Mise en réseau dans des zones non globales en mode IP partagé

Sur un système Oracle Solaris doté de zones, les zones peuvent communiquer entre elles sur le réseau. Toutes possèdent des connexions ou des liaisons distinctes et peuvent exécuter leurs propres démons de serveur. Ces derniers peuvent écouter sur les mêmes ports sans que cela n'engendre de conflit. La pile IP résout les conflits en prenant en compte les adresses IP pour les connexions entrantes. Les adresses IP identifient la zone.

Pour utiliser le type IP partagé, la configuration réseau dans la zone globale doit être effectuée via ipadm , et non via une configuration automatique du réseau. La commande suivante doit renvoyer DefaultFixed si ipadm est en cours d'utilisation.

# svcprop -p netcfg/active_ncp svc:/network/physical:default
DefaultFixed

Partition de zone en mode IP partagé

Le mode IP partagé n'est pas le mode par défaut, mais il est pris en charge.

La pile IP dans un système prenant en charge les zones organise la séparation, entre les zones, du trafic sur le réseau. Les applications réceptrices de trafic IP reçoivent uniquement le trafic envoyé à la même zone.

Chaque interface logique du système appartient à une zone donnée (par défaut, la zone globale). Les interfaces réseau logiques assignées à des zones par le biais de l'utilitaire zonecfg permettent la communication sur le réseau. Tous les flux et connexions appartiennent à la zone du processus à l'origine de leur ouverture.

Des restrictions s'appliquent aux liaisons entre les flux de couche supérieure et les interfaces logiques. Un flux peut uniquement établir des liaisons aux interfaces logiques figurant dans sa zone. De même, les paquets d'une interface logique peuvent être transmis uniquement aux flux de couche supérieure de la zone dans laquelle figure l'interface logique.

Chaque zone possède son propre ensemble de liaisons. Chaque zone peut exécuter la même application à l'écoute sur le même port sans que les liaisons n'échouent parce que l'adresse est déjà utilisée. Chaque zone peut exécuter sa propre version des différents services réseau, tels que les éléments suivants :

• Démons de services Internet avec un fichier de configuration complet (voir la page de manuel inetd(1M))

• sendmail (reportez-vous à la page de manuel sendmail(1M))

• apache

Les zones non globales disposent d'un accès limité au réseau. Les interfaces socket TCP et UDP standard sont disponibles, mais les interfaces socket SOCK_RAW sont limitées au protocole ICMP (Internet Control Message Protocol). Le protocole ICMP est requis pour la détection et le signalement des conditions d'erreur réseau ou l'utilisation de la commande ping.

Interfaces réseau en mode IP partagé

Chaque zone non globale devant se connecter au réseau dispose d'une ou plusieurs adresses IP dédiées. Ces adresses sont associées à des interfaces réseau logiques que vous pouvez placer dans une zone. Les interfaces réseau de zone configurées à l'aide de la commande zonecfg sont automatiquement paramétrées et placées dans la zone lors de l'initialisation de cette dernière. La commande ipadm permet d'ajouter ou de supprimer des interfaces logiques lorsque la zone est en cours d'exécution. Seul l'administrateur global ou un utilisateur disposant des autorisations appropriées est autorisé à modifier la configuration de l'interface et les routes du réseau.

Au sein d'une zone non globale, seules les interfaces de la zone sont visibles pour la commande ipadm.

Pour plus d'informations, reportez-vous aux pages de manuel ipadm(1M) et if_tcp(7P).

Trafic IP entre zones en mode IP partagé sur une même machine

Une zone en mode IP partagé peut atteindre n'importe quelle destination IP s'il existe une route utilisable pour cette destination dans sa table de transfert. Pour afficher la table de transfert, utilisez la commande netstat avec l'option -r au sein de la zone. Les règles de transfert IP sont les mêmes pour les destinations IP dans d'autres zones ou sur d'autres systèmes.

Oracle Solaris IP Filter dans les zones en mode IP partagé

Oracle Solaris IP Filter permet le filtrage de paquets avec état et la traduction d'adresse réseau (NAT, Network Address Translation). Un filtre de paquets avec état permet de contrôler l'état des connexions actives. A l'aide des informations obtenues, il identifie alors les paquets autorisés à franchir le pare-feu. Oracle Solaris IP Filter permet également le filtrage de paquets sans état ainsi que la création et la gestion des pools d'adresses. Reportez-vous au Chapitre 20, IP Filter dans Oracle Solaris (présentation) du manuel Administration d’Oracle Solaris : Services IP pour plus d'informations.

Pour activer Oracle Solaris IP Filter dans les zones non globales, activez le filtrage en loopback, comme décrit dans le Chapitre 21, IP Filter (tâches) du manuel Administration d’Oracle Solaris : Services IP.

Oracle Solaris IP Filter est dérivé du logiciel Open Source IP Filter.

Multipathing sur réseau IP dans les zones en mode IP partagé

Le multipathing sur réseau IP (IPMP, IP Network Multipathing) permet de détecter les défaillances des interfaces physiques et de basculer en transparence l'accès au réseau pour un système présentant plusieurs interfaces sur une même liaison IP. IPMP permet également de répartir la charge des paquets pour les systèmes dotés de plusieurs interfaces.

L'intégralité de la configuration du réseau s'effectue dans la zone globale. Vous pouvez configurer IPMP dans la zone globale, puis étendre cette fonctionnalité aux zones non globales. Pour cela, lorsque vous configurez la zone, vous devez placer son adresse dans un groupe IPMP. En cas d'échec de l'une des interfaces de la zone globale, les adresses de zone non globale migrent vers une autre carte d'interface réseau.

Au sein d'une zone non globale, seules les interfaces qui lui sont associées sont visibles par le biais de la commande ipadm.

Voir la section Extension de la fonction de multipathing sur réseau IP aux zones non globales en mode IP partagé. La procédure de configuration des zones est traitée dans la section Configuration d'une zone. Pour plus d'informations sur les fonctions, les composants et l'utilisation d'IPMP, reportez-vous au Chapitre 14, Présentation d’IPMP du manuel Administration d’Oracle Solaris : interfaces réseau et virtualisation réseau.