diff --git a/zh_CN.GB2312/books/handbook/desktop/chapter.sgml b/zh_CN.GB2312/books/handbook/desktop/chapter.sgml index 6a7bf06074..59e8bfaa03 100644 --- a/zh_CN.GB2312/books/handbook/desktop/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/desktop/chapter.sgml @@ -1,1029 +1,1034 @@ Christophe Juniet Contributed by 桌面应用 概述 FreeBSD 可以运行种类繁多的桌面应用程序， 这包括像浏览器和字处理这样的软件。 绝大多数这样的程序都可以通过 package 来安装， 或者从 Ports Collection 自动地构建。 许多新用户希望能够在它们的系统中找到这样的应用程序。 这一章将向您展示如何轻松地使用 package 或者 Ports Collection 中安装这样的软件。 需要注意的是从 ports 安装意味着要编译源码。 根据编译的 ports 和电脑速度的不同， 这可能需要花费相当长的时间。 若是您觉得编译源码太过耗时的话， 绝大多数 ports 也有预编译的版本可供安装。 因为 FreeBSD 提供的二进制兼容 Linux 的特性， 许多原本为 Linux 开发的程序都可以直接用在您的桌面。 在安装任何的 Linux 应用程序之前， 强烈的推荐您阅读 。 当您在寻找特定的 ports 时， 可以使用 &man.whereis.1;。 一般来说， 许多利用 Linux 二进制兼容特性的 ports 都以linux-开头。 在下面的介绍中，都假设安装 Linux 应用程序前已经开启了 Linux 二进制兼容功能。 本章涵盖以下种类应用程序： 浏览器 (例如 Mozilla、 Opera、 Firefox、 Konqueror) 办公、图象处理 (例如 KOffice、 AbiWord、 GIMP、 OpenOffice.org) 文档查看 (例如 &acrobat.reader;、 gv、 Xpdf、 GQview) 财务 (例如 GnuCash、 Gnumeric、 Abacus) 阅读这章之前，您应该： 知道如何安装额外的第三方软件()。 知道如何安装 Linux 软件()。 想要获得更多的有关多媒体环境的信息，请阅读 。如果您想要建立和使用电子邮件， 请参考。 浏览器 浏览器 web FreeBSD并没有预先安装特定的浏览器。然而，在 ports 的目录 www 有许多浏览器可以安装。如果您没有时间一一编译它们 (有些时候这可能需要花费相当长的时间) 大部分都有 package 可用。 KDE 和 GNOME 已经提供 HTML 浏览器。 请参考得到更多完整的有关设定这些桌面环境的信息。 如果您要找小型的浏览器， 可以试试看 www/dillo、 www/links 或 www/w3m。 这一节涉及如下程序： 程序名称 资源需求 安装时间 主要依赖 Mozilla 多 大量时间和空间 Gtk+ Opera 少 轻松 同时有可用的 FreeBSD 和 Linux 版本。 Linux 版本需要使用 Linux 二进制兼容模块和 linux-openmotif。 Firefox 中等 长 Gtk+ Konqueror 中等 长 需要 KDE 库 Mozilla Mozilla Mozilla 是一个完全移植到 FreeBSD 上的现代化的、 稳定的浏览器。 它拥有非常合乎标准的 HTML 支持， 它也能处理邮件和阅读新闻组。 假如您打算做一个自己的主页的话，它甚至提供一个 HTML 编辑器。 &netscape; 的使用者可能觉得它和 Communicator 非常相似， 两者有些部分实际上是相通的。 在 CPU 速度低于 233MHz 或者内存少于 64MB 的老式电脑上，Mozilla 会占用相当多资源而难以使用。您也许可以试试 Opera 浏览器，本章稍后将会介绍它。 也许基于某种原因，您不能或者不想编译 Mozilla，FreeBSD GNOME 团队已经为您制作好了 package。只需要通过网络安装它： &prompt.root; pkg_add -r mozilla 如果没 package 可用，而您又有足够的时间和磁盘空间，您可以获取 Mozilla 的源码来编译并安装它到您的系统上。 执行以下指令既可： &prompt.root; cd /usr/ports/www/mozilla &prompt.root; make install clean Mozilla 需要 root 权限执行 chrom 注册来确定正确的初始化。另外， 如果您想要一些额外的插件比如象 mouse gestures，您也必须以 root 权限执行 Mozilla 以便正确的安装。 一旦您完成了 Mozilla 安装，您就再也不需要 root 权限了。您可以用如下方式执行 Mozilla： &prompt.user; mozilla 也可以用如下方式直接运行电子邮件和新闻阅读器： &prompt.user; mozilla -mail Firefox Firefox Firefox 是基于 Mozilla 代码系的下一代浏览器。 Mozilla 是一个完整的应用程序套件， 包含了浏览器、 邮件客户端、 聊天客户端等等。 而 Firefox 则只是一个浏览器， 这使得它体积更小并且执行速度更快。 您可以通过输入下面的命令来安装预编译的包： &prompt.root; pkg_add -r firefox 如果您喜欢从源代码编译， 则可以使用 Ports 套件来完成这项工作： &prompt.root; cd /usr/ports/www/firefox &prompt.root; make install clean Firefox、 Mozilla 与 &java; 插件 在这一节和下一节中， 我们均假定您已经安装了 Firefox 或 Mozilla。 &os; 基金会拥有来自 Sun Microsystems 的关于发布针对 &os; 的预编译版本的 Java 运行环境 (&jre;) 和 Java 开发包 (&jdk;) 的授权。 用于 &os; 的预编译版本可以在 &os; 基金会 网站上找到。 要为 Firefox 或 Mozilla 添加 &java; 支持， 您必须首先安装 java/javavmwrapper port。 接下来， 从 下载 Diablo &jre; 软件包， 并使用 &man.pkg.add.1; 来安装它。 启动浏览器， 并在地址栏中输入 about:plugins 然后按 Enter。 浏览器将给出一个页面， 其中会显示已经安装的插件， 您应在这个列表中找到 &java; - 插件。 + 插件。 如果不是这样的话， 则需要以 + root 身份执行下列命令： + &prompt.root; ln -s /usr/local/diablo-jre1.5.0/plugin/i386/ns7/libjavaplugin_oji.so \ + /usr/local/lib/browser_plugins/ + + 然后重新启动浏览器。 Firefox、 Mozilla 与 ¯omedia; &flash; 插件 ¯omedia; &flash; 插件并没有直接提供其 &os; 版本。 不过， 我们有一个软件层 (wrapper) 可以用来运行 Linux 版本的插件。 这个 wrapper 也支持 &adobe; &acrobat;、 RealPlayer 和很多其他插件。 应安装 www/linuxpluginwrapper port， 这个 port 需要依赖一个很大的 port， emulators/linux_base。 请按照 port 在安装过程中所给出的提示对您的 /etc/libmap.conf 进行正确的配置！ 示范的配置可以在 /usr/local/share/examples/linuxpluginwrapper/ 目录找到。 下一步是安装 www/linux-flashplugin7 port。 一旦装好了这个插件， 就可以打开浏览器， 并在地址栏中输入 about:plugins 然后按下 Enter。 这将显示目前可用的插件列表。 如果您没有在这个列表中看到 &flash; 插件， 则多数情况下这是由于缺少一个符号链接导致的。 您需要以 root, 身份执行下面的命令： &prompt.root; ln -s /usr/local/lib/npapi/linux-flashplugin/libflashplayer.so \ - /usr/X11R6/lib/browser_plugins/ + /usr/local/lib/browser_plugins/ &prompt.root; ln -s /usr/local/lib/npapi/linux-flashplugin/flashplayer.xpt \ - /usr/X11R6/lib/browser_plugins/ + /usr/local/lib/browser_plugins/ 重新启动浏览器之后， 插件就应该会在前面提到的那个列表中有所体现了。 在播放某些 &flash; 动画时， 您的浏览器可能会崩溃， 这时这个补丁可能会对您有所帮助： &prompt.root; cd /usr/src &prompt.root; fetch http://people.FreeBSD.org/~nork/rtld_dlsym_hack.diff &prompt.root; patch < rtld_dlsym_hack.diff &prompt.root; cd libexec/rtld-elf/ &prompt.root; make clean &prompt.root; make obj &prompt.root; make depend &prompt.root; make && make install 接下来， 重新启动计算机。 linuxpluginwrapper 只能在 &i386; 架构上运行。 Opera Opera Opera 是一个功能齐全， 并符合标准的浏览器。 它还提供了内建的邮件和新闻阅读器、 IRC 客户端， RSS/Atom feed 阅读器以及更多功能。 除此之外， Opera 是一个比较轻量的浏览器， 其速度很快。 它提供了两种不同的版本： native FreeBSD 版本， 以及通过 Linux 模拟运行的版本。 要使用 Opera 的 FreeBSD 版本来浏览网页，安装以下的 package： &prompt.root; pkg_add -r opera 有些 FTP 站点没有所有版本的 package， 您也可以通过 Ports Collection 来安装： &prompt.root; cd /usr/ports/www/opera &prompt.root; make install clean 要安装 Linux 版本的 Opera，将上面例子中的 opera 替换为 linux-opera。Linux 版本在某些情况下非常有用，象是使用只有 Linux 版本的插件，例如 Adobe &acrobat.reader;。不然的话在其它方面， FreeBSD 和 Linux 版本是完全一样的。 Konqueror Konqueror Konqueror 是 KDE 的一部分，不过也可以通过安装 x11/kdebase3 在非 KDE 环境下使用。 Konqueror 不止是一个浏览器， 也是一个文件管理器和多媒体播放器。 Konqueror 也带有丰富的插件， 可以在 misc/konq-plugins 下面找到。 Konqueror 也支持 &flash;， 可以在 找到一个 How To。 办公、图象处理 当需要进行办公或者进行图象处理时， 新用户通常都会找一些好用的办公套件或者字处理软件。目前有一些桌面环境比如象 KDE 已经提供了办公套件。 FreeBSD 提供所有的要求，桌面环境也不例外。 这节涉及如下程序： 软件名称 资源需求 安装时间 主要依赖 KOffice 少 多 KDE AbiWord 少 少 Gtk+ 或 GNOME The Gimp 少 长 Gtk+ OpenOffice.org 多 长 &jdk; 1.4、 Mozilla KOffice KOffice 办公套件 KOffice KDE 社区提供了一套办公套件， 它能用在桌面环境。它包含四个标准的组件，这些组件可以在其它办公套件中找到。 KWord 是字处理程序、 KSpread 是电子表格程序、 KPresenter 是演示文档制作管理程序、 Kontour是矢量绘图软件。 安装最新的 KOffice 之前，先确定您是否安装了最新版的 KDE。 使用 package 来安装 KOffice，安装细节如下： &prompt.root; pkg_add -r koffice 如果没有可用的 package，您可以使用 Ports Collection 安装。 安装 KDE3 的 KOffice 版本，如下： &prompt.root; cd /usr/ports/editors/koffice-kde3 &prompt.root; make install clean AbiWord AbiWord AbiWord 是一个免费的字处理程序，它看起来和 µsoft; Word 的感觉很相似。 它适合用来打印文件、信函、报告、备忘录等等， 它非常快且包含许多特性，并且非常容易使用。 AbiWord 可以导入或输出很多文件格式， 包括一些象 Microsoft.doc 格式的文件。 AbiWord 也有 package 的安装方式。您可以用以下方法安装： &prompt.root; pkg_add -r abiword 如果没有可用的 package，它也可以从 Ports Collection 编译。ports collection 应该是最新的。它的安装方式如下： &prompt.root; cd /usr/ports/editors/abiword &prompt.root; make install clean GIMP GIMP 对图象的编辑或者加工， GIMP 是一个非常精通图象处理的软件。 它可以被用来当作简单的绘图程序或者一个专业的照片处理套件。 它支持大量的插件和具有脚本界面的特性。 GIMP 可以读写众多的文件格式， 支持扫描仪和手写板。 您可以用下列命令安装： &prompt.root; pkg_add -r gimp 如果您在 FTP 站点没有找到这个 package，您也可以使用 Ports Collection 的方法安装。ports 的 graphics 目录也包含有 Gimp 手册。 以下是安装它们的方法： &prompt.root; cd /usr/ports/graphics/gimp &prompt.root; make install clean &prompt.root; cd /usr/ports/graphics/gimp-manual-pdf &prompt.root; make install clean Ports 中的 graphics 目录也有开发中的 GIMP 版本 graphics/gimp-devel。 HTML 版本的 Gimp 手册 可以在 graphics/gimp-manual-html 找到。 OpenOffice.org OpenOffice.org 办公套件 OpenOffice.org OpenOffice.org 包括一套完整的办公套件： 一个字处理程序、一个电子表格程序、一个演示文档管理程序和一个绘图程序。 它和其它的办公套件的特征非常相似，它可以导入输出不同的流行的文件格式。 它包括一些不同的语言界面、拼写检查和字典。 OpenOffice.org 的字处理程序使用 XML 文件格式使它增加了可移植性和灵活性。电子表格程序支持宏语言和使用外来的数据库界面。 OpenOffice.org 已经可以平稳的运行在 &windows;、&solaris;、Linux、FreeBSD 和 &macos; X 等各种操作系统下。更多的有关 OpenOffice.org 的信息您可以在 OpenOffice.org 网页找到。 对于特定的 FreeBSD 版本的信息，您可以在直接在 FreeBSD OpenOffice 移植团队的页面下载。 安装 OpenOffice.org 方法如下： &prompt.root; pkg_add -r openoffice.org 如果您正在使用 &os; 的 -RELEASE 版本， 一般来说这样做是没问题的。 如果不是这样， 您就可能需要看一看 &os; OpenOffice.org 移植小组的网站， 并使用 &man.pkg.add.1; 从那里下载并安装合适的软件包。 最新的发布版本和开发版本都可以在那里找到。 装好 package 之后， 您只需输入下面的命令就能运行 OpenOffice.org 了： &prompt.user; openoffice.org 在第一次运行时， 将询问您一些问题， 并在您的主目录中建立一个 .openoffice.org2 目录。 如果没有可用的 OpenOffice.org package，您仍旧可以选择编译 port。然而， 您必须记住它的要求以及大量的磁盘空间和相当长的时间编译。 &prompt.root; cd /usr/ports/editors/openoffice.org-2 &prompt.root; make install clean 如果希望联编一套进行过本地化的版本， 将前述命令行改为： &prompt.root; make LOCALIZED_LANG=your_language install clean 您需要将 your_language 改为正确的 ISO-代码。 所支持的语言代码可以在 files/Makefile.localized 文件中找到， 这个文件位于 port 的目录。 一旦完成上述操作， 就可以通过下面的命令来运行 OpenOffice.org 了： &prompt.user; openoffice.org 文档查看器 一些新的文档格式近来得到流行。它们所需要的标准查看器可能不一定在系统内。 在本节我们将了解如何安装它们。 这节涵盖如下应用程序: 软件名称 资源需求 安装时间 主要依赖 &acrobat.reader; 少 少 Linux二进制兼容 gv 少 少 Xaw3d Xpdf 少 少 FreeType GQview 少 少 Gtk+ 或 GNOME &acrobat.reader; Acrobat Reader PDF 查看器 现在许多文档都用 PDF 格式， 根据轻便小巧文档格式的定义。一个被建议使用的查看器是 &acrobat.reader;，由 Adobe 所发行的 Linux 版本。因为 FreeBSD 能够运行 Linux 二进制文件， 所以它也可以用在 FreeBSD 中。 要从 Ports collection 安装 &acrobat.reader; 7， 只需： &prompt.root; cd /usr/ports/print/acroread7 &prompt.root; make install clean 由于授权的限制， 我们不提供预编译的版本。 gv gv PDF 查看器 PostScript 查看器 gv 是 &postscript; 和 PDF 文件格式查看器。它源自 ghostview 因为使用 Xaw3d 函数库让它看起来更美观。 它很快而且界面很干净。gv 有很多特性比如象纸张大小、刻度或者抗锯齿。 大部分操作都可以用键盘或鼠标完成。 安装 gv package，如下： &prompt.root; pkg_add -r gv 如果您无法获取预编译的包， 则可以使用 Ports collection： &prompt.root; cd /usr/ports/print/gv &prompt.root; make install clean Xpdf Xpdf PDF 查看器 如果您想要一个小型的 FreeBSD PDF 查看器， Xpdf 是一个小巧并且高效的查看器。 它只需要很少的资源而且非常稳定。它使用标准的 X 字体并且不需要 &motif; 或者其它的 X 工具包。 安装 Xpdf package，使用如下命令： &prompt.root; pkg_add -r xpdf 如果 package 不可用或者您宁愿使用 Ports Collection，如下： &prompt.root; cd /usr/ports/graphics/xpdf &prompt.root; make install clean 一旦安装完成，您就可以启动 Xpdf 并且使用鼠标右键来使用菜单。 GQview GQview GQview 是一个图片管理器。 您可以单击鼠标来观看一个文件、开启一个外部编辑器、 使用预览和更多的功能。它也有幻灯片播放模式和一些基本的文件操作。 您可以管理采集的图片并且很容易找到重复的。 GQview 可以全屏幕观看并且支持国际化。 如果您想要安装 GQview package，如下： &prompt.root; pkg_add -r gqview 如果您没有可用的 package 或者您宁愿使用 Ports Collection，如下： &prompt.root; cd /usr/ports/graphics/gqview &prompt.root; make install clean 财务 假如，基于任何的理由，您想要在 FreeBSD Desktop 管理您个人的财政，有一些强大并且易于使用的软件可以被您选择安装。 它们中的一些与流行的文件格式兼容象 Quicken 或 Excel 文件。 本节涵盖如下软件： 软件名称 资源需求 安装时间 主要依赖 GnuCash 少 长 GNOME Gnumeric 少 长 GNOME Abacus 少 少 Tcl/Tk GnuCash GnuCash GnuCash 是 GNOME 的一部分，GNOME 致力于为最终用户提供用户友好且功能强大的软件。使用 GnuCash，您可以关注您的收入和开支、您的银行帐户， 或者您的股票。它的界面特性看起来非常的专业。 GnuCash 提供一个智能化的注册、帐户分级系统、 很多键盘快捷方式和自动完成方式。它能分开一个单个的处理到几个详细的部分。 GnuCash 能导入和合并 Quicken QIF 文件格式。 它也支持大部分的国际日期和流行的格式。 安装 GnuCash 到您的系统，如下： &prompt.root; pkg_add -r gnucash 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/finance/gnucash &prompt.root; make install clean Gnumeric Gnumeric 电子表格 Gnumeric Gnumeric 是一个电子表格程序， GNOME 桌面环境的一部分。 它以通过元素格式和许多片断的自动填充系统来方便的自动猜测用户输入而著称。 它能导入一些流行的文件格式，比如象 Excel、 Lotus 1-2-3 或 Quattro Pro。 Gnumeric 凭借 math/guppi 支持图表。 它有大量的嵌入函数和允许所有通常比如象、数字、货币、日期、 时间等等的一些单元格式。 安装 Gnumeric package，如下： &prompt.root; pkg_add -r gnumeric 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/math/gnumeric &prompt.root; make install clean Abacus Abacus spreadsheet Abacus Abacus 是一个小巧易用的电子表格程序。 它包含许多嵌入函数在一些领域如统计学、财务和数学方面很有帮助。 它能导入和输出 Excel 文件格式。 Abacus 可以产生 &postscript; 输出。 安装 Abacus package，如下： &prompt.root; pkg_add -r abacus 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/deskutils/abacus &prompt.root; make install clean 总结 当 FreeBSD 因为它的效能和稳定而在 ISP 之间流行时， 它也可以完全应用在桌面环境。拥有数以千计的 packages 或者 ports， 您可以为您的需要建立完美的桌面环境。 一旦您完成了您的桌面环境的安装，您可能想要进一步了解 misc/instant-workstation。 meta-port 允许您为一个工作站建立一个定制的 ports 设置。您可以编辑 /usr/ports/misc/instant-workstation/Makefile 定制它。 接着是缺省添加和删除 ports 的语法，和使用通常的步骤建立它。 最后，您将能建立一个适合您自己桌面的大的 package 并在您的其它的工作站上安装它！ 下面是本章涉及到的所有的软件的快速回顾： 软件名称 Package 名称 Ports 名称 Mozilla mozilla www/mozilla Opera opera www/opera Firefox firefox www/firefox KOffice koffice-kde3 editors/koffice-kde3 AbiWord abiword editors/abiword The GIMP gimp graphics/gimp OpenOffice.org openoffice editors/openoffice-1.1 &acrobat.reader; acroread print/acroread7 gv gv print/gv Xpdf xpdf graphics/xpdf GQview gqview graphics/gqview GnuCash gnucash finance/gnucash Gnumeric gnumeric math/gnumeric Abacus abacus deskutils/abacus diff --git a/zh_CN.GB2312/books/handbook/disks/chapter.sgml b/zh_CN.GB2312/books/handbook/disks/chapter.sgml index 13a886c640..aa9555f47a 100644 --- a/zh_CN.GB2312/books/handbook/disks/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/disks/chapter.sgml @@ -1,3630 +1,3676 @@ 存储 概述 这章介绍了 FreeBSD 中磁盘的使用方法。包括内存盘， 网络附属磁盘和标准的 SCSI/IDE 存储设备，以及使用 USB 的设备。 读完这章，您将了解到： FreeBSD 中用来描述硬盘上数据组织的术语 (partitions and slices)。 如何在您的系统上增加硬盘。 如何配置 &os; 来使用 USB 存储设备。 如何设置虚拟文件系统，例如内存磁盘。 如何使用配额来限制磁盘空间的使用。 如何增加磁盘安全来预防功击。 如何刻录 CD 和 DVD 。 用于备份的多种存储媒介。 如何在 FreeBSD 上使用备份程序。 如何备份到软磁盘。 文件系统快照是什么， 以及如何有效地使用它们。 在读这章之前，您应该： 知道怎样去配置和安装新的 FreeBSD 内核 (). 设备命名 下面是在 FreeBSD 上被支持的物理存储设备和它们被分配的设备名。 物理磁盘命名规则 驱动器类型 驱动设备命名 IDE 硬盘驱动器 ad IDE CDROM 驱动器 acd SCSI 硬盘以及 USB 大容量存储设备 da SCSI CDROM 驱动器 cd 各类非标准 CDROM 驱动器 用于 Mitsumi CD-ROM 的 mcd 以及用于 Sony CD-ROM 驱动器的 scd Floppy drives fd SCSI tape drives sa IDE tape drives ast Flash drives fla for &diskonchip; Flash device RAID drives aacd for &adaptec; AdvancedRAID, mlxd and mlyd for &mylex;, amrd for AMI &megaraid;, idad for Compaq Smart RAID, twed for &tm.3ware; RAID.
David O'Brien Originally contributed by 添加磁盘 磁盘 添加 假设我们要给一台只有一个磁盘的机器增加一个新的 SCSI 磁盘。首先 需要关掉计算机，然后按操作规程来安装驱动器，控制器和驱动程序。由于 各厂家生产的产品各不相同，具体的安装细节不在此文档介绍之内。 以 root 用户登录。安装完驱动后，检查一下 /var/run/dmesg.boot 有没有找到新的磁盘。在我们 的例子中新增加的磁盘就是 da1，我们从 /1 挂上它。 (如果您正添加 IDE 驱动器， 则设备名应该是 ad1)。 partitions slices fdisk 因为 FreeBSD 运行在 IBM-PC 兼容机上，它必须遵循 PC BIOS 分区规范。 这与传统的 BSD 分区是不同的。一个 PC 的磁盘最高只能有四个 BIOS 主分区。如果磁盘只安装 FreeBSD 您可以使用 dedicated 模式。另外， FreeBSD 必须安装在 PC BIOS 支持的分区内。FreeBSD 把分区叫作 slices 这可能会把人搞糊涂。您也可以在只安装 FreeBSD 的磁盘上使用 slices，也可以在安装有其它操作系统的磁盘上使用 slices。这不会影响其它操作系统的 fdisk 分区工具。 在 slice 方式表示下，驱动器被添加到 /dev/da1s1e。 可以读作：SCSI 磁盘，编号为 1 (第二个SCSI 磁盘)， slice 1 (PC BIOS 分区 1)， 的 BSD 分区 e 。在有些例子中，也可以简化为 /dev/da1e。 由于 &man.bsdlabel.8; 使用 32-位 的整数来表示扇区号， 因此在多数情况下它的表现力限于每个磁盘 2^32-1 个扇区或 2TB。 &man.fdisk.8; 格式允许的起始扇区号不能高于 2^32-1 而分区长度也不能大于 2^32-1， 通常情况下这限制了分区大小最大为 2TB 而磁盘大小则是 4TB。 &man.sunlabel.8; 格式的限制是每个分区 2^32-1 个扇区， 但允许 8 个分区因此最大支持 16TB 的磁盘。 要使用更大的分区， 则应使用 &man.gpt.8;。 使用 &man.sysinstall.8; sysinstall adding disks su 使用 <application>Sysinstall</application> 您可以使用 sysinstall 命令的菜单来分区和标记一个新的磁盘。 这一操作需要有 root 权限， 您可以直接使用 root 账户登录或者使用 su 命令来切换到 root 用户。运行 sysinstall ，然后选择 Configure 菜单。在 FreeBSD Configuration Menu 下，上下滚动， 选择 Fdisk 条目。 <application>fdisk</application> 分区编辑器 进入 fdisk 分区编辑器后，选择 A ，FreeBSD 将使用全部的磁盘。当被告知 remain cooperative with any future possible operating systems时，回答 YES。使用 W 保存刚才的修改。现在使用 q 退出 FDISK 编辑器。下面会看到有关 主引导区 的信息。 现在您已经在运行的系统上添加了一个磁盘， 因此应该选择 None。 Disk Label 编辑器 BSD partitions 接下来，您应该退出 sysinstall 并且再次启动它，并按照上面的步骤直接进入 Label 选项。进入 磁盘标签编辑器。 这就是您要创建的 BSD 分区。一个磁盘最多可以有 8 个分区，标记为 a-h。有几个分区标签有特殊的用途。 a 分区被用来作为根分区(/)。 系统磁盘（例如：从那儿启动的分区）必须有一个 a 分区。b 分区被用作交换分区，可以用很多磁盘用作交 换分区。 c 分区代表整个硬盘，或在 FreeBSD slice 模式下代表整个 slice。其它分区作为一般分区来使用。 sysinstall 的标签编辑器用 e 表示非 root 和非 swap 分区。在标签编辑器中，可以使用键入C 创建一个文件系统。当提示这是否是一个 FS（文件系统）或 swap 时，选择 FS，然后给出一个加载点（如： /mnt）。 当在 post-install 模式时添加一个磁盘， sysinstall 不会在 /etc/fstab 中创建记录，所以是否指定加载点并不重要。 现在已经准备把新标签写到磁盘上，然后创建一个文件系统，可以按下 W。出现任何错误都会不能创建新的分区。可以退出标签编辑 器然后重新执行 sysinstall 。 完成 下面一步就是编辑 /etc/fstab，为您的磁盘添加一个新 记录。 使用命令行工具 使用 Slices 这步安装将允许磁盘与可能安装在您计算机上的其它操作系统一起 正确工作，而不会搞乱其它操作系统的分区。推荐使用这种方法来安装 新磁盘，除非您有更好的理由再使用 dedicated 模式！ &prompt.root; dd if=/dev/zero of=/dev/da1 bs=1k count=1 &prompt.root; fdisk -BI da1 #初始化新磁盘 &prompt.root; bsdlabel -B -w -r da1s1 auto #加上标签 &prompt.root; bsdlabel -e da1s1 # 现在编辑您刚才创建的磁盘分区 &prompt.root; mkdir -p /1 &prompt.root; newfs /dev/da1s1e # 为您创建的每个分区重复这个操作 &prompt.root; mount /dev/da1s1e /1 # 挂上分区 &prompt.root; vi /etc/fstab # 完成之后，添加合适的记录到您的 /etc/fstab文件。 如果有一个 IDE 磁盘，记得要用 ad 替换前面的 da。 专用模式 OS/2 如果您并没有安装其它的操作系统，可以使用 dedicated 模式。记住这种模式可能会弄乱 Microsoft 的操作系统，但不会对它进行破坏。 它不识别找到的 IBM &os2 的 appropriate 分区。 &prompt.root; dd if=/dev/zero of=/dev/da1 bs=1k count=1 &prompt.root; bsdlabel -Brw da1 auto &prompt.root; bsdlabel -e da1 # 创建 `e' 分区 &prompt.root; newfs -d0 /dev/da1e &prompt.root; mkdir -p /1 &prompt.root; vi /etc/fstab # 为 /dev/da1e添加一个记录 &prompt.root; mount /1 另一种方法： &prompt.root; dd if=/dev/zero of=/dev/da1 count=2 &prompt.root; bsdlabel /dev/da1 | bsdlabel -BrR da1 /dev/stdin &prompt.root; newfs /dev/da1e &prompt.root; mkdir -p /1 &prompt.root; vi /etc/fstab # 为 /dev/da1e添加一个记录 &prompt.root; mount /1 RAID 软件 RAID Christopher Shumway Original work by Jim Brown Revised by RAIDsoftware RAIDCCD 连接磁盘驱动器配置 (CCD) 选择一个大容量存储比较好的解决方案，最重要的因素是产品的速度、 性能和成本。 通常这三者不可能都满足;要获得比较快和可靠的大容量存储设备， 就比较昂贵。但如果将成本降下来，那它的速度或可靠性就会打折扣。 在设计下面描述的系统时， 价格被选为最重要的因素， 接下来是速度和性能。 这个系统的数据传输速度基本上受限于网络。 性能也非常重要， CCD 驱动器上的所有数据都被备份到了 CD-R 盘， 可以很容易地对数据进行恢复。 在选择一个大容量的存储解决方案时，第一步是要设计您自己的需求。 如果您的需求更偏重于速度和性能，那么您的解决方案将就不同于上面的设计。 安装硬件 除了 IDE 系统磁盘外，还有三个 Western Digital 30GB、5400 RPM 的 IDE 磁盘构成了大约 90G 的连接磁盘驱动存储空间。 理想情况是每个 IDE 硬盘都独占 IDE 控制器和数据线， 但为了尽可能降低成本， 通常并不会安装更多的控制器， 而是通过配置跳线，使每个 IDE 控制器都管理一个主盘和一个从盘。 重启动后，系统 BIOS 被配置成自动检测硬盘。FreeBSD 检测到它们： ad0: 19574MB <WDC WD205BA> [39770/16/63] at ata0-master UDMA33 ad1: 29333MB <WDC WD307AA> [59598/16/63] at ata0-slave UDMA33 ad2: 29333MB <WDC WD307AA> [59598/16/63] at ata1-master UDMA33 ad3: 29333MB <WDC WD307AA> [59598/16/63] at ata1-slave UDMA33 如果 FreeBSD 没有检测到它们，请确定它们的跳线是否设置 正确。大多数 IDE 磁盘有一个 Cable Select 跳线。这个 不是 设置 master/slave 硬盘的跳线。查阅文档 信息来确定正确的跳线设置。 接下来考虑的是，如何创建文件系统。应该好好研究一下 &man.vinum.8; ()和 &man.ccd.4; 两种方式，在这里我们选择 &man.ccd.4; 安装 CCD &man.ccd.4; 允许用户将几个相同的的磁盘通过一个逻辑文件系统 连接起来。要使用 &man.ccd.4;，您需要在内核中配置 &man.ccd.4; 支持选项。把这行加入到内核配置文件中，然后重建内核： device ccd 对 &man.ccd.4; 的支持也可以内核模块的形式载入。 要安装 &man.ccd.4;, 首先需要使用 &man.bsdlabel.8; 来编辑硬盘： bsdlabel -r -w ad1 auto bsdlabel -r -w ad2 auto bsdlabel -r -w ad3 auto 此处将整个硬盘创建为 ad1c, ad2c 和 ad3c。 下一步是改变 disklable 的类型。也可以使用 &man.bsdlabel.8; 来编辑： bsdlabel -e ad1 bsdlabel -e ad2 bsdlabel -e ad3 这儿在每个已经设置了 EDITOR 环境变量的磁盘上打开了 disklable，在我我例子中使用的是 &man.vi.1;。 可以看到： 8 partitions: # size offset fstype [fsize bsize bps/cpg] c: 60074784 0 unused 0 0 0 # (Cyl. 0 - 59597) 添加一个新的 e 分区给 &man.ccd.4; 用。这可以是 c 分区的一个副本， 但 必须 是 4.2BSD。做完之后，您会看到一面这些： 8 partitions: # size offset fstype [fsize bsize bps/cpg] c: 60074784 0 unused 0 0 0 # (Cyl. 0 - 59597) e: 60074784 0 4.2BSD 0 0 0 # (Cyl. 0 - 59597) 建立文件系统 现在已给每个磁盘都加上了标签，下面需要建立 &man.ccd.4;。要这样做， 需要使用 &man.ccdconfig.8; 工具，同时要提供类似下面的选项： ccdconfig ccd0 32 0 /dev/ad1e /dev/ad2e /dev/ad3e 每个选项的意义和用法如下所示： 配置设备的第一个参数，在这是 /dev/ccd0c。 /dev/ 部分是任选项。 下一个参数是文件系统的插入页(interleave)。插入页定义了一个 磁盘块中一个分段或条带(stripe)的大小，通常是 512 个字节。所以一个为 32 的插入页将是 16,384 字节。 插入页为 &man.ccdconfig.8; 附带了标记。如果您要启用驱动器镜像， 需要在这儿指定它。在这个配置中没有做 &man.ccd.4; 的镜像，所以把它 设为 0 (zero)。 &man.ccdconfig.8; 的最后配置是设备的排列问题。使用完整的设备 路径名。 运行 &man.ccdconfig.8; 后 &man.ccd.4; 就配置好了。现在要创建文件 系统了，参考 &man.newfs.8; 选项，执行下同的命令： newfs /dev/ccd0c 自动创建 最后，要挂上 &man.ccd.4; ，需要先配置它。把当前的配置文件写入 /etc/ccd.conf 中，使用下面的命令： ccdconfig -g > /etc/ccd.conf 当重新启动系统时，如果 /etc/ccd.conf 存在， 脚本 /etc/rc 就运行 ccdconfig -C。 这样就能自动配置 &man.ccd.4; 以到它能被挂上。 如果启动进入了单用户模式，在 &man.mount.8; 上 &man.ccd.4; 之前，需要执行下面的命令来配置队列： ccdconfig -C 要自动挂接 &man.ccd.4;,需要为 &man.ccd.4; 在 /etc/fstab 中配置一个记录，以便在启动时它能被挂上。 如下所示： /dev/ccd0c /media ufs rw 2 2 Vinum 卷管理 RAIDsoftware RAID Vinum Vinum 卷管理是一个实现虚拟磁盘的块驱动设备工具。它使磁盘从 块设备的接口和数据映射中独立出来。与传统的存储设备相比，增加了 灵活性、性能和可靠性。 &man.vinum.8; 实现了 RAID-0、RAID-1 和 RAID-5 三种模式，它们既可以独立使用，也可组合使用。 参考 得到更多 &man.vinum.8; 的信息。 硬件 RAID RAID hardware FreeBSD 支持很多硬件 RAID 控制器。 这些硬件不需要 FreeBSD 指定软件来管理 RAID 系统。 使用 BIOS 支持的硬件，一般情况下这些硬件可以自行操作。 下面是一个简明的描述设置一个 Promise IDE RAID 控制器。 当硬件设备装好且系统重启后，屏幕上显示一个询问信息。接着进入硬件设置屏幕。在这里， 您可以把所有的磁盘联合在一起使用。这样 FreeBSD 将磁盘看作一个驱动器。其它 级别的 RAID 也可以相应的进行设置。 重建 ATA RAID1 阵列 FreeBSD 允许您热插拔阵列中损坏的磁盘。 在您重新启动系统之前请注意这一点。 您可能会在 /var/log/messages 或者在 &man.dmesg.8; 的输出中看到类似下面这些的内容： ad6 on monster1 suffered a hard error. ad6: READ command timeout tag=0 serv=0 - resetting ad6: trying fallback to PIO mode ata3: resetting devices .. done ad6: hard error reading fsbn 1116119 of 0-7 (ad6 bn 1116119; cn 1107 tn 4 sn 11)\\ status=59 error=40 ar0: WARNING - mirror lost 使用 &man.atacontrol.8;，查看更多的信息： &prompt.root; atacontrol list ATA channel 0: Master: no device present Slave: acd0 <HL-DT-ST CD-ROM GCR-8520B/1.00> ATA/ATAPI rev 0 ATA channel 1: Master: no device present Slave: no device present ATA channel 2: Master: ad4 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present ATA channel 3: Master: ad6 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present &prompt.root; atacontrol status ar0 ar0: ATA RAID1 subdisks: ad4 ad6 status: DEGRADED 首先您应将包含故障盘的 ata 通道卸下， 以便安全地将其拆除： &prompt.root; atacontrol detach ata3 换上磁盘 重新挂接 ata 通道： &prompt.root; atacontrol attach ata3 Master: ad6 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present 将新盘作为热备盘加入阵列： &prompt.root; atacontrol addspare ar0 ad6 重建阵列： &prompt.root; atacontrol rebuild ar0 可以通过下面的命令来查看进度： &prompt.root; dmesg | tail -10 [output removed] ad6: removed from configuration ad6: deleted from ar0 disk1 ad6: inserted into ar0 disk1 as spare &prompt.root; atacontrol status ar0 ar0: ATA RAID1 subdisks: ad4 ad6 status: REBUILDING 0% completed 等待操作完成。 Marc Fonvieille Contributed by USB 存储设备 USB disks 到目前为止，有许多外部外部存储解决方案， 例如：通用串行总线 (USB)：硬盘、USB thumbdrives、CD-R burners 等等。 &os; 为这些设备提供了支持。 配置 USB 大容量存储设备驱动，在 &man.umass.4;, 中提供了对 USB 存储设备的支持。如果您使用 GENERIC 内核，您不必要改变配置文件里的任何内容。 如果您使用了定制的内核，就要确定下面的行出现在您的内核配置文件里： device scbus device da device pass device uhci device ohci device usb device umass &man.umass.4; 驱动程序使用 SCSI 子系统来访问 USB 存储设备， 您的 USB 设备将被系统看成为一个 SCSI 设备。依靠您主板上的 USB 芯片， 您只须选择 device uhci 或 device ohci 二者之一即可， 但是两者都加入内核配置文件当中也没有坏外。 不要忘了如果您加入了上面的几行要重新编译和安装内核。 如果您的 USB 设备是一个 CD-R 或 DVD 刻录机， SCSI CD-ROM 驱动程序， &man.cd.4;, 就必须加入内核中通过下面这行： device cd 由于刻录机被视为 SCSI 设备， 因此， 不应该在内核配置文件中使用 &man.atapicam.4; 驱动程序。 在 &os; 中已经提供了对 USB 2.0 控制器的内建支持； 然而， 您必须在编译内核时在配置中加入： device ehci 注意， 如果需要 USB 1.X 的支持， 您仍需要使用 &man.uhci.4; 和 &man.ohci.4; 驱动程序。 测试配置 配置好后准备进行测试：插入您的 USB 设备， 在系统信息中 (&man.dmesg.8;), 应该会出现像下面的设备： umass0: USB Solid state disk, rev 1.10/1.00, addr 2 GEOM: create disk da0 dp=0xc2d74850 da0 at umass-sim0 bus 0 target 0 lun 0 da0: <Generic Traveling Disk 1.11> Removable Direct Access SCSI-2 device da0: 1.000MB/s transfers da0: 126MB (258048 512 byte sectors: 64H 32S/T 126C) 当然啦，商标，设备标识 (da0) 和其它的细节信息会根据您的配置不同 而有所不同。 因为 USB 设备被看作 SCSI 设备中的一个， camcontrol 命令也能够用来列出 USB 存储设备和系统的关联： &prompt.root; camcontrol devlist <Generic Traveling Disk 1.11> at scbus0 target 0 lun 0 (da0,pass0) - 如果设备要作成文件系统，您应该能够挂接它。 - 将帮助您格式化和创建分区在 - USB 设备上，如果您需要。 + 如果设备上已经包含了文件系统， 现在应该就可以挂接它了。 如果需要， + 请参阅 来了解如何在 USB驱动器上格式化和创建分区。 - 如果您要去摘下设备 (在此这前磁盘必须被 unmount)， - 在系统信息中您能够看到下面的信息： + 如果希望设备能够被普通用户挂接， + 还需要做一些其它操作。 首先， 在 USB 存储设备连接到计算机上时， + 系统自动生成的设备文件， 必须是该用户能够读写的。 + 一种做法是让所有属于 operator 组的用户都可以访问该设备。 + 要完成这项工作， 首先需要用 &man.pw.8; 来给用户指定组。 然后， + 在生成设备文件时， operator 组应能读写它们。 + 这可以通过为这些设备在 + /etc/devfs.rules 中增加一些相应的设置来完成： + + add path 'da*' mode 0660 group operator + + + 如果系统中已经有其它 SCSI 磁盘， 则上述操作必须做一些变化。 + 例如， 如果系统中已经存在了设备名为 da0 到 + da2 的磁盘， 则上面那行应改为： + + add path 'da[3-9]*' mode 0660 group operator + + This will exclude the already existing disks from + belonging to the operator + group. + + + 接下来， 需要配置内核， 令普通用户能够挂接文件系统。 + 最简单的方法是将下面的配置加入到 + /etc/sysctl.conf： + + vfs.usermount=1 + + 注意， 这个设置只有在下次重启系统时才会生效。 + 另外， 您也可以使用 &man.sysctl.8; 来设置这个变量。 + + 最后一步是创建将要挂接文件系统的目录。 + 这个目录必须是属于将要挂接文件系统的用户的。 + 以 root 身份为用户建立属于该用户的 + /mnt/$USER + (此处 $USER 应替换成用户的登录名)： + + &prompt.root; mkdir /mnt/$USER +&prompt.root; chown $USER:$USER /mnt/$USER + + 假设已经插入了一个 USB 读卡设备， 并且系统将其识别为 + /dev/da0s1， 由于这些设备通常是 FAT + 文件系统， 用户可以这样挂接它们： + + &prompt.user; mount_msdosfs -m 644 -M 755 /dev/da0s1 /mnt/$USER + + 如果拔出设备 (必须首先将其对应的磁盘卷卸下)， + 则您会在系统消息缓冲区中看到类似下面的信息： umass0: at uhub0 port 1 (addr 2) disconnected (da0:umass-sim0:0:0:0): lost device (da0:umass-sim0:0:0:0): removing device entry GEOM: destroy disk da0 dp=0xc2d74850 umass0: detached 深入阅读 除了 Adding Disks 和 Mounting and Unmounting File Systems 章之外，阅读 &man.umass.4;, &man.camcontrol.8;, 和 &man.usbdevs.8; 也是很有益的。 Mike Meyer Contributed by 创建和使用光学介质(CD) CDROMs creating 介绍 CD 与普通的磁盘相比有很多不同的特性。最初它们是不能被用户写入的。 由于没有磁头和磁道移动时的延迟，所以它们可以连续的进行读取。 方便的在两个系统之间进行数据的传输，比起相同大小的存储介质来说。 CD 有磁道，这关系到数据读取时的连续性而不是物理磁盘的性能。 要在 FreeBSD 中制作一个 CD，您要准备好要写到 CD 上的数据文件， 然后根据每个 tracks 写入到 CD。 ISO 9660 文件系统 ISO 9660 ISO 9660 文件系统被设计用来处理这些差异。 但令人遗憾的是， 它也有一些其他文件系统所没有的限制， 不过幸运的是， 它提供了一项扩展机制， 使得正确写入的 CD 能够超越这些限制， 而又能在不支持这些扩展的系统上正常使用。 sysutils/cdrtools sysutils/ port 包括了 &man.mkisofs.8;， 这是一个可以用来生成包含 ISO 9660 文件系统的数据文件的程序。 他也提供了对于一些扩展的支持选项，下面将详细介绍。 CD burner (刻录机) ATAPI 使用哪个工具来刻录 CD 取决于您的 CD 刻录机是 ATAPI 的， 还是其他类型的。 对于 ATAPI CD 刻录机， 可以使用基本系统附带的 burncd 程序。 SCSI 和 USB CD 刻录机， 则需要配合 cdrecord 程序使用， 它可以通过 sysutils/cdrtools port 安装。 除此之外， 在 ATAPI 接口的刻录机上， 也可以配合 ATAPI/CAM 模块 来使用 cdrecord 以及其它为 SCSI 刻录机撰写的工具。 如果您想使用带图形界面的 CD 刻录软件， 可以考虑一下 X-CD-Roast 或 K3b。 这些工具可以通过使用预编译安装包， 或通过 sysutils/xcdroast 和 sysutils/k3b ports 来安装。 X-CD-Roast 和 K3b 需要 ATAPI/CAM 模块 配合 ATAPI 硬件。 mkisofs &man.mkisofs.8; 程序作为 sysutils/cdrtools port 的一部分， 将生成 ISO 9660 文件系统，其中包含 &unix; 命名空间中的文件名。 最简单的用法是： &prompt.root; mkisofs -o imagefile.iso /path/to/tree 文件系统 ISO 9660 这个命令将创建一个包含 ISO9660 文件系统的 imagefile.iso 文件，它是目录树 /path/to/tree 的一个副本。 在处理过程中， 它将文件名称映射为标准的 ISO9660 文件系统的文件名，将排除那些不典型的 ISO 文件系统的文件。 文件系统 HFS 文件系统 Joliet 有很多选项能够用来克服那些限制。特别的， 选项能够启用 Rock Ridge 扩展一般的 &unix; 系统， 选项能启用用于 Microsoft 系统的 Joliet 扩展， 选项能用来创建用于 &macos; 系统的 HFS 文件系统。 对于那些即将要在 FreeBSD 系统中使用 CD 的人来说， 选项能用来消除所有文件名的限制。当使用 选项时，它会产生一个 文件系统映像，它与您从那儿启动 FreeBSD 树是一样的，虽然它在许多方面也违反了 ISO 9660 的标准。 CDROMs 创建启动光盘 最后一个常用的选项是 。 它用来指定启动映像的位置， 用以生成 El Torito 启动 CD。 这个选项使用一个参数， 用以指定将写入 CD 的目录的根。 默认情况下， &man.mkisofs.8; 会以常说的 软盘模拟 方式来创建 ISO， 因此它希望引导映像文件的尺寸恰好是 1200， 1440 或 2880 KB。 某些引导加载器， 例如 FreeBSD 发行版磁盘， 并不使用模拟模式； 这种情况下， 需要使用 选项。 因此， 如果 /tmp/myboot 是一个包含了启动映像文件 /tmp/myboot/boot/cdboot 的可引导的 FreeBSD 系统， 您就可以使用下面的命令生成 ISO 9660 文件系统映像 /tmp/bootable.iso： &prompt.root; mkisofs -R -no-emul-boot -b boot/cdboot -o /tmp/bootable.iso /tmp/myboot 完成这些工作之后， 如果您的内核中配置了 md， 就可以用下列命令来挂接文件系统了： &prompt.root; mdconfig -a -t vnode -f /tmp/bootable.iso -u 0 &prompt.root; mount -t cd9660 /dev/md0 /mnt 可以发现 /mnt 和 /tmp/myboot 是一样的。 还可以使用 &man.mkisofs.8; 的其它选项来调整它的行为。特别是修改 ISO 9660 的划分格式，创建 Joliet 和 HFS 格式的磁盘。查看 &man.mkisofs.8; 联机手册得到更多的帮助。 burncd CDROMs burning 如果用的是 ATAPI 的 CD 刻录机，可以使用 burncd 　命令来刻录您的 CD ISO 映像文件。 burncd 命令是基本 　系统的一部分，中以使用 /usr/sbin/burncd 来安装。 　用法如下： &prompt.root; burncd -f cddevice data imagefile.iso fixate 在 cddevice 上刻录一份 imagefile.iso 的副本。 默认的设备是 /dev/acd0。 请参考 &man.burncd.8; 以了解设置写入速度的参数，如何在刻录完成之后自动弹出CD，以及刻录音频数据。 cdrecord 如果没有一个 ATAPI CD 刻录机，必须使用 cdrecord 来刻录您的 CD 。 cdrecord 不是基本系统的一部分;必须 从 sysutils/cdrtools 或适当的 package 安装它。基本系统的变化可能会引起这个程序的错误。可能是由 coaster 引起的。当升级系统时，同时需要升级 port， 或者如果您 使用 -STABLE， 那么在升级到新版本时也要升级 port。 cdrecord 有许多选项，基本用法与 burncd 相似。刻录一个 ISO 9660 映像文件只需这样做： &prompt.root; cdrecord dev=device imagefile.iso 使用 cdrecord 的比较巧妙的方法是找到使用的 。要找到正确的设置，可以使用 cdrecord 的 标记，这会产生这样的结果： CDROMs burning &prompt.root; cdrecord -scanbus Cdrecord-Clone 2.01 (i386-unknown-freebsd7.0) Copyright (C) 1995-2004 Jörg Schilling Using libscg version 'schily-0.1' scsibus0: 0,0,0 0) 'SEAGATE ' 'ST39236LW ' '0004' Disk 0,1,0 1) 'SEAGATE ' 'ST39173W ' '5958' Disk 0,2,0 2) * 0,3,0 3) 'iomega ' 'jaz 1GB ' 'J.86' Removable Disk 0,4,0 4) 'NEC ' 'CD-ROM DRIVE:466' '1.26' Removable CD-ROM 0,5,0 5) * 0,6,0 6) * 0,7,0 7) * scsibus1: 1,0,0 100) * 1,1,0 101) * 1,2,0 102) * 1,3,0 103) * 1,4,0 104) * 1,5,0 105) 'YAMAHA ' 'CRW4260 ' '1.0q' Removable CD-ROM 1,6,0 106) 'ARTEC ' 'AM12S ' '1.06' Scanner 1,7,0 107) * 这个列表列出了设备的的适当的 值。找到您的 CD burner ,使用三个用逗号分隔的数值来表示 .在 这个例子中，CRW 是 ，所以正确的输入应是 dev=1,5,0 。有一个很容易的方法可以指定这个值;看看 &man.cdrecord.1; 的介绍了解有关音轨，控制速度和其他的东西。 复制音频 CD 您可以这样复制 CD，把 CD 上面的音频数据解压缩出一系列的文件， 再把这些文件写到一张空白 CD 上。 这个过程对于 ATAPI 和 SCSI 驱动器来说有些微的不同。 SCSI 驱动器 使用 cdda2wav 来解压缩音频。 &prompt.user; cdda2wav -v255 -D2,0 -B -Owav 使用 cdrecord 来写 .wav 文件。 &prompt.user; cdrecord -v dev=2,0 -dao -useinfo *.wav 确保 2,0 被适当地设置了， 具体方法在 中有所描述。 ATAPI 驱动器 ATAPI CD 驱动用 /dev/acddtnn表示每个轨道， 这里 d 是驱动器号， nn 是轨道号，由两位小数位组成，省略前缀零。 所以第一个盘片上的第一个轨道就是 /dev/acd0t01，第二个就是 /dev/acd0t02，第三个就是 /dev/acd0t03，等等。 请务必确认在 /dev 中出现了对应的文件。 如果您发现有某些项目缺失， 则应强制系统重新识别介质： &prompt.root; dd if=/dev/acd0 of=/dev/null count=1 使用 &man.dd.1; 解压缩每个轨道。当解压缩文件的时候您也必须使用 一个特殊的块大小。 &prompt.root; dd if=/dev/acd0t01 of=track1.cdr bs=2352 &prompt.root; dd if=/dev/acd0t02 of=track2.cdr bs=2352 ... 使用 burncd 把解压缩的文件刻录到光盘上。您必须指定 这些文件是音频文件，这样 burncd 会在刻录完成时 结束光盘。 &prompt.root; burncd -f /dev/acd0 audio track1.cdr track2.cdr ... fixate 复制数据 CD 您可以把数据 CD 复制成一个与之等价的映像文件， 可以使用 &man.mkisofs.8; 创建这种文件， 或使用它来复制任何数据 CD。 这里给出的例子假定您的 CDROM 设备是 acd0， 您应将其替换为您实际使用的 CDROM 设备。 &prompt.root; dd if=/dev/acd0 of=file.iso bs=2048 现在您有一个映像文件了，您可以像上面描述的那样把它刻录成 CD。 使用数据 CD 现在您已经创建了一张标准的数据 CDROM，您或许想要 挂载来读取上面的设备。 默认情况下，&man.mount.8; 假定文件系统是 ufs 类型的。如果您尝试下面的命令： &prompt.root; mount /dev/cd0 /mnt 您会得到一条 Incorrect super block 的错误信息，没有挂载成功。CDROM 不是 UFS 文件系统，所以试图这样挂载它是 是不行的。您需要告诉 &man.mount.8; 文件系统是 ISO9660 类型的，这样 就可以了。只需要指定 &man.mount.8; 的 选项。例如， 如果您想要挂载 CDROM 设备， /dev/cd0 到 /mnt 目录，您需要执行： &prompt.root; mount -t cd9660 /dev/cd0 /mnt 注意您的设备名 (在这个例子中是 /dev/cd0)可能 有所不同，取决于您的 CDROM 使用的接口。另外， 选项等同于执行 &man.mount.cd9660.8;。上面的例子可以缩短 为： &prompt.root; mount_cd9660 /dev/cd0 /mnt 用这种方法您基本可以使用任何买到的数据 CDROM。 然而某些有 ISO 9660 扩展的光盘可能会行为古怪。 例如，joliet 光盘用两个字节的 unicode 字符存储所有的文件名。 FreeBSD 内核并不使用 Unicode， 但 &os; CD9660 驱动可以将 Unicode 字符自动转换为内核可以识别的形式。 如果您发现有些非英文字符显示为问号， 就绪要使用 选项来指定字符集了。 欲了解进一步的详情， 请参见联机手册 &man.mount.cd9660.8;。 如果希望通过 选项来进行字符集转换， 则内核会需要加载 cd9660_iconv.ko 模块。 这项工作可以通过在 loader.conf 中加入下列配置： cd9660_iconv_load="YES" 并重新启动计算机来完成， 除此之外， 也可以通过 &man.kldload.8; 来手动加载。 有时候，当您试图挂载 CDROM 的时候，会得到一条 Device not configured 的错误信息。这通常 表明 CDROM 驱动认为托盘里没有光盘， 或者驱动器在总线上不可见。 需要几秒钟时间等待 CDROM 驱动器辨别已经接到反馈的信息， 请耐心等待。 有时候，SCSI CDROM 可能会找不到，因为没有足够的 时间来应答总线的 reset 信号。如果您有一个 SCSI CDROM 请将下面的选项添加到您的内核 配置文件并重建您的内核。 options SCSI_DELAY=15000 这个告诉您的 SCSI 总线启动时暂停 15 秒钟， 给您的 CDROM 驱动器足够的机会来应答 总线 reset 信号。 刻录原始数据 CD 您可以选择把一个文件目录刻录到 CD 上而不用 创建 ISO 9660 文件系统。有些人这么做是为了备份的 目的。这个运行的比刻录一个标准 CD 速度要快得多： &prompt.root; burncd -f /dev/acd1 -s 12 data archive.tar.gz fixate 要重新找回这样刻录到 CD 上的数据， 您必须从原始设备节点读取数据： &prompt.root; tar xzvf /dev/acd1 您不能像挂载一个通常的 CDROM 一样挂载这张光盘。 这样的 CDROM 也不能在除了 FreeBSD 之外的任何操作系统上读出。 如果您想要可以挂载 CD，或者 和另一种操作系统共享数据，您必须像上面描述的那样使用 &man.mkisofs.8;。 Marc Fonvieille Contributed by CD burner ATAPI/CAM driver 使用 ATAPI/CAM 驱动 这个驱动允许 ATAPI 设备(CD-ROM, CD-RW, DVD 驱动器等...)通过 SCSI 子系统访问， 这样允许使用像 sysutils/cdrdao 或者 &man.cdrecord.1; 这样的程序。 要使用这个驱动， 您需要把下面这行添加到 /boot/loader.conf 文件中： atapicam_load="YES" 接下来， 重新启动计算机。 如果您希望将 &man.atapicam.4; 以静态联编的形式加入内核， 则需要在内核配置文件中加入这行： device atapicam 此外还需要在内核配置文件中加入： device ata device scbus device cd device pass 这些应该已经有了。 然后， 重新联编并安装新内核， 并重新启动计算机。 在引导过程中， 您的刻录机将会出现在内核的提示信息中， 就像这样： acd0: CD-RW <MATSHITA CD-RW/DVD-ROM UJDA740> at ata1-master PIO4 cd0 at ata1 bus 0 target 0 lun 0 cd0: <MATSHITA CDRW/DVD UJDA740 1.00> Removable CD-ROM SCSI-0 device cd0: 16.000MB/s transfers cd0: Attempt to query device size failed: NOT READY, Medium not present - tray closed 驱动器现在可以通过 /dev/cd0 设备名访问了，例如要 挂载 CD-ROM 到 /mnt，只需要键入下面的 命令： &prompt.root; mount -t cd9660 /dev/cd0 /mnt 作为 root，您可以运行下面的 命令来得到刻录机的 SCSI 地址： &prompt.root; camcontrol devlist <MATSHITA CDRW/DVD UJDA740 1.00> at scbus1 target 0 lun 0 (pass0,cd0) 这样 1,0,0 就是 SCSI 地址了，可以被 &man.cdrecord.1; 和其他的 SCSI 程序使用。 有关 ATAPI/CAM 和 SCSI 系统的更多信息， 可以参阅 &man.atapicam.4; 和 &man.cam.4; 手册 页。 Marc Fonvieille Contributed by Andy Polyakov With inputs from 创建和使用光学介质(DVD) DVD burning 介绍 和 CD 相比，DVD 是下一代光学存储介质技术。 DVD 可以容纳比任何 CD 更多的数据，已经成为现今视频出版业的标准。 我们称作可记录 DVD 的有五种物理记录格式： DVD-R：这是第一种可用的 DVD 可记录格式。 DVD-R 标准由 DVD Forum 定义。 这种格式是一次可写的。 DVD-RW：这是 DVD-R 标准的可覆写版本。 一张 DVD-RW 可以被覆写大约 1000 次。 DVD-RAM：这也是一种被 DVD Forum 所支持的可覆写格式。 DVD-RAM 可以被看作一种可移动硬盘。 然而，这种介质和大部分 DVD-ROM 驱动器以及 DVD-Video 播放器不兼容； 只有少数 DVD 刻录机支持 DVD-RAM。 请参阅 以了解关于如何使用 DVD-RAM 的进一步详情。 DVD+RW：这是一种由 DVD+RW Alliance 定义的可覆写格式。一张 DVD+RW 可以被覆写大约 1000 次。 DVD+R：这种格式是 DVD+RW 格式的一次可写变种。 一张单层的可记录 DVD 可以存储 4,700,000,000  字节，相当于 4.38 GB 或者说 4485 MB (1 千字节等于 1024 字节)。 必须说明一下物理介质与应用程序的分歧。 例如 DVD-Video 是一种特殊的文件系统， 可以被覆写到任何可记录的 DVD 物理介质上： DVD-R、DVD+R、DVD-RW 等等。在选择介质类型之前， 您一定要确认刻录机和 DVD-Video 播放器 (一种单独的播放器或者计算机上的 DVD-ROM 驱动器) 是和这种介质兼容的。 配置 &man.growisofs.1; 将被用来实施 DVD 刻录。 这个命令是 dvd+rw-tools 工具集 (sysutils/dvd+rw-tools) 的一部分。 dvd+rw-tools 支持所有的 DVD 介质类型。 这些工具将使用 SCSI 子系统来访问设备，因此 ATAPI/CAM 支持 必须加入内核。 如果您的刻录机采用 USB 接口则不需要这么做，请参考 来了解 USB 设备配置的进一步详情。 此外，还需要启用 ATAPI 设备的 DMA 支持。 这一工作可以通过在 /boot/loader.conf 文件中加入下面的行来完成： hw.ata.atapi_dma="1" 试图使用 dvd+rw-tools 之前您应该参考 dvd+rw-tools 硬件兼容性列表 是否有与您的 DVD 刻录机有关的信息。 如果您想要一个图形化的用户界面，您应该看一看 K3b (sysutils/k3b)，它提供了 &man.growisofs.1; 的一个友好界面和许多其他刻录工具。 刻录数据 DVD &man.growisofs.1; 命令是 mkisofs 的前端，它会调用 &man.mkisofs.8; 来创建文件系统布局，完成到 DVD 上的刻录。 这意味着您不需要在刻录之前创建数据映像。 要把 /path/to/data 目录的数据刻录到 DVD+R 或者 DVD-R 上面，使用下面的命令： &prompt.root; growisofs -dvd-compat -Z /dev/cd0 -J -R /path/to/data 选项传递给 &man.mkisofs.8; 用于文件系统创建 (这表示创建带有带有 joliet 和 Rock Ridge 扩展的 ISO 9660 文件系统)， 参考 &man.mkisofs.8; 联机手册了解更多细节。 选项 用来在任何情况下初始刻录会话： 不管多会话与否。 DVD 设备，/dev/cd0， 必须依照您的配置做出改变。 参数会结束光盘， 光盘成为不可附加的。这会提供更多的和 DVD-ROM 驱动器的介质兼容性。 也可以刻录成一个 pre-mastered 映像, 例如记录一个映像文件 imagefile.iso, 我们可以运行： &prompt.root; growisofs -dvd-compat -Z /dev/cd0=imagefile.iso 刻录的速度可以被检测到并自动进行调整， 根据介质和驱动器的使用情况。如果您想强制改变速度， 可以使用 参数。更多的信息，请看 &man.growisofs.1; 联机手册。 DVD DVD-Video 刻录 DVD-Video DVD-Video 是一种特殊的基于 ISO 9660 和 micro-UDF (M-UDF) 规范的文件系统。 DVD-Video 也呈现了一个特殊的数据格式， 这就是为什么您需要一个特殊的程序像 multimedia/dvdauthor 来制作 DVD 的原因。 如果您已经有了 DVD-Video 文件系统的映像， 就可以以同样的方式制作另一个映像，可以参看前面章节的例子。 如果您想制作 DVD 并想放在特定的目录中，如在目录 /path/to/video 中， 可以使用下面的命令来刻录 DVD-Video： &prompt.root; growisofs -Z /dev/cd0 -dvd-video /path/to/video 选项将传递给 &man.mkisofs.8; 并指示它创建一个 DVD-Video 文件系统布局。 除此之外。 选项也包含了 &man.growisofs.1; 选项。 DVD DVD+RW 使用 DVD+RW 不像 CD-RW, 一个空白的 DVD+RW 在每一次使用前必须先格式化。 &man.growisofs.1; 程序将会适时的自动对其进行适当的处理， 这是 recommended 的方式。您也可以使用 dvd+rw-format 来对 DVD+RW 进行格式化： &prompt.root; dvd+rw-format /dev/cd0 您只需要执行这样的操作一次，牢记只有空白的 DVD+RW 介质才需要格式化。您可以以前面章节同样的方式来刻录 DVD+RW。 如果您想刻录新的数据 (刻录一个新的完整的文件系统 而不仅仅是追加一些数据) 到 DVD+RW，您不必再将其格式化成空白盘， 您只须要直接覆盖掉以前的记录即可。 (执行一个新的初始化对话), 像这样： &prompt.root; growisofs -Z /dev/cd0 -J -R /path/to/newdata DVD+RW 格式化程序为简单的向以前的记录追加数据提供了可能性。 这个操作有一个新的会话和一个已经存在的会话合并而成。 它不需要多个写会话过程， &man.growisofs.1; 将在介质上 增加 ISO 9660 文件系统。 例如，我们想追加一些数据到到我们以前的 DVD+RW 上，我们可以使用下面的命令： &prompt.root; growisofs -M /dev/cd0 -J -R /path/to/nextdata 在以后的写操作时， 应使用与最初的刻录会话时相同的 &man.mkisofs.8; 选项。 如果您想获得与 DVD-ROM 驱动更好的兼容性，可以使用 选项。 在 DVD+RW 这种情况下， 这样做并不妨碍您添加数据。 如果出于某种原因您真的想要空白介质盘， 可以执行下面的命令： &prompt.root; growisofs -Z /dev/cd0=/dev/zero DVD DVD-RW 使用 DVD-RW DVD-RW 接受两种光盘格式：增补顺序写入和受限式覆写。默认的 DVD-RW 盘是顺序写入格式。 空白的 DVD-RW 能够直接进行刻录而不需要格式化操作， 然而非空的顺序写入格式的 DVD-RW 需要格式化才能写入新的初始区段。 要格式化一张 DVD-RW 为顺序写入模式，运行： &prompt.root; dvd+rw-format -blank=full /dev/cd0 一次完全的格式化 () 在 1x 倍速的介质上将会花费大约 1 个小时。快速格式化可以使用 选项来进行，如果 DVD-RW 要以 Disk-At-Once (DAO) 模式刻录的话。要以 DAO 模式刻录 DVD-RW，使用命令： &prompt.root; growisofs -use-the-force-luke=dao -Z /dev/cd0=imagefile.iso 选项不是必需的， 因为 &man.growisofs.1; 试图最低限度的检测 (快速格式化) 介质并进行 DAO 写入。 事实上对于任何 DVD-RW 都应该使用受限式覆写模式， 这种格式比默认的增补顺序写入更加灵活。 在一张顺序 DVD-RW 上写入数据，使用和其他 DVD 格式相同的指令： &prompt.root; growisofs -Z /dev/cd0 -J -R /path/to/data 如果您想在您以前的刻录上附加数据，您必须使用 &man.growisofs.1; 的 选项。然而， 如果您在一张增补顺序写入模式的 DVD-RW 上附加数据， 将会在盘上创建一个新的区段，结果就是一张多区段光盘。 受限式覆写格式的 DVD-RW 在新的初始化区段前不需要格式化， 您只是要用 选项覆写光盘，这和 DVD+RW 的情形是相似的。也可以用和 DVD+RW 同样方式的 选项把现存的 ISO 9660 文件系统写入光盘。 结果会是一张单区段 DVD。 要把 DVD-RW 置于受限式覆写格式， 必须使用下面的命令： &prompt.root; dvd+rw-format /dev/cd0 更改回顺序写入模式使用： &prompt.root; dvd+rw-format -blank=full /dev/cd0 多区段 几乎没有哪个 DVD-ROM 驱动器支持多区段 DVD，它们大多数时候都只读取第一个区段。 顺序写入格式的 DVD+R、DVD-R 和 DVD-RW 可以支持多区段， DVD+RW 和 DVD-RW 受限式覆写格式不存在多区段的概念。 在 DVD+R、DVD-R 或者 DVD-RW 的顺序写入格式下， 一次初始化 (未关闭) 区段之后使用下面的命令， 将会在光盘上添加一个新的区段： &prompt.root; growisofs -M /dev/cd0 -J -R /path/to/nextdata 对 DVD+RW 或者 DVD-RW 在受限式覆写模式下使用这条命令， 会合并新区段到存在的区段中来附加数据。 结果就是一张单区段光盘。 这是在这些介质上用于在最初的写操作之后添加数据的方式。 介质上的一些空间用于区段之间区段的开始与结束。 因此，应该用大量的数据添加区段来优化介质空间。 对于 DVD+R 来说区段的数量限制为 154， 对于 DVD-R 来说大约是 2000，对于双层 DVD+R 来说是 127。 更多的信息 要获得更多的关于 DVD 的信息 dvd+rw-mediainfo /dev/cd0 命令可以运行来获得 更多的信息。 更多的关于 dvd+rw-tools 的信息可以在 &man.growisofs.1; 联机手册找到，在 dvd+rw-tools web site 和 cdwrite mailing list 联接中也可找到。 dvd+rw-mediainfo 命令的输出结果记录， 以及介质的问题会被用来做问题报告。 如果没有这些输出， 就很难帮您解决问题。 使用 DVD-RAM DVD DVD-RAM 配置 DVD-RAM 刻录机通常使用 SCSI 或 ATAPI 两种接口之一。 对于 ATAPI 设备， DMA 传输模式必须手工启用。 这一工作可以通过在 /boot/loader.conf 文件中增加下述配置来完成： hw.ata.atapi_dma="1" 初始化介质 如本章前面的介绍所言， DVD-RAM 可以视为一移动硬盘。 与任何其它型号的移动硬盘类似， 首次使用它之前， 应首先 初始化 DVD-RAM。 在下面的例子中， 我们将在全部空间上使用标准的 UFS2 文件系统： &prompt.root; dd if=/dev/zero of=/dev/acd0 count=2 &prompt.root; bsdlabel -Bw acd0 &prompt.root; newfs /dev/acd0 您应根据实际情况将 acd0 改为您所使用的设备名。 使用介质 一旦您在 DVD-RAM 上完成了前面的操作， 就可以像普通的硬盘一样挂接它了： &prompt.root; mount /dev/acd0 /mnt 然后就可以正常地对 DVD-RAM 进行读写了。 Julio Merino 原作 Martin Karlsson 重写 创建和使用软盘 把数据存储在软盘上有时也是十分有用的。 例如， 在没有其它可靠的存储介质， 或只需将少量数据传到其他计算机时。 这一章将介绍怎样在 FreeBSD 上使用软盘。 在使用 DOS 3.5 英寸软盘时首要要涉及的就是格式化， 但其概念与其它的软盘格式化极为类似。 格式化软盘 设备 软盘的访问像其它设备一样是通过在 /dev 中的条目来实现的。 直接访问软盘时， 只需简单地使用 /dev/fdN 来表示。 格式化 一张软盘在使用这前必须先被低级格式化。 通常卖主已经做过了，但格式化是检测介质完整性的一种好方法。 尽管这有可能会强取大量（或少量）的硬盘大小，但 大部分磁盘都能被格式化设计为 1440kB 。 低级格式化软盘你需要使用 &man.fdformat.1; 命令。这个程序需要设备名作为参数。 要留意一切错误信息，这些信息能够帮助你确定 磁盘的好与坏。 软盘的格式化 使用 /dev/fdN 设备来格式化软盘。插入一张新的 3.5 英寸的软盘在你的设备中： &prompt.root; /usr/sbin/fdformat -f 1440 /dev/fd0 磁盘标签 经过低级格式化后， 你需要给它分配一个标签。 这个磁盘标签以后会被删去， 但系统需要使用它来确定磁盘的尺寸。 新的磁盘标签将会接管整个磁盘，会包括所有合适的关于软盘的 geometry 信息。 磁盘标签的 geometry 值列在 /etc/disktab中。 现在可以用下面的方法来使用 &man.bsdlabel.8; 了： &prompt.root; /sbin/bsdlabel -B -r -w /dev/fd0 fd1440 文件系统 现在对软盘进行高级格式化。 这会在它上面安置一个新的文件系统，可使 FreeBSD 来对它进行读写。 在创建完新的文件系统后，磁盘标签将被消毁，所以如果你想重新格式化磁盘， 你必须重新创建磁盘标签。 软盘的文件系统可以选择 UFS 或 FAT 。 FAT 是通常情况下软盘比较好的选择。 要制作新的文件系统在软盘上，可以使用下面的命令： &prompt.root; /sbin/newfs_msdos /dev/fd0 现在磁盘已经可以进行读取和使用。 使用软盘 要使用软盘，需要先使用 &man.mount.msdosfs.8; 挂接它。 除此之外， 也可以使用在 ports 套件中的 emulators/mtools 程序。 用磁带机备份 tape media 主流的磁带机有 4mm, 8mm, QIC, mini-cartridge 和 DLT。 4mm (DDS: Digital Data Storage) tape media DDS (4mm) tapes tape media QIC tapes 4mm 磁带机正在逐步取代 QIC 成为工作站备份数据的首选设备。 在 Conner 收购了 QIC 磁带机领域领先的制造商 Archive 之后不久， 即不再生产这种磁带机， 这使得这一趋势变得愈加明显。 4mm 的驱动器更加小和安静，但对于数据保存的可靠性仍不及 8mm 驱动器。它要比 8mm 的便宜和小得多 (3 x 2 x 0.5 inches, 76 x 51 x 12 mm) 。和 8mm 的一样，读写关的寿命都不长，因为它们同样使用螺旋式 的方式来读写。 这些设备的数据传输的速度约在 ~150 kB/s 到 ~500 kB/s 之间， 存储空间从 1.3 GB 到 2.0 GB 之间，硬件压缩可使空间加倍。磁带库 单元可以有 6 台磁带机，120 个磁带匣，以自动切换的方式使用同一个磁带柜， 磁带库的容量可达 240 GB 。 DDS-3 标准现在支持的磁带机容量最高可达到 12 GB (或压缩的 24 GB )。 4mm 和 8mm 同样都使用螺旋式读写的方式，所有螺旋式读写的优点及缺点， 都可以在 4mm 和 8mm 磁带机上看到。 磁带在经过 2,000 次的使用或 100 次的全部备份后，就该退休了。 8mm (Exabyte) tape media Exabyte (8mm) tapes 8mm 磁带机是最常见的 SCSI 磁带机，也是磁带交换的最佳选择。几乎每个 工作站都有一台 2 GB 8mm 磁带机。8mm 磁带机可信度高、方便、安静。 卡匣小 (4.8 x 3.3 x 0.6 inches; 122 x 84 x 15 mm)而且不贵。8mm 磁带机 的下边是一个短短的读写头，而读写头的寿命取决于磁带经过读写头时，相对高 速运动情况。 数据传输速度约在 250 kB/s 到 500 kB/s 之间，可存储的空间从 300 MB 到 7 GB，硬件压缩可使空间加倍。磁带库单元可以有 6 台磁 带机，120 个磁带匣，以自动切换的方式使用同一个磁带柜，磁带库的容量可达 840+ GB。 Exabyte Mammoth 模型支持 12 GB 的容量在一个磁带 上(压缩后可达 24 GB )相当于普通磁带的二倍。 数据是使用螺旋式读写的方式记录在磁带上的，读写头和磁带约相差 6 度， 磁带以 270 度缠绕着轴，并抵住读写头，轴适时地旋转，使得磁带具有高密度， 从一端到另一端并可使磁道紧密地分布。 QIC tape media QIC-150 QIC-150 磁带和磁带机可能是最常见的磁带机和介质了。 QIC 磁带机是最便宜的 正规 备份设备。 它的缺点在于介质的价格较高。 QIC 磁带要比 8mm 或 4mm 磁带贵， 每 GB 的数据存储价格可能最高高出 5 倍。 但是， 如果您的需求能够为半打磁带所满足的话， 那么 QIC 可能是明智之选。 QIC 是 最 常见的磁带机。 每个站点都会有某种密度的 QIC。 这有时是一种麻烦， QIC 有很多在外观上相似（有时一样），但是密度不同的磁带。 QIC 磁带机噪音很大。 它们在寻址以及读写时都会发出声音。 QIC 磁带的规格有 (6 x 4 x 0.7 英寸； 152 x 102 x 17 毫米)。 数据传输的速度介于 150 kB/s 到 500 kB/s 之间，可存储的空间 从 40 MB 到 15 GB。较新的 QIC 磁带机具有硬件压缩的功能。 QIC 的使用率愈来愈低，渐渐被 DAT 所取代。 数据以磁道的方式记录在磁带上，磁道数及磁道的宽度会根据容量而有所不同。 通常新的磁带机具有的向后兼容的读取功能（通常也具备写入的功能）。对于数据 的安全性，QIC 具有不错的评价。 磁带机在经过 5,000 次的使用后，就该退休了。 DLT tape media DLT 在这一章列出的磁带机中 DLT 具有最快的数据传输率。 1/2" (12.5mm) 的 磁带包含在单轴的磁带匣 (4 x 4 x 1 inches; 100 x 100 x 25 mm)中。磁带匣 的一边是一个旋转匣道，通过匣道的开合，可以让磁带卷动。磁带匣内只有一个 轴，而本章中所提到的其他磁带匣都是有两个轴的（9磁道磁带机例外）。 数据传输的速度约 1.5 MB/s，是 4mm, 8mm, 或 QIC 磁带机的三倍。 可存储的空间从 10 GB 到 20 GB，具有磁带机数据库。磁带机数据库 单元可以有 1 to 20 台磁带机，5 到 900 个磁带匣，磁带机数据库的容量可达 50 GB 到 9 TB 。 如果要压缩的话，DLT 型 IV 格式的磁带机最高可支持 70 GB 的存储 容量。 数据存储在平行于磁带运行方向的磁道上（就像 QIC 磁带），一次写入两个 磁道。读写头的寿命相当长，每当磁带停止前进，磁带与读写头之间没有相对运动。 AIT tape media AIT AIT 是 Sony 开发的一种新格式，每个磁带最高可以存储 50 GB。磁带 机使用内存芯片来保存磁带上的索引内容。这个索引能够被磁带机驱动器快速阅读 来搜索磁带机上文件所处的位置，而不像其他的磁带机需要花几分钟的时间才能找 到文件。像 SAMS:Alexandria 这样的软件：能够操 作四十或者更多的 AIT 磁带库，直接使用内存芯片来进行通信把内容显示在屏幕上， 以决定把什么文件备份到哪个磁带上，加载和恢复数据。 像这样的库成本大概在 $20,000 美元左右，零售市场可能还要贵一点。 第一次使用新的磁带机 当在一块完全空白的磁带上尝试定入数据时，会得到类似下面这样的错误信息： sa0(ncr1:4:0): NOT READY asc:4,1 sa0(ncr1:4:0): Logical unit is in process of becoming ready 信息指出这块磁带没有块编号 (block 编号为 0)。在 QIC-525 之后的所有 QIC 磁带，都采用 QIC-525 标准，必须写入一个 Identifier Block 。对于这种问题， 有以下两种解决的办法： 用mt fsf 1 可以让磁带机对磁带写入 Identifier Block 。 使用面板上的按钮磁带。 再插入一次，并存储 dump 数据到磁带上。 这时dump 将传回 DUMP: End of tape detected ，然后您会得到这样的错误信息： HARDWARE FAILURE info:280 asc:80,96。 这时用 mt rewind 来倒转磁带。 磁带操作的后续操作就完成了。 用软盘备份 能够使用软盘来备份数据吗 backup floppies floppy disks 软磁盘通常是用来备份的设备中不太合适的设备： 这种设备不太可靠，特别是长期使用。 备份和恢复都很慢 它们只有非常有限的存储容量。 然而，如果没有其它的备份数据的方法，那软盘备份总比没有备份要好。 如果必须使用软盘的话，必须确保盘片的质量。软盘在办公室中使用已经有许多 年了。最好使用一些名牌厂商的产品以确保质量。 如何备份数据到软盘 最好的备份数据到软盘的方法是使用 &man.tar.1; 程序加上 选项， 它可以允许数据备份到多张软盘上。 要备份当前目录中所有的文件可以使用这个命令 (需要有 root权限)： &prompt.root; tar Mcvf /dev/fd0 * 当第一张盘满的时候， &man.tar.1; 会指示您插入下一张盘，插入第二张盘之后就按回车。 Prepare volume #2 for /dev/fd0 and hit return: 这个步骤可能需要重复很多次，直到这些文件备份完成为止。 可以压缩备份吗 tar gzip compression 不幸的是，&man.tar.1; 在为多卷文件作备份时是不允许使用 选项的。当然，可以用 &man.gzip.1; 压缩所有的文件，把它们打包到磁盘，以后在用 &man.gunzip.1; 解开。 如何恢复备份 要恢复所有文件： &prompt.root; tar Mxvf /dev/fd0 有两种方法来恢复软盘中的个别文件。首先，就要用第一张软盘启动： &prompt.root; tar Mxvf /dev/fd0 filename &man.tar.1; 程序会提示您插入后面的软盘，直到它找到所需要的文件。 如果您知道哪个文件在哪个盘上，您就可以插入那张盘，然后使用上同同样的命令。 如果软盘上的第一个文件与前面的文件是连续的，那 &man.tar.1; 命令会警告您它无法 恢复，即使您不要求它这样做。 Lowell Gilbert 原作 备份策略 设计备份计划的第一要务是确认以下问题皆已考虑到： 磁盘故障 文件的意外删除 随机的文件损毁 机器完全损毁 (例如火灾)， 包括破坏全部在线备份。 针对上述的每个问题采用完全不同的技术来解决是完全可行的。 除了只包含少量几乎没有价值数据的个人系统之外， 一般来说很少有一种技术能够同时兼顾前面所有的需要。 可以采用的技术包括： 对整个系统的数据进行存档， 备份到永久性的离线介质上。 这种方法实际上能够提供针对前面所有问题的保护， 但这样做通常很慢， 而且恢复时会比较麻烦。 您可以将备份置于近线或在线的状态， 然而恢复文件仍然是一个难题， 特别是对没有特权的那些用户而言。 文件系统快照。 这种技术实际上只对无意中删除文件这一种情况有用， 但在这种情况下它会提供 非常大 的帮助， 而且访问迅速， 操作容易。 直接复制整个文件系统和/或磁盘 (例如周期性地对整个机器做 &man.rsync.1;)。 通常这对于在网络上的单一需求最为适用。 要为磁盘故障提供更为通用的保护， 通常这种方法要逊于 RAID。 对于恢复无意中删除的文件来说， 这种方法基本上与 UFS 快照属于同一层次， 使用哪一个取决于您的喜好。 RAID。 它能够最大限度地减少磁盘故障导致的停机时间。 其代价是需要处理更为频繁的磁盘故障 (因为磁盘的数量增加了)， 尽管这类故障不再需要作为非常紧急的事项来处理。 检查文件的指纹。 &man.mtree.8; 工具对于这种操作非常有用。 尽管这并不是一种备份的技术， 但它能够确保您有机会注意到那些您需要求助于离线备份的事情。 这对于离线备份非常重要， 而且应有计划地加以检查。 很容易列举更多的技术， 它们中有许多实际上是前面所列出的方法的变种。 特别的需求通常会需要采用特别的技术 (例如， 备份在线运行的数据库， 往往需要数据库软件提供某种方法来完成中间步骤) 来满足。 最重要的事情是， 一定要了解需要将数据保护起来免受何种风险， 以及发生问题时应该如何处理。 备份程序 有三个主要的备份程序 &man.dump.8;、&man.tar.1; 和 &man.cpio.1;。 Dump 和 Restore 备份软件 dump / restore dump restore dump 和 restore 是 &unix; 传统的备份程序。它以 block 而不是以文件为单位来备份数据、链接或目录。 dump 备份的是设备上的整个文件系统，不能只备份一 一个文件系统的部分或是用到两个以上文件系统的目录树。 dump 不会写文件和目录到磁带机，而是写入包含文件 和目录的原始数据块。 如果在您的 root 目录使用 dump ，将不需要 备份 /home、/usr 或其他目录， 因为这些是典型的其他文件系统或符号连接到那些文件系统的加载点。 dump 是最早出现于 AT&T UNIX 的 Version 6 (约 1975)。 默认的参数适用于 9-track 磁带(6250 bpi)，所以如果要用高密度的磁带（最高可达 62,182 ftpi），就不能用默认的参数，而要另外指定参数。这些默认值必须在命令行被 修改以更好地利用当前磁带机的功能。 .rhosts rdump 和 rrestore 可以通过网络在另一 台计算机的磁带机上备份数据。这两个程序都是依靠 &man.rcmd.3; 和 &man.ruserok.3; 来访问远程的磁带机。因此，运行备份的用户必须要有远程 主机的 .rhosts 访问权。rdump 和 rrestore 的参数必须适用于远程主机（例如，当您从 FreeBSD 连到 一台 SUN 工作站 knomodo 去使用磁带机时，使用： &prompt.root; /sbin/rdump 0dsbfu 54000 13000 126 komodo:/dev/nsa8 /dev/da0a 2>&1 要注意的是：必须检查您在使用 .rhosts 时的安全情况。 也可以通过使用 ssh 用一个更安全的方式来使用 dump 和 restore 。 通过 <application>ssh</application> 使用 <command>dump</command> &prompt.root; /sbin/dump -0uan -f - /usr | gzip -2 | ssh -c blowfish \ targetuser@targetmachine.example.com dd of=/mybigfiles/dump-usr-l0.gz 或使用 dump　的 built-in 方法， 设置环境变量 RSH： 通过设置 <application>ssh</application> 环境变量 <envar>RSH</envar> 使用 <command>dump</command> &prompt.root; RSH=/usr/bin/ssh /sbin/dump -0uan -f targetuser@targetmachine.example.com:/dev/sa0 /usr <command>tar</command> 备份软件 tar &man.tar.1; 也同样是在第 6 版 AT&T UNIX (大约是 1975 前后) 出现的。 tar 对文件系统直接操作； 其作用是把文件和目录写入磁带。 tar 并不支持 &man.cpio.1; 所提供的全部功能， 但也不需要 cpio 所需要使用的诡异的命令行管道。 tar 在 FreeBSD 5.3 和更高版本中， 同时提供了 GNU tar 和默认的 bsdtar。 GNU 的版本可以通过 gtar 来使用。 它通过与 rdump 一样的语法来支持远程设备。 要 tar 到连接在名为 komodo 的 Sun 机器上的 Exabyte 磁带机， 可以使用： &prompt.root; /usr/bin/gtar cf komodo:/dev/nsa8 . 2>&1 您也可以让 bsdtar 通过管道和 rsh 将数据发送到远程的磁带机上。 &prompt.root; tar cf - . | rsh hostname dd of=tape-device obs=20b 如果您担心通过网络备份会有安全问题，应当使用 ssh ， 而不是 rsh。 <command>cpio</command> backup software cpio &man.cpio.1; 是 &unix; 最早用来作文件交换的磁带机程序。它有执行字节 交换的选项，可以用几种不同的格式写入，并且可以将数据用管道传给其他程序。 cpio 没办法自动查找目录树内的文件列表，必须通过标准 输入 stdin 来指定。 cpio cpio 不支持通过网络的备份方式。可以使用 pipeline 和 rsh 来传送数据给远程的磁带机。 &prompt.root; for f in directory_list; do find $f >> backup.list done &prompt.root; cpio -v -o --format=newc < backup.list | ssh user@host "cat > backup_device" 这里的 directory_list 是要备份的目录列表， user@host 结合了将 要执行备份的用户名和主机名，backup_device 是写 入备份的设备（如 /dev/nsa0）。 <command>pax</command> backup software pax pax POSIX IEEE &man.pax.1; 是符合 IEEE/&posix; 标准的程序。多年来各种不同版本 的 tar 和 cpio 间有些不兼容。 为了防止这种情况，并使其标准化，&posix; 出了这套新的工具程序。 pax 尝试可以读写各种 cpio 和 tar 的格式，并可以自己增加新的格式。它的命令 集比 tar 更接近 cpio。 <application>Amanda</application> backup software Amanda Amanda Amanda (Advanced Maryland Network Disk Archiver) 并非单一的程序，而是一个客户机/服务器模式的备份系统 。一台 Amanda 服务器可以备份任意数量执行 Amanda 的客户机或是将连上 Amanda 服务器的计算机上的数据备份到一台磁带机上。一个常见的问题是，数据写入磁带机的时间将超 过取行数据的时间，而 Amanda 解决了这个问题。它使用一个 holding disk 来同时备份几个文件系统。 Amanda 建立 archive sets 的一组磁带，用来备份在 Amanda 的配置文件中所列出的完整的文件系统。 Amanda 配置文件提供完整的备份控制及 Amanda 产生的网络传输。 Amanda 可以使用上述任何一个设备程序来向磁带写入数据。Amanda 可以从 port 或 package 取得，它并非系统默认安装的。 Do Nothing 备份策略 Do nothing 不是一个程序，而是被广泛使用的备份策略。 不需要预算，不需要备份的计划表，全部都不用。如果您的数据发生了什么问题， 忽略它！ 如果您的时间和数据不值得您做这些事，那么 Do nothing 将是最好的备份程序。要注意的是，&unix; 是相当好用的工具，您可能在几个月 内，就发现您已经收集了不少对您来说相当具有价值的文件和程序。 Do nothing 对于像 /usr/obj 和其他 可由您的计算机产生的文件来说，是最好的方法。例如这本手册包含有 HTML 或 &postscript; 格式的文件。这些文档格式是从 SGML 输入文件创建的。创建 HTML 或 &postscript; 格式的文件的备份就没有必要了。只要经常备份 SGML 文件就够了。 哪个备份程序最好？ LISA 在&man.dump.8; 时期 Elizabeth D. Zwicky 测试了所有以上列出的备份程序。在各种各样怪异的文件系统中， dump 是您明智的选择。Elizabeth 建立起各种各样、 奇怪或常见的文件系统，并用各种备份程序，测试在各种文件系统上备份 及恢复数据。这些怪异之处包括：具有 holes 和一个 nulls block 的文件， 文件名具有有趣字符，无法读写的文件及设备，在备份时改变文件大小，在 备份时建立或删除的文件。她将结果刑在： LISA V in Oct. 1991. See torture-testing Backup and Archive Programs. 应急恢复程序 在出现灾难前 在遇到灾难前，只需要执行以下四个步骤： bsdlabel 第一，打出您的每个磁盘驱动器的磁盘标签 (例如： bsdlabel da0 | lpr)，文件系统表， (/etc/fstab) ，以及所有启动信息， 并将其复制两份。 fix-it floppies 第二，确定遇到的情况时，用来启动及修复的软盘 (boot.flp 和 fixit.flp) 具有您所有的设备代号。最简单的方法是用软盘启动，然后检查启动信息， 如果设备都被列出，并且可以正常使用，就可以跳到第三步。 否则，必须建立两张传统的可启动软盘，并包含： fdisk, bsdlabel, newfs, mount, 以及所有使用的 备份程序。这些程序必须被静态的连接。如果使用的是 dump， 那么这张软盘就必须包含 restore。 第三，定期将数据备份到磁带。任何在上次备份后的改变都无法恢复。记得将 磁盘写保护。 第四，测试在第二步所建立的软盘及备份的磁带，将过程记录下来，并和这张 可启动的软盘和磁带放在一起。也许您在恢复时会想要，而这份记录将防止您破坏 您的磁带 (怎么说呢？因为您可能将 tar xvf /dev/sa0 打成 tar cvf /dev/sa0 而重写了备份磁带)。 为了安全，您可以每次都做两份备份磁带及一张启动磁盘，并将其中 一份备份磁带存放在其它地方。其它地方不是指同一栋办公大楼的地下室 (世贸中心的一些公司应该学到了一些教训)，而是真的要让人的磁带离您 的的计算机远远的。 一个建立启动磁盘的 shell 脚本例子： /mnt/sbin/init gzip -c -best /sbin/fsck > /mnt/sbin/fsck gzip -c -best /sbin/mount > /mnt/sbin/mount gzip -c -best /sbin/halt > /mnt/sbin/halt gzip -c -best /sbin/restore > /mnt/sbin/restore gzip -c -best /bin/sh > /mnt/bin/sh gzip -c -best /bin/sync > /mnt/bin/sync cp /root/.profile /mnt/root cp -f /dev/MAKEDEV /mnt/dev chmod 755 /mnt/dev/MAKEDEV chmod 500 /mnt/sbin/init chmod 555 /mnt/sbin/fsck /mnt/sbin/mount /mnt/sbin/halt chmod 555 /mnt/bin/sh /mnt/bin/sync chmod 6555 /mnt/sbin/restore # # create the devices nodes # cd /mnt/dev ./MAKEDEV std ./MAKEDEV da0 ./MAKEDEV da1 ./MAKEDEV da2 ./MAKEDEV sa0 ./MAKEDEV pty0 cd / # # create minimum file system table # cat > /mnt/etc/fstab < /mnt/etc/passwd < /mnt/etc/master.passwd < 出现灾难后 关键问题是： 您的硬件是否幸免于难？ 由于已经做好了定期的备份工作， 因此并不需要担心软件的问题。 如果硬件已经损毁， 这些部分应该在尝试使用计算机之前换掉。 如果硬件还能用， 检查一下您的软盘。 如果使用定制的引导软盘， 启动单用户模式 (在 boot: 提示后输入 -s)。 跳过下面一段。 如果您使用 boot.flp 和 fixit.flp 软盘， 请继续阅读。 将 boot.flp 软盘插到计算机的第一个软驱并启动机器。 此时， 最初的安装菜单将显示在屏幕上。 选择 Fixit--Repair mode with CDROM or floppy. 选项。 在得到提示后插入 fixit.flp 。 restore 以及其他需要的程序， 可以在 /mnt2/rescue (对于 &os; 5.2 之前的版本， 则是 /mnt2/stand)。 分别恢复每一个文件系统 mount root partition bsdlabel newfs 试着 mount 上您的第一个磁盘的 root 分区(例如： mount /dev/da0a /mnt)。假如这个磁盘标签已经损坏，使用 bsdlabel 来重新分割并分配磁盘标签（利用您以前保留下来的数据）。使用 newfs 来建立文件系统，并重新挂上软盘读写的 root 分区 (mount -u -o rw /mnt)。然后使用备份程序及备份磁带来修复文件系统 (例如： restore vrf /dev/sa0)。最后 Unmount 这个文件系统 (例如： umount /mnt)。对于每个损坏的文件系统都重复一次。 当您的系统正常启动后，将您的数据备份到新的磁带。任何造成数据丢失的 的灾难都可能再次发生。现在花一些时间，也许可以使您免于下次的灾难。 * I Did Not Prepare for the Disaster, What Now? ]]> Marc Fonvieille Reorganized and enhanced by 网络、内存和 和以及映像文件为介质的虚拟文件系统 virtual disks 磁盘 虚拟 除了插在您计算机上的物理磁盘： 软盘、 CD、 硬盘驱动器， 等等之外， FreeBSD 还能识别一些其他的磁盘形式 - 虚拟磁盘。 NFS Coda disks memory 这还包括， 如 网络文件系统 (Network File System) 和 Coda一类的网络文件系统、 内存以及映像文件为介质的虚拟文件系统。 随运行的 FreeBSD 版本不同， 用来创建和使用以映像文件介质文件系统和内存文件系统的工具也不尽相同。 系统会使用 &man.devfs.5; 来创建设备节点， 这对用户来说是透明的。 以映像文件为介质的文件系统 disks (磁盘) file-backed (采用文件作为介质) 在 FreeBSD 系统中， 可以用 &man.mdconfig.8; 程序来配置和启用内存磁盘， &man.md.4;。 要使用 &man.mdconfig.8;， 就需要在内核配置文件中添加 &man.md.4; 模块来支持它： device md &man.mdconfig.8; 命令支持三种类型的虚拟文件系统： 使用 &man.malloc.9;，来分配内存文件系统，内存文件系统作为文件或作为 备用的交换分区。一种使用方式是在文件中来挂载一个软盘和 CD 镜像。 将一个暨存的映像文件作为文件系统挂载： 使用 <command>mdconfig</command> 挂载已经存在的映像文件 &prompt.root; mdconfig -a -t vnode -f diskimage -u 0 &prompt.root; mount /dev/md0 /mnt 使用 &man.mdconfig.8; 来创建新的映像文件: 使用 <command>mdconfig</command> 将映像文件作为文件系统挂载 &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; mdconfig -a -t vnode -f newimage -u 0 &prompt.root; bsdlabel -w md0 auto &prompt.root; newfs md0a /dev/md0a: 5.0MB (10224 sectors) block size 16384, fragment size 2048 using 4 cylinder groups of 1.25MB, 80 blks, 192 inodes. super-block backups (for fsck -b #) at: 160, 2720, 5280, 7840 &prompt.root; mount /dev/md0a /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0a 4710 4 4330 0% /mnt 如果没有通过 选项指定一个标识号 &man.mdconfig.8; 将使用 &man.md.4; 为它自动选择一个未用的设备标识号。 分配给它的标识名将被输出到标准输出设备， 其形式是与 md4 类似。 如果希望了解更多相关信息， 请参见联机手册 &man.mdconfig.8;。 &man.mdconfig.8; 功能很强大， 但在将映像文件作为文件系统挂载时， 仍需使用许多行的命令。 为此 FreeBSD 也提供了一个名为 &man.mdmfs.8; 的工具， 该程序使用 &man.mdconfig.8; 来配置 &man.md.4; 设备， 并用 &man.newfs.8; 在其上创建 UFS 文件系统， 然后用 &man.mount.8; 来完成挂载操作。 例如， 如果想创建和挂接像上面那样的文件系统映像， 只需简单地执行下面的步骤： 使用 <command>mdmfs</command> 命令配置和挂载一个映像文件为文件系统 &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; mdmfs -F newimage -s 5m md0 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0 4718 4 4338 0% /mnt 如果你使用没有加标识号的 选项， &man.mdmfs.8; 将使用 &man.md.4; 的自动标示号特性来自动为其 选择一个未使用的设备。更详细的 &man.mdmfs.8;，请参考联机手册。 以内存为介质的文件系统 disks (磁盘) 内存文件系统 一般来说， 在建立以内存为介质的文件系统时， 应使用 交换区作为介质 (swap backing)。 使用交换区作为介质， 并不意味着内存盘将被无条件地换出到交换区， 它只是表示将根据需要从可换出的内存池中分配内存。 此外， 也可以使用 &man.malloc.9; 创建以内存作为介质的文件系统。 不过在内存不足时， 这种方式可能引致系统崩溃。 用 <command>mdconfig</command> 创建新的内存盘设备 &prompt.root; mdconfig -a -t swap -s 5m -u 1 &prompt.root; newfs -U md1 /dev/md1: 5.0MB (10240 sectors) block size 16384, fragment size 2048 using 4 cylinder groups of 1.27MB, 81 blks, 192 inodes. with soft updates super-block backups (for fsck -b #) at: 160, 2752, 5344, 7936 &prompt.root; mount /dev/md1 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md1 4718 4 4338 0% /mnt 使用 <command>mdmfs</command> 来新建内存介质文件系统 &prompt.root; mdmfs -s 5m md2 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md2 4846 2 4458 0% /mnt 从系统中移除内存盘设备 磁盘 移除内存盘设备 当不再使用内存盘设备时， 应将其资源释放回系统。 第一步操作是卸下文件系统， 然后使用 &man.mdconfig.8; 把虚拟磁盘从系统中分离， 以释放资源。 例如， 要分离并释放所有 /dev/md4 使用的资源， 应使用命令： &prompt.root; mdconfig -d -u 4 mdconfig -l 命令可以列出关于配置 &man.md.4; 设备的信息。 Tom Rhodes Contributed by 文件系统快照 文件系统 快照 FreeBSD 提供了一个和 Soft Updates 关联的新功能: 文件系统快照 快照允许用户创建指定文件系统的映像，并把它们当做一个文件来对待。 快照文件必须在文件系统正在使用时创建，一个用户对每个文件系统创建的 快照不能大于20个。活动的快照文件被记录在超级块中，所以它们可以在系统 启动的时候一块进行挂接后摘掉。当一个快照不再需要时，可以使用标准的 &man.rm.1; 使用来使其删除。快照可以以任何顺序进行移除，但所有使用 的快照不可能同时进行移除，因为其它的快照将有可能互相引用一些块。 不可改的 文件标志， 是由 &man.mksnap.ffs.8; 在完成创建快照文件时设置的。 &man.unlink.1; 命令是一个特例， 以允许删除快照文件。 快照可以通过 &man.mount.8; 命令创建。 将文件系统 /var 的快照放到 /var/snapshot/snap 可以使用下面的命令： &prompt.root; mount -u -o snapshot /var/snapshot/snap /var 作为选择，你也可以使用 &man.mksnap.ffs.8; 来创建一个快照： &prompt.root; mksnap_ffs /var /var/snapshot/snap 可以查找文件系统中的快照文件 (例如 /var)， 方法是使用 &man.find.1; 命令： &prompt.root; find /var -flags snapshot 当快照文件被创建好后，可以用于下面一些目的： 有些管理员用文件快照来进行备份， 因为快照可以被转移到 CD 或磁带上。 文件系统一致性检查程序 &man.fsck.8; 可以用来检查快照文件。 如果文件系统在挂接前是一致的， 则检查结果也一定是一致的 (也就是不会做任何修改)。 实际上这也正是后台 &man.fsck.8; 的操作过程。 在快照上运行 &man.dump.8; 程序。 dump 将返回包含文件系统和快照的时间戳。&man.dump.8; 也能够抓取快照，使用 标志可以首先创建快照， 完成 dump 映像之后再自动删除它。 用 &man.mount.8; 来挂接快照作为文件系统的一个冻结的镜像。 要 &man.mount.8; 快照 /var/snapshot/snap 运行： &prompt.root; mdconfig -a -t vnode -f /var/snapshot/snap -u 4 &prompt.root; mount -r /dev/md4 /mnt 现在你就可以看到挂接在 /mnt 目录下的 /var 文件系统的快照。 每一样东西都保存的像它创建时的状态一样。 唯一例外的是更早的快照文件将表现为长度为 0 的文件。 用完快照文件之后可以把它卸下，使用： &prompt.root; umount /mnt &prompt.root; mdconfig -d -u 4 想了解更多关于 和 文件系统快照的信息， 包括技术说明， 可以访问 Marshall Kirk McKusick 的 WWW 站点 。 文件系统配额 accounting disk space disk quotas 配额是操作系统的一个可选的功能， 它允许管理员以文件系统为单元， 限制分派给用户或组成员所使用的磁盘空间大小或是使用的总文件数量。 这经常被用于那些分时操作的系统上， 对于这些系统而言， 通常希望限制分派到每一个用户或组的资源总量， 从而可以防止某个用户占用所有可用的磁盘空间。 配置系统来启用磁盘配额 在决定使用磁盘配额前，确信磁盘配额已经在内核中配置好了。只要在在内核 中配置文件中添加下面一行就行了： options QUOTA 在默认情况下 GENERIC 内核是不会启用这个功能的， 所以必须配置、重建和安装一个定制的内核。请参考 FreeBSD 内核配置 这章了解更多有关内核配置的信息。 接下来，需要在 /etc/rc.conf 中启用磁盘配额。可以 通过添加下面这行来完成： enable_quotas="YES" disk quotas checking 为了更好的控制配额时的启动，还有另外一个可配置的变量。通常 启动时，集成在每个文件系统上的配额会被配额检查程序 &man.quotacheck.8; 自动检查。配额检查功能能够确保在配额数据库中 的数据正确地反映了文件系统的数 据情况。这是一个很耗时间的处理进程，它会影响系统的启动时间。如果 想跳过这一步，可以在文件 /etc/rc.conf 加入 下面这一行来达到目的： check_quotas="NO" 最后，要编辑 /etc/fstab 文件，以在每一个 文件系统基础上雇用磁盘配额。这是启用用户和组配额，或同时启用用户 和组配额的地方。 要在一个文件系统上启用每个用户的配额，可以在 /etc/fstab 里添加 选项在要雇用配额文件的系统上。例如： /dev/da1s2g /home ufs rw,userquota 1 2 同样的，要启用组配额，使用 选项来代替 选项。要同时启用用户和组配额，可以这样做： /dev/da1s2g /home ufs rw,userquota,groupquota 1 2 默认情况下，配额文件是存放在文件系统的以 quota.user 和 quota.group 命名的根目录下。可以查看 &man.fstab.5; 联机手册了解更多信息。 尽管联机手册 &man.fstab.5; 提到， 可以为配额文件指定其他的位置， 但并不推荐这样做， 因为不同的配额工具并不一定遵循此规则。 到这儿，可以用新内核重新启动系统。 /etc/rc 将自动 运行适当的命令来创建最初的配额文件，所以并不需要手动来创建任何零长度的配额 文件。 在通常的操作过程中，并不要求手动运行 &man.quotacheck.8;、 &man.quotaon.8;, 或 &man.quotaoff.8; 命令，然而可能需要阅读与他们的操作 相似的联机手册。 设置配额限制 disk quotas limits 一旦您配置好了启用配额的系统，可以检查一下它们是真的有用。 可以这样做： &prompt.root; quota -v 您应该能够看到一行当前正在使用的每个文件系统启用的磁盘配额 使用情况的摘要信息。 现在可以使用 &man.edquota.8; 命令准备启用配额限制。 有几个有关如何强制限制用户或组可以分配到的磁盘空间大小的选项。 您可以限制磁盘存储块的配额， 或文件的数量， 甚至同时限制两者。 这些限制最终可分为两类： 硬限制和软限制。 硬性限制 硬性限制是一种不能越过的限制。 一旦用户达到了系统指定的硬性限制， 他就无法在对应的文件系统分配到更多的资源。 例如， 如果文件系统上分给用户的硬性限制是 500 KB， 而现在已经用掉了 490 KB， 那么这个用户最多还能再分配 10 KB 的空间。 换言之， 如果这时试图再分配 11 KB， 则会失败。 软性限制 而与此相反， 软性限制在一段时间内是允许越过的。 这段时间也称为宽限期， 其默认值是一周。 如果一个用户延缓时间太长的话，软限制将会变成硬限制， 而继续分配磁盘空间的操作将被拒绝。 当用户占用的空间回到软性限制值以下时， 宽限期将重新开始计算。 下面是一个运行 &man.edquota.8; 时看到的例子。当 &man.edquota.8; 命令被调用时，会被转移进 EDITOR 环境变量指派的编辑 器中，允许编辑配额限制。如果环境变量没有设置，默认在 vi 编辑器上进行。 &prompt.root; edquota -u test Quotas for user test: /usr: kbytes in use: 65, limits (soft = 50, hard = 75) inodes in use: 7, limits (soft = 50, hard = 60) /usr/var: kbytes in use: 0, limits (soft = 50, hard = 75) inodes in use: 0, limits (soft = 50, hard = 60) 在每一个启用了磁盘配额的文件系统上，通常会看到两行。一行是 block 限制，另一行是 inode 限制。简单地改变要修改的配额限制的值。 例如，提高这个用户软限制的数值到 500 ，硬限制到 600 ： /usr: kbytes in use: 65, limits (soft = 50, hard = 75) to: /usr: kbytes in use: 65, limits (soft = 500, hard = 600) 当离开编辑器的时候，新的配额限制设置将会被保存。 有时，在 UIDs 的范围上设置配额限制是非常必要的。这可以通过在 &man.edquota.8; 命令后面加上 选项来完成。首先， 给用户分配所需要的配额限制，然后运行命令 edquota -p protouser startuid-enduid。例如，如果 用户 test 已经有了所需要的配额限制，下面的命令 可以被用来复制那些 UIDs 为10,000 到 19,999 的配额限制： &prompt.root; edquota -p test 10000-19999 更多细节请参考 &man.edquota.8; 联机手册。 检查配额限制和磁盘使用 disk quotas checking 既可以使用 &man.quota.1; 也可以使用 &man.repquota.8; 命令来检查 配额限制和磁盘使用情况。 &man.quota.1; 命令能够检查单个用户和组的配置 使用情况。只有超级用户才可以检查其它用户的配额和磁盘使用情况。 &man.repquota.8; 命令可以用来了解所有配额和磁盘的使用情况。 下面是一个使用 quota -v 命令后的输出情况： Disk quotas for user test (uid 1002): Filesystem usage quota limit grace files quota limit grace /usr 65* 50 75 5days 7 50 60 /usr/var 0 50 75 0 50 60 宽限期 前面以 /usr 作为例子。 此用户目前已经比软限制 50 KB 超出了 15 KB， 还剩下 5 天的宽限期。 请注意， 星号 * 说明用户已经超出了其配额限制。 通常， 如果用户没有使用文件系统上的磁盘空间， 就不会在 &man.quota.1; 命令的输出中显示， 即使已经为那个用户指定了配额。 而使用 选项则会显示它们， 例如前面例子中的 /usr/var。 通过 NFS 使用磁盘配额 NFS 配额能够在 NFS 服务器上被配额子系统强迫使用。在 NFS 客户端， &man.rpc.rquotad.8; 命令可以使用 quota 信息用于 &man.quota.1; 命令， 可以允许用户查看它们的 quota 统计信息。 可以这样在 /etc/inetd.conf 中启用 rpc.rquotad： rquotad/1 dgram rpc/udp wait root /usr/libexec/rpc.rquotad rpc.rquotad 现在重启 inetd： &prompt.root; kill -HUP `cat /var/run/inetd.pid` Lucky Green Contributed by
shamrock@cypherpunks.to
 加密磁盘分区 disks encrypting FreeBSD 提供了极好的数据保护措施，防止未受权的数据访问。 文件权限和强制访问控制(MAC)(看 ) 可以帮助预防在操作系统处于运行状态和计算机加电时未受权的第三方访问数据。 但是，和操作系统强制受权不相关的是，如果黑客有物理上访问计算机的可能， 那他就可以简单的把计算机的硬件安装到另一个系统上复制出敏感的数据。 无论攻击者如何取得停机后的硬件或硬盘驱动器本身， &os; GEOM Based Disk Encryption (基于 GEOM 的磁盘加密， gbde) 和 geli 加密子系统都能够保护计算机上的文件系统数据， 使它们免受哪怕是训练有素的攻击者获得有用的资源。 与那些只能加密单个文件的笨重的加密方法不同， gbde 和 geli 能够透明地加密整个文件系统。 明文数据不会出现在硬盘的任何地方。 使用 <application>gbde</application> 对磁盘进行加密 成为 <username>root</username> 配置 gbde 需要超级用户的权力。 &prompt.user; su - Password: 在内核配置文件中添加对 &man.gbde.4; 的支持 在您的内核配置中加入下面一行： options GEOM_BDE 按照 所进行的介绍重新编译并安装内核。 重新引导进入新的内核。 另一种无需重新编译内核的方法， 是使用 kldload 来加载 &man.gbde.4;： &prompt.root; kldload geom_bde 目前， 尚没有可以写到 /boot/loader.conf 中， 以便在系统引导时自动加载这个模块的选项。 准备加密盘 下面这个例子假设您添加了一个新的硬盘在您的系统并将拥有一个单独的加密分区。 这个分区将挂接在 /private目录下。 gbde 也可以用来加密 /home 和 /var/mail， 但是这需要更多的复杂命令来执行。 添加新的硬盘 添加新的硬盘到系统中可以查看在 中的说明。 这个例子的目的是说明一个新的硬盘分区已经添加到系统中如： /dev/ad4s1c。在例子中 /dev/ad0s1* 设备代表系统中存在的标准 FreeBSD 分区。 &prompt.root; ls /dev/ad* /dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1 /dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c /dev/ad0s1a /dev/ad0s1d /dev/ad4 创建一个目录来保存 gbde Lock 文件 &prompt.root; mkdir /etc/gbde gbde lock 文件包含了 gbde 需要访问的加密分区的信息。 没有 lock 文件， gbde 将不能解密包含在加密分区上的数据。 每个加密分区使用一个独立的 lock 文件。 初始化 gbde 分区 一个 gbde 分区在使用前必须被初始化， 这个初始化过程只需要执行一次： &prompt.root; gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c &man.gbde.8; 将打开您的编辑器， 提示您去设置在一个模板文件中的配置变量。 使用 UFS1 或 UFS2，设置扇区大小为 2048： $FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $ # # Sector size is the smallest unit of data which can be read or written. # Making it too small decreases performance and decreases available space. # Making it too large may prevent filesystems from working. 512 is the # minimum and always safe. For UFS, use the fragment size # sector_size = 2048 [...] &man.gbde.8; 将让您输入两次用来加密数据的密钥短语。 两次输入的密钥必须相同。 gbde 保护您数据的能力依靠您选择输入的密钥的质量。 这个提示教您怎样选择一个安全易记的密钥短语， 请看 Diceware Passphrase 网站。 gbde init 命令为您的 gbde 分区创建了一个 lock 文件， 在这个例子中存储在 /etc/gbde/ad4s1c中。 gbde lock 文件 必须 和加密分区上的内容同时备份。 如果发生只有 lock 文件遭到删除的情况时， 就没有办法确定 gbde 分区上的数据是否是解密过的。 另外， 如果没有 lock 文件， 即使磁盘的合法主人， 不经过大量细致的工作也无法访问加密分区上的数据， 而这是在设计 &man.gbde.8; 时完全没有考虑过的。 把加密分区和内核进行关联 &prompt.root; gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c 在加密分区的初始化过程中您将被要求提供一个密码短语。 新的加密设备将在 /dev 中显示为 /dev/device_name.bde： &prompt.root; ls /dev/ad* /dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1 /dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c /dev/ad0s1a /dev/ad0s1d /dev/ad4 /dev/ad4s1c.bde 在加密设备上创建文件系统 当加密设备和内核进行关联后， 您就可以使用 &man.newfs.8; 在此设备上创建文件系统， 使用 &man.newfs.8; 来初始化一个 UFS2 文件系统比初始化一个 UFS1 文件系统还要快，摧荐使用 选项。 &prompt.root; newfs -U -O2 /dev/ad4s1c.bde &man.newfs.8; 命令必须在一个 gbde 分区上执行， 这个分区通过一个存在的 *.bde 设备名进行标识。 挂接加密分区 为加密文件系统创建一个挂接点。 &prompt.root; mkdir /private 挂接加密文件系统。 &prompt.root; mount /dev/ad4s1c.bde /private 校验加密文件系统是否有效 加密的文件系统现在对于 &man.df.1; 应该可见并可以使用。 &prompt.user; df -H Filesystem Size Used Avail Capacity Mounted on /dev/ad0s1a 1037M 72M 883M 8% / /devfs 1.0K 1.0K 0B 100% /dev /dev/ad0s1f 8.1G 55K 7.5G 0% /home /dev/ad0s1e 1037M 1.1M 953M 0% /tmp /dev/ad0s1d 6.1G 1.9G 3.7G 35% /usr /dev/ad4s1c.bde 150G 4.1K 138G 0% /private 挂接已有的加密文件系统 每次系统启动后， 在使用加密文件系统前必须和内核重新进行关联， 校验错误和再次挂接。使用的命令必须由 root用户来执行。 关联 gbde 分区到内核 &prompt.root; gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c 接下来系统将提示您输入在初始化加密的 gbde 分区时所用的密码短语。 校验文件系统错误 加密文件系统不能列在 /etc/fstab 文件中进行自动加载， 在加载前必须手动运行 &man.fsck.8; 命令对文件系统进行错误检测。 &prompt.root; fsck -p -t ffs /dev/ad4s1c.bde 挂接加密文件系统 &prompt.root; mount /dev/ad4s1c.bde /private 加密后的文件系统现在可以有效使用。 自动挂接加密分区 可以创建脚本来自动地附加、 检测， 并挂接加密分区， 然而， 处于安全考虑， 这个脚本不应包含 &man.gbde.8; 密码。 因而， 我们建议这类脚本在控制台或通过 &man.ssh.1; 执行并要求用户输入口令。 除此之外， 系统还提供了一个 rc.d 脚本。 这个脚本的参数可以通过 &man.rc.conf.5; 来指定， 例如： gbde_autoattach_all="YES" gbde_devices="ad4s1c" 在启动时将要求输入 gbde 的口令。 在输入正确的口令之后， gbde 加密分区将被自动挂接。 对于将 gbde 用在笔记本电脑上时， 这就很有用了。 gbde 提供的密码学保护 &man.gbde.8; 采用 CBC 模式的 128-位 AES 来加密扇区数据。 磁盘上的每个扇区都采用不同的 AES 密钥来加密。 要了解关于 gbde 的密码学设计， 包括扇区密钥如何从用户提供的口令字中生成等细节， 请参考 &man.gbde.4;。 兼容性问题 &man.sysinstall.8; 是和 gbde 加密设备不兼容的。 在启动 &man.sysinstall.8; 时必须将 *.bde 设备和内核进行分离，否则在初始化探测设备时将引起冲突。 与加密设备进行分离在我们的例子中使用如下的命令： &prompt.root; gbde detach /dev/ad4s1c 还需要注意的是， 由于 &man.vinum.4; 没有使用 &man.geom.4; 子系统， 因此不能同时使用 gbde 与 vinum 卷。 Daniel Gerzo 撰写者 使用 <command>geli</command> 对磁盘进行加密 从 &os; 6.0 开始提供了一个新的密码学 GEOM class — geli。 它目前由 &a.pjd; 开发。 Geli 与 gbde 不同； 它提供了一些不同的功能， 并采用了不同的方式来进行密码学运算。 &man.geli.8; 最重要的功能包括： 使用了 &man.crypto.9; 框架 — 如果系统中有加解密硬件加速设备， 则 geli 会自动加以利用。 支持多种加密算法 (目前支持 AES、 Blowfish， 以及 3DES)。 允许对根分区进行加密。 在系统启动时， 将要求输入用于加密根分区的口令。 允许使用两个不同的密钥 (例如， 一个 个人密钥 和一个 公司密钥)。 geli 速度很快 — 它只进行简单的扇区到扇区的加密。 允许备份和恢复主密钥。 当用户必须销毁其密钥时， 仍然可以通过从备份中恢复密钥来存取数据。 允许使用随机的一次性密钥来挂接磁盘 — 这对于交换区和临时文件系统非常有用。 更多 geli 功能介绍可以在 &man.geli.8; 联机手册中找到。 下面的步骤介绍了如何启用 &os; 内核中的 geli 支持， 并解释了如何创建新的 geli 加密 provider。 最后， 还将对如何利用 geli 创建加密的交换分区加以演示。 要使用 geli， 您必须运行 &os; 6.0-RELEASE 或更新版本。 由于需要修改内核， 因此您还需要拥有超级用户权限。 在内核配置文件中加入 <command>geli</command> 支持 在内核配置文件中加入下面两行： options GEOM_ELI device crypto 按照 介绍的步骤重新编译并安装内核。 另外， geli 也可以在系统引导时加载。 这是通过在 /boot/loader.conf 中增加下面的配置来实现的： geom_eli_load="YES" &man.geli.8; 现在应该已经为内核所支持了。 生成主密钥 下面的例子讲描述如何生成密钥文件， 它将作为主密钥 (Master Key) 的一部分， 用于挂接到 /private 的加密 provider。 这个密钥文件将提供一些随机数据来加密主密钥。 同时， 主密钥也会使用一个口令字来保护。 Provider 的扇区尺寸为 4kB。 此外， 这里的讨论将介绍如何挂载 geli provider， 在其上创建文件系统， 如何挂接并在其上工作， 最后将其卸下。 建议您使用较大的扇区尺寸 (例如 4kB)， 以获得更好的性能。 主密钥将由口令字保护， 而密钥文件的数据来源则将是 /dev/random。 我们称之为 provider 的 /dev/da2.eli 的扇区尺寸将是 4kB。 &prompt.root; dd if=/dev/random of=/root/da2.key bs=64 count=1 &prompt.root; geli init -s 4096 -K /root/da2.key /dev/da2 Enter new passphrase: Reenter new passphrase: 同时使用口令字和密钥文件并不是必须的； 您也可以只使用其中的一种来加密主密钥。 如果密钥文件写作 -， 则表示使用标准输入。 下面是关于如何使用多个密钥文件的例子： &prompt.root; cat keyfile1 keyfile2 keyfile3 | geli init -K - /dev/da2 将 provider 与所生成的密钥关联 &prompt.root; geli attach -k /root/da2.key /dev/da2 Enter passphrase: 新的明文设备将被命名为 /dev/da2.eli。 &prompt.root; ls /dev/da2* /dev/da2 /dev/da2.eli 创建新的文件系统 &prompt.root; dd if=/dev/random of=/dev/da2.eli bs=1m &prompt.root; newfs /dev/da2.eli &prompt.root; mount /dev/da2.eli /private 现在加密的文件系统应该已经可以被 &man.df.1; 看到， 并处于可用状态了。 &prompt.root; df -H Filesystem Size Used Avail Capacity Mounted on /dev/ad0s1a 248M 89M 139M 38% / /devfs 1.0K 1.0K 0B 100% /dev /dev/ad0s1f 7.7G 2.3G 4.9G 32% /usr /dev/ad0s1d 989M 1.5M 909M 0% /tmp /dev/ad0s1e 3.9G 1.3G 2.3G 35% /var /dev/da2.eli 150G 4.1K 138G 0% /private 卸下卷并断开 provider 一旦在加密分区上的工作完成， 并且不再需要 /private 分区， 就应考虑将其卸下并将 geli 加密分区从内核上断开。 &prompt.root; umount /private &prompt.root; geli detach da2.eli 关于如何使用 &man.geli.8; 的更多信息， 可以在其联机手册中找到。 使用 <filename>geli</filename> <filename>rc.d</filename> 脚本 geli 提供了一个 rc.d 脚本， 它可以用于简化 geli 的使用。 通过 &man.rc.conf.5; 配置 geli 的方法如下： geli_devices="da2" geli_da2_flags="-p -k /root/da2.key" 这将把 /dev/da2 配置为一个 geli provider， 其主密钥文件位于 /root/da2.key， 而 geli 在连接 provider 时将不使用口令字 (注意只有在 geli init 阶段使用了 -P 才可以这样做)。 系统将在关闭之前将 geli provider 断开。 关于如何配置 rc.d 的详细信息可以在使用手册的 rc.d 一节中找到。 Christian Brüffer 原作 对交换区进行加密 swap (交换区) encrypting (加密) 从 &os; 5.3-RELEASE 开始， &os; 提供了易于配置的交换区加密机制。 随所用的 &os; 版本， 可用的配置选项会有所不同， 而配置方法也会有一些差异。 从 &os; 6.0-RELEASE 开始， 已经可以使用 &man.gbde.8; 和 &man.geli.8; 两种加密系统来进行交换区的加密操作了。 在更早的版本中， 则只提供了 &man.gbde.8;。 前面所说的这两种加密系统， 都用到了 encswap 这个 rc.d 脚本。 在前面的小节 如何加密磁盘分区 中， 已经就不同的加密系统之间的区别进行了简单的讨论。 为什么需要对交换区进行加密？ 与加密磁盘分区类似， 加密交换区有助于保护敏感信息。 为此， 我们不妨考虑一个需要处理敏感信息的程序， 例如， 它需要处理口令。 如果这些口令一直保持在物理内存中， 则一切相安无事。 然而， 如果操作系统开始将内存页换出到交换区， 以便为其他应用程序腾出内存时， 这些口令就可能以未加密的形式写到磁盘上， 并为攻击者所轻易获得。 加密交换区能够有效地解决这类问题。 准备 在本节余下的部分中， 我们约定使用 ad0s1b 作为交换区。 到目前为止， 交换区仍是未加密的。 很可能其中已经存有明文形式的口令或其他敏感数据。 要纠正这一问题， 首先应使用随机数来覆盖交换分区的数据： &prompt.root; dd if=/dev/random of=/dev/ad0s1b bs=1m 使用 &man.gbde.8; 来加密交换区 如果使用 &os; 6.0-RELEASE 或更新的版本， 则 /etc/fstab 中与交换区对应的行中， 设备名应追加 .bde 后缀： # Device Mountpoint FStype Options Dump Pass# /dev/ad0s1b.bde none swap sw 0 0 对于 &os; 6.0-RELEASE 之前的版本， 还需要在 /etc/rc.conf 中加入： gbde_swap_enable="YES" 使用 &man.geli.8; 来加密分区 另一种方法是使用 &man.geli.8; 来达到加密交换区的目的， 其过程与使用 &man.gbde.8; 大体相似。 此时， 在 /etc/fstab 中交换区对应的行中， 设备名应追加 .eli 后缀： # Device Mountpoint FStype Options Dump Pass# /dev/ad0s1b.eli none swap sw 0 0 &man.geli.8; 默认情况下使用密钥长度为 256-位的 AES 加密算法。 当然， 这些默认值是可以通过 /etc/rc.conf 中的 geli_swap_flags 选项来修改的。 下面的配置表示让 rc.d 脚本 encswap 创建一个 &man.geli.8; 交换区， 在其上使用密钥长度为 128-位 的 Blowfish 加密算法， 4 kilobytes 的扇区尺寸， 并采用 最后一次关闭时卸下 的策略： geli_swap_flags="-a blowfish -l 128 -s 4096 -d" 请参见 &man.geli.8; 联机手册中关于 onetime 命令的说明， 以了解其他可用的选项。 验证所作的配置能够发挥作用 在重启系统之后， 就可以使用 swapinfo 命令来验证加密交换区是否已经在正常运转了。 如果使用了 &man.gbde.8;， 则： &prompt.user; swapinfo Device 1K-blocks Used Avail Capacity /dev/ad0s1b.bde 542720 0 542720 0% 如果使用了 &man.geli.8;， 则： &prompt.user; swapinfo Device 1K-blocks Used Avail Capacity /dev/ad0s1b.eli 542720 0 542720 0% diff --git a/zh_CN.GB2312/books/handbook/install/chapter.sgml b/zh_CN.GB2312/books/handbook/install/chapter.sgml index ac51841d2e..ba77468b46 100644 --- a/zh_CN.GB2312/books/handbook/install/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/install/chapter.sgml @@ -1,4665 +1,4500 @@ Jim Mock 结构、组织重整, 部分重写 Randy Pratt sysinstall 操作流程、屏幕抓图以及一般性文件 安装 FreeBSD 概述 installation FreeBSD 提供了一个以文字为主，简单好用的安装程序，叫做 sysinstall 。这是 FreeBSD 默认使用的安装程序； 厂商如果想，也可以提供适合自己需要的安装程序。本章说明如何使用 sysinstall 来安装 FreeBSD。 学习完本章之后，您将会知道： 如何制作 FreeBSD 安装磁盘 FreeBSD如何参照及分割您的硬盘 如何启动 sysinstall. 在执行 sysinstall 时您将要回答的问题、 问题代表什么意义，以及该如何回答它们。 在阅读本章之前，您应该： 阅读您要安装的 FreeBSD 版本所附的硬件支持列表以确定您的硬件有没有被支持。 一般来说，此安装说明是针对 &i386; (PC 兼容机) 体系结构的电脑。 如果有其它体系结构(如Alpha)的安装说明，我们将一并列出。 虽然本文档经常保持更新，但有可能与您安装版本上所带的说明文档有些许出入。 在这里建议您使用本说明文章作为一般性的安装指导参考手册。 安装前的准备工作 列出您电脑的硬件清单 在安装 FreeBSD 之前，您应该试着将您电脑中的硬件清单列出来。FreeBSD 安装程序会将这些硬件(磁盘、网卡、光驱等等)以及型号及制造厂商列出来。 FreeBSD 也会尝试为这些设备找出最适当的 IRQ 及 IO 端口的设定。但是因为 PC 的硬件种类实在太过复杂，这个步骤不一定总是能成功。 这时，您就可能需要手动更改有问题的设备的设定值。 如果您已经安装了其它的操作系统，如 &windows; 或 Linux，那么您可以先由 这些系统所提供的工具来查看您的设备设定值是怎么分配的。如果您真的没办法 确定某些接口卡用什么设定值，那么您可以检查看看，说不定它的设定已经标示 在卡上。常用的 IRQ 号号码为 3、5 以及 7；IO 端口的值通常以 16 进制位表示，例如 Ox330。 我们建议您在安装 FreeBSD 之前把这些信息打印或记录下来，做成表格 的样子也许会比较有帮助，例如： 硬件设备清单 设备名 IRQ IO 端口号 备注 第一块硬盘 N/A N/A 40 GB，Seagate 制造，第一个 IDE 接口主设备 CDROM N/A N/A 第一个 IDE 接口从设备 第二块硬盘 N/A N/A 20 GB，IBM 制造, 第二个 IDE 接口主设备 第一个 IDE 控制器 14 0x1f0 网卡 N/A N/A &intel; 10/100 Modem N/A N/A &tm.3com; 56K faxmodem，位于 COM1 口 …
备份您的数据 如果您的电脑上面存有重要的数据资料，那么在安装 FreeBSD 前请确定 您已经将这些资料备份了，并且先测试这些备份文档是否有问题。FreeBSD 安装程序在要写入任何资料到您的硬盘前都会先提醒您确认，一旦您确定要 写入，那么以后就没有反悔的机会。 决定要将 FreeBSD 安装到哪里 如果您想让 FreeBSD 使用整个硬盘，那么请直接跳到下一节。 但是，如果您想让 FreeBSD 跟您已有的系统并存，那么您必须对您数据 存在硬盘的分布方式有深入的了解以及其所造成的影响。 &i386; 体系结构的硬盘分配方式 一个 PC 硬盘可以被细分为许多分散的区域。这些区域叫做 分区(partitions)。 由于设计的原因，每个硬盘仅 支持四个分区；这些分区叫做主分区(Primary partion)。 为了突破这个限制以便能使用更多的分区，就有了新的分区类型，叫做 扩展分区(Extended partition)。一个硬盘可以拥有一个扩展分区。在 扩展分区里可以建立许多个所谓的逻辑分区(Logical partitions)。 每个分区都有其独立的分区号(partition ID), 用以区分每个分区的数据类型。FreeBSD 分区的分区号为 165。 一般而言，每种操作系统都会有自己独特的方式来区别分区。例如 DOS 及其 之后的 &windows;， 会分配给每个主分区及逻辑分区一个 驱动器字符， 从 C: 开始。 FreeBSD 必须安装在主分区。 FreeBSD 可以在这个分区上面存放系统数据 或是您建立的任何文件。然而，如果您有多个硬盘，您也可以在这些硬盘上(全部 或部分)建立 FreeBSD 分区。在您安装 FreeBSD 的时候，必须要有一个分区可以给 FreeBSD 使用。这个分区可以是尚未规划的分区或是已经划好，但是里面的数据 您都不想保存的分区。 如果您已经用完了您硬盘上的所有分区，那么您必须使用其它操作系统所 提供的工具(如 DOS 或 &windows; 下的 fdisk)来腾出一个分区 给 FreeBSD 使用。 如果您的某个分区有多余的空间，您可以使用它。但是使用前您需要先整理 一下这些分区。 FreeBSD 最小安装需要约 100 MB 的空间，但是这仅是 非常 基本的安装，几乎没有剩下多少空间可以建立您自己的文件。一个较理想的最小安装是 250 MB，不含图形界面；或是 350 MB 以上，包含图形界面。如果您还需要安装 其它的第三方厂商的套件，那么将需要更多的硬盘空间。 您可以使用商业软件，例如 &partitionmagic; (硬盘分区魔术师) 或类似 GParted 这样的免费工具来调整分区尺寸， 为 FreeBSD 腾出空间。 FreeBSD 光盘的 tools 目录包含两个免费的工具也可以完成这个工作：FIPS 以及 PResizer，它们的文档可以在同一目录中找到。FIPS、 PResizer，和 &partitionmagic; 能够改变 FAT16 以及 FAT32 分区的大小 — 它们可以在 &ms-dos; 以及 &windows; ME 系统中使用。 这些工具的说明文件可以在同一个目录下面找到 &partitionmagic; 和 GParted 都能改变 NTFS 分区的尺寸。 不当的使用这些工具可能会删掉您硬盘上的数据资料！在使用这些工具前 确定您有最近的、没问题的备份数据。 使用已存在的分区 假设您只有一个 4GB 的硬盘，而且已经装了 &windows; 然后您将这个硬盘分成两个分区 C: 跟 D:，每个分区大小为 2 GB。在 C: 分区上存放有 1 GB 的数据、 D:分区上存放 0.5 GB 的数据。 这意味着您的盘上有两个分区，一个驱动器符号是一个分区(如 c:、d:)。 您可以把所有存放在 D: 分区上的数据复制到 C: 分区,这样就空出了一个分区(d:)给 FreeBSD 使用。 缩减已现在的分区 假设您只有一个 4 GB 的硬盘，而且已经装了 &windows;。您在安装 &windows; 的时候 把 4 GB 都给了 C: 分区，并且已经使用了 1.5 GB 的空间。 您想将剩余空间中的 2 GB 给 FreeBSD 使用。 为了安装 FreeBSD，您必须从下面两种方式中选择一种： 备份 &windows; 的数据资料，然后重新安装 &windows;，并给 &windows; 分配 2 GB 的空间。 使用上面提及的 &partitionmagic; 来整理 或切割您的分区。 Alpha 体系结构的硬盘分配方式 Alpha 在 Alpha 上，您必须使用一整颗硬盘给 FreeBSD，没有办法在同一个硬盘上跟 其它操作系统共存。根据不同的 Alpha 机器，您的硬盘可以是 SCSI 或 IDE 硬盘，只要 您的机器可以从这些硬盘开机就可以。 按照 Digital/Compaq 使用手册书写的惯例，所有 SRM 输入的部分都用大写 表示。注意，SRM 大小写有别。 要想得知您硬盘的名称以及型号，可以在 SRM console 提示符下使用 SHOW DEVICE 命令: >>>SHOW DEVICE dka0.0.0.4.0 DKA0 TOSHIBA CD-ROM XM-57 3476 dkc0.0.0.1009.0 DKC0 RZ1BB-BS 0658 dkc100.1.0.1009.0 DKC100 SEAGATE ST34501W 0015 dva0.0.0.0.1 DVA0 ewa0.0.0.3.0 EWA0 00-00-F8-75-6D-01 pkc0.7.0.1009.0 PKC0 SCSI Bus ID 7 5.27 pqa0.0.0.4.0 PQA0 PCI EIDE pqb0.0.1.4.0 PQB0 PCI EIDE 此范例使用 Digital Personal Workstation 433au 并且显示出此机器联接 有三个硬盘。第一个是 CDROM，叫做 DKA0；另外两个 是两个硬盘，分别叫做 DKC0 及 DKC100 。 硬盘名称中有 DKx 字样的是 SCSI 硬盘。例如 DKA100 表示是一个 SCSI 设备，其 SCSI ID 为 1，位于 第一个 SCSI 接口 (A)。 DKC300 表示一个 SCSI 硬盘， SCSI ID 为 3，位于第三个 SCSI 接口 (C)。设备名称 PKx 表示 SCSI 控制卡。由以上 SHOW DEVICE 指令的输出结果看来， SCSI 光盘也被视为是 SCSI 硬盘的一种。 IDE 硬盘的名称类似 DQx，而 PQx 则表示相对应的硬盘控制器。 收集您的网络配置相关资料 如果您想通过网络(FTP 或是 NFS)安装 FreeBSD，那么您就必须知道您的网络配置 信息。在安装 FreeBSD 的过程中将会提示您输入这些资料，以顺利完成安装过程。 使用以太网或电缆/DSL Modem 如果您通过局域网或是要通过网卡使用电缆/DSL 上网，那么您必须准备下面 的信息： IP 地址。 默认网关 IP 地址。 主机名称。 DNS 服务器的 IP 地址。 子网掩码。 如果您不知道这些信息，您可以询问系统管理员或是您的网络服务提供者。 他们可能会说这些信息会由 DHCP 自动分配；如果这样的话， 请记住这一点就可以了。 使用 Modem 连接 如果您由 ISP 提供的拨号服务上网，您仍然可以通过它安装 FreeBSD， 只是会需要很长的时间。 您必须知道： 拨号到 ISP 的电话号码。 您的 modem 是连接到哪个 COM 端口。 您拨号到 ISP 所用的账号和密码。 检查 FreeBSD 发行勘误 虽然我们尽力确保每个 FreeBSD 发行版本的稳定性，但偶尔也会有一些错误进入发行版。 极少数情况下，这些问题甚至可能会影响安装。 当发现和修正问题之后，它们会列在 FreeBSD 网站中的 FreeBSD 发行勘误 中。 在您安装之前，应该首先看一看这份勘误表，以了解可能存在的问题。 虽然我们尽力使得每个 FreeBSD 释出版本都很稳定，但是过程中仍然不免有时 会发现错误。在很罕见的情形下，这些错误会影响到安装过程。当我们发现这些 错误并且修正后，会将它们列在 FreeBSD 网站的 FreeBSD Errata(勘误表)中, 在您安装FreeBSD前应该 先看看勘误表中有没有什么问题会影响到您的安装。 关于所有释出版本的信息，包括勘误表，可以在 FreeBSD 网站的发行版信息 一节中找到。 准备安装介质 FreeBSD 可以通过下面任何一种安装介质进行安装： 安装介质 CDROM 或 DVD 在同一计算机上的 DOS 分区 SCSI 或 QIC 磁带 软盘 网络 通过防火墙的一个 FTP 站点，或使用 HTTP 代理。 NFS 服务器 一个指定的并行或串行接口 如果您购买了 FreeBSD 的 CD 或 DVD，那么您可以直接进入下一节 。 如果您还没有 FreeBSD 的安装文件，您应该回到 一节， 它介绍了如何准备所需要的安装介质。之后，您就可以回到这一节， 并从 继续。 准备引导介质 FreeBSD 的安装过程开始于将您的电脑开机进入 FreeBSD 安装环境—－并非在 其它的操作系统上运行一个程序。计算机通常使用安装在硬盘上的操作系统进行 引导，也可以配置成使用一张bootable(可引导)的软盘进行启动。 大多数现代计算机都可以从光驱进行引导系统。 如果您有 FreeBSD 的安装光盘或 DVD(或者是您购买的，或者是您自己准备的。) 并且您的计算机可以从光驱进行启动 (通常在 BIOS 中会有 Boot Order 或类似的选项可以设置)，那么您就可以跳过此小节。因为 FreeBSD 光盘及 DVD 光盘都是可 以引导的，用它们开机您不用做什么特别的准备。 一般来说，要建立安装盘(软盘)请依照下列步骤： 获取开机软盘映像文件 开机软盘映像文件可以在您的安装介质的 floppies/ 目录下找到， 另外您也可以从下述网站的 floppies 目录下载： ftp://ftp.FreeBSD.org/pub/FreeBSD/releases/<架构名>/<版本>-RELEASE/floppies/. 将 <架构名> 和 <版本> 替换为您使用的计算机体系结构和希望安装的版本号。 例如，用于安装 &i386; 上的 &os; &rel.current;-RELEASE 的文件的地址， 应该是 。 软盘映像文件的扩展名是 .flp。 在 floppies/ 目录中包括了许多不同的映像文件， 随您安装的 FreeBSD 版本， 某些时候也随硬件的不同， 您需要使用的映像文件可能会有所不同。 您通常会需要三张软盘， 即 boot.flp、 kern1.flp， 以及 kern2.flp。 请查阅同一目录下的 README.TXT 文件以了解关于这些映像文件的最新信息。 在安装 &os; 5.3 之前的 5.X 系统时， 某些设备可能会需要另一张软盘来加载它们的驱动。 这些驱动在 drivers.flp 映像中提供。 您的 FTP 程序必须使用 二进制模式 来下载这些映 像文件。有些浏览器只会用 text (或ASCII ) 模式来传输数据， 用这些浏览器下载的映像文件做成的软盘将无法正常开机。 准备软盘 您必须为您下载的每一个映像文件准备一张软盘。并且请避免使用到坏掉的 软盘。最简单的方式就是您先将这些软盘格式化，不要相信所谓的已格式化的软 盘。在 &windows; 下的格式化程序不会告诉您出现多少坏块，它只是简单的标记它 们为 bad 并且忽略它们。根据建议您应该使用全新的软盘来存放 安装程序。 如果您在安装 FreeBSD 的过程中造成当机、冻结或是其它怪异现象，第一个 要怀疑的就是引导软盘。请用其它的软盘制作映像文件再试试看。 将映像文件写入软盘中 .flp 文件 并非 一般的文件， 您不能直接将它们复制到软盘上。事实上它是一张包含完整磁盘内容的映像文件。这 表示您 不能 简单的使用 DOS 的 copy 命令将文件写到软盘上， 而必须使用特别的工具程序将映像文件直接写到软盘中。 DOS 如果您使用 &ms-dos; 或 &windows; 操作系统来制作引导盘，那么您可以使用我们提供 的 fdimage 程序来将映像文件写到软盘中。 如果您使用的是光盘，假设光盘的驱动器符号为 E:， 那么请执行下面的命令： E:\> tools\fdimage floppies\kern.flp A: 重复上述命令以完成每个 .flp 文件的写入，每换一个 映像文件都必须更换软盘；制作好的软盘请注明是使用哪个映像文件做的。如果您的映 像文件存放在不同的地方，请自行修改上面的指令指向您存放 .flp 文件的地方。要是您没有 FreeBSD 光盘，您可以到 FreeBSD 的 FTP 站点tools 目录 中下载。 如果您在 &unix; 系统上制作软盘(例如其它 FreeBSD 机器)，您可以使用 &man.dd.1; 命令来将映像文件写到软盘中。如果您用 FreeBSD,可以执行下面的命令： &prompt.root; dd if=kern.flp of=/dev/fd0 在 FreeBSD 中，/dev/fd0 指的是第一个软驱(即 A: 驱动器)；/dev/fd1 是 B: 驱动器,依此类推。其它的 &unix; 系统可能会用 不同的的名称，这时您就要查阅该系统的说明文件。 您现在可以安装 FreeBSD 了 开始安装 默认情况下, 安装过程并不会改变任何您硬盘中的数据，除非您看到 下面的讯息： Last Chance: Are you SURE you want continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! 在看到这最后的警告讯息前您都可以随时离开安装程序面不会变更您的硬盘。 如果您发现有任何设定错误，这时您可以直接将电源关掉而不会造成任何伤害。 开机启动 引导 &i386; 系统 从电脑尚未开机开始说起 将电脑电源打开。刚开始的时候它应该会显示进入系统设置菜单或 BIOS 要按哪个键，常见的是 F2、F10、 Del 或 Alt S 。不论是要按哪个键，请按它进入 BIOS 设置画面。有时您的计算机 可能会显示一个图形画面，典型的做法是按 Esc 将关掉这个图形 画面，以使您能够看到必要的设置信息。 找到设置开机顺序的选项，它的标记为 Boot Order 通常会列出一些设备让您选择，例如：Floppy、 CDROM、First Hard Disk 等等。 如果您要用软盘安装，请确定选到 floppy disk；如果您要用光盘安装， 请选择 CDROM。为了避免疑惑，请参考您的主板说明手册。 储存设定并离开，系统应该会重新启动。 如果您用软盘安装，请将在 一节中制作好的第一张引导盘，里面包含kern.flp 文件的那张盘，放入软盘驱动器中。 如果您是从光盘安装，那么开机后请将 FreeBSD 光盘放入光驱中。 如果您开机后如往常一样并没有从软盘或光盘引导，请检查： 是不是软盘或光盘太晚放入面错失开机引导时间。如果是，请将它们 放入后重新开机。 BIOS 设定不对，请重新检查 BIOS 的设定。 您的 BIOS 不支持从这些安装介质引导。 FreeBSD 即将启动。如果您是从光盘引导，您会见到类似下面的画面： Verifying DMI Pool Data ........ Boot from ATAPI CD-ROM : 1. FD 2.88MB System Type-(00) Uncompressing ... done BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive B: is disk1 BIOS drive C: is disk2 BIOS drive D: is disk3 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 0.8 /kernel text=0x277391 data=0x3268c+0x332a8 | | Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 如果您是从软盘引导，会看到类似下面的画画： Verifying DMI Pool Data ........ BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive C: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 0.8 /kernel text=0x277391 data=0x3268c+0x332a8 | Please insert MFS root floppy and press enter: 请根据提示将 kern.flp 软盘取出， 并插入 mfsroot.flp 这张盘， 然后按 Enter。 &os; 5.3 和更高版本提供了另外一组软盘， 在 前一节 中已经介绍过了。 您只需从第一张软盘启动， 然后再需要时根据提示插入其他软盘。 不论是从软盘或光盘引导，您都会看到下面这段信息： Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 您可以等待十秒， 或按 Enter。 引导 Alpha 系统 Alpha 从电脑尚未打开电源开始。 打开电脑电源并等待屏幕上出现开机提示信息。 如您需要准备安装软盘，请参考 。 将用 kern.flp 做的引导盘放入软驱中然后输入下列命令 (请视实际情况修改命令中的软驱盘符)： >>>BOOT DVA0 -FLAGS '' -FILE '' 如果您要从光盘引导，请将光盘放入光驱中然后输入下列命令开始安装 (请视情况修改命令中的光驱盘符)： >>>BOOT DKA0 -FLAGS '' -FILE '' 然后 FreeBSD 就会启动。如果您从软盘引导，到某个阶段您会看到下面的信息： Please insert MFS root floppy and press enter: 按照屏幕指示，将 kern.flp 软盘取出，换上 mfsroot.flp 然后按Enter键。 不论从软盘或光盘引导，您都会看到下面这段信息： Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 您可以等待 10 秒或是按 Enter 跳过。之后就会进入内核 设定菜单。 查看设备探测的结果 前面屏幕显示的最后几百行字会存在缓冲区中以便您查阅。 要浏览缓冲区，您可以按下 Scroll Lock 键，这会开启画面的 卷动功能。然后您就可以使用方向键或 PageUp 、PageDown 键来上下翻阅。再按一次 Scroll Lock 键将停止画面卷动。 在您浏览的时候会看到类似 的画面。 真正的结果依照您的电脑装置而有所不同。
典型的设备探测结果 avail memory = 253050880 (247120K bytes) Preloaded elf kernel "kernel" at 0xc0817000. Preloaded mfs_root "/mfsroot" at 0xc0817084. md0: Preloaded image </mfsroot> 4423680 bytes at 0xc03ddcd4 md1: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1:<VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <iSA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0 <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci 0 usb0: <VIA 83572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr1 uhub0: 2 ports with 2 removable, self powered pci0: <unknown card> (vendor=0x1106, dev=0x3040) at 7.3 dc0: <ADMtek AN985 10/100BaseTX> port 0xe800-0xe8ff mem 0xdb000000-0xeb0003ff ir q 11 at device 8.0 on pci0 dc0: Ethernet address: 00:04:5a:74:6b:b5 miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xec00-0xec1f irq 9 at device 10. 0 on pci0 ed0 address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 orm0: <Option ROM> at iomem 0xc0000-0xc7fff on isa0 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <Keyboard controller (i8042)> at port 0x60,0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/@ mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x100 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 pppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold plip0: <PLIP network interface> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master UDMA33 acd0: CD-RW <LITE-ON LTR-1210B> at ata1-slave PIO4 Mounting root from ufs:/dev/md0c /stand/sysinstall running as init on vty0
仔细检查探测结果以确定 FreeBSD 找到所有您期望出现的设备。 如果设备没有被探测到， 那么就不会列出。 如果此设备需要配置 IRQ 以及 IO 端口地址， 请检查输入是否正确。 如果您需要改变某些设备的设置，您可以很容易地退出 sysinstall 程序，然后从头重新来过。这也有助您熟悉这些过程。
选择离开 Sysinstall
在主界面使用方向键选择 Exit Install 您会看到 如下的信息： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies from the drives). [ Yes ] No 如果 CDROM 还留在光驱里，而且选择了 &gui.yes;， 则安装程序将重新启动。 如果您是从软盘启动，那么重新开机前您必须将 mfsroot.flp 软盘取出再换上 kern.flp 软盘。 介绍 Sysinstall sysinstall 是 FreeBSD 项目所提供的安装程序。 它以 console(控制台)为主，分为多个菜单及画面让您配置及控制安装过程。 sysinstall 菜单画面由方向键、Enter 、 Space、以及其它按键所控制。在主画面的 Usage 菜单 有这些按键的说明。 要查看这些说明，请将光标移到 Usage 项目，然后 [Select] 按键被选择，， 然后按下 Enter 键。 安装画面的使用说明会显示出来，阅读完毕请按 Enter 键回到主 画面。
选取 Sysinstall 主菜单的 Usage 项目
选择 Documentation(说明文件) 菜单 用方向键从主菜单选择 Doc 条目然后按 Enter键。
选择说明文件菜单
这将会进入说明文件菜单。
Sysinstall 说明文件菜单
阅读这些说明文件很重要。 要阅读一篇文章，请用方向键选取要阅读的文章然后按 Enter 键。 阅读中再按一下 Enter 就会回到说明文件画面。 若要回到主菜单，用方向键选择 Exit 然后按下 Enter 键。 选择键盘对应(Keymap)菜单 如果要改变键盘按键的对应方式，请在主菜单选取 Keymap 然后按 Enter 键。一般情况下不改变此项，除非您使用了非标准键盘或非 美国键盘。
Sysinstall 主菜单
您可以使用上下键移动到您想使用的键盘对应方式，然后按下 Space 键以选取它；再按 Space 键可以取消选取。当您完成后，请选择 &gui.ok; 然后按 Enter 键。 这一屏幕只显示出部分列表。选择 &gui.cancel; 按 Tab 键将使用 默认的键盘对应，并返回到主菜单
Sysinstall 键盘对应菜单
安装选项设置画面 选择 Options 然后按 Enter 键。
Sysinstall 主菜单
Sysinstall 选项设置
预设值通常可以适用于大部分的使用者，您并不需要改变它们。版本名称要 根据安装的版本进行变化。 目前选择项目的描述会在屏幕下方以蓝底白字显示。注意其中有一个项目是 Use Defaults(使用默认值)您可以由此项将所有的 设定还原为预设值。 可以按下 F1 来阅读各选项的说明。 按 Q 键可以回到主画面。 开始进行标准安装 Standard(标准) 安装适用于那些 &unix; 或 FreeBSD 的初级使用者。用方向键选择 Standard 然后按 Enter 键可开始进入标准安装。
开始进行标准安装
分配磁盘空间 您的第一个工作就是要分配 FreeBSD 用的硬盘空间以便 sysinstall 先做好一些准备。为了完成这个工作，您必须先对 FreeBSD 如何找到 磁盘信息做一个了解。 BIOS 磁盘编号 当您在系统上安装配置 FreeBSD 之前，有一个重要的事情一定要注意，尤其 是当您有多个硬盘的时候。 DOS Microsoft Windows 在 pc 架构，当您跑像 &ms-dos; 或 µsoft.windows; 这种跟 BIOS 相关的操作 系统的时候，BIOS 有能力改变正常的磁盘顺序，然后这些操作系统会跟着 BIOS 做改变。 这让使用者不一定非要有所谓的 primary master 硬盘开机。许多人发 现最简单而便宜备份系统的方式就是再去买一块一模一样的硬盘，然后定期将数据从第 一块硬盘复制到第二个硬盘，使用 Ghost 或 XCOPY。所以，当第一个硬盘死了，或者是被病毒破坏， 或者有坏轨道，他们可以调整 BIOS 中的开机顺序而直接用第二块硬盘开机。这跟将机壳 拆开，把第二块硬盘跟第一块硬盘对调(要调jumper)有同样的效果，差别就是不用拆壳； 因此，对有这方面需求的人而言，直接在 BIOS 中设定非常方便。 SCSI BIOS 比较昂贵，配有 SCSI 控制卡的系统通常可以延伸 BIOS 的功能来让 SCSI 设备(可达七个) 达到类似改变顺序的功能。 习惯于使用这种方式的使用者可能会感到惊讶，因为在 FreeBSD 中并非如此。 FreeBSD 不会参考 BIOS，而且也不知道所谓的 BIOS 逻辑磁盘对应。 是怎么回事。这会让人感觉很疑惑，明明就是一样的硬盘而且资料也完全从另一块 复制过来的，结果却没办法像以前那样用。 当使用 FreeBSD 以前，请将 BIOS 中的硬盘开机顺序调回正常的顺序，并且以后 不要再改变。 如果一定要交换硬盘顺序， 那请用硬件的方式， 打开机壳并调整调线。 范例：Bill 和 Fred 的安装历险 Bill 替 Fred 把旧的 Wintel 的机器装上了 FreeBSD。他装了一台 SCSI 硬盘， ID 是 0，然后把 FreeBSD 装在上面。 Fred 开始使用他新的 FreeBSD 系统；但是过了几天，他发现这旧的 SCSI 硬盘发生了许多小问题。之后，他就跟 Bill 说起这件事。 又过了几天，Bill 决定是该解决问题的时候了，所以他从后面房间的硬盘 收藏 中找出了一个一模一样的硬盘，并且经过表面测试后显示这块 硬盘没有问题。因此，Bill 将它的 ID 调成 4，然后安装到 Fred 的机器，并且将资料从 磁盘 0 复制到磁盘 4。现在新硬盘装好了，而且看起来好像一切正常；所以，Bill 认为 现在应该可以开始用它了。Bill 于是到 SCSI BIOS 中设定 SCSI ID 4 为开机盘，用磁盘 4 重新开机后，一切跑得很顺利。 继续用了几天后，Bill 跟 Fred 决定要来玩点新的：该将 FreeBSD 升级了。Bill 将 ID 0 的硬盘移除(因为有问题)并且又从收藏区中拿了一块一样的硬盘来。然后他 用 Fred 神奇的网络 FTP 磁盘将新版的 FreeBSD 安装在这块硬盘上；安装过程没什么问 题发生。 Fred 用了这新版本几天后，觉得它很适合用在工程部门…是时候将以前放在旧 系统的工作资料复制过来了。因此，Fred 将 ID4 的 SCSI 硬盘(里面有放着旧系统中复制 过来的最新资料)mount 起来，结果竟然发现在 ID4 的硬盘上，他以前的所有资料都不见 了！ 资料跑到哪里去了呢？ 当初 Bill 将 ID0 硬盘的资料复制到 ID4 的时候，ID4 即成为一个 新的副本。 而当他调 SCSI BIOS 设定 ID4 为开机盘，想让系统从 ID4 开机， 这其实只是他自己笨，因为大部分的系统可以直接调 BIOS 而改变开机顺序，但是 FreeBSD 却会把开机 顺序还原成正常的模式，因此，Fred 的 FreeBSD 还是从原来那块 ID0 的硬盘开机的。所有 的资料都还在那块硬盘上，而不是在想象之中的 ID4 硬盘。 幸运的是， 在我们发现这件事的时候那些资料都还在， 我们将这些资料从最早的那块 ID0 硬盘取出来并交还给 Fred， 而 Bill 也由此了解到计算机计数是从 0 开始的。 虽然我们这里的例子使用 SCSI 硬盘，但是相同的概念也可以套用在 IDE 硬盘上。 使用 FDisk 创建分区 如果不再做改变，数据将会写进硬盘。如果您犯了一个错误想重新开始，请选择 sysinstall 安装程序的退出按钮(exit)。或按 U 键来 Undo 操作。如果您的操作没有结果，您总可以重新启动您 的计算机来达到您的目的。 当您在 sysinstall 主菜单选择使用标准安装 后，您会看到下面的信息： Message In the next menu, you will need to set up a DOS-style ("fdisk") partitioning scheme for your hard disk. If you simply wish to devote all disk space to FreeBSD (overwriting anything else that might be on the disk(s) selected) then use the (A)ll command to select the default partitioning scheme followed by a (Q)uit. If you wish to allocate only free space to FreeBSD, move to a partition marked "unused" and use the (C)reate command. [ OK ] [ Press enter or space ] 如屏幕指示，按 Enter 键，然后您就会看到一个列表 列出所有在探测设备的时候找到的硬盘。 范例显示的是有找到两个 IDE 硬盘的情形，这两个硬盘分别为 ad0 和 ad2。
选择要分区的硬盘
您可能正在奇怪，为什么 ad1 没有列出来？ 为什么遗失了呢？ 试想，如果您有两个 IDE 硬盘，一个是在第一个 Primary master，一个是 Secondary master，这样会发生什么事呢？如果 FreeBSD 依照找到的顺序来为他们 命名，如 ad0 和ad1 那么就不会有什么问题。 但是，现在问题来了。如果您现在想在 primary slave 加装第三个硬盘， 那么这个硬盘的名称就会是 ad1，之前的 ad1 就会变成ad2。 这会造成什么问题呢？因为设备的名称（如ad1s1a） 是用来寻找文件系统的，因此您可能会发现，突然，您有些文件系统从此无法正确 地显示出来，必须修改 FreeBSD 配置文件（译注：/etc/fstab）才可以正确显示。 为了解决这些问题，在配置内核的时候可以叫 FreeBSD 直接用 IDE 设备所 在的位置来命名，而不是依据找到的顺序。使用这种方式的话，在 secondary master 的 IDE 设备就 永远是 ad2， 即使您的系统中没有ad0 或 ad1 也不受影响。 此为 FreeBSD 内核的默认值，这也是为什么上面的画面只显示 ad0 和 ad2的原因。 画面上这台机器的两颗硬盘是装在 primary 及 secondary 的 master 上面；并没有任何一个 硬盘安装在 slave 插槽上。 您应该选择您想安装 FreeBSD 的硬盘，然后按下 &gui.ok;。之后 FDisk 就会开始，您会看到类似 的画面。 FDisk 的显示画面分为三个部分。 第一部分是画面上最上面两行，显示的是目前所选择的硬盘的信息。包含它的 FreeBSD 名称、硬盘分布以及硬盘的总容量。 第二部分显示的是目前选择的硬盘上有哪些分区，每个分区的开始及结束位置、 所占容量、FreeBSD 名称、它们的描述以及类别（sub-type）。此范例显示有两个分区、 一个大的 FAT 分区，（很可能是 &ms-dos; 或 &windows; 的 C: ）、以及一个扩展分区（在 &ms-dos; 或 &windows; 里 面还可以包含逻辑分区）。 第三个部分显示 FDisk 中可用的命令。
典型的尚未编辑前的 Fdisk 分区表
接下来要做的事跟您要怎么给您的硬盘分区有关。 如果您要让 FreeBSD 使用整个硬盘（稍后您确认要 sysinstall 继续安装后会删除所有这个硬盘上的资料），那么您就可以按 A 键（Use Entire Disk ） 目前已有的分区都会被删除，取而代之的是一个小的，标示为 unused 的分区，以及一个大的 FreeBSD 分区。之后，请用方向键将光标移到这个 FreeBSD 分区，然后按 S 以将此分区标记为启动分区。 您会看 到类似 的画面。 注意， 在 Flags 栏中的 A 记号表示此分区是 激活 的， 因而启动将从此分区进行。 要删除现有的分区以便为 FreeBSD 腾出空间， 您可以将光标移动到要删除的分区后按 D 键。 然后就可按 C 键， 并在弹出的对话框中输入将要创建的分区的大小。 输入合适的大小后按 Enter 键。 一般而言， 这个对话框中的初始值是可以分配给该分区的最大值。 它可能是最大的邻接分区或未分配的整个硬盘大小。 如果您已经建立好给 FreeBSD 的分区（使用像 &partitionmagic; 类似的工具），那么您可以按下 C 键来建立一个新 的分区。同样的，会有对话框询问您要建立的分区的大小。
Fdisk 分区使用整个硬盘
完成后，按 Q 键。您的变更会存在 sysinstall 中，但是还不会真正写入您的硬盘。 安装多重引导 在这步骤您可以选择要不要安装一个多重引导管理器。一般而言，如果碰到 下列的情形，您应该选择要安装多重引导管理程序。 您有一个以上的硬盘，并且 FreeBSD 并不是安装在第一个硬盘上。 您可以在一个硬盘上，除了 FreeBSD，您还有安装其它的操作系统；然后 您想要选择在开机的时候要进入哪个系统。 如果您在这台机器上只安装一个 FreeBSD 操作系统，并且安装在第一个硬盘， 那么选择 Standard 安装就可以了。如果您已经使用 了一个第三方的多重引导程序，那么请选择 None。 选择好配置后请按 Enter。
Sysinstall 多重引导管理程序
按下 F1 键所显示的在线说明中有讨论一些操作系统共存 可能发生的问题。 在其它硬盘上创建分区 如果您的系统上有一个以上的硬盘，在选择完多重引导管理程序后会再回到 选择硬盘的画面。如果您要将 FreeBSD 安装在多个硬盘上，那么您可以在这里选择 其它的硬盘，然后重复使用 FDisk 来建立分区。 如果您想让 FreeBSD 来管理其它的硬盘，那么两个硬盘都必须安装 FreeBSD 的多重引导管理程序。
离开选择硬盘画面
Tab 键可以在您最后选择的硬盘、 &gui.ok; 以及 &gui.cancel; 之间进行切换。 用 Tab 键将光标移动到 &gui.ok;然后按 Enter 键继续安装过程。 使用 <application>bsdlabel</application> 创建分区 您现在必须在刚刚建立好的 slice 中规划一些 label。 请注意， 每个 label 的代号是 a 到 h， 另外， 习惯上 b、 c 和 d 是有特殊用途的， 不应该随意变动。 某些应用程序可以利用一些特殊的分区而达到较好的效果，尤其是分区分散 在不同的硬盘的时候。但是，现在您是第一次安装FreeBSD，所以不需要去烦恼如 何分割您的硬盘。最重要的是，装好FreeBSD然后学习如何使用它。当您对FreeBSD 有相当程序的熟悉后，您可以随时重新安装FreeBSD，然后改变您分区的方式。 下面的范例中有四个分区—一个是磁盘交换分区，别外三个是文件系统。 为第一个硬盘分区 分区 文件系统 大小 描述 a / 100 MB 这是一个根文件系统（root filesystem）。任何其它的文件系统都会 挂在根目录（译注：用根目录比较亲切）下面。 100 MB 对于此目录来说 是合理的大小，因为您往后并不会在这里存放太多的数据；在安装FreeBSD后会 用掉约 40 MB 的根目录空间。剩下的空间是用来存放临时文件用的，同时， 您也应该预留一些空间，因为以后的FreeBSD版本可能会需要较多的 /（根目录）空间。 b N/A 2-3 x RAM 此分区为系统磁盘交换分区（swap space）。选择正确的交换空间 大小可是一门学问唷。一般来说，交换空间的大小应该是您系统上内存（RAM） 大小的2到3倍。交换空间至少要有 64 MB 因此，如果您的电脑上的RAM比 32 MB 小，请将交换空间大小设为 64 MB。 如果您有一个以上的硬盘，您可以在每个硬盘上都配置交换分区。 FreeBSD 会利用每个硬盘上的交换空间， 这样做能够提高 swap 的性能。 如果是这种情形， 先算出您总共需要的交换空间大小 （如128 MB）， 然后除以您拥有的硬盘数目（如2块）， 算出的结果就是每个硬盘上要配置的交换空间的大小。 在这个例子中， 每个硬盘的交 换空间为 64 MB e /var 50 MB /var 目录会存放不同长度的文件、日志以及 其它管理用途的文件。大部分这些文件都是FreeBSD每天在运行的时候会读取或 是写入的。当这些文件放在另外的文件系统（译注：即/var）可以避免影响到 其它目录下面类似的文件存取机制。 f /usr 剩下的硬盘空间 您所有的其它的文件通常都会存在/usr 目录以及其子目录下面。
如果您要将FreeBSD安装在一个以上的硬盘，那么您必须在您配置的其它分区上 再建立分区。最简单的方式就是在每个硬盘上建立两个分区，一个是交换分区，一个 是文件系统分区。 为其它磁盘分区 分区 文件系统 大小 描述 b N/A 见描述 之前提过，交换分区是可以跨硬盘的。但是，即使 a 分区没有使用，习惯上还是会把交换分区放在 b 分区上。 e /diskn 剩下的硬盘空间 剩下的空间是一个大的分区，最简单的做法是将之规划为 a分区而不是e分区。然而， 习惯上a分区是保留给根目录 (/) 用的。您不一定要遵守这个习惯，但是sysinstall 会，所以照着它做会使您的安装比较清爽、干净。您可以将这些文件系统挂在任何 地方，本范例建议将它们挂在/diskn 目录，n 依据每个硬盘而有所不同，但是，您喜欢的话 也可将它们挂在别的地方。
分区的配置完成后，您可以用sysinstall. 来建立它们了。您会看到下面的信息： Message Now, you need to create BSD partitions inside of the fdisk partition(s) just created. If you have a reasonable amount of disk space (200MB or more) and don't have any special requirements, simply use the (A)uto command to allocate space automatically. If you have more specific needs or just don't care for the layout chosen by (A)uto, press F1 for more information on manual layout. [ OK ] [ Press enter or space ] 按下 Enter 键开始FreeBSD分区表编辑器，称做 Disklabel。 显示您第一次执行 Disklabel的画面。画面分为三个区域。 前几行显示的是您正在编辑的硬盘以及您正在建立的slice位于哪个分区上。 （在这里， Disklabel 使用的是 分区名称 而不是 slice 名）。此画面也会显示slice还有 多少空间可以使用；亦即，有多余的空间，但是尚未指派分区。 画面中间区域显示已建立的区区，每个分区的文件系统名称、所占的大小以及 一些关于建立这些文件系统的参数选项。 下方的第三区显示在 Disklabel中可用的按键。
Sysinstall Disklabel 编辑器
Disklabel 您可以自动配置分区以及给它们预设 的大小。您可以按 A键使用此功能。您会看到类似 的画面。根据您硬盘的大小，自动分配所配置 的大小不一定合适。但是没有关系，您并不一定要使用预设的大小。 默认情况下会给/tmp 目录一个独立分区，而不是附属在 / 之下。这样可以 避免将一些临时文件放到根目录中（译注：可能会用完根目录空间）。
Sysinstall Disklabel 编辑器-使用自动配置
如果您不想使用默认的分区布局， 则需要用方向键移动光标并选中第一个分区， 然后按 D 来删除它。 重复这一过程直到删除了所有推荐的分区。 要建立第一个分区 (a， 作为 / — 根文件系统)， 请确认您已经在屏幕顶部选中了正确的 slice， 然后按 C。 接下来将出现一个对话框， 要求您输入新分区的尺寸 (如 所示)。 您可以输入以块为单位的尺寸， 或以 M 表示MB、 G 结尾表示GB， 或者 C 表示柱面数的方式来表达尺寸。 从 FreeBSD 5.X 开始， 用户可以： 使用 Custom Newfs (Z) 选项来选择 UFS2 (在 &os; 5.1 和更高版本中的默认值)。 用 Auto Defaults 来创建， 然后用 Custom Newfs 选项， 或在创建文件系统时指定 。 如果您使用了 Custom Newfs选项， 不要忘记增加 来启用 SoftUpdates！
根目录使用空间
显示在对话框中的默认大小是使用整个分区，您可以用 Backspace键删除这些数字然后按照上述方式输入您想要的 大小，如64M（）， 然后按&gui.ok;。
编辑要分区大小
输入完大小后接着问您要建立的分区是文件系统还是交换空间，如 所示。第一个分区是文件系统，所以 确认选择 FS后按Enter键。
选择根分区类型
最后，因为您要建立的是一个文件系统，所以必须告诉 Disklabel 这个文件系统要挂接在什么地方，如 所示。根文件系统的挂接点 /, 所以请输入 /,然后按 Enter键。
选择根挂接点
刚刚制作好的分区会显示在画面上。您应该重复上述的动作以建立其它的 分区。当建立交换空间的时候，系统不会问您要将它挂接在哪里，因为交换空间是不用 挂在系统上的。当您在建立最后一个分区/usr的时候，您可以 直接使用默认的大小，即所有此分区剩余的空间。 您最终的 FreeBSD DiskLabel 编辑器画面会类似 , 实际数字按您的选择而有所不同。按下 Q 键完成分区的建立。
Sysinstall Disklabel 编辑器
选择要安装的软件包 选择要安装的软件包 安装哪些软件包在很大程度上取决于系统将被用来做什么，以及有多少可用的磁盘空间。 内建的选项包括了运行所需要的最小系统，到把所有软件包全都装上的常用配置。 &unix; 或 FreeBSD 新手通常直接选择一个设定好的软件包就可以了， 而有经验的使用者则可以考虑自己订制安装哪些软件包。 按下 F1 可以看到有关软件包的更多选项信息， 以及它们都包含了哪些软件，之后，可以按 Enter 回到软件包选择画面。 如果您想要使用图形界面， 则必须选择软件包名称开头是 X 的那些软件包。 对于 X 服务器的配置， 以及选择默认的桌面管理器这样的工作必须在 &os; 安装完成之后才能作。 关于配置 X 服务器的更多资料可以在 找到。 默认的 X11 版本取决于您所安装的 FreeBSD 版本。 对于 FreeBSD 5.3 以前的版本， 安装的将是 &xfree86; 4.X。 对于 &os; 5.3 和以后的版本， 默认的则是 &xorg;。 如果需要定制内核， 您还需要选择包含源代码的那个选项。 要了解为什么应该编译和构建新的内核， 请参见 。 显然， 包含所有组件的系统是最万能的。 如果磁盘空间足够， 用光标键选择 中的 All 并按 Enter。 如果担心磁盘空间不够的话， 则选择最合适的选项。 不要担心选择的是否是最合适的， 因为其他软件包可以在安装完毕后再加入进来。
选择软件包
安装ports软件包 当选择完您想要安装的部分后，接着会询问您要不要安装FreeBSD Ports 软件包；Ports软件包可以让您简单方便地安装软件包。Ports本身并不包含编辑 软件所需要的程序源代码，而是一个包含自动下载、编辑以及安装的文档集合。 一章讨论如何使用Ports. 安装程序并不会检查您是否有足够的硬盘空间来放ports,所以，如果要安装 ports软件所，请先确定您有足够的硬盘空间。 FreeBSD &rel.current;版本 FreeBSD Ports Collection 大约占用 &ports.size; 大小的硬盘空间。您要为 这些版本设置大一点的值来安装它们。 User Confirmation Requested Would you like to install the FreeBSD Ports Collection? This will give you ready access to over &os.numports; ported software packages, at a cost of around &ports.size; of disk space when "clean" and possibly much more than that if a lot of the distribution tarballs are loaded (unless you have the extra CDs from a FreeBSD CD/DVD distribution available and can mount it on /cdrom, in which case this is far less of a problem). The Ports Collection is a very valuable resource and well worth having on your /usr partition, so it is advisable to say Yes to this option. For more information on the Ports Collection & the latest ports, visit: http://www.FreeBSD.org/ports [ Yes ] No 选择 &gui.yes; 将会安装 Ports Collection， 而选择 &gui.no; 则将跳过它。 选好后按 Enter 继续。 此后， 选择安装的软件包的屏幕将再次出现。
确认您要安装的软件包
如果对您的选择感到满意，请选择Exit 退出，确保&gui.ok; 被高亮显示，然后按Enter 继续。 选择您要使用的安装介质 如果要从 CDROM 或 DVD安装，使用方向键将光标移到 Install from a FreeBSD CD/DVD。确认 &gui.ok; 被选取，然后按 Enter 开始安装程序。 如果要使用其它的方式安装，请选择适当的安装介质然后按照屏幕指示 进行安装。 按 F1 可以显示安装介质的在线说明。按一下 Enter 可返回选择安装介质画面。
选择安装介质
FTP安装模式 installation network FTP 使用FTP安装，有三种方式：主动式（active）FTP、被动式（passive）FTP 或是透过HTTP代理服务器。 主动式FTP： 从FTP服务器安装 这个选项将会使所有的FTP传输使用 Active模式。 这将无法通过防火墙，但是可以使用在那些比较早期，不支持被动模式的FTP站。 如果您的连接在使用被动（默认值）模式卡住了，请换主动模式看看！ 被动模式FTP： 通过防火墙从FTP服务器安装 FTP passive mode 此选项会让 sysinstall 使用 Passive模式来安装。这使得使用者可以穿过 不允许用非固定TCP PORTS连入的防火墙。 FTP 透过 HTTP 代理服务器： 透过HTTP代理服务器，由 FTP服务器安装 FTP via a HTTP proxy 此选项会让 sysinstall 通过HTTP协议 （像浏览器一样）连到proxy服务器。proxy服务器会解释送出的请求， 然后通知FTP服务器。因为通过HTTP协议，所以可以穿过防火墙。 要用这种方式，您必须指定proxy服务器的地址。 对于一个 FTP 代理服务器而言，通常在使用者登入名称中加入您要登入的 服务器的用户名，加在 @ 符号后面。然后代理服务器就会 假装 成一个真的服务器。 例如， 假设您要从 ftp.FreeBSD.org 安装，通过 FTP 代理服务器 foo.example.com，使用1024端口。 在这种情况下，您可以到 options 菜单，将 FTP username 设为 ftp@ftp.FreeBSD.org，密码设为您的电子邮件地址。 安装介质部分，指定FTP (或是被动式 FTP，如果代理服务器支持的话) 以及URL为 ftp://foo.example.com:1234/pub/FreeBSD。 因为ftp.FreeBSD.org的 /pub/FreeBSD 目录会被抓取到 foo.example.com之下，您就可以从 这台 机器 (会从 ftp.FreeBSD.org 抓取文件) 安装。 安装确认 到此为止，可以开始进行安装了，这也是您避免更动到您的硬盘的最后机会。 User Confirmation Requested Last Chance! Are you SURE you want to continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! [ Yes ] No 选择 &gui.yes; 然后按下 Enter 确认安装 安装所需的时间会根据您所选择的软件、安装介质以及您电脑的速度而有所不同。 在安装的过程中会有一些信息来显示目前的进度。 当您看到下面的信息表示已经安装完成了： Message Congratulations! You now have FreeBSD installed on your system. We will now move on to the final configuration questions. For any option you do not wish to configure, simply select No. If you wish to re-enter this utility after the system is up, you may do so by typing: /stand/sysinstall . [ OK ] [ Press enter to continue ] 按下 Enter 以进行安装后的配置。 选择 &gui.no; 然后按 Enter 会取消安装，不会对您的系统造成更动。您会看到下面的信息： Message Installation complete with some errors. You may wish to scroll through the debugging messages on VTY1 with the scroll-lock feature. You can also choose "No" at the next prompt and go back into the installation menus to retry whichever operations have failed. [ OK ] 产生这个信息是因为什么东西也没有安装，按下 Enter 后会离开安装程序回到主安装界面。从主安装界面可以退出安装程序。 安装后的配置 安装成功后， 就可以进行进一步的配置了。 引导新安装的 FreeBSD 系统之后， 使用 sysinstall (/stand/sysinstall 如果您使用的是 &os; 5.2 之前的版本)， 并选择 Configure。 配置网卡 如果您之前配置用 PPP 通过 FTP 安装，那么这个画面将不会出现；正像所说 的那样，您可以稍后再做配置。 如果想更多的了解网卡或将FreeBSD配置为网关或路由器，请参考 Advanced Networking 的相关文章。 User Confirmation Requested Would you like to configure any Ethernet or SLIP/PPP network devices? [ Yes ] No 如果要配置网卡，请选择 &gui.yes; 然后按 Enter。 否则请选择 &gui.no; 继续。
选择网卡设备
用方向键选择您要配置的网卡接口，然后按Enter。 User Confirmation Requested Do you want to try IPv6 configuration of the interface? Yes [ No ] 目录私人区域网络IP协议IPv4已经足够，所以选择 &gui.no; 然后按 Enter。 如果想试试新的IP通信协议 IPv6 ，使用 RA 服务，请选择 &gui.yes; 然后按 Enter。 寻找 RA 服务器将会花费几秒的时间。 User Confirmation Requested Do you want to try DHCP configuration of the interface? Yes [ No ] 如果您不需要 DHCP (Dynamic Host Configuration Protocol　动态主机配置协议) ，选择 &gui.no; 然后按Enter。 选择 &gui.yes; 会执行dhclient， 如果成功，它会自动将网络配置信息填上。更多的信息请参考 。 下面的网络配置显示了怎样把以太网设备配置成区域网络网关的角色。
配置 ed0接口
使用Tab 键可以在各个栏目之间进行切换，请输入适当 的信息： Host（机器名称） 完整的机器名称，例如本例中的 k6-2.example.com 。 Domain（域名） 您机器所在的域名称，如本例的 example.com IPv4 Gateway（IPv4网关） 输入将数据包传送到远端网络的机器IP地址。只有当机器是网络上的 一个节点时才要输入。如果这台机器要作为您局域网的网关， 请将此处设为空白。IPv4网关，也被称作默认网关或 默认路由器。 域名服务器 本地网络中的域名服务器的IP地址。本例中假设机器所在的网络中 没有域名服务器，所以填入的是ISP提供的域名服务器地址 （208.163.10.2。） IPv4 地址 本机所使用的IP地址。本例为 192.168.0.1。 子网掩码 - 本范例中的IP地址属于一个C类地址 - （192.168.0.0 - - 192.168.0.255）。默认的子网掩码为 - （255.255.255.0）。 + 在这个局域网中所使用的地址块是 + 192.168.0.0 - + 192.168.0.255， + 对应的子网掩码是 + 255.255.255.0。 ifconfig 额外参数设定 任何ifconfig命令跟网卡接口有关的参数。 本范例中没有。 使用 Tab 键选择 &gui.ok;然后按 Enter键。 User Confirmation Requested Would you like to Bring Up the ed0 interface right now? [ Yes ] No 选择 &gui.yes; 然后按 Enter 将会将机器的网卡转为启用状态。机器下次启动 的时候即可使用。 配置网关 User Confirmation Requested Do you want this machine to function as a network gateway? [ Yes ] No 如果这台机器要作为本地网络和其它机器之间传送数据包的网关，请选择 &gui.yes; 然后按 Enter。 如果这台机器只是网络上的普通节点，请选择 &gui.no; 并按 Enter 继续。 配置网络服务 User Confirmation Requested Do you want to configure inetd and the network services that it provides? Yes [ No ] - 如果选择 &gui.no; ，许多网络服务，如 - telnetd 将不会启用。这表示远端用户将无法 - telnet 进入这台机器。本机器上的用户还是可以 + 如果选择 &gui.no;， 许多网络服务，如 + telnetd 将不会启用。 这样， 远端用户将无法 + telnet 进入这台机器。 本机上的用户还是可以 telnet到远端机器的。 这些服务可以在安装完成后修改/etc/inetd.conf 配置文件来启用它们。请参阅 以获得更多的信息。 - 如果您想现在就配置这些网络服务，请选择[ Yes ] ， + 如果您想现在就配置这些网络服务，请选择 &gui.yes;， 然后会看到下面的信息： User Confirmation Requested The Internet Super Server (inetd) allows a number of simple Internet services to be enabled, including finger, ftp and telnetd. Enabling these services may increase risk of security problems by increasing the exposure of your system. With this in mind, do you wish to enable inetd? [ Yes ] No 选择 &gui.yes; 继续。 User Confirmation Requested inetd(8) relies on its configuration file, /etc/inetd.conf, to determine which of its Internet services will be available. The default FreeBSD inetd.conf(5) leaves all services disabled by default, so they must be specifically enabled in the configuration file before they will function, even once inetd(8) is enabled. Note that services for IPv6 must be separately enabled from IPv4 services. Select [Yes] now to invoke an editor on /etc/inetd.conf, or [No] to use the current settings. [ Yes ] No 选择 &gui.yes; 将允许您添加网络服务 (或将相应网络服务每行开头的 # 除掉即可。)
编辑 <filename>inetd.conf</filename>配置文件
在加入您想启用的服务后，按下 Esc键会出现一个 对话框可以让您离开以及保存修改。 匿名 FTP FTP anonymous User Confirmation Requested Do you want to have anonymous FTP access to this machine? Yes [ No ] 不允许匿名 FTP访问 选择默认的 &gui.no; 并按下 Enter 键将仍然可以让在这台机器上有账号的用户访问 FTP。 允许匿名 FTP访问 如果您选择允许匿名 FTP 存取，那么网络中任何人都可以使用FTP来访问您 的机器。在启用匿名访问之前应该考虑网络的安全问题。如果要知道更多有关网络 安全的信息，请参阅 。 要启用FTP匿名访问，用方向键选择 &gui.yes; 然后按 Enter键。您会看到下面（或类似）的画面：
默认的匿名 FTP 配置
按 F1 键可以查看在线帮助文档： This screen allows you to configure the anonymous FTP user. The following configuration values are editable: UID: The user ID you wish to assign to the anonymous FTP user. All files uploaded will be owned by this ID. Group: Which group you wish the anonymous FTP user to be in. Comment: String describing this user in /etc/passwd FTP Root Directory: Where files available for anonymous FTP will be kept. Upload subdirectory: Where files uploaded by anonymous FTP users will go. 默认的FTP根目录将放在 /var目录下。如果您 的/var目录空间不足以应付您的FTP需求，您可以将FTP的根目录改为 /usr 目录下的 /usr/ftp 目录。 当您对一切配置都满意后，请按 Enter 键继续。 User Confirmation Requested Create a welcome message file for anonymous FTP users? [ Yes ] No 如果您选择 &gui.yes; 并按下 Enter键，系统会自动打开文本编辑器让您编辑FTP的欢迎信息。
编辑FTP欢迎信息
此文本编辑器叫做 ee。按照指示修改信息文本或是 稍后再用您喜爱的文本编辑器来修改。请记住画面下方显示的文件位置。 按 Esc 将弹出一个默认为 a) leave editor的对话框。按 Enter 退出并继续。再次按 Enter 将保存修改。 配置网络文件系统 网络文件系统 (NFS) 可以让您可以在网络上共享您的文件。一台机器可以 配置成NFS服务器、客户端或两者并存。请参考 以获得更多的信息。 NFS 服务器 User Confirmation Requested Do you want to configure this machine as an NFS server? Yes [ No ] 如果您不想安装网络文件系统，请选择 &gui.no; 然后按 Enter键。 如果您选择 &gui.yes; 将会出现一个对话框提醒您 必须先建立一个 exports 文件。 Message Operating as an NFS server means that you must first configure an /etc/exports file to indicate which hosts are allowed certain kinds of access to your local filesystems. Press [Enter] now to invoke an editor on /etc/exports [ OK ] 按 Enter 键继续。系统会启动文本编辑器让您编辑 exports 文件。
编辑 <filename>exports</filename>文件
按照指示加入真实输出的文件目录或是稍后用您喜爱的编辑器自行编辑。 请记下画面下方显示的文件名称及位置。 按下 Esc 键会出现一具对话框，默认选项是 a) leave editor。按下 Enter 离开并继续。 NFS 客户端 NFS 客户端允许您的机器访问NFS服务器。 User Confirmation Requested Do you want to configure this machine as an NFS client? Yes [ No ] 按照您的需要，选择 &gui.yes; 或 &gui.no; 然后按 Enter。 - - 安全配置 - - 安全配置 中包含了一些可以通过启用或停用某些程序 - 来达到某些程序的安全性配置。安全配置越严格，则默认启动的程序就越少。 - 基本的原则是：除非必要，否则不要执行一些可有有无的程序。 - - 请注意，安全文件的配置都是默认值，在安装完成后您可以随时通过 - 编辑 /etc/rc.conf配置文件来改变这些配置。 - 如果想得到更多的信息请参阅 &man.rc.conf.5; 手册。 - - 下表说明每一种安全等级的意义。每列所代表的是安全等级，每行所 - 代表的是程序或功能是启用还是停用。 - - - 可能的安全等级 - - - - - - - 极/高度安全 - - 中度安全 - - - - - - - &man.sendmail.8; - - 否 - - 是 - - - - &man.sshd.8; - - 否 - - 是 - - - - &man.portmap.8; - - 否 - - 不一定 - - 如果之前安装时配置机器为NFS客户端或服务器，则会启用些 - 项目。 - - - - - - NFS server - - 否 - - 是 - - - - &man.securelevel.8; - - 是 - - 如果打算将安全级配置 securelevel 设置为 Extreme - 或 High， 请务必阅读 &man.init.8; 联机手册， - 并特别注意有关安全等级意义的部分， 以了解其影响； - 否则您稍后就可能会遇到很大的麻烦！ - - - - 否 - - - -
- - User Confirmation Requested - Do you want to select a default security profile for this host (select - No for "medium" security)? - - [ Yes ] No - - 选择 &gui.no; 并按 - Enter 会将安全等级高为中度安全。 - - 选择 &gui.yes; 并按 - Enter将允许您选择其它程度的安全等级。 - -
- 选择安全等级 - - - - - - -
- - 按 F1 显示在线帮助；按Enter - 键可以回到选择画面。 - - 如果您没有什么特殊的等级需求，请用方向键选择 中度， - 确定选择了 &gui.ok; 然后按Enter。 - - 依据您选择的安全等级，会显示相对应的确认信息。 - - Message - -Moderate security settings have been selected. - -Sendmail and SSHd have been enabled, securelevels are -disabled, and NFS server setting have been left intact. -PLEASE NOTE that this still does not save you from having -to properly secure your system in other ways or exercise -due diligence in your administration, this simply picks -a standard set of out-of-box defaults to start with. - -To change any of these settings later, edit /etc/rc.conf - - [OK] - - Message - -Extreme security settings have been selected. - -Sendmail, SSHd, and NFS services have been disabled, and -securelevels have been enabled. -PLEASE NOTE that this still does not save you from having -to properly secure your system in other ways or exercise -due diligence in your administration, this simply picks -a more secure set of out-of-box defaults to start with. - -To change any of these settings later, edit /etc/rc.conf - - [OK] - - 按下 Enter 继续安装后面的配置。 - - - 安全等级并非万能药！即使您选择极度安全，您还是必须时常阅读 - 邮件列表中有关安全的部分、使用有效的密码以及平常就注意安全问题。 - 这里只是稍为配置一下常用的安全等级而已。 - - - - 配置系统终端 系统提供了几个选项可以让您配置终端的表现方式。 User Confirmation Requested Would you like to customize your system console settings? [ Yes ] No 要查阅及配置这些选项，请选择 &gui.yes; 并按Enter。
系统终端配置选项
最常用的选项就是屏幕保护程序了。使用方向键将光标移动到 Saver 然后按Enter。
屏幕保护程序选项
选择您想使用的屏幕保护程序，然后按 Enter。 之后回到系统终端配置画面。 默认开启屏幕保护程序的时间是300秒。如果要更改此时间，请再次选择 Saver 。然后选择 Timeout 并按 Enter键。系统会弹出一个对话框如下：
屏幕保护时间设置
您可以直接改变这个值，然后选 &gui.ok;并按 Enter 键回到系统终端配置画面。
退出系统终端配置
选择 Exit 然后按下 Enter 键会回到安装后的配置画面。 配置时区 配置您机器的时区可以让系统自动校正任何区域时间的变更并且在执行 一些跟时区相关的程序时不会出错。 例子中假设此台机器位于美国东部的时区。请参考您所在的地理位置来配置。 User Confirmation Requested Would you like to set this machine's time zone now? [ Yes ] No 选择 &gui.yes; 并按下 Enter键以配置时区。 User Confirmation Requested Is this machine's CMOS clock set to UTC? If it is set to local time or you don't know, please choose NO here! Yes [ No ] 这里按照您机器时间的配置，选择 &gui.yes; 或 &gui.no; 然后按 Enter。
选择您所处的地理区域
请选择适当的区域然后按 Enter。
选择您所在的国家
选择您所在的国家然后按 Enter。
选择您所在的时区
选择您所在的时区然后按 Enter。 Confirmation Does the abbreviation 'EDT' look reasonable? [ Yes ] No 检查一下时区的缩写是否正确，如果没错，请按 Enter 返回系统安装后的配置画面。 Linux 兼容性 User Confirmation Requested Would you like to enable Linux binary compatibility? [ Yes ] No 选择 &gui.yes; 并按下Enter 键，将允许您在FreeBSD中执行Linux的软件。安装程序会安装一些为了跟Linux 兼容的软件包。 如果您是通过FTP安装，那么您必须连到网络上。有时候FTP站并不会包含 所有的安装软件包（例如Linux兼容软件包）；不过，稍后您还可以再安装这个 项目。 配置鼠标 此选项可以让您在终端上使用三键鼠标剪贴文字。如果您用的鼠标是两个 按钮，请参考手册 &man.moused.8;；以取得有关模拟三键鼠标的信息。范例中 使用的鼠标不是USB接口。（例如ps/2或com接口的鼠标）： User Confirmation Requested Does this system have a non-USB mouse attached to it? [ Yes ] No 如果您使用的不是USB鼠标，请选择 &gui.yes; ； 否则请选择 &gui.no; 。然后按Enter。
选择鼠标类型
使用方向键选择 Type 然后按 Enter。
设置鼠标协议
在这个例子中使用的类型是ps/2鼠标，所以可以使用默认的 Auto（自动） 。 您可以用方向键选择合适的项目， 确定选择了 &gui.ok; 后按 Enter 键离开此画面。
配置鼠标端口
选择 Port 然后按 Enter。
配置鼠标端口
假设这台机器用的是ps/2鼠标，您可以采用默认的 PS/2 选项。请选择适当的项目然后按 Enter。
启动鼠标服务进程
选择Enable然后按 Enter 来启动和测试鼠标。
测试鼠标功能
鼠标指针可以在屏幕上移动，指明鼠标服务已经正常启用。那么请选择 &gui.yes; 按 Enter键。否则鼠标没 有配置成功 — 选择 &gui.no; 并尝试不同的配置 选项。 选择 Exit 并按 Enter 退回到系统安装完成后的配置画面。 Tom Rhodes Contributed by 配置其他网络服务 配置网络服务总是让那些新手敬畏，因为他们缺乏在这个领域应有的基础知识。 网络，包括因特网有许多关于现代操作系统包括 &os; 的评论文章。这些文章对于 理解&os;拥有的广泛的网络性能是非常有帮助的。在安装这些服务的过程中也能让 用户理解它们可用的各种服务。 网络服务是一些可以使在网络的任何人来访问您提供的服务的程序。有许多 努力想使这些程序不会有任何的 伤害。不幸的是，这些程序并 不是十全十美的，黑客可能会掌握程序中的一些露洞来进行攻击。只启用一些您 熟悉的和需要的服务十分重要。如果您存在一些疑虑或没有启用这些服务的必要 那么最好不要使用这些服务。您可以事后通过运行 sysinstall 程序或使用 /etc/rc.conf 配置文件来启用它们。 选择 Networking 选项将下显示一个类似下面的菜单：
网络配置之上层配置
第一个选项，Interfaces， 已经在前面 中讨论过，因此这里可以略过。 选择 AMD 选项，添加 BSD 对自动挂接程序的支持。这个程序和NFS 协议一起使用 不需要经过特别的设置就可以自动挂接远程文件系统。 下一行是 AMD Flags 的参数选项。当您选择后，会弹出一个 子菜单来让您选择 AMD 的参数。菜单中包含一系列的选项： -a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map 选项用来设置默认的挂接位置，这里使用的是 /.amd_mnt目录。 指定默认的 日志 文件；但是，当 syslogd 被指定用来接收所有的日志时，那么它们会被送到 系统日志程序。/host 被用来挂接远程 主机输出的一个文件系统，例子中/net 目录被用来挂接从IP输出的一个文件系统。 /etc/amd.map 文件定义了 AMD 的默认 输出选项。 FTP anonymous Anon FTP 允许匿名 FTP 访问。 选中这个选项，可以使这台机器成为一台匿名 FTP 服务器。 要注意启用这个选项的安全风险。其它的菜单将说明一些安全问题和更深入的配置。 Gateway 配置菜单可以使本机器成为一台以前我们提到过 的网关。如果您在安装过程中偶尔选中了它，也可以在这里选中这个选项来取消。 Inetd 选项用来配置或完全禁止我们在上面讨论的 &man.inetd.8; 守护程序。 Mail 可以用来配置系统默认的 MTA 或邮件传输代理。选择这个选项将了出现下面的菜单：
选择默认的 MTA
这里给您提供了一个安装默认MTA 的机会。 MTA 用来投递本系统上用户邮件到因特网去。 选择 Sendmail 将会安装 &os;默认的 流行的的 sendmail 服务程序。 Sendmail local 选项用来设置sendmail 默认的MTA，也可以禁止它从Internet接收邮件的能力。 还有其它的一些选项如： Postfix 和 Exim 都类似于 Sendmail的角色。它们两者也可以投递邮件； 有些用户更喜欢选择使用Sendmail、 MTA二者之一。 选择 MTA或不选择它之后，网络配置菜单的下一 个选项是 NFS client 客户端程序。 NFS client 客户端可以使系统通过 NFS 与服务器进行通信。 NFS 服务器通过NFS 协议可以使其它在网络上的机器来访问自己的文件系统。如果这台机器要作为一台 独立的服务器，这个选项可以保留不选。下面可能还有更多的配置，关于客户端和 服务器的配置请参阅 一节。 接下来的 NFS 服务器选项，可以允许您把系统设备成 为一台NFS 服务器。这需要更多的信息来启动远程过程调 用（RPC）服务。 RPC用来连接调 用两台机器上的程序。 下一项是 Ntpdate 选项，处理时间同步。当选择它后， 会出现一个像下面所似的菜单：
Ntpdate 配置
从这个菜单选择一个离您最近的服务器。在您连接这台服务器时，除去 连接时的反应时间，时间同步最精确的服务器。 下一个选项是 PCNFSD。 这个选项将安装第三方软件包 net/pcnfsd。 它可以用来为无法自行提供 NFS 认证服务的操作系统， 如微软的 &ms-dos; 提供服务。 滚屏到下一页看一下其它选项：
网络配置之下层配置
&man.rpcbind.8;， &man.rpc.statd.8; 和 &man.rpc.lockd.8; 这三个程序是用来提供远程过程调用 (RPC) 服务的。 rpcbind 程序管理 NFS 服务器和客户端的通信， 这是 NFS 正确工作的必要前提。 rpc.statd 程序可以和其它主机上 rpc.statd 程序交互， 以提供的状态监控。 这些状态报告默认情况下会保存到 /var/db/statd.status 文件中。 最后的一项是 rpc.lockd 选项， 如果启用， 则将提供文件上锁服务。 通常将它和 rpc.statd 联用， 以监视哪些主机会请求对文件执行上锁操作， 以及这种操作的频繁程度。 尽管后两项功能对于调试非常有用， 但它们并不是 NFS 服务器和客户端正常运行所必需的。 下一个项目是Routed，这是一个路由程序。 &man.routed.8; 程序管理网络路由表，发现多播路由， 并且支持在网络上与它物理相连的主机来复制它的路由表的请求。 它被广泛地应用在本地网络中并扮演关网关的角色。 当选择它后，一个子菜单会来询问您这个程序的默认位置。 默认的位置已经被定义过， 您可以选择 Enter 键， 也可以按下其它的键。 这时会出来另一个菜单来询问您传递给 routed程序的参数。 默认的是 参数。 接下来是 Rwhod 选项，选中它会启用 &man.rwhod.8; 程序 在系统初时化的时候。 rwhod程序通过网络周期性的广播系统 信息或以客户的身份来收集这些信息。更多的信息可以查看 &man.ruptime.1; 和&man.rwho.1; 手册页。 倒数第二个选项是&man.sshd.8; 程序。它可以通过使用 OpenSSH来提供安全的shell服务，我们推荐通过 使用它来使用 telnet 和 FTP 服务。 sshd服务通过使用加密技术来创建从一台机器到另一台机 器的安全连接。 最后有一个 TCP 扩展选项。这可以用来扩展在 RFC 1323 和RFC 1644 里定义的TCP 功能。当许多主机以高速连接本机时，可 能会引起某些连接被丢弃。我们不推荐使用这个选项，但是当使用独立的主机 时可以从它上面得到一些好处。 现在您已经配置完成了网络服务，您可以滚动屏幕到顶部选择 Exit 项，退出进入下一个配置部分。 配置 X Server 从 &os; 5.3-RELEASE 开始， X 服务的配置机制从 sysinstall 中删掉了。 您必须在安装完 &os; 之后再配置 X 服务。 关于安装和配置 X 服务的进一步细节可以在 找到。 如果您不是在安装 5.3-RELEASE 之前的 &os; 版本的话， 则可以跳过这一节。 要使用诸如 KDE、 GNOME， 以及其他一些图形界面， 则需要配置 X 服务器。 为了以非root用户运行 &xfree86; 您必须安装 x11/wrapper 软件。在FreeBSD 4.7及以上 版本是默认安装的，但以前的版本要手工安装到系统中。 要知道您的显卡是否被支持，请参考 &xfree86; 网站。 User Confirmation Requested Would you like to configure your X server at this time? [ Yes ] No 您需要了解监视器和显卡信息的制造规格。 如果配置有误， 可能会造成设备损毁。 如果您一时没有这样的信息， 请选择 &gui.no;， 之后再通过 sysinstall (对于 &os; 5.2 以前的版本来说， 是 /stand/sysinstall)， 选择 Configure 然后是 XFree86 来配置。 如果设置不当， X 服务器将导致系统停止响应。 通常， 建议您在安装完成之后再配置 X 服务程序。 如果您有显卡和显示器的信息，请选择 &gui.yes; 并按 Enter 来配置 X-server。
选择配置方法菜单
您可以通过许多方法来配置 X server。在认真读了所有的说明后， 请使用方向键来选择一种配置方式，并按Enter 键确认。 xf86cfg 和 xf86cfg -textmode 配置方法可能会使屏幕黑屏一会， 过一会即会启动。要有耐心。 下面将介绍xf86config 配置工具。 根据系统硬件的不同，下面的信息可能会适当的发生变动： Message You have configured and been running the mouse daemon. Choose "/dev/sysmouse" as the mouse port and "SysMouse" or "MouseSystems" as the mouse protocol in the X configuration utility. [ OK ] [ Press enter to continue ] 这个信息指明，前面配置的鼠标驱动程序被检测到。按 Enter 键继续。 启动 xf86config 后会显示一个简单的说明： This program will create a basic XF86Config file, based on menu selections you make. The XF86Config file usually resides in /usr/X11R6/etc/X11 or /etc/X11. A sample XF86Config file is supplied with XFree86; it is configured for a standard VGA card and monitor with 640x480 resolution. This program will ask for a pathname when it is ready to write the file. You can either take the sample XF86Config as a base and edit it for your configuration, or let this program produce a base XF86Config file for your configuration and fine-tune it. Before continuing with this program, make sure you know what video card you have, and preferably also the chipset it uses and the amount of video memory on your video card. SuperProbe may be able to help with this. Press enter to continue, or ctrl-c to abort. 按 Enter 将启动鼠标配置。请按照指示选择 Mouse Systems 作为鼠标协议， /dev/sysmouse 作为鼠标端口。下面的例子 向您说明的是使用一个 PS/2 鼠标： First specify a mouse protocol type. Choose one from the following list: 1. Microsoft compatible (2-button protocol) 2. Mouse Systems (3-button protocol) & FreeBSD moused protocol 3. Bus Mouse 4. PS/2 Mouse 5. Logitech Mouse (serial, old type, Logitech protocol) 6. Logitech MouseMan (Microsoft compatible) 7. MM Series 8. MM HitTablet 9. Microsoft IntelliMouse If you have a two-button mouse, it is most likely of type 1, and if you have a three-button mouse, it can probably support both protocol 1 and 2. There are two main varieties of the latter type: mice with a switch to select the protocol, and mice that default to 1 and require a button to be held at boot-time to select protocol 2. Some mice can be convinced to do 2 by sending a special sequence to the serial port (see the ClearDTR/ClearRTS options). Enter a protocol number: 2 You have selected a Mouse Systems protocol mouse. If your mouse is normally in Microsoft-compatible mode, enabling the ClearDTR and ClearRTS options may cause it to switch to Mouse Systems mode when the server starts. Please answer the following question with either 'y' or 'n'. Do you want to enable ClearDTR and ClearRTS? n You have selected a three-button mouse protocol. It is recommended that you do not enable Emulate3Buttons, unless the third button doesn't work. Please answer the following question with either 'y' or 'n'. Do you want to enable Emulate3Buttons? y Now give the full device name that the mouse is connected to, for example /dev/tty00. Just pressing enter will use the default, /dev/mouse. On FreeBSD, the default is /dev/sysmouse. Mouse device: /dev/sysmouse 下一个要配置的项目是键盘。在例子中使用的键盘一般是101-key 。您可以选择不 同的键盘类型或直接按 Enter 键来使用默认配置。 Please select one of the following keyboard types that is the better description of your keyboard. If nothing really matches, choose 1 (Generic 101-key PC) 1 Generic 101-key PC 2 Generic 102-key (Intl) PC 3 Generic 104-key PC 4 Generic 105-key (Intl) PC 5 Dell 101-key PC 6 Everex STEPnote 7 Keytronic FlexPro 8 Microsoft Natural 9 Northgate OmniKey 101 10 Winbook Model XP5 11 Japanese 106-key 12 PC-98xx Series 13 Brazilian ABNT2 14 HP Internet 15 Logitech iTouch 16 Logitech Cordless Desktop Pro 17 Logitech Internet Keyboard 18 Logitech Internet Navigator Keyboard 19 Compaq Internet 20 Microsoft Natural Pro 21 Genius Comfy KB-16M 22 IBM Rapid Access 23 IBM Rapid Access II 24 Chicony Internet Keyboard 25 Dell Internet Keyboard Enter a number to choose the keyboard. 1 Please select the layout corresponding to your keyboard 1 U.S. English 2 U.S. English w/ ISO9995-3 3 U.S. English w/ deadkeys 4 Albanian 5 Arabic 6 Armenian 7 Azerbaidjani 8 Belarusian 9 Belgian 10 Bengali 11 Brazilian 12 Bulgarian 13 Burmese 14 Canadian 15 Croatian 16 Czech 17 Czech (qwerty) 18 Danish Enter a number to choose the country. Press enter for the next page 1 Please enter a variant name for 'us' layout. Or just press enter for default variant us Please answer the following question with either 'y' or 'n'. Do you want to select additional XKB options (group switcher, group indicator, etc.)? n 接下来，我们要配置显示器。不要超过您显示器的刷新频率，这样可能 会损坏您的显示器。如果您有疑问，请参考其它信息后再做配置。 Now we want to set the specifications of the monitor. The two critical parameters are the vertical refresh rate, which is the rate at which the whole screen is refreshed, and most importantly the horizontal sync rate, which is the rate at which scanlines are displayed. The valid range for horizontal sync and vertical sync should be documented in the manual of your monitor. If in doubt, check the monitor database /usr/X11R6/lib/X11/doc/Monitors to see if your monitor is there. Press enter to continue, or ctrl-c to abort. You must indicate the horizontal sync range of your monitor. You can either select one of the predefined ranges below that correspond to industry- standard monitor types, or give a specific range. It is VERY IMPORTANT that you do not specify a monitor type with a horizontal sync range that is beyond the capabilities of your monitor. If in doubt, choose a conservative setting. hsync in kHz; monitor type with characteristic modes 1 31.5; Standard VGA, 640x480 @ 60 Hz 2 31.5 - 35.1; Super VGA, 800x600 @ 56 Hz 3 31.5, 35.5; 8514 Compatible, 1024x768 @ 87 Hz interlaced (no 800x600) 4 31.5, 35.15, 35.5; Super VGA, 1024x768 @ 87 Hz interlaced, 800x600 @ 56 Hz 5 31.5 - 37.9; Extended Super VGA, 800x600 @ 60 Hz, 640x480 @ 72 Hz 6 31.5 - 48.5; Non-Interlaced SVGA, 1024x768 @ 60 Hz, 800x600 @ 72 Hz 7 31.5 - 57.0; High Frequency SVGA, 1024x768 @ 70 Hz 8 31.5 - 64.3; Monitor that can do 1280x1024 @ 60 Hz 9 31.5 - 79.0; Monitor that can do 1280x1024 @ 74 Hz 10 31.5 - 82.0; Monitor that can do 1280x1024 @ 76 Hz 11 Enter your own horizontal sync range Enter your choice (1-11): 6 You must indicate the vertical sync range of your monitor. You can either select one of the predefined ranges below that correspond to industry- standard monitor types, or give a specific range. For interlaced modes, the number that counts is the high one (e.g. 87 Hz rather than 43 Hz). 1 50-70 2 50-90 3 50-100 4 40-150 5 Enter your own vertical sync range Enter your choice: 2 You must now enter a few identification/description strings, namely an identifier, a vendor name, and a model name. Just pressing enter will fill in default names. The strings are free-form, spaces are allowed. Enter an identifier for your monitor definition: Hitachi 下一个配置是从显卡的驱动列表里选择一个显卡驱动程序。如果忽略 当前列表中的选项，请直接按Enter 下一屏将会出现在屏幕上， 会显示下面的信息： Now we must configure video card specific settings. At this point you can choose to make a selection out of a database of video card definitions. Because there can be variation in Ramdacs and clock generators even between cards of the same model, it is not sensible to blindly copy the settings (e.g. a Device section). For this reason, after you make a selection, you will still be asked about the components of the card, with the settings from the chosen database entry presented as a strong hint. The database entries include information about the chipset, what driver to run, the Ramdac and ClockChip, and comments that will be included in the Device section. However, a lot of definitions only hint about what driver to run (based on the chipset the card uses) and are untested. If you can't find your card in the database, there's nothing to worry about. You should only choose a database entry that is exactly the same model as your card; choosing one that looks similar is just a bad idea (e.g. a GemStone Snail 64 may be as different from a GemStone Snail 64+ in terms of hardware as can be). Do you want to look at the card database? y 288 Matrox Millennium G200 8MB mgag200 289 Matrox Millennium G200 SD 16MB mgag200 290 Matrox Millennium G200 SD 4MB mgag200 291 Matrox Millennium G200 SD 8MB mgag200 292 Matrox Millennium G400 mgag400 293 Matrox Millennium II 16MB mga2164w 294 Matrox Millennium II 4MB mga2164w 295 Matrox Millennium II 8MB mga2164w 296 Matrox Mystique mga1064sg 297 Matrox Mystique G200 16MB mgag200 298 Matrox Mystique G200 4MB mgag200 299 Matrox Mystique G200 8MB mgag200 300 Matrox Productiva G100 4MB mgag100 301 Matrox Productiva G100 8MB mgag100 302 MediaGX mediagx 303 MediaVision Proaxcel 128 ET6000 304 Mirage Z-128 ET6000 305 Miro CRYSTAL VRX Verite 1000 Enter a number to choose the corresponding card definition. Press enter for the next page, q to continue configuration. 288 Your selected card definition: Identifier: Matrox Millennium G200 8MB Chipset: mgag200 Driver: mga Do NOT probe clocks or use any Clocks line. Press enter to continue, or ctrl-c to abort. Now you must give information about your video card. This will be used for the "Device" section of your video card in XF86Config. You must indicate how much video memory you have. It is probably a good idea to use the same approximate amount as that detected by the server you intend to use. If you encounter problems that are due to the used server not supporting the amount memory you have (e.g. ATI Mach64 is limited to 1024K with the SVGA server), specify the maximum amount supported by the server. How much video memory do you have on your video card: 1 256K 2 512K 3 1024K 4 2048K 5 4096K 6 Other Enter your choice: 6 Amount of video memory in Kbytes: 8192 You must now enter a few identification/description strings, namely an identifier, a vendor name, and a model name. Just pressing enter will fill in default names (possibly from a card definition). Your card definition is Matrox Millennium G200 8MB. The strings are free-form, spaces are allowed. Enter an identifier for your video card definition: 接下来，设置显卡的分辨率。典型的使用范围是 640x480, 800x600, 和 1024x768，这些显卡的功能特性、分辨率的大小以眼睛的舒适为准。 当选择颜色深度时，可以选择您显卡支持最大模式。 For each depth, a list of modes (resolutions) is defined. The default resolution that the server will start-up with will be the first listed mode that can be supported by the monitor and card. Currently it is set to: "640x480" "800x600" "1024x768" "1280x1024" for 8-bit "640x480" "800x600" "1024x768" "1280x1024" for 16-bit "640x480" "800x600" "1024x768" "1280x1024" for 24-bit Modes that cannot be supported due to monitor or clock constraints will be automatically skipped by the server. 1 Change the modes for 8-bit (256 colors) 2 Change the modes for 16-bit (32K/64K colors) 3 Change the modes for 24-bit (24-bit color) 4 The modes are OK, continue. Enter your choice: 2 Select modes from the following list: 1 "640x400" 2 "640x480" 3 "800x600" 4 "1024x768" 5 "1280x1024" 6 "320x200" 7 "320x240" 8 "400x300" 9 "1152x864" a "1600x1200" b "1800x1400" c "512x384" Please type the digits corresponding to the modes that you want to select. For example, 432 selects "1024x768" "800x600" "640x480", with a default mode of 1024x768. Which modes? 432 You can have a virtual screen (desktop), which is screen area that is larger than the physical screen and which is panned by moving the mouse to the edge of the screen. If you don't want virtual desktop at a certain resolution, you cannot have modes listed that are larger. Each color depth can have a differently-sized virtual screen Please answer the following question with either 'y' or 'n'. Do you want a virtual screen that is larger than the physical screen? n For each depth, a list of modes (resolutions) is defined. The default resolution that the server will start-up with will be the first listed mode that can be supported by the monitor and card. Currently it is set to: "640x480" "800x600" "1024x768" "1280x1024" for 8-bit "1024x768" "800x600" "640x480" for 16-bit "640x480" "800x600" "1024x768" "1280x1024" for 24-bit Modes that cannot be supported due to monitor or clock constraints will be automatically skipped by the server. 1 Change the modes for 8-bit (256 colors) 2 Change the modes for 16-bit (32K/64K colors) 3 Change the modes for 24-bit (24-bit color) 4 The modes are OK, continue. Enter your choice: 4 Please specify which color depth you want to use by default: 1 1 bit (monochrome) 2 4 bits (16 colors) 3 8 bits (256 colors) 4 16 bits (65536 colors) 5 24 bits (16 million colors) Enter a number to choose the default depth. 4 最后，要保存您的配置，确定输入 /etc/X11/XF86Config 作为保存位置。 I am going to write the XF86Config file now. Make sure you don't accidently overwrite a previously configured one. Shall I write it to /etc/X11/XF86Config? y 如果您配置失败，您也可以尝试着按 &gui.yes; 来 重新再试一次，会显示下面的信息： User Confirmation Requested The XFree86 configuration process seems to have failed. Would you like to try again? [ Yes ] No 如果配置 &xfree86;时遇上困难，请选择 &gui.no; 并按 Enter键继续 进行安装。安装完成后可以使用 xf86cfg -textmode 或 xf86config 命令行配置程序来以 root 用户的身份进行配置。配置 &xfree86; 的另外一种方法 描述在 。如果您选择不配置&xfree86; 那么下一个菜单将让您选择要安装的软件包。 默认情况下可以使用组合键 CtrlAlt Backspace，在发生错误或在硬件损坏前退出 设置屏幕。 默认的显示模式可以使用X系统下的 CtrlAlt+ 或 CtrlAlt- 来改变。 一旦有了可以运行的 &xfree86;， 就可以使用 xvidtune 来调整显示的高度和宽度以及显示器的中心位置。 一些不适当的配置可能会损坏您的设备。如果在使用它们前存在疑虑，请不要 安装它们。可以使用监视器的控制工具来调整X窗口的显示。与文本显示模式不同 它更容易损坏设备。 在调整这些参数前，请阅读 &man.xvidtune.1; 手册。 下面是一个配置 &xfree86; 的成功例子，它选择了 使用默认的桌面。 选择默认的桌面 从 &os; 5.3-RELEASE 开始， X 桌面的选择机制已经从 sysinstall 中删掉了。 您只能在安装好 &os; 之后再配置它。 关于安装和配置 X 桌面的更多细节可以在 找到。 如果不是在安装 &os; 5.3-RELEASE 之前的版本， 则可以跳过这一节。 有许多窗口管理器可以使用。它们从基本的桌面环境到全部的桌面应用，是 一个大型的软件集。一些人可能只希望使用一些占用磁盘空间少，内存低的窗口 管理器；而另外一些人则更倾向于使用有便多特性的桌面环境。选择使用那种桌 面的最好的方法就是尝试着试用一些不同的桌面环境。这些桌面都可以在安装 完成后通过ports收集或包管理器来进行安装。 您可以选择一个流行的桌面配置成为默认的桌面，可以使您在安装完 成后立刻启动它。
选择默认桌面
使用箭头选择一个桌面，然后键入Enter键。选择的桌面将被 安装。 安装软件包 这些软件包已经被预编译成二进制程序了，安装软件有一个很简单的方法。 前面已经介绍了如何安装一个软件包的例子。 如果需要的话， 在安装结束之后， 仍然可以使用 sysinstall (对于 &os; 5.2 之前的版本是 /stand/sysinstall) 来安装其他软件包。 User Confirmation Requested The FreeBSD package collection is a collection of hundreds of ready-to-run applications, from text editors to games to WEB servers and more. Would you like to browse the collection now? [ Yes ] No 选择 &gui.yes; 按Enter 将会显示软件包选择屏幕。
选择软件所的种类
在任何时候只有安装介质上有的软件包才能被安装进系统。 如果选择All 那么所有的软件包将会被显示，您也 可以选择一个特殊的分类。使用箭头进行选择，然后键入 Enter。 一个菜单将会显示这个分类中可用的所有软件包。
选择软件包
bash shell 被选中了。通过在加亮的软件 上键入Space 键，来选择您想要的软件所。每个选择的软件 包的简短描述都会显示在屏幕左下脚。 按 Tab 键选择 &gui.ok;或 &gui.cancel;。 当您完成了安装标记之后，键入 Tab 键选择 &gui.ok; 然后键入Enter 返回软件包选择菜单。 左右箭头键也可以用来选择 &gui.ok;和 &gui.cancel;。用这种方法也可以 用 &gui.ok; 然后按 Enter 来返回软件包选择菜单。
安装软件包
使用 Tab 和箭头键来选择 [ Install ] 然后键入 Enter。您接着需要确定您要安装的软件包。
确认安装的软件包
选择 &gui.ok; 然后键入Enter 键将开始软件的安装， 安装信息将会不断地出现。如果有一些错误信息，请作好记录。 安装完成之后，继续最后的配置。如果您不想安装任何软件包并退回到 最终配置屏幕，请选择Install 。 添加用户/组 您至少要在安装过程中添加一个用户，以便于您能不用root 来登录使用系统。根分区通常比较小，用 root 来运行应用程序 可能会快一点。但这样会有一些危险： User Confirmation Requested Would you like to add any initial user accounts to the system? Adding at least one account for yourself at this stage is suggested since working as the "root" user is dangerous (it is easy to do things which adversely affect the entire system). [ Yes ] No 选择 &gui.yes; 然后键入Enter 继续添加用户。
选择用户
用箭头键来选择 User 然后按 Enter。
添加用户信息
下面的描述信息会出现在屏幕的下方，可以使用 Tab 键来切换不同的项目，以便输入相关信息： Login ID 新用户的登录名（强制性必须写） UID 这个用户的ID编号（如果不写，系统自动添加） Group 这个用户的登录组名（如果不写，系统自动添加） Password 这个用户的密码（键入这个需要很仔细！） Full name 用户的全名（解释、备注） Member groups 这个用户所在的组 Home directory 用户的主目录（如果不写，系统自动添加） Login shell 用户登录的shell（默认是/bin/sh）。 你可以将登录 shell 由 /bin/sh 改为 /usr/local/bin/bash， 以便使用事先以 package 形式安装的 bash shell。 不要使用一个不存在的或您不能登录的shell。最通用的shell是使用 BSD-world 的 C shell，可以通过指定/bin/tcsh来修改。 用户也可以被添加到 wheel 组中成了一个超级用户， 从而拥有 root权限。 当您感觉满意时，键入 &gui.ok; 键，用户和组管理菜单将会重新出现。
退出用户和组管理
如果有其他的需要， 此时还可以添加其他的组。 此外， 还可以通过 sysinstall (在 &os; 5.2 以前的版本中是 /stand/sysinstall) 在安装完成之后添加它们。 当您完成添加用户的时候，选择Exit 然后键入Enter 继续下面的安装。 设置 <username>root</username> 密码 Message Now you must set the system manager's password. This is the password you'll use to log in as "root". [ OK ] [ Press enter to continue ] 键入 Enter 来设置 root 密码。 密码必须正确地输入两次。 毋庸讳言， 您需要选择一个不容易忘记的口令。 请注意您输入的口令不会回显， 也不会显示星号。 Changing local password for root. New password : Retype new password : 密码成功键入后，安装将继续。 退出安装 如果您需要设置其他的网络设备， 或者需要完成其他的配置， 可以在此时或者事后通过 sysinstall (对于 &os; 5.2 之前的版本是 /stand/sysinstall) 来进行配置。 User Confirmation Requested Visit the general configuration menu for a chance to set any last options? Yes [ No ] 选择 &gui.no; 然后键入 Enter 返回到主安装菜单。
退出安装
选择 [X Exit Install] 然后键入 Enter。您可能需要确认是否真的退出安装： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies from the drives). [ Yes ] No 选择 &gui.yes; 取出软盘。CDROM驱动器将被锁定， 直到机器重新启动。CDROM然后就可以从驱动器中取出来了。 在系统重新启动的时候可能会见到出错信息。 FreeBSD的启动 FreeBSD 在 &i386;上启动 如果启动正常，您将看到在屏幕上有很多信息滚动，最后您会看到登录命令行。 您可以通过键入 Scroll-Lock和使用 PgUp 与 PgDn来查看信息，再键入 Scroll-Lock 回到命令行。 记录信息可能不会显示（缓冲区的限制）。您可以通过键入 dmesg 来查看。 使用您在安装过程中设置的用户名/密码来登录。（例子中使用 rpratt）。除非必须的时候请不要用 root 用户登录。 典型的启动信息：（忽略版本信息） Copyright (c) 1992-2002 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. Timecounter "i8254" frequency 1193182 Hz CPU: AMD-K6(tm) 3D processor (300.68-MHz 586-class CPU) Origin = "AuthenticAMD" Id = 0x580 Stepping = 0 Features=0x8001bf<FPU,VME,DE,PSE,TSC,MSR,MCE,CX8,MMX> AMD Features=0x80000800<SYSCALL,3DNow!> real memory = 268435456 (262144K bytes) config> di sn0 config> di lnc0 config> di le0 config> di ie0 config> di fe0 config> di cs0 config> di bt0 config> di aic0 config> di aha0 config> di adv0 config> q avail memory = 256311296 (250304K bytes) Preloaded elf kernel "kernel" at 0xc0491000. Preloaded userconfig_script "/boot/kernel.conf" at 0xc049109c. md0: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1: <VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <ISA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0: <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci0 usb0: <VIA 83C572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr 1 uhub0: 2 ports with 2 removable, self powered chip1: <VIA 82C586B ACPI interface> at device 7.3 on pci0 ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xe800-0xe81f irq 9 at device 10.0 on pci0 ed0: address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq 2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <keyboard controller (i8042)> at port 0x60-0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq 1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/2 mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x1 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 ppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold ppbus0: IEEE1284 device found /NIBBLE Probing for PnP devices on ppbus0: plip0: <PLIP network interface> on ppbus0 lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port ppi0: <Parallel I/O> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master using UDMA33 ad2: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata1-master using UDMA33 acd0: CDROM <DELTA OTC-H101/ST3 F/W by OIPD> at ata0-slave using PIO4 Mounting root from ufs:/dev/ad0s1a swapon: adding /dev/ad0s1b as swap device Automatic boot in progress... /dev/ad0s1a: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1a: clean, 48752 free (552 frags, 6025 blocks, 0.9% fragmentation) /dev/ad0s1f: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1f: clean, 128997 free (21 frags, 16122 blocks, 0.0% fragmentation) /dev/ad0s1g: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1g: clean, 3036299 free (43175 frags, 374073 blocks, 1.3% fragmentation) /dev/ad0s1e: filesystem CLEAN; SKIPPING CHECKS /dev/ad0s1e: clean, 128193 free (17 frags, 16022 blocks, 0.0% fragmentation) Doing initial network setup: hostname. ed0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::5054::5ff::fede:731b%ed0 prefixlen 64 tentative scopeid 0x1 ether 52:54:05:de:73:1b lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x8 inet6 ::1 prefixlen 128 inet 127.0.0.1 netmask 0xff000000 Additional routing options: IP gateway=YES TCP keepalive=YES routing daemons:. additional daemons: syslogd. Doing additional network setup:. Starting final network daemons: creating ssh RSA host key Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: cd:76:89:16:69:0e:d0:6e:f8:66:d0:07:26:3c:7e:2d root@k6-2.example.com creating ssh DSA host key Generating public/private dsa key pair. Your identification has been saved in /etc/ssh/ssh_host_dsa_key. Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub. The key fingerprint is: f9:a1:a9:47:c4:ad:f9:8d:52:b8:b8:ff:8c:ad:2d:e6 root@k6-2.example.com. setting ELF ldconfig path: /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout starting standard daemons: inetd cron sshd usbd sendmail. Initial rc.i386 initialization:. rc.i386 configuring syscons: blank_time screensaver moused. Additional ABI support: linux. Local package initialization:. Additional TCP options:. FreeBSD/i386 (k6-2.example.com) (ttyv0) login: rpratt Password: 生成 RSA 和 DSA密钥在比较慢的机器上可能要花很长时间。这只是一个 新安装后的首次启动，以后的启动会变得更快一点。 如果已经完成 X 服务器的配置， 且指定了默认的桌面窗口管理器， 就可以在命令行键入 startx 来启动它了。 FreeBSD 在 Alpha机器上启动 Alpha 一旦安装完成，您就可以键入下面的命令来启动FreeBSD： >>>BOOT DKC0 这是从指定的固定硬件进行引导。如果要使 FreeBSD 下次能够自动启动， 使用下面的命令： >>> SET BOOT_OSFLAGS A >>> SET BOOT_FILE '' >>> SET BOOTDEF_DEV DKC0 >>> SET AUTO_ACTION BOOT 启动信息跟启动 &i386;机器时差不多。（但不完全一样） FreeBSD 关机 正确的关闭操作系统是很重要的。不要仅仅关闭电源。首先，您需要成为一个超 级用户，通过键入 su 命令来实现。然后输入 root 密码。这需要用户是 wheel 组的一名成员。然后，以root键入 shutdown -h now命令。 The operating system has halted. Please press any key to reboot. 当shutdown命令发出后，屏幕上出现 Please press any key to reboot 信息时，您就可以安全的关闭计算机了。如果按下任意一个键，计算机将重新启动。 您也能够使用 Ctrl Alt Del 组合键来重新启动计算机，但是不推荐使用这个操作。 支持的硬件 hardware FreeBSD当前可以广泛运行在ISA、VLB、EISA、PCI总线的PC上，包括 Inter,AMD,Cyrix或 NexGen x86系列的机器，还有一些 Compaq Alpha的机器。支持普通的 IDE 或 ESDI 驱动配置，各种SCSI控制器， PCMCIA卡，USB设备，网卡和其它网络串口设备。FreeBSD也支持IBM微通道 （MCA）的总线结构。 每个发行版都会提供一个FreeBSD支持的硬件列表。您可以在名字叫做 HARDWARE.TXT的文件中找到。它可以在CDROM或FTP发行组件 或sysinstall的文档菜单中找到。对于特定的架构，都 有相应的硬件支持列表。也可以在FreeBSD的网站 Release Information 找到更多的信息。 常见问题 安装 常见问题 下面将介绍一些在安装过程中常见的问题，像如何报告发生的问题，如何 双重启动FreeBSD和 &ms-dos;。 当您遇到错误时，应该怎么做？ 由于pc结构的限制，不可能100%的不出现问题，但是有些问题是您可以 自己解决的。 先检查您的硬件，确保您的硬件被支持。 如果您的硬件能够被支持，但还是会出问题，那就重新启动计算机。当出现 内核配置信息的时候，重新配置一下硬件信息。因为绝大多数硬件的IRQ，IO地 址，DMA通道都有它们的生产商预先进行默认配置。如果您的硬件已经重新装配了， 就需要使用配置编辑器告诉FreeBSD到哪里去找相关信息。 如果某个设备配置好后，发现又有个设备出现错误。碰到这种情况，就当卸掉 这个设备的驱动程序。 有些安装问题可以借助更新硬件的程序来解决，特别是主板的 BIOS 。大部分的主板制造商都会提供网站给用户下载新的 BIOS以及提供如何更新的说明。 也有许多制造商强烈建议，除非必要否则不要轻易更新 BIOS 。因为更新的过程可能 会发生问题，进而损害BIOS 芯片。 不要禁用安装过程中您会用到的驱动程序， 例如显示 sc0。 如果安装程序在修改了某些配置之后安装程序行为诡异或失败， 您可能修改或删除了某些不应删除的组件。 如果遇到这种情况， 应重新启动以便尝试其他设置。 在配置模式下，您可以： 列出在内核中安装的设备驱动程序。 禁用不适合您机器的设备驱动程序。 通过驱动程序改变IRQ，DRQ和IO端口地址。 调整内核与您的硬件设置一致之后，键入 Q ，以新的设置 重新启动计算机。当FreeBSD安装完成之后，在配置模式下做的更改会一直存在，不需 要在每次启动计算机时再重新设置。即使如此，有可能您会想建立一个定制内核使您 的系统效率达到最好，可以看看以下的链接 custom kernel。 处理 &ms-dos; 分区存在的问题 DOS 许多 &os; 的用户会在运行了 µsoft; 的 PC 上安装 FreeBSD。 以下是一些关于在这种系统中安装 FreeBSD 常会出现的问题。 &os; 中有一个叫 FIPS 的应用程序。 此工具程序可以在安装光盘的 tools 目录下找到， 或者， 也可以从 &os; 的镜像站点 下载。 FIPS 允许您将现有的 &ms-dos; 分区一分为二， 保留原原有的分区， 而将新系统安装到空出来的分区上。 首先要整理 &ms-dos; 分区的碎片， 您可以用 &windows; 的 Disk Defragmenter (进入资源管理器， 右键单击硬盘， 并选择整理碎片) 或 Norton Disk Tools 来完成这项工作。 接下来就可以运行 FIPS， 它会提示您接下来所需要进行的操作。 接下来就可以重新启动并将 &os; 安装到新空出来的分区中了。 安装所需的磁盘空间， 可以从 Distributions 菜单给出的值来进行估计。 有一个由PowerQuest公司生产的非常有用的工具。从 http://www.powerquest.com网站上 可以得到&partitionmagic;。这个工具的功能比 FIPS要强大。如果您经常要添加或删除操作系统，强烈建议 您使用它。当然，它很贵。如果您只是想安装 &os; 的话， FIPS 就已足够了。 使用 &ms-dos; 和 &windows; 文件系统 现在 &os; 还不支持经过Double Space™ 应用程序压缩过的文件系统。因此其它的文件系统在被&os;访问其数据之前必须先 解压缩。它可以通过运行位于 Start> Programs > System Tools menu中的 Compression Agent程序来实现。 &os;可以支持基于 &ms-dos; 的文件系统。这要求您使用带参数的 &man.mount.msdosfs.8; 命令。 最常使用的是： &prompt.root; mount_msdosfs /dev/ad0s1 /mnt 在此例子中， &ms-dos; 文件系统位于主硬盘的第一个分区。您的情况可能与引不同， 查看命令 dmesg和 mount 的输出。它们应该 可以让您得到足够的分区信息。 &ms-dos; 的扩展分区会被映射在 &os;分区的末尾。换句话说，分区号要大于 &os; 正在使用的分区号。例如，第一个 &ms-dos; 分区可能位于 /dev/ad0s1，&os; 分区可能位于 /dev/ad0s2，跟着是 &ms-dos; 的扩展分区位于 /dev/ad0s3。这可能会使您感觉迷茫。 NTFS 分区也可以通过类似 &man.mount.ntfs.8; 命令挂接在FreeBSD上。 Alpha 用户的问题与解答 Alpha 这节主要回答一些在Alpha系统上安装FreeBSD时经常问到的问题。 我可以从 ARC 或 Alpha BIOS 控制台启动吗？ ARC Alpha BIOS SRM 不行。 &os;，像Compaq Tru64 和 VMS，只能从SRM 控制台启动。 求救，我没有空间了！我需要删除每一样东西吗？ 不，这个时候不行。 我可以挂上 Compaq Tru64 或 VMS 的文件系统吗？ 不，这个时候不行。 Valentino Vaschetto Contributed by 高级安装指南 这节主要描述在一些特殊情况下如何安装FreeBSD。 在一个没有显示器或键盘的系统上安装FreeBSD installation headless (serial console) serial console 这种类型的安装叫做 headless install（无关安装）， 因您正要安装FreeBSD的机器不是没带显示器，就是没有显卡。您可能会问那怎么安装？ 可以使用一个串行控制台。串行控制台基本上是使用另外一台机器来充当主显示设备 和键盘。要这样做，只要执行下面的步骤：创建安装软件，请看 一节说明。 按下面的步骤，修改这些软盘用来引导进入一个串行控制台： 通过启动软盘来引导进入一个串行控制台 mount 如果您想用软盘，FreeBSD将进入它通常的安装模式。我们要把FreeBSD 引导进入串行控制台，需要这样做，您必须使用 &man.mount.8;命令在FreeBSD系统 上挂一kern.flp的那个软盘。 &prompt.root; mount /dev/fd0 /mnt 现在您已经挂上了软盘， 需要进入 /mnt 目录： &prompt.root; cd /mnt 这儿是您必须设置软盘引导进入串行控制台的地方。您必须制作一个包含 /boot/loader -h这行的叫做boot.config 的文件。所有这些是为了给引导程序一个标记以引导进入串行控制台。 &prompt.root; echo "/boot/loader -h" > boot.config 现在您已经正确配置好了软盘，您必须使用 &man.umount.8; 命令卸下软盘。 &prompt.root; cd / &prompt.root; umount /mnt 现在您可以从软盘驱动器中取出软盘了。 连接您的 Null-modem 线 null modem cable 您现在需要一根null modem线来连接两台机器。 只要连接两台机器的串口。 普通的串行线是不行的，您需要使用一根null modem的线， 因为它在一些十字交叉口有金属线。 开始启动安装 现在开始启动安装。把 kern.flp 的那张软盘 插入软盘驱动器，然后开启电源。 连接您的无头机器 cu 现在您已经通过&man.cu.1;连接到了那台机器。 &prompt.root; cu -l /dev/cuaa0 就这样！您已经能够通过您的cu session对话来控制 那台无头机器了。它将要求您把 mfsroot.flp的那张软盘 插入驱动器，然后它将提示选择使用哪种终端。只要选择FreeBSD的彩色控制台，然后 继续您的安装。 准备您自己的安装介质 为了避免重复 FreeBSD disc 在这里指 FreeBSD CDROM or DVD 那即意味着您要购买或自己制做。 有好几个原因需要您创建自己的FreeBSD安装介质。这可能是物理介质，如磁带， 使用 sysinstall程序找到的安装文件，FTP站点或 &ms-dos;分区。 例如： 您有许多机器连接到本地网络，使用一个FreeBSD光盘。您要使用FreeBSD来 创建一个本地FTP站点，然后使用这个FTP站点来代替连接到Internet。 您有一张 FreeBSD 光盘， FreeBSD 不支持您的 CD/DVD 驱动器， 但 &ms-dos;/&windows; 支持。 您要复制安装文件到一个DOS分区， 然后使用这些文件进行安装。 您要安装的计算机没有 CD/DVD驱动器和网卡，但您可以连接一个 Laplink-style 串口或并口线缆到那台计算机。 您要通过一个磁带机来安装FreeBSD. 创建一张安装光盘 FreeBSD的每个发行版本都提供两张CDROM映像(ISO images)。 如果您有刻录机，这些映像文件可以被(burned) 成FreeBSD的安装光盘。 如果没有刻录机，而上网带宽却很便宜，它也是一种很好的安装方式。 下载正确的 ISO 映像文件 每个版本的ISO映像文件都可以从 ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-架构名/版本 或最近的镜像站点下载。选择合适的 架构 和 版本 。 目录中包含下面一些映像文件： FreeBSD 4.<replaceable>X</replaceable> ISO 映像文件名和含意 文件名 包含内容 版本-RELEASE-架构名-miniinst.iso 安装 FreeBSD 所需的全部文件。 版本-RELEASE-架构名-disc1.iso 安装 FreeBSD 所需的全部文件， 以及这张光盘能装下的、 尽可能多的第三方软件包。 版本-RELEASE-架构名-disc2.iso 一份用于与 sysinstall 中的 Repair(修复) 机制联用的 现场文件系统。 一份 FreeBSD CVS 目录的副本， 以及这张光盘能装下的、 尽可能多的第三方软件包。
- FreeBSD 5.<replaceable>X</replaceable> ISO 映像文件名和含意 + FreeBSD 5.<replaceable>X</replaceable> 和 6.<replaceable>X</replaceable> ISO 映像文件名和含意 文件名 包含内容 版本-RELEASE-架构-bootonly.iso 引导 FreeBSD 内核并启动安装界面所需的全部数据。 安装文件可以从 FTP 或其他安装源获得。 - - 版本-RELEASE-架构名-miniinst.iso - - 安装 FreeBSD 所需的全部文件。 - - 版本-RELEASE-架构名-disc1.iso 安装 FreeBSD 所需的全部文件， 以及一份用于与 sysinstall 中的 Repair(修复) 机制联用的 现场文件系统。 版本-RELEASE-架构名-disc2.iso &os; 文档以及这张光盘能装下的、 尽可能多的第三方软件包。
您 必须 下载 miniinst - ISO 镜像或第一张光盘的镜像之一。 不需要两个都下载， + ISO 镜像 (如果有的话) 或第一张光盘的镜像之一。 不需要两个都下载， 因为第一张光盘包括了 miniinst ISO 的全部内容。 - - miniinst ISO 镜像只有在 - 5.4-RELEASE 之前的版本才提供。 - - 如果访问 Internet 的价格便宜， 建议使用 miniinst ISO。 这样您可以安装 FreeBSD， 并从网上通过 ports/packages 系统 (参见 ) 根据需要下载和安装第三方软件包。 如果您正打算安装 &os; 并同时选择一些第三方软件包， 则可以下载第一张光盘的镜像文件。 其它的映像盘也是很有用的，但不是必须的，尤其是在您有高速的网络连接时。 刻录 CDs 您必须把这些映像文件刻录成光盘。如果您在其它的FreeBSD系统上完成 此项工作，请看 得到更多的信息，（特别是 和 ） 如果您在其它的系统平台上执行，您需要相应的刻录软件。映像文件使用 的是标准的ISO格式，必须被您的刻录软件所支持。 如果有兴趣制作一张定制的 FreeBSD 版本， 请参考 Release Engineering Article。 为 FreeBSD 安装盘建立局域网 FTP 站点 installation network FTP FreeBSD 光盘的布局和 FTP 站点相同。 这样， 建立局域网 FTP 站点来用于网络上的其它计算机安装 FreeBSD， 就十分的容易。 在要作为FTP站点的那台FreeBSD机器上，确定FreeBSD磁盘放入光驱 中并将它挂在/cdrom目录中。 &prompt.root; mount /cdrom 在/etc/passwd文件中建立一个可匿名访问FTP 服务器的账号。您可以利用&man.vipw.8; 命令编辑/etc/passwd 文件，加入下面这一行叙述： ftp:*:99:99::0:0:FTP:/cdrom:/nonexistent 确定在/etc/inetd.conf配置文件中开启 了FTP服务。 任何本地网络中的机器在安装FreeBSD选择安装介质时就可以选择透过 FTP站点，然后选取 Other后输入 ftp://本地FTP服务器 即可以透过本地的FTP站点来安装FreeBSD。 如果用作 FTP 客户端的引导介质 (通常是软盘) 与本地局域网的 FTP 站点上的版本不一致， sysinstall 会不允许您完成安装。 如果您使用的版本差距不很大， 并且希望绕过这一判断， 则应进入 Options 菜单， 并将安装包的名字改为 any。 此方式最好使用在有防火墙保护的内部网络。如果要将此FTP服务公开给外面的 网际网络（非本地用户），您的电脑必须承担被侵入或其它的风险。我们强烈建议您 要有完善的安全机制才这样做。 创建安装软盘 installation floppies 如果您从软盘安装（我们不推荐那样做），或者是由于 不支持硬件或者更简单的理由是因为您坚持要使用软盘安装。您必须准备几张软盘。 至少这些软盘必须是 1.44 MB 或 1.2 MB 的，用来容纳所有在 bin (命令) 目录下的文件。如果您在 DOS 操作系统下准备就 MUST使用 &ms-dos;下的 FORMAT 命令来格式化软盘。 如果您使用的是 &windows; 操作系统， 在资源管理器中就可以完成这个工作 (用右键单击 A: 驱动器， 并选择 Format)。 不要 指望厂家的预先格式化！ 最好还是亲自进行格式化。 过去用户报告的很多问题都是由于不正确地使用格式化设备所造成的， 所以我们需要在这里着重提一下。 如果您在另外一台FreeBSD的机器上做了启动盘的话，进行格式化是一个不 错的主意。虽然您不需要把每张盘都做成DOS文件系统。您也可以使用 bsdlabel 和 newfs 命令来创建一个UFS文件系统，具体操作按下面的顺序进行： &prompt.root; fdformat -f 1440 fd0.1440 &prompt.root; bsdlabel -w -r fd0.1440 floppy3 &prompt.root; newfs -t 2 -u 18 -l 1 -i 65536 /dev/fd0 如果使用 5.25"软盘的话，需要使用 fd0.1200 和 floppy5 来格式化 1.2 MB 的磁盘空间。 然后您就可以像其它的文件系统一样挂上和写入这些磁盘。 格式化这些磁盘后，您必须把文件复制到磁盘中。 这些发行文件被分割成刚好可存进五张 1.44 MB 软盘。 检查您所有的磁盘， 找出所有可能适合的文件。 直到您找到所有需要的配置并且将它们以这种方式安置。 第一个配置都应该有一个子目录在磁盘上， 例如： a:\bin\bin.aa、 a:\bin\bin.ab， 等等。 一旦您进入选择安装介质的屏幕，选择 Floppy 将会看到后面的提示符。 从 &ms-dos; 分区安装 installation from MS-DOS 如果从 &ms-dos; 分区安装， 您需要将发布文件复制到该分区根目录下的 freebsd 目录中。 例如： c:\freebsd。 您必须复制一部分 CDROM 或 FTP 上的目录结构， 因此， 如果您从光盘进行复制， 建议使用 DOS 的 xcopy 命令。 下面是准备进行 FreeBSD 最小系统安装的例子： C:\> md c:\freebsd C:\> xcopy e:\bin c:\freebsd\bin\ /s C:\> xcopy e:\manpages c:\freebsd\manpages\ /s 假设 C: 盘是您的空闲空间， E: 盘是您挂接的 CDROM。 如果您没有光盘驱动器，您可以从以下网站下载发行包。 ftp.FreeBSD.org. 每一个发行包都在一个目录中，例如 base 发行包可以在 &rel.current;/base/目录中找到。 对很多发行包来说，如果您希望从 &ms-dos;分区安装的话（您有足够的空间）， 安装 c:\freebsd — 下的每个文件－这个 BIN 发行包只是最低限度的要求。 创建一个安装磁带 installation from QIC/SCSI Tape 从磁带安装也许是最简单的方式，比在线使用 FTP 安装或使用 CDROM 还快。 安装的程序假设是简单地被压缩在磁带上。在您得到所有配置文件后，简单地解开它们， 用下面的命令： &prompt.root; cd /freebsd/distdir &prompt.root; tar cvf /dev/rwt0 dist1 ... dist2 在您安装的时候，您要确定留有足够的空间给临时目录（允许您选择） 来容纳磁带安装时 全部 的内容。由于不是随机访问 磁带的，所以这种安装方法需要很多临时空间。 开始安装时，在从软盘启动 之前， 磁带机必须已经放在驱动设备中。 否则， 安装过程中可能会找不到它。 通过网络安装 installation network serial (SLIP or PPP) installation network parallel (PLIP) installation network Ethernet 有三种类型的网络安装方法。串口（SLIP或PPP），并口（PLIP），以太网 （标准的以太网控制器，包括PCMCIA）。 SLIP 支持是相当原始的，并且被限制在主要对hard-wired 的连接，就像 一台膝上型计算机与另一台计算机间的串行线。现在的SLIP的安装还没有提供拨号功能， 这个连接应该是 hard-wired ；用PPP工具提供的这种便利性应该首先尽可能被用于SLIP 设备。 如果您使用一个MODEM，那您就只有PPP这一种选择了。在您安装的过程中， 要确定您能很容易地获得完整且快速的关于您服务提供商的信息。 如果您使用 PAP 或 CHAP 方式连接到您的 ISP，（换句话说，如果您不使用 脚本在&windows;中连接到您的ISP），那么您需要在ppp 提示符下输入dial 命令。否则，当PPP连接者只提供一种最简单的 终端模拟器，您必须知道如何使用针对MODEM的 AT commands拨号到您 的ISP。想知道更深入的信息可以参考用户级PPP那节 handbook and FAQ 。如果您有一些问题，可以使用 set log local ...命令将日志显示在屏幕上。 您也可以通过并口电缆连接到另外一台FreeBSD（2.0或以后的版本）机器上进行 安装，您可以考虑使用 laplink 并口电缆进行安装。通过并口安装要 比通过串口（最高 50 kbytes/sec）安装快得多。 最后，通过网络安装最快的方法是利用以太网技术！FreeBSD支持绝大多数普通 的以太网卡。每个FreeBSD发行版都在硬件注释中提供支持的网卡的列表和需要的设置。 如果您要使用PCMCIA接口的以太网，在启动计算机 之前， 确信已经把它插好了。目前，FreeBSD还不支持PCMCIA的热插拔。 通过网络安装，您可能需要知道IP地址，地址掩码，还有机器的名字。如果您 通过PPP进行安装，就不需要静态的IP地址，IP地址会由ISP给您自动指派。您的系统 管理员会告诉您通过网络安装的细节。如果您通过主机名而不是IP地址来访问其它主 机，需要有一个域名服务器或一个网关地址（如果您使用PPP进行安装，那它就是您的 ISP的IP地址）。如果您要通过一个HTTP的代理服务器进行FTP安装，需要一个代理 服务器地址。如果您不知道这些，在安装 之前可以询问 您的系统管理员或您的ISP服务商。 通过NFS安装之前 installation network NFS NFS 安装方式是非常方便的。 只需要简单地将 FreeBSD 文件复制到一台服务器上， 然后在安装时选择NFS介质。 如果这个服务器要特权端口才能支持（如SUN的工作站）， 您需要在安装前在 Options 菜单中设置 NFS Secure。 如果您的一台网卡比较糟糕，速度很慢，则应考虑 NFS Slow的选项。 为了达到NFS安装的目的，这个服务器必须支持 subdir 加载。例如，如果您的 FreeBSD &rel.current; 目录存在： ziggy:/usr/archive/stuff/FreeBSD，然后 ziggy 将必须允许直接挂上 /usr/archive/stuff/FreeBSD，而不仅仅是 /usr 或 /usr/archive/stuff。 在 FreeBSD的 /etc/exports 配置文件中，是由 选项来控制的。其它 NFS服务器也许有不同的方式。 如果您从服务器得到permission denied 这个信息，可能是因为您没有正确的启用它。 diff --git a/zh_CN.GB2312/books/handbook/mail/chapter.sgml b/zh_CN.GB2312/books/handbook/mail/chapter.sgml index 788e0e5e4a..38853c6a24 100644 --- a/zh_CN.GB2312/books/handbook/mail/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/mail/chapter.sgml @@ -1,2112 +1,2116 @@ Bill Lloyd Original work by Jim Mock Rewritten by 电子邮件 概述 email 电子邮件，或通常所说的 email，是现今使用最广泛的通信方式之一。 本章将对如何在 &os; 上运行邮件服务，以及如何使用 &os; 来收发电子邮件作基本的介绍； 然而，它并不是一份完整的参考手册，实际上，许多需要考虑的重要事项都没有提及。 我们推荐读者阅读 中的参考书籍，以获得对于这部分的全面认识。 读完这章，您将了解： 哪些软件与收发电子邮件有关。 &os; 下的基本 sendmail 配置文件在哪里。 本地和远程邮箱之间的区别。 如何阻止垃圾邮件制造者非法地使用您的邮件服务器作为转发中继。 如何安装和配置用于替代 sendmail 的其他邮件传输代理。 如何处理常见的邮件服务器问题。 如何使用 SMTP 和 UUCP。 如何设置系统使其只能发送邮件。 如何在拨号连接时使用邮件。 如何配置 SMTP 验证以增加安全性。 如何安装并使用用户邮件代理，如 mutt 来收发邮件。 如何从远程的 POP 或 IMAP 服务器上下载邮件。 如何在进入的邮件上自动地应用过滤器和规则。 阅读本章之前，您需要： 正确地配置您的网络连接 (). 正确地为您的邮件服务器配置 DNS 信息 (). 知道如何安装第三方软件 (). 使用电子邮件 POP IMAP DNS 邮件交换可以分为 5 部分。它们是： 用户端程序、服务端守护进程、DNS、远程或本地的邮箱、 当然，还有邮件主机自己。 用户端程序 这包括一些基于命令行的程序，例如 mutt、 pine、elm 和 mail，以及类似 balsa、 xfmail 这样的 GUI 程序。 此外，还有我们更熟悉的WWW 浏览器这样的程序。 这些程序简单地通过调用服务守护进程把邮件事务交给本地的 邮件主机，或者通过 TCP 把邮件发出去。 邮件主机上使用的服务程序 邮件服务程序 sendmail 邮件服务程序 postfix 邮件服务程序 qmail 邮件服务程序 exim &os; 默认情况下采用 sendmail， 但它也支持为数众多的其它邮件服务程序， 这其中包括： exim; postfix; qmail. 邮件服务器后台守护程序通常有两个功能 — 接收外面发来的邮件和把邮件传送出去。 但它 不 负责使用类似 POP 或 IMAP 这样的协议来帮您阅读邮件， 也不负责连接到本地的 mbox 或 Maildir 信箱。 您可能需要其它的 服务程序 来完成这些任务。 较早版本的 sendmail 有一些严重的安全问题， 他们可能导致攻击者从本地和/或远程操作您的电脑。 您应该确认自己使用的是最新版本以避免这些问题。 另外， 也可以从 &os; Ports Collection 来安装其它的 MTA。 Email 和 DNS 域名系统 (DNS) 及其服务程序 named 在email的投递过程当中扮演着很重要的角色。 为了能够从您的站点向其它的站点传递邮件， 服务程序需要通过 DNS 查找接收邮件的远程站点的位置。 类似地， 在远程站点向您的主机投递邮件时也会发生这样的查找。 MX 记录 DNS 负责将主机名映射为 IP 地址， 同时， 也需要保存递送邮件时所需要的信息， 这些信息称作 MX 记录。 MX (Mail eXchanger，邮件交换) 记录指定了哪个， 或哪些主机能够接收特定域下的邮件。 如果您没有为主机名或域名设置 MX 记录， 则邮件将被直接递交给主机名对应 IP 所在的主机。 您可以通过 &man.host.1; 命令来查找任何域或主机名对应的 MX 记录， 如下面的例子所示： &prompt.user; host -t mx FreeBSD.org FreeBSD.org mail is handled (pri=10) by mx1.FreeBSD.org 接收邮件 电子邮件 接收 为您的域接收邮件是通过邮件服务器来完成的。 它收集发送给您的域的那些邮件，并保存到 mbox (存储邮件默认的方法) 或 Maildir 格式， 这取决于您采用的配置。 一旦邮件被保存下来， 就可以在本地通过类似 &man.mail.1; 或 mutt 这样的程序， 或在远程通过 POP 或 IMAP 这样的协议来读取了。 简单地说， 如果您只在本地阅读邮件，那就没有必要安装 POP 或 IMAP 服务。 通过 <acronym>POP</acronym> 和 <acronym>IMAP</acronym> 访问远程的邮件 POP IMAP 如果希望在远程访问邮箱， 就需要访问 POP 或 IMAP 服务器。 这些协议允许用户从远程方便地访问他们的信箱。 尽管 POP 和 IMAP 都允许用户从远程访问信箱， 但 IMAP 有很多优点， 这包括： IMAP 既可以从远程服务器上抓取邮件， 也可以把邮件放上去。 IMAP 支持并发更新。 IMAP 对于使用低速网络的用户尤为有用， 因为它能够让这些用户把邮件的结构下载下去， 而无需立即下载整个邮件。 它还可以在服务器端执行类似查找这样的操作， 以减少客户机和服务器之间的通讯量。 您可以按照下面的步骤来安装和配置 POP 或 IMAP 服务器： 选择一个最符合需要的 IMAP 或 POP 服务器。 下列 POP 和 IMAP 服务器是最著名的， 而且都有很多成功案例： qpopper; teapop; imap-uw; courier-imap; 通过 ports collection 安装 POP 或 IMAP 服务。 根据需要修改 /etc/inetd.conf 来加载 POP 或 IMAP 服务。 此外还应注意的是 POP 和 IMAP 传递的信息， 包括用户名和口令等等， 通常都是明文的。 这意味着如果您希望加密传输过程中的信息， 可能需要考虑使用 &man.ssh.1; 隧道。 关于如何实施隧道在 中进行了详细阐述。 操作本地的信箱 信箱可以在邮件服务器本地直接用 MUA 来进行操作。 这通常是通过 mutt 或 &man.mail.1; 这样的应用程序实现的。 邮件服务器 邮件服务器 邮件服务器是通过服务器给的一个名字 (译注：来识别主机)， 这也正是它能在您的主机和网络上发送和接收邮件的原因。 Christopher Shumway 作者： <application>sendmail</application> 配置 sendmail &man.sendmail.8; 是 &os; 中的默认邮件传输代理 (MTA)。 sendmail 的任务是从邮件用户代理 (MUA) 接收邮件然后根据配置文件的定义把它们送给配置好的的寄送程序。 sendmail 也能接受网络连接， 并且发送邮件到本地邮箱或者发送它到其它程序。 sendmail 使用下列配置文件： /etc/mail/access /etc/mail/aliases /etc/mail/local-host-names /etc/mail/mailer.conf /etc/mail/mailertable /etc/mail/sendmail.cf /etc/mail/virtusertable 文件名 功能 /etc/mail/access sendmail 访问数据库文件 /etc/mail/aliases 邮箱别名 /etc/mail/local-host-names sendmail 接收邮件主机列表 /etc/mail/mailer.conf 邮寄配置程序 /etc/mail/mailertable 邮件分发列表 /etc/mail/sendmail.cf sendmail的主配置文件 /etc/mail/virtusertable 虚拟用户和域列表 <filename>/etc/mail/access</filename> 访问数据库定义了什么主机或者 IP 地址可以访问本地邮件服务器和它们是哪种类型的访问。 主机可能会列出 、 、 或者简单的通过 sendmail 的出错处理程序检测一个给定的邮件错误。 主机默认列出 ，允许传送邮件到主机， 只要邮件的最后目的地是本地主机。列出 将拒绝所有的邮件连接。如果带有 选项的主机将被允许通过这个邮件服务器发送邮件到任何地方。 配置 <application>sendmail</application> 的访问许可数据库 cyberspammer.com 550 We do not accept mail from spammers FREE.STEALTH.MAILER@ 550 We do not accept mail from spammers another.source.of.spam REJECT okay.cyberspammer.com OK 128.32 RELAY 在上面的例子中我们有 5 条记录。 与左边列表匹配的发件人受到右边列表动作的影响。 前边的两个例子给出了 sendmail 的出错处理程序检测到的错误代码。 当一个邮件与左边列表相匹配时，这个信息会被打印到远程主机上。 下一条记录拒绝来自 Internet 上的一个特别主机的邮件 another.source.of.spam。接下来的记录允许来自 okay.cyberspammer.com 的邮件连接， 这条记录比上面那行 cyberspammer.com 更准确。更多的准确匹配使不准确的匹配无效。最后一行允许电子邮件从主机和 128.32 开头的 IP 地址转发。 这些主机将被允许通过这台邮件服务器前往其它邮件服务器发送邮件。 当这个文件被升级的时候，您必须在 /etc/mail/ 运行 make 升级数据库。 <filename>/etc/mail/aliases</filename> 别名数据库包含一个扩展到用户，程序或者其它别名的虚拟邮箱列表。 下面是一些在 /etc/mail/aliases 中使用的例子： 邮件别名 root: localuser ftp-bugs: joe,eric,paul bit.bucket: /dev/null procmail: "|/usr/local/bin/procmail" 这个文件的格式很简单； 冒号左边的邮箱名， 会被展开成右边的形式。 第一个例子简单地将 root 邮箱扩展为 localuser， 之后将继续在别名数据库中进行查找。 如果没有找到匹配的记录， 则邮件会被发给本地用户 localuser。 第二个例子展示了一个邮件列表。 发送到 ftp-bugs 的邮件会被展开成 joe， eric 和 paul 这三个邮箱。 注意也可以通过 user@example.com 这样的形式来指定远程的邮箱。 接下来的例子展示了如何把邮件写入到文件中， 这个例子中是 /dev/null。 最后一个例子展示了如何将邮件发给一个程序， 具体而言是通过 &unix; 管道发到 /usr/local/bin/procmail 的标准输入。 更新此文件时， 您需要在 /etc/mail/ 中使用 make 来更新数据库。 <filename>/etc/mail/local-host-names</filename> 这是一个 &man.sendmail.8; 被接受为一个本地主机名的主机名列表。 可以放入任何 sendmail 将从那里收发邮件的域名或主机。例如，如果这个邮件服务器从域 example.com 和主机 mail.example.com 接收邮件，它的 local-host-names 文件，可以看起来象如下这样： example.com mail.example.com 当这个文件被升级，&man.sendmail.8; 必须重新启动，以便更新设置。 <filename>/etc/mail/sendmail.cf</filename> sendmail的主配置文件 sendmail.cf 控制着 sendmail 的所有行为， 包括从重写邮件地址到打印拒绝远程邮件服务器信息等所有事。 当然，作为一个不同的角色，这个配置文件是相当复杂的， 它的细节部分已经超出了本节的范围。幸运的是， 这个文件对于标准的邮件服务器来说很少需要被改动。 sendmail 主配置文件可以用 &man.m4.1; 宏定义 sendmail 的特性和行为。它的细节请看 /usr/src/contrib/sendmail/cf/README。 当这个文件被修改时， sendmail 必须重新启动以便对新修改生效。 <filename>/etc/mail/virtusertable</filename> virtusertable 映射虚拟域名和邮箱到真实的邮箱。 这些邮箱可以是本地的、远程的、/etc/mail/aliases 中定义的别名或一个文件。 虚拟域邮件映射的例子 root@example.com root postmaster@example.com postmaster@noc.example.net @example.com joe 在上面这个例子中， 我们映射了一个域 example.com。 这个文件是按照从上到下， 首个匹配的方式来处理的。 第一项将 root@example.com 映射到本地邮箱 root。 下一项则将 postmaster@example.com 映射到位于 noc.example.net 的 postmaster。 最后， 如果没有来自 example.com 的匹配， 则将使用最后一条映射， 它表示将所有的其它邮件发给 example.com 域的某个人。 这样， 将映射到本地信箱 joe。 Andrew Boothman Written by Gregory Neil Shapiro Information taken from e-mails written by 改变您的邮件传输代理程序 邮件 改变mta 先前已经提到，FreeBSD 中的 sendmail 已经安装了您的 MTA (邮件传输代理程序)。因此它负责着您的收发邮件的工作。 然而，基于不同的理由，一些系统管理员想要改变他们系统的 MTA。这些理由从简单的想要尝试另一个 MTA，到需要一个特殊的特性或者 package 依赖某个邮寄程序等等。幸运的是，不管是什么理由，FreeBSD 都能容易的改变它。 安装一个新的 MTA 对于可用的 MTA 您有很多的选择。一个好的出发点是 FreeBSD Ports Collection，在那里您能找到很多。 当然您可以从任何位置不受任何限制的使用 MTA，只要您能让它运行在 FreeBSD 下。 开始安装您的新 MTA。一旦它被安装， 它可以让您有机会判定它是否能满足您的需要， 并且在它接管 sendmail 之前让您有机会配置您的新软件。 当完成这些之后，您应该确信安装的新软件不会尝试更改系统的二进制文件例如 /usr/bin/sendmail。 除此以外， 您的新邮件软件启用之前要已经配置好它。 具体配置请参考您所选择的 MTA 软件的配置文档或其它相关资料。 禁用 <application>sendmail</application> 用以启动 sendmail 的流程， 在 4.5-RELEASE、 4.6-RELEASE 以及之后的版本中， 存在着十分显著的不同。 因此， 用于禁用它的方法， 也就有许多不同之处。 如果您打算禁用 sendmail 的邮件发出服务， 保持系统中有一个替代它的、 可用的邮件递送系统就非常重要。 如果您不这样做的话， 类似 &man.periodic.8; 这样的系统功能就无法如预期的那样， 通过邮件来传送其执行结果。 您系统中的许多部分可能都假定有可用的 sendmail-兼容 系统。 如果这些应用程序继续使用 sendmail 的执行文件来发送邮件， 而您又禁用了它， 则邮件将进入 sendmail 的非活跃 (inactive) 队列， 而永远不会被送达。 FreeBSD 4.5-STABLE 版本 2002/4/4 之前和更早前版本 (包括 4.5-RELEASE 及更早版本) 输入： sendmail_enable="NO" 到 /etc/rc.conf 文件。它将停用 sendmail 接收邮件服务， 但是如果 /etc/mail/mailer.conf 文件(见下文) 没有被改变，sendmail 将仍然可以发送邮件。 FreeBSD 4.5-STABLE 版本 2002/4/4 之后和以后的版本 (包括 4.6-RELEASE 及后续版本) 要完全地禁用 sendmail， 包括邮件的发出服务， 您就必须将 sendmail_enable="NONE" 写在 /etc/rc.conf 中。 如果您只是希望禁用 sendmail 的接信服务， 则应将 sendmail_enable="NO" 写到 /etc/rc.conf 中。 不过， 即使禁用了接信服务， 本地的送信仍将正常工作。 关于 sendmail 的启动选项的更多信息， 可以在 &man.rc.sendmail.8; 联机手册中找到。 FreeBSD 5.0-STABLE 和更高版本 要彻底禁用包括邮件送出服务在内的所有 sendmail 功能， 必须将 sendmail_enable="NO" sendmail_submit_enable="NO" sendmail_outbound_enable="NO" sendmail_msp_queue_enable="NO" 写入 /etc/rc.conf。 如果只是想要停止 sendmail 的接收邮件服务， 您应该在 /etc/rc.conf 文件中设置 sendmail_enable="NO" 更多的有关 sendmail 可用的启动选项，参看 &man.rc.sendmail.8; 联机手册. 机器引导时运行您的新 MTA 您也许有两种方法在机器引导时运行您的新 MTA，这个也倚赖您所运行的 FreeBSD 版本。 FreeBSD 4.5-STABLE 版本 2002/4/11 以前 (包括 4.5-RELEASE 及更早版本) 在 /usr/local/etc/rc.d/ 中添加一个以 .sh 为后缀的脚本文件， 并可以用 root 身份运行。这个脚本应该接受 start 和 stop 参数。用如下命令启动这个脚本 /usr/local/etc/rc.d/supermailer.sh start 您也可以手工启动这个服务。如果想要停止它， 系统脚本将使用 stop 选项，运行如下命令 /usr/local/etc/rc.d/supermailer.sh stop 您也可以手工停止正在系统运行的服务。 FreeBSD 4.5-STABLE 版本 2002/4/11 以后 (包括 4.6-RELEASE 及后续版本) 在 FreeBSD 较后来的版本， 您可以使用上面的方法或者在 /etc/rc.conf 文件做如下设置 mta_start_script="filename" filename 是您想要在引导时执行的 MTA 脚本文件的名字。 替换系统默认的邮寄程序 <application>sendmail</application> 因为 sendmail 程序是一个在 &unix; 系统下普遍存在的一个标准的软件，一些软件就假定它已经被安装并且配置好。 基于这个原因，许多其它的 MTA 提供者都提供了兼容 sendmail 的命令行界面来执行。 这使它们象混入sendmail 一样变的很容易掌握。 因此，如果您使用其它的邮寄程序， 您必须确定这个软件是去尝试运行标准的 sendmail 二进制，就象 /usr/bin/sendmail，还是运行您自己选择的替换邮寄程序。 幸运的是，FreeBSD 提供了一个系统调用 &man.mailwrapper.8;，它能为您做这件工作。 当 sendmail 安装后被运行，您可以在 /etc/mail/mailer.conf 中找到如下行： sendmail /usr/libexec/sendmail/sendmail send-mail /usr/libexec/sendmail/sendmail mailq /usr/libexec/sendmail/sendmail newaliases /usr/libexec/sendmail/sendmail hoststat /usr/libexec/sendmail/sendmail purgestat /usr/libexec/sendmail/sendmail 这个的意思就是当这些公共命令 (例如 sendmail 它本身) 运行时， 系统实际上调用了一个 sendmail 指定的 mailwrapper 的副本，它检查 mailer.conf 并且运行 /usr/libexec/sendmail/sendmail 做为替代。当默认的 sendmail 功能被调用， 系统将很容易的改变实际上运行的二进制文件。 因此如果您想要 /usr/local/supermailer/bin/sendmail-compat 替换 sendmail 被运行，您应该改变 /etc/mail/mailer.conf 文件为： sendmail /usr/local/supermailer/bin/sendmail-compat send-mail /usr/local/supermailer/bin/sendmail-compat mailq /usr/local/supermailer/bin/mailq-compat newaliases /usr/local/supermailer/bin/newaliases-compat hoststat /usr/local/supermailer/bin/hoststat-compat purgestat /usr/local/supermailer/bin/purgestat-compat 最后 一旦做完您想要配置的每件事，您应该杀掉 sendmail 进程并且启动属于您的新软件的进程， 或者简单的重启。 重启也将给您提供了确认您的系统已经进行了正确的配置的机会。 在引导的时候自动的运行您新的 MTA。 疑难解答 邮件 疑难解答 为什么必须在我的站点的主机上使用 FQDN？ 您可能会发现主机实际上是在另外一个域里面， 例如，如果您是在 foo.bar.edu 里，而您要找一台叫 mumble 的主机，它在 bar.edu 域里，您就必须用完整的域名 mumble.bar.edu，而不是用 mumble。 BIND 传统上，这在 BSD BIND resolvers 中是可行的。 然而目前随 FreeBSD 附带的 BIND 已不为同一域外提供缩写服务。所以，这个不完整的主机名 mumble 必须以 mumble.foo.bar.edu 这种形式才能被找到， 或者将在根域中搜索它。 这跟以前的处理是不同的，以前版本将会继续寻找 mumble.bar.edu 和 mumble.edu。 如果您想要了解这种方式是否是好，或者它有什么安全方面的漏洞， 请参阅 RFC 1535 文档。 如果您想要一个好的工作环境，您可以使用如下行： search foo.bar.edu bar.edu 替换先前旧的版本： domain foo.bar.edu 把这行放在您的 /etc/resolv.conf 文件中。然而，请一定要确定这样的搜寻顺序不会造成 RFC 1535 里提到的boundary between local and public administration 问题。 MX record sendmail 提示信息 mail loops back to myself 下面是 sendmail FAQ 中的回答： 我得到了如下的信息： 553 MX list for domain.net points back to relay.domain.net 554 <user@domain.net>... Local configuration error 我如何解决这个问题？ 您已经通过 MX 记录指定把发送给特定的域 (例如，domain.net) 的邮件被转寄到指定的主机 (在这个例子中，relay.domain.net)， 而这台机器并不认为它自己是 domain.net。请把 domain.net 添加到 /etc/mail/local-host-names 文件中 [在 8.10 版之前是 /etc/sendmail.cw] (如果您使用 FEATURE(use_cw_file) 的话) 或者在 /etc/mail/sendmail.cf 中添加Cw domain.net。 sendmail 的 FAQ 可以在 找到， 如果您想要对您的邮件做任何的调整， 则推荐首先看一看它。 PPP 我如何在一个拨号主机上运行一个邮件服务？ 您想要把局域网上的 FreeBSD 主机连接到互连网上，而这台 FreeBSD 主机将会成为这个局域网的邮件网关， 这个拨号连接不必一直保持在连接状态。 UUCP MX record 最少有两种方法可以满足您的要求。一种方法就是使用 UUCP。 另一种方法是找到一个专职的服务器来为您的域提供副 MX 主机服务。 例如，如果您公司的域名是 example.com，您的互连网服务提供者把 example.net 作为您域的副 MX 服务： example.com. MX 10 example.com. MX 20 example.net. 只有一台主机被指定当做您的最终收信主机 (在 example.com 主机的 /etc/mail/sendmail.cf 文件中添加 Cw example.com)。 当 sendmail 试图分发邮件的时候， 它会尝试通过 modem 连接到您 (example.com)。 因为您并不在线，所以总是会得到一个超时的错误。 sendmail 将会把邮件发送到副 MX 主机，也就是说，您的互连网服务提供者 (example.net)。副 MX 主机将周期性的尝试连接并发送邮件到您的主机 (example.com)。 您也许想要使用下面的这个登录脚本： #!/bin/sh # Put me in /usr/local/bin/pppmyisp ( sleep 60 ; /usr/sbin/sendmail -q ) & /usr/sbin/ppp -direct pppmyisp 如果您想要为一个用户建立一个分开登录的脚本， 您可以使用 sendmail -qRexample.com 替换上面的脚本。这样将使所有的邮件按照您的 example.com 队列立即被处理。 更深入的方法可以参考下面这段： 这段信息是从 &a.isp; 拿来的。 > 我们为用户提供副 MX 主机服务。用户每天都会上线好几次 > 并且自动把信件取回主 MX 主机 > (当有他们的邮件时我们并没有通知他们)。 > 我们的 mailqueue 程序每 30 分钟清一次邮件队列。那段时间他们 > 就必须上线 30 分钟以确保他们的信件送达他们的主 MX 主机。 > > 有任何指令可以用 sendmail 寄出所有邮件么？ > 普通用户在我们的机器上当然没有 root 权限。 在 sendmail.cf 的privacy flags部分，有这样的设定 Opgoaway,restrictqrun 移除 restrictqrun 可以让非 root 用户启动队列处理的程序。 您可能也要重新安排您的 MX 设定。我们是用户的 MX 主机， 而且我们还设定了这个： # If we are the best MX for a host, try directly instead of generating # local config error. OwTrue 这样的话远程机器会直接把信送给您，而不会尝试连接您的用户的机器。 然后您就可以把邮件发送到您的用户。这个设定只对 主机有效，所以您必须要让您的用户在 DNS 中把他们的邮件主机设置为 customer.com或者 hostname.customer.com。只要为customer.com在 DNS 里添加一个 A 记录就可以了。 为什么当我发送邮件到其它主机总是有 Relaying Denied 出错信息？ 默认的 FreeBSD 安装中， sendmail 会配置为只发送来自它所在主机上的邮件。 例如，如果有可用的 POP 服务器，则用户将可以从学校、 公司或其他什么别的地方检查邮件，但他们仍然无法从远程直接发送邮件。 通常，在几次尝试之后， MAILER-DAEMON 将发出一封包含 5.7 Relaying Denied 错误信息的邮件。 有很多方法可以避免这种现象。 最直截了当的方法是把您的 ISP 的地址放到 /etc/mail/relay-domains 文件中。 完成这项工作的简单的方法是： &prompt.root; echo "your.isp.example.com" > /etc/mail/relay-domains 建立或编辑这个文件以后您必须重新启动 sendmail。 如果您是一个管理员并且不希望在本地发送邮件， 或者想要在其它的机器甚至其它的 ISP 上使用一个客户端系统， 这个方法是很方便的。如果您仅有一到两个邮件帐户它也非常的有用。 如果有大量的地址需要添加， 您可以很简单的使用您喜欢的文本编辑器打开这个文件添加域名， 每行一个： your.isp.example.com other.isp.example.net users-isp.example.org www.example.org 现在邮件可以通过您的系统传送， 这个列表中存在的主机 (前提是用户在您的系统上已经有一个帐户) 将可以成功的发送。这是一个允许正常的远程用户从您的系统发送邮件， 并且阻止其它非法用户通过您系统发送垃圾邮件的好方法。 高级主题 下面这节将介绍邮件配置和为整个域安装邮件。 基本配置 邮件 配置 在邮箱外，只要您设置 /etc/resolv.conf 或者运行您自己的名字服务器，您就可以发送邮件到外部的主机。 如果您想要您的邮件发送给某个特定的 MTA(例如， sendmail) 在您的 FreeBSD 主机上，有两个方法： 运行您自己的域名服务器和您自己的域。例如， FreeBSD.org 获得直接分发给您主机的邮件。您可以直接使用您当前的 DNS 名称。例如，example.FreeBSD.org。 SMTP 不管您选择上面那种方法，为了直接在您的主机上发送邮件， 必须有一个静态的 IP 地址(不是象 PPP 拨号一样的动态地址)。 如果您在防火墙后面，它必须让 SMTP 协议通过。 如果您想要在您的主机上直接的收取邮件， 您必须确定两件事： MX 记录 确定在您 DNS 中的 MX 记录(最小编号的)指向您的 IP 地址。 确定在您 DNS 中的 MX 记录没有禁止您的主机。 上面的每条记录都允许您在您的主机直接接收邮件。 试试这个： &prompt.root; hostname example.FreeBSD.org &prompt.root; host example.FreeBSD.org example.FreeBSD.org has address 204.216.27.XX 如果您看到这些， 则直接发往 yourlogin@example.FreeBSD.org 应该已经可以正常工作了 (假设 sendmail 已经在 example.FreeBSD.org 上正确启动了)。 如果您看到这些： &prompt.root; host example.FreeBSD.org example.FreeBSD.org has address 204.216.27.XX example.FreeBSD.org mail is handled (pri=10) by hub.FreeBSD.org 所有发送到主机 (example.FreeBSD.org) 的邮件在相同的用户名下将会被 hub 终止的收集，而不是直接发送到您的主机。 上面的信息是通过您的 DNS 服务器来处理的。支持邮件路由信息的 DNS 记录是 邮件 交换 记录。如果 MX 记录不存在，邮件将通过它自己的 IP 地址被直接的发送到主机。 freefall.FreeBSD.org的MX记录如下所示: freefall MX 30 mail.crl.net freefall MX 40 agora.rdrop.com freefall MX 10 freefall.FreeBSD.org freefall MX 20 who.cdrom.com 正如您说看到的，freefall 有很多 MX 记录。 最小编号的 MX 记录是直接接收邮件的主机。如果因为一些原因它不可用，其它 (有时会访问backup MXes)接收信息将会暂时接替并做临时的排列。 为了有效的使用交换式 MX 站点，应当从您的机器上分离一些 Internet 连接。您的 ISP 或者其它友好的站点可以没有任何问题的为您提供这个服务。 Mail for Your Domain 为了设置一个邮件主机(又称邮件服务器) 您必须要把许多邮件发送到与它相连的几个工作站中。 基本上，您想要要求在您域的每个主机的所有邮件 (在这个例子里是 *.FreeBSD.org) 转向到您的邮件服务器，从而使您的用户可以在主邮件服务器里接收他们的邮件。 DNS 要使工作最简单，带有同样 用户名 的帐户应该同时存在于两台机器上。使用 &man.adduser.8; 来这样做。 您将使用的邮件主机必须为每个工作站指定一个邮件交换。您可以在 DNS 中这样配置： example.FreeBSD.org A 204.216.27.XX ; Workstation MX 10 hub.FreeBSD.org ; Mailhost 无论 A 记录指向哪，这将为工作站重新定位到邮件主机。邮件将被发送到 MX 主机。 您不能自己这样做除非您运行着一个 DNS 服务器。 如果不是这样，或者不能运行您自己的 DNS 服务器，告诉您的 ISP 或者给您提供 DNS 服务的人。 如果您正在使用虚拟邮件主机，下面的信息将会对您有用。 在这个例子里，我们假定您有一个客户并且他有自己的域， 这个例子中是 customer1.org，您要把 customer1.org 所有的邮件发送到您的邮件主机 mail.myhost.com。 您的 DNS 记录应该是这样： customer1.org MX 10 mail.myhost.com 您 不 需要有个 A 记录， 如果您只为域 customer1.org 处理邮件。 必须清楚 customer1.org 将不能工作，除非存在一个 A 记录。 最后一件您必须要做的事是告诉 sendmail 接受邮件的是什么域和(或)主机名。 这里有好几种方法。下面方法可以任选一种： 添加您的主机到 /etc/mail/local-host-names 文件中，如果您使用的是 FEATURE(use_cw_file)。如果您使用 sendmail 8.10 或者更高版本，文件是 /etc/sendmail.cw。 添加一行 Cwyour.host.com 到您的 /etc/sendmail.cf 或 /etc/mail/sendmail.cf 文件，如果您使用 sendmail 8.10 或者更高版本。 SMTP 与 UUCP sendmail 的配置，在 FreeBSD 中已经配置好为您的站点直接的连接 Internet。 如果站点希望他们的邮件通过 UUCP 交换，则必须安装其它的 sendmail 配置文件。 手工的配置 /etc/mail/sendmail.cf 是一个高级主题。sendmail 8 版本通过 &man.m4.1; 预处理生成一个配置文件，实际上这个配置发生在一个比较高的抽象层。 &man.m4.1; 配置文件可以在 /usr/share/sendmail/cf 下找到。 cf 目录中的 README 文件是关于 &man.m4.1; 配置的基本的介绍。 最好的支持 UUCP 传送的方法是使用 mailertable 的特点。建立一个资料库让 sendmail 可以使用它自己的路由决策。 首先，您必须建立您自己的 .mc 文件。 /usr/share/sendmail/cf/cf 目录包含一些例子。 假定您已经命名自己的文件叫做 foo.mc， 您要做的只是把它转换成一个有效的 sendmail.cf： &prompt.root; cd /etc/mail &prompt.root; make foo.cf &prompt.root; cp foo.cf /etc/mail/sendmail.cf 一个典型的 .mc 文件看起来可能象这样： VERSIONID(`Your version number') OSTYPE(bsd4.4) FEATURE(accept_unresolvable_domains) FEATURE(nocanonify) FEATURE(mailertable, `hash -o /etc/mail/mailertable') define(`UUCP_RELAY', your.uucp.relay) define(`UUCP_MAX_SIZE', 200000) define(`confDONT_PROBE_INTERFACES') MAILER(local) MAILER(smtp) MAILER(uucp) Cw your.alias.host.name Cw youruucpnodename.UUCP accept_unresolvable_domains、 nocanonify 和 confDONT_PROBE_INTERFACES 特性将避免在传送邮件时使用DNS的机会。UUCP_RELAY 项是支持 UUCP 传送所必须的。简单的放入一个 Internet 上可以处理 UUCP 虚拟域地址的主机名。通常，您在这里填入您 ISP 邮件的回复处。 一旦您做完这些，您还需要这个 /etc/mail/mailertable 文件。 如果您只有一个用来传递所有邮件的对外通道的话， 以下的文件就足够了： # # makemap hash /etc/mail/mailertable.db < /etc/mail/mailertable . uucp-dom:your.uucp.relay 一个更复杂点的例子象这样： # # makemap hash /etc/mail/mailertable.db < /etc/mail/mailertable # horus.interface-business.de uucp-dom:horus .interface-business.de uucp-dom:if-bus interface-business.de uucp-dom:if-bus .heep.sax.de smtp8:%1 horus.UUCP uucp-dom:horus if-bus.UUCP uucp-dom:if-bus . uucp-dom: 头三行处理域地址邮件，不应该被传送出默认的路由， 而由某些 UUCP 邻居取代的特殊情况，这是为了走捷径。 下一行处理本地网的邮件让它可以使用 SMTP 来传送。 最后，UUCP 邻居提起。UUCP 虚拟域的记载， 允许一个 uucp-neighbor !recipient 推翻默认规则。最后一行则以一个单独的句点最为结束， 以 UUCP 传送到提供您所有的邮件网关的 UUCP 邻居。 所有在 uucp-dom: 关键字里的节点名称必须是有效的 UUCP 邻居，您可以用 uuname 去确认。 提醒您这个文件在使用前必须被转换成 DBM 数据库文件。最好在 mailertable 最上面用注解写出命令行来完成这个工作。 当您每次更换您的 mailertable 后您总是需要执行这个命令。 最后提示：如果您不确定某个特定的路径可用， 记得把 选项加到 sendmail。这会将 sendmail 启动在 地址检测模式。只要按下 3,0，接着输入您希望测试的邮件路径位置。 最后一行告诉您使用邮件代理程序， 代理程序会通知目的主机以及 (可能转换) 地址。 要离开此模式请按 CtrlD。 &prompt.user; sendmail -bt ADDRESS TEST MODE (ruleset 3 NOT automatically invoked) Enter <ruleset> <address> > 3,0 foo@example.com canonify input: foo @ example . com ... parse returns: $# uucp-dom $@ your.uucp.relay $: foo < @ example . com . > > ^D Bill Moran Contributed by 只发送邮件的配置 许多时候， 可能只希望通过转发服务器来发送邮件。 典型的情况包括： 使用桌面机， 但希望通过类似 &man.send-pr.1; 这样的程序发送邮件。 这样就需要使用 ISP 的邮件转发服务器。 不在本地处理邮件的服务器， 但它需要把邮件交给转发服务器来进行处理。 几乎任何一个 MTA 都能够胜任这样的工作。 然而不幸的是， 要把一个全功能的 MTA 正确地配置为只把邮件交给其他服务器是一件很困难的事情。 使用 sendmail 以及 postfix 这样的程序， 多少有些杀鸡用牛刀的感觉。 此外， 如果您使用典型的 Internet 访问服务， 您的协议可能会包含禁止运行 邮件服务器 的条款。 满足这些需要最简单的办法是安装 mail/ssmtp port。 以 root 身份执行下面的命令： &prompt.root; cd /usr/ports/mail/ssmtp &prompt.root; make install replace clean 一旦装好， mail/ssmtp 就可以用四行 /usr/local/etc/ssmtp/ssmtp.conf 来配置： root=yourrealemail@example.com mailhub=mail.example.com rewriteDomain=example.com hostname=_HOSTNAME_ 请确认您为 root 使用了真实的电子邮件地址。 用您的 ISP 提供的外发邮件转发服务器名称， 替换掉 mail.example.com (某些 ISP 可能将其称为 外发邮件服务器 或 SMTP 服务器)。 接下来需要确认禁用了 sendmail， 包括邮件发出服务在内。 请参见 以了解进一步的细节。 mail/ssmtp 也提供了一些其他选项。 请参见在 /usr/local/etc/ssmtp 中的示例配置， 或者 ssmtp 的联机手册来得到一些例子和更多的其他信息。 以这种方式配置 ssmtp， 能够让您计算机上的任何需要发送邮件的软件都正常运转， 而不必冒违反 ISP 的使用政策， 或使您的电脑被劫持用于发送垃圾邮件的风险。 拨号连接时使用邮件传送 如果您有静态的 IP 地址， 就应该不用修改任何默认的配置。 将主机名设置为分配给您的 Internet 名称，其他的事情 sendmail 都会替您做好。 如果您的 IP 地址是动态分配的， 并使用 PPP 连接拨入 Internet， 则您可能会从 ISP 的邮件服务器上得到一个信箱。 这里我们假设您的 ISP 的域名是 example.net， 您的用户名是 user， 您把自己的机器称作 bsd.home， 而您的 ISP 告诉您可以使用 relay.example.net 来转发邮件。 为了从邮箱收取邮件， 需要安装一个收信代理。 fetchmail 是一个能够支持许多种不同协议的不错的选择。 这个程序可以通过 package 或 Ports Collection (mail/fetchmail) 来安装。 通常， 您的 ISP 会提供 POP。 如果您使用用户 PPP，您还可以在 Internet 连接建立时自动地抓取邮件， 这可以通过在 /etc/ppp/ppp.linkup 中增加如下的项来实现： MYADDR: !bg su user -c fetchmail 如果您正使用 sendmail (如下所示) 来为非本地用户传送邮件， 则可能需要让 sendmail 在您的 Internet 连接建立时立即传送邮件队列。 要完成这项工作， 应该把下面的命令放到 /etc/ppp/ppp.linkup 中的 fetchmail 之后 !bg su user -c "sendmail -q" 假设您在 bsd.home 上有一个 user 用户。 在 bsd.home 上的 user 主目录中创建一个 .fetchmailrc 文件： poll example.net protocol pop3 fetchall pass MySecret 因为包含了密码 MySecret， 这个文件应该只有 user 可读。 要使用正确的 from: 头来发送文件， 您必须告诉 sendmail 使用 user@example.net 而不是i user@bsd.home。 另外， 您可能也需要要求 sendmail 通过 relay.example.net 来发送邮件， 以便更快地传送它们。 以下的 .mc 文件应该可以满足您的需求： VERSIONID(`bsd.home.mc version 1.0') OSTYPE(bsd4.4)dnl FEATURE(nouucp)dnl MAILER(local)dnl MAILER(smtp)dnl Cwlocalhost Cwbsd.home MASQUERADE_AS(`example.net')dnl FEATURE(allmasquerade)dnl FEATURE(masquerade_envelope)dnl FEATURE(nocanonify)dnl FEATURE(nodns)dnl define(`SMART_HOST', `relay.example.net') Dmbsd.home define(`confDOMAIN_NAME',`bsd.home')dnl define(`confDELIVERY_MODE',`deferred')dnl 如何转换这个 .mc 文件到 sendmail.cf 文件的细节，请参考前面的章节。 另外，在更新 sendmail.cf 文件后， 不要忘记重启 sendmail。 James Gorham 作者： SMTP 验证 在您的邮件服务器上启用 SMTP 验证有很多好处。 SMTP 验证可以让 sendmail 多一重安全保障， 而且也使得使用不同机器的漫游用户能够使用同一个邮件服务器， 而不需要每次都修改它们的邮件客户端配置。 从 ports 中安装 security/cyrus-sasl。 您可以从 security/cyrus-sasl 找到它。 security/cyrus-sasl 有一系列编译时可选的选项， 包括我们将要使用的验证方式等等。请务必选择 。 安装完 security/cyrus-sasl 之后， 编辑 /usr/local/lib/sasl/Sendmail.conf (如果不存在则建立) 并在其中增加： pwcheck_method: passwd 这个方法将允许sendmail 依照您的 FreeBSD passwd 数据库进行验证。 这将为每个用户建立一个新用户名设置和口令使用 SMTP 验证减少麻烦，并且保证登录和邮件口令是相同的。 现在编辑 /etc/make.conf 文件，添加如下行： SENDMAIL_CFLAGS=-I/usr/local/include/sasl1 -DSASL SENDMAIL_LDFLAGS=-L/usr/local/lib SENDMAIL_LDADD=-lsasl 这些行将给 sendmail 合适的配置选项， 为在编译时间链接到 cyrus-sasl。 确定 cyrus-sasl 被安装之前重新编译 sendmail。 重新编译 sendmail 运行如下命令： &prompt.root; cd /usr/src/usr.sbin/sendmail &prompt.root; make cleandir &prompt.root; make obj &prompt.root; make &prompt.root; make install 如果 /usr/src 和共享库没有大的变化并且它们都必须可用，sendmail 编译应该没有任何问题。 sendmail 被重新编译和安装后， 编辑您的 /etc/mail/freebsd.mc 文件 (或者无论您选择使用的您的哪个 .mc 文件。许多管理员选择使用跟 &man.hostname.1; 一样的唯一的 .mc 文件输出)。添加这些行在这个文件： dnl set SASL options TRUST_AUTH_MECH(`GSSAPI DIGEST-MD5 CRAM-MD5 LOGIN')dnl define(`confAUTH_MECHANISMS', `GSSAPI DIGEST-MD5 CRAM-MD5 LOGIN')dnl define(`confDEF_AUTH_INFO', `/etc/mail/auth-info')dnl 这些选项配置有不同的方法，对于 sendmail 验证用户。 如果您想要使用除 pwcheck 之外的方法，请参考相关文档。 最后，在 /etc/mail 运行 &man.make.1;。 它将建立您的新 .mc 文件并建立一个 .cf 文件命名为 freebsd.cf (或者您想使用您的其它名字的 .mc文件)。接着使用命令 make install restart，这将复制文件到 sendmail.cf，并且正确的重新启动 sendmail。 更多有关这个过程的信息，您可以参考 /etc/mail/Makefile 文件。 如果所每个步骤都做对了， 您应该可以通过您的邮件客户端进入您的登录信息并且传送一个测试信息。 更多的分析，设置 sendmail 的 到 13 并且查看 /var/log/maillog 中的信息。 您也许希望添加下面的行到 /etc/rc.conf 文件， 这样， 服务就会重启之后自动运行： cyrus_pwcheck_enable="YES" 这将保证 SMTP_AUTH 初始化在系统启动时自动运行。 更多的信息，请参看 sendmail 相关页 SMTP 验证。 Marc Silver Contributed by 邮件用户代理 邮件用户代理 邮件用户代理 (MUA) 是一个用于收发邮件的应用程序。 更进一步， 随着电子邮件的 演化 并愈发复杂， MUA 在和电子邮件相结合方面变得日趋强大； 这为用户提供了更多的功能和灵活性。 &os; 包含了对于众多邮件用户代理的支持， 所有这些都可以通过 FreeBSD Ports Collection 来轻松安装。 用户可以选择类似 evolution 以及 balsa 这样的图形界面程序， 也可以选择类似 mutt、 pine 或 mail 这样的控制台程序， 或者某些大型机构使用的 web 界面。 mail &man.mail.1; 是 &os; 中默认的邮件用户代理 (MUA)。 它是一个基于控制台的 MUA， 提供了所有用于收发文本形式的电子邮件所需的基本功能， 虽然它处理附件的能力有限， 而且只支持本地的信箱。 虽然 mail 没有内建的 POP 或 IMAP 服务器支持， 然而这些信箱可以通过类似 fetchmail 这样的应用程序， 来下载到本地的 mbox 文件中。 这一应用程序在本章的稍后部分 () 进行了介绍。 要收发邮件， 只需简单地使用 mail 命令， 如下所示： &prompt.user; mail 用户保存在 /var/mail 中的信箱的内容会被 mail 程序自动地读取。 如果信箱是空的， 程序会退出并给出一个消息表示没有邮件。 一旦读完了信箱， 将启动应用程序的界面， 并列出邮件。 所有的邮件会被自动编号， 类似下面的样子： Mail version 8.1 6/6/93. Type ? for help. "/var/mail/marcs": 3 messages 3 new >N 1 root@localhost Mon Mar 8 14:05 14/510 "test" N 2 root@localhost Mon Mar 8 14:05 14/509 "user account" N 3 root@localhost Mon Mar 8 14:05 14/509 "sample" 现在， 您通过使用 mail 的 t 命令， 并给出邮件的编号， 就可以看到邮件了。 在这个例子中， 我们将阅读第一封邮件： & t 1 Message 1: From root@localhost Mon Mar 8 14:05:52 2004 X-Original-To: marcs@localhost Delivered-To: marcs@localhost To: marcs@localhost Subject: test Date: Mon, 8 Mar 2004 14:05:52 +0200 (SAST) From: root@localhost (Charlie Root) This is a test message, please reply if you receive it. 正如在上面的例子中所看到的， t 键将显示完整的邮件头。 要再次查看邮件的列表， 可以使用 h 键。 如果需要回复邮件， 也可以使用 mail 来完成， 方法是使用 R 或 r 这两个 mail键。 R 键会要求 mail 只回复发送邮件的人， 而 r 不仅回复发送邮件的人， 而且也会将回复抄送给原来邮件的其他接收者。 如果需要， 也可以在这些命令后面指定邮件的编号。 做完这些之后， 就可以输入回复了， 在邮件的最后应该有一个只有一个 . 的行， 例如： & R 1 To: root@localhost Subject: Re: test Thank you, I did get your email. . EOT 要发出新邮件， 可以使用 m， 后面接收件人的邮件地址。 多个收件人之间， 应该使用 , 隔开。 接下来需要输入邮件的主题， 然后是正文。 同样的， 在邮件最后需要一个只有 . 的空行表示结束。 & mail root@localhost Subject: I mastered mail Now I can send and receive email using mail ... :) . EOT 在 mail 工具中， 可以用 ? 来显示帮助， 而参考 &man.mail.1; 联机手册则可以获得更多关于 mail 的帮助信息。 正如前面所提到的那样， &man.mail.1; 命令在设计时没有考虑到要处理附件， 因而在这方面他的功能很弱。 新的 MUA， 如 mutt， 能够更好地处理附件。 但如果您仍然希望使用 mail 命令， 那么 converters/mpack port 则是一个值得考虑的附加工具。 mutt mutt 是一个短小精悍的邮件用户代理， 它提供了许多卓越的功能， 包括： 能够按线索阅读邮件； 支持使用 PGP 对邮件进行数字签名和加密； 支持 MIME； 支持 Maildir； 高度可定制。 所有这些特性， 都使得 mutt 得以跻身于目前最先进的邮件用户代理的行列。 请参考 以了解更多关于 mutt 的资料。 稳定版本的 mutt 可以通过 mail/mutt port 来安装， 而开发版本， 则可以通过使用 mail/mutt-devel port 安装。 通过 port 安装之后，可以通过下面的命令来启动 mutt： &prompt.user; mutt mutt 会自动读取 /var/mail 中的用户信箱， 并显示其内容。 如果用户信箱中没有邮件， 则 mutt 将等待来自用户的命令。 下面的例子展示了 mutt 列出邮件的情形： 要阅读邮件， 只需用光标键选择它， 然后按 Enter 键。 以下是 mutt 显示邮件的例子： 和 &man.mail.1; 类似， mutt 允许用户只回复发件人， 或者回复所有人。 如果只想回复发信人， 使用 r 快捷键。 要回复所有人 (group reply)， 可以用 g 快捷键。 mutt 会使用 &man.vi.1; 命令作为编辑器， 用于创建和回复邮件。 这一行为可以通过建立用户自己的 .muttrc 文件来订制， 方法是修改 - editor 变量。 + editor 变量或配置 + EDITOR 环境变量。 请参见 + 以了解配置 + mutt 的进一步信息。 要撰写新邮件， 需要首先按 m。 在输入了有效的邮件主题之后， mutt 将启动 &man.vi.1;， 您可以在其中撰写邮件。 写好邮件的内容之后， 存盘并退出 vi， 则 mutt 将继续， 并显示一些关于将发出的邮件的摘要信息。 要发送邮件， 只需按 y。 下面给出了摘要信息的一个例子： mutt 也提供了相当详尽的帮助， 在绝大多数菜单中， 都可以使用 ? 键将其呼出。 屏幕顶行中也会给出常用的快捷键。 + pine pine 主要是针对初学者设计的， 但也提供了一些高级功能。 过去， pine 软件被发现有许多远程漏洞， 这些漏洞会允许远程的攻击者在用户的本地系统上， 通过发送精心炮制的邮件来执行任意的代码。 所有的 已知 问题都已经被修正了， 但 pine 的代码是以很不安全的风格编写的， 并且 &os; 安全官相信仍然有一些尚未被发现的安全漏洞。 您应当考虑并承担安装 pine 可能带来的风险。 最新版本的 pine 可以通过使用 mail/pine4 port 来安装。 装好之后， pine 可以通过下面的命令启动： &prompt.user; pine 第一次启动 pine 时， 它会显示出一个欢迎页， 并给出简要的介绍， 以及 pine 开发小组要求用户匿名发送一封邮件， 以便帮助他们了解有多少用户在使用他们开发的客户程序的请求。 要发送这封匿名的邮件， 请按 Enter， 您也可以按 E 退出， 而不发送匿名邮件。 下面是欢迎页的一个例子： 接下来展现给用户的将是主菜单， 可以很容易地通过光标键在上面进行选择。 这个主菜单提供了用于撰写新邮件、 浏览邮件目录， 甚至管理地址簿等等的快捷方式。 主菜单下面是完成各种功能的快捷键说明。 由 pine 打开的默认目录是 inbox。 要查看邮件索引， 应按 I， 或选择下面所示的 MESSAGE INDEX 选项： 邮件索引展示了当前目录下的邮件， 可以使用光标键翻阅。 按 Enter 键阅读高亮选定的邮件。 在上面的截屏中， 使用 pine 显示了一封示例邮件。 在屏幕底部也显示了快捷键供参考。 其中的一个例子是 r 键， 它告诉 MUA 回复正显示的邮件。 在 pine 中回复邮件， 是通过 pico 编辑器完成的， 后者默认情况下会随 pine 一起安装。 而 pico 工具使得浏览邮件变得更加简单， 并且要比 &man.vi.1; 或 &man.mail.1; 更能容忍误操作。 回复写好之后， 可以用 CtrlX 来发出它。 此前， pine 程序会要求确认。 pine 程序可以通过使用主菜单中的 SETUP 选项来进行定制。 请参考 来了解更多信息。 Marc Silver Contributed by 使用 fetchmail fetchmail fetchmail 是一个全功能的 IMAP 和 POP 客户程序， 它允许用户自动地从远程的 IMAP 和 POP 服务器上下载邮件， 并保存到本地的信箱中； 这样， 访问这些邮件就变得更方便了。 fetchmail 可以通过 mail/fetchmail port 安装， 它提供了许多有用的功能， 其中包括： 支持 POP3、 APOP、 KPOP、 IMAP、 ETRN 以及 ODMR 协议。 通过 SMTP 转发邮件， 这使得过滤、 转发， 以及邮件别名能够正常工作。 能够以服务程序的方式运行， 并周期性地检查邮件。 能够从多个信箱收取邮件， 并根据配置， 将这些邮件转发给不同的本地用户。 尽管介绍全部 fetchmail 的功能超出了本书的范围， 但这里仍然介绍了其基本的功能。 fetchmail 工具需要一个名为 .fetchmailrc 的配置文件才能正常工作。 这个文件中包含了服务器信息， 以及登录使用的凭据。 由于这个文件包含敏感内容， 建议将其设置为只有属主所有， 使用下面的命令： &prompt.user; chmod 600 .fetchmailrc 下面的 .fetchmailrc 提供了一个将某一用户的信箱通过 POP 下载到本地的例子。 它告诉 fetchmail 连接到 example.com， 并使用用户名 joesoap 和口令 XXX。 这个例子假定 joesoap 同时也是本地的系统用户。 poll example.com protocol pop3 username "joesoap" password "XXX" 下一个例子将连接多个 POP 和 IMAP 服务器， 并根据需要转到不同的本地用户： poll example.com proto pop3: user "joesoap", with password "XXX", is "jsoap" here; user "andrea", with password "XXXX"; poll example2.net proto imap: user "john", with password "XXXXX", is "myth" here; 另外， fetchmail 也可以通过指定 参数， 并给出 fetchmail 在轮询 .fetchmailrc 文件中列出的服务器的时间间隔， 来以服务程序的方式运行。 下面的例子会让 fetchmail 每 600 秒轮询一次： &prompt.user; fetchmail -d 600 更多关于 fetchmail 的资料， 可以在 找到。 Marc Silver Contributed by 使用 procmail procmail procmail 是一个强大得惊人的过滤进入邮件的应用程序。 它允许用户定义 规则， 并用这些规则来匹配进入的邮件， 进而执行某些特定的功能， 或将这些邮件转发到其他信箱和/或邮件地址。 procmail 可以通过 mail/procmail port 来安装。 装好之后， 可以直接把它集成到绝大多数 MTA 中； 请参考您使用的 MTA 的文档了解具体的作法。 另外， procmail 可允许通过把下面的设置加入到用户主目录中的 .forward 文件中， 来启用 procmail 功能： "|exec /usr/local/bin/procmail || exit 75" 接下来我们将介绍一些基本的 procmail 规则， 以及它们都是做什么的。 各种各样的规则， 都应该写到 .procmailrc 文件中， 而这个文件则必须放在用户的主目录下。 主要的规则， 也可以在 &man.procmailex.5; 联机手册中找到。 将所有来自 user@example.com 的邮件， 转发到外部地址 goodmail@example2.com： :0 * ^From.*user@example.com ! goodmail@example2.com 转发所有不超过 1000 字节的邮件到外部地址 goodmail@example2.com： :0 * < 1000 ! goodmail@example2.com 把所有发送到 alternate@example.com 的邮件放到信箱 alternate 中： :0 * ^TOalternate@example.com alternate 将所有标题为 Spam 的邮件发到 /dev/null： :0 ^Subject:.*Spam /dev/null 将收到的所有 &os;.org 邮件列表的邮件， 转发到各自的信箱： :0 * ^Sender:.owner-freebsd-\/[^@]+@FreeBSD.ORG { LISTNAME=${MATCH} :0 * LISTNAME??^\/[^@]+ FreeBSD-${MATCH} } diff --git a/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml b/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml index 5d6b4fc048..9e72480d11 100644 --- a/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml @@ -1,3070 +1,3070 @@ 获取 FreeBSD CDROM 和 DVD 发行商 零售盒装产品 可以从下面几个零售商那里买到 FreeBSD 的盒装产品(FreeBSD CD， 附加软件，印刷文档)：
CompUSA WWW:
Frys Electronics WWW:
CD 和 DVD 光盘 FreeBSD CD 和 DVD 光盘可以从许多在线零售商那里买到：
BSD Mall by Daemon News PO Box 161 Nauvoo, IL 62354 USA Phone: +1 866 273-6255 Fax: +1 217 453-9956 Email: sales@bsdmall.com WWW:
BSD-Systems Email: info@bsd-systems.co.uk WWW:
FreeBSD Mall, Inc. 3623 Sanford Street Concord, CA 94520-1405 USA Phone: +1 925 674-0783 Fax: +1 925 674-0821 Email: info@freebsdmall.com WWW:
- Hinner EDV + Dr. Hinner EDV St. Augustinus-Str. 10 D-81825 München Germany Phone: (089) 428 419 WWW:
Ikarios 22-24 rue Voltaire 92000 Nanterre France WWW:
JMC Software Ireland Phone: 353 1 6291282 WWW:
Linux CD Mall Private Bag MBE N348 Auckland 1030 New Zealand Phone: +64 21 866529 WWW:
The Linux Emporium Hilliard House, Lester Way Wallingford OX10 9TA United Kingdom Phone: +44 1491 837010 Fax: +44 1491 837016 WWW:
Linux+ DVD Magazine Lewartowskiego 6 Warsaw 00-190 Poland Phone: +48 22 860 18 18 Email: editors@lpmagazine.org WWW:
Linux System Labs Australia 21 Ray Drive Balwyn North VIC - 3104 Australia Phone: +61 3 9857 5918 Fax: +61 3 9857 8974 WWW:
LinuxCenter.Ru Galernaya Street, 55 Saint-Petersburg 190000 Russia Phone: +7-812-3125208 Email: info@linuxcenter.ru WWW:
发行人 如果您是销售商并且想销售 FreeBSD CDROM 产品， 请和发行人联系：
Cylogistics 809B Cuesta Dr., #2149 Mountain View, CA 94040 USA Phone: +1 650 694-4949 Fax: +1 650 694-4953 Email: sales@cylogistics.com WWW:
Ingram Micro 1600 E. St. Andrew Place Santa Ana, CA 92705-4926 USA Phone: 1 (800) 456-8000 WWW:
Kudzu, LLC 7375 Washington Ave. S. Edina, MN 55439 USA Phone: +1 952 947-0822 Fax: +1 952 947-0876 Email: sales@kudzuenterprises.com
LinuxCenter.Ru Galernaya Street, 55 Saint-Petersburg 190000 Russia Phone: +7-812-3125208 Email: info@linuxcenter.ru WWW:
Navarre Corp 7400 49th Ave South New Hope, MN 55428 USA Phone: +1 763 535-8333 Fax: +1 763 535-0341 WWW:
FTP 站点 官方的 FreeBSD 源代码可以从遍布全球的镜像站点 通过匿名 FTP 下载。 站点 有着良好的网络连接并且允许大量的并发连接， 但是 您或许更想找一个 更近的 镜像站点 (特别是当您想进行某种形式的镜像的时候)。 FreeBSD 镜像 站点数据库要比使用手册中的镜像列表更加精确， 因为它从 DNS 中获取信息而不依赖于静态的主机列表。 FreeBSD 可以从下面这些镜像站点通过匿名 FTP 下载。如果您选择了通过匿名 FTP 获取 FreeBSD， 请尽量使用离您比较近的站点。被列为 主镜像站点 的镜像站点一般都有完整的 FreeBSD 文件 (针对每种体系结构的所有当前可用的版本)， 您或许从您所在的国家或地区的站点下载会得到更快的下载速度。 每个站点提供了最流行的体系结构的最近的版本而有可能不提供完整的 FreeBSD 存档。所有的站点都提供匿名 FTP 访问而有些站点也提供其他的访问方式。对每个站点可用的访问方式 在其主机名后有所说明。 &chap.mirrors.ftp.inc; 匿名 CVS <anchor id="anoncvs-intro">概述 CVS 匿名 匿名 CVS(或人们常说的 anoncvs)是由和 FreeBSD 附带的 CVS 实用工具提供的用于和远程的 CVS 代码库同步的一种特性。 尤其是， 它允许 FreeBSD 用户不需要特殊的权限对任何一台 FreeBSD 项目的官方 anoncvs 服务器执行只读的 CVS 操作。 要使用它，简单的设置 CVSROOT 环境变量指向适当的 anoncvs 服务器， 输入 cvs login 命令 并提供广为人知的密码anoncvs，然后使用 &man.cvs.1; 命令像访问任何本地仓库一样来访问它。 cvs login 命令把用来登录 CVS 服务器的密码储存在您的 HOME 目录中一个叫 .cvspass 的文件里。 如果这个文件不存在， 第一次使用 cvs login 的时候可能会出错。 请创建一个空的 .cvspass 文件，然后试试重新登录。 也可以这么说 CVSup 和 anoncvs 服务本质上提供了同样的功能，但是有各种各样 不同的场合可以影响用户对同步方式的选择。简单来说， CVSup 在网络资源利用方面 更加有效，而且是到目前为止在两者之中技术上更成熟的 除了成本方面。要使用 CVSup，在下载任何东西之前 必须首先安装配置特定的客户端， 而且只能用于下载相当大块的 CVSup 称作 collections。 相比之下，anoncvs 可以通过 CVS 模块名来从单个文件里检出任何东西并赋给特定的程序 (比如 ls 或者 grep)。 当然，anoncvs 也只适用于对 CVS 仓库的只读操作，所以如果您是想用和 FreeBSD 项目共享的仓库提供本地开发的话， CVSup 几乎是您唯一的选择。 <anchor id="anoncvs-usage">使用匿名 CVS 配置 &man.cvs.1; 使用匿名 CVS 仓库可以简单的设定 CVSROOT 环境变量指向 FreeBSD 项目的 anoncvs 服务器之一。到此书写作为止， 下面的服务器都是可用的： 奥地利: :pserver:anoncvs@anoncvs.at.FreeBSD.org:/home/ncvs (使用 cvs login 然后在提示输入口令时输入任意口令。) 法国: :pserver:anoncvs@anoncvs.fr.FreeBSD.org:/home/ncvs (pserver (口令是 anoncvs), ssh (没有口令)) 德国: :pserver:anoncvs@anoncvs.de.FreeBSD.org:/home/ncvs (Use cvs login and enter the password anoncvs when prompted.) 德国: :pserver:anoncvs@anoncvs2.de.FreeBSD.org:/home/ncvs (rsh, pserver, ssh, ssh/2022) 日本: :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs (Use cvs login and enter the password anoncvs when prompted.) 美国: freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs (仅 ssh - 无口令) SSH HostKey: 1024 a1:e7:46:de:fb:56:ef:05:bc:73:aa:91:09:da:f7:f4 root@sanmateo.ecn.purdue.edu SSH2 HostKey: 1024 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65 ssh_host_dsa_key.pub USA: anoncvs@anoncvs1.FreeBSD.org:/home/ncvs (仅 ssh - 无口令) SSH HostKey: 1024 8b:c4:6f:9a:7e:65:8a:eb:50:50:29:7c:a1:47:03:bc root@ender.liquidneon.com SSH2 HostKey: 2048 4d:59:19:7b:ea:9b:76:0b:ca:ee:da:26:e2:3a:83:b8 ssh_host_dsa_key.pub 因为 CVS 实际上允许 检出 曾经存在的 (或者，某种情况下将会存在) FreeBSD 源代码的任意版本， 您需要熟悉 &man.cvs.1; 的版本 () 参数， 以及在 FreeBSD 代码库中可用的值。 有两种标签，修订标签和分支标签。 修订标签特指一个特定的修订版本。含义始终是不变的。 分支标签，另一方面， 指代给定时间给定开发分支的最新修订， 因为分支标签不涉及特定的修订版本， 它明天所代表的含义就可能和今天的不同。 包括了用户可能感兴趣的 修订标签。 另外，这里面没有一个可以用于 Ports Collection， 因为它没有多个修订版本。 当您指定一个分支标签，您通常会得到那个开发分支的文件的最新版本。 如果您希望得到一些旧的版本，您可以用 标记制定一个日期。 察看 &man.cvs.1; 手册页了解更多细节。 示例 在这之前强烈建议您通读 &man.cvs.1; 的手册页， 这里有一些简单的例子来展示如何使用匿名 CVS： 从 -CURRENT 检出些东西 (&man.ls.1;)： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入密码 anoncvs. &prompt.user; cvs co ls 通过 SSH 检出整个 <filename>src/</filename> 代码树： &prompt.user; cvs -d freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs co src The authenticity of host 'anoncvs.freebsd.org (128.46.156.46)' can't be established. DSA key fingerprint is 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 'anoncvs.freebsd.org' (DSA) to the list of known hosts. 检出 6-STABLE 分支中的 &man.ls.1; 版本： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入密码 anoncvs。 &prompt.user; cvs co -rRELENG_6 ls 创建 &man.ls.1; 的变化列表(用标准的 diff) &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入密码 anoncvs。 &prompt.user; cvs rdiff -u -rRELENG_5_3_0_RELEASE -rRELENG_5_4_0_RELEASE ls 找出可以使用的其它的模块名： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入密码 anoncvs. &prompt.user; cvs co modules &prompt.user; more modules/modules 其他资源 下面附加的资源可能对学习 CVS 有帮助： CVS 指南 来自 Cal Poly。 CVS 主页， CVS 开发和支持社区。 CVSweb 是 FreeBSD 项目的 CVS web 界面。 使用 CTM CTM CTM 是保持远程目录树和中央服务器目录树同步的一种方法。 它被开发用于 FreeBSD 的源代码树，虽然其他人随着时间推移会发现它可以用于其他目的。 当前几乎没有，也或者只有很少的文档讲述创建 deltas 的步骤， 所以如果您希望使用 CTM 去做其它事情， 请联系 &a.ctm-users.name; 邮件列表了解更多信息。 为什么我该使用 <application>CTM</application>? CTM 会给您一份 FreeBSD 源代码树的本地副本。 代码树有很多的 flavors 可用。不管您是希望跟踪完整的 CVS 树还是只是一个分支， CTM 都会给您提供信息。 如果您是 FreeBSD 上的一个活跃的开发者，但是缺乏或者不存在 TCP/IP 连接，或者只是希望把变化自动发送给您， CTM 就是适合您的。对于最积极的分支 您将会每天获得三个以上的 deltas。 然而，您应该考虑通过邮件来自动发送。 升级的大小总是保证尽可能的小。 通常小于 5K，也偶然(十分之一可能)会有 10-50K，也不时地有个大的 100K+ 甚至更大的。 您也需要让自己了解直接和开发代码而不是预发行版本打交道的各种警告。这种情况会很显著， 如果您选择了 current 代码的话。强烈建议您阅读和 FreeBSD 保持同步。 使用 <application>CTM</application> 我需要做什么？ 您需要两样东西：CTM 程序，还有初始的 deltas 来 feed it(达到 current 级别)。 CTM 程序从版本 2.0 发布以来 已经是 FreeBSD 的一部分了，如果您安装了源代码副本的话， 它位于 /usr/src/usr.sbin/ctm。 您喂给 CTM 的 deltas 可以有两种方式，FTP 或者 email。 如果您有普通的访问 Internet 的 FTP 权限， 那么下面的 FTP 站点支持访问 CTM： 或者看看这一小节镜像。 FTP 访问相关的目录并取得 README 文件，从那里开始。 如果您希望通过 email 得到您的 deltas： 订阅一个 CTM 分发列表。 &a.ctm-cvs-cur.name; 支持完整的 CVS 树。 &a.ctm-src-cur.name; 支持最新的开发分支。 &a.ctm-src-4.name; 支持 4.X 发行分支， 等等。。(如果您不知道如何订阅邮件列表， 点击上面的列表名或者到 &a.mailman.lists.link; 点击您希望订阅的列表。 列表页包含了所有必要的订阅指导。) 当您开始接收到您邮件中的 CTM 升级时，您可以使用 ctm_rmail 程序来解压并应用它们。 事实上如果您想要让进程以全自动的形式运行的话，您可以通过在 /etc/aliases 中设置直接使用 ctm_rmail 程序。 查看 ctm_rmail 手册页了解更多细节。 不管您使用什么方法得到 CTM deltas，您都应该订阅 &a.ctm-announce.name; 邮件列表。 以后会有单独的地方提交有关 CTM 系统的操作的公告。 点击上面的邮件列表名并按照指示订阅邮件列表。 第一次使用 <application>CTM</application> 在您开始使用 CTM delta 之前，您需要获得一个起始点。 首先您应该确定您已经有了什么。每个人都可以从一个空目录开始。 您必须用一个初始的 空的 delta 来开始您的 CTM 支持树。曾经为了您的便利这些 起始 deltas 被有意的通过 CD 来发行， 然而现在已经不这样做了。 因为代码树有数十兆字节，您应该更喜欢从手头上已经有的东西开始。如果您有一张 -RELEASE CD 光盘，您可以从里面复制或者解压缩一份初始代码出来。 这会节省非常多的数据传输量。 您会发现这些初始的 deltas 名字的数字后面都有个 X (比如 src-cur.3210XEmpty.gz)。 后面加一个 X 的设计符合您的初始 seed 的由来。 Empty 是一个空目录。通常一个基本的从 Empty 开始的转换由 100 个 deltas 构成。顺便说一下，他们都很大！70 到 80 兆字节的 gzip 压缩的数据对于 XEmpty deltas 是很平常的。 一旦您已经选定了一个基本的 delta 开始，您就需要比这个数高的所有的 delta。 在您的日常生活中使用 <application>CTM</application> 要应用 deltas，简单的键入： &prompt.root; cd /where/ever/you/want/the/stuff &prompt.root; ctm -v -v /where/you/store/your/deltas/src-xxx.* CTM 能够理解被 gzip 压缩的 deltas，所以您不需要先 gunzip 他们，这可以节省磁盘空间。 除非觉得整个过程非常可靠， CTM 不会涉及到您的代码树的。您也可以使用 标记来校验 delta， 这样 CTM 就不会涉及代码树； 它会只校验 delta 的完整性看看是否可以安全的用于您的当前代码树。 CTM 还有其他的一些参数， 查看手册页或者源代码了解更多信息。 这真的就是全部的事情了。每次得到一个新的 delta，就通过 CTM 运行它来保证您的代码是最新的。 如果这些 deltas 很难重新下载的话不要删除它们。 有些东西坏掉的时候您会想到保留它们的。 即使您只有软盘，也请考虑使用 fdwrite 来做一份副本。 维持您本地的变动 作为一名开发者喜欢实验，改动代码树中的文件。 CTM 用一种受限的方式支持本地修改：再检查文件 foo 存在之前，首先查找 foo.ctm。如果这个文件存在， CTM 会对它操作而不是 foo。 这种行为给我们提供了一种简单的方式来维持本地的改动： 只要复制您计划修改的文件并用 .ctm 的后缀重新命名。 然后就可以自由的修改代码了，CTM 会更新 .ctm 文件到最新版本。 其他有趣的 <application>CTM</application> 选项 正确的找出哪些将被更新 您可以确定变动列表， CTM 可以做到，在您的代码库上使用 CTM 的 选项。 这很有用如果您想要保存改动的日志， pre- 或者 post- 用各种风格处理修改的文件的纪录， 或者仅仅是想感受一下孩子般的疯狂。 在升级前制作备份 有时您可能想备份将要被 CTM 升级所改动的所有文件。 指定 选项会导致 CTM 备份将要被给定的 CTM delta 改动的所有文件到 backup-file。 限定受升级影响的文件 有时您可能对限定一个给定的 CTM 升级的范围感兴趣，也有可能想知道怎样从一列 deltas 中解压缩一部分文件。 您可以通过使用 和 选项指定过滤规则表达式来控制 CTM 即将对之操作的文件列表。 例如，要从您保存的CTM deltas 集里解压缩出一个最新的 lib/libc/Makefile 文件，运行这个命令： &prompt.root; cd /where/ever/you/want/to/extract/it/ &prompt.root; ctm -e '^lib/libc/Makefile' ~ctm/src-xxx.* 对于每一个在 CTM delta 中指定的文件， 和 选项按照命令行给定的顺序应用。 文件只有在所有的 和 被应用之后标记为合格之后 才能被 CTM 操作。 <application>CTM</application> 未来的计划 其中几项： 在 CTM 中使用一些认证方式， 这样来允许察觉冒充的 CTM 补丁。 整理 CTM 的选项， 它们变得杂乱而违反直觉了。 杂项 也有一系列的 ports collection 的 deltas，但是人们对它的兴致还没有那么高。 CTM 镜像 CTM/FreeBSD 可以在下面的镜像站点通过匿名 FTP 下载。如果您选择通过匿名 FTP 获取 CTM， 请试着使用一个离您较近的站点。 如果有问题，请联系 &a.ctm-users.name; 邮件列表。 加利福尼亚州，海湾地区，官方源代码 南非，旧的 deltas 的备份服务器 中国台湾 如果您在您附近找不到镜像或者镜像不完整， 试着使用搜索引擎比如 alltheweb. 使用 CVSup 概述 CVSup 是一个用于从远程服务器主机上的主 CVS 仓库发布和升级源代码树的软件包。 FreeBSD 的源代码维护在加利福尼亚州一台主开发服务器的 CVS 仓库里。 有了 CVSup，FreeBSD 用户可以很容易的保持他们自己的源代码树更新。 CVSup 使用所谓的升级 pull 模式。在 pull 模式下，客户端在需要的时候向服务器端请求更新。 服务器被动的等待客户端的升级请求。 因此所有的升级都是客户端发起的。 服务器决不会发送未请求的升级。用户必须手动运行 CVSup 客户端获取更新， 或者设置一个 cron 作业来让它以固定的规律自动运行。 术语 CVSup用大写字母写正是表示， 代表了完整的软件包。 它的主要组件是运行在每个用户机器上的客户端 cvsup， 和运行在每个 FreeBSD 镜像站点上的服务器端 cvsupd。 当您阅读 FreeBSD 文档和邮件列表时，您可能会看见 sup。 Sup 是 CVSup 的前身，有着相似的目的。 CVSup 使用很多和 sup 相同的方式， 而且， 它还是用使用和 sup 的兼容的配置文件。 Sup 已经不再被 FreeBSD 项目使用了， 因为 CVSup 既快又有更好的灵活性。 安装 安装 CVSup 最简单的方式就是使用 FreeBSD packages collection 中预编译的 net/cvsup 包。 如果您想从源代码构建 CVSup， 您可以使用 net/cvsup port。但是预先警告一下： net/cvsup port 依赖于 Modula-3 系统，会花费相当的时间和磁盘空间来下载编译。 如果想在没有安装 &xfree86; 或 &xorg; 的计算机， 例如服务器上使用 CVSup， 则只能使用不包含 CVSup GUI 的 net/cvsup-without-gui。 CVSup 配置 CVSup 的操作被一个叫做 supfile 的配置文件所控制。 在目录 /usr/share/examples/cvsup/ 下面有一些示例的 supfiles。 supfile 中的信息解答了 CVSup 下面的几个问题： 您想接收 哪些文件？ 您想要它们的 哪个版本？ 您想从哪里 获取它们？ 您想把它们 放在您自己机器的什么地方？ 您想把 您的状态文件放在哪？ 在下面的章节里，我们通过依次回答这些问题来创建一个典型的 supfile 文件。首先，我们描述一下 supfile 的整体构成。 supfile 是个文本文件。注释用 # 开头，至行尾有效。 空行和只包含注释的行会被忽略。 每个保留行描述一批用户希望接收的文件。 每行以 collection， 由服务器端定义的合理的文件分组，的名字开头。 collection 的名字告诉服务器您想要的文件。 collection 名字结束或者有更多的字段，用空格分隔。 这些字段回答了上面列出的问题。 字段类型有两种：标记字段和值字段。 标记字段由独立的关键字组成，比如， delete 或者 compress。值字段也用关键字开头， 关键字后面跟 = 和第二个词而没有空格。 例如，release=cvs 是一个值字段。 一个典型的 supfile 往往接收多于一个的 collection。创建 supfile 的一种方式是明确的为每一个 collection 指定相关的字段。然而，这样使得 supfile 的行变得特别长，很不方便， 因为 supfile 中的所有 collection 的大部分 字段都是相同的。 CVSup 提供了一个默认机制来避免 这些问题。用特定的伪 collection 名 *default 开头的行可以被用来设置标记和值为 supfile 中随后的 collection 中的默认值。 默认值可以通过为这个 collection 自身指定不同的值来对单个的 collection 覆盖设置， 也可以在 mid-supfile 中通过附加的 *default 行改变或扩充。 知道了这些，我们现在就可以开始创建一个 用于接收和升级 FreeBSD-CURRENT 主源代码树的 supfile 文件了。 您想接收哪些文件？ 通过 CVSup 可用的文件组织成叫做 collections 的名称组。 这些可用的 collection 在 随后的章节 中描述。 在这个例子里， 我们希望接收 FreeBSD 系统的完整的主代码树。 有一个单独的大的 collection src-all 让我们完成这个。 创建我们的 supfile 的第一步， 我们简单的列出这些 collection，每个一行(在这个例子里， 只有一行)： src-all 您想要他们的 哪个版本？ 通过 CVSup，您实际上可以接收 曾经存在的源代码的任何版本。 这是有可能的，因为 cvsupd 服务器直接通过 CVS 仓库工作，那包含了所有的版本。您可以 用 tag= 和 值字段 指定一个您想要的版本。 仔细的正确指定任何 tag= 字段。有一些 tag 只对特定的 collection 文件合法。 如果您指定了一个不正确的或者 拼写错误的 tag，CVSup 会删除您可能不想删除的文件。 特别地，对 ports-* collection 只使用 tag=.。 tag= 字段在仓库中表示为一个符号标签。 有两种标签，修订标签和分支标签。 修订标签代表一个特定的修订版本。 它的含义是一成不变的。 分支标签，另一方面，代表给定开发线上给定时间的最新修订。 因为分支标签不代表一个特定的修订版本， 它明天的含义就可能和今天的有所不同。 包含了用户可能感兴趣的分支标签。 当在 CVSup 的配置文件中指定标签的时候，必须用 tag= 开头 (RELENG_4 会变成 tag=RELENG_4)。 记住只有 tag=. 可以用于 Ports Collection。 注意像看到的那样正确的输入标签名。 CVSup 不能辨别合法和不合法标签。 如果您拼写错了标签名， CVSup 会像您指定了一个没有任何文件的合法标签一样工作， 那会删除您已经存在的代码。 当您指定一个分支标签的时候，您通常会收到开发线上文件的最新版本。 如果您希望接收一些过时的版本，您可以通过用 值字段指定一个日期来做到。 &man.cvsup.1; 手册页解释了如何来做。 对于我们的示例来说，我们希望接收 FreeBSD-CURRENT。 我们在我们的 supfile 的开头添加这行： *default tag=. 有一个重要的特例， 如果您既没指定 tag= 字段也没指定 date= 字段的情况。这种情况下， 您会收到直接来自于服务器 CVS 仓库的真实的 RCS 文件， 而不是某一特定版本。 开发人员一般喜欢这种操作模式。 通过在他们的系统上维护一份仓库自身的副本， 他们可以浏览修订历史以及检查文件过去的版本。 然而，这个好处是以大量的磁盘空间为代价的。 您想从哪里获取他们？ 我们使用 host= 字段来告诉 cvsup 从哪里获取更新。 任何一个 CVSup 镜像站点都可以， 虽然您应该选择一个离您比较近的站点。 在这个例子里我们将使用一个虚拟的 FreeBSD 发布站点， cvsup99.FreeBSD.org： *default host=cvsup99.FreeBSD.org 您需要在运行 CVSup 之前把这个改成一个实际存在的站点。 在任何 cvsup 运行的特定时刻， 您都可以在命令行上使用 选项来覆盖主机设置。 您想把它们放在 您自己机器的什么地方？ prefix= 字段告诉 cvsup 把接收的文件放在哪里。 在这个例子里，我们把源代码文件直接放进我们的主源代码树， /usr/src。 src 目录已经隐含在我们选择接收的 collection 里了， 所以正确的写法是： *default prefix=/usr cvsup 在哪里维护它的状态文件？ CVSup 客户端在被叫做 base 的目录里维护了几个状态文件。 这些文件帮助 CVSup 更有效的工作， 通过跟踪您已经接收到哪些更新的方式。 我们将使用标准的 base 目录， /var/db： *default base=/var/db 如果您的 base 目录还不存在，现在最好创建它。 如果 base 目录不存在，cvsup 客户端会拒绝工作。 其他的 supfile 设置： 在 supfile 中有一些其他选项需要介绍一下： *default release=cvs delete use-rel-suffix compress release=cvs 显示服务器应该从 FreeBSD 的主 CVS 仓库中获取信息。 事实上总是这样的，但是也有可能会超出这个讨论的范围。 delete 给 CVSup 权限删除文件。 您应该总是指定这个，这样 CVSup 可以保证您的源代码树完全更新。CVSup 很小心的只删除那些不再依赖的文件。 您拥有的任何额外的文件会被严格的保留。 use-rel-suffix 是 ... 不可思议的。 如果您真的想了解它，查看 &man.cvsup.1; 手册页。 否则，就指定而不用担心这个。 compress 启用 gzip 风格的信道压缩。 如果您的网络连接是 T1 或者更快， 您可能不想使用压缩。 否则，它非常有帮助。 把它们放在一起： 这是我们的示例的完整 supfile 文件： *default tag=. *default host=cvsup99.FreeBSD.org *default prefix=/usr *default base=/var/db *default release=cvs delete use-rel-suffix compress src-all <filename>refuse</filename> 文件 像上面提到的，CVSup 使用一种 pull 方法。基本上，这意味着您要连接到 CVSup 服务器，服务器说， 这有些您能下载的东西 ...，然后您的客户端反应好，我要这个， 这个，这个，还有这个。在默认的配置中， CVSup 客户端会取回您在配置文件中选定的 collection 和标签的每个文件。 然而，并不总是您想要的， 尤其是您在同步 doc，ports，或者 www 树 — 大部分人都不能阅读四种或者五种 语言，因此他们不需要下载特定语言的文件。 如果您在 CVSup Ports Collection，您 可以通过单独指定每个 collection 来避免这个 (比如，ports-astrology， ports-biology，等等取代简单的说明 ports-all)。然而，因为 doc 和 www 树没有特定语言的 collection，您必须 使用 CVSup 许多极好的特性之一： refuse 文件。 refuse 文件本质上是告诉 CVSup 它不应该从 collection 中取得某些文件；换句话说，它告诉客户端 拒绝 来自服务器的特定的文件。 refuse 文件可以在 base/sup/ 中找到(或者，如果您没有，应该创建一个)。 base 在您的 supfile 中定义； 默认情况下，base 就是 /var/db， 这意味着默认的 refuse 文件就是 /var/db/sup/refuse。 refuse 文件的格式很简单； 它仅仅包含您不希望下载的文件和目录名。 例如，如果您除了英语和德语之外不会讲其他语言， 而且也不打算阅读德文的文档翻译版本， 则可以把下面这些放在您的 refuse 文件里： doc/bn_* doc/da_* doc/de_* doc/el_* doc/es_* doc/fr_* doc/it_* doc/ja_* doc/nl_* doc/no_* doc/pl_* doc/pt_* doc/ru_* doc/sr_* doc/tr_* doc/zh_* 等等其他语言(您可以通过浏览 FreeBSD CVS 仓库找到完整的列表)。 有这个非常有用的特性，那些慢速连接或者要为他们的 Internet 连接按时付费的用户就可以节省宝贵的时间因为他们不再需要 下载那些从来不用的文件。要了解 refuse 文件的更多信息以及其它 CVSup 的优雅的特性，请浏览它的 手册页。 运行 <application>CVSup</application> 您现在准备尝试升级了。命令很简单： &prompt.root; cvsup supfile supfile 的位置当然就是您刚刚创建的 supfile 文件名啦。 如果您在 X11 下面运行，cvsup 会显示一个有一些可以做平常事情的按钮的 GUI 窗口。 按 go 按钮，然后看着它运行。 在这个例子里您将要升级您目前的 /usr/src 树，您将需要 用 root 来运行程序，这样 cvsup 有需要的权限来更新您的文件。 刚刚创建了您的配置文件，又从来没有使用过这个程序， 紧张不安是可以理解的。有一个简单的方法不改变您当前的文件 来做一次试验性的运行。只要在方便的地方创建一个 空目录，并在命令行上作为一个额外的参数说明： &prompt.root; mkdir /var/tmp/dest &prompt.root; cvsup supfile /var/tmp/dest 您指定的目录会作为所有文件更新的目的路径。 CVSup 会检查您在 /usr/src 中的文件，但是不会修改或 删除。任何文件更新都会被放到 /var/tmp/dest/usr/src 里了。 在这种方式下运行 CVSup 也会把它的 base 目录状态文件保持原样。这些文件的新版本 会被写到指定的目录。 因为您有 /usr/src 目录的读权限，所以执行这种试验性的运行 甚至不需要使用 root 用户。 如果您没有运行 X11 或者不喜欢 GUI， 当您运行 cvsup 的时候需要在命令行添加 两个选项： &prompt.root; cvsup -g -L 2 supfile 告诉 CVSup 不要使用 GUI。如果您 没在运行 X11 这个是自动的，否则您必须指定它。 告诉 CVSup 输出所有正在升级的文件的细节。 有三个等级可以选择，从 到 。默认是 0，意味着除了错误消息 什么都不输出。 还有许多其它的选项可用。想要一个简短的列表， 输入 cvsup -H。要查看更详细的描述， 请查看手册页。 一旦您对升级工作的方式满意了，您就 可以使用 &man.cron.8; 来安排规则的运行 CVSup。 很显然的，您不应该让 CVSup 通过 &man.cron.8; 运行的时候使用它的 GUI。 <application>CVSup</application> 文件 collection CVSup 可用的文件 collection 是分级组织的。 有几个大的 collection，然后它们有分成更小的子 collection。接收一个大的 collection 等同于 接收它的每一个子 collection。 collection 的等级关系在下面列表中通过缩进的使用 反映出来。 最常用的 collection 是 src-all，和 ports-all。其它的 collection 只被有着特定 目的的小部分人使用， 有些站点可能不全部支持。 cvs-all release=cvs FreeBSD 主 CVS 仓库，包含 密码系统的代码。 distrib release=cvs FreeBSD 发行版本和镜像相关的 文件。 doc-all release=cvs FreeBSD 使用手册和其它文档的源代码。 其中不包含 FreeBSD web 站点的文件。 ports-all release=cvs FreeBSD Ports Collection。 如果您不想升级全部的 ports-all(整个 ports 树)， 而只是使用下面列出的一个子集， 请确保您总是升级了 ports-base 子 collection！ 无论何时在 ports 构建下层构造有所改变的时候都会通过 ports-base 表现出来，事实上某些 改变会很快的被实际的 ports 使用，因此，如果您只升级了 实际的 ports 而他们使用了一些新的特性， 就有极大的可能编译会因一些神秘的错误信息而失败。 这种情况下非常快速的要做的事情 就是确保您的 ports-base 子 collection 更新到 最新。 要自行构建 ports/INDEX， 您 必须 接受 ports-all (完整的 ports tree)。 在部分 ports tree 上构建 ports/INDEX 是不被支持的。 请参见 FAQ。 ports-accessibility release=cvs 用以帮助残疾用户的软件。 ports-arabic release=cvs 阿拉伯语支持。 ports-archivers release=cvs 存档工具。 ports-astro release=cvs 天文相关的 ports。 ports-audio release=cvs 声音支持。 ports-base release=cvs Ports Collection 构建下部构造 - 位于 /usr/ports 的 Mk/ 和 Tools/ 子目录的 各种各样的文件。 请查看 重要警告：您应该 总是更新这个 子 collection，无论您更新 FreeBSD Ports Collection 的任何部分的时候！ ports-benchmarks release=cvs 基准。 ports-biology release=cvs 生物学。 ports-cad release=cvs 计算机辅助设计工具。 ports-chinese release=cvs 中文语言支持。 ports-comms release=cvs 通信软件。 ports-converters release=cvs 字符编码转换。 ports-databases release=cvs 数据库 ports-deskutils release=cvs 计算机发明前常出现在桌面上的东西。 ports-devel release=cvs 开发工具。 ports-dns release=cvs DNS 相关软件。 ports-editors release=cvs 编辑器 ports-emulators release=cvs 其它操作系统的模拟器 ports-finance release=cvs 货币，金融相关应用程序。 ports-ftp release=cvs FTP 客户端和服务器端工具。 ports-games release=cvs 游戏 ports-german release=cvs 德语支持。 ports-graphics release=cvs 图形图像工具。 ports-hebrew release=cvs 希伯来语支持。 ports-hungarian release=cvs 匈牙利语言支持。 ports-irc release=cvs Internet 多线交谈(IRC)工具。 ports-japanese release=cvs 日语支持。 ports-java release=cvs &java; 工具。 ports-korean release=cvs 韩国语言支持。 ports-lang release=cvs 编程语言。 ports-mail release=cvs 邮件软件。 ports-math release=cvs 数值计算软件。 ports-mbone release=cvs MBone 应用程序。 ports-misc release=cvs 杂样工具。 ports-multimedia release=cvs 多媒体软件。 ports-net release=cvs 网络软件。 ports-net-im release=cvs 即时消息软件。 ports-net-mgmt release=cvs 网管软件。 ports-net-p2p release=cvs 对等网 (peer to peer network) 应用。 ports-news release=cvs USENET 新闻软件。 ports-palm release=cvs Palm 系列软件支持。 ports-polish release=cvs 波兰语支持。 ports-portuguese release=cvs 葡萄牙语支持。 ports-print release=cvs 打印软件。 ports-russian release=cvs 俄语支持。 ports-science release=cvs 科学计算。 ports-security release=cvs 安全工具。 ports-shells release=cvs 命令行 shell。 ports-sysutils release=cvs 系统实用工具。 ports-textproc release=cvs 文本处理工具(不 包含桌面出版)。 ports-ukrainian release=cvs 乌克兰语支持。 ports-vietnamese release=cvs 越南语支持。 ports-www release=cvs 万维网(WWW)相关软件。 ports-x11 release=cvs 支持 X window 系统的 ports。 ports-x11-clocks release=cvs X11 时钟。 ports-x11-fm release=cvs X11 文件管理器。 ports-x11-fonts release=cvs X11 字体和字体工具。 ports-x11-toolkits release=cvs X11 工具包。 ports-x11-servers release=cvs X11 服务器。 ports-x11-themes release=cvs X11 主题。 ports-x11-wm release=cvs X11 窗口管理器。 projects-all release=cvs FreeBSD 内部项目的代码库。 src-all release=cvs FreeBSD 主代码，包含密码系统的代码。 src-base release=cvs /usr/src 顶层的各式各样的文件。 src-bin release=cvs 但用户模式下可能用到的用户工具 (/usr/src/bin)。 src-contrib release=cvs FreeBSD 项目之外的工具和库，通常在 FreeBSD 中不作修改 (/usr/src/contrib)。 src-crypto release=cvs FreeBSD 项目之外的 密码系统工具和库，通常在 FreeBSD 中不作修改 (/usr/src/crypto)。 src-eBones release=cvs Kerberos 和 DES (/usr/src/eBones)。 没有在当前的 FreeBSD 发行中使用。 src-etc release=cvs 系统配置文件 (/usr/src/etc)。 src-games release=cvs 游戏 (/usr/src/games)。 src-gnu release=cvs GNU 公共许可协议的工具 (/usr/src/gnu)。 src-include release=cvs 头文件 (/usr/src/include)。 src-kerberos5 release=cvs Kerberos5 安全包 (/usr/src/kerberos5)。 src-kerberosIV release=cvs KerberosIV 安全包 (/usr/src/kerberosIV)。 src-lib release=cvs 库 (/usr/src/lib)。 src-libexec release=cvs 通常被其它程序调用的系统程序 (/usr/src/libexec)。 src-release release=cvs 生成 FreeBSD 版本必需的文件 (/usr/src/release)。 src-sbin release=cvs 但用户模式的系统工具 (/usr/src/sbin)。 src-secure release=cvs 密码相关库和命令 (/usr/src/secure)。 src-share release=cvs 跨多个平台的共享的文件 (/usr/src/share)。 src-sys release=cvs 内核 (/usr/src/sys)。 src-sys-crypto release=cvs 内核密码系统代码 (/usr/src/sys/crypto)。 src-tools release=cvs 维护 FreeBSD 的各种各样的工具 (/usr/src/tools)。 src-usrbin release=cvs 用户工具 (/usr/src/usr.bin)。 src-usrsbin release=cvs 系统工具 (/usr/src/usr.sbin)。 www release=cvs FreeBSD WWW 站点的源代码。 distrib release=self CVSup 服务器的 配置文件。用于 CVSup 镜像站点。 gnats release=current GNATS bug 跟踪数据库。 mail-archive release=current FreeBSD 邮件列表存档。 www release=current 预处理过的 FreeBSD WWW 站点文件(不是源文件)。 用于 WWW 镜像站点。 更多信息 CVSup FAQ 和关于 CVSup 的其它信息，请查看 CVSup 主页。 大多数 CVSup 的和 FreeBSD 相关的讨论都在 &a.hackers;。软件的新版本在那发布， 还有 &a.announce;。 问题和 bug 报告应该发给 程序作者 cvsup-bugs@polstra.com。 CVSup 站点 FreeBSD 的 CVSup 服务器运行于 下列站点： &chap.mirrors.cvsup.inc; 使用 Portsnap 介绍 Portsnap 是一套用以安全地分发 &os; ports 套件的系统。 每隔大约一个小时， 就会生成一份 ports 的最新 快照， 它会被打包并进行数字签名。 这些文件接下来将通过 HTTP 来分发。 与 CVSup 类似， Portsnap 采用 拉 (pull) 的模式来进行更新： 经过打包并签名的 ports tree 被放在 web 服务器上， 被动地等待用户请求它们。 用户需要手工运行 &man.portsnap.8; 来下载更新， 或者设置 &man.cron.8; 任务来自动地进行更新。 由于一些技术原因， Portsnap 并不自动地直接更新位于 /usr/ports/ 目录中的 实际的 ports tree； 事实上， 默认情况下它只操作位于 /var/db/portsnap/ 的压缩的 ports tree 副本， 而这个副本则用于更新实际的 ports tree。 如果 Portsnap 是通过 &os; Ports Collection 安装的， 则这份压缩快照的默认位置则是 /usr/local/portsnap/ 而非 /var/db/portsnap/。 安装 在 &os; 6.0 和更新版本上， Portsnap 已经成为 &os; 基本系统的一部分。 在较早版本的 &os; 中， 它可经由 sysutils/portsnap port 来安装。 Portsnap 的配置 Portsnap 的操作， 是通过 /etc/portsnap.conf 配置文件来控制的。 对于多数用户来说， 默认的配置文件已经可用了； 要了解进一步的细节， 则应参考 &man.portsnap.conf.5; 联机手册。 假如 Portsnap 是通过 &os; Ports Collection 安装的， 则它将使用配置文件 /usr/local/etc/portsnap.conf 而非 /etc/portsnap.conf。 这个文件并不随 port 的安装自动创建， 但我们提供了一个示例的配置文件； 将其复制到合适的位置， 然后运行下面的命令： &prompt.root; cd /usr/local/etc && cp portsnap.conf.sample portsnap.conf 首次运行 <application>Portsnap</application> 在首次运行 &man.portsnap.8; 时， 它需要将整个 ports tree 的压缩快照下载到 /var/db/portsnap/ (或者， 如果 Portsnap 是通过 Ports Collection 安装的， 则是 /usr/local/portsnap/)。 在 2006 年初， 其下载尺寸大约是 41 MB。 &prompt.root; portsnap fetch 一旦下载了压缩的快照， 就可以将它释放成为位于 /usr/ports/ 中的 实际的 ports tree 了。 即时之前那个目录中已经有了一份 ports tree 也需要这样做 (例如， 通过使用 CVSup)， 因为这个操作， 将为后续的 portsnap 决定更新 ports tree 的哪一部份提供基础。 &prompt.root; portsnap extract 默认安装时， 并不会自动创建 /usr/ports 这个目录。 如果您使用 &os; 6.0-RELEASE， 在首次使用 portsnap 之前应手工创建这个目录。 在更高版本的 &os; 和 Portsnap 中， 这个操作会由 portsnap 命令自动完成。 更新 Ports Tree 在首次下载压缩的 ports tree 快照， 并将其释放到 /usr/ports/ 之后， 更新 ports tree 包含下面两步： fetch(下载) 对于压缩快照的更新， 并使用它们来 update(更新) 实际的 ports tree。 这两步可以通过一个 portsnap 命令来完成： &prompt.root; portsnap fetch update 较早版本的 portsnap 并不支持这种写法。 如果不能用的话， 试试看下面的： &prompt.root; portsnap fetch &prompt.root; portsnap update 通过 cron 来运行 Portsnap 为了避免对于 Portsnap 服务器的 快闪 式访问， portsnap fetch 不支持作为 &man.cron.8; 任务来运行。 与此相反， 提供了一个特殊的 portsnap cron 命令， 它在开始下载更新之前会随机等待最多 3600 秒。 此外， 强烈建议不要将 portsnap update 作为 cron 任务来运行， 因为它可能给正在同时进行的 port 安装带来大问题。 不过， 更新 ports 的 INDEX 文件一般并无大碍， 这可以通过 portsnap的 参数来实现 (显然， 如果 portsnap -I update 是通过 cron 来运行的， 在之后还需要执行不带 的 portsnap update 来更新 ports tree 余下的部分。) 可以在 /etc/crontab 中加入下列设置， 以便让 portsnap 更新其压缩快照， 以及位于 /usr/ports/ 中的 INDEX 文件， 并在有 port 过期时发出邮件通知： 0 3 * * * root portsnap -I cron update && pkg_version -vIL= 如果系统时钟没有设置为使用本地时区， 请将 3 改为一介于 0 和 23 的随机值， 以便让 Portsnap 服务器的负载更为平均。 某些较早版本的 portsnap， 并不支持在一次调用 portsnap 时使用多个命令 (例如， cron update)。 如果这样不行， 请将 portsnap -I cron update 改为 portsnap cron && portsnap -I update。 CVS 标签 当使用 cvs 或者 CVSup 获取和升级源代码的时候，必须指定一个修订标签。 修订标签代表 &os; 开发的一个特定分支， 或者一个特定的时间点。第一种叫做 分支标签，第二种叫做 版本标签。 分支标签 所有这些，除了 HEAD (这个总是 合法标签)以外，只适用于 src/ 树。ports/，doc/，和 www/ 树没有分支。 HEAD 主线的符号名，或者说 FreeBSD-CURRENT。 当没有指定修订版本的时候也是默认的。 在 CVSup 里，这个标签通过 一个 . 来反映出来(不是标点，而是一个 . 字符)。 在 CVS 里，当没有修订标签指定时这是默认的。 在一台 STABLE 机器上检出或者升级到 CURRENT 源代码 通常不是 一个好主意，除非这是您的本意。 RELENG_6 这是 FreeBSD-6.X 的开发分支， 也被称作 FreeBSD 6-STABLE。 RELENG_6_1 FreeBSD-6.1 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_0 FreeBSD-6.0 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_5 这是 FreeBSD-5.X 的开发分支， 也被称作 FreeBSD 5-STABLE。 RELENG_5_5 FreeBSD-5.5 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_4 FreeBSD-5.4 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_3 FreeBSD-5.3 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_2 针对 FreeBSD-5.2 和 FreeBSD-5.2.1 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_5_1 针对 FreeBSD-5.1 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_5_0 针对 FreeBSD-5.0 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4 FreeBSD-4.X 开发线，也被叫做 FreeBSD-STABLE。 RELENG_4_11 FreeBSD-4.11 发行版， 只被安全公告和其它重要更新使用。 RELENG_4_10 针对 FreeBSD-4.10 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_9 针对 FreeBSD-4.9 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_8 针对 FreeBSD-4.8 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_7 针对 FreeBSD-4.7 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_6 针对 FreeBSD-4.6 和 FreeBSD-4.6.2 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_5 针对 FreeBSD-4.5 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_4 针对 FreeBSD-4.4 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_3 针对 FreeBSD-4.3 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_3 FreeBSD-3.X 的开发线，也被叫做 3.X-STABLE。 RELENG_2_2 FreeBSD-2.2.X 的开发线，也被叫做 2.2-STABLE。这个分支过于陈旧了。 版本标签 当一个特定的 &os; 版本发行时， 这些标签代表了一个指定的时间点。发布工程进程在 Release Engineering Information 和 Release Process 文档中被详细描述。 src 树使用以 RELENG_ 开头的标签。 ports 和 doc 树使用以 RELEASE 开头的标签。 最后， www 树上不会有任何特定发行版的标签。 RELENG_6_2_0_RELEASE FreeBSD 6.2 RELENG_6_1_0_RELEASE FreeBSD 6.1 RELENG_6_0_0_RELEASE FreeBSD 6.0 RELENG_5_5_0_RELEASE FreeBSD 5.5 RELENG_5_4_0_RELEASE FreeBSD 5.4 RELENG_4_11_0_RELEASE FreeBSD 4.11 RELENG_5_3_0_RELEASE FreeBSD 5.3 RELENG_4_10_0_RELEASE FreeBSD 4.10 RELENG_5_2_1_RELEASE FreeBSD 5.2.1 RELENG_5_2_0_RELEASE FreeBSD 5.2 RELENG_4_9_0_RELEASE FreeBSD 4.9 RELENG_5_1_0_RELEASE FreeBSD 5.1 RELENG_4_8_0_RELEASE FreeBSD 4.8 RELENG_5_0_0_RELEASE FreeBSD 5.0 RELENG_4_7_0_RELEASE FreeBSD 4.7 RELENG_4_6_2_RELEASE FreeBSD 4.6.2 RELENG_4_6_1_RELEASE FreeBSD 4.6.1 RELENG_4_6_0_RELEASE FreeBSD 4.6 RELENG_4_5_0_RELEASE FreeBSD 4.5 RELENG_4_4_0_RELEASE FreeBSD 4.4 RELENG_4_3_0_RELEASE FreeBSD 4.3 RELENG_4_2_0_RELEASE FreeBSD 4.2 RELENG_4_1_1_RELEASE FreeBSD 4.1.1 RELENG_4_1_0_RELEASE FreeBSD 4.1 RELENG_4_0_0_RELEASE FreeBSD 4.0 RELENG_3_5_0_RELEASE FreeBSD-3.5 RELENG_3_4_0_RELEASE FreeBSD-3.4 RELENG_3_3_0_RELEASE FreeBSD-3.3 RELENG_3_2_0_RELEASE FreeBSD-3.2 RELENG_3_1_0_RELEASE FreeBSD-3.1 RELENG_3_0_0_RELEASE FreeBSD-3.0 RELENG_2_2_8_RELEASE FreeBSD-2.2.8 RELENG_2_2_7_RELEASE FreeBSD-2.2.7 RELENG_2_2_6_RELEASE FreeBSD-2.2.6 RELENG_2_2_5_RELEASE FreeBSD-2.2.5 RELENG_2_2_2_RELEASE FreeBSD-2.2.2 RELENG_2_2_1_RELEASE FreeBSD-2.2.1 RELENG_2_2_0_RELEASE FreeBSD-2.2.0 AFS 站点 FreeBSD 的 AFS 服务器运行于下面的站点： 瑞典 文件的路径是： /afs/stacken.kth.se/ftp/pub/FreeBSD/ stacken.kth.se # Stacken Computer Club, KTH, Sweden 130.237.234.43 #hot.stacken.kth.se 130.237.237.230 #fishburger.stacken.kth.se 130.237.234.3 #milko.stacken.kth.se 维护者 ftp@stacken.kth.se rsync 站点 下面的站点让 FreeBSD 可以通过 rsync 协议下载。 rsync 实用程序和 &man.rcp.1; 的工作方式很相像， 但是有更多的选项，使用 rsync 远程更新协议只传输 两份文件的不同之处， 因此能够大幅度的提高网络同步速率。 如果您是 FreeBSD FTP 服务器或者 CVS 仓库的镜像站点， 这一点非常有用。 rsync 套件可以工作在许多种 操作系统上，在 FreeBSD 上，查看 net/rsync port 或者使用 package。 捷克共和国 rsync://ftp.cz.FreeBSD.org/ 可用的 collection： ftp：FreeBSD FTP 服务器的 部分镜像。 FreeBSD：FreeBSD FTP 服务器的 完整镜像。 德国 rsync://grappa.unix-ag.uni-kl.de/ 可用的 collection： freebsd-cvs：完整的 FreeBSD CVS 仓库。 这台服务器也镜像 NetBSD 和 OpenBSD 项目， 还有其他的一些项目的 CVS 仓库。 荷兰 rsync://ftp.nl.FreeBSD.org/ 可用的 collection： vol/4/freebsd-core: 对于 FreeBSD FTP 服务器的完整镜像。 英国 rsync://rsync.mirror.ac.uk/ 可用的 collection： ftp.FreeBSD.org: FreeBSD FTP 服务器 的完整镜像。 美国 rsync://ftp-master.FreeBSD.org/ 服务器只供 FreeBSD 主镜像站点使用。 可用的 collection： FreeBSD：FreeBSD FTP 服务器的主要存档。 acl：FreeBSD 主 ACL 列表。 rsync://ftp13.FreeBSD.org/ 可用的 collection： FreeBSD：FreeBSD FTP 服务器的完整 镜像。 diff --git a/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml b/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml index 335ccbc3aa..8b3f55ef28 100644 --- a/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml @@ -1,1557 +1,1557 @@ Ross Lippert 编辑： 张 雪平 中文翻译： 多媒体 概述 FreeBSD 广泛地支持各种声卡， 让您可以从容地享受来自您的计算机的高保真输出。 这包括了录制和播放 MPEG Audio Layer 3 (MP3)、 WAV、 以及 Ogg Vorbis 等许多种格式声音的能力。 FreeBSD 同时也包括了许多的应用程序，让您可以录音、 增加声音效果以及控制附加的MIDI设备。 要是乐于动手， FreeBSD 也能支持播放一般的视频文件和 DVD。 对各种视频媒体进行编码、 转换和播放的应用程序比起处理声音的应用程序略少一些。 例如， 在撰写这章时， FreeBSD Ports Collection 中还没有类似 audio/sox 那样好的重编码工具能够用来在不同的格式之间转换。 不过， 这个领域的软件研发进展是很快的。 本章将介绍配置声卡的必要步骤。 X11 的安装和配置 () 里已经考虑到了您显卡的问题， 但要想有更好的播放效果， 仍需要调整一些东西。 读了本章后，您将知道： 如何配置系统识别声卡。 运用样本程序去测试声卡工作的方法。 如何排除声卡安装中的问题。 如何播放和编码MP3以及其它格式的音频。 X 服务器如何支持视频。 哪些好的视频播放/压缩ports。 如何播放 DVD、 .mpg 以及 .avi 文件。 如何从CD和DVD中提取文件。 怎样配置电视卡。 如何配置图像扫描仪。 在读本章这前，您应该： 知道如何配置、安装一个新的内核 () 用&man.mount.8; 命令去装载CD光盘，至少会产生一个错误， 更糟的情况下会产生 kernel panic。 这种媒体所用的编码与通常的ISO文件系统是不同的。 Moses Moore 贡献者 Marc Fonvieille Enhanced for &os; 5.X by 安装声卡 配置系统 PCI ISA 声卡 在开始之前，您应该清楚声卡类型、所用的芯片以及它是 PCI 还是 ISA 卡。 FreeBSD 支持种类繁多的 PCI 和 ISA 卡。检查 Hardware Notes 中支持的音频设备列表看看是否支持您的声卡。 这份文档也只论及支持您的声卡的驱动程序。 内核 配置 要使用声卡， 就应装载正确的驱动程序。完成的方式有两种： 最简单的是使用命令 &man.kldload.8; 来装载一个内核模块，在命令行输入 &prompt.root; kldload snd_emu10k1 或者在文件 /boot/loader.conf 里加入一行，内容如下 snd_emu10k1_load="YES" 上边实例用于 Creative &soundblaster; Live! 声卡。 其它可装载的模块列在文件/boot/defaults/loader.conf里边。 如果不知道应该使用哪个驱动， 您可以尝试加载 snd_driver module: &prompt.root; kldload snd_driver 这是个 meta 驱动，一次加载了最常见的设备驱动。 这会提高搜索正确驱动的速度。也可以通过 /boot/loader.conf 工具来加载所有的声卡驱动。 如果希望在加载了 snd_driver meta 驱动之后了解到底选择了哪种声卡， 可以通过使用 cat /dev/sndstat 来查询 /dev/sndstat 文件。 另外，您也可以把支持您声卡的代码静态地编译到内核里去。 下一节就采用这种方式支持硬件给出提示。 关于重新编译内核，请参考 。 定制内核使其支持声卡 要做的第一件事情就是添加通用音频驱动 &man.sound.4; 到内核中，您需要添加下面这行到内核配置文件中： device sound 接下来就是加入对我们所用声卡的支持了。 首先需要确定我们的声卡需要使用哪一个驱动。 您可以参考 硬件兼容列表 所列出的音频设备， 以确定您声卡的驱动。 例如， Creative &soundblaster; Live! 声卡由 &man.snd.emu10k1.4; 驱动来支持。 要添加它， 需要在内核编译配置文件中加入下面一行： device snd_emu10k1 一定要阅读驱动的联机手册了解如何使用它们。 关于内核配置文件中声卡驱动的写法， 也可以在 /usr/src/sys/conf/NOTES 文件。 非即插即用的 ISA 卡可能需要您为内核提供一些关于声卡配置的信息 (IRQ、 I/O 端口， 等等)。 这项工作可以通过 /boot/device.hints 文件来完成。 系统启动时， &man.loader.8; 将读取这个文件， 并将其中的配置传给内核。 例如， 旧式的 Creative &soundblaster; 16 ISA 非即插即用卡需要使用 &man.snd.sbc.4; 驱动并配合 snd_sb16(4)。 您可以在内核编译配置文件中增加如下配置： device snd_sbc device snd_sb16 还有下面这些到 /boot/device.hints中： hint.sbc.0.at="isa" hint.sbc.0.port="0x220" hint.sbc.0.irq="5" hint.sbc.0.drq="1" hint.sbc.0.flags="0x15" 这样，声卡使用 0x220 I/O 端口和 IRQ 5。 /boot/device.hints 文件的写法会在声卡驱动的联机手册中描述。 在 &os; 4.X 上， 这些配置只能直接写进内核配置文件中。 上面所展示的是默认的配置。 有时候， 您可能需要更改 IRQ 或其他配置， 以适应声卡的实际情况。 查看 &man.snd.sbc.4; 联机手册了解更多信息。 测试声卡 用修改过的内核重起，或者加载了需要的模块之后， 声卡将会出现在您的系统消息缓存中 (&man.dmesg.8;)，就像这样： pcm0: <Intel ICH3 (82801CA)> port 0xdc80-0xdcbf,0xd800-0xd8ff irq 5 at device 31.5 on pci0 pcm0: [GIANT-LOCKED] pcm0: <Cirrus Logic CS4205 AC97 Codec> 声卡的状态可以通过 /dev/sndstat 文件来查询： &prompt.root; cat /dev/sndstat FreeBSD Audio Driver (newpcm) Installed devices: pcm0: <Intel ICH3 (82801CA)> at io 0xd800, 0xdc80 irq 5 bufsz 16384 kld snd_ich (1p/2r/0v channels duplex default) 您系统的输出可能与此不同。如果没有看到 pcm 设备，回顾并检查一下前面做的。 重新检查您的内核配置文件并保证选择了正确的设备。 常见问题列在一节。 如果一切正常，您现在应该拥有一个多功能声卡了。 如果您的 CD-ROM 或者 DVD-ROM 驱动器适当的与声卡相关联， 您可以把 CD 放入驱动器并用 &man.cdcontrol.1; 来播放： &prompt.user; cdcontrol -f /dev/acd0 play 1 许多应用程序，比如 audio/workman 可以提供一个友好的界面。 您可能想要安装一个应用程序比如 audio/mpg123 来听 MP3 音频文件。一个快速的测试声卡正在发送数据到 /dev/dsp 的方式，像这样做： &prompt.user; cat filename > /dev/dsp 这里 filename 可以是任意文件。 这行命令会产生一些噪音，证明声卡果真在工作。 声卡混音级别可以通过 &man.mixer.8; 命令更改。 更多细节可以在 &man.mixer.8; 联机手册中找到。 常见问题 设备节点 I/O 端口 IRQ DSP 错误信息 解决方法 unsupported subdevice XX 一个或多个设备节点没有正确地建立。重复上面的步骤。 sb_dspwr(XX) timed out I/O端口没有设置正确。 bad irq XX IRQ设置不正确。确信设定的IRQ和声卡的IRQ是一样的。 xxx: gus pcm not attached, out of memory 没有足够的内存空间供设置使用。 xxx: can't open /dev/dsp! 使用命令 fstat | grep dsp 进行检查是否有其它的程序打开了设备。 值得注意的是 esound 和 KDE 提供的声卡支持经常是造成麻烦的祸根。 Munish Chopra 贡献者 利用多个声源 同时有多个声源的声音在播放， 这是完全可能的， 例如当 esound 或者 artsd 不支持与其它程序共享音频设备时。 FreeBSD可以通过 虚拟声道(Virtual Sound Channels) 来达到， 具体设置用工具 &man.sysctl.8; 来完成。 虚拟的声道可以能过在内核里混合声音来混合声卡里播放的声道。 使用两条sysctl命令来设置虚拟声道的数目。 如果您是 root 用户， 执行下面的操作： &prompt.root; sysctl hw.snd.pcm0.vchans=4 &prompt.root; sysctl hw.snd.maxautovchans=4 上面的实例设定了4个虚拟声道，这也是实际上所使用的数目。hw.snd.pcm0.vchans 是pcm0的虚拟声道数，一当链接上一个设备它就可配置了。 hw.snd.maxautovchans是分配给新的音频设备的虚拟声道数， 此时这个设备要用 &man.kldload.8; 来链接。 因为 pcm 模块可以独立装载许多硬件驱动程序， 因此 hw.snd.maxautovchans 也就可以存储分配给以后链接到的设备的虚拟声道数。 您不能在使用某个设备的时候改变其虚拟通道数。 首先需要关闭所有使用该设备的程序， 如音乐播放器或声音服务。 如果不使用 &man.devfs.5;， 就必须把应用程序指向 /dev/dsp0.x， 这里x 为0到3， 因为在上面的例子里 hw.snd.pcm.0.vchans 被设为了4。 在使用&man.devfs.5;的系统里，上边那些会自动分配给用户。 Josef El-Rayes 这一节的作者是 如何设置混音器通道值 不同的混音通道的默认音量是硬编码进 &man.pcm.4; 驱动程序的。 同时，也有很多应用或服务程序提供了允许用户直接设置并记住这些值的功能。 不过这并不是一个很好的解决方案， 您可能希望在驱动一级有一个可以设置的默认值。 这可以通过在 /boot/device.hints 定义适当的值来实现。 例如： hint.pcm.0.vol="100" 这将在 &man.pcm.4; 模块加载时， 将通道音量设置为默认的 100。 Chern Lee 贡献者 MP3音频 MP3 (MPEG Layer 3 Audio)达到过CD音质的效果，FreeBSD工作站没理由会缺少这样的好东东。 MP3播放器 目前为止， 最为流行的 X11 MP3 播放器是 XMMS (X 多媒体系统)。 Winamp 的肤面可以直接用于 XMMS， 因为它的 GUI 几乎和 Nullsoft 的 Winamp 完全一样。 另外， XMMS 也提供了内建的插件支持。 XMMS 可以通过 multimedia/xmms port 或 package 来安装。 XMMS 的界面很直观， 它提供了播放列表、 图形化均衡器等等。 如果您熟悉 Winamp， 就会感觉 XMMS 很容易使用。 audio/mpg123 port 提供了一个命令行界面的 MP3 播放器。 mpg123 可以在执行时通过命令行指定声音设备和要播放的 MP3 文件， 如下所示： &prompt.root; mpg123 -a /dev/dsp1.0 Foobar-GreatestHits.mp3 High Performance MPEG 1.0/2.0/2.5 Audio Player for Layer 1, 2 and 3. Version 0.59r (1999/Jun/15). Written and copyrights by Michael Hipp. Uses code from various people. See 'README' for more! THIS SOFTWARE COMES WITH ABSOLUTELY NO WARRANTY! USE AT YOUR OWN RISK! Playing MPEG stream from Foobar-GreatestHits.mp3 ... MPEG 1.0 layer III, 128 kbit/s, 44100 Hz joint-stereo /dev/dsp1.0 应该换成您的系统上的 dsp 设备。 抓取CD音轨 在对CD或CD音轨编码成MP3之前， CD上的音频数据应先抓到硬盘里。 这个可以通过复制原始的CDDA(CD数字音频)数据成为波形(WAV)文件。 工具 cdda2wav 是 sysutils/cdrtools 套件的一部份，可用来从CD中获取音频及其相关信息。 把CD放到光驱里，下面的命令可以完成 (作为 root用户) 把整张 CD 分割成单个 (每个音轨) 的WAV文件：/para> &prompt.root; cdda2wav -D 0,1,0 -B cdda2wav 支持 ATAPI (IDE)光驱。 从IDE光驱中抓取音轨， 需要用设备名称代替SCSI的单元号。 例如， 想从 IDE 光驱中抓取第7道音轨： &prompt.root; cdda2wav -D /dev/acd0a -t 7 参数 表示 SCSI 设备 0,1,0， 与命令 cdrecord -scanbus的输出相对应。 抓取单轨，要使用选项，如下所示： &prompt.root; cdda2wav -D 0,1,0 -t 7 这个实例用于抓取第七个音轨。要抓取一定范围的音轨，如从1到7： &prompt.root; cdda2wav -D 0,1,0 -t 1+7 利用&man.dd.1;也可以从ATAPI光驱中抓取音轨，从 可以了解更多。 MP3 编码 现今，可选的MP3编码器是lame。 Lame可以从ports树里的 audio/lame 处找到。 利用抓取的WAV文件，下边的命令就可以把 audio01.wav 转换成audio01.mp3： &prompt.root; lame -h -b 128 \ --tt "Foo Song Title" \ --ta "FooBar Artist" \ --tl "FooBar Album" \ --ty "2001" \ --tc "Ripped and encoded by Foo" \ --tg "Genre" \ audio01.wav audio01.mp3 128 kbits 是标准的MP3位率(bitrate)。 许多人可能喜欢更高的品质例如 160 或 192。 更高的位率， 会使 MP3 占用更多的磁盘空间--但音质会更高。选项 控制 高品质但低速度 (higher quality but a little slower) 模式的开关。 选项 表示把 ID3 标签--通常包含了歌曲的信息， 植入到MP3文件里。 其它的编码选项可以查询 lame 的联机手册。 MP3 解码 要把MP3歌曲刻录成音乐CD，就需要把它转换成非压缩的波形(WAV)格式。 XMMS 和 mpg123 都支持把MP3输出成非压缩格式文件。 在XMMS中输出到磁盘： 启动 XMMS. 在窗口里右击鼠标，弹出XMMS菜单。 在选项(Options)里选择设定(Preference)。 改变输出插件成写磁盘插件(Disk Writer Plugin)。 按配置(Configure)。 输入或选择一个目录用于存放解压的文件。 象平常一样，把MP3文件装入到XMMS里边， 把音量调节到100%并且关掉EQ设定。 按一下播放(Play) — XMMS 如同在播放mp3一样，只是听不到声音。 实际上是在播放mp3到一个文件里。 要想再听MP3歌曲，记得把默认的输出插件设回原来的值。 用mpg123进行标准输出： 执行 mpg123 -s audio01.mp3 > audio01.pcm XMMS输出的文件是波形(WAV)格式， 而mpg123 则把MP3转换成无压缩的PCM 音频数据。两种格式都支持用 cdrecord 刻录成音乐CD。 使用 &man.burncd.8; 您就必须使用无压缩的PCM。 如果选择波形格式， 就要注意在每道开始时的一小点杂音， 这段声音是波形文件的头部份。 可以使用工具 SoX 来轻松去除。 SoX 可从 audio/sox port 或包(package)中安装得到： &prompt.user; sox -t wav -r 44100 -s -w -c 2 track.wav track.raw 阅读 这部份可以了解到更多在 FreeBSD 里刻盘的信息。 Ross Lippert 贡献者 视频回放 视频回放是个很新并且迅速发展中的应用领域。 一定要有耐心，因为不是所有的事情都象处音频那么顺利。 在开始之前，您要了解显卡的类型以及它所用的芯片的类型。 尽管 &xorg; 和 &xfree86; 支持大量的显卡， 但能达到好的回放效果的却寥寥无几。 在X11运行时，您可以使用命令 &man.xdpyinfo.1; 获得使用您的显卡的X服务器所支持的扩展列表。 为了评估各种播放器和设置，您需要有一小段用作测试的MPEG文件。 由于一些DVD播放器会默认地在 /dev/dvd 里去找DVD文件， 因此， 您会发样建立符号链接到恰当的设备会很有用： &prompt.root; ln -sf /dev/acd0 /dev/dvd &prompt.root; ln -sf /dev/acd0 /dev/rdvd 注意：由于&man.devfs.5;本身的原因， 像这样手工建立的链接在重启后将不会存在。 想要无论什么时候您启动系统都能自动建立符号链接， 那就把下边这行加到 /etc/devfs.conf 里边： link acd0 dvd link acd0 rdvd 另外，DVD解密要求调用专用的DVD-ROM函数，要求把许可定到DVD设备里。 为了改善 X11 界面使用共享内存的能力， 建议提高一些 &man.sysctl.8; 变量的值： kern.ipc.shmmax=67108864 kern.ipc.shmall=32768 测定视频的性能 XVideo SDL DGA 在X11下有几种可以显示图像的方式。 到底哪个能工作很大程序上依赖于硬件。 首先， 下边描述的每一种方法在不同的硬件上都会有不同的品质。 其次， 在X11里的图像显示近来引起普遍的关注， 随着 &xorg; 或 &xfree86; 的每一个版本， 都会有很大的突破。 常见图像接口列表： X11: 一般性的使用共享内存的X11输出。 XVideo: 一种X11接口扩展，支持任何X11图像的可拖拉。 SDL: 简单直接媒体层。 DGA: 直接图片存取。 SVGAlib: 低层次掌控图片层。 XVideo &xorg; 和 &xfree86; 4.X 有种扩展叫做XVideo (或称Xvideo, Xv, xv)， 它可以通过一个特殊的加速器直接把图像显示在可拖拉的对象里。 即使在低端的计算机 (例如我的PIII 400 Mhz膝上电脑)， 这个扩展也提供了很好的播放质量。 要了解这一扩展是否在正常工作， 使用 xvinfo 命令： &prompt.user; xvinfo 如果显示结果如下，那您的显卡就支持XVideo： X-Video Extension version 2.2 screen #0 Adaptor #0: "Savage Streams Engine" number of ports: 1 port base: 43 operations supported: PutImage supported visuals: depth 16, visualID 0x22 depth 16, visualID 0x23 number of attributes: 5 "XV_COLORKEY" (range 0 to 16777215) client settable attribute client gettable attribute (current value is 2110) "XV_BRIGHTNESS" (range -128 to 127) client settable attribute client gettable attribute (current value is 0) "XV_CONTRAST" (range 0 to 255) client settable attribute client gettable attribute (current value is 128) "XV_SATURATION" (range 0 to 255) client settable attribute client gettable attribute (current value is 128) "XV_HUE" (range -180 to 180) client settable attribute client gettable attribute (current value is 0) maximum XvImage size: 1024 x 1024 Number of image formats: 7 id: 0x32595559 (YUY2) guid: 59555932-0000-0010-8000-00aa00389b71 bits per pixel: 16 number of planes: 1 type: YUV (packed) id: 0x32315659 (YV12) guid: 59563132-0000-0010-8000-00aa00389b71 bits per pixel: 12 number of planes: 3 type: YUV (planar) id: 0x30323449 (I420) guid: 49343230-0000-0010-8000-00aa00389b71 bits per pixel: 12 number of planes: 3 type: YUV (planar) id: 0x36315652 (RV16) guid: 52563135-0000-0000-0000-000000000000 bits per pixel: 16 number of planes: 1 type: RGB (packed) depth: 0 red, green, blue masks: 0x1f, 0x3e0, 0x7c00 id: 0x35315652 (RV15) guid: 52563136-0000-0000-0000-000000000000 bits per pixel: 16 number of planes: 1 type: RGB (packed) depth: 0 red, green, blue masks: 0x1f, 0x7e0, 0xf800 id: 0x31313259 (Y211) guid: 59323131-0000-0010-8000-00aa00389b71 bits per pixel: 6 number of planes: 3 type: YUV (packed) id: 0x0 guid: 00000000-0000-0000-0000-000000000000 bits per pixel: 0 number of planes: 0 type: RGB (packed) depth: 1 red, green, blue masks: 0x0, 0x0, 0x0 同时注意：列出来的格式(YUV2, YUV12, 等等) 并不总是随着 XVdieo的每一次执行而存在。没有它们可能或迷惑有些人。 如果结果看起来是这样： X-Video Extension version 2.2 screen #0 no adaptors present 那么您的显卡可以就不支持XVideo功能。 如果您的卡不支持XVideo， 则只是说明您的显示器在满足刷新图像的计算要求上存在更大的困难。 尽管显卡和处理器很重要，您仍然会有个不错的显示效果。 此外， 您也可以参考我们提供的文献， 在 中有所介绍。 简单直接媒体层 简单直接媒体层(SDL)，原意是做为 µsoft.windows;、BeOS 以及 &unix; 之间的端口层，允许跨平台应用发展，更高效地利用声卡和图形卡。SDL 层可以在低层访问硬件， 有时这样做就比 X11 接口层更为高效。 关于 SDL， 可以参考 devel/sdl12。 直接图形存取 直接图形存取 (Direct Graphics Access) 是一种 X11 扩展， 通过它， 应用程序能够绕过 X 服务， 并直接修改画面缓存 (framebuffer)。 由于它依赖一种底层的内存映射来实现其功能， 因此使用它的程序必须以 root 身份来执行。 DGA 扩展可以通过 &man.dga.1; 来完成测试和性能测量。 运行 dga 时， 它将随按键改变现实的颜色。 按 q 退出这个程序。 Ports 和 包(Packages) 对视频的解决 视频 ports 视频 包 这部份主要讨论在 FreeBSD Ports 集中提供的可用于视频回放的软件。 视频回放在软件发展中是个很活跃的领域， 并且各种不同程序的功能可能与这里的描述不尽相同。 首先要弄清楚的重要一点是在 FreeBSD 上使用的视频程序其发展与在 Linux 里使用的是一样的。 大部份程序都还处在β阶段。使用 FreeBSD 的包可能面对的问题： 一个应用程序不能播放其它程序制作的文件。 一个应用程序不能播放其自已制作的文件。 不同机上的同样的程序，各自重新建立(rebuild)了一次， 播放同一个文件结果也会有不同。 一个看起来没什么的过滤器， 如图像尺寸的调整， 也有可能因为一个调整例程的问题变得很不象样。 应用程序频繁地留下垃圾(dumps core)。 没有随 port 一起安装的文档可以在网上或者 port 的 work 目录中找到。 这些程序中许多也体现了 Linux主义。即， 有些问题来自于(程序)使用的标准库存在于Linux的发行版中， 或者有些是 Linux 内核的功能， 而该程序的作者事先所假定了的是 Linux内核。这些问题并不总是被 port 编护人员注意到或处理过， 这也就可能导致如下问题： 使用/proc/cpuinfo去检测处理器的特性。 滥用线程可能导致一个程序悬挂完成，而不是完全中止。 软件还不属于FreeBSD Ports集，而又与其它程序经常地一起使用。 现在，这些程序的开发人员也已同 port 的维护人员进行了联合， 以减少制作port时出错。 MPlayer MPlayer 是近来开发的同时也正迅速发展着的一个视频播放器。 MPlayer 团队的目标是在 Linux 和其它 UNIX 系统中的速度和机动性能。 在团队的创始人实在受不了当时可用的播放器的性能时， 这个计划就开始了。 有人也许会说图形接口已经成为新型设计的牺牲品。 但是一但您习惯了命令行选项和按键控制方式，它就能表现得很好。 创建MPlayer MPlayer making MPlayer 可以从 multimedia/mplayer 找到。 MPlayer 在联编过程中会进行许多硬件检测， 而得到的可执行文件因此将无法移植到其他系统中使用。 因此， 从 ports 完成联编而不是安装预编译的包就很重要。 另外， 在 make 命令行还可以指定许多选项， 在 Makefile 中有所描述， 接下来我们开始联编： &prompt.root; cd /usr/ports/multimedia/mplayer &prompt.root; make N - O - T - E Take a careful look into the Makefile in order to learn how to tune mplayer towards you personal preferences! For example, make WITH_GTK1 builds MPlayer with GTK1-GUI support. If you want to use the GUI, you can either install /usr/ports/multimedia/mplayer-skins or download official skin collections from http://www.mplayerhq.hu/homepage/dload.html 默认的 port 选项对于绝大多数用户来来说是够用了。 不过， 如果您需要 XviD 编解码器， 则必须指定 WITH_XVID 这个命令行选项。 默认的 DVD 设备也可以用 WITH_DVD_DEVICE 选项来定义， 其默认值是 /dev/acd0。 撰写这一章的时候， MPlayer port 的联编过程包括了 HTML 文档和两个可执行文件， mplayer 和 mencoder， 后者是一个视频再编码工具。 MPlayer 的 HTML 文档提供了丰富的内容。 如果读者发现本章中缺少关于视频硬件的一些信息， 则 MPlayer 的文档将是十分详尽的补充。 如果您正在找关于 &unix; 中的视频支持的资料， 您绝对应该花一些时间来阅读 MPlayer 的文档。 使用MPlayer MPlayer 使用 任何 MPlayer 用户必须在主目录下建立一个叫 .mplayer 的子目录。 输入下边的内容来建立这个必须的子目录： &prompt.user; cd /usr/ports/multimedia/mplayer &prompt.user; make install-user 在mplayer的手册里列出了它的命令选项。 HTML文档里有更为详细的信息。 这部份里， 我们只是描述了很少的常见应用。 要播放一个文件，如 testfile.avi， 可以通过各种视频接口当中的某一个去设置 选项： &prompt.user; mplayer -vo xv testfile.avi &prompt.user; mplayer -vo sdl testfile.avi &prompt.user; mplayer -vo x11 testfile.avi &prompt.root; mplayer -vo dga testfile.avi &prompt.root; mplayer -vo 'sdl:dga' testfile.avi 所有这些选项都是值得一试的， 因为它们的性能依赖很多因素，并且都与硬件密切相关。 要播放 DVD， 需要把 testfile.avi 改为 。 这里 N 是要播放的节目编号， 而 DEVICE 则是 DVD-ROM 的设备节点。 例如， 要播放 /dev/dvd 的第三个节目： &prompt.root; mplayer -vo xv dvd://3 -dvd-device /dev/dvd 可以在编译 MPlayer 时， 通过 WITH_DVD_DEVICE 来指定默认的 DVD 设备。 系统内定的默认设备是 /dev/acd0。 更多细节， 请参考 port 的 Makefile。 要停止、暂停、前进等等，可以参考设定的按键---这些可以通过 mplayer -h 得到或查看手册。 另外，回放的重要选项是：用于全屏模式的 和起辅助完成作用的。 为了让 mplayer 的命令行不是太长，使用者可以通过建立一个文件 .mplayer/config 来设定如下默认选项： vo=xv fs=yes zoom=yes 最后，mplayer可以把DVD题目(title)抓取成为 .vob文件。为了从DVD中导出第二个题目，请输入： &prompt.root; mplayer -dumpstream -dumpfile out.vob dvd://2 -dvd-device /dev/dvd 输出文件 out.vob 将是 MPEG 并且可以被这部份描述的其它包利用。 mencoder mencoder 在使用 mencoder 之前， 首先熟悉其 HTML 文档中所介绍的选项是一个不错的主意。 它提供了联机手册， 但如果没有 HTML 文档则帮助不大。 有无数种方法来提高视频品质、 降低比特率、 修改格式， 而这些技巧可能会影响性能。 下面是几个例子， 第一个是简单地复制： &prompt.user; mencoder input.avi -oac copy -ovc copy -o output.avi 不正确的命令选项组合可能使生成的文件不能被mplayer播放。因此，如果您只是想抓取文件，一定在mplayer里使用。 转换input.avi成为带有MPEG3音频编码 (要求audio/lame )的MPEG4编码： &prompt.user; mencoder input.avi -oac mp3lame -lameopts br=192 \ -ovc lavc -lavcopts vcodec=mpeg4:vhq -o output.avi 这样就产生了可被mplayer 和 xine播放的输出。 input.avi 可以换成 并以 root 的身份来执行， 以重新对 DVD 节目进行编码。 由于您第一次做这样的工作时很可能会对结果不太满意， 建议您首先把节目复制成文件， 然后对它进行操作。 xine视频播放器 xine视频播放器是一个关注范围很广的项目，它不仅看准多合一的视频解决，而且出品了一个可再用的基本库和一个可扩展插件的可执行模块。发行有包和port版本-- multimedia/xine。 xine播放器仍然很粗糙，但这很显然与好开头无关。实际上xine 即需要一个快速的带有快速显卡的CPU，也支持XVideo的扩展。图形界面(GUI)可以使用，但很勉强。 到写这章时，还没有可用于播放CSS编码的DVD文件的输入模块随同 xine一起发行。 第三方的建造(builds)里内建有这样的模块， 但都不属于FreeBSD Ports 集。 与MPlayer相比，xine 为用户考虑得更多，但同时，对用户来说也少了很多有条理的控制方式。xine 播放器在XVideo接口上做得不错。 默认情况下，播放器xine启动的时后会使用图形界面。那么就可以使用菜单打开指定的文件： &prompt.user; xine 另外，没有图形界面也可以使用如下命令立即打开播放文件： &prompt.user; xine -g -p mymovie.avi 使用transcode transcode 这个软件并不是播放器， 而是一系列用于对视频和音频文件进行重新编码的工具。 通过使用 transcode， 就可以拥有使用带 stdin/stdout 接口的命令行工具来合并视频文件， 以及修复坏损文件的能力。 在联编 multimedia/transcode port 时可以指定大量选项， 我们建议使用下面的命令行来构建 transcode： &prompt.root; make WITH_OPTIMIZED_CFLAGS=yes WITH_LIBA52=yes WITH_LAME=yes WITH_OGG=yes \ WITH_MJPEG=yes -DWITH_XVID=yes 对于多数用户而言， 前述配置已经足够了。 为了说明 transcode 的功能， 下面的例子展示了如何将 DivX 转换为 PAL MPEG-1 文件 (PAL VCD)： &prompt.user; transcode -i input.avi -V --export_prof vcd-pal -o output_vcd &prompt.user; mplex -f 1 -o output_vcd.mpg output_vcd.m1v output_vcd.mpa 生成的 MPEG 文件， output_vcd.mpg， 可以通过 MPlayer 来播放。 您甚至可以直接将这个文件烧录到 CD-R 介质上来创建 Video CD， 如果希望这样做的话， 需要安装 multimedia/vcdimager 和 sysutils/cdrdao 这两个程序。 transcode 提供了联机手册， 但您仍应参考 transcode wiki 以了解更多信息和例子。 进一步了解 FreeBSD里不同的视频软件包正迅速发展中。很可能在不久的将来，这里所谈到的问题都将得到解决。同时，有些人想超越FreeBSD的声/像(A/V)能力，那他们就不得不从一些FAQ和指南里学知识，并使用一些不同的应用程序。这里就给这些读者指出一些补充信息。 MPlayer 文档是很技术性的。这些文档可以给那些希望获得关于&unix;视频高级技术的人们提供参考。MPlayer邮件列表很不喜欢没耐心阅读文档的人，如果您发现什么问题想报告给他们，请首先RTFM。 xine HOWTO里边有一章是关于提高性能的，对所有的播放器都很适应。 最后是一些很有前途的程序，读者可以试一下： Avifile，它就是 multimedia/avifile port。 Ogle 它就是 multimedia/ogle port。 Xtheater multimedia/dvdauthor，一个制作 DVD 节目的源码开放包。 Josef El-Rayes 原创： Marc Fonvieille 改编： 安装电视卡 电视卡 介绍 电视卡可以让您在您的计算机里观看到无线或有线电视。许多卡是通过RCA或S-video输入接收复合视频，而且有些卡还带有调频广播接收器。 &os; 通过&man.bktr.4;驱动程序，提供了对基于PCI的电视卡的支持，要求这些卡使用的是Brooktree Bt848/849/878/879 或 Conexant CN-878/Fusion 878a视频采集芯片。您还要确保这个板上带的有被支持的调谐器，参考&man.bktr.4;手册查看所支持的调谐器列表。 增加驱动程序 要使用您的卡，您就要装载&man.bktr.4;驱动程序。这个可以通过往/boot/loader.conf里边添加下边一行来实现。象这样： bktr_load="YES" 另外，您也可以静态地这个支持编译到内核里去，要是这样的话，就把下边几行加到内核配置里去： device bktr device iicbus device iicbb device smbus 这些附加的设备驱动程序是必须的，因为卡的各组成部分是能过一根I2C总线相互连接在一起的。然后建立安装新的内核。 一旦这个支持被加到了您的系统里，您须要重启系统。在启动过程中，您的电视卡应该显示为up(启动)，象这样： bktr0: <BrookTree 848A> mem 0xd7000000-0xd7000fff irq 10 at device 10.0 on pci0 iicbb0: <I2C bit-banging driver> on bti2c0 iicbus0: <Philips I2C bus> on iicbb0 master-only iicbus1: <Philips I2C bus> on iicbb0 master-only smbus0: <System Management Bus> on bti2c0 bktr0: Pinnacle/Miro TV, Philips SECAM tuner. 当然，这些信息可能因您的硬件不同而有所区别。但是您应该能检查那个调制器是否被正确检测到了，可能要忽略一些检测到的同&man.sysctl.8; MIB（管理系统库）和内核配置文件选项一起的参数。例如，如果您想强制使用Philips(飞利浦) SECAM制式的调谐器 ，您就应把下列行加到内核配置文件里： options OVERRIDE_TUNER=6 或者，您直接使用&man.sysctl.8;： &prompt.root; sysctl hw.bt848.tuner=6 请参见 &man.bktr.4; 手册和 /usr/src/sys/conf/NOTES 文件， 以了解更多详细关于可用选项的资料。 有用的应用程序 要使用您的电视卡，您需要安装下列应用程序之一： multimedia/fxtv提供窗口电视(TV-in-a-window)功能和图像/声音/图像采集功能。 multimedia/xawtv也是一款电视应用程序，功能同fxtv一样。 misc/alevt解码和显示Videotext/Teletext。 audio/xmradio，一款用于一些电视卡的调频电台调谐器的程序。 audio/wmtune，一款用于电台调谐器的便捷的桌面程序。 更多的程序在&os; Ports Collection(Ports 集)里。 问题解决 如果您的电视卡遇到了什么问题，您应该首先检查一下您的视频采集芯片和调谐器是不是真正的被&man.bktr.4;驱动程序支持，并且是不是使用了正确的配置选项。想得到更多支持和关于您的电视卡的各种问题，您可以接触和使用&a.multimedia.name; 邮件列表的压缩包。 Marc Fonvieille 撰写人 图象扫描仪 图象扫描仪 介绍 像任何其他的现代操作系统一样，&os; 可以使用图像扫描仪。 对扫描仪的标准的访问是通过 &os; Ports Collection 中的 SANE (Scanner Access Now Easy) API 提供的。 SANE 也会使用一些 &os; 设备驱动来访问扫描仪硬件。 &os; 支持 SCSI 和 USB 扫描仪。 在做任何配置之前请确保您的扫描仪被 SANE - 支持。SANE 有一个 - 支持的设备列表，可以为您提供有关扫描仪的支持情况和状态的信息。 + 支持。 SANE 有一个 + 支持的设备列表， 可以为您提供有关扫描仪的支持情况和状态的信息。 &man.uscanner.4; 手册页也提供了一个支持的 USB 扫描仪列表。 内核配置 上面提到 SCSI 和 USB 接口都是支持的。 取决于您的扫描仪接口， 需要不同的设备驱动程序。 USB 接口 默认的 GENERIC 内核包含了支持 USB 扫描仪需要的设备驱动。 如果您决定使用一个定制的内核， 确保下面在您的内核配置文件中存在下面这些行： device usb device uhci device ohci device uscanner 取决于您主板上的 USB 芯片， 您只需要 device uhci 或者 device ohci 中的一种，但是两个都在 内核配置文件中是没有害处的。 如果您不想重新编译内核而且您的内核也不是 GENERIC 的， 您可以用 &man.kldload.8; 命令直接加载 &man.uscanner.4; 设备驱动模块： &prompt.root; kldload uscanner 要在每次系统启动的时候加载这个模块， 添加下面这行到 /boot/loader.conf 中： uscanner_load="YES" 在用正确的内核重新启动后， 或者在加载了需要的模块之后，插上您的 USB 扫描仪。 扫描仪会出现在您的系统消息缓存 (&man.dmesg.8;)中，就像这样： uscanner0: EPSON EPSON Scanner, rev 1.10/3.02, addr 2 这表明我们的扫描仪正在使用 /dev/uscanner0 设备节点。 SCSI 接口 如果您的扫描仪是 SCSI 接口的， 重要的是要知道您使用哪种 SCSI 控制器。 取决于所使用的 SCSI 芯片， 您需要调整内核配置文件。 GENERIC 的内核支持最常用的 SCSI 控制器。 请阅读 NOTES 文件并在您的内核配置文件中添加正确的行。 除了 SCSI 适配器驱动之外， 您还需要在内核配置文件中增加下述配置： device scbus device pass 一旦完全编译好您的内核， 您就可以在启动时的系统消息缓冲中看到这些设备： pass2 at aic0 bus 0 target 2 lun 0 pass2: <AGFA SNAPSCAN 600 1.10> Fixed Scanner SCSI-2 device pass2: 3.300MB/s transfers 如果您的扫描仪没有在系统启动的时候加电， 很可能还需要强制手动检测一下，用 &man.camcontrol.8; 命令执行一次 SCSI 总线扫描： &prompt.root; camcontrol rescan all Re-scan of bus 0 was successful Re-scan of bus 1 was successful Re-scan of bus 2 was successful Re-scan of bus 3 was successful 然后扫描仪就会出现在 SCSI 设备列表里： &prompt.root; camcontrol devlist <IBM DDRS-34560 S97B> at scbus0 target 5 lun 0 (pass0,da0) <IBM DDRS-34560 S97B> at scbus0 target 6 lun 0 (pass1,da1) <AGFA SNAPSCAN 600 1.10> at scbus1 target 2 lun 0 (pass3) <PHILIPS CDD3610 CD-R/RW 1.00> at scbus2 target 0 lun 0 (pass2,cd0) 有关 SCSI 设备的更多细节，可以查看 &man.scsi.4; 和 &man.camcontrol.8; 手册页。 SANE 配置 SANE 系统分为两部分： 后端(graphics/sane-backends) 和前端(graphics/sane-frontends)。 后端部分提供到扫描仪自身的访问。 SANE 的 支持设备列表详细说明了哪一个后端可以支持您的图象扫描仪。 如果您想使用您的设备，就必须为您的扫描仪选定正确的后端。 前端部分提供图形化的扫描界面 (xscanimage)。 要做的第一件事就是安装 graphics/sane-backends port 或者 package。然后，使用 sane-find-scanner 命令来检查 SANE 系统做的扫描仪检测： &prompt.root; sane-find-scanner -q found SCSI scanner "AGFA SNAPSCAN 600 1.10" at /dev/pass3 输出显示了扫描仪的接口类型和扫描仪连接到系统上的设备节点。 生产厂家和产品型号可能没有显示，不过不重要。 一些 USB 扫描仪需要您加载固件，后端的手册页中有这方面的解释。 您也应该阅读 &man.sane-find-scanner.1; 和 &man.sane.7; 手册页。 现在我们需要检查扫描仪是否可以被扫描前端识别。 默认情况下， SANE 后端自带一个叫做 &man.scanimage.1; 的命令行工具。 这个命令允许您列出设备以及从命令行执行图片扫描。 选项用来列出扫描仪设备： &prompt.root; scanimage -L device `snapscan:/dev/pass3' is a AGFA SNAPSCAN 600 flatbed scanner 如果没有输出任何信息， 或提示没有识别到扫描仪， 则说明 &man.scanimage.1; 无法识别它。 如果发生这种情况， 您就需要修改扫描仪支持后端的配置文件， 并定义所使用的扫描设备。 /usr/local/etc/sane.d/ 目录中包含了所有的后端配置文件。 这类识别问题经常会在某些 USB 扫描仪上发生。 例如， 对于在 中所使用的 USB 扫描仪， sane-find-scanner 会给出下面的信息： &prompt.root; sane-find-scanner -q found USB scanner (UNKNOWN vendor and product) at device /dev/uscanner0 扫描仪被正确的探测到了，它使用 USB 接口，连接在 /dev/uscanner0 设备节点上。 我们现在可以检查看看扫描仪是否被正确的识别： &prompt.root; scanimage -L No scanners were identified. If you were expecting something different, check that the scanner is plugged in, turned on and detected by the sane-find-scanner tool (if appropriate). Please read the documentation which came with this software (README, FAQ, manpages). 既然扫描仪没有被识别，我们就需要编辑 /usr/local/etc/sane.d/epson.conf 文件。所用的扫描仪型号是 &epson.perfection; 1650， 这样我们知道扫描仪应使用 epson 后端。确保阅读后端配置文件中的帮助注释。 改动非常简单：注释掉导致您的扫描仪使用错误接口的所有行 (在我们这种情况下，我们将注释掉从 scsi 开始的所有行，因为我们的扫描仪使用 USB 接口)，然后在文件的结尾添加指定的接口和所用的设备节点。 这种情况下，我们添加下面这行： usb /dev/uscanner0 请确保阅读后端配置文件提供的注释以及后端手册页了解更多细节， 并使用正确的语法。我们现在可以检验扫描仪是否被识别到了： &prompt.root; scanimage -L device `epson:/dev/uscanner0' is a Epson GT-8200 flatbed scanner 我们的 USB 扫描仪被识别到了。如果商标和型号不匹配也不重要。 相关的关键一条是 `epson:/dev/uscanner0' 字段， 这个给了我们正确地后端名称和正确的设备节点。 一旦 scanimage -L 命令可以看到扫描仪， 配置就完成了。设备现在准备好等待扫描了。 &man.scanimage.1; 允许我们从命令行执行图片扫描， 相比之下使用图形用户界面来执行图片扫描会更好。 SANE 提供了一个简单但实用的图形界面： xscanimage (graphics/sane-frontends)。 Xsane (graphics/xsane)是另一个流行的图形扫描前端。 这个前端提供了一些高级特性， 比如多样的扫描模式(photocopy，fax，等。)， 色彩校正，批量扫描，等等。这两个程序都可以作为 GIMP 的插件使用。 授予其他用户扫描权限 前面所有的操作都是用 root 权限来完成的。You may however, need 然而您可能需要让其他的用户也可以访问扫描仪。 用户需要有扫描仪所用的设备节点的读和写权限。 比如，我们的 USB 扫描仪使用设备节点 /dev/uscanner0，这个节点属于 operator 组。将用户 joe 添加到 operator 组会允许他使用扫描仪： &prompt.root; pw groupmod operator -m joe 要了解更多细节， 请阅读 &man.pw.8; 联机手册。 此外， 还需要为 /dev/uscanner0 设备节点设置正确的写入权限 (0660 或 0664)， 因为默认情况下， operator 组只能读这个设备节点。 这项工作可以通过在 /etc/devfs.rules 文件中添加如下设置来自东完成： [system=5] add path uscanner0 mode 660 随后您还需要在 /etc/rc.conf 中添加下面的内容并重新启动： devfs_system_ruleset="system" 关于这些配置的进一步细节请参考联机手册 &man.devfs.8;。 当然， 考虑安全的原因， 在您将用户添加到任何组， 尤其是 operator 组时， 都应三思而后行。 diff --git a/zh_CN.GB2312/books/handbook/ppp-and-slip/chapter.sgml b/zh_CN.GB2312/books/handbook/ppp-and-slip/chapter.sgml index 4d4016fe4f..d6f4b4f457 100644 --- a/zh_CN.GB2312/books/handbook/ppp-and-slip/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/ppp-and-slip/chapter.sgml @@ -1,2792 +1,2792 @@ Jim Mock Restructured, reorganized, and updated by PPP 和 SLIP 概述 PPP SLIP FreeBSD 有很多方法可以将计算机与计算机连接起来。 通过使用拨号 modem 来建立网络或 Internet 连接， 或允许其他人通过您的机器来连上网络， 这些都要求使用 PPP 或 SLIP。 这章将详细介绍设置这些基于 modem 的通信服务的方法。 读完这一章， 您将了解： 如何设置用户级 PPP。 如何设置内核级 PPP。 如何设置 PPPoE (PPP over Ethernet)。 如何设置 PPPoA (PPP over ATM)。 如何配置和安装 SLIP 客户端和服务器。 PPP 用户级 PPP PPP 内核级 PPP PPP PPPoE 在阅读这章之前， 您应： 熟悉基本的网络术语。 理解拨号连接和 PPP、 SLIP 的基础知识。 您可能想知道用户级 PPP 与内核级 PPP 之间的不同之处。 回答很简单： 用户级 PPP 处理用户级的输入和输出数据， 而不是内核级。 在内核与用户区之间复制数据的花费要大一些， 但它能提供具有更多特性的PPP实现。 用户级PPP使用 tun 设备与外界通信而内核级 PPP 使用 ppp 设备。 除非需要与其它 PPP 软件 (比如 pppd) 相区别， 在这一章中， 用户级 PPP 就简称为 ppp。 另外， 若没有额外的注明， 本章所介绍的所有命令都需要 root 权限。 Tom Rhodes Updated and enhanced by Brian Somers Originally contributed by Nik Clayton With input from Dirk Frömberg Peter Childs 使用用户级 PPP 用户级 PPP 前提条件 本章假定您具备如下条件： ISP PPP 您有一个 ISP 提供的用于连接使用 PPP 的帐号。 您需要一个连接到您的系统， 并做了正确配置的 modem 或其它设备， 使您能连接到 ISP。 ISP 的拨号号码。 PAP CHAP UNIX login name password?/primary> 您的登录名称和密码 (可能是一般的 UNIX 风格的登录名和密码对， 也可能是 PAP 或 CHAP 登录名和密码对。) nameserver 一个或多个域名服务器 IP 地址。 通常， 您会从ISP处得到两个这样的IP地址。 如果您至少得到了一个， 就可以在文件 ppp.conf 中加入 enable dns 命令使 ppp 设置域名服务。 这个功能取决于 ISP 对支持 DNS 协商的具体实现。 下面的信息由您的 ISP 提供， 但不是必需的： ISP的网关IP地址。 网关是您准备连接， 并设为 默认路由 的主机。 如果您没有这个信息， 您可以虚构一个， 在连接时 ISP 的 PPP 服务器会自动告诉您正确的值。 这个虚构的 IP 地址在 ppp 中记做 HISADDR。 准备使用的子网掩码。 如果ISP没有提供， 一般使用 255.255.255.255 是没有问题的。 static IP address (静态 IP 地址) 如果 ISP 提供了静态的IP地址和主机名， 可以输入它们。 反之， 则应让对方主机指定它认为合适的 IP 地址。 如果您不知道这些信息， 请与您的 ISP 联系。 在这节中， 所有作为例子展示的配置文件中都有行号。 这些行号只是为了使解释和讨论变得方便， 在真实的文件中并不存在。 此外， 在必要时应使用 Tab 和空格来进行缩进。 <application>PPP</application>自动化配置 PPPconfiguration ppp和pppd(PPP的内核级实现) 都使用/etc/ppp目录中的配置文件。 用户级 PPP 的例子可以在 /usr/share/examples/ppp/ 中找到。 配置ppp要求根据您的需要编辑几个文件。 编辑哪几个文件取决于您的 IP 是静态分配还是动态分配的。 PPP和静态IP地址 PPPwith static IP addresses 您需要编辑配置文件/etc/ppp/ppp.conf， 如下所示。 以冒号:结尾的行从第一列 (行首)开始， 其它所有的行都要使用空格或制表符 (Tab) 来缩进。 1 default: 2 set log Phase Chat LCP IPCP CCP tun command 3 ident user-ppp VERSION (built COMPILATIONDATE) 4 set device /dev/cuaa0 5 set speed 115200 6 set dial "ABORT BUSY ABORT NO\\sCARRIER TIMEOUT 5 \ 7 \"\" AT OK-AT-OK ATE1Q0 OK \\dATDT\\T TIMEOUT 40 CONNECT" 8 set timeout 180 9 enable dns 10 11 provider: 12 set phone "(123) 456 7890" 13 set authname foo 14 set authkey bar 15 set login "TIMEOUT 10 \"\" \"\" gin:--gin: \\U word: \\P col: ppp" 16 set timeout 300 17 set ifaddr x.x.x.x y.y.y.y 255.255.255.255 0.0.0.0 18 add default HISADDR 行1： 指定默认的项。 当PPP运行时这个项中的命令将自动执行。 行2： 启用登录参数。 工作正常后， 为避免产生过多的日志文件， 这行应该简化为： set log phase tun。 行 3： 告诉 PPP 怎样向对方标识自己。 如果在建立或使用连接时遇到任何麻烦， PPP就会向对方主机自我标识。 对方主机管理员在处理这个问题时， 这些信息会有用。 行 4： 标明modem要连接的端口号。 COM1 对应的设备是 /dev/cuaa0， 而 COM2 对应的则是 /dev/cuaa1。 行 5： 设置连接的速度。 如果 115200 有问题， 试试 38400。 行 6 & 7： PPPuser PPP 拨号字符串。 用户级 PPP 使用一种与 &man.chat.8;程序相似的语法。 请参考联机手册了解这种语言的相关信息。 注意， 为了便于阅读此命令进行了换行。 任何 ppp.conf 里的命令都可以这样做， 前提是行的最后一个字符必须是 \。 行 8： 设置连接的时间间隔。 默认是 180 秒， 所以这一行是多余的。 行 9： 告诉PPP向对方主机确认本地域名解析设置。 如果您运行了本地的域名服务器， 要注释或删除掉这一行。 行 10： 为了可读性的需要设置一个空行。 空行会被PPP忽略。 行 11： 为 provider指定一个项。 可以改成 ISP的名字， 这样您以后就可以使用 来开启连接。 行 12： 设置提供商的电话号码。 多个电话号码可以使用冒号 (:) 或管道符号 (|) 隔开。 这两个字符的区别在&man.ppp.8;的联机手册中有介绍。 总的来讲， 如果您要循环使用这些号码， 可以使用冒号。 如果您想使用第一个号码， 当第一个号码失败了再用第二个号码， 就使用管道符号。 如所示的那样， 要给整个电话号码加上引号(")。 如果电话号码里有空格， 必须用引号(")将其括起来。 否则会造成简单却难以察觉的错误。 行 13 & 14： 指定用户名和密码。 当使用 &unix; 风格的命令提示符登录时， 这些值可以用带有 \U \P 参数的 set login 命令进行修改。 当使用PAP或CHAP进行连接时， 这些值在验证使用。 行 15： PAP CHAP 如果您使用的是PAP或者CHAP， 在这里就不会有登录。 要注释或删除掉这一行。 请参考 PAP 和 CHAP认证 以了解更多细节。 登录命令是的语法是chat类型的。 在这个例子中是这样的： J. Random Provider login: foo password: bar protocol: ppp 您需要改变这个脚本以适合您自己的需要。 当您第一次写这个脚本时， 应当确保已经启用 chat 并处于登录状态， 这样您才能确认通信是否正在按计划进行。 行16： timeout 设置默认的超时时间。 这里， 连接若在 300 秒内无响应将被断开。如果您不想设置成超时， 将这个值设置成0， 或在命令行使用 选项。 行 17： ISP 设置接口地址。 您需要用 ISP 提供给您的 IP 地址替换字符串 x.x.x.x， 用 ISP 的网关 IP 地址 (即您要连接的主机) 替换字符串 y.y.y.y。 如果ISP没有给您提供网关地址， 可以使用 10.0.0.2/0。 如果您需要使用一个 猜到的地址， 请确保在 /etc/ppp/ppp.linkup 中为每个 PPP和动态IP地址 指令创建了这一项。 如果没有这一行， ppp 将无法以 模式运行。 第18行： 添加一个到ISP网关的默认路由。 HISADDR这个关键字会被第17行所指定的网关地址替换。 这行必须出现在第17行之后，以免在 HISADDR 初始化之前使用它的值。 如果您不想使用 的 PPP，则这行应挪到 ppp.linkup 文件中。 若您有一个静态IP地址， 且使用 模式运行ppp(因为在连接之前已经正确设置了路由表项)， 那就不需要再向ppp.linkup 添加项。 您可能希望在连接以后创建一个项来调用程序。 这在以后的sendmail的例子中会解释。 示例配置文件可以在目录/usr/share/examples/ppp/中找到。 PPP和动态IP地址 PPPwith dynamic IP addresses IPCP 如果ISP没给您指定静态的IP地址， ppp要被配置成能够与对方协商确定本地和远程地址。 要完成这项工作， 先要猜一个IP地址， 然后允许 ppp在连接后使用IP配置协议(IPCP)进行正确配置。 ppp.conf的配置是与 PPP和静态IP地址一样的， 除了以下的改变： 17 set ifaddr 10.0.0.1/0 10.0.0.2/0 255.255.255.255 再次强调， 不要包括行号， 它只是一个引用标记。 缩排一个空格是必需的。 行17： / 字符后面是 PPP 所要求的地址掩码。 您可以根据需要使用不同 IP 地址， 但以上的例子永远是可行的。 最后的参数(0.0.0.0)告诉 PPP从0.0.0.0 而不是 10.0.0.1 开始协商地址， 对于有些ISP， 这是必需的。 不要将 0.0.0.0 作为 set ifaddr 的第一个参数， 因为这使得 PPP 在 模式时不能设置初始路由。 如果您不运行模式， 就需要在/etc/ppp/ppp.linkup中创建一个项。 连接建立之后， ppp.linkup被启用。 这时候， ppp将指派接口地址， 接着再添加路由表项： 1 provider: 2 add default HISADDR 行 1： 为了建立连接， ppp 会按按照如下规则在 ppp.linkup寻找项:首先， 试图寻找相同的标签 (如同在ppp.conf一样）。 如果失败了， 寻找作为网关 IP 地址的项， 此项是四个八位字节的风格。 如果依旧没有找到， 就寻找 MYADDR 项 行 2： 这行告诉 ppp添加指向 HISADDR的默认路由。 HISADDR由通过IPCP协商得到的IP号替换。 参考/usr/share/examples/ppp/ppp.conf.sample 和/usr/share/examples/ppp/ppp.linkup.sample 中的pmdemand项以获取细节化的例子。 接收拨入 PPPreceiving incoming calls 当要配置 ppp接受来自LAN上的 拨入时， 您需要决定是否将包转给LAN。 如果是的话， 您就必须从 LAN 子网中给对方分配一个IP， 需要在文件 /etc/ppp/ppp.conf 中使用命令 enable proxy。 您还应该确定文件 /etc/rc.conf 中包含以下内容： gateway_enable="YES" 使用哪个getty？ 配置 FreeBSD 的拨号服务 描述了如何用 &man.getty.8; 来启动拨号服务。 除了 getty 之外还有 mgetty， 它是 getty 的智能版本， 是按照拨号线的思想设计的。 使用 mgetty 的好处是它能积极地与 modem 进行 会话， 这就意味着如果在/etc/ttys中的端口被关闭， 您的moderm就不会回应拨入。 较新版本的 mgetty (从 0.99beta 起) 也支持自动检测 PPP 数据流， 这样即便客户端不使用脚本也能访问服务器了。 参考Mgetty 和 AutoPPP的联机手册了解更多信息。 <application>PPP</application> 权限 ppp 命令通常必须以 root 用户的身份运行。 如果希望以普通用户的身份启动 ppp 服务 (就像下面描述的那样)， 就必须把此用户加入 network 组， 使其获得运行 ppp 的权限。 您还需要使用allow命令使用户能访问配置文 件的一个或多个部分： allow users fred mary 如果这个命令被用在 default 部分中， 您可以让指定的用户访问任何东西。 动态IP用户的PPP Shell PPP shells 创建一个名为/etc/ppp/ppp-shell文件， 加入以下内容： #!/bin/sh IDENT=`echo $0 | sed -e 's/^.*-\(.*\)$/\1/'` CALLEDAS="$IDENT" TTY=`tty` if [ x$IDENT = xdialup ]; then IDENT=`basename $TTY` fi echo "PPP for $CALLEDAS on $TTY" echo "Starting PPP for $IDENT" exec /usr/sbin/ppp -direct $IDENT 这个脚本要有可执行属性。 然后通过如下命令创建一个指向此脚本且名为 ppp-dialup的符号链接： &prompt.root; ln -s ppp-shell /etc/ppp/ppp-dialup 您应该将这个脚本作为所有拨入用户的 shell。 以下是在文件 /etc/passwd 中关于 PPP 用户 pchilds 的例子 (切记， 不要直接修改这个密码文件， 用 &man.vipw.8; 来修改它)。 pchilds:*:1011:300:Peter Childs PPP:/home/ppp:/etc/ppp/ppp-dialup 创建一个名为 /home/ppp的目录作为拨入用户的主目录， 包含以下这些空文件： -r--r--r-- 1 root wheel 0 May 27 02:23 .hushlogin -r--r--r-- 1 root wheel 0 May 27 02:22 .rhosts 这样就可以防止/etc/motd被显示出来。 静态IP用户的Shell PPP shells 像上面那样创建ppp-shell文件， 为每个静态分配IP用户创建一个到 ppp-shell的 符号链接。 - 例如， 如果您有三个拨号用户， + 例如， 如果您希望为三个拨号用户， fred， sam， 和 - mary， 您为他们路由C类网络， 您需要键入以下内容： + mary 路由 /24 CIDR 的网络， 则需要键入以下内容： &prompt.root; ln -s /etc/ppp/ppp-shell /etc/ppp/ppp-fred &prompt.root; ln -s /etc/ppp/ppp-shell /etc/ppp/ppp-sam &prompt.root; ln -s /etc/ppp/ppp-shell /etc/ppp/ppp-mary 每个用户的Shell必须被设成一个符号链接(例如用户 mary的Shell应该是/etc/ppp/ppp-mary)。 为动态IP用户设置<filename>ppp.conf</filename> /etc/ppp/ppp.conf文件应该包含下面 这些行： default: set debug phase lcp chat set timeout 0 ttyd0: set ifaddr 203.14.100.1 203.14.100.20 255.255.255.255 enable proxy ttyd1: set ifaddr 203.14.100.1 203.14.100.21 255.255.255.255 enable proxy 缩进得必须的。 default:项在每次会话时都会加载。 每个在 /etc/ttys 中启用的行都必须为其创建一个相似于 ttyd0: 的项。 每一行应该从动态 IP 地址池中取得唯一的IP地址。 为静态 IP 用户配置 <filename>ppp.conf</filename> 根据上面 /usr/share/examples/ppp/ppp.conf 文件的内容， 您必须为每个静态拨号用户添加一个项。 我们继续以 fred、 sam 以及 mary为例。 fred: set ifaddr 203.14.100.1 203.14.101.1 255.255.255.255 sam: set ifaddr 203.14.100.1 203.14.102.1 255.255.255.255 mary: set ifaddr 203.14.100.1 203.14.103.1 255.255.255.255 如果需要， /etc/ppp/ppp.linkup 也应该包括每个静态IP用户的的路由信息。 - 下面这一行为客户连接添加了到 C 类网络 - 203.14.101.0的路由。 + 下面这一行为客户连接添加了到 + 203.14.101.0/24 网络的路由。 fred: add 203.14.101.0 netmask 255.255.255.0 HISADDR sam: add 203.14.102.0 netmask 255.255.255.0 HISADDR mary: add 203.14.103.0 netmask 255.255.255.0 HISADDR <command>mgetty</command>和AutoPPP mgetty AutoPPP LCP 在配置和编译mgetty 时启用 AUTO_PPP选项 使mgetty能够探测PPP连接的的LCP状态 并自动产生PPP Shell。 但如果默认的login/password队列没有出现， 那就必须使用PAP或CHAP来验证用户。 这节假定您已经为用户成功地配置， 编译了带有AUTO_PPP选项的 mgetty。 确认文件 /usr/local/etc/mgetty+sendfax/login.config 包含以下内容： /AutoPPP/ - - /etc/ppp/ppp-pap-dialup 这行告诉mgetty运行 ppp-pap-dialup脚本来侦听PPP连接。 创建/etc/ppp/ppp-pap-dialup文件写入以下内容 (此文件应该是可执行的)： #!/bin/sh exec /usr/sbin/ppp -direct pap$IDENT 对应于每个在/etc/ttys的启用行， 都要在/etc/ppp/ppp.conf 中创建相应的项。 这和上面的定义是相同的。 pap: enable pap set ifaddr 203.14.100.1 203.14.100.20-203.14.100.40 enable proxy 每个以这种方式登录的用户， 都必须在 /etc/ppp/ppp.secret 文件中给出用户名/口令， 或者使用以下选项， 来通过 PAP 方式以 /etc/passwd 文件提供的信息来完成身份验证。 enable passwdauth 如果您想为某些用户分配静态IP， 可以在 /etc/ppp/ppp.secret 中将IP号作为第三个参数指定。 请参见 /usr/share/examples/ppp/ppp.secret.sample 中的例子。 MS Extensions DNS NetBIOS PPPMicrosoft extensions 可以配置PPP以提供DNS和NetBIOS域名服务器地址。 要在 PPP 1.x 版本中启用这些扩展， 需要在 /etc/ppp/ppp.conf 的对应项中加入下列配置： enable msext set ns 203.14.100.1 203.14.100.2 set nbns 203.14.100.5 PPP版本2及以上： accept dns set dns 203.14.100.1 203.14.100.2 set nbns 203.14.100.5 这将告诉客户端首选域名服务器和备用域名服务器。 在版本2及以上版本中， 如果省略了 set dns， PPP会使用 /etc/resolv.conf中的值。 PAP 和 CHAP 验证 PAP CHAP 一些 ISP 将系统配置为使用 PAP 或 CHAP 机制来完成连接验证。 如果遇到这种情况， 在您连接时 ISP 就不会看到 login: 提示符， 而是立即开始 PPP 对话。 PAP 安全性要比 CHAP 差一些， 但在这里安全性并不是问题， 因为密码 (即使用明文传送) 只是通过串行线传送， 攻击者并没有太多机会去 窃听 它。 参考 PPP 与静态 IP 地址 或 PPP 与动态 IP 地址 小节， 并完成下列改动： 13 set authname MyUserName 14 set authkey MyPassword 15 set login 第 13 行： 这一行指明您的PAP/CHAP用户名。 您需要为MyUserName输入正确的值。 第 14 行： password 这一行指明您的 PAP/CHAP password密码。 您需要为 MyPassword 输入正确的值。 另外，您可能希望加入一些额外的选项，例如： 16 accept PAP 或 16 accept CHAP 以明确您的意图， 不过， 默认情况下 PAP 和 CHAP 都会被接受。 行 15： 如果您使用的是 PAP 或 CHAP， 一般来说 ISP 就不会要求您登录服务器了。 这时， 就必须禁用 set login 设置。 即时改变您的<command>ppp</command> 配置 与后台运行的ppp程序进行对话是可能的， 前提是设置了一个合适的诊断端口。 做到这一点， 需要把下面的行加入到您的配置中： set server /var/run/ppp-tun%d DiagnosticPassword 0177 这行告诉 PPP在指定的&unix;域socket中侦听， 当用户连接时需要给出指定的密码。 %d用tun设备号替换。 一旦启用了socket， 就可以在脚本中调用程序&man.pppctl.8;来处理正在运行的 的PPP。 使用PPP网络地址翻译 PPPNAT PPP 可以使用内建的 NAT， 而无需内核支持。 您可以在 /etc/ppp/ppp.conf 中加入如下配置来启用它： nat enable yes PPP NAT也可以使用命令行选项 -nat启动。 在 /etc/rc.conf 文件中也有 ppp_nat 项， 并默认启用。 如果您使用了这个特性， 您还会发现在 /etc/ppp/ppp.conf中以下 选项对于启用incoming connections forwarding是有用的： nat port tcp 10.0.0.2:ftp ftp nat port tcp 10.0.0.2:http http 或者完全不信任外来的请求 nat deny_incoming yes 最后的系统配置 PPPconfiguration 现在您已配置了ppp， 但在真正工作之前还有一些事情要做。 即修改 /etc/rc.conf。 从上依次往下看， 确认已经正确地配置了 hostname=， 例如： hostname="foo.example.com" 如果您的ISP提供给您一个静态的IP和名字， 将这个名字设为hostname是最合适的。 寻找 network_interfaces 变量。 如果要配置系统通过拨号连入ISP， 一定要将tun0设备加入这个列表， 否则就删除它。 network_interfaces="lo0 tun0" ifconfig_tun0= ifconfig_tun0变量应该是空的， 且要创建一个名为 /etc/start_if.tun0的文件。 这个文件应该包含这一行： ppp -auto mysystem 此脚本在网络配置时被执行， 开启PPP守护进程进入自动模式。 如果这台机子充当一个LAN的网关， 您可能希望使用 。 参考相关联机手册了解更多细节。 务必在 /etc/rc.conf 中， 把路由程序设置为 NO： router_enable="NO" routed 不启动 routed 服务程序非常重要， 因为 routed 总会删掉由 ppp 所建立的默认路由。 此外， 还应该确保 sendmail_flags 这一行没有 参数， 否则 sendmail 将会不断地尝试查找网络， 而这样做将会导致机器不断地进行拨号。 可以考虑： sendmail_flags="-bd" sendmail 替代的做法是当每次 PPP 连接建立时您必须通过键入以下命令强制 sendmail 重新检查邮件队列： &prompt.root; /usr/sbin/sendmail -q 您也可以在ppp.linkup使用!bg命令自动完成这些工作： 1 provider: 2 delete ALL 3 add 0 0 HISADDR 4 !bg sendmail -bd -q30m SMTP 如果您不喜欢这样做， 可以设立一个 dfilter 以阻止 SMTP 传输。 参考相关文件了解更多细节。 现在您唯一要做的事是重新启动计算机。 重启之后，可以输入： &prompt.root; ppp 然后是dial provider以开启 PPP会话。 或者如果您想让ppp自动建立会话， 因为您有一条广域网连接 (且没有创建 start_if.tun0 脚本)， 键入： &prompt.root; ppp -auto provider 总结 当第一次设置PPP时， 下面几步是必须的： 客户端： 确保 tun编译进了进核。 确保tunN 设备文件在 /dev 目录中是可用的。 在 /etc/ppp/ppp.conf中创建一个项。 pmdemand示例应该适合于绝大多数ISP。 如果您使用动态IP地址， 在/etc/ppp/ppp.linkup创建一个项。 更新/etc/rc.conf 文件。 如果您要求按需拨号， 创建一个start_if.tun0脚本。 服务器端： 确保tun设备已编译入内核。 确保tunN设备文件在 /dev目录中是可用的。 在/etc/passwd中创建一个项 (使用&man.vipw.8;程序)。 在用户的home目录创建一个运行 ppp -direct direct-server或相似命令的profile。 在/etc/ppp/ppp.conf中创建一个项。 direct-server示例应该能满足要求。 在 /etc/ppp/ppp.linkup中创建一个项。 更新 /etc/rc.conf 文件。 Gennady B. Sorokopud Parts originally contributed by Robert Huff 使用内核级PPP 设立内核级PPP PPPkernel PPP 在开始设置内核级PPP时， 需要确信pppd已经被定位在/usr/sbin 中 且存在/etc/ppp目录。 pppd能在两种模式下工作： 作为一个 客户 — 您要通过PPP串行线或modem线把您的机器连接到互联网上。 PPPserver 作为服务器 —计算机已经位于网络上， 且被用于通过PPP与其它计算机连接。 两种情况您都需要设立一个选项文件， (/etc/ppp/options 或者是 ~/.ppprc 如果您的计算机有多个用户使用PPP)。 您还需要一些modem/serial软件(comms/kermit就很适合)， 使您能够拨号并与远程主机建立连接。 Trev Roydhouse Based on information provided by 使用<command>pppd</command>作为客户端 PPPclient Cisco 下面这个 /etc/ppp/options选项文件能够被用来与CISCO终端服务器的 PPP线连接。 crtscts # enable hardware flow control modem # modem control line noipdefault # remote PPP server must supply your IP address # if the remote host does not send your IP during IPCP # negotiation, remove this option passive # wait for LCP packets domain ppp.foo.com # put your domain name here :<remote_ip> # put the IP of remote PPP host here # it will be used to route packets via PPP link # if you didn't specified the noipdefault option # change this line to <local_ip>:<remote_ip> defaultroute # put this if you want that PPP server will be your # default router 连接： Kermit modem 使用 Kermit (或其他 modem 程序来拨号)， 然后输入您的用户名和口令 (或在远程主机上启用 PPP 所需的其他信息)。 退出 Kermit (并不挂断连接)。 键入下面这行： &prompt.root; /usr/src/usr.sbin/pppd.new/pppd /dev/tty01 19200 一定要使用正确的速度和设备名。 现在您的计算机已经用PPP连接。 如果连接失败， 您可在文件 /etc/ppp/options 中添加 选项， 并查看控制台信息以跟踪问题。 下面这个/etc/ppp/pppup脚本能自动完成这三个步骤： #!/bin/sh ps ax |grep pppd |grep -v grep pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi ifconfig ppp0 down ifconfig ppp0 delete kermit -y /etc/ppp/kermit.dial pppd /dev/tty01 19200 Kermit /etc/ppp/kermit.dial 是一个 Kermit 脚本， 它会完成拨号， 并在远程主机上完成所有需要的身份验证过程 (这份文档的最后有一个脚本实例)。 使用下面这个脚本/etc/ppp/pppdown断开PPP连线： #!/bin/sh pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ X${pid} != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill -TERM ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi /sbin/ifconfig ppp0 down /sbin/ifconfig ppp0 delete kermit -y /etc/ppp/kermit.hup /etc/ppp/ppptest 通过执行/usr/etc/ppp/ppptest， 看看pppd 是否仍在运行： #!/bin/sh pid=`ps ax| grep pppd |grep -v grep|awk '{print $1;}'` if [ X${pid} != "X" ] ; then echo 'pppd running: PID=' ${pid-NONE} else echo 'No pppd running.' fi set -x netstat -n -I ppp0 ifconfig ppp0 执行脚本 /etc/ppp/kermit.hup以挂起moderm， 这个文件包含： set line /dev/tty01 ; put your modem device here set speed 19200 set file type binary set file names literal set win 8 set rec pack 1024 set send pack 1024 set block 3 set term bytesize 8 set command bytesize 8 set flow none pau 1 out +++ inp 5 OK out ATH0\13 echo \13 exit 也可以用chat 代替kermit： 以下两个文件用以建立pppd连接。 /etc/ppp/options： /dev/cuaa1 115200 crtscts # enable hardware flow control modem # modem control line connect "/usr/bin/chat -f /etc/ppp/login.chat.script" noipdefault # remote PPP serve must supply your IP address # if the remote host doesn't send your IP during # IPCP negotiation, remove this option passive # wait for LCP packets domain <your.domain> # put your domain name here : # put the IP of remote PPP host here # it will be used to route packets via PPP link # if you didn't specified the noipdefault option # change this line to <local_ip>:<remote_ip> defaultroute # put this if you want that PPP server will be # your default router /etc/ppp/login.chat.script： 以下的内容应该放在一行内。 ABORT BUSY ABORT 'NO CARRIER' "" AT OK ATDT<phone.number> CONNECT "" TIMEOUT 10 ogin:-\\r-ogin: <login-id> TIMEOUT 5 sword: <password> 一旦这些被安装且修改正确， 您所要做的就是运行pppd， 就像这样： &prompt.root; pppd 使用<command>pppd</command>作为服务器 /etc/ppp/options要包括下面这些内容： crtscts # Hardware flow control netmask 255.255.255.0 # netmask (not required) 192.114.208.20:192.114.208.165 # IP's of local and remote hosts # local ip must be different from one # you assigned to the Ethernet (or other) # interface on your machine. # remote IP is IP address that will be # assigned to the remote machine domain ppp.foo.com # your domain passive # wait for LCP modem # modem line 下面这个脚本/etc/ppp/pppserv 使pppd以服务器方式启动： #!/bin/sh ps ax |grep pppd |grep -v grep pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi # reset ppp interface ifconfig ppp0 down ifconfig ppp0 delete # enable autoanswer mode kermit -y /etc/ppp/kermit.ans # run ppp pppd /dev/tty01 19200 使用脚本/etc/ppp/pppservdown停止服务器： #!/bin/sh ps ax |grep pppd |grep -v grep pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi ifconfig ppp0 down ifconfig ppp0 delete kermit -y /etc/ppp/kermit.noans 下面的 Kermit 脚本 (/etc/ppp/kermit.ans) 能够启用/禁用您 modem 的自动应答模式。 其内容类似下面这样： set line /dev/tty01 set speed 19200 set file type binary set file names literal set win 8 set rec pack 1024 set send pack 1024 set block 3 set term bytesize 8 set command bytesize 8 set flow none pau 1 out +++ inp 5 OK out ATH0\13 inp 5 OK echo \13 out ATS0=1\13 ; change this to out ATS0=0\13 if you want to disable ; autoanswer mode inp 5 OK echo \13 exit 一个名为/etc/ppp/kermit.dial的脚本用于向远程主机 进行拨号和验证。 您要根据需要定制它。 要加入您的登寻名和密码， 您还要根据 modem 和远程主机的反应修改输入语句。 ; ; put the com line attached to the modem here: ; set line /dev/tty01 ; ; put the modem speed here: ; set speed 19200 set file type binary ; full 8 bit file xfer set file names literal set win 8 set rec pack 1024 set send pack 1024 set block 3 set term bytesize 8 set command bytesize 8 set flow none set modem hayes set dial hangup off set carrier auto ; Then SET CARRIER if necessary, set dial display on ; Then SET DIAL if necessary, set input echo on set input timeout proceed set input case ignore def \%x 0 ; login prompt counter goto slhup :slcmd ; put the modem in command mode echo Put the modem in command mode. clear ; Clear unread characters from input buffer pause 1 output +++ ; hayes escape sequence input 1 OK\13\10 ; wait for OK if success goto slhup output \13 pause 1 output at\13 input 1 OK\13\10 if fail goto slcmd ; if modem doesn't answer OK, try again :slhup ; hang up the phone clear ; Clear unread characters from input buffer pause 1 echo Hanging up the phone. output ath0\13 ; hayes command for on hook input 2 OK\13\10 if fail goto slcmd ; if no OK answer, put modem in command mode :sldial ; dial the number pause 1 echo Dialing. output atdt9,550311\13\10 ; put phone number here assign \%x 0 ; zero the time counter :look clear ; Clear unread characters from input buffer increment \%x ; Count the seconds input 1 {CONNECT } if success goto sllogin reinput 1 {NO CARRIER\13\10} if success goto sldial reinput 1 {NO DIALTONE\13\10} if success goto slnodial reinput 1 {\255} if success goto slhup reinput 1 {\127} if success goto slhup if < \%x 60 goto look else goto slhup :sllogin ; login assign \%x 0 ; zero the time counter pause 1 echo Looking for login prompt. :slloop increment \%x ; Count the seconds clear ; Clear unread characters from input buffer output \13 ; ; put your expected login prompt here: ; input 1 {Username: } if success goto sluid reinput 1 {\255} if success goto slhup reinput 1 {\127} if success goto slhup if < \%x 10 goto slloop ; try 10 times to get a login prompt else goto slhup ; hang up and start again if 10 failures :sluid ; ; put your userid here: ; output ppp-login\13 input 1 {Password: } ; ; put your password here: ; output ppp-password\13 input 1 {Entering SLIP mode.} echo quit :slnodial echo \7No dialtone. Check the telephone line!\7 exit 1 ; local variables: ; mode: csh ; comment-start: "; " ; comment-start-skip: "; " ; end: Tom Rhodes Contributed by <acronym>PPP</acronym> 连接故障排除 PPPtroubleshooting 本节将讲述通过modem连接使用PPP时可能出现的问题。 例如， 您可能需要确切地知道您拨入的系统会出现一个怎样的命令行提示符。 有些 ISP 会提供 ssword提示符， 而其它的可能会出现 password； 如果没有根据情况的不同相应地编写 ppp 脚本， 登录就会失败。 诊断 ppp 最常用的方法是手动进行连接。 以下的信息会一步一步地带您完成手动连接。 检查设备节点 如果您的内核是经过重新配置的， 那么就需要检查sio设备。 如果没有配置过内核， 就没什么可担心的了。 只要查看 dmesg的输出以找到modem设备： &prompt.root; dmesg | grep sio 您应该找到与 sio 设备有关的输出。 这些就是我们需要的 COM 端口。 如果您的 modem 按照标准串行端口工作， 您就会在 sio1 或 COM2 上找到它。 如果 modem 设备连接在 sio1 接口 (在 DOS 中称为COM2)， 那么您的 modem 将会是 /dev/cuaa1。 手动连接 通过手动控制ppp来连接Internet 是诊断连接及获知ISP处理PPP客户端方式的一个快速， 简单的方法。 让我们从PPP 命令行开始， 在所有的例子中我们使用 example 表示运行 PPP 服务的主机名。 键入ppp 命令打开 ppp： &prompt.root; ppp 现在我们已经打开了ppp。 ppp ON example> set device /dev/cuaa1 设置modem设备， 在本例子中是 cuaa1。 ppp ON example> set speed 115200 设置连接速度， 在本例中我们使用15,200 kbps。 ppp ON example> enable dns 使ppp配置域名服务， 在文件/etc/resolv.conf中添加域名服务器行。 如果 ppp不能确定我们的主机名， 可以在稍后设置。 ppp ON example> term 切换到 终端样我们就能手动地控制这台 modem 的模式。 deflink: Entering terminal mode on /dev/cuaa1 type '~h' for help at OK atdt123456789 使用命令at初始化modem， 然后使用atdt和ISP给您的号码进行拨号。 CONNECT 连接配置， 如果我们遇到了与硬件无关的连接问题， 可以在这里尝试解决。 ISP Login:myusername 这里提示您输入用户名， 输入ISP提供的用户名然后按回车。 ISP Pass:mypassword 这时提示我们输入密码， 输入 ISP提供的密码。 如同登录入&os;， 密码不会显示。 Shell or PPP:ppp 由于ISP的不同， 这个提示符可能不会出现。 这里我们需要考虑： 是使用运行于提供商端的 Shell， 还是启动 ppp？ 这本例中， 我们选择使用 ppp， 因为我们希望得到 Internet 连接。 Ppp ON example> 注意在这个例子中， 第一个 已经大写。 这表示我们已经成功地连接上了 ISP。 PPp ON example> 我们已经成功通过了 ISP的验证， 正在等待分配IP地址。 PPP ON example> 我们得到了一个 IP 地址， 成功地完成了连接。 PPP ON example>add default HISADDR 这样就完成了添加默认路由所需的配置。 这是与外界通信所必需的。 因为之前我们只是与服务器端建立了连接。 如果由于已存在的路由而导致操作失败， 您可以在 前加 !号。 除此之外， 您也可以在真正连接之前设置这些 (指 add default HISADDR)， ppp 会根据这项设定协商取得新的路由。 如果一切顺利， 现在我们应该能得到一个活动的 Internet 连接， 可以使用 CTRL z 使其转入后台。 如果您发现 PPP重新变为 ppp， 则表示连接被断开。 大写的 P 表明建立了到 ISP 的连接， 而小写的 p 则表示连接由于某种原因被断开， 这有助于帮助我们了解连接的状态。 ppp 只有这两个状态。 诊断排错 如果您有一根直连线且似乎不能建立连接， 要使用以关闭字节流的CTS/RTS。 这种情况一般发生在连接兼容 PPP 的终端服务器时。 当它向通信连接写入数据时， PPP就会挂起， 一直等待一个CTS， 或者一个不可能出现的 Clear to Send 信号。 如果使用了这个选项， 您还应使用 选项， 某些存在缺陷的硬件在完成端对端发送特定字符， 特别是 XON/XOFF 时可能会遇到困难。 请参见 &man.ppp.8; 联机手册以了解关于可用选项的更多细节， 以及如何使用它们。 如果您的 modem 比较旧， 就需要使用 了。 奇偶校验的默认设置是 none， 但在旧式的 (当流量大量增加时) 调制解调器和某些 ISP 被用来纠错。 您需要使用这个选项才能使用 Compuserve ISP。 PPP 可能并不返回命令模式， 这通常是 ISP 等待您这一端发起协商时发生了错误。 此时， 使用 ~p 命令将强制 ppp 开始发送配置信息。 如果您没有看到登录提示， 则很可能需要使用 PAP 或 CHAP 验证来代替前面例子中的 &unix; 风格验证。 要使用 PAP 或 CHAP 只需在进入终端模式之前把下面的选项加入 PPP： ppp ON example> set authname myusername 此处 myusername 应改为您的 ISP 分配给您的用户名。 ppp ON example> set authkey mypassword 此处 mypassword 应该为您的 ISP 分配给您的口令。 如果连接正常， 但无法查找域名， 请尝试 &man.ping.8; 某个 IP 地址来看看是否返回了信息。 如果您发现百分之百 (100%) 丢包， 那么您很可能没有分配默认路由。 请仔细检查选项 是否在连接时被设置了。 如果您能连接到远程的 IP 地址则有可能域名解析服务器的地址没有被加入到 /etc/resolv.conf。 这个文件应该是下面的样子： domain example.com nameserver x.x.x.x nameserver y.y.y.y 此处 x.x.x.x 和 y.y.y.y 应该改为您的 ISP 的 DNS 服务器的 IP 地址。 这一信息在您注册时可能会提供给您， 不过通常只需给 ISP 打个电话就能知道了。 您还可以让 &man.syslog.3; 为您的 PPP 连接提供日志。 只需增加： !ppp *.* /var/log/ppp.log 到 /etc/syslog.conf 中。 绝大多数情况下， 这个功能默认已经打开了。 Jim Mock Contributed (from http://node.to/freebsd/how-tos/how-to-freebsd-pppoe.html) by 使用基于以太网的PPP(PPPoE) PPPover Ethernet PPPoE PPP, over Ethernet (以太网上的 PPP) 本节将介绍如何建立基于以太网的PPP (PPPoE)。 配置内核 对于PPPOE， 并没有必须的内核配置。 如果必需的 netgraph 支持没有编译入内核， 它可以由 ppp 动态加载。 设置<filename>ppp.conf</filename> 以下是一个ppp.conf的例子： default: set log Phase tun command # you can add more detailed logging if you wish set ifaddr 10.0.0.1/0 10.0.0.2/0 name_of_service_provider: set device PPPoE:xl1 # replace xl1 with your Ethernet device set authname YOURLOGINNAME set authkey YOURPASSWORD set dial set login add default HISADDR 运行<application>ppp</application> 以 root 身份执行： &prompt.root; ppp -ddial name_of_service_provider 启动时运行<application>ppp</application> 在 /etc/rc.conf 中加入以下内容： ppp_enable="YES" ppp_mode="ddial" ppp_nat="YES" # if you want to enable nat for your local network, otherwise NO ppp_profile="name_of_service_provider" 使用 PPPoE 服务标签 在某些时候， 有必要使用一个服务标签来建立您的连接。 服务标签用于区分同一网络中的不同服务器。 您可以在ISP提供的文档中找到必要的服务标签信息。 若不能找到， 则应向您的 ISP 寻求技术支持。 作为最后的方法， 您可以试试 Roaring Penguin PPPoE， 它可以在 Ports Collection 中找到。 然而需要注意的是， 它可能会清楚 modem 的固件， 并使其无法正常工作， 因此一定要仔细考虑之后再做这个操作。 简单地安装由服务提供商随 modem 提供的程序。 随后， 选择 System 菜单。 您的配置文件应该会在这里列出。 一般来说它的名字应该是 ISP。 配置文件名 (service tag， 服务标签) 将被用于 PPPoE 在 ppp.conf 中的配置项， 作为服务商 set device 命令的一部分 (参见 &man.ppp.8; 联机手册以了解更多细节)。 它应该类似下面的样子： set device PPPoE:xl1:ISP 记住将xl1换成实际的以太网设备。 记住将 ISP 换成您刚刚找到的profile名。 获得更多的信息， 请参考： Cheaper Broadband with FreeBSD on DSL by Renaud Waldura. Nutzung von T-DSL und T-Online mit FreeBSD by Udo Erdelhoff (in German). 带有一个&tm.3com; <trademark class="registered">HomeConnect</trademark>ADSL Modem的PPPOE双重连接 这个 modem 不遵循 RFC 2516 (A Method for transmitting PPP over Ethernet (PPPoE)， 其作者为 L. Mamakos、 K. Lidl、 J. Evarts、 D. Carrel、 D. Simone 以及 R. Wheeler)。 而是使用不同的数据包格式作为以太网的框架。 请向 3Com 抱怨， 如果您认为它应该遵守 PPPoE 的规范。 为了让FreeBSD能够与这个设备通信， 必须设置sysctl。 通过更改/etc/sysctl.conf， 这一步可以在启动时自动完成： net.graph.nonstandard_pppoe=1 或者， 也可以直接执行下面的命令： &prompt.root; sysctl net.graph.nonstandard_pppoe=1 很不幸，由于这是系统全局设置， 无法同时与正常的PPP客户端(或服务器) 和&tm.3com;HomeConnect ADSL Modem通信。 使用 ATM 上的 <application>PPP</application> (PPPoA) PPPover ATM PPPoA 基于ATM的PPP 以下将介绍如何设置基于ATM的PPP(PPPoA)。 PPPoA是欧洲DSL提供商的普遍选择。 使用 Alcatel &speedtouch;USB 的 PPPoA 针对这一设备的 PPPoA 支持， 在 FreeBSD 中是作为 port 提供的， 因为其固件使用了 阿尔卡特许可协议， 因而不能与 FreeBSD 的基本系统一起免费地再发布。 使用 Ports 套件 可以非常方便地安装 net/pppoa port， 之后按照它提供的指示操作就可以了。 和许多 USB 设备类似， 阿尔卡特的 &speedtouch; USB 需要从主机上下载固件才能够正常工作。 在 &os; 中您可以将此操作自动化， 在有设备插到某个 USB 口的时候自动下载固件。 可以在 /etc/usbd.conf 文件中加入下面的信息来让它自动完成固件的传送。 注意， 必须以 root 用户的身份编辑它。 device "Alcatel SpeedTouch USB" devname "ugen[0-9]+" vendor 0x06b9 product 0x4061 attach "/usr/local/sbin/modem_run -f /usr/local/libdata/mgmt.o" 要启动USB守护进程usbd， 在/etc/rc.conf加入以下行： usbd_enable="YES" 也可以将ppp设置成启动时拨号。 向 /etc/rc.conf加入以下这几行。 同样地您需要以root用户登录。 ppp_enable="YES" ppp_mode="ddial" ppp_profile="adsl" 为了使其正常工作， 您需要使用net/pppoa port提供的ppp.conf样例。 使用mpd 可以使用 mpd 来连接多种类型的服务， 特别是 PPTP 服务。 您可以在 Ports Collection 中找到 mpd， 它的位置是 net/mpd。 许多 ADSL modem 需要在 modem 和计算机之间建立一条 PPTP 隧道， 而阿尔卡特 &speedtouch; Home 正是其中的一种。 首先需要从 port 完成安装， 然后才能配置 mpd 来满足您的需要， 并完成服务商的配置。 port 会把一系列包括了详细注解的配置文件实例放到 PREFIX/etc/mpd/。 注意， 这里的 PREFIX 表示 ports 安装的目录， 默认情况下， 应该是 /usr/local/。 关于配置 mpd 的完整说明， 会以 HTML 格式随 port 一起安装。 这些文件将放在 PREFIX/share/doc/mpd/。 下面是通过 mpd 连接 ADSL 服务的一个简单例子。 配置被分别放到了两个文件中， 第一个是 mpd.conf： default: load adsl adsl: new -i ng0 adsl adsl set bundle authname username set bundle password password set bundle disable multilink set link no pap acfcomp protocomp set link disable chap set link accept chap set link keep-alive 30 10 set ipcp no vjcomp set ipcp ranges 0.0.0.0/0 0.0.0.0/0 set iface route default set iface disable on-demand set iface enable proxy-arp set iface idle 0 open username用来向您的ISP进行验证。 password用来向您的ISP进行验证。 mpd.links包含连接的信息： adsl: set link type pptp set pptp mode active set pptp enable originate outcall set pptp self 10.0.0.1 set pptp peer 10.0.0.138 运行mpd的主机的IP地址。 ADSL modem的IP地址。 Alcatel &speedtouch; Home 默认的是 10.0.0.138。 初始化连接： &prompt.root; mpd -b adsl 您可以通过以下命令查看连接状态： &prompt.user; ifconfig ng0 ng0: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> mtu 1500 inet 216.136.204.117 --> 204.152.186.171 netmask 0xffffffff 使用mpd连接ADSL服务是推荐的方式。 使用pptpclient 也可以使用net/pptpclient连接其它的 PPPoA。 要使用 net/pptpclient 连接 DSL 服务， 需要安装 port 或 package 并编辑 /etc/ppp/ppp.conf。 您需要有 root 权限才能完成这两项操作。 以下是 ppp.conf 中的一个示例项。 参考 ppp 的联机手册 &man.ppp.8;， 以了解更多有关 ppp.conf 选项的信息。 adsl: set log phase chat lcp ipcp ccp tun command set timeout 0 enable dns set authname username set authkey password set ifaddr 0 0 add default HISADDR 您在 DSL 服务提供商那里的用户名 您帐户的口令。 由于您必须将帐号密码以明文的方式放入ppp.conf 您应该确保没有任何人能看到此文件的内容。 以下一系列命令将会确保此文件只对 root用户可读。 请参见 &man.chmod.1; 和 &man.chown.8; 的联机手册以了解有关如何操作的进一步信息。 &prompt.root; chown root:wheel /etc/ppp/ppp.conf &prompt.root; chmod 600 /etc/ppp/ppp.conf 以下将为到 DSL 路由器的会话打开一个 tunnel。 以太网DSL modem有一个设置的局域网IP地址。 以 Alcatel &speedtouch; Home 为例， 这个地址是 10.0.0.138。 路由器的文档应该会告诉您它使用的地址。 执行以下命令以打开 tunnel 并开始会话： &prompt.root; pptp address adsl 您应该在命令的最后加上(&)号， 否则 pptp 无法返回到命令行提示符。 要创建一个 tun虚拟设备用于进程pptp 和ppp 之间的交互。 一旦您回到了命令行， 或者 pptp 进程确认了一个连接， 您可以这样检查tunnel设备： &prompt.user; ifconfig tun0 tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1500 inet 216.136.204.21 --> 204.152.186.171 netmask 0xffffff00 Opened by PID 918 如果您无法连接， 一般可以通过telnet或者web浏览器检查路由器(modem)的配置。 如果依旧无法连接， 您应该检查pptp的输出及ppp的日志文件 /var/log/ppp.log 以获得线索。 Satoshi Asami Originally contributed by Guy Helmer With input from Piero Serini 使用SLIP SLIP 设置SLIP客户端 SLIPclient 下面是在静态主机网络上配置 FreeBSD 机器使用 SLIP 的方法。 对于动态主机名分配 (您的地址会随每次拨号而不同)， 您可能需要稍复杂一些的设置。 首先， 您需要确认调制解调器所连接的串口。 许多人会设置一个符号连接， 例如 /dev/modem， 用以指向实际的设备名， /dev/cuaaN (或在 &os; 6.X 下是 /dev/cuadN)。 这样您就可以对实际的设备名进行抽象， 以备调制解调器换到其他串口时方便调整之用。 不然， 在系统中修改一大堆 /etc 下的文件以及 .kermrc 将是非常麻烦的事情！ /dev/cuaa0 (或 &os; 6.X 中的 /dev/cuad0) 对应 COM1， 而 cuaa1 (或 /dev/cuad1) 则对应 COM2， 等等。 确保您的内核文件包含以下内容： device sl 这包含在GENERIC内核， 所以这应该不会是个问题， 除非您 已经删除了它。 只需做一次的事情 把您本地网络上的机器、 网关以及域名服务器， 都加入到 /etc/hosts 文件中。 我们的是下面这个样子： 127.0.0.1 localhost loghost 136.152.64.181 water.CS.Example.EDU water.CS water 136.152.64.1 inr-3.CS.Example.EDU inr-3 slip-gateway 128.32.136.9 ns1.Example.EDU ns1 128.32.136.12 ns2.Example.EDU ns2 在 FreeBSD 5.0 之前的版本中， 请务必确保 /etc/host.conf 中的 hosts 在 bind 之前出现。 从 FreeBSD 5.0 开始， 系统转而使用 /etc/nsswitch.conf 文件， 请确认在这个文件中 一行里， files 出现在 dns 之前。 如果没有这些参数， 可能会发生很奇怪的事情。 编辑/etc/rc.conf。 编辑以下这行设置主机名(hostname)： hostname="myname.my.domain" 应该用您主机的Internet全名代替。 default route 改变这一行以指明默认的路由： defaultrouter="NO" 改为： defaultrouter="slip-gateway" 创建文件/etc/resolv.conf， 写入以下内容： domain CS.Example.EDU nameserver 128.32.136.9 nameserver 128.32.136.12 nameserver domain name 正如您看到的， 这些行设置了域名服务器。 当然， 实际的域名和IP地址取决于您的环境。 设置root和 toor的密码(其它任何没有密码的帐号)。 重启计算机， 然后确认使用了正确的主机名。 创建一个SLIP连接 SLIPconnecting with 在命令提示符之后输入 slip 进行拨号， 输入您的机器名和口令。 具体需要输入什么， 与您的环境密切相关。 如果使用 Kermit， 则可以使用类似下面的脚本： # kermit setup set modem hayes set line /dev/modem set speed 115200 set parity none set flow rts/cts set terminal bytesize 8 set file type binary # The next macro will dial up and login define slip dial 643-9600, input 10 =>, if failure stop, - output slip\x0d, input 10 Username:, if failure stop, - output silvia\x0d, input 10 Password:, if failure stop, - output ***\x0d, echo \x0aCONNECTED\x0a 当然， 您还需要修改用户名和口令来满足实际需要。 完成这些操作之后， 只需在 Kermit 提示符之后输入 slip 就可以连接了。 将密码以纯文本的形式存放在文件系统无论如何都是个 坏 主意。 请考虑这样做的风险。 在这里退出 Kermit (也可以用 Ctrl z 将其挂起)， 以 root 用户键入： &prompt.root; slattach -h -c -s 115200 /dev/modem 如果您能ping通路由器另一端的主机， 就是连接好了! 如果不行， 您可以使用选项代替 作为slattach的参数。 关闭连接 按下面的步骤做： &prompt.root; kill -INT `cat /var/run/slattach.modem.pid` 来杀掉 slattach。 切记上述操作只有以 root 身份才能完成。 接下来回到 kermit (如果之前是将它挂起了， 则使用 fg) 并退出 (q)。 在 &man.slattach.8; 联机手册中提到， 必须使用 ifconfig sl0 down 才能将接口标记为关闭， 但和这样做似乎没有什么区别。 (ifconfig sl0 仍然报告同样的东西。) 有时， 您的 modem 可能会拒绝挂断。 这种情况下， 只需重新启动 kermit 并再次退出它就可以了。 一般来说试二次就可以了。 问题解答 如果还不行， 尽管发邮件到 &a.net.name; 邮件列表来提问。 常见的问题包括： 执行 slattach 时不使用 和选项 (这应该不是关键的， 但有些用户报告这样做解决了问题)。 使用替换 (在一些字体下很难看出不同)。 试试ifconfig sl0来查看您的接口状态。 例如， 您可以这样做： &prompt.root; ifconfig sl0 sl0: flags=10<POINTOPOINT> inet 136.152.64.181 --> 136.152.64.1 netmask ffffff00 如果在使用 &man.ping.8; 时得到了 no route to host 这样的提示， 则说明您的路由表可能有问题。 可以用 netstat -r 命令来显示当前的路由： &prompt.root; netstat -r Routing tables Destination Gateway Flags Refs Use IfaceMTU Rtt Netmasks: (root node) (root node) Route Tree for Protocol Family inet: (root node) => default inr-3.Example.EDU UG 8 224515 sl0 - - localhost.Exampl localhost.Example. UH 5 42127 lo0 - 0.438 inr-3.Example.ED water.CS.Example.E UH 1 0 sl0 - - water.CS.Example localhost.Example. UGH 34 47641234 lo0 - 0.438 (root node) 前述的例子来自于一个非常繁忙的系统。 您系统上的这些数字会因网络活动的不同而改变。 设置SLIP服务器 SLIPserver 本文提供了在 FreeBSD 上设置 SLIP 服务， 也就是如何配置您的系统， 使其能在远程 SLIP 客户端登录时自动地开启连接的建议。 前提条件 TCP/IP networking 这一节技术性很强， 所以要求您有一定的背景知识。 本节假定您熟悉 TCP/IP 网络协议， 特别是网络和节点寻址、 子网掩码、 子网划分、 路由、 路由协议 (如RIP) 等知识。 在拨号服务器上配置 SLIP 需要这些概念性的知识。 如果您不熟悉它们， 请先阅读 Craig Hunt 的 TCP/IP 网络管理 由O'Reilly & Associates, Inc. 出版 (ISBN 0-937175-82-X)， 或 Douglas Comer 有关 TCP/IP 协议的书籍。 modem 此外还假定您已经配置好了您的调制解调器以及相应的系统文件， 以允许通过调制解调器进行登录。 如果您还没有为此配置好系统， 请参见 以了解关于如何进行拨号服务的配置。 您可能也会想看一看 &man.sio.4; 的联机手册， 以了解关于串口设备驱动的进一步信息， 以及 &man.ttys.5;、 &man.gettytab.5;、 &man.getty.8; & &man.init.8; 上关于怎样配置系统来接受来自调制解调器的登录请求的具体情况， 还有 &man.stty.1; 以了解关于设置串口参数 (例如 clocal 表示串口直联) 等。 快速浏览 使用FreeBSD作为SLIP服务器， 在典型配置时， 它是这样工作的： 一个SLIP客户拨号并以专用的login ID登录到FreeBSD SLIP服务器系统。 这个用户使用 /usr/sbin/sliplogin 作为 shell。 sliplogin 程序会在文件 /etc/sliphome/slip.hosts 中查找这个用户的项， 如果找到了匹配项， 就将串行线连接到一个可用的 SLIP 接口， 然后运行 shell 脚本 /etc/sliphome/slip.login 以配置 SLIP 接口。 一个SLIP服务器登录的例子 例如， 如果一个SLIP用户的ID是Shelmerg， 在/etc/master.passwd中Shelmerg的项如下的所示： Shelmerg:password:1964:89::0:0:Guy Helmer - SLIP:/usr/users/Shelmerg:/usr/sbin/sliplogin Shelmerg登录时， sliplogin在文件 /etc/sliphome/slip.hosts中搜索与用户ID匹配的行;如下所示： Shelmerg dc-slip sl-helmer 0xfffffc00 autocomp sliplogin找到这条区配行， 并将串行线与另一个可用的SLIP接口连起来， 然后执行/etc/sliphome/slip.login脚本： /etc/sliphome/slip.login 0 19200 Shelmerg dc-slip sl-helmer 0xfffffc00 autocomp 如果一切顺利 /etc/sliphome/slip.login 将在 sliplogin 绑定的 SLIP 接口上发出 ifconfig (前述的例子中是 SLIP 接口 0， 这是 slip.login 的第一个参数)， 以设置本地 IP 地址 (dc-slip)、 远程 IP 地址 (sl-helmer)、 这一 SLIP 接口的子网掩码 (0xfffffc00)， 以及任何其他标志 (autocomp)。 如果发生错误， sliplogin 通常会通过 syslogd 的 daemon facility 记下有用的信息， 前者会把这些信息保存到 /var/log/messages (参见 &man.syslogd.8; 和 &man.syslog.conf.5; 以及 /etc/syslog.conf 的联机手册， 以了解 syslogd 在记录什么， 以及这些内容将被记在哪里)。 内核配置 kernelconfiguration SLIP &os; 的默认内核 (GENERIC) 提供了 SLIP (&man.sl.4;) 支持； 使用定制的内核时， 您必须把下面的设置加入到配置文件： device sl 默认情况下， 您的 &os; 计算机不会转发包。 如果您希望将 FreeBSD SLIP 服务器作为路由器使用， 就需要修改 /etc/rc.conf 文件， 并加入一项将 gateway_enable 变量设为 的设制。 接下来需要重新启动以便使新设置生效。 请参见 以了解如何配置 FreeBSD 内核， 并获得在重新配置内核方面的指导。 Sliplogin配置 正如先前所提到的， /etc/sliphome目录有三个文件构成/usr/sbin/sliplogin的配置 (参考sliplogin的联机手册&man.sliplogin.8;)：slip.hosts， 定义SLIP用户及有关IP地址; slip.login， 一般只配置SLIP接口; 文件 slip.logout(可选的)， 串行连接终止时， 撤消slip.login所做的修改。 配置 <filename>slip.hosts</filename> /etc/sliphome/slip.hosts里的每行包含至少四个元素， 元素之间由空格隔开： SLIP用户的登录ID SLIP连接的本地地址(指SLIP服务器) SLIP连接的远程地址 网络掩网 本地和远程地址可以是主机名 (通过文件/etc/hosts或者域名服务解析为IP地址， 这取决于文件/etc/nsswitch.conf 中的设置)， 网络掩网可以是一个 能通过文件/etc/networks解析的名字。 在一个样例系统中， /etc/sliphome/slip.hosts是这样的： # # login local-addr remote-addr mask opt1 opt2 # (normal,compress,noicmp) # Shelmerg dc-slip sl-helmerg 0xfffffc00 autocomp 在这行末尾是一或多个选项： —不压缩报头 — 压缩报头 —如果远程端允许， 压缩报头 —禁用ICMP数据包 (这样就会丢弃所有的ping数据包， 不占用您的带宽) SLIP TCP/IP networking 对SLIP连接的本地及远程地址的选择取决是您是准备在SLIP服务器上使用 TCP/IP 子网还是使用ARP代理 (它并不是真正的ARP代理， 而是我们在本节用于介绍的术语)。 如果您不能确定选择何种方式或者如何分配地址， 请参考"前提条件"()里列出的TCP/IP书籍 或者向您的IP网络管理员请教。 如果打算为您的 SLIP 客户使用一个独立的子网， 就需要先从分配得到的网络号中取出一个子网号， 然后再在这个子网里给每个 SLIP 客户分配 IP 地址。 接下来， 您还需要通过 SLIP 服务器在最近的 IP 路由器上配置一个指向 SLIP 子网的静态路由。 Ethernet 如果您要使用 代理 ARP的方式， 您需要从SLIP服务器的以太子网中为每个SLIP客户分配IP地址， 还必须修改/etc/sliphome/slip.login 和 /etc/sliphome/slip.logout脚本以使用 &man.arp.8;来管理proxy-ARP在服务器ARP表中的项。 <filename>slip.login</filename> Configuration 典型的/etc/sliphome/slip.login 如下所示： #!/bin/sh - # # @(#)slip.login 5.1 (Berkeley) 7/1/90 # # generic login file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 inet $4 $5 netmask $6 这个slip.login脚本仅仅为带有相应本地及远程地址和掩码的SLIP接口执行 ifconfig。 如果您决定使用ARP代理 方式(而非为您的SLIP客户使用独立的子网)， 您的/etc/sliphome/slip.login 应该是这样： #!/bin/sh - # # @(#)slip.login 5.1 (Berkeley) 7/1/90 # # generic login file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 inet $4 $5 netmask $6 # Answer ARP requests for the SLIP client with our Ethernet addr /usr/sbin/arp -s $5 00:11:22:33:44:55 pub slip.login新加的行arp -s $5 00:11:22:33:44:55 pub 在 SLIP 服务器的 ARP 表中加入了一个表项。 这个ARP项使得每当这个以太网上的其它 IP 节点对 SLIP 客户端 IP 地址进行 ARP 请求时， SLIP 服务器会以自已的以太网MAC地址作为回应。 Ethernet (以太网)MAC address (MAC 地址) 当使用以上的例子时， 一定要将 以太网MAC地址(00:11:22:33:44:55)替换成您系统网卡的MAC地址， 否则ARP代理将 完全无法工作!您可以查看netstat -i输出结果以取得以太网MAC地址; 输出的第二行应该是这样： ed0 1500 <Link>0.2.c1.28.5f.4a 191923 0 129457 0 116 这行表明这个系统的以太网MAC地址是00:02:c1:28:5f:4a —netstat -i输出的以太网MAC地址必须改成用冒号隔开， 并且要单个十六进数前加上。 这是&man.arp.8;要求的格式; 参考&man.arp.8; 的联机手册以获取完整的使用方法。 在编写 /etc/sliphome/slip.login 和 /etc/sliphome/slip.logout 时， 一定要设置 可执行 (execute) 位 (换言之， chmod 755 /etc/sliphome/slip.login /etc/sliphome/slip.logout)， 否则 sliplogin将无法执行它。 <filename>slip.logout</filename>配置 /etc/sliphome/slip.logout并不是必需的 (除非您使用了ARP代理)， 如果您准备创建它， 这里有一个基本的 slip.logout 脚本的例子： #!/bin/sh - # # slip.logout # # logout file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 down 如果使用了 代理 ARP， 则可能希望 /etc/sliphome/slip.logout 在用户注销时自动为 SLIP 客户端删除 ARP 项： #!/bin/sh - # # @(#)slip.logout # # logout file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 down # Quit answering ARP requests for the SLIP client /usr/sbin/arp -d $5 arp -d $5 将删除由 代理 ARP slip.login 在 SLIP 客户程序登录时所生成的 ARP 项。 再次强调： 建立 /etc/sliphome/slip.logout 之后， 一定要设置可执行位 (也就是说， chmod 755 /etc/sliphome/slip.logout)。 路由考虑 SLIP routing 如果没有使用 代理 ARP 的方法来在您的 SLIP 客户机和网络的其余部分 (也可能是 Internet) 之间路由数据包， 您可能需要增加离您最近的默认路由器的静态路由， 以便通过 SLIP 服务器来在 SLIP 客户机子网上进行路由。 静态路由 static routes 向您最近的默认路由添加一个静态路由可以说是很麻烦 (或者说是不可能， 如果您没有权限这么做)。 如果在您的组织中使用多路由器网络， 有些路由器 (比如 Cisco 和 Proteon 生产的) 不但要配置指向 SLIP 子网的路由， 而且还需要配置将哪些静态路由传给其它的路由器。 所以一些专家意见和问题解答对于使基于静态路由表的路由正常工作很有必要。 运行<application>&gated;</application> &gated; &gated;现在是一个私有软件， 因而您无法得到其源代码 (在 &gated; 上提供了进一步的详情)。 这一节内容主要是为了确保与仍在使用旧版软件的用户兼容而保留。 另一种避免静态路由所造成的头疼的方法， 是在您的 FreeBSD SLIP 服务器上安装 &gated;， 并配置它使用合适的路由协议 (RIP/OSPF/BGP/EGP) 来告诉其他路由器您的 SLIP 子网的存在。 您需要编写一个 /etc/gated.conf 文件来配置 &gated;； 这里是 FreeBSD SLIP 服务器作者编写的一个例子： # # gated configuration file for dc.dsu.edu; for gated version 3.5alpha5 # Only broadcast RIP information for xxx.xxx.yy out the ed Ethernet interface # # # tracing options # traceoptions "/var/tmp/gated.output" replace size 100k files 2 general ; rip yes { interface sl noripout noripin ; interface ed ripin ripout version 1 ; traceoptions route ; } ; # # Turn on a bunch of tracing info for the interface to the kernel: kernel { traceoptions remnants request routes info interface ; } ; # # Propagate the route to xxx.xxx.yy out the Ethernet interface via RIP # export proto rip interface ed { proto direct { xxx.xxx.yy mask 255.255.252.0 metric 1; # SLIP connections } ; } ; # # Accept routes from RIP via ed Ethernet interfaces import proto rip interface ed { all ; } ; RIP 上面这个 gated.conf 示例文件， 将把关于 SLIP 子网 xxx.xxx.yy 的信息， 通过 RIP 广播到 Ethernet 上； 如果您使用了的 Ethernet 驱动不是 ed， 则需要把 ed 改为相应的网络接口。 这个例子也配置了将跟踪信息写到 /var/tmp/gated.output 以提供调试 &gated; 活动的信息； 当然， 如果 &gated; 工作正常， 就可以关闭这些跟踪信息了。 您需要把 xxx.xxx.yy 改成您自己的 SLIP 子网 (一定要同时修改 proto direct 小节)。 一旦在系统中安装并配置了 &gated;， 就可以告诉 FreeBSD 启动脚本来运行 &gated; 而不是 routed 了。 最简单的办法，是配置 router 和 router_flags 两个 /etc/rc.conf 变量。 请参见 &gated; 的联机手册， 以了解更多关于命令行参数的信息。 diff --git a/zh_CN.GB2312/books/handbook/security/chapter.sgml b/zh_CN.GB2312/books/handbook/security/chapter.sgml index 5279cf8074..8d1b7fa1bd 100644 --- a/zh_CN.GB2312/books/handbook/security/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/security/chapter.sgml @@ -1,4427 +1,4427 @@ Matthew Dillon 这一章的许多内容来自 security(7) 联机手册，其作者是 安全 security 概述 这一章将对系统安全的基本概念进行介绍， 除此之外， 还将介绍一些好的习惯， 以及 &os; 下的一些更深入的话题。 这章的许多内容对于一般的系统和 Internet 安全也适用。 如今， Internet 已经不再像以前那样是一个人人都愿意与您作好邻居的 友善 的地方。 让系统更加安全， 将保护您的数据、 智力财产、 时间， 以及其他很多东西不至于被入侵者或心存恶意的人所窃取。 &os; 提供了一系列工具和机制来保证您的系统和网络的完整及安全。 读完这章，您将了解： 基本的 &os; 系统安全概念。 &os; 中众多可用的密码学设施，例如 DES 和 MD5。 如何设置一次性口令验证机制。 如何配置 TCP Wrappers 以便与 inetd 配合使用。 如何在 &os; 5.0 以前的版本上设置 KerberosIV。 如何在 &os; 上设置 Kerberos5。 如何配置 IPsec 并在 &os;/&windows; 机器之间建构 VPN。 如何配置并使用 OpenSSH，以及 &os; 的 SSH 执行方式。 系统 ACL 的概念，以及如何使用它们。 如何使用 Portaudit 工具来审核从 Ports Collection 安装的第三方软件包的安全性。 如何从 &os; 的安全公告中获得有用信息并采取相应措施。 对于进程记帐功能的感性认识， 并了解如何在 &os; 中启用它。 在开始阅读这章之前，您需要： 理解基本的 &os; 和 Internet 概念。 其他安全方面的话题， 则贯穿本书的始终。 例如， 强制性访问控制 (MAC) 在 中进行了介绍， 而 Internet 防火墙则在 中进行了讨论。 介绍 安全是系统管理员自始至终的基本要求。 由于所有的 BSD &unix; 多用户系统都提供了与生俱来的安全性， 因此建立和维护额外的安全机制， 确保用户的 诚实 可能也就是最需要系统管理员考虑的艰巨的工作了。 机器的安全性取决于您设置的安全设施， 而许多安全方面的考虑， 则会与人们使用计算机时的便利性相矛盾。 一般来说， &unix; 系统能够胜任数目众多进程并发地处理各类任务， 这其中的许多进程是以服务身份运行的 — 这意味着， 外部实体能够与它们互联并产生会话交互。 如今的桌面系统， 已经能够达到许多昔日的小型机甚至主机的性能， 而随着这些计算机的联网和在更大范围内完成互联， 安全也成为了一个日益严峻的课题。 系统的安全也应能够应付各种形式的攻击， 这也包括那些使系统崩溃， 或阻止其正常运转， 但并不试图窃取 root 帐号 (破译 root) 的攻击形式。 安全问题大体可分为以下几类： 拒绝服务攻击。 窃取其他用户的帐户。 通过可访问服务窃取root帐户。 通过用户帐户窃取root帐户。 建立后门。 DoS 攻击 拒绝服务攻击 (DoS) 安全 DoS 攻击 拒绝服务攻击 (DoS) 拒绝服务攻击 (DoS) 拒绝式服务攻击是侵占机器所需资源的一种行为。 通常， DoS 攻击采用暴力(brute-force)手段通过压倒性的流量来破坏服务器和网络栈， 以使机器崩溃或无法使用。 某些 DoS 攻击则利用在网络栈中的错误， 仅用一个简单的信息包就可以让机器崩溃， 这类情况通常只能通过给内核打补丁来修复。 在一些不利的条件下， 对服务器的攻击能够被修复， 只要适当地修改一下系统的选项来限制系统对服务器的负荷。 顽强的网络攻击是很难对付的。 例如，一个欺骗性信息包的攻击， 无法阻止入侵者切断您的系统与Internet的连接。 它不会使您的机器死掉，但它会把Internet连接占满。 security 窃取用户帐户 窃取用户帐户要比D.o.S.攻击更加普遍。 许多系统管理员仍然在他们的服务器上运行着基本的 telnetd，rlogind， rshd 和 ftpd 服务。 这些服务在默认情况下不会以加密连接来操作。 结果是如果您的系统有中等规模大小的用户群， 在通过远程登录的方式登录到您系统的用户中， 一些人的口令会被人窃取。 仔细的系统管理员会从那些成功登录系统的远程访问日志中寻找可疑的源地址。 通常必须假定，如果一个入侵者已经访问到了一个用户的帐户， 那么它就可能使自己成为 root。 然而， 事实是在一个安全和维护做得很好的系统中， 访问用户的帐户不一定会让入侵者成为 root。 这个差别是很重要的，因为没有成为 root 则入侵者通常是无法隐藏它的轨迹的， 而且， 如果走运的话， 除了让用户的文件乱掉和系统崩溃之外， 它不能做什么别的事情。 窃取用户帐户是很普遍的事情， 因为用户往往不会对系统管理员的警告采取措施。 security 后门 系统管理员必须牢牢记住，可能有许多潜在的方法会使他们机器上的 root 用户受到威胁。入侵者可能知道 root 的口令，而如果在以 root 权限运行的服务器上找到一个缺陷 (bug)， 就可以通过网络连接到那台服务器上达到目的；另外， 一旦入侵者已经侵入了一个用户的帐户， 可以在自己的机器上运行一个 suid-root 程序来发现服务器的漏洞， 从而让他侵入到服务器并获取 root。 攻击者找到了入侵一台机器上 root 的途径之后， 他们就不再需要安装后门了。许多 root 漏洞被发现并修正之后， 入侵者会想尽办法去删除日志来消除自己的访问痕迹， 所以他们会安装后门。 后门能给入侵者提供一个简单的方法来重新获取访问系统的 root 权限， 但它也会给聪明的系统管理员一个检测入侵的简便方法。 让入侵者无法安装后门事实上对您的系统安全是有害的， 因为这样并不会修复那些侵入系统的入侵者所发现的新漏洞。 安全的管理方法应当使用像 洋葱皮 一样多层次的方法来实现， 这些措施可以按下面的方式进行分类： 确保 root 和维护人员帐户的安全。 确保 root – 以root用户权限运行的服务器和suid/sgid可执行程序的安全。 确保用户帐户的安全。 确保口令文件的安全。 确保内核中核心组件、直接访问设备和文件系统的安全。 快速检测系统中发生的不适当的变化。 做个偏执狂。 这一章的下一节将比较深入地讲述上面提到的每一个条目。 确保 &os; 的安全 security 确保 &os; 的安全 命令与协议 在这份文档中，我们使用 粗体 来表示应用程序， 并使用 单倍距 字体来表示命令。 这样的排版区分能够有效地区分类似 ssh 这样的概念， 因为它既可以表示命令，又可以表示协议。 接下来的几节中， 将介绍在这一章中 前一节 中所介绍的那些加强 &os; 系统安全性的手段。 确保 <username>root</username> 和维护人员帐户的安全 su 首先，如果您没有确保 root 帐户的安全， 就没必要先劳神确保用户帐户的安全了。绝大多数系统都会指派一个口令给 root 帐户。 我们的第一个假定是，口令 总是 不安全的。 这并不意味着您要把口令删掉。 口令通常对访问机器的控制台来说是必须的。 也就是说， 您应该避免允许在控制台以外的地方使用口令， 甚至包括使用 &man.su.1; 命令的情形。 例如，确信您的 pty 终端在 /etc/ttys 文件中被指定为 insecure (不安全)，这将使直接通过 telnet 或 rlogin 登录 root 会不被接受。 如果使用如 sshd 这样的其他登录服务， 也要确认直接登录 root 是关闭的。您可以通过编辑 /etc/ssh/sshd_config 文件来做到这一点，确信 PermitRootLogin 被设置成 NO。 考虑到每一种访问方法 — 如FTP这样的服务， 以免因为它们而导致安全性的损失。 直接登录 root 只有通过系统控制台才被允许。 wheel 当然， 作为一个系统管理员， 您应当获得 root身份， 因此， 我们开了一些后门来允许自己进入。 但这些后门只有在经过了额外的口令确认之后才能使用。 一种让 root 可访问的方法是增加适当的用户帐户到 wheel 组 (在 /etc/group 中)。wheel 组中的用户成员可以使用 su 命令来成为 root。 绝对不应该通过在口令项中进行设置来赋予维护人员天然的 wheel 组成员身份。 维护人员应被放置在 staff 组中，然后通过 /etc/group 文件加入到 wheel 组。事实上，只有那些需要以 root 身份进行操作的用户才需要放进 wheel 组中。 当然，也可以通过 某种其它的验证手段，例如 Kerberos，可以通过 root 帐户中的 .k5login 文件来允许执行 &man.ksu.1; 成为 root ，而不必把它们放进 wheel 组。 这可能是一种更好的解决方案， 因为 wheel 机制仍然可能导致入侵者获得 root ，如果他拿到了口令文件，并能够进入职员的帐户。 尽管有 wheel 比什么都没有要强一些， 但它并不是一种绝对安全的办法。 一种间接地提高员工帐号， 乃至 root 权限安全性的方法， 便是采用其他的登录访问方式， 并使用 星号 替代员工加密的口令。使用 &man.vipw.8; 命令， 可以把每一个加密的口令替换成一个 * 符。 这将更新 /etc/master.passwd 文件，以及 用户名/口令数据库，以禁用口令登录。 如下面的员工帐号 foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh 应被改为： foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh 这一更改将阻止一般的登录，因为加密的口令永远不会与 * 匹配。一旦这么做之后， 任何员工都必须使用其他的方式来完成登录，例如，使用 &man.kerberos.1; 或者通过 &man.ssh.1; 利用 公钥/密钥对 的方式来完成登录。当使用 Kerberos 这样的工具时，通常必须加强运行 Kerberos 的服务器，以及桌面工作站的安全性。当使用 公钥/密钥对以 ssh 登录时，通常必须加固用户 开始 登录的那台机器的安全 (通常这是他们的工作站)。 在这之上还可以增加一层安全性，即在使用 &man.ssh-keygen.1; 生成它的时候，使用口令来保护它们。 如果能够用 星号 替换掉所有员工的口令， 那么，这也就保证了他们只能通过您设置的安全的方法来登录。 这将迫使所有的员工使用安全的、经过加密的连接来完成他们的会话， 而这将使得入侵者通过监听网络通讯， 从某些不相关的、 不太安全的机器上窃取口令成为不可能。 另一种间接的安全机制则是， 从严格受限的机器向限制更宽松的机器上登录。 例如， 如果您的服务器运行了所有的服务，那么，工作站应该什么都不运行。 为了让工作站尽可能地安全，应该避免运行任何没有必要的服务， 甚至不运行任何服务。 另外， 也应该考虑使用带口令保护功能的屏幕保护程序。 毋庸置疑， 如果攻击者能够物理地接触您的工作站， 那么他就有能力破坏任何安全设施，这确实是我们需要考虑的一个问题，但同样地， 真正能够物理接触您的工作站或服务器并实施攻击的人在现实生活中并不常见， 绝大多数攻击来自于网络， 而攻击者往往无法物理地接触服务器或工作站。 KerberosIV 使用类似 Kerberos 这样的工具，也为我们提供了使用一个工具来禁用某个用户， 或修改他们的口令， 并在所有机器上立即生效的方法。 如果员工的帐号被窃取， 能够在所有的其他机器上生效的口令变更将很有意义。如果口令分散地保存在多个机器上， 一次修改 N 台机器上的口令很可能是一件痛苦的事情。 此外， Kerberos 还能够提供更多的限制，除了 Kerberos 令牌有很好的过期机制之外， 它还能够强制用户在某个特定的期限内修改口令(比如说，每月一次). 确保以root用户权限运行的服务器和suid/sgid可执行程序的安全 ntalk comsat finger sandboxes sshd telnetd rshd rlogind 谨慎的管理员只运行他们需要的服务， 不多， 不少。 要当心第三方的服务程序很可能有更多的问题。 例如， 运行旧版的 imapd 或 popper 无异于将 root 令牌拱手送给全世界的攻击者。 永远不要运行那些您没有仔细检查过的服务程序， 另外也要知道， 许多服务程序并不需要以 root 的身份运行。 例如， ntalk、 comsat， 以及 finger 这些服务， 都能够以一种被称作 沙盒 的特殊用户的身份运行。 除非您已经解决掉了许多麻烦的问题， 否则沙盒就不是完美的， 但洋葱式安全规则仍然成立： 如果有人设法攻破了在沙盒中运行的程序， 那么在做更多坏事之前， 他们还必须想办法攻破沙盒本身的限制。 攻击者需要攻破的层次越多， 他们成功的可能性就越小。 过去， 破解 root 的漏洞几乎在所有以 root 身份运行的服务上都发现过， 包括那些基本的系统服务。 如果您的机器只打算向外界提供 sshd 登录， 而用户不会使用 telnetd 或 rshd 甚至 rlogind 登录， 就应该毫不犹豫地关闭它们！ &os; 现在默认在沙盒中运行 ntalkd, comsat, 以及 finger。此外， &man.named.8; 也可以这样运行。 /etc/defaults/rc.conf 中包括了如何如此运行 named 的方法，只是这些内容被注释掉了。 如何升级或安装系统将决定这些沙盒所使用的特殊用户是否被自动安装。 谨慎的系统管理员将根据需要研究并实现沙盒。 sendmail 此外，还有一些服务通常并不在沙盒中运行： sendmail, popper, imapd, ftpd, 以及一些其他的服务。当然，它们有一些替代品，但安装那些服务可能需要做更多额外的工作。 可能必须以 root 身份运行这些程序， 并通过其他机制来检测入侵。 系统中另一个比较大的 root 漏洞 是安装在其中的 suid-root 和 sgid 的可执行文件。绝大多数这类程序， 例如 rlogin, 被存放于 /bin, /sbin, /usr/bin, 或 /usr/sbin 中。 尽管并没有 100% 的安全保证，但系统默认的 suid 和 sgid 可执行文件通常是相对安全的。 当然，偶尔也会发现一些存在于这些可执行文件中的 root 漏洞。1998年，Xlib 中发现了一处 root 漏洞，这使得 xterm (通常是做了suid的) 变得可以入侵。 做得安全些， 总比出现问题再后悔要强。 因此，谨慎的管理员通常会限制 suid 可执行文件， 并保证只有员工帐号能够执行它们，或只开放给特定的用户组，甚至彻底干掉 (chmod 000) 任何 suid 可执行文件， 以至于没有人能够执行它们。没有显示设备的服务器通常不会需要 xterm 可执行文件。 sgid 可执行文件通常同样地危险。 一旦入侵者攻克了sgid-kmem，那么他就能够读取 /dev/kmem 并进而读取经过加密的口令文件， 从而窃取任何包含口令的帐号。另外，攻破了 kmem 的入侵者能够监视通过 pty 传送的按键序列，即使用户使用的是安全的登录方式。 攻破了 tty 组的用户则能够向几乎所有用户的 tty 写入数据。如果用户正在运行一个终端程序，或包含了键盘模拟功能的终端仿真程序， 那么，入侵者能够以那个用户的身份执行任何命令。 确保用户帐户的安全 用户帐号的安全通常是最难保证的。虽然您可以为您的员工设置严苛的登录限制， 并用 星号 替换掉他们的口令， 但您可能无法对普通的用户这么做。 如果有足够的决策权， 那么在保证用户帐号安全的斗争中或许会处于优势， 但如果不是这样， 您能做的只是警惕地监控这些帐号的异动。 让用户使用 ssh 或 Kerberos 可能会有更多的问题， 因为需要更多的管理和技术支持， 尽管如此， 与使用加密的口令文件相比， 这仍不失为一个好办法。 确保口令文件的安全 能够确保起作用的唯一一种方法， 是将口令文件中尽可能多的口令用星号代替， 并通过 ssh 或 Kerberos 来使用这些账号。 即使只有 root 用户能够读取加密过的口令文件 (/etc/spwd.db)， 入侵者仍然可能设法读到它的内容， 即使他暂时还无法写入这个文件。 您的安全脚本应该经常检查并报告口令文件的异动 (参见后面的 检查文件完整性 一节)。 确保内核中内核设备、直接访问设备和文件系统的安全 如果攻击者已经拿到了 root 那么他就有能力作任何事情， 当然， 有一些事情是他们比较喜欢干的。 例如， 绝大多数现代的内核都包括一个内建的听包设备。 在 &os; 中，这个设备被称作 bpf 。攻击者通常会尝试在攻克的系统上运行它。 如果您不需要 bpf 设备提供的功能，那么，就不要把它编入内核。 sysctl 但即使已经关掉了 bpf 设备，您仍然需要担心 /dev/mem 和 /dev/kmem 。 就事论事地说，攻击者仍然能够通过直接访问的方式写入磁盘设备。同样地， 还有一个被称作模块加载器， &man.kldload.8; 的机制，也会包含潜在的危险。 尝试入侵企业网络的入侵者会尝试在正在运行的内核上安装他自己的 bpf 设备，或其他听包设备。为了防止这些问题， 需要抬高内核安全级， 至少调整到 1。 可以通过对 kern.securelevel 执行 sysctl 来完成这个任务。 一旦把安全级调整到1， 对于直接访问设备的写入操作将被拒绝， 而特殊的 chflags 标记， 如 schg， 也将强制执行。 一定要在重要的启动执行文件、 目录和脚本文件上设置 schg 标记 — 不要漏过在安全级生效之前将被运行的任何文件。 这可能做得有些过火， 并将导致在较高安全级上运行时升级系统变得困难。 您也可以略微做些妥协， 即以较高的安全级运行， 但并不将系统文件和目录配置为 schg。 另一种可行的方法是把 / 和 /usr 以只读方式挂接。 请注意， 如果保护措施做的过分的严苛， 则可能导致入侵检测无法进行， 而这种检测是安全中十分重要的一环。 检查文件完整性: 可执行文件，配置文件和其他文件 当实施严格的限制时，往往会在使用的方便性上付出代价。例如，使用 chflags 来把 schg 标记 应用到 / 和 /usr 中的绝大多数文件上可能会起到反作用， 因为尽管它能够保护那些文件， 但同时也使入侵检测无法进行。 层次化安全的最后一层可能也是最重要的 — 检测。 如果无法检测出潜在的入侵行为， 那么安全的其他部分可能相对来讲意义可能就不那么大了 (或者，更糟糕的事情是， 那些措施会给您安全的假象)。 层次化安全最重要的功能是减缓入侵者， 而不是彻底不让他们入侵， 这样才可能当场抓住入侵者。 检测入侵的一种好办法是查找那些被修改、 删除或添加的文件。 检测文件修改的最佳方法是与某个 (通常是中央的) 受限访问的系统上的文件进行比对。 在一台严格限制访问的系统上撰写您的安全脚本通常不能够被入侵者察觉， 因此，这非常重要。为了最大限度地发挥这一策略的优势，通常会使用只读的 NFS， 或者设置 ssh 钥匙对以便为其他机器提供访问。除了网络交互之外， NFS可能是一种很难被察觉的方法 — 它允许您监控每一台客户机上的文件系统， 而这种监控几乎是无法察觉的。如果一台严格受限的服务器和客户机是通过交换机连接的， 那么 NFS 将是一种非常好的方式。 不过，如果那台监控服务器和客户机之间通过集线器 (Hub)，或经过许多层的路由来连接，则这种方式就很不安全了， 此时，应考虑使用 ssh ，即使这可以在审计记录中查到。 一旦为这个受限的机器赋予了至少读取它应监控的客户系统的权限， 就应该为实际的监控撰写脚本。以 NFS 挂接为例，可以用类似 &man.find.1; 和 &man.md5.1; 这样的命令为基础来完成我们所需的工作。 最好能够每天对被控机的所有执行文件计算一遍 md5，同时，还应以更高的频率测试那些 /etc 和 /usr/local/etc 中的控制文件。一旦发现了不匹配的情形，监控机应立即通知系统管理员。 好的安全脚本也应该检查在系统分区，如 / 和 /usr 中是否有新增或删除的可执行文件，以及不适宜的 suid 。 如果打算使用 ssh 来代替 NFS，那么撰写安全脚本将变得困难许多。 本质上，需要在脚本中使用 scp 在客户端复制文件， 另一方面，用于检查的执行文件 (例如 find) 也需要使用 scp 传到客户端，因为 ssh 客户程序很可能已经被攻陷。 总之，在一条不够安全的链路上 ssh 可能是必须的， 但也必须应付它所带来的难题。 安全脚本还应该检查用户以及职员成员的权限设置文件： .rhosts、 .shosts、 .ssh/authorized_keys 等等。 这些文件可能并非通过 MD5 来进行检查。 如果您的用户磁盘空间很大， 检查这种分区上面的文件可能非常耗时。 这种情况下， 采用标志来禁止使用 suid 可执行文件和设备在这些文件系统上出现将是一个好主意。 您可能会想看看 nodev 和 nosuid 这两个选项 (参见 &man.mount.8;)。 尽管如此， 这些扫描仍然应该至少每周进行一次， 这样做的意义并不是检测有效的攻击， 而是检查攻击企图。 进程记帐 (参见 &man.accton.8;) 是一种相对成本较低的， 可以帮助您在被入侵后评估损失的机制。 对于找出入侵者是如何进入系统的这件事情来说， 它会非常的有所助益，特别是当入侵者什么文件都没有修改的情况下。 最后， 安全脚本应该处理日志文件， 而日志文件本身应该通过尽可能安全的方法生成 — 远程 syslog 可能非常有用。 入侵者会试图掩盖他们的踪迹， 而日志文件对于希望了解入侵发生时间的系统管理员来说则显得尤为重要。 保持日志文件的永久性记录的一种方法是在串口上运行系统控制台， 并在一台安全的机器上收集这些信息。 偏执 带点偏执不会带来伤害。作为一种惯例， 系统管理员在不影响使用的便利的前提下可以启用任何安全特性，此外， 在经过深思熟虑之后，也可以增加一些 确实会 让使用变得不那么方便的安全特性。 更重要的是，有安全意识的管理员应该学会混合不同的安全策略 — 如果您逐字逐句地按照这份文档来配置您的机器， 那无异于向那些同样能得到这份文档的攻击者透露了更多的信息。 拒绝服务攻击 拒绝服务 (DoS) 这一节将介绍拒绝服务攻击。 DoS 攻击通常是基于数据包的攻击， 尽管几乎没有任何办法来阻止大量的伪造数据包耗尽网络资源， 但通常可以通过一些手段来限制这类攻击的损害，使它们无法击垮服务器： 限制服务进程 fork。 限制 springboard 攻击 (ICMP 响应攻击， ping 广播，等等)。 使内核路由缓存过载。 一种比较常见的 DoS 攻击情形， 是通过攻击复制进程 (fork) 的服务， 使其产生大量子进程， 从而是其运行的机器耗尽内存、 文件描述符等资源， 直到服务器彻底死掉。 inetd (参见 &man.inetd.8;) 提供了许多选项来限制这类攻击。 需要注意的是， 尽管能够阻止一台机器彻底垮掉， 但通常无法防止服务本身被击垮。 请仔细阅读 inetd 的联机手册， 特别是它的 、 以及 这三个选项。 伪造 IP 攻击能够绕过 inetd 的 选项， 因此， 这些选项需要配合使用。 某些独立的服务器也有类似的限制参数。 例如， Sendmail 就提供了自己的 - 选项， 它通常比 sendmail 的负载限制选项更为有效， + 选项， 它通常比 Sendmail 的负载限制选项更为有效， 因为服务器负载的计算有滞后性。 您可以在启动 sendmail 时指定一个 - MaxDaemonChildren 参数， 把它设的足够高以便承载您所需要的负荷， - 当然， 不要高到足以让运行 sendmails 的机器死掉。 + MaxDaemonChildren 参数； 把它设的足够高以便承载您所需要的负荷， + 当然， 不要高到足以让运行 Sendmail 的机器死掉。 此外， 以队列模式 - () 并把服务程序 + () 运行 Sendmail 并把服务程序 (sendmail -bd) 和队列执行程序分别执行 (sendmail -q15m) 也是一个好主意。 如果您希望保证队列的实时性， 可以考虑使用更短的间隔， 例如 ， 但同时也需要指定一个合理的子进程数， 也就是通过 MaxDaemonChildren 选项以免 - 那个 sendmail 造成重叠的故障。 + 那个 Sendmail 造成重叠的故障。 Syslogd 可以被直接地攻击，因此， 强烈建议只要可行，就在启动它的时候加上 参数， 其他情况下，则至少应该加上 。 对于基于连接的服务，例如 TCP Wrapper 的 reverse-identd， 都应该格外的小心， 因为它们都可能直接遭受攻击。 一般情况下， 基于安全考虑， 不应使用 TCP Wrapper 所提供的 reverse-ident 这样的功能。 此外， 将内部服务保护起来， 阻止来自其他主机的访问也十分重要， 这些工作可以通过设置边界路由器来完成。 主要的想法， 是阻止来自您的 LAN 以外的访问， 这有助于避免 root 受到攻击。 尽可能配置排他式的防火墙， 例如， 用防火墙阻止所有的网络流量 除了 端口 A、B、 C、D，以及 M-Z。 通过采用这种方法， 您可以很容易地将低端口的访问阻止在外， 而又不难配置使防火墙放过那些明确需要开放的服务， 例如 named (如果您的机器准备作为域的主要解析服务器)， ntalkd， sendmail，以及其他可以从 Internet 访问的服务。 如果您尝试以其他方式配置防火墙 — 采用比较宽松的策略， 那么您将很有可能忘记 关掉 一两个服务， 或者在增加了一些服务之后忘记更新防火墙策略。 尽管如此， 仍然可以考虑允许让数据进入编号较高的那一部分端口， 这将保证那些需要这样特性的服务能够正常工作， 而又不影响低端口服务的安全性。 此外， 还应注意到 &os; 允许您来控制动态绑定的端口的范围， 即一系列 net.inet.ip.portrange 变量，通过 sysctl 来完成设置。 (sysctl -a | fgrep portrange)。 这使得您完成较复杂的防火墙策略变得易如反掌。 例如， 您可能希望普通的高段端口的起止范围是 4000 到 5000， 而更高范围则是 49152 到 65535， 随后在防火墙中阻止低于 4000 的所有端口 (当然， 除了那些特地为 Internet 访问而开设的端口)。 另一种常被称作 springboard 的攻击也是非常常见的 DoS 攻击 — 它通过使服务器产生其无法处理的响应来达到目的。 最常见的攻击就是 ICMP ping 广播攻击。 攻击者通过伪造 ping 包， 将其源 IP 设置为希望攻击的机器的 IP。 如果您的边界路由器没有进行禁止 ping 广播地址的设置， 则您的网络将最终陷于响应伪造的 ping 包之中， 特别是当攻击者同时使用了多个不同的网络时。 广播攻击能够产生超过 120 兆位的瞬时流量。 另一种常见的针对 ICMP 错误报告系统的 springboard 攻击， 通过建立可以生成 ICMP 出错响应的包， 攻击者能够攻击服务器的网络下行资源， 并导致其上行资源耗尽。 这种类型的攻击也可以通过耗尽内存来使得使得被攻击的服务器崩溃， 特别是当这些服务器无法足够快地完成 ICMP 响应的时候。 较新的内核可以通过调整 sysctl 变量 net.inet.icmp.icmplim 来限制这种攻击。 最后一类主要的 springboard 是针对某些 inetd 的内部服务， 例如 udp echo 服务进行的。 攻击者简单地伪造一个来自服务器 A 的 echo 口的 UDP 包， 然后将这个包发到 B 的 echo 口。 于是， 两台服务器将不停地将包弹给对方。 攻击者能够将两台服务器的这种服务都耗竭， 并且通过这种方式， 只需要很少的包就可以让 LAN 超载。 类似的问题对 chargen 口也是存在的。 好的系统管理员应该关闭这些 inetd 的测试服务。 伪造的包攻击也可以用来使内核的路由缓存过载。 请参考 net.inet.ip.rtexpire， rtminexpire， 以及 rtmaxcache sysctl 参数。 伪造的包可以用随机的源 IP 攻击， 使得内核在路由表中产生一个临时的缓存项， 它可以通过 netstat -rna | fgrep W3 看到。 这些路由通常需要 1600 秒才会过期。 如果内核发现路由表变得太大， 它会动态地降低 rtexpire 但以 rtminexpire 为限。 这引发了两个问题： 在访问量不大的服务器上， 内核对于突然袭击的反应不够快。 rtminexpire 的值没有低到让内核在此类攻击时活下去的程度。 如果您的服务器通过 T3 或更快的线路接入 Internet， 那么通过 &man.sysctl.8; 来手动地降低 rtexpire 和 rtminexpire 就非常必要。 当然，绝不要把它们设置为零 (除非您想让机器崩溃) 将这两个参数设置为 2 通常已经足以抵御这类攻击了。 Kerberos 和 SSH 的访问问题 ssh KerberosIV 如果您打算使用， 那么 Kerberos 和 ssh 都有一些需要解决的问题。 Kerberos 5 是一个很棒的验证协议， 但使用了它的 telnet 和 rlogin 应用程序有一些 bug， 使得它们不适合处理二进制流。 而且， 除非使用了 选项， 否则默认情况下 Kerberos 并不加密会话。 ssh 在默认时加密所有的会话内容。 除了默认转发加密密钥之外， ssh 在所有的其他方面都做得很好。 这意味着如果您持有供您访问系统其他部分密钥的工作站作了很好的安全防护， 而您连到了一台不安全的机器上， 则您的密钥可能被别人获得。 尽管实际的密钥并没有被泄漏， 但由于 ssh 会在您登录的过程中启用一个转发端口， 如果攻击者拿到那台不安全的机器上的 root 那么他将能够利用那个端口来使用您的密钥， 从而访问您能够访问的那些机器。 我们建议您在使用 ssh 时配合 Kerberos 来完成工作人员的登录过程。 Ssh 在编译时可以加入 Kerberos 支持。 在减少了潜在地暴露 ssh 密钥的机会的同时， 它还能够通过 Kerberos 来保护口令。 Ssh 密钥只有在做过安全防护的机器上执行自动操作时才应使用 (这是 Kerberos 不适合的情形)。 此外，我们还建议您要么在 ssh 配置中关闭密钥转发， 要么在 authorized_keys 中增加 from=IP/DOMAIN 选项， 来限制这些密钥能够登录的来源机器。 Bill Swingle 部分重写、更新来自 DES，MD5，以及Crypt 安全 密码 crypt DES MD5 &unix; 系统上的每个用户都有一个与其帐户关联的口令。 很显然， 密码只需要被这个用户和操作系统知道。 为了保证口令的私密性， 采用了一种称为 单向散列 的方法来处理口令， 简单地说， 很容易从口令推算出散列值， 反之却很难。 其实， 刚才那句话可能并不十分确切： 因为操作系统本身并不 真的 知道您的口令。 它只知道口令 经过加密的形式。 获取口令对应 明文 的唯一办法是采用暴力在口令可能的区间内穷举。 不幸的是，当 &unix; 刚刚出现时，安全地加密口令的唯一方法基于DES， 数据加密标准 ( the Data Encryption Standard )。 于是这给那些非美国居民带来了问题， 因为 DES 的源代码在当时不能被出口到美国以外的地方， &os; 必须找到符合美国法律，但又要与其他那些使用 DES 的 &unix; 版本兼容的办法。 解决方案是把加密函数库分割为两个， 于是美国的用户可以安装并使用 DES 函数库， 而国际用户则使用另外一套库提供的一种可以出口的加密算法。 这就是 &os; 为什么使用 MD5 作为它的默认加密算法的原因。 MD5 据信要比 DES 更安全，因此，安装 DES 更多地是出于兼容目的。 识别您采用的加密算法 现在这个库支持 DES、 MD5 和 Blowfish 散列函数。默认情况下， &os; 使用 MD5 来加密口令。 可以很容易地识别 &os; 使用哪种加密方法。 检查 /etc/master.passwd 文件中的加密密码是一种方法。 用 MD5 散列加密的密码通常要比用 DES 散列得到的长一些， 并且以 $1$ 字符开始。 以 $2a$ 开始的口令是通过 Blowfish 散列函数加密的。 DES 密码字符没有任何可以用于鉴别的特征， 但他们要比 MD5 短， 并且以不包括 $ 在内的 64 个可显示字符来表示， 因此相对比较短的、没有以美元符号开头的字符串很可能是一个 DES 口令。 新口令所使用的密码格式是由 /etc/login.conf 中的 passwd_format 来控制的， 可供选择的算法包括 des, md5 和 blf。 请参考 &man.login.conf.5; 联机帮助以获得更进一步的详情。 一次性口令 一次性口令 安全 一次性口令 默认情况下， &os; 提供了 OPIE (One-time Passwords In Everything) 支持， 它默认使用 MD5 散列。 下面将介绍三种不同的口令。 第一种是您常用的 &unix; 风格或 Kerberos 口令； 我们在后面的章节中将称其为 &unix; 口令。 第二种是使用 OPIE 的 &man.opiekey.1; 程序生成， 并为 &man.opiepasswd.1; 以及登录提示所接受的一次性口令，我们称其为 一次性口令。 最后一类口令是您输入给 opiekey 程序 (有些时候是 opiepasswd 程序) 用以产生一次性口令的秘密口令，我们称其为 秘密口令 或通俗地简称为 口令。 秘密口令和您的 &unix; 口令毫无关系， 尽管可以设置为相同的， 但不推荐这么做。 OPIE 秘密口令并不像旧式的 &unix; 口令那样只能限于8位以内在 &os; 中标准的登录口令最长不能超过 128 个字符。。 您想要用多长的口令都可以。 有六、七个词的短句是很常见的选择。 在绝大多数时候， OPIE 系统和 &unix; 口令系统完全相互独立地工作。 除了口令之外， 对于 OPIE 还有两组至关重要的数据。 其一被称作 种子 或 key， 它包括两个字符和五个数字。 另一个被称作 迭代轮数， 这是一个 1 到 100 之间的数字。 OPIE 通过将种子加到秘密口令后面， 并执行迭代轮数那么多次的 MD4/MD5 散列运算来得到结果， 并将结果表示为 6 个短的英文单词。 这 6 个英文单词就是您的一次性口令。 验证系统 (主要是 PAM) 会记录上次使用的一次性口令， 如果用户提供的口令的散列值与上次一致， 则可以通过身份验证。 由于使用了单向的散列函数， 因此即使截获了上次使用的口令， 也没有办法恢复出下次将要使用的口令； 每次成功登录都将导致迭代轮数递减， 这样用户和登录程序将保持同步。 每当迭代轮数减少到 1 时， 都必须重新初始化 OPIE。 接下来将讨论和每个系统有关的三个程序。 opiekey 程序能够接收带迭代计数， 种子和秘密口令， 并生成一个一次性口令， 或一张包含连续的一组一次性口令的表格。 opiepasswd 程序用于初始化 OPIE， 并修改口令、 迭代次数、种子和一次性口令。 和 opieinfo 程序可以用于检查相应的验证数据文件 (/etc/opiekeys) 并显示执行命令的用户当前的迭代轮数和种子。 我们将介绍四种不同的操作。 在安全的连接上通过 opiepasswd 来第一次设置一次性口令， 或修改口令及种子。 第二类操作是在不安全的连接上使用 opiepasswd 辅以在安全连接上执行的 opiekey 来完成同样的工作。 第三类操作是在不安全的连接上使用 opiekey 来登录。 最后一类操作是采用 opiekey 来生成大批的密码， 以便抄下来或打印出来，在没有安全连接的地方使用。 安全连接的初始化 第一次初始化 OPIE 时， 可以使用 opiepasswd 命令： &prompt.user; opiepasswd -c [grimreaper] ~ $ opiepasswd -f -c Adding unfurl: Only use this method from the console; NEVER from remote. If you are using telnet, xterm, or a dial-in, type ^C now or exit with no password. Then run opiepasswd without the -c parameter. Using MD5 to compute responses. Enter new secret pass phrase: Again new secret pass phrase: ID unfurl OTP key is 499 to4268 MOS MALL GOAT ARM AVID COED 在 Enter new secret pass phrase: 或 Enter secret password: 提示之后， 应输入一个密码或口令字。 请留意， 这并不是您用于登录的口令， 它用于生成一次性的登录密钥。 ID 这一行给出了所需的参数： 您的登录名， 迭代轮数， 以及种子。 登录系统时， 它能够记住这些参数并呈现给您， 因此无需记忆它们。 最后一行给出了与您的秘密口令对应的、用于登录的一个一次性口令； 如果您立即重新登录， 则它将是您需要使用的那个口令。 不安全连接初始化 如果您需要通过一个不安全的连接来初始化， 则应首先在安全连接上执行过一次 opiekey； 您可能希望在可信的机器的 shell 提示符下完成。 此外还需要指定一个迭代轮数 (100 也许是一个较好的选择) 也可以选择一个自己的种子， 或让计算机随机生成一个。 在不安全的连接上 (当然是连到您希望初始化的机器上)，使用 opiepasswd 命令： &prompt.user; opiepasswd Updating unfurl: You need the response from an OTP generator. Old secret pass phrase: otp-md5 498 to4268 ext Response: GAME GAG WELT OUT DOWN CHAT New secret pass phrase: otp-md5 499 to4269 Response: LINE PAP MILK NELL BUOY TROY ID mark OTP key is 499 gr4269 LINE PAP MILK NELL BUOY TROY 为了接受默认的种子， 按下 Return。 在输入访问口令之前， 到一个有安全连接的机器上， 并给它同样的参数： &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT 现在回到不安全的连接， 并将生成的一次性口令粘贴到相应的应用程序中。 生成一个一次性密码 一旦初始化过 OPIE， 当您登录时将看到类似这样的提示： &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> otp-md5 498 gr4269 ext Password: 另外， OPIE 提示有一个很有用的特性 (这里没有表现出来)： 如果您在口令提示处按下 Return(回车) 系统将回显刚键入的口令， 您可以藉此看到自己所键入的内容。 如果试图手工键入一个一次性密码， 这会非常有用。 MS-DOS Windows MacOS 此时您需要生成一个一次性密码来回答这一提示。 这项工作必须在一个可信的系统上执行 opiekey 来完成。 (也可以找到 DOS、 &windows; 以及 &macos; 等操作系统上运行的版本)。 这个程序需要将迭代轮数和种子提供给它。 您可以从登录提示那里复制和粘贴它们。 在可信的系统上： &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT 现在就可以用刚刚获得的一次性口令登录了。 产生多个一次性口令 有时，会需要到不能访问可信的机器或安全连接的地方。 这种情形下， 可以使用 opiekey 命令来一次生成许多一次性口令。 例如： &prompt.user; opiekey -n 5 30 zz99999 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: <secret password> 26: JOAN BORE FOSS DES NAY QUIT 27: LATE BIAS SLAY FOLK MUCH TRIG 28: SALT TIN ANTI LOON NEAL USE 29: RIO ODIN GO BYE FURY TIC 30: GREW JIVE SAN GIRD BOIL PHI 按顺序请求 5 个口令， 则指定了最后一个迭代轮数应该是多少。 注意这些口令将按与使用顺序相反的顺序来显示。 如果您比较偏执， 可以手工写下这些结果； 一般来说把它粘贴到 lpr 就可以了。 注意，每一行都显示迭代轮数及其对应的一次性的密码； 一些人建议用完一个就划掉一个。 限制使用 &unix; 口令 OPIE 可以对 &unix; 口令的使用进行基于 IP 的登录限制。 对应的文件是 /etc/opieaccess， 这个文件默认情况下就是存在的。 请参阅 &man.opieaccess.5; 以了解关于这个文件进一步的情况， 以及安全方面需要进行的一些考虑。 下面是一个示范的 opieaccess 文件： permit 192.168.0.0 255.255.0.0 这行允许指定 IP 地址的用户 (再次强调这种地址容易被伪造) 在任何时候使用 &unix; 口令登录。 如果 opieaccess 中没有匹配的规则， 则将默认拒绝任何非 OPIE 登录。 Tom Rhodes 作者： TCP Wrappers TCP Wrappers 每一个熟悉 &man.inetd.8; 都应该听说过 TCP Wrappers， 但几乎没有人对它在网络环境中的作用有全面的理解。 几乎每个人都会安装防火墙来处理网络连接， 然而虽然防火墙有非常广泛的用途， 它却不是万能的， 例如它无法处理类似向连接发起者发送一些文本这样的任务。 而 TCP 软件能够完成它以及更多的其他事情。 接下来的几段中将讨论许多 TCP Wrappers 提供的功能， 并且， 还给出了一些配置实例。 TCP Wrappers 软件扩展了 inetd 为受其控制的服务程序实施控制的能力。 通过使用这种方法， 它能够提供日志支持、 返回消息给联入的连接、 使得服务程序只接受内部连接， 等等。 尽管防火墙也能够完成其中的某些功能， 但这不仅增加了一层额外的保护， 也提供了防火墙无法提供的功能。 然而， 由 TCP Wrappers 提供的一些额外的安全功能， 不应被视为好的防火墙的替代品。 TCP Wrappers 应结合防火墙或其他安全加强设施一并使用， 为系统多提供一层安全防护。 由于这些配置是对于 inetd 的扩展， 因此， 读者应首先阅读 配置 inetd 这节。 尽管由 &man.inetd.8; 运行的程序并不是真正的 服务程序， 但传统上也把它们称为服务程序。 下面仍将使用这一术语。 初始配置 在 &os; 中使用 TCP Wrappers 的唯一要求是确保 inetd 在从 rc.conf 中启动时包含了 选项； 这是默认的设置。 当然， 还需要对 /etc/hosts.allow 进行适当的配置， 但 &man.syslogd.8; 在配置不当时会在系统日志中记录相关消息。 与其它的 TCP Wrappers 实现不同， 使用 hosts.deny 在这里被认为是不推荐和过时的做法。 所有的配置选项应放到 /etc/hosts.allow 中。 在最简单的配置中， 服务程序的连接策略是根据 /etc/hosts.allow 允许或阻止。 &os; 中的默认配置是允许一切发到由 inetd 所启动的服务的连接请求。 在基本配置之后将讨论更复杂的情况。 基本配置的形式通常是 服务 : 地址 : 动作。 这里 服务 是从 inetd 启动的服务程序的名字。 而 地址 可以是任何有效的主机名、 一个 IP 或由方括号 ([ ]) 括起来的 IPv6 地址。 动作字段可以使 allow 或 deny， 分别用于允许和禁止相应的访问。 在配置时您需要注意所有的配置都是按照第一个匹配的规则运转的， 这表示配置文件将按照顺序查找匹配规则， 而一旦找到匹配， 则搜索也就停止了。 另外也有许多其他选项， 这些将在后面介绍。 简单的配置行从上面这些描述之中可以很容易得出。 例如， 允许 POP3 连接通过 mail/qpopper 服务， 应把下面的行添加到 hosts.allow： # This line is required for POP3 connections: qpopper : ALL : allow 增加这样之后， 需要重新启动 inetd。 可以通过使用 &man.kill.1; 命令来完成这项工作， 或使用 /etc/rc.d/inetd 的 restart parameter 参数。 高级配置 TCP Wrappers 也有一些高级的配置选项； 它们能够用来对如何处理连接实施更多的控制。 一些时候， 返回一个说明到特定的主机或请求服务的连接可能是更好的办法。 其他情况下， 记录日志或者发送邮件给管理员可能更为适合。 另外， 一些服务可能只希望为本机提供。 这些需求都可以通过使用 通配符， 扩展字符以及外部命令来实现。 接下来的两节将介绍这些。 外部命令 假设由于发生了某种状况， 而导致连接应该被拒绝掉， 而将其原因发送给发起连接的人。 如何完成这样的任务呢？ 这样的动作可以通过使用 选项来实现。 当发起了连接请求时， 将调用一个命令或脚本。 在 hosts.allow 文件中已经给出了一个例子： # The rest of the daemons are protected. ALL : ALL \ : severity auth.info \ : twist /bin/echo "You are not welcome to use %d from %h." 这个例子将把消息 You are not allowed to use daemon from hostname. 返回给访问先前没有配置过允许访问的服务客户。 对于希望把消息反馈给连接发起者， 然后立即切断这样的需求来说， 这样的配置非常有用。 请注意所有反馈信息 必须 被引号 " 包围； 这一规则是没有例外的。 如果攻击者向服务程序发送大量的连接请求， 则可能发动一次成功的拒绝服务攻击。 另一种可能是针对这种情况使用 。 类似 ， 也暗含拒绝连接， 并可以用来执行外部命令或服务。 与 不同的是， 不会向连接发起者发送回应。 考虑下面的配置： # We do not allow connections from example.com: ALL : .example.com \ : spawn (/bin/echo %a from %h attempted to access %d >> \ /var/log/connections.log) \ : deny 这将拒绝来自 *.example.com 域的所有连接； 同时还将记录主机名， IP 地址， 以及对方所尝试连接的服务名字到 /var/log/connections.log 文件中。 除了前面已经介绍过的转义字符， 例如 %a 之外， 还有一些其它的转义符。 参考 &man.hosts.access.5; 联机手册可以获得完整的列表。 通配符选项 前面的例子都使用了 ALL。 其它选项能够将功能扩展到更远。 例如， ALL 可以被用来匹配每一个服务、 域，或 IP 地址。 另一些可用的通配符包括 PARANOID， 它可以用来匹配任何来自可能被伪造的 IP 地址的主机。 换言之， paranoid 可以被用来定义来自 IP 与其主机名不符的客户。 下面的例子将给您更多的感性认识： # Block possibly spoofed requests to sendmail: sendmail : PARANOID : deny 在这个例子中， 所有连接 sendmail 的 IP 地址与其主机名不符的主机都将被拒绝。 如果服务器和客户机有一方的 DNS 配置不正确， 使用 PARANOID 可能会严重地削弱服务。 在设置之前， 管理员应该谨慎地考虑。 要了解关于通配符和他们的功能， 请参考 &man.hosts.access.5; 联机手册。 为了使设置能够生效， 应该首先把 hosts.allow 的第一行配置注释掉。 这节的开始部分已经说明了这一点。 Mark Murray 撰写者 Mark Dapoz 初稿 <application>KerberosIV</application> Kerberos 是一个网络附加系统/协议， 它使得用户能够通过一个安全服务器的服务来验证身份。 象远程登录， 远程复制， 系统间的相互文件复制和其他完成高风险任务的服务将被变得相当安全和可控制。 下面将具体介绍如何配置随 &os; 发行的 Kerberos。 不过， 您还是应该阅读相应的联机手册以获得完整的说明。 安装 <application>KerberosIV</application> MIT KerberosIV 安装 Kerberos 是 &os; 的一项可选组件。 安装该软件最简单的办法就是 在使用 sysinstall 安装 &os; 时选择 krb4 或 krb5。 这样将会安装 eBones (KerberosIV) 或 Heimdal (Kerberos5) 的 Kerberos 实现。 采用实现的原因是它们在美国/加拿大 以外的地区开发， 因此这些国家之外的人使用， 而不必受美国的加密代码出口管制的限制。 此外， 您可以从 security/krb5 得到 Kerberos 的 MIT 实现。 创建最初的数据库 这项工作只需要在 Kerberos 服务器上完成。 首先确认没有旧的 Kerberos 数据库存在。 您应该进入到 /etc/kerberosIV 目录中并检查下述文件是否已经存在： &prompt.root; cd /etc/kerberosIV &prompt.root; ls README krb.conf krb.realms 如果您发现了除此之外的其它文件 (例如 principal.* 或 master_key) 已经存在， 请使用 kdb_destroy 命令来销毁旧的数据库， 或者， 如果 Kerberos 没有在运行，简单地删除掉那些多余的文件。 现在必须编辑 krb.conf 和 krb.realms 文件来定义您的 Kerberos 领域。 在本例中， 这个领域将是 EXAMPLE.COM 而其服务器是 grunt.example.com。 我们编辑或创建如下的 krb.conf 文件： &prompt.root; cat krb.conf EXAMPLE.COM EXAMPLE.COM grunt.example.com admin server CS.BERKELEY.EDU okeeffe.berkeley.edu ATHENA.MIT.EDU kerberos.mit.edu ATHENA.MIT.EDU kerberos-1.mit.edu ATHENA.MIT.EDU kerberos-2.mit.edu ATHENA.MIT.EDU kerberos-3.mit.edu LCS.MIT.EDU kerberos.lcs.mit.edu TELECOM.MIT.EDU bitsy.mit.edu ARC.NASA.GOV trident.arc.nasa.gov 在这个例子中， 除此之外的其它领域并不是必需的。 把他们在这里一并展示是为了演示如何让机器了解多个领域的存在。 简单起见， 在实际的配置中可以省略它们。 第一行命名了这个系统工作的领域。 其它行包含了领域/主机的记录。 每行的第一项是一个领域， 其后是在这个领域中充当 密钥分发中心 的主机名。 其后的 admin server 表示该主机同时还提供管理数据库服务。进一步的详细说明请参考 Kerberos 联机手册。 现在应该添加 grunt.example.com 到 EXAMPLE.COM 领域， 同时追加一项以便将出现在 EXAMPLE.COM 领域中 .example.com 域的所有主机也加入进来。 krb.realms 这个文件需要按照下面的方法修改： &prompt.root; cat krb.realms grunt.example.com EXAMPLE.COM .example.com EXAMPLE.COM .berkeley.edu CS.BERKELEY.EDU .MIT.EDU ATHENA.MIT.EDU .mit.edu ATHENA.MIT.EDU 再次强调， 其它领域并不是必需的。 在这里只是要展示如何使用多个领域。 可以删掉它们以简化配置。 第一行将 指定的 系统置于所指名字的领域内。 这一行的其它部分则指明了特定子域内的主机应该默认属于哪个领域。 接下来我们就可以创建数据库了。 只有在 Kerberos 服务器上 (或密钥分发中心上) 才需要它。 可以通过 kdb_init 命令来完成这一步： &prompt.root; kdb_init Realm name [default ATHENA.MIT.EDU ]: EXAMPLE.COM You will be prompted for the database Master Password. It is important that you NOT FORGET this password. Enter Kerberos master key: 现在我们应该保存密钥， 这样本机上运行的其他服务就能够了解这一变化。 用 kstash 命令来完成这一步： &prompt.root; kstash Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! 这一操作将把主口令保存到 /etc/kerberosIV/master_key。 让一切运转起来 KerberosIV 初始配置 有两个主要的东西需要被添加到要用 Kerberos 来确保安全的 每一个 系统上。 它们的名字是 kpasswd 和 rcmd。 这些程序允许另外系统改变 Kerberos 的密码， 在不同的系统上可能有不同的名字。 服务程序 kpasswd 和 rcmd 使得其他系统能够修改 Kerberos 口令， 以及执行类似 &man.rcp.1;, &man.rlogin.1; 和 &man.rsh.1; 这样的命令。 我们添加下面这些记录： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: passwd Instance: grunt <Not found>, Create [y] ? y Principal: passwd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? y Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: rcmd Instance: grunt <Not found>, Create [y] ? Principal: rcmd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 创建服务器文件 现在需要分析在每台机器上定义的服务的所有情况。 为了做到这一点， 可以使用 ext_srvtab 命令。 这将创建一个文件， 它需要被 通过安全的途径 复制或移动到每一个 Kerberos 客户端的 /etc 目录中。 在每一台服务器上都必须存在这个文件， 它对 Kerberos 的运行至关重要。 &prompt.root; ext_srvtab grunt Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Generating 'grunt-new-srvtab'.... 现在，这个命令只产生一个临时文件，必须被重命名为 srvtab 以便所有的服务可以识别它。 用 &man.mv.1; 命令把它挪到原系统的这个位置： &prompt.root; mv grunt-new-srvtab srvtab 如果文件是针对客户系统的， 而且网络可能会不安全， 则应把 client-new-srvtab 复制到可移动的介质上， 并通过物理上安全的方式拿走。 将其改名为 srvtab 并放到客户机的 /etc/kerberosIV 目录中， 并赋予 mode 600: &prompt.root; mv grumble-new-srvtab srvtab &prompt.root; chmod 600 srvtab 复制数据库 现在添加一些用户记录到数据库。 首先为用户 jane 创建其对应的项。 使用 kdb_edit 命令来完成此项工作： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: <Not found>, Create [y] ? y Principal: jane, Instance: , kdc_key_ver: 1 New Password: <---- enter a secure password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 测试全部相关信息 首先必须启动 Kerberos 的服务程序。 这里需要指出， 如果您正确地修改了 /etc/rc.conf 则系统在启动时会自动完成这个工作。 只有在 Kerberos 服务器上才需要这么做。 Kerberos 客户程序将自动地从 /etc/kerberosIV 目录中的文件获取所需要的信息。 &prompt.root; kerberos & Kerberos server starting Sleep forever on error Log file is /var/log/kerberos.log Current Kerberos master key version is 1. Master key entered. BEWARE! Current Kerberos master key version is 1 Local realm: EXAMPLE.COM &prompt.root; kadmind -n & KADM Server KADM0.0A initializing Please do not use 'kill -9' to kill this job, use a regular kill instead Current Kerberos master key version is 1. Master key entered. BEWARE! 接下来应使用 kinit 命令来获取与我们刚刚创建的 ID jane 对应的 ticket： &prompt.user; kinit jane MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane" Password: 尝试使用 klist 列出句柄以了解是否真的拥有它们： &prompt.user; klist Ticket file: /tmp/tkt245 Principal: jane@EXAMPLE.COM Issued Expires Principal Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COM 现在可以试试看用 &man.passwd.1; 来修改口令， 以验证 kpasswd 服务程序是否能够从 Kerberos 数据库中获得需要的授权： &prompt.user; passwd realm EXAMPLE.COM Old password for jane: New Password for jane: Verifying password New Password for jane: Password changed. 授予 <command>su</command> 特权 Kerberos 使我们能够给予 每一个 需要使用 root 特权的用户使用他们自己 单独的 &man.su.1; 口令。 现在我们追加一个被授予 &man.su.1; 到 root 权限的 ID。 这件事是由与 root 相关联的一个 principal 实例来控制的。使用 kdb_edit 可以在 Kerberos 数据库中建立一个 jane.root 条目： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: root <Not found>, Create [y] ? y Principal: jane, Instance: root, kdc_key_ver: 1 New Password: <---- enter a SECURE password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? 12 <--- Keep this short! Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 现在试试看获得相应的句柄， 以确认它已经正常工作了： &prompt.root; kinit jane.root MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane.root" Password: 接下来我们需要把用户添加到 root的 .klogin 文件里： &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM 试试看 &man.su.1;： &prompt.user; su Password: 然后看看我们拥有哪些句柄： &prompt.root; klist Ticket file: /tmp/tkt_root_245 Principal: jane.root@EXAMPLE.COM Issued Expires Principal May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COM 使用其它命令 在前文给出的例子中， 我们创建了一个称为 jane 的用户， 以及一个 root 实例。 此处的用户名和它的 principal 相同， 这是 Kerberos 默认的； 一个形如 <username>.root 的 <principal>.<instance> 将允许 <username> 使用 &man.su.1; 成为 root， 只要所需的那些条目在 root home 目录中的 .klogin 中存在的话： &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM 类似地， 如果用户的 home 目录中有这样的设置： &prompt.user; cat ~/.klogin jane@EXAMPLE.COM jack@EXAMPLE.COM 则表明在 EXAMPLE.COM 领域的经过身份验证的 jane 或者 jack (通过 kinit， 详情见前文) 能够使用 jane 的身份或系统 (grunt) 中的文件， 无论通过 &man.rlogin.1;, &man.rsh.1; 或是 &man.rcp.1;。 举例来说， jane 现在通过 Kerberos 登入了其它系统： &prompt.user; kinit MIT Project Athena (grunt.example.com) Password: &prompt.user; rlogin grunt Last login: Mon May 1 21:14:47 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 或者， 当 jack 登录到 jane 在同一台机器上的账号 (jane 按照前面所介绍的那样配置了 .klogin 文件， 而负责 Kerberos 的管理员， 则为 jack 的 principal 配置了一个空的 instance)： &prompt.user; kinit &prompt.user; rlogin grunt -l jane MIT Project Athena (grunt.example.com) Password: Last login: Mon May 1 21:16:55 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Tillman Hodgson 撰写者 Mark Murray 原文来自 <application>Kerberos5</application> 在 &os;-5.1 之后的每一个 &os; 版本都只包含 Kerberos5 支持了， 因而， Kerberos5 是它们所包含的唯一的 Kerberos 版本， 其配置在绝大多数方面和 KerberosIV 非常类似。 下述信息只适用于 &os;-5.0 之后版本中的 Kerberos5。 希望使用 KerberosIV 的用户可以安装 security/krb4 port。 Kerberos 是一组附加的网络系统/协议， 用以让用户通过一台安全服务器提供的服务来验证身份。 包括远程登录、远程复制、在系统间安全地复制文件， 以及其它高危险性的操作， 由于其存在而显著地提高了安全型并且更加可控。 Kerberos 可以理解为一种身份验证代理系统。 它也被描述为一种以受信第三方为主导的身份验证系统。 Kerberos 只提供一种功能 — 在网络上安全地完成用户的身份验证。 它并不提供授权功能 (也就是说用户能够做什么操作) 或审计功能 (记录用户作了什么操作)。 一旦客户和服务器都使用了 Kerberos 来证明各自的身份之后， 他们还可以加密全部的通讯以保证业务数据的私密性和完整性。 因此， 强烈建议将 Kerberos 同其它提供授权和审计服务的安全手段联用。 接下来的说明可以用来指导如何安装 &os; 所附带的 Kerberos。 不过， 您仍然需要参考相应的联机手册以获得完整的描述。 为了展示 Kerberos 的安装过程， 我们约定： DNS 域 (zone) 为 example.org。 Kerberos 领域是 EXAMPLE.ORG。 在安装 Kerberos 时请使用实际的域名即使您只是想在内部网上用一用。 这可以避免 DNS 问题并保证了同其它 Kerberos 之间的互操作性。 历史 Kerberos5 历史 Kerberos 最早由 MIT 作为解决网络安全问题的一个方案提出。 Kerberos 协议采用了强加密， 因此客户能够在不安全的网络上向服务器 (以及相反地) 验证自己的身份。 Kerberos 是网络验证协议名字， 同时也是用以表达实现了它的程序的形容词。 (例如 Kerberos telnet)。 目前最新的协议版本是 5，在 RFC 1510 中有所描述。 该协议有许多免费的实现， 这些实现涵盖了许多种不同的操作系统。 最初研制 Kerberos 的麻省理工学院 (MIT) 也仍然在继续开发他们的 Kerberos 软件包。 在 US 它被作为一种加密产品使用， 因而历史上曾经受到 US 出口管制。 MIT Kerberos 可以通过 port (security/krb5) 来安装和使用。 Heimdal Kerberos 是另一种第 5 版实现， 并且明确地在 US 之外的地区开发， 以避免出口管制 (因此在许多非商业的类 &unix; 系统中非常常用。 Heimdal Kerberos 软件包可以通过 port (security/heimdal) 安装， 最新的 &os; 的最小安装也会包含它。 为使尽可能多的读者从中受益， 这份说明以 &os; 附带的 Heimdal 软件包为准。 配置 Heimdal <acronym>KDC</acronym> Kerberos5 密钥分发中心 密钥分发中心 (KDC) 是 Kerberos 提供的集中式验证服务 — 它是签发 Kerberos tickets 的那台计算机。 KDC 在 Kerberos 领域中的其它机器看来是 受信的， 因此必须格外注意其安全性。 需要说明 Kerberos 服务器只需要非常少的计算资源， 尽管如此， 基于安全理由仍然推荐使用独占的机器来扮演 KDC 的角色。 要开始配置 KDC， 首先请确认您的 /etc/rc.conf 文件包含了作为一个 KDC 所需的设置 (您可能需要适当地调整路径以适应自己系统的情况)： kerberos5_server_enable="YES" kadmind5_server_enable="YES" 接下来需要修改 Kerberos 的配置文件， /etc/krb5.conf： [libdefaults] default_realm = EXAMPLE.ORG [realms] EXAMPLE.ORG = { kdc = kerberos.example.org admin_server = kerberos.example.org } [domain_realm] .example.org = EXAMPLE.ORG 请注意这个 /etc/krb5.conf 文件假定您的 KDC 有一个完整的主机名， 即 kerberos.example.org。 如果您的 KDC 主机名与它不同， 则应添加一条 CNAME (别名) 项到 zone 中去。 对于有正确地配置过的 BIND DNS 服务器的大型网络， 上述例子可以精简为： [libdefaults] default_realm = EXAMPLE.ORG 将下面的内容加入到 example.org zone 数据文件中： _kerberos._udp IN SRV 01 00 88 kerberos.example.org. _kerberos._tcp IN SRV 01 00 88 kerberos.example.org. _kpasswd._udp IN SRV 01 00 464 kerberos.example.org. _kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org. _kerberos IN TXT EXAMPLE.ORG 要让客户机能够找到 Kerberos 服务， 就 必须 首先配置完整或最小配置的 /etc/krb5.conf 并且 正确地配置 DNS 服务器。 接下来需要创建 Kerberos 数据库。 这个数据库包括了使用主密码加密的所有实体的密钥。 您并不需要记住这个密码， 它会保存在一个文件 (/var/heimdal/m-key) 中。 要创建主密钥， 需要执行 kstash 并输入一个口令。 主密钥一旦建立， 您就可以用 kadmin 程序的 -l 参数 (表示 local) 来初始化数据库了。 这个选项让 kadmin 直接地修改数据库文件而不是通过 kadmind 的网络服务。 这解决了在数据库创建之前连接它的鸡生蛋的问题。 进入 kadmin 提示符之后， 用 init 命令来创建领域的初始数据库。 最后， 仍然在 kadmin 中， 使用 add 命令来创建第一个 principal。 暂时使用全部的默认设置， 随后可以在任何时候使用 modify 命令来修改这些设置。 另外， 也可以用 ? 命令来了解可用的选项。 典型的数据库创建过程如下： &prompt.root; kstash Master key: xxxxxxxx Verifying password - Master key: xxxxxxxx &prompt.root; kadmin -l kadmin> init EXAMPLE.ORG Realm max ticket life [unlimited]: kadmin> add tillman Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: Password: xxxxxxxx Verifying password - Password: xxxxxxxx 现在是启动 KDC 服务的时候了。 运行 /etc/rc.d/kerberos start 以及 /etc/rc.d/kadmind start 来启动这些服务。 尽管此时还没有任何正在运行的 Kerberos 服务， 但您仍然可以通过获取并列出您刚刚创建的那个 principal (用户) 的 ticket 来验证 KDC 确实在正常工作， 使用 KDC 本身的功能： &prompt.user; kinit tillman tillman@EXAMPLE.ORG's Password: &prompt.user; klist Credentials cache: FILE:/tmp/krb5cc_500 Principal: tillman@EXAMPLE.ORG Issued Expires Principal Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG 完成所需的操作之后， 可以撤消这一 ticket： &prompt.user; k5destroy 为 <application>Kerberos</application> 启用 Heimdal 服务 Kerberos5 启用服务 首先我们需要一份 Kerberos 配置文件 /etc/krb5.conf 的副本。 只需简单地用安全的方式 (使用类似 &man.scp.1; 的网络工具， 或通过软盘) 复制 KDC 上的版本， 并覆盖掉客户机上的对应文件就可以了。 接下来需要一个 /etc/krb5.keytab 文件。 这是提供 Kerberos 服务的服务器和工作站的一个主要区别 — 服务器必须有 keytab 文件。 这个文件包括了服务器的主机密钥， 这使得 KDC 得以验证它们的身份。 此文件必须以安全的方式传到服务器上， 因为如果密钥被公之于众， 则安全也就毁于一旦。 也就是说， 通过明文的通道， 例如 FTP 是非常糟糕的想法。 一般来说， 您会希望使用 kadmin 程序来把 keytab 传到服务器上。 由于也需要使用 kadmin 来为主机建立 principal (KDC 一端的 krb5.keytab)， 因此这并不复杂。 注意您必须已经获得了一个 ticket 而且这个 ticket 必须许可使用 kadmind.acl 中的 kadmin 接口。 请参考 Heimdal info 中的 Remote administration(远程管理) 一节 (info heimdal) 以了解如何设计访问控制表。 如果不希望启用远程的 kadmin 操作， 则可以简单地采用安全的方式连接 KDC (通过本机控制台， &man.ssh.1; 或 Kerberos &man.telnet.1;) 并使用 kadmin -l 在本地执行管理操作。 安装了 /etc/krb5.conf 文件之后， 您就可以使用 Kerberos 上的 kadmin 了。 add --random-key 命令可以用于添加主机 principal， 而 ext 命令则允许导出服务器的主机 principal 到它的 keytab 中。 例如： &prompt.root; kadmin kadmin> add --random-key host/myserver.example.org Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: kadmin> ext host/myserver.example.org kadmin> exit 注意 ext 命令 (这是 extract 的简写) 默认会把导出的密钥放到 /etc/krb5.keytab 中。 如果您由于没有在 KDC 上运行 kadmind (例如基于安全理由) 因而无法远程地使用 kadmin 您可以直接在 KDC 上添加主机 principal (host/myserver.EXAMPLE.ORG) 随后将其导出到一个临时文件中 (以免覆盖 KDC 上的 /etc/krb5.keytab)， 方法是使用下面的命令： &prompt.root; kadmin kadmin> ext --keytab=/tmp/example.keytab host/myserver.example.org kadmin> exit 随后需要把 keytab 复制到服务器上 (例如使用 scp 或软盘)。 一定要指定一个不同于默认的 keytab 名字以免覆盖 KDC 上的 keytab。 到现在您的服务器已经可以同 KDC 通讯了 (因为已经配置了 krb5.conf 文件)， 而且它还能够证明自己的身份 (由于配置了 krb5.keytab 文件)。 现在可以启用一些 Kerberos 服务。 在这个例子中， 我们将在 /etc/inetd.conf 中添加下面的行来启用 telnet 服务， 随后用 /etc/rc.d/inetd restart 重启 &man.inetd.8; 服务来使设置生效： telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a user 关键的部分是 -a (表示验证) 类型设置为用户 (user)。 请参考 &man.telnetd.8; 联机手册以了解细节。 使用 Heimdal 来启用客户端 <application>Kerberos</application> Kerberos5 客户端配置 设置客户机是非常简单的。 在正确配置了 Kerberos 的网络中， 只需要将位于 /etc/krb5.conf 的配置文件进行一下设置就可以了。 这一步骤可以简单地通过安全的方式将文件从 KDC 复制到客户机上来完成。 尝试在客户机上执行 kinit、 klist， 以及 kdestroy 来测试获取、 显示并删除 刚刚为 principal 建立的 ticket 是否能够正常进行， 如果能， 则用其它的 Kerberos 应用程序来连接启用了 Kerberos 的服务。 如果应用程序不能正常工作而获取 ticket 正常， 则通常是服务本身， 而非客户机或 KDC 有问题。 在测试类似 telnet 的应用程序时， 应考虑使用抓包程序 (例如 &man.tcpdump.1;) 来确认您的口令没有以明文方式传输。 尝试使用 telnet 的 -x 参数， 它将加密整个数据流 (类似 ssh)。 许多非核心的 Kerberos 客户应用程序也是默认安装的。 在 Hemidal 的 最小 安装理念下， telnet 是唯一一个采用了 Kerberos 的服务。 Heimdal port 则提供了一些默认不安装的客户应用程序， 例如启用了 Kerberos 版本的 ftp、 rsh、 rcp、 rlogin 以及一些更不常用的程序。 MIT port 也包括了一整套 Kerberos 客户应用程序。 用户配置文件： <filename>.k5login</filename> 和 <filename>.k5users</filename> .k5login .k5users 在某个领域中的用户往往都有自己的 Kerberos principal (例如 tillman@EXAMPLE.ORG) 并映射到本机用户帐户 (例如本机上名为 tillman 的帐户)。 客户端应用程序， 如 telnet 通常并不需要用户名或 principal。 不过, 有时您可能会需要赋予某些没有匹配 Kerberos principal 的人使用本地用户帐户的权限。 例如 tillman@EXAMPLE.ORG 可能需要访问本地的 webdevelopers 用户帐号。 其它 principal 可能也会需要访问这个本地帐号。 用户 home 目录中的 .k5login 和 .k5users 这两个文件可以配合 .hosts 和 .rhosts 来有效地解决这个问题。 例如， 如果 .k5login 中有如下内容： tillman@example.org jdoe@example.org 并放到了本地用户 webdevelopers 的 home 目录中， 则列出的两个 principals 都可以使用那个帐号， 而无须共享口令。 建议您在开始实施之前首先阅读这些命令的联机帮助。 特别地， ksu 的联机手册包括了 .k5users 的相关内容。 <application>Kerberos</application> 提示、技巧和故障排除 Kerberos5 故障排除 当使用 Heimdal 或 MIT Kerberos ports 时， 需要确认 PATH 环境变量把 Kerberos 客户应用列在系统自带的版本之前。 同一领域内的所有计算机的时间设置是否同步？ 如果不是的话， 则身份验证可能会失败。 描述了如何使用 NTP 来同步时钟。 MIT 和 Heimdal 能够很好地互操作。 一个例外是 kadmin， 因为这个协议没有被标准化。 如果您改变了主机名， 您还需要修改您的 host/ principal 并更新 keytab。 这一规律也适用于类似 Apache 的 www/mod_auth_kerb 所使用的 www/ principal 这样的特殊 keytab 项。 您的领域中的每一台主机必须在 DNS (或至少在 /etc/hosts 中) 可以解析 (同时包括正向和反向)。 CNAME 能够正常使用， 但必须有正确的对应 A 和 PTR 记录。 此时给出的错误信息可能很让人困惑： Kerberos5 refuses authentication because Read req failed: Key table entry not found。 某些作为客户使用您的 KDC 的操作系统可能没有将 ksu 设置为 setuid root 的权限。 这意味着 ksu 将不能够正常工作， 从安全角度说这是一个不错的主意， 但可能令人烦恼。 这类问题并不是 KDC 的错误。 使用 MIT Kerberos 时， 如果希望允许一个 principal 拥有超过默认的十小时有效期的 ticket 则必须使用 kadmin 中的 modify_principal 来修改 principal 本身以及 krbtgt 的 maxlife(最大有效期)。 此后， principal 可以使用 kinit 的 -l 参数来请求一个有更长有效期的 ticket。 如果在 KDC 上运行了听包程序， 并在工作站上执行 kinit， 您可能会注意到 TGT 是在 kinit 一开始执行的时候就发出了的 — 甚至在您输入口令之前！ 关于这个现象的解释是 Kerberos 服务器可以无限制地收发 TGT (Ticket Granting Ticket) 给任何未经授权的请求； 但是， 每一个 TGT 都是使用用户的口令派生出来的密钥进行加密的。 因此， 当用户输入口令时它并不会发送给 KDC， 而是直接用于解密 kinit 所拿到的 TGT。 如果解密过程得到了一个包含合法的时间戳的有效 ticket， 则说明用户的 Kerberos 凭据有效。 这些凭据包含了一个会话密钥用以在随后建立 Kerberos 服务器的加密通讯， 传递由服务器自己的私钥加密的实际的 ticket-granting ticket。 这个第二层加密对于用户来说是看不到的， 但它使得 Kerberos 服务器能够验证每一个 TGT 的真实性。 如果需要有效期更长的 ticket (例如一周) 而且您使用 OpenSSH 连接保存您的 ticket 的机器， 请确认 sshd_config 中的 Kerberos 被设置为 no 否则在注销时会自动删除所有的 ticket。 切记主机的 principals 的 ticket 有效期一定要比用户的长。 如果您的用户 principal 的有效期是一周， 而所连接的主机的有效期是九个小时， 则缓存的主机 principal 将先行过期， 结果是 ticket 缓存无法正常工作。 当配置 krb5.dict 文件来防止使用特定的简单口令 (kadmind 的联机手册中简要介绍了它)， 请切记只有指定了口令策略的 principals 才会使用它们。 krb5.dict 文件的格式很简单： 每个串占一行。 创建一个到 /usr/share/dict/words 的符号连接会很有用。 与 <acronym>MIT</acronym> port 的区别 MIT 和 Heimdal 主要的区别在于 kadmin 程序使用不同 (尽管等价) 的命令和协议。 如果您的 KDC 是 MIT 的， 则其影响是不能使用 Heimdal 的 kadmin 程序来远程管理 KDC (或相反)。 完成同样工作的命令可能会有些许的不同。 推荐按照 MIT Kerberos 的网站 () 上的说明来操作。 请小心关于路径的问题， MIT port 会默认安装到 /usr/local/， 您因此可能会执行 普通的 系统应用程序而非 MIT, 如果您的 PATH 环境变量把 把系统目录放在前面的话。 如果使用 &os; 提供的 MIT security/krb5 port， 一定要仔细阅读 port 所安装的 /usr/local/share/doc/krb5/README.FreeBSD， 如果您想知道为什么通过 telnetd 和 klogind 登录时会出现一些诡异的现象的话。 最重要地， incorrect permissions on cache file(缓存文件权限不正确) 行为需要使用 login.krb5 来进行验证， 才能够正确地修改转发凭据的属主。 除此之外， 还应修改 rc.conf 并加入下列配置： kerberos5_server="/usr/local/sbin/krb5kdc" kadmind5_server="/usr/local/sbin/kadmind" kerberos5_server_enable="YES" kadmind5_server_enable="YES" 这样做的原因是， MIT kerberos 会将可执行文件装到 /usr/local 之下。 缓解 <application>Kerberos</application> 的限制 Kerberos5 限制和不足 <application>Kerberos</application> 是一种 all-or-nothing 方式 在网络上启用的每个服务都必须进行修改以便让其能够配合 Kerberos 工作 (否则就只能使用其它方法来保护它们不受网络攻击的侵害)， 如果不是这样， 则用户的凭据就有可能被窃取并再次使用。 一个例子是对所有的远程 shell (例如通过 rsh 和 telnet) 启用了 Kerberos 但没有将使用明文验证的 POP3 邮件服务器 Kerberos化。 <application>Kerberos</application> 是为单用户工作站设计的 在多用户环境中 Kerberos 的安全性会被削弱。 这是因为它把 ticket 保存到 /tmp 目录中， 而这个目录可以被任何用户读取。 如果有用户与其它人同时共享一台计算机 (也就是 multi-user)， 则这个用户的 ticket 就可能被其它用户窃取 (复制)。 可以通过使用 -c 文件名 这样的命令行选项， 或者(推荐的)改变 KRB5CCNAME 环境变量来避免这个问题， 但很少有人这么做。原则上， 将 ticket 保存到用户的 home 目录并简单地设置权限就能够缓解这个问题。 KDC 会成为单点崩溃故障点 根据设计， KDC 必须是安全的， 因为主密码数据库保存在它上面。 决不应该在 KDC上面运行其它服务， 而且还应确保它的物理安全。 由于 Kerberos 使用同一个密钥 (传说中的那个 主 密钥) 来加密所有的密码， 而将这个文件保存在 KDC， 因此其安全尤为重要 不过， 主密钥的泄露并没有想象中的那么可怕。 主密钥只用来加密 Kerberos 数据库以及产生随机数发生器的种子。 只要 KDC 是安全的， 即使攻击者拿到了主密钥也做不了什么。 另外， 如果 KDC 不可用 (例如由于拒绝服务攻击或网络故障) 则网络服务将由于验证服务无法进行而不能使用， 从而导致更大范围的拒绝服务攻击。 通过部署多个 KDC (一个主服务器， 配合一个或多个从服务器) 并采用经过仔细设计和实现的备用验证方式可以避免这种问题 (PAM 是一个不错的选择)。 <application>Kerberos</application> 的不足 Kerberos 允许用户、主机和服务之间进行相互认证。 但它并没有提供机制来向用户、主机或服务验证 KDC。 这意味着种过木马的程序，例如 kinit 有可能记录用户所有的用户名和密码。 尽管如此， 可以用类似 security/tripwire 这样的文件系统完整性检查工具来避免此类情况的发生。 相关资源和其它资料 Kerberos5 外部资源 The Kerberos FAQ Designing an Authentication System: a Dialog in Four Scenes RFC 1510, The Kerberos Network Authentication Service (V5) MIT Kerberos home page Heimdal Kerberos home page Tom Rhodes 作者 OpenSSL 安全 OpenSSL 许多用户可能并没有注意到 &os; 所附带的 OpenSSL 工具包的功能。 OpenSSL 提供了建立在普通的通讯层基础上的加密传输层； 这些功能为许多网络应用和服务程序所广泛使用。 对 OpenSSL 的一些常见用法包括加密邮件客户的身份验证过程， 基于 Web 的交易如信用卡等等。 许多 ports 如 www/apache13-ssl， 以及 mail/sylpheed-claws 等等都提供了编译进 OpenSSL 支持的方法。 绝大多数情况下 Ports Collection 会试图使用 security/openssl 除非明确地将 WITH_OPENSSL_BASE make 变量设置为 yes。 &os; 中附带的 OpenSSL 版本能够支持 安全套接字层 v2/v3 (SSLv2/SSLv3) 和 安全传输层 v1 (TLSv1) 三种网络协议， 并可作为通用的密码学函数库使用。 尽管 OpenSSL 支持 IDEA 算法， 但由于美国专利， 它在默认情况下是不编译的。 如果想使用它， 请查阅相应的授权， 如果认为授权可以接受， 则可以在 make.conf 中设置 MAKE_IDEA。 为应用软件提供证书是 OpenSSL 最为常用的功能之一。 证书是一种能够确保公司或个人有效身份不被伪造的凭据。 如果证书没有被众多 权威发证机构， 或 CA 中的某一个确认， 则会产生一个警告。 权威发证机构通常是一家公司， 例如 VeriSign， 它能够通过签署来证明个人或公司证书的有效性。 这个过程是需要付费的， 当然， 这不是使用证书的必要条件； 然而， 这样做会让那些比较偏执的用户感到轻松。 生成证书 OpenSSL 生成证书 为了生成证书， 需要使用下面的命令： &prompt.root; openssl req -new -nodes -out req.pem -keyout cert.pem Generating a 1024 bit RSA private key ................++++++ .......................................++++++ writing new private key to 'cert.pem' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:PA Locality Name (eg, city) []:Pittsburgh Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company Organizational Unit Name (eg, section) []:Systems Administrator Common Name (eg, YOUR name) []:localhost.example.org Email Address []:trhodes@FreeBSD.org Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:SOME PASSWORD An optional company name []:Another Name 请注意， 在 Common Name 提示后面我们输入的是一个域名。 这个提示要求输入服务器的名字， 这个名字今后将用于完成验证过程； 如果在这里输入域名以外的内容， 那么证书也就失去其意义了。 您还可以指定一些其他的选项， 比如证书的有效期， 以及使用的加密算法等等。 这些选项的完整列表， 可以在 &man.openssl.1; 联机手册中找到。 在您执行前述命令的目录中将生成两个文件。 证书申请， 即 req.pem， 可以发给一家发证机构， 它将验证您输入的凭据的真实性， 并对申请进行签名， 再把证书返还给您。 第二个文件的名字将是 cert.pem， 它包含了证书的私钥， 应被全力保护； 如果它落入别人手中， 则可以被用来伪造您 (或您的服务器)。 如果不需要来自 CA 的签名， 也可以创建自行签名的证书。 首先， 需要生成 RSA 密钥： &prompt.root; openssl dsaparam -rand -genkey -out myRSA.key 1024 接下来， 生成 CA 密钥： &prompt.root; openssl gendsa -des3 -out myca.key myRSA.key 然后用这个密钥来创建证书： &prompt.root; openssl req -new -x509 -days 365 -key myca.key -out new.crt 上述步骤将在当前目录中生成两个新文件： 一个是权威发证机构的签名文件， myca.key； 另一个是证书本身， new.crt。 这些文件应该放到同一个目录中， 一般而言， 推荐放到 /etc， 并且只允许 root 读取。 建议把权限设置为 0700， 这可以通过 chmod 工具来完成。 使用证书的一个例子 那么有了这些文件可以做些什么呢？ 一个比较典型的用法是用来加密 Sendmail MTA 的通讯连接。 这可以解决用户通过本地 MTA 发送邮件时使用明文进行身份验证的问题。 这个用法可能并不完美， 因为某些 MUA 会由于没有在本地安装证书而向用户发出警告。 请参考那些软件的说明了解关于安装证书的信息。 下面的设置应添加到本地的 .mc 文件 dnl SSL Options define(`confCACERT_PATH',`/etc/certs')dnl define(`confCACERT',`/etc/certs/new.crt')dnl define(`confSERVER_CERT',`/etc/certs/new.crt')dnl define(`confSERVER_KEY',`/etc/certs/myca.key')dnl define(`confTLS_SRV_OPTIONS', `V')dnl 这里， /etc/certs/ 是准备用来在本地保存证书和密钥的位置。 最后， 需要重新生成本地的 .cf 文件。 这一工作可以简单地通过在 /etc/mail 目录中执行 make install 来完成。 接下来， 可以使用 make restart 来重新启动 Sendmail 服务程序。 如果一切正常的话， 在 /var/log/maillog 中就不会出现错误提示， Sendmail 也应该出现在进程列表中。 做一个简单的测试， 使用 &man.telnet.1; 来连接邮件服务器： &prompt.root; telnet example.com 25 Trying 192.0.34.166... Connected to example.com. Escape character is '^]'. 220 example.com ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT) ehlo example.com 250-example.com Hello example.com [192.0.34.166], pleased to meet you 250-ENHANCEDSTATUSCODES 250-PIPELINING 250-8BITMIME 250-SIZE 250-DSN 250-ETRN 250-AUTH LOGIN PLAIN 250-STARTTLS 250-DELIVERBY 250 HELP quit 221 2.0.0 example.com closing connection Connection closed by foreign host. 如果输出中出现了 STARTTLS 则说明一切正常。 Nik Clayton
nik@FreeBSD.org
 撰写者 IPsec IPsec 上的 VPN 使用 FreeBSD 网关在两个被 Internet 分开的网络之间架设 VPN。 Hiten M. Pandya
hmp@FreeBSD.org
 撰写者 理解 IPsec 这一节将指导您完成架设 IPsec， 并在一个包含了 FreeBSD 和 µsoft.windows; 2000/XP 机器的网络中使用它来进行安全的通讯的全过程。 为了配置 IPsec， 您应当熟悉如何编译一个定制的内核的一些概念 (参见 )。 IPsec 是一种建立在 Internet 协议 (IP) 层之上的协议。 它能够让两个或更多主机以安全的方式来通讯 (并因此而得名)。 FreeBSD IPsec 网络协议栈 基于 KAME 的实现， 它支持两种协议族， IPv4 和 IPv6。 FreeBSD 包括了采用 硬件加速的 IPsec 协议栈， 也称作 Fast IPsec， 它来自 OpenBSD。 它能够通过 &man.crypto.4; 子系统来利用加密硬件 (只要可能) 优化 IPSec 的性能。 这个子系统是新的， 暂时还不支持 KAME 版本的 IPsec 的全部功能。 此外， 为了启用硬件加速的 IPsec， 必须把下面的选项加入到内核配置中： 内核选项 FAST_IPSEC options FAST_IPSEC # new IPsec (cannot define w/ IPSEC) 需要注意的是， 目前还不能用 Fast IPsec 子系统完全替代 KAME 的 IPsec 实现。 请参见联机手册 &man.fast.ipsec.4; 以了解进一步的详情。 如果希望防火墙能够正确地跟踪到 &man.gif.4; 信道的状态， 您还需要在内核配置中启用 ： options IPSEC_FILTERGIF #filter ipsec packets from a tunnel IPsec ESP IPsec AH IPsec 包括了两个子协议： Encapsulated Security Payload (ESP), 保护 IP 包数据不被第三方介入， 通过使用对称加密算法 (例如 Blowfish、 3DES)。 Authentication Header (AH), 保护 IP 包头不被第三方介入和伪造， 通过计算校验和以及对 IP 包头的字段进行安全散列来实现。 随后是一个包含了散列值的附加头， 以便能够验证包。 ESP 和 AH 可以根据环境的不同， 分别或者一同使用。 VPN 虚拟专用网 VPN IPsec 既可以用来直接加密主机之间的网络通讯 (也就是 传输模式)； 也可以用来在两个子网之间建造 虚拟隧道 用于两个网络之间的安全通讯 (也就是 隧道模式)。 后一种更多的被称为是 虚拟专用网 (VPN)。 &man.ipsec.4; 联机手册提供了关于 FreeBSD 中 IPsec 子系统的详细信息。 要把 IPsec 支持放进内核， 应该在配置文件中加入下面的选项： 内核选项 IPSEC 内核选项 IPSEC_ESP options IPSEC #IP security options IPSEC_ESP #IP security (crypto; define w/ IPSEC) 内核选项 IPSEC_DEBUG 如果需要 IPsec 的调试支持， 还应增加： options IPSEC_DEBUG #debug for IP security 问题 由于对如何建立 VPN 并不存在标准， 因此 VPN 可以采用许多种不同的技术来实现， 每种技术都有其长处和弱点。 这篇文章讲展现一个具体的应用情景， 并为它设计了适合的 VPN。 情景： 两个网络都接入了 Internet， 希望像一个网络那样工作 VPN 创建 现有条件如下： 至少有两个不同的站点 每个站点都使用内部的 IP 两个站点都通过运行 FreeBSD 的网关接入 Internet。 每个网络上的网关至少有一个公网的 IP 地址。 网络的内部地址可以是公网或私有的 IP 地址， 这并不是问题。 如果需要， 还可以在网关上运行 NAT。 两个网络上的 IP 地址 不冲突。 虽然理论上可以通过 VPN 和 NAT 连用来使这种情况能够正常工作， 但那毫无疑问将是管理的噩梦。 如果您发现您正打算连接两个内网使用同一私有 IP 地址范围的网络 (例如它们都使用 192.168.1.x)， 则其中的一个必须修改网络地址。 网络的拓扑结构如下： 网络 #1 [ 内部主机 ] 私有网络，192.168.1.2-254 [ Win9x/NT/2K ] [ UNIX ] | | .---[fxp1]---. 私有 IP, 192.168.1.1 | FreeBSD | `---[fxp0]---' 公网 IP, A.B.C.D | | -=-=- Internet -=-=- | | .---[fxp0]---. 公网 IP, W.X.Y.Z | FreeBSD | `---[fxp1]---' 私有 IP, 192.168.2.1 | | 网络 #2 [ Internal Hosts ] [ Win9x/NT/2K ] 私有网络， 192.168.2.2-254 [ UNIX ] 请注意两个公网 IP 地址。 在这篇文章的其余部分我将用这些字母来表示它们。 在文章中看到这些字母的时候， 请把它们换成自己的公网 IP 地址。 另外， 在内部， 两个网关都是使用的 .1 的 IP地址， 而两个网络使用了不同的私有 IP 地址 (相应地， 192.168.1.x 和 192.168.2.x)。 所有私有网络上的机器都被配置为使用 .1 这台机器作为它们的网关。 我们希望， 从网络的观点看， 每一个网络上的机器都应该能够像在直接连接到同一路由器上一样看到对方网络上的机器 -- 尽管可能比路由器略慢一些， 并且有时会有丢包的现象。 这意味着 (举例来说)， 主机 192.168.1.20 应该能够运行 ping 192.168.2.34 并且这能够透明地工作。 &windows; 机器应该能够看到其他网络上的机器， 浏览文件共享， 等等， 就像在本地网络上一样。 而且这些事情必须是安全的， 也就是说两个网络之间的通讯必须加密。 在两个网络之间建立 VPN 可以分为几步。 这些步骤包括： 在两个网络之间， 通过 Internet 建立一个 虚拟的 网络连接。 使用类似 &man.ping.8; 这样的工作来验证它是否正常工作。 在两个网络之间应用安全策略以保证它们之间的通讯被透明地加密盒解密。 可以使用 &man.tcpdump.1; 或类似的工具来验证这一点。 在 FreeBSD 网关上配置其他软件， 让 &windows; 机器能够通过 VPN 看到另一个网络中的机器。 步骤 1： 建立并测试 <quote>虚拟的</quote> 网络连接 假设您目前已经登录到了网络 #1 的网关机上 (其公网 IP 地址是 A.B.C.D， 私网 IP 地址是 192.168.1.1)， 则您可以执行 ping 192.168.2.1， 这是公网 IP 为 W.X.Y.Z 的私网地址。 需要做什么实现上述功能呢? 作为网关的机器需要知道如何能够到达 192.168.2.1。 换言之， 它需要一条通往 192.168.2.1 的路由。 私网 IP 地址， 例如 192.168.x 这样的地址是不应在 Internet 上面大量出现的。 于此相反， 发送到 192.168.2.1 的数据包将会封装到另外的包中。 这样的包对外展现的应该是来自 A.B.C.D， 并被发到 W.X.Y.Z 去。 这个过程称为 封装。 一旦包到达了 W.X.Y.Z 就需要对其 拆封， 并传递给 192.168.2.1。 可以把上述过程理解为在两个网络间建立了一个 隧道。 两个 隧道口 是 IP 地址 A.B.C.D 和 W.X.Y.Z， 而隧道必须被告知哪些私有地址可以自由地在其中通过。 隧道被用来在公共的 Internet 上传递私有的 IP 数据。 在 FreeBSD 上， 隧道可以通过一般的网络接口， 或 gif 来建立。 您也许已经猜到了， 每一台网关机的 gif 接口需要配置四个 IP 地址； 两个是公网 IP 地址， 另两个则是私网 IP 地址。 对于 gif 设备的支持必须在两台网关机上编译进 &os; 内核。 可以通过添加下面的设置来达到目的： device gif 到两边的内核配置文件中， 并重新编译、 安装和启动它们。 配置隧道可以分为两步来完成。 首先隧道必须被告知外部的 (或公网的) IP 地址， 可以通过 &man.ifconfig.8; 来完成这步。 私网 IP 地址则必须使用 &man.ifconfig.8; 来配置。 在网络 #1 的网关机上可以通过下面的这些命令来配置隧道。 &prompt.root; ifconfig gif0 create &prompt.root; ifconfig gif0 tunnel A.B.C.D W.X.Y.Z &prompt.root; ifconfig gif0 inet 192.168.1.1 192.168.2.1 netmask 0xffffffff 在另一台网关上也需要执行同样的命令， 但 IP 地址的顺序相反。 &prompt.root; ifconfig gif0 create &prompt.root; ifconfig gif0 tunnel W.X.Y.Z A.B.C.D &prompt.root; ifconfig gif0 inet 192.168.2.1 192.168.1.1 netmask 0xffffffff 随后执行： ifconfig gif0 可以查看当前的配置情况。 例如， 在网络 #1 的网关上您应该能够看到： &prompt.root; ifconfig gif0 gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1280 tunnel inet A.B.C.D --> W.X.Y.Z inet 192.168.1.1 --> 192.168.2.1 netmask 0xffffffff 如您所见， 虽然到已经在物理地址 A.B.C.D 和 W.X.Y.Z 之间建立起来， 而允许通过隧道的地址则是 192.168.1.1 到 192.168.2.1 这个范围。 这同时会在两边机器的路由表中加入一项， 可以通过 netstat -rn 来观察。 来自网络 #1的网关机的输出如下。 &prompt.root; netstat -rn Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire ... 192.168.2.1 192.168.1.1 UH 0 0 gif0 ... 正如 Flags 的值所显示的那样， 这是一个主机路由， 这意味着每一个网关都知道如何到达另一端的网关， 但它们现在还不知道如何到达对方的网络。 我们接下来立刻解决这个问题。 您很可能在两台机器上都在运行防火墙。 这需要作一些变动， 以便适应 VPN 的需要。 一般来说会希望两个网络相互传递数据包， 或者通过防火墙来隔离两边的危险。 如果您将防火墙配置为允许两边的网络传输通过， 则测试工作会简单不少。 随后您可以随时将限制变得更严格一些。 假如您在网关上使用 &man.ipfw.8; 则下面的命令 ipfw add 1 allow ip from any to any via gif0 将允许两端点的 VPN 数据通过， 而不影响其他防火墙策略。 很显然， 您需要在两个网关上都执行上述命令。 现在已经可以让两台机器相互 ping 了。 在 192.168.1.1 您应该能够正常执行 ping 192.168.2.1 并得到回应。 对于另一台网关来说也是一样。 然而， 到目前为止仍然还无法连上另一网络上的内部主机。 原因是路由 -- 尽管网关机知道如何到达对方那里， 但它们都不知道如何到达对方后面的网络。 要解决这个问题， 就必须在两边都添加一条静态路由。 可以在第一台网关上执行： route add 192.168.2.0 192.168.2.1 netmask 0xffffff00 这相当于是说 为了到达 192.168.2.0 子网的机器， 需要把包发给 192.168.2.1。 您需要在另一个网关上也执行类似的命令， 但使用 192.168.1.x 的地址。 来自一个网络上的 IP 访问现在能够抵达对面的网络了。 在两个网络之间建立 VPN 的过程已经完成了三分之二， 它现在已经是 虚拟的 网络， 然而它还不够专用。 您可以使用 &man.ping.8; 和 &man.tcpdump.1; 来进行测试， 并记录两边收发的数据包 tcpdump dst host 192.168.2.1 接下来登录到本机的另一个会话 ping 192.168.2.1 您将在输出中发现 16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo reply 如您所见， ICMP 消息在收发的过程中都没有加密。 如果使用了 参数来运行 &man.tcpdump.1;， 甚至可以得到包中的更多信息以及其中的数据。 很明显这是不能接受的。 下一节将讨论如何让两个网络之间的连接更安全， 这件事是通过对通讯实施加密来完成的。 小结： 在两边的内核中配置 device gif。 编辑网关 #1 上的 /etc/rc.conf 并将下面的行添加进去 (根据需要改 IP )。 gif_interfaces="gif0" gifconfig_gif0="A.B.C.D W.X.Y.Z" ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff" static_routes="vpn" route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00" 在两台机器上编辑防火墙脚本 (/etc/rc.firewall， 或类似的名字) 在其中加入 ipfw add 1 allow ip from any to any via gif0 在网络 #2 的网关机上也对 /etc/rc.conf 做同样的修改， 注意把 IP 地址倒过来。 步骤 2： 对连接实施安全加固 为了加密连接通讯将用到 IPsec。 IPsec 提供了一种机制， 使得两台主机协商一个加密密钥， 并使用它加密之间的通讯。 在配置时有两个地方需要考虑。 必须有能够让两台主机协商所采用的加密方式的机制。 一旦双方确认了这机制， 则称他们之间建立了 安全关联。 必须采用某种机制来指定哪些通讯需要加密。 很明显地， 通常并不需要所有的发出数据都被加密 -- 一般只需要加密在 VPN 上传输的那些数据。 这类决定哪些数据被加密的规则被称为 安全策略。 安全关联和安全策略都是由内核来维护的， 并可以通过用户态的程序来修改。 在能够这样做之前， 首先需要配置内核来让它支持 IPsec 和安全载荷封装 (ESP) 协议。 配置下面的内核选项 内核选项 IPSEC options IPSEC options IPSEC_ESP 然后重新编译、 安装最后重新启动新的内核。 在继续进行设置之前， 您需要在两台网关上都进行同样的设置。 IKE 在建立安全关联时有两种选择。 一种方法是完全手工地在两台主机之间选择加密算法、 密钥等等， 另一种方法是使用实现了 Internet 密钥交换协议 (IKE) 的服务程序来帮您完成这些任务。 我们推荐后者。 不说别的， 它配置起来要容易得多。 IPsec security policies setkey 用 &man.setkey.8; 可以编辑和显示安全策略。 打个比方， setkey 之于内核的安全策略表， 就相当于 &man.route.8; 之于内核中的路由表。 setkey 还可以显示当前的安全关联， 这一点和 netstat -r 类似。 在 FreeBSD 上可供选择的用于管理安全关联的服务程序有很多。 这篇文章将介绍其中的一种， racoon —。 它可以从 &os; 的 Ports collection 中的 security/ipsec-tools 安装。 racoon racoon 软件， 必须在两台网关机上都运行。 需要配置 VPN 另一端的 IP， 以及一个密钥 (这个密钥可以任意选择， 但两个网关上的密钥必须一致)。 两端的服务程序将相互通讯， 并确认它们各自的身份 (使用刚刚配置的密钥) 然后服务程序将生成一个新的密钥， 并用它来加密 VPN 上的数据通讯。 它们定期地改变密钥， 因此即使供给者破解了一个密钥 (虽然这在理论上并不十分可行) 他也得不到什么 -- 破解密钥的时候， 已经产生一组新的密钥了。 racoon 的配置文件是存放在 ${PREFIX}/etc/racoon 目录中的。 在那里应该能够找到一个配置文件， 不需要修改太多的设置。 raccon 配置的另一部分， 也就是需要修改的内容， 是 预先配置的共享密钥。 默认的 racoon 配置应该可以在 ${PREFIX}/etc/racoon/psk.txt 这个文件中找到。 需要强调的是， 这个密钥 并非 用于加密 VPN 连接的密钥， 他们只是密钥管理服务程序用以信任对方的一种凭据。 psk.txt 包含了需要打交道的每一个远程站点。 在本例中一共有两个站点， 每一个 psk.txt 都只有一行 (因为每个 VPN 接入点都只和一个端点连接)。 在网关机 #1 上应该是： W.X.Y.Z secret 这包括了远程站点的 公网 IP 地址， 空格， 以及提供秘密的字符串。 很明显不应使用 secret 作为实际的密钥 -- 通常的口令选择策略在这里也适用。 在网关 #2 上对应的配置是 A.B.C.D secret 也就是说， 对面端的公网 IP 地址， 以及同样的密钥。 psk.txt 的权限必须是 0600 (也就是说， 只有 root 能够读写) 否则 racoon 将不能运行。 两边的机器上都必须执行 racoon。 另外， 还需要增加一些防火墙规则来允许 IKE 通讯通过， 它是通过 UDP 在 ISAKMP (Internet 安全关联密钥管理协议) 端口上运行的协议。 再次强调， 这个规则应该在规则集尽可能早的位置出现。 ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp 一旦 racoon 开始运行， 就可以开始测试让网关进行相互的 ping 了。 此时连接还没有进行加密， 但 racoon 将在两个主机之间建立安全关联 -- 这可能需要一段时间， 对您来说， 具体的现象则是在 ping 命令开始响应之前会有短暂的延迟。 一旦安全关联建立之后， 就可以使用 &man.setkey.8； 来查看它了。 在两边的网关上执行 setkey -D 就可以看到安全关联的相关信息了。 现在只完成了一半的工作。 另一半是设置安全策略。 想要完成一个有判断力的安全策略， 首先要看我们已经完成的步骤。 接下来的讨论针对连接的两端。 您所发出的每一个 IP 包都包括一个包头， 其内容是和这个包有关的描述性数据。 包头包括了包的来源和目的的 IP 地址。 正如我们所了解的那样， 私有 IP 地址， 例如 192.168.x.y 这样的地址范围， 不应该出现在 Internet 的公网上。 于此相反， 他们必须首先封装到别的包中。 包的来源或目的如果是私有 IP 地址， 则必须替换成公网 IP 地址。 因此如果发出的包类似下面这样： .-------------------. | Src: 192.168.1.1 | | Dst: 192.168.2.1 | | <其他头信息 > | +-------------------+ | <包数据 > | `-------------------' 随后它将被封装进另一个包中， 像下面这样： .--------------------------. | Src: A.B.C.D | | Dst: W.X.Y.Z | | <附加头信息 > | +--------------------------+ | .----------------------. | | | Src: 192.168.1.1 | | | | Dst: 192.168.2.1 | | | | <附加头信息 > | | | +----------------------+ | | | <包数据 > | | | `----------------------' | `--------------------------' 封装过程是在 gif 设备上完成的。 如上图所示， 包现在有了外部的实际 IP 地址， 而原始的包则被封装到里面作为数据。 这个包将通过 Internet 传递。 很明显地， 我们希望 VPN 之间的通讯是加密的。 用于言来描述大致是： 如果包从 A.B.C.D 发出且其目的地是 W.X.Y.Z， 则通过必要的安全关联进行加密。 如果包来自 W.X.Y.Z 且其目的地是 A.B.C.D， 则通过必要的安全关联进行解密。 这已经很接近了， 但还不够正确。 如果这么做的话， 所有来自和发到 W.X.Y.Z 的包， 无论是否属于 VPN 通讯都会被加密。 这可能并不是您所希望的， 因此正确的安全策略应该是 如果包从 A.B.C.D 发出， 且封装了其他的包， 其目的地是 W.X.Y.Z， 则通过必要的安全关联进行加密。 如果包来自 W.X.Y.Z， 且封装了其他的包， 其目的地是 A.B.C.D， 则通过必要的安全关联进行解密。 一个很小， 但却必要的改动。 安全策略也是通过 &man.setkey.8; 设置的。 &man.setkey.8; 提供了一种用于配置策略的语言。 可以直接在 stdin 上输入策略， 或通过 选项来指定一个包含配置命令的文件。 网关 #1 上的配置 (其 IP 地址是 A.B.C.D) 强制将所有到 W.X.Y.Z 的通讯进行加密的配置是： spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 把这些命令放到一个文件 (例如 /etc/ipsec.conf) 然后执行 &prompt.root; setkey -f /etc/ipsec.conf 会告诉 &man.setkey.8; 我们希望把规则加入到安全策略数据库中。 命令的其它部分指定了什么样的包能够匹配这规则。 A.B.C.D/32 和 W.X.Y.Z/32 是用于指定规则能够匹配的网络或主机的 IP 地址和掩码。 本例中， 希望应用到两个主机之间的通讯上。 则告诉内核这规则只应被用于封装其他包的那些数据包。 表示策略是针对发出的包的， 而 则表示需要对数据包进行加密。 第二行指定了如何加密。 是将要使用的协议， 而 则表示包应该进一步封装进一个 IPsec 包里面。 反复使用 A.B.C.D 和 W.X.Y.Z 用来选择所用的安全关联 而最后的 则强制所有匹配这规则的包都被加密。 上面的规则只匹配了发出的包。 接下来需要配置类似的匹配进入包的规则。 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; 请注意本例中 代替了 并且 IP 地址的顺序也相反。 在另一个网关上 (其公网 IP 地址是 W.X.Y.Z) 也需要类似的规则。 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 最后是添加允许 ESP 和 IPENCAP 包进出的防火墙规则。 这些规则需要在两边分别设置。 ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D 由于规则的对称性， 因此可以在两台网关上使用同样的规则。 发出的包如下图所示： .------------------------------. --------------------------. | Src: A.B.C.D | | | Dst: W.X.Y.Z | | | <other header info> | | Encrypted +------------------------------+ | packet. | .--------------------------. | -------------. | contents | | Src: A.B.C.D | | | | are | | Dst: W.X.Y.Z | | | | completely | | <other header info> | | | |- secure | +--------------------------+ | | Encap'd | from third | | .----------------------. | | -. | packet | party | | | Src: 192.168.1.1 | | | | Original |- with real | snooping | | | Dst: 192.168.2.1 | | | | packet, | IP addr | | | | <other header info> | | | |- private | | | | +----------------------+ | | | IP addr | | | | | <packet data> | | | | | | | | `----------------------' | | -' | | | `--------------------------' | -------------' | `------------------------------' --------------------------' 当 VPN 数据被远端接到时， 它将首先被解密 (使用 racoon 协商得到的安全关联)。 然后它们将进入 gif 接口， 并在那里展开第二层， 直到只剩下最里层的包， 并将其转发到内网上。 可以通过与之前同样的 &man.ping.8; 命令来测试安全性。 首先登录到 A.B.C.D 网关上并执行： tcpdump dst host 192.168.2.1 在同一主机上登录另一会话， 执行 ping 192.168.2.1 此时的输出应该是： XXX tcpdump output 如您看到的， &man.tcpdump.1; 给出的将是 ESP 包。 假如您想查看它们的内容可以使用 option 选项， 您将 (显然地) 看到一些乱码， 因为传输过程实施了加密。 祝贺您。 您已经完成了两个远程站点之间的 VPN 的架设工作。 小结 将两边的内核配置加入： options IPSEC options IPSEC_ESP 安装 security/ipsec-tools。 编辑两台网关上的 ${PREFIX}/etc/racoon/psk.txt 并添加远程主机的 IP 和共享的密钥。 文件的权限应该是 0600。 将下面的设置加入两台主机的 /etc/rc.conf 中： ipsec_enable="YES" ipsec_file="/etc/ipsec.conf" 在两个网关上都建立 /etc/ipsec.conf 并添加必要的 spdadd。 在网关 #1 上是： spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; 在网关 #2 上则是： spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 添加防火墙规则以允许 IKE, ESP, 和 IPENCAP 通讯能够到达各自的主机： ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D 前面的两步应该足以让 VPN 运转起来了。 两个网络上的机器都应该能通过 IP 来访问对方， 而所有的通讯都被自动地进行加密。 Chern Lee 原著 OpenSSH OpenSSH 安全 OpenSSH OpenSSH 是一组用于安全地访问远程计算机的连接工具。 它可以作为 rlogin、 rsh rcp 以及 telnet 的直接替代品使用。 更进一步， 其他任何 TCP/IP 连接都可以通过 SSH 安全地进行隧道/转发。 OpenSSH 对所有的传输进行加密， 从而有效地阻止了窃听、 连接劫持， 以及其他网络级的攻击。 OpenSSH 由 OpenBSD project 维护， 它基于 SSH v1.2.12 并包含了最新的错误修复和更新。 它同时兼容 SSH 协议的 1 和 2 两个版本。 使用 OpenSSH 的好处 通常，当使用 &man.telnet.1; 或 &man.rlogin.1; 时， 数据是以明码的形式发送的，并没有加密。 在客户机和服务器之间的网络上运行的听包程序可以在会话中偷窃到传输的用户名/密码和数据。 OpenSSH 提供了多种的身份验证和加密方法来防止这种情况的发生。 启用 sshd OpenSSH 启用 sshd 的启用是作为 &os; 安装中 Standard 安装过程中的一步来进行的。 要查看 sshd 是否已被启用， 请检查 rc.conf 文件中的： sshd_enable="YES" 这表示在下次系统启动时加载 OpenSSH 的服务程序 &man.sshd.8;。 此外， 也可以手动使用 &man.rc.8; 脚本 /etc/rc.d/sshd 来启动 OpenSSH： /etc/rc.d/sshd start SSH 客户 OpenSSH 客户 &man.ssh.1; 的工作方式和 &man.rlogin.1; 非常类似。 &prompt.root; ssh user@example.com Host key not found from the list of known hosts. Are you sure you want to continue connecting (yes/no)? yes Host 'example.com' added to the list of known hosts. user@example.com's password: ******* 登录过程和使用 rlogin 或 telnet 建立的会话非常类似。 在连接时， SSH 会利用一个密钥指纹系统来验证服务器的真实性。 只有在第一次连接时， 用户会被要求输入 yes。 之后的连接将会验证预先保存下来的密钥指纹。 如果保存的指纹与登录时接收到的不符， 则将会给出警告。 指纹保存在 ~/.ssh/known_hosts 中， 对于 SSH v2 指纹， 则是 ~/.ssh/known_hosts2。 默认情况下， 较新版本的 OpenSSH 只接受 SSH v2 连接。 如果能用版本 2 则客户程序会自动使用， 否则它会返回使用版本 1 的模式。 此外， 也可以通过命令行参数 或 来相应地强制使用版本 1 或 2。 保持客户端的版本 1 能力是为了考虑较早版本的兼容性。 安全复制 OpenSSH 安全复制 scp &man.scp.1; 命令和 &man.rcp.1;; 的用法类似， 它用于将文件复制到远程的机器上， 或复制过来， 区别是它是安全的。 &prompt.root; scp user@example.com:/COPYRIGHT COPYRIGHT user@example.com's password: ******* COPYRIGHT 100% |*****************************| 4735 00:00 &prompt.root; 由于先前的例子中已经保存了指纹， 使用 &man.scp.1; 时会自动地加以验证。 &man.scp.1; 使用的参数同 &man.cp.1; 类似。 第一个参数是一个或一组文件， 然后是复制的目标。 由于文件是通过 SSH 在网上传递的， 因此某些文件的名字需要写成 。 配置 OpenSSH 配置 针对 OpenSSH 服务程序和客户端的系统级配置文件在 /etc/ssh 目录中。 ssh_config 用于配置客户端的设定， 而 sshd_config 则用于配置服务器端。 另外 (默认是 /usr/sbin/sshd)， 以及 这两个 rc.conf 选项提供了更多的配置选择。 ssh-keygen 用于取代口令的一种方法是使用 &man.ssh-keygen.1; 来生成 DSA 或 RSA 密钥对用于验证用户的身份： &prompt.user; ssh-keygen -t dsa Generating public/private dsa key pair. Enter file in which to save the key (/home/user/.ssh/id_dsa): Created directory '/home/user/.ssh'. Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/user/.ssh/id_dsa. Your public key has been saved in /home/user/.ssh/id_dsa.pub. The key fingerprint is: bb:48:db:f2:93:57:80:b6:aa:bc:f5:d5:ba:8f:79:17 user@host.example.com &man.ssh-keygen.1; 会生成一个包含公私钥对用于验证身份。 私钥将保存到 ~/.ssh/id_dsa 或 ~/.ssh/id_rsa， 而公钥则被存放到 ~/.ssh/id_dsa.pub 或 ~/.ssh/id_rsa.pub， 文件名取决于您选择的 DSA 和 RSA 密钥类型。 公钥必须被存放到远程机器上的 ~/.ssh/authorized_keys 才能够使系统正确运转。 类似地， 第 1 版的 RSA 公钥应存放到 ~/.ssh/authorized_keys。 这将允许从远程连接时以基于 SSH 密钥的验证来代替口令验证。 如果在 &man.ssh-keygen.1; 中使用了通行字， 则每次使用私钥时都需要输入它。 &man.ssh-agent.1; 能够缓解多次输入长通行字的压力， 并将在接下来的 予以详述。 选项和配置文件可能随 OpenSSH 的版本不同而不同； 为了避免出现问题， 您应参考 &man.ssh-keygen.1; 联机手册。 ssh-agent 和 ssh-add &man.ssh-agent.1; 和 &man.ssh-add.1; 这两个工具， 提供了一种将 SSH 秘钥加载到内存中以便使用， 而不必每次都输入通行字的方法。 &man.ssh-agent.1; 工具能够使用加载到其中的私钥来处理验证过程。 &man.ssh-agent.1; 应被用于启动另一个应用程序。 最基本的用法是， 使用它来启动 shell， 而高级一些的用法则是用它来启动窗口管理器。 要在 shell 中使用 &man.ssh-agent.1;， 首先应把 shell 作为参数来启动它。 随后， 应通过 &man.ssh-add.1; 并输入通行字， 来向它提供身份验证信息。 一旦这些步骤都做完了， 用户就应该能够 &man.ssh.1; 到任何一个安装了对应公钥的机器了。 例如： &prompt.user; ssh-agent csh &prompt.user; ssh-add Enter passphrase for /home/user/.ssh/id_dsa: Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) &prompt.user; 要在 X11 中使用 &man.ssh-agent.1;， 调用 &man.ssh-agent.1; 的过程应置于 ~/.xinitrc 之中。 这将把 &man.ssh-agent.1; 服务提供给所有在 X11 中运行的程序。 下面是一个 ~/.xinitrc 文件的实例： exec ssh-agent startxfce4 这将启动 &man.ssh-agent.1;， 而后者将在每次 X11 启动时运行 XFCE。 作完这些之后就可以重启 X11 以便使修改生效。 随后您就可以运行 &man.ssh-add.1; 来加载全部 SSH 密钥了。 SSH 隧道 OpenSSH 隧道 OpenSSH 能够创建隧道以便用加密的会话来封装其他协议。 下面的命令告诉 &man.ssh.1; 为 telnet 创建一个隧道： &prompt.user; ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com &prompt.user; 上述 ssh 命令使用了下面这些选项： 强制 ssh 使用第2版的协议 (如果需要和较老的 SSH 一同工作请不要使用这个选项)。 表示不使用命令行， 或者说只使用隧道。 如果省略， ssh 将同时初始化会话。 强制 ssh 在后台执行。 表示产生一条 本地端口:远程主机:远程端口 形式的隧道。 远程 SSH 服务器。 SSH 隧道通过监听 localhost 上面指定端口来完成工作。 它将把本机主机/端口上接收到的连接通过 SSH 连接转发到远程主机/端口。 本例中， 位于 localhost 的 5023 端口 被用于转发 localhost 的连接到远程主机的 23 端口。 由于 23 是 telnet 使用的， 因此它将通过 SSH 隧道完成 telnet 会话。 这可以用来封装任意不安全的 TCP 协议， 例如 SMTP、 POP3、 FTP等等。 使用 SSH 为 SMTP 创建安全隧道 &prompt.user; ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com user@mailserver.example.com's password: ***** &prompt.user; telnet localhost 5025 Trying 127.0.0.1... Connected to localhost. Escape character is '^]'. 220 mailserver.example.com ESMTP 这可以与 &man.ssh-keygen.1; 以及额外的用户帐号配合来建立一个更透明的 SSH 隧道环境。 密钥可以被用在需要输入口令的地方， 而且可以为不同的用户配置不同的隧道。 实用的 SSH 通道例子 加强 POP3 服务的安全 工作时， 有一个允许外来连接的 SSH 服务器。 同一个办公网络中有一个邮件服务器提供 POP3 服务。 这个网络， 或从您家到办公室的网络可能不， 或不完全可信。 基于这样的原因， 您需要以安全的方式来查看邮件。 解决方法是创建一个到办公室 SSH 服务器的连接， 并通过这个连接来访问 POP3 服务： &prompt.user; ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com user@ssh-server.example.com's password: ****** 当这个通道连上时， 您可以把 POP3 请求发到 localhost 端口 2110。 这个连接将通过通道安全地转发到 mail.example.com。 绕过严厉的防火墙 一些大脑长包的网络管理员会使用一些极端的防火墙策略， 不仅过滤进入的连接， 而且也过滤连出的连接。 一些时候您可能只能连接远程机器 22 端口，以及 80 端口用来进行 SSH 和网页浏览。 您可能希望访问一些其它的 (也许与工作无关的) 服务， 例如提供音乐的 Ogg Vorbis 流媒体服务器。 如果 Ogg Vorbis server 在 22 或 80 端口以外的端口播放音乐， 则您将无法访问它。 解决方法是建立一个到您的网络的防火墙之外的网络上的 SSH 服务器， 并通过它提供的通道连接到 Ogg Vorbis 服务器上。 &prompt.user; ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org user@unfirewalled-system.example.org's password: ******* 现在您可以把客户程序指定到 localhost 的 8888 端口， 它将把请求转发给 music.example.com 的 8000 端口， 从而绕过防火墙。 允许用户登录 <varname>AllowUsers</varname> 选项 通常限制哪些用户能够登录， 以及从何处登录会是好主意。 采用 AllowUsers 选项能够方便地达到这一目的。 例如， 想要只允许 root 用户从 192.168.1.32 登录， 就可以在 /etc/ssh/sshd_config 文件中加入下述设置： AllowUsers root@192.168.1.32 要允许用户 admin 从任何地方登录， 则只需列出用户名： AllowUsers admin 可以在同一行指定多个用户， 例如： AllowUsers root@192.168.1.32 admin 列出需要登录机器的用户很重要； 否则他们将被锁在外面。 在完成对 /etc/ssh/sshd_config 的修改之后您必须告诉 &man.sshd.8; 重新加载其配置文件， 方法是执行： &prompt.root; /etc/rc.d/sshd reload 进一步的资料 OpenSSH &man.ssh.1; &man.scp.1; &man.ssh-keygen.1; &man.ssh-agent.1; &man.ssh-add.1; &man.ssh.config.5; &man.sshd.8; &man.sftp-server.8; &man.sshd.config.5; Tom Rhodes 作者 ACL 文件系统访问控制表 与文件系统在其他方面的加强， 如快照等一道， &os; 5.0 及更高版本提供了通过文件系统访问控制表 (ACLs) 实现的安全机制。 访问控制表以高度兼容 (&posix;.1e) 的方式扩展了标准的 &unix; 权限模型。 这一特性使得管理员能够利用其优势设计更为复杂的安全模型。 如果想为 UFS 文件系统启用 ACL 支持， 则需要添加下列选项： options UFS_ACL 并重新编译内核。 如果这个选项没有编译进内核， 则在挂接支持 ACL 的文件系统时将会收到警告。 这个选项在 GENERIC 内核中已经包含了。 ACL 依赖于在文件系统上启用扩展属性。 在新一代的 &unix; file system， UFS2 中内建了这种支持。 在 UFS1 上配置扩展属性需要比 UFS2 更多的管理开销。 而且， 在 UFS2 上的扩展属性的性能也有极大的提高。 因此， 如果想要使用访问控制表， 推荐使用 UFS2 而不是 UFS1。 ACL 可以在挂接时通过选项 来启动， 它可以加入 /etc/fstab。 另外， 也可以通过使用 &man.tunefs.8; 修改超级块中的 ACL 标记来持久性地设置自动的挂接属性。 一般而言， 后一种方法是推荐的做法， 其原因是： 挂接时的 ACL 标记无法被重挂接 (&man.mount.8; ) 改变， 只有完整地 &man.umount.8; 并做一次新的 &man.mount.8; 才能改变它。 这意味着 ACLs 状态在系统启动之后就不可能在 root 文件系统上发生变化了。 另外也没有办法改变正在使用的文件系统的这个状态。 在超级块中的设置将使得文件系统总被以启用 ACLs 的方式挂接， 即使在 fstab 中的对应项目没有作设置， 或设备顺序发生变化时也是如此。 这避免了不慎将文件系统以没有启用 ACLs 的状态挂接， 从而避免没有强制 ACLs 这样的安全问题。 可以修改 ACL 行为， 以允许在没有执行一次全新的 &man.mount.8; 的情况下启用它， 但我们认为不鼓励在不启用 ACL 的时候这么做是有必要的， 因为如果启用了 ACL， 然后关掉它， 然后在没有刷新扩展属性的情况下重新启用它是很容易造成问题的。 一般而言， 一旦启用了文件系统的 ACLs 就不应该再关掉它， 因为此时的文件系统的保护措施可能和用户所期待的样子不再兼容， 而重新启用 ACL 将重新把先前的 ACL 附着到文件上， 而由于它们的权限发生了变化， 就很可能造成无法预期的行为。 在查看目录时， 启用了 ACLs 的文件将在通常的属性后面显示 + (加号)。 例如： drwx------ 2 robert robert 512 Dec 27 11:54 private drwxrwx---+ 2 robert robert 512 Dec 23 10:57 directory1 drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2 drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3 drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html 这里我们看到了 directory1, directory2， 以及 directory3 目录使用了 ACLs。 而 public_html 则没有。 使用 <acronym>ACL</acronym> 文件系统 ACL 可以使用 &man.getfacl.1; 工具来查看。 例如， 如果想查看 test 的 ACL 设置， 所用的命令是： &prompt.user; getfacl test #file: #owner:1001 #group:1001 user::rw- group::r-- other::r-- 要修改这个文件上的 ACL 设置， 则需要使用 &man.setfacl.1; 工具。 例如： &prompt.user; setfacl -k test 参数将把所有当前定义的 ACL 从文件或文件系统中删除。 一般来说应该使用 因为它会保持让 ACL 正常工作的那些项不变。 &prompt.user; setfacl -m u:trhodes:rwx,group:web:r--,o::--- test 在前面的命令中， -m 选项被用来修改默认的 ACL 项。由于已经被先前的命令 删除，因此没有预先定义的项，于是默认的选项被恢复，并附加上指定的选项。 请小心地检查，如果您加入了一个不存在的用户或组，那么将会在 stdout 得到一条 Invalid argument 的错误提示。 Tom Rhodes Contributed by Portaudit 监视第三方安全问题 过去几年中， 安全领域在如何处理漏洞的评估方面取得了长足的进步。 几乎每一个操作系统都越来越多地安装和配置了第三方工具， 而系统被入侵的威胁也随之增加。 漏洞的评估是安全的一个关键因素， 尽管 &os; 会发布基本系统的安全公告， 然而为每一个第三方工具都发布安全公告则超出了 &os; Project 的能力。 在这一前提下， 一种减轻第三方漏洞的威胁， 并警告管理员存在已知的安全问题的方法也就应运而生。 名为 Portaudit 的 &os; 附加工具能够帮助您达成这一目的。 security/portaudit port 会下载一个数据库， 这一数据库是由 &os; Security Team 和 ports 开发人员维护的， 其中包含了已知的安全问题。 要开始使用 Portaudit， 需要首先从 Ports Collection 安装它： &prompt.root; cd /usr/ports/security/portaudit && make install clean 在安装过程中， &man.periodic.8; 的配置文件将被修改， 以便让 Portaudit 能够在每天的安全审计过程中运行。 一定要保证发到 root 帐号的每日安全审计邮件确实有人在读。 除此之外不需要进行更多的配置了。 安装完成之后， 管理员可以通过下面的命令来更新数据库， 并查看目前安装的软件包中所存在的已知安全漏洞： &prompt.root; portaudit -Fda 由于每天执行 &man.periodic.8; 时都会自动更新数据库， 因此， 运行这条命令是可选的。 在这里只是作为例子给出。 在任何时候， 如果希望对通过 Ports Collection 安装的第三方软件工具进行审计， 管理员都可以使用下面的命令： &prompt.root; portaudit -a 针对存在漏洞的软件包， Portaudit 将生成类似下面的输出： Affected package: cups-base-1.1.22.0_1 Type of problem: cups-base -- HPGL buffer overflow vulnerability. Reference: <http://www.FreeBSD.org/ports/portaudit/40a3bca2-6809-11d9-a9e7-0001020eed82.html> 1 problem(s) in your installed packages found. You are advised to update or deinstall the affected package(s) immediately. 通过访问上面给出的 URL， 管理员能够了解关于那个漏洞的进一步信息。 这些信息通常包括受到影响的 &os; Port 版本， 以及其他可能包含安全公告的网站。 简而言之， Portaudit 是一个强大的工具， 并能够配合 Portupgrade port 来非常有效地工作。 Tom Rhodes 作者 FreeBSD 安全公告 &os; 安全公告 像其它具有产品级品质的操作系统一样， &os; 会发布 安全公告。 通常这类公告会只有在在相应的发行版本已经正确地打过补丁之后发到安全邮件列表并在勘误中说明。 本节将介绍什么是安全公告， 如何理解它， 以及为系统打补丁的具体步骤。 安全公告看上去是什么样子？ &os; 安全公告的样式类似下面的范例， 这一例子来自 &a.security-notifications.name; 邮件列表。 ============================================================================= &os;-SA-XX:XX.UTIL Security Advisory The &os; Project Topic: denial of service due to some problem Category: core Module: sys Announced: 2003-09-23 Credits: Person@EMAIL-ADDRESS Affects: All releases of &os; &os; 4-STABLE prior to the correction date Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15) 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8) 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18) 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) CVE Name: CVE-XXXX-XXXX For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the following sections, please visit http://www.FreeBSD.org/security/. I. Background II. Problem Description III. Impact IV. Workaround V. Solution VI. Correction details VII. References Topic(标题) 一栏说明了问题到底是什么。 它基本上是对所发现的安全问题及其所涉及的工具的描述。 Category (分类) 是指系统中受到影响的组件， 这一栏可能是 core、 contrib， 或者 ports 之一。 core 分类表示安全弱点影响到了 &os; 操作系统的某个核心组件。 contrib 分类表示弱点存在于某个捐赠给 &os; Project 的软件， 例如 sendmail。 最后是 ports， 它表示该弱点影响了 Ports Collection 中的某个第三方软件。 Module(模块) 一栏给出了组件的具体位置， 例如 sys。 在这个例子中， 可以看到 sys 模块是存在问题的； 因此， 这个漏洞会影响某个在内核中的组件。 Announced(发布时间) 一栏反映了与安全公告有关的数据是什么时候公之于众的。 这说明安全团队已经证实问题确实存在， 而补丁已经写入了 &os; 的代码库。 Credits(作者) 一栏给出了注意到问题存在并报告它的个人或团体。 The Affects(影响范围) 一栏给出了 &os; 的那些版本存在这个漏洞。 对于内核来说， 检视受影响的文件上执行的 ident 输出可以帮助确认文件版本。 对于 ports， 版本号在 /var/db/pkg 里面的 port 的名字后面列出。 如果系统没有与 &os; CVS 代码库同步并每日构建， 它很可能是有问题的。 Corrected(修正时间) 一栏给出了发行版本中修正问题的具体日期、时间和时差。 在公共漏洞数据库 (Common Vulnerabilities Database) 系统中预留的， 用于查看漏洞的标识信息。 Background(技术背景) 一栏提供了受影响的组件的作用。 多数时候这一部分会说明为什么 &os; 中包含了它， 它的作用， 以及它的一些原理。 Problem Description(问题描述) 一栏深入阐述安全漏洞的技术细节。 这部分有时会包括有问题的代码相关的详细情况， 甚至是这个部件如何能够被恶意利用并打开漏洞的细节。 Impact(影响) 一栏描述了问题能够造成的影响类型。 例如， 可能导致拒绝服务攻击， 权限提升， 甚至导致得到超级用户的权限。 Workaround(应急方案) 一栏给出了系统管理员在暂时无法升级系统时可以采取的临时性对策。 这些原因可能包括时间限制， 网络资源的限制， 或其它因素。 不过无论如何， 安全不能够被轻视， 有问题的系统要么应该打补丁， 要么应该实施这种应急方案。 Solution(解决方案) 一栏提供了如何给有问题的系统打补丁的方法。 这是经过逐步测试和验证过的给系统打补丁并让其安全地工作的方法。 =Correction Details(修正细节) 一栏展示了针对 CVS 分支或某个发行版的修正特征。 同时也提供了每个分支上相关文件的版本号。 References(文献) 一栏通常会给出其它信息的来源。 这可能包括 URL， 书籍、 邮件列表以及新闻组。 Tom Rhodes Contributed by 进程记帐 进程记帐 进程记帐是一种管理员可以使用的跟踪系统资源使用情况的手段， 包括它们分配给了哪些用户、 提供系统监视手段， 并且可以精细到用户执行的每一个命令。 当然， 这种做法是兼有利弊的。 它的好处是， 查找入侵时可以迅速把范围缩小到攻击者进入的时刻； 而这样做的缺点， 则是记帐会产生大量的日志， 因而需要很多磁盘空间来存储它们。 这一节将带领管理员一步一步地配置基本的进程记帐。 启用并利用进程记帐 在使用进程记帐之前， 必须先启用它。 要完成这项工作， 需要运行下面的命令： &prompt.root; touch /var/account/acct &prompt.root; accton /var/account/acct &prompt.root; echo 'accounting_enable="YES"' >> /etc/rc.conf 一旦启用之后， 记帐就会开始跟踪 CPU 统计数据、 命令， 等等。 所有的记帐日志不是以可读的方式记录的， 要查看它们， 需要使用 &man.sa.8; 这个工具。 如果没有给出其他参数， 则 sa 将按用户， 以分钟为单位显示他们所使用的时间、 总共的 CPU 和用户时间， 以及平均的 I/O 操作数目， 等等。 要显示关于刚刚发出的命令的相关信息， 则应使用 &man.lastcomm.1; 工具。 lastcomm 可以用来显示在某一 &man.ttys.5; 上的用户信息， 例如： &prompt.root; lastcomm ls trhodes ttyp1 将会显示出所有已知的 trhodes 在 ttyp1 终端上执行 ls 的情况。 更多的可用选项在联机手册 &man.lastcomm.1;、 &man.acct.5; 和 &man.sa.8; 中有所介绍。