Как настроить iSCSI-таргет и парольную защиту CHAP
Когда использовать
Когда тома ВЦОД пора отдавать наружу. Хранилище с томами живёт и без iSCSI, но подключиться к нему хост не сможет: нужна точка доступа — таргет. Инструкция создаёт таргет ВЦОД, закрывает его парольной защитой CHAP и показывает, как читать его состояние.
CHAP — не обязательный шаг. Таргет создаётся и без него, а защиту можно добавить позже. Но добавить проще, чем снять: снятие CHAP контроллер не поддерживает, поэтому решение «с защитой или без» лучше принять заранее.
Инструкция не раздаёт тома — она только готовит доступ. Раздача описана в «Подключение томов по iSCSI».
Предусловия
- в опциях кластера включена возможность Unified Storage;
- хранилище ВЦОД включено — см. «Как создать ВЦОД с Unified Storage»;
- на пуле хранилища есть портал-группа: без неё форма настройки iSCSI не даёт продолжить — см. «Группы инициаторов и порталов»;
- привилегия
Configure vDC Storage iSCSI(13009) — выдана только роли Cluster master; - привилегия
View vDC Storage iSCSI Detail(13026) для чтения страницы таргета — доступна и администратору ВЦОД в рамках своих ВЦОД; - имя хранилища ВЦОД не совпадает с именем хранилища другого ВЦОД: из имени выводится IQN, а IQN в кластере уникален;
- версия vStack Center — 3.0.4.
Шаг 1. Создайте таргет
Таргет создаётся в одном из двух мест — на выбор.
В визарде включения хранилища. Шаг iSCSI readiness показывает готовность пула и создаёт таргет вместе с включением хранилища. Кнопка Skip на этом шаге включает хранилище без iSCSI.
Позже, из сводки хранилища. Откройте карточку ВЦОД → вкладку Storage → под-таб Overview. Карточка Protocol Status с бейджем Not configured означает, что таргета нет.
- Нажмите Configure — откроется окно Configure iSCSI.
- Сверьте блок Portal Group attached to pool: адреса и порты показаны таблицей IP address / Port, только для чтения. Портал-группу здесь не выбирают — берётся привязанная к пулу хранилища.
- В блоке Auth (CHAP) выберите No authentication или Create Auth Group. Во втором случае заполните имя набора и первого пользователя — поля те же, что в шаге 2.
- Нажмите Configure.
IQN таргета руками не задаётся: платформа выводит его из имени хранилища —
сегмент имени корневого датасета после / подставляется в префикс
iqn.2024-01.io.vstack:.
После подтверждения контроллером бейдж меняется на Configured, а карточка показывает Target IQN, Portal Group и число LUNs. Идентификатора у таргета нет: сам факт Configured и означает, что он готов. Портал-группа и группа инициаторов привязываются к таргету не сейчас, а при первой раздаче тома.
Шаг 2. Создайте набор учётных данных CHAP
Если при создании таргета выбрано No authentication, набор заводят на странице таргета.
- Откройте вкладку Storage → под-таб iSCSI.
- Нажмите карточку Target — откроется страница таргета.
- В секции Auth Group нажмите Create Auth Group.
- Заполните форму:
| Поле | Что указать |
|---|---|
| Name | имя набора: 1–63 символа — строчные латинские буквы, цифры, точка, дефис; уникально в ВЦОД |
| User | логин однонаправленной CHAP, 1–255 символов |
| Secret | секрет однонаправленной CHAP, 1–255 символов |
| Mutual CHAP | тоггл встречной проверки; включает пару полей ниже. Набор без встречной пары платформа отклоняет, поэтому тоггл нужно включить |
| Mutual user, Mutual secret | логин и секрет встречной CHAP, 1–255 символов; заполняются оба |
- Подтвердите создание.
Встречная CHAP обязательна. Контроллер SAN отвергает односторонний набор, поэтому vStack Center требует заполненных Mutual user и Mutual secret и при создании набора, и при каждой его правке.
Два ограничения стоит учесть сразу. Первое: платформа держит один набор учётных данных на группу — попытка добавить вторую запись отклоняется. Второе: секреты записываются только в одну сторону. Ни интерфейс, ни API их не возвращают: в таблице видны логин и признак встречной защиты, но не сам секрет.
Шаг 3. Назначьте защиту таргету
Набор, созданный на странице таргета, назначается ему сразу — отдельного шага привязки нет. То же делает блок Auth (CHAP) в окне Configure iSCSI и на шаге iSCSI readiness визарда.
Связь один к одному: у таргета одна auth-группа, назначение новой заменяет прежнюю. Выбора уже существующего набора на странице таргета нет — такая замена выполняется через API (см. «Методы API»).
Снять CHAP с таргета нельзя: контроллер такой операции не умеет, поэтому кнопки очистки в интерфейсе нет. Чтобы сменить защиту, назначьте таргету другой набор.
Шаг 4. Посмотрите набор и его состав
Секция Auth Group на странице таргета показывает имя назначенного набора и таблицу его пользователей.
| Колонка | Что показывает |
|---|---|
| User | логин однонаправленной CHAP |
| Mutual CHAP | есть ли у записи встречные учётные данные |
В строке доступно меню с действиями Edit и Delete, над таблицей — кнопка Add.
Если логин известен, а секрет утерян, восстановить его нельзя — задайте новый по шагу 5.
Шаг 5. Смените секрет
- В строке пользователя откройте меню и выберите Edit.
- Задайте новый Secret. Пустое поле оставляет прежний секрет — так меняют только встречные учётные данные.
- Сохраните изменения.
Смена работает и для набора, уже назначенного таргету: контроллер меняет секрет без пересоздания таргета. Но изменение затрагивает все таргеты, которым назначен этот набор — он у них общий.
Шаг 6. Удалите запись или набор
Запись CHAP удаляется в строке таблицы: меню строки → Delete.
Удаления всей auth-группы в интерфейсе нет. Назначенную таргету группу платформа удалять не даёт вообще — сначала таргету назначают другой набор, и только тогда освободившийся можно удалить через API.
Проверка результата
Откройте страницу таргета: вкладка Storage → под-таб iSCSI → карточка Target.
Ожидаемо после шага 1: бейдж на карточке Protocol Status — Configured, в Properties заполнено Target IQN (значение можно скопировать) и указана Portal Group. Ожидаемо после шага 3: секция Auth Group показывает имя набора, а таблица — его пользователя.
Пустые значения на странице читаются по одному правилу: пустое состояние вместо ошибки.
| Что видно | Что это значит |
|---|---|
| Бейдж Not configured | таргета у ВЦОД нет; остальные поля пустые, и это не ошибка |
| Target IQN пусто | iSCSI не настроен |
| Portal Group пусто | портал-группа таргету ещё не привязана — привязка возникает при первой раздаче тома |
| Секция Auth Group предлагает Create Auth Group | CHAP таргету не назначен |
Active sessions равно 0 | подключений нет либо iSCSI не настроен |
| Active sessions пусто | контроллер пула недоступен, остальная страница отдана |
Число Active sessions считает TCP-сессии к таргету: адреса, с которых подключились инициаторы.
Второй способ проверки — сводка хранилища: под-таб Overview, карточка Properties. Она показывает имя хранилища, пул, корневой датасет, ёмкость, список протоколов и число томов. Фактический состав раздачи там не отображается — за ним идите на страницу таргета и в список Volumes.
Если не получилось
| Что видно | Почему | Что сделать |
|---|---|---|
«Storage is not enabled for VDC» (-45013) | хранилище у ВЦОД не включено, настраивать iSCSI нечему | включите хранилище на вкладке Storage, затем настраивайте iSCSI |
«iSCSI is already configured for VDC» (-45014) | таргет у ВЦОД уже есть, а инвариант — один таргет на ВЦОД | повторная настройка не нужна: состояние смотрите на странице таргета |
«Target already exists» (-45015) | IQN занят: имя хранилища этого ВЦОД совпало с именем хранилища другого, а IQN выводится из имени | обхода на стороне iSCSI нет — имя корневого датасета задаётся при включении хранилища и потом не меняется |
«iSCSI is not configured for VDC» (-45032) | назначать CHAP некому — таргета у ВЦОД нет | выполните шаг 1 |
«Unknown auth group» (-45033) | набора с таким идентификатором нет либо он принадлежит другому ВЦОД | сверьте набор на странице таргета; один ответ на два случая — чужой набор не раскрывается |
«Auth group already exists» (-45034) | имя набора занято в этом ВЦОД | задайте другое Name — имена уникальны в пределах ВЦОД |
«Invalid auth group parameters» (-45035) | набор не прошёл проверку | оставьте одну запись, заполните User, Secret, Mutual user и Mutual secret, держите поля короче 255 символов; без встречной пары набор отклоняется и при создании, и при правке |
«Auth group is in use by a target» (-45036) | набор назначен таргету, а снять CHAP контроллер не умеет | назначьте таргету другой набор, после чего удаляйте освободившийся |
Контроллер пула не ответил или отказал (-45020, -45021) | пул недоступен либо отказал на шаге смены секрета; набор остался прежним | проверьте доступность пула и повторите операцию |
«Unified Storage feature is disabled» (-45001) | возможность Unified Storage выключена в опциях кластера | включение — на стороне администратора кластера; пока возможность выключена, операции хранилища отклоняются |
«Access denied» (-403) | для настройки таргета нужна привилегия Configure vDC Storage iSCSI (только роль Cluster master), для чтения страницы — View vDC Storage iSCSI Detail | войдите под подходящей ролью; тот же ответ приходит на запрос чужого ВЦОД — его существование не раскрывается |
См. также
- Группы инициаторов и порталов — через какие адреса слушает таргет и кому разрешено подключаться.
- Подключение томов по iSCSI — как отдать том инициатору.
- Хранилище ВЦОД — модель и устройство — откуда берётся IQN и почему таргет один на ВЦОД.
Методы API
Операции этой страницы в API: vdc-storage-iscsi-configure,
vdc-storage-iscsi-get, vdc-storage-get, iscsi-auth-group-create,
iscsi-auth-group-list, iscsi-auth-group-get, iscsi-auth-group-set,
iscsi-auth-group-delete, iscsi-target-set-auth — см.
Справочник API.