ISCSI - Википедия - iSCSI

Эта статья поднимает множество проблем. Пожалуйста помоги Улучши это или обсудите эти вопросы на страница обсуждения. (Узнайте, как и когда удалить эти сообщения-шаблоны) Эта статья нужны дополнительные цитаты для проверка. Пожалуйста помоги улучшить эту статью к добавление цитат в надежные источники. Материал, не полученный от источника, может быть оспорен и удален. Найдите источники: «ISCSI»  – Новости  · газеты  · книги  · ученый  · JSTOR (Март 2012 г.) (Узнайте, как и когда удалить этот шаблон сообщения) В нейтралитет этой статьи оспаривается. Соответствующее обсуждение можно найти на страница обсуждения. Пожалуйста, не удаляйте это сообщение, пока условия для этого выполнены. (Февраль 2019 г.) (Узнайте, как и когда удалить этот шаблон сообщения) Эта статья содержит контент, который написан как Реклама. Пожалуйста помоги Улучши это путем удаления рекламный контент и неуместно внешняя ссылка, а также путем добавления энциклопедического содержания, написанного с нейтральная точка зрения. (Февраль 2019 г.) (Узнайте, как и когда удалить этот шаблон сообщения) Эта статья может быть сбивает с толку или неясно читателям. Пожалуйста, помоги нам прояснить статью. Возможно обсуждение этого вопроса на страница обсуждения. (Февраль 2019 г.) (Узнайте, как и когда удалить этот шаблон сообщения) (Узнайте, как и когда удалить этот шаблон сообщения)

В вычислениях iSCSI (/ˈаɪskʌzя/ (Слушать) ГЛАЗ-скуз-ее ) является аббревиатурой от Интерфейс малых компьютерных систем Интернета, протокол Интернета Стандарт сети хранения на основе (IP) для связывания устройств хранения данных. Это обеспечивает доступ на уровне блоков к устройства хранения данных неся SCSI командует TCP / IP сеть. iSCSI используется для облегчения передачи данных через интрасети и управлять хранилищем на больших расстояниях. Его можно использовать для передачи данных по локальные сети (ЛВС), глобальные сети (WAN) или Интернет и может обеспечить хранение и поиск данных независимо от местоположения.

В протокол позволяет клиентам (называемым инициаторы) для отправки команд SCSI (CDB ) на устройства хранения (цели) на удаленных серверах. Это сеть хранения данных (SAN), позволяющий организациям объединять хранилища в массивы хранения предоставляя клиентам (таким как базы данных и веб-серверы) иллюзию локально подключенных дисков SCSI.^[1] В основном он конкурирует с Fibre Channel, но в отличие от традиционного Fibre Channel, для которого обычно требуется выделенный кабель,^[а] iSCSI может работать на больших расстояниях с использованием существующей сетевой инфраструктуры.^[2] Протокол iSCSI был впервые предложен IBM и Cisco в 1998 году и представлен как черновой вариант стандарта в марте 2000 года.^[3]

Концепции

По сути, iSCSI позволяет двум хостам вести переговоры, а затем обмениваться SCSI команды с использованием протокол Интернета (IP) сети. Таким образом, iSCSI использует популярную высокопроизводительную шину локального хранилища и эмулирует ее в широком диапазоне сетей, создавая сеть хранения данных (SAN). В отличие от некоторых протоколов SAN, iSCSI не требует выделенных кабелей; его можно запустить поверх существующей IP-инфраструктуры. В результате iSCSI часто рассматривается как недорогая альтернатива Fibre Channel, для чего требуется выделенная инфраструктура, за исключением FCoE (Fibre Channel over Ethernet) форма. Однако производительность развертывания iSCSI SAN может быть значительно снижена, если она не работает в выделенной сети или подсети (LAN или VLAN ) из-за конкуренции за фиксированную пропускную способность.

Хотя iSCSI может взаимодействовать с устройствами SCSI произвольного типа, системные администраторы почти всегда используют его, чтобы позволить серверам (например, серверам баз данных) получать доступ к дисковым томам в массивах хранения. Сети iSCSI SAN часто преследуют одну из двух задач:

Консолидация хранилища

Организации перемещают разрозненные ресурсы хранения с серверов по своей сети в центральные места, часто в центры обработки данных; это позволяет повысить эффективность распределения хранилища, поскольку само хранилище больше не привязано к конкретному серверу. В среде SAN серверу можно выделить новый дисковый том без каких-либо изменений в оборудовании или кабелях.

Аварийное восстановление

Организации зеркалируют ресурсы хранения из одного центра обработки данных в удаленный центр обработки данных, который может служить в качестве горячего / резервного в случае длительного простоя. В частности, сети хранения данных iSCSI позволяют переносить целые дисковые массивы через глобальную сеть с минимальными изменениями конфигурации, что фактически делает хранилище «маршрутизируемым» таким же образом, как и сетевой трафик.^{[нужна цитата ]}

Инициатор

An инициатор функционирует как клиент iSCSI. Инициатор обычно служит той же цели для компьютера, что и адаптер шины SCSI, за исключением того, что вместо физического подключения устройств SCSI (например, жестких дисков и устройств смены лент) инициатор iSCSI отправляет команды SCSI по IP-сети. Инициаторы делятся на два основных типа:

Программный инициатор использует код для реализации iSCSI. Обычно это происходит в резидент ядра драйвер устройства, использующий существующий сетевая карта (NIC) и Сетевой стек для эмуляции устройств SCSI для компьютера с использованием протокола iSCSI. Программные инициаторы доступны для большинства популярных операционных систем и являются наиболее распространенным методом развертывания iSCSI.

Аппаратный инициатор использует выделенное оборудование, обычно в сочетании с прошивка на этом оборудовании, чтобы реализовать iSCSI. Аппаратный инициатор снижает накладные расходы на iSCSI и TCP обработка и Прерывания Ethernet, и, следовательно, может улучшить производительность серверов, использующих iSCSI. адаптер главной шины (чаще HBA) реализует аппаратный инициатор. Типичный адаптер главной шины представляет собой комбинацию Gigabit (или 10 Gigabit) Ethernet. контроллер сетевого интерфейса, своего рода технология TCP / IP Offload Engine (TOE) и адаптер шины SCSI, как это представляется операционной системе. iSCSI HBA может включать PCI дополнительное ПЗУ позволять загрузка из iSCSI SAN.

An модуль разгрузки iSCSI, или же карта iSOE, предлагает альтернативу полноценному iSCSI HBA. ISOE «разгружает» операции инициатора iSCSI для этого конкретного сетевого интерфейса с хост-процессора, освобождая циклы ЦП для основных хост-приложений. iSCSI HBA или iSOE используются, когда дополнительное повышение производительности оправдывает дополнительные расходы на использование HBA для iSCSI,^[4] вместо использования программного клиента iSCSI (инициатора). iSOE может быть реализован с дополнительными услугами, такими как Механизм разгрузки TCP (TOE) для дальнейшего уменьшения использования ЦП хост-сервера.

Цель

Спецификация iSCSI относится к ресурсу хранения, расположенному на сервере iSCSI (в более общем смысле, один из потенциально многих экземпляры узлов хранения iSCSI, работающих на этом сервере) в качестве цель.

Целевой объект iSCSI часто представляет собой выделенное сетевое устройство хранения на жестком диске, но также может быть компьютером общего назначения, поскольку, как и в случае с инициаторами, программное обеспечение для обеспечения цели iSCSI доступно для большинства основных операционных систем.

Общие сценарии развертывания для цели iSCSI включают:

Массив хранения

В центре обработки данных или корпоративной среде цель iSCSI часто находится в большом массиве хранения. Эти массивы могут быть в виде серийного оборудования с бесплатно программное обеспечение реализации iSCSI или как коммерческие продукты, такие как Квантастор, CloudByte, StorTrends, Чистое хранилище, HP StorageWorks, EqualLogic, Tegile Systems, Быстрое хранение, Reduxio, Семейство IBM Storwize, Isilon, Файловый агент NetApp, Dell EMC, Kaminario, Серия NS, CX4, VNX, VNXe, VMAX, Hitachi Data Systems HNAS или Pivot3 vSTAC.

Массив хранения обычно предоставляет различные цели iSCSI для множества клиентов.^[5]

Программная цель

Почти все современные основные серверные операционные системы (например, BSD, Linux, Солярис или же Windows Server ) может предоставлять целевые функции iSCSI либо как встроенную функцию, либо с дополнительным программным обеспечением. В некоторых операционных системах специального назначения реализована поддержка цели iSCSI.

Номер логической единицы

В SCSI терминология, LU означает логическая единица, который задается уникальным номер логической единицы. LUN представляет собой индивидуально адресуемое (логическое) устройство SCSI, которое является частью физического устройства SCSI (цели). В среде iSCSI LUN представляют собой пронумерованные диски.^{[нужна цитата ]} Инициатор согласовывает с целевым объектом, чтобы установить соединение с LUN; в результате получается соединение iSCSI, которое имитирует соединение с жестким диском SCSI. Инициаторы обрабатывают iSCSI LUN так же, как жесткие диски SCSI или IDE; например, вместо монтирования удаленных каталогов, как это было бы в NFS или же CIFS среды, форматирование систем iSCSI и непосредственное управление файловыми системами на iSCSI LUN.

В корпоративных развертываниях LUN обычно представляют собой подмножества больших RAID дисковые массивы, часто по одному на клиента. iSCSI не налагает никаких правил или ограничений на несколько компьютеров, совместно использующих отдельные LUN; он оставляет совместный доступ к единственной базовой файловой системе в качестве задачи для операционной системы.

Загрузка по сети

Для общего хранения данных на уже загруженном компьютере любой тип универсального сетевого интерфейса может использоваться для доступа к устройствам iSCSI.^{[нужна цитата ]}. Однако общий сетевой интерфейс потребительского уровня не может загружать бездисковый компьютер из удаленного источника данных iSCSI.^{[нужна цитата ]}. Вместо этого сервер обычно загружает свою исходную операционную систему из TFTP сервер или локальное загрузочное устройство, а затем использовать iSCSI для хранения данных после завершения загрузки с локального устройства^{[нужна цитата ]}.

Отдельный DHCP-сервер может быть настроен для поддержки интерфейсов, оснащенных сетевая загрузка возможность загрузки через iSCSI. В этом случае сетевой интерфейс ищет DHCP-сервер, предлагающий PXE или же бутп загрузочный образ.^[6] Это используется для запуска процесса удаленной загрузки iSCSI с использованием загружаемого сетевого интерфейса. MAC-адрес направить компьютер на правильную загрузочную цель iSCSI^{[нужна цитата ]}. Затем можно использовать программный подход для загрузки небольшой программы загрузки, которая, в свою очередь, может смонтировать удаленную цель iSCSI, как если бы это был локальный диск SCSI, а затем запустить процесс загрузки с указанной цели iSCSI.^{[нужна цитата ]}. Этого можно добиться, используя существующий Среда выполнения предварительной загрузки (PXE) загрузочное ПЗУ, которое доступно на многих проводных адаптерах Ethernet. Загрузочный код также может быть загружен с CD / DVD, гибкого диска (или образа гибкого диска) и USB-накопителя, или он может заменить существующий загрузочный код PXE на адаптерах, которые можно повторно прошить.^[7] Самым популярным бесплатным программным обеспечением, предлагающим поддержку загрузки iSCSI, является iPXE.^[8]

Большинство контроллеров Intel Ethernet для серверов поддерживают загрузку iSCSI.^[9]

Обращение

iSCSI использует TCP (обычно TCP порты 860 и 3260) для самих протоколов с именами более высокого уровня, используемыми для адресации объектов внутри протокола. Специальные имена относятся как к инициаторам, так и к целям iSCSI. iSCSI предоставляет три формата имен:

Полное имя iSCSI (IQN)

Формат: полное имя iSCSI задокументировано в RFC 3720, с другими примерами имен в RFC 3721. Вкратце, это поля:

• буквальный iqn (полное имя iSCSI)
• дата (гггг-мм), когда орган, занимающийся именованием, стал владельцем домена
• перевернутое доменное имя органа власти (например, org.alpinelinux, com.example, to.yp.cr)
• Необязательный префикс «:» к имени целевого хранилища, указанному агентством по присвоению имен.

Из RFC:^[10]

Расширенный уникальный идентификатор (EUI)

Формат: eui. {EUI-64-битный адрес} (например, eui.02004567A425678D)

Администрация сетевого адреса T11 (NAA)

Формат: naa. {NAA 64- или 128-битный идентификатор} (например, naa.52004567BA64678D)

Адреса в формате IQN встречаются чаще всего. Они обозначаются датой (гггг-мм), поскольку срок действия доменных имен может истечь или они могут быть приобретены другим лицом.

Орган регистрации IEEE предоставляет EUI в соответствии со стандартом EUI-64. NAA является частью OUI, предоставляемой органом регистрации IEEE. Форматы имен NAA были добавлены в iSCSI в RFC 3980, чтобы обеспечить совместимость с соглашениями об именах, используемыми в Fibre Channel и Последовательный SCSI (SAS) технологии хранения.

Обычно участника iSCSI можно определить по трем или четырем полям:

1. Имя хоста или IP-адрес (например, "iscsi.example.com")
2. Номер порта (например, 3260)
3. Имя iSCSI (например, IQN «iqn.2003-01.com.ibm:00.fcd0ab21.shark128»)
4. Необязательный ГЛАВА Секрет (например, "секреты веселья")

iSNS

Инициаторы iSCSI могут найти соответствующие ресурсы хранения с помощью Служба имен хранилищ в Интернете (iSNS) протокол. Теоретически iSNS предоставляет сетям iSCSI SAN ту же модель управления, что и выделенные Fibre Channel SAN. На практике администраторы могут достичь многих целей развертывания iSCSI без использования iSNS.

Безопасность

Аутентификация

Инициаторы и цели iSCSI подтверждают свою идентичность друг другу с помощью ГЛАВА, который включает механизм предотвращения открытый текст пароли от появления на проводе. Сам по себе протокол CHAP уязвим для словарные атаки, спуфинг, и отражение атак. При тщательном соблюдении передовые методы использования CHAP в iSCSI уменьшают поверхность для этих атак и снижают риски.^[11]

Кроме того, как и все протоколы на основе IP, IPsec может работать на сетевом уровне. Протокол согласования iSCSI разработан с учетом других схем аутентификации, хотя проблемы взаимодействия ограничивают их развертывание.

Логическая изоляция сети

Чтобы гарантировать, что только допустимые инициаторы подключаются к массивам хранения, администраторы обычно запускают iSCSI только в логически изолированных сетях обратного канала. В этой архитектуре развертывания только порты управления массивами хранения доступны для внутренней сети общего назначения, а сам протокол iSCSI запускается через выделенные сегменты сети или виртуальные локальные сети (VLAN). Это снижает проблемы аутентификации; неавторизованные пользователи не имеют физического доступа к iSCSI и, следовательно, не могут взаимодействовать с массивами хранения. Однако это также создает переходное доверие Проблема в том, что один скомпрометированный хост с диском iSCSI может использоваться для атаки на ресурсы хранения других хостов.

Физическая изоляция сети

Хотя iSCSI может быть логически изолирован от общей сети с использованием только виртуальных локальных сетей, он по-прежнему не отличается от любого другого сетевого оборудования и может использовать любой кабель или порт, если существует завершенный путь сигнала между источником и целью. Всего одна ошибка сетевого специалиста в кабельной разводке может нарушить логический барьер, а случайное соединение может быть обнаружено не сразу, поскольку оно не вызывает сетевых ошибок.

Чтобы еще больше отличить iSCSI от обычной сети и предотвратить ошибки при прокладке кабелей при смене подключений, администраторы могут реализовать самоопределяемые стандарты цветовой кодировки и маркировки, например, использовать только кабели желтого цвета для подключений iSCSI и только синие кабели для обычных сеть, а также четкую маркировку портов и коммутаторов, используемых только для iSCSI.

Хотя iSCSI может быть реализован как просто кластер портов VLAN на большом многопортовом коммутаторе, который также используется для общего использования сети, администратор может вместо этого использовать физически отдельные коммутаторы, выделенные только для виртуальных локальных сетей iSCSI, чтобы дополнительно предотвратить возможность неправильно подключенный кабель вставлен не в тот порт, перекрывая логический барьер.

Авторизация

Поскольку iSCSI направлен на консолидацию хранилища для многих серверов в единый массив хранения, для развертывания iSCSI требуются стратегии, предотвращающие доступ несвязанных инициаторов к ресурсам хранилища. В качестве патологического примера, один массив корпоративных хранилищ может содержать данные для серверов, которые по-разному регулируются Закон Сарбейнса – Оксли для корпоративного учета, HIPAA для информации о пользе для здоровья и PCI DSS для обработки кредитных карт. Во время аудита системы хранения должны продемонстрировать средства управления, чтобы гарантировать, что сервер в одном режиме не может получить доступ к ресурсам хранения сервера в другом.

Обычно массивы хранения iSCSI явно сопоставляют инициаторы с конкретными целевыми LUN; инициатор аутентифицируется не в массиве хранения, а в конкретном ресурсе хранения, который он намеревается использовать. Однако, поскольку целевые LUN ​​для команд SCSI выражены как в протоколе согласования iSCSI, так и в базовом протоколе SCSI, необходимо позаботиться о том, чтобы управление доступом обеспечивалось единообразно.

Конфиденциальность и порядочность

По большей части iSCSI работает как протокол открытого текста, который не обеспечивает криптографической защиты данных, перемещаемых во время транзакций SCSI. В результате злоумышленник, который может прослушивать трафик iSCSI Ethernet, может:^[12]

• Реконструировать и скопировать файлы и файловые системы, передаваемые по сети
• Изменять содержимое файлов, вставляя поддельные фреймы iSCSI
• Инициаторы получают доступ к поврежденным файловым системам, что подвергает серверы программным ошибкам в плохо протестированном коде файловой системы.

Эти проблемы возникают не только с iSCSI, но и с любым SAN протокол без криптографической защиты. Протоколы безопасности на основе IP, такие как IPsec, может обеспечить стандартизированную криптографическую защиту этого трафика.

Реализации

Операционные системы

Даты в следующей таблице обозначают первое появление собственного драйвера в каждой операционной системе. Драйверы сторонних производителей для Windows и Linux были доступны еще в 2001 году специально для подключения устройства IBM IP Storage 200i.^[13]

Цели

Большинство целей iSCSI связаны с дисками, хотя также популярны цели iSCSI на ленте и устройства смены носителей. До сих пор физические устройства не имели собственных интерфейсов iSCSI на уровне компонентов. Вместо этого устройства с Параллельный SCSI или же Fibre Channel интерфейсы соединяются с помощью целевого программного обеспечения iSCSI, внешних мостов или контроллеров, внутренних по отношению к корпусу устройства.

В качестве альтернативы можно виртуализировать целевые диски и ленты. Вместо того, чтобы представлять реальное физическое устройство, представлено эмулируемое виртуальное устройство. Базовая реализация может резко отклоняться от представленной цели, как это делается с виртуальная ленточная библиотека (VTL) продукты. VTL используют дисковое хранилище для хранения данных, записанных на виртуальные ленты. Как и в случае с реальными физическими устройствами, виртуальные цели представлены с помощью целевого программного обеспечения iSCSI, внешних мостов или контроллеров, внутренних по отношению к корпусу устройства.

В индустрии средств безопасности некоторые производители используют iSCSI RAID в качестве цели, причем инициатором является кодировщик с поддержкой IP или камера.

Преобразователи и мосты

Существует несколько систем, которые позволяют подключать устройства Fibre Channel, SCSI и SAS к IP-сети для использования через iSCSI. Их можно использовать для перехода от старых технологий хранения, доступа к SAN с удаленных серверов и соединения SAN через IP-сети. Шлюз iSCSI соединяет IP-серверы с сетями Fibre Channel SAN. TCP-соединение завершается на шлюзе, который реализован на коммутаторе Fibre Channel или как автономное устройство.

Смотрите также

Примечания

Рекомендации

дальнейшее чтение