Configuración de rutas y puertos de varios niveles (tareas)

Las rutas estáticas permiten que los paquetes con etiquetas alcancen su destino mediante puertas de enlace con etiquetas y sin etiquetas. Los puertos de varios niveles permiten que una aplicación utilice un único punto de entrada para acceder a todas las zonas.

Cómo agregar rutas predeterminadas

Antes de empezar

Debe estar con el rol de administrador de la seguridad en la zona global.

Ha agregado cada red, puerta de enlace y host de destino a una plantilla de seguridad. Para obtener detalles, consulte Cómo agregar un host a una plantilla de seguridad y Cómo agregar un rango de hosts a una plantilla de seguridad.

1. Utilice la interfaz gráfica de usuario txzonemgr para crear rutas predeterminadas.

   # txzonemgr &

2. Haga doble clic en la zona cuya ruta predeterminada desea definir y, a continuación, haga doble clic en la entrada de dirección IP.

   Si la zona tiene más de una dirección IP, seleccione la entrada con la interfaz deseada.

3. Cuando se solicite, escriba la dirección IP del enrutador y haga clic en OK.

   ---

   Nota - Para eliminar o modificar el enrutador predeterminado, elimine la entrada, cree la entrada de IP de nuevo y agregue el enrutador. Si la zona sólo tiene una dirección IP, debe eliminar la instancia de IP para eliminar la entrada.

   ---

Ejemplo 16-17 Uso del comando route para definir la ruta predeterminada de la zona global

En este ejemplo, el administrador utiliza el comando route para crear una ruta predeterminada para la zona global.

# route add default 192.168.113.1 -static

Cómo crear un puerto de varios niveles para una zona

Puede agregar MLP privados y compartidos a las zonas con etiquetas y la zona global.

Este procedimiento se utiliza cuando una aplicación que se ejecuta en una zona con etiquetas necesita un puerto de varios niveles (MLP) para comunicarse con la zona. En este procedimiento, un proxy web se comunica con la zona.

Antes de empezar

Debe estar con el rol de usuario root en la zona global. El sistema debe tener al menos dos direcciones IP y la zona con etiquetas debe estar detenida.

1. Agregue el host proxy y los servicios web host al archivo /etc/hosts.

   ## /etc/hosts file
   ...
   proxy-host-name IP-address
   web-service-host-name IP-address

2. Configure la zona.

   Por ejemplo, configure la zona public para que reconozca los paquetes explícitamente etiquetados como PUBLIC. Para esta configuración, la plantilla de seguridad se denomina webprox.

   # tncfg -t webprox 
   tncfg:public> set name=webprox
   tncfg:public> set host_type=cipso
   tncfg:public> set min_label=public
   tncfg:public> set max_label=public
   tncfg:public> add host=mywebproxy.oracle.comhost name associated with public zone
   tncfg:public> add host=10.1.2.3/16IP address of public zone
   tncfg:public> exit

3. Configure el puerto de varios niveles.

   Por ejemplo, el servicio proxy web podría establecer una comunicación con la zona PUBLIC a través de la interfaz 8080/tcp.

   # tncfg -z public add mlp_shared=8080/tcp
   # tncfg -z public add mlp_private=8080/tcp

4. Para agregar el puerto de varios niveles al núcleo, inicie la zona.

   # zoneadm -z zone-name boot

5. En la zona global, agregue rutas para las nuevas direcciones.

   Para agregar rutas, consulte Cómo agregar rutas predeterminadas.

Ejemplo 16-18 Configuración de un puerto de varios niveles con la interfaz gráfica de usuario txzonemgr

Para configurar el servicio proxy web, el administrador abre Labeled Zone Manager.

# txzonemgr &

El administrador hace doble clic en la zona PUBLIC y, a continuación, hace doble clic en Configure Multilevel Ports. Luego, el administrador selecciona y hace doble clic en la línea Private interfaces. La selección cambia a un campo de entrada similar al siguiente:

Private interfaces:111/tcp;111/udp

El administrador comienza la entrada del proxy web con un punto y coma como separador.

Private interfaces:111/tcp;111/udp;8080/tcp

Después de completar la entrada privada, el administrador escribe el proxy web en el campo Shared interfaces.

Shared interfaces:111/tcp;111/udp;8080/tcp

Un mensaje emergente indica que los puertos de varios niveles de la zona public estarán activos la próxima vez que se inicie la zona.

Ejemplo 16-19 Configuración de un puerto de varios niveles privado para NFSv3 mediante udp

En este ejemplo, el administrador habilita los montajes de lectura en sentido descendente de NFSv3 mediante udp. El administrador tiene la posibilidad de utilizar el comando tncfg.

# tncfg -z global add mlp_private=2049/udp

La interfaz gráfica de usuario txzonemgr proporciona otra manera de definir el puerto de varios niveles.

En Labeled Zone Manager, el administrador hace doble clic en la zona global y, a continuación, hace doble clic en Configure Multilevel Ports. En el menú MLP, el administrador selecciona y hace doble clic en la línea Private interfaces y agrega el puerto/protocolo.

Private interfaces:111/tcp;111/udp;8080/tcp

Un mensaje emergente indica que los puertos de varios niveles de la zona global estarán activos la próxima vez que se inicie la zona.

Ejemplo 16-20 Visualización de puertos de varios niveles en un sistema

En este ejemplo, se configura un sistema con varias zonas con etiquetas. Todas las zonas comparten la misma dirección IP. Algunas zonas también se configuran con direcciones específicas de las zonas. En esta configuración, el puerto TCP para navegar por la web (puerto 8080), es un puerto de varios niveles en una interfaz compartida en la zona public. El administrador también configuró telnet (puerto TCP 23) para que sea un puerto de varios niveles en la zona public. Dado que estos dos puertos de varios niveles están en una interfaz compartida, ninguna otra zona, ni siquiera la zona global, puede recibir paquetes de la interfaz compartida en los puertos 8080 y 23.

Además, el puerto TCP para ssh (puerto 22) es un puerto de varios niveles por zona en la zona public. El servicio de la zona public ssh puede recibir cualquier paquete en su dirección específica de la zona dentro del rango de etiquetas de la etiqueta.

El siguiente comando muestra los puertos de varios niveles para la zona public:

$ tninfo -m public
private: 22/tcp
shared:  23/tcp;8080/tcp

El siguiente comando muestra los puertos de varios niveles para la zona global. Tenga en cuenta que los puertos 23 y 8080 no pueden ser puertos de varios niveles en la zona global porque dicha zona comparte la misma dirección con la zona public:

$ tninfo -m global
private: 111/tcp;111/udp;514/tcp;515/tcp;631/tcp;2049/tcp;
         6000-6003/tcp;38672/tcp;60770/tcp;
shared:  6000-6003/tcp