Storage & Protokolle
iSCSI
iSCSI transportiert SCSI-Blockbefehle über TCP/IP und baut so ein SAN auf Standard-Ethernet auf, ohne Fibre-Channel-Hardware.
- Block-Storage
- Standard-Ethernet
- Herstellerneutral (IETF)
- MPIO / Multipath
- CHAP-Authentifizierung
iSCSI bringt Block-Storage über das normale Ethernet ins Rechenzentrum: Es verpackt SCSI-Befehle in TCP/IP und macht so ein SAN möglich, ohne dedizierte Fibre-Channel-Hardware.
Dieser Artikel erklärt, wie iSCSI funktioniert, worauf es bei Sicherheit und Netz ankommt und wie es sich zu NVMe-oF/TCP und nativem Ceph-Zugriff (RBD) verhält.
Kurz gesagt
Stärken
- Block-Storage über vorhandenes Ethernet, ohne Fibre-Channel-Hardware
- Herstellerneutral (IETF, RFC 7143), breit unterstützt unter Linux, Windows und VMware ohne Zusatztreiber
- MPIO/Multipath für Redundanz und Lastverteilung
- Skaliert mit dem Netz (10/25/100 GbE, Jumbo Frames)
Schwächen
- CHAP authentifiziert nur, verschlüsselt nicht; braucht ein getrenntes Storage-VLAN (optional IPsec)
- Geringere IOPS und höhere Latenz als NVMe-oF/TCP auf NVMe-Datenträgern
- In reinen Ceph-/Linux-Umgebungen ist nativer RBD-Zugriff direkter
1. Was iSCSI ist
iSCSI (Internet Small Computer Systems Interface) ist ein IETF-standardisiertes Protokoll (RFC 7143). Es transportiert SCSI-Blockbefehle über TCP/IP, sodass ein Server entfernten Speicher wie eine lokale Festplatte ansprechen kann.
Der große Vorteil: Es braucht keine spezielle Hardware. iSCSI läuft über vorhandene Ethernet-Netze und ist auf Linux, Windows und VMware ohne Zusatztreiber verfügbar. Damit ist es die kostengünstige SAN-Variante für den Mittelstand.
2. Initiator, Target und LUN
iSCSI folgt einem Client-Server-Modell. Der Initiator ist der Client (Server oder Hypervisor), das Target stellt den Speicher bereit. Jeder Knoten hat einen eindeutigen Namen, den IQN (z. B. iqn.2026-01.de.linoxa:host).
Das Target exportiert eine oder mehrere LUNs (Logical Unit Numbers). Eine LUN erscheint am Initiator als rohes Block-Device, auf das der Server sein Dateisystem legt. Unter Linux übernimmt open-iscsi (iscsiadm) den Initiator, LIO mit targetcli das Target.
3. Sicherheit: CHAP ist keine Verschlüsselung
iSCSI authentifiziert über CHAP (Challenge-Handshake Authentication Protocol), einseitig oder gegenseitig. Gegenseitiges CHAP schützt auch davor, sich versehentlich mit einem gefälschten Target zu verbinden.
CHAP authentifiziert, verschlüsselt aber nicht. Nach dem Handshake laufen die Daten im Klartext. Für vertrauliche Daten gehört iSCSI in ein dediziertes, nicht geroutetes Storage-VLAN, bei Bedarf zusätzlich abgesichert mit IPsec (RFC 7146).
4. Netzwerk und Performance
iSCSI lebt vom Netz. Sinnvoll ist mindestens 10 GbE, für mehr Durchsatz 25 oder 100 GbE. Jumbo Frames (MTU 9000) senken den Overhead, müssen aber durchgängig auf allen Karten und Switches gleich konfiguriert sein.
Für Redundanz und Lastverteilung kommt MPIO (Multipath I/O) zum Einsatz: mehrere Netzpfade zwischen Initiator und Target. Storage-Verkehr gehört auf ein eigenes Netz, getrennt vom übrigen LAN.
5. Betrieb: Discovery, Multipath und Tuning
Initiatoren finden Targets per SendTargets-Discovery (Verbindung zum Portal, Abfrage der verfügbaren Targets) oder zentral über iSNS; das ältere SLP gilt als überholt. Für Redundanz und Durchsatz kommt nicht Link-Aggregation (LACP) zum Einsatz, sondern Multipathing (MPIO): LACP bindet eine iSCSI-Session an einen physischen Pfad, während MPIO mehrere Sessions über getrennte NICs aufbaut und so tatsächlich skaliert.
Bei den Stellschrauben zählen ein dediziertes Storage-VLAN, durchgängig gleiche MTU bei Jumbo Frames, eine passende Queue Depth und die bewusste Entscheidung über Header-/Data-Digest (CRC32C): Letzteres erhöht die Datensicherheit, kostet ohne Hardware-Beschleunigung aber spürbar Durchsatz. Unter Linux übernehmen open-iscsi (iscsiadm) den Initiator und LIO/targetcli das Target.
6. Verhältnis zu NVMe-oF/TCP
iSCSI ist weiterhin Stand der Technik und sehr breit im Einsatz. Für neue, performancekritische Umgebungen mit NVMe-Datenträgern gibt es mit NVMe over TCP aber eine modernere Option: Messungen zeigen spürbar mehr IOPS und geringere Latenz, weil das NVMe-Protokoll nativ parallel arbeitet, während SCSI eher sequenziell ist.
Beide laufen über Standard-Ethernet ohne Spezialhardware. Pauschale Aussagen wie „iSCSI ist veraltet" greifen zu kurz: Für Kompatibilität, Budget und Einfachheit bleibt iSCSI relevant, für maximale Leistung ist NVMe-oF/TCP die zukunftsorientierte Wahl.
Häufige Fragen zu iSCSI
iSCSI setzt SCSI über Standard-TCP/IP-Ethernet, Fibre Channel über ein dediziertes Speichernetz mit eigener Fabric. Beide sind gültige SAN-Transporte; iSCSI ist infrastrukturseitig günstiger, FC in großen, latenzkritischen Umgebungen verbreitet.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
iSCSI im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.