.0 kommen neue Funktionen – und mögliche Probleme. TrueNAS basiert auch in Version 12 auf NanoBSD, einem minimalistischen FreeBSD 12. Die angekündigte GNU/Linux-Variante ist hingegen noch nicht verfügbar. Im Gegensatz zum Multi-Plattform-FreeBSD ist TrueNAS einzig für die amd64-Architektur erhältlich.

Die Verschmelzung von FreeNAS und TrueNAS bringt vor allem für die Entwickler bei iXsystems Vorteile. Den nach eigenen Angaben zu 95 Prozent identischen Quellcode muss das Projekt nicht mehr getrennt warten, auch die Dokumentation und Tests sollen sich vereinfachen. Für den Anwender soll sich angeblich nichts ändern, denn TrueNAS gibt es in zwei Varianten: als TrueNAS Enterprise für den kommerziellen Einsatz mit kostenpflichtigem Support und als TrueNAS CORE in der von FreeNAS gewohnten freien Ausgabe.

Die Bedenken ehemaliger FreeNAS-Anwender, dass TrueNAS CORE weniger Funktionen als TrueNAS Enterprise mitbringt, lassen sich entkräften – vielmehr bietet es mehr Funktionen. Hinter dem Begriff CORE verbirgt sich Community supported, Opensource, Rapid developement, Early availabilty. Wie von anderen Community/Enterprise-Modellen gewohnt, testet die Community neue Funktionen, die erst später gegebenenfalls die Enterprise-Version übernimmt. Eine Übersicht über die tatsächlichen Unterschiede bietet eine Tabelle auf ixsystems.com.

OpenZFS: Mehr Entwickler, schneller neue Funktionen

Die technisch wichtigste Änderung ist der Umstieg von FreeBSD auf den ZFS-Code von OpenZFS, dem ehemaligen ZFS on Linux (ZoL). Der Schritt kann einige Stolpersteine nach sich ziehen. Positiv ist, dass die gemeinsame Code-Basis von FreeBSD und GNU/Linux einige Reibungsverluste und damit Mehraufwand zwischen inkompatiblen oder nicht verfügbaren ZFS-Features verhindert. Das ist im Enterprise-Geschäft zwischen Oracles ZFS und den freien Implementationen her leidlich bekannt. Auch war die Entwicklung von ZFS unter FreeBSD eher gemütlich, da nicht genügend Entwickler vorhanden waren – und ihnen kam der Anspruch auf die fehlerfreie Funktion aller Komponenten des Basis-Betriebssystems in die Quere: Neue Funktionen gibt das Projekt erst frei, wenn sie ausgiebig getestet wurden, was durchaus Jahre dauern kann.

Mit dem OpenZFS-Code und den vielen neuen Entwicklern dürfte sich das ändern und die Weiterentwicklung der Geschwindigkeit von GNU/Linux entsprechen. Das zeigt sich deutlich bei der Verschlüsselung, die OpenZFS und TrueNAS 12 nativ anbieten, bei FreeBSD bisher jedoch über GELI unterhalb von ZFS erfolgte. Die native Verschlüsselung ist bislang noch deutlich langsamer, vor allem aber gibt es manchmal beim Senden von Daten via ZFS-send/receive (Replikation) Probleme. Hier sollte bei Neuinstallationen von TrueNAS 12 und vor allem bei Upgrades von älteren Versionen größte Vorsicht gelten. Ähnlich wie systemd werden bei OpenZFS beim Start im Gegensatz zum klassischen ZFS möglichst viele Aufgaben parallel ausgeführt – das soll die Startzeiten verbessern.

Wenn in Zukunft OpenZFS performant und vor allem stabil sowohl unter FreeBSD als auch unter GNU/Linux läuft, und Nutzer damit ZFS-Pools direkt zwischen beiden System austauschen können, ist das ein großer Schritt in Richtung Benutzerfreundlichkeit. Dann macht auch iXsystems Plan, TrueNAS zusätzlich auf die GNU/Linux-Basis (Debian) zu stellen, durchaus Sinn.

Vorsicht beim neuen VDEV-Typ

Auf Basis der Special Allocation Class gibt mit den Fusion Pools spezielle VDEVs (Virtual Devices) zur Beschleunigung von Random-I/O. Der neue VDEV-Typ speichert als Teil eines herkömmlichen ZFS-Pools nur Metadaten und optional kleine Datenblöcke. Die eigentlichen Datenblöcke wandern ausschließlich auf die konventionellen VDEVs, beispielsweise große Spindellaufwerke.

Die special VDEVs sollten Nutzer keinesfalls mit den bekannt ZFS-Caches (ARC, L2ARC) verwechseln. Während ARC und L2ARC Daten nur zwischenspeichern, bei einem Ausfall also keinen Datenverlust nach sich ziehen, sind die special VDEVs eines Fusion Pools essentiell für den Pool. Bei einem Ausfall oder Fehler eines VDEV der Special Allocation Class ist der gesamte zugehörige ZFS-Pool verloren. Mit der neuen Funktion lassen sich alte ZFS-Pools mit Spindellaufwerken deutlich beschleunigen, jedoch sollten Nutzer bei den SSDs für die special VDEVs unbedingt die Caches abschalten – und sich zwingend in das Thema Write Barrier einlesen. Fusion Pools sind wie die nicht ganz problemlose Verschlüsselung OpenZFS 2.0-Features und im bisherigen ZFS von FreeBSD nicht enthalten.

TrueNAS kann sich mit externen Storageprovidern aus der Cloud verbinden: Amazon S3, Google Cloud, Microsoft Azure, Backblaze B2 oder Dienste wie Dropbox, Mega oder Yandex stehen zur Auswahl. Den gesamten Datenstrom verschlüsselt TrueNAS 12 vor dem Transfer und legt ihn auch so in der Cloud ab.

Neu ist außerdem eine Zwei-Faktor-Authentisierung über einen Provider wie den Google Authenticator, um das Login in das WebGUI oder per SSH-Terminal abzusichern. Leider funktioniert die 2FA nicht in TrueNAS 12 Enterprise, sie soll das 12.0-U1-Upgrade nachliefern. Jedoch kann die Enterprise-Ausgabe nun auch KMIP-Server (Key Management Interoperability Protocol) zum Speichern von Passwörtern und Schlüsseln nutzen.

Der Weg in die Storage-Cloud

Mit der TrueCommand Cloud bietet iXsystems SaaS-Funktionen für TrueNAS 12 an. Über ein WireGuard-VPN lassen sich NAS-Systeme durch Firewalls hindurch mit der Cloud des Anbieters verbinden und von dort aus zentral administrieren. Die TrueCommand Cloud befindet sich noch in der Entwicklungsphase, Interessiert können sich jedoch bereits für einen Test anmelden. Dieser optionale Zugang über OpenVNP bedeutet übrigens, dass auf TrueNAS nun grundsätzlich ein OpenVPN-Sever und -Client laufen.

Eine weitere Änderung betrifft die bereits mit TrueNAS 11.3 eingeführte API v2.0. Bei Version 12 kann man sich endlich auch über API-Keys authentifzieren, statt wie zuvor Login-Daten senden zu müssen.

(fo)