网络设计 存储安全机制

,SAN安全,访问控制,允许授权访问,拒绝非授权访问,身份验证,保证传输、消息、发起端的合法性,数据加密,数据只让合法接收方能使用,防止恶意窃听,存储区域网安全机制,独立网络,FC SAN或IP SAN,SAN,磁带库,磁盘阵列,磁盘阵列,LAN,业务网络和存储网络分离，降低外来威胁风险,业务网,SAN安全基本思想网络隔离,FC SAN安全实现,访问控制,发现域,VLAN,LUN映射/掩码（LUN Mapping/Lun Masking）,传输安全,IP Sec/VPN,ACL,管理安全,IP Sec/SNMP v3/SSH/SSL/Radius,IP SAN安全实现,存储安全现状,访问控制,分区（Zoning）,LUN映射/掩码（LUN Mapping/Lun Masking）,传输安全,未全面规划,管理安全,IP Sec/SNMP v3/SSH/SSL/Radius,通用服务,FC -ATM,FC链路封装FC-LE,SCSI 3,命令集映射,IPI-3 命令集映射(IPI-3 STD),FC-4,FC-AL-2,FC-3,FC-0,FC-1,FC-2,光纤物理与信号接口,(FC-PH,FC-PH2,FC-PH3),物理变换,编码/解码,结构协议,FC-AL,8b/10b 编码,铜,光连接,FC-3 通用服务层是安全(如加密、认证等)的预留层,FC 通用服务一直没有统一规划和制定,清晰的标准，这就是FC安全问题的根源！,FC的安全标准尚在制定中,网络接口,(链路层),IP,(网络层,),TCP,(传输层),SOCKS,SSL,TLS,IPSec(AH,ESP),Packet Filtering,Tunneling Protocols,CHAP,PAP,MS-CHAP,iSCSI,iSCSI与TCP/IP的VPN协议,功能,技术,访问控制,访问控制列表（ACL）、LUN掩码（LUN Masking）、分区、VLAN,管理数据安全,SNMP v2/v3、SSL、SSH,管理身份验证,ID、密码,RADIUS,机密管理,密码散列（hash）、证书安全,配置数据安全、密钥安全,实体身份验证,CHAP,消息验证和完整性,MD5,数据加密,IP Sec ESP,DES、3DES、AES,IP SAN可利用成熟的安全工具,主机A,交换机,主机 B,S1,S3,S2,S4,S5,HOST NAME,IP ADDR,NIC MAC,iSCSI IQN,HBA WWN,安全保障技术对比FC vs IP,ZONING,VLAN,VPN,LUN MASKING,LUN Masking,CHAP,IPSec,FC SAN,IP SAN,存储设备,IP Sec,iSCSI HBA Card,iSCSI 磁盘阵列,FC HBA Card,FC磁盘阵列,IPSec：,数据加密标准(DES 40位),、,数据加密标准(DES 56位),、,3DES,(168位),FC协议为二层协议，无加密功能,主机,GE Card,防止网络窃听,SAN的访问控制分区,存储区域网络(SAN),磁带库,磁盘阵列,分区4,分区1,分区2,分区3,FC：Zoning,iSCSI：1、发现域,2、VLAN,存储区域网络(SAN),FC SNS/iSNS,基于名称服务的SAN分区,磁带库,磁盘阵列,Zone4,Zone1,Zone2,Zone3,WWN,WWN,WWN,WWN,WWUI,WWUI,WWUI,WWUI,FC SAN称这类分区为“软分区”，而IP SAN采用发现域可实现FC基于名称服务的分区功能,基于交换机端口的分区,zone2,磁带库,磁盘阵列,zone1,zone3,zone4,主机,交换机,FC SAN称这类分区,为“硬分区”,IP SAN采用VLAN,实现，但是VLAN,功能远比FC交换机分区功能标准和强大,VLAN2,磁带库,iSCSI,磁盘阵列,VLAN1,VLAN3,VLAN4,主机,交换机,VLAN,table,Port,VLAN,Port 1,VLAN 1，4,Port 4,VLAN 2，4,Port 6,VLAN 3，4,Port 9,VLAN 1,Port 11,VLAN 2,Port 13,VLAN 3,Port 16,VLAN 4,基于端口的VLAN,服务器,服务器,HBA卡,LUN0,LUN1,LUN2,阵列1,Y,Y,N,阵列2,Y,Y,N,阵列3,N,N,N,Access Map,SAN,LUN0,LUN1,LUN2,阵列1,N,N,Y,阵列2,N,N,Y,阵列3,Y,Y,Y,Access Map,阵列3,阵列2,阵列1,LUN2,LUN1,LUN0,LUN2,LUN1,LUN0,LUN2,LUN1,LUN0,基于HBA的LUN Mapping/Masking,主机1,主机3,SAN,LUN0,LUN1,LUN2,主机1,Y,N,N,主机2,N,Y,N,主机3,N,N,Y,Access Map,阵列,LUN2,LUN1,LUN0,主机2,基于控制器的LUN Mapping/Masking,感谢阅读本文档，谢谢！,