圖-1 數(shù)據(jù)的整個(gè)流動(dòng)通路
網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)的行蹤
當(dāng)今社會(huì)網(wǎng)絡(luò)技術(shù)風(fēng)靡全球，“ 地球村”的概念早已不再是新詞匯。在網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)是如何傳輸，它是如何流動(dòng)，源頭和目的地又是怎樣，圖-1展示了其基本架構(gòu)。
圖-1 數(shù)據(jù)的整個(gè)流動(dòng)通路
通常，當(dāng)個(gè)人電腦或工作站連接到網(wǎng)絡(luò)，并發(fā)送請(qǐng)求到相關(guān)服務(wù)器主機(jī)，其數(shù)據(jù)就會(huì)在Internet的高速公路上傳輸，也就是在各種路由器、交換機(jī)之間不斷傳遞，最終到達(dá)服務(wù)器主機(jī)。上世紀(jì)90年代開始興起的網(wǎng)絡(luò)熱潮，帶動(dòng)了前端市場的發(fā)展；從而像Cisco、Juniper、華為等國際數(shù)據(jù)通信廠商的因時(shí)而出、迅猛發(fā)展，并廣為人知。
而隱藏在服務(wù)器后端操作，如何將數(shù)據(jù)放入到存儲(chǔ)介質(zhì)的過程，卻因?yàn)槠浼夹g(shù)門檻以及宣傳力度等原因，都秘密地躲在了大眾的眼球之后。本世紀(jì)初以來， 隨著各種應(yīng)用對(duì)存儲(chǔ)的巨大需求，存儲(chǔ)開始指數(shù)級(jí)別增長，像EMC、HDS、NetApp、Veritas等存儲(chǔ)大廠應(yīng)運(yùn)而出，笑傲IT江湖。
為了更加清晰地劃分出數(shù)據(jù)行蹤，可以將服務(wù)器主機(jī)作為分界線，與因特網(wǎng)連接部分可以稱作“數(shù)據(jù)流動(dòng)前端”，而與后面存儲(chǔ)網(wǎng)絡(luò)連接部分可以稱作“數(shù)據(jù)流后端”。對(duì)于數(shù)據(jù)流動(dòng)前端來說，其安全性問題，就是大家所熟知的網(wǎng)絡(luò)安全，本文不以它作為論述的重點(diǎn)，而是集中在數(shù)據(jù)流動(dòng)后端的分析上。
然而數(shù)據(jù)流動(dòng)后端，并非簡單地直接從服務(wù)器主機(jī)到達(dá)存儲(chǔ)介質(zhì)，就像網(wǎng)絡(luò)TCP/IP分層協(xié)議那樣，它也要通過不同的處理層、模塊、傳輸設(shè)備等，而整個(gè)傳輸過程中所流經(jīng)的每一層，都可能存在潛在的安全問題，這就是在存儲(chǔ)通路上的傳輸安全問題。
數(shù)據(jù)在服務(wù)器(HOST)內(nèi)流動(dòng)
數(shù)據(jù)流后端的流動(dòng)，最初就是在服務(wù)器內(nèi)部移動(dòng)。當(dāng)前，大部分服務(wù)器上的操作系統(tǒng)主流就是Unix、Linux、Windows，但是不管具體采用那種OS，其數(shù)據(jù)的流向都可以抽象為圖-2所示。
圖-2 數(shù)據(jù)在服務(wù)器中的通路
所有網(wǎng)絡(luò)上發(fā)送過來的數(shù)據(jù)請(qǐng)求通過NIC以及TCP/IP協(xié)議被發(fā)送到對(duì)應(yīng)的應(yīng)用上去，此時(shí)數(shù)據(jù)就正式進(jìn)入了服務(wù)器上；然后數(shù)據(jù)自應(yīng)用層開始，一直被傳遞到操作系統(tǒng)內(nèi)核。然而，由于現(xiàn)在各種應(yīng)用發(fā)展日新月異，隨著它們的膨脹其安全漏洞也隨之上升，比如針對(duì)一些郵件服務(wù)器、數(shù)據(jù)庫服務(wù)的病毒和攻擊；對(duì)于應(yīng)用程序的攻擊，在PC平臺(tái)上就更為顯著了，比如QQ、MSN、WORD等應(yīng)用的病毒，以及目前的各種流氓軟件都是大家深惡而痛絕之地。
通過了應(yīng)用程序之后，其下層就是文件系統(tǒng)了。通常，到了這里存儲(chǔ)也就是開始神神秘秘了，因?yàn)镺S都把存儲(chǔ)的細(xì)節(jié)封裝的很好，對(duì)于外界來說只需要找好文件進(jìn)行讀寫就可以了，非常地透明。但是，這里卻存在安全問題，常被提起的文件系統(tǒng)崩潰、誤刪除文件之類就出現(xiàn)在這個(gè)地方。因此，才出現(xiàn)了日志文件系統(tǒng)，以及基于文件系統(tǒng)的CDP技術(shù)。
走過文件系統(tǒng)，數(shù)據(jù)會(huì)被傳遞到卷管理層，卷和通常在Windows平臺(tái)上看到的分區(qū)類似，只不過卷可能是有幾個(gè)分區(qū)構(gòu)成；卷基本上都是建立在由下層驅(qū)動(dòng)軟件匯報(bào)的raw設(shè)備上面，有些數(shù)據(jù)庫也可以不通過文件系統(tǒng)和卷直接建立在這樣的raw設(shè)備上。但是單一分區(qū)構(gòu)成的卷，不能提供冗余功能，一旦破壞，那么在此卷上的數(shù)據(jù)都被損壞，因此卷級(jí)的數(shù)據(jù)安全性也非常重要。從而有VxVM (Veritas Volume Manager)、LVM (Logical Volume Management)、EVMS (Enterprise Volume Management System)、MD (Linux下的software RAID)以及Windows上的動(dòng)態(tài)卷技術(shù)，同時(shí)還有基于卷的快照技術(shù)(snapshot)，它們都在卷級(jí)提供了數(shù)據(jù)安全能力。
走過這些，數(shù)據(jù)最后就要到達(dá)硬件設(shè)備HBA了，通過HBA就可以訪問DAS以及SAN網(wǎng)絡(luò)中的存儲(chǔ)設(shè)備了。盡管很多HBA內(nèi)建了Firmware，甚至里面就運(yùn)行專門的操作系統(tǒng)，但是要讓HBA在OS里面運(yùn)行起來，一定要加載對(duì)應(yīng)的驅(qū)動(dòng)程序，它們是不可分割的。而這個(gè)HBA將會(huì)提供服務(wù)器訪問存儲(chǔ)網(wǎng)絡(luò)的路徑，而這個(gè)路徑如果是獨(dú)木橋，那么就會(huì)成為數(shù)據(jù)安全的一個(gè)潛在隱患。因此設(shè)計(jì)了多路徑技術(shù)(Multipath)，它專門解決因?yàn)閱吸c(diǎn)故障造成的數(shù)據(jù)安全問題。
從整個(gè)服務(wù)器內(nèi)的數(shù)據(jù)流向可以看出，數(shù)據(jù)在存儲(chǔ)路徑上流動(dòng)中的每一個(gè)模塊都可能出現(xiàn)安全問題，因此在每個(gè)模塊都需要實(shí)施對(duì)應(yīng)的方案來解決數(shù)據(jù)安全問題。
數(shù)據(jù)在NAS系統(tǒng)中前行
當(dāng)服務(wù)器在文件系統(tǒng)層向NAS服務(wù)器發(fā)送文件處理請(qǐng)求，如圖-3中那樣，那么數(shù)據(jù)就會(huì)流向NAS中去。數(shù)據(jù)在NAS里面如何流動(dòng)對(duì)于大部分人來說，都是一個(gè)謎。其實(shí)，從某種意義上來講，可以把NAS看著一個(gè)服務(wù)器，只不過這個(gè)服務(wù)器主要提供存儲(chǔ)服務(wù)，并提供文件訪問接口給外界，從而真正的外部服務(wù)器主機(jī)就通過NFS或者CIFS來訪問。
圖-3 數(shù)據(jù)在NAS中流動(dòng)通路
同樣，NAS也有操作系統(tǒng)，比如一些定制的UNIX系統(tǒng)或者裁減的Linux系統(tǒng)，甚至采用Windows操作系統(tǒng)；只不過，這些操作系統(tǒng)都針對(duì)NAS應(yīng)用做了相關(guān)的改動(dòng)，將一些不需要的功能去掉，同時(shí)增強(qiáng)在存儲(chǔ)和網(wǎng)絡(luò)方面的功能。因此，和服務(wù)器內(nèi)數(shù)據(jù)流動(dòng)類似，也要經(jīng)過文件系統(tǒng)、卷管理，以及HBA和其驅(qū)動(dòng)。但是，在高端為了提高可靠性，在每個(gè)模塊都加入了相關(guān)的功能，來避免出現(xiàn)單點(diǎn)故障，同時(shí)由于是針對(duì)存儲(chǔ)的應(yīng)用，所以管理的磁盤比較多，通常采用了RAID技術(shù)來提高數(shù)據(jù)存儲(chǔ)的安全性。
在采用一些比較常用的操作系統(tǒng)做NAS時(shí)，要注意這些OS的漏洞，否則就會(huì)出現(xiàn)NAS機(jī)器中病毒的事情。
數(shù)據(jù)在ARRAY（SAN環(huán)境）中的秘密
當(dāng)服務(wù)器向SAN存儲(chǔ)網(wǎng)絡(luò)中的陣列發(fā)送Block請(qǐng)求時(shí)，數(shù)據(jù)就會(huì)通過存儲(chǔ)網(wǎng)絡(luò)導(dǎo)向器(Director)或者交換機(jī)(Switch)傳遞，并最終到達(dá)存儲(chǔ)陣列(Array)。
圖-4 數(shù)據(jù)在Array中流動(dòng)通路
比起NAS，SAN環(huán)境中的陣列多應(yīng)用在高端，所以更顯其高貴血統(tǒng)。從而，對(duì)于普通用戶來說，神秘的面紗更是像千層餅一樣，剝了一層又一層。其實(shí)，和NAS類似，陣列一樣也是專門為存儲(chǔ)設(shè)計(jì)的服務(wù)系統(tǒng)，它們之間最大的差別就是，陣列提供給外面的是基于控制器的Block請(qǐng)求，而NAS則是基于文件系統(tǒng)的請(qǐng)求。
因此，陣列的操作系統(tǒng)會(huì)更加集中在I/O處理性能、Cache的管理、以及對(duì)于下層卷和LUN的管理；在陣列里面，由于其數(shù)據(jù)通路主要集中在塊級(jí)模塊的設(shè)計(jì)中，為了提高該通路上的安全性，所以在塊流經(jīng)的路徑上，都增加了冗余路徑，比如雙控制器、帶電池支持的Cache、陣列內(nèi)建的基于卷上快照功能、以及磁盤的RAID功能。
數(shù)據(jù)的安全和存儲(chǔ)必將融合
目前，從國內(nèi)市場的情況來看，存儲(chǔ)領(lǐng)域安全產(chǎn)品的應(yīng)用狀況并不理想，歸納起來，影響因素主要有如下幾個(gè)方面：
a) 用戶需求并不十分迫切。在用戶的存儲(chǔ)環(huán)境中，把存儲(chǔ)網(wǎng)絡(luò)看作是第二網(wǎng)，并且默認(rèn)它是安全的，與用戶最關(guān)心的可靠性、可用性、高性能等方面比較起來，安全性需求則顯得微不足道。
b) 某些安全功能的實(shí)現(xiàn)會(huì)造成系統(tǒng)性能的下降。為存儲(chǔ)的數(shù)據(jù)增加安全性是件好事，但是，加密會(huì)影響備份客戶端的性能，專家分析幅度通常在30%～50%之間。在沒有加密的任務(wù)之前，影響用戶備份速度的事情就已經(jīng)夠多的了，因此用戶根本不希望在提升安全性的同時(shí)影響到關(guān)鍵的應(yīng)用性能。此外，一旦對(duì)數(shù)據(jù)進(jìn)行加密，便無法進(jìn)行壓縮，這樣用戶等于把磁帶的平均容量減去了一半。
c) 成本是不可忽略的。即使部署某些安全功能對(duì)系統(tǒng)性能不會(huì)產(chǎn)生影響，成本也是不得不考慮的因素。舉個(gè)例子來說，在用戶構(gòu)建一套SAN網(wǎng)絡(luò)設(shè)備時(shí)，如果在安全方面配備齊全，那么用戶需要額外支付的費(fèi)用基本上與構(gòu)建同樣一套網(wǎng)絡(luò)的費(fèi)用相當(dāng)。
d) 部署某些安全功能可能需要中斷應(yīng)用。如今用戶能夠承擔(dān)的停機(jī)時(shí)間越來越少，不會(huì)因?yàn)椴渴鹉承┌踩δ芴匾庵袛嘣诰€應(yīng)用。
盡管如此，從最近的存儲(chǔ)行業(yè)的并購潮流，如Symantec并購Veritas，EMC收購RSA，以及NetApp收購Decru，甚至連介質(zhì)廠商希捷都加入了DriveTrust技術(shù)來增強(qiáng)數(shù)據(jù)安全性，可見越來越多的存儲(chǔ)廠商都在將安全技術(shù)結(jié)合到存儲(chǔ)產(chǎn)品之中。
隨著數(shù)據(jù)的重要性越來越受到大家的重視，而數(shù)據(jù)丟失或者被竊取將會(huì)帶來不可估量的損失，甚至已經(jīng)通過立法來加強(qiáng)電子數(shù)據(jù)的安全性。其中，數(shù)據(jù)在流動(dòng)的安全漏洞和可靠性也越來越突出，數(shù)據(jù)在傳輸安全和存儲(chǔ)安全已經(jīng)得到廣泛地共識(shí)。可以相信，在數(shù)據(jù)流動(dòng)的漫漫長路中，存儲(chǔ)和安全必然結(jié)合，這是數(shù)據(jù)的最終歸宿。
本文節(jié)選自《信息存儲(chǔ)》雜志2006年度特刊，點(diǎn)擊此處瀏覽全部文章。
想要免費(fèi)申請(qǐng)訂閱《信息存儲(chǔ)》雜志，請(qǐng)點(diǎn)擊此處。
