Informationen zur CHAP-Authentifizierung für iSCSI-Initiatoren in ONTAP
Änderungen vorschlagen
PDFs
Das Challenge Handshake Authentication Protocol (CHAP) ermöglicht die authentifizierte Kommunikation zwischen iSCSI-Initiatoren und Zielen. Bei Verwendung der CHAP-Authentifizierung werden CHAP-Benutzernamen und -Passwörter sowohl auf dem Initiator als auch auf dem Speichersystem definiert.
In der Initialisierungsphase einer iSCSI-Sitzung sendet der Initiator eine Anmeldeanfrage an das Speichersystem, um die Sitzung zu beginnen. Die Anmeldeanfrage enthält den CHAP-Benutzernamen des Initiators und den CHAP-Algorithmus. Das Speichersystem antwortet mit einer CHAP-Herausforderung. Der Initiator gibt eine CHAP-Antwort an. Das Speichersystem überprüft die Antwort und authentifiziert den Initiator. Das CHAP-Passwort wird zur Berechnung der Antwort verwendet.
Authentifizierung |
Ausgehend |
Eingehend |
Übereinstimmung? |
Unidirektional |
Benutzername und Passwort des Host-Initiators |
Benutzername und Passwort für Storage |
Muss übereinstimmen |
Bidirektional |
Benutzername und Passwort des Host-Initiators |
Benutzername und Passwort für Storage |
Muss übereinstimmen |
Bidirektional |
Benutzername und Passwort für Storage |
Benutzername und Passwort des Host-Initiators |
Muss übereinstimmen |
Der Benutzername und das Passwort für den ausgehenden Host-Initiator müssen sich von dem Benutzernamen und dem Passwort für das Speichersystem unterscheiden.
Richtlinien für die Verwendung der CHAP-Authentifizierung
Diese Richtlinien sind bei der Verwendung der CHAP-Authentifizierung zu beachten.
-
Wenn auf dem Speichersystem ein Benutzername und ein Passwort für eingehende Verbindungen definiert werden, müssen derselbe Benutzername und dasselbe Passwort für die ausgehenden CHAP-Einstellungen auf dem Initiator verwendet werden. Wenn auf dem Speichersystem zusätzlich ein Benutzername und ein Passwort für ausgehende Verbindungen definiert werden, um die bidirektionale Authentifizierung zu ermöglichen, müssen derselbe Benutzername und dasselbe Passwort für die eingehenden CHAP-Einstellungen auf dem Initiator verwendet werden.
-
Sie können nicht denselben Benutzernamen und dasselbe Passwort für die Einstellungen für eingehende und ausgehende Verbindungen im Speichersystem verwenden.
-
CHAP-Benutzernamen können zwischen 1 und 128 Byte lang sein.
Das System lässt keine leeren Benutzernamen zu.
-
CHAP-Passwörter (Geheimnisse) können 1 bis 512 Byte lang sein.
Passwörter können Hexadezimalwerte oder Zeichenketten sein. Bei Hexadezimalwerten sollte der Wert mit dem Präfix “0x” oder “0X” eingegeben werden.
Das System lässt kein leeres Passwort zu.
|
ONTAP erlaubt die Verwendung von Sonderzeichen, nicht-englischen Buchstaben, Zahlen und Leerzeichen für CHAP-Passwörter (Geheimnisse). Dies unterliegt jedoch den Einschränkungen des Hosts. Wenn einer dieser Werte von Ihrem spezifischen Host nicht erlaubt ist, können sie nicht verwendet werden. Beispielsweise erfordert der Microsoft iSCSI Softwareinitiator, dass sowohl das Initiator- als auch das Ziel-CHAP-Passwort mindestens 12 Byte lang sind, wenn keine IPsec-Verschlüsselung verwendet wird. Die maximale Passwortlänge beträgt unabhängig davon, ob IPsec verwendet wird, 16 Byte. Zusätzliche Einschränkungen sind in der Dokumentation des Initiators aufgeführt. |