anita:/# cat /etc/default/inetinit
# @(#)inetinit.dfl 1.2 97/05/08
#
# TCP_STRONG_ISS sets the TCP initial sequence number generation parameters.
# Set TCP_STRONG_ISS to be:
# 0 = Old-fashioned sequential initial sequence number generation.
# 1 = Improved sequential generation, with random variance in increment.
# 2 = RFC 1948 sequence number generation, unique-per-connection-ID.
#
TCP_STRONG_ISS=2
anita:/#
Al contrario de lo que sucede con ndd, cuyos cambios se pierden al
reiniciar el sistema y hay que planificar en el arranque si necesitamos hacerlos
permanentes, la modificación del fichero anterior no tendrá efecto hasta
que el sistema vuelva a arrancar; si no queremos detener la máquina, podemos
conseguir lo mismo mediante la orden `ndd' sobre el núcleo en
ejecución:
anita:/# ndd -set /dev/tcp tcp_strong_iss 2
anita:/#
También mediante ndd podemos modificar en Solaris las restricciones
relativas a los puertos reservados (aquellos que sólo el root puede
utilizar, por defecto los que están por debajo del 1024). En primer lugar,
podemos definir el mínimo puerto no reservado, para que las conexiones al
sistema o los procesos de usuario puedan utilizar sólo los que están por
encima de él; si por ejemplo queremos que el rango de puertos reservados
comprenda a todos los que están por debajo del 5000 podemos ejecutar la orden
siguiente:
anita:/# ndd -set /dev/tcp tcp_smallest_nonpriv_port 5000
anita:/#
Además, desde su versión 2.6 Solaris permite marcar puertos individuales
como reservados, tanto UDP como TCP, y también eliminar esta
restricción de puertos que previamente hayamos reservado; por defecto, aparte
de los primeros 1024 puertos, Solaris define como reservados - en TCP y
UDP - los puertos 2049 (nfsd) y 4045 (lockd). En el siguiente
ejemplo se muestra cómo consultar los puertos marcados de esta forma, cómo
añadir un alguno a la lista, y cómo eliminarlo de la misma; aunque el
ejemplo se aplica a TCP, el caso de UDP es completamente análogo
pero sustituyendo el nombre del dispositivo contra el que ejecutamos la orden
(que sería /dev/udp) y la cadena `tcp' del nombre de cada
parámetro por `udp':
anita:/# ndd /dev/tcp tcp_extra_priv_ports
2049
4045
anita:/# ndd -set /dev/tcp tcp_extra_priv_ports_add 5000
anita:/# ndd /dev/tcp tcp_extra_priv_ports
2049
4045
5000
anita:/# ndd -set /dev/tcp tcp_extra_priv_ports_del 5000
anita:/# ndd /dev/tcp tcp_extra_priv_ports
2049
4045
anita:/#
Antes de finalizar este punto es importante insistir en que los cambios
producidos
por `ndd' sólo se mantienen hasta el siguiente reinicio del sistema;
de esta forma, las modificaciones que hemos visto aquí se mantendrán
sólo mientras la máquina no se pare, pero si esto sucede en el arranque
todos los parámetros del subsistema de red tomarán sus valores por defecto.
Por tanto, lo más probable es que nos interese planificar en el inicio del
sistema las modificaciones estudiadas en este punto para que se ejecuten de
forma automática; para conseguirlo, no tenemos más que crear el script correspondiente y ubicarlo en el directorio /etc/rc2.d/ con un
nombre que comience por `S', con lo que hacemos que se ejecute siempre que
la máquina entre en un runlevel 2:
anita:~# cat /etc/init.d/nddconf
#!/sbin/sh
#
# Configuracion segura del subsistema de red de Solaris
#
ndd -set /dev/ip ip_forwarding 0
ndd -set /dev/ip ip_strict_dst_multihoming 1
ndd -set /dev/ip ip_forward_directed_broadcasts 0
ndd -set /dev/ip ip_forward_src_routed 0
ndd -get /dev/arp arp_cleanup_interval 60000
ndd -get /dev/ip ip_ire_flush_interval 60000
ndd -get /dev/ip ip_respond_to_echo_broadcast 0
ndd -get /dev/ip ip_respond_to_timestamp_broadcast 0
ndd -get /dev/ip ip_respond_to_address_mask_broadcast 0
ndd -get /dev/ip ip_respond_to_timestamp 0
ndd -get /dev/ip ip_ignore_redirects 1
ndd -get /dev/ip ip_send_redirects 0
ndd -set /dev/tcp tcp_strong_iss 2
#
anita:~# chmod 744 /etc/init.d/nddconf
anita:~# chown root:sys /etc/init.d/nddconf
anita:~# ln /etc/init.d/nddconf /etc/rc2.d/S70nddconf
anita:~#
Si queremos conocer mejor la configuración de seguridad del subsistema de
red de Solaris una excelente obra que no debería faltar en la mesa
de ningún administrador de sistemas es [NW99]; todo este punto está
basado ampliamente en ella. Incluye, además de explicaciones claras sobre
el porqué del valor de cada parámetro para prevenir posibles ataques, un
shellscript para planificar en el inicio del sistema, muchísimo más
completo que el presentado aquí, y aplicable a varias versiones de Solaris
(incluyendo la 8); en sistemas en los que la seguridad es un factor a tener en
cuenta (>todos?) es casi obligatorio utilizar esta planificación.
Siguiente: Parámetros del núcleo
Subir: Solaris
Anterior: sfpDB
Índice General
2003-08-08