Trusted Extensions での経路指定の管理

Trusted Extensions は、ネットワーク間通信の経路指定を、複数の方法でサポートしています。セキュリティー管理者役割は、サイトのセキュリティーポリシーで要求されるセキュリティーレベルを実施できる経路を設定できます。

たとえば、サイトではローカルネットワークの外部の通信をシングルラベルに制限できます。このラベルは、公開情報に適用します。UNCLASSIFIED や PUBLIC などのラベルで公開情報を表すことができます。制限を実施するために、これらのサイトはシングルラベルテンプレートを外部ネットワークに接続されたネットワークインタフェースに割り当てます。TCP/IP と経路指定の詳細は、次のマニュアルを参照してください。

• 『System Administration Guide: IP Services』の「Planning for Routers on Your Network」

• 『System Administration Guide: IP Services』の「Configuring Systems on the Local Network」

• 『System Administration Guide: IP Services』の「Major TCP/IP Administrative Tasks (Task Map)」

• 『Solaris のシステム管理 (IP サービス)』の「DHCP サービスを使用するためのネットワークの準備 (作業マップ)」

Trusted Extensions でのルーターの選択

Trusted Extensions ホストは、信頼度のもっとも高いルーターとして動作します。ほかの種類のルーターは、Trusted Extensions のセキュリティー属性を認識するとは限りません。管理アクションを行わないと、MAC セキュリティー保護を提供しないルーターを経由してパケットが送信される可能性があります。

• CIPSO ルーターは、パケットの IP オプションセクションに正しい種類の情報が見つからなかった場合、パケットを破棄します。たとえば、CIPSO ルーターは、必要な CIPSO オプションが IP オプションに見つからない場合、または IP オプションの DOI が宛先の認可と一致しない場合に、パケットを破棄します。

• Trusted Extensions ソフトウェアを実行していないほかの種類のルーターを構成して、CIPSO オプションを含むパケットを通過させたり破棄させたりできます。Trusted Extensions などが提供する CIPSO を認識するゲートウェイのみが、CIPSO IP オプションの内容を使用して、MAC を実施することができます。

トラステッド経路指定をサポートするために、Trusted Extensions セキュリティー属性を含むように Solaris 10 経路指定テーブルが拡張されます。属性については、「Trusted Extensions の経路指定テーブルエントリ」を参照してください。Trusted Extensions では、経路指定テーブルのエントリを管理者が手動で作成する、静的経路指定がサポートされます。詳しくは、route(1M) のマニュアルページの -p オプションを参照してください。

経路指定ソフトウェアは、経路指定テーブルで宛先ホストへの送信経路を探します。ホストが明示的に定義されていない場合、経路指定ソフトウェアは、ホストが配置されているサブネットワークのエントリを探します。ホストと、ホストが配置されているネットワークのどちらも定義されていない場合、デフォルトゲートウェイが定義されていれば、ホストはデフォルトゲートウェイにパケットを送信します。複数のデフォルトゲートウェイを定義可能で、それぞれが同等に扱われます。

このリリースの Trusted Extensions では、セキュリティー管理者は経路を手動で設定し、条件が変更されたときに手動で経路指定テーブルを変更します。たとえば、多くのサイトは外部との通信を単一のゲートウェイで行なっています。この場合、ネットワーク上の各ホストで、単一のゲートウェイを「デフォルト」として静的に定義することができます。動的な経路指定のサポートは、Trusted Extensions の今後のリリースで利用できるようになる可能性があります。

Trusted Extensions のゲートウェイ

Trusted Extensions の経路指定の例は次のとおりです。図と表では、ホスト 1 とホスト 2 の間で可能な 3 つの送信経路を示しています。

図 12–1 一般的な Trusted Extensions 経路と経路指定テーブルのエントリ

• 送信経路 #1 は、CONFIDENTIAL から SECRET のラベル範囲のパケットを伝送できます。

• 送信経路 #2 は、ADMIN_LOW から ADMIN_HIGH の範囲のパケットを伝送できます。

• 送信経路 #3 には、経路指定情報が指定されていません。したがって、セキュリティー属性は tnrhtp データベースにあるゲートウェイ 5 のテンプレートから取得されます。

Trusted Extensions の経路指定コマンド

ラベルやソケットの拡張されたセキュリティー属性を表示するために、Trusted Extensions では次の Solaris のネットワークコマンドが修正されています。

• netstat -rR コマンドは、経路指定テーブルのエントリにあるセキュリティー属性を表示します。

• netstat -aR コマンドは、ソケットのセキュリティー属性を表示します。

• route -p コマンドに add または delete オプションを指定すると、経路指定テーブルエントリが変更されます。

詳しくは、netstat(1M) と route(1M) のマニュアルページを参照してください。

例については、「セキュリティー属性を使用して経路を構成する」を参照してください。