Limitation des hôtes pouvant atteindre le réseau de confiance

Langue :

Dans cette section, vous protégez le réseau en limitant le nombre d'hôtes qui peuvent atteindre le réseau.

Limitation des hôtes pouvant être contactés sur le réseau de confiance.
Augmentation de la sécurité en spécifiant les systèmes à contacter au moment de l'initialisation. Voir l'Example 16–16.
Configuration d'un serveur d'applications pour qu'il accepte le contact initial d'un client distant. Voir l'Example 16–18.
Configuration d'un serveur Sun Ray étiqueté pour qu'il accepte le contact initial d'un client distant. Voir l'Example 16–19.

Limitation des hôtes pouvant être contactés sur le réseau de confiance

Cette procédure empêche que les hôtes étiquetés ne soient contactés par des hôtes non étiquetés arbitraires. Lorsque Trusted Extensions est installé, le modèle de sécurité admin_low par défaut définit tous les hôtes du réseau. Utilisez cette procédure pour énumérer des hôtes non étiquetés spécifiques.

Les valeurs du réseau de confiance local de chaque système permettent d'établir le contact avec le réseau lors de l'initialisation. Par défaut, tous les hôtes qui ne sont pas pourvus d'un modèle cipso sont définis par le modèle admin_low. Ce modèle définit tous les hôtes distants non définis par ailleurs (0.0.0.0/0) comme étant des systèmes sans étiquette et leur assigne l'étiquette par défaut admin_low.

Mise en garde - Le modèle admin_low par défaut peut constituer un risque de sécurité sur un réseau Trusted Extensions. Si la sécurité du site nécessite une protection renforcée, l'administrateur de sécurité peut supprimer l'entrée générique 0.0.0.0/0 une fois le système installé. L'entrée doit être remplacée par des entrées correspondant à chacun des hôtes que le système contacte lors de l'initialisation. Par exemple, les serveurs DNS, les serveurs d'annuaire personnel, les serveurs d'audit, les adresses de diffusion et de multidiffusion et les routeurs doivent être ajoutés de façon explicite à un modèle après la suppression de l'entrée générique 0.0.0.0/0. Si une application reconnaît initialement des clients à l'adresse d'hôte 0.0.0.0/32, vous devez ensuite ajouter l'entrée d'hôte 0.0.0.0/32 au modèle admin_low. Par exemple, pour recevoir les demandes de connexion initiale de clients Sun Ray potentiels, les serveurs Sun Ray doivent inclure cette entrée. Une fois que le serveur a reconnu les clients, une adresse IP est assignée aux clients et ces derniers sont connectés en tant que clients étiquetés.

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

Tous les hôtes à contacter lors de l'initialisation doivent exister dans le fichier /etc/hosts.

Assignez le modèle admin_low à chaque hôte sans étiquette qui doit être contacté au moment de l'initialisation.
- Ajoutez tous les hôtes sans étiquette qui doivent être contactés lors de l'initialisation.
- Incluez tous les routeurs infra-réseau n'exécutant pas Trusted Extensions via lesquels ce système doit communiquer.
- Retirez l'assignation 0.0.0.0/0.
Ajoutez des hôtes au modèle admin_low.
- Incluez tous les routeurs infra-réseau exécutant Trusted Extensions via lesquels ce système doit communiquer.
- Assurez-vous que toutes les interfaces réseau sont assignées au modèle.
- Incluez les adresses de diffusion.
- Ajoutez les plages d'hôtes étiquetés à contacter lors de l'initialisation.
Pour un exemple de base de données, consultez l'Example 16–17.
Assurez-vous que les assignations d'hôtes n'empêchent pas le système de s'initialiser.

Exemple 16-16 Modification de l'étiquette de l'adresse IP 0.0.0.0/0

Dans cet exemple, l'administrateur crée un système de passerelle publique. L'administrateur supprime l'entrée d'hôte 0.0.0.0/0 à partir du modèle admin_low et ajoute l'entrée d'hôte 0.0.0.0/0 au modèle public sans étiquette. Le système reconnaît ensuite tout hôte non spécifiquement assigné à un autre modèle de sécurité comme un système sans étiquette possédant les attributs de sécurité du modèle de sécurité public.

# tncfg -t admin_low info
tncfg:admin_low> remove host=0.0.0.0Wildcard address
tncfg:admin_low> exit

# tncfg -t public
tncfg:public> set host_type=unlabeled
tncfg:public> set doi=1
tncfg:public> set def_label="public"
tncfg:public> set min_sl="public"
tncfg:public> set max_sl="public"
tncfg:public> add host=0.0.0.0Wildcard address
tncfg:public> exit

Exemple 16-17 Enumération de systèmes pour qu'un système Trusted Extensions effectue un contact à l'initialisation

Dans l'exemple suivant, l'administrateur configure le réseau de confiance du système Trusted Extensions avec deux interfaces réseau. Le système communique avec un autre réseau et des routeurs. Les hôtes distants sont assignés à l'un des trois modèles, cipso, admin_low ou public. Les commandes suivantes sont annotées.

# tncfg -t cipso
tncfg:admin_low> add host=127.0.0.1Loopback address
tncfg:admin_low> add host=192.168.112.111Interface 1 of this host
tncfg:admin_low> add host=192.168.113.111Interface 2 of this host
tncfg:admin_low> add host=192.168.113.6File server
tncfg:admin_low> add host=192.168.112.255Subnet broadcast address
tncfg:admin_low> add host=192.168.113.255Subnet broadcast address
tncfg:admin_low> add host=192.168.113.1Router
tncfg:admin_low> add host=192.168.117.0/24Another Trusted Extensions network
tncfg:admin_low> exit

# tncfg -t public
tncfg:public> add host=192.168.112.12Specific network router
tncfg:public> add host=192.168.113.12Specific network router
tncfg:public> add host=224.0.0.2Multicast address
tncfg:admin_low> exit

# tncfg -t admin_low
tncfg:admin_low> add host=255.255.255.255Broadcast address
tncfg:admin_low> exit

Après avoir spécifié les hôtes à contacter au moment de l'initialisation, l'administrateur supprime l'entrée 0.0.0.0/0 à partir du modèle admin_low.

# tncfg -t admin_low
tncfg:admin_low> remove host=0.0.0.0
tncfg:admin_low> exit

Exemple 16-18 Faire de l'adresse hôte 0.0.0.0/32 une adresse initiale valide

Dans cet exemple, l'administrateur de sécurité configure un serveur d'applications pour accepter les demandes de connexion initiale de clients potentiels.

L'administrateur configure le réseau de confiance du serveur. Les entrées du serveur et du client sont annotées.

# tncfg -t cipso info
name=cipso
host_type=cipso
doi=1
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=127.0.0.1/32
host=192.168.128.1/32 Application server address
host=192.168.128.0/24 Application's client network
Other addresses to be contacted at boot time

# tncfg -t admin_low info
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=192.168.128.0/24 Application's client network
host=0.0.0.0/0 Wildcard address
Other addresses to be contacted at boot time

Une fois cette phase de test réussie, l'administrateur verrouille la configuration en supprimant l'adresse générique par défaut, 0.0.0.0/0, en validant la modification, puis en ajoutant l'adresse spécifique.

# tncfg -t admin_low info
tncfg:admin_low> remove host=0.0.0.0
tncfg:admin_low> commit
tncfg:admin_low> add host=0.0.0.0/32For initial client contact
tncfg:admin_low> exit

La configuration admin_low finale s'affiche comme suit :

# tncfg -t admin_low
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
192.168.128.0/24 Application's client network
host=0.0.0.0/32 For initial client contact
Other addresses to be contacted at boot time

L'entrée 0.0.0.0/32 autorise uniquement les clients de l'application à atteindre le serveur d'application.

Exemple 16-19 Configuration d'une adresse initiale valide pour un serveur Sun Ray étiqueté

Dans cet exemple, l'administrateur de sécurité configure un serveur Sun Ray pour accepter les demandes de connexion initiale de clients potentiels. Le serveur utilise une topologie privée et les valeurs par défaut du serveur Sun Ray.

# utadm -a net0

L'administrateur configure ensuite le réseau de confiance du serveur. Les entrées du serveur et du client sont annotées.

# tncfg -t cipso info
name=cipso
host_type=cipso
doi=1
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=127.0.0.1/32
host=192.168.128.1/32 Sun Ray server address
host=192.168.128.0/24 Sun Ray client network
Other addresses to be contacted at boot time

# tncfg -t admin_low info
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=192.168.128.0/24 Sun Ray client network
host=0.0.0.0/0 Wildcard address
Other addresses to be contacted at boot time

# tncfg -t admin_low info
tncfg:admin_low> remove host=0.0.0.0
tncfg:admin_low> commit
tncfg:admin_low> add host=0.0.0.0/32For initial client contact
tncfg:admin_low> exit

La configuration admin_low finale s'affiche comme suit :

# tncfg -t admin_low
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
192.168.128.0/24 Sun Ray client network
host=0.0.0.0/32 For initial client contact
Other addresses to be contacted at boot time

L'entrée 0.0.0.0/32 autorise uniquement les clients Sun Ray à accéder au serveur.