Fibre-Channel-Zoning (kurz Zoning) ist die Zugriffskontrolle im Fibre-Channel-Fabric: Ein SAN-Switch teilt das Fabric in logische Zonen, sodass nur die Mitglieder einer Zone miteinander kommunizieren können. Ohne Zoning sähe jeder Server im Fabric alle Speicher-Ports (Targets) — ein Sicherheits- und Stabilitätsrisiko.
Warum Zoning?
In einem Storage Area Network (SAN) hängen viele Server und Speichersysteme an denselben Switches. Zoning sorgt dafür, dass ein Server ausschließlich die LUNs seiner eigenen Speichersysteme sieht:
- Zugriffskontrolle: Nur freigegebene Initiator-Target-Paare dürfen Daten austauschen.
- Fehlerisolierung: Ein fehlerhaftes Gerät oder ein Störsender kann andere Zonen nicht beeinträchtigen.
- Übersichtlichkeit: Weniger sichtbare Geräte bedeuten weniger Fehlkonfiguration und geringere Latenz beim Login in den Fabric-Dienst.
Port-Zoning und WWN-Zoning
Es gibt zwei Grundformen, Zonen-Mitglieder festzulegen:
- Port-Zoning (Hard Zoning): Die Zone nennt konkrete Switch-Ports (Domain-ID + Port). Es ist die strikteste Variante, weil der Switch bereits auf Port-Ebene filtert. Nachteil: Zieht ein Server an einen anderen Port um, muss die Zone angepasst werden.
- WWN-Zoning (Soft Zoning): Die Zone nennt die Weltweiten Portnamen (WWPN) von Host-Bus-Adaptern und Storage-Ports. Hardware-Umbauten überleben, weil der Name am Gerät bleibt. Üblich und flexibel, aber anfälliger für WWPN-Spoofing, wenn Angreifer physischen Zugriff haben.
Zonen, Zone Sets und aktive Konfiguration
Zonen werden in Zone Sets (auch Zonen-Konfiguration genannt) zusammengefasst. Pro Fabric ist genau ein Zone Set aktiv; die Mitglieder anderer Zone Sets bleiben wirkungslos. Die Zonen-Datenbank liegt auf jedem Switch des Fabrics und muss konsistent sein — verwaltete Switches (z. B. Brocade Fabric OS, Cisco NX-OS) verteilen sie automatisch. Typische Kommandos sind zonecreate/zoneadd und cfgcreate/cfgenable (Brocade) oder zone/zoneset im Cisco-configure-Modus.
Best Practices und Abgrenzung
Empfohlen ist Single-Initiator-Zoning: Jede Zone enthält genau einen Initiator-Port und die Targets, die er erreichen darf. So bleibt die Fehlerdomäne klein und ein Kompromittieren eines Servers gefährdet keine Nachbarzone. Zoning arbeitet auf Fabric-Ebene (Switch); die zweite Schutzschicht ist LUN-Masking im Speichersystem selbst. Beide zusammen ergeben die klassische SAN-Sicherheit. Im Gegensatz dazu trennt VLAN Ethernet-Netze — Zoning ist das funktionale Gegenstück für Fibre-Channel-Fabrics.
Verwandte Grundlagen: Fibre Channel, LUN, Block-Storage.