test

Solaris 10 11/06 安裝指南：網路安裝

第 9 章 WAN Boot (簡介)

本章介紹了 WAN Boot 安裝方法。本章說明以下主題：

何為 WAN Boot？

WAN Boot 安裝方法可讓您使用 HTTP，透過廣域網路 (WAN) 啟動和安裝軟體。利用 WAN Boot ，可以透過大型公用網路 (其網路基礎架構可能無法信任)，在基於 SPARC 之系統上安裝 Solaris 作業系統。您可以將 WAN Boot 與安全功能結合使用來保護資料的私密性與安裝影像的完整性。

WAN Boot 安裝方法讓您可以透過公用網路，將加密的 Solaris Flash 歸檔傳輸到遠端基於 SPARC 之用戶端。然後，WAN Boot 程式將透過執行自訂 JumpStart 安裝來安裝用戶端系統。為了保護安裝的完整性，您可以使用私密金鑰來驗證和加密資料。您也可以將系統配置為使用數位憑證，從而透過安全的 HTTP 連接來傳輸安裝資料和檔案。

若要執行 WAN Boot 安裝，請透過 HTTP 或安全 HTTP 連接，從 Web 伺服器下載下列資訊，然後安裝基於 SPARC 的系統。

然後，您可以使用自訂 JumpStart 安裝方法在用戶端上安裝歸檔。

您可以使用金鑰與數位憑證保護先前所列資訊的傳輸。

如需 WAN Boot 安裝中事件順序的詳細說明，請參閱WAN Boot 運作方式 (簡介) 。

何時使用 WAN Boot

WAN Boot 安裝方法可讓您安裝位於遠端地理區域內的基於 SPARC 的系統。您可能要使用 WAN Boot 來安裝僅可以透過公用網路存取的遠端伺服器或用戶端。

如果要安裝位於區域網路 (LAN) 中的系統，WAN Boot 安裝方法所需的配置與管理可能多於必要的配置與管理。如需有關如何透過 LAN 安裝系統的資訊，請參閱第 4 章, 從網路安裝 (簡介)。

WAN Boot 運作方式 (簡介)

WAN Boot 結合使用伺服器、配置檔案、共用閘道介面 (CGI) 程式以及安裝檔案來安裝基於 SPARC 的遠端用戶端。本節說明 WAN Boot 安裝中的一般事件序列。

WAN Boot 安裝中的事件序列

圖 9–1 顯示了 WAN Boot 安裝中的基本事件序列。在此圖中，基於 SPARC 的用戶端透過 WAN 從 Web 伺服器和安裝伺服器擷取配置資料與安裝檔案。

圖 9–1 WAN Boot 安裝中的事件序列

上下文將描述該圖形。

  1. 您可以使用下列方法之一啟動用戶端：

    • 透過在 Open Boot PROM (OBP) 中設定網路介面變數從網路啟動。

    • 使用 DHCP 選項從網路啟動。

    • 從本機 CD-ROM 啟動。

  2. 用戶端 OBP 從下列來源之一取得配置資訊：

    • 使用者在指令行鍵入的啟動引數值

    • DHCP 伺服器 (如果網路使用 DHCP)

  3. 用戶端 OBP 要求使用 WAN Boot 第二層啟動程式 (wanboot)。

    用戶端 OBP 會從下列來源下載 wanboot 程式：

    • 使用超文件傳輸協定 (HTTP)，從名為 WAN Boot 伺服器的特殊 Web 伺服器中下載

    • 從本機 CD-ROM (圖中未顯示) 下載

  4. wanboot 程式要求使用 WAN Boot 伺服器中的用戶端配置資訊。

  5. wanboot 程式從 WAN Boot 伺服器下載由 wanboot-cgi 程式傳輸的配置檔案。配置檔案做為 WAN Boot 檔案系統傳輸至用戶端。

  6. wanboot 程式要求從 WAN Boot 伺服器下載 WAN Boot miniroot。

  7. wanboot 程式使用 HTTP 或安全 HTTP 從 WAN Boot 伺服器下載 WAN Boot miniroot。

  8. wanboot 程式從 WAN Boot miniroot 載入 UNIX 核心程式並執行。

  9. UNIX 核心程式尋找並裝載供 Solaris 安裝程式使用的 WAN Boot 檔案系統。

  10. 安裝程式要求從安裝伺服器下載 Solaris Flash 歸檔與自訂 JumpStart 檔案。

    安裝程式透過 HTTP 或 HTTPS 連接，下載歸檔與自訂 JumpStart 檔案。

  11. 安裝程式執行自訂 JumpStart 安裝，以於用戶端上安裝 Solaris Flash 歸檔。

在 WAN Boot 安裝期間保護資料

WAN Boot 安裝方法可讓您在安裝期間使用雜湊金鑰、加密金鑰以及數位憑證保護系統資料。本節簡要說明 WAN Boot 安裝方法支援的各種資料保護方法。

使用雜湊金鑰檢查資料完整性

若要保護從 WAN Boot 伺服器傳輸至用戶端的資料，您可以產生訊息認證雜揍碼 (HMAC) 金鑰。同時在 WAN Boot 伺服器與用戶端中安裝此雜湊金鑰。WAN Boot 伺服器使用此金鑰簽發要傳輸至用戶端的資料。然後用戶端會使用此金鑰來確認 WAN Boot 伺服器所傳輸資料的完整性。在用戶端上安裝完雜湊金鑰之後，該用戶端便會使用此金鑰執行以後的 WAN Boot 安裝。

如需有關如何使用雜湊金鑰的指示，請參閱(可選擇) 建立雜湊金鑰與加密金鑰。

使用加密金鑰加密資料

WAN Boot 安裝方法 可讓您加密從 WAN Boot 伺服器傳輸至用戶端的資料。您可以使用 WAN Boot 公用程式建立符合三重資料加密標準 (3DES) 或進階加密標準 (AES) 的加密金鑰。然後，可將此金鑰同時提供給 WAN Boot 伺服器與用戶端。WAN Boot 使用此加密金鑰對從 WAN Boot 伺服器傳輸至用戶端的資料進行加密。用戶端可以稍後使用此金鑰解密在安裝期間傳輸的加密配置檔案與安全檔案。

一旦在用戶端上安裝了加密金鑰之後，該用戶端便會使用此金鑰進行以後的 WAN Boot 安裝。

您的網站可能不允許使用加密金鑰。若要確定您的網站是否允許使用加密，請諮詢網站安全性管理員。如果您的網站允許使用加密，請向安全性管理員諮詢您應該使用哪種類型的加密金鑰 (3DES 還是 AES)。

如需有關如何使用加密金鑰的指示，請參閱(可選擇) 建立雜湊金鑰與加密金鑰。

使用 HTTPS 保護資料

WAN Boot 支援藉由安全通訊端層使用 HTTP (HTTPS)，以便在 WAN Boot 伺服器與用戶端之間傳輸資料。透過使用 HTTPS，您可以要求伺服器或同時要求伺服器與用戶端在安裝期間進行自我驗證。HTTPS 也會在安裝期間加密從伺服器傳輸至用戶端的資料。

HTTPS 會使用數位憑證來認證透過網路交換資料的系統。數位憑證是一個在線上通訊期間，將伺服器或用戶端等系統識別為可信任系統的檔案。您可以從外部憑證管理中心要求一個數位憑證，或建立自己的憑證與憑證管理中心。

若要讓用戶端信任伺服器並接受來自伺服器的資料，就必須在伺服器上安裝數位憑證。然後，請指示用戶端信任此憑證。您也可以通過向用戶端提供數位憑證來讓它向伺服器進行自我驗證。然後，當用戶端在安裝期間提供憑證時，您便可指示伺服器接受憑證的簽名者。

若要在安裝期間使用數位憑證，則必須將 Web 伺服器配置為使用 HTTPS。請參閱您的 Web 伺服器說明文件，以取得有關如何使用 HTTPS 的資訊。

如需於 WAN Boot 安裝期間使用數位憑證需求的相關資訊，請參閱數位憑證需求。如需有關如何在 WAN Boot 安裝中使用數位憑證的指示，請參閱(可選擇) 在伺服器和用戶端驗證時使用數位憑證。

WAN Boot 支援的安全配置 (簡介)

WAN Boot 支援各種安全層級。您可以結合使用在 WAN Boot 中受支援的安全功能，以滿足網路的需要。更安全的配置雖然需要更多的管理，但是也會顯著增加系統資料的安全性。對於高重要性的系統，或是想要安裝於公開網路上的系統，您可以選擇安全 WAN Boot 安裝配置中的配置。對於重要性較低的系統，或是位於半公開網路上的系統，則可以考慮使用不安全 WAN Boot 安裝配置中所述的配置。

本節簡要說明可以用來設定 WAN Boot 安裝之安全層級的各種配置。同時還會對這些配置所需的安全機制進行說明。

安全 WAN Boot 安裝配置

此配置可保護伺服器與用戶端之間所交換資料的完整性，並可協助保持交換內容的機密性。此配置使用 HTTPS 連接，並使用 3DES 或 AES 演算法對用戶端配置檔案進行加密。此配置還要求伺服器在安裝期間向用戶端進行自我驗證。安全 WAN Boot 安裝需要以下安全功能：

如果還想要求在安裝期間進行用戶端驗證，則還必須使用以下安全功能：

如需有關需要使用此配置進行安裝的作業清單，請參閱表 11–1。

不安全 WAN Boot 安裝配置

此安全配置所需的管理工作最少，但是當資料從 Web 伺服器傳輸至用戶端時，相應的安全性也最低。您不需要建立雜湊金鑰、加密金鑰或數位憑證，也不需要將您的 Web 伺服器配置為可使用 HTTPS。但是，此配置會透過 HTTP 連接傳輸安裝資料與檔案，這樣極易使安裝在網路上被攔截。

如果要讓用戶端檢查所傳輸資料的完整性，您可以在此配置中使用 HMAC SHA1 雜湊金鑰。但是，雜湊金鑰不保護 Solaris Flash 歸檔。在安裝期間，歸檔會在伺服器與用戶端之間進行不安全的傳輸。

如需有關需要使用此配置進行安裝的作業清單，請參閱表 11–2。