Chapitre 1 Présentation de Solaris for ISPs

Bienvenue dans Solaris^TM for ISPs^TM. Ce produit Solaris repose sur l'architecture ouverte et la dimensionnabilité du système d'exploitation Solaris pour fournir un environnement d'exploitation optimal aux fournisseurs de service Internet et à leurs clients.

Architecture de Solaris for ISPs

Solaris for ISPs est structuré en deux groupes de logiciels. Le logiciel de plate-forme étend la base Solaris, en ajoutant des fonctions qui activent des services ISP, mais qui ne sont pas directement accessibles par les abonnés des ISP. Les services ISP fournissent aux abonnés des fonctionnalités telles que les groupes de discussion Internet (News), FTP et l'accès Web, tout en tirant parti de l'environnement Solaris étendu.

Figure 1-1 Architecture de base de Solaris for ISPs

Extensions de plate-forme Solaris for ISPs

Solaris for ISPs apporte les améliorations suivantes au système d'exploitation Solaris :

• Sun^TM Internet Administrator^TM

• Logiciel de configuration d'hôte

• Sun^TM Internet Services Monitor^TM

• Sun^TM Directory Services

• Sunscreen^TM SKIP

• Serveur de licence FlexLM

• Navigateur HotJava^TM

• Kit de développement Java

Sun Internet Administrator

Sun Internet Administrator assure une gestion centrale sécurisée pour les services ISP répartis. Il offre aux administrateurs ISP les fonctions suivantes :

• Ouverture de session unique pour les administrateurs. Les administrateurs ISP se connectent à Sun Internet Administrator une seule fois pour accéder à toutes les fonctions pour lesquelles il ont une autorisation. Les services développés conformément aux directives des ISP et gérés depuis Sun Internet Administrator reçoivent des informations d'ouverture de session de celui-ci ; l'utilisateur n'est plus sollicité par la suite.

• Communications sécurisées entre machines client de l'administrateur et hôtes de service distants. Le logiciel SKIP en option peut être installé et configuré sur toutes les connexions à la console, et de la console aux machines hôtes de service, mettant ces communications à l'abri des intrusions.

• Enregistrement des actions d'administrateur pour traçabilité. Chaque action administrateur, de la tentative de connexion initiale à la déconnexion, est enregistrée par l'intermédiaire de l'utilitaire syslog. Cette fonction fournit des informations de dépannage et de comptabilisation.

• Gestion à distance de services ISP existants. Les composants de service fournis avec Solaris for ISPs peuvent être gérés depuis Sun Internet Administrator, quelle que soit leur position sur le réseau. En outre, Sun^TM Internet FTP Server^TM et Sun^TM Internet News Server^TM sont des composants à trois couches et bénéficient de tous les avantages de sécurité intégrés dans Sun Internet Administrator. Pour plus d'informations sur l'interaction des services avec Sun Internet Administrator, reportez-vous à "Gestion de services avec Sun Internet Administrator".

• Extensibilité pour services existants. Les ISP peuvent intégrer leurs propres applications dans Sun Internet Administrator et les gérer de la même manière que les services fournis avec Solaris for ISPs. Pour consulter des instructions sur l'intégration d'applications dans Sun Internet Administrator, reportez-vous au Chapitre 7.

Logiciel de configuration d'hôte

Le logiciel de configuration d'hôte Solaris for ISPs offre les fonctionnalités suivantes :

• Installation du logiciel. Les administrateurs installent et désinstallent tout le logiciel Solaris for ISPs à l'aide du logiciel de configuration d'hôte. Les administrateurs peuvent enregistrer des scénarios d'installation en vue d'une utilisation dans le script final JumpStart pour répéter les installations automatiquement.

• Configuration de base Solaris. Pour améliorer la sécurité et économiser les ressources, les services Solaris non requis sont désactivés. Les composants associés à la sécurité de Solaris sont adaptés à un environnement ISP.

• Détection d'intrusion. De façon périodique, le détecteur d'intrusion vérifie son fichier journal, déterminant si des tentatives de connexion ayant échoué se sont produites depuis la dernière vérification. Si une tentative d'intrusion s'est produite, le détecteur collecte les données consignées et les passe au mécanisme de notification spécifié par l'utilisateur, tel que courrier électronique.

• Gestion de processus de serveur. Ce travail cron garantit l'exécution effective des processus du serveur (tels que les serveurs de groupes de discussion). Si un serveur s'est arrêté prématurément, le gestionnaire de processus de serveur démarre ce serveur.

• Gestion de fichier journal. Des journaux d'audit et système sont recyclés quotidiennement. Le démon de gestion de fichier journal archive les journaux toutes les semaines et supprime les archives datant de plus d'un mois.

Le logiciel de configuration d'hôte est un composant logiciel obligatoire. Il est installé sur chaque machine hôte Solaris for ISPs.

Sun Internet Services Monitor

Le logiciel de surveillance de performances permet à un ISP de configurer des machines client spéciales émulant une expérience d'abonné avec les services ISP. L'applet de surveillance des performances peut être configuré pour se connecter à n'importe quel serveur de services Web, messagerie, groupe de discussion et répertoire, et recueillir des informations sur leurs performances dans une perspective d'abonné. Les données sont recueillies sur la machine hôte surveillante et consultables au moyen d'un navigateur Web.

Sun Internet Services Monitor est une application deux couches. Elle est gérable par l'intermédiaire de Sun Internet Administrator, mais ne tire pas parti des avantages de l'ouverture de session unique ou de l'authentification de l'administrateur. Pour plus d'informations sur l'architecture deux couches, consultez "Gestion de services avec Sun Internet Administrator".

Sun Directory Services

Cette mise en oeuvre LDAP (Lightweight Directory Access Protocol) fournit un référentiel partagé pour l'utilisateur (administrateur) et des informations de configuration de service. Les administrateurs stockent également des informations d'abonné dans le référentiel. Les fonctions de cette version de Sun Directory Services incluent notamment :

• Conformité aux normes Internet LDAP v3.

• Un serveur RADIUS (Remote Access Dialup User Service) fournissant une authentification pour des utilisateurs distants se connectant au réseau par l'intermédiaire d'un serveur d'accès réseau (NAS, Network Access Server).

• Un serveur NIS (Network Information System) s'intégrant dans un environnement NIS existant pour fournir un service de noms intégré.

• Une suite complète d'outils d'administration, incluant l'éditeur de répertoire Deja, une console d'administration à implémentation Java, pour la gestion du répertoire, et une passerelle Web permettant un accès depuis n'importe quel navigateur.

Sun Directory Services est gérable depuis Sun Internet Administrator comme application X.

Sun Directory Services s'installe avec une restriction en l'absence de licence de 1K (mille) entrées dans le répertoire. Un certificat de licence pour 5K (cinq mille) entrées est fourni avec Solaris for ISPs et doit être racheté et enregistré avec le serveur de licence FlexLM avant d'entrer en vigueur. Consultez les instructions du manuel Guide d'installation de Solaris for ISPs pour plus de détails sur le rachat et l'installation du certificat de licence.

Consultez le Chapitre 5 et le Chapitre 6 du présent manuel pour obtenir des informations sur le rôle de Sun Directory Services dans Solaris for ISPs. La documentation Sun Directory Services est composée de deux manuels, Sun Directory Services 3.1 Administration Guide et Sun Directory Services 3.1 User's Guide, tous deux livrés comme progiciels AnswerBook2^TM. L'outil Sun Directory Services Deja comporte également une aide en ligne complète.

Sunscreen SKIP

Sunscreen^TM SKIP est basé sur la norme SKIP (Simple Key-management for Internet Protocols) de gestion de clé pour cryptage IP. Les caractéristiques de SKIP incluent notamment :

• Des échanges de certificat automatiques

• Des protocoles sans session

• Des protocoles de paquet multidestinataire et monodestinataire pour IPv4 et IPv6

• Un protocole de découverte de certificat (CDP)

La technologie SKIP complète est disponible uniquement en Amérique du Nord, mais une version existe pour l'exportation vers d'autres parties du monde. Lorsque SKIP est installé, ses pages manuelles se trouvent dans le répertoire /opt/SUNWicp/man.

Serveur de licence FlexLM

Le serveur de licence FlexLM est utilisé par Sun Directory Services pour gérer les licences de diverses tailles. Si votre réseau comporte déjà un serveur de licence (version 4.1 ou version ultérieure), vous pouvez l'utiliser pour servir des licences Sun Directory Services.

Sun Directory Services autorise 1K (mille) entrées avant de nécessiter une licence. Cela est suffisant pour installer et initialiser le répertoire. Cependant, dans n'importe quelle application ISP raisonnable, un nombre plus grand d'entrées sera rapidement requis. Suivez les instructions du manuel Guide d'installation de Solaris for ISPs pour acquérir une clé de licence et configurer le serveur.

Après son installation, les pages de manuel FlexLM se trouvent dans /opt/SUNWste/licene_tools/man.

Navigateur HotJava

Le navigateur HotJava est fourni avec Solaris for ISPs pour supporter Sun Internet Administrator et d'autres interfaces utilisateur d'administration dans le produit. Il prend en charge les normes et protocoles Internet suivants :

• Kit de développement Java 1.1.6

• Protocole HTTP 1.1

• HTML 3.2

• Tableaux et cadres

• Cookies persistants

• Formats de support GIF et JPEG

• Format audio AU

• Protocoles de transfert de fichier FTP et Gopher

• Protocoles de courrier électronique SMTP MIME

• Protocole SOCKS

• Secure Sockets Layer (SSL) 3.0

• Format d'archive Java (JAR)

Kit de développement Java

Le kit de développement Java (JDK) est fourni avec Solaris for ISPs pour supporter l'utilisation de Java dans le produit. JDK version 1.1.5 inclut les nouvelles possibilités suivantes :

• Internationalisation

• Applets signés

• Format de fichier JAR

• Améliorations AWT (boîte à outils de fenêtre)

• Modèle de composant JavaBeans^TM

• Améliorations réseau

• Progiciel mathématique pour grands nombres

• Invocation de méthode distante (RMI)

• Réflexion

• Connectivité aux bases de données (JDBC)

Services ISP

Les services de cette version de Solaris for ISPs incluent notamment :

• Sun^TM WebServer^TM (SWS)

• Sun^TM Internet News Server^TM

• Sun^TM Internet FTP Server^TM

Outre les interfaces utilisateur graphiques, tous les services ISP fournissent également un accès par ligne de commande pour l'écriture de scripts.

SWS

SWS est un serveur Web très fiable, sécurisé, répondant aux normes, pour accéder aux informations, les gérer et les distribuer sur l'Internet, des extranets ou des intranets. Les fonctions ajoutées à cette version de SWS incluent notamment :

• Support pour HTTP/1.1. SWS supporte la dernière version du protocole de transfert hypertexte, notamment les hôtes virtuels nommés et leur négociation de contenu.

• Dimensionnabilité améliorée. Plusieurs instances du processus de serveur peuvent s'exécuter sur une machine spécifique et peuvent être gérées par l'intermédiaire de la même interface utilisateur graphique d'administration. Le nombre d'hôtes virtuels disponibles est ainsi augmenté géométriquement.

• Support de servlet Java. L'utilisation de servlets à la place de scripts CGI plus fréquemment employés permet de bénéficier des avantages inter-plate-formes de Java côté serveur, tout en améliorant la vitesse de traitement.

• Communications HTTP sécurisées. SWS inclut une fonctionnalité SSL (secure-socket layer) et supporte les certificats Verisign pour des communications sûres et cryptées.

• Support de Microsoft FrontPage. SWS supporte les extensions FrontPage dans les secteurs de la création, de l'administration et du contenu dynamique.

SWS est une application deux couches. Il est gérable par l'intermédiaire Sun Internet Administrator, mais ne bénéficie pas de l'ouverture de session unique. Il a été configuré pour partager des données d'administrateur avec Sun Internet Administrator. Reportez-vous au Chapitre 7 pour obtenir plus de détails sur cette configuration et au "Gestion de services avec Sun Internet Administrator" pour plus d'informations sur l'architecture deux couches.

Sun Internet News Server

Sun Internet News Server est un serveur de groupes de discussion hautes performances et dimensionnable. Les principales fonctions incluent :

• Hautes performances et dimensionnabilité de connexion client. Un démon à unités d'exécution multiples, multiprocessus gère les connexions client, tirant parti de la possibilité qu'offrent les serveurs Solaris multiprocesseur d'assurer une dimensionnabilité par la gestion d'un grand nombre de connexions de lecteurs de groupes de discussions simultanées.

• Gestion complète d'alimentation de groupes de discussion. Basé sur INN issu du consortium de logiciel Internet (INN version 1.5 sec. 2), Sun Internet News Server maintient toutes les améliorations d'utilisation offertes par cette mise en oeuvre pour la gestion des groupes de discussion.

• Fonctionnalités séparées pour la gestion d'alimentation et les fonctionnalités du service pour lecteurs de groupes de discussion. Ce service pour lecteurs de groupes de discussion peut être séparé des fonctions de gestion d'alimentation pour permettre une dimensionnabilité horizontale dans le traitement des connexions de lecteurs de groupes de discussion.

• Gestion centralisée, basée sur un navigateur. Sun Internet News Server est un service trois couches qui s'intègre à Sun Internet Administrator pour assurer l'administration centralisée et offrir des avantages de sécurité étendus. Pour plus d'informations sur l'architecture trois couches, consultez "Gestion de services avec Sun Internet Administrator".

Sun Internet FTP Server

Ce serveur FTP dimensionnable hautes performances offre les améliorations suivantes :

• Domaines multiples sur hôte unique. Sun Internet FTP Server supporte la gestion d'hôte virtuel IP. Chaque hôte virtuel possède ses propres fichiers de configuration qui règlent le serveur pour le domaine particulier.

• Authentification utilisateur configurable. Sun Internet FTP Server peut utiliser des comptes ou des entrées UNIX dans le registre SunDS pour authentifier des administrateurs.

• Gestion centralisée, basée sur un navigateur. Sun Internet FTP Server est un service trois couches qui s'intègre avec Sun Internet Administrator pour assurer une administration centralisée et offrir de réels avantages en matière de sécurité. Pour plus d'informations sur l'architecture trois couches, consultez "Gestion de services avec Sun Internet Administrator".

Installation de Solaris for ISPs

Le serveur UNIX typique devant exécuter une variété d'applications, l'installation de Solaris par défaut part du principe que la plupart des services UNIX sont requis. Les ISP se concentrent sur la fourniture de services spécifiques dans un environnement public. Ils ont des besoins importants en matière de performances et de sécurité.

Pour configurer Solaris en fonction de leurs besoins, les administrateurs ISP effectuent généralement des tâches de durcissement et de réglage. Ils arrêtent les services Solaris non requis et changent les autorisations aux fichiers pour éliminer les vulnérabilités à la sécurité. Ce processus peut prendre des heures.

Le logiciel de configuration d'hôte dans Solaris for ISPs automatise ce processus de durcissement et de réglage pour l'administrateur. Outre la copie des progiciels nécessaires aux emplacements appropriés, il durcit la base Solaris 2.6 sous-jacente, changeant les propriétaires et les modes de fichier lorsque cela est approprié et configurant les mécanismes de sécurité et de connexion Solaris. Une étape finale dans ce processus consiste à désactiver sélectivement les services Solaris standard (tels que finger ou rlogin) lorsqu'ils ne supportent pas la fonction d'une machine hôte donnée.

La configuration d'hôte Solaris for ISPs peut être effectuée de façon interactive en utilisant son interface utilisateur graphique ou, de façon répétée et non interactive, à l'aide de JumpStart.

Modèle de configuration hôte

Le processus de configuration fonctionne en construisant un scénario de l'état courant du système, en déterminant les composants logiciels disponibles à installer, et en identifiant ce que l'utilisateur a sélectionné pour installer ou désinstaller.

Figure 1-2 Processus de configuration d'hôte de Solaris for ISPs

Le logiciel de configuration d'hôte peut également être utilisé, le cas échéant, pour reconfigurer un hôte après l'installation, l'ajout et le retrait de services.

Configuration répétable

Une configuration d'hôte interactive (utilisant l'interface utilisateur graphique) offre la possibilité d'enregistrer un scénario de configuration (sous la forme d'un fichier binaire et de fichiers associés). En créant et en enregistrant un scénario, l'administrateur ISP peut l'utiliser dans un script JumpStart^TM formant une installation non interactive, en une seule étape. De telles installations JumpStart sont répétables et peuvent être employées pour configurer des systèmes de façon identique.

JumpStart fait partie du système d'exploitation Solaris pouvant effectuer des installations personnalisées répétables de Solaris à la fois localement et à distance. Pour la procédure de création d'une installation JumpStart personnalisée, consultez le manuel Solaris Advanced Installation Guide. Pour plus d'informations sur l'emploi d'un fichier de scénario dans un script final pour une installation JumpStart personnalisée, reportez-vous au chapitre 2 du présent manuel.

Gestion de services avec Sun Internet Administrator

Sun Internet Administrator assure une gestion centralisée sécurisée pour tous les services ISP, à la fois localement et sur un réseau d'hôtes. Il lance les IUG d'administration (lorsqu'elles sont présentes) de services individuels sur demande d'un administrateur autorisé. Des interfaces à ligne de commande peuvent également être employées lorsque cela est approprié.

Fonctions pour un environnement sécurisé

Sun Internet Administrator offre les fonctions de sécurité suivantes :

• Authentification d'administrateur. Les administrateurs doivent fournir un nom d'utilisateur et un mot de passe valides lors de l'accès à l'interface utilisateur graphique.

• Contrôle d'accès de l'administrateur. L'accès est contrôlé par un service ISP. Un administrateur autorisé à gérer des serveurs FTP sur le réseau peut ou non avoir également accès aux serveurs de groupes de discussion. Les administrateurs de console (ceux pouvant gérer des processus Sun Internet Administrator) ont accès à tous les services gérés par Sun Internet Administrator.

• Audit centralisé. Les actions des administrateurs sont consignées pour une traçabilité et une comptabilisation.

• Protection de vue privée et d'intégrité pour tout le trafic réseau. Le logiciel SKIP facultatif peut être configuré pour protéger toutes les connexions vers et depuis Sun Internet Administrator. SSL peut également être employé pour un trafic HTTP sécurisé.

Sun Internet Administrator supporte des services dans deux architectures : trois couches et deux couches. Seule l'architecture trois couches bénéficie de tous les avantages liés à la sécurité indiqués ci-dessus. Quatre types d'IU de service sont pris en charge :

• Les applications trois couches reposant sur un navigateur bénéficient de tous les avantages de sécurité offerts par Sun Internet Administrator.

• Les applications deux couches basées sur un navigateur ne peuvent pas exploiter la fonction d'ouverture de session unique, mais sont gérables par l'intermédiaire de Sun Internet Administrator. Si elles utilisent SWS pour supporter l'application d'administration, elles peuvent le configurer pour assurer l'authentification de l'administrateur. Pour plus de détails, reportez-vous au Chapitre 7. L'architecture deux couches est incluse pour supporter les anciennes applications.

• Les applications X bénéficient de tous les avantages d'une application trois couches.

• Les fonctions de ligne de commande (scripts, programmes ou toutes combinaisons) bénéficient de tous les avantages des applications trois couches. Ces applications peuvent être toutes enregistrées pour un service donné et gérées par Sun Internet Administrator, qui construit une interface Web aux programmes de ligne de commande.

Architecture d'application trois couches

L'architecture d'application trois couches basée sur un navigateur recommandé bénéficie de tous les avantages de sécurité de Sun Internet Administrator.

Figure 1-3 Architecture de service ISP trois couches

Tel qu'illustré dans la Figure 1-3, un administrateur exécute les opérations suivantes pour accéder aux fonctions d'administration des services :

1. A partir d'un navigateur, l'administrateur demande une URL spécifique (l'emplacement de la page d'interface utilisateur graphique principale de Sun Internet Administrator).

   L'AWC est téléchargé dans le navigateur client, où l'administrateur peut choisir un service à gérer.

2. Sun Internet Administrator invite l'administrateur à entrer un nom d'utilisateur et un mot de passe. L'administrateur n'a pas besoin d'utiliser un compte UNIX pour accéder à l'interface graphique utilisateur de la console ; un référentiel de services de répertoire (Sun Directory Services) gère les informations d'administrateur pour Sun Internet Administrator. Cette connexion doit être sécurisée à l'aide d'un protocole HTTP sécurisé.

   Le service sélectionné est traduit en une URL qui désigne l'ASCA du service. En réponse, l'interface utilisateur graphique de l'agent du serveur est téléchargée. A ce stade, le contrôle passe au programme d'administration de service.

3. Tout accès ultérieur est effectué directement entre le navigateur client et l'agent serveur du composant sur l'AWS.

   L'AWS authentifie l'administrateur par rapport aux services de répertoire et consigne chaque requête de l'administrateur. Si l'administrateur a un accès approprié, les requêtes sont passées à l'ASRA.

4. L'ASCA communique avec l'ASRA par l'intermédiaire d'un protocole choisi par le développeur du service. Des mesures de sécurité de niveau IP appropriées doivent être prises pour protéger cette connexion et son trafic.

   L'ASRA authentifie et consigne de nouveau chaque action de l'administrateur. Pour protéger les communications réseau, l'ISP peut ajouter un cryptage de niveau IP, si cela est désiré, en utilisant SKIP.

Les modules ASCA et ASRA pour programmes de ligne de commande et X sont fournis dans Solaris for ISPs. Sun Internet Administrator les utilise automatiquement lorsque vous enregistrez ces applications.

Architecture d'application deux couches

Pour certaines applications, surtout en ce qui concerne les services existants, une architecture deux couches garantissant l'accès par l'intermédiaire de Sun Internet Administrator est plus pratique. Ces services peuvent être gérés depuis Sun Internet Administrator, mais ne bénéficient pas des avantages de sécurité d'une ouverture de session et d'une connexion uniques.

Figure 1-4 Architecture de service ISP deux couches

Tel qu'illustré dans la Figure 1-4, un administrateur exécute les opérations suivantes pour accéder aux fonctions d'administration des services :

1. A partir d'un navigateur, l'administrateur demande une URL spécifique (l'emplacement de la page d'interface graphique de la console principale).

   Cette étape est la même pour l'architecture trois couches. L'AWC est téléchargé dans le navigateur client, où l'administrateur peut choisir un service à gérer.

2. Le service sélectionné est traduit en une URL, désignant l'ASRA du composant. Si l'interface utilisateur d'administration du service n'est pas basée sur le navigateur, d'autres protocoles peuvent être employés au choix du développeur.

3. Tout accès ultérieur s'effectue directement entre le navigateur client et l'agent distant du service. Des mesures de sécurité de niveau IP appropriées doivent être prises pour protéger cette connexion et son trafic.

   Dans une architecture deux couches, les services ne peuvent pas tirer parti de la fonction d'ouverture de session unique.