📚 课程目录第4章存储对象隔离

4. 存储对象隔离

在 ONTAP 中，安全隔离并不是只靠 SVM 一层完成的。SVM 划出了租户边界，但同一 SVM 内部往往还要承载多个业务、多个部门甚至多套应用。如果所有数据都堆在一个卷里，权限、配额、快照策略和共享路径就会互相牵连。因此，ONTAP 提供了三个层层递进的隔离对象：卷（Volume）、Qtree 和 LUN。理解它们的隔离粒度，是设计命名空间和规避共享冲突的基础。

三种隔离对象的粒度差异

卷是 ONTAP 中最基本的存储容器，也是隔离能力最强的一层。每个卷拥有独立的快照策略、配额规则、效率策略（重复数据删除、压缩、分级）、聚合归属和 Junction 挂载点。卷与卷之间在空间、快照和策略上完全独立，一个卷的快照不会占用另一个卷的空间。因此，卷适合作为“业务单元”或“部门”级别的隔离边界。

Qtree 是卷内部的逻辑分区，它本身不占用独立空间，但可以拥有独立的配额（Qtree Quota）、独立的导出策略（通过 Qtree 级导出规则）和独立的权限控制。Qtree 的价值在于：在同一个卷内，把不同项目或不同用户组的数据分开，同时共享卷级的快照和效率策略。它的隔离粒度比卷细，但比卷“轻”——不需要额外的聚合空间规划。

LUN 是块级隔离对象，通过 iSCSI 或 FCP 呈现给主机。LUN 在 ONTAP 中表现为一个文件，存放在卷或 Qtree 内。LUN 的隔离体现在：每个 LUN 有独立的 LUN ID、独立的映射关系（LUN Mapping）和独立的 igroup 访问控制。主机只能看到映射给它的 LUN，无法感知同一卷内其他 LUN 的存在。LUN 适合数据库、虚拟机磁盘等需要块设备语义的场景。

命名空间设计：Junction 与挂载路径

ONTAP 的命名空间通过 Junction 把多个卷挂载到 SVM 的根卷下，形成一个统一的目录树。客户端访问时只看到一条路径，例如 /vol_finance/qt_ap，但底层可能跨越多个卷。设计命名空间时，建议遵循“业务域 → 卷 → Qtree”的三级结构：

第一级：按业务域或部门划分卷，如 vol_finance、vol_hr。卷名应体现业务归属，便于快照和配额管理。
第二级：在卷内按项目或应用划分 Qtree，如 /qt_ap、/qt_ar。Qtree 名应体现功能，便于导出策略和配额绑定。
第三级：在 Qtree 内放置 LUN 或文件共享。LUN 命名应包含用途和序号，如 lun_ap_db、lun_ap_log。

Junction 路径的规划要避免过深嵌套。一般建议不超过三层，否则客户端路径过长，且排障时难以快速定位。同时，Junction 挂载点一旦创建，不建议频繁变更，因为客户端可能已经缓存了路径映射。

共享冲突规避：导出策略与 LUN Mapping

共享冲突通常发生在两个层面：文件级共享和块级映射。

文件级共享冲突的典型场景是：同一个 Qtree 被多个导出策略同时覆盖，或者 NFS 导出与 CIFS 共享指向同一路径但权限模型不一致。规避方法是：一个 Qtree 只绑定一个导出策略，并且导出策略的客户端列表要精确到子网或主机名，避免使用 0.0.0.0/0 这种全开放规则。如果确实需要多协议访问，应在 Qtree 级别统一权限模型，而不是在卷级别混用。

块级映射冲突的典型场景是：同一个 LUN 被映射到多个 igroup，或者不同 LUN 使用了相同的 LUN ID 但映射到了同一台主机。ONTAP 允许 LUN ID 在不同 igroup 中重复，但同一主机通过同一 igroup 看到多个 LUN 时，LUN ID 必须唯一。规避方法是：为每台主机或每套集群创建独立的 igroup，并在映射时检查 LUN ID 是否冲突。例如：

# 创建 igroup 并映射 LUN
igroup create -igroup esxi_cluster01 -protocol iscsi -ostype vmware
lun map -path /vol/vol_finance/qt_ap/lun_ap_db -igroup esxi_cluster01 -lun-id 0
lun map -path /vol/vol_finance/qt_ap/lun_ap_log -igroup esxi_cluster01 -lun-id 1

# 检查映射关系
lun mapping show -fields path,igroup,lun-id

执行后，通过 lun mapping show 可以确认每个 LUN 的 igroup 和 LUN ID 是否唯一。如果发现同一 igroup 下有两个 LUN 使用了相同的 LUN ID，说明存在冲突，需要重新分配。

设计建议：卷负责“空间与策略隔离”，Qtree 负责“项目与配额隔离”，LUN 负责“块设备与访问控制隔离”。三者配合使用，才能在同一 SVM 内实现细粒度、无冲突的多业务共存。

隔离粒度选择参考

隔离需求	推荐对象	关键理由
不同部门，独立快照和配额	卷	卷级快照和配额完全独立，互不影响
同一部门内不同项目，共享快照	Qtree	Qtree 配额独立，但共享卷级快照和效率策略
数据库或虚拟机磁盘	LUN	块级访问，通过 igroup 实现主机级隔离
多协议访问同一数据	Qtree + 统一权限	Qtree 级导出策略可同时覆盖 NFS 和 CIFS

最后需要强调的是：隔离不是越细越好。过多的卷会增加聚合空间碎片和快照管理复杂度；过多的 Qtree 会增加配额和导出策略的维护成本。实际设计中，应根据业务数量、数据增长速度和运维能力，在“隔离强度”和“管理开销”之间取得平衡。通常建议：每个 SVM 内卷数量控制在 10～20 个，每个卷内 Qtree 数量控制在 5～10 个，LUN 数量根据主机需求灵活调整。