Les réseaux IP que la technologie iSCSI utilise pour connecter votre hôte ESXi à des cibles distantes ne protègent pas les données qu'ils transportent. De ce fait, vous devez assurer la sécurité de la connexion. L'un des protocoles mis en œuvre par iSCSI est le protocole CHAP (Challenge Handshake Authentication Protocol). Le protocole CHAP vérifie la légitimité des initiateurs ESXi qui accèdent aux cibles sur le réseau.
Le protocole CHAP applique un algorithme de négociation à trois voies pour vérifier l'identité de votre hôte et, le cas échéant, de la cible iSCSI quand l'hôte et la cible établissent une connexion. La vérification repose sur une valeur privée prédéfinie, dite secret CHAP, que l'initiateur et la cible partagent.
ESXi prend en charge l'authentification CHAP au niveau de l'adaptateur. Dans ce cas, toutes les cibles reçoivent les mêmes nom et secret CHAP de la part de l'initiateur iSCSI. Pour les adaptateurs iSCSI logiciels et dépendant du matériel, et pour les adaptateurs iSER, ESXi prend également en charge l'authentification CHAP en fonction de la cible, ce qui vous permet de configurer différentes informations d'identification pour chaque cible afin de renforcer la sécurité.
Sélection de la méthode d'authentification CHAP
ESXi prend en charge le protocole CHAP unidirectionnel pour tous les types d'initiateurs iSCSI et iSER, ainsi que le protocole CHAP bidirectionnel pour les logiciels et le matériel dépendant iSCSI, et pour iSER.
Avant de configurer CHAP, vérifiez si CHAP est activé sur le système de stockage iSCSI. Obtenez également des informations sur la méthode d'authentification CHAP que le système prend en charge. Si le protocole CHAP est activé, configurez-le pour vos initiateurs, en veillant à ce que les informations d'identification d'authentification CHAP correspondent à celles du stockage iSCSI.
- CHAP unidirectionnel
- En authentification CHAP unidirectionnelle, la cible authentifie l'initiateur, mais l'initiateur n'authentifie pas la cible.
- CHAP bidirectionnel
- L'authentification CHAP bidirectionnelle ajoute un niveau supplémentaire de sécurité. Avec cette méthode, l'initiateur peut également authentifier la cible. VMware prend en charge cette méthode pour les adaptateurs iSCSI logiciels et dépendants du matériel, et pour les adaptateurs iSER.
Pour les adaptateurs iSCSI logiciels et dépendant du matériel, ainsi que pour les adaptateurs iSER, vous pouvez définir le CHAP unidirectionnel et le CHAP bidirectionnel pour chaque adaptateur ou au niveau cible. Le matériel indépendant iSCSI prend uniquement CHAP en charge au niveau de l'adaptateur.
Quand vous définissez les paramètres CHAP, indiquez un niveau de sécurité pour CHAP.
| Niveau de sécurité CHAP | Description | Adaptateurs de stockage pris en charge |
|---|---|---|
| Aucun | L'hôte n'applique pas l'authentification CHAP. Cette authentification est activée. Utilisez cette option pour la désactiver. | Matériel iSCSI indépendant iSCSI logiciel Matériel iSCSI dépendant iSER |
| Utiliser le protocole CHAP unidirectionnel si la cible l'impose | L'hôte préfère une connexion non CHAP, mais peut utiliser une connexion CHAP si la cible l'exige. | iSCSI logiciel Matériel iSCSI dépendant iSER |
| Utiliser le protocole CHAP unidirectionnel sauf si la cible l'interdit | L'hôte préfère CHAP, mais peut utiliser des connexions non CHAP si la cible ne gère pas CHAP. | Matériel iSCSI indépendant iSCSI logiciel Matériel iSCSI dépendant iSER |
| Utiliser le protocole CHAP unidirectionnel | L'hôte exige une authentification CHAP réussie. La connexion échoue si la négociation CHAP échoue. | Matériel iSCSI indépendant iSCSI logiciel Matériel iSCSI dépendant iSER |
| Utiliser le CHAP bidirectionnel | L'hôte et la cible prennent en charge le CHAP bidirectionnel. | iSCSI logiciel Matériel iSCSI dépendant iSER |
Configurer CHAP pour un adaptateur de stockage iSCSI ou iSER
Lorsque vous configurez le nom et le secret du protocole CHAP au niveau de l'adaptateur iSCSI/iSER, toutes les cibles reçoivent les mêmes paramètres de l'adaptateur. Par défaut, toutes les adresses de découverte ou cibles statiques héritent des paramètres CHAP que vous configurez au niveau de l'adaptateur.
Conditions préalables
- Avant de configurer des paramètres CHAP pour l'iSCSI logiciel ou matériel dépendant, déterminez s'il convient de configurer un CHAP unidirectionnel ou bidirectionnel. Les adaptateurs iSCSI matériels indépendants ne prennent pas en charge les CHAP bidirectionnels.
- Vérifier les paramètres CHAP configurés côté stockage. Les paramètres que vous configurez doivent correspondre à ceux présents côté stockage.
- Privilège nécessaire :
Procédure
Résultats
Si vous modifiez les paramètres CHAP, ils sont utilisés pour de nouvelles sessions iSCSI. Pour les sessions existantes, les nouveaux paramètres ne sont pas utilisés tant que vous ne vous déconnectez pas et que vous ne vous reconnectez pas.
Que faire ensuite
Configurer CHAP pour une cible
Si vous utilisez des adaptateurs iSCSI logiciels et dépendant du matériel, ou un adaptateur de stockage iSER, vous pouvez configurer des données d'identification CHAP différentes pour chaque adresse de découverte ou cible statique.
Conditions préalables
- Avant de configurer les paramètres CHAP, déterminez s'il convient de configurer CHAP unidirectionnel ou bidirectionnel.
- Vérifier les paramètres CHAP configurés côté stockage. Les paramètres que vous configurez doivent correspondre à ceux présents côté stockage.
- Privilège nécessaire :
Procédure
Résultats
Si vous modifiez les paramètres CHAP, ils sont utilisés pour de nouvelles sessions iSCSI. Pour les sessions existantes, les nouveaux paramètres ne sont appliqués qu'une fois que vous vous êtes déconnecté puis reconnecté.
