Administration de propriétés de protocole

Mises à part les interfaces, la commande ipadm peut être utilisée pour configurer des propriétés de protocole, également appelées paramètres réglables. La commande ipadm remplace la commande ndd qui était couramment utilisée dans les versions précédentes pour définir les paramètres réglables. Cette section présente des procédures et des exemples pour personnaliser les propriétés de protocole TCP/IP sélectionnées.

Définition de propriétés TCP/IP

Les propriétés TCP/IP peuvent être basées sur une interface ou globales. Les propriétés peuvent être appliquées à une interface spécifique, ou au niveau global à toutes les interfaces de la zone. Les propriétés globales peuvent avoir des paramètres dans plusieurs zones non globales. Pour obtenir la liste des propriétés de protocole prises en charge, reportez-vous à la page de manuel ipadm(1M).

En règle générale, les paramètres par défaut du protocole Internet TCP/IP s'avèrent suffisants pour que le réseau fonctionne. Cependant, si les paramètres par défaut ne sont pas suffisants pour votre topologie de réseau, les procédures décrites dans le tableau suivant indiquent comment personnaliser ces propriétés TCP/IP.

Le tableau décrit les tâches de configuration de certaines propriétés du protocole et fournit des liens vers les procédures correspondantes.

Tableau 9-2 Définition des propriétés TCP/IP sélectionnées

Restriction de l'accès à un port à l'utilisateur root uniquement

Pour les protocoles de transport tels que TCP, UDP et SCTP, les ports 1–1023 sont par défaut les ports privilégiés auxquels seuls les processus qui s'exécutent avec des autorisations root peuvent être liés. En utilisant la commande ipadm, vous pouvez réserver un port au-delà de cette plage par défaut afin qu'il devienne un port privilégié. Ainsi, seuls les processus root peuvent être liés à ce port. Pour cette procédure, vous utilisez les propriétés de protocole de transport suivantes :

• smallest_nonpriv_port

• extra_priv_ports

1. Déterminez si le port désigné se trouve dans la plage de ports standard et peut donc être utilisé.

   # ipadm show-prop -p smallest_nonpriv_port protocol

   où protocol correspond au type de protocole pour lequel vous souhaitez configurer un port privilégié, tel que IP, UDP, ICMP, etc.

   Dans la sortie de la commande, le champ POSSIBLE indique la plage de numéros de port auxquels les utilisateurs standard peuvent être liés. Si le port désigné se trouve dans cette plage, vous pouvez le définir en tant que port privilégié.

2. Vérifiez si le port que vous souhaitez réserver est disponible et n'est pas déjà marqué comme un port privilégié.

   # ipadm show-prop -p extra_priv_ports protocol

   Dans la sortie de la commande, le champ CURRENT indique les ports qui sont actuellement marqués comme privilégiés. Si le port désigné n'apparaît pas dans ce champ, vous pouvez le définir comme port privilégié.

3. Ajoutez le port désigné en tant que port privilégié.

   # ipadm set-prop -p extra_priv_ports=port-number protocol

4. Pour chaque port supplémentaire que vous voulez ajouter ou supprimer en tant que port privilégié, effectuez l'une des actions suivantes :

   • Pour ajouter un port en tant que port privilégié, saisissez la syntaxe suivante.

     # ipadm set-prop -p extra_priv_ports+=portnumber protocol

     ---

     Remarque - Avec le qualificatif plus (+), vous pouvez sélectionner plusieurs ports pour qu'ils deviennent des ports privilégiés. Le qualificatif plus (+) vous permet d'établir une liste de ces ports. Utilisez cette syntaxe avec le qualificatif pour ajouter des ports à la liste séparément. Si vous n'utilisez pas le qualificatif, le port que vous affectez remplace tous les autres ports qui ont été précédemment répertoriés comme privilégiés.

     ---

   • Pour supprimer un port de la liste des ports privilégiés, saisissez la syntaxe suivante.

     # ipadm set-prop -p extra_priv_ports-=portnumber protocol

     ---

     Remarque - En utilisant le qualificatif moins (-), vous pouvez supprimer le port de la liste des ports existants actuellement répertoriés comme privilégiés. Utilisez la même syntaxe pour supprimer tous les ports privilégiés supplémentaires, y compris les ports par défaut.

     ---

5. Vérifiez le nouveau statut du port désigné.

   # ipadm show-prop -p extra_priv_ports protocol

   Dans la sortie de la commande, assurez-vous que les ports désignés sont désormais inclus dans le champ CURRENT.

Exemple 9-6 Définition d'un port privilégié

Dans cet exemple, vous définissez les ports 3001 et 3050 comme ports privilégiés. Vous pouvez également supprimer le port 4045, actuellement répertorié comme port privilégié.

Dans la sortie pour la propriété smallest_nonpriv_port, le champ POSSIBLE indique que le port 1024 est le port non privilégié le plus bas et que les ports 3001 et 3050 désignés se trouvent dans la plage des ports privilégiés à utiliser. Dans la sortie pour la propriété extra_priv_ports, les ports 2049 et 4045 sous le champ CURRENT sont marqués comme privilégiés. Vous pouvez ainsi procéder à la configuration du port 3001 en tant que port privilégié.

# ipadm show-prop -p smallest_nonpriv_port tcp
PROTO PROPERTY                PERM   CURRENT   PERSISTENT   DEFAULT   POSSIBLE
tcp   smallest_nonpriv_port   rw     1024      --           1024      1024-32768

# ipadm show-prop -p extra_priv_ports tcp
PROTO   PROPERTY           PERM   CURRENT     PERSISTENT   DEFAULT     POSSIBLE
tcp     extra_priv_ports   rw     2049,4045   --           2049,4045   1-65535

# ipadm set-prop -p extra_priv_ports+=3001 tcp        
# ipadm set-prop -p extra_priv_ports+=3050 tcp
# ipadm show-prop -p extra_priv_ports tcp
PROTO   PROPERTY           PERM   CURRENT     PERSISTENT   DEFAULT     POSSIBLE
tcp     extra_priv_ports   rw     2049,4045   3001,3050    2049,4045   1-65535
                                  3001,3050

# ipadm set-prop -p extra_priv_ports-=4045 tcp
# ipadm show-prop -p extra_priv_ports tcp
PROTO   PROPERTY           PERM   CURRENT     PERSISTENT   DEFAULT     POSSIBLE
tcp     extra_priv_ports   rw     2049,3001   3001,3050    2049,4045   1-65535
                                  3050

Implémentation du routage symétrique sur des hôtes multiréseau

Par défaut, un système disposant de plusieurs interfaces, également appelé hôte multiréseau, achemine son trafic réseau en fonction de la route la plus longue vers la destination du trafic dans la table de routage. Si plusieurs routes de longueur égale vers la destination existent, Oracle Solaris applique les algorithmes de multipathing à coût égal pour répartir le trafic sur ces routes.

Répartir le trafic de cette manière n'est pas toujours idéal. Un paquet IP peut être envoyé par le biais d'une interface sur l'hôte multiréseau qui ne se trouve pas sur le même sous-réseau que l'adresse IP source dans le paquet. De plus, si le paquet sortant est une réponse à une certaine demande entrante, par exemple une requête d'écho ICMP, la requête et la réponse peuvent ne pas traverser la même interface. Une telle configuration du routage du trafic est appelée routage asymétrique. Si votre fournisseur d'accès Internet implémente un filtrage d'entrée tel que décrit dans la norme RFC 3704 (http://rfc-editor.org/rfc/bcp/bcp84.txt), une configuration de routage asymétrique peut entraîner la suppression d'un paquet sortant par le fournisseur.

Cette norme vise à limiter les attaques par déni de service sur Internet. Pour s'y conformer, le réseau doit être configuré pour un routage symétrique. Dans Oracle Solaris, la propriété hostmodel IP permet de répondre à cette exigence. Cette propriété contrôle le comportement des paquets IP reçus ou transmis via un hôte multiréseau.

La procédure suivante montre comment utiliser la commande ipadm pour définir la propriété hostmodel pour une configuration de routage spécifique :

1. Sur l'hôte multiréseau, devenez administrateur.
2. Configurez le routage des paquets réseau dans le système.

   # ipadm set-prop -p hostmodel=value protocol

   La propriété peut être définie sur l'un des trois paramètres suivants :

   strong

   Correspond au modèle de système final fort, tel que défini dans la norme RFC 1122. Ce paramètre implémente le routage symétrique.

   weak

   Correspond au modèle de système final faible tel que défini dans la norme RFC 1122. Avec ce paramètre, un hôte multiréseau utilise le routage asymétrique.

   src-priority

   Configure le routage de paquets en utilisant des routes préférées. Si plusieurs routes vers la destination existent dans la table de routage, les routes préférées sont celles qui utilisent les interfaces sur lesquelles l'adresse IP source d'un paquet sortant est configurée. Si de telles routes n'existent pas, les paquets sortants utiliseront la route correspondante la plus longue vers la destination IP du paquet.

3. (Facultatif) Vérifiez les paramètres de la propriété hostmodel.

   # ipadm show-prop protocol

Exemple 9-7 Définition du routage symétrique sur un hôte multiréseau

Dans cet exemple, vous souhaitez appliquer le routage symétrique de l'ensemble du trafic IP sur tous les hôtes multiréseau.

# ipadm set-prop -p hostmodel=strong ip
# ipadm show-prop -p hostmodel ip
PROTO  PROPERTY   PERM  CURRENT  PERSISTENT  DEFAULT   POSSIBLE
ipv6   hostmodel  rw    strong   --          weak      strong,
                                                       src-priority,
                                                       weak
ipv4   hostmodel  rw    strong   --          weak      strong,
                                                       src-priority,
                                                       weak