diff --git a/mn_MN.UTF-8/books/handbook/disks/chapter.sgml b/mn_MN.UTF-8/books/handbook/disks/chapter.sgml
index 332feed5a1..7f2b48cb89 100644
--- a/mn_MN.UTF-8/books/handbook/disks/chapter.sgml
+++ b/mn_MN.UTF-8/books/handbook/disks/chapter.sgml
@@ -1,4040 +1,4040 @@
 <!--
      The FreeBSD Mongolian Documentation Project
 
-     Original revision 1.283
+     Original revision 1.284
 
      $FreeBSD$
 -->
 
 <chapter id="disks">
   <chapterinfo>
     <authorgroup>
       <author>
 	<firstname>Цагаанхүүгийн</firstname>
 	<surname>Ганболд</surname>
 	<contrib>Орчуулсан  </contrib>
       </author>
     </authorgroup>
   </chapterinfo>
   <title>Хадгалалт</title>
 
   <sect1 id="disks-synopsis">
     <title>Ерөнхий агуулга</title>
 
 
     <para>Энэ бүлэг нь FreeBSD дээр дискнүүдийг ашиглах талаар тайлбарлах болно. 
 	Эдгээрт санах ой дээр тулгуурласан дискнүүд, сүлжээнд залгагдсан дискнүүд, 
 	стандарт SCSI/IDE хадгалалтын төхөөрөмжүүд болон USB интерфэйс 
 	ашигладаг төхөөрөмжүүд багтах юм.</para>
 
     <para>Энэ бүлгийг уншсаны дараа, та дараах зүйлсийг мэдэх болно:</para>
     <itemizedlist>
       <listitem><para>Физик диск (хуваалтууд болон зүсмэлүүд) дээрх өгөгдлийн зохион 
 	байгуулалтыг тайлбарладаг FreeBSD-ийн ашигладаг ухагдахуун.</para>
       </listitem>
       <listitem><para>Өөрийн систем дээр нэмэлт хатуу дискнүүдийг хэрхэн нэмэх талаар.</para>
       </listitem>
       <listitem>
 	<para>USB хадгалалтын төхөөрөмжүүдийг ашиглахын тулд  &os;-г хэрхэн тохируулах талаар.</para>
       </listitem>
       <listitem><para>Санах ойн диск зэрэг виртуал файлын системүүдийг хэрхэн тохируулах талаар.</para></listitem>
       <listitem>
 	<para>Дискний зайн хэрэглээг хязгаарлахын тулд ноогдлыг хэрхэн ашиглах талаар.</para>
       </listitem>
       <listitem>
 	<para>Дискийг халдагчдаас хамгаалж нууцлахын тулд хэрхэн шифрлэх талаар.</para>
       </listitem>
       <listitem>
 	<para>FreeBSD дээр CD болон DVD-г хэрхэн үүсгэж шарах талаар.</para>
       </listitem>
       <listitem>
         <para>Нөөцлөлтөд зориулсан хадгалалтын төрөл бүрийн тохируулгууд.</para>
       </listitem>
       <listitem>
         <para>FreeBSD дээр байдаг нөөцлөлтийн програмуудыг хэрхэн ашиглах талаар.</para>
       </listitem>
       <listitem>
         <para>Уян диск уруу хэрхэн нөөцлөх талаар.</para>
       </listitem>
       <listitem>
         <para>Файлын системийн хормын хувилбар гэж юу болох түүнийг хэрхэн үр дүнтэйгээр ашиглах талаар.</para>
       </listitem>
     </itemizedlist>
 
     <para>Энэ бүлгийг уншихаасаа өмнө та дараах зүйлсийг гүйцэтгэх хэрэгтэй:</para>
 
     <itemizedlist>
       <listitem>
         <para>Шинэ FreeBSD цөмийг хэрхэн тохируулж суулгах талаар мэдэх
           (<xref linkend="kernelconfig">).</para>
       </listitem>
     </itemizedlist>
 
   </sect1>
 
   <sect1 id="disks-naming">
     <title>Төхөөрөмжийн нэрс</title>
 
     <para>Дараах нь FreeBSD-д дэмжигдсэн физик хадгалалтын төхөөрөмжүүд болон 
 	тэдгээртэй холбоотой төхөөрөмжийн нэрсийн жагсаалт юм.</para>
 
     <table id="disk-naming-physical-table" frame="none">
       <title>Физик диск нэрлэх заншил</title>
 
       <tgroup cols="2">
 	<thead>
 	  <row>
 	    <entry>Хөтчийн төрөл</entry>
 	    <entry>Хөтчийн төхөөрөмжийн нэр</entry>
 	  </row>
 	</thead>
 	<tbody>
 	  <row>
 	    <entry>IDE хатуу хөтчүүд</entry>
 	    <entry><literal>ad</literal></entry>
 	  </row>
 	  <row>
 	    <entry>IDE CDROM хөтчүүд</entry>
 	    <entry><literal>acd</literal></entry>
 	  </row>
 	  <row>
 	    <entry>SCSI хатуу хөтчүүд болон USB Mass хадгалалтын төхөөрөмжүүд</entry>
 	    <entry><literal>da</literal></entry>
 	  </row>
 	  <row>
 	    <entry>SCSI CDROM хөтчүүд</entry>
 	    <entry><literal>cd</literal></entry>
 	  </row>
 	  <row>
 	    <entry>Төрөлжүүлсэн стандарт бус CDROM хөтчүүд</entry>
 	    <entry>Mitsumi CD-ROM-ийн хувьд <literal>mcd</literal> ба 
 	      Sony CD-ROM хөтчүүдийн хувьд <literal>scd</literal>
 	    </entry>
 	  </row>
 	  <row>
 	    <entry>Уян хөтчүүд</entry>
 	    <entry><literal>fd</literal></entry>
 	  </row>
 	  <row>
 	    <entry>SCSI соронзон хальсны хөтчүүд</entry>
 	    <entry><literal>sa</literal></entry>
             </row>
 	  <row>
 	    <entry>IDE соронзон хальсны хөтчүүд</entry>
 	    <entry><literal>ast</literal></entry>
 	  </row>
 	  <row>
 	    <entry>Flash хөтчүүд</entry>
 	    <entry>&diskonchip; Flash хөтчийн хувьд <literal>fla</literal></entry>
 	  </row>
 	  <row>
 	    <entry>RAID хөтчүүд</entry>
 	    <entry>&adaptec; AdvancedRAID-н хувьд <literal>aacd</literal>,
 	      &mylex;-ийн хувьд <literal>mlxd</literal> ба <literal>mlyd</literal>,
 	      AMI &megaraid;-ийн хувьд <literal>amrd</literal>,
 	      Compaq Smart RAID-ийн хувьд <literal>idad</literal>,
 	      &tm.3ware; RAID-ийн хувьд <literal>twed</literal>.</entry>
 	  </row>
 	</tbody>
       </tgroup>
     </table>
   </sect1>
 
   <sect1 id="disks-adding">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Дэйвид</firstname>
 	  <surname>О'Брайн</surname>
 	  <contrib>Анхлан хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
       <!-- 26 Apr 1998 -->
     </sect1info>
 
     <title>Диск нэмэх</title>
 
     <indexterm>
       <primary>дискнүүд</primary>
       <secondary>нэмэх нь</secondary>
     </indexterm>
 
     <para>Бид шинэ SCSI дискийг одоогоор зөвхөн нэг хөтөчтэй байгаа машин дээр 
 	нэмэхийг хүсэж байна гэж бодъё. Эхлээд компьютераа унтраагаад хөтчийг 
 	компьютер, хянагч болон хөтчийн үйлдвэрлэгчийн заавруудын дагуу суулгана. 
 	Үүнийг хийх маш олон төрлийн процедуруудаас болоод энэ тухай дэлгэрэнгүй 
 	мэдээлэл нь энэ баримтын хамрах хүрээнээс гадна юм.</para>
 
     <para><username>root</username> хэрэглэгчээр нэвтрэх хэрэгтэй. Та хөтчийг 
 	суулгасны дараа шинэ диск олдсон эсэхийг <filename>/var/run/dmesg.boot</filename>-с 
 	шалгаарай. Шинээр нэмсэн хөтөч нь <devicename>da1</devicename> байх 
 	бөгөөд бид үүнийг <filename>/1</filename> дээр холбохыг хүснэ (хэрэв та IDE хөтөч 
 	нэмж байгаа бол төхөөрөмжийн нэр нь <devicename>ad1</devicename> болно).</para>
 
     <indexterm><primary>хуваалтууд</primary></indexterm>
     <indexterm><primary>зүсмэлүүд</primary></indexterm>
     <indexterm>
       <primary><command>fdisk</command></primary>
     </indexterm>
 
     <para>FreeBSD нь IBM-PC-тэй нийцтэй компьютеруудтай ажилладаг учраас 
 	PC BIOS хуваалтуудыг бодолцох ёстой. Эдгээр нь уламжлалт BSD хуваалтуудаас 
 	өөр юм. PC диск нь дөрөв хүртэлх тооны BSD хуваалттай байдаг. Хэрэв диск 
 	нь жинхэнээрээ FreeBSD-д зориулагдах бол та <emphasis>dedicated буюу 
 	зориулагдсан</emphasis> горимыг ашиглаж болно. Үгүй бол FreeBSD нь 
 	PC BIOS хуваалтуудын аль нэгэн дээр байрлах болно. FreeBSD нь PC BIOS 
 	хуваалтуудыг уламжлалт BSD хуваалтуудтай эндүүрэхгүйн тулд 
 	<emphasis>зүсмэлүүд</emphasis> гэж нэрлэдэг. Та бас FreeBSD-д зориулагдсан 
 	боловч өөр үйлдлийн систем суулгагдсан компьютер дээр ашигласан диск дээрх 
 	зүсмэлүүдийг хэрэглэж болох юм. Энэ нь FreeBSD биш өөр үйлдлийн системийн 
 	<command>fdisk</command> хэрэгсэлтэй андуурахаас хамгаалах нэг сайн 
 	арга юм.</para>
 
     <para>Зүсмэлийн хувьд бол хөтөч нь <filename>/dev/da1s1e</filename> 
 	гэж нэмэгдэх болно. Үүнийг SCSI диск, нэгжийн дугаар 1 (хоёр дахь SCSI диск),
 	зүсмэл 1 (PC BIOS хуваалт 1) болон <filename>e</filename> BSD 
 	хуваалт гэж уншина. Зориулагдсан тохиолдолд хөтөч нь ердөө л <filename>/dev/da1e</filename> 
 	гэж нэмэгдэнэ.</para>
 
     <para>Секторуудын тоог хадгалахын тулд 32 битийн бүхэл тоог ашигладгаас болоод 
 	&man.bsdlabel.8; нь нэг дискний хувьд 2^32-1 сектор буюу ихэнх тохиолдолд 
 	2TB болж хязгаарлагддаг. &man.fdisk.8; хэлбэршүүлэлт нь 2^32-1-с 
 	ихгүй эхлэх сектор болон 2^32-1-с ихгүй уртыг зөвшөөрч хуваалтуудыг 2TB,  
 	дискнүүдийг ихэнх тохиолдолд 4TB болгож хязгаарладаг. &man.sunlabel.8; 
 	хэлбэршүүлэлт нь нэг хуваалтын хувьд 2^32-1 сектороор, нийтдээ 16TB-ийн 
 	8 хуваалтаар хязгаарлагддаг. Илүү том дискнүүдийн хувьд &man.gpt.8; 
 	хуваалтууд ашиглагдаж болох юм.</para>
 
     <sect2>
       <title>&man.sysinstall.8;-г ашиглах нь</title>
       <indexterm>
         <primary><application>sysinstall</application></primary>
         <secondary>дискнүүд нэмэх нь</secondary>
       </indexterm>
       <indexterm>
 	<primary>su</primary>
       </indexterm>
       <procedure>
 	<step>
 	  <title><application>Sysinstall</application>-г жолоодох нь</title>
 
 	  <para>Та <command>sysinstall</command>-н хялбар ашиглаж болох 
 		цэснүүдийн тусламжтайгаар шинэ дискийг хуваан хаяглаж болох юм. 
 		<username>root</username> хэрэгчээр нэвтрэх буюу эсвэл 
 		<command>su</command> тушаалыг ашиглаарай. 
 		<command>sysinstall</command>-г ажиллуулж 
 		<literal>Configure</literal> цэс уруу орно. 
 		<literal>FreeBSD Configuration Menu</literal> дотор 
 		доош шилжиж <literal>Fdisk</literal> тохируулгыг 
 		сонгоно.</para>
 	</step>
 
 	<step>
 	  <title><application>fdisk</application> хуваалт засварлагч</title>
 	  <para><application>fdisk</application>-ийн дотор байхдаа 
-		<userinput>A</userinput> гэж бичвэл дискийг бүхэлд нь FreeBSD-д 
+		<keycap>A</keycap>-г дарвал дискийг бүхэлд нь FreeBSD-д 
 		ашиглах болно. Асуух үед нь хэрэв та <quote>ирээдүйд суулгаж болзошгүй 
 		үйлдлийн системүүдтэй хамтран ажиллахаар үлдэхийг хүсвэл</quote> 
-		<literal>YES</literal> гэж хариулаарай. <userinput>W</userinput>-г 
+		<literal>YES</literal> гэж хариулаарай. <keycap>W</keycap>-г 
 		ашиглан өөрчлөлтүүдийг диск уруу бичнэ. Одоо FDISK засварлагчаас 
-		<userinput>q</userinput> гэж бичин гараарай. Дараа нь танаас 
+		<keycap>Q</keycap>-г дарж гараарай. Дараа нь танаас 
 		<quote>Master Boot Record буюу Мастер Ачаалагч Бичлэгийн</quote> 
 		талаар асуух болно. Та ажиллаж байгаа систем дээр диск нэмж байгаа болохоор 
 		<literal>None</literal>-г сонгох хэрэгтэй.</para>
 	</step>
 
 	<step>
 	  <title>Дискний Шошго засварлагч</title>
 	  <indexterm><primary>BSD хуваалтууд</primary></indexterm>
 
 	  <para>Дараа нь <application>sysinstall</application>-с гарч дахин 
 		түүнийг эхлүүлэх хэрэгтэй. Дээрх заавруудыг дагаарай, гэхдээ 
 		энэ удаад <literal>Label</literal> тохируулгыг сонгоорой. 
 		Энэ нь <literal>Disk Label Editor буюу дискний шошго засварлагч</literal> 
 		уруу орно. Энд та уламжлалт BSD хуваалтуудыг үүсгэдэг. Диск нь 
 		<literal>a-h</literal> гэж хаяглагдсан найм хүртэлх хуваалтуудтай 
 		байж болно. Хуваалтын шошгонуудын цөөн хэд нь тусгай хэрэглээтэй байдаг. 
 		<literal>a</literal> хуваалт нь root хуваалтанд (<filename>/</filename>) 
 		ашиглагддаг. Тиймээс зөвхөн таны системийн диск (өөрөөр хэлбэл таны 
 		ачаалалт хийсэн диск) <literal>a</literal> хуваалттай байх 
 		ёстой. <literal>b</literal> хуваалт нь swap хуваалтуудад 
 		хэрэглэгддэг бөгөөд та swap хуваалттай олон дисктэй байж болох юм. 
 		<literal>c</literal> хуваалт нь зориулагдсан горимд  
 		бүх дискийг, зүсмэлийн горимд бүхэл FreeBSD зүсмэлийг эсвэл заадаг.
 		Бусад хуваалтууд нь ерөнхий хэрэглээнд зориулагдсан.</para>
 
 	  <para><application>sysinstall</application>-ийн шошго засварлагч нь 
 		root биш, swap биш хуваалтуудад зориулж <literal>e</literal> 
-		хуваалтыг илүүтэй үздэг. Шошго засварлагч дотор байхдаа <userinput>C</userinput> 
-		гэж бичин ганц файлын систем үүсгэх хэрэгтэй. Асуух үед, хэрэв энэ нь 
+		хуваалтыг илүүтэй үздэг. Шошго засварлагч дотор байхдаа <keycap>C</keycap>-г 
+		даран ганц файлын систем үүсгэх хэрэгтэй. Асуух үед, хэрэв энэ нь 
 		FS (файлын систем) эсвэл swap байх юм бол <literal>FS</literal>-г 
 		сонгож холбох цэгийг (өөрөөр хэлбэл <filename>/mnt</filename>) бичээрэй. 
 		Хэрэв дискийг суулгацын дараах горимд нэмж байгаа бол 
 		<application>sysinstall</application> нь танд зориулж оруулгуудыг 
 		<filename>/etc/fstab</filename> файлд үүсгэхгүй, тиймээс таны 
 		зааж өгсөн холбох цэг нь чухал биш юм.</para>
 
 	  <para>Та одоо шинэ шошгыг диск уруу бичиж түүн дээр файлын систем үүсгэхэд 
-		бэлэн боллоо. Үүнийг <userinput>W</userinput> гэж бичин хийнэ. 
+		бэлэн боллоо. Үүнийг <keycap>W</keycap>-г дарж хийнэ. 
 		<application>sysinstall</application>-ын шинэ хуваалтыг 
 		холбож чадахгүй байна гэсэн алдааг өнгөрүүлэх хэрэгтэй. Шошго засварлагч
 		болон <application>sysinstall</application>-с бүр мөсөн 
 		гараарай.</para>
 	</step>
 
 	<step>
 	  <title>Төгсгөл</title>
 
 	  <para>Хамгийн сүүлийн алхам нь <filename>/etc/fstab</filename> файлыг 
 		засварлаж өөрийн шинэ дискний оруулгыг нэмэх явдал юм.</para>
 	</step>
       </procedure>
     </sect2>
 
     <sect2>
       <title>Тушаалын мөрийн хэрэгслүүдийг ашиглах нь</title>
 
       <sect3>
 	<title>Зүсмэлүүдийг ашиглах нь</title>
 
 	<para>Энэ тохиргоо нь таны дискийг өөрийн чинь компьютер дээр суулгагдсан 
 	байж болох бусад үйлдлийн системтэй зөв ажиллаж өөр бусад үйлдлийн системийн 
 	<command>fdisk</command> хэрэгслүүдтэй эндүүрэхгүй байх боломжийг 
 	бүрдүүлдэг. Шинэ дискийг суулгахад энэ аргыг ашиглахыг зөвлөдөг. 
 	Хэрэв танд үнэхээр тохирох шалтгаан байгаа тохиолдолд <literal>зориулагдсан</literal> 
 	горимыг ашиглаарай!</para>
 
 	<screen>&prompt.root; <userinput>dd if=/dev/zero of=/dev/da1 bs=1k count=1</userinput>
 &prompt.root; <userinput>fdisk -BI da1</userinput> #Initialize your new disk
 &prompt.root; <userinput>bsdlabel -B -w da1s1 auto</userinput> #Label it.
 &prompt.root; <userinput>bsdlabel -e da1s1</userinput> # Edit the bsdlabel just created and add any partitions.
 &prompt.root; <userinput>mkdir -p /1</userinput>
 &prompt.root; <userinput>newfs /dev/da1s1e</userinput> # Repeat this for every partition you created.
 &prompt.root; <userinput>mount /dev/da1s1e /1</userinput> # Mount the partition(s)
 &prompt.root; <userinput>vi /etc/fstab</userinput> # Add the appropriate entry/entries to your <filename>/etc/fstab</filename>.</screen>
 
 	<para>Хэрэв танд IDE диск байвал <filename>da</filename>-г 
 	<filename>ad</filename> гэж солиорой.</para>
       </sect3>
 
       <sect3>
 	<title>Зориулагдсан</title>
 	<indexterm><primary>OS/2</primary></indexterm>
 
 	<para>Хэрэв та шинэ хөтчийг өөр үйлдлийн системтэй цуг хуваалцахгүй бол 
 	<literal>зориулагдсан</literal> горимыг ашиглаж болох юм. Энэ горим нь 
 	Microsoft үйлдлийн системийн толгойг эргүүлж болохыг санаарай; гэхдээ 
 	тэдгээр нь ямар ч эвдрэл гэмтэл үүсгэхгүй. IBM-ийн &os2; нь харин 
 	олсон бүх ойлгохгүй байгаа ямар ч хуваалтыг хувьдаа <quote>завших</quote> 
 	болно.</para>
 
 	<screen>&prompt.root; <userinput>dd if=/dev/zero of=/dev/da1 bs=1k count=1</userinput>
 &prompt.root; <userinput>bsdlabel -Bw da1 auto</userinput>
 &prompt.root; <userinput>bsdlabel -e da1</userinput>				# create the `e' partition
 &prompt.root; <userinput>newfs /dev/da1e</userinput>
 &prompt.root; <userinput>mkdir -p /1</userinput>
 &prompt.root; <userinput>vi /etc/fstab</userinput>				# add an entry for /dev/da1e
 &prompt.root; <userinput>mount /1</userinput></screen>
 
 	<para>Өөр нэг арга нь:</para>
 
 	<screen>&prompt.root; <userinput>dd if=/dev/zero of=/dev/da1 count=2</userinput>
 &prompt.root; <userinput>bsdlabel /dev/da1 | bsdlabel -BR da1 /dev/stdin</userinput>
 &prompt.root; <userinput>newfs /dev/da1e</userinput>
 &prompt.root; <userinput>mkdir -p /1</userinput>
 &prompt.root; <userinput>vi /etc/fstab</userinput>					# add an entry for /dev/da1e
 &prompt.root; <userinput>mount /1</userinput></screen>
 
       </sect3>
     </sect2>
   </sect1>
 
   <sect1 id="raid">
     <title>RAID</title>
 
     <sect2 id="raid-soft">
       <title>Програм хангамжийн RAID</title>
 
       <sect3 id="ccd">
 	<sect3info>
 	  <authorgroup>
 	    <author>
 	      <firstname>Кристофер</firstname>
 	      <surname>Шамвэй</surname>
 	      <contrib>Анхлан ажилласан </contrib>
 	    </author>
 	  </authorgroup>
 	  <authorgroup>
 	    <author>
 	      <firstname>Жим</firstname>
 	      <surname>Браун</surname>
 	      <contrib>Хянан тохиолдуулсан </contrib>
 	    </author>
 	  </authorgroup>
 	</sect3info>
 
 <indexterm><primary>RAID</primary><secondary>програм хангамж</secondary></indexterm>
 <indexterm>
   <primary>RAID</primary><secondary>CCD</secondary>
 </indexterm>
 
 	<title>Нийлүүлэгдсэн Дискний Драйвер (Concatenated Disk Driver буюу CCD) тохиргоо</title>
 	<para>Бөөн хадгалалтын шийдлийг сонгохдоо бодолцох хамгийн чухал хүчин зүйлүүд нь 
 	хурд, найдвартай байдал болон өртөг юм. Энэ гурвыг гурвууланг нь тэнцүү байлгах нь 
 	ховор байдаг; ерөнхийдөө хурдан, найдвартай бөөн хадгалалтын төхөөрөмж нь үнэтэй 
 	бөгөөд үнийн хувьд хямдыг сонгох нь хурд эсвэл найдвартай байдлын аль нэгийг золиослох 
 	хэрэгтэй болдог.</para>
 
           <para>Доор тайлбарласан системийг дизайн хийхдээ өртгийг хамгийн чухал хүчин зүйл гэж 
 		сонгож авсан бөгөөд үүний дараа хурд, хурдын дараа найдвартай байдлыг 
 		сонгосон. Энэ системийн өгөгдөл дамжуулах хурд нь эцсийн эцэст сүлжээгээр 
 		шахагддаг. Найдвартай байдал нь маш чухал боловч доор тайлбарласан CCD 
 		хөтөч нь CD-R-ууд дээр аль хэдийн бүтнээрээ нөөцлөгдсөн, амархнаар 
 		солигдож болох өгөгдөлд шууд үйлчилдэг.</para>
 
           <para>Өөрийн шаардлагыг тодорхойлох нь бөөн хадгалалтын шийдлийг сонгох анхны 
 		алхам юм. Хэрэв таны шаардлага нь хурд эсвэл найдвартай байдлыг өртгөөс 
 		илүүтэй үзэж байгаа бол таны шийдэл энэ хэсэгт тайлбарласан шийдлээс 
 		өөр болох болно.</para>
 
 
 	<sect4 id="ccd-installhw">
 	  <title>Тоног төхөөрөмжийг суулгах нь</title>
 
 	  <para>IDE системийн дискнээс гадна гурван Western
             Digital 30GB, 5400 RPM IDE диск нь доор тайлбарласан 
 		CCD дискний гол цөм болж нийтдээ ойролцоогоор 90GB 
 		шууд хадгалалт болно. Туйлын хүслээр бол IDE диск бүр өөрийн IDE 
 		хянагч болон кабельтай байна, гэхдээ өртгийг багасгахын 
 		тулд нэмэлт IDE хянагчууд ашиглагдаагүй болно. Харин дискнүүд нь 
 		jumper буюу холбогчоор тохируулагдсан бөгөөд ингэснээр IDE хянагч 
 		бүр нэг мастер болон нэг боолтой байна.</para>
 
 	  <para>Дахин ачаалах үед системийн BIOS залгагдсан дискнүүдийг автоматаар олохоор 
 		тохируулагдсан байдаг. Илүү чухал зүйл нь FreeBSD тэдгээрийг дахин ачаалахад 
 		олсон явдал юм:</para>
 
 	  <programlisting>ad0: 19574MB &lt;WDC WD205BA&gt; [39770/16/63] at ata0-master UDMA33
 ad1: 29333MB &lt;WDC WD307AA&gt; [59598/16/63] at ata0-slave UDMA33
 ad2: 29333MB &lt;WDC WD307AA&gt; [59598/16/63] at ata1-master UDMA33
 ad3: 29333MB &lt;WDC WD307AA&gt; [59598/16/63] at ata1-slave UDMA33</programlisting>
 
  	  <note><para>Хэрэв FreeBSD дискнүүдийг бүгдийг нь олохгүй байгаа бол 
 		та тэдгээрийг зөвөөр холбосон эсэхээ шалгаарай. IDE хөтчүүдийн 
 		ихэнх нь бас <quote>Cable Select</quote> холбогчтой байдаг. 
 		Энэ нь мастер/боол харилцаанд зориулагдсан холбогч 
 		<emphasis>биш</emphasis> юм. Хөтчийн баримтаас зөв 
 		холбогчийг таних талаар лавлаарай.</para></note>
 
  	  <para>Дараа нь тэдгээрийг файлын системийн хэсэг болгон залгах талаар 
 		бодох хэрэгтэй. Та &man.vinum.8; (<xref
  	    linkend="vinum-vinum">) болон &man.ccd.4; хоёуланг 
 		судлах хэрэгтэй. Энэ тохиргооны хувьд &man.ccd.4;-г сонгосон.</para>
 	</sect4>
 
 	<sect4 id="ccd-setup">
 	  <title>CCD-г тохируулах нь</title>
 
  	  <para>&man.ccd.4; хөтөч нь хэд хэдэн адил дискнүүдийг авч тэдгээрийг 
 		нэг логик файл систем болгон нийлүүлэх боломжийг олгодог. 
 		&man.ccd.4;-г ашиглахын тулд танд &man.ccd.4; дэмжлэг 
 		цуг бүтээгдсэн цөм хэрэгтэй. Энэ мөрийг цөмийн тохиргооны файлдаа
 		нэмээд цөмөө дахин бүтээж суулгаарай:</para>
 
 	  <programlisting>device   ccd</programlisting>
 
 	  <para>&man.ccd.4; дэмжлэг цөмийн дуудагдах модуль хэлбэрээр 
 		бас дуудагдаж болно.</para>
 
  	  <para>&man.ccd.4;-г тохируулахын тулд та эхлээд дискнүүдийг 
 		хаяглах &man.bsdlabel.8;-г ашиглах ёстой:</para>
 
 	  <programlisting>bsdlabel -w ad1 auto
 bsdlabel -w ad2 auto
 bsdlabel -w ad3 auto</programlisting>
 
  	  <para>Энэ нь бүх дискний дагуух <devicename>ad1c</devicename>, <devicename>ad2c</devicename> болон <devicename>ad3c</devicename>-д зориулж  bsdlabel үүсгэдэг.</para>
 
  	  <para>Дараагийн алхам нь дискний шошгоны төрлийг өөрчлөх явдал юм. 
 		Та дискнүүдийг засварлахдаа &man.bsdlabel.8;-г ашиглаж 
 		болно:</para>
 
 	  <programlisting>bsdlabel -e ad1
 bsdlabel -e ad2
 bsdlabel -e ad3</programlisting>
 
  	  <para>Энэ нь диск бүр дэх тухайн дискний шошгыг <envar>EDITOR</envar> 
 		орчны хувьсагчид заасан засварлагчаар, ихэнхдээ &man.vi.1;-ээр 
 		онгойлгодог.</para>
 
 	  <para>Өөрчлөлт хийгдээгүй дискний шошго иймэрхүү харагдах болно:</para>
 
 	  <programlisting>8 partitions:
 #        size   offset    fstype   [fsize bsize bps/cpg]
   c: 60074784        0    unused        0     0     0   # (Cyl.    0 - 59597)</programlisting>
 
  	  <para>&man.ccd.4;-д зориулж ашиглахаар шинэ <literal>e</literal> 
 		хуваалтыг нэмнэ. Үүнийг ихэвчлэн <literal>c</literal> хуваалтаас хуулж 
 		болох боловч <option>fstype</option> нь <userinput>4.2BSD</userinput> 
 		байх <emphasis>ёстой</emphasis>. Дискний шошго одоо иймэрхүү харагдах 
 		ёстой:</para>
 
 	  <programlisting>8 partitions:
 #        size   offset    fstype   [fsize bsize bps/cpg]
   c: 60074784        0    unused        0     0     0   # (Cyl.    0 - 59597)
   e: 60074784        0    4.2BSD        0     0     0   # (Cyl.    0 - 59597)</programlisting>
 
 	</sect4>
 
 	<sect4 id="ccd-buildingfs">
 	  <title>Файлын системийг бүтээх нь</title>
 
 	  <para>Та бүх дискнүүдээ хаягласны дараа &man.ccd.4;-г бүтээх 
 		ёстой. Үүнийг хийхийн тулд дараах тохируулгуудтай адилаар
 		&man.ccdconfig.8;-г ашиглана:</para>
 
 	    <programlisting>ccdconfig ccd0<co id="co-ccd-dev"> 32<co id="co-ccd-interleave"> 0<co id="co-ccd-flags"> /dev/ad1e<co id="co-ccd-devs"> /dev/ad2e /dev/ad3e</programlisting>
 
 	  <para>Тохируулга бүрийн хэрэглээ болон утгыг доор харуулав:</para>
 
           <calloutlist>
             <callout arearefs="co-ccd-dev">
 	    <para>Эхний нэмэлт өгөгдөл нь тохируулах төхөөрөмж байх бөгөөд энэ 
 		тохиолдолд <filename>/dev/ccd0c</filename> байна. 
 		<filename>/dev/</filename> хэсэг байхгүй ч байж болно.</para>
             </callout>
 
             <callout arearefs="co-ccd-interleave">
 
 	    <para>Файлын системд зориулсан interleave.  interleave нь 
 		дискний блокууд дээрх судлын хэмжээг тодорхойлдог бөгөөд нэг бүр нь 
 		ихэвчлэн 512 байт байдаг. Тэгэхээр 32 interleave нь 16,384 байт 
 		байна.</para>
             </callout>
 
             <callout arearefs="co-ccd-flags">
 	    <para>&man.ccdconfig.8;-д зориулсан тугнууд. Хэрэв та хөтчийг 
 		толин тусгал үүсгэж идэвхжүүлэхийг хүсвэл тугийг энд зааж өгч 
 		болно. Энэ тохиргоо нь &man.ccd.4;-н хувьд толин тусгал 
 		үүсгэлтийг хангадаггүй учир энэ нь 0 (тэг) гэж тохируулагдсан.</para>
             </callout>
 
             <callout arearefs="co-ccd-devs">
 	    <para>&man.ccdconfig.8; уруу өгөгдөх сүүлийн нэмэлт өгөгдлүүд нь 
 		массивт оруулах төхөөрөмжүүд юм. Төхөөрөмж бүрийн хувьд бүрэн 
 		гүйцэд замын нэрийг ашиглах хэрэгтэй.</para>
             </callout>
           </calloutlist>
 
 
 	  <para>&man.ccdconfig.8;-г ажиллуулсны дараа &man.ccd.4; тохируулагдана.
 		Файлын систем суулгагдаж болно. Тохируулгуудын талаар &man.newfs.8;-с 
 		лавлана уу, эсвэл ердөө л ингэж ажиллуулна: </para>
 
 	  <programlisting>newfs /dev/ccd0c</programlisting>
 
 
 	</sect4>
 
 	<sect4 id="ccd-auto">
 	  <title>Бүгдийг автомат болгох нь</title>
 
 	  <para>Ерөнхийдөө та &man.ccd.4;-г дахин ачаалах бүртээ холбохыг хүснэ. 
 		Үүнийг хийхийн тулд та эхлээд тохируулах хэрэгтэй. Өөрийн одоогийн 
 		тохиргоогоо дараах тушаал ашиглаж <filename>/etc/ccd.conf</filename> 
 		уруу бичих хэрэгтэй:</para>
 
 	  <programlisting>ccdconfig -g &gt; /etc/ccd.conf</programlisting>
 
 	  <para>Дахин ачаалах үед скрипт <command>/etc/rc</command> нь 
 		хэрэв <filename>/etc/ccd.conf</filename> байвал 
 		<command>ccdconfig -C</command> тушаалыг ажиллуулна. 
 		Энэ нь &man.ccd.4;-г холбож болохоор болгож 
 		автоматаар тохируулна.</para>
 
 	  <note><para>Хэрэв та ганц хэрэглэгчийн горим уруу ачаалж байгаа бол 
 		&man.ccd.4;-г &man.mount.8; хийхээсээ өмнө массивыг 
 		тохируулахын тулд дараах тушаалыг ажиллуулах 
 		шаардлагатай:</para>
 
 	  <programlisting>ccdconfig -C</programlisting>
           </note>
 
 	  <para>&man.ccd.4;-г автоматаар холбохын тулд &man.ccd.4;-н оруулгыг 
 		<filename>/etc/fstab</filename> файлд байрлуулах хэрэгтэй. Ингэсэн 
 		тохиолдолд энэ нь ачаалах үед холбогдох болно:</para>
 
 	  <programlisting>/dev/ccd0c              /media       ufs     rw      2       2</programlisting>
 	</sect4>
       </sect3>
 
       <sect3 id="vinum">
 	<title>Vinum Эзлэхүүн Менежер</title>
 
 <indexterm><primary>RAID</primary><secondary>програм хангамж</secondary></indexterm>
 <indexterm>
   <primary>RAID</primary>
   <secondary>Vinum</secondary>
 </indexterm>
 
 	<para>Vinum Эзлэхүүн Менежер нь виртуал диск хөтчийг хийдэг блок төхөөрөмжийн драйвер 
 		юм. Энэ нь дискний тоног төхөөрөмжийг блок төхөөрөмжийн интерфэйсээс 
 		тусгаарлаж уян хатан байдал, ажиллагаа болон найдвартай байдлыг дискний 
 		хадгалалтын уламжлалт зүсмэлийн харагдалтаас илүүтэйгээр хангах тийм аргаар 
 		өгөгдлийг дүрсэлдэг. &man.vinum.8; нь RAID-0, RAID-1 болон RAID-5 
 		загваруудыг тус бүрт нь болон холбоотой байдлаар нь шийддэг.</para>
 
 	<para>&man.vinum.8;-ийн талаар дэлгэрэнгүй мэдээллийг 
 		<xref linkend="vinum-vinum">-с үзнэ үү.</para>
       </sect3>
     </sect2>
 
     <sect2 id="raid-hard">
       <title>Тоног төхөөрөмжийн RAID</title>
 
       <indexterm>
 	<primary>RAID</primary>
 	<secondary>тоног төхөөрөмж</secondary>
       </indexterm>
 
       <para>FreeBSD нь бас төрөл бүрийн тоног төхөөрөмжийн <acronym>RAID</acronym> 
 	хянагчуудыг дэмждэг. Эдгээр төхөөрөмжүүд нь FreeBSD-д зориулсан тусгай програм 
 	хангамжаар массивыг удирдах шаардлагагүйгээр <acronym>RAID</acronym> дэд 
 	системийг хянадаг.</para>
 
       <para>Карт дээрх <acronym>BIOS</acronym>-г ашиглан карт нь дискний үйлдлүүдийн 
 	ихэнхийг өөрөө хянадаг. Дараах нь Promise <acronym>IDE</acronym> <acronym>RAID</acronym> 
 	хянагчийг ашиглах тохиргооны товч тайлбар юм. Энэ карт суулгагдаж систем эхлэх үед 
 	мэдээллийг хүсэх мөрийг харуулна. Картны тохиргооны дэлгэц уруу орохын тулд
 	заавруудыг дагана. Эндээс залгагдсан бүх хөтчүүдийг нэгтгэх боломж танд байх 
 	болно. Ингэж хийснийхээ дараа диск(нүүд) нь FreeBSD-д нэг хөтөч шиг харагдах 
 	болно. Бусад <acronym>RAID</acronym> түвшингүүдийг бас 
 	тохируулж болно.
       </para>
     </sect2>
 
     <sect2>
       <title>ATA RAID1 массивуудыг дахин бүтээх нь</title>
 
       <para>FreeBSD нь массив дахь гэмтсэн, ажиллагаагүй болсон дискийг шууд солих боломжийг 
 	олгодог. Энэ нь дахин ачаалахаасаа өмнө таныг ийм асуудлыг мэдэхийг шаарддаг.</para>
 
       <para>Та магадгүй доор дурдсантай адилыг <filename>/var/log/messages</filename> эсвэл 
 	&man.dmesg.8; гаралт дээр харж болох юм:</para>
 
       <programlisting>ad6 on monster1 suffered a hard error.
 ad6: READ command timeout tag=0 serv=0 - resetting
 ad6: trying fallback to PIO mode
 ata3: resetting devices .. done
 ad6: hard error reading fsbn 1116119 of 0-7 (ad6 bn 1116119; cn 1107 tn 4 sn 11)\\
 status=59 error=40
 ar0: WARNING - mirror lost</programlisting>
 
       <para>&man.atacontrol.8; ашиглан дэлгэрэнгүй мэдээллийг шалгана:</para>
 
       <screen>&prompt.root; <userinput>atacontrol list</userinput>
 ATA channel 0:
 	Master:      no device present
 	Slave:   acd0 &lt;HL-DT-ST CD-ROM GCR-8520B/1.00&gt; ATA/ATAPI rev 0
 
 ATA channel 1:
 	Master:      no device present
 	Slave:       no device present
 
 ATA channel 2:
 	Master:  ad4 &lt;MAXTOR 6L080J4/A93.0500&gt; ATA/ATAPI rev 5
 	Slave:       no device present
 
 ATA channel 3:
 	Master:  ad6 &lt;MAXTOR 6L080J4/A93.0500&gt; ATA/ATAPI rev 5
 	Slave:       no device present
 
 &prompt.root; <userinput>atacontrol status ar0</userinput>
 ar0: ATA RAID1 subdisks: ad4 ad6 status: DEGRADED</screen>
 
       <procedure>
 	<step>
 	  <para>Та дискийг аюулгүйгээр салган авахын тулд эхлээд ata сувгийг 
 		ажиллахгүй байгаа дисктэй цуг салгана:</para>
 
 	  <screen>&prompt.root; <userinput>atacontrol detach ata3</userinput></screen>
 	</step>
 
 	<step>
 	  <para>Дискийг сольно.</para>
 	</step>
 
 	<step>
 	  <para>ata сувгийг дахин залгана:</para>
 
 	  <screen>&prompt.root; <userinput>atacontrol attach ata3</userinput>
 Master:  ad6 &lt;MAXTOR 6L080J4/A93.0500&gt; ATA/ATAPI rev 5
 Slave:   no device present</screen>
 	</step>
 
 	<step>
 	  <para>Шинэ дискийг массивт нөөц маягаар нэмнэ:</para>
 
 	  <screen>&prompt.root; <userinput>atacontrol addspare ar0 ad6</userinput></screen>
 	</step>
 
 	<step>
 	  <para>Массивыг дахин бүтээнэ:</para>
 
 	  <screen>&prompt.root; <userinput>atacontrol rebuild ar0</userinput></screen>
 	</step>
 
 	<step>
 	  <para>Дараах тушаалыг ашиглаж үйл явцыг шалгаж болно:</para>
 
 	  <screen>&prompt.root; <userinput>dmesg | tail -10</userinput>
 [output removed]
 ad6: removed from configuration
 ad6: deleted from ar0 disk1
 ad6: inserted into ar0 disk1 as spare
 
 &prompt.root; <userinput>atacontrol status ar0</userinput>
 ar0: ATA RAID1 subdisks: ad4 ad6 status: REBUILDING 0% completed</screen>
 	</step>
 
 	<step>
 	  <para>Энэ үйлдэл хийгдэж дуустал хүлээх хэрэгтэй.</para>
 	</step>
       </procedure>
     </sect2>
   </sect1>
 
   <sect1 id="usb-disks">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Марк</firstname>
 	  <surname>Фонвил</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
       <!-- Jul 2004 -->
     </sect1info>
 
     <title>USB хадгалалтын төхөөрөмжүүд</title>
     <indexterm>
       <primary>USB</primary>
       <secondary>дискнүүд</secondary>
     </indexterm>
 
     <para>Одоо үед маш олон гадаад хадгалалтын шийдлүүд байгаа бөгөөд 
 	Universal Serial Bus (USB): хатуу хөтчүүд, USB хуруун хөтчүүд, 
 	CD-R шарагчид зэргийг ашигладаг. &os; нь эдгээр төхөөрөмжүүдийн 
 	дэмжлэгийг хангадаг.</para>
 
     <sect2>
       <title>Тохиргоо</title>
 
       <para>USB бөөн хадгалалтын төхөөрөмжүүдийн драйвер &man.umass.4; нь 
 	USB хадгалалтын төхөөрөмжүүдийн дэмжлэгийг хангадаг. Хэрэв та 
 	<filename>GENERIC</filename> цөм ашиглавал өөрийн тохиргоондоо юу 
 	ч өөрчлөх шаардлагагүй. Хэрэв та өөрчлөн тохируулсан цөм ашиглах бол 
 	таны цөмийн тохиргооны файлд дараах мөрүүд байгаа эсэхийг 
 	шалгаарай:</para>
 
       <programlisting>device scbus
 device da
 device pass
 device uhci
 device ohci
 device usb
 device umass</programlisting>
 
       <para>&man.umass.4; драйвер нь USB хадгалалтын төхөөрөмжүүдэд хандахын 
 	тулд SCSI дэд системийг хэрэглэдэг бөгөөд таны USB төхөөрөмж системд 
 	SCSI төхөөрөмж маягаар харагдах болно. Таны эх хавтан дээрх USB бичил 
 	схемээс хамаарч танд зөвхөн <literal>device
 	uhci</literal> эсвэл <literal>device ohci</literal> хоёрын аль нэг 
 	хэрэгтэй болно, гэхдээ хоёуланг нь цөмийн тохиргоондоо байлгах нь гэмгүй юм. 
 	Хэрэв та ямар нэг мөр нэмсэн бол шинэ цөмөө эмхэтгэж суулгахаа битгий 
 	мартаарай.</para>
 
       <note>
 	<para>Хэрэв таны USB төхөөрөмж чинь CD-R эсвэл DVD шарагч бол 
 	SCSI CD-ROM драйвер &man.cd.4;-г цөмд дараах мөрийн тусламжтай 
 	нэмэх ёстой:</para>
 
 	<programlisting>device cd</programlisting>
 
 	<para>Шарагч нь SCSI хөтөч гэж харагддаг учир &man.atapicam.4; 
 	драйверийг цөмийн тохиргоонд ашиглах ёсгүй.</para>
       </note>
 
       <para>USB 2.0 хянагчуудын дэмжлэг &os;-д байдаг; гэхдээ та дараах 
 	мөрийг:</para>
 
       <programlisting>device ehci</programlisting>
 
       <para>өөрийн тохиргооны файлдаа USB 2.0 дэмжлэгт зориулж нэмэх ёстой. 
 	Хэрэв танд USB 1.X дэмжлэг хэрэгтэй бол &man.uhci.4; болон &man.ohci.4; 
 	драйверууд нь  хэрэгтэй хэвээр болохыг санаарай.</para>
     </sect2>
 
     <sect2>
       <title>Тохиргоог тест хийх нь</title>
 
       <para>Тохиргоог тест хийхэд бэлэн боллоо: өөрийн USB төхөөрөмжийг залгахад 
 	системийн мэдэгдлийн буферт (&man.dmesg.8;) хөтөч нь иймэрхүү 
 	харагдах ёстой:</para>
 
       <screen>umass0: USB Solid state disk, rev 1.10/1.00, addr 2
 GEOM: create disk da0 dp=0xc2d74850
 da0 at umass-sim0 bus 0 target 0 lun 0
 da0: &lt;Generic Traveling Disk 1.11&gt; Removable Direct Access SCSI-2 device
 da0: 1.000MB/s transfers
 da0: 126MB (258048 512 byte sectors: 64H 32S/T 126C)</screen>
 
       <para>Мэдээж хэрэг үйлдвэрлэгч, төхөөрөмжийн цэг (<devicename>da0</devicename>) 
 	болон бусад зүйлс таны тохиргооноос хамаараад өөр байж болно.</para>
 
       <para>USB төхөөрөмж нь SCSI төхөөрөмж гэж харагддаг болохоор 
 	<command>camcontrol</command> тушаалыг ашиглаж системд холбогдсон 
 	USB хадгалалтын төхөөрөмжүүдийн жагсаалтыг харуулж болно:</para>
 
       <screen>&prompt.root; <userinput>camcontrol devlist</userinput>
 &lt;Generic Traveling Disk 1.11&gt;      at scbus0 target 0 lun 0 (da0,pass0)</screen>
 
       <para>Хэрэв хөтөч нь файлын системтэй ирвэл та түүнийг холбож чадна. 
 	<xref linkend="disks-adding"> хэсэг нь хэрэв шаардлагатай бол 
 	USB хөтчийг хэлбэршүүлж түүн дээр хуваалт үүсгэхэд танд туслах 
 	болно.</para>
 
       <para>Энэ төхөөрөмжийг энгийн хэрэглэгч холбож чаддагаар болгохын тулд 
 	тодорхой алхмуудыг хийх хэрэгтэй. Эхлээд USB хадгалалтын төхөөрөмж 
 	холбогдсон үед үүссэн төхөөрөмжүүдэд хэрэглэгч хандаж болохоор байх 
 	хэрэгтэй. Үүний шийдэл нь эдгээр төхөөрөмжүүдийн бүх хэрэглэгчдийг 
 	<groupname>operator</groupname> бүлгийн гишүүн болгох явдал 
 	юм. Үүнийг &man.pw.8;-ээр хийнэ. Хоёрдугаарт төхөөрөмжүүд нь 
 	үүсэх үед <groupname>operator</groupname> бүлэг тэдгээрийг 
 	уншиж бичиж чадаж байх ёстой. Тохирох мөрүүдийг 
 	<filename>/etc/devfs.rules</filename> файлд 
 	нэмснээр үүнийг хийж болно:</para>
 
       <programlisting>[localrules=1]
 add path 'da*' mode 0660 group operator</programlisting>
 
       <note>
 	<para>Хэрэв системд SCSI дискнүүд байгаа бол үүнийг арай өөрөөр хийх 
 	ёстой. Өөрөөр хэлбэл хэрэв систем нь аль хэдийн <devicename>da0</devicename>-ээс
 	  <devicename>da2</devicename> хүртэлх холбогдсон дискнүүдийг 
 	агуулж байвал хоёр дахь мөрийг дараах маягаар солих хэрэгтэй:</para>
 
 	<programlisting>add path 'da[3-9]*' mode 0660 group operator</programlisting>
 
 	<para>Энэ нь байгаа дискнүүдийг <groupname>operator</groupname> 
 	бүлэгт хамааруулахгүй болгоно.</para>
       </note>
 
        <para>Та бас өөрийн &man.devfs.rules.5; дүрмийн олонлогийг 
 		<filename>/etc/rc.conf</filename> файлд идэвхжүүлэх 
 		хэрэгтэй:</para>
 	 
        <programlisting>devfs_system_ruleset="localrules"</programlisting>
 
       <para>Дараа нь цөм нь ердийн хэрэглэгчдэд файлын системийг холбох боломжтойгоор 
 	тохируулагдах ёстой. Хамгийн хялбар арга бол <filename>/etc/sysctl.conf</filename>-д
 	мөр нэмэх явдал юм:</para>
 
       <programlisting>vfs.usermount=1</programlisting>
 
       <para>Дараагийн дахин ачаалалтын дараа энэ нь идэвхжихийг санаарай. 
 	Өөрөөр энэ хувьсагчийг тохируулахын тулд &man.sysctl.8;-г ашиглаж 
 	болох юм.</para>
 
       <para>Төгсгөлийн алхам нь файлын систем холбогдох санг үүсгэх явдал юм. 
 	Энэ санг файлын системийг холбох хэрэглэгч эзэмшсэн байх хэрэгтэй. 
 	Үүнийг хийх нэг арга нь <username>root</username>-ийн хувьд 
 	тэр хэрэглэгчийн эзэмшсэн дэд санг 
 	<filename>/mnt/<replaceable>$USER</replaceable></filename> 
 	(<replaceable>$USER</replaceable>-г тухайн хэрэглэгчийнхээ нэвтрэх 
 	нэрээр солиорой) гэж үүсгэх явдал юм:</para>
 
       <screen>&prompt.root; <userinput>mkdir /mnt/$USER</userinput>
 &prompt.root; <userinput>chown <replaceable>$USER</replaceable>:<replaceable>$USER</replaceable> /mnt/<replaceable>$USER</replaceable></userinput></screen>
 
       <para>USB хуруун хөтөч залгагдаж  <filename>/dev/da0s1</filename> төхөөрөмж 
 	гарч иржээ гэж бодъё. Эдгээр төхөөрөмжүүд нь ихэвчлэн FAT файлын системээр 
 	хэлбэршүүлэгдсэн ирдэг бөгөөд эдгээрийг иймэрхүү маягаар холбож 
 	болно:</para>
 
       <screen>&prompt.user; <userinput>mount -t msdosfs -m 644 -M 755 /dev/da0s1 /mnt/
 <replaceable>$USER</replaceable></userinput></screen>
 
       <para>Хэрэв та төхөөрөмжийг залгаснаа салгавал (дискийг урьдаар салгах ёстой)
 	та системийн мэдэгдлийн буфераас доор дурдсантай төстэй мэдэгдлийг 
 	харах ёстой:</para>
 
       <screen>umass0: at uhub0 port 1 (addr 2) disconnected
 (da0:umass-sim0:0:0:0): lost device
 (da0:umass-sim0:0:0:0): removing device entry
 GEOM: destroy disk da0 dp=0xc2d74850
 umass0: detached</screen>
     </sect2>
 
     <sect2>
       <title>Нэмэлт унших материалууд</title>
 
       <para><link linkend="disks-adding">Диск нэмэх</link> болон 
 	<link linkend="mount-unmount">Файлын системүүдийг холбох болон салгах</link> 
 	хэсгүүдээс гадна төрөл бүрийн гарын авлагын хуудаснуудыг унших нь хэрэгтэй 
 	байж болох юм: &man.umass.4;, &man.camcontrol.8;, 
 	болон &man.usbdevs.8;.</para>
     </sect2>
   </sect1>
 
   <sect1 id="creating-cds">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Майк</firstname>
 	  <surname>Мэйэр</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	  <!-- mwm@mired.org -->
 	</author>
       </authorgroup>
       <!-- Apr 2001 -->
     </sect1info>
 
     <title>Оптик зөөвөрлөгчийг (CD-үүд) үүсгэж ашиглах нь</title>
     <indexterm>
       <primary>CDROM-ууд</primary>
       <secondary>үүсгэх нь</secondary>
     </indexterm>
 
     <sect2>
       <title>Танилцуулга</title>
 
       <para>CD-үүд нь тэдгээрийг ердийн дискнүүдээс ялгах хэд хэдэн боломжуудтай 
 	байдаг. Эхлээд хэрэглэгч CD дээр бичих боломжгүй байсан. Тэдгээр нь 
 	замуудын хооронд толгойг шилжүүлэхдээ сааталгүйгээр үргэлжлэн уншдагаар 
 	хийгджээ. Тэр үед байсан адил хэмжээтэй зөөвөрлөгчийг зөөхөөс тэдгээрийг 
 	систем хооронд зөөх нь хамаагүй хялбар байдаг.</para>
 
       <para>CD-үүд нь замтай байдаг боловч энэ нь дискний физик хэсэг биш харин 
 	үргэлжлэн уншигдах өгөгдлийн хэсгийг хэлдэг. FreeBSD дээр CD үүсгэхдээ 
 	CD дээр замууд үүсгэх өгөгдлийн файлуудыг бэлдэж дараа нь замуудыг CD 
 	уруу бичнэ.</para>
 
       <indexterm><primary>ISO 9660</primary></indexterm>
       <indexterm>
         <primary>файлын системүүд</primary>
         <secondary>ISO 9660</secondary>
       </indexterm>
       <para>ISO 9660 файлын систем нь эдгээр ялгаануудтай ажиллахаар хийгдсэн. 
 	Энэ нь тэр үед нийтлэг байсан файлын системийн хязгааруудыг харамсалтай нь 
 	кодчилдог. Азаар энэ нь зөв бичигдсэн CD-үүдэд тэдгээр хязгааруудыг давж гарахыг 
 	зөвшөөрөх өргөтгөлөөр хангадаг бөгөөд тэдгээр өргөтгөлүүдийг дэмждэггүй системүүдтэй 
 	ажиллаж чадсан хэвээр байдаг.</para>
 
       <indexterm>
         <primary><filename role="package">sysutils/cdrtools</filename></primary>
       </indexterm>
       <para><filename role="package">sysutils/cdrtools</filename> 
 	портод ISO 9660 файлын системийг агуулах өгөгдлийн файлыг үүсгэдэг програм 
 	&man.mkisofs.8; байдаг. Энэ нь төрөл бүрийн өргөтгөлүүдийг дэмждэг 
 	тохируулгуудтай бөгөөд доор тайлбарлагдсан болно.</para>
 
       <indexterm>
         <primary>CD шарагч</primary>
         <secondary>ATAPI</secondary>
       </indexterm>
       <para>CD шарахдаа ямар хэрэгслийг ашиглах нь таны CD шарагч ATAPI юу аль эсвэл өөр үү 
 	гэдгээс шалтгаална. ATAPI CD шарагчид нь үндсэн системийн <command><link
 	linkend="burncd">burncd</link></command> програмыг ашигладаг. 
 	SCSI болон USB CD шарагчид нь <filename role="package">sysutils/cdrtools</filename> 
 	портын <command><link linkend="cdrecord">cdrecord</link></command>-г 
 	ашиглах ёстой. Мөн ATAPI тоног төхөөрөмж дээр SCSI хөтчүүдийн хувьд 
 	<link linkend="atapicam">ATAPI/CAM модул</link> ашиглан 
 	<command><link linkend="cdrecord">cdrecord</link></command>-г 
 	хэрэглэх боломжтой байдаг.</para>
 
       <para>Хэрэв та график хэрэглэгчийн интерфэйстэй CD шарагч програм хангамжийг 
 	хүсэж байгаа бол <application>X-CD-Roast</application> эсвэл 
 	<application>K3b</application>-г үзээрэй. Эдгээр хэрэгслүүд нь 
 	багц хэлбэрээр эсвэл <filename
 	role="package">sysutils/xcdroast</filename> болон <filename
 	role="package">sysutils/k3b</filename> портуудад байдаг. 
 	<application>X-CD-Roast</application> болон
 	<application>K3b</application> нь ATAPI тоног төхөөрөмж дээр 
 	<link linkend="atapicam">ATAPI/CAM модул</link>ийг шаарддаг.</para>
     </sect2>
 
     <sect2 id="mkisofs">
       <title>mkisofs</title>
 
       <para><filename role="package">sysutils/cdrtools</filename> портын 
 	хэсэг &man.mkisofs.8; програм нь &unix;-ийн файлын системийн нэрийн талбар 
 	дахь сангийн модны дүрс болох ISO 9660 файлын системийг үүсгэдэг.
 	Хамгийн хялбар хэрэглээ нь:</para>
 
       <screen>&prompt.root; <userinput>mkisofs -o <replaceable>imagefile.iso</replaceable> <replaceable>/path/to/tree</replaceable></userinput></screen>
 
       <indexterm>
         <primary>файлын системүүд</primary>
         <secondary>ISO 9660</secondary>
       </indexterm>
       <para>Энэ тушаал нь <replaceable>/path/to/tree</replaceable> дахь 
 	модны хуулбар ISO 9660 файлын системийг агуулах 
 	<replaceable>imagefile.iso</replaceable> файлыг үүсгэх болно. 
 	Энэ процессод файлын нэрсийг ISO 9660 файлын системийн стандартын 
 	хязгаарлалтуудад багтах нэрсэд тааруулах бөгөөд ISO файлын системүүдэд 
 	байдаггүй нэрс бүхий файлуудыг оруулахгүй байх болно.</para>
 
       <indexterm>
         <primary>файлын системүүд</primary>
         <secondary>HFS</secondary>
       </indexterm>
       <indexterm>
         <primary>файлын системүүд</primary>
         <secondary>Joliet</secondary>
       </indexterm>
       <para>Тэдгээр хязгаарлалтуудыг давж гарах хэд хэдэн тохируулгууд байдаг. 
 	Ялангуяа <option>-R</option> тохируулга &unix; системүүдэд 
 	нийтлэг байдаг Rock Ridge өргөтгөлүүдийг идэвхжүүлдэг, <option>-J</option> 
 	нь Microsoft системүүдэд хэрэглэгддэг Joilet өргөтгөлүүдийг идэвхжүүлдэг 
 	бөгөөд <option>-hfs</option> нь &macos;-д хэрэглэгддэг HFS файлын 
 	системүүдийг үүсгэхэд ашиглагддаг.</para>
 
       <para>Зөвхөн FreeBSD системүүдэд ашиглагдах CD-үүдийн хувьд <option>-U</option> 
 	тохируулга бүх файлын нэрийн хязгаарлалтуудыг хаахад ашиглагдаж болно. 
 	<option>-R</option> тохируулгатай хэрэглэгдэх үед энэ нь таны эхэлсэн 
 	FreeBSD-ийн модтой ижил файлын системийн дүрсийг үүсгэдэг, гэхдээ энэ нь 
 	ISO 9660 стандартыг хэд хэдэн замаар зөрчиж болох юм.</para>
 
       <indexterm>
         <primary>CDROM-ууд</primary>
         <secondary>ачаалагддаг үүсгэх</secondary>
       </indexterm>
       <para>Ердийн хэрэглээний сүүлийн тохируулга нь <option>-b</option> юм. 
 	Энэ нь ачаалагдах <quote>El Torito</quote> CD-г үүсгэхэд хэрэглэгдэх 
 	ачаалагдах дүрсний байрлалыг заахад ашиглагддаг. Энэ тохируулга нь 
 	CD уруу бичигдэх модны дээд хэсгийн ачаалагдах дүрс хүрэх замыг заах 
 	нэмэлт өгөгдлийг авдаг. Анхдагчаар &man.mkisofs.8; нь 
 	<quote>floppy disk emulation буюу уян дискний эмуляц</quote> гэж 
 	нэрлэгддэг горимд ISO дүрсийг  үүсгэдэг бөгөөд ачаалагдах дүрсийг яг 
 	1200, 1440, эсвэл 2880&nbsp;KB хэмжээтэй байна гэж тооцдог. 
 	FreeBSD түгээлтийн дискнүүдэд хэрэглэгддэг ачаалагч дуудагч зэрэг зарим 
 	ачаалагч дуудагчид нь эмуляц горимыг ашигладаггүй; энэ тохиолдолд 
 	<option>-no-emul-boot</option> тохируулгыг ашиглах шаардлагатай. 
 	Тэгэхээр хэрэв <filename>/tmp/myboot</filename> нь ачаалагдах 
 	FreeBSD системийг <filename>/tmp/myboot/boot/cdboot</filename> 
 	дэх ачаалагдах дүрстэй цуг агуулж байвал та ISO 9660 файлын системийн 
 	дүрсийг  <filename>/tmp/bootable.iso</filename>-д иймэрхүү 
 	маягаар үүсгэж болох юм:</para>
 
       <screen>&prompt.root; <userinput>mkisofs -R -no-emul-boot -b boot/cdboot -o /tmp/bootable.iso /tmp/myboot</userinput></screen>
 
       <para>Үүнийг хийснийхээ дараа хэрэв та цөмдөө <devicename>md</devicename>-г 
 	тохируулсан бол файлын системийг ингэж холбож болно:</para>
 
       <screen>&prompt.root; <userinput>mdconfig -a -t vnode -f /tmp/bootable.iso -u 0</userinput>
 &prompt.root; <userinput>mount -t cd9660 /dev/md0 /mnt</userinput></screen>
 
       <para>Энэ үед та <filename>/mnt</filename> болон 
 	<filename>/tmp/myboot</filename> нь ижил болохыг шалгаж болно.</para>
 
       <para>&man.mkisofs.8;-ийн ажиллагааг нарийн тааруулахын тулд та түүний 
 	бусад олон тохируулгуудыг ашиглаж болно. Ялангуяа ISO 9660-ийн байрлал 
 	болон Joilet ба HFS дискнүүдийн үүсгэлтэд өөрчлөлтүүд хийж болно. 
 	Дэлгэрэнгүйг &man.mkisofs.8;-ийн гарын авлагын хуудаснаас үзнэ үү.</para>
     </sect2>
 
     <sect2 id="burncd">
       <title>burncd</title>
       <indexterm>
         <primary>CDROM-ууд</primary>
         <secondary>шарах</secondary>
       </indexterm>
       <para>Хэрэв танд ATAPI CD шарагч байгаа бол та ISO дүрсийг CD уруу шарахдаа 
 	<command>burncd</command> тушаалыг ашиглаж болно. 
 	<command>burncd</command> нь үндсэн системийн хэсэг бөгөөд 
 	<filename>/usr/sbin/burncd</filename> гэж суулгагдсан байдаг. Энэ нь 
 	цөөн тохируулгуудтай болохоор хэрэглэхэд их хялбар байдаг:</para>
 
       <screen>&prompt.root; <userinput>burncd -f <replaceable>cddevice</replaceable> data <replaceable>imagefile.iso</replaceable> fixate</userinput></screen>
 
       <para>Дээрх тушаал нь <replaceable>imagefile.iso</replaceable>-н 
 	хуулбарыг <replaceable>cddevice</replaceable> уруу шарах болно. 
 	Анхдагч төхөөрөмж нь <filename>/dev/acd0</filename> юм. 
 	Бичих хурд, шарсны дараа CD-г гаргах болон аудио өгөгдөл бичихийг заах 
 	тохируулгуудын талаар &man.burncd.8;-с үзнэ үү.</para>
     </sect2>
 
     <sect2 id="cdrecord">
       <title>cdrecord</title>
 
       <para>Хэрэв танд ATAPI CD шарагч байхгүй бол та өөрийн CD-үүдийг шарахын 
 	тулд <command>cdrecord</command>-г ашиглах шаардлагатай. 
 	<command>cdrecord</command> нь үндсэн системд байдаггүй; та үүнийг 
 	<filename role="package">sysutils/cdrtools</filename> дахь 
 	портоос эсвэл тохирох багцаас суулгах ёстой. Үндсэн системд хийгдсэн 
 	өөрчлөлт нь энэ програмын хоёртын хувилбарыг ажиллахгүй болгож, магадгүй 
 	<quote>асуудалд (coaster)</quote> хүргэж болох юм. 
 	Тийм болохоор та өөрийн системээ шинэчлэхдээ портоо бас шинэчлэх эсвэл хэрэв 
 	та <link linkend="stable">-STABLE салбарыг дагаж</link> байгаа бол 
 	портыг шинэ хувилбар гарахад нь шинэчлэх хэрэгтэй.</para>
 
       <para><command>cdrecord</command> нь олон тохируулгатай байдаг боловч 
 	үндсэн хэрэглээ нь <command>burncd</command>-с бүр илүү хялбар байдаг. 
 	ISO 9660 дүрсийг шарахдаа:</para>
 
       <screen>&prompt.root; <userinput>cdrecord dev=<replaceable>device</replaceable> <replaceable>imagefile.iso</replaceable></userinput></screen>
 
       <para><command>cdrecord</command>-г хэрэглэхэд гардаг нэг заль нь 
 	<option>dev</option> тохируулгыг олох явдал юм. Зөв тохиргоог олохын 
 	тулд <command>cdrecord</command>-ийн <option>-scanbus</option> 
 	тугийг хэрэглэх хэрэгтэй бөгөөд энэ нь иймэрхүү үр дүнд хүргэж болох юм:</para>
       <indexterm>
         <primary>CDROM-ууд</primary>
         <secondary>шарах</secondary>
       </indexterm>
       <screen>&prompt.root; <userinput>cdrecord -scanbus</userinput>
 Cdrecord-Clone 2.01 (i386-unknown-freebsd7.0) Copyright (C) 1995-2004 J&ouml;rg Schilling
 Using libscg version 'schily-0.1'
 scsibus0:
         0,0,0     0) 'SEAGATE ' 'ST39236LW       ' '0004' Disk
         0,1,0     1) 'SEAGATE ' 'ST39173W        ' '5958' Disk
         0,2,0     2) *
         0,3,0     3) 'iomega  ' 'jaz 1GB         ' 'J.86' Removable Disk
         0,4,0     4) 'NEC     ' 'CD-ROM DRIVE:466' '1.26' Removable CD-ROM
         0,5,0     5) *
         0,6,0     6) *
         0,7,0     7) *
 scsibus1:
         1,0,0   100) *
         1,1,0   101) *
         1,2,0   102) *
         1,3,0   103) *
         1,4,0   104) *
         1,5,0   105) 'YAMAHA  ' 'CRW4260         ' '1.0q' Removable CD-ROM
         1,6,0   106) 'ARTEC   ' 'AM12S           ' '1.06' Scanner
         1,7,0   107) *</screen>
 
       <para>Энэ нь жагсаалтан дахь төхөөрөмжүүдийн хувьд тохирох <option>dev</option> утгыг 
 	жагсаадаг. Өөрийн CD шарагчийг олохын тулд <option>dev</option> тохируулгын 
 	утгад гурван дугаарыг таслалаар тусгаарлан хэрэглэнэ. Энэ тохиолдолд CRW төхөөрөмж 
 	нь 1,5,0, байх бөгөөд тохирох оролт нь <option>dev=1,5,0</option> болно. 
 	Энэ утгыг заах амархан аргууд байдаг; дэлгэрэнгүйг &man.cdrecord.1;-с үзнэ үү. 
 	Мөн тэндээс аудио замуудыг бичих, хурдыг хянах болон бусад зүйлүүдийн тухай 
 	мэдээллийг үзэж болно.</para>
     </sect2>
 
     <sect2 id="duplicating-audiocds">
       <title>Аудио CD-үүдийг хувилах</title>
 
       <para>Та аудио өгөгдлийг CD-ээс файлуудын цуваа болгон задалж дараа нь эдгээр 
 	файлуудыг хоосон CD дээр бичин аудио CD-г хувилж болно. Энэ процесс нь ATAPI болон 
 	SCSI хөтчүүдийн хувьд нэлээн өөр байдаг.</para>
 
       <procedure>
 	<title>SCSI хөтчүүд</title>
 
 	<step>
 	  <para>Аудиог <command>cdda2wav</command> ашиглан задлана.</para>
 
 	  <screen>&prompt.user; <userinput>cdda2wav -v255 -D2,0 -B -Owav</userinput></screen>
 	</step>
 
 	<step>
 	  <para><command>cdrecord</command> ашиглан <filename>.wav</filename> 
 		файлуудыг бичнэ.</para>
 
 	  <screen>&prompt.user; <userinput>cdrecord -v dev=<replaceable>2,0</replaceable> -dao -useinfo  *.wav</userinput></screen>
 
 	  <para><xref linkend="cdrecord"> хэсэгт тайлбарласны дагуу 
 		<replaceable>2,0</replaceable> гэж зөв заагдсан эсэхийг 
 		шалгаарай.</para>
 	</step>
       </procedure>
 
       <procedure>
 	<title>ATAPI хөтчүүд</title>
 
 	<step>
 	  <para>ATAPI CD драйвер нь зам бүрийг 
 		<filename>/dev/acd<replaceable>d</replaceable>t<replaceable>nn</replaceable></filename> 
 		маягаар болгодог бөгөөд <replaceable>d</replaceable> нь хөтчийн 
 		дугаар ба <replaceable>nn</replaceable> нь шаардлагатай бол урдаа 0 тавьж 
 		хоёр оронтой тоогоор бичигдсэн замын дугаар юм. Тэгэхээр эхний диск дээрх 
 		эхний зам нь <filename>/dev/acd0t01</filename>, хоёр дахь нь 
 		<filename>/dev/acd0t02</filename>, гурав дахь нь 
 		<filename>/dev/acd0t03</filename> гэх мэтчилэн байна.</para>
 
 	  <para>Тохирох файлууд <filename>/dev</filename> санд байгаа эсэхийг 
 		шалгаарай. Хэрэв оруулгууд байхгүй байгаа бол зөөвөрлөгчийг 
 		дахин үзэхээр системийг хүчлэх хэрэгтэй:</para>
 
 	  <screen>&prompt.root; <userinput>dd if=/dev/acd0 of=/dev/null count=1</userinput></screen>
 	</step>
 
 	<step>
 	  <para>Зам бүрийг &man.dd.1; ашиглан задална. Файлуудыг задлахдаа 
 		та тусгай блокийн хэмжээг бас ашиглах ёстой.</para>
 
 	  <screen>&prompt.root; <userinput>dd if=/dev/acd0t01 of=track1.cdr bs=2352</userinput>
 &prompt.root; <userinput>dd if=/dev/acd0t02 of=track2.cdr bs=2352</userinput>
 ...
 </screen>
 	</step>
 
 	<step>
 	  <para>Задалсан файлуудаа диск уруу <command>burncd</command> ашиглан 
 		шарна. Та эдгээрийг аудио файл гэж зааж өгөх хэрэгтэй бөгөөд 
 		<command>burncd</command> нь дуусахдаа дискийг бэхжүүлэх 
 		ёстой.</para>
 
 	  <screen>&prompt.root; <userinput>burncd -f <replaceable>/dev/acd0</replaceable> audio track1.cdr track2.cdr <replaceable>...</replaceable> fixate</userinput></screen>
 	</step>
       </procedure>
     </sect2>
 
     <sect2 id="imaging-cd">
       <title>Өгөгдлийн CD-үүдийг хувилах</title>
 
       <para>Та өгөгдлийн CD-г &man.mkisofs.8;-р үүсгэсэн дүрс файлтай 
 	ажиллагааны хувьд адилхан дүрс файл уруу хуулж болох бөгөөд та үүнийг 
 	ямар ч өгөгдлийн CD хувилахад ашиглаж болно. Энд өгөгдсөн жишээ нь 
 	таны CDROM төхөөрөмжийг <devicename>acd0</devicename> гэж 
 	үзэх болно. Өөрийн зөв CDROM төхөөрөмжөөр солиорой.</para>
 
       <screen>&prompt.root; <userinput>dd if=/dev/acd0 of=file.iso bs=2048</userinput></screen>
 
       <para>Одоо та нэгэнт дүрстэй болсон болохоор үүнийг CD уруу дээр тайлбарласны 
 	дагуу шарж болно.</para>
     </sect2>
 
     <sect2 id="mounting-cd">
       <title>Өгөгдлийн CD-үүдийг ашиглах</title>
 
       <para>Одоо та стандарт өгөгдлийн CDROM үүсгэсэн болохоор түүнийг 
 	холбож түүн дээрх өгөгдлийг уншихыг хүсэх байх. Анхдагчаар 
 	&man.mount.8; нь файлын системийг <literal>ufs</literal> 
 	төрлийнх гэж үздэг. Хэрэв та доорх шиг оролдвол:</para>
 
       <screen>&prompt.root; <userinput>mount /dev/cd0 /mnt</userinput></screen>
 
       <para><errorname>Incorrect super block</errorname> гэж 
 	гомдоллохыг та харах бөгөөд холболт хийгдэхгүй байх болно. CDROM нь 
 	<literal>UFS</literal> файлын систем биш, тэгэхээр ингэж 
 	холбохыг оролдох нь амжилтгүй болох болно. Та &man.mount.8;-д 
 	файлын системийн төрөл нь <literal>ISO9660</literal> гэж 
 	зааж өгөхөд л бүгд ажиллах болно. Та <option>-t cd9660</option> 
 	тохируулгыг &man.mount.8;-д өгч үүнийг хийнэ. Жишээ нь хэрэв та 
 	CDROM төхөөрөмж <filename>/dev/cd0</filename>-г 
 	<filename>/mnt</filename>-д холбохыг хүсвэл дараах тушаалыг 
 	ажиллуулах болно:</para>
 
           <screen>&prompt.root; <userinput>mount -t cd9660 /dev/cd0 /mnt</userinput></screen>
 
       <para>Таны төхөөрөмжийн нэр (энэ жишээн дээр <filename>/dev/cd0</filename>) 
 	таны CDROM ямар интерфэйс ашиглаж байгаагаас хамааран өөр байж болох юм.  
 	Мөн <option>-t cd9660</option> тохируулга нь ердөө л 
 	&man.mount.cd9660.8;-г ажиллуулдаг. Дээрх жишээг ингэж богиносгож 
 	болно:</para>
 
 <screen>&prompt.root; <userinput>mount_cd9660 /dev/cd0 /mnt</userinput></screen>
 
       <para>Та ерөнхийдөө энэ аргаар ямар ч үйлдвэрлэгчийн өгөгдлийн CDROM-уудыг 
 	ашиглаж болно. Гэхдээ зарим нэг ISO 9660 өргөтгөлүүдтэй дискнүүд хачин ажиллаж 
 	болох юм. Жишээ нь Joilet дискнүүд нь бүх файлын нэрсийг хоёр байт Юникод 
 	тэмдэгтээр хадгалдаг. FreeBSD цөм нь Юникодоор ярьдаггүй, гэхдээ 
 	&os;-ийн CD9660 драйвер Юникод тэмдэгтүүдийг шууд хувиргаж чаддаг. 
 	Хэрэв зарим нэг Англи бус тэмдэгтүүд асуултын тэмдэг хэлбэрээр харагдвал 
 	та ашиглаж байгаа локал тэмдэгтийн олонлогоо <option>-C</option> 
 	тохируулгаар зааж өгөх хэрэгтэй. Дэлгэрэнгүй мэдээллийг 
 	&man.mount.cd9660.8; гарын авлагын хуудаснаас лавлана уу.</para>
 	
       <note>
 	<para>Энэ тэмдэгтийн хувиргалтыг <option>-C</option> тохируулгын 
 	тусламжтай хийхийн тулд цөм <filename>cd9660_iconv.ko</filename> 
 	модулийг дуудсан байхыг шаардах болно. Энэ мөрийг 
 	<filename>loader.conf</filename> файлд нэмж үүнийг:</para>
 
 	<programlisting>cd9660_iconv_load="YES"</programlisting>
 
 	<para>гэж хийн машиныг дахин ачаалах буюу эсвэл модулийг &man.kldload.8;-н 
 	тусламжтай дуудан хийж болох юм.</para>
       </note>
 
       <para>Хааяа таныг CDROM-г холбохыг оролдох үед <errorname>Device not
 	configured</errorname> гэсэн алдаа гарч болох юм. Энэ нь ихэнхдээ 
 	CDROM хөтөч нь төхөөрөмжид диск байхгүй эсвэл хөтөч нь шугаманд (bus) 
 	харагдахгүй байна гэж үзэж байна гэсэн үг юм. CDROM хөтөч нь  
 	хоёр секундын дотор үүнийг мэддэг болохоор тэвчээртэй байгаарай.</para>
 
       <para>Шугамын дахин тогтоолтод хариу өгөх хангалттай хугацаа байхгүйн улмаас 
 	заримдаа SCSI CDROM-ийг олохгүй байж болох юм. Хэрэв та SCSI CDROM-той 
 	бол та дараах тохируулгыг цөмийн тохиргоондоо нэмж 
 	<link linkend="kernelconfig-building">өөрийн цөмийг дахин бүтээнэ үү</link>.</para>
 
       <programlisting>options SCSI_DELAY=15000</programlisting>
 
       <para>Энэ нь таны SCSI шугамд ачаалах үедээ 15 секунд түр саатахыг хэлж өгөх бөгөөд 
 	ингэснээр шугамын дахин тогтоолтод таны CDROM хөтчөөр хариу өгүүлэхийн тулд 
 	бүх байж болох боломжийг түүнд өгч байна гэсэн үг юм.</para>
     </sect2>
 
     <sect2 id="rawdata-cd">
       <title>Түүхий өгөгдлийн CD-үүдийг шарах</title>
 
       <para>Та ISO 9660 файлын системийг үүсгэлгүйгээр файлыг CD уруу шууд 
 	шарахаар сонгож болно. Зарим хүмүүс үүнийг нөөцлөх зорилгоор хийдэг. 
 	Энэ нь стандарт CD-г шарахаас илүү хурдан ажилладаг:</para>
 
       <screen>&prompt.root; <userinput>burncd -f /dev/acd1 -s 12 data archive.tar.gz fixate</userinput></screen>
 
       <para>Тийм CD-д шарагдсан өгөгдлийг авахын тулд та түүхий төхөөрөмжийн 
 		цэгээс өгөгдлийг унших ёстой:</para>
 
       <screen>&prompt.root; <userinput>tar xzvf /dev/acd1</userinput></screen>
 
       <para>Та энэ дискийг ердийн CDROM-ийг холбодог шиг холбож чадахгүй. 
 	Ийм CDROM нь FreeBSD-ээс өөр ямар ч үйлдлийн систем дээр уншигдахгүй. 
 	Хэрэв та CD-гээ холбохыг эсвэл өөр үйлдлийн системтэй өгөгдлөө 
 	хуваалцах хүсэлтэй байгаа бол дээр тайлбарласны дагуу &man.mkisofs.8;-г 
 	ашиглах ёстой.</para>
     </sect2>
 
     <sect2 id="atapicam">
       <sect2info>
 	<authorgroup>
 	  <author>
 	    <firstname>Марк</firstname>
 	    <surname>Фонвил</surname>
 	    <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	  </author>
 	</authorgroup>
       </sect2info>
 
       <indexterm>
 	<primary>CD шарагч</primary>
 	<secondary>ATAPI/CAM драйвер</secondary>
       </indexterm>
       <title>ATAPI/CAM драйверийг ашиглах</title>
 
       <para>Энэ драйвер нь ATAPI төхөөрөмжүүдэд (CD-ROM, CD-RW, DVD
 	хөтчүүд гэх мэт...) SCSI дэд системээр хандах боломжийг олгох 
 	бөгөөд ингэснээр <filename role="package">sysutils/cdrdao</filename> 
 	эсвэл &man.cdrecord.1; зэрэг програмуудыг ашиглах боломжийг 
 	олгодог.</para>
 
       <para>Энэ драйверыг ашиглахын тулд та дараах мөрийг 
 	<filename>/boot/loader.conf</filename> файл уруу нэмэх хэрэгтэй 
 	болно:</para>
 
       <programlisting>atapicam_load="YES"</programlisting>
 
       <para>тэгээд өөрийн машинаа дахин ачаална.</para>
 
       <note>
 	<para>Хэрэв та өөрийн цөмдөө &man.atapicam.4; дэмжлэгийг статикаар 
 	эмхэтгэхийг хүсвэл энэ мөрийг өөрийн цөмийн тохиргооны файлдаа 
 	нэмэх хэрэгтэй болно:</para>
 
       <programlisting>device atapicam</programlisting>
 
       <para>Мөн та өөрийн цөмийн тохиргооны файлдаа дараах мөрүүдийг бас нэмэх 
 	хэрэгтэй болно:</para>
 
       <programlisting>device ata
 device scbus
 device cd
 device pass</programlisting>
 
 	<para>Эдгээр нь аль хэдийн байж байх ёстой. Дараа нь дахин бүтээгээд 
 	өөрийн цөмийг суулгаж машинаа дахин ачаалах хэрэгтэй.</para>
       </note>
 
       <para>Ачаалах процессийн үед таны шарагч иймэрхүү маягаар гарч 
 	ирэх ёстой:</para>
 
       <screen>acd0: CD-RW &lt;MATSHITA CD-RW/DVD-ROM UJDA740&gt; at ata1-master PIO4
 cd0 at ata1 bus 0 target 0 lun 0
 cd0: &lt;MATSHITA CDRW/DVD UJDA740 1.00&gt; Removable CD-ROM SCSI-0 device
 cd0: 16.000MB/s transfers
 cd0: Attempt to query device size failed: NOT READY, Medium not present - tray closed</screen>
 
       <para>Одоо хөтчид <filename>/dev/cd0</filename> төхөрөөмжийн нэрийг 
 	ашиглан хандаж болох бөгөөд жишээ нь CD-ROM-г <filename>/mnt</filename>-д холбохдоо 
 	дараах тушаалыг бичих хэрэгтэй:</para>
 
       <screen>&prompt.root; <userinput>mount -t cd9660 <replaceable>/dev/cd0</replaceable> /mnt</userinput></screen>
 
       <para><username>root</username> хэрэглэгчээр дараах тушаалыг ажиллуулж 
 	та шарагчийн SCSI хаягийг авч  болно:</para>
 
       <screen>&prompt.root; <userinput>camcontrol devlist</userinput>
 &lt;MATSHITA CDRW/DVD UJDA740 1.00&gt;   at scbus1 target 0 lun 0 (pass0,cd0)</screen>
 
       <para>Тэгэхээр <literal>1,0,0</literal> нь &man.cdrecord.1; 
 	болон бусад SCSI програмтай ашиглах SCSI хаяг болох юм.</para>
 
       <para>ATAPI/CAM болон SCSI системийн талаар дэлгэрэнгүй мэдээллийг 
 	&man.atapicam.4; болон &man.cam.4; гарын авлагын хуудаснуудаас 
 	лавлана уу.</para>
     </sect2>
   </sect1>
 
   <sect1 id="creating-dvds">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Марк</firstname>
 	  <surname>Фонвил</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
       <authorgroup>
 	<author>
 	  <firstname>Энди</firstname>
 	  <surname>Поляков</surname>
 	  <contrib>Зарим зүйл оруулсан </contrib>
 	</author>
       </authorgroup>
       <!-- Feb 2004 -->
     </sect1info>
 
     <title>Оптик зөөвөрлөгчийг (DVD-үүд) үүсгэж ашиглах нь</title>
     <indexterm>
       <primary>DVD</primary>
       <secondary>шарах нь</secondary>
     </indexterm>
 
     <sect2>
       <title>Танилцуулга</title>
 
       <para>CD-тэй харьцуулахад DVD нь оптик зөөвөрлөгч хадгалалтын технологийн 
 	дараачийн үе юм. DVD нь ямар ч CD-ээс илүү өгөгдлийг агуулдаг бөгөөд 
 	одоогийн видео хэвлэлтийн стандарт болжээ.</para>
 
       <para>Бичигддэг DVD гэж бидний нэрлэдэг DVD-үүдийн физик 5 бичигддэг 
 	хэлбэршүүлэлтийг тодорхойлж болно:</para>
 
       <itemizedlist>
 	<listitem>
 	  <para>DVD-R: Энэ нь бичигддэг DVD-ий анхны хэлбэршүүлэлт  юм. 
 		DVD-R стандарт нь <ulink
 	    url="http://www.dvdforum.com/forum.shtml">DVD хэлэлцүүлгээр</ulink> 
 		тодорхойлогдсон бөгөөд энэ нь зөвхөн нэг удаа 
 		бичих хэлбэршүүлэлт юм.</para>
 	</listitem>
 
 	<listitem>
 	  <para>DVD-RW: Энэ нь DVD-R стандартын дахин бичигдэх хувилбар юм. 
 		DVD-RW нь ойролцоогоор 1000 удаа бичигдэх боломжтой.</para>
 	</listitem>
 
 	<listitem>
 	  <para>DVD-RAM: Энэ нь DVD хэлэлцүүлгийн дэмждэг бас дахин бичигддэг 
 		хэлбэршүүлэлт юм. DVD-RAM нь зөөгдөж болох хатуу хөтөч маягаар 
 		харагддаг. Гэхдээ энэ зөөвөрлөгч нь ихэнх DVD-ROM хөтчүүд болон 
 		DVD-Видео тоглуулагчуудтай нийцтэй биш байдаг; цөөн DVD бичигчид 
 		DVD-RAM хэлбэршүүлэлтийг дэмждэг. DVD-RAM-ийн хэрэглээний талаар 
 		илүү дэлгэрэнгүйг <xref linkend="creating-dvd-ram">-с 
 		уншина уу.</para>
 	</listitem>
 
 	<listitem>
 	  <para>DVD+RW: Энэ нь <ulink url="http://www.dvdrw.com/">DVD+RW
 	    	холбооноос</ulink> тодорхойлсон дахин бичигдэх хэлбэршүүлэлт юм. 
 		DVD+RW нь ойролцоогоор 1000 удаа бичигдэх боломжтой.</para>
 	</listitem>
 
 	<listitem>
 	  <para>DVD+R: Энэ хэлбэршүүлэлт нь DVD+RW хэлбэршүүлэлтийн нэг удаа бичих 
 		хувилбар юм.</para>
 	</listitem>
       </itemizedlist>
 
       <para>Бичигддэг DVD-ий нэг давхарга нь 4,700,000,000&nbsp;байт буюу 
 	4.38&nbsp;GB эсвэл 4485&nbsp;MB (1 килобайт нь 1024 байт) 
 	хүртэлх мэдээлэл агуулж чадна.</para>
 
       <note>
 	<para>Физик зөөвөрлөгч болон програмыг ялгаж ойлгох ёстой. Жишээ нь 
 	DVD-Видео нь дурын бичигддэг DVD физик зөөвөрлөгч DVD-R, DVD+R, DVD-RW гэх зэрэг 
 	уруу бичигдэж болох тусгай байршлын зураглал юм. Зөөвөрлөгчийн төрлийг сонгохын өмнө 
 	шарагч болон DVD-Видео тоглуулагч (дан тоглуулагч эсвэл компьютер дээрх DVD-ROM хөтөч)
 	нь хэрэглэхээр төлөвлөж байгаа зөөвөрлөгчтэй нийцтэй эсэхийг шалгах хэрэгтэй.</para></note>
     </sect2>
 
     <sect2>
       <title>Тохиргоо</title>
 
       <para>DVD бичлэг хийхэд &man.growisofs.1; програм ашиглагдана. 
 	Энэ тушаал нь <application>dvd+rw-tools</application> хэрэгслүүдийн (<filename
 	role="package">sysutils/dvd+rw-tools</filename>) нэг хэсэг 
 	юм. <application>dvd+rw-tools</application> нь DVD зөөвөрлөгчийн 
 	бүх төрлийг дэмждэг.</para>
 
       <para>Эдгээр хэрэгслүүд нь төхөөрөмжүүд уруу хандахын тулд SCSI дэд системийг 
 	ашигладаг, тиймээс таны цөмд <link linkend="atapicam">ATAPI/CAM
 	дэмжлэг</link> нэмэгдсэн байх ёстой. Хэрэв таны шарагч USB интерфэйс ашигладаг 
 	бол энэ нэмэлт нь хэрэггүй бөгөөд та USB төхөөрөмжүүдийн тохиргооны талаар илүү 
 	дэлгэрэнгүйг  <xref linkend="usb-disks">-с унших шаардлагатай.</para>
 
       <para>Та мөн ATAPI төхөөрөмжүүдийн хувьд DMA хандалтыг идэвхжүүлэх ёстой бөгөөд 
 	дараах мөрийг <filename>/boot/loader.conf</filename> файлд 
 	нэмж үүнийг  хийнэ:</para>
 
       <programlisting>hw.ata.atapi_dma="1"</programlisting>
 
       <para><application>dvd+rw-tools</application>-г ашиглахаасаа өмнө 
 	өөрийн DVD шарагчтай холбоотой мэдээллийг <ulink
 	url="http://fy.chalmers.se/~appro/linux/DVD+RW/hcn.html">dvd+rw-tools'
 	тоног төхөөрөмжийн нийцтэй байдал</ulink> хаягаас лавлах хэрэгтэй.</para>
 
       <note>
 	<para>Хэрэв та график хэрэглэгчийн интерфэйсийг хүсэж байвал 
 	&man.growisofs.1; болон бусад олон шарагч хэрэгслүүдийг 
 	хэрэглэгчид ашиглахад амар интерфэйсээр хангадаг 
 	<application>K3b</application> (<filename
 	  role="package">sysutils/k3b</filename>) програмыг 
 	үзэх хэрэгтэй.</para>
       </note>
     </sect2>
 
     <sect2>
       <title>Өгөгдлийн DVD-үүдийг шарах нь</title>
 
       <para>&man.growisofs.1; тушаал нь <link
 	linkend="mkisofs">mkisofs</link>-ийн нүүр хэсэг юм, энэ нь 
 	шинэ файлын системийн байршлыг үүсгэхийн тулд &man.mkisofs.8;-г 
 	дуудах бөгөөд DVD дээр бичих үйлдлийг гүйцэтгэнэ. Энэ нь та шарах 
 	процессоос өмнө өгөгдлийн дүрсийг үүсгэх хэрэггүй гэсэн үг юм.</para>
 
       <para>DVD+R эсвэл DVD-R уруу өгөгдлийг <filename
 	class="directory">/path/to/data</filename> сангаас шарахдаа 
 	дараах тушаалыг ашиглана:</para>
 
       <screen>&prompt.root; <userinput>growisofs -dvd-compat -Z <replaceable>/dev/cd0</replaceable> -J -R <replaceable>/path/to/data</replaceable></userinput></screen>
 
       <para>Файлын системийг үүсгэхдээ <option>-J -R</option> тохируулгуудыг 
 	&man.mkisofs.8;-д дамжуулдаг (энэ тохиолдолд Joilet болон Rock Ridge 
 	өргөтгөлүүдтэй ISO 9660 файлын систем). Дэлгэрэнгүйг &man.mkisofs.8; 
 	гарын авлагын хуудаснаас лавлана уу.</para>
 
       <para><option>-Z</option> тохируулгыг ямар ч тохиолдолд  
 	(олон сессүүд эсвэл ганц сесс) эхний сессийг бичихдээ хэрэглэдэг. DVD төхөөрөмж 
 	<replaceable>/dev/cd0</replaceable>-г өөрийн тохиргооны дагуу өөрчлөх 
 	хэрэгтэй. <option>-dvd-compat</option> параметр дискийг хаах бөгөөд 
 	бичилтийг нэмэх нь боломжгүй болох юм. Энэ нь DVD-ROM хөтчүүдтэй 
 	зөөвөрлөгчийн нийцтэй байдлыг илүүтэй хангах юм.</para>
 
       <para>Мөн урьдчилан урласан дүрсийг шарах бас боломжтой, жишээ нь 
 	<replaceable>imagefile.iso</replaceable> дүрсийг шарахын 
 	тулд бид дараах тушаалыг ажиллуулна:</para>
 
       <screen>&prompt.root; <userinput>growisofs -dvd-compat -Z <replaceable>/dev/cd0</replaceable>=<replaceable>imagefile.iso</replaceable></userinput></screen>
 
       <para>Бичих хурдыг олж зөөвөрлөгч ба ашиглагдаж байгаа хөтчөөс 
 	хамаарч автоматаар тохируулах болно. Хэрэв та бичих хурдыг өөрчлөх 
 	хүсэлтэй байгаа бол <option>-speed=</option> параметрийг ашиглах 
 	хэрэгтэй. Дэлгэрэнгүй мэдээллийг &man.growisofs.1; гарын авлагын 
 	хуудаснаас уншина уу.</para>
     </sect2>
 
     <indexterm>
       <primary>DVD</primary>
       <secondary>DVD-Video</secondary>
     </indexterm>
 
     <sect2>
       <title>DVD-Видео шарах нь</title>
 
       <para>DVD-Видео нь ISO 9660 болон микро-UDF (M-UDF тодорхойлолтууд 
 	дээр тулгуурласан тусгай файлын байршлын зураглал юм. DVD-Видео нь бас 
 	өгөгдлийн бүтцийн тусгай шатлалыг үзүүлдэг бөгөөд энэ нь DVD-г зохиохын тулд 
 	<filename role="package">multimedia/dvdauthor</filename> зэрэг тусгай 
 	програмыг та яагаад ашиглах хэрэгтэй болдгийн шалтгаан юм.</para>
 
       <para>Хэрэв танд DVD-Видео файлын системийн дүрс байгаа бол ямар ч дүрсний нэгэн 
 	адил аргаар шарах хэрэгтэй. Өмнөх хэсгийн жишээнээс үзнэ үү. Хэрэв та 
 	DVD зохиолт хийсэн бөгөөд үр дүн нь жишээ нь <filename class="directory">/path/to/video</filename> 
 	санд байгаа бол DVD-Видеог шарахын тулд дараах тушаалыг ашиглах хэрэгтэй:</para>
 
       <screen>&prompt.root; <userinput>growisofs -Z <replaceable>/dev/cd0</replaceable> -dvd-video <replaceable>/path/to/video</replaceable></userinput></screen>
 
       <para><option>-dvd-video</option> тохируулга &man.mkisofs.8;-д 
 	дамжуулагдах бөгөөд энэ  нь DVD-Видео файлын системийн байршлын зураглал 
 	үүсгэхийг тушаах болно. Үүнээс гадна <option>-dvd-video</option> 
 	тохируулга нь &man.growisofs.1;-ийн <option>-dvd-compat</option> 
 	тохируулгыг агуулдаг.</para>
     </sect2>
 
     <indexterm>
       <primary>DVD</primary>
       <secondary>DVD+RW</secondary>
     </indexterm>
 
     <sect2>
       <title>DVD+RW ашиглах нь</title>
 
       <para>CD-RW-с ялгаатай нь шинэ DVD+RW нь ашиглагдахаа өмнө хэлбэршүүлэгдсэн 
 	байх ёстой. &man.growisofs.1; нь шаардлагатай үед автоматаар үүнийг хийх 
 	бөгөөд энэ аргыг <emphasis>зөвлөдөг</emphasis> юм. Гэхдээ та 
 	<command>dvd+rw-format</command> тушаалыг ашиглан DVD+RW-г хэлбэршүүлж
 	болно:</para>
 
       <screen>&prompt.root; <userinput>dvd+rw-format <replaceable>/dev/cd0</replaceable></userinput></screen>
 
       <para>Та энэ үйлдлийг зөвхөн нэг удаа хийх хэрэгтэй бөгөөд зөвхөн шинэ DVD+RW 
 	зөөвөрлөгчдийн хувьд хэлбэршүүлэх ёстойг санаарай. Дараа нь та DVD+RW-г дээрх 
 	хэсгүүдэд дурдсаны адил шарж болно.</para>
 
       <para>Хэрэв та шинэ өгөгдлийг (зарим өгөгдлийг нэмэх биш 
 	бүр мөсөн шинэ файлын систем шарах) DVD+RW уруу шарахыг хүсэж байгаа бол 
 	түүнийг хоосон болгох шаардлагагүй юм, иймэрхүүгээр өмнөх бичилтэн дээрээ 
 	(шинэ сесс үүсгээд) дараад л бичих хэрэгтэй юм:</para>
 
       <screen>&prompt.root; <userinput>growisofs -Z <replaceable>/dev/cd0</replaceable> -J -R <replaceable>/path/to/newdata</replaceable></userinput></screen>
 
       <para>DVD+RW хэлбэршүүлэлт нь өмнөх бичилтэд өгөгдлийг хялбараар нэмэх 
 	боломжийг олгодог. Энэ үйлдэл нь шинэ сессийг хуучин байгаатай нь нийлүүлэх 
 	бөгөөд энэ нь олон сесс бүхий бичилт биш юм. &man.growisofs.1; нь зөөвөрлөгч дээр 
 	байгаа ISO 9660 файлын системийг <emphasis>өсгөх (сунгах)</emphasis> 
 	болно.</para>
 
       <para>Жишээ нь хэрэв бид өөрсдийн урьдны DVD+RW уруу өгөгдөл нэмэхийг 
 	хүсвэл доор дурдсаныг ашиглах хэрэгтэй болно:</para>
 
       <screen>&prompt.root; <userinput>growisofs -M <replaceable>/dev/cd0</replaceable> -J -R <replaceable>/path/to/nextdata</replaceable></userinput></screen>
 
       <para>Эхний сессийг шарахдаа бидний хэрэглэдэг  &man.mkisofs.8;-ийн 
 	адил тохируулгууд дараагийн бичилтүүдийн үеэр хэрэглэгдэх ёстой.</para>
 
       <note>
 	<para>Хэрэв та DVD-ROM хөтчүүдтэй зөөвөрлөгчийн хувьд илүүтэй нийцтэй байхыг 
 	хүсвэл <option>-dvd-compat</option> тохируулгыг хэрэглэхийг 
 	хүсэж болох юм. DVD+RW тохиолдлын хувьд энэ нь таныг өгөгдөл нэмэхийг болиулж 
 	чадахгүй юм.</para>
       </note>
 
       <para>Хэрэв та ямар нэг шалтгаанаар зөөвөрлөгчийг хоосон болгохыг хүсвэл 
 	доор дурдсаныг хийх хэрэгтэй:</para>
 
       <screen>&prompt.root; <userinput>growisofs -Z <replaceable>/dev/cd0</replaceable>=<replaceable>/dev/zero</replaceable></userinput></screen>
     </sect2>
 
     <indexterm>
       <primary>DVD</primary>
       <secondary>DVD-RW</secondary>
     </indexterm>
 
     <sect2>
       <title>DVD-RW ашиглах нь</title>
 
       <para>DVD-RW нь дискний хоёр хэлбэршүүлэлтийг авдаг: нэмэгдсэн дараалсан 
 	хэлбэршүүлэлт болон хязгаарлагдмал дарж бичих хэлбэршүүлэлт юм. Анхдагчаар 
 	DVD-RW дискнүүд нь дараалсан хэлбэршүүлэлтэд байдаг.</para>
 
       <para>Шинэ DVD-RW нь хэлбэршүүлэлт хийгдэлгүйгээр шууд бичигдэж болдог, 
 	гэхдээ шинэ биш дараалсан хэлбэршүүлэлтэд байх DVD-RW нь шинэ эхний сесс 
 	бичигдэхээс өмнө хоосон болгогдсон байх шаардлагатай байдаг.</para>
 
       <para>Дараалсан горим дахь DVD-RW-г хоослохдоо дараах тушаалыг ажиллуулна:</para>
 
       <screen>&prompt.root; <userinput>dvd+rw-format -blank=full <replaceable>/dev/cd0</replaceable></userinput></screen>
 
       <note>
 	<para>Бүр мөсөн хоослолт (<option>-blank=full</option>) 1x зөөвөрлөгч 
 	дээр нэг цаг орчим болно. Хэрэв DVD-RW нь Disk-At-Once (DAO) горимоор 
 	бичигдэх бол хурдан хоослолтыг <option>-blank</option> тохируулга ашиглан 
 	хийж болно. DVD-RW-г DAO горимд шарахын тулд дараах тушаалыг ашиглана:</para>
 
 	<screen>&prompt.root; <userinput>growisofs -use-the-force-luke=dao -Z <replaceable>/dev/cd0</replaceable>=<replaceable>imagefile.iso</replaceable></userinput></screen>
 
 	<para><option>-use-the-force-luke=dao</option> тохируулгыг 
 	шаардах ёсгүй, учир нь &man.growisofs.1; нь (хурдан хоосолсон) 
 	зөөвөрлөгчийг илрүүлэхийг бага оролдож DAO бичилтийг захиалах 
 	болно.</para>
 
 	<para>Яг үнэндээ дурын DVD-RW-ийн хувьд хязгаарлагдмал дарж бичих горимыг 
 	ашиглах хэрэгтэй бөгөөд энэ хэлбэршүүлэлт нь анхдагч нэмэгдсэн дараалсан 
 	хэлбэршүүлэлтээс илүү уян хатан байдаг.</para>
       </note>
 
       <para>Дараалсан DVD-RW дээр өгөгдлийг бичихдээ бусад DVD хэлбэршүүлэлтийн 
 	нэгэн адил заавруудыг ашиглана:</para>
 
       <screen>&prompt.root; <userinput>growisofs -Z <replaceable>/dev/cd0</replaceable> -J -R <replaceable>/path/to/data</replaceable></userinput></screen>
 
       <para>Хэрэв та зарим өгөгдлийг өөрийн урьдны бичлэгт нэмэхийг хүсвэл 
 	&man.growisofs.1;-ийн <option>-M</option> тохируулгыг ашиглах 
 	хэрэгтэй болно. Гэхдээ хэрэв та нэмэгдсэн дараалсан горимд байгаа DVD-RW 
 	уруу өгөгдлийг нэмэх үйлдлийг хийвэл диск дээр шинэ сесс үүсгэгдэх бөгөөд 
 	үүний үр дүн нь олон сесс бүхий диск болох юм.</para>
 
       <para>DVD-RW нь хязгаарлагдмал дарж бичих хэлбэршүүлэлтэд шинэ эхний 
 	сессээс өмнө хоосон болгогдох шаардлагагүй, та ердөө л дискийг 
 	<option>-&nbsp;Z</option> тохируулгатай дарж бичих хэрэгтэй бөгөөд энэ нь 
 	DVD+RW тохиолдолтой төстэй юм. Мөн диск дээр бичигдсэн байгаа ISO 
 	9660 файлын системийг DVD+RW-тэй адил аргаар <option>-M</option> 
 	тохируулгын тусламжтай өсгөж (сунгаж) бас болно. Үр дүн нь нэг сесс 
 	бүхий DVD болох юм.</para>
 
       <para>DVD-RW-г хязгаарлагдмал дарж бичих хэлбэршүүлэлтэд оруулахдаа 
 	дараах тушаалыг ашиглах ёстой:</para>
 
       <screen>&prompt.root; <userinput>dvd+rw-format <replaceable>/dev/cd0</replaceable></userinput></screen>
 
       <para>Дараалсан хэлбэршүүлэлт уруу буцааж өөрчлөхдөө дараах тушаалыг ашиглана:</para>
 
       <screen>&prompt.root; <userinput>dvd+rw-format -blank=full <replaceable>/dev/cd0</replaceable></userinput></screen>
     </sect2>
 
     <sect2>
       <title>Олон сесс</title>
 
       <para>Маш цөөн DVD-ROM хөтчүүд олон сесс бүхий DVD-үүдийг дэмждэг бөгөөд 
 	тэдгээр нь ихэнхдээ зөвхөн эхний сессийг уншдаг. DVD+R, DVD-R болон DVD-RW нь 
 	дараалсан хэлбэршүүлэлтдээ олон сессийг хүлээн авч чаддаг бөгөөд DVD+RW болон 
 	DVD-RW хязгаарлагдмал дарж бичих хэлбэршүүлэлтүүдийн хувьд олон сесс гэсэн ойлголт 
 	байдаггүй.</para>
 
       <para>Дараалсан хэлбэршүүлэлтэд DVD+R, DVD-R эсвэл DVD-RW дээрх эхний 
 	(хаагдаагүй) сессийн дараа дараах тушаалыг ашиглаж дискэнд шинэ 
 	сесс үүсгэнэ:</para>
 
       <screen>&prompt.root; <userinput>growisofs -M <replaceable>/dev/cd0</replaceable> -J -R <replaceable>/path/to/nextdata</replaceable></userinput></screen>
 
       <para>Энэ тушаалын мөрийг DVD+RW эсвэл DVD-RW-тэй цуг ашиглан хязгаарлагдмал дарж бичих 
 	горим дээр шинэ сессийг хуучин байгаатай нийлүүлэн өгөгдлийг нэмэх болно. Үр дүн нь 
 	нэг сесс бүхий диск болох юм. Энэ нь эдгээр зөөвөрлөгчүүд дээр эхний бичилтийн дараа 
 	өгөгдөл нэмэх арга юм.</para>
 
       <note>
 	<para>Зөөвөрлөгч дээрх зарим зай нь сесс бүрийн хооронд сессийн төгсгөл болон 
 	эхлэлд хэрэглэгддэг. Тиймээс зөөвөрлөгчийн зайг оновчтой ашиглахын тулд 
 	их өгөгдөлтэй сессүүдийг нэмэх ёстой юм. Сессийн тоо DVD+R-ийн хувьд 154, 
 	DVD-R-ийн хувьд 2000 орчим, DVD+R хос давхаргын хувьд 127-оор 
 	хязгаарлагдана.</para>
       </note>
     </sect2>
 
     <sect2>
       <title>Дэлгэрэнгүй мэдээллийг</title>
 
       <para>DVD-ийн талаар илүү мэдээллийг авахын тулд 
 	<command>dvd+rw-mediainfo
 	<replaceable>/dev/cd0</replaceable></command> тушаалыг хөтөч 
 	дотор диск байхад ажиллуулж болно.</para>
 
       <para><application>dvd+rw-tools</application>-н тухай дэлгэрэнгүй 
 	мэдээлэл нь &man.growisofs.1; гарын авлагын хуудас, <ulink
 	url="http://fy.chalmers.se/~appro/linux/DVD+RW/">dvd+rw-tools
 	вэб сайт</ulink> болон <ulink
 	url="http://lists.debian.org/cdwrite/">cdwrite захидлын жагсаалт</ulink>ын 
 	архивуудаас олдож болно.</para>
 
       <note>
 	<para>Бичигдсэн үр дүн эсвэл асуудалтай зөөвөрлөгчийн <command>dvd+rw-mediainfo</command> 
 	гаралт нь ямар ч асуудлын тайлангийн чухал хэсэг юм. Энэ гаралтгүйгээр танд туслах 
 	бараг л боломжгүй юм.</para>
       </note>
     </sect2>
 
     <sect2 id="creating-dvd-ram">
       <title>DVD-RAM ашиглах нь</title>
       <indexterm>
 	<primary>DVD</primary>
 	<secondary>DVD-RAM</secondary>
       </indexterm>
 
       <sect3>
 	<title>Тохиргоо</title>
 
 	<para>DVD-RAM бичигчид нь SCSI аль эсвэл ATAPI интерфэйстэй цуг ирдэг.
  	ATAPI төхөөрөмжүүдийн хувьд DMA хандалт идэвхтэй болсон байх ёстой, 
 	дараах мөрийг <filename>/boot/loader.conf</filename> 
 	файлд нэмж үүнийг хийнэ:</para>
 
 	<programlisting>hw.ata.atapi_dma="1"</programlisting>
       </sect3>
 
       <sect3>
 	<title>Зөөвөрлөгчийг бэлдэх нь</title>
 
 	<para>Өмнө нь бүлгийн танилцуулгад дурдсанаар DVD-RAM нь зөөврийн хатуу 
 	хөтөч маягаар харагддаг. Бусад хатуу дискнүүдийн адил DVD-&nbsp;RAM нь ашиглагдаж 
 	эхлэхээсээ өмнө <quote>бэлдэгдсэн</quote> байх ёстой. Жишээн дээр дискний 
 	бүх зай стандарт UFS2 файлын системтэй ашиглагдана:</para>
 
 	<screen>&prompt.root; <userinput>dd if=/dev/zero of=<replaceable>/dev/acd0</replaceable> bs=2k count=1</userinput>
 &prompt.root; <userinput>bsdlabel -Bw <replaceable>acd0</replaceable></userinput>
 &prompt.root; <userinput>newfs <replaceable>/dev/acd0</replaceable></userinput></screen>
 
 	<para>DVD төхөөрөмж <devicename>acd0</devicename>-ийг өөрийн тохиргооны 
 	дагуу өөрчлөн ашиглах ёстой.</para>
       </sect3>
 
       <sect3>
 	<title>Зөөвөрлөгчийг ашиглах нь</title>
 
 	<para>Дээрх үйлдлүүд DVD-RAM дээр хийгдсэний дараа үүнийг энгийн 
 	хатуу хөтчийн нэгэн адил холбож болно:</para>
 
 	<screen>&prompt.root; <userinput>mount <replaceable>/dev/acd0</replaceable> <replaceable>/mnt</replaceable></userinput></screen>
 
 	<para>Үүний дараа DVD-RAM нь уншигдах бичигдэх боломжтой болно.</para>
       </sect3>
     </sect2>
   </sect1>
 
   <sect1 id="floppies">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Жулио</firstname>
 	  <surname>Мерино</surname>
 	  <contrib>Анхлан хийсэн </contrib>
 	</author>
       </authorgroup>
       <!-- 24 Dec 2001 -->
       <authorgroup>
 	<author>
 	  <firstname>Мартин</firstname>
 	  <surname>Карлсон</surname>
 	  <contrib>Дахин бичсэн </contrib>
 	</author>
       </authorgroup>
       <!-- 27 Apr 2003 -->
     </sect1info>
 
     <title>Уян дискнүүдийг үүсгэж ашиглах нь</title>
 
     <para>Өгөгдлийг уян дискнүүд уруу хадгалах нь заримдаа ашигтай байдаг. Жишээ нь 
 	хэн нэгэнд нь шилжүүлж болдог ямар ч хадгалалтын зөөвөрлөгч байхгүй тохиолдолд 
 	эсвэл бага хэмжээний өгөгдлийг өөр компьютер уруу зөөх хэрэгцээ гарсан үед уян 
 	диск нь хэрэг болдог.</para>
 
     <para>Энэ хэсэг нь FreeBSD дээр уян дискийг хэрхэн ашиглах талаар тайлбарлах болно. 
 	Энд 3.5 инчийн DOS уян дискнүүдийг хэлбэршүүлж ашиглах талаар үндсэндээ 
 	тайлбарлах бөгөөд гэхдээ энэ ойлголт нь бусад уян дискний хэлбэршүүлэлттэй 
 	төстэй юм.</para>
 
     <sect2>
       <title>Уян дискнүүдийг хэлбэршүүлэх нь</title>
 
       <sect3>
 	<title>Төхөөрөмж</title>
 
 	<para>Уян дискнүүдэд бусад төхөөрөмжүүдийн адил <filename>/dev</filename> 
 	сан дахь оруулгуудаар ханддаг. Түүхий уян дискэнд хандахын тулд 
 	<filename>/dev/fd<replaceable>N</replaceable></filename>-г 
 	ердөө л ашиглах хэрэгтэй.</para>
       </sect3>
 
       <sect3>
 	<title>Хэлбэршүүлэх нь</title>
 
 	<para>Уян дискийг ашиглахаасаа өмнө доод түвшний хэлбэршүүүлэлт 
 	хийсэн байх хэрэгтэй. Үүнийг ихэвчлэн үйлдвэрлэгч хийдэг боловч 
 	хэлбэршүүлэлт нь зөөвөрлөгчийн бүрэн бүтэн байдлыг шалгах нэг сайн 
 	арга юм. Илүү том (эсвэл жижиг) дискний хэмжээг хүчлэн ашиглах 
 	боломжтой байдаг боловч 1440kB хэмжээнд зориулагдан ихэнх уян 
 	диск хийгдсэн байдаг.</para>
 
 	<para>Уян дискэнд доод түвшний хэлбэршүүлэлт хийхийн тулд та 
 	&man.fdformat.1;-г ашиглах хэрэгтэй. Энэ хэрэгсэл нь төхөөрөмжийн 
 	нэрийг нэмэлт өгөгдөл маягаар оруулахыг хүлээж байдаг.</para>
 
 	  <para>Алдааны мэдэгдлийг тэмдэглэж аваарай, учир нь эдгээр нь 
 		дискийг сайн эсвэл муу эсэхийг тодорхойлоход туслах болно.</para>
 
 	<sect4>
 	  <title>Уян дискнүүдийг хэлбэршүүлэх нь</title>
 
 	  <para><filename>/dev/fd<replaceable>N</replaceable></filename> 
 		төхөөрөмжүүдийг ашиглан уян дискийг хэлбэршүүлэх хэрэгтэй. Шинэ 3.5 инч 
 		диск өөрийн хөтөч уруугаа хийгээд дараах тушаалыг ажиллуул:</para>
 
 	  <screen>&prompt.root; <userinput>/usr/sbin/fdformat -f 1440 /dev/fd0</userinput></screen>
 
 	</sect4>
       </sect3>
     </sect2>
 
     <sect2>
       <title>Дискний шошго</title>
 
       <para>Дискэнд доод түвшний хэлбэршүүлэлт хийсний дараа танд диск дээр шошго 
 	тавих хэрэгтэй болно. Энэ дискний шошго нь дараа нь устгагдах боловч 
 	дискний хэмжээ болон геометрийг дараа нь тодорхойлоход системд 
 	хэрэг болдог.</para>
 
       <para>Шинэ дискний шошго нь бүхэл дискийг хамарч уян дискний геометрийн тухай 
 	бүх л зөв мэдээллийг агуулах болно. Дискний шошгоны геометрийн утгууд нь 
 	<filename>/etc/disktab</filename> файлд жагсаагдсан 
 	байдаг.</para>
 
       <para>Та одоо ингэж &man.bsdlabel.8;-г ажиллуулж болно:</para>
 
       <screen>&prompt.root; <userinput>/sbin/bsdlabel -B -w /dev/fd0 fd1440</userinput></screen>
 
     </sect2>
 
     <sect2>
       <title>Файлын систем</title>
 
       <para>Одоо уян дискэнд дээд түвшний хэлбэршүүлэлт хийхэд бэлэн боллоо. Энэ нь 
 	дискийг FreeBSD унших болон түүнд бичих боломжийг олгох шинэ файлын системийг 
 	диск дээр байрлуулах болно. Шинэ файлын системийг үүсгэсний дараа дискний 
 	шошго устгагдах бөгөөд хэрэв та дискийг дахин хэлбэршүүлэхийг хүсвэл дискний 
 	шошгыг дахин үүсгэх шаардлагатай болно.</para>
 
       <para>Уян дискний файлын систем нь UFS эсвэл FAT хоёрын аль нэг нь байна.
 	FAT нь ерөнхийдөө уян дискнүүдийн хувьд илүү дээр сонголт байдаг.</para>
 
       <para>Уян диск дээр шинэ файлын системийг байрлуулахын талд дараах тушаалыг ажиллуулна:</para>
 
       <screen>&prompt.root; <userinput>/sbin/newfs_msdos /dev/fd0</userinput></screen>
 
       <para>Диск одоо ашиглахад бэлэн боллоо.</para>
     </sect2>
 
 
     <sect2>
       <title>Уян дискийг ашиглах нь</title>
 
       <para>Уян дискийг ашиглахын тулд &man.mount.msdosfs.8; тушаалаар холбох хэрэгтэй. Мөн 
 	портын цуглуулгаас <filename role="package">emulators/mtools</filename>-г 
 	ашиглаж бас болох юм.</para>
     </sect2>
   </sect1>
 
   <sect1 id="backups-tapebackups">
     <title>Өгөгдлийн соронзон хальснууд үүсгэж ашиглах нь</title>
 
     <indexterm><primary>соронзон хальс зөөвөрлөгч</primary></indexterm>
     <para>Гол соронзон хальс зөөвөрлөгчүүд нь 4мм, 8мм, QIC, мини-хайрцаг болон DLT 
 	юм.</para>
 
     <sect2 id="backups-tapebackups-4mm">
       <title>4мм (DDS: Digital Data Storage)</title>
 
       <indexterm>
         <primary>соронзон хальс зөөвөрлөгч</primary>
 	<secondary>DDS (4mm) соронзон хальснууд</secondary>
       </indexterm>
       <indexterm>
         <primary>соронзон хальс зөөвөрлөгч</primary>
 	<secondary>QIC соронзон хальснууд</secondary>
       </indexterm>
       <para>4мм соронзон хальснууд нь QIC-г халж ажлын станцын нөөц зөөвөрлөгч болон сонгогдож 
 	байна. Conner компани нь QIC хөтчүүдийн тэргүүлэх үйлдвэрлэгч Archive-г 
 	худалдаж авч дараа нь QIC хөтчүүдийг үйлдвэрлэхээ зогсоосноор энэ чиг хандлага нь 
 	илүү хурдассан юм. 4мм хөтчүүд нь жижиг, чимээгүй боловч 8мм хөтчүүд шиг 
 	найдвартай ажиллагаагаараа алдартай биш юм. Хайрцагнууд нь үнэтэй биш бөгөөд 
 	8мм-ийн хайрцагнуудаас бага (3 x 2 x 0.5 инч, 76 x 51 x 12 мм) юм. 
 	4мм соронзон хальс нь 8мм-ийн нэгэн адил шалтгаанаар толгой нь богино настай бөгөөд 
 	хоёулаа мушгиа сканыг ашигладаг.</para>
 
       <para>Эдгээр хөтчүүд дээрх өгөгдлийн дамжуулах чадвар нь ~150&nbsp;kB/s-с 
 	эхэлж ~500&nbsp;kB/s хүрнэ. Өгөгдлийн багтаамж 1.3&nbsp;GB-с эхэлж 
 	2.0&nbsp;GB хүрнэ. Тоног төхөөрөмжийн шахалт энэ хөтчүүдийн ихэнхэд байх 
 	бөгөөд энэ нь багтаамжийг ойролцоогоор хоёр дахин нэмэгдүүлдэг. Олон хөтөч бүхий 
 	соронзон хальсны сан (library) автомат соронзон хальс солигчтой нэг кабинетийн хувьд 6 хөтөчтэй 
 	байж болно. Сангийн багтаамж нь 240&nbsp;GB хүрнэ.</para>
 
       <para>DDS-3 стандарт нь одоогоор 12&nbsp;GB (эсвэл 24&nbsp;GB шахагдсан) 
 	багтаамжтай соронзон хальсыг дэмждэг.</para>
 
       <para>4мм хөтчүүд нь 8мм-ийн хөтчүүдийн нэгэн адил мушгиа хайлтыг хэрэглэдэг. 
 	Мушгиа хайлт хийхийн бүх ашигтай тал болон сул талууд нь 4мм болон 8мм-ийн хөтчүүдийн 
 	аль алинд нь хамаардаг.</para>
 
       <para>Соронзон хальснууд нь 2000 удаагийн ашиглалт эсвэл 100 бүрэн нөөцлөлтийн дараа 
 	хэрэглээнээс гарах ёстой.</para>
     </sect2>
 
     <sect2 id="backups-tapebackups-8mm">
       <title>8мм (Exabyte)</title>
       <indexterm>
         <primary>соронзон хальс зөөвөрлөгч</primary>
 	<secondary>Exabyte (8мм) соронзон хальснууд</secondary>
       </indexterm>
 
       <para>8мм соронзон хальснууд нь хамгийн нийтлэг SCSI соронзон хальсны хөтчүүд юм; тэдгээр нь соронзон хальснууд 
 	солих хамгийн сайн сонголт болдог. Бараг сайт бүр Exabyte 2&nbsp;GB 8мм-ийн 
 	соронзон хальсны хөтөчтэй байдаг. 8мм-ийн хөтчүүд нь найдвартай, хэрэглэхэд амар, чимээгүй 
 	байдаг. Хайрцагнууд нь хямд, жижиг (4.8 x 3.3 x 0.6 инч; 122 x 84 x 15 мм) 
 	байдаг. 8мм-ийн соронзон хальсны нэг сул тал нь толгойнуудын дагуух соронзон хальсны харьцангуй хөдөлгөөний
 	өндөр хувиас болоод харьцангуй богино толгой ба соронзон хальсны амьдрах хугацаатай байдаг явдал юм.</para>
 
       <para>Өгөгдөл дамжуулах чадвар нь ~250&nbsp;kB/s-аас ~500&nbsp;kB/s хүртэл байна. 
 	Өгөгдлийн хэмжээ нь 300&nbsp;MB-аас эхэлж 7&nbsp;GB хүрнэ. Тоног төхөөрөмжийн шахалт 
 	энэ хөтчүүдийн ихэнхэд байх бөгөөд энэ нь багтаамжийг ойролцоогоор хоёр дахин нэмэгдүүлдэг.
 	Эдгээр хөтчүүд нь нэг буюу эсвэл нэг кабинетдаа 6 хөтөч болон 120 соронзон хальстай олон хөтөч 
 	бүхий соронзон хальсны сан (library) хэлбэрээр байдаг. соронзон хальснууд нь автоматаар солигддог. 
 	Сангийн багтаамж 840+&nbsp;GB хүрнэ.</para>
 
       <para>Exabyte <quote>Mammoth</quote> загвар нь нэг соронзон хальс дээр 12&nbsp;GB 
 	((24&nbsp;GB шахалттайгаар) дэмждэг бөгөөд ердийн соронзон хальсны хөтчөөс ойролцоогоор 
 	хоёр дахин үнэтэй байдаг.</para>
 
       <para>Өгөгдөл нь соронзон хальс уруу мушгиа скан ашиглагдан бичигддэг, толгойнууд нь зөөвөрлөгч уруу
 	өнцгөөр байрладаг (ойролцоогоор 6 градус). Соронзон хальс нь толгойнуудыг барьж байдаг дамрын 
 	270 градус орчим ороодог. Соронзон хальс дамар дээгүүр гулгаж байхад дамар нь эргэж байдаг. 
 	Үр дүнд нь өгөгдлийн өндөр нягтрал болон соронзон хальсны дагуу нэг ирмэгээс нөгөө уруу өнцөгдсөн ойрхон 
 	багцалсан замууд үүсэх болно.</para>
     </sect2>
 
     <sect2 id="backups-tapebackups-qic">
       <title>QIC</title>
       <indexterm>
         <primary>соронзон хальс зөөвөрлөгч</primary>
 	<secondary>QIC-150</secondary>
       </indexterm>
 
       <para>QIC-150 соронзон хальснууд болон хөтчүүд нь магадгүй хамгийн нийтлэг соронзон хальсны хөтөч, зөөвөрлөгч
 	юм. QIC соронзон хальсны хөтчүүд нь хамгийн хямд <quote>нухацтай</quote> нөөцлөлтийн хөтчүүд 
 	юм. Сул тал нь зөөвөрлөгчийн үнэ байдаг. QIC соронзон хальснууд нь 8мм болон 4мм соронзон хальснуудтай 
 	харьцуулахад GB өгөгдлийн хадгалалтын хувьд 5 дахин үнэтэй байдаг. Гэхдээ таны 
 	хэрэглээнд цөөн (half-dozen) соронзон хальснууд хангалттай бол QIC нь магадгүй зөв сонголт 
 	болж болох юм. QIC нь <emphasis>хамгийн</emphasis> нийтлэг соронзон хальсны хөтөч юм. 
 	Сайт бүр ямар нэг хэмжээний QIC хөтөчтэй байдаг. QIC нь физикийн хувьд төстэй (заримдаа адил) 
 	соронзон хальснуудад их хэмжээний нягтралтай байдаг. QIC хөтчүүд нь чимээгүй биш юм. 
 	Эдгээр хөтчүүд нь өгөгдлийг бичиж эхлэхээсээ өмнө дуутайгаар хайдаг бөгөөд 
 	унших, бичих эсвэл хайхдаа мэдэгдэхүйц дуутай байдаг. QIC соронзон хальснууд нь 
 	6&nbsp;x 4&nbsp;x 0.7 инч (152 x 102 x 17 мм) хэмжээтэй байдаг.</para>
 
       <para>Өгөгдлийн дамжуулах чадвар ~150&nbsp;kB/s-с ~500&nbsp;kB/s хүртэл байна. 
 	Өгөгдлийн багтаамж 40&nbsp;MB-с 15&nbsp;GB хүртэл байна. Шинэ QIC хөтчүүдийн 
 	ихэнхэд тоног төхөөрөмжийн шахалт байдаг. QIC хөтчүүд нь бага суулгагддаг; тэдгээр нь 
 	DAT хөтчүүдээр шахагдсан юм.</para>
 
       <para>Өгөгдөл нь соронзон хальс уруу замаар бичигддэг. Замууд нь соронзон хальсны зөөвөрлөгчийн нэг төгсгөлөөс 
 	нөгөө уруу урт тэнхлэгийн дагуу байдаг. Замуудын тоо болон замын өргөн соронзон хальсны багтаамжаас 
 	хамаарч өөр өөр байдаг. Бүх шинэ хөтчүүдийн ихэнх нь хамгийн багадаа бодоход уншилтын 
 	(ихэнхдээ бас бичилтийн хувьд) хуучинтайгаа нийцтэй байдаг. QIC нь өгөгдлийн аюулгүй 
 	байдлын хувьд нэлээн нэр хүндтэй байдаг (механизм нь хөтчүүдийг мушгиа скан хийснээс 
 	илүү хялбар бөгөөд хүчирхэг байдаг).</para>
 
       <para>5,000 нөөцлөлтийн дараа соронзон хальснуудыг ашиглахаа болих шаардлагатай.</para>
     </sect2>
 
     <sect2 id="backups-tapebackups-dlt">
       <title>DLT</title>
       <indexterm>
         <primary>соронзон хальс зөөвөрлөгч</primary>
 	<secondary>DLT</secondary>
       </indexterm>
 
       <para>DLT нь энд жагсаагдсан бүх хөтчийн төрлүүдээс хамгийн хурдан өгөгдөл дамжуулах 
 	чадвартай байдаг. 1/2" (12.5мм) соронзон хальс нь ганц дамартай хайрцагт 
 	(4 x 4 x 1 инч; 100 x 100 x 25 мм) байдаг. Хайрцаг нь нэг талаараа 
 	ганхах хаалгатай байдаг. Хөтчийн механизм соронзон хальсны тэргүүнийг гаргаж авахын тулд 
 	энэ хаалгыг онгойлгодог. Соронзон хальсны тэргүүн нь зууван нүхтэй байх бөгөөд 
 	хөтөч соронзон хальсыг <quote>дэгээдэхдээ</quote> үүнийг  ашигладаг. Авах (take-up) 
 	дамар нь соронзон хальсны хөтчийн дотор байрладаг. Энд жагсаагдсан 
 	бусад соронзон хальсны хайрцагнууд (9 замтай соронзон хальснууд нь жич юм) нь соронзон хальсны хайрцган дотор 
 	байрлах хангах болон take-up дамруудтай  байдаг.</para>
 
       <para>Өгөгдөл дамжуулах чадвар нь ойролцоогоор 1.5&nbsp;MB/s бөгөөд 4мм, 8м,  QIC 
 	соронзон хальсны хөтчүүдийн дамжуулах чадвараас 3 дахин их байдаг. Өгөгдлийн багтаамж нь 
 	нэг хөтчийн хувьд 10&nbsp;GB-аас 20&nbsp;GB хүрдэг. Хөтчүүд нь олон соронзон хальс 
 	солигчид болон олон соронзон хальс хэлбэрээр байдаг, олон хөтөч бүхий соронзон хальсны сангууд нь 
 	нийтдээ 50&nbsp;GB-с 9&nbsp;TB хүртэл хадгалалт бүхий 5-аас 900 хүртэл соронзон хальснуудыг  
 	1-ээс 20 хүртэлх хөтчүүд дээр агуулдаг.</para>
 
       <para>Шахалттай бол DLT Төрөл 4 хэлбэршүүлэлт нь 70&nbsp;GB багтаамжийг 
 	дэмждэг.</para>
 
       <para>Өгөгдөл нь соронзон хальсны замууд дээр аялалын чиглэлийн дагуу (QIC соронзон хальснуудын адил) 
 	зэрэгцээгээр бичигддэг. Хоёр зам нэг удаа бичигддэг. Унших/бичих толгойны амьдрах хугацаа 
 	харьцангуй урт байдаг; соронзон хальс хөдлөхөө болиход толгой болон соронзон хальсны хоорондын 
 	хамаатай хөдөлгөөн байхгүй болно.</para>
     </sect2>
 
     <sect2>
       <title id="backups-tapebackups-ait">AIT</title>
       <indexterm>
         <primary>соронзон хальс зөөвөрлөгч</primary>
 	<secondary>AIT</secondary>
       </indexterm>
 
       <para>AIT нь Sony-гоос гаргасан шинэ хэлбэршүүлэлт бөгөөд нэг соронзон хальсны хувьд 50&nbsp;
 	GB хүртэл (шахалттайгаар) мэдээллийг агуулж чадна. Соронзон хальснууд нь санах ойн бичил 
 	схемүүдийг агуулдаг бөгөөд эдгээр нь соронзон хальсны агуулгын индексийг хадгалдаг. Бусад 
 	соронзон хальснуудын хувьд хэд хэдэн минут шаардагддаг бол харин энэ индексийг соронзон хальсны хөтөч 
 	соронзон хальс дээрх файлуудын байрлалыг тодорхойлохын тулд  маш хурдан уншдаг. 
 	<application>SAMS:Alexandria</application> зэрэг програм нь 
 	соронзон хальсны санах ойн бичил схемтэй шууд холбогдон агуулгыг дэлгэцэд гаргаж, ямар файлууд аль 
 	соронзон хальс уруу нөөцлөгдсөнийг тодорхойлж, зөв соронзон хальсыг олон ачаалж соронзон хальснаас өгөгдлийг 
 	сэргээн дөч болон түүнээс дээш AIT соронзон хальсны сангуудыг ажиллуулж чаддаг.</para>
 
       <para>Үүнтэй адил сангууд $20,000 хавьцаа үнэ хүрч тэдгээрийг сонирхогчдын зах зээлээс 
 	бага зэрэг шахдаг байна.</para>
     </sect2>
 
     <sect2>
       <title>Шинэ соронзон хальсыг анх удаа ашиглах нь</title>
 
       <para>Анхны удаа шинэ, хов хоосон соронзон хальсыг уншихыг оролдвол амжилтгүй болно. 
 	Консолын мэдэгдлүүд үүнтэй төстэй байна:</para>
 
       <screen>sa0(ncr1:4:0): NOT READY asc:4,1
 sa0(ncr1:4:0):  Logical unit is in process of becoming ready</screen>
 
       <para>Соронзон хальс нь Identifier Block буюу Танигч Блокийг (block number 0) 
 	агуулаагүй байна. Бүх QIC соронзон хальснууд нь QIC-525 стандартыг хэрэглэж эхэлснээс 
 	хойш Танигч Блокийг соронзон хальсанд бичдэг. Хоёр шийдэл байдаг:</para>
 
       <itemizedlist>
 	<listitem>
 	  <para><command>mt fsf 1</command> тушаал нь Танигч Блокийг соронзон хальс уруу 
 		бичихийг соронзон хальсны хөтчид хэлнэ.</para>
 	</listitem>
 
 	<listitem>
 	  <para>Нүүрний товчлуурыг ашиглан соронзон хальсыг гаргаж авна.</para>
 
 	  <para>Соронзон хальсыг дахин хийгээд түүн уруу өгөгдлийг 
 		<command>dump</command> хийнэ.</para>
 
 	  <para><command>dump</command> тушаал нь <errorname>DUMP: End of tape
 	    detected</errorname> гэж мэдэгдэх бөгөөд консол <errorname>HARDWARE
 	    FAILURE info:280 asc:80,96</errorname> гэж харуулна.</para>
 
 	  <para><command>mt rewind</command> тушаал ашиглан соронзон хальсыг буцаана.</para>
 
 	  <para>Дараа дараачийн соронзон хальсны үйлдлүүд амжилттай болно.</para>
 	</listitem>
       </itemizedlist>
 
     </sect2>
   </sect1>
 
   <sect1 id="backups-floppybackups">
     <title>Уян диск уруу нөөцлөх</title>
 
     <sect2 id="floppies-using">
       <title>Өөрийн өгөгдлийг нөөцлөхийн тулд би уян дискнүүдийг ашиглаж болох уу?</title>
       <indexterm><primary>нөөц уян дискнүүд</primary></indexterm>
       <indexterm><primary>уян дискнүүд</primary></indexterm>
 
       <para>Уян дискнүүд нь нөөц хийхэд тийм ч тохиромжтой зөөвөрлөгч биш юм, учир нь:</para>
 
       <itemizedlist>
 	<listitem>
 	  <para>Энэ зөөвөрлөгч нь найдваргүй, ялангуяа урт хугацааны туршид найдваргүй 
 		байдаг.</para>
 	</listitem>
 
 	<listitem>
 	  <para>Нөөцлөх болон буцааж сэргээх нь их удаан байдаг.</para>
 	</listitem>
 
 	<listitem>
 	  <para>Тэдгээр нь маш хязгаарлагдмал багтаамжтай (бүхэл бүтэн хатуу дискийг хэдэн арван 
 		уян дискэнд нөөцлөх нь их олон өдөр шаардана).</para>
 	</listitem>
       </itemizedlist>
 
       <para>Гэхдээ хэрэв танд өөрийн өгөгдлийг нөөцлөх өөр ямар ч арга байхгүй бол 
 	уян дискнүүдэд нөөцлөх нь нөөц хийхгүй байснаас хамаагүй дээр юм.</para>
 
       <para>Хэрэв та уян дискнүүд ашиглах шаардлагатай болсон бол сайн чанарынхыг 
 	ашигласан эсэхээ шалгах хэрэгтэй. Оффис дээр чинь хоёр жил хэвтсэн уян дискнүүд
 	муу сонголт болох юм. Нэр хүндтэй үйлдвэрлэгчээс гаргасан шинэ дискнүүдийг 
 	ашиглах нь зүйтэй юм.</para>
     </sect2>
 
     <sect2 id="floppies-creating">
       <title>Тэгэхээр би өөрийн өгөгдлийг уян диск уруу хэрхэн нөөцлөх вэ?</title>
 
       <para>Уян диск уруу нөөцлөх хамгийн шилдэг арга нь &man.tar.1; тушаалыг 
 	<option>-M</option> (олон эзлэхүүн) тохируулгатайгаар ашиглах 
 	явдал юм. Энэ нь олон уян дискнүүдэд нөөцлөх боломжийг олгодог.</para>
 
       <para>Тухайн сан болон дэд сан доторх бүх файлуудыг нөөцлөхийн тулд үүнийг 
 	ашиглах хэрэгтэй (<username>root</username> хэрэглэгчээр):</para>
 
       <screen>&prompt.root; <userinput>tar Mcvf /dev/fd0 *</userinput></screen>
 
       <para>Эхний уян диск дүүрсний дараа &man.tar.1; нь дараагийн эзлэхүүнийг 
 	оруулахыг хүсэх болно (учир нь &man.tar.1; нь зөөвөрлөгчөөс хамааралгүй бөгөөд 
 	эзлэхүүнүүдэд ханддаг; энд уян дискийг хэлж байна).</para>
 
       <screen>Prepare volume #2 for /dev/fd0 and hit return:</screen>
 
       <para>Энэ нь заагдсан файлууд архивлагдах хүртэл (эзлэхүүний дугаар нэмэгдэн) 
 	давтагдах болно.</para>
     </sect2>
 
     <sect2 id="floppies-compress">
       <title>Би өөрийнхөө нөөцүүдийг шахаж болох уу?</title>
       <indexterm>
         <primary><command>tar</command></primary>
       </indexterm>
       <indexterm>
         <primary><command>gzip</command></primary>
       </indexterm>
       <indexterm><primary>шахалт</primary></indexterm>
 
       <para>Харамсалтай нь &man.tar.1; нь олон эзлэхүүн бүхий архивуудын хувьд 
 	<option>-z</option> тохируулгыг ашиглахыг зөвшөөрдөггүй. Мэдээж та 
 	бүх файлуудыг &man.gzip.1; хийж тэдгээрийг уян диск уруу &man.tar.1; 
 	хийж дараа нь файлуудыг дахин &man.gunzip.1; хийж болно!</para>
     </sect2>
 
     <sect2 id="floppies-restoring">
       <title>Би өөрийн нөөцүүдийг хэрхэн сэргээх вэ?</title>
 
       <para>Бүхэл архивыг сэргээхдээ дараах тушаалыг ашиглана:</para>
 
       <screen>&prompt.root; <userinput>tar Mxvf /dev/fd0</userinput></screen>
 
       <para>Зөвхөн заагдсан файлуудыг сэргээх хоёр арга байдаг бөгөөд та 
 	тэдгээрийг ашиглаж болно. Эхлээд та эхний дискнээс эхлээд дараах тушаалыг 
 	ашиглана:</para>
 
       <screen>&prompt.root; <userinput>tar Mxvf /dev/fd0 <replaceable>filename</replaceable></userinput></screen>
 
       <para>&man.tar.1; хэрэгсэл нь шаардлагатай файлыг олох хүртлээ дараа дараагийн уян дискнүүдийг 
 	хийхийг танаас хүсэх болно.</para>
 
       <para>Өөрөөр, хэрэв та файл нь яг аль уян диск дээр байгааг мэдэж байвал 
 	ердөө л тэр уян дискийг оруулж дээрхтэй адил тушаалыг ашиглах хэрэгтэй.
 	Хэрэв уян диск дээрх эхний файл нь өмнөх диск дээрхийн үргэлжлэл бол 
 	таныг асуугаагүй байсан ч гэсэн &man.tar.1; үүнийг сэргээж чадахгүй 
 	гэж танд анхааруулах болно!</para>
     </sect2>
   </sect1>
 
   <sect1 id="backup-strategies">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Лоуэл</firstname>
 	  <surname>Жилбэрт</surname>
 	  <contrib>Анхлан хийсэн </contrib>
 	</author>
       </authorgroup>
       <!-- 3 Dec 2005 -->
     </sect1info>
 
     <title>Нөөцлөх стратегууд</title>
 
     <para>Нөөцлөх төлөвлөгөөг боловсруулах эхний шаардлага нь дараах бүх асуудлуудыг 
 	хамарсан эсэхийг шалгах явдал юм:</para>
 
     <itemizedlist>
       <listitem>
 	<para>Дискний гэмтэл</para>
       </listitem>
       <listitem>
 	<para>Санамсаргүй файл устгалт</para>
       </listitem>
       <listitem>
 	<para>Санамсаргүй файлын эвдрэл</para>
       </listitem>
       <listitem>
 	<para>Газар дээрх нөөцүүд байвал тэдгээрийг оруулаад машины 
 	бүрэн сүйрэл (өөрөө хэлбэл гал).</para>
       </listitem>
     </itemizedlist>
 
     <para>Эдгээр асуудал бүрийг шал өөр техникээр шийдэснээр зарим системүүдийг 
 	илүүтэй ажиллуулах төгс боломж байж болох юм. Маш бага үнэ цэнэтэй 
 	өгөгдөл бүхий чанга хувийн системүүдийг тооцохгүй юм бол нэг техник нь 
 	бүх асуудлуудыг хамрах нь бараг боломжгүй юм.</para>
 
     <para>Хэрэгслийн хайрцаг дахь зарим нэг техникүүдийг дурдвал:</para>
 
     <itemizedlist>
       <listitem>
 	<para>Бүх системийн архивууд нь сайтаас гадна байнгын зөөвөрлөгчид 
 	нөөцлөгдөнө. Энэ нь дээр дурдсан бүх асуудлуудаас хамгаалах боловч 
 	сэргээх нь тохиромжгүй удаан байдаг. Та нөөцүүдийн хуулбаруудыг 
 	газар дээр нь ба/эсвэл шууд авч болохоор хадгалж болох боловч 
 	файлуудыг сэргээх нь ялангуяа зөвшөөрөгдөөгүй хэрэглэгчдэд 
 	бас л тохиромжгүй хэвээр байдаг.</para>
       </listitem>
 
       <listitem>
 	<para>Файлын системийн хормын хувилбарууд. Энэ нь яг үнэндээ зөвхөн 
 	санамсаргүйгээр файлыг устгасан тохиолдолд тустай, гэхдээ 
 	энэ нь тийм тохиолдолд <emphasis>маш</emphasis> тус болохуйц 
 	байдаг бөгөөд хурдан, ажиллахад хялбар байдаг.</para>
       </listitem>
 
       <listitem>
 	<para>Бүх файлын систем ба/эсвэл дискнүүдийн хуулбарууд (бүхэл машины үе үе давтагдах 
 	&man.rsync.1;). Энэ нь ерөнхийдөө онцгой шаардлага бүхий сүлжээнүүдэд хамгийн 
 	ашигтай байдаг. Дискний эвдрэл, гэмтлийн эсрэг ерөнхий хамгаалалтын хувьд 
 	энэ нь ихэвчлэн <acronym>RAID</acronym>-с чанарын хувьд муу байдаг. Санамсаргүйгээр 
 	устгасан файлуудыг сэргээхэд энэ нь <acronym>UFS</acronym> хормын хувилбартай 
 	дүйцэхээр боловч та алийг дээдэлдгээс хамаарах юм.</para>
       </listitem>
 
       <listitem>
 	<para><acronym>RAID</acronym>.  Диск эвдрэх, гэмтэх үед зогсох хугацааг 
 	багасгаж зайлсхийдэг. Маш бага шаардлагатай хэдий ч дискний эвдрэлүүдтэй илүүтэй 
 	зууралдах (учир нь та олон дисктэй) хэрэгтэй болдог.</para>
       </listitem>
 
       <listitem>
 	<para>Файлуудын байрлалыг (хурууны хээ) шалгах. Үүнд &man.mtree.8; хэрэгсэл их 
 	ашигтай байдаг. Энэ нь нөөцлөх техник биш боловч танд өөрийн нөөцүүддээ хандахаар 
 	болох үед та хэрэг болох болно. Энэ нь сайтаас гаднах шууд 
 	бус нөөцүүдийн хувьд ялангуяа чухал бөгөөд үе үе шалгагдаж байх ёстой.</para>
       </listitem>
     </itemizedlist>
 
     <para>Үүнээс илүү олон техникийг бодож олох нь амархан бөгөөд тэдгээрийн 
 	ихэнх нь дээр дурдсан техникүүдийн өөр хувилбарууд юм. Тусгайлсан шаардлагууд нь 
 	ихэвчлэн тусгайлсан техникт хүргэдэг (жишээ нь шууд ажиллаж байгаа мэдээллийн 
 	баазыг нөөцлөх нь зөвхөн мэдээллийн санд зориулагдсан аргыг дундын шат 
 	болгон ихэвчлэн ашиглахыг шаарддаг). Ямар аюулуудаас та хамгаалахыг хүсэж байгаа болон 
 	тэдгээр тус бүртэй хэрхэн ажиллахаа мэдэх нь чухал юм.</para>
   </sect1>
 
   <sect1 id="backup-basics">
     <title>Нөөцлөлтийн үндсүүд</title>
 
     <para>Гурван гол нөөцлөх програм бол &man.dump.8;, &man.tar.1; болон 
 	&man.cpio.1; юм.</para>
 
     <sect2>
       <title>Dump ба Restore</title>
       <indexterm>
         <primary>нөөцлөх програм хангамж</primary>
 	<secondary>dump / restore</secondary>
       </indexterm>
       <indexterm><primary><command>dump</command></primary></indexterm>
       <indexterm><primary><command>restore</command></primary></indexterm>
 
       <para>Уламжлалт &unix; нөөцлөх програмууд нь <command>dump</command> ба 
 	<command>restore</command> юм. Тэдгээр нь файлын системүүдээр үүсгэгдсэн 
 	файлууд, холбоосууд болон сангуудын хийсвэр ойлголтуудын доор хөтчүүд дээр дискний 
 	блокуудын цуглуулга хэлбэрээр ажилладаг. <command>dump</command> нь 
 	төхөөрөмж дээрх бүхэл файлын системийг нөөцөлдөг. Файлын системийн зөвхөн 
 	хэсгийг эсвэл нэгээс илүү файлын систем дагуу байрлах сангийн модыг энэ нь нөөцөлж 
 	чаддаггүй. <command>dump</command> нь файлууд болон сангуудыг соронзон хальс уруу 
 	бичдэггүй, харин файлууд болон сангуудаас тогтох түүхий өгөгдлийн блокуудыг 
 	бичдэг.</para>
 
       <note><para>Хэрэв та өөрийн root сандаа <command>dump</command>-г 
 	хэрэглэвэл та <filename>/home</filename>,
         <filename>/usr</filename> эсвэл бусад олон сангуудыг нөөцлөхгүй бөгөөд 
 	үүний учир бол эдгээр нь ихэвчлэн бусад файлын системүүдийн холбох цэгүүд буюу 
 	эсвэл тэдгээр файлын системүүд уруу заасан симболын холбоосууд байдаг.</para></note>
 
       <para><command>dump</command> нь өөрийн хөгжлийн эхний өдрүүд болох 
 	AT&amp;T UNIX-ийн 6-р хувилбараас (1975 он орчим) үлдсэн кодтой 
 	байдаг. Анхдагч параметрүүд нь өнөөдөр байгаа өндөр нягтралтай (62,182 ftpi хүртэл) 
 	зөөвөрлөгчид биш 9 зам (6250 bpi) бүхий соронзон хальсанд тохирдог. Одоогийн соронзон хальсны 
 	хөтчүүдийн багтаамжийг хэрэглэхийн тулд эдгээр анхдагчуудыг тушаалын мөрөөс дарж 
 	өөрчлөх ёстой.</para>
 
       <indexterm><primary><filename>.rhosts</filename></primary></indexterm>
       <para>Мөн сүлжээгээр өөр компьютерт холбогдсон соронзон хальсны хөтөч уруу өгөгдлийг 
 	<command>rdump</command> болон <command>rrestore</command> 
 	тушаал ашиглан нөөцлөх боломжтой байдаг. Энэ хоёр програм нь алсын соронзон хальсны 
 	хөтчид хандахдаа &man.rcmd.3; болон &man.ruserok.3;-д тулгуурладаг. 
 	Тиймээс нөөцлөлтийг хийж байгаа хэрэглэгч алсын компьютерийн 
 	<filename>.rhosts</filename> файл дотор жагсаагдсан байх ёстой. 
 	<command>rdump</command> болон <command>rrestore</command> 
 	тушаалуудад өгөх нэмэлт өгөгдлүүд нь алсын компьютер дээр ашиглаж болохоор 
 	байх ёстой. <hostid>komodo</hostid> гэж нэрлэгдсэн Sun уруу холбогдсон 
 	Exabyte соронзон хальсны хөтөч уруу FreeBSD компьютераас <command>rdump</command> 
 	хийхдээ дараах тушаалыг ашиглана:</para>
 
       <screen>&prompt.root; <userinput>/sbin/rdump 0dsbfu 54000 13000 126 komodo:/dev/nsa8 /dev/da0a 2>&amp;1</userinput></screen>
 
       <para>Болгоомжлоорой: <filename>.rhosts</filename> танин нэвтрэлтийг 
 	зөвшөөрөх нь аюулгүй байдлын асуудлууд үүсгэдэг. Өөрийн нөхцөл байдлыг 
 	анхааралтай үнэлэх хэрэгтэй.</para>
 
       <para>Мөн <command>dump</command> болон <command>restore</command> 
 	тушаалыг илүү аюулгүй загвараар <command>ssh</command> дээгүүр ашиглах 
 	бас боломжтой байдаг.</para>
 
       <example>
 	<title><application>ssh</application>-ээр <command>dump</command>-г ашиглах нь</title>
 
 	<screen>&prompt.root; <userinput>/sbin/dump -0uan -f - /usr | gzip -2 | ssh -c blowfish \
           targetuser@targetmachine.example.com dd of=/mybigfiles/dump-usr-l0.gz</userinput></screen>
 
       </example>
 
       <para>Эсвэл <command>dump</command>-ийн дотор байдаг нэг арга болох <envar>RSH</envar> орчны хувьсагчийг 
 	тохируулан ашиглаж болно:</para>
 
       <example>
 	<title><application>ssh</application>-ээр <envar>RSH</envar> тохируулан <command>dump</command>-г 
 		ашиглах нь</title>
 
 	<screen>&prompt.root; <userinput>RSH=/usr/bin/ssh /sbin/dump -0uan -f targetuser@targetmachine.example.com:/dev/sa0 /usr</userinput></screen>
 
       </example>
 
     </sect2>
 
     <sect2>
       <title><command>tar</command></title>
       <indexterm>
         <primary>нөөцлөх програм хангамж</primary>
         <secondary><command>tar</command></secondary>
       </indexterm>
 
       <para>&man.tar.1; нь бас AT&amp;T UNIX-ийн 6-р хувилбараас (1975 он орчим) 
 	эхтэй. <command>tar</command> нь файлын системтэй хамт ажилладаг; 
 	энэ нь файлууд болон сангуудыг соронзон хальс уруу бичдэг. <command>tar</command> 
 	нь &man.cpio.1;-д байдаг бүрэн хэмжээний тохируулгуудыг дэмждэггүй боловч 
 	энэ нь <command>cpio</command>-ийн хэрэглэдэг ховор тушаалын дамжуулах 
 	хоолойг шаарддаггүй.</para>
 
       <indexterm><primary><command>tar</command></primary></indexterm>
 
       <para>FreeBSD 5.3 болон түүнээс хойшх хувилбарт GNU <command>tar</command> 
 	болон анхдагч <command>bsdtar</command> тушаалууд байдаг. GNU хувилбарыг 
 	<command>gtar</command> гэж ажиллуулж болдог. Энэ нь <command>rdump</command>-тай 
 	адил дүрмийг ашиглаж алсын төхөөрөмжүүдийг дэмждэг. 
 	<hostid>komodo</hostid> гэж нэрлэгдсэн Sun уруу холбогдсон 
 	Exabyte соронзон хальсны хөтөч уруу <command>tar</command> 
 	хийхдээ дараах тушаалыг ашиглана:</para>
 
       <screen>&prompt.root; <userinput>/usr/bin/gtar cf komodo:/dev/nsa8 . 2>&amp;1</userinput></screen>
 
       <para>Алсын соронзон хальсны хөтөч уруу өгөгдлийг илгээхдээ <command>rsh</command> болон 
 	дамжуулах хоолой ашиглан <command>bsdtar</command> тушаалаар үүнийг бас 
 	хийж болно.</para>
 
       <screen>&prompt.root; <userinput>tar cf - . | rsh <replaceable>hostname</replaceable> dd of=<replaceable>tape-device</replaceable> obs=20b</userinput></screen>
 
       <para>Хэрэв та сүлжээгээр нөөцлөхийн аюулгүй байдалд санаа зовж байгаа бол 
 	<command>rsh</command>-ийн оронд <command>ssh</command> тушаалыг 
 	ашиглах хэрэгтэй.</para>
     </sect2>
 
     <sect2>
       <title><command>cpio</command></title>
       <indexterm>
         <primary>нөөцлөх програм хангамж</primary>
         <secondary><command>cpio</command></secondary>
       </indexterm>
 
       <para>&man.cpio.1; нь соронзон зөөвөрлөгчид зориулагдсан &unix;-ийн 
 	анхны файл солилцох соронзон хальсны програм юм. <command>cpio</command> нь 
 	(бусад олон тохируулгуудын дотроос) байт солилцохыг хийх, хэд хэдэн төрлийн 
 	архивын хэлбэршүүлэлтүүдийг бичих болон өгөгдлийг өөр програм уруу хоолойгоор 
 	гаргах зэрэг тохируулгуудтай байдаг. Сүүлийн боломж нь <command>cpio</command>-г 
 	суулгацын зөөвөрлөгчийн хувьд сайн сонголт болгодог. <command>cpio</command> нь 
 	сангийн модоор хэрхэн явахаа мэддэггүй бөгөөд файлуудын жагсаалтыг 
 	<filename>stdin</filename>-ээс хангаж өгөх ёстой.</para>
       <indexterm><primary><command>cpio</command></primary></indexterm>
 
       <para><command>cpio</command> нь сүлжээгээр нөөцлөхийг дэмждэггүй. 
 	Та дамжуулах хоолой болон <command>rsh</command>-ийг ашиглаж өгөгдлийг 
 	алсын соронзон хальсны хөтөч уруу илгээж болно.</para>
 
       <screen>&prompt.root; <userinput>for f in <replaceable>directory_list; do</replaceable></userinput>
 <userinput>find $f &gt;&gt; backup.list</userinput>
 <userinput>done</userinput>
 &prompt.root; <userinput>cpio -v -o --format=newc &lt; backup.list | ssh <replaceable>user</replaceable>@<replaceable>host</replaceable> "cat &gt; <replaceable>backup_device</replaceable>"</userinput></screen>
 
       <para><replaceable>directory_list</replaceable> нь таны нөөцлөхийг хүссэн 
 	сангуудын жагсаалт бол
 	<replaceable>user</replaceable>@<replaceable>host</replaceable> нь 
 	нөөцлөлтийг хийж байгаа хэрэглэгч/хостын нэрийн хослол бөгөөд 
 	<replaceable>backup_device</replaceable> нь нөөцлөлт хийгдэх төхөөрөмж 
 	(өөрөөр хэлбэл <filename>/dev/nsa0</filename>) юм.</para>
     </sect2>
 
     <sect2>
       <title><command>pax</command></title>
       <indexterm>
         <primary>нөөцлөх програм хангамж</primary>
         <secondary><command>pax</command></secondary>
       </indexterm>
       <indexterm><primary><command>pax</command></primary></indexterm>
       <indexterm><primary>POSIX</primary></indexterm>
       <indexterm><primary>IEEE</primary></indexterm>
 
       <para>&man.pax.1; нь <command>tar</command> болон <command>cpio</command> 
 	тушаалын IEEE/&posix;-ийн хариулт юм. Жил ирэх тутам <command>tar</command> болон 
 	<command>cpio</command> тушаалуудын төрөл бүрийн хувилбарууд нь хоорондоо мэдэгдэхүйц 
 	нийцгүй болж ирсэн юм. Тэдгээртэй тэмцэж бүр мөсөн стандартчилахын оронд 
 	&posix; нь архивын шинэ хэрэгсэл үүсгэсэн юм. <command>pax</command> нь 
 	өөрийн шинэ хэлбэршүүлэлтээс гадна <command>cpio</command> болон <command>tar</command> 
 	тушаалуудын төрөл бүрийн хэлбэршүүлэлтийн ихэнхийг уншиж бичихийг оролддог. 
 	Энэ тушаалын олонлог нь  <command>tar</command> тушаалынхтай биш харин 
 	<command>cpio</command> тушаалынхтай илүү төстэй байдаг.</para>
     </sect2>
 
     <sect2 id="backups-programs-amanda">
       <title><application>Amanda</application></title>
       <indexterm>
         <primary>нөөцлөх програм хангамж</primary>
         <secondary><application>Amanda</application></secondary>
       </indexterm>
       <indexterm><primary><application>Amanda</application></primary></indexterm>
 
       <!-- Remove link until <port> tag is available -->
       <para><application>Amanda</application> (Advanced Maryland
         Network Disk Archiver) нь нэг програм биш клиент/сервер програм юм. 
 	<application>Amanda</application> сервер нь ганц соронзон хальсны хөтөч уруу 
 	<application>Amanda</application> клиенттэй, <application>Amanda</application> 
 	сервер уруу сүлжээгээр холбогдсон дурын тооны компьютерийг нөөцлөх болно. 
 	Хэд хэдэн том дискнүүд бүхий сайтууд дээр байдаг нийтлэг асуудлууд нь өгөгдлийг 
 	соронзон хальс уруу нөөцлөхөд шаардагдах хугацаа  нь уг үйлдлийн хувьд зориулагдсан 
 	хугацаанаас илүү гарах явдал юм. <application>Amanda</application> нь 
 	энэ асуудлыг шийддэг. <application>Amanda</application> нь 
 	хэд хэдэн файлын системүүдийг нэг зэрэг нөөцлөхдөө <quote>holding disk буюу хүлээгдэх диск</quote>ийг
 	ашигладаг. <application>Amanda</application> нь 
 	<quote>архивын олонлогууд</quote> буюу <application>Amanda</application>-ийн 
 	тохиргооны файлд жагсаагдсан бүх файлын системүүдийн бүрэн нөөцлөлтүүдийг үүсгэхэд хэсэг хугацаанд 
 	хэрэглэгдсэн бүлэг соронзон хальснуудыг үүсгэдэг. <quote>Архивын олонлогууд</quote> нь бас 
 	файлын системүүдийн шөнө болгоны нэмэгдсэн (эсвэл ялгаатай) нөөцлөлтүүдийг агуулдаг. 
 	Эвдэрсэн файлын системийг сэргээх нь хамгийн сүүлийн бүрэн нөөцлөлт болон нэмэгдсэн 
 	нөөцлөлтүүдийг шаарддаг.</para>
 
       <para>Тохиргооны файл нь нөөцлөлтүүд болон <application>Amanda</application>-ийн 
 	үүсгэдэг сүлжээний урсгалыг нарийн хянах боломжийг хангадаг. <application>Amanda</application>
 	нь өгөгдлийг соронзон хальс уруу бичихийн тулд дээр дурдсан нөөцлөлтийн програмуудыг 
 	ашиглана. <application>Amanda</application> нь порт эсвэл багц хэлбэрээр 
 	байдаг бөгөөд анхдагчаар суулгагдаагүй байдаг.</para>
       </sect2>
 
     <sect2>
       <title>Юу ч хийхгүй байх</title>
 
       <para><quote>Юу ч хийхгүй байх</quote> нь компьютерийн програм биш боловч энэ нь 
 	хамгийн их ашиглагддаг нөөцлөлтийн стратеги юм. Ямар ч эхний зардал байхгүй. 
 	Мөрдөх нөөцлөлтийн төлөвлөгөө байхгүй. Зүгээр л үгүй гэх хэрэгтэй. Хэрэв таны 
 	өгөгдөлд ямар нэг асуудал тохиолдвол шүд зуугаад л тэвчих хэрэгтэй!</para>
 
       <para>Хэрэв таны цаг болон өгөгдөл нь тийм ч чухал биш эсвэл юу ч биш бол 
 	<quote>Do nothing буюу юу ч хийхгүй байх</quote> нь таны компьютерийн 
 	хувьд хамгийн тохиромжтой нөөцлөлтийн програм болох юм. Гэхдээ &unix; 
 	нь ашигтай хэрэгсэл юм, та зургаан сарын дотор үнэтэй файлуудын цуглуулгатай  болж 
 	үүнийг мэдрэх болно.</para>
 
       <para><quote>Юу ч хийхгүй байх</quote> нь <filename>/usr/obj</filename> 
 	болон таны компьютераар яг үүсгэгдэж болох бусад сангийн моднуудын хувьд зөв 
 	нөөцлөх арга болдог. Үүний жишээ нь энэ гарын авлагын  HTML эсвэл &postscript;-с
 	тогтох хувилбарын файлууд байж болох юм. Эдгээр баримтын хэлбэршүүлэлтүүд нь 
 	SGML оролтын файлуудаас үүсгэгддэг. HTML эсвэл &postscript; файлуудын 
 	нөөцлөлтийг үүсгэх нь шаардлагагүй юм. SGML файлууд нь байнга нөөцлөгддөг.</para>
     </sect2>
 
     <sect2>
       <title>Аль нөөцлөлтийн програм хамгийн шилдэг нь вэ?</title>
       <indexterm>
         <primary>LISA</primary>
       </indexterm>
 
       <para>&man.dump.8; <emphasis>Үе.</emphasis> Элизабет Д. Звики
 	энд дурдагдсан бүх нөөцлөлтийн програмуудыг зовоосон тест хийсэн. Өөрийн бүх өгөгдөл 
 	болон &unix; файлын системүүдийн онцлогуудыг хадгалах цэвэр сонголт бол 
 	<command>dump</command> болсон байна. Элизабет маш их төрөл бүрийн ховор 
 	нөхцөлүүдийг  (зарим нь тийм ч ховор биш) агуулсан файлын системүүдийг үүсгэж 
 	тэдгээр файлын системүүдийг нөөцлөн дараа нь сэргээж програм бүрийг тест хийсэн 
 	байна. Онцгой зүйлүүдэд цоорхойтой файлууд, хоосон блоктой болон цоорхойтой 
 	файлууд, сонин тэмдэгт бүхий нэрээс тогтсон файлууд, бичигдэх боломжгүй уншигдах 
 	боломжгүй файлууд, төхөөрөмжүүд, нөөцлөлтийн үед хэмжээгээ өөрчлөх файлууд, 
 	нөөцлөлтийн үед үүсгэгдэж/устгагдсан файлууд зэргийг дурдаж болох юм. 
 	Тэрээр үр дүнгээ 1991 оны 10 сард LISA дээр үзүүлсэн байна. 
 	<ulink url="http://berdmann.dyndns.org/zwicky/testdump.doc.html">Нөөцлөлт 
 	болон Архивын програмуудыг зовоох тест</ulink> холбоосыг үзнэ үү.</para>
     </sect2>
 
     <sect2>
       <title>Яаралтай сэргээх процедур</title>
 
       <sect3>
 	<title>Гамшгийн өмнө</title>
 
 	<para>Учирч болзошгүй гамшигт бэлтгэхийн тулд таны хийх ёстой дөрвөн 
 	үе шат байдаг.</para>
 	<indexterm>
     <primary><command>bsdlabel</command></primary>
   </indexterm>
 
 	<para>Эхлээд өөрийн диск бүрийн bsdlabel
 	(өөрөөр хэлбэл <command>bsdlabel da0 | lpr</command>), өөрийн 
 	файлын системийн хүснэгт (<filename>/etc/fstab</filename>) болон 
 	бүх ачаалалтын мэдэгдлүүдийг тус бүр хоёр хувь хэвлэх хэрэгтэй.</para>
 
 	<indexterm><primary>fix-it уян дискнүүд</primary></indexterm>
 	<para>Дараа нь ачаалах болон уян дискнүүд 
 	(<filename>boot.flp</filename> болон <filename>fixit.flp</filename>) 
 	таны бүх төхөөрөмжүүдийг агуулсан эсэхийг тодорхойлно. Хамгийн хялбараар 
 	шалгах арга нь уян дискний хөтөчдөө ачаалах уян дискийг хийж дахин ачаалж ачаалалтын 
 	мэдэгдлүүдийг шалгах явдал юм. Хэрэв таны бүх төхөөрөмжүүд байгаад ажиллаж 
 	байвал гуравдугаар алхам уруу алгасаарай.</para>
 
 	<para>Эсрэг тохиолдолд та өөрийн бүх дискийг холбож таны соронзон хальсны хөтчид хандаж чадах 
 	цөм бүхий тусгайлсан хоёр ачаалагдах уян диск бэлдэх хэрэгтэй. Эдгээр уян дискнүүд нь 
 	<command>fdisk</command>, <command>bsdlabel</command>,
 	  <command>newfs</command>, <command>mount</command> болон 
 	таны ашигладаг програмуудыг агуулсан байх ёстой. Эдгээр програмууд нь 
 	статикаар холбогдсон байх ёстой. Хэрэв та <command>dump</command>-г 
 	ашигласан бол уян диск нь <command>restore</command>-г агуулсан байх 
 	ёстой.</para>
 
 	<para>Гуравдугаарт нөөц соронзон хальснуудыг байнга үүсгэж байх хэрэгтэй. Таны сүүлийн нөөцлөлтөөс 
 	хойш хийгдсэн өөрчлөлтүүд буцааж авагдах боломжгүйгээр алга болж болох юм. Нөөц 
 	соронзон хальснууд уруу хийж болзошгүй бичилтийг хамгаалах хэрэгтэй.</para>
 
 	<para>Дөрөвдүгээрт уян дискнүүд (<filename>boot.flp</filename> болон 
 	  <filename>fixit.flp</filename> аль эсвэл хоёрдугаар үе дээр таны хийсэн 
  	тусгайлсан хоёр ачаалагдах уян дискнүүд.) болон нөөц соронзон хальснуудыг тест хийнэ. 
 	Процедурынхаа талаар тэмдэглэгээ хийх хэрэгтэй. Эдгээр тэмдэглэгээнүүдээ 
 	ачаалагдах уян дискнүүд, хэвлэсэн зүйл болон нөөц соронзон хальснуудтайгаа цуг хадгалах 
 	хэрэгтэй. Сэргээж байх үед таны анхаарал их сарнисан байж болох бөгөөд тэдгээр 
 	тэмдэглэгээнүүд чинь таныг өөрийн нөөц соронзон хальснуудаа устгахаас сэргийлэх болно 
 	(Яаж? <command>tar xvf /dev/sa0</command> тушаалын оронд та 
 	санамсаргүйгээр <command>tar cvf /dev/sa0</command> гэж бичээд өөрийн 
 	нөөц соронзон хальсыг дарж бичиж болох юм).</para>
 
 	<para>Аюулгүй байдлын нэмэгдэл арга хэмжээ болгож тухайг бүрт нь ачаалагдах уян 
 	дискнүүд болон нөөц соронзон хальс хоёрыг бэлдэж байх хэрэгтэй. Тус бүрийг нь тусад нь алсад 
 	өөр газар хадгалах хэрэгтэй. Тэр өөр газар нь яг тэр оффисийн байрны подвал байх 
 	ЁСГҮЙ. Дэлхийн Худалдааны Төвийн хэд хэдэн фирм үүнийг хэцүү замаар мэдэрсэн 
 	юм. Тэр өөр газар нь таны компьютерууд болон дискний хөтчүүдээс тусгаарлагдсан 
 	физикийн хувьд нэлээд зайтай газар байх ёстой.</para>
 
 	<example>
 	  <title>Ачаалагдах уян диск үүсгэх скрипт</title>
 
 	<programlisting><![ CDATA [#!/bin/sh
 #
 # create a restore floppy
 #
 # format the floppy
 #
 PATH=/bin:/sbin:/usr/sbin:/usr/bin
 
 fdformat -q fd0
 if [ $? -ne 0 ]
 then
 	 echo "Bad floppy, please use a new one"
 	 exit 1
 fi
 
 # place boot blocks on the floppy
 #
 bsdlabel -w -B /dev/fd0c fd1440
 
 #
 # newfs the one and only partition
 #
 newfs -t 2 -u 18 -l 1 -c 40 -i 5120 -m 5 -o space /dev/fd0a
 
 #
 # mount the new floppy
 #
 mount /dev/fd0a /mnt
 
 #
 # create required directories
 #
 mkdir /mnt/dev
 mkdir /mnt/bin
 mkdir /mnt/sbin
 mkdir /mnt/etc
 mkdir /mnt/root
 mkdir /mnt/mnt			# for the root partition
 mkdir /mnt/tmp
 mkdir /mnt/var
 
 #
 # populate the directories
 #
 if [ ! -x /sys/compile/MINI/kernel ]
 then
 	 cat << EOM
 The MINI kernel does not exist, please create one.
 Here is an example config file:
 #
 # MINI -- A kernel to get FreeBSD onto a disk.
 #
 machine         "i386"
 cpu             "I486_CPU"
 ident           MINI
 maxusers        5
 
 options         INET                    # needed for _tcp _icmpstat _ipstat
                                         #            _udpstat _tcpstat _udb
 options         FFS                     #Berkeley Fast File System
 options         FAT_CURSOR              #block cursor in syscons or pccons
 options         SCSI_DELAY=15           #Be pessimistic about Joe SCSI device
 options         NCONS=2                 #1 virtual consoles
 options         USERCONFIG              #Allow user configuration with -c XXX
 
 config          kernel	root on da0 swap on da0 and da1 dumps on da0
 
 device          isa0
 device          pci0
 
 device          fdc0	at isa? port "IO_FD1" bio irq 6 drq 2 vector fdintr
 device          fd0	at fdc0 drive 0
 
 device          ncr0
 
 device          scbus0
 
 device          sc0	at isa? port "IO_KBD" tty irq 1 vector scintr
 device          npx0	at isa? port "IO_NPX" irq 13 vector npxintr
 
 device          da0
 device          da1
 device          da2
 
 device          sa0
 
 pseudo-device   loop            # required by INET
 pseudo-device   gzip            # Exec gzipped a.out's
 EOM
 	 exit 1
 fi
 
 cp -f /sys/compile/MINI/kernel /mnt
 
 gzip -c -best /sbin/init > /mnt/sbin/init
 gzip -c -best /sbin/fsck > /mnt/sbin/fsck
 gzip -c -best /sbin/mount > /mnt/sbin/mount
 gzip -c -best /sbin/halt > /mnt/sbin/halt
 gzip -c -best /sbin/restore > /mnt/sbin/restore
 
 gzip -c -best /bin/sh > /mnt/bin/sh
 gzip -c -best /bin/sync > /mnt/bin/sync
 
 cp /root/.profile /mnt/root
 
 chmod 500 /mnt/sbin/init
 chmod 555 /mnt/sbin/fsck /mnt/sbin/mount /mnt/sbin/halt
 chmod 555 /mnt/bin/sh /mnt/bin/sync
 chmod 6555 /mnt/sbin/restore
 
 #
 # create minimum file system table
 #
 cat > /mnt/etc/fstab <<EOM
 /dev/fd0a    /    ufs    rw  1  1
 EOM
 
 #
 # create minimum passwd file
 #
 cat > /mnt/etc/passwd <<EOM
 root:*:0:0:Charlie &:/root:/bin/sh
 EOM
 
 cat > /mnt/etc/master.passwd <<EOM
 root::0:0::0:0:Charlie &:/root:/bin/sh
 EOM
 
 chmod 600 /mnt/etc/master.passwd
 chmod 644 /mnt/etc/passwd
 /usr/sbin/pwd_mkdb -d/mnt/etc /mnt/etc/master.passwd
 
 #
 # umount the floppy and inform the user
 #
 /sbin/umount /mnt
 echo "The floppy has been unmounted and is now ready."]]></programlisting>
 
         </example>
 
       </sect3>
 
       <sect3>
 	<title>Гамшгийн дараа</title>
 
 	<para>Түлхүүр асуулт бол: таны тоног төхөөрөмж амьд гарч чадсан уу? Байнгын 
 	нөөцлөлт хийж байсан болохоор програм хангамжийн талаар та санаа зовох хэрэггүй 
 	юм.</para>
 
 	<para>Хэрэв тоног төхөөрөмж эвдэрсэн бол компьютерийг ашиглахаасаа өмнө 
 	эвдэрсэн хэсгүүдийг солих шаардлагатай.</para>
 
 	<para>Хэрэв таны тоног төхөөрөмж зүгээр байгаа бол уян дискнүүдээ шалгаарай. 
 	Хэрэв та тусгайлан өөрчилсөн ачаалах уян диск ашиглаж байгаа бол ганц хэрэглэгчийн 
 	горим уруу ачаалах хэрэгтэй (<prompt>boot:</prompt> хүлээх мөрөн дээр 
 	<literal>-s</literal> гэж бичнэ). Дараагийн хэсгийг алгасаарай.</para>
 
 	<para>Хэрэв та <filename>boot.flp</filename> болон 
 	<filename>fixit.flp</filename> уян дискнүүдийг ашиглаж байгаа бол 
 	цааш нь уншаарай. <filename>boot.flp</filename> уян дискээ эхний уян дискний 
 	хөтөчдөө хийгээд компьютераа ачаалах хэрэгтэй. Эхний суулгах цэс дэлгэц дээр гарах 
 	болно. <literal>Fixit--Repair mode with CDROM or floppy.</literal> 
 	тохируулгыг сонгоно. <filename>fixit.flp</filename>-г асуухад нь хийнэ. 
 	Танд хэрэгтэй <command>restore</command> болон бусад програмууд 
 	<filename class="directory">/mnt2/rescue</filename> санд байрлана
 	(5.2 хувилбараас хуучин &os;-ийн хувьд 
 	<filename class="directory">/mnt2/stand</filename>).</para>
 
 	<para>Файлын систем бүрийг тус тусад нь сэргээнэ.</para>
 
 	<indexterm>
     <primary><command>mount</command></primary>
   </indexterm>
 	<indexterm><primary>root хуваалт</primary></indexterm>
 	<indexterm>
     <primary><command>bsdlabel</command></primary>
   </indexterm>
 	<indexterm>
     <primary><command>newfs</command></primary>
   </indexterm>
 	<para>Өөрийн эхний дискний root хуваалтыг <command>mount</command> (өөрөөр хэлбэл 
 	<command>mount /dev/da0a /mnt</command>) хийхийг оролдоорой. Хэрэв bsdlabel 
 	эвдэрсэн бол <command>bsdlabel</command> тушаалыг ашиглан дискийг дахин 
 	хувааж таны хэвлэж хадгалсан шошготой адил тааруулж хаяглах хэрэгтэй. 
 	<command>newfs</command> тушаал ашиглан файлын системүүдийг дахин үүсгэнэ. 
 	Уян дискний root хуваалтыг унших-бичихээр дахин холбох хэрэгтэй (<command>mount -u -o rw
 	    /mnt</command>). Энэ файлын системийн хувьд өгөгдлийг сэргээхийн тулд
 	өөрийн нөөцлөх програм болон соронзон хальснуудыг ашиглана (өөрөөр хэлбэл <command>restore vrf
 	    /dev/sa0</command>). Файлын системийг салгана (өөрөөр хэлбэл <command>umount
 	    /mnt</command>). Эвдэрсэн файлын систем бүрийн хувьд давтана.</para>
 
 	<para>Таны систем ажилласны дараа өөрийн өгөгдлийг шинэ соронзон хальс уруу нөөцлөх хэрэгтэй. 
 	Сүйрэл эсвэл өгөгдлийн алдагдалд хүргэсэн тэр явдал дахин болж болох юм. Одоо зарцуулсан 
 	нэг цаг таныг зовлонд учрахаас хожим аварч болох юм.</para>
       </sect3>
 
 <![ %not.published; [
 
       <sect3>
 	<title>* I Did Not Prepare for the Disaster, What Now?</title>
 
 	<para></para>
       </sect3>
 ]]>
 
     </sect2>
   </sect1>
 
   <sect1 id="disks-virtual">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Марк</firstname>
 	  <surname>Фонвил</surname>
 	  <contrib>Дахин зохион байгуулж өргөжүүлсэн </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <title>Сүлжээ, санах ой болон файл дээр тулгуурласан файлын системүүд</title>
     <indexterm><primary>виртуал дискнүүд</primary></indexterm>
     <indexterm>
       <primary>дискнүүд</primary>
       <secondary>виртуал</secondary>
     </indexterm>
 
     <para>Өөрийн компьютер уруу физикээр хийж болдог уян диск, CD-үүд, хатуу хөтчүүд гэх зэрэг 
 	дискнүүдээс гадна бусад хэлбэрийн дискнүүд буюу  <firstterm>виртуал дискнүүд</firstterm>ийг 
 	FreeBSD ойлгодог.</para>
 
     <indexterm><primary>NFS</primary></indexterm>
     <indexterm><primary>Coda</primary></indexterm>
     <indexterm>
       <primary>дискнүүд</primary>
       <secondary>санах ой</secondary>
     </indexterm>
     <para>Эдгээрт <link linkend="network-nfs">Network File System буюу сүлжээний файлын систем</link> 
 	болон Coda зэрэг сүлжээний файлын системүүд, санах ой дээр тулгуурласан файлын 
 	системүүд болон файл дээр тулгуурласан файлын системүүд орно.</para>
 
     <para>FreeBSD-ийн ямар хувилбарыг ажиллуулж байгаагаас хамаарч та 
 	файл дээр болон санах ой дээр тулгуурласан файлын системүүдийг үүсгэж 
 	ашиглахдаа өөр өөр хэрэгслүүдийг хэрэглэх шаардлагатай болно.</para>
 
     <note>
       <para>Хэрэглэгчийн хувьд мэдэгдэлгүйгээр төхөөрөмжийн цэгүүдийг хуваарилахын тулд 
 	&man.devfs.5;-г ашиглана.</para>
     </note>
 
     <sect2 id="disks-mdconfig">
       <title>Файл дээр тулгуурласан файлын систем</title>
       <indexterm>
         <primary>дискнүүд</primary>
         <secondary>файл дээр тулгуурласан</secondary>
       </indexterm>
 
       <para>&man.mdconfig.8; хэрэгсэл нь FreeBSD дээр санах ой дээр тулгуурласан 
 	дискнүүд, &man.md.4;-г тохируулж идэвхжүүлэхэд хэрэглэгддэг.
 	&man.mdconfig.8;-г ашиглахын тулд та &man.md.4; модулийг ачаалах 
 	хэрэгтэй, эсвэл өөрийн цөмийн тохиргооны файлдаа дэмжлэгийг нэмэх 
 	хэрэгтэй болно:</para>
 
       <programlisting>device md</programlisting>
 
       <para>&man.mdconfig.8; тушаал нь гурван төрлийн санах ой дээр тулгуурласан 
 	виртуал дискийг дэмждэг: эдгээр нь &man.malloc.9;-р хуваарилагдсан санах 
 	ойн дискнүүд, файл эсвэл swap зай ашигласан санах ойн дискнүүд юм. 
 	Нэг боломжтой хэрэглээ нь файлд хадгалагдсан уян эсвэл CD дүрсийг 
 	холбох явдал юм.</para>
 
       <para>Байгаа файлын системийн дүрсийг холбохдоо:</para>
 
       <example>
 	<title><command>mdconfig</command> ашиглан байгаа файлын системийн дүрсийг холбох нь</title>
 
 	<screen>&prompt.root; <userinput>mdconfig -a -t vnode -f <replaceable>diskimage</replaceable> -u <replaceable>0</replaceable></userinput>
 &prompt.root; <userinput>mount /dev/md<replaceable>0</replaceable> <replaceable>/mnt</replaceable></userinput></screen>
       </example>
 
       <para>&man.mdconfig.8; ашиглан шинэ файлын системийн дүрсийг үүсгэхдээ:</para>
 
       <example>
 	<title><command>mdconfig</command> тушаал ашиглан шинэ файл дээр тулгуурласан диск үүсгэх нь</title>
 
 	<screen>&prompt.root; <userinput>dd if=/dev/zero of=<replaceable>newimage</replaceable> bs=1k count=<replaceable>5</replaceable>k</userinput>
 5120+0 records in
 5120+0 records out
 &prompt.root; <userinput>mdconfig -a -t vnode -f <replaceable>newimage</replaceable> -u <replaceable>0</replaceable></userinput>
 &prompt.root; <userinput>bsdlabel -w md<replaceable>0</replaceable> auto</userinput>
 &prompt.root; <userinput>newfs md<replaceable>0</replaceable>a</userinput>
 /dev/md0a: 5.0MB (10224 sectors) block size 16384, fragment size 2048
         using 4 cylinder groups of 1.25MB, 80 blks, 192 inodes.
 super-block backups (for fsck -b #) at:
  160, 2720, 5280, 7840
 &prompt.root; <userinput>mount /dev/md<replaceable>0</replaceable>a <replaceable>/mnt</replaceable></userinput>
 &prompt.root; <userinput>df <replaceable>/mnt</replaceable></userinput>
 Filesystem 1K-blocks Used Avail Capacity  Mounted on
 /dev/md0a       4710    4  4330     0%    /mnt</screen>
       </example>
 
       <para>Хэрэв та <option>-u</option> тохируулгаар нэгжийн дугаарыг 
 	зааж өгөхгүй юм бол &man.mdconfig.8; нь хэрэглэгдээгүй төхөөрөмжийг 
 	сонгохын тулд &man.md.4; автомат хуваарилалтыг ашиглах болно. 
 	Хуваарилагдсан нэгжийн нэр нь stdout уруу <devicename>md4</devicename> 
 	мэтээр гарах болно. &man.mdconfig.8;-ийн тухай дэлгэрэнгүй 
 	мэдээллийг гарын авлагын хуудаснаас лавлана уу.</para>
 
       <para>&man.mdconfig.8; хэрэгсэл нь их ашигтай, гэхдээ энэ нь 
 	файл дээр тулгуурласан файлын систем үүсгэхийн тулд олон тушаалын мөрийг 
 	асуудаг. FreeBSD нь бас &man.mdmfs.8; гэж нэрлэгддэг хэрэгсэлтэй 
 	ирдэг, энэ програм нь &man.md.4;-г &man.mdconfig.8; тушаал 
 	ашиглан тохируулж &man.newfs.8; ашиглан UFS файлын систем түүн 
 	дээр тавьж &man.mount.8; ашиглан түүнийг холбодог. Жишээ нь 
 	хэрэв та дээрхтэй ижил файлын системийн дүрсийг үүсгэж холбохыг 
 	хүсвэл ердөө л дараах тушаалыг бичээрэй:</para>
 
       <example>
 	<title><command>mdmfs</command> тушаал ашиглан файл дээр тулгуурласан дискийг тохируулж холбох нь</title>
 	<screen>&prompt.root; <userinput>dd if=/dev/zero of=<replaceable>newimage</replaceable> bs=1k count=<replaceable>5</replaceable>k</userinput>
 5120+0 records in
 5120+0 records out
 &prompt.root; <userinput>mdmfs -F <replaceable>newimage</replaceable> -s <replaceable>5</replaceable>m md<replaceable>0</replaceable> <replaceable>/mnt</replaceable></userinput>
 &prompt.root; <userinput>df <replaceable>/mnt</replaceable></userinput>
 Filesystem 1K-blocks Used Avail Capacity  Mounted on
 /dev/md0        4718    4  4338     0%    /mnt</screen>
       </example>
 
       <para>Хэрэв та <option>md</option> тохируулгыг нэгжийн дугааргүй 
 	ашиглавал &man.mdmfs.8; нь ашиглагдаагүй төхөөрөмжийг автоматаар 
 	сонгохдоо &man.md.4; авто-нэгж боломжийг ашиглах болно. 
 	&man.mdmfs.8;-ийн тухай дэлгэрэнгүй мэдээллийг гарын авлагын 
 	хуудаснаас лавлана уу.</para>
 
     </sect2>
 
     <sect2 id="disks-md-freebsd5">
       <title>Санах ой дээр тулгуурласан файлын систем</title>
       <indexterm>
         <primary>дискнүүд</primary>
         <secondary>санах ойн файлын систем</secondary>
       </indexterm>
 
       <para>Санах ой дээр тулгуурласан файлын системийн хувьд 
 	<quote>swap backing буюу swap дээрх тулгуурлалтыг</quote> 
 	ихэнхдээ ашиглах хэрэгтэй. swap дээрх тулгуурлалтыг ашиглах нь санах ойн 
 	диск нь анхдагчаар диск уруу swap хийгдэнэ гэсэн үг биш бөгөөд харин ердөө л санах 
 	ойн диск нь санах ойн цөөрмөөс хуваарилагдаж хэрэв хэрэгцээтэй бол диск уруу 
 	swap хийгдэж болно гэсэн үг юм. Мөн &man.malloc.9; дээр тулгуурласан 
 	санах ойн дискийг үүсгэх боломжтой байдаг. Гэхдээ malloc дээр тулгуурласан 
 	санах ойн дискнүүдийг, ялангуяа том хэмжээтэйг нь ашиглах нь цөм санах ойгүй 
 	болох тохиолдолд системийг сүйрэлд хүргэж болох юм.</para>
 
       <example>
 	<title><command>mdconfig</command> тушаал ашиглан шинэ санах ой 
 		дээр тулгуурласан диск үүсгэх нь</title>
 
 	<screen>&prompt.root; <userinput>mdconfig -a -t swap -s <replaceable>5</replaceable>m -u <replaceable>1</replaceable></userinput>
 &prompt.root; <userinput>newfs -U md<replaceable>1</replaceable></userinput>
 /dev/md1: 5.0MB (10240 sectors) block size 16384, fragment size 2048
         using 4 cylinder groups of 1.27MB, 81 blks, 192 inodes.
         with soft updates
 super-block backups (for fsck -b #) at:
  160, 2752, 5344, 7936
 &prompt.root; <userinput>mount /dev/md<replaceable>1</replaceable> <replaceable>/mnt</replaceable></userinput>
 &prompt.root; <userinput>df <replaceable>/mnt</replaceable></userinput>
 Filesystem 1K-blocks Used Avail Capacity  Mounted on
 /dev/md1        4718    4  4338     0%    /mnt</screen>
       </example>
 
       <example>
 	<title><command>mdmfs</command> тушаал ашиглан шинэ санах ой 
 		дээр тулгуурласан диск үүсгэх нь</title>
 	<screen>&prompt.root; <userinput>mdmfs -s <replaceable>5</replaceable>m md<replaceable>2</replaceable> <replaceable>/mnt</replaceable></userinput>
 &prompt.root; <userinput>df <replaceable>/mnt</replaceable></userinput>
 Filesystem 1K-blocks Used Avail Capacity  Mounted on
 /dev/md2        4846    2  4458     0%    /mnt</screen>
       </example>
     </sect2>
 
     <sect2>
       <title>Системээс санах ойн дискийг салгах нь</title>
       <indexterm>
         <primary>дискнүүд</primary>
         <secondary>санах ойн дискийг салгах нь</secondary>
       </indexterm>
 
       <para>Санах ой дээр тулгуурласан эсвэл файл дээр тулгуурласан файлын систем 
 	ашиглагдахгүй байгаа бол та бүх эх үүсвэрүүдийг системд суллаж өгөх 
 	шаардлагатай. Эхний хийх ёстой зүйл нь файлын системийг салгаад дараа нь 
 	&man.mdconfig.8; ашиглан дискийг системээс салгаж эх үүсвэрүүдийг 
 	суллана.</para>
 
       <para>Жишээ нь <filename>/dev/md4</filename>-г салгаж түүний хэрэглэсэн 
 	бүх эх үүсвэрүүдийг чөлөөлөхийн тулд дараах тушаалыг ажиллуулна:</para>
 
       <screen>&prompt.root; <userinput>mdconfig -d -u <replaceable>4</replaceable></userinput></screen>
 
       <para>Тохиргоо хийгдсэн &man.md.4; төхөөрөмжүүдийн тухай мэдээллийг 
 	<command>mdconfig -l</command> тушаал ашиглан жагсааж болно.</para>
     </sect2>
   </sect1>
 
   <sect1 id="snapshots">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
       <!-- 15 JUL 2002 -->
     </sect1info>
 
     <title>Файлын системийн хормын хувилбарууд</title>
 
     <indexterm>
       <primary>файлын системүүд</primary>
       <secondary>хормын хувилбарууд</secondary>
     </indexterm>
 
       <para>FreeBSD нь <link linkend="soft-updates">Soft Updates
 	буюу зөөлөн шинэчлэлтүүд</link>ийн хамт Файлын системийн хормын хувилбарууд
 	боломжийг санал болгодог.</para>
 
       <para>Хормын хувилбарууд нь заасан файлын системүүдийн дүрсийг үүсгэж 
 	тэдгээртэй файлтай ханддаг шиг хандах боломжийг хэрэглэгчид зөвшөөрдөг.
 	Хормын хувилбарын файлууд нь үйлдэл хийгдсэн файлын систем дээр 
 	үүсгэгдэх ёстой бөгөөд нэг файлын системийн хувьд 20-с ихгүй хормын 
 	хувилбаруудыг хэрэглэгч үүсгэж болно. Идэвхтэй хормын хувилбарууд нь 
 	супер блокт бичигддэг бөгөөд ингэснээр тэдгээр нь системийн дахин ачаалалтуудын 
 	үед салгах болон дахин холбох явцад тэсвэртэй байдаг. Хормын хувилбар нь 
 	хэрэггүй болсон үед энэ нь стандарт &man.rm.1; тушаалаар устгагдаж 
 	болно. Хормын хувилбарууд нь ямар ч дарааллаар устгагдаж болох 
 	бөгөөд гэхдээ ашиглагдсан бүх зайг дахин олж авахгүй байж болох юм. 
 	Учир нь өөр нэг хормын хувилбар чөлөөлөгдсөн блокуудын заримыг  
 	шаардаж болзошгүй юм.</para>
 
       <para>Өөрчлөгдөхгүй <option>snapshot</option> файл тохируулга нь 
 	хормын хувилбарыг эхлээд үүсгэсний дараа &man.mksnap.ffs.8; тушаалаар 
 	заагддаг. &man.unlink.1; тушаал нь хормын хувилбарын файлуудын хувьд 
 	орхидог бөгөөд учир нь энэ нь тэдгээрийг устгахыг зөвшөөрдөг байна.</para>
 
       <para>Хормын хувилбарууд нь &man.mount.8; тушаалаар үүсгэгддэг. 
 	<filename>/var</filename>-ийн хормын хувилбарыг 
 	<filename>/var/snapshot/snap</filename> файлд байрлуулахын тулд 
 	дараах тушаалыг ашиглана:</para>
 
 <screen>&prompt.root; <userinput>mount -u -o snapshot /var/snapshot/snap /var</userinput></screen>
 
       <para>Өөрөөр та хормын хувилбар үүсгэхийн тулд &man.mksnap.ffs.8;-г 
 	ашиглаж болно:</para>
 <screen>&prompt.root; <userinput>mksnap_ffs /var /var/snapshot/snap</userinput></screen>
 
       <para>Файлын систем (өөрөөр хэлбэл <filename>/var</filename>) дээр хормын хувилбарын 
 	файлуудыг &man.find.1; тушаал ашиглан олж болно:</para>
 <screen>&prompt.root; <userinput>find /var -flags snapshot</userinput></screen>
 
       <para>Хормын хувилбар үүсгэгдсэний дараа энэ нь хэд хэдэн хэрэглээтэй 
 	байдаг:</para>
 
       <itemizedlist>
 	<listitem>
 	  <para>Зарим администраторууд хормын хувилбарын файлыг нөөцийн зорилгоор 
 		ашигладаг, учир нь хормын хувилбар нь CD-үүд эсвэл соронзон хальс уруу 
 		дамжуулагдаж болдог.</para>
 	</listitem>
 
 	<listitem>
 	  <para>Файлын системийн бүрэн бүтэн байдлыг шалгадаг &man.fsck.8; нь 
 		хормын хувилбар дээр ажиллаж болдог. Файлын систем нь холбогдсон 
 		үедээ цэвэр байсан гэж үзвэл та үргэлж цэвэр (өөрчлөгдөөгүй) 
 		үр дүнг авах болно. Үүнийг гол нь арын &man.fsck.8; 
 		процесс хийдэг.</para>
 	</listitem>
 
 	<listitem>
 	  <para>&man.dump.8; хэрэгслийг хормын хувилбар дээр ажиллуулдаг. 
 		Хормын хувилбарын файлын систем болон цагтай нэг янз хуулбар 
 		хийгддэг. &man.dump.8; нь бас хормын хувилбарыг авч 
 		нөөц дүрсийг үүсгэж чаддаг бөгөөд дараа нь хормын хувилбарыг 
 		нэг тушаалаар <option>-L</option> тугийг ашиглан устгаж 
 		чаддаг.</para>
 	</listitem>
 
 	<listitem>
 	  <para>Хормын хувилбарыг файлын системийн хөлдөөгдсөн дүрс маягаар 
 		&man.mount.8; хийдэг. <filename>/var/snapshot/snap</filename> 
 		хормын хувилбарыг &man.mount.8; хийхийн тулд доор дурдсаныг 
 		ажиллуулна:</para>
 
 <screen>&prompt.root; <userinput>mdconfig -a -t vnode -f /var/snapshot/snap -u 4</userinput>
 &prompt.root; <userinput>mount -r /dev/md4 /mnt</userinput></screen>
 
 	</listitem>
       </itemizedlist>
 
       <para>Та одоо <filename>/mnt</filename>-д холбогдсон өөрийн хөлдөөгдсөн 
 	<filename>/var</filename> файлын системийн шатлалаар аялж болно. 
 	Хормын хувилбар үүсгэх үе дэх төлвийн адил төлөвт бүгд эхлээд байна. 
 	Цорын ганц өөр зүйл нь өмнөх хормын хувилбарууд нь тэг урттай файлууд 
 	маягаар гарч ирэх болно. Хормын хувилбарын хэрэглээг хязгаарлах 
 	үед үүнийг дараах тушаалыг ажиллуулан салгаж болно:</para>
 
 <screen>&prompt.root; <userinput>umount /mnt</userinput>
 &prompt.root; <userinput>mdconfig -d -u 4</userinput></screen>
 
       <para><option>softupdates</option> буюу зөөлөн шинэчлэлтүүд болон 
 	файлын системийн хормын хувилбаруудын талаар дэлгэрэнгүй мэдээллийг 
 	техникийн баримтуудыг оролцуулаад та Маршал Кирк МкКюзикийн вэб хуудас 
 	<ulink url="http://www.mckusick.com/"></ulink> 
 	уруу зочлон орж үзэж болно.</para>
   </sect1>
 
   <sect1 id="quotas">
     <title>Файлын системийн ноогдлууд</title>
     <indexterm>
       <primary>бүртгэл хийх</primary>
       <secondary>дискний зай</secondary>
     </indexterm>
     <indexterm><primary>дискний ноогдлууд</primary></indexterm>
 
     <para>Quota буюу ноогдол нь хэрэглэгч эсвэл бүлгийн гишүүдийн хувьд дискний зай ба/эсвэл 
 	файлуудын тоог файлын систем тус бүрийн хувьд хуваарилж хязгаарлах боломжийг 
 	бүрдүүлэх үйлдлийн системийн нэг нэмэлт боломж юм. Энэ нь дурын нэг хэрэглэгч 
 	эсвэл бүлэг хэрэглэгчдийн хуваарилж болох эх үүсвэрүүдийг хязгаарлах шаардлагатай 
 	цаг хуваалцах систем дээр ихэвчлэн хэрэглэгддэг. Энэ нь нэг хэрэглэгч эсвэл 
 	бүлэг хэрэглэгчид бүх байгаа дискний зайг хэрэглэхээс хамгаалдаг юм.</para>
 
     <sect2>
       <title>Дискний ноогдлуудыг идэвхтэй болгохын тулд өөрийн системийг тохируулах нь</title>
 
       <para>Дискний ноогдлыг ашиглаж эхлэхээсээ өмнө ноогдлууд нь цөмд тохируулагдсан 
 	эсэхийг шалгах шаардлагатай. Дараах мөрийг өөрийн цөмийн тохиргооны файлд 
 	нэмж үүнийг хийнэ:</para>
 
       <programlisting>options QUOTA</programlisting>
 
       <para>Анхны <filename>GENERIC</filename> цөм нь үүнийг анхнаасаа идэвхжүүлээгүй 
 	байдаг болохоор та дискний ноогдлуудыг ашиглахын тулд тусгайлсан цөмийг тохируулж бүтээн 
 	суулгах хэрэгтэй болох юм. Цөмийн тохиргооны талаар дэлгэрэнгүй мэдээллийг 
 	<xref linkend="kernelconfig">-с лавлана уу.</para>
 
       <para>Дараа нь та дискний ноогдлуудыг <filename>/etc/rc.conf</filename> файлд 
 	идэвхжүүлэх хэрэгтэй. Дараах мөрийг нэмж үүнийг хийнэ:</para>
 
       <programlisting>enable_quotas="YES"</programlisting>
       <indexterm>
         <primary>дискний ноогдлууд</primary>
         <secondary>шалгах нь</secondary>
       </indexterm>
       <para>Өөрийн ноогдлын эхлүүлэлтэд сайн хяналт тавихад хэрэгтэй нэмэлт тохиргооны 
 	хувьсагчууд байдаг. Ердийн үед ачаалалтын үеэр файлын систем бүрийн ноогдлын 
 	бүрэн бүтэн байдал  &man.quotacheck.8; програмаар шалгагддаг. 
 	&man.quotacheck.8; боломж нь ноогдлын мэдээллийн бааз дахь өгөгдөл 
 	файлын систем дээрх өгөгдлийг зөв тусгаж байгаа эсэхийг шалгаж байдаг.
 	Энэ нь хугацаа их шаардсан процесс бөгөөд таны систем ачаалах хугацаанд мэдэгдэхүйц 
 	нөлөөлдөг. Хэрэв та энэ алхмыг алгасахыг хүсвэл энэ зорилгоор хувьсагчийг 
 	<filename>/etc/rc.conf</filename> файлд тохируулах хэрэгтэй:</para>
 
       <programlisting>check_quotas="NO"</programlisting>
 
       <para>Төгсгөлд нь та файлын систем бүрийн хувьд дискний ноогдлуудыг идэвхжүүлэхийн 
 	тулд <filename>/etc/fstab</filename> файлыг засварлах хэрэгтэй. 
 	Энд та хэрэглэгч эсвэл бүлгийн ноогдлууд эсвэп хоёуланг нь өөрийн бүх файлын системийн 
 	хувьд идэвхжүүлэх боломжтой юм.</para>
 
       <para>Файлын систем дээр хэрэглэгч бүрийн хувьд ноогдлуудыг идэвхжүүлэхийн тулд 
 	өөрийн ноогдлууд идэвхжүүлэхийг хүсэж байгаа файлын системийн хувьд 
 	<filename>/etc/fstab</filename> файлын харгалзах оруулгын options буюу 
 	тохируулгыг заах талбарт <option>userquota</option> тохируулгыг нэмж 
 	өгөх хэрэгтэй. Жишээ нь:</para>
 
       <programlisting>/dev/da1s2g   /home    ufs rw,userquota 1 2</programlisting>
 
       <para>Үүнтэй төстэйгээр бүлгийн ноогдлуудыг идэвхжүүлэхийн тулд 
 	<option>userquota</option> тохируулгын оронд <option>groupquota</option> 
 	тохируулгыг ашиглах хэрэгтэй. Хэрэглэгч болон бүлгийн ноогдлуудыг хоёуланг нь 
 	идэвхжүүлэхийн тулд оруулгыг ингэж өөрчилнө:</para>
 
       <programlisting>/dev/da1s2g    /home    ufs rw,userquota,groupquota 1 2</programlisting>
 
       <para>Анхдагчаар ноогдлын файлууд файлын системийн root санд 
 	хэрэглэгчийн ноогдлын хувьд <filename>quota.user</filename>, бүлгийн 
 	ноогдлын хувьд <filename>quota.group</filename> нэрээр хадгалагддаг.  
 	Дэлгэрэнгүй мэдээллийг &man.fstab.5;-с үзнэ үү. &man.fstab.5; 
 	гарын авлагын хуудас ноогдлын файлуудын хувьд өөр байрлалыг зааж өгч болохыг 
 	хэлдэг боловч ноогдлын төрөл бүрийн хэрэгслүүд үүнтэй зөв ажиллаж чаддаггүй 
 	болохоор ингэхийг зөвлөдөггүй юм.</para>
 
       <para>Энэ үед хүрээд та өөрийн системийг шинэ цөмтэй дахин ачаалах хэрэгтэй. 
 	<filename>/etc/rc</filename> нь таны <filename>/etc/fstab</filename> 
 	файлд идэвхжүүлсэн бүх ноогдлуудын хувьд эхний ноогдлын файлуудыг үүсгэдэг
 	тохирох тушаалуудыг автоматаар ажиллуулах бөгөөд ингэснээр ямар ч тэг урттай ноогдлын 
 	файлуудыг гараар үүсгэх шаардлагагүй юм.</para>
 
       <para>Ердийн үйлдлүүдийн үед &man.quotacheck.8;, &man.quotaon.8;, эсвэл 
 	&man.quotaoff.8; тушаалуудыг та заавал ажиллуулах ёсгүй юм. Гэхдээ 
 	тэдгээрийн хийдэг үйлдлүүдтэй танилцахын тулд тэдгээрийн гарын авлагын хуудаснуудыг 
 	уншихыг хүсэж болох юм.</para>
     </sect2>
 
     <sect2>
       <title>Ноогдлын хязгаарлалтуудыг тохируулах нь</title>
       <indexterm>
         <primary>дискний ноогдлууд</primary>
         <secondary>хязгаарлалтууд</secondary>
       </indexterm>
 
       <para>Та ноогдлыг идэвхжүүлж өөрийн системийг тохируулсны дараа тэдгээр нь 
 	яг жинхэнэдээ идэвхтэй болсон эсэхийг шалгаарай. Үүнийг хийх хялбар арга нь 
 	дараах тушаалыг ажиллуулах явдал юм:</para>
 
       <screen>&prompt.root; <userinput>quota -v</userinput></screen>
 
       <para>Та ноогдлууд идэвхжүүлэгдсэн файлын систем бүрийн хувьд дискний хэрэглээ 
 	болон тухайн үеийн ноогдлын хязгаарлалтуудын ерөнхий нэг мөр үр дүнг харах 
 	ёстой.</para>
 
       <para>Та одоо &man.edquota.8; тушаал ашиглан ноогдлын хязгаарлалтуудыг 
 	зааж өгч эхлэхэд бэлэн боллоо.</para>
 
       <para>Хэрэглэгч эсвэл бүлгийн хуваарилж болох дискний зай болон тэд хичнээн файл 
 	үүсгэж болох хэмжээний хязгаарлалтуудыг хүчлэн зааж өгч болох хэд хэдэн сонголт танд 
 	байдаг. Та хуваарилалтыг дискний зай (блок ноогдлууд) эсвэл файлын тоо (inode ноогдлууд) 
 	эсвэл хоёулангийн хослолоор хязгаарлан өгч болно. Эдгээр хязгаарлалт бүр дараа нь 
 	хоёр зэрэглэлт хуваагддаг: энэ нь хатуу ба зөөлөн хязгаарлалтууд юм.</para>
 
       <indexterm><primary>хатуу хязгаарлалт</primary></indexterm>
       <para>Хатуу хязгаарлалтаас илүү гарч болохгүй. Хэрэглэгч өөрийн хатуу хязгаарлалтад 
 	хүрэхэд асуудалтай байгаа файлын систем дээр хэрэглэгч ямар ч хуваарилалт хийж 
 	чадахгүй болно. Жишээ нь хэрэв хэрэглэгч файлын систем дээр 500 кбайт хатуу 
 	хязгаарлалттай бөгөөд 490 кбайтыг одоогоор ашиглаж байгаа бол хэрэглэгч 
 	зөвхөн 10 кбайтыг нэмж хуваарилж чадна. 11 кбайт нэмж хуваарилахыг оролдох нь 
 	амжилтгүй болох болно.</para>
 
       <indexterm><primary>зөөлөн хязгаарлалт</primary></indexterm>
       <para>Нөгөө талаас зөөлөн хязгаарлалтууд нь тодорхой хугацааны туршид илүү гарч 
 	болно. Энэ хугацааг энэрэнгүй хугацаа гэдэг бөгөөд анхдагчаар нэг долоо хоног 
 	байдаг. Хэрэв хэрэглэгч өөрийн зөөлөн хязгаарлалтаас илүү гарсан хэвээр 
 	энэрэнгүй хугацааг өнгөрөх юм бол зөөлөн хязгаарлалт нь хатуу хязгаарлалт болж 
 	дахин хуваарилалтыг зөвшөөрдөггүй. Хэрэглэгч зөөлөн хязгаарлалтаас доош 
 	орвол энэрэнгүй хугацаа дахин тавигдах болно.</para>
 
       <para>Дараах нь &man.edquota.8; тушаалыг ажиллуулах үед таны харж болох 
 	гаралтын жишээ юм. &man.edquota.8; тушаалыг ажиллуулахад 
 	<envar>EDITOR</envar> орчны хувьсагчид заагдсан засварлагч уруу 
 	эсвэл <envar>EDITOR</envar> хувьсагч заагдаагүй бол 
 	<application>vi</application> засварлагч уруу таныг оруулах бөгөөд энэ нь 
 	ноогдлын хязгаарлалтуудыг засварлах боломжийг танд олгоно.</para>
 
       <screen>&prompt.root; <userinput>edquota -u test</userinput></screen>
 
       <programlisting>Quotas for user test:
 /usr: kbytes in use: 65, limits (soft = 50, hard = 75)
         inodes in use: 7, limits (soft = 50, hard = 60)
 /usr/var: kbytes in use: 0, limits (soft = 50, hard = 75)
         inodes in use: 0, limits (soft = 50, hard = 60)</programlisting>
 
       <para>Та ноогдлууд идэвхжүүлэгдсэн файлын систем бүрийн хувьд хоёр мөрийг ердийн үед 
 	харах болно. Нэг мөр нь блокийн хязгаарлалтад, нөгөө мөр нь inode хязгаарлалтад 
 	зориулагддаг. Ноогдлын хязгаарлалтуудыг өөрчлөхийн тулд та ердөө л утгыг шинэчлэхийг хүсэж 
 	байгаа утгаараа солих хэрэгтэй. Жишээ нь энэ хэрэглэгчийн блок хязгаарлалтыг 
 	зөөлөн хязгаарлалт 50, хатуу хязгаарлалт 75 байсныг зөөлөн хязгаарлалт 500 болон 
 	хатуу хязгаарлалт 600 болгон өсгөхийн тулд дараах:</para>
 
       <programlisting>/usr: kbytes in use: 65, limits (soft = 50, hard = 75)</programlisting>
 
       <para>мөрийг доорх шиг болгож өөрчлөх хэрэгтэй:</para>
 
       <programlisting>/usr: kbytes in use: 65, limits (soft = 500, hard = 600)</programlisting>
 
       <para>Таныг засварлагчаас гарсны дараа шинэ ноогдлын хязгаарлалтууд 
 	байрандаа орох болно.</para>
 
       <para>Заримдаа ноогдлын хязгаарлалтуудыг зарим UID-ийн хүрээний хувьд 
 	зааж өгөх шаардлага гардаг. Үүнийг &man.edquota.8; тушаалд 
 	<option>-p</option> тохируулгыг ашиглан хийдэг. Эхлээд хэрэглэгчид 
 	хүссэн ноогдлын хязгаарлалтаа зааж өгөөд дараа нь 
 	<command>edquota -p protouser startuid-enduid</command> 
 	тушаалыг ажиллуулна. Жишээ нь хэрэв хэрэглэгч <username>test</username> 
 	хүссэн ноогдлын хязгаарлалттай байгаа бол энэ ноогдлын хязгаарлалтыг 
 	10,000-с 19,999 хүртэлх UID-уудад хувилж хамааруулахын тулд дараах тушаалыг 
 	ажиллуулна:</para>
 
       <screen>&prompt.root; <userinput>edquota -p test 10000-19999</userinput></screen>
 
       <para>Дэлгэрэнгүй мэдээллийг &man.edquota.8; гарын авлагын хуудаснаас үзнэ үү.</para>
     </sect2>
 
     <sect2>
       <title>Ноогдлын хязгаарлалтууд болон дискний хэрэглээг шалгах нь</title>
       <indexterm>
         <primary>дискний ноогдлууд</primary>
         <secondary>шалгах нь</secondary>
       </indexterm>
 
       <para>Ноогдлын хязгаарлалтууд болон дискний хэрэглээг шалгахын тулд 
 	та &man.quota.1; эсвэл &man.repquota.8; тушаалын нэгийг 
 	ашиглаж болно. &man.quota.1; тушаалыг хэрэглэгч эсвэл бүлгийн 
 	ноогдлууд болон дискний зайг шалгахад хэрэглэж болно. Хэрэглэгч нь 
 	зөвхөн өөрийн ноогдол болон өөрийн гишүүн бүлгийн ноогдлыг шалгаж 
 	чадна. Зөвхөн супер хэрэглэгч бүх хэрэглэгч болон бүлгийн ноогдлуудыг 
 	харж болно. &man.repquota.8; тушаалыг ноогдлууд идэвхжүүлэгдсэн 
 	файлын системүүдийн хувьд бүх ноогдлууд болон дискний хэрэглээний 
 	ерөнхий дүнг авахад хэрэглэж болно.</para>
 
       <para>Дараах нь хоёр файлын систем дээр ноогдлын хязгаарлалттай хэрэглэгчийн 
 	хувьд <command>quota -v</command> тушаалын жишээ гаралт 
 	юм.</para>
 
       <programlisting>Disk quotas for user test (uid 1002):
      Filesystem  usage    quota   limit   grace   files   quota   limit   grace
            /usr      65*     50      75   5days       7      50      60
        /usr/var       0      50      75               0      50      60</programlisting>
 
       <indexterm><primary>энэрэнгүй хугацаа</primary></indexterm>
       <para>Дээрх жишээний <filename>/usr</filename> файлын систем дээр 
 	хэрэглэгч 50 кбайтын зөөлөн хязгаарлалтыг 15 кбайтаар илүүдүүлсэн 
 	байгаа бөгөөд 5 хоногийн энэрэнгүй хугацаа үлдсэн байна. Од 
 	<literal>*</literal> тэмдэгт нь хэрэглэгч өөрийн ноогдлын хязгаарлалтаас 
 	илүү гарсныг харуулж байна.</para>
 
       <para>Ердийн үед хэрэглэгч ямар ч дискний зай ашиглаагүй байгаа тийм файлын системүүд, 
 	файлын системийн хувьд ноогдлын хязгаарлалт байсан ч гэсэн &man.quota.1; тушаалын 
 	гаралтад  харагддаггүй байна. <option>-v</option> тохируулга нь тэдгээр 
 	файлын системүүдийг харуулах бөгөөд дээрх жишээн дээр 
 	<filename>/usr/var</filename> файлын системийг харуулж 
 	байна.</para>
     </sect2>
 
     <sect2>
       <title>NFS дээгүүрх ноогдлууд</title>
       <indexterm><primary>NFS</primary></indexterm>
 
       <para>Ноогдлууд нь NFS сервер дээр ноогдлын дэд системээр хянагддаг. 
 	&man.rpc.rquotad.8; демон нь NFS клиентүүд дээр өөрсдийн ноогдлын 
 	статистикуудыг хэрэглэгчдэд үзэх боломжийг олгож ноогдлын мэдээллийг тэдгээр 
 	машинууд дээр &man.quota.1; тушаалд бэлэн болгож өгдөг.</para>
 
       <para><command>rpc.rquotad</command>-г 
 	<filename>/etc/inetd.conf</filename> файлд ингэж идэвхжүүлнэ:</para>
 
       <programlisting>rquotad/1      dgram rpc/udp wait root /usr/libexec/rpc.rquotad rpc.rquotad</programlisting>
 
       <para>Одоо <command>inetd</command>-г дахин ачаал:</para>
 
       <screen>&prompt.root; <userinput>/etc/rc.d/inetd restart</userinput></screen>
     </sect2>
   </sect1>
 
 
   <sect1 id="disks-encrypting">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Лаки</firstname>
 	  <surname>Грийн</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	  <affiliation>
 	    <address><email>shamrock@cypherpunks.to</email></address>
 	  </affiliation>
 	</author>
       </authorgroup>
       <!-- 11 MARCH 2003 -->
     </sect1info>
 
     <title>Дискний хуваалтуудыг шифрлэх нь</title>
     <indexterm>
       <primary>дискнүүд</primary>
       <secondary>шифрлэх нь</secondary></indexterm>
 
     <para>FreeBSD нь өгөгдөлд зөвшөөрөгдөөгүй хандах хандалтын эсрэг 
 	маш сайн шууд хамгаалалтуудыг санал болгодог. Файлын зөвшөөрлүүд болон 
 	Mandatory Access Control (MAC) буюу Албадмал Хандалт Хяналт 
 	(<xref linkend="mac">-г үзнэ үү) нь компьютер ассан, үйлдлийн систем 
 	идэвхтэй байх үед зөвшөөрөлгүй гуравдагч нөхдүүдийг өгөгдөлд хандахаас 
 	хамгаалахад тусалдаг. Гэхдээ хэрэв халдагч компьютерт физик хандалт олж аван 
 	компьютерийн хатуу хөтчийг өөр систем уруу зөөн эмзэг өгөгдлийг хуулж шинжилгээ хийж чадах 
 	бол үйлдлийн системийн мөрдүүлдэг зөвшөөрлүүд нь хамааралгүй болох юм.</para>
 
     <para>Халдагч хэрхэн хатуу диск эсвэл унтраасан компьютерийг эзэмшсэнээс үл хамаарч 
 	&os; дээрх <application>GEOM Based Disk Encryption (gbde)</application> 
 	буюу GEOM дээр тулгуурласан дискний шифрлэлт болон <command>geli</command> 
 	криптограф дэд системүүд нь компьютерийн файлын системүүд дээрх өгөгдлийг 
 	бүр чухал эх үүсвэрүүд бүхий, зорилгодоо хүрэхээр ихээхэн чармайсан халдагчдаас 
 	хамгаалж чадах юм. Зөвхөн тухайн файл бүрийг шифрлэдэг ярвигтай шифрлэлтийн 
 	аргуудаас ялгаатай нь <command>gbde</command> болон <command>geli</command> 
 	нь бүх файлын системүүдийг харагдаж мэдэгдэхгүйгээр шифрлэдэг. Хатуу дискний 
 	хавтгайд цэвэр текст хэзээ ч бичигддэггүй.</para>
 
     <sect2>
       <title><application>gbde</application>-ээр диск шифрлэх</title>
 
       <procedure>
 	<step>
 	  <title><username>root</username> болно</title>
 
 	  <para><application>gbde</application>-г тохируулахад супер хэрэглэгчийн 
 		эрхүүдийг шаарддаг.</para>
 
 	  <screen>&prompt.user; <userinput>su -</userinput>
 Password:</screen>
 	</step>
 
 	<step>
 	  <title>Цөмийн тохиргооны файлдаа &man.gbde.4; дэмжлэгийг нэмнэ</title>
 
 	  <para>Дараах мөрийг цөмийн тохиргооны файлдаа нэмнэ:</para>
 
 	  <para><literal>options GEOM_BDE</literal></para>
 
 	  <para>Цөмөө <xref linkend="kernelconfig">-д тайлбарласны дагуу дахин бүтээнэ.</para>
 
 	  <para>Шинэ цөм уруугаа дахин ачаална.</para>
 	</step>
 
         <step>
           <para>Цөмийг дахин бүтээхээс өөр нэг арга нь <command>kldload</command>
 		ашиглаж &man.gbde.4;-г ачаалах явдал юм:</para>
 
           <screen>&prompt.root; <userinput>kldload geom_bde</userinput></screen>
 
         </step>
       </procedure>
 
     <sect3>
       <title>Шифрлэгдсэн хатуу хөтчүүдийг бэлдэх нь</title>
 
       <para>Дараах жишээ нь таныг өөрийн систем уруу шинэ хатуу хөтөч нэмж 
 	ганц шифрлэгдсэн хуваалтыг агуулна гэж тооцдог. Энэ хуваалт нь 
 	<filename>/private</filename> гэж холбогдох болно. 
 	<application>gbde</application> нь 
 	<filename>/home</filename> болон <filename>/var/mail</filename>-г 
 	бас шифрлэхэд ашиглагддаг боловч энэ нь энэ танилцуулгын хүрээнээс хальж 
 	илүү төвөгтэй заавруудыг шаарддаг.</para>
 
       <procedure>
 	<step>
 	  <title>Шинэ хатуу хөтчийг нэмнэ</title>
 
 	  <para>Шинэ хөтчийг систем уруу <xref
 	    linkend="disks-adding">-д тайлбарласны дагуу нэмнэ. Энэ жишээн 
 		дээр шинэ хатуу хөтчийн хуваалт <filename>/dev/ad4s1c</filename> 
 		гэж нэмэгдсэн байгаа. <filename>/dev/ad0s1<replaceable>*</replaceable></filename> 
 		төхөөрөмжүүд нь жишээ систем дээр байгаа стандарт FreeBSD хуваалтуудыг 
 		харуулж байна.</para>
 
 	  <screen>&prompt.root; <userinput>ls /dev/ad*</userinput>
 /dev/ad0        /dev/ad0s1b     /dev/ad0s1e     /dev/ad4s1
 /dev/ad0s1      /dev/ad0s1c     /dev/ad0s1f     /dev/ad4s1c
 /dev/ad0s1a     /dev/ad0s1d     /dev/ad4</screen>
 	</step>
 
 	<step>
 	  <title>gbde цоож файлуудыг агуулах санг үүсгэнэ</title>
 
 	  <screen>&prompt.root; <userinput>mkdir /etc/gbde</userinput></screen>
 
 	  <para><application>gbde</application> цоож файл нь шифрлэгдсэн хуваалтуудад 
 		хандахад <application>gbde</application>-д шаардагдах мэдээллийг 
 		агуулдаг. Цоож файлд хандах боломжгүй бол <application>gbde</application> 
 		нь шифрлэгдсэн хуваалтын агуулсан өгөгдлийг хөндлөнгийн их хүч шаардсан оролцоогүйгээр 
 		буцааж тайлж чадахгүй юм. Үүнийг програм хангамж дэмждэггүй. 
 		Шифрлэгдсэн хуваалт бүр тусдаа цоож файл ашигладаг.</para>
 	</step>
 
 	<step>
 	  <title>gbde хуваалтыг эхлүүлнэ</title>
 
 	  <para><application>gbde</application> хуваалт ашиглагдаж эхлэхээсээ өмнө 
 		эхэлж тохируулагдсан байх шаардлагатай. Энэ эхний тохируулга нь зөвхөн нэг 
 		удаа хийгдэх ёстой:</para>
 
 	  <screen>&prompt.root; <userinput>gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c.lock</userinput></screen>
 
 	  <para>&man.gbde.8; нь загварт төрөл бүрийн тохиргооны сонголтуудыг зааж 
 		өгөх боломжийг танд өгч таны засварлагчийг онгойлгох болно. UFS1
 	    	эсвэл UFS2-той ашиглахын тулд sector_size-г 2048 гэж заана:</para>
 
 	  <programlisting>$<!-- This is not the space you are looking
 for-->FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $
 #
 # Sector size is the smallest unit of data which can be read or written.
 # Making it too small decreases performance and decreases available space.
 # Making it too large may prevent filesystems from working.  512 is the
 # minimum and always safe.  For UFS, use the fragment size
 #
 sector_size     =       2048
 [...]
 </programlisting>
 
 	  <para>&man.gbde.8; нь өгөгдлийг аюулгүй болгоход хэрэглэгдэх ёстой нэвтрэх 
 		үгийг хоёр удаа бичихийг танаас хүснэ. Нэвтрэх үг нь хоёуланд нь адил 
 		байх ёстой. <application>gbde</application>-ийн таны өгөгдлийг 
 		хамгаалах чадвар таны сонгосон нэвтрэх үгийн чанараас бүхэлдээ 
 		хамаарна.
 	  <footnote>
           <para>Амархан тогтоож болох аюулгүй нэвтрэх үгийг хэрхэн сонгох талаар 
 		зөвлөгөөнүүдийг <ulink
 	    url="http://world.std.com/~reinhold/diceware.html">Diceware
 	    Passphrase</ulink> вэб хуудаснаас үзнэ үү.</para></footnote></para>
 
 	  <para><command>gbde init</command> тушаал нь таны 
 		<application>gbde</application> хуваалтад зориулж цоож файлыг 
 		үүсгэх бөгөөд энэ жишээн дээр <filename>/etc/gbde/ad4s1c.lock</filename> 
 		гэж хадгалагдсан байна.	<application>gbde</application> цоож файлууд
 		нь <filename>/etc/rc.d/gbde</filename> эхлүүлэх скриптээр 
 		зөв танигдахын тулд <quote>.lock</quote> гэж төгсөх ёстой.</para>
 
 	  <caution>
 	    <para><application>gbde</application> цоож файлууд нь шифрлэгдсэн 
 		хуваалтуудын агуулгатай цуг нөөцлөгдөх <emphasis>ёстой</emphasis>. 
 		Зөвхөн цоож файлыг устгах нь шийдсэн халдагч
 		<application>gbde</application> хуваалтыг буцааж тайлахаас 
 		хамгаалж чаддаггүй бөгөөд цоож файлгүйгээр хууль ёсны эзэмшигч 
 		нь шифрлэгдсэн хуваалт дээрх өгөгдөлд &man.gbde.8; болон түүнийг зохиогчийн 
 		ерөөсөө дэмждэггүй, их хүч шаардсан ажиллагаагүйгээр хандаж чадахгүй болох 
 		юм.</para>
 	  </caution>
 	</step>
 
 	<step>
 	  <title>Шифрлэгдсэн хуваалтыг цөмд залгана</title>
 
 	  <screen>&prompt.root; <userinput>gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock</userinput></screen>
 
 	  <para>Шифрлэгдсэн хуваалтыг эхэлж тохируулж байх үед таны сонгосон нэвтрэх 
 		үгийг оруулахыг танаас асуух болно. Шинэ шифрлэгдсэн төхөөрөмж 
 		<filename>/dev</filename> дотор 
 		<filename>/dev/device_name.bde</filename> гэж гарч 
 		ирнэ:</para>
 
 	  <screen>&prompt.root; <userinput>ls /dev/ad*</userinput>
 /dev/ad0        /dev/ad0s1b     /dev/ad0s1e     /dev/ad4s1
 /dev/ad0s1      /dev/ad0s1c     /dev/ad0s1f     /dev/ad4s1c
 /dev/ad0s1a     /dev/ad0s1d     /dev/ad4        /dev/ad4s1c.bde</screen>
 	</step>
 
 	<step>
 	  <title>Шифрлэгдсэн төхөөрөмж дээр файлын систем үүсгэнэ</title>
 
 	  <para>Шифрлэгдсэн төхөөрөмж цөмд залгагдсаны дараа та энэ төхөөрөмж дээр 
 		файлын систем үүсгэж болно. Шифрлэгдсэн төхөөрөмж дээр файлын 
 		систем үүсгэхийн тулд &man.newfs.8;-г ашиглана. Хуучин UFS1 
 		файлын системийг эхлүүлснээс шинэ UFS2 файлын системийг эхлүүлэх нь 
 		хамаагүй хурдан учраас &man.newfs.8;-г <option>-O2</option> 
 		тохируулгатай хэрэглэхийг зөвлөдөг.</para>
 
 	  <screen>&prompt.root; <userinput>newfs -U -O2 /dev/ad4s1c.bde</userinput></screen>
 
 	  <note>
 	    <para>&man.newfs.8; тушаал нь төхөөрөмжийн нэрэндээ 
 		<filename><replaceable>*</replaceable>.bde</filename> гэж 
 		өргөтгөлөөр танигдах залгагдсан <application>gbde</application> 
 		хуваалт дээр хийгдэх ёстой.</para>
 	  </note>
 	</step>
 
 	<step>
 	  <title>Шифрлэгдсэн хуваалтыг холбоно</title>
 
 	  <para>Шифрлэгдсэн файлын системд зориулж холбох цэгийг үүсгэнэ.</para>
 
 	  <screen>&prompt.root; <userinput>mkdir /private</userinput></screen>
 
 	  <para>Шифрлэгдсэн файлын системийг холбоно.</para>
 
 	  <screen>&prompt.root; <userinput>mount /dev/ad4s1c.bde /private</userinput></screen>
 	</step>
 
 	<step>
 	  <title>Шифрлэгдсэн файлын систем байгаа эсэхийг шалгана</title>
 
 	  <para>Шифрлэгдсэн файлын систем одоо &man.df.1;-д харагдаж 
 		ашиглахад бэлэн болох ёстой.</para>
 
 	  <screen>&prompt.user; <userinput>df -H</userinput>
 Filesystem        Size   Used  Avail Capacity  Mounted on
 /dev/ad0s1a      1037M    72M   883M     8%    /
 /devfs            1.0K   1.0K     0B   100%    /dev
 /dev/ad0s1f       8.1G    55K   7.5G     0%    /home
 /dev/ad0s1e      1037M   1.1M   953M     0%    /tmp
 /dev/ad0s1d       6.1G   1.9G   3.7G    35%    /usr
 /dev/ad4s1c.bde   150G   4.1K   138G     0%    /private</screen>
 	</step>
       </procedure>
     </sect3>
 
     <sect3>
       <title>Байгаа шифрлэгдсэн файлын системүүдийг холбох нь</title>
 
       <para>Ачаалалт бүрийн дараа ямар ч шифрлэгдсэн файлын системүүдийг 
 	ашиглаж эхлэхээсээ өмнө цөмд дахин залгаж, алдааг нь шалгаж холбож болно.
 	Шаардлагатай тушаалуудыг  <username>root</username> хэрэглэгч 
 	ажиллуулах ёстой гэж үздэг.</para>
 
       <procedure>
 	<step>
 	  <title>gbde хуваалтыг цөмд залгана</title>
 
 	  <screen>&prompt.root; <userinput>gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock</userinput></screen>
 
 	  <para>Шифрлэгдсэн <application>gbde</application> хуваалтыг 
 		эхэлж тохируулж байх үед таны сонгосон нэвтрэх үгийг оруулахыг 
 		танаас асуух болно.</para>
 	</step>
 
 	<step>
 	  <title>Файлын систем дээр алдааг шалгана</title>
 
 	  <para>Шифрлэгдсэн файлын системүүд нь автоматаар холбогдохын тулд 
 		<filename>/etc/fstab</filename> файлд одоохондоо 
 		жагсаагдах боломжгүй учир файлын системүүд дээр алдаа байгаа эсэхийг 
 		шалгаж тэдгээрийг холбохоос өмнө &man.fsck.8;-г гараар ажиллуулах ёстой.</para>
 
 	  <screen>&prompt.root; <userinput>fsck -p -t ffs /dev/ad4s1c.bde</userinput></screen>
 	</step>
 
 	<step>
 	  <title>Шифрлэгдсэн файлын системийг холбоно</title>
 
 	  <screen>&prompt.root; <userinput>mount /dev/ad4s1c.bde /private</userinput></screen>
 
 	  <para>Шифрлэгдсэн файлын систем одоо ашиглахад бэлэн боллоо.</para>
 	</step>
       </procedure>
 
       <sect4>
 	<title>Шифрлэгдсэн хуваалтуудыг автоматаар холбох нь</title>
 
 	<para>Шифрлэгдсэн хуваалтыг автоматаар залган шалгаж холбох скриптийг үүсгэж 
 		болох боловч аюулгүй байдлын шалтгаанаас болоод скрипт нь 
 		&man.gbde.8; нууц үгийг агуулсан байх ёсгүй. Харин эдгээр 
 		скриптүүдийг гараар ажиллуулж нууц үгийг консол эсвэл &man.ssh.1;-ээр 
 		оруулахыг зөвлөдөг.</para>
 
 	<para>Өөр нэг арга нь <filename>rc.d</filename> скрипт байдаг. Энэ 
 		скриптийн нэмэлт өгөгдлүүдийг &man.rc.conf.5;-оор дамжуулж болно, 
 		жишээ нь:</para>
 
 	<programlisting>gbde_autoattach_all="YES"
 gbde_devices="ad4s1c"
 gbde_lockdir="/etc/gbde"</programlisting>
 
 	<para>Энэ нь <application>gbde</application> нэвтрэх үгийг ачаалах 
 	үед оруулахыг шаарддаг. Зөв нэвтрэх үгийг бичсэний дараа 
 	<application>gbde</application> шифрлэгдсэн хуваалт автоматаар 
 	холбогдох болно. Энэ нь <application>gbde</application>-г 
 	зөөврийн компьютер дээр хэрэглэж байгаа үед их ашигтай байдаг.</para>
       </sect4>
     </sect3>
 
       <sect3>
 	<title>gbde-ийн ажиллуулдаг криптограф хамгаалалтууд</title>
 
 	<para>&man.gbde.8; нь 128-bit AES-ийг CBC горимд ашиглан сектор ачааг 
 	шифрлэдэг. Диск дээрх сектор бүр өөр өөр AES түлхүүрээр шифрлэгддэг. 
 	Секторын түлхүүрүүд хэрэглэгчийн оруулсан нэвтрэх үгээс хэрхэн гаргагддаг зэрэг 
 	<application>gbde</application>-ийн криптограф дизайны талаар 
 	дэлгэрэнгүйг &man.gbde.4;-ээс үзнэ үү.</para>
       </sect3>
 
       <sect3>
 	<title>Нийцтэй байдлын асуудлууд</title>
 
 	<para>&man.sysinstall.8; нь <application>gbde</application>-шифрлэгдсэн 
 	төхөөрөмжүүдтэй нийцгүй байдаг. Бүх 
 	<devicename><replaceable>*</replaceable>.bde</devicename> төхөөрөмжүүдийг 
 	&man.sysinstall.8; эхлүүлэхээс өмнө цөмөөс салгасан байх ёстой бөгөөд 
 	ингэхгүй бол энэ нь төхөөрөмжүүдийг шалгаж эхлэхдээ сүйрэх болно. Бидний жишээн 
 	дээр ашиглагдсан шифрлэгдсэн төхөөрөмжийг салгахдаа дараах тушаалыг 
 	ашиглана:</para>
 	<screen>&prompt.root; <userinput>gbde detach /dev/ad4s1c</userinput></screen>
 
       <para>Мөн &man.vinum.4; нь &man.geom.4; дэд системийг 
 	ашигладаггүйг анхаараарай, та <application>gbde</application>-г 
 	<application>vinum</application> эзлэхүүнүүдтэй ашиглаж 
 	болохгүй.</para>
       </sect3>
 
     </sect2>
 
     <sect2>
       <sect2info>
 	<authorgroup>
 	  <author>
 	    <firstname>Даниэл</firstname>
 	    <surname>Гэрзо</surname>
 	    <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	  </author>
 	</authorgroup>
 	<!-- Date of writing: 28 November 2005 -->
       </sect2info>
 
       <title><command>geli</command>-ээр диск шифрлэх нь</title>
 
       <para>Шинэ криптограф GEOM ангилал &os; 6.0-с эхлэн 
 	<command>geli</command> гэж орж иржээ. Үүнийг одоогоор 
 	&a.pjd; хөгжүүлж байгаа болно. <command>geli</command> нь 
 	<command>gbde</command>-ээс өөр бөгөөд энэ нь өөр боломжуудыг 
 	санал болгож криптограф үйлдэлдээ өөр схемийг ашигладаг.</para>
 
       <para>&man.geli.8;-ийн хамгийн чухал боломжууд бол:</para>
 
       <itemizedlist>
 	<listitem>
 	  <para>&man.crypto.9; тогтолцоог ашигладаг &mdash; 
 		криптограф тоног төхөөрөмж бэлэн болоход <command>geli</command>
 		түүнийг автоматаар ашигладаг.</para>
 	</listitem>
 	<listitem>
 	  <para>Олон криптограф алгоритмуудыг дэмждэг (одоогоор AES, Blowfish, 
 		болон 3DES).</para>
 	</listitem>
 	<listitem>
 	  <para>root хуваалтыг шифрлэх боломжийг олгодог. Шифрлэгдсэн root 
 		хуваалтад хандахад хэрэглэгддэг нэвтрэх үгийг систем ачаалахад 
 		асуудаг.</para>
 	</listitem>
 	<listitem>
 	  <para>Бие биеэндээ хамааралгүй хоёр түлхүүрүүдийг ашиглахыг 
 		зөвшөөрдөг (өөрөөр хэлбэл <quote>key</quote> болон 
 		<quote>company key</quote>).</para>
 	</listitem>
 	<listitem>
 	  <para><command>geli</command> нь хурдан байдаг. Энгийн сектороос сектор уруу 
 		шифрлэлтийг хийдэг.</para>
 	</listitem>
 	<listitem>
 	  <para>Мастер түлхүүрүүдийг нөөцлөх ба сэргээхийг зөвшөөрдөг. Хэрэглэгч 
 		өөрийн түлхүүрүүдийг устгах хэрэгтэй болоход нөөцөөс түлхүүрүүдийг 
 		сэргээж өгөгдөлд дахин хандах боломжтой болох юм.</para>
 	</listitem>
 	<listitem>
 	  <para>Дискийг санамсаргүй, нэг удаагийн түлхүүрээр залгахыг 
 		зөвшөөрдөг &mdash; энэ нь swap хуваалтууд болон түр зуурын 
 		файлын системүүдэд ашигтай байдаг.</para>
 	</listitem>
       </itemizedlist>
 
       <para><command>geli</command>-ийн илүү боломжуудыг &man.geli.8;-ийн 
 	гарын авлагын хуудаснаас олж болно.</para>
 
       <para>Дараагийн алхмууд нь <command>geli</command>-ийн дэмжлэгийг &os; цөмд 
 	хэрхэн идэвхжүүлэхийг тайлбарлах бөгөөд шинэ <command>geli</command> 
 	шифрлэлт үзүүлэгчийг хэрхэн үүсгэх болон ашиглах талаар өгүүлэх болно.</para>
 
       <para><command>geli</command>-г ашиглахын тулд та &os; 6.0-RELEASE болон 
 	түүнээс дээшхи хувилбарыг хэрэглэж байх ёстой. Цөмд өөрчлөлтүүд шаардлагатай учраас 
 	супер хэрэглэгчийн эрхүүд хэрэгтэй болно.</para>
 
       <procedure>
 	<step>
 	  <title>Цөмд <command>geli</command> дэмжлэгийг 
 		нэмэх нь</title>
 
 	  <para>Дараах мөрийг цөмийн тохиргооны файлд нэмнэ:</para>
 
 	  <programlisting>options GEOM_ELI
 device crypto</programlisting>
 
 	  <para>Цөмөө <xref linkend="kernelconfig">-д тайлбарласны дагуу дахин бүтээнэ.</para>
 
 	  <para>Мөн <command>geli</command> модулийг ачаалах үед дуудаж болно. 
 		Дараах мөрийг <filename>/boot/loader.conf</filename> файлд 
 		нэмнэ:</para>
 
 	  <programlisting>geom_eli_load="YES"</programlisting>
 
 	  <para>&man.geli.8; нь одоо цөмд дэмжигдсэн байх ёстой.</para>
 	</step>
 
 	<step>
 	  <title>Мастер түлхүүр үүсгэх нь</title>
 
 	  <para>Дараах жишээ нь түлхүүр файлыг хэрхэн үүсгэх талаар тайлбарлах бөгөөд 
 		энэ нь <filename role="directory">/private</filename> доор 
 		холбогдсон шифрлэгдсэн үзүүлэгчийн Мастер түлхүүрийн хэсэг болон 
 		ашиглагдах болно. Түлхүүр файл нь Мастер түлхүүрийг шифрлэхэд 
 		хэрэглэгдэх зарим санамсаргүй өгөгдлийг өгөх болно. Мастер түлхүүр нь 
 		нэвтрэх үгээр бас хамгаалагдах болно. Үзүүлэгчийн секторын хэмжээ 
 		4kB том байх болно. Мөн энэ хэлэлцүүлэг нь <command>geli</command> 
 		үзүүлэгчийг хэрхэн залгаж түүн дээр файлын систем үүсгэх, хэрхэн түүнийг 
 		холбож ажиллах болон төгсгөлд нь хэрхэн салгах талаар тайлбарлах 
 		болно.</para>
 
 	  <para>Илүү сайн ажиллагааг хангахын тулд секторын том хэмжээг (4kB ч юм уу) 
 		ашиглахыг зөвлөдөг.</para>
 
 	  <para>Мастер түлхүүр нь нэвтрэх үгээр хамгаалагдах бөгөөд түлхүүр файлд зориулагдсан 
 		өгөгдлийн эх нь <filename>/dev/random</filename> байх болно. 
 		Бидний үзүүлэгч гэж нэрлэдэг <filename>/dev/da2.eli</filename>-ийн 
 		секторын хэмжээ 4kB байх болно.</para> 
 
 	  <screen>&prompt.root; <userinput>dd if=/dev/random of=/root/da2.key bs=64 count=1</userinput>
 &prompt.root; <userinput>geli init -s 4096 -K /root/da2.key /dev/da2</userinput>
 Enter new passphrase:
 Reenter new passphrase:</screen>
 
 	  <para>Нэвтрэх үг болон түлхүүр файлыг хоёуланг нь заавал ашиглах шаардлагагүй; 
 		Мастер түлхүүрийг нууцлах аль ч аргыг тусад нь ашиглаж болно.</para>
 
 	  <para>Хэрэв түлхүүр файл <quote>-</quote> гэж өгөгдсөн бол стандарт 
 		оролтыг ашиглана. Энэ жишээ нь нэгээс олон түлхүүр файлыг 
 		хэрхэн ашиглаж болох талаар харуулж байна.</para>
 
 	  <screen>&prompt.root; <userinput>cat keyfile1 keyfile2 keyfile3 | geli init -K - /dev/da2</userinput></screen>
 	</step>
 
 	<step>
 	  <title>Үзүүлэгчийг үүсгэсэн түлхүүрийн тусламжтай залгах нь</title>
 
 	  <screen>&prompt.root; <userinput>geli attach -k /root/da2.key /dev/da2</userinput>
 Enter passphrase:</screen>
 
 	  <para>Шинэ цэвэр текст төхөөрөмж 
 		<filename>/dev/<replaceable>da2</replaceable>.eli</filename>
 		гэж нэрлэгдэх болно.</para>
 
 	  <screen>&prompt.root; <userinput>ls /dev/da2*</userinput>
 /dev/da2  /dev/da2.eli</screen>
 	</step>
 
 	<step>
 	  <title>Шинэ файлын системийг үүсгэх нь</title>
 
 	  <screen>&prompt.root; <userinput>dd if=/dev/random of=/dev/da2.eli bs=1m</userinput>
 &prompt.root; <userinput>newfs /dev/da2.eli</userinput>
 &prompt.root; <userinput>mount /dev/da2.eli /private</userinput></screen>
 
 	<para>Шифрлэгдсэн файлын систем &man.df.1;-д харагдаж 
 		ашиглахад бэлэн болох ёстой:</para>
 
 	  <screen>&prompt.root; <userinput>df -H</userinput>
 Filesystem     Size   Used  Avail Capacity  Mounted on
 /dev/ad0s1a    248M    89M   139M    38%    /
 /devfs         1.0K   1.0K     0B   100%    /dev
 /dev/ad0s1f    7.7G   2.3G   4.9G    32%    /usr
 /dev/ad0s1d    989M   1.5M   909M     0%    /tmp
 /dev/ad0s1e    3.9G   1.3G   2.3G    35%    /var
 /dev/da2.eli   150G   4.1K   138G     0%    /private</screen>
 
 	</step>
 
 	<step>
 	  <title>Үзүүлэгчийг холбосныг салгаж залгасныг болиулах</title>
 
 	  <para>Шифрлэгдсэн хуваалт дээрх ажил хийгдэж дуусаад 
 		<filename role="directory">/private</filename> хуваалт 
 		хэрэггүй болох үед <command>geli</command> шифрлэгдсэн 
 		хуваалтыг холбосноо салган цөмд залгаснаа бас салгах нь зүйтэй 
 		юм.</para>
 
 	  <screen>&prompt.root; <userinput>umount /private</userinput>
 &prompt.root; <userinput>geli detach da2.eli</userinput></screen>
 	</step>
       </procedure>
 
       <para>&man.geli.8;-ийг хэрэглэх тухай дэлгэрэнгүй мэдээллийг гарын авлагын хуудаснаас 
 	олж болно.</para>
 
       <sect3>
 	<title><filename>geli</filename> <filename>rc.d</filename> скриптийг ашиглах нь</title>
 
 	<para><command>geli</command> нь <command>geli</command>-ийн 
 	хэрэглээг хялбаршуулахад ашиглаж болох <filename>rc.d</filename> 
 	скрипттэй цуг ирдэг. <command>geli</command>-г &man.rc.conf.5;-оор 
 	тохируулах жишээг дараахаас харж болно:</para>
 
 	<programlisting>geli_devices="da2"
 geli_da2_flags="-p -k /root/da2.key"</programlisting>
 
 	<para>Энэ нь <filename>/dev/da2</filename>-г 
 	Мастер түлхүүр файл нь <filename>/root/da2.key</filename>-д байрлах 
 	<command>geli</command> үзүүлэгч гэж тохируулах бөгөөд 
 	үзүүлэгчийг залгаж байхдаа <command>geli</command> нь 
 	нэвтрэх үгийг ашиглахгүй (хэрэв <option>-P</option> сонголт 
 	<literal>geli init</literal> хийгдэх үед өгөгдсөн тохиолдолд энэ нь 
 	ашиглагдах боломжтой). Систем нь <command>geli</command> 
 	үзүүлэгчийг цөмөөс систем унтрахаас өмнө салгах болно.</para>
 
 	<para><filename>rc.d</filename>-г тохируулах талаар дэлгэрэнгүй мэдээлэл 
 		энэхүү гарын авлагын <link linkend="configtuning-rcd">rc.d</link> 
 		хэсэгт байгаа болно.</para>
       </sect3>
     </sect2>	
   </sect1>
 
 
   <sect1 id="swap-encrypting">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Крисчан</firstname>
 	  <surname>Брюффэр</surname>
 	  <contrib>Бичсэн </contrib>
 	</author>
       </authorgroup>
     </sect1info>
 
     <title>Swap зайг шифрлэх</title>
     <indexterm>
       <primary>swap</primary>
       <secondary>шифрлэх</secondary>
     </indexterm>
 
     <para>&os; дээрх swap-ийн шифрлэлт нь тохируулахад амархан байдаг бөгөөд 
 	&os; 5.3-RELEASE-с эхлээд ийм боломжтой болсон юм. &os;-ийн аль 
 	хувилбарыг ашиглаж байгаагаас хамаараад өөр өөр тохируулгууд байдаг бөгөөд 
 	тохиргоо нь нэлээн өөр өөр байдаг. &os; 6.0-RELEASE-с эхлээд 
 	&man.gbde.8; эсвэл &man.geli.8; шифрлэх системүүдийг swap-ийг 
 	шифрлэхэд ашиглаж болно. Өмнөх хувилбаруудад зөвхөн &man.gbde.8; 
 	байдаг. Энэ хоёр систем нь хоёулаа <filename>encswap</filename>
       <link linkend="configtuning-rcd">rc.d</link> скриптийг 
 	ашигладаг.</para>
 
     <para>Өмнөх <link linkend="disks-encrypting">Дискний хуваалтуудыг шифрлэх</link> 
 	хэсэг нь өөр өөр шифрлэх системүүдийн тухай богино хэлэлцүүлгийг агуулдаг.</para>
 
     <sect2>
       <title>Swap яагаад шифрлэгдэх ёстой вэ?</title>
 
       <para>Дискний хуваалтуудын шифрлэлтийн нэгэн адил swap зайн шифрлэлт нь эмзэг 
 	мэдээллийг хамгаалахын тулд хийгддэг. Нууц үгстэй ажилладаг програм байлаа гэж 
 	бодъё. Эдгээр нууц үгс нь физик санах ойд байгаа үед бүгд зүгээр байна. Гэхдээ 
 	хэрэв үйлдлийн систем нь бусад програмуудад зориулж зайг чөлөөлөхийн тулд санах 
 	ойн хуудаснуудыг swap хийж эхэлбэл нууц үгс нь дискний хавтгай дээр шифрлэгдэлгүй 
 	бичигдэж болох бөгөөд энэ нь өрсөлдөгчийн хувьд олж авахад амархан болох юм.
 	Swap зайг шифрлэх нь энэ тохиолдолд шийдэл болж болох юм.</para>
     </sect2>
 
     <sect2>
       <title>Бэлтгэл</title>
 
       <note>
 	<para>Энэ хэсгийн үлдсэн хэсэгт <devicename>ad0s1b</devicename> нь 
 	swap хуваалт байх болно.</para>
       </note>
 
       <para>Энэ хүртэл swap нь шифрлэгдээгүй байгаа билээ. Аль хэдийн нууц үгс эсвэл бусад 
 	эмзэг өгөгдөл дискний хавтгайнууд дээр цэвэр текстээр байж болзошгүй юм. Үүнийг 
 	засварлахын тулд swap хуваалт дээрх өгөгдлийг санамсаргүй хаягдлаар дарж бичих 
 	хэрэгтэй:</para>
 
       <screen>&prompt.root; <userinput>dd if=/dev/random of=/dev/ad0s1b bs=1m</userinput></screen>
     </sect2>
 
     <sect2>
       <title>&man.gbde.8; ашиглан swap шифрлэлт хийх</title>
 
       <para>Хэрэв &os; 6.0-RELEASE болон түүнээс шинэ хувилбар ашиглагдаж байгаа бол 
 	<literal>.bde</literal> дагаварыг <filename>/etc/fstab</filename>-ийн 
 	тохирох swap мөр дэх төхөөрөмжид нэмэх шаардлагатай:</para>
 
       <programlisting>
 # Device                Mountpoint      FStype  Options         Dump    Pass#
 /dev/ad0s1b.bde         none            swap    sw              0       0
       </programlisting>
 
       <para>&os; 6.0-RELEASE хувилбараас өмнөх системүүдэд дараах мөр нь 
 	<filename>/etc/rc.conf</filename> файлд бас хэрэгтэй:</para>
 
       <programlisting>gbde_swap_enable="YES"</programlisting>
     </sect2>
 
     <sect2>
       <title>&man.geli.8; ашиглан swap шифрлэлт хийх</title>
 
       <para>Өөрөөр, swap шифрлэлтэд зориулж &man.geli.8;-г ашиглах процедур нь 
 	&man.gbde.8; ашиглахтай төстэй. <literal>.eli</literal> дагаварыг 
 	<filename>/etc/fstab</filename>-ийн тохирох swap мөр дэх төхөөрөмжид 
 	нэмэх шаардлагатай:</para>
 
       <programlisting>
 # Device                Mountpoint      FStype  Options         Dump    Pass#
 /dev/ad0s1b.eli         none            swap    sw              0       0
       </programlisting>
 
       <para>&man.geli.8; нь <acronym>AES</acronym> алгоритмийг анхдагчаар 
 	256 битийн урттай түлхүүртэй ашигладаг.</para>
 
       <para>Мөн эдгээр  анхдагчуудыг <filename>/etc/rc.conf</filename> файлд
 	<literal>geli_swap_flags</literal> тохируулгыг ашиглан 
 	өөрчилж болно. Дараах мөр нь <filename>encswap</filename> rc.d 
 	скриптийг <quote>detach on last close</quote> тохируулгыг зааж 4 
 	килобайтын секторын хэмжээтэй, 128 бит түлхүүрийн урттайгаар Blowfish 
 	алгоритм ашиглан &man.geli.8; swap хуваалт үүсгэ гэж хэлж байна:</para>
 
       <programlisting>geli_swap_flags="-e blowfish -l 128 -s 4096 -d"</programlisting>
 
       <para>&os; 6.2-RELEASE хувилбараас өмнөх системүүд дээр доор дурдсан мөрийг ашиглана:</para>
 
       <programlisting>geli_swap_flags="-a blowfish -l 128 -s 4096 -d"</programlisting>
 
       <para>&man.geli.8; гарын авлагын хуудсан дахь <command>onetime</command> тушаалын тайлбараас 
 	боломжит тохируулгуудын жагсаалтыг лавлана уу.</para>
     </sect2>
 
     <sect2>
       <title>Ажиллаж байгаа эсэхийг шалгах</title>
 
       <para>Систем дахин ачаалагдсаны дараа шифрлэгдсэн swap-ийн зөв үйлдлийг 
 	<command>swapinfo</command> тушаал ашиглан шалгаж 
 	болно.</para>
 
       <para>Хэрэв &man.gbde.8; ашиглагдаж байвал:</para>
 
       <screen>&prompt.user; <userinput>swapinfo</userinput>
 Device          1K-blocks     Used    Avail Capacity
 /dev/ad0s1b.bde    542720        0   542720     0%
       </screen>
 
       <para>Хэрэв &man.geli.8; ашиглагдаж байвал:</para>
 
       <screen>&prompt.user; <userinput>swapinfo</userinput>
 Device          1K-blocks     Used    Avail Capacity
 /dev/ad0s1b.eli    542720        0   542720     0%
       </screen>
     </sect2>
   </sect1>
 </chapter>
 
 <!--
      Local Variables:
      mode: sgml
      sgml-declaration: "../chapter.decl"
      sgml-indent-data: t
      sgml-omittag: nil
      sgml-always-quote-attributes: t
      sgml-parent-document: ("../book.sgml" "part" "chapter")
      End:
 -->
diff --git a/mn_MN.UTF-8/books/handbook/kernelconfig/chapter.sgml b/mn_MN.UTF-8/books/handbook/kernelconfig/chapter.sgml
index 06fc7194da..ebf632bcce 100644
--- a/mn_MN.UTF-8/books/handbook/kernelconfig/chapter.sgml
+++ b/mn_MN.UTF-8/books/handbook/kernelconfig/chapter.sgml
@@ -1,1454 +1,1454 @@
 <!--
      The FreeBSD Mongolian Documentation Project
 
-     Original revision 1.181
+     Original revision 1.183
 
      $FreeBSD$
 -->
 
 <chapter id="kernelconfig">
   <chapterinfo>
     <authorgroup>
       <author>
 	<firstname>Жим</firstname>
 	<surname>Мок</surname>
 	<contrib>Шинэчилж дахин бүтцийг өөрчилсөн  </contrib>
  	<!-- Mar 2000 -->
       </author>
     </authorgroup>
     <authorgroup>
       <author>
 	<firstname>Жэйк</firstname>
 	<surname>Хэмби</surname>
 	<contrib>Анхлан хувь нэмэр болгож оруулсан  </contrib>
 	<!-- 6 Oct 1995 -->
       </author>
     </authorgroup>
     <authorgroup>
       <author>
 	<firstname>Цагаанхүүгийн</firstname>
 	<surname>Ганболд</surname>
 	<contrib>Орчуулсан  </contrib>
  	<!-- Nov 2006 -->
       </author>
     </authorgroup>
   </chapterinfo>
 
   <title>FreeBSD цөмийг тохируулах нь</title>
 
   <sect1 id="kernelconfig-synopsis">
     <title>Ерөнхий агуулга</title>
 
     <indexterm>
       <primary>цөм</primary>
       <secondary>өөрчлөн тохируулж цөм бүтээх нь</secondary>
     </indexterm>
 
     <para>Цөм нь &os; үйлдлийн системийн гол зүрх юм. Энэ нь санах ойг удирдах,
 	аюулгүй байдлын хяналтуудыг хийх, сүлжээнд холбогдох, диск уруу хандах 
 	зэрэг олон үйлдлүүдийг хариуцан хийдэг. &os; улам илүү динамикаар тохируулагдах
 	болсон боловч зарим тохиолдолд цөмийг дахин тохируулж хөрвүүлэх шаардлага гардаг.</para>
 
     <para>Энэ бүлгийг уншсаны дараа, та дараах зүйлсийг мэдэх болно:</para>
 
     <itemizedlist>
       <listitem>
 	<para> Та магадгүй яагаад өөрт тохируулсан цөм бүтээх хэрэгтэй талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Цөмийн тохиргооны файлыг хэрхэн бичих эсвэл байгаа тохиргооны файлыг 
 	хэрхэн өөрчлөх талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Цөмийн тохиргооны файлыг хэрхэн ашиглаж шинэ цөм үүсгэж бүтээх талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Шинэ цөмийг хэрхэн суулгах талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Хэрэв юм буруугаар эргэвэл хэрхэн алдааг олох талаар.</para>
       </listitem>
     </itemizedlist>
 
     <para>Энэхүү бүлгийн жишээнүүд дэх тушаалууд нь амжилттай болохын тулд 
 	<username>root</username> эрхээр ажиллах ёстой.</para>
   </sect1>
 
   <sect1 id="kernelconfig-custom-kernel">
     <title>Яагаад өөрчлөн тохируулсан цөм бүтээх хэрэгтэй вэ?</title>
 
     <para>Уламжлалаар бол &os; нь <quote>monolithic</quote> цөмтэй байсан байна.
 	Энэ нь цөм тоотой хэдэн төхөөрөмжүүдийн жагсаалтыг дэмжсэн нэг том програм 
 	байсан гэсэн үг бөгөөд хэрэв та цөмийн ажиллагааг өөрчлөх бол шинэ цөм хөрвүүлж 
 	дараа нь компьютераа шинэ цөмөөр ачаалан эхлүүлэх шаардлагатай байсан билээ.</para>
 
     <para>Өнөөдөр &os; нь цөмийн ихэнх ажиллагаагаа шаардлагын дагуу динамикаар ачаалдаг 
 	ба цөмөөс буцааж буулгах боломж бүхий модулиудаар тусгаарлагдсан загвар уруу шилжиж 
 	байна. Энэ нь цөм шинэ тоног төхөөрөмжид (зөөврийн компьютер дэх PCMCIA 
 	картууд зэрэг) дасан зохицож түүнийг хурдан хүртээмжтэй болгох, эсвэл цөм анх  
 	хөрвүүлэгдэхдээ цөмд хэрэггүй байсан шинэ ажиллагааг цөмд бий болгох боломжийг 
 	бүрдүүлдэг. Үүнийг модульчлагдсан цөм хэмээдэг юм.</para>
 
     <para>Тэгсэн ч гэсэн зарим статик цөмийн тохиргоог заавал хийх шаардлагатай. Зарим 
 	тохиолдолд ажиллагаа нь цөмтэй нягт холбоотой учраас динамикаар ачаалахаар хийх 
 	боломжгүй байдаг юм. Бас энэ нь энгийнээр бол тэр үйл ажиллагаанд зориулж динамикаар 
 	ачаалах модулийг бичих цаг хэнд ч олдоогүй байж болох юм.</para>
 
     <para>Өөрчлөн тохируулсан цөм бүтээх нь BSD хэрэглэгчийн хувьд хамгийн чухал тэсвэрлэн давж гарах 
 	ажиллагаануудын нэг юм. Энэ процесс нь цаг их зарцуулах боловч таны &os; системд
 	олон ашиг өгөх болно.Өргөн хүрээний тоног төхөөрөмжүүдийг дэмжих ёстой 
 	<filename>GENERIC</filename> цөмтэй харьцуулахад өөрчлөн тохируулсан цөм нь 
 	зөвхөн таны PC-ний тоног төхөөрөмжүүдийг дэмждэг. Энэ нь дараах хэд хэдэн ашигтай:</para>
 
     <itemizedlist>
       <listitem>
 	<para>Хурдан ачаалах хугацаа. Цөм нь таны систем дэх тоног төхөөрөмжүүдийг зөвхөн
 	шалгах учраас системийг ачаалах хугацаа мэдэгдэхүйц багасдаг.</para>
       </listitem>
 
       <listitem>
 	<para>Санах ойн ашиглалт багасна. Өөрчлөн тохируулсан цөм нь ихэнхдээ 
 	<filename>GENERIC</filename> цөмөөс бага санах ойг ашигладаг бөгөөд 
 	энэ нь их чухал юм, яагаад гэвэл цөм үргэлж жинхэнэ санах ойд байж байх 
 	шаардлагатай байдаг. Ийм учраас өөрчилсөн цөм нь  бага хэмжээний RAM-тай систем 
 	дээр ялангуяа ашигтай байдаг.</para>
       </listitem>
 
       <listitem>
 	<para>Нэмэлт тоног төхөөрөмжийн дэмжлэг. Дууны картууд зэрэг 
 	<filename>GENERIC</filename> цөмд байхгүй төхөөрөмжүүдийн дэмжлэгийг 
 	нэмэх боломжийг танд өөрчлөн тохируулсан цөм олгоно.</para>
       </listitem>
     </itemizedlist>
   </sect1>
 
   <sect1 id="kernelconfig-devices">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Бичсэн </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <title>Системийн тоног төхөөрөмж хайж олох нь</title>
     
     <para>Цөмийн тохиргоо уруу орж үзээд алдахаасаа өмнө машиныхаа 
       тоног төхөөрөмжийн бүртгэлийг олж авах нь ухаалаг явдал юм. 
       &os; нь үндсэн үйлдлийн систем биш тохиолдолд байгаа үйлдлийн 
       системийн тохиргоог харан бүртгэлийн жагсаалтыг хялбархан 
       үүсгэж болно. Жишээ нь &microsoft;-ийн 
       <application>Device Manager</application> буюу төхөөрөмжийн 
       менежер нь суулгагдсан төхөөрөмжүүдийн талаарх чухал 
       мэдээллийг ихэвчлэн агуулдаг. 
       <application>Device Manager</application> нь control panel 
       буюу хяналтын самбарт байрладаг.</para>
 
     <note>
       <para>&microsoft.windows;-ийн зарим хувилбаруудад  
 	<application>System</application> гэсэн дүрс байдаг бөгөөд 
 	энэ нь <application>Device Manager</application> уруу хандах 
 	боломжтой дэлгэцийг харуулдаг.</para>
     </note>
 
     <para>Хэрэв өөр үйлдлийн систем машин дээр байхгүй бол 
       администратор энэ мэдээллийг өөрөө олох хэрэгтэй болно. 
       Нэг арга нь &man.dmesg.8; хэрэгсэл болон &man.man.1; 
       тушаалуудыг ашиглах явдал юм. &os; дээр ихэнх төхөөрөмжийн 
       драйверууд нь дэмжигдсэн тоног төхөөрөмжүүдийн жагсаалтыг 
       харуулсан гарын авлагын хуудастай байдаг бөгөөд ачаалах үед 
       шалгаж байх явцад олдсон тоног төхөөрөмжийг харуулдаг. 
       Жишээ нь дараах мөрүүд нь <devicename>psm</devicename> 
       драйвер хулгана олсон гэдгийг харуулж байна:</para>
 
     <programlisting>psm0: &lt;PS/2 Mouse&gt; irq 12 on atkbdc0
 psm0: [GIANT-LOCKED]
 psm0: [ITHREAD]
 psm0: model Generic PS/2 mouse, device ID 0</programlisting>
 
     <para>Энэ драйвер нь өөрчлөн тохируулах цөмийн тохиргооны 
       файлд орсон байх эсвэл &man.loader.conf.5; ашиглан ачаалагдсан 
       байх хэрэгтэй болно.<para>
 
     <para>Зарим тохиолдолд <command>dmesg</command>-ээс гарч 
       байгаа өгөгдөл нь ачаалалтын шалгалт, илрүүлэлтийн гаралтыг 
       биш зөвхөн системийн мэдэгдлүүдийг үзүүлдэг. Эдгээр тохиолдлуудад 
       <filename>/var/run/dmesg.boot</filename> файлыг 
       үзэн гаралтыг олж авч болно.</para>
 
     <para>Тоног төхөөрөмжийг олох өөр нэг арга бол илүү дэлгэрэнгүй 
       гаралтыг үзүүлдэг &man.pciconf.8; хэрэгслийг ашиглах явдал юм. 
       Жишээ нь:</para>
 
     <programlisting>ath0@pci0:3:0:0:        class=0x020000 card=0x058a1014 chip=0x1014168c rev=0x01 hdr=0x00
     vendor     = 'Atheros Communications Inc.'
     device     = 'AR5212 Atheros AR5212 802.11abg wireless'
     class      = network
     subclass   = ethernet</programlisting>
 
     <para><command>pciconf <option>-lv</option></command> ашиглан 
       олж авсан энэ бяцхан мэдээлэл нь <devicename>ath</devicename> 
       драйвер утасгүй Ethernet төхөөрөмжийг олсныг харуулж байна. 
       <command>man <replaceable>ath</replaceable></command> тушаалыг 
       ашиглавал &man.ath.4; гарын авлагын хуудсыг харуулах 
       болно.</para>
 
     <para>Ашигтай мэлээлэл олж авахын тулд &man.man.1; уруу 
       <option>-k</option> тугийг өгөн ашиглаж болно. Дээрхээс 
       ингэж өгч болно:</para>
 
     <screen>&prompt.root; man -k <replaceable>Atheros</replaceable></screen>
 
     <para>Тухайн нэг үг агуулсан гарын авлагын хуудсын жагсаалтыг 
       олж авахын тулд:</para>
 
     <programlisting>ath(4)                   - Atheros IEEE 802.11 wireless network driver
 ath_hal(4)               - Atheros Hardware Access Layer (HAL)</programlisting>
 
     <para>Тоног төхөөрөмжийн жагсаалтаар зэвсэглэснээр
       цөмийг өөрчлөн тохируулж бүтээх процесс нь арай хялбар болно.</para>
   </sect1>
 
   <sect1 id="kernelconfig-building">
     <title>Өөрчлөн тохируулсан цөмийг бүтээх ба суулгах нь</title>
     <indexterm>
       <primary>цөм</primary>
       <secondary>бүтээх / суулгах</secondary>
     </indexterm>
 
     <para>Эхлээд цөм бүтээх сангаар аялая. Дурдсан бүх сангуудаас гол нь
 	<filename>/usr/src/sys</filename> сан байх бөгөөд
 	<filename>/sys</filename> гэсэн замаар бас хандах боломжтой.
 	Энд байгаа хэд хэдэн дэд сангууд цөмийн өөр өөр хэсгүүдийг илэрхийлэх бөгөөд
 	бидний зорилгод хамгийн чухал нь таны өөрчлөн тохируулах цөмийн тохиргоог
 	засварлах <filename><replaceable>arch</replaceable>/conf</filename>
 	сангууд болон таны цөм бүтээгдэх  шатны талбар <filename>compile</filename>
 	сан юм. <replaceable>arch</replaceable> нь 
 	<filename>i386</filename>, <filename>alpha</filename>,
       	<filename>amd64</filename>, <filename>ia64</filename>,
       	<filename>powerpc</filename>, <filename>sparc64</filename>, эсвэл
       	<filename>pc98</filename> (Японд их ашиглагддаг PC тоног төхөөрөмжийн 
 	өөр нэг хөгжүүлэлтийн салбар) зэргийг төлөөлдөг. Тухайн архитектурын сан доторх
 	код зөвхөн тэр архитектуртай холбоотой; бусад кодын хэсэг нь &os; порт хийгдэх
 	боломж бүхий бүх тавцангуудын хувьд адил машинаас чөлөөт код байна. Сангийн бүтцийн
 	логик зохион байгуулалт нь дэмжлэг хийгдсэн төхөөрөмж, файлын систем болон өөрийн дэд
 	санд байгаа тохируулга бүртэй хамт байгааг харж болно.</para>
 
     <para>Энэ бүлэг жишээн дээр таныг i386 архитектур ашиглаж байгаа гэж авч үзнэ.
 	Хэрэв энэ нь таны хувьд өөр байх юм бол та өөрийн системийн архитектурын хувьд замуудын 
 	нэрнүүддээ тохирох өөрчлөлтүүдийг хийгээрэй.</para>
 
     <note>
       <para>Хэрэв таны систем дээр <filename>/usr/src/sys</filename> сан 
 	<emphasis>байхгүй</emphasis> бол цөмийн эх суугаагүй байна. Үүнийг хамгийн хялбар аргаар
 	хийхийн тулд <username>root</username> эрхээр <command>sysinstall</command>
 	ажиллуулж <guimenuitem>Configure</guimenuitem> сонгоод, дараа нь 
 	<guimenuitem>Distributions</guimenuitem> сонгоод, 
 	<guimenuitem>src</guimenuitem> сонгоод, дараа нь
 	<guimenuitem>base</guimenuitem> болон 
 	<guimenuitem>sys</guimenuitem>-г сонгож татаж авна. Хэрэв та 
 	<application>sysinstall</application> -д дургүй ба 
 	<quote>албан ёсны</quote> &os; CDROM-д хандах боломжтой бол
 	тушаалын мөрөөс эхийг бас суулгаж болно:</para>
 
       <screen>&prompt.root; <userinput>mount /cdrom</userinput>
 &prompt.root; <userinput>mkdir -p /usr/src/sys</userinput>
 &prompt.root; <userinput>ln -s /usr/src/sys /sys</userinput>
 &prompt.root; <userinput>cat /cdrom/src/ssys.[a-d]* | tar -xzvf -</userinput>
 &prompt.root; <userinput>cat /cdrom/src/sbase.[a-d]* | tar -xzvf -</userinput></screen>
     </note>
 
     <para>Дараа нь <filename><replaceable>arch</replaceable>/conf</filename>
 	сан уруу шилжээд <filename>GENERIC</filename> тохиргооны файлыг та өөрийн цөмдөө өгөх
 	нэр уруу хуул.  Жишээ нь:</para>
 
     <screen>&prompt.root; <userinput>cd /usr/src/sys/<replaceable>i386</replaceable>/conf</userinput>
-&prompt.root; <userinput>cp GENERIC MYKERNEL</userinput></screen>
+&prompt.root; <userinput>cp GENERIC <replaceable>MYKERNEL</replaceable></userinput></screen>
 
     <para>Уламжлалаар бол энэ нэр нь бүгд том үсгээр байдаг, хэрэв та олон өөр өөр төрлийн &os;
 	машинуудын ажиллагааг хянадаг бол машинуудынхаа нэрээр нэрлэх нь зохимжтой юм.
-	Бид энэ жишээнийхээ зорилгоор <filename>MYKERNEL</filename> гэж нэрлэе.</para>
+	Бид энэ жишээнийхээ зорилгоор <filename><replaceable>MYKERNEL</replaceable></filename> гэж нэрлэе.</para>
 
     <tip>
       <para>Өөрийн цөмийн тохиргооны файлаа шууд <filename>/usr/src</filename>
 	доор хадгалах нь буруу байж болох юм. Хэрэв та асуудлуудтай тулгарч байгаа бол 
 	<filename>/usr/src</filename> -ийг устгаад л дахиж эхлэх нь зоригтой
 	алхам байж болох юм. Гэхдээ үүнийг хийгээд хэдэн секундын дараа л та өөрийн 
 	өөрчлөн тохируулсан цөмийн тохиргооны файлаа устгасан болохоо мэдэх болно.
 	Мөн <filename>GENERIC</filename> файлыг шууд засварлах хэрэггүй бөгөөд
 	дараагийн удаа <link linkend="cutting-edge">өөрийн эх модыг шинэчлэх</link> 
 	үйлдлийг хийхэд дарагдан хуулагдаж таны цөмийн өөрчлөлт алдагдаж магадгүй.</para>
 
       <para>Та цөмийн тохиргооны файлаа өөр газар хадгалж дараа нь 
 	<filename><replaceable>i386</replaceable></filename> сан дахь 
 	файл уруу тэмдэгт холбоос үүсгэж болно.</para>
 
       <para>Жишээ нь:</para>
 
       <screen>&prompt.root; <userinput>cd /usr/src/sys/<replaceable>i386</replaceable>/conf</userinput>
 &prompt.root; <userinput>mkdir /root/kernels</userinput>
 &prompt.root; <userinput>cp GENERIC /root/kernels/<replaceable>MYKERNEL</replaceable></userinput>	
 &prompt.root; <userinput>ln -s /root/kernels/<replaceable>MYKERNEL</replaceable></userinput></screen>
     </tip>
 
-    <para>Одоо <filename>MYKERNEL</filename> -ийг өөрийн дуртай текст засварлагч дээр
+    <para>Одоо <filename><replaceable>MYKERNEL</replaceable></filename>-ийг өөрийн дуртай текст засварлагч дээр
 	засаарай. Хэрэв та дөнгөж эхэлж байгаа бол байгаа цорын ганц засварлагч нь 
 	<application>vi</application> байж болох бөгөөд түүнийг энд тайлбарлахад хэтэрхий
 	төвөгтэй боловч <link linkend="bibliography">номын жагсаалтад</link> 
 	байгаа өөр олон номнуудад бичсэн байгаа. Гэхдээ &os; нь <application>ee</application>
 	гэдэг хялбар засварлагчийг санал болгодог бөгөөд хэрэв та эхлэн сурагч бол энэ нь 
 	таны сонгох засварлагч байх болно. Өөрийн тохиргоог тусгах эсвэл <filename>GENERIC</filename>
 	файлаас өөрийн хийсэн өөрчлөлтүүдээс ялгахын тулд дээд хэсэгт байгаа мөрүүдийг 
 	чөлөөтэй өөрчлөөрэй.</para>
     <indexterm><primary>SunOS</primary></indexterm>
 
     <para>Хэрэв та &sunos; эсвэл өөр BSD үйлдлийн системийн доор цөм бүтээж байсан бол
 	энэ файлын ихэнх хэсэг нь маш танил байх болно. Хэрэв та DOS зэрэг өөр үйлдлийн 
 	системээс ирж байгаа бол нөгөө талаасаа <filename>GENERIC</filename>
 	тохиргооны файл төвөгтэй юм шиг санагдаж болох бөгөөд 
 	<link linkend="kernelconfig-config">Тохиргооны файл</link> хэсгийн
 	тайлбаруудыг удаан нухацтай дагаарай.</para>
 
     <note>
       <para>Хэрэв та &os; төслийн хамгийн сүүлийн эхээр <link
         linkend="cutting-edge">өөрийн эх модоо сүүлийн үеийн хэлбэрт авчирсан</link> бол
 	шинэчлэх шатуудаа хэрэгжүүлж эхлэхээсээ өмнө <filename>/usr/src/UPDATING</filename> 
 	файлыг үргэлж шалгаж байх нь чухал юм. Энэ файл нь шинэчилсэн эх код доторх тусгай 
 	анхаарал шаардлагатай чухал асуудлууд эсвэл хэсгүүдийн талаар тайлбарладаг.
 	<filename>/usr/src/UPDATING</filename> нь үргэлж таны &os;
 	хувилбартай таардаг бөгөөд энэ гарын авлагаас илүү шинэ мэдээлэлтэй, сүүлийн үеийнх 
 	байдаг.</para>
     </note>
 
     <para>Та цөмд зориулан эх кодоо хөрвүүлэх шаардлагатай.
 
 <!-- Marc Fonveille removed this 
 
 	Үүнийг хийхдээ 2 аргыг та 
 	ашиглаж болох бөгөөд яагаад та цөмийг дахин бүтээж байгаа болон таны ажиллуулж байгаа 
 	&os; -ийн хувилбараас хамааран алийг ашиглах нь хамаарна.</para>
 
     <itemizedlist>
       <listitem>
 	<para>Хэрэв та <emphasis>зөвхөн</emphasis> цөмийн эх кодыг суулгасан бол 
 	1-р аргыг ашигла.</para>
       </listitem>
 
       <listitem>
 	<para>Хэрэв та шинэ цөмийг эх кодыг шинэчлэлгүйгээр бүтээж байгаа бол 
 	(<literal>IPFIREWALL</literal> зэрэг магадгүй шинэ тохируулга нэмэх гэж байгаа бол)
 	аль ч аргыг ашиглаж болно.</para>
       </listitem>
 
       <listitem>
 	<para>Хэрэв та цөмийг <command>make buildworld</command> процессийн
 	хүрээнд бүтээж байгаа бол 2-р аргыг хэрэглэ.
         </para>
       </listitem>
     </itemizedlist>
     
     <indexterm>
       <primary><command>cvsup</command></primary>
     </indexterm>
     <indexterm><primary>CTM</primary></indexterm>
     <indexterm>
       <primary>CVS</primary>
       <secondary>anonymous</secondary>
     </indexterm>
 
     <para>Хэрэв та эх модоо 
 	<maketarget>buildworld</maketarget>-<maketarget>installworld</maketarget> -ийн
 	хүрээнд амжилттай дууссанаас хойш огт <emphasis>шинэчлээгүй</emphasis> бол
       	(та  <application>CVSup</application>,
       	<application>CTM</application> ажиллуулаагүй, эсвэл 
       	<application>anoncvs</application> ашиглаагүй бол)
       	<command>config</command>, <command>make depend</command>,
      	<command>make</command>, <command>make install</command> дарааллаар 
 	тушаалуудыг айлгүй ашиглаж болно.
     </para>
 -->
 
     <procedure>
       <title>Цөмийг бүтээх нь</title>
 
       <step>
 	<para> <filename
 	  role="directory">/usr/src</filename> сан уруу орно:</para>
 
 	<screen>&prompt.root; <userinput>cd /usr/src</userinput></screen>
       </step>
 
       <step>
 	<para>Цөмийг хөрвүүлнэ:</para>
 
 	<screen>&prompt.root; <userinput>make buildkernel KERNCONF=<replaceable>MYKERNEL</replaceable></userinput></screen>
       </step>
 
       <step>
 	<para>Шинэ цөмийг суулгана:</para>
 
 	<screen>&prompt.root; <userinput>make installkernel KERNCONF=<replaceable>MYKERNEL</replaceable></userinput></screen>
       </step>
     </procedure>
 
     <note>
       <para>Цөмийг бүтээхэд гүйцэд &os;-ийн эх мод байх шаардлагатай.</para>
     </note>
 
     <tip>
       <para> Анхдагчаар өөрчлөн тохируулсан цөмийг бүтээхэд <emphasis>бүх</emphasis>
 	цөмийн модулиуд бас бүтээгдэнэ. Хэрэв та цөмийг хурдан шинэчлэхийг  
 	эсвэл зөвхөн өөрчлөн тохируулсан модулиудыг бүтээхийг хүсэж байгаа бол цөмийг бүтээж
 	эхлэхээсээ өмнө <filename>/etc/make.conf</filename> файлыг засварлах 
 	хэрэгтэй:</para>
 
       <programlisting>MODULES_OVERRIDE = linux acpi sound/sound sound/driver/ds1 ntfs</programlisting>
 
       <para>Энэ хувьсагч нь бүгдийг биш бүтээх модулиудын жагсаалтыг тодорхойлдог.</para>
 
       <programlisting>WITHOUT_MODULES = linux acpi sound/sound sound/driver/ds1 ntfs</programlisting>
 
       <para>Энэ хувьсагч нь бүтээх процессод оруулахгүй байх модулиудын жагсаалтыг 
 	тодорхойлдог. Цөмийг бүтээх процессийн явцад танд хэрэг болохуйц бусад 
 	хувьсагчуудын тухайд &man.make.conf.5; гарын авлагын хуудсанд хандаж 
 	үзнэ үү.</para>
     </tip>
 
     <indexterm>
       <primary><filename class="directory">/boot/kernel.old</filename></primary>
     </indexterm> 
 
     <para>Шинэ цөм <filename class="directory">/boot/kernel</filename> санд
 	<filename>/boot/kernel/kernel</filename> нэрээр хуулагдах бөгөөд
 	хуучин цөм нь <filename>/boot/kernel.old/kernel</filename> уруу хуулагдана.
 	Одоо системийг унтраагаад шинэ цөмийг ашиглан дахин ачаал. Хэрэв ямар нэг юм болохгүй болбол 
 	энэ бүлгийн төгсгөлд байгаа <link linkend="kernelconfig-trouble">алдааг олж засварлах</link> 
 	заавар танд хэрэгтэй байж болох юм. Таны шинэ цөм <link
       	linkend="kernelconfig-noboot">ачаалахгүй</link> тохиолдолд хэрхэн сэргээх 
 	талаар тайлбарласан хэсгийг заавал уншаарай.</para>
 
     <note>
       <para>Ачаалах &man.loader.8; ба тохиргоо зэрэг ачаалах процесстой холбоотой бусад файлууд
 	<filename>/boot</filename> -д хадгалагдана. Гуравдагч этгээдийн
 	эсвэл өөрчлөн тохируулсан модулиуд <filename class="directory">/boot/kernel</filename>-д
 	байрлах бөгөөд гэхдээ модулиудыг хөрвүүлсэн цөмийн адил сүүлийн үеийн хэлбэрт байлгах нь маш чухал гэдгийг
 	хэрэглэгчид мэдэх шаардлагатай. Хөрвүүлсэн цөмтэй хамт ажиллуулахааргүй модулиуд нь 
 	тогтворгүй байдал эсвэл буруу ажиллагаанд хүргэж болзошгүй юм.</para>
     </note>
   </sect1>
 
   <sect1 id="kernelconfig-config">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Жоэл</firstname>
 	  <surname>Даль</surname>
 	  <contrib>&os; 6.X -д зориулан шинэчилсэн </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <title>Тохиргооны файл</title>
     <indexterm>
       <primary>цөм</primary>
       <secondary>ТЭМДЭГЛЭЛҮҮД</secondary>
     </indexterm>
     <indexterm><primary>ТЭМДЭГЛЭЛҮҮД</primary></indexterm>
     <indexterm>
       <primary>цөм</primary>
       <secondary>тохиргооны файл</secondary>
     </indexterm>
 
     <para>Тохиргооны файлын ерөнхий хэлбэр нь маш энгийн билээ.
 	Мөр болгон түлхүүр үг бөгөөд нэг болон хэд хэдэн нэмэлт өгөгдлөөс тогтоно.
 	Амархан болгох үүднээс ихэнх мөрүүд нь зөвхөн нэг нэмэлт өгөгдөлтэй байна.
 	<literal>#</literal> тэмдэгтийн ард байгаа зүйлс тайлбар бөгөөд
 	хаягдаж тооцогдоно. Дараах хэсэгт түлхүүр үг болгоныг <filename>GENERIC</filename> -д
 	жагсаасан дарааллаар нь тайлбарлаж байна.
 	<anchor id="kernelconfig-options"> Архитектураас хамааралтай
 	тохируулгууд болон төхөөрөмжийн ядраамаар жагсаалтын талаар
 	<filename>GENERIC</filename> файл байгаа сангийн нэгэн адил санд байрлах
 	<filename>NOTES</filename> файлаас үзнэ үү.
 	Архитектураас хамааралгүй тохируулгуудын талаар 
 	<filename>/usr/src/sys/conf/NOTES</filename> файлаас үзнэ үү.
     </para>
     <note>
       <para>Тест хийх зорилгоор ихэнхдээ бүх байгаа тохируулгууд агуулсан файлыг бүтээхдээ 
 	дараах тушаалыг <username>root</username> эрхээр ажиллуулна:</para>
 
       <screen>&prompt.root; <userinput>cd /usr/src/sys/<replaceable>i386</replaceable>/conf &amp;&amp; make LINT</userinput></screen>
     </note>
 
     <indexterm>
       <primary>цөм</primary>
       <secondary>тохиргооны файл</secondary>
     </indexterm>
 
     <para>Дараах жишээ нь шаардлагатай бол тодотгох зорилгоор оруулсан төрөл бүрийн нэмэлт тайлбар бүхий
 	<filename>GENERIC</filename> цөмийн тохиргооны файл юм. Энэ жишээ нь
 	таны <filename>/usr/src/sys/<replaceable>i386</replaceable>/conf/GENERIC</filename>
 	дахь хуулбартай их ойрхон таарах ёстой.</para>
 
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>machine</secondary>
     </indexterm>
 
     <programlisting>machine		i386</programlisting>
 
     <para>Энэ нь машины архитектур юм.  Энэ нь 
       <literal>alpha</literal>, <literal>amd64</literal>,
       <literal>i386</literal>, <literal>ia64</literal>,
       <literal>pc98</literal>, <literal>powerpc</literal>, эсвэл
       <literal>sparc64</literal> -ийн аль нэг байх ёстой.</para>
 
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>cpu</secondary>
     </indexterm>
     <programlisting>cpu          I486_CPU
 cpu          I586_CPU
 cpu          I686_CPU</programlisting>
 
     <para>Дараах тохируулга нь таны системд байгаа CPU-ийн төрлийг заана.
 	Та олон CPU мөртэй байж болох боловч (хэрэв, жишээ нь та 
 	<literal>I586_CPU</literal> эсвэл <literal>I686_CPU</literal>
 	хоёрын алийг ашиглахаа сайн мэдэхгүй байгаа бол) өөрчлөн тохируулсан 
 	цөмийн хувьд зөвхөн байгаа CPU-гээ заах нь зүйтэй юм. Хэрэв та өөрийн
 	CPU-ийн төрлийг сайн мэдэхгүй байгаа бол <filename>/var/run/dmesg.boot</filename>
 	файлыг шалгаж ачаалах үеийн мэдээллүүдийг үзэж болно.</para>
 
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>ident</secondary>
     </indexterm>
 
     <programlisting>ident          GENERIC</programlisting>
 
     <para>Энэ нь цөмийг тодорхойлох нэр юм. Хэрэв та
 	түрүүний жишээнүүдэд дурдсан заавруудыг дагасан бол өөрийн цөмийг нэрлэсэн 
-	шигээ өөрөөр хэлбэл <literal>MYKERNEL</literal> хэмээн өөрчлөх
+	шигээ өөрөөр хэлбэл <literal><replaceable>MYKERNEL</replaceable></literal> хэмээн өөрчлөх
 	хэрэгтэй. <literal>ident</literal> мөрд оруулсан утга нь таныг цөмийг ачаалах
 	үед хэвлэгдэн гарах учир та өөрийн ердийн цөмөөс  шинэ цөмөө тусад нь хадгалахыг хүсвэл
 	шинэ цөмдөө өөр нэр өгөх нь ашигтай байдаг (өөрөөр хэлбэл та туршилтын цөм бүтээхийг 
 	хүсвэл).</para>
 
     <programlisting>#To statically compile in device wiring instead of /boot/device.hints
 #hints          "GENERIC.hints"         # Default places to look for devices.</programlisting>
 
     <para>&man.device.hints.5; нь төхөөрөмжүүдийн драйверуудын тохируулгуудыг
 	хийхэд ашиглагдана. &man.loader.8;-ийн ачаалах үе шалгах анхдагч байрлал нь
 	<filename>/boot/device.hints</filename> байна.
 	<literal>hints</literal> тохируулгыг ашиглаад та эдгээр зөвлөгөөнүүдийг
 	статикаар хөрвүүлж болно. Тэгэхэд <filename>/boot</filename> дотор 
 	<filename>device.hints</filename> файл үүсгэх шаардлагагүй
 	болох юм.</para>
 
     <!-- XXX: Add a comment here that explains when compiling hints into
       the kernel is a good idea and why. -->
 
     <programlisting>makeoptions     DEBUG=-g          # Build kernel with gdb(1) debug symbols</programlisting>
 
     <para>&os; -г бүтээх ердийн процесс нь дибаг (debug) хийх мэдээллийг агуулдаг
 	бөгөөд цөмийг бүтээх үед <option>-g</option> тохируулгыг &man.gcc.1; 
 	уруу өгснөөр дибаг (debug) хийх мэдээлэл идэвхждэг.</para>
 
     <programlisting>options          SCHED_4BSD         # 4BSD scheduler</programlisting>
 
     <para>&os; -ийн уламжлалт, анхдагч системийн төлөвлөгч/хуваарилагч.  Үүнийг үлдээ.</para>
 
     <programlisting>options          PREEMPTION         # Enable kernel thread preemption</programlisting>
 
     <para>Цөм дэх урсгалуудыг (thread) өөр илүү өндөр давуу эрхтэй урсгалуудаар
 	солих боломжийг бүрдүүлнэ. Энэ нь харилцан ажиллах болон таслах урсгалуудыг 
 	(interrupt threads) хүлээлгэлгүйгээр аль болох түргэн ажиллуулахад тусалдаг.</para>
 
     <programlisting>options          INET              # InterNETworking</programlisting>
 
     <para>Сүлжээний дэмжлэг. Сүлжээнд холбогдохгүй ч гэсэн энэ тохиргоог үлдээгээрэй.
 	Ихэнх програмууд эргэн холбогдох (loopback буюу өөрөөр хэлбэл өөрийн PC 
 	дотор сүлжээний холболт хийх) сүлжээг шаарддаг учир энэ нь үндсэндээ зайлшгүй 
 	шаардлагатай.</para>
 
     <programlisting>options          INET6             # IPv6 communications protocols</programlisting>
 
     <para>Энэ нь IPv6 холбооны протоколуудыг идэвхжүүлдэг.</para>
 
     <programlisting>options          FFS               # Berkeley Fast Filesystem</programlisting>
 
     <para>Энэ нь энгийн хатуу дискний файлын систем. Энэ тохируулгыг хатуу дискнээс 
 	ачаалах бол үлдээгээрэй.</para>
 
     <programlisting>options          SOFTUPDATES       # Enable FFS Soft Updates support</programlisting>
 
     <para>Энэ тохируулга нь Зөөлөн Шинэчлэлүүдийг цөм идэвхжүүлдэг бөгөөд
 	диск уруу бичих хандалтыг хурдасгахад тусалдаг. Хэдийгээр энэ боломжийг 
 	цөмөөр хангадаг боловч диск дээр идэвхжүүлэх шаардлагатай.
 	Таны системийн дискнүүд дээр Зөөлөн Шинэчлэлүүд идэвхжсэн эсэхийг
 	&man.mount.8; -ийн үр дүнгээр хянаарай. Хэрэв та <literal>soft-updates</literal>
 	тохируулгыг олж харахгүй байгаа бол &man.tunefs.8; (одоо байгаа системийн хувьд)
 	эсвэл &man.newfs.8; (шинэ файлын системийн хувьд) ашиглан идэвхжүүлэх хэрэгтэй.</para>
 
     <programlisting>options          UFS_ACL           # Support for access control lists</programlisting>
 
     <para>Энэ тохируулга нь хандалтыг хянах жагсаалтын дэмжлэгийг цөмд идэвхжүүлдэг.
 	Энэ нь өргөтгөсөн шинж чанарууд ба <acronym>UFS2</acronym>-ийг ашиглахад 
 	тулгуурлаж байгаа бөгөөд энэ боломжийн талаар <xref linkend="fs-acl"> дээр 
 	дэлгэрэнгүй тайлбарласан байдаг. <acronym>ACL</acronym>-үүд эхэндээ
 	идэвхжүүлсэн байдаг бөгөөд хэрэв урьд нь файлын систем дээр ашиглагдаж байсан 
 	бол хандалтыг хянах жагсаалтыг устгаж файлуудыг хамгаалсан аргыг урьдчилан тааж 
 	болшгүй байдалт хүргэдэг учир энэ тохируулгыг хааж болохгүй.</para>
 
     <programlisting>options          UFS_DIRHASH       # Improve performance on big directories</programlisting>
 
     <para>Энэ тохируулга нь нэмэгдэл санах ойг зарлагадаж том сангуудад хийх дискний 
 	үйлдлүүдийг хурдасгах ажиллагааг оруулдаг. Та том сервер эсвэл харилцан ажиллах 
 	ажлын станцад зориулж энэ тохируулгыг ерөнхийдөө хадгалах хэрэгтэй бөгөөд
 	хэрэв та &os;-г санах ой чухал жижиг систем ба дискний хандалтын хурдны ач 
 	холбогдол багатай галт хана мэтийн систем дээр ашиглаж байгаа бол устгаарай.</para>
 
     <programlisting>options          MD_ROOT           # MD is a potential root device</programlisting>
 
     <para>Энэ тохируулга нь санах ой дээр тулгуурласан, root төхөөрөмж болж ашиглагдах
 	виртуал дискний дэмжлэгийг идэвхжүүлдэг.</para>
 
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>NFS</secondary>
     </indexterm>
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>NFS_ROOT</secondary>
     </indexterm>
     <programlisting>options          NFSCLIENT         # Network Filesystem Client
 options          NFSSERVER         # Network Filesystem Server
 options          NFS_ROOT          # NFS usable as /, requires NFSCLIENT</programlisting>
 
     <para>Сүлжээний файлын систем. Хэрэв та TCP/IP-аар &unix; файлын серверээс 
 	хуваалтыг холболт хийх төлөвлөгөөгүй бол эдгээрийг тайлбар болгон хааж болно.</para>
 
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>MSDOSFS</secondary>
     </indexterm>
     <programlisting>options          MSDOSFS           # MSDOS Filesystem</programlisting>
 
     <para>&ms-dos; файлын систем. Хэрэв та DOS хэлбэржүүлсэн хатуу дискний хуваалтыг 
 	ачаалах үед холболт хийх төлөвлөгөөгүй бол үүнийг айлгүйгээр тайлбар болгон хааж болно.
 	Энэ нь дээр тайлбарласны дагуу эхний удаа DOS хуваалтыг холболт хийхэд автоматаар ачаалагдах 
 	болно. Мөн маш сайн <filename role="package">emulators/mtools</filename>
 	програм хангамж нь холболт болон салгалт хийлгүйгээр DOS уян дискнүүдэд хандах боломжийг 
 	бүрдүүлдэг (энэ нь <literal>MSDOSFS</literal>-ийг огт шаарддаггүй).</para>
 
     <programlisting>options          CD9660            # ISO 9660 Filesystem</programlisting>
 
     <para>CDROM-уудад зориулсан ISO 9660 файлын систем. Хэрэв та CDROM хөтлөгч
 	байхгүй эсвэл CD-ээс өгөгдлийг хааяа холболт хийдэг бол (таныг анх өгөгдлийн CD-г 
 	холболт хийх үед динамикаар ачаалагддаг учраас) тайлбар болгож хааж болно.
 	Дууны CD-үүд энэ файлын системийг хэрэглэдэггүй.</para>
 
     <programlisting>options          PROCFS            # Process filesystem (requires PSEUDOFS)</programlisting>
 
     <para>Процессийн файлын систем. Энэ нь &man.ps.1; шиг програмууд процессуудын 
 	ажиллаж байгаа талаар дэлгэрэнгүй мэдээлэл танд өгөх боломжийг бүрдүүлдэг 
 	<filename>/proc</filename> дээр холболт хийгдсэн <quote>хуурамч</quote> 
 	файлын систем юм. Ихэнх дибаг хийх ба монитор хийх хэрэгслүүд 
 	<literal>PROCFS</literal> -гүйгээр ажиллахаар хийгдсэн байдаг:
 	суулгалтууд нь энэ файлын системийг анхдагчаар холболт хийхгүй, тиймээс 
 	<literal>PROCFS</literal>-ийг ашиглах нь ихэнх тохиолдолд
 	шаардлагагүй байдаг.</para>
 
     <programlisting>options          PSEUDOFS          # Pseudo-filesystem framework</programlisting>
 
       <para>6.X цөмүүд <literal>PROCFS</literal> ашиглаж байгаа бол бас
 	<literal>PSEUDOFS</literal> дэмжлэгийг оруулах шаардлагатай.</para>
 
     <programlisting>options          GEOM_GPT          # GUID Partition Tables.</programlisting>
 
     <para>Энэ тохируулга нь нэг диск дээр их олон тооны хуваалт байх боломжийг
 	авчирна.</para>
 
     <programlisting>options          COMPAT_43         # Compatible with BSD 4.3 [KEEP THIS!]</programlisting>
 
     <para>4.3BSD-тэй нийцтэй байх. Үүнийг энэ чигээр орхи; хэрэв үүнийг тайлбар болгож
 	хаавал зарим програмууд сонин ажиллаж эхэлнэ.</para>
 
     <programlisting>options          COMPAT_FREEBSD4   # Compatible with &os;4</programlisting>
 
     <para>Энэ тохируулга нь &os;&nbsp;5.X &i386; ба Alpha системүүд дээр &os;-ийн хуучин 
 	хувилбарууд дээр хөрвүүлэгдсэн, хуучин системийн дуудлагуудын интерфэйсүүдийг ашигладаг
 	програмуудыг дэмжихэд шаардлагатай. Энэ тохируулгыг хуучин програмууд ашиглаж болзошгүй
 	бүх &i386; болон Alpha системүүд дээр ашиглахыг зөвлөж байна; ia64 ба &sparc64;
 	зэрэг 5.X дээр зөвхөн дэмжлэг хийгдсэн тавцангууд энэ тохируулгыг шаарддаггүй.</para>
 
     <programlisting>options          COMPAT_FREEBSD5   # Compatible with &os;5</programlisting>
 
     <para>Энэ тохируулга нь &os;&nbsp;5.X системийн дуудлагын интерфэйсүүдийг ашигладаг, 
 	&os;&nbsp;5.X хувилбарууд дээр эмхэтгэгдсэн програмуудыг &os;&nbsp;6.X болон 
 	түүнээс дараа үеийн хувилбарууд дээр дэмжихэд шаардлагатай.</para>
 
     <programlisting>options          SCSI_DELAY=5000  # Delay (in ms) before probing SCSI</programlisting>
 
     <para>Энэ нь цөмийг SCSI төхөөрөмжүүдийг шалгаж эхлэхээс өмнө 5 секунд түр зогсооно. Хэрэв
 	та зөвхөн IDE хатуу дисктэй бол үүнийг орхиж болно, эсрэг тохиолдолд ачаалалтыг хурдасгахын
 	тулд энэ тоог багасгаж болно. Мэдээж та үүнийг хийгээд &os; таны SCSI төхөөрөмжүүдийг
 	танихгүй бол та дахин үүнийг ихэсгэж болно.</para>
 
     <programlisting>options          KTRACE            # ktrace(1) support</programlisting>
 
     <para>Энэ нь дибаг хийхэд ашигтай, цөмийн процессийг дагах боломжийг идэвхжүүлдэг.</para>
 
     <programlisting>options          SYSVSHM           # SYSV-style shared memory</programlisting>
 
     <para>Энэ тохируулга нь System&nbsp;V хуваалцсан санах ойн боломж бүрдүүлдэг. Энэ боломжийн 
 	өргөн хэрэглээнүүдийн нэг нь X дэх XSHM өргөтгөл бөгөөд үүнийг график их шаарддаг олон програмууд 
 	автоматаар илүү хурд авахын тулд ашигладаг. Хэрэв та X ашигладаг бол үүнийг заавал оруулахыг
 	хүсэх болно.</para>
 
     <programlisting>options          SYSVMSG           # SYSV-style message queues</programlisting>
 
     <para>System&nbsp;V мэдээллүүдийн дэмжлэг. Энэ тохируулга нь зөвхөн хэдхэн зуун байтыг 
 	цөмд нэмдэг.</para>
 
     <programlisting>options          SYSVSEM           # SYSV-style semaphores</programlisting>
 
     <para>System&nbsp;V семафорын дэмжлэг. Нэг их өргөн ашиглагддаггүй боловч
 	хэдхэн зуун байтыг цөмд нэмдэг.</para>
 
     <note>
       <para>&man.ipcs.1; тушаалын  <option>-p</option> тохируулга нь эдгээр 
 	System&nbsp;V боломж бүрийг ашигласан процессуудыг жагсаадаг.</para>
     </note>
 
     <programlisting>options 	     _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions</programlisting>
 
     <para>Жинхэнэ-хугацааны (real-time) өргөтгөлүүд 1993 оны &posix;-д нэмэгдсэн.Портуудын 
 	цуглуулгаас зарим програмууд эдгээрийг ашигладаг (<application>&staroffice;</application>).</para>
 
     <programlisting>options          KBD_INSTALL_CDEV  # install a CDEV entry in /dev</programlisting>
 
     <para>Энэ тохируулга нь гарын төхөөрөмжийн цэгийг <filename>/dev</filename>-д үүсгэх боломжийг 
 	олгоход шаардлагатай байдаг.</para>
 
     <programlisting>options          ADAPTIVE_GIANT    # Giant mutex is adaptive.</programlisting>
 
     <para>Giant гэдэг нь харилцан нэгийгээ оруулахгүй байх зарчмын (унтах мутекс) нэр бөгөөд
 	энэ нь цөмийн их эх үүсвэрүүдийг хамгаалдаг. Өнөөдөр энэ нь үйл ажиллагааны саатаж 
 	байгаа хүлээн авах боломжгүй хэсэг бөгөөд үүнийг эх үүсвэр бүрийг хамгаалах цоожуудаар 
 	идэвхтэйгээр сольж  байгаа билээ. <literal>ADAPTIVE_GIANT</literal> тохируулга нь
 	хэсэг бүлэг мутексуудад Giant-ийг адаптиваар эргэхээр оруулдаг. Энэ нь урсгал (thread)
 	Giant мутексийг цоожлохыг хүсэж байх үед, гэхдээ энэ нь өөр CPU дээр урсгалаар цоожлогдсон
 	байна, эхний урсгал цоож сулрахыг хүлээн ажилласаар байна. Хэвийн үед урсгал унтаа байдалд
 	эргэж орох бөгөөд өөрийн дараагийн ажиллах боломжийг хүлээнэ. Та итгэлгүй байгаа бол
 	үүнийг орхино уу.</para>
 
     <note>
        <para>&os; 8.0-CURRENT болон түүнээс хожуу үеийн хувилбаруудад бүх 
 	мутексууд нь <literal>NO_ADAPTIVE_MUTEXES</literal> тохируулгатайгаар  
 	бүтээгдэж зохицох чадваргүй гэж тохируулагдаагүй л бол анхдагчаар адаптив буюу 
 	зохицох чадвартай байдаг. Иймээс одоо Giant нь зохицох чадвартай 
 	бөгөөд <literal>ADAPTIVE_GIANT</literal> тохируулга нь цөмийн тохиргооноос 
 	хасагдсан юм.</para>
     </note>
 
     <indexterm>
       <primary>цөмийн тохируулгууд</primary>
       <secondary>SMP</secondary>
     </indexterm>
     <programlisting>device          apic               # I/O APIC</programlisting>
 
     <para>apic төхөөрөмж нь I/O APIC-ийг тасалдал хүргэхэд ашиглах боломжийг нээдэг.
 	apic төхөөрөмж нь UP болон SMP цөмүүдэд хоёуланд нь ашиглагдаж болох бөгөөд
 	гэхдээ SMP цөмд зайлшгүй шаардлагатай. <literal>options SMP</literal>
 	мөрийг нэмж олон процессорын дэмжлэгийг оруулна уу.</para>
 
     <note>
       <para>apic төхөөрөмж нь зөвхөн i386 архитектур дээр байдаг бөгөөд 
 	энэ тохиргооны мөрийг бусад архитектурууд дээр 
 	ашиглах ёсгүй юм.</para>
     </note>
 
     <programlisting>device          eisa</programlisting>
 
     <para>Хэрэв та EISA эх хавтантай бол үүнийг оруулаарай. Энэ нь EISA шугамын бүх 
 	төхөөрөмжүүдийн хувьд автомат илрүүлэлт болон тохиргооны дэмжлэгийг нээж өгдөг.</para>
 
     <programlisting>device          pci</programlisting>
 
     <para>Хэрэв та PCI эх хавтантай бол үүнийг оруулаарай. Энэ нь PCI картуудыг автомат 
 	илрүүлэлт болон PCI-аас ISA шугам уруу гарах дэмжлэгийг нээж өгдөг.</para>
 
     <programlisting># Floppy drives
 device          fdc</programlisting>
 
     <para>Энэ нь уян диск хөтлөгчийн хянагч.</para>
 
     <programlisting># ATA and ATAPI devices
 device          ata</programlisting>
 
     <para>Энэ драйвер бүх ATA болон ATAPI төхөөрөмжүүдийг дэмждэг. Орчин үеийн машинуудын 
 	бүх PCI ATA/ATAPI төхөөрөмжүүдийг илрүүлэхийн тулд зөвхөн нэг 
 	<literal>device ata</literal> мөр таны цөмд хэрэгтэй.</para>
 
     <programlisting>device          atadisk                 # ATA disk drives</programlisting>
 
     <para>Энэ нь <literal>device ata</literal> мөртэй цуг ATA дискний 
 	төхөөрөмжүүдэд хэрэгтэй.</para>
 
     <programlisting>device          ataraid                 # ATA RAID drives</programlisting>
 
     <para>Энэ нь <literal>device ata</literal> мөртэй цуг ATA RAID 
 	хөтлөгчүүдэд хэрэгтэй.</para>
 
     <programlisting><anchor id="kernelconfig-atapi">
 device          atapicd                 # ATAPI CDROM drives</programlisting>
 
     <para>Энэ нь <literal>device ata</literal> мөртэй цуг ATA CDROM 
 	хөтлөгчүүдэд хэрэгтэй.</para>
 
     <programlisting>device          atapifd                 # ATAPI floppy drives</programlisting>
 
     <para>Энэ нь <literal>device ata</literal> мөртэй цуг ATA уян дискний  
 	хөтлөгчүүдэд хэрэгтэй.</para>
 
     <programlisting>device          atapist                 # ATAPI tape drives</programlisting>
 
     <para>Энэ нь <literal>device ata</literal> мөртэй цуг ATA соронзон хальсны  
 	хөтлөгчүүдэд хэрэгтэй.</para>
 
     <programlisting>options         ATA_STATIC_ID           # Static device numbering</programlisting>
 
     <para>Энэ нь хянагчийн дугаарыг статик болгох бөгөөд энэнгүйгээр 
 	төхөөрөмжийн дугаарууд динамикаар өгөгддөг.</para>
 
     <programlisting># SCSI Controllers
 device          ahb        # EISA AHA1742 family
 device          ahc        # AHA2940 and onboard AIC7xxx devices
 options         AHC_REG_PRETTY_PRINT    # Print register bitfields in debug
 		    # output.  Adds ~128k to driver.
 device          ahd        # AHA39320/29320 and onboard AIC79xx devices
 options         AHD_REG_PRETTY_PRINT    # Print register bitfields in debug
 		    # output.  Adds ~215k to driver.
 device          amd        # AMD 53C974 (Teckram DC-390(T))
 device          isp        # Qlogic family
 #device         ispfw      # Firmware for QLogic HBAs- normally a module
 device          mpt        # LSI-Logic MPT-Fusion
 #device         ncr        # NCR/Symbios Logic
 device          sym        # NCR/Symbios Logic (newer chipsets + those of `ncr')
 device          trm        # Tekram DC395U/UW/F DC315U adapters
 
 device          adv        # Advansys SCSI adapters
 device          adw        # Advansys wide SCSI adapters
 device          aha        # Adaptec 154x SCSI adapters
 device          aic        # Adaptec 15[012]x SCSI adapters, AIC-6[23]60.
 device          bt         # Buslogic/Mylex MultiMaster SCSI adapters
 
 device          ncv        # NCR 53C500
 device          nsp        # Workbit Ninja SCSI-3
 device          stg        # TMC 18C30/18C50</programlisting>
 
     <para>SCSI хянагчууд. Таны системд байхгүй байгааг тайлбар болгон хаана уу.
 	Хэрэв та зөвхөн IDE системтэй бол эдгээр мөрүүдийг бүгдийг устгаж болно.
 	<literal>*_REG_PRETTY_PRINT</literal> мөрүүд нь өөр өөрийнхөө тохирох 
 	драйверуудад зориулагдсан дибаг хийх тохируулгууд юм.</para>
 
     <programlisting># SCSI peripherals
 device          scbus      # SCSI bus (required for SCSI)
 device          ch         # SCSI media changers
 device          da         # Direct Access (disks)
 device          sa         # Sequential Access (tape etc)
 device          cd         # CD
 device          pass       # Passthrough device (direct SCSI access)
 device          ses        # SCSI Environmental Services (and SAF-TE)</programlisting>
 
     <para>SCSI захын төхөөрөмжүүд. Дахин хэлэхэд таны системд байхгүй байгааг тайлбар 
 	болгон хаагаарай эсвэл та зөвхөн IDE тоног төхөөрөмжтэй бол эдгээр мөрүүдийг 
 	бүгдийг устгаж болно.</para>
 
     <note>
       <para>USB &man.umass.4; драйвер болон бусад цөөн хэдэн драйверууд жинхэнэ 
 	SCSI төхөөрөмжүүд биш боловч SCSI дэд системийг ашигладаг. Тийм болохоор
 	хэрэв цөмийн тохиргоонд тийм драйверууд орсон байвал SCSI дэмжлэгийг устгаагүй 
 	эсэхээ шалгаарай.</para>
     </note>
 
     <programlisting># RAID controllers interfaced to the SCSI subsystem
 device          amr        # AMI MegaRAID
 device          arcmsr     # Areca SATA II RAID
 device          asr        # DPT SmartRAID V, VI and Adaptec SCSI RAID
 device          ciss       # Compaq Smart RAID 5*
 device          dpt        # DPT Smartcache III, IV - See NOTES for options
 device          hptmv      # Highpoint RocketRAID 182x
 device          rr232x     # Highpoint RocketRAID 232x
 device          iir        # Intel Integrated RAID
 device          ips        # IBM (Adaptec) ServeRAID
 device          mly        # Mylex AcceleRAID/eXtremeRAID
 device          twa        # 3ware 9000 series PATA/SATA RAID
 
 # RAID controllers
 device          aac        # Adaptec FSA RAID
 device          aacp       # SCSI passthrough for aac (requires CAM)
 device          ida        # Compaq Smart RAID
 device          mfi        # LSI MegaRAID SAS
 device          mlx        # Mylex DAC960 family
 device          pst        # Promise Supertrak SX6000
 device          twe        # 3ware ATA RAID</programlisting>
 
     <para>Дэмжигдсэн RAID хянагчууд. Хэрэв танд эдгээрээс нэг нь ч байхгүй бол
 	тайлбар болгон хааж эсвэл устгаж болно.</para>
 
     <programlisting># atkbdc0 controls both the keyboard and the PS/2 mouse
 device          atkbdc     # AT keyboard controller</programlisting>
 
     <para>Гарын хянагч (<literal>atkbdc</literal>) AT гар ба PS/2 загварын заагч 
 	төхөөрөмжүүдэд I/O үйлчилгээнүүдийг хангадаг. Энэ хянагчийг гарын драйвер
       (<literal>atkbd</literal>) болон PS/2 заагч төхөөрөмжийн драйвер 
       (<literal>psm</literal>) шаарддаг.</para>
 
     <programlisting>device          atkbd      # AT keyboard</programlisting>
 
     <para><literal>atkbd</literal> драйвер нь <literal>atkbdc</literal> 
 	хянагчтай цуг AT гарын хянагчид залгасан AT 84 гар болон AT өргөжүүлсэн 
 	гаруудад хандах боломж олгодог.</para>
 
     <programlisting>device          psm        # PS/2 mouse</programlisting>
 
     <para>Хэрэв таны хулгана PS/2 порт уруу залгагдаж байгаа бол энэ төхөөрөмжийг 
 	ашиглана уу.</para>
 
     <programlisting>device          kbdmux        # keyboard multiplexer</programlisting>
 
     <para>Олон гар залгах боломжийн анхны дэмжлэг. 
 	Хэрэв та систем дээрээ нэгээс олон гар ашиглахгүй бол энэ мөрийг аюулгүйгээр 
 	устгаж болно.</para>
 
     <programlisting>device          vga        # VGA video card driver</programlisting>
 
     <para>Видео картын драйвер.</para>
 
     <programlisting>
 device          splash     # Splash screen and screen saver support</programlisting>
 
     <para>Эхлэх үе дэх хоромхон зуур гарах дэлгэц!  Дэлгэц амраагчид нь үүнийг бас шаарддаг.</para>
 
     <programlisting># syscons is the default console driver, resembling an SCO console
 device          sc</programlisting>
 
     <para><literal>sc</literal> нь анхдагч консолийн драйвер бөгөөд SCO консолыг дуурайдаг.
 	Ихэнх бүрэн дэлгэцийн програмууд консол уруу <filename>termcap</filename> зэрэг
 	терминалийн өгөгдлийн баазын сангийн тусламжтайгаар ханддаг бөгөөд үүнийг ашиглах эсэх эсвэл
 	<literal>VT220</literal>-тай нийцтэй консол драйвер болох <literal>vt</literal>-ийг 
 	ашиглах эсэх нь хамаагүй юм. Та нэвтэрсний дараа бүрэн дэлгэцийн програмууд энэ консол дээр ажиллахдаа
 	асуудалтай байвал өөрийн <envar>TERM</envar> хувьсагчаа <literal>scoansi</literal> 
 	болгоорой.</para>
 
     <programlisting># Enable this for the pcvt (VT220 compatible) console driver
 #device          vt
 #options         XSERVER          # support for X server on a vt console
 #options         FAT_CURSOR       # start with block cursor</programlisting>
 
     <para>Энэ нь VT100/102-той арагшаагаа нийцтэй, VT220-той нийцтэй консол драйвер  юм.
 	Энэ нь <literal>sc</literal>-тэй нийцгүй зарим зөөврийн компьютер дээр сайн 
 	ажилладаг. Та нэвтэрсний дараа өөрийн <envar>TERM</envar> хувьсагчаа
 	<literal>vt100</literal> эсвэл <literal>vt220</literal> болгоорой.
 	Мөн энэ драйвер нь <literal>sc</literal> төхөөрөмжүүдэд зориулсан 
 	<filename>termcap</filename> эсвэл <filename>terminfo</filename> 
 	оруулгууд ихэнхдээ байхгүй байдаг асар олон тооны өөр өөр машинууд уруу сүлжээгээр 
 	дамжин холбогдох үед  ашигтай байж болно &mdash; <literal>vt100</literal> 
 	нь виртуалаар дурын тавцан дээр байх ёстой.</para>
 
     <programlisting>device          agp</programlisting>
 
     <para>Хэрэв та систем дээрээ AGP карттай бол үүнийг оруулна уу. Энэ нь AGP болон AGP GART-ийн 
 	дэмжлэгийг эдгээр боломжуудаас тогтсон хавтанд зориулж нээнэ.</para>
 
     <indexterm>
       <primary>APM</primary>
     </indexterm>
 
     <programlisting># Power management support (see NOTES for more options)
 #device          apm</programlisting>
 
     <para>Тэжээлийн Нарийн Удирдлагын дэмжлэг. Зөөврийн компьютеруудад ашигтай, 
 	гэхдээ энэ нь &os; 5.X болон түүнээс хойшх хувилбаруудад <filename>GENERIC</filename>-д
 	анхдагчаар хаалттай байдаг.</para>
 
     <programlisting># Add suspend/resume support for the i8254.
 device           pmtimer</programlisting>
 
     <para>APM болон ACPI зэрэг тэжээл удирдах үйл явцуудад зориулсан таймер 
 	төхөөрөмжийн драйвер.</para>
 
     <programlisting># PCCARD (PCMCIA) support
 # PCMCIA and cardbus bridge support
 device          cbb               # cardbus (yenta) bridge
 device          pccard            # PC Card (16-bit) bus
 device          cardbus           # CardBus (32-bit) bus</programlisting>
 
     <para>PCMCIA дэмжлэг. Зөөврийн компьютер ашиглаж байгаа 
 	бол энэ танд хэрэгтэй.</para>
 
     <programlisting># Serial (COM) ports
 device          sio               # 8250, 16[45]50 based serial ports</programlisting>
 
     <para>Эдгээр нь &ms-dos;/&windows; ертөнцөд 
 	<devicename>COM</devicename> портууд хэмээгддэг сериал портууд юм .</para>
 
     <note>
       <para>Хэрэв та <devicename>COM4</devicename> дээр дотуур модемтой бөгөөд
 	<devicename>COM2</devicename> дээр сериал порттой бол &os; -ээс хандахын
 	тулд та модемийн IRQ-г 2 (ойлгоход амаргүй техникийн шалтгаанаар, IRQ2 = IRQ 9) 
 	болгож  өөрчлөх хэрэгтэй. Хэрэв та олон порттой сериал карттай бол өөрийн 
 	<filename>/boot/device.hints</filename> файлд нэмэх зөв утгуудын
 	талаар дэлгэрэнгүй мэдээллийг	&man.sio.4; гарын авлагаас шалгаарай. 
 	Зарим видео картууд (S3 бичил схем дээр үндэслэснүүдийг дурдаж болно) 
 	<literal>0x*2e8</literal> хэлбэртэй IO хаягуудыг ашигладаг бөгөөд
 	олон хямд сериал картууд 16-бит хаягийн зайг бүрэн декод хийж чаддаггүй учир 
 	энэ нь тэдгээр карттай зөрчилдөж <devicename>COM4</devicename> портыг
 	бараг л ашиглах боломжгүй болгодог.</para>
 
       <para>Сериал порт болгон бусдаас ялгаатай IRQ -тай байх (хуваалцсан тасалдал
 	ашиглахыг дэмждэг олон порттой картуудын нэгийг ашиглаж байгаагаас бусад тохиолдолд) 
 	шаардлагатай учир <devicename>COM3</devicename> болон 
 	<devicename>COM4</devicename>-ийн анхдагч IRQ-үүдийг ашиглаж болохгүй.</para>
     </note>
 
     <programlisting># Parallel port
 device          ppc</programlisting>
 
     <para>Энэ нь ISA-шугамын параллел порт интерфэйс юм.</para>
 
     <programlisting>device          ppbus      # Parallel port bus (required)</programlisting>
 
     <para>Параллел портын шугамын дэмжлэгийг хангадаг.</para>
 
     <programlisting>device          lpt        # Printer</programlisting>
 
     <para>Параллел порт хэвлэгчүүдийн дэмжлэг.</para>
 
     <note>
       <para>Параллел хэвлэгчийн дэмжлэгийг нээхэд дээрх гурав гурвуулаа 
 	шаардлагатай.</para>
     </note>
 
     <programlisting>device          plip       # TCP/IP over parallel</programlisting>
 
     <para>Энэ нь параллел сүлжээний интерфэйсд зориулсан драйвер юм.</para>
 
     <programlisting>device          ppi        # Parallel port interface device</programlisting>
 
     <para>Ерөнхий-зориулалтын I/O (<quote>geek port</quote>) + IEEE1284
       I/O.</para>
 
     <programlisting>#device         vpo        # Requires scbus and da</programlisting>
 
     <indexterm><primary>zip drive</primary></indexterm>
     <para>Энэ нь Iomega Zip хөтлөгчид зориулагдсан юм. <literal>scbus</literal> болон
 	<literal>da</literal> дэмжлэгийг шаарддаг. EPP 1.9 горимд байгаа 
 	портуудын тусламжтай хамгийн сайн ажиллагаанд хүрдэг.</para>
 
     <programlisting>#device         puc</programlisting>
 
     <para>Хэрэв та &man.puc.4; цавуу драйвераар дэмжигддэг <quote>дүлий</quote> 
 	сериал эсвэл параллел PCI карттай бол энэ төхөөрөмжийг тайлбар болгосныг 
 	болиулаарай.</para>
 
     <programlisting># PCI Ethernet NICs.
 device          de         # DEC/Intel DC21x4x (<quote>Tulip</quote>)
 device          em         # Intel PRO/1000 adapter Gigabit Ethernet Card
 device          ixgb       # Intel PRO/10GbE Ethernet Card
 device          txp        # 3Com 3cR990 (<quote>Typhoon</quote>)
 device          vx         # 3Com 3c590, 3c595 (<quote>Vortex</quote>)</programlisting>
 
     <para>Төрөл бүрийн PCI сүлжээний картуудын драйверууд. Эдгээрээс таны системд байхгүйг 
 	тайлбар болгон хааж эсвэл устгаарай.</para>
 
     <programlisting># PCI Ethernet NICs that use the common MII bus controller code.
 # NOTE: Be sure to keep the 'device miibus' line in order to use these NICs!
 device          miibus     # MII bus support</programlisting>
 
     <para>MII шугамын дэмжлэг нь зарим  PCI 10/100 Ethernet NIC-үүдэд шаардлагатай
 	бөгөөд тухайлбал MII-д нийцтэй дамжуулагч-хүлээн авагчууд эсвэл MII-тэй адил 
 	ажилладаг дамжуулагч-хүлээн авагчийн хяналтын интерфэйсүүдийг дурдаж болно.
 	<literal>device miibus</literal> мөрийг цөмийн тохиргоонд нэмснээр 
 	ердийн miibus API болон тусдаа драйвераар дэмжигдээгүй PHY-уудад зориулсан 
 	ердийн драйвер зэрэг бүх PHY драйверуудын дэмжлэгийг оруулах болно.</para>
 
     <programlisting>device          bce        # Broadcom BCM5706/BCM5708 Gigabit Ethernet
 device          bfe        # Broadcom BCM440x 10/100 Ethernet
 device          bge        # Broadcom BCM570xx Gigabit Ethernet
 device          dc         # DEC/Intel 21143 and various workalikes
 device          fxp        # Intel EtherExpress PRO/100B (82557, 82558)
 device          lge        # Level 1 LXT1001 gigabit ethernet
 device          msk        # Marvell/SysKonnect Yukon II Gigabit Ethernet
 device          nge        # NatSemi DP83820 gigabit ethernet
 device          nve        # nVidia nForce MCP on-board Ethernet Networking
 device          pcn        # AMD Am79C97x PCI 10/100 (precedence over 'lnc')
 device          re         # RealTek 8139C+/8169/8169S/8110S
 device          rl         # RealTek 8129/8139
 device          sf         # Adaptec AIC-6915 (<quote>Starfire</quote>)
 device          sis        # Silicon Integrated Systems SiS 900/SiS 7016
 device          sk         # SysKonnect SK-984x &amp; SK-982x gigabit Ethernet
 device          ste        # Sundance ST201 (D-Link DFE-550TX)
 device          stge       # Sundance/Tamarack TC9021 gigabit Ethernet
 device          ti         # Alteon Networks Tigon I/II gigabit Ethernet
 device          tl         # Texas Instruments ThunderLAN
 device          tx         # SMC EtherPower II (83c170 <quote>EPIC</quote>)
 device          vge        # VIA VT612x gigabit ethernet
 device          vr         # VIA Rhine, Rhine II
 device          wb         # Winbond W89C840F
 device          xl         # 3Com 3c90x (<quote>Boomerang</quote>, <quote>Cyclone</quote>)</programlisting>
 
     <para>MII шугамын хянагчийн кодыг ашигладаг драйверууд.</para>
 
     <programlisting># ISA Ethernet NICs.  pccard NICs included.
 device          cs         # Crystal Semiconductor CS89x0 NIC
 # 'device ed' requires 'device miibus'
 device          ed         # NE[12]000, SMC Ultra, 3c503, DS8390 cards
 device          ex         # Intel EtherExpress Pro/10 and Pro/10+
 device          ep         # Etherlink III based cards
 device          fe         # Fujitsu MB8696x based cards
 device          ie         # EtherExpress 8/16, 3C507, StarLAN 10 etc.
 device          lnc        # NE2100, NE32-VL Lance Ethernet cards
 device          sn         # SMC's 9000 series of Ethernet chips
 device          xe         # Xircom pccard Ethernet
 
 # ISA devices that use the old ISA shims
 #device         le</programlisting>
 
     <para>ISA Ethernet драйверууд.  Аль картууд аль драйвераар дэмжигддэг талаар	дэлгэрэнгүйг 
 	<filename>/usr/src/sys/<replaceable>i386</replaceable>/conf/NOTES</filename>-ээс
 	харна уу.</para>
 
     <programlisting># Wireless NIC cards
 device          wlan            # 802.11 support</programlisting>
 
     <para>802.11-ийн ерөнхий дэмжлэг.  Энэ мөр нь утасгүй сүлжээнд 
 	шаардлагатай.</para>
 
     <programlisting>device          wlan_wep        # 802.11 WEP support
 device          wlan_ccmp       # 802.11 CCMP support
 device          wlan_tkip       # 802.11 TKIP support</programlisting>
 
     <para>802.11 төхөөрөмжүүдэд зориулагдсан криптограф дэмжлэг. 
 	Хэрэв та шифрлэлт болон 802.11i нууцлалын протоколуудыг 
 	ашиглахаар шийдсэн бол эдгээр мөрүүд шаардлагатай.</para>
 
     <programlisting>device          an         # Aironet 4500/4800 802.11 wireless NICs.
 device          ath             # Atheros pci/cardbus NIC's
 device          ath_hal         # Atheros HAL (Hardware Access Layer)
 device          ath_rate_sample # SampleRate tx rate control for ath
 device          awi        # BayStack 660 and others
 device          ral        # Ralink Technology RT2500 wireless NICs.
 device          wi         # WaveLAN/Intersil/Symbol 802.11 wireless NICs.
 #device         wl         # Older non 802.11 Wavelan wireless NIC.</programlisting>
 
     <para>Төрөл бүрийн утасгүй сүлжээний картуудын дэмжлэг.</para>
 
     <programlisting># Pseudo devices
 device   loop          # Network loopback</programlisting>
 
     <para>Энэ нь TCP/IP-д зориулсан өөртөө эргэн холбогдох ерөнхий төхөөрөмж юм.
 	Хэрэв та <hostid>localhost</hostid> (өөрөөр бас <hostid
       	role="ipaddr">127.0.0.1</hostid>) уруу telnet эсвэл FTP хийвэл
 	энэ нь тань уруу энэ төхөөрөмжөөр эргэж ирнэ.Энэ нь 
 	<emphasis>зайлшгүй шаардлагатай</emphasis>.</para>
 
     <programlisting>device   random        # Entropy device</programlisting>
 
     <para>Шифрлэлтийн хувьд аюулгүй дурын тоо үүсгэгч.</para>
 
     <programlisting>device   ether         # Ethernet support</programlisting>
 
     <para>Танд Ethernet карт байгаа тохиолдолд зөвхөн <literal>ether</literal> хэрэгтэй.
 	Энэ нь ерөнхий Ethernet протоколын кодыг агуулдаг.</para>
 
     <programlisting>device   sl            # Kernel SLIP</programlisting>
 
     <para><literal>sl</literal> нь SLIP-ийн дэмжлэг юм. Энэ нь хялбар 
 	суулгаж тохируулдаг, модемоос модем уруу холболт хийхэд илүү зохицсон, илүү
 	чадалтай PPP-ээр	бараг бүхэлдээ солигдсон юм.</para>
 
     <programlisting>device   ppp           # Kernel PPP</programlisting>
 
     <para>Энэ нь дайл-ап холболтын цөм дэх PPP дэмжлэгт зориулагдсан. Мөн 
 	<literal>tun</literal>-ийг ашиглаж илүү уян хатан чанар болон шаардлагаар 
 	залгах зэрэг боломжууд бүхий PPP-ийн хэрэглэгчийн талбарын програм маягаар 
 	хийгдсэн хувилбар ч бас байдаг.</para>
 
     <programlisting>device   tun           # Packet tunnel.</programlisting>
 
     <para>Энэ хэрэглэгчийн талбарын PPP програм хангамжид ашиглагддаг.
       Дэлгэрэнгүй мэдээллийг энэ номын <link linkend="userppp">PPP</link>
 	хэсгээс үзнэ үү.</para>
 
     <programlisting><anchor id="kernelconfig-ptys">
 device   pty           # Pseudo-ttys (telnet etc)</programlisting>
 
     <para>Энэ нь <quote>псевдо-терминал</quote> эсвэл жинхэнэ биш (simulated) нэвтрэх порт юм.
 	Энэ нь ирж байгаа <command>telnet</command> болон
       	<command>rlogin</command> сессүүд, <application>xterm</application>, 
 	болон <application>Emacs</application> зэрэг бусад програмуудад 
 	ашиглагддаг.</para>
 
     <programlisting>device   md            # Memory <quote>disks</quote></programlisting>
 
     <para>Санах ойн диск псевдо-төхөөрөмжүүд.</para>
 
     <programlisting>device   gif           # IPv6 and IPv4 tunneling</programlisting>
 
     <para>Энэ нь IPv4 дээгүүрх IPv6,  IPv6 дээгүүрх IPv4,
       	IPv4 дээгүүрх IPv4, болон IPv6 дээгүүрх IPv6 хоолойнуудыг хийдэг.
 	<literal>gif</literal> төхөөрөмж нь <quote>авто-клон</quote>
 	хийх чадвартай бөгөөд төхөөрөмжийн цэгүүдийг хэрэгцээгээрээ үүсгэдэг.</para>
 
     <programlisting>device   faith         # IPv6-to-IPv4 relaying (translation)</programlisting>
 
     <para>Энэ псевдо-төхөөрөмж нь түүн уруу илгээсэн пакетуудыг барьж аваад
 	IPv4/IPv6 хувиргагч дэмон уруу замыг өөрчлөн явуулдаг.</para>
 
     <programlisting># The `bpf' device enables the Berkeley Packet Filter.
 # Be aware of the administrative consequences of enabling this!
 # Note that 'bpf' is required for DHCP.
 device   bpf           # Berkeley packet filter</programlisting>
 
     <para>Энэ нь Беркли Пакет Шүүгч юм. Энэ псевдо-төхөөрөмж нь 
 	цацаж байгаа сүлжээн (өөрөөр хэлбэл Ethernet) дэх бүх пакетуудыг барьж авдаг, 
 	бүгдийг сонсох горимд сүлжээний интерфэйсүүдийг шилжүүлэх боломж олгодог. 
 	Эдгээр пакетуудыг дискэнд хадгалах болон эсвэл  &man.tcpdump.1; програмаар 
 	шалгаж болно.</para>
 
     <note>
       <para>Анхдагч чиглүүлэгчийн (гарц) болон бусад IP хаягийг 
 	&man.dhclient.8; олж авахад &man.bpf.4; төхөөрөмжийг бас ашигладаг.
 	Хэрэв та DHCP ашиглаж байгаа бол үүнийг тайлбар болголгүй орхиорой.</para>
     </note>
 
     <programlisting># USB support
 device          uhci          # UHCI PCI-&gt;USB interface
 device          ohci          # OHCI PCI-&gt;USB interface
 device          ehci          # EHCI PCI-&gt;USB interface (USB 2.0)
 device          usb           # USB Bus (required)
 #device         udbp          # USB Double Bulk Pipe devices
 device          ugen          # Generic
 device          uhid          # <quote>Human Interface Devices</quote>
 device          ukbd          # Keyboard
 device          ulpt          # Printer
 device          umass         # Disks/Mass storage - Requires scbus and da
 device          ums           # Mouse
 device          ural          # Ralink Technology RT2500USB wireless NICs
 device          urio          # Diamond Rio 500 MP3 player
 device          uscanner      # Scanners
 # USB Ethernet, requires mii
 device          aue           # ADMtek USB Ethernet
 device          axe           # ASIX Electronics USB Ethernet
 device          cdce          # Generic USB over Ethernet
 device          cue           # CATC USB Ethernet
 device          kue           # Kawasaki LSI USB Ethernet
 device          rue           # RealTek RTL8150 USB Ethernet</programlisting>
 
     <para>Төрөл бүрийн USB төхөөрөмжүүдийн дэмжлэг.</para>
 
     <programlisting># FireWire support
 device          firewire      # FireWire bus code
 device          sbp           # SCSI over FireWire (Requires scbus and da)
 device          fwe           # Ethernet over FireWire (non-standard!)</programlisting>
 
     <para>Төрөл бүрийн Firewire төхөөрөмжүүдийн дэмжлэг.</para>
 
     <para>&os;-ийн дэмждэг нэмэлт төхөөрөмжүүдийн талаар дэлгэрэнгүй мэдээллийг
 	<filename>/usr/src/sys/<replaceable>i386</replaceable>/conf/NOTES</filename>
 	файлаас үзнэ үү.</para>
 
       <sect2>
         <title>Том санах ойн тохируулгууд (<acronym>PAE</acronym>)</title>
 	<indexterm>
 	  <primary>Физик хаягийн өргөтгөлүүд
 	    (<acronym>PAE</acronym>)</primary>
 	  <secondary>том санах ой</secondary>
 	</indexterm>
 
 	<para>Том санах ой бүхий машинууд Хэрэглэгч+Цөмийн Виртуал хаягийн зайн
 	(<acronym>KVA</acronym>) 4 гигабайт хязгаараас их уруу хандах 
 	шаардлагатай байдаг. Энэ хязгаараас болоод Интел &pentium; Pro болон 
 	сүүлийн үеийн CPU-үүдэд 36 битийн физик хаягийн зайд хандах дэмжлэгийг нэмсэн.</para>
 	
 	<para>&intel; &pentium; Pro болон сүүлийн үеийн CPU-үүдийн 
 	Физик Хаягийн Өргөтгөл (<acronym>PAE</acronym>) боломж нь 64 гигабайт хүртэлх
 	санах ойн тохиргоог зөвшөөрдөг. &os; нь энэхүү боломжийг &os;-ийн
 	одоо байгаа бүх гаргасан хувилбаруудын цөмийн тохиргооны
 	<option>PAE</option> тохируулгаар дэмждэг. Интелийн санах ойн
 	архитектурын хязгаараас болж 4 гигабайтаас дээш болон доош санах
 	ойн ялгаа байхгүй. 4 гигабайтаас дээшхи санах ой нь ашиглаж болох
 	санах ойн санд нэмэгддэг.</para>
 
 	<para><acronym>PAE</acronym> дэмжлэгийг цөмд нээхдээ
 	цөмийн тохиргооны файлд дараах мөрийг нэмнэ:</para>
 	
 	<programlisting>options		    PAE</programlisting>
 
 	<note>
 	  <para>&os; дэх <acronym>PAE</acronym> дэмжлэг зөвхөн
 		&intel; IA-32 процессоруудад байдаг. Мөн &os; дэх 
 		<acronym>PAE</acronym> дэмжлэг нь өргөн шалгагдаагүй бөгөөд 
 		&os;-ийн бусад тогтвортой боломжуудтай харьцуулахад бета чанарынхад
 		тооцогддог.</para>
 	</note>
 
 	<para>&os; дэх <acronym>PAE</acronym> дэмжлэг нь цөөн хэдэн хязгааруудтай:</para>
 	
 	<itemizedlist>
 	  <listitem>
 	    <para>VM зайн 4 гигабайтаас илүүд процесс хандаж чадахгүй.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Модул болон цөмийн бүтээх ажлын хүрээний ялгаатай байдлаас болж
 		<acronym>KLD</acronym> модулиудыг <acronym>PAE</acronym>
 		идэвхжүүлсэн цөмд ачаалж болохгүй.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>&man.bus.dma.9; интерфэйс ашигладаггүй төхөөрөмжийн драйверууд
 		<acronym>PAE</acronym>-г идэвхжүүлсэн цөм дээр өгөгдлийн эвдрэлийг
 		үүсгэх бөгөөд ашиглахыг зөвлөдөггүй юм. Ийм учраас <acronym>PAE</acronym>-г
 		идэвхжүүлсэн цөм дээр ажилладаггүй бүх драйверуудыг оруулаагүй
 		<filename>PAE</filename> цөмийн тохиргооны файл  &os;-д байдаг.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Зарим нэг тохируулгууд санах ойн эх үүсвэрийн хэрэглээг физик санах ойн
 		хэмжээгээр тодорхойлдог. Эдгээр тохируулгууд нь <acronym>PAE</acronym>
 		системийн их санах ойгоос болж хэрэгцээгүй илүү санах ойг гаргадаг.
 		Тийм нэг жишээнүүдийн нэг нь sysctl-ийн <option>kern.maxvnodes</option>
 		тохируулга бөгөөд энэ нь цөм дэх хамгийн их байж болох vnode-уудын тоог хянадаг.
 		Энэ болон бусад тохируулгуудын утгыг боломжийн утгаар тааруулахыг зөвлөж байна.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Магадгүй цөмийн виртуал хаягийн (<acronym>KVA</acronym>) зайг ихэсгэх
 		эсвэл <acronym>KVA</acronym>-ийн шавхалтад хүргэхгүйн тулд байнга их ашиглагддаг
 		(дээр дурдсаныг харна уу) цөмийн эх үүсвэрийн хэмжээг багасгах шаардлагатай 
 		байж болох юм. <option>KVA_PAGES</option> цөмийн тохируулга нь 
 		<acronym>KVA</acronym> зайг ихэсгэхэд ашиглагдаж болно.</para>
 	  </listitem>
 	</itemizedlist>
 
 	<para>Ажиллагаа болон тогтвортой байдлыг хангах үүднээс &man.tuning.7; гарын
 	авлагатай танилцахыг зөвлөж байна. &man.pae.4; гарын авлага нь 
 	&os;-ийн <acronym>PAE</acronym> дэмжлэгийн тухай хамгийн сүүлийн 
 	үеийн мэдээллийг агуулдаг.</para>
     </sect2>
   </sect1>
 
   <sect1 id="kernelconfig-trouble">
     <title>Хэрэв ямар нэг юм буруутвал</title>
 
     <para>Өөрчлөн тохируулсан цөмийг бүтээж байх үед 4 төрлийн асуудал гарч
 	болзошгүй байдаг.  Тэдгээр нь:</para>
 
     <variablelist>
       <varlistentry>
 	<term><command>config</command> амжилтгүй болох:</term>
 
 	<listitem>
 	  <para>Хэрэв таныг цөмийн тайлбарыг &man.config.8;-т өгөхөд тушаал 
 		амжилтгүй болбол та хаа нэгтээ энгийн алдаа хийсэн болов уу.
 		Аз болоход &man.config.8; асуудалтай байгаа мөрийн дугаарыг 
 		хэвлэх учир та алдаатай мөрийг хурдан олох болно. Жишээ нь,
 		хэрэв та доор дурдсаныг харвал:</para>
 
 	  <screen>config: line 17: syntax error</screen>
 
 	  <para>Түлхүүр үг зөв бичигдсэн эсэхийг <filename>GENERIC</filename>
 		цөм болон бусад баримтаас харьцуулан шалгаж үзээрэй.</para>
 	</listitem>
       </varlistentry>
 
       <varlistentry>
 	<term><command>make</command> амжилтгүй болох:</term>
 
 	<listitem>
 	  <para>Хэрэв <command>make</command> тушаал амжилтгүй болбол
 		энэ ихэвчлэн цөмийн тайлбар дахь &man.config.8;-ийн олж 
 		чадахааргүй тийм ч ноцтой бус алдааг дохиолдог. Дахин хэлэхэд,
 		өөрийн тохиргоог нягтлаарай, тэгээд хэрэв та асуудлыг шийдэж чадахгүй 
 		бол &a.questions; уруу өөрийн цөмийн тохиргоотой цахим захидал 
 		илгээгээрэй, ингэхэд хурдан шинжилгээ хийгдэх болно.</para>
 	</listitem>
       </varlistentry>
 
       <varlistentry>
 	<term>Цөм ачаалахгүй байх:<anchor
 	  id="kernelconfig-noboot"></term>
 
 	<listitem>
 	  <para>Хэрэв таны шинэ цөм ачаалахгүй бол эсвэл таны төхөөрөмжүүдийг танихгүй
 		байгаа бол бүү цочирд! Аз болоход &os; нийцгүй цөмүүдээс сэргэхэд
 		зориулсан маш сайн механизмтай байдаг. Ердөө л &os;-ийн ачаалагчаас 
 		ачаалах цөмөө сонгоно. Системийн ачаалах меню гарч ирэх үед та үүнд
 		хандах боломжтой болно. <quote>Escape to a loader prompt</quote> 
 		тохируулга 6-ын тоог сонго. Тушаал хүлээх мөрөн дээр <command>unload kernel</command>
 		гэж бичээд <command>boot /boot/<replaceable>kernel.old</replaceable>/kernel</command>
 		эсвэл зөв ачаалах өөр бусад цөмийн файлын нэрийг бичээрэй. Цөмийг дахин
 		тохируулах явцдаа ажилладаг цөмийг гарын дор хадгалж байх нь үргэлж
 		ухаалаг санаа байдаг.</para>
 
 	  <para>Сайн цөмийг ачаалсныхаа дараа та өөрийн тохиргооны файлаа дахин шалгаж
 		цөмөө дахин бүтээхээр оролдоорой. Нэг тус дэм болох эх үүсвэр бол
 		бусад зүйлсээс гадна амжилттай ачаалалт бүр дэх цөмийн бүх мэдээллүүдийн 
 		бичлэгийг хийдэг <filename>/var/log/messages</filename> файл юм.
 		Мөн &man.dmesg.8; тушаал нь сүүлийн ачаалалт дахь цөмийн мэдээллүүдийг
 		хэвлэдэг.</para>
 
 	  <note>
 	    <para>Хэрэв та цөмийг бүтээхэд асуудалтай байгаа бол 
 		<filename>GENERIC</filename> болон өөр бусад ажилладаг
 		цөмийг дараагийн бүтээх явцад устгагдахааргүй өөр нэртэйгээр 
 		гарын дор хадгалж байгаарай. Та <filename>kernel.old</filename>
 		-д найдаж болохгүй, учир нь шинэ цөмийг суулгах явцад
 		<filename>kernel.old</filename> нь хамгийн сүүлд 
 		суулгагдсан бөгөөд магадгүй ажиллагаагүй тийм цөмөөр дарагдан
 		бичигддэг. Ажилладаг цөмийг зөв <filename class="directory">/boot/kernel</filename>
 		байр уруу аль болох хурдан шилжүүлээрэй, эсвэл &man.ps.1; зэрэг
 		тушаалууд зөв ажиллахгүй байж магадгүй юм. Ингэхийн тулд
 		сайн цөм байгаа сангийн нэрийг өөрчлөөрэй:</para>
 
-	    <screen>&prompt.root; <userinput>mv /boot/kernel /boot/kernel.bad</userinput>
+	    <screen>&prompt.root; <userinput>mv /boot/kernel <replaceable>/boot/kernel.bad</replaceable></userinput>
 &prompt.root; <userinput>mv /boot/<replaceable>kernel.good</replaceable> /boot/kernel</userinput></screen>
 
 	  </note>
 	</listitem>
       </varlistentry>
 
       <varlistentry>
 	<term>Цөм ажиллах боловч &man.ps.1; ажиллахгүй болох:</term>
 
 	<listitem>
 	  <para>Хэрэв та системийн хэрэгслүүд бүтээсэн хувилбараас өөр цөмийн хувилбарыг 
 		суулгасан бол, жишээ нь -RELEASE дээр -CURRENT цөм бүтээсэн бол 
 		системийн төлвийн тушаалууд болох &man.ps.1; болон &man.vmstat.8;
 		зэрэг нь ажиллахаа больно. Та өөрийн цөмтэйгөө адил хувилбарын эх модтой
 		бүтээгдсэн <link linkend="makeworld">ертөнцийг дахин хөрвүүлж суулгах</link>
 		хэрэгтэй. Энэ нь нэг шалтгаан бөгөөд ерөнхийдөө үйлдлийн системийн бусад 
 		зүйлсээс өөр хувилбарын цөмийг ашиглах нь тийм ч сайн санаа биш юм.</para>
 	</listitem>
       </varlistentry>
     </variablelist>
   </sect1>
 </chapter>
 
 <!-- 
      Local Variables:
      mode: sgml
      sgml-declaration: "../chapter.decl"
      sgml-indent-data: t
      sgml-omittag: nil
      sgml-always-quote-attributes: t
      sgml-parent-document: ("../book.sgml" "part" "chapter")
      End:
 -->
diff --git a/mn_MN.UTF-8/books/handbook/security/chapter.sgml b/mn_MN.UTF-8/books/handbook/security/chapter.sgml
index ea9fec3dc1..11b2a29913 100644
--- a/mn_MN.UTF-8/books/handbook/security/chapter.sgml
+++ b/mn_MN.UTF-8/books/handbook/security/chapter.sgml
@@ -1,4769 +1,4769 @@
 <!--
      The FreeBSD Mongolian Documentation Project
 
-     Original revision 1.320
+     Original revision 1.321
 
      $FreeBSD$
 -->
 
 <chapter id="security">
   <chapterinfo>
     <authorgroup>
       <author>
 	<firstname>Мэтью</firstname>
 	<surname>Диллон</surname>
 	<contrib>Энэ бүлгийн ихэнх хэсгийг security(7) гарын авлагын хуудаснаас авсан бөгөөд
 		security(7) гарын авлагын хуудсыг бичсэн </contrib>
       </author>
     </authorgroup>
     <authorgroup>
       <author>
 	<firstname>Цагаанхүүгийн</firstname>
 	<surname>Ганболд</surname>
 	<contrib>Орчуулсан  </contrib>
  	<!-- Dec 2006 -->
       </author>
     </authorgroup>
   </chapterinfo>
 
   <title>Аюулгүй байдал</title>
   <indexterm><primary>аюулгүй байдал</primary></indexterm>
 
   <sect1 id="security-synopsis">
     <title>Ерөнхий агуулга</title>
 
     <para>Энэ бүлэг нь системийн аюулгүй байдлын ухагдахуунуудын үндэс, зарим нэг нийтлэг  
 	практикийн сайн аргууд болон &os; дэх зарим нэг дэвшилттэй сэдвүүдийг
 	танилцуулах болно. Энд дурдагдсан олон сэдвүүдийг бас системийн болон Интернэтийн 
 	аюулгүй байдалд хэрэглэж болох юм. Интернэт нь хүн бүр таны найрсаг хөрш байхыг 
 	хүсдэг <quote>найзархаг</quote> газар байхаа аль хэдийн больсон. 
 	Өөрийн системийг аюулгүй болгох нь таны өгөгдөл, оюуны өмч, цаг хугацаа зэрэг 
 	олон зүйлсийг хакерууд зэргийн савраас хамгаалахад хойшлуулашгүй чухал юм.</para>
 
     <para>&os; нь таны систем болон сүлжээний аюулгүй байдал болон бүрэн бүтэн байдлыг 
 	хангаж байдаг хэрэгслүүд болон арга замуудын цуглуулгыг агуулдаг.</para>
 
     <para>Энэ бүлгийг уншсаны дараа, та дараах зүйлсийг мэдэх болно:</para>
 
     <itemizedlist>
       <listitem>
 	<para>&os;-ийн хувьд системийн аюулгүй байдлын үндсэн ухагдахуунууд.</para>
       </listitem>
 
       <listitem>
 	<para>&os;-д байдаг <acronym>DES</acronym> болон <acronym>MD5</acronym> 
 	зэрэг төрөл бүрийн нууцлах арга замуудын талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Нэг удаагийн нууц үгийн нэвтрэлтийг хэрхэн тохируулах талаар.</para>
       </listitem>
 
       <listitem>
 	<para><acronym>TCP</acronym> Wrappers буюу 
 	<acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчдыг <application>inetd</application>-д ашиглан 
 	хэрхэн тохируулах талаар.</para>
       </listitem>
 
       <listitem>
 	<para>&os;-ийн 5.0-с өмнөх хувилбарууд дээр <application>KerberosIV</application>-г 
 	хэрхэн тохируулах талаар.</para>
       </listitem>
 
       <listitem>
 	<para>&os; дээр <application>Kerberos5</application>-г хэрхэн тохируулах талаар.</para>
       </listitem>
 
       <listitem>
 	<para>IPsec-г хэрхэн тохируулж &os;/&windows; машинуудын хооронд 
 	<acronym>VPN</acronym> үүсгэх талаар.</para>
       </listitem>
      
       <listitem>
 	<para>&os;-ийн <acronym>SSH</acronym> шийдэл болох <application>OpenSSH</application>-г 
 	хэрхэн тохируулж ашиглах талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Файлын системийн  <acronym>ACL</acronym>-үүд гэж юу болох, тэдгээрийг 
 	хэрхэн ашиглах талаар.</para>
       </listitem>
 
       <listitem>
 	<para><application>Portaudit</application> хэрэгслийг хэрхэн ашиглаж 
 	Портын цуглуулгаас суулгагдсан гуравдагч програм хангамжийн багцуудыг аудит хийх талаар.</para>
       </listitem>
 
       <listitem>
 	<para>&os;-ийн аюулгүй байдлын зөвлөмжүүдийн сонордуулгуудыг хэрхэн хэрэглэх талаар.</para>
       </listitem>
 
       <listitem>
 	<para>Процессийн Бүртгэл хөтлөх гэж юу болох талаар ойлголттой болж 
 	түүнийг &os; дээр хэрхэн идэвхжүүлэх талаар.</para>
       </listitem>
     </itemizedlist>
 
     <para>Энэ бүлгийг уншихаасаа өмнө, та дараах зүйлсийг мэдэх шаардлагатай:</para>
 
     <itemizedlist>
       <listitem>
 	<para>&os; болон Интернэтийн үндсэн ухагдахуунуудыг ойлгох.</para>
       </listitem>
     </itemizedlist>
 
     <para>Энэ номонд нийтдээ аюулгүй байдлын нэмэлт сэдвүүд хамрагдсан болно.
 	Жишээ нь Mandatory Access Control буюу 
 	Шаардлагатай Хандалтын Хяналт <xref linkend="mac">-д,  
 	Интернэт галт ханануудын талаар <xref linkend="firewalls">-д 
 	хэлэлцэгдсэн байгаа.</para>
   </sect1>
 
   <sect1 id="security-intro">
     <title>Танилцуулга</title>
 
     <para>Аюулгүй байдал нь системийн администратораас эхэлж түүнтэй дуусдаг 
 	үйл ажиллагаа юм. BSD &unix; олон хэрэглэгчийн системүүд нь угаасаа 
 	зарим нэг аюулгүй байдлыг хангаж байдаг боловч тэдгээр хэрэглэгчдийг  
 	<quote>үнэнч</quote> байлгахыг эрмэлздэг аюулгүй байдлын нэмэлт 
 	арга замуудыг бүтээж түүний ажиллагааг хангах ажил нь сисадмины магадгүй 
 	ганц, хамгийн том үүргүүдийн нэг юм. Таныг аюулгүй болгосон зөвхөн тэр 
 	хэмжээгээр машинууд нь аюулгүй байдаг бөгөөд аюулгүй байдлын санаа зовнилууд 
 	нь хүний ая тухтай хялбар байлгах гэсэн хэрэгцээтэй үргэлж тэмцэлдэж байдаг. Ерөнхийдөө 
 	&unix; системүүд нь асар олон тооны зэрэгцээ процессуудыг ажиллуулах 
 	чадвартай бөгөөд эдгээр процессуудын ихэнх нь серверүүд болон ажилладаг 
 	&mdash; энэ нь гаднын зүйлс тэдэнтэй холбогдож ярилцах боломжтой 
 	гэсэн үг юм. Өчигдрийн миникомпьютерууд, мэйнфрэймүүдээс өнөөгийн 
 	ширээний компьютерууд болж компьютерууд нь сүлжээнд холбогдож  
 	сүлжээнүүд нь хоорондоо холбогдох тусам аюулгүй байдал нь улам илүү том 
 	асуудал болсоор байна.</para>
 
     <para>Системийн аюулгүй байдал нь сүйрүүлэхийг оролдсон эсвэл системийг 
 	ашиглагдахааргүй болгох гэсэн, гэхдээ <username>root</username> 
 	бүртгэлийг буулган авах (<quote>root-г эвдэх</quote>) оролдлого 
 	хийдэггүй, халдлагууд зэрэг төрөл бүрийн халдлагуудыг зогсоохтой бас 
 	хамааралтай юм. Аюулгүй байдлын санаа зовнилуудыг хэд хэдэн зэрэглэлд 
 	хувааж болно:</para>
 
     <orderedlist>
       <listitem>
 	<para>Үйлчилгээг зогсоох халдлагууд.</para>
       </listitem>
 
       <listitem>
 	<para>Хэрэглэгчийн бүртгэл буулган авалтууд.</para>
       </listitem>
 
       <listitem>
 	<para>Хандаж болох серверүүдээр дамжин root-г буулган авах.</para>
       </listitem>
 
       <listitem>
 	<para>Хэрэглэгчийн бүртгэлүүдээс дамжин root-г буулган авах.</para>
       </listitem>
 
       <listitem>
 	<para>Арын хаалга үүсгэлт.</para>
       </listitem>
     </orderedlist>
 
     <indexterm>
       <primary>DoS халдлагууд</primary>
       <see>Үйлчилгээг Зогсоох (DoS)</see>
     </indexterm>
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>DoS халдлагууд</secondary>
       <see>Үйлчилгээг Зогсоох (DoS)</see>
     </indexterm>
     <indexterm><primary>Үйлчилгээг Зогсоох (DoS)</primary></indexterm>
 
     <para>Үйлчилгээг зогсоох халдлага нь машиныг хэрэгцээтэй эх үүсвэрээс нь салгах 
 	үйлдэл юм. Ихэвчлэн DoS халдлагууд нь сүйрүүлэхийг оролдсон эсвэл 
 	машиныг түүн дээрх серверүүд болон сүлжээний стекийг эзэмдэн ашиглах 
 	боломжгүй болгодог балмадаар хүчлэх арга замууд юм. Зарим DoS халдлагууд 
 	нь сүлжээний стек дэх алдаануудыг ашиглан ганц пакетаар машиныг сүйрүүлэхийг 
 	оролддог. Үүнийг зөвхөн алдааны засварыг цөмд хийснээр засах боломжтой. 
 	Систем дээрх хөнөөлтэй нөхцөлд байх тэр серверийн дуудлагыг хязгаарладаг 
 	тохируулгуудыг зөв зааж серверүүд уруу хийсэн халдлагуудыг ихэвчлэн засаж болдог. 
 	Сүлжээний балмадаар хүчлэх халдлагуудын эсрэг арга хэмжээ авахад илүү 
 	төвөгтэй байдаг. Жишээ нь хууран мэхэлсэн пакетийн халдлагыг зогсоох 
 	бараг л боломжгүй, таны системийг Интернэтээс салгахад хүргэж болох юм.
 	Энэ нь таны машиныг зогсоож чадахгүй байж болох боловч таны Интернэтийн 
 	холболтыг дүүргэж болно.</para>
 
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>бүртгэл буулган авалтууд</secondary>
     </indexterm>
 
     <para>Хэрэглэгчийн бүртгэлийг буулган авах халдлага нь DoS халдлагаас илүү их 
 	тохиолддог. Одоо болтол олон сисадминууд стандарт <application>telnetd</application>, 
 	<application>rlogind</application>, <application>rshd</application>,
       болон <application>ftpd</application> серверүүдийг өөрсдийн машинууд 
 	дээр ажиллуулсаар байна. Анхдагчаар серверүүд нь шифрлэсэн холболт дээр 
 	ажилладаггүй. Ийм холболт дээр хэрэв та багагүй хэмжээний хэрэглэгчидтэй 
 	бөгөөд тэдгээр хэрэглэгчдээс нэг болон хэд хэд нь алсаас (энэ нь систем уруу нэвтрэн 
 	орох хамгийн нийтлэг тав тухтай арга юм) таны систем уруу нэвтрэн 
 	орж байгаа бол тэдгээр хэрэглэгчийн  нууц үг дундаасаа сүлжээгээр шиншлэгдэн алдагдах 
 	боломжтой байдаг. Анхааралтай системийн админ тэр хэрэглэгчийн 
 	алсаас хандсан бүртгэлүүд дээрээс бүр амжилттай болсон нэвтрэлтүүдэд хүртэл сэжигтэй 
 	эхлэл  хаягууд  байгаа эсэхийг хайн шинжилдэг.</para>
 
     <para>Халдагч хэрэглэгчийн бүртгэлд хандаж чадсаны дараа <username>root</username>-г 
 	бас эвдэж чадна гэдгийг үргэлж бодож байх хэрэгтэй. Гэхдээ жинхэнэ амьдрал дээр бол 
 	сайн аюулгүй байдлыг хангаж нууцлаг болгосон байнга ажиллагааг нь хянаж байдаг систем дээр 
 	хэрэглэгчийн бүртгэлд хандах нь халдагч заавал ч үгүй <username>root</username> 
 	эрхэд хандаж чадна гэсэн үг биш юм. Энэ ялгааг зөв салгаж ойлгох хэрэгтэй. Учир нь 
 	<username>root</username> уруу хандах боломжгүй халдагч ерөнхийдөө өөрийн 
 	мөрийг баллаж нууж чаддаггүй бөгөөд тухайн хэрэглэгчийн файлуудыг замбараагүйтүүлэх 
 	эсвэл машиныг сүйрүүлэхээс илүүтэйг хийж чаддаггүй. Хэрэглэгчид нь сисадминууд шиг 
 	аюулгүй байдлын арга хэмжээг тэр болгон авдаггүй болохоор хэрэглэгчийн бүртгэлийн 
 	буулган авалт нь маш элбэг байдаг юм.</para>
 
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>арын хаалганууд</secondary>
     </indexterm>
 
     <para>Машин дээрх <username>root</username> бүртгэлийг эвдэх боломжит олон 
 	аргууд байдгийг системийн администраторууд санаж байх хэрэгтэй. Халдагч нь 
 	<username>root</username>-н нууц үгийг мэдэж болно. Эсвэл халдагч root 
 	эрхээр ажилладаг серверт алдаа олж сүлжээгээр тэр сервер уруу дамжин орж
 	<username>root</username>-г эвдэж болно. Эсвэл халдагч нь suid-root 
 	програмд алдаа байгааг мэдэж хэрэглэгчийн бүртгэлийг эвдэн орсныхоо дараа 
 	тэр алдаагаар дамжин <username>root</username>-г эвдэн орж болох юм.
 	Хэрэв халдагч машин дээрх <username>root</username>-г эвдэх аргаа 
 	олсон бол заавал арын хаалга суулгах шаардлагагүй болж болох юм. 
 	<username>root</username>-н цоорхойнуудын олонхийг тухайн үед аль хэдийн 
 	олоод хаачихсан байдаг бөгөөд энэ үед халдагчид өөрийн мөрөө цэвэрлэхэд ихээхэн 
 	ажиллагаа шаарддаг болохоор ихэнх халдагчид арын хаалга суулгадаг. 
 	Арын хаалга нь систем уруу хандах <username>root</username> хандалтыг 
 	халдагчид амархнаар дахин олж авах боломжийг олгодог боловч энэ нь ухаалаг системийн 
 	администраторт халдлагыг амархнаар илрүүлэх боломжийг бас олгодог юм. 
 	Халдагчийн хамгийн эхлээд эвдэн орсон цоорхойг хааж чаддаггүй болохоор арын хаалга 
 	суулгахыг  боломжгүй болгох нь магадгүй таны аюулгүй байдалд ашиггүй байж болох юм.</para>
 
     <para>Аюулгүй байдлын засварууд нь олон давхраатай <quote>сонгины хальс</quote> 
 	хандлагаар үргэлж шийдэгдэж байх шаардлагатай бөгөөд тэдгээрийг дараах маягаар 
 	зэрэглэж болно:</para>
 
     <orderedlist>
       <listitem>
 	<para><username>root</username> болон staff бүртгэлүүдийг нууцлаг/аюулгүй болгох.</para>
       </listitem>
 
       <listitem>
 	<para><username>root</username>&ndash;ажилладаг серверүүд 
 	болон suid/sgid хоёртын файлуудыг аюулгүй болгох.</para>
       </listitem>
 
       <listitem>
 	<para>Хэрэглэгчийн бүртгэлүүдийг аюулгүй болгох.</para>
       </listitem>
 
       <listitem>
 	<para>Нууц үгийн файлыг аюулгүй болгох.</para>
       </listitem>
 
       <listitem>
 	<para>Цөмийн гол хэсэг, түүхий төхөөрөмжүүд болон 
 	файлын системүүдийг аюулгүй болгох.</para>
       </listitem>
 
       <listitem>
 	<para>Системд хийгдсэн зохисгүй өөрчлөлтүүдийг түргэн илрүүлэх.</para>
       </listitem>
 
       <listitem>
 	<para>Параной буюу хэт зовнил.</para>
       </listitem>
     </orderedlist>
 
     <para>Энэ бүлгийн дараагийн хэсэг нь дээр дурдсан зүйлсүүдийг илүү гүнзгийгээр 
 	авч үзэх болно.</para>
   </sect1>
 
   <sect1 id="securing-freebsd">
     <title>&os;-н аюулгүй байдлыг хангах нь</title>
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>&os;-н аюулгүй байдлыг хангах нь</secondary>
     </indexterm>
 
     <note>
       <title>Тушаалыг Протоколтой харьцуулахад (Command vs. Protocol)</title>
       <para>Энэ баримтын туршид бид <application>тод</application> текстээр 
 	програмыг <command>monospaced</command> фонтоор тусгай тушаалуудыг 
 	тэмдэглэх болно. Протоколууд ердийн фонт ашиглах болно. Тэмдэглэгээний энэ 
 	ялгаа нь ssh зэргийн хувьд ашигтай, учир нь энэ ssh нь протоколоос гадна 
 	бас тушаал юм.</para>
     </note>
 
     <para>Үүнээс хойшх хэсгүүд нь түрүүчийн бүлгийн <link linkend="security-intro">
 	сүүлийн хэсэг</link>т дурдсан таны &os; системийг аюулгүй болгох аргуудыг 
 	авч үзнэ.</para>
 
     <sect2 id="securing-root-and-staff">
       <title><username>root</username> бүртгэл болон staff бүртгэлүүдийг 
 	аюулгүй болгох</title>
       <indexterm>
         <primary><command>su</command></primary>
       </indexterm>
 
       <para>Эхлээд хэрэв та <username>root</username> бүртгэлийг аюулгүй болгоогүй 
 	бол staff бүртгэлүүдийг аюулгүй болгоход санаа зовсны хэрэггүй. Ихэнх системүүд 
 	<username>root</username> бүртгэлд нууц үг өгсөн байдаг. Таны эхний хийх 
 	зүйл бол нууц үг <emphasis>үргэлж</emphasis> эвдэгдэж болно гэдгийг 
 	бодох хэрэгтэй. Энэ нь та нууц үгээ устгах хэрэгтэй гэсэн үг биш юм. Нууц үг нь 
 	машин уруу консол хандалт хийхэд үргэлж хэрэгтэй байдаг. Энэ нь юу гэсэн үг вэ 
 	гэхээр та нууц үгийг консолоос гадна эсвэл болж өгвөл бүр &man.su.1; тушаалтай 
 	ашиглаж болохоор хийх ёсгүй гэсэн үг юм. Жишээ нь 
 	<command>telnet</command> эсвэл <command>rlogin</command>-р хийгдэх 
 	шууд <username>root</username> нэвтрэлтүүдийг хаах pty-уудын тохиргоог insecure 
 	буюу аюултай гэж <filename>/etc/ttys</filename> файлд заасан эсэхийг шалгаарай. 
 	Хэрэв бусад нэвтрэх үйлчилгээнүүд болох <application>sshd</application> 
 	зэргийг ашиглаж байгаа бол шууд <username>root</username> нэвтрэлтүүдийг 
 	бас хаасан эсэхийг шалгаарай. Та үүнийг <filename>/etc/ssh/sshd_config</filename> 
 	файлыг засварлан <literal>PermitRootLogin</literal> тохируулгыг 
 	<literal>NO</literal> болгон зааж өгөөрэй. Хандах арга бүр &mdash;
 	FTP зэрэг үйлчилгээнүүдээр ихэвчлэн эвдлэн ордог болохыг бодолцох хэрэгтэй. 
 	Шууд <username>root</username> нэвтрэлтүүд зөвхөн системийн консолоор хийгдэхэд  
 	зөвшөөрөгдөх ёстой.</para>
       <indexterm>
         <primary><groupname>wheel</groupname></primary>
       </indexterm>
 
       <para>Мэдээж систем админы хувьд та <username>root</username> 
 	уруу орж чадаж байх ёстой болохоор бид хэдэн цоорхой үлдээдэг. 
 	Гэхдээ эдгээр цоорхойнууд нь нэмэлт нууц үг шалгаж ажилладаг байхаар 
 	бид хийдэг. <username>root</username>-г хандах боломжтой 
 	байлгах нэг арга нь тохирох staff бүртгэлүүдийг <groupname>wheel</groupname> 
 	бүлэгт (<filename>/etc/group</filename> файлд) нэмэх явдал юм. 
 	<groupname>wheel</groupname> бүлэгт оруулсан staff-ийн гишүүдэд 
 	<username>root</username> уруу <command>su</command> хийхийг 
 	зөвшөөрдөг. Та staff-ийн гишүүдийг тэдгээрийн нууц үгийн оруулгад 
 	<groupname>wheel</groupname> бүлэгт оруулан байрлуулж  анхнаас нь 
 	<groupname>wheel</groupname> хандалт өгч хэзээ ч болохгүй. 
 	Staff бүртгэлүүдийг <groupname>staff</groupname> бүлэгт 
 	оруулах ёстой бөгөөд тэгээд дараа нь <filename>/etc/group</filename> 
 	файлын <groupname>wheel</groupname> бүлэгт нэмэх ёстой. 
 	Зөвхөн <username>root</username> хандалт заавал шаардлагатай 
 	тийм staff-ийн гишүүдийг <groupname>wheel</groupname> бүлэгт 
 	оруулах ёстой. Kerberos зэрэг жинхэнээ шалгуулж нэвтрэх аргыг ашиглаж 
 	байх тохиолдолд заавал <groupname>wheel</groupname> бүлэгт оруулалгүйгээр 
 	<username>root</username> бүртгэл дэх Kerberos-ийн 
 	<filename>.k5login</filename> файлыг ашиглаж 
 	<username>root</username> уруу &man.ksu.1; хийхийг зөвшөөрөх 
 	бас боломжтой байдаг. Энэ нь магадгүй давуу шийдэл байж болох юм. 
 	Учир нь хэрэв халдагч таны нууц үгийн файлыг олж аван staff бүртгэлийг 
 	эвдлэн орж чадах бол <groupname>wheel</groupname> арга нь 
 	халдагчид <username>root</username>-г эвдэх боломжийг олгосон хэвээр 
 	байдаг юм. <groupname>wheel</groupname> аргатай байх нь огт аргагүй 
 	байхаас илүү боловч энэ нь заавал ч үгүй хамгийн аюулгүй сонголт бас биш 
 	юм.</para>
 
       <para>Бүртгэлийг бүрэн түгжихийн тулд &man.pw.8; тушаалыг ашиглах 
 	хэрэгтэй:</para>
 
       <screen>&prompt.root;<userinput>pw lock <replaceable>staff</replaceable></userinput></screen>
 
       <para>Энэ нь &man.ssh.1;-ийг оролцуулаад хэрэглэгчийг ямар ч 
 	арга ашиглан нэвтрэн орохыг хориглоно.</para>
 
       <para>Бүртгэлүүдэд хандахыг хориглох өөр нэг арга бол 
 	нууцлагдсан нууц үгийг ганц <quote><literal>*</literal></quote>  
 	тэмдэгтээр солих явдал юм. Энэ тэмдэгт нь нууцлагдсан 
 	нууц үгтэй хэзээ ч таарахгүй бөгөөд хэрэглэгчийн 
 	хандалтыг хаах болно. Жишээ нь доор дурдсан staff бүртгэлийг:</para>
 
       <programlisting>foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh</programlisting>
 
       <para>Ийм болгон өөрчлөх хэрэгтэй:</para>
 
       <programlisting>foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh</programlisting>
 
       <para>Энэ нь <username>foobar</username> хэрэглэгчийг ердийн 
 	аргууд ашиглан нэвтрэн орох боломжийг хаадаг. Энэ хандалт 
 	хязгаарлах арга нь <application>Kerberos</application> ашиглаж 
 	байгаа сайтууд эсвэл хэрэглэгч &man.ssh.1; ашиглан түлхүүрүүд 
 	тохируулсан тохиолдлууд зэрэгт ажилладаггүй.</para>
 
       <para>Эдгээр аюулгүй байдлын арга замууд нь бас таныг илүү хязгаарласан 
 	серверээс арай бага хязгаарласан машин уруу нэвтрэн орж байна гэж тооцдог. 
 	Жишээ нь хэрэв таны гол хайрцаг чинь бүх л төрлийн серверүүд ажиллуулж байвал 
 	таны ажлын компьютер чинь ямрыг ч ажиллуулах ёсгүй. Өөрийн компьютерийг 
 	боломжийн аюулгүй болгохын тулд та ерөөсөө сервергүй болтол аль болох цөөн 
 	сервер ажиллуулах хэрэгтэй бөгөөд та нууц үгээр хамгаалагдсан дэлгэц хоослогч 
 	ажиллуулах хэрэгтэй. Мэдээж ажлын компьютер уруу физик хандалт өгвөл 
 	халдагч ямар ч төрлийн аюулгүй байдлыг та хангасан байлаа гэсэн эвдэж 
 	чадна. Энэ нь таны бодох ёстой асуудлын нэг юм. Гэхдээ эвдлэн оролтуудын 
 	олонхи нь алсаас сүлжээгээр дамжин таны ажлын компьютер эсвэл серверүүдэд 
 	физик хандалт байхгүй хүмүүсээс ирдэг гэдгийг та бас л бодолцох хэрэгтэй юм.</para>
       <indexterm><primary>KerberosIV</primary></indexterm>
 
       <para>Kereberos мэтийг ашиглах нь танд staff бүртгэлийн нууц үгийг нэг газар 
 	өөрчлөх эсвэл хаах боломжийг олгох бөгөөд staff-ийн гишүүдийн бүртгэл байж болох 
 	бүх машинууд дээр нэн даруй бас үйлчилдэг. Хэрэв staff-ийн гишүүний бүртгэл 
 	эвдэгдсэн бол түүний нууц үгийг бүх машинууд дээр нэн даруй өөрчлөх тэр боломжийг 
 	дутуу үнэлэх ёсгүй юм. Тусдаа байгаа нууц үгүүдийг N машинууд дээр өөрчлөх нь 
 	зовлонтой байдаг. Мөн та Kerberos-д нууц үг дахин өгөлтийг ноогдуулж болох 
 	бөгөөд Kerberos тасалбарыг хэсэг хугацааны дараа дуусдагаар хийж болохоос 
 	гадна Kerberos систем нь тодорхой хугацааны (жишээ нь сар бүр) дараа 
 	хэрэглэгчийг шинэ нууц үг сонгохыг шаарддагаар бас тохируулж болдог.</para>
     </sect2>
 
     <sect2>
       <title>root-ажилладаг серверүүд болон suid/sgid хоёртын файлуудыг аюулгүй болгох</title>
 
       <indexterm>
         <primary><command>ntalk</command></primary>
       </indexterm>
       <indexterm>
         <primary><command>comsat</command></primary>
       </indexterm>
       <indexterm>
         <primary><command>finger</command></primary>
       </indexterm>
       <indexterm>
         <primary>sandboxes</primary>
       </indexterm>
       <indexterm>
         <primary><application>sshd</application></primary>
       </indexterm>
       <indexterm>
         <primary><application>telnetd</application></primary>
       </indexterm>
       <indexterm>
         <primary><application>rshd</application></primary>
       </indexterm>
       <indexterm>
         <primary><application>rlogind</application></primary>
       </indexterm>
 
       <para>Хянамгай сисадмин илүү ч үгүй дутуу ч үгүй зөвхөн өөрийн хэрэгтэй серверүүдийг 
 	ажиллуулдаг. Гуравдагч талын серверүүд ихэвчлэн хамгийн алдаатай байх 
 	хандлагатай гэдгийг санаж байх хэрэгтэй. Жишээ нь 
 	<application>imapd</application> эсвэл 
 	<application>popper</application> серверийн хуучин хувилбарыг 
 	ажиллуулна гэдэг нь универсал <username>root</username> тасалбарыг 
 	бүх дэлхийд өгч байна гэсэн үг юм. Та няхуур шалгаагүй сервер битгий ажиллуул. 
 	Олон серверүүд заавал <username>root</username> эрхээр ажиллах 
 	шаардлагагүй байдаг. Жишээ нь <application>ntalk</application>,
 	<application>comsat</application>, болон 
 	<application>finger</application> дэмонуудыг тусгай хэрэглэгчийн 
 	<firstterm>sandboxes буюу хамгаалагдсан хязгаарлагдмал орчинд</firstterm> 
 	ажиллуулах боломжтой байдаг. Хамгаалагдсан хязгаарлагдмал орчин нь 
 	асар их төвгүүдийг давж хийгээгүй л бол төгс биш бөгөөд өмнө дурдсан сонгины 
 	хандлагаар аюулгүй байдалд хандах нь хэвээр байна: хэрэв хэн нэгэн нь 
 	хамгаалагдсан хязгаарлагдмал орчинд ажиллаж байгаа серверт эвдэн орж 
 	чадсан ч гэсэн тэд хамгаалагдсан хязгаарлагдмал орчныг бас эвдэн гарах хэрэг 
 	болно. Аль болох олон давхаргыг халдагч эвдлэх ёстой болох тусам тэдгээрийн 
 	амжилттай болох нь улам багасах болно. Урьд нь root цоорхойнууд нь 
 	системийн үндсэн серверүүдээс авахуулаад бараг л бүх 
 	<username>root</username> ажилладаг сервер дээр олдож байсан.
 	Хэрэв таны ажиллуулдаг машин уруу хүмүүс зөвхөн <application>sshd</application> 
 	ашиглан нэвтэрдэг бөгөөд <application>telnetd</application>,
 	<application>rshd</application> эсвэл
 	<application>rlogind</application> хэзээ ч ашиглан нэвтэрдэггүй 
 	бол эдгээр үйлчилгээнүүдийг хаагаарай!</para>
       
       <para>Одоо &os; нь <application>ntalkd</application>,
 	<application>comsat</application>, болон
 	<application>finger</application> үйлчилгээнүүдийг хамгаалагдсан 
 	хязгаарлагдмал орчинд анхдагчаар ажиллуулдаг. Хамгаалагдсан хязгаарлагдмал 
 	орчинд ажиллуулж болох өөр нэг програм нь &man.named.8; юм. 
 	<filename>/etc/defaults/rc.conf</filename> нь 
 	<application>named</application>-г хамгаалагдсан хязгаарлагдмал 
 	орчинд ажиллуулахад шаардлагатай нэмэлт өгөгдлүүдийг тайлбар хэлбэрээр агуулсан 
 	байдаг. Таны шинэ систем эсвэл байгаа системээ шинэчилж байгаагаас хамааран 
 	тэдгээр хамгаалагдсан хязгаарлагдмал орчинд ашиглагдах тусгай хэрэглэгчийн 
 	бүртгэлүүд суулгагдаагүй байж болох юм. Хянамгай сисадмин судалгаа хийж  
 	серверүүдийг хамгаалагдсан хязгаарлагдмал орчинд аль болох 
 	ажиллуулдаг.</para>
       <indexterm>
         <primary><application>sendmail</application></primary>
       </indexterm>
 
       <para>Хамгаалагдсан хязгаарлагдмал орчинд ерөнхийдөө ажилладаггүй хэд хэдэн 
 	серверүүд байдаг: <application>sendmail</application>,
 	<application>popper</application>,
 	<application>imapd</application>, <application>ftpd</application>,
 	болон бусад. Эдгээрийн зарим шиг бас өөр серверүүд байдаг боловч 
 	тэдгээрийг суулгах нь таны хүсэж байгаагаас илүү (амархан байх гэсэн асуудал 
 	энд сөхөгдөж байна) их ажиллагаа шаардаж магадгүй юм. Та эдгээр серверүүдийг 
 	магадгүй <username>root</username> эрхээр ажиллуулж тэдгээрт учирч болох 
 	эвдрэн оролтуудыг илрүүлэх өөр арга замуудад найдах хэрэгтэй болж болох юм.</para>
 
       <para>Системийн өөр нэг том боломжтой <username>root</username> цоорхойнууд 
 	бол системд суусан suid-root болон sgid хоёртын файлууд юм. 
 	<application>rlogin</application> зэрэг эдгээрийн ихэнх нь 
 	<filename>/bin</filename>, <filename>/sbin</filename>,
 	<filename>/usr/bin</filename>, эсвэл <filename>/usr/sbin</filename>
 	сангуудад байрладаг. Юу ч 100% аюулгүй байдаггүй боловч системийн анхдагч 
 	suid болон sgid хоёртын файлууд нь боломжийн хэрээр аюулгүй гэж тооцогддог. 
 	Гэсэн хэдий ч эдгээр хоёртын файлуудад <username>root</username> цоорхойнууд 
 	үе үе олддог. <application>xterm</application>-г (энэ нь ихэвчлэн suid 
 	байдаг) эмзэг болгосон <username>root</username> цоорхойнууд 1998 онд 
 	<literal>Xlib</literal>-д олджээ. Харамсахаасаа өмнө аюулгүй байж 
 	байсан нь дээр учраас хянамгай сисадмин зөвхөн staff ажиллуулах ёстойгоор 
 	staff зөвхөн хандаж чадах тусгай бүлэгт зөвшөөрч suid хоёртын файлуудыг 
 	хязгаарладаг бөгөөд хэн ч ашигладаггүй suid хоёртын файлуудыг ажиллуулж болохгүй 
 	болгодог (<command>chmod 000</command>). Дэлгэцгүй серверт ер нь 
 	<application>xterm</application> хоёртын файл хэрэгцээгүй юм. 
 	Sgid хоёртын файлууд нь бас л аюултай юм. Хэрэв халдагч  sgid-kmem 
 	хоёртын файлыг эвдэж чадвал тэр <filename>/dev/kmem</filename>-г 
 	уншиж чадах бөгөөд ингэснээр нууц үгтэй дурын бүртгэлийг эвдэн орж 
 	шифрлэсэн нууц үгийн файлыг уншихад хүргэдэг. Бас <literal>kmem</literal> 
 	бүлгийг эвдсэн халдагч secure буюу аюулгүй аргаар дамжин нэвтрэн орсон хэрэглэгчдийн 
 	ашиглаж байгаа pty-уудаар илгээгдсэн гарын товчнуудын даралтуудыг 
 	хянаж чаддаг. <groupname>tty</groupname> бүлгийг эвдсэн халдагч 
 	бараг дурын хэрэглэгчийн tty-д бичиж чадна. Хэрэв хэрэглэгч гар дуурайх боломж бүхий 
 	терминал програм эсвэл эмулятор ажиллуулж байгаа бол хэрэглэгчийн терминалыг 
 	тушаал буцаан харуулахаар болгодог өгөгдлийн урсгалыг халдагч үүсгэж дараа нь 
 	тэр тушаалыг тэр хэрэглэгчийн эрхээр ажиллуулдаг.</para>
     </sect2>
 
     <sect2 id="secure-users">
       <title>Хэрэглэгчийн бүртгэлүүдийг аюулгүй болгох</title>
 
       <para>Хэрэглэгчийн бүртгэлүүдийг аюулгүй болгох нь ихэвчлэн хамгийн хэцүү 
 	байдаг. Та өөрийн staff-д ширүүн хандалтын хязгаарлалтууд оногдуулж 
 	тэдгээрийн нууц үгүүдийг <quote>од болгож</quote> болох боловч 
 	та ердийн хэрэглэгчийн бүртгэлүүдийг яг ингэж хязгаарлаж чадахгүй байж болох 
 	юм. Хэрэв та хангалттай хяналттай байх юм бол таны аз болж хэрэглэгчийн 
 	бүртгэлүүдийг зөвөөр аюулгүй болгож чадна. Хэрэв үгүй бол та тэдгээр 
 	бүртгэлүүдийг хянахдаа ердөө л илүү сонор сэрэмжтэй байх хэрэгтэй. 
 	ssh болон Kerberos-г хэрэглэгчийн бүртгэлүүдэд ашиглах нь 
 	нэмэлт удирдлага болон техникийн дэмжлэг шаардлагатайгаас болоод 
 	илүү асуудалтай байдаг боловч энэ нь шифрлэсэн нууц үгийн файлыг бодох юм 
 	бол маш сайн шийдэл хэвээр байдаг.</para>
     </sect2>
 
     <sect2>
       <title>Нууц үгийн файлыг аюулгүй болгох</title>
 
       <para>Цорын ганц итгэлтэй арга бол аль болох олон нууц үгүүдийг од болгон 
 	тэдгээр бүртгэлүүдэд хандахын тулд ssh эсвэл Kerberos ашигла.
 	Шифрлэгдсэн нууц үгийн файлыг (<filename>/etc/spwd.db</filename>) 
 	зөвхөн <username>root</username> уншиж чаддаг боловч халдагч 
 	root-бичих хандалт олж авч чадаагүй ч гэсэн тэр файлд унших эрх олж авах 
 	боломжтой байж болох юм.</para>
 
       <para>Таны аюулгүй байдлын скриптүүд нууц үгийн файлд хийгдсэн өөрчлөлтүүдийг 
 	үргэлж шалгаж тайлагнах шаардлагатай (доорх <link
 	  linkend="security-integrity">Файлын бүрэн бүтэн байдлыг шалгах</link> 
 	хэсгийг үзнэ үү).</para>
     </sect2>
 
     <sect2>
       <title>Цөмийн гол хэсэг, түүхий төхөөрөмжүүд болон файлын системүүдийг аюулгүй болгох</title>
 
       <para>Хэрэв халдагч <username>root</username>-г эвдсэн бол тэр юуг ч хийж чадах 
 	боловч зарим ашиг сонирхлууд байдаг. Жишээ нь орчин үеийн ихэнх цөмүүдэд 
 	пакет шиншлэх төхөөрөмжийн драйвер бүтээгдсэн байдаг. &os;-д энэ нь 
 	<devicename>bpf</devicename> төхөөрөмж гэж нэрлэгддэг. Халдагч 
 	ердөө буулган авсан машин дээрээ пакет шиншлэгчийг ажиллуулахыг оролддог. 
 	Та халдагчид энэ боломжийг өгөх хэрэггүй бөгөөд ихэнх системүүдэд 
 	<devicename>bpf</devicename> төхөөрөмжийг эмхэтгэн оруулах 
 	шаардлагагүй юм.</para>
 
       <indexterm>
         <primary><command>sysctl</command></primary>
       </indexterm>
       <para>Гэхдээ <devicename>bpf</devicename> төхөөрөмжийг хаасан ч гэсэн 
 	та <filename>/dev/mem</filename> болон <filename>/dev/kmem</filename> 
 	файлуудад бас санаа тавих хэрэгтэй. Энэнээс болоод халдагч түүхий (raw) 
 	төхөөрөмжүүдэд бичиж чадсан хэвээр байна. Мөн цөмийн бас нэг боломж болох 
 	модуль ачаалагч гэж нэрлэгддэг &man.kldload.8; байдаг. Самбаатай 
 	халдагч KLD модуль ашиглаад өөрийн <devicename>bpf</devicename> 
 	төхөөрөмж эсвэл бусад шиншлэх төхөөрөмжийг ажиллаж байгаа цөмд суулгадаг. 
 	Эдгээр асуудлуудаас зайлсхийхийн тулд та цөмийг илүү өндөр аюулгүй байдлын 
 	түвшинд ядаж аюулгүйн түвшин 1-д ажиллуулах хэрэгтэй. Аюулгүй түвшин 
 	<command>sysctl</command> тушаалаар <varname>kern.securelevel</varname> 
 	хувьсагчийн тусламжтай тохируулагдаж болно. Аюулгүйн түвшинг 1 болгосны дараа 
 	түүхий төхөөрөмжүүдэд бичих хандалт хийхийг хориглох бөгөөд <literal>schg</literal> 
 	зэрэг <command>chflags</command> тугууд үйлчлэх болно. Мөн та 
 	чухал эхлүүлэх хоёртын файлууд, сангууд болон скрипт файлууд, ер нь аюулгүйн 
 	түвшин заагдах хүртэл ажиллаж байгаа бүгдэд <literal>schg</literal> туг 
 	байгаа эсэхийг шалгах хэрэгтэй. Энэ нь хэтэрхий болж болох бөгөөд 
 	таныг илүү өндөр аюулгүйн түвшинд ажиллаж байгаа үед системийг шинэчлэхийг  
 	бүр илүү төвөгтэй болгодог юм. Та буулт хийж системийн бүх файл болон санд 
 	<literal>schg</literal> тугийг зааж өгөлгүйгээр системийг өндөр аюулгүйн 
 	түвшинд ажиллуулж болох юм. Өөр нэг боломж нь <filename>/</filename> 
 	болон <filename>/usr</filename> санг ердөө л зөвхөн уншихаар холбох явдал 
 	юм. Хамгаалах  зүйлдээ хэт ширүүн байх нь булаан эзлэлтийн бүх чухал илрүүлэлтийг 
 	бас болиулж болохыг санахад илүүдэхгүй.</para>
     </sect2>
 
     <sect2 id="security-integrity">
       <title>Файлын бүрэн бүтэн байдлыг шалгах нь: Хоёртын файлууд, Тохиргооны файлууд,
 	гэх мэт.</title>
 
       <para>Тэр мөч ирэхэд, та зөвхөн системийн гол тохиргоо болон хяналтын файлуудаа 
 	ая тухын хүчин зүйл урьтахаас хамаагүй өмнө хамгаалж чадна. 
 	Жишээ нь	<command>chflags</command> тушаал ашиглан 
 	<filename>/</filename> болон <filename>/usr</filename> 
 	сангууд дахь ихэнх файлуудад <literal>schg</literal> битийг тохируулах нь 
 	магадгүй үр ашиггүй байж болох бөгөөд учир нь ингэснээр файлуудыг хамгаалахын  
 	хажуугаар бас илрүүлэх цонхыг хаадаг юм. Таны аюулгүй байдлын сонгины  
 	сүүлийн давхарга нь илрүүлэлт бөгөөд энэ нь хамгийн чухал юм. Хэрэв та боломжит 
 	халдагчдыг илрүүлж чадахгүй л бол аюулгүй байдлын бусад үлдсэн асуудлуудын талаар 
 	бодоод ч бараг хэрэггүй юм (эсвэл бүр дэмий юм, аюулгүй байдлыг танд буруу ойлгуулахад
 	хүргэдэг).  Сонгины ажлын хагас нь халдагчийг үйлдэл дээр нь 
 	барихын тулд түүнийг зогсоохын оронд харин удаашруулах явдал юм.</para>
 
       <para>Халдлагыг илрүүлэх хамгийн сайн арга бол өөрчлөгдсөн, алга болсон, эсвэл 
 	гэнэтийн файлуудыг хайх явдал юм. Өөрчлөгдсөн файлуудыг хайх хамгийн сайн арга 
 	бол тэдгээрийг өөр (ихэвчлэн төвлөрсөн) хязгаарлагдмал хандалттай системээс хайх 
 	явдал юм. Өөрийн аюулгүй байдлын скриптийг нэмэлт аюулгүй байдал хангасан 
 	хязгаарлагдмал хандалттай систем дээр бичих нь тэдгээрийг боломжит халдагчдад 
 	бараг харагдуулдаггүй бөгөөд энэ нь чухал юм. Давуу талыг хамгийн ихээр авахын 
 	тулд ерөнхийдөө хязгаарлагдмал хандалттай хайрцагт бусад машинуудад хандах 
 	тэр ач холбогдолтой хандалтыг өгөх хэрэгтэй. Үүнийг ихэвчлэн бусад машинуудын зөвхөн 
 	унших NFS экспортыг хязгаарлагдмал хандалттай хайрцагт өгөх эсвэл ssh түлхүүр 
 	хослолыг тохируулж хязгаарлагдмал хандалттай хайрцгийг бусад машинууд уруу ssh 
 	хийхийг зөвшөөрөх  замаар хийдэг. Өөрийн сүлжээний урсгалыг тооцохгүй юм бол NFS нь 
 	хамгийн харагддаггүй арга юм &mdash; энэ нь клиент хайрцаг бүр дэх файлын 
 	системүүдийг монитор хийхийг танд зөвшөөрч бараг л илэрдэггүй. Хэрэв таны 
 	хязгаарлагдмал хандалттай сервер нь клиент хайрцагнууд уруу hub буюу салаалагч эсвэл 
 	чиглүүлэлтийн хэд хэдэн давхаргаар дамжин холбогдсон бол NFS арга нь хэтэрхий 
 	аюултай (сүлжээний хувьд) байж болох бөгөөд ssh-ийг ашиглах нь түүний гаргадаг  
 	аудит мөрийн замуудтай байсан ч гэсэн магадгүй илүү сонголт байж болох юм.</para>
 
       <para>Монитор хийгдэх клиент систем уруу хандахад хамгийн багаар бодоход унших эрхийг 
 	та хязгаарлагдмал хандалттай хайрцагт өгсний дараа яг мониторыг хийхдээ скрипт бичих 
 	хэрэгтэй. Өгөгдсөн NFS холболтод &man.find.1; болон &man.md5.1; зэрэг 
 	энгийн системийн хэрэгслүүд ашиглан та скриптүүд бичиж болно. Клиент хайрцгийн 
 	файлуудад өдөрт нэг удаа физикээр md5 хийж <filename>/etc</filename> болон
 	<filename>/usr/local/etc</filename> сангууд дахь хяналтын файлуудыг 
 	бүр илүү давтамжтайгаар шалгаж байх нь зүйтэй юм. Хязгаарлагдмал хандалттай 
 	машины зөв гэж тооцсон md5 мэдээлэлтэй харьцуулахад тарахгүй файлууд олдвол 
 	сисадминд үүнийг очиж шалгахыг хашгиран мэдээлэх ёстой. Аюулгүй байдлын сайн 
 	скрипт нь тохирохгүй suid хоёртын файлууд болон <filename>/</filename> болон
 	<filename>/usr</filename> зэрэг системийн хуваалтууд дээрх шинээр үүссэн 
 	эсвэл устгагдсан файлуудыг бас шалгадаг.</para>
 
       <para>NFS биш ssh-ийг ашиглаж байх үед аюулгүй байдлыг скрипт бичих нь бүр илүү хэцүү 
 	байдаг. Та скриптүүдийг харагдуулж ажиллуулахын тулд тэдгээрийг клиент хайрцаг уруу үндсэндээ 
 	<command>scp</command> хийх хэрэгтэй бөгөөд аюулгүй байдлаа бодох юм бол 
 	та тэдгээр скриптүүдийн ашигладаг хоёртын файлуудыг (find гэх зэрэг) бас 
 	<command>scp</command> хийх хэрэгтэй юм. 
 	Клиент хайрцаг дээрх <application>ssh</application> клиент аль хэдийн 
 	эвдэгдсэн байж болох юм. Аюултай холболтоор ажиллаж байгаа бол ssh-г ашиглах нь 
 	шаардлагатай байж болох боловч бас түүнтэй ажиллахад бүр илүү хэцүү байдаг юм.</para>
 
       <para>Аюулгүй байдлын сайн скрипт нь 
 	<filename>.rhosts</filename>, <filename>.shosts</filename>,
 	<filename>.ssh/authorized_keys</filename> гэх зэрэг 
 	<literal>MD5</literal> шалгалтын хүрээний гадуур байх хэрэглэгч болон 
 	staff-ийн гишүүдийн хандалтын тохиргооны файлууд дахь өөрчлөлтүүдийг бас 
 	шалгадаг.</para>
 
       <para>Хэрэв та асар их хэрэглэгчийн дискний зайтай бол тэдгээр хуваалтууд 
 	дээр байгаа файл бүр дээр ажиллахад хэт удаж болох юм. Энэ тохиолдолд suid 
 	хоёртын файлуудыг хаах холболтын тугуудыг зааж өгөх нь зүйтэй юм. 
 	<literal>nosuid</literal> нь таны хайж байгаа тэр тохируулга юм. 
 	Энэ давхаргын зорилго нь эвдлэн оролтын оролдлогуудыг амжилттай эсвэл 
 	амжилтгүй болсноос үл хамааран илрүүлэх явдал учраас ямар ч гэсэн ядаж 
 	долоо хоногт нэг удаа та тэдгээр файлуудыг магадгүй шалгаж байх 
 	хэрэгтэй юм.</para>
 
       <para>Процессийн бүртгэл хийх нь (&man.accton.8;-г үзнэ үү) эвдлэн оролтын 
 	дараах үнэлэх арга замууд болон тусалж болох харьцангуй бага ачаалал бүхий 
 	үйлдлийн системийн боломж юм. Энэ нь эвдлэн орсны дараа файлыг хөндөөгүй хэвээр 
 	гэж үзэн халдагч систем уруу хэрхэн эвдлэн орсныг мөрдөхөд ялангуяа ашигтай 
 	байдаг.</para>
 
       <para>Эцэст нь аюулгүй байдлын скриптүүд нь бүртгэлийн файлуудыг процесс хийх ёстой 
 	бөгөөд бүртгэлүүд өөрсдөө аль болох аюулгүй байдлаар үүсгэгдэх ёстой бөгөөд 
 	алсын syslog нь их ашигтай байж болох юм. Халдагч өөрийн мөрийг арилгахыг 
 	оролдох бөгөөд эхний эвдлэн оролтын арга болон хугацааг мөрдөхөд сисадмины хувьд  
 	бүртгэлийн файлууд нь маш чухал байдаг юм. Бүртгэлийн файлуудын байнгын бичлэгийг 
 	хадгалах нэг арга нь системийн консолыг сериал порт уруу ажиллуулж консолуудыг 
 	хянаж аюулгүй машин дээр мэдээллийг цуглуулах явдал юм.</para>
     </sect2>
 
     <sect2>
       <title>Параной буюу хэт зовнил</title>
 
       <para>Бага зэргийн хэт зовнил буруудахгүй. Дүрэм болгож тав тухтай байдлыг 
 	алдагдуулдаггүй дурын тооны аюулгүй байдлын боломжуудыг сисадмин нэмж болох бөгөөд 
 	зарим анхаарлыг бодолцон тав тухтай байдалд <emphasis>нөлөөлөх</emphasis> 
 	аюулгүй байдлын боломжуудыг бас нэмж болох юм. Бүр илүү чухал нь аюулгүй 
 	байдлын администратор үүнийг бага зэрэг хольж хэрэглэж болно &mdash; хэрэв та энэ  
 	баримтад дурдсан заавруудыг үгчлэн ашиглавал энэ баримтыг уншсан ирээдүйн халдагчид 
 	та өөрийн арга замуудыг заан өгч байна гэсэн үг юм.</para>
     </sect2>
 
     <sect2>
       <title>Үйлчилгээг Зогсоох Халдлагууд</title>
       <indexterm><primary>Үйлчилгээг Зогсоох (DoS)</primary></indexterm>
 
       <para>Энэ хэсэг нь Үйлчилгээг Зогсоох халдлагуудыг хамарна. DoS халдлага нь 
 	ихэвчлэн пакетийн халдлага байдаг. Таны сүлжээг дүүргэж байгаа орчин үеийн 
 	хууран мэхэлсэн пакетийн халдлагуудын эсрэг нэг их юм хийж чадахгүй ч гэсэн 
 	халдлагууд таны серверүүдийг унагахгүйн тулд та ерөнхийдөө хохирлыг 
 	хязгаарлаж болно:</para>
 
       <orderedlist>
 	<listitem>
 	  <para>Серверийн fork хийлтийг хязгаарлах.</para>
 	</listitem>
 
 	<listitem>
 	  <para>Springboard буюу бусад халдлагуудыг хязгаарлах (ICMP хариу халдлагууд, ping
 	    цацалт, гэх мэт.).</para>
 	</listitem>
 
 	<listitem>
 	  <para>Цөмийн чиглүүлэлтийн кэшийг хэт ачаалах.</para>
 	</listitem>
       </orderedlist>
 
       <para>Нийтлэг DoS халдлагын дүр зураг бол fork хийгдэж байгаа серверт 
 	халдаж түүнээр асар их хүүхэд процесс  үүсгүүлж эцсийн эцэст хост системийн 
 	хувьд санах ой, файлын тодорхойлогчууд гэх мэтүүд дуусч зогсоход 
 	хүргэдэг. <application>inetd</application> (&man.inetd.8;-г 
 	үзнэ үү) нь энэ төрлийн халдлагыг хязгаарлах хэд хэдэн тохируулгатай. 
 	Машиныг зогсоохоос хамгаалах боломжтой боловч ерөнхийдөө  үйлчилгээг 
 	халдлагад өртүүлэхгүй байх боломжгүйг энд тэмдэглэх нь зүйтэй юм. 
 	<application>inetd</application> гарын авлагын хуудсыг 
 	анхааралтай уншиж <option>-c</option>, <option>-C</option>,
 	болон <option>-R</option> тохируулгуудад ялангуяа анхаарлаа 
 	хандуулаарай. Хууран мэхэлсэн IP халдлагууд нь 
 	<application>inetd</application> дахь  
 	<option>-C</option> тохируулгыг хуурах учраас ихэвчлэн тохируулгуудын 
 	хослолыг ашиглах шаардлагатай. Зарим дан серверүүд өөрийн 
 	fork хийгдэхийг хязгаарлах параметрүүдтэй байдаг.</para>
 
       <para><application>Sendmail</application> нь 
 	<option>-OMaxDaemonChildren</option> тохируулгатай байдаг бөгөөд 
 	энэ нь <application>Sendmail</application>-ийг ачаалал хязгаарлах тохируулгатай ажиллуулж ачааллын 
 	хоцрогдол үүсгэснээс хавьгүй илүүтэйгээр ажилладаг. Та 
 	<application>Sendmail</application>-г ажиллуулахдаа 
 	хүссэн ачааллыг даахаар гэхдээ компьютерийг унагахаар их хэмжээний тоогоор 
 	<application>Sendmail</application>-үүдийг ажиллуулах биш түүнээс 
 	багаар <literal>MaxDaemonChildren</literal> параметрийг 
 	хангалттай өндрөөр тавьж өгөх хэрэгтэй. Мөн <application>sendmail</application>-ийг дарааллын 
 	горимоор (<option>-ODeliveryMode=queued</option>) ажиллуулах 
 	болон дэмонг (<command>sendmail -bd</command>) дараалалтай 
 	(<command>sendmail -q15m</command>) ажиллуулдгаас тусад нь ажиллуулах нь 
 	чухал юм. Хэрэв та шууд илгээх горимыг хүсэж байгаа бол та дарааллыг  
 	<option>-q1m</option> зэргээр бүр бага интервалаар ажиллуулах боломжтой 
 	боловч <literal>MaxDaemonChildren</literal> тохируулгыг боломжийн 
 	утгаар хоорондоо холбоотой амжилтгүйтлүүдээс <application>sendmail</application>-ийг  хамгаалахын 
 	<emphasis>тулд</emphasis> зааж өгсөн эсэхээ шалгаарай.</para>
 
       <para><application>Syslogd</application>-д шууд халдаж болох учраас аль болох 
 	<option>-s</option> тохируулгыг эсвэл <option>-a</option> тохируулгыг ашиглахыг 
 	танд зөвлөдөг.</para>
 
       <para>Шууд халдлага хийгдэж болох <application>TCP Wrapper</application>-ийн 
 	буцах identd зэрэг буцан холбогддог үйлчилгээнүүдийн хувьд та маш хянамгай байх 
 	хэрэгтэй. Ийм учраас та <application>TCP Wrapper</application>-ийн 
 	буцах identd боломжийг ерөнхийдөө ашиглах хэрэггүй юм.</para>
 
       <para>Та өөрийн захын чиглүүлэгчүүд дээрээ дотоод үйлчилгээнүүд уруугаа 
 	гаднаас хандуулахгүй болгож галт ханаар хамгаалах нь зүйтэй юм. 
 	Үүний цаадах санаа нь гаднаас ирж болзошгүй сүлжээ дүүргэх халдлагаас өөрийн LAN-г 
 	хамгаалах явдал бөгөөд сүлжээн дээр тулгуурласан <username>root</username> 
 	эрхийг буулгахаас дотоод үйлчилгээнүүдийг хамгаалах зүйлс тийм их биш юм. 
 	exclusive буюу хамааруулаагүй галт ханыг үргэлж тохируулах хэрэгтэй, өөрөөр хэлбэл 
 	<quote>A, B, C, D болон M-Z портуудаас <emphasis>бусад</emphasis> 
 	бүгдийг галт ханаар хамгаалах хэрэгтэй</quote>. Ингэснээр та 
 	<application>named</application> (хэрэв та бүсийн хувьд анхдагч бол),
 	<application>ntalkd</application>,
 	<application>sendmail</application> болон бусад Интернэтээс хандах 
 	үйлчилгээнүүд зэрэг зарим нэг тусгай үйлчилгээнүүдийн портуудаас бусад бүх бага 
 	дугаарын портуудыг галт ханаар хамгаалж чадах юм. Хэрэв та галт ханыг өөр 
 	аргаар &mdash; inclusive буюу хамааруулсан эсвэл зөвшөөрсөн галт хана маягаар  
 	тохируулахыг оролдвол хэд хэдэн үйлчилгээнүүдийг <quote>хаахаа</quote> 
 	мартаж магадгүй юм, эсвэл та шинэ дотоод үйлчилгээ нэмээд галт ханаа шинэчлэхээ 
 	мартаж болох юм. Та галт хана дээр зөвшөөрсөнтэй адил үйлдлийг нэвтрүүлэхийн 
 	тулд бага дугаарын портуудыг нээлгүйгээр өндөр дугаарын портуудыг онгойлгож 
 	болох юм. Мөн &os; нь динамик холболтод хэрэглэгддэг портуудыг 
 	<command>sysctl</command>-ийн төрөл бүрийн 
 	<varname>net.inet.ip.portrange</varname> хувьсагчуудаар 
 	(<command>sysctl -a | fgrep portrange</command>) 
 	хянах боломжийг танд олгодгийг бас тэмдэглэх нь зүйтэй юм. Энэ нь бас таны 
 	галт ханын тохиргооны төвөгтэй байдлыг амарчилдаг юм. Жишээ нь 
 	та ердийн 4000-аас 5000 хүртэлх портууд болон 49152-оос 65535 хүртэлх 
 	өндөр дугаарын портуудыг ашигладаг бол 4000-аас бага бүгдийг 
 	өөрийн галт хана дээр хаах хэрэгтэй (мэдээж Интернэтээс ханддаг хэдэн тусгай портуудаас 
 	бусад).</para>
 
       <para>Өөр нийтлэг DoS халдлагуудын нэг нь springboard халдлага юм 
 	&mdash; сервер, дотоод сүлжээ эсвэл бусад машиныг хариу үйлдэл хийхийг нь 
 	ихэсгэж хэт ачаалахад хүргэдэг халдлага юм. Ийм маягийн хамгийн нийтлэг 
 	халдлага нь <emphasis>ICMP ping broadcast буюу цацалт</emphasis> 
 	юм. Халдагч таны LAN-ий цацах хаяг уруу илгээсэн ping пакетийнхаа  
 	эхлэл IP хаягийг халдахыг хүсэж байгаа машиныхаа IP хаягаар сольж хуурдаг. 
 	Хэрэв таны захын чиглүүлэгчүүд цацах хаяг уруу илгээх ping пакетуудыг 
 	зогсоохоор тохируулагдаагүй бол таны LAN хангалттай хариу үүсгэн хууран мэхэлсэн 
 	эхлэл хаяг уруу илгээж, ялангуяа халдагч хэдэн арван цацах хаягууд уруу өөр өөр 
 	хэдэн арван сүлжээнүүдээр дамжин энэ башир аргаа ашигласан үед, хохирогчийг 
 	дүүргэдэг. 120 мегабайтаас илүү хэмжээний цацах халдлага одоогоор 
 	хэмжигдээд байна. Энэ төрлийн хоёр дахь нийтлэг халдлага нь ICMP-ийн алдаа 
 	тайлагнах системийн эсрэг халдлага юм. ICMP алдааны мэдэгдэл үүсгэдэг 
 	пакетуудыг бүтээж халдагч серверийн орж ирж байгаа сүлжээг дүүргэж ингэснээр 
 	серверийг өөрийн гарах сүлжээг ICMP хариунуудаар дүүргэхэд хүргэдэг. 
 	Энэ төрлийн халдлага нь ялангуяа хэрэв сервер үүсгэж байгаа ICMP хариунуудаа 
 	хангалттай хурднаар шавхан гаргаж чадахгүй байгаа бол серверийг санах ойгүй болгож 
 	сүйрүүлж бас болох юм. <application>sysctl</application>-ийн 
 	<literal>net.inet.icmp.icmplim</literal> хувьсагчийг ашиглан 
 	эдгээр халдлагуудыг хязгаарлах хэрэгтэй. Springboard төрлийн халдлагуудын 
 	сүүлийн гол ангилал нь udp цуурай үйлчилгээ зэрэг зарим дотоод 
 	<application>inetd</application> үйлчилгээнүүдтэй холбоотой юм. 
 	Халдагч UDP пакетийг хууран мэхэлж A болон B сервер нь хоёулаа таны LAN-д байгаа 
 	тийм A серверийн цуурай порт дээрх эхлэл хаягаар болон  төгсгөл хаягийг B серверийн 
 	цуурай порт дээрх хаягаар сольдог. Уг хоёр сервер дараа нь энэ ганц пакетийг 
 	хоорондоо шидэлцдэг.  Эдгээр серверүүд болон тэдгээрийн LAN-г энэ маягаар 
 	халдагч хэдхэн пакетуудыг хатган оруулан хэт ачаалж чаддаг.	
 	Үүнтэй адил асуудлууд дотоод <application>chargen</application> портод 
 	бас байдаг. Чадварлаг сисадмин эдгээр бүх дотоод inetd тест үйлчилгээнүүдийг 
 	хаадаг.</para>
 
       <para>Хууран мэхэлсэн пакетийн халдлагуудыг цөмийн чиглүүлэлтийн кэшийг хэт ачаалахад 
 	хэрэглэж болдог. <varname>net.inet.ip.rtexpire</varname>,
 	<varname>rtminexpire</varname>, болон <varname>rtmaxcache</varname>
 	<command>sysctl</command> параметрүүдийг үзнэ үү. Дурын эхлэл 
 	IP хаягийг ашигласан хууран мэхэлсэн пакетийн халдлага нь чиглүүлэлтийн хүснэгтэд түр зуур 
 	кэш хийгдсэн чиглүүлэлтийг цөмөөр  үүсгүүлэхэд хүргэдэг бөгөөд энэ нь 
 	<command>netstat -rna | fgrep W3</command> тушаалаар харагддаг. 
 	Эдгээр чиглүүлэлтүүд нь ихэвчлэн 1600 секунд орчим хугацааны дотор дуусдаг.
 	Хэрэв цөм кэш хийгдсэн чиглүүлэлтийн хүснэгт хэтэрхий том болсныг илрүүлэх юм бол 
 	<varname>rtexpire</varname> динамикаар багасгадаг боловч 
 	<varname>rtminexpire</varname>-с бага болтол хэзээ ч багасгадаггүй. 
 	Хоёр асуудал байдаг:</para>
 	
       <orderedlist>
 	<listitem>
 	  <para>Бага ачаалагдсан сервер гэнэт халдлагад өртөхөд цөм хангалттай хурдан 
 		хариу үйлдэл хийдэггүй.</para>
 	</listitem>
 	
 	<listitem>
 	  <para><varname>rtminexpire</varname> хувьсагч нь 
 		үргэлжилсэн халдлагыг цөм дааж чадахаар хангалттай бага байдаггүй.</para>
 	</listitem>
       </orderedlist>
       
       <para>Хэрэв таны серверүүд Интернэтэд T3 эсвэл илүү хурдаар холбогдсон бол 
 	&man.sysctl.8;-оор 
 	<varname>rtexpire</varname> болон <varname>rtminexpire</varname> 
 	хувьсагчуудыг хоёуланг гараар дарж бичихдээ хянамгай байх хэрэгтэй. 
 	Аль ч параметрийг (машиныг сүйрүүлэхийг та хүсээгүй л бол) хэзээ ч битгий 
 	0 болгоорой. Эдгээр параметрүүдийг хоёуланг нь 2 секунд болгох нь 
 	чиглүүлэлтийн хүснэгтийг халдлагаас хамгаалахад хангалттай байх ёстой.</para>
     </sect2>
 
     <sect2>
       <title>Kerberos болон SSH-тэй холбоотой хандалтын асуудлууд</title>
       <indexterm><primary><command>ssh</command></primary></indexterm>
       <indexterm><primary>KerberosIV</primary></indexterm>
 
       <para>Хэрэв та Kerberos болон ssh-г хоёуланг ашиглахаар бол цөөн хэдэн асуудлуудыг 
 	дурдах хэрэгтэй. Kerberos 5 нь жинхэнийг шалгах маш сайн нэвтрэлтийн протокол 
 	боловч түүнийг ашигласан <application>telnet</application> болон 
 	<application>rlogin</application>-д байдаг алдаанууд нь энэ хоёр програмыг 
 	хоёртын урсгалтай ажиллахад тохиромжгүй болгодог. Мөн <option>-x</option> 
 	тохируулгыг ашиглахгүй л бол анхдагчаар Kerberos нь сессийг шифрлэдэггүй. 
 	<application>ssh</application> нь бүгдийг шифрлэдэг.</para>
 
       <para>Ssh нь анхдагчаар шифрлэсэн түлхүүрүүдээ дамжуулдгаас бусад бүх л талаараа зэгсэн 
 	сайн ажилладаг. Энэ нь юу гэсэн үг вэ гэхээр та хэрэв системийн бусад хэсэгт хандах боломж 
 	олгодог түлхүүрүүд бүхий аюулгүй ажлын компьютертай бөгөөд та аюултай машин уруу ssh 
 	хийвэл таны түлхүүрүүд ашиглагдах боломжтой гэсэн үг юм. Яг түлхүүрүүд нь өөрсдөө 
 	ил гардаггүй боловч ssh нь таны нэвтэрсэн хугацааны туршид зориулж дамжуулах порт 
 	суулгадаг бөгөөд хэрэв халдагч аюулгүй машин дээрх <username>root</username>-г 
 	эвдсэн бол тэрхүү портыг таны түлхүүрүүдийг ашиглахын тулд хэрэглэн  таны түлхүүрээр 
 	тайлагдах өөр бусад машинуудад хандах боломжийг олж авах боломжтой юм.</para>
 
       <para>Бид staff нэвтрэлтүүдийн хувьд аль болох ssh-г Kerberos-той цуг ашиглахыг 
 	зөвлөдөг. <application>Ssh</application> нь Kerberos-ийн дэмжлэгтэй 
 	эмхэтгэгдэж болдог. Энэ нь ил гарсан байж болзошгүй ssh түлхүүрүүдэд 
 	найдах таны найдварыг багасгахын хамт нууц үгүүдийг Kerberos-оор хамгаалдаг.
 	Ssh түлхүүрүүд нь аюулгүй машинуудын автоматчилагдсан ажлуудад (Kerberos-оор 
 	хийхэд таарахгүй) зөвхөн хэрэглэгдэх ёстой. Мөн бид таныг ssh-ийн тохиргоондоо 
 	key-forwarding буюу түлхүүр дамжуулалтыг болиулах эсвэл ssh-ийн  
 	<filename>authorized_keys</filename> файлдаа зөвхөн тусгайлсан 
 	машинуудаас нэвтрэхэд түлхүүрийг ашиглаж болохоор болгож зөвшөөрдөг 
 	<literal>from=IP/DOMAIN</literal> тохируулгыг ашиглахыг зөвлөдөг.</para>
     </sect2>
   </sect1>
 
   <sect1 id="crypt">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Билл</firstname>
 	  <surname>Свингл</surname>
 	  <contrib>Хэсгүүдийг дахин бичиж шинэчилсэн </contrib>
 	</author>
       </authorgroup>
       <!-- 21 Mar 2000 -->
     </sect1info>
 
     <title>DES, MD5, болон Crypt</title>
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>crypt</secondary>
     </indexterm>
 
     <indexterm><primary>crypt</primary></indexterm>
     <indexterm><primary>Blowfish</primary></indexterm>
     <indexterm><primary>DES</primary></indexterm>
     <indexterm><primary>MD5</primary></indexterm>
 
     <para>&unix; систем дээрх хэрэглэгч бүрийн хувьд нууц үг бүртгэлтэй нь холбоотой 
 	байдаг. Мэдээж эдгээр нууц үгүүд нь зөвхөн хэрэглэгч ба үйлдлийн системд 
 	мэдэгдэж байх ёстой. Эдгээр нууц үгүүдийг нууцлаг байлгахын тулд тэдгээрийг 
 	<quote>one-way hash буюу үл буцах хэш</quote> гэгддэг шифрлэхэд амархан 
 	боловч буцааж болдоггүй аргаар шифрлэдэг. Өөрөөр хэлбэл хормын өмнө 
 	мэдээж гэж хэлсэн бидний хэлсэн үг яг жинхэнэдээ үнэн биш юм: үйлдлийн систем
 	өөрөө нууц үгийг <emphasis>жинхэнэдээ</emphasis> мэддэггүй. 
 	Энэ нь зөвхөн нууц үгийн <emphasis>шифрлэсэн</emphasis> хэлбэрийг 
 	мэддэг. <quote>plain-text буюу ердийн уншигдах текст </quote> 
 	хэлбэрийн нууц үгийг авах цорын ганц арга нь боломжит нууц үгүүдийн орон зайгаас 
 	балмадаар хүчлэн хайх явдал юм.</para>
 
     <para>Харамсалтай нь &unix; бий болсон тэр үед нууц үгийг аюулгүй аргаар 
 	шифрлэх цорын ганц арга нь DES, Data Encryption Standard буюу 
 	Өгөгдөл Шифрлэх Стандарт дээр үндэслэсэн байлаа. Энэ нь АНУ-д оршин 
 	сууж байсан хэрэглэгчдийн хувьд тийм ч асуудалтай биш байсан юм, гэхдээ 
 	DES-ийн эх код АНУ-аас гадагшаа экспорт хийгдэж болохгүй байсан 
 	учир &os; нь АНУ-ын хуулийг дагахын хажуугаар DES-ийг ашигласан хэвээр
 	байсан бусад бүх &unix; төрлүүдтэй нийцтэй байх арга замыг хайж олоход 
 	хүрсэн юм.</para>
 
     <para>Үүний шийдэл нь АНУ-ын хэрэглэгчид DES сангуудыг суулгаж ашиглах боломжтой 
 	мөртлөө олон улсын хэрэглэгчид гадагш экспорт хийгдэж болох шифрлэх аргатай бас 
 	байхаар шифрийн сангуудыг хуваасан явдал байлаа. Ингэж &os; нь 
 	MD5-ийг өөрийн анхдагч шифрлэх аргаа болгон ашиглах болсон юм. MD5 нь 
 	DES-ээс илүү аюулгүй нууцлаг гэгддэг бөгөөд DES-ийг суулгах нь үндсэндээ 
 	нийцтэй байх шалтгаануудын улмаас зориулагдсан юм.</para>
 
     <sect2>
       <title>Өөрийн Crypt арга замыг таних нь</title>
 
       <para>Одоогоор шифрийн сан DES, MD5 болон Blowfish хэш функцуудыг дэмждэг.
 	Анхдагчаар &os; нь MD5 ашиглан нууц үгүүдийг шифрлэдэг.</para>
 
       <para>&os; аль шифрлэх аргыг тохируулж ашиглаж байгааг мэдэх хялбар байдаг. 
 	<filename>/etc/master.passwd</filename> файл дахь шифрлэсэн 
 	нууц үгийг шалгах нь нэг арга юм. MD5 хэшээр шифрлэгдсэн нууц үгүүд нь 
 	DES-р шифрлэгдсэнийгээ бодох юм бол урт бөгөөд <literal>&dollar;1&dollar;</literal> 
 	тэмдэгтээр бас эхэлдэг. <literal>&dollar;2a&dollar;</literal> 
 	тэмдэгтээр эхэлсэн нууц үгүүд Blowfish хэш функцаар шифрлэгдсэн байдаг. 
 	DES мөр нь ямар нэг тусгайлан таньж болох шинж тэмдэггүй  байдаг боловч 
 	тэд MD5 нууц үгүүдээс богино бөгөөд <literal>&dollar;</literal> 
 	тэмдэгт ордоггүй 64 тэмдэгттэй цагаан толгойгоор кодчилогддог, тиймээс 
 	долларын тэмдэгтээр эхлээгүй харьцангуй богино мөр ихэвчлэн DES нууц үг 
 	байдаг.</para>
 
       <para>Шинэ нууц үгүүдэд ашиглагдах нууц үгийн хэлбэр нь нэвтрэлтийн 
 	<literal>passwd_format</literal> боломжийн тусламжтай 
 	<filename>/etc/login.conf</filename> файлд хянагддаг бөгөөд 
 	энэ хувьсагч нь <literal>des</literal>, <literal>md5</literal> 
 	эсвэл <literal>blf</literal> утгуудыг авдаг. Нэвтрэлтийн 
 	боломжуудын талаар дэлгэрэнгүй мэдээллийг &man.login.conf.5; 
 	гарын авлагын хуудаснаас үзнэ үү.</para>
 
     </sect2>
   </sect1>
 
   <sect1 id="one-time-passwords">
     <title>Нэг удаагийн нууц үгүүд</title>
     <indexterm><primary>нэг удаагийн нууц үгүүд</primary></indexterm>
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>нэг удаагийн нууц үгүүд</secondary>
     </indexterm>
 
     <para>Анхдагчаар &os; OPIE (One-time Passwords
       In Everything буюу Бүхэнд зориулсан нэг удаагийн нууц үгүүд) дэмжлэгтэй 
 	байдаг бөгөөд энэ нь MD5 хэшийг анхдагчаар ашигладаг.</para>
 
     <para>Бид гурван өөр төрлийн нууц үгийг доор хэлэлцэх болно. Эхнийх нь таны ердийн 
 	&unix; загварын эсвэл Kerberos нууц үг юм; бид үүнийг <quote>&unix; нууц үг</quote> 
 	гэж нэрлэх болно. Хоёр дахь төрөл нь OPIE &man.opiekey.1; програмаар 
 	үүсгэгдэж  &man.opiepasswd.1; програм болон нэвтрэлт хүлээх мөр хүлээн авах 
 	нэг удаагийн нууц үг юм; бид үүнийг <quote>нэг удаагийн нууц үг</quote> гэх болно. 
 	Сүүлийн төрөл нууц үг бол <command>opiekey</command> програмд 
 	(заримдаа <command>opiepasswd</command> програмууд) өгдөг 
 	нууцлаг нууц үг бөгөөд үүнийг ашиглан дээрх програмууд нэг удаагийн нууц үг 
 	үүсгэдэг; бид үүнийг <quote>нууцлаг нууц үг</quote> гэх буюу эсвэл 
 	зүгээр л шалгагдаагүй <quote>нууц үг</quote> гэх болно.</para>
 
     <para>Нууцлаг нууц үг нь таны &unix; нууц үгтэй ямар ч холбоогүй юм; тэдгээр нь 
 	адил байж болох боловч ингэхийг зөвлөдөггүй. OPIE нууцлаг нууц үгүүд нь 
 	хуучин &unix; нууц үгүүд шиг 8 тэмдэгтэд хязгаарлагддаггүй
 	<footnote><para>&os; дээр стандарт нэвтрэх нууц үг уртаараа 128 тэмдэгт 
 	хүртэл байж болдог.</para></footnote> бөгөөд таны хүссэн хэмжээний 
 	урттай байж болдог. Зургаа эсвэл долоон үг бүхий өгүүлбэрээс тогтох нууц үгүүд 
 	нэлээн элбэг байдаг. Ихэнх хэсгийн хувьд OPIE систем &unix;-ийн нууц үгийн 
 	системээс бүр мөсөн ангид ажилладаг.</para>
 
     <para>Нууц үгээс гадна OPIE-д чухал өгөгдлийн өөр хоёр хэсэг байдаг. Нэг нь 
 	<quote>seed буюу үр</quote> эсвэл <quote>key буюу түлхүүр</quote> гэгддэг 
 	бөгөөд 2 үсэг болон таван тооноос тогтдог. Нөгөөдөх нь <quote>давталтын тоо</quote> 
 	буюу 1-ээс 100 хүртэлх тоо юм. OPIE нэг удаагийн нууц үгийг үр болон нууцлаг 
 	нууц үгийг нийлүүлэн MD5 хэшийг давталтын тоогоор ашиглан үүсгэж үр дүнг нь 
 	зургаан богино Англи үг болгодог. Эдгээр зургаан Англи үг нь таны нэг удаагийн нууц 
 	үг юм. Нэвтрэлт шалгах систем (үндсэндээ PAM) ашигласан хамгийн сүүлийн нэг удаагийн 
 	нууц үгийг хадгалж байдаг бөгөөд хэрэглэгчийн өгсөн нууц үгийн хэш өмнөх нууц үгтэй таарч 
 	байвал хэрэглэгчийг нэвтрүүлдэг. Үл буцах хэш ашиглагддаг болохоор хэрэв 
 	амжилттайгаар ашиглагдсан нууц үгийг олж авсан бол дараа дараагийн нэг удаагийн 
 	нууц үгүүдийг үүсгэх боломжгүй байдаг; хэрэглэгч болон нэвтрэлтийн програмыг хамгийн 
 	сүүлийн хэлбэрт адилхан байлгаж байхын тулд давталтын тоо амжилттай нэвтрэлт хийгдэх бүрийн 
 	дараа багасаж байдаг. Давталтын тоо 1 хүрэх үед OPIE дахин хийгдэх 
 	хэрэгтэй болно.</para>
 
     <para>Систем болгоны хувьд хэдэн програмууд байдаг бөгөөд тэдгээрийг бид энд 
 	хэлэлцэх болно. <command>opiekey</command> програм давталтын 
 	тоо, үр болон нууцлаг нууц үгийг хүлээн авч нэг удаагийн нууц үг эсвэл 
 	нэг удаагийн нууц үгүүдийн үргэлжилсэн жагсаалтыг үүсгэдэг. 
 	<command>opiepasswd</command> програмыг OPIE-г эхлүүлэх болон 
 	нууц үг, давталтын тоо эсвэл үр өөрчлөхөд ашигладаг; энэ нь  
 	нууцлаг нэвтрэх үгс аль эсвэл давталтын тоо, үр болон нэг удаагийн нууц үгийг 
 	авдаг. <command>opieinfo</command> програм тохирох итгэмжлэлүүдийн 
 	файлуудыг (<filename>/etc/opiekeys</filename>) шалгаж 
 	ажиллуулсан хэрэглэгчийн одоогийн давталтын тоо болон үрийг дэлгэцэд 
 	гаргадаг.</para>
 
     <para>Бид дөрвөн өөр төрлийн үйлдлийн талаар хэлэлцэх болно. Эхнийх нь аюулгүй 
 	холболтоор <command>opiepasswd</command> ашиглаж нэг удаагийн нууц үгүүдийг 
 	эхний удаа тохируулах эсвэл өөрийн нууц үг эсвэл үрийг өөрчлөх үйлдэл юм. 
 	Хоёр дахь үйлдэл нь <command>opiepasswd</command>-г аюултай холболтоор, 
 	<command>opiekey</command> тушаалыг аюулгүй холболтоор ашиглаж 
 	адил үйлдлийг хийх явдал юм. Гурав дахь нь <command>opiekey</command>-г 
 	аюултай холболтоор ашиглан нэвтрэн орох үйлдэл юм. Дөрөв дэх нь 
 	<command>opiekey</command>-г ашиглан хэд хэдэн түлхүүрүүд үүсгэх үйлдэл 
 	бөгөөд гадагшаа аюулгүй холболтуудгүй газрууд уруу явахдаа тэдгээр түлхүүрүүдийг бичин авч 
 	эсвэл хэвлэн аваад өөртөө авч явж болох юм.</para>
 
     <sect2>
       <title>Аюулгүй холболт эхлүүлэх</title>
       <para>OPIE-г эхний удаа эхлүүлэхдээ <command>opiepasswd</command> 
 	тушаалыг ажиллуул:</para>
 
       <screen>&prompt.user; <userinput>opiepasswd -c</userinput>
 [grimreaper] ~ $ opiepasswd -f -c
 Adding unfurl:
 Only use this method from the console; NEVER from remote. If you are using
 telnet, xterm, or a dial-in, type ^C now or exit with no password.
 Then run opiepasswd without the -c parameter.
 Using MD5 to compute responses.
 Enter new secret pass phrase:
 Again new secret pass phrase:
 ID unfurl OTP key is 499 to4268
 MOS MALL GOAT ARM AVID COED
 </screen>
 
       <para><prompt>Enter new secret pass phrase:</prompt> эсвэл
         <prompt>Enter secret password:</prompt> мөрүүд дээр та 
 	нууц үг эсвэл өгүүлбэр оруулах ёстой. Энэ нь таны нэвтрэхдээ ашиглах 
 	нууц үг биш гэдгийг санах хэрэгтэй, үүнийг ашиглаж таны нэг удаагийн 
 	нэвтрэх түлхүүрийг үүсгэдэг. <quote>ID</quote> мөр таны 
 	тухайн үеийн параметрүүд болох таны нэвтрэх нэр, давталтын тоо болон 
 	үрийг өгдөг. Нэвтрэн орох үед систем эдгээр параметрүүдийг санаж 
 	танд тэдгээрийг санах шаардлагагүйгээр буцаан үзүүлдэг. Сүүлийн мөр нь 
 	тэдгээр параметрүүд болон таны нууцлаг нууц үгт харгалзах нэг удаагийн 
 	нууц үгийг өгдөг; хэрэв та нэн даруй дахин нэвтэрвэл энэ нэг удаагийн нууц үг 
 	нь таны ашиглах тэр нууц үг юм.</para>
     </sect2>
 
     <sect2>
       <title>Аюултай холболт эхлүүлэх</title>
       
       <para>Өөрийн нууцлаг нууц үгийг аюултай холболтоор эхэлж өгөхдөө эсвэл 
 	өөрчлөхдөө <command>opiekey</command> ажиллуулж болох тийм газар уруу 
 	аюулгүй холболттой байж байх шаардлагатай; энэ нь таны итгэж байгаа машин 
 	дээр бүрхүүлийн тушаал хүлээх мөр хэлбэрээр байж болно. Та бас давталтын тоог 
 	(100 боломжийн утга байж болох юм) бодож өгөх хэрэгтэй бөгөөд та өөрөө үр 
 	бодож олох эсвэл дурын үүсгэснийг ашиглах хэрэгтэй. Аюултай холболтоор 
 	(таны эхлүүлж байгаа машин уруу) <command>opiepasswd</command> 
 	тушаалыг ашигла:</para>
 
       <screen>&prompt.user; <userinput>opiepasswd</userinput>
 
 Updating unfurl:
 You need the response from an OTP generator.
 Old secret pass phrase:
         otp-md5 498 to4268 ext
         Response: GAME GAG WELT OUT DOWN CHAT
 New secret pass phrase:
         otp-md5 499 to4269
         Response: LINE PAP MILK NELL BUOY TROY
 
 ID mark OTP key is 499 gr4269
 LINE PAP MILK NELL BUOY TROY
 </screen>
 
       <para>Анхдагч үрийг хүлээж авах бол <keycap>Return</keycap> дар.
 	Дараа нь хандах нууц үгийг оруулахын өмнө аюулгүй холболт уруугаа 
 	орж адил параметрүүдийг өгөөрэй:</para>
 
       <screen>&prompt.user; <userinput>opiekey 498 to4268</userinput>
 Using the MD5 algorithm to compute response.
 Reminder: Don't use opiekey from telnet or dial-in sessions.
 Enter secret pass phrase:
 GAME GAG WELT OUT DOWN CHAT
 </screen>
 
       <para>Одоо аюултай холболт уруугаа шилжиж үүсгэсэн нэг удаагийн нууц үгээ 
 	тохирох програм уруу хуулаарай.</para>
     </sect2>
 
     <sect2>
       <title>Нэг удаагийн нууц үг ганцыг үүсгэх нь</title>
 
       <para>OPIE-г эхлүүлэн тохируулж нэвтэрсний дараа танд иймэрхүү тушаал 
 	хүлээх мөр харуулагдана:</para>
 
 <screen>&prompt.user; <userinput>telnet example.com</userinput>
 Trying 10.0.0.1...
 Connected to example.com
 Escape character is '^]'.
 
 FreeBSD/i386 (example.com) (ttypa)
 
 login: <userinput>&lt;username&gt;</userinput>
 otp-md5 498 gr4269 ext
 Password: </screen>
 
       <para>Энэ дашрамд тэмдэглэн хэлэхэд OPIE тушаал хүлээх мөрүүд ашигтай боломжтой 
 	байдаг: хэрэв та нууц үг хүлээх мөр дээр <keycap>Return</keycap> 
 	дарвал хүлээх мөр цуурайг идэвхжүүлж таны юу бичиж байгааг танд харуулдаг. 
 	Та хэвлэсэн зүйлээсээ харж магадгүй нууц үгийг гараараа бичиж оруулахыг 
 	оролдож байгаа бол энэ маш ашигтай байж болох юм.</para>
 
       <indexterm><primary>MS-DOS</primary></indexterm>
       <indexterm><primary>Windows</primary></indexterm>
       <indexterm><primary>MacOS</primary></indexterm>
 
       <para>Энэ үед нэвтрэлт хүлээх мөрөнд хариулахын тулд та өөрийн нэг удаагийн нууц үгийг 
 	үүсгэх хэрэгтэй болно. Үүнийг <command>opiekey</command> тушаал итгэн ажиллуулж 
 	чадах тийм систем дээрээ хийх хэрэгтэй. (DOS, &windows; болон &macos;-д 
 	зориулсан эдгээрийн хувилбарууд байдаг) Эдгээрт давталтын тоо болон үр тушаалын 
 	мөрийн тохируулга хэлбэрээр хэрэгтэй байдаг. Та нэвтрэн орж байгаа машиныхаа 
 	нэвтрэлт хүлээх мөрөөс эдгээрийг шууд хуулан тавьж болох юм.</para>
 
       <para>Итгэсэн систем дээрээ:</para>
 
       <screen>&prompt.user; <userinput>opiekey 498 to4268</userinput>
 Using the MD5 algorithm to compute response.
 Reminder: Don't use opiekey from telnet or dial-in sessions.
 Enter secret pass phrase:
 GAME GAG WELT OUT DOWN CHAT</screen>
 
       <para>Одоо та өөрийн нэг удаагийн нууц үгтэй болсон болохоор нэвтрэлтээ 
 	үргэлжлүүлж болно.</para>
     </sect2>
 
     <sect2>
       <title>Нэг удаагийн нууц үг олныг үүсгэх нь</title>
 
       <para>Заримдаа та итгэсэн машин эсвэл аюулгүй холболт уруу хандах боломжгүй 
 	тийм газар очих хэрэгтэй болдог. Энэ тохиолдолд <command>opiekey</command> 
 	тушаал ашиглаж хэд хэдэн нэг удаагийн нууц үгүүдийг урьдчилан үүсгэж хэвлэн 
 	биедээ авч явах боломжтой юм. Жишээ нь:</para>
 
       <screen>&prompt.user; <userinput>opiekey -n 5 30 zz99999</userinput>
 Using the MD5 algorithm to compute response.
 Reminder: Don't use opiekey from telnet or dial-in sessions.
 Enter secret pass phrase: <userinput>&lt;secret password&gt;</userinput>
 26: JOAN BORE FOSS DES NAY QUIT
 27: LATE BIAS SLAY FOLK MUCH TRIG
 28: SALT TIN ANTI LOON NEAL USE
 29: RIO ODIN GO BYE FURY TIC
 30: GREW JIVE SAN GIRD BOIL PHI</screen>
 
       <para><option>-n 5</option> нь дараалсан таван түлхүүрийг үүсгэхийг, 
 	<option>30</option> нь сүүлийн давталтын тоог хэд байх ёстойг зааж өгч 
 	байгаа юм. Эдгээр нь ашиглах бололцоотойг <emphasis>урвуу</emphasis>
 	дарааллаар дэлгэцэнд харуулдгийг тэмдэглэх нь зүйтэй. Хэрэв та хэт санаа 
 	зовниж байгаа бол та үр дүнг гараар бичиж авахыг хүсэж болох юм; 
 	эсвэл <command>lpr</command> уруу хуулан авч тавьж болох юм. Мөр бүр 
 	давталтын тоо болон нэг удаагийн нууц үгийг харуулж байгааг анхаараарай; 
 	та нууц үгүүдийг хэрэглэх бүртээ тэдгээрийг арилгаж энэ хэвлэсэн арга тань ашигтай 
 	хэвээр болохыг мэдэж болох юм.</para>
     </sect2>
 
     <sect2>
       <title>&unix; нууц үгүүдийг ашиглахыг хязгаарлах нь</title>
 
       <para>OPIE нь &unix; нууц үгүүдийн ашиглалтыг нэвтрэлтийн сессийн IP хаяг дээр тулгуурлан 
 	хязгаарлаж чаддаг. Тохирох файл нь <filename>/etc/opieaccess</filename> 
 	бөгөөд энэ файл нь анхдагчаар байдаг. Энэ файлын талаар болон 
 	үүнийг ашигласнаар та аюулгүй байдлын ямар зүйлсүүдийг бодолцож анхаарах ёстой талаар 
 	дэлгэрэнгүй мэдээллийг &man.opieaccess.5;-с шалгана уу.</para>
 	
       <para>Энд жишээ <filename>opieaccess</filename> файл байна:</para>
 
       <programlisting>permit 192.168.0.0 255.255.0.0</programlisting>
 
       <para>Энэ мөр нь &unix; нууц үгүүдийг ямар ч үед ашиглахын тулд эхлэл IP хаягийг  
 	(хууран мэхлэхэд хүрч болох тийм эмзэг) заагдсан утга болон багтай тааруулах 
 	боломжийг хэрэглэгчдэд олгодог.</para>
 	
       <para><filename>opieaccess</filename> дахь аль ч дүрэм таарахгүй байгаа 
 	бол анхдагчаар OPIE биш нэвтрэлтүүдийг хааж үгүйсгэдэг.</para>
 
     </sect2>
   </sect1>
 
   <sect1 id="tcpwrappers">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Бичсэн </contrib>
 	</author>
       </authorgroup>
     </sect1info>
 
     <indexterm><primary>TCP Гүйцэтгэлийг хялбаршуулагчид</primary></indexterm>
       
     <title>TCP Гүйцэтгэлийг хялбаршуулагчид</title>
 
     <para>&man.inetd.8;-г мэддэг хэн бүхэн <acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчдын 
 	талаар заримдаа сонссон байх. Гэхдээ цөөн хүмүүс энэ боломжийн 
 	сүлжээний орчин дахь ашигтай талыг бүрэн ойлгодог юм шиг санагддаг. 
 	Хүн бүхэн сүлжээний холболтууд зохицуулах галт хана суулгахыг хүсдэг 
 	юм шиг санагддаг.  Галт хана олон төрлийн хэрэглээтэй боловч 
 	холболт үүсгэгч уруу текст илгээх зэрэг зарим зүйлсийг галт хана хийж  
 	чаддаггүй. Энд дурдсан <acronym>TCP</acronym> програм энэ мэтийг болон 
 	үүнээс илүүг хийдэг. Дараагийн хэдэн хэсэгт <acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчдын 
 	олон боломжуудыг хэлэлцэх бөгөөд боломжтой үед нь жишээ тохиргооны 
 	мөрийг үзүүлэх болно.</para>
 
     <para><acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчид програм хангамж нь 
 	<command>inetd</command>-ийн чадваруудыг сервер бүрийн 
 	хувьд түүний доор хянагдаж болохоор дэмжин өргөтгөдөг. Энэ аргыг ашиглан 
 	бүртгэл хөтлөх дэмжлэг нэмэх, холболтууд уруу мэдэгдэл буцаах, дэмонд 
 	зөвхөн дотоод холболтуудыг хүлээн авахыг зөвшөөрөх гэх мэт үйлдлүүдийг 
 	хийх боломжтой. Эдгээр боломжуудын заримыг галт хана суулган тохируулж хийж  
 	болох боловч энэ нь зөвхөн хамгаалалтын нэмэлт давхарга болохоос гадна 
 	галт ханын үзүүлж чаддагаас илүү хяналтыг олгодог юм.</para>
 
     <para><acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчдын ийнхүү нэмэгдсэн  
 	ажиллагаа нь сайн галт ханыг солихоор зүйл гэж ойлгогдох ёсгүй юм. 
 	<acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчид нь галт хана 
 	эсвэл өөр бусад аюулгүй байдлыг нэмэгдүүлэгч програмуудын хамтаар 
 	ашиглагдаж системийн хувьд хамгаалалтын нэмэлт давхарга болон аятайхан 
 	үйлчлэх боломжтой юм.</para>
 
     <para>Энэ нь <command>inetd</command>-ийн тохиргооны өргөтгөл болохоор 
 	энэхүү баримтыг уншигч таныг <link linkend="network-inetd">inetd тохиргоо</link> 
 	хэсгийг уншсан гэдэгт найдаж байна.</para>
 
     <note>
       <para>&man.inetd.8;-ээр ажиллуулагдсан програмууд яг жинхэнээрээ 
 	<quote>дэмонууд</quote> биш боловч тэдгээрийг уламжлалаар дэмонууд гэдэг. 
 	Энэ ухагдахууныг бид энэ хэсэгт бас ашиглах болно.</para>
     </note>
 
     <sect2>
       <title>Эхний тохиргоо</title>
 
       <para><acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчдыг &os;-д 
 	ашиглахад  байх цорын ганц шаардлага нь <command>inetd</command> серверийг 
 	<filename>rc.conf</filename> файлаас <option>-Ww</option> 
 	тохируулгатай ажиллуулсан эсэхийг шалгах явдал юм; энэ нь анхдагч тохиргоо 
 	юм. Мэдээж <filename>/etc/hosts.allow</filename> файлын 
 	зөв тохиргоо бас байгааг хүлээж байдаг боловч эдгээр тохиолдлуудад 
 	&man.syslogd.8; системийн бүртгэлүүдэд мэдэгдлүүд шиддэг.</para>
 
       <note>
 	<para>Бусад <acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчдын 
 	шийдлүүдтэй харьцуулах юм бол <filename>hosts.deny</filename> 
 	файлыг хэрэглэхээ больсон. Тохиргооны бүх сонголтууд 
 	<filename>/etc/hosts.allow</filename> файлд байх шаардлагатай.</para>
       </note>
 
       <para>Хамгийн амархан тохиргоогоороо бол дэмоны холболтын бодлогууд 
 	зөвшөөрөгдсөн эсвэл хаагдсаны аль нэгээр <filename>/etc/hosts.allow</filename> 
 	файл дахь тохируулгуудаас хамааран тохируулагддаг. &os; дээрх анхдагч 
 	тохиргоо нь <command>inetd</command>-ээр эхэлсэн дэмон бүр уруу хийгдэх 
 	холболтыг зөвшөөрдөг. Үүнийг өөрчлөх талаар зөвхөн үндсэн тохиргооны тухай  
 	дурдсаны дараа хэлэлцэх болно.</para>
 
       <para>Үндсэн тохиргоо ихэвчлэн <literal>дэмон : хаяг : үйлдэл</literal> 
 	хэлбэрийг авдаг. Энд байгаа <literal>дэмон</literal> нь 
 	<command>inetd</command>-ийн эхлүүлсэн дэмоны нэр юм. 
 	<literal>Хаяг</literal> нь зөв хостын нэр, <literal>address</literal> 
 	хаяг эсвэл дөрвөлжин хаалтан ([&nbsp;]) доторх IPv6 хаяг байж болно. 
 	Үйлдэл талбар нь allow буюу зөвшөөрөх эсвэл deny буюу эрхийг хориглох эсвэл   
 	хандалтыг хаахын аль нэг байна. Тохиргоо эхний тохирсон дүрэм журмын дагуу ажилладаг гэдгийг 
 	санах хэрэгтэй, энэ нь тохирох дүрмийг тохиргооны файлаас өсөх дарааллаар 
 	хайна гэсэн үг юм. Тохирох дүрэм олдвол тэр дүрэм ашиглагдаж хайх 
 	процесс зогсоно.</para>
 
       <para>Бусад хэд хэдэн тохируулгууд байдаг боловч тэдгээрийг энэ хэсгийн сүүлд 
 	тайлбарлах болно. Хялбар тохиргооны мөр ганцхан тэр мэдээллийн дагуу амархнаар 
 	хийгдэж болно. Жишээ нь 
 	<filename role="package">mail/qpopper</filename> дэмоноор дамжин 
 	хийгдэж болох <acronym>POP</acronym>3 холболтуудыг зөвшөөрөхийн тулд 
 	дараах мөрүүд <filename>hosts.allow</filename> файлд нэмж хийгдэх 
 	хэрэгтэй:</para>
 
       <programlisting># This line is required for POP3 connections:
 qpopper : ALL : allow</programlisting>
 
       <para>Энэ мөрийн нэмснийхээ дараа <command>inetd</command>-г дахин эхлүүлэх 
 	хэрэгтэй. Үүнийг &man.kill.1; тушаал эсвэл <filename>/etc/rc.d/inetd</filename>-г 
 	<parameter>restart</parameter> параметртай ашиглан хийж болно.</para>
       </sect2>
 
       <sect2>
         <title>Дэвшилтэт тохиргоо</title>
 
       <para><acronym>TCP</acronym> Гүйцэтгэлийг хялбаршуулагчид нь бас дэвшилтэт 
 	тохируулгуудтай байдаг; тэдгээр нь холболтуудтай хэрхэн ажиллахыг илүүтэйгээр 
 	хянах боломжийг олгодог. Зарим тохиолдолд тодорхой хостууд эсвэл дэмон 
 	холболтууд уруу тайлбар буцаах нь зүйтэй санаа байж болох юм. Бусад 
 	тохиолдолд магадгүй бүртгэлийн файл бичигдэх ёстой эсвэл цахим захидал 
 	администратор уруу илгээгдэж болох юм. Бусад тохиолдлууд үйлчилгээг зөвхөн 
 	дотоод холболтууддаа ашиглахыг шаардаж болох юм. Эдгээр нь бүгдээрээ  
 	<literal>орлуулагддаг тэмдэгтүүд</literal>, өргөтгөх тэмдэгтүүд болон 
 	гадаад тушаалыг ажиллуулах зэрэг тохиргооны сонголтуудын тусламжтай хийгдэх 
 	боломжтой юм. Дараагийн хоёр хэсэгт эдгээр тохиолдлуудын талаар бичсэн 
 	байгаа.</para>
 	
       <sect3>
 	<title>Гадаад тушаалууд</title>
 
 	<para>Холболтыг хааж түүнийг тогтоохыг оролдсон хүн уруу шалтгааныг нь 
 	илгээх тохиолдол гарчээ гэж бодъё. Үүнийг яаж хийх вэ? Энэ үйлдлийг 
 	<option>twist</option> тохируулга ашиглан хийх боломжтой. 
 	Холболт тогтоохоор оролдоход <option>twist</option> тохируулга 
 	бүрхүүлийн тушаал эсвэл скрипт ажилуулахаар дуудагддаг. 
 	<filename>hosts.allow</filename> файлд үүний жишээ аль хэдийн 
 	орсон байдаг:</para>
 
 	<programlisting># The rest of the daemons are protected.
 ALL : ALL \
         : severity auth.info \
         : twist /bin/echo "You are not welcome to use %d from %h."</programlisting>
 
 	<para>Энэ жишээ нь <quote>You are not allowed to use <literal>daemon</literal>
 	  from <literal>hostname</literal>.</quote> буюу 
 	<quote>Та <literal>дэмон</literal>ыг <literal>hostname</literal>-с 
 	ашиглах зөвшөөрөлгүй.</quote> гэсэн мэдэгдлийг хандалтын файлд урьдаар 
 	тохируулагдаагүй дэмон бүрийн хувьд буцаадаг. Энэ нь тогтоогдсон холболт дөнгөж 
 	салсны дараа холболтыг эхлүүлэгч уруу хариултыг буцааж илгээхэд маш их ашигтай 
 	байдаг. Буцсан мэдэгдэл бүр <literal>"</literal> тэмдэгтүүд дотор 
 	заавал байх <emphasis>шаардлагатай</emphasis>; энэ дүрмэнд ямар нэг 
 	жич зөвшөөрөл байхгүй.</para>
 
 	<warning>
 	  <para>Хэрэв халдагч эсвэл бүлэг халдагчид эдгээр дэмонуудыг холболт хийх 
 	хүсэлтээр цутгаж чадах юм бол серверийн эсрэг үйлчилгээг зогсоох халдлага явуулах 
 	боломжтой байж болох юм.</para>
 	</warning>
 
 	<para>Өөр нэг боломж нь эдгээр тохиолдлуудад <option>spawn</option> 
 	тохируулгыг ашиглах явдал юм. <option>twist</option> тохируулгын 
 	нэгэн адил <option>spawn</option> тохируулга нь холболтуудыг сохроор 
 	хааж гадаад бүрхүүлийн тушаалууд эсвэл скриптүүдийг ажиллуулахад ашиглагдаж 
 	болно. <option>twist</option> тохируулгаас ялгаатай тал нь 
 	<option>spawn</option> нь холболт тогтоосон хүн уруу хариулт буцааж 
 	илгээдэггүй. Жишээ нь дараах тохиргооны мөр байжээ гэж бодъё:</para>
 
 	<programlisting># We do not allow connections from example.com:
 ALL : .example.com \
 	: spawn (/bin/echo %a from %h attempted to access %d &gt;&gt; \
 	  /var/log/connections.log) \
 	: deny</programlisting>
 
 	<para>Энэ нь <hostid role="fqdn">*.example.com</hostid> домэйноос 
 	ирсэн бүх холболтын оролдлогуудаас татгалзахын зэрэгцээ хостын нэр, <acronym>IP</acronym> 
 	хаяг  болон тэдний хандалт хийхийг оролдсон дэмонг <filename>/var/log/connections.log</filename> 
 	файл уруу бүртгэнэ.</para>
 
 	<para>Дээр тайлбарласан орлуулах тэмдэгтүүдээс гадна, өөрөөр хэлбэл 
 	%a тэмдэгтээс гадна бусад цөөн хэдэн тэмдэгтүүд бас байдаг. Бүрэн жагсаалтыг 
 	&man.hosts.access.5; гарын авлагын хуудаснаас үзнэ үү.</para>
       </sect3>
 
       <sect3>
 	<title>Орлуулагддаг тэмдэгтүүдийн тохиргоонууд</title>
 
 	<para>Энэ хүртэл <literal>ALL</literal> жишээ бүх л жишээнүүдэд 
 	ашиглагдлаа. Ажиллагааг арай цаашлуулж өргөтгөх бусад тохируулгууд 
 	байдаг. Жишээ нь <literal>ALL</literal> нь дэмон, домэйн эсвэл 
 	<acronym>IP</acronym> хаягийн аль нэгтэй тааруулах зорилгоор 
 	ашиглагдаж болох юм. Өөр нэг орлуулагддаг тэмдэгт нь 
 	<acronym>IP</acronym> хаягаа өөрчлөн хуурсан байж болох дурын хостыг 
 	тааруулах <literal>PARANOID</literal> тохируулга юм. Өөрөөр хэлбэл 
 	<literal>paranoid буюу хэт зовнил</literal> нь 
 	өөрийн хостын нэрээс өөр <acronym>IP</acronym> хаягтай машинаас 
 	холболт хийгдэх бүр түүнд тохирох үйлдлийг тодорхойлоход ашиглагдаж 
 	болох юм. Дараах жишээ энэ хэлэлцүүлэгт арай илүү ойлголт өгч магадгүй 
 	юм:</para>
 
 	<programlisting># Block possibly spoofed requests to sendmail:
 sendmail : PARANOID : deny</programlisting>
 
 	<para>Энэ жишээн дээр <command>sendmail</command> уруу хийгдэж байгаа 
 	өөрийнхөө хостын нэрээс өөр <acronym>IP</acronym> хаягтай холболтын бүх 
 	хүсэлтүүдээс татгалзан хааж байна.</para>
 
 	<caution>
 	  <para>Хэрэв клиент эсвэл сервер эвдэрхий <acronym>DNS</acronym> 
 	суулгацтай бол <literal>PARANOID</literal>-ийг ашиглах нь серверүүдийг 
 	ноцтойгоор зэрэмдэг болгож болох юм. Иймд администраторын зохион байгуулалт 
 	болон хуваарилалт хийхийг зөвлөж байна.</para>
 	</caution>
 
 	<para>Орлуулагддаг тэмдэгтүүдийн талаар болон тэдэнтэй холбоотой ажиллагааны 
 	талаар дэлгэрэнгүйг &man.hosts.access.5; гарын авлагын хуудаснаас 
 	үзээрэй.</para>
 
 	<para>Тусгай тохиргооны аль ч мөрүүдийн өмнө дээрх нь ажиллана, эхний тохиргооны 
 	мөр <filename>hosts.allow</filename> файлд тайлбар болгон хаагдах 
 	шаардлагатай. Үүнийг энэ хэсгийн эхэнд тэмдэглэж хэлсэн байгаа.</para>
       </sect3>
     </sect2>
   </sect1>
 
   <sect1 id="kerberosIV">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Марк</firstname>
 	  <surname>Мюррей</surname>
 	  <contrib>Хойно дурдсан хүний бичсэн дээр тулгуурлан хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
       <authorgroup>
 	<author>
 	  <firstname>Марк</firstname>
 	  <surname>Дэйпоз</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
     </sect1info>
 
     <title><application>KerberosIV</application></title>
 
     <para>Kerberos нь хэрэглэгчид өөрсдийгөө нууцлаг серверийн үйлчилгээнүүдийн 
 	тусламжтайгаар таниулан нэвтрэх боломжийг олгодог сүлжээний нэмэлт систем/протокол юм.
 	Алсын нэвтрэлт, алсын хуулбар, нууцлаг систем хоорондох файл хуулбарлалт болон 
 	бусад аюул ихтэй үйлдлүүд зэрэг үйлчилгээнүүд харьцангуй аюулгүй хийгдэж илүү хяналт хийж 
 	болохоор болсон.</para>
 
     <para>Дараах заавруудыг &os;-тэй цуг түгээгддэг Kerberos-ийг хэрхэн тохируулах гарын авлага 
 	болгон хэрэглэж болох юм. Гэхдээ та бүрэн тайлбарын талаар харгалзах гарын авлагын 
 	хуудаснуудад хандаж үзэх шаардлагатай.</para>
 
     <sect2>
       <title><application>KerberosIV</application> суулгах нь</title>
 
       <indexterm><primary>MIT</primary></indexterm>
       <indexterm>
 	<primary>KerberosIV</primary>
 	<secondary>суулгах нь</secondary>
       </indexterm>
       <para>Kerberos нь &os;-ийн нэмэлт бүрэлдэхүүн хэсэг юм. Энэ програм хангамжийг 
 	суулгах хамгийн амархан арга нь &os; эхэлж суулгах үед <application>sysinstall</application>-д 
 	<literal>krb4</literal> эсвэл <literal>krb5</literal> түгээлтийг сонгон 
 	суулгах явдал юм. Энэ нь Kerberos-ийн <quote>eBones</quote> (KerberosIV) 
 	эсвэл <quote>Heimdal</quote> (Kerberos5) шийдлүүдийг суулгах болно. 
 	Эдгээр нь АНУ/Канадаас гадна хөгжүүлэгдсэн  учраас АНУ-ын криптограф 
 	код дээрх экспортын хязгаарлагдмал хяналтын үед бусад улсуудын системийн эзэмшигчдэд 
 	ашиглагдах боломжтой болсон юм. Иймээс эдгээр шийдлүүд нь орсон байдаг.</para>
 
       <para>Үүнээс гадна Kerberos-ийн MIT шийдэл портуудын цуглуулгын 
 	<filename role="package">security/krb5</filename> санд байдаг.</para>
     </sect2>
 
     <sect2>
       <title>Эхний мэдээллийн бааз үүсгэх</title>
       
       <para>Энэ нь Kerberos сервер дээр зөвхөн хийгддэг. Эхлээд хуучин Kerberos мэдээллийн 
 	баазууд байгаа эсэхийг шалгаарай. Та <filename>/etc/kerberosIV</filename> сан 
 	уруу орж зөвхөн дараах файлууд байгааг шалгаарай:</para>
 	  
       <screen>&prompt.root; <userinput>cd /etc/kerberosIV</userinput>
 &prompt.root; <userinput>ls</userinput>
 README		krb.conf        krb.realms</screen>
 	  
       <para>Хэрэв аль нэг нэмэлт файлууд (<filename>principal.*</filename>
 	эсвэл <filename>master_key</filename> зэрэг) байвал 
 	<command>kdb_destroy</command> тушаал ашиглаж хуучин Kerberos мэдээллийн 
 	баазыг устгах эсвэл хэрэв Kerberos ажиллахгүй байгаа бол ердөө л нэмэлт файлуудыг 
 	устгах хэрэгтэй.</para>
 	  
       <para>Та одоо өөрийн Kerberos хүрээг (realm) зааж өгөхдөө <filename>krb.conf</filename> 
 	болон <filename>krb.realms</filename> файлуудыг засварлах шаардлагатай. 
 	Энэ тохиолдолд хүрээ нь <literal>EXAMPLE.COM</literal> болох бөгөөд 
 	сервер нь <hostid role="fqdn">grunt.example.com</hostid> болох юм. 
 	Бид <filename>krb.conf</filename> файлыг засварлаж эсвэл 
 	үүсгэнэ:</para>
 	  
       <screen>&prompt.root; <userinput>cat krb.conf</userinput>
 EXAMPLE.COM
 EXAMPLE.COM grunt.example.com admin server
 CS.BERKELEY.EDU okeeffe.berkeley.edu
 ATHENA.MIT.EDU kerberos.mit.edu
 ATHENA.MIT.EDU kerberos-1.mit.edu
 ATHENA.MIT.EDU kerberos-2.mit.edu
 ATHENA.MIT.EDU kerberos-3.mit.edu
 LCS.MIT.EDU kerberos.lcs.mit.edu
 TELECOM.MIT.EDU bitsy.mit.edu
 ARC.NASA.GOV trident.arc.nasa.gov</screen>
 	  
       <para>Энэ тохиолдолд бусад хүрээнүүд тэнд байх хэрэггүй. Тэдгээр нь энд машиныг хэрхэн 
 	олон хүрээнүүдийг мэдэхээр хийгдэх жишээ маягаар байгаа болно. Хялбараа бодоод 
 	та тэдгээрийг оруулахгүйг хүсэж болох юм.</para>
 	  
       <para>Эхний мөр нь систем ажиллах хүрээг нэрлэж байна. Бусад мөрүүд нь хүрээ/хост 
 	оруулгуудыг агуулна. Мөр дэх эхнийх нь хүрээ бөгөөд хоёр дахь нь 
 	<quote>түлхүүр түгээх төв</quote> болж байгаа хүрээн дэх хост юм. 
 	Хостын нэрийн дараах <literal>admin server</literal> нь хост бас 
 	удирдах мэдээллийн баазаар хангаж байна гэсэн үг юм. Эдгээр ухагдахуунуудын 
 	тайлбаруудын талаар Kerberos-ийн гарын авлагын хуудаснуудаас зөвлөгөө 
 	авна уу.</para>
 	  
       <para>Одоо бид <hostid role="fqdn">grunt.example.com</hostid>-г 
 	<literal>EXAMPLE.COM</literal> хүрээ уруу нэмэх ёстой бөгөөд 
 	бас <literal>EXAMPLE.COM</literal> хүрээний 
 	<hostid role="domainname">.example.com</hostid> домэйн дэх бүх 
 	хостуудыг оруулан нэмж өгөх хэрэгтэй. <filename>krb.realms</filename> 
 	файл дараах байдлаар шинэчлэгдэх болно:</para>
 	  
       <screen>&prompt.root; <userinput>cat krb.realms</userinput>
 grunt.example.com EXAMPLE.COM
 .example.com EXAMPLE.COM
 .berkeley.edu CS.BERKELEY.EDU
 .MIT.EDU ATHENA.MIT.EDU
 .mit.edu ATHENA.MIT.EDU</screen>
 	  
       <para>Дахин хэлэхэд бусад хүрээнүүд тэнд байх шаардлагагүй. Тэдгээр нь энд машиныг хэрхэн 
 	олон хүрээнүүдийг мэдэхээр хийгдэх жишээ маягаар байгаа болно. Хялбараа бодоод 
 	та тэдгээрийг оруулахгүйг хүсэж болох юм.</para>
 	  
       <para>Эхний мөр нь <emphasis>тусгай</emphasis> системийг нэрлэгдсэн 
 	хүрээ уруу оруулж байна. Бусад мөрүүд нэрлэгдсэн хүрээнд тухайн дэд домэйны 
 	системүүдийг хэрхэн анхдагчаар болгож байгааг харуулна.</para>
 	  
       <para>Одоо бид мэдээллийн сан үүсгэхэд бэлэн боллоо. Энэ нь зөвхөн 
 	Kerberos сервер (эсвэл Түлхүүр Түгээх Төв) дээр ажиллах ёстой. 
 	<command>kdb_init</command> тушаал ажиллуулж үүнийг хийнэ:</para>
 	  
       <screen>&prompt.root; <userinput>kdb_init</userinput>
 <prompt>Realm name [default  ATHENA.MIT.EDU ]:</prompt> <userinput>EXAMPLE.COM</userinput>
 You will be prompted for the database Master Password.
 It is important that you NOT FORGET this password.
 		
 <prompt>Enter Kerberos master key:</prompt> </screen>
 	  
       <para>Одоо бид локал машин дээрх серверүүд авч болгохоор болгохын тулд түлхүүрийг 
 	хадгалах хэрэгтэй. <command>kstash</command> тушаал ашиглаж үүнийг 
 	хийнэ:</para>
 	
       <screen>&prompt.root; <userinput>kstash</userinput>
 	      
 <prompt>Enter Kerberos master key:</prompt>
 
 Current Kerberos master key version is 1.
 
 Master key entered. BEWARE!</screen>
 	
       <para>Энэ нь шифрлэгдсэн мастер нууц үгийг 
 	<filename>/etc/kerberosIV/master_key</filename>-д хадгална.</para>
     </sect2>
     
     <sect2>
       <title>Бүгдийг ажиллахаар болгох</title>
 	
       <indexterm>
 	<primary>KerberosIV</primary>
 	<secondary>эхний эхлүүлэлт</secondary>
       </indexterm>
 
       <para>Kerberos-оор аюулгүй болгогдох систем <emphasis>бүрийн</emphasis> 
 	хувьд хоёр удирдагч мэдээллийн баазад нэмэгдэх шаардлагатай. Тэдгээрийн нэрс нь 
 	<literal>kpasswd</literal> болон <literal>rcmd</literal> байна. 
 	Эдгээр хоёр удирдагч нь систем бүрийн хувьд хувь системийн нэртэй тохиолдлуудын 
 	хамтаар хийгдэнэ.</para>
 	  
       <para>Эдгээр <application>kpasswd</application> болон 
 	<application>rcmd</application> дэмонууд нь бусад системүүдэд 
 	Kerberos нууц үгнүүдийг өөрчилж &man.rcp.1;,
 	&man.rlogin.1; болон &man.rsh.1; зэрэг тушаалуудыг ажиллуулахыг 
 	зөвшөөрдөг.</para>
 	  
       <para>Одоо эдгээр оруулгуудыг нэмэцгээе:</para>
 	    
       <screen>&prompt.root; <userinput>kdb_edit</userinput>
 Opening database...
 
 <prompt>Enter Kerberos master key:</prompt>
 
 Current Kerberos master key version is 1.
 
 Master key entered.  BEWARE!
 Previous or default values are in [brackets] ,
 enter return to leave the same, or new value.
 
 <prompt>Principal name:</prompt> <userinput>passwd</userinput>
 <prompt>Instance:</prompt> <userinput>grunt</userinput>
 
 &lt;Not found&gt;, <prompt>Create [y] ?</prompt> <userinput>y</userinput>
 
 Principal: passwd, Instance: grunt, kdc_key_ver: 1
 <prompt>New Password:</prompt>                    &lt;---- enter RANDOM here
 Verifying password
 
 <prompt>New Password:</prompt> &lt;---- enter RANDOM here
 
 <prompt>Random password [y] ?</prompt> <userinput>y</userinput>
 
 Principal's new key version = 1
 <prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
 <prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt>
 <prompt>Attributes [ 0 ] ?</prompt>
 Edit O.K.
 <prompt>Principal name:</prompt> <userinput>rcmd</userinput>
 <prompt>Instance:</prompt> <userinput>grunt</userinput>
 
 &lt;Not found&gt;, <prompt>Create [y] ?</prompt>
 
 Principal: rcmd, Instance: grunt, kdc_key_ver: 1
 <prompt>New Password:</prompt>		&lt;---- enter RANDOM here
 Verifying password
 
 <prompt>New Password:</prompt>           &lt;---- enter RANDOM here
 
 <prompt>Random password [y] ?</prompt>
 
 Principal's new key version = 1
 <prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
 <prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt>
 <prompt>Attributes [ 0 ] ?</prompt>
 Edit O.K.
 <prompt>Principal name:</prompt>         &lt;---- null entry here will cause an exit</screen>
     </sect2>
 
     <sect2>
       <title>Серверийн файлыг үүсгэх</title>
       
       <para>Одоо бид машин бүр дээр үйлчилгээнүүдийг тодорхойлдог бүх тохиолдлуудыг 
 	гаргаж авах хэрэгтэй. Энэ зорилгоор бид <command>ext_srvtab</command> 
 	тушаалыг ашиглана. Энэ нь файл үүсгэх бөгөөд түүнийг Kerberos-ийн 
 	клиент бүрийн <filename>/etc</filename> сан уруу 
 	<emphasis>аюулгүйн үүднээс</emphasis> хуулах эсвэл шилжүүлэх хэрэгтэй.
 	Энэ файл нь сервер болон клиент бүр дээр байх хэрэгтэй бөгөөд Kerberos-ийн 
 	ажиллагаанд шийдвэрлэх зүйл болдог.</para>
 
 
       <screen>&prompt.root; <userinput>ext_srvtab grunt</userinput>
 <prompt>Enter Kerberos master key:</prompt>
 
 Current Kerberos master key version is 1.
 
 Master key entered. BEWARE!
 Generating 'grunt-new-srvtab'....</screen>
 
       <para>Одоо, энэ тушаал зөвхөн түр зуурын файл үүсгэдэг бөгөөд тэр файлын нэрийг 
 	бүх серверүүд авч чадахаар <filename>srvtab</filename> болгон нэрлэх 
 	шаардлагатай. &man.mv.1; тушаал ашиглаж эх систем дээрх байрлал уруу 
 	шилжүүл:</para>
 
       <screen>&prompt.root; <userinput>mv grunt-new-srvtab srvtab</userinput></screen>
 
       <para>Хэрэв файл нь клиент системд зориулагдсан бөгөөд сүлжээ нь аюулгүй биш 
 	гэж бодогдвол <filename><replaceable>client</replaceable>-new-srvtab</filename> 
 	файлыг шилжүүлж болох зөөвөрлөгч уруу хуулж физик аюулгүйн үүднээс тээвэрлэж 
 	болно. Үүнийг клиентийн <filename>/etc</filename> сан дотор 
 	<filename>srvtab</filename> болгон нэрлэж 600 горимд байгаа эсэхийг 
 	шалгаарай:</para>
 
       <screen>&prompt.root; <userinput>mv grumble-new-srvtab srvtab</userinput>
 &prompt.root; <userinput>chmod 600 srvtab</userinput></screen>
     </sect2>
     
     <sect2>
       <title>Мэдээллийн санг нутагшуулах</title>
 
       <para>Бид одоо зарим хэрэглэгчийг мэдээллийн баазад оруулах хэрэгтэй. Эхлээд 
 	<username>jane</username> хэрэглэгчид зориулсан оруулгыг үүсгэе. 
 	Үүнийг <command>kdb_edit</command> тушаал ашиглаж хийнэ:</para>
 
       <screen>&prompt.root; <userinput>kdb_edit</userinput>
 Opening database...
 
 <prompt>Enter Kerberos master key:</prompt>
 
 Current Kerberos master key version is 1.
 
 Master key entered.  BEWARE!
 Previous or default values are in [brackets] ,
 enter return to leave the same, or new value.
 
 <prompt>Principal name:</prompt> <userinput>jane</userinput>
 <prompt>Instance:</prompt>
 
 &lt;Not found&gt;, <prompt>Create [y] ?</prompt> <userinput>y</userinput>
 
 Principal: jane, Instance: , kdc_key_ver: 1
 <prompt>New Password:</prompt>                &lt;---- enter a secure password here
 Verifying password
 
 <prompt>New Password:</prompt>                &lt;---- re-enter the password here
 Principal's new key version = 1
 <prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
 <prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt>
 <prompt>Attributes [ 0 ] ?</prompt>
 Edit O.K.
 <prompt>Principal name:</prompt>		   &lt;---- null entry here will cause an exit</screen>
     </sect2>
 
     <sect2>
       <title>Бүгдийг тест хийх</title>
       
       <para>Эхлээд бид Kerberos дэмонууд ажиллуулах шаардлагатай. Хэрэв та 
 	өөрийн <filename>/etc/rc.conf</filename> файлыг зөв засварласан 
 	бол дахин ачаалахад энэ нь автоматаар хийгдэх ёстойг санаарай. 
 	Энэ нь зөвхөн Kerberos сервер дээр шаардлагатай. kerberos-ийн 
 	клиентүүд хэрэгтэй зүйлээ автоматаар <filename>/etc/kerberosIV</filename> 
 	сангаас авах болно.</para>
 	  
       <screen>&prompt.root; <userinput>kerberos &amp;</userinput>
 Kerberos server starting
 Sleep forever on error
 Log file is /var/log/kerberos.log
 Current Kerberos master key version is 1.
 
 Master key entered. BEWARE!
 
 Current Kerberos master key version is 1
 Local realm: EXAMPLE.COM
 &prompt.root; <userinput>kadmind -n &amp;</userinput>
 KADM Server KADM0.0A initializing
 Please do not use 'kill -9' to kill this job, use a
 regular kill instead
 
 Current Kerberos master key version is 1.
 
 Master key entered.  BEWARE!</screen>
 	  
       <para>Одоо бид <command>kinit</command> тушаал ашиглаж 
 	бидний дээр үүсгэсэн <username>jane</username> ID-д зориулсан тасалбарыг авахыг 
 	оролдож болно:</para>
 	  
       <screen>&prompt.user; <userinput>kinit jane</userinput>
 MIT Project Athena (grunt.example.com)
 Kerberos Initialization for "jane"
 <prompt>Password:</prompt> </screen>
 	  
       <para>Токенууд бидэнд үнэхээр байгаа эсэхийг <command>klist</command> ашиглан 
 	үзэхийг оролдоорой:</para>
 	  
       <screen>&prompt.user; <userinput>klist</userinput>
 Ticket file:    /tmp/tkt245
 Principal:      jane@EXAMPLE.COM
 
   Issued           Expires          Principal
 Apr 30 11:23:22  Apr 30 19:23:22  krbtgt.EXAMPLE.COM@EXAMPLE.COM</screen>
 
       <para>Одоо <application>kpasswd</application> дэмон 
 	Kerberos-ийн мэдээллийн баазад нэвтрэлтийн зөвшөөрөл авч чадах эсэхийг шалгахын
 	тулд нууц үгийг &man.passwd.1; ашиглан өөрчлөхийг оролдоорой:</para>
 
       <screen>&prompt.user; <userinput>passwd</userinput>
 realm EXAMPLE.COM
 <prompt>Old password for jane:</prompt>
 <prompt>New Password for jane:</prompt>
 Verifying password
 <prompt>New Password for jane:</prompt>
 Password changed.</screen>
     </sect2>
 
     <sect2>
       <title><command>su</command> зөвшөөрлүүдийг нэмэх</title>
       
       <para>Kerberos нь <username>root</username> зөвшөөрлүүд 
 	хэрэгтэй хэрэглэгч <emphasis>бүрд</emphasis> өөрсдийнх нь 
 	<emphasis>тусдаа</emphasis> &man.su.1; нууц үгийг өгөхийг 
 	бидэнд зөвшөөрдөг. Одоо бид &man.su.1;-аар танигдан зөвшөөрөгдсөн 
 	ID-г <username>root</username> уруу нэмж болно. Үүнийг 
 	<username>root</username>-г удирдагчтай холбосон тохиолдолтой 
 	байснаар хянаж болно. <command>kdb_edit</command> ашиглан 
 	Kerberos-ийн мэдээллийн баазад <literal>jane.root</literal> 
 	оруулгыг бид үүсгэж болно:</para>
 	  
       <screen>&prompt.root; <userinput>kdb_edit</userinput>
 Opening database...
 
 <prompt>Enter Kerberos master key:</prompt>
 
 Current Kerberos master key version is 1.
 
 Master key entered.  BEWARE!
 Previous or default values are in [brackets] ,
 enter return to leave the same, or new value.
 
 <prompt>Principal name:</prompt> <userinput>jane</userinput>
 <prompt>Instance:</prompt> <userinput>root</userinput>
 
 &lt;Not found&gt;, Create [y] ? y
 
 Principal: jane, Instance: root, kdc_key_ver: 1
 <prompt>New Password:</prompt>                    &lt;---- enter a SECURE password here
 Verifying password
 
 <prompt>New Password:</prompt>    	 	 &lt;---- re-enter the password here
 
 Principal's new key version = 1
 <prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
 <prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt> <userinput>12</userinput> &lt;--- Keep this short!
 <prompt>Attributes [ 0 ] ?</prompt>
 Edit O.K.
 <prompt>Principal name:</prompt>		         &lt;---- null entry here will cause an exit</screen>
 	  
       <para>Одоо үүнийг ажиллаж байгааг шалгаж токенуудыг авахыг оролдоорой:</para>
       
       <screen>&prompt.root; <userinput>kinit jane.root</userinput>
 MIT Project Athena (grunt.example.com)
 Kerberos Initialization for "jane.root"
 <prompt>Password:</prompt></screen>
 	  
       <para>Одоо бид хэрэглэгчийг <username>root</username>-ийн
 	  <filename>.klogin</filename> файлд нэмэх хэрэгтэй:</para>
 	  
       <screen>&prompt.root; <userinput>cat /root/.klogin</userinput>
 jane.root@EXAMPLE.COM</screen>
 	  
       <para>Одоо &man.su.1; хийхийг оролдоод үз:</para>
 	  
       <screen>&prompt.user; <userinput>su</userinput>
 <prompt>Password:</prompt></screen>
 	  
       <para>тэгээд ямар токенууд бидэнд байгааг хараарай:</para>
 	  
       <screen>&prompt.root; <userinput>klist</userinput>
 Ticket file:	/tmp/tkt_root_245
 Principal:      jane.root@EXAMPLE.COM
 
   Issued           Expires          Principal
 May  2 20:43:12  May  3 04:43:12  krbtgt.EXAMPLE.COM@EXAMPLE.COM</screen>
     </sect2>
 
     <sect2>
       <title>Бусад тушаалуудыг ашиглах</title>
       
       <para>Өмнөх жишээн дээр бид <literal>jane</literal> гэж нэрлэгдсэн 
 	удирдагчийг <literal>root</literal> тохиолдолтой үүсгэсэн. 
 	Энэ нь удирдагчтай адил нэртэй хэрэглэгч дээр үндэслэсэн бөгөөд энэ нь 
 	Kerberos-ийн анхдагч юм; <username>root</username>-ийн гэр сан дахь 
 	<filename>.klogin</filename> файлд шаардлагатай оруулгууд байвал 
 	<literal>&lt;username&gt;.</literal><username>root</username> 
 	хэлбэрийн <literal>&lt;principal&gt;.&lt;instance&gt;</literal> нь 
 	тэр <literal>&lt;username&gt;</literal>-г <username>root</username> 
 	уруу &man.su.1; хийхийг зөвшөөрдөг:</para>
 	  
       <screen>&prompt.root; <userinput>cat /root/.klogin</userinput>
 jane.root@EXAMPLE.COM</screen>
       
       <para>хэрэв хэрэглэгч үүнтэй адил хэлбэрийн өөрийн гэр сангийн мөрүүдтэй бол:</para>
       
       <screen>&prompt.user; <userinput>cat ~/.klogin</userinput>
 jane@EXAMPLE.COM
 jack@EXAMPLE.COM</screen>
 	  
       <para>Энэ нь өөрсдийгөө 
 	<username>jane</username> эсвэл <username>jack</username> гэж 
 	таниулсан (<command>kinit</command>-ийн тусламжтай, дээр дурдсаныг үз)  
 	<literal>EXAMPLE.COM</literal> хүрээний хэнд ч 
 	&man.rlogin.1;, &man.rsh.1; эсвэл &man.rcp.1; ашиглан энэ систем 
 	(<hostid>grunt</hostid>) дээрх <username>jane</username>-ий бүртгэл 
 	эсвэл файлуудад хандахыг зөвшөөрдөг.</para>
 	  
       <para>Жишээ нь <username>jane</username> одоо өөр систем уруу Kerberos 
 	ашиглан нэвтрэн орж байна:</para>
 	  
 	    <screen>&prompt.user; <userinput>kinit</userinput>
 MIT Project Athena (grunt.example.com)
 <prompt>Password:</prompt>
 &prompt.user; <userinput>rlogin grunt</userinput>
 Last login: Mon May  1 21:14:47 from grumble
 Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
         The Regents of the University of California.   All rights reserved.
 
 FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995</screen>
 	  
       <para>Эсвэл <username>jack</username> яг тэр машин дээрх <username>jane</username> бүртгэл 
 	уруу нэвтрэн орж байна (<username>jane</username> дээрхтэй адил <filename>.klogin</filename>-ийг 
 	тохируулсан бөгөөд Kerberos хариуцсан хүн удирдагч <emphasis>jack</emphasis>-ийг хоосон 
 	тохиолдолтой тохируулсан):</para>
 	  
       <screen>&prompt.user; <userinput>kinit</userinput>
 &prompt.user; <userinput>rlogin grunt -l jane</userinput>
 MIT Project Athena (grunt.example.com)
 <prompt>Password:</prompt>
 Last login: Mon May  1 21:16:55 from grumble
 Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
         The Regents of the University of California.   All rights reserved.
 FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995</screen>
     </sect2>
   </sect1>
 
   <sect1 id="kerberos5">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Тиллмэн</firstname>
 	  <surname>Хоожсон</surname>
 	  <contrib>Хойно дурдсан хүний бичсэн дээр тулгуурлан хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
       <authorgroup>
 	<author>
 	  <firstname>Марк</firstname>
 	  <surname>Мюррей</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
     </sect1info>
 
     <title><application>Kerberos5</application></title>
 
     <para>&os;-5.1-ээс хойшх &os;-ийн хувилбар бүр зөвхөн 
 	<application>Kerberos5</application>-д зориулсан дэмжлэгийг 
 	оруулсан байдаг. <application>Kerberos5</application> нь 
 	орсон цорын ганц хувилбар болохоор түүний тохиргоо олон талаараа 
 	<application>KerberosIV</application>-д байдагтай адил 
 	байдаг. Дараах мэдээлэл &os;-5.0-с хойшх хувилбар дахь 
 	<application>Kerberos5</application>-тай хамаатай.
 	<application>KerberosIV</application> багцыг ашиглахыг 
 	хүсэж байгаа хэрэглэгчид <filename role="package">security/krb4</filename> 
 	портыг суулгаж болно.</para>
 
     <para>Kerberos нь хэрэглэгчид өөрсдийгөө нууцлаг серверийн үйлчилгээнүүдийн 
 	тусламжтайгаар таниулан нэвтрэх боломжийг олгодог сүлжээний нэмэлт систем/протокол юм.
 	Алсын нэвтрэлт, алсын хуулбар, нууцлаг систем хоорондох файл хуулбарлалт болон 
 	бусад аюул ихтэй үйлдлүүд зэрэг үйлчилгээнүүд харьцангуй аюулгүй хийгдэж илүү хяналт хийж 
 	болохоор болсон.</para>
 
     <para><application>Kerberos</application> нь хэн бэ гэдгийг шалгах прокси систем 
 	юм. Энэ нь бас итгэгдсэн гуравдагч нэвтрэлт таних систем гэж тайлбарлагдаж 
 	болно. <application>Kerberos</application> нь зөвхөн нэг функцыг 
 	хангадаг &mdash; сүлжээн дээр хэрэглэгчдэд өөрсдийгөө аюулгүйгээр таниулах 
 	боломжийг хангаж өгдөг. Энэ нь шалгаж таних функцууд (хэрэглэгчдийн 
 	хийхийг зөвшөөрдөг) эсвэл аудит функцуудын (тэдгээр хэрэглэгчид юу хийснийг) 
 	үүргийг гүйцэтгэдэггүй. Клиент болон сервер өөрийгөө таниулж батлахаар 
 	<application>Kerberos</application>-г ашигласны дараа тэд бизнесээ бодож 
 	өөрсдийн бүх холболтуудаа шифрлэж нууцлал болон бүрэн бүтэн байдлаа хадгалан 
 	баталгаажуулж болно.</para>
 
     <para>Иймээс <application>Kerberos</application>-ийг нэвтрэлт танилт болон 
 	аудит үйлчилгээнүүдийг хангадаг бусад аюулгүй байдлын аргуудтай цуг ашиглахыг 
 	маш ихээр зөвлөдөг.</para>
 
     <para>Дараах заавруудыг &os;-д зориулан түгээгдсэн <application>Kerberos</application>-ийг 
 	хэрхэн тохируулах гарын авлага болгон ашиглаж болно. Гэхдээ та тохирох гарын авлагын 
 	хуудаснуудаас бүрэн тайлбарын талаар лавлах хэрэгтэй.</para>
 
     <para><application>Kerberos</application>-ийн суулгацыг үзүүлэх зорилгоор 
 	төрөл бүрийн нэрийн талбарууд дараах байдлаар зохицуулагдана:</para>
 
     <itemizedlist>
       <listitem>
 	<para><acronym>DNS</acronym> домэйн (<quote>бүс</quote>)
 	  нь example.org байна.</para>
       </listitem>
 
       <listitem>
 	<para><application>Kerberos</application> хүрээ нь 
 	  EXAMPLE.ORG байна.</para>
       </listitem>
     </itemizedlist>
 
     <note>
       <para>Хэрэв та дотооддоо ажиллуулах бодолтой байсан ч гэсэн <application>Kerberos</application>-ийг 
 	суулгаж тохируулахдаа жинхэнэ домэйны нэрүүдийг ашиглана уу. Энэ нь 
 	<acronym>DNS</acronym>-ийн асуудлуудыг тойрон гарч 
 	бусад <application>Kerberos</application> хүрээнүүдтэй хийх 
 	хоорондын үйлдлийг баталгаажуулдаг.</para>
     </note>
 
     <sect2>
       <title>Түүх</title>
       <indexterm>
 	<primary>Kerberos5</primary>
 	<secondary>түүх</secondary>
       </indexterm>
 
       <para><application>Kerberos</application>-ийг <acronym>MIT</acronym> 
 	анх сүлжээний аюулгүй байдлын асуудлуудын шийдэл болгож хийсэн. 
 	<application>Kerberos</application> протокол нь хүчирхэг криптографыг 
 	ашигладаг бөгөөд клиент нь аюултай сүлжээний холболтоор өөрийгөө хэн бэ гэдгийг 
 	серверт (болон эсрэгээр) баталж чадах боломжийг олгодог.</para>
 
       <para><application>Kerberos</application> нь сүлжээний танин шалгах 
 	протоколын нэрээс гадна програмыг (жишээ нь <application>Kerberos</application> 
 	телнет) шийдвэрлэж байгаа програмуудыг тайлбарласан тайлбар бас болдог. 
 	Протоколын одоогийн хувилбар нь 5 бөгөөд <acronym>RFC</acronym>&nbsp;1510-д 
 	тайлбарласан байдаг.</para>
 
       <para>Өргөн хүрээний үйлдлийн системүүдийг хамарсан энэ протоколын хэд хэдэн чөлөөтэй 
 	шийдлүүд  байдаг. <application>Kerberos</application> анх хөгжүүлэгдсэн 
 	Массачусетсийн Технологийн Институт (<acronym>MIT</acronym>) нь 
 	өөрийн <application>Kerberos</application> багцыг хөгжүүлсээр байна. 
 	Энэ багц нь <acronym>US</acronym>-д криптограф бүтээгдэхүүн болж нийтлэг 
 	хэрэглэгддэг бөгөөд энэ нь түүхээс авч үзэхэд <acronym>US</acronym>-ын 
 	экспортын дүрэм журмуудаас болсон юм. <acronym>MIT</acronym>
 	<application>Kerberos</application> нь порт 
 	(<filename role="package">security/krb5</filename>) хэлбэрээр байдаг.
 	Heimdal <application>Kerberos</application> нь өөр шийдлийн 5-р 
 	хувилбар бөгөөд экспортын дүрэм журмуудыг тойрон гарах зорилгоор 
 	<acronym>US</acronym>-ээс гадна хамааралгүйгээр хөгжүүлэгдсэн (
 	бөгөөд ихэвчлэн арилжааны бус &unix; төрлүүдэд орсон байдаг) юм. 
 	Heimdal <application>Kerberos</application> түгээлт нь 
 	порт (<filename role="package">security/heimdal</filename>) 
 	хэлбэрээр байдаг бөгөөд үүний хамгийн бага суулгац үндсэн &os; суулгацад 
 	орсон байдаг.</para>
 
     <para>Аль болох олон үзэгчдийг хамрахын тулд эдгээр зааврууд нь &os;-д орсон 
 	Heimdal түгээлтийг ашиглаж байна гэж тооцдог.</para>
 
     </sect2>
 
     <sect2>
       <title>Heimdal <acronym>KDC</acronym> суулгаж тохируулах</title>
       <indexterm>
 	<primary>Kerberos5</primary>
 	<secondary>Түлхүүр Түгээх Төв</secondary>
       </indexterm>
 
       <para>Түлхүүр Түгээх Төв (<acronym>KDC</acronym>) нь 
 	<application>Kerberos</application>-ийн хангадаг төвлөрсөн нэвтрэлт таних 
 	үйлчилгээ юм &mdash; энэ нь <application>Kerberos</application> 
 	тасалбарууд өгдөг компьютер юм. <acronym>KDC</acronym> нь 
 	<application>Kerberos</application> хүрээний бусад бүх компьютеруудад 
 	 <quote>итгэгдсэн</quote> гэж тооцогддог бөгөөд аюулгүй байдлын санаа зовнилыг 
 	дээшлүүлдэг.</para>
 
     <para><application>Kerberos</application> серверийг ажиллуулж байхад маш цөөн тооцооллын 
 	эх үүсвэрийг шаарддаг боловч аюулгүй байдлын шалтгаанаас болоод зөвхөн 
 	<acronym>KDC</acronym> болон ажиллах тусдаа зориулагдсан машинтай байхыг 
 	зөвлөдгийг санаарай.</para>
 
     <para><acronym>KDC</acronym>-г тохируулж эхлэхдээ таны 
 	<filename>/etc/rc.conf</filename> файлд <acronym>KDC</acronym> 
 	болж ажиллах зөв тохиргоо хийгдсэн эсэхийг шалгаарай (өөрийн системийн хувьд 
 	та замуудыг өөрчлөх хэрэгтэй байж болох юм):</para>
 
     <programlisting>kerberos5_server_enable="YES"
 kadmind5_server_enable="YES"</programlisting>
 
       <para>Дараа нь бид таны <application>Kerberos</application> тохиргооны 
 	файл <filename>/etc/krb5.conf</filename>-г тохируулна:</para>
 
       <programlisting>[libdefaults]
     default_realm = EXAMPLE.ORG
 [realms]
     EXAMPLE.ORG = {
         kdc = kerberos.example.org
         admin_server = kerberos.example.org
     }
 [domain_realm]
     .example.org = EXAMPLE.ORG</programlisting>
 
       <para>Энэ <filename>/etc/krb5.conf</filename> файл нь 
 	таны <acronym>KDC</acronym> нь бүрэн баталгаажсан хостын нэр 
 	<hostid role="fqdn">kerberos.example.org</hostid>-тэй байна 
 	гэж үзэж байгааг санаарай. Хэрэв таны <acronym>KDC</acronym> өөр 
 	хостын нэртэй бол та өөрийн бүсийн файлдаа CNAME (alias)-ийг нэмэх 
 	хэрэгтэй.</para>
 
       <note>
 	<para>Зөв тохируулсан <acronym>BIND</acronym> <acronym>DNS</acronym> 
 	сервер бүхий том сүлжээнүүдэд өмнөх жишээ нь:</para>
 
 	<programlisting>[libdefaults]
       default_realm = EXAMPLE.ORG</programlisting>
 
 	<para>болж дараах мөрүүдийг <hostid role="fqdn">example.org</hostid> 
 	бүсийн файлд нэмж цэгцэлж болно:</para>
 
 	<programlisting>_kerberos._udp      IN  SRV     01 00 88 kerberos.example.org.
 _kerberos._tcp      IN  SRV     01 00 88 kerberos.example.org.
 _kpasswd._udp       IN  SRV     01 00 464 kerberos.example.org.
 _kerberos-adm._tcp  IN  SRV     01 00 749 kerberos.example.org.
 _kerberos           IN  TXT     EXAMPLE.ORG</programlisting></note>
 
       <note>
         <para><application>Kerberos</application> үйлчилгээнүүдийг хэрэглэгчдэд 
 	хүртээмжтэй болгохын тулд та эсвэл бүрэн тохируулсан <filename>/etc/krb5.conf</filename> 
 	файлтай эсвэл хамгийн багаар тохируулсан <filename>/etc/krb5.conf</filename> 
 	файл <emphasis>болон</emphasis> зөв тохируулсан DNS сервертэй байх 
 	<emphasis>ёстой</emphasis>.</para>
       </note>
 
       <para>Дараа нь бид <application>Kerberos</application> мэдээллийн бааз 
 	үүсгэнэ. Энэ мэдээллийн бааз нь мастер нууц үгээр шифрлэсэн бүх удирдагчдын 
 	түлхүүрүүдийг  агуулдаг. Та энэ нууц үгийг тогтоох шаардлагагүй, энэ нь 
 	файлд (<filename>/var/heimdal/m-key</filename>) хадгалагдах болно.
 	Мастер түлхүүр үүсгэхийн тулд <command>kstash</command> тушаалыг 
 	ажиллуулж нууц үгээ оруулаарай.</para>
 
       <para>Мастер түлхүүр үүсгэгдсэний дараа та мэдээллийн баазыг 
 	<command>kadmin</command> програмыг <literal>-l</literal> 
 	тохируулгатай (<quote>локал</quote> гэсэн утгатай) ашиглан эхлүүлж болно.
 	Энэ тохируулга нь <command>kadmin</command>-д мэдээллийн баазын 
 	файлыг <command>kadmind</command> сүлжээний үйлчилгээгээр 
 	дамжилгүйгээр шууд өөрчлөхийг заадаг. Энэ нь мэдээллийн бааз үүсэхээс 
 	өмнө түүн уруу хандахыг оролдох асуудлыг (яг л өндөг, тахианы аль нь түрүүлж гарсан
  	гэж маргадаг тэр асуудлын адил) зохицуулдаг. <command>kadmin</command> 
 	хүлээх мөртэй болсныхоо дараа та өөрийн хүрээнүүдийн эхний мэдээллийн санг 
 	<command>init</command> тушаал ашиглан үүсгээрэй.</para>
 
       <para>Эцэст нь <command>kadmin</command>-ы горимд байхдаа өөрийн 
 	эхний удирдагчийг <command>add</command> тушаал ашиглан үүсгээрэй. 
 	Одоохондоо удирдагчийн хувьд анхдагч тохируулгуудыг сонгоорой, та 
 	тэдгээрийг сүүлд нь <command>modify</command> тушаал ашиглан 
 	өөрчилж чадна. Та аль ч тушаал хүлээх мөрөнд <literal>?</literal> 
 	тушаал ашиглаж байгаа боломжит тохируулгуудыг харж болохыг 
 	санаарай.</para>
 
       <para>Мэдээллийн сан үүсгэлтийн жишээ сесс доор байна:</para>
 
       <screen>&prompt.root; <userinput>kstash</userinput>
 Master key: <userinput>xxxxxxxx</userinput>
 Verifying password - Master key: <userinput>xxxxxxxx</userinput>
 
 &prompt.root; <userinput>kadmin -l</userinput>
 kadmin> <userinput>init EXAMPLE.ORG</userinput>
 Realm max ticket life [unlimited]:
 kadmin> <userinput>add tillman</userinput>
 Max ticket life [unlimited]:
 Max renewable life [unlimited]:
 Attributes []:
 Password: <userinput>xxxxxxxx</userinput>
 Verifying password - Password: <userinput>xxxxxxxx</userinput></screen>
 
       <para>Одоо <acronym>KDC</acronym> үйлчилгээнүүдийг эхлүүлэх цаг болжээ.
 	Үйлчилгээнүүдийг эхлүүлэхдээ <command>/etc/rc.d/kerberos start</command> болон 
 	<command>/etc/rc.d/kadmind start</command> тушаалуудыг 
 	ажиллуулна. Энэ үед танд ямар ч kerberos хийгдсэн дэмон байхгүйг санаарай, 
 	гэхдээ та <acronym>KDC</acronym>-ийн өөрийнх нь тушаалын мөрөөс үүсгэсэн удирдагчид
 	(хэрэглэгч) зориулсан тасалбарыг авч жагсаан <acronym>KDC</acronym>-г ажиллаж байгаа 
 	гэдгийг та баталж чадаж байх ёстой:</para>
 
       <screen>&prompt.user; <userinput>kinit <replaceable>tillman</replaceable></userinput>
 tillman@EXAMPLE.ORG's Password:
 
 &prompt.user; <userinput>klist</userinput>
 Credentials cache: FILE:<filename>/tmp/krb5cc_500</filename>
 	Principal: tillman@EXAMPLE.ORG
 
   Issued           Expires          Principal
 Aug 27 15:37:58  Aug 28 01:37:58  krbtgt/EXAMPLE.ORG@EXAMPLE.ORG</screen>
 
 	<para>Та дууссаныхаа дараа тасалбарыг буцааж болно:</para>
 
 	<screen>&prompt.user; <userinput>k5destroy</userinput></screen>
       </sect2>
 
       <sect2>
 	<title>Серверийг <application>Kerberos</application> хийн Heimdal үйлчилгээнүүдтэй  
 	идэвхжүүлэх</title>
 
         <indexterm>
 	  <primary>Kerberos5</primary>
 	  <secondary>үйлчилгээнүүдийг идэвхжүүлэх</secondary>
         </indexterm>
 
 	<para>Эхлээд бидэнд <application>Kerberos</application>-ийн тохиргооны 
 	файл <filename>/etc/krb5.conf</filename>-ийн хуулбар хэрэг болно. 
 	Ингэхийн тулд <acronym>KDC</acronym>-ээс түүнийг аюулгүй аргаар 
 	(&man.scp.1; зэрэг сүлжээний хэрэгслүүд эсвэл физикээр уян диск ашиглан) 
 	клиент компьютер уруу ердөө л хуулах хэрэгтэй.</para>
 
 	<para>Дараа нь танд <filename>/etc/krb5.keytab</filename> файл 
 	хэрэгтэй. Энэ нь <application>Kerberos</application> хийгдсэн 
 	дэмонууд бүхий сервер болон ажлын станц хоёрын гол ялгаа юм &mdash; 
 	сервер нь <filename>keytab</filename> файлтай байх шаардлагатай. 
 	Энэ файл нь өөрийг нь зөвшөөрдөг серверийн хост түлхүүр болон өөрсдийнхөө 
 	нэрийг (identity) шалгах <acronym>KDC</acronym>-г агуулдаг. 
 	Хэрэв түлхүүр нь нийтэд мэдэгдвэл серверийн аюулгүй байдал эвдэрч болох учир 
 	энэ нь сервер уруу аюулгүйн үүднээс дамжуулагдах ёстой. Энэ нь шууд утгаараа 
 	<acronym>FTP</acronym> зэрэг цэвэр текст сувгаар дамжуулах нь маш буруу 
 	гэсэн үг юм.</para>
 
 	<para>Ихэвчлэн сервер уруу <filename>keytab</filename> файлыг 
 	<command>kadmin</command> тушаал ашиглан дамжуулдаг. 
 	Энэ нь тохиромжтой байдаг бөгөөд учир нь та бас хостын удирдагчийг 
 	(<filename>krb5.keytab</filename> файлын <acronym>KDC</acronym> 
 	төгсгөл) <command>kadmin</command> тушаал ашиглан үүсгэх хэрэгтэй 
 	болдог.</para>
 
 	<para>Та тасалбарыг аль хэдийн авсан байх ёстой бөгөөд энэ тасалбар нь 
 	<filename>kadmind.acl</filename> файлын <command>kadmin</command> 
 	интерфэйсийг ашиглаж болохоор зөвшөөрөгдсөн байх ёстойг санаарай. 
 	Heimdal-ийн мэдээллийн хуудаснуудын (<command>info heimdal</command>) 
 	<quote>Алсын удирдлага</quote> гэсэн гарчигтай хэсгээс хандалт хянах жагсаалтуудыг 
 	дизайн хийх талаар дэлгэрэнгүйг үзнэ үү. Хэрэв та алсын <command>kadmin</command> 
 	хандалтыг идэвхжүүлэхийг хүсэхгүй байгаа бол та <acronym>KDC</acronym> уруу
 	ердөө л аюулгүйгээр холбогдож (локал консолоор, &man.ssh.1; эсвэл 
 	<application>Kerberos</application> &man.telnet.1;) удирдлагыг локалаар 
 	өөр дээрээсээ <command>kadmin -l</command> тушаал ашиглан хийж болно.</para>
 
 	<para><filename>/etc/krb5.conf</filename> файлыг суулгасны дараа та 
 	<application>Kerberos</application> серверээс <command>kadmin</command> 
 	тушаалыг ашиглаж болно. <command>add --random-key</command> тушаал нь 
 	серверийн хост удирдагчийг нэмэх боломжийг танд олгох бөгөөд <command>ext</command> 
 	тушаал нь серверийн хост удирдагчийг өөрийн keytab уруу задлах боломжийг танд олгоно.
 	Жишээ нь:</para>
 
 	<screen>&prompt.root; <userinput>kadmin</userinput>
 kadmin><userinput> add --random-key host/myserver.example.org</userinput>
 Max ticket life [unlimited]:
 Max renewable life [unlimited]:
 Attributes []:
 kadmin><userinput> ext host/myserver.example.org</userinput>
 kadmin><userinput> exit</userinput></screen>
 
 	<para><command>ext</command> тушаал нь (<quote>extract</quote> гэдгийг 
 	богиноор илэрхийлнэ) задалсан түлхүүрийг анхдагчаар <filename>/etc/krb5.keytab</filename> 
 	файлд хадгалдаг.</para>
 
 	<para>Хэрэв таны хувьд <acronym>KDC</acronym> дээр <command>kadmind</command> 
 	ажиллахгүй байгаа бөгөөд (магадгүй аюулгүй байдлын шалтгаануудаас болоод) 
 	тэгээд <command>kadmin</command> уруу алсаас хандах боломжгүй бол та 
 	хост удирдагчийг (<username>host/myserver.EXAMPLE.ORG</username>) 
 	шууд <acronym>KDC</acronym> дээр нэмж дараа нь доор дурдсантай адилаар түүнийг түр 
 	зуурын файл уруу (<acronym>KDC</acronym> дээрх 
 	<filename>/etc/krb5.keytab</filename> файлыг дарж бичихээс сэргийлж) 
 	задалж болно:</para>
 
 	<screen>&prompt.root; <userinput>kadmin</userinput>
 kadmin><userinput> ext --keytab=/tmp/example.keytab host/myserver.example.org</userinput>
 kadmin><userinput> exit</userinput></screen>
 
 	<para>Та дараа нь keytab-ийг аюулгүйгээр (жишээ нь <command>scp</command> эсвэл 
 	уян диск ашиглан) сервер компьютер уруу  хуулж болно. <acronym>KDC</acronym> 
 	дээрх keytab-ийг дарж бичихээс сэргийлж keytab нэрийг анхдагч бишээр зааж өгсөн 
 	эсэхээ шалгаарай.</para>
 
 	<para>Энэ мөчид хүрэх үед таны сервер <acronym>KDC</acronym>-тэй 
 	(<filename>krb5.conf</filename> файлтай учраас) холбогдож чадах бөгөөд 
 	(<filename>krb5.keytab</filename> файлтай учраас) өөрийгөө таниулан баталж 
 	чадна. Одоо та зарим нэг <application>Kerberos</application> үйлчилгээнүүдийг 
 	идэвхжүүлэхэд бэлэн болжээ. Энэ жишээн дээр бид <command>telnet</command> 
 	үйлчилгээг <filename>/etc/inetd.conf</filename> файлд доор дурдсантай төстэй 
 	мөрийг оруулан идэвхжүүлж дараа нь &man.inetd.8; үйлчилгээг 
 	<command>/etc/rc.d/inetd restart</command> тушаалын тусламжтай 
 	дахин ачаалах болно:</para>
 
 	<programlisting>telnet    stream  tcp     nowait  root    /usr/libexec/telnetd  telnetd -a user</programlisting>
 
 	<para>Хамгийн чухал нь <command>-a</command> төрөл (нэвтрэлт танихад) 
 	хэрэглэгчид тохируулагдсан. Илүү дэлгэрэнгүйг &man.telnetd.8; гарын 
 	авлагын хуудаснаас лавлана уу.</para>
 
       </sect2>
 
       <sect2>
 	<title>Клиентийг <application>Kerberos</application> хийн Heimdal үйлчилгээтэйгээр идэвхжүүлэх</title>
 
 	<indexterm>
 	  <primary>Kerberos5</primary>
 	  <secondary>клиентүүдийг тохируулах</secondary>
 	</indexterm>
 
 	<para>Клиент компьютерийг тохируулах нь маш амархан. 
 	<application>Kerberos</application> тохиргоо хийгдсэний дараа танд зөвхөн 
 	<filename>/etc/krb5.conf</filename>-д байрлах 
 	<application>Kerberos</application> тохиргооны файл хэрэгтэй. 
 	Үүнийг ердөө л аюулгүйгээр клиент компьютер уруу <acronym>KDC</acronym>-ээс 
 	хуулна.</para>
 
 	<para>Клиентээсээ <command>kinit</command>, <command>klist</command>, болон
 	  <command>kdestroy</command> тушаалуудыг үүсгэсэн удирдагчийнхаа хувьд 
 	тасалбар олж авах, үзүүлэх, болон дараа нь устгахад ашиглахыг оролдон клиент 
 	компьютераа тест хийгээрэй. Та <application>Kerberos</application> 
 	програмуудыг ашиглан <application>Kerberos</application> хийгдсэн 
 	серверүүд уруу холбогдож чадах ёстой бөгөөд хэрэв ингэж ажиллаж болохгүй байгаа 
 	бөгөөд тасалбар олж авах нь асуудалтай байгаа бол энэ нь клиент эсвэл 
 	<acronym>KDC</acronym>-тэй холбоотой биш сервертэй холбоотой 
 	асуудал юм.</para>
 
 	<para><command>telnet</command> зэрэг програмыг тест хийж байх үед 
 	таны нууц үг цэвэр текстээр бишээр илгээгдэж байгааг шалгахын тулд пакет 
 	шиншлэгч (&man.tcpdump.1; зэрэг) ашиглаад үзээрэй. 
 	<command>telnet</command>-ийг бүх өгөгдлийн урсгалыг шифрлэдэг  
 	(<command>ssh</command>-тэй адил) <literal>-x</literal> тохируулгатай 
 	ашиглахыг оролдоорой.</para>
 
 	<para>Төрөл бүрийн гол биш <application>Kerberos</application> клиент 
 	програмууд нь бас анхдагчаар суудаг. Энэ нь үндсэн Heimdal суулгацын 
 	<quote>хамгийн бага</quote> мөн чанар юм: <command>telnet</command> 
 	нь цорын ганц <application>Kerberos</application> хийгдсэн үйлчилгээ 
 	юм.</para>
 
 	<para>Heimdal порт нь зарим нэг дутуу програмуудыг нэмдэг: 
 	<command>ftp</command>, <command>rsh</command>,
 	  <command>rcp</command>, <command>rlogin</command> болон 
 	бусад цөөн хэдэн нийтлэг биш програмуудын <application>Kerberos</application> 
 	хийгдсэн хувилбаруудыг нэмдэг. <acronym>MIT</acronym> порт нь бас 
 	<application>Kerberos</application> клиент програмуудын бүрэн цуглуулгыг 
 	агуулдаг.</para>
 
       </sect2>
 
       <sect2>
 	<title>Хэрэглэгчийн тохиргооны файлууд: <filename>.k5login</filename> болон <filename>.k5users</filename></title>
 
 	<indexterm>
 	  <primary><filename>.k5login</filename></primary>
 	</indexterm>
 
 	<indexterm>
 	  <primary><filename>.k5users</filename></primary>
 	</indexterm>
 
 	<para>Хүрээн дэх хэрэглэгчийн хувьд ихэнхдээ өөрсдийнх нь <application>Kerberos</application> 
 	удирдагчийг (<username>tillman@EXAMPLE.ORG</username> зэрэг) 
 	локал хэрэглэгчийн бүртгэлд (<username>tillman</username> зэрэг локал бүртгэл) 
 	харгалзуулж өгсөн байдаг. <command>telnet</command> зэрэг клиент 
 	програмууд ихэвчлэн хэрэглэгчийн нэр эсвэл удирдагчийг шаарддаггүй.</para>
 
 	<para>Гэхдээ хааяа нэг та харгалзах <application>Kerberos</application> 
 	удирдагчгүй хэн нэгэнд зориулж локал хэрэглэгчийн бүртгэлд хандах хандалтыг 
 	өгөхийг хүсэж болох юм. Жишээ нь <username>tillman@EXAMPLE.ORG</username> 
 	магадгүй локал хэрэглэгчийн бүртгэл <username>webdevelopers</username>-д 
 	хандах хандалт хэрэгтэй байж болох юм. Бусад удирдагчид бас энэ локал бүртгэлд хандах 
 	хэрэгтэй байж болох юм.</para>
 
 	<para><filename>.k5login</filename> болон <filename>.k5users</filename> 
 	файлууд нь хэрэглэгчдийн гэрийн сангуудад байрладаг бөгөөд 
 	<filename>.hosts</filename> болон <filename>.rhosts</filename> 
 	файлуудын хүчирхэг хослолын нэгэн адилаар энэ асуудлыг шийдэн ашиглагдаж болох юм. 
 	Жишээ нь хэрэв <filename>.k5login</filename> нь дараах агуулгатайгаар:</para>
 
 	<screen>tillman@example.org
 jdoe@example.org</screen>
 
 	<para>локал хэрэглэгч <username>webdevelopers</username>-ийн гэр санд 
 	байрлаж байвал энд жагсаагдсан хоёр удирдагч хоёулаа хуваалцсан нууц үгийн шаардлагагүйгээр 
 	тэр бүртгэл уруу хандах хандалттай болох юм.</para>
 
 	<para>Эдгээр тушаалуудын гарын авлагын хуудаснуудыг уншихыг зөвлөж байна. 
 	<command>ksu</command> гарын авлагын хуудас <filename>.k5users</filename> 
 	файлын тухай тайлбарладгийг тэмдэглэх нь зүйтэй юм.</para>
 
       </sect2>
 
       <sect2>
 	<title><application>Kerberos</application>-той холбоотой арга, зальнууд болон алдааг олж  засварлах</title>
 
 	<indexterm>
 	  <primary>Kerberos5</primary>
 	  <secondary>алдааг олж засварлах</secondary>
 	</indexterm>
 
 	<itemizedlist>
 	  <listitem>
 	    <para>Heimdal эсвэл <acronym>MIT</acronym>
 	      <application>Kerberos</application> портууд ашиглах үед 
 		таны <envar>PATH</envar> орчны хувьсагч 
 		клиентийн програмуудын <application>Kerberos</application> 
 		хувилбаруудыг системийн хувилбаруудаас өмнө жагсаасан байхыг 
 		шаарддаг.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Таны хүрээний бүх компьютерууд цагийн тохиргоонуудаа адилаар 
 		тохируулсан уу? Хэрэв үгүй бол нэвтрэлт танилт амжилтгүй болж 
 		болох юм. <xref linkend="network-ntp"> нь 
 		<acronym>NTP</acronym> ашиглан цагийг хамгийн сүүлийн 
 		хэлбэрт аваачиж адил болгож тохируулах талаар тайлбарладаг.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para><acronym>MIT</acronym> болон Heimdal нь хоорондоо сайн 
 		ажилладаг. <command>kadmin</command>-аас бусад талаараа 
 		сайн ажилладаг, учир нь энэ програмын протокол стандартчилагдаагүй.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Та хэрэв өөрийн хостын нэрийг өөрчилбөл бас өөрийн <username>host/</username> 
 		удирдагчийг өөрчилж өөрийн keytab-ийг шинэчлэх хэрэгтэй. Энэ нь бас 
 		Апачигийн <filename role="package">www/mod_auth_kerb</filename>-д 
 		хэрэглэгддэг <username>www/</username> удирдагч зэрэг тусгай keytab 
 		оруулгуудад хамаатай юм.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Таны хүрээний бүх хостууд <acronym>DNS</acronym>-д (эсвэл
 	     	хамгийн багадаа <filename>/etc/hosts</filename>-ийн хувьд) танигдаж 
 		(урагш болон эсрэгээр танигдаж) байх ёстой. CNAME-үүд ажиллах боловч A болон PTR 
 		бичлэгүүд зөв бөгөөд байрандаа байж байх ёстой. Алдааны мэдэгдэл нь 
 		тийм ч ойлгогдохоор байдаггүй, жишээ нь: <errorname>Kerberos5
 		refuses authentication because Read req
 	      failed: Key table entry not found буюу орчуулбал 
 		Унших Req амжилтгүй болсон болохоор Kerberos5 нь нэвтрэлт танилтаас 
 		татгалзаж байна</errorname>.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Таны <acronym>KDC</acronym>-ийн хувьд магадгүй клиент маягаар 
 		харьцаж байгаа зарим үйлдлийн системүүд setuid
 	      <username>root</username> болохын тулд <command>ksu</command>
 		тушаалд зөвшөөрлүүдийг тохируулдаггүй. Энэ нь <command>ksu</command> 
 		ажиллахгүй гэсэн үг бөгөөд аюулгүй байдлын хувьд сайн боловч залхаамаар 
 		байдаг. Энэ  нь <acronym>KDC</acronym>-ийн алдаа биш юм.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para><acronym>MIT</acronym>
 	      <application>Kerberos</application>-той байхад хэрэв та 
 		анхдагч 10 цагаас арай урт амьдрах хугацаа бүхий тасалбартай удирдагчийг 
 		зөвшөөрөхийг хүсвэл <command>kadmin</command> дээр 
 		<command>modify_principal</command> тушаал ашиглан 
 		өөрчлөхийг хүссэн удирдагч болон <username>krbtgt</username> 
 		удирдагчийн maxlife-ийг өөрчлөх шаардлагатай. Дараа нь 
 		удирдагч <literal>-l</literal> тохируулгыг 
 		<command>kinit</command>-тай ашиглаж илүү урт амьдрах хугацаатай 
 		тасалбарыг авах хүсэлт илгээж болох юм.</para>
 	  </listitem>
 
 	  <listitem>
 	    <note><para>Хэрэв та өөрийн <acronym>KDC</acronym> дээр 
 		алдааг олж засварлахын тулд пакет шиншлэгч ажиллуулж дараа нь 
 		ажлын станцаасаа <command>kinit</command>-ийг ажиллуулахад  
 		<command>kinit</command>-ийг ажилласан даруй 
 		таны <acronym>TGT</acronym> илгээгдэхийг 
 		&mdash; таныг бүр нууц үгээ бичихээс өмнө та харах болно! 
 		Үүний тайлбар нь <application>Kerberos</application> 
 		сервер чөлөөтэйгээр <acronym>TGT</acronym>-ийг (Ticket Granting
 	      Ticket буюу Тасалбар Баталгаажуулах Тасалбар) ямар ч танигдаагүй 
 		хүсэлтэд дамжуулдаг; гэхдээ <acronym>TGT</acronym> бүр 
 		хэрэглэгчийн нууц үгээс гарсан түлхүүр болон шифрлэгдсэн байдаг.
 		Тийм болохоор хэрэглэгч өөрсдийн нууц үгийг бичихэд 
 		тэр нь <acronym>KDC</acronym> уруу илгээгддэггүй бөгөөд 
 		харин <command>kinit</command>-ийн аль хэдийн олж авсан 
 		<acronym>TGT</acronym>-г буцааж шифрлэхэд (decrypt) 
 		ашиглагддаг. Хэрэв буцааж шифрлэх процесс хүчинтэй хугацаа бүхий  
 		хүчинтэй тасалбарыг гаргаж авбал хэрэглэгч хүчинтэй 
 		<application>Kerberos</application> итгэмжлэлүүдтэй 
 		байна. Эдгээр итгэмжлэлүүд нь ирээдүйд 
 		<application>Kerberos</application> сервертэй аюулгүй холболтууд 
 		хийхэд зориулагдсан сессийн түлхүүр болон бас <application>Kerberos</application>
 		серверийн өөрийнх нь түлхүүрээр шифрлэгдсэн тасалбар-баталгаажуулах 
 		тасалбарыг агуулдаг. Шифрлэлтийн хоёр дахь давхарга нь хэрэглэгчид 
 		мэдэгддэггүй, гэхдээ энэ нь <acronym>TGT</acronym> бүрийн 
 		жинхэнийг шалгахыг <application>Kerberos</application> 
 		серверт зөвшөөрч байгаа тэр зүйл юм.</para></note>
 	  </listitem>
 
 	  <listitem>
 	    <para>Хэрэв та урт амьдрах хугацаатай (жишээ нь долоо хоног) тасалбар ашиглахыг 
 		хүсэж байгаа бөгөөд та тасалбар хадгалагдаж байгаа машин уруу 
 		<application>OpenSSH</application> ашиглан холбогдож байгаа бол 
 		<application>Kerberos</application>
 	      <option>TicketCleanup</option> тохируулга <literal>no</literal> 
 		гэж <filename>sshd_config</filename> тохиргооны файлд байгаа эсэхийг 
 		шалгаарай, тэгэхгүй бол таны тасалбарууд таныг гарах үед устгагдах 
 		болно.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Хостын удирдагчид илүү урт амьдрах хугацаатай тасалбартай бас байж болно 
 		гэдгийг санаарай. Хэрэв таны хэрэглэгчийн удирдагч долоо хоног амьдрах хугацаатай 
 		бөгөөд гэхдээ таны холбогдож байгаа хост 9 цаг амьдрах хугацаатай бол 
 		та кэшдээ хугацаа нь дууссан хостын удирдагчтай болж тасалбарын кэш 
 		хүссэнээр ажиллахгүй болох болно.</para>
 	  </listitem>
 
 	  <listitem>
 	    <para>Тусгайлсан муу нууц үгүүдийг ашиглуулахгүйн тулд (<command>kadmind</command> 
 		тушаалын гарын авлагын хуудас үүнийг товчхон тайлбарладаг) 
 		<filename>krb5.dict</filename> файлыг тохируулахдаа 
 		нууц үгийн бодлого тавигдсан удирдагчдад энэ нь зөвхөн хамаатайг санах 
 		хэрэгтэй. <filename>krb5.dict</filename> файлуудын хэлбэр 
 		хялбар байдаг: нэг мөрт нэг үг (string) байна. <filename>/usr/share/dict/words</filename> 
 		симболын холбоос үүсгэх нь ашигтай байж болох юм.</para>
 	  </listitem>
         </itemizedlist>
 
       </sect2>
 
       <sect2>
 	<title><acronym>MIT</acronym> портоос ялгаатай талууд</title>
 
 	<para><acronym>MIT</acronym> болон Heimdal суулгацуудын гол ялгаа нь 
 	өөр (гэхдээ орлуулж болох) тушаалууд болон өөр протоколууд ашигладаг 
 	<command>kadmin</command> програмтай холбоотой юм. 
 	Хэрэв таны <acronym>KDC</acronym> нь <acronym>MIT</acronym> бол 
 	та Heimdal <command>kadmin</command> програмыг ашиглаж өөрийн 
 	<acronym>KDC</acronym>-г алсаас (эсвэл эсрэг чиглэлд энэ 
 	зорилгоор) удирдаж чадахгүй  болдог учир энэ нь их хамаатай юм.</para>
 
 	<para>Клиент програмууд нь бас шал өөр өөр тушаалын мөрийн тохируулгууд авч 
 	адил үүргийг гүйцэтгэж болох юм. <acronym>MIT</acronym>
 	  <application>Kerberos</application> вэб сайт 
 	(<ulink url="http://web.mit.edu/Kerberos/www/"></ulink>) дээрх заавруудыг 
 	дагахыг зөвлөж байна. Замын асуудлуудаас болгоомжлоорой: 
 	<acronym>MIT</acronym> порт нь анхдагчаар <filename>/usr/local/</filename> 
 	уруу суудаг бөгөөд хэрэв таны <envar>PATH</envar> орчны хувьсагч системийн 
 	сангуудыг эхлээд жагсаадаг бол <quote>жирийн</quote> системийн програмууд 
 	<acronym>MIT</acronym>-ийн оронд ажиллаж болохыг санаарай.</para>
 
 	<note><para><command>telnetd</command> болон <command>klogind</command>-ээр 
 	нэвтрэх нэвтрэлтүүд нэг л хачин байдаг тэр шалтгааныг ойлгохыг хүсвэл &os;-ийн хангадаг 
 	<acronym>MIT</acronym> <filename role="package">security/krb5</filename> портын 
 	суулгасан <filename>/usr/local/share/doc/krb5/README.FreeBSD</filename> 
 	файлыг унших хэрэгтэй. Хамгийн чухал нь 
 	<quote>кэш файл дахь буруу зөвшөөрлүүд</quote>ийг зөв болгох нь 
 	дамжуулагдсан итгэмжлүүдийн эзэмшилтийг зөвөөр солих <command>login.krb5</command> 
 	хоёртын файлыг нэвтрэлт танилтад ашиглахыг шаарддаг.</para></note>
 
 	<para><filename>rc.conf</filename> файл дараах тохиргоог агуулж засварлагдсан 
 		байх бас шаардлагатай:</para>
 
 	<programlisting>kerberos5_server="/usr/local/sbin/krb5kdc"
 kadmind5_server="/usr/local/sbin/kadmind"
 kerberos5_server_enable="YES"
 kadmind5_server_enable="YES"</programlisting>
 
 	<para><acronym>MIT</acronym> керберосд зориулсан програмууд 
 	<filename role="directory">/usr/local</filename> санд хоёртын файлуудыг 
 	суулгадаг болохоор ингэж хийгддэг.</para>
       </sect2>
 
       <sect2>
 	<title><application>Kerberos</application> дахь хязгааруудыг багасгах</title>
 
 	<indexterm>
 	  <primary>Kerberos5</primary>
 	  <secondary>хязгаарууд болон дутагдлууд</secondary>
 	</indexterm>
 
 	<sect3>
 	 <title><application>Kerberos</application> нь бүгдийг эсвэл юуг ч биш гэсэн арга юм</title>
 
 	  <para>Сүлжээнд идэвхжүүлэгдсэн үйлчилгээ бүр <application>Kerberos</application>-тэй 
 		ажиллахаар засварлагдсан (эсвэл сүлжээний халдлагуудын эсрэг аюулгүй 
 		байдлыг хангасан) байх шаардлагатай, тэгэхгүй бол хэрэглэгчдийн 
 		итгэмжлэлүүд хулгайлагдаж дахин ашиглагдаж болох юм. Үүний нэг жишээ нь 
 		бүх алсын бүрхүүлүүдийг (жишээ нь <command>rsh</command> болон 
 		<command>telnet</command>) <application>Kerberos</application> хийн 
 		идэвхжүүлсэн мөртлөө нууц үгүүдийг цэвэр текстээр илгээдэг <acronym>POP3</acronym> 
 		захидлын серверийг тэгж хувиргахгүй байх явдал юм.</para>
 
 	</sect3>
 
 	<sect3>
 	  <title><application>Kerberos</application> нь ганц хэрэглэгчийн ажлын станцуудад зориулагдсан</title>
 
 	  <para>Олон хэрэглэгчийн орчинд <application>Kerberos</application> нь 
 		тийм ч аюулгүй биш юм. Энэ нь тасалбаруудыг бүх хэрэглэгчийн хувьд уншигдаж 
 		болох <filename>/tmp</filename> санд хадгалдаг учраас тэр юм. 
 		Хэрэв хэрэглэгч компьютераа хэд хэдэн бусад хүмүүстэй зэрэг харилцан хуваалцаж 
 		байвал (өөрөө хэлбэл олон-хэрэглэгч) хэрэглэгчийн тасалбаруудыг өөр хэрэглэгч 
 		хулгайлах (хуулан авах) боломжтой юм.</para>
 
 	  <para>Үүнийг <literal>-c</literal> файлын нэрийн тушаалын мөрийн тохируулгатай 
 		эсвэл (илүү зохимжтой) <envar>KRB5CCNAME</envar> орчны хувьсагчтайгаар 
 		даван гарч болох юм, гэхдээ ингэх нь их ховор байдаг. Зарчмын хувьд 
 		тасалбарыг хэрэглэгчдийн гэр санд хадгалж хялбар файлын зөвшөөрлүүдийг ашиглах нь 
 		энэ асуудлыг багасгадаг.</para>
 
 	</sect3>
 
 	<sect3>
 	  <title>KDC нь бүтэлгүйтлийн ганц цэг</title>
 
 	  <para>Дизайнаараа бол <acronym>KDC</acronym> нь мастер нууц үгийн 
 		мэдээллийн баазаас тогтох бөгөөд түүний нэгэн адил аюулгүй байх ёстой.
 		<acronym>KDC</acronym> нь үүн дээр өөр ямар ч үйлчилгээнүүд 
 		ажиллуулсан байх ёсгүй бөгөөд физикээр аюулгүй байдлыг нь 
 		хангасан байх шаардлагатай. <application>Kerberos</application> 
 		нь ижил түлхүүрээр (<quote>мастер</quote> түлхүүр) шифрлэгдсэн бүх 
 		нууц үгүүдийг хадгалдаг бөгөөд тэр ижил түлхүүр нь эргээд 
 		<acronym>KDC</acronym> дээр файл маягаар хадгалагддаг учраас 
 		аюул өндөртэй байдаг.</para>
 
 	  <para>Тэмдэглэн хэлэхэд булаан эзлэгдсэн мастер түлхүүр нь хэн нэг нь айхаар 
 		тийм ч муу биш юм. Түлхүүр үг нь зөвхөн <application>Kerberos</application> 
 		мэдээллийн баазыг шифрлэхэд болон санамсаргүй тоо үүсгэгчийн үр болон 
 		хэрэглэгддэг. Таны <acronym>KDC</acronym> уруу хандахад аюулгүй л 
 		байж байвал халдагч мастер түлхүүрээр их юм хийж чадахгүй.</para>
 
 	  <para>Мөн нэмж хэлэхэд хэрэв <acronym>KDC</acronym> нь боломжгүй байвал 
 		(магадгүй үйлчилгээ зогсоох халдлага эсвэл сүлжээний асуудлуудаас болоод)
 		сүлжээний үйлчилгээнүүд нь нэвтрэлт танилтыг хийж болохгүй болохоор 
 		хэрэглэгдэх боломжгүй болох бөгөөд нэг ёсны үйлчилгээ зогсоох халдлагын рецепт 
 		болох юм. Үүнийг олон <acronym>KDC</acronym>-тэй (нэг мастер болон 
 		нэг буюу хэд хэдэн боолууд) болон хоёрдогч эсвэл нэмэлт, эцсийн нэвтрэлт таних  
 		(<acronym>PAM</acronym> нь энэнд маш сайн) болгоомжтой шийдлийн 
 		тусламжтайгаар даван гарч болох юм.</para>
 
 	</sect3>
 
 	<sect3>
 	  <title><application>Kerberos</application>-ийн дутагдлууд</title>
 
 	  <para><application>Kerberos</application> нь хэрэглэгчид, хостууд болон 
 		үйлчилгээнүүдэд өөр хоорондоо бие биенээ таниулах боломжийг олгодог. Гэхдээ энэ нь 
 		<acronym>KDC</acronym>-г хэрэглэгчид, хостууд эсвэл үйлчилгээнүүдэд 
 		таниулах аргагүй юм. Энэ нь троян хийгдсэн <command>kinit</command> (жишээ нь) 
 		тушаал бүх хэрэглэгчийн нэрс болон нууц үгүүдийг бүртгэн бичиж авч болно гэсэн 
 		үг юм. <filename role="package">security/tripwire</filename> 
 		ч юм уу эсвэл өөр бусад файлын системийн бүрэн бүтэн байдлыг шалгах хэрэгслүүд
 		үүнийг арилгаж чадна.</para>
 
 	</sect3>
       </sect2>
 
       <sect2>
 	<title>Эх сурвалжууд болон нэмэлт мэдээллүүд</title>
 
 	<indexterm>
 	  <primary>Kerberos5</primary>
 	  <secondary>гадаад эх сурвалжууд</secondary>
 	</indexterm>
 
 	<itemizedlist>
 	  <listitem>
 	  <para><ulink
 	    url="http://www.faqs.org/faqs/Kerberos-faq/general/preamble.html">
 	    <application>Kerberos</application>-ийн FAQ</ulink></para>
 	</listitem>
 
 	<listitem>
 	  <para><ulink url="http://web.mit.edu/Kerberos/www/dialogue.html">
 		Танин шалгах системийг дизайн хийх нь: Дөрвөн үзэгдэл дэх харилцан яриа (диалог)</ulink></para>
 	</listitem>
 
 	<listitem>
 	  <para><ulink url="http://www.ietf.org/rfc/rfc1510.txt?number=1510">RFC 1510,
 	    <application>Kerberos</application> Сүлжээний Танин Шалгах Үйлчилгээ
 	    (V5)</ulink></para>
 	</listitem>
 
 	<listitem>
 	  <para><ulink url="http://web.mit.edu/Kerberos/www/"><acronym>MIT</acronym>
 	    <application>Kerberos</application>-ийн гэр хуудас</ulink></para>
 	</listitem>
 
 	<listitem>
 	<para><ulink url="http://www.pdc.kth.se/heimdal/">Heimdal
 	  <application>Kerberos</application>-ийн гэр хуудас</ulink></para>
 	</listitem>
 
 	</itemizedlist>
     </sect2>
   </sect1>
 
   <sect1 id="openssl">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Бичсэн </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <title>OpenSSL</title>
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>OpenSSL</secondary>
     </indexterm>
 
     <para>Олон хэрэглэгчдийн хайдаг нэг боломж нь &os;-д байдаг 
 	<application>OpenSSL</application> багаж юм. 
 	<application>OpenSSL</application> нь ердийн холбооны давхарга 
 	дээр шифрлэлт дамжуулах давхаргыг хангаж өгдөг; ингэснээр түүнийг сүлжээний 
 	програмууд болон үйлчилгээнүүдтэй холбож өгөх боломжийг олгодог.</para>
 
     <para><application>OpenSSL</application>-ийн зарим нэг хэрэглээнд  
 	захидлын клиентүүдийн шифрлэсэн нэвтрэлт, кредит картаар хийх төлбөрүүд гэх мэт 
 	вэб дээр тулгуурласан шилжүүлгүүд зэрэг олныг дурдаж болно. 
 	<filename role="package">www/apache13-ssl</filename> болон 
 	<filename role="package">mail/sylpheed-claws</filename> зэрэг 
 	олон портууд нь <application>OpenSSL</application>-тэй бүтээх 
 	эмхэтгэлийн дэмжлэгийг санал болгодог.</para>
 
     <note>
       <para>Ихэнх тохиолдолд Портуудын Цуглуулга нь make хувьсагч 
 	<makevar>WITH_OPENSSL_BASE</makevar>-ийг <quote>yes</quote> 
 	гэж заагаагүй тохиолдолд  
 	<filename role="package">security/openssl</filename> портыг 
 	бүтээхийг оролддог.</para>
     </note>
 
     <para>&os;-д орсон <application>OpenSSL</application>-ийн хувилбар нь 
 	Secure Sockets Layer v2/v3 (SSLv2/SSLv3) буюу Аюулгүй Сокетуудын 
 	Давхаргын v2/v3 хувилбарууд, Transport Layer Security v1 (TLSv1) буюу 
 	Тээврийн Давхаргын Аюулгүй байдлын v1 хувилбарын сүлжээний аюулгүй байдлын 
 	протоколуудыг дэмждэг бөгөөд ерөнхий криптограф сан болон ашиглагдаж 
 	болох юм.</para>
 
     <note>
       <para><application>OpenSSL</application> нь 
 	<acronym>IDEA</acronym> алгоритмийг дэмждэг боловч Нэгдсэн Улсын 
 	патентуудаас болоод анхдагчаар хаалттай байдаг. Үүнийг ашиглахын тулд 
 	лицензийг шалгасан байх ёстой бөгөөд хэрэв хязгаарлалтуудыг хүлээн 
 	авах боломжтой бол <makevar>MAKE_IDEA</makevar> хувьсагчийг 
 	<filename>make.conf</filename> файлд заагж өгөх ёстой байдаг.</para>
     </note>
 
     <para><application>OpenSSL</application>-ийн хамгийн түгээмэл хэрэглээний 
 	нэг бол програм хангамжуудад зориулан ашиглах сертификатуудыг бэлдэх явдал 
 	юм. Эдгээр сертификатууд нь компани болон хувь хүмүүсийн итгэмжлэлүүдийг  
 	хүчинтэй бөгөөд луйврын биш гэдгийг баталгаажуулдаг. Хэрэв асуудалтай сертификат 
 	хэд хэдэн <quote>Certificate Authorities</quote> эсвэл <acronym>CA</acronym>-ууд буюу 
 	Сертификатын Эрх мэдэлтнүүдээр шалгагдаагүй бол ихэвчлэн анхааруулга үзүүлдэг. 
 	Сертификатын Эрх мэдэлтэн нь <ulink url="http://www.verisign.com">VeriSign</ulink> зэрэг 
 	компани байдаг бөгөөд компаниуд эсвэл хувь хүмүүсийн итгэмжлэлүүдийг хүчин төгөлдөр болгохын 
 	тулд сертификатуудыг баталгаажуулж өгдөг. Энэ процесс нь өртөгтэй бөгөөд 
 	сертификатууд ашиглахад заавал ч үгүй шаардлага болдоггүй; гэхдээ энэ нь 
 	паранойд буюу хэт зовнисон хэрэглэгчдийн заримын санааг тайвшруулж болох юм.</para>
 
     <sect2>
       <title>Сертификатуудыг үүсгэх нь</title>
 
       <indexterm>
 	<primary>OpenSSL</primary>
 	<secondary>сертификат үүсгэлт</secondary>
       </indexterm>
 
       <para>Сертификат үүсгэхийн тулд дараах тушаал байдаг:</para>
 
       <screen>&prompt.root; <userinput>openssl req -new -nodes -out req.pem -keyout cert.pem</userinput>
 Generating a 1024 bit RSA private key
 ................++++++
 .......................................++++++
 writing new private key to 'cert.pem'
 -----
 You are about to be asked to enter information that will be incorporated
 into your certificate request.
 What you are about to enter is what is called a Distinguished Name or a DN.
 There are quite a few fields but you can leave some blank
 For some fields there will be a default value,
 If you enter '.', the field will be left blank.
 -----
 Country Name (2 letter code) [AU]:<userinput><replaceable>US</replaceable></userinput>
 State or Province Name (full name) [Some-State]:<userinput><replaceable>PA</replaceable></userinput>
 Locality Name (eg, city) []:<userinput><replaceable>Pittsburgh</replaceable></userinput>
 Organization Name (eg, company) [Internet Widgits Pty Ltd]:<userinput><replaceable>My Company</replaceable></userinput>
 Organizational Unit Name (eg, section) []:<userinput><replaceable>Systems Administrator</replaceable></userinput>
 Common Name (eg, YOUR name) []:<userinput><replaceable>localhost.example.org</replaceable></userinput>
 Email Address []:<userinput><replaceable>trhodes@FreeBSD.org</replaceable></userinput>
 
 Please enter the following 'extra' attributes
 to be sent with your certificate request
 A challenge password []:<userinput><replaceable>SOME PASSWORD</replaceable></userinput>
 An optional company name []:<userinput><replaceable>Another Name</replaceable></userinput></screen>
 
       <para><quote>Common Name</quote> хүлээх мөрийн дараах хариу домэйны 
 	нэрийг харуулж байгааг анзаараарай. Энэ мөр нь шалгалт хийх зорилгоор 
 	серверийн нэрийг оруулахыг шаарддаг; домэйн нэрээс бусдыг байрлуулах нь 
 	ашиггүй сертификат үүсэхэд хүргэдэг. Бусал тохируулгууд, жишээ нь 
 	дуусах хугацаа, өөр шифрлэх алгоритмууд гэх мэт тохируулгууд байдаг.
 	Бүрэн гүйцэд жагсаалтыг &man.openssl.1; гарын авлагын хуудсыг үзэн 
 	авч болно.</para>
 
       <para>Дээрх тушаалын ажилласан санд хоёр файл одоо байж байх ёстой. 
 	Сертификатын хүсэлт <filename>req.pem</filename> нь таны оруулсан итгэмжлэлүүдийг 
 	хүчин төгөлдөр болгож хүсэлтийг баталгаажуулан сертификатыг танд буцаах сертификатын 
 	эрх мэдэлтэн уруу илгээгдэж болно. Үүсгэгдсэн хоёр дахь файл нь 
 	<filename>cert.pem</filename> гэж нэрлэгдэн сертификатын хувийн түлхүүр 
 	болох бөгөөд ямар ч байсан гэсэн хамгаалагдсан байх ёстой; хэрэв энэ нь 
 	бусдын гарт орох юм бол таны (эсвэл таны серверийн) дүрд тоглон ашиглагдаж болох 
 	юм.</para>
 
       <para><acronym>CA</acronym>-с гарын үсэг шаарддаггүй тохиолдолд 
 	өөрөө зурсан сертификатыг үүсгэж болно. Эхлээд <acronym>RSA</acronym> 
 	түрхүүр үүсгэх хэрэгтэй:</para>
 
       <screen>&prompt.root; <userinput>openssl dsaparam -rand -genkey -out <filename>myRSA.key</filename> 1024</userinput></screen>
 	
 	<para>Дараа нь <acronym>CA</acronym> түлхүүр үүсгэ:</para>
 
       <screen>&prompt.root; <userinput>openssl gendsa -des3 -out <filename>myca.key</filename> <filename>myRSA.key</filename></userinput></screen>
 
       <para>Сертификат үүсгэхийн тулд энэ түлхүүрийг ашигла :</para>
 
       <screen>&prompt.root; <userinput>openssl req -new -x509 -days 365 -key <filename>myca.key</filename> -out <filename>new.crt</filename></userinput></screen>
 
       <para>Санд хоёр шинэ файл үүсэх ёстой: сертификатын эрх мэдэлтний гарын 
 	үсгийн файл <filename>myca.key</filename> болон сертификат өөрөө 
 	<filename>new.crt</filename> байна. Эдгээрийг 
 	зөвхөн <username>root</username> унших эрхтэй 
 	<filename class="directory">/etc</filename> санд байрлуулах 
 	шаардлагатай. Үүнд 0700 зөвшөөрөл байж болох бөгөөд түүнийг 
 	<command>chmod</command> хэрэгсэл ашиглан тохируулж болно.</para>
     </sect2>
 
     <sect2>
       <title>Сертификатуудыг ашиглах нь, жишээ</title>
 
       <para>Тэгэхээр эдгээр файлууд нь юу хийж чадах вэ? Сайн хэрэглээ болох нэг 
 	жишээ нь <application>Sendmail</application>
 	<acronym>MTA</acronym> уруу хийгдэх холболтуудыг шифрлэх байж болно. 
 	Энэ нь локал <acronym>MTA</acronym> ашиглан захидал илгээх 
 	хэрэглэгчдийн цэвэр текст нэвтрэлтийн хэрэглээг болиулах юм.</para>
 
       <note>
 	<para>Зарим <acronym>MUA</acronym>-ууд нь хэрэв хэрэглэгчид дотроо 
 	сертификат суулгаагүй бол тэдэнд алдааг харуулдаг болохоор энэ нь 
 	ертөнц дээрх хамгийн шилдэг хэрэглээ биш юм. 
 	Сертификат суулгах тухай илүү мэдээллийг програм хангамжтай цуг ирсэн 
 	баримтаас  үзэх хэрэгтэй.</para>
       </note>
 
       <para>Дотоод <filename>.mc</filename> файл дотор дараах мөрүүдийг 
 	байрлуулах хэрэгтэй:</para>
 
       <programlisting>dnl SSL Options
 define(`confCACERT_PATH',`/etc/certs')dnl
 define(`confCACERT',`/etc/certs/new.crt')dnl
 define(`confSERVER_CERT',`/etc/certs/new.crt')dnl
 define(`confSERVER_KEY',`/etc/certs/myca.key')dnl
 define(`confTLS_SRV_OPTIONS', `V')dnl</programlisting>
 
       <para>Дээрх <filename class="directory">/etc/certs/</filename> нь 
 	сертификат болон түлхүүр файлуудыг дотооддоо хадгалах сан юм. 
 	Сүүлийн хэдэн шаардлагууд нь дотоод <filename>.cf</filename> файлын 
 	дахин бүтээлт юм. Үүнийг <filename class="directory">/etc/mail</filename> сан 
-	дотроос <command>make</command> <parameter>install</parameter> тушаал 
-	бичин хийж болно. Ингэсний дараа <command>make</command>
-	<parameter>restart</parameter> тушаалыг ажиллуулаарай, энэ нь 
+	дотроос <command>make <maketarget>install</maketarget></command> тушаал 
+	бичин хийж болно. Ингэсний дараа <command>make 
+	<maketarget>restart</maketarget></command> тушаалыг ажиллуулаарай, энэ нь 
 	<application>Sendmail</application> дэмонг эхлүүлэх ёстой.</para>
 
       <para>Хэрэв бүгд зүгээр болж өнгөрвөл <filename>/var/log/maillog</filename> 
 	файлд ямар ч алдаа бичигдэхгүй бөгөөд <application>Sendmail</application> 
 	процессийн жагсаалтад харуулагдана.</para>
 
       <para>Хялбар тест хийхийн тулд &man.telnet.1; хэрэгсэл ашиглан 
 	захидлын серверт холбогдох хэрэгтэй:</para>
 
       <screen>&prompt.root; <userinput>telnet <replaceable>example.com</replaceable> 25</userinput>
 Trying 192.0.34.166...
 Connected to <hostid role="fqdn">example.com</hostid>.
 Escape character is '^]'.
 220 <hostid role="fqdn">example.com</hostid> ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT)
 <userinput>ehlo <replaceable>example.com</replaceable></userinput>
 250-example.com Hello example.com [192.0.34.166], pleased to meet you
 250-ENHANCEDSTATUSCODES
 250-PIPELINING
 250-8BITMIME
 250-SIZE
 250-DSN
 250-ETRN
 250-AUTH LOGIN PLAIN
 250-STARTTLS
 250-DELIVERBY
 250 HELP
 <userinput>quit</userinput>
 221 2.0.0 <hostid role="fqdn">example.com</hostid> closing connection
 Connection closed by foreign host.</screen>
 
       <para>Хэрэв <quote>STARTTLS</quote> мөр гарч ирвэл бүгд зөв ажиллаж 
 	байна.</para>
     </sect2>
   </sect1>
 
   <sect1 id="ipsec">
     <sect1info>
       <authorgroup>
         <author>
   	  <firstname>Ник</firstname>
 	  <surname>Клэйтон</surname>
 	  <affiliation>
 	    <address><email>nik@FreeBSD.org</email></address>
           </affiliation>
           <contrib>Бичсэн </contrib>
         </author>
       </authorgroup>
     </sect1info>
 
     <indexterm>
       <primary>IPsec</primary>
     </indexterm>
 
     <title>IPsec дээгүүр VPN хийх</title>
     <para>FreeBSD гарц машинуудыг ашиглан Интернэтээр тусгаарлагдсан хоёр сүлжээний 
 	хооронд VPN үүсгэх.</para>
  
     <sect2>
       <sect2info>
         <authorgroup>
           <author>
             <firstname>Хитэн М.</firstname>
             <surname>Пандиа</surname>
 	    <affiliation>
 	      <address><email>hmp@FreeBSD.org</email></address>
 	    </affiliation>
 	    <contrib>Бичсэн </contrib>
 	  </author>
 	</authorgroup>
       </sect2info>
 
       <title>IPsec-ийг ойлгох нь</title>
 
       <para>Энэ хэсэг IPsec-ийг тохируулах процессийг тайлбарлаж 
 	FreeBSD болон <application>&microsoft.windows; 2000/XP</application> 
 	машинуудаас тогтох орчинд түүнийг ашиглан тэдгээрийг өөр хоорондоо аюулгүйгээр 
 	холбогдох нөхцөлийг бүрдүүлэх талаар зааварлах болно. IPsec-ийг тохируулахын 
 	тулд та өөрчлөн тохируулсан цөм бүтээх ухагдахууныг мэдсэн байх шаардлагатай
 	(<xref linkend="kernelconfig">-г үзнэ үү).</para>
     
       <para><emphasis>IPsec</emphasis> нь Интернэт Протокол (IP) давхаргын 
 	дээр суудаг протокол юм. Энэ нь хоёр буюу хэд хэдэн хостуудыг аюулгүй байдлаар 
 	(нэрээс нь харах юм бол) холбох боломжийг олгодог. FreeBSD IPsec 
 	<quote>сүлжээний стек</quote> нь IPv4 болон IPv6 протоколуудыг хоёуланг 
 	дэмждэг <ulink url="http://www.kame.net/">KAME</ulink> шийдэл дээр 
 	үндэслэсэн.</para>
 
       <note>
         <para>FreeBSD нь OpenBSD-ээс авсан <quote>Fast IPsec буюу 
 	Хурдан IPsec</quote> гэгддэг <quote>тоног төхөөрөмжөөр хурдасгасан</quote> 
 	IPsec стектэй. Энэ нь IPsec-ийн ажиллагааг оновчтой болгохын тулд &man.crypto.4; 
 	дэд системийн тусламжтайгаар криптограф тоног төхөөрөмжийг (аль болох бүх газар) 
 	хэрэглэдэг. Энэ нь шинэ дэд систем бөгөөд IPsec-ийн KAME хувилбарт байдаг 
 	бүх боломжуудыг дэмждэггүй. Гэхдээ тоног төхөөрөмжөөр хурдасгасан IPsec-ийг 
 	идэвхжүүлэхийн тулд өөрийн цөмийн тохиргооны файлдаа дараах цөмийн тохируулгыг 
 	нэмэх хэрэгтэй:</para>
 
 	<indexterm>
 	  <primary>цөмийн тохируулгууд</primary>
 	  <secondary>FAST_IPSEC</secondary>
 	</indexterm>
 
         <screen>
 options	  FAST_IPSEC  # new IPsec (cannot define w/ IPSEC)
         </screen>
 
         <para>IPsec-ийн KAME шийдлийн оронд <quote>Fast IPsec</quote> 
 	дэд системийг ашиглах боломж одоогоор байхгүйг тэмдэглэе. Дэлгэрэнгүй 
 	мэдээллийг &man.fast.ipsec.4; гарын авлагын хуудаснаас 
 	лавлана уу.</para>
       </note>
 
       <note>
 	<para>Галт хануудад &man.gif.4; туннелийн төлөвийг бас зөв дагаж 
 	мөрдөх боломжийг олгохын тулд та өөрийн цөмийн тохиргооны файлдаа 
 	<option>IPSEC_FILTERGIF</option> тохируулгыг идэвхжүүлэх 
 	хэрэгтэй:</para>
 
 	<screen>
 options   IPSEC_FILTERGIF  #filter ipsec packets from a tunnel
 	</screen>
       </note>
   
       <indexterm>
 	<primary>IPsec</primary>
 	<secondary>ESP</secondary>
       </indexterm>
   
       <indexterm>
 	<primary>IPsec</primary>
 	<secondary>AH</secondary>
       </indexterm>
 
       <para>IPsec нь хоёр дэд протоколоос тогтоно:</para>
 
       <itemizedlist>
         <listitem>
           <para><emphasis>Encapsulated Security Payload
 	      (ESP) буюу Хайрцаглагдсан Аюулгүй байдлын ачаа</emphasis> нь 
 		гуравдагчийн нөлөөллөөс тэгш хэмт криптограф алгоритмийг 
 		(Blowfish, 3DES-тэй адил) ашиглан агуулгыг нь шифрлэж 
 		IP пакетийн өгөгдлийг хамгаалдаг.</para>
         </listitem>
         <listitem>
           <para><emphasis>Authentication Header (AH) буюу Нэвтрэлт Танилтын 
 		Толгой</emphasis> нь аюулгүй хэш хийх функцаар IP пакетийн толгойн 
 		талбаруудыг хэш хийн криптограф хянах нийлбэрийг тооцоолон гуравдагч 
 		этгээдийн нөлөөлөл болон хууран мэхлэлтээс IP пакетийн толгойг 
 		хамгаалдаг. Үүний дараа пакет дахь мэдээллийг таниулахыг зөвшөөрөх 
 		хэшийг агуулсан нэмэлт толгой байдаг.</para>
         </listitem>
       </itemizedlist>
       
       <para><acronym>ESP</acronym> болон <acronym>AH</acronym> нь 
 	орчноосоо хамаараад хоёулаа цуг эсвэл тусдаа ашиглагдаж болно.</para>
       
       <indexterm>
 	<primary>VPN</primary>
       </indexterm>
 
       <indexterm>
 	<primary>виртуал хувийн сүлжээ</primary>
 	<see>VPN</see>
       </indexterm>
 
       <para>IPsec нь хоёр хостын хоорондох урсгалыг шууд шифрлэх (<emphasis>Transport
 	  Mode буюу Тээвэрлэх Горим</emphasis> гэгддэг) буюу эсвэл 
 	хоёр корпорацийн сүлжээний хооронд аюулгүй холбоонд ашиглагдаж болох 
 	<quote>виртуал туннелиуд</quote> (<emphasis>Tunnel Mode буюу Туннелийн 
 	Горим</emphasis> гэгддэг) бүтээхэд хэрэглэгдэж болох юм. Сүүлийнх нь ерөнхийдөө 
 	<emphasis>Виртуал Хувийн Сүлжээ (VPN)</emphasis> гэгддэг. 
 	FreeBSD-ийн IPsec дэд системийн талаар дэлгэрэнгүй мэдээллийг 
 	&man.ipsec.4; гарын авлагын хуудаснаас лавлах хэрэгтэй.</para>
       
       <para>Өөрийн цөмдөө IPsec дэмжлэгийг нэмэхийн тулд та дараах тохируулгуудыг 
 	цөмийн тохиргоондоо нэмээрэй:</para>
 
       <indexterm>
 	<primary>цөмийн тохируулгууд</primary>
 	<secondary>IPSEC</secondary>
       </indexterm>
 
       <indexterm>
 	<primary>цөмийн тохируулгууд</primary>
 	<secondary>IPSEC_ESP</secondary>
       </indexterm>
 
       <screen>
 options   IPSEC        #IP security
 options   IPSEC_ESP    #IP security (crypto; define w/ IPSEC)
       </screen>
 
       <indexterm>
 	<primary>цөмийн тохируулгууд</primary>
 	<secondary>IPSEC_DEBUG</secondary>
       </indexterm>
 
       <para>Хэрэв IPsec дибаг хийх дэмжлэг заавал хэрэгтэй бол дараах цөмийн тохируулга 
 	бас нэмэгдсэн байх шаардлагатай:</para>
 
       <screen>
 options   IPSEC_DEBUG  #debug for IP security
       </screen>
     </sect2>
 
     <sect2>
       <title>Асуудал</title>
  
       <para>VPN-ийг байгуулахад ямар нэг стандарт байхгүй. VPN-үүд нь өөр өөрийн давуу болон сул 
 	талуудтай төрөл бүрийн технологиудыг ашиглан хийгдэж болно. Энэ хэсэг нь 
 	нэг тохиолдлын загвар үзүүлэх бөгөөд энэ тохиолдол дахь VPN-ийг хийхэд 
 	хэрэглэгдэх стратегиудыг харуулах болно.</para>
     </sect2>
     
     <sect2> 
       <title>Тохиолдол: Интернэтэд холбогдсон, нэг юм шиг ажиллах хоёр сүлжээ</title>
       
       <indexterm>
 	<primary>VPN</primary>
 	<secondary>үүсгэх</secondary>
       </indexterm>
 
       <para>Угтвар нөхцөл дараах маягийн байна:</para>
       
       <itemizedlist>
         <listitem>
           <para>Та хамгийн багадаа хоёр сайттай байна</para>
         </listitem>
         <listitem>
           <para>Хоёр сайт хоёулаа IP-г дотооддоо ашигладаг</para>
         </listitem>
         <listitem>
           <para>FreeBSD дээр нь ажилладаг гарц компьютераар хоёр сайт хоёулаа 
 		Интернэтэд холбогдсон.</para>
         </listitem>
         <listitem>
           <para>Хоёр сүлжээний гарц компьютер бүр хамгийн багаар бодоход нэг нийтийн IP 
 		хаягтай.</para>
         </listitem>
         <listitem>
           <para>Хоёр сүлжээний дотоод хаягууд нь нийтийн эсвэл хувийн IP хаягууд байж 
 		болох юм, энэ нь хамаагүй. Та гарц машин дээр хэрэв шаардлагатай бол 
 		NAT ажиллуулсан байж болох юм.</para>
         </listitem>
         <listitem>
           <para>Хоёр сүлжээний дотоод IP хаягууд <emphasis>мөргөлдөхгүй</emphasis>.
 		Үүнийг ажиллуулахын тулд VPN технологи болон NAT-ийн хослолыг ашиглах нь 
 		онолын хувьд боломжтой боловч би үүнийг хар дарсан зүүд шигээр тохиргоо их төвөгтэй 
 		байх болов уу гэж бодож байна.</para>
         </listitem>
       </itemizedlist>
       
       <para>Хоёр сүлжээ дотооддоо хоёулаа адилхан хувийн IP хаягийн хүрээ (өөрөөр хэлбэл 
 	хоёулаа <hostid role="ipaddr">192.168.1.x</hostid>) ашиглаж байгаа хоёр 
 	сүлжээг холбохыг оролдож байгаагаа хэрэв та мэдэх юм бол  аль нэг сүлжээний IP-г дахин 
 	дугаарлах шаардлагатай болно.</para>
  
       <para>Сүлжээний бүтэц иймэрхүү харагдаж болох юм:</para>
  
       <mediaobject>
 	<imageobject>
 	  <imagedata fileref="security/ipsec-network" align="center">
 	</imageobject>
 
 	<textobject>
 <literallayout class="monospaced">Сүлжээ #1            [ Дотоод хостууд ]    Хувийн Сүлжээ, 192.168.1.2-254
                       [   Win9x/NT/2K  ]
                       [      UNIX      ]
                                |
                                |
                         .---[fxp1]---.      Хувийн IP, 192.168.1.1
                         |   FreeBSD  |
                         `---[fxp0]---'      Нийтийн IP, A.B.C.D
                                |
                                |
                       -=-=- Интернэт -=-=-
                                |
                                |
                         .---[fxp0]---.      Нийтийн IP, W.X.Y.Z
                         |   FreeBSD  |
                         `---[fxp1]---'      Хувийн IP, 192.168.2.1
                                |
                                |
 Сүлжээ #2            [ Internal Hosts ]
                       [   Win9x/NT/2K  ]    Хувийн Сүлжээ, 192.168.2.2-254
                       [      UNIX      ]</literallayout>
 	</textobject>
       </mediaobject>
  
       <para>Хоёр нийтийн IP хаяг байгааг анзаарна уу. Нийтлэлийн туршид би эдгээрийг үсгээр 
 	орлуулан ашиглах болно. Энэ нийтлэлийн туршид тохиолдох эдгээр үсэгнүүдийн оронд өөрийн 
 	нийтийн хаягаар орлуулж тавиарай. Мөн дотроо хоёр гарц машин маань .1 IP хаягтай 
 	бөгөөд хоёр сүлжээ маань өөр өөр хувийн IP хаягийн хүрээтэйг (<hostid
         role="ipaddr">192.168.1.x</hostid> болон <hostid
         role="ipaddr">192.168.2.x</hostid>) анхаарна уу. Хувийн сүлжээнүүд дэх бүх 
 	машинууд өөрсдийн анхдагч гарцдаа <hostid role="ipaddr">.1</hostid> 
 	машиныг ашиглахаар тохируулсан байгаа болно.</para>
  
       <para>Гол зорилго нь сүлжээ талаасаа авч үзэх юм бол сүлжээ болгон нөгөө сүлжээнийхээ машинуудыг 
 	яг л нэг чиглүүлэгчид холбоотой юм шиг харж чадан ажиллаж байх ёстой -- гэвч энэ чиглүүлэгч нь 
 	хааяа пакетуудыг гээдэг илүү удаан чиглүүлэгч байх юм.</para>
  
       <para>Энэ нь (жишээ нь) <hostid role="ipaddr">192.168.1.20</hostid> машин 
 	дараах тушаалыг ажиллуулж</para>
  
       <programlisting>ping 192.168.2.34</programlisting>
  
       <para>нэвт ажиллаж чадах ёстой гэсэн үг юм. &windows; машинууд 
 	өөр сүлжээн дээр байх машинуудыг харж файлын хуваалцал санг үзэх зэргийг хийж 
 	локал сүлжээн дээр байгаа машинуудыг харж үзэж чаддаг шигээр ажиллаж чадаж байх 
 	ёстой.</para>
  
       <para>Тэгээд бүх юм аюулгүй байх хэрэгтэй. Энэ нь хоёр сүлжээний хоорондох 
 	урсгал шифрлэгдэх ёстой гэсэн үг юм.</para>
  
       <para>Эдгээр хоёр сүлжээний хооронд VPN үүсгэх нь олон алхамтай 
 	процесс юм.  Эдгээр нь:</para>
  
       <orderedlist>
         <listitem>
           <para>Интернэтийн дагуу хоёр сүлжээний хооронд <quote>виртуал</quote> 
 		сүлжээний холболт үүсгэнэ.  Ажиллаж байгааг нь шалгаж &man.ping.8; зэрэг 
 		багажуудыг ашиглаж тест хийгээрэй.</para>
         </listitem>
  
         <listitem>
           <para>Хоёр сүлжээний хоорондох урсгал харагдахгүйгээр шифрлэгдэж 
 		шаардлагатай бол буцаан шифрлэгдэх тэр боломжийг бүрдүүлэх 
 		аюулгүй байдлын бодлогуудыг зааж өгөөрэй. Урсгал шифрлэгдэж 
 		байгааг эсэхийг шалгаж &man.tcpdump.1; зэрэг багажууд ашиглан 
 		тест хийгээрэй.</para>
         </listitem>
 
         <listitem>
           <para>VPN-ийн дагуу &windows; машинууд нэг нь нөгөөгөө харж байхыг 
 		зөвшөөрөх нэмэлт програм хангамжийг FreeBSD гарц машинууд дээр 
 		тохируулаарай.</para>
         </listitem>
       </orderedlist>
 
     <sect3>
       <title>Алхам 1: <quote>виртуал</quote> сүлжээний холболт үүсгэн тест хийх</title>
  
       <para>Сүлжээ #1 дээрх гарц машин (<hostid role="ipaddr">A.B.C.D</hostid> 
 	нийтийн IP хаягтай, <hostid role="ipaddr">192.168.1.1</hostid> хувийн 
 	IP хаягтай) уруу та нэвтрэн орсон бөгөөд <hostid role="ipaddr">W.X.Y.Z</hostid> 
 	IP хаягтай машины хувийн хаяг уруу нь <command>ping 192.168.2.1</command> 
 	гэж тушаал ажиллуулъя гэж бодъё. Ингэж ажиллахын тулд юу болох ёстой вэ?</para>
 
       <orderedlist>
         <listitem>
           <para>Гарц машин <hostid role="ipaddr">192.168.2.1</hostid> уруу 
 		яаж хүрэхээ мэдэх ёстой. Өөрөөр хэлбэл энэ нь <hostid
             role="ipaddr">192.168.2.1</hostid> уруу хийгдсэн чиглүүлэлттэй 
 		байх хэрэгтэй.</para>
         </listitem>
         <listitem>
           <para><hostid role="ipaddr">192.168.x</hostid> зэрэг хувийн 
 		IP хаягууд Интернэт дээр бараг үзэгдэх ёсгүй. Харин 
 		<hostid role="ipaddr">192.168.2.1</hostid> уруу таны илгээсэн 
 		пакет бүр өөр пакет дотор орсон байх ёстой. Энэ пакет нь 
 		<hostid role="ipaddr">A.B.C.D</hostid> машинаас ирсэн маягаар 
 		байх ёстой бөгөөд <hostid role="ipaddr">W.X.Y.Z</hostid> уруу 
 		илгээгдэх ёстой. Энэ процессийг <firstterm>encapsulation</firstterm> 
 		буюу хайрцаглалт гэж нэрлэдэг.</para>
         </listitem>
         <listitem>
           <para>Энэ пакет нь <hostid role="ipaddr">W.X.Y.Z</hostid> дээр ирээд 
 		<quote>unencapsulated</quote> буюу буцааж ялгагдан 
 		<hostid role="ipaddr">192.168.2.1</hostid> уруу хүргэгдэх 
 		хэрэгтэй.</para>
 	</listitem>
       </orderedlist>
  
       <para>Та үүнийг хоёр сүлжээний хоорондох <quote>туннель</quote> 
 	гэж ойлгож болно. <quote>Туннелийн хоёр амсар</quote> нь 
 	<hostid role="ipaddr">A.B.C.D</hostid> болон <hostid
         role="ipaddr">W.X.Y.Z</hostid> IP хаягууд бөгөөд туннельд 
 	түүгээр дамжин өнгөрөх хувийн IP хаягуудыг мэдэгдсэн байх шаардлагатай. 
 	Туннель нь нийтийн Интернэтээр хувийн IP хаягтай урсгалыг дамжуулахад 
 	хэрэглэгдэнэ.</para>
  
       <para>Энэ туннель нь ерөнхий интерфэйс эсвэл FreeBSD дээрх <devicename>gif</devicename> 
 	төхөөрөмж ашиглан үүсгэгддэг. Таны бодсоноор гарц машин бүр дээрх 
 	<devicename>gif</devicename> интерфэйс нь дөрвөн IP хаягтай 
 	байхаар тохируулагдсан байх шаардлагатай; хоёр нь нийтийн IP хаяг, 
 	хоёр нь хувийн IP хаяг.</para>
  
       <para>Хоёр машины хувьд gif төхөөрөмжийн дэмжлэг &os;-ийн цөмд эмхэтгэгдсэн 
 	байх шаардлагатай. Та дараах мөрийг:</para>
  
       <programlisting>device gif</programlisting>
  
       <para>хоёр машины цөмийн тохиргооны файлд хийн дараа нь эмхэтгэн суулгаж дахин 
 	ачаалснаар үүнийг хийж болно.</para>
  
       <para>Туннелийг тохируулах нь хоёр алхамтай процесс юм. Эхлээд туннельд ямар гадаад 
 	(эсвэл нийтийн) IP хаягууд байгааг &man.ifconfig.8; ашиглан мэдэгдэх 
 	ёстой. Тэгээд дараа нь хувийн IP хаягуудыг &man.ifconfig.8; тушаал ашиглан 
 	тохируулах ёстой.</para>
  
       <para>Сүлжээ #1 дэх гарц машин дээр туннелийг тохируулахын тулд та дараах тушаалуудыг 
 	ашиглах болно.</para>
  
       <screen>&prompt.root; <userinput>ifconfig <replaceable>gif0</replaceable> create</userinput>
 &prompt.root; <userinput>ifconfig <replaceable>gif0</replaceable> tunnel <replaceable>A.B.C.D</replaceable> <replaceable>W.X.Y.Z</replaceable></userinput>
 &prompt.root; <userinput>ifconfig <replaceable>gif0</replaceable> inet <replaceable>192.168.1.1</replaceable> <replaceable>192.168.2.1</replaceable> netmask <replaceable>0xffffffff</replaceable></userinput>
       </screen>
 
       <para>Нөгөө нэг гарц машин дээр та адил тушаалуудыг гэхдээ IP хаягуудын дарааллыг 
 	эсрэгээр тавин ажиллуулна.</para>
 
       <screen>&prompt.root; <userinput>ifconfig <replaceable>gif0</replaceable> create</userinput>
 &prompt.root; <userinput>ifconfig <replaceable>gif0</replaceable> tunnel <replaceable>W.X.Y.Z</replaceable> <replaceable>A.B.C.D</replaceable></userinput>
 &prompt.root; <userinput>ifconfig <replaceable>gif0</replaceable> inet <replaceable>192.168.2.1</replaceable> <replaceable>192.168.1.1</replaceable> netmask <replaceable>0xffffffff</replaceable></userinput>
       </screen>
  
       <para>Та дараа нь:</para>
  
       <programlisting>ifconfig gif0</programlisting>
  
       <para>ажиллуулж тохиргоог харж болно.  Жишээ нь сүлжээ #1 дээрх гарц машин 
 	дээр та үүнийг харах болно:</para>
  
       <screen>&prompt.root; <userinput>ifconfig gif0</userinput>
 gif0: flags=8051&lt;UP,POINTOPOINT,RUNNING,MULTICAST&gt; mtu 1280
         tunnel inet A.B.C.D --&gt; W.X.Y.Z
         inet 192.168.1.1 --&gt; 192.168.2.1 netmask 0xffffffff
       </screen>
 
       <para>Эндээс харахад <hostid role="ipaddr">A.B.C.D</hostid> болон 
         <hostid role="ipaddr">W.X.Y.Z</hostid> физик хаягуудын хооронд туннель 
 	үүссэн бөгөөд туннелээр зөвшөөрөгдөх урсгал нь <hostid
         role="ipaddr">192.168.1.1</hostid> болон <hostid
         role="ipaddr">192.168.2.1</hostid>-ийн хооронд байна.</para>
  
       <para>Энэ нь бас хоёр машин дээрх чиглүүлэлтийн хүснэгтэд бас оруулга нэмсэн байх 
 	бөгөөд та үүнийг <command>netstat -rn</command> тушаал ашиглан шалгаж 
 	болно. Доорх гаралт нь сүлжээ #1 дэх гарц машиных юм.</para>
  
       <screen>&prompt.root; <userinput>netstat -rn</userinput>
 Routing tables
  
 Internet:
 Destination      Gateway       Flags    Refs    Use    Netif  Expire
 ...
 192.168.2.1      192.168.1.1   UH        0        0    gif0
 ...
       </screen>
  
       <para><quote>Flags</quote> утгын харуулж байгаагаар энэ нь хостын чиглүүлэлт 
 	бөгөөд энэ нь гарц бүр нөгөө гарц уруу хэрхэн хүрэхээ мэдэх боловч тэд харин 
 	өөрсдийнхөө харгалзах сүлжээнүүд уруу хэрхэн хүрэхээ мэдэхгүй гэсэн үг юм. 
 	Энэ асуудлыг удахгүй засварлах болно.</para>
  
       <para>Энэ нь хоёр машин дээр хоёулан дээр нь галт хана ажиллаж гэсэн үг юм. 
 	Таны VPN урсгалын хувьд үүнийг тойрон гарах шаардлагатай. Та хоёр сүлжээний 
 	хоорондох бүх урсгалыг зөвшөөрөх юм уу эсвэл VPN-ий хоёр төгсгөлийг нэгээс нөгөөг 
 	хамгаалах галт ханын дүрмүүдийг оруулж болох юм.</para>
  
       <para>Хэрэв VPN-ээр өнгөрөх бүх урсгалыг зөвшөөрөхөөр галт ханыг тохируулах 
 	юм бол энэ нь тест хийхийг ихээхэн амарчлах болно. Та дараа нь хэзээ ч галт ханаа 
 	илүү чангаруулж болно. Хэрэв та &man.ipfw.8; тушаалыг гарц машинууд дээр 
 	ашиглаж байгаа бол дараах</para>
 
       <programlisting>ipfw add 1 allow ip from any to any via gif0</programlisting>
  
       <para>тушаал нь хоёр төгсгөлийн цэгийн хоорондох бүх урсгалыг таны галт ханын 
 	бусад дүрмүүдийг хөндөлгүйгээр зөвшөөрөх болно. Мэдээж та энэ тушаалыг хоёр 
 	гарц хост дээр хоёулан дээр ажиллуулах хэрэгтэй болно.</para>
  
       <para>Нэг гарц машинаас нөгөө уруугаа ping хийхийг зөвшөөрөхөд хангалттай.
 	<hostid role="ipaddr">192.168.1.1</hostid> дээр та дараах 
 	</para>
  
       <programlisting>ping 192.168.2.1</programlisting>
  
       <para>тушаалыг ажиллуулж хариу хүлээж авахаас гадна мөн нөгөө гарц машин 
 	дээрээс бас ингэж хийж чадаж байх ёстой.</para>
  
       <para>Гэхдээ та хоёр сүлжээний дотоод машинууд уруу арай хүрч чадахгүй байх 
 	ёстой. Энэ нь чиглүүлэлтээс болж байгаа юм -- гарц машинууд бие бие уруугаа 
 	хэрхэн хүрэхээ мэдэж байгаа боловч нэг нэгнийнхээ цаана байгаа сүлжээнд хэрхэн 
 	хүрэхийг мэдэхгүй.</para>
  
       <para>Энэ асуудлыг шийдэхийн тулд та гарц машин бүр дээр статик чиглүүлэлт нэмэх 
 	хэрэгтэй. Эхний гарц дээр хийх тушаал нь:</para>
  
       <programlisting>route add 192.168.2.0 192.168.2.1 netmask 0xffffff00
       </programlisting>
  
       <para>Энэ нь <quote><hostid role="ipaddr">192.168.2.0</hostid> сүлжээний 
 	хостуудад хүрэхийн тулд пакетуудыг <hostid role="ipaddr">192.168.2.1</hostid> 
 	хост уруу  илгээ</quote> гэж байна. Та үүнтэй адил тушаалыг нөгөө гарц дээр бас 
 	ажиллуулах хэрэгтэй бөгөөд гэхдээ <hostid role="ipaddr">192.168.1.x</hostid> 
 	хаягуудыг ашиглах ёстой.</para>
  
       <para>Одоо нэг сүлжээн дэх хостуудын IP урсгал нөгөө сүлжээний хостуудад хүрэх боломжтой 
 	болно.</para>
  
       <para>Энэ нь одоо хоёр сүлжээний хооронд VPN-ий гуравны хоёрыг үүсгэж байгаа бөгөөд 
 	аль болох <quote>виртуал</quote>аар үүсгэгдсэн <quote>сүлжээ</quote> юм. 
 	Энэ нь одоохондоо хувийн биш байгаа. Та үүнийг &man.ping.8; болон &man.tcpdump.1;
 	ашиглан тест хийж болно. Гарц хост уруу нэвтрэн орж дараах тушаалыг ажиллуулна</para>
  
       <programlisting>tcpdump dst host 192.168.2.1</programlisting>
 
       <para>Тэр хост дээрээ өөр сессээр дараах тушаалыг ажиллуулна</para>
 
       <programlisting>ping 192.168.2.1</programlisting>
  
       <para>Та иймэрхүү гаралтыг харах болно:</para>
  
       <programlisting>
 16:10:24.018080 192.168.1.1 &gt; 192.168.2.1: icmp: echo request
 16:10:24.018109 192.168.1.1 &gt; 192.168.2.1: icmp: echo reply
 16:10:25.018814 192.168.1.1 &gt; 192.168.2.1: icmp: echo request
 16:10:25.018847 192.168.1.1 &gt; 192.168.2.1: icmp: echo reply
 16:10:26.028896 192.168.1.1 &gt; 192.168.2.1: icmp: echo request
 16:10:26.029112 192.168.1.1 &gt; 192.168.2.1: icmp: echo reply
       </programlisting>
  
       <para>Эндээс харахад ICMP мэдэгдлүүд нааш цааш шифрлэгдэлгүй явж байна. 
 	Хэрэв та пакетуудаас өгөгдлийн байтуудыг илүүтэйгээр авахын тулд &man.tcpdump.1; 
 	уруу <option>-s</option> параметрийг өгч ашигласан бол илүү мэдээлэл 
 	та харж болох юм.</para>
  
       <para>Энэ нь мэдээж хүлээн авах боломжгүй зүйл юм. Дараагийн хэсэгт 
 	хоёр сүлжээний хоорондох холболтыг бүх урсгал нь автоматаар шифрлэгдэхээр   
 	аюулгүй болгох талаар хэлэлцэх болно.</para>
  
       <itemizedlist>
         <title>Дүгнэн хэлэхэд:</title>
         <listitem>
           <para>Хоёр цөмийг <quote>device gif</quote> мөртэйгөөр тохируулна.</para>
         </listitem>
         <listitem>
           <para>Гарц хост #1 дээрх <filename>/etc/rc.conf</filename> файлд засвар хийн 
 		дараах мөрүүдийг нэмнэ (шаардлагатай тохиолдолд IP хаягуудыг сольно).</para>
           <programlisting>gif_interfaces="gif0"
 gifconfig_gif0="A.B.C.D W.X.Y.Z"
 ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff"
 static_routes="vpn"
 route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00"
           </programlisting>
         </listitem>
 
         <listitem>
           <para>Хоёр хост дээрх гарц скриптийг (<filename>/etc/rc.firewall</filename>, 
 		эсвэл үүнтэй адил) засварлаж доор дурдсаныг нэмнэ.</para>
 
           <programlisting>ipfw add 1 allow ip from any to any via gif0</programlisting>
         </listitem>
         <listitem>
           <para>IP хаягуудын дарааллыг эсрэгээр болгон гарц хост #2 дээрх 
 		<filename>/etc/rc.conf</filename> файлд адил өөрчлөлтийг 
 		хийнэ.</para>
         </listitem>
       </itemizedlist>
     </sect3>
 
     <sect3>
       <title>Алхам 2: Холболтыг аюулгүй болгох</title>
  
       <para>Холболтыг аюулгүй болгохын тулд бид IPsec-ийг ашиглах болно. IPsec нь 
 	хоёр хостыг шифрлэлтийн түлхүүр дээр зөвшилцүүлж дараа нь уг хоёр хостын хооронд 
 	өгөгдлийг шифрлэхийн тулд энэ түлхүүрийг ашиглах арга замыг өгдөг.</para>
  
       <para>Энд тохиргооны хоёр талбарыг бодолцох хэрэгтэй.</para>
  
       <orderedlist>
         <listitem>
           <para>Ашиглах шифрлэлтийн арга зам дээр хоёр хост зөвшилцөх тийм арга зам 
 		байх ёстой. Хоёр хост энэ арга зам дээр зөвшилцсөний дараа тэдгээрийн 
 		хооронд <quote>аюулгүй байдлын нэгдэл</quote> байна гэж 
 		үздэг.</para>
         </listitem>
         <listitem>
           <para>Аль урсгалыг шифрлэх ёстойг заах арга зам байх ёстой. Мэдээж та өөрийн бүх 
 		гарч байгаа урсгалаа шифрлэхийг хүсэхгүй байх -- та зөвхөн VPN-ий хэсэг 
 		болсон урсгалыг шифрлэхийг хүснэ. Аль урсгалыг шифрлэхийг тодорхойлохын 
 		тулд хийгдэх дүрмүүд нь <quote>security policies</quote> буюу 
 		<quote>аюулгүй байдлын бодлогууд</quote> гэгдэнэ.</para>
          </listitem>
        </orderedlist>
  
        <para>Аюулгүй байдлын нэгдлүүд болон аюулгүй байдлын бодлогуудын ажиллагааг 
 	цөм хангаж байдаг бөгөөд хэрэглэгчдийн талбарын програмуудаар засварлагдаж 
 	болно. Гэхдээ үүнийг хийхийн өмнө IPsec болон Encapsulated 
 	Security Payload (ESP) буюу Хайрцаглагдсан Аюулгүй байдлын Ачаа 
 	протоколыг цөм дэмжихээр та тохируулах хэрэгтэй. Цөмийг:</para>
  
        <indexterm>
 	 <primary>цөмийн тохируулгууд</primary>
 	 <secondary>IPSEC</secondary>
        </indexterm>
 
        <programlisting>options IPSEC
 options IPSEC_ESP
        </programlisting>
  
        <para>тохируулгатай тохируулан дахин эмхэтгэж суулгаад ачаалан үүнийг хийнэ. 
 	Урьдын адил та хоёр гарц машин дээрх цөмийн хувьд үүнийг хийх ёстой.</para>
  
        <indexterm>
 	 <primary>IKE</primary>
        </indexterm>
 
        <para>Аюулгүй байдлын нэгдлүүдийг тохируулах үед танд хоёр сонголт байна.
 	Шифрлэлтийн алгоритм, шифрлэлтийн түлхүүрүүд гэх зэргүүдийг сонгож 
 	тэдгээр нэгдлүүдийг хоёр хостын хооронд гараараа тохируулж болох бөгөөд 
 	эсвэл эдгээрийг хийх Internet Key Exchange protocol (IKE) буюу 
 	Интернэтийн Түлхүүр Солилцох протоколыг шийддэг дэмонуудыг та ашиглаж 
 	болно.</para>
  
        <para>Би сүүлийнхийг зөвлөж байна.  Өөр бусдыг тооцохгүй юм бол үүнийг 
 	тохируулах нь амархан.</para>
  
        <indexterm>
 	 <primary>IPsec</primary>
 	 <secondary>аюулгүй байдлын бодлогууд</secondary>
        </indexterm>
 
        <indexterm>
 	 <primary><command>setkey</command></primary>
        </indexterm>
 
        <para>Аюулгүй байдлын бодлогуудыг засварлах болон үзүүлэхдээ &man.setkey.8;-г 
 	ашиглан хийдэг. Адилтгах юм бол <command>setkey</command> нь цөмийн 
 	аюулгүй байдлын бодлогын хүснэгтүүдэд &man.route.8; цөмийн чиглүүлэлтийн 
 	хүснэгтүүдэд зориулагдсан шиг зориулагдсан байна. <command>setkey</command> 
 	нь бас одоогийн аюулгүй байдлын нэгдлүүдийг үзүүлж чадах бөгөөд адилтган  
 	цааш үргэлжлүүлбэл энэ нь бас <command>netstat -r</command> тушаалын 
 	нэгэн адил болох юм.</para>
  
        <para>FreeBSD-ээр аюулгүй байдлын нэгдлүүдийг удирдах дэмонуудын хувьд хэд хэдэн 
 	сонголт байдаг. Энэ нийтлэл нь эдгээрийн нэг &os;-ийн Портуудын цуглуулгын 
 	<filename role="package">security/ipsec-tools</filename>-д байдаг 
-	racoon-ийг хэрхэн ашиглах талаар тайлбарлах болно.</para>
+	<application>racoon</application>-ийг хэрхэн ашиглах талаар тайлбарлах болно.</para>
  
        <indexterm>
 	 <primary>racoon</primary>
        </indexterm>
 
        <para><application>racoon</application> програм хангамж хоёр гарц машин 
 	дээр хоёулан дээр нь ажиллах ёстой. Энэ нь хост бүр дээр VPN-ий нөгөө төгсгөлийн IP хаяг болон
 	нууц түлхүүртэйгээр (таны сонгох түлхүүр байх бөгөөд хоёр гарц машин дээр ижил байх ёстой) 
 	тохируулагддаг.</para>
  
        <para>Дараа нь хоёр дэмон нэг нэгэндээ хандаж тэдгээр нь өөрсдөө хэн хэн гэж хэлснээ  
 	(таны тохируулсан нууц түлхүүрийг ашиглан) баталгаажуулдаг. Дэмонууд дараа нь 
 	шинэ нууц түлхүүрийг үүсгэж түүнийг ашиглан VPN-ээр урсгалыг шифрлэдэг. 
 	Тэд энэ нууцаа үе үе өөрчилдөг бөгөөд халдагч түлхүүрүүдийн аль нэгийг эвдсэн ч (цагаа 
 	тулахаар энэ нь онолын хувьд бараг боломжгүй зүйл) гэсэн энэ нь халдагчид муу юм 
 	хийх боломж олгодоггүй -- түлхүүрийг эвдэх тэр үед хоёр дэмон өөр түлхүүрийг сонгосон байна.</para>
  
-       <para>racoon-ий тохиргооны файл <filename>${PREFIX}/etc/racoon</filename>-д 
+       <para><application>racoon</application>-ий тохиргооны файл <filename>${PREFIX}/etc/racoon</filename>-д 
 	байрлана. Та энд тохиргооны файлыг олох ёстой бөгөөд түүнд нэг их өөрчлөлт хийгдэх ёсгүй. 
-	Таны өөрчлөх шаардлагатай racoon-ий тохиргооны файлын өөр нэг бүрэлдэхүүн хэсэг нь 
+	Таны өөрчлөх шаардлагатай <application>racoon</application>-ий тохиргооны файлын өөр нэг бүрэлдэхүүн хэсэг нь 
 	<quote>pre-shared key буюу урьдчилан хуваалцсан түлхүүр</quote> юм.</para>
  
-       <para>racoon-ий анхдагч тохиргоо үүнийг <filename>${PREFIX}/etc/racoon/psk.txt</filename>-д 
+       <para><application>racoon</application>-ий анхдагч тохиргоо үүнийг <filename>${PREFIX}/etc/racoon/psk.txt</filename>-д 
 	байгаа гэж боддог. Урьдчилан хуваалцсан түлхүүр нь таны урсгалыг VPN-ийн дагуу шифрлэх 
 	түлхүүр <emphasis>биш</emphasis> бөгөөд харин энэ нь ердөө л түлхүүр удирдах дэмонуудыг нэг нь 
 	нөгөөдөө итгэхийг зөвшөөрөх токен гэдгийг тэмдэглэж хэлэх нь зүйтэй юм.</para>
 
        <para><filename>psk.txt</filename> нь таны ажиллаж байгаа алсын сайт бүрийн 
 	мөрийг агуулсан байна. Хоёр сайт бүхий энэ жишээн дээр <filename>psk.txt</filename> 
 	файл бүр нэг мөрийг агуулсан байна (VPN-ий төгсгөлүүд бүр зөвхөн нөгөө төгсгөлтэйгээ 
 	ажилладаг).</para>
  
        <para>Гарц хост #1 дээр энэ мөр иймэрхүү харагдах ёстой:</para>
  
        <programlisting>W.X.Y.Z            secret</programlisting>
  
        <para>Энэ нь алсын төгсгөлийн <emphasis>нийтийн</emphasis> IP хаяг, хоосон зай, 
 	тэгээд нууц үгийг илэрхийлэх текст мэдээлэл байна. Мэдээж та өөрийн түлхүүртээ 
 	<quote>secret</quote> гэдгийг ашиглах ёсгүй -- нууц үгийг сонгох энгийн дүрэм энд 
 	үйлчилнэ.</para>
  
        <para>Гарц хост #2 дээр энэ мөр иймэрхүү харагдах ёстой</para>
  
        <programlisting>A.B.C.D            secret</programlisting>
  
        <para>Энэ нь алсын төгсгөлийн IP хаяг болон адилхан нууц түлхүүр байна. 
-	<filename>psk.txt</filename> нь racoon ажиллахаас өмнө 
+	<filename>psk.txt</filename> нь <application>racoon</application> ажиллахаас өмнө 
 	<literal>0600</literal> (өөрөөр хэлбэл <username>root</username>-д 
 	зөвхөн унших/бичих) горимд байна.</para>
  
-       <para>Та racoon-ийг хоёр гарц машин дээр ажиллуулах ёстой. Та бас 
+       <para>Та <application>racoon</application>-ийг хоёр гарц машин дээр ажиллуулах ёстой. Та бас 
 	UDP-ээр ISAKMP (Internet Security Association
          Key Management Protocol буюу Интернэтийн Аюулгүй байдлын Нэгдлийн Түлхүүр 
 	Удирдах Протокол) порт уруу зөөгдөх IKE урсгалыг зөвшөөрөх галт ханын зарим 
 	дүрмүүдийг нэмэх хэрэгтэй. Дахин хэлэхэд энэ нь таны галт ханын дүрмийн олонлогт 
 	нэлээн эрт байх шаардлагатай.</para>
  
        <programlisting>ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp
 ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp
        </programlisting>
  
-       <para>racoon ажилласны дараа та нэг гарц хостоос нөгөө гарц хост уруу ping хийж 
-	үзэж болно. Холболт нь шифрлэгдээгүй байх боловч racoon дараа нь аюулгүй байдлын 
+       <para><application>racoon</application> ажилласны дараа та нэг гарц хостоос нөгөө гарц хост уруу ping хийж 
+	үзэж болно. Холболт нь шифрлэгдээгүй байх боловч <application>racoon</application> дараа нь аюулгүй байдлын 
 	нэгдлүүдийг хоёр хостын хооронд тохируулна -- энэ нь хором болж өнгөрч болох бөгөөд 
 	ping тушаал хариу өгч эхлэх хүртэл богино саатал маягаар танд харагдаж болох юм.</para>
  
        <para>Аюулгүй байдлын нэгдэл тохируулагдсаны дараа та үүнийг &man.setkey.8; ашиглан 
 	үзэж болно.</para>
  
        <programlisting>setkey -D</programlisting>
  
        <para>тушаалыг аль нэг хост дээр ажиллуулж аюулгүй байдлын нэгдлийн мэдээллийг харна.</para>
  
        <para>Энэ нь асуудлын нэг хагас нь юм.  Нөгөө нэг хагас нь өөрийн аюулгүй байдлын 
 	бодлогуудыг тохируулах явдал юм.</para>
  
        <para>Ухаалаг аюулгүй байдлын бодлогыг үүсгэхийн тулд энэ хүртэл юуг хийснээ эргэн 
 	харцгаая. Энэ хэлэлцээ нь холболтын төгсгөлийн хоёулангийнх нь  хувьд авч 
 	үзнэ.</para>
  
        <para>Таны гадагш илгээх IP пакет бүр пакетийн тухай өгөгдлийг агуулах толгойтой 
 	байдаг. Толгой нь эхлэл болон төгсгөлийн IP хаягуудыг агуулдаг. Бидний мэдэж 
 	байгаагаар <hostid role="ipaddr">192.168.x.y</hostid> зэрэг 
 	хувийн IP хаягууд нийтийн Интернэт дээр ил гарах ёсгүй. Харин тэд эхлээд өөр 
 	пакет дотор хайрцаглагдах ёстой. Энэ пакет нь хувийн хаягуудын оронд солигдсон 
 	нийтийн эхлэл болон төгсгөл IP хаягуудтай байх ёстой.</para>
  
        <para>Тэгэхээр хэрэв таны гарч байгаа пакет иймэрхүү харагдаж эхэлбэл:</para>
  
 	<mediaobject>
 	  <imageobject>
 	    <imagedata fileref="security/ipsec-out-pkt" align="center">
 	  </imageobject>
 
 	  <textobject>
 	    <literallayout class="monospaced">
   .----------------------.
   | Src: 192.168.1.1     |
   | Dst: 192.168.2.1     |
   | &lt;other header info&gt;  |
   +----------------------+
   | &lt;packet data&gt;        |
   `----------------------'</literallayout>
 	  </textobject>
 	</mediaobject>
  
        <para>Дараа нь өөр нэг пакетийн дотор энэ нь хайрцаглагдан иймэрхүү харагдах болно:</para>
  
 	<mediaobject>
 	  <imageobject>
 	    <imagedata fileref="security/ipsec-encap-pkt" align="center">
 	  </imageobject>
 
 	  <textobject>
 	    <literallayout class="monospaced">
   .--------------------------.
   | Src: A.B.C.D             |
   | Dst: W.X.Y.Z             |
   | &lt;other header info&gt;      |
   +--------------------------+
   | .----------------------. |
   | | Src: 192.168.1.1     | |
   | | Dst: 192.168.2.1     | |
   | | &lt;other header info&gt;  | |
   | +----------------------+ |
   | | &lt;packet data&gt;        | |
   | `----------------------' |
   `--------------------------'</literallayout>
 	  </textobject>
 	</mediaobject>
  
        <para>Энэ хайрцаглалт нь <devicename>gif</devicename> төхөөрөмжөөр 
 	хийгдэнэ. Пакет нь гадна талдаа жинхэнэ IP хаягуудтай байх бөгөөд 
 	бидний эхний пакет Интернэт уруу гарах пакет дотор орсон байгааг харж болно.</para>
  
        <para>Мэдээж бид VPN-үүдийн хоорондох бүх урсгалыг шифрлэхийг хүснэ. 
 	Та үүнийг иймэрхүүгээр үгчлэн хэлж болно:</para>
 
        <para><quote>Хэрэв пакет <hostid
          role="ipaddr">A.B.C.D</hostid>-с гарч <hostid
          role="ipaddr">W.X.Y.Z</hostid> уруу чиглэсэн бол шаардлагатай аюулгүй 
 	байдлын нэгдлүүдийг ашиглан шифрлэнэ.</quote></para>
  
        <para><quote>Хэрэв пакет нь <hostid
          role="ipaddr">W.X.Y.Z</hostid>-с ирж <hostid
          role="ipaddr">A.B.C.D</hostid> уруу чиглэсэн бол шаардлагатай аюулгүй 
 	байдлын нэгдлүүдийг ашиглан буцааж шифрлэнэ.</quote></para>
  
        <para>Ингэж хэлэхэд ер нь бараг л зөв, ойрхон байна, гэхдээ бас тийм ч зөв биш юм. Хэрэв та 
 	үүнийг хийсэн бол <hostid role="ipaddr">W.X.Y.Z</hostid>-с гарсан болон 
 	түүн уруу чиглэсэн, бүр VPN-ий хэсэг ч биш бүх урсгал шифрлэгдэх болно. Та яг үүнийг 
 	хүсээгүй байх. Зөв бодлого нь дараах маягаар байна</para>
  
        <para><quote>Хэрэв пакет <hostid
          role="ipaddr">A.B.C.D</hostid>-с гарч тэр пакет нь өөр пакет дотор орон 
 	хайрцаглагдан <hostid
          role="ipaddr">W.X.Y.Z</hostid> уруу чиглэсэн бол шаардлагатай аюулгүй 
 	байдлын нэгдлүүдийг ашиглан шифрлэнэ.</quote></para>
  
        <para><quote>Хэрэв пакет нь <hostid
          role="ipaddr">W.X.Y.Z</hostid>-с ирж тэр пакет нь өөр пакет дотор орон 
 	хайрцаглагдан <hostid
          role="ipaddr">A.B.C.D</hostid> уруу чиглэсэн бол шаардлагатай аюулгүй 
 	байдлын нэгдлүүдийг ашиглан буцааж шифрлэнэ.</quote></para>
  
        <para>Нарийн өөрчлөлт, гэхдээ хэрэгтэй нэгэн.</para>
  
        <para>Аюулгүй байдлын бодлогууд нь бас &man.setkey.8; ашиглагдан заагдана. 
 	&man.setkey.8; нь бодлого тодорхойлох тохиргооны хэлтэй байна. Та 
 	тохиргооны заавруудыг stdin-ээс оруулж болох бөгөөд эсвэл тохиргооны заавруудыг агуулах 
 	файлын нэрийг зааж өгөх <option>-f</option> тохируулгыг ашиглаж болно.</para>
  
        <para>Гарц хост #1-ийн (<hostid role="ipaddr">A.B.C.D</hostid> гэсэн нийтийн 
 	IP хаягтай) тохиргоо <hostid role="ipaddr">W.X.Y.Z</hostid> уруу чиглэсэн 
 	бүх гарах урсгалыг хүчээр шифрлэхийн тулд:</para>
  
        <programlisting>
 spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require;
        </programlisting>
  
        <para>Эдгээр тушаалуудыг файлд (өөрөөр хэлбэл 
 	<filename>/etc/ipsec.conf</filename>) хийгээд ажиллуулаарай</para>
 
        <screen>&prompt.root; <userinput>setkey -f /etc/ipsec.conf</userinput></screen>
  
        <para><option>spdadd</option> нь бид аюулгүй бодлогын мэдээллийн санд 
 	дүрэм нэмэхийг хүсэж байгааг &man.setkey.8;-д хэлж өгч байна. Энэ мөрийн бусад нь 
 	энэ бодлогод аль пакет таарахыг заана. <hostid
          role="ipaddr">A.B.C.D/32</hostid> ба <hostid
          role="ipaddr">W.X.Y.Z/32</hostid> нь энэ бодлого хамаарах 
 	сүлжээ болон хостуудыг таних IP хаягууд болон сүлжээний багууд юм. Энэ 
 	тохиолдолд эдгээр хоёр хостуудын хоорондох урсгалд үүнийг хамааруулахыг 
 	бид хүсэж байна. <option>ipencap</option> нь энэ бодлого зөвхөн 
 	бусад пакетуудыг хайрцаглах пакетуудад хамаатай гэдгийг цөмд хэлнэ. 
 	<option>-P out</option> тохируулга нь энэ бодлого гарах пакетуудад 
 	хамаатайг хэлэх бөгөөд <option>ipsec</option> тохируулга нь пакет 
 	нууцлагдахыг хэлж байна.</para>
  
        <para>Хоёр дахь мөр нь энэ пакет хэрхэн шифрлэгдэхийг заана. 
 	<option>esp</option> нь ашиглагдах протокол байхад <option>tunnel</option> 
 	нь пакетийг цаашаагаа IPsec пакет дотор орж хайрцаглалт хийгдэхийг заана. 
 	<hostid role="ipaddr">A.B.C.D</hostid> болон <hostid
          role="ipaddr">W.X.Y.Z</hostid>-ийн давхардсан хэрэглээ нь 
 	ашиглах аюулгүй байдлын нэгдлийг сонгоход хэрэглэгдэх бөгөөд төгсгөлийн 
 	<option>require</option> тохируулга энэ дүрмэнд таарсан пакетуудыг 
 	шифрлэх ёстойг зааж байна.</para>
  
        <para>Энэ дүрэм нь зөвхөн гарч байгаа пакетуудтай таарна.  Ирж байгаа пакетийн 
 	хувьд танд үүнтэй адил дүрэм хэрэгтэй.</para>
  
        <programlisting>spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require;</programlisting>
  
        <para>Энэ тохиолдолд <option>out</option>-ийн оронд <option>in</option> 
 	тохируулгыг ашиглаж шаардлагын дагуу IP хаягуудыг эсрэгээр болгосныг хараарай.</para>
  
        <para>Нөгөө нэг гарц хостод (<hostid role="ipaddr">W.X.Y.Z</hostid> 
 	нийтийн IP хаягтай) үүнтэй адил дүрмүүд хэрэгтэй.</para>
  
        <programlisting>spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require;
 spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require;</programlisting>
  
        <para>Төгсгөлд нь та ESP болон IPENCAP пакетуудыг нааш цааш зөвшөөрөх 
 	галт ханын дүрмүүдийг нэмэх хэрэгтэй. Эдгээр дүрмүүдийг хост бүр дээр 
 	нэмэх шаардлагатай.</para>
  
        <programlisting>ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z
 ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D
 ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z
 ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D
        </programlisting>
  
        <para>Дүрмүүд нь тэгш хэмт учир адилхан дүрмүүдийг та гарц хост бүр дээр ашиглаж 
 	болно.</para>
  
        <para>Одоо гарч байгаа пакетууд үүнтэй адил харагдах болно:</para>
  
 	<mediaobject>
 	  <imageobject>
 	    <imagedata fileref="security/ipsec-crypt-pkt" align="center">
 	  </imageobject>
 
 	  <textobject>
 	    <literallayout class="monospaced">
   .------------------------------.  --------------------------.
   | Src: A.B.C.D                 |                            |
   | Dst: W.X.Y.Z                 |                            |
   | &lt;other header info&gt;          |                            |  Encrypted
   +------------------------------+                            |  packet.
   | .--------------------------. |  -------------.            |  contents
   | | Src: A.B.C.D             | |               |            |  are
   | | Dst: W.X.Y.Z             | |               |            |  completely
   | | &lt;other header info&gt;      | |               |            |- secure
   | +--------------------------+ |               |  Encap'd   |  from third
   | | .----------------------. | |  -.           |  packet    |  party
   | | | Src: 192.168.1.1     | | |   |  Original |- with real |  snooping
   | | | Dst: 192.168.2.1     | | |   |  packet,  |  IP addr   |
   | | | &lt;other header info&gt;  | | |   |- private  |            |
   | | +----------------------+ | |   |  IP addr  |            |
   | | | &lt;packet data&gt;        | | |   |           |            |
   | | `----------------------' | |  -'           |            |
   | `--------------------------' |  -------------'            |
   `------------------------------'  --------------------------'
 	    </literallayout>
 	  </textobject>
 	</mediaobject>
 
        <para>Тэдгээрийг VPN-ий хамгийн төгсгөлд хүлээн авах үед тэдгээр нь эхлээд 
-	буцаан шифрлэгдэнэ (racoon-аар тохиролцсон аюулгүй байдлын нэгдлүүдийг  
+	буцаан шифрлэгдэнэ (<application>racoon</application>-аар тохиролцсон аюулгүй байдлын нэгдлүүдийг  
 	ашиглан).  Тэдгээр нь үүний дараа  хоёр дахь давхаргыг гаргах 
 	<devicename>gif</devicename> интерфэйс уруу орж хамгийн дотор байрлах 
 	пакеттай үлдэх хүртэл боловсруулагдаад дотоод сүлжээ руу аялах болно.</para>
  
        <para>Өмнө дурдсаны адил та &man.ping.8; тестийг ашиглан аюулгүй байдлыг 
 	шалгаж болно. Эхлээд <hostid role="ipaddr">A.B.C.D</hostid> гарц 
 	машин уруу нэвтрэн орж дараах тушаалыг ажиллуулна:</para>
  
        <programlisting>tcpdump dst host 192.168.2.1</programlisting>
  
        <para>Тэр хост дээрээ өөр сессээр дараах тушаалыг ажиллуулна</para>
  
        <programlisting>ping 192.168.2.1</programlisting>
  
        <para>Энэ удаад та доор дурдсантай адил гаралтыг харах ёстой:</para>
  
        <programlisting>XXX tcpdump output</programlisting>
  
        <para>Одоо эндээс харах юм бол &man.tcpdump.1; нь ESP пакетуудыг үзүүлж 
 	байна. Хэрэв та тэдгээрийг <option>-s</option> тохируулгатай шалгахыг оролдвол  
 	шифрлэлтээс болоод (мэдээж) нууцлаг харагдах болно.</para>
  
       <para>Баяр хүргэе.  Та дөнгөж сая алсын хоёр сайтын хооронд VPN 
 	тохирууллаа.</para>
  
       <itemizedlist>
         <title>Дүгнэн хэлэхэд</title>
         <listitem>
           <para>Хоёр цөмийг хоёуланг нь дараах тохируулгатай тохируулна:</para>
  
           <programlisting>options IPSEC
 options IPSEC_ESP
           </programlisting>
         </listitem>
         <listitem>
           <para><filename
             role="package">security/ipsec-tools</filename> суулгана. Алсын хостын 
 		IP хаяг болон тэдгээрийн мэддэг нууц түлхүүрийн оруулгыг нэмж 
 		<filename>${PREFIX}/etc/racoon/psk.txt</filename> 
 		файлыг хоёр гарц хост дээр хоёулан дээр засварлана. Энэ файлын горим 
 		0600 байгааг шалгаарай.</para>
         </listitem>
         <listitem>
           <para>Хост бүр дээрх  <filename>/etc/rc.conf</filename> файлд дараах 
 		мөрүүдийг нэмээрэй:</para>
  
           <programlisting>ipsec_enable="YES"
 ipsec_file="/etc/ipsec.conf"
           </programlisting>
         </listitem>
         <listitem>
           <para>Хост бүр дээр шаардлагатай spadd мөрүүдийг агуулсан 
 		<filename>/etc/ipsec.conf</filename> файл үүсгэна. 1-р гарц 
 		хост дээр энэ нь ийм байна:</para>
  
           <programlisting>
 spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec
   esp/tunnel/A.B.C.D-W.X.Y.Z/require;
 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec
   esp/tunnel/W.X.Y.Z-A.B.C.D/require;
 </programlisting>
  
           <para>2-р гарц хост дээр энэ нь ийм байна:</para>
  
 <programlisting>
 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec
   esp/tunnel/W.X.Y.Z-A.B.C.D/require;
 spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec
   esp/tunnel/A.B.C.D-W.X.Y.Z/require;
 </programlisting>
         </listitem>
         <listitem>
           <para>Хост бүр дээр IKE, ESP, болон IPENCAP урсгалыг зөвшөөрөх 
 		галт ханын дүрмүүд нэмээрэй:</para>
  
           <programlisting>
 ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp
 ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp
 ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z
 ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D
 ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z
 ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D
           </programlisting>
         </listitem>
       </itemizedlist>
 
       <para>Өмнөх хоёр алхам VPN-ийг эхлүүлэн ажиллуулахад хангалттай байх 
 	ёстой. Сүлжээ бүрийн машинууд өөр хоорондоо  IP хаягуудаараа 
 	хандах боломжтой болох бөгөөд холболтын дагуух бүх урсгал автоматаар 
 	аюулгүй шифрлэгдэх болно.</para>
     </sect3> 
     </sect2> 
   </sect1>
 
   <sect1 id="openssh">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Шерн</firstname>
 	  <surname>Ли</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
 	<!-- 21 April 2001 -->
       </authorgroup>
     </sect1info>
 
     <title>OpenSSH</title>
     <indexterm><primary>OpenSSH</primary></indexterm>
     <indexterm>
       <primary>аюулгүй байдал</primary>
       <secondary>OpenSSH</secondary>
     </indexterm>
 
     <para><application>OpenSSH</application> нь алсын машинуудад аюулгүйгээр хандах 
 	сүлжээний холболтын хэрэгслүүдийн олонлог юм. <command>rlogin</command>,
       <command>rsh</command>, <command>rcp</command>, болон 
       <command>telnet</command>-ийг энэ програмаар шууд орлуулан ашиглаж болно. 
 	Мөн TCP/IP холболтууд аюулгүйгээр SSH-ээр туннель хийгдэж/дамжуулагдаж 
 	болдог. <application>OpenSSH</application> нь сэм чагналт, холболт булаан авалт, болон 
 	бусад сүлжээний түвшний халдлагуудыг үр дүнтэйгээр устгаж бүх трафикийг шифрлэдэг.</para>
 
     <para><application>OpenSSH</application>-г OpenBSD төсөл дэмжиж байдаг бөгөөд 
 	бүх сүүлийн үеийн алдааны засварууд болон шинэчлэлтүүд бүхий  SSH v1.2.12 дээр 
 	тулгуурласан байдаг. Энэ програм нь SSH протокол 1 болон 2-той хоёулантай нь 
 	нийцтэй.</para>
 
     <sect2>
       <title>OpenSSH-ийг ашиглах давуу тал</title>
   
       <para>&man.telnet.1; эсвэл &man.rlogin.1; ашиглаж байх үед сүлжээгээр 
 	илгээгдэж байгаа өгөгдөл цэвэр, шифрлэгдээгүй хэлбэрээр байдаг.
 	Сүлжээний шиншлэгчид клиент болон серверийн хооронд хаана ч байсан гэсэн 
 	таны хэрэглэгч/нууц үгийн мэдээлэл эсвэл таны сессээр дамжсан өгөгдлийг 
 	хулгайлж чадна. <application>OpenSSH</application> нь ийм асуудлаас 
 	хамгаалж төрөл бүрийн нэвтрэлт таних болон шифрлэх аргуудыг санал болгодог.</para>
     </sect2>
 
     <sect2>
       <title>sshd-г идэвхжүүлэх</title>
       <indexterm>
         <primary>OpenSSH</primary>
         <secondary>идэвхжүүлэх</secondary>
       </indexterm>
 
       <para><application>sshd</application> нь стандарт &os; суулгацын явцад 
 	харуулагдах тохируулга юм. <application>sshd</application> идэвхжсэн 
 	эсэхийг харахдаа <filename>rc.conf</filename> файлаас дараах мөрийг 
 	шалгаарай:</para>
       <screen>sshd_enable="YES"</screen>
       <para>Энэ нь дараагийн удаа таны систем эхлэхэд <application>OpenSSH</application>-д 
 	зориулсан &man.sshd.8; дэмон програмыг дуудна. Мөн <filename>/etc/rc.d/sshd</filename> 
 	&man.rc.8; скрипт ашиглан <application>OpenSSH</application>-г эхлүүлэх 
 	боломжтой байдаг:</para>
 
       <programlisting>/etc/rc.d/sshd start</programlisting>
     </sect2>
 
     <sect2>
       <title>SSH клиент</title>
       <indexterm>
         <primary>OpenSSH</primary>
         <secondary>клиент</secondary>
       </indexterm>
 
       <para>&man.ssh.1; хэрэгсэл &man.rlogin.1;-тэй адил 
 	ажилладаг.</para>
 
       <screen>&prompt.root; <userinput>ssh <replaceable>user@example.com</replaceable></userinput>
 Host key not found from the list of known hosts.
 Are you sure you want to continue connecting (yes/no)? <userinput>yes</userinput>
 Host 'example.com' added to the list of known hosts.
 user@example.com's password: <userinput>*******</userinput></screen>
 
       <para>Нэвтрэлт нь <command>rlogin</command> эсвэл 
         <command>telnet</command> ашиглан үүсгэгдсэн сесс шиг үргэлжлэх болно. 
 	SSH нь хэрэглэгч холбогдоход серверийн жинхэнэ эсэхийг шалгахын тулд 
 	түлхүүр хээ шалгах системийг хэрэглэдэг. Хэрэглэгч зөвхөн эхний удаа холбогдоход 
 	<literal>yes</literal> гэж оруулахыг шаардана. Дараа дараагийн 
 	нэвтрэлт оролдлогууд бүгд хадгалсан хээ шалгах түлхүүртэй харьцуулагдан 
 	шалгагддаг. Хэрэв хадгалсан хээ нь дараа дараагийн нэвтрэлтийн оролдлогуудаас 
 	хүлээн авсан хээнээс өөр бол SSH клиент нь танд түгшүүр өгнө. Хээнүүд 
 	<filename>~/.ssh/known_hosts</filename> файлд эсвэл SSH v2-ийн хээнүүд
 	<filename>~/.ssh/known_hosts2</filename> файлд 
 	хадгалагдана.</para>
 
       <para>Анхдагчаар <application>OpenSSH</application> серверүүдийн 
 	сүүлийн үеийн хувилбарууд зөвхөн SSH v2 холболтуудыг хүлээн авдаг. 
 	Клиент нь хэрэв боломжтой бол 2-р хувилбарыг ашиглах бөгөөд боломжгүй бол 
 	1-р хувилбарыг ашигладаг. <option>-1</option> эсвэл
         <option>-2</option> тохируулгуудыг 1-р эсвэл 2-р хувилбаруудад зориулан 
 	дамжуулан клиентэд зөвхөн аль нэгийг ашиглахыг хүчилж болно. 1-р хувилбарын 
 	нийцтэй байдал нь клиентэд хуучин хувилбаруудтай нийцтэй байх зорилгоор дэмжигдсэн 
 	байдаг.</para>
     </sect2>
     
     <sect2>
       <title>Аюулгүй хуулбарлалт</title>
       <indexterm>
         <primary>OpenSSH</primary>
         <secondary>аюулгүй хуулбарлалт</secondary>
       </indexterm>
       <indexterm><primary><command>scp</command></primary></indexterm>
 
       <para>&man.scp.1; тушаал &man.rcp.1;-тэй адил ажилладаг; энэ нь файлыг алсын 
 	машинаас эсвэл машин уруу, ялгаатай нь аюулгүйгээр хуулдаг.</para>
 
       <screen>&prompt.root; <userinput> scp <replaceable>user@example.com:/COPYRIGHT COPYRIGHT</replaceable></userinput>
 user@example.com's password: <userinput>*******</userinput>
 COPYRIGHT            100% |*****************************|  4735       
 00:00    
 &prompt.root;</screen>
       <para>Өмнөх жишээн дээр энэ хостын хувьд хээ нь аль хэдийн хадгалагдсан болохоор 
 	&man.scp.1;-ийг энд ашиглах үед шалгагддаг.</para>
 
       <para>&man.scp.1;-ээр дамжуулсан нэмэлт өгөгдлүүд нь &man.cp.1;-тэй адил бөгөөд 
 	эхний нэмэлт өгөгдөлд файл эсвэл файлууд, хоёр дахь дээр очих файлыг 
 	зааж өгдөг. Файл нь сүлжээгээр SSH-ээр татагддаг  болохоор файлын нэг эсвэл хэд хэдэн 
 	нэмэлт өгөгдлүүд <option>user@host:&lt;path_to_remote_file&gt;</option> 
 	хэлбэрийг авдаг.</para>
 
     </sect2>
 
     <sect2>
       <title>Тохиргоо</title>
       <indexterm>
         <primary>OpenSSH</primary>
         <secondary>тохиргоо</secondary>
       </indexterm>
 
       <para><application>OpenSSH</application> дэмон болон клиентийн 
 	системийн дагуух тохиргооны файлууд <filename>/etc/ssh</filename> 
 	санд байрладаг.</para>
 
       <para><filename>ssh_config</filename> клиентийн тохируулгуудыг 
 	тохируулдаг бөгөөд <filename>sshd_config</filename> нь 
 	дэмонг тохируулдаг.</para>
 
       <para>Мөн <option>sshd_program</option> 
 	(анхдагчаар <filename>/usr/sbin/sshd</filename>) болон 
 	<option>sshd_flags</option> <filename>rc.conf</filename> 
 	тохируулгууд тохиргооны түвшнүүдийг илүүтэйгээр хангадаг.</para>
     </sect2>
 
     <sect2 id="security-ssh-keygen">
       <title>ssh-keygen</title>
 
       <para>Нууц үгүүдийг ашиглахын оронд &man.ssh-keygen.1; нь 
 	хэрэглэгчийг шалгаж танихад DSA эсвэл RSA түлхүүрүүдийг үүсгэхэд 
 	хэрэглэгдэж болно:</para>
 
       <screen>&prompt.user; <userinput>ssh-keygen -t <replaceable>dsa</replaceable></userinput>
 Generating public/private dsa key pair.
 Enter file in which to save the key (/home/user/.ssh/id_dsa):
 Created directory '/home/user/.ssh'.
 Enter passphrase (empty for no passphrase):
 Enter same passphrase again:
 Your identification has been saved in /home/user/.ssh/id_dsa.
 Your public key has been saved in /home/user/.ssh/id_dsa.pub.
 The key fingerprint is:
 bb:48:db:f2:93:57:80:b6:aa:bc:f5:d5:ba:8f:79:17 user@host.example.com
 </screen>
 
       <para>&man.ssh-keygen.1; нь шалгаж танихад хэрэглэгдэх нийтийн болон хувийн 
 	түлхүүр хослолыг үүсгэнэ. Хувийн түлхүүр <filename>~/.ssh/id_dsa</filename> эсвэл 
         <filename>~/.ssh/id_rsa</filename>-д хадгалагдах бөгөөд харин нийтийн түлхүүр 
 	нь <filename>~/.ssh/id_dsa.pub</filename> эсвэл 
         <filename>~/.ssh/id_rsa.pub</filename>-д DSA болон RSA түлхүүрийн төрлүүдэд 
 	зориулагдан хадгалагддаг. Тохируулга нь ажиллахын тулд нийтийн түлхүүр нь алсын машины 
 	<filename>~/.ssh/authorized_keys</filename> файлд DSA болон RSA түлхүүрүүдийн 
 	хоёулангийнх нь хувьд хийгдэх ёстой байдаг. 
 	Үүнтэй адилаар нийтийн түлхүүрүүдийн RSA хувилбар нь 
 	<filename>~/.ssh/authorized_keys</filename> файлд бас хийгдэх ёстой.</para>
 
       <para>Энэ нь нууц үгүүдийн оронд SSH түлхүүрүүдийг ашиглан алсын машин уруу 
 	холбогдохыг зөвшөөрөх болно.</para>
 
       <para>Хэрэв нэвтрэх үгнүүд &man.ssh-keygen.1;-д ашиглагдаж байгаа бол 
 	хувийн түлхүүрийг хэрэглэхийн тулд хэрэглэгчээс нууц үгийг нэвтрэх болгонд 
 	асуудаг. &man.ssh-agent.1; нь урт нэвтрэх үгнүүдийг дахин дахин оруулах 
 	тэр зовлонг зөөллөж чадах бөгөөд <xref linkend="security-ssh-agent"> 
 	хэсэгт тайлбарлагдсан байгаа болно.</para>
 
       <warning><para>Төрөл бүрийн тохируулгууд болон файлууд нь 
 	таны систем дээр байгаа <application>OpenSSH</application>-ийн 
 	хувилбаруудаас шалтгаалан өөр өөр байдаг; асуудалтай учрахгүйн тулд 
 	та &man.ssh-keygen.1; гарын авлагын хуудаснаас лавлах 
 	хэрэгтэй.</para></warning>
     </sect2>
 
     <sect2 id="security-ssh-agent">
       <title>ssh-agent болон ssh-add</title>
 
       <para>&man.ssh-agent.1; болон &man.ssh-add.1; хэрэгслүүд нь 
 	нэвтрэх үгнүүдийг дахин дахин бичүүлэлгүйгээр <application>SSH</application> 
 	түлхүүрүүдийг санах ойд дуудан ашиглаж болох аргуудаар хангадаг.</para>
 
       <para>&man.ssh-agent.1; хэрэгсэл нь түүн уруу дуудагдсан хувийн түлхүүр(үүд) 
 	ашиглан жинхэнэ эсэхийг шалгах танилтыг зохицуулна. &man.ssh-agent.1; нь өөр програмыг 
 	ачаалахад хэрэглэгдэх ёстой. Хамгийн хялбартаа энэ нь  бүрхүүл  
 	эсвэл илүү дэвшилттэйгээр ашиглавал цонхны удирдагч ажиллуулж болох 
 	юм.</para>
 
       <para>&man.ssh-agent.1;-ийг бүрхүүлд ашиглахын тулд үүнийг эхлээд 
 	бүрхүүлтэй цуг нэмэлт өгөгдөл маягаар ажиллуулах шаардлагатай. Хоёрдугаарт 
 	хэн бэ гэдэг мэдээллийг (identity) &man.ssh-add.1;-г ажиллуулан нэмэх хэрэгтэй бөгөөд 
 	түүнд хувийн түлхүүрийн нэвтрэх үгнүүдийг өгөх хэрэгтэй. Эдгээр алхмууд 
 	хийгдсэний дараа хэрэглэгч харгалзах нийтийн түлхүүр суулгагдсан 
 	дурын хост уруу &man.ssh.1; хийж чадах болно. 
 	Жишээ нь:</para>
 
       <screen>&prompt.user; ssh-agent <replaceable>csh</replaceable>
 &prompt.user; ssh-add
 Enter passphrase for /home/user/.ssh/id_dsa:
 Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa)
 &prompt.user;</screen>
 
       <para>X11 дээр &man.ssh-agent.1; хэрэглэхийн тулд &man.ssh-agent.1;-ийн 
 	дуудлага <filename>~/.xinitrc</filename>-д байх шаардлагатай. 
 	Ингэснээр X11-д ачаалагдсан бүх програмуудад &man.ssh-agent.1;-ийн  
 	үйлчилгээнүүдийг  үзүүлэх болно. Жишээ <filename>~/.xinitrc</filename> 
 	файл иймэрхүү харагдах болно:</para>
 
       <programlisting>exec ssh-agent <replaceable>startxfce4</replaceable></programlisting>
 
       <para>Энэ нь &man.ssh-agent.1;-ийг ажиллуулах бөгөөд тэр нь эргээд 
 	X11 эхлэх бүрт <application>XFCE</application>-ийг ажиллуулна.
 	Ингэж хийгдсэний дараа өөрчлөлтүүд нь үйлчлэхийн тулд X11 дахин эхэлсний хойно 
 	өөрийн SSH түлхүүрүүдийг бүгдийг ачаалахын тулд ердөө л &man.ssh-add.1;-ийг 
 	ажиллуулаарай.</para>
     </sect2>
 
     <sect2 id="security-ssh-tunneling">
       <title>SSH туннель хийх</title>
       <indexterm>
         <primary>OpenSSH</primary>
         <secondary>туннель хийх</secondary>
       </indexterm>
 
       <para><application>OpenSSH</application> нь шифрлэгдсэн сессийн үед өөр протоколыг 
 	хайрцаглах туннель үүсгэх чадвартай байдаг.</para>
 
       <para>Дараах тушаал <application>telnet</application>-д зориулж туннель үүсгэхийг 
 	&man.ssh.1;-д хэлж өгнө:</para>
 
        <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>5023:localhost:23 user@foo.example.com</replaceable></userinput>
 &prompt.user;</screen>
 
       <para><command>ssh</command> тушаал дараах тохируулгуудтай 
 	хэрэглэгдэнэ:</para>
 
       <variablelist>
 	<varlistentry>
 	  <term><option>-2</option></term>
 	  
 	  <listitem>
 	    <para><command>ssh</command>-ийг протоколын 2-р хувилбарыг 
 		ашиглахыг зааж өгнө. (хэрэв та хуучин SSH серверүүдтэй ажиллаж 
 		байгаа бол үүнийг битгий ашиглаарай)</para>
 	  </listitem>
 	</varlistentry>
 
 	<varlistentry>
 	  <term><option>-N</option></term>
 
 	  <listitem>
 	    <para>Тушаал байхгүй эсвэл зөвхөн туннель гэдгийг заана. Хэрэв үүнийг 
 		орхивол <command>ssh</command> ердийн сесс эхлүүлнэ.</para>
 	  </listitem>
 	</varlistentry>
 
 	<varlistentry>
 	  <term><option>-f</option></term>
 
 	  <listitem>
 	    <para><command>ssh</command>-ийг ард, далд ажиллуулахыг 
 		заана.</para>
 	  </listitem>
 	</varlistentry>
 
 	<varlistentry>
 	  <term><option>-L</option></term>
 
 	  <listitem>
 	    <para>Локал туннелийг <replaceable>localport:remotehost:remoteport</replaceable>
 		загвараар зааж өгнө.</para>
 	  </listitem>
 	  </varlistentry>
 
 	<varlistentry>
 	  <term><option>user@foo.example.com</option></term>
 
 	  <listitem>
 	    <para>Алсын SSH сервер.</para>
 	  </listitem>
 	</varlistentry>
       </variablelist>
 
 
       <para>SSH туннель нь сонсох сокетийг <hostid>localhost</hostid>-ийн 
 	заагдсан порт дээр үүсгэн ажилладаг. Дараа нь локал хост/порт дээр хүлээн 
 	авсан дурын холболтыг SSH-ээр дамжуулан заасан алсын хост болон порт уруу 
 	илгээдэг.</para>
 
       <para>Жишээн дээр <hostid>localhost</hostid> дээрх <replaceable>5023</replaceable> 
 	порт нь алсын машины <hostid>localhost</hostid> дээрх <replaceable>23</replaceable> 
 	порт уруу дамжуулагдаж байна. <replaceable>23</replaceable> нь 
 	<application>telnet</application> учир энэ нь SSH туннелээр аюулгүй 
 	<application>telnet</application> сесс үүсгэнэ.</para>
 
       <para>SMTP, POP3, FTP гэх зэрэг ямар ч аюултай TCP протоколуудын 
 	гүйцэтгэлийг хялбаршуулахад үүнийг ашиглаж болно.</para>
 
       <example>
 	<title>SMTP-д зориулан SSH ашиглан аюулгүй туннель үүсгэх</title>
 
         <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>5025:localhost:25 user@mailserver.example.com</replaceable></userinput>
 user@mailserver.example.com's password: <userinput>*****</userinput>
 &prompt.user; <userinput>telnet localhost 5025</userinput>
 Trying 127.0.0.1...
 Connected to localhost.
 Escape character is '^]'.
 220 mailserver.example.com ESMTP</screen>     
 
         <para>Үүнийг &man.ssh-keygen.1; болон нэмэлт хэрэглэгчийн бүртгэлүүдтэй 
 	цуг илүү үл үзэгдэх/төвөггүй SSH туннель хийх орчин үүсгэхэд ашиглаж болно. 
 	Түлхүүрүүд нь нууц үг бичихийн оронд ашиглагдаж болох бөгөөд туннелиуд 
 	нь тусдаа хэрэглэгч маягаар ажиллаж чадна.</para>
       </example>
 
       <sect3>
 	<title>SSH туннелийн практик жишээнүүд</title>
 
 	<sect4>
 	  <title>POP3 сервер уруу аюулгүй хандах</title>
 
 	  <para>Ажил дээр чинь гаднаас холболтууд хүлээн авах SSH сервер байна. 
 		Бас тэр оффисийн сүлжээнд POP3 сервер ажиллуулж байгаа 
 		захидлын сервер байна. Таны гэр болон оффисийн хоорондын 
 		сүлжээ болон сүлжээний зам итгэж болохоор эсвэл итгэж болохооргүй 
 		байж магадгүй юм. Ийм учраас та өөрийн захидлыг аюулгүй аргаар 
 		шалгах хэрэгтэй юм. Үүний шийдэл нь өөрийн оффисийн SSH сервер 
 		уруу SSH холболт үүсгэж захидлын сервер уруу туннель хийх явдал 
 		юм.</para>
 
 	  <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>2110:mail.example.com:110 user@ssh-server.example.com</replaceable></userinput>
 user@ssh-server.example.com's password: <userinput>******</userinput></screen>
 
 	  <para>Туннель эхлэн ажилласны дараа та өөрийн захидлын клиентийнхээ 
 		POP3 хүсэлтүүдийг <hostid>localhost</hostid>-ийн 2110 порт уруу 
 		илгээхээр зааж өгч болно. Эндэх холболт туннелээр аюулгүйгээр дамжин 
 		<hostid>mail.example.com</hostid> уруу илгээгдэнэ.</para>
 	</sect4>
 
 	<sect4>
 	  <title>Хэцүү галт ханыг тойрон гарах</title>
 
 	  <para>Зарим сүлжээний администраторууд хэтэрхий чанга галт ханын дүрэм ашиглан 
 		зөвхөн ирж байгаа холболтууд төдийгүй гарч байгаа холболтуудыг ч бас 
 		шүүдэг. Танд алсын машинуудад зөвхөн SSH болон вэбээр аялах 22 болон 
 		80-р портуудад хандах боломжийг өгсөн байж болох юм.</para>
 
 	  <para>Та хөгжим цацдаг Ogg Vorbis сервер зэрэг өөр (магадгүй ажилдаа холбоогүй) 
 		үйлчилгээ уруу хандахыг магадгүй хүсэж болох юм. Хэрэв энэ Ogg Vorbis 
 		сервер нь 22 эсвэл 80-аас бусад өөр порт дээр цацаж байгаа бол 
 		та түүнд хандаж чадахгүй юм.</para>
 
 	  <para>Үүний шийдэл нь таны сүлжээний галт ханаас гаднах машин уруу SSH холболт үүсгэж 
 		үүнийг Ogg Vorbis сервер уруу туннель хийхэд ашиглах явдал юм.</para>
 
 	  <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>8888:music.example.com:8000 user@unfirewalled-system.example.org</replaceable></userinput>
 user@unfirewalled-system.example.org's password: <userinput>*******</userinput></screen>
 
 	  <para>Таны урсгал хүлээн авах клиент одоо <hostid>localhost</hostid>-ийн 
 		8888 порт уруу заагдах бөгөөд тэр цаашаагаа галт ханыг амжилттайгаар 
 		гэтлэн <hostid>music.example.com</hostid> уруу дамжуулагдана.</para>
         </sect4>
       </sect3>
     </sect2>
 
     <sect2>
       <title><varname>AllowUsers</varname> хэрэглэгчийн тохируулга</title>
 
       <para>Ямар хэрэглэгчид хаанаас орохыг хязгаарлаж өгөх нь зүйтэй юм. 
 	<literal>AllowUsers</literal> тохируулга нь үүнд хүрэх сайн арга 
 	юм. Жишээ нь <username>root</username> хэрэглэгчийг зөвхөн 
 	<hostid role="ipaddr">192.168.1.32</hostid>-оос орохыг 
 	зөвшөөрөхийн тулд доор дурдсантай адил тохируулгыг <filename>/etc/ssh/sshd_config</filename> 
 	файлд хийх нь зүйтэй юм:</para>
 
       <programlisting>AllowUsers root@192.168.1.32</programlisting>
 
       <para><username>admin</username> хэрэглэгчийг хаанаас ч орохыг зөвшөөрөхийн 
 	тулд ердөө л хэрэглэгчийн нэрийг өөрийг нь жагсааж өгнө:</para>
 
       <programlisting>AllowUsers admin</programlisting>
 
       <para>Олон хэрэглэгчид нэг мөрөнд жагсаагдах шаардлагатай:</para>
 
       <programlisting>AllowUsers root@192.168.1.32 admin</programlisting>
 
       <note>
         <para>Та энэ машин уруу нэвтрэх хэрэгцээтэй хэрэглэгч бүрийг жагсааж өгөх нь чухал юм, 
 		тэгэхгүй бол тэдгээр нь орж чадахгүй болно.</para>
       </note>
 
       <para><filename>/etc/ssh/sshd_config</filename>-д өөрчлөлтүүд хийснийхээ 
 	дараа &man.sshd.8;-д өөрийн тохиргооны файлуудыг дахин дуудахыг дараах тушаалыг 
 	ажиллуулж та хэлж өгөх ёстой:</para>
 
       <screen>&prompt.root; <userinput>/etc/rc.d/sshd reload</userinput></screen>
     </sect2>
 
     <sect2>
       <title>Нэмэлт унших материалууд</title>
       <para><ulink url="http://www.openssh.com/">OpenSSH</ulink></para>
       <para>&man.ssh.1; &man.scp.1; &man.ssh-keygen.1; 
         &man.ssh-agent.1; &man.ssh-add.1; &man.ssh.config.5;</para>
       <para>&man.sshd.8; &man.sftp-server.8; &man.sshd.config.5;</para>
     </sect2>
   </sect1>
 
   <sect1 id="fs-acl">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Хавь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <indexterm>
       <primary>ACL</primary>
     </indexterm>
     <title>Файлын системийн хандалт хянах жагсаалтууд</title>
 
     <para>Хормын хувилбарууд зэрэг файлын системийн өргөжүүлэлтүүдийн хамтаар FreeBSD 5.0 
 	болон сүүлийн хувилбарууд Файлын системийн хандалт хянах жагсаалтуудын 
 	(<acronym>ACL</acronym>-ууд) аюулгүй байдлыг санал болгодог.</para>
 
     <para>Хандалт Хянах Жагсаалтууд нь стандарт &unix; зөвшөөрлийн загварыг 
 	маш нийцтэй (&posix;.1e) аргаар өргөтгөдөг. Энэ боломж нь администраторт 
 	илүү төвөгтэй аюулгүй байдлын загвар болон түүний давуу талыг ашиглахыг 
 	зөвшөөрдөг.</para>
 
     <para><acronym>UFS</acronym> файлын системүүдэд <acronym>ACL</acronym> 
 	дэмжлэгийг идэвхжүүлэхийн тулд дараах:</para>
 
     <programlisting>options UFS_ACL</programlisting>
 
     <para>тохируулгыг цөмд эмхэтгэх шаардлагатай. Хэрэв энэ тохируулга эмхэтгэгдээгүй бол 
 	<acronym>ACL</acronym>-ууд дэмжих файлын системийг холбохыг оролдоход 
 	анхааруулах мэдэгдэл дэлгэцэд гардаг. Энэ тохируулга <filename>GENERIC</filename> 
 	цөмд орсон байдаг. <acronym>ACL</acronym>-ууд нь файлын систем дээр өргөтгөсөн шинж 
 	чанаруудыг  идэвхжүүлсэн дээр тулгуурладаг. Өргөтгөсөн шинж чанарууд нь 
 	дараа үеийн &unix; файлын систем <acronym>UFS2</acronym>-д төрөлхийн 
 	дэмжигдсэн байдаг.</para>
 
     <note><para><acronym>UFS1</acronym> дээр өргөтгөсөн шинж чанаруудыг тохируулахад  
 	<acronym>UFS2</acronym> дээр тохируулахтай харьцуулбал илүү удирдлагын 
 	зардал шаардлагатай байдаг. <acronym>UFS2</acronym> дээрх өргөтгөсөн 
 	шинж чанаруудын ажиллагаа нь бас бодитойгоор илүү байдаг. Иймээс 
 	<acronym>UFS2</acronym>-г <acronym>UFS1</acronym>-ийн оронд 
 	хандалт хянах жагсаалтуудад ашиглахыг ерөнхийдөө зөвлөдөг.</para></note>
 
     <para><acronym>ACL</acronym>-ууд нь <filename>/etc/fstab</filename> файлд 
 	нэмэгдэж өгч болох холбох үеийн удирдлагын  <option>acls</option> тугаар 
 	идэвхтэй болдог.  Файлын системийн толгой дахь супер блокийн <acronym>ACL</acronym>-ууд тугийг 
 	өөрчлөхийн тулд &man.tunefs.8;-ийг ашиглан шургуу замаар холбох үеийн тугийг автоматаар 
 	зааж өгч болно. Ерөнхийдөө хэд хэдэн шалтгааны улмаас супер блокийн тугийг  ашиглах нь 
 	дээр байдаг:</para>
 
     <itemizedlist>
       <listitem>
 	<para>Холбх үеийн <acronym>ACL</acronym>-ууд туг дахин холболтоор өөрчлөгддөггүй 
 	(&man.mount.8; <option>-u</option>), зөвхөн бүрэн гүйцэд 
 	&man.umount.8; хийгдэж шинэ &man.mount.8; хийгдсэний дараа болно. 
 	Энэ нь бас файлын системийг ашиглаж байх үед дарааллыг нь өөрчилж болохгүй гэсэн үг 
 	юм.</para>
       </listitem>
 
       <listitem>
 	<para><filename>fstab</filename>-д мөр байхгүй байсан ч гэсэн эсвэл төхөөрөмжүүдийн 
 	дараалал өөрчлөгдсөн ч гэсэн супер блокийн тугийг тохируулах нь файлын системийг үргэлж 
 	<acronym>ACL</acronym>-уудыг  идэвхтэйгээр холбоход хүргэдэг. Энэ нь файлын системийг 
 	<acronym>ACL</acronym>-уудыг идэвхжүүлэлгүйгээр санамсаргүйгээр холбохоос хамгаалдаг бөгөөд 
 	ингэж санамсаргүй холбох нь <acronym>ACL</acronym>-уудыг буруугаар албадаж 
 	тэгснээр аюулгүй байдлын асуудлуудад хүргэж болох юм.</para>
       </listitem>
     </itemizedlist>
 
     <note><para>Бид шинэ &man.mount.8; хийлгүйгээр туг идэвхжүүлдгийг зөвшөөрөхөөр  
 	<acronym>ACL</acronym>-уудын ажиллагааг өөрчилж болох юм, гэхдээ бид 
 	<acronym>ACL</acronym>-уудыг идэвхжүүлэлгүй санамсаргүйгээр холболт хийхийг 
 	болиулахыг хүсдэг бөгөөд учир нь хэрэв та <acronym>ACL</acronym>-уудыг идэвхжүүлээд 
 	дараа нь болиулаад өргөтгөсөн шинж чанаруудыг устгалгүйгээр дахин идэвхжүүлбэл та 
 	өөртөө нэлээн хэцүү асуудал учруулах зүйлийг хийх болно. Ерөнхийдөө та файлын систем 
 	дээр <acronym>ACL</acronym>-уудыг идэвхжүүлсний дараа файлын хамгаалалтууд нь 
 	системийн хэрэглэгчдэд зориулагдсан файлуудтай нийцгүй болж болох учир тэдгээрийг 
 	болиулж болохгүй бөгөөд <acronym>ACL</acronym>-уудыг дахин идэвхжүүлэх нь 
 	зөвшөөрлүүд нь өөрчлөгдсөн байж болох файлуудад өмнөх <acronym>ACL</acronym>-уудыг 
 	магадгүй дахин холбож өөр тааварлаж болшгүй ажиллагаанд хүргэж болох юм.</para></note>
       
     <para><acronym>ACL</acronym>-ууд идэвхжүүлсэн файлын системүүд өөрсдийн зөвшөөрлийн 
 	тохируулгууд дээрээ <literal>+</literal> (нэмэх) тэмдэг үзэх үед харуулдаг.
 	Жишээ нь:</para>
 
     <programlisting>drwx------  2 robert  robert  512 Dec 27 11:54 private
 drwxrwx---+ 2 robert  robert  512 Dec 23 10:57 directory1
 drwxrwx---+ 2 robert  robert  512 Dec 22 10:20 directory2
 drwxrwx---+ 2 robert  robert  512 Dec 27 11:57 directory3
 drwxr-xr-x  2 robert  robert  512 Nov 10 11:54 public_html</programlisting>
 
     <para>Энд бид <filename>directory1</filename>,
       <filename>directory2</filename>, болон <filename>directory3</filename> 
 	сангууд бүгд <acronym>ACL</acronym>-ууд-ийн давуу талыг авч байгааг харж байна. 
 	<filename>public_html</filename> сан тэгэхгүй байна.</para>
 
     <sect2>
       <title><acronym>ACL</acronym>-уудыг ашиглах нь</title>
 
       <para>Файлын системийн <acronym>ACL</acronym>-уудыг &man.getfacl.1; 
 	хэрэгслээр харж болно. Жишээ нь <filename>test</filename> файл дээрх 
 	<acronym>ACL</acronym> тохируулгуудыг харахын тулд дараах тушаалыг 
 	ажиллуулах хэрэгтэй:</para>
 
       <screen>&prompt.user; <userinput>getfacl <filename>test</filename></userinput>
 	#file:test
 	#owner:1001
 	#group:1001
 	user::rw-
 	group::r--
 	other::r--</screen>
 
       <para>Энэ файлын <acronym>ACL</acronym> тохируулгуудыг өөрчлөхийн тулд 
 	&man.setfacl.1; хэрэгслийг ажиллуул. Ажиглаарай:</para>
 
       <screen>&prompt.user; <userinput>setfacl -k <filename>test</filename></userinput></screen>
 
       <para><option>-k</option> туг нь тухайн үед тодорхойлогдсон бүх 
 	<acronym>ACL</acronym>-уудыг файл эсвэл файлын системээс 
 	арилгана. Илүү дээр арга бол <acronym>ACL</acronym>-уудыг 
 	ажиллуулахад шаардлагатай үндсэн талбаруудыг орхидог 
 	<option>-b</option> тугийг ашиглах явдал юм.</para>
 
       <screen>&prompt.user; <userinput>setfacl -m u:trhodes:rwx,group:web:r--,o::--- <filename>test</filename></userinput></screen>
 
       <para>Дээр дурдсан тушаал дээр <option>-m</option> тохируулга анхдагч 
 	<acronym>ACL</acronym> оруулгуудыг өөрчлөхөд хэрэглэгдсэн. 
 	Өмнөх тушаалаар устгагдсан болохоор урьдчилан тодорхойлсон оруулгууд 
 	байхгүй учир энэ нь анхдагч тохируулгуудыг  сэргээж жагсаасан тохируулгуудаас 
 	зааж өгдөг. Хэрэв та систем дээр байхгүй хэрэглэгч эсвэл бүлэг нэмэх бол 
 	<errorname>Invalid argument</errorname> буюу Буруу нэмэлт өгөгдөл 
 	гэсэн алдаа <devicename>stdout</devicename> уруу хэвлэгдэнэ гэдгийг 
 	санаж байх хэрэгтэй.</para>
     </sect2>
   </sect1>
 
   <sect1 id="security-portaudit">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
     </sect1info>
 
     <indexterm>
       <primary>Portaudit</primary>
     </indexterm>
     <title>Гуравдагч талын аюулгүй байдлын асуудлуудыг монитор хийх нь</title>
 
     <para>Сүүлийн жилүүдэд эмзэг асуудлын үнэлгээ хэрхэн зохицуулагдаж байгаа тал дээр 
 	аюулгүй байдлын ертөнц олон сайжруулалт хийсэн. Одоогийн байгаа бүх л үйлдлийн 
 	системүүд дээр гуравдагч талын хэрэгслүүд суулгаж тохируулдгаас болж системийн 
 	халдлагын заналхийлэл ихэсдэг.</para>
 
     <para>Эмзэг асуудлын үнэлгээ нь аюулгүй байдлын түлхүүр хүчин зүйл бөгөөд 
 	&os; нь үндсэн системд зориулан зөвлөгөөнүүдийг гаргадаг боловч 
 	гуравдагч талын хэрэгслүүд бүрийн хувьд хийх нь &os; төслийн боломжоос 
 	гадуур юм. Мэдэгдэж байгаа асуудлуудыг администраторуудад анхааруулж 
 	гуравдагч талын эмзэг асуудлуудыг зөөлрүүлэх арга байдаг. &os;-д нэмэлтээр 
 	<application>Portaudit</application> гэгддэг хэрэгсэл зөвхөн энэ 
 	зорилгоор байдаг.</para>
 
     <para><filename role="port">ports-mgmt/portaudit</filename> порт нь 
 	&os;-ийн аюулгүй байдлын баг болон портуудын хөгжүүлэгчдийн шинэчилж 
 	ажиллагааг нь хангаж байдаг мэдээллийн баазаас мэдэгдэж байгаа аюулгүй байдлын 
 	асуудлуудыг шалгадаг.</para>
 
     <para><application>Portaudit</application>-г ашиглаж эхлэхийн тулд 
 	Портуудын цуглуулгаас түүнийг суулгах хэрэгтэй:</para>
 
     <screen>&prompt.root; <userinput>cd /usr/ports/ports-mgmt/portaudit &amp;&amp; make install clean</userinput></screen>
 
     <para>Суулгах процессийн явцад өдөр бүрийн аюулгүй байдлыг шалгах ажиллагаанд 
 	<application>Portaudit</application>-н гаралтыг зөвшөөрч 
 	&man.periodic.8;-д зориулсан тохиргооны файлуудыг шинэчилдэг. 
 	Өдөр тутмын аюулгүй байдлыг шалгах ажиллагаа <username>root</username>-ийн 
 	захидлын бүртгэл уруу цахим захидал явуулж түүнийг уг хэрэглэгч уншсан эсэхийг
 	баталгаажуулах хэрэгтэй. Өөр ямар ч илүү тохиргоо энд хэрэггүй.</para>
 
     <para>Суулгасны дараа администратор мэдээллийн баазыг шинэчлэх болон суулгасан 
 	багцуудад мэдэгдэж байгаа эмзэг асуудлуудыг үзэхдээ дараах тушаалыг 
 	ажиллуулна:</para>
 
     <screen>&prompt.root; <userinput>portaudit -Fda</userinput></screen>
 
     <note>
       <para>Мэдээллийн бааз &man.periodic.8; ажиллах үед автоматаар шинэчлэгддэг; 
 	иймээс дээрх тушаал заавал шаардлагагүй юм. Энэ нь зөвхөн дараах жишээнүүдэд 
 	шаардлагатай.</para>
     </note>
 
     <para>Портуудын цуглуулгын хэсэг болгон суулгагдсан гуравдагч талын хэрэгслүүдийг 
 	ямар ч үед аудит хийхдээ администратор зөвхөн дараах тушаалыг ажиллуулах 
 	хэрэгтэй:</para>
 
     <screen>&prompt.root; <userinput>portaudit -a</userinput></screen>
 
     <para><application>Portaudit</application> эмзэг асуудалтай багцын хувьд 
 	доор дурдсантай адилыг гаргана:</para>
 
     <programlisting>Affected package: cups-base-1.1.22.0_1
 Type of problem: cups-base -- HPGL buffer overflow vulnerability.
 Reference: &lt;http://www.FreeBSD.org/ports/portaudit/40a3bca2-6809-11d9-a9e7-0001020eed82.html&gt;
 
 1 problem(s) in your installed packages found.
 
 You are advised to update or deinstall the affected package(s) immediately.</programlisting>
 
     <para>Үзүүлсэн <acronym>URL</acronym> уруу вэб хөтчийг чиглүүлж администратор 
 	асуудалтай байгаа эмзэг асуудлын талаар дэлгэрэнгүй мэдээллийг олж авч 
 	болно. Ийм мэдээлэл нь нөлөөлөх хувилбарууд болон &os;-ийн портын хувилбар, 
 	аюулгүй байдлын зөвлөгөөнүүд байж болох өөр бусад вэб сайтуудыг агуулж болох 
 	юм.</para>
 
     <para>Товчхондоо <application>Portaudit</application> нь хүчирхэг 
 	хэрэгсэл бөгөөд <application>Portupgrade</application> порттой цуг 
 	хэрэглэхэд маш ашигтай байдаг.</para>
   </sect1>
 
   <sect1 id="security-advisories">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <indexterm>
       <primary>FreeBSD-ийн аюулгүй байдлын зөвлөгөөнүүд</primary>
     </indexterm>
     <title>&os;-ийн аюулгүй байдлын зөвлөгөөнүүд</title>
 
     <para>Үйлдвэрлэлийн чанарыг хангасан үйлдлийн системүүдийн нэгэн адил &os; 
 	<quote>Аюулгүй байдлын зөвлөгөөнүүд</quote> гаргадаг. Эдгээр 
 	зөвлөгөөнүүд нь ихэвчлэн аюулгүй байдлын жагсаалтууд уруу илгээгддэг 
 	бөгөөд зөвхөн тохирох хувилбаруудад засвар хийгдсэний дараа Errata буюу 
 	алдааны хуудсанд тэмдэглэгддэг. Энэ хэсэгт зөвлөгөө гэж юу болох, түүнийг 
 	хэрхэн ойлгох болон системд засвар хийхдээ ямар арга хэмжээнүүдийг 
 	авах талаар тайлбарлах болно.</para>
 
     <sect2>
       <title>Зөвлөгөө ямархуу харагдах вэ?</title>
 
       <para>&os;-ийн аюулгүй байдлын зөвлөгөөнүүд 
 	&a.security-notifications.name; захидлын жагсаалтаас авсан доорх
 	зөвлөгөөтэй адил харагдах болно.</para>
 
       <programlisting>=============================================================================
 &os;-SA-XX:XX.UTIL                                     Security Advisory
                                                           The &os; Project
 
 Topic:          denial of service due to some problem<co id="co-topic">
 
 Category:       core<co id="co-category">
 Module:         sys<co id="co-module">
 Announced:      2003-09-23<co id="co-announce">
 Credits:        Person@EMAIL-ADDRESS<co id="co-credit">
 Affects:        All releases of &os;<co id="co-affects">
                 &os; 4-STABLE prior to the correction date
 Corrected:      2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
                 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
                 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
                 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
                 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
                 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
                 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
                 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
                 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)<co id="co-corrected">
 <acronym>CVE</acronym> Name:	CVE-XXXX-XXXX<co id="co-cve">
 
 For general information regarding FreeBSD Security Advisories,
 including descriptions of the fields above, security branches, and the
 following sections, please visit
 http://www.FreeBSD.org/security/.
 
 I.   Background<co id="co-backround">
 
 
 II.  Problem Description<co id="co-descript">
 
 
 III. Impact<co id="co-impact">
 
 
 IV.  Workaround<co id="co-workaround">
 
 
 V.   Solution<co id="co-solution">
 
 
 VI.  Correction details<co id="co-details">
 
 
 VII. References<co id="co-ref"></programlisting>
 
 
       <calloutlist>
 	<callout arearefs="co-topic">
 	  <para><literal>Topic</literal> буюу сэдэв талбар асуудал юу болохыг яг заасан 
 		байдаг. Энэ нь үндсэндээ тухайн үеийн аюулгүй байдлын зөвлөгөөний 
 		танилцуулга бөгөөд эмзэг асуудалтай цуг хэрэгслийг тэмдэглэдэг.</para>
 	</callout>
 
 	<callout arearefs="co-category">
 	  <para>The <literal>Category</literal> буюу зэрэглэл талбар нь хамаарч байгаа 
 		системийн хэсгийг хэлдэг бөгөөд <literal>core</literal>, 
 		<literal>contrib</literal>, эсвэл <literal>ports</literal>-ийн 
 		аль нэг байж болно. <literal>core</literal> зэрэглэл нь эмзэг 
 		асуудал &os; үйлдлийн системийн гол хэсэгт нөлөөлнө гэсэн үг юм. 
 		<literal>contrib</literal> зэрэглэл нь эмзэг асуудал 
 		<application>sendmail</application> зэрэг &os; төсөлд 
 		хувь нэмэр болгон оруулсан програм хангамжуудад нөлөөлнө гэсэн үг юм.
 		Эцэст нь <literal>ports</literal> зэрэглэл нь эмзэг асуудал 
 		портуудын цуглуулганд ордог нэмэлт програм хангамжуудад нөлөөлөхийг 
 		харуулдаг.</para>
 	</callout>
 
 	<callout arearefs="co-module">
 	  <para><literal>Module</literal> талбар нь бүрэлдэхүүн хэсгийн байрлалыг 
 		жишээ нь <literal>sys</literal> гэх зэргээр илэрхийлдэг. Энэ жишээн дээр 
 		<literal>sys</literal> модуль өртөхийг бид харж байгаа  бөгөөд ийм учраас энэ 
 		эмзэг асуудал нь цөм дотор ашиглагдсан бүрэлдэхүүн хэсэгт нөлөөлөх юм.</para>
 	</callout>
 
 	<callout arearefs="co-announce">
 	  <para><literal>Announced</literal> буюу зарласан талбар нь аюулгүй байдлын 
 		зөвлөгөө хэвлэгдсэн эсвэл ертөнцөд зарлагдсан огноог заадаг. Энэ нь 
 		аюулгүй байдлын баг асуудал байгааг шалгаж үүний засвар 
 		&os;-ийн эх модны архивт итгэмжлэн оруулсныг тогтоосон гэсэн үг юм.</para>
 	</callout>
 
 	<callout arearefs="co-credit">
 	  <para><literal>Credits</literal> буюу талархал талбар нь эмзэг асуудлыг 
 		мэдэж тайлагнасан хувь хүн болон байгууллагыг зааж талархдаг.</para>
 	</callout>
 
 	<callout arearefs="co-affects">
 	  <para><literal>Affects</literal> буюу нөлөөлөх хувилбарын талбар нь 
 		энэ эмзэг асуудал нөлөөлөх &os;-ийн хувилбаруудыг тайлбарладаг. 
 		Цөмийн хувьд уг нөлөөлсөн файлууд дээр ажиллуулсан 
 		<command>ident</command> тушаалын үр дүнг зэрвэс харж   
 		хувилбарыг тодорхойлж болно. Портуудын хувьд 
 		<filename>/var/db/pkg</filename> санд портын нэрийн дараа 
 		хувилбарын дугаар байдаг. Хэрэв систем нь &os;-ийн <acronym>CVS</acronym> 
 		архивтай адил хамгийн сүүлийн хэлбэрт орж өдөр тутам дахин бүтээгдээгүй 
 		бол энэ нь нөлөөлөлд орсон хэвээр байх магадлалтай юм.</para>
 	</callout>
 
 	<callout arearefs="co-corrected">
 	  <para><literal>Corrected</literal> буюу засварласан талбар нь 
 		огноо, цаг, цагийн бүс болон засварласан хувилбаруудыг 
 		заадаг.</para>
 	</callout>
 
 	<callout arearefs="co-cve">
 	  <para>Common Vulnerabilities Database system буюу Нийтлэг Эмзэг асуудлуудын 
 		Мэдээллийн Баазын системээс эмзэг асуудлуудыг хайхад хэрэглэгдэх 
 		магадлалын мэдээлэлд нөөцлөгддөг.</para>
 	</callout>
 
 	<callout arearefs="co-backround">
 	  <para><literal>Background</literal> талбар нь нөлөөлөлд яг ямар хэрэгсэл  
 		орсон талаар мэдээлэл өгдөг. Ихэнхдээ энэ нь &os;-д яагаад тухайн хэрэгсэл 
 		байдаг, юунд хэрэглэгддэг болон хэрэгсэл хэрхэн бий болсон талаар байдаг.</para>
 	</callout>
 
 	<callout arearefs="co-descript">
 	  <para><literal>Problem Description</literal> буюу асуудлын тайлбар талбар нь 
 		аюулгүй байдлын цоорхойг гүнзгий тайлбарладаг. Энэ нь гажигтай кодын мэдээлэл 
 		эсвэл бүр хэрэгслийг хэрхэн хорлонтойгоор ашиглаж аюулгүй байдлын цоорхой 
 		нээдэг тухай мэдээллийг агуулдаг.</para>
 	</callout>
 
 	<callout arearefs="co-impact">
 	  <para><literal>Impact</literal> буюу үйлчлэл талбар нь асуудал системд 
 		ямар төрлийн үйлчлэл үзүүлдгийг тайлбарладаг. Жишээ нь энэ нь 
 		үйлчилгээг зогсоох халдлагаас авахуулаад хэрэглэгчдэд өгч болох нэмэлт 
 		зөвшөөрлүүд эсвэл халдагчид супер хэрэглэгчийн хандалт өгөх зэрэг 
 		юу ч байж болно.</para>
 	</callout>
 
 	<callout arearefs="co-workaround">
 	  <para><literal>Workaround</literal> буюу тойрон гарах талбар нь 
 		боломжит тойрон гарах арга замыг системийг шинэчилж чадахгүй байж болох 
 		системийн администраторуудад олгодог. Энэ нь хугацааны шаардлагууд, 
 		сүлжээний боломж эсвэл өөр бусад олон шалтгаанаас болдог байж болох 
 		юм. Ямар ч байсан гэсэн аюулгүй байдлыг хөнгөнөөр авч үзэж болохгүй 
 		бөгөөд нөлөөлөлд орсон систем эсвэл засвар нөхөөс хийгдэх аль эсвэл 
 		аюулгүй байдлын цоорхойг тойрон гарах шийдэл хийгдэх 
 		шаардлагатай.</para>
 	</callout>
 
 	<callout arearefs="co-solution">
 	  <para><literal>Solution</literal> буюу шийдэл талбар нь нөлөөлөлд орсон 
 		системийг засварлах заавруудыг санал болгодог. Энэ нь системд засвар 
 		нөхөөс хийн аюулгүй ажиллуулах алхам алхмаар тест хийгдэж шалгагдсан арга 
 		юм.</para>
 	</callout>
 
 	<callout arearefs="co-details">
 	  <para><literal>Correction Details</literal> буюу засварын нарийн 
 		учир талбар нь <acronym>CVS</acronym> салбар эсвэл хувилбарын 
 		нэрийн цэгүүдийг доогуур зураас тэмдэгтээр өөрчилж үзүүлдэг. Мөн энэ нь 
 		салбар болгон дахь нөлөөлөлд орсон файлуудын хувилбарын дугаарыг бас 
 		харуулдаг.</para>
 	</callout>
 
 	<callout arearefs="co-ref">
 	  <para><literal>References</literal> буюу лавлагаа талбар нь ихэвчлэн 
 		бусад мэдээллийн эхүүдийг өгдөг. Энэ нь вэбийн <acronym>URL</acronym>-ууд, 
 		номнууд, захидлын жагсаалтууд болон мэдээний бүлгүүдийг агуулж болно.</para>
 	</callout>
       </calloutlist>
     </sect2>
   </sect1>
 
   <sect1 id="security-accounting">
     <sect1info>
       <authorgroup>
 	<author>
 	  <firstname>Том</firstname>
 	  <surname>Рөүдс</surname>
 	  <contrib>Хувь нэмэр болгон оруулсан </contrib>
 	</author>
       </authorgroup>
     </sect1info>
     <indexterm>
       <primary>Процессийн бүртгэл хөтлөх</primary>
     </indexterm>
     <title>Процессийн бүртгэл хөтлөх</title>
 
     <para>Процессийн бүртгэл хөтлөх аюулгүй байдлын аргыг ашиглаж 
 	администраторууд системийн эх үүсвэрүүдийг ашигласан байдал болон тэдгээрийг 
 	хэрэглэгчдэд хэрхэн хуваарилсныг мэдэж болох бөгөөд энэ нь системийг монитор 
 	хийх боломжийг олгодог. Мөн энэ арга нь хэрэглэгчдийн тушаалуудыг туйлын 
 	багаар  мөшгих боломжийг администраторуудад олгодог.</para>
 
     <para>Энэ нь үнэн хэрэгтээ өөрийн эерэг болон сөрөг талуудтай. Эерэг талуудын нэг нь 
 	халдлагыг орсон цэг хүртэл нарийсган олох боломж юм. Сөрөг тал нь процессийн 
 	бүртгэл хөтлөлтөөр үүссэн бүртгэлүүд бөгөөд тэдгээр нь дискний зай шаардаж 
 	болох юм. Энэ хэсэг процессийн бүртгэл хөтлөлтийн үндсүүдийг администраторуудад 
 	таниулах болно.</para>
 
     <sect2>
       <title>Процессийн бүртгэл хөтлөлтийг идэвхжүүлж хэрэглэх нь</title>
       <para>Процессийн бүртгэл хөтлөлтийг ашиглаж эхлэхээсээ өмнө үүнийг идэвхжүүлэх 
 	хэрэгтэй. Үүнийг хийхийн тулд дараах тушаалуудыг ажиллуул:</para>
 
       <screen>&prompt.root; <userinput>touch <filename>/var/account/acct</filename></userinput>
 
 &prompt.root; <userinput>accton <filename>/var/account/acct</filename></userinput>
 
 &prompt.root; <userinput>echo 'accounting_enable="YES"' &gt;&gt; <filename>/etc/rc.conf</filename></userinput></screen>
 
       <para>Идэвхтэй болгосны дараа бүртгэл хөтлөлт <acronym>CPU</acronym> 
 	статистикууд, тушаалууд гэх мэтийг даган мөшгиж эхэлнэ. Бүртгэлийн 
 	бүх бичлэгүүд уншиж болохооргүй хэлбэрээр байдаг бөгөөд тэдгээрийг 
 	&man.sa.8; хэрэгсэл ашиглан үзэж болдог. Ямар нэг тохируулгагүйгээр 
 	ажиллуулбал <command>sa</command> тушаал нь хэрэглэгч болгоны 
 	дуудлагуудын тоо, нийт зарцуулсан хугацааг минутаар, нийт <acronym>CPU</acronym> 
 	болон хэрэглэгчийн хугацааг минутаар, дундаж I/O үйлдлүүдийн тоо 
 	гэх мэттэй холбоотой мэдээллийг дэлгэцэнд хэвлэн үзүүлдэг.</para>
 
       <para>Тушаалуудыг ашигласан тухай мэдээллийг харахын тулд &man.lastcomm.1; 
 	хэрэгслийг ашиглах хэрэгтэй. <command>lastcomm</command> тушаал нь 
 	тухайн &man.ttys.5; дээр хэрэглэгчдийн ажиллуулсан тушаалуудыг 
 	үзүүлэхэд хэрэглэгдэж болно, жишээ нь:</para>
 
       <screen>&prompt.root; <userinput>lastcomm ls
 	<username>trhodes</username> ttyp1</userinput></screen>
 
       <para>Дээрх тушаал нь <literal>ttyp1</literal> терминал дээр <username>trhodes</username> 
 	хэрэглэгчийн <command>ls</command> тушаал ашигласан мэдэгдэж байгаа 
 	бүгдийг дэлгэцэд харуулах болно.</para>
 
       <para>Өөр олон ашигтай тохируулгууд байдаг бөгөөд &man.lastcomm.1;, 
 	&man.acct.5; болон &man.sa.8; гарын авлагын хуудаснуудад тайлбарласан 
 	байдаг.</para>
     </sect2>
   </sect1>  
 </chapter>
 
 <!--
      Local Variables:
      mode: sgml
      sgml-declaration: "../chapter.decl"
      sgml-indent-data: t
      sgml-omittag: nil
      sgml-always-quote-attributes: t
      sgml-parent-document: ("../book.sgml" "part" "chapter")
      End:
 -->