安全性是互联网永恒的话题。对于用户来讲，存储设备保存的是用户最关键的数据，这些数据往往是私密性的，一旦把这些数据放置在IP网络上，安全问题将变得非常突出。IETF（互联网工程任务组）和SNIA（全球网络存储工业协会）的IP存储工作组在制定iSCSI标准时充分考虑到安全问题。例如，IETF的互联网工程指导小组（IESG）要求在三种IP存储协议中使用IPSec（iSCSI、FCIP和iFCP），但这样做显然会影响性能。

    那么，相对于光纤存储技术，IP存储是否就是不安全存储的代名词呢？事实显然不是这样。按网络七层模型分析，光纤通道协议是工作在第二层的协议，原本并没有建立安全机制，而且该协议和IP协议完全不同，不能直接运行在IP网络上。一旦连接存储设备的服务器被攻破，没有任何安全认证机制的FCSAN存储设备自然就完全暴露在入侵者面前。FC协议在发起端和目标端通过惟一的WWPN号建立对应关系，而黑客可以简单地采用Spoofing（欺诈）方式伪装成合法的发起端，实现对未经授权的目标端存储空间的访问。

    光纤通道环境给人感觉具有比较高的安全性，原因在于它是服务器后端的专用局域网络。从本质上来说，光纤通道结构是一个独立的子网，专门处理在数据中心内的主机与目标设备间的数据通信问题。iSCSI给人感觉安全性较低，原因在于它是基于以太网和IP协议的网络。不过，通过部署专用于存储的IP网络，并和前端数据通信网络相对隔离，就可以实现和光纤通道技术相同级别的网络存储安全性。

    其实，iSCSI提供了非常丰富的安全功能。iSCSI协议提供了发起端与目标端两方面的身份验证（使用CHAP、SRP、Kerberos和SPKM），能够阻止未经授权的访问，只允许那些可信赖的节点进行访问。另外，IPSecDigests（IPSec摘要）和Anti-Reply（防回复）功能阻止了插入、修改和删除操作，而IPSecEncryption（IPSec加密）或SSL加密功能可防止被窃听，确保私密性。

    用户可以通过以下几个步骤对IPSAN的安全性和数据的安全性进行管理。

    访问控制管理

    完善IT部门日常工作管理机制，定时检查区域网络连线状况以保障基础网络线路的正确性。经常检查存储系统的访问记录，确认存储系统访问者都经过授权许可。限制区域网络存储系统的终端与内外网的互访，并将SAN存储系统内的重要数据划分成不同的区块，并进行屏蔽，将不同区块与对应部门相关授权人员不同级别的访问权限对应，不定时更换访问密码，避免黑客的攻击。

    通过设置访问控制列表，对设备的身份合法性进行控制，限制非法设备接入IPSAN网络中。作为SAN存储系统的组成部分，IPSAN交换机可以提供支持基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、端口的ACL，对访问存储系统资源的设备进行精细的安全访问权限过滤，防止非法设备接入网络中获取资源。

    目前，市面上主流的IPSAN存储系统都可支持基于IP地址的访问控制列表，但这并不能阻止所有黑客的入侵。还有一个办法，就是使用iSCSI客户机的发起端名字（InitiatorName）。与光纤系统的全球名字（WWN）、以太网的MAC地址一样，发起端名字指的是为每台iSCSI主机总线适配器（HBA）或软件发起端（SoftwareInitiator）分配的全球惟一的名称标识。其缺点也与WWN、MAC地址一样，很容易被制服。它与光纤系统的逻辑单元屏蔽（LUN Masking）技术一样，首要任务只是为了隔离客户端的存储资源，而非构筑有效的安全防范屏障。

    使用用户身份验证机制

    除了控制设备的合法性外，还可以通过AAA认证安全策略，对访问系统资源的用户进行认证。