Utilisation du module pfil

Cette section décrit l'utilisation du module pfil STREAMS pour activer ou désactiver IP Filter et afficher les statistiques pfil. Les procédures s'appliquent uniquement aux systèmes exécutant l'une des versions Solaris ci-dessous :

• Solaris 10 3/05

• Solaris 10 1/06

• Solaris 10 6/06

• Solaris 10 11/06

La liste des tâches ci-dessous identifie les procédures associées à la configuration du module pfil.

Tableau 26-3 Utilisation du module pfil (liste des tâches)

Activation d'IP Filter dans les versions Solaris précédentes

IP Filter est installé avec Oracle Solaris. Toutefois, le filtrage de paquets n'est pas activé par défaut. Pour activer IP Filter, suivez la procédure ci-dessous.

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.

2. Ouvrez le fichier /etc/ipf/pfil.ap dans l'éditeur de fichiers de votre choix.

   Ce fichier contient les noms des cartes d'interface réseau (NIC, Network Interface Card) présentes sur l'hôte. Par défaut, les noms sont commentés. Annulez le commentaire des noms de périphérique correspondant au trafic réseau que vous souhaitez filtrer. Si la NIC de votre système n'est pas répertoriée, ajoutez une ligne pour la spécifier.

   # vi /etc/ipf/pfil.ap
   # IP Filter pfil autopush setup
   #
   # See autopush(1M) manpage for more information.
   #
   # Format of the entries in this file is:
   #
   #major  minor lastminor modules
   
   #le     -1      0       pfil
   #qe     -1      0       pfil
   hme     -1      0       pfil (Device has been uncommented for filtering)
   #qfe    -1      0       pfil
   #eri    -1      0       pfil
   #ce     -1      0       pfil
   #bge    -1      0       pfil
   #be     -1      0       pfil
   #vge    -1      0       pfil
   #ge     -1      0       pfil
   #nf     -1      0       pfil
   #fa     -1      0       pfil
   #ci     -1      0       pfil
   #el     -1      0       pfil
   #ipdptp -1      0       pfil
   #lane   -1      0       pfil
   #dmfe   -1      0       pfil

3. Activez les modifications apportées au fichier /etc/ipf/pfil.ap en redémarrant l'instance de service network/pfil.

   # svcadm restart network/pfil

4. Créez un ensemble de règles de filtrage de paquets.

   L'ensemble de règles de filtrage de paquets contient les règles de filtrage de paquets utilisées par IP Filter. Pour charger les règles de filtrage de paquets à l'initialisation, modifiez le fichier /etc/ipf/ipf.conf afin d'implémenter le filtrage de paquets IPv4. Utilisez le fichier /etc/ipf/ipf6.conf pour les règles de filtrage de paquets IPv6. Si vous ne souhaitez pas charger les règles de filtrage de paquets à l'initialisation, insérez-les dans le fichier de votre choix, puis activez manuellement le filtrage de paquets. Pour plus d'informations sur le filtrage de paquets, reportez-vous à la section Utilisation de la fonctionnalité de filtrage de paquets d'IP Filter. Pour plus d'informations sur l'utilisation des fichiers de configuration, reportez-vous à la section Création et modification des fichiers de configuration IP Filter.

5. (Facultatif) Créez un fichier de configuration NAT (Network Address Translation, translation d'adresse réseau).

   ---

   Remarque - NAT ne prend pas en charge IPv6.

   ---

   Créez le fichier ipnat.conf si vous souhaitez utiliser la translation d'adresse réseau. Si vous souhaitez charger les règles NAT à l'initialisation, créez le fichier /etc/ipf/ipnat.conf afin d'y insérer les règles NAT. Si vous ne souhaitez pas charger les règles NAT à l'initialisation, placez le fichier ipnat.conf dans le répertoire de votre choix, puis activez manuellement les règles NAT.

   Pour plus d'informations sur NAT, reportez-vous à la section Utilisation de la fonctionnalité NAT d'IP Filter.

6. (Facultatif) Créez un fichier de configuration de pool d'adresses.

   Créez un fichier ipool.conf si vous souhaitez référencer un groupe d'adresses sous la forme d'un pool d'adresses unique. Pour charger le fichier de configuration de pool d'adresses à l'initialisation, créez le fichier /etc/ipf/ippool.conf afin d'y insérer le pool d'adresses. Si vous ne souhaitez pas charger le fichier de configuration de pool d'adresses à l'initialisation, placez le fichier ippool.conf dans le répertoire de votre choix, puis activez manuellement les règles.

   Un pool d'adresses peut contenir exclusivement des adresses IPv4 ou exclusivement des adresses IPv6. Il peut également contenir à la fois des adresses IPv4 et des adresses IPv6.

   Pour plus d'informations sur les pools d'adresses, reportez-vous à la section Utilisation de la fonctionnalité de pools d'adresses d'IP Filter.

7. Activez IP Filter selon l'une des méthodes ci-dessous :

   • Activez IP Filter et réinitialisez la machine.

     # svcadm enable network/ipfilter
     # reboot

     ---

     Remarque - La réinitialisation est requise si l'exécution des commandes ifconfig unplumb et ifconfig plumb sur les NIC n'est pas sécurisée.

     ---

   • Activez les NIC à l'aide des commandes ifconfig unplumb et ifconfig plumb. Activez ensuite IP Filter. La version inet6 de l'interface doit être montée afin de permettre l'implémentation du filtrage de paquets IPv6.

     # ifconfig hme0 unplumb
     # ifconfig hme0 plumb 192.168.1.20 netmask 255.255.255.0 up
     # ifconfig hme0 inte6 unplumb
     # ifconfig hme0 inet6 plumb fec3:f849::1/96 up
     # svcadm enable network/ipfilter

     Pour de plus amples informations sur la commande ifconfig, reportez-vous à la page de manuel ifconfig(1M).

Activation d'une NIC pour le filtrage de paquets

IP Filter est activé à l'initialisation lorsque le fichier /etc/ipf/ipf.conf (ou le fichier /etc/ipf/ipf6.conf, si vous utilisez IPv6) existe. Pour activer le filtrage sur une NIC une fois IP Filter activé, le cas échéant, suivez la procédure ci-dessous.

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.

2. Ouvrez le fichier /etc/ipf/pfil.ap dans l'éditeur de fichiers de votre choix.

   Ce fichier contient les noms des NIC présentes sur l'hôte. Par défaut, les noms sont commentés. Annulez le commentaire des noms de périphérique correspondant au trafic réseau que vous souhaitez filtrer. Si la NIC de votre système n'est pas répertoriée, ajoutez une ligne pour la spécifier.

   # vi /etc/ipf/pfil.ap
   # IP Filter pfil autopush setup
   #
   # See autopush(1M) manpage for more information.
   #
   # Format of the entries in this file is:
   #
   #major  minor lastminor modules
   
   #le     -1      0       pfil
   #qe     -1      0       pfil
   hme     -1      0       pfil (Device has been uncommented for filtering)
   #qfe    -1      0       pfil
   #eri    -1      0       pfil
   #ce     -1      0       pfil
   #bge    -1      0       pfil
   #be     -1      0       pfil
   #vge    -1      0       pfil
   #ge     -1      0       pfil
   #nf     -1      0       pfil
   #fa     -1      0       pfil
   #ci     -1      0       pfil
   #el     -1      0       pfil
   #ipdptp -1      0       pfil
   #lane   -1      0       pfil
   #dmfe   -1      0       pfil

3. Activez les modifications apportées au fichier /etc/ipf/pfil.ap en redémarrant l'instance de service network/pfil.

   # svcadm restart network/pfil

4. Activez la NIC selon l'une des méthodes ci-dessous :

   • Redémarrez l'ordinateur.

     # reboot

     ---

     Remarque - La réinitialisation est requise si l'exécution des commandes ifconfig unplumb et ifconfig plumb sur les NIC n'est pas sécurisée.

     ---

   • Activez les NIC à filtrer à l'aide de la commande ifconfig avec les options unplumb et plumb. La version inet6 de chaque interface doit être montée afin de permettre l'implémentation du filtrage de paquets IPv6.

     # ifconfig hme0 unplumb
     # ifconfig hme0 plumb 192.168.1.20  netmask 255.255.255.0  up
     # ifconfig hme0 inet6 unplumb
     # ifconfig hme0 inet6 plumb fec3:f840::1/96 up

     Pour de plus amples informations sur la commande ifconfig, reportez-vous à la page de manuel ifconfig(1M).

Désactivation d'IP Filter sur une NIC

Pour arrêter le filtrage des paquets sur une NIC, le cas échéant, suivez la procédure ci-dessous.

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.

2. Ouvrez le fichier /etc/ipf/pfil.ap dans l'éditeur de fichiers de votre choix.

   Ce fichier contient les noms des NIC présentes sur l'hôte. Le commentaire des NIC utilisées pour filtrer le trafic réseau est annulé. Commentez les noms des périphériques que vous ne souhaitez plus utiliser pour filtrer le trafic réseau.

   # vi /etc/ipf/pfil.ap
   # IP Filter pfil autopush setup
   #
   # See autopush(1M) manpage for more information.
   #
   # Format of the entries in this file is:
   #
   #major  minor lastminor modules
   
   #le     -1      0       pfil
   #qe     -1      0       pfil
   #hme    -1      0       pfil (Commented-out device no longer filters network traffic)
   #qfe    -1      0       pfil
   #eri    -1      0       pfil
   #ce     -1      0       pfil
   #bge    -1      0       pfil
   #be     -1      0       pfil
   #vge    -1      0       pfil
   #ge     -1      0       pfil
   #nf     -1      0       pfil
   #fa     -1      0       pfil
   #ci     -1      0       pfil
   #el     -1      0       pfil
   #ipdptp -1      0       pfil
   #lane   -1      0       pfil
   #dmfe   -1      0       pfil

3. Désactivez la NIC selon l'une des méthodes ci-dessous :

   • Redémarrez l'ordinateur.

     # reboot

     ---

     Remarque - La réinitialisation est requise si l'exécution des commandes ifconfig unplumb et ifconfig plumb sur les NIC n'est pas sécurisée.

     ---

   • Désactivez les NIC à l'aide de la commande ifconfig avec les options unplumb et plumb. La version inet6 de chaque interface doit être démontée afin de permettre la désactivation du filtrage de paquets IPv6. Procédez comme suit. Le périphérique système hme est utilisé en exemple :

     1. Identifiez le numéro majeur du périphérique à désactiver.

        # grep hme /etc/name_to_major
        hme 7

     2. Affichez la configuration autopush actuelle pour hme0.

        # autopush -g -M 7 -m 0
           Major     Minor     Lastminor       Modules
               7      ALL          -           pfil

     3. Supprimez la configuration autopush.

        # autopush -r -M 7 -m 0

     4. Ouvrez le périphérique et attribuez les adresses IP au périphérique.

        # ifconfig hme0 unplumb
        # ifconfig hme0 plumb 192.168.1.20  netmask 255.255.255.0  up
        # ifconfig hme0 inet6 unplumb
        # ifconfig hme0 inet6 plumb fec3:f840::1/96 up

        Pour de plus amples informations sur la commande ifconfig, reportez-vous à la page de manuel ifconfig(1M).

Affichage des statistiques pfil d'IP Filter

Vous pouvez afficher les statistiques pfil lors du dépannage d'IP Filter.

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.

2. Affichez les statistiques pfil.

   # ndd -get /dev/pfil qif_status

Exemple 26-1 Affichage des statistiques pfil d'IP Filter

L'exemple ci-dessous illustre l'affichage des statistiques pfil.

# ndd -get /dev/pfil qif_status
ifname ill q OTHERQ num sap hl nr nw bad copy copyfail drop notip nodata
   notdata
QIF6 0 300011247b8 300011248b0 6 806 0 4 9 0 0 0 0 0 0 0
dmfe1 3000200a018 30002162a50 30002162b48 5 800 14 171 13681 0 0 0 0 0 0 0