一种裸机的对接存储方法、装置及系统与流程

1.本技术涉及计算机技术领域，尤其涉及一种裸机的对接存储方法、装置及系统。


背景技术：

2.云平台通常包括存储网络。其中，存储网络包括多个裸机以及存储设备，多个裸机中的每个裸机均可以访问存储设备，并且，多个裸机之间均可以互相通信。因此，当某一个裸机向存储设备发送数据时，其他的裸机可以截获该数据，从而导致该数据被泄密。
3.因此，如何实现裸机安全地对接存储设备，即，当某一个裸机向存储设备发送数据时，其他的裸机不可以截获该数据仍是一个技术挑战。


技术实现要素：

4.本技术实施例公开了一种裸机的对接存储方法、装置及系统，能够实现多租户场景下多裸机间彼此隔离，提高了裸机对接存储设备时的安全性。
5.第一方面，本技术实施例提供了一种裸机的对接存储方法，该方法应用于云管理平台，该方法包括：组建存储网络，存储网络包括多个裸机、接入交换机、核心交换机和存储设备；多个裸机与接入交换机连接，多个接入交换机与核心交换机连接，核心交换机与存储设备连接；配置存储网络，以使多个裸机中的每个裸机与存储设备互通以及多个裸机中的任意两个裸机之间相互隔离。
6.上述方法中，组建包括多个裸机、接入交换机、核心交换机和存储设备的存储网络，通过对存储网络进行配置实现不同的裸机之间相互隔离以及存储网络中的每个裸机仅与存储设备互通，有效避免了裸机恶意截获其他裸机发送的消息，且还防止了存储设备中数据泄露，提高了多租户场景下裸机以及存储设备的安全性能。
7.在第一方面的一种可能的实现方式中，上述多个裸机包括第一裸机和第二裸机，配置存储网络可以是：在接入交换机上采用复合虚拟局域网mux-vlan对第一裸机和第二裸机进行隔离，第一裸机、第二裸机分别与接入交换机连接，第一裸机和第二裸机位于同一vlan且同一子网。
8.实施上述实现方式，第一裸机和第二裸机为多个裸机中的任意两个，当第一裸机和第二裸机与同一个接入交换机连接时，且第一裸机所在的vlan和子网和第二裸机所在的vlan和子网分别相同，可采用mux-vlan对第一裸机和第二裸机进行隔离，实现了同一vlan且同一子网内裸机间的二层流量隔离，有效避免了裸机间发生恶意截获消息的事件，提高了裸机的安全性。
9.在第一方面的一种可能的实现方式中，上述多个裸机包括第一裸机和第二裸机，配置存储网络可以是：在接入交换机上设置第一访问控制列表对第一裸机和第二裸机进行隔离，第一裸机、第二裸机分别与接入交换机连接，第一裸机和第二裸机位于同一vlan且同一子网。
10.实施上述实现方式，第一裸机和第二裸机为多个裸机中的任意两个，当第一裸机
和第二裸机与同一个接入交换机连接时，且第一裸机所在的vlan和子网和第二裸机所在的vlan和子网分别相同，在该接入交换机上设置访问控制列表(acl)以使第一裸机和第二裸机不互通，了同一vlan且同一子网内裸机间的二层流量隔离，有效避免了裸机间发生恶意截获消息的事件，提高了裸机的安全性能。
11.在第一方面的一种可能的实现方式中，多个裸机还包括第三裸机和第四裸机，配置存储网络可以是：在核心交换机上设置第二访问控制列表对第三裸机和第四裸机进行隔离，第三裸机和第四裸机分别通过不同的接入交换机与核心交换机连接，第三裸机和第四裸机位于不同的子网。
12.实施上述实现方式，第三裸机和第四裸机为多个裸机中的任意两个，当第三裸机连接的接入交换机与第四裸机连接的接入交换机不同，且第三裸机所在的子网与第四裸机所在的子网不同，通过在核心交换机上设置acl以禁止第三裸机与第四裸机之间互通，实现了跨子网的裸机间的三层流量隔离，有效避免了裸机间发生恶意截获消息的事件，提高了多租户情况下裸机的安全性能。
13.在第一方面的一种可能的实现方式中，配置存储网络，包括：在核心交换机上设置第三访问控制列表以使多个裸机中的每个裸机与存储设备互通，每个裸机与存储设备位于不同的vlan且不同的子网。
14.实施上述实现方式，存储网络中的裸机与存储设备位于不同的vlan且不同的子网，通过在核心交换机上设置acl以使每个裸机均与存储设备互通，实现了跨vlan跨子网的裸机与存储设备之间的三层流量互通。
15.在第一方面的一种可能的实现方式中，在存储网络还包括计算节点的情况下，配置存储网络，还包括：在核心交换上设置第四访问控制列表以使多个裸机中的每个裸机与计算节点隔离，每个裸机与计算节点位于不同的vlan且不同的子网。
16.当存储网络中还有计算节点的情况下，计算节点和裸机位于不同的vlan且不同的子网，通过在核心交换机上设置acl以使多个裸机中的每个裸机与计算节点不互通，实现跨vlan跨子网的裸机与计算节点之间的三层流量隔离，避免了计算节点恶意截获裸机发送的消息，提高了裸机的安全性能。
17.在第一方面的一种可能的实现方式中，多个裸机中的每个裸机的ip地址是基于每个裸机连接的接入交换机的子网和每个裸机的mac地址自动配置的。
18.结合与裸机连接的接入交换机的子网以及裸机的mac地址为目标裸机分配ip地址，即根据接入交换机确定目标裸机所在的子网，根据目标裸机的mac地址确定该目标裸机在子网内的主机号，从而实现了对该目标裸机的ip地址的自动分配，避免了手动配置裸机ip地址发生的配置错误或重复等情况，提高了裸机ip地址配置的效率和准确率。
19.在第一方面的一种可能的实现方式中，多个裸机中的每个裸机与存储设备互通之后，在每个裸机访问存储设备之前，每个裸机通过了存储设备发起的chap认证。
20.裸机与存储设备之间可以互通，在裸机通过了存储设备发起的chap认证的情况下，裸机有权限使用存储设备，即裸机通过chap认证以使存储设备确定该裸机的身份合法，故存储设备可供该裸机使用，有效防止了裸机的暴力破解，提高了多租户场景下裸机对接存储设备过程中的安全性。
21.在第一方面的一种可能的实现方式中，多个裸机中的每个裸机对应一组用于chap
认证的用户名和用户密码，不同的裸机对应的用户名和用户密码不同。
22.存储网络中的每个裸机都分配有一组用于chap认证的用户名和用户密码，且每个裸机用于chap认证的用户名和用户密码具有唯一性，用户名和用户密码均是随机生成的，有效防止了裸机被仿冒以获取存储设备中的数据，提高了多租户场景下裸机对接存储设备过程中的安全性。
23.在第一方面的一种可能的实现方式中，配置存储网络是指：采用访问控制列表，或者，访问控制列表和复合虚拟局域网mux-vlan配置存储网络。
24.第二方面，本技术提供了一种装置，该装置包括组建单元，用于组建存储网络，存储网络包括多个裸机、接入交换机、核心交换机和存储设备；多个裸机与接入交换机连接，多个接入交换机与核心交换机连接，核心交换机与存储设备连接；配置单元，用于配置存储网络，以使多个裸机中的每个裸机与存储设备互通以及多个裸机中的任意两个裸机之间相互隔离。
25.在第二方面的一种可能的实现方式中，多个裸机包括第一裸机和第二裸机，配置单元，具体用于：在接入交换机上采用复合虚拟局域网mux-vlan对第一裸机和第二裸机进行隔离，第一裸机、第二裸机分别与接入交换机连接，第一裸机和第二裸机位于同一vlan且同一子网。
26.在第二方面的一种可能的实现方式中，多个裸机包括第一裸机和第二裸机，配置单元，具体用于：在接入交换机上设置第一访问控制列表对第一裸机和第二裸机进行隔离，第一裸机、第二裸机分别与接入交换机连接，第一裸机和第二裸机位于同一vlan且同一子网。
27.在第二方面的一种可能的实现方式中，多个裸机还包括第三裸机和第四裸机，配置单元，具体用于：在核心交换机上设置第二访问控制列表对第三裸机和第四裸机进行隔离，第三裸机和第四裸机分别通过不同的接入交换机与核心交换机连接，第三裸机和第四裸机位于不同的子网。
28.在第二方面的一种可能的实现方式中，配置单元，具体用于：在核心交换机上设置第三访问控制列表以使多个裸机中的每个裸机与存储设备互通，每个裸机与存储设备位于不同的vlan且不同的子网。
29.在第二方面的一种可能的实现方式中，在存储网络还包括计算节点的情况下，配置单元，还用于：在核心交换上设置第四访问控制列表以使多个裸机中的每个裸机与计算节点隔离，每个裸机与计算节点位于不同的vlan且不同的子网。
30.在第二方面的一种可能的实现方式中，多个裸机中的每个裸机的ip地址是基于每个裸机连接的接入交换机的子网和每个裸机的mac地址自动配置的。
31.在第二方面的一种可能的实现方式中，多个裸机中的每个裸机与存储设备互通之后，在每个裸机访问存储设备之前，每个裸机通过了存储设备发起的chap认证。
32.在第二方面的一种可能的实现方式中，多个裸机中的每个裸机对应一组用于chap认证的用户名和用户密码，不同的裸机对应的用户名和用户密码不同。
33.在第二方面的一种可能的实现方式中，配置单元具体用于：采用访问控制列表，或者，访问控制列表和复合虚拟局域网mux-vlan配置存储网络。
34.第三方面，本技术提供了一种裸机的存储系统，该存储系统包括：多个裸机、接入
交换机、核心交换机和存储设备；多个裸机与接入交换机连接，多个接入交换机与核心交换机连接，核心交换机与存储设备连接；多个裸机中的每个裸机与存储设备互通，多个裸机中的任意两个裸机之间相互隔离。
35.在第三方面的一种可能的实现方式中，多个裸机包括第一裸机和第二裸机，
36.接入交换机上设置有复合虚拟局域网mux-vlan，mux-vlan使得第一裸机与第二裸机隔离，第一裸机、第二裸机分别与接入交换机连接，第一裸机和第二裸机位于同一vlan且同一子网。
37.在第三方面的一种可能的实现方式中，多个裸机包括第一裸机和第二裸机，
38.接入交换机上设置有第一访问控制列表，第一访问控制列表使得第一裸机与第二裸机隔离，第一裸机、第二裸机分别与接入交换机连接，第一裸机和第二裸机位于同一vlan且同一子网。
39.在第三方面的一种可能的实现方式中，多个裸机还包括第三裸机和第四裸机，核心交换机上设置有第二访问控制列表，第二访问控制列表使得第三裸机与第四裸机隔离，第三裸机和第四裸机分别通过不同的接入交换机与核心交换机连接，第三裸机和第四裸机位于不同的子网。
40.在第三方面的一种可能的实现方式中，核心交换机上设置有第三访问控制列表，第三访问控制列表使得多个裸机中的每个裸机与存储设备互通，每个裸机与存储设备位于不同的vlan且不同的子网。
41.在第三方面的一种可能的实现方式中，在存储系统还包括计算节点的情况下，核心交换上还设置有第四访问控制列表，第四访问控制列表使得多个裸机中的每个裸机与计算节点隔离，每个裸机与计算节点位于不同的vlan且不同的子网。
42.在第三方面的一种可能的实现方式中，多个裸机中的每个裸机的ip地址是基于每个裸机连接的接入交换机的子网和每个裸机的mac地址自动配置的。
43.在第三方面的一种可能的实现方式中，多个裸机中的每个裸机与存储设备互通之后，在每个裸机访问存储设备之前，每个裸机通过了存储设备发起的chap认证。
44.在第三方面的一种可能的实现方式中，多个裸机中的每个裸机对应一组用于chap认证的用户名和用户密码，不同的裸机对应的用户名和用户密码不同。
45.第四方面，本技术实施例提供了一种装置，该装置包括处理器和存储器，处理器和存储器通过总线连接或者耦合在一起；其中，存储器用于存储程序指令；所述处理器调用所述存储器中的程序指令，以执行第一方面或者第一方面的任一可能的实现方式中的方法。
46.第五方面，本技术实施例提供了一种计算机可读存储介质，所述计算机可读介质存储用于装置执行的程序代码，所述程序代码包括用于执行第一方面或者第一方面的任一可能的实现方式中的方法的指令。
47.第六方面，本技术实施例提供了一种计算机软件产品，该计算机程序软件产品包括程序指令，当该计算机软件产品被装置执行时，该装置执行前述第一方面或者第一方面的任一可能的实施例中的所述方法。该计算机软件产品可以为一个软件安装包，在需要使用前述第一方面的任一种可能的设计提供的方法的情况下，可以下载该计算机软件产品并在装置上执行该计算机软件产品，以实现第一方面或者第一方面的任一可能的实施例中的所述方法。
附图说明
48.为了更清楚地说明本技术实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
49.图1是本技术实施例提供的一种系统的架构示意图；
50.图2是本技术实施例提供的一种系统的具体结构示意图；
51.图3是本技术实施例提供的一种裸机的组网示意图；
52.图4是本技术实施例提供的又一种裸机的组网示意图；
53.图5是本技术实施例提供的又一种裸机的组网示意图；
54.图6是本技术实施例提供的一种裸机的ip地址自动配置的方法流程图；
55.图7是本技术实施例提供的一种裸机的chap认证信息配置的方法流程图；
56.图8是本技术实施例提供的一种裸机与存储设备之间chap认证的方法流程图；
57.图9是本技术本实施例提供的一种装置的结构示意图；
58.图10是本技术实施例提供的一种装置的功能结构示意图；
59.图11是本技术实施例提供的又一种装置的功能结构示意图；
60.图12是本技术实施例提供的又一种装置的功能结构示意图。
具体实施方式
61.在本技术实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本技术。本技术实施例中的说明书和权利要求书中的术语“第一”、“第二”等是用于区别不同对象，而不是用于描述特定顺序。
62.为了便于理解，下面先对本技术实施例可能涉及的相关术语等进行介绍。
63.(1)因特网小型计算机系统接口iscsi
64.因特网小型计算机系统接口(internet small computer system interface，iscsi)，又称ip存储区域网络(storage area network，san)。它基于tcp/ip协议在现有ip网络上传输scsi块命令的工业标准，它是一种在现有的ip网络上无需安装单独的光纤网络即可同时传输消息和块数据的存储技术。iscsi基于tcp/ip协议，将scsi命令/数据块封装为iscsi包，再封装至tcp报文，然后封装到ip报文中，可以在标准以太网设备上通过路由或交换机来传输。
65.iscsi是一种典型的客户端/服务端(c/s)架构，其中，访问存储系统的主机设备称为iscsi客户端或主机，也可以称为iscsi启动器(iscsiinitiator)，而提供存储服务的存储设备称为服务端，服务端也可以称为目标器(target)。iscsi的主要功能是利用tcp/ip网络，在主机设备(initiator)和存储设备(target)之间进行大量的数据封装和可靠传输过程。
66.(2)询问握手认证协议chap
67.chap全称是ppp(点对点协议)询问握手认证协议(challenge handshake authentication protocol)。该协议可通过三次握手周期性的校验对端的身份，可在初始链路建立时、完成时、在链路建立之后重复进行。通过递增改变的标识符和可变的询问值，可防止来自端点的重放攻击，使用重复校验可限制暴露于单个攻击的时间。常用于企业网
的远程接入环境。
68.具体地，第一步：链路建立阶段结束之后，认证者向对端点发送“challenge”消息；第二步：对端点用经过单向哈希函数计算出来的值做应答；第三步：认证者根据它自己计算的哈希值来检查应答，如果值匹配，认证得到承认；否则，连接应该终止；第四步：经过一定的随机间隔，认证者发送一个新的“challenge”消息给端点，重复第一步至第三步。认证者可控制验证频度和时间。
69.参见图1，图1是本技术实施例提供的一种应用系统的结构示意图，如图1所示，本技术的应用系统，包括：云管理平台110、多个裸机120和存储设备130。其中，多个裸机120中每个裸机通过网络连接云管理平台110，存储设备130通过网络与云管理平台110连接。需要说明的是，多个裸机120中的任意两个裸机之间不能互通，多个裸机120中的每个裸机可与存储设备130互通。
70.云管理平台110包括操作系统111和硬件112。云管理平台110可以是用于提供iaas服务的aws(amazon web service)、openstack、cloudstack等等。操作系统111可以是嵌入式操作系统、类unix操作系统等等，例如，嵌入式操作系统可以是vxworks、ecos、symbian os及palm os，图形操作系统可以是microsoft windows以及macos x等等，类unix操作系统可以是system v、bsd与linux等等。硬件112可以包括处理器、内存以及物理网卡等等。
71.存储设备130支持iscsi技术，即通过网络为多个裸机120的提供存储空间。这种类型的存储设备提供给多个裸机120的是一个裸的、没有文件系统的逻辑卷，每个逻辑卷有一个唯一的裸机单元号(logical unit number，lun)。
72.多个裸机120中的每个裸机是指能自动完成操作系统安装以及配置存储及网络的物理服务器,例如，裸金属服务器(bare metal service,bms)。如图1所示，多个裸机120中的每个裸机对应一个租户，即租户与裸机是一对一的映射关系，裸机的操作系统可由租户自定义安装。在一些可能的实施例中，该应用系统中租户与裸机的对应关系也可以为一对多，即一个租户可以租用多个裸机，例如，裸机1和裸机2对应同一租户，在此情况下，仍设置不同的裸机之间不能互通，但每个裸机均可与存储设备10进行通信，以提高裸机对接存储设备的安全性。可选地，在对系统的安全性要求不那么高的情况下，也可以使属于同一租户的裸机之间可以互通，但对应不同租户的裸机之间不能互通。
73.基于上文图1所述的系统架构，结合图2进一步说明多个裸机120对接存储设备130的过程。参见图2，图2是本技术提供的一种系统的具体结构示意图。裸机管理模块和存储管理模块均属于图1中的云管理平台110，在一些可能的实施例中，裸机管理模块可以是云管理平台110的用于提供计算服务的组件，例如，nova组件等。存储管理模块可以是云管理平台110用于提供存储的组件，例如，cinder组件等。在图2中，裸机a和裸机b之间不互通，裸机a可与存储设备通信，裸机b可与存储设备通信。存储设备支持iscsi协议，因此，存储设备中集成有iscsi目标器，相应地，裸机a和裸机b内分集成有iscsi启动器。本技术中，在裸机a(或裸机b)通过存储设备发起的安全认证(例如，chap认证)的情况下，裸机a(或裸机b)内的iscsi启动器可与存储设备的iscsi目标器通信。需要说明的是，图2中，裸机a和裸机b仅是为多个裸机的示例，并不限定多个裸机的数量仅为2。
74.参见图2所示，以裸机a对接存储设备为例进行示例性阐述，裸机a对接存储设备的基本流程为：租户向云管理平台的存储管理模块发送为裸机a创建“卷(或称为快设备)”的
请求，存储管理模块在存储设备中创建“卷”，并记录已创建的“卷”和裸机a的对应关系；租户向云管理平台的裸机管理模块发送挂载“卷”的请求，裸机管理模块接收到挂载“卷”的请求后，从存储管理模块处获取裸机a对应的“卷”的元数据，裸机管理模块将“卷”的元数据并传递至裸机a内的存储代理(agent)模块，即实现了为裸机a挂“卷”。在裸机a与存储设备可互通的情况下，当裸机a要访问iscsi存储设备中的卷时，在裸机a认证通过的情况下，裸机a内的存储agent模块基于“卷”的原数据调用裸机内的iscsi启动器(initiator)对“卷”进行访问及使用。
75.相关技术中，裸机对接存储设备的过程可参考上述裸机a对接存储设备的叙述，但不同的是：相关技术中，多个裸机对接存储设备时，由于存储网络是普通的虚拟局域网(virtual local area network，vlan)，连接到同一存储设备的裸机之间可以通过存储网络互通，无隔离能力，在多租户场景下极易造成数据泄露、传输包截获等高危事件的发生，存在很大的安全隐患；此外，相关技术中并未限制在裸机认证通过的情况下该裸机才可访问存储设备，因此，其他裸机的租户可以通过暴力破解的方式将自己裸机中的iscsi启动器伪造成已知裸机的iscsi启动器，即可访问该已知裸机对应的存储设备中的卷从而可以从中读取隐私数据或者写入破坏数据。例如，以模拟标识号的增长为例，假设存储管理模块上已建立裸机a(iscsi启动器的标识号为1)与lun1、lun2的对应关系以及裸机b(iscsi启动器的标识号为2)与lun3、lun4的对应关系，但存储管理模块上未建立裸机c的相关映射信息，假设裸机c预访问存储设备，裸机c通过模拟标识号增长的方式暴力破解iscsi启动器，例如，试验标识号2(模拟裸机b的iscsi启动器)，则可访问存储设备中的lun3和lun4，导致存储设备中的数据信息泄露，安全系数低。除此之外，裸机节点上的ip也多为人工配置，易用性不强、安全性低。
76.本技术提供了一种裸机租户的对接存储方法，不仅可以实现多租户的裸机之间的隔离，还能有效防止裸机内iscsi启动器的暴力破解，以及裸机ip地址的自动配置，大大提高了裸机对接存储设备过程中的安全性，以及整个系统的安全性。
77.基于上文所描述的系统架构，目标有三个：
78.(1)若要实现裸机与存储设备之间的安全对接，则需要预先设置存储网络中裸机在各种组网形态下的裸机之间的隔离和裸机和存储设备之间的互通。例如，以图2中的裸机a、裸机b和存储设备为例，实现裸机a与裸机b隔离，即裸机a向外发送消息时，裸机b无法截获该消息，同理，裸机b向外发送消息时，裸机b无法截获该消息；另外，实现裸机a和存储设备的互通，即裸机a可以向存储设备发送消息，存储设备也可以向裸机a发送消息，以及实现裸机b与存储设备的互通，类似裸机a与存储设备的互通，在此不再赘述。
79.(2)自动配置裸机ip。裸机管理模块基于与裸机连接的目标交换机所在的子网以及裸机中存储网卡的媒体访问控制地址(media access control address，mac)地址自动配置裸机的ip地址。
80.(3)防止裸机内的iscsi启动器暴力破解。以图2中的裸机a和存储设备为例，当裸机a读取存储设备中的数据或者写入数据至存储设备之前，裸机a还需与存储设备之间进行安全认证，当裸机a认证成功后，裸机a才有权限读取存储设备中的数据或者写入数据至存储设备。可选地，裸机与存储设备之间的安全认证可以采用chap认证。
81.下面依次介绍上述三个目标的具体实现过程。
82.首先介绍实现上述目标(1)，即设置存储网络中裸机在各种组网形态下的隔离和互通，其中，所谓互通指的是裸机只能与存储设备进行通信，所谓隔离指的是裸机与裸机之间不能通信，在一些可能的实施例中，若组网中还存在计算节点，所谓隔离还指裸机与计算节点之间不能通信。
83.本技术实施例中，在多租户环境下，可以基于复合虚拟局域网(multiplex vlan，mux-vlan)技术和访问控制列表(access control list，acl)技术中的至少一种控制裸机在各种组网形态下的隔离与互通，其中，mux-vlan技术用于实现位于相同vlan且相同子网的裸机间的隔离，换句话说，mux-vlan技术可实现二层流量隔离；acl技术既可以用于实现位于相同vlan且相同子网的裸机间的隔离(即二层流量隔离)，又可用于实现位于相同vlan且不同子网的裸机间的隔离，以及位于不同vlan且不同子网的裸机间的隔离(即三层流量隔离)。除此之外，acl技术还用于实现裸机和存储设备之间的互通，裸机和存储设备位于不同的vlan且不同子网。
84.在一些可能的实施例中，若存储网络的组网中除了有裸机外还存在计算节点(例如，虚拟机)，当裸机与计算节点位于相同vlan且不同子网时或者位于不同vlan且不同子网时，acl技术也可以实现裸机与计算节点间的隔离。需要说明的是，判断裸机a和裸机b的子网是否相同，将裸机的ip地址与其对应的子网掩码进行与运算获得子网地址，比较裸机a的子网地址和裸机b的子网地址是否相同，若相同，则说明裸机a和裸机b在同一子网。
85.mux-vlan提供了一种通过vlan进行网络资源控制的机制。mux-vlan分为主vlan(principal vlan)和从vlan(subordinate vlan)，其中，从vlan又分为隔离型从vlan(separate vlan)和互通型从vlan(group vlan，又称组vlan)，从vlan需与主vlan进行绑定，且每个主vlan仅支持一个隔离型从vlan但支持多个互通型从vlan，主vlan的接口可以与mux vlan内的所有接口进行通信，隔离型从vlan的接口只能和主vlan的接口进行通信，和其他类型的接口实现完全隔离，互通型从vlan的接口可以和主vlan的接口进行通信，且在同一组内的接口也可互相通信，但不能和其他组接口或separate port通信。
86.acl技术是一种基于包过滤的流控制技术。acl可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同的报文进行处理，从而可以对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等。acl可以有效控制网络用户对网络资源的访问，可以具体到两台网络设备的网络应用，也可以基于子网进行大范围的访问控制管理，即实现网络设备间的通信与隔离，为网络应用提供了一个有效的手段。
87.参见图3，图3是本技术实施例提供的一种裸机的组网示意图，如图3所示，该场景下有裸机1、裸机2、裸机3、裸机4、两个接入交换机(接入交换机1和接入交换机2)、核心交换机和存储设备。在叙述各部件的连接之前，为了叙述方便，对于每一个交换机，交换机的接口按照从左至右的顺序依次表示为第一接口、第二接口等依次排序，但本技术并不限定交换机各接口的命名。具体地，裸机1与接入交换机1的第一接口连接，裸机2与接入交换机1的第二接口连接，裸机3与接入交换机2的第一接口连接，裸机4与接入交换机2的第二接口连接，接入交换机1的第三接口与核心交换机的第一接口连接，接入交换机2的第四接口与核心交换机的第二接口连接，核心交换机的第三接口与存储设备连接。
88.在核心交换机中，第一接口和第二接口的vlan的id均设置为2124，第三接口的vlan的id设置为2126；在接入交换机1中，第三接口的vlan的id设置为2124，且第三接口的
vlan 2124被配置为mux-vlan的主vlan，第一接口和第二接口的vlan的id均设置为2200，且vlan 2200被配置为从vlan中的隔离型从vlan，隔离型从vlan 2200与主vlan 2124绑定；在接入交换机2中，第四接口的vlan的id设置为2124，且第四接口的vlan 2124被配置为mux-vlan的主vlan，第一接口和第二接口的vlan的id设置为2200，且vlan 2200被配置为从vlan中的隔离型从vlan，隔离型从vlan 2200与主vlan 2124绑定。另外，在图3中，假设子网掩码默认为255.255.255.0。
89.裸机在该组网形态下隔离和互通通过mux-vlan技术和acl技术实现，即通过使用mux-vlan实现裸机间的二层流量隔离，通过设置acl规则实现裸机间的三层流量隔离和裸机与计算节点间的三层流量隔离、以及裸机与存储设备之间的互通，其具体实现为：
90.(1)同一接入交换机下裸机的隔离：同一接入交换机下的裸机使用相同的vlan且相同的子网，如图3所示，裸机1和裸机2位于同一子网，裸机3和裸机4位于同一子网。设置与裸机连接的接入交换机的接口使用mux-vlan中的隔离型从vlan，以隔离同一接入交换机下的裸机间的互通，实现二层流量隔离，由图3可知，接入交换机1中，与裸机1连接的第一接口和与裸机2连接的第二接口均加入至隔离型从vlan2200，实现了裸机1和裸机2之间不互通。同理，接入交换机2中，裸机3和裸机4均对应隔离型从vlan2200，实现了裸机3和裸机4不互通。
91.(2)不同接入交换机下的裸机间的隔离：不同接入交换机下的裸机可使用相同的vlan(包括主vlan和从vlan)，但需使用不同的子网，处于不同子网下的裸机间的隔离通过在核心交换机设置acl规则实现。不妨以图3中接入交换机1下的裸机1和接入交换机2下的裸机3为例，裸机1和裸机3对应的接入交换机的接口使用的vlan相同，但裸机1和裸机3使用的子网不同。若要裸机1和裸机3之间不互通，需在核心交换机上设置acl规则进行三层流量隔离，即建立裸机1所在的子网禁止访问裸机3所在的子网的acl规则以及建立裸机3所在的子网禁止访问裸机1所在子网的acl规则，即可实现裸机1和裸机3之间不互通，由于裸机1和裸机2所在的子网相同，裸机3和裸机4所在的子网相同，因此，参照上述步骤设置acl规则还可以控制裸机1和裸机4不互通，裸机2分别与裸机3、裸机4不互通。例如，在核心交换上设置的acl规则可以是，“rule 1deny ip source 88.98.100.0 0.0.0.255destination 88.98.104.0 0.0.0.255”，即可实现裸机1、裸机2、裸机3和裸机4中任意两者之间不互通。在一些可能的实施例中，在裸机1的ip地址和裸机3的ip地址已知的情况下，也可以在核心交换机上建立禁止裸机1的ip地址与裸机3的ip地址互访的acl规则，以实现裸机1和裸机3之间的三层流量隔离。
92.(3)裸机与存储设备之间的互通：裸机和存储设备使用不同的vlan和不同的子网，裸机和存储设备之间的互通可通过在核心交换机上设置acl规则实现。例如，存储设备的vlanid为2126，不同于裸机1、裸机2、裸机3和裸机4对应的vlan id为2200，存储设备对应的子网为88.98.103.0，裸机1和裸机2对应的子网为88.98.100.0，裸机3和裸机4对应的子网88.98.104.0，换句话说，存储设备使用的网段为103，不同于裸机1和裸机2使用的网段100，也不同于裸机3和裸机4使用的网段104。不妨以裸机1和存储设备之间的互通为例：裸机1和存储设备位于不同的子网，可通过在核心交换机上设置允许裸机1的子网与存储设备的子网互访的acl规则。例如，“rule 2permit 88.98.100.0 0.0.0.255destination88.98.103.0 0.0.0.255”，即可实现裸机1和存储设备之间的互通，
由于裸机2和裸机1位于同一子网，该条acl规则也可实现裸机2与存储设备互通。参考上述步骤可设置acl规则以实现裸机3、裸机4分别与存储设备互通，在此不再赘述。
93.需要说明的是，在图3所示的组网中，使用了mux-vlan的交换机上不设置网关，网关设置在核心交换机上。
94.经过上述设置后，结合mux-vlan和acl规则最终可以实现裸机1与裸机2不互通，裸机3和裸机4不互通，存储设备分别与裸机1、裸机2、裸机3和裸机4互通，裸机1分别与裸机3、裸机4不互通，裸机2分别与裸机3、裸机4不互通。
95.在一些可能的实施例中，图3所示的组网中还包括计算节点，例如：虚拟机1、虚拟机2、虚拟机3和虚拟机4，在组网中还包括虚拟机时，除了实现裸机与裸机的隔离、裸机和存储设备的互通外，还需控制裸机与虚拟机之间不互通。其中，虚拟机1、虚拟机2分别与接入交换机1的第四接口和第五接口连接，接入交换机1的第四接口和第五接口的vlan的id设置为2125，虚拟机3、虚拟机4分别与接入交换机2的第三接口和第五接口连接，接入交换机2的第三接口和第五接口的vlan的id设置为2125。在此情况下，要求虚拟机与裸机、存储设备使用不同的vlan和不同的子网，由图3可知，虚拟机、裸机、存储设备三者使用的vlan都不同，虚拟机1/2的子网相同，且不同于裸机的子网和存储设备的子网；虚拟机3/4的子网相同，且不同于虚拟机1/2、裸机和存储设备的子网。由于裸机和虚拟机位于不同的vlan且不同的子网，可通过在核心交换机上设置相应的acl规则以隔离裸机与虚拟机，以使裸机1、裸机2分别与虚拟机1、虚拟机2、虚拟机3、虚拟机4中的任意一个不互通且裸机3、裸机4分别与虚拟机1、虚拟机2、虚拟机3、虚拟机4中的任意一个不互通。至于虚拟机之间的通信与否以及虚拟机与存储设备之间通信与否，本技术不做具体限定。
96.需要说明的是，在设置裸机在该组网形态下的隔离和互通时，需注意在使用mux-vlan技术时，应尽量使用相同或者少量的vlan id，其同一个主vlan仅能绑定一个隔离型的从vlan，因此，裸机1/2与裸机3/4对应的vlan id相同。
97.参见图4，图4是本技术实施例提供的又一种裸机的组网示意图，如图4所示，该场景下包括多个裸机、多个接入交换机、核心交换机和存储设备，其中，存储设备通过接入交换机5与核心交换机连接，裸机1、裸机2通过接入交换机2与核心交换机连接，裸机3、裸机4通过接入交换机4与核心交换机连接。在一些可能的实施例中，图4所示的组网中还包括计算节点，例如，虚拟机1和虚拟机2，且虚拟机1、虚拟机2通过接入交换机3与核心交换机连接，可以看出，虚拟机和裸机不共用接入交换机。需要说明的是裸机、存储设备和虚拟机采用不同的子网。另外，在图4中，假设子网掩码默认为255.255.255.0。
98.裸机在该组网形态下隔离和互通仅通过acl技术实现，即通过设置acl规则实现裸机间的二层流量隔离和三层流量隔离、裸机与计算节点间的三层流量隔离、以及裸机与存储设备之间的互通，其具体实现为：
99.(1)同一接入交换机下裸机的隔离：同一接入交换机下的裸机使用相同的子网，在该接入交换机上设置acl规则以使同一接入交换机下的裸机之间不互通，实现二层流量隔离。例如，以图4中的裸机3和裸机4为例，在接入交换机4上设置禁止裸机3所在子网与裸机4所在子网互访的acl规则，例如“rule 1deny ip source 88.98.103.0 0.0.0.255destination88.98.103.0 0.0.0.255”。此外，参照上述步骤可设置acl规则以实现图4中的接入交换机2下的裸机1和裸机2不互通，在此不再赘述。同一接入交换机下的裸
机间的二层流量隔离可参照上述操作。
100.(2)不同接入交换机下的裸机间的隔离：不同接入交换机下的裸机的子网不同，在裸机对应的核心交换机上设置acl规则以实现裸机在子网间的隔离，即实现了三层流量隔离。不妨以图4中接入交换机2下的裸机1和接入交换机4下的裸机3为例，裸机1和裸机3对应的接入交换机的接口使用的vlan不同，且裸机1和裸机3使用的子网不同。若想裸机1和裸机3之间不能互通，在核心交换机上设置禁止裸机1所在的子网与裸机3所在的子网互访的acl规则，例如，“rule 1deny ip source 88.98.100.0 0.0.0.255destination 88.98.103.0 0.0.0.255”(该条acl规则可禁止裸机1访问裸机3)以及“rule 2deny ip source 88.98.103.0 0.0.0.255destination 88.98.100.0 0.0.0.255”(该条acl规则可禁止裸机3访问裸机1)，故可实现裸机1和裸机3之间不互通。由于裸机1和裸机2位于同一子网，裸机3和裸机4位于同一子网，故上述设置的两条acl规则还可实现图4中裸机1和裸机4不互通以及裸机2分别与裸机3、裸机4不互通。不同接入交换机下裸机间的隔离可参考上述操作。
101.(3)裸机与存储设备之间的互通：裸机和存储设备使用不同的vlan和不同的子网，裸机和存储设备之间的互通可通过在核心交换机上设置acl规则实现。不防以图4中的裸机3和存储设备的互通设置为例，裸机3和存储设备被配置不同的vlan且不同的子网，配置接入交换机4的网关和接入交换机5的网关，并在核心交换机上设置允许裸机3和存储设备互访的acl规则，例如，“rule 3permit ip source 88.98.103.0 0.0.0.255destination 88.98.104.00.0.0.255”以及“rule 4permit ip source 88.98.104.0 0.0.0.255destination 88.98.103.0 0.0.0.255”，即可实现裸机3与存储设备互通，由于裸机4和裸机3位于同一子网，上述设置的rule3和rule4还可实现裸机4与存储设备互通。参照上述步骤可设置acl规则以实现裸机1、裸机2分别与存储设备互通，在此不再赘述。
102.在一些可能的实施例中，图4所示的组网环境中还包括计算节点，例如，虚拟机1和虚拟机2，除了实现上述裸机间的隔离外，还需实现裸机与虚拟机的隔离。由于裸机和虚拟机采用不同的子网，因此，需要在核心交换机上设置禁止裸机与虚拟机互访的acl规则以使裸机和虚拟机之间不互通，实现裸机与虚拟机之间的三层流量隔离。
103.在一些可能的实施例中，裸机和虚拟机也可能共用接入交换机，若裸机和虚拟机使用相同的vlan且相同的子网，对于同一接入交换机，需要在该接入交换机上通过设置acl规则控制裸机与裸机之间的二层流量隔离以及裸机与虚拟机之间的二层流量隔离；对于同一接入交换机，若裸机和虚拟机使用不同的vlan且不同的子网，对于同一接入交换机，在该接入交换机上需通过设置acl规则控制裸机与裸机之间的二层流量隔离以及裸机与虚拟机之间的三层流量隔离。至于不同接入交换机下裸机子网间的隔离以及裸机与虚拟机的隔离可参考前面相关叙述在核心交换机上设置，本技术不做限定。
104.需要说明的是，在图4所示的组网中，需要为每个接入交换机配置网关。
105.在一些可能的实施例中，接入交换机可以堆叠以便在有限的空间内提供尽可能多的接口，如图4所示，接入交换机1与接入交换机2堆叠，则接入交换机1的配置与接入交换机2的配置相同，即接入交换机1的vlan的id与接入交换机1的vlan的id相同，均为2124，接入交换机1的网关与接入交换机2的网关相同，均为88.98.100.2。另外，接入交换机1下连接有裸机5和裸机6，且裸机5/6和接入交换机2下的裸机1/2位于同一子网。在此情况下，要实现裸机1/2、裸机5/6任意两者之间彼此隔离，除了在接入交换机2上设置acl规则禁止裸机1和
裸机2互通外，还需在接入交换机2上设置acl规则禁止裸机1分别与裸机5、裸机6互通以及禁止裸机2分别与裸机5、裸机6互通。同理，在接入交换机1上需设置acl规则禁止裸机5与裸机6互通以及禁止裸机5、裸机6分别与裸机1、裸机5互通。由于裸1、裸机2、裸机5和裸机6位于同一vlan同一子网，在接入交换机2上设置acl规则禁止同网段间裸机的互访即可实现裸机1、裸机2、裸机3和裸机4中任意两者之间隔离，例如，“rule1deny ip source 88.98.100.0 0.0.0.255destination 88.98.100.0 0.0.0.255”，接入交换机1上同样也设置该acl规则实现裸机1、裸机2、裸机3和裸机4中任意两者之间隔离。另外，裸机5、裸机6分别与裸机3、裸机4之间的隔离的实现可参考上述规则对接入交换1和接入交换机2进行相应设置，在此不再赘述。
106.比较图3和图4的不同主要有两点，其一，同一接入交换机下相同vlan相同子网的裸机间的隔离，图3是在该接入交换机上采用mux-vlan中的隔离型vlan实现裸机间的二层流量隔离，而图4是在该接入交换机上设置acl规则以禁止裸机间的互通，从而实现裸机间的二层流量隔离；其二，图3中裸机与虚拟机共用接入交换机，而图4中裸机与虚拟机不共用接入交换机，在大型组网环境下，图4的组网方式能降低意外事件对全局的影响，安全性更高。
107.需要说明的是，在图3和图4中，各裸机与租户的对应关系，本技术并不限定，但裸机与裸机之间均不能互通。也就是说，在图3和图4中，裸机与租户可以是一对一的关系，裸机与租户也可以是一对多的关系，但无论各裸机对应的租户相同或不同，各裸机之间均不能互通，各裸机只能与存储设备互通。
108.除了图3和图4所示的组网方式外，参见图5，本技术提供了另一种裸机的组网方式，在图5中，引入了租户与裸机的对应关系，在对组网中裸机的安全隔离要求不高的情况下，对于裸机间的隔离，可以是不同租户的裸机之间隔离，同一租户的裸机之间可以互通，且裸机与计算节点隔离，裸机与存储设备互通。图5所示的组网方式可以独立于图3和图4，也可以是对图3和图5的补充，本技术不做具体限定。
109.在图5中，存储设备和裸机使用不同的vlan和不同的子网，存储设备通过接入交换机3与核心交换机连接，裸机1、裸机2通过接入交换机1与核心交换机连接，裸机3、裸机4通过接入交换机2与核心交换机连接。裸机1对应租户a，裸机2对应租户b，即裸机1和裸机2对应不同的租户，裸机3、裸机4均对应租户c。
110.由于裸机1和裸机2使用相同的vlan和相同的子网，在接入交换机1上使用mux-vlan的隔离型从vlan以实现裸机1和裸机2之间的二层流量隔离；裸机3和裸机4使用相同的vlan和相同的子网，对应同一租户的裸机3和裸机4之间可互通。另外，裸机1/2和裸机3/4使用不同vlan和不同的子网，在核心交换机上设置禁止裸机1分别与裸机3、裸机4互通的acl规则以及设置禁止裸机2分别与裸机3、裸机4互通的acl规则，从而实现不同租户对应的裸机间的隔离。对于各裸机与存储设备的互通，可以在核心交换机上通过acl规则设置允许各裸机与存储设备互访。具体设置可参考图3或图4中的相关叙述，在此不再赘述。
111.在一些可能的实施例中，若图5所示的组网中有计算节点时，计算节点与裸机使用不同的子网，在此情况下，还需控制裸机与计算节点之间的隔离，即在核心交换机上设置禁止各裸机与计算节点互通的acl规则，以实现三层流量隔离。具体过程可参考图3或图4中的相关叙述，在此不再赘述。
112.采用上述组网方法控制裸机在组网形态下的裸机间的隔离以及裸机和存储设备之间的互通，由此获得裸机所在组网形态下各交换机的配置信息。此外，还需对裸机自身的ip地址进行配置，即实现上述目标(2)。本技术实施例提出一种裸机ip地址自动配置方法，能代替手工配置裸机ip，提高了裸机ip配置的准确率和配置效率。参见图6，图6是本技术实施例提供的一种裸机ip地址自动配置方法，该方法包括但不限于以下步骤：
113.s101、裸机管理模块获取与裸机连接的接入交换机的配置信息。
114.本技术实施例中，裸机管理模块获取与裸机连接的接入交换机的配置信息，该配置信息包括接入交换机的标识(或者名称、编号等)、接入交换机的子网以及接入交换的标识与接入交换机的子网的映射关系。在一些可能的实施例中，该配置信息还包括接入交换机的各接口的vlan id、接入交换机的vlan属性(即主vlan、隔离型从vlan、普通vlan等)以及子网掩码等信息。在一些可能的实施例中，即若在接入交换上设置了acl进行裸机间的二层流量隔离，该配置信息还包括接入交换机的网关。
115.具体地，网络管理员预先在云管理平台上基于上述图3-图4中至少一种所描述的组网方法对组建的存储网络中的接入交换机、核心交换机和存储设备进行配置，并将接入交换机、核心交换机以及存储设备的配置信息进行存储。当裸机管理模块需要对各裸机的ip地址进行自动配置时，裸机管理模块从云管理平台获取与裸机连接的接入交换机的配置信息即可。
116.s102、裸机管理模块获取裸机的硬件连接信息。
117.硬件连接信息指示了裸机与接入交换机的连接情况，硬件连接信息包括裸机的存储网卡的mac地址、接入交换机的标识(或者名称、编号等)以及裸机的存储网卡的mac地址与接入交换机的标识之间的连接映射关系。
118.本技术实施例中，裸机在根据租户自定义安装好操作系统后，裸机、接入交换机等上电后，裸机管理模块向裸机下达更新节点信息命令，裸机接收到命令后向裸机管理模块发送自身的链路层发现协议(link layer discovery protocol，lldp)信息，裸机管理模块从裸机的lldp信息中获取裸机的硬件连接信息。
119.s103、裸机管理模块根据配置信息和硬件连接信息分配裸机的ip地址。
120.本技术实施例中，裸机管理模块根据硬件连接信息确定裸机以及与该裸机连接的目标接入交换机的标识，在配置信息中查找该目标接入交换机的标识对应的子网，从而也就确定了该裸机所在子网的网络号；裸机管理模块还根据硬件连接信息确定该裸机存储网卡的mac地址，根据该mac地址为该裸机分配主机号，由此，即确定了该裸机的网络号和主机号，网络号和主机号组成该裸机的ip地址，故裸机管理模块完成了对该裸机的ip地址的分配。
121.在有多个裸机的情况下，裸机管理模块可以依据多个裸机的存储网卡的mac地址的读取顺序，依次在对应子网内为各裸机分配主机号，从而避免了裸机的ip地址分配重复。
122.在一些可能的实施例中，裸机管理模块还可以根据硬件连接信息确定裸机以及与裸机连接的目标接入交换机以及目标接口，在配置信息中查找目标接入交换机的目标接口对应的vlan id以及对应的子网，从而也就确定了该裸机所在子网的网络号，然后再依据从硬件连接信息中读取各裸机的存储网卡的mac地址的先后顺序，为各裸机分配主机号即可。
123.举例来说，假设硬件连接信息显示裸机1、裸机2分别与接入交换机1连接，裸机管
理模块预为裸机1和裸机2分配ip地址，在配置信息中查找接入交换机1对应vlan 2124、所在的子网为88.98.100.0，故裸机管理模块可以确定在子网88.98.100.0内为裸机1和裸机2分配ip地址；进一步地，在硬件连接信息中，根据裸机1的mac地址和裸机2的mac地址读取顺序依次为裸机1和裸机2分配主机号以防止主机号分配重复，最终，为裸机1分配的ip地址为88.98.100.10，为裸机2分配的ip地址为88.98.100.11。
124.需要说明的是，在分配好裸机的ip地址后，裸机管理模块将裸机的ip地址和该裸机的存储网卡的mac地址存储于元数据中。
125.需要说明的是，若基于交换机的接口划分vlan，根据与裸机连接的目标交换机的接口就可确定该裸机所在的子网。在一些可能的实施例中，若基于mac地址划分vlan，则存储设备获取到的硬件连接信息中包括裸机与连接裸机的交换机的mac地址之间的映射关系，根据裸机对应的交换机的mac地址可确定该裸机所在的子网。
126.s104、裸机从裸机管理模块获取分配的ip地址，设置裸机的ip地址为分配的ip地址。
127.本技术实施例中，裸机从裸机管理模块获取分配的ip地址，设置裸机的ip地址为分配的ip地址。具体地，裸机接收租户的启动命令，裸机内的存储agent模块自启动，存储agent模块从裸机管理模块的元数据中获取分配的ip地址，分配的ip地址与裸机的存储网卡的mac地址对应，存储agent模块将分配的ip地址作为裸机的ip地址，由此完成了对裸机的ip地址的自动分配。
128.在一些可能的实施例中，也可以采用动态主机配置协议(dynamic host configuration protocol，dhcp)自动给裸机分配ip地址，本技术并不做具体限定。
129.可以看到，实施本技术实施例，基于裸机的组网配置信息和裸机的硬件连接信息自动为裸机配置ip地址，提高了裸机的ip地址配置的准确率和配置效率，提高了裸机对接存储设备的安全性。
130.在完成裸机的组网配置以及裸机ip地址的自动配置后，裸机与存储设备之间即可进行通信。为了进一步提高裸机和存储设备之间通信的安全性，在裸机向存储设备发送读操作或写操作命令时，需进行裸机和存储设备的chap认证，即实现上述目标(3)。在进行cha认证前，需先配置裸机用于chap认证的用户名和用户密码。参见图7，图7是本技术实施例提供的一种chap认证的用户名和用户密码的配置方法流程图，该方法包括但不限于以下步骤：
131.s201、存储管理模块接收租户发送的第一请求。
132.本技术实施例中，云管理平台的存储管理模块接收租户发送的第一请求，第一请求包括租户信息、卷的大小和目标裸机的编号，第一请求用于指示存储管理模块为租户租用的目标裸机创建卷。
133.s202、存储管理模块设置租户的chap认证信息，建立目标裸机与卷的映射关系。
134.本技术实施例中，云管理平台的存储管理模块接收到租户发送的第一请求后，设置租户对应的chap认证信息，其中，chap认证信息包括至少一组用户名和用户密码，其中，用户名和用户密码用于租户租用的目标裸机与存储设置之间的chap认证。除此之外，存储设备根据第一请求中卷的大小为目标裸机分配对应的卷，每个卷都有一个唯一的逻辑单元号lun，并建立目标裸机与卷的映射关系。
135.需要说明的是，当第一请求中的目标裸机的数量为一个时，chap认证信息中只有一组用户名和用户密码；当第一请求中的目标裸机的数量有多个时，chap认证信息包括多组用户名和用户密码，即存储管理模块为该租户创建了多组用户名和用户密码，即每个目标裸机对应一组用户名和用户密码，且不同的目标裸机对应的用户名和用户密码均不相同，换句话说，存储管理模块以目标裸机作为创建用户名和用户密码的依据，以提高目标裸机对接存储设备的安全性。
136.在一些可能的实施例中，当第一请求中的目标裸机的数量为多个时，存储管理模块也可以为该租户仅创建一组用户名和用户密码，也就是说，该租户租用的多个目标裸机共用这组用户名和用户密码，本技术不做具体限定。
137.s203、存储管理模块向存储设备发送chap认证信息。
138.本技术实施例中，存储管理模块向存储设备发送用于chap认证的用户名和用户密码，相应地，存储设备接收存储管理模块发送的用于chap认证的用户名和用户密码。
139.s204、裸机管理模块接收租户发送的第二请求。
140.本技术实施例中，裸机管理模块接收租户发送的第二请求，第二请求包括目标裸机的编号，第二请求用于指示裸机管理模块为目标裸机挂卷。
141.s205、裸机管理模块从存储管理模块获取租户的chap认证信息以及目标裸机与卷的映射关系。
142.本技术实施例中，裸裸机管理模块接收到第二请求后，从存储管理模块获取租户的chap认证信息以及目标裸机与卷的映射关系，根据目标裸机与卷的映射关系为目标裸机挂卷。
143.除此之外，裸机管理模块将目标裸机对应的卷的元数据发送给目标裸机。相应地，目标裸机内的存储agent模块接收卷的元数据。
144.需要说明的是，无论是s203中存储管理模块向存储设备发送的chap认证信息，还是s204中裸机管理模块获取到的chap认证信息，都是经过加密处理的。加密处理过程中采用的可以是加密算法，例如，对称加密算法(如des算法)、非对称加密算法(如rsa算法)等，还可以是哈希算法，例如，md5算法等，本技术不做具体限定。
145.s206、目标裸机自启动，目标裸机从裸机管理模块获取对应的用户名和用户密码。
146.本技术实施例中，目标裸机接收租户发送的启动命令自启动，目标裸机内的存储agent模块从裸机管理模块获取该目标裸机的用户名和用户密码。
147.需要说明的是，若目标裸机获取到的用户名和用户密码是经过加密的，相应地，目标裸机还需对获取到的用户名和用户密码进行解密，并将解密后的用户名和用户密码发送给目标裸机内的iscsi启动器，以使目标裸机向存储设备发送读/写操作命令时裸机内的iscsi启动器基于用户名和用户密码与存储设备进行chap认证，若对目标裸机的chap认证成功，则目标裸机可依据卷的元数据正常使用存储设备中对应的卷。chap认证的具体过程可参考下述相关叙述，为了说明书的简洁，在此不再赘述。
148.在一些可能的实施例中，若租户欲对裸机对应的用户名和用户密码进行更改，租户向存储管理模块发送第三请求，第三请求包括目标裸机的标识，第三请求用于指示存储管理模块更改chap认证信息中目标裸机对应的用户名和用户密码，存储管理模块将更改后的chap认证信息重新发送给存储设备和裸机管理模块。租户重新启动目标裸机，目标裸机
自启动后从裸机管理模块获取对应的已更改的用户名和用户密码，由此完成了裸机的用于chap认证的用户名和用户密码的更新。
149.可以看到，实施本技术实施例，在裸机访问存储设备之前，对裸机用于chap认证的用户名和用户密码进行配置，以使后续裸机与存储设备之间进行chap认证，提高了裸机对接存储设备的安全性，有助于实现裸机以安全、可信的方式对接基于iscsi协议的存储设备。
150.在完成裸机的用于chap认证的用户名和用户密码后，在裸机向存储设备发送读操作或写操作命令时，存储设备向发出访问请求的裸机发起chap认证，以验证裸机是否有访问权限，在验证成功的情况下，裸机才能对存储设备进行读操作或写操作。参见图8，图8是本技术实施例提供的一种裸机对接存储设备时的chap认证方法流程图，该方法包括但不限于以下步骤：
151.s301、存储设备向裸机发送挑战信息。
152.具体地，存储设备向裸机发送挑战信息，挑战信息包括随机数据和chap id，随机数据是存储设备随机生成的，chap id也由存储设备生成。需要说明的是，chap id不仅与随机数据对应，chap id还与裸机对应。相应地，裸机接收存储设备发送的挑战信息。
153.需要说明的是，chap认证过程中裸机与存储设备之间的消息的交互实际为裸机的iscsi启动器(initiator)与存储设备的iscsi目标器(target)之间的交互。
154.s302、裸机对第一用户密码和挑战信息进行处理获得第一哈希值。
155.具体地，裸机接收到存储设备发送的挑战信息后，挑战信息包括随机数据和chap id，从存储空间获取自身的第一用户密码，基于消息摘要算法第五版(message-digest algorithm 5，md5)对第一用户密码、随机数据和chap id进行计算获得第一哈希值。
156.md5算法是一种被广泛应用的密码杂凑函数，对于任意长度信息的输入，经过md5算法的处理后，可产生一个128位(16字节)的散列值(hash value)，也可以称之为哈希值，且不同的输入得到的散列值是不同，因此，md5算法可用于确保信息传输的完全一致。md5对输入数据处理获得第一哈希值的过程可参考现有技术，在此不再赘述。
157.需要说明的是，在存储设备向裸机发送挑战信息之前，裸机预先从裸机管理模块获取第一用户密码和第一用户名，第一用户密码与第一用户名对应。裸机在被创建时，裸机管理模块从存储设备的存储管理模块处获取该裸机对应的第一用户名和第一用户密码。
158.s303、裸机向存储设备发送响应信息。
159.具体地，在获得第一哈希值后，裸机向存储设备发送响应信息以使存储设备基于响应信息对裸机的身份进行验证，响应信息包括第一哈希值、裸机的第一用户名和chap id，其中，chap id即为s1中存储设备发送给该裸机的。相应地，存储设备接收裸机发送的响应信息。
160.s304、存储设备对第二用户密码和响应信息进行处理获得第二哈希值。
161.具体地，存储设备接收到响应信息后，根据响应信息中的第一用户名查找映射信息获得第一用户名对应的第二用户密码，映射信息包括第一用户名和第二用户密码之间的对应关系，映射信息存储于出存储设备中。存储设备还根据响应信息中的chap id获取chap id对应的随机数据，并采用md5算法对第二用户密码、随机数据和chap id进行处理获得第二哈希值。
162.s305、存储设备比较第一哈希值和第二哈希值是否相同，获得chap认证结果。
163.具体地，存储设备比较第一哈希值和第二哈希值是否相同，获得chap认证结果。具体地，若第一哈希值与第二哈希值相同，则chap认证结果为认证成功，即说明裸机的身份合法；若第一哈希值与第二哈希值不同，则chap认证结果为认证失败，即说明裸机的身份不合法。
164.s306、存储设备向裸机发送chap认证结果。
165.具体地，存储设备将chap认证结果发送给裸机，相应地，裸机接收存储设备发送的chap认证结果。当接收到的chap认证结果指示认证成功时，即说明该裸机身份合法且存储设备存在与该裸机映射的卷，裸机有权限使用存储设备的与映射的卷；当接收到的chap认证结果指示认证失败时，即说明该裸机身份不合法，裸机无权使用存储设备的存储空间。
166.可以看到，在裸机访问存储设备前，增加对裸机和存储设备进行chap认证过程以判断裸机是否有权限使用存储设备的存储空间，提高了多租户场景下裸机对接存储设备过程中的安全性，有效防止了裸机的iscsi启动器的暴力破解。
167.参见图9，图9是本技术提供的一种装置的结构示意图，装置21至少包括一个或者多个处理单元210、外部存储器220、通信接口230以及总线240，所示处理单元210、外部存储器220和通信接口230通过总线240连接。装置21可以是图1中的云管理平台。
168.总线240可以是外设部件互连标准(peripheral component interconnect，pci)总线或扩展工业标准结构(extended industry standard architecture，eisa)总线等。所述总线240可以分为地址总线、数据总线、控制总线等。
169.通信接口230可以为有线接口或无线接口，用于与其他模块或设备进行通信，有线接口可以是以太接口、控制器局域网络(controller area network，can)接口、局域互联网络(local interconnect network，lin)以及flexray接口，无线接口可以是蜂窝网络接口或使用无线局域网接口等。本技术实施例中，通信接口230可分别用于实现与裸机、存储设备的交互。
170.外部存储器220可以包括易失性存储器(volatile memory)，例如随机存取存储器(random access memory，ram)；存储器220也可以包括非易失性存储器(non-volatile memory)，例如只读存储器(read-only memory，rom)、快闪存储器(flash memory)、硬盘(hard disk drive，hdd)或固态硬盘(solid-state drive，ssd)；存储器220还可以包括上述种类的组合。外部存储器可用于存储可执行程序代码以及程序数据，存储的代码有：裸机ip地址配置程序、各交换机的配置程序、存储设备ip配置程序、卷创建指令、挂卷指令、其他应用程序等；存储的数据有：各交换机的配置数据、裸机ip地址的分配信息、裸机的硬件连接信息、裸机的chap认证信息等。
171.处理单元210可以调用并执行外部存储器220中的程序代码以及数据以实现组建存储网络、配置存储网络的各交换机和存储设备以及分配裸机的ip地址等具体操作。处理单元210包括处理器211，例如，中央处理器(central processing unit，cpu)。cpu可以采用复杂指令集计算(complex instruction set computer，cisc)架构(例如，x86架构)、精简指令集计算机(reduced instruction set computing，risc)架构(例如，mips(microprocessor without interlocked piped stages)架构)等等。
172.处理单元210还可以包括内部存储器212，芯片组，寄存器等等。
173.内部存储器212用于保存处理器211刚用过或循环使用的指令或数据，例如，高速缓冲存储器等等。如果处理器211需要再次使用该指令或数据，可从内部存储器212中直接调用，减少了处理器211的等待时间，因而提高了系统的效率。当内部存储器212中的内存数据页和存储器231中的数据页上的内容不一致时，可以称这个内存数据页为脏页；当内部存储器212中的内存数据页和存储器231中的数据页上的内容一致时，可以称这个内存数据页为干净页。
174.芯片组可以包括北桥芯片214，用于负责处理器211和内部存储器212之间的数据传输。可选地，芯片组还可以包括南桥芯片213，南桥芯片213的一端通过北桥芯片210连接处理器211，另一端连接各种外部设备的接口。在一些具体实施例中，北桥芯片214可以集成到处理器211中，或者，部分南桥芯片213的功能被集成到北桥芯片214中，或者，南桥芯片213可以集成到处理器211中，或者，南桥芯片213集成到北桥芯片214中等等。
175.寄存器是有限存贮容量的高速存贮部件，它们可用来暂存指令、数据和地址等等os状态数据，例如，指令寄存器(ir)、程序计数器(pc)以及累加器(acc)等。
176.参见图10，图10是本技术提供的一种装置的功能结构示意图，装置30包括组建单元310和配置单元311。该装置30可以通过硬件、软件或者软硬件结合的方式来实现。
177.其中，组建单元310用于组建存储网络，存储网络包括多个裸机、接入交换机、核心交换机和存储设备；多个裸机与接入交换机连接，多个接入交换机与核心交换机连接，核心交换机与存储设备连接；配置单元311用于配置存储网络，以使多个裸机中的每个裸机与存储设备互通以及多个裸机中的任意两个裸机之间相互隔离。在一些可能的实施例中，装置30还包括分配单元312，分配单元312用于裸机ip的自动配置。
178.该装置30的各功能模块可用于实现图3-图7实施例所描述的方法，组建单元310可用于实现图3-图5中任一实施例所示存储网络的组网，配置单元311可用于实现图3-图5中任一实施例所示存储网络的配置。在图6实施例中，分配单元312可用于执行s101-s103。该装置30的各功能模块还可用于执行图7实施例所述的方法，为了说明书的简洁，在此不再赘述。
179.参见图11，图11是本技术提供的一种装置的功能结构示意图，装置40包括：装置40包括发送单元410、接收单元411和认证单元412。该装置40可以通过硬件、软件或者软硬件结合的方式来实现。
180.其中，发送单元410用于向装置50发送挑战信息，接收单元411用于接收装置50发送的响应信息，认证单元412用于根据响应信息对装置50的身份进行chap认证，获得chap认证结果，发送单元410还用于将chap认证结果发送给装置50。
181.该装置40的各功能模块可用于实现图8实施例所描述的方法。在图8实施例中，发送单元410可用于执行s301和s306，接收单元411可用于执行s303，认证单元412用于执行s304和s305。该装置40的各功能模块还可用于执行图7实施例所述的方法，为了说明书的简洁，在此不再赘述。
182.参见图12，图12是本技术提供的一种装置的功能结构示意图，装置50包括接收单元510、处理单元511和发送单元512。该装置50可以通过硬件、软件或者软硬件结合的方式来实现。
183.其中，接收单元510用于向接收装置40发送的挑战信息，处理单元511用于对挑战
信息进行处理获得第一哈希值，发送单元512用于向装置40发送响应信息，接收单元510还用于接收装置40发送的chap认证结果。
184.该装置50的各功能模块可用于实现图8实施例所描述的方法。在图8实施例中，接收单元510可用于执行s301和s306，处理单元511可用于执行s302，发送单元512用于执行s303。该装置50的各功能模块还可用于执行图7实施例所述的方法，为了说明书的简洁，在此不再赘述。
185.在本文上述的实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详细描述的部分，可以参见其他实施例的相关描述。
186.需要说明的是，本领域普通技术人员可以看到上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质包括只读存储器(read-only memory，rom)、随机存储器(random access memory，ram)、可编程只读存储器(programmable read-only memory，prom)、可擦除可编程只读存储器(erasable programmable read only memory，eprom)、一次可编程只读存储器(one-time programmable read-only memory，otprom)、电子抹除式可复写只读存储(electrically-erasable programmable read-only memory，eeprom)、只读光盘(compact disc read-only memory，cd-rom)或其他光盘存储器、磁盘存储器、磁带存储器、或者能够用于携带或存储数据的计算机可读的任何其他介质。
187.本技术的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是个人计算机，服务器，或者网络设备、机器人、单片机、芯片、机器人等)执行本技术各个实施例所述方法的全部或部分步骤。