Storage-Netzwerke
Zoning & LUN Masking
Zoning (Fabric) und LUN Masking (Array) sind die komplementären Schranken der Zugriffskontrolle im SAN: Sie steuern, welcher Server welchen Speicher sieht.
- Zwei Schranken: Fabric und Array
- Zoning (Switch) und LUN Masking (Array)
- Single-Initiator-Zoning
- FC, iSCSI, NVMe-oF
- Zugriffstrennung, keine Verschlüsselung
Zoning und LUN Masking sind die beiden Schichten der Zugriffskontrolle im Speichernetz. Zoning entscheidet auf der Fabric, welche Ports sich überhaupt sehen; LUN Masking entscheidet am Speicher-Array, welcher Server welche einzelne LUN nutzen darf. Erst beide zusammen ergeben einen sauberen Zugriffsschutz: Zoning als erste, LUN Masking als zweite Schranke.
Dieser Artikel behandelt die Zugriffsdisziplin technologieübergreifend (die Fibre-Channel-Grundlagen stehen im eigenen Artikel): die Zoning-Typen und Best Practices, das LUN Masking am Array, die Entsprechungen bei iSCSI und NVMe-over-Fabrics, die typischen und teils gefährlichen Fehlerbilder sowie die Bedeutung von Dokumentation und einem geordneten Änderungsprozess.
1. Zwei Schranken, zwei Ebenen
Die beiden Mechanismen wirken bewusst unabhängig voneinander. Zoning ist ein Dienst der Fabric (der Switches) und legt fest, welche Ports miteinander kommunizieren dürfen. LUN Masking sitzt im Speicher-Array und legt je LUN fest, welche Initiatoren darauf zugreifen dürfen. Ein Server, der per Zoning das Array zwar erreicht, sieht eine LUN nur, wenn er auch in deren Maske steht. Fällt eine Schranke aus oder ist sie zu weit gefasst, fängt die andere den Fehler idealerweise auf.
2. Zoning: Typen und Durchsetzung
Beim Zoning (klassisch in Fibre Channel) unterscheidet man die Mitgliedschaftsbasis und die Durchsetzung:
- WWPN-Zoning die Zone richtet sich nach dem World Wide Port Name; das Gerät darf den Switch-Port wechseln. In der Praxis der Normalfall.
- Port-Zoning die Zone richtet sich nach der physischen Switch-Portnummer; sehr starr, selten allein genutzt.
- Soft- vs. Hard-Zoning Soft-Zoning filtert nur die Namensauflösung, Hard-Zoning verwirft unerlaubte Frames im Switch-ASIC. Die Begriffe sind herstellerabhängig belegt und gehören mit Kontext genannt.
Soft/Hard ist Herstellerjargon
Was „Hard Zoning“ genau bedeutet, unterscheidet sich zwischen Herstellern: Bei manchen ist es an Port-Zoning gebunden, bei anderen wird jede Zone per Frame-Filter hardwaremäßig durchgesetzt. Im Zweifel die Hardware-Durchsetzung des konkreten Switches prüfen, nicht nur den Begriff.
3. Best Practice: Single-Initiator, Peer, Smart
Die etablierte Best Practice ist Single-Initiator-Zoning: Jede Zone enthält genau einen Server-Port und die nötigen Storage-Ports. Das verhindert, dass Server sich gegenseitig mit Fabric-Ereignissen (RSCN-Stürmen) stören, und macht Fehler schnell auffindbar. Weil viele kleine Zonen aufwendig werden, bieten Hersteller schlankere Varianten mit gleichem Schutz: Peer-Zoning (ein Principal-Target kommuniziert mit vielen Initiatoren, Initiatoren aber nicht untereinander) und Smart-Zoning (Geräte werden als Initiator oder Target markiert, nur sinnvolle Paare werden freigeschaltet). Aktiv ist immer nur ein Zoneset.
4. LUN Masking am Array
Das LUN Masking führt das Array pro LUN als Liste erlaubter Initiatoren (über deren WWPN bei FC, IQN bei iSCSI, NQN bei NVMe-oF). Hosts, die nicht auf der Liste stehen, sehen die LUN gar nicht, auch wenn sie das Array per Zoning erreichen. Üblich ist die Bündelung der Initiatoren eines Hosts zu einer Initiator-Gruppe, die dann einer LUN zugeordnet wird. Das ist die feinere, host- und LUN-genaue Schranke unterhalb des Zonings.
5. Dieselbe Disziplin bei iSCSI und NVMe-oF
Die Idee überträgt sich auf die anderen Speichernetze, nur mit anderen Mitteln:
NVMe-oF-Zugriffskontrolle: nur erlaubte Hosts (Linux nvmet, configfs)
# Host-NQN anlegen, dann Subsystem nur für gelistete Hosts freigeben
mkdir -p /sys/kernel/config/nvmet/hosts/<host-nqn>
cd /sys/kernel/config/nvmet/subsystems/<subsystem-nqn>
echo 0 > attr_allow_any_host
ln -s /sys/kernel/config/nvmet/hosts/<host-nqn> allowed_hosts/<host-nqn>| Technologie | Zugriffskontrolle |
|---|---|
| Fibre Channel | Zoning (Fabric) + LUN Masking (Array) über WWPN |
| iSCSI | Netzsegmentierung/VLAN + CHAP-Authentifizierung + Initiator-Gruppen/LUN-Masking über IQN |
| NVMe-over-Fabrics | Allowed-Hosts je Subsystem + Namespace-Masking über NQN, optional DH-HMAC-CHAP |
6. Typische Fehlerbilder
Die Praxisfehler sind über alle Technologien hinweg ähnlich:
- Zu weite Zonen mehrere Initiatoren in einer Zone erzeugen RSCN-Stürme und können HBA-Timeouts auslösen; Single-Initiator-/Peer-Zoning vermeidet das.
- Inkonsistentes Zoneset werden zwei Fabrics mit abweichenden Zonesets zusammengeschaltet, segmentiert der Switch die Verbindung, und Hosts verlieren den Zugriff.
- Fehlendes LUN Masking der gefährlichste Fehler: Greifen zwei nicht geclusterte Hosts auf dieselbe LUN zu, überschreiben sie unkoordiniert Metadaten, und das Dateisystem wird zerstört.
- Falsche oder veraltete WWPN nach HBA-Tausch ändern sich die Kennungen; werden Zonen und Masken nicht nachgezogen, fehlt der Zugriff, oder ein alter Eintrag bleibt offen.
Block-Speicher hat keinen eingebauten Schutz gegen Doppelzugriff. Ohne Cluster-Dateisystem ist fehlendes LUN Masking gleichbedeutend mit Datenkorruption, sobald ein zweiter Host dieselbe LUN beschreibt.
7. Dokumentation und Änderungsprozess
Weil Zonen und LUN-Maps mit der Zeit auseinanderdriften, gehören sie dokumentiert: WWPN/IQN/NQN mit lesbarem Alias, Hostname, Adapter und Zweck, idealerweise in einer Source of Truth. Änderungen laufen über einen geordneten Change-Prozess, und regelmäßige Audits gleichen Soll und Ist ab. Aliase machen die Konfiguration lesbar, müssen aber selbst konsistent gehalten werden.
8. Trennung ist keine Verschlüsselung
Zoning und LUN Masking steuern den Zugriff, sie verschlüsseln keine Daten. Wer eine Leitung physisch anzapft oder Soft-Zoning umgeht, kann mitlesen. Für Vertraulichkeit kommen je nach Technologie andere Mittel hinzu (etwa Verschlüsselung im Array, MACsec oder, bei NVMe/TCP, TLS). Die Zugriffsdisziplin ist eine Eindämmungs-, keine Vertraulichkeitsmaßnahme.
9. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Zwei unabhängige Schranken (Fabric und Array) | kein Schutz vor physischem Abhören (keine Verschlüsselung) |
| Single-Initiator-/Peer-/Smart-Zoning isoliert sauber | Soft-Zoning umgehbar, wenn Adressen bekannt sind |
| Technologieübergreifend (FC, iSCSI, NVMe-oF) | endet an der Speichergrenze, nicht auf Dateiebene |
| Standardisiert und in jedem SAN verfügbar | wachsende Zonen-Datenbanken werden aufwendig |
| Verhindert Doppelzugriff und Fremdzugriff | Drift ohne Dokumentation und Change-Prozess |
Häufige Fragen zu Zoning & LUN Masking
Beides. Zoning regelt auf der Fabric, welche Ports sich sehen; es ist aber grob und schützt nicht auf LUN-Ebene. LUN Masking am Array legt fest, welcher Server welche einzelne LUN nutzen darf. Ohne LUN Masking kann ein Host alle LUNs sehen, die sein Zielport anbietet, was zu Fremdzugriff oder, bei Doppelmount, zu Datenkorruption führt. Im SAN gehören beide Schranken kombiniert.
Statt Fabric-Zoning nutzt iSCSI Netzsegmentierung bzw. VLANs, CHAP-Authentifizierung und Initiator-Gruppen mit LUN-Masking am Target (über den IQN). NVMe-over-Fabrics gibt Subsysteme nur für gelistete Host-NQNs frei (Allowed Hosts) und maskiert Namespaces, optional mit DH-HMAC-CHAP. Das Prinzip der zwei Schranken bleibt, die Mittel unterscheiden sich.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Zoning & LUN Masking im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.