网络设计 存储安全机制.ppt

SAN安全,访问控制,允许授权访问拒绝非授权访问,身份验证,保证传输、消息、发起端的合法性,数据加密,数据只让合法接收方能使用防止恶意窃听,存储区域网安全机制,独立网络,FCSAN或IPSAN,业务网络和存储网络分离，降低外来威胁风险,业务网,SAN安全基本思想网络隔离,FCSAN安全实现,访问控制发现域VLANLUN映射/掩码（LUNMapping/LunMasking）传输安全IPSec/VPNACL管理安全IPSec/SNMPv3/SSH/SSL/Radius,IPSAN安全实现,存储安全现状,访问控制分区（Zoning）LUN映射/掩码（LUNMapping/LunMasking）传输安全未全面规划管理安全IPSec/SNMPv3/SSH/SSL/Radius,通用服务,FC-ATM,FC链路封装FC-LE,SCSI3命令集映射,IPI-3命令集映射(IPI-3STD),FC-4,FC-AL-2,FC-3,FC-0,FC-1,FC-2,光纤物理与信号接口(FC-PH,FC-PH2,FC-PH3),物理变换,编码/解码,结构协议,FC-AL,8b/10b编码,铜,光连接,FC-3通用服务层是安全(如加密、认证等)的预留层,FC通用服务一直没有统一规划和制定,清晰的标准，这就是FC安全问题的根源！,FC的安全标准尚在制定中,SOCKSSSL,TLS,IPSec(AH,ESP)PacketFilteringTunnelingProtocols,CHAP,PAP,MS-CHAP,iSCSI,iSCSI与TCP/IP的VPN协议,IPSAN可利用成熟的安全工具,主机A,交换机,主机B,S1,S3,S2,S4,S5,HOSTNAMEIPADDRNICMACiSCSIIQN,HBAWWN,安全保障技术对比FCvsIP,ZONING,VLANVPN,LUNMASKING,LUNMaskingCHAPIPSec,FCSAN,IPSAN,存储设备,IPSec,iSCSIHBACard,iSCSI磁盘阵列,FCHBACard,FC磁盘阵列,IPSec：数据加密标准(DES40位)、数据加密标准(DES56位)、3DES(168位),FC协议为二层协议，无加密功能,主机,GECard,防止网络窃听,SAN的访问控制分区,FC：ZoningiSCSI：1、发现域2、VLAN,存储区域网络(SAN)FCSNS/iSNS,基于名称服务的SAN分区,磁带库,磁盘阵列,Zone4,Zone1,Zone2,Zone3,FCSAN称这类分区为“软分区”，而IPSAN采用发现域可实现FC基于名称服务的分区功能,基于交换机端口的分区,FCSAN称这类分区为“硬分区”,IPSAN采用VLAN实现，但是VLAN功能远比FC交换机分区功能标准和强大,VLAN2,磁带库,iSCSI磁盘阵列,VLAN1,VLAN3,VLAN4,主机,交换机,基于端口的VLAN,服务器,服务器,HBA卡,AccessMap,SAN,AccessMap,阵列3,阵列2,阵列1,基于HBA的LUNMap