Redes en zonas no globales de IP compartida

En un sistema Solaris con zonas instaladas, las zonas se pueden comunicar entre sí por la red. Todas las zonas tienen vínculos separados, o conexiones, y pueden ejecutar sus propios daemon de servidor. Estos daemons pueden escuchar a los mismos números de puerto sin que se produzca ningún conflicto. La pila IP resuelve los conflictos considerando las direcciones IP para las conexiones entrantes. Las direcciones IP identifican la zona.

Particiones de zonas de IP compartida

La pila IP de un sistema que admite zonas implementa la separación del tráfico de red entre zonas. Las aplicaciones que reciben tráfico IP sólo pueden recibir el tráfico que se envía a la misma zona.

Cada interfaz lógica del sistema pertenece a una zona específica, que es la zona global de modo predeterminado. Las interfaces de red lógicas asignadas a las zonas mediante la utilidad zonecfg se utilizan para las comunicaciones por la red. Cada flujo y conexión pertenece a la zona del proceso con el que se ha abierto.

Los vínculos entre los flujos de capa superior y las interfaces lógicas están limitados. Un flujo sólo puede establecer vínculos con las interfaces lógicas de la misma zona. Del mismo modo, los paquetes de una interfaz lógica sólo se pueden pasar a flujos de capa superior que se encuentren en la misma zona que la interfaz lógica.

Cada zona tiene su propio conjunto de vínculos. Cada zona puede ejecutar la misma aplicación que escucha el mismo número de puerto sin que los vínculos fallen porque la dirección ya está en uso. Cada zona puede ejecutar su propia versión de los siguientes servicios:

• Daemon de servicios de Internet con un archivo de configuración completo (consulte la página del comando man inetd(1M))

• sendmail (consulte la página del comando man sendmail(1M))

• apache (consulte la página del comando man apache(1M))

Las zonas que no sean la zona global tienen acceso limitado a la red. Están disponibles las interfaces de socket TCP y UDP estándar, pero las interfaces de socket SOCK_RAW están limitadas al Protocolo de mensajes de control de Internet (ICMP). Se necesita el protocolo ICMP para detectar y registrar las condiciones de error de la red o utilizar el comando ping.

Interfaces de red de IP compartida

Cada zona no global que requiere conectividad de red tiene una o más direcciones IP dedicadas. Estas direcciones están asociadas con interfaces de red lógicas que se pueden colocar en una zona utilizando el comando ifconfig. Las interfaces de red de la zona que configure el comando zonecfg se configurarán y colocarán automáticamente en la zona cuando se inicie. El comando ifconfig se puede utilizar para añadir o eliminar interfaces lógicas cuando la zona está en ejecución. Sólo el administrador global puede modificar la configuración de la interfaz y las rutas de red.

En una zona no global, sólo las interfaces de la zona estarán visibles para ifconfig.

Si desea más información, consulte las páginas del comando man ifconfig(1M) y if_tcp(7P).

Tráfico IP entre zonas de IP compartida en el mismo equipo

Sólo se admite la entrega de paquetes entre dos zonas del mismo equipo si hay una "ruta coincidente" para el destino y la zona en la tabla que realiza el envío.

La información de coincidencia se implementa del modo siguiente:

• La dirección de origen para los paquetes se selecciona en la interfaz de salida especificada por la ruta coincidente.

• De modo predeterminado, se admite el tráfico entre dos zonas que tienen direcciones en la misma subred. La ruta coincidente en este caso es la ruta de la interfaz para la subred.

• Si hay una ruta predeterminada para una zona concreta, en la que el portal se encuentra en una de las subredes de la zona, se permite el tráfico de dicha zona a todas las demás. En este caso, la ruta coincidente es la ruta predeterminada.

• Si hay una ruta coincidente con el indicador RTF_REJECT, los paquetes activan un mensaje ICMP inaccesible. Si hay una ruta coincidente con el indicador RTF_BLACKHOLE, los paquetes se descartan. El administrador puede utilizar las opciones del comando route que se describen en la siguiente tabla para crear rutas con estos indicadores.

  Modificador	Flag	Descripción
  -reject	RTF_REJECT	Emite un mensaje ICMP inaccesible cuando hay coincidencia.
  -blackhole	RTF_BLACKHOLE	Descarta silenciosamente los paquetes durante las actualizaciones.

  Para más información, consulte route(1M)

Filtro IP de Solaris en zonas de IP compartida

El filtro IP de Solaris proporciona un filtrado de paquetes con estado y traducción de direcciones de red (NAT). Un filtro de paquetes con estado puede supervisar el estado de las conexiones activas y utilizar la información obtenida para determinar qué paquetes de red se permiten a través del cortafuegos. El filtro IP de Solaris también incluye filtrado de paquetes sin estado y la posibilidad de crear y administrar agrupaciones de direcciones. Consulte el Capítulo 25, Filtro IP de Oracle Solaris (descripción general) de Guía de administración del sistema: servicios IP para obtener información adicional.

El filtro IP de Solaris se puede activar en las zonas no globales activando el filtrado en bucle tal como se describe en el Capítulo 26, Filtro IP de Oracle Solaris (tareas) de Guía de administración del sistema: servicios IP.

El filtro IP de Solaris se deriva de software de filtro IP de código abierto.

Múltiples rutas de redes IP en zonas de IP compartida

Las múltiples rutas de redes IP (IPMP) detectan los fallos en la interfaz física y conmutan por error el acceso a la red de forma transparente para un sistema con varias interfaces en el mismo vínculo IP. IPMP también permite repartir la carga de los paquetes para los sistemas con varias interfaces.

Toda la configuración de la red se lleva a cabo en la zona global. Puede configurar IPMP en la zona global, y luego ampliar la funcionalidad a las zonas no globales. La funcionalidad se amplía colocando la dirección de la zona en un grupo IPMP cuando configura la zona. A continuación, si falla una de las interfaces de la zona global, las direcciones de la zona no global se migrarán a otra tarjeta de interfaz de red. Una zona de IP compartida puede tener varias direcciones IP, puede formar parte de varios grupos IPMP, y varias zonas de IP compartida pueden utilizar un determinado grupo IPMP.

En una zona no global determinada, a través del comando ifconfig sólo se pueden ver las interfaces asociadas con la zona.

Consulte Cómo ampliar la funcionalidad de múltiples rutas de redes IP a las zonas no globales de IP compartida. El procedimiento de configuración de las zonas se describe en Cómo configurar la zona. Para obtener información sobre los componentes, el uso y las funciones de IPMP, consulte el Capítulo 30, Introducción a IPMP (descripción general) de Guía de administración del sistema: servicios IP.