基于iSCSI协议的IP网络安全存储结构设计探讨

李丽琳 刘柱文

永州职业技术学院 湖南 425000

0 引言

iSCSI协议是SCISI IP组织的标准协议，是由IBM和Haifa这两个研究组织于2003年共同提出的。iSCSI协议在继承传统标准与技术的基础上沿用了 TCP/IP标准，并完善了这一协议，这也为 iSCSI协议的发展提供了契机。iSCSI协议定义了在IP网络上传输SCSI命令、数据和状态的规则和方法。通过iSCSI连接起来的iSCSI设备构成C/S(客户机/服务器)模型，iSCSI始发端(客户机)发出命令，通过 TCP/IP协议发送到 iSCSI目标端(服务器)，目标端执行命令并将执行结果返回给始发端。从SAM-2的角度来看，iSCSI协议和网络连接系统共同构成了 SCSI设备的服务分发子系统，SAM-2中定义：连接子系统是数据的传输介质，服务分发接口是相应的协议，保证设备之间的请求和响应无差错传输。连接子系统和服务分发接口分别对应iSCSI协议和网络连接系统。

基于iSCSI协议构件的存储系统的本质就是利用iSCSI协议替代FC协议，通过IP网络构件存储的区域网。

一个简单的基于iSCSI协议的存储系统主要由存储的用户(如个人电脑)、IP网络互联设备以及带有IP网络接口的存储设备组成。网络中的任何一个用户访问这些存储设备时，先将操作存储设备的SCSI命令封装成iSCSI PDU，然后由IP网络随机发送到某个网络存储设备上，这时，设备通过解析iSCSI PDU，然后执行对应的命令返回执行结果。

基于iSCSI协议的存储系统与传统的基于FC协议的存储系统相比，有一些显著的特点：

（1）存储系统的成本大大降低

根据如上描述，基于iSCSI协议的存储系统是在IP网络上构建的，而IP网络的成本要远远低于光纤成本。而且随着互联网的广泛应用，使得基于iSCSI协议的存储系统不需要专业的人员进行管理，这也降低了系统维护的费用。

（2）应用范围广

正是由于基于iSCSI协议的存储系统利用IP网络作为构建基础，因此比传统的基于FC协议的存储系统有着更广泛的应用范围，不仅可以提供局域，城域范围的存储，甚至可以为全球范围内的客户进行服务。目前，基于iSCSI协议的存储系统的应用主要分为面向服务器和面向多用户两种。

1 基于iSCSI协议的安全存储结构设计

我们拟设计一种新的基于iSCSI协议的安全存储结构，这是因为，根据上面的分析，我们相信基于iSCSI协议的安全存储结构比传统的基于FC协议的存储在多方面都有明显的优势。

1.1 基本设计思路

我们知道，由于基于iSCSI协议的安全存储结构是利用IP技术组建起来的网络存储，因此，设计基于iSCSI协议的安全存储结构既要考虑到存储本身可能存在的安全问题，还要考虑到 IP网络的安全问题。由于目前市场上基于 iSCSI协议的安全存储结构的安全研究还不够完善，因此使得这一新兴的网络存储系统只能应用于安全性要求比较低的场合，没有发挥IP网络的真正优势，使得基于iSCSI协议的安全存储结构和传统网络存储的差别不大。

考虑到这一问题，我们在设计新的基于iSCSI协议的安全存储结构时，要在能够发挥该网络存储优势的同时兼顾保护 IP网络的安全，以便新系统能够应用于需要构建基于iSCSI协议的安全存储结构并且对安全性较高的企业单位。综合以上需求，我们拟设计的系统采用外挂式存储虚拟化结构，基于iSCSI层，利用分级管理的思想，结合密码学中常用的访问控制、认证加密和完整性校验等技术进行数据的安全保护。

1.2 两种不同的存储虚拟化结构

利用通信协议构建网络存储的关键一点就是要为存储区设计一个合适的存储管理器，以便于对存储区进行管理。在现有的存储器设计技术中有一种存储虚拟化技术。这一技术的核心思想是将物理磁盘虚拟成不同的逻辑磁盘。从用户角度看，用户只能看到逻辑磁盘，这些逻辑磁盘在空间上只可能占用物理磁盘的几个扇区。目前看，根据存储区域网的存储管理器的不同的位置，基于iSCSI协议的安全存储结构主要根据是否带有内存分为不带内存的存储虚拟化结构和带内存的存储虚拟化结构两种：

（1）不带内存的存储虚拟化结构

不带内存的存储虚拟化结构中的存储虚拟化控制器位于存储用户和IP网络的物理磁盘通道之外。当存储用户需要访问逻辑磁盘时，存储虚拟化控制器首先收到发送请求，但存储虚拟化控制器并不会直接去执行该请求，而是将真实物理磁盘的地址信息发送给请求用户，通过用户直接访问物理磁盘。在这种结构中，传输存储数据没有经过存储虚拟化控制器，因此在效率上比带内存的存储虚拟化结构要高。

（2）带内存的存储虚拟化结构

与不带内存的存储虚拟化结构相比，在带内存的存储虚拟化结构中，存储虚拟化控制器位于用户和IP网络的物理磁盘通道中，在用户，IP网络的物理磁盘通道与存储虚拟化控制器都利用iSCSI连接，进行数据传输。可以看出，用户应该属于iSCSI的发起端，IP网络的物理磁盘通道应该属于接收端，存储虚拟化控制器相对于存储用户来说，属于接收端，但对于IP网络的物理磁盘通道则属于发起端。存储虚拟化控制器的作用就是将实际的物理磁盘虚拟化成虚拟的逻辑磁盘发送给用户，当用户需要访问逻辑磁盘时，应先向存储虚拟化控制器发出SCSI命令，之后存储虚拟化控制器解析这些之后，最后通过iSCSI向实际的物理磁盘发送SCSI命令完成操作。在这种结构中，传输存储数据需利用存储虚拟化控制器，因此在效率上比不带内存的存储虚拟化结构要低。

1.3 分级管理结构的建立

了解基于FC协议的存储结构，就会看到上面提到的两种基于iSCSI协议的安全存储结构实际上是基于FC协议的安全存储结构的改进。基于FC与基于iSCSI的最大区别在于前者由于受到需要光纤传输距离和设备价格等方面的因素，只能应用与如C/S结构中运行负载交大的服务器环境，即只适合于为可以承受较大负载的服务器提供数据与资源的管理和共享的环境；而基于iSCSI协议的安全存储结构由于利用IP网络传输数据，因此可以借助广泛的互联网覆盖组建网络安全存储结构，这一方面避免了如上提到的地理上的限制，也降低了成本。

根据实际情况，我们应该将带内存的存储虚拟化结构和不带内存的存储虚拟化结构结合起来。在这种管理结构中，顶级管理员可以对存储的区域网内的全部存储资源进行访问与管理，并有权利将存储空间按照一定原则分配给下一级客户，接收的客户一方面作为管理员的客户，另一方面成为再下一级客户的管理员，以此类推，从而建立一种金字塔式的管理模式，构成多级管理结构的基于iSCSI协议的存储虚拟化结构。

该金字塔式的基于iSCSI协议的存储虚拟化结构的主要特点包括：

（1）管理变得更加容易

如上分析，在这种管理结构中，并没有将资源和数据的管理权限集中在一个管理员身上，而是通过分级结构将权限逐步下放，由各级管理员共同负责对各级资源和数据进行管理。这种管理模式一方面避免了超级管理员权限过大容易成为攻击目标的危险；另一方面减轻了超级管理员的负担，管理工作变得更加容易。

（2）与业务管理结构更加统一

这种金字塔式的管理结构还有一个好处就是与企业中的分级化管理结构式一致的，这种一致性便于企业在利用基于iSCSI协议的存储虚拟化结构进行数据管理时变得简单，可以直接利用现有的结构进行资源管理的分配和部署。

2 基于iSCSI协议的存储虚拟化结构中的安全问题与对策

2.1 基于iSCSI协议的存储虚拟化结构中的安全问题

基于iSCSI协议的存储虚拟化结构由于利用了IP网络进行数据和资源的传输，因此各种IP网络中存在的安全问题在这种新的结构中都可能存在。这些安全威胁主要包括：

（1）无授权的访问

由于资源和数据需要利用IP网络进行传输，因此可能带来无授权访问的问题。具体来讲，无授权访问是指没有访问权利的敌手利用IP网络在公开区域的传输，抓住其漏洞进行数据的冒充访问；有授权的用户对不属于自己查看范围的数据进行越权访问，以获得更高的访问权限。

（2）窃取公开网络中的数据

这属于一种被动攻击，即攻击利用IP网络中的漏洞，利用监听技术获取IP包从而能截获传输中的数据；敌手还可能通过控制存储器来盗取其中的数据。

（3）延迟，修改，破坏通信过程

相对于监听等被动获得数据的被动手段，延迟，修改，破坏通信过程是一种敌手的主动攻击，敌手在这一攻击中已经不能满足仅仅获得数据或资源，而是为了破坏整个通信过程，造成通信或传输的中断，错误等。

2.2 基于iSCSI协议的存储虚拟化结构中的安全对策

针对这些问题，利用密码学的知识，我们认为可以通过如下一些安全策略克服可能存在的攻击。

（1）增加访问控制机制

访问控制技术在其他安全研究领域已经相当成熟，我们可以在iSCSI的初始化即登录阶段利用已有的访问控制技术设置认证协议和安全参数，保证只有通过认证的用户才有权限访问网络资源；同时，为了避免服务器端被敌手控制后，通过认证过程骗取用户口令，我们还应保证认证过程的双向性。

（2）数据的加密策略

对在公开的 IP网络中传输的数据进行加密是保证数据隐私性的一种重要手段，可以有效地防止敌手的窃听。目前，在数据加密领域常用的有著名的DES，3DES和AES等。需要说明的是，尽管DES已经被破解，但用于一般企业级数据的加密还是安全的。

（3）数据的完整性校验

为了防止敌手利用网络的漏洞对其进行攻击，破坏数据的完整性，还应该建立数据的完整性校验机制。密码学提供了丰富的完整性校验方法，如采用 Hash函数，数字签名等手段，也可以采用IPSec中两次数据的拆包重组操作来保证数据的完整性。

3 结束语

本文简要描述了基于iSCSI协议的存储系统的构建，并对基于iSCSI协议的存储系统与传统的基于FC协议的存储系统分别从成本和应用范围两个角度进行比较，详细阐述了基于iSCSI协议的安全存储结构设计，探讨了基于iSCSI协议的存储虚拟化结构中的安全问题及采取的相应对策。

[1]朱立谷,赵青梅.iSCSI协议的研究.计算机工程与应用. 2002.

[2]Kalman Z.Meth,Julian Satran.Design of the iSCSI Protocol. IEEE/NASA MSST2003.Twentieth IEEE/Eleventh NASA Goddard Conference on Mass Storage Systems&Technologies.April.2003. San Diego.California.USA:124-134.

[3]周敬利,徐漾.基于iSCSI的存储系统.华中科技大学学报(自然科学版).2002.

[4]戴志敏,王倩莉,胡越明,尤晋元.iSCSI协议研究与实现.计算机应用与软件.2005.

[5]吴志祥,汪波著.基于ISCSI的存储系统实现方法.微计算机信息.2006.

[6]许先斌,周明昊.基于iSCSI协议的存储区域网研究.计算机工程与设计.2006.