iSCSI

Un iniciador funciona como un cliente iSCSI. Un iniciador generalmente cumple la misma función para una computadora que un adaptador de bus SCSI, con la diferencia de que, en lugar de conectar físicamente dispositivos SCSI (como discos duros y cambiadores de cinta), un iniciador iSCSI envía comandos SCSI a través de una red IP. Un iniciador se clasifica en dos tipos principales:

Un iniciador de software utiliza código para implementar iSCSI. Normalmente, esto se realiza mediante un controlador de dispositivo residente en el kernel que utiliza la tarjeta de red (NIC) y la pila de red existentes para emular dispositivos SCSI en un ordenador mediante el protocolo iSCSI. Los iniciadores de software están disponibles para la mayoría de los sistemas operativos más populares y son el método más común para implementar iSCSI.

Un iniciador de hardware utiliza hardware dedicado, generalmente en combinación con firmware que se ejecuta en dicho hardware, para implementar iSCSI. Un iniciador de hardware reduce la sobrecarga del procesamiento de iSCSI y TCP , así como las interrupciones de Ethernet , y por lo tanto puede mejorar el rendimiento de los servidores que utilizan iSCSI. Un adaptador de bus de host iSCSI (más comúnmente, HBA) implementa un iniciador de hardware. Un HBA típico se presenta como una combinación de un controlador de interfaz de red Ethernet Gigabit (o 10 Gigabit) , algún tipo de tecnología de motor de descarga TCP/IP (TOE) y un adaptador de bus SCSI, que es como lo ve el sistema operativo. Un HBA iSCSI puede incluir una ROM de opción PCI para permitir el arranque desde una SAN iSCSI.

Un motor de descarga iSCSI , o tarjeta iSOE , ofrece una alternativa a una HBA iSCSI completa. Una iSOE "descarga" las operaciones del iniciador iSCSI para esta interfaz de red específica del procesador del host, liberando ciclos de CPU para las aplicaciones principales del host. Las HBA iSCSI o las iSOE se utilizan cuando la mejora adicional del rendimiento justifica el gasto adicional de usar una HBA para iSCSI, ^{[ 5 ]} en lugar de usar un cliente iSCSI basado en software (iniciador). La iSOE puede implementarse con servicios adicionales, como el motor de descarga TCP (TOE), para reducir aún más el uso de CPU del servidor host.

La especificación iSCSI se refiere a un recurso de almacenamiento ubicado en un servidor iSCSI (más generalmente, una de las muchas instancias potenciales de nodos de almacenamiento iSCSI que se ejecutan en ese servidor) como un destino .

Un destino iSCSI suele ser un dispositivo de almacenamiento de disco duro dedicado conectado a la red, pero también puede ser un ordenador de uso general, ya que, al igual que con los iniciadores, existe software para proporcionar un destino iSCSI para la mayoría de los sistemas operativos más utilizados.

Los escenarios de implementación comunes para un destino iSCSI incluyen:

Para el almacenamiento general de datos en un ordenador ya encendido, se puede utilizar cualquier tipo de interfaz de red genérica para acceder a los dispositivos iSCSI. Sin embargo, una interfaz de red genérica de uso doméstico no puede arrancar un ordenador sin disco desde una fuente de datos iSCSI remota. En su lugar, lo habitual es que un servidor cargue su sistema operativo inicial desde un servidor TFTP o un dispositivo de arranque local, y luego utilice iSCSI para el almacenamiento de datos una vez finalizado el arranque desde el dispositivo local.

Se puede configurar un servidor DHCP independiente para ayudar a las interfaces equipadas con capacidad de arranque de red a arrancar a través de iSCSI. En este caso, la interfaz de red busca un servidor DHCP que ofrezca una imagen de arranque PXE o bootp . ^{[ 7 ]} Esto se utiliza para iniciar el proceso de arranque remoto iSCSI, utilizando la dirección MAC de la interfaz de red de arranque para dirigir el ordenador al destino de arranque iSCSI correcto . A continuación, se puede utilizar un enfoque solo de software para cargar un pequeño programa de arranque que, a su vez, puede montar un destino iSCSI remoto como si fuera una unidad SCSI local y luego iniciar el proceso de arranque desde dicho destino iSCSI . Esto se puede lograr utilizando una ROM de arranque del Entorno de Ejecución Previa al Arranque (PXE) existente, que está disponible en muchos adaptadores Ethernet cableados. El código de arranque también se puede cargar desde CD/DVD, disquete (o imagen de disquete) y almacenamiento USB, o puede reemplazar el código de arranque PXE existente en adaptadores que se pueden volver a flashear. ^{[ 8 ]} El software gratuito más popular que ofrece soporte de arranque iSCSI es iPXE . ^{[ 9 ]}

La mayoría de los controladores Ethernet de Intel para servidores admiten el arranque iSCSI. ^{[ 10 ]}

iSCSI utiliza TCP (normalmente los puertos TCP 860 y 3260) para el protocolo en sí, con nombres de nivel superior que se utilizan para direccionar los objetos dentro del protocolo. Los nombres especiales hacen referencia tanto a los iniciadores como a los destinos de iSCSI. iSCSI proporciona tres formatos de nombres:

Nombre cualificado iSCSI (IQN)

Formato: El nombre calificado iSCSI está documentado en el RFC 3720, con ejemplos adicionales de nombres en el RFC 3721. En resumen, los campos son:

• iqn literal (nombre calificado iSCSI)
• fecha (aaaa-mm) en que la autoridad de nomenclatura tomó posesión del dominio
• Nombre de dominio invertido de la autoridad (por ejemplo, org.alpinelinux, com.example, to.yp.cr)
• Opcional: ":" que antepone un nombre de destino de almacenamiento especificado por la autoridad de nomenclatura.

Del RFC: ^{[ 11 ]}

Identificador Único Extendido (EUI)

Formato: eui.{dirección EUI de 64 bits} (ej. eui.02004567A425678D)

Autoridad de direcciones de red T11 (NAA)

Formato: naa.{Identificador NAA de 64 o 128 bits} (por ejemplo naa.52004567BA64678D)

Las direcciones con formato IQN son las más comunes. Se califican con una fecha (aaaa-mm) porque los nombres de dominio pueden caducar o ser adquiridos por otra entidad.

La autoridad de registro del IEEE proporciona EUI de acuerdo con el estándar EUI-64. NAA forma parte de OUI, que también proporciona la autoridad de registro del IEEE. Los formatos de nombres NAA se añadieron a iSCSI en el RFC 3980 para garantizar la compatibilidad con las convenciones de nomenclatura utilizadas en las tecnologías de almacenamiento Fibre Channel y Serial Attached SCSI (SAS).

Por lo general, un participante iSCSI se puede definir mediante tres o cuatro campos:

1. Nombre de host o dirección IP (por ejemplo, "iscsi.example.com")
2. Número de puerto (por ejemplo, 3260)
3. Nombre iSCSI (por ejemplo, el IQN "iqn.2003-01.com.ibm:00.fcd0ab21.shark128")
4. Un secreto CHAP opcional (por ejemplo, "secretsarefun")

Los iniciadores iSCSI pueden localizar los recursos de almacenamiento adecuados mediante el protocolo iSNS ( Internet Storage Name Service ). En teoría, iSNS proporciona a las SAN iSCSI el mismo modelo de gestión que a las SAN Fibre Channel dedicadas. En la práctica, los administradores pueden cumplir muchos objetivos de implementación de iSCSI sin utilizar iSNS.

Los iniciadores y destinos de iSCSI verifican su identidad entre sí mediante CHAP , que incluye un mecanismo para evitar que las contraseñas en texto plano se transmitan por la red. Por sí solo, CHAP es vulnerable a ataques de diccionario , suplantación de identidad y ataques de reflexión . Si se siguen cuidadosamente, las mejores prácticas para usar CHAP en iSCSI reducen la superficie de ataque y mitigan los riesgos. ^{[ 12 ]}

Además, al igual que todos los protocolos basados ​​en IP, IPsec puede operar en la capa de red. El protocolo de negociación iSCSI está diseñado para admitir otros esquemas de autenticación, aunque los problemas de interoperabilidad limitan su implementación.

Para garantizar que solo los iniciadores válidos se conecten a las matrices de almacenamiento, los administradores suelen ejecutar iSCSI únicamente a través de redes de canal secundario lógicamente aisladas. En esta arquitectura de implementación, solo los puertos de administración de las matrices de almacenamiento están expuestos a la red interna de uso general, y el protocolo iSCSI se ejecuta sobre segmentos de red dedicados o VLAN . Esto reduce los problemas de autenticación; los usuarios no autorizados no tienen acceso físico a iSCSI y, por lo tanto, no pueden comunicarse con las matrices de almacenamiento. Sin embargo, también crea un problema de confianza transitiva , ya que un único host comprometido con un disco iSCSI puede utilizarse para atacar los recursos de almacenamiento de otros hosts.

Si bien iSCSI puede aislarse lógicamente de la red general mediante VLANs, no se diferencia de cualquier otro equipo de red y puede usar cualquier cable o puerto, siempre que exista una ruta de señal completa entre el origen y el destino. Un simple error de cableado por parte de un técnico de red puede comprometer la separación lógica, y una conexión accidental podría no detectarse de inmediato, ya que no provoca errores de red.

Para diferenciar aún más iSCSI de la red convencional y evitar errores de cableado al cambiar las conexiones, los administradores pueden implementar estándares de codificación por colores y etiquetado personalizados, como usar solo cables amarillos para las conexiones iSCSI y solo cables azules para la red convencional, y etiquetar claramente los puertos y conmutadores utilizados exclusivamente para iSCSI.

Si bien iSCSI podría implementarse simplemente como un clúster de puertos VLAN en un conmutador multipuerto grande que también se utilice para el uso general de la red, el administrador puede optar por utilizar conmutadores físicamente separados dedicados únicamente a las VLAN iSCSI, para evitar aún más la posibilidad de que un cable conectado incorrectamente al puerto equivocado provoque la ruptura de la barrera lógica.

Dado que iSCSI busca consolidar el almacenamiento de múltiples servidores en una única matriz de almacenamiento, las implementaciones de iSCSI requieren estrategias para evitar que iniciadores no relacionados accedan a los recursos de almacenamiento. Por ejemplo, una única matriz de almacenamiento empresarial podría contener datos de servidores sujetos a diversas regulaciones: la Ley Sarbanes-Oxley para contabilidad corporativa, la HIPAA para información sobre beneficios de salud y la PCI DSS para el procesamiento de tarjetas de crédito. Durante una auditoría, los sistemas de almacenamiento deben demostrar controles que garanticen que un servidor sujeto a una normativa no pueda acceder a los recursos de almacenamiento de un servidor sujeto a otra.

Normalmente, las matrices de almacenamiento iSCSI asignan explícitamente los iniciadores a LUN de destino específicos; un iniciador se autentica no ante la matriz de almacenamiento, sino ante el recurso de almacenamiento específico que pretende utilizar. Sin embargo, dado que los LUN de destino para los comandos SCSI se expresan tanto en el protocolo de negociación iSCSI como en el protocolo SCSI subyacente, es necesario tener cuidado para garantizar que el control de acceso se proporcione de forma coherente.

En su mayor parte, iSCSI funciona como un protocolo de texto plano que no proporciona protección criptográfica para los datos en tránsito durante las transacciones SCSI. Como resultado, un atacante que pueda escuchar el tráfico Ethernet iSCSI puede: ^{[ 13 ]}

• Reconstruir y copiar los archivos y sistemas de archivos que se transfieren por la red.
• Altera el contenido de los archivos inyectando tramas iSCSI falsas.
• Los iniciadores acceden a sistemas de archivos corruptos, lo que expone a los servidores a fallos de software en código de sistema de archivos mal probado.

Estos problemas no se dan solo con iSCSI, sino que afectan a cualquier protocolo SAN sin seguridad criptográfica. Los protocolos de seguridad basados ​​en IP, como IPsec , pueden proporcionar protección criptográfica basada en estándares para este tráfico.

Las fechas de la siguiente tabla indican la primera aparición de un controlador nativo en cada sistema operativo. Los controladores de terceros para Windows y Linux estuvieron disponibles ya en 2001, específicamente para conectar el dispositivo IP Storage 200i de IBM. ^{[ 14 ]}

La mayoría de los destinos iSCSI son discos, aunque las cintas iSCSI y los cambiadores de medios también son populares. Hasta ahora, los dispositivos físicos no han incorporado interfaces iSCSI nativas a nivel de componente. En su lugar, los dispositivos con interfaces Parallel SCSI o Fibre Channel se conectan mediante software de destino iSCSI, puentes externos o controladores internos de la carcasa del dispositivo.

Como alternativa, es posible virtualizar destinos de disco y cinta. En lugar de representar un dispositivo físico real, se presenta un dispositivo virtual emulado. La implementación subyacente puede diferir drásticamente del destino presentado, como ocurre con los productos de biblioteca de cintas virtuales (VTL). Las VTL utilizan almacenamiento en disco para guardar los datos escritos en cintas virtuales. Al igual que con los dispositivos físicos reales, los destinos virtuales se presentan mediante software de destino iSCSI, puentes externos o controladores internos de la carcasa del dispositivo.

En la industria de productos de seguridad, algunos fabricantes utilizan un RAID iSCSI como destino, siendo el iniciador un codificador o una cámara con capacidad IP.

Existen diversos sistemas que permiten conectar dispositivos Fibre Channel, SCSI y SAS a una red IP para su uso mediante iSCSI. Estos sistemas facilitan la migración desde tecnologías de almacenamiento más antiguas, el acceso a redes SAN desde servidores remotos y la interconexión de redes SAN a través de redes IP. Una puerta de enlace iSCSI conecta servidores IP con redes SAN Fibre Channel. La conexión TCP finaliza en la puerta de enlace, que se implementa en un conmutador Fibre Channel o como un dispositivo independiente.