📚 课程目录第3章存储网络隔离基础

3. 存储网络隔离基础

存储网络隔离的本质，是在共享的物理链路上为不同业务、不同租户或不同安全等级的数据流划出互不可见的逻辑通道。Dell 企业存储同时提供 SAN 与 NAS 两类访问路径，二者的隔离手段并不相同：SAN 侧重"谁能看到哪块 LUN"，NAS 侧重"谁能挂载哪个共享目录"。理解这两条路径上的隔离点，是后续做访问控制策略的前提。

一、SAN 侧：从物理端口到逻辑卷的四层隔离

FC SAN 的隔离是逐层收敛的。最底层是物理端口绑定，中间层是 VSAN 与 Zone，最上层才是 LUN Masking 与主机 HBA 的 WWN 映射。以一台 Dell PowerStore 或 Unity 阵列为例，前端 FC 端口通常成对出现，端口绑定（Port Binding）把某个 Initiator WWN 固定到指定 Target 端口，避免主机在多个前端端口间漂移导致路径混乱。这一步在交换机侧表现为"端口—WWN"的静态对应，在阵列侧表现为"前端端口—主机"的绑定关系。

VSAN 是 FC 交换机上的逻辑分区，相当于把一台物理交换机切成多台虚拟交换机。不同 VSAN 的端口不能互通，即使物理上插在同一台交换机。典型做法是按业务域划分：VSAN 10 给核心数据库，VSAN 20 给虚拟化集群，VSAN 30 给备份。VSAN 之间通过 IVR（Inter-VSAN Routing）才能按需互通，默认完全隔离。

Zone 是 VSAN 内部的访问控制单元，决定"哪些 WWN 可以互相通信"。Zone 的成员可以是单个 WWN、多个 WWN 或一个 Zone Alias。常见配置是单主机单 Target 的 Zone，即一台主机的 HBA WWN 与阵列的一个前端端口 WWN 组成一个 Zone。这样即使两台主机在同一个 VSAN，只要不在同一个 Zone，就无法互相发现对方的 LUN。Zone 的粒度越细，隔离越彻底，但 Zone 数量也越多，管理成本上升。

LUN Masking 是阵列侧的最后一层隔离。它把某个 LUN 只映射给指定的 Initiator WWN 或主机组。即使 Zone 允许某台主机看到阵列端口，如果 LUN 没有映射给它的 WWN，主机也扫描不到该 LUN。实际配置中，Zone 与 LUN Masking 要成对检查：Zone 通了但 Masking 没做，主机看不到盘；Masking 做了但 Zone 没通，主机同样看不到盘。

iSCSI 与 NVMe over Fabrics 的隔离逻辑与 FC 类似，但载体不同。iSCSI 用 IP 网络，隔离手段是 VLAN、ACL 和 iSCSI Initiator 名称（IQN）绑定。VLAN 把存储流量与业务流量分开，ACL 在交换机或阵列侧限制源 IP 与目标 IP/端口的访问。NVMe over FC 沿用 FC 的 VSAN 与 Zone；NVMe over TCP 则依赖 VLAN、ACL 以及 Subsystem NQN 的访问控制。无论哪种，核心都是"先隔离链路，再隔离目标，最后隔离卷"。

二、NAS 侧：网络隔离与共享权限的双重控制

NAS 走的是文件协议，NFS 和 SMB 的隔离点与 SAN 不同。第一层是 VLAN：把存储流量放在独立 VLAN，例如 VLAN 100 承载 NFS，VLAN 200 承载 SMB，业务网段无法直接访问存储网段。第二层是 ACL：在交换机或阵列前端限制哪些源 IP 可以访问 NFS 的 2049 端口或 SMB 的 445 端口。第三层是导出与共享权限：NFS 的 export 文件里写清楚允许哪些客户端网段挂载、以什么权限挂载；SMB 则在共享级别设置允许访问的用户或组。

第四层是文件系统权限。NFS 依赖 UID/GID 映射，SMB 依赖 NTFS ACL。这两层权限与前面的网络隔离是独立的：网络通了不代表能读写，共享开了不代表目录能进。实际排障时经常遇到"能 ping 通、能挂载、但读不了文件"，问题往往出在 UID 映射或目录权限上，而不是 VLAN 或 ACL。

LAG（链路聚合）在 NAS 场景中既是性能手段也是可用性手段。把两个或多个物理网口绑定成一个逻辑口，配合交换机侧的 LACP，可以在单口故障时保持链路不中断，同时提升总带宽。需要注意的是，LAG 本身不提供隔离，它只是把多条链路合并；隔离仍然由 VLAN 和 ACL 完成。端口绑定在 SAN 侧是"WWN 固定到端口"，在 NAS 侧则是"IP 固定到聚合口"，两者目的不同，不要混淆。

三、配置检查要点

做隔离配置时，建议按"先链路、后目标、再权限"的顺序检查。SAN 侧依次确认：物理端口是否绑定、VSAN 是否划分、Zone 是否成对、LUN Masking 是否映射到正确 WWN。NAS 侧依次确认：VLAN 是否隔离、ACL 是否放行、export/共享是否包含目标客户端、文件系统权限是否匹配。任何一层缺失，都会表现为"看不到"或"访问被拒"。

排查 SAN 主机看不到 LUN 时，先看交换机 Zone 是否包含主机 WWN 与阵列端口 WWN，再看阵列 LUN Masking 是否映射给该主机。两步都确认后，再检查主机 HBA 驱动与多路径软件状态。排查 NAS 挂载失败时，先确认 VLAN 与 ACL 是否放行，再检查 export 客户端列表与 UID 映射。

最后要强调：隔离不是一次性配置，而是随业务变化持续维护的。新增一台主机、新增一个租户、调整一个网段，都可能需要在 VSAN、Zone、ACL、导出列表上同步修改。把隔离关系记录成表，比事后凭记忆排查要可靠得多。