Configuración de la autenticación en su red de almacenamiento basada en iSCSI

La configuración de la autentificación para sus dispositivos iSCSI es opcional.

En un entorno seguro, no es necesaria la autenticación, porque sólo los iniciadores de confianza pueden acceder a los destinos.

En un entorno menos seguro, el destino no puede determinar si una solicitud de conexión es realmente de un host determinado. En ese caso, el destino puede autenticar un iniciador mediante el protocolo de autenticación por desafío mutuo (CHAP).

La autenticación CHAP utiliza la noción de un desafío y una respuesta, lo que significa que el destino desafía al iniciador para que demuestre su identidad. Para que el método de desafío/respuesta funcione, el destino debe conocer la clave secreta del iniciador, y el iniciador se debe configurar para responder a un desafío. Consulte la documentación del proveedor de la matriz para obtener instrucciones sobre la configuración de la clave secreta en la matriz.

iSCSI admite la autenticación unidireccional y bidireccional, como se indica a continuación:

• Autenticación unidireccional: permite que el destino autentique la identidad del iniciador. La autenticación unidireccional se lleva a cabo en nombre del destino para autenticar el iniciador.

• Autenticación bidireccional: agrega un segundo nivel de seguridad permitiendo al iniciador que autentique la identidad del destino. La autenticación bidireccional se controla desde el iniciador, que controla si se realiza la autenticación bidireccional. La única configuración necesaria para el destino es que el usuario de CHAP y el secreto de CHAP deben estar definidos correctamente.

Cómo configurar la autenticación CHAP para su iniciador iSCSI

En este procedimiento, se asume que ha iniciado sesión en el sistema local donde desea acceder de forma segura al dispositivo de destino iSCSI configurado.

• La longitud de la clave secreta CHAP para el destino iSCSI de COMSTAR debe tener un mínimo de 12 caracteres y un máximo de 255 caracteres. Algunos iniciadores admiten solamente una longitud máxima más corta para la clave secreta.

• Cada nodo identificándose mediante CHAP debe tener un nombre de usuario y una contraseña. En el entorno de Oracle Solaris 11, el nombre de usuario de CHAP se establece en el nombre de nodo de destino o iniciador (es decir, el nombre iqn) de manera predeterminada. El nombre de usuario de CHAP se puede establecer en cualquier longitud del texto que sea inferior a 512 bytes. El límite de longitud de 512 bytes es una limitación de Oracle Solaris 11. Sin embargo, si no establece el nombre de usuario de CHAP, se establece en el nombre de nodo tras la inicialización.

Puede simplificar la gestión de claves secretas de CHAP mediante un servidor RADIUS de terceros, que actúa como un servicio de autenticación centralizado. Al utilizar RADIUS, el servidor RADIUS almacena el conjunto de nombres de nodo y las claves secretas de CHAP coincidentes. El sistema que realiza la autenticación reenvía el nombre de nodo del solicitante y el secreto suministrado del solicitante al servidor RADIUS. El servidor RADIUS confirma si la clave secreta es la clave adecuada para autenticar el nombre de nodo determinado. Tanto iSCSI como iSER admiten el uso de un servidor RADIUS.

Para obtener más información sobre el uso de un servidor RADIUS de terceros, consulte Uso de un servidor RADIUS de terceros para simplificar la gestión de CHAP en la configuración de iSCSI.

1. Conviértase en un administrador.

   Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad.

2. Determine si desea configurar un CHAP unidireccional o bidireccional.

   • La autenticación unidireccional, que es el método predeterminado, permite que el destino valide el iniciador. Complete los pasos 3 a 5 solamente.

   • La autenticación bidireccional agrega un segundo nivel de seguridad permitiendo al iniciador que autentique el destino. Complete los pasos 3 a 9.

3. CHAP unidireccional: defina la clave secreta en el iniciador.

   El siguiente comando inicia un diálogo para definir la clave secreta de CHAP:

   initiator# iscsiadm modify initiator-node --CHAP-secret
   Enter CHAP secret: ************
   Re-enter secret: ************

4. (Opcional) CHAP unidireccional: defina el nombre de usuario de CHAP en el iniciador.

   De manera predeterminada, el nombre de usuario de CHAP del iniciador se establece en el nombre de nodo del iniciador.

   Utilice el siguiente comando para utilizar su propio nombre de usuario de CHAP del iniciador:

   initiator# iscsiadm modify initiator-node --CHAP-name new-CHAP-name

5. CHAP unidireccional: habilite la autenticación CHAP en el iniciador.

   initiator# iscsiadm modify initiator-node --authentication CHAP

   CHAP requiere que el nodo de iniciador tenga un nombre de usuario y una contraseña. El nombre de usuario es utilizado, normalmente, por el destino para buscar la clave secreta del nombre de usuario determinado.

6. Seleccione una de las siguientes opciones para habilitar o deshabilitar el CHAP bidireccional.

   • Habilite el CHAP bidireccional para las conexiones con el destino.

     initiator# iscsiadm modify target-param -B enable target-iqn

   • Deshabilite el CHAP bidireccional.

     initiator# iscsiadm modify target-param -B disable target-iqn

7. CHAP bidireccional: defina el método de autenticación en CHAP para el destino.

   initiator# iscsiadm modify target-param --authentication CHAP target-iqn

8. CHAP bidireccional: defina la clave secreta del dispositivo de destino que identifica el destino.

   El siguiente comando inicia un diálogo para definir la clave secreta de CHAP:

   initiator# iscsiadm modify target-param --CHAP-secret target-iqn

9. CHAP bidireccional: si el destino utiliza un nombre de usuario de CHAP alternativo, establezca el nombre de CHAP que identifica el destino.

   De manera predeterminada, el nombre de CHAP del destino se establece en el nombre de destino.

   Puede utilizar el siguiente comando para cambiar el nombre de CHAP del destino:

   initiator# iscsiadm modify target-param --CHAP-name target-CHAP-name

Cómo configurar la autenticación CHAP para su destino iSCSI

En este procedimiento, se asume que ha iniciado sesión en el sistema local que contiene los destinos iSCSI.

1. Conviértase en un administrador.
2. Determine si desea configurar el CHAP unidireccional o bidireccional.

   • La autenticación unidireccional es el método predeterminado. Complete los pasos 3 a 5 solamente.

   • Para autenticación bidireccional. Complete los pasos 3 a 7.

3. CHAP unidireccional/bidireccional: configure el destino para que requiera que los iniciadores se identifiquen usando CHAP.

   target# itadm modify-target -a chap target-iqn

4. CHAP unidireccional/bidireccional: cree un contexto de iniciador que describa el iniciador.

   Cree el contexto de iniciador con el nombre de nodo completo del iniciador y con la clave secreta de CHAP del iniciador.

   target# itadm create-initiator -s initiator-iqn
   Enter CHAP secret: ************
   Re-enter secret: ************

5. CHAP unidireccional/bidireccional: si el iniciador utiliza un nombre de CHAP alternativo, configure el contexto de iniciador con el nombre alternativo.

   target# itadm modify-initiator -u initiator-CHAP-name initiator-iqn

6. CHAP bidireccional: defina la clave secreta del dispositivo de destino que identifica el destino.

   target# itadm modify-target -s target-iqn
   Enter CHAP secret: ************
   Re-enter secret: ************

7. (Opcional) CHAP bidireccional: si el destino utiliza un nombre de usuario de CHAP alternativo que no sea el nombre de nodo de destino (iqn), modifique el destino.

   target# itadm modify-target -u target-CHAP-name target-iqn

Uso de un servidor RADIUS de terceros para simplificar la gestión de CHAP en la configuración de iSCSI

Puede utilizar un servidor RADIUS de terceros que actúa como un servicio de autenticación centralizado para simplificar la gestión de claves secretas de CHAP. Con este método, la práctica recomendada es utilizar el nombre de CHAP predeterminado para cada nodo de iniciador. En el caso común cuando todos iniciadores están utilizando el nombre de CHAP predeterminado, no tiene que crear contextos de iniciador en el destino.

Cómo configurar un servidor RADIUS para el destino iSCSI

En este procedimiento, se asume que ha iniciado sesión en el sistema local donde desea acceder de forma segura al dispositivo de destino iSCSI configurado.

1. Conviértase en un administrador.
2. Configure el nodo de iniciador con la dirección IP y el puerto del servidor RADIUS.

   El puerto predeterminado es 1812. Esta configuración se completa una vez para todos los destinos iSCSI en el sistema de destino.

   initiator# itadm modify-defaults -r RADIUS-server-IP-address
   Enter RADIUS secret: ************
   Re-enter secret: ************

3. Configure la clave secreta compartida que se utiliza para la comunicación entre el sistema de destino y el servidor RADIUS.

   initiator# itadm modify-defaults -d
   Enter RADIUS secret: ************
   Re-enter secret: ************

4. Configure el sistema de destino para que requiera la autenticación RADIUS.

   Esta configuración se puede realizar para un destino individual o como un valor predeterminado para todos los destinos.

   initiator# itadm modify-target -a radius target-iqn

5. Configure el servidor RADIUS con los siguientes componentes:

   • La identidad del nodo de destino (por ejemplo, su dirección IP)

   • La clave secreta compartida que el nodo de destino utiliza para comunicarse con el servidor RADIUS

   • El nombre de CHAP del iniciador (por ejemplo, su nombre iqn) y la clave secreta para cada iniciador que se debe autenticar

Cómo configurar un servidor RADIUS para el iniciador iSCSI

Puede utilizar un servidor RADIUS de terceros que actúa como un servicio de autenticación centralizado para simplificar la gestión de claves secretas de CHAP. Esta configuración sólo es útil cuando el iniciador solicita la autenticación CHAP bidireccional. Debe especificar la clave secreta de CHAP del iniciador, pero no es necesario que especifique la clave secreta de CHAP para cada destino en un iniciador al utilizar la autenticación bidireccional con un servidor RADIUS. El RADIUS se puede configurar de manera independiente en el iniciador o en el destino. El iniciador y el destino no tienen que utilizar RADIUS.

1. Conviértase en un administrador.
2. Configure el nodo de iniciador con la dirección IP y el puerto del servidor RADIUS.

   El puerto predeterminado es 1812.

   # iscsiadm modify initiator-node --radius-server ip-address:1812

3. Configure el nodo de iniciador con la clave secreta compartida del servidor RADIUS.

   El servidor RADIUS se debe configurar con un secreto compartido para que iSCSI interaccione con el servidor.

   # iscsiadm modify initiator-node --radius-shared-secret
   Enter secret:
   Re-enter secret

4. Habilite el uso del servidor RADIUS.

   # iscsiadm modify initiator-node --radius-access enable

5. Configure los demás aspectos de la autenticación CHAP bidireccional.

   # iscsiadm modify initiator-node --authentication CHAP
   # iscsiadm modify target-param --bi-directional-authentication enable target-iqn
   # iscsiadm modify target-param --authentication CHAP target-iqn

6. Configure el servidor RADIUS con los siguientes componentes:

   • La identidad de este nodo (por ejemplo, su dirección IP)

   • La clave secreta compartida que este nodo utiliza para comunicarse con el servidor RADIUS

   • El·nombre·de·CHAP·del destino (por ejemplo, su nombre iqn) y la clave secreta para cada destino que se debe autenticar

Mensajes de error de servidor RADIUS e iSCSI de Oracle Solaris

En esta sección, se describen los mensajes de error que están relacionados con una configuración de servidor RADIUS e iSCSI de Oracle Solaris. También se proporcionan posibles soluciones para la recuperación.

empty RADIUS shared secret

Causa: El servidor RADIUS está habilitado en el iniciador, pero la calve secreta compartida de RADIUS no está definida.

Solución: Configure el iniciador con la clave secreta compartida de RADIUS. Para obtener más información, consulte Cómo configurar un servidor RADIUS para el destino iSCSI.

WARNING: RADIUS packet authentication failed

Causa: El iniciador no pudo autenticar el paquete de datos RADIUS. Este error puede ocurrir si la clave secreta compartida que se configura en el nodo de iniciador es diferente de la clave secreta compartida en el servidor RADIUS.

Solución: Vuelva a configurar el iniciador con el secreto compartido RADIUS correcto. Para obtener más información, consulte Cómo configurar un servidor RADIUS para el destino iSCSI.