可信网络

Trusted Extensions 为区域、主机以及网络指定安全属性。这些属性将确保在网络上强制执行以下安全功能：

在网络通信中正确为数据设置标签。
通过本地网络发送或接收数据或挂载文件系统时执行强制访问控制 (Mandatory access control, MAC) 规则。
将数据路由至远程网络时执行 MAC 规则。
将数据路由至区域时执行 MAC 规则。

在 Trusted Extensions 中，网络包受 MAC 保护。标签用于 MAC 决策。用敏感标签以显式或隐式方式为数据设置标签。标签具有 ID 字段、等级或 "level"（级别）字段、以及区间或 "category"（类别）字段。数据必须通过认可检查。该检查确定标签是否格式正确，以及标签是否位于接收主机的认可范围内。位于接收主机认可范围内的格式正确的包将被授予访问权限。

在可信系统之间交换的 IP 包可以添加标签。Trusted Extensions 支持商业 IP 安全选项 (Commercial IP Security Option, CIPSO) 标签。包上的 CIPSO 标签用于对 IP 包进行分类、单独部署以及路由。路由决策比较数据的敏感标签与目标标签。

通常，在可信网络上，标签由发送主机生成，并由接收主机处理。然而，可信的路由器也可以在可信网络中转发包时添加或去除标签。在传输之前会将敏感标签映射到 CIPSO 标签。CIPSO 标签嵌入在 IP 包中。通常，包发送者和包的接收者在同一标签进行操作。

可信联网软件将确保执行 Trusted Extensions 安全策略，即使主题（进程）和对象（数据）位于不同的主机上。Trusted Extensions 联网将在分布式应用程序之间保持 MAC。

Trusted Extensions 数据包

Trusted Extensions 数据包包括 CIPSO 标签选项。数据包可以通过 IPv4 或 IPv6 网络发送。

在标准的 IPv4 格式中，带有选项的 IPv4 头后跟 TCP、UDP 或 SCTP 头，然后才是实际的数据。Trusted Extensions 版本的 IPv4 包针对安全属性在 IP 头中使用 CIPSO 选项。

在标准的 IPv6 格式中，带有扩展的 IPv6 头后跟 TCP、UDP 或 SCTP 头，然后才是实际的数据。Trusted Extensions IPv6 包在具有扩展的头中包括多级别安全选项。

可信网络通信

Trusted Extensions 支持可信网络上的有标签主机和无标签主机。LDAP 是一种完全受支持的命名服务。利用各种命令和 GUI，可以对网络进行管理。

运行 Trusted Extensions 软件的系统支持 Trusted Extensions 主机与以下任一类型系统之间的网络通信：

运行 Trusted Extensions 的其他系统
运行以下操作系统的系统：这些操作系统不识别安全属性但支持 TCP/IP，例如 Oracle Solaris 系统、其他 UNIX 系统、Microsoft Windows 和 Macintosh OS 系统
运行其他可识别 CIPSO 标签的可信操作系统的系统

正如在 Oracle Solaris OS 中，Trusted Extensions 网络通信和服务可由命名服务进行管理。Trusted Extensions 将以下接口添加到 Oracle Solaris 网络接口：

Trusted Extensions 将添加三个网络配置数据库：tnzonecfg、tnrhdb 和 tnrhtp。有关详细信息，请参见Trusted Extensions 中的网络配置数据库。
Trusted Extensions 版本的命名服务转换文件 nsswitch.conf 包括 tnrhtp 和 tnrhdb 数据库项。可以修改这些项以满足各个站点的配置。

Trusted Extensions 使用 LDAP 命名服务以集中管理定义主机、网络和用户的配置文件。针对 LDAP 命名服务的可信网络数据库的缺省 nsswitch.conf 项如下：
```
# Trusted Extensions
tnrhtp: files ldap
tnrhdb: files ldap
```
Oracle Directory Server 企业版上的 LDAP 命名服务是 Trusted Extensions 中唯一完全受支持的命名服务。有关在配置有 Trusted Extensions 的系统上使用 LDAP 的信息，请参见第 9 章。
Trusted Extensions 向 Solaris Management Console 添加工具。该控制台用于集中管理区域、主机和网络。Solaris Management Console 工具中对这些网络工具进行了讲述。

《Oracle Solaris Trusted Extensions 配置指南》中介绍了如何在配置网络时定义区域和主机。有关其他详细信息，请参见第 13 章。
Trusted Extensions 添加了命令以管理可信联网。Trusted Extensions 还向 Oracle Solaris 网络命令添加了选项。有关这些命令的说明，请参见Trusted Extensions 中的网络命令。

Trusted Extensions 中的网络配置数据库

Trusted Extensions 会将三个网络配置数据库装入到内核中。将数据从一台主机传输至另一台主机时，在认可检查中使用这些数据库。

tnzonecfg—该本地数据库存储与安全相关的区域属性。每个区域的属性指定区域标签和区域对单级别和多级别端口的访问。另一个属性处理对控制消息的响应，如 ping。区域的标签在 label_encodings 文件中进行定义。有关详细信息，请参见label_encodings(4) 和 smtnzonecfg(1M) 手册页。有关多级别端口的讨论，请参见区域和多级别端口。
tnrhtp—该数据库存储描述主机和网关的安全属性的模板。tnrhtp 可以是本地数据库或存储在 LDAP 服务器上。发送通信时，主机和网关使用目标主机和下一中继站网关的属性强制执行 MAC。接收通信时，主机和网关使用发送者的属性。有关安全属性的详细信息，请参见可信网络安全属性。有关更多信息，请参见 smtnrhtp(1M) 手册页。
tnrhdb—该数据库存储与获准通信的所有主机相对应的 IP 地址和网络前缀（回退机制）。tnrhdb 可以是本地数据库或存储在 LDAP 服务器上。从 tnrhtp 数据库为每个主机或网络前缀指定一个安全模板。模板中的属性定义负责指定主机的属性。有关更多信息，请参见 smtnrhdb(1M) 手册页。

在 Trusted Extensions 中，已经对 Solaris Management Console 进行了扩展来处理这些数据库。有关详细信息，请参见Solaris Management Console 工具。

Trusted Extensions 中的网络命令

Trusted Extensions 添加了以下命令来管理可信联网：

tnchkdb—该命令用于验证可信网络数据库的正确性。更改安全模板 (tnrhtp)、安全模板指定 (tnrhdb) 或区域配置 (tnzonecfg) 时，使用 tnchkdb 命令。修改数据库时，Solaris Management Console 工具将自动运行此命令。有关详细信息，请参见 tnchkdb(1M) 手册页。
tnctl—该命令可用于更新内核中的可信网络信息。tnctl 还是一个系统服务。使用命令 svcadm restart /network/tnctl 重新启动时可从本地系统上的可信网络数据库刷新内核高速缓存。在 "Files"（文件）作用域内修改数据库时，Solaris Management Console 工具将自动运行此命令。有关详细信息，请参见 tnctl(1M) 手册页。
tnd—该守护进程会从 LDAP 目录和本地文件中提取 tnrhdb 和 tnrhtp 信息。来自命名服务的信息将根据其在 nsswitch.conf 文件中的顺序装入。tnd 守护进程由 svc:/network/tnd 服务在引导时启动。该服务依赖于 svc:/network/ldap/client。

tnd 命令还可用于调试和更改轮询间隔。有关详细信息，请参见tnd(1M) 手册页。
tninfo—该命令将详细显示可信网络内核高速缓存的当前状态详细信息。输出可以按主机名、区域或安全模板进行过滤。有关详细信息，请参见 tninfo(1M) 手册页。

Trusted Extensions 还向以下 Oracle Solaris 网络命令添加了选项：

ifconfig—该命令的 all-zones 接口标志使指定接口可用于系统上的每个区域。可向其传送数据的相应区域由与该数据关联的标签决定。有关详细信息，请参见 ifconfig(1M) 手册页。
netstat—-R 选项扩展了 Oracle Solaris netstat 用途，以显示特定于 Trusted Extensions 的信息，例如多级别套接字和路由表项的安全属性。扩展的安全属性包括对等体的标签以及套接字是特定于某个区域，还是可用于若干区域。有关详细信息，请参见 netstat(1M) 手册页。
route—-secattr 选项扩展了 Oracle Solaris route 用途以显示路由的安全属性。该选项的值具有以下格式：
```
min_sl=label,max_sl=label,doi=integer,cipso
```
cipso 关键字为可选项，缺省为已设置。有关详细信息，请参见route(1M) 手册页。
snoop—正如在 Oracle Solaris OS 中，该命令的 -v 选项可用于显示 IP 头的详细信息。在 Trusted Extensions 中，头包含标签信息。

可信网络安全属性

Trusted Extensions 中的网络管理基于安全模板。安全模板描述了一组具有通用协议和相同安全属性的主机。

安全属性以模板方式通过管理行为指定给系统（主机和路由器）。安全管理员负责管理模板并将其指定给系统。如果没有给某个系统指定模板，则不允许与该系统进行通信。

每个模板都进行了命名，并包含以下内容：

"Unlabeled"（无标签）主机类型或 CIPSO 主机类型。用于网络通信的协议由模板的主机类型确定。

主机类型用于确定是否使用 CIPSO 选项并会影响 MAC。请参见安全模板中的主机类型和模板名称。
一组适用于各个主机类型的安全属性。

有关主机类型和安全属性的详细信息，请参见Trusted Extensions 中的网络安全属性。

跳过导航链接
退出打印视图
	Oracle Solaris Trusted Extensions 管理员规程 Oracle Solaris 10 8/11 Information Library (简体中文)