李麗琳 劉柱文

永州職業(yè)技術(shù)學(xué)院 湖南 425000

0 引言

iSCSI協(xié)議是SCISI IP組織的標(biāo)準(zhǔn)協(xié)議，是由IBM和Haifa這兩個研究組織于2003年共同提出的。iSCSI協(xié)議在繼承傳統(tǒng)標(biāo)準(zhǔn)與技術(shù)的基礎(chǔ)上沿用了 TCP/IP標(biāo)準(zhǔn)，并完善了這一協(xié)議，這也為 iSCSI協(xié)議的發(fā)展提供了契機(jī)。iSCSI協(xié)議定義了在IP網(wǎng)絡(luò)上傳輸SCSI命令、數(shù)據(jù)和狀態(tài)的規(guī)則和方法。通過iSCSI連接起來的iSCSI設(shè)備構(gòu)成C/S(客戶機(jī)/服務(wù)器)模型，iSCSI始發(fā)端(客戶機(jī))發(fā)出命令，通過 TCP/IP協(xié)議發(fā)送到 iSCSI目標(biāo)端(服務(wù)器)，目標(biāo)端執(zhí)行命令并將執(zhí)行結(jié)果返回給始發(fā)端。從SAM-2的角度來看，iSCSI協(xié)議和網(wǎng)絡(luò)連接系統(tǒng)共同構(gòu)成了 SCSI設(shè)備的服務(wù)分發(fā)子系統(tǒng)，SAM-2中定義：連接子系統(tǒng)是數(shù)據(jù)的傳輸介質(zhì)，服務(wù)分發(fā)接口是相應(yīng)的協(xié)議，保證設(shè)備之間的請求和響應(yīng)無差錯傳輸。連接子系統(tǒng)和服務(wù)分發(fā)接口分別對應(yīng)iSCSI協(xié)議和網(wǎng)絡(luò)連接系統(tǒng)。

基于iSCSI協(xié)議構(gòu)件的存儲系統(tǒng)的本質(zhì)就是利用iSCSI協(xié)議替代FC協(xié)議，通過IP網(wǎng)絡(luò)構(gòu)件存儲的區(qū)域網(wǎng)。

一個簡單的基于iSCSI協(xié)議的存儲系統(tǒng)主要由存儲的用戶(如個人電腦)、IP網(wǎng)絡(luò)互聯(lián)設(shè)備以及帶有IP網(wǎng)絡(luò)接口的存儲設(shè)備組成。網(wǎng)絡(luò)中的任何一個用戶訪問這些存儲設(shè)備時(shí)，先將操作存儲設(shè)備的SCSI命令封裝成iSCSI PDU，然后由IP網(wǎng)絡(luò)隨機(jī)發(fā)送到某個網(wǎng)絡(luò)存儲設(shè)備上，這時(shí)，設(shè)備通過解析iSCSI PDU，然后執(zhí)行對應(yīng)的命令返回執(zhí)行結(jié)果。

基于iSCSI協(xié)議的存儲系統(tǒng)與傳統(tǒng)的基于FC協(xié)議的存儲系統(tǒng)相比，有一些顯著的特點(diǎn)：

（1）存儲系統(tǒng)的成本大大降低

根據(jù)如上描述，基于iSCSI協(xié)議的存儲系統(tǒng)是在IP網(wǎng)絡(luò)上構(gòu)建的，而IP網(wǎng)絡(luò)的成本要遠(yuǎn)遠(yuǎn)低于光纖成本。而且隨著互聯(lián)網(wǎng)的廣泛應(yīng)用，使得基于iSCSI協(xié)議的存儲系統(tǒng)不需要專業(yè)的人員進(jìn)行管理，這也降低了系統(tǒng)維護(hù)的費(fèi)用。

（2）應(yīng)用范圍廣

正是由于基于iSCSI協(xié)議的存儲系統(tǒng)利用IP網(wǎng)絡(luò)作為構(gòu)建基礎(chǔ)，因此比傳統(tǒng)的基于FC協(xié)議的存儲系統(tǒng)有著更廣泛的應(yīng)用范圍，不僅可以提供局域，城域范圍的存儲，甚至可以為全球范圍內(nèi)的客戶進(jìn)行服務(wù)。目前，基于iSCSI協(xié)議的存儲系統(tǒng)的應(yīng)用主要分為面向服務(wù)器和面向多用戶兩種。

1 基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)設(shè)計(jì)

我們擬設(shè)計(jì)一種新的基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)，這是因?yàn)?，根?jù)上面的分析，我們相信基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)比傳統(tǒng)的基于FC協(xié)議的存儲在多方面都有明顯的優(yōu)勢。

1.1 基本設(shè)計(jì)思路

我們知道，由于基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)是利用IP技術(shù)組建起來的網(wǎng)絡(luò)存儲，因此，設(shè)計(jì)基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)既要考慮到存儲本身可能存在的安全問題，還要考慮到 IP網(wǎng)絡(luò)的安全問題。由于目前市場上基于 iSCSI協(xié)議的安全存儲結(jié)構(gòu)的安全研究還不夠完善，因此使得這一新興的網(wǎng)絡(luò)存儲系統(tǒng)只能應(yīng)用于安全性要求比較低的場合，沒有發(fā)揮IP網(wǎng)絡(luò)的真正優(yōu)勢，使得基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)和傳統(tǒng)網(wǎng)絡(luò)存儲的差別不大。

考慮到這一問題，我們在設(shè)計(jì)新的基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)時(shí)，要在能夠發(fā)揮該網(wǎng)絡(luò)存儲優(yōu)勢的同時(shí)兼顧保護(hù) IP網(wǎng)絡(luò)的安全，以便新系統(tǒng)能夠應(yīng)用于需要構(gòu)建基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)并且對安全性較高的企業(yè)單位。綜合以上需求，我們擬設(shè)計(jì)的系統(tǒng)采用外掛式存儲虛擬化結(jié)構(gòu)，基于iSCSI層，利用分級管理的思想，結(jié)合密碼學(xué)中常用的訪問控制、認(rèn)證加密和完整性校驗(yàn)等技術(shù)進(jìn)行數(shù)據(jù)的安全保護(hù)。

1.2 兩種不同的存儲虛擬化結(jié)構(gòu)

利用通信協(xié)議構(gòu)建網(wǎng)絡(luò)存儲的關(guān)鍵一點(diǎn)就是要為存儲區(qū)設(shè)計(jì)一個合適的存儲管理器，以便于對存儲區(qū)進(jìn)行管理。在現(xiàn)有的存儲器設(shè)計(jì)技術(shù)中有一種存儲虛擬化技術(shù)。這一技術(shù)的核心思想是將物理磁盤虛擬成不同的邏輯磁盤。從用戶角度看，用戶只能看到邏輯磁盤，這些邏輯磁盤在空間上只可能占用物理磁盤的幾個扇區(qū)。目前看，根據(jù)存儲區(qū)域網(wǎng)的存儲管理器的不同的位置，基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)主要根據(jù)是否帶有內(nèi)存分為不帶內(nèi)存的存儲虛擬化結(jié)構(gòu)和帶內(nèi)存的存儲虛擬化結(jié)構(gòu)兩種：

（1）不帶內(nèi)存的存儲虛擬化結(jié)構(gòu)

不帶內(nèi)存的存儲虛擬化結(jié)構(gòu)中的存儲虛擬化控制器位于存儲用戶和IP網(wǎng)絡(luò)的物理磁盤通道之外。當(dāng)存儲用戶需要訪問邏輯磁盤時(shí)，存儲虛擬化控制器首先收到發(fā)送請求，但存儲虛擬化控制器并不會直接去執(zhí)行該請求，而是將真實(shí)物理磁盤的地址信息發(fā)送給請求用戶，通過用戶直接訪問物理磁盤。在這種結(jié)構(gòu)中，傳輸存儲數(shù)據(jù)沒有經(jīng)過存儲虛擬化控制器，因此在效率上比帶內(nèi)存的存儲虛擬化結(jié)構(gòu)要高。

（2）帶內(nèi)存的存儲虛擬化結(jié)構(gòu)

與不帶內(nèi)存的存儲虛擬化結(jié)構(gòu)相比，在帶內(nèi)存的存儲虛擬化結(jié)構(gòu)中，存儲虛擬化控制器位于用戶和IP網(wǎng)絡(luò)的物理磁盤通道中，在用戶，IP網(wǎng)絡(luò)的物理磁盤通道與存儲虛擬化控制器都利用iSCSI連接，進(jìn)行數(shù)據(jù)傳輸?？梢钥闯?，用戶應(yīng)該屬于iSCSI的發(fā)起端，IP網(wǎng)絡(luò)的物理磁盤通道應(yīng)該屬于接收端，存儲虛擬化控制器相對于存儲用戶來說，屬于接收端，但對于IP網(wǎng)絡(luò)的物理磁盤通道則屬于發(fā)起端。存儲虛擬化控制器的作用就是將實(shí)際的物理磁盤虛擬化成虛擬的邏輯磁盤發(fā)送給用戶，當(dāng)用戶需要訪問邏輯磁盤時(shí)，應(yīng)先向存儲虛擬化控制器發(fā)出SCSI命令，之后存儲虛擬化控制器解析這些之后，最后通過iSCSI向?qū)嶋H的物理磁盤發(fā)送SCSI命令完成操作。在這種結(jié)構(gòu)中，傳輸存儲數(shù)據(jù)需利用存儲虛擬化控制器，因此在效率上比不帶內(nèi)存的存儲虛擬化結(jié)構(gòu)要低。

1.3 分級管理結(jié)構(gòu)的建立

了解基于FC協(xié)議的存儲結(jié)構(gòu)，就會看到上面提到的兩種基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)實(shí)際上是基于FC協(xié)議的安全存儲結(jié)構(gòu)的改進(jìn)?；贔C與基于iSCSI的最大區(qū)別在于前者由于受到需要光纖傳輸距離和設(shè)備價(jià)格等方面的因素，只能應(yīng)用與如C/S結(jié)構(gòu)中運(yùn)行負(fù)載交大的服務(wù)器環(huán)境，即只適合于為可以承受較大負(fù)載的服務(wù)器提供數(shù)據(jù)與資源的管理和共享的環(huán)境；而基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)由于利用IP網(wǎng)絡(luò)傳輸數(shù)據(jù)，因此可以借助廣泛的互聯(lián)網(wǎng)覆蓋組建網(wǎng)絡(luò)安全存儲結(jié)構(gòu)，這一方面避免了如上提到的地理上的限制，也降低了成本。

根據(jù)實(shí)際情況，我們應(yīng)該將帶內(nèi)存的存儲虛擬化結(jié)構(gòu)和不帶內(nèi)存的存儲虛擬化結(jié)構(gòu)結(jié)合起來。在這種管理結(jié)構(gòu)中，頂級管理員可以對存儲的區(qū)域網(wǎng)內(nèi)的全部存儲資源進(jìn)行訪問與管理，并有權(quán)利將存儲空間按照一定原則分配給下一級客戶，接收的客戶一方面作為管理員的客戶，另一方面成為再下一級客戶的管理員，以此類推，從而建立一種金字塔式的管理模式，構(gòu)成多級管理結(jié)構(gòu)的基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)。

該金字塔式的基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)的主要特點(diǎn)包括：

（1）管理變得更加容易

如上分析，在這種管理結(jié)構(gòu)中，并沒有將資源和數(shù)據(jù)的管理權(quán)限集中在一個管理員身上，而是通過分級結(jié)構(gòu)將權(quán)限逐步下放，由各級管理員共同負(fù)責(zé)對各級資源和數(shù)據(jù)進(jìn)行管理。這種管理模式一方面避免了超級管理員權(quán)限過大容易成為攻擊目標(biāo)的危險(xiǎn)；另一方面減輕了超級管理員的負(fù)擔(dān)，管理工作變得更加容易。

（2）與業(yè)務(wù)管理結(jié)構(gòu)更加統(tǒng)一

這種金字塔式的管理結(jié)構(gòu)還有一個好處就是與企業(yè)中的分級化管理結(jié)構(gòu)式一致的，這種一致性便于企業(yè)在利用基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)進(jìn)行數(shù)據(jù)管理時(shí)變得簡單，可以直接利用現(xiàn)有的結(jié)構(gòu)進(jìn)行資源管理的分配和部署。

2 基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)中的安全問題與對策

2.1 基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)中的安全問題

基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)由于利用了IP網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)和資源的傳輸，因此各種IP網(wǎng)絡(luò)中存在的安全問題在這種新的結(jié)構(gòu)中都可能存在。這些安全威脅主要包括：

（1）無授權(quán)的訪問

由于資源和數(shù)據(jù)需要利用IP網(wǎng)絡(luò)進(jìn)行傳輸，因此可能帶來無授權(quán)訪問的問題。具體來講，無授權(quán)訪問是指沒有訪問權(quán)利的敵手利用IP網(wǎng)絡(luò)在公開區(qū)域的傳輸，抓住其漏洞進(jìn)行數(shù)據(jù)的冒充訪問；有授權(quán)的用戶對不屬于自己查看范圍的數(shù)據(jù)進(jìn)行越權(quán)訪問，以獲得更高的訪問權(quán)限。

（2）竊取公開網(wǎng)絡(luò)中的數(shù)據(jù)

這屬于一種被動攻擊，即攻擊利用IP網(wǎng)絡(luò)中的漏洞，利用監(jiān)聽技術(shù)獲取IP包從而能截獲傳輸中的數(shù)據(jù)；敵手還可能通過控制存儲器來盜取其中的數(shù)據(jù)。

（3）延遲，修改，破壞通信過程

相對于監(jiān)聽等被動獲得數(shù)據(jù)的被動手段，延遲，修改，破壞通信過程是一種敵手的主動攻擊，敵手在這一攻擊中已經(jīng)不能滿足僅僅獲得數(shù)據(jù)或資源，而是為了破壞整個通信過程，造成通信或傳輸?shù)闹袛?，錯誤等。

2.2 基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)中的安全對策

針對這些問題，利用密碼學(xué)的知識，我們認(rèn)為可以通過如下一些安全策略克服可能存在的攻擊。

（1）增加訪問控制機(jī)制

訪問控制技術(shù)在其他安全研究領(lǐng)域已經(jīng)相當(dāng)成熟，我們可以在iSCSI的初始化即登錄階段利用已有的訪問控制技術(shù)設(shè)置認(rèn)證協(xié)議和安全參數(shù)，保證只有通過認(rèn)證的用戶才有權(quán)限訪問網(wǎng)絡(luò)資源；同時(shí)，為了避免服務(wù)器端被敵手控制后，通過認(rèn)證過程騙取用戶口令，我們還應(yīng)保證認(rèn)證過程的雙向性。

（2）數(shù)據(jù)的加密策略

對在公開的 IP網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)進(jìn)行加密是保證數(shù)據(jù)隱私性的一種重要手段，可以有效地防止敵手的竊聽。目前，在數(shù)據(jù)加密領(lǐng)域常用的有著名的DES，3DES和AES等。需要說明的是，盡管DES已經(jīng)被破解，但用于一般企業(yè)級數(shù)據(jù)的加密還是安全的。

（3）數(shù)據(jù)的完整性校驗(yàn)

為了防止敵手利用網(wǎng)絡(luò)的漏洞對其進(jìn)行攻擊，破壞數(shù)據(jù)的完整性，還應(yīng)該建立數(shù)據(jù)的完整性校驗(yàn)機(jī)制。密碼學(xué)提供了豐富的完整性校驗(yàn)方法，如采用 Hash函數(shù)，數(shù)字簽名等手段，也可以采用IPSec中兩次數(shù)據(jù)的拆包重組操作來保證數(shù)據(jù)的完整性。

3 結(jié)束語

本文簡要描述了基于iSCSI協(xié)議的存儲系統(tǒng)的構(gòu)建，并對基于iSCSI協(xié)議的存儲系統(tǒng)與傳統(tǒng)的基于FC協(xié)議的存儲系統(tǒng)分別從成本和應(yīng)用范圍兩個角度進(jìn)行比較，詳細(xì)闡述了基于iSCSI協(xié)議的安全存儲結(jié)構(gòu)設(shè)計(jì)，探討了基于iSCSI協(xié)議的存儲虛擬化結(jié)構(gòu)中的安全問題及采取的相應(yīng)對策。

[1]朱立谷,趙青梅.iSCSI協(xié)議的研究.計(jì)算機(jī)工程與應(yīng)用. 2002.

[2]Kalman Z.Meth,Julian Satran.Design of the iSCSI Protocol. IEEE/NASA MSST2003.Twentieth IEEE/Eleventh NASA Goddard Conference on Mass Storage Systems&Technologies.April.2003. San Diego.California.USA:124-134.

[3]周敬利,徐漾.基于iSCSI的存儲系統(tǒng).華中科技大學(xué)學(xué)報(bào)(自然科學(xué)版).2002.

[4]戴志敏,王倩莉,胡越明,尤晉元.iSCSI協(xié)議研究與實(shí)現(xiàn).計(jì)算機(jī)應(yīng)用與軟件.2005.

[5]吳志祥,汪波著.基于ISCSI的存儲系統(tǒng)實(shí)現(xiàn)方法.微計(jì)算機(jī)信息.2006.

[6]許先斌,周明昊.基于iSCSI協(xié)議的存儲區(qū)域網(wǎng)研究.計(jì)算機(jī)工程與設(shè)計(jì).2006.