Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2017-11-16

Product(s): NetBackup & Alta Data Protection (8.1)

Communication entre un client NetBackup situé dans une zone démilitarisée et un serveur maître, via un tunnel HTTP

Dans une configuration de déploiement NetBackup, les ordinateurs client peuvent se trouver dans une zone démilitarisée (DMZ) où la communication s'effectue uniquement par le biais de ports web spécifiques.

Tous les clients NetBackup doivent être en mesure de communiquer avec le service de gestion Web sur le serveur maître pour déployer les certificats de sécurité et autoriser des pairs afin de sécuriser les connexions. Par exemple, le client NetBackup envoie des demandes au serveur maître pour le déploiement de certificats, ce qui est essentiel pour la communication sécurisée de NetBackup. Dans une configuration de zone démilitarisée, le client n'est peut-être pas en mesure d'envoyer des demandes de service web directement au serveur maître. Dans ce scénario, un client NetBackup envoie une demande de connexion et une demande de service web au tunnel HTTP sur le serveur de médias par la méthode de proxy HTTP CONNECT. Le tunnel HTTP accepte la demande de connexion et transmet la demande de service web au serveur maître.

La fonction de tunneling HTTP permet aux clients NetBackup dans une zone démilitarisée d'envoyer des demandes de service web au serveur maître. Le serveur de médias NetBackup constitue un tunnel HTTP qui transmet la demande de service web du client NetBackup au serveur maître. La suite de la communication de service web utilise la couche SSL (Secure Socket Layer).

Remarque :

Le numéro de port 1556 sur le serveur de médias doit être accessible par le client NetBackup pour l'envoi des demandes de service web.

Figure : Communication de client NetBackup et de serveur maître dans une configuration de zone démilitarisée

Dans un environnement de domaine unique ou multiple, quand le client NetBackup dans une zone démilitarisée essaie d'envoyer une demande de connexion du service web au serveur maître, il suit un ordre précis :

Tableau : Ordre d'envoi d'une demande de connexion

Ordre	Description
1. Le client NetBackup essaie d'envoyer la demande de connexion directement au serveur maître.	Dans une zone démilitarisée, la demande de connexion du service web peut échouer.
2. Si la connexion directe échoue, le client vérifie ensuite qu'un serveur de médias est spécifié pour utiliser le tunneling HTTP pour envoyer la demande de connexion du service web au serveur maître.	Vous pouvez définir un serveur de médias préféré que le client NetBackup peut utiliser pour l'envoi de la connexion au service web. Ajoutez l'option WEB_SERVER_TUNNEL dans le registre sur un client Windows ou dans le fichier `bp.conf` sur un client UNIX. Pour plus d'informations, consultez la section de l'option WEB_SERVER_TUNNEL pour les clients NetBackup dans le Guide de l'administrateur NetBackup, volume I. http://www.veritas.com/docs/DOC5332
3. Si aucun serveur de médias n'est spécifié, le client consulte une liste de serveurs de médias disponible dans la configuration NetBackup et utilise ces serveurs pour envoyer des demandes de connexion du service web.	Le client NetBackup met à jour un fichier de cache interne (`websvctunnels.cache`) qui contient une liste de serveurs de médias automatiquement mis à jour basée sur les connexions précédentes établies avec succès. Le fichier de cache est disponible dans le même emplacement que le fichier `bp.conf` pour Windows et UNIX.

Ordre

Description

1. Le client NetBackup essaie d'envoyer la demande de connexion directement au serveur maître.

Dans une zone démilitarisée, la demande de connexion du service web peut échouer.

2. Si la connexion directe échoue, le client vérifie ensuite qu'un serveur de médias est spécifié pour utiliser le tunneling HTTP pour envoyer la demande de connexion du service web au serveur maître.

Vous pouvez définir un serveur de médias préféré que le client NetBackup peut utiliser pour l'envoi de la connexion au service web.

Ajoutez l'option WEB_SERVER_TUNNEL dans le registre sur un client Windows ou dans le fichier bp.conf sur un client UNIX.

Pour plus d'informations, consultez la section de l'option WEB_SERVER_TUNNEL pour les clients NetBackup dans le Guide de l'administrateur NetBackup, volume I.

http://www.veritas.com/docs/DOC5332

3. Si aucun serveur de médias n'est spécifié, le client consulte une liste de serveurs de médias disponible dans la configuration NetBackup et utilise ces serveurs pour envoyer des demandes de connexion du service web.

Le client NetBackup met à jour un fichier de cache interne (websvctunnels.cache) qui contient une liste de serveurs de médias automatiquement mis à jour basée sur les connexions précédentes établies avec succès. Le fichier de cache est disponible dans le même emplacement que le fichier bp.conf pour Windows et UNIX.

Informations supplémentaires

Les options supplémentaires suivantes sont disponibles pour la configuration de la fonction HTTP Tunnel :
- WEB_SERVER_TUNNEL_USE - vous pouvez utiliser cette option sur les clients NetBackup pour configurer le comportement de communication par défaut à l'aide de HTTP Tunnel.
- WEB_SERVER_TUNNEL_ENABLE - par défaut, la fonction HTTP Tunnel est activée sur le serveur de médias. Vous pouvez utiliser cette option sur les serveurs de médias pour désactiver la fonction HTTP Tunnel.
Pour plus d'informations, consultez le Guide de l'administrateur NetBackup, volume I.
http://www.veritas.com/docs/DOC5332
Si votre configuration de client NetBackup ne contient pas d'information sur les serveurs de médias dans le domaine, exécutez la commande nbsetconfig sur le serveur maître. Le registre d'un client Windows ou le fichier bp.conf d'un client UNIX comprend le serveur maître et les serveurs de médias que le client sélectionne pour envoyer des demandes de connexion et de service web.
Si vous utilisez la commande nbcertcmd -getCertificate sur le client NetBackup dans une zone démilitarisée, et si vous voyez apparaître l'un des messages d'erreur suivants :
- ÉTAT DE SORTIE 5955 : le nom d'hôte est inconnu du serveur maître.
- ÉTAT DE SORTIE 5954 : le nom d'hôte n'a pas pu être résolu sur l'adresse IP de l'hôte ayant formulé la demande.
Utiliser un jeton de déployer le certificat de sécurité parce que le serveur maître ne parvient pas à associer l'adresse IP du tunnel HTTP à l'identité de l'hôte qui demande le certificat.
Le rapport d'audit NetBackup répertorie le serveur de médias comme étant l'utilisateur si un tunnel HTTP est utilisé pour envoyer une demande de certificat au serveur maître.