iSCSI

Interface Internet pour petits systèmes informatiques ou iSCSI ( / aɪ ˈ s k ʌ z i / ^ⓘ eye-SKUZ-ee) est unele protocole Internetpour relier les installations de stockage de données. iSCSI fournitun accès au niveau des blocsauxpériphériques de stockageen transportantSCSIsur unTCP/IP. iSCSI facilite les transferts de données surles intranetset la gestion du stockage sur de longues distances. Il peut être utilisé pour transmettre des données surdes réseaux locaux(LAN),des réseaux étendus(WAN) ouInternetet peut permettre le stockage et la récupération de données indépendants de l'emplacement.

Le protocole permet aux clients (appelés initiateurs ) d'envoyer des commandes SCSI ( CDB ) à des périphériques de stockage ( cibles ) sur des serveurs distants. Il s'agit d'un protocole de réseau de stockage (SAN), permettant aux organisations de consolider le stockage dans des baies de stockage tout en offrant aux clients (tels que les serveurs de base de données et Web) l'illusion de disques SCSI connectés localement. Il est principalement en concurrence avec Fibre Channel , mais contrairement au Fibre Channel traditionnel qui nécessite généralement un câblage dédié, iSCSI peut être exécuté sur de longues distances en utilisant l'infrastructure réseau existante. iSCSI a été lancé par IBM et Cisco en 1998 et soumis comme projet de norme en mars 2000.

En substance, iSCSI permet à deux hôtes de négocier puis d'échanger des commandes SCSI à l'aide de réseaux IP ( Internet Protocol ). Ce faisant, iSCSI prend un bus de stockage local hautes performances populaire et l'émule sur une large gamme de réseaux, créant ainsi un réseau de stockage (SAN). Contrairement à certains protocoles SAN, iSCSI ne nécessite aucun câblage dédié ; il peut être exécuté sur une infrastructure IP existante. Par conséquent, iSCSI est souvent considéré comme une alternative à faible coût à Fibre Channel , qui nécessite une infrastructure dédiée, sauf dans sa forme FCoE (Fibre Channel over Ethernet). Cependant, les performances d'un déploiement SAN iSCSI peuvent être gravement dégradées s'il n'est pas exploité sur un réseau ou un sous-réseau dédié (LAN ou VLAN ), en raison de la concurrence pour une quantité fixe de bande passante.

Bien que l'iSCSI puisse communiquer avec des types arbitraires de périphériques SCSI, les administrateurs système l'utilisent presque toujours pour permettre aux serveurs (tels que les serveurs de base de données) d'accéder aux volumes de disque sur les baies de stockage. Les SAN iSCSI ont souvent l'un des deux objectifs suivants :

Consolidation du stockage

Les entreprises déplacent des ressources de stockage disparates des serveurs de leur réseau vers des emplacements centraux, souvent dans des centres de données. Cela permet une plus grande efficacité dans l'allocation du stockage, car le stockage lui-même n'est plus lié à un serveur particulier. Dans un environnement SAN, un nouveau volume de disque peut être alloué à un serveur sans aucune modification du matériel ou du câblage.

Reprise après sinistre

Les organisations mettent en miroir les ressources de stockage d'un centre de données vers un centre de données distant, qui peut servir de centre de secours en cas de panne prolongée. En particulier, les SAN iSCSI permettent de migrer des baies de disques entières sur un WAN avec des modifications de configuration minimales, ce qui rend le stockage « routable » de la même manière que le trafic réseau.

Un initiateur fonctionne comme un client iSCSI. Un initiateur remplit généralement la même fonction sur un ordinateur qu'un adaptateur de bus SCSI, sauf qu'au lieu de câbler physiquement des périphériques SCSI (comme des disques durs et des changeurs de bande), un initiateur iSCSI envoie des commandes SCSI sur un réseau IP. Un initiateur se divise en deux grands types :

Un initiateur logiciel utilise du code pour implémenter iSCSI. En général, cela se produit dans un pilote de périphérique résident du noyau qui utilise la carte réseau (NIC) et la pile réseau existantes pour émuler les périphériques SCSI d'un ordinateur en utilisant le protocole iSCSI. Les initiateurs logiciels sont disponibles pour la plupart des systèmes d'exploitation courants et constituent la méthode la plus courante de déploiement d'iSCSI.

Un initiateur matériel utilise un matériel dédié, généralement associé à un micrologiciel exécuté sur ce matériel, pour implémenter iSCSI. Un initiateur matériel atténue la surcharge du traitement iSCSI et TCP et des interruptions Ethernet , et peut donc améliorer les performances des serveurs qui utilisent iSCSI. Un adaptateur de bus hôte iSCSI (plus communément, HBA) implémente un initiateur matériel. Un HBA typique est conditionné sous la forme d'une combinaison d'un contrôleur d'interface réseau Ethernet Gigabit (ou 10 Gigabit) , d'une sorte de technologie de moteur de déchargement TCP/IP (TOE) et d'un adaptateur de bus SCSI, comme il apparaît au système d'exploitation. Un HBA iSCSI peut inclure une ROM d'option PCI pour permettre le démarrage à partir d'un SAN iSCSI.

Un moteur de déchargement iSCSI , ou carte iSOE , offre une alternative à un HBA iSCSI complet. Un iSOE « décharge » les opérations d'initiateur iSCSI pour cette interface réseau particulière du processeur hôte, libérant ainsi des cycles CPU pour les principales applications hôtes. Les HBA iSCSI ou iSOE sont utilisés lorsque l'amélioration des performances supplémentaires justifie les dépenses supplémentaires liées à l'utilisation d'un HBA pour iSCSI, plutôt que d'utiliser un client iSCSI basé sur un logiciel (initiateur). iSOE peut être implémenté avec des services supplémentaires tels que le moteur de déchargement TCP (TOE) pour réduire davantage l'utilisation du processeur du serveur hôte.

La spécification iSCSI fait référence à une ressource de stockage située sur un serveur iSCSI (plus généralement, l'une des nombreuses instances potentielles de nœuds de stockage iSCSI exécutés sur ce serveur) comme cible .

Une cible iSCSI est souvent un périphérique de stockage sur disque dur dédié connecté au réseau, mais peut également être un ordinateur à usage général, car comme pour les initiateurs, un logiciel permettant de fournir une cible iSCSI est disponible pour la plupart des systèmes d'exploitation courants.

Les scénarios de déploiement courants pour une cible iSCSI incluent :

Dans un centre de données ou un environnement d'entreprise, une cible iSCSI réside souvent dans une grande baie de stockage. Ces baies peuvent se présenter sous la forme de matériel standard avec des implémentations iSCSI basées sur des logiciels libres ou de produits commerciaux tels que StorTrends , Pure Storage , HP StorageWorks , EqualLogic , Tegile Systems , Nimble Storage , la famille IBM Storwize , Isilon , NetApp filer , Dell EMC , Kaminario , NS-series, CX4, VNX, VNXe, VMAX, Hitachi Data Systems HNAS ou Pivot3 vSTAC.

Une baie de stockage fournit généralement des cibles iSCSI distinctes pour de nombreux clients.

Presque tous les systèmes d'exploitation de serveur modernes (tels que BSD , Linux , Solaris ou Windows Server ) peuvent fournir la fonctionnalité cible iSCSI, soit en tant que fonctionnalité intégrée, soit avec un logiciel supplémentaire. Certains systèmes d'exploitation à usage spécifique implémentent la prise en charge de la cible iSCSI.

Dans la terminologie SCSI , LU signifie unité logique , qui est spécifiée par un numéro d'unité logique unique . Un LUN représente un périphérique SCSI adressable individuellement (logique) qui fait partie d'un périphérique SCSI physique (cible). Dans un environnement iSCSI, les LUN sont essentiellement des lecteurs de disque numérotés. Un initiateur négocie avec une cible pour établir une connectivité à un LUN ; le résultat est une connexion iSCSI qui émule une connexion à un disque dur SCSI. Les initiateurs traitent les LUN iSCSI de la même manière qu'ils traiteraient un disque dur SCSI ou IDE brut ; par exemple, plutôt que de monter des répertoires distants comme cela se ferait dans les environnements NFS ou CIFS , les systèmes iSCSI formatent et gèrent directement les systèmes de fichiers sur les LUN iSCSI.

Dans les déploiements d'entreprise, les LUN représentent généralement des sous-ensembles de grandes baies de disques RAID , souvent alloués un par client. iSCSI n'impose aucune règle ni restriction sur plusieurs ordinateurs partageant des LUN individuels ; il laisse l'accès partagé à un seul système de fichiers sous-jacent comme tâche pour le système d'exploitation.

Pour le stockage de données générales sur un ordinateur déjà démarré, n'importe quel type d'interface réseau générique peut être utilisé pour accéder aux périphériques iSCSI. Cependant, une interface réseau générique grand public n'est pas en mesure de démarrer un ordinateur sans disque à partir d'une source de données iSCSI distante. Au lieu de cela, il est courant qu'un serveur charge son système d'exploitation initial à partir d'un serveur TFTP ou d'un périphérique de démarrage local, puis utilise iSCSI pour le stockage des données une fois le démarrage à partir du périphérique local terminé.

Un serveur DHCP distinct peut être configuré pour aider les interfaces équipées d' une capacité de démarrage réseau à pouvoir démarrer sur iSCSI. Dans ce cas, l'interface réseau recherche un serveur DHCP proposant une image de démarrage PXE ou bootp . Ceci est utilisé pour lancer le processus de démarrage à distance iSCSI, en utilisant l' adresse MAC de l'interface réseau de démarrage pour diriger l'ordinateur vers la cible de démarrage iSCSI correcte . On peut ensuite utiliser une approche logicielle uniquement pour charger un petit programme de démarrage qui peut à son tour monter une cible iSCSI distante comme s'il s'agissait d'un lecteur SCSI local, puis lancer le processus de démarrage à partir de ladite cible iSCSI . Cela peut être réalisé en utilisant une ROM de démarrage PXE ( Preboot Execution Environment ) existante, qui est disponible sur de nombreux adaptateurs Ethernet câblés. Le code de démarrage peut également être chargé à partir d'un CD/DVD, d'une disquette (ou d'une image de disquette) et d'un stockage USB, ou il peut remplacer le code de démarrage PXE existant sur les adaptateurs qui peuvent être re-flashés. Le logiciel gratuit le plus populaire offrant la prise en charge du démarrage iSCSI est iPXE .

La plupart des contrôleurs Ethernet Intel pour serveurs prennent en charge le démarrage iSCSI.

iSCSI utilise TCP (en général les ports TCP 860 et 3260) pour les protocoles eux-mêmes, avec des noms de niveau supérieur utilisés pour adresser les objets au sein du protocole. Les noms spéciaux font référence à la fois aux initiateurs et aux cibles iSCSI. iSCSI fournit trois formats de noms :

Nom qualifié iSCSI (IQN)

Format : Le nom qualifié iSCSI est documenté dans la RFC 3720, avec d'autres exemples de noms dans la RFC 3721. En bref, les champs sont les suivants :

• iqn littéral (nom qualifié iSCSI)
• date (aaaa-mm) à laquelle l'autorité de dénomination a pris possession du domaine
• nom de domaine inversé de l'autorité (par exemple org.alpinelinux, com.example, to.yp.cr)
• « ":" » facultatif préfixant un nom de cible de stockage spécifié par l'autorité de dénomination.

Extrait de la RFC :

Identifiant unique étendu (EUI)

Format : eui.{Adresse EUI-64 bits} (par exemple eui.02004567A425678D)

Autorité d'adresse réseau T11 (NAA)

Format : naa.{identifiant NAA 64 ou 128 bits} (par exemple naa.52004567BA64678D)

Les adresses au format IQN sont les plus courantes. Elles sont qualifiées par une date (aaaa-mm) car les noms de domaine peuvent expirer ou être acquis par une autre entité.

L'autorité d'enregistrement IEEE fournit l'EUI conformément à la norme EUI-64. NAA fait partie de l'OUI fourni par l'autorité d'enregistrement IEEE. Les formats de nom NAA ont été ajoutés à iSCSI dans la RFC 3980, pour assurer la compatibilité avec les conventions de dénomination utilisées dans les technologies de stockage Fibre Channel et Serial Attached SCSI (SAS).

Généralement, un participant iSCSI peut être défini par trois ou quatre champs :

1. Nom d'hôte ou adresse IP (par exemple, « iscsi.example.com »)
2. Numéro de port (par exemple, 3260)
3. Nom iSCSI (par exemple, l'IQN « iqn.2003-01.com.ibm:00.fcd0ab21.shark128 »)
4. Un secret CHAP facultatif (par exemple, « secretsarefun »)

Les initiateurs iSCSI peuvent localiser les ressources de stockage appropriées à l'aide du protocole iSNS ( Internet Storage Name Service ). En théorie, iSNS fournit aux SAN iSCSI le même modèle de gestion que les SAN Fibre Channel dédiés . En pratique, les administrateurs peuvent satisfaire de nombreux objectifs de déploiement pour iSCSI sans utiliser iSNS.

Les initiateurs et les cibles iSCSI prouvent leur identité les uns aux autres à l'aide de CHAP , qui comprend un mécanisme permettant d'empêcher l'apparition de mots de passe en clair sur le réseau. En soi, CHAP est vulnérable aux attaques par dictionnaire , à l'usurpation d'identité et aux attaques par réflexion . Si elles sont suivies à la lettre, les meilleures pratiques d'utilisation de CHAP dans iSCSI réduisent la surface d'attaque de ces attaques et atténuent les risques.

De plus, comme tous les protocoles IP, IPsec peut fonctionner au niveau de la couche réseau. Le protocole de négociation iSCSI est conçu pour prendre en charge d'autres schémas d'authentification, bien que des problèmes d'interopérabilité limitent leur déploiement.

Pour garantir que seuls les initiateurs valides se connectent aux baies de stockage, les administrateurs exécutent généralement iSCSI uniquement sur des réseaux backchannel logiquement isolés. Dans cette architecture de déploiement, seuls les ports de gestion des baies de stockage sont exposés au réseau interne à usage général, et le protocole iSCSI lui-même est exécuté sur des segments de réseau dédiés ou VLAN . Cela atténue les problèmes d'authentification ; les utilisateurs non autorisés ne sont pas physiquement provisionnés pour iSCSI et ne peuvent donc pas communiquer avec les baies de stockage. Cependant, cela crée également un problème de confiance transitive, dans la mesure où un seul hôte compromis avec un disque iSCSI peut être utilisé pour attaquer les ressources de stockage d'autres hôtes.

Bien que l'iSCSI puisse être isolé logiquement du réseau général en utilisant uniquement des VLAN, il ne diffère pas des autres équipements réseau et peut utiliser n'importe quel câble ou port tant qu'il existe un chemin de signal complet entre la source et la cible. Une seule erreur de câblage par un technicien réseau peut compromettre la barrière de séparation logique, et un pontage accidentel peut ne pas être immédiatement détecté car il ne provoque pas d'erreurs réseau.

Afin de différencier davantage iSCSI du réseau standard et d'éviter les erreurs de câblage lors du changement de connexion, les administrateurs peuvent mettre en œuvre des normes de codage couleur et d'étiquetage auto-définies, telles que l'utilisation uniquement de câbles de couleur jaune pour les connexions iSCSI et uniquement de câbles bleus pour le réseau standard, et l'étiquetage clair des ports et des commutateurs utilisés uniquement pour iSCSI.

Bien que l'iSCSI puisse être implémenté simplement comme un cluster VLAN de ports sur un grand commutateur multiport également utilisé pour une utilisation générale du réseau, l'administrateur peut plutôt choisir d'utiliser des commutateurs physiquement séparés dédiés uniquement aux VLAN iSCSI, afin d'éviter davantage la possibilité qu'un câble mal connecté branché sur le mauvais port franchisse la barrière logique.

Étant donné que l'iSCSI vise à consolider le stockage de plusieurs serveurs dans une seule baie de stockage, les déploiements iSCSI nécessitent des stratégies pour empêcher les initiateurs non liés d'accéder aux ressources de stockage. À titre d'exemple pathologique, une seule baie de stockage d'entreprise peut contenir des données pour des serveurs réglementés de diverses manières par la loi Sarbanes-Oxley pour la comptabilité d'entreprise, la loi HIPAA pour les informations sur les prestations de santé et la norme PCI DSS pour le traitement des cartes de crédit. Lors d'un audit, les systèmes de stockage doivent démontrer des contrôles pour garantir qu'un serveur sous un régime ne peut pas accéder aux ressources de stockage d'un serveur sous un autre régime.

En règle générale, les baies de stockage iSCSI mappent explicitement les initiateurs à des LUN cibles spécifiques ; un initiateur ne s'authentifie pas auprès de la baie de stockage, mais auprès de l'actif de stockage spécifique qu'il souhaite utiliser. Cependant, étant donné que les LUN cibles des commandes SCSI sont exprimés à la fois dans le protocole de négociation iSCSI et dans le protocole SCSI sous-jacent, il convient de veiller à ce que le contrôle d'accès soit fourni de manière cohérente.

Dans la plupart des cas, iSCSI fonctionne comme un protocole en texte clair qui n'offre aucune protection cryptographique pour les données en mouvement pendant les transactions SCSI. Par conséquent, un attaquant qui peut écouter le trafic Ethernet iSCSI peut :

• Reconstruire et copier les fichiers et les systèmes de fichiers transférés sur le réseau
• Modifier le contenu des fichiers en injectant de fausses trames iSCSI
• Des systèmes de fichiers corrompus sont accessibles par des initiateurs, exposant les serveurs à des failles logicielles dans un code de système de fichiers mal testé.

Ces problèmes ne se produisent pas uniquement avec iSCSI, mais s'appliquent à tout protocole SAN sans sécurité cryptographique. Les protocoles de sécurité basés sur IP, tels qu'IPsec , peuvent fournir une protection cryptographique basée sur des normes à ce trafic.

Les dates du tableau suivant indiquent la première apparition d'un pilote natif dans chaque système d'exploitation. Des pilotes tiers pour Windows et Linux étaient disponibles dès 2001, notamment pour connecter l'appareil IP Storage 200i d'IBM.

La plupart des cibles iSCSI impliquent un disque, même si les cibles iSCSI à bande et à changeur de support sont également populaires. Jusqu'à présent, les périphériques physiques n'étaient pas dotés d'interfaces iSCSI natives au niveau des composants. Au lieu de cela, les périphériques dotés d' interfaces SCSI parallèles ou Fibre Channel sont reliés par un logiciel cible iSCSI, des ponts externes ou des contrôleurs internes au boîtier du périphérique.

Il est également possible de virtualiser des cibles de disque et de bande. Plutôt que de représenter un périphérique physique réel, un périphérique virtuel émulé est présenté. L'implémentation sous-jacente peut s'écarter considérablement de la cible présentée, comme c'est le cas avec les produits de bibliothèque de bandes virtuelles (VTL). Les VTL utilisent le stockage sur disque pour stocker les données écrites sur des bandes virtuelles. Comme pour les périphériques physiques réels, les cibles virtuelles sont présentées à l'aide d'un logiciel cible iSCSI, de ponts externes ou de contrôleurs internes au boîtier du périphérique.

Dans le secteur des produits de sécurité, certains fabricants utilisent un RAID iSCSI comme cible, l’initiateur étant soit un encodeur soit une caméra compatible IP.

Il existe plusieurs systèmes permettant de connecter des périphériques Fibre Channel, SCSI et SAS à un réseau IP pour une utilisation via iSCSI. Ils peuvent être utilisés pour permettre la migration à partir d'anciennes technologies de stockage, l'accès aux SAN à partir de serveurs distants et la liaison de SAN sur des réseaux IP. Une passerelle iSCSI relie les serveurs IP aux SAN Fibre Channel. La connexion TCP se termine au niveau de la passerelle, qui est implémentée sur un commutateur Fibre Channel ou en tant qu'appareil autonome.