Download Trusted Extensions - Oracle Documentation

Planificación de la seguridad en Trusted Extensions
Un refinamiento de esta configuración consiste en asignar una tarjeta de información de red
(NIC) por separado a cada zona. Una configuración de ese tipo se utiliza para separar
físicamente las redes de una sola etiqueta que están asociadas a cada NIC.
Un refinamiento adicional consiste en usar una o más interfaces all-zones además de un
instancia de IP por zona. Esta configuración permite utilizar interfaces internas, como vni0,
para acceder a la zona global, lo que protege a la zona global contra ataques remotos. Por
ejemplo, un servicio con privilegios que enlaza un puerto de varios niveles en una instancia
de vni0 en la zona global sólo se puede contactar internamente mediante las zonas que
utilizan la pila compartida.
■
Pila de IP exclusiva: como en Oracle Solaris, se asigna una dirección IP a cada zona,
incluida la zona global. Se crea una tarjeta de interfaz de red virtual (VNIC) para cada zona
con etiquetas.
Un refinamiento de esta configuración consiste en crear cada VNIC mediante una interfaz
red independiente. Una configuración de ese tipo se utiliza para separar físicamente las
redes de una sola etiqueta que están asociadas a cada NIC. Las zonas que están configuradas
con una pila de IP exclusiva no pueden utilizar la interfaz all-zones.
Planificación de los servicios de varios niveles
De manera predeterminada, Trusted Extensions no proporciona servicios de varios niveles. La
mayoría de los servicios se configuran fácilmente como servicios de zona a zona, es decir,
servicios de una sola etiqueta. Por ejemplo, cada zona con etiquetas puede conectarse con el
servidor NFS que se ejecuta en la etiqueta de la zona con etiquetas.
Si el sitio necesita servicios de varios niveles, estos servicios se configuran mejor en un sistema
con al menos dos direcciones IP. Los puertos de varios niveles que requiere un servicio de varios
niveles se pueden asignar a la dirección IP que está asociada con la zona global. Las zonas con
etiquetas pueden usar una dirección all-zones para acceder a los servicios.
Consejo – Si los usuarios de zonas con etiquetas no deben tener acceso a los servicios de varios
niveles, puede asignar una dirección IP al sistema. Generalmente, esta configuración de Trusted
Extensions se utiliza en equipos portátiles.
Planificación del servicio de nombres LDAP en Trusted
Extensions
Si no tiene pensado instalar una red de sistemas con etiquetas, puede omitir esta sección. Si
planea utilizar LDAP, sus sistemas se deben configurar como clientes LDAP antes de agregar la
primera zona con etiquetas.
Capítulo 1 • Planificación de la seguridad para Trusted Extensions
33