プライベートクラウドにおけるVM Live Migrationの通信暗号化の実装と検証（インターンレポート）

要点

• QEMUのTCPセッションをTLS化して盗聴を防ぐ。Flavaには各ホストの証明書発行手段がなく、Keystoneトークンで申請元を確認するCAとクライアントを自作した。
• 小さいVMでは成功したが、メモリ・ディスク100GiBのVMでは移動元QEMUがSIGSEGVで落ち、ロールバックされずVMがERROR状態になった。
• gdbのバックトレースとCodexとの調査で、原因はGnuTLSのTLS 1.3鍵更新バグと判明した。約32GB転送ごとの鍵更新で発生し、パッチ適用後に成功した。
• TLS有効化で転送速度はディスク平均25.9%、メモリ78.9%低下した。QEMUがTLS処理をシングルコアで行うためと推測し、改善にはupstream側の対応が必要とした。