Handbuch zur Serverkonfiguration für ESX - VMware

Handbuch zur Serverkonfiguration für ESX
iSCSI-SANs ermöglichen die effiziente Verwendung bestehender Ethernet-Infrastrukturen zum Zugriff auf
Speicherressourcen durch ESX-Hosts, die diese Ressourcen dynamisch teilen können. Deshalb bieten iSCSI-
SANs eine wirtschaftliche Speicherlösung für Umgebungen, die auf einem gemeinsamen Speicherpool für
verschiedene Benutzer basieren. Wie in allen vernetzten Systemen sind auch iSCSI-SANs anfällig für Sicherheitsverletzungen.
HINWEIS Die Anforderungen und Vorgehensweisen für die Absicherung von iSCSI-SANs ähneln denen für
Hardware-iSCSI-Adapter, die Sie für ESX-Hosts und für iSCSI, das direkt über den ESX-Host konfiguriert
wird, verwenden.
Absichern von iSCSI-Geräten über Authentifizierung
iSCSI-Geräte können gegen ungewollten Zugriff abgesichert werden, indem der ESX-Host, der „Initiator“,
vom iSCSI-Gerät, dem „Ziel“, authentifiziert werden muss, wenn der Host versucht, auf Daten in der Ziel-
LUN zuzugreifen.
Ziel der Authentifizierung ist es zu überprüfen, dass der Initiator das Recht hat, auf ein Ziel zuzugreifen. Dieses
Recht wird bei der Konfiguration der Authentifizierung gewährt.
ESX unterstützt für iSCSI weder Kerberos noch Secure Remote Protocol (SRP) noch Authentifizierungsverfahren
mit öffentlichen Schlüsseln. Außerdem unterstützt es keine IPsec-Authentifizierung und -Verschlüsselung.
Mit dem vSphere-Client können Sie bestimmen, ob die Authentifizierung derzeit verwendet wird, und das
Authentifizierungsverfahren konfigurieren.
Aktivieren von Challenge-Handshake Authentication Protocol (CHAP) für iSCSI-
SANs
Sie können das iSCSI-SAN so konfigurieren, dass die CHAP-Authentifizierung verwendet wird.
Bei der CHAP-Authentifizierung sendet das iSCSI-Ziel, wenn der Initiator mit ihm Kontakt aufnimmt, einen
vordefinierten ID-Wert und einen Zufallswert, den Schlüssel, an den Initiator. Der Initiator erstellt einen unidirektionalen
Prüfsummenwert, den er an das Ziel sendet. Die Prüfsumme enthält drei Elemente: einen vordefinierten
ID-Wert, den Zufallswert, den das Ziel gesendet hat, und einen privaten Wert, den sog. CHAP-
Schlüssel, den sowohl der Initiator als auch das Ziel haben. Wenn das Ziel die Prüfsumme vom Initiator erhält,
erstellt es aus den gleichen Elementen seine eigene Prüfsumme und vergleicht diese mit dem Prüfsummenwert
des Initiators. Wenn die Ergebnisse übereinstimmen, authentifiziert das Ziel den Initiator.
ESX unterstützt die unidirektionale und die bidirektionale CHAP-Authentifizierung für iSCSI. Bei der unidirektionalen
CHAP-Authentifizierung authentifiziert das Ziel den Initiator, nicht jedoch der Initiator das Ziel.
Bei der bidirektionalen CHAP-Authentifizierung ermöglicht eine zusätzliche Sicherheitsstufe dem Initiator
die Authentifizierung des Ziels.
ESX unterstützt die CHAP-Authentifizierung auf Adapterebene, wenn nur ein Satz von Anmeldedaten für
die Authentifizierung vom Host an alle Ziele gesendet werden kann. Die zielbasierte CHAP-Authentifizierung,
bei der verschiedene Anmeldedaten für die Ziele konfiguriert werden können, um eine bessere Zielunterscheidung
vornehmen zu können, wird ebenfalls unterstützt.
Weitere Informationen zum Arbeiten mit CHAP finden Sie unter „Konfigurieren von CHAP-Parametern für
iSCSI-Adapter“, auf Seite 114.
190 VMware, Inc.