Administración del almacenamiento en antememoria de las páginas web (tareas)

Las siguientes secciones incluyen los procedimientos para habilitar o deshabilitar las partes del servicio.

Cómo habilitar el almacenamiento en antememoria de páginas web

Conviértase en administrador.
Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad.
Registre las interfaces.
Escriba los nombres de cada una de las interfaces físicas en el archivo /etc/nca/nca.if. Consulte la página del comando man nca.if(4) para obtener más información.
```
# cat /etc/nca/nca.if
hme0
hme1
```
Cada interfaz debe estar junto con un archivo hostname.nombre_interfaz y una entrada en el archivo /etc/hosts para los contenidos de hostname.nombre_interfaz. Para iniciar la función NCA en todas las interfaces, coloque un asterisco, *, en el archivo nca.si.
Habilite el módulo de núcleo ncakmod.
Cambie la entrada status en /etc/nca/ncakmod.conf a enabled.
```
# cat /etc/nca/ncakmod.conf
#
# NCA Kernel Module Configuration File
#
status=enabled
httpd_door_path=/system/volatile/nca_httpd_1.door
nca_active=disabled
```
Consulte la página del comando man ncakmod.conf(4) para obtener más información.
(Opcional) Habilite el registro del NCA.
Cambie la entrada status en /etc/nca/ncalogd.conf a enabled.
```
# cat /etc/nca/ncalogd.conf
#
# NCA Logging Configuration File
#
status=enabled
logd_path_name="/var/nca/log"
logd_file_size=1000000
```
Puede cambiar la ubicación del archivo de registro si cambia la ruta indicada por la entrada logd_path_name. El archivo de registro puede ser un dispositivo sin formato o un archivo. Consulte los siguientes ejemplos para ver muetras de rutas de archivos de registro del NCA. Consulte la página del comando man ncalogd.conf(4) para obtener más información sobre el archivo de configuración.
(Opcional) Defina puertos para soporte de varias instancias.
Agregue los números de puerto en el archivo /etc/nca/ncaport.conf. Esta entrada hace que el NCA supervise el puerto 80 en todas las direcciones IP configuradas.
```
# cat /etc/nca/ncaport.conf
#
# NCA Kernel Module Port Configuration File
#
  .
  .
ncaport=*/80
```
Sólo para x86: aumente el tamaño de memoria virtual.
Utilice el comando eeprom para definir la kernelbase del sistema.
```
# eeprom kernelbase=0x90000000
# eeprom kernelbase
kernelbase=0x90000000
```
El segundo comando verifica que el parámetro se haya configurado.

Nota - Al configurar kernelbase, reduce la cantidad de memoria virtual que pueden usar los procesos de usuario a menos de 3 Gbytes. Esta restricción significa que el sistema no es compatibles con ABI. Cuando el sistema se inicia, la consola muestra un mensaje que advierte acerca del incumplimiento. La mayoría de los programas no necesitan todo el espacio de dirección virtual de 3 GB. Si tiene un programa que requiere más de 3 Gbytes, debe ejecutar el programa en un sistema que no tenga el NCA habilitado.
Reinicie el servidor.

Ejemplo 2-1 Uso de un dispositivo sin formato como archivo de registro del NCA

La cadena logd_path_name en ncalogd.conf puede definir un dispositivo sin formato como el lugar para almacenar el archivo de registro NCA. La ventaja de utilizar un dispositivo sin formato es que el servicio puede ejecutarse más rápido debido a que se disminuye la sobrecarga al acceder a un dispositivo sin formato.

El servicio del NCA prueba los dispositivos sin formato que aparecen en el archivo para garantizar que no haya ningún sistema de archivos en el lugar. Esta prueba garantiza que no se sobreescriban accidentalmente sistemas de archivos.

Para evitar que esta prueba encuentre un sistema de archivos, ejecute el siguiente comando. Este comando destruye parte del sistema de archivos en cualquier partición de disco que se haya configurado como sistema de archivos. En este ejemplo, /dev/rdsk/c0t0d0s7 es el dispositivo sin formato que tiene un sistema de archivos antiguo.

# dd if=/dev/zero of=/dev/rdsk/c0t0d0s7 bs=1024 count=1

Después de ejecutar dd, puede agregar el dispositivo sin formato al archivo ncalogd.conf.

# cat /etc/nca/ncalogd.conf
#
# NCA Logging Configuration File
#
status=enabled
logd_path_name="/dev/rdsk/c0t0d0s7"
logd_file_size=1000000

Ejemplo 2-2 Uso de varios archivos de registro del NCA

La cadena logd_path_name en ncalogd.conf puede definir varios destinos como el lugar para almacenar el archivo de registro del NCA. El segundo archivo se utiliza cuando el primer archivo está lleno. El siguiente ejemplo muestra cómo seleccionar escribir en el archivo /var/nca/log primero y luego usar la partición sin formato.

# cat /etc/nca/ncalogd.conf
#
# NCA Logging Configuration File
#
status=enabled
logd_path_name="/var/nca/log /dev/rdsk/c0t0d0s7"
logd_file_size=1000000

Cómo deshabilitar el almacenamiento en la antememoria de las páginas web

Conviértase en administrador.
Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad.
Deshabilite el módulo de núcleo ncakmod.
Cambie la entrada status en /etc/nca/ncakmod.conf a disabled.
```
# cat /etc/nca/ncakmod.conf
# NCA Kernel Module Configuration File
#
status=disabled
httpd_door_path=/system/volatile/nca_httpd_1.door
nca_active=disabled
```
Consulte la página del comando man ncakmod.conf(4) para obtener más información.
Deshabilite el registro del NCA.
Cambie la entrada status en /etc/nca/ncalogd.conf a disabled.
```
# cat /etc/nca/ncalogd.conf
#
# NCA Logging Configuration File
#
status=disabled
logd_path_name="/var/nca/log"
logd_file_size=1000000
```
Consulte la página del comando manncalogd.conf(4) para obtener más información.
Reinicie el servidor.

Cómo habilitar y deshabilitar el registro del NCA

El registro del NCA puede habilitarse o deshabilitarse según sea necesario, una vez que se haya habilitado el NCA. Consulte Cómo habilitar el almacenamiento en antememoria de páginas web para obtener más información.

Conviértase en administrador.
Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad.
Cambie el registro del NCA.
Para deshabilitar permanentemente el registro, debe cambiar el estado en /etc/nca/ncalogd.conf a disabled y reiniciar el sistema. Consulte la página del comando man ncalogd.conf(4) para obtener más información.
1. Detenga el registro.
```
# /etc/init.d/ncalogd stop
```
2. Inicie el registro.
```
# /etc/init.d/ncalogd start
```

Cómo cargar la biblioteca de utilidades del socket NCA

Siga este proceso sólo si el servidor web no proporciona soporte nativo del socket AF_NCA.

En la secuencia de comandos de inicio para el servidor web, agregue una línea que haga que la biblioteca se precargue. La línea que obtendrá debe ser similar a la siguiente:

LD_PRELOAD=/usr/lib/ncad_addr.so /usr/bin/httpd

Cómo agregar un nuevo puerto al servicio del NCA

Conviértase en administrador.
Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad.
Agregue un nuevo puerto.
Agregue una nueva entrada de puerto a /etc/nca/ncaport.conf. Este ejemplo agrega el puerto 8888 a la dirección IP 192.168.84.71. Consulte ncaport.conf(4) para obtener más información.
```
# cat /etc/nca/ncaport.conf
#
# NCA Kernel Module Port Configuration File
#
  .
  .
ncaport=*/80
ncaport=192.168.84.71/8888
```
Inicie una nueva instancia de web.
Una dirección debe estar en el archivo que contiene las configuraciones de puerto del NCA antes de que un servidor web pueda utilizar la dirección del NCA. Si el servidor web se ejecuta, debe reiniciarse después de que se defina la nueva dirección.

Cómo configurar un servidor web Apache 2.0 para utilizar el proxy SSL en el nivel del núcleo

Este procedimiento se debe utilizar para mejorar el rendimiento del proceso de paquetes SSL en un servidor web Apache 2.0.

Antes de empezar

El siguiente procedimiento requiere que se instale y configure un servidor web Apache 2.0. El servidor web Apache 2.0 se incluye en la versión.

Para utilizar el proxy SSL en el nivel del núcleo, la clave privada del servidor y el certificado de servidor tienen que existir en un único archivo. Si sólo los parámetros SSLCertificateFile se especifican en el archivo ssl.conf, el archivo especificado se puede utilizar directamente para el SSL del núcleo. Si el parámetro SSLCertificateKeyFile también se especifica, el archivo de certificado y el archivo de clave privada deben combinarse. Una forma de combinar el certificado y el archivo de clave es ejecutar el siguiente comando:

# cat cert.pem key.pem >cert-and-key.pem

Conviértase en administrador.
Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad. El comando ksslcfg se incluye en el perfil Network Security.
Detenga el servidor web.
Este comando detendrá el servidor web en un sistema en el que el servidor esté configurado para ejecutarse con SMF.
```
# svcadm disable svc:/network/http:apache2
```
Si el servicio no se ha convertido aún, deténgalo con esta sintaxis de comando: /usr/apache2/bin/apachectl stop
Determine qué parámetros desea utilizar con el comando ksslcfg.
Todas las opciones se muestran en la página del comando man ksslcfg(1M). Los parámetros para los que debe tener información son:
- key-format: se usa con la opción -f para definir el certificado y el formato de clave. Para el proxy SSL en el nivel del núcleo, el valor debería ser pem o pkcs12.
- key-and-certificate-file: se usa con la opción -i para establecer la ubicación del archivo que almacena la clave del servidor y el certificado.
- password-file: se utiliza con la opción -p para seleccionar la ubicación del archivo que incluye la contraseña utilizada para cifrar la clave privada. Esta contraseña se utiliza para permitir inicios sin vigilancia. Los permisos en el archivo deben ser 0400.
- proxy-port: se usa con la opción -x para configurar el puerto proxy SSL. Seleccione un puerto diferente que el puerto estándar 80. El servidor web recibe el puerto proxy SSL.
- ssl-port: selecciona el puerto del que debe recibir el proxy SSL en el nivel del núcleo. Normalmente esto se establece en 443.
Nota - Los valores ssl-port y proxy-port no se pueden configurar para el NCA, ya que estos puertos son utilizados exclusivamente por el proxy SSL en el nivel del núcleo. Normalmente, el puerto 80 se utiliza para el NCA, el puerto 8443 para proxy-port y el 443 para ssl-port.
Cree la instancia de servicio.
El comando ksslcfg para especificar el puerto proxy SSL y los parámetros asociados.
```
ksslcfg create -f key-format -i key-and-certificate-file -p password-file -x proxy-port ssl-port
```
Verifique que la instancia se haya creado correctamente.
El servicio de estado informado por el siguiente comando debe ser “en línea”.
```
# svcs svc:/network/ssl/proxy
```
Configure el servidor web para recibir el puerto proxy SSL.
Edite el archivo /etc/apache2/http.conf y agregue una línea para definir el puerto proxy SSL. Si utiliza las direcciones de los servidores IP, el servidor web sólo recibirá en dicha interfaz. La línea debe ser como esta:
```
Listen 0.0.0.0:proxy-port
```

Defina una dependencia SMF para el servidor web.

El servidor web sólo debe iniciarse después de la instancia de proxy de núcleo SSL. Los siguientes comandos establecen la dependencia.

# svccfg -s svc:/network/http:apache2
svc:/network/http:apache2> addpg kssl dependency
svc:/network/http:apache2> setprop kssl/entities = fmri:svc:/network/ssl/proxy:kssl-INADDR_ANY-443
svc:/network/http:apache2> setprop kssl/grouping = astring: require_all
svc:/network/http:apache2> setprop kssl/restart_on = astring: refresh
svc:/network/http:apache2> setprop kssl/type = astring: service
svc:/network/http:apache2> end

Habilite el servidor web.
```
# svcadm enable svc:/network/http:apache2
```
Si el servicio no se inicia mediante SMF, utilice el siguiente comando: /usr/apache2/bin/apachectl startssl

Ejemplo 2-3 Configuración de un servidor web Apache 2.0 para utilizar el proxy SSL en el nivel del núcleo

El siguiente comando crea una instancia con el formato de clave pem.

# ksslcfg create -f pem -i cert-and-key.pem -p file -x 8443 443

Cómo configurar un Sun Java System Web Server para utilizar el proxy SSL en el nivel del núcleo

Este procedimiento se debe utilizar para mejorar el rendimiento del proceso de paquete SSL en un Sun Java System Web Server. Consulte Sun Java System Web Server 7.0 Update 1 Administrator’s Guide para obtener información acerca de este servidor web.

Antes de empezar

El siguiente procedimiento requiere que se haya instalado y configurado un Sun Java System Web Server.

Conviértase en administrador.
Para obtener más información, consulte Cómo obtener derechos administrativos de Administración de Oracle Solaris: servicios de seguridad. El comando ksslcfg se incluye en el perfil Network Security.
Detenga el servidor web.
Utilice la interfaz web del administrador para detener el servidor. Consulte Inicio y detención del servidor en Sun Java System Web Server 7.0 Update 1 Administrator’s Guide para obtener más información.
Determine qué parámetros desea utilizar con el comando ksslcfg.
Todas las opciones se muestran en la página del comando man ksslcfg(1M). Los parámetros para los que debe tener información son:
- key-format: se usa con la opción -f para definir el certificado y el formato de clave.
- token-label: se usa con la opción -T para especificar el token PKCS#11.
- certificate-label: se usa con la opción -C para seleccionar la etiqueta en el objeto de certificado en el token PKCS#11.
- password-file: se usa con la opción -p para seleccionar la ubicación del archivo que incluye la contraseña usada para iniciar sesión con el usuario para el token PKCS#11 usado por el servidor web. Esta contraseña se utiliza para permitir inicios sin vigilancia. Los permisos en el archivo deben ser 0400.
- proxy-port: se usa con la opción -x para configurar el puerto proxy SSL. Seleccione un puerto diferente que el puerto estándar 80. El servidor web recibe el puerto proxy SSL.
- ssl-port: define el puerto del que debe recibir el proxy SSL en el nivel del núcleo. Normalmente este valor se establece en 443.
Nota - Los valores ssl-port y proxy-port no se pueden configurar para el NCA, ya que estos puertos son utilizados exclusivamente por el proxy SSL en el nivel del núcleo. Normalmente, el puerto 80 se utiliza para el NCA, el puerto 8443 para proxy-port y el 443 para ssl-port.

Cree la instancia de servicio.

El comando ksslcfg para especificar el puerto proxy SSL y los parámetros asociados.

ksslcfg create -f key-format -T PKCS#11-token -C certificate-label -p password-file -x proxy-port ssl-port

Verifique que la instancia se haya creado correctamente.
El servicio de estado informado por el siguiente comando debe ser “en línea”.
```
# svcs svc:/network/ssl/proxy
```
Configure el servidor web para recibir el puerto proxy SSL.
Consulte Agregar y editar sockets de escucha en Sun Java System Web Server 7.0 Update 1 Administrator’s Guide para obtener más información.
Inicie el servidor web.

Ejemplo 2-4 Configuración de un Sun Java System Web Server para utilizar el proxy SSL en el nivel del núcleo

El siguiente comando crea una instancia con el formato de clave pkcs11.

# ksslcfg create -f pkcs11 -T "Sun Software PKCS#11 softtoken" -C "Server-Cert" -p file -x 8443 443

Uso del proxy SSL en el nivel del núcleo en zonas

El proxy SSL en el nivel del núcleo funciona en zonas con las siguientes limitaciones:

Toda la administración del SSL del núcleo se debe realizar desde la zona global. El administrador de la zona global necesita acceder al certificado de la zona local y los archivos de claves. El servidor web de la zona local se puede iniciar una vez que la instancia de servicio se configure mediante el comando ksslcfg en la zona global.
Debe especificarse un nombre de host específico o dirección IP al ejecutar el comando ksslcfg para configurar la instancia. En particular, la instancia no puede usar INADDR_ANY.

Ejemplo 2-5 Configuración de un servidor web Apache en una zona local para utilizar proxy SSL en el nivel del núcleo

En la zona local, primero detenga el servidor web. En la zona global, realice todos los pasos para configurar el servicio. Para crear una instancia para una zona local denominada apache-zone, utilice el siguiente comando:

# ksslcfg create -f pem -i /zone/apache-zone/root/keypair.pem -p /zone/apache-zone/root/pass \ -x 8443 apache-zone 443

En la zona local, ejecute el siguiente comando para habilitar la instancia de servicio:

# svcadm enable svc:/network/http:apache2

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Oracle Administración Solaris: Servicios de red Oracle Solaris 11 Information Library (Español)