iSCSI

Интерфейс малых компьютерных систем Интернета или iSCSI ( / aɪ ˈ s k ʌ z i / глаз - СКУЗ -ее ) — это Интернет-протокола стандарт сети хранения данных на основе для соединения средств хранения данных. iSCSI обеспечивает на уровне блоков доступ к устройствам хранения , передавая SCSI команды по сети TCP/IP . iSCSI облегчает передачу данных через интрасети и управление хранилищем на больших расстояниях. Его можно использовать для передачи данных через локальные сети (LAN), глобальные сети (WAN) или Интернет , а также обеспечить хранение и извлечение данных независимо от местоположения.

Протокол ) на позволяет клиентам (называемым инициаторами ) отправлять команды SCSI ( CDB устройства хранения ( цели ) на удаленных серверах. Это протокол сети хранения данных (SAN), позволяющий организациям объединять хранилища в массивы хранения , предоставляя клиентам (таким как базы данных и веб-серверы) иллюзию локально подключенных дисков SCSI. В основном он конкурирует с Fibre Channel , но в отличие от традиционного Fibre Channel, который обычно требует выделенного кабеля, iSCSI может работать на больших расстояниях с использованием существующей сетевой инфраструктуры. iSCSI был впервые предложен IBM и Cisco в 1998 году и представлен в качестве проекта стандарта в марте 2000 года.

Концепции

По сути, iSCSI позволяет двум хостам согласовывать, а затем обмениваться командами SCSI, используя сети Интернет-протокола (IP). При этом iSCSI использует популярную высокопроизводительную локальную шину хранения и эмулирует ее в широком диапазоне сетей, создавая сеть хранения данных (SAN). В отличие от некоторых протоколов SAN, iSCSI не требует выделенного кабеля; его можно запускать через существующую IP-инфраструктуру. В результате iSCSI часто рассматривается как недорогая альтернатива Fibre Channel , для которой требуется выделенная инфраструктура, за исключением ее формы FCoE (Fibre Channel over Ethernet). Однако производительность развертывания сети хранения данных iSCSI может быть серьезно снижена, если она не работает в выделенной сети или подсети (LAN или VLAN ) из-за конкуренции за фиксированную полосу пропускания.

Хотя iSCSI может взаимодействовать с произвольными типами устройств SCSI, системные администраторы почти всегда используют его, чтобы разрешить серверам (например, серверам баз данных) получать доступ к дисковым томам в массивах хранения. iSCSI SAN часто преследует одну из двух целей:

Консолидация хранилища

Организации перемещают разрозненные ресурсы хранения с серверов своей сети в центральные места, часто в центрах обработки данных; это позволяет повысить эффективность распределения хранилища, поскольку само хранилище больше не привязано к конкретному серверу. В среде SAN серверу можно выделить новый дисковый том без каких-либо изменений в оборудовании или кабелях.

Аварийное восстановление

Организации зеркалируют ресурсы хранения данных из одного центра обработки данных в удаленный центр обработки данных, который может служить в качестве горячего/резервного в случае длительного простоя. В частности, сети хранения данных iSCSI позволяют переносить целые дисковые массивы через глобальную сеть с минимальными изменениями конфигурации, фактически делая хранилище «маршрутизируемым» так же, как сетевой трафик.

Инициатор

Дополнительная информация: инициатор SCSI.

Инициатор действует как клиент iSCSI. Инициатор обычно служит для компьютера той же цели, что и адаптер шины SCSI, за исключением того, что вместо физического подключения устройств SCSI (таких как жесткие диски и устройства смены ленты) инициатор iSCSI отправляет команды SCSI по IP-сети. Инициатор делится на два основных типа:

Программный инициатор использует код для реализации iSCSI. Обычно это происходит в резидентном драйвере устройства, который использует существующую сетевую карту (NIC) и сетевой стек для эмуляции устройств SCSI на компьютере, используя протокол iSCSI. Программные инициаторы доступны для большинства популярных операционных систем и являются наиболее распространенным методом развертывания iSCSI.

Аппаратный инициатор использует выделенное оборудование, обычно в сочетании с микропрограммой, работающей на этом оборудовании, для реализации iSCSI. Аппаратный инициатор снижает накладные расходы на iSCSI и TCP обработку , а также прерывания Ethernet и, следовательно, может повысить производительность серверов, использующих iSCSI. iSCSI Адаптер главной шины (чаще HBA) реализует аппаратный инициатор. Типичный адаптер HBA представляет собой комбинацию контроллера сетевого интерфейса Gigabit (или 10 Gigabit) Ethernet , некоторой технологии механизма разгрузки TCP/IP (TOE) и адаптера шины SCSI, как он выглядит для операционной системы. iSCSI HBA может включать PCI дополнительное ПЗУ , позволяющее загрузку из iSCSI SAN.

Модуль разгрузки iSCSI , или карта iSOE , предлагает альтернативу полноценному iSCSI HBA. iSOE «разгружает» операции инициатора iSCSI для этого конкретного сетевого интерфейса с хост-процессора, освобождая циклы ЦП для основных хост-приложений. iSCSI HBA или iSOE используются, когда дополнительное повышение производительности оправдывает дополнительные расходы на использование HBA для iSCSI. вместо использования программного клиента iSCSI (инициатора). iSOE может быть реализован с дополнительными службами, такими как механизм разгрузки TCP (TOE), для дальнейшего снижения использования ЦП хост-сервера.

Цель

См. также: Цель SCSI

Спецификация iSCSI относится к ресурсу хранения, расположенному на сервере iSCSI (в более общем смысле, к одному из потенциально многих экземпляров узлов хранения iSCSI, работающих на этом сервере), в качестве целевого объекта .

Целью iSCSI часто является выделенное устройство хранения данных на жестком диске, подключенное к сети, но также может быть компьютер общего назначения, поскольку, как и в случае с инициаторами, программное обеспечение для обеспечения цели iSCSI доступно для большинства основных операционных систем.

Общие сценарии развертывания цели iSCSI включают в себя:

Массив хранения данных

В центре обработки данных или корпоративной среде целевой объект iSCSI часто находится в большом массиве хранения. Эти массивы могут быть в виде стандартного оборудования с реализациями iSCSI на основе бесплатного программного обеспечения или в виде коммерческих продуктов, таких как Quantastor , CloudByte, StorTrends , Pure Storage , HP StorageWorks , EqualLogic , Tegile Systems , Nimble Storage , Reduxio , IBM Storwize. семейство , Isilon , файловая система NetApp , Dell EMC , Kaminario , NS-серия, CX4, VNX, VNXe, VMAX, Hitachi Data Systems HNAS или Pivot3 vSTAC.

Массив хранения обычно предоставляет отдельные цели iSCSI для множества клиентов.

Программная цель

См. Также: Список систем управления сетями хранения данных.

Почти все современные серверные операционные системы (такие как BSD , Linux , Solaris или Windows Server ) могут обеспечивать целевую функциональность iSCSI либо в виде встроенной функции, либо в виде дополнительного программного обеспечения. Некоторые операционные системы специального назначения реализуют целевую поддержку iSCSI.

Номер логического устройства

Основная статья: Номер логической единицы

В терминологии SCSI LU означает логическую единицу , которая определяется уникальным номером логической единицы . LUN представляет собой индивидуально адресуемое (логическое) устройство SCSI, которое является частью физического устройства SCSI (целевого). В среде iSCSI LUN по существу представляют собой пронумерованные диски. Инициатор согласовывает с целью установление подключения к LUN; результатом является соединение iSCSI, которое эмулирует соединение с жестким диском SCSI. Инициаторы обращаются с iSCSI LUN так же, как с необработанным жестким диском SCSI или IDE; например, вместо монтирования удаленных каталогов, как это делается в средах NFS или CIFS , системы iSCSI форматируют и напрямую управляют файловыми системами на iSCSI LUN.

В корпоративных развертываниях LUN обычно представляют собой подмножества больших дисковых массивов RAID , часто выделяемых по одному на каждого клиента. iSCSI не накладывает никаких правил или ограничений на использование несколькими компьютерами отдельных LUN; он оставляет общий доступ к одной базовой файловой системе как задачу операционной системы.

Сетевая загрузка

Для общего хранения данных на уже загруженном компьютере для доступа к устройствам iSCSI можно использовать любой тип универсального сетевого интерфейса. Однако универсальный сетевой интерфейс потребительского уровня не способен загрузить бездисковый компьютер из удаленного источника данных iSCSI. Вместо этого сервер обычно загружает свою исходную операционную систему с TFTP- сервера или локального загрузочного устройства, а затем использует iSCSI для хранения данных после завершения загрузки с локального устройства.

Отдельный DHCP-сервер может быть настроен для поддержки интерфейсов, оснащенных возможностью сетевой загрузки , для загрузки через iSCSI. В этом случае сетевой интерфейс ищет DHCP-сервер, предлагающий загрузочный образ PXE или bootp . сетевого интерфейса загрузки, Это используется для запуска процесса удаленной загрузки iSCSI с использованием MAC-адреса чтобы направить компьютер к правильной цели загрузки iSCSI. . Затем можно использовать только программный подход для загрузки небольшой загрузочной программы, которая, в свою очередь, может смонтировать удаленную цель iSCSI, как если бы это был локальный диск SCSI, а затем запустить процесс загрузки с указанной цели iSCSI. . Этого можно добиться с помощью существующего загрузочного ПЗУ Preboot Execution Environment (PXE), которое доступно на многих проводных адаптерах Ethernet. Загрузочный код также можно загрузить с CD/DVD, дискеты (или образа дискеты) и USB-накопителя или заменить существующий загрузочный код PXE на адаптерах, которые можно перепрограммировать. Самым популярным бесплатным программным обеспечением, предлагающим поддержку загрузки iSCSI, является iPXE .

Большинство контроллеров Intel Ethernet для серверов поддерживают загрузку iSCSI.

Адресация

iSCSI использует TCP (обычно TCP-порты 860 и 3260) для самих протоколов, а имена более высокого уровня используются для обращения к объектам внутри протокола. Специальные имена относятся как к инициаторам, так и к целям iSCSI. iSCSI предоставляет три формата имен:

Полное имя iSCSI (IQN)

Формат: Полное имя iSCSI описано в RFC 3720, а дополнительные примеры имен — в RFC 3721. Вкратце, поля имеют следующий вид:

• литерал iqn (полное имя iSCSI)
• дата (гггг-мм), когда орган по присвоению имен стал владельцем домена
• перевернутое доменное имя органа власти (например, org.alpinelinux, com.example, to.yp.cr)
• Необязательный префикс «:» перед целевым именем хранилища, указанным органом по присвоению имен.

Из РФЦ:

Тип	.	Дата	.	Именование аутентификации	:	Строка, определенная example.com. органом по именованию
IQ	.	1992-01	.	com.example	:	хранилище:diskarrays-sn-a8675309
IQ	.	1992-01	.	com.example
IQ	.	1992-01	.	com.example	:	storage.tape1.sys1.xyz
IQ	.	1992-01	.	com.example	:	storage.disk2.sys1.xyz

Расширенный уникальный идентификатор (EUI)

Формат: eui.{64-битный адрес EUI} (например, eui.02004567A425678D)

Управление сетевых адресов T11 (NAA)

Формат: I.{I AM 64 или 128-битный идентификатор} (например, naa.52004567BA64678D)

Адреса формата IQN встречаются чаще всего. Они обозначаются датой (гггг-мм), поскольку доменные имена могут истечь или быть приобретены другой организацией.

Центр регистрации IEEE предоставляет EUI в соответствии со стандартом EUI-64. NAA является частью OUI, предоставляемой органом регистрации IEEE. Форматы имен NAA были добавлены в iSCSI в RFC 3980, чтобы обеспечить совместимость с соглашениями об именах, используемыми в технологиях хранения данных Fibre Channel и Serial Attached SCSI (SAS).

Обычно участника iSCSI можно определить тремя или четырьмя полями:

1. Имя хоста или IP-адрес (например, «iscsi.example.com»)
2. Номер порта (например, 3260)
3. Имя iSCSI (например, IQN «iqn.2003-01.com.ibm:00.fcd0ab21.shark128»)
4. Необязательный секрет CHAP (например, «secretsarefun»)

iSNS

Основная статья: Служба имен интернет-хранилищ

Инициаторы iSCSI могут найти соответствующие ресурсы хранения с помощью протокола службы имен хранения данных в Интернете (iSNS). Теоретически iSNS предоставляет iSCSI SAN ту же модель управления, что и выделенные сети Fibre Channel SAN. На практике администраторы могут достичь многих целей развертывания iSCSI без использования iSNS.

Безопасность

Аутентификация

Инициаторы и цели iSCSI подтверждают свою идентичность друг другу с помощью CHAP , который включает в себя механизм, предотвращающий появление паролей в открытом виде в сети. Сам по себе CHAP уязвим для атак по словарю , спуфинга и атак с отражением . При тщательном соблюдении рекомендации по использованию CHAP в iSCSI уменьшают вероятность таких атак и снижают риски.

Кроме того, как и все протоколы на основе IP, IPsec может работать на сетевом уровне. Протокол согласования iSCSI предназначен для использования других схем аутентификации, хотя проблемы совместимости ограничивают их развертывание.

Логическая изоляция сети

Чтобы гарантировать, что к массивам хранения подключаются только действительные инициаторы, администраторы чаще всего запускают iSCSI только в логически изолированных сетях обратного канала. В этой архитектуре развертывания только порты управления массивов хранения доступны для внутренней сети общего назначения, а сам протокол iSCSI запускается через выделенные сегменты сети или VLAN . Это смягчает проблемы аутентификации; неавторизованные пользователи физически не обеспечены для iSCSI и, следовательно, не могут взаимодействовать с массивами хранения. Однако это также создает проблему транзитивного доверия , поскольку один скомпрометированный хост с диском iSCSI может использоваться для атаки на ресурсы хранения других хостов.

Физическая изоляция сети

Хотя iSCSI можно логически изолировать от общей сети только с помощью VLAN, он по-прежнему ничем не отличается от любого другого сетевого оборудования и может использовать любой кабель или порт, если между источником и целью существует завершенный путь прохождения сигнала. Всего лишь одна ошибка в прокладке кабеля, допущенная сетевым специалистом, может поставить под угрозу барьер логического разделения, а случайное соединение может быть не обнаружено сразу, поскольку оно не вызывает ошибок в сети.

Чтобы еще больше отличить iSCSI от обычной сети и предотвратить ошибки при прокладке кабелей при смене подключений, администраторы могут реализовать самостоятельно определяемые стандарты цветового кодирования и маркировки, например, использовать только кабели желтого цвета для подключений iSCSI и только синие кабели для обычных подключений. сети с четкой маркировкой портов и коммутаторов, используемых только для iSCSI.

Хотя iSCSI можно реализовать как просто кластер портов VLAN на большом многопортовом коммутаторе, который также используется для общего использования сети, вместо этого администратор может выбрать использование физически отдельных коммутаторов, предназначенных только для VLAN iSCSI, чтобы еще больше предотвратить возможность неправильно подключенный кабель подключен к неправильному порту, перекрывая логический барьер.

Авторизация

Поскольку цель iSCSI — объединить хранилища многих серверов в единый массив хранения, развертывания iSCSI требуют стратегий, предотвращающих доступ несвязанных инициаторов к ресурсам хранения. В качестве патологического примера можно привести один корпоративный массив хранения данных, который может хранить данные для серверов, которые по-разному регулируются Законом Сарбейнса-Оксли для корпоративного учета, HIPAA для информации о медицинских льготах и ​​PCI DSS для обработки кредитных карт. Во время аудита системы хранения должны демонстрировать средства контроля, гарантирующие, что сервер в одном режиме не сможет получить доступ к ресурсам хранения сервера в другом режиме.

Обычно массивы хранения iSCSI явно сопоставляют инициаторы с конкретными целевыми LUN; инициатор аутентифицирует не массив хранения, а конкретный ресурс хранения, который он намеревается использовать. Однако, поскольку целевые LUN ​​для команд SCSI выражены как в протоколе согласования iSCSI, так и в базовом протоколе SCSI, необходимо позаботиться о том, чтобы управление доступом осуществлялось последовательно.

Конфиденциальность и целостность

По большей части iSCSI работает как протокол открытого текста, который не обеспечивает криптографическую защиту данных, передаваемых во время транзакций SCSI. В результате злоумышленник, который может прослушивать трафик iSCSI Ethernet, может:

• Реконструировать и копировать файлы и файловые системы, передаваемые по сети.
• Изменение содержимого файлов путем внедрения поддельных кадров iSCSI.
• Инициаторы получают доступ к поврежденным файловым системам, что подвергает серверы воздействию ошибок программного обеспечения в плохо протестированном коде файловой системы.

Эти проблемы возникают не только с iSCSI, но и применимы к любому протоколу SAN без криптографической защиты. Протоколы безопасности на основе IP, такие как IPsec , могут обеспечить криптографическую защиту этого трафика на основе стандартов.

Реализации

Операционные системы

Даты в следующей таблице обозначают первое появление собственного драйвера в каждой операционной системе. Драйверы сторонних производителей для Windows и Linux были доступны еще в 2001 году, специально для подключения устройства IBM IP Storage 200i.

ТЫ	Дата первого выпуска	Версия	Функции
IBM я	2006-10	V5R4M0 (как i5/OS)	Цель, Многолучевое распространение
VMware ESX	2006-06	ESX 3.0, ESX 4.0, ESXi 5.x, ESXi 6.x	Инициатор, многолучевое распространение
ЭКС	2002-10	AIX 5.3 TL10, AIX 6.1 TL3	Инициатор, Цель
Окна	2003-06	2000, XP Pro, 2003, Vista, 2008, 2008 R2, 7, 8, Сервер 2012, 8.1, Сервер 2012 R2, 10, Сервер 2016, 11, Сервер 2019	Инициатор, Цель, Многолучевое распространение
NetWare	2003-08	NetWare 5.1, 6.5 и OES	Инициатор, Цель
HP-UX	2003-10	HP 11i v1, HP 11i v2, HP 11i v3	Инициатор
Солярис	2002-05	Солярис 10, OpenSolar	Инициатор, Цель, Многолучевое распространение, iSER
Линукс	2005-06	2.6.12, 3.1	Инициатор (2.6.12), Цель (3.1), Многопутевое распространение, iSER , VAAI
OpenBSD	2009-10	4.9	Инициатор
NetBSD	2002-06	4.0, 5.0	Инициатор (5,0), Цель (4,0)
FreeBSD	2008-02	7.0	Инициатор (7.0), Цель (10.0), Многопутевое распространение, iSER , VAAI
OpenVMS	2002-08	8.3-1H1	Инициатор, многолучевое распространение
macOS	2008-07	10.4—	Н/Д

Цели

Большинство целей iSCSI используют диск, хотя также популярны ленты iSCSI и устройства смены носителей. До сих пор физические устройства не имели собственных интерфейсов iSCSI на уровне компонентов. Вместо этого устройства с параллельными интерфейсами SCSI или Fibre Channel соединяются с помощью целевого программного обеспечения iSCSI, внешних мостов или внутренних контроллеров корпуса устройства.

В качестве альтернативы можно виртуализировать целевые диски и ленты. Вместо реального физического устройства представлено эмулируемое виртуальное устройство. Базовая реализация может радикально отличаться от представленной цели, как это происходит с продуктами виртуальной ленточной библиотеки (VTL). VTL используют дисковое хранилище для хранения данных, записанных на виртуальные ленты. Как и в случае с реальными физическими устройствами, виртуальные цели представляются с помощью целевого программного обеспечения iSCSI, внешних мостов или внутренних контроллеров корпуса устройства.

В индустрии продуктов безопасности некоторые производители используют iSCSI RAID в качестве цели, при этом инициатором является либо IP-кодер, либо камера.

Преобразователи и мосты

Существует множество систем, которые позволяют подключать устройства Fibre Channel, SCSI и SAS к IP-сети для использования через iSCSI. Их можно использовать для перехода от старых технологий хранения данных, доступа к сетям SAN с удаленных серверов и объединения сетей SAN через IP-сети. Шлюз iSCSI соединяет IP-серверы с сетями SAN Fibre Channel. TCP-соединение завершается на шлюзе, который реализован на коммутаторе Fibre Channel или как автономное устройство.

См. также

• ATA через Ethernet (AoE)
• Оптоволоконный канал через Ethernet (FCoE)
• Fibre Channel через IP (FCIP)
• HyperSCSI SCSI over Ethernet вместо IP (как iSCSI)
• Тестирование на соответствие ISCSI и требования к инструментам тестирования
• Расширения iSCSI для RDMA (iSER)
• Интернет-протокол Fibre Channel (iFCP)
• Служба имен интернет-хранилищ (iSNS)
• Цель LIO Linux SCSI
• Сетевое блочное устройство (NBD)
• Целевой программный стек SCST Linux SCSI
• Протокол определения местоположения службы

Дальнейшее чтение

• RFC 3720 — Интерфейс малых компьютерных систем Интернета (iSCSI) (устаревший)
• RFC 3721 — Именование и обнаружение интерфейса малых компьютерных систем Интернета (iSCSI) (обновлено)
• RFC 3722 — строковый профиль для имен интерфейса малых компьютерных систем Интернета (iSCSI)
• RFC 3723 — Защита протоколов блочного хранения данных через IP (Область применения: использование IPsec и IKE для защиты iSCSI, iFCP, FCIP, iSNS и SLPv2.)
• RFC 3347 — Требования к протоколу интерфейса малых компьютерных систем через Интернет (iSCSI) и соображения по проектированию
• RFC 3783 - Вопросы порядка команд интерфейса малых компьютерных систем (SCSI) с iSCSI
• RFC 3980 — формат именования T11 Network Address Authority (NAA) для имен узлов iSCSI (устарело)
• RFC 4018 — Поиск целевых объектов интерфейса малых компьютерных систем Интернета (iSCSI) и серверов имен с помощью протокола определения местоположения службы версии 2 (SLPv2)
• RFC 4173 — Загрузка клиентов с использованием протокола интерфейса малых компьютерных систем Интернета (iSCSI)
• RFC 4544 — Определения управляемых объектов для интерфейса малых компьютерных систем Интернета (iSCSI)
• RFC 4850 - Декларативный открытый ключ расширения для архитектуры узла интерфейса малых компьютерных систем Интернета (iSCSI) (устарело)
• RFC 4939 — Определения управляемых объектов для iSNS (служба имен интернет-хранилищ)
• RFC 5048 — Исправления и разъяснения интерфейса малых компьютерных систем Интернета (iSCSI) (устарело)
• RFC 5047 - DA: Архитектура перемещения данных для интерфейса малых компьютерных систем Интернета (iSCSI)
• RFC 5046 - Расширения интерфейса малых компьютерных систем Интернета (iSCSI) для удаленного прямого доступа к памяти (RDMA)
• RFC 7143 - Протокол интерфейса малых компьютерных систем Интернета (iSCSI) (объединенный)