Mise en réseau dans des zones non globales en mode IP partagé

Sur un système Oracle Solaris doté de zones, les zones peuvent communiquer entre elles sur le réseau. Toutes possèdent des connexions ou des liaisons distinctes et peuvent exécuter leurs propres démons de serveur. Ces derniers peuvent écouter sur les mêmes ports sans que cela n'engendre de conflit. La pile IP résout les conflits en prenant en compte les adresses IP pour les connexions entrantes. Les adresses IP identifient la zone.

Partition de zone en mode IP partagé

La pile IP dans un système prenant en charge les zones organise la séparation, entre les zones, du trafic sur le réseau. Les applications réceptrices de trafic IP reçoivent uniquement le trafic envoyé à la même zone.

Chaque interface logique du système appartient à une zone donnée (par défaut, la zone globale). Les interfaces réseau logiques assignées à des zones par le biais de l'utilitaire zonecfg permettent la communication sur le réseau. Tous les flux et connexions appartiennent à la zone du processus à l'origine de leur ouverture.

Des restrictions s'appliquent aux liaisons entre les flux de couche supérieure et les interfaces logiques. Un flux peut uniquement établir des liaisons aux interfaces logiques figurant dans sa zone. De même, les paquets d'une interface logique peuvent être transmis uniquement aux flux de couche supérieure de la zone dans laquelle figure l'interface logique.

Chaque zone possède son propre ensemble de liaisons. Chaque zone peut exécuter la même application à l'écoute sur le même port sans que les liaisons n'échouent parce que l'adresse est déjà utilisée. Chaque zone peut exécuter sa propre version des services suivants :

• Démons de services Internet avec un fichier de configuration complet (voir la page de manuel inetd(1M))

• Commande sendmail (voir la page de manuel sendmail(1M))

• Commande apache (voir la page de manuel apache(1M))

Les zones non globales disposent d'un accès limité au réseau. Les interfaces socket TCP et UDP standard sont disponibles, mais les interfaces socket SOCK_RAW sont limitées au protocole ICMP (Internet Control Message Protocol). Le protocole ICMP est requis pour la détection et le signalement des conditions d'erreur réseau ou l'utilisation de la commande ping.

Interfaces réseau en mode IP partagé

Chaque zone non globale devant se connecter au réseau dispose d'une ou plusieurs adresses IP dédiées. Ces adresses sont associées à des interfaces réseau logiques que vous pouvez placer dans une zone à l'aide de la commande ifconfig. Les interfaces réseau de zone configurées à l'aide de la commande zonecfg sont automatiquement paramétrées et placées dans la zone lors de l'initialisation de cette dernière. La commande ifconfig permet d'ajouter ou de supprimer des interfaces logiques lorsque la zone est en cours d'exécution. Seul l'administrateur global est autorisé à modifier la configuration de l'interface et les routes du réseau.

Au sein d'une zone non globale, seules les interfaces associées à cette zone sont visibles par le biais de la commande ifconfig.

Pour plus d'informations, reportez-vous aux pages de manuel ifconfig(1M) et if_tcp(7P).

Trafic IP entre zones en mode IP partagé sur une même machine

La livraison de paquets entre deux zones d'une même machine n'est autorisée que si une route de concordance existe pour la destination et la zone dans la table de transfert.

Les informations de concordance sont implémentées comme suit :

• L'adresse source pour les paquets est sélectionnée sur l'interface de sortie spécifiée par la route de concordance.

• Par défaut, le trafic est autorisé entre deux zones disposant d'adresses sur le même sous-réseau. Dans ce cas, la route de concordance est la route d'interface pour le sous-réseau.

• Lorsqu'une route par défaut existe pour une zone et que la passerelle correspond à l'un des sous-réseaux de la zone, le trafic en provenance de cette zone vers les autres zones est autorisé. Dans ce cas, la route de concordance correspond à la route par défaut.

• Si une route de concordance présente l'indicateur RTF_REJECT, les paquets déclenchent un message ICMP inaccessible. Si une route de concordance présente l'indicateur RTF_BLACKHOLE, les paquets sont rejetés. L'administrateur global peut créer des routes avec ces indicateurs à l'aide des options de commande route décrites dans le tableau suivant.

  Modificateur Indicateur Description -reject RTF_REJECT Emet un message ICMP inaccessible en cas de concordance. -blackhole RTF_BLACKHOLE Rejette en mode silencieux les paquets lors des mises à jour.

  Pour plus d'informations, reportez-vous à la page de manuel route(1M).

Oracle Solaris IP Filter dans les zones en mode IP partagé

Oracle Solaris IP Filter permet le filtrage de paquets avec état et la traduction d'adresse réseau (NAT, Network Address Translation). Un filtre de paquets avec état permet de contrôler l'état des connexions actives. A l'aide des informations obtenues, il identifie alors les paquets autorisés à franchir le pare-feu. Oracle Solaris IP Filter permet également le filtrage de paquets sans état ainsi que la création et la gestion des pools d'adresses. Pour plus d'informations, reportez-vous au Chapitre 25, IP Filter dans Oracle Solaris (présentation) du manuel Guide d’administration système : services IP.

Pour activer Oracle Solaris IP Filter dans les zones non globales, activez le filtrage en loopback, comme décrit au Chapitre 26, IP Filter (tâches) du manuel Guide d’administration système : services IP.

Oracle Solaris IP Filter est dérivé du logiciel Open Source IP Filter.

Multipathing sur réseau IP dans les zones en mode IP partagé

Le multipathing sur réseau IP (IPMP, IP Network Multipathing) permet de détecter les défaillances des interfaces physiques et de basculer en transparence l'accès au réseau pour un système présentant plusieurs interfaces sur une même liaison IP. IPMP permet également de répartir la charge des paquets pour les systèmes dotés de plusieurs interfaces.

L'intégralité de la configuration du réseau s'effectue dans la zone globale. Vous pouvez configurer IPMP dans la zone globale, puis étendre cette fonctionnalité aux zones non globales. Pour cela, lorsque vous configurez la zone, vous devez placer son adresse dans un groupe IPMP. En cas d'échec de l'une des interfaces de la zone globale, les adresses de zone non globale migrent vers une autre carte d'interface réseau. Une zone en mode IP partagé peut contenir plusieurs adresses IP, faire partie de plusieurs groupes IPMP et plusieurs zones en mode IP partagé peuvent utiliser le même groupe IPMP.

Au sein d'une zone non globale, seules les interfaces qui lui sont associées sont visibles par le biais de la commande ifconfig.

Voir la section Extension de la fonction de multipathing sur réseau IP aux zones non globales en mode IP partagé. La procédure de configuration des zones est traitée dans la section Configuration d'une zone. Pour plus d'informations sur l'utilisation d'IPMP, ses composants et ses fonctions, reportez-vous au Chapitre 30, Présentation d’IPMP du manuel Guide d’administration système : services IP.