存储网络FC如何隔离

本文目录导读：

1. 物理隔离（最彻底，但成本最高）
2. 虚拟SAN（VSAN，Virtual SAN）（Cisco MDS系列核心功能）
3. FC分区（Zoning，最常用、最基本的隔离）
4. LUN掩码（LUN Masking，存储阵列侧的逻辑隔离）
5. FCID锁定与安全策略
6. Fabric绑定（也称交换机绑定或Port Channel隔离）
7. 总结与最佳实践建议

在存储网络（FC，Fibre Channel，光纤通道）中，隔离是一个核心需求，主要目的是保证不同业务（或租户）之间的数据安全、避免资源争用以及故障域隔离。

FC（光纤通道）网络本身设计为比以太网更“硬隔离”,主要通过以下几种技术实现隔离：

物理隔离（最彻底，但成本最高）

• 方法： 为不同的业务或应用搭建完全独立的FC交换机和光纤链路，数据库一套光纤交换机,虚拟化一套光纤交换机。
• 特点： 物理上互不连通，完全无干扰,安全等级最高。
• 场景： 金融核心交易、高性能计算（HPC，High Performance Computing）、政府涉密系统。

虚拟SAN（VSAN，Virtual SAN）（Cisco MDS系列核心功能）

• 原理： 在一台物理FC交换机上，通过划分VSAN，逻辑上将端口划分为多个独立的逻辑交换机，每个VSAN拥有自己独立的Fabric服务（如主交换机选择、Fabric地址分配等）。
• 效果： 就像把一台物理交换机变成了多台独立的交换机，不同VSAN之间的设备完全不可见，无法通信，且一个VSAN的故障（如广播风暴、RSCN风暴）不会扩散到另一个VSAN。
• 适用： 多租户数据中心、同一机房内隔离开发/测试和生产环境。

FC分区（Zoning，最常用、最基本的隔离）

这是FC网络中最核心、最基础的隔离手段，它类似于以太网中的VLAN（虚拟局域网）,但工作在FC协议层。

• 原理： 在Fabric网络中，将能够互相通信的端口或WWN（World Wide Name，全球唯一名称）归入一个“分区”（Zone），不在同一个Zone中的设备无法互相发现和通信（通过SNS查询被过滤）。
• 类型：
  • 软分区（Soft Zoning）： 基于WWN，交换机只在名称服务器查询时返回“不允许发现”的信息，如果发起方知道了目标WWN，理论上可以尝试强行发起通信（但通常被HBA驱动阻止）。
  • 硬分区（Hard Zoning）： 推荐使用，在数据帧层面直接过滤，如果源和目标不在同一个Zone，交换机的ASIC（专用集成电路）直接丢弃该数据帧,安全性远高于软分区。
  • 端口分区（Port Zoning）： 将物理端口（Domain, Port）划入Zone，优点是设备迁移后无需修改Zone,但需要确认正确的物理端口。
  • WWN分区（WWN Zoning）： 将设备（HBA卡/存储控制器）的WWN划入Zone，优点是硬件替换（如换线、换端口）不影响隔离,更灵活。
• 最佳实践： 通常使用硬分区 + WWN分区，并为每个业务（如“数据库-生产”、“VMware-生产”）创建独立的Zone。

LUN掩码（LUN Masking，存储阵列侧的逻辑隔离）

• 原理： 这是在存储阵列（后端）上进行的隔离，即使FC网络已经通过Zoning允许了一台服务器连接到存储目标端口，LUN映射也会决定这台具体的主机能看到哪些LUN（逻辑单元号）。
• 效果： FC Zoning决定了“谁能连过来”，LUN掩码决定了“连过来后能看到什么硬盘空间”，两台服务器都连接到同一个存储端口，但由于LUN掩码不同，A只能看到数据库LUN,B只能看到备份LUN。
• 角色： 这是数据层面最后的防线。FC网络隔离（Zoning）+ 存储锁（LUN Masking）必须组合使用。

FCID锁定与安全策略

• FC-SP（FC Security Protocol，FC安全协议）： 通过DH-CHAP（Diffie-Hellman Challenge Handshake Authentication Protocol，DH质询握手认证协议）等认证方式,防止未授权的设备接入交换机。
• 端口安全（Port Security）： 绑定FC端口的WWN，如果某个端口上连接的HBA卡WWN与预设不符,交换机自动禁用该端口。
• 多设备间隔离： 禁止HBA端口登录到非预期的交换机端口。

Fabric绑定（也称交换机绑定或Port Channel隔离）

• 原理： 在ISL（Inter-Switch Link，交换机间链路）上，通过特定配置（如Cisco的Port Profile或Fabric Binding）只允许特定的WWN通过,防止未经授权的交换机加入Fabric。
• 效果： 防止非法的第三方交换机接入网络，避免“中间人攻击”或破坏现有的Zoning结构。

总结与最佳实践建议

推荐配置流程：

1. 物理规划：决定是否使用VSAN隔离不同的租户环境。
2. 端口安全：开启FC-SP或端口安全,锁定接入设备。
3. 核心隔离：配置硬WWN分区（Hard WWN Zoning），原则是每个应用或每个主机加上其对应的存储端口形成独立的Zone。不要使用单台主机作为单个Zone（过于麻烦），也不要将所有主机放入一个巨大Zone（不安全）。
4. 后端保护：在存储阵列上配置LUN掩码,只将目标LUN分配给通过了Zoning检测的主机。
5. 一致性检查：定期审计Zoning配置,确保没有冗余或错误的Zone成员。

通过上述组合,你可以在FC网络中构建出从物理隔离到逻辑隔离再到数据隔离的多层防御体系。