Administración de propiedades de protocolo

Además de utilizarse para configurar interfaces, el comando ipadm se puede utilizar para configurar propiedades de protocolo, también conocidas como valores ajustables. El comando ipadm reemplaza el comando ndd, que en las versiones anteriores generalmente se utilizaba para definir los valores ajustables. En esta sección se ofrecen procedimientos y ejemplos para personalizar las propiedades de protocolo TCP/IP seleccionadas.

Configuración de propiedades TCP/IP

Las propiedades TCP/IP pueden ser basadas en interfaz o globales. Las propiedades se pueden aplicar a una interfaz específica o globalmente a todas las interfaces en la zona. Las propiedades globales pueden tener diferentes configuraciones en diferentes zonas no globales. Para obtener una lista con las propiedades de protocolo admitidas, consulte la página del comando man ipadm(1M).

Normalmente, la configuración predeterminada del protocolo de Internet TCP/IP es suficiente para que la red funcione. Sin embargo, si la configuración predeterminada resulta insuficiente para la topología de red, los procedimientos de la tabla siguiente ilustran cómo se pueden personalizar estas propiedades TCP/IP.

La tabla describe las tareas para configurar ciertas propiedades del protocolo y proporciona enlaces con los respectivos procedimientos.

Tabla 9-2 Configuración de las propiedades TCP/IP seleccionadas

Cómo limitar el acceso de un puerto a un usuario root únicamente

En los protocolos de transporte como TCP, UDP y SCTP, los puertos 1–1023 son puertos con privilegios predeterminados con los que sólo se pueden vincular los procesos que se ejecutan con permisos de usuario root. Mediante el uso del comando ipadm, puede reservar un puerto fuera de este rango predeterminado de modo que se convierta en un puerto con privilegios. Por lo tanto, sólo los procesos root pueden vincularse con ese puerto. Para realizar este procedimiento, utilice las siguientes propiedades de protocolo de transporte:

• smallest_nonpriv_port

• extra_priv_ports

1. Determine si el puerto designado se encuentra en el rango de puertos comunes y, por tanto, puede utilizarse.

   # ipadm show-prop -p smallest_nonpriv_port protocol

   donde protocolo es el tipo de protocolo para el que desea configurar un puerto con privilegios, como IP, UDP, ICMP y otros.

   En la salida del comando, el campo POSSIBLE muestra el rango de números de puertos con los que los usuarios comunes pueden vincularse. Si el puerto designado está dentro de este rango, entonces puede configurarse como un puerto con privilegios.

2. Compruebe que el puerto que desee reservar esté disponible y no se haya marcado como un puerto con privilegios.

   # ipadm show-prop -p extra_priv_ports protocol

   En la salida del comando, el campo CURRENT indica qué puertos están marcados como con privilegios. Si el puerto designado no está incluido en este campo, entonces puede configurarse como un puerto con privilegios.

3. Agregue el puerto designado como un puerto con privilegios.

   # ipadm set-prop -p extra_priv_ports=port-number protocol

4. Por cada puerto adicional que desea agregar o eliminar como puerto con privilegios, repita uno de los siguientes:

   • Para agregar un puerto como puerto con privilegios, escriba la siguiente sintaxis.

     # ipadm set-prop -p extra_priv_ports+=portnumber protocol

     ---

     Nota - Con el calificador representado por el signo más (+), puede asignar varios puertos como puertos con privilegios. El calificador representado por el signo más le permite crear una lista de estos puertos. Utilice esta sintaxis con el calificador para agregar puertos a la lista de manera individual. Si no desea utilizar el calificador, el puerto que asigna reemplaza todos los otros puertos que estaban listados anteriormente con privilegios.

     ---

   • Para eliminar un puerto de la lista de puertos con privilegios, escriba la siguiente sintaxis.

     # ipadm set-prop -p extra_priv_ports-=portnumber protocol

     ---

     Nota - Con el calificador representado por el signo menos (-), puede eliminar el puerto de los puertos existentes que se listan como puertos con privilegios. Utilice la misma sintaxis para eliminar todos los puertos con privilegios adicionales, incluidos los puertos predeterminados.

     ---

5. Verifique el nuevo estado del puerto designado.

   # ipadm show-prop -p extra_priv_ports protocol

   En la salida del comando, asegúrese de que los puertos designados estén incluidos en el campo CURRENT.

Ejemplo 9-6 Configuración de un puerto con privilegios

En este ejemplo, se configuran los puertos 3001 y 3050 como puertos con privilegios. También se elimina el puerto 4045, que se encuentra listado como puerto con privilegios.

En la salida para la propiedad smallest_nonpriv_port, el campo POSSIBLE indica que el puerto 1024 es el puerto sin privilegios más bajo y que los puertos 3001 y 3050 designados se encuentran dentro del rango de los puertos sin privilegios que se pueden utilizar. En la salida para la propiedad extra_priv_ports, los puertos 2049 y 4045 del campo CURRENT están marcados como puertos con privilegios. Por lo tanto, puede configurar el puerto 3001 como puerto con privilegios.

# ipadm show-prop -p smallest_nonpriv_port tcp
PROTO PROPERTY                PERM   CURRENT   PERSISTENT   DEFAULT   POSSIBLE
tcp   smallest_nonpriv_port   rw     1024      --           1024      1024-32768

# ipadm show-prop -p extra_priv_ports tcp
PROTO   PROPERTY           PERM   CURRENT     PERSISTENT   DEFAULT     POSSIBLE
tcp     extra_priv_ports   rw     2049,4045   --           2049,4045   1-65535

# ipadm set-prop -p extra_priv_ports+=3001 tcp        
# ipadm set-prop -p extra_priv_ports+=3050 tcp
# ipadm show-prop -p extra_priv_ports tcp
PROTO   PROPERTY           PERM   CURRENT     PERSISTENT   DEFAULT     POSSIBLE
tcp     extra_priv_ports   rw     2049,4045   3001,3050    2049,4045   1-65535
                                  3001,3050

# ipadm set-prop -p extra_priv_ports-=4045 tcp
# ipadm show-prop -p extra_priv_ports tcp
PROTO   PROPERTY           PERM   CURRENT     PERSISTENT   DEFAULT     POSSIBLE
tcp     extra_priv_ports   rw     2049,3001   3001,3050    2049,4045   1-65535
                                  3050

Implementación del enrutamiento simétrico en hosts múltiples

De manera predeterminada, un sistema con varias interfaces (denominado host múltiple) enruta su tráfico de red en función de la ruta coincidente de mayor distancia hasta el destino del tráfico en la tabla de enrutamiento. Cuando existen varias rutas de igual distancia hasta el destino, Oracle Solaris aplica los algoritmos ECMP (Equal Cost Multipathing) para repartir el tráfico por las rutas.

En algunos casos, no resulta ideal repartir el tráfico de este modo. Un paquete IP podría recibir por medio de una interfaz del host múltiple que no está en la misma subred que la dirección IP de origen en el paquete. Además, si el paquete saliente es una respuesta a una solicitud entrante determinada, como una solicitud de eco ICMP, la solicitud y la respuesta podrían no atravesar la misma interfaz. Esta clase de configuración de enrutamiento de tráfico se llama enrutamiento asimétrico. Si su proveedor de servicios de Internet está efectuando un filtrado de entrada como se describe en RFC 3704 (http://rfc-editor.org/rfc/bcp/bcp84.txt), la configuración de enrutamiento asimétrico puede hacer que el proveedor pierda un paquete saliente.

RFC 3704 tiene el propósito de limitar ataques de denegación de servicio por Internet. Para cumplir con este propósito, su red debe configurarse para el enrutamiento simétrico. En Oracle Solaris, la propiedad IP hostmodel le permite cumplir este requisito. Esta propiedad controla el comportamiento de los paquetes IP que se reciben o se transmiten por medio de un host múltiple.

El siguiente procedimiento muestra cómo usar el comando ipadm para definir la propiedad hostmodel para una configuración de enrutamiento específica:

1. En el host múltiple, asuma el rol de administrador.
2. Configure el enrutamiento de los paquetes de red en el sistema.

   # ipadm set-prop -p hostmodel=value protocol

   La propiedad se puede configurar en uno de los siguientes tres valores:

   strong (fuerte)

   Corresponde al modelo de sistema final (ES, End System) fuerte, como se define en RFC 1122. Este valor implementa el enrutamiento simétrico.

   weak (débil)

   Corresponde al modelo de ES débil, como se define en RFC 1122. Con este valor, un host múltiple utiliza el enrutamiento asimétrico.

   src-priority

   Configura el enrutamiento de paquetes usando rutas preferidas. Si existen varias rutas de destino en la tabla de enrutamiento, las rutas preferidas son las que usan interfaces en las que está configurada la dirección IP de origen de un paquete saliente. Si no hay ninguna ruta de esa clase, el paquete saliente utiliza la ruta coincidente de mayor distancia hasta el destino IP del paquete.

3. (Opcional) Verifique la configuración de la propiedad hostmodel.

   # ipadm show-prop protocol

Ejemplo 9-7 Configuración del enrutamiento simétrico en un host múltiple

En este ejemplo, se implementa el enrutamiento simétrico de todo el tráfico IP de un host múltiple.

# ipadm set-prop -p hostmodel=strong ip
# ipadm show-prop -p hostmodel ip
PROTO  PROPERTY   PERM  CURRENT  PERSISTENT  DEFAULT   POSSIBLE
ipv6   hostmodel  rw    strong   --          weak      strong,
                                                       src-priority,
                                                       weak
ipv4   hostmodel  rw    strong   --          weak      strong,
                                                       src-priority,
                                                       weak