iSCSI là gì? Thành phần và cách thức hoạt động của ISCSI

Vinh Phạm

2342

27-07-2021

iSCSI có lẽ là khái niệm tương đối lạ lẫm với nhiều người, nhưng lại có vai trò quan trọng với các hệ thống IT yêu cầu lưu trữ tập trung và lưu trữ từ xa. Trong bài viết này Bizfly Cloudsẽ giải thích kỹ hơn cho các bạn về giao thức iSCSI.

ISCSI là gì?

iSCSI là viết tắt của Internet Small Computer System Interface (giao thức hệ thống máy tính Internet nhỏ). iSCSI là giao thức tầng vận chuyển hoạt động trên giao thức TCP/IP, hỗ trợ truy cập máy chủ lưu trữ bằng cách thực hiện các lệnh SCSI qua mạng IP. Tiêu chuẩn ISCSI được xác định bởi RFC 3720.

SCSI là một tập hợp các lệnh block-based kết nối các thiết bị máy tính với bộ lưu trữ được kết nối mạng. Giao thức iSCSI sử dụng trình khởi tạo (initiator) để gửi các lệnh SCSI đến các thiết bị lưu trữ mục tiêu (target) trên các máy chủ từ xa. Mục tiêu lưu trữ có thể là SAN, NAS, băng từ SSD, HDD hoặc các máy chủ khác. 

Giao thức iSCSI giúp quản trị viên sử dụng tốt hơn bộ nhớ dùng chung bằng cách cho phép các máy chủ lưu trữ dữ liệu vào bộ nhớ được nối mạng từ xa và ảo hóa bộ nhớ từ xa cho các ứng dụng yêu cầu bộ nhớ được đính kèm trực tiếp.

Các thành phần trong iSCSI

iSCSI Initiator (bộ khởi tạo ISCSI), HBA và iSOE

Những công nghệ này đóng gói các lệnh SCSI vào các packets và gửi trực tiếp đến thiết bị lưu trữ mục tiêu. Bộ khởi tạo iSCSI dựa trên phần mềm là lựa chọn ít đắt đỏ nhất, đồng thời cũng thường có sẵn như một thành phần của hệ điều hành.

HBA hay Host-based adapters là một giải pháp phần cứng, do đó nó đắt đỏ hơn so với bộ khởi tạo iSCSI tuy nhiên có hiệu năng cao hơn cũng như cung cấp nhiều tính năng hơn. Một loại phần cứng tương đương là iSOE card với động cơ giảm tải iSCSI, giúp đảm nhiệm công việc của bộ khởi tạo iSCSI và giải phóng tài nguyên CPU trên máy chủ.

iSCSI Target

SCSI vận chuyển các packet qua mạng TCP/IP như LAN, WAN và Internet. Mục tiêu iSCSI (iSCSI target) là hệ thống lưu trữ từ xa, đóng vai trò như một ổ đĩa cục bộ của các máy chủ. Khi các gói tin đến iSCSI target, giao thức sẽ tách các gói tin để trình bày các lệnh SCSI cho hệ điều hành. Nếu iSCSI đã mã hóa gói mạng, nó sẽ giải mã gói ở giai đoạn này.

Cách thức hoạt động của iSCSI

SCSI hoạt động bằng cách vận chuyển dữ liệu mức khối (block) giữa trình khởi tạo iSCSI trên máy chủ và iSCSI target trên thiết bị lưu trữ. Giao thức iSCSI đóng gói các lệnh SCSI và tập hợp dữ liệu trong các gói (packet) cho lớp TCP/IP. 

Các gói được gửi qua mạng bằng kết nối điểm-điểm (point-to-point). Khi đến nơi, giao thức iSCSI sẽ tháo rời các gói, tách các lệnh SCSI để hệ điều hành (OS) nhận diện bộ lưu trữ như thể nó là một thiết bị SCSI kết nối cục bộ có thể được định dạng như bình thường. 

Ngày nay, iSCSI phổ biến trong các doanh nghiệp vừa và nhỏ (SMB) để tạo các vùng lưu trữ (storage pool) sử dụng trong ảo hóa máy chủ. Trong môi trường ảo hóa, vùng lưu trữ có thể truy cập được đối với tất cả các máy chủ trong cụm và các nút cụm giao tiếp với vùng lưu trữ qua mạng thông qua việc sử dụng giao thức iSCSI. Có một số thiết bị iSCSI hỗ trợ loại giao tiếp này giữa máy chủ khách và hệ thống lưu trữ.

Hiệu suất iSCSI

1Gbps là tốc độ phổ biến của iSCSI với những hạ tầng nhỏ vốn có số lượng chiếm tỉ lệ lớn nhất, tuy nhiên iSCSI cũng hỗ trợ các mạng lên đến 10Gbps để cạnh tranh trực tiếp với Fibre Channel. Bên cạnh thông số tốc độ cơ bản thì iSCSI cũng có một số kỹ thuật nâng cao để tăng hiệu quả truyền dữ liệu:

• Multipathing: Là một kỹ thuật cho phép quản trị viên lưu trữ thiết lập một số đường dẫn giữa máy chủ khách hàng và tài nguyên lưu trữ. Hiệu suất được nâng cao vì băng thông có thể được điều chỉnh giữa các đường dẫn để cân bằng tải, do đó làm cho việc truy cập vào bộ nhớ hiệu quả hơn. Multipathing cũng cung cấp khả năng chịu lỗi (fault tolerance) để cải thiện độ tin cậy của hệ thống lưu trữ iSCSI. Jumbo Frame: Là một cải tiến khác của giao thức Ethernet cho phép hệ thống lưu trữ iSCSI gửi lượng dữ liệu lớn hơn mức cho phép với kích thước khung Ethernet tiêu chuẩn. Việc di chuyển các khối dữ liệu lớn hơn tại một thời điểm cũng mang lại những cải thiện về hiệu suất.
• 10 GbE: Yếu tố tác động lớn nhất đến hiệu suất của iSCSI đó chính là tốc độ kết nối mạng Ethernet. Các mạng nhỏ hơn như 1 GbE tuy vẫn có khả năng chạy các giao thức iSCSI nhưng tốc độ sẽ chậm hơn, và không đủ để phục vụ các trung tâm dữ liệu của doanh nghiệp hoặc cỡ vừa. Mặc dù quản trị viên có thể tăng hiệu suất trên mạng phụ 10 GbE bằng cách bổ sung nhiều NIC, nhưng một thiết bị switch duy nhất sẽ không tăng tốc độ được cho nhiều cổng iSCSI. 10 GbE là tốc độ lý tưởng dành cho môi trường lưu trữ của doanh nghiệp, do đặc tính của nó là một đường pipe rộng và có rất ít cuộc gọi cho nhiều NIC. Thay vào đó, việc thêm các adapter chuẩn máy chủ sẽ hỗ trợ tăng tốc các gói iSCSI đi qua mạng 10 GbE.
• Bridging Data Center: Bridging được định nghĩa là một bộ các phần mở rộng Ethernet giúp bảo vệ lưu lượng SCSI khỏi việc mất mát dữ liệu. Từ đó cho phép iSCSI cạnh tranh với Fibre Channel, chuẩn có độ tin cậy cao và đã từng chạy qua các kết nối không mất dữ liệu trong nhiều năm.

iSCSI vs Fibre Channel

iSCSI và Fibre Channel là hai giao thức truyền dẫn dữ liệu phổ biến hàng đầu dành cho lưu trữ từ xa. Nhìn chung, Fibre Channel là một mạng lưu trữ hiệu năng cao nhưng đắt đỏ và yêu cầu kỹ năng cao đến từ quản trị hệ thống. Mặt khác, iSCSI ít đắt đỏ hơn và dễ triển khai cũng như quản lý, nhưng lại có độ trễ cao hơn.

Có những giao thức hợp nhất iSCSI và Fibre Channel nhằm đạt hiệu năng cao và chi phí hợp lý. Nổi tiếng nhất bao gồm Fibre Channel over IP (FCIP), một giao thức đường hầm để sao chép SAN-to-SAN (mạng lưu trữ đến mạng lưu trữ) bao bọc khung Fibre Channel vào luồng TCP và Fibre Channel qua Ethernet (FCoE) cho phép Fibre Channel SAN vận chuyển các gói dữ liệu qua mạng Ethernet.

iSCSI và storage target

Các target tiêu biểu bao gồm:

• SAN: Hiển thị các kho lưu trữ ảo được chia sẻ cho nhiều máy chủ khác nhau. Với Ethernet SAN, máy chủ lưu trữ sử dụng iSCSI để vận chuyển dữ liệu ở dạng block-based đến SAN.
• NAS: Hỗ trợ các iSCSI target. Chẳng hạn như, trong môi trường Windows, hệ điều hành đóng vai trò là initiator và chia sẻ iSCSI trên NAS sẽ được hiển thị dưới dạng ổ đĩa cục bộ.
• Tape: Phần lớn các nhà cung cấp tape hỗ trợ iSCSI trên các ổ tape của họ, theo đó các iSCSI initiator có thể sử dụng ổ tape làm storage target.
• LUN (Logical Unit Number): Là giá trị được sử dụng để xác định một tập các thiết bị lưu trữ vật lý hoặc ảo hóa. Bộ khởi tạo iSCSI sẽ ánh xạ tới các LUN ISCSI cụ thể làm target của nó. Khi đã nhận được gói mạng SCSI, các LUN sẽ được phục vụ bởi target dưới dạng lưu trữ sẵn có.

Lợi ích của ISCSI so với Fibre Channel

• Chi phí rẻ hơn: Fibre Channel có thể có giá đến 1200 dollar cho mỗi port, do yêu cầu hạ tầng phần cứng đặc biệt trong khi iSCSI có thể tận dụng hạ tầng Internet LAN/WAN sẵn có, giúp giảm chi phí một cách đáng kể.
• Khoảng cách xa hơn, hỗ trợ mọi thiết bị: iSCSI được biết đến là không có giới hạn về khoảng cách kết nối mạng cũng như loại thiết bị, từ desktop đến các máy chủ. Fibre Channel thì bị giới hạn khá nhiều bởi cơ sở hạ tầng.
• Khả năng kết nối nhiều host đến một thiết bị lưu trữ đích: Tỉ lệ host/storage target của Fibre Channel từ 4:1 đến 20:1 trong khi iSCSI hỗ trợ số lượng host lớn hơn nhiều.
• iSCSI cấu hình dễ hơn do đó không yêu cầu cao về trình độ của đội ngũ IT.

Các lựa chọn thay thế Ethernet cho iSCSI

Mặc dù là lựa chọn phổ biến nhất để truyền dữ liệu qua mạng Internet IP, ISCSI không phải duy nhất và có một vài lựa chọn thay thế với tính năng tương đồng:

• Fibre Channel over IP (FCIP): Di chuyển dữ liệu giữa các SAN qua mạng IP giúp chia sẻ truy cập chung đến thiết bị lưu trữ trong doanh nghiệp phân tán về vị trí địa lý.
• Internet Fibre Channel Protocol (iFCP): Giải pháp hợp nhất SCSI với mạng Fibre Channel vào Internet.
• Fibre Channel over Ethernet (FCoE): Một tiêu chuẩn được công nhận từ năm 2009 với sự thúc đẩy của Cisco System Inc. và các nhà cung cấp hệ thống mạng, với mục tiêu giảm sự phụ thuộc vào Fibre Channel.
• ATA over Ethernet (AoE): Một giao thức SAN đã được thương mại hóa, chuyển đổi trực tiếp giao thức mã hóa ATA để hoạt động được với mạng Ethernet.

Bảo mật trong iSCSI

Làm việc với hạ tầng mạng IP cơ bản gây ra những nguy cơ bảo mật hiện hữu với iSCSI. Nguy cơ lớn nhất là dữ liệu truyền qua mạng có thể bị nghe lén bởi hacker, do đó cần có những phương thức để bảo vệ iSCSI SAN. 

Đầu tiên là sử dụng danh sách kiểm soát truy cập (ACL – Access Control List) để giới hạn quyền truy cập của từng người dùng với những dữ liệu nhất định. Bên cạnh đó là các giao thức xác minh như Challenge-Handshake để mã hóa và bảo mật dữ liệu nói chung và dữ liệu đang trong quá trình truyền dẫn nói riêng.

Những mặt hạn chế của iSCSI

Việc triển khai iSCSI không quá khó, đặc biệt đối với những giao thức được xác định bằng phần mềm. Tuy nhiên, việc cấu hình initiator và iSCSI target cần thêm một số bước, và kết nối 10 GbE là cần thiết để đạt hiệu suất cao. Để đạt lưu lượng truyền dẫn cao thì cần chạy ISCSI traffic trên một mạng LAN ảo hoặc mạng vật lý riêng biệt.

Bảo mật cũng là một mối quan tâm hàng đầu, do iSCSI dễ bị “sniffing” các packet. Packet sniffing là loại cyber attack, cụ thể phần mềm độc hại hoặc thiết bị của bên tấn công sẽ nắm quyền kiểm soát các gói di chuyển trên mạng dễ bị tấn công. Quản trị viên khi đó có thể thực hiện các biện pháp bảo mật nhằm ngăn chặn việc này. Tuy vậy, nhiều quản trị viên tại các doanh nghiệp nhỏ lẻ thường sẽ bỏ qua các biện pháp bảo mật cần thiết để có thể đơn giản hóa việc quản lý iSCSI.

Các biện pháp bảo vệ chủ yếu cho kiểu tấn công này là Challenge-Handshake Authentication Protocol (CHAP) và Internet Protocol Security (IPsec), và chúng đều dành riêng cho ISCSI. CHAP hoạt động bằng cách chấp nhận một liên kết giữa người khởi xướng và mục tiêu. Trước khi truyền dữ liệu, CHAP sẽ gửi thông báo thách thức đến người yêu cầu kết nối. Người yêu cầu khi đó sẽ gửi lại một giá trị xuất phát từ hàm băm để máy chủ thực hiện xác thực. Nếu các giá trị băm khớp với nhau, liên kết sẽ được kích hoạt, còn ngược lại thì CHAP sẽ chấm dứt kết nối.

Đối với các gói iSCSI trên mạng Internet, giao thức IPsec sẽ xác thực và mã hóa các gói dữ liệu được gửi thông qua mạng Internet. Mục đích là để xác thực các tác nhân với nhau (mạng với máy chủ, máy chủ đến máy chủ hoặc mạng nối tiếp). Bên cạnh đó, giao thức cũng thực hiện đàm phán mã hóa và giải mã trong phiên, hỗ trợ xác thực ngang hàng nguồn gốc dữ liệu, cấp độ mạng cũng như xác thực tính toàn vẹn dữ liệu. Vì IPsec khá phức tạp để triển khai và định cấu hình, nên được sử dụng chủ yếu trong VPN để vận chuyển dữ liệu riêng tư.

Ngoài ra, các biện pháp bảo mật iSCSI khác bao gồm việc sử dụng danh sách kiểm soát truy cập (ACL) để kiểm soát quyền truy cập dữ liệu của người dùng cũng như bảng điều khiển quản lý an toàn.

Hi vọng bài viết này đã giúp bạn có thêm những thông tin hữu ích về giao thức truyền dẫn iSCSI và các đặc tính, ứng dụng của nó trong hệ thống lưu trữ dữ liệu từ xa. Hãy luôn theo dõi Bizfly Cloud để cập nhật những công nghệ mới nhất cùng chúng tôi.