Ao planejar a configuração do iSCSI, tome medidas para melhorar a segurança geral da SAN iSCSI. Sua configuração de iSCSI é tão segura quanto sua rede IP; portanto, ao aplicar bons padrões de segurança ao configurar sua rede, você ajuda a proteger seu armazenamento de iSCSI.
A seguir estão algumas sugestões específicas para a aplicação de bons padrões de segurança.
Proteger dados transmitidos
Um dos principais riscos de segurança em SANs iSCSI é que um invasor pode detectar dados de armazenamento transmitidos.
Tome medidas adicionais para evitar que invasores vejam dados iSCSI com facilidade. Nem o adaptador iSCSI de hardware nem o iniciador iSCSI ESXi criptografam os dados que eles transmitem de e para os destinos, tornando os dados mais vulneráveis a ataques de sniffing.
Permitir que suas máquinas virtuais compartilhem comutadores e VLANs padrão com sua configuração de iSCSI potencialmente expõe o tráfego de iSCSI ao uso indevido por um invasor de máquina virtual. Para ajudar a garantir que os invasores não possam ouvir as transmissões do iSCSI, certifique-se de que nenhuma das suas máquinas virtuais possa ver a rede de armazenamento do iSCSI.
Se você usar um adaptador iSCSI de hardware, poderá fazer isso certificando-se de que o adaptador iSCSI e o adaptador de rede física ESXi não estejam conectados inadvertidamente fora do host em virtude do compartilhamento de um comutador ou de algum outro meio. Se você configurar o iSCSI diretamente por meio do host ESXi, poderá fazer isso configurando o armazenamento iSCSI por meio de um comutador padrão diferente daquele usado por suas máquinas virtuais.
Além de proteger a SAN iSCSI fornecendo a ela um switch padrão dedicado, você pode configurar a SAN iSCSI em sua própria VLAN para melhorar o desempenho e a segurança. Colocar a configuração do iSCSI em uma VLAN separada garante que nenhum dispositivo, exceto o adaptador iSCSI, tenha visibilidade das transmissões na SAN iSCSI. Além disso, o congestionamento de rede de outras origens não pode interferir no tráfego iSCSI.
Proteger portas iSCSI
Quando você executa dispositivos iSCSI, o ESXi não abre nenhuma porta que detecte conexões de rede. Essa medida reduz as chances de um invasor invadir o ESXi por meio de portas sobressalentes e obter controle sobre o host. Portanto, a execução do iSCSI não apresenta riscos de segurança adicionais no final ESXi da conexão.
Qualquer dispositivo de destino iSCSI executado deve ter uma ou mais portas TCP abertas para escutar conexões iSCSI. Se existir alguma vulnerabilidade de segurança no software do dispositivo iSCSI, seus dados poderão estar em risco, não por culpa de ESXi. Para reduzir esse risco, instale todos os patches de segurança fornecidos pelo fabricante do equipamento de armazenamento e limite os dispositivos conectados à rede iSCSI.
