diff --git a/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml b/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml index 3b8e869e44..893347b07a 100644 --- a/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml @@ -1,649 +1,649 @@ Библиография Так как страницы Справочника FreeBSD предоставляют лишь описание отдельных частей операционной системы FreeBSD, они не очень удобны для иллюстрации объединения этих частей вместе для того, чтобы настроить ОС и сделать ее работу более гладкой. Для этого незаменимы хорошая книга по системному администрированию &unix; и хорошее руководство пользователя. Книги и журналы, специализирующиеся на FreeBSD Международные книги и журналы: Using FreeBSD (на китайском). FreeBSD Unleashed (перевод на китайский), опубликовано China Machine Press. ISBN 7-111-10201-0. FreeBSD From Scratch First Edition (на китайском), опубликовано China Machine Press. ISBN 7-111-07482-3. FreeBSD From Scratch Second Edition (на китайском), опубликовано China Machine Press. ISBN 7-111-10286-X. FreeBSD Handbook (на китайском), опубликовано - Posts & Telecom + Posts & Telecom Press. ISBN 7-115-10541-3. FreeBSD 3.x Internet (на китайском), опубликовано Tsinghua University Press. ISBN 7-900625-66-6. - FreeBSD & Windows (на китайском), ISBN 7-113-03845-X + FreeBSD & Windows (на китайском), ISBN 7-113-03845-X FreeBSD Internet Services HOWTO (на китайском), ISBN 7-113-03423-3 FreeBSD for PC 98'ers (на японском), выпущено SHUWA System Co, LTD. ISBN 4-87966-468-5 C3055 P2900E. FreeBSD (на японском), выпущено CUTT. ISBN 4-906391-22-2 C3055 P2400E. Complete Introduction to FreeBSD (на японском), выпущено Shoeisha Co., Ltd. ISBN 4-88135-473-6 P3600E. Personal UNIX Starter Kit FreeBSD (на японском), выпущено ASCII. ISBN 4-7561-1733-3 P3000E. FreeBSD Handbook (японский перевод), выпущено ASCII. ISBN 4-7561-1580-2 P3800E. FreeBSD mit Methode (на немецком), выпущено Computer und Literatur Verlag/Vertrieb Hanser, 1998. ISBN 3-932311-31-0. FreeBSD 4 - Installieren, Konfigurieren, Administrieren (на немецком), выпущено Computer und Literatur Verlag, 2001. ISBN 3-932311-88-4. FreeBSD 5 - Installieren, Konfigurieren, Administrieren (на немецком), выпущено Computer und Literatur Verlag, 2003. ISBN 3-936546-06-1. FreeBSD de Luxe (на немецком), выпущено Verlag Modere Industrie, 2003. ISBN 3-8266-1343-0. FreeBSD Install and Utilization Manual (на японском), выпущено Mainichi Communications Inc.. Onno W Purbo, Dodi Maryanto, Syahrial Hubbany, Widjil Widodo Создание Интернет Сервера с использованием FreeBSD (на Индонезийском языке), выпущено Elex Media Komputindo. Книги и журналы на английском языке: Absolute BSD: The Ultimate Guide to FreeBSD, выпущено No Starch Press, 2002. ISBN: 1886411743 The Complete FreeBSD, выпущено O'Reilly, 2003. ISBN: 0596005164 The FreeBSD Corporate Networker's Guide, выпущено Addison-Wesley, 2000. ISBN: 0201704811 FreeBSD: An Open-Source Operating System for Your Personal Computer, выпущено The Bit Tree Press, 2001. ISBN: 0971204500 Teach Yourself FreeBSD in 24 Hours, выпущено Sams, 2002. ISBN: 0672324245 FreeBSD unleashed, выпущено Sams, 2002. ISBN: 0672324563 FreeBSD: The Complete Reference, выпущено McGrawHill, 2003. ISBN: 0072224096 Руководства для пользователей Computer Systems Research Group, UC Berkeley. 4.4BSD User's Reference Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-075-9 Computer Systems Research Group, UC Berkeley. 4.4BSD User's Supplementary Documents. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-076-7 UNIX in a Nutshell. O'Reilly & Associates, Inc., 1990. ISBN 093717520X Mui, Linda. What You Need To Know When You Can't Find Your UNIX System Administrator. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-104-6 Ohio State University написал Ознакомительный Курс UNIX который доступен в Online в HTML и PS форматах. Итальянский перевод этого документа доступен как часть FreeBSD Italian Documentation Project. Jpman Project, Japan FreeBSD Users Group. FreeBSD User's Reference Manual (Японский перевод). Mainichi Communications Inc., 1998. ISBN4-8399-0088-4 P3800E. Эдинбургский Университет составил Online Путеводитель для новичков в UNIX. Руководства для администраторов Albitz, Paul and Liu, Cricket. DNS and BIND, 4th Ed. O'Reilly & Associates, Inc., 2001. ISBN 1-59600-158-4 Computer Systems Research Group, UC Berkeley. 4.4BSD System Manager's Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-080-5 Costales, Brian, et al. Sendmail, 2nd Ed. O'Reilly & Associates, Inc., 1997. ISBN 1-56592-222-0 Frisch, Æleen. Essential System Administration, 2nd Ed. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-127-5 Hunt, Craig. TCP/IP Network Administration, 2nd Ed. O'Reilly & Associates, Inc., 1997. ISBN 1-56592-322-7 Nemeth, Evi. UNIX System Administration Handbook. 2nd Ed. Prentice Hall, 2000. ISBN 0-13-020601-6 Stern, Hal Managing NFS and NIS O'Reilly & Associates, Inc., 1991. ISBN 0-937175-75-7 Jpman Project, Japan FreeBSD Users Group. FreeBSD System Administrator's Manual (Japanese translation). Mainichi Communications Inc., 1998. ISBN4-8399-0109-0 P3300E. Dreyfus, Emmanuel. Cahiers de l'Admin: BSD 2nd Ed. (на французском), Eyrolles, 2004. ISBN 2-212-11463-X Руководства для программистов Asente, Paul, Converse, Diana, and Swick, Ralph. X Window System Toolkit. Digital Press, 1998. ISBN 1-55558-178-1 Computer Systems Research Group, UC Berkeley. 4.4BSD Programmer's Reference Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-078-3 Computer Systems Research Group, UC Berkeley. 4.4BSD Programmer's Supplementary Documents. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-079-1 Harbison, Samuel P. and Steele, Guy L. Jr. C: A Reference Manual. 4rd ed. Prentice Hall, 1995. ISBN 0-13-326224-3 Kernighan, Brian and Dennis M. Ritchie. The C Programming Language.. PTR Prentice Hall, 1988. ISBN 0-13-110362-9 Lehey, Greg. Porting UNIX Software. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-126-7 Plauger, P. J. The Standard C Library. Prentice Hall, 1992. ISBN 0-13-131509-9 Spinellis, Diomidis. Code Reading: The Open Source Perspective. Addison-Wesley, 2003. ISBN 0-201-79940-5 Stevens, W. Richard. Advanced Programming in the UNIX Environment. Reading, Mass. : Addison-Wesley, 1992. ISBN 0-201-56317-7 Stevens, W. Richard. UNIX Network Programming. 2nd Ed, PTR Prentice Hall, 1998. ISBN 0-13-490012-X Wells, Bill. Writing Serial Drivers for UNIX. Dr. Dobb's Journal. 19(15), December 1994. pp68-71, 97-99. Внутренности операционной системы Andleigh, Prabhat K. UNIX System Architecture. Prentice-Hall, Inc., 1990. ISBN 0-13-949843-5 Jolitz, William. Porting UNIX to the 386. Dr. Dobb's Journal. January 1991-July 1992. Leffler, Samuel J., Marshall Kirk McKusick, Michael J Karels and John Quarterman The Design and Implementation of the 4.3BSD UNIX Operating System. Reading, Mass. : Addison-Wesley, 1989. ISBN 0-201-06196-1 Leffler, Samuel J., Marshall Kirk McKusick, The Design and Implementation of the 4.3BSD UNIX Operating System: Answer Book. Reading, Mass. : Addison-Wesley, 1991. ISBN 0-201-54629-9 McKusick, Marshall Kirk, Keith Bostic, Michael J Karels, and John Quarterman. The Design and Implementation of the 4.4BSD Operating System. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-54979-4 (глава 2 этой книги доступна онлайн как часть Проекта документирования FreeBSD, и глава 9 доступна здесь.) - Marshall Kirk McKusick, George V. Neville-NeilThe Design - and Implementation of the FreeBSD UNIX Operating System. + Marshall Kirk McKusick, George V. Neville-Neil The Design + and Implementation of the FreeBSD Operating System. Boston, Mass. : Addison-Wesley, 2004. ISBN 0-201-70245-2 Stevens, W. Richard. TCP/IP Illustrated, Volume 1: The Protocols. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-63346-9 Schimmel, Curt. Unix Systems for Modern Architectures. Reading, Mass. : Addison-Wesley, 1994. ISBN 0-201-63338-8 Stevens, W. Richard. TCP/IP Illustrated, Volume 3: TCP for Transactions, HTTP, NNTP and the UNIX Domain Protocols. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-63495-3 Vahalia, Uresh. UNIX Internals -- The New Frontiers. Prentice Hall, 1996. ISBN 0-13-101908-2 Wright, Gary R. and W. Richard Stevens. TCP/IP Illustrated, Volume 2: The Implementation. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-63354-X Безопасность Cheswick, William R. and Steven M. Bellovin. Firewalls and Internet Security: Repelling the Wily Hacker. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-63357-4 Garfinkel, Simson and Gene Spafford. Practical UNIX & Internet Security. 2nd Ed. O'Reilly & Associates, Inc., 1996. ISBN 1-56592-148-8 Garfinkel, Simson. PGP Pretty Good Privacy O'Reilly & Associates, Inc., 1995. ISBN 1-56592-098-8 Оборудование Anderson, Don and Tom Shanley. Pentium Processor System Architecture. 2nd Ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40992-5 Ferraro, Richard F. Programmer's Guide to the EGA, VGA, and Super VGA Cards. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-62490-7 Intel Corporation publishes documentation on their CPUs, chipsets and standards on their developer web site, usually as PDF files. Shanley, Tom. 80486 System Architecture. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40994-1 Shanley, Tom. ISA System Architecture. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40996-8 Shanley, Tom. PCI System Architecture. 4th ed. Reading, Mass. : Addison-Wesley, 1999. ISBN 0-201-30974-2 Van Gilluwe, Frank. The Undocumented PC, 2nd Ed. Reading, Mass: Addison-Wesley Pub. Co., 1996. ISBN 0-201-47950-8 Messmer, Hans-Peter. The Indispensable PC Hardware Book, 4th Ed. Reading, Mass: Addison-Wesley Pub. Co., 2002. ISBN 0-201-59616-4 История &unix; Lion, John Lion's Commentary on UNIX, 6th Ed. With Source Code. ITP Media Group, 1996. ISBN 1573980137 Raymond, Eric S. The New Hacker's Dictionary, 3rd edition. MIT Press, 1996. ISBN 0-262-68092-0. Also known as the Jargon File Salus, Peter H. A quarter century of UNIX. Addison-Wesley Publishing Company, Inc., 1994. ISBN 0-201-54777-5 Simon Garfinkel, Daniel Weise, Steven Strassmann. The UNIX-HATERS Handbook. IDG Books Worldwide, Inc., 1994. ISBN 1-56884-203-1 Don Libes, Sandy Ressler Life with UNIX — special edition. Prentice-Hall, Inc., 1989. ISBN 0-13-536657-7 The BSD family tree. или /usr/share/misc/bsd-family-tree на современном компьютере FreeBSD. The BSD Release Announcements collection. 1997. Networked Computer Science Technical Reports Library. Old BSD releases from the Computer Systems Research group (CSRG). : The 4CD set covers all BSD versions from 1BSD to 4.4BSD and 4.4BSD-Lite2 (but not 2.11BSD, unfortunately). As well, the last disk holds the final sources plus the SCCS files. Прочие издания The C/C++ Users Journal. R&D Publications Inc. ISSN 1075-2838 Sys Admin — The Journal for UNIX System Administrators Miller Freeman, Inc., ISSN 1061-2688 freeX — Das Magazin für Linux - BSD - UNIX (на немецком) Computer- und Literaturverlag GmbH, ISSN 1436-7033 diff --git a/ru_RU.KOI8-R/books/handbook/config/chapter.sgml b/ru_RU.KOI8-R/books/handbook/config/chapter.sgml index 985e2d80cf..5e37a586de 100644 --- a/ru_RU.KOI8-R/books/handbook/config/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/config/chapter.sgml @@ -1,3006 +1,3005 @@ Chern Lee Написал Mike Smith Основывается на учебнике, написанном Matt Dillon и на tuning(7), написанном Андрей Мельник Перевод на русский язык: Денис Пеплин Валерий Кравчук Настройка и оптимизация Введение настройка системы оптимизация системы Один из важных аспектов &os; это настройка системы. Правильная настройка системы поможет избежать головной боли при последующих обновлениях. Эта глава описывает большую часть процесса настройки &os;, включая некоторые параметры, которые можно установить для оптимизации системы &os;. После прочтения этой главы вы узнаете: Как эффективно работать с файловыми системами и разделами подкачки. Основы настройки rc.conf и системы запуска приложений /usr/local/etc/rc.d. Как настроить и протестировать сетевую карту. Как настроить виртуальные хосты на сетевых устройствах. Как использовать различные файлы конфигурации в /etc. Как оптимизировать &os;, используя переменные sysctl. Как увеличить скорость работы дисков и изменить ограничения, накладываемые ядром. Перед прочтением этой главы вам следует: Понять основы &unix; и &os; (). Ознакомиться с основами конфигурации/компиляции ядра (). Начальное конфигурирование Разделы диска разделы диска /etc /var /usr Основы построения разделов Во время разметки жёсткого диска с помощью &man.disklabel.8; или &man.sysinstall.8;, важно помнить, что скорость чтения и записи данных уменьшается от внешних к внутренним трекам диска. Самые маленькие и самые часто используемые файловые системы (корневую и раздел подкачки) должны быть расположены в начале диска, в то время как самые большие, такие, как /usr, в конце. Самым оптимальным считается следующий порядок расположения файловых систем: root, swap, /var, /usr. Размер файловой системы /var определяется предназначением машины. /var используется для хранения почтовых ящиков, очередей печати и лог файлов. Размер почтовых ящиков и лог файлов может расти неограниченно в зависимости от количества пользователей системы и от того, как долго хранятся лог-файлы. Большинству пользователей никогда не потребуется гигабайт, но помните, что /var/tmp должен быть достаточно большим для пакетов. В разделе /usr содержит большинство файлов, необходимых для поддержки системы, &man.ports.7; (порты, рекомендуется) и исходные тексты (опционально). Оба эти каталога опциональны при установке. Для этого раздела рекомендуется как минимум 2 гигабайта. При установке размера разделов, не забудьте принять во внимание рост размера требуемого системе дискового пространства. Переполнение одного раздела даже при наличии свободного места на другом может вызвать затруднения. Многие пользователи обнаружили, что размер разделов, предлагаемый &man.sysinstall.8;'ом по умолчанию, иногда меньше подходящего для разделов /var и /. Тщательно планируйте размер разделов и не жалейте места. Раздел подкачки размер раздела подкачки раздел подкачки Как правило, размер раздела подкачки должен быть равен удвоенному размеру оперативной памяти. Например, если на машине установлено 128 мегабайт памяти, раздел подкачки должен быть 256 мегабайт. Системы с меньшим количеством памяти могут работать лучше с большим объёмом раздела подкачки. Не рекомендуется устанавливать размер раздела подкачки меньше 256 мегабайт, необходимо также принять во внимание возможное наращивание объема установленной на машине памяти. Алгоритмы кэширования VM настроены на максимальное быстродействие, когда размер раздела подкачки равен как минимум удвоенному размеру памяти. Заниженный размер раздела подкачки может привести к неэффективной работе постраничного сканирования VM и вызвать проблемы при увеличении объёма памяти. На больших системах с несколькими SCSI дисками (или несколькими IDE дисками, находящимися на разных контроллерах), рекомендуется создавать раздел подкачки на каждом диске (до четырёх дисков). Разделы подкачки должны быть примерно одного размера. Ядро не накладывает ограничений на размер раздела подкачки, но внутренние структуры позволяют иметь общий размер разделов подкачки, равный наибольшему, умноженному на четыре. Выделение под разделы подкачки примерно одинакового места позволить ядру оптимально расположить разделы подкачки. Установка размера подкачки больше требуемого нормальна, даже если этот объем не используется. В этих условиях может быть проще восстановиться после зависания программы перед тем, как возникнет необходимость перезагрузки. Зачем нужны разделы? Некоторые пользователи считают, что лучше использовать один большой раздел, но есть несколько причин, по которым этого лучше не делать. Во-первых, у каждого раздела свои характеристики, и отделяя их, можно выполнить соответствующие настройки. Например, корневая и файловая система и /usr в основном предназначены для чтения, без большого объема записи. В то же время множество операций чтения и записи выполняется в /var и /var/tmp. При правильном размещении и выборе размера разделов системы, фрагментация в более маленьких разделах, куда часто записываются данные, не перенесётся на остальные разделы. Размещение самых часто используемых разделов ближе к началу диска увеличит скорость ввода/вывода там, где она нужна больше всего. Хотя производительность важна и для больших дисков, передвижение их ближе к концу диска не повлечёт значительного уменьшения быстродействия по сравнению с перемещением ближе к концу диска /var. И, наконец, разделы существуют и из соображений безопасности. Наличие маленького аккуратного корневого раздела, доступного только для чтения даёт значительные шансы на "выживание" после краха системы. Основные настройки rc файлы rc.conf Основные настройки системы располагаются в /etc/rc.conf. Этот файл вмещает широкий спектр конфигурационной информации, используемой при загрузке системы. Имя этого файла прямо отражает его назначение, это файл настройки для файлов rc*. Администратор должен сделать записи в rc.conf чтобы переопределить строки по умолчанию из /etc/defaults/rc.conf. Файлы по умолчанию нельзя копировать в /etc - они вмещают значения по умолчанию, а не примеры значений. Все специфичные для данной системы изменения должны быть сделаны в файле rc.conf. Существует несколько методов для отделения общей конфигурации для группы систем от конкретной для данной системы в целях уменьшения объема работы администратора. Рекомендуемый метод - прописать общую конфигурацию в отдельный файл, например, в /etc/rc.conf.site, и включить его название в /etc/rc.conf, который вмещает только специфичную для данной системы информацию. Поскольку rc.conf читается &man.sh.1;, есть тривиальный способ сделать это. Например: rc.conf: . rc.conf.site hostname="node15.example.com" network_interfaces="fxp0 lo0" ifconfig_fxp0="inet 10.1.1.1" rc.conf.site: defaultrouter="10.1.1.254" saver="daemon" blanktime="100" Файл rc.conf.site может быть распространён на все системы, используя rsync или подобную ей программу, в то время, как rc.conf должен остаться только на одной машине. Обновление системы с помощью &man.sysinstall.8; или make world не повлекут за собой перезапись rc.conf. Вся информация в этом файле сохранится. Настройка приложений Обычно, установленные приложения имеют свои конфигурационные файлы, со своим собственным синтаксисом. Важно хранить эти файлы отдельно от файлов основной системы, чтобы их можно было легко администрировать с помощью средств управления пакетами. /usr/local/etc Обычно эти файлы устанавливаются в /usr/local/etc. В случае, если приложению нужно большое количество конфигурационных файлов, для их хранения будет создан подкаталог. Обычно, вместе с установкой портов и пакетов, устанавливаются и примеры конфигурационных файлов. Обычно они имеют расширение .default. Если не существует конфигурационных файлов для этого приложения, они будут созданы путём копирования .default файлов. Например, /usr/local/etc/apache: -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf.default -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf.default -rw-r--r-- 1 root wheel 12205 May 20 1998 magic -rw-r--r-- 1 root wheel 12205 May 20 1998 magic.default -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types.default -rw-r--r-- 1 root wheel 7980 May 20 1998 srm.conf -rw-r--r-- 1 root wheel 7933 May 20 1998 srm.conf.default Размеры файлов показывают, что только файл srm.conf был изменён. При следующем обновлении Apache этот файл уже не будет перезаписан. Tom Rhodes Предоставил Запуск сервисов сервисы Многие пользователи предпочитают устанавливать программы сторонних производителей в &os; из набора портов. В подобных случаях может потребоваться сконфигурировать программы так, чтобы они запускались при инициализации системы. Сервисы, такие как mail/postfix или www/apache13, — это лишь два примера множества программных пакетов, которые - можно запускать при инициализации системы. Поэтому остается только - надеяться, что для процедур, способных работать с программами - сторонних производителей, будут выдаваться объяснения в тех редких - случаях, когда что-то идет не так и приложение не запускается как - следует. + можно запускать при инициализации системы. В этом разделе + описывается процедура, предназначенная для запуска программ + сторонних разработчиков. Большинство входящих в &os; сервисов, таких как &man.cron.8;, запускается с помощью стартовых скриптов системы. Эти скрипты - могут отличаться в зависимости от версии &os; или ее производителя; + могут различаться в зависимости от версии &os; или ее производителя; однако важнее всего учитывать, что их начальную конфигурацию можно задать с помощью простых стартовых скриптов. - С момента появления rcNG стало ясно, что инициализацию системы - для утилит сторонних производителей можно упростить. Многие - годы приложения должны были помещать простой стартовый скрипт в + До появления rcNG приложения должны были помещать + простой стартовый скрипт в каталог /usr/local/etc/rc.d, который затем читался скриптами инициализации системы. Эти скрипты затем выполнялись в ходе последующих стадий запуска системы. Хотя много разработчиков потратили часы на попытки внедрить старый стиль конфигурирования в новую систему, остаётся фактом, что для некоторых утилит сторонних производителей по-прежнему необходим скрипт, помещённый в указанный выше каталог. Незначительные - различия в скриптах зависят от того, используется ли rcNG. Для - любой версии &os; до 5.1 дополнительное конфигурирование не - потребуется; в действительности, почти во всех случаях прекрасно - подойдет скрипт, который вскоре будет представлен. + различия в скриптах зависят от того, используется ли rcNG. До + версии &os; 5.1 использовались скрипты в старом стиле, + и почти во всех случаях скрипты в новом стиле должны подойти так же + хорошо. Хотя каждый скрипт должен соответствовать некоторым минимальным требованиям, в большинстве случаев эти требования не зависят от версии &os;. Каждый скрипт должен иметь в конце расширение .sh и каждый скрипт должен быть выполняемым. Последнее требование может быть выполнено путем установки командой chmod уникальных прав доступа 755. Также, как минимум, должна быть опция start для запуска приложения и опция stop для его остановки. Простейший стартовый скрипт, пожалуй, будет похож на следующий: #!/bin/sh echo -n ' utility' case "$1" in start) /usr/local/bin/utility ;; stop) kill -9 `cat /var/run/utility.pid` ;; *) echo "Usage: `basename $0` {start|stop}" >&2 exit 64 ;; esac exit 0 Этот скрипт поддерживает опции stop и start для приложения, которое мы здесь называем просто — utility. Для этого приложения затем можно поместить следующую строку в файл /etc/rc.conf: utility_enable="YES" А можно запускать его и вручную, с помощью команды: &prompt.root; /usr/local/etc/rc.d/utility.sh start Хотя и не все программы сторонних производителей требуют добавления строки в файл rc.conf, практически каждый день очередной новый порт меняется так, чтобы поддерживать подобную конфигурацию. Поищите в результатах, выдаваемых после установки более детальную информацию по конкретному приложению. Некоторые программы сторонних производителей будут включать стартовые скрипты, позволяющие использовать приложение с rcNG; но это мы еще обсудим в следующем разделе. Расширенное конфигурирование приложения Теперь, когда &os; включает rcNG, конфигурирование запуска приложений стало более оптимальным; фактически, оно стало более тщательным. С помощью ключевых слов, рассмотренных в разделе rcNG, приложения теперь можно настроить для запуска после других заданных сервисов, например, DNS; можно разрешить передачу дополнительных флагов через rc.conf вместо жесткого задания флагов в стартовых скриптах, и т.д. Простой скрипт может иметь следующий вид: #!/bin/sh # # PROVIDE: utility # REQUIRE: DAEMON # BEFORE: LOGIN # KEYWORD: FreeBSD shutdown # # НЕ МЕНЯЙТЕ ЗДЕСЬ ЭТИ СТАНДАРТНЫЕ ЗНАЧЕНИЯ # ЗАДАВАЙТЕ ИХ В ФАЙЛЕ /etc/rc.conf # utility_enable=${utility_enable-"NO"} utility_flags=${utility_flags-""} utility_pidfile=${utility_pidfile-"/var/run/utility.pid"} . /etc/rc.subr name="utility" rcvar=`set_rcvar` command="/usr/local/sbin/utility" load_rc_config $name pidfile="${utility_pidfile}" start_cmd="echo \"Starting ${name}.\"; /usr/bin/nice -5 ${command} ${utility_flags} ${command_args}" run_rc_command "$1" Этот скрипт будет гарантировать, что указанное приложение utility будет запущено перед сервисом login, но после сервиса daemon. Он также предоставляет метод для создания и отслеживания файла идентификатора процесса, PID. Этот новый метод также позволяет легко работать с аргументами командной строки, включать стандартные функции из файла /etc/rc.subr, обеспечивает совместимость с утилитой &man.rcorder.8; и упрощает конфигурирование с помощью файла rc.conf. По сути, этот сценарий можно даже поместить в каталог /etc/rc.d. Это, однако, потенциально может сбить с толку утилиту &man.mergemaster.8; при обновлениях программного обеспечения. Использование сервисов для запуска сервисов Другие сервисы, такие как даемоны сервера POP3, IMAP, и т.п. могут быть запущены с помощью &man.inetd.8;. Для этого необходимо установить сервисную утилиту из набора портов и добавить соответствующую строчку конфигурации в файл /etc/inetd.conf или раскомментировать подходящую строку конфигурации из уже имеющихся. Работа с даемоном inetd и его конфигурирование подробно описано в разделе inetd. В некоторых случаях использование для запуска системных служб даемона &man.cron.8; может оказаться более приемлемым. Этот подход имеет несколько преимуществ, поскольку даемон cron запускает эти процессы от имени владельца файла crontab. Это позволяет обычным пользователям запускать и поддерживать некоторые приложения. Утилита cron поддерживает уникальную возможность, @reboot, — это значение можно использовать вместо спецификации времени. В результате, задание будет выполнено при запуске &man.cron.8;, обычно — в ходе инициализации системы. Tom Rhodes Предоставил Настройка утилиты <command>cron</command> cron настройка Одна из наиболее полезных утилит &os; это &man.cron.8;. Утилита cron работает в фоновом режиме и постоянно проверяет файл /etc/crontab. Утилита cron проверяет также каталог /var/cron/tabs в поиске новый файлов crontab. Файлы crontab содержат информацию об определенных функциях, которые cron выполняет в указанное время. Утилита cron использует два разных типа конфигурационных файлов, системный и пользовательский. Все различие между этими двумя форматами заключается в шестом поле. В системном файле шестое поля это имя пользователя, с правами которого будет запущена команда. Это позволяет запускать команды из системного crontab от любого пользователя. В пользовательском файле шестое поле указывает запускаемую команду, и все команды запускаются от пользователя, который создал crontab; это важно для безопасности. Пользовательские crontab позволяют индивидуальным пользователям планировать задачи без привилегий суперпользователя. Команды из crontab пользователя запускаются с привилегиями этого пользователя. Пользователь root может использовать собственный crontab, как и любой другой пользователь. Он будет отличаться от системного crontab /etc/crontab. Поскольку существует системный crontab, обычно не требуется создавать пользовательский crontab для root. Давайте заглянем в файл /etc/crontab (системный crontab): # /etc/crontab - root's crontab for &os; # # $&os;: src/etc/crontab,v 1.32 2002/11/22 16:13:39 tom Exp $ # # SHELL=/bin/sh PATH=/etc:/bin:/sbin:/usr/bin:/usr/sbin HOME=/var/log # # #minute hour mday month wday who command # # */5 * * * * root /usr/libexec/atrun Как и в большинстве файлов настройки FreeBSD, символы # означают комментарии. Комментарии нужны для напоминания о том, что означает строка и зачем она добавлена. Комментарии не могут находиться на той же строке, что и команда, или они будут восприняты как часть команды; располагайте их на новой строке. Пустые строки игнорируются. Сначала должны быть заданы переменные окружения. Знак равно (=) используется для задания переменных окружения, в этом примере SHELL, PATH, и HOME. Если переменная для оболочки не задана, cron использует оболочку по умолчанию, sh. Если не задана переменная PATH, значение по умолчанию не устанавливается и пути к файлам должны быть полными. Если не задана переменная HOME, cron будет использовать домашний каталог соответствующего пользователя. В строке всего семь полей. Их значения minute, hour, mday, month, wday, who (кто), и command. Значение полей почти очевидно. minute это время в минутах, когда будет запущена команда. hour означает то же самое для часов. mday означает день месяца. month, это то же самое, что час и минута, но для месяцев. Параметр wday это день недели. Все эти поля должны быть в числовом формате, время в двадцатичетырехчасовом исчислении. Поле who имеет специальное значение, и присутствует только в файле /etc/crontab. Это поле определяет пользователя, с правами которого должна быть запущена команда. Когда пользователь устанавливает собственный файл crontab, он не указывает этот параметр. Последний параметр command. Он указывает команду, которая должна быть запущена. Последняя строка определяет параметры, описанные выше. Здесь задано значение */5, и несколько символов *. Эти символы * означают первый-последний, и могут быть интерпретированы как каждый. Таким образом, для этой строки соответствующая команда atrun вызывается под пользователем root каждые пять минут независимо от дня или месяца. За дополнительной информацией по команде atrun обращайтесь к странице справочника &man.atrun.8;. Команды могут принимать любое количество параметров; однако команды, состоящие из нескольких строк, должны быть объединены символом \. Этот формат одинаков для каждого файла crontab, за исключением одной детали. Шестое поле, где указано имя пользователя, присутствует только в файле /etc/crontab. Это поле должно быть исключено из crontab файлов пользователей. Установка crontab Вы не должны использовать процедуру, описанную здесь, для установки системного crontab. Просто используйте свой любимый текстовый редактор: утилита cron узнает о том, что файл изменился и сразу начнет использовать обновленную версию. Обратитесь к этой части FAQ за дальнейшей информацией. Для установки готового crontab пользователя, сначала создайте в вашем любимом редакторе файл соответствующего формата, а затем воспользуйтесь утилитой crontab. Обычно она запускается так: &prompt.user; crontab crontab-file В этом примере, crontab-file это имя файла crontab, который только что был создан. Существует также параметр для просмотра установленных файлов crontab: задайте crontab параметр . Для пользователей, составляющих crontab вручную, без временного файла, существует параметр crontab -e. Она вызовет редактор с пустым файлом. Когда файл будет сохранен, crontab автоматически установит его. Если позднее вы захотите полностью удалить свой crontab, используйте crontab с параметром . Tom Rhodes Предоставил Использование rc в FreeBSD 5.X rcNG В &os; недавно была интегрирована из NetBSD система rc.d, используемая для старта системы. Многие из файлов в каталоге /etc/rc.d предназначены для основных сервисов, они могут управляться параметрами , , и . Например, &man.sshd.8; может быть перезапущен следующей командой: &prompt.root; /etc/rc.d/sshd restart Эта процедура похожа для других сервисов. Конечно, сервисы обычно запускаются автоматически, как указано в &man.rc.conf.5;. Например, включение даемона Network Address Translation при запуске выполняется простым добавлением следующей строки в /etc/rc.conf: natd_enable="YES" Если уже присутствует, просто измените на . Скрипты rc автоматически загрузят все другие зависимые сервисы, как описано ниже. Поскольку система rc.d в основном предназначена для запуска/отключения сервисов во время запуска/отключения системы, стандартные параметры , и будут работать только если установлена соответствующая переменная в /etc/rc.conf. Например, команда выше sshd restart будет работать только если переменная sshd_enable в файле /etc/rc.confустановлена в . Для выполнения скриптов независимо от установок в /etc/rc.conf, параметры , или необходимо задавать с префиксом force. Например, для перезапуска sshd независимо от установок в /etc/rc.conf, выполните следующую команду: &prompt.root; /etc/rc.d/sshd forcerestart Проверить состояние переменной в файле /etc/rc.conf легко: запустите соответствующий скрипт из rc.d с параметром . Проверка переменной для sshd выполняется следующей командой: &prompt.root; /etc/rc.d/sshd rcvar # sshd $sshd_enable=YES Вторая строка (# sshd) это вывод команды sshd, а не консоль root. Чтобы определить, запущен ли сервис, существует параметр . Например для проверки того, запущен ли sshd, выполните: &prompt.root; /etc/rc.d/sshd status sshd is running as pid 433. Возможна также перегрузка () сервиса. Скрипт, запущенный с этим параметром, попытается отправить сервису сигнал, вызывающий перезагрузку файлов настройки. В большинстве случаев это означает отправку сервису сигнала SIGHUP. Структура rcNG используется не только для сетевых серверов, она отвечает также за большую часть инициализации системы. Рассмотрим, к примеру, файл bgfsck. Во время выполнения этот скрипт выводит следующее сообщение: Starting background file system checks in 60 seconds. Следовательно, этот файл используется для фоновой проверки файловых систем, которая выполняется только в процессе инициализации системы. Функционирование многих сервисов системы зависит от корректной работы других сервисов. Например, NIS и другие основанные на RPC сервисы могут не запуститься, пока не загрузится rpcbind (portmapper). Для разрешения этой проблемы, в начале каждого скрипта в комментарии включаются информация о зависимостях и другие метаданные. Программа &man.rcorder.8; для разбора этих комментариев во время старта системы для определения порядка, в котором должны вызываться системные сервисы в соответствии с зависимостями. В начало каждого стартового файла должны быть включены следующие строки: PROVIDE: Задает имя сервиса, предоставляемого этим файлом. REQUIRE: Список сервисов, необходимых этому сервису. Этот файл будет запущен после указанных сервисов. BEFORE: Список сервисов, зависящих от этого сервиса. Этот файл будет запущен до указанных сервисов. KEYWORD: &os; или NetBSD. Используется для функций, зависящих от версии *BSD. Используя этот метод, администратор может легко контролировать системные сервисы без использования уровней запуска, как в некоторых других операционных системах &unix;. Дополнительную информацию о системе rc.d &os; 5.X можно найти на страницах справочника &man.rc.8; и and &man.rc.subr.8;. Marc Fonvieille Предоставил Настройка карт сетевых интерфейсов настройка сетевой карты В наши дни мы не представляем себе компьютера без сетевого подключения. Добавление и настройка сетевой карты это обычная задача любого администратора &os;. Поиск подходящего драйвера настройка сетевой карты поиск драйвера В первую очередь определите тип используемой карты (PCI или ISA), модель карты и используемый в ней чип. &os; поддерживает многие PCI и ISA карты. Обратитесь к Списку поддерживаемого оборудования вашего релиза чтобы узнать, поддерживается ли карта. Как только вы убедились, что карта поддерживается, потребуется определить подходящий драйвер. В файле /usr/src/sys/i386/conf/LINT находится список драйверов сетевых интерфейсов с информацией о поддерживаемых чипсетах/картах. Если вы сомневаетесь в том, какой драйвер подойдет, прочтите страницу справочника к драйверу. Страница справочника содержит больше информации о поддерживаемом оборудовании и даже о проблемах, которые могут возникнуть. Если ваша карта широко распространена, вам скорее всего не потребуется долго искать драйвер. Драйверы для широко распространенных карт представлены в ядре GENERIC, так что ваша карта должна определиться при загрузке, примерно так: dc0: <82c169 PNIC 10/100BaseTX> port 0xa000-0xa0ff mem 0xd3800000-0xd38 000ff irq 15 at device 11.0 on pci0 dc0: Ethernet address: 00:a0:cc:da:da:da miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto dc1: <82c169 PNIC 10/100BaseTX> port 0x9800-0x98ff mem 0xd3000000-0xd30 000ff irq 11 at device 12.0 on pci0 dc1: Ethernet address: 00:a0:cc:da:da:db miibus1: <MII bus> on dc1 ukphy1: <Generic IEEE 802.3u media interface> on miibus1 ukphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto В этом примере две карты используют имеющийся в системе драйвер &man.dc.4;. Для использования сетевой карты потребуется загрузить подходящий драйвер. Это можно сделать двумя способами. Самый простой способ это загрузка модуля ядра для сетевой карты с помощью &man.kldload.8;. Не для каждой сетевой карты есть модуль (например ISA карты и карты, использующие драйвер &man.ed.4;). В качестве альтернативы, вы можете статически добавить поддержку сетевой карты в ядро. Проверьте /usr/src/sys/i386/conf/LINT и страницу справочника драйвера, чтобы узнать, что добавить в файл конфигурации ядра. За дополнительной информацией о пересборке ядра обращайтесь к . Если ваша карта была обнаружена ядром (GENERIC) во время загрузки, собирать новое ядро не потребуется. Настройка сетевой карты настройка сетевой карты настройка Как только для сетевой карты загружен подходящий драйвер, ее потребуется настроить. Как и многое другое, сетевая карта может быть настроена во время установки с помощью sysinstall. Для вывода информации о настройке сетевых интерфейсов системы, введите следующую команду: &prompt.user; ifconfig dc0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.1.3 netmask 0xffffff00 broadcast 192.168.1.255 ether 00:a0:cc:da:da:da media: Ethernet autoselect (100baseTX <full-duplex>) status: active dc1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.1 netmask 0xffffff00 broadcast 10.0.0.255 ether 00:a0:cc:da:da:db media: Ethernet 10baseT/UTP status: no carrier lp0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500 lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet 127.0.0.1 netmask 0xff000000 tun0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500 Старые версии &os; могут потребовать запуска &man.ifconfig.8; с параметром , за более подробным описанием синтаксиса &man.ifconfig.8; обращайтесь к странице справочника. Учтите также, что строки, относящиеся к IPv6 (inet6 и т.п.) убраны из этого примера. В этом примере были показаны следующие устройства: dc0: первый Ethernet интерфейс dc1: второй Ethernet интерфейс lp0: интерфейс параллельного порта lo0: устройство loopback tun0: туннельное устройство, используемое ppp Для присвоения имени сетевой карте &os; использует имя драйвера и порядковый номер, в котором карта обнаруживается при инициализации устройств. Например, sis2 это третья сетевая карта, использующая драйвер &man.sis.4;. В этом примере, устройство dc0 включено и работает. Ключевые признаки таковы: UP означает, что карта настроена и готова. У карты есть интернет (inet) адрес (в данном случае 192.168.1.3). Установлена маска подсети (netmask; 0xffffff00, то же, что и 255.255.255.0). Широковещательный адрес (в данном случае, 192.168.1.255). Значение MAC адреса карты (ether) 00:a0:cc:da:da:da Выбор физической среды передачи данных в режиме автовыбора (media: Ethernet autoselect (100baseTX <full-duplex>)). Мы видим, что dc1 была настроена для работы с 10baseT/UTP. За более подробной информацией о доступных драйверу типах среды обращайтесь к странице справочника. Статус соединения (status) active, т.е. несущая обнаружена. Для dc1, мы видим status: no carrier. Это нормально, когда Ethernet кабель не подключен к карте. Если &man.ifconfig.8; показывает примерно следующее: dc0: flags=8843<BROADCAST,SIMPLEX,MULTICAST> mtu 1500 ether 00:a0:cc:da:da:da это означает, что карта не была настроена. Для настройки карты вам потребуются привилегии пользователя root. Настройка сетевой карты может быть выполнена из командной строки с помощью &man.ifconfig.8;, но вам потребуется делать это после каждой перезагрузки системы. Подходящее место для настройки сетевых карт это файл /etc/rc.conf. Откройте /etc/rc.conf в текстовом редакторе. Вам потребуется добавить строку для каждой сетевой карты, имеющейся в системе, например, в нашем случае, было добавлено две строки: ifconfig_dc0="inet 192.168.1.3 netmask 255.255.255.0" ifconfig_dc1="inet 10.0.0.1 netmask 255.255.255.0 media 10baseT/UTP" Замените dc0, dc1, и так далее на соответствующие имена ваших карт, подставьте соответствующие адреса. Обратитесь к страницам справочника сетевой карты и &man.ifconfig.8;, за подробной информацией о доступных опциях и к странице справочника &man.rc.conf.5; за дополнительной информацией о синтаксисе /etc/rc.conf. Если вы настроили сетевую карту в процессе установки системы, некоторые строки, касающиеся сетевой карты, могут уже присутствовать. Внимательно проверьте /etc/rc.conf перед добавлением каких-либо строк. Отредактируйте также файл /etc/hosts для добавления имен и IP адресов различных компьютеров сети, если их еще там нет. За дополнительной информацией обращайтесь к man.hosts.5; и к /usr/share/examples/etc/hosts. Тестирование и решение проблем Как только вы внесете необходимые изменения в /etc/rc.conf, перегрузите компьютер. Изменения настроек интерфейсов будут применены, кроме того будет проверена правильность настроек. Как только система перезагрузится, проверьте сетевые интерфейсы. Проверка Ethernet карты настройка сетевой карты тестирование карты Для проверки правильности настройки сетевой карты, попробуйте выполнить ping для самого интерфейса, а затем для другой машины в локальной сети. Сначала проверьте локальный интерфейс: &prompt.user; ping -c5 192.168.1.3 PING 192.168.1.3 (192.168.1.3): 56 data bytes 64 bytes from 192.168.1.3: icmp_seq=0 ttl=64 time=0.082 ms 64 bytes from 192.168.1.3: icmp_seq=1 ttl=64 time=0.074 ms 64 bytes from 192.168.1.3: icmp_seq=2 ttl=64 time=0.076 ms 64 bytes from 192.168.1.3: icmp_seq=3 ttl=64 time=0.108 ms 64 bytes from 192.168.1.3: icmp_seq=4 ttl=64 time=0.076 ms --- 192.168.1.3 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.074/0.083/0.108/0.013 ms Затем проверьте другую машину в локальной сети: &prompt.user; ping -c5 192.168.1.2 PING 192.168.1.2 (192.168.1.2): 56 data bytes 64 bytes from 192.168.1.2: icmp_seq=0 ttl=64 time=0.726 ms 64 bytes from 192.168.1.2: icmp_seq=1 ttl=64 time=0.766 ms 64 bytes from 192.168.1.2: icmp_seq=2 ttl=64 time=0.700 ms 64 bytes from 192.168.1.2: icmp_seq=3 ttl=64 time=0.747 ms 64 bytes from 192.168.1.2: icmp_seq=4 ttl=64 time=0.704 ms --- 192.168.1.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.700/0.729/0.766/0.025 ms Вы можете также использовать имя машины вместо 192.168.1.2, если настроен файл /etc/hosts. Решение проблем настройка сетевой карты решение проблем Решение проблем с аппаратным и программным обеспечением всегда вызывает сложности, которые можно уменьшить, проверив сначала самые простые варианты. Подключен ли сетевой кабель? Правильно ли настроены сетевые сервисы? Правильно ли настроен межсетевой экран? Поддерживается ли используемая карта в &os;? Всегда проверяйте информацию об оборудовании перед отправкой сообщения об ошибке. Обновите &os; до последней версии STABLE. Просмотрите архивы списков рассылки, или поищите информацию в интернет. Если карта работает, но производительность низка, может помочь чтение страницы справочника &man.tuning.7;. Проверьте также настройки сети, поскольку неправильные настройки могут стать причиной низкой скорости соединения. Некоторые пользователи встречаются с несколькими device timeouts, что нормально для некоторых сетевых карт. Если это продолжается и надоедает, убедитесь, что устройство не конфликтует с другим устройством. Внимательно проверьте подключение кабеля. Возможно также, что вам просто надо установить другую карту. Время от времени, пользователи видят несколько ошибок watchdog timeout. Первое, что требуется сделать, это проверить сетевой кабель. Многие карты требуют поддержки Bus Mastering слотом PCI. На некоторых старых материнских платах, только один PCI слот имеет такую поддержку (обычно слот 0). Сверьтесь с документацией на сетевую карту и материнскую плату, чтобы определить, может ли это быть проблемой. Сообщение No route to host появляются, если система не в состоянии доставить пакеты к хосту назначения. Это может случиться, если не определен маршрут по умолчанию, или кабель не подключен. Проверьте вывод команды netstat -rn и убедитесь, что к соответствующему хосту есть работающий маршрут. Если это не так, прочтите . Сообщения ping: sendto: Permission denied зачастую появляются при неправильно настроенном межсетевом экране. Если ipfw включен в ядре, но правила не определены, правило по умолчанию блокирует весь трафик, даже запросы ping! Прочтите с более подробной информацией. Иногда карты недостаточна, или ниже среднего. В этих случаях лучше всего изменить режим выбора типа подключения с autoselect на правильный тип. Обычно это работает для большинства оборудования, но не может решить проблему во всех случаях. Проверьте еще раз настройки сети и прочтите страницу руководства &man.tuning.7;. Настройка виртуальных серверов виртуальные сервера синонимы ip Очень часто &os; используется для размещения сайтов, когда один сервер работает в сети как несколько серверов. Это достигается присвоением нескольких сетевых адресов одному интерфейсу. У сетевого интерфейса всегда есть один настоящий адрес, хотя он может иметь любое количество синонимов (alias). Эти синонимы обычно добавляются путём помещения соответствующих записей в /etc/rc.conf. Синоним для интерфейса fxp0 выглядит следующим образом: ifconfig_fxp0_alias0="inet xxx.xxx.xxx.xxx netmask xxx.xxx.xxx.xxx" Заметьте, что записи синонимов должны начинаться с alias0 и идти далее в определенном порядке (например, _alias1, _alias2, и т.д.). Конфигурационный процесс остановится на первом по порядку отсутствующем числе. Определение маски подсети для синонима очень важно, но к счастью, так же просто. Для каждого интерфейса должен быть один адрес с истинной маской подсети. Любой другой адрес в сети должен иметь маску подсети, состоящую из всех единичек (что выражается как 255.255.255.255 или как 0xffffffff). Например, рассмотрим случай, когда интерфейс fxp0 подключён к двум сетям, к сети 10.1.1.0 с маской подсети 255.255.255.0 и к сети 202.0.75.16 с маской 255.255.255.240. Мы хотим, чтобы система была видна по IP, начиная с 10.1.1.1 по 10.1.1.5 и с 202.0.75.17 по 202.0.75.20. Как было сказано выше, только первый адрес в заданном диапазоне (в данном случае, 10.0.1.1 и 202.0.75.17) должен иметь реальную маску сети; все остальные (с 10.1.1.2 по 10.1.1.5 и с 202.0.75.18 по 202.0.75.20) должны быть сконфигурированы с маской сети 255.255.255.255. Для этого должны быть внесены следующие записи: ifconfig_fxp0="inet 10.1.1.1 netmask 255.255.255.0" ifconfig_fxp0_alias0="inet 10.1.1.2 netmask 255.255.255.255" ifconfig_fxp0_alias1="inet 10.1.1.3 netmask 255.255.255.255" ifconfig_fxp0_alias2="inet 10.1.1.4 netmask 255.255.255.255" ifconfig_fxp0_alias3="inet 10.1.1.5 netmask 255.255.255.255" ifconfig_fxp0_alias4="inet 202.0.75.17 netmask 255.255.255.240" ifconfig_fxp0_alias5="inet 202.0.75.18 netmask 255.255.255.255" ifconfig_fxp0_alias6="inet 202.0.75.19 netmask 255.255.255.255" ifconfig_fxp0_alias7="inet 202.0.75.20 netmask 255.255.255.255" Файлы настройки Каталог <filename>/etc</filename> Во FreeBSD определён ряд директорий, предназначенных для хранения конфигурационных файлов. Это: /etc Основные файлы конфигурации системы. Тут размещены системно–зависимые данные. /etc/defaults Версии системных конфигурационных файлов по умолчанию. /etc/mail Дополнительные конфигурационные файлы &man.sendmail.8; остальные конфигурационные файлы MTA. /etc/ppp Настройка для user- и kernel-ppp программ. /etc/namedb Основное место расположения данных &man.named.8;. Обычно named.conf и файлы зон расположены здесь. /usr/local/etc Конфигурационные файлы установленных приложений. Могут содержать подкаталоги приложений. /usr/local/etc/rc.d Скрипты запуска/остановки установленных приложений. /var/db Автоматически генерируемые системно-специфичные файлы баз данных, такие как база данных пакетов, и так далее Имена хостов hostname DNS <filename>/etc/resolv.conf</filename> resolv.conf /etc/resolv.conf определяет, как ресолвер (resolver) &os; получает доступ к Системе Доменных Имён (DNS). Основные записи resolv.conf: nameserver IP адрес сервера имён. Сервера опрашиваются в порядке описания. Максимальное количество адресов - три. search Список доменов для поиска с помощью hostname lookup. Обычно определяется доменом, в котором находится компьютер. domain Домен, в котором находится компьютер. Типичный вид resolv.conf: search example.com nameserver 147.11.1.11 nameserver 147.11.100.30 Опции search и domain нельзя использовать совместно. Если вы используете DHCP, &man.dhclient.8; обычно перезаписывает resolv.conf информацией, полученной от серверов DHCP. <filename>/etc/hosts</filename> hosts /etc/hosts - простая текстовая база данных, напоминающая старый Интернет. Она работает совместно с DNS и NIS, сопоставляя доменные имена IP адресу. Отдельные компьютеры, соединённые с помощью локальной сети могут быть записаны тут вместо &man.named.8; сервера с целью упрощения. Кроме того, /etc/hosts используется для записи IP адресов и соответствующих им доменов, избавляя от внешнего трафика, используемого для запросов к DNS серверам. # $&os;$ # # Host Database # This file should contain the addresses and aliases # for local hosts that share this file. # In the presence of the domain name service or NIS, this file may # not be consulted at all; see /etc/nsswitch.conf for the resolution order. # # ::1 localhost localhost.my.domain myname.my.domain 127.0.0.1 localhost localhost.my.domain myname.my.domain # # Imaginary network. #10.0.0.2 myname.my.domain myname #10.0.0.3 myfriend.my.domain myfriend # # According to RFC 1918, you can use the following IP networks for # private nets which will never be connected to the Internet: # # 10.0.0.0 - 10.255.255.255 # 172.16.0.0 - 172.31.255.255 # 192.168.0.0 - 192.168.255.255 # # In case you want to be able to connect to the Internet, you need # real official assigned numbers. PLEASE PLEASE PLEASE do not try # to invent your own network numbers but instead get one from your # network provider (if any) or from the Internet Registry (ftp to # rs.internic.net, directory `/templates'). # Формат /etc/hosts: [IP адрес в Интернете] [имя компьютера] [alias1] [alias2] ... Например: 10.0.0.1 myRealHostname.example.com myRealHostname foobar1 foobar2 За дополнительной информацией обращайтесь к &man.hosts.5;. Настройка лог файлов лог файлы <filename>syslog.conf</filename> syslog.conf syslog.conf is является файлом конфигурации для &man.syslogd.8;. В нём указываются, типы сообщений генерируемые syslog, и лог файлы, в которые они записываются. # $&os;$ # # Spaces ARE valid field separators in this file. However, # other *nix-like systems still insist on using tabs as field # separators. If you are sharing this file between systems, you # may want to use only tabs as field separators here. # Consult the syslog.conf(5) manual page. *.err;kern.debug;auth.notice;mail.crit /dev/console *.notice;kern.debug;lpr.info;mail.crit;news.err /var/log/messages security.* /var/log/security mail.info /var/log/maillog lpr.info /var/log/lpd-errs cron.* /var/log/cron *.err root *.notice;news.err root *.alert root *.emerg * # uncomment this to log all writes to /dev/console to /var/log/console.log #console.info /var/log/console.log # uncomment this to enable logging of all log messages to /var/log/all.log #*.* /var/log/all.log # uncomment this to enable logging to a remote log host named loghost #*.* @loghost # uncomment these if you're running inn # news.crit /var/log/news/news.crit # news.err /var/log/news/news.err # news.notice /var/log/news/news.notice !startslip *.* /var/log/slip.log !ppp *.* /var/log/ppp.log За более полной информацией обратитесь к &man.syslog.conf.5;. <filename>newsyslog.conf</filename> newsyslog.conf newsyslog.conf - конфигурационный файл &man.newsyslog.8;, программы, обычно контролируемой &man.cron.8;. &man.newsyslog.8; определяет, когда лог-файлы нуждаются в архивировании и перегруппировке. logfile перемещается в logfile.0, logfile.0 перемещается в logfile.1, и так далее. Другое именование получится при архивировании с помощью &man.gzip.1;: logfile.0.gz, logfile.1.gz, и т.д. newsyslog.conf показывает, какие лог файлы должны быть проинспектированы, сколько их должно быть сохранено, и когда они должны быть пересмотрены. Лог файлы могут быть перегруппированы и/или заархивированы, когда они либо достигнут определённого размера, либо при достижении определённых даты/времени. # configuration file for newsyslog # $&os;$ # # filename [owner:group] mode count size when [ZB] [/pid_file] [sig_num] /var/log/cron 600 3 100 * Z /var/log/amd.log 644 7 100 * Z /var/log/kerberos.log 644 7 100 * Z /var/log/lpd-errs 644 7 100 * Z /var/log/maillog 644 7 * @T00 Z /var/log/sendmail.st 644 10 * 168 B /var/log/messages 644 5 100 * Z /var/log/all.log 600 7 * @T00 Z /var/log/slip.log 600 3 100 * Z /var/log/ppp.log 600 3 100 * Z /var/log/security 600 10 100 * Z /var/log/wtmp 644 3 * @01T05 B /var/log/daily.log 640 7 * @T00 Z /var/log/weekly.log 640 5 1 $W6D0 Z /var/log/monthly.log 640 12 * $M1D0 Z /var/log/console.log 640 5 100 * Z За дополнительной информацией обращайтесь к &man.newsyslog.8;. <filename>sysctl.conf</filename> sysctl.conf sysctl sysctl.conf очень похож на rc.conf. Значения устанавливаются в виде variable=value. Указанные значения устанавливаются после перевода системы в многопользовательский режим. Однако не все переменные могут быть установлены в этом режиме. Пример sysctl.conf настроенной для выключения нотирования фатальных ошибок и разрешения Linux-программам определять, что они запускаются под &os;: kern.logsigexit=0 # Do not log fatal signal exits (e.g. sig 11) compat.linux.osname=&os; compat.linux.osrelease=4.3-STABLE Настройка с помощью sysctl sysctl настройка с помощью sysctl &man.sysctl.8; - это интерфейс, позволяющий вам вносить изменения в работающую систему &os;. Эти изменения могут касаться многих опций стека TCP/IP и виртуальной памяти и могут облегчить опытному администратору жизнь. Более пяти тысяч системных переменных могут быть прочитаны и записаны с помощью &man.sysctl.8;. По своей сути, &man.sysctl.8; выполняет две функции: чтение и изменение настроек системы. Для просмотра всех доступных для чтения переменных:: &prompt.user; sysctl -a Чтобы прочитать определённую переменную, например, kern.maxproc, введите: &prompt.user; sysctl kern.maxproc kern.maxproc: 1044 Для присвоения значения переменной, используйте выражение вида переменная=значение: &prompt.root; sysctl kern.maxfiles=5000 kern.maxfiles: 2088 -> 5000 Изменяемые с помощью sysctl переменные обычно принимают значения либо строкового, либо целого, либо булевого типа. Переменные булевого типа могут принимать два значения (1 (истина) и 0 (ложь)). Если вы хотите устанавливать некоторые переменные автоматически при каждой загрузке компьютера, добавьте их в файл /etc/sysctl.conf. За дополнительной информацией обращайтесь к странице справочника &man.sysctl.conf.5; и к . Tom Rhodes Предоставил Переменные &man.sysctl.8; только для чтения В некоторых случаях желательно изменить переменные &man.sysctl.8; только для чтения. Хотя это не рекомендуется, иногда другого способа решить проблему нет. Например, на некоторых моделях лэптопов диапазон памяти устройства &man.cardbus.4; не определяется и выдается приблизительно такая ошибка: cbb0: Could not map register memory device_probe_and_attach: cbb0 attach returned 12 Ситуации, похожие на эту, требуют изменения некоторых значений &man.sysctl.8;, модификация которых запрещена. Для разрешения этой ситуации пользователь может поместить &man.sysctl.8; OID в файл /boot/loader.conf. Значения по умолчанию хранятся в файле /boot/defaults/loader.conf. Решение проблемы, приведенной выше, потребует помещения строки в вышеупомянутый файл. Теперь &man.cardbus.4; будет работать нормально. Оптимизация дисков Переменные Sysctl <varname>vfs.vmiodirenable</varname> vfs.vmiodirenable Значением переменной vfs.vmiodirenable может быть установлено в 0 (выключено) или 1 (включено); по умолчанию 1. Эта переменная отвечает за метод кэширования каталогов. Размер большинства каталогов невелик. Они могут поместиться в одном фрагменте (обычно 1K), и могут занимать ещё меньше места (обычно 512 байт) в кэше буфера. При отключении этой переменной (при установке значения 0) буфер прокэширует только заданное число каталогов даже если у вас много памяти. При включении (при установке значения 1) эта переменная sysctl позволит использовать страничное кэширование VM, делая доступным для кэширования каталогов весь объём памяти. Однако, минимальный объём памяти, используемой для кэширования каталогов стал равен объёму страницы (обычно 4 K) вместо 512 байт. Мы рекомендуем оставлять эту опцию включенной, если ваш компьютер исполняет программы, манипулирующие значительным количеством файлов. Примером таких программ могут быть кэширующие прокси-серверы, большие почтовые серверы и серверы новостей. Обычно включение этой опции не понижает производительности, однако лучше поэкспериментировать, чтобы узнать оптимальное значение для вашей машины. <varname>vfs.write_behind</varname> vfs.write_behind Переменная sysctl vfs.write_behind по умолчанию установлена в 1 (включено). Она указывает системе выполнять запись на носитель по кластерам, что обычно делается для больших файлов. Идея в том, чтобы избежать заполнения кэша неполными буферами, когда это не увеличивает производительность. Однако, это может заблокировать процессы и в некоторых случаях вам может понадобиться отключить этот параметр. <varname>vfs.hirunningspace</varname> vfs.hirunningspace Переменная sysctl vfs.hirunningspace определяет число запросов записи на диск, которые могут быть поставлены в очередь. Значение по умолчанию обычно подходит, но на компьютерах с большим количеством дисков вы можете увеличить его до четырех или пяти мегабайт. Учтите, что установка слишком большого значения (превышающего размер буфера записи) может привести к очень значительному падению общей производительности. Не делайте это значение произвольно большим! Большие значения могут привести к задержкам чтения, выполняемого в то же время Есть много других переменных sysctl, относящихся к кэшированию в буфер и страничному кэшированию VM. Мы не рекомендуем изменять эти значения. Начиная &os; 4.3, система VM делает отличную работу по автоматической самонастройке. <varname>vm.swap_idle_enabled</varname> vm.swap_idle_enabled Переменная sysctl vm.swap_idle_enabled полезна в больших многопользовательских системах, где есть много пользователей, входящих и выходящих из системы, и множество ожидающих процессов. Такие системы обычно генерируют большое количество запросов на выделение памяти. Включение этой переменной и настройка задержки выгрузки (swapout hysteresis, в секундах) установкой переменных vm.swap_idle_threshold1 и vm.swap_idle_threshold2 позволит освобождать страницы памяти, занятые ожидающими процессами, более быстро, чем при нормальном алгоритме выгрузки. Это помогает даемону выгрузки страниц. Не включайте этот параметр, пока он на самом деле вам не понадобится, поскольку его действие в сущности заключается в более ранней выгрузке страниц из памяти; это повышает нагрузку на подкачку и диск. В малых системах эффект от включения этого параметра предсказуем, но в больших системах нагруженной на подкачкой этот параметр позволяет системе VM проще загружать и выгружать процессы из памяти. <varname>hw.ata.wc</varname> hw.ata.wc Во &os; 4.3 кэширование записи на IDE диски было отключено. Это понижало производительность IDE дисков в тестах, но было необходимо для лучшей сохранности данных. Проблема состоит в том, что IDE диски неправильно указывают время завершения записи на диск. При включенном кэшировании IDE диски могут не только записать данные в неправильном порядке – при большой нагрузке на диск некоторые блоки могут задержаться до бесконечности. Сбой, или отключение питания могут могут стать причиной серьёзных повреждений в файловой системе. Поэтому для безопасности системы значение по умолчанию этого параметра было изменено. К сожалению, результатом этого стало столь значительная потеря производительности, что после выхода релиза значение этого параметра было возвращено в первоначальное состояние. Вам следует проверить значение переменной sysctl hw.ata.wc на вашей машине. Если кэширование выключено - вы можете включить его, установив значение переменной ядра, равное 1. Это должно быть сделано при помощи загрузчика при загрузке. Если вы сделаете это позже - изменения не будут иметь силы. За более подробной информацией обращайтесь к &man.ata.4;. <literal>SCSI_DELAY</literal> (<varname>kern.cam.scsi_delay</varname>) SCSI_DELAY kern.cam.scsi_delay Параметр настройки ядра SCSI_DELAY может использоваться для уменьшения времени загрузки системы. Значение по умолчанию велико и может составлять более 15 секунд в процессе загрузки. Уменьшение его до 5 секунд обычно работает (особенно с современными дисками). В новых версиях &os; (5.0 и выше) должен использоваться параметр kern.cam.scsi_delay, настраиваемый во время загрузки. Этот параметр и параметр настройки ядра принимают значения в миллисекундах, а не в секундах. Soft Updates Soft Updates tunefs Программа &man.tunefs.8; используется для настройки файловой системы. Эта программа может принимать большое количество параметров, но мы рассмотрим лишь один из них - включение и выключение Soft Updates, что может быть достигнуто следующим образом: &prompt.root; tunefs -n enable /filesystem &prompt.root; tunefs -n disable /filesystem Нельзя изменять файловую систему с помощью &man.tunefs.8; когда она смонтирована. Самое подходящее время для включения "Soft Updates" - перед монтированием разделов, в однопользовательском режиме. Начиная с &os; 4.5, можно включить Soft Updates во время создания файловой системы, используя &man.newfs.8; с параметром -U. Soft Updates существенно увеличивают скорость создания и удаления файлов путём использования кэширования. Мы рекомендуем использовать Soft Updates на всех ваших файловых системах. Однако у Soft Updates есть и обратные стороны: во-первых, Soft Updates гарантирует целостность файловой системы в случае сбоя, но может наблюдаться задержка в несколько секунд (или даже минуту!) перед записью на жесткий диск. Если система зависнет - вы можете потерять больше, чем, если бы вы не включили Soft Updates. Во-вторых, Soft Updates задерживает освобождение блоков файловой системы. Если ваша файловая система заполнена, выполнение значительного обновления, например. make installworld, может вызвать переполнение. Дополнительная информация о Soft Updates Soft Updates детали Есть два традиционных способа записи метаданных файловых систем на диск. (Пример метаданных: индексные дескрипторы и каталоги.) Исторически, поведение по умолчанию заключается в синхронном обновлении метаданных. Если каталог был изменен, система ждет, пока изменение не будет физически записано на диск. Содержимое файлов проходит через кэш и записывается на диск асинхронно. Преимущество этого способа в его надежности. При сбое во время обновления метаданные остаются в нормальном состоянии. Файл либо создается целиком, либо вообще не создается. Если блоки данных не были записаны в файл из буфера во время сбоя, &man.fsck.8; сможет определить это и восстановить файловую систему, установив длину файла в 0. Кроме того, реализация этого способа проста и понятна. Недостаток в том, что обновление метаданных занимает много времени. Команда rm -r, например, последовательно удаляет все файлы в каталоге, и каждое изменение в каталоге (удаление файла) будет синхронно записано на диск. Сюда включаются обновления самого каталога, таблицы индексных дескрипторов, и возможно блоков, занятых файлом. Те же соглашения работают при распаковке больших иерархий (tar -x). Другой вариант это асинхронное обновление метаданных. Это поведение по умолчанию для Linux/ext2fs и *BSD ufs с параметром mount -o async. Все обновления метаданных просто пропускаются через кэш буфера, как и содержимое файлов. Преимущество этой реализации в том, что нет необходимости ждать каждый раз, пока метаданные будут записаны на диск, поэтому все операции с большим объемом обновления метаданных будут происходить гораздо быстрее чем при синхронном обновлении. Кроме того, реализация все еще проста и понятна, поэтому риск появления ошибок в коде невелик. Недостаток в том, что нет никаких гарантий исправности файловой системы. Если во время во время обновления большого объема метаданных произойдет сбой (например, отключение питания, или нажатие кнопки reset), файловая система останется в непредсказуемом состоянии. Нет возможности определить состояние файловой системы после такого сбоя; блоки данных файла могут быть уже записаны на диск, а обновления таблицы индексных дескрипторов нет. Невозможно реализовать fsck, которая могла бы исправить получившийся хаос (поскольку необходимой информации нет на диске). Если файловая система была уничтожена во время восстановления, единственный способ восстановления — запустить &man.newfs.8; и воспользоваться резервной копией. Обычное решение этой проблемы состояло в реализации протоколировании проблемной области (dirty region logging), известном как журналирование, хотя этот термин использовался неправильно и порой также применялся к другим формам протоколирования транзакций. Обновление метаданных как и прежде происходит синхронно, но в отдельную область диска. Позже они перемещаются туда, где должны быть. Поскольку область протоколирования это небольшая, последовательная область диска, головкам жесткого диска не приходится перемещаться на большие расстояния даже во время значительных обновлений, поэтому такой способ быстрее, чем синхронные обновления. Кроме того, сложность реализации довольно ограничена, поэтому риск внесения ошибок невелик. Недостаток в том, что все обновления метаданных записываются дважды (один раз в область протоколирования и один раз окончательно), поэтому при обычной работе производительность может понизиться. С другой стороны, в случае сбоя все незаконченные действия с метаданными могут быть быстро отменены, или завершены после загрузки системы, поэтому система после сбоя загружается быстрее. Kirk McKusick, разработчик Berkeley FFS, решил эту проблему с помощью Soft Updates: все незавершенные обновления метаданных находятся в памяти и записываются на диск в упорядоченном виде (упорядоченное обновления метаданных). При значительных обновлениях метаданных более поздние обновления присоединяются к предыдущим, если они все еще находятся в памяти и еще не записаны на диск. Поэтому все операции, скажем, над каталогом, обычно выполняются в памяти перед записью обновления на диск (блоки данных сортируются в соответствии с их положением, так что они не будут записаны на диск до метаданных. При крахе операционной системы выполняется откат: считается, что все операции, не записанные на диск, никогда не происходили. Файловая система находится в том состоянии, в котором она была за 30–60 секунд до сбоя. Используемый алгоритм гарантирует, что все используемые ресурсы маркированы соответствующим образом в своих областях: блоки и индексные дескрипторы. После сбоя могут остаться только ошибки, выделения ресурсов, они помечаются как используемые, хотя на самом деле свободны. &man.fsck.8; разбирается в ситуации и освобождает более не используемые ресурсы. После сбоя система может быть безопасно смонтирована с опцией mount -f. Для освобождения ресурсов, которые могут не использоваться, в дальнейшем потребуется запустить &man.fsck.8;. Эта идея лежит в основе background (фоновая) fsck: во время запуска системы записывается только снимок файловой системы. Все системы могут быть смонтированы в грязном состоянии, и система загружается в многопользовательский режим. Затем, фоновые fsck ставятся в очередь для всех систем, где это требуется, чтобы освободить неиспользуемые ресурсы. (Файловые системы, где не используются Soft Updates, все еще требуют запуска fsck в обычном режиме). Преимущество этого способа в том, что обновления метаданных происходят почти так же быстро, как при асинхронных обновлениях (т.е. быстрее, чем при журналировании, когда метаданные записываются дважды). Недостаток в сложности кода (подразумевающим больший риск появления ошибок в области, где вероятность потери данных пользователя особенно высока) и в более высоких требованиях к объему памяти. К тому же могут возникнуть некоторые странные на первый взгляд ситуации. После сбоя состояние файловой системы несколько более старое. В ситуации, когда стандартный способ синхронизации оставит несколько файлов нулевой длины после выполнения fsck, в файловой системе с Soft Updates их не останется вовсе, поскольку ни метаданные, ни содержимое файлов не были записаны на диск. Дисковое пространство не будет освобождено пока обновления не будут записаны на диск, что может занять некоторое время после выполнения rm. Это может повлечь проблемы при установке большого количества файлов на файловую систему, где не хватает места для помещения всех файлов дважды. Изменение ограничений, накладываемых ядром оптимизация параметры ядра Ограничения на Файлы/Процессы <varname>kern.maxfiles</varname> kern.maxfiles Значение kern.maxfiles может быть увеличено или уменьшено в зависимости от потребностей вашей системы. Эта переменная определяет максимальное число дескрипторов файлов. Когда таблица дескрипторов файлов полна, в очереди системных сообщений появится сообщение file: table is full. Это сообщение может быть прочитано с помощью команды dmesg. Каждый открытый файл, сокет или буфер использует дескриптор файла. Широкомасштабному серверу может понадобиться много тысяч дескрипторов файлов, в зависимости от количества программ, одновременно выполняемых на сервере. Стандартное значение kern.maxfile определяется переменной в вашем файле конфигурации ядра. Значение kern.maxfiles увеличивается пропорционально значению . При компилировании ядра, нужно установить эту переменную согласно потребностям вашей системы. Исходя из значения этой переменной, ядро устанавливает значения большинства предопределённых переменных. Даже если предполагается, что к компьютеру не будут одновременно подсоединяться 256 пользователей, требуемые ресурсы могут быть такими же, как у крупномасштабного сервера. Начиная с &os; 4.5, установка значения в 0 в файле конфигурации ядра выберет подходящее значение по умолчанию, основанное на объеме оперативной памяти системы. <varname>kern.ipc.somaxconn</varname> kern.ipc.somaxconn Переменная sysctl kern.ipc.somaxconn ограничивает размер очереди для приема новых TCP соединений. Значение по умолчанию 128 слишком мало для надежной обработки новых соединений для нагруженного web сервера. Для такого сервера рекомендуется увеличить это значение до 1024 или выше. Даемон сервиса может сам ограничивать очередь приема новых соединений (например, &man.sendmail.8;, или Apache), но обычно в файле настройки даемона есть директива для настройки длины очереди. Более длинная очередь также помогает избежать атак Denial of Service (DoS). Сетевые Ограничения Опция ядра NMBCLUSTERS обуславливает количество Mbuf, доступных на машине. На сервере с большим трафиком и маленьким Mbuf производительность будет пониженной. Каждый кластер представлен двумя килобайтами памяти, поэтому значение 1024 означает 2 мегабайта памяти ядра, зарезервированной для сетевых буферов. Для определения оптимального значения необходимо провести простые вычисления. Если у вас веб сервер, который может обслуживать 1000 одновременных соединений, и каждое соединение съедает 16 K буфера приема и 16 K буфера отправки, вам потребуется 32 MB памяти под буферы. Хорошее правило — умножение этого значения на 2, 2x32 MB / 2 KB = 64 MB / 2 kB = 32768. Мы рекомендуем значения между 4096 и 32768 для машин с большим объемом памяти. Не указывайте произвольно большое значение параметра, это может привести к падению системы при загрузке. Используйте &man.netstat.1; для определения количества используемых сетевых кластеров. Для настройки в процессе загрузки используйте в loader переменную kern.ipc.nmbclusters. Только в старых версиях &os; потребуется пересобрать ядро (&man.config.8;) с измененным параметром NMBCLUSTERS. Для нагруженных серверов, интенсивно использующих системный вызов &man.sendfile.2;, может потребоваться увеличения буферов &man.sendfile.2; с помощью параметра конфигурации ядра NSFBUFS, или изменения значения путем установки переменной в /boot/loader.conf (обратитесь к &man.loader.8; за подробностями). Общий признак того, что параметр требуется изменить — состояние процессов sfbufa. Переменная sysctl kern.ipc.nsfbufs установлена только для чтения. Этот параметр увеличивается вместе с kern.maxusers, хотя может потребоваться увеличить его отдельно. Даже если сокет помечен как неблокирующий, вызов &man.sendfile.2; на неблокирующем сокете может вызвать блокирование &man.sendfile.2;, пока не станет доступным достаточное количество struct sf_buf. <varname>net.inet.ip.portrange.*</varname> net.inet.ip.portrange.* Переменные sysctl net.inet.ip.portrange.* контролируют диапазоны номеров портов, автоматически привязываемых к TCP и UDP сокетам. Есть три диапазона: нижний диапазон, диапазон по умолчанию и верхний диапазон. Большинство сетевых программ используют диапазон по умолчанию, контролируемый net.inet.ip.portrange.first и net.inet.ip.portrange.last, установленными соответственно в 1024 и 5000. Диапазоны портов привязки используются исходящих соединений и при некоторых условиях портов может не хватить. Это чаще всего происходит на сильно загруженном прокси сервере. Диапазон портов не становится проблемой при работе серверов, которые обрабатывают в основном входящие соединения, или с небольшим количеством исходящих соединений, например mail relay. Для ситуаций, когда возможен недостаток портов, рекомендуется немного увеличить net.inet.ip.portrange.last. Может подойти значение 10000, 20000, или 30000. Учтите также возможное влияние межсетевого экрана при изменении диапазона портов. Некоторые могут блокировать большие диапазоны портов (обычно с небольшими номерами) и вынуждают использовать более высокие диапазоны для исходящих соединений. По этой причине рекомендуется настроить значение net.inet.ip.portrange.first. TCP Bandwidth Delay Product TCP Bandwidth Delay Product Limiting net.inet.tcp.inflight_enable TCP Bandwidth Delay Product Limiting похоже на TCP/Vegas в NetBSD. Оно может быть включено установкой переменной sysctl net.inet.tcp.inflight_enable в 1. Система попытается вычислить задержку пакетов для каждого соединения и ограничить объем данных в очереди сети до значения, требуемого для поддержания оптимальной пропускной способности. Эта возможность полезна при передаче данных через модемы, Gigabit Ethernet, или даже через высокоскоростные WAN соединения (или любые другие соединения с большой задержкой передачи), особенно если вы также используете изменение размера окна или настроили большое окно передачи. Если вы включили этот параметр, убедитесь также, что переменная net.inet.tcp.inflight_debug установлена в 0 (отладка выключена), а для использования в реальных может понадобиться установка переменной net.inet.tcp.inflight_min к значению как минимум 6144. Но учтите, что установка большого значения этой переменной может фактически отключить ограничение в зависимости от вида соединения. Ограничение уменьшает количество данных на определенном маршруте и управляет очередью пакетов, как и уменьшает общее количество данных в очереди локального интерфейса хоста. С меньшим количеством пакетов в очереди двусторонние интерактивные соединения, особенно на медленных линиях, могут проходить быстрее. Но имейте ввиду, что эта функция работает только при передаче данных (передача данных / сторона сервера). Она не работает при получении данных (загрузке). Изменение значения переменной net.inet.tcp.inflight_stab не рекомендуется. Этот параметр по умолчанию равен 20, что означает добавление 2 пакетов к вычислению задержки передачи. Дополнительное окно требуется для стабилизации алгоритма и улучшения ответной реакции на изменение условий, но также приводит к большему времени ping на медленных соединениях (задержка все же гораздо меньше, чем без алгоритма inflight). Вы можете попробовать уменьшить этот параметр до 15, 10 или 5; а также уменьшить net.inet.tcp.inflight_min (например, до 3500) для получения желаемого эффекта. Уменьшение значений этих параметров может использоваться только как крайняя мера. Увеличение объема подкачки Вне зависимости от того, что вы планировали, иногда система ведет себя неожиданно. Если вам потребовался дополнительный объем подкачки, его довольно просто добавить. Есть три способа увеличения объема подкачки: добавить новый жесткий диск, включить подкачку по NFS, или создать файл подкачки на существующем разделе. Подкачка на новом жестком диске Лучший способ добавить подкачку, конечно, использовать еще один жесткий диск. Вы можете сделать это в любой момент. Если такой способ подходит, прочтите еще раз информацию по пространству подкачки в разделе Руководства, где рассказывается о наилучшем способе организации раздела подкачки. Подкачка через NFS Подкачка через NFS рекомендуется только в том случае, если в системе отсутствует жесткий диск. Подкачка через NFS медленна и неэффективна в версиях &os; до 4.X. Она довольно быстра и эффективна в 4.0-RELEASE и выше. Но даже в новых версиях &os;, подкачка через NFS ограничена скоростью сетевого подключения и к тому же дополнительно нагружает NFS сервер. Файлы подкачки Вы можете создать файл определенного размера и использовать его как файл подкачки. В нашем примере будет использован файл /usr/swap0 размером 64MB. Конечно, вы можете использовать любое имя. Создание файла подкачки в &os; 4.X Убедитесь, что ядре включен драйвер vnode. Он невключен в последних версиях GENERIC. pseudo-device vn 1 #Vnode driver (turns a file into a device) Создайте устройство vn: &prompt.root; cd /dev &prompt.root; sh MAKEDEV vn0 Создайте файл подкачки (/usr/swap0): &prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64 Установите подходящие права на (/usr/swap0): &prompt.root; chmod 0600 /usr/swap0 Включите файл подкачки в /etc/rc.conf: swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired. Перегрузите компьютер, или для включения подкачки прямо сейчас выполните: &prompt.root; vnconfig -e /dev/vn0b /usr/swap0 swap Создание файла подкачки в &os; 5.X Убедитесь, что в файле настройки ядра присутствует драйвер виртуального диска (&man.md.4;). Он есть в ядре GENERIC. device md # Memory "disks" Создайте файл подкачки (/usr/swap0): &prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64 Установите подходящие права на (/usr/swap0): &prompt.root; chmod 0600 /usr/swap0 Включите файл подкачки в /etc/rc.conf: swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired. Перегрузите компьютер или для включения подкачки прямо сейчас введите: &prompt.root; mdconfig -a -t vnode -f /usr/swap0 -u 0 && swapon /dev/md0 Hiten Pandya Написал Tom Rhodes Управление питанием и ресурсами Очень важно использовать аппаратные ресурсы эффективно. До того, как появился ACPI, управление потреблением питания и температурными характеристиками системы было очень сложной для операционной системы задачей. Аппаратное обеспечение контролировалось одним из видов встроенного интерфейса BIOS, таким как: Plug and Play BIOS (PNPBIOS), Advanced Power Management (APM) и так далее. Управление питанием и ресурсами это один из ключевых компонентов современной операционной системы. Например, вам может потребоваться, чтобы операционная система следила за температурными ограничениями и возможно, предупреждала при неожиданном росте температуры. В этом разделе Руководства &os;, мы предоставим исчерпывающую информацию о ACPI. В конце раздела есть ссылки для дальнейшего чтения. Учтите, что ACPI есть только в &os; 5.X и выше в качестве стандартного модуля ядра. В &os; 4.9 ACPI можно включить добавлением строки device acpica к файлу настройки ядра и его пересборкой. Что такое ACPI? Advanced Configuration and Power Interface (ACPI) это стандарт, написанный объединением поставщиков в целях предоставления стандартного интерфейса для аппаратных ресурсов и управления питанием (отсюда и название). Это ключевой элемент Operating System-directed configuration and Power Management, т.е.: он предоставляет операционной системе (OS) больше контроля и более универсален. Современные системы вышли за пределы ограничений существующих Plug and Play интерфейсов (таких как APM, использовавшийся в &os; 4.X), до появления ACPI. ACPI это прямой наследник APM (Advanced Power Management). Недостатки Advanced Power Management (APM) Средства Advanced Power Management (APM) управляют энергопотреблением системы в зависимости от нагрузки. APM BIOS предоставляется поставщиком системы и специфичен для данной аппаратной платформы. Драйвер APM в OS обеспечивает доступ к APM Software Interface, который позволяет управлять уровнями потребления питания. В APM имеется четыре основных проблемы. Во-первых, управление энергопотреблением осуществляется через зависимый от поставщика BIOS, и OS ничего не знает нем. Один пример: когда пользователь устанавливает время ожидания для жесткого диска в APM BIOS, и это время истекает, BIOS останавливает жесткий диск без согласования с OS. Во-вторых, алгоритм APM встроен в BIOS, и все действия происходят вне контроля OS. Это означает, что пользователи могут решить проблемы с APM BIOS только путем перепрошивки его ROM; это очень опасная процедура, и если она завершится неудачно, система может оказаться в невосстановимом состоянии. В-третьих, реализация технологии APM зависит от поставщика, что означает дублирование усилий и если в BIOS одного из поставщиков будет найдена и исправлена ошибка, ее могли не исправить другие поставщики. Наконец, объем APM BIOS недостаточно велик для реализации сложной политики управления питанием, или такой политики, которая может хорошо адаптироваться к потребностям компьютера. Plug and Play BIOS (PNPBIOS) был неудобен во многих ситуациях. PNPBIOS это 16-битная технология, поэтому OS требовалось использовать 16-битную эмуляцию для взаимодействия с методами PNPBIOS. &os; драйвер APM документирован в странице справочника &man.apm.4;. Настройка <acronym>ACPI</acronym> &man.loader.8; загружает драйвер acpi.ko по умолчанию, его не надо встраивать в ядро. Причина в том, что с модулями проще работать, например переключиться на другой acpi.ko без пересборки ядра. Преимущество в упрощении тестирования. Другая причина в том, что запуск ACPI после старта системы не очень полезен и при некоторых условиях может приводить к краху. Если вы сомневаетесь, отключите ACPI совсем. Драйвер не должен и не может быть выгружен, поскольку системная шина используется для различных взаимодействий оборудования. ACPI может быть выключен с помощью утилиты &man.acpiconf.8;. Фактически большинство взаимодействий с ACPI может быть выполнено через &man.acpiconf.8;. В основном это означает, что если в выводе &man.dmesg.8; есть что-то об ACPI, он скорее всего работает. ACPI и APM не могут сосуществовать и должны использоваться раздельно. Каждый из них прервет загрузку, если обнаружит загруженный драйвер другого. В простейшей форме, ACPI может использоваться для перевода системы в спящий режим с помощью &man.acpiconf.8;, с флагом и параметром 1-5. Большинству пользователей нужен только параметр 1. Параметр 5 сделает мягкое завершение работы, так же как и: &prompt.root; halt -p Доступны и другие параметры. Обратитесь к странице справочника &man.acpiconf.8; за дополнительной информацией. Nate Lawson Написал Peter Schultz При помощи Tom Rhodes Использование и отладка &os; <acronym>ACPI</acronym> ACPI это фундаментально новый способ обнаружения устройств, управления энергопотреблением и предоставления стандартизированного доступа к различному оборудованию, ранее управлявшемуся BIOS. Был достигнут определенный прогресс в приспособлении ACPI к работе со всеми системами, но все еще встречаются ошибки в байткоде ACPI Machine Language (AML) некоторых материнских плат, незавершенные участки кода в подсистемах ядра &os; и ошибки в интерпретаторе &intel; ACPI-CA. Этот раздел предназначен для того, чтобы упростить ваше содействие разработчикам &os; ACPI в определении причин наблюдаемых вами проблем, выполнении отладки и выработке решения. Спасибо за помощь и надеемся, что мы сможем помочь в решении проблем вашей системы. Отправка отладочной информации Перед отправкой сообщения об ошибке убедитесь, что у вас последняя версия BIOS, и, если доступна, последняя версия firmware встроенного контроллера. Те из вас, кто желает составить сообщение о проблеме прямо сейчас, могут воспользоваться адресом freebsd-acpi@FreeBSD.org, отправив на него следующую информацию: Описание неправильного поведения, включая тип системы, модель и все, что приводит к появлению ошибки. Кроме того, сообщите настолько точно, насколько возможно, когда появилась ошибка, если ранее вы ее не видели. Вывод &man.dmesg.8; после boot - , включая все сообщения, появившиеся + -v, включая все сообщения, появившиеся при изучении ошибки. Вывод &man.dmesg.8; после boot - с выключенным ACPI, + -v с выключенным ACPI, если его отключение помогает решить проблему. - Вывод sysctl hw.acpi. Это также хороший + Вывод sysctl hw.acpi. Это также хороший способ получения списка возможностей системы. URL где можно найти ваш ACPI Source Language (ASL). Не отправляйте ASL непосредственно в список рассылки, поскольку он может быть очень большим. Копия ASL может быть создана командой: &prompt.root; acpidump -t -d > name-system.asl (Замените вашим логином name и производителем/моделью system. Пример: njl-FooCo6000.asl) Большинство разработчиков читают &a.current;, но для уверенности, что проблему увидят, отправьте ее в &a.acpi.name;. Будьте терпеливы, все мы заняты полный рабочий день где-то еще. Если ваше сообщение не заметили сразу, мы возможно попросим вас отправить PR (сообщение о проблеме) через &man.send-pr.1;. При вводе PR, включайте ту же информацию, что запрошена выше. Это поможет нам отследить проблему и решить ее. Не отправляйте PR без предварительной отправки письма в &a.acpi.name;, поскольку мы используем PR в качестве напоминаний о существующих проблемах, а не как механизм сообщений об ошибках. Вероятно, о вашей проблеме кто-то уже сообщал ранее. Общие сведения ACPI представлен во всех современных компьютерах, соответствующих архитектурам ia32 (x86), ia64 (Itanium) и amd64 (AMD). Полный стандарт включает множество возможностей, в том числе управление производительностью CPU, уровнем питания, температурой, различными системами аккумуляторов, встроенными контроллерами и опросом шины. В большинстве систем стандарт реализован не полностью. Например, настольные системы обычно реализуют только опрос шины, а портативные компьютеры кроме того могут поддерживать управление охлаждением и энергопотреблением. Они также поддерживают приостановку и последующий запуск системы различного уровня сложности. ACPI-совместимые системы состоят из различных компонентов. Производители BIOS и чипсетов предоставляют различные жестко заданные таблицы, (например, FADT), которые определяют функции вроде карты APIC (используется для SMP), регистры настройки и простые значения параметров. Кроме того, предоставляется таблица байткода (Differentiated System Description Table, DSDT), определяющая древоподобное пространство имен устройств и методов. Драйвер ACPI должен прочесть заданные таблицы, реализовать интерпретатор для байткода, модифицировать драйвера устройств и ядро для приема информации от подсистемы ACPI. Для &os; &intel; предоставила интерпретатор (ACPI-CA), тот же что для Linux и NetBSD. Исходный код ACPI-CA находится в каталоге src/sys/contrib/dev/acpica. Код для приспособления ACPI-CA к работе в &os;, находится в src/sys/dev/acpica/Osd. Наконец, драйвера, реализующие различные ACPI устройства, находятся в src/sys/dev/acpica. Часто встречающиеся проблемы Для правильной работы ACPI все ее части должны работать правильно. Вот некоторые часто встречающиеся проблемы, в порядке частоты появления, и некоторые обходные пути или исправления. Приостановка/возобновление работы ACPI поддерживает три состояния приостановки в RAM (STR), S1-S3, и одно состояние приостановки на диск (STD), называемое S4. S5 это мягкое выключение и это нормальное состояние системы, когда она подключена к сети, но не включена. S4 может быть реализован двумя различными путями. S4BIOS это BIOS-поддерживаемая приостановка на диск. S4OS реализуется полностью операционной системой. - Начните с проверки переменных sysctl - , относящихся к приостановке (suspend). - Вот результат для моего Thinkpad: + Начните с проверки переменных sysctl + hw.acpi, + относящихся к приостановке (suspend). + Вот результат для Thinkpad: - hw.acpi.supported_sleep_state: S3 S4 S5 - hw.acpi.s4bios: 0 + hw.acpi.supported_sleep_state: S3 S4 S5 +hw.acpi.s4bios: 0 - Это означает, что я могу использовать acpiconf + Это означает, что мы можем использовать acpiconf -s для тестирования S3, S4OS, и S5. Если был единицей (1), это означает поддержку S4BIOS вместо S4OS. При тестировании приостановки/возобновления работы, начните с S1, если этот режим поддерживается. Это состояние скорее всего поддерживается, поскольку не требует слишком серьезной поддержки со стороны драйвера. Никто не реализовал S2, который похож на S1. Следующий режим для тестирования это S3. Это наиболее глубокое STR состояние, оно требует существенной поддержки со стороны драйвера, чтобы правильно реинициализировать оборудование. Если у вас возникли проблемы при выходе из этого состояния, отправьте письмо в рассылку &a.acpi.name;, но не ждите, что проблема будет обязательно решена, поскольку существует множество драйверов/оборудования, нуждающихся в дальнейшем тестировании и разработке. Для изоляции проблемы удалите из ядра столько драйверов, сколько возможно. Если это работает, вы можете выяснить, какой драйвер вызывает проблему путем загрузки драйверов до тех пор, пока опять не произойдет сбой. Обычно бинарные драйвера, такие как nvidia.ko, - драйвера дисплея X11 и + драйвера дисплея X11 и USB вызывают большинство проблем, а драйвера Ethernet интерфейсов как правило работают отлично. Если вы можете нормально загрузить/выгрузить драйвера, автоматизируйте этот процесс, поместив соответствующие команды в /etc/rc.suspend и /etc/rc.resume. Это закомментированные примеры выгрузки и загрузки драйверов. Попробуйте установить параметр - в нуль (0), если ваш дисплей не включается после возобновления + в нуль (0), если ваш дисплей не включается + после возобновления работы. Попробуйте установить большие или меньшие значения для , чтобы проверить, поможет ли это. Другой способ, который можно попробовать, это запуск последнего дистрибутива Linux с поддержкой ACPI и протестировать поддержку остановки/возобновления работы на том же оборудовании. Если она работает на Linux, проблема скорее всего в драйверах &os; и поиск драйвера, вызывающего проблему, поможет разрешить ситуацию. Имейте ввиду, что разработчики ACPI обычно не поддерживают другие драйверы (звук, ATA, и т.п.), так что все результаты работы по поиску проблемы возможно необходимо отправить в список рассылки &a.current.name; и человеку, поддерживающему драйвер. Если вы решитесь заняться отладкой, поместите соответствующий код (&man.printf.3;) в вызывающий проблему драйвер для обнаружения места, где прерывается функция восстановления. Наконец, попробуйте отключить ACPI и включить APM. Если приостановка/возобновление работает с APM, вам возможно лучше подойдет APM, особенно на старом оборудовании (до 2000). Включение корректной поддержки ACPI поставщиками оборудования требует времени и вероятно в старом оборудовании поддержка ACPI в BIOS была некорректна. Система останавливается (временно или постоянно) Большинство систем останавливаются в результате потери прерываний или шторма прерываний. В чипсетах существует много проблем, связанных с тем, как BIOS настраивает прерывания перед загрузкой, правильностью таблицы APIC (MADT), и маршрутизации System Control Interrupt (SCI). Шторм прерываний может быть обнаружен по потерянным прерываниям путем проверки вывода строки с acpi0 команды vmstat -i. Если счетчик увеличивается более, чем несколько раз в секунду, это шторм прерываний. Если система останавливается, попробуйте войти в DDB (CTRL ALTESC на - консоли) и ввести . + консоли) и ввести show interrupts. Наиболее надежный способ избавиться от проблемы с прерываниями, это отключение поддержки APIC с помощью параметра loader.conf hint.apic.0.disabled="1". Паника Паника, связанная с ACPI, случается довольно редко и имеет наибольший приоритет исправления. Первый шаг это изоляция действий, приводящих к панике (если это возможно) и получение отладки. Следуйте инструкции по включению и настройке последовательной консоли (смотрите ) или настройке раздела &man.dump.8;. Вы можете получить отладочную информацию DDB с помощью . Если вы записываете отладку вручную, убедитесь, что переписали как минимум пять (5) строк снизу и пять (5) строк сверху. Затем попробуйте изолировать проблему, загрузившись с выключенным ACPI. Если это работает, вы можете изолировать подсистему ACPI, используя различные параметры . Обратитесь к странице справочника &man.acpi.4; за примерами. Система включается после приостановки или завершения работы Во-первых, попробуйте установить в &man.loader.conf.5; параметр 0. Это предотвращает отключение различных событий в ACPI во время завершения работы. В некоторых системах этот параметр необходимо установить в 1 (по умолчанию) по тем же причинам. Обычно это решает проблему, если система неожиданно включается после приостановки или отключения питания. Другие проблемы Если вы наблюдаете другие проблемы с ACPI (работа с внешним оборудованием, проблемы с обнаружением устройств, и т.д.), отправьте описание проблемы в список рассылки; однако, некоторые из этих проблем могут относиться к незавершенным частям подсистемы ACPI, поэтому может потребоваться время на их реализацию. Будьте терпеливы, и подготовьтесь к тестированию исправлений, которые мы можем вам выслать. <acronym>ASL</acronym>, <command>acpidump</command>, и <acronym>IASL</acronym> Наиболее часто встречается проблема, связанная с предоставлением поставщиками BIOS некорректного (или полностью ошибочного!) байткода. Это обычно проявляется появлением консольных сообщений ядра, подобных этому: ACPI-1287: *** Error: Method execution failed [\\_SB_.PCI0.LPC0.FIGD._STA] \\ (Node 0xc3f6d160), AE_NOT_FOUND Зачастую вы можете разрешить эти проблемы путем обновления BIOS до последней ревизии. Большинство консольных сообщений безвредны, но если существуют другие проблемы, такие как не работающий статус батареи, возможно существуют проблемы в AML. Байткод, известный как AML, компилируется из исходного текста на языке ASL. AML находится в таблице, известной как DSDT. Для получения копии ASL, используйте &man.acpidump.8;. Вы можете использовать оба параметра (показывать содержимое постоянных таблиц) и (дизассемблировать AML в ASL). Обратитесь к разделу Отправка отладочной информации за примером синтаксиса. Простейшая первая проверка, которую вы можете провести, это перекомпиляция ASL для поиска ошибок. Предупреждения обычно могут быть проигнорированы, но ошибки обычно не позволяют ACPI работать правильно. Для перекомпиляции ASL, выполните следующую команду: &prompt.root; iasl your.asl Исправление <acronym>ASL</acronym> В дальней перспективе, наша задача состоит в том, чтобы обеспечить поддержку ACPI практически для каждой системы без вмешательства пользователя. Однако, на данный момент мы все еще разрабатываем обходные пути для ошибок, которые часто делают поставщики BIOS. Интерпретатор Microsoft (acpi.sys и acpiec.sys) не занимается проверкой четкости соблюдения стандартов, поэтому многие поставщики BIOS, проверяющие ACPI только под Windows, никогда не исправляют ASL. Мы надеемся продолжать обнаружение и документацию нестандартных поведений, позволяемых интерпретатором Microsoft, и воспроизводить их, чтобы &os; могла работать без необходимости исправления ASL пользователями. В качестве обходного пути для обнаружения неправильного поведения, вы можете исправить ASL вручную. Если исправления будут работать, пожалуйста отправьте &man.diff.1; между старым и новым ASL, чтобы мы могли реализовать обходной путь для неправильного поведения ACPI-CA, чтобы исправление вручную больше не требовалось. Вот список наиболее часто встречающихся проблем, их причин и способы исправления: OS зависимости Некоторые AML предполагают, что мир состоит из различных версий Windows. Вы можете настроить &os;, чтобы она сообщала любое другое имя OS и посмотреть, исправит ли это имеющуюся проблему. Простой способ указания другого имени системы это установка переменной /boot/loader.conf =Windows 2001 или в другое подобное значение, имеющееся в ASL. Отсутствие возврата значения Некоторые методы не возвращают значение явно, как того требует стандарт. Хотя ACPI-CA не обрабатывает эту ситуацию, в &os; существует обходной путь, позволяющей ей явно возвращать значение. Вы можете также добавить явные операторы Return (возврат) там, где требуется, если знаете, что значение должно быть возвращено. Для принудительного компилирования ASL командой iasl, используйте флаг . Перезапись <acronym>AML</acronym> по умолчанию После настройки your.asl для компиляции запустите: &prompt.root; iasl your.asl Вы можете добавить флаг для создания AML даже при наличии ошибок компиляции. Помните, что некоторые ошибки (например, отсутствующие операторы Return), автоматически обходятся интерпретатором. Файл DSDT.aml используется iasl по умолчанию. Вы можете загрузить его вместо ошибочной копии BIOS (которая остается в постоянной памяти) путем редактирования /boot/loader.conf: acpi_dsdt_load="YES" acpi_dsdt_name="/boot/DSDT.aml" Убедитесь, что скопировали DSDT.aml в каталог /boot. Получение отладочной информации <acronym>ACPI</acronym> Возможности отладки драйвера ACPI очень гибкие. Они позволяют вам указывать набор подсистем, а также уровень отладки. Подсистемы, которые вы хотите отлаживать, указываются как слои, и подразделяются на компоненты ACPI-CA (ACPI_ALL_COMPONENTS) и поддержку оборудования ACPI (ACPI_ALL_DRIVERS). Уровень отладки варьируется от ACPI_LV_ERROR (только сообщать об ошибках) до ACPI_LV_VERBOSE (все сообщения). Уровень отладки представляет собой битовую маску, поэтому возможна одновременная установка нескольких параметров, разделенных пробелами. На практике, при использовании для получения отладочной информации последовательной консоли, слишком большое количество информации может переполнить буфер консоли. Полный список отдельных слоев и уровней можно найти на странице справочника &man.acpi.4;. Вывод отладочной информации по умолчанию не включен. Для его включения добавьте параметр к файлу настройки ядра, если ACPI встроен в ядро. Вы можете добавить параметр в файл /etc/make.conf для глобального включения этого параметра. Если вы используете модуль acpi.ko , его можно пересобрать индивидуально: &prompt.root; cd /sys/modules/acpi/acpi && make clean && make ACPI_DEBUG=1 Установите acpi.ko в /boot/kernel и добавьте предпочитаемый уровень и слой к loader.conf. Этот пример включает отладочные сообщения для всех компонентов ACPI-CA и всех драйверов оборудования ACPI (CPU, LID и т.д.). Будут выводиться только сообщения об ошибках, наименьший уровень отладки. debug.acpi.layer="ACPI_ALL_COMPONENTS ACPI_ALL_DRIVERS" debug.acpi.level="ACPI_LV_ERROR" Если требуемая информация получается в результате определенного события (скажем, приостановка и восстановление), вы можете не изменять loader.conf и использовать для указания слоя и уровня sysctl после загрузки и подготовки системы к определенному событию. Имена переменных sysctl те же, что и имена параметров настройки в loader.conf. Ссылки Дальнейшую информацию о ACPI можно найти по следующим ссылкам: &a.acpi; Архивы списка рассылки ACPI Старые архивы списка рассылки ACPI Спецификация ACPI 2.0 Страницы справочника &os;: &man.acpi.4;, &man.acpi.thermal.4;, &man.acpidump.8;, &man.iasl.8;, &man.acpidb.8; Ресурс по отладке DSDT. (Использует в качестве примера Compaq, но обычно полезен.) diff --git a/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml b/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml index 104dfe6a9e..b901a30fd8 100644 --- a/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/kernelconfig/chapter.sgml @@ -1,1752 +1,1752 @@ Jim Mock Обновлено и реструктуризовано Jake Hamby Предоставлено Александром Коваленко Переведено Настройка ядра FreeBSD Краткий обзор kernel сборка собственного ядра Ядро - это основная часть операционной системы &os;. Оно ответственно за управление памятью, параметры безопасности, работу с сетью, доступ к дискам и многое другое. Несмотря на то, что &os; становится всё более динамически конфигурируемой, иногда приходится собирать собственное ядро. После прочтения этой главы вы узнаете: Почему вам может понадобиться сборка собственного ядра. Как написать файл конфигурации ядра или изменить существующий. Как использовать файл конфигурации ядра для того, чтобы создать и собрать новое ядро. Как установить новое ядро. Как создать записи в /dev, которые могут оказаться необходимы. Что делать, если что-то не работает или работает не так, как должно. Все команды, приводимые в этой главе в качестве примера, должны выполняться от пользователя root. Зачем собирать собственное ядро? Традиционно в &os; использовалось так называемое монолитное ядро. Это означает, что ядро - это одна большая программа, которая поддерживает фиксированный набор устройств и в случае, если необходимо изменить его поведение, требуется сборка нового ядра и перезагрузка компьютера уже с новым ядром. На сегодняшний день &os; быстро продвигается к модели, в которой большая часть функциональности содержится в модулях, которые могут быть при необходимости динамически загружены и выгружены из ядра. Это позволяет ядру использовать устройства, которые внезапно появились в системе (например, устройства PCMCIA в лэптопе) или добавлять новую функциональность в ядро, которая не была необходима в момент первоначальной сборки ядра. Такой подход известен как модульность ядра. Несмотря на это, всё ещё иногда бывает необходимо, чтобы некоторая функциональность была вкомпилирована в ядро статически. В некоторых случаях это продиктовано тем, что эта функциональность настолько сильно привязана к ядру, что не может быть динамически загружаемой. В других случаях это может быть просто потому, что никто не уделил время написанию динамически загружаемого модуля для этой функциональности. Сборка собственного ядра - один из наиболее важных ритуалов, через который должен пройти практически любой пользователь BSD. Несмотря на длительность этого процесса, ваша &os; останется только в выигрыше. В отличие от ядра GENERIC, которое должно поддерживать широкий спектр аппаратного обеспечения, собственное ядро содержит поддержку аппаратного обеспечения только вашего компьютера. Это может давать следующие плюсы: Меньшее время загрузки. Поскольку ядро будет пытаться определить только то аппаратное обеспечение, которое установлено в вашем компьютере, время, которое потребуется системе для загрузки, может значительно уменьшиться. Уменьшение использования памяти. Собственное ядро часто использует меньше памяти, чем ядро GENERIC, что очень важно, поскольку ядро всегда находиться в физической памяти. Именно по этой причине собственное ядро особенно полезно при использовании систем с малым объемом оперативной памяти. Поддержка дополнительного аппаратного обеспечения. Собственное ядро позволяет вам добавить поддержку таких устройств, поддержка которых отсутствует в ядре GENERIC. Сборка и установка собственного ядра kernel сборка / установка Во-первых, давайте сделаем краткий обзор каталога, в котором будет происходить сборка ядра. Все каталоги, которые будут упоминаться, будут относительными по отношению к основному каталогу /usr/src/sys, который также доступен как каталог /sys. Этот каталог содержит множество подкаталогов, представляющих собой различные части ядра, но наиболее важным для нас будет каталог arch/conf, в котором вы будете редактировать конфигурационный файл ядра и в котором находится каталог compile, где будет собираться ваше ядро. arch может быть i386, alpha, amd64, ia64, powerpc, sparc64 или pc98 (альтернативная ветвь аппаратного обеспечения, популярная в Японии). Все, что находится внутри каталога определенной архитектуры, относится только к этой архитектуре; остальной код является машинно независимым и общим для всех платформ, на которые &os; может быть потенциально портирована. Обратите внимание на логическую структуру каталогов, в которой каждое поддерживаемое устройство, каждая файловая система и каждая опция размещается в своём собственном каталоге. Версии &os; до 5.X поддерживали только архитектуры i386, alpha и pc98. В примерах этой главы подразумевается, что вы используете архитектуру i386. Если это не так, измените каталоги, указанные в примерах, в соответствии с архитектурой вашей системы. Если в вашей системе отсутствует каталог /usr/src/sys, это означает, что исходные тексты ядра не были установлены. Наиболее простой способ установить их - запустить /stand/sysinstall как root, выбрать Configure, потом Distributions, потом src, потом sys. Если вы испытываете отвращение к sysinstall и у вас есть доступ к официальному &os; CDROM, вы также можете установить исходные тексты при помощи командной строки: &prompt.root; mount /cdrom &prompt.root; mkdir -p /usr/src/sys &prompt.root; ln -s /usr/src/sys /sys &prompt.root; cat /cdrom/src/ssys.[a-d]* | tar -xzvf - Затем, перейдите в каталог arch/conf и скопируйте файл конфигурации GENERIC в в файл с выбранным вами именем. Например: &prompt.root; cd /usr/src/sys/i386/conf &prompt.root; cp GENERIC MYKERNEL По традиции имя состоит из букв в верхнем регистре, и если вы поддерживаете несколько компьютеров &os; на различном оборудовании, хорошая идея добавлять это имя к имени хоста. Мы назвали ядро MYKERNEL в этом примере. Помещение файла конфигурации ядра в /usr/src может быть плохой идеей. Если вы испытываете проблемы, их можно решить удалив /usr/src и начав все с начала. После этого обычно требуется несколько секунд, чтобы понять, что вы удалили собственный файл настройки ядра. Не редактируйте непосредственно GENERIC, он может быть также перезаписан и при следующем обновлении дерева исходных текстов, и изменения ядра будут потеряны. Вы можете сохранить файл конфигурации ядра в другом месте, а затем создать символическую ссылку на этот файл в каталоге i386. Например: &prompt.root; cd /usr/src/sys/i386/conf &prompt.root; mkdir /root/kernels &prompt.root; cp GENERIC /root/kernels/MYKERNEL &prompt.root; ln -s /root/kernels/MYKERNEL Теперь отредактируйте файл MYKERNEL в своём любимом текстовом редакторе. Если вы только начинаете, единственным доступным редактором скорее всего будет vi, который слишком сложен для того, чтобы объяснить, как им пользоваться, здесь, но в библиографии перечислено множество книг, в которых его использование хорошо освещено. Однако &os; предоставляет более простой редактор ee, который, если вы - новичок, подойдёт вам больше всего. Не стесняйтесь изменять строки комментариев в начале файла, с тем, чтобы отобразить вашу конфигурацию или изменения, которые вы сделали по сравнению с GENERIC. SunOS Если вам приходилось собирать ядро для &sunos; или какой-либо другой операционной системы типа BSD, многое из того, что содержится в этом файле будет очень знакомо вам. Если же вы, напротив, использовали другую операционную систему, такую как DOS, файл конфигурации GENERIC может показаться вам крайне сложным, поэтому следуйте инструкциям в разделе Конфигурационный файл медленно и внимательно. Если вы синхронизируете дерево исходных текстов с деревом проекта &os;, не забудьте свериться с файлом /usr/src/UPDATING перед обновлением. В этом файле описаны все важные вопросы и области исходного кода, требующие особого внимания. /usr/src/UPDATING всегда соответствует версии ваших исходных текстов &os;, поэтому является более актуальным источником информации, чем это руководство. Теперь вы должны скомпилировать ядро. Существует два способа, которые позволяют это сделать. Какой из них выбрать, зависит от того, почему вам понадобилось пересобирать ядро и версии &os;, которую вы используете. Если вы установили только исходные тексты ядра, используйте способ 1. Если вы используете &os; версии более ранней, чем 4.0 и вы не обновляете систему до &os; 4.0 или выше, используя make world, используйте способ 1. Если вы собираете новое ядро, не обновляя исходные тексты (возможно, для того, чтобы добавить новую опцию, например IPFIREWALL), вы можете использовать любой способ. Если вы пересобираете ядро как часть процесса make world, используйте способ 2. cvsup анонимный CVS CTM CVS анонимный Если вы не обновляли дерево исходных текстов с момента последнего успешного завершения цикла buildworld-installworld, (то есть не запускали CVSup, CTM, или не использовали anoncvs), возможно использование последовательности config, make depend, make, make install. Способ 1. Сборка ядра <quote>традиционным</quote> способом Запустите &man.config.8; для того, чтобы сгенерировать исходные тексты ядра. &prompt.root; /usr/sbin/config MYKERNEL Перейдите в каталог, в котором будет собираться ядро. Запущенный как показано выше &man.config.8; выведет имя этого каталога. &prompt.root; cd ../compile/MYKERNEL Для &os; версий более ранних, чем 5.0, вместо этого используйте: &prompt.root; cd ../../compile/MYKERNEL Соберите ядро. &prompt.root; make depend &prompt.root; make Установите новое ядро. &prompt.root; make install Способ 2. Сборка ядра <quote>новым</quote> способом. Перейдите в каталог /usr/src. &prompt.root; cd /usr/src Соберите ядро. &prompt.root; make buildkernel KERNCONF=MYKERNEL Установите новое ядро. &prompt.root; make installkernel KERNCONF=MYKERNEL В &os; 4.2 и в более ранних, вам будет необходимо заменить KERNCONF= на KERNEL=. 4.2-STABLE, исходные тексты которой были обновлены до 2 февраля 2001 года, не понимает параметра KERNCONF=. /boot/kernel.old Новое ядро будет скопировано в каталог /boot/kernel как /boot/kernel/kernel, а старое ядро будет перемещено в /boot/kernel.old/kernel. Теперь перезагрузите систему для того, чтобы использовать новое ядро. Если что-то пойдёт не так, вы можете обратиться к разделу Если что-то пошло не так в конце этой главы, который может оказаться полезен. Не забудьте прочитать раздел, который объясняет как исправить то, что ядро не загружается. В &os; 4.X и более ранних, ядро устанавливается в /kernel, модули в /modules, а старое ядро сохраняется в /kernel.old. Другие файлы, относящиеся к процессу загрузки, такие как загрузчик (&man.loader.8;) и его конфигурационные файлы, размещаются в /boot. Модули сторонних производителей могут быть помещены в /modules, хотя пользователи должны знать, что очень важно, чтобы модули были синхронизированы с собранным ядром. Модули, не рассчитанные на работу с собранным ядром, могут вызвать нестабильность и некорректность работы. Если вы добавили новые устройства (такие, как звуковая карта) и используете &os; 4.X или более ранние версии, то, возможно, вам понадобится создать некоторые файлы устройств в каталоге /dev перед тем, как вы сможете их использовать. За дополнительной информацией вы можете обратиться к разделу Создание файлов устройств далее в этой главе. Joel Dahl Обновил для &os; 5.X Конфигурационный файл ядро NOTES ядро LINT NOTES LINT ядро конфигурационный файл Формат конфигурационного файла достаточно прост. Каждая строка представляет собой ключевое слово и один или более аргументов. Для простоты большинство строк содержат только один аргумент. Всё, что следует за символом # является комментарием и игнорируется. Следующие разделы описывают каждый параметр, в основном в порядке, в котором они появляются в GENERIC, хотя некоторые родственные параметры сгруппированы вместе в одном разделе (например Работа с сетью), даже если на самом деле они разбросаны по всему файлу GENERIC. За полным списком архитектурно-зависимых параметров и устройств обратитесь к файлу NOTES в том же каталоге, что и GENERIC. Архитектурно независимые параметры находятся в /usr/src/sys/conf/NOTES. NOTES не существует в &os; 4.X. Детальное описание параметров и устройств из GENERIC находится в файле LINT. В 4.X LINT служит двум целям: предоставить справочное руководство для выбора параметров ядра при сборке ядра по умолчанию и предоставить конфигурацию ядра с параметрами, установленными в значения, отличные от значений по умолчанию (настолько много параметров, насколько это возможно). Это было сделано по той причине, что такая конфигурация хорошо помогала (и все еще помогает) при тестировании нового кода и изменений в существующем коде, поскольку этот код и изменения могут конфликтовать с другими частями ядра. Однако, инфраструктура конфигурации ядра в 5.X прошла через множество серьезных изменений; Одно из таких изменений – перемещение параметров конфигурации драйверов в hints, и теперь они могут быть изменены и загружены динамически во время загрузки системы, а в LINT их больше нет. По этой и другим причинам LINT был переименован в NOTES и в основном по-прежнему соответствует своему назначению: информирование пользователей о доступных параметрах. В &os; 5.X и более поздних версиях вы все еще можете создать собираемый LINT, выполнив: &prompt.root; cd /usr/src/sys/i386/conf && make LINT kernel пример конфигурационного файла Это пример конфигурационного файла ядра GENERIC с различными дополнительными комментариями, которые могут понадобиться для ясности. Этот пример должен совпадать с вашей копией в /usr/src/sys/i386/conf/GENERIC практически полностью. # # GENERIC -- Generic kernel configuration file for &os;/i386 # # For more information on this file, please read the handbook section on # Kernel Configuration Files: # # http://www.&os;.org/doc/en_US.ISO8859-1/books/handbook/kernelconfig-config.html # # The handbook is also available locally in /usr/share/doc/handbook # if you've installed the doc distribution, otherwise always see the # &os; World Wide Web server (http://www.FreeBSD.org/) for the # latest information. # # An exhaustive list of options and more detailed explanations of the # device lines is also present in the ../../conf/NOTES and NOTES files. # If you are in doubt as to the purpose or necessity of a line, check first # in NOTES. # # $FreeBSD: /repoman/r/ncvs/src/sys/i386/conf/GENERIC,v 1.413 2004/08/11 01:34:18 rwatson Exp $ Следующие параметры обязательны для любого ядра, которое вы будете собирать: параметры ядра machine machine i386 Это архитектура машины. Она должна быть одной из следующих: alpha, amd64, i386, ia64, pc98, powerpc, или sparc64. параметры ядра cpu cpu I486_CPU cpu I586_CPU cpu I686_CPU Эта опция указывает тип процессора, который используется в вашей системе. В конфигурационном файле может быть несколько вхождений этой опции (например, если вы не уверены, какой из типов процессора необходимо использовать — I586_CPU или I686_CPU), но для собственного ядра лучше указывать только тот тип процессора, который установлен в вашей системе. Если вы не уверены, какой тип необходимо использовать вам, вы можете воспользоваться файлом /var/run/dmesg.boot, чтобы увидеть протокол загрузки системы. параметры ядра cpu type Поддержка типа I386_CPU все ещё существует в исходных текстах &os;, но по умолчанию отключена в ветках -STABLE и -CURRENT. Это означает, что для того, чтобы установить &os; на систему с процессором i386, вы можете использовать следующие способы: Установить более раннюю версию &os; и пересобрать систему из исходных текстов в соответствии с . Собрать мир и ядро на более новой машине и установить на 386 используя уже собранные файлы в /usr/obj (за дополнительной информацией можете обратиться к ). Сделать собственный релиз &os;, который включает поддержку I386_CPU в ядре установочного CD-ROM. Первый из этих способов, возможно, наиболее простой из всех предложенных, но вам понадобится много дискового пространства, что может быть затруднительно для систем класса 386. параметры ядра ident ident GENERIC Этот параметр определяет метку ядра. Необходимо, чтобы она соответствовала названию файла конфигурации ядра, например MYKERNEL, если вы следовали инструкциям в предыдущих примерах. Значение, которое вы присвоите параметру ident будет выводиться в процессе загрузки, поэтому полезно давать новым ядрам другие имена для того, чтобы отличать их от обычного ядра (например, если вы хотите собрать экспериментальное ядро). параметры ядра maxusers maxusers n Параметр maxusers определяет размеры многих важных системных таблиц. Это число должно быть приблизительно равно количеству пользователей, одновременно использующих вашу систему. Начиная с &os; 4.5, система автоматически настроит этот параметр если в конфигурационном файле вы установили его в значение 0Алгоритм автоматической настройки устанавливает maxusers равным количеству памяти в системе, минимум 32 и максимум 384.. В &os; 5.X и выше, maxusers по умолчанию равен 0, если не установлено другое значение. Если вы используете &os; версии более ранней, чем 4.5 или хотите самостоятельно управлять этим значением, рекомендуется устанавливать значение maxusers равным минимум 4, особенно если вы используете X Window System или компиляторы. Причина этого кроется в том, что одной из основных таблиц, размер которой определяет maxusers, является максимальное количество процессов, которое устанавливается равным 20 + 16 * maxusers, таким образом, если вы установите maxusers равным 1, то получите возможность выполнять максимум 36 одновременных процессов, включая 18 или около того процессов, которые система запускает при загрузке, и 15 или около того вы создадите, когда запустите X Window System. Даже такая простая задача, как чтение страницы справочной системы (&man.man.1;), потребует запуска девяти процессов, для того, чтобы использовать фильтры, распаковать и просмотреть её. Установка maxusers в значение 64 позволит запускать до 1044 одновременных процессов, что должно быть достаточно для большинства применений. Однако, если вы видите ошибку proc table full, когда пытаетесь запустить программу или поддерживаете сервер с большим количеством пользователей (таким как ftp.FreeBSD.org), вы всегда можете увеличить это число и пересобрать ядро. maxusers не ограничивает количество пользователей, которые могут зайти на вашу машину. Он просто устанавливает размеры различных таблиц в разумные значения, учитывая максимальное количество пользователей, которое будет у вас в системе и как много процессов будет запускать каждый из них. Параметр ядра, который действительно ограничивает количество одновременных удалённых сессий и окон X терминала, это pseudo-device pty 16. С &os; 5.X, вам не нужно беспокоиться об этом номере, поскольку драйвер &man.pty.4; автоклонируемый; используйте в файле конфигурации строку device pty. # Floating point support - do not disable. device npx npx - это интерфейс к модулю операций с плавающей точкой в &os;, который может использовать как аппаратный сопроцессор, так и программную эмуляцию. Этот параметр является обязательным. # Pseudo devices device loop # Network loopback Стандартное устройство обратной связи для TCP/IP. Если вы запускаете telnet или FTP на localhost (он же 127.0.0.1), то соединение пройдёт через это устройство. Этот параметр обязателен. В &os; 4.X вам потребуется использовать pseudo-device loop. Все остальные параметры более или менее опциональны. Обращайте внимание на информацию о каждой опции, которая размещается рядом с ней. #To statically compile in device wiring instead of /boot/device.hints #hints "GENERIC.hints" # Default places to look for devices. В &os; 5.X и более поздних &man.device.hints.5; используются для настройки параметров драйверов устройств. Путь по умолчанию, который &man.loader.8; будет проверять при загрузке - /boot/device.hints. Используя опцию hints вы можете вкомпилировать эти параметры статически в ваше ядро. В этом случае не требуется создавать файл device.hints в каталоге /boot. #makeoptions DEBUG=-g # Build kernel with gdb(1) debug symbols Обычный процесс сборки &os; не включает генерацию отладочной информации при сборке ядра и удаляет большую часть вспомогательной информации (symbols) после того как ядро слинковано для того, чтобы сэкономить немного места. Если вы собираетесь проводить тестирование ядер в ветви -CURRENT или разрабатывать собственные правки для ядра &os;, возможно вам будет нужно раскомментировать эту строку. Тем самым вы включите использования опции , которая включает генерацию отладочной информации &man.gcc.1;. Того же самого эффекта можно добиться используя опцию &man.config.8; , в случае, если вы используете традиционный способ сборки ядра (обратитесь к за дополнительной информацией). options SCHED_4BSD # 4BSD scheduler Традиционный планировщик &os;. В зависимости от загруженности системы, вы можете повысить производительность системы, используя новый планировщик &os; ULE, который был специально разработан для SMP, но отлично работает также и на однопроцессорных системах. Если вы хотите попробовать этот планировщик, замените SCHED_4BSD на SCHED_ULE в файле конфигурации ядра. options INET # InterNETworking Поддержка сетевых возможностей. Оставьте эту опцию включенной, даже если вы не планируете подключаться к сети. Большинство программ требуют, чтобы работал хотя бы интерфейс обратной связи (loopback) (т.е. создание сетевых соединений внутри вашего ПК), так что эта опция в принципе является обязательной. options INET6 # IPv6 communications protocols Включает поддержку коммуникационных протоколов IPv6. options FFS # Berkeley Fast Filesystem Включает поддержку основной файловой системы. Не удаляйте эту опцию, если вы планируете загружаться с жесткого диска. options UFS_ACL # Support for access control lists Этот параметр, присутствующий только в &os; 5.X, включает в ядре поддержку списков управления доступом (ACL). Основывается на использовании расширенных атрибутов и UFS2, детальное описание вы сможете найти в . ACL включены по умолчанию и не должны выключаться в случае если они ранее использовались на файловой системе, так как это удалит списки управления доступом и изменит то, как защищены файлы, непредсказуемым образом. options UFS_DIRHASH # Improve performance on big directories Эта опция включает функциональность, которая повышает скорость дисковых операций на больших каталогах в обмен на использование дополнительной памяти. Для большого сервера или рабочей станции рекомендуется оставить ее включенной, и выключить для системы, для которой более приоритетна память, чем скорость доступа к дискам, например сетевой экран (firewall). options SOFTUPDATES # Enable FFS Soft Updates support Этот параметр включает в ядре технологию Soft Updates, которая повышает скорость записи на диски. Несмотря на то, что эта технология включена в ядре, она должна быть включена для отдельных дисков. Просмотрите вывод команды &man.mount.8; чтобы определить, включены ли Soft Updates для дисков вашей системы. Если вы не увидите параметр soft-updates, вам будет необходимо активировать его при помощи команды &man.tunefs.8; (для существующих файловых систем) или команды &man.newfs.8; (для новых файловых систем). options MD_ROOT # MD is a potential root device Этот параметр включает поддержку использования дисков в памяти для корневой файловой системы. параметры ядра NFS параметры ядра NFS_ROOT options NFSCLIENT # Network Filesystem Client options NFSSERVER # Network Filesystem Server options NFS_ROOT # NFS usable as /, requires NFSCLIENT Сетевая файловая система. Если вы не планируете монтировать разделы с файлового сервера &unix; через TCP/IP, вы можете исключить этот параметр из конфигурационного файла ядра. параметры ядра MSDOSFS options MSDOSFS # MSDOS Filesystem Файловая система &ms-dos;. Если вы не собираетесь монтировать форматированный в DOS раздел жесткого диска в момент загрузки, вы можете безопасно закомментировать этот параметр. Необходимый модуль будет автоматически загружен когда вы в первый раз смонтируете раздел DOS, так, как это описано ниже. Также, замечательный пакет emulators/mtools позволяет получить доступ к DOS дискетам без необходимости монтировать и размонтировать их (и не требует наличия MSDOSFS). options CD9660 # ISO 9660 Filesystem Файловая система ISO 9660 для компакт-дисков. Если у вас нет привода CDROM или вы будете лишь изредка монтировать компакт-диски с данными, закомментируйте эту строку, так как необходимый модуль будет загружен автоматически при первом монтировании компакт-диска с данными. Для использования звуковых компакт-дисков эта файловая система не потребуется. options PROCFS # Process filesystem Файловая система процессов. Это виртуальная файловая система монтируемая в /proc, которая позволяет таким приложениям, как &man.ps.1; выдавать вам больше информации о запущенных процессах. В &os; 5.X и выше, использование PROCFS не требуется, так как большинство мониторинговых и отладочных инструментов было адаптировано для работы без PROCFS: в отличие от &os; 4.X, новые системы &os; 5.X по умолчанию не монтируют файловую систему процессов. Более того, ядра 6.X-CURRENT, которые используют PROCFS, должны также включать поддержку PSEUDOFS: options PSEUDOFS # Pseudo-filesystem framework PSEUDOFS недоступна в &os; 4.X. options GEOM_GPT # GUID Partition Tables. Этот параметр делает возможным наличие большого количества разделов на одном диске. options COMPAT_43 # Compatible with BSD 4.3 [KEEP THIS!] Совместимость с 4.3BSD. Не выключайте эту опцию; некоторые приложения будут вести себя странно, если этой опции не будет в ядре. options COMPAT_FREEBSD4 # Compatible with &os;4 Эта опция требуется в &os; 5.X для платформ &i386; и Alpha для поддержки приложений, собранных на более старых версиях &os;, которые используют старые интерфейсы вызовов. Рекомендуется использовать данную опцию на всех системах на платформах &i386; и Alpha, на которых могут запускаться старые приложения; платформы, поддержка которых появилась только в &os; 5.X, например ia64 и &sparc64;, не требуют этой опции. options SCSI_DELAY=15000 # Delay (in ms) before probing SCSI Этот параметр заставляет ядро приостановиться на 15 секунд перед тем, как идентифицировать каждое устройство SCSI в вашей системе. Если у вас установлены только жесткие диски IDE, вы можете игнорировать эту опцию, в противном случае, возможно, вы захотите уменьшить это число, например до 5 секунд, для того, чтобы ускорить загрузку. Естественно, что если вы сделаете это, а у &os; появятся проблемы с распознанием ваших устройств SCSI, необходимо будет увеличить этот параметр. options KTRACE # ktrace(1) support Включает поддержку трассировки процессов, что удобно при отладке. options SYSVSHM # SYSV-style shared memory - Этот параметр предоставляет поддержку разделяемой памяти System V. + Этот параметр предоставляет поддержку разделяемой памяти System V. Наиболее распространенное применение этого - расширение XSHM в X, которое многие приложения, интенсивно работающие с графикой, будут автоматически использовать для повышения скорости работы. Если вы используете X, эта опция будет необходима. options SYSVSEM # SYSV-style semaphores - Поддержка семафоров System V. Не настолько часто используемая + Поддержка семафоров System V. Не настолько часто используемая возможность, но в ядро добавляет всего несколько сотен байт. options SYSVMSG # SYSV-style message queues - Поддержка сообщений System V. Опять-таки, этот параметр + Поддержка сообщений System V. Опять-таки, этот параметр добавляет в ядро всего лишь несколько сотен байт. Команда &man.ipcs.1; с параметром покажет все процессы, которые используют любую из этих возможностей - System V. + System V. options _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions Расширения реального времени, добавленные 1993 &posix;. Определенные приложения из коллекции используют их, например &staroffice;. options KBD_INSTALL_CDEV # install a CDEV entry in /dev Этот параметр относится к клавиатуре. Он добавляет CDEV в /dev. options AHC_REG_PRETTY_PRINT # Print register bitfields in debug # output. Adds ~128k to driver. options AHD_REG_PRETTY_PRINT # Print register bitfields in debug # output. Adds ~215k to driver. Распечатка регистров для облегчения отладки. options ADAPTIVE_GIANT # Giant mutex is adaptive. Этот параметр включает Giant в набор адаптивных мьютексов. kernel options SMP # To make an SMP kernel, the next two are needed options SMP # Symmetric MultiProcessor Kernel device apic # I/O APIC Обе эти опции являются необходимыми для поддержки симметричной мультипроцессорности (SMP), их можно оставить включенными и на однопроцессорной системе. device isa Все компьютеры, поддерживаемые &os;, имеют хотя бы одно устройство ISA. Не удаляйте эту строку, даже если в вашем компьютере нет слотов ISA. Для архитектуры IBM PS/2 (Микроканальная Архитектура (MCA)), &os; предоставляет ограниченную поддержку данной шины. За дальнейшей информацией о поддержке MCA обратитесь к файлу /usr/src/sys/i386/conf/NOTES. device eisa Включите эту опцию если у вас материнская плата EISA. Это включает автоопределение и конфигурирование поддержки всех устройств на шине EISA. device pci Включите этот параметр, если у вас материнская плата с поддержкой PCI. Это включит автоопределение карт PCI и проксирование из шины PCI в шину ISA. device agp Включите эту опцию, если у вас есть AGP карта в системе. Это включит поддержку AGP и AGP GART для тех карт, которые поддерживают эту возможность. # Floppy drives device fdc Контроллер флоппи-диска. # ATA and ATAPI devices device ata Этот драйвер поддерживает все устройства ATA и ATAPI. Вам необходима только одна строка device ata в ядре для того, чтобы обнаружить все PCI устройства ATA/ATAPI в современных машинах. device atadisk # ATA disk drives Эта строка необходима вместе с device ata для поддержки дисков ATA. device ataraid # ATA RAID drives Эта строка необходима вместе с device ata для поддержки дисков ATA RAID. device atapicd # ATAPI CDROM drives Поддержка приводов ATAPI CDROM. Используется вместе с device ata. device atapifd # ATAPI floppy drives Поддержка флоппи-приводов ATAPI. Используется вместе с device ata. device atapist # ATAPI tape drives Поддержка ленточных приводов ATAPI (стримеров). Используется вместе с device ata. options ATA_STATIC_ID # Static device numbering Заставляет драйвер нумеровать устройства статически; в противном случае происходит динамическая нумерация. # SCSI Controllers device ahb # EISA AHA1742 family device ahc # AHA2940 and onboard AIC7xxx devices device ahd # AHA39320/29320 and onboard AIC79xx devices device amd # AMD 53C974 (Teckram DC-390(T)) device isp # Qlogic family device mpt # LSI-Logic MPT-Fusion #device ncr # NCR/Symbios Logic device sym # NCR/Symbios Logic (newer chipsets) device trm # Tekram DC395U/UW/F DC315U adapters device adv # Advansys SCSI adapters device adw # Advansys wide SCSI adapters device aha # Adaptec 154x SCSI adapters device aic # Adaptec 15[012]x SCSI adapters, AIC-6[23]60. device bt # Buslogic/Mylex MultiMaster SCSI adapters device ncv # NCR 53C500 device nsp # Workbit Ninja SCSI-3 device stg # TMC 18C30/18C50 Контроллеры SCSI. Закомментируйте те, которых у вас в системе нет. Если у вас в системе исключительно IDE устройства, вы можете удалить все эти строки. # SCSI peripherals device scbus # SCSI bus (required for SCSI) device ch # SCSI media changers device da # Direct Access (disks) device sa # Sequential Access (tape etc) device cd # CD device pass # Passthrough device (direct SCSI access) device ses # SCSI Environmental Services (and SAF-TE) Периферийные устройства SCSI. Опять-таки, закомментируйте те, которых у вас в системе нет или, если у вас в наличии исключительно IDE, можете удалить все. USB &man.umass.4; драйвер (и некоторые другие драйверы) используют подсистему SCSI, хотя и не являются настоящими SCSI устройствами. Следовательно, вам необходимо сохранить поддержку SCSI, если какой-либо из этих драйверов включен в конфигурацию ядра. # RAID controllers interfaced to the SCSI subsystem device amr # AMI MegaRAID device asr # DPT SmartRAID V, VI and Adaptec SCSI RAID device ciss # Compaq Smart RAID 5* device dpt # DPT Smartcache III, IV - See NOTES for options device iir # Intel Integrated RAID device ips # IBM (Adaptec) ServeRAID device mly # Mylex AcceleRAID/eXtremeRAID device twa # 3ware 9000 series PATA/SATA RAID # RAID controllers device aac # Adaptec FSA RAID device aacp # SCSI passthrough for aac (requires CAM) device ida # Compaq Smart RAID device mlx # Mylex DAC960 family device pst # Promise Supertrak SX6000 device twe # 3ware ATA RAID Поддерживаемые RAID-контроллеры. Если у вас нет таковых, можете их закомментировать или удалить эти строки. # atkbdc0 controls both the keyboard and the PS/2 mouse device atkbdc # AT keyboard controller Контроллер клавиатуры (atkbdc) предоставляет средства ввода/вывода для клавиатуры AT и PS/2 устройств. Этот контроллер необходим драйверу клавиатуры (atkbd) и PS/2 устройств (psm). device atkbd # AT keyboard Драйвер atkbd вместе с контроллером atkbdc предоставляет доступ к клавиатуре AT 84 или улучшенной клавиатуре AT, которая подключена к контроллеру AT клавиатуры. device psm # PS/2 mouse Используйте это устройство, если ваша мышь включается в порт PS/2. device vga # VGA video card driver Драйвер видеокарты. # splash screen/screen saver device splash # Splash screen and screen saver support Заставка при загрузке. Хранители экрана также требуют этого устройства. В &os; 4.X используйте строку pseudo-device splash. # syscons is the default console driver, resembling an SCO console device sc sc - это драйвер консоли по умолчанию, который имитирует консоль SCO. Так как большая часть консольных полноэкранных приложений обращаются к консоли через терминальную библиотеку termcap, вас не должно волновать, будете ли вы использовать этот драйвер, либо драйвер vt, который является VT220-совместимым драйвером консоли. Если у вас возникнут какие-либо проблемы с приложениями, работающими с этим драйвером консоли, установите переменную окружения TERM в значение scoansi. # Enable this for the pcvt (VT220 compatible) console driver #device vt #options XSERVER # support for X server on a vt console #options FAT_CURSOR # start with block cursor VT220-совместимый драйвер консоли, обратно совместимый с VT100/102. Он работает лучше на некоторых лэптопах, у которых возникают проблемы несовместимости с sc. Также, установите переменную окружения TERM в значение vt100 или vt220. Этот драйвер также может быть полезен в случаях подключения к большому количеству различных машин через сеть, на которых параметры для устройства sc для termcap или terminfo могут отсутствовать — vt100 присутствует практически на любой платформе. # Power management support (see NOTES for more options) #device apm Поддержка Advanced Power Management. Чаще всего используется в лэптопах, хотя в ядре GENERIC &os; 5.X и выше отключена по умолчанию. # Add suspend/resume support for the i8254. device pmtimer Устройство таймера для управления энергопотреблением, APM и ACPI. # PCCARD (PCMCIA) support # PCMCIA and cardbus bridge support device cbb # cardbus (yenta) bridge device pccard # PC Card (16-bit) bus device cardbus # CardBus (32-bit) bus Поддержка PCMCIA. Включите ее, если вы используете лэптоп. # Serial (COM) ports device sio # 8250, 16[45]50 based serial ports Четыре последовательных порта, которые известны как COM порты в мире &ms-dos;/&windows; Если у вас есть внутренний модем на COM4 и последовательный порт COM2, вам понадобится поменять IRQ модема на 2 (по непонятным техническим причинам IRQ2 = IRQ9) для того, чтобы получить к нему доступ из &os;. Если у вас есть многопортовая карта с последовательными портами, ознакомьтесь с &man.sio.4; чтобы узнать корректные значения для добавления в /boot/device.hints. Некоторые видеокарты (в частности те, что используют чипы S3) используют адреса ввода/вывода в форме 0x*2e8 и, так как многие дешевые последовательные карты не полностью раскодируют шестнадцатибитное пространство адресов ввода/вывода, они конфликтуют с этими картами, в итоге COM4 оказывается практически недоступным. Каждый последовательный порт требует уникального IRQ (кроме тех случаев, когда вы используете мультипортовую карту, которая поддерживает совместное использование прерываний), поэтому значения IRQ по умолчанию для COM3 и COM4 не могут быть использованы. # Parallel port device ppc Интерфейс параллельного порта на шине ISA. device ppbus # Parallel port bus (required) Поддержка шины параллельного порта. device lpt # Printer Поддержка принтеров на параллельном порту. Все три последних устройства необходимы для поддержка принтеров на параллельном порту. device plip # TCP/IP over parallel Драйвер TCP/IP через параллельный порт. device ppi # Parallel port interface device Поддержка ввода/вывода общего назначения (geek port) + IEEE1284 ввода/вывода. #device vpo # Requires scbus and da zip drive Драйвер привода Iomega Zip. Требует наличия scbus и da. Наилучшая производительность достигается с портами в режиме EPP 1.9. #device puc Раскомментируйте это устройство, если у вас есть простая последовательная или параллельная PCI карта, поддерживаемая драйвером &man.puc.4;. # PCI Ethernet NICs. device de # DEC/Intel DC21x4x (Tulip) device em # Intel PRO/1000 adapter Gigabit Ethernet Card device ixgb # Intel PRO/10GbE Ethernet Card device txp # 3Com 3cR990 (Typhoon) device vx # 3Com 3c590, 3c595 (Vortex) Драйвера сетевых карт PCI. Закомментируйте или удалите драйвера тех карт, которые отсутствуют в вашей системе. # PCI Ethernet NICs that use the common MII bus controller code. # NOTE: Be sure to keep the 'device miibus' line in order to use these NICs! device miibus # MII bus support Поддержка шины MII требуется для некоторых PCI 10/100 Ethernet карт, которые используют MII-совместимые передатчики или реализовывают интерфейс управления передатчиком, который имитирует MII. Добавление device miibus в конфигурационный файл ядра включает поддержку стандартный API miibus и все драйверы PHY, включая стандартный для тех PHY, которые не обрабатываются специфическим образом конкретным драйвером. device dc # DEC/Intel 21143 and various workalikes device miibus # MII bus support device bfe # Broadcom BCM440x 10/100 Ethernet device bge # Broadcom BCM570xx Gigabit Ethernet device dc # DEC/Intel 21143 and various workalikes device fxp # Intel EtherExpress PRO/100B (82557, 82558) device pcn # AMD Am79C97x PCI 10/100 (precedence over 'lnc') device re # RealTek 8139C+/8169/8169S/8110S device rl # RealTek 8129/8139 device sf # Adaptec AIC-6915 (Starfire) device sis # Silicon Integrated Systems SiS 900/SiS 7016 device sk # SysKonnect SK-984x & SK-982x gigabit Ethernet device ste # Sundance ST201 (D-Link DFE-550TX) device ti # Alteon Networks Tigon I/II gigabit Ethernet device tl # Texas Instruments ThunderLAN device tx # SMC EtherPower II (83c170 EPIC) device vr # VIA Rhine, Rhine II device wb # Winbond W89C840F device xl # 3Com 3c90x (Boomerang, Cyclone) Драйвера, которые используют контроллер шины MII. # ISA Ethernet NICs. pccard NICs included. device cs # Crystal Semiconductor CS89x0 NIC # 'device ed' requires 'device miibus' device ed # NE[12]000, SMC Ultra, 3c503, DS8390 cards device ex # Intel EtherExpress Pro/10 and Pro/10+ device ep # Etherlink III based cards device fe # Fujitsu MB8696x based cards device ie # EtherExpress 8/16, 3C507, StarLAN 10 etc. device lnc # NE2100, NE32-VL Lance Ethernet cards device sn # SMC's 9000 series of Ethernet chips device xe # Xircom pccard Ethernet # ISA devices that use the old ISA shims #device le Драйвера сетевых карт ISA. Ознакомьтесь с файлом /usr/src/sys/i386/conf/NOTES, чтобы узнать, какие сетевые карты поддерживаются каким драйвером. # Wireless NIC cards device wlan # 802.11 support device an # Aironet 4500/4800 802.11 wireless NICs. device awi # BayStack 660 and others device wi # WaveLAN/Intersil/Symbol 802.11 wireless NICs. #device wl # Older non 802.11 Wavelan wireless NIC. Поддержка различных беспроводных карт. device mem # Memory and kernel memory devices Устройства системной памяти. device io # I/O device Этот параметр позволяет процессу получение привилегий ввода/вывода. Он полезен для написания пользовательских программ, работающих с оборудованием непосредственно. Необходим для работы X Window system. device random # Entropy device Генератор случайных чисел для криптографической защиты. device ether # Ethernet support ether необходим лишь в случае, если у вас есть сетевая карта. Он включает поддержку стандартного кода протокола Ethernet. В &os; 4.X используйте строку pseudo-device ether. device sl # Kernel SLIP sl - это поддержка SLIP. SLIP был практически вытеснен PPP, который легче настраивается, лучше подходит для соединений модем-модем и имеет больше возможностей. В &os; 4.X используйте строку pseudo-device sl. device ppp # Kernel PPP Поддержка PPP в ядре для соединений dial-up. Также существует версия PPP, реализованного как приложение использующее tun и предлагает большую гибкость и большее количество возможностей, как, например, соединение при необходимости (наличии обращения к сети). В &os; 4.X используйте строку pseudo-device ppp. device tun # Packet tunnel. Используется пользовательским программным обеспечением PPP. Ознакомьтесь с разделом PPP этой книги за дальнейшей информацией. В &os; 4.X используйте строку pseudo-device tun. device pty # Pseudo-ttys (telnet etc) псевдо-терминал или имитированный порт для входа. Используется входящими telnet и rlogin-сессиями, приложением xterm и некоторыми другими приложениями, такими как Emacs. В &os; 4.X используйте строку pseudo-device pty number. Число после pty определяет количество pty, которое необходимо создать. Если вам необходимо более, чем стандартное (16) количество окон xterm и/или удаленных входов, увеличьте это число в соответствии с вашими потребностями, но не более чем до 256. device md # Memory disks Псевдоустройства дисков в памяти. В &os; 4.X используйте строку pseudo-device md device gif # IPv6 and IPv4 tunneling Поддержка туннелирования IPv6 через IPv4, IPv4 через IPv6, IPv4 через IPv4 и IPv6 через IPv6. Начиная с &os; 4.4 устройство gif является автоклонируемым и вы должны использовать строку pseudo-device gif. Более ранним версиям &os; 4.X требуется номер, например pseudo-device gif 4. device faith # IPv6-to-IPv4 relaying (translation) Это псевдоустройство захватывает пакеты, которые были посланы ему и перенаправляет их демону трансляции IPv4/IPv6. В &os; 4.X используйте строку pseudo-device faith 1 # The `bpf' device enables the Berkeley Packet Filter. # Be aware of the administrative consequences of enabling this! device bpf # Berkeley packet filter Фильтр пакетов Berkeley. Это псевдоустройство позволяет переводить сетевые интерфейсы в неразборчивый (promiscuous) режим, в котором перехватывается любой пакет в широковещательной сети (например ethernet). Эти пакеты могут быть сохранены на диск и/или исследованы при помощи &man.tcpdump.1;. В &os; 4.X используйте строку pseudo-device bpf. Устройство &man.bpf.4; также используется программой &man.dhclient.8; для того, чтобы получить адрес шлюза по умолчанию и т.п. Если вы используете DCHP, не удаляйте эту опцию. # USB support #device uhci # UHCI PCI->USB interface #device ohci # OHCI PCI->USB interface device usb # USB Bus (required) #device udbp # USB Double Bulk Pipe devices device ugen # Generic device uhid # Human Interface Devices device ukbd # Keyboard device ulpt # Printer device umass # Disks/Mass storage - Requires scbus and da device ums # Mouse device urio # Diamond Rio 500 MP3 player device uscanner # Scanners # USB Ethernet, requires mii device aue # ADMtek USB Ethernet device axe # ASIX Electronics USB Ethernet device cue # CATC USB Ethernet device kue # Kawasaki LSI USB Ethernet device rue # RealTek RTL8150 USB Ethernet Поддержка различных USB устройств. # FireWire support device firewire # FireWire bus code device sbp # SCSI over FireWire (Requires scbus and da) device fwe # Ethernet over FireWire (non-standard!) Поддержка различных устройств Firewire. За дальнейшей информацией о дополнительных устройствах, поддерживаемых &os;, обратитесь к файлу /usr/src/sys/i386/conf/NOTES. Конфигурации с большим количеством оперативной памяти (<acronym>PAE</acronym>) Расширения физического адресного пространства (Physical Address Extensions (PAE)) Конфигурации с большим количеством оперативной памяти Машины с большим количеством оперативной памяти, в которых требуется более 4 гигабайт в пользовательском адресном пространстве и адресном пространстве ядра (User+Kernel Virtual Address, KVA) в обычном случае не смогут использовать более 4 гигабайт. Для решения этой проблемы Intel добавили поддержку 36-битной адресации в &pentium; Pro и более поздних моделях процессоров. Расширение физического адресного пространства (PAE) в процессорах &intel; &pentium; Pro и более поздних позволяет использовать до 64 гигабайт оперативной памяти. &os; имеет поддержку для этой возможности посредством опции ядра , доступной в &os; 4.9-RELEASE и &os; 5.1-RELEASE и более поздних. В связи с ограничениями архитектуры Intel, не делается никакого различия между памятью ниже или выше 4 гигабайт. Память, размещенная выше 4 гигабайт, просто добавляется к доступной памяти. Для того, чтобы включить PAE в ядре, просто добавьте приведенную строку в конфигурационный файл ядра: options PAE Поддержка PAE в &os; существует только для процессоров &intel; IA-32. Также следует заметить, что PAE в &os; не было полностью протестировано и должно считаться находящимся в состоянии бета-тестирования по сравнению с другими, стабильными возможностями &os;. Поддержка PAE в &os; имеет следующие ограничения: Процесс не может получить доступ к более, чем 4 гигабайтам пространства VM. KLD модули не могут быть загружены в ядро с включенной поддержкой PAE из-за разницы в окружении для сборки модулей и самого ядра. Драйверы устройств, которые не используют интерфейс &man.bus.dma.9; приведут к повреждению информации в ядре с включенным PAE. Не рекомендуется использовать такие драйвера. По этой причине в &os; 5.X включен конфигурационный файл ядра PAE, из которого удалены все драйверы, о которых известно, что они не работают при включенной поддержке PAE. Некоторые системные переменные определяют использование ресурсов памяти по количеству доступной физической памяти. Такие переменные могут привести к ненужному чрезмерному выделению памяти из-за особенностей работы системы PAE. Один из таких примеров - переменная , которая управляет максимальным количеством vnode разрешенных в ядре. Рекомендуется установить такую и подобные ей переменные вручную в адекватные значения. Возможно, понадобится увеличить пространство виртуальных адресов ядра (KVA) или уменьшить какую-либо переменную (см. выше), значение которой было неоправданно велико и могло привести к исчерпанию KVA. Для этого может быть использована опция ядра . В случае сомнений относительно производительности и стабильности рекомендуется обратиться к странице руководства &man.tuning.7;. Страница руководства &man.pae.4; содержит свежую информацию о поддержке PAE в &os;. Создание файлов устройств файлы устройств MAKEDEV Если вы работаете с &os; 5.0 или старше, вы можете пропустить эту секцию. Эти версии используют &man.devfs.5; для выделения файлов устройств прозрачно для пользователя. Практически все устройства в ядре имеют соответствующий файл, называемый node в каталоге /dev. Они выглядят как обычные файлы, но на самом деле это специальные точки входа в ядро, которые необходимы приложениям для доступа к устройствам. Скрипт для /bin/sh /dev/MAKEDEV, который выполняется при первой установке операционной системы, создает практически все поддерживаемые файлы устройств. Однако он не создаёт их все, таким образом, когда вы добавляете поддержку нового устройства, следует убедиться, что соответствующие файлы есть в /dev, и если их там нет, создать их. Вот простой пример: Предположим, вы добавили поддержку привода IDE CD-ROM в ядро. Строка, которую вы добавили: device acd0 Это означает, что вам необходимо проверить наличие файлов, название которых начинаются строкой acd0 в каталоге /dev, за которой, возможно, следует буква, например c, или предшествует r, что означает, что это сырое (raw) устройство, которое используется для прямого доступа к аппаратному устройству. Если оказывается, что таких файлов в каталоге нет, вы должны перейти в каталог /dev и набрать: MAKEDEV &prompt.root; sh MAKEDEV acd0 Когда скрипт завершит работу, вы увидите, что файлы acd0c и racd0c созданы, соответственно скрипт отработал корректно. Для звуковых карт нижеследующая команда создает необходимые файлы: &prompt.root; sh MAKEDEV snd0 Если вы создаете файлы устройств для таких устройств, как звуковые карты и если другие люди имеют доступ к вашей машине, было бы не лишним защитить их от использования извне при помощи добавления их в файл /etc/fbtab. За дальнейшей информацией обратитесь к странице руководства &man.fbtab.5;. Следуйте этой простой процедуре для любых других устройств, которые отсутствуют в ядре GENERIC и которые не имеют соответствующих файлов в /dev. Все контроллеры SCSI используют одинаковый набор файлов в /dev, поэтому вам не нужно создавать их. Также, сетевые карты и псевдоустройства SLIP и PPP не имеют вхождений в /dev, поэтому и о них вы не должны беспокоиться. Если что-то пошло не так Существует пять категорий проблем, которые могут возникнуть при сборке собственного ядра. Вот они: Не удаётся отработать команде config: Если команда &man.config.8; не может отработать, то, скорее всего, вы допустили где-нибудь маленькую ошибку. К счастью &man.config.8; выведет номер проблемной строки, поэтому вы можете быстро найти строку, содержащую ошибку. Например, если вы видите: config: line 17: syntax error Убедитесь, что опция введена верно путём сравнения с файлом GENERIC или другим источником. Не удаётся отработать команде make: Если не удаётся отработать команде make, обычно это означает ошибку в описании конфигурации ядра, которая не достаточно тривиальна для того, чтобы &man.config.8; мог обнаружить её. Опять-таки, просмотрите файл конфигурации и, если вы все еще не можете решить проблему, напишите письмо в &a.questions; включив в письмо файл конфигурации ядра. Скорее всего проблема будет решена быстро. Не удаётся установить новое ядро: Если ядро собралось без проблем, но не удалось его установить (команда make install или make installkernel сообщила об ошибке), первое, что необходимо проверить, не запущена ли ваша система с уровнем безопасности 1 или выше (обратитесь к &man.init.8;). Процедура установки пробует снять флаг неизменяемости с текущего ядра и установить этот флаг для нового ядра. Так как на уровне безопасности 1 и выше запрещено снятие флага неизменяемости для всех файлов в системе, установка должна производиться на уровне безопасности 0 и ниже. Линия выше применима только к &os; 4.X и более ранним версиям. &os; 5.X, как и более поздние версии, не устанавливает этот флаг на ядро и ошибка при установке ядра возможно указывает на более фундаментальную проблему. Ядро не загружается: Если ваше новое ядро не загружается или ему не удаётся обнаружить ваши устройства - не паникуйте! К счастью, в &os; существует отличный механизм для восстановления после установки несовместимого ядра. Просто выберите ядро, которое хотите загрузить в загрузчике &os;. К нему вы можете получить доступ, когда система делает обратный отсчёт от 10 в меню загрузки. Нажмите любую клавишу, кроме Enter, введите unload и наберите boot /boot/kernel.old/kernel, или используйте любое другое ядро, которое загрузится без проблем. Во время переконфигурирования ядра всегда полезно оставлять копию ядра, о котором известно, что оно рабочее. После загрузки с рабочим ядром вы можете проверить ваш файл конфигурации и попробовать собрать ядро опять. Очень полезным в данном случае окажется файл /var/log/messages, в котором, среди других записей, имеются сообщения ядра от каждой успешной загрузки. Также, команда &man.dmesg.8; выведет сообщения ядра от текущей загрузки. Если у вас возникли проблемы со сборкой ядра, убедитесь, что вы сохранили ядро GENERIC или другое рабочее ядро под другим именем, чтобы оно не было удалено при следующей сборке. Вы не можете использовать kernel.old, потому что при установке нового ядра kernel.old перезаписывается последним установленным ядром, которое может оказаться нерабочим. Также, как можно скорее переместите рабочее ядро в /boot/kernel, так как некоторые команды, такие как &man.ps.1; будут работать некорректно. Для этого просто переместите каталог, содержащий работоспособное ядро: &prompt.root; mv /boot/kernel /boot/kernel.bad -mv /boot/kernel.good /boot/kernel +&prompt.root; mv /boot/kernel.good /boot/kernel В версиях &os; до 5.X, для восстановления работоспособного ядра используйте команду: &prompt.root; chflags noschg /kernel Если вы обнаружите, что не можете этого сделать, скорее всего вы работаете на уровне безопасности (&man.securelevel.8;) большем нуля. Отредактируйте переменную kern_securelevel в файле /etc/rc.conf, установите её в -1 и перезагрузитесь. Вы можете установить её в предыдущее состояние когда будете довольны своим новым ядром. И, если вы захотите закрыть ваше новое ядро или любой другой файл, таким образом, что он не сможет быть перемещен или изменен, используйте следующую команду: &prompt.root; chflags schg /kernel Ядро работает, но &man.ps.1; больше не работает: Если вы установили версию ядра отличную от той, с которой были собраны ваши системные утилиты, например, ядро от 5.X на системе 4.X, большая часть системных команд, таких как &man.ps.1; и &man.vmstat.8; не будут больше работать. Вам потребуется перекомпилировать и установить систему той же версии исходных текстов, что и ядро. Это одна из причин, по которой не следует использовать версию ядра, отличную от версии всей остальной системы. diff --git a/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml b/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml index 2e5ba89c31..f3ca5da160 100644 --- a/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml @@ -1,2822 +1,2834 @@ Денис Пеплин Перевод на русский язык: Получение FreeBSD Издатели CDROM и DVD Коробочная версия FreeBSD доступна в коробочной версии (FreeBSD CD диски, дополнительное программное обеспечение, печатная документация) от нескольких поставщиков:
CompUSA WWW:
Frys Electronics WWW:
Наборы CD и DVD Наборы FreeBSD CD и DVD доступны у множества онлайн поставщиков: + +
+ BSD-Systems + Email: info@bsd-systems.co.uk + WWW: +
+ +
Daemon News Mall 560 South State Street, Suite A2 Orem, UT 84058 США Телефон: +1 800 407-5170 Факс: +1 1 801 765-0877 Email: sales@bsdmall.com WWW:
FreeBSD Mall, Inc. 3623 Sanford Street Concord, CA 94520-1405 США Телефон: +1 925 674-0783 Факс: +1 925 674-0821 Email: info@freebsdmall.com WWW:
FreeBSD Services Ltd 11 Lapwing Close Bicester OX26 6XR Великобритания WWW:
Hinner EDV St. Augustinus-Str. 10 D-81825 München Германия Телефон: (089) 428 419 WWW:
Ikarios 22-24 rue Voltaire 92000 Nanterre Франция WWW:
Ingram Micro 1600 E. St. Andrew Place Santa Ana, CA 92705-4926 США Телефон: 1 (800) 456-8000 WWW:
JMC Software Ирландия Телефон: 353 1 6291282 WWW:
The Linux Emporium Hilliard House, Lester Way Wallingford OX10 9TA Великобритания Телефон: +44 1491 837010 Факс: +44 1491 837016 WWW:
Linux System Labs Australia 21 Ray Drive Balwyn North VIC - 3104 Австралия Телефон: +61 3 9857 5918 Факс: +61 3 9857 8974 WWW:
LinuxCenter.Ru ул. Галерная, 55 Санкт-Петербург 190000 Россия Телефон: +7-812-3125208 Email: info@linuxcenter.ru WWW:
UNIXDVD.COM LTD 57 Primrose Avenue Sheffield S5 6FS Великобритания WWW:
Распространители Если вы продавец и хотите заниматься FreeBSD CDROM, пожалуйста свяжитесь с распространителем:
Cylogistics 2672 Bayshore Parkway, Suite 610 Mountain View, CA 94043 США Телефон: +1 650 694-4949 Факс: +1 650 694-4953 Email: sales@cylogistics.com WWW:
FreeBSD Services Ltd 11 Lapwing Close Bicester OX26 6XR Великобритания WWW:
Kudzu, LLC 7375 Washington Ave. S. Edina, MN 55439 США Телефон: +1 952 947-0822 Факс: +1 952 947-0876 Email: sales@kudzuenterprises.com
LinuxCenter.Ru ул. Галерная, 55 Санкт-Петербург 190000 Россия Телефон: +7-812-3125208 Email: info@linuxcenter.ru WWW:
Navarre Corp 7400 49th Ave South New Hope, MN 55428 США Телефон: +1 763 535-8333 Факс: +1 763 535-0341 WWW:
FTP сайты Официальным источником FreeBSD являются анонимные FTP зеркала по всему миру. Сайт имеет хорошее подключение и поддерживает большое количество одновременных соединений, но для вас возможно потребуется найти ближайшее зеркало (особенно если вы решили настроить у себя какой-то из видов зеркал). База данных зеркал FreeBSD предпочтительнее по сравнению со списком зеркал в Руководстве, поскольку информация в базе собирается из DNS, а не из статического списка узлов. Кроме того, FreeBSD доступна через анонимный FTP со следующих зеркал. Если вы выбрали получение FreeBSD через анонимный FTP, пожалуйста выберите ближайший к вам сайт. Зеркала из списка Основных зеркал обычно содержат полный архив FreeBSD (все доступные на данный момент версии для каждой архитектуры), скорость загрузки возможно будет больше с зеркала, расположенного в вашей стране или регионе. Сайты каждой страны содержат последнюю версию для наиболее популярных архитектур, но на них может не быть полного архива FreeBSD. Все сайты предоставляют доступ через анонимный FTP, а некоторые предоставляют доступ и другими методами. Для каждого сайта приведен список методов доступа в скобках после имени хоста. &chap.mirrors.ftp.inc; Анонимный CVS <anchor id="anoncvs-intro">Введение Анонимный CVS (известный также как, anoncvs) это возможность, предоставляемая утилитами CVS, поставляемыми с FreeBSD для синхронизации с удаленным CVS репозиторием. Помимо прочего, он позволяет пользователям FreeBSD без специальных привилегий (с правами только на чтение) выполнять CVS операции на одном из официальных anoncvs серверов проекта FreeBSD. Для использования этой возможности, просто установите переменную CVSROOT на соответствующий сервер anoncvs, введите общеизвестный пароль anoncvs в ответ на приглашение команды cvs login, а затем используйте &man.cvs.1; для доступа к репозиторию как к обычному локальному CVS. Команда cvs login сохраняет пароли, использованные для авторизации на сервере CVS в файле с именем .cvspass в каталоге HOME. Если этот файл не существует, вы можете получить сообщение об ошибке при первом запуске cvs login. Просто создайте пустой файл .cvspass и попробуйте еще раз. Хотя можно сказать, что сервисы CVSup и anoncvs выполняют в сущности похожие функции, есть несколько отличий, которые могут повлиять на выбор метода синхронизации. По своей сути, CVSup гораздо более эффективно использует сетевые ресурсы, и из двух этих программ он более интеллектуален, но за его эффективность приходится платить. Во-первых, для того, чтобы появилась возможность хоть что-то получить этим методом, CVSup потребуется установить и настроить специальную программу, а во-вторых, этот CVSup позволяет синхронизацию только довольно больших частей исходных текстов, называемых коллекциями. Anoncvs напротив может использоваться для получения как одного файла, так и всей программы (например ls или grep), с помощью ссылки на имя модуля CVS. Конечно, anoncvs хорошо подходит только при операциях на чтение CVS репозитория, поэтому если вы намереваетесь производить локальную разработку в одном из репозиториев проекта FreeBSD, вам подойдет только CVSup. <anchor id="anoncvs-usage">Использование анонимного CVS Настройка &man.cvs.1; для использования анонимного CVS репозитория означает установку переменной окружения CVSROOT на один из anoncvs серверов проекта FreeBSD. На момент написания этого документа доступны следующие сервера: Австрия: :pserver:anoncvs@anoncvs.at.FreeBSD.org:/home/ncvs (Используйте cvs login и введите любой пароль в ответ на приглашение.) Франция: :pserver:anoncvs@anoncvs.fr.FreeBSD.org:/home/ncvs (pserver (пароль anoncvs), ssh (нет пароля)) Германия: :pserver:anoncvs@anoncvs.de.FreeBSD.org:/home/ncvs (Используйте cvs login и введите пароль anoncvs в ответ на приглашение.) Германия: :pserver:anoncvs@anoncvs2.de.FreeBSD.org:/home/ncvs (rsh, pserver, ssh, ssh/2022) Япония: :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs (Используйте cvs login и введите пароль anoncvs в ответ на приглашение.) Швеция: freebsdanoncvs@anoncvs.se.FreeBSD.org:/home/ncvs (только ssh - без пароля) США: - :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs - (Используйте cvs login и введите пароль - anoncvs в ответ на приглашение.) + freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs + (только ssh - без пароля) + + + США: + anoncvs@anoncvs1.FreeBSD.org:/home/ncvs (только ssh - без + пароля) Поскольку CVS позволяет выполнить check out практически любой версии исходных текстов FreeBSD, которые когда-либо существовали (или, в некоторых случаях, будут существовать), вам необходимо познакомиться с флагом &man.cvs.1; для ревизий () и с параметрами, которые могут быть использованы с этим флагом в репозитории проекта FreeBSD. Есть два вида тегов, теги ревизий и теги ветвей. Теги ревизий отвечают за определенную ревизию. Их значение остается прежним изо дня в день. Теги ветвей сопоставляются последней ревизии определенной ветви разработки, в любой момент времени. Поскольку теги ветвей не сопоставлены какой-то определенной ревизии, завтра они могут означать совсем не то, что сегодня. содержит теги ревизий, которые могут заинтересовать пользователей. Опять же, ни один из них не подходит для коллекции портов, поскольку в коллекции портов нет разнообразия ревизий. Если вы указываете тег ветви, то обычно получаете последнюю версию файлов этой ветви разработки. Если вы хотите получить предыдущую версию, это можно сделать путем указания даты флагом . Обратитесь к странице справочника &man.cvs.1; за более подробной информацией. Примеры Хотя перед тем, как что-то делать, рекомендуется полностью прочесть страницу справочника &man.cvs.1;, вот несколько кратких примеров использования Anonymous CVS: Извлечение кода из -CURRENT (&man.ls.1;) с последующим удалением: &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs co ls &prompt.user; cvs release -d ls &prompt.user; cvs logout Извлечение &man.ls.1; из ветви для 3.X-STABLE: &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs co -rRELENG_3 ls &prompt.user; cvs release -d ls &prompt.user; cvs logout Создание списка изменений &man.ls.1; (в виде unified diff) &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs rdiff -u -rRELENG_3_0_0_RELEASE -rRELENG_3_4_0_RELEASE ls &prompt.user; cvs logout Поиск доступных имен модулей: &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs co modules &prompt.user; more modules/modules &prompt.user; cvs release -d modules &prompt.user; cvs logout Другие ресурсы В изучении CVS могут помочь следующие дополнительные ресурсы: Учебник по CVS от Cal Poly. CVS Home, сообщество разработки и поддержки CVS. CVSweb это веб интерфейс к CVS проекта FreeBSD. Использование CTM CTM это метод синхронизации удаленного дерева исходных текстов с центральным. Он был разработан для использования с деревом исходных текстов FreeBSD, хотя может быть полезен и для других целей. На данный момент существует очень немного (если она вообще существует) документации по процессу создания дельта-файлов (deltas, разница между имеющимися и актуальными исходными текстами), поэтому обратитесь в список рассылки &a.ctm-users.name; за дополнительной информацией, если захотите использовать CTM для других целей. Зачем мне может понадобиться <application>CTM</application>? CTM создаст для вас локальную копию исходных текстов FreeBSD. Существует множество разновидностей дерева исходных текстов. Захотите ли вы поддерживать все дерево CVS или только одну из ветвей, CTM может предоставить вам все необходимое. Если вы разработчик FreeBSD, но ваше соединение по TCP/IP некачественное или отсутствует, или же вы просто хотите, чтобы изменения автоматически отправлялись вам, CTM предназначен для вас. Вам потребуется получать до трех изменений в день для наиболее активных ветвей. Они будут отправляться вам по электронной почте. Размеры обновлений всегда поддерживаются настолько малыми, насколько это возможно. Они обычно меньше 5K, хотя случается (раз из десяти) достигают 10-50K и время от времени даже 100K или больше. Вам также потребуется узнать о различных особенностях работы непосредственно с исходными текстами в разработке, вместо готовых релизов. Это в частности относится к выбору исходных текстов ветви -CURRENT. Рекомендуется прочесть материал На переднем крае разработок. Что потребуется для использования <application>CTM</application>? Вам потребуются две вещи: программа CTM и исходные тексты, которые требуется обновить (до актуального состояния). Программа CTM была частью FreeBSD все время с момента выпуска релиза 2.0, она находится в каталоге /usr/src/usr.sbin/ctm, если у вас есть копия исходных текстов. Если вы работаете с версией FreeBSD до 2.0, можете получить актуальные исходные тексты CTM непосредственно с: Дельта-файлы CTM могут приходить двумя путями, через FTP или email. Если у вас есть доступ к интернет по FTP, доступ к CTM может быть получен через следующие FTP сайты: или с сайтов из списка зеркал. Зайдите по FTP в соответствующий каталог и прочтите файл README. Если вы предпочитаете получать дельта-файлы по почте: Подпишитесь на один из списков распространения CTM. &a.ctm-cvs-cur.name; поддерживает все дерево CVS. &a.ctm-src-cur.name; поддерживает главную ветвь разработки. &a.ctm-src-4.name; поддерживает ветвь 4.X, и т.д. Если вы не знаете, как подписаться на список, нажмите на ссылку выше или на ссылку &a.mailman.lists.link;, а затем на ссылку соответствующего списка. Страница списка должна содержать все необходимые инструкции по подписке. Когда вы начнете получать обновления CTM по почте, используйте программу ctm_rmail для распаковки и применения обновлений. Вы можете использовать программу ctm_rmail непосредственно из /etc/aliases, если хотите полностью автоматизировать процесс. Прочтите страницу справочника ctm_rmail с более подробной информацией. Вне зависимости от способа получения дельта-файлов CTM, вам потребуется подписка на список рассылки &a.ctm-announce.name;. В будущем этот список станет единственным местом, где будут анонсироваться операции, относящиеся к системе CTM. Нажмите на ссылку выше и следуйте инструкциям для подписки на эту рассылку. Использование <application>CTM</application> в первый раз Перед тем, как вы сможете начать использование дельта-файлов CTM, потребуется определить исходную точку для последующего их применения. Сначала потребуется определить, что уже имеется. Каждый может начать с пустого (empty) каталога. Вы должны использовать дельта-файл Empty для создания поддерживаемого CTM дерева. Планируется распространение стартовых дельта-файлов на CD, но на данный момент это не делается. Поскольку дерево исходных текстов может быть объемом в десятки мегабайт, предпочтительно начать с каких-то уже имеющихся текстов. Если у вас есть -RELEASE CD, распакуйте исходные тексты с него. Это снизит объем передаваемых данных. Вы можете распознать стартовый дельта-файл по символу X, добавляемому к номеру (например, src-cur.3210XEmpty.gz). Обозначение перед X соответствует имеющимся исходным текстам. Empty это пустой каталог. Как правило файл с Empty создается через каждые 100 дельта-файлов. Между прочем, эти файлы большие! От 70 до ;) мегабайт упакованных gzip данных это обычный размер для XEmpty. Как только вы получили основной дельта-файл, потребуются также все дельта-файлы с последующими номерами. Повседневное использование <application>CTM</application> Для применения дельта-файлов, просто выполните: &prompt.root; cd /where/ever/you/want/the/stuff &prompt.root; ctm -v -v /where/you/store/your/deltas/src-xxx.* CTM работает с дельта-файлами, упакованными с помощью gzip, поэтому вам не требуется их распаковывать. Хотя весь процесс довольно безопасен, CTM не будет изменять дерево исходных текстов. Для проверки дельта-файла вы также можете использовать флаг , CTM только проверит целостность дельта-файла а также его применимость к существующим исходным текстам. Это все. Каждый раз после получения дельта-файла, запускайте CTM для поддержания исходных текстов в актуальном состоянии. Не удаляйте дельта-файлы, если их сложно загрузить еще раз. Вы возможно захотите сохранить их на всякий случай. Если вы можете сохранить их только на дискете, используйте для создания копии fdwrite. Сохранение локальных изменений Как разработчик вы возможно захотите поэкспериментировать и изменить файлы в дереве исходных текстов. CTM имеет ограниченную поддержку локальных изменений: перед проверкой наличия файла foo, сначала проверяется foo.ctm. Если он присутствует, CTM будет работать с ним вместо foo. Такое поведение обеспечивает простой путь поддержки локальных изменений: просто скопируйте файлы, которые вы хотите изменить, в файлы с соответствующими именами и суффиксом .ctm. Вы можете свободно изменять код, а CTM будет поддерживать файлы .ctm в актуальном состоянии. Другие интересные возможности <application>CTM</application> Определение файлов, которые будут затронуты обновлением Вы можете определить список изменений, которые CTM внесет в исходные тексты, используя параметр CTM . Это полезно, если вы хотите поддерживать лог изменений, выполнить предварительную или последующую обработку изменяемых файлов, или если вы просто немного параноидальны. Создание резервных копий перед обновлением Иногда вам может понадобиться сделать резервные копии всех файлов, которые будут изменены CTM. С параметром CTM выполнит резервное копирование всех изменяемых дельта-файлом CTM файлов в backup-file. Ограничение обновлений для определенных файлов Иногда необходимо ограничить набор файлов, обновляемых CTM, или даже задать обновление нескольких определенных файлов. Вы можете управлять списком файлов, с которыми будет работать CTM, путем указания фильтрующих регулярных выражений с параметрами и . Например, для извлечения свежей копии lib/libc/Makefile из коллекции сохраненных дельта-файлов CTM, выполните команду: &prompt.root; cd /where/ever/you/want/to/extract/it/ &prompt.root; ctm -e '^lib/libc/Makefile' ~ctm/src-xxx.* Для каждого указанного CTM дельта-файла, параметры и применяются в порядке их задания в командной строке. Файл обрабатывается CTM только если он помечается как подходящий после обработки всех параметров и . Дальнейшие планы для <application>CTM</application> Масса планов: Использовать какой-то из видов аутентификации в системе CTM, позволяющий обнаружение поддельных дат CTM. Доработать параметры CTM, поскольку они могут ввести в заблуждение. Разное Существует набор дельта-файлов и для коллекции ports, но интерес к нему пока не так высок. Зеркала CTM CTM/FreeBSD доступен через анонимный FTP с нижеприведенных зеркал. Если вы выбрали получение CTM через анонимный FTP, используйте ближайший к вам сервер. В случае возникновения проблем обратитесь в список рассылки &a.ctm-users.name;. California, Bay Area, официальный источник South Africa, резервный сервер для старых дельта-файлов Taiwan/R.O.C. Если вы не нашли ближайшего к вам зеркала, или зеркало неполно, попробуйте воспользоваться поиском, например alltheweb. Использование CVSup Введение CVSup это пакет программного обеспечения для распространения и обновления исходных текстов с основного репозитория CVS на удаленном сервере. Исходные тексты FreeBSD поддерживаются в репозитории CVS на центральной машине разработки в Калифорнии. С помощью CVSup пользователи FreeBSD легко могут поддерживать собственные исходные тексты в актуальном состоянии. CVSup использует так называемую опрашивающую (pull) модель обновления. Работая по этой модели, каждый клиент запрашивает обновления с сервера, если и когда они нужны. Сервер пассивно ожидает запросы на обновление от своих клиентов. Таким образом, все обновления инициируются клиентами. Сервер никогда не высылает не запрошенные обновления. Пользователь для получения обновлений должен либо запустить CVSup клиента вручную, либо добавить задание в cron для настройки периодических обновлений в автоматическом режиме. Термин CVSup, написанный с заглавными буквами, означает весь пакет программного обеспечения. Его основные компоненты это клиент cvsup, запускаемый на каждом пользовательском компьютере, и сервер cvsupd, работающий на каждом зеркале FreeBSD. При чтении документации FreeBSD и списков рассылки вы могли встретить указания на sup. Sup был предшественником CVSup, и выполнял похожие функции. CVSup в основном используется тем же способом, что и sup, и, фактически, использует файлы настройки, обратно совместимые с файлами sup. Sup более не используется проектом FreeBSD, поскольку CVSup и быстрее и более гибок. Установка Простейший способ установки CVSup это использование прекомпилированного пакета net/cvsup из коллекции пакетов FreeBSD. Если вы предпочтете собрать CVSup из исходных текстов, можете использовать вместо этого порт net/cvsup. Но имейте ввиду: порт net/cvsup зависит от системы Modula-3, которой потребуется существенный объем времени и пространства на диске для загрузки и установки. Если вы собираетесь использовать CVSup на компьютере, где нет установленного &xfree86; или &xorg;, например на сервере, используйте порт, не включающий CVSup GUI, net/cvsup-without-gui. Настройка CVSup Работа CVSup контролируется файлом настройки, называемым supfile. В каталоге /usr/share/examples/cvsup/ находится несколько примеров supfile. Информация в supfile отвечает на следующие вопросы CVSup: Какие файлы вы хотите получить? Какие их версии вам нужны? Откуда вы хотите их получить? Где вы хотите разместить их на своем компьютере? Где вы хотите разместить файлы статуса? В следующих разделах мы составим типичный supfile последовательным ответом на каждый из этих вопросов. Сначала опишем общую структуру supfile. supfile это текстовый файл. Комментарии, начинающиеся с #, продолжаются до конца строки. Пустые строки и строки, содержащие только комментарии, игнорируются. Каждая из оставшихся строк описывает набор файлов, получаемых пользователем. Строка начинается с имени коллекции, логического объединения файлов, определяемых сервером. Имя коллекции говорит серверу о том, какие файлы вам нужны. После имени коллекции следуют одно или больше полей, разделенных пробелом. Эти поля отвечают на вопросы, заданные выше. Есть два типа полей: флаги и значения. Поле флага состоит из одного ключевого слова, например delete или compress. Поле значения также начинается с ключевого слова, но за ним без пробела следует = и второе слово. Например, release=cvs это поле значения. supfile обычно задает получение более одной коллекции. Одним из способов построения supfile является указание всех соответствующих полей для каждой коллекции явно. Однако, это приводит к появлению слишком длинных строк в supfile и это неудобно, поскольку большинство полей одинаковы для всех коллекций supfile. CVSup предоставляет механизм задания значений по умолчанию для устранения этих проблем. Строки, начинающиеся со специального имени псевдо-коллекции *default, могут быть использованы для установки флагов и значений, которые послужат значениями по умолчанию для всех последующих коллекций supfile. Значение по умолчанию может быть перезаписано для каждой отдельной коллекции путем указания другого значения в ее собственных параметрах. Значения по умолчанию также могут быть изменены или расширены в любом месте supfile дополнительными строками *default. Получив эту информацию, мы начнем строить supfile для получения и обновления главного дерева исходных текстов FreeBSD-CURRENT. Какие файлы вы хотите получить? Файлы, доступные через CVSup, организованы в именованные группы, называемые коллекциями. Доступные коллекции описаны в следующем разделе. В этом примере мы получим все дерево исходных текстов системы FreeBSD. Существует одиночная большая коллекция src-all, которая позволит нам сделать это. В качестве первого шага по созданию supfile, добавим список коллекций, по одной на строку (в нашем случае, только одну строку): src-all Какие их версии вам нужны? С CVSup вы в принципе можете получить любую версию исходных текстов, которая когда-либо существовала. Это возможно, поскольку cvsupd сервер работает непосредственно с репозиторием CVS, который содержит все версии. Вы указываете ту, которая вам нужна, с помощью полей tag= и . Будьте очень осторожны при задании любых полей tag=. Некоторые теги существуют только в определенных коллекциях файлов. Если вы укажете некорректный тег или ошибетесь в его написании, CVSup удалит файлы, которые вы возможно не хотели удалять. В частности, используйте только tag=. для коллекций ports-*. Поля tag= означают символьные имена в репозитории. Существует два вида тегов, теги ревизий и теги ветвей. Теги ревизий означают определенную ревизию. Они не меняются со временем. Теги ветвей, с другой стороны, означают последнюю ревизию заданной линии разработки в любой момент времени. Поскольку тег ветви не относится к определенной ревизии, он может означать завтра что-то иное чем сегодня. содержит теги ветвей, которые могут быть интересны пользователям. Тег, указанный в файле настройки CVSup, должен предваряться строкой tag= (RELENG_4 превратится в tag=RELENG_4). Помните, что для коллекции портов подходит только tag=.. Будьте очень осторожны при наборе имен тегов. CVSup не может отличить правильные и неправильные теги. Если вы неправильно наберете тег, CVSup поведет себя так, как если бы вы указали тег, не содержащий файлов. В этом случае он удалит существующие исходные тексты. При указании тега ветви вы получите последние версии файлов этой ветви разработки. Если вы хотите получить какую-то из предыдущих версий, сделайте это указав дату в поле значения . Страница справочника &man.cvsup.1; описывает как сделать это. В нашем примере мы хотим получить FreeBSD-CURRENT. Мы добавим эту строку в начало supfile: *default tag=. Существует важный специальный случай, когда не задаются ни поле tag=, ни поле date=. В этом случае вы получите последние версии RCS файлов непосредственно из CVS репозитория сервера вместо получения определенной версии. Разработчики обычно предпочитают этот способ. Поддерживая копию репозитория в своей системе, они получают возможность просмотра истории ревизий и проверки последних версий файлов. Однако это достигается ценой большего занимаемого дискового пространства. Откуда вы хотите их получить? Мы используем поле host= для сообщения cvsup откуда забирать обновления. Подойдет любое из CVSup зеркал, хотя вы должны попробовать выбрать ближайшее к вам зеркало. В этом примере мы используем не существующий сервер, cvsup99.FreeBSD.org: *default host=cvsup99.FreeBSD.org Вам потребуется подставить адрес одного из существующих хостов перед запуском CVSup. При каждом запуске cvsup, вы можете перезаписать настройку хоста из командной строки, используя параметр . Где вы хотите разместить их на своем компьютере? Поле prefix= указывает cvsup где размещать получаемые файлы. В этом примере, мы поместим файлы непосредственно в главное дерево исходных текстов, /usr/src. Каталог src уже подразумевается в коллекциях, которые мы собираемся получить, поэтому корректное указание таково: *default prefix=/usr Где вы хотите разместить файлы статуса cvsup? Клиент CVSup поддерживает определенные файлы статуса в так называемом base каталоге. Эти файлы помогают CVSup работать более эффективно путем поддержки истории уже полученных обновлений. Мы будем использовать стандартный каталог base, /var/db: *default base=/var/db Этот каталог используется по умолчанию, если иное не указано в supfile, поэтому на самом деле строка выше не нужна. Если base каталог не существует, теперь подходящий момент для его создания. Клиент cvsup не запустится, если base каталог не существует. Различные настройки supfile: Существует еще одна строка, которая обычно должна присутствовать в supfile: *default release=cvs delete use-rel-suffix compress release=cvs означает, что сервер должен получать информацию из главного репозитория FreeBSD CVS. Это обычно всегда так, но существуют несколько иных вариантов, изложение которых выходит за пределы этой главы. delete дает CVSup возможность удалять файлы. Вы должны всегда указывать этот параметр, чтобы CVSup мог поддерживать дерево исходных текстов полностью актуальным. CVSup удалит только те файлы, за которые отвечает. Все другие файлы останутся нетронутыми. use-rel-suffix это ... мистика. Если вы действительно хотите узнать о нем, обратитесь к странице справочника &man.cvsup.1;. Иначе просто укажите это поле и не беспокойтесь о нем больше. compress включает использование gzip сжатия при передаче данных. Если ваше сетевое подключение работает со скоростью T1 или быстрее, вам возможно не потребуется использование сжатия. Иначе оно обычно помогает. Все это вместе: Вот полный supfile для нашего примера: *default tag=. *default host=cvsup99.FreeBSD.org *default prefix=/usr *default base=/var/db *default release=cvs delete use-rel-suffix compress src-all Файл <filename>refuse</filename> Как упомянуто выше, CVSup использует метод опроса. В основном это означает, что вы подключаетесь к CVSup серверу, и он говорит Вот то, что вы можете загрузить с меня..., и клиент отвечает OK, я возьму это, это и это. С настройкой по умолчанию CVSup клиент заберет каждый файл, связанный с коллекцией и тегом, выбранным в файле настройки. Однако, это не всегда то, что вам нужно, особенно если вы синхронизируете деревья doc, ports, или www — большинство людей не могут читать на пяти или четырех языках, и следовательно им не требуются локализованные файлы. Если вы обновляете коллекцию портов, это можно обойти путем индивидуального указания каждой коллекции (например, ports-astrology, ports-biology и т.д. вместо коллекции ports-all). Однако, поскольку для деревьев doc и www нет специфичных для языка коллекций, используйте одну из замечательных возможностей CVSup: файл refuse. Файл refuse говорит CVSup, что он не должен забирать каждый файл из коллекции; другими словами, он говорит клиенту отказаться (refuse) от получения с сервера определенных файлов. Файл refuse можно найти (или, если у вас его еще нет, должен быть помещен) в base/sup/. base определен в файле supfile; по умолчанию, base это /var/db, что означает, что по умолчанию файл refuse это /var/db/sup/refuse. Формат файла refuse очень прост; он содержит имена файлов или каталогов, которые вы не хотите загружать. Например, если вы не можете разговаривать ни на каком языке кроме английского и русского, и вы не хотите использовать русскоязычные приложения (или приложения на любом другом языке кроме английского), поместите следующие строки в файл refuse: ports/arabic ports/chinese ports/french ports/german ports/hebrew ports/hungarian ports/japanese ports/korean ports/polish ports/portuguese ports/russian ports/ukrainian ports/vietnamese doc/da_* doc/de_* doc/el_* doc/es_* doc/fr_* doc/it_* doc/ja_* doc/nl_* doc/no_* doc/pl_* doc/pt_* doc/sr_* doc/zh_* и так далее для других языков (полный список находится на странице FreeBSD CVS репозитория). С этой очень полезной возможностью пользователи с низкоскоростным подключением или с поминутной платой за подключение смогут сохранить время, поскольку им более не потребуется загружать файлы, которые они никогда не будут использовать. За более подробной информацией о файлах refuse и замечательных возможностях CVSup, обратитесь к его справочной странице. Запуск <application>CVSup</application> Теперь вы готовы к тестированию обновления. Командная строка для этого очень проста: &prompt.root; cvsup supfile где supfile это конечно имя supfile, который только что был создан. При запуске под X11, cvsup отобразит GUI интерфейс с несколькими полезными кнопками. Нажмите кнопку go и смотрите за его работой. Поскольку в этом примере обновляется существующее дерево /usr/src вам потребуется, запуск программы из под root, чтобы у cvsup были права, необходимые для обновления файлов. Если файл настройки только что создан, и эта программа раньше никогда не использовалась, это может действовать вам на нервы. Есть простой способ для пробного запуска без затрагивания ваших драгоценных файлов. Просто создайте где-нибудь пустой каталог и поместите его в качестве дополнительного аргумента командной строки: &prompt.root; mkdir /var/tmp/dest &prompt.root; cvsup supfile /var/tmp/dest Указанный каталог будет использоваться в качестве места назначения всех обновлений. CVSup будет работать с файлами из /usr/src, но не станет изменять или удалять их. Вместо этого все обновления файлов будут помещены в /var/tmp/dest/usr/src. При запуске таким способом CVSup оставит также неприкосновенным каталог base. Новые версии этих файлов будут записаны в указанный каталог. Если у вас есть права на чтение каталога /usr/src, вам даже не потребуется работать под root для выполнения пробного обновления. Если вы не работаете с X11 или просто не любите GUI, добавьте набор параметров командной строки при запуске cvsup: &prompt.root; cvsup -g -L 2 supfile Параметр указывает CVSup не использовать GUI. Он действует автоматически, если вы не работаете под X11, но иначе вам потребуется его указать. Параметр указывает CVSup выводить информацию о каждом производимом обновлении. Есть три уровня протоколирования, от до . Уровень по умолчанию 0, что означает полное отсутствие сообщений, за исключением сообщений об ошибках. Доступно множество других параметров. Для получения их краткого списка, наберите cvsup -H. За более подробным описанием обратитесь к странице справочника. После проверки работоспособности обновлений вы можете организовать регулярные запуски CVSup с помощью &man.cron.8;. Очевидно, вы не должны позволять CVSup использовать GUI при запуске из &man.cron.8;. Коллекции файлов <application>CVSup</application> Коллекции файлов, доступные через CVSup, организованы иерархически. Существует несколько больших коллекций, и они разделены на несколько меньших под-коллекций. Получение большой коллекции эквивалентно получению каждой из ее подколлекции. Иерархические отношения между коллекциями отражаются путем использования отступов в списке ниже. Наиболее используемые коллекции это src-all, и ports-all. Другие коллекции используются небольшими группами людей для специальных целей и некоторые сайты зеркал могут не содержать их все. cvs-all release=cvs Главный FreeBSD CVS репозиторий, включающий криптографический код. distrib release=cvs Файлы, относящиеся к распространению и зеркалированию FreeBSD. doc-all release=cvs Исходные тексты Руководства FreeBSD и другой документации. Они не включают файлы веб-сайта FreeBSD. ports-all release=cvs Коллекция портов FreeBSD. Если вы не хотите обновлять всю коллекцию ports-all (все дерево портов), а только одну из подколлекций, перечисленных ниже, убедитесь, что вы каждый раз обновляете подколлекцию ports-base! При любых изменениях в инфраструктуре сборки портов подколлекции ports-base, они могут быть использованы настоящими портами довольно скоро. Таким образом, если вы обновляете только настоящие порты и они используют некоторые новые возможности, есть большой шанс того, что их сборка прервется с непонятным сообщением об ошибке. Самое первое, что вы должны сделать, это убедиться, что подколлекция ports-base обновлена. ports-archivers release=cvs Архиваторы. ports-astro release=cvs Порты для астрономии. ports-audio release=cvs Поддержка звука. ports-base release=cvs Инфраструктура сборки портов - различные файлы, расположенные в подкаталогах Mk/ и Tools/ каталога /usr/ports. Пожалуйста, прочтите важное предупреждение выше: вы должны всегда обновлять эту подколлекцию, при каждом обновлении любой части коллекции портов FreeBSD! ports-benchmarks release=cvs Измерение производительности. ports-biology release=cvs Программы для биологии. ports-cad release=cvs Инструменты САПР. ports-chinese release=cvs Поддержка китайского языка. ports-comms release=cvs Коммуникационные программы. ports-converters release=cvs Преобразование кодировок. ports-databases release=cvs Базы данных. ports-deskutils release=cvs Вещи, использовавшиеся на рабочем столе до изобретения компьютеров. ports-devel release=cvs Утилиты разработки. ports-dns release=cvs Программы, имеющие отношение к DNS. ports-editors release=cvs Редакторы. ports-emulators release=cvs Эмуляторы других операционных систем. ports-finance release=cvs Финансовые, расчетные и связанные с ними приложения. ports-ftp release=cvs Клиентские и серверные утилиты FTP. ports-games release=cvs Игры. ports-german release=cvs Поддержка немецкого языка. ports-graphics release=cvs Графические утилиты. ports-hungarian release=cvs Поддержка венгерского языка. ports-irc release=cvs IRC утилиты. ports-japanese release=cvs Поддержка японского языка. ports-java release=cvs &java; утилиты. ports-korean release=cvs Поддержка корейского языка. ports-lang release=cvs Языки программирования. ports-mail release=cvs Почтовое программное обеспечение. ports-math release=cvs Математические программы. ports-mbone release=cvs Приложения MBone. ports-misc release=cvs Различные утилиты. ports-multimedia release=cvs Мультимедийное программное обеспечение. ports-net release=cvs Сетевое программное обеспечение. ports-news release=cvs Программное обеспечение новостей USENET. ports-palm release=cvs Программная поддержка для Palm. ports-polish release=cvs Поддержка польского языка. ports-portuguese release=cvs Поддержка португальского языка. ports-print release=cvs Программы печати. ports-russian release=cvs Поддержка русского языка. ports-security release=cvs Утилиты безопасности. ports-shells release=cvs Оболочки командной строки. ports-sysutils release=cvs Системные утилиты. ports-textproc release=cvs Утилиты обработки текста (не включают настольные утилиты публикации). ports-vietnamese release=cvs Поддержка вьетнамского языка. ports-www release=cvs Программы, относящиеся к World Wide Web. ports-x11 release=cvs Порты с поддержкой X window system. ports-x11-clocks release=cvs Часы X11. ports-x11-fm release=cvs Файловые менеджеры X11. ports-x11-fonts release=cvs Шрифты и шрифтовые утилиты X11. ports-x11-toolkits release=cvs Пакеты разработки приложений для X11. ports-x11-servers Серверы X11. ports-x11-wm Оконные менеджеры X11. src-all release=cvs Основные исходные тексты FreeBSD, включая криптографический код. src-base release=cvs Различные файлы непосредственно из /usr/src. src-bin release=cvs Утилиты, которые могут потребоваться в однопользовательском режиме (/usr/src/bin). src-contrib release=cvs Утилиты и библиотеки, заимствованные проектом FreeBSD, используются почти без модификаций (/usr/src/contrib). src-crypto release=cvs Криптографические утилиты и библиотеки, заимствованные проектом FreeBSD, используются почти без модификаций (/usr/src/crypto). src-eBones release=cvs Kerberos и DES (/usr/src/eBones). Не используются в текущих релизах FreeBSD. src-etc release=cvs Файлы настройки системы (/usr/src/etc). src-games release=cvs Игры (/usr/src/games). src-gnu release=cvs Утилиты, попадающие под GNU Public License (/usr/src/gnu). src-include release=cvs Файлы заголовков (/usr/src/include). src-kerberos5 release=cvs Пакет безопасности Kerberos5 (/usr/src/kerberos5). src-kerberosIV release=cvs Пакет безопасности KerberosIV (/usr/src/kerberosIV). src-lib release=cvs Библиотеки (/usr/src/lib). src-libexec release=cvs Системные программы, обычно выполняемые другими программами (/usr/src/libexec). src-release release=cvs Файлы, необходимые для производства релизов FreeBSD (/usr/src/release). src-sbin release=cvs Системные утилиты для однопользовательского режима (/usr/src/sbin). src-secure release=cvs Криптографические библиотеки и команды (/usr/src/secure). src-share release=cvs Файлы, которые могут быть использованы несколькими системами (/usr/src/share). src-sys release=cvs Ядро (/usr/src/sys). src-sys-crypto release=cvs Криптографический код ядра (/usr/src/sys/crypto). src-tools release=cvs Различные инструменты для поддержки FreeBSD (/usr/src/tools). src-usrbin release=cvs Пользовательские утилиты (/usr/src/usr.bin). src-usrsbin release=cvs Системные утилиты (/usr/src/usr.sbin). www release=cvs Исходные тексты www сайта FreeBSD. distrib release=self Собственные файлы настройки сервера CVSup. Используются зеркалами CVSup. gnats release=current База данных отслеживания ошибок GNATS. mail-archive release=current Архив списков рассылки FreeBSD. www release=current Файлы предобработки WWW сайта FreeBSD (не исходные файлы). Используются зеркалами WWW. Дальнейшая информация CVSup FAQ и другая информация о CVSup находится на Домашней странице CVSup. Большая часть связанных с FreeBSD обсуждений CVSup проводилась в списке рассылки &a.hackers.name;. Новые версии программного обеспечения анонсируются здесь и в списке рассылки &a.announce.name;. Вопросы и сообщения об ошибках адресуйте автору программы cvsup-bugs@polstra.com. Зеркала CVSup CVSup серверы для FreeBSD работают на следующих сайтах: &chap.mirrors.cvsup.inc; Теги CVS При получении или обновлении исходных текстов с использованием cvs или CVSup должен быть указан тег ревизии Тег относится либо к определенной линии разработки &os; либо к определенному моменту времени. Первый тип называется тегом ветви, второй тип называется тегом релиза. Теги ветвей Все они, за исключением HEAD (который всегда работает), относятся только к дереву src/. Деревья ports/, doc/ и www/ не имеют тегов ветвей. HEAD Символическое имя для основной ветви разработки, FreeBSD-CURRENT. Используется по умолчанию, если тег не указан. В CVSup, этот тег представлен символом . (не знак пунктуации, а символ .). В CVS тег по умолчанию используется, если тег не указан вообще. Обычно не очень хорошей идеей является обновление до CURRENT на машине со STABLE, только если вы не стремитесь именно к этому. RELENG_5 Ветвь разработки FreeBSD-5.X, которая станет FreeBSD-STABLE после выпуска FreeBSD-5.3. RELENG_5_2 Ветвь релиза для FreeBSD-5.2 и FreeBSD-5.2.1, используемая только для исправлений безопасности и других критических исправлений. RELENG_5_1 Ветвь релиза для FreeBSD-5.1, используемая только для исправлений безопасности и других критических исправлений. RELENG_5_0 Ветвь релиза для FreeBSD-5.0, используемая только для исправлений безопасности и других критических исправлений. RELENG_4 Ветвь разработки FreeBSD-4.X, известная также как FreeBSD-STABLE. RELENG_4_10 Ветвь релиза для FreeBSD-4.10, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_9 Ветвь релиза для FreeBSD-4.9, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_8 Ветвь релиза для FreeBSD-4.8, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_7 Ветвь релиза для FreeBSD-4.7, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_6 Ветвь релиза для FreeBSD-4.6 и FreeBSD-4.6.2, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_5 Ветвь релиза для FreeBSD-4.5, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_4 Ветвь релиза для FreeBSD-4.4, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_3 Ветвь релиза для FreeBSD-4.3, используемая только для исправлений безопасности и других критических исправлений. RELENG_3 Ветвь разработки для FreeBSD-3.X, известная также как 3.X-STABLE. RELENG_2_2 Ветвь разработки для FreeBSD-2.2.X, известная также как 2.2-STABLE. Эта ветвь по большей части устарела. Теги релизов Эти теги относятся к определенным моментам времени, когда были выпущены конкретные версии &os;. Процесс выпуска релизов более детально документирован в информации о выпусках релизов и статье о процессе подготовки релизов. Дерево src использует имена тегов, начинающиеся с RELENG_. Деревья ports и doc используют теги, имена которых начинаются с RELEASE. Наконец, в дереве www нет специальных имен для релизов. RELENG_4_10_0_RELEASE FreeBSD 4.10 RELENG_5_2_1_RELEASE FreeBSD 5.2.1 RELENG_5_2_0_RELEASE FreeBSD 5.2 RELENG_4_9_0_RELEASE FreeBSD 4.9 RELENG_5_1_0_RELEASE FreeBSD 5.1 RELENG_4_8_0_RELEASE FreeBSD 4.8 RELENG_5_0_0_RELEASE FreeBSD 5.0 RELENG_4_7_0_RELEASE FreeBSD 4.7 RELENG_4_6_2_RELEASE FreeBSD 4.6.2 RELENG_4_6_1_RELEASE FreeBSD 4.6.1 RELENG_4_6_0_RELEASE FreeBSD 4.6 RELENG_4_5_0_RELEASE FreeBSD 4.5 RELENG_4_4_0_RELEASE FreeBSD 4.4 RELENG_4_3_0_RELEASE FreeBSD 4.3 RELENG_4_2_0_RELEASE FreeBSD 4.2 RELENG_4_1_1_RELEASE FreeBSD 4.1.1 RELENG_4_1_0_RELEASE FreeBSD 4.1 RELENG_4_0_0_RELEASE FreeBSD 4.0 RELENG_3_5_0_RELEASE FreeBSD-3.5 RELENG_3_4_0_RELEASE FreeBSD-3.4 RELENG_3_3_0_RELEASE FreeBSD-3.3 RELENG_3_2_0_RELEASE FreeBSD-3.2 RELENG_3_1_0_RELEASE FreeBSD-3.1 RELENG_3_0_0_RELEASE FreeBSD-3.0 RELENG_2_2_8_RELEASE FreeBSD-2.2.8 RELENG_2_2_7_RELEASE FreeBSD-2.2.7 RELENG_2_2_6_RELEASE FreeBSD-2.2.6 RELENG_2_2_5_RELEASE FreeBSD-2.2.5 RELENG_2_2_2_RELEASE FreeBSD-2.2.2 RELENG_2_2_1_RELEASE FreeBSD-2.2.1 RELENG_2_2_0_RELEASE FreeBSD-2.2.0 AFS сайты AFS серверы для FreeBSD работают на следующих сайтах: Швеция Часть файлов: /afs/stacken.kth.se/ftp/pub/FreeBSD/ stacken.kth.se # Stacken Computer Club, KTH, Sweden 130.237.234.43 #hot.stacken.kth.se 130.237.237.230 #fishburger.stacken.kth.se 130.237.234.3 #milko.stacken.kth.se Ответственный ftp@stacken.kth.se rsync сайты Следующие сайты организуют доступ к FreeBSD через протокол rsync Утилита rsync работает в основном тем же путем, что и команда &man.rcp.1;, но поддерживает больше параметров и использует протокол удаленного обновления rsync, который передает только разницу между двумя наборами файлов, что значительно повышает скорость синхронизации по сети. Это особенно полезно, если вы поддерживаете зеркало сервера FreeBSD FTP, или репозитория CVS. Пакет rsync доступен для многих операционных систем, в FreeBSD используйте порт net/rsync или пакет. Чешская республика rsync://ftp.cz.FreeBSD.org/ Доступные коллекции: ftp: Частичное зеркало FreeBSD FTP сервера. FreeBSD: Полное зеркало FreeBSD FTP сервера. Германия rsync://grappa.unix-ag.uni-kl.de/ Доступные соединения: freebsd-cvs: Полный FreeBSD CVS репозиторий. Этот компьютер помимо прочих также зеркалирует CVS репозитории проектов NetBSD и OpenBSD. Нидерланды rsync://ftp.nl.FreeBSD.org/ Доступные коллекции: vol/3/freebsd-core: Полное зеркало FreeBSD FTP сервера. Великобритания rsync://rsync.mirror.ac.uk/ Доступные коллекции: ftp.FreeBSD.org: Полное зеркало FreeBSD FTP сервера. Соединенные Штаты Америки rsync://ftp-master.FreeBSD.org/ Этот сервер может использоваться только основными зеркалами FreeBSD. Доступные коллекции: FreeBSD: Основной архив FreeBSD FTP сервера. acl: Основной ACL список FreeBSD. rsync://ftp13.FreeBSD.org/ Доступные коллекции: FreeBSD: Полное зеркало FreeBSD FTP сервера. diff --git a/ru_RU.KOI8-R/books/handbook/security/chapter.sgml b/ru_RU.KOI8-R/books/handbook/security/chapter.sgml index 9fea696f26..095ef69047 100644 --- a/ru_RU.KOI8-R/books/handbook/security/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/security/chapter.sgml @@ -1,5331 +1,5723 @@ Matthew Dillon Большая часть этой главы была взята из страницы справочника security(7) которую написал Денис Пеплин Перевод на русский язык: Безопасность безопасность Краткое описание Эта глава представляет введение в основные концепции безопасности системы, некоторые эмпирические правила и более подробно обращается к отдельным темам, касающимся &os;. Большая часть затрагиваемых тем может быть применена к безопасности системы и безопасности в интернет вообще. Интернет больше не то дружественное место, где каждый хочет быть вам добрым соседом. Защита системы необходима для сохранения ваших данных, интеллектуальной собственности, времени и всего остального от хакеров и им подобных. FreeBSD предоставляет массу утилит и механизмов для обеспечения целостности и безопасности системы и сети. После прочтения этой главы вы узнаете: Основные концепции безопасности системы, специфику &os;. О различных механизмах шифрования в &os;, таких как DES и MD5. Как настроить аутентификацию с использованием одноразовых паролей. + + Как настроить TCP Wrappers для + использования с inetd. + + Как настроить KerberosIV в релизах &os; до 5.0. Как настроить Kerberos5 в релизах &os; после 5.0. Как создать межсетевые экраны с помощью IPFW. Как настроить IPsec и создать VPN между компьютерами на &os;/&windows;. Как настроить и использовать OpenSSH, реализацию SSH в &os;. - - Как настроить и загрузить модули расширения контроля доступа, - использующие концепцию TrustedBSD MAC. - - Что такое ACL и как их использовать. Как работать с сообщениями безопасности &os;. Перед чтением этой главы вам потребуется: Понимание основных концепций &os; и интернет. Введение Безопасность это первая и основная функция системного администратора. Хотя все многопользовательские системы BSD &unix; уже снабжены некоторой защитой, работа по созданию и поддержке дополнительных механизмов безопасности, обеспечивающих защищенную работу пользователей, это одна из самых серьезных задач системного администратора. Компьютеры безопасны настолько, насколько вы сделаете их безопасными и требования безопасности всегда находятся в противоречии с удобством работы пользователей. Системы &unix; способны одновременно работать с огромным количеством процессов и многие из этих процессов серверные — это означает, что с ними могут взаимодействовать внешние программы. Сегодня десктопы заменили мини-компьютеры и мэйнфрэймы, и поскольку компьютеры в наши дни подключены к сети интернет, безопасность важна как никогда. Наилучшая реализация системы безопасности представима в виде послойной системы. Вообще говоря все, что нужно сделать, это создать столько слоев безопасности, сколько необходимо и затем внимательно следить за вторжениями в систему. Не переусердствуйте в настройке системы безопасности, иначе она сделает невозможной обнаружение вторжений, являющееся одним из наиболее важных аспектов механизма безопасности. Например, нет большого смысла в установке флага schg (&man.chflags.1;) на каждый исполняемый файл системы, поскольку хотя таким способом можно временно защитить исполняемые файлы, это помешает обнаружению факта взлома системы. Безопасность системы также относится к различным формам атак, имеющих своей целью вызвать крах системы, или сделать систему недоступной другим способом, но не пытающихся получить доступ к учетной записи root (break root). Угрозы безопасности могут быть поделены на несколько категорий: Отказ в обслуживании (Denial of service, DoS). Взлом пользовательских учетных записей. Взлом учетной записи root через доступные сервисы. Взлом учетной записи root через учетные записи пользователей. Создание backdoor. DoS атаки отказ в обслуживании (Denial of Service, DoS) безопасность DoS атаки отказ в обслуживании (Denial of Service, DoS) Отказ в обслуживании (Denial of Service, DoS) Атака отказ в обслуживании отбирает у машины необходимые ресурсы. Обычно DoS атаки используют грубую силу, чтобы попытаться обрушить систему или сделать ее недоступной другим способом, превысив лимиты ее сервисов или сетевого стека. Некоторые DoS атаки пытаются использовать ошибки в сетевом стеке для обрушения системы одним пакетом. Эту проблему можно решить только исправив ядро системы. Атаки зачастую можно предотвратить правильной установкой параметров, ограничивающих нагрузку на систему в неблагоприятных условиях. С атаками, использующими грубую силу, бороться сложно. Например, атака с использованием пакетов с поддельными адресами, которую почти невозможно остановить, может быстро отключить вашу систему от интернет. Возможно, она не приведет к отказу системы, но сможет переполнить соединение с интернет. безопасность взлом учетных записей Взлом учетной записи пользователя обычно встречается чаще, чем DoS атаки. Многие системные администраторы все еще используют стандартные сервисы telnetd, rlogind и ftpd на своих серверах. Эти сервисы по умолчанию не работают с зашифрованными соединениям. В результате при среднем количестве пользователей пароль одного или нескольких пользователей, входящих в систему через внешнее соединение (это обычный и наиболее удобный способ входа в систему), будет перехвачен. Внимательный системный администратор должен анализировать логи удаленного доступа на предмет подозрительных адресов пользователей даже в случае успешного входа. Кто-то может предположить, что атакующий при наличии доступа к учетной записи пользователя может взломать учетную запись root. Однако, реальность такова, что в хорошо защищенной и поддерживаемой системе доступ к учетной записи пользователя не обязательно даст атакующему доступ к root. Разница между доступом к обычной учетной записи и к root важна, поскольку без доступа к root атакующий обычно не способен скрыть свои действия, и в худшем случае сможет лишь испортить файлы пользователя или вызвать крах системы. Взлом пользовательских учетных записей встречается очень часто, поскольку пользователи заботятся о безопасности так, как системные администраторы. безопасность backdoors Системные администраторы должны помнить, что существует множество потенциальных способов взлома учетной записи root. Атакующий может узнать пароль root, найти ошибку в сервисе, работающем с привилегиями и взломать учетную запись root через сетевое соединение с этим сервисом, или узнать об ошибке в suid-root программе, позволяющей атакующему взлом root с помощью взломанной учетной записи пользователя. Если атакующий нашел способ взлома root, ему может не понадобиться установка backdoor. Многие из обнаруженных и закрытых на сегодняшний день брешей в системе, позволяющие взлом root, требуют от атакующего серьезной работы по заметанию следов, поэтому большинство атакующих устанавливают backdoor. Backdoor предоставляет атакующему простой способ восстановления доступа к системе с привилегиями root, но также дает системному администратору удобный способ обнаружения вторжения. Устранение возможности установки backdoor возможно повредит безопасности системы, поскольку это не устранит брешь, позволившую проникнуть в систему. Меры безопасности всегда должны быть реализованы многоуровнево, и могут быть классифицированы следующим образом: Защита root и служебных учетных записей. - Защита root — работающих под root + Защита работающих под root сервисов и suid/sgid исполняемых файлов. Защита учетных записей пользователей. Защита файла паролей. Защита ядра, raw устройств и файловых систем. Быстрое обнаружение несанкционированных изменений в системе. Паранойя. В следующем разделе этой главы эти темы изложены более подробно. Защита FreeBSD безопасность защита FreeBSD Команда и протокол В этом документе мы будет использовать - выделенный упоминая команду или приложение. - Например, мы будем использовать выделение для ssh, поскольку это и - команда и протокол. + выделенный текст, упоминая приложение, + и моноширинный шрифт, упоминая определенные + команды. Для протоколов используется обычный шрифт. Это + типографическое отличие полезно для таких случаев, как ssh, поскольку + это и команда и протокол. В последующем разделе будут рассмотрены методы защиты системы FreeBSD, упомянутые в предыдущем разделе этой главы. Защита учетной записи <username>root</username> и служебных учетных записей su Во-первых, не беспокойтесь о защите служебных учетных записей, если не защищена учетная запись root. В большинстве систем у учетной записи root есть пароль. Использование пароля root опасно всегда. Это не означает, что вы должны удалить пароль. Пароль почти всегда необходим для доступа по консоли. Но это означает, что вы должны сделать невозможным использование пароля не из консоли или может быть даже с помощью команды &man.su.1;. Например, убедитесь, что псевдотерминалы в файле /etc/ttys перечислены с параметром insecure, что делает невозможным вход на них под root напрямую с помощью telnet или rlogin. При использовании других средств входа, таких как sshd, убедитесь что вход под root напрямую отключен и в них. Сделайте это, открыв файл /etc/ssh/sshd_config, и убедившись, что параметр PermitRootLogin установлен в NO. Проверьте каждый метод доступа — сервис FTP и ему подобные часто подвержены взлому. Прямой вход под root должен быть разрешен только с системной консоли. wheel Конечно, как системный администратор вы должны иметь доступ root, поэтому потребуется открыть несколько лазеек. Но убедитесь, что для доступа к ним необходим дополнительный пароль. Одним из способов доступа к root является добавление соответствующих учетных записей к группе wheel (в файле /etc/group). Это позволяет использовать su для доступа к root. Вы никогда не должны давать таким учетным записям доступ к wheel непосредственно, помещая их в группу wheel в файле паролей. Служебные учетные записи должны помещаться в группу staff, а затем добавляться к группе wheel в файле /etc/group. Только те члены группы staff, которым действительно нужен доступ к root, должны быть помещены в группу wheel. При работе с такими методами аутентификации как Kerberos, возможно также использование файла .k5login в каталоге пользователя root для доступа к учетной записи root с помощью &man.ksu.1; без помещения кого-либо в группу wheel. Это решение возможно лучше, поскольку механизм wheel все еще позволяет взлом root, если злоумышленник получил копию файла паролей и смог взломать служебную учетную запись. Хотя использование механизма wheel лучше, чем работа через root напрямую, это не обязательно самый безопасный способ. + + Непрямой способ защиты служебных учетных записей и конечно root это использование альтернативных методов доступа и замена зашифрованных паролей на символ *. Используя команду &man.vipw.8;, замените каждый зашифрованный пароль служебных учетных записей на этот символ для запрета входа с аутентификацией по паролю. Эта команда обновит файл /etc/master.passwd и базу данных пользователей/паролей. Служебная учетная запись вроде этой: foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh Должна быть заменена на такую: foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh Это изменение предотвратит обычный вход, поскольку зашифрованный пароль никогда не совпадет с *. После этого члены группы staff должны использовать другой механизм аутентификации, например &man.kerberos.1; или &man.ssh.1; с парой ключей: публичным и приватным. При использовании такой системы как Kerberos, потребуется защитить сервер Kerberos и рабочую станцию. При использовании пары публичного/приватного ключей с ssh, потребуется защитить компьютер, с которого происходит вход (обычно это рабочая станция). Дополнительных слой защиты может быть добавлен путем защиты пары ключей при создании их с помощью &man.ssh-keygen.1;. Возможность заменить пароли служебных учетных записей на * гарантирует также, что вход может быть осуществлен только через защищенные методы доступа, которые вы настроили. Это принуждает всех членов staff использовать защищенные, шифрованные соединения для всех входов, что закрывает большую брешь, используемую многими нарушителями: перехват паролей с другого, слабо защищенного компьютера. Более непрямой механизм безопасности предполагает, что вы входите с более защищенного сервера на менее защищенный. Например, если главный сервер работает со всеми сервисами, рабочая станция не должна работать ни с одним. Для поднятия уровня безопасности до приемлемого уровня, число запущенных на ней сервисов необходимо сократить до минимума, вплоть до отключения их всех, кроме того необходимо использовать защищенный паролем хранитель экрана. Конечно, при наличии физического доступа к рабочей станции атакующий может взломать любую систему безопасности. Это определенно проблема, которую вы должны учитывать, но учтите также тот факт, что большинство взломов совершаются удаленно, через сеть, людьми, которые не имеют физического доступа к вашим рабочим станциям или серверам. KerberosIV Использование такой системы как Kerberos дает возможность заблокировать или изменить пароль в одном месте, что сразу отразиться на всех компьютерах, где существует служебная учетная запись. Если эта учетная запись будет взломана, возможность немедленно изменить пароль на всех компьютерах нельзя недооценивать. Без этой возможности изменение паролей на N машинах может стать проблемой. Вы можете также наложить ограничения на смену паролей с помощью Kerberos: не только установить значения timeout в Kerberos, но и добавить требование смены пароля пользователем после определенного периода времени (скажем, раз в месяц). Защита работающих под root сервисов и suid/sgid исполняемых файлов ntalk comsat finger sandboxes sshd telnetd rshd rlogind Предусмотрительный системный администратор запускает только те сервисы, в которых нуждается, ни больше ни меньше. Учитывайте, что сервисы сторонних разработчиков наиболее подвержены ошибкам. К примеру, работа со старыми версиями imapd или popper это все равно что раздача доступа root всему миру. Никогда не запускайте сервисы, которые вы не проверили достаточно внимательно. Многим сервисам не требуется работа под root. Например, даемоны ntalk, comsat, и finger могут быть запущены в так называемых песочницах (sandboxes). Песочница это не идеальное решение, поскольку вызывает много проблем, но она подходит под модель послойной безопасности: если кто-то сможет взломать сервис, работающий в песочнице, ему потребуется взломать еще и саму песочницу. Чем больше уровней (слоев) потребуется пройти атакующему, тем меньше вероятность его успеха. Ошибки, позволяющие получать root доступ, находили фактически во всех сервисах, запускаемых под root, включая основные системные сервисы. Если вы обслуживаете машину, на которую входят только через sshd и никогда не входят через telnetd, rshd или rlogind, отключите эти сервисы! В FreeBSD сервисы ntalkd, comsat и finger теперь по умолчанию работают в песочнице. Другая программа, которая может быть кандидатом на запуск в песочнице это &man.named.8;. /etc/defaults/rc.conf включает необходимые для запуска named в песочнице аргументы в закомментированой форме. В зависимости от того, устанавливаете ли вы новую систему, или обновляете старую, учетные записи пользователей, используемые этими песочницами могут не быть созданы. Предусмотрительный системный администратор должен узнать о песочницах для сервисов и установить их если есть возможность. sendmail Есть множество других сервисов, которые обычно не работают в песочницах: sendmail, popper, imapd, ftpd, и другие. Некоторым из этих сервисов есть альтернативы, но их установка может потребовать больше работы, чем вы готовы выполнить (фактор удобства). Вы можете запустить эти сервисы под root и положиться на другие механизмы обнаружения вторжений, которые могут пройти через них. Другая большая потенциальная root брешь в системе это suid-root и sgid исполняемые файлы. Большинство этих исполняемых файлов, таких как rlogin, установлены в /bin, /sbin, /usr/bin, или /usr/sbin. Хотя ничто не может быть безопасно на 100%, находящиеся по умолчанию в системе suid и sgid исполняемые файлы могут быть признаны достаточно безопасными. Но root бреши все еще обнаруживаются в этих исполняемых файлах. root брешь, обнаруженная в Xlib в 1998 делала xterm (который обычно suid) подверженным взлому. Лучше сразу принять меры предосторожности, чем сожалеть потом. Предусмотрительный системный администратор ограничит права запуска suid исполняемых файлов, которые должны запускаться пользователями группы staff, только этой группой, а также запретит доступ (chmod 000) к тем исполняемым файлам suid, которые никем не используются. Серверу без монитора обычно не требуется исполняемый файл xterm. Исполняемые sgid исполняемые файлы могут быть почти так же опасны. Если нарушитель сможет взломать sgid-kmem исполняемый файл, он возможно сможет прочесть /dev/kmem и таким образом получить файл зашифрованных паролей, что потенциально делает возможным взлом любой защищенной паролем учетной записи. Аналогично нарушитель, проникший в группу kmem, может отслеживать последовательности клавиш, отправленные через псевдотерминалы, включая псевдотерминалы, используемые через безопасные соединения. Нарушитель, вошедший в группу tty может сделать вывод почти на любой пользовательский терминал. Если пользователь работает с терминальной программой или эмулятором с возможностью эмуляции клавиатуры, взломщик может потенциально сгенерировать поток данных, который заставит терминал пользователя ввести команду, и она будет запущена с правами этого пользователя. Защита учетных записей пользователей Учетные записи пользователей обычно сложнее всего защитить. Вы можете ввести драконовские ограничения доступа к служебным учетным записям, заменив их пароли на символ *, но возможно не сможете сделать то же с обычными учетными записями пользователей. Если есть такая возможность, вы возможно сможете защитить учетные записи пользователей соответствующим образом. Если нет, просто более бдительно отслеживайте эти учетные записи. Использование ssh и Kerberos для учетных записей пользователей более проблематично, поскольку требует дополнительной административной работы и технической поддержки, но все же это решение лучше, чем файл с шифрованными паролями. Защита файла паролей Единственный абсолютно надежный способ это замена на * максимально возможного количества паролей и использование ssh или Kerberos для доступа к таким учетным записям. Хотя файл с шифрованными паролями (/etc/spwd.db) доступен для чтения только root, возможно, что нарушитель сможет получить доступ на чтение к этому файлу, даже если не получит права root на запись. Ваши скрипты безопасности должны всегда проверять и составлять отчет об изменениях файла паролей (обратитесь к разделу Проверка целостности файлов ниже по тексту). Защита ядра, raw устройств и файловых систем Если атакующий взломает root, он сможет сделать практически все, но есть способы усложнить его задачу. Например, в большинстве современных ядер встроено устройство перехвата пакетов. В FreeBSD оно называется bpf. Нарушитель обычно пытается запустить перехват пакетов на взломанной машине. Вы не должны предоставлять ему такой возможности, на большинстве систем устройство bpf не должно быть встроено в ядро. sysctl Но даже если вы выключите устройство bpf, все еще остаются проблемы, связанные с устройствами - /dev/mem и - /dev/kmem. + /dev/mem и + /dev/kmem. Нарушитель все еще может писать на дисковые raw устройства. Есть также другая возможность ядра, загрузка модулей, &man.kldload.8;. Активный нарушитель может использовать KLD модуль для установки собственного устройства bpf или другого перехватывающего устройства на работающее ядро. Для решения этих проблем запускайте ядро с большим уровнем безопасности, как минимум 1. Уровень безопасности может быть установлен с помощью sysctl через переменную kern.securelevel. После установки уровня безопасности в 1 доступ на запись в raw устройства будет запрещена и полностью заработают специальные флаги chflags, такие как schg. Убедитесь также, что флаг schg установлен на критически важных загрузочных исполняемых файлах, каталогах и файлах скриптов — на всем, что запускается до установке уровня безопасности. Это требует большого объема работы, и обновление системы на более высоком уровне безопасности может стать гораздо сложнее. Вы можете пойти на компромисс и запускать систему на высоком уровне безопасности, но не устанавливать флаг schg для каждого существующего системного файла и каталога. Другая возможность состоит в монтировании / и /usr только для чтения. Необходимо заметить, что такие правила слишком жесткие и могут помешать обнаружению вторжения. Проверка целостности файлов: исполняемые, конфигурационные файлы и т.д. Вы можете защищать только ядро, файлы настройки и управления системой только до тех пор, пока эта защита не вступит в конфликт с удобством работы в системе. Например, использование chflags для установки бита schg на большинство файлов в / вероятно может только навредить, поскольку хотя и может защитить файлы, препятствует обнаружению. Последний слой системы безопасности, возможно, наиболее важный — обнаружение. Остальные меры безопасности практически бесполезны (или, что еще хуже, могут дать вам ложное ощущение безопасности) если вы не обнаружите потенциальное вторжение. Половина функций системы безопасности направлена на замедление атакующего, а не на его остановку, для того, чтобы дать системе обнаружения возможность поймать нарушителя на месте преступления. Лучший способ обнаружения вторжения — отслеживание измененных, отсутствующих, или неожиданно появившихся файлов. Для наблюдения за измененными файлами лучше всего использовать другую (зачастую централизованную) систему с ограниченным доступом. Добавление написанных вами скриптов к этой дополнительно защищенной системе с ограниченным доступом делает ее практически невидимой для потенциальных взломщиков, и это важно. В целях достижения максимального эффекта вам может потребоваться предоставить этой системе доступ к другим машинам в сети, обычно с помощью NFS экспорта только для чтения или сгенерировав пары ключей ssh для доступа к другим машинам по ssh. Помимо большого объема сетевого трафика, NFS более скрытый метод — он позволяет контролировать файловые системы на каждом клиентском компьютере практически незаметно. Если ваш сервер с ограниченным доступом подключен к клиентским компьютерам через коммутатор, NFS метод это зачастую лучший выбор. При соединении через концентратор, или через несколько маршрутизаторов, NFS метод может стать слишком небезопасным и использование ssh может стать лучшим выбором даже несмотря на то, что ssh оставляет следы своей работы. Как только у вас появился сервер с ограниченным доступом, и как минимум доступ на чтение в клиентских системах, потребуется написать скрипты для выполнения мониторинга. При наличии доступа по NFS вы можете написать скрипты с помощью простых системных утилит, таких как &man.find.1; и &man.md5.1;. Лучше всего подсчитывать md5 файлов на клиентском компьютере как минимум один раз в день, а файлы, контролирующие запуск из /etc и /usr/local/etc даже более часто. При обнаружении расхождений в md5, контролирующий компьютер должен просигналить системному администратору проверить изменившиеся файлы. Хороший скрипт безопасности проверит также наличие несоответствующих исполняемых suid файлов и новых или измененных файлов в системных разделах / и /usr. При использовании ssh вместо NFS, написать скрипты безопасности гораздо сложнее. Вам обязательно потребуется скопировать (scp) скрипты на клиентский компьютер, сделать из невидимыми, и для безопасности потребуется также скопировать исполняемые файлы (такие как find), которые будут использоваться скриптом. Приложение ssh на клиентском компьютере может быть уже взломано. В конечном итоге, без ssh не обойтись при работе через небезопасные соединения, но его гораздо сложнее использовать. Хороший скрипт безопасности проверит также изменения в файлах настройки, работающих при подключении пользователей и служебных учетных записей: .rhosts, .shosts, .ssh/authorized_keys и так далее… файлы, которые могли не попасть в область проверки MD5. Если для пользователей выделен большой объем дискового пространства, проверка каждого файла на таких разделах может занять слишком много времени. В таком случае установка флагов монтирования для запрета suid исполняемых файлов и устройств на таких разделах это хорошая идея. Примените параметры &man.mount.8; nodev и nosuid. Проверяйте эти разделы в любом случае, хотя бы раз в неделю, поскольку необходимо обнаруживать попытки взлома, независимо от того, эффективны они или нет. Учет процессов (&man.accton.8;) это относительно несложная возможность операционной системы, которая может помочь как механизм обнаружения состоявшихся вторжений. Она особенно полезна для обнаружения пути проникновения нарушителя в систему, если файл не был затронут проникновением. Наконец, скрипты безопасности должны обработать лог файлы, которые необходимо создавать настолько защищенным способом, насколько это возможно — подключение syslog удаленно может быть очень полезным. Злоумышленник попытается уничтожить следы взлома, и лог файлы критически важны для системного администратора, пытающегося отследить время и метод первого проникновения. Один из надежных способов получения лог файлов является подключение системной консоли к последовательному порту и постоянный сбор информации через защищенную машину, отслеживающую консоли. Паранойя Немного паранойи никогда не повредит. Как правило, системный администратор может добавлять элементы безопасности в любом количестве, пока это не влияет на удобство, а также некоторое количество элементов безопасности, влияющих на удобство. Что даже более важно, системный администратор должен немного изменить их — если вы используете рекомендации, например те, что даны в этом документе, они становятся известны атакующему, который также имеет доступ к этому документу. prospective attacker who also has access to this document. Атаки DoS Отказ в обслуживании (DoS) Этот раздел охватывает DoS атаки. DoS атаки это обычно пакетные атаки. Хотя против современной атаки с подделкой пакетов, которая перегружает сеть, мало что можно сделать, вы можете ограничить повреждения, убедившись, что атака не может обрушить ваши сервера. Ограничение количества порождаемых процессов. Уменьшение последствий springboard атак (ICMP ответ, широковещательный ping и т.д.). Кэш маршрутизации ядра. Обычная DoS атака против порождающего процессы сервера пытается исчерпать ресурсы сервера по процессам, файловым дескрипторам и памяти до тех пор, пока машина не подвиснет. У inetd (обратитесь к &man.inetd.8;) есть несколько параметров, позволяющих ограничить такие атаки. Необходимо учесть, что хотя можно предотвратить падение системы, в общем случае невозможно предотвратить прекращение работы сервиса. Внимательно прочтите страницу справочника и обратите особое внимание на параметры , , и . Учтите, что параметр не работает в случае атак с использованием поддельных IP пакетов, поэтому как правило необходимо использование комбинации параметров. Некоторые standalone сервисы используют собственные параметры, ограничивающие порождение процессов. У Sendmail есть собственный параметр , которая работает гораздо лучше, чем параметр sendmail, ограничивающий нагрузку. Вам необходимо задать параметр запуска sendmail MaxDaemonChildren достаточно большим, чтобы обслуживать ожидаемую нагрузку, но так, чтобы компьютер мог обслужить такое количество приложений sendmail без падения системы. Хорошей мерой является запуск sendmail в режиме очереди () и запуск даемона (sendmail -bd) отдельно от очереди (sendmail -q15m). Если вы все же хотите организовать доставку в режиме реального времени, запускайте очередь с меньшим интервалом , но убедитесь в правильной установке параметра sendmail MaxDaemonChildren для предотвращения ошибок. Syslogd может быть атакован непосредственно, настоятельно рекомендуется использовать параметр если это возможно и параметр в остальных случаях. Вы также должны быть очень осторожны с сервисами, совершающими обратное подключение, такими как tcpwrapper с reverse-identd, который может быть атакован непосредственно. По этой причине возможность tcpwrappers reverse-ident обычно не следует использовать. Правильным будет запрет доступа к внутренним сервисам из внешней сети путем соответствующей настройки межсетевого экрана на внешнем маршрутизаторе. Идея в том, чтобы предотвратить перегрузку сервисов атаками из внешней сети, а кроме того защитить root от взлома через сеть. Всегда настраивайте исключающий межсетевой экран, т.е. закрыть все кроме портов A, B, C, D, и M-Z. Этим способом вы можете закрыть все порты нижнего диапазона, кроме явно указанных, таких как named (если вы поддерживаете интернет-зону), ntalkd, sendmail, и других сервисов, доступных из интернет. Если вы попробуете настроить межсетевой экран другим способом — включающий, или разрешающий межсетевой экран, есть большой шанс забыть закрыть пару сервисов, или добавить новый внутрисетевой сервис и забыть обновить межсетевой экран. Вы можете открыть диапазон портов с большими номерами для обычных приложений без угрозы портам нижнего диапазона. Учтите также, что FreeBSD позволяет вам контролировать диапазоны портов, используемые для динамической привязки через различные переменные sysctl net.inet.ip.portrange (sysctl -a | fgrep portrange), что позволяет упростить настройку межсетевого экрана. Например, вы можете использовать обычный диапазон портов со значениями от 4000 до 5000, и диапазон портов с большими номерами от 49152 до 65535, а затем заблокировать все до 4000 порта (конечно оставив доступ из интернет к определенным портам. ICMP_BANDLIM Другой распространенный тип DoS атак называется springboard — сервер атакуется таким образом, что генерируемые ответы перегружают его, локальную сеть или какие-то другие компьютеры. Наиболее распространенная атака этого вида это широковещательная ICMP ping атака. Атакующий подделывает пакеты ping, подставляя IP адрес машины, которую он намеревается атаковать, и отправляет их на широковещательный адрес вашей локальной сети. Если ваш внешний маршрутизатор не настроен на отбрасывание пакетов ping на широковещательные адреса, ваша сеть начинает генерировать соответствующие ответы на поддельный адрес, что приводит к перегрузке хоста-жертвы, особенно если атакующий использует этот же трюк с множеством широковещательных адресов в множестве сетей одновременно. Были зарегистрированы широковещательные атаки свыше ста двадцати мегабит. Другая распространенная springboard атака направлена на ICMP систему сообщения об ошибках. Конструируя пакеты, вызывающие ICMP сообщения об ошибках, атакующий может нагрузить входящее соединение сервера и вынудить сервер нагрузить исходящее соединение ICMP ответами. Этот тип атаки может также обрушить сервер, когда тот исчерпает mbuf, обычно если сервер не может ограничить число ответов ICMP, когда они генерируются слишком быстро. В ядре FreeBSD есть новая опция сборки, , которая ограничивает эффективность этого типа атак. Последний основной класс springboard атак относится к определенным внутренним сервисам inetd, таким как сервис udp echo. Атакующий просто подделывает адрес источника и адрес назначения UDP пакетов, устанавливая в их качестве соответственно echo порт сервера A и B, оба этих сервера принадлежат вашей локальной сети. Эти два сервера начинают перебрасываться этим пакетом друг с другом. Атакующий может вызвать перегрузку обеих серверов и их сетей, просто отправив несколько пакетов таким способом. Аналогичные проблемы существуют с портом chargen. Компетентный системный администратор должен отключить эти тестовые сервисы inetd. Атаки с поддельными пакетами могут также использоваться для переполнения кэша маршрутизации ядра. Обратитесь к параметрам sysctl net.inet.ip.rtexpire, rtminexpire, и rtmaxcache. Атака с поддельными пакетами, использующая произвольный IP адрес источника, заставит ядро сгенерировать временный кэшированный маршрут в таблице маршрутизации, который можно увидеть с помощью netstat -rna | fgrep W3. Эти маршруты обычно удаляются через 1600 секунд или около того. Если ядро определит, что кэшированная маршрутная таблица стала слишком большой, оно динамически уменьшит rtexpire, но никогда не станет делать его меньше чем rtminexpire. С этим связаны две проблемы: Ядро не отреагирует достаточно быстро, когда легко нагруженный сервер будет внезапно атакован. Значение rtminexpire недостаточно мало для поддержки работоспособности в условиях продолжительной атаки. Если ваши серверы подключены к интернет через линию T3 или более быструю, предусмотрительно будет изменить оба значения rtexpire и rtminexpire с помощью &man.sysctl.8;. Никогда не устанавливайте ни один из этих параметров в нуль (если только вы не хотите обрушить систему). Установка обеих параметров в значение 2 секунды должна предотвратить таблицу маршрутизации от атак. Проблемы, связанные с доступом к Kerberos и SSH ssh KerberosIV При использовании Kerberos и ssh необходимо учесть несколько возможных проблем. Kerberos V это отличный протокол аутентификации, но в адаптированных к нему приложениях telnet и rlogin есть несколько ошибок, которые могут сделать их непригодными к работе с бинарными потоками. К тому же, по умолчанию Kerberos не шифрует сессию, если вы не используете параметр . ssh шифрует все по умолчанию. ssh работает очень хорошо во всех ситуациях, но пересылает ключи по умолчанию. Это означает, что если вы работаете с защищенной рабочей станции, ключи на которой дают доступ к остальной сети, и заходите по ssh на незащищенный компьютер, эти ключи могут быть использованы для взлома. Атакующему не удастся получить сами ключи, но поскольку ssh открывает порт во время входа в систему, то если на незащищенной машине взломан root, эти ключи могут быть использованы для доступа к другим компьютерам, на которых они действуют. Мы рекомендуем использовать ssh в комбинации с Kerberos для служебных учетных записей если это возможно. ssh может быть собран с поддержкой Kerberos. Это уменьшает зависимость от потенциально подверженных взлому ssh ключей, и в то же время защищает пароли через Kerberos. Ключи ssh должны использоваться только для работы скриптов на защищенных компьютерах (там, где Kerberos использовать не получится). Мы также рекомендуем или выключить передачу ключей в настройках ssh, или использовать параметр from=IP/DOMAIN, поддерживаемый ssh в файле authorized_keys, который позволяет использовать ключи только с определенных компьютеров. Bill Swingle Частично переписал и обновил DES, MD5, и шифрование безопасность шифрование шифрование DES MD5 У каждого пользователя &unix; системы есть пароль, связанный с его учетной записью. Очевидно, что эти пароли должны быть известны только пользователю и соответствующей операционной системе. Для защиты паролей они шифруются способом, известным как односторонний хэш, то есть их можно легко зашифровать, но нельзя расшифровать. Другими словами, то, что мы сказали чуть раньше было очевидно, но не совсем верно: операционной системе сам пароль неизвестен. Ей известен только пароль в зашифрованной форме. Единственный способ получить обычный пароль это простой перебор всех возможных паролей. К сожалению, единственный способ шифрования пароля при появлении &unix; был основан на DES, Data Encryption Standard. Это не было проблемой для пользователей, живущих в США, но поскольку исходный код DES нельзя было экспортировать из США, FreeBSD нашла способ одновременно не нарушать законов США и сохранить совместимость со всеми другими вариантами &unix;, где все еще использовался DES. Решение было в разделении библиотек шифрования, чтобы пользователи в США могли устанавливать и использовать библиотеки DES, а у остальных пользователей был метод шифрования, разрешенный к экспорту. Так FreeBSD пришла к использованию MD5 в качестве метода шифрования по умолчанию. MD5 считается более безопасным, чем DES, поэтому установка DES рекомендуется в основном из соображений совместимости. Определения механизма шифрования До FreeBSD 4.4 libcrypt.a была символической ссылкой на библиотеку, используемую для шифрования. В FreeBSD 4.4 libcrypt.a была изменена для предоставления настраиваемой библиотеки аутентификации по хэшу пароля. На данный момент библиотека поддерживает хэши DES, MD5 и Blowfish. По умолчанию FreeBSD использует для шифрования паролей MD5. Довольно легко определить какой метод шифрования используется в FreeBSD. Один из способов это проверка файла /etc/master.passwd. Пароли, зашифрованные в хэш MD5 длиннее, чем те, что зашифрованы с помощью DES и начинаются с символов $1$. Пароли, начинающиеся с символов $2a$ зашифрованы с помощью Blowfish. Пароли, зашифрованные DES не содержат каких-то определенных идентифицирующих символов, но они короче, чем пароли MD5 и закодированы в 64-символьном алфавите, не содержащем символа $, поэтому относительно короткая строка, не начинающаяся с этого символа это скорее всего DES пароль. Формат паролей, используемых для новых паролей, определяется параметром passwd_format в /etc/login.conf, которое может принимать значения des, md5 или blf. Обратитесь к странице справочника &man.login.conf.5; за дополнительной информацией о параметрах login. Одноразовые пароли одноразовые пароли безопасность одноразовые пароли S/Key это схема с одноразовыми паролями, основанная на одностороннем хэше. FreeBSD использует хэш MD4 для совместимости, но другие системы используют MD5 и DES-MAC. S/Key была частью базовой системы FreeBSD начиная с версии 1.1.5 и используется также во все большем числе операционных систем. S/Key это зарегистрированная торговая марка Bell Communications Research, Inc. Начиная с FreeBSD версии 5.0, S/Key была замещена на функциональный эквивалент — OPIE (One-time Passwords In Everything). OPIE по умолчанию использует MD5. Есть три различных вида паролей, о которых мы поговорим ниже. Первый вид это ваш обычный пароль &unix; или пароль Kerberos; мы будем называть его пароль &unix;. Второй вид это одноразовый пароль, сгенерированный программой S/Key key или программой OPIE &man.opiekey.1; и принимаемый командами keyinit или &man.opiepasswd.1; и в приглашении login; мы будем называть их одноразовыми паролями. Последний вид паролей это защищенные пароли, которые вы передаете программам key/opiekey (и иногда программам keyinit/opiepasswd), и которые эти программы используют для создания одноразовых паролей; мы будем называть его защищенными паролями или просто паролями. Защищенный пароль не имеет никакого отношения к вашему паролю &unix;; они могут быть одинаковыми, но это не рекомендуется. Защищенные пароли S/Key и OPIE не ограничены 8-ю символами, как старые &unix; паролиВ &os; стандартный пароль может быть до 128 символов длиной., они могут быть настолько длинными, насколько вы захотите. Очень часто используются пароли длиной в шесть или семь символов. По большей части система S/Key или OPIE работает полностью независимо от системы паролей &unix;. Помимо паролей, есть два других вида данных, важных для S/Key и OPIE. Первый, известный как seed или ключ, состоит из двух букв и пяти цифр. Другой, называемый счетчиком цикла, это номер от 1 до 100. S/Key создает одноразовый пароль, соединяя ключ и защищенный пароль, а затем применяя MD4/MD5 столько раз, сколько указано счетчиком цикла и выдает результат в виде шести коротких слов на английском. Эти шесть слов на английском и есть ваш одноразовый пароль. Система аутентификации (как правило PAM) хранит последний использованный одноразовый пароль, и пользователь аутентифицитуется если хэш вводимого пользователем пароля совпадает с предыдущим паролем. Поскольку используется односторонний хэш, невозможно сгенерировать следующий одноразовый пароль если получен предыдущий; счетчик цикла уменьшается после каждого успешного входа для поддержки синхронизации пользователя с программой login. Когда счетчик цикла уменьшается до 1, S/Key и OPIE должны быть переинициализированы. В каждой из обсуждаемых ниже систем задействованы три программы. Программы key и opiekey получают счетчик цикла, ключ и защищенный пароль и создают одноразовый пароль или последовательный список одноразовых паролей. Программы keyinit и opiepasswd используются для инициализации S/Key и OPIE соответственно, и для смены паролей, счетчиков цикла, или ключей; они принимают защищенный пароль или счетчик цикла, ключ и одноразовый пароль. Программы keyinfo и opieinfo проверяют соответствующие файлы (/etc/skeykeys или /etc/opiekeys) и печатают текущий счетчик цикла и ключ вызывающего пользователя. Мы рассмотрим четыре вида операций. Первая это использование keyinit или opiepasswd через защищенное соединение для первоначальной настройки системы одноразовых паролей, или для изменения пароля или ключа. Вторая операция это использование в тех же целях keyinit или opiepasswd через незащищенное соединение, в сочетании с key или opiekey через защищенное соединение. Третья это использование key/opiekey для входа через незащищенное соединение. Четвертая это использование key или opiekey для генерации набора ключей, которые могут быть записаны или распечатаны для соединения из места, где защищенное соединение недоступно. Защищенная установка соединения Для первоначальной настройки S/Key, измените ваш пароль или ключ при входе через защищенное соединение (например, с консоли компьютера или через ssh), используйте команду keyinit без параметров при входе под своим именем: &prompt.user; keyinit Adding unfurl: Reminder - Only use this method if you are directly connected. If you are using telnet or rlogin exit with no password and use keyinit -s. Enter secret password: Again secret password: ID unfurl s/key is 99 to17757 DEFY CLUB PRO NASH LACE SOFT Для OPIE, вместо этого используется opiepasswd: &prompt.user; opiepasswd -c [grimreaper] ~ $ opiepasswd -f -c Adding unfurl: Only use this method from the console; NEVER from remote. If you are using telnet, xterm, or a dial-in, type ^C now or exit with no password. Then run opiepasswd without the -c parameter. Using MD5 to compute responses. Enter new secret pass phrase: Again new secret pass phrase: ID unfurl OTP key is 499 to4268 MOS MALL GOAT ARM AVID COED В приглашениях Enter new secret pass phrase: или Enter secret password:, введите пароль или фразу. Запомните, это не тот пароль, с которым вы будете входить, он используется для генерации одноразовых паролей. Строка ID содержит информацию для вашего конкретного случая: имя пользователя, счетчик цикла и ключ. При входе система запомнит эти параметры и отправит их вам, поэтому их не надо запоминать. В последней строке находится одноразовый пароль, соответствующий этим параметрам и секретному паролю; если вы войдете в систему сразу, используйте этот одноразовый пароль. Незащищенная установка соединения Для инициализации или изменения защищенного пароля через незащищенное соединение, вам потребуется существующее защищенное соединение куда-то, где вы сможете запустить key или opiekey; это может быть средство доступа &macintosh; или shell на компьютере, которому вы доверяете. Вам потребуется также установить значение счетчика цикла (100 возможно подойдет), и задать ключ или использовать сгенерированный. Через незащищенное соединение (к компьютеру, на котором производится настройка), используйте команду keyinit -s: &prompt.user; keyinit -s Updating unfurl: Old key: to17758 Reminder you need the 6 English words from the key command. Enter sequence count from 1 to 9999: 100 Enter new key [default to17759]: s/key 100 to 17759 s/key access password: s/key access password:CURE MIKE BANE HIM RACY GORE Для OPIE, используйте opiepasswd: &prompt.user; opiepasswd Updating unfurl: You need the response from an OTP generator. Old secret pass phrase: otp-md5 498 to4268 ext Response: GAME GAG WELT OUT DOWN CHAT New secret pass phrase: otp-md5 499 to4269 Response: LINE PAP MILK NELL BUOY TROY ID mark OTP key is 499 gr4269 LINE PAP MILK NELL BUOY TROY Чтобы принять ключ по умолчанию нажмите Enter. Затем, перед вводом пароля доступа введите те же параметры в вашем защищенном соединении или средстве доступа S/Key: &prompt.user; key 100 to17759 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: <secret password> CURE MIKE BANE HIM RACY GORE Или для OPIE: &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT Теперь переключитесь на незащищенное соединение и скопируйте одноразовый пароль, сгенерированный соответствующей программой. Создание одного одноразового пароля Как только вы настроите S/Key или OPIE, во время входа появится приглашение вроде этого: &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> s/key 97 fw13894 Password: Или для OPIE: &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> otp-md5 498 gr4269 ext Password: Кроме того, у S/Key и OPIE есть полезная особенность (не показанная здесь): если вы нажмете Enter в приглашении на ввод пароля, включится эхо, и вы сможете увидеть то, что вводите. Это может быть очень полезно, если вы пытаетесь ввести пароль вручную, например с распечатки. MS-DOS Windows MacOS В этот момент вам потребуется сгенерировать одноразовый пароль, чтобы ввести его в приглашение. Это должно быть выполнено на защищенной системе, в которой вы можете запустить key или opiekey (есть версии для DOS, &windows; и &macos;). Им требуются значения счетчика цикла и ключ в качестве параметров командной строки. Вы можете скопировать и вставить их прямо из приглашения login компьютера, на который входите. В защищенной системе: &prompt.user; key 97 fw13894 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: WELD LIP ACTS ENDS ME HAAG Для OPIE: &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT Теперь, когда у вас есть одноразовый пароль, можете продолжить вход в систему: login: <username> s/key 97 fw13894 Password: <return to enable echo> s/key 97 fw13894 Password [echo on]: WELD LIP ACTS ENDS ME HAAG Last login: Tue Mar 21 11:56:41 from 10.0.0.2 ... Создание нескольких одноразовых паролей Иногда вы отправляетесь туда, где нет доступа к защищенному компьютеру или защищенному соединению. В этом случае, можно использовать команды key и opiekey для создания нескольких одноразовых паролей, которые вы сможете распечатать и забрать с собой. Например: &prompt.user; key -n 5 30 zz99999 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: <secret password> 26: SODA RUDE LEA LIND BUDD SILT 27: JILT SPY DUTY GLOW COWL ROT 28: THEM OW COLA RUNT BONG SCOT 29: COT MASH BARR BRIM NAN FLAG 30: CAN KNEE CAST NAME FOLK BILK Или для OPIE: &prompt.user; opiekey -n 5 30 zz99999 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: <secret password> 26: JOAN BORE FOSS DES NAY QUIT 27: LATE BIAS SLAY FOLK MUCH TRIG 28: SALT TIN ANTI LOON NEAL USE 29: RIO ODIN GO BYE FURY TIC 30: GREW JIVE SAN GIRD BOIL PHI Параметр запрашивает пять паролей, указывает значение последнего счетчика цикла. Обратите внимание, что пароли печатаются в обратном по сравнению с обычным использованием порядке. Если вы действительно параноик, перепишите результат вручную; иначе скопируйте и передайте его lpr. Обратите внимание, что каждая линия содержит как счетчик цикла, так и одноразовый пароль; вам может показаться удобным отрывать пароль после использования. Ограничение использования &unix; паролей S/Key может наложить ограничения на использование &unix; паролей на основе имени хоста, имени пользователя, порта терминала или IP адреса сессии. Эти ограничения можно найти в файле настройки /etc/skey.access. Страница справочника &man.skey.access.5; содержит дополнительную информацию о полном формате файла а также детали о некоторых предосторожностях, которые должны быть предприняты перед тем, как положиться в вопросах безопасности на этот файл. Если файла /etc/skey.access нет (это ситуация по умолчанию в системах FreeBSD 4.X), всем пользователям будет разрешено входить с паролями &unix;. Если файл существует, использование S/Key станет обязательно для всех, если только параметры настройки в файле skey.access не указывают иначе. В любом случае, пароли &unix; разрешены при входе с консоли. Вот пример файла настройки skey.access, иллюстрирующий три наиболее распространенных вида параметров настройки: permit internet 192.168.0.0 255.255.0.0 permit user fnord permit port ttyd0 Первая строка (permit internet) разрешает пользователям, чей IP адрес (который подвержен подделке) соответствует заданному значению и маске, входить с использованием паролей &unix;. Это должно рассматриваться не как механизм безопасности, а как напоминание пользователям, что они работают через небезопасное соединение и должны использовать для аутентификации S/Key. Вторая строка (permit user) позволяет определенным пользователям, в данном случае fnord, всегда использовать пароли &unix;. Вообще говоря, это должно использоваться только для тех, кто не может использовать программу key, например если они работают с простых терминалов или необучаемы. Третья строка (permit port) позволяет всем пользователям, вошедшим с определенного терминала использовать пароли &unix;; этот параметр должен использоваться для подключений по dial-up. OPIE может ограничивать использование паролей &unix; на основе IP адреса как и S/Key. Соответствующий файл называется /etc/opieaccess, он существует по умолчанию в FreeBSD 5.0 и более современных системах. Обратитесь к &man.opieaccess.5; за более подробной информацией об этом файле и о предосторожностях, которые вы должны предпринять при использовании этого файла. Вот пример файла opieaccess: permit 192.168.0.0 255.255.0.0 Эта строка позволяет пользователям, чей IP адрес (который подвержен подделке) соответствует указанному значению и маске, входить с паролем &unix;. Если ни одно из правил в opieaccess не сработало, поведением по умолчанию является запрет всех не-OPIE входов. + + + + + Tom + Rhodes + Написал: + + + + + TCP Wrappers + + TCP Wrappers + + Каждый, кто знаком с &man.inetd.8;, возможно когда-то слышал + о TCP Wrappers. Но немногие полностью + понимают их полезность в сетевой среде: большинство + используют брандмауэр. Хотя его применимость очень широка, + есть вещи, с которыми брандмауэр не может работать, такие + как отправка текста обратно вызывающей стороне. Программное + обеспечение уровня TCP может делать это + и многое другое. В следующих нескольких разделах обсуждаются + многие возможности TCP Wrappers, и, когда + это необходимо, даются примеры настроек. + + Программное обеспечение TCP Wrappers + расширяет возможность inetd по поддержке + каждого даемона. С ним становится возможным протоколирование, + возврат сообщений вызывающей стороне, ограничение подключений + внутренней сетью и т.п. Хотя некоторые из этих возможностей + могут быть реализованы брандмауэром, TCP + Wrappers не только предоставляют дополнительный уровень защиты, + но и дают больше контроля над системой, чем это возможно + с брандмауэром. + + Поскольку рассматривается расширение к настройкам + inetd, предполагается, что читатель ознакомился + с разделом о настройке + inetd. + + + Хотя программы, запускаемые из &man.inetd.8;, на самом деле не + соответствуют термину даемоны, существует традиция + называть их именно так. Этот термин и используется в данном + разделе. + + + + Начальная настройка + + Единственное требование для использования TCP + Wrappers в &os; это наличие в rc.conf + параметров запуска inetd ; + это настройки по умолчанию. Конечно, ожидается также наличие + правильной настройки /etc/hosts.allow, + но &man.syslogd.8; отправит сообщения в системный протокол если + что-то не так. + + + В отличие от других реализаций TCP + Wrappers, использование hosts.deny не + поддерживается. Все параметры настройки должны быть помещены + в /etc/hosts.allow. + + + В простейшей конфигурации, политика подключения сводится к + разрешению или блокированию в зависимости от параметров в + /etc/hosts.allow. Настройка в &os; + по умолчанию заключается в разрешении подключения к любому + даемону, запущенному из inetd. Изменение + этого поведения будет обсуждаться только после рассмотрения + базовой настройки. + + Базовая настройка обычно принимает форму + daemon : address : action, где + daemon это имя даемона, который запускается + inetd. В поле address + может находиться имя хоста, IP адрес, или + IPv6 адрес, заключенный в квадратные скобки ([ ]). + Поле action может принимать значения allow или deny, + чтобы соответственно разрешать или запрещать доступ. + Помните, что поиск правил производится до первого совпадения. + При обнаружении совпадения применяется соответствующее правило + и поиск прерывается. + + Существуют и другие параметры, но они будут описаны в следующих + разделах. Простая конфигурация может быть, например, такой: + для разрешения соединений по протоколу POP3 + к даемону mail/qpopper, + в hosts.allow необходимо добавить следующие + строки: + + # This line is required for POP3 connections: +qpopper : ALL : allow + + После добавления этой строки, inetd + необходимо перезапустить. Это можно выполнить командой + &man.kill.1; или скриптом /etc/rc.d/inetd + с параметром restart. + + + + Расширенная конфигурация + + У TCP Wrappers имеются дополнительные + параметры; они дают дополнительные возможности контроля над + соединениями. Иногда бывает полезно возвращать комментарий + определенным хостам или при подключении к определенным + даемонам. В других случаях может быть необходимо добавить + запись в лог файл, или отправить письмо администратору. + В определенных ситуациях сервис должен использоваться + только для локальных соединений. Все это возможно с + использованием параметров c шаблонами, символами подстановки + и путем выполнения внешних команд. Следующие два раздела + посвящены этим типам настроек. + + + Внешние команды + + Предположим ситуацию, в которой соединение должно + быть запрещено, а о причине необходимо сообщить вызывающей + стороне. Как это можно сделать? Соответствующую + возможность предоставляет параметр . + При попытке подключения выполняется команда или скрипт, + заданный этим параметром. Пример дан в файле + hosts.allow: + + # The rest of the daemons are protected. +ALL : ALL \ + : severity auth.info \ + : twist /bin/echo "You are not welcome to use %d from %h." + + В этом примере сообщение, + You are not allowed to use daemon + from hostname. будет возвращено + от всех даемонов, которые не были предварительно настроены + в файле доступа. Обратите внимание, что возвращаемое + сообщение должно быть заключено в + кавычки; из этого правила нет исключений. + + + Возможна реализация DoS атаки, когда группа + атакующих производит множество запросов на подключение. + + + Возможно также использование параметра . + Как и параметр , параметр + подразумевает запрет соединения + и может использоваться для запуска команд или скриптов. + В отличие от , не + отправляет ответ вызывающей стороне. Например, следующая + конфигурация: + + # We do not allow connections from example.com: +ALL : .example.com \ + : spawn (/bin/echo %a from %h attempted to access %d >> \ + /var/log/connections.log) \ + : deny + + отклонит все попытки соединения из домена + *.example.com; имя хоста, + IP адрес и даемон протоколируются в файл + /var/log/connections.log. + + Помимо приведенных выше символов подстановки, например + %a, существует еще несколько символов. Обратитесь к странице + &man.hosts.access.5; справочной системы за полным списком. + + + + Параметры – шаблоны + + До этого момента в примерах использовался шаблон + ALL. Существуют и другие параметры, + функциональность которых в дальнейшем может быть расширена. + ALL соответствует любому даемону, + домену или IP адресу. Другой доступный + шаблон это PARANOID, который соответствует + хосту, IP адрес которого может быть + подделан. Другими словами, paranoid + может быть использован для определения действия с хостами, + IP адрес которых не соответствует имени + хоста. Вот пример применения этого параметра: + + # Block possibly spoofed requests to sendmail: +sendmail : PARANOID : deny + + В этом примере все запросы на подключения к + sendmail от хостов, IP + адрес которых не соответствует имени хоста, будут + отклонены. + + + Использование PARANOID невозможно, + если у клиента или сервера неправильно настроен + DNS. В таких случаях необходимо + вмешательство администратора. + + + Более подробная информация о шаблонах и их возможностях + дана на странице &man.hosts.access.5; справочной + системы. + + Для того, чтобы любая выбранная конфигурация заработала, + в hosts.allow необходимо закомментировать + первую строку настройки. В начале раздела об этом не + упоминалось. + + + + Mark Murray Предоставил Mark Dapoz Оригинальный текст предоставил - KerberosIV + <application>KerberosIV</application> Kerberos это сетевая дополнительная система/протокол, которая делает возможной аутентификацию пользователей через сервисы на защищенном сервере. Такие сервисы, как удаленный вход, удаленное копирование, защищенное копирование файлов между системами и другие задачи с высоким риском становятся допустимо безопасными и более контролируемыми. Последующие инструкции могут использоваться в качестве руководства по настройке поставляемого с FreeBSD Kerberos. Тем не менее, вам могут потребоваться страницы справочника полного дистрибутива. - Установка KerberosIV + Установка <application>KerberosIV</application> MIT KerberosIV установка Kerberos это опциональный компонент &os;. Простейший способ установки этой программы это выбор krb4 или krb5 из sysinstall во время первой установки FreeBSD. Будет установлен eBones (KerberosIV) или Heimdal (Kerberos5) вариант Kerberos. Включение этих реализаций объясняется тем, что они разработаны вне США/Канады и доступны вне этих стран, поскольку на них не влияют ограничения на экспорт криптографического кода из США. Кроме того, реализация MIT Kerberos доступна из коллекции портов в виде пакета security/krb5. Создание базы данных Это необходимо сделать только на сервере Kerberos. Во-первых, убедитесь что не осталось старой базы данных Kerberos. Войдите в каталог /etc/kerberosIV и убедитесь, что в нем находятся только эти файлы: &prompt.root; cd /etc/kerberosIV &prompt.root; ls README krb.conf krb.realms Если присутствуют еще какие-то файлы (такие как principal.* или master_key), используйте команду kdb_destroy для удаления старой базы данных Kerberos, или, если Kerberos не запущен, просто удалите эти файлы. Затем отредактируйте файлы krb.conf и krb.realms, введя ваши данные. В этом примере уникальный идентификатор EXAMPLE.COM, сервер grunt.example.com. Отредактируем или создадим файл krb.conf: &prompt.root; cat krb.conf EXAMPLE.COM EXAMPLE.COM grunt.example.com admin server CS.BERKELEY.EDU okeeffe.berkeley.edu ATHENA.MIT.EDU kerberos.mit.edu ATHENA.MIT.EDU kerberos-1.mit.edu ATHENA.MIT.EDU kerberos-2.mit.edu ATHENA.MIT.EDU kerberos-3.mit.edu LCS.MIT.EDU kerberos.lcs.mit.edu TELECOM.MIT.EDU bitsy.mit.edu ARC.NASA.GOV trident.arc.nasa.gov В этом примере другие идентификаторы введены для иллюстрации настройки c несколькими хостами. С целью упрощения настройки вы можете не включать их. Первая строка содержит идентификатор, под которым работает эта система. Остальные строки связывают идентификаторы с именами хостов. Сначала указывается идентификатор, затем хост под этим идентификатором, работающий как центр распространения ключей. Слова admin server с последующим именем хоста означают, что этот хост также является сервером администрирования базы данных. За дальнейшей информацией об этих терминах обратитесь к страницам справочника по Kerberos. Мы добавили grunt.example.com к идентификатору EXAMPLE.COM и кроме того сопоставили всем хостам в домене .example.com идентификатор EXAMPLE.COM. Файл krb.realms будет выглядеть так: &prompt.root; cat krb.realms grunt.example.com EXAMPLE.COM .example.com EXAMPLE.COM .berkeley.edu CS.BERKELEY.EDU .MIT.EDU ATHENA.MIT.EDU .mit.edu ATHENA.MIT.EDU Как и в предыдущем примере, другие идентификаторы добавлены только для примера. С целью упрощения настройки вы можете не включать их. В первой строке определенная система сопоставляется с идентификатором. В остальных строках показано, сопоставить идентификатору остальные системы определенного поддомена. Теперь мы готовы к созданию базы данных. Потребуется всего лишь запустить сервер Kerberos (или центр распространения ключей). Используйте для этого kdb_init: &prompt.root; kdb_init Realm name [default ATHENA.MIT.EDU ]: EXAMPLE.COM You will be prompted for the database Master Password. It is important that you NOT FORGET this password. Введите главный ключ Kerberos: Теперь мы должны сохранить ключ, чтобы сервера на локальных компьютерах могли его взять. Используйте для этого команду kstash: &prompt.root; kstash Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Этой командой зашифрованный главный пароль сохранен в /etc/kerberosIV/master_key. Запуск Kerberos KerberosIV первый запуск Для каждой системы, защищаемой Kerberos, в базу данных должны быть добавлены две записи. Это kpasswd и rcmd. Они добавляются вместе с именем системы. Эти даемоны, kpasswd и rcmd позволяют другим системам изменять пароли Kerberos и запускать такие команды как &man.rcp.1;, &man.rlogin.1;, &man.rsh.1;. Теперь добавим эти записи: &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: passwd Instance: grunt <Not found>, Create [y] ? y Principal: passwd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? y Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: rcmd Instance: grunt <Not found>, Create [y] ? Principal: rcmd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit Создание файла настройки сервера Теперь необходимо создать все записи сервисов, которые были определены для каждого компьютера. Используем для этого команду ext_srvtab. Будет создан файл, который должен быть скопирован или перемещен безопасным способом в каталог /etc/kerberosIV каждого Kerberos клиента. Этот файл должен присутствовать на каждом сервере и клиенте, он необходим для работы Kerberos. &prompt.root; ext_srvtab grunt Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Generating 'grunt-new-srvtab'.... Эта команда создаст временный файл, который должен быть переименован в srvtab, чтобы серверы смогли обратиться к нему. Используйте команду &man.mv.1; для перемещения его в исходной системе: &prompt.root; mv grunt-new-srvtab srvtab Если файл предназначен для клиентской системы, и сеть не безопасна, скопируйте client-new-srvtab на съемный носитель и перенесите файл с его помощью. Убедитесь, что переименовали его в srvtab в каталоге /etc/kerberosIV клиента, и что режим доступа к нему 600: &prompt.root; mv grumble-new-srvtab srvtab &prompt.root; chmod 600 srvtab Пополнение базы данных Теперь необходимо добавить в базу данных пользователей. Во-первых, создадим запись для пользователя jane. Используйте команду kdb_edit: &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: <Not found>, Create [y] ? y Principal: jane, Instance: , kdc_key_ver: 1 New Password: <---- enter a secure password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit Тестирование всей системы Во-первых, запустите даемоны Kerberos. При правильном редактировании файла /etc/rc.conf они запустятся автоматически при перезагрузке. Это необходимо только на сервере Kerberos. Клиенты Kerberos получат все необходимые данные из каталога /etc/kerberosIV. &prompt.root; kerberos & Kerberos server starting Sleep forever on error Log file is /var/log/kerberos.log Current Kerberos master key version is 1. Master key entered. BEWARE! Current Kerberos master key version is 1 Local realm: EXAMPLE.COM &prompt.root; kadmind -n & KADM Server KADM0.0A initializing Please do not use 'kill -9' to kill this job, use a regular kill instead Current Kerberos master key version is 1. Master key entered. BEWARE! Теперь для получения доступа через созданного пользователя jane используйте kinit: &prompt.user; kinit jane MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane" Password: Попробуйте просмотреть имеющиеся данные с помощью klist: &prompt.user; klist Ticket file: /tmp/tkt245 Principal: jane@EXAMPLE.COM Issued Expires Principal Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COM Теперь попробуйте изменить пароль с помощью &man.passwd.1;, чтобы убедиться, что даемон kpasswd может получить информацию из базы данных Kerberos: &prompt.user; passwd realm EXAMPLE.COM Old password for jane: New Password for jane: Verifying password New Password for jane: Password changed. Включение <command>su</command> Kerberos позволяет назначить каждому пользователю, который нуждается в привилегиях root, свой собственный пароль &man.su.1;. Необходимо добавить учетную запись, которой разрешено получать root доступ через &man.su.1;. Это делается путем связывания учетной записи root с пользовательской учетной записью. Создадим в базе данных Kerberos запись jane.root с помощью kdb_edit: &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: root <Not found>, Create [y] ? y Principal: jane, Instance: root, kdc_key_ver: 1 New Password: <---- enter a SECURE password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? 12 <--- Keep this short! Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit Теперь проверим работоспособность этой записи: &prompt.root; kinit jane.root MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane.root" Password: Необходимо добавить пользователя к root файлу .klogin: &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM Теперь попробуйте выполнить &man.su.1;: &prompt.user; su Password: и посмотрите на имеющиеся данные: &prompt.root; klist Ticket file: /tmp/tkt_root_245 Principal: jane.root@EXAMPLE.COM Issued Expires Principal May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COM Использование других команд В примере выше мы создали запись (principal) jane с доступом к root (instance). Она основана на пользователе с таким же именем, как и идентификатор, что принято Kerberos по умолчанию; <principal>.<instance> в форме <username>.root позволяет использовать &man.su.1; для доступа к root, если соответствующие записи находятся в файле .klogin домашнего каталога root: &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM Подобно этому, если в файле .klogin из домашнего каталога пользователя есть строки в форме: &prompt.user; cat ~/.klogin jane@EXAMPLE.COM jack@EXAMPLE.COM это позволит любому с идентификатором EXAMPLE.COM, кто аутентифицировался как jane или jack (с помощью команды kinit, см. выше) получить доступ к учетной пользователя jane или файлам этой системы (grunt) через &man.rlogin.1;, &man.rsh.1; или &man.rcp.1;. Например, jane может входить в другую систему используя Kerberos: &prompt.user; kinit MIT Project Athena (grunt.example.com) Password: &prompt.user; rlogin grunt Last login: Mon May 1 21:14:47 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Или jack входит в учетную запись jane's на этом же компьютере (файл .klogin jane настроен как показано выше, и в Kerberos настроена учетная запись jack): &prompt.user; kinit &prompt.user; rlogin grunt -l jane MIT Project Athena (grunt.example.com) Password: Last login: Mon May 1 21:16:55 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Tillman Hodgson Предоставил Mark Murray Оригинальный материал предоставил <application>Kerberos5</application> Все релизы &os; после &os;-5.1 включают поддержку только Kerberos5. Таким образом, Kerberos5 это единственная включаемая в поставку версия и его конфигурация похожа на KerberosIV во многих аспектах. Эта информация применима только к Kerberos5 из релизов после &os;-5.0. Пользователи, желающие использовать пакет KerberosIV, могут установить его из порта security/krb4. Kerberos это дополнительная сетевая система/протокол, позволяющая пользователям авторизоваться через защищенные сервисы на защищенном сервере. Такие сервисы как удаленный вход, удаленное копирование, защищенное копирование файлов между системами и другие задачи с высоким риском становятся допустимо безопасными и более контролируемыми. Kerberos может быть описана как прокси система идентификации-проверки. Она также может быть описана как защищенная внешняя система аутентификации. Kerberos предоставляет только одну функцию — защищенную аутентификацию пользователей сети. Он не предоставляет Он не предоставляет функций авторизации (что разрешено делать пользователям) или функций аудита (какой пользователь что делает). После того, как клиент и сервер использовали Kerberos для идентификации, они могут зашифровать все соединения для гарантирования собственной безопасности и целостности данных. Следовательно крайне рекомендуется использовать Kerberos с другими методами безопасности, предоставляющими сервисы авторизации и аудита. Последующие инструкции могут использоваться в качестве руководства по настройке Kerberos, поставляемого с &os;. Тем не менее, вам потребуется обратиться к соответствующим страницам справочника за полным описанием. В целях демонстрации установки Kerberos, будут применены следующие обозначения: DNS домен (зона) example.org. Уникальный идентификатор Kerberos EXAMPLE.ORG. Используйте действующие имена доменов при настройке Kerberos даже если вы будете использовать его во внутренней сети. Это позволит избежать проблем с DNS и гарантирует возможность связи с Kerberos под другими идентификаторами. История Kerberos5 история Kerberos был создан MIT в качестве решения проблем с безопасностью сети. Протокол Kerberos использует стойкую криптографию, так что клиент может идентифицироваться на сервере (и обратно) через незащищенное сетевое соединение. Kerberos это и имя сетевого протокола аутентификации и общий термин для описания программ, где он реализован (например, Kerberos telnet). Текущая версия протокола 5 описана в RFC 1510. Доступно несколько свободных реализаций этого протокола, работающих на множестве операционных систем. Massachusetts Institute of Technology (MIT), где Kerberos был первоначально разработан, продолжает разрабатывать собственный пакет Kerberos. Он обычно использовался в США как криптографический продукт, и в этом качестве попадал под действие ограничений на экспорт. MIT Kerberos доступен в виде порта (security/krb5). Heimdal Kerberos это другая реализация версии 5, которая разрабатывалась исключительно вне США для обхода экспортных ограничений (и поэтому часто включалась в некоммерческие реализации &unix;). Heimdal Kerberos доступен в виде порта (security/heimdal), его минимальный комплект включен в базовую установку &os;. В целях получения наибольшей аудитории, в этих инструкциях предполагается использование Heimdal включаемого в &os;. Настройка Heimdal <acronym>KDC</acronym> Kerberos5 настройка центра распространения ключей Центр распространения ключей (Key Distribution Center, KDC) это централизованный сервис аутентификации, предоставляемый Kerberos — это компьютер, который предоставляет доступ через Kerberos. KDC считается доверяемым всеми другими компьютерами с определенным идентификатором Kerberos и поэтому к нему предъявляются высокие требования безопасности. Имейте ввиду, что хотя работа сервера Kerberos требует очень немного вычислительных ресурсов, из соображений безопасности для него рекомендуется отдельный компьютер, работающий только в качестве KDC. Перед началом настройки KDC, убедитесь что в файле /etc/rc.conf содержатся правильные настройки для работы в качестве KDC (вам может потребоваться изменить пути в соответствии с собственной системой): kerberos5_server_enable="YES" kadmind5_server_enable="YES" kerberos_stash="YES" Параметр существует только в &os; 4.X. Затем приступим к редактированию файла настройки Kerberos, /etc/krb5.conf: [libdefaults] default_realm = EXAMPLE.ORG [realms] EXAMPLE.ORG = { kdc = kerberos.example.org } [domain_realm] .example.org = EXAMPLE.ORG Обратите внимание что в файле /etc/krb5.conf подразумевается наличие у KDC полного имени kerberos.example.org. Вам потребуется добавить CNAME (синоним) к файлу зоны, если у KDC другое имя. Для больших сетей с правильно настроенным сервером BIND DNS пример выше может быть урезан до: [libdefaults] default_realm = EXAMPLE.ORG Со следующими строками, добавленными в файл зоны example.org: _kerberos._udp IN SRV 01 00 88 kerberos.example.org. _kerberos._tcp IN SRV 01 00 88 kerberos.example.org. _kpasswd._udp IN SRV 01 00 464 kerberos.example.org. _kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org. _kerberos IN TXT EXAMPLE.ORG. Создадим теперь базу данных Kerberos. Эта база данных содержит ключи всех основных хостов, зашифрованных с помощью главного пароля. Вам не требуется помнить этот пароль, он хранится в файле (/var/heimdal/m-key). Для создания главного ключа запустите kstash и введите пароль. Как только будет создан главный ключ, вы можете инициализировать базу данных с помощью программы kadmin с ключом -l (означающим local). Этот ключ сообщает kadmin обращаться к файлам базы данных непосредственно вместо использования сетевого сервиса kadmind. Это помогает решить проблему курицы и яйца, когда обращение идет к еще не созданной базе данных. Как только вы увидите приглашение kadmin, используйте команду init для создания базы данных идентификаторов. Наконец, оставаясь в приглашении kadmin, создайте первую запись с помощью команды add. Оставьте неизменными параметры по умолчанию, вы всегда сможете изменить их позже с помощью команды modify. Обратите внимание, что вы всегда можете использовать команду ? для просмотра доступных параметров. Пример создания базы данных показан ниже: &prompt.root; kstash Master key: xxxxxxxx Verifying password - Master key: xxxxxxxx &prompt.root; kadmin -l kadmin> init EXAMPLE.ORG Realm max ticket life [unlimited]: kadmin> add tillman Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: Password: xxxxxxxx Verifying password - Password: xxxxxxxx Теперь пришло время запустить сервисы KDC. Выполните команды /etc/rc.d/kerberos start и /etc/rc.d/kadmind start для запуска сервисов. Ни один из поддерживающих Kerberos даемонов на этот момент запущен не будет, но у вас должна быть возможность убедиться в том, что KDC функционирует путем получения списка доступа для пользователя, которого вы только что самостоятельно создали из командной строки самого KDC: &prompt.user; k5init tillman tillman@EXAMPLE.ORG's Password: &prompt.user; k5list Credentials cache: FILE:/tmp/krb5cc_500 Principal: tillman@EXAMPLE.ORG Issued Expires Principal Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG Сервер <application>Kerberos</application> с сервисами Heimdal Kerberos5 включение сервисов Для начала нам потребуется копия файла настройки Kerberos, /etc/krb5.conf. Просто скопируйте его с KDC на клиентский компьютер безопасным способом (используя сетевые утилиты, такие как &man.scp.1;, или физически, с помощью дискеты). Затем вам понадобится файл /etc/krb5.keytab. Это основное различие между сервером, поддерживающим Kerberos и рабочими станциями — на сервере должен быть файл keytab. В этом файле находится центральный ключ сервера, который позволяет KDC проверять все другие идентификаторы. Он должен быть помещен на сервер безопасным способом, поскольку безопасность сервера может быть нарушена, если ключ станет общедоступен. Это означает, что его передача через незашифрованный канал, такой как FTP — очень плохая идея. Обычно перенос файла keytab на сервер производится с помощью программы kadmin. Это удобно, поскольку вам потребуется также создать запись хоста (KDC часть krb5.keytab) с помощью kadmin. Обратите внимание, что должны быть уже зарегистрированы в системе и необходимо наличие прав на использование интерфейса kadmin в файле kadmind.acl. Обратитесь к разделу Remote administration в info страницах Heimdal (info heimdal) за деталями по составлению списка доступа. Если вы не хотите включать удаленный доступ kadmin, можете просто подключиться к KDC через защищенное соединение (локальную консоль, &man.ssh.1; или Kerberos &man.telnet.1;) и выполнять администрирование локально с помощью kadmin -l. После добавления файла /etc/krb5.conf, вы можете использовать kadmin с сервера Kerberos. Команда add --random-key позволит вам добавить запись для сервера, а команда ext позволит перенести эту запись в собственный keytab файл сервера. Например: &prompt.root; kadmin kadmin> add --random-key host/myserver.example.org Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: kadmin> ext host/myserver.example.org kadmin> exit Обратите внимание, что команда ext (сокращение от extract) сохраняет полученный ключ в файле /etc/krb5.keytab по умолчанию. Если на KDC не запущен kadmind (возможно по соображениям безопасности) и вы не можете получить доступ к kadmin удаленно, возможно добавление записи хоста (host/myserver.EXAMPLE.ORG) непосредственно на KDC с последующим извлечением ее во временный файл (и перезаписью /etc/krb5.keytab на KDC) примерно так: &prompt.root; kadmin kadmin> ext --keytab=/tmp/example.keytab host/myserver.example.org kadmin> exit Затем вы можете скопировать keytab на сервер защищенным способом (например, используя scp или дискету). Убедитесь, что используемое имя keytab не совпадает с именем по умолчанию во избежание перезаписывания keytab на KDC. Теперь ваш сервер может связываться с KDC (добавлен файл krb5.conf) и идентифицировать себя (добавлен файл krb5.keytab). Теперь вы готовы к включению некоторых сервисов Kerberos. В этом примере мы включим сервис telnet, поместив в /etc/inetd.conf нижеприведенную строку и перезапустив сервис &man.inetd.8; командой /etc/rc.d/inetd restart: telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a user Очень важно установить ключ -a (тип аутентификации) в user. Обратитесь к странице справочника &man.telnetd.8; за подробной информацией. Клиент <application>Kerberos</application> с Heimdal Kerberos5 настройка клиента Настройка клиентского компьютера почти тривиально проста. Как только настройка Kerberos закончена, вам потребуется только файл настройки Kerberos, /etc/krb5.conf. Просто скопируйте его безопасным способом на клиентский компьютер с KDC. Протестируйте клиентский компьютер, попытавшись использовать kinit, klist, и kdestroy для получения, отображения и удаления списка доступа. Соединитесь с Kerberos севером используя клиент Kerberos, если соединение не работает и получение доступа является проблемой, это скорее всего проблема сервера, а не клиента или KDC. При тестировании приложения вроде telnet, попробуйте использовать программу перехвата пакетов (такую как &man.tcpdump.1;), чтобы убедиться, что ваш пароль не передается незашифрованным. Попробуйте использовать telnet с параметром -x, чтобы зашифровать весь поток данных (подобно ssh). Основные клиентские приложения Kerberos (традиционно называющиеся kinit, klist, kdestroy, и kpasswd) находятся в базовой установке &os;. Обратите внимание, что в &os; версий до 5.0 они были переименованы в k5init, k5list, k5destroy, k5passwd, и k5stash (хотя их обычно использовали лишь однократно). Различные неосновные клиентские приложения Kerberos также устанавливаются по умолчанию. Здесь проявляется минимальность базовой установки Heimdal: telnet это единственное приложение, поддерживающее Kerberos. Порт Heimdal добавляет некоторые отсутствующие клиентские приложения: поддерживающие Kerberos версии ftp, rsh, rcp, rlogin, и некоторые другие реже используемые программы. Порт MIT также содержит полный пакет клиентских приложений Kerberos. Пользовательские файлы настройки: <filename>.k5login</filename> и <filename>.k5users</filename> Kerberos5 пользовательские файлы настройки Учетные записи пользователя в Kerberos (например tillman@EXAMPLE.ORG) обычно связаны с локальными учетными записями (например с локальной учетной записью6 tillman). Клиентские приложения, такие как telnet, обычно не требуют указания имени пользователя или учетной записи. Тем не менее, время от времени вам может потребоваться дать доступ к локальной учетной записи кому-то, у кого нет соответствующей учетной записи Kerberos. Например, пользователю tillman@EXAMPLE.ORG может потребоваться доступ к локальной учетной записи webdevelopers. Другим учетным записям также может потребоваться доступ к этой локальной учетной записи. Файлы .k5login и .k5users, помещенные в домашний каталог пользователя, могут быть использованы подобно действенной комбинации .hosts и .rhosts для решения этой проблемы. Например, файл .k5login со следующим содержанием: tillman@example.org jdoe@example.org помещен в домашний каталог локального пользователя webdevelopers, то обе упомянутые учетные записи получат доступ к этой учетной записи без необходимости наличия общего пароля. Рекомендуется прочитать страницу справочника по этим командам. Обратите внимание, что страница справочника о ksu содержит информацию по .k5users. Подсказки, советы и решение проблем с <application>Kerberos</application> Kerberos5 решение проблем При использовании портов как Heimdal так и MIT Kerberos убедитесь, что в PATH версии Kerberos клиентов указаны перед их версиями в базовой системе. - Синхронизировано ли время? Вы уверены? Если время не - синхронизировано (обычно в пределах пяти минут) аутентификация - завершится неудачно. + Все ли компьютеры в пределах данного realm + синхронизированы по времени? Если нет, аутентификация может + завершиться неудачно. описывает + как синхронизировать часы с использованием + NTP. MIT и Heimdal успешно взаимодействуют. За исключением kadmin, протокол для которого не стандартизован. Если вы изменяете hostname, потребуется также изменить учетную запись host/ и обновить keytab. Это также необходимо для специальных записей в keytab, таких как www/ запись модуля Apache www/mod_auth_kerb. Все хосты под общим идентификатором должны разрешаться DNS (прямое и обратное разрешение), или как минимум через /etc/hosts. Записи CNAME будут работать, но записи A и PTR должны быть корректны и находиться на своем месте. Сообщение об ошибке не всегда интуитивно понятно: Kerberos5 refuses authentication because Read req failed: Key table entry not found. Некоторые операционные системы, способные работать в качестве клиентов KDC не устанавливают права для ksu в setuid root. Это означает, что ksu не работает, что хорошо является хорошей идеей для безопасности, но неудобно. Это не ошибка KDC. С MIT Kerberos, если вы хотите продлить действие доступа до значения большего, чем десять часов по умолчанию, используйте команду modify_principal в kadmin для изменения maxlife доступа к самой учетной записи и к учетной записи krbtgt. Затем возможно использование kinit с параметром -l для запроса доступа с большим временем действия. Если вы запускаете перехватчик пакетов на KDC для разрешения проблем, а затем запускаете kinit с рабочей станции, то увидите, что TGT посылается непосредственно при запуске kinit — даже до того, как вы введете пароль! Объяснение в том, что сервер Kerberos свободно распространяет TGT (Ticket Granting Ticket) на каждый неавторизованный запрос; однако, каждый TGT зашифрован ключом, полученным из пароля пользователя. Следовательно, когда пользователь вводит свой пароль, он не отправляется на KDC, а используется для расшифровка TGT, который уже получен kinit. Если в процессе расшифровки получается правильный билет с правильным значением времени, у пользователя есть действующее удостоверение. Это удостоверение содержит ключ сессии для установления безопасного соединения с сервером Kerberos, как и действующий TGT, зашифрованный ключом сервера Kerberos. Второй уровень шифрования недоступен пользователю, но позволяет серверу Kerberos проверять правильность каждого TGT. - - Вам необходимо поддерживать время синхронизированным на - всех компьютерах внутри одного идентификатора. - NTP прекрасно подходит для этой задачи. - За дополнительной информацией по NTP - обратитесь к . - - Если вы хотите установить большое время жизни доступа (например, неделю), и используете OpenSSH для соединения с компьютером, где хранится билет, убедитесь, что параметр Kerberos установлен в no в файле sshd_config, или билеты будут уничтожены при выходе из сеанса. Запомните, что время жизни билетов хостов больше. Если время жизни билета для учетной записи пользователя составляет неделю, а время жизни учетной записи хоста, к которому вы подсоединяетесь девять часов, учетная запись хоста в кэше устареет и кэш билетов будет работать не так, как ожидается. При настройке файла krb5.dict на предотвращение использования определенных плохих паролей (страница справочника для kadmind кратко рассказывает об этом), запомните, что это применимо только к учетным записям, для которых действует политика паролей. Формат файла krb5.dict прост: одно слово на строку. Может помочь создание символической ссылки на /usr/share/dict/words. Отличия от порта <acronym>MIT</acronym> Основное различие между установками MIT и Heimdal относится к программе kadmin, которая имеет другой (но эквивалентный) набор команд и использует другой протокол. Если ваш KDC работает на MIT, вы не сможете использовать kadmin для удаленного администрирования KDC (и наоборот, по этой же причине). Опции командной строки клиентов также могут немного отличаться для одинаковых задач. Рекомендуется следование инструкциям на MIT Kerberos веб сайте (). Будьте внимательны при определении PATH: порт MIT устанавливается по умолчанию в /usr/local/, и если в PATH вначале указаны системные каталоги, вместо приложений MIT могут быть запущены системные приложения. С портом MIT security/krb5, предоставляемым &os;, убедитесь что файл /usr/local/share/doc/krb5/README.FreeBSD установлен портом, если вы хотите понять почему вход через telnetd и klogind иногда происходит так странно. Наиболее важно, исправление incorrect permissions on cache file требует использования бинарного файла login.krb5 для аутентификации, чтобы права на переданное удостоверение передавались правильно. Преодоление ограничений, обнаруженных в <application>Kerberos</application> Kerberos5 ограничения и недостатки <application>Kerberos</application> это все или ничего Каждый сервис, работающий в сети, должен быть модифицирован для работы с Kerberos (или другим способом защищен от атак по сети) или удостоверения пользователей могут быть украдены или использованы повторно. В качестве примера может быть приведено использование Kerberos версий оболочек для удаленной работы (например через rsh и telnet), при наличии POP3 сервера, получающего пароли в незашифрованном виде. <application>Kerberos</application> предназначен для однопользовательских рабочих станций В многопользовательской среде Kerberos менее безопасен. Это потому, что он хранит билеты в каталоге /tmp, которая доступна для чтения всем. Если пользователь работает с несколькими другими пользователями одновременно на одном компьютере (т.е. в многопользовательской среде), возможна кража (копирование) билета другим пользователем. Решить проблему можно с помощью параметра командной строки -c или (предпочтительно) с помощью переменной окружения KRB5CCNAME, но это делается редко. Для преодоления ограничения достаточно сохранять билет в домашнем каталоге пользователя и использовать простые ограничения на доступ к файлам. От KDC зависит вся система Архитектура системы такова, что KDC должен быть максимально защищен, поскольку главный пароль базы данных содержится в нем. На KDC не должно быть запущено никаких других сервисов и он должен быть защищен физически. Опасность велика, поскольку Kerberos хранит все пароли зашифрованными одним ключом (главным ключом), который хранится в файле на KDC. Хорошей новостью является то, что кража главного ключа не станет такой проблемой, как может показаться. Главный ключ используется только для шифрования базы данных Kerberos и в качестве seed для генератора случайных чисел. Поскольку доступ к KDC защищен, атакующий мало что сможет сделать с главным ключом. Кроме того, если KDC станет недоступен (возможно по причине атак DoS или проблем в сети) сетевые сервисы будет невозможно использовать, поскольку аутентификация не может быть выполнена. Уменьшить последствия можно при наличии нескольких KDC (один главный и один или несколько резервных) и с аккуратно реализованной резервной аутентификацией (отлично подойдет PAM). Недостатки <application>Kerberos</application> Kerberos позволяет пользователям, хостам и сервисам производить аутентификацию друг друга. В нем нет механизма аутентификации KDC для пользователей, хостов или сервисов. Это означает, что поддельный kinit (например) может записывать все имена пользователей и паролей. Помочь решить проблему может security/tripwire или другой инструмент проверки целостности файловой системы. Ресурсы и информация для дальнейшего изучения Kerberos5 внешние ресурсы Kerberos FAQ Разработка системы аутентификации: диалог в четырех сценах RFC 1510, Kerberos Network Authentication Service (V5) Домашняя страница MIT Kerberos Домашняя страница Heimdal Kerberos Gary Palmer Предоставили Alex Nash Межсетевые экраны firewall безопасность межсетевые экраны Интерес к межсетевым экранам (брандмауэр, firewall) со стороны людей, подключенных к интернет, все возрастает и появились даже приложения для локальной сети, предоставляющие повышенный уровень безопасности. В этом разделе мы надеемся изложить что такое межсетевые экраны, как их использовать, и как использовать возможности, предоставляемые ядром FreeBSD для их реализации. Люди часто думают, что наличие межсетевого экрана между внутренней сетью и Большим плохим интернетом решит все их проблемы безопасности. Это может помочь, но плохо настроенный межсетевой экран представляет более серьезную угрозу безопасности, чем его полное отсутствие. Межсетевой экран добавляет еще один уровень безопасности вашим системам, но не может остановить проникновение решительно настроенного взломщика в вашу сеть. Если вы снижаете внутреннюю безопасность системы, поскольку верите в надежность межсетевого экрана, это существенно упрощает работу взломщика. Что такое межсетевой экран? Есть два четко различающихся типа межсетевых экранов, повседневно используемых в современном интернет. Первый тип правильнее называть маршрутизатор с фильтрацией пакетов. Этот тип межсетевого экрана работает на машине, подключенной к нескольким сетям и применяет к каждому пакету набор правил, определяющий переправлять ли этот пакет или блокировать. Второй тип, известный как прокси сервер, реализован в виде даемонов, выполняющих аутентификацию и пересылку пакетов, возможно на машине с несколькими сетевыми подключениями, где пересылка пакетов в ядре отключена. Иногда эти два типа межсетевых экранов используются вместе, так что только определенной машине (известной как защитный хост (bastion host)) позволено отправлять пакеты через фильтрующий маршрутизатор во внутреннюю сеть. Прокси сервисы работают на защитном хосте, что обычно более безопасно, чем обычные механизмы аутентификации. FreeBSD поставляется с встроенным в ядро фильтром пакетом (известным как IPFW), ему будет посвящена оставшаяся часть раздела. Прокси серверы могут быть собраны на FreeBSD из программного обеспечения сторонних разработчиков, но их слишком много и невозможно описать их в этом разделе. Маршрутизаторы с фильтрацией пакетов Маршрутизатор это машина, пересылающая пакеты между двумя или несколькими сетями. Маршрутизатор с фильтрацией пакетов запрограммирован на сравнение каждого пакета со списком правил перед тем как решить, пересылать его или нет. Большинство современного программного обеспечения маршрутизации имеет возможности фильтрации, и по умолчанию пересылаются все пакеты. Для включения фильтров, вам потребуется определить набор правил. Для определения того, должен ли быть пропущен пакет, межсетевой экран ищет в наборе правило, совпадающее с содержимым заголовков пакета. Как только совпадение найдено, выполняется действие, присвоенное данному правилу. Действие может заключаться в отбрасывании пакета, пересылке пакета, или даже в отправлении ICMP сообщения в адрес источника. Учитывается только первое совпадение, поскольку правила просматриваются в определенном порядке. Следовательно, список правил можно назвать цепочкой правил. Критерий отбора пакетов зависит от используемого программного обеспечения, но обычно вы можете определять правила, зависящие от IP адреса источника пакета, IP адреса назначения, номера порта источника пакета, номера порта назначения (для протоколов, поддерживающих порты), или даже от типа пакета (UDP, TCP, ICMP, и т.д.). Прокси серверы Прокси серверы это компьютеры, где обычные системные даемоны (telnetd, ftpd, и т.д.) заменены специальными серверами. Эти серверы называются прокси серверами, поскольку они обычно работают только с входящими соединениями. Это позволяет запускать (например) telnet прокси сервер на межсетевом экране, и делать возможным вход по telnet на межсетевой экран, прохождение механизма аутентификации, и получение доступа к внутренней сети (аналогично, прокси серверы могут быть использованы для выхода во внешнюю сеть). Прокси серверы обычно лучше защищены, чем другие серверы, и зачастую имеют более широкий набор механизмов аутентификации, включая системы одноразовых паролей, так что даже если кто-то узнает, какой пароль вы использовали, он не сможет использовать его для получения доступа к системе, поскольку срок действия пароля истекает немедленно после его первого использования. Поскольку пароль не дает доступа непосредственно к компьютеру, на котором находится прокси-сервер, становится гораздо сложнее установить в систему backdoor. Прокси серверы обычно имеют способ дополнительного ограничения доступа, так что только определенные хосты могут получить доступ к серверам. Большинство также позволяют администратору указывать, пользователей и компьютеры, к которым они могут обращаться. Опять же доступные возможности в основном зависят от используемого программного обеспечения. Что позволяет делать IPFW? ipfw Программное обеспечение IPFW, поставляемое с FreeBSD, это система фильтрации и учета пакетов, находящаяся в ядре и снабженная пользовательской утилитой настройки, &man.ipfw.8;. Вместе они позволяют определять и просматривать правила, используемые ядром при маршрутизации. IPFW состоит из двух связанных частей. Межсетевой экран осуществляет фильтрацию пакетов. Часть, занимающаяся учетом IP пакетов, отслеживает использование маршрутизатора на основе правил подобных тем, что используются в части межсетевого экрана. Это позволяет администратору определять, например, объем трафика, полученного маршрутизатором от определенного компьютера, или объем пересылаемого WWW трафика. Благодаря тому, как реализован IPFW, вы можете использовать его и на компьютерах, не являющихся маршрутизаторами для фильтрации входящих и исходящих соединений. Это особый случай более общего использования IPFW, и в этой ситуации используются те же команды и техника. Включение IPFW в FreeBSD ipfw включение Поскольку основная часть системы IPFW находится в ядре, вам потребуется добавить один или несколько параметров в файл настройки ядра, в зависимости от требуемых возможностей, и пересобрать ядро. Обратитесь к главе о пересборке ядра () за подробным описанием этой процедуры. Правилом IPFW по умолчанию является deny ip from any to any. Если вы не добавите других правил во время загрузки для разрешения доступа, то заблокируете доступ к серверу с включенным в ядро межсетевым экраном после перезагрузки. Мы предлагаем указать firewall_type=open в файле /etc/rc.conf при первоначальном добавлении межсетевого экрана, а затем, после тестирования его работоспособности, отредактировать правила в файле /etc/rc.firewall. Дополнительной предосторожностью может быть первоначальная настройка межсетевого экрана с локальной консоли, вместо входа через ssh. Кроме того, возможна сборка ядра с параметрами IPFIREWALL и IPFIREWALL_DEFAULT_TO_ACCEPT. В этом случае правило IPFW по умолчанию будет изменено на allow ip from any to any, что предотвратит возможную блокировку. Существует четыре параметра настройки ядра, относящихся к IPFW: options IPFIREWALL Включает в ядро код для фильтрации пакетов. options IPFIREWALL_VERBOSE Включает протоколирование пакетов через &man.syslogd.8;. Без этого параметра, даже если вы укажете в правилах фильтрации протоколировать пакеты, это не сработает. options IPFIREWALL_VERBOSE_LIMIT=10 Ограничивает число пакетов, протоколируемых каждым правилом через &man.syslogd.8;. Вы можете использовать этот параметр если хотите протоколировать работу межсетевого экрана, но не хотите делать возможной DoS атаку путем переполнения syslog. Когда для одного из правил в цепочке достигается определенный параметром предел, протоколирование для этого правила выключается. Для включения протоколирования, вам потребуется сбросить соответствующий счетчик с помощью утилиты &man.ipfw.8;: &prompt.root; ipfw zero 4500 где 4500 это номер правила, для которого вы хотите возобновить протоколирование. options IPFIREWALL_DEFAULT_TO_ACCEPT Изменяет правило по умолчанию с deny на allow. Это предотвращает возможное блокирование, если ядро загружено с поддержкой IPFIREWALL, но межсетевой экран еще не настроен. Этот параметр также полезен, если вы используете &man.ipfw.8; в качестве средства от определенных проблем по мере их возникновения. Тем не менее, используйте параметр с осторожностью, поскольку он открывает межсетевой экран и изменяет его поведение. Предыдущие версии FreeBSD содержали параметр IPFIREWALL_ACCT. Этот параметр устарел, поскольку код автоматически включает возможность учета. Настройка IPFW ipfw настройка Настройка программного обеспечения IPFW выполняется с помощью утилиты &man.ipfw.8;. Синтаксис этой команды выглядит очень сложным, но он становится относительно прост как только вы поймете его структуру. В настоящее время утилита использует четыре различных категории команд: добавление/удаление (addition/deletion), просмотр (listing), сброс (flushing) и очистка (clearing). Добавление/удаление используется для создания правил, определяющих как пакеты принимаются, отбрасываются и протоколируются. Просмотр используется для определения содержимого набора правил (называемого еще цепочкой) и счетчиков пакетов (учет). Сброс используется для удаления всех правил цепочки. Очистка используется для обнуления одного или нескольких счетчиков. Изменение правил IPFW Синтаксис этой формы команды такой: ipfw -N команда номер действие log протокол адреса параметры При использовании этой формы команды доступен один флаг: -N Разрешение адресов и имен сервисов при отображении. Задаваемая команда может быть сокращена до более короткой уникальной формы. Существующие команды: add Добавление правила к списку фильтрации/учета delete Удаление правила из списка фильтрации/учета Предыдущие версии IPFW использовали отдельные записи для фильтрации и учета пакетов. Современные версии учитывают пакеты для каждого правила. Если указано значение номер, оно используется для помещения правила на определенную позицию в цепочке. Иначе правило помещается в конец цепочки с номером на 100 больше, чем у предыдущего правила (сюда не включается правило по умолчанию с номером 65535). С параметром log соответствующие правила выводят информацию на системную консоль, если ядро собрано с опцией IPFIREWALL_VERBOSE. Существующие действия: reject Отбросить пакет и отправить в адрес источникаICMP пакет, сообщающий о недостижимости хоста или порта. allow Пропустить пакет как обычно. (синонимы: pass, permit, и accept) deny Отбросить пакет. Источнику не выдается ICMP сообщение (как если бы пакет вообще не достиг цели). count Обновить счетчик пакета, но не применять по отношению к нему правила allow/deny. Поиск продолжится со следующего правила в цепочке. Каждое действие может быть записано в виде более короткого уникального префикса. Могут быть определены следующие протоколы: all Соответствует всем IP пакетам icmp Соответствует ICMP пакетам tcp Соответствует TCP пакетам udp Соответствует UDP пакетам Поле адреса формируется так: источник адрес/маскапорт цель адрес/маскапорт via интерфейс Вы можете указать port только вместе с протоколами, поддерживающими порты (UDP и TCP). Параметр опционален и может содержать IP адрес или имя домена локального IP интерфейса, или имя интерфейса (например ed0), он настраивает правило на соответствие только тем пакетам, которые проходят через этот интерфейс. Номера интерфейсов могут быть заменены на опциональную маску. Например, ppp* будет соответствовать PPP интерфейсам ядра. Синтаксис, используемый для указания адреса/маски: адрес или адрес/маска-биты или адрес:маска-шаблон Вместо IP адреса возможно указание существующего имени хоста. это десятичный номер, указывающий количество бит, которые должны быть установлены в маске адреса. Например, 192.216.222.1/24 создаст маску, соответствующую всем адресам подсети класса C (в данном случае, 192.216.222). A valid hostname may be specified in place of the IP address. это IP, который будет логически перемножен с заданным адресом. Ключевое слово any может использоваться для обозначения любого IP адреса. Номера портов указываются в следующем формате: порт,порт,порт… для указания одного порта или списка портов, или порт-порт для указания диапазона портов. Вы можете также комбинировать указание одного диапазона со списком портов, но диапазон всегда должен указываться первым. Доступные параметры: frag Срабатывает, если пакет не является первым пакетом дейтаграммы. in Соответствует входящим пакетам. out Соответствует исходящим пакетам. ipoptions spec Срабатывает, если заголовок IP содержит перечисленный через запятую список параметров, указанных в spec. Поддерживаемые параметры IP: ssrr (strict source route), lsrr (loose source route), rr (record packet route), и ts (time stamp). Действие отдельных параметров может быть изменено путем указания префикса !. established Срабатывает, если пакет является частью уже установленного TCP соединения (т.е. если установлены биты RST или ACK). Вы можете поднять производительность межсетевого экрана, поместив правило с established близко к началу цепочки. setup Соответствует, если пакет является попыткой установки TCP соединения (установлен бит SYN, а бит ACK не установлен). tcpflags флаги Срабатывает, если заголовок TCP содержит список перечисленных через запятую флагов. Поддерживаемые флаги: fin, syn, rst, psh, ack, и urg. Действие правил по отдельным флагам может быть изменено указанием префикса !. icmptypes типы Срабатывает, если тип пакета ICMP находится в списке типы. Список может быть указан в виде любой комбинации диапазонов и/или отдельных типов, разделенных запятыми. Обычно используемые типы ICMP: 0 echo reply (ping reply), 3 destination unreachable, 5 redirect, 8 echo request (ping request), и 11 time exceeded (используется для обозначения истечения TTL, как с &man.traceroute.8;). Просмотр правил IPFW Синтаксис этой формы команды такой: ipfw -a -c -d -e -t -N -S list Для этой формы команды существует семь флагов: -a Показывать значения счетчиков. Этот параметр — единственный путь для просмотра значений счетчиков. -c Просмотр правил в компактной форме. -d Показывать динамические правила в дополнение к статическим. -e Если определен параметр , показывать также динамические правила с истекшим сроком действия. -t Отображать последнее время срабатывание для каждого правила в цепочке. Этот список несовместим с синтаксисом, принимаемым &man.ipfw.8;. -N Попытаться разрешить заданные адреса и имена сервисов. -S Отображать набор, к которому принадлежит каждое правило. Если этот флаг не указан, заблокированные правила не будут отображены. Сброс правил IPFW Синтаксис для сброса правил: ipfw flush Все правила в цепочке будут удалены, за исключением правила по умолчанию, устанавливаемого ядром (номер 65535). Будьте осторожны при сбросе правил; правило, отбрасывающее пакеты по по умолчанию отключит систему от сети, пока разрешающие правила не будут добавлены в цепочку. Очистка счетчиков пакетов IPFW Синтаксис для очистки одного или нескольких счетчиков пакетов: ipfw zero index При использовании без аргумента номер будут очищены все счетчики пакетов. Если index указан, операция очистки применяется только к указанному правилу цепочки. Примеры команд для <application>ipfw</application> Следующая команда запретит все пакеты с хоста evil.crackers.org на telnet порт хоста nice.people.org: &prompt.root; ipfw add deny tcp from evil.crackers.org to nice.people.org 23 Следующий пример запрещает и протоколирует весь TCP трафик из сети crackers.org (класса C) к компьютеру nice.people.org (на любой порт). &prompt.root; ipfw add deny log tcp from evil.crackers.org/24 to nice.people.org Если вы хотите запретить организацию X сессий в вашу сеть (часть сети класса C), следующая команда осуществит необходимую фильтрацию: &prompt.root; ipfw add deny tcp from any to my.org/28 6000 setup Для просмотра записей учета: &prompt.root; ipfw -a list или в краткой форме &prompt.root; ipfw -a l Вы можете также просмотреть время последнего срабатывания правил с помощью команды: &prompt.root; ipfw -at l Создание межсетевого экрана с фильтрацией пакетов Следующие рекомендации означают только одно: рекомендации. Требования к каждому межсетевому экрану различаются, и мы не можем рассказать вам, как создать межсетевой экран, отвечающий вашим потребностям. При первоначальной настройке межсетевого экрана, до тестирования производительности и введения сервера в строй, настоятельно рекомендуется использовать версии команд с протоколированием и включить протоколирование в ядре. Это позволит вам быстро выявить проблемные области и исправить настройку без больших усилий. Даже после завершения первоначальной настройки рекомендуется использовать протоколирование для `deny', поскольку это позволяет отслеживать возможные атаки и изменять правила межсетевого экрана, если требования к нему изменятся. Если вы используете версию команды accept с протоколированием, будьте осторожны, поскольку она может создать большой объем протокольных данных. Будет произведено протоколирование каждого пакета, проходящего через межсетевой экран, поэтому большие объемы FTP/http и другого трафика существенно замедлят систему. Это также увеличит задержку таких пакетов, поскольку ядру требуется выполнить дополнительную работу перед тем, как пропустить пакет. syslogd также будет использовать гораздо больше времени процессора, поскольку он отправит все дополнительные данные на диск, и раздел /var/log может быть быстро заполнен. Вам потребуется включить межсетевой экран в /etc/rc.conf.local или /etc/rc.conf. Соответствующая страница справочника разъясняет что именно необходимо сделать и содержит примеры готовых настроек. Если вы не используете предустановленную настройку, команда ipfw list может поместить текущий набор правил в файл, откуда он может быть помещен в стартовые файлы системы. Если вы не используете /etc/rc.conf.local или /etc/rc.conf для включения межсетевого экрана, важно убедиться в том, что он включается после настройки интерфейсов. Далее необходимо определить, что именно делает ваш межсетевой экран! Это в основном зависит от того, насколько широкий доступ вы хотите открыть снаружи к вашей сети. Вот несколько общих правил: Заблокируйте доступ снаружи к портам TCP с номерами ниже 1024. Здесь расположена большая часть критичных для безопасности сервисов, таких как finger, SMTP (почта) и telnet. Заблокируйте весь входящий трафик UDP. Есть очень немного полезных сервисов, работающих через UDP, но они обычно представляют угрозу безопасности (например, Sun RPC и NFS протоколы). У этого способа есть и недостатки, поскольку протокол UDP не поддерживает соединения, и запрещение входящих пактов заблокирует также ответы на исходящий UDP трафик. Это может стать проблемой для тех, кто использует внешние серверы, работающие с UDP. Если вы хотите открыть доступ к этим сервисам, потребуется разрешить входящие пакеты с соответствующих портов. К примеру, для ntp вам может потребоваться разрешить пакеты, приходящие с порта 123. Заблокировать весь трафик снаружи к порту 6000. Порт 6000 используется для доступа к серверам X11, и может быть угрозой безопасности (особенно если у пользователей есть привычка выполнять на своих рабочих станциях команду xhost +). X11 может использовать диапазон портов, начинающийся с 6000, верхний предел определяется количеством X дисплеев, которые могут быть запущены на машине. Верхний предел, определенный RFC 1700 (Assigned Numbers), равен 6063. Проверьте порты, используемые внутренними сервисами (например, SQL серверами и т.п.). Возможно хорошей идеей является блокирование и этих портов, поскольку они обычно не попадают в диапазон 1-1024, указанный выше. Еще один список для проверки настроек межсетевого экрана доступен на CERT по адресу Как сказано выше, все эти правила всего лишь руководство. Вы сами сможете решить, какие правила фильтрации будут использованы в межсетевом экране. Мы не можем нести НИКАКОЙ ответственности в случае взлома вашей сети, даже если вы следовали советам, представленным выше. Накладные расходы и оптимизация IPFW Многие пользователи хотят знать, как сильно IPFW нагружает систему. Ответ в основном зависит от набора правил и скорости процессора. При небольшом наборе правил для большинства приложений, работающих в Ethernet ответ незначительно. Для тех, кому нужен более точный ответ, и предназначен этот раздел. Последующие измерения были выполнены с 2.2.5-STABLE на 486-66. (Хотя IPFW немного изменился в последующих релизах FreeBSD, скорость осталась приблизительно той же.) IPFW был модифицирован для измерения времени, затраченного ip_fw_chk, с выводом на консоль результата после каждого 1000–го пакета. Были протестированы два набора из 1000 правил. Первый был составлен для демонстрации плохого набора правил путем повторения правила: &prompt.root; ipfw add deny tcp from any to any 55555 Этот набор правил плох, поскольку большая часть правил IPFW не соответствует проверяемым пакетам (из-за номера порта). После 999–й итерации этого правила следует правило allow ip from any to any. Второй набор правил был разработан для быстрейшей проверки каждого правила: &prompt.root; ipfw add deny ip from 1.2.3.4 to 1.2.3.4 Не совпадающий IP адрес источника в правиле выше приведет к очень быстрой проверке этих правил. Как и прежде, 1000–е правило allow ip from any to any. Затраты на проверку пакета в первом случае приблизительно 2.703 мс/пакет, или приблизительно 2.7 микросекунд на правило. Теоретический предел скорости проверки около 370 пакетов в секунду. Предполагая подключение через 10 Mbps Ethernet и размер пакета приблизительно 1500 байт, получаем только 55.5% использования пропускной способности. Во втором случае каждый пакет был проверен приблизительно за 1.172 мс, или приблизительно 1.2 микросекунд на правило. Теоретический предел скорости проверки около 853 пакетов в секунду, что делает возможным полное использование пропускной способности 10 Mbps Ethernet. Чрезмерное количество проверяемых правил и их вид не позволяет составить картину близкую к обычным условиям — эти правила были использованы только для получения информации о времени проверки. Вот несколько рекомендаций, которые необходимо учесть для создания эффективного набора правил: Поместите правило established как можно раньше для обработки большей части TCP трафика. Не помещайте перед ним правила allow tcp. Помещайте часто используемые правила ближе к началу набора чем редко используемые (конечно же, без изменения действия всего набора). Вы можете определить наиболее часто используемые правила путем проверки счетчиков пакетов командой ipfw -a l. + + + + Tom + Rhodes + Написал: + + + OpenSSL безопасность OpenSSL - OpenSSL - - Начиная с FreeBSD 4.0, OpenSSL является частью базовой системы. - OpenSSL предоставляет - как криптографическую библиотеку общего назначения, так и сетевые - протоколы безопасности Secure Sockets Layer v2/v3 (SSLv2/SSLv3) и - Transport Layer Security v1 (TLSv1). - - Однако, один из алгоритмов (а именно IDEA), включенный в OpenSSL, - защищен патентом в USA и повсеместно, и не доступен для - неограниченного использования. IDEA включен в исходные тексты - FreeBSD, но не собирается по умолчанию. Если вы собираетесь - использовать его, и согласны с положениями лицензии, включите - переменную MAKE_IDEA в - /etc/make.conf и пересоберите исходные тексты - с помощью команды make world. - - На данный момент алгоритм RSA свободно доступен к использованию - в USA и других странах. В прошлом он был защищен патентом. - - OpenSSL - установка - + Одной из программ, требующих особого внимания пользователей, + является набор программ OpenSSL, + включенный в &os;. OpenSSL предоставляет + уровень шифрования поверх обычных уровней соединения; следовательно, + он может быть использован многими сетевыми приложениями и + сервисами. + + OpenSSL может использоваться для + шифрования соединений почтовых клиентов, транзакций через интернет, + например для кредитных карт, и многого другого. Многие порты, + такие как www/apache13-ssl и + mail/sylpheed-claws собираются + с OpenSSL. + + + В большинстве случаев в коллекции портов собирается + порт security/openssl, + если только переменная WITH_OPENSSL_BASE + не установлена явно в yes. + + + Версия OpenSSL, включаемая + в &os;, поддерживает сетевые протоколы безопасности + Secure Sockets Layer v2/v3 (SSLv2/SSLv3), + Transport Layer Security v1 (TLSv1) и может быть использована + в качестве основной криптографической библиотеки для + приложений. + + + Хотя OpenSSL поддерживает алгоритм + IDEA, по умолчанию он отключен из-за патентных + ограничений Соединенных Штатов. Для его использования необходимо + ознакомиться с лицензией, и, если ограничения приемлемы, + установить в make.conf переменную + MAKE_IDEA. + + + Возможно наиболее часто OpenSSL + используется для предоставления сертификатов программным + пакетам. Эти сертификаты подтверждают, что данные компании + или частного лица верны и не подделаны. Если рассматриваемый + сертификат не был проверен одним из нескольких Certificate + Authorities (CA), обычно выводится + предупреждение. Certificate Authority это компания, такая как + VeriSign, которая подписывает сертификаты для подтверждения + данных частных лиц или компаний. Эта процедура не бесплатна + и не является абсолютно необходимой для использования сертификатов; + однако может успокоить некоторых особо осторожных + пользователей. - Установка из исходных текстов + Генерирование сертификатов + + + OpenSSL + генерирование сертификатов + - OpenSSL является частью CVSup коллекций - src-crypto и src-secure. - Обратитесь к разделу Получение FreeBSD за дополнительной - информацией о получении и обновлении исходных текстов FreeBSD. + Для генерирования сертификатов доступна следующая + команда: + + &prompt.root; openssl req -new -nodes -out req.pem -keyout cert.pem +Generating a 1024 bit RSA private key +................++++++ +.......................................++++++ +writing new private key to 'cert.pem' +----- +You are about to be asked to enter information that will be incorporated +into your certificate request. +What you are about to enter is what is called a Distinguished Name or a DN. +There are quite a few fields but you can leave some blank +For some fields there will be a default value, +If you enter '.', the field will be left blank. +----- +Country Name (2 letter code) [AU]:US +State or Province Name (full name) [Some-State]:PA +Locality Name (eg, city) []:Pittsburgh +Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company +Organizational Unit Name (eg, section) []:Systems Administrator +Common Name (eg, YOUR name) []:localhost.example.org +Email Address []:trhodes@FreeBSD.org + +Please enter the following 'extra' attributes +to be sent with your certificate request +A challenge password []:SOME PASSWORD +An optional company name []:Another Name + + Ввод после приглашения Common Name + содержит имя домена. Здесь вводится имя сервера для + верификации; помещение в это поле чего-либо кроме + этого имени приведет к созданию бесполезного сертификата. + Доступны и другие параметры, например срок действия, + альтернативные алгоритмы шифрования и т.д. Полный список + находится на странице справочного руководства + &man.openssl.1;. + + Файл cert.pem должен находиться в + каталоге, из которого была выполнена вышеупомянутая команда. + Этот сертификат может быть отправлен одному из многих + CA для подписи. + + Когда подпись CA не требуется, может + быть создан самоподписанный сертификат. Сначала создайте ключ + CA: + + &prompt.root; openssl gendsa -des3 -out \ +myca.key 1024 + + Используйте этот ключ при создании сертификата: + + &prompt.root; openssl req -new -x509 -days 365 -key \ +myca.key -out new.crt + + В каталоге должно появиться два новых файла: подпись сертификата, + myca.key и сам сертификат, + new.crt. Они должны быть помещены в каталог, + доступный для чтения только root, + желательно внутри /etc. + Права на каталог можно изменить chmod с параметрами + 0600. + + + + Использование сертификатов, пример + + Итак, что могут сделать эти файлы? Хорошим применением + может стать шифрование соединений для + Sendmail MTA. + Это сделает ненужным использование простой текстовой + аутентификации для тех, кто отправляет почту через + локальный MTA. + + + Это не лучшее из возможных использований, поскольку + некоторые MUA выдадут ошибку, если + сертификат не установлен локально. Обратитесь к + поставляемой с программой документации за информацией по + установке сертификата. + + + Следующие строки должны быть помещены в локальный файл + .mc: + + dnl SSL Options +define(`confCACERT_PATH',`/etc/certs')dnl +define(`confCACERT',`/etc/certs/new.crt')dnl +define(`confSERVER_CERT',`/etc/certs/new.crt')dnl +define(`confSERVER_KEY',`/etc/certs/myca.key')dnl +define(`confTLS_SRV_OPTIONS', `V')dnl + + Где /etc/certs/ + это каталог для локального хранения сертификата и + ключей. После настройки необходимо собрать локальный + файл .cf. Это легко сделать, + набрав make install + в каталоге /etc/mail. + Затем выполните команду make + restart, которая должна запустить + даемон Sendmail. + + Если все пройдет нормально, в файле + /var/log/maillog не появятся сообщения + об ошибках и запустится процесс + Sendmail. + + Для проведения простого теста подключитесь к почтовому серверу + программой &man.telnet.1;: + + &prompt.root; telnet example.com 25 +Trying 192.0.34.166... +Connected to example.com. +Escape character is '^]'. +220 example.com ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT) +ehlo example.com +250-example.com Hello example.com [192.0.34.166], pleased to meet you +250-ENHANCEDSTATUSCODES +250-PIPELINING +250-8BITMIME +250-SIZE +250-DSN +250-ETRN +250-AUTH LOGIN PLAIN +250-STARTTLS +250-DELIVERBY +250 HELP +quit +221 2.0.0 example.com closing connection +Connection closed by foreign host. + + Если в выводе появилась строка STARTTLS, + все работает правильно. Nik Clayton
nik@FreeBSD.org
 Написал VPN через IPsec Создание VPN между двумя сетями, соединенными через интернет, с использованием шлюзов FreeBSD. Hiten M. Pandya
hmp@FreeBSD.org
 Написал Принципы работы IPsec Этот раздел послужит вам руководством по настройке IPsec и его использованию в среде FreeBSD и µsoft.windows; 2000/XP, соединяемых безопасным способом. Для настройки IPsec необходимо ознакомиться с процессом сборки ядра (). IPsec это протокол, расположенный поверх слоя Internet Protocol (IP). Он позволяет двум или более хостам связываться защищенным способом (отсюда и название протокола). Сетевой стек FreeBSD IPsec основан на реализации KAME, поддерживающей оба семейства протоколов, IPv4 и IPv6. FreeBSD 5.X содержит аппаратно поддерживаемый стек IPsec, известный как Fast IPsec, заимствованный из OpenBSD. Для оптимизации производительности IPsec он задействует криптографическое оборудование (когда оно доступно) через подсистему &man.crypto.4;. Это новая подсистема и она не поддерживает всех возможностей, доступных в KAME версии IPsec. Для включения IPsec с аппаратной поддержкой необходимо добавить в файл настройки ядра следующий параметр: options FAST_IPSEC # new IPsec (cannot define w/ IPSEC) Обратите внимание, что на данный момент невозможно использовать подсистему Fast IPsec вместе с KAME реализацией IPsec. Обратитесь к странице справочника &man.fast.ipsec.4; за дальнейшей информацией. IPsec состоит из двух субпротоколов: Encapsulated Security Payload (ESP), защищающей данные IP пакета от вмешательства третьей стороны путем шифрования содержимого с помощью симметричных криптографических алгоритмов (таких как Blowfish,3DES). Authentication Header (AH), защищающий заголовок IP пакета от вмешательства третьей стороны и подделки путем вычисления криптографической контрольной суммы и хеширования полей заголовка IP пакета защищенной функцией хеширования. К пакету добавляется дополнительный заголовок с хешем, позволяющий аутентификацию информации пакета. ESP и AH могут быть использованы вместе или по отдельности, в зависимости от обстоятельств. IPsec может быть использован или для непосредственного шифрования трафика между двумя хостами (транспортный режим); или для построения виртуальных туннелей между двумя подсетями, которые могут быть использованы для защиты соединений между двумя корпоративными сетями (туннельный режим). Последний обычно называют виртуальной частной сетью (Virtual Private Network, VPN). За детальной информацией о подсистеме IPsec в FreeBSD обратитесь к странице справочника &man.ipsec.4;. Для включения поддержки IPsec в ядре, добавьте следующие параметры к файлу настройки ядра: options IPSEC #IP security options IPSEC_ESP #IP security (crypto; define w/ IPSEC) Если желательна поддержка отладки IPsec, должна быть также добавлена следующая строка: options IPSEC_DEBUG #debug for IP security Проблема Не существует стандарта VPN. Они могут быть реализованы множеством различных технологий, каждая из которых имеет свои - сильные и слабые стороны. Этот материал представляет несколько - сценариев и стратегию реализации VPN для каждого сценария. + сильные и слабые стороны. Этот раздел представляет + сценарий и стратегию реализации VPN для этого сценария. - Сценарий #1: Две сети, подключенных к интернет, работающие как + <title>Сценарий: Две сети, подключенных к интернет, работающие как одна - С этого сценария начато изучение VPN. Исходные условия - таковы: + Исходные условия таковы: Существует как минимум две сети Внутри обеих сетей используется IP Обе сети соединены через интернет через шлюз, работающий на FreeBSD. У шлюза каждой из сетей есть как минимум один публичный IP адрес. Внутренние IP адреса двух сетей могут быть публичными или приватными, не имеет значения. На шлюзе может работать NAT, если это необходимо. Внутренние IP адреса двух сетей не должны пересекаться. Хотя вероятно теоретически возможно использование комбинации VPN технологии и NAT для настройки такой конфигурации, эта конфигурация будет кошмарна. Если две сети, которые вы пытаетесь соединить, используют один и тот же диапазон приватных адресов (например, обе используют 192.168.1.x), номера в одной из сетей необходимо изменить. Топология сети может выглядеть примерно так: Сеть #1 [ Внутренние хосты ] Приватная сеть, 192.168.1.2-254 [ Win9x/NT/2K ] [ UNIX ] | | .---[fxp1]---. Приватный IP, 192.168.1.1 | FreeBSD | `---[fxp0]---' Публичный IP, A.B.C.D | | -=-=- Интернет -=-=- | | .---[fxp0]---. Публичный IP, W.X.Y.Z | FreeBSD | `---[fxp1]---' Приватный IP, 192.168.2.1 | | Сеть #2 [ Внутренние хосты ] [ Win9x/NT/2K ] Приватная сеть, 192.168.2.2-254 [ UNIX ] Здесь два публичных IP адреса. Для упоминания их в дальнейшем будут использоваться буквы. Если вы увидите эти буквы, замените их на свои публичные IP адреса. Также обратите внимание, что у обеих шлюзов внутренний адрес заканчивается на .1 и диапазоны приватных адресов двух сетей различны (192.168.1.x и 192.168.2.x соответственно). Все компьютеры локальных сетей настроены на использование в качестве шлюза по умолчанию компьютера с адресом, оканчивающимся на .1. С сетевой точки зрения замысел в том, чтобы каждая сеть видела компьютеры из другой сети так, как если бы они были непосредственно подключены к тому же самому маршрутизатору — хотя и немного медленному маршрутизатору, иногда теряющему пакеты. Это означает, что (например) компьютер 192.168.1.20 может запустить ping 192.168.2.34 и это будет прозрачно работать. Компьютеры с &windows; должны видеть компьютеры в другой сети, просматривать сетевые ресурсы, и так далее, точно так же, как и для компьютеров в локальной сети. И все это безопасным способом. Это означает, что трафик между сетями зашифрован. Создание VPN между этими двумя сетями это многошаговый процесс. Этапы создания VPN таковы: Создание виртуального сетевого подключения между двумя сетями через интернет. Тестирование подключения с помощью таких инструментов как &man.ping.8;, чтобы убедиться, что оно работает. Применение политики безопасности чтобы убедиться, что трафик между двумя сетями прозрачно шифруется и расшифровывается если необходимо. Тестирование с помощью таких инструментов как &man.tcpdump.1;, чтобы убедиться, что трафик шифруется. Настройка дополнительных программ на шлюзах FreeBSD, чтобы компьютеры &windows; из одной сети видели компьютеры в другой через VPN. Шаг 1: Создание и тестирование <quote>виртуального</quote> сетевого подключения Предположим, что вы работаете на шлюзе сети #1 (с публичным адресом A.B.C.D, приватным адресом 192.168.1.1) и запускаете ping 192.168.2.1, т.е. на приватный адрес машины с IP адресом W.X.Y.Z. Что должно произойти, чтобы это сработало? Шлюз должен знать, как достичь 192.168.2.1. Другими словами, у него должен быть маршрут к 192.168.2.1. Приватные IP адреса, такие как диапазон 192.168.x не адресуются в интернет. Каждый пакет, отправляемый на 192.168.2.1 должен быть завернут в другой пакет. Исходным адресом пакета должен быть A.B.C.D, а адресом назначения W.X.Y.Z. Этот процесс называется инкапсуляцией. Как только этот пакет достигнет W.X.Y.Z, необходимо будет разинкапсулировать его и доставить к 192.168.2.1. Как вы можете увидеть, это требует туннеля между двумя сетями. Два конца туннеля это IP адреса A.B.C.D и W.X.Y.Z. Туннель используется для передачи трафика с приватными IP адресами через интернет. В FreeBSD этот туннель создается с помощью устройства generic interface, или gif. Как вы можете догадаться, интерфейс gif на каждом хосте должен быть настроен с четырьмя IP адресами; два для публичных IP адресов и два для приватных IP адресов. В ядро обеих компьютеров FreeBSD должна быть встроена поддержка устройства gif. Вы можете сделать это, добавив строку: pseudo-device gif к файлу настройки ядра на обеих компьютерах, с последующей компиляцией, установкой и перезагрузкой. Настройка туннеля это двухшаговый процесс. Во-первых, необходимо задать сведения о внешнем (или публичном) IP адресе с помощью &man.gifconfig.8;. Затем о приватном IP адресе с помощью &man.ifconfig.8;. + + В &os; 5.X функциональность, предоставляемая утилитой + &man.gifconfig.8;, была внесена в &man.ifconfig.8;. + + На шлюзе сети #1 для настройки туннеля вам потребуется запустить следующие две команды. gifconfig gif0 A.B.C.D W.X.Y.Z ifconfig gif0 inet 192.168.1.1 192.168.2.1 netmask 0xffffffff На другом шлюзе подобные команды, но с IP адресами в обратном порядке. gifconfig gif0 W.X.Y.Z A.B.C.D ifconfig gif0 inet 192.168.2.1 192.168.1.1 netmask 0xffffffff Затем вы можете запустить: gifconfig gif0 для просмотра настройки. Например, на шлюзе сети #1 вы увидите: &prompt.root; gifconfig gif0 gif0: flags=8011<UP,POINTTOPOINT,MULTICAST> mtu 1280 inet 192.168.1.1 --> 192.168.2.1 netmask 0xffffffff physical address inet A.B.C.D --> W.X.Y.Z Как вы можете видеть, был создан туннель между физическими адресами A.B.C.D и W.X.Y.Z, для тунеллирования разрешен трафик между 192.168.1.1 и 192.168.2.1. Это также добавляет запись к таблице маршрутизации на обеих машинах, вы можете проверить запись командой netstat -rn. Вот вывод этой команды на шлюзе сети #1. &prompt.root; netstat -rn Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire ... 192.168.2.1 192.168.1.1 UH 0 0 gif0 ... Как показывает значение поля Flags, это маршрут к хосту, что означает, что каждый шлюз знает, как достичь другого шлюза, но не знает как достичь остальной части соответствующей сети. Эта проблема будет быстро решена. Вероятно, на обеих машинах запущен межсетевой экран. VPN должен обходить его. Вы можете разрешить весь трафик между двумя сетями, или включить правила, защищающие каждый конец соединения от другого. Это сильно упрощает тестирование настройки межсетевого экрана, если вы разрешаете весь трафик через VPN. Вы всегда можете Вы всегда можете усилить защиту позже. Если вы используете на шлюзах &man.ipfw.8;, команда вроде этой ipfw add 1 allow ip from any to any via gif0 разрешит весь трафик между двумя концами VPN без влияния на другие правила межсетевого экрана. Очевидно, вам потребуется запустить эту команду на обеих шлюзах. Этого достаточно для включения ping с одного шлюза на другой. На 192.168.1.1, вы сможете запустить ping 192.168.2.1 и получить ответ, и аналогично на другом шлюзе. Однако, машины в другой сети пока недоступны. Это из-за маршрутизации — хотя шлюзы знают, как связаться друг с другом, они не знают, как связаться с сетью за другим шлюзом. Для решения этой проблемы вы должны добавить статический маршрут на каждом шлюзе. Команда на первом шлюзе будет выглядеть так: route add 192.168.2.0 192.168.2.1 netmask 0xffffff00 Она говорит Для достижения хостов в сети 192.168.2.0, отправляйте пакеты хосту 192.168.2.1. Вам потребуется запустить похожую команду на другом шлюзе, но с адресами 192.168.1.x. IP трафик с хостов в одной сети теперь может достичь хосты в другой сети. Теперь создано две трети VPN между двумя сетями, поскольку это виртуальная (virtual) сеть (network). Она еще не приватная (private). Вы можете протестировать ее с помощью &man.ping.8; и &man.tcpdump.1;. Войдите на шлюз и запустите tcpdump dst host 192.168.2.1 В другой сессии на этом же хосте запустите ping 192.168.2.1 Вы увидите примерно такие строки: 16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo reply Как вы видите, ICMP сообщения пересылаются вперед и назад незашифрованными. Если вы использовали с &man.tcpdump.1; параметр для получения большего объема данных пакета, то увидите больше информации. Конечно же это неприемлемо. В следующем разделе мы обсудим защиту соединения между двумя сетями, так что весь трафик будет автоматически шифроваться. Резюме: Настройте оба ядра с pseudo-device gif. Отредактируйте /etc/rc.conf на шлюзе #1 и добавьте следующие строки (подставляя IP адреса где необходимо). gifconfig_gif0="A.B.C.D W.X.Y.Z" ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff" static_routes="vpn" route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00" Отредактируйте скрипт межсетевого экрана (/etc/rc.firewall, или подобный) на обеих хостах и добавьте ipfw add 1 allow ip from any to any via gif0 Выполните соответствующие изменения в /etc/rc.conf на шлюзе #2, меняя порядок IP адресов. Шаг 2: Защита соединения Для защиты соединения мы будем использовать IPsec. IPsec предоставляет хостам механизм определения ключа для шифрования и для последующего использования этого ключа для шифрования данных между двумя хостами. Здесь будут рассмотрены два аспекта настройки. У хостов должен быть способ согласования используемого алгоритма шифрования. Как только хосты договорятся об этом, можно говорить об установленном между ними безопасном соединении. Должен быть механизм определения, какой трафик необходимо шифровать. Конечно, вам не требуется шифровать весь исходящий трафик — достаточно шифровать только трафик, идущий через VPN. Правила, определяющие то, какой трафик необходимо шифровать, называются политикой безопасности. Безопасное соединение и политика безопасности поддерживаются ядром, и могут быть изменены программами пользователя. Однако перед тем, как вы сможете сделать это, необходимо настроить поддержку протоколов IPsec и Encapsulated Security Payload (ESP) в ядре. Это делается добавлением в настройку ядра параметров: options IPSEC options IPSEC_ESP с последующим перекомпилированием, переустановкой и перезагрузкой. Как и прежде вам потребуется сделать это с ядрами на обеих шлюзах. При настройке параметров безопасности (security associations) у вас есть два варианта. Вы можете настроить их вручную для обеих хостов, задав алгоритм шифрования, ключи для шифрования и так далее, или использовать даемоны, реализующие Internet Key Exchange protocol (IKE), который сделает это за вас. Рекомендуется последнее. Помимо прочего, этот способ более прост. Редактирование и отображение политики безопасности выполняется с помощью &man.setkey.8;. По аналогии, setkey используется для настройки таблиц политики безопасности ядра так же, как &man.route.8; используется для настройки таблиц маршрутизации ядра. setkey также может отображать текущие параметры безопасности, и продолжая аналогию дальше, это соответствует netstat -r. Существует множество даемонов для управления параметрами безопасности в FreeBSD. Здесь будет описано использование одного из них, racoon. racoon находится в категории security/ коллекции портов FreeBSD и устанавливается обычным способом. racoon должен работать на обеих шлюзах. На каждом из хостов он настраивается с IP адресом другого конца VPN, и секретным ключом (по вашему выбору, должен быть одним и тем же на обеих шлюзах). Эти два даемона подключаются друг к другу, подтверждают, что они именно те, за кого себя выдают (используя секретный ключ, заданный вами). Затем даемоны генерируют новый секретный ключ и используют его для шифрования трафика через VPN. Они периодически изменяют этот ключ, так что даже если атакующий сломает один из ключей (что теоретически почти невозможно) это не даст ему слишком много — он сломал ключ, который два даемона уже сменили на другой. Настройки racoon сохраняются в ${PREFIX}/etc/racoon. Этот файл не требует слишком больших изменений. Другим компонентом настройки racoon, который потребуется изменить, является предварительный ключ. В настройке по умолчанию racoon ищет его в файле ${PREFIX}/etc/racoon/psk.txt. Необходимо отметить, что предварительный ключ не используется для шифрования трафика через VPN соединение это просто маркер, позволяющий управляющим ключами даемонам доверять друг другу. psk.txt содержит строку для каждого удаленного сервера, с которым происходит соединение. В этом примере два сервера, каждый файл psk.txt будет содержать одну строку (каждый конец VPN общается только с другим концом. На шлюзе #1 эта строка будет выглядеть примерно так: W.X.Y.Z secret То есть публичный IP адрес удаленной стороны, пробел и текстовая строка, секретная фраза. На шлюзе #2 строка будет выглядеть примерно так: A.B.C.D secret То есть публичный IP адрес удаленной стороны и та же секретная фраза. Перед запуском racoon режим доступа к файлу psk.txt должен быть установлен в 0600 (т.е. запись и чтение только для root). Вы должны запустить racoon на обеих шлюзах. Вам также потребуется добавить правила для включения IKE трафика, передающегося по UDP через порт ISAKMP (Internet Security Association Key Management Protocol). Опять же, они должны быть расположены насколько возможно ближе к началу набора правил. ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp Как только racoon будет запущен, вы можете попробовать выполнить ping с одного шлюза на другой. Соединение все еще не зашифровано, но racoon установит параметры безопасности между двумя хостами — это может занять время и вы можете заметить небольшую задержку перед началом ответа команды ping. Как только параметры безопасности установлены, вы можете просмотреть их используя &man.setkey.8;. Запустите setkey -D на любом из хостов для просмотра информации о параметрах безопасности. Это одна сторона проблемы. Другая сторона это настройка политики безопасности. Для создания разумной политики безопасности давайте вспомним, что уже было настроено. Это рассмотрение относится к обеим концам соединения. Каждый отправляемый IP пакет имеет заголовок, содержащий информацию о пакете. Заголовок включает IP адреса источника и назначения. Как мы уже знаем, приватные IP адреса, такие как 192.168.x.y, не могут появиться в интернет. Они должны быть сначала включены внутрь другого пакета. В этом пакете приватные IP адреса источника и назначения заменяются публичными IP адресами. То есть исходящий пакет, который выглядит примерно так: .----------------------------. | Src: 192.168.1.1 | | Dst: 192.168.2.1 | | <другие данные заголовка> | +----------------------------+ | <данные пакета> | `----------------------------' будет инкапсулирован в другой пакет, выглядящий примерно так: .--------------------------------. | Src: A.B.C.D | | Dst: W.X.Y.Z | | <другие данные заголовка> | +--------------------------------+ | .----------------------------. | | | Src: 192.168.1.1 | | | | Dst: 192.168.2.1 | | | | <другие данные заголовка> | | | +----------------------------+ | | | <данные пакета> | | | `----------------------------' | `--------------------------------' Этой инкапсуляцией занимается устройство gif. Как вы можете видеть, теперь у пакета есть реальный IP адрес, исходный пакет был включен в этот пакет в виде данных, которые передаются через интернет. Конечно, мы хотим зашифровать весь трафик между VPN. Вы можете сформулировать это на словах так: Если пакет отправляется с A.B.C.D, и предназначен для W.X.Y.Z, зашифровать его, используя + role="ipaddr">W.X.Y.Z, расшифровать его, используя необходимые параметры безопасности. Если пакет отправляется с W.X.Y.Z, и предназначен для A.B.C.D, расшифровать его, используя необходимые параметры безопасности. Это похоже на желаемое, но не совсем то. Если вы сделаете это, весь трафик от и к W.X.Y.Z, даже если он не является частью VPN, будет зашифрован. Правильная политика такова: Если пакет отправляется с A.B.C.D, в нем инкапсулирован другой пакет и адрес назначения W.X.Y.Z, зашифровать его, используя необходимые параметры безопасности. Если пакет отправляется с W.X.Y.Z, в нем инкапсулирован другой пакет и адрес назначения A.B.C.D, зашифровать его, используя необходимые параметры безопасности. Тонкое, но необходимое различие. Политика безопасности также устанавливается с использованием &man.setkey.8;. В &man.setkey.8; предусмотрен язык определения политики &man.setkey.8;. Вы можете или ввести инструкции по настройке со стандартного ввода, или использовать параметр для задания файла, содержащего эти инструкции. Настройка на шлюзе #1 (где есть публичный IP адрес A.B.C.D) для включения шифрования всего предназначенного W.X.Y.Z трафика: spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; Поместите эти команды в файл (например, /etc/ipsec.conf) и запустите &prompt.root; setkey -f /etc/ipsec.conf указывает &man.setkey.8; добавить правило к базе данных политики безопасности. Остальная часть строки указывает какие пакеты будут соответствовать политике. A.B.C.D/32 и W.X.Y.Z/32 это IP адреса и сетевые маски, определяющие сети или хосты, к которым будет применяться данная политика. В данном случае мы хотим применить их к трафику между этими двумя хостами. Параметр сообщает ядру, что эта политика должна применяться только к пакетам, инкапсулирующим другие пакеты. Параметр сообщает, что эта политика применяется к исходящим пакетам, и — то, что пакеты будут зашифрованы. Оставшаяся часть строки определяет, как эти пакеты будут зашифрованы. Будет использоваться протокол , а параметр показывает, что пакет в дальнейшем будет инкапсулирован в IPsec пакет. Повторное использование A.B.C.D и W.X.Y.Z предназначено для выбора используемых параметров безопасности, и наконец параметр разрешает шифрование пакетов, попадающих под это правило. Это правило соответствует только исходящим пакетам. Вам потребуется похожее правило, соответствующее входящим пакетам. spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; Обратите внимание, что вместо используется и IP адреса переставлены. Другому шлюзу (с публичным IP адресом W.X.Y.Z) потребуются похожие правила. spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; Наконец, вам потребуется добавить правила к межсетевому экрану для включения прохождения пакетов ESP и IPENCAP в обе стороны. На обеих хостах потребуется добавить следующие правила: ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D Поскольку правила симметричны, можно использовать их без изменения на обеих хостах Исходящие пакеты теперь будут выглядеть примерно так: .------------------------------. --------------------------. | Src: A.B.C.D | | | Dst: W.X.Y.Z | | | <other header info> | | Encrypted +------------------------------+ | packet. | .--------------------------. | -------------. | contents | | Src: A.B.C.D | | | | are | | Dst: W.X.Y.Z | | | | completely | | <other header info> | | | |- secure | +--------------------------+ | | Encap'd | from third | | .----------------------. | | -. | packet | party | | | Src: 192.168.1.1 | | | | Original |- with real | snooping | | | Dst: 192.168.2.1 | | | | packet, | IP addr | | | | <other header info> | | | |- private | | | | +----------------------+ | | | IP addr | | | | | <packet data> | | | | | | | | `----------------------' | | -' | | | `--------------------------' | -------------' | `------------------------------' --------------------------' Когда эти пакеты будут получены на удаленном конце VPN соединения, они будут расшифрованы (используя параметры безопасности, о которых договорился racoon). Затем они будут переданы интерфейсу gif, который развернет второй слой, оставив пакет с внутренними адресами, который сможет попасть во внутреннюю сеть. Вы можете проверить безопасность тем же &man.ping.8;, который использовался ранее. Сначала войдите на шлюз A.B.C.D и запустите: tcpdump dst host 192.168.2.1 В другой сессии на том же хосте запустите ping 192.168.2.1 В этот момент вы должны увидеть примерно это: XXX tcpdump output Теперь, как видите, &man.tcpdump.1; показывает ESP пакеты. Если вы попытаетесь просмотреть их с параметром , то вероятно увидите нечто непонятное, поскольку применяется шифрование. Поздравляем. Вы только что настроили VPN между двумя удаленными сетями. Резюме Настройте оба ядра с: options IPSEC options IPSEC_ESP Установите security/racoon. Отредактируйте ${PREFIX}/etc/racoon/psk.txt на обеих шлюзах, добавив запись для каждого IP адреса удаленного хоста и секретный ключ, который будет известен им обеим. Убедитесь, что режим доступа к файлу 0600. Добавьте к /etc/rc.conf на каждом хосте следующие строки: ipsec_enable="YES" ipsec_file="/etc/ipsec.conf" Создайте /etc/ipsec.conf на каждом хосте с необходимыми строками spdadd. На шлюзе #1 он будет таким: spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; А на шлюзе #2 таким: spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; Добавьте правила к межсетевым экранам обеих хостов для включения IKE, ESP и IPENCAP трафика: ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D Двух приведенных шагов должно быть достаточно для настройки и включения VPN. Машины в каждой сети смогут обращаться друг к другу по IP адресам, и весь трафик через соединение будет автоматически надежно зашифрован. Chern Lee Предоставил OpenSSH OpenSSH безопасность OpenSSH OpenSSH это набор сетевых инструментов, используемых для защищенного доступа к удаленным компьютерам. Он может быть использован в качестве непосредственной замены rlogin, rsh, rcp и telnet. Кроме того, любые другие TCP/IP соединения могут быть безопасно тунеллированы/перенаправлены через SSH. OpenSSH шифрует весь трафик, эффективно предотвращая кражу данных, перехват соединения и другие сетевые атаки. OpenSSH поддерживается проектом OpenBSD, он основан на SSH v1.2.12 со всеми последними исправлениями и обновлениями, совместим с протоколами SSH версий 1 и 2. OpenSSH включен в базовую систему начиная с FreeBSD 4.0. Преимущества использования OpenSSH Обычно при использовании &man.telnet.1; или &man.rlogin.1; данные пересылаются по сети в незашифрованной форме. Перехватчик пакетов в любой точке сети между клиентом и сервером может похитить информацию о пользователе/пароле или данные, передаваемые через соединение. Для предотвращения этого OpenSSH предлагает различные методы шифрования. Включение sshd OpenSSH включение Убедитесь, что добавили в файл rc.conf следующую строку: sshd_enable="YES" При следующей загрузке системы запущен &man.sshd.8;, даемон для OpenSSH. Вы можете также запустить sshd непосредственно, набрав в командной строке sshd. SSH клиент OpenSSH клиент Утилита &man.ssh.1; работает подобно &man.rlogin.1;. &prompt.root; ssh user@example.com Host key not found from the list of known hosts. Are you sure you want to continue connecting (yes/no)? yes Host 'example.com' added to the list of known hosts. user@example.com's password: ******* Вход продолжится так же, как если бы сессия была инициирована с использованием rlogin или telnet. SSH использует систему опознавательных ключей для проверки подлинности сервера при подключении клиента. Пользователю предлагается yes только при первом подключении. Дальнейшие попытки входа предваряются проверкой сохраненного ключа сервера. SSH клиент сообщит вам, если сохраненный ключ будет отличаться от только что полученного. Ключи серверов сохраняются в ~/.ssh/known_hosts, или в ~/.ssh/known_hosts2 для SSH v2. По умолчанию, сервер OpenSSH настроен для приема соединений SSH v1 и SSH v2. Клиент может выбирать между этими двумя протоколами. Версия 2 безопаснее своего предшественника. Команде &man.ssh.1; можно указать использование определенной версии протокола, запустив ее с параметром или для версии 1 или 2 соответственно. Безопасное копирование OpenSSH безопасное копирование scp Команда &man.scp.1; работает подобно &man.rcp.1;; она копирует файл с удаленного компьютера, но делает это безопасным способом. &prompt.root; scp user@example.com:/COPYRIGHT COPYRIGHT user@example.com's password: ******* COPYRIGHT 100% |*****************************| 4735 00:00 &prompt.root; Поскольку в предыдущем примере ключ сервера уже был сохранен, в этом примере он проверяется при использовании &man.scp.1;. Параметры, передаваемые &man.scp.1;, похожи на параметры &man.cp.1;, с файлом или файлами в качестве первого аргумента и приемником копирования во втором. Поскольку файлы файлы передаются по сети через SSH, один или более аргументов принимают форму . Настройка OpenSSH настройка Системные файлы настройки для даемона и клиента OpenSSH расположены в каталоге /etc/ssh. Файл ssh_config используется для настройки клиента, а sshd_config для даемона. Кроме того, параметры (по умолчанию /usr/sbin/sshd), и rc.conf дают дополнительные возможности настройки. ssh-keygen Вместо использования паролей, с помощью &man.ssh-keygen.1; пользователи могут аутентифицироваться ключами RSA: &prompt.user; ssh-keygen -t rsa1 Initializing random number generator... Generating p: .++ (distance 66) Generating q: ..............................++ (distance 498) Computing the keys... Key generation complete. Enter file in which to save the key (/home/user/.ssh/identity): Enter passphrase: Enter the same passphrase again: Your identification has been saved in /home/user/.ssh/identity. ... &man.ssh-keygen.1; создаст пару публичного и приватного ключей, используемых для аутентификации. Приватный ключ сохраняется в ~/.ssh/identity, а публичный в ~/.ssh/identity.pub. Для включения аутентификации по ключам публичный ключ должен быть помещен в ~/.ssh/authorized_keys на удаленном компьютере. Это позволяет соединяться с удаленным компьютером с помощью RSA аутентификации вместо паролей. Параметр приведет к созданию RSA ключей, используемых SSH протоколом версии 1. Если вы хотите использовать RSA ключи с SSH протоколом версии 2, используйте команду ssh-keygen -t rsa. Если при генерации ключей был использован пароль, каждый раз для при использовании приватного ключа он будет запрашиваться у пользователя. DSA ключ для SSH протокола версии 2 может быть создан в тех же целях командой ssh-keygen -t dsa. Эта команда создаст публичный/приватный ключи DSA для использования только с SSH протоколом версии 2. Публичный ключ сохраняется в ~/.ssh/id_dsa.pub, а приватный ключ в ~/.ssh/id_dsa. Публичный ключ DSA также должен быть помещен в каталог ~/.ssh/authorized_keys на удаленном компьютере. Утилиты &man.ssh-agent.1; и &man.ssh-add.1; используются для управления множеством защищенных паролем приватных ключей. Параметры и имена файлов могут различаться для разных версий OpenSSH, установленных в системе, для решения проблем обратитесь к странице справочника &man.ssh-keygen.1;. SSH тунеллирование OpenSSH тунеллирование OpenSSH поддерживает возможность создания туннеля для пропуска соединения по другому протоколу через защищенную сессию. Следующая команда указывает &man.ssh.1; создать туннель для telnet: &prompt.user; ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com &prompt.user; Команда ssh используется со следующими параметрами: Указывает ssh использовать версию 2 протокола (не используйте этот параметр, если работаете со старыми SSH серверами). Означает использование в не-командном режиме, только для тунеллирования. Если этот параметр опущен, ssh запустит обычную сессию. Указывает ssh запускаться в фоновом режиме. Означает локальный туннель в стиле localport:remotehost:remoteport. Удаленный сервер SSH. Туннель SSH создается путем создания прослушивающего сокета на определенном порту localhost. Затем все принятые на локальном хосту/порту соединения переправляются на через SSH на определенный удаленный хост и порт. В этом примере, порт 5023 на localhost перенаправляется на порт 23 на localhost удаленного компьютера. Поскольку 23 это порт telnet, будет создано защищенное соединение telnet через туннель SSH. Этот метод можно использовать для любого числа небезопасных протоколов, таких как SMTP, POP3, FTP, и так далее. Использование SSH для создания защищенного туннеля на SMTP &prompt.user; ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com user@mailserver.example.com's password: ***** &prompt.user; telnet localhost 5025 Trying 127.0.0.1... Connected to localhost. Escape character is '^]'. 220 mailserver.example.com ESMTP Этот метод можно использовать вместе с &man.ssh-keygen.1; и дополнительными пользовательскими учетными записями для создания более удобного автоматического SSH тунеллирования. Ключи могут быть использованы вместо паролей, и туннели могут запускаться от отдельных пользователей. Практические примеры SSH тунеллирования Защищенный доступ к серверу POP3 На работе находится SSH сервер, принимающий соединения снаружи. В этой же офисной сети находится почтовый сервер, поддерживающий протокол POP3. Сеть или сетевое соединение между вашим домом и офисом могут быть или не быть полностью доверяемыми. По этой причине вам потребуется проверять почту через защищенное соединение. Решение состоит в создании SSH соединения к офисному серверу SSH и тунеллирование через него к почтовому серверу. &prompt.user; ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com user@ssh-server.example.com's password: ****** Когда туннель включен и работает, вы можете настроить почтовый клиент для отправки запросов POP3 на localhost, порт 2110. Соединение будет безопасно переправлено через туннель на mail.example.com. Прохождение через Драконовский Брандмауэр Некоторые сетевые администраторы устанавливают на межсетевых экранах (брандмауэрах) драконовские правила, фильтруя не только входящие соединения, но и исходящие. Вам может быть разрешен доступ к удаленным компьютерам только по портам 22 и 80, для SSH и просмотра сайтов. Вам может потребоваться доступ к другому (возможно, не относящемуся к работе) сервису, такому как Ogg Vorbis для прослушивания музыки. Если этот сервер Ogg Vorbis выдает поток не с портов 22 или 80, вы не сможете получить к нему доступ. Решение состоит в создании SSH соединения с компьютером вне межсетевого экрана и использование его для тунеллирования сервера Ogg Vorbis. &prompt.user; ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org user@unfirewalled-system.example.org's password: ******* Клиентскую программу теперь можно настроить на localhost порт 8888, который будет перенаправлен на music.example.com порт 8000, успешно обойдя межсетевой экран. Для дальнейшего чтения OpenSSH &man.ssh.1; &man.scp.1; &man.ssh-keygen.1; &man.ssh-agent.1; &man.ssh-add.1; &man.sshd.8; &man.sftp-server.8; Tom Rhodes Предоставил ACL Списки контроля доступа файловой системы (ACL) В дополнение к другим расширениям файловой системы, таким как снимки (snapshots), FreeBSD 5.0 и более поздние версии системы предлагают защиту с помощью списков контроля доступа файловой системы (File System Access Control Lists, ACLs). Списки контроля доступа расширяют стандартную модель прав &unix; высоко совместимым (&posix;.1e) способом. Эта возможность позволяет администратору получить преимущество от использования более интеллектуальной модели безопасности. Для включения поддержки ACL в файловой системе UFS, следующая строка: options UFS_ACL должна быть добавлена в файл настройки ядра. Если параметр не добавлен, при попытке монтирования систем, поддерживающих ACL, появится предупреждающее сообщение. Этот параметр включен в ядро GENERIC. ACL основывается на дополнительных атрибутах, встроенных в файловую систему. Дополнительные атрибуты поддерживаются по умолчанию следующим поколением файловых систем &unix;, UFS2. Для включения дополнительных атрибутов в UFS1 требуется больше усилий по сравнению с UFS2. Производительность дополнительных атрибутов в UFS2 также существенно выше. По этим причинам для работы с списками контроля доступа предпочтительно использование UFS2 ACL включаются во время монтирования флагом , который добавляется к /etc/fstab. Этот флаг также можно сделать постоянным с помощью &man.tunefs.8;, изменив флаг ACL в заголовке файловой системы. Вообще говоря, использование флага в суперблоке предпочтительно по нескольким причинам: Постоянный ACL флаг не может быть изменен путем перемонтирования системы (&man.mount.8; ), а только через &man.umount.8; и &man.mount.8;. Это означает, что ACL нельзя включить на корневой файловой системе после загрузки. Это также означает, что вы не можете изменить флаг на используемой файловой системе. Установка флага в суперблоке приводит к постоянному монтированию файловой системы с включенным ACL, даже если нет записи в fstab или при смене порядка устройств. Это предотвращает случайное монтирование файловой системы без ACL, которое может повлечь за собой проблемы с безопасностью. Мы можем изменить поведение ACL для включения флага без полного перемонтирования, но считаем, что желательно исключить случайное монтирование без ACL, поскольку вы можете попасть в неприятную ситуацию, если включите ACL, затем выключите их, затем опять включите без сброса расширенных атрибутов. Обычно, как только вы включили ACL в файловой системе, они не должны быть выключены, поскольку получающаяся защита файлов может быть не совместима с той, что применяется пользователями системы, и повторное включение ACL может подключить предыдущие списки контроля доступа к файлам, права на которые изменены, что приведет к непредсказуемому поведению. Файловые системы с включенными ACLs показывают знак + при просмотре прав на файлы. Например: drwx------ 2 robert robert 512 Dec 27 11:54 private drwxrwx---+ 2 robert robert 512 Dec 23 10:57 directory1 drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2 drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3 drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html Здесь мы видим, что каталоги directory1, directory2, и directory3 используют преимущества ACL. Каталог public_html их не использует. Использование <acronym>ACL</acronym> ACL файловой системы можно просмотреть с помощью утилиты &man.getfacl.1;. Например, для просмотра настроек ACL файла test, может использоваться команда: &prompt.user; getfacl test #file:test #owner:1001 #group:1001 user::rw- group::r-- other::r-- Для изменения ACL этого файла, вызовите утилиту &man.setfacl.1;. Выполните: &prompt.user; setfacl -k test Параметр удалит все установленные на данный момент ACL из файла или файловой системы. Более предпочтительный метод это использование параметра , который оставит необходимые для работы ACL поля. &prompt.user; setfacl -m u:trhodes:rwx,group:web:r--,o::--- test В вышеприведенной команде параметр использован для изменения записей ACL по умолчанию. Поскольку предустановленных записей не было (они были удалены предыдущей командой), эта команда восстановит параметры по умолчанию и задаст приведенные параметры. Имейте ввиду, при добавлении пользователя или группы, которых нет в системе, на stdout будет выведена ошибка Invalid argument. Tom Rhodes Предоставил Сообщения безопасности FreeBSD Сообщения безопасности &os; Как многие и высококачественные операционные системы, &os; публикует Сообщения безопасности (Security Advisories). Эти сообщения обычно отправляются по почте в списки рассылки, посвященные безопасности и публикуются в списке проблем только после выхода исправлений к соответствующим релизам. В этом разделе разъясняется, что такое сообщения безопасности, как их читать и какие меры принимать для исправления системы. Как выглядит сообщение? Сообщение безопасности &os; выглядит подобно сообщению ниже, взятому из списка рассылки &a.security-notifications.name;. ============================================================================= &os;-SA-XX:XX.UTIL Security Advisory The &os; Project Topic: denial of service due to some problem Category: core Module: sys Announced: 2003-09-23 Credits: Person@EMAIL-ADDRESS Affects: All releases of &os; &os; 4-STABLE prior to the correction date Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15) 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8) 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18) 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) &os; only: NO For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the following sections, please visit http://www.FreeBSD.org/security/. I. Background II. Problem Description III. Impact IV. Workaround V. Solution VI. Correction details VII. References Поле Topic показывает в чем именно заключается проблема. Это обычно введение в сообщение безопасности, упоминающее утилиту, в которой возникла ошибка. Поле Category относится к затронутой части системы и может быть выбрана из core, contrib, или ports. Категория core означает, что уязвимость затрагивает основной компонент операционной системы &os;. Категория contrib означает, что уязвимость затрагивает программы, предоставленные проекту &os;, например sendmail. Наконец, категория ports означает, что уязвимость затрагивает программное обеспечение, доступное из коллекции портов. Поле Module указывает на местоположение компонента, например sys. В этом примере мы видим, что затронут модуль sys, следовательно, эта уязвимость относится к компоненту, используемому в ядре. Поле Announced отражает дату публикации сообщения безопасности, или его анонсирования. Это означает, что команда обеспечения безопасности убедилась, что проблема существует и что патч помещен в репозиторий исходных текстов &os;. Поле Credits упоминает частное лицо или организацию, обнаружившую уязвимость и сообщившую о ней. Поле Affects дает информацию о релизах &os;, к которым относится данная уязвимость. Для базовой системы, просмотр вывода команды ident для файлов, затронутых уязвимостью, поможет определить ревизию. Номер версии портов приведен после имени порта в каталоге /var/db/pkg. Если система не синхронизируется с CVS репозиторием &os; и не пересобирается ежедневно, высок шанс, что она затронута уязвимостью. Поле Corrected показывает дату, время, смещение во времени и релиз, в котором исправлена ошибка. Поле &os; only показывает, существует ли эта уязвимость только в &os;, или затрагивает и другие системы. Поле Background дает информацию именно о той утилите, для которой выпущено сообщение. Как правило информация о том, зачем утилита присутствует в &os;, для чего она используется, и немного информации о том, как появилась эта утилита. Поле Problem Description дает более глубокие разъяснения возникшей проблемы. Оно может включать информацию об ошибочном коде, или даже о том, как утилита может быть использована для создания бреши в системе безопасности. Поле Impact описывает тип воздействия, который проблема может оказать на систему. Это может быть все, что угодно, от атаки на отказ в обслуживании до получения пользователями дополнительных привилегий, или даже получения атакующим прав суперпользователя. Поле Workaround предлагает тем, системным администраторам, которые не могут обновить систему, обходной путь решения проблемы. Он может пригодиться при недостатке времени, отсутствии подключения к сети или по массе других причин. В любом случае, к безопасности нельзя относиться несерьезно, и необходимо либо применить указанный обходной путь, либо исправить систему. Поле Solution предлагает инструкции по исправлению затронутой системы. Это пошаговое руководство, протестированный метод восстановления безопасности системы. Поле Correction Details показывает ветвь CVS (имя релиза с точками, замененными на символы подчеркивания). Здесь также показан номер ревизии каждого файла из каждой ветви. Поле References обычно упоминает другие источники информации. Это могут быть веб страницы, книги, списки рассылки и группы новостей.