ip与fc融合式存储系统安全体系设计与实现-design and implementation of security architecture of ip and fc converged storage system.docx

1绪论1.1存储技术概况随着信息技术和网络技术的飞速发展，存储技术也得到了快速发展，存储系统逐渐由本地直连向着网络化和分布式方向发展。于是便出现了很多不同形式的网络存储系统，其主要有三种：直连式存储（DirectAttachedStorage，简称DAS）、网络附加存储（NetworkAttachedStorage，简称NAS）和存储区域网（StorageAreaNetwork，简称SAN）。DAS是一种将存储设备通过电缆直接与应用服务器相连接的存储技术。DAS针对其直连的应用服务器具有低延迟，高带宽的特点，但是其他服务器只能通过网络共享来访问DAS的存储资源[1]。随着用户数据的不断增长，DAS无法有效的与其他用户共享文件，协同工作效率会明显下降。因此，应用更广泛、可扩展性更强的NAS和SAN出现了。NAS是一种将分布的、独立的数据进行集中化的管理，以便于不同的应用服务器进行访问的技术。NAS以数据为中心，将存储设备与应用服务器彻底分离，集中管理数据，从而释放带宽、提高性能。NAS借助网络共享文件系统，使用TCP/IP协议将文件传送至客户端，它等效于大型网络服务器，提供文件级的共享服务[2]。SAN是一种面向服务器提供存储服务，并将数据的存储和管理集中在相对独立的专用网络中的存储技术[3]。SAN通过光纤网络传输块级的数据，而不是直接传输文件级的数据。SAN具有高传输速度、远传输距离和支持数量众多的设备等优点。同时，在SAN系统中，任何一台服务器均可访问任何一个存储设备，实现了在不同的硬件和软件平台之间实现数据共享[4]。由此可见，SAN将成为新一代企业信息存储架构的主流。根据传输层的不同，SAN又可分为光纤通道SAN（FC-SAN）与以太网SAN（IP-SAN）。FC-SAN使用的是光纤通道[5]（FiberChannel，FC），而IP-SAN最常见的是采用iSCSI（InternetSmallComputerSystemInterface）协议[6]。FC-SAN有着独立的光纤通道网络，具有高速带宽、远距离传输、连接设备数量大等优点。但是它的存储架构硬件昂贵，系统管理与配置复杂。IP-SAN使用以太网技术封装SCSI（SmallComputerSystemInterface）协议，可以方便而快捷地传输数据，因而成本大大降低，管理也较为简单。但是相对与FC-SAN，其传输速度底，安全性不够高。无论是FC-SAN还是IP-SAN，都有着各自的优势和劣势，两者在短期内必然共存。大型企业由于在FC-SAN上投资太多，他们不可能轻易放弃FC-SAN。而中小企业则已经接受了iSCSI，因为他们成本相对较低。企业只需要雇佣IP方面有专业知识的人，而无需找那些了解FC专业知识的管理员，并且管理起来也方便很多。从目前的发展趋势来看，生产厂商们更多的是同时投资在FC和iSCSI两个领域，利用两者各自的优势形成互补的产品线。比如，HP公司提出了针对iSCSI的StorageWorksEVA战略，即“互补、灵活和低成本”。所谓互补，就是要使FC和iSCSI协同工作，以充分发挥互补优势。利用iSCSI的优点，可以把FC的基础设施扩展到更远距离和更多服务器，实现业务连续性和更出色的投资保护。其实质就是构建一个基于FC和iSCSI的融合式存储系统。1.2存储安全的发展现状存储安全是指用以保证存储设备上的数据只能被授权的用户通过可信的网络进行安全访问而采取的安全配置和安全控制，将存储技术与安全技术进行有机结合，以确保数据的完整性、可靠性和机密性[7]。网络存储安全是指存储设备上的静态数据或网络传输的动态数据不因自然因素或者人为因素而遭到更改、破坏，存储系统能够可靠、正常地持续运行，存储服务不会中断[8]。网络存储安全同时包含了网络安全和存储安全，其核心就是要始终保证数据的机密性、完整性和可用性。机密性是指只有被授权的用户才能访问存储资源，非授权用户则无法访问存储资源；完整性是指用户的数据不被非法伪造、删除或篡改；可用性是指系统要保证用户能实时并且及时访问到系统分配的存储资源[9]。近年来，网络存储安全的研究越来越多地受到关注。对于许多大型企业而言，数据就是最宝贵的财富，任何公司或组织都希望存储的数据资源能够得到有效的保护。权威咨询公司IDC曾调查过三百多家企业的数据安全问题，调查结果显示：61%的企业发生过非授权访问或数据篡改的行为，70%的企业认为，数据的丢失或篡改会给企业造成巨大的经济损失。由此可见，对于网络存储安全的研究势在必行。纵观国内外，许多高校实验室和企业在研究如何构建安全可靠的网络存储系统时，主要采用以下三种方案：安全的文件系统、安全的存储设备和安全的体系结构。文件系统是网络存储系统的核心部分，因此构建安全的文件系统是保证网络存储系统安