Configuration des routes et ports multiniveau (MLP) (tâches)

Les routes statiques permettant aux paquets étiquetés d'atteindre leur destination via des passerelles étiquetées et sans étiquette. Les MLP permettent à une application d'utiliser un point d'entrée pour atteindre toutes les zones.

Ajout des routes par défaut

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

Assignez chaque hôte, réseau et passerelle de destination à un modèle de sécurité. Pour plus d'informations, reportez-vous à la section Ajout d'un hôte au modèle de sécurité and Ajout d'une plage d'hôtes au modèle de sécurité.

1. Utilisez l'interface graphique txzonemgr pour créer des routes par défaut.

   # txzonemgr &

2. Double-cliquez sur la zone pour laquelle vous souhaitez définir la route par défaut, puis double-cliquez sur son entrée d'adresse IP.

   Si la zone possède plusieurs adresses IP, choisissez l'entrée de l'interface souhaitée.

3. A l'invite, entrez l'adresse IP du routeur et cliquez sur OK.

   ---

   Remarque - Pour supprimer ou modifier le routeur par défaut, supprimez l'entrée, créez à nouveau l'entrée IP, puis ajoutez le routeur. Si la zone ne possède qu'une seule adresse IP, vous devez supprimer l'instance IP pour supprimer l'entrée.

   ---

Exemple 16-17 Utilisation de la commande route afin de définir la route par défaut pour la zone globale

Dans cet exemple, l'administrateur utilise la commande route pour créer une route par défaut pour la zone globale.

# route add default 192.168.113.1 -static

Création d'un port multiniveau pour une zone

Vous pouvez ajouter des MLP privés et partagés à des zones étiquetées et à la zone globale.

Cette procédure est utilisée lorsqu'une application qui s'exécute à l'intérieur d'une zone étiquetée requiert un port multiniveau (MLP) pour communiquer avec la zone. Dans cette procédure, un proxy Web communique avec la zone.

Avant de commencer

Vous devez être dans le rôle root dans la zone globale. Le système doit avoir au moins deux adresses IP et la zone étiquetée est arrêtée.

1. Ajoutez l'hôte proxy et l'hôte de services Web au fichier /etc/hosts .

   ## /etc/hosts file
   ...
   proxy-host-name IP-address
   web-service-host-name IP-address

2. Configuration de la zone

   Par exemple, vous pouvez configurer la zone public de manière à ce qu'elle reconnaisse les paquets explicitement étiquetés PUBLIC. Pour cette configuration, le modèle de sécurité est nommé webprox.

   # tncfg -t webprox 
   tncfg:public> set name=webprox
   tncfg:public> set host_type=cipso
   tncfg:public> set min_label=public
   tncfg:public> set max_label=public
   tncfg:public> add host=mywebproxy.oracle.comhost name associated with public zone
   tncfg:public> add host=10.1.2.3/16IP address of public zone
   tncfg:public> exit

3. Configurez le MLP.

   Par exemple, le service de proxy Web peut communiquer avec la zone PUBLIC via l'interface 8080/tcp .

   # tncfg -z public add mlp_shared=8080/tcp
   # tncfg -z public add mlp_private=8080/tcp

4. Pour ajouter les MLP au noyau, initialisez la zone.

   # zoneadm -z zone-name boot

5. Dans la zone globale, ajoutez des routes pour les nouvelles adresses.

   Pour ajouter des routes, effectuez les étapes décrites dans la section Ajout des routes par défaut.

Exemple 16-18 Configuration d'un MLP à l'aide de l'interface graphique txzonemgr

L'administrateur configure le service de proxy Web en ouvrant le gestionnaire de zones étiquetées (Labeled Zone Manager).

# txzonemgr &

L'administrateur clique deux fois sur la zone PUBLIC, puis sur les ports Configure Multilevel Ports. Il sélectionne ensuite la ligne Private interfaces et clique deux fois dessus. La sélection prend ensuite l'apparence d'une zone de saisie semblable à ce qui suit :

Private interfaces:111/tcp;111/udp

L'administrateur saisit ensuite le proxy Web en le séparant de ce qui précède par un point-virgule

Private interfaces:111/tcp;111/udp;8080/tcp

Une fois la saisie privée terminée, l'administrateur saisit le proxy Web dans le champ Shared interfaces.

Shared interfaces:111/tcp;111/udp;8080/tcp

Une fenêtre contextuelle indique que les ports multiniveau de la zone public devront être activés à la prochaine initialisation de la zone.

Exemple 16-19 Configuration d'un port multiniveau privé pour NFSv3 sur udp

Dans cet exemple, l'administrateur active les montages "read-down" NFSv3 sur udp. L'administrateur a la possibilité d'utiliser la commande tncfg.

# tncfg -z global add mlp_private=2049/udp

L'interface graphique txzonemgr fournit une autre manière de définir le MLP.

Dans le gestionnaire de zones étiquetées (Labeled Zone Manager), l'administrateur clique deux fois sur la zone global, puis sur Configure Multilevel Ports. Dans le menu MLP, l'administrateur sélectionne la ligne Private interfaces et clique deux fois dessus avant d'ajouter le port/protocole.

Private interfaces:111/tcp;111/udp;8080/tcp

Une fenêtre contextuelle indique que les ports multiniveau de la zoneglobal devront être activés à la prochaine initialisation de la zone.

Exemple 16-20 Affichage de ports multiniveau sur un système

Dans cet exemple, un système est configuré avec plusieurs zones étiquetées. Toutes les zones partagent la même adresse IP. Certaines zones sont également configurées avec des adresses spécifiques à leur zone. Dans cette configuration, le port TCP permettant de naviguer sur le Web (port 8080) est un MLP situé sur une interface partagée de la zone publique. L'administrateur a également configuré telnet, le port TCP 23, comme MLP de la zone publique. Etant donné que ces deux MLP se trouvent sur une interface partagée, aucune autre zone, pas même la zone globale, ne peut recevoir de paquets sur les ports 8080 et 23 dans l'interface partagée.

En outre, le port TCP de ssh, le port 22, est un MLP par zone de la zone publique. Le service ssh de la zone publique peut recevoir sur l'adresse spécifique à sa zone n'importe quel paquet correspondant à la page d'étiquettes de l'adresse.

La commande suivante indique les MLP pour la zone publique :

$ tninfo -m public
private: 22/tcp
shared:  23/tcp;8080/tcp

La commande suivante indique les MLP pour la zone globale. Notez que les ports 23 et 8080 ne peuvent pas être de type MLP dans la zone globale car celle-ci partage la même adresse que la zone publique :

$ tninfo -m global
private: 111/tcp;111/udp;514/tcp;515/tcp;631/tcp;2049/tcp;
         6000-6003/tcp;38672/tcp;60770/tcp;
shared:  6000-6003/tcp