About DATABASE

(1) 자신의 개인적인 환경 설정

(1-1) login shell을 변경
# passwd -e
old shell : /sbin/sh
new shell : /bin/ksh <--- 기본적으로 대부분의 관리자는 ksh을 사용한다.

 

(1-2) $HOME/.profile 생성 및 편집
기본적으로 root(관리자)에게는 .profile이 존재하지 않는다.
그래서 원형파일을 복사하여 사용한다.
# cp /etc/skel/local.profile $HOME/.profile
# vi $HOME/.profile

# @(#)local.profile 1.8 99/03/26 SMI
stty istrip
ENV=/.kshrc
EDITOR=vi
PATH=/usr/local/bin:/usr/sadm/admin/bin:/usr/dt/bin:/usr/openwin/bin:/usr/ccs/bin:/usr/sbin:/sbin:/bin:/usr/bin:/usr/ucb:/etc:.

MANPATH=/usr/share/man:/usr/dt/man:/usr/local/man/usr/openwin/share/man:/usr/man
export PATH ENV EDITOR DISPLAY MANPATH
#
# If possible, start the windows system
#
if [ "`tty`" = "/dev/console" ] ; then
if [ "$TERM" = "sun" -o "$TERM" = "sun-color" -o "$TERM" = "AT386" ]
then
if [ ${OPENWINHOME:-""} = "" ] ; then
OPENWINHOME=/usr/openwin
export OPENWINHOME
fi
echo ""
echo "Starting OpenWindows in 5 seconds (type Control-C to interrupt)"
sleep 5
echo ""
$OPENWINHOME/bin/openwin
clear # get rid of annoying cursor rectangle
exit # logout after leaving windows system
fi

# . $HOME/.profile

 

(1-3) $HOME/.kshrc 생성 및 편집

 

# vi $HOME/.kshrc
PS1=[$LOGNAME@`hostname`:'$PWD]# ' <--- 쉘 변수 설정
export PS1 <--- 변수를 export한다.

set -o vi <--- korn shell을 설정한다.

alias ls='\ls -F' <--- alias을 설정한다.
alias ll='\ls -alF | more'
alias mv='\mv -i'
alias cp='\cp -i'
alias rm='\rm -i'

# ksh
# . $HOME/.kshrc

그럼 아래와 같이 프롬프트가 변경이 된다.
[root@test:/]#

 

(2) vi 편집기에 대한 환경설정
# vi $HOME/.exrc
set showmode sm nu
set ai nolist

# . $HOME/.exrc

(3) 전체적인 설정을 확인

(3-1) 로그인 쉘을 확인
# cat /etc/passwd | grep root
root:x:0:1:Super-User:/:/bin/ksh

 

(3-2) 쉘 프롬프트를 확인
[root@test:/]#

 

(3-3) vi 환경설정 확인
# vi testfile
( ) <--- ( )을 입력해 보면 커서가 움직이게 된다.

Sun 서버 시스템에서의 negotiation 설정

네트워크의 negotiation
 
network 상에서 negotiation 이란 네트워크 장비와 서버간의 속도를
맞춰주는 것을 말한다. 이는 10/100/1000 이냐 아니면 half/full
duplex 인가를 맞춰주는 것이다.
 
hme interface는 디폴트로 네트웍에 연결된 상대방의 interface에
negotiation하여 10/100 half/full duplex에 맞게 연결이 된다.
그러나 이 negotiation 기능이 없는장비나 다른 이유로 하여
negotiation을 하지 못 하여 interface가 UP 되지 못할 경우가
있다. 이 경우에는 negotiation 기능을 사용하지 말고, 연결될 장비의
 setting에 맞추어 수동으로 10/100 half/full duplex 설정하여야 한다.
 
hme interface의 parameter를 변경하기 위한 방법에는 2 가지가 있다.
 
        a) ndd 명령어를 사용하는 방법
        b) /etc/system 화일을 수정하는 방법
 
 
1. ndd 명령어를 사용하여 변경
 
    1.1. hme interface의 속도를 10MB full duplex로 설정하려면
다음과 같이 한다.
 
         # ndd -set /dev/hme adv_100T4_cap 0
         # ndd -set /dev/hme adv_100fdx_cap 0
         # ndd -set /dev/hme adv_100hdx_cap 0
         # ndd -set /dev/hme adv_10fdx_cap 1
         # ndd -set /dev/hme adv_10hdx_cap 0
         # ndd -set /dev/hme adv_autoneg_cap 0
 
    1.2. hme interface의 속도를 10MB half duplex로 설정하려면
다음과 같이 한다.
 
        # ndd -set /dev/hme adv_100T4_cap 0
        # ndd -set /dev/hme adv_100fdx_cap 0
        # ndd -set /dev/hme adv_100hdx_cap 0
        # ndd -set /dev/hme adv_10fdx_cap 0
        # ndd -set /dev/hme adv_10hdx_cap 1
        # ndd -set /dev/hme adv_autoneg_cap 0
 
    1.3. hme interface의 속도를 100MB full duplex로 설정하려면
다음과 같이 한다.
 
        # ndd -set /dev/hme adv_100T4_cap 0
        # ndd -set /dev/hme adv_100fdx_cap 1
        # ndd -set /dev/hme adv_100hdx_cap 0
        # ndd -set /dev/hme adv_10fdx_cap 0
        # ndd -set /dev/hme adv_10hdx_cap 0
        # ndd -set /dev/hme adv_autoneg_cap 0
 
    1.4. hme interface의 속도를 100MB half duplex로 설정하려면
다음과 같이 한다.
 
        # ndd -set /dev/hme adv_100T4_cap 0
        # ndd -set /dev/hme adv_100fdx_cap 0
        # ndd -set /dev/hme adv_100hdx_cap 1
        # ndd -set /dev/hme adv_10fdx_cap 0
        # ndd -set /dev/hme adv_10hdx_cap 0
        # ndd -set /dev/hme adv_autoneg_cap 0
 
 
2. /etc/system 화일을 변경
 
    /etc/system 화일에 변경한 내용은 바로 적용되지 않고, 리부팅한
후에  시스템에 적용된다.
   
    2.1 hme interface의 속도를 10MB full duplex로 설정하려면
다음과 같이 한다.
 
        set hme:hme_adv_autoneg_cap=0
        set hme:hme_adv_100T4_cap=0
        set hme:hme_adv_100fdx_cap=0
        set hme:hme_adv_100hdx_cap=0
        set hme:hme_adv_10fdx_cap=1
        set hme:hme_adv_10hdx_cap=0
 
   2.2 hme interface의 속도를 10MB half duplex로 설정하려면
다음과 같이 한다.
 
        set hme:hme_adv_autoneg_cap=0
        set hme:hme_adv_100T4_cap=0
        set hme:hme_adv_100fdx_cap=0
        set hme:hme_adv_100hdx_cap=0
        set hme:hme_adv_10fdx_cap=0
        set hme:hme_adv_10hdx_cap=1
 
    2.3 hme interface의 속도를 100MB full duplex로 설정하려면
다음과 같이 한다.
 
        set hme:hme_adv_autoneg_cap=0
        set hme:hme_adv_100T4_cap=0
        set hme:hme_adv_100fdx_cap=1
        set hme:hme_adv_100hdx_cap=0
        set hme:hme_adv_10fdx_cap=0
        set hme:hme_adv_10hdx_cap=0
 
   2.4 hme interface의 속도를 100MB half duplex로 설정하려면
다음과 같이 한다.
 
        set hme:hme_adv_autoneg_cap=0
        set hme:hme_adv_100T4_cap=0
        set hme:hme_adv_100fdx_cap=0
        set hme:hme_adv_100hdx_cap=1
        set hme:hme_adv_10fdx_cap=0
        set hme:hme_adv_10hdx_cap=0
 
3. hme 카드가 2개 이상 있는 경우에 개별적인 instance에 대해서
각각 지정하여야 한다.
 
        # ndd -set /dev/hme instance 0
 
               hme0에 대하여 위에 지정한 파라메터를 여기에 지정한다.
 
 
        # ndd -set /dev/hme instance 1
 
               hme1에 대하여 위에 지정한 파라메터를 여기에 지정한다.
 
 
4. 실제 시스템에 설정된 상태를 확인하려면 다음과 같은 명령어로
확인할 수 있다.
 
        # ndd -get /dev/hme link_status
        # ndd -get /dev/hme link_speed
        # ndd -get /dev/hme link_mode
 
        link_status (read only)
               0 for Link Down
               1 for Link up
 
        link_speed (read only)
               0 for 10 Mbps
               1 for 100 Mbps
 
        link_mode (read only)
               0 for Half-Duplex mode
               1 for Full-Duplex mode
 

 

 

 

qfe interface는 디폴트로 네트웍에 연결된 상대방의 interface와
negotiation하여 10/100 half/full duplex에 맞게 연결이 된다.
그러나 이 negotiation 기능이 없는 장비나 다른 이유로 하여
negotiation을 하지 못 하여 interface가 UP 되지 못할 경우가 있다.
이 경우에는 negotiation 기능을 사용하지 말고, 연결될 장비의
setting에 맞추어 수동으로 10/100 half/full duplex 설정하여야 한다.
 
qfe interface의 parameter를 변경하기 위한 방법에는 2 가지가 있다.
 
        a) ndd 명령어를 사용하는 방법
        b) /etc/system 화일을 수정하는 방법
 
1. ndd 명령어를 사용하여 변경
 
    1.1. qfe interface의 속도를 10MB full duplex로 설정하려면
다음과 같이 한다.
 
         # ndd -set /dev/qfe adv_100T4_cap 0
         # ndd -set /dev/qfe adv_100fdx_cap 0
         # ndd -set /dev/qfe adv_100hdx_cap 0
         # ndd -set /dev/qfe adv_10fdx_cap 1
         # ndd -set /dev/qfe adv_10hdx_cap 0
         # ndd -set /dev/qfe adv_autoneg_cap 0
 
    1.2. qfe interface의 속도를 10MB half duplex로 설정하려면
다음과 같이 한다.
 
        # ndd -set /dev/qfe adv_100T4_cap 0
        # ndd -set /dev/qfe adv_100fdx_cap 0
        # ndd -set /dev/qfe adv_100hdx_cap 0
        # ndd -set /dev/qfe adv_10fdx_cap 0
        # ndd -set /dev/qfe adv_10hdx_cap 1
        # ndd -set /dev/qfe adv_autoneg_cap 0
 
    1.3. qfe interface의 속도를 100MB full duplex로 설정하려면
다음과 같이 한다.
 
        # ndd -set /dev/qfe adv_100T4_cap 0
        # ndd -set /dev/qfe adv_100fdx_cap 1
        # ndd -set /dev/qfe adv_100hdx_cap 0
        # ndd -set /dev/qfe adv_10fdx_cap 0
        # ndd -set /dev/qfe adv_autoneg_cap 0
 
    1.4. qfe interface의 속도를 100MB half duplex로 설정하려면
다음과 같이 한다.
 
        # ndd -set /dev/qfe adv_100T4_cap 0
        # ndd -set /dev/qfe adv_100fdx_cap 0
        # ndd -set /dev/qfe adv_100hdx_cap 1
        # ndd -set /dev/qfe adv_10fdx_cap 0
        # ndd -set /dev/qfe adv_autoneg_cap 0
 
2. /etc/system 화일을 변경
 
    /etc/system 화일에 변경한 내용은 바로 적용되지 않고, 시스템을
리부팅한 후에 적용된다.
 
    2.1 qfe interface의 속도를 10MB full duplex로 설정하려면
 다음과 같이 한다.
 
        set qfe:qfe_adv_autoneg_cap=0
        set qfe:qfe_adv_100T4_cap=0
        set qfe:qfe_adv_100fdx_cap=0
        set qfe:qfe_adv_100hdx_cap=0
        set qfe:qfe_adv_10fdx_cap=1
        set qfe:qfe_adv_10hdx_cap=0
 
   2.2 qfe interface의 속도를 10MB half duplex로 설정하려면
다음과 같이 한다.
 
        set qfe:qfe_adv_autoneg_cap=0
        set qfe:qfe_adv_100T4_cap=0
        set qfe:qfe_adv_100fdx_cap=0
        set qfe:qfe_adv_100hdx_cap=0
        set qfe:qfe_adv_10fdx_cap=0
        set qfe:qfe_adv_10hdx_cap=1
 
    2.3 qfe interface의 속도를 100MB full duplex로 설정하려면
다음과 같이 한다.
 
        set qfe:qfe_adv_autoneg_cap=0
        set qfe:qfe_adv_100T4_cap=0
        set qfe:qfe_adv_100fdx_cap=1
        set qfe:qfe_adv_100hdx_cap=0
        set qfe:qfe_adv_10fdx_cap=0
        set qfe:qfe_adv_10hdx_cap=0
 
   2.4 qfe interface의 속도를 100MB half duplex로 설정하려면
다음과 같이 한다.
 
        set qfe:qfe_adv_autoneg_cap=0
        set qfe:qfe_adv_100T4_cap=0
        set qfe:qfe_adv_100fdx_cap=0
        set qfe:qfe_adv_100hdx_cap=1
        set qfe:qfe_adv_10fdx_cap=0
        set qfe:qfe_adv_10hdx_cap=0
 
3. 위와 같이 하면 시스템에 설치되어 있는 모든 qfe interface의
속도를 10MB 또는 100MB로 지정할 수 있다. 그러나 각 interface
별로 각각 다른 속도를 지정하고 싶은 경우에는 아래와 같이 interface
를 먼저 지정한후 1 또는 2번 과정을 실행 한다.
 
   3.1 ndd 명령어를 사용하는 경우
        ndd -set /dev/qfe instance "instance-number"
 
   3.2 /etc/system 화일을 수정하는 경우
 
        set qfe:qfe_instance="instance-number"
 
   위의 설명에서 "instance-number"는 qfe0 interface는 "0",
qfe1 interface는 "1", qfe2 interface는 "2"... 와  같이 정의 된다.

 

# ifconfig -a
lo0: flags=1000849<UP,LOOPBACK,RUNNING,MULTICAST,IPv4> mtu 8232 index 1
        inet 127.0.0.1 netmask ff000000
ce0: flags=1000843<UP,BROADCAST,RUNNING,MULTICAST,IPv4> mtu 1500 index 2
        inet 223.222.222.9 netmask ffffff00 broadcast 222.222.222.255
ce2: flags=1000843<UP,BROADCAST,RUNNING,MULTICAST,IPv4> mtu 1500 index 3
        inet 50.222.222.2 netmask ffffff00 broadcast 50.222.222.255

 

# ndd -get /dev/ce '?'

....

instance                      (read and write)
adv_autoneg_cap               (read and write)
adv_1000fdx_cap               (read and write)
adv_1000hdx_cap               (read and write)
adv_100T4_cap                 (read and write)
adv_100fdx_cap                (read and write)
adv_100hdx_cap                (read and write)
adv_10fdx_cap                 (read and write)
adv_10hdx_cap                 (read and write)
.....

 

# cat /etc/rc2.d/S69inet

......

######## 100FDX ERI ###############
ndd -set /dev/ce instance 0
ndd -set /dev/ce adv_1000fdx_cap 0
ndd -set /dev/ce adv_1000hdx_cap 0
ndd -set /dev/ce adv_100T4_cap 0
ndd -set /dev/ce adv_100fdx_cap 1
ndd -set /dev/ce adv_100hdx_cap 0
ndd -set /dev/ce adv_10fdx_cap 0
ndd -set /dev/ce adv_10hdx_cap 0
ndd -set /dev/ce adv_autoneg_cap 0

 

ndd -set /dev/ce instance 2
ndd -set /dev/ce adv_1000fdx_cap 0
ndd -set /dev/ce adv_1000hdx_cap 0
ndd -set /dev/ce adv_100T4_cap 0
ndd -set /dev/ce adv_100fdx_cap 1
ndd -set /dev/ce adv_100hdx_cap 0
ndd -set /dev/ce adv_10fdx_cap 0
ndd -set /dev/ce adv_10hdx_cap 0
ndd -set /dev/ce adv_autoneg_cap 0

ndd -set /dev/ce instance 0

Solaris Network Kernel Tunning for Security           출처:  http://blog.naver.com/uliel7719.do

1. 소개

 

Solaris Kernel은 TCP/IP스택에 여러가지 사용자 인터페이스를 제공한다. Cache 테이블의 ifetime 및 다수의 TCP 연결에 대한 여러가지 옵션을 통하여 Kernel Parameter의 설정 및 제어가 가능하다. 하지만 이러한 Kernel Parameter들을 Tunning하기 위하여 각각의 kernel parameter들에대한 정확한 기능들의 이해가 반드시 요구되어진다. 그리고 많은 시스템관리자들은 이러한 Kernel Parameter들을 사용 및 설정하는 등의 일련의 Security 업무에 소홀히 해왔다. 이 보고서에서는 solaris에서 제공되어지는 Network Security Kernel들에 관련하여 올바르게 이해해고 설정하여 Tunning하는 방법을 소개하고자 한다.

 

2. Solaris Kernel Tools

 

solaris에서는 TCP/IP 커널에 대한 드라이버로서 "ndd"가 유일한 도구이며 Solaris 시스템의 네트워크 커널 변수들을 Tunning하기 위한 가장 유용한 Tool이 "ndd"이다.

 

3. Solaris 네트워크 커널 변수들

 

일반적으로 TCP/IP 커널에 대한 변수들을 보는 방법은 다음과 같은 명령어를 실행함으로써 가능하다.

# ndd /dev/<driver> <parameter>

여기서 TCP/IP 커널에 대하여 <driver>는 ARP, IP, TCP, UDP중에 하나이며 각각의 드라이버에 대하여 모든 변수들을 보는 명령어는 다음과 같다.

 

# ndd /dev/<driver> \?

 

IP 드라이버에 대한 명령어를 실행하면 다음과 같이 출력된다.

 

[phoenix:root]:/ >ndd /dev/ip \?

? (read only)

ip_forwarding (read and write)

ip_respond_to_address_mask_broadcast(read and write)

ip_respond_to_echo_broadcast (read and write)

ip_respond_to_timestamp (read and write)

ip_respond_to_timestamp_broadcast(read and write)

ip_send_redirects (read and write)

ip_forward_directed_broadcasts(read and write)

ip_debug (read and write)

ip_mrtdebug (read and write)

ip_ire_cleanup_interval (read and write)

ip_ire_flush_interval (read and write)

ip_ire_redirect_interval (read and write)

ip_def_ttl (read and write)

ip_forward_src_routed (read and write)

ip_wroff_extra (read and write)

ip_ire_pathmtu_interval (read and write)

ip_icmp_return_data_bytes (read and write)

ip_send_source_quench (read and write)

ip_path_mtu_discovery (read and write)

ip_ignore_delete_time (read and write)

ip_ignore_redirect (read and write)

ip_output_queue (read and write)

ip_broadcast_ttl (read and write)

ip_icmp_err_interval (read and write)

ip_reass_queue_bytes (read and write)

ip_strict_dst_multihoming (read and write)

ip_addrs_per_if (read and write)

ip_ill_status (read only)

ip_ipif_status (read only)

ip_ire_status (read only)

ip_ipc_status (read only)

ip_rput_pullups (read and write)

ip_enable_group_ifs (read and write)

 

ndd를 사용하여 커널 변수를 설정하기 위하여는 다음과 같이 명령어를 실행하면 된다.

 

# ndd -set /dev/<driver> <parameter> <value>

 

ndd를 사용하여 커널 변수를 변경할때는 주의하여야 할 사항이 있다. 한번 설정된 parameter는 시스템을 재부팅할 경우에는 이전에 설정된 값이 원래의 기본설정값으로 변경된다는 점이다. 설정된 값을 계속적으로 사용하기 위해서는 시스템 관리자가 shell script등을 이용해서 시스템 부팅시 자동으로 시스템관리자가 원하는 설정값으로 설정되게 운영하여야 많다. 예를들어 /etc/init.d/inetinit나 개별적인 shell script로 운영하여야만 한다.

 

4. ARP (Address Resolution Protocol)

 

ARP는 Layer3의 네트워크 주소를 data-link 주소(MAC Address)로 동적 맵핑(mapping)하는데 사용된다. 하나의 시스템이 한 네트워크 상에서 다른 시스템과 통신하고자 한다면 broadcast주소인 ff:ff:ff:ff:ff:ff로 ARP 패킷을 첫번째로 보낸다.

그 패킷은 단순한 패킷으로서 해당 주소를 어떤 시스템이 사용하고 있는지에 대한 질의 패킷이다. 예를 들어 누가 주소 A를 사용하고 있느지에 대하여 ARP패킷을 broadcast하면, 한 network 상에 존재하는 모든 호스트들이 이 패킷을 수신하게 된다. 이때 시스템 A는 ARP 요구에 대한 응답으로서 답을 보내게된다.

ARP Broadcast패킷을 보냈던 해당 시스템은 32bit IP주소를 layer-2인 MAC주소로 매핑하면서 table과 cache를 구성하여 운영하게 된다. 이때 해당 시스템은 network layer에의한 두번째 테이블을 구성하게 된다. 이 테이블은 data-link layer에의해 제공되어지는 정보로부터 구성되어지며, 활성화된 연결에대한 네트워크 라우팅 정보를 포함하고 있다. network layer는 data-link layer로부터 MAC주소를 요청하며, 요청된 결과로부터 수신된 이러한 주소를 네트워크 라우팅 테이블에 저장되어진다. Network layer의 정보는 20분 후에 만료된다.

 

하나의 네트워크에서 호스트는 다른 시스템과 통신하기 우히아여 첫번째로 IP layer의 ARP cache를 체크한다. 이때 네트워크 peer에대한 엔트리가 cache에 존해하지 않으면 ARP 요청이 broadcast되어 진다. ARP Cache 엔트리는 5분후에 만료된다. ARP Cache를 이용한 공격은 두가지 종류가 있다. 하나는 ARP cache poisoning이며 다른 하나는 ARP spoofing이다.

 

ARP cache poisoning은 존재하지 않는 ARP주소나, 잘못된 ARP주소를 시스템의 ARP cache에 삽입시키는 것이다. 이것은 target시스템이 peer의 IP주소로 패킷을 보내지만 MAC주소가 잘못되어 있기때문에 해당 시스템으로 하여금 서비스 거부를 일으킬수 있다,

 

ARP spoofing은 system compromise결과를 초래할 수 있다. IP spoofing처럼 ARP spoofing은 네트워크상에 존재하는 하나의 호스트를 네트워크 기능을 정상적으로 처리하지 못하게 해서 모든 ARP 요청 broadcast에 대한 응답을 못하도록 한다. 이것이 행해지기만 하면 공격자는 무능력해진 호스트의 IP주소를 공격 호스트로서 구성하여 사용할 수가 있게 되어진다. 피해 호스트가 무능력해진 호스트와 통신하려 할때 공격자의 시스템이 모든 ARP broadcast의 요청에 응답하게 된다. 이렇게 하면 그것의 MAC주소가 피해시스템의 ARP Cache에 저장되어지게 되서 피해시스템은 disable된 시스템이 공격자의 시스템으로 알게되서 공격시스템과 피해시스팀과의 정상적인 통신이 가능하게 되어진다.

 

ARP 공격에 대응하기는 매우 어렵다. ARP공격에 대한 한가지 대응방법은 cache 엔트리의 lifetime을 줄이는 것이다. cache lifetime은 네트워크 커널 변수인 arp_cleanup_interval에 의하여 결정되어 진다. IP routing 테이블 엔트리의 lifetime은 커널 변수인 ip_ire_flush_interval에 의해서 조정되어 질 수 있다. 이에 대한 커널 변수는 다음과 같은 명령어의 실행에 의해서 가능하다.

 

# ndd -set /dev/arp arp_cleanup_interval <time>

# ndd -set /dev/ip ip_ire_flush_interval <time>

 

여기서 time은 millisecond를 의미한다. ARP Cache 만료 및 IP routing 테이블의 만료시간을 줄이는 것은 공격의 피해를 줄일수 는 있으나 근본적이 해결책은 아니다. 또다른 옵션은 일부 시스템에 대하여 정적(static)인 ARP 주소를 사용하면 가능하다. 정적인 ARP cache 엔트리는 영구적이어서 만료되지 않는다. 이러한 정적인 entry는 명령어 arp -d를 사용하여 제거되어 질수 있다.

 

5. IP Parameters

 

Solaris 커널은 IP 네트워크 프로토콜의 다양한 특징들에 대한 제어방법을 제공한다. 이러한 기능들은 몇몇의 파라미터들들을 통하여 제공된다. 많이 사용되는 parameter들은 다음과 같다

 

ip_forwarding

ip_strict_dst_multihoming

ip_forward_directed_broadcasts

ip_forward_src_routed

 

IP forwarding은 동일 시스템에 두개이상의 네트워크 인터페이스사이에 IP 패킷들을 라우팅하는 것을 일컷는다. 전형적으로로 이러한 기능은 라우터의 기능과 동일하다. Solaris를 가지고 설치된 시스템은 이러한 IP Forwarding을 잘 수행한다. 이러한 IP forwarding은 ip_forwarding 파라미터을 0으로 세팅하여 차단할 수 있다. IP Forwarding기능을 차단하기 위한 명령어는 다음과 같다.

 

#ndd -set /dev/ip ip_forwarding 0

 

침입자는 IP 패킷들을 forwarding하지 않는 multihomed server에 연결된 네트워크 경로로 패킷들을 발생 시키는 또다른 공격이 있을 수 있으므로 이러한 공격을 차단하기 위해서는 시스템의 IP 커널 변수인 ip_strict_dst_multihoming을 0으로 세팅하여 차단할 수 있다. 이렇게 시스템을 설정함으로써 연결된 하나의 네트워크로부터 또다른 네트워크 인터페이스로 발생되는 모든 패킷들이 차단되게 할 수 있다. 커널 설정은 다음과 같은 명령으를 실행함으로써 가능하다.

 

#ndd -set /dev/ip ip_strict_dst_multihoming 0

 

Directed Broadcast는 외부 네트워크의 한 시스템으로부터 또 다른 네트워크의 모든 시스템에 보내어지는 패킷들을 말한다. Directed Broadcast는 "smurf"공격의 근간으로써 강제된 ICMP 패킷들이 하나의 호스트로부터 리모트 네트워크의 broadcast 주소로 보내어진다. ICMP패킷들의 출발지 주소는 피해를 입히고자 하는 시스템의 주소를 갖도록 강제로 설정할 수 있다. 그러면 원격의 네트워크에 있는 시스템들은 ICMP 패킷들을 받으면 이에 대한 응답으로서 응답 패킷이 피해호스트로 전송되어 진다. 대용량의 패킷을 받은 호스트은 flooding되게 된다.

IP forwarding이 설정된 모든 솔라리스 시스템은 directed broadcast역시 forwarding할 것이다. directed broadcast의 forwarding기능을 해제하기 위해서는 ip_forward_directed_broadcasts 커널변수를 0으로 설정하면 될 것이다.

 

#ndd -set /dev/ip ip_forward_directed_broadcasts 0

 

패킷들이 한 네트워크의 호스트로부터 다른 호스트로 전달되어 질때, 라우팅서비스를 제공하는 호스트들이나 전용 라우터들에 의해 그들이 경로가 결정되어 진다. 그래서 IP는 출발지와 목적지사이에서 경로를 지정하는 기능을 가지고 있다. 이러한 기능들은 두가지 형태를 취할 수 있으며 하나는 strict source routing로서 패킷의 송신시스템이 출발지와 목적지사의의 중간의 모든 HOP마다 라우팅부소를 제공해주는 경우와, 다른 하나는 loose source routing으로서 송신측의 두 시스템 사이의 모든 경로를 선택함에 있어서 일부 몇개의 HOP만 지정해주고 나머지는 자유롭게 도달하도록 하는 방법이다.

source routing은 네트워크 토폴로지상에서 보안체계를 우회하도록 사용될 수 있다. 물론 하나의 네트워크상에서 source-route된 패킷은 특별한 경우를 제외하고는 사용되지 않는다. 그렇기 때문에 IP Forwarding을제공하는 모든 호스트들은 Solaris kernel 변수인 ip_forward_src_routed를 0으로 세팅하여 source-route된 패킷들이 자동으로 드롭되도록 설정하여 운영하여야 한다. 설정방법은 다음과 같다.

 

#ndd -set /dev/IP ip_forward_src_routed 0

 

6. TCP Parameters

 

1997년 hrack Magazine의 기사에서 SYN flood로서 알려진 하나의 서비스거부공격을 기술하였다. 이러한 공격의 목적은 특정 시스템을 파괴하기 보다는 internet이나 intranet상에서 시스템이 네트워크 서비스를 불가능하게 만드는 것이다. 이러한 서비스 거부공격은 TCP연결의 기본방법을 이용하여 개발되었다.

하나의 시스템이 한 서버에 TCP를 사용하여 연결하고자 할때 sender는 처음 TCP/IP 패킷에 SYN bit를 설정하여 목적지에 발송한다. 이 SYN패킷은 TCP헤더에 SYN과 ACK 비트가 설정된 패킷을 가지고 목적지 시스템으로부터 응답받는다. 이 때 sender는 SYN-ACK패킷에 대한 응답으로서 ACK패킷을 보낸다. 이러한 방식을 "3-way handshake"방식이라 한다. 다음은 이러한 일련의 과정을 그림으로 설명한다.

 

sender(client) destination(server)

SYN -------------------------->

(sequence #: X)

<-------------------------- SYN-ACK

(sequence #:X+1, sequence #: Y)

ACK -------------------------->

(sequence #: Y+1)

 

이러한 과정에서 목적지 시스템이 sender에게 SYN-ACK패킷을 응답하고 ACK패킷을 sender가 응답하지 않을때 발생한다. 목적지 호스트는 "half-open"상태로 connection이 확립되기를 기다린다. 이때 srouce호스트가 목적지의 모든 가능한 TCP소켓 리소스를 고갈시킬때까지 이러한 half-open connection을 계속하게되면 목적지 시스템은 더이상의 TCP SYN패킷을 처리하지 못할 것이다. Solaris 시스템이 TCP SYN공격하에 있는지를 결정하는 한가지 방법은 SYN_RCVD상태에 있는 TCP connection의 갯수를 모니터링하는 것이다. SYN_RCVD상태의 connection은 다음과 같은 명령어를 통하여 확인 할 수 있다.

 

#netstat -an -f inet | grep SYN_RCVD

 

다음은 Solaris 7시스템이 SYN Flooding공격을 받고있는 동안에 위의 명령어를 실행한 결과이다.

 

[search:root]/user/ksch/dos > netstat -an -f inet | grep SYN_RCVD | more

127.0.0.1.80 172.16.10.1.14059 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.33931 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.61628 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.37302 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.27227 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.8350 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.52729 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.6407 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.63538 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.5467 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.33539 0 0 9112 0 SYN_RCVD

127.0.0.1.80 172.16.10.1.59230 0 0 9112 0 SYN_RCVD

............................................................................

............................................................................

127.0.0.1.80 172.16.10.1.59230 0 0 9112 0 SYN_RCVD

 

시스템이 정상적인 상태에서는 SYN_RCVD상태의 connection의 횟수가 거의 0이다.

다음은 SYN flooding공격을 받고있는 상태에서 SYN_RCVD상태를 카운트 한것이다.

 

[search:root]/user/ksch/dos > netstat -an -f inet | grep SYN_RCVD | wc -l

898

 

이러한 값은 시스템이 정상적인 환경하에서 작동할때의 기본적인 값과의 비교를 통하여 수행되어 질 수 있다.

Solaris는 시스템이 TCP SYN공격하에 있는지를 결정해주는 또다른 방법이 있다. 다음과 같은 명령어를 사용해서 하나의 TCP SYN공격이 확인되어질 수 있는 tcpHalfOpenDrop, tcpTimRetransDrop, tcp_ListenDrop 파라미터들의 값을 조사하면서 가능하다.

 

#netstat -s -P tcp

 

다음은 정상적인 시스템의 상태에서 TCP SYN Flooding공격을 받고있는 상태의 파라미터값들을 조사한 결과이다.

 

정상적인 상태에서는 tcpTimRetransDrop = 0, tcpListenDrop = 0,

tcpHalfOpenDrop = 0의 값을 유지하고 있었으나,

공격을 받은 상태에서는 tcpTimRetransDrop = 4243 , tcpListenDrop = 0,

tcpHalfOpenDrop = 140336

 

의 값을 나타내었다. 다음은 TCP SYN Flooding공격을 받고있는 Solaris 7시스템의 커널 파라미터값을 조회한 결과이다.

 

[search:root]:/ > netstat -s -P tcp

TCP tcpRtoAlgorithm = 4 tcpRtoMin = 200

tcpRtoMax = 60000 tcpMaxConn = -1

tcpActiveOpens = 72503 tcpPassiveOpens =207964

tcpAttemptFails = 10067 tcpEstabResets = 27

tcpCurrEstab = 18 tcpOutSegs =3220622

tcpOutDataSegs =2857020 tcpOutDataBytes =270559996

tcpRetransSegs =315847 tcpRetransBytes =577759

tcpOutAck =363525 tcpOutAckDelayed = 10315

tcpOutUrg = 3 tcpOutWinUpdate = 42

tcpOutWinProbe = 118 tcpOutControl =734882

tcpOutRsts = 14378 tcpOutFastRetrans = 353

tcpInSegs =3872088

tcpInAckSegs =2909440 tcpInAckBytes =270664796

tcpInDupAck =189991 tcpInAckUnsent = 0

tcpInInorderSegs =2845248 tcpInInorderBytes =300182637

tcpInUnorderSegs = 1428 tcpInUnorderBytes =1034420

tcpInDupSegs = 2487 tcpInDupBytes = 23404

tcpInPartDupSegs = 76 tcpInPartDupBytes = 45970

tcpInPastWinSegs = 0 tcpInPastWinBytes = 0

tcpInWinProbe = 0 tcpInWinUpdate = 118

tcpInClosed = 27 tcpRttNoUpdate = 359

tcpRttUpdate =2841174 tcpTimRetrans = 110

tcpTimRetransDrop = 4243 tcpTimKeepalive = 1498

tcpTimKeepaliveProbe= 64 tcpTimKeepaliveDrop = 1

tcpListenDrop = 0 tcpListenDropQ0 = 0

tcpHalfOpenDrop =140336 tcpOutSackRetrans = 0

 

파라미터 tcpTimRetransDrop은 시스템 부팅후에 SYN 요구나 연결확립된 TCP 연결에 대하여 시간만료된 패킷의 수이며, 파라미터 tcpListenDrop은 시스템이 부팅한 후에 TCP queue backlog때문에 거절된 SYN 요구의 횟수를 의미한다. 또한 tcpTimRetransDrop의 값에 따라 tcpListenDrop 및 tcpHalfOpenDrop값이 빠르게 증가하면 해당 시스템이 TCP SYN 공격을 당하고 있을 확율이 상당히 높음을 나타낸다. 이러한 공격을 상쇄하기 위해서 관리자는 다음의 두가지 작업을 수행할 수 있다. 하나는 abort timer의 값을 더 짧게 하는 것이고 다른 하나는 TCP 연결 큐(queue)를 더 길게하는 것이다. abort timer를 짧게하기 위해서는 milli-second로 설정하는 커널 변수인 tcp_ip_abort_cinterval를 사용할 수 있다. 시스템 디폴트값은 180초로 설정되어 있다. abort timer를 60초로 설정하기 위해서는 다음과 같은 명령어를 실행하면 될것이다.

 

#ndd -set /dev/tcp tcp_ip_abort_cinterval 60000

(60000 = 60 * 1000)

 

연결확립(connection established)이 이루어지지 않은 패킷에대한 큐 크기는 커널 변수인 tcp_conn_req_max_q0(Solaris 2.6이상)를 사용할 수 있다. solaris 2.5.1은 patch 103581-11를 패치하여야만 한다. tcp_conn_req_max_q0의 디폴트 값은 1024이다. queue 크기를 증가시키기 위햐여 다음의 명령어를 실행시키면 된다.

 

#ndd -set /dev/tcp tcp_conn_req_max_q0 2048

 

SYN Attack의 또다른 방법은 연결확립된 TCP의 queue를 고갈시키는 것이다. 이러한 방법은 출발지 주소가 노출되기 때문에 SYN공격으로서는 잘 사용되지 않는 방법이다. 하지만 해킹에 성공한 서버등을 사용하는 방법을 통하여 사용될 수 있는 방법이기도 하다. Solaris 2.6이상(Solaris 2.5.1은 103582-11로 패치필요)에 대하여 tcp_conn_req_max_q의 커널 변수를 통하여 queue 크기를 증가시킬수 있다.

 

#ndd -set /dev/tcp tcp_conn_req_max_q <size>

 

여기서 <size>는 호스트에서 허용하는 TCP연결확립의 총 수를 의미한다. established 및 unestablished TCP연결에 대한 queue 크기를 증가시키기 위해서는 더 많은 메모리를 필요로한다. 따라서 충분한 메모리의 확보 없이 queue 크기를 증가시키면 서버의 performance에 영향을 줄수 있다. 뿐만아니라 서버가 처리할 수 있는 것보다 더 많은양의 half-open이나 established에 대한 TCP Connections을 발생시키면 이러한 서비스 거부공격은 성공할 것이다.

 

7. 결론

 

Solaris Kernel은 많은 Security관련 환경 파라미터를 가지고 있다. 이러한 파라미터들의 조정을 통하여 시스템의 security 대응능력을 증가시킬 수 있다. 이러한 Solaris Security 커널 변수들은 ARP timeout, 패킷들의 IP forwarding, 패킷들의 IP Source routing, TCP connection queue size, network connection들을 통제하는 많은 다른 요소들로 구성된다. 커널 변수들을 올바르게 tunning함으로써 시스템관리자는 Solaris System을 외부의 Security위협에 대하여 저항력 있는 서버시스템을 구성할 수 있을것이다.

 

출처 : 솔라리스 운영자 모임.

 

유닉스 역사

 

AT&T Bell Lab. (1969 ~ 1970 )

BSD ( 1977 )

4.2 BSD ( 1984 )

4.3 BSD ( 1985 )

4.4 BSD ( 1993 )

Version 7 ( 1979 )

System III ( 1982 )

System V R2 ( 1984 )

System V R3 ( 1986 )

System V R4 ( 1993 )

OSF/1 ( 1992 )

XENIX ( 1979 ~ )

Version 6 ( 1977 )

 

 

 

 

 

 

 

 

 

 

 

 

 

 

유닉스 계보

 

BSD

System V R3

System V R4

OSF/1

POSIX

SunOS

Linux

DBC OSF/1

AIX

HP-UX 10

Solaris

IRIX

SCO UNIX

 

 

 

 

 

 

 

 

 

 

 

 

 

 

다양한 유닉스 버젼들

UNIX System V R4.0	유닉스의 표준이 되는 버전으로 벨 연구소에서 개발된 유닉스 시스템의 정식 이름이다.
SCO UNIX	Santa Cruz Operation사의 SCO Open Desktop 과 SCO Open Server Release 3의 이름이며 이 운영체제는 UNIX SVR3.2.5의 구현이다.
SunOS	Sun사의 가장 잘 알려진 BSD 중심의 운영체제
Solaris	Sun의 SVR4 구현이다.
HP-UX	UNIX의 휴렛-팩커드 버전은 OSF/1의 많은 특성들을 도입한 SVR4의 변형이다. HP-UX 9 버전은 몇가지 확장성을 가진 SVR3 와 비슷하고 HP-UX 10은 SVR4 운영체제이다.
Digital UNIX	OSF/1의 DEC 버전은 실질적인 면에서는 System V와 가깝지만 관리적인 측면에서 보면 일반적인 BSD시스템과 비슷하다. Digital UNIX는 거의 같은 표준을 따르고 있지만 아주 다른 관리를 필요로 하는 시스템이다.
AIX	IBM의 System V 운영체제로 SVR4, BSD, OSF/1의 특징들을 고루 가지고 있다.
Linux	인텔 프로세서를 위한 Free UNIX 방식의 운영체제이다. Linus Torvalds가 만들었으며 이름의 의미는 Linus의 UNIX라는 뜻이다. Linux는 BSD 방식이다. 기술적으로 Linux라는 이름은 기본적인 core(커널과 일부드라이버 등)를 말하지만 일반적으로 Linux 보급판을 구성하고 있는 다양한 소스로부터 전체적인 프리웨어를 말한다.

 

유닉스 계열

BSD(Berkeley Software Distribution) 계열 유닉스

캘리포니아 버클리 대학에서 무료로 배포하기 시작한 유닉스 버전

1993년 4.4 BSD가 발표됨

 

시스템Ⅴ(SYSV: System Five) 계열 유닉스

AT&T에서 발전시킨 유닉스 버젼들을 통칭하여 시스템 V라 함

시스템 V의 후속 버젼들은 ‘시스템 V 릴리즈 4’이므로 간단히 SVR4로 표시

 

 

 

 

 

 

 

솔라리스(Solaris)

썬 마이크로 시스템즈 사의 워크스테이션에 설치되어 대학 및 연구소를 중심으로 널리 사용되는 상용 유닉스 운영체제의 일종

초기 버젼인 SunOS 4.x나 솔라리스 1.x 버전은 BSD 유닉스 계열의 버젼

솔라리스 2.x 버전부터는 SYS V 유닉스 계열의 버젼

솔라리스는 BSD 계열과 system V 계열 둘의 영향을 모두 받은 독특한 운영체제

 

프리BSD(FreeBSD)

버클리대학의 CSRG가 선보인 4.4BSD-Lite2에 기반한 유닉스 운영체제

BSD 유닉스 계열의 PC용 유닉스 운영체제 (인텔 x86 계열)

 

리눅스(Linux)

1991년 핀란드 헬싱키 대학의 학부생 리누스 토발즈에 의해 개발됨

현재 GNU의 시스템 유틸리티와 인터넷을 통한 많은 공개 소프트웨어와 결합되어 PC용 유닉스 운영체제로 각광 받음

 

유닉스 시스템 특징

 

1) 소프트웨어를 도구로 사용하는 개념을 도입

 

유닉스 시스템은 컴퓨팅에 새로운 개념을 도입했다. 간단한 몇몇 기능을 결합하여 하나의 큰 작업을 처리 하는 것이다. 이러한 사고는 개발 영역에 까지 확대되어 많은 서브루틴 라이브러리들이 작성되었으며 이로 인해 새로운 실행 프로그램의 작성이 수월해졌다. 이와 같은 소프트웨어 재사용이라는 기본 개념으로 인해 유닉스 시스템은 높은 생산성을 제공한다.

 

2) 이 기종간의 호환성 극대화

 

마이크로 컴퓨터와 메인 프레임 그리고 과거의 기계와 새로운 기계, 특히 서로 다른 유닉스 버젼 간에도 응용 프로그램의 호환성이 뛰어나다. 이는 유닉스 시스템이 사용자가 기계 구조와 독립적으로 프로그램을 작성할 수 있는 환경을 제공하므로 최소의 수정으로 여러 다른 시스템에 프로그램을 이식할 수 있도록 한다.

 

3) 복수 사용자와 복수 태스킹 지원

 

유닉스는 시 분할 방식의 복수 태스킹 환경을 제공하기 때문에 동시에 여러개의 작업을 수월하게 처리할 수 있다. 동시에 여러 사용자를 지원하도록 고안된 다중사용자 시스템이다. 각각의 사용자는 다른 사용자의 활동으로부터 보호 받고 보

안을 유지하면서 컴퓨터 시스템에 저장된 정보와 처리 능력을 여러 사용자가 효율적으로 공유한다. 사용자가 늘어도 추가 비용 부담이 적고 다중 사용자가 공유 데이타에 대해 작업할 수 있도록 한다.

 

4) 계층적 화일 시스템

 

계층적 화일 시스템은 정보의 고유 구조를 반영하도록 그룹화하는데 최대의 유연성을 제공한다. 사용자는 데이타를 사용자별로 그룹화할 수도 있고 여러 사용자의 데이타를 협력 조직별로 모아서 그룹화할 수도 있다. 결과적으로 저장된 데이타의 위치를 쉽게 찾고 관리할 수 있다.

 

5) UNIX 쉘

 

사용자와 유닉스간의 접촉은 강력한 명령어 해석기인 쉘에 의해 이루어진다. 쉘은 응용 프로그램의 입력과 출력 방향 변경, 하나의 명령으로 한꺼번에 여러개의 화일을 조작하는 능력 등 수많은 편리한 기능을 제공한다. 또한 쉘은 프로그래밍 언어 기능을 내장하고 있어 미리 정의된 명령어들의 모임을 실행 시킬 수도 있다.

 

6) UNIX 유틸리티

 

유닉스는 데이타의 정렬, 텍스트 처리, 정보검색등 300여개의 유틸리티 프로그램을 포함하고 있다. 이런 유틸리티들은 새로운 프로그램을 작성하지 않고 많은 작업을 완료할 수 있는 강력한 도구들이다.

 

 

 

 

 

 

 

7) 완숙성

 

유닉스는 30년이 넘게 사용되면서 오랜 시간 동안 확실히 테스트된 운영체제이다. 소프트웨어는 오래될수록 상대적으로 버그가 적어지므로 운영체제의 작동에 높은 신뢰성을 제공한다. 기술적인 장점 이외에도 유닉스의 성공은 많은 유닉스 사용자들이 동호회나 신문, 잡지, 전시회를 통해 기술 교환, 요구 사항 등을 모아 개선 발전시켜 나가고 있다.

 

8) 강력한 통신 기능

 

유닉스 시스템의 최신 버젼들은 통신의 기능이 강화되고 있다. 시스템에 내장된 다양한 통신 도구나 저급 장치 구동기의 용이한 추가, 유연한 파일 시스템, 멀티 태스킹, 대용량의 통신 소프트웨어를 갖춘 유닉스 시스템은 통신 작업을 간단하고 쉽게 해준다.

 

 

 

 

 

 

 

 

 

유닉스 시스템 구조

 

커널 (Kernel)

- 도스의 IO.SYS나 MSDOS.SYS와 유사한 역할 담당
- 시스템 프로그램과 시스템 하드웨어 사이의 제어 기능

- 디바이스, 메모리, 프로세스, 데몬 관리
- 모든 command 스케쥴링하고 수행

 

쉘 (Shell)

- 도스의 command.com과 유사한 역할

- 쉘은 사용자가 입력한 명령어를 해석하여 커널이 이해할 수 있는 명령어로
번역

 

  유틸리티 및 응용 프로그램

- 제공되는 유틸리티 및 운영체제에 특정 기능을 부여하는 응용 프로그램

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

솔라리스란?

솔라리스( Solaris ) 구분

 

 

 

Solaris 7 구성요소

- SunOS 5.7 operating system

- ONC+ : 네트웍을 가능하게 하는 프로토콜
- CDE: 공통의 GUI 환경

- NFS, NIS+

솔라리스 8의 특징

- 64개의 CPU, 4노드 클러스터를 지원하는 뛰어난 확장성
- 파일의 Drag and Drop
- 파일의 속성이나 소유자 변경 또한 마우스 오른쪽 버튼 클릭으로 가능
-  8G 이상의 고용량 하드디스크도 실린더 수와 관계없이 곧바로 사용가능
- 완벽한 한글 지원
- 기본적으로 설치되는 다양한 프로그램들
아파치 1.3.9 웹 서버, Perl, Samba, ftp, telnet, JDK 1.2.1
- http://www.sun.co.kr/products/software/os_platforms/solaris/solaris.html

 

 

 

 

 

 

솔라리스 구입

- 총 9장의 CD로 구성됨
- http://www.sun.com/software/solaris/binaries/solaris.html (인터넷 주문)

 

솔라리스 인텔 플랫폼 개요

History

1998년 11월 Sun Microsystems에서 X86계열의 인텔 CPU 사용자도 사용할 수 있는 Solaris 7이 발표됨

99년 9월 솔라리스 8 베타판이 제한된 테스터들에게 공개

2000년 3월 솔라리스 8 정식제품이 발표됨

 

인텔 플랫폼과 스팍 플랫폼의 차이점

스팍 플랫폼은 32 비트 또는 64비트 커널 운영체제이나 인텔 플랫폼은 32비트 커널 운영체제이다.

스팍 플랫폼에서 돌아가는 소프트웨어 및 유틸리티가 훨씬 다양하다.

solutions.sun.com에 가면 솔라리스 용 프로그램 다운로드 가능하다.

 

Solaris 8의 경우 Sun Microsystems와 lxrun 개발팀의 협력하에 lxrun이라는 유틸리티가 개발됨으로써 인텔 플랫폼 솔라리스 사용자들은 솔라리스에서 리눅스 프로그램을 곧바로 실행 가능

 

인텔 플랫폼 최소 설치 사양

intel Architecture (32-bit) 플랫폼

Disk 공간: 2.4 Gbyte

메모리: 64 Mbytes

지원 가능한 하드웨어 목록
http://soldc.sun.com/support/drivers/hcl/8/600/BOOK.htm

 

 

 

 

 

boot 과정 (일반적인 유닉스의 부팅 과정)

¶kernel의 loading과 initailization

·Device detection과 configuration

¸System process 생성

¹Operator intervention(single-user boot에서만 가능함)

ºSystem 시작 스크립트 수행

»Multi-user operation

 

X86 계열의 부팅과정

¶전원이 들어오면 일단 BIOS가 시스템 하드웨어에 문제가 없는지 테스트한다.

·첫번째 하드 디스크의 MBR (Master Boot Record)의 프로그램이 파티션 테이블을 검사하여 활성화(Active)된 파티션의 부트 섹터를 읽어 그 코드를 실행한다. 해당 코드는 커널을 메모리로 읽어 들이는 역할을 한다.

¸커널은 자료구조를 초기화하고 필요한 커널 모듈을 읽어 들인다.

¹Root file system을 mount한다.

ºinit 프로그램을 수행한다.

(init 프로그램이 다양한 스크립트를 수행하여 multi-user mode로 전환하게 된다.)

 

초기  프로세스의 생성

커널이 메모리에 올라오고 초기화 작업이 끝나는 시점에서 사용자 메모리 영역에 몇 개의 자발적 프로세스를 만든다.

System V 계열에서는 shed: process 0, init:process 1 등의 이름을 가지고 있다. 몇몇 초기 프로세스의 생성이 끝나면, 부팅에 관한 커널의 임무는 여기서 끝나고 나머지 부팅 과정은 init process가 주도한다.

 

시작 스크립트

init는 각종 스크립트를 수행하여 시스템 운영 환경을 구축한다. 스크립트의 수행구조는 BSD 계열과 System V 계열이 약간 차이가 있다.

BSD 계열은 /etc 하위에 rc로 시작하는 파일들이 수행하는 스크립트이며, system V 계열은 /etc/init.d 하위에 시작 스크립트들이 존재하고 이중 필요한 것들이 /etc/rc0.d, /etc/rc1.d 등의 디렉토리에 링크되어 사용된다. 어떤 시스템이든 시작 스크립트는 대략 다음과 같은 일들을 한다.

 

-컴퓨터의 이름 setting

-time zone setting

-시스템의 디스크들을 mount

-network interface를 configuration

-각종 데몬과 network service를 시작

 

 

 

 

 

 

 

 

 

 

 

 

 

OpenBoot PROM Instruction

 

Boot PROM

Configuration Information

Binary machine instructions

EEPROM

Time of day

Ethernet address

hostid

power-on self-test     diagonostics        (POST)

Generic device drivers

User interface

Default parameters

IU SPARC CPU chip

NVRAM

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Basic OpenBoot PROM Commands

 

 

 

 

 

 

 

 

 

EEPEOM Commands

•/usr/sbin/eeprom 명령어는 Solaris operation system이 running하는 동안 NVRAM의 변수들을 확인하고 변경할 수 있는 명령어이다.

 

•List all of the EEPROM parameters

 

•List a single EEPROM patameters

 

•Change the default boot device

 

 

 

 

 

 

 

 

 

 

 

 

 

 

시스템 부팅 단계

Boot PROM phase

 

PROM runs self-test diagnostics

Ok printenv boot-device

Ok boot reads disk label (sector 0)

Reads boot block (sectors 1-15)

PROM loads boot blocks (bootblk) program

Boot PROM phase

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

-Boot PROM 프로그램은 시스템의 하드웨어와 메모리 체크

-System identification banner를 출력

-Sector 0에 있는 디스크 라벨을 읽어 default boot device를 체크

-시스템의 boot block program(bootblk:sectors 1-15에 위치)을 read

-PROM은 boot block program(bootblk)을 메모리로 load

 

 

 

Boot program phase

 

The boot block program loads the boot(ufsboot) program

The boot(ufsboot) program loads the 32-or 64-bit kernel

Boot program phase

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Kernel initailization phase

 

 

Load kernel modules

Read /etc/system file

The kernel initializes itself and starts the init process

Kernel initialization phase

The /sbin/init phase

The init process starts the run control scripts

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/sbin/init phase

- 커널은 유저 프로세스를 생성하고 /sbin/init 프로그램을 시작시킴

- /sbin/init 프로그램
/etc/inittab 정보를 사용하여 프로세스 생성
디폴트 런 레벨로 시스템 부팅
/etc/inittab의 내용을 토대로 런 레벨 전환

 

 

 

 

 

 

 

 

 

/etc/inittab file

System default run level 정의

Process start, monitor, restart

run level 전환

 

 

*Inittab 파일의 각각의 항목들은 각 런 레벨에서 생성되어야 할 프로세스
들과 수행될 action들의 내용을 init 프로세스에게 전달한다.

 

 

 

 

 

 

 

 

/etc/inittab 파일의 내용
- 시스템의 기본 런 레벨
- 시스템이 새로운 런 레벨로 바뀌었을 때 취해져야 할 action
- 특정 프로세스가 죽었을 때 시작될 프로세스, 모니터 될 프로세스 다시 시작되어야 할 프로세스를 정의함

 

프로세스의 역할
- autopush: read한 커널 모듈을 메모리에 올려 주는 역할
- soconfig: 소켓 프로그램 관리
- sac: 시리얼 포트쪽(로그인 서비스)으로 오는 요청을 관리해 주는 역할
- ttymon: 터미널 쪽으로 들어오는 요청을 처리하는 역할

 

/etc/inittab file 내용

 

 

The init Process and the /etc/inittab File

init process

/etc/inittab

Set initdefault to level 3

Run entries with sysinit in action field

Run entries with 3 in rstate field

sbin/autopushh

/sbin/soconf

/sbin/rcS

/sbin/rc2

/sbin/rc3

/usr/lib/saf/sac

/usr/lib/saf/ttymon

system startup stsstartup

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/sbin Directory

 

sbin

rcS

rc0

rc1

rc2

rc3

rc5

rc6

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/etc/re#.d directory

 

/etc

rcS.d

rc0.d

rc1.d

rc2.d

rc3.d

K*

S*

README

K*

K*

S*

S*

README

K*

S*

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/etc/init.d directory

/etc

ANNOUNCE

MOUNTFS

nfs.client

lp

standardmounts

volmgt

init.d

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

RUN LEVELS

Run level	Function
0	PROM monitor level
1	Single user mode
2	Multi-user level(with no resources shared)
3	Multi-user level(with resources shared)
4	Not currently used
5	Halt(and turn off Sun-4m and Sun-4u architecture)
6	Reboot to default run level 3
S	Single-user mode

 

Changing System States

 

 

 

 

Halt	Init 0	Shutdown –i0
Reboot	Init 6	Shutdown –i6
Poweroff	Init 5	Shutdown –i5

 

 

 

Boot Process 중의 Trobelshooting

 

 

 

 

 

 

 

 

 

 

 

 

 

초기화 파일 설정

 

쉘의 공통된 기능

쉘은 사용자와 시스템 사이의 명령어 해석 인터페이스를 제공하는 것이 목적이며 어떤 쉘을 사용하는지는 상관없으며 각 쉘마다의 특성에 따라, 자신이 작업하고자 하는 환경에 맞는 것을 선택하면 된다.

쉘의 가장 큰 기능이라면 사용자의 명령어를 해석하여 커널에 전달하는 것과 사용자가 시스템에 로그인을 하거나 다른 쉘로 이동 시에 작업환경을 정의하는 역할을 한다.

 

Initailization Files

 

Shell	System(Read First)	User(Read Second/Third)	Template (/etc/skel)
Bourne	/etc/profile	$HOME/.profile	local.profile
Korn	/etc/profile	$HOME/.profile then $HOME/.kshrc	local.profile
C	/etc/.login	$HOME/.cshrc then $HOME/.login	local.cshrc local.login

 

System Wide 초기화 파일

 

- login name을 위한 LOGNAME 같은 환경변수를 export한다.
- 기본 명령어를 위한 PATH 변수를 export한다.
- 기본 terminal type을 위한 TERM 변수를 셋업 한다.
- /etc/motd 파일이 포함하고 있는 내용을 화면에 보여준다.
- 기본 permissions을 셋업 한다.
- login시 mail message를 check한다.

 

User specific 초기화 파일(.profile, .kshrc, .cshrc 등등)
 

- 기본 prompt를 설정한다. ex)PS1='$PWD> '
- 기본 프린터를 설정한다.
- 기본 permission을 설정한다.
- Korn shell과 C shell을 위한 history를 설정한다.
- vi와 다른 tool에 의해 사용 되어진 terminal type을 설정한다.
- 새로운 mail message를 check 한다.
- redirection을 실행할 때 파일의 overwriting을 방지하는 noclobber 설정:

 set -o noclobber 
- 사용자가 자주 사용하는 명령어들의 경로를 설정한다.
- custom commands를 설정한다.

 

 

 

 

 

 

 

 

환경변수

 

Bourne shell & korn shell	C shell
Local 변수 선언: 변수명=값 Global 변수 선언: export	Local 변수 선언: set, @ Global 변수 선언: setenv
예제   #A=123   #B=abc   #export B   #ksh   #echo $A   #echo $B   #exit   #echo $A   #echo $B	예제   #set A=123   #@ B=abc   #setenv C=xyz   #bash   #echo $A   #echo $B   #echo $C   #exit   #echo $A   #echo $B   #echo $C

 

 

 

 

 

 

 

 

 

 

 

 

미리 정의된 환경변수

1.PATH: 명령어의 검색 경로 지정
C 쉘의 경우는 PATH 환경 변수는 쉘 변수인 path 값을 설정하는데 이용됨
즉 setenv PATH 명령을 실행할 때마다 C 쉘은 path 변수를 그에 맞게 수정
setenv PATH /bin:/usr/bin:/usr/local::$HOME/bin

2.EDITOR: 즐겨 이용하는 편집기의 이름
일부 프로그램은 EDITOR 변수(ed 등의 라인 편집기)와 VISUAL 변수(vi 등의 화면 편집기)를 구별함
Korn 쉘은 VISUAL과 EDITOR의 순서로 검사함

3.PRINTER: lpr 명령에서 사용될 기본 프린터의 이름

4.PWD: 현재 디렉토리의 절대 경로명

5.HOME: 홈 디렉토리의 절대 경로명

6.SHELL: 로그인 쉘의 절대 경로명

7.USER 또는 LOGNAME: 사용자의 이름, 로그인 하면 자동으로 설정되고 바뀌지 않음

8.TERM: 터미널 종류 이름

9.ENV: korn 쉘에서만 이용되는 변수로 새로운 korn 쉘이 시작될 때 마다
실행되어야 하는 초기화 파일의 이름을 담고 있음

10.EXINIT: vi 편집기의 설정 옵션들

11.PS1: 본쉘의 기본 프롬프트를 갖고 있다.
  C 쉘은 프롬프트를 환경 변수에 담아 두지 않고 prompt라는 쉘 변수를 이용
  하는데 이는 새로운 쉘이 시작될 때 마다 .cshrc 파일을 읽어 필요한 설정을
  하기 때문이다.

12.PS2: 본 쉘의 보조 프롬프트를 갖고 있다.

13.MANPATH: 매뉴얼 페이지를 찾기 위한 순서

14.TZ: 표준 시간대

15.DISPLAY: X 윈도우 시스템을 이용하여 X 애플리케이션 입력과 출력으로
이용될 디스플레이 서버(키보드와 화면 처리 프로그램)를 지정

 

 

 

 

 

 

 

 

 

 

 

 

C 쉘

C 쉘은 bourne 쉘보다 기능면에서 많은 부분 진보된 쉘로 C 쉘에서 지원하는 기능에는 aliases, command history, job control 등이 있다.

C 쉘에서는 초기화 파일로 .login, .cshrc, .logout이 있다. 이들은 각각 서로 다른 기능을 갖고 있다. 사용자가 로그인 할 때 제일 먼저 .logout 파일을 읽고, 각각의 쉘이 실행될 때마다 .cshrc 파일을 읽는다. 그리고 마지막으로 로그아웃을 실행할 때 .logout 파일을 읽게 된다. 일반적으로 환경변수는 .logout 파일에 설정하고, 쉘 변수들은 .cshrc에 설정한다.

 

C 쉘의 특징

Alias

alias란 사전적 뜻으로 별명 혹은 축약어라는 의미를 지니고 있고 긴 명령을 alias 명령을 이용하여 쉽게 사용하도록 편의를 제공해 준다.

 

명령 히스토리

명령 히스토리란 최근에 사용한 명령을 명령 히스토리 목록에 저장하여 사용자의 명령 사용에 편리성을 제공해 주는 기능이다.

 

 

 

 

C 쉘의 쉘 변수들

 

변수명	내용
argv	Argument variable
cwd	Working 디렉토리의 내용
history	History 리스트의 크기
cdpath	디렉토리들의 목록을 저장
prompt	Bourne 쉘의 PS1과 동일
savelist	로그아웃시 저장하는 history 정보
shell	Shell의 pathname
$$	현재 쉘의 PID number
mail	E-mail이 온 경우 쉘이 알려줌
noglob	와일드카드 확장을 금지시킴
notify	백그라운드 작업 중지 시 알려줌
ignoreeof	쉘은 ctrl-d에 반응하지 않음
noclobber	리다이렉션시 파일의 overwriting 방지

 

 

 

 

초기화 파일 설정 예제

 

 

 

shell 기능

 

기능	bourne	C	Korn
Aliases	No	Yes	Yes
Command-line editing	No	Yes	Yes
History List	No	Yes	Yes
Ignore Control-d ( ignoreeof)	No	Yes	Yes
Separate initialization file from .profile	No	Yes	Yes
Job control (ability to move job to and from the background and foreground for processing; ability to suspend a job)	No	Yes	Yes
Logout file	No	Yes	No
Protect files from overwriting (noclobber)	No	Yes	Yes

 

 

 

 

 

 

 

 

 

 

 

 

 

디스크 관리

Disk Slices

디스크는 슬라이스라고도 부르는 8개의 파티션으로 나누어진다.

Slice 0는 root 파일을 포함하는 boot 디스크

Slice 2는 전체 디스크

Swap은 어떤 slice라도 무관

 

System Board

host adapter     host adapter

C0

SCSI controller

SCSI controller

SCSI controller

t0

t1

t6

/dev/dsk/c0t0d0s0   /dev/dsk/c0t0d0s1

/dev/dsk/c0t1d0s5   /dev/dsk/c0t1d0s6

/dev/dsk/c0t6d0s0   /dev/dsk/c0t6d0s6

d0

d0

d0

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

디스크 이름

Logical Device Names

-시스템 관리자가 참조하는 용도로 사용되는 이름으로 “c0t0d0s7” 처럼 영문과 숫자의 조합으로 표시

-logical name은 /dev/dsk (block device names)와 /dev/rdsk(raw device names) 디렉토리에 존재하며 실제로는 /devices 디렉토리의 복잡한 디바이스 이름과 링크됨

 

 

Physical Device Names

- devices 디렉토리 밑에 위치함

- 형식: driver-name@unit-address:device arguments

 

 

Instance Names

- physical device name의 디바이스 이름 축약형
s=SCSI, d=disk, n=logical disk number
   예: sd0 first SCSI disk drive

 

 

 

 

디스크 관련 명령어
 

dmesg command
    

시스템에 연결된 디바이스 확인

instance name과  physical name 확인

/etc/path_to_inst file

instance name과 physical name의 list
 

format command

logical and physical device name을 display

 

   prtconf command

시스템 메모리와 주변장치의 configuration 정보를 display

시스템에 장착되어 있지 않은 장치에 대한 것도 확인가능
#prtconf|grep -v not : 사용하고 있지 않은 장치 확인

 

파일시스템의 이용상황 체크

 

 

 

 

 

Reconfiguring Device

Reconfiguring Device
디스크의 이동이나 교체 등의 작업시 디스크 설치 후 부팅을 진행하면 시스템은
이를 인식하지 못한다. 이럴경우 reconfigure 작업이 진행되어야 한다.

 

부팅 시 옵션을 입력

x86 버전의 경우 부팅 후 (b)oot (i)nterprete를 고르는 부분이 있는데 여기서

“b -r”을 입력

 

부팅 후 쉘 상태에서의 명령어

 

reconfigure 파일 생성 후 reboot
reconfigure 파일을 만든 후 reboot 하게 되면 부팅 후 init에서 불러 들이는 rc.sysinit
파일에서는 root 디렉토리에 reconfigure  라는 파일의 존재를 파악하여 시스템의
변경 부분에 대해 kernel을 rebuild한다.

 

OS레벨에서 디바이스 인식시키기(reboot 과정 없이 가능)

 

 

 

 

 

 

 

Format

format 사용한 partitioning

 

1.대상 디스크 고르기

 

 

2. 메뉴 중 fdisk 통해 솔라리스 파일 시스템 생성

3. Create a partition에서 100% solaris 파티션을 설정

4. partition 명령어 사용하여 파티션 나누기

5. print 명령을 통해 현재 디스크의 슬라이스 상태 확인

6.모든 파티션 나누는 작업이 완료되면 label 을 사용하여 수정된 정보를 디스크

(VTOC)에 저장함

7.newfs command로 file system의 변경사항을 적용시킴

  #newfs /dev/rdsk/c1d0s0

8.prtvtoc 명령어로 VTOC 정보 디스플레이

  #prtvtoc /dev/rdsk/c1d0s0

 

 

 

 

 

 

 

 

 

 

 

 

새 디스크 추가

1./reconfigure 파일 생성

  # touch /reconfigure

  #init 5

2. 디스크 장착하기

3. 하드웨어 레벨에서 인식 확인

  ok probe-scsi

  ok probe-ide

4. #format (파티션 나누기)

5. newfs 명령어 통해 각 슬라이스 별로 파일 시스템 재구성

  #newfs /dev/dsk/c1d0s0

6. #mount /dev/dsk/c1d0s0 /p1

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

유닉스의 파일 시스템

UNIX의 File System

  - UNIX 시스템은 여러 개의 물리적 디스크를 가질 수 있고  이러한 디스크들은
  하나 이상의  file system을 가지게 된다.
  - 커널은 각각의 file system을 다루며 각각의 file system마다
  device number(EX:/dev/dsk/c0t3d0s0)를  부여하여 이를 논리적 device로 다루게 된다.
  - File System은 데이타를 file단위로 저장하며 UNIX의 file system은 tree 구조를
  이루고 있다.
  - 하나의 file system은 boot block, super block, inode list, data block으로 구성된다.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

파일시스템의 타입

•디스크 기반의 파일 시스템 타입
 1.ufs 기본 disk 파일시스템
   - The Disk Label(VTOC): 파티션 table 정보
     VTOC(Volume Table of Contents)란 disk의 정보를 가지고 있는 label의 확장된 개념
   - VTOC의 구성
     Volume Name은 disk 구별 시 사용하며 8자 이하로 만들 수 있으며 disk를 구분
     하는 예를 들면 “intdisk” “extdisk” 등
     partition tags(unassigned, boot, root, swap, usr, backup, stand, var, home)는 partition을
     구별할 때 사용함
     Partition flags(w,r,m,u)는 해당 partition에 대해 read/write 그리고 mount 가능한지의
    여부에 사용함
   -The bootblock (1-15 sector)

      파일시스템 loader
   -The superblock
      디스크 전반적인 정보들, 파일시스템의 모든 정보
   -Backup superblocks

2. hsfs CD-ROM파일시스템(High sierra파일시스템)

3. pcfs DOS디스켓 data의 read/write를 지원하는 file system

 

•Network-based file system (NFS) type

  분산파일시스템은 network에 접속된 다른 시스템의 access를 지원

•RAM-based file system

  디스크 영역을 메모리처럼 사용하고자 하는 것으로 patch  작업시 자주 사용하며
  일시적 또는 빠르게 처리해야 할 경우 사용함

  전원 off 되면 데이터가 전부 없어짐

 

 

 

 

 

 

 

FSCK

•fsck를 사용한 파일시스템 복구

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

파일시스템 체크

 

/ 화일시스템에 사용자가 임으로 만들어 준 디렉토리가 있으면 정리

 

/dev 디렉토리 밑에 일반화일이 있는지 조사
 

 #find  /dev  -type  f  -exec ls -l {} \;
  

일반화일이 있으면 제거

 

시스템에 있는 core 파일을 제거

 

 

/var가 root 화일시스템에 있을 경우, /var 디렉토리 밑을 조사

 

이 명령어를 실행하면 /var 밑에 있는 디렉토리 별로 그 서브 디렉토리까지
포함하여 KB 단위의 크기를 출력하고 그 중 사이즈가 큰 디렉토리에 대하여
조사함

 

 

 

 

 

 

 

주로 문제가 될 만한 디렉토리는 다음과 같다.
  

 

/var/adm

  - /var/adm 디렉토리에는 시스템 운용 중에 발생하는 메시지나 기타
  정보들이 누적 보관된다. 이 디렉토리에 큰 파일이 있으면 정리한다.
  - messages.0, messages.1,….과 같은 파일은 지워도 무방하다. 파일의 크기가
  너무 크면 #cp /dev/null messages 명령어를 사용하여 파일 크기를 0으로 만듬
  - wtmp 또는 wtmpx 파일의 크기가 너무 크면 다음과 같은 명령어로 크기를
  0으로 만든다. 이 파일은 접속한 사용자에 대한 정보를 가지고 있다.

 

 

/var/mail

이 디렉토리는 메일 데이터가 보관되는 곳으로 이 디렉토리에 사이즈가 큰
파일이 있으면, 해당 사용자에게 그 메일을 정리하도록 한다.

/ 파일 시스템에 있는 1MB 이상되는 파일을 조사하여, 파일 크기순으로 sor하여 그 내용을 조사한다.
 

 

find.list.s 파일에서 비정상적인 큰 파일이 있는지 조사한다.

 

 

 

File system의 마운트

 

root ( / )

usr

opt

etc

var

export

dev

kernel

rmt

default

adm

home

openwin

bin

dt

ssa2

ssa3

ssa1

The root (/) file system

The /usr file system

The /export/home file system

/dev/dsk/c0t3d0s6

/dev/dsk/c0t3d0s7

/dev/dsk/c0t3d0s0

mount

mount

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

파일시스템의 마운트와 언마운트

 

마운팅
  - 분산된 파일 시스템을 하나의 디렉토리에 모으는 과정
  - mounting과 unmounting은 시스템 startup, shutdown 시 자동으로 실행됨
  - backup, fsck, repartition 등을 할 때 사용함

 

새로운 파일 시스템의 마운팅

 

언마운팅

device special file system name이용하는 방법

 

 /etc/vfstab file에 지정된 monut-point 이용하는 방법

 

Local File System의 Mounting

  - startup시(/etc/vfstab file의 mount at boot field 참조)
  - run level 2일 때 mountsys script에 의해 mount 됨

 

 

 

 

 

 

 

 

 

 

 

 

 

/etc/vfstab file

 

/etc/vfstab 파일의 각 필드

 

 

mount option :comma로 구분되는 mount option list

 

 

 

 

다른 파일시스템의 마운팅

마운트 포인트 생성

 

 

파일시스템 타입 명시
 

 

vold 
 

-          cdrom과 플로피 디스크 자동 마운트는 vold가 해줌

 

 - #eject 명령어는 umount 수행하고 미디어 제거함

 

파일시스템의 결정

   - /etc/vfstab 파일에 엔트리 추가
   - /etc/default/fs에 로컬 파일 시스템의 파일시스템 타입 명시
   - /etc/dfs/fstypes에 분산된 파일 시스템의 파일시스템 타입 명시

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

NFS의 장점

Centralized Files:데이터를 중앙 집중화하여 관리의 편리함 도모

Common software:소프트웨어의 공유가 가능

Files appear to be local
  : 로컬에 있는 데이터처럼 편리하게 사용 가능

Easy to use

 

 

 

 

 

 

 

 

 

 

NFS File Server

자동마운트 설정(The /etc/dfs/dfstab file)
  - run level 3에 들어갈 때 read 됨
  - root가 shareall 명령어 수행 시 read 됨
  - /etc/init.d/nfs.server 스크립트 수행 시 read 됨

 

수동 마운트 설정 (share 명령어)
 

    - option
      F FSType: 파일시스템 타입을 명시하며 /etc/dfs/fstypes 파일을 참조
      ro: read only, rw: default, root=client의 hostname
      ro=access-list, rw=access-list (@network, .domain)
      anon=n: anonymous 사용자 접근 제한
    - pathname
      절대경로로 줄 것
      디렉토리만 공유 가능

 

unshare command

리모트 시스템에 의해 공유된 자원을 공유하지 않음

 

shareall and unshareall commands

현재 공유된 목록을 모두 공유하거나 공유하지 않음

 

 

 

 

 

 

NFS File Server 설정

 

- /etc/dfs/dfstab 파일 편집
  - server 데몬을 start 시킴

 

-          공유된 목록 확인(서버에서 공유하고 있는 공유 리스트 확인)

 

dfmounts command

  서버에서 client 쪽의 마운트 된 정보 확인

 

NFS Client

 

Manual mouting(수동 마운트)

NFS 서버의 공유 내용들을 클라이언트에서 사용하려면 서버에서 공유된 
자원을 마운트 해야 함

      

 

Automatic mounting (자동 마운트)

/etc/vfstab 파일에 아래와 같이 기술하면 자동으로 마운트 되어 재부팅
시에도 마운팅 정보를 유지하게 됨

 

 

 

 

umount command

 

mountall, umountall commands

 

- mountall -r :모든 로컬 파일시스템에 대한 마운트
- umountall -r: 모든 로컬 파일시스템에 대한 언 마운트
- -r 옵션: 파일시스템 타입이 ufs 이고 mount at boot 필드가 yes 인 것만 마운트 함

 

NFS Client Setup

 

- 서버에서 공유해 주고 있는 목록 확인
   # dfshares teacher
  - 서버의 공유 자원을  마운트 포인트를 사용하여 공유
   # mount teacher:/usr/share/man  /usr/share/man
  - /etc/vfstab 파일을 편집하여 자동 마운트를 설정한다. (optional)
  - 더 이상 서버의 자원을 공유할 필요가 없다면 언 마운트 시킴
    #umount /usr/share/man

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

CacheFS 파일시스템

CacheFS의 기능

CacheFS file system을 사용하게 되면 NFS나 CD-ROM 드라이브 사용 시 한 번 읽은 데이터
  로컬 하드 디스크에 캐싱 하므로 시스템의 성능향상을 도모할 수 있다.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

CacheFS 파일시스템 관련 명령어

 

Cache file system을 생성한다.

 

마운트 포인트가 없으면 생성한다.

 

리모트 파일 시스템과 CacheFS 파일 시스템을 마운트한다.

 

mount 명령어를 사용하여 제대로 마운트 되었는지 확인한다.

 

Cache 디렉토리 만들기

 

※주의할 사항은 /cache 디렉토리는 반드시 생성되어 있어야 하며, root로 로그인해서 들어가야 한다.

 

 

※ backfstype은 서버의 파일시스템 종류
    -o뒤에 있는 옵션들(여기에서는 backfstype과 cachedir)사이에는 ","로 구분하고
    공백이 있으면 안 된다.

 

 

 

 

 

 

CacheFS의 통계치 보기

 

 

CacheFS Consistency 체크

 

CacheFS Logging

 

-cachefswssize를 사용하여 현재 cache에 저장된 데이터의 사이즈를 알기 해
서는 먼저 cachefslog를 사용하여 logging을 하여야 한다.

 

-로그파일 확인하기

 

-cache 사이즈 체크

 

CacheFS file system 제거하기
 

 

Automount

Automount?

소프트웨어로 사용자가 서버에서 share된 디렉토리 안으로 이동할 때 자동으로 마운트되고 일정기간(약 5분 정도) 사용하지 않으면 그 디렉토리를 언 마운트 시켜 주는 시스템 서비스

 

Automount의 특징

-필요에 의해서 file system이 마운트 됨

-File system은 보다 효과적으로 자동 마운트 됨
-File system은 자동으로 unmount 됨

-File system은 쓰는 동안에는 마운드 되어 있고, 5분 동안 사용하지 않으면
자동으로 unmount 됨

 

Automount Benefit

- mount, umount 명령어를 내릴 필요가 없다.
-필요할 때만 mount 하기 때문에 network을 효율적으로 쓸 수 있다.
-automount directory를 아는 사람만 쓰므로 주요 정보를 감출 수 있다.
-NFS server 쪽에는 아무런 영향도 미치지 못한다.

 

HOW Automounting works?

Autofs file system

autofs file system의 정의는 client의 /etc 디렉토리 안의 automount map에 정의됨

 

automount program

시스템 startup 시  call 되고 autofs 마운트를 생성하기 위해 auto_master 파일을 read 함

 

automountd 데몬

시스템 booting 시나 요청이 있을 때 데몬은 start 됨

 

Automount 의 configuration 파일 (map file)

mount point의  경로가 절대경로이면 direct map 이고 상대경로이면 indirect map
 

 

Automount 명령어

- direct map을 생성하거나 master map을 변환할 때, automount 명령어를 실행함으로써 효과를 볼 수 있다.

 

 

 

 

 

 

 

 

 

 

 

 

 

Master Maps

- autofs directory와 automount maps 정의
- autofs가 체크해야 할 모든 map을 정의

 

 

/net  -hosts  : 예) # cd /net/edu001 --> /net 아래에 있는 edu001을 access 하면
-hosts (/etc/hosts or 기타 name service를 참고해서 edu001에서 share하고 있는 내용들을 자동으로 mount 해 줌)

/home  auto_home: 예) 사용자 로그인 -- > /home 아래에 있는 user01을 access 하면 /etc/auto_home을 참고해서 자동으로 mount 해 줌

 

Direct Maps

        

 

        +auto_home은 NIS, NIS+ 참조함을 의미
        Direct map에서는 Mount point는 절대경로로 지정함

 

 

 

 

 

Indirect Maps

 

Example

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

백업과 복구

백업의 타입

 -full dump : 모든 파일시스템의 내용을 백업
 -incremental dump : 첫번째만 full dump하고 다음 번 부터 변경된 파일만 백업 받음

 

백업 명령어

 

 

 

 

 

 

 

 

 

 

 

 

 

restore 명령어

 ufsdump 명령어에 의해 생성된 백업내용을 복구하는 용도로 사용됨

※주의해야 할 것은 복구를 하고자 하는 디렉토리에 들어가서 진행하여야 함

 

 

 

tar

 

현재 디렉토리의 모든 파일을 test.tar라는 파일로 묶는다.

 

test.tar라는 tar 파일을 현재 디렉토리에 풀어 낸다.

 

 

 

 

 

 

 

Package 관련 명령어

pkginfo 명령어는 software package information을 display 함

 

 

 

 

pkgrm 명령어는 software package를 지우기 위해 사용한다.

   

 

pkgadd 명령어는 software package를 추가하기 위해 사용한다.

 

 

 

 

 

 

pkgchk 명령어는 package path name이 system log file에 기술한 것과 일치하는지 확인하기 위해 사용한다.

 

SUN의 freeware 패키지 웹 사이트

   http://www.sunfreeware.com

Spooling Packages

/var/spool/pkg 디렉토리로 패키지 스풀링

 

명시한 디렉토리 위치에 패키지 스풀링

 

스풀링 한 패키지 지우기

 

 

 

 

 

 

 

 

 

 

 

 

Patch의 정의
 

패치는 소프트웨어의 수행에 문제를 일으키는 파일들과디렉토리들을 replace하거나update 하여 버그를잡고 해당 소프트웨어의 기능을 강화하기 위한 파일 또는
디렉토리를 의미함

 

Patch numbering

패치는 각각 자신의 패치 번호와 같은 이름으로 디렉토리에 패키지화 되어 있다.

 

Patches 와 Patch Reports 제공

 

Patch Storage (현재 시스템에 인스톨 된 패치의 historical 정보 )

 

Patch installation

 

Checking Current Patch Status

 

Patch Removal

 

 

 

 

 

Extracting Patch Files for Installation

  압축해제와 tar 풀기를 single command line에서 수행하여 디스크 스페이스
  절약 가능

  

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/etc/passwd Database

   

- /etc/passwd record format

      login: 숫자, period, _, -, 등을 포함한 8글자까지 가능하며 첫 글자는 알파벳
      문자여야하며 적어도 소문자를 하나는 포함하여야 함

      x: 사용자의 암호화된 패스워드의 placeholder

      home directory: 사용자의 홈 디렉토리 path name

      login shell: 사용자의 디폴트 로그인 쉘(/bin/sh, /bin/csh, /bin/ksh)

 

/etc/shadow Database

   

 

 

 

 

 

 

 

 

 

 

/etc/group Database

   

 

 

 

 

id command

 

 

who am i command

  실제 로그인한 사용자의 ID

 

whoami command

 

su command

  다른 사용자로 변경할 때 사용

  -(dash) 옵션을 사용하면 그 사용자의 로그인 환경까지도 모두 적용됨

 

 

 

 

 

chown command

파일이나 디렉토리에 대한 소유권 변경

 

 

chgrp command

  파일이나 디렉토리에 대한 그룹 소유권 변경

 

groups command

  현재 로그인한 사용자가 속한 그룹의 리스트 확인

 

/etc/default directory

 

   

   

 

 

 

PASSREQ: PASSREQ=YES: 패스워드 없는 사용자는 로그인 불가능
PATH: PATH=/usr/bin: 환경변수에 PATH 변수가 셋팅되어 있지 않을 경우 따르는path

TIMEOUT: TIMEOUT=300: 로그인하여 아무런 작업도 하지 않았을 때의 timeout 값

UMASK: UMASK=022: 처음 파일이나 디렉토리 생성시의 권한 설정

SYSLOG: SYSLOG=YES: 시스템에서 발생하는 모든 내용을 log 남김

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

관련 명령어

who command

  - 현재 시스템에 로그인 되어 있는 사용자를 확인
  - /var/adm/utmp, /var/adm/utmpx에 로그  남음

 

finger command

  - 현재 로컬이나 리모트에서 로그인 되어 있는 사용자의 자세한 정보 확인
  - /var/adm/wtmp, /var/adm/wtmpx에 로그 남음

  - user name, /etc/passwd 파일의 commnet 필드의 내용, 터미널 이름, idle time,

login time, host name

 

 

last command

  사용자에 대한 로그인 로그아웃 정보 확인

 

 

 

 

고급 파일 퍼미션

umask

  - umask는 파일과 디렉토리에 대한 디폴트 퍼미션 결정

  - 파일:666 디렉토리:777

  - 현재 쉘에서 umask 값 변경: # umask 027

  - 완전 바꾸기: # vi .profile에서 umask 027

 

setfacl

  - 좀 더 세부적으로 파일 퍼미션에 대한 권한을 설정함(ACLs)

 

   -

 

getfacl

   - file에 설정되어 있는 ACL을 확인하기 위해 사용함

   - effective permission은 원래 설정되어 있는 default mask값에 따라 결정됨

 

 

 

 

 

 

setuid

- 모든 사용자가 프로그램의 소유자처럼 프로그램 수행 가능

- 파일, 디렉토리에 설정 가능

- setuid와 setgid가 설정되어 있다면 execute fild는 알파벳 s로 표시됨

 

- 실행권한은 off되어 있고 setuid, setgid만 걸려 있으면 대문자 S를 사용하여
오류임을 표시

- setgid를 디렉토리에 걸면 하부 디렉토리와 파일은 부모 디렉토리의
그룹으로 동일하게 상속됨

 

setgid

-          모든 사용자가 그 프로그램의 그룹에 속한 것처럼 프로그램 수행 가능

-          디렉토리에만 설정 가능

 

sticky bit

- 모든 퍼미션이 777 이더라도 그 파일을 생성한 소유자나 수퍼유저가 아니면 해당 파일의 수정, 삭제가 불가능하도록 함
- 설정이 되어 있는 디렉토리 내의 파일이나 디렉토리는 다음의 조건에 한해서만 수정과 삭제가 가능

 

 

 

 

 

 

 

 

 

 ※executable fild는 off 되어 있고 sticky fild가 셋팅되어 있으면 대문자 T로 에러 표시

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ps command

  :현재 시스템에서 running 하고 있는 프로세스의 리스트 확인

 

kill command:

  :명시된 프로세스에 시스널(신호)를 보내기 위해 사용

 

 

 

 

at command

 :지정된 시간에 특정 명령어나 스크립트를 한 번 수행함

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

crontab command

  -지정된 시간에 cron 데몬은 /var/spool/cron/crontabs 디렉토리에 있는 crontab

  파일을 읽어 특정 명령을 규칙적으로 수행함

-리스트 보기:

 

 

  -crontab editing

    *분 시 일 월 요일 명령어(절대패스로 지정할 것)

 

 

 

 

 

 

Syslog 데몬의 역할
 

시스템 로그에 메시지를 write 함
사용자들에게 메시지를 forward 함
시스템 콘솔에 메시지를 write 함
다른 호스트에 메시지를 forward 함:logfile을 다른 host에 보내어 해킹에 대한 보안 강화함

 

Confuguration file (/etc/syslog.conf)

Selector: 메시지를 만들어 낼 수 있는 프로세스의 카테고리인 facility와
Level: 메시지의 심각성에 대한 단계를 나타내는 level로 구성됨

Action: 메시지가 보내질 곳을 결정

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/etc/syslog.conf 파일

  /etc/syslog.conf 파일에서는 탭만이 여백으로 인정됨
  facility: 메시지를 만들어 낼 수 있는 프로세스 카테고리
  user, kern, mail, daemon, auth, lpr, news, uucp, cron, local0-7, mark, *

 

 

 

 

 

 

 

 

 

명령어 라인을 통한 syslogd 의 시작과 종료

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

네크워크 설정 관련 configuration 파일

 

기본 설정 파일

 

 

/etc/hosts
 - 시스템의  loopback address와 IP address, hostname 등록
  - 다른 host의 IP address 등록
  - IP-address  hostname  [nickname]  [#comment]

 

/etc/hostname.[le0, hme0..]
 - port의 타입을 결정하고 hostname을 기록
  - mac address와 IP address를 매핑시킴
   Primary ethernet port(10 Mbps) -> hostname.le0
   Secondary ethernet port(10 Mbps) -> hostname.le1
   fast ehternet port(100 Mbps) -> hostname.hme0
  - /etc/hostname.le0
    edu001

 

 

 

 

 

/etc/nodename
  - 시스템의 hostname 등록

 

/etc/resolv.conf
  - DNS clinet setup
  - 소속된 domain과 요청할 name server를 기록

 

/etc/nsswitch.conf
  - Name service switch configuration file
  - 각종 database file의 형태를 정의
  - files, dns, NIS, NIS+
  - DNS client setup

 

/etc/defaultrouter
  - 시스템의 기본 라우터 정의
   - 라우터가 정의되지 않으면 외부망과 연결 불가능

 

/etc/defaultdomain
  - 시스템의 기본 domain name 기록

 

 

 

 

/etc/netmasks
  - 시스템의 subnet mask 정의
  - network address 와 netmask로 구성

 

IP주소 설정

 

IP address 제거

 

라우터 주소 설정(/etc/defaultrouter 파일의 내용 변경)

 

/etc 밑의 설정파일 수정

 

 

 

 

 

 

 

 

 

 

 

네트워크 관련 명령어

ifconfig

 ifconfig 명령은 네트워크 인터페이스를 설정된 값을 확인하거나 네트워크 인터페이스에 address를 할당할 때 사용됨

 

traceroute

  원하는 host에 도달하기까지 시간과 거쳐간 host 즉 path 정보를 보여줌

 

 

 

 

 

 

 

 

 

 

 

snoop 명령어

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

라우팅

정적라우팅
  - route 명령으로 수작업함
  - /etc/defaultrouter 파일을 생성하고  default router의 IP 기술

 

라우팅 테이블 확인
   - netstat -r 명령으로 확인
   - 라우팅 테이블의 flag 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

DNS

DNS의 이해

Domain Name System이란 이름과 IP 주소를 매핑하여 주는 분산 네이밍 시스템

일반적으로 웹브라우저에 URL(hostname)을 입력하게 되고, 그 이후 해당 웹서버로 접속하게 된다.

하지만, 실제 packet에 적게 되는 것은 IP address이며, 이로 인해 routing이 가능해 진다.

Hostname를 IP address로 변환해 주는데, 이것에 대한 service를 DNS가 담당한다.

IP address가 Network number + Host number로 구성되어 있다면, FQDN = Hostname + Domain Name으로 구성된다.

DNS service는 Directory service의 한 종류로 DNS server는 자신이 담당하는 영역(domain)에 대해서만 응답 및 책임을 진다.

현재 BIND는 version 9.1.0 까지 release되었으며,http://www.isc.org에서 관리되고
있다.

Nameserver로서 동작하려면, BIND 소프트웨어어 설치와 설정 및 NIC(Network Information Center)에 등록을 하여야 한다.

com, net, org domain을 대행하는 http://www.networksolutions.net및 kr domain을 관장하는

http://www.krnic.net이 있다.

 

DNS-A Brief History

¶Early Internet naming problems

·Name uniqueness

¸Hosts.txt file maintenance

¹Server/network load

 

 

 

 

DNS Namespace

 

 

 

 

 

 

 

 

 

 

 

 

 

 

디렉토리 구조와 유사함을 알 수 있는데, Root domain(도트로 표시되는)은

Top level 도메인에 관한 정보를, Top level 도메인은 그 하위 도메인에 관한 정보를

유지/관리하는 구조를 취한다.

이러한 정보의 계층구조로 인하여 정보는 각 도메인의 네임서버(NS:Name Server)로
분산, 관리된다.

 

 

 

 

 

 

 

 

 

 

DomainName Name Resolving

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

1.Client상의 응용이 WWW.YAHOO.COM 에 접속하기 위해 자신의

Local Name Server(TCP/IP 설정시 명시한)에 질의한다.

 

2.Local NS는 먼저 자신의 캐쉬에 자료가 있는지 확인한 후 발견되지 않을시

Root NS(Root NS의 목록은 갖고있다)에 질의를 던진다.

그러나 Root NS도 WWW.YAHOO.COM 의 자료를 갖고 있지 않으므로,
COM 도메인을 관리하는 NS를 참고하라는 답변을 보내준다.

 

3.Local NS는 다시 COM NS에 질의를 던지고, COM NS는 다시 YAHOO.COM의

NS를 일러준다.

(루트(도트)와 COM 도메인은 Root NS에서 같이 관리되기 때문에 실제로

본 과정은 일어나지 않고 (2)번에서 바로 YAHOO.COM NS를

참고하라는 답변이 나온다.)

 

4.Local NS는 YAHOO.COM NS에 질의한다. YAHOO.COM NS는 서브도메인에

대한 자료를 관리하는 실제 NS 이므로, WWW.YAHOO.COM 에 대한 IP 204.71.200.74를

답변(authoritative answer) 한다. (실제 WWW.YAHOO.COM 에 대한 IP를 resolving 하면

매번 다른 IP 주소가 넘어오는 것을 볼 수 있는데, 이는 사이트가 다수의

미러링 서버로 운영되고, 부하 공유를 위해 해당 도메인에

다수의 IP를 매핑하였기 때문이다. (참고: 미러링 서버간의 부하 공유)

 

5.마지막으로, Local NS는 Client에게 결과를 전송한다.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

DNS Name Resolving(Solaris)

 

Client (resolver)

/etc/inet/hosts file

NIS+ hosts database

Local   nameserver

Yahoo. com nameserver

Com. nameserver

root nameserver

Cache

/etc/nsswitch.conf file   hosts:files nisplus dns

1

2

3

4

7

8

9

10

11

12

6

/etc/resolve.conf

5

13

 

 

 

 

 

 

 

 

 

 

 

 

 

1./etc/nsswitch 파일에서 name resolution의 순서를 확인한다.

2./etc/inet/hosts 파일로 name resolution 한다.

3.NIS+ hosts database로 name resolution 한다.

4./etc/resolv.conf 파일에서 name resolution을 제공할 도메인과 네임서버의 IP 주소를

확인한다.

5.local DNS server에게 서비스 받고자 하는 domain name (예:ftp.internic.net) 을 query

한다.

6.local DNS server는 자신의 캐쉬 정보를 통해 서비스 할 수 있는지 확인한다.

7.local DNS server는 root server에게 internic.net 도메인에 대한 정보를 가진 DNS 서

가 누구인지 query한다.

8.root server는 결과를 리턴한다.

9.local DNS server는 7의 query를 통해 알게된 정보 즉 net 도메인을 관리하는 네임서

에게 internic 도메인을 관리하는 네임서버가 누구인지 query 한다.

10.결과를 리턴한다.

11.Internic.net 네임서버에게 ftp.internic.net 도메인에 대한 IP를 query한다.

 

 

12.결과를 리턴한다.

13.client에게 client가 query한 ftp.internic.net 도메인에 대한 IP를 리턴한다.

 

네임서버의 유형

Primary server
  

해당 도메인을 관리하는 주 네임서버이다.

 

Secondary server

특정 도메인에 대한 back-up copy를 유지하는 서버이다. Secondary는 Primary가 비  정상 운행될 때와 부하를 분산시키기 위해 운용하며, 다수가 존재할 수 있다.
Secondary는 원칙적으론 외부 네트웍에 위치시켜 정전 등의 사태로 Primary가 다운되었을 때를 대비한다. 따라서, 도메인을 운영하기 위해서는 최소 2대(Primary * 1, Secondary * n) 이상의 네임서버가 요구된다.

 

Cache only server

 

도메인에 대한 데이터를 관리하지는 않고, resolving만을 처리해 준다. 만약, 본사와 지사가 있고 이 회사의 Primary, Secondary Name server가 모두 본사에 위치한다고 할 때, 지사에 위치한 네트워크 유저들은 Local DNS server가 없게 된다. 이럴 경우 도메인 resolving이 요구될 때마다 다른 네트워크(본사)로 접속을 시도하게 되므로 약간의 딜레이가 생기게 되며, 본사 네트워크가 단절 되었을 시 지사도 실질적으로 인터넷 사용이 불가능한 단점이 있다. 이럴 때 지사에 Cache only server를 운용하면 효과적으로 문제를 해결할 수 있다.

 

 

 

 

 

 

 

Resolv.conf file & nsswitch.conf

/etc/resolv.conf
 - resolving 시 query를 던질 네임 서버를 지정한다.
  - nameserver의 등록은 3개까지 가능하다.
  - 먼저 “domain” 부분을 등록한다. (호스트명 뒤에 붙을 도메인 명)
  - 다음으로 nameserver를 등록한다.

 

 

/etc/nsswitch.conf
  - hosts 에 대한 resolving 시 참조하게 되는 파일들의 순서를 설정한다.

 

/etc/named.conf

현재 가장 많이 사용되고 있는 BIND version은 크게 version 4와 8이다.

4와 8의 차이점은 거의 없다고 말할 수 있으나, named가 구동 되면서 최초로 읽게 되는 top level configuration file이 다르다.

4의 경우 /etc/named.boot를 8의 경우 /etc/named.conf를 읽어 들이게 되며 두 가지 file은 format만 틀릴 뿐 그 구성 요소는 동일하다.

 

 

 

 

named의 경우 standalone type(부팅 시에 startup 되는 데몬 서비스) service이므로 설정 파일 변경 시 항상 재구동 하여야 함

named는 syntax error이든 logical error이든 상관하지 않고, 구동 되므로 service시작 시 log 파일을 참조하여 syntax error를 점검하여야 하며 resolver를 통하여 logical error를 수정해 나간다.

 

 

 

 

 

 

 

Directory 문장
-DNS 데이터 화일들이 위치하고 있는 곳을 지정한다.
-대부분 시스템의 기본 경로는 /var/named 이다.

 

Cache 파일
-root 네임서버의 위치를 알려 주는 파일이다. 타 도메인 정보를 루트네임서버로부터 알아내는데 참조한다. 대부분  네임서버에서 같은 파일을 가지고 있다.
-다른 도메인에 대한 질의를 처리하기 위해서는 root 네임서버의 위치를 알기 위해 필요한 파일이다.

 

named.conf 파일 해석
- com 도메인을 primary 서버로 설정하고 설정내용은 /var/named 디렉토리의 com.zone 파일을 참조한다.(domain-info)
-다음은 리버스 도메인에 관한 부분이며 IP로부터 도메인 이름을 찾을 때 사용된다.127.235.203.in-addr.arpa 도메인을 master로 설정하고 com.rev 파일에 reverse 설정에 관한 내용이 있다. (inverse-domain-info)
-0.0.127.in-addr.arpa 에 대한 1차 네임 서버임을 등록하는 부분으로 관련된 파일이 com.loop라는 것을 명시하고 있다.(loopback-domain-info)

 

 

/var/named

 

 

 

 

 

 

 

 

 

 

 

 

 

 

@의 의미
만약 해당 파일내에 $ORIGIN의 값이 셋팅되어 있다면 이 값으로 대치되고 그렇지 않다면 named.conf 파일에 정의되어 있는 해당 파일에 대한 도메인 명으로 대치된다.

SOA: start of Authority의 약자로 해당 도메인에 대한 실제적인 응답을 할 수 있는 권한을
가질 수 있는 호스트 이름 명시

Serial: 데이터의 변경 등이 있을 때마다 값을 하나씩 증가 시켜 주어야 한다. Secondary Server에서 refresh 할 때, 이 값이 증가되어 있을 때만 변경이 있는 것으로 판단되어 zone file을 새로 가져온다.

Fresh: Secondary Server가 Primary server로 데이터가 변경되었는지 확인하는 시간 간격(초)

Retry: secondary server가 primary server로 접속을 재시도 하는 간격(초)

Expire: secondary server가 Primary server에서 데이터를 못 가져올 때 기존 자료를 사용할 수 있는 시간(초)

Minimum: Resource Record를 위한 ttl(유효한 기간)의 값을 나타낸다.

NS: Name Server의 약자로 도메인 네임서버를 확인한다.

A: Address로 도메인 이름을 주소로 메핑하는 것을 의미

MX: Mail Exchange로 주어진 도메인 이름에서 메일을 전달할 곳을 확인한다.

PTR: IP 주소에 대해 도메인 명을 매핑시켜 주며 Reverse Zone File에서 사용한다.

CNAME: 도메인에 대한 또 다른 이름이 가능하도록 한다.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

/var/log/messages

name server의 경우 syntax error는 /var/adm/messages에 저장된다.

in.named를 start시키기 전에 messages file에 대해 monitoring을 준비한다.

 

 

이제 in.named start 를 통해 name server를 구동하고, messages file에 error를 점검한다.만약 syntax error가 발생하였다면, 어느 파일의 몇번째 라인(named.conf:16)이란 형태로 log에 나타날 것이다.

해당 file을 수정한 후 named를 재 구동한다.

Syntax error가 발견되지 않는다면 nslookup(resolver)을 통해 정상적으로 구동 중인지 여부를 점검한다.