Маскирование LUN
Определение
Маскирование LUN — правило системы хранения, которое определяет, какие инициаторы или их группы могут обращаться к конкретному логическому устройству.
Также ищут: LUN masking · LUN presentation control · LUN access masking
Зачем это знать
Зонирование может разрешить серверу связь с портом массива, но доступ к чужому LUN всё равно должен быть закрыт на стороне хранилища. Ошибка в этом правиле открывает том не тому узлу.
Карта понятия
Сравнить
Что подтверждено
NIST рекомендует с помощью зонирования и маскирования ограничивать доступ серверов к блочным устройствам SAN минимально необходимым набором.
Граница применимости: Рекомендация AC-SS-R24 документа NIST SP 800-209; конкретная реализация правил зависит от фабрики и системы хранения.
Маскирование не заменяет зонирование: безопасный тракт одновременно ограничивает связь через фабрику и выдачу LUN выбранным инициаторам.
Граница применимости: Многоуровневая модель доступа SAN; конкретная система может называть эти правила назначениями, группами узлов или группами инициаторов.
Что проверить
- Проверьте список разрешённых инициаторов для каждого LUN.
- Сопоставьте маскирование с активным набором зон.
- Отдельно проверьте снимки, клоны и реплики, если они выдаются серверам как LUN.
Первоисточники
- Security Guidelines for Storage Infrastructure
Разделяет backup, replication, immutability, continuous data protection и point-in-time copies; описывает synchronous и asynchronous replication.
- Learn about FC and FCoE zoning with ONTAP systems
Описывает FC zone как grouping ports, рекомендует WWPN zoning и связывает membership с возможностью ports общаться.
Утверждения: 02
- Learn about ONTAP SAN igroups
Показывает igroup как таблицу FC WWPN или iSCSI node names и LUN mapping как отдельный контроль доступа initiators к LUN.
Утверждения: 02