可信网络回退机制

tnrhdb 数据库可以直接或间接地为特定主机指定安全模板。直接指定会将模板指定给主机的 IP 地址。间接指定由回退机制处理。可信网络软件首先查找专门将主机 IP 指定给模板的条目。如果软件未找到该主机的特定条目，则将查找“最长匹配位前缀”。当主机的 IP 地址介于具有固定前缀长度的 IP 地址的“最长匹配位前缀”内时，可以间接地将该主机指定给安全模板。

在 IPv4 中，可以由子网进行间接指定。使用 4、3、2 或 1 结尾零 (0) 八位字节进行间接指定时，软件将分别计算 0、8、16 或 24 的前缀长度。表 12-1 中的条目 3 - 6 说明了该回退机制。

还可通过添加斜线 (/) 后跟固定位的数量来设置固定的前缀长度。IPv4 网络地址的前缀长度可以介于 1 – 32 之间。 IPv6 网络地址的前缀长度可以介于 1 – 128 之间。

下表提供了回退地址和主机地址示例。如果回退地址集内的某个地址是直接指定的，回退机制不会用于此地址。

表 12-1 tnrhdb 主机地址和回退机制条目

192.168.118.57:cipso

192.168.118.57/32:cipso

192.168.118.57

192.168.118.128/26:cipso

192.168.118.0:cipso

192.168.118.0/24:cipso

192.168.0.0/24:cipso

192.168.0.0:cipso

192.168.0.0/16:cipso

192.0.0.0:cipso

192.0.0.0/8:cipso

192.168.0.0/32:cipso

192.168.118.0/32:cipso

192.0.0.0/32:cipso

0.0.0.0/32:cipso

0.0.0.0:cipso

2001\:DB8\:22\:5000\:\:21f7:cipso

2001:DB8:22:5000::21f7

2001\:DB8\:22\:5000\:\:0/52:cipso

0\:\:0/0:cipso

请注意，0.0.0.0/32 地址与特定地址 0.0.0.0 相匹配。 在其中文字地址 0.0.0.0 用作源 IP 地址的系统中，tnrhdb 条目 0.0.0.0/32:admin_low 非常有用。例如，在 DHCP 服务器为 DHCP 客户端提供 IP 地址之前，DHCP 客户端可将该服务器作为 0.0.0.0 进行联系。

要在为 DHCP 客户端提供服务的 Sun Ray 服务器上创建 tnrhdb 条目，请参见示例 13-13。 因为 0.0.0.0:admin_low 是缺省的通配符条目，因此请参见如何限定可能会在可信网络上联系的主机，以了解在删除或更改该缺省值时应考虑的问题。

有关 IPv4 和 IPv6 地址中前缀长度的更多信息，请参见《System Administration Guide: IP Services》中的"Designing Your CIDR IPv4 Addressing Scheme"和《System Administration Guide: IP Services》中的"IPv6 Addressing Overview"。