iSCSI 与 3260 端口
3260 是 iSCSI 的标准端口，它把 SCSI 指令封装进 TCP，让主机像使用本地磁盘一样使用远端存储。虚拟化平台、数据库与超融合环境大量用它承载业务数据盘。默认配置既不做认证也不做加密，抓包就能还原磁盘内容，因此它的安全边界几乎完全依赖网络隔离。在此基础上再加 CHAP 认证，能挡住同网段的未授权挂载，但 CHAP 本身不能防嗅探。
基本信息
| 服务 | iSCSI 目标端与发起端 |
|---|---|
| 协议 | TCP（默认 3260） |
| 用途 | 跨网络提供块存储，供主机当本地盘使用 |
| 认证方式 | 支持 CHAP 单向或双向认证 |
| 常用工具 | 系统自带的 iSCSI 管理命令或平台管理界面 |
| 安全等级 | 存储专网，仅允许发起端访问 |
典型使用场景
- 虚拟化平台存储：为宿主机提供共享数据盘与虚机磁盘
- 数据库独立存储：把数据盘放到独立存储上便于扩容与快照
- 集群共享盘：配合集群文件系统实现多节点访问同一份数据
- 备份卷：为备份服务器提供独立的大容量卷
- 迁移演练：从存储侧切换卷以验证主机的多路径与故障处理
发现与登录目标
发现与登录目标
iscsiadm -m discovery -t sendtargets -p 10.0.0.10:3260 # 发现可用目标
iscsiadm -m node -T iqn.2024-01.com.example:storage -p 10.0.0.10:3260 --login # 登录目标
iscsiadm -m session -P 3 | head -n 40 # 查看会话与设备映射
ss -lntp | grep 3260 # 存储侧确认监听范围启用 CHAP 认证（发起端）
启用 CHAP 认证（发起端）
iscsiadm -m node -T <目标名> -p <地址> --op update -n node.session.auth.authmethod -v CHAP
iscsiadm -m node -T <目标名> -p <地址> --op update -n node.session.auth.username -v initiator01
# 再设置 node.session.auth.password，并在目标端配置相同凭据
# 双向认证还需配置 target 侧的对外用户名与口令常见问题与定位
| 现象 | 可能原因 | 处置方向 |
|---|---|---|
| 发现无结果 | 网络不通或目标未放行该发起端 | 确认端口可达与目标端访问控制 |
| 登录被拒 | 认证信息不一致或未授权 | 核对 CHAP 账号口令与授权列表 |
| 单路径可写但切换后卡死 | 多路径未配置或策略不当 | 按厂商建议配置多路径与故障切换 |
| 性能异常 | 链路拥塞或多路径未负载均衡 | 检查网络质量与路径策略 |
把 3260 开放到办公网等于把裸磁盘挂到每个人面前；存储网络必须与业务网络物理或逻辑隔离，并只允许特定发起端访问。
维护操作要有顺序：涉及路径切换或存储侧变更时，先确认业务低峰并停止或挂起相关写入，再执行操作；直接拔线或重启存储可能导致主机 I/O 挂起。
多路径是可用性关键：双控制器的存储应配两条独立路径，并确认故障切换与回切策略符合厂商建议，避免单条链路抖动造成主机整体卡死。