Solaris 11 Express som router?

Vill bara poängtera att en zone inte är detsamma som vanlig virtualisering. Du kan t.ex. inte installera pfsense direkt i en zone.

absolut, men prestandan i VirtualBox är... sådär. Det är även många funktioner som jag saknar i VirtualBox, fast det kanske inte spelar så stor roll i detta fallet. Absolut värt ett test.

Du kan väl berätta hur det gick, SundaY? Vore intressant att höra.

VirtualBox i en Zone funkar så att du måste installera VirtualBox i den globala Solaris installationen. Sen när du konfar en zone, så säger du att den zonen ska kunna starta upp VB. Se här
http://www.virtualbox.org/manual/ch02.html#id353677

Själv tycker jag om ideen att köra VB i en zone. Därför att det separerar all trafik. Det ökar antagligen säkerheten. Jag gillar att man kapslar in känsliga delar i olika zoner, som inte kan komma åt varandra. Hellre det, än att allt körs i samma os installatiion, allt huller om buller. Skulle jag köra en webserver, t.ex. så vill jag hellre köra den separat i en zone, så ingen kommer åt min globala installation och jävlas där.

Angånede dhcp, internetdelning och port forwarding går det att göra i Solaris, eftersom det är ett gammal server os. Mycket av internet byggdes kring solars servrar en gång i tiden, jag vet inte om det fortfarande sant. Men SUN hade en slogan "the dot in .com" eller nåt sånt. Det menades att SUN servrar byggde mycket av internet.

Japp, /dev/vboxdrv är allt man lägger till. Jag har testat det och det funkar bra. Jag tänkte nämligen skapa ett gäng zones, med olika OS däri, och surfa endast från dem. Den globala Solaris zonen, skulle jag stänga ned all nätverkstrafik till (typ, "ifconfig -down" eller nåt liknande räcker). På så sätt måste en hacker som bryter igenom t.ex. Win7, sedan bryta sig igenom VirtualBox, sedan bryta sig in till den lokala zonen. Sedan är det helt omöjligt att ta sig till den globala zonen, för det finns ingen internet connection till den. När jag måste uppgradera den globala zonen, så bara gör jag "ifconfig -up" eller nåt sånt (kommer inte ihåg kommandot) och allt funkar. Direkt efter uppgraderingen stänger jag ned nätverksanslutningen igen. Då kan ju hackers försöka jävlas med min Solaris maskin, det går ju inte. Ha! Sen har Solaris 11 fått massa nya säkerhetsfunktioner som gör det ännu säkrare nu. Det fanns nåt som hette Solaris Trusted Extension som militären använde med högsta säkerhetsklassning, men allt det ingår nu i Solaris 11.

Det fanns sajter och artiklar på nätet som tyckte att Solaris Containers var den stora grejen och anledningen till varför man ska köra Solaris som server. Andra framhåller ZFS. Och åter andra framhåller DTrace. etc.

Solaris tekniker är lite grand som Unix kommandon, det är ett gäng enkla kommandon som man sen pipar ihop och då får oanad kraft och kan lösa komplexa problem. T.ex. med Zones. Du installerar en Zone, den kommer få en egen ZFS filsystem, som vi kallar Master. Sen klonar du den med ZFS kommando, det tar en sekund, och då får klonen ett helt eget ZFS filsystem. ZFS filsystem kommer inte åt varandra, det är som partitioner. Så när du startar upp den klonade zonen så läser den från Master, men skriver till sin eget ZFS filsystem. Så varje zone är väldigt liten innan du installerar program, kanske några MB stor. Och du kan göra ZFS snapshots när du vill. Så du kan alltså ha många zones igång samtidigt, som alla läser från Master, men skriver till sitt egna filsystem.

Tanken är att i Solaris 11 ska du installera varje större program i en egen zone. Sen kan du koppla ned zonen och skicka den till en annan server på nätverket om du vill. På så sätt skräpar du inte ned den globala Solaris zonen, allt körs i vattentäta skott. Varje zone har en egen ZFS filsystem, och från den globala Solaris zonen som "root", så kommer du åt varje filsystem. Du kan läsa, kopiera, ändra filer hur du vill. Men när du loggat in på den lokala zonen, så kan du inte bryta dig ut eller läsa andra filsystem.

Så, ja, jag gillar ideen med vattentäta skott, där inga program eller hackers kan ställa till det för hela systemet. Och eftersom man gör snapshots med jämna mellanrum så kan man enkelt backa tillbaka när man vill, om en zone börjar strula. Så man ser kraften i kombon Zones + ZFS. Sen kan man blanda in Crossbow också, då kan man göra ännu mer kraftfulla saker. Det är ganska häftigt tycker jag.

Kan detta vara något?
http://solaris.reys.net/using-solaris-10-as-dhcp-client/

Eller denna, där dom kör ett kommando som skapar konfigen?
http://solaris.reys.net/how-to-installing-solaris-with-pxe-dh...

http://kalali.me/configuring-dhcp-server-in-solaris/

http://it.toolbox.com/wiki/index.php/Sample_configuration_of_...

Eller, jag tror det enklaste är att du kör pfsense i en VB zone.

internet delning/NAT mha ipf är 3 rader konfig, t.ex.

http://www.charvolant.org/~doug/network/html/node17.html

(ej solaris specifikt så patherna + interfacenamn kanske inte stämmer)
Tycker fortfarande att ipf-dokumentationen jag pekade på förut är läsvärd, om inte annat för att allmänt förstå hur en stateful inspection fw funkar och hur man bör konfa den rent default-säkerhetsmässigt.

Port forwarding har jag aldrig testat med ipf men det är rdr och map du ska använda, sök t.ex. på ipfilter port forwarding så dyker flera exempel upp, t.ex.

http://forums.oracle.com/forums/thread.jspa?messageID=9244281

exempel på dhcp config (om du skiter i solaris dhcp server och kör isc-dhcpd ist vilken jag personligen föredrar)

subnet 192.168.1.0 netmask 255.255.255.0 {
        range 192.168.1.10 192.168.1.250;
        option routers 192.168.1.1;
        option domain-name-servers xxx.xxx.xxx.xxx,xxx.xxx.xxx.xxx;
        option subnet-mask 255.255.255.0;
        default-lease-time 604800; # 1 week
        max-lease-time 604800; # 1 week
}

behövs ev. ett par globala options också, man dhcpd.conf ger nog bra svar.

För att få det att lira måste du såklart slå på ipv4-forwarding med routeadm också.

Jag skulle nog satsa på att testa detta först innan virtualbox. Eller snarare skita helt i virtualbox om du inte har andra anledningar, typ utbildningssyfte.

Ett annat alternativ är ju att köpa en router för 3-400 spänn men det är kanske inte lika kul
Sist jag körde ipf som router (var massa herrans år sen på solaris 9) så funkade t.ex. inte vpn-uppkopplingar någe vidare men det lär ha fixats till, särskilt sedan ipf nu är integrerat i solaris/opensolaris.