Ao planejar a configuração do iSCSI, tome medidas para melhorar a segurança geral do SAN iSCSI. Sua configuração de iSCSI é tão segura quanto a sua rede IP. Portanto, ao aplicar bons padrões de segurança ao configurar sua rede, você ajuda a proteger seu armazenamento iSCSI.
A seguir estão algumas sugestões específicas para impor bons padrões de segurança.
Proteger os dados transmitidos
Um risco de segurança primário em SANs iSCSI é que um invasor pode detectar dados de armazenamento transmitidos.
Tome medidas adicionais para evitar que os invasores vejam facilmente os dados iSCSI. Nem o adaptador de hardware iSCSI nem o iniciador ESXi iSCSI criptografam os dados que transmitem de e para os destinos, tornando os dados mais vulneráveis a ataques de detecção.
Permitir que suas máquinas virtuais compartilhem switches padrão e VLANs com sua configuração iSCSI expõe potencialmente o tráfego iSCSI ao uso indevido por um invasor de máquina virtual. Para ajudar a garantir que os invasores não possam escutar as transmissões iSCSI, certifique-se de que nenhuma das suas máquinas virtuais possa ver a rede de armazenamento iSCSI.
Se você usar um adaptador de hardware iSCSI, poderá fazer isso certificando-se de que o adaptador iSCSI e o ESXi adaptador de rede física não estejam inadvertidamente conectados fora do host em virtude do compartilhamento de um switch ou de algum outro meio. Se você configurar o iSCSI diretamente por meio do host ESXi, poderá fazer isso configurando o armazenamento iSCSI por meio de um switch padrão diferente do usado por suas máquinas virtuais.
Além de proteger a SAN iSCSI fornecendo um switch padrão dedicado, você pode configurar a SAN iSCSI em sua própria VLAN para melhorar o desempenho e a segurança. Colocar sua configuração iSCSI em uma VLAN separada garante que nenhum dispositivo diferente do adaptador iSCSI tenha visibilidade das transmissões dentro da SAN iSCSI. Além disso, o congestionamento de rede de outras origens não pode interferir no tráfego iSCSI.
Portas iSCSI seguras
Quando você executa dispositivos iSCSI, o ESXi não abre nenhuma porta que escuta as conexões de rede. Essa medida reduz as chances de que um invasor possa entrar em ESXi por meio de portas sobressalentes e obter controle sobre o host. Portanto, executar o iSCSI não apresenta nenhum risco de segurança adicional no ESXi final da conexão.
Qualquer dispositivo de destino iSCSI que você executar deve ter uma ou mais portas TCP abertas para escutar conexões iSCSI. Se existir alguma vulnerabilidade de segurança no software do dispositivo iSCSI, seus dados podem estar em risco sem a falha de ESXi. Para reduzir esse risco, instale todos os patches de segurança que o fabricante do seu equipamento de armazenamento fornece e limite os dispositivos conectados à rede iSCSI.
