Conexão à rede em zonas não globais com IP compartilhado

Em um sistema do Oracle Solaris com zonas instaladas, as zonas podem se comunicar entre si pela rede. Todas as zonas têm vinculações separadas, ou conexões, e todas as zonas podem executar seus próprios daemons de servidor. Esses daemons podem escutar no mesmo número de portas sem qualquer conflito. A pilhas de IP resolve conflitos ao considerar endereços IP para conexões de entrada. Os endereços IP identificam a zona.

Partição de zona com IP compartilhado

A pilha de IPs em um sistema que oferece suporte a zonas implementa a separação do tráfego de rede entre zonas. Os aplicativos que recebem o tráfego IP podem somente receber tráfego enviado para a mesma zona.

Cada interface lógica no sistema pertence a uma zona específica, a zona global por padrão. As interfaces lógicas de rede atribuídas a zonas através do utilitário zonecfg são usadas para a comunicação pela rede. Cada fluxo e cada conexão pertencem à zona do processo que a abriu.

Vinculações entre fluxos de camada superior e interfaces lógicas são restritas. Um fluxo pode somente estabelecer vinculações a interfaces lógicas na mesma zona. Da mesma forma, pacotes de uma interface lógica podem somente ser passados para grupos de camada superior na mesma zona que a interface lógica.

Cada zona tem seu próprio conjunto de vínculos. Cada zona pode executar o mesmo aplicativo que escuta no mesmo número de portas sem falha de vínculos, porque o endereço já está em uso. Cada zona pode executar sua própria versão dos seguintes serviços:

• Daemon de serviços da Internet com um arquivo de configuração completo (consulte a página man inetd(1M))

• sendmail (consulte a página man sendmail(1M))

• apache (consulte a página man apache(1M))

Zonas que não sejam a zona global têm acesso restrito à rede. As interfaces de soquete TCP e UDP padrão estão disponíveis, mas as interfaces de soquete SOCK_RAW são restritas ao Internet Control Message Protocol (ICMP). ICMP é necessário para detectar e relatar condições de erro de rede ou usar o comando ping.

Interfaces de rede com IP compartilhado

Cada zona que requer conectividade de rede tem um ou mais endereços IP dedicados. Esses endereços são associados às interfaces lógicas de rede que podem ser colocadas em uma zona usando-se o comando ifconfig. Interfaces de rede de zona configuradas pelo comando zonecfg serão automaticamente definidas e colocadas na zona quando esta for inicializada. O comando ifconfig pode ser usado para adicionar ou remover interfaces lógicas quando a zona está em execução. Somente o administrador global pode modificar a configuração da interface e as rotas de rede.

Dentro de uma zona global, somente as interfaces de zona estarão visíveis para ifconfig.

Para obter mais informações, consulte as páginas man ifconfig(1M) e if_tcp(7P).

Tráfego IP entre zona com IP compartilhado na mesma máquina

Entre duas zonas na mesma máquina, a entrega de pacote só será permitida se houver uma “rota correspondente”para o destino e a zona na tabela de reenvio.

As informações correspondentes são implementadas da seguinte maneira:

• O endereço de origem para os pacotes é selecionado na interface de saída especificada pela rota correspondente.

• Por padrão, o tráfego é permitido entre duas zonas que têm endereços na mesma sub-rede. A rota correspondente neste caso é a rota de interface para a sub-rede.

• Se houver uma rota padrão para uma dada zona, em que o gateway está em uma das sub-redes da zona, o tráfego dessa zona para outras zonas será permitido. A rota correspondente neste caso é a rota padrão.

• Se houver uma rota correspondente com o sinalizador RTF_REJECT, os pacotes acionam uma mensagem de ICMP inatingível. Se houver uma rota correspondente com o sinalizador RTF_BLACKHOLE, os pacotes serão descartados. O administrador global pode usar as opções do comando route descritas na tabela abaixo para criar rotas com estes sinalizadores.

  Modificador Sinalizador Descrição -reject RTF_REJECT Emite uma mensagem de ICMP inatingível quando não correspondente. -blackhole RTF_BLACKHOLE Descarta pacotes silenciosamente durante atualizações.

  Para obter mais informações, consulte route(1M)

Filtro IP do Oracle Solaris em zonas com IP compartilhado

O filtro IP do Oracle Solaris fornece filtragem de pacotes e conversão de endereços de rede (NAT). Um filtro de pacote com informações de estado pode monitorar o estado de conexões ativas e usar as informações obtidas para determinar quais pacotes de rede terão permissão através do firewall. O filtro IP do Oracle Solaris também inclui filtragem de pacotes sem informações de estado e a capacidade de criar e gerenciar pools de endereços. Para obter informações adicionais, consulte o Capítulo 25, IP Filter in Oracle Solaris (Overview), no System Administration Guide: IP Services.

O filtro IP do Oracle Solaris pode ser ativado em zonas não globais através da ativação da filtragem de loopback, como descrito no Capítulo 26, IP Filter (Tasks), no System Administration Guide: IP Services.

O filtro IP do Oracle Solaris é derivado do software de filtro IP de código aberto.

Vários caminhos de rede IP em zonas com IP compartilhado

O recurso de vários caminhos de rede IP (IPMP) oferece detecção de falha de interface física e falha de acesso de rede transparente para um sistema com várias interfaces no mesmo link de IP. IPMP também oferece propagação de carga de pacotes para sistemas com várias interfaces.

Toda a configuração de rede é feita na zona global. Você pode configurar IPMP na zona global e, em seguida, estender a funcionalidade para zonas não globais. A funcionalidade é estendida colocando-se o endereço da zona em um grupo IPMP ao configurar a zona. Em seguida, se uma das interfaces na zona global falhar, os endereços da zona não global migrarão para outra placa de interface de rede. Uma zona de IP compartilhado pode possuir vários endereços IP, que podem ser parte de vários grupos IPMP e um determinado grupo IPMP pode ser utilizado por várias zonas de IP compartilhado.

Em determinada zona não global, somente as interfaces associadas à zona são visíveis através do comando ifconfig.

Consulte Como estender a funcionalidade de vários caminhos de rede IP para zonas não globais com IP compartilhado. O procedimento de configuração de zonas é tratado em Como configurar a zona. Para obter informações sobre recursos, componentes e uso de IPMP, consulte Capítulo 30, Introducing IPMP (Overview), no System Administration Guide: IP Services .