iSCSI技术基础知识汇总

ｉＳＣＳＩ基础技术知识

目录

前言 1 第一章iSCSI技术背景介绍 2 第二章iSCSI技术的应用 3 第三章iSCSI产品的组成8第四章iSCSI技术及其安全性9 第五章iSCSI与各类型存储方案的综合评比14第六章iSCSI与IP存储技术16 第七章问与答22

前言 iSCSI技术发展及未来展望

企业存储技术发展日新月异，早期大型服务器的DAS技术（Direct Attached Storage，直接附加存储，又称直连存储），后来为了提高存储空间的利用及管理安装上的效率，因而有了SAN（Storage Area Network，存储局域网络）技术的诞生，SAN可说是DAS网络化发展趋势下的产物。早先的SAN采用的是光纤通道（FC，Fiber Channel）技术，所以在iSCSI 出现以前，SAN多半单指FC而言。一直到iSCSI问世，为了方便区别，业界才分别以FC-SAN 及iSCSI-SAN的称呼加以分辨。

紧接着，为了能在多用户网络环境中，做好档案集中化分享管理的工作，采用全然不同于以往的文件协议（File Protocol）数据存取方式的NAS（Network Attached Storage；网络附加存储）方案也应运而生。它的出现，为以太网络的成熟及重要，做了最佳脚注。

日益发展及成熟的因特网，更进一步成为了IP存储方案成长壮大的最佳腹地及平台，现成的架构、协议、标准、基础设施及管理工具，莫不吸引着寻求最佳存储方案者的目光。此背景，加上FC-SAN高不可攀的成本及管理门坎的障碍，另一存储成员iSCSI（Internet SCSI）也来报到了。iSCSI的出现，标志着低价化SAN方案的问世。

从IP SAN到iSCSI SAN

所谓iSCSI亦即通过IP网络，将SCSI区块数据转换成网络封包的一种传输标准，它和NAS一样通过IP网络来传输数据，但在数据存取方式上，则采用与NAS不同的，而与FC-SAN相同的Block Protocol协议。iSCSI最早是由IBM和Cisco于2001年制定的。

事实上，为了解决FC-SAN在价格及管理上的诸多门坎，各家早有不同协议的IP SAN 的研究开发。这些IP SAN的架构，其实与iSCSI大同小异，只不过并非走标准化的协议（事实上，在iSCSI标准化之前，也没有什么标准不标准的问题），而是各家自行研发的协议，所以基本上各家IP SAN是不兼容的。

两大推波助澜的关键促因

在iSCSI尚未标准化之前，只有少数厂商投入IP SAN的开发，因为每一家厂商皆开发专属封闭协议的解决方案，所以这些方案之间无法完全兼容。在当时的市场上，由于发展iSCSI的厂商很少，所以支持的平台及软硬件等基础设施相当贫乏，这可说是iSCSI发展之初的最大阻碍及瓶颈。

但接下来的两大事件，却被视为促进iSCSI发展与成熟的关键因素，那就是iSCSI标准的正式通过，以及微软的正式支持。

SNIA（存储网络产业协会；The Storage Networking Industry Associate）于2003年2月正式制定通过了iSCSI标准。业界莫将此标准化视为iSCSI发展历程中的最关键因素，自此开始，有愈来愈多的厂商开始进一步开发合乎业界标准的相关产品。

在iSCSI的发展过程中，除了正式标准化具有重大意义外，微软紧接着在2003年5月宣布在WinServer 2003 中，正式支持iSCSI技术，并提供iSCSI Initiator驱动程序的下载。微软这项作法，带动了整个iSCSI业界的发展。

iSCSI之所以被看好，首先它根植于IP网络上，所以可以采用现有已经非常成熟的管理工具及基础建设，可为企业节省大笔建设、管理的成本。更重要的是，IP的人才资源非常充沛。此外，iSCSI在数据传输距离上，几乎没有限制的优点，更吸引无数企业的目光。

10G以太网会是iSCSI技术成长的基石

对于iSCSI的未来发展，诸多厂商都认为SAN与NAS的整合会是一大趋势。此外随着10G Ethernet的到来，iSCSI的理论带宽将会攀升到10Gb的极速，那么即使未来FC提升到4Gb，速度上也仍然不是iSCSI的对手。

2003年2月11日，IETF（Internet Engineering Task Force，互联网工程任务组）通过了iSCSI（Internet SCSI）标准，这项由IBM、Cisco共同发起的技术标准，经过三年20个版本的不断完善，终于得到了IETF认可。这吸引了很多的厂商参与到相关产品的开发中来，也推动了更多的用户采用iSCSI的解决方案。作为早已被广泛传播的网络存储技术，很多读者都对这项技术耳熟能详。而iSCSI技术最重要的贡献在于其对传统技术的继承和发展上：其一，SCSI（Small Computer Systems Interface，小型计算机系统接口）技术是被磁盘、磁带等设备广泛采用的存储标准，从1986年诞生起到现在仍然保持着良好的发展势头；其二，沿用TCP/IP协议，TCP/IP在网络方面是最通用、最成熟的协议，且IP网络的基础建设非常完善。这两点为iSCSI的无限扩展提供了夯实的基础。

iSCSI协议定义了在TCP/IP网络发送、接收block（数据块）级的存储数据的规则和方法。发送端将SCSI命令和数据封装到TCP/IP包中再通过网络转发，接收端收到TCP/IP包之后，将其还原为SCSI命令和数据并执行，完成之后将返回的SCSI命令和数据再封装到TCP/IP包中再传送回发送端。而整个过程在用户看来，使用远端的存储设备就象访问本地的SCSI设备一样简单。支持iSCSI技术的服务器和存储设备能够直接连接到现有的IP交换机和路由器上，因此iSCSI技术具有易于安装、成本低廉、不受地理限制、良好的互操作性、管理方便等优势。早在2001年上半年，IBM就推出了IP Storage 200i，是市场上公认的第一款基于iSCSI协议的产品，这款产品的出现，对于身处信息爆炸时代却无法承担光纤通道SAN环境高成本的中小型用户来说，具有巨大的吸引力；2001年10月，Cisco也推出了SN5420存储路由器，基于IP标准和SAN（Storage Area Network，存储区域网络）标准，可以提供与现有LAN（Local Area Network，局域网）、WAN（Wide Area Network，广域网）、光纤和SAN设备之间的互操作，率先建立了IP网络与SAN之间的桥梁。现在，有更多的厂商参与到iSCSI产品的开发中，如Intel已经推出了存储网卡IP Storage iSCSI PRO/1000 T，将协议转化也就是封装、还原TCP/IP包的步骤转移到网卡上来执行，大大降低了服务器处理器的占用率。同时，还有芯片、板卡制造商加入到iSCSI产品的开发中，如Adaptec、Qlogic 等等。

ISCSI在IP SAN和FC领域的应用

很多用户对iSCSI的技术和优势比较了解，但是如何将iSCSI技术应用到实际中来，大多数还不是很清楚，因此本白皮书将在下面的文章中着重阐述iSCSI技术的应用，希望能够促进读者对iSCSI的理解，并能够帮助用户在面对IP与FC（Fibre Channel，光纤通道）的选择时，更多一份把握。

在这里，我们先介绍一个概念，即IP Storage（IP存储）。在iSCSI技术不断完善的过程中，这个概念也早已被推向市场。简单的说，IP存储就是基于IP网络来实现数据块级存储的方式。由于iSCSI技术的固有优势，IP存储更是让很多用户翘首以待，希望能够出现一种大而统的方式，真正将存储规范化。

A 基于iSCSI技术的IP SAN应用：

图一 基于iSCSI技术的IP SAN

图一为比较简单的IP SAN结构图。例子中使用千兆以太网交换机搭建网络环境，由iSCSI initiator如文件服务器、iSCSI target如磁盘阵列及磁带库组成。在这里引入两个概念：initiator和target。Initiator即典型的主机系统，发出读、写数据请求；target即磁盘阵列之类的存储资源，响应客户端的请求。这两个概念也就是上文提到的发送端及接受端。图中使用iSCSI HBA（Host Bus Adapter，主机总线适配卡）连接服务器和交换机，iSCSI HBA 包括网卡的功能，还需要支持OSI网络协议堆栈以实现协议转换的功能。在IP SAN中还可以将基于iSCSI技术的磁带库直接连接到交换机上，通过存储管理软件实现简单、快速的数据备份。

由图一可以看出，基于iSCSI技术，利用现有的IP网络搭建IP SAN是极其简单的，且无须对管理人员进行深入培训即可掌握存储网络的管理。基于1Gb的IP网络搭建IP SAN，单通道数据传输速率可以达到160MB/s左右，因此iSCSI技术为用户提供了更高的性价比。

B 基于iSCSI路由器整合FC和IP应用：

如图二，为基于iSCSI路由器整合光纤通道网络和IP网络的结构图，将光纤通道存储网络和iSCSI网络整合，提供现有局域网（LAN）、广域网（WAN）、FC SAN设备之间的互操作性，特点如下：

通过iSCSI、光纤两种方式都可以访问IP网络中通用的存储设备；

通过IP网络访问FC SAN中的存储设备；

改善存储资源的可管理性及可用性；

这种简单的配置可以在保证成本的前提下，满足用户的高可用性及高性能需求。在服务器、存储端，都可以通过高可用集群的方式实现高可用性，同时可以体现出光纤通道在处理关键数据时的高性能。在数据安全性方面，此类路由器如CISCO的SN 542X系列，提供在光纤通道交换机中普遍使用的逻辑单元号（LUN）映射功能，可以控制对特殊LUN的target 的访问，因此，可以定位target中的重要数据，保证具有特殊权限的用户访问。如果用户对扩展性及高可用性有需要，存储路由器还可以通过堆叠的方式连接几台路由器，以满足用户要求。

图二 基于iSCSI路由器整合IP及FC

iSCSI技术在IP SAN远程备份中的应用

如图三所示，基于iSCSI技术实现IP SAN，同时通过IP广域网络实现远程备份。由于传统光纤通道SAN的操作距离在10-20km之间，因此要实现真正的远程备份、异地容灾还是具备一定的地理局限性。在这个例子中使用通用的IP网络合并、扩展SAN，具备极高的性价比配置，可以实现远程备份、数据容灾和镜像等功能，同时还可以对远程存储进行实时操作并能够通过IP网络访问其他IP存储。

图三 基于iSCSI的IP SAN的远程备份

此配置的特点为：

IP SAN通过IP广域网实现与远程存储设备的连接；

iSCSI服务器（initiators）和存储（targets）通过高性能iSCSI HBA连接到IP网络；

IP 交换机互联iSCSI 系统；

图四 整合IP、FC SAN 的远程备份

如图四所示，通过IP 存络。，IP 存储交换机堆叠构建SAN 组织的核心；

展性；

转化成如图三中完全基于的iSC 可能会关心到QoS（Quality of Service，服务质量）甚至安全方面心通过IP 存储交换机将独立的iSCSI 存储网络、光纤存储网络、NAS 储交换机互联光纤、iSCSI 设备，构建完全整合的高性能存储网相比于图三中的配置，此类SAN 配置的整合度更高。设备中使用光纤或iSCSI HBA 连接到交换机，存储交换机通过堆叠的方式以连接更多的设备。通过IP 广域网，SAN 能够访问远程数据中心中所有的服务器和存储设备，这就实现了远程备份及灾难恢复。此类SAN 的典型特征如下：

基于IP 网络服务器和存储设备可以使用iSCSI 或光纤，具有极高的可扩可以使用现有的光纤存储设备，以保护用户的前期投资；

基于IP 网络，提供各种途径下的无缝整合，如果需要，可以SI 的IP 存储网络；

在这两个例子中，用户的问题，通过公用网络传输极其重要的数据资源可能会出现问题。这个问题也是客观存在的，iSCSI 协议中通过多种安全方式将这方面的隐患减到最低。第一，TCP/IP 网络连接本身提供的高级服务及安全特性可以直接应用到iSCSI 事物处理过程中，就QoS 来说，IP 网络提供了广泛的解决方案如事物处理优先级、DiffServ （服务区分）、MPLS （Multi-Protocol Label Switching，多协议分类转换）、RSVP（Resource Reservation Protocol，资源预约协议）等，就安全性而言，IP 协议提供ACLs （Access Control Lists）、VLANs （Virtual LANs）、IPSec 及高级数据编码规则等方案。第二，iSCSI 协议本身也提供了QoS 及安全特性，首先就是登录操作顺序，可以限制initiator 仅向target 列表中的目标发登录请求，再由target 确认并返回响应，之后才允许通信；其次就是通过IPSec 将数据包加密之后传输，包括数据完整性、确定性及机密性检测等。第三，也是极为特殊的方式，即用户可以使用专有的网络以保证与其他事物处理分开，通过物理方式将数据传输完全隔离于公用网络之外，且可以保证不会引起网络阻塞导致性能瓶颈。

iSCSI 技术的综合应用

如图五所示，主要数据中设备和IP 网络系统都整合到通用的IP 网络平台中的大型应用，成为高度集成的IP 数据SAN。IP 存储交换机可以使用冗余或堆叠方式，通过IP 网络提供iSCSI SAN 和FC SAN 的高可用性及高扩展性的互联。IP 存储交换机同时提供主要数据中心对IP 广域网络中其他的远程存储的实时访问，如将数据远程镜像到如图所示的远程数据中心中以达到备份数据的目的。

图五 主要数据中心、部门级SAN应用及远程数据中心 主要数据中心的典型特征如下：

数据中心可以使用FC SAN、iSCSI SAN、NAS、服务器和DAS等各种存储方式作为存储资源；

IP存储交换机成为iSCSI、光纤通道、IP服务器、NAS设备互相连接的枢纽，实现了高端的存储整合，扩展了通用IP网络技术的应用。

NAS设备直接连接到IP存储交换机，为存储设备的扩展提供多种选择；

如图五所示，有两个部门级SAN应用，实际上可以基于IP网络扩展更多的部门级应用。而此类SAN首要就是具备灵活的架构，能够满足部门级的应用即可。将日常工作产生的数据通过IP广域网备份到远程数据中心，最终实现与主要数据中心、远程数据中心和IP系统的整合。

部门级SAN的典型特征如下：

IP SAN通过IP广域网实现与主要数据中心的连接，并通过IP存储交换机、路由器访问数据中心的IP、光纤通道和iSCSI存储资源；

iSCSI服务器（initiators）和存储（targets）通过iSCSI HBA连接到IP网络；

IP交换机互联iSCSI系统；

这个例子可以应用到数据块级存储要求的存储池构建、iSCSI和光纤通道等系统的备份，IP SAN扩展、镜像，最重要的应用就是提供了存储的数据容灾功能，且可以将不同配置的应用实现统一的多级备份。

图五的例子即存储的企业级应用，多数用户的应用环境都包含或类似于其中的环境，从概念上达到了存储相对统一的目的。

iSCSI技术的应用，将本身协议完全不同的IP SAN和FC SAN加以整合，促进了存储资

源利用率的增长，并具有创新意义。随着iSCSI技术的完善，数据块级的存储应用将变得更为普遍，存储资源的通用性、数据共享能力都将大大增强，并且更加易于管理。随着万兆以太网络的成熟，IP存储必然会以其性价比、通用性、无地理限制等优势飞速发展，iSCSI 技术将联合SCSI、TCP/IP，共同开创网络存储的新局面！

虽然目前iSCSI技术只是在存储设备的主机连接方面进入了应用阶段，但是这一应用已经为存储系统的架构及工作模式带来了许多新的变化。iSCSI技术在未来将来把传统的NAS 架构和SAN架构完全融和。我们可以把iSCSI技术看作这样一个结构：具有NAS一样的前端管理部分，同时象SAN一样提供裸设备给主机使用。这样的结构使iSCSI技术比NAS技术具有更广泛的适用范围，比SAN具有更丰富的管理功能。千万不要小看iSCSI的前端管理部分的作用。由于这样的一个功能部分，iSCSI技术比传统的NAS或者SAN技术都更具有吸收其他先进技术的能力。对虚拟存储技术的迅速吸收和整合就很好的说明了这一点。

目前很多iSCSI产品的供应商，都在其产品中集成了或多或少的虚拟存储技术，这其中尤以iSCSI磁盘阵列厂商和iSCSI交换设备厂商为代表。例如，可以提供“不同容量磁盘混用”和“跨阵列划分LUN”等几种典型的虚拟存储功能。其实现机制也并不复杂，就是将提供该项功能的软件写入iSCSI阵列的管理部分。

第三章 ISCSI产品的组成

iSCSI产品从功能上可以分为三个类别：起始端产品、连接件产品和目标端产品。

起始端产品就是指主机中的总线适配器和协议转换软件，这些产品的作用就是提供主机端的iSCSI连接功能。一般情况下，iSCSI技术可以通过安装协议转换软件，在主机端实现。即在主机上安装普通的以太网络适配器，并安装驱动程序，然后再安装协议转换软件，这样这片普通的以太网络适配器就可以支持iSCSI协议了。目前比较流行的此类协议转换软件主要来自IBM公司和Cisco公司。当然，纯软件的iSCSI协议转换效率比较低，而且占用了主机的CPU资源。所以在一些性能要求比较高的环境中，可以选择带有iSCSI协处理功能的专用iSCSI适配器。几乎所有的传统FC适配器厂商，都可以提供这种类型的iSCSI适配器。此外，一些传统以太网络适配器的厂商也在进入这个产品领域，Intel公司就已经推出了自己的IP存储专用适配器，其性能与FC适配器厂商的产品已经不相上下了。

连接件产品就是指连接主机到存储设备的设备。这类产品又分做两种：提供iSCSI到iSCSI连接的设备，以及提供iSCSI到SCSI或者FC的连接设备。目前iSCSI到iSCSI的连接设备相对较少，这是因为，毕竟iSCSI技术刚刚正式问世，其产品的覆盖范围有限，而且就基本技术原理而言，iSCSI到iSCSI的连接，在通常情况下都可以通过普通的以太网络交换机实现。真正需要专业化的iSCSI到iSCSI连接设备的，恐怕只有性能和安全性要求非常高的超大型数据中心了。

iSCSI到SCSI或FC的连接设备其意义则完全不同，这种设备提供了新老技术的互通。一个已经购买了SCSI或FC存储设备的用户，如果希望能够搭建基于iSCSI的IP-SAN，而又不浪费现有设备，那么iSCSI到SCSI或FC的连接设备就是其最好的选择。需要留意的是，连接类产品正处在更新换代的过程中，其更新的内容主要是内嵌的虚拟存储功能。所以用户在选择这类产品的时候，应该适当注意其中的虚拟存储功能的强弱。

目标端产品是指磁盘阵列、磁带库等存储数据的设备，这部分是存储系统中的核心所在，通常也是整个存储系统的投资重点。

存储技术的进步并不仅仅只体现在一个iSCSI概念上，传统ATA技术的发展产生了SATA，传统SCSI技术的发展产生了SAS，存储管理技术的发展产生了虚拟存储和内容存储技术。即便是IP存储领域本身，也还包括FCIP、iFCP和iSNS等几个方向，iSCSI技术只是其中较早成熟的一个罢了。iSCSI最大的特点就是在于其对成熟的以太网络的借用，这种借用体现在实施成本和管理维护的难度方面。

第四章 iSCSI技术及其安全性

iSCSI技术是一种基于IP Storage理论的新型存储技术，该技术是将存储行业广泛应用的SCSI（small computer system interface）接口技术与IP网络技术结合，使得我们可以在IP网络上构建SAN存储区域网。推动iSCSI协议发展最主要的动力是--希望能够在IP网络上使用业已部署的大量DAS存储设备。通过iSCSI协议，这些存储设备可以为更多的用户和应用使用，同时可以让这些简单DAS存储设备支持只有高级存储设备才能够支持的备份、镜像、灾难恢复等高级存储应用。其次是为了让尽可能多的用户和应用利用已有的FC光纤通道SAN存储区域网，iSCSI协议还可以通过基于IP的网络传输对光纤通道SAN存储区域网进行访问。

经过SNIA多家厂商的测试和实践，证明iSCSI可以非常迅速地建立起IP SAN存储区域网环境，用户可以即刻享受到即插即用式地iSCSI的好处。目前，iSCSI的标准已经在IETF 通过，Microsoft也已发布支持iSCSI的Initiator的驱动程序。同时在Windows Storage Server 2003中内置支持iSCSI，包括initiator和target。

在可预期的未来，iSCSI必然成为光纤通道FC的主要竞争对手，成为SAN存储区域网的主要应用技术。同时由于iSCSI内置的支持路由，可以让iSCSI initiator访问Internet 上任何一台存储设备，使得存储共享的概念无限扩大，存储连接的距离无限扩展。这一技术对于一边要面对信息高速增长，另一边却身处"数据孤岛"的众多企业无疑具有巨大的吸引力。

1、iSCSI 标准

2003年2月11日，IETF（Internet Engineering Task Force，互联网工程任务组）通过了iSCSI（Internet SCSI）标准，这项由IBM、思科共同发起的技术标准，经过三年20个版本的不断完善，终于得到IETF的认可。iSCSI技术的重要贡献在于其对传统技术的继承和发展：其一，与SCSI（Small Computer System Interface，小型计算机系统接口）技术的接轨；其二，沿用TCP/IP协议。这两点为iSCSI的无限扩展提供了坚实的基础。

1.1 iSCSI的概念

iSCSI（互联网小型计算机系统接口）是一种在Internet协议网络上，特别是以太网上进行数据块传输的标准。它是由Cisco 和IBM两家发起的，并且得到了IP存储技术拥护者的大力支持。是一个供硬件设备使用的可以在IP协议上层运行的SCSI指令集。简单地说，iSCSI可以实现在IP网络上运行SCSI协议，使其能够在诸如高速千兆以太网上进行路由选择。

SCSI（小型计算机系统接口）是以一种广泛使用的连接硬盘和计算机的技术标准，iSCSI 这种技术则是将该技术应用到网络连接上，对于企业的存储网络而言，iSCSI技术的性价比要高于基于光纤的产品。iSCSI是基于IP协议的技术标准，是允许网络在TCP/IP协议上传输SCSI命令的新协议，实现了SCSI和TCP/IP协议的连接，该技术允许用户通过TCP/IP

网络来构建存储区域网（SAN）。而在iSCSI技术出现之前，构建存储区域网的唯一技术是利用光纤通道（Fiber Channel），但是其架构需要高昂的建设成本，远非一般企业所能够

承受。iSCSI技术的出现对于以局域网为网络环境的用户来说，它只需要不多的投资，就可以方便、快捷地对信息和数据进行交互式传输和管理。相对于以往的网络接入存储，iSCSI 的出现解决了开放性、容量、传输速度、兼容性、安全性等问题，其优越的性能使其自发布之日始便受到市场的关注与青睐。

1.2 iSCSI的工作流程

iSCSI协议就是一个在网络上封包和解包的过程，在网络的一端，数据包被封装成包括TCP/IP头、iSCSI识别包和SCSI数据三部分内容，传输到网络另一端时，这三部分内容分别被顺序地解开。iSCSI的工作流程如图一所示：

iSCSI系统由一块SCSI卡发出一个SCSI命令，命令被封装到第四层的信息包中并发送。接收方从信息包中抽取SCSI命令并执行，然后把返回的SCSI命令和数据封装到IP信息包中，并将它们发回到发送方。系统抽取数据或命令，并把它们传回SCSI子系统。所有这一切的完成都无需用户干预，而且对终端用户是完全透明的。

为了保证安全，iSCSI有自己的上网登录操作顺序。在它们首次运行的时候，启动器（initiator）设备将登录到目标设备中。任何一个接收到没有执行登录过程的启动器的iSCSI PDU（iSCSI Protocol Data Units，iSCSI协议数据单元）目标设备都将生成一个协议错误，而且目标设备也会关闭连接。在关闭会话之前，目标设备可能发送回一个被驳回的iSCSI PDU。这种安全性是基本的，因为它只保护了通信的启动，却没有在每个信息包的基础上提供安全性。还有其他的安全方法，包括利用IPsec。在控制和数据两种信息包中，IPsec 可以提供整体性，实施再次（replay）保护和确认证明，它也为各个信息包提供加密。

2、iSCSI的发展阶段

IP存储解决方案及其技术的应用经历了三个发展阶段：

· 阶段一：SAN扩展器

· 阶段二：有限区域IP存储

· 阶段三：IP SAN

阶段一：SAN扩展器。随着SAN技术在全球的开发，越来越需要长距离的SAN连接技术。IP存储技术定位于将多种设备紧密连接，就像一个大企业多个站点间的数据共享，以及远程数据镜像。这种技术是利用FC到IP的桥接或路由器，将两个远程的SAN通过IP架构互联。虽然iSCSI设备可以实现以上技术，但FCIP和iFCP对于此类应用更为适合，因为它们采用的是光纤通道协议(FCP)。

阶段二：有限区域IP存储。 在第二个阶段的IP存储的开发主要集中在小型的低成本的产品，目前还没有真正意义的全球SAN环境，随之而来的技术是有限区域的、基于IP的SAN连接技术。类似于可安装到NAS设备中的iSCSI卡，这种技术和需求可使TOE设备弥补NAS技术的解决方案。在这种配置中，一个单一的多功能设备可提供对块级或文件级数据的访问，这种结合了块级和文件级NAS设备可使以前的直接连接的存储环境轻松地传输到网络存储环境。

第二个阶段也会引入一些工作组级的、基于IP的SAN小型商业系统的解决方案，使得那些小型企业也可以享受到网络存储的益处。ISCSI协议是最适合这种环境的应用的，但基于iSCSI的SAN技术是不会取代FC SAN的，同时它可以使用户即享受网络存储带来的益处,也不会开销太大。

阶段三：IP SAN。完全的端到端的、基于IP的全球SAN存储将会随之出现，而iSCSI 协议则是最为适合的。基于iSCSI的IP SAN将由iSCSI HBA构成，它可释放出大量的TCP 负载，保证本地iSCSI存储设备在IP架构上可自由通讯。一些IP的先进功能，如带宽集合、质量服务保证等都可能应用到SAN环境中。

3、iSCSI的安全性

正是由于其采用广泛应用的IP网络和Internet网络为数据传输的通道，与传统的采用光纤通道FC SAN相比，iSCSI的安全性就凸现出来。因为传统的FC SAN在实际应用中，底层采用光纤通道FC的传输技术，上层采用Fibre Channel Protocol（FCP）传输SCSI协议，与广泛应用的IP网络不兼容，往往会形成一个与通信网络隔离开来的独立存储网络，其安全性容易得到保障。而iSCSI采用IP网络技术作为底层传输技术，完全可以在现有的通信网络中，甚至Internet上传输SCSI协议，这使得iSCSI不得不面临IP网络常见的安全性问题。

要了解iSCSI的安全问题，首先让我们看看iSCSI是如何工作的：

iSCSI是如何工作的呢？如前所述，iSCSI定义了TCP/IP网络上传输块存储应用的规则和过程。在物理层，iSCSI支持以太网卡（100、1000M），这样支持iSCSI的系统可以通过以太网卡直接接入以太网交换机或路由器。iSCSI协议介于物理和数据链路层与操作系统的标准SCSI命令集之间，将SCSI-3命令封装在TCP/IP包内，由IP网络负责其传输的可靠性。

SCSI命令和数据封装在TCP包中，穿过毫无防范的Internet网络，必然会引起安全问题。总之iSCSI面临的安全风险主要有：

主动型的攻击，如：身份伪装、伪造信息插入、数据删除/修改等

被动型的攻击，如：窃听、数据分析等

针对各种各样的安全风险，iSCSI主要采用两种安全措施：

认证：在target和initiator之间做身份认证。

加密：对传输的TCP/IP数据包进行保护。

认证主要是在iSCSI连接层，通过交换iSCSI的登录PDU（Protocol data unit），实现带内的身份认证。iSCSI通过这种安全措施提供了端到端的信任关系。iSCSI支持多种认证，但要强调的是采用哪种认证都要求不得明文传输密码字符。此外对于不同的算法，要求采用抗攻击能力较强的选项。比如在采用CHAP认证时，为了防止离线的字典攻击，要求随机CHAP密文secret大于128位。

加密主要是通过IPSEC协议实现，在IP层通过对IP包的加密，实现数据的完整性保护、数据加密和身份认证。iSCSI通过这种安全措施提供了数据通信的安全通道。

实现IPSEC加密通信有两种方式：

一是通过主机间建立IPSEC加密通道。主机间建立IPSEC通信，过去常用软件的实现方式，这对于传输少量的数据可以接受，对于iSCSI这种大量存储数据的传输，则显得力不从心。所以，建议采用支持IPSEC协议的iSCSI HBA卡实现，提高加密解密的效率。

二是通过防火墙、VPN网关或带VPN功能的路由器，在需要实现iSCSI通信的两个子网间建立一条加密隧道，将两个子网与承载iSCSI通信的IP网络从逻辑上隔离开来。随着iSCSI HBA的应用越来越广泛，利用iSCSI HBA可以获得更好的网络扩展性。

当然，还可以采用其他技术来加强iSCSI的安全性，如iSCSI的分区、LUN masking等等。

4、关键性的技术

iSCSI存储是一个新兴的技术，其之所以广泛应用到存储环境中有几个关键技术点。

4.1 TCP负载空闲

由于IP无法确保提交到对方，而将TCP作为底层传输的三种IP存储协议则需要在拥挤的、远距离的IP空间中确保传输的可靠性。由于IP包可以打乱次序传送，因此，TCP层需要重新修正次序，以提交到上一层的协议中（如SCSI）。TCP完成这一任务的典型操作是使用重调顺序缓冲器，将数据包的顺序完全整理为正确方式，完成这一操作后，TCP层将数据发送到下一层。这些处理都需要消耗主机的CPU资源，同时增加事务处理的延时，事实上，与典型的FC或SCSI块传输相比，需要更多的I/O处理，一种称之为TCP负载空闲引擎TCP Off-loading Engine (TOE)的设备可将主机的处理器负载降低，TOE解决了这一关键问题。

4.2 性能

工作组和一些分析人士把相当多的注意力放在了确保IP存储协议可以非常快的运行上，因为目前硬盘驱动器的运行速度已经很快，所以IP存储产品将以高速运行。然而，也有一些分析人员认为，IP存储令人心往的最大优势是IP的灵活性，而高速性能则排在第二位。如果对性能较为看重的话，不推荐使用标准的以太网卡。增强的iHBA已达到光纤通道的技术水平。

4.3 安全性

当存储设备通过IP架构进行远距离连接时，安全性变得愈加重要。生产厂家必须明确产品的安全级别，并确保其安全性。当标准得到批准时，明确要求IP存储协议的所有实施都必须包括可靠的安全性(实现加密数据完整性和保密性)。如果用户不愿使用这些安全措施的话，他们不必使用，但是产品中必须具有启动安全技术的功能，只有这样厂商才能说他们的产品符合标准的要求。相当多的技术人员认为这些协议的主要用武之地是在数据中心或其他一些受防火墙保护的领域。但是，一旦人们将应用放在IP上，这个应用是没有什么办法确定自己的使用环境的，例如在防火墙后使用。这是ISCSI的一个重要特性。

4.4 互联性

基于IP的协议标准已被IETF公布，为了保证这些产品能够相互配合得更好，必须保证厂家之间采用相同的协议，使各厂家产品具有良好的互联性。

第五章 iSCSI与各类型存储方案的综合评比

与Fiber Channel（以下简称FC）一样，iSCSI也属于SAN大家庭中的一员，它的问世显然是冲着FC SAN的缺点而来的。长久以来，FC几乎成了SAN的代名词，但由于相关软硬件的建置成本偏高、管理技术及门坎也较高，所以几乎只有大型企业才有能力做这方面的建置与规划，一些企业限于自身规模，也只有望洋兴叹的份。无传输距离限制、建置管理成本低是iSCSI的最大特点。

iSCSI最重要的就是能在成本上提出大幅改善的方案，也因此打破了SAN为大型企业禁脔的藩篱，让中小企业也能享受到SAN所带来的好处及便利。到底是哪些优良特质，让iSCSI 成为目前存储业界最热门的话题呢？以下即为读者做一番简单的归纳及分析： 建置成本低廉：不论是适配卡、交换机或缆线的建置，iSCSI都比FC便宜许多。

管理门坎及维护成本更低：一般来说，FC SAN多半需要特定的工具软件来操作管理，所以需要对人员进行一定时间的培训，而且费用不低。但由于iSCSI是通过IP网络来传输数据及分配存储资源，所以只要使用网络现有的管理功能即可，比较起来，可以省下大笔管理费用及培训成本。

节省存储资源、做好集中管理：由于iSCSI与FC同样支持区块协议（Block Protocol）的数据存取模式，所以比采用文件协议（File Protocol）的NAS，更能通过集中管理的方式，有效的避免存储资源的浪费，进而节省不必要的支出。

没有距离的限制：由于iSCSI是通过IP网络来传输数据，所以理论上，传输距离可以达到无限远，这对于异地数据的传输及备援等应用相当有帮助。

传输速度快：千兆网iSCSI的速度可达1Gb，效能上已超越NAS。如果用10Gb以太网络的时候，iSCSI就可以达到10Gb的高速，比FC SAN的下一代版本－4Gb还要快。

人才多：随着因特网的日益兴盛，造就了取之不尽、用之不竭的TCP/IP网络人才，比起门坎较高的FC SAN来说，这对于专走IP网络Base的iSCSI而言，可说是一大优势。

iSCSI、SAN及NAS的比较

一般来说，企业在面临iSCSI SAN存储解决方案时，多半喜欢拿FC SAN及NAS与其做一番比较。在此先就FC与iSCSI做一比较，基本两者同属于走Block协议的SAN架构，只不过前者通过光纤，后者由IP传输数据罢了，而两者在管理及应用上也大同小异。

至于SAN与NAS的差异，SAN与NAS是完全不同架构的存储方案，前者支持Block协议，后者则支持File协议，所以拿两个完全不同协议及架构的标准相比，是不太适宜的。如果硬要从中做个区别的话，那就是SAN的精髓在于分享存储配备（Sharing Storages）；NAS 则在于分享数据（Sharing Data）。

为了让读者进一步了解iSCSI、FC及NAS的差异，在此还是做一番归纳整理，以供读者参考：

接口技术：iSCSI和NAS一样通过IP网络来传输数据，FC则不一样，数据是通过光纤通道（Fibre Channel）来传递。

数据传输方式：同为SAN的iSCSI及FC都采用Block协议方式，而NAS则采用File 协议。

传输速度：就目前的传输速度而言是iSCSI（10Gb）最快、FC（2Gb）次之，NAS居末。基本上，FC及iSCSI的Block Protocol会比NAS的File Protocol快，这是因为在操作系统的管理上，前者是一个“本地磁盘”，后者则会以“网络磁盘”的名义显示。所以在大量数据的传输上，iSCSI绝对会比NAS快得多。

资源共享：iSCSI和NAS共享的是存储资源，NAS共享的是数据。

管理门坎：iSCSI和NAS都采用IP网络的现有成熟架构，所以可延用既有成熟的网络管理机制，不论是建设、管理或维护上，都非常方便及容易。而FC则完全独立于一般网络系统架构，所以需由FC厂商提供专属管理工具软件。

管理架构：通过网络交换机，iSCSI可有效集中控管多台主机对存储资源的存取及利用，善用资源的调配及分享，同时速度上也快于网络磁盘的NAS。

成本：比起FC而言，以太网络是个十分成熟的架构，所以同样采用IP网络架构的iSCSI 及NAS，建设成本低廉、管理容易而且维护方便。至于与FC在建设成本上的进一步比较，可见表1。

传输距离：原则上，三者都支持长距离的数据传输。FC的理论值可达100公里。通过IP网络的NAS及iSCSI，理论上都没有距离上的限制，但NAS适合长距小档案的传输，iSCSI 则可以进行长距大量资料的传递。

系统支持：比较起来，iSCSI由于技术新较少。FC主要是由适配卡供货商提供驱动程序和简单的管理程序。

第六章iSCSI与IP存储技术

在Internet协议（IP）统治着局域网和广域网的今天，数据存储的需要也在日益增长。Internet小型机系统接口（iSCSI）协议整合了存储和IP网络，使通过IP网络完成存储数据块的传输成为现实。它建立在两个已被广泛应用的技术之上，为存储而建立的SCSI命令和为网络化而建立的IP协议。

iSCSI是一种端到端的协议，用于在IP网络中传输存储I/O数据块。该协议被使用于服务器（initiator）、存储设备（target）和协议传输网关设备。ISCSI使用标准的以太网交换机和路由器，将数据从服务器转移到存储设备。它还使得IP和以太网基础设施可以被用于对SAN存储系统的扩展访问，跨过任意距离完成对SAN的扩展接入。

迄今为止，不断增长的存储需要和网络化存储为用户带来的好处都在推动着iSCSI的部署。这些好处包括：通过整合存储资源提高存储利用率，获得对更大存储容量的管理能力，快速部署新的存储系统、获得更高的可用性，更快地完成备份及重建操作等等。

随着近年来对iSCSI协议和对基于硅晶体的TCP/IP卸载引擎的开发，建立在IP网络上的SAN已成为现实。IP网络的基础设施包括千兆万兆网络、复杂的带宽分配和网络管理工具，以及IP和以太网无处不在的延伸。以上因素与iSCSI协议结合在一起，构成了全新的IP存储解决方案。

图1：实现IP存储的要素

最大程度地利用存储和网络的特性

iSCSI建立在来自存储和网络领域的两个应用最广泛的协议之上。在存储领域，iSCSI 使用SCSI命令集，即所有存储配置使用的核心存储命令。

在网络方面，iSCSI使用IP和以太网。这是大多数企业网络的基础，并被越来越多地应用于城域网和广域网。IP网络已经具备了最高的可管理性、互操作性和经济有效性。

图 2 显示出SCSI如何通过iSCSI层映射到TCP/IP，使SCSI脱离其并行总线结构。

图2利用SCSI和 IP实现网络化存储图3： iSCSI协议堆栈

图3显示了一个包含iSCSI 的简单协议堆栈。

标准SCSI命令集的使用促进了现有操作系统与它上面的应用之间的互操作性。而标准TCP/IP网络的使用则提供了通向全球IP设施的途径。

IP存储的优势

熟悉的网络技术和管理

减少培训和员工成本

已经验证的传输设施

提高了可靠性

以太网从1G向10G及更高速过渡

通过简单的性能升级保护投资

跨长距离扩展能力

实现远程数据复制和灾难恢复

将以太网的经济性引入存储

降低用户总成本

IP存储网络的构成

IP存储网络是指通过IP连接计算机系统和存储部件，同时也指利用IP基础设施在各个目标之间进行存储数据的传输。图4所示为IP存储网络的各种构成。

第一个构成部分是设备输入/输出，指具有本地IP接口的计算机系统和存储资源，包括带iSCSI适配器或iSCSI控制器的服务器、磁盘阵列或磁带库。这些设备都采用典型的以太网接口，但加入了协议处理功能，如TCP/IP卸载引擎，以减少主机设备的处理负担。

iSCSI存储局域网的第二个构成部分是其交换机结构。一个基于IP的结构所拥有的先进特点是用户可以使用标准以太网交换机和路由器来创建SAN并通过SAN传输数据。这个结构还可以包含iSCSI接口或其它存储接口，如SCSI接口或光纤通道接口的存储路由器和交换机。存储交换机和路由器提供了其它常规IP和以太交换机所不具备的多协议接入能力。它们还为存储提供诸如点对点拷贝命令这样的特殊功能。

IP存储网络的第三个构成部分是SAN间的互联。因为iSCSI是一个基于本地IP的协议，实现SAN互联不需要与存储相关的特殊功能，可使用一个共享或专用的IP以太网络来完成。

图4：存储网络的分段

了解终端系统

假设一个iSCSI环境可以利用现有的IP网络，整个解决方案中的一个重要部分当属iSCSI终端系统。图5概要表示了传统IP网络接口卡，传统存储适配器和新型IP存储适配器的重要功能。

网络接口卡（NIC）

传统NIC（即服务器和PC机上的以太网适配器）用于在PC机、服务器和存储设备之间传输文件级别的数据包，比如NAS应用。但NIC传统上不能传输块状数据，这类数据只能通过象光纤通道这样的存储主机总线适配器或并行SCSI来处理。为了使NIC可以处理块状数据，数据在通过IP网络传送出去之前需要先置入TCP/IP包。通过主机或服务器上的iSCSI 驱动程序驱动，NIC可以在IP网络上传输块状数据包。在使用NIC时，服务器必须完成块状数据包的创建和所有TCP/IP的处理，这就在很大程度上占用了CPU资源并因此降低了服务器性能。完成TCP/IP处理所产生的瓶颈促使人们在适配卡上开发出TCP/IP卸载引擎（TOE）。TOE将TCP/IP处理卸离主机CPU，转而在主机总线适配器上完成TCP/IP处理和数据包创建。因此，一个带有TCP/IP卸载功能的存储NIC更象是一个存储主机总线适配器，而不是一个标准的NIC。

存储主机总线适配器（HBA）

与NIC不同，存储HBA被设计用来在存储应用之间传输块状数据。整个数据块的一个参照数从应用端传送到适配器，省却了将数据块细分成更小帧的需要。然而正因为如此，HBA 必须处理将数据块分化为细小帧的任务。这些任务通过一系列特殊芯片来完成，使HBA将计算机的CPU资源从这一处理进程中解脱出来。处理任务完成后，HBA对外传送帧信息。

iSCSI适配器

iSCSI适配器结合了NIC和存储HBA的功能。这种适配器以块方式取得数据，利用TCP/IP 处理引擎在适配卡上完成数据分化和处理，然后通过IP网络送出IP数据包。这些功能的完成使用户可以在不降低服务器性能的基础上创建一个基于IP的SAN。在推出iSCSI适配器之前，一些厂商开发过这种适配器的软件版本。这些软件实现的适配器从应用中接收块状数据，但仍需要使用CPU周期来完成TCP/IP处理。这种适配器的优点在于它能够工作在现有