Administration du routage dans Trusted Extensions

Trusted Extensions prend en charge plusieurs méthodes de routage de communications entre des réseaux. Le rôle d'administrateur de sécurité permet de paramétrer des routes conformes au niveau de sécurité requis par la stratégie de sécurité de votre site.

Par exemple, les sites peuvent restreindre les communications avec l'extérieur du réseau local à une étiquette unique. Cette étiquette est appliquée aux informations mises à la disposition du public. Des étiquettes telles que UNCLASSIFIED ou PUBLIC peuvent correspondre à des informations mises à la disposition du public. Pour appliquer la restriction, ces sites assignent un modèle à étiquette unique connecté au réseau externe. Pour plus d'informations sur TCP/IP et sur le routage, reportez-vous aux sections suivantes :

• Planning for Routers on Your Network du System Administration Guide: IP Services

• Configuring Systems on the Local Network du System Administration Guide: IP Services

• Major TCP/IP Administrative Tasks (Task Map) du System Administration Guide: IP Services

• Préparation du réseau pour le service DHCP (liste des tâches) du Guide d’administration système : services IP

Choix de routeurs dans Trusted Extensions

En matière de routeurs, les hôtes Trusted Extensions offrent le niveau de sécurité le plus élevé. D'autres types de routeurs risquent de ne pas reconnaître les attributs de sécurité Trusted Extensions. Sans l'intervention des administrateurs, les paquets peuvent être acheminés via des routeurs qui n'assurent pas la protection MAC.

• Les routeurs CIPSO rejettent les paquets lorsqu'ils ne trouvent pas le bon type d'information dans la section des options IP du paquet. Par exemple, un routeur CIPSO rejette un paquet s'il ne parvient pas à trouver une option CIPSO dans les options IP lorsque l'option est requise, ou lorsque le DOI dans les options IP n'est pas compatible avec l'accréditation de la destination.

• D'autres types de routeurs qui n'exécutent pas Trusted Extensions peuvent être configurés pour transmettre les paquets ou pour rejeter les paquets incluant l'option CIPSO. Seules les passerelles qui reconnaissent CIPSO telles que celles fournies par Trusted Extensions sont en mesure d'exploiter les contenus de l'option IP CIPSO pour appliquer le MAC.

Pour prendre en charge le routage sécurisé, les tables de routage Solaris10 sont étendues et incluent les attributs de sécurité Trusted Extensions. Les attributs sont décrits dans la section Entrées de la table de routage dans Trusted Extensions. Trusted Extensions prend en charge le routage statique, dans lequel l'administrateur crée manuellement les entrées de la table de routage. Pour plus d'informations, reportez-vous à l'option -p sur la page de manuel route(1M).

Le logiciel de routage tente de trouver un itinéraire vers l'hôte de destination dans les tables de routage. Lorsque l'hôte n'est pas explicitement nommé, le logiciel de routage recherche une entrée correspondant au sous-réseau où réside l'hôte. Lorsque ni l'hôte, ni le réseau où réside l'hôte n'est défini, l'hôte envoie le paquet vers une passerelle par défaut, lorsqu'une telle passerelle est définie. Plusieurs passerelles par défaut peuvent être définies et toutes sont traitées de façon égale.

Dans cette version de Trusted Extensions, l'administrateur de sécurité configure les routes manuellement, puis modifie manuellement la table de routage lorsque les circonstances changent. Par exemple, de nombreux sites possèdent une passerelle unique qui communique avec le monde extérieur. Cette passerelle unique peut être définie de façon statique comme passerelle par défaut sur chaque hôte du réseau. La prise en charge du routage dynamique sera peut-être intégrée dans les futures versions de Trusted Extensions.

Passerelles dans Trusted Extensions

Vous trouverez ci-dessous un exemple de routage dans Trusted Extensions. Le diagramme et le tableau présentent trois itinéraires possibles entre l'hôte 1 et l'hôte 2.

Figure 12-1 Routes et entrées de table de routage Trusted Extensions types

• La route n�1 permet de transmettre des paquets dans la plage d'étiquettes allant de CONFIDENTIAL à SECRET.

• La route n�2 permet de transmettre des paquets dont l'étiquette est comprise entre ADMIN_LOW et ADMIN_HIGH.

• La route n�3 ne spécifie aucune information de routage. Par conséquent, ses attributs de sécurité sont obtenus à partir du modèle provenant de la base de données tnrhtp pour la passerelle 5.

Commandes de routage dans Trusted Extensions

Pour afficher les étiquettes et les attributs de sécurité étendus des sockets, Trusted Extensions modifie les commandes réseau d'Oracle Solaris suivantes :

• La commande netstat -rR affiche les attributs de sécurité dans les entrées de la table de routage.

• La commande netstat -aR affiche les attributs de sécurité des sockets.

• La commande route -p associée à l'option add (ajouter) ou delete (supprimer) permet de modifier les entrées de la table de routage.

Pour plus d'informations, reportez-vous aux pages de manuel netstat(1M) et route(1M).

Pour des exemples, reportez-vous à la section Procédure de configuration de routes à l'aide d'attributs de sécurité.