Recherche dans <book_title>…

Guide de sécurité et de chiffrement NetBackup™

Last Published: 2024-05-14

Product(s): NetBackup & Alta Data Protection (10.4)

À propos de la communication entre un client NetBackup situé dans une zone démilitarisée et un serveur principal via un tunnel HTTP

Dans une configuration de déploiement NetBackup, les ordinateurs client peuvent se trouver dans une zone démilitarisée (DMZ) où la communication s'effectue uniquement par le biais de ports web spécifiques.

Tous les clients NetBackup doivent être en mesure de communiquer avec le service de gestion Web du serveur principal pour déployer les certificats de sécurité et autoriser des pairs afin de sécuriser les connexions. Par exemple, le client NetBackup envoie des demandes de déploiement de certificats au serveur principal, ce qui est essentiel pour la communication sécurisée de NetBackup. Dans une configuration de zone démilitarisée, le client peut ne pas être en mesure d'envoyer des demandes de service Web directement au serveur principal. Dans ce scénario, un client NetBackup envoie une demande de connexion et une demande de service web au tunnel HTTP sur le serveur de médias par la méthode de proxy HTTP CONNECT. Le tunnel HTTP accepte la demande de connexion et transmet la demande de service Web au serveur principal.

La fonction de tunneling HTTP permet aux clients NetBackup d'une zone démilitarisée d'envoyer des demandes de service Web au serveur principal. Le serveur de médias NetBackup constitue un tunnel HTTP qui transmet la demande de service Web du client NetBackup au serveur principal. La suite de la communication de service web utilise la couche SSL (Secure Socket Layer).

Remarque :

Le numéro de port 1556 sur le serveur de médias doit être accessible par le client NetBackup pour l'envoi des demandes de service web.

Figure : Communication entre le client NetBackup et le serveur principal dans une configuration de zone démilitarisée

Dans un environnement de domaine unique ou un environnement multidomaine, lorsque le client NetBackup d'une zone démilitarisée tente d'envoyer une demande de connexion du service Web au serveur principal, il suit un ordre précis :

Tableau : Ordre d'envoi d'une demande de connexion

Ordre	Description
1. Le client NetBackup tente d'envoyer la demande de connexion directement au serveur principal.	Dans une zone démilitarisée, la demande de connexion du service Web peut échouer.
2. Si la connexion directe échoue, le client vérifie qu'un serveur de médias est spécifié pour utiliser le tunneling HTTP et envoyer la demande de connexion du service Web au serveur principal.
3. Si aucun serveur de médias n'est spécifié, le client consulte une liste de serveurs de médias disponible dans la configuration NetBackup et utilise ces serveurs pour envoyer des demandes de connexion du service web.	Le client NetBackup met à jour un fichier de cache interne (`websvctunnels.cache`) qui contient une liste de serveurs de médias automatiquement mis à jour basée sur les connexions précédentes établies avec succès. Le fichier de cache est disponible dans le même emplacement que le fichier `bp.conf` pour Windows et UNIX.

Informations supplémentaires

Les options supplémentaires suivantes sont disponibles pour la configuration de la fonction HTTP Tunnel :
- WEB_SERVER_TUNNEL_USE - vous pouvez utiliser cette option sur les clients NetBackup pour configurer le comportement de communication par défaut à l'aide de HTTP Tunnel.
- WEB_SERVER_TUNNEL_ENABLE - par défaut, la fonction HTTP Tunnel est activée sur le serveur de médias. Vous pouvez utiliser cette option sur les serveurs de médias pour désactiver la fonction HTTP Tunnel.
Pour plus d'informations, consultez le Guide de l'administrateur NetBackup, volume I.
Si la configuration de votre client NetBackup ne contient pas d'information sur les serveurs de médias du domaine, exécutez la commande nbsetconfig sur le serveur principal. Le registre d'un client Windows ou le fichier bp.conf d'un client UNIX comprend le serveur principal et les serveurs de médias que le client sélectionne pour envoyer des demandes de connexion et de service Web.
Si vous utilisez la commande nbcertcmd -getCertificate sur le client NetBackup dans une zone démilitarisée, et si vous voyez apparaître l'un des messages d'erreur suivants :
- ÉTAT DE SORTIE 5955 : le nom d'hôte est inconnu du serveur principal.
- ÉTAT DE SORTIE 5954 : le nom d'hôte n'a pas pu être résolu sur l'adresse IP de l'hôte ayant formulé la demande.
Utilisez un jeton pour déployer le certificat de sécurité, car le serveur principal ne parvient pas à associer l'adresse IP du tunnel HTTP à l'identité de l'hôte qui demande le certificat.
Le rapport d'audit NetBackup répertorie le serveur de médias comme utilisateur si un tunnel HTTP est utilisé pour envoyer une demande de certificat au serveur principal.