Solaris for ISPs 管理指南

第 1 章 Solaris for ISPs 概览

欢迎使用 Solaris^TM for ISPs^TM。这一 Solaris 附加软件包是在 Solaris 操作系统的开放式体系结构和可缩放性的基础上建立的，它为 Internet 服务提供商 (ISP) 及其客户们提供了最优化的操作环境。

Solaris for ISPs 体系结构

Solaris for ISPs 是由两类软件组成的。平台软件扩展了 Solaris 的基础，添加了一些支持 ISP 服务但 ISP 订户不能直接访问的特性；而 ISP 服务则是利用扩展的 Solaris 环境，向订户提供诸如 Internet 新闻、FTP 和万维网 (World Wide Web) 访问之类的功能。

图形 1-1 Solaris for ISPs 的基本体系结构

Solaris for ISPs 平台扩展

Solaris for ISPs 包括下列对 Solaris 操作系统的增强:

Sun^TM Internet Administrator^TM
主机配置软件
Sun^TM Internet Services Monitor^TM
Sun^TM Directory Services
Sunscreen^TM SKIP
FlexLM 许可证服务器
HotJava^TM 浏览器
Java Development Kit（Java 开发工具箱）

Sun Internet Administrator

Sun Internet Administrator 为分布式 ISP 服务提供安全的中央管理。它给予 ISP 管理员下列特性:

管理员只需单次登录。 ISP 管理员只需登录到 Sun Internet Administrator 一次即可访问他们有权访问的全部功能。按照 ISP 准则开发并从 Sun Internet Administrator 管理的服务从其中接收登录信息；以后即不再查问用户的口令了。
在管理员的客户机与远程服务主机之间安全通讯。 可选的 SKIP 软件可以安装和配置于所有与控制台的连接和从控制台到服务主机的连接，从而使得这些通讯变得既防窃听又防欺骗。
记录管理员的动作以便跟踪。 每个管理员的动作，从初始登录尝试到注销，都通过 syslog 实用程序记录在案。这既提供了故障诊断，也提供责任方面的信息。
对现有 ISP 服务的远程管理。 随 Solaris for ISPs 提供的服务组件均可从 Sun Internet Administrator 进行管理，无论这些组件位于网络的什么位置。另外， Sun^TM Internet FTP Server^TM 和 Sun^TM Internet News Server^TM 都是三层组件，对 Sun Internet Administrator 内设的安全性益处全盘照收。有关服务与 Sun Internet Administrator 的交互作用的更多信息，请参阅 "使用 Sun Internet Administrator 管理服务"。
现有服务的可扩展性。 ISP 们可以将自己的应用程序与 Sun Internet Administrator 集成在一起，并按照与 Solaris for ISPs 提供的服务相同的方式来管理它们。有关应用程序与 Sun Internet Administrator 的集成方面的指导，请参阅第 7 章，集成现有的服务应用程序。

主机配置软件

Solaris for ISPs 主机配置软件提供下列功能:

软件安装。 管理员使用主机配置软件来安装和卸载所有 Solaris for ISPs 软件。管理员可以保存安装方案，供 JumpStart 结束正文用于自动重复安装。
Solaris 基础配置。 为改进安全性和保护资源，不必要的 Solaris 服务均被禁止。对与安全有关的 Solaris 的组件加以适当配置以适应 ISP 环境。
侵入检测。 侵入检测程序定期检查其记录文件，以确定上一次检查后是否有过任何失败的登录企图。一旦出现侵入企图，检测程序将收集已记录的数据，并将其传递到用户指定的通告装置（比如电子邮件）。
服务器进程管理。 cron 的任务就是保证服务器进程（比如新闻服务器）确实正常运行。如果某个服务器异常停止，服务器进程管理程序将启动该服务器。
记录文件管理。 审查和 syslog 记录每天周而复始。记录文件管理守护程序每周都要将记录归档，并删除超过一个月的所有旧档案。

主机配置软件是一个必需的软件组件。它安装在每台 Solaris for ISPs 主机上。

Sun Internet Services Monitor

性能监视软件允许 ISP 设置可以仿真订户使用 ISP 服务的经历的特殊客户机。可以设置性能监视 applet 小程序以便连接到 Web、邮件、新闻和目录服务服务器的任意组合上，并收集从订户立场看待的性能方面的信息。这些数据是在监视主机上收集的，可以通过 Web 浏览器来查看。

Sun Internet Services Monitor 是一种双层应用程序。它可以通过 Sun Internet Administrator 来管理，但并未得到单次登录或者管理员鉴别方面的好处。有关双层体系结构的更多信息，请参阅 "使用 Sun Internet Administrator 管理服务"。

Sun Directory Services

这一“轻型目录访问协议”(Lightweight Directory Access Protocol, LDAP) 实施方法既为用户（管理员），也为服务配置信息提供了一个共享仓库。管理员也在仓库中存储订户的信息。此版本的 Sun Directory Services 包括下列特性:

符合 LDAP v3 Internet 标准。
“远程访问拨号用户服务”(Remote Access Dialup User Service, RADIUS) 服务器，为通过“网络访问服务器”(Network Access Server, NAS) 连接到网络上的远程用户提供鉴别。
“网络信息系统”(Network Information System, NIS) 服务器，被集成进已有的 NIS 环境从而提供集成命名服务。
一套完整的管理工具，包括一个 Deja 目录编辑器、一个由 Java 实现的用于目录管理的管理控制台，以及一个用于从任何浏览器进行访问的 Web 网关。

Sun Directory Services 就象基于 X 的应用程序一样可从 Sun Internet Administrator 进行管理。

Sun Directory Services 安装时带有无许可证限制，即目录中限有 1K（一千）个条目。5K （五千）个条目的许可证书是 Solaris for ISPs 随带的，必须购买并使用 FlexLM 许可证服务器登记才能生效。有关购买和安装许可证书的细节，请参阅 Solaris for ISPs 安装指南中的指导。

要了解 Sun Directory Services 在 Solaris for ISPs 中的作用，请参阅本书的第 5 章，使用目录服务和第 6 章，Solaris for ISPs 目录服务规划。Sun Directory Services 文档由两本书组成，即 Sun Directory Services 3.1 管理指南和 Sun Directory Services 3.1 用户指南，都是作为 AnswerBook2^TM 软件包交付的。Sun Directory Services Deja 工具也有完整的联机帮助。

Sunscreen SKIP

Sunscreen^TM SKIP 的基础是 Simple Key-management for Internet Protocols (SKIP) 标准，该标准用于对 IP 加密的密钥管理。SKIP 的特征包括:

自动证书交换
“无会话”协议
用于 IPv4 和 IPv6 的多点广播 (Multicast) 和单点广播 (Unicast) 包协议
证书发现协议 (Certificate Discovery Protocol, CDP)

虽然只有在北美洲才能获得全部 SKIP 技术，但有一个版本可以向世界其它地区出口。安装了 SKIP 后，其手册页位于 /opt/SUNWicp/man。

FlexLM 许可证服务器

FlexLM 许可证服务器是 Sun Directory Services 用来管理各种大小的许可证的。若已有一个许可证服务器存在于您的网络（版本 4.1 或更高），您即可使用它来提供 Sun Directory Services 许可证服务。

Sun Directory Services 在要求许可证之前允许 1K （一千）个条目。这对于安装和初始化目录来说已经足够了。然而，在所有合理的 ISP 应用程序中，很快即将要求更多的条目。请按照 Solaris for ISPs 安装指南中的指示获取一个许可证密钥并配置服务器。

安装该服务器后，FlexLM 手册页位于 /opt/SUNWste/licene_tools/man。

HotJava 浏览器

HotJava 浏览器是与 Solaris for ISPs 一起提供的，以便支持 Sun Internet Administrator 和该产品中其它的管理用户接口。它支持下列 Internet 标准和协议:

Java Development Kit 1.1.6
HTTP 1.1 协议
HTML 3.2
表格和框架 (Frame)
持续存在的 Cookies
GIF 和 JPEG 媒体格式
AU 音频格式
FTP 和 Gopher 文件传送协议
SMTP 和 MIME 电子邮件协议
SOCKS 协议
安全插座层 (Secure Sockets Layer, SSL) 3.0
Java Archive (JAR) 格式

Java Development Kit

Java Development Kit (JDK) 是同 Solaris for ISPs 一道提供的，以便支持在本产品中使用 Java。JDK 1.1.5 版包括下列新能力:

国际化
带签名的 applet 小程序
JAR 文件格式
AWT （窗口工具箱）增强
JavaBeans^TM 组件模型
联网增强
用于大数的数学软件包
远程方法调用 (Remote Method Invocation, RMI)
反射 (Reflection)
数据库连接 (JDBC)

ISP 服务

这一版本的 Solaris for ISPs 中的服务包括:

Sun^TM WebServer^TM (SWS)
Sun^TM Internet News Server^TM
Sun^TM Internet FTP Server^TM

除了图形用户接口之外，所有 ISP 服务还提供正文的全部命令行访问功能。

SWS

SWS 是一种非常可靠、安全且基于标准的 Web 服务器，它可用于在 Internet、Extranet 或 Intranet 上访问、管理和分发信息。这一版本的 SWS 中添加的特性包括:

支持 HTTP/1.1。 SWS 支持超文本传输协议的最新版本，包括已命名的虚拟主机和内容协商。
增强的可缩放性。 服务器进程的多个实例可在单个机器上运行且可通过相同的管理图形用户接口来管理。因此，可用的虚拟主机数目将呈几何级数增加。
支持 Java servlet。 使用 servlet 而不是更常见的 CGI 正文，不仅在服务器端提供了 Java 的跨平台优势，而且加快了处理速度。
安全的 HTTP 通讯。 SWS 包括安全插座层 (Secure-Socket Layer, SSL) 功能并支持用于安全及加密通讯的 Verisign 证书。
支持 Microsoft FrontPage。 SWS 支持在编写（网页）、管理和动态内容领域中流行的 FrontPage 扩展。

SWS 是一种双层应用程序。可通过 Sun Internet Administrator 来管理它，但并未得到单次登录的好处。参阅第 7 章，集成现有的服务应用程序以获得有关此配置的细节，而有关双层体系结构的更多信息，请参阅 "使用 Sun Internet Administrator 管理服务"。

Sun Internet News Server

Sun Internet News Server 是一种高性能、高缩放性的新闻服务器。其重要特性包括:

高性能和用户连接的高缩放性。 有一个多线程、多进程的守护程序处理客户连接，它利用多处理器的 Solaris 服务器为处理大量同步发生的新闻读者连接提供可缩放性。
功能全面的新闻馈送处理方式。 以来自 Internet 软件协会 (Internet Software Consortium) 的 INN (INN 1.5 版第 2 节) 为基础， Sun Internet News Server 在新闻馈送处理方面保留了该实施方法所有便利性的改进。
分离的馈送处理和新闻读者服务功能。 对新闻读者的服务可以与馈送处理功能分离，从而实现在处理新闻读者连接时可横向缩放。
基于浏览器的集中式管理。 Sun Internet News Server 是一种三层服务，它与 Sun Internet Administrator 集成在一起，以实现集中式管理和获得彻底的安全保障。有关三层体系结构的更多信息，请参阅 "使用 Sun Internet Administrator 管理服务"。

Sun Internet FTP Server

这一可缩放、高性能的 FTP 服务器提供了下列增强性能:

单个主机上有多个域。 Sun Internet FTP Server 支持基于 IP 的虚拟主机。每台虚拟主机都有自己的配置文件，以调节服务器来适应特定的域。
可配置的用户鉴别。 Sun Internet FTP Server 既可使用 UNIX 帐户也可使用 SunDS 注册表中的条目来鉴别管理员。
基于浏览器的集中式管理。 Sun Internet FTP Server 是一种三层服务，它与 Sun Internet Administrator 集成在一起，以实现集中式管理和获得彻底的安全保障。有关三层体系结构的更多信息，请参阅 "使用 Sun Internet Administrator 管理服务"。

Solaris for ISPs 怎样安装

因为典型的 UNIX 服务器必然运行着各种应用程序，所以缺省的 Solaris 安装假定绝大多数 UNIX 服务都是需要的。ISP 们关注的焦点更多地集中在怎样在公开的环境中提供特殊的服务。他们对于性能和安全性有着强烈的要求。

为了配置 Solaris 以满足他们的需要，ISP 管理员通常执行精心策划的强化和调节任务。他们废弃不需要的 Solaris 服务并变更文件权限以消除安全性弱点。这一进程可能要花数小时。

在 Solaris for ISPs 中的主机配置软件帮助管理员使这一强化和调节进程自动化。除了将必需的软件包复制到适当的位置外，它还强化底层的 Solaris 2.6 基础，不仅配置 Solaris 的安全性和记录机制，而且在适当的地方变更文件的属主和模式。此进程的最后一步是：一旦某些标准的 Solaris 服务不再支持某个给定主机的目的时，则选择性地禁用这些服务（例如， finger 或 rlogin）。

Solaris for ISPs 主机配置可以通过使用其图形用户接口交互式地执行，也可以使用 JumpStart 非交互式重复执行。

主机配置模型

配置进程是通过建立系统当前状态的一个方案来工作的，包括哪些软件组件是可以安装的，以及用户已选择要安装或卸载哪些组件。

图形 1-2 Solaris for ISPs 主机配置进程

主机配置软件也可用于在安装之后重新配置主机，包括根据需要添加或去除服务。

可重复配置

交互式主机配置（使用图形用户接口）提供保存配置方案的选项（以二进制和某些关联文件的形式）。通过创建和保存方案，ISP 管理员可以在 JumpStart^TM 结束正文中使用它，形成一种非交互式、一步到位式的安装。这种 JumpStart 安装可以重复，并可用来进行一模一样的配置。

JumpStart 是 Solaris 操作系统的一部分，它可以在本地和远程执行用户化、可重复的 Solaris 安装。有关如何创建定制的 JumpStart 安装的细节，请参阅 Solaris 高级安装指南。而有关如何使用结束正文中的方案文件进行定制的 JumpStart 安装的信息，请参阅本指南的第 2 章。

使用 Sun Internet Administrator 管理服务

Sun Internet Administrator 为所有 ISP 服务提供了安全的集中式管理，无论在本地还是跨越主机网络。一旦接到来自授权管理员的请求，它即调用各个服务的管理 GUI （如果有的话）。在适当的地方也可访问命令行接口。

安全环境的特性

Sun Internet Administrator 提供下列安全方面的特性:

管理员鉴别。 要求管理员在访问 GUI 时提供有效的用户名和口令。
管理员访问控制。 对每个 ISP 服务都有访问控制。有权在网络上管理 FTP 服务器的管理员也许可以、也许不能访问新闻服务器。控制台管理员（即可以管理 Sun Internet Administrator 进程的人）可以访问 Sun Internet Administrator 所管理的所有服务。
中央审查。 记录管理员的动作以便跟踪和责任到位。
对所有网络通讯流的隐私和完整性保护。 可以对可选的 SKIP 软件加以配置以保护所有往来于 Sun Internet Administrator 的连接。SSL 亦可用于安全 HTTP 流。

Sun Internet Administrator 支持两种体系结构的服务: 三层和双层。只有三层体系结构才能获得所有上述安全性益处。支持四种服务 UI 类型:

三层、基于浏览器的 应用程序获得由 Sun Internet Administrator 提供的所有安全性益处。
双层、基于浏览器的 应用程序无法利用单次登录特性，但可以通过 Sun Internet Administrator 进行管理。如果它们使用 SWS 来支持管理应用程序，它们便可以配置该程序以提供管理员鉴别。（有关此配置的细节请参阅第 7 章，集成现有的服务应用程序。）包含双层体系结构以支持遗留应用程序。
基于 X 的 应用程序可获得三层应用程序的全部益处。
命令行 功能（正文、程序或其组合）可获得三层应用程序的全部益处。任何数量的功能均可被登记用于给定的服务并可由 Sun Internet Administrator 来管理，从而构成一个连接命令行程序的 Web 接口。

三层应用程序体系结构

推荐的三层、基于浏览器的应用程序体系结构可获得所有 Sun Internet Administrator 安全性益处。

图形 1-3 三层 ISP 服务体系结构

如图形 1-3 中所示，管理员使用下列步骤来访问某个服务的管理功能:

从浏览器进行，管理员请求一个特殊的 URL （主要 Sun Internet Administrator GUI 页面的位置）。

将 AWC 下载至客户浏览器，然后管理员可以从中选择一个要管理的服务。
Sun Internet Administrator 提示管理员需要用户名和口令。管理员不必使用 UNIX 帐户来访问控制台 GUI; 一个目录服务仓库 (Sun Directory Services) 将帮助 Sun Internet Administrator 对管理员信息进行管理。这一连接应该使用安全 HTTP 来保护。

所选择的服务解析为某个 URL，指定该服务的 ASCA。作为响应，服务器代理 GUI 被下载。在这一步骤，控制传递到服务的管理程序。
后续的访问是直接在客户浏览器与 AWS 上的组件服务器代理之间进行的。

AWS 针对目录访问鉴别管理员，并记录管理员的每个请求。如果该管理员有正当的访问权，请求则被传递到 ASRA。
ASCA 通过服务的开发者选择的协议与 ASRA 通讯。应该采取适当的 IP 级的安全措施以保护这一连接及其通讯流。

ASRA 再次鉴别并记录每个管理员的动作。若要保护网络通讯，ISP 可以添加 IP 级的加密，如果真的希望这样做，可使用 SKIP 来加密。

Solaris for ISPs 中提供了用于命令行和基于 X 的程序的 ASCA 和 ASRA 模块。一旦您登记了这些应用程序，Sun Internet Administrator 就自动地使用它们。

双层应用程序体系结构

对于某些应用程序，特别是已有的服务，双层体系结构对于通过 Sun Internet Administrator 进行访问更加实用。这些服务可以从 Sun Internet Administrator 加以管理，但得不到单次登录和记录的安全性益处。

图形 1-4 双层 ISP 服务体系结构

如图形 1-4 中所示，管理员使用下列步骤来访问某个服务的管理功能:

从浏览器进行，管理员请求一个特殊的 URL （主要控制台 GUI 页面的位置）。

此步骤与三层体系结构的相同。AWC 被下载至客户浏览器，然后管理员可以从中选择一个要管理的服务。
所选择的服务解析为某个 URL，指定组件的 ASRA. 如果该服务的管理 GUI 不是基于浏览器的，可以根据开发者的选择使用其它协议。
后续的访问直接在客户浏览器与服务的远程代理之间进行。应该采取适当的 IP 级的安全措施以保护这一连接及其通讯流。

在双层体系结构中，服务是无法利用单次登录特性。