网络存储（四）之ISCSI的进阶
前言
上一篇博客中我们讲了如何搭建一个简单的iscsi网络存储系统，这块有个安全问题就是，任何知道target name的客户端都可以随意连接ISCSI服务器。但是很多时候，通过授权认证连接共享磁盘或者分区是必须的，例如 只允许客户端主机A连接target共享出来的磁盘分区1，而客户端主机b只运行连接target分享的磁盘分区2，在这种情况下，就需要在ISCSI target主机上进行授权设定了。
ISCSI在授权访问和安全管理方面很有优势，它能够以主机为基础，也就是以IP地址为基础来设定允许或者拒绝，也可以通过账户名密码认证来设定允许或者拒绝存取。
下面通过一套实验环境来配置看看情况
| 客户端/服务端 | IP | 共享的磁盘 |
|---|---|---|
| 服务器端 | 172.16.22.142 | /dev/sdb下的两个分区 |
| 客户端 | 172.16.160.191 | /dev/sdb1 |
| 客户端 | 172.16.160.192 | /dev/sdb2 |
- 通过ip来限定客户端连接不同的磁盘或者分区
- 通过用户名密码连接不同的磁盘或分区
通过ip来限定
首先更改配置文件,我在服务器端（172.16.22.142）配置文件如下：
[root@salt etc]# tail /etc/tgt/targets.conf #</target> <target iqn.2016.11.09.com.server:test.target1> backing-store /dev/sdb5 initiator-address 172.16.160.191 # 这个参数就是限定了哪个ip能够过来访问，详情可以看配置文件的样例 </target> <target iqn.2016.11.09.com.server:test.target2> backing-store /dev/sdb5 initiator-address 172.16.160.192 </target>
改为重启服务
[root@salt etc]# /etc/init.d/tgtd restart
Stopping SCSI target daemon: initiators still connected [FAILED]
Starting SCSI target daemon: [ OK ]
此时在客户端 172.16.160.191 查看：
[root@localhost ~]# iscsiadm -m discovery -t sendtargets -p 172.16.22.142 172.16.22.142:3260,1 iqn.2016-11.com.ljf:server.target1 # 共享的，所有人可以查看，未作限定 172.16.22.142:3260,1 iqn.2016.11.09.com.server:test.target1 # 191只能查看target1这块盘
在另一个客户端 172.16.160.192 查看：
[root@linux-node1 ~]# iscsiadm -m discovery -t sendtargets -p 172.16.22.142 172.16.22.142:3260,1 iqn.2016-11.com.ljf:server.target1 # 共享的，所有人可以查看，未作限定 172.16.22.142:3260,1 iqn.2016.11.09.com.server:test.target2 # 192只能查看target2这块盘
自此，通过ip来限定客户端连接不同的磁盘或者分区。
通过用户名密码
iscsi target以账户名密码方式认证分为两阶段
第一阶段是discovery查询认证所使用的账户和密码（即sendTarget用的）
第二阶段是登陆target /iqn 所使用的账户密码（即login登陆时使用的）
这种方式复杂点，需要在Initiator主机和iscsi target服务器上进行简单配置。
配置ISCSI target
我们在172.16.22.142上配置tgtd，配置文件内容如下：
[root@salt ~]# tail /etc/tgt/targets.conf <target iqn.2016.11.com.server:test.target_191haha> backing-store /dev/sdb2 incominguser user191 user191 # 第一个user191是用户名，第二个user191是密码 </target> <target iqn.2016.11.com.server:test.target192> backing-store /dev/sdb1 incominguser user192 user192 </target>
配置完成后重启服务：
[root@salt ~]# service tgtd restart
然后我们在iscsi Initiator 172.16.160.191上配置用户名和密码，命令如下：
[root@localhost ~]# grep ^[a-Z] /etc/iscsi/iscsid.conf # 增加下面6行 node.session.auth.authmethod = CHAP node.session.auth.username = user191 # 登陆连接的时候验证身份 node.session.auth.password = user191 discovery.sendtargets.auth.authmethod = CHAP discovery.sendtargets.auth.username = user191 # discovery 的时候验证身份 discovery.sendtargets.auth.password = user191 [root@localhost ~]# /etc/init.d/iscsi restart #改完后重启服务 [root@localhost ~]# iscsiadm -m discovery -t sendtargets -p 172.16.22.142 iscsiadm: This command will remove the record [iface: default, target: iqn.2016.11.09.com.server:test.target191, portal: 172.16.22.142,3260], but a session is using it. Logout session then rerun command to remove record. 172.16.22.142:3260,1 iqn.2016.11.com.server:test.target192 172.16.22.142:3260,1 iqn.2016.11.com.server:test.target_191haha [root@localhost ~]# iscsiadm -m node -p 172.16.22.142 -l # 登陆服务器
iscsi Initiator 172.16.160.192同理可得，同样的操作，我就不演示了。
错误总结
在这没有成功之前，我这边出现了一个奇怪的情况，就是在iscsi Initiator端死活discovery不了我刚才设定的
通过用户名密码来访问的磁盘，服务端tgtd程序和客户端iscsi重启N回都没有改变这症状,突然我在iscsi服务器端ps -ef |grep tgtd发现了启动了多个程序，导致客户端发现不了。于是，杀死进程重启服务就好使了。
[root@salt ~]# /etc/init.d/tgtd stop Stopping SCSI target daemon: [ OK ] [root@salt ~]# netstat -lnpt #奇怪的是，明明stop掉了进程，为什么还有tgtd进程呢？ Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1538/sshd tcp 0 0 0.0.0.0:4505 0.0.0.0:* LISTEN 1704/python2.6 tcp 0 0 0.0.0.0:4506 0.0.0.0:* LISTEN 1833/python2.6 tcp 0 0 0.0.0.0:3260 0.0.0.0:* LISTEN 2953/tgtd tcp 0 0 :::22 :::* LISTEN 1538/sshd tcp 0 0 :::3260 :::* LISTEN 2953/tgtd [root@salt ~]# /etc/init.d/tgtd stop Stopping SCSI target daemon: not running [FAILED] [root@salt ~]# netstat -lnpt Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1538/sshd tcp 0 0 0.0.0.0:4505 0.0.0.0:* LISTEN 1704/python2.6 tcp 0 0 0.0.0.0:4506 0.0.0.0:* LISTEN 1833/python2.6 tcp 0 0 0.0.0.0:3260 0.0.0.0:* LISTEN 2953/tgtd tcp 0 0 :::22 :::* LISTEN 1538/sshd tcp 0 0 :::3260 :::* LISTEN 2953/tgtd [root@salt ~]# ps -ef |grep tgt root 2953 1 0 Nov08 ? 00:00:00 tgtd root 2956 2953 0 Nov08 ? 00:00:00 tgtd root 5233 2915 0 00:09 pts/0 00:00:00 grep tgt [root@salt ~]# kill 2956 #干掉他们后启动服务器就好了 [root@salt ~]# kill 2953 [root@salt ~]# kill -9 2953 [root@salt ~]# kill -9 2953 -bash: kill: (2953) - No such process [root@salt ~]# kill -9 2956 -bash: kill: (2956) - No such process [root@salt ~]# kill -9 2956 -bash: kill: (2956) - No such process [root@salt ~]# [root@salt ~]# /etc/init.d/tgtd start Starting SCSI target daemon: [ OK ]
