Network File System

There are three ways.

The simplest is a swap file on an NFS mount.

That was broken for years, because the swap writes ran through a check that always failed on a swap file, and the swap and man page still says swap over NFS may not work.

But the repair series landed, and since Linux 5.19 from the summer of 2022, a swap file on NFS is supported again.

The man page is stale.

We did NFS versions and the gotchas in an earlier episode.

I don't wanna go back into it.

We're here for the block device.

Then the shared file systems.

EFS is a managed elastic file system using NFS for Linux workloads, mountable by thousands of instances across availability zones and it scales automatically.

FSX comes in flavors.

FSX is Windows file server for Windows based SMB shares and FSX for Lustre for high performance computing.

Let's pause here.

The correct answer is option A, Amazon EFS, and here's why it's right.

EFS is a managed elastic file system using the NFS protocol, and it can be mounted concurrently by thousands of Linux instances across multiple availability zones.

It scales automatically as you add data with no capacity to provision at all.

Founded in 1982 by Bill Joy and other key BSD contributors, Sun was the vendor of choice for researchers and other professional Unix users.

The company invented two fixtures of computing in its time, the NFS distributed file system and the Java programming language.

Um, Ruben would interject there and say ZFS as well.

But anyway, uh, so why didn't BSD become the universal free operating system? For that story, see my four-part series for Unix to Linux, Key Trends in the Evolution of OSs.

A few years ago, I never would have thought it possible to run this kind of thing on FreeBSD." Uh, the heading here is, "Image now runs on FreeBSD.

Thanks to Podman and the creator of this project, uh, I've run a few tests.

I've got no trouble mounting an NFS share containing all the photos I've taken with my smartphone, about 40 gigabytes, and I've also added a read-only share for my older photos, about 150 gigs, that I took with my old cameras, going far, as far back as the early 2000s.

Everything worked perfectly.

The 90% Cold Reality.

Years ago, a landmark empirical study conducted by researchers at the University of California, Santa Cruz, in collaboration with NetApp, pulled the curtain back on enterprise CIFS, NFS usage.

They analyzed storage clusters spanning thousands of corporate, finance, marketing, and engineering workloads.

Their findings should haunt anyone managing storage infrastructure.

The dual benefit, capacity relief and ransomware defense.

There is an unintended architectural dividend to aggressive archiving, it shrinks your blast radius.

When ransomware infiltrates an enterprise infrastructure, its first targets are live, writable shares mounted over SM band NFS.

It enumerates directory trees, walks the inodes, and begins encrypting everything in place.

actual valuable engineering data, the code repositories, and the test results were not stored locally.

They were mounted from a central NFS, a network file system.

And the IT department had heavily prioritized backing up the NFS servers.

So while they had to spend a few hours rebuilding the operating system on the local box, the actual intellectual property was perfectly safe.

Because they had properly balanced their protection by centralizing the high-value data.

It is raw block level storage that acts exactly like an unformatted hard drive plugged into your machine.

And the other common physical storage is a NAS, network attached storage, or an NFS file server.

This is the kind of shared drive an entire office might use to drop documents into a common folder.

That maps to the Elastic File System, or EFS in AWS, and in OpenShift, that is your ReadWriteMany persistent volume.

You put an object into the bucket, or you get an object from the bucket.

Third on the list is the shared file system, specifically the Elastic File System, EFS.

It utilizes the NFS V4 protocol and allows multi-node access.

It's recommended for shared application assets or legacy stateful workloads.

这个咱们，呃，咱们观众说，会议观众说啊，陈凤刚说，估计这些金融机构对外网络端口暴露也太多了，给中共钻了空子。就是大家还没理解这个逻辑啊，它不是金融机构的网络端口，网络端口不可能暴露，它不是这逻辑。因为现在的任何一个银行系统，啊，一个开银行的，你自己得有一个核心数据中心，那不可能暴露的啊，你绝对攻不破的，除非你有量子啊。然后嘞，银行底下肯定有贷款机构，贷款机构底下又有啊，承包商，比如说，啊，是吧？承包商底下有员工，员工账户，还有软件供应商，啊，各种 AIP，是吧？比如说你像，比如说你像员工，你要登录到银行，他是不是有个，有个客户端？好，那员，员工的客户端，那肯定，啊你在银行公司里登录肯定很难进去，但是他是不是也有代理啊？是吧？比如说，底下有二级代理机构，啊，他会连到银行，是吧？那这个代理机构，就贷款机构，就是它的啊，代理商，它的系统，是吧？可能就绝对，因为银行-- 所以你看啊，贷款机构它里头也会存很多数据。举例子啊，比如说啊，贷款机构，比如说这个韩国某个银行，底下贷款机构，是吧，贷款机构说，啊，你，你只要家里有个电脑就行了，是不是？啊，让你登录，登录进去就行了。但是你要知道它这个 AI 是啥，干啥的。我找到你贷款机构的这台电脑，但是要大批量去找，找完以后，我直接，啊，因为你的只是一个电脑而已，还不容易进去吗？哎一看，哦，他首先要知道哪台是他贷款机构电脑，我直接进去，进去以后我直接在你的电脑里头找到，比如说你肯定会保存一个你的这个客户的资料或者啥，不就行了吗？他不就拿走了吗？关键说的是啊，他这个攻击是要量，是吧？因为，因为他这个 AI，就是你得要足够多的 AI 来算，算力要足够，他才可以在这个海量的里头去找到这些电脑。他通过一种方式去找，是不是？这样东西是，只要有 AI，就关键是算力。所以他就做了这个东西的目的是啊，让别人下载，是吧，然后用你的电脑的算力去做，什么，这其实就是区块链的玩法，啊。用你的算力来帮他计算，然后嘞，统一调配。这是一种。明白这种，说白了就是啊，他的 Attacks 背后，刚才说了嘛，他下载，啊，下载你全是二进制的，二进制代码，是吧？实际上就是一个程式码，你根本不知道它的啥意思，全是二进制啊，一段数字你看得懂吗？看不懂。再说你也不会去，啊，在这更新就更新，更新完以后，其实你就成了肉鸡。AI 做 AI 最重要的就是这个能力，啊，是吧？所，所谓的 AI 去找，是吧？就是，啊，找这些关联的，找完以后，是不是，一看，啊，这台电脑，比如说这韩国某个员工，是吧？ 曾经跟关联过，直接攻破你的，就这种攻击方法，以前人是很难做得到的。这就我们之前说过嘛，啊，比如你在区块链的代码里头，区块链所有的供链里头，你去找，很难找，人绝对找不到，几，几十一个，所以它要，它叫AI找，它就可以，但是AI它要算力，所以它这为啥它是开源代码？它本质逻辑就在这，啊，它让有的人下载，在家里玩的时候，可能就关联了一个AI账户，AI账户里就给它付钱，[笑] 是不是？咱我-我-我都玩过，是吧，下载一些AI，AI说，哎，你关联你的Open AI账户，里面啊是用token来付费的，你要让token啊，你要Open AI那个token，是不是？它有个企业版的，企业版就是你存钱进去，啊，然后你下载一个AI，让它在里面玩，调用，那它就每个月，每天都给你算账本，每个月，账本很多啊，如果，你如果不控制住的话，一个月几千美金轻轻松松就花掉了。如果你下载一个AI的所谓的比如说啊，一个工具，说让它开放，让它用你的账户的token去应用的话，我告诉你，一天几十美金，上百美金就没了。咱们现在下载的，啊，比如说ChatGPT，它是包月版本啊，二十多美元，是吧，基础版，更贵的一百美元。它有商业版本啊，就跟你的电话费一样，是吧？打多少，花多少钱。所以有的人说白了，就搞叫Attacks，它是培育了一段时间的，懂吧？肯定一开始有的人用，哎，这挺好用的，因为你看它这个在GitHub上写的是，这是一个网络安全工具，啊，专门帮助识别网络中的漏洞。它在网上，在开源里头说是网络安全工具，明白不？没说是网络渗透工具，不是黑客工具，是吧？有的人就-就-就我网络安全，我在网上找啊，比如一般都在GitHub去找，找，诶，这个东西不错，还免费，啊，功能很多，然后他就下载了，有些。但是你要知道，所有的AI工具它都要一点，你必须得用算力，说白了就是用这个token，这token你就得关联账户。你像中共，啊，我，你刚刚说，对，为啥？这个量很大，你算，是吧？如果他能偷走六万八千人的个人信息，你不知道扫描多少。如果说他三百个账户，他说，这里，这里说啊，说发现是有三百个下载了它，同时来算的话，啊，如果每某一个地方，啊，比如说是一个，啊，站-站长，是吧，就网-网站后台的站长，啊，他就喜欢用AI这个，那他的，他，因为他的token会跟他自己的东西融在一起，你都不知道到底这笔钱是不是被他盗了。明白这，因为它是网络安全。比如说一般下载一个AI网络安全工具，啊，它这东西还可以赚钱呢，你知道吧，他平时他让你，是吧，你说网上很多，很多网页，你去看，玩这个东西啊，他开发一个小的AI工具让你用，是不是？然后呢，让你付费，啊，五块钱一个月，十块钱一个月美元，它实现一些基础功能，一些功能，很方便。很多这样的项目是硅谷很多很多，你上网去搜，很多，啊，就是开发一个[咳嗽]类似于这样的人工智能代理，就是人工智能代理，它给你做好，[咳嗽]然后呢，是吧，包月就十几块钱，是不是？然后就是一些简单功能，比如你像是ChatGPT，是吧，语音，你-你-你-你，比如说啊，比如说下载YouTube的视频，ChatGPT没法立即变成文字，是吧？是不是？但是有这种工具，啊，这个工具要收费，它其实就是一个简单工具，它其实上也是用Open AI的资源给它识别出来，变成文字，只不过ChatGPT没做这个功能而已，没做这个功能。啊，你比如你给个链接，ChatGPT它不能，它-它说，啊，我这个YouTube，你说你把它直接翻译成英文，它翻译不了，它说，哎，我这做不到。啊，得要另外一个。它其实就，它这个AI工具就这玩意，但是关键它什么？他妈它在后台装了黑-黑洞，黑客后门，这是他妈中共邪恶的地方，就中共啊，所有的东西都用来武器化，这是他妈最邪恶的，就是这一点，啊。因为这个东西它不仅仅可以对银行，对所有的它都可以用。说白了，它就，它啥？就是找，啊，比如说保险公司，汽车偷盗，它都可以从保险公司里头，啊，的那些，就是你的总的服务器和客户之间的，它找到这些关联性，然后再扫描你电脑，然后再去私处的，破解密码，然后进去，然后再进一步的扫描你电脑，再把你这样的东西给它弄出来。就这么，就这个逻辑，它，但它前提得精准，要找到，啊，要找到，啊。 是不是？肯尼尔分享下，你怎么看？

对啊，像这种所谓的资安工具哦，其实在过去啊，呃，我们就，呃，如果说 [咂嘴]你-你-你-你小时候有玩过电脑的话哦，就是说大概在一九九零年代吧，那个年代哦，如果说你可能当时有病毒嘛，对不对？这个什么黑色星期五啊，像那个年代的病毒。对，那你这个时候你就要安装所谓的防毒软体嘛。啊，小弟当时啊，这在正在学这个 C 啊，以及这个组合语言啊，在那个时候呢，我们为了要这个学习这个机器是怎么运作的哦，所以我们就，呃，好啊，那我们就来写，写病毒好了哦。那写病毒是最快了解机器的一个路径嘛。那你写病毒的时候，你这个时候当然就会跟这个防毒软体来交手啊，对不对？因为你写病毒就要看防毒软体，呃，挡得到挡不到嘛。但是你会发现一件事哦，当我们在，在做这个跟病，跟这个什么防毒软体啊，在这个做攻防的过程当中呢，呃，有一个很重要的事情你可能不知道哦，就是说现在讲的所谓的资安软体，跟以前的那个时候的所谓的防毒软体，它都有一个共同性，你一定要给它 admin 或是 root 的权限。啊，什么意思呢？就是最高权限你一定要给它啦。哦，那这个时候呢，你就等于是把你的身家全部交付给它，整台电脑就交付给它了哦，因为，因为你要它来帮你做资安，你当然要信任它啊。就好像这个什么，像这个，像这个台北市政府以前不是啊，为了要这个找人家来这个帮台北市政府做资安，那你首先你要把台北市政府的 root 权限给它吧，要不然它怎么帮你做资安，对不对？什么都不能灌，什么都不能看，对不对？你没办法做啊。所以呢，当你啊，去啊，呃，相信了一个，哦，这个，这个所谓的资安软体，这以前啊，这这个所谓的防毒软体，像现在防毒软体也很多在用啊，什么 Norton 啊，啊 McAfee 啊，这些 PCC，它们都从一九九零存活到现在嘛。但是你有没有发现，你安装它的时候，你一定要重开机，对不对？因为呢，它是把它的这个所谓的防毒的这个东西要-要放到它最底层里下面去啊。啊什么叫最底层？你就要给它最高权限嘛。啊这个也是一样嘛，对不对？Atas。Atas 啊它厉害的地方就是哦，它还真不太需要你最底层的权限，所以呢，你就会以为它动不到你的底层，然后就放心跑了，结果你-你忘了一件事，它直接啊，就直接开一个 bash 啊，就开一个 shell 就直接跑了，你根本，根本连抓都抓不到，对不对？而且它-它-它所使用的指令，curl 啊，对不对？我刚刚讲的 Nmap 啊，像这些东西，基本上呢就是什么？你是一般使用者的权限就可以跑，所以呢，你对它更会，更不会觉得，欸，我还不需要什么，我还不需要把最高权限给它，就可以用了耶。哇，这个应该很方便呢，很安全才对。事实上大错特错哦。它这个中共国现在就是利用一般人哦这种心态。为什么，为什么我刚才会强调说面对一个你根本搞不清楚这到底是什么，尤其是这么强的资安工具，你只要看到资安工具哦，或是像病毒软体啊，你就要想到一件事，你的电脑，你的身家就是交给它了啦。为什么呢？因为你-你如果不把最高的权限交给它，你就不能用。好，那你把最高权限交给它之后，那再来这台电脑你以为是你的，但是基本上就不是你的，尤其是像现在基本上是互联网的时代啊，互理——以前，以前在那个防毒软体，你还是要拿那个什么磁碟片插进去，它扫一下才知道。那现在不用啊，现在直接网路上面，每天在你的电脑，你去看看你的电脑，你的电脑在现在当下，包括你的手机随时都有一两百条线在连接，连——然后重点是连接的过程当中在传什么，你怎么知道？然后你装了这个不明的东西，它到底持续恒定地连在哪一台伺服器上面交换什么资料，你也不会知道啊，对不对？所以呢，这就是为什么刚刚路德讲啊，它这个中共国用这种方式让你下载，让你玩，对不对？然-然后呢，安装完了之后呢，欸，看起来一副人设人畜无害的样子，呃，然后呢，然后呢，有-有一天你的电脑被利用来攻击，那搞不好 FBI 早上去你家敲门的时候，你说：“没有啊，我又没干嘛。”啊事实上呢，因为你安装了这个东西，有人利用你这台电脑去对于某些地方发起攻击，而且那个发起过程当中还不用你付钱耶，因为它-它在发起攻击的时候，在套用的这个所谓的AI的这个API的key，是什么？是中共国自己付钱的嘛，你还不用付钱，所以你会觉得我也没损失啊，对不对？那我的账单也没变多啊，可是你-你的电脑却一直不断地在帮忙哦，帮忙做这件事情，其实这是最可怕的地方。其实还有一个更可怕的地方，尤其是像这种资安工具啊，通常呢，真的会去把它拿下来玩，会好好认真地玩的人是哪些？就我跟你讲，就是那些哦，做资安的人哦，不管你是厉害或是不厉害，当你有一天懒的时候，你就会想要用这些工具，当你很忙的时候，你就会用。尤其是像现在一般的公司对于资安人员基本上是砍再砍嘛，为什么？薪水高，然后呢平常看他们都是在什么，在打电动啊，滑手机啊，在这边聊天啊，对不对？但是你别忘记一件事啊，当你这个出事的时候，你没有这些资安的人，你这基本上公司就毁了。意思是什么呢？通常公司都会有防火墙，对不对？甚至会有什么？就直接封闭隔绝的内网。比方说像台湾的健保，台湾的健保系统，就你就必须要在台湾的健保的 VPN 里面，你才能够存取那些健保的资料嘛。当然你-你也要有这个所谓的诊所的一些，呃，这些 IC 啊，key 啊什么。但是呢，你如果说你安装了这个像这样子的东西哦，然后呢直接安装在健保 VPN 下的某一台伺服器里面的时候，好了，那问题就来了，一样嘛，它就在到处扫啊，对不对？你只要给它一个 IP，之后呢它可能就去-去找你这个所谓，所谓的这个健保伺服器的这个什么？漏洞嘛。欸，坦白讲哦，这我们，我们虽然在做系统工程哦，但是呢，你有时候在安装的时候，你不晓得系统有时候预设帮你开了什么东西，你不知道，对不对？尤其是当比方说像 Windows，最糟糕的是 Windows 当你更新完了之后，它预设帮你开了什么东西，哦，你不知道，对不对？当你知道的时候，你才，啊，我要把它关掉，对不对？但-但是有时候呢，晚了啊，对不对？尤其是你看哦，你觉得中共国搞了这个东西出来哦，花了这么大把钱哦，在那边搞一个这种冠军的这个资安，呃，冠军级的哦，这个比赛过的嘛，的这种资安，资安软体出来，它是为了要去窃取你们家这个小猫小狗的照片吗？绝对不是嘛。它-它-它就是要到处找海量的资料。 对不对？他可能，呃，在邮-- 如果攻邮局吼，把邮局的这些客户名单哦，或是我今天要递送快递的名单，对不对？我每天就在那里踹啊。而且还有一个啊，这个名单怎么弄？所以有时候是这样子，因为比较老旧的系统，有时候是一个SQL injection哦，这个资料就出来了。这个SQL injection这种，这种技术基本上，欸，是，没什么大不了，只要老一点的系统很可能就有这个漏洞，对不对？吼。那这个时候呢基本上就有啊，尤其是越，越老的公司，越老的企业，尤其是我刚刚讲的那些邮-邮局啊，因为邮局总是最-最老的，post office最老。你说快递基本上现在都是用这个什么新系统，邮-邮政系统有时候很老啊，对不对？尤其-尤其是某些银行系统也很老啊。但银行系统为了要解决这种老的系统容易被攻，它就什么？锁到自己的VPN里面去啊，对不对？可是锁到VPN里面，欸，你银行还是会请资安人员嘛，你资安人员有时候又懒啊，结果就，就本来应该五六个人力，结果你就一个人，然后再下去呢，那我就下载这个来用啊，而且它又这么好用，对不对？那这个时候呢，不就中标了吗？对不对？所以啊，我觉得啊，像比方说像这个漏出来说，哎呀，这个几万六六万多笔资料啊，这样子被-被提出来，他们后面到底拿了多少资料，其实真的是没有人知道。但是呢，很明显的，如果这些啊，这些工具的提供者是中共国本身，对不对？那，那问题就来了嘛，对不对？你中共国为什么要干这种事情？我没-- 我跟你讲，那些美国人啊，其他欧洲人啊，或像台湾人啊，在玩这种资安的东西，也不会有人大大地把这种所谓的资安安全工具啊就这么放在上面的。为什么呢？这-这个，这个真的是其心可议啊，对不对？你到底后面在想什么？然后你还让人家update的，对不对？然后你update又怎么样？欸，它通-通常一般人写这种工具，基本上是可以拿来赚钱的欸，为什么要这样子免费让你用？其实我告诉你，免费最贵啦吼。那，那这个什么？就是大家的心态嘛，对不对？你一旦下载完了之后，就像刚刚路德讲啊，就开始扫你所有的工具啊，比方说像所有的这个什么，这个，这个，这个Windows，它可能会有Samba，对不对？那大部分的这个账号，大部分人设账号密码都是设很无脑的账号密码，就很好攻嘛。尤其是如果你家还有NAS的话，它就去连连看，对不对？如果你有NFS，NFS没有密码的问题嘛，你只要IP端，IP端对了，它就让你连了嘛，对不对？很多的这个所谓的Linux这种大型系统，其实背后基本上都是NFS在那里，在那里挂载嘛，是不是？所以呢，这个有多可怕，真的是很可怕啊，尤其是安装的人还不晓得它有多可怕。我觉得这个新闻爆出来，就是要让大家对于这Atex这个东西啊，吼，要有戒心，尤其是对于资安人员，一定对它要有戒心，因为呢，你根本不晓得它到，到它的后面，虽然说提供你很多方便没有错，它就是要让你觉得很方，就好像很多，我举个例子，就好像很多比方说换脸的一些APP哦。欸，你要想一件事啊，你觉得，哎呀，这个换脸换成一个老人啊，换成，换一个挂胡子的人，觉得这个好可爱，一次就给你创造了八个结果出来，然后这种，这种所谓的帮你面部啊做一些，比方说做素描那种APP。可是你有没有记得，你，你不要忘记一件事哦，当你拍摄你自己的时候，你同时因为下载这个APP，你的资料已经被传出去了，你的面部已经被传出去了。这个大家有没有想过说有没有这样，有没有这种可能？要不然它为什么免费让你下载这种东西，然后让你这样玩呢？对不对？写这个软件不要钱吗？欸，现在上架，不管是Google上架，或者是那个什么，或者是在那个什么，在iOS上架，那个都是每-每年都要缴年费的呢，对不对？那为什么，为什么就这样子让你下载免费这样玩？那一定背后有什么样的经济商业利益嘛。如果没有商业利益，你就要考虑是不是它就要获取你个资，而个资才是最贵的东西嘛。所以这个已经不只是，是就是说，欸，这个东西啊，只是拿来拿个工具这么好用，可能背后还有很多的这个我们不知道的一些阴谋在后头啊，这个不得不防啊，路德。

然后说，啊，这个Atex，是吧，说被发现了以后，说更新了用户指南，明确规定该工具不得用于未经授权的[笑]入侵、数据窃取和其他恶意目的。这说白了，之前为啥不说？啊，现在啊什么用户-

这个就此地无银三百两啊。

So the Lozen approach is that we follow industry standards here.

We make the mainframe look like just another mounted network drive, another NFS link.

And what that means is that any application that knows how to do standard runtime things can access mainframe data just like it was local data to really any other file.

So, and again, this isn't a new approach.

I mean, we've seen this done on other platforms.

I mean, that's exactly what NFS is.

That's exactly what a, let's say a Windows share is, I want to access your data like it's a local part of my disk.

We do that, but we take the leap of saying we can do that with VSAM and mainframe sequential files and PDSs and all the other things that are really hard to do today.

No, definitely not.

In a true enterprise architecture, you would pair your identity management system with a centralized storage solution, something like NFS, the network file system.

So instead of the client machine generating a blank local directory, it uses a tool called ODOFs to dynamically mount your actual home directory from a central storage server the moment you log in.

Oh, and then it unmounts it when you leave.