1
Download IPv6-Adressen - Oracle Documentation
Transcript
ipsecinit.conf-Datei
#
#
#
#
#
#
#
#
#
#
#
#
#
To do basic filtering, a drop rule may be used. For example:
{lport 23 dir in} drop {}
{lport 23 dir out} drop {}
will disallow any remote system from telnetting in.
If you are using IPv6, it may be useful to bypass neighbor discovery
to allow in.iked to work properly with on-link neighbors. To do that,
add the following lines:
{ulp ipv6-icmp type 133-137 dir both } pass { }
This will allow neighbor discovery to work normally.
Sicherheitsbetrachtungen für ipsecinit.conf und
ipsecconf
Seien Sie vorsichtig, wenn Sie eine Kopie der ipsecinit.conf-Datei über ein Netzwerk
übertragen. Ein potentieller Angreifer kann eine über das Netzwerk eingehängte Datei lesen,
wenn die Datei eingelesen wird. Angenommen, die Datei /etc/inet/ipsecinit.conf wird
geöffnet oder von einem NFS eingehängten Dateisystem kopiert, kann ein potentieller
Angreifer die in der Datei enthaltene Richtlinie ändern.
Stellen Sie sicher, dass Sie IPsec-Richtlinien einrichten, bevor Sie eine Kommunikation
initiieren, da bestehende Verbindungen durch Hinzufügen von neuen Richtlinieneinträgen
beeinflusst werden können. Entsprechend sollten Sie keine Richtlinien während der
Kommunikation ändern.
Eine IPsec-Richtlinie kann insbesondere nicht für SCTP-, TCP- oder UDP-Sockets geändert
werden, für die ein connect()- oder accept()-Funktionsaufruf ausgegeben wurde. Ein Socket,
dessen Richtlinie nicht geändert werden kann, wird als gesperrtes Socket bezeichnet. Neue
Richtlinieneinträge schützen keine Sockets, die bereits gesperrt sind. Weitere Informationen
finden Sie in den Manpages connect(3SOCKET) und accept(3SOCKET).
Schützen Sie Ihr Benennungssystem. Wenn die folgenden beiden Bedingungen erfüllt sind,
sind Ihre Hostnamen nicht mehr vertrauenswürdig:
■
Ihre Quelladresse ist ein Host, der über das Netzwerk nachgeschlagen werden kann.
■
Ihr Benennungssystem wurde kompromittiert.
Sicherheitsschwächen beruhen häufig auf dem Fehlverhalten von Tools, nicht von
tatsächlichen Tools. Aus diesem Grund sollten Sie bei der Verwendung des ipsecconf-Befehls
vorsichtig sein. Verwenden Sie eine Konsole oder ein anderes festverdrahtetes TTY für den
sichersten Betriebsmodus.
596
Systemverwaltungshandbuch: IP Services • September 2010
