Administración del enrutamiento en Trusted Extensions

Trusted Extensions admite varios métodos para el enrutamiento de las comunicaciones entre redes. Puede configurar rutas que apliquen el grado de seguridad que requiere la política de seguridad de su sitio.

Por ejemplo, los sitios pueden restringir las comunicaciones fuera de la red local para una sola etiqueta. Esta etiqueta se aplica a la información disponible públicamente. Las etiquetas como UNCLASSIFIED o PUBLIC pueden indicar información pública. Para aplicar la restricción, estos sitios agregan la interfaz de red de la puerta de enlace que está conectada con la red externa a una plantilla de una sola etiqueta. Para obtener más detalles sobre TCP/IP y el enrutamiento, consulte lo siguiente:

• Configuración de un enrutador IPv4 de Configuración y administración de redes Oracle Solaris 11.1

• Configuración de los componentes del sistema en la red de Configuración y administración de redes Oracle Solaris 11.1

• Tareas de administración principales de TCP/IP (mapa de tareas) de Configuración y administración de redes Oracle Solaris 11.1

• Página del comando man netcfg(1M)

Selección de los enrutadores en Trusted Extensions

Los hosts de Trusted Extensions ofrecen el mayor grado de confianza para los enrutadores. Es posible que otros tipos de enrutadores no reconozcan los atributos de seguridad de Trusted Extensions. Sin ninguna acción administrativa, se pueden enrutar los paquetes mediante enrutadores que no proporcionen protección de seguridad del MAC.

• Los enrutadores etiquetados descartan los paquetes cuando no encuentran el tipo correcto de información en la sección de opciones IP del paquete. Por ejemplo, un enrutador etiquetado descarta un paquete si no encuentra una opción etiquetada en las opciones IP cuando la opción es necesaria o cuando el DOI de las opciones IP no es coherente con la acreditación del destino.

• Es posible configurar otros tipos de enrutadores que no ejecutan el software Trusted Extensions para transferir los paquetes o descartar los paquetes que incluyen una opción etiquetada. Solamente las puertas de enlace que reconocen las etiquetas, como Trusted Extensions, pueden utilizar el contenido de la opción IP de CALIPSO o CIPSO para aplicar la MAC.

Para admitir el enrutamiento de confianza, se ampliaron las tablas de enrutamiento a fin de incluir los atributos de seguridad de Trusted Extensions. En Entradas de la tabla de enrutamiento en Trusted Extensions, se describen los atributos. Trusted Extensions admite el enrutamiento estático, en el que el administrador crea manualmente las entradas de la tabla de enrutamiento. Para obtener detalles, consulte la opción -p en la página del comando man route(1M).

El software de enrutamiento intenta buscar una ruta para el host de destino en las tablas de enrutamiento. Cuando el host no está nombrado de manera explícita, el software de enrutamiento busca una entrada para la subred donde reside el host. Cuando no están definidos ni el host ni la subred, el host envía el paquete a una puerta de enlace predeterminada en caso de que esté definida. Se pueden definir varias puertas de enlace predeterminadas, y todas son tratadas del mismo modo.

En esta versión de Trusted Extensions, el administrador de la seguridad configura manualmente las rutas y, a continuación, cambia manualmente la tabla de enrutamiento cuando cambian las condiciones. Por ejemplo, varios sitios tienen una sola puerta de enlace que comunica con el mundo exterior. En estos casos, se puede definir estadísticamente dicha puerta de enlace como predeterminada para cada host de la red.

Puertas de enlace en Trusted Extensions

A continuación, se muestra un ejemplo de enrutamiento en Trusted Extensions. El diagrama y la tabla muestran tres rutas posibles entre el host 1 y el host 2.

Figura 15-1 Rutas y entradas de la tabla de enrutamiento típicas de Trusted Extensions

• La ruta N.º 1 puede transmitir paquetes dentro del rango de etiquetas de CONFIDENTIAL a SECRET.

• La ruta N.º 2 puede transmitir paquetes de ADMIN_LOW a ADMIN_HIGH.

• La ruta N.º 3 no especifica información del enrutamiento. Por lo tanto, sus atributos de seguridad se derivan de la plantilla de seguridad de la puerta de enlace 5.

Comandos de enrutamiento en Trusted Extensions

Para mostrar etiquetas y atributos de seguridad ampliados para los sockets, Trusted Extensions modifica los siguientes comandos de red de Oracle Solaris:

• El comando netstat -rR muestra los atributos de seguridad en las entradas de la tabla de enrutamiento.

• El comando netstat -aR muestra los atributos de seguridad para sockets.

• El comando route -p con las opciones add o delete cambia las entradas de la tabla de enrutamiento.

Para obtener detalles, consulte las páginas del comando man netstat(1M) y route(1M).

Para cambiar las entradas de la tabla de enrutamiento, Trusted Extensions proporciona las siguientes interfaces:

• La interfaz gráfica de usuario txzonemgr se puede utilizar para asignar la ruta predeterminada de una interfaz.

• El comando route -p con la opción add o delete se puede usar para cambiar las entradas de la tabla de enrutamiento.

Para ver ejemplos, consulte Cómo agregar rutas predeterminadas.