Trusted Extensions 구성 및 관리

인쇄 보기 종료

 
업데이트 날짜: 2014년 7월
 
 

신뢰할 수 있는 네트워크에 연결할 수 있는 호스트 제한

신뢰할 수 있는 네트워크에서 연결할 수 있는 호스트를 제한하는 방법

다음은 임의의 레이블이 없는 호스트가 레이블이 있는 호스트에 연결하지 못하게 하는 절차입니다. Trusted Extensions가 설치되면 admin_low 기본 보안 템플리트가 네트워크의 모든 호스트를 정의합니다. 이 절차를 사용하여 레이블이 없는 특정 호스트를 열거합니다.

각 시스템의 로컬 신뢰할 수 있는 네트워크 값은 부트 시 네트워크에 연결하는 데 사용됩니다. 기본적으로 cipso 템플리트가 제공되지 않은 모든 호스트는 admin_low 템플리트로 정의됩니다. 이 템플리트는 다르게 정의되지 않은 모든 원격 호스트(0.0.0.0/0)을 기본 레이블 admin_low의 레이블이 없는 시스템이 되도록 지정합니다.

Caution

주의  -  기본 admin_low 템플리트는 Trusted Extensions 네트워크에서 보안상 위험할 수 있습니다. 사이트 보안에 강력한 보호가 요구되는 경우 보안 관리자는 시스템이 설치된 후 0.0.0.0/0 와일드카드 항목을 제거할 수 있습니다. 항목은 시스템이 부트 시 연결하는 모든 호스트에 대한 항목으로 바뀌어야 합니다. 예를 들어, 0.0.0.0/0 와일드카드 항목이 제거된 후 DNS 서버, 홈 디렉토리 서버, 감사 서버, 브로드캐스트/멀티캐스트 주소 및 라우터가 템플리트에 명시적으로 추가되어야 합니다. 응용 프로그램이 처음에 호스트 주소 0.0.0.0/32의 클라이언트를 인식하는 경우 admin_low 템플리트에 0.0.0.0/32 호스트 항목을 추가해야 합니다. 예를 들어 잠재적 Sun Ray 클라이언트에서 초기 연결 요청을 받으려면 Sun Ray 서버에 다음 항목을 포함해야 합니다. 그러면 서버에서 클라이언트를 인식할 때 클라이언트에 IP 주소가 제공되고 레이블이 있는 클라이언트로 연결됩니다.

시작하기 전에

전역 영역에서 보안 관리자 역할을 가진 사용자여야 합니다.

부트 시 연결해야 하는 모든 호스트는 /etc/hosts 파일에 있어야 합니다.

  1. 부트 시 연결해야 하는 모든 레이블이 없는 호스트에 admin_low 템플리트를 추가합니다.

    • 부트 시 연결해야 하는 각 레이블이 없는 호스트를 포함합니다.

    • Trusted Extensions를 실행하지 않는 모든 온-링크 라우터를 포함합니다. 이 라우터를 통해 이 시스템이 통신해야 합니다.

    • 0.0.0.0/0 지정을 제거합니다.

  2. 호스트를 cipso 템플리트에 추가합니다.

      부팅 시 연결해야 하는 각 레이블이 있는 호스트를 추가합니다.

    • Trusted Extensions를 실행하는 모든 온-링크 라우터를 포함합니다. 이 라우터를 통해 이 시스템이 통신해야 합니다.

    • 모든 네트워크 인터페이스가 템플리트에 지정되었는지 확인합니다.

    • 브로드캐스트 주소를 포함합니다.

    • 부트 시 연결해야 하는 레이블이 있는 호스트의 범위를 포함합니다.

    샘플 데이터베이스는 Example 16–17를 참조하십시오.

  3. 호스트 지정에서 시스템 부팅을 허용하는지 확인합니다.
예 16-16  0.0.0.0/0 IP 주소의 레이블 변경

이 예에서 관리자는 공용 게이트웨이 시스템을 만듭니다. 관리자는 0.0.0.0/0 호스트 항목을 admin_low 템플리트에서 제거하고 0.0.0.0/0 호스트 항목을 레이블이 없는 public 템플리트에 추가합니다. 그러면 시스템은 다른 보안 템플리트에 명시적으로 지정되지 않은 모든 시스템을 public 보안 템플리트의 보안 속성을 가진 레이블이 없는 시스템으로 인식합니다.

# tncfg -t admin_low info
tncfg:admin_low> remove host=0.0.0.0Wildcard address
tncfg:admin_low> exit
# tncfg -t public
tncfg:public> set host_type=unlabeled
tncfg:public> set doi=1
tncfg:public> set def_label="public"
tncfg:public> set min_sl="public"
tncfg:public> set max_sl="public"
tncfg:public> add host=0.0.0.0Wildcard address
tncfg:public> exit
예 16-17  부트 시 Trusted Extensions 시스템에서 연결할 시스템 열거

다음 예에서 관리자는 두 네트워크 인터페이스를 사용하여 Trusted Extensions 시스템의 신뢰할 수 있는 네트워크를 구성합니다. 시스템은 다른 네트워크 및 라우터와 통신합니다. 원격 호스트는 cipso, admin_low 또는 public의 세 템플리트 중 하나에 지정됩니다. 다음 명령은 주석 처리됩니다.

# tncfg -t cipso
tncfg:admin_low> add host=127.0.0.1Loopback address
tncfg:admin_low> add host=192.168.112.111Interface 1 of this host
tncfg:admin_low> add host=192.168.113.111Interface 2 of this host
tncfg:admin_low> add host=192.168.113.6File server
tncfg:admin_low> add host=192.168.112.255Subnet broadcast address
tncfg:admin_low> add host=192.168.113.255Subnet broadcast address
tncfg:admin_low> add host=192.168.113.1Router
tncfg:admin_low> add host=192.168.117.0/24Another Trusted Extensions network
tncfg:admin_low> exit
# tncfg -t public
tncfg:public> add host=192.168.112.12Specific network router
tncfg:public> add host=192.168.113.12Specific network router
tncfg:public> add host=224.0.0.2Multicast address
tncfg:admin_low> exit
# tncfg -t admin_low
tncfg:admin_low> add host=255.255.255.255Broadcast address
tncfg:admin_low> exit

부트 시 연결할 호스트를 지정한 후 관리자는 0.0.0.0/0 항목을 admin_low 템플리트에서 제거합니다.

# tncfg -t admin_low
tncfg:admin_low> remove host=0.0.0.0
tncfg:admin_low> exit
예 16-18  호스트 주소 0.0.0.0/32를 유효한 초기 주소로 만들기

이 예제에서 보안 관리자는 잠재적인 클라이언트의 초기 연결 요청을 수락하도록 애플리케이션 서버를 구성합니다.

관리자는 서버의 신뢰할 수 있는 네트워크를 구성합니다. 서버 및 클라이언트 항목은 주석 처리됩니다.

# tncfg -t cipso info
name=cipso
host_type=cipso
doi=1
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=127.0.0.1/32
host=192.168.128.1/32 Application server address
host=192.168.128.0/24 Application's client network
Other addresses to be contacted at boot time
# tncfg -t admin_low info
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=192.168.128.0/24 Application's client network
host=0.0.0.0/0 Wildcard address
Other addresses to be contacted at boot time

이 테스트 단계가 성공한 후 관리자는 기본 와일드카드 주소 0.0.0.0/0을 제거하고 변경 사항을 커밋한 다음 특정 주소를 추가하여 구성을 잠급니다.

# tncfg -t admin_low info
tncfg:admin_low> remove host=0.0.0.0
tncfg:admin_low> commit
tncfg:admin_low> add host=0.0.0.0/32For initial client contact
tncfg:admin_low> exit

최종 admin_low 구성은 다음과 유사하게 나타납니다.

# tncfg -t admin_low
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
192.168.128.0/24 Application's client network
host=0.0.0.0/32 For initial client contact
Other addresses to be contacted at boot time

0.0.0.0/32 항목은 응용 프로그램의 클라이언트만 응용 프로그램 서버에 연결할 수 있도록 허용합니다.

예 16-19  레이블이 있는 Sun Ray 서버에 대한 유효한 초기 주소 구성

이 예제에서 보안 관리자는 잠재적인 클라이언트의 초기 연결 요청을 수락하도록 Sun Ray 서버를 구성합니다. 서버는 개인 토폴로지와 Sun Ray 서버 기본값을 사용합니다.

# utadm -a net0

그런 다음 관리자는 서버의 신뢰할 수 있는 네트워크를 구성합니다. 서버 및 클라이언트 항목은 주석 처리됩니다.

# tncfg -t cipso info
name=cipso
host_type=cipso
doi=1
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=127.0.0.1/32
host=192.168.128.1/32 Sun Ray server address
host=192.168.128.0/24 Sun Ray client network
Other addresses to be contacted at boot time
# tncfg -t admin_low info
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
host=192.168.128.0/24 Sun Ray client network
host=0.0.0.0/0 Wildcard address
Other addresses to be contacted at boot time

이 테스트 단계가 성공한 후 관리자는 기본 와일드카드 주소 0.0.0.0/0을 제거하고 변경 사항을 커밋한 다음 특정 주소를 추가하여 구성을 잠급니다.

# tncfg -t admin_low info
tncfg:admin_low> remove host=0.0.0.0
tncfg:admin_low> commit
tncfg:admin_low> add host=0.0.0.0/32For initial client contact
tncfg:admin_low> exit

최종 admin_low 구성은 다음과 유사하게 나타납니다.

# tncfg -t admin_low
name=cipso
host_type=cipso
doi=1
def_label=ADMIN_LOW
min_label=ADMIN_LOW
max_label=ADMIN_HIGH
192.168.128.0/24 Sun Ray client network
host=0.0.0.0/32 For initial client contact
Other addresses to be contacted at boot time

0.0.0.0/32 항목은 Sun Ray 클라이언트만 서버에 연결할 수 있게 합니다.

Copyright © 1992, 2014, Oracle and/or its affiliates. All rights reserved. 법적 공지
이전
다음