17.4.微调和管理
你可以为 jail 设置许多不同的选项,并让 FreeBSD 主机系统与 jail 相交互,以支持 更高级别的应用程序。本节介绍了:
- 一些可用于微调 jail 行为和安全限制的选项。
- 一些可以通过 FreeBSD ports 获得的用于 jail 管理的高级应用程序,他们可用于实现基于 jail 的整体解决方案。
security.jail.set_hostname_allowed: 1
security.jail.socket_unixiproute_only: 1
security.jail.sysvipc_allowed: 0
security.jail.enforce_statfs: 2
security.jail.allow_raw_sockets: 0
security.jail.chflags_allowed: 0
security.jail.jailed: 0
- 列出使用中的 jail 及其相应的 jail 标识(JID)、IP 地址、主机名和路径。
- 从主机系统连接到正在运行的 jail,并在 jail 内部运行命令或在 jail 内部执行管理任务。这在
root
用户想要干净利落地关闭 jail 时尤其有用。jexec(8) 工具也可用于在 jail 中启动 shell,以便在其中进行管理。例如:# jexec 1 tcsh
在用于 jail 管理的众多第三方工具中,最完整和最有用的软件之一是 sysutils/ezjail。它是一组有助于 jail(8) 管理的脚本。有关详细信息,请参阅手册中有关 ezjail 的部分。
应该在主机操作系统中对 jail 进行更新,因为在 jail 内部给用户空间打补丁的尝试可能会失败,因为 FreeBSD 中默认禁止在 jail 中使用 chflags(1),而这会阻止某些文件的替换。可以改变这种机制,但建议使用 freebsd-update(8) 来维护 jail。用
-b
指定要更新的 jail 的路径。要将 jail 更新到它正在运行的 FreeBSD 版本的最新补丁版本,需要在主机上执行以下命令:
# freebsd-update -b /here/is/the/jail fetch
# freebsd-update -b /here/is/the/jail install
要将 jail 升级到新的主要或次要版本,请首先按照“执行主要和次要版本升级”中所述升级主机系统。升级并重新引导主机后,再升级 jail。例如,要从 12.2-RELEASE 升级到 12.3-RELEASE,请在主机上运行:
# freebsd-update -b /here/is/the/jail --currently-running 12.2-RELEASE -r 12.3-RELEASE upgrade
# freebsd-update -b /here/is/the/jail install
# service jail restart myjail
# freebsd-update -b /here/is/the/jail install
然后,如果是主要版本升级,请重新安装所有已安装的软件包并再次重新启动 jail。这是必需的,因为在 FreeBSD 的主要版本之间升级时 ABI 版本会发生变化。在主机上执行:
# pkg -j myjail upgrade -f
# service jail restart myjail