存储区域网（简称SAN）是专用的、高性能网络，它用于在服务器与存储资源之间的传输数据。由于SAN是一个独立的专用网络，从而可以避免在客户机与服务器之间的任何传输冲突。

SAN技术允许服务器到存储设备、存储设备到存储设备或者服务器到服务器的高速连接。这个存储方案使用独立的网络基础设施，消除了任何由于现有网络连接出现故障而带来的问题。

存储区域网有如下特点：

1.高性能——SAN允许两个或两个以上的服务器同时高速访问磁盘或磁带阵列，提供增强的系统性能。

2.实用性——存储区域网具有内在的灾难容错的能力，因为数据可以镜像映射到一个在10KM（6.2英里）之外的SAN上。

3.可扩展性——如何LAN和MAN，SAN也可以使用各种各样的网络技术。这就使得系统间的备份数据操作、文件移动、数据复制很容易重新定位。

存储成为整个系统的瓶颈是指存储设备的带宽达到最大值，或IOPS达到最大值，存储设备限制了系统性能的进一步提升，甚至影响了整个系统的正常运行。由于不同业务系统对存储的性能要求不同，一般小文件(小于1MB)读写型的系统中对IO的要求较高，大文件的读写型系统对存储设备带宽的要求比较高。不同网络存储系统应用模式下系统对存储设备的要求不同，瓶颈点出现的位置和特点也不一样。

网络存储系统应用模式1：小型网站系统，应用大多集中于远程用户对WEB页面访问，网站内部为WEB服务器和数据库之间的读写，应用系统对存储的压力非常小，差不多所有类型、所有档次的存储设备都可以作为核心存储，存储设备的带宽和IOPS很难会达到极限。在这样的系统中，与存储设备连接的网络设备一般都千兆以太网交换机，交换机本身的交换能力大多都是10Gb，只有接入网部分的可用带宽较小，一般只有100Mb/s左右的接入带宽，因此接入网最有可能成为存储网络的瓶颈。

网络存储系统应用模式2：如果该网站是一个大型的网络视频系统，支持大量用户在线进行视频节目播放和下载，这种类型的网站前端接入网一般都在2Gb/s以上。此时要分析瓶颈位置，首先要比较接入网带宽和存储带宽，同时还要比较在线用户的最大IO访问量和存储设备的IOPS值。一般来讲，由于NAS设备的带宽和IOPS相对较小，因此NAS比iSCSI和FC-SAN设备更容易成为系统的瓶颈，而iSCSI和FC-SAN较难成为瓶颈。如果存储设备采用NAS，则存储系统成为瓶颈的机率大于接入网，如果存储设备采用FC-SAN，则存储系统成为瓶颈的机率小于接入网。

瓶颈还经常会出现在负责节目播放和下载功能的视频服务器处。如果视频服务器配置的数量不足，或视频服务器之间无法正常地实现自动地网络负载均衡，那么整个系统的性能压力瓶颈就会出现在视频服务器，使用整个视频网站无法给远程用户提供流畅的节目画面。

网络存储系统应用模式3：数据库系统，数据库系统的存储应用一般都表现为大量的IO访问，对带宽要求较低。如果存储设备的IOPS较小时，会降低数据库的检索和查寻速度，从来影响整个业务的效率。因此建议数据库系统采用IOPS(可按业务规模、工作站数量、每秒的读写访问次数和估算)比较大的FC-SAN设备，不建议采用IOPS相对较小的NAS或iSCSI设备。大型数据库存储最好能采用15000RPM的高速FC磁盘，这样才能将数据库服务器成为整个系统的压力瓶颈。由于SATA硬盘在随机IO读写时的性能不佳，因此存储设备不建议采用SATA磁盘，否则存储设备极有可能数据库系统的IOPS瓶颈。

网络存储系统应用模式4：非线性编辑制作系统。在非线性编辑制作网络中，所有工作站共享式地访问核心存储系统，每台工作站同时以50-200Mb/S的恒定码率访问存储设备。业务系统对带宽的压力非常，而IOPS压力较小。

存储设备的总可用带宽越大，存储设备就能支持更多数量的编辑制作工作站，网络的规模就越大，网络系统所能承担的业务就越重要。因此网络存储系统应用模式的存储一般都会选择主机端口多、特别是磁盘端口多、带宽大的FC-SAN设备。存储设备内部设计时，一般会通过增加磁盘数量、增加扩展柜数量、跨扩展柜创建RAID组、增加主机通道数量等方式最大限度地利用存储控制器前端和后端的总可用带宽，使得磁盘、磁盘通道、主机通道等的总带宽大于控制器的总带宽，这样在工作站访问时存储设备时，才能最大地发挥出控制器的带宽性能。带宽瓶颈在控制器部位才能说明是最好的存储系统设计方案。

磁盘阵列，例如XYRATEX的磁盘阵列，用来存放大量数据，保障其稳定运行

未经授权的访问是最为常见的安全威胁，它的成因可以是简单地接上了错误的电线，复杂者可以是将一台已被入侵的服务器连接到光纤网络上，未被授权的访问将导致其它形式的攻击。

随着存储区域网络(SAN)的日益普及，SAN的安全问题日益受到人们的关注。为了保证SAN的高度安全性，企业必需对SAN的常见风险和攻击有通盘的了解，然后才能对症下药，最大程度抵御这些威胁，尽可能避免系统停顿及经济损失。

每一个攻击点都有可能成为后续攻击的垫脚石。为了保证高度的安全保护，SAN系统管理员必须在入侵者和数据之间设置多个监测点。认识各个攻击点有助制定相应的抗击对策。就象一座城堡拥有多种抵御入侵者的武器，企业同样必须安装多个屏障来阻挡安全威胁。

攻击点跨越基础设施的多个层次。第1、5和6点从物理层上开始，在光缆连接到装置时发作。1到4点可能在物理连接完成后启动。如果掌握每个攻击点的具体威胁，则可以定出最有效的对策，本文将分析下列各类威胁：

未经授权的访问

欺骗 (Spoofing)

数据盗窃(Sniffing)

未经授权的访问

未经授权的访问是最为常见的安全威胁，它的成因可以是简单地接上了错误的电线，复杂者可以是将一台已被入侵的服务器连接到光纤网络上，未被授权的访问将导致其它形式的攻击，因此必须先作介绍。

欺骗 (Spoofing)

欺骗是与未经授权访问有关的一种威胁。欺骗以多种形式和名称：仿冒、身份窃取、**、伪装和WWN欺骗。欺骗是根据它所发作的法层面而命名，其中一种形式是假冒用户，而另一种是伪装成一个已被授权的WWN。

抗击欺骗的方法就是让窃取者提供一些只有被授权的用户才知晓的特殊信息。对于用户来说，需要知道和提供的只是一个密码。对于设备而言，Nx_端口或交换机的WWN是与这个机密信息相连的。管理话路也可以进行身份鉴别，确保入侵者不能管理光纤网络或设备。

以太网CHAP实体身份鉴别

CT讯息鉴别

光纤渠道DH-CHAP实体身份鉴别

当实体及用户的身份被鉴别后，传输就可以在授权设备之间安全地流动，但在连接中流动的数据仍然会受到数据盗窃(Sniffing)的威胁，这在下一个章节中将详细讨论。

数据盗窃(Sniffing)

数据会通过很多种途径被窃取,其中一种途径就是在数据还在传输的过程中进行盗窃，Sniffing 是对数据线进行窥探，例如“光纤通道分析器”就是一种可以完全监控数据传输的数据盗窃方法。如果数据盗窃做得巧妙，它是不会影响设备的操作。防止数据盗窃的方法是加密(encryption)。“封装安全法”(ESP)可以对光纤传输数据进行加密，以确保安全性。以太网传输能通过SSL或者类似的协议来加密。这些加密技术可以使用不同的加密程度使得被窃数据没有可乘之机。

存储加密

随着SAN变得日益复杂，大量数据在一个共享的系统里被集成和复制，用户开始关注存储数据的安全。McDATA与其合作伙伴携手合作，不断开发整合解决方案，对存储数据进行一目了然的线速加密保护。这些设备使用硬件加密及钥匙管理把存储数据锁上，同时执行整体光纤网络安全及访问控制，这些经McDATA认证的解决方案已经被多个**单位和企业用户采用。

攻击点 触发点 对策 SANtegrity™解决方案

威胁#1：未经授权的访问

1、带外管理应用程序 用户启动管理话路 使用光纤网络服务的管理应用程序需要得到授权 IP访问控制名单（ACL）、串行端口鉴别、SMZ

2、带内管理程序 用户启动管理话路 授权 MACL

3、用户对应用 用户在应用程序登录 授权 RBAC

4、设备对设备 Nx_端口PLOGI至其它设备 Nx_端口对Nx_端口授权 软硬分区、逻辑单元屏蔽

5、装置对光纤网络Nx_端口在光纤网络登录 Nx_端口对光纤网络授权 端口或交换机绑定、锁定光纤网络

6、交换机对交换机 E_端口加入光纤网络交换机对交换机授权 光纤网络绑定

7、攻击存储数据 内部/管理访问 对存储数据进行加密 认证伙伴解决方案

威胁#2：欺骗 (Spoofing)

1、带外管理应用程序 用户启动管理话路 使用光纤网络服务的管理应用程序需要身份鉴别 CHAP实体身份鉴别

2、带内管理程序 用户启动管理话路 使用光纤网络服务的管理应用程序需要身份鉴别 CHAP实体身份鉴别、CT信息鉴别

3、用户对应用 用户在应用程序上登录 用户身份鉴别 用户身份鉴别

4、设备对设备 在假冒的WWN进行Nx_端口PLOGI Nx_端口对Nx_端口需要身份鉴别 CHAP身份鉴别

5、设备对光纤网络在假冒的WWN进行Nx_端口登录 Nx_端口对光纤网络需要身份鉴别 CHAP身份鉴别

6、交换机对交换机 E_端口用错误的WWN加入光纤网络 交换机对交换机需要身份鉴别 CHAP身份鉴别

威胁#3：数据盗窃（Sniffing）

1、带内攻击点 “中间人”从中下手 对数据传输加密 ESP

2、带外攻击点 “中间人” 从中下手 对数据传输加密 IP加密技术

在存储单位成本下降的同时，运营费用却在不断地增加。其中，一部分费用是为了增加数据的保持力，但我认为，更重要的原因是针对缝隙市场的存储解决方案的增多。这些解决方案为实现同样的存储功能，但需要不同的管理工具，使用重复的存储和网络资源，而且响应变化的能力差。为了去除这些方案，我们需要采用面向服务的方法。

那么原来的方案和面向服务的方法之间有什么不同呢？我们先来看几个缝隙市场存储解决方案的例子。

一种是单片存储阵列，它是目前应用最广的缝隙市场解决方案，仅有几个存储厂商能够生产，但它能够满足非常重要任务的存储需求。它的可用性很好，因为它有多个存储处理器，连接到同一存储缓存上。因此，一两个存储处理器故障并不会造成数据丢失或无法访问，因为其余存储处理器还能继续访问全局缓存(需要正确配置可选路径)中的数据。

另一种缝隙市场方案是有两个处理器的模块化存储阵列。它的两个处理器之间没有共享的全局缓存，每个处理器都有自己的缓存，为了避免当一个处理器故障时导致数据丢失，它在写操作时在另一个缓存中做了镜像。如果一个处理器发生故障，那么就会失去一半的缓存、一半的处理能力，以及连接到故障控制器上的所有存储端口。此时，如果让它继续工作，就有可能因另一个处理器也故障而导致缓存中的数据丢失。这种存储阵列为只需要很少连接端口而无需远程复制的开放系统而设计。

NAS是另一种缝隙市场解决方案，它提供共享文件访问。在大多数情况下，NAS系统存储的内容都分模块排列，因为它运行在开放式系统上，不需要大量连接，而且由于它没有文件复制功能，也不需要基于控制器的复制。

最近，我们可以看到，新型存储解决方案正在增多，它们实现的功能同样是磁盘到磁盘备份(虚拟磁带库)、内容存档、近线存储、数据库优化、Thin Provisioning(存储资源随需分配)等。它们是厂商私有的解决方案，但能整合其他厂商的模块化阵列。

采用面向服务的方法来实现存储将能够满足以上这些需求，它将这些存储解决方案转换为服务，能够在异构存储设备上的通用平台上运行。例如，不是为每个特定的厂商硬件开发复制功能，而是通用平台上的复制服务。它还能使这些解决方案在统一的管理下一起工作。

那么，应该怎样开发面向服务的存储解决方案来满足这些需求呢？日立在这方面首先做的是，将高可用性、多处理器、全局缓存控制器分别从单片存储器阵列的后端磁盘阵列分离开。这使得企业级附件USP控制单元能够通过标准FC接口虚拟地面向任何厂商的磁盘阵列。现在，模块化的磁盘阵列就可以使用所有这些大型的企业级存储系统功能了。然后，我们再添加文件服务。因为我们使用了企业级的存储控制单元体系结构，它具有高性能和很好的可扩展性，所以我们能够继续为这个平台添加功能，使它能够满足所有连接到该平台上的存储附件需求。

虚拟化已经不是新闻了。它将被面向服务的方案所替代，但虚拟化对于实现面向服务的存储非常有用。和面向服务的存储解决方案(SOSS)并列的还有SOA(面向服务的体系结构)和SOI(面向服务的基础架构)，它们共同构建动态数据中心。SOA能减少应用程序开发和管理的成本，但它需要SOI和SOSS的支持。