Trusted Extensions의 영역

올바르게 구성된 Trusted Extensions 시스템은 운영 체제 인스턴스인 전역 영역과 레이블이 있는 하나 이상의 비전역 영역으로 구성됩니다. 구성하는 동안 Trusted Extensions에서 각 영역에 고유한 레이블을 연결하여 레이블이 있는 영역을 만듭니다. 레이블은 label_encodings 파일에서 가져옵니다. 관리자는 각 레이블에 대해 하나의 영역을 만들 수 있지만, 반드시 그래야 하는 것은 아닙니다. 시스템에 레이블이 있는 영역보다 레이블이 더 많을 수 있지만, 레이블보다 레이블이 있는 영역이 더 많을 수는 없습니다.

Trusted Extensions 시스템에서 영역의 파일 시스템은 대개 루프백 파일 시스템(lofs)으로 마운트됩니다. 레이블이 있는 영역에서 모든 쓰기 가능한 파일과 디렉토리는 영역의 레이블에 있습니다. 기본적으로 사용자는 현재 레이블보다 하위 레이블에 있는 영역의 파일을 볼 수 있습니다. 이 구성을 통해 현재 작업 공간의 레이블보다 하위 레이블에 있는 홈 디렉토리를 볼 수 있습니다. 사용자는 하위 레이블에서 파일을 볼 수 있지만 수정할 수는 없습니다. 사용자는 파일과 동일한 레이블을 가진 프로세스에서만 파일을 수정할 수 있습니다.

Trusted Extensions에서 전역 영역은 관리 영역입니다. 레이블이 있는 영역은 일반 사용자용입니다. 사용자는 레이블이 승인 범위 내에 있는 영역에서 작업할 수 있습니다.

모든 영역에는 연결된 IP 주소와 보안 속성이 있습니다. MLP(다중 레벨 포트)로 영역을 구성할 수 있습니다. ping과 같은 ICMP(Internet Control Message Protocol) 브로드캐스트에 대한 정책으로 영역을 구성할 수도 있습니다.

레이블이 있는 영역에서 디렉토리를 공유하는 방법과 레이블이 있는 영역에서 원격으로 디렉토리를 마운트하는 방법은 11 장Trusted Extensions에서 파일 관리 및 마운트(작업)를 참조하십시오.

Trusted Extensions의 영역은 Oracle Solaris 영역 제품을 기반으로 빌드됩니다. 자세한 내용은 System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones의 제II부, Zones를 참조하십시오. 특히 패치 및 패키지 설치 문제는 Trusted Extensions에 영향을 줍니다. 자세한 내용은 System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones의 25 장, About Packages and Patches on a Solaris System With Zones Installed (Overview) 및 System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones의 30 장, Troubleshooting Miscellaneous Solaris Zones Problems를 참조하십시오.

Trusted Extensions의 영역 및 IP 주소

초기 설치 팀이 전역 영역과 레이블이 있는 영역에 IP 주소를 할당했습니다. 세 가지 구성 유형이 Oracle Solaris Trusted Extensions 구성 설명서의 레이블이 있는 영역 만들기에 설명되어 있습니다.

• 시스템에 전역 영역과 레이블이 있는 모든 영역에 대한 IP 주소가 하나 있습니다.

  이 구성은 DHCP 소프트웨어를 사용하여 해당 IP 주소를 얻는 시스템에 유용합니다. 사용자가 로그인할 수 없는 경우 LDAP 서버에서 이 구성을 사용할 수 있습니다.

• 시스템에 전역 영역에 대한 IP 주소와 전역 영역을 포함한 모든 영역에서 공유되는 IP 주소가 하나씩 있습니다. 모든 영역에서 고유 주소와 공유 주소를 조합하여 사용할 수 있습니다.

  이 구성은 일반 사용자가 로그인하는 시스템에 유용합니다. 프린터나 NFS 서버에도 이 구성을 사용할 수 있습니다. 이 구성은 IP 주소를 절약합니다.

• 시스템에 전역 영역에 대한 IP 주소가 하나 있고 레이블이 있는 영역마다 고유 IP 주소가 있습니다.

  이 구성은 단일 레벨 시스템의 개별 물리적 네트워크에 액세스하는 데 유용합니다. 일반적으로 각 영역에는 다른 레이블이 있는 영역과 구별되는 물리적 네트워크상의 IP 주소가 있습니다. 이 구성은 단일 IP 인스턴스로 구현되기 때문에 전역 영역은 물리적 인터페이스를 제어하고 전역 리소스(예: 경로 테이블)를 관리합니다.

비전역 영역에 대한 독점 IP 인스턴스를 도입하여 Oracle Solaris OS에서 네 번째 유형의 구성을 사용할 수 있습니다. Solaris 10 8/07 릴리스부터 비전역 영역은 자체 IP 인스턴스를 할당받고 자체 물리적 인터페이스를 관리할 수 있습니다. 이 구성에서 각 영역은 고유 시스템처럼 작동합니다. 자세한 내용은 System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones의 Zone Network Interfaces를 참조하십시오.

그러나 이 구성에서 각 레이블이 있는 영역은 고유한 단일 레이블이 있는 시스템처럼 작동합니다. Trusted Extensions의 다중 레벨 네트워킹 기능은 공유 IP 스택의 기능을 사용합니다. Trusted Extensions의 관리 절차에서는 전역 영역에서 네트워킹을 완전히 제어하는 것으로 가정합니다. 따라서 초기 설치 팀에서 독점 IP 인스턴스로 레이블이 있는 영역을 설치한 경우 사이트별 설명서를 제공하거나 알려줘야 합니다.

영역 및 다중 레벨 포트

기본적으로 영역 간에는 패킷을 보내고 받을 수 없습니다. 포트의 특정 서비스에서 MLP(다중 레벨 포트)를 사용하여 레이블 범위나 레이블 집합에서 요청을 받을 수 있습니다. 이 권한 있는 서비스에서는 요청 레이블에 응답할 수 있습니다. 예를 들어, 모든 레이블을 수신할 수 있지만 레이블에 의해 응답이 제한되는 권한 있는 웹 브라우저 포트를 만들 수 있습니다. 기본적으로 레이블이 있는 영역에는 MLP가 없습니다.

MLP가 받을 수 있는 패킷을 제한하는 레이블 범위나 레이블 집합은 영역의 IP 주소를 기반으로 합니다. IP 주소에 tnrhdb 데이터베이스의 원격 호스트 템플리트가 할당됩니다. 원격 호스트 템플리트의 레이블 범위나 레이블 집합은 MLP가 받을 수 있는 패킷을 제한합니다.

• 다른 IP 주소 구성에 대한 MLP 제약 조건은 다음과 같습니다.

• 전역 영역에 IP 주소가 하나 있고 레이블이 있는 영역마다 고유한 IP 주소가 있는 시스템의 경우 특정 서비스에 대한 MLP를 모든 영역에 추가할 수 있습니다. 예를 들어, TCP 포트 22를 통한 ssh 서비스를 전역 영역과 레이블이 있는 모든 영역의 MLP로 사용하도록 시스템을 구성할 수 있습니다.

• 일반적인 구성에서는 전역 영역에 하나의 IP 주소가 할당되고 레이블이 있는 영역에서 두 번째 IP 주소를 전역 영역과 공유합니다. MLP를 공유 인터페이스에 추가하면 MLP가 정의된 레이블이 있는 영역으로 서비스 패킷이 라우팅됩니다. 레이블이 있는 영역에 대한 원격 호스트 템플리트에 패킷 레이블이 포함되어 있는 경우에만 패킷이 수락됩니다. 범위가 ADMIN_LOW ~ ADMIN_HIGH이면 모든 패킷이 수락됩니다. 보다 좁은 범위를 사용하면 범위에 포함되지 않는 패킷은 무시됩니다.

  일반적으로 한 영역에서 특정 포트를 공유 인터페이스에 대한 MLP로 정의할 수 있습니다. ssh 포트가 비전역 영역의 공유 MLP로 구성된 앞의 시나리오에서 다른 영역은 공유 주소에 대한 ssh 연결을 수신할 수 없습니다. 그러나 전역 영역에서는 ssh 포트를 영역별 주소에 대한 연결을 수신할 수 있는 개인 MLP로 정의할 수 있습니다.

• 전역 영역과 레이블이 있는 영역이 IP 주소를 공유하는 시스템에서는 ssh 서비스에 대한 MLP를 한 영역에 추가할 수 있습니다. ssh에 대한 MLP를 전역 영역에 추가하면 레이블이 있는 영역에서는 ssh 서비스에 대한 MLP를 추가할 수 없습니다. 마찬가지로 ssh 서비스에 대한 MLP를 레이블이 있는 영역에 추가하면 ssh MLP로 전역 영역을 구성할 수 없습니다.

MLP를 레이블이 있는 영역에 추가하는 예는 예 13-16을 참조하십시오.

Trusted Extensions의 영역 및 ICMP

네트워크에서 브로드캐스트 메시지를 전송하고 ICMP 패킷을 네트워크상의 시스템에 보냅니다. 다중 레벨 시스템의 경우 모든 레이블의 시스템이 이러한 전송으로 가득 찰 수 있습니다. 기본적으로 레이블이 있는 영역에 대한 네트워크 정책에 따라 일치하는 레이블에서만 ICMP 패킷을 수신해야 합니다.