17.6.使用 ezjail 管理 Jail

1.
为了保持 jail 环回流量离开主机的环回网络接口 lo0，通过向 /etc/rc.conf 添加一个条目来创建第二个环回接口：

cloned_interfaces="lo1"

第二个环回接口 lo1 将在系统启动时创建。也可以手动创建它，而无需重启系统：

# service netif cloneup

Created clone interfaces: lo1.

可以允许 jail 使用这个二级环回接口的别名而不干扰主机。

在 jail 内，对环回地址 127.0.0.1 的访问被重定向到分配给 jail 的第一个 IP 地址。为了使 jail 的环回地址与新的 lo1 接口相对应，在创建新 jail 时，必须首先在接口和 IP 地址列表中指定该接口。

在 127.0.0.0/8 网块中给每个分配一个 jail 唯一的环回地址。

1.
安装 sysutils/ezjail：

# cd /usr/ports/sysutils/ezjail

# make install clean

1.
通过将这行添加到 /etc/rc.conf 来启用 ezjail：

ezjail_enable="YES"

1.
该服务将在系统启动时自动启动。它可以立即为当前会话启动：

# service ezjail start

1.
用 FreeBSD-RELEASE 来建立 jail

对于基于与主机相匹配的 FreeBSD RELEASE 的 basejail，使用 install。例如，在一台运行 FreeBSD 13-STABLE 的主机上，最新的 FreeBSD-13 RELEASE 版本将被安装在 jail 中：

# ezjail-admin install -p

1.
用 installworld 建立 jail

basejail 可以用 ezjail-admin update 从 buildworld 在主机上创建的可执行文件安装。

在这个例子中，FreeBSD 10-STABLE 是从源代码构建的。jail 目录被创建。然后执行 installworld，将主机的 /usr/obj 安装到 basejail 中：

# ezjail-admin update -i -p

默认情况下使用主机的 /usr/src。可以用 -s 和路径指定主机上不同的源目录，或者用 /usr/local/etc/ezjail.conf 中的 ezjail_sourcetree 设置。

技巧 >basejail ports 由其他 jail 共享。但是，下载的 distfile 存储在它们各自的 jail 中。默认情况下，这些文件存储在每个 jail 内的 /var/ports/distfile 中。在编译 ports 时，每个 jail 中的 /var/ports 也用作工作目录。

技巧

默认情况下，使用 FTP 协议下载用于安装 basejail 的软件包。防火墙或代理配置可以阻止或干扰 FTP 传输。HTTP 协议的工作方式不同，可规避这些问题。可以通过在 /usr/local/etc/ezjail.conf 中为特定下载镜像站指定完整链接来选择 HTTP：

ezjail_ftphost=http://ftp.FreeBSD.org

有关站点列表，请参阅镜像站 部分。

示例：建立和启动新 jail

1.
创建 jail，指定名称、要使用的环回和网络接口及其 IP 地址。在此示例中，jail 被命名为 dnsjail。

# ezjail-admin create dnsjail 'lo1|127.0.1.1,em0|192.168.1.50'

技巧

大多数网络服务可以 jail 中正常运行。某些网络服务，最明显的是 ping(8)会使用 原始网络套接字。在 jail 中，出于安全考虑，默认情况下禁用原始网络套接字。依赖它们的服务将不起作用。

有时，jail 中确实需要原始套接字。例如，网络监控工具经常使用 ping(8) 来检查其他计算机的可用性。当 jail 中实际需要原始网络套接字时，可以通过编辑各个 jail 的 ezjail 配置文件 /usr/local/etc/ezjail/jailname 来启用它们。修改 parameters 条目：

export jail_jailname_parameters="allow.raw_sockets=1"

请勿启用原始网络套接字，除非 jail 中的服务确实需要它们。

1.
启动 jail：

# ezjail-admin start dnsjail

1.
在 jail 中使用控制台：

# ezjail-admin console dnsjail

1.
设置 root 密码

连接到 jail 并设置 root 用户的密码：

# ezjail-admin console dnsjail

# passwd

Changing local password for root

New Password:

Retype New Password:

1.
时区配置

可以用 tzsetup(8) 来设置 jail 的时区。为避免虚假的错误消息，可以注释或删除 /etc/crontab 中的 adjkerntz(8) 条目。此任务使用时区更改来更新计算机的硬件时钟，但不允许 jail 访问该硬件。

1.
域名服务器

在 /etc/resolv.conf 中输入域名服务器一行，以便让 DNS 在 jail 中工作。

1.
编辑 /etc/hosts

更改地址并将 jail 名称添加到 /etc/hosts 中的 localhost 条目中。

1.
配置 /etc/rc.conf

在 /etc/rc.conf 中输入配置设置。这很像配置一台完整的计算机。此处未设置主机名和 IP 地址。这些值已由 jail 配置提供。

技巧

某些 port 必须使用特殊选项编译才能在 jail 中使用。例如，网络监控插件软件 net-mgmt/nagios-plugins 和 net-mgmt/monitoring 插件都有一个 JAIL 选项，必须启用该选项才能在 jail 中正常工作。

例 32.在不可信的 Jail 上运行 mergemaster(8)​

删除从 jail 的 /usr/src 到 basejail 的链接，并在 jail 中创建一个新的 /usr/src 作为挂载点。将主机的 /usr/src 只读挂载到 jail 的新 /usr/src 挂载点上：

# rm /usr/jail/jailname/usr/src

# mkdir /usr/jail/jailname/usr/src

# mount -t nullfs -o ro /usr/src /usr/jail/jailname/usr/src

在 jail 中获取控制台：

# ezjail-admin console jailname

在 jail 里运行 mergemaster。然后退出 jail 控制台：

# cd /usr/src

# mergemaster -U

# exit

最后，卸载 jail 的 /usr/src：

# umount /usr/jail/jailname/usr/src

例 33.可信 Jail 与 mergemaster(8)​

如果 jail 中的用户和服务是可信的。mergemaster(8) 可以在主机运行：

# mergemaster -U -D /usr/jail/jailname

技巧

在主要版本更新后，建议使用 sysutils/ezjail，以确保你的版本正确。因此，请输入：

# pkg-static upgrade -f pkg`

以升级或降级到相应的版本。

例 34.在 jail 中运行 BIND

通过向 /etc/rc.conf 添加一行来创建克隆的环回接口：

cloned_interfaces="lo1"

立即创建新的环回接口：

# service netif cloneup

Created clone interfaces: lo1.

创建 jail：

# ezjail-admin create dns1 'lo1|127.0.2.1,re0|192.168.1.240'

启动 jail，连接到在其上运行的控制台，然后执行一些基本配置：

# ezjail-admin start dns1

# ezjail-admin console dns1

# passwd

Changing local password for root

New Password:

Retype New Password:

# tzsetup

# sed -i .bak -e '/adjkerntz/ s/^/#/' /etc/crontab

# sed -i .bak -e 's/127.0.0.1/127.0.2.1/g; s/localhost.my.domain/dns1.my.domain dns1/' /etc/hosts

在 /etc/resolv.conf 中临时设置上游 DNS 服务器，以便可以下载 ports：

nameserver 10.0.0.62

nameserver 10.0.0.61

仍使用 jail 控制台，安装 dns/bind99。

# make -C /usr/ports/dns/bind99 install clean

通过编辑 /usr/local/etc/namedb/named.conf 来配置域名服务器。

创建允许向此域名服务器发送 DNS 查询的地址和网络的访问控制列表（ACL）。此部分将添加到文件中已有的 options 部分之前：

...

// or cause huge amounts of useless Internet traffic.

...

// or cause huge amounts of useless Internet traffic.

​

acl "trusted" {

192.168.1.0/24;

localhost;

localnets;

};

​

options {

...

在 listen-on 设置中使用 jail 的 IP 地址来接受来自网络上其他计算机的 DNS 查询:

listen-on { 192.168.1.240; };

通过更改 forwarders 该部分来创建一个简单的仅缓存 DNS 域名服务器。原始文件包含：

/*

forwarders {

127.0.0.1;

};

*/

通过删除 /* 和 */ 行来取消注释该部分。输入上游 DNS 服务器的 IP 地址。紧跟在 forwarders 部分之后，添加对前面定义的 trusted ACL 的引用：

forwarders {

10.0.0.62;

10.0.0.61;

};

​

allow-query { any; };

allow-recursion{ trusted; };

allow-query-cache { trusted; };

在 /etc/rc.conf 中启用该服务：

named_enable="YES"

启动并测试域名服务器：

# service named start

wrote key file "/usr/local/etc/namedb/rndc.key"

Starting named.

# /usr/local/bin/dig @192.168.1.240 freebsd.org

响应包括

;; Got answer;

表明新的 DNS 服务器正在工作。长时间延迟后出现响应，例如

;; connection timed out; no servers could be reached

表明发生错误。请检查配置设置，并确保任何本地防火墙允许对上游 DNS 服务器进行新的 DNS 访问。

新的 DNS 服务器可以像其他本地计算机一样，将自身用于本地域名解析。在客户端计算机的 /etc/resolv.conf 中设置 DNS 服务器的地址：

nameserver 192.168.1.240

可以将本地 DHCP 服务器配置为为本地 DNS 服务器提供此地址，从而在 DHCP 客户端上提供自动配置。