Du kan använda Lagringsutforskaren för att konfigurera säkerhetsinställningarna för iSCSI som initierare i ditt SAN behöver för att ansluta till mål och målportaler. Det finns flera tillgängliga säkerhetsnivåer för iSCSI och du måste välja dem som målet eller målportalen kräver.

Viktigt!

Med den här funktionen kan du utföra en del av de uppgifter som har med konfiguration och administration av iSCSI att göra. Du kan även utföra de här uppgifterna och andra uppgifter med Microsoft iSCSI Initiator, som ingår i Windows Server 2008 eller senare i Administrationsverktyg. Dessutom finns det andra liknande verktyg för konfigurering och administration av iSCSI från leverantörer av nätverks- och lagringslösningar. Mer information om iSCSI finns på https://go.microsoft.com/fwlink/?LinkId=102299 (sidan kan vara på engelska).

Lagringsutforskaren stöder följande iSCSI-säkerhetsnivåer:

CHAP-autentisering

CHAP är den grundläggande säkerhetsnivån (Challenge Handshake Authentication Protocol). CHAP är ett protokoll som används för att autentisera peer-datorn i en anslutning och baseras på peer-datorer som delar en hemlighet (en säkerhetsnyckel som påminner om ett lösenord).

Det finns två olika typer av CHAP-autentisering:

  • One-way CHAP authentication. Med den här säkerhetsnivån är det bara iSCSI-målet som autentiserar initieraren. Hemligheten är bara inställd för målet. Alla initierare som vill nå det målet måste använda samma hemlighet för att starta en inloggningssession med målet.

  • Mutual CHAP authentication. Med den här säkerhetsnivån autentiserar iSCSI-målet och initieraren varandra. En särskild hemlighet anges för varje mål och för varje initierare i SAN.

Varning

Använd minst enkelriktad CHAP-autentisering mellan iSCSI-initierare och mål.

RADIUS-autentisering

RADIUS (Remote Authentication Dial-In User Service) är en standard som används för underhåll och hantering av användarautentisering och -validering. Till skillnad från CHAP utförs inte autentisering med RADIUS mellan peer-datorer, utan istället mellan en RADIUS-server och en klient. När en användare (en iSCSI-initierare) vill ha åtkomst till resurserna i en klient (ett iSCSI-mål) skickar klienten en begäran om användaranslutning till RADIUS-servern. RADIUS-servern är ansvarig för att autentisera användaren och sedan returnera all konfigurationsinformation som behövs för att klienten ska kunna leverera service till användaren. Transaktioner mellan klienten och RADIUS-servern autentiseras också genom att använda en delad hemlighet.

Innan du kan använda den här säkerhetsnivån måste du ha en RADIUS-server som körs i ditt nätverk eller så måste du distribuera en sådan.

IPsec-autentisering och kryptering

IPsec (Internet Protocol security) är ett protokoll som upprätthåller autentisering och datakryptering på IP-paketskiktet. IPsec kan användas i tillägg till CHAP- eller RADIUS-autentisering för att tillhandahålla en ytterligare säkerhetsnivå.

När du aktiverar IPsec krypteras och autentiseras alla IP-paket som skickas under dataöverföringar. En gemensam nyckel anges på alla IP-portaler, vilket gör att alla peer-datorer kan autentisera varandra och förhandla paketkryptering. För mer information, gå till IPsec (https://go.microsoft.com/fwlink/?linkid=93520) (sidan kan vara på engelska).

Ytterligare hänsyn

  • Det är maskinvarutillverkaren som avgör vilken säkerhetsnivå du kan välja för ett underlagringssystem. Det är inte alla undersystem som stöder alla iSCSI-säkerhetsnivåer. Kontakta maskinvarutillverkaren för att få veta vilken säkerhetsnivå som stöds.

  • De mest säkra CHAP-hemligheterna är inte ord eller fraser utan en slumpmässig teckensekvens.

Ytterligare referenser

Innehåll