Trusted Solaris 以外のゲートウェイクラスタを介したルーティング

セキュリティ保護されたデータのルーティングは、Trusted Solaris 以外 (以下、非 Trusted Solaris と呼びます) のゲートウェイが接続されているクラスタを介して行うことができます。この手続きは「トンネリング」と呼ばれています。ここで言う「クラスタ」とは、Trusted Solaris のホストとゲートウェイだけが接続された構成、または、非 Trusted Solaris のホストとゲートウェイだけが接続された構成を指します。種類の違うクラスタ同士を接続するゲートウェイ (Trusted Solaris または非 Trusted Solaris ) を「エッジゲートウェイ」と呼びます。

次の図は、トンネリングの例を示したものです。影付きの長方形は、非 Trusted Solaris ゲートウェイを表しています。太線で結ばれたループ (環) がクラスタです。クラスタ 1 は非 Trusted Solaris クラスタで、クラスタ 2 は Trusted Solaris クラスタです。

図 5-9 トンネリングの例

ホスト 1 からホスト 2 にデータを転送する際、非 Trusted Solaris クラスタであるクラスタ 1 と、Trusted Solaris クラスタであるクラスタ 2 を結ぶ経路が要求されます。このような経路は、次の 2 つの条件が満たされた場合に限り許可されます。

• 非 Trusted Solaris クラスタ内のすべてのゲートウェイ (上の図では、ゲートウェイ 1、2、3) が同じセキュリティ属性を持っていること。また、各ゲートウェイが、起動時に /etc/security/tsol/tunnel というローカルファイルを持ち、接続可能な宛先ホストのアドレスを保持していること考えられる経路が複数あり、それらの経路が同じエッジゲートウェイから

• 非 Trusted Solaris クラスタに入り、別々のエッジゲートウェイを通ってそのクラスタから抜ける場合、これらの経路の emetric が等しいこと。たとえば、ゲートウェイ 4 の SL 範囲が「CONFIDENTIAL」から「SECRET」までで、ゲートウェイ 5 の SL 範囲が、ADMIN_LOW から ADMIN_HIGH までだと仮定しましょう。このとき、ゲートウェイ 1 は非 Trusted Solaris ホストであり、セキュリティ属性のない標準のルーティングテーブルを使用しているため、ゲートウェイ 4 経由の経路と、ゲートウェイ 5 経由の経路を区別することができなくなります。