Trusted Extensions 中的区域

正确配置的 Trusted Extensions 系统包括一个作为操作系统实例的全局区域，以及有一个或多个标签的非全局区域。配置期间，Trusted Extensions 为每个区域附加一个唯一标签，这样就创建了有标签区域。这些标签来自 label_encodings 文件。管理员可以为每个标签创建一个区域，但系统对此不作要求。系统上具有的标签可能会比有标签区域要多。有标签区域不可能多于标签。

在 Trusted Extensions 系统上，区域的文件系统通常作为回送文件系统 (loopback file system, lofs) 挂载。有标签区域中的所有可写文件和目录都处于该区域的标签级别。缺省情况下，用户可以查看比用户当前标签级别低的某个标签的区域中的文件。通过该配置，用户可以在比当前工作区标签级别低的标签查看其起始目录。尽管用户可以查看较低级别标签的文件，但不能修改它们。用户只能从与文件具有相同标签的进程修改该文件。

在 Trusted Extensions 中，全局区域是管理区域。有标签区域针对一般用户。区域的标签在用户的认可范围内时用户可以在该区域中工作。

每个区域都有关联的 IP 地址以及安全属性。区域可以配置为多级别端口 (MLP)。此外，区域还可以配置有 Internet 控制信息协议 (Internet Control Message Protocol, ICMP) 广播策略，例如 ping。

有关从有标签区域共享目录以及从有标签区域远程挂载目录的信息，请参见第 11 章。

Trusted Extensions 中的区域构建于 Oracle Solaris 区域产品之上。有关详细信息，请参见《System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones》中的第 II 部分, "Zones"。特别注意的是，修补和软件包安装问题会影响 Trusted Extensions。有关详细信息，请参见《System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones》中的第 25  章 "About Packages and Patches on an Oracle Solaris System With Zones Installed (Overview)"和《System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones》中的第 30  章 "Troubleshooting Miscellaneous Oracle Solaris Zones Problems"。

Trusted Extensions 中的区域和 IP 地址

您的初始设置团队会为全局区域和有标签区域指定 IP 地址。《Trusted Extensions Configuration Guide》中的"Creating Labeled Zones"中说明了三种类型的配置：

• 系统针对全局区域和所有有标签区域具有一个 IP 地址。

  对于使用 DHCP 软件来获取其 IP 地址的系统，这种配置非常有用。如果没有用户要登录，LDAP 服务器可能会具有此配置。

• 系统具有一个用于全局区域的 IP 地址，以及一个由所有区域（包括全局区域）共享的 IP 地址。任何区域都可以具有唯一地址和共享地址组合。

  对于一般用户将会登录的系统，这种配置非常有用。它还可以用于打印机或 NFS 服务器。此配置可以节省 IP 地址。

• 系统有一个用于全局区域的 IP 地址，而且每个有标签区域都有一个唯一的 IP 地址。

  此配置适用于提供对单级别系统的单独物理网络的访问。通常，每个区域会在与其他有标签区域不同的物理网络上具有一个 IP 地址。由于此配置以单一 IP 实例实现，所以全局区域将控制物理接口并管理全局资源，例如路由表。

引入了非全局区域的专用 IP 实例后，在 Oracle Solaris OS 中可以采用第四种类型的配置：从 Solaris 10 8/07 发行版开始，非全局区域可以指定有自己的 IP 实例，并管理自己的物理接口。在此配置中，每个区域都以类似于独立系统的形式运行。有关说明，请参见《System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones》中的"Zone Network Interfaces"。

但是在这种配置下，每个有标签区域都以类似于独立的单一标记系统的形式运行。Trusted Extensions 的多级别网络功能依赖于共享 IP 栈的功能。Trusted Extensions 中的管理过程假设联网完全是由全局区域控制的。因此，如果您的初始设置团队已经安装了具有专用 IP 实例的有标签区域，您必须提供或参考站点特定的文档。

区域和多级别端口

缺省情况下，区域之间不能相互发送或接收包。多级别端口 (Multilevel Port, MLP) 可以启用端口上的特定服务，用以接受一定标签范围内的请求，或来自一个标签集合的请求。这些特权服务可以以请求的标签进行回复。例如，您可能想要创建一个可以在所有标签进行侦听的特权 Web 浏览器端口，但是它的回复受标签限制。缺省情况下，有标签区域没有 MLP。

对 MLP 可以接受的包进行限制的标签范围或标签集合基于区域的 IP 地址。在 tnrhdb 数据库中为该 IP 地址指定了一个远程主机模板。远程主机模板中的标签范围或标签集合对 MLP 可以接受的包进行限制。

• 针对不同 IP 地址配置，对 MLP 的限制如下：

• 在全局区域具有一个 IP 地址并且每个有标签区域都有一个唯一 IP 地址的系统上，可以向每个区域添加用于特定服务的 MLP。例如，可以对系统进行配置，从而通过 TCP 端口 22 的 ssh 服务是全局区域中和每个有标签区域中的 MLP。

• 在典型配置中，为全局区域指定一个 IP 地址，有标签区域与全局区域共享另一个 IP 地址。MLP 添加到一个共享接口后，服务包会路由至定义了 MLP 的有标签区域。仅当有标签区域的远程主机模板包含包的标签时，才会接受该包。如果范围是 ADMIN_LOW 到 ADMIN_HIGH，将接受所有包。范围较窄会丢弃不在范围内的包。

  一个区域至多可以将一个特定端口定义为共享接口上的 MLP。在前面的方案中，ssh 端口配置为非全局区域上的共享 MLP，其他区域都不能接收共享地址上的 ssh 连接。但是，全局区域可以定义 ssh 端口为专用 MLP，用于接收其区域特定的地址上的连接。

• 在全局区域和有标签区域共享一个 IP 地址的系统中，用于 ssh 服务的 MLP 可以添加到一个区域。如果将用于 ssh 的 MLP 添加到全局区域，没有任何有标签区域可以添加用于 ssh 服务的 MLP。同样，如果将用于 ssh 服务的 MLP 添加到有标签区域，全局区域也无法配置有 ssh MLP。

有关向有标签区域添加 MLP 的示例，请参见示例 13-16。

Trusted Extensions 中的区域和 ICMP

网络向网络中的系统传送广播消息并发送 ICMP 包。在多级别系统上，这些传送会对每个标签的系统进行泛洪攻击。缺省情况下，有标签区域的网络策略要求仅应在匹配标签接收 ICMP 包。