可信网络回退机制

主机 IP 地址可以直接或间接添加到安全模板。直接指定将添加主机的 IP 地址。间接指定将添加包括主机的 IP 地址范围。要与特定主机匹配，可信联网软件首先将查找特定的 IP 地址。如果搜索未找到该主机的特定项，则将查找“最长匹配位前缀”。当主机的 IP 地址介于具有固定前缀长度的 IP 地址的“最长匹配位前缀”内时，可以间接地将该主机指定给安全模板。

在 IPv4 中，可以由子网进行间接指定。使用 4、3、2 或 1 结尾零 (0) 八位字节进行间接指定时，软件将分别计算 0、8、16 或 24 的前缀长度。有关示例，请参见表 15-1。

还可通过添加斜线 (/) 后跟固定位的数量来设置固定的前缀长度。IPv4 网络地址的前缀长度可以介于 1 – 32 之间。 IPv6 网络地址的前缀长度可以介于 1 – 128 之间。

下表提供了回退地址和主机地址示例。如果回退地址集内的某个地址是直接指定的，回退机制不会用于此地址。

表 15-1 Trusted Extensions 主机地址和回退机制项

IP 版本	`host_type=cipso` 的主机项	覆盖的 IP 地址
IPv4	192.168.118.57 192.168.118.57/32	192.168.118.57 `/32` 用于设置 32 固定位的前缀长度。
	192.168.118.128/26	从 `192.168.118.0` 到 `192.168.118.63`
	192.168.118.0 192.168.118.0/24	`192.168.118.` 子网上的所有地址。
	192.168.0.0/24	`192.168.0.` 子网上的所有地址。
	192.168.0.0 192.168.0.0/16	`192.168.` 子网上的所有地址。
	192.0.0.0 192.0.0.0/8	`192.` 子网上的所有地址。
	192.168.118.0/32	主机地址 `192.168.118.0`。并非地址范围。
	192.168.0.0/32	主机地址 `192.168.0.0`。并非地址范围。
	192.0.0.0/32	主机地址 `192.0.0.0`。并非地址范围。
	0.0.0.0/32	主机地址 `0.0.0.0`。并非地址范围。
	0.0.0.0	所有网络上的所有地址
IPv6	2001\:DB8\:22\:5000\:\:21f7	2001:DB8:22:5000::21f7
	2001\:DB8\:22\:5000\:\:0/52	从 `2001:DB8:22:5000::0` 到 `2001:DB8:22:5fff:ffff:ffff:ffff:ffff`
	0\:\:0/0	所有网络上的所有地址

请注意，0.0.0.0/32 地址与特定地址 0.0.0.0 相匹配。通过将 0.0.0.0/32 项添加到系统的无标签安全模板，您可以使具有特定地址 0.0.0.0 的主机联系系统。例如，在 DHCP 服务器为 DHCP 客户端提供 IP 地址之前，DHCP 客户端可将该服务器作为 0.0.0.0 进行联系。

要对可为 DHCP 客户机提供服务的应用程序创建 tnrhdb 项，请参见示例 16-16。0.0.0.0:admin_low 网络是 admin_low 无标签主机模板中的缺省项。有关需要更改此缺省值的安全问题，请查看如何限定可能会在可信网络上联系的主机。

有关 IPv4 和 IPv6 地址中的前缀长度的更多信息，请参见《Oracle Solaris 管理：IP 服务》中的"确定网络的 IP 地址寻址格式"和《System Administration Guide: IP Services》中的"IPv6 Addressing Overview"。

跳过导航链接
退出打印视图
	Trusted Extensions 配置和管理 Oracle Solaris 11 Information Library (简体中文)