17.3.建立和控制 Jail
一些管理员将 jail 分为以下两种类型:“完整”jail,类似于真正的 FreeBSD 系 统; 和“服务”jail,专用于一个程序或服务,可能以特权运行。这只是一个概念上的划分,不影响建立 jail 的过程。在建立“完整”jail 时,用户空间的源代码有两个选项:使用预构建的可执行文件(例如在安装镜像上提供的可执行文件)或从源代码建立。
# bsdinstall jail /here/is/the/jail
命令完成后,下一步是配置主机以运行 jail。
要从安装镜像安装用户空间,请先为 jail 创建根目录。可以通过将变量
DESTDIR
设置到正确的位置来完成。启动 shell 并定义
DESTDIR
:# sh
# export DESTDIR=/here/is/the/jail
# mount -t cd9660 /dev/`mdconfig -f cdimage.iso` /mnt
# cd /mnt/usr/freebsd-dist/
将可执行文件从安装镜像上的压缩包中提取到指定的目标中。最简单的是只需要提取基本系统,但也可执行完整安装。
要仅安装基本系统:
# tar -xf base.txz -C $DESTDIR
要安装除内核之外的所有内容:
# for set in base ports; do tar -xf $set.txz -C $DESTDIR ; done
# setenv D /here/is/the/jail
# mkdir -p $D ①
# cd /usr/src
# make buildworld ②
# make installworld DESTDIR=$D ③
# make distribution DESTDIR=$D ④
# mount -t devfs devfs $D/dev ⑤
① 第一步是为 jail 选择一个位置。这是 jail 在 jail 主机的文件系统中的物理位置。一个常用选择是 /usr/jail/jailname,此处 jailname 是 jail 的主机名。/usr/ 在通常情况下有足够的空间容纳 jail 文件系统,对于“完整”jail 来说,它基本上是 FreeBSD 基本系统默认安装的每个文件的副本。
② 如果你已经使用
make world
或 make buildworld
重新编译了你的用户空间,你可以跳过这一步并将现有的用户空间安装到新的 jail 中。③ 这条命令将在文件系统中的 jail 物理位置的目录子树上安装必要的可执行文件、库、手册页等。
④
distribution
这个 make
目标会安装所有需要的配置文件。简单地说,它把 /usr/src/etc/ 的每个可安装文件都安装到 jail 环境的 /etc 目录:$D/etc/ 下。⑤ 在 jail 中挂载文件系统 devfs(8) 不是必须的。另一方面,所有或几乎所有软件都需要访问至少一个设备,这主要取决于给定应用程序的用途。控制对 jail 内部的设备访问是非常重要的,因为不恰当的设置可能允许攻击者在 jail 中做一些令人讨厌的事情。对 devfs(8) 的控制是通过 devfs(8) 和 devfs.conf(5) 手册页中描述的规则集进行管理的。
jail 通常在系统引导时启动,FreeBSD 的 rc 机制提供了用简单的方法来做到这一点。
在 jail.conf 中配置 jail 参数:www {host.hostname = www.example.org; # 主机名ip4.addr = 192.168.0.10; # jail 的 IP 地址path = "/usr/jail/www"; # jail 所在路径mount.devfs; # 在 jail 内部挂载 devfsexec.start = "/bin/sh /etc/rc"; # 启动命令exec.stop = "/bin/sh /etc/rc.shutdown"; # 停止命令}在 rc.conf 中将 jail 配置为在系统引导时启动:jail_enable="YES" # 如设置为 NO,会禁止启动所有的 jail。在 jail.conf(5) 中配置的 jail 在默认启动时将运行其中的 /etc/rc 脚本,该脚本默认 jail 是一个完整的虚拟系统。对于服务 jail,应通过对exec.start
这个选项的适当设置来更改 jail 的默认启动命令。注意
# service jail start www
# service jail stop www
# jls
JID IP Address Hostname Path
3 192.168.0.10 www /usr/jail/www
# jexec 3 /etc/rc.shutdown