17.3.建立和控制 Jail

一些管理员将 jail 分为以下两种类型：“完整”jail，类似于真正的 FreeBSD 系统; 和“服务”jail，专用于一个程序或服务，可能以特权运行。这只是一个概念上的划分，不影响建立 jail 的过程。在建立“完整”jail 时，用户空间的源代码有两个选项：使用预构建的可执行文件（例如在安装镜像上提供的可执行文件）或从源代码建立。
17.3.1.安装 Jail
17.3.1.1.从网络安装 Jail
​bsdinstall(8) 工具可用于获取和安装 jail 所需的可执行文件。这演示了如何选择镜像，将哪个发行版安装到目标目录中，以及 jail 的一些基本配置：
# bsdinstall jail /here/is/the/jail
命令完成后，下一步是配置主机以运行 jail。
17.3.1.2.从 ISO 安装 Jail
要从安装镜像安装用户空间，请先为 jail 创建根目录。可以通过将变量 DESTDIR 设置到正确的位置来完成。
启动 shell 并定义 DESTDIR ：
# sh
# export DESTDIR=/here/is/the/jail
使用 ISO 安装时，按照 mdconfig(8) 中所述安装镜像：
# mount -t cd9660 /dev/`mdconfig -f cdimage.iso` /mnt
# cd /mnt/usr/freebsd-dist/
将可执行文件从安装镜像上的压缩包中提取到指定的目标中。最简单的是只需要提取基本系统，但也可执行完整安装。
要仅安装基本系统：
# tar -xf base.txz -C $DESTDIR
要安装除内核之外的所有内容：
# for set in base ports; do tar -xf $set.txz -C $DESTDIR ; done
17.3.1.3.从源代码构建和安装 Jail
​jail(8) 手册页说明了建立 jail 的过程：
# setenv D /here/is/the/jail
# mkdir -p $D   ①
# cd /usr/src
# make buildworld   ②
# make installworld DESTDIR=$D  ③
# make distribution DESTDIR=$D  ④
# mount -t devfs devfs $D/dev   ⑤
① 第一步是为 jail 选择一个位置。这是 jail 在 jail 主机的文件系统中的物理位置。一个常用选择是 /usr/jail/jailname，此处 jailname 是 jail 的主机名。/usr/ 在通常情况下有足够的空间容纳 jail 文件系统，对于“完整”jail 来说，它基本上是 FreeBSD 基本系统默认安装的每个文件的副本。
② 如果你已经使用 make world 或 make buildworld 重新编译了你的用户空间，你可以跳过这一步并将现有的用户空间安装到新的 jail 中。
③ 这条命令将在文件系统中的 jail 物理位置的目录子树上安装必要的可执行文件、库、手册页等。
④distribution 这个 make 目标会安装所有需要的配置文件。简单地说，它把 /usr/src/etc/ 的每个可安装文件都安装到 jail 环境的 /etc 目录：$D/etc/ 下。
⑤ 在 jail 中挂载文件系统 devfs(8) 不是必须的。另一方面，所有或几乎所有软件都需要访问至少一个设备，这主要取决于给定应用程序的用途。控制对 jail 内部的设备访问是非常重要的，因为不恰当的设置可能允许攻击者在 jail 中做一些令人讨厌的事情。对 devfs(8) 的控制是通过 devfs(8) 和 devfs.conf(5) 手册页中描述的规则集进行管理的。
17.3.2.配置主机
安装了 jail 后，就可以使用 jail(8) 工具启动它。jail(8) 工具采用四个必要参数，这些参数在 jail 概述中进行了说明。也可以指定其他参数，例如，使用特定用户的身份运行 jail 进程。命令 参数取决于 jail 的类型：对于 虚拟系统 来说，/etc/rc 是一个不错的选择，因为它将复制真正的 FreeBSD 系统的启动顺序；对于 服务 jail 来说，它取决于将在 jail 内运行的服务或应用程序。
jail 通常在系统引导时启动，FreeBSD 的 rc 机制提供了用简单的方法来做到这一点。
在 jail.conf 中配置 jail 参数：
www {
   host.hostname = www.example.org;           # 主机名
   ip4.addr = 192.168.0.10;                   # jail 的 IP 地址
   path = "/usr/jail/www";                    # jail 所在路径
   mount.devfs;                               # 在 jail 内部挂载 devfs
   exec.start = "/bin/sh /etc/rc";            # 启动命令
   exec.stop = "/bin/sh /etc/rc.shutdown";    # 停止命令
}
在 rc.conf 中将 jail 配置为在系统引导时启动：
jail_enable="YES" # 如设置为 NO，会禁止启动所有的 jail。
在 jail.conf(5) 中配置的 jail 在默认启动时将运行其中的 /etc/rc 脚本，该脚本默认 jail 是一个完整的虚拟系统。对于服务 jail，应通过对 exec.start 这个选项的适当设置来更改 jail 的默认启动命令。
注意
有关可用选项的完整列表，请参阅 jail.conf(5) 手册页。
​service(8) 可用于手动启动或停止 jail，如果它的条目存在于 jail.conf 中：
# service jail start www
# service jail stop www
还可以用 jexec(8) 停止 jail。先使用 jls(8) 来获得 jail 的 JID，然后使用 jexec(8) 在该 jail 中运行关机脚本。
# jls
   JID  IP Address      Hostname                      Path
     3  192.168.0.10    www                           /usr/jail/www
# jexec 3 /etc/rc.shutdown
有关这方面的更多信息，请参阅 jail(8) 手册页。
最近更新 2mo ago