在 Trusted Extensions 中配置路由并检查网络信息（任务列表）

以下任务列表介绍了配置网络以及检验配置的任务。

如何配置具有安全属性的路由

开始之前

您必须具有全局区域中的 "Security Administrator"（安全管理员）角色。

1. 添加要用于通过可信网络路由包的每个目标主机和网关。

   地址将被添加到本地 /etc/hosts 文件，或添加到 LDAP 服务器上的等效项。使用 Solaris Management Console 中的计算机和网络工具。文件作用域修改 /etc/hosts 文件。LDAP 作用域修改 LDAP 服务器上的项。有关详细信息，请参见如何向系统的已知网络添加主机。

2. 将每个目标主机、网络和网关指定给安全模板。

   地址将被添加到本地 /etc/security/tsol/tnrhdb 文件，或添加到 LDAP 服务器上的等效项。使用 Solaris Management Console 中的安全模板工具。有关详细信息，请参见如何将安全模板指定给向一台主机或一组主机。

3. 设置路由。

   在终端窗口中，使用 route add 命令指定路由。

   第一项设置缺省路由。该项指定在没有为主机或包目的地定义特定路由时要使用的网关地址 192.168.113.1。

   # route add default 192.168.113.1  -static

   有关详细信息，请参见 route(1M) 手册页。

4. 设置一个或多个网络项。

   使用 -secattr 标志指定安全属性。

   在下面的命令列表中，第二行显示一个网络项。第三行显示标签范围为 PUBLIC（公共）到 CONFIDENTIAL : INTERNAL USE ONLY（机密：仅供内部使用）的网络项。

   # route add default 192.168.113.36
   # route add -net 192.168.102.0 gateway-101
   # route add -net 192.168.101.0 gateway-102 \
   -secattr min_sl=“PUBLIC”,max_sl=”CONFIDENTIAL : INTERNAL USE ONLY”,doi=1

5. 设置一个或多个主机项。

   新的第四行显示单标签主机 gateway-pub 对应的主机项。gateway-pub 的标签范围为 PUBLIC（公共）到 PUBLIC（公共）。

   # route add default 192.168.113.36
   # route add -net 192.168.102.0 gateway-101
   # route add -net 192.168.101.0 gateway-102 \
   -secattr min_sl="PUBLIC",max_sl="CONFIDENTIAL : INTERNAL USE ONLY",doi=1
   # route add -host 192.168.101.3 gateway-pub \
   -secattr min_sl="PUBLIC",max_sl="PUBLIC",doi=1

示例 13-14 添加标签范围为 CONFIDENTIAL : INTERNAL USE ONLY（机密：仅供内部使用）到 CONFIDENTIAL : RESTRICTED（机密：受限）的路由

以下 route 命令将 IP 地址为 192.168.115.0，网关为 192.168.118.39 的主机添加到路由表。标签范围为 CONFIDENTIAL : INTERNAL USE ONLY（机密：仅供内部使用）到 CONFIDENTIAL : RESTRICTED（机密：受限），DOI 为 1。

$ route add -net 192.168.115.0 192.168.118.39 \
-secattr min_sl="CONFIDENTIAL : INTERNAL USE ONLY",max_sl="CONFIDENTIAL : RESTRICTED",doi=1

可使用 netstat -rR 命令显示所添加主机的结果。在下面的摘录中，用省略号 (...) 代替了其他路由。

$ netstat -rRn
...
192.168.115.0        192.168.118.39        UG       0      0  
        min_sl=CNF : INTERNAL USE ONLY,max_sl=CNF : RESTRICTED,DOI=1,CIPSO
...

如何检查可信网络数据库的语法

tnchkdb 命令可检查每个网络数据库的语法是否准确。在使用安全模板工具或可信网络区域工具时，Solaris Management Console 会自动运行此命令。通常，您运行此命令来检查要配置为供将来使用的数据库文件的语法。

开始之前

您必须位于全局区域中，并充当可以检查网络设置的角色。安全管理员角色和 "Security Administrator"（安全管理员）角色可以检查这些设置。

• 在终端窗口中，运行 tnchkdb 命令。

  $ tnchkdb [-h tnrhdb-path] [-t tnrhtp-path] [-z tnzonecfg-path]
  checking /etc/security/tsol/tnrhtp ...
  checking /etc/security/tsol/tnrhdb ...
  checking /etc/security/tsol/tnzonecfg ...

示例 13-15 测试某个试用网络数据库的语法

在此示例中，安全管理员在测试一个网络数据库文件的可能用途。最初，管理员使用了错误的选项。检查的结果显示在 tnrhdb 文件的行上：

$ tnchkdb -h /opt/secfiles/trial.tnrhtp
checking /etc/security/tsol/tnrhtp ...
checking /opt/secfiles/trial.tnrhtp ...
line 12: Illegal name: min_sl=ADMIN_LOW;max_sl=ADMIN_HIGH
line 14: Illegal name: min_sl=ADMIN_LOW;max_sl=ADMIN_HIGH
checking /etc/security/tsol/tnzonecfg ...

当安全管理员使用 -t 选项检查该文件时，该命令确认试用 tnrhtp 数据库的语法准确无误：

$ tnchkdb -t /opt/secfiles/trial.tnrhtp
checking /opt/secfiles/trial.tnrhtp ...
checking /etc/security/tsol/tnrhdb ...
checking /etc/security/tsol/tnzonecfg ...

如何将可信网络数据库信息与内核高速缓存进行比较

网络数据库包含的信息可能未缓存在内核中。此过程可检查相应信息是否完全相同。使用 Solaris Management Console 更新网络时，会用网络数据库信息更新内核高速缓存。tninfo 命令在测试期间以及进行调试时很有用。

开始之前

您必须位于全局区域中，并充当可以检查网络设置的角色。安全管理员角色和 "Security Administrator"（安全管理员）角色可以检查这些设置。

• 在终端窗口中，运行 tninfo 命令。

  • tninfo -h hostname 显示指定主机的 IP 地址和模板。

  • tninfo -t templatename 显示以下信息：

    template: template-name
    host_type: either CIPSO or UNLABELED
    doi: 1
    min_sl: minimum-label
    hex: minimum-hex-label
    max_sl: maximum-label
    hex:maximum-hex-label

  • tninfo -m zone-name 显示区域的多级别端口 (Multilevel Port, MLP) 配置。

示例 13-16 显示主机的多级别端口

在本示例中，系统配置有多个有标签区域。所有区域共用同一 IP 地址。某些区域还配置有特定于区域的地址。在此配置中，用于 Web 浏览的 TCP 端口（端口 8080）是公共区域中共享接口上的一个 MLP。管理员还将 telnet TCP 端口 23 设置为公共区域中的一个 MLP。由于这两个 MLP 位于共享接口上，所以其他区域（包括全局区域）都不能在端口 8080 和 23 的共享接口上接收包。

此外，ssh TCP 端口（端口 22）是公共区域中的每区域 MLP。公共区域的 ssh 服务可以在地址标签范围内特定于区域的地址接收任何包。

以下命令显示公共区域的 MLP：

$ tninfo -m public
private: 22/tcp
shared:  23/tcp;8080/tcp

以下命令显示全局区域的 MLP。请注意，端口 23 和 8080 不能为全局区域中的 MLP，因为全局区域与公共区域共用同一地址。

$ tninfo -m global
private: 111/tcp;111/udp;514/tcp;515/tcp;631/tcp;2049/tcp;
         6000-6003/tcp;38672/tcp;60770/tcp;
shared:  6000-6003/tcp

如何将内核高速缓存与可信网络数据库同步

尚未用可信网络数据库信息更新内核时，您可以采用多种方式更新内核高速缓存。在使用安全模板工具或可信网络区域工具时，Solaris Management Console 会自动运行此命令。

开始之前

您必须具有全局区域中的 "Security Administrator"（安全管理员）角色。

• 要将内核高速缓存与网络数据库同步，请运行以下命令之一：
  • 重新启动 tnctl 服务。

    ---

    注意 - 请勿对从 LDAP 服务器获取可信网络数据库信息的系统使用此方法。本地数据库信息将会覆盖从 LDAP 服务器获取的信息。

    ---

    $ svcadm restart  svc:/network/tnctl

    此命令将来自本地可信网络数据库的所有信息读入到内核中。

  • 针对最近添加的项更新内核高速缓存。

    $ tnctl -h hostname

    此命令仅将来自所选择选项的信息读入到内核中。有关选项的详细信息，请参见示例 13-17 和 tnctl(1M) 手册页。

  • 修改 tnd 服务。

    ---

    注 - tnd 服务仅在 ldap 服务运行的情况下才运行。

    ---

    • 更改 tnd 轮询间隔。

      这不会更新内核高速缓存。但是，您可以缩短轮询间隔以更频繁地更新内核高速缓存。有关详细信息，请参见 tnd(1M) 手册页中的示例。

    • 刷新 tnd。

      此服务管理工具 (Service Management Facility, SMF) 命令可出发使用对可信网络数据库进行的最近更改对内核进行立即更新。

      $ svcadm refresh svc:/network/tnd

    • 使用 SMF 重新启动 tnd。

      $ svcadm restart svc:/network/tnd

      ---

      注意 - 避免运行 tnd 命令来重新启动 tnd。此命令可能会中断当前成功进行的通信。

      ---

示例 13-17 使用最新的 tnrhdb 项更新内核

在此示例中，管理员向本地 tnrhdb 数据库添加了三个地址。首先，管理员删除了 0.0.0.0 通配符项。

$ tnctl -d -h 0.0.0.0:admin_low

接着，管理员查看 /etc/security/tsol/tnrhdb 数据库中最后三项的格式：

$ tail /etc/security/tsol/tnrhdb
#\:\:0:admin_low
127.0.0.1:cipso
#\:\:1:cipso
192.168.103.5:admin_low
192.168.103.0:cipso
0.0.0.0/32:admin_low

然后，管理员更新内核高速缓存：

$ tnctl -h 192.168.103.5
tnctl -h 192.168.103.0
tnctl -h 0.0.0.0/32

最后，管理员检验内核高速缓存是否已更新。第一项的输出类似如下：

$ tninfo -h 192.168.103.5
IP Address: 192.168.103.5
Template: admin_low

示例 13-18 更新内核中的网络信息

在此示例中，管理员使用公共打印服务器更新可信网络，然后检查内核设置是否正确。

$ tnctl -h public-print-server
$ tninfo -h public-print-server
IP Address: 192.168.103.55
Template: PublicOnly
$ tninfo -t PublicOnly
==================================
Remote Host Template Table Entries
----------------------------------
template: PublicOnly
host_type: CIPSO
doi: 1
min_sl: PUBLIC
hex: 0x0002-08-08
max_sl: PUBLIC
hex: 0x0002-08-08