En este capítulo se ofrece una información general del método de instalación mediante arranque WAN. En él se tratan los siguientes temas.
El método de instalación mediante arranque WAN permite arrancar e instalar a través de una Red de área extensa (WAN) mediante HTTP. Con el arranque WAN se puede instalar el sistema operativo Solaris en sistemas SPARC a través de una red pública extensa en lugares donde la infraestructura de red puede no ser fiable. Se puede utilizar el arranque WAN con funciones de seguridad para proteger la confidencialidad de los datos y la integridad de la imagen de instalación.
El método de instalación mediante arranque WAN permite transmitir un contenedor Solaris Flash encriptación a través de una red pública a un cliente SPARC remoto. Los programas de arranque WAN se encargan de instalar el sistema del cliente realizando una instalación de JumpStart personalizada. Para proteger la integridad de la instalación, se pueden utilizar claves privadas para autenticar y encriptar los datos. También se pueden transmitir los datos de instalación a través de una conexión HTTP segura, con la configuración de los sistemas de modo que puedan utilizar certificados digitales.
Para efectuar una instalación mediante el arranque WAN, deberá instalar un sistema SPARC descargando la información siguiente de un servidor web a través de una conexión HTTP o HTTP segura.
Programa wanboot: el programa wanboot es el programa de arranque de segundo nivel que carga la minirraíz de arranque en WAN, los archivos de configuración del cliente y los archivos de instalación. El programa wanboot efectúa tareas similares a las realizadas por los programas de arranque de segundo nivel ufsboot o inetboot.
Sistema de archivos de arranque WAN: el arranque WAN utiliza diferentes archivos para configurar el cliente y recuperar datos para instalar el sistema cliente. Estos archivos se encuentran en el directorio /etc/netboot del servidor web. El programa wanboot-cgi transmite estos archivos al cliente en forma de sistema de archivos, denominado sistema de archivos de arranque WAN.
Minirraíz de arranque WAN: la minirraíz de arranque WAN es una versión de la minirraíz de Solaris modificada para efectuar una instalación mediante arranque WAN. La minirraíz de arranque WAN, como la minirraíz de Solaris, contiene un núcleo y el software suficiente para instalar el sistema operativo Solaris, así como un subconjunto del software de la minirraíz de Solaris.
Archivos de configuración de JumpStart personalizado: para instalar el sistema, el arranque WAN transmite los archivos sysidcfg, rules.ok y de perfil al cliente; a continuación, los utiliza para efectuar una instalación JumpStart personalizada en el sistema cliente.
Contenedor Solaris Flash: un contenedor Solaris Flash es un conjunto de archivos copiados de un sistema maestro que se pueden utilizar para instalar un sistema cliente. El arranque WAN utiliza el método de instalación JumpStart personalizada para instalar un contenedor Solaris Flash en el sistema cliente, de tal manera que, tras la instalación, éste contiene la configuración exacta del sistema principal.
A continuación se instala el contenedor en el cliente mediante el método de instalación JumpStart personalizada.
Se puede proteger la transferencia de la información indicada mediante claves y certificados digitales.
Para ver una descripción más detallada de la secuencia de eventos en una instalación mediante un arranque WAN, consulte Funcionamiento del arranque WAN (información general).
El método de instalación mediante arranque WAN permite instalar sistemas basados en SPARC ubicados en áreas geográficamente muy alejadas. Es conveniente utilizar el arranque en WAN para instalar servidores y clientes remotos a los que únicamente se puede acceder a través de una red pública.
Si desea instalar sistemas ubicados en su red de área local (LAN), el método de instalación mediante arranque WAN puede requerir más trabajo de configuración y administración del necesario. Para obtener información acerca de la instalación de sistemas a través de LAN, consulte el Capítulo 9.
El arranque WAN utiliza una combinación de servidores, archivos de configuración, programas de Common Gateway Interface (CGI) y archivos de instalación para instalar un cliente remoto basado en SPARC. En esta sección se describe la secuencia general de eventos que tienen lugar en una instalación mediante un arranque WAN.
La Figura 38–1 muestra la secuencia de eventos básica en una instalación mediante un arranque WAN. En esta figura, un cliente SPARC recupera los datos de configuración y los archivos de instalación de un servidor web y de un servidor de instalación a través de una WAN.
El cliente se arranca mediante uno de estos métodos.
Arranque desde la red configurando las variables de interfaz de red en la PROM de Open Boot (OBP).
Arranque desde la red con la opción DHCP.
Arranque desde un CD-ROM local.
La OBP del cliente obtiene la información de configuración de una de estas fuentes:
Valores de argumentos de arranque escritos por el usuario en la línea de comandos
El servidor DHCP, si la red utiliza DHCP
La OBP del cliente solicita el programa de arranque en WAN de segundo nivel (wanboot).
La OBP del cliente descarga el programa wanboot de las fuentes siguientes.
De un servidor web especial, denominado servidor de arranque WAN, mediante el Protocolo de transferencia de hipertexto (HTTP)
De un CD-ROM local (no se muestra en la figura)
El programa wanboot solicita al servidor de arranque WAN la información de configuración del cliente.
El programa wanboot descarga los archivos de configuración transmitidos por el programa wanboot-cgi del servidor de arranque WAN. Los archivos de configuración se transmiten al cliente como sistema de archivos de arranque WAN.
El programa wanboot solicita al servidor de arranque WAN la descarga de la minirraíz de arranque en WAN.
El programa wanboot descarga la minirraíz de arranque WAN del servidor de arranque WAN mediante HTTP o HTTP seguro.
El programa wanboot carga y ejecuta el núcleo de UNIX de la minirraíz de arranque WAN.
El núcleo de UNIX localiza y monta el sistema de archivos de arranque WAN para que lo utilice el programa de instalación de Solaris.
El programa de instalación solicita a un servidor de instalación la descarga de un contenedor Solaris Flash y de archivos de JumpStart personalizado.
El programa de instalación descarga el contenedor y los archivos de JumpStart personalizado mediante conexión HTTP o HTTPS.
El programa de instalación efectúa una instalación JumpStart personalizada para instalar el contenedor Solaris Flash en el cliente.
El método de instalación mediante arranque WAN permite utilizar claves de encriptación y de hashing y certificados digitales para proteger los datos del sistema durante la instalación. En esta sección se describen brevemente los distintos métodos de protección de datos admitidos por el método de instalación mediante arranque WAN.
Para proteger los datos transmitidos del servidor de arranque WAN al cliente se puede generar una clave de Hashed Message Authentication Code (HMAC) que se instala tanto en el servidor de arranque WAN como en el cliente. Aquél utiliza esta clave para firmar los datos que se deben transmitir al cliente, a continuación, éste la utiliza para verificar la integridad de los datos transmitidos por el servidor de arranque WAN. Una vez instalada una clave de hashing en un cliente, éste la utilizará en las futuras instalaciones mediante arranque WAN.
Para obtener instrucciones sobre el uso de una clave de hashing, consulte Creación de una clave de hashing y una clave de encriptación.
El método de instalación mediante arranque WAN permite encriptar los datos transmitidos del servidor de arranque WAN al cliente. Se pueden utilizar las utilidades de arranque WAN para crear una clave de encriptación Triple Data Encryption Standard (3DES) o Advanced Encryption Standard (AES) que, a continuación, se puede proporcionar tanto al servidor de arranque WAN como al cliente. Aquél utiliza esta clave de encriptación para encriptar los datos enviados del servidor de arranque WAN al cliente. Éste puede, entonces, utilizarla para desencriptar los archivos de configuración encriptaciones y los archivos de seguridad transmitidos durante la instalación.
Después de instalar una clave de encriptación en un cliente, éste la utilizará en las futuras instalaciones del arranque WAN.
Es posible que su sede no permita el uso de claves de encriptación. Para averiguarlo, consúltelo con el administrador de seguridad de la sede. Si ésta permite encriptación, pregunte al administrador de seguridad qué tipo de clave de encriptado (3DES o AES) debe utilizar.
Para obtener instrucciones acerca del uso de claves de encriptación, consulte Creación de una clave de hashing y una clave de encriptación.
El arranque WAN admite el uso de HTTP sobre Capa de zócalos seguros (HTTPS) para transferir datos entre el servidor del arranque WAN y el cliente. HTTPS permite obligar al servidor, o al cliente y al servidor, a que se autentiquen durante la instalación; también encripta los datos transferidos del servidor al cliente durante la instalación.
HTTPS utiliza certificados digitales para autenticar sistemas que intercambian datos a través de la red. Un certificado digital es un archivo que identifica un sistema, ya sea servidor ya sea cliente, como sistema fiable durante la comunicación en línea. Puede solicitar un certificado digital de una entidad certificadora externa o crear su propio certificado y entidad certificadora.
Para habilitar al cliente para que confíe en el servidor y acepte datos procedentes de éste deberá instalar un certificado digital en el servidor. A continuación puede indicar al cliente que confíe en este certificado. También puede requerir al cliente que se autentique ante los servidores proporcionándole un certificado digital. A continuación puede indicar a aquéllos que acepten al firmante del certificado cuando el cliente presente éste durante la instalación.
Para utilizar certificados digitales durante la instalación deberá configurar el servidor web para que utilice HTTPS. Consulte la documentación de su servidor web para obtener información acerca del uso de HTTPS.
Para obtener información sobre los requisitos de uso de certificados digitales durante la instalación del arranque WAN, consulte Requisitos de certificados digitales. Para obtener instrucciones acerca del uso de certificados digitales en su instalación arranque WAN, consulte Uso de certificados digitales para la autenticación del servidor y del cliente.
El arranque WAN admite diversos niveles de seguridad. Se puede utilizar un combinación de las características de seguridad admitidas en arranque WAN para cubrir las necesidades de una red. Una configuración más segura exige más trabajo de administración, pero protege mejor los datos del sistema. Para sistemas de importancia más crítica, es conveniente elegir la configuración indicada en Configuración de una instalación segura mediante arranque WAN. En sistemas de menor importancia o que se encuentren en redes semiprivadas, tenga en cuenta la configuración descrita en Configuración de una instalación no segura mediante el arranque WAN.
En esta sección se describen brevemente las distintas configuraciones que pueden utilizarse para establecer el nivel de seguridad de una instalación mediante arranque WAN., así como los mecanismos de seguridad que requieren.
Esta configuración protege la integridad de los datos intercambiados entre el servidor y el cliente y ayuda a mantener la confidencialidad del contenido del intercambio. En esta configuración se utiliza una conexión HTTPS y un algoritmo 3DES o AES para encriptar los archivos de configuración del cliente. Esta configuración también exige al servidor que se autentique al cliente durante la instalación. Una instalación segura mediante arranque WAN precisa de las siguientes características de seguridad.
HTTPS habilitado en el servidor del arranque WAN y en el servidor de instalación
Clave de hashing HMAC SHA1 en el servidor del arranque WAN y en el cliente
Clave de encriptación 3DES o AES para el servidor del arranque WAN y el cliente
Certificado digital o una entidad certificadora para el servidor del arranque WAN
Si exige también autenticación de cliente durante la instalación, deberá utilizar asimismo las siguientes características de seguridad.
Clave privada para el servidor del arranque WAN
Certificado digital para el cliente
Para ver una lista de las tareas necesarias para instalar con esta configuración, consulte la Tabla 40–1.
Esta configuración de seguridad requiere un esfuerzo mínimo, pero proporciona una transferencia de datos menos segura del servidor web al cliente. No es necesario crear claves de hashing o de encriptación ni certificados digitales; tampoco se ha de configurar el servidor web para que utilice HTTPS. No obstante, esta configuración transfiere los datos y archivos de instalación a través de una conexión HTTP, dejando la instalación vulnerable para ser interceptada por la red.
Si desea que el cliente compruebe la integridad de los datos transmitidos puede utilizar una clave de hashing HMAC SHA1 con esta configuración. Sin embargo, dicha clave de hashing no protege el contenedor Solaris Flash. Éste se transfiere de forma no segura entre el servidor y el cliente durante la instalación.
Para ver una lista de las tareas necesarias para instalar con esta configuración, consulte la Tabla 40–1.