test

Guía de instalación de Oracle Solaris 10 9/10: instalaciones basadas en red

Capítulo 10 Inicio WAN (información general)

En este capítulo se ofrece una información general del método de instalación mediante inicio WAN. En él se tratan los siguientes temas.

¿Qué es el inicio WAN?

El método de instalación mediante inicio WAN permite iniciar e instalar a través de una Red de área extensa (WAN) mediante HTTP. inicio WAN le permite instalar Solaris SO en sistemas basados en SPARC mediante una red pública amplia donde la infraestructura de red puede que sea poco fiable. Se puede utilizar el inicio WAN con funciones de seguridad para proteger la confidencialidad de los datos y la integridad de la imagen de instalación.

El método de instalación mediante inicio WAN permite la transmisión de un archivo flash de Solaris encriptado a través de una red pública hacia un cliente remoto basado en SPARC. El programa de inicio en WAN instala el sistema cliente mediante una instalación JumpStart personalizada. Para proteger la integridad de la instalación puede utilizar claves privadas para autenticar y cifrar los datos. También puede transmitir sus datos y archivos de instalación a través de una conexión HTTP protegida por el procedimiento de configurar sus sistemas para el uso de certificados digitales.

Para efectuar una instalación mediante el inicio WAN, deberá instalar un sistema SPARC descargando la información siguiente de un servidor web a través de una conexión HTTP o HTTP segura.

A continuación se instala el archivo de almacenamiento en el cliente mediante el método de instalación JumpStart personalizada.

Se puede proteger la transferencia de la información indicada mediante claves y certificados digitales.

Para obtener una descripción más detallada acerca de la secuencia de eventos de una instalación de inicio WAN, consulte Funcionamiento del Inicio WAN (información general).

Cuándo se debe utilizar el inicio WAN

El método de instalación mediante inicio WAN permite instalar sistemas basados en SPARC ubicados en áreas geográficamente muy alejadas. Es conveniente utilizar el inicio en WAN para instalar servidores y clientes remotos a los que únicamente se puede acceder a través de una red pública.

Si desea instalar sistemas ubicados en su red de área local (LAN), el método de instalación mediante inicio WAN puede requerir más trabajo de configuración y administración del necesario. Para obtener información sobre cómo instalar sistemas en una LAN, consulte el Capítulo 4Instalación desde la red (información general).

Funcionamiento del Inicio WAN (información general)

El inicio WAN utiliza una combinación de servidores, archivos de configuración, programas de Common Gateway Interface (CGI) y archivos de instalación para instalar un cliente remoto basado en SPARC. En esta sección se describe la secuencia general de eventos que tienen lugar en una instalación mediante un inicio WAN.

Secuencia de eventos en una instalación mediante el Inicio WAN

La Figura 10–1 muestra la secuencia básica de eventos de una instalación de inicio WAN. En esta figura, un cliente SPARC recupera los datos de configuración y los archivos de instalación de un servidor web y de un servidor de instalación a través de una WAN.

Figura 10–1 Secuencia de eventos en una instalación mediante un inicio WAN

El contexto describe la ilustración.

  1. El cliente se inicia mediante uno de estos métodos.

    • Inicio desde la red configurando las variables de interfaz de red en la PROM de Open Boot (OBP).

    • Inicio desde la red con la opción DHCP.

    • Inicio desde un CD-ROM local.

  2. La OBP del cliente obtiene la información de configuración de una de estas fuentes:

    • Valores de argumentos de inicio escritos por el usuario en la línea de órdenes

    • El servidor DHCP, si la red utiliza DHCP

  3. La OBP del cliente solicita el programa de inicio en WAN de segundo nivel (wanboot).

    La OBP del cliente descarga el programa wanboot de las fuentes siguientes.

    • De un servidor web especial, denominado servidor de inicio WAN, mediante el Protocolo de transferencia de hipertexto (HTTP)

    • De un CD-ROM local (no se muestra en la figura)

  4. El programa wanboot solicita al servidor de inicio WAN la información de configuración del cliente.

  5. El programa wanboot descarga los archivos de configuración transmitidos por el programa wanboot-cgi del servidor de inicio WAN. Los archivos de configuración se transmiten al cliente como sistema de archivos de inicio WAN.

  6. El programa wanboot solicita al servidor de inicio WAN la descarga de la minirraíz de inicio en WAN.

  7. El programa wanboot descarga la minirraíz de inicio WAN del servidor de inicio WAN mediante HTTP o HTTP seguro.

  8. El programa wanboot carga y ejecuta el núcleo de UNIX de la minirraíz de inicio WAN.

  9. El núcleo de UNIX localiza y monta el sistema de archivos de inicio WAN para que lo utilice el programa de instalación de Solaris.

  10. El programa de instalación solicita a un servidor de instalación la descarga de un archivo de almacenamiento Solaris Flash y de archivos de JumpStart personalizado.

    El programa de instalación descarga el archivo de almacenamiento y los archivos de JumpStart personalizado mediante conexión HTTP o HTTPS.

  11. El programa de instalación efectúa una instalación JumpStart personalizada para instalar el archivo de almacenamiento Solaris Flash en el cliente.

Protección de datos durante una instalación mediante el Inicio WAN

El método de instalación mediante inicio WAN permite utilizar claves de cifrado y de hashing y certificados digitales para proteger los datos del sistema durante la instalación. En esta sección se describen brevemente los distintos métodos de protección de datos admitidos por el método de instalación mediante inicio WAN.

Comprobación de la integridad de los datos con una clave de hashing

Para proteger los datos transmitidos del servidor de inicio WAN al cliente, puede crear una clave HMAC (código de autenticación de mensaje cifrado), que se instala tanto en el servidor de inicio WAN como en el cliente. Aquél utiliza esta clave para firmar los datos que se deben transmitir al cliente, a continuación, éste la utiliza para verificar la integridad de los datos transmitidos por el servidor de inicio WAN. Una vez instalada una clave de hashing en un cliente, éste la utilizará en las futuras instalaciones mediante inicio WAN.

Para obtener instrucciones acerca de cómo usar una clave de hashing, consulte (Opcional) Para crear claves de hashing y de cifrado.

Encriptación de datos con claves de encriptación

El método de instalación mediante inicio WAN permite cifrar los datos que se transmiten del servidor de inicio WAN al cliente. Se pueden utilizar las utilidades de inicio WAN para crear una clave de cifrado Triple Data Encryption Standard (3DES) o Advanced Encryption Standard (AES) que, a continuación, se puede proporcionar tanto al servidor de inicio WAN como al cliente. Aquél utiliza esta clave de encriptación para encriptar los datos enviados del servidor de inicio WAN al cliente. Éste puede, entonces, utilizarla para desencriptar los archivos de configuración encriptaciones y los archivos de seguridad transmitidos durante la instalación.

Después de instalar una clave de cifrado en un cliente, éste la utilizará en las futuras instalaciones del inicio WAN.

Es posible que su sede no permita el uso de claves de encriptación. Para averiguarlo, consúltelo con el administrador de seguridad de la sede. Si ésta permite encriptación, pregunte al administrador de seguridad qué tipo de clave de encriptación (3DES o AES) debe utilizar.

Para obtener instrucciones acerca de cómo usar una clave de cifrado, consulte (Opcional) Para crear claves de hashing y de cifrado.

Protección de datos mediante el uso de HTTPS

El inicio WAN admite el uso de HTTP sobre Capa de zócalos seguros (HTTPS) para transferir datos entre el servidor del inicio WAN y el cliente. HTTPS permite obligar al servidor, o al cliente y al servidor, a que se autentiquen durante la instalación; también encripta los datos transferidos del servidor al cliente durante la instalación.

HTTPS emplea certificados digitales para autenticar sistemas que intercambian datos a través de la red. Un certificado digital es un archivo que identifica un sistema, ya sea servidor ya sea cliente, como sistema fiable durante la comunicación en línea. Puede solicitar un certificado digital de una entidad certificadora externa o crear su propio certificado y entidad certificadora.

Para habilitar al cliente para que confíe en el servidor y acepte datos procedentes de éste deberá instalar un certificado digital en el servidor. A continuación puede indicar al cliente que confíe en este certificado. También puede requerir al cliente que se autentique ante los servidores proporcionándole un certificado digital. A continuación puede indicar a aquéllos que acepten al firmante del certificado cuando el cliente presente éste durante la instalación.

Para utilizar certificados digitales durante la instalación deberá configurar el servidor web para que utilice HTTPS. Consulte la documentación de su servidor web para obtener información acerca del uso de HTTPS.

Para obtener instrucciones acerca de los requisitos para usar certificados digitales durante su instalación de inicio WAN, consulte Requisitos de certificados digitales. Para obtener instrucciones acerca de cómo usar los certificados digitales en una instalación de inicio WAN, consulte (Opcional) Para usar certificados digitales para la autenticación del servidor y del cliente.

Configuraciones de seguridad admitidas por el Inicio WAN (información general)

El inicio WAN admite diversos niveles de seguridad. Puede usar una combinación de funciones de seguridad compatibles con el inicio WAN para cumplir las necesidades de la red. Una configuración más segura requiere más administración, pero también protege los datos del sistema en mayor medida. En el caso de sistemas más importantes o de sistemas que desee instalar mediante una red pública, puede optar por la configuración que aparece en Configuración de una instalación segura mediante inicio WAN. En el caso de sistemas menos importantes (o de sistemas en redes semiprivadas), puede usar las configuraciones que se describen en Configuración de una instalación no segura mediante el inicio WAN.

En esta sección se describen brevemente las distintas configuraciones que pueden utilizarse para establecer el nivel de seguridad de una instalación mediante inicio WAN., así como los mecanismos de seguridad que requieren.

Configuración de una instalación segura mediante inicio WAN

Esta configuración protege la integridad de los datos intercambiados entre el servidor y el cliente y ayuda a mantener la confidencialidad del contenido del intercambio. En esta configuración se utiliza una conexión HTTPS y un algoritmo 3DES o AES para encriptar los archivos de configuración del cliente. Esta configuración también exige al servidor que se autentique al cliente durante la instalación. Una instalación segura mediante inicio WAN precisa de las siguientes características de seguridad.

Si exige también autenticación de cliente durante la instalación, deberá utilizar asimismo las siguientes características de seguridad.

Para obtener una lista de las tareas que debe llevar a cabo para instalar usando esta configuración, consulte la Tabla 12–1.

Configuración de una instalación no segura mediante el inicio WAN

Esta configuración de seguridad requiere un esfuerzo mínimo, pero proporciona una transferencia de datos menos segura del servidor web al cliente. No es necesario crear claves de hashing o de cifrado ni certificados digitales; tampoco se ha de configurar el servidor web para que utilice HTTPS. No obstante, esta configuración transfiere los datos y archivos de instalación a través de una conexión HTTP, dejando la instalación vulnerable para ser interceptada por la red.

Si desea que el cliente compruebe la integridad de los datos transmitidos puede utilizar una clave de hashing HMAC SHA1 con esta configuración. Sin embargo, dicha clave de hashing no protege el archivo de almacenamiento Solaris Flash. Éste se transfiere de forma no segura entre el servidor y el cliente durante la instalación.

Para obtener una lista de las tareas que debe llevar a cabo para instalar usando esta configuración, consulte la Tabla 12–2.