QNAPのネットワーク設定をしくじって、再セットアップした話

QNAPの初期化する羽目になりました

背景・経緯

1. TBS-453AというQNAPの中でもちょっと風変わりなNASを使っていました。
   • kakaku.com
   • 4ベイNASというスペックはごく普通のNASですが、2016年発売にして M.2 SATA SSD しか搭載できないという変な機種でした。
2. 仮想ネットワークを作ることが出来るので、この機能を使って複数ブリッジを構成して仮想ネットワークを構成していました。

   • 

     QNAP仮想スイッチのインターフェース設定

   • QNAP独自の特別な機能というものではなく、普通にLinuxのネットワーク機能を使って実現されたブリッジ機能を使っているだけの話なのですが、GUIで操作出来て流石QNAP便利ですね。
3. 更にネットワークのセキュリティ設定で、NAS機能を使用できるインターフェースを制限していた。
   • 接続元IPaddr
   • 使用できるサービス(Samba,NFSなど)
   • 使用可能なインターフェース
4. で、ネットワークセキュリティをしっかり設定していた所為で、うっかり間違えで二度とアクセス出来なくなってしまった...。
   • 管理用インターフェースをブリッジで作っていて、かつ DHCPでアドレスをもらうようにしていた。
   • lxc, docker のブリッジを仮想スイッチ(ブリッジ) 接続してしまった。
   • 内部DHCPがそのまま生きていたので、監理インターフェースがコンテナ用の内部DHCPで割り当てられてしまって、外部ホストからアクセス出来ない...。
   • ネットワークセキュリティでアクセス元アドレスを指定していたので、コンテナ用アドレスではアクセス出来ない...。
   • 詰んだ...。

初期化方法

• 初期化方法
  • アレやコレ
• 初期化されるのは何か？
  • ファームウェア(OS)の設定
    • ユーザーアカウント
    • ネットワーク設定
• 消えないものは何か？
  • ストレージ構成
    • ストレージの状態は初期化しても消えないので、物理ディスクをマウント位置も変えずに戻せばデータは消さずに済みます。

QNAPの初期設定（基本機能編）

• ネットワーク設定
• セキュリティー設定
  • コントロールパネル -> システム -> セキュリティ
    • アクセス制限といわゆる Fail2Ban 的な機能の設定。

    • 

      セキュリティ(IPアクセス保護、アカウントアクセス保護)

  • コントロールパネル -> 権限設定 -> ユーザー
    • デフォルトの admin 以外のユーザーアカウントを作成して使用する。

    • 

      コントロールパネル 権限設定 ユーザーの作成

  • コントロールパネル -> ネットワークとファイルサービス -> ネットワークアクセス
    • サービスバインディングで、インターフェースに紐付けるNASサービスを制限する。
    • 仮想ネットワーク(ブリッジ)の設定を間違ってしまうと、また管理画面にアクセス出来なくなるという諸刃の剣。

    • 

      ネットワークアクセス設定 インターフェースにひも付けるサービスを制限する

  • コントロールパネル -> ネットワークとファイルサービス -> Win/Mac/NFS
    • ネットワークファイルシステムのサービスを選択する。
    • 提供したいサービスだけを明示的に有効化する。
    • AFP と NFS は無効にします。
  • コントロールパネル -> ネットワークとファイルサービス -> Telnet/SSH
    • Telnet は無効化します。
      • 他にも、 SNMP、FTP、TFTP などのレガシーサービス、レガシープロトコルも無効化します。
  • 「アクセス許可の編集」ボタンでリモートシェルログイン出来るユーザーを指定する。
    • 普段 ssh に使用するのは admin 以外にします。adminは復旧時などの非常用途として残しておく。
  • コントロールパネル -> アプリケーション
    • syslogサーバー以外は無効化してしまいます。
  • 通知センター

    • 

      QNAP 通知センター

• ストレージ設定
  • ストレージプールの作成
    • Qtier を構成するかどうかを選ぶ。
      • SSDとHDDの混成の場合は、ティアリングするかどうか検討する必要があるが、TBS-453A は M.2 SATA-SSD のみなのでティアリングは必要ない。
    • RAID構成を選ぶ。
    • 容量アラートしきい値を設定する。
  • ボリュームの作成
    • 一つ目のボリュームはシステム用にも使われる(QNAPアプリ等)ので、自分用のデータとは別のOS用途として作っておく(自分の場合はシンプロビジョニングで64GBにしている)。
    • 二つ目以降をデータ用途して作成する。
      • データ用途には「暗号化」を有効にする。 パスワードは保存でも構わない。

番外: QNAPの利用規約とプライバシーポリシー

• QNAP Privacy Policy :: Privacy Policy ::NAS :: QNAP
  • Data Privacy Notice | QNAP
  • Data Privacy Notice | QNAP
• QNAP Terms of Use :: Terms of Use ::NAS :: QNAP
• Out-of-Warranty RMA Service Terms and Conditions :: Out-of-Warranty RMA Service Terms and Conditions ::NAS :: QNAP

番外: QNAPの脆弱性情報

• Security Advisories | QNAP
• cve.mitre.org