iSCSI hedefi ve CHAP parola koruması nasıl yapılandırılır

Bu yordam ne zaman kullanılır

VDC birimlerini harici ana bilgisayarlara dışa aktarma zamanı geldiğinde. Birimler içeren bir depolama iSCSI olmadan da var olabilir, ancak bir ana bilgisayar ona bağlanamaz: bir erişim noktası — hedef (target) — gerekir. Bu yordam VDC hedefini oluşturur, onu CHAP parola kimlik doğrulamasıyla korur ve durumunun nasıl okunacağını gösterir.

CHAP isteğe bağlıdır. Hedef CHAP olmadan oluşturulabilir ve koruma daha sonra eklenebilir. Ancak eklemek kaldırmaktan daha kolaydır: denetleyici CHAP'in kaldırılmasını desteklemez; bu nedenle korumanın kullanılıp kullanılmayacağına önceden karar vermek en iyisidir.

Bu yordam birimleri eşlemez — yalnızca erişimi hazırlar. Eşleme "Birimleri iSCSI üzerinden bağlama" bölümünde açıklanır.

Ön koşullar

• Unified Storage özelliği küme seçeneklerinde etkinleştirilmiş olmalıdır.
• VDC depolaması etkinleştirilmiş olmalıdır — "Unified Storage ile VDC nasıl oluşturulur" bölümüne bakın.
• Depolama havuzunda bir portal grubu bulunmalıdır: bu olmadan iSCSI yapılandırma formu devam etmenize izin vermez — "Başlatıcı ve portal grupları" bölümüne bakın.
• Configure vDC Storage iSCSI yetkisi (13009) — yalnızca Cluster master rolüne verilir.
• Hedef sayfasını okumak için View vDC Storage iSCSI Detail yetkisi (13026) — kendi VDC'leri içinde bir VDC yöneticisi için de kullanılabilir.
• VDC depolama adı diğer tüm VDC'lerin depolama adlarından farklı olmalıdır: IQN addan türetilir ve IQN küme içinde benzersiz olmalıdır.
• vStack Center sürümü — 3.0.4.

Adım 1. Hedef oluşturun

Hedefi iki yerden birinde oluşturabilirsiniz.

Depolama etkinleştirme sihirbazında. iSCSI readiness adımı havuzun hazır olma durumunu gösterir ve depolama etkinleştirildiğinde hedefi oluşturur. Bu adımdaki Skip düğmesi depolamayı iSCSI olmadan etkinleştirir.

Daha sonra, depolama özetinden. VDC kartını → Storage sekmesini → Overview alt sekmesini açın. Not configured rozetine sahip bir Protocol Status kartı, hedef olmadığı anlamına gelir.

1. Configure düğmesine tıklayın — Configure iSCSI penceresi açılır.
2. Portal Group attached to pool bloğunu denetleyin: adresler ve portlar salt okunur bir IP address / Port tablosunda gösterilir. Burada portal grubu seçmezsiniz — depolama havuzuna bağlı grup kullanılır.
3. Auth (CHAP) bloğunda No authentication veya Create Auth Group seçeneğini belirleyin. İkincisi için küme adını ve ilk kullanıcıyı girin — alanlar 2. adımdakilerle aynıdır.
4. Configure düğmesine tıklayın.

Hedef IQN'si elle ayarlanmaz: platform onu depolama adından türetir — kök dataset'in / işaretinden sonraki ad bölümü iqn.2024-01.io.vstack: önekine eklenir.

Denetleyici onayladıktan sonra rozet Configured olarak değişir ve kart Target IQN, Portal Group ve LUNs sayısını gösterir. Hedefin bir tanımlayıcısı yoktur: Configured durumunun kendisi hedefin hazır olduğu anlamına gelir. Portal grubu ve başlatıcı grubu hedefle bu noktada değil, ilk birim eşlendiğinde ilişkilendirilir.

Adım 2. CHAP kimlik bilgisi kümesi oluşturun

Hedef oluşturulurken No authentication seçildiyse kümeyi hedef sayfasında oluşturun.

1. Storage sekmesini → iSCSI alt sekmesini açın.
2. Target kartına tıklayın — hedef sayfası açılır.
3. Auth Group bölümünde Create Auth Group düğmesine tıklayın.
4. Formu doldurun:

Alan	Ne belirtilmeli
Name	Küme adı: 1–63 karakter — küçük Latin harfleri, rakamlar, noktalar ve kısa çizgiler; VDC içinde benzersiz
User	Tek yönlü CHAP kullanıcı adı, 1–255 karakter
Secret	Tek yönlü CHAP gizli anahtarı, 1–255 karakter
Mutual CHAP	Karşılıklı kimlik doğrulama anahtarı; aşağıdaki alan çiftini etkinleştirir. Platform karşılıklı kimlik bilgileri olmayan bir kümeyi reddeder, bu nedenle anahtar etkin olmalıdır
Mutual user, Mutual secret	Karşılıklı CHAP kullanıcı adı ve gizli anahtarı, 1–255 karakter; her ikisi de doldurulmalıdır

5. Oluşturmayı onaylayın.

Karşılıklı CHAP zorunludur. SAN denetleyicisi tek yönlü bir kimlik bilgisi kümesini reddeder; bu nedenle vStack Center hem kümeyi oluştururken hem de her düzenlemede Mutual user ve Mutual secret alanlarının doldurulmasını zorunlu kılar.

En baştan iki kısıtlamayı aklınızda tutun. Birincisi, platform grup başına bir kimlik bilgisi kümesine izin verir — ikinci bir girdi ekleme girişimi reddedilir. İkincisi, gizli anahtarlar yalnızca yazılabilir. Ne arayüz ne de API bunları döndürür: tablo kullanıcı adını ve karşılıklı kimlik doğrulama göstergesini gösterir, ancak gizli anahtarın kendisini göstermez.

Adım 3. Korumayı hedefe atayın

Hedef sayfasında oluşturulan bir küme hemen hedefe atanır — ayrı bir ilişkilendirme adımı yoktur. Configure iSCSI penceresindeki ve sihirbazın iSCSI readiness adımındaki Auth (CHAP) bloğu da aynısını yapar.

İlişki bire birdir: bir hedefin bir kimlik doğrulama grubu vardır ve yenisini atamak öncekinin yerini alır. Hedef sayfası mevcut bir kümenin seçilmesini sunmaz — bu değiştirme API üzerinden gerçekleştirilir ("API yöntemleri" bölümüne bakın).

CHAP bir hedeften kaldırılamaz: denetleyici bu işlemi desteklemez, bu nedenle arayüzde temizleme düğmesi yoktur. Korumayı değiştirmek için hedefe farklı bir küme atayın.

Adım 4. Kümeyi ve üyelerini görüntüleyin

Hedef sayfasındaki Auth Group bölümü atanmış kümenin adını ve kullanıcılarının tablosunu gösterir.

Sütun	Ne gösterir
User	Tek yönlü CHAP kullanıcı adı
Mutual CHAP	Girdinin karşılıklı kimlik bilgilerine sahip olup olmadığı

Her satırda Edit ve Delete eylemlerini içeren bir menü vardır; tablonun üzerinde bir Add düğmesi görünür.

Kullanıcı adı biliniyor ancak gizli anahtar kaybolmuşsa kurtarılamaz — 5. adımda açıklandığı gibi yenisini ayarlayın.

Adım 5. Gizli anahtarı değiştirin

1. Kullanıcı satırındaki menüyü açın ve Edit öğesini seçin.
2. Yeni bir Secret ayarlayın. Alanı boş bırakmak önceki gizli anahtarı korur — yalnızca karşılıklı kimlik bilgilerini değiştirmek için bunu kullanın.
3. Değişiklikleri kaydedin.

Bu, zaten bir hedefe atanmış bir küme için de çalışır: denetleyici gizli anahtarı hedefi yeniden oluşturmadan değiştirir. Ancak değişiklik, bu kümenin atandığı tüm hedefleri etkiler — kümeyi paylaşırlar.

Adım 6. Bir girdiyi veya kümeyi silin

Bir CHAP girdisini tablo satırında silin: satır menüsü → Delete.

Arayüz bir kimlik doğrulama grubunun tamamının silinmesini desteklemez. Platform bir hedefe atanmış bir grubun silinmesine hiç izin vermez — önce hedefe farklı bir küme atayın, ardından serbest kalan kümeyi API üzerinden silin.

Sonucu doğrulama

Hedef sayfasını açın: Storage sekmesi → iSCSI alt sekmesi → Target kartı.

1. adımdan sonra beklenen: Protocol Status kartındaki rozet Configured olur, Properties altındaki Target IQN doldurulmuştur (değer kopyalanabilir) ve Portal Group belirtilmiştir. 3. adımdan sonra beklenen: Auth Group bölümü küme adını, tablo ise kullanıcısını gösterir.

Sayfadaki boş değerler tek bir kurala uyar: hata değil, boş durum.

Ne görüyorsunuz	Ne anlama gelir
Not configured rozeti	VDC'nin hedefi yok; diğer alanlar boştur ve bu bir hata değildir
Target IQN boş	iSCSI yapılandırılmamış
Portal Group boş	Portal grubu henüz hedefle ilişkilendirilmemiş — ilişki ilk birim eşlendiğinde oluşturulur
Auth Group bölümü Create Auth Group sunuyor	Hedefe CHAP atanmamış
Active sessions 0	Bağlantı yok veya iSCSI yapılandırılmamış
Active sessions boş	Havuz denetleyicisi kullanılamıyor; sayfanın geri kalanı görüntülenir

Active sessions, hedefe yönelik TCP oturumlarını sayar: başlatıcıların bağlandığı adresler.

Doğrulamanın bir başka yolu depolama özetidir: Overview alt sekmesi, Properties kartı. Kart depolama adını, havuzu, kök dataset'i, kapasiteyi, protokol listesini ve birim sayısını gösterir. Gerçek eşleme yapılandırması burada görüntülenmez — bu bilgi için hedef sayfasına ve Volumes listesine gidin.

Sorun giderme

Ne görüyorsunuz	Neden	Ne yapmalı
"Storage is not enabled for VDC" (-45013)	VDC depolaması etkinleştirilmemiş, bu nedenle iSCSI'nin yapılandırılacağı bir şey yok	Depolamayı Storage sekmesinde etkinleştirin, ardından iSCSI'yi yapılandırın
"iSCSI is already configured for VDC" (-45014)	VDC'nin zaten bir hedefi var ve değişmez kural VDC başına bir hedeftir	Yeniden yapılandırmaya gerek yok: durumunu hedef sayfasında görüntüleyin
"Target already exists" (-45015)	IQN kullanımda: bu VDC'nin depolama adı başka bir VDC'nin depolama adıyla eşleşiyor ve IQN addan türetiliyor	iSCSI tarafında geçici bir çözüm yoktur — kök dataset adı depolama etkinleştirilirken ayarlanır ve daha sonra değiştirilemez
"iSCSI is not configured for VDC" (-45032)	VDC'de CHAP'in atanacağı bir hedef yok	1. adımı tamamlayın
"Unknown auth group" (-45033)	Bu tanımlayıcıya sahip bir küme yok veya başka bir VDC'ye ait	Kümeyi hedef sayfasında denetleyin; aynı yanıt her iki durumu da kapsar — başka bir VDC'nin kümesi açıklanmaz
"Auth group already exists" (-45034)	Küme adı bu VDC'de zaten kullanılıyor	Farklı bir Name belirtin — adlar VDC içinde benzersizdir
"Invalid auth group parameters" (-45035)	Küme doğrulamadan geçemedi	Tek bir girdi bırakın, User, Secret, Mutual user ve Mutual secret alanlarını doldurun ve alanları 255 karakterden kısa tutun; karşılıklı kimlik bilgileri olmadan küme hem oluşturma sırasında hem de düzenlendiğinde reddedilir
"Auth group is in use by a target" (-45036)	Küme bir hedefe atanmış ve denetleyici CHAP'i kaldıramıyor	Hedefe farklı bir küme atayın, ardından serbest kalan kümeyi silin
Havuz denetleyicisi yanıt vermedi veya işlemi reddetti (-45020, -45021)	Havuz kullanılamıyor veya gizli anahtar değişikliğini reddetti; küme değişmeden kalır	Havuzun kullanılabilirliğini denetleyin ve işlemi yeniden deneyin
"Unified Storage feature is disabled" (-45001)	Unified Storage özelliği küme seçeneklerinde devre dışı	Küme yöneticisinin özelliği etkinleştirmesi gerekir; özellik devre dışıyken depolama işlemleri reddedilir
"Access denied" (-403)	Hedef yapılandırmak Configure vDC Storage iSCSI yetkisini (yalnızca Cluster master rolü), sayfayı okumak ise View vDC Storage iSCSI Detail yetkisini gerektirir	Uygun bir rolle oturum açın; başka bir VDC için yapılan istekte de aynı yanıt döndürülür — o VDC'nin varlığı açıklanmaz

Ayrıca bakın

• Başlatıcı ve portal grupları — hedefin dinlediği adresler ve kimin bağlanmaya yetkili olduğu.
• Birimleri iSCSI üzerinden bağlama — bir birimin bir başlatıcıya nasıl dışa aktarılacağı.
• VDC depolaması — model ve mimari — IQN'nin nereden geldiği ve neden VDC başına bir hedef olduğu.

API yöntemleri

Bu sayfada ele alınan API işlemleri: vdc-storage-iscsi-configure, vdc-storage-iscsi-get, vdc-storage-get, iscsi-auth-group-create, iscsi-auth-group-list, iscsi-auth-group-get, iscsi-auth-group-set, iscsi-auth-group-delete, iscsi-target-set-auth — API başvurusuna bakın.