test

Guida all'installazione di Solaris 10 10/08: installazioni di rete

Capitolo 10 boot WAN (panoramica)

Questo capitolo fornisce informazioni generali sul metodo di installazione boot WAN. Gli argomenti trattati sono i seguenti.

Cos'è boot WAN?

Il metodo di installazione boot WAN permette di avviare e installare il software su una rete geografica o WAN (Wide Area Network) utilizzando HTTP. Con il metodo boot WAN è possibile installare il sistema operativo Solaris sui sistemi SPARC tramite grandi reti pubbliche in cui l'infrastruttura di rete potrebbe non essere affidabile. Per questo motivo è possibile avvalersi di funzioni di sicurezza specifiche per proteggere la riservatezza dei dati e l'integrità dell'immagine di installazione.

Il metodo di installazione boot WAN consente di trasmettere un archivio Solaris Flash codificato a un client remoto basato su processore SPARC tramite una rete pubblica. Il boot WAN programma e quindi installa il sistema client eseguendo un'installazione JumpStart personalizzata. Per proteggere l'integrità dell'installazione è possibile usare una chiave privata per autenticare e cifrare i dati. È anche possibile trasmettere i dati e i file di installazione usando una connessione HTTP sicura configurando l'utilizzo dei certificati digitali sui sistemi interessati.

Per eseguire un'installazione boot WAN, occorre installare un sistema SPARC scaricando le seguenti informazioni da un server Web con un collegamento HTTP o HTTPS.

Quindi si procede all'installazione dell'archivio sul client utilizzando il metodo di installazione JumpStart personalizzata.

Si può proteggere il trasferimento delle informazioni elencate in precedenza utilizzando le chiavi e i certificati digitali.

Per una descrizione in maggiore dettaglio della sequenza di eventi nell'installazione boot WAN, vedere la sezione Modalità operative del metodo boot WAN (panoramica).

Quando utilizzare boot WAN

Il metodo di installazione boot WAN permette di installare i sistemi SPARC situati in aree remote dal punto di vista geografico. Il metodo boot WAN è utile per l'installazione di server o client remoti accessibili solo tramite una rete pubblica.

Per installare i sistemi situati nella rete locale LAN (Local Area Network), il metodo di installazione boot WAN può richiedere una quantità maggiore di operazioni di configurazione e amministrazione di quanto necessario. Per maggiori informazioni su come installare i sistemi in rete, vedere il Capitolo 4Installazione dalla rete (panoramica).

Modalità operative del metodo boot WAN (panoramica)

L'installazione con boot da WAN si avvale di una serie di server, file di configurazione, programmi CGI (Common Gateway Interface) e file di installazione per installare un client SPARC remoto. Questa sezione descrive la sequenza generale di eventi di un'installazione boot WAN.

Sequenza di eventi in un'installazione boot WAN

La Figura 10–1 mostra la sequenza di base degli eventi in un'installazione boot WAN. In questa figura, un client SPARC richiama i dati di configurazione e i file di installazione da un server Web e da un server di installazione su una WAN.

Figura 10–1 Sequenza di eventi in un'installazione boot WAN

Il contesto descrive l'immagine.

  1. Per avviare il client, procedere in uno dei modi seguenti:

    • Avviare il sistema dalla rete impostando le variabili dell'interfaccia di rete nell'OBP (Open Boot PROM).

    • Avviare il sistema dalla rete con l'opzione DHCP.

    • Avviare il sistema da un CD-ROM locale.

  2. Il client OBP ricava le informazioni di configurazione da una delle seguenti fonti:

    • Dai valori degli argomenti di boot digitati dall'utente dalla riga di comando

    • Dal server DHCP, se la rete utilizza questo protocollo

  3. L'OBP del client richiede il programma di boot di secondo livello per il boot WAN (wanboot).

    L'OBP del client scarica il programma wanboot dalle seguenti fonti:

    • Da un server Web speciale, denominato server di boot WAN, usando il protocollo HTTP (Hyper Text Transfer Protocol)

    • Da un CD-ROM locale (non riportato in figura)

  4. Il programma wanboot richiede le informazioni di configurazione del client dal server di boot WAN.

  5. Il programma wanboot scarica i file di configurazione trasmessi dal programma wanboot-cgi dal server di boot WAN. I file di configurazione sono trasmessi al client come file system di boot WAN.

  6. Il comando wanboot richiede il download della miniroot di boot WAN dal server di boot WAN.

  7. Il programma wanboot scarica la miniroot di boot WAN dal server di boot WAN utilizzando HTTP o HTTPS.

  8. Il programma wanboot carica ed esegue il kernel UNIX dalla miniroot di boot WAN.

  9. Il kernel UNIX individua e attiva il file system di boot WAN utilizzato dal programma di installazione di Solaris.

  10. Il programma di installazione richiede il download di un archivio Solaris Flash e i file dell'installazione JumpStart personalizzata da un server di installazione.

    Il programma di installazione scarica l'archivio e i file dell'installazione JumpStart personalizzata con un collegamento HTTP o HTTPS.

  11. Il programma di installazione esegue un'installazione JumpStart personalizzata per installare l'archivio Solaris Flash sul client.

Protezione dei dati durante un'installazione boot WAN

Il metodo di installazione boot WAN permette di usare chiavi di hashing, chiavi di cifratura e certificati digitali per proteggere i dati del sistema durante l'installazione. Questa sezione descrive i diversi metodi di protezione dei dati supportati dal metodo di installazione boot WAN.

Controllo dell'integrità dei dati con una chiave di hashing

Per proteggere i dati trasmessi dal server di boot WAN al client, è possibile generare una chiave HMAC (Hashed Message Authentication Code). Questa chiave di hashing viene installata sia sul server di boot WAN che sul client. Il server di boot WAN la utilizza per “firmare” i dati da trasmettere al client, che, a sua volta, la usa per verificare l'integrità dei dati trasmessi dal server di boot WAN. Una volta installata la chiave di hashing su un client, quest'ultimo la utilizza per le future installazioni con il metodo boot WAN.

Per istruzioni sull'uso di una chiave di hashing, vedere (Opzionale) Creare una chiave di hashing e una chiave di cifratura.

Dati crittografati con le chiavi di cifratura

Il metodo di installazione boot WAN consente la cifratura dei dati trasmessi dal server di boot WAN al client. Le utility di boot WAN permettono di creare una chiave di cifratura 3DES (Triple Data Encryption Standard) o AES (Advanced Encryption Standard). La chiave potrà in seguito essere fornita al server boot WAN e al client. Il metodo boot WAN si avvale della chiave di cifratura per crittografare i dati inviati dal server boot WAN al client. Il client può quindi utilizzare tale chiave per la cifratura o la decifrazione dei file di configurazione e dei file di sicurezza trasmessi durante l'installazione.

Una volta installata la chiave di cifratura sul client, quest'ultimo la utilizza per le future installazioni boot WAN.

Il sito potrebbe non consentire l'uso delle chiavi di cifratura. Per determinare se il sito ammette la cifratura, consultare l'amministratore della sicurezza del sito. Se il sito consente la cifratura, richiedere all'amministratore il tipo di chiave di cifratura da utilizzare, 3DES o AES.

Per istruzioni sull'uso delle chiavi di cifratura, vedere (Opzionale) Creare una chiave di hashing e una chiave di cifratura.

Protezione dei dati con HTTPS

Il boot WAN supporta l'uso di HTTP su Secure Sockets Layer (HTTPS) per il trasferimento dei dati tra il server boot WAN e il client. Usando HTTPS, è possibile richiedere al server, o al server e al client, di autenticarsi durante l'installazione. HTTPS esegue inoltre la cifratura dei dati trasferiti dal server al client durante l'installazione.

HTTPS usa i certificati digitali per autenticare i sistemi che eseguono scambi di dati in rete. Un certificato digitale è un file che identifica un sistema, sia esso server o client, come sistema "fidato" durante la comunicazione online. È possibile richiedere i certificati digitali presso un'autorità esterna di certificazione oppure crearne di propri internamente.

Per far sì che il client ritenga fidato il server e accetti i dati da tale provenienza, occorre installare un certificato digitale sul server. In seguito si comunicherà al client di ritenere fidato tale certificato. Si può anche richiedere al client di autenticarsi presso i server fornendo un certificato digitale al client, quindi si istruirà il server di accettare il firmatario del certificato quando il client presenterà il certificato durante l'installazione.

Per usare i certificati digitali durante l'installazione, è necessario configurare il server Web per l'uso di HTTPS. Per informazioni sull'uso di HTTPS, consultare la documentazione del server Web.

Per informazioni sui requisiti per l'uso dei certificati digitali durante l'installazione boot WAN, vedere Requisiti dei certificati digitali. Per istruzioni su come usare i certificati digitali nella propria installazione boot WAN, vedere (Opzionale) Usare i certificati digitali per l'autenticazione di client e server.

Configurazioni di sicurezza supportate dal metodo boot WAN (panoramica)

Il metodo di installazione boot WAN supporta diversi livelli di sicurezza. È possibile usare una combinazione delle funzioni di sicurezza supportate dal metodo boot WAN per adattarle all'esigenze della rete in uso. Le configurazioni più sicure hanno maggiori esigenze di amministrazione ma proteggono anche in modo più efficace il sistema. Per i sistemi più critici o per quelli che vengono installati usando una rete pubblica, è possibile scegliere la configurazione indicata in Configurazione sicura per l'installazione boot WAN. Per i sistemi di importanza minore, o i sistemi in reti semi-private, si può optare per la configurazione descritta in Configurazione non sicura per l'installazione boot WAN.

Questa sezione descrive le diverse configurazioni utilizzabili per impostare il livello di sicurezza per l'installazione boot WAN. Vengono presentati inoltre i meccanismi di sicurezza richiesti da tali configurazioni.

Configurazione sicura per l'installazione boot WAN

Questa configurazione protegge l'integrità dei dati scambiati tra server e client e contribuisce a tutelare la riservatezza dei contenuti degli scambi. Questa configurazione usa un collegamento HTTPS e l'algoritmo 3DES o AES per la cifratura dei file di configurazione dei client. Questa configurazione richiede anche che il server esegua la propria autenticazione presso il client durante l'installazione. Un'installazione di boot da WAN sicura richiede le seguenti funzioni di sicurezza:

Qualora sia inoltre richiesta l'autenticazione del client durante l'installazione, occorre usare anche le seguenti funzioni di sicurezza:

Per un elenco delle attività richieste per l'installazione con questa configurazione, vedere la Tabella 12–1.

Configurazione non sicura per l'installazione boot WAN

Questa configurazione di sicurezza richiede attività minime di amministrazione, ma fornisce il livello minore di sicurezza per il trasferimento dei dati dal server Web al client, Non è necessario creare una chiave di hashing, una chiave di cifratura o certificati digitali. Non è necessario configurare il server Web per l'uso di HTTPS. Tuttavia, questa configurazione trasferisce i dati e i file di installazione su un collegamento HTTP, che lascia l'installazione vulnerabile all'intercettazione in rete.

Per fare in modo che il client controlli l'integrità dei dati trasmessi, è possibile utilizzare questa configurazione assieme a una chiave di hashing HMAC SHA1. Tuttavia, l'archivio Solaris Flash non è protetto dalla chiave di hashing. L'archivio viene trasferito in modo non sicuro tra il server e il client durante l'installazione.

Per un elenco delle attività richieste per l'installazione con questa configurazione, vedere la Tabella 12–2.