Las redes IP que utiliza la tecnología iSCSI para conectar el host ESXi a destinos remotos no protegen los datos que transportan. Como resultado, debe garantizar la seguridad de la conexión. Uno de los protocolos que iSCSI implementa es el protocolo de autenticación por desafío mutuo (Challenge Handshake Authentication Protocol, CHAP). El protocolo CHAP verifica la legitimidad de los iniciadores ESXi que acceden a destinos en la red.
CHAP utiliza un algoritmo de enlace triple para comprobar la identidad del host y, si corresponde, del destino iSCSI cuando el host y el destino establecen una conexión. La comprobación se basa en un valor privado predefinido, o un secreto CHAP, que comparten el iniciador y el destino.
ESXi admite la autenticación de CHAP en el nivel del adaptador. En este caso, todos los destinos reciben el mismo nombre y el mismo secreto CHAP por parte del iniciador iSCSI. En el caso de los adaptadores de iSCSI de software y de hardware dependiente, así como los adaptadores de iSER, ESXi también admite la autenticación de CHAP por destino, que permite configurar distintas credenciales para cada destino para lograr un nivel de mayor de seguridad.
Selección del método de autenticación de CHAP
ESXi admite CHAP unidireccional para todos los tipos de iniciadores iSCSI/iSER, y CHAP bidireccional para iSCSI de software y hardware dependiente, así como para iSER.
Antes de configurar CHAP, compruebe si CHAP está activado en el sistema de almacenamiento iSCSI. Además, averigüe cuál es el método de autenticación de CHAP compatible con el sistema. Si CHAP está activado, configúrelo para los iniciadores y asegúrese de que las credenciales de autenticación de CHAP coincidan con las credenciales en el almacenamiento iSCSI.
- CHAP unidireccional
- En la autenticación de CHAP unidireccional, el destino autentica el iniciador, pero el iniciador no autentica el destino.
- CHAP bidireccional
- La autenticación de CHAP bidireccional aporta un nivel adicional de seguridad. Con este método, el iniciador puede autenticar también el destino. VMware admite este método para adaptadores de iSCSI de software y de hardware dependiente, así como para adaptadores de iSER.
Para adaptadores de iSCSI de software y de hardware dependiente, así como para adaptadores de iSER, se puede establecer CHAP unidireccional y CHAP bidireccional para cada adaptador o en el nivel del destino. iSCSI de hardware independiente admite CHAP solo en el nivel del adaptador.
Cuando establezca los parámetros de CHAP, especifique un nivel de seguridad para CHAP.
| Nivel de seguridad de CHAP | Descripción | Adaptadores de almacenamiento compatibles |
|---|---|---|
| Ninguna | El host no utiliza autenticación de CHAP. Si la autenticación está activada, utilice esta opción para desactivarla. | iSCSI de hardware independiente iSCSI de software iSCSI de hardware dependiente iSER |
| Usar CHAP unidireccional, si el destino lo requiere | El host prefiere una conexión que no sea CHAP, pero se puede utilizar una conexión CHAP si el destino lo requiere. | iSCSI de software iSCSI de hardware dependiente iSER |
| Usar CHAP unidireccional, a menos que el destino lo prohíba | El host prefiere CHAP, pero se pueden utilizar conexiones que no sean CHAP si el destino no admite CHAP. | iSCSI de hardware independiente iSCSI de software iSCSI de hardware dependiente iSER |
| Usar CHAP unidireccional | El host requiere una autenticación de CHAP correcta. La conexión genera un error si falla la negociación de CHAP. | iSCSI de hardware independiente iSCSI de software iSCSI de hardware dependiente iSER |
| Utilizar CHAP bidireccional | Tanto el host como el destino admiten CHAP bidireccional. | iSCSI de software iSCSI de hardware dependiente iSER |
Configurar CHAP para un adaptador de almacenamiento de iSCSI o iSER
Cuando se configura el nombre y el secreto del CHAP en el nivel del adaptador de iSCSI/iSER, todos los destinos reciben los mismos parámetros del adaptador. De forma predeterminada, todas las direcciones de detección o destinos estáticos heredan los parámetros del CHAP configurados en el nivel del adaptador.
Requisitos previos
- Antes de configurar los parámetros de CHAP para iSCSI de hardware dependiente o de software, determine si desea configurar CHAP unidireccional o bidireccional. Los adaptadores iSCSI de hardware independiente no admiten CHAP bidireccional.
- Compruebe los parámetros de CHAP configurados en el almacenamiento. Los parámetros configurados deben coincidir con los del almacenamiento.
- Privilegio necesario:
Procedimiento
Resultados
Si cambia los parámetros de CHAP, se utilizarán para nuevas sesiones de iSCSI. En las sesiones existentes, la nueva configuración no se utiliza a menos que cierre la sesión y vuelva a iniciarla.
Qué hacer a continuación
Configurar CHAP para un destino
Si utiliza adaptadores de iSCSI de hardware dependiente y de software, o un adaptador de almacenamiento de iSER, puede configurar diferentes credenciales CHAP para cada dirección de detección o destino estático.
Requisitos previos
- Antes de configurar los parámetros de CHAP, determine si desea configurar CHAP unidireccional o bidireccional.
- Compruebe los parámetros de CHAP configurados en el almacenamiento. Los parámetros configurados deben coincidir con los del almacenamiento.
- Privilegio necesario:
Procedimiento
Resultados
Si cambia los parámetros de CHAP, se utilizarán para nuevas sesiones de iSCSI. Para las sesiones actuales, no se utilizará la configuración nueva hasta que cierre la sesión y vuelva a iniciarla.
