リンク保護の構成と統計情報を表示する方法

言語:

始める前に

Network Link Security 権利プロファイルが割り当てられている管理者になる必要があります。詳細は、Oracle Solaris 11.2 でのユーザーとプロセスのセキュリティー保護 の割り当てられている管理権利の使用を参照してください。

リンク保護のプロパティー値を表示します。

# dladm show-linkprop -p protection,allowed-ips,allowed-dhcp-cids link

次の例に、vnic0 リンクの protection、allowed-ips、および allowed-dhcp-cids プロパティーの値を示します。

# dladm show-linkprop -p protection,allowed-ips,allowed-dhcp-cids vnic0
LINK    PROPERTY            PERM  VALUE         EFFECTIVE   DEFAULT POSSIBLE
vnic0   protection          rw    mac-nospoof   mac-nospoof --      mac-nospoof,
                                  restricted    restricted          restricted,
                                  ip-nospoof    ip-nospoof          ip-nospoof,
                                  dhcp-nospoof  dhcp-nospoof        dhcp-nospoof
vnic0   allowed-ips         rw    10.0.0.1,     10.0.0.1,   --      --
                                  10.0.0.2      10.0.0.2
vnic0   allowed-dhcp-cids   rw    hello         hello       --      --

注 - allowed-ips プロパティーは、EFFECTIVE の下に一覧表示されているように、ip-nospoof が有効にされている場合にのみ使用されます。allowed-dhcp-cids プロパティーは dhcp-nospoof が有効にされている場合にのみ使用されます。

リンク保護の統計を表示します。

dlstat コマンドの出力がコミットされるため、このコマンドはスクリプトに適しています。

# dlstat -A
...
 vnic0
  mac_misc_stat
               multircv                       0
              brdcstrcv                       0
               multixmt                       0
              brdcstxmt                       0
          multircvbytes                       0
           bcstrcvbytes                       0
          multixmtbytes                       0
           bcstxmtbytes                       0
               txerrors                       0
             macspoofed                       0  <----------
              ipspoofed                       0  <----------
            dhcpspoofed                       0  <----------
             restricted                       0  <----------
               ipackets                       3
                 rbytes                     182
...

出力は、なりすましや制限されたパケットが通過を試みていないことを示しています。

kstat コマンドを使用できますが、その出力はコミットされません。たとえば、次のコマンドは dhcpspoofed 統計情報を検出します。

# kstat vnic0:0:link:dhcpspoofed
module: vnic0                           instance: 0
name:   link                            class:    vnic
        dhcpspoofed                     0

詳細は、dlstat(1M) および kstat(1M) のマニュアルページを参照してください。