Cómo configurar un destino iSCSI y la protección con contraseña CHAP
Cuándo usar este procedimiento
Cuando llega el momento de exportar los volúmenes del VDC a hosts externos. Un almacenamiento con volúmenes puede existir sin iSCSI, pero un host no puede conectarse a él: se necesita un punto de acceso, un destino (target). Este procedimiento crea el destino del VDC, lo protege con autenticación por contraseña CHAP y muestra cómo leer su estado.
CHAP es opcional. Se puede crear un destino sin él y añadir la protección más adelante. Pero añadirla es más sencillo que quitarla: el controlador no admite la eliminación de CHAP, por lo que conviene decidir de antemano si se usará la protección.
Este procedimiento no asigna volúmenes: solo prepara el acceso. La asignación se describe en «Conexión de volúmenes mediante iSCSI».
Requisitos previos
- La funcionalidad Unified Storage está habilitada en las opciones del clúster.
- El almacenamiento del VDC está habilitado; consulte «Cómo crear un VDC con Unified Storage».
- Existe un grupo de portales en el pool de almacenamiento: sin él, el formulario de configuración de iSCSI no permite continuar; consulte «Grupos de iniciadores y de portales».
- El privilegio
Configure vDC Storage iSCSI(13009), que solo se concede al rol Cluster master. - El privilegio
View vDC Storage iSCSI Detail(13026) para leer la página del destino; también está disponible para un administrador de VDC dentro de sus VDC. - El nombre del almacenamiento del VDC difiere del nombre del almacenamiento de todos los demás VDC: el IQN se deriva del nombre, y el IQN debe ser único dentro del clúster.
- Versión de vStack Center: 3.0.4.
Paso 1. Cree un destino
Puede crear el destino en cualquiera de estos dos lugares.
En el asistente de habilitación del almacenamiento. El paso iSCSI readiness muestra si el pool está preparado y crea el destino cuando se habilita el almacenamiento. El botón Skip de este paso habilita el almacenamiento sin iSCSI.
Más adelante, desde el resumen del almacenamiento. Abra la ficha del VDC → pestaña Storage → subpestaña Overview. Una ficha Protocol Status con la insignia Not configured significa que no hay ningún destino.
- Haga clic en Configure: se abre la ventana Configure iSCSI.
- Compruebe el bloque Portal Group attached to pool: las direcciones y los puertos se muestran en una tabla de solo lectura IP address / Port. Aquí no se selecciona un grupo de portales: se utiliza el grupo vinculado al pool de almacenamiento.
- En el bloque Auth (CHAP), seleccione No authentication o Create Auth Group. En el segundo caso, introduzca el nombre del conjunto y el primer usuario; los campos son los mismos que en el paso 2.
- Haga clic en Configure.
El IQN del destino no se establece manualmente: la plataforma lo deriva del nombre del
almacenamiento; el segmento del nombre del dataset raíz que sigue a / se añade al
prefijo iqn.2024-01.io.vstack:.
Cuando el controlador lo confirma, la insignia cambia a Configured y la ficha muestra Target IQN, Portal Group y el número de LUNs. El destino no tiene identificador: el propio Configured significa que está listo. El grupo de portales y el grupo de iniciadores se asocian con el destino cuando se asigna el primer volumen, no en este momento.
Paso 2. Cree un conjunto de credenciales CHAP
Si se seleccionó No authentication al crear el destino, cree el conjunto en la página del destino.
- Abra la pestaña Storage → subpestaña iSCSI.
- Haga clic en la ficha Target: se abre la página del destino.
- En la sección Auth Group, haga clic en Create Auth Group.
- Complete el formulario:
| Campo | Qué debe especificar |
|---|---|
| Name | Nombre del conjunto: de 1 a 63 caracteres (letras latinas minúsculas, dígitos, puntos y guiones); único dentro del VDC |
| User | Nombre de usuario de CHAP unidireccional, de 1 a 255 caracteres |
| Secret | Secreto de CHAP unidireccional, de 1 a 255 caracteres |
| Mutual CHAP | Interruptor de autenticación mutua; habilita el par de campos siguiente. La plataforma rechaza un conjunto sin credenciales mutuas, por lo que el interruptor debe estar activado |
| Mutual user, Mutual secret | Nombre de usuario y secreto de CHAP mutuo, de 1 a 255 caracteres; ambos deben completarse |
- Confirme la creación.
El CHAP mutuo es obligatorio. El controlador SAN rechaza un conjunto de credenciales unidireccional, por lo que vStack Center exige que se completen Mutual user y Mutual secret tanto al crear el conjunto como cada vez que se edita.
Tenga en cuenta dos restricciones desde el principio. En primer lugar, la plataforma permite un conjunto de credenciales por grupo: un intento de agregar una segunda entrada se rechaza. En segundo lugar, los secretos son de solo escritura. Ni la interfaz ni la API los devuelven: la tabla muestra el nombre de usuario y el indicador de autenticación mutua, pero no el propio secreto.
Paso 3. Asigne la protección al destino
Un conjunto creado en la página del destino se asigna al destino de inmediato: no hay un paso de asociación independiente. El bloque Auth (CHAP) de la ventana Configure iSCSI y del paso iSCSI readiness del asistente hace lo mismo.
La relación es uno a uno: un destino tiene un grupo de autenticación, y asignar uno nuevo sustituye al anterior. La página del destino no ofrece la posibilidad de elegir un conjunto existente: esta sustitución se realiza a través de la API (consulte «Métodos de la API»).
No se puede quitar CHAP de un destino: el controlador no admite esta operación, por lo que la interfaz no tiene un botón para quitarlo. Para cambiar la protección, asigne otro conjunto al destino.
Paso 4. Consulte el conjunto y sus miembros
La sección Auth Group de la página del destino muestra el nombre del conjunto asignado y una tabla con sus usuarios.
| Columna | Qué muestra |
|---|---|
| User | Nombre de usuario de CHAP unidireccional |
| Mutual CHAP | Si la entrada tiene credenciales mutuas |
Cada fila tiene un menú con las acciones Edit y Delete; encima de la tabla aparece un botón Add.
Si se conoce el nombre de usuario, pero se ha perdido el secreto, no se puede recuperar: establezca uno nuevo como se describe en el paso 5.
Paso 5. Cambie el secreto
- Abra el menú de la fila del usuario y seleccione Edit.
- Establezca un nuevo Secret. Si deja el campo vacío, se conserva el secreto anterior; utilice esta opción para cambiar solo las credenciales mutuas.
- Guarde los cambios.
Esto también funciona para un conjunto ya asignado a un destino: el controlador cambia el secreto sin volver a crear el destino. Sin embargo, el cambio afecta a todos los destinos a los que está asignado este conjunto, ya que lo comparten.
Paso 6. Elimine una entrada o un conjunto
Elimine una entrada CHAP en su fila de la tabla: menú de la fila → Delete.
La interfaz no permite eliminar un grupo de autenticación completo. La plataforma no permite en absoluto eliminar un grupo asignado a un destino: primero asigne otro conjunto al destino y, a continuación, elimine el conjunto liberado a través de la API.
Verificación del resultado
Abra la página del destino: pestaña Storage → subpestaña iSCSI → ficha Target.
Resultado esperado después del paso 1: la insignia de la ficha Protocol Status es Configured, Target IQN está completado en Properties (el valor se puede copiar) y Portal Group está especificado. Resultado esperado después del paso 3: la sección Auth Group muestra el nombre del conjunto, y la tabla muestra su usuario.
Los valores vacíos de la página siguen una regla: un estado vacío, no un error.
| Qué ve | Qué significa |
|---|---|
| Insignia Not configured | El VDC no tiene destino; los demás campos están vacíos, y esto no es un error |
| Target IQN está vacío | iSCSI no está configurado |
| Portal Group está vacío | El grupo de portales todavía no está asociado con el destino; la asociación se crea cuando se asigna el primer volumen |
| La sección Auth Group ofrece Create Auth Group | No hay CHAP asignado al destino |
Active sessions es 0 | No hay conexiones, o iSCSI no está configurado |
| Active sessions está vacío | El controlador del pool no está disponible; el resto de la página se muestra |
Active sessions cuenta las sesiones TCP con el destino: las direcciones desde las que se han conectado los iniciadores.
Otra forma de verificarlo es el resumen del almacenamiento: subpestaña Overview, ficha Properties. Muestra el nombre del almacenamiento, el pool, el dataset raíz, la capacidad, la lista de protocolos y el número de volúmenes. La configuración real de las asignaciones no se muestra allí; para obtener esa información, vaya a la página del destino y a la lista Volumes.
Solución de problemas
| Qué ve | Por qué | Qué hacer |
|---|---|---|
"Storage is not enabled for VDC" (-45013) | El almacenamiento del VDC no está habilitado, por lo que no hay nada para lo que configurar iSCSI | Habilite el almacenamiento en la pestaña Storage y, a continuación, configure iSCSI |
"iSCSI is already configured for VDC" (-45014) | El VDC ya tiene un destino, y la invariante es un destino por VDC | No es necesario volver a configurarlo: consulte su estado en la página del destino |
"Target already exists" (-45015) | El IQN está en uso: el nombre del almacenamiento de este VDC coincide con el nombre del almacenamiento de otro VDC, y el IQN se deriva del nombre | No hay solución alternativa por parte de iSCSI: el nombre del dataset raíz se establece al habilitar el almacenamiento y no se puede cambiar después |
"iSCSI is not configured for VDC" (-45032) | No hay ningún destino en el VDC al que asignar CHAP | Complete el paso 1 |
"Unknown auth group" (-45033) | No existe ningún conjunto con este identificador, o pertenece a otro VDC | Compruebe el conjunto en la página del destino; la misma respuesta abarca ambos casos: no se revela el conjunto de otro VDC |
"Auth group already exists" (-45034) | El nombre del conjunto ya está en uso en este VDC | Especifique otro Name: los nombres son únicos dentro del VDC |
"Invalid auth group parameters" (-45035) | El conjunto no superó la validación | Mantenga una sola entrada, complete User, Secret, Mutual user y Mutual secret, y mantenga los campos por debajo de 255 caracteres; sin credenciales mutuas, el conjunto se rechaza tanto al crearlo como al editarlo |
"Auth group is in use by a target" (-45036) | El conjunto está asignado a un destino, y el controlador no puede quitar CHAP | Asigne otro conjunto al destino y, a continuación, elimine el conjunto liberado |
El controlador del pool no respondió o rechazó la operación (-45020, -45021) | El pool no está disponible o rechazó el cambio de secreto; el conjunto permanece sin cambios | Compruebe la disponibilidad del pool y vuelva a intentar la operación |
"Unified Storage feature is disabled" (-45001) | La funcionalidad Unified Storage está deshabilitada en las opciones del clúster | El administrador del clúster debe habilitarla; mientras la funcionalidad esté deshabilitada, las operaciones de almacenamiento se rechazan |
"Access denied" (-403) | Configurar un destino requiere el privilegio Configure vDC Storage iSCSI (solo el rol Cluster master); leer la página requiere View vDC Storage iSCSI Detail | Inicie sesión con un rol adecuado; se devuelve la misma respuesta para una solicitud sobre otro VDC: no se revela su existencia |
Consulte también
- Grupos de iniciadores y de portales: las direcciones en las que escucha el destino y quién está autorizado a conectarse.
- Conexión de volúmenes mediante iSCSI: cómo exportar un volumen a un iniciador.
- Almacenamiento del VDC: modelo y arquitectura: de dónde procede el IQN y por qué hay un destino por VDC.
Métodos de la API
Operaciones de la API que se tratan en esta página: vdc-storage-iscsi-configure,
vdc-storage-iscsi-get, vdc-storage-get, iscsi-auth-group-create,
iscsi-auth-group-list, iscsi-auth-group-get, iscsi-auth-group-set,
iscsi-auth-group-delete, iscsi-target-set-auth; consulte la
referencia de la API.