Windows Server iSCSI Target einrichten für Hyper-V: Shared Storage selbst bauen

Mit der Rolle iSCSI Target Server stellen Sie unter Windows Server blockbasierten Shared Storage für Hyper-V über das Ethernet-Netz bereit, ohne SAN-Hardware. Diese Anleitung zeigt, wie Sie die Rolle installieren, VHDX-basierte LUNs (iSCSI Virtual Disks) erstellen, den Zugriff per CHAP absichern und die iSCSI-Initiatoren auf Ihren Hyper-V-Hosts verbinden. Das Ergebnis ist ein gemeinsam genutzter Datenträger für ein Cluster Shared Volume (CSV) in einem Failover-Cluster oder als zentrale VM-Ablage.

Was ist ein iSCSI Target Server und warum lohnt er sich?

iSCSI (Internet Small Computer System Interface) transportiert SCSI-Befehle über TCP/IP. Statt eines Fibre-Channel-SANs nutzen Sie Ihr vorhandenes Ethernet, um einem Client einen blockbasierten Datenträger anzubieten. Der iSCSI Target Server ist die Server-Seite: Er stellt eine oder mehrere iSCSI Virtual Disks (LUNs) bereit. Der iSCSI Initiator ist die Client-Seite, die sich verbindet und die LUN wie eine lokale Festplatte einbindet.

Für Hyper-V ist das besonders interessant: Ein Failover-Cluster braucht gemeinsam genutzten Speicher, auf den alle Knoten gleichzeitig zugreifen. Genau das liefert ein iSCSI-Target. Sie geben denselben Datenträger an mehrere Initiatoren frei und nutzen ihn im Cluster als Cluster Shared Volume (CSV). Ohne Cluster dient es als zentrale Ablage für VHDX-Dateien oder ISO-Images.

Die LUNs selbst sind unter Windows Server VHDX-Dateien, fest (für Produktivlasten) oder dynamisch wachsend (für Test und Labor).

Voraussetzungen

1. Ein Windows Server (2019, 2022 oder 2025, Standard oder Datacenter) als Storage-Server: mindestens 2 CPU-Kerne, 4 GB RAM, ein separates Datenvolume in der Größe aller geplanten LUNs plus 10 % Reserve.
2. Mindestens ein Hyper-V-Host als iSCSI-Initiator. Für ein Failover-Cluster brauchen Sie mindestens zwei Hosts mit Windows Server in derselben Version und Domäne; Windows 10/11 mit Hyper-V kann die LUN nur einzeln nutzen.
3. Lokale Administratorrechte auf beiden Seiten.
4. Ein eigenes Speichernetz oder VLAN mit mindestens 1 Gbit/s, besser 10 Gbit/s: eigene NICs nur für iSCSI, ohne Routing, optional mit Jumbo Frames (MTU 9000) auf allen Geräten im Pfad.
5. Statische IP-Adressen auf den iSCSI-NICs (siehe Feste IP, Gateway und DNS unter Windows und Linux setzen), auf den iSCSI-NICs kein Gateway.
6. Den vollständigen IQN (iSCSI Qualified Name) jedes Initiators, z. B. iqn.1991-05.com.microsoft:host01.domain.local.

Schritt 1: Rolle „iSCSI Target Server“ installieren

Die Rolle ist Teil der Datei- und Speicherdienste. Am schnellsten geht die Installation per PowerShell (als Administrator):

Install-WindowsFeature -Name FS-iSCSITarget-Server -IncludeManagementTools

Alternativ über den Server-Manager: Verwalten → Rollen und Features hinzufügen → Dateidienste und Speicherdienste → Datei- und iSCSI-Dienste → iSCSI-Zielserver auswählen und installieren. Ein Neustart ist normalerweise nicht erforderlich. Prüfen Sie danach Feature und Dienst:

Get-WindowsFeature -Name FS-iSCSITarget-Server
Get-Service -Name WinTarget

Verifizieren: Get-WindowsFeature zeigt [X] bzw. Install State: Installed, Get-Service WinTarget den Status Running.

Schritt 2: Speicherort für die LUNs vorbereiten

Legen Sie auf einem eigenen Datenvolume (hier E:, nicht das Systemlaufwerk) einen Ordner für die VHDX-Dateien an. Der Ordner darf nicht komprimiert oder ein Netzlaufwerk sein.

New-Item -Path "E:\iSCSIVirtualDisks" -ItemType Directory

Bei festen LUNs wird der volle Speicher sofort belegt. Bei dynamischen LUNs überwachen Sie den freien Platz des Volumes; läuft es voll, gehen die LUNs offline.

Verifizieren: Get-Volume -DriveLetter E | Format-Table FileSystem, SizeRemaining zeigt NTFS oder ReFS und genug freien Platz für die geplanten LUNs.

Schritt 3: iSCSI Virtual Disk (LUN) erstellen

Erstellen Sie die LUN als VHDX-Datei. Das Beispiel legt eine 500-GB-Disk an; ohne -UseFixed ist sie dynamisch. Führen Sie nur einen der beiden Befehle aus:

# Dynamische LUN (waechst mit)
New-IscsiVirtualDisk -Path "E:\iSCSIVirtualDisks\cluster-csv01.vhdx" -SizeBytes 500GB

# Alternativ feste LUN fuer Produktivlasten
New-IscsiVirtualDisk -Path "E:\iSCSIVirtualDisks\cluster-csv01.vhdx" -SizeBytes 500GB -UseFixed

Im Server-Manager finden Sie denselben Ablauf unter Datei- und Speicherdienste → iSCSI → Aufgaben → Neue virtuelle iSCSI-Festplatte.

Get-IscsiVirtualDisk | Format-Table Path, Size, Status

Verifizieren: Die LUN erscheint mit ihrem Pfad und der Größe 500 GB, Status NotConnected (noch keinem Target zugewiesen).

Schritt 4: iSCSI-Target mit IQN-ACL erstellen

Ein Target ist der Anschlusspunkt, über den Initiatoren die LUNs erreichen. Beim Anlegen legen Sie fest, welche Initiatoren (per IQN) zugreifen dürfen, die Zugriffssteuerung (ACL). Tragen Sie die IQNs Ihrer Hyper-V-Hosts ein:

New-IscsiServerTarget -TargetName "HyperVCluster" `
  -InitiatorIds @("IQN:iqn.1991-05.com.microsoft:host01.domain.local", `
                  "IQN:iqn.1991-05.com.microsoft:host02.domain.local")

Den IQN eines Initiators ermitteln Sie auf dem Hyper-V-Host mit:

(Get-InitiatorPort).NodeAddress

Statt IQNs lassen sich Initiatoren auch über IP-Adresse oder DNS-Name binden (IPAddress:, DNSName:); der IQN ist am eindeutigsten.

Verifizieren: Get-IscsiServerTarget -TargetName HyperVCluster | Format-List TargetIqn, InitiatorIds zeigt beide Host-IQNs und den Target-IQN, den Sie in Schritt 8 brauchen.

Schritt 5: LUN an das Target zuweisen

Verbinden Sie die VHDX-LUN mit dem Target. Erst dadurch wird sie für die berechtigten Initiatoren sichtbar:

Add-IscsiVirtualDiskTargetMapping -TargetName "HyperVCluster" `
  -Path "E:\iSCSIVirtualDisks\cluster-csv01.vhdx"

Einem Target lassen sich mehrere LUNs zuweisen, jede erscheint beim Initiator als eigener Datenträger. Für ein Cluster legen Sie zusätzlich eine kleine LUN (1 GB) als Zeugendatenträger (Quorum) an.

Verifizieren: Get-IscsiServerTarget -TargetName HyperVCluster | Select-Object -ExpandProperty LunMappings listet die VHDX mit ihrer LUN-Nummer.

Schritt 6: CHAP-Authentifizierung aktivieren

Ohne Authentifizierung prüft das Target nur den IQN, und ein IQN lässt sich beliebig setzen. CHAP (Challenge Handshake Authentication Protocol) fügt ein gemeinsames Geheimnis hinzu. Setzen Sie auf dem Target einen CHAP-Benutzer und ein Secret (12 bis 16 Zeichen, sonst lehnt der Microsoft-Initiator es ab):

$chap = New-Object System.Management.Automation.PSCredential(
  "iscsi-chap-user",
  (Read-Host "CHAP-Secret (12-16 Zeichen)" -AsSecureString))

Set-IscsiServerTarget -TargetName "HyperVCluster" `
  -EnableChap $true -Chap $chap

Optional aktivieren Sie mit -EnableReverseChap und -ReverseChap die gegenseitige (mutual) Authentifizierung, bei der sich auch das Target ausweist. Read-Host verhindert, dass das Secret in der PowerShell-Historie landet; bewahren Sie es in Ihrem Passwortmanager auf.

Verifizieren: Get-IscsiServerTarget -TargetName HyperVCluster | Format-Table TargetName, EnableChap, ChapUserName zeigt True und iscsi-chap-user.

Schritt 7: Firewall-Port 3260 öffnen

iSCSI nutzt den TCP-Port 3260. Die Rolleninstallation legt eine Regel an, die je nach Netzwerkprofil nicht greift. Legen Sie auf dem Target-Server eine eigene Regel an, beschränkt auf das Speichernetz (hier 10.10.10.0/24):

New-NetFirewallRule -DisplayName "iSCSI Target 3260" -Direction Inbound `
  -Protocol TCP -LocalPort 3260 -RemoteAddress 10.10.10.0/24 -Action Allow

Verifizieren: Auf dem Hyper-V-Host liefert Test-NetConnection -ComputerName 10.10.10.10 -Port 3260 TcpTestSucceeded : True.

Schritt 8: iSCSI Initiator auf dem Hyper-V-Host verbinden

Wechseln Sie auf den Hyper-V-Host. Starten Sie den Initiator-Dienst und stellen Sie ihn auf automatischen Start:

Set-Service -Name MSiSCSI -StartupType Automatic
Start-Service -Name MSiSCSI

Registrieren Sie das Target-Portal (IP des Storage-Servers) und verbinden Sie sich mit CHAP; die NodeAddress zeigt Get-IscsiTarget:

# Portal hinzufuegen
New-IscsiTargetPortal -TargetPortalAddress 10.10.10.10

# Verfuegbare Targets anzeigen
Get-IscsiTarget

# Mit CHAP verbinden und persistent machen
Connect-IscsiTarget -NodeAddress "iqn.1991-05.com.microsoft:storage01-hypervcluster-target" `
  -AuthenticationType ONEWAYCHAP `
  -ChapUsername "iscsi-chap-user" `
  -ChapSecret "IHR-CHAP-SECRET" `
  -IsPersistent $true

Mit -IsPersistent $true verbindet sich der Host nach jedem Neustart wieder. Wiederholen Sie Schritt 8 auf jedem weiteren Hyper-V-Host.

Verifizieren: Get-IscsiSession | Format-Table TargetNodeAddress, IsConnected, IsPersistent zeigt True in beiden Spalten.

Schritt 9: Datenträger initialisieren und formatieren

Die LUN erscheint als neuer Datenträger. Initialisieren Sie ihn mit GPT und formatieren Sie ihn mit NTFS. Für ein CSV auf iSCSI-Storage ist NTFS Pflicht für volle Leistung: ReFS-CSVs auf SAN-Storage laufen im umgeleiteten Modus, alle Schreibzugriffe gehen über den Koordinatorknoten. Wichtig: Formatieren Sie bei einem Cluster nur auf einem Knoten, und wählen Sie die Disk über die Nummer aus, damit keine andere Offline-Disk formatiert wird:

# iSCSI-Datenträger anzeigen, Nummer notieren
Get-Disk | Where-Object BusType -eq "iSCSI" | Format-Table Number, Size, OperationalStatus, PartitionStyle

$n = 3   # Nummer aus der Ausgabe oben
Set-Disk -Number $n -IsOffline $false
Initialize-Disk -Number $n -PartitionStyle GPT
New-Partition -DiskNumber $n -AssignDriveLetter -UseMaximumSize |
  Format-Volume -FileSystem NTFS -AllocationUnitSize 65536 -NewFileSystemLabel "CSV01" -Confirm:$false

In einem Failover-Cluster fügen Sie den Datenträger anschließend im Failover-Cluster-Manager unter Speicher → Datenträger hinzu und wählen Zu freigegebenen Clustervolumes hinzufügen; er erscheint dann unter C:\ClusterStorage\.

Verifizieren: Get-Volume -FileSystemLabel CSV01 zeigt NTFS und Healthy.

Verifikation und erster Test

Prüfen Sie auf dem Initiator, ob die Verbindung steht und die Sessions aktiv sind:

Get-IscsiSession | Format-Table InitiatorNodeAddress, TargetNodeAddress, IsConnected
Get-IscsiConnection
Get-Disk | Where-Object BusType -eq "iSCSI"

Auf dem Target-Server kontrollieren Sie die Verbindungen so:

Get-IscsiServerTarget | Format-Table TargetName, Status, ChapUserName
Get-IscsiVirtualDisk | Format-Table Path, Status

Das Target zeigt Connected, die LUN ebenfalls. Schreiben Sie testweise eine Datei auf das Volume. Für ein Cluster führen Sie zusätzlich Test-Cluster -Node HOST01,HOST02 -Include Storage aus; der Bericht muss im Bereich Speicher ohne Fehler sein.

Updates und Wartung

Der iSCSI Target Server wird über die normalen Windows-Updates gepflegt. Planen Sie Patch-Fenster: Startet der Storage-Server neu, verlieren alle Initiatoren ihre LUNs, und laufende VMs stoppen. Ein einzelner iSCSI-Target-Server ist ein Single Point of Failure, auch wenn die Hyper-V-Hosts ein Cluster bilden. Für Hochverfügbarkeit clustern Sie den Storage-Server selbst oder nutzen Storage Spaces Direct. Zum In-Place-Upgrade des Storage-Servers siehe unsere News zum Windows Server 2025 Upgrade per Windows Update, das neue Storage- und Cluster-Funktionen mitbringt.

Eine bestehende LUN vergrößern Sie so; danach erweitern Sie Partition und Volume auf dem Initiator (Resize-Partition):

Resize-IscsiVirtualDisk -Path "E:\iSCSIVirtualDisks\cluster-csv01.vhdx" -SizeBytes 750GB

Backup-Hinweis

Eine Dateisicherung der VHDX-LUN, während Initiatoren darauf schreiben, ist inkonsistent. Sichern Sie deshalb die VMs auf den Hyper-V-Hosts mit einer Hyper-V-fähigen Backup-Lösung (z. B. Windows Server Backup oder Veeam) oder die LUN-Dateien nur, wenn die Sessions getrennt sind. Da ein Ausfall des zentralen Storage alle Hosts trifft, gehört er in ein 3-2-1-Backup-Konzept.

Troubleshooting

1. Target wird nicht angezeigt: Prüfen Sie, ob der IQN des Initiators exakt in der ACL des Targets steht (Groß-/Kleinschreibung, vollständiger Name). Get-IscsiServerTarget zeigt die hinterlegten Initiator-IDs.
2. Verbindung scheitert mit Authentifizierungsfehler: CHAP-Benutzer und -Secret müssen auf beiden Seiten identisch sein. Das Secret muss 12 bis 16 Zeichen lang sein, sonst lehnt Windows es ab.
3. Keine Verbindung zum Portal: Liefert Test-NetConnection -ComputerName 10.10.10.10 -Port 3260 False, prüfen Sie die Firewall-Regel (Schritt 7) und ob Host und Target im selben Speichernetz liegen.
4. LUN erscheint nicht im Datenträger-Manager: Nach dem Verbinden Update-HostStorageCache ausführen oder im Datenträger-Manager neu einlesen; prüfen, ob die LUN in Schritt 5 dem Target zugewiesen wurde.
5. Verbindung geht nach Neustart verloren: Der Dienst MSiSCSI muss auf Automatisch stehen und die Verbindung mit -IsPersistent $true erstellt worden sein.
6. Schlechte Performance: Jumbo Frames nur durchgängig aktivieren (NIC, Switch, Target) und mit ping -f -l 8972 10.10.10.10 prüfen; eigenes Speichernetz nutzen. ReFS-formatierte CSVs laufen umgeleitet (Schritt 9).

Häufige Fragen

Brauche ich für Hyper-V-Shared-Storage zwingend ein SAN?

Nein. Der iSCSI Target Server von Windows Server liefert blockbasierten Shared Storage, der für ein Hyper-V-Failover-Cluster ausreicht. Zur Redundanz des Storage-Servers siehe Updates und Wartung.

Worin unterscheiden sich iSCSI Target und iSCSI Initiator?

Der Storage-Server ist das Target und bietet die LUN an; jeder Hyper-V-Host ist ein Initiator und bindet sie als lokalen Datenträger ein.

Ist CHAP wirklich notwendig?

Im produktiven Einsatz ja. Die IQN-basierte ACL allein lässt sich umgehen, weil ein IQN frei wählbar ist. CHAP fügt ein gemeinsames Geheimnis hinzu, und mutual CHAP authentifiziert zusätzlich das Target. In einem physisch getrennten Speichernetz ist der Verzicht vertretbar, sollte aber dokumentiert sein.

Sollte ich feste oder dynamische VHDX-LUNs verwenden?

Für leistungskritische, produktive Workloads empfiehlt Microsoft das feste Format (fixed), weil es keine Wachstumsverzögerung und kein Risiko durch volllaufende Volumes hat. Dynamische LUNs sparen Platz und sind ideal für Test- und Laborumgebungen.

Kann ich eine LUN an mehrere Hosts gleichzeitig freigeben?

Ja, das ist genau der Sinn von Shared Storage. Tragen Sie mehrere Initiator-IQNs in die ACL des Targets ein. Damit gleichzeitige Schreibzugriffe das Dateisystem nicht zerstören, muss Failover-Clustering mit CSV darüber liegen. Geben Sie eine LUN nie zwei Hosts ohne Cluster zum gleichzeitigen Schreiben frei.

Fazit

Mit der Rolle iSCSI Target Server bauen Sie Shared Storage für Hyper-V mit Bordmitteln auf: VHDX-basierte LUN, Target mit IQN-ACL, CHAP und per Initiator verbundene Hosts. Entscheidend für den Betrieb sind ein eigenes Speichernetz, NTFS für CSVs, Backups auf VM-Ebene und geplante Patch-Fenster.

Weiterführende Artikel und Quellen

Die ersten VMs auf dem neuen Storage legen Sie mit der Anleitung Hyper-V: erste virtuelle Maschine erstellen und Checkpoints nutzen an. Zum Upgrade siehe die News zum Windows Server 2025 Upgrade per Windows Update vom Mai 2026. Weitere Anleitungen finden Sie in der Kategorie Windows Server.

Quellen: Offizielle Microsoft-Dokumentation zum iSCSI Target Server, das PowerShell-Modul iSCSITarget sowie das iSCSI-Initiator-Cmdlet-Modul auf Microsoft Learn.