iSCSI login超时但ping通，说明网络层可达而问题出在协议栈或目标服务侧，需排查TCP 3260端口连通性、CHAP认证配置一致性、iscsiadm日志、目标服务状态及ACL访问控制。

ping 通但 iSCSI login 超时，说明网络层可达，问题出在 iSCSI 协议栈或目标服务侧。重点排查 TCP 连通性、端口状态、防火墙策略、iSCSI 配置一致性及目标响应能力。

确认 TCP 端口是否真正可达

iscsi 默认使用 TCP 3260 端口，仅 ping 通不等于该端口可建连。需用 telnet 或 nc 验证：

• telnet target_ip 3260 —— 若卡住或报 Connection refused/timeout，说明端口未监听、被拦截或目标服务未运行
• nc -zv target_ip 3260 —— 更可靠，能明确返回 succeeded 或 failed
• 注意：某些目标（如 TrueNAS）支持多端口（如 3261），需核对实际监听端口（ss -tlnp | grep 3260 或目标侧 netstat -tlnp）

检查 initiator 和 target 的 CHAP 认证配置

CHAP 启用但凭据不匹配，会导致 login 阶段无响应（看似超时）。常见错误包括：

Remix V2 Meta Sessions Review

审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他

下载

• initiator 的 /etc/iscsi/iscsid.conf 中 node.session.auth.authmethod 设为 CHAP，但 username/password 未正确设置或未取消注释
• target 侧 CHAP 用户名与 initiator 提供的 username 不一致（注意大小写和空格）
• target 要求 mutual CHAP，但 initiator 未配置 node.session.auth.username_in 和 node.session.auth.password_in
• 修改后需执行 iscsiadm -m node -u（登出）再 iscsiadm -m node -l（重登）使配置生效

查看 iscsiadm 日志与内核消息

登录失败时，详细线索藏在日志中：

• 启用调试日志：iscsiadm -m node -T -p --op=update -n node.session.timeo.login_timeout -v 30，再尝试 login
• 实时跟踪：tail -f /var/log/messages | grep -i "iscsi\|kernel" 或 journalctl -u iscsid -f
• 关注关键词："connection reset"（目标主动断连）、"no route to host"（路由异常）、"login failed"（认证或权限拒绝）、"session failed"（目标拒绝会话建立）

验证目标服务状态与 ACL 设置

即使 iscsid 进程在运行，目标可能未正确导出 LUN 或限制了访问：

• 登录目标服务器，确认 iscsi 服务活跃：systemctl status target（Linux targetcli）或 service tgtd status
• 检查 target 是否真正绑定了 IQN 和 IP：targetcli ls 查看 backstores、iscsi//tpg1/acls/ 下是否有 initiator 的 IQN 条目
• 确认 ACL 允许的 initiator IQN 与本地 /etc/iscsi/initiatorname.iscsi 中定义的一致（包括拼写、大小写、前缀）
• 某些 NAS（如 Synology）需在 Web 界面显式启用“允许此 initiator”并保存应用