Storage & Protokolle
Fibre Channel
Fibre Channel (FC) ist ein dediziertes, verlustarmes Block-Speichernetz; das FC-SAN verbindet Server und Speicher über eine eigene Fabric mit Zoning und LUN-Masking.
- Dediziertes Block-Speichernetz
- Zoning und LUN-Masking
- Redundante Dual-Fabric
- INCITS T11 (ANSI)
- FCP (SCSI) und FC-NVMe
Fibre Channel ist ein eigenständiges Netzwerk nur für Speicher. Anders als ein IP-Netz ist es verlustarm ausgelegt: Statt Pakete zu verwerfen und erneut zu senden, bremst eine hardwarebasierte Flusskontrolle den Sender, bevor Puffer überlaufen. Über dieses FC-SAN erreichen Server zentralen Block-Speicher, klassisch mit SCSI-Befehlen (FCP), zunehmend auch mit NVMe (FC-NVMe).
Dieser Artikel erklärt das Schichtenmodell und die Switched Fabric, die Adressierung über WWPN und FCID, den Login-Prozess und die Fabric-Dienste, die Port-Typen, das Zoning und das LUN-Masking als zwei komplementäre Zugriffsschranken, HBAs, NPIV und Multipathing über redundante Fabrics, die Geschwindigkeitsgenerationen sowie die Sicherheitslage.
1. Ein eigenes Netz nur für Speicher
FC ist nicht IP-basiert und läuft getrennt vom Unternehmensnetz. Seine Verlustfreiheit kommt nicht aus erneutem Senden wie bei TCP, sondern aus Buffer-to-Buffer-Credits: Der Sender darf nur so viele Frames schicken, wie der Empfänger Puffer frei gemeldet hat. Geht der Kredit auf null, pausiert der Sender, statt dass Frames verloren gehen. Das macht FC für Block-Storage berechenbar latenzarm.
2. Schichten und Switched Fabric
FC hat ein eigenes Schichtenmodell von FC-0 (physisch) bis FC-4 (Abbildung der oberen Protokolle wie SCSI/FCP oder NVMe). Praktisch relevant ist heute fast nur die Switched Fabric: Alle Geräte hängen an FC-Switches, die den Weg über das Link-State-Protokoll FSPF (an OSPF-Konzepte angelehnt) bestimmen. Die früheren Topologien Point-to-Point und vor allem Arbitrated Loop sind abgelöst.
3. Adressierung: WWPN und FCID
Jeder FC-Port trägt einen weltweit eindeutigen, fest vergebenen World Wide Port Name (WWPN, 64 Bit), vergleichbar mit der MAC-Adresse, dazu der Node identifiziert über den WWNN. Beim Anmelden weist der Switch zusätzlich eine dynamische FCID (24 Bit) zu, die im Fabric geroutet wird, ähnlich einer IP-Adresse. Zoning und LUN-Masking arbeiten mit dem stabilen WWPN, nicht mit der wechselnden FCID.
4. Anmeldung und Fabric-Dienste
Der Aufbau läuft in mehreren Logins: Mit FLOGI meldet sich ein Port am Switch an und erhält seine FCID, mit PLOGI meldet er sich beim Ziel oder beim Namensdienst an, mit PRLI wird das obere Protokoll ausgehandelt (SCSI/FCP oder NVMe). Der Name Server der Fabric arbeitet wie ein Verzeichnis: Er bildet WWPNs auf FCIDs ab und zeigt einem Initiator nur die Ziele, die das Zoning zulässt.
5. Port-Typen und NPIV
Die wichtigsten Rollen: ein N_Port am Server-HBA oder Storage-Array, ein F_Port am Switch, der den N_Port aufnimmt, und ein E_Port als Verbindung zwischen zwei Switches (Inter-Switch Link). Für die Virtualisierung wichtig ist NPIV: Damit registriert ein physischer Port mehrere virtuelle WWPNs, sodass jede VM eine eigene FC-Identität bekommt und Zoning sowie LUN-Masking pro VM möglich werden, ohne dass jede VM einen eigenen HBA braucht.
FC-HBAs und ihre WWPNs unter Linux ablesen
# WWPN aller FC-Host-Ports anzeigen
cat /sys/class/fc_host/host*/port_name
# Verbindungsstatus und Geschwindigkeit
systool -c fc_host -v 2>/dev/null | grep -E 'port_name|port_state|speed'6. Zoning: wer sieht wen
Zoning ist ein Dienst der Fabric, der festlegt, welche Ports überhaupt miteinander reden dürfen. Man unterscheidet grob:
- WWPN-Zoning die Zugehörigkeit richtet sich nach dem World Wide Port Name; das Gerät darf an jedem Switch-Port stecken. In der Praxis der Normalfall.
- Port-Zoning die Zugehörigkeit richtet sich nach der physischen Switch-Portnummer; sehr starr und selten allein genutzt.
- Hardware-Durchsetzung moderne Switches setzen die Zonen per Frame-Filter im ASIC durch, sodass unerlaubte Frames verworfen werden, nicht nur in der Namensauflösung ausgeblendet.
Best Practice ist Single-Initiator-Zoning: Jede Zone enthält genau einen Server-Port und die nötigen Storage-Ports. Das verhindert, dass Server sich gegenseitig stören, und macht Fehler schnell auffindbar.
7. LUN-Masking als zweite Schranke
Zoning regelt die Sichtbarkeit im Netz, das LUN-Masking regelt den Zugriff am Speicher-Array: Dort wird je LUN festgelegt, welche WWPNs sie lesen und schreiben dürfen. Ein Server, der per Zoning das Array zwar erreicht, sieht eine LUN trotzdem nur, wenn er in deren Maske steht. Beide Mechanismen sind komplementär: Zoning als erste, LUN-Masking als zweite Schranke, und im Enterprise-SAN werden sie kombiniert.
8. Redundanz: Dual-Fabric und Multipathing
Ein produktives FC-SAN besteht aus zwei vollständig getrennten Fabrics (A und B), die nicht miteinander verbunden sind, damit ein Fehler in der einen nicht auf die andere übergreift. Jeder Server und jedes Array hängt mit Ports in beiden Fabrics. Auf dem Host fasst Multipathing die so entstehenden Pfade zu einem logischen Gerät zusammen und schaltet bei Ausfall automatisch um. Bei Zwei-Controller-Arrays kommen ALUA-Pfadzustände hinzu, die optimale von nur erreichbaren Pfaden unterscheiden.
9. Geschwindigkeiten und FC-NVMe
FC ist über Generationen gewachsen: 16, 32 und 64 GFC sind verbreitet, 128 GFC kommt neu hinzu, und jede Generation handelt sich mit mindestens zwei Vorgängergenerationen herunter, was schrittweise Migration erlaubt. Die Marketingnamen wie „Gen 6/7“ sind keine Normbegriffe; maßgeblich sind die GFC-Angaben.
Neben dem klassischen FCP (SCSI über FC) trägt die Fabric mit FC-NVMe auch das NVMe-Befehlsmodell, ohne den Umweg über SCSI. FC-NVMe in der zweiten Fassung verbessert vor allem die Fehlererkennung; SCSI und NVMe können parallel über dieselbe Hardware laufen.
10. Sicherheit: Trennung statt Verschlüsselung
Der Schutz im FC-SAN beruht auf physischer Isolation (ein eigenes Netz, nicht am IP-Netz) sowie auf Zoning und LUN-Masking als Zugriffstrennung. Eine Datenverschlüsselung gehört zwar zum Standard (FC-SP-2), wird in der Praxis aber kaum implementiert; nur einzelne Hersteller bieten proprietäre Link-Verschlüsselung. Wer Vertraulichkeit auf der Leitung braucht, kann sich also nicht auf FC allein verlassen und ergänzt Verschlüsselung im Array (at rest) oder über Appliances.
11. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Verlustarm ohne Tuning (Buffer-Credits) | eigene, teure Infrastruktur (Switches, HBAs, Glasfaser) |
| Dediziertes Netz, getrennt vom IP-Verkehr | spezielles Know-how nötig (Zoning, FCID, FSPF) |
| Zoning und LUN-Masking als zwei Schranken | keine praktisch genutzte Datenverschlüsselung |
| Reif, weit verbreitet, FC-NVMe ohne Netzumbau | bei Neubauten Konkurrenz durch NVMe/TCP über Ethernet |
| Rückwärtskompatibel über mehrere Generationen | Arbitrated Loop abgelöst; nur Switched Fabric aktuell |
Häufige Fragen zu Fibre Channel
Zoning wirkt auf der Fabric (den Switches) und legt fest, welche Ports sich überhaupt sehen dürfen. LUN-Masking wirkt am Speicher-Array und legt je LUN fest, welche Server-Ports darauf zugreifen dürfen. Beide ergänzen sich: Zoning ist die erste, LUN-Masking die zweite Schranke. Im Enterprise-SAN werden sie zusammen eingesetzt.
Für unternehmenskritischen Block-Storage ist FC weiterhin stark, weil es Verlustfreiheit und Trennung ohne Netz-Tuning liefert und mit FC-NVMe auch NVMe trägt. Der Nachteil sind Kosten und eigenes Know-how. Bei Neubauten prüfen viele Häuser Ethernet-basierte Alternativen wie NVMe/TCP, weil die Infrastruktur schon vorhanden und günstiger ist.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Fibre Channel im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.