📚 课程目录第2章 HPE Alletra硬件与软件架构解析

2. HPE Alletra硬件与软件架构解析

要理解 HPE Alletra 的安全隔离与访问控制，必须先看清它的物理与逻辑边界。Alletra 并不是一台“黑盒存储”，而是由控制器节点、NVMe 存储介质、内部互联、管理平面与数据平面共同组成的分布式系统。安全控制点分布在多个层次：物理端口、内部交换、管理接口、操作系统服务、卷映射与主机侧多路径。只有把“谁在什么位置、通过什么路径、能访问什么资源”画清楚，才能判断隔离是否成立、访问控制是否可验证。

控制器节点：数据平面的执行核心

以 HPE Alletra 9000 系列为例，一个存储系统通常包含两个控制器节点（Node A / Node B），构成高可用对。每个控制器节点内部包含：CPU 与内存、NVMe SSD 插槽、主机接口卡（FC/iSCSI/NVMe-oF）、内部节点互联端口、管理网口（如 1GbE 管理口）以及带外管理接口（如 iLO/BMC）。控制器节点运行 Alletra OS（基于 HPE 自研的存储操作系统），负责卷管理、快照、复制、缓存与数据服务。

从安全边界看，控制器节点是“数据平面”的核心执行者。主机写入的数据先进入控制器缓存，再落盘到 NVMe SSD。控制器之间的互联（通常为高速以太网或 PCIe 交换）承载缓存镜像与元数据同步，属于内部信任域。若该互联被旁路或伪造，可能导致双控制器脑裂或数据不一致，因此它必须与主机数据网络、管理网络在物理或 VLAN 层面隔离。

存储节点与介质：数据落盘的物理边界

Alletra 的 NVMe SSD 直接插在控制器节点或专用存储节点（如 Alletra 5000/6000 的扩展柜）中。每个 SSD 有独立的 PCIe 通道与设备标识（如 nvme0n1、序列号、WWN）。数据以条带化方式分布到多个 SSD，形成 RAID 或纠删码保护。安全上，SSD 的物理访问等同于数据访问：任何能物理接触盘位的人，都可能通过拆盘读取数据。因此，机箱锁、机房准入与静态数据加密（SED/自加密盘）是这一层的核心控制。

逻辑边界上，存储池（Pool）与卷（Volume）是访问控制的粒度。卷通过 LUN 或命名空间（Namespace）暴露给主机，主机只能看到被映射的卷，无法直接访问其他卷或底层 SSD。这种“卷隔离”是 Alletra 最基础的多租户安全机制。

管理接口：控制平面的入口

Alletra 的管理平面包括：Web UI（基于 HTTPS）、CLI（SSH）、REST API、SNMP、SMI-S 以及带外管理（iLO/BMC）。这些接口通常绑定在管理网口或专用管理 VLAN 上，与数据网口分离。管理接口的访问控制依赖本地用户、角色（如 admin、operator、viewer）以及外部认证（LDAP/AD、RADIUS、TACACS+）。

关键安全边界在于：管理平面能修改卷映射、删除快照、更改复制策略，因此它比数据平面更敏感。若管理网与数据网共用同一物理接口或 VLAN，攻击者一旦攻破主机，就可能横向访问管理 UI。推荐做法是管理口独立布线、独立 VLAN，并通过防火墙限制仅允许运维跳板机访问。

数据路径与信号链

下面用一张信号链/数据流图展示从主机到 SSD 的完整路径，以及各层对应的安全控制点。图中区分数据平面（实线）与管理平面（虚线），并标注物理边界与逻辑边界。

安全相关组件的分布与隔离原则

从图中可以归纳出三条隔离原则。第一，数据平面与管理平面分离：主机 I/O 走 FC/iSCSI/NVMe-oF 前端口，管理指令走独立管理口与 VLAN。两者若共用物理链路，必须用 VLAN、ACL 或防火墙隔离。第二，内部互联属于高信任域：控制器之间的缓存镜像与元数据同步不应暴露给主机网络，建议使用独立交换机或直连，并禁用不必要的协议。第三，卷映射是最小权限的落点：主机只能看到被显式映射的卷，映射关系由管理平面控制，因此管理平面的账号权限必须严格收敛。

实操示例：查看控制器与卷映射关系

以下命令示例用于在 Alletra CLI 中查看节点状态与卷映射，帮助验证边界是否清晰。示例输出为合理假设，仅用于说明观察点。

# 查看控制器节点状态
cli% shownode
Node  Name     State    Master   IP Address
0     Node A   Online   Yes      10.10.20.11
1     Node B   Online   No       10.10.20.12

# 查看卷到主机的映射
cli% showvlun
LUN  Volume    Host        Port    Status
0    vol_app1  esxi-01    0:1:1   active
1    vol_app2  esxi-02    0:1:2   active
2    vol_db    db-01      1:1:1   active

观察要点：shownode 中管理 IP 应属于管理网段，而非数据网段；showvlun 中每个卷只映射给必要的主机与端口。若发现某卷映射给了不相关主机，或管理 IP 与数据 IP 在同一子网，说明隔离边界存在缺口，需要调整 VLAN 或映射策略。

建议在部署后绘制一张“物理端口—VLAN—IP 网段—访问角色”对照表，把控制器前端口、管理口、iLO 口、内部互联口分别登记，作为后续访问控制审计的基线。

物理与逻辑边界的交汇点

Alletra 的安全强度取决于最薄弱的边界。物理边界包括机箱锁、盘位、管理口与前端口的物理位置；逻辑边界包括卷映射、角色权限、VLAN 与认证域。两者交汇处往往是风险点：例如，iLO 带外管理口若与业务网互通，攻击者可通过 iLO 重启节点或挂载虚拟介质；又如，管理 UI 若允许从数据网段访问，主机被攻破后可直接删除卷。因此，理解架构图不是为了记忆组件名称，而是为了在每一层问一句：谁能到达这里？到达后能做什么？做完之后如何被发现？