Fibre Channel jest najczęściej stosowaną technologią przy budowie sieci pamięci masowych. To, co jest jej zaletą, czyli możliwość łączenia oddalonych serwerów, macierzy i bibliotek taśmowych, może także być jej wadą. Zwiększona odległość, łączenie środowisk heterogenicznych, mechanizmy automatycznej konfiguracji powodują, że znacznie łatwiej jest uzyskać nie autoryzowany dostęp do danych, niż w przypadku gdy pamięci masowe są zamknięte w obrębie serwera.

Jedną z podstawowych zalet wdrażanych obecnie sieci pamięci masowych jest możliwość łatwego dodawania do nich kolejnych urządzeń. Wystarczy wpiąć dodatkowy serwer lub macierz, wyposażone w kontrolery Fibre Channel, w przełącznik FC, by rozpoznał on urządzenia dołączone do nie wykorzystywanych dotychczas portów, dodał informacje o nich do wbudowanego serwera nazw (name server) oraz poinformował o dostępności nowych urządzeń inne serwery pracujące w sieci SAN.

Automatyzacja oznacza ułatwienia w administrowaniu systemem, ale jednocześnie, tam gdzie jest wymagane zachowanie poufności danych, okazuje się źródłem problemów. Dynamiczna rekonfiguracja może powodować, że zastrzeżone dane zostaną udostępnione przypadkowo nie autoryzowanym klientom. Niestarannie zabezpieczona sieć SAN przyciąga włamywaczy, którym wystarczy dostęp do dowolnego portu przełącznika FC. W plątaninie przewodów nietrudno również o pomyłkę - administrator, który przypadkowo podłączy serwer do niewłaściwego portu, może zburzyć misternie budowane strefy sieci SAN. Podobny efekt może przynieść bezpośrednie połączenie dwóch przełączników FC, które powinny być odseparowane.

Porty pod kontrolą

Istnieje kilka metod zabezpieczania przed przypadkowym bądź nie autoryzowanym dołączaniem urządzeń do sieci SAN.

Pierwsza metoda polega na fizycznym przyporządkowaniu określonego portu przełącznika FC konkretnemu urządzeniu. Gwarantuje to, iż niemożliwa będzie wymiana urządzenia klienckiego i tylko autoryzowane przez administratora urządzenia (serwery i pamięci masowe) będą mieć dostęp do publicznych usług sieci SAN, np. serwera nazw przechowującego listę udostępnianych zasobów. Przy przydzielaniu konkretnych pamięci masowych lub serwerów do portu przełącznika wykorzystuje się unikalny 64-bitowy numer FC WWN (World Wide Name), który identyfikuje port FC pamięci masowej lub sterownik HBA wbudowany w serwer (WWN to rozwiązanie analogiczne do adresu MAC kart Ethernet). Przełącznik uniemożliwi zalogowanie się (wykonania procedury FLOGI) urządzenia do magistrali Fabric, jeśli nie ma ono zez- wolenia do korzystania z danego portu.

Drugim sposobem zapewnienia bezpieczeństwa w sieci SAN jest mechanizm Fabric Membership Authorization, wprowadzający wymóg autoryzacji kaskadowo łączonych przełączników FC. Każdy przełącznik, mający dostęp do magistrali Fabric, może przechowywać listę autoryzowanych przełączników, co zabezpiecza sieć SAN przed odłączeniem urządzenia klienckiego od portu FC i dołączeniem zamiast niego innego przełącznika.

Innym sposobem ograniczenia nie autoryzowanego wykorzystania przełączników FC jest wcześniejsze określenie, w jakiej konfiguracji może pracować dany port. Standardowo bowiem przełączniki FC dokonują dynamicznej zmiany portu w zależności od tego, jakie urządzenie zostanie do niego dołączone. Podczas inicjacji połączenia sprawdzane jest czy port przełącznika, standardowo określany jako G_port (Generic Port), dołączono do serwera lub urządzenia pamięci masowej. W takim przypadku przełącznik zmienia jego status na F_port (Fabric Port), co konfiguruje go do pracy w trybie magistrali. Jeżeli przełącznik wykryje, że do jego portu jest podłączony port innego przełącznika, zmienia status portu na E_port (Expansion Port) oraz buduje z niezależnych dotychczas magistral obu przełączników jedną magistralę Fabric.

Administrator może "na sztywno" skonfigurować wszystkie porty przełącznika, uniemożliwiając automatyczną detekcję dołączanych urządzeń. Do portów typu G nie będzie można dołączyć żadnego urządzenia, porty typu F będą przeznaczone wyłącznie dla urządzeń końcowych (pamięci masowych i serwerów), a typu E - do dołączania innych przełączników. Zaletą tego sposobu konfiguracji jest możliwość ograniczenia nie autoryzowanego włączania urządzeń do wolnego portu, bez konieczności zarządzania listą autoryzowanych numerów WWN.