ZFS Replikation funktioniert nicht mit verschlüsselten Datasets/VM's

[fireon]

Hallo Leute,

ich teste hier die Verschlüsselung aller VM's/CT's eines Proxmoxclusters mit ZFS. Das ganz funktioniert grundsätzlich wunderbar in dem man ein Dataset verschlüsselt anlegt. Darunter ein weiteres Dataset für die VM's und dieses dann als Storage einbindet. Easy.

v-machines/safe/HDD-secure                9.21G  1.37T      192K  /v-machines/safe/VMs
v-machines/safe/VMs/vm-105-disk-0  1.26G  1.37T     1.26G  -
v-machines/safe/VMs/vm-105-disk-1   160K  1.37T      160K  -
v-machines/safe/VMs/vm-105-disk-2  7.94G  1.37T     7.94G  -

Wenn das ganze nun repliziert werden soll, funktioniert das nicht, weil man ein RAW-Flag setzten muss. Von diesem Verhalten ist natürlich auch die Migration zwischen den Knoten betroffen.

2021-09-19 11:53:00 105-0: start replication job
2021-09-19 11:53:00 105-0: guest => VM 105, running => 3823417
2021-09-19 11:53:00 105-0: volumes => VMs:vm-105-disk-0,VMs:vm-105-disk-1,VMs:vm-105-disk-2
2021-09-19 11:53:01 105-0: freeze guest filesystem
2021-09-19 11:53:01 105-0: create snapshot '__replicate_105-0_1632045180__' on VMs:vm-105-disk-0
2021-09-19 11:53:01 105-0: create snapshot '__replicate_105-0_1632045180__' on VMs:vm-105-disk-1
2021-09-19 11:53:01 105-0: create snapshot '__replicate_105-0_1632045180__' on VMs:vm-105-disk-2
2021-09-19 11:53:02 105-0: thaw guest filesystem
2021-09-19 11:53:02 105-0: using secure transmission, rate limit: none
2021-09-19 11:53:02 105-0: full sync 'VMs:vm-105-disk-0' (__replicate_105-0_1632045180__)
2021-09-19 11:53:03 105-0: cannot send v-machines/safe/VMs/vm-105-disk-0@__replicate_105-0_1632045180__: encrypted dataset v-machines/safe/VMs/vm-105-disk-0 may not be sent with properties without the raw flag
2021-09-19 11:53:03 105-0: warning: cannot send 'v-machines/safe/VMs/vm-105-disk-0@__replicate_105-0_1632045180__': backup failed
2021-09-19 11:53:03 105-0: command 'zfs send -Rpv -- v-machines/safe/VMs/vm-105-disk-0@__replicate_105-0_1632045180__' failed: exit code 1
2021-09-19 11:53:03 105-0: cannot receive: failed to read from stream
2021-09-19 11:53:03 105-0: cannot open 'v-machines/safe/VMs/vm-105-disk-0': dataset does not exist
2021-09-19 11:53:03 105-0: command 'zfs recv -F -- v-machines/safe/VMs/vm-105-disk-0' failed: exit code 1
2021-09-19 11:53:03 105-0: delete previous replication snapshot '__replicate_105-0_1632045180__' on VMs:vm-105-disk-0
2021-09-19 11:53:03 105-0: delete previous replication snapshot '__replicate_105-0_1632045180__' on VMs:vm-105-disk-1
2021-09-19 11:53:03 105-0: delete previous replication snapshot '__replicate_105-0_1632045180__' on VMs:vm-105-disk-2
2021-09-19 11:53:03 105-0: end replication job with error: command 'set -o pipefail && pvesm export VMs:vm-105-disk-0 zfs - -with-snapshots 1 -snapshot __replicate_105-0_1632045180__ | /usr/bin/ssh -e none -o 'BatchMode=yes' -o 'HostKeyAlias=backup' root@172.16.66.16 -- pvesm import VMs:vm-105-disk-0 zfs - -with-snapshots 1 -snapshot __replicate_105-0_1632045180__ -allow-rename 0' failed: exit code 1

Wo in Proxmox kann man denn diese Option setzten?

 

[Stoiko Ivanov]

Wo in Proxmox kann man denn diese Option setzten?

derzeit leider noch nicht - siehe https://bugzilla.proxmox.com/show_bug.cgi?id=2350

 

[Dunuin]

Ich hoffe das kommt dann demnächst noch. Ist ja jetzt schon 2 Jahre im Bugtracker. Ist schon etwas unschön, wenn man keine ZFS Replikation nutzen kann um zwei Hosts synchron zu halten, wenn man unbedingt Verschlüsselung haben möchte.

 

[fireon]

Ich hoffe das kommt dann demnächst noch. Ist ja jetzt schon 2 Jahre im Bugtracker. Ist schon etwas unschön, wenn man keine ZFS Replikation nutzen kann um zwei Hosts synchron zu halten, wenn man unbedingt Verschlüsselung haben möchte.

Ja das sehe ich auch so. Security wird auch in dieser Hinsicht auch bei unseren Kunden immer wichtiger.

 

[ctsde_markus]

+1

Das sollte echt jemand angehen. Muss doch möglich sein, dass man das zwischen verschlüsselten Datasets repliziert. Zur Laufzeit sind die ja eh entschlüsselt. Vermutlich müsste man nur kontrollieren, ob das ein verschlüsseltes Dataset ist und dann den `--raw` Schalter für den Job aktivieren. Ich kann die VMs ja auch problemlos verschieben zwischen den Hosts.