diff --git a/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml b/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml index e057c16678..6166ca85a8 100644 --- a/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml @@ -1,4644 +1,4814 @@ 高级网络 概述 本章将就一系列与网络有关的高级话题进行讨论。 读完这章，您将了解： 关于网关和路由的基础知识。 如何配置 IEEE 802.11 和 蓝牙(&bluetooth;) 设备。 如何用 FreeBSD 做网桥。 如何为无盘机上配置网络启动。 如何配置网络地址转换 (NAT)。 如何使用 PLIP 连接两台计算机。 如何在运行 FreeBSD 的计算机上配置 IPv6。 如何配置 ATM。 如何利用 CARP， &os; 支持的 Common Access Redundancy Protocol (共用地址冗余协议) 在读这章之前， 您应： 理解 /etc/rc 脚本的基本知识。 熟悉基本的网络术语。 了解如何配置和安装新的 FreeBSD 内核 ()。 了解如何安装第三方软件 ()。 Coranth Gryphon 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 网关和路由 路由 网关 子网 要让网络上的两台计算机能够相互通讯， 就必须有一种能够描述如何从一台计算机到另一台计算机的机制， 这一机制称作 路由选择(routing)。 路由项 是一对预先定义的地址： 目的地(destination) 和 网关(gateway)。 这个地址对所表达的意义是， 通过 网关 能够完成与 目的地 的通信。 有三种类型的目的地址： 单个主机、 子网、 以及 默认。 如果没有可用的其它路由， 就会使用 默认路由， 有关默认路由的内容， 将在稍后的章节中进行讨论。 网关也有三种类型： 单个主机， 网络接口 (也叫 链路 (links)) 和以太网硬件地址 (MAC 地址)。 实例 为了说明路由选择的各个部分， 首先来看看下面的例子。 这是 netstat 命令的输出： &prompt.user; netstat -r Routing tables Destination Gateway Flags Refs Use Netif Expire default outside-gw UGSc 37 418 ppp0 localhost localhost UH 0 181 lo0 test0 0:e0:b5:36:cf:4f UHLW 5 63288 ed0 77 10.20.30.255 link#1 UHLW 1 2421 example.com link#1 UC 0 0 host1 0:e0:a8:37:8:1e UHLW 3 4601 lo0 host2 0:e0:a8:37:8:1e UHLW 0 5 lo0 => host2.example.com link#1 UC 0 0 224 link#1 UC 0 0 默认路由 头两行给出了当前配置中的默认路由 (将在 下一节 中进行介绍) 和 localhost (本机) 路由。 回环设备 这里的路由表中给出的用于 localhost 的接口 (Netif 列) 是 lo0， 也就是大家熟知的 回环设备。 它表示所有以此为 目的地 的通信都留在本机， 而不通过 LAN 发出， 因为这些流量最终会回到起点。 以太网 MAC 地址 接着出现的是以 0:e0: 开头的地址。这些是以太网硬件地址，也称为 MAC 地址。 FreeBSD 会自动识别在同一个以太网中的任何主机 (如 test0)， 并为其新增一个路由， 并通过那个以太网接口 — ed0 直接与它通讯 (译者注：那台主机)。与这类路由表相关的也有一个超时项 (Expire列)，当我们在指定时间内没有收到从那个主机发来的信息， 这项就派上用场了。这种情况下，到这个主机的路由就会被自动删除。 这些主机被使用一种叫做RIP(路由信息协议--Routing Information Protocol)的机制所识别，这种机制利用基于最短路径选择 (shortest path determination)的办法计算出到本地主机的路由。 子网 FreeBSD 也会为本地子网添加子网路由(10.20.30.255 是子网 10.20.30 的广播地址，而 example.com 是这个子网相联的域名)。 名称 link#1 代表主机上的第一块以太网卡。 您会发现，对于它们没有指定另外的接口。 这两个组(本地网络主机和本地子网)的路由是由守护进程 routed 自动配置的。如果它没有运行， 那就只有被静态定义 (例如，明确输入的) 的路由才存在了。 host1 行代表我们的主机，它通过以太网地址来识别。 因为我们是发送端，FreeBSD知道使用回环接口 (lo0) 而不是通过以太网接口来进行发送。 两个 host2 行是我们使用 &man.ifconfig.8; 别名 (请看关于以太网的那部分就会知道我们为什么这么做) 时产生的一个实例。在 lo0 接口之后的 => 符号表明我们不仅使用了回环 (因为这个地址也涉及了本地主机)，而且明确指出它是个别名。 这类路由只有在支持别名的主机上才能显现出来。 所有本地网上的其它的主机对于这类路由只会简单拥有 link#1。 最后一行 (目标子网224) 用于处理多播——它会覆盖到其它的区域。 最后，每个路由的不同属性可以在 Flags 列中看到。下边是个关于这些标志和它们的含义的一个简表： U Up: 路由处于活动状态。 H Host: 路由目标是单个主机。 G Gateway: 所有发到目的地的网络传到这一远程系统上， 并由它决定最后发到哪里。 S Static: 这个路由是手工配置的，不是由系统自动生成的。 C Clone: 生成一个新的路由， 通过这个路由我们可以连接上这些机子。 这种类型的路由通常用于本地网络。 W WasCloned: 指明一个路由——它是基于本地区域网络 (克隆) 路由自动配置的。 L Link: 路由涉及到了以太网硬件。 默认路由 默认路由 当本地系统需要与远程主机建立连接时， 它会检查路由表以决定是否有已知的路径存在。 如果远程主机属于一个我们已知如何到达 (克隆的路由) 的子网内，那么系统会检查看沿着那个接口是否能够连接。 如果所有已知路径都失败，系统还有最后一个选择： 默认路由。这个路由是特殊类型的网关路由 (通常只有一个存在于系统里)，并且总是在标志栏使用一个 c来进行标识。对于本地区域网络里的主机， 这个网关被设置到任何与外界有直接连接的机子里 (无论是通过 PPP、DSL、cable modem、T1 或其它的网络接口连接)。 如果您正为某台本身就做为网关连接外界的机子配置默认路由的话， 那么该默认路由应该是您的互联网服务商 (ISP)那方的网关机子。 让我们来看一个关于默认路由的例子。这是个很普遍的配置： [Local2] <--ether--> [Local1] <--PPP--> [ISP-Serv] <--ether--> [T1-GW] 主机 Local1 和 Local2 在您那边。Local1 通过 PPP 拨号连接到了 ISP。这个 PPP 服务器通过一个局域网连接到另一台网关机子——它又通过一个外部接口连接到 ISP 提供的互联网上。 您的每一台机子的默认路由应该是： Host Default Gateway Interface Local2 Local1 Ethernet Local1 T1-GW PPP 一个常见的问题是我们为什么 (或怎样) 能将 T1-GW 设置成为 Local1 默认网关，而不是它所连接 ISP 服务器？ 记住，因为 PPP 接口使用的一个地址是在 ISP 的局域网里的，用于您那边的连接，对于 ISP 的局域网里的其它机子，其路由会自动产生。 因此，您就已经知道了如何到达机子 T1-GW， 那么也就没必要中那一步了——发送通信给 ISP 服务器。 通常使用地址 X.X.X.1 做为一个局域网的网关。 因此 (使用相同的例子)，如果您本地的 C 类地址空间是 10.20.30，而您的 ISP 使用的是 10.9.9， 那么默认路由表将是： Host Default Route Local2 (10.20.30.2) Local1 (10.20.30.1) Local1 (10.20.30.1, 10.9.9.30) T1-GW (10.9.9.1) 您可以很轻易地通过 /etc/rc.conf 文件设定默认路由。在我们的实例里，在主机 Local2 里，我们在文件 /etc/rc.conf 里增加了下边内容： defaultrouter="10.20.30.1" 也可以直接在命令行使用 &man.route.8; 命令: &prompt.root; route add default 10.20.30.1 要了解关于如何手工维护网络路由表的进一步细节， 请参考 &man.route.8; 联机手册。 重宿主机(Dual Homed Hosts) 重宿 主机 还有一种其它的类型的配置是我们要提及的， 这就是一个主机处于两个不同的网络。技术上，任何作为网关 (上边的实例中，使用了 PPP 连接) 的机子就算作是重宿主机。 但这个词实际上仅用来指那种处于两个局域网之中的机子。 有一种情形，一台机子有两个网卡， 对于各个子网都有各自的一个地址。另一种情况， 这台机子仅有一张网卡，但使用 &man.ifconfig.8; 做了别名。如果有两个独立的以太网在使用的情形就使用前者， 如果只有一个物理网段，但逻辑上分成了两个独立的子网， 就使用后者。 每种情况都要设置路由表以便两子网都知道这台主机是到其它子网的网关——入站路由 (inbound route)。将一台主机配置成两个子网间的路由器， 这种配置经常在我们需要实现单向或双向的包过滤或防火墙时被用到。 如果想让主机在两个接口间转发数据包，您需要激活 FreBSD 的这项功能。至于怎么做，请看下一部分了解更多。 建立路由器 路由器 网络路由器只是一个将数据包从一个接口转发到另一个接口的系统。 互联网标准和良好的工程实践阻止了 FreeBSD 计划在 FreeBSD 中把它置成默认值。您在可以在 &man.rc.conf.5; 中改变下列变量的值为 YES，使这个功能生效： gateway_enable=YES # Set to YES if this host will be a gateway 这个选项会把&man.sysctl.8; 变量——net.inet.ip.forwarding 设置成 1。如果您要临时地停止路由， 您可以把它重设为 0。 新的路由器需要有路由才知道将数据传向何处。 如果网络够简单，您可以使用静态路由。FreeBSD 也自带一个标准的BSD路由选择守护进程 &man.routed.8;， 称之为 RIP ( version 1和 version 2) 和 IRDP。对 BGP v4，OSPF v2 和其它复杂路由选择协议的支持可以从 net/zebra 包中得到。 像 &gated; 一样的商业产品也提供了更复杂的网络路由解决方案。 BGP RIP OSPF Coranth Gryphon 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 设置静态路由 手动配置 假设如下这样一个网络： INTERNET | (10.0.0.1/24) Default Router to Internet | |Interface xl0 |10.0.0.10/24 +------+ | | RouterA | | (FreeBSD gateway) +------+ | Interface xl1 | 192.168.1.1/24 | +--------------------------------+ Internal Net 1 | 192.168.1.2/24 | +------+ | | RouterB | | +------+ | 192.168.2.1/24 | Internal Net 2 在这里，RouterA 是我们的 &os; 机子，它充当连接到互联网其它部分的路由器的角色。 默认路由设置为10.0.0.1， 它就允许与外界连接。我们假定已经正确配置了 RouterB，并且知道如何连接到想去的任何地方。 (在这个图里很简单。只须在 RouterB 上增加默认路由，使用 192.168.1.1 做为网关。) 如果我们查看一下RouterA的路由表， 我们就会看到如下一些内容： &prompt.user; netstat -nr Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire default 10.0.0.1 UGS 0 49378 xl0 127.0.0.1 127.0.0.1 UH 0 6 lo0 10.0.0/24 link#1 UC 0 0 xl0 192.168.1/24 link#2 UC 0 0 xl1 使用当前的路由表，RouterA 是不能到达我们的内网——Internal Net 2 的。它没有到 192.168.2.0/24 的路由。 一种可以接受的方法是手工增加这条路由。以下的命令会把 Internal Net 2 网络加入到 RouterA 的路由表中，使用192.168.1.2 做为下一个跳跃： &prompt.root; route add -net 192.168.2.0/24 192.168.1.2 现在 RouterA 就可以到达 192.168.2.0/24 网络上的任何主机了。 永久配置 上面的实例对于运行着的系统来说配置静态路由是相当不错了。 只是，有一个问题——如果您重启您的 &os; 机子，路由信息就会消失。 处理附加的静态路由的方法是把它放到您的 /etc/rc.conf 文件里去。 # Add Internal Net 2 as a static route static_routes="internalnet2" route_internalnet2="-net 192.168.2.0/24 192.168.1.2" 配置变量 static_routes 是一串以空格格开的字符串。每一串表示一个路由名字。 在上面的例子中我们中有一个串在 static_routes 里。这个字符串中 internalnet2。 然后我们新增一个配置变量 route_internalnet2， 这里我们把所有传给 &man.route.8;命令的参数拿了过来。 在上面的实例中的我使用的命令是： &prompt.root; route add -net 192.168.2.0/24 192.168.1.2 因此，我们需要的是 "-net 192.168.2.0/24 192.168.1.2"。 前边已经提到， 可以把多个静态路由的名称， 放到 static_routes 里边。 接着我们就来建立多个静态路由。 下面几行所展示的， 是在一个假想的路由器上增加 192.168.0.0/24 和 192.168.1.0/24 之间静态路由的例子： static_routes="net1 net2" route_net1="-net 192.168.0.0/24 192.168.0.1" route_net2="-net 192.168.1.0/24 192.168.1.1" 路由传播 路由 传播 我们已经讨论了如何定义通向外界的路由， 但未谈及外界是如何找到我们的。 我们已经知道可以设置路由表， 这样任何指向特定地址空间 (在我们的例子中是一个 C 类子网) 的数据都会被送往网络上特定的主机， 然后由这台主机向地址空间内部转发数据。 当您得到一个分配给您的网络的地址空间时， ISP(网络服务商)会设置它们的路由表， 这样指向您子网的数据就会通过 PPP 连接下传到您的网络。 但是其它跨越国界的网络是如何知道将数据传给您的 ISP 的呢？ 有一个系统(很像分布式 DNS 信息系统)， 它一直跟踪被分配的地址空间， 并说明它们连接到互联网骨干(Internet backbone)的点。 骨干(Backbone) 指的是负责全世界和跨国的传输的主要干线。 每一台骨干主机(backbone machine)有一份主要表集的副本， 它将发送给特定网络的数据导向相应的骨干载体上(backbone carrier)， 从结点往下遍历服务提供商链，直到数据到达您的网络。 服务提供商的任务是向骨干网络广播，以声明它们就是通向您的网点的连接结点 (以及进入的路径)。这就是路由传播。 问题解答 traceroute 有时候，路由传播会有一个问题，一些网络无法与您连接。 或许能帮您找出路由是在哪里中断的最有用的命令就是 &man.traceroute.8;了。当您无法与远程主机连接时， 这个命令一样有用(例如 &man.ping.8; 失败)。 &man.traceroute.8; 命令将以您想连接的主机的名字作为参数执行。 不管是到达了目标，还是因为没有连接而终止， 它都会显示所经过的所有网关主机。 想了解更多的信息，查看 &man.traceroute.8; 的手册。 多播路由 多播路由 内核选项 MROUTING FreeBSD 一开始就支持多播应用软件和多播路由选择。 多播程序并不要求FreeBSD的任何特殊的配置， 就可以工作得很好。多播路由需要支持被编译入内核： options MROUTING 另外，多播路由守护进程——&man.mrouted.8; 必须通过 /etc/mrouted.conf 配置来开启通道和 DVMRP。 更多关于多播路由配置的信息可以在 &man.mrouted.8; 的手册里找到。 陈福康 Marc Fonvieille Murray Stokely 无线网络 wireless networking (无线网络) 802.11 wireless networking (无线网络) 无线网络基础 绝大多数无线网络都采用了 IEEE 802.11 标准。 基本的无线网络中， 都包含多个以 2.4GHz 或 5GHz 频段的无线电波广播的站点 (不过， 随所处地域的不同， 或者为了能够更好地进行通讯， 具体的频率会在 2.3GHz 和 4.9GHz 的范围内变化)。 802.11 网络有两种组织方式： 在 infrastructure 模式 中， 一个通讯站作为主站， 其他通讯站都与其关联； 这种网络称为 BSS， 而主站则成为无线访问点 (AP)。 在 BSS 中， 所有的通讯都是通过 AP 来完成的； 即使通讯站之间要相互通讯， 也必须将消息发给 AP。 在第二种形式的网络中， 并不存在主站， 通讯站之间是直接通讯的。 这种网络形式称作 IBSS， 通常也叫做 ad-hoc 网络。 802.11 网络最初在 2.4GHz 频段上部署， 并采用了由 IEEE 802.11 和 802.11b 标准所定义的协议。 这些标准定义了采用的操作频率、 包括分帧和传输速率 (通讯过程中可以使用不同的速率) 在内的 MAC 层特性等。 稍后的 802.11a 标准定义了使用 5GHz 频段进行操作， 以及不同的信号机制和更高的传输速率。 其后定义的 802.11g 标准启用了在 2.4GHz 上如何使用 802.11a 信号和传输机制， 以提供对较早的 802.11b 网络的向前兼容。 802.11 网络中采用的各类底层传输机制提供了不同类型的安全机制。 最初的 802.11 标准定义了一种称为 WEP 的简单安全协议。 这个协议采用固定的预发布密钥， 并使用 RC4 加密算法来对在网络上传输的数据进行编码。 全部通讯站都必须采用同样的固定密钥才能通讯。 这一格局已经被证明很容易被攻破， 因此目前已经很少使用了， 采用这种方法只能让那些接入网络的用户迅速断开。 最新的安全实践是由 IEEE 802.11i 标准给出的， 它定义了新的加密算法， 并通过一种附加的协议来让通讯站向无线访问点验证身份， 并交换用于进行数据通讯的密钥。 更进一步， 用于加密的密钥会定期地刷新， 而且有机制能够监测入侵的尝试 (并阻止这种尝试)。 无线网络中另一种常用的安全协议标准是 WPA。 这是在 802.11i 之前由业界组织定义的一种过渡性标准。 WPA 定义了在 802.11i 中所规定的要求的子集， 并被设计用来在旧式硬件上实施。 特别地， WPA 要求只使用由最初 WEP 所采用的算法派生的 TKIP 加密算法。 802.11i 则不但允许使用 TKIP， 而且还要求支持更强的加密算法 AES-CCM 来用于加密数据。 (在 WPA 中并没有要求使用 AES 加密算法， 因为在旧式硬件上实施这种算法时所需的计算复杂性太高。) 除了前面介绍的那些协议标准之外， 还有一种需要介绍的标准是 802.11e。 它定义了用于在 802.11 网络上运行多媒体应用， 如视频流和使用 IP 传送的语音 (VoIP) 的协议。 与 802.11i 类似， 802.11e 也有一个前身标准， 通常称作 WME (后改名为 WMM)， 它也是由业界组织定义的 802.11e 的子集， 以便能够在旧式硬件中使用多媒体应用。 关于 802.11e 与 WME/WMM 之间的另一项重要区别是， 前者允许对流量通过服务品质 (QoS) 协议和增强媒体访问协议来安排优先级。 对于这些协议的正确实现， 能够实现高速突发数据和流量分级。 从 6.0 版本开始， &os; 支持采用 802.11a, 802.11b 和 802.11g 的网络。 类似地， 它也支持 WPA 和 802.11i 安全协议 (与 11a、 11b 和 11g 配合)， 而 WME/WMM 所需要的 QoS 和流量分级， 则在部分无线设备上提供了支持。 基本安装 内核配置 要使用无线网络， 您需要一块无线网卡， 并适当地配置内核令其提供无线网络支持。 后者被分成了多个模块， 因此您只需配置使用您所需要的软件就可以了。 首先您需要的是一个无线设备。 最为常用的一种无线配件是 Atheros 生产的。 这些设备由 &man.ath.4; 驱动程序提供支持， 您需要把下面的配置加入到 /boot/loader.conf 文件中： if_ath_load="YES" Atheros 驱动分为三个部分： 驱动部分 (&man.ath.4;)、 用于处理芯片专有功能的支持层 (&man.ath.hal.4;)， 以及一组用以选择传输帧速率的算法 (ath_rate_sample here)。 当以模块方式加载这一支持时， 所需的其它模块会自动加载。 如果您使用的不是 Atheros 设备， 则应选择对应的模块； 例如： if_wi_load="YES" 表示使用基于 Intersil Prism 产品的无线设备 (&man.wi.4; 驱动)。 在这篇文挡余下的部分中， 我们将使用一张 &man.ath.4; 卡作示范， 如果您要套用这些配置的话， 就必须根据实际的配置情况来替换设备名。 在联机手册 &man.wlan.4; 的开头部分给出了一份可用的驱动列表。 如果您的无线设备没有专用于 &os; 的驱动程序， 也可以尝试使用 NDIS 驱动封装机制来直接使用 &windows; 驱动。 在配置好设备驱动之后， 您还需要引入驱动程序所需要的 802.11 网络支持。 对于 &man.ath.4; 驱动而言， 至少需要 &man.wlan.4; 模块； 这个模块会自动随无线设备驱动一同加载。 除此之外， 您还需要提供您希望使用的安全协议所需的加密支持模块。 这些模块是设计来让 &man.wlan.4; 模块根据需要自动加载的， 但目前还必须手工进行配置。 您可以使用下面这些模块： &man.wlan.wep.4;、 &man.wlan.ccmp.4; 和 &man.wlan.tkip.4;。 &man.wlan.ccmp.4; 和 &man.wlan.tkip.4; 这两个驱动都只有在您希望采用 WPA 和/或 802.11i 安全协议时才需要。 如果您的网络是完全开放的 (也就是不加密) 则甚至连 &man.wlan.wep.4; 支持也是不需要的。 要在系统引导时加载这些模块， 就需要在 /boot/loader.conf 中加入下面的配置： wlan_wep_load="YES" wlan_ccmp_load="YES" wlan_tkip_load="YES" 通过系统引导配置文件 (也就是 /boot/loader.conf) 中的这些信息生效， 您必须重新启动运行 &os; 的计算机。 如果不想立刻重新启动， 也可以使用 &man.kldload.8; 来手工加载。 如果不想加载模块， 也可以将这些驱动编译到内核中， 方法是在内核的编译配置文件中加入下面的配置： device ath # Atheros IEEE 802.11 wireless network driver device ath_hal # Atheros Hardware Access Layer device ath_rate_sample # John Bicket's SampleRate control algorithm. device wlan # 802.11 support (Required) device wlan_wep # WEP crypto support for 802.11 devices device wlan_ccmp # AES-CCMP crypto support for 802.11 devices device wlan_tkip # TKIP and Michael crypto support for 802.11 devices 将这些信息写到内核编译配置文件中之后， 您需要重新编译内核， 并重新启动运行 &os; 的计算机。 在系统启动之后， 您会在引导时给出的信息中， 找到类似下面这样的关于无线设备的信息： ath0: <Atheros 5212> mem 0xff9f0000-0xff9fffff irq 17 at device 2.0 on pci2 ath0: Ethernet address: 00:11:95:d5:43:62 ath0: mac 7.9 phy 4.5 radio 5.6 Infrastructure 模式 通常的情形中使用的是 infrastructure 模式或称 BSS 模式。 在这种模式中， 有一系列无线访问点接入了有线网络。 每个无线网都会有自己的名字， 这个名字称作网络的 SSID。 无线客户端都通过无线访问点来完成接入。 &os; 客户机 如何查找无线访问点 您可以通过使用 ifconfig 命令来扫描网络。 由于系统需要在操作过程中切换不同的无线频率并探测可用的无线访问点， 这种请求可能需要数分钟才能完成。 只有超级用户才能启动这种扫描： &prompt.root; ifconfig ath0 up scan SSID BSSID CHAN RATE S:N INT CAPS dlinkap 00:13:46:49:41:76 6 54M 29:0 100 EPS WPA WME freebsdap 00:11:95:c3:0d:ac 1 54M 22:0 100 EPS WPA 在开始扫描之前， 必须将网络接口设为 。 后续的扫描请求就不需要再将网络接口设为 up 了。 扫描会列出所请求到的所有 BSS/IBSS 网络列表。 除了网络的名字 SSID 之外， 我们还会看到 BSSID 即无线访问点的 MAC 地址。 而 CAPS 字段则给出了网络类型及其提供的功能， 其中包括： E Extended Service Set (ESS)。 表示通讯站是 infrastructure 网络 (相对于 IBSS/ad-hoc 网络) 的成员。 I IBSS/ad-hoc 网络。 表示通讯站是 ad-hoc 网络 (相对于 ESS 网络) 的成员。 P 私密。 在 BSS 中交换的全部数据帧均需保证数据保密性。 这表示 BSS 需要通讯站使用加密算法， 例如 WEP、 TKIP 或 AES-CCMP 来加密/解密与其他通讯站交换的数据帧。 S 短前导码 (Short Preamble)。 表示网络采用的是短前导码 (由 802.11b High Rate/DSSS PHY 定义， 短前导码采用 56-位 同步字段， 而不是在长前导码模式中所采用的 128-位 字段)。 s 短碰撞槽时间 (Short slot time)。 表示由于不存在旧式 (802.11b) 通讯站， 802.11g 网络正使用短碰撞槽时间。 要显示目前已知的网络， 可以使用下面的命令： &prompt.root; ifconfig ath0 list scan 这些信息可能会由无线适配器自动更新， 也可使用 手动更新。 快取缓存中的旧数据会自动删除， 因此除非进行更多扫描， 这个列表会逐渐缩小。 基本配置 在这一节中我们将展示一个简单的例子来介绍如何让无线网络适配器在 &os; 中以不加密的方式工作。 在您熟悉了这些概念之后， 我们强烈建议您在实际的使用中采用 WPA 来配置网络。 配置无线网络的过程可分为三个基本步骤： 选择无线访问点、 验证您的通讯站身份， 以及配置 IP 地址。 下面的几节中将分步骤地介绍它们。 选择无线访问点 多数时候让系统以内建的探测方式选择无线访问点就可以了。 这是在您将网络接口置为 up 或在 /etc/rc.conf 中配置 IP 地址时的默认方式， 例如： ifconfig_ath0="DHCP" 如果存在多个无线访问点， 而您希望从中选择具体的一个， 则可以通过指定 SSID 来实现： ifconfig_ath0="ssid your_ssid_here DHCP" 在某些环境中， 多个访问点可能会使用同样的 SSID (通常， 这样做的目的是简化漫游)， 这时可能就需要与某个具体的设备关联了。 这种情况下， 您还应指定无线访问点的 BSSID (这时可以不指定 SSID)： ifconfig_ath0="ssid your_ssid_here bssid xx:xx:xx:xx:xx:xx DHCP" 除此之外， 还有一些其它的方法能够约束查找无线访问点的范围， 例如限制系统扫描的频段， 等等。 如果您的无线网卡支持多个频段， 这样做可能会非常有用， 因为扫描全部可用频段是一个十分耗时的过程。 要将操作限制在某个具体的频段， 可以使用 参数； 例如： ifconfig_ath0="mode 11g ssid your_ssid_here DHCP" 就会强制卡使用采用 2.4GHz 的 802.11g， 这样在扫描的时候， 就不会考虑那些 5GHz 的频段了。 除此之外， 还可以通过 参数来将操作锁定在特定频率， 以及通过 参数来指定扫描的频段列表。 关于这些参数的进一步信息， 可以在联机手册 &man.ifconfig.8; 中找到。 验证身份 一旦您选定了无线访问点， 您的通讯站就需要完成身份验证， 以便开始发送和接收数据。 身份验证可以通过许多方式进行， 最常用的一种方式称为开放式验证， 它允许任意通讯站加入网络并相互通信。 这种验证方式只应在您第一次配置无线网络进行测试时使用。 其它的验证方式则需要在进行数据通讯之前， 首先进行密钥协商握手； 这些方式要么使用预先分发的密钥或密码， 要么是用更复杂一些的后台服务， 如 RADIUS。 绝大多数用户会使用默认的开放式验证， 而第二多的则是 WPA-PSK， 它也称为个人 WPA， 在 下面 的章节中将进行介绍。 如果您使用 &apple; &airport; Extreme 基站作为无线访问点， 则可能需要同时在两端配置 WEP 共享密钥验证。 这可以通过在 /etc/rc.conf 文件中进行设置， 或使用 &man.wpa.supplicant.8; 程序来手工完成。 如果您只有一个 &airport; 基站， 则可以用类似下面的方法来配置： ifconfig_ath0="authmode shared wepmode on weptxkey 1 wepkey 01234567 DHCP" 一般而言， 应尽量避免使用共享密钥这种验证方法， 因为它以非常受限的方式使用 WEP 密钥， 使得攻击者能够很容易地破解密钥。 如果必须使用 WEP (例如， 为了兼容旧式的设备) 最好使用 WEP 配合 open 验证方式。 关于 WEP 的更多资料请参见 。 通过 DHCP 获取 IP 地址 在您选定了无线访问点， 并配置了验证参数之后， 还必须获得 IP 地址才能真正开始通讯。 多数时候， 您会通过 DHCP 来获得无线 IP 地址。 要达到这个目的， 只需简单地编辑 /etc/rc.conf 并在配置中加入 DHCP： ifconfig_ath0="DHCP" 现在您已经完成了启用无线网络接口的全部准备工作了， 下面的操作将启用它： &prompt.root; /etc/rc.d/netif start 一旦网络接口开始运行， 就可以使用 ifconfig 来查看网络接口 ath0 的状态了： &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.1.100 netmask 0xffffff00 broadcast 192.168.1.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/54Mbps) status: associated ssid dlinkap channel 6 bssid 00:13:46:49:41:76 authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 这里的 status: associated 表示您已经连接到了无线网络 (在这个例子中， 这个网络的名字是 dlinkap)。 bssid 00:13:46:49:41:76 是指您所用无线访问点的 MAC 地址； authmode 这行指出您所做的通讯将不进行加密 (OPEN)。 静态 IP 地址 如果无法从某个 DHCP 服务器获得 IP 地址， 则可以配置一个静态 IP 地址， 方法是将前面的 DHCP 关键字替换为地址信息。 请务必保持其他用于连接无线访问点的参数： ifconfig_ath0="inet 192.168.1.100 netmask 255.255.255.0 ssid your_ssid_here" WPA WPA (Wi-Fi 保护访问) 是一种与 802.11 网络配合使用的安全协议， 其目的是消除 WEP 中缺少身份验证能力的问题， 以及一些其它的安全弱点。 WPA 采用了 802.1X 认证协议， 并采用从多种与 WEP 不同的加密算法中选择一种来保证数据保密性。 WPA 支持的唯一一种加密算法是 TKIP (临时密钥完整性协议)， 这是一种对 WEP 所采用的基本 RC4 加密算法的扩展， 除此之外还提供了对检测到的入侵的响应机制。 TKIP 被设计用来与旧式硬件一同工作， 只需要进行部分软件修改； 它提供了一种改善安全性的折衷方案， 但仍有可能受到攻击。 WPA 也指定了 AES-CCMP 加密作为 TKIP 的替代品， 在可能时倾向于使用这种加密； 表达这一规范的常用术语是 WPA2 (或 RSN)。 WPA 定义了验证和加密协议。 验证通常是使用两种方法之一来完成的： 通过 802.1X 或类似 RADIUS 这样的后端验证服务， 或通过在通讯站和无线访问点之间通过事先分发的密码来进行最小握手。 前一种通常称作企业 WPA， 而后者通常也叫做个人 WPA。 因为多数人不会为无线网络配置 RADIUS 后端服务器， 因此 WPA-PSK 是在 WPA 中最为常见的一种。 对无线连接的控制和身份验证工作 (密钥协商或通过服务器验证) 是通过 &man.wpa.supplicant.8; 工具来完成的。 这个程序运行时需要一个配置文件， /etc/wpa_supplicant.conf。 关于这个文件的更多信息， 请参考联机手册 &man.wpa.supplicant.conf.5;。 WPA-PSK WPA-PSK 也称作 个人-WPA， 它基于预先分发的密钥 (PSK)， 这个密钥是根据作为无线网络上使用的主密钥的密码生成的。 这表示每个无线用户都会使用同样的密钥。 WPA-PSK 主要用于小型网络， 在这种网络中， 通常不需要或没有办法架设验证服务器。 无论何时， 都应使用足够长， 且包括尽可能多字母和数字的强口令， 以免被猜出和/或攻击。 第一步是修改配置文件 /etc/wpa_supplicant.conf， 并在其中加入在您网络上使用的 SSID 和事先分发的密钥： network={ ssid="freebsdap" psk="freebsdmall" } 接下来， 在 /etc/rc.conf 中， 我们将指定无线设备的配置， 令其采用 WPA， 并通过 DHCP 来获取 IP 地址： ifconfig_ath0="WPA DHCP" 下面， 启用无线网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPDISCOVER on ath0 to 255.255.255.255 port 67 interval 5 DHCPDISCOVER on ath0 to 255.255.255.255 port 67 interval 6 DHCPOFFER from 192.168.0.1 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.1 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/36Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 除此之外， 您也可以手动地使用 above 中那份 /etc/wpa_supplicant.conf 来配置， 方法是执行： &prompt.root; wpa_supplicant -i ath0 -c /etc/wpa_supplicant.conf Trying to associate with 00:11:95:c3:0d:ac (SSID='freebsdap' freq=2412 MHz) Associated with 00:11:95:c3:0d:ac WPA: Key negotiation completed with 00:11:95:c3:0d:ac [PTK=TKIP GTK=TKIP] 接下来的操作， 是运行 dhclient 命令来从 DHCP 服务器获取 IP： &prompt.root; dhclient ath0 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.1 bound to 192.168.0.254 -- renewal in 300 seconds. &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/48Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 如果 /etc/rc.conf 的配置中， 使用了 ifconfig_ath0="DHCP"， 就不需要手工运行 dhclient 命令了， 因为 dhclient 将在 wpa_supplicant 探测到密钥之后执行。 在这个例子中， DHCP 并不可用， 您可以在 wpa_supplicant 为通讯站完成了身份认证之后， 指定静态 IP 地址： &prompt.root; ifconfig ath0 inet 192.168.0.100 netmask 255.255.255.0 &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.100 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/36Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 如果没有使用 DHCP， 还需要手工配置默认网关， 以及域名服务器： &prompt.root; route add default your_default_router &prompt.root; echo "nameserver your_DNS_server" >> /etc/resolv.conf 使用 EAP-TLS 的 WPA 使用 WPA 的第二种方式是使用 802.1X 后端验证服务器， 在这个例子中， WPA 也称作 企业-WPA， 以便与安全性较差、 采用事先分发密钥的 个人-WPA 区分开来。 在 企业-WPA 中， 验证操作是采用 EAP 完成的 (可扩展认证协议)。 EAP 并未附带加密方法， 因此设计者决定将 EAP 放在加密信道中进行传送。 为此设计了许多 EAP 验证方法， 最常用的方法是 EAP-TLS、 EAP-TTLS 和 EAP-PEAP。 EAP-TLS (带 传输层安全 的 EAP) 是一种在无线世界中得到了广泛支持的验证协议， 因为它是 Wi-Fi 联盟 核准的第一个 EAP 方法。 EAP-TLS 需要使用三个证书： CA 证书 (在所有计算机上安装)、 用以向您证明服务器身份的服务器证书， 以及每个无线客户端用于证明身份的客户机证书。 在这种 EAP 方式中， 验证服务器和无线客户端均通过自己的证书向对方证明身份， 它们均验证对方的证书是本机构的证书发证机构 (CA) 签发的。 与之前介绍的方法类似， 配置也是通过 /etc/wpa_supplicant.conf 来完成的： network={ ssid="freebsdap" proto=RSN key_mgmt=WPA-EAP eap=TLS identity="loader" ca_cert="/etc/certs/cacert.pem" client_cert="/etc/certs/clientcert.pem" private_key="/etc/certs/clientkey.pem" private_key_passwd="freebsdmallclient" } 这个字段表示网络名 (SSID)。 这里， 我们使用 RSN (IEEE 802.11i) 协议， 也就是 WPA2。 key_mgmt 这行表示所用的密钥管理协议。 在我们的例子中， 它是使用 EAP 验证的 WPA： WPA-EAP。 这个字段中， 提到了我们的连接采用 EAP 方式。 identity 字段包含了 EAP 的实体串。 ca_cert 字段给出了 CA 证书文件的路径名。 在验证服务器证书时， 这个文件是必需的。 client_cert 这行给出了客户机证书的路径名。 对每个无线客户端而言， 这个证书都是在全网范围内唯一的。 private_key 字段是客户机证书私钥文件的路径名。 private_key_passwd 字段是私钥的口令字。 接着， 把下面的配置加入到 /etc/rc.conf： ifconfig_ath0="WPA DHCP" 下一步是使用 rc.d 机制来启用网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.20 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (DS/11Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 如前面提到的那样， 也可以手工通过 wpa_supplicant 和 ifconfig 命令达到类似的目的。 使用 EAP-TTLS 的 WPA 在使用 EAP-TLS 时， 参与验证过程的服务器和客户机都需要证书， 而在使用 EAP-TTLS (带传输层安全隧道的 EAP) 时， 客户机证书则是可选的。 这种方式与某些安全 web 站点更为接近， 即使访问者没有客户端证书， 这些 web 服务器也能建立安全的 SSL 隧道。 EAP-TTLS 会使用加密的 TLS 隧道来传送验证信息。 对于它的配置， 同样是通过 /etc/wpa_supplicant.conf 文件来进行的： network={ ssid="freebsdap" proto=RSN key_mgmt=WPA-EAP eap=TTLS identity="test" password="test" ca_cert="/etc/certs/cacert.pem" phase2="auth=MD5" } 这个字段是我们的连接所采用的 EAP 方式。 identity 字段中是在加密 TLS 隧道中用于 EAP 验证的身份串。 password 字段中是用于 EAP 验证的口令字。 ca_cert 字段给出了 CA 证书文件的路径名。 在验证服务器证书时， 这个文件是必需的。 这个字段中给出了加密 TLS 隧道中使用的验证方式。 在这个例子中， 我们使用的是带 MD5-加密口令 的 EAP。 inner authentication (译注：内部鉴定) 通常也叫 phase2。 您还必须把下面的配置加入到 /etc/rc.conf： ifconfig_ath0="WPA DHCP" 下一步是启用网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.20 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (DS/11Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 使用 EAP-PEAP 的 WPA PEAP (受保护的 EAP) 被设计用以替代 EAP-TTLS。 有两种类型的 PEAP 方法， 最常用的是 PEAPv0/EAP-MSCHAPv2。 在这篇文档余下的部分中， 术语 PEAP 是指这种 EAP 方法。 PEAP 是在 EAP-TLS 之后最为常用的 EAP 标准， 换言之， 如果您的网络中有多种不同的操作系统， PEAP 将是仅次于 EAP-TLS 的支持最广的标准。 PEAP 与 EAP-TTLS 很像： 它使用服务器端证书， 通过在客户端与验证服务器之间建立加密的 TLS 隧道来向用户验证身份， 这保护了验证信息的交换过程。 在安全方面， EAP-TTLS 与 PEAP 的区别是 PEAP 会以明文广播用户名， 只有口令是通过加密 TLS 隧道传送的。 而 EAP-TTLS 在传送用户名和口令时， 都使用 TLS 隧道。 我们需要编辑 /etc/wpa_supplicant.conf 文件， 并加入与 EAP-PEAP 有关的配置： network={ ssid="freebsdap" proto=RSN key_mgmt=WPA-EAP eap=PEAP identity="test" password="test" ca_cert="/etc/certs/cacert.pem" phase1="peaplabel=0" phase2="auth=MSCHAPV2" } 这个字段的内容是用于连接的 EAP 方式。 identity 字段中是在加密 TLS 隧道中用于 EAP 验证的身份串。 password 字段中是用于 EAP 验证的口令字。 ca_cert 字段给出了 CA 证书文件的路径名。 在验证服务器证书时， 这个文件是必需的。 这个字段包含了第一阶段验证 (TLS 隧道) 的参数。 随您使用的验证服务器的不同， 您需要指定验证的标签。 多数时候， 标签应该是 客户端 EAP 加密， 这可以通过使用 peaplabel=0 来指定。 更多信息可以在联机手册 &man.wpa.supplicant.conf.5; 中找到。 这个字段的内容是验证协议在加密的 TLS 隧道中使用的信息。 对 PEAP 而言， 这是 auth=MSCHAPV2。 您还必须把下面的配置加入到 /etc/rc.conf： ifconfig_ath0="WPA DHCP" 下一步是启用网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.20 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (DS/11Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 WEP WEP (有线等效协议) 是最初 802.11 标准的一部分。 其中没有提供身份验证机制， 只提供了弱访问控制， 而且很容易破解。 WEP 可以通过 ifconfig 配置： &prompt.root; ifconfig ath0 inet 192.168.1.100 netmask 255.255.255.0 ssid my_net \ wepmode on weptxkey 3 wepkey 3:0x3456789012 weptxkey 指明了使用哪个 WEP 密钥来进行数据传输。 这里我们使用第三个密钥。 它必须与无线访问点的配置一致。 wepkey 表示设置所选的 WEP 密钥。 其格式应为 index:key， 如果没有给出 index 值， 则默认为 1。 因此， 如果需要设置的密钥不是第一个， 就必需指定 index 了。 您需要将 0x3456789012 改为在无线接入点上配置的那个。 我们建议您阅读联机手册 &man.ifconfig.8; 来了解进一步的信息。 wpa_supplicant 机制也可以用来配置您的无线网卡使用 WEP。 前面的例子也可以通过在 /etc/wpa_supplicant.conf 中加入下述设置来实现： network={ ssid="my_net" key_mgmt=NONE wep_key3=3456789012 wep_tx_keyidx=3 } 接着： &prompt.root; wpa_supplicant -i ath0 -c /etc/wpa_supplicant.conf Trying to associate with 00:13:46:49:41:76 (SSID='dlinkap' freq=2437 MHz) Associated with 00:13:46:49:41:76 Ad-hoc 模式 IBSS 模式， 也称为 ad-hoc 模式， 是为点对点连接设计的。 例如， 如果希望在计算机 A 和 B 之间建立 ad-hoc 网络， 我们只需选择两个 IP 地址和一个 SSID 就可以了。 在计算机 A 上： &prompt.root; ifconfig ath0 inet 192.168.0.1 netmask 255.255.255.0 ssid freebsdap mediaopt adhoc &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::211:95ff:fec3:dac%ath0 prefixlen 64 scopeid 0x4 ether 00:11:95:c3:0d:ac media: IEEE 802.11 Wireless Ethernet autoselect <adhoc> (autoselect <adhoc>) status: associated ssid freebsdap channel 2 bssid 02:11:95:c3:0d:ac authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 此处的 adhoc 参数表示无线网络接口应以 IBSS 模式运转。 此时， 在 B 上应该能够检测到 A 的存在了： &prompt.root; ifconfig ath0 up scan SSID BSSID CHAN RATE S:N INT CAPS freebsdap 02:11:95:c3:0d:ac 2 54M 19:0 100 IS 在输出中的 I 再次确认了 A 机是以 ad-hoc 模式运行的。 我们只需给 B 配置一不同的 IP 地址： &prompt.root; ifconfig ath0 inet 192.168.0.2 netmask 255.255.255.0 ssid freebsdap mediaopt adhoc &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.2 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect <adhoc> (autoselect <adhoc>) status: associated ssid freebsdap channel 2 bssid 02:11:95:c3:0d:ac authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 这样， A 和 B 就可以交换信息了。 故障排除 如果您在使用无线网络时遇到了麻烦， 此处提供了一系列用以帮助排除故障的步骤。 如果您在列表中找不到无线访问点， 请确认您没有将无线设备配置为使用有限的一组频段。 如果您无法关联到无线访问点， 请确认您的通讯站配置与无线访问点的配置一致。 这包括认证模式以及安全协议。 尽可能简化您的配置。 如果您正使用类似 WPA 或 WEP 这样的安全协议， 请将无线访问点配置为开放验证和不采用安全措施， 并检查是否数据能够通过。 一旦您能够关联到无线访问点之后， 就可以使用简单的工具如 &man.ping.8; 来诊断安全配置了。 wpa_supplicant 提供了许多调试支持； 尝试手工运行它， 在启动时指定 选项， 并察看输出结果。 除此之外还有许多其它的底层调试工具。 您可以使用 /usr/src/tools/tools/net80211 中的 wlandebug 命令来启用 802.11 协议支持层的调试功能。 例如： &prompt.root; wlandebug -i ath0 +scan+auth+debug+assoc net.wlan.0.debug: 0 => 0xc80000<assoc,auth,scan> 可以用来启用与扫描无线访问点和 802.11 协议在安排通讯时与握手有关的控制台信息。 还有许多有用的统计信息是由 802.11 层维护的； wlanstats 工具可以显示这些信息。 这些统计数据能够指出由 802.11 层识别出来的错误。 请注意某些错误可能是由设备驱动在 802.11 层之下识别出来的， 因此这些错误可能并不显示。 要诊断与设备有关的问题， 您需要参考设备驱动程序的文档。 如果上述信息没能帮助您找到具体的问题所在， 请提交问题报告， 并在其中附上这些工具的输出。 Pav Lucistnik 作者：
pav@FreeBSD.org
 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 蓝牙 蓝牙 简介 Bluetooth (蓝牙) 是一项无线技术， 用于建立带宽为 2.4GHZ，波长为 10 米的私有网络。 网络一般是由便携式设备，比加手机 (cellular phone)， 掌上电脑 (handhelds) 和膝上电脑 (laptops)) 以 ad-hoc 形式组成。不象其它流行的无线技术——Wi-Fi，Bluetooth 提供了更高级的服务层面，像类 FTP 的文件服务、文件推送 (file pushing)、语音传送、串行线模拟等等。 在 &os; 里，蓝牙栈 (Bluetooth stack) 通过使用 Netgraph 框架 (请看 &man.netgraph.4;) 来的实现。 大量的"Bluetooth USB dongle"由 &man.ng.ubt.4; 驱动程序支持。 基于 Broadcom BCM2033 芯片组的 Bluetooth 设备可以通过 &man.ubtbcmfw.4; 和 &man.ng.ubt.4; 驱动程序支持。 3Com Bluetooth PC 卡 3CRWB60-A 由 &man.ng.bt3c.4; 驱动程序支持。 基于 Serial 和 UART 的蓝牙设备由 &man.sio.4;、&man.ng.h4.4; 和 &man.hcseriald.8;。本节介绍 USB Bluetooth dongle 的使用。 插入设备 默认的 Bluetooth 设备驱动程序已存在于内核模块里。 接入设备前，您需要将驱动程序加载入内核： &prompt.root; kldload ng_ubt 如果系统启动时 Bluetooth 设备已经存在于系统里， 那么从 /boot/loader.conf 里加载这个模块： ng_ubt_load="YES" 插入USB dongle。控制台(console)(或syslog中)会出现类似如下的信息： ubt0: vendor 0x0a12 product 0x0001, rev 1.10/5.25, addr 2 ubt0: Interface 0 endpoints: interrupt=0x81, bulk-in=0x82, bulk-out=0x2 ubt0: Interface 1 (alt.config 5) endpoints: isoc-in=0x83, isoc-out=0x3, wMaxPacketSize=49, nframes=6, buffer size=294 在 &os; 6.0， 以及 &os; 5.X 系列中 5.5 之前的版本上， 蓝牙栈必须手动启动。 在 &os; 5.5、 6.1 以及更新一些的版本上， 这一工作会由 &man.devd.8; 自动完成。 复制 /usr/share/examples/netgraph/bluetooth/rc.bluetooth 到一个合适的地方，如 /etc/rc.bluetooth。 这个脚本用于启动和停止 Bluetooth stack (蓝牙栈)。 最好在拔出设备前停止 stack(stack)，当然也不是非做不可。 启动 stack (栈) 时，会得到如下的输出： &prompt.root; /etc/rc.bluetooth start ubt0 BD_ADDR: 00:02:72:00:d4:1a Features: 0xff 0xff 0xf 00 00 00 00 00 <3-Slot> <5-Slot> <Encryption> <Slot offset> <Timing accuracy> <Switch> <Hold mode> <Sniff mode> <Park mode> <RSSI> <Channel quality> <SCO link> <HV2 packets> <HV3 packets> <u-law log> <A-law log> <CVSD> <Paging scheme> <Power control> <Transparent SCO data> Max. ACL packet size: 192 bytes Number of ACL packets: 8 Max. SCO packet size: 64 bytes Number of SCO packets: 8 HCI 主控制器接口 (HCI) 主控制器接口 (HCI) 提供了通向基带控制器和连接管理器的命令接口及访问硬件状态字和控制寄存器的通道。 这个接口提供了访问蓝牙基带 (Bluetooth baseband) 功能的统一方式。 主机上的 HCI 层与蓝牙硬件上的 HCI 固件交换数据和命令。 主控制器的传输层 (如物理总线) 驱动程序提供两个 HCI 层交换信息的能力。 为每个蓝牙 (Bluetooth) 设备创建一个 hci 类型的 Netgraph 结点。 HCI 结点一般连接蓝牙设备的驱动结点 (下行流) 和 L2CAP 结点 (上行流)。 所有的HCI操作必须在 HCI 结点上进行而不是设备驱动结点。HCI 结点的默认名是 devicehci。更多细节请参考 &man.ng.hci.4; 的联机手册。 最常见的任务是发现在 RF proximity 中的蓝牙 (Bluetooth) 设备。这个就叫做 质询(inquiry)。质询及 HCI 相关的操作可以由 &man.hccontrol.8; 工具来完成。 以下的例子展示如何找出范围内的蓝牙设备。 在几秒钟内您应该得到一张设备列表。 注意远程主机只有被置于 discoverable(可发现) 模式才能答应质询。 &prompt.user; hccontrol -n ubt0hci inquiry Inquiry result, num_responses=1 Inquiry result #0 BD_ADDR: 00:80:37:29:19:a4 Page Scan Rep. Mode: 0x1 Page Scan Period Mode: 00 Page Scan Mode: 00 Class: 52:02:04 Clock offset: 0x78ef Inquiry complete. Status: No error [00] BD_ADDR 是蓝牙设备的特定地址， 类似于网卡的 MAC 地址。需要用此地址与某个设备进一步地通信。 可以为 BD_ADDR 分配由人可读的名字 (human readable name)。 文件 /etc/bluetooth/hosts 包含已知蓝牙主机的信息。 下面的例子展示如何获得分配给远程设备的可读名。 &prompt.user; hccontrol -n ubt0hci remote_name_request 00:80:37:29:19:a4 BD_ADDR: 00:80:37:29:19:a4 Name: Pav's T39 如果在远程蓝牙上运行质询，您会发现您的计算机是 your.host.name (ubt0)。 分配给本地设备的名字可随时改变。 蓝牙系统提供点对点连接 (只有两个蓝牙设备参与) 和点对多点连接。在点对多点连接中，连接由多个蓝牙设备共享。 以下的例子展示如何取得本地设备的活动基带 (baseband) 连接列表。 &prompt.user; hccontrol -n ubt0hci read_connection_list Remote BD_ADDR Handle Type Mode Role Encrypt Pending Queue State 00:80:37:29:19:a4 41 ACL 0 MAST NONE 0 0 OPEN connection handle(连接柄) 在需要终止基带连接时有用。注意：一般不需要手动完成。 栈 (stack) 会自动终止不活动的基带连接。 &prompt.root; hccontrol -n ubt0hci disconnect 41 Connection handle: 41 Reason: Connection terminated by local host [0x16] 参考 hccontrol help 获取完整的 HCI 命令列表。大部分 HCI 命令不需要超级用户权限。 L2CAP 逻辑连接控制和适配协议(L2CAP) 逻辑连接控制和适配协议 (L2CAP) 为上层协议提供面向连接和无连接的数据服务， 并提供多协议功能和分割重组操作。L2CAP 充许上层协议和应用软件传输和接收最大长度为 64K 的 L2CAP 数据包。 L2CAP 基于 通道(channel) 的概念。 通道 (Channel) 是位于基带 (baseband) 连接之上的逻辑连接。 每个通道以多对一的方式绑定一个单一协议 (single protocol)。 多个通道可以绑定同一个协议，但一个通道不可以绑定多个协议。 每个在通道里接收到的 L2CAP 数据包被传到相应的上层协议。 多个通道可共享同一个基带连接。 为每个蓝牙 (Bluetooth) 设备创建一个 l2cap 类型的 Netgraph 结点。 L2CAP 结点一般连接 HCI 结点(下行流)和蓝牙设备的驱动结点(上行流)。 L2CAP 结点的默认名是 devicel2cap。 更多细节请参考 &man.ng.l2cap.4; 的联机手册。 一个有用的命令是 &man.l2ping.8;， 它可以用来 ping 其它设备。 一些蓝牙实现可能不会返回所有发送给它们的数据， 所以下例中的 0 bytes 是正常的。 &prompt.root; l2ping -a 00:80:37:29:19:a4 0 bytes from 0:80:37:29:19:a4 seq_no=0 time=48.633 ms result=0 0 bytes from 0:80:37:29:19:a4 seq_no=1 time=37.551 ms result=0 0 bytes from 0:80:37:29:19:a4 seq_no=2 time=28.324 ms result=0 0 bytes from 0:80:37:29:19:a4 seq_no=3 time=46.150 ms result=0 &man.l2control.8; 工具用于在 L2CAP 上进行多种操作。 以下这个例子展示如何取得本地设备的逻辑连接 (通道) 和基带连接的列表： &prompt.user; l2control -a 00:02:72:00:d4:1a read_channel_list L2CAP channels: Remote BD_ADDR SCID/ DCID PSM IMTU/ OMTU State 00:07:e0:00:0b:ca 66/ 64 3 132/ 672 OPEN &prompt.user; l2control -a 00:02:72:00:d4:1a read_connection_list L2CAP connections: Remote BD_ADDR Handle Flags Pending State 00:07:e0:00:0b:ca 41 O 0 OPEN 另一个诊断工具是 &man.btsockstat.1;。 它完成与 &man.netstat.1; 类似的操作， 只是用了蓝牙网络相关的数据结构。 以下这个例子显示与 &man.l2control.8; 相同的逻辑连接。 &prompt.user; btsockstat Active L2CAP sockets PCB Recv-Q Send-Q Local address/PSM Foreign address CID State c2afe900 0 0 00:02:72:00:d4:1a/3 00:07:e0:00:0b:ca 66 OPEN Active RFCOMM sessions L2PCB PCB Flag MTU Out-Q DLCs State c2afe900 c2b53380 1 127 0 Yes OPEN Active RFCOMM sockets PCB Recv-Q Send-Q Local address Foreign address Chan DLCI State c2e8bc80 0 250 00:02:72:00:d4:1a 00:07:e0:00:0b:ca 3 6 OPEN RFCOMM RFCOMM 协议 RFCOMM 协议提供基于 L2CAP 协议的串行端口模拟。 该协议基于 ETSI TS 07.10 标准。RFCOMM 是一个简单的传输协议， 附加了摸拟 9 针 RS-232(EIATIA-232-E) 串行端口的定义。 RFCOMM 协议最多支持 60 个并发连接 (RFCOMM通道)。 为了实现 RFCOMM， 运行于不同设备上的应用程序建立起一条关于它们之间通信段的通信路径。 RFCOMM实际上适用于使用串行端口的应用软件。 通信段是一个设备到另一个设备的蓝牙连接 (直接连接)。 RFCOMM 关心的只是直接连接设备之间的连接， 或在网络里一个设备与 modem 之间的连接。RFCOMM 能支持其它的配置， 比如在一端通过蓝牙无线技术通讯而在另一端使用有线接口。 在&os;，RFCOMM 协议在蓝牙套接字层 (Bluetooth sockets layer) 实现。 结对 设备的结对(Pairing of Devices) 默认情况下，蓝牙通信是不需要验证的， 任何设备可与其它任何设备对话。一个蓝牙设备 (比如手机) 可以选择通过验证以提供某种特殊服务 (比如拨号服务)。 蓝牙验证一般使用 PIN码(PIN codes)。 一个 PIN 码是最长为 16 个字符的 ASCII 字符串。 用户需要在两个设备中输入相同的PIN码。用户输入了 PIN 码后， 两个设备会生成一个 连接密匙(link key)。 接着连接密钥可以存储在设备或存储器中。 连接时两个设备会使用先前生成的连接密钥。 以上介绍的过程被称为 结对(pairing)。 注意如果任何一方丢失了连接密钥，必须重新进行结对。 守护进程 &man.hcsecd.8; 负责处理所有蓝牙验证请求。 默认的配置文件是 /etc/bluetooth/hcsecd.conf。 下面的例子显示一个手机的 PIN 码被预设为1234： device { bdaddr 00:80:37:29:19:a4; name "Pav's T39"; key nokey; pin "1234"; } PIN 码没有限制(除了长度)。有些设备 (例如蓝牙耳机) 会有一个预置的 PIN 码。 开关强制 &man.hcsecd.8; 守护进程处于前台，因此很容易看清发生了什么。 设置远端设备准备接收结对 (pairing)，然后启动蓝牙连接到远端设备。 远端设备应该回应接收了结对并请求PIN码。输入与 hcsecd.conf 中一样的 PIN 码。 现在您的个人计算机已经与远程设备结对了。 另外您也可以在远程设备上初始结点。 在 &os; 5.5、 6.1 以及更新版本上， 可以通过在 /etc/rc.conf 文件中增加下面的行， 以便让 hcsecd 在系统启动时自动运行： hcsecd_enable="YES" 以下是简单的 hcsecd 服务输出样本： hcsecd[16484]: Got Link_Key_Request event from 'ubt0hci', remote bdaddr 0:80:37:29:19:a4 hcsecd[16484]: Found matching entry, remote bdaddr 0:80:37:29:19:a4, name 'Pav's T39', link key doesn't exist hcsecd[16484]: Sending Link_Key_Negative_Reply to 'ubt0hci' for remote bdaddr 0:80:37:29:19:a4 hcsecd[16484]: Got PIN_Code_Request event from 'ubt0hci', remote bdaddr 0:80:37:29:19:a4 hcsecd[16484]: Found matching entry, remote bdaddr 0:80:37:29:19:a4, name 'Pav's T39', PIN code exists hcsecd[16484]: Sending PIN_Code_Reply to 'ubt0hci' for remote bdaddr 0:80:37:29:19:a4 SDP 服务发现协议 (SDP) 服务发现协议 (SDP) 提供给客户端软件一种方法， 它能发现由服务器软件提供的服务及属性。 服务的属性包括所提供服务的类型或类别， 使用该服务所需要的机制或协议。 SDP 包括 SDP 服务器和 SDP 客户端之间的通信。 服务器维护一张服务记录列表，它介绍服务器上服务的特性。 每个服务记录包含关于单个服务的信息。通过发出 SDP 请求， 客户端会得到服务记录列表的信息。如果客户端 (或者客户端上的应用软件) 决定使用一个服务，为了使用这个服务它必须与服务提供都建立一个独立的连接。 SDP 提供了发现服务及其属性的机制，但它并不提供使用这些服务的机制。 一般地，SDP客户端按照服务的某种期望特征来搜索服务。 但是，即使没有任何关于由 SDP 服务端提供的服务的预设信息， 有时也能令人满意地发现它的服务记录里所描述的是哪种服务类型。 这种发现所提供服务的过程称为 浏览(browsing)。 蓝牙 SDP 服务端 &man.sdpd.8; 和命令行客户端 &man.sdpcontrol.8; 都包括在了标准的 &os; 安装里。 下面的例子展示如何进行 SDP 浏览查询。 &prompt.user; sdpcontrol -a 00:01:03:fc:6e:ec browse Record Handle: 00000000 Service Class ID List: Service Discovery Server (0x1000) Protocol Descriptor List: L2CAP (0x0100) Protocol specific parameter #1: u/int/uuid16 1 Protocol specific parameter #2: u/int/uuid16 1 Record Handle: 0x00000001 Service Class ID List: Browse Group Descriptor (0x1001) Record Handle: 0x00000002 Service Class ID List: LAN Access Using PPP (0x1102) Protocol Descriptor List: L2CAP (0x0100) RFCOMM (0x0003) Protocol specific parameter #1: u/int8/bool 1 Bluetooth Profile Descriptor List: LAN Access Using PPP (0x1102) ver. 1.0 ...等等。注意每个服务有一个属性 (比如 RFCOMM 通道)列表。 根据服务您可能需要为一些属性做个注释。 有些蓝牙实现 (Bluetooth implementation)不支持服务浏览， 可能会返回一个空列表。这种情况，可以搜索指定的服务。 下面的例子展示如何搜索 OBEX Object Push (OPUSH) 服务： &prompt.user; sdpcontrol -a 00:01:03:fc:6e:ec search OPUSH 要在 &os; 里为蓝牙客户端提供服务，可以使用 &man.sdpd.8; 服务。 在 &os; 5.5、 6.1 和更新版本之上， 可以通过在 /etc/rc.conf 中加入下面的行： sdpd_enable="YES" 接下来使用下面的命令来启动 sdpd 服务： &prompt.root; /etc/rc.d/sdpd start 在 &os; 6.0， 以及 5.5 之前的 &os; 5.X 版本上， sdpd 没有集成进系统启动脚本。 它可以用下面的命令来手动启动： &prompt.root; sdpd 需要为远端提供蓝牙服务的本地的服务程序会使用本地 SDP 进程注册服务。像这样的程序就有 &man.rfcomm.pppd.8;。 一旦启动它，就会使用本地 SDP 进程注册蓝牙 LAN 服务。 使用本地 SDP 进程注册的服务列表，可以通过本地控制通道发出 SDP 浏览查询获得： &prompt.root; sdpcontrol -l browse 拨号网络 (DUN) 和使用 PPP(LAN) 层面的网络接入 拨号网络 (DUN) 配置通常与 modem 和手机一起使用。 如下是这一配置所涉及的内容： 计算机使用手机或 modem 作为无线 modem 来连接拨号因特网连入服务器， 或者使用其它的拨号服务； 计算机使用手机或 modem 接收数据请求。 使用 PPP(LAN) 层面的网络接入常使用在如下情形： 单个蓝牙设备的局域网连入； 多个蓝牙设备的局域网接入； PC 到 PC (使用基于串行线模拟的 PPP 网络)。 在 &os; 中，两个层面使用 &man.ppp.8; 和 &man.rfcomm.pppd.8; (一种封装器，可以将 RFCOMM 蓝牙连接转换为 PPP 可操作的东西) 来实现。 在使用任何层面之前，一个新的 PPP 标识必须在 /etc/ppp/ppp.conf 中建立。 想要实例请参考 &man.rfcomm.pppd.8;。 在下面的例子中，&man.rfcomm.pppd.8; 用来在 NUN RFCOMM 通道上打开一个到 BD_ADDR 为 00:80:37:29:19:a4 的设备的 RFCOMM 连接。具体的 RFCOMM 通道号要通过 SDP 从远端设备获得。也可以手动指定通 RFCOMM，这种情况下 &man.rfcomm.pppd.8; 将不能执行 SDP 查询。使用 &man.sdpcontrol.8; 来查找远端设备上的 RFCOMM 通道。 &prompt.root; rfcomm_pppd -a 00:80:37:29:19:a4 -c -C dun -l rfcomm-dialup 为了提供 PPP(LAN) 网络接入服务，必须运行 &man.sdpd.8; 服务。一个新的 LAN 客户端条目必须在 /etc/ppp/ppp.conf 文件中建立。 想要实例请参考 &man.rfcomm.pppd.8;。 最后，在有效地通道号上开始 RFCOMM PPP 服务。 RFCOMM PPP 服务会使用本地 SDP 进程自动注册蓝牙 LAN 服务。下面的例子展示如何启动 RFCOMM PPP 服务。 &prompt.root; rfcomm_pppd -s -C 7 -l rfcomm-server OBEX OBEX 对象推送 (OBEX Object Push - OPUSH) 层面 OBEX协议被广泛地用于移动设备之间简单的文件传输。 它的主要用处是在红外线通信领域， 被用于笔记本或手持设备之间的一般文件传输。 OBEX 服务器和客户端由第三方软件包 obexapp实现，它可以从 comms/obexapp port 安装。 OBEX 客户端用于向 OBEX 服务器推入或接出对象。 一个对像可以是(举个例子)商业卡片或约会。 OBEX 客户能通过 SDP 从远程设备取得 RFCOMM 通道号。这可以通过指定服务名代替 RFCOMM 通道号来完成。支持的服务名是有：IrMC、FTRN 和 OPUSH。 也可以用数字来指定 RFCOMM 通道号。下面是一个 OBEX 会话的例子，一个设备信息对像从手机中被拉出， 一个新的对像被推入手机的目录。 &prompt.user; obexapp -a 00:80:37:29:19:a4 -C IrMC obex> get telecom/devinfo.txt devinfo-t39.txt Success, response: OK, Success (0x20) obex> put new.vcf Success, response: OK, Success (0x20) obex> di Success, response: OK, Success (0x20) 为了提供 OBEX 推入服务，&man.sdpd.8; 必须处于运行状态。必须创建一个根目录用于存放所有进入的对象。 根文件夹的默认路径是 /var/spool/obex。 最后，在有效的 RFCOMM 通道号上开始 OBEX 服务。OBEX 服务会使用 SDP 进程自动注册 OBEX 对象推送 (OBEX Object Push) 服务。 下面的例子展示如何启动 OBEX 服务。 &prompt.root; obexapp -s -C 10 串口(SP)层面 串口(SP)层面允许蓝牙设备完成 RS232 (或类似) 串口线的仿真。 这个层面所涉及到情形是， 通过虚拟串口使用蓝牙代替线缆来处理以前的程序。 工具 &man.rfcomm.sppd.1; 来实现串口层。 Pseudo tty 用来作为虚拟的串口。 下面的例子展示如何连接远程设备的串口服务。 注意您不必指定 RFCOMM 通道——&man.rfcomm.sppd.1; 能够通过 SDP 从远端设备那里获得。 如果您想代替它的话，可以在命令行里指定 RFCOMM 通道来实现： &prompt.root; rfcomm_sppd -a 00:07:E0:00:0B:CA -t /dev/ttyp6 rfcomm_sppd[94692]: Starting on /dev/ttyp6... 一旦连接上，pseudo tty就可以充当串口了： &prompt.root; cu -l ttyp6 问题解答 不能连接远端设备 一些较老的蓝牙设备并不支持角色转换 (role switching)。默认情况下，&os; 接受一个新的连接时， 它会尝试进行角色转换并成为主控端 (master)。 不支持角色转换的设备将无法连接。 注意角色转换是在新连接建立时运行的， 因此如果远程设备不支持角色转换，就不可能向它发出请求。 一个 HCI 选项用来在本地端禁用角色转换。 &prompt.root; hccontrol -n ubt0hci write_node_role_switch 0 如果有错， 能否知道到底正在发生什么？ 可以。 需要借助第三方软件包 hcidump， 它可以通过 comms/hcidump port 来安装。 hcidump 工具和 &man.tcpdump.1; 非常相像。 它可以用来显示蓝牙数据包的内容， 并将其记录到文件中。 Andrew Thompson 原作 桥接 简介 IP 子网 桥接 有时， 会有需要将一个物理网络分成两个独立的网段， 而不是创建新的 IP 子网， 并将其通过路由器相连。 以这种方式连接两个网络的设备称为 网桥 (bridge)。 有两个网络接口的 FreeBSD 系统可以作为网桥来使用。 网桥通过学习每个网络接口上的 MAC 层地址 (以太网地址) 工作。 只当数据包的源地址和目标地址处于不同的网络时， 网桥才进行转发。 在很多方面，网桥就像一个带有很少端口的以太网交换机。 适合桥接的情况 适合使用网桥的， 有许多种不同的情况。 使多个网络相互联通 网桥的基本操作是将两个或多个网段连接在一起。 由于各式各样的原因， 人们会希望使用一台真正的计算机， 而不是网络设备来充任网桥的角色， 常见的原因包括线缆的限制、 需要进行防火墙， 或为虚拟机网络接口连接虚拟网络。 网桥也可以将无线网卡以 hostap 模式接入有线网络。 过滤/数据整形防火墙 防火墙 NAT 使用防火墙的常见情形是无需进行路由或网络地址转换的情况 (NAT)。 举例来说， 一家通过 DSL 或 ISDN 连接到 ISP 的小公司， 拥有 13 个 ISP 分配的全局 IP 地址和 10 台 PC。 在这种情况下， 由于划分子网的问题， 采用路由来实现防火墙会比较困难。 路由器 DSL ISDN 基于网桥的防火墙可以串接在 DSL/ISDN 路由器的后面， 而无需考虑 IP 编制的问题。 网络监视 网桥可以用于连接两个不同的网段， 并用于监视往返的以太网帧。 这可以通过在网桥接口上使用 &man.bpf.4;/&man.tcpdump.1;， 或通过将全部以太网帧复制到另一个网络接口 (span 口) 来实现。 2层 VPN 通过 IP 连接的网桥， 可以利用 EtherIP 隧道或基于 &man.tap.4; 的解决方案， 如 OpenVPN 可以将两个以太网连接到一起。 2层 冗余 网络可以通过多条链路连接在一起， 并使用生成树协议 (Spanning Tree Protocol) 来阻止多余的通路。 为使以太网能够正确工作， 两个设备之间应该只有一条激活通路， 而生成树能够检测环路， 并将多余的链路置为阻断状态。 当激活通路断开时， 协议能够计算另外一棵树， 并重新激活阻断的通路， 以恢复到网络各点的连通性。 内核配置 这一节主要介绍 &man.if.bridge.4; 网桥实现。 除此之外， 还有一个基于 netgraph 的网桥实现， 如欲了解进一步细节， 请参见联机手册 &man.ng.bridge.4;。 网桥驱动是一个内核模块， 并会随使用 &man.ifconfig.8; 创建网桥接口时自动加载。 您也可以将 device if_bridge 加入到内核配置文件中， 以便将其静态联编进内核。 包过滤可以通过使用了 &man.pfil.9; 框架的任意一种防火墙软件包来完成。 这些防火墙可以以模块形式加载， 也可以静态联编进内核。 通过配合 &man.altq.4; 和 &man.dummynet.4;， 网桥也可以用于流量控制。 启用网桥 网桥是通过接口复制来创建的。 您可以使用 &man.ifconfig.8; 来创建网桥接口， 如果内核不包括网桥驱动， 则它会自动将其载入。 &prompt.root; ifconfig bridge create bridge0 &prompt.root; ifconfig bridge0 bridge0: flags=8802<BROADCAST,SIMPLEX,MULTICAST> metric 0 mtu 1500 ether 96:3d:4b:f1:79:7a id 00:00:00:00:00:00 priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp maxaddr 100 timeout 1200 root id 00:00:00:00:00:00 priority 0 ifcost 0 port 0 如此就建立了一个网桥接口， 并为其随机分配了以太网地址。 maxaddr 和 timeout 参数能够控制网桥在转发表中保存多少个 MAC 地址， 以及表项中主机的过期时间。 其他参数控制生成树的运转方式。 将成员网络接口假如网桥。 为了让网桥能够为所有网桥成员接口转发包， 网桥接口和所有成员接口都需要处于启用状态： &prompt.root; ifconfig bridge0 addm fxp0 addm fxp1 up &prompt.root; ifconfig fxp0 up &prompt.root; ifconfig fxp1 up 网桥现在会在 fxp0 和 fxp1 之间转发以太网帧。 等效的 /etc/rc.conf 配置如下， 如此配置将在系统启动时创建同样的网桥。 cloned_interfaces="bridge0" ifconfig_bridge0="addm fxp0 addm fxp1 up" ifconfig_fxp0="up" ifconfig_fxp1="up" 如果网桥主机需要 IP 地址， 则应将其绑在网桥设备本身， 而不是某个成员设备上。 这可以通过静态设置或 DHCP 来完成： &prompt.root; ifconfig bridge0 inet 192.168.0.1/24 除此之外， 也可以为网桥接口指定 IPv6 地址。 防火墙 firewall (防火墙) 当启用包过滤时， 通过网桥的包可以分别在进入的网络接口、 网桥接口和发出的网络接口上进行过滤。 这些阶段均可禁用。 当包的流向很重要时， 最好在成员接口而非网桥接口上配置防火墙。 网桥上可以进行许多配置以决定非 IP 及 ARP 包能否通过， 以及通过 IPFW 实现二层防火墙。 请参见 &man.if.bridge.4; 联机手册以了解进一步的细节。 生成树 网桥驱动实现了快速生成树协议 (RSTP 或 802.1w)， 并与较早的生成树协议 (STP) 兼容。 生成树可以用来在网络拓扑中检测并消除环路。 RSTP 提供了比传统 STP 更快的生成树覆盖速度， 这种协议会在相邻的交换机之间交换信息， 以迅速进入转发状态， 而不会产生环路。 下表展示了支持的运行模式： OS 版本 STP 模式 默认模式 &os; 5.4—&os; 6.2 STP STP &os; 6.3+ RSTP 或 STP STP &os; 7.0+ RSTP 或 STP RSTP 使用 stp 命令可以在成员接口上启用生成树。 对包含 fxp0 和 fxp1 的网桥， 可以用下列命令启用 STP： &prompt.root; ifconfig bridge0 stp fxp0 stp fxp1 bridge0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 ether d6:cf:d5:a0:94:6d id 00:01:02:4b:d4:50 priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp maxaddr 100 timeout 1200 root id 00:01:02:4b:d4:50 priority 32768 ifcost 0 port 0 member: fxp0 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 3 priority 128 path cost 200000 proto rstp role designated state forwarding member: fxp1 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 4 priority 128 path cost 200000 proto rstp role designated state forwarding 网桥的生成树 ID 为 00:01:02:4b:d4:50 而优先级为 32768。 其中 root id 与生成树相同， 表示这是作为生成树根的网桥。 另一个网桥也启用了生成树： bridge0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 ether 96:3d:4b:f1:79:7a id 00:13:d4:9a:06:7a priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp maxaddr 100 timeout 1200 root id 00:01:02:4b:d4:50 priority 32768 ifcost 400000 port 4 member: fxp0 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 4 priority 128 path cost 200000 proto rstp role root state forwarding member: fxp1 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 5 priority 128 path cost 200000 proto rstp role designated state forwarding 这里的 root id 00:01:02:4b:d4:50 priority 32768 ifcost 400000 port 4 表示根网桥是前面的 00:01:02:4b:d4:50， 而从此网桥出发的通路代价为 400000, 此通路到根网桥是通过 port 4 即 fxp0 连接的。 网桥的高级用法 重建流量流 网桥支持监视模式， 在 &man.bpf.4; 处理之后会将包丢弃， 而不是继续处理或转发。 这可以用于将两个或多个接口上的输入转化为一个 &man.bpf.4; 流。 在将两个独立的接口上的传输的 RX/TX 信号重整为一个时， 这会非常有用。 如果希望将四个网络接口上的输入转成一个流： &prompt.root; ifconfig bridge0 addm fxp0 addm fxp1 addm fxp2 addm fxp3 monitor up &prompt.root; tcpdump -i bridge0 镜像口 (Span port) 网桥收到的每个以太网帧都可以发到镜像口上。 网桥上的镜像口数量没有限制， 如果一个接口已经被配置为镜像口， 则它就不能再作为网桥的成员口来使用。 这种用法主要是为与网桥镜像口相连的监听机配合使用。 如果希望将所有帧发到名为 fxp4 的接口上： &prompt.root; ifconfig bridge0 span fxp4 专用接口 (Private interface) 专用接口不会转发流量到除专用接口之外的其他端口。 这些流量会无条件地阻断， 因此包括 ARP 在内的以太网帧均不会被转发。 如果需要选择性地阻断流量， 则应使用防火墙。 自学习接口 (Sticky Interfaces) 如果网桥的成员接口标记为自学习， 则动态学习的地址项一旦进入转发快取缓存， 即被认为是静态项。 自学习项不会从快取缓存中过期或替换掉， 即使地址在另一接口上出现也是如此。 这使得不必事先发布转发表， 也能根据学习结果得到静态项的有点， 但在这些网段被网桥看到的客户机， 就不能漫游至另一网段了。 另一种用法是将网桥与 VLAN 功能连用， 这样客户网络会被隔离在一边， 而不会浪费 IP 地址空间。 考虑 CustomerA 在 vlan100 上， 而 CustomerB 则在 vlan101 上。 网桥地址为 192.168.0.1， 同时作为 internet 路由器使用。 &prompt.root; ifconfig bridge0 addm vlan100 sticky vlan100 addm vlan101 sticky vlan101 &prompt.root; ifconfig bridge0 inet 192.168.0.1/24 两台客户机均将 192.168.0.1 作为默认网关， 由于网桥快取缓存是自学习的， 因而它们无法伪造 MAC 地址来截取其他客户机的网络流量。 在 VLAN 之间的通讯可以通过专用接口 (或防火墙) 来阻断： &prompt.root; ifconfig bridge0 private vlan100 private vlan101 这样这些客户机就完全相互隔离了。 可以使用整个的 /24 地址空间， 而无需划分子网。 SNMP 管理 网桥接口和 STP 参数能够由 &os; 基本系统的 SNMP 守护进程进行管理。导出的网桥 MIB 符和 IETF 标准， 所以任何 SNMP 客户端或管理包都可以被用来接收数据。 在网桥机器上从/etc/snmp.config 文件中去掉以下这行的注释 begemotSnmpdModulePath."bridge" = "/usr/lib/snmp_bridge.so" 并启动 bsnmpd 守护进程。 其他的配置选项诸如 community names 和 access lists 可能也许也需要修改。 参阅 &man.bsnmpd.1; 和 &man.snmp.bridge.3; 获取更多信息。 以下的例子中使用了 Net-SNMP 软件 (net-mgmt/net-snmp) 来查询一个网桥，当然同样也能够使用port net-mgmt/bsnmptools。 在 SNMP 客户端 Net-SNMP 的配置文件 $HOME/.snmp/snmp.conf 中 加入以下几行来导入网桥的 MIB 定义： mibdirs +/usr/share/snmp/mibs mibs +BRIDGE-MIB:RSTP-MIB:BEGEMOT-MIB:BEGEMOT-BRIDGE-MIB 通过 IETF BRIDGE-MIB(RFC4188) 监测一个单独的网桥 &prompt.user; snmpwalk -v 2c -c public bridge1.example.com mib-2.dot1dBridge BRIDGE-MIB::dot1dBaseBridgeAddress.0 = STRING: 66:fb:9b:6e:5c:44 BRIDGE-MIB::dot1dBaseNumPorts.0 = INTEGER: 1 ports BRIDGE-MIB::dot1dStpTimeSinceTopologyChange.0 = Timeticks: (189959) 0:31:39.59 centi-seconds BRIDGE-MIB::dot1dStpTopChanges.0 = Counter32: 2 BRIDGE-MIB::dot1dStpDesignatedRoot.0 = Hex-STRING: 80 00 00 01 02 4B D4 50 ... BRIDGE-MIB::dot1dStpPortState.3 = INTEGER: forwarding(5) BRIDGE-MIB::dot1dStpPortEnable.3 = INTEGER: enabled(1) BRIDGE-MIB::dot1dStpPortPathCost.3 = INTEGER: 200000 BRIDGE-MIB::dot1dStpPortDesignatedRoot.3 = Hex-STRING: 80 00 00 01 02 4B D4 50 BRIDGE-MIB::dot1dStpPortDesignatedCost.3 = INTEGER: 0 BRIDGE-MIB::dot1dStpPortDesignatedBridge.3 = Hex-STRING: 80 00 00 01 02 4B D4 50 BRIDGE-MIB::dot1dStpPortDesignatedPort.3 = Hex-STRING: 03 80 BRIDGE-MIB::dot1dStpPortForwardTransitions.3 = Counter32: 1 RSTP-MIB::dot1dStpVersion.0 = INTEGER: rstp(2) dot1dStpTopChanges.0的值为2 意味着 STP 网桥拓扑改变了2次，拓扑的改变表示1个或多个 网络中的连接改变或失效并且有一个新树生成。 dot1dStpTimeSinceTopologyChange.0 的值则能够显示这是何时改变的。 监测多个网桥接口可以使用 private BEGEMOT-BRIDGE-MIB： &prompt.user; snmpwalk -v 2c -c public bridge1.example.com enterprises.fokus.begemot.begemotBridge BEGEMOT-BRIDGE-MIB::begemotBridgeBaseName."bridge0" = STRING: bridge0 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseName."bridge2" = STRING: bridge2 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseAddress."bridge0" = STRING: e:ce:3b:5a:9e:13 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseAddress."bridge2" = STRING: 12:5e:4d:74:d:fc BEGEMOT-BRIDGE-MIB::begemotBridgeBaseNumPorts."bridge0" = INTEGER: 1 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseNumPorts."bridge2" = INTEGER: 1 ... BEGEMOT-BRIDGE-MIB::begemotBridgeStpTimeSinceTopologyChange."bridge0" = Timeticks: (116927) 0:19:29.27 centi-seconds BEGEMOT-BRIDGE-MIB::begemotBridgeStpTimeSinceTopologyChange."bridge2" = Timeticks: (82773) 0:13:47.73 centi-seconds BEGEMOT-BRIDGE-MIB::begemotBridgeStpTopChanges."bridge0" = Counter32: 1 BEGEMOT-BRIDGE-MIB::begemotBridgeStpTopChanges."bridge2" = Counter32: 1 BEGEMOT-BRIDGE-MIB::begemotBridgeStpDesignatedRoot."bridge0" = Hex-STRING: 80 00 00 40 95 30 5E 31 BEGEMOT-BRIDGE-MIB::begemotBridgeStpDesignatedRoot."bridge2" = Hex-STRING: 80 00 00 50 8B B8 C6 A9 通过 mib-2.dot1dBridge 子树改变正在被监测的网桥接口： &prompt.user; snmpset -v 2c -c private bridge1.example.com BEGEMOT-BRIDGE-MIB::begemotBridgeDefaultBridgeIf.0 s bridge2 + + + + + Andrew + Thompson + Written by + + + + 链路聚合与故障转移 + + lagg + failover (故障转移) + fec + lacp + loadbalance (负载均衡) + roundrobin (轮转) + + + 介绍 + 使用 &man.lagg.4; 接口， 能够将多个网络接口聚合为一个虚拟接口， + 以提供容灾和高速连接的能力。 + + + + 运行模式 + + + + failover (故障转移) + + + 只通过主网口收发数据。 如果主网口不可用， 则使用下一个激活的网口。 + 您在这里加入的第一个网口便会被视为主网口； 此后加入的其他网口， + 则会被视为故障转移的备用网口。 + + + + fec + + + 用以支持 Cisco EtherChannel。 这是一种静态配置， + 并不进行节点间协商或交换以太网帧来监控链路情况。 + 如果交换机支持 LACP， 则应使用后者而非这种配置。 + + 这种做法是将输出流量在激活的网口之间以协议头散列信息为依据分拆， + 并接收来自任意激活网口的入流量。 散列信息包含以太网源地址、 + 目的地址， 以及 (如果有的话) VLAN tag 和 IPv4/IPv6 源地址及目的地址信息。 + + + + lacp + + + 支持 IEEE 802.3ad 链路聚合控制协议 + (LACP) 和标记协议。 LACP 能够在节点与若干链路聚合组之间协商链路。 + 每一个链路聚合组 (LAG) 由一组相同速度、 以全双工模式运行的网口组成。 + 流量在 LAG 中的网口之间， 会以总速度最大的原则进行分摊。 + 当物理链路发生变化时， 链路聚合会迅速适应变动形成新的配置。 + + 这种做法也是将输出流量在激活的网口之间以协议头散列信息为依据分拆， + 并接收来自任意激活网口的入流量。 散列信息包含以太网源地址、 + 目的地址， 以及 (如果有的话) VLAN tag 和 IPv4/IPv6 源地址及目的地址信息。 + + + + loadbalance (负载均衡) + + + 这是 fec 模式的别名。 + + + + roundrobin (轮转) + + + 将输出流量以轮转方式在所有激活端口之间调度， 并从任意激活端口接收进入流量。 + 这种模式违反了以太网帧排序规则， 因此应小心使用。 + + + + + + + 例子 + + + 与 Cisco 交换机配合完成 LACP 链路聚合 + + 在这个例子中， 我们将 &os; 的两个网口作为一个负载均衡和故障转移链路聚合组接到交换机上。 + 在此基础上， 还可以增加更多的网口， 以提高吞吐量和故障容灾能力。 + 由于以太网链路上两节点间的帧序是强制性的， 因此两个节点之间的连接速度， + 会取决于一块网卡的最大速度。 传输算法会尽量采用更多的信息， + 以便将不同的网络流量分摊到不同的网络接口上， 并平衡不同网口的负载。 + + 在 Cisco 交换机上将网口添加到通道组 （channel group) 中。 + + interface FastEthernet0/1 + channel-group 1 mode active + channel-protocol lacp +! +interface FastEthernet0/2 + channel-group 1 mode active + channel-protocol lacp +! + + 在 &os; 机器上创建 lagg 接口。 + + &prompt.root; ifconfig lagg0 create +&prompt.root; ifconfig lagg0 up laggproto lacp laggport fxp0 laggport fxp1 + + 从 ifconfig 查看接口状态： 标记为 + ACTIVE 的接口属于激活的聚合组， + 并且已经完成了与交换机的协商过程， 能够收发网络流量了。 + 您可以利用 &man.ifconfig.8; + 的输出细节来检视 LAG 标识。 + + lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 + options=8<VLAN_MTU> + ether 00:05:5d:71:8d:b8 + media: Ethernet autoselect + status: active + laggproto lacp + laggport: fxp1 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> + laggport: fxp0 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> + + 交换机上会显示哪些端口是激活的。 如果需要了解更多细节， 则可以使用 + show lacp neighbor detail。 + + switch# show lacp neighbor +Flags: S - Device is requesting Slow LACPDUs + F - Device is requesting Fast LACPDUs + A - Device is in Active mode P - Device is in Passive mode + +Channel group 1 neighbors + +Partner's information: + + LACP port Oper Port Port +Port Flags Priority Dev ID Age Key Number State +Fa0/1 SA 32768 0005.5d71.8db8 29s 0x146 0x3 0x3D +Fa0/2 SA 32768 0005.5d71.8db8 29s 0x146 0x4 0x3D + + + + 故障转移模式 + + 故障转移模式可以用于在主端口连接中断时切换到备用端口。 + + &prompt.root; ifconfig lagg0 create +&prompt.root; ifconfig lagg0 up laggproto failover laggport fxp0 laggport fxp1 + + lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 + options=8<VLAN_MTU> + ether 00:05:5d:71:8d:b8 + media: Ethernet autoselect + status: active + laggproto failover + laggport: fxp1 flags=0<> + laggport: fxp0 flags=5<MASTER,ACTIVE> + + 系统将在 + fxp0 上进行流量的收发。 如果 + fxp0 的连接中断， 则 fxp1 + 会自动成为激活连接。 如果主端口的连接恢复， 则它又会成为激活连接。 + + + + Jean-François Dockès 更新： Alex Dupre 重新组织及增强： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 无盘操作 无盘工作站 无盘操作 FreeBSD 主机可以从网络启动而无需本地磁盘就可操作， 使用的是从 NFS 服务器装载的文件系统。 除了标准的配置文件，无需任何的系统修改。 很容易设置这样的系统因为所有必要的元素都很容易得到： 至少有两种可能的方法从网络加载内核： PXE：&intel; 的先启动执行环境 (Preboot eXecution Environment) 系统是一种灵活的引导 ROM 模式，这个 ROM 内建在一些网卡或主板的中。查看 &man.pxeboot.8; 以获取更多细节。 Etherboot port (net/etherboot) 产生通过网络加载内核的可 ROM 代码。这些代码可以烧入网卡上的 PROM 上，或从本地软盘 (或硬盘) 驱动器加载，或从运行着的 &ms-dos; 系统加载。它支持多种网卡。 一个样板脚本 (/usr/share/examples/diskless/clone_root) 简化了对服务器上的工作站根文件系统的创建和维护。 这个脚本需要少量的自定义，但您能很快的熟悉它。 /etc 存在标准的系统启动文件用于侦测和支持无盘的系统启动。 可以向 NFS 文件或本地磁盘进行交换(如果需要的话)。 设置无盘工作站有许多方法。 有很多相关的元素大部分可以自定义以适合本地情况。 以下将介绍一个完整系统的安装，强调的是简单性和与标准 FreeBSD 启动脚本的兼容。介绍的系统有以下特性： 无盘工作站使用一个共享的只读 / 文件系统和一个共享的只读/usr。 root 文件系统是一份标准的 FreeBSD 根文件系统 (一般是服务器的)，只是一些配置文件被特定于无盘操作的配置文件覆盖。 root 文件系统必须可写的部分被 &man.md.4; 文件系统覆盖。 任何的改写在重启后都会丢失。 内核由 etherboot 或 PXE 传送和加载， 有些情况可能会指定使用其中之一。 如上所述，这个系统是不安全的。 它应该处于网络的受保护区域并不被其它主机信任。 这部分所有的信息均在 5.2.1-RELEASE 上测试过。 背景信息 设置无盘工作站相对要简单而又易出错。 有时分析一些原因是很难的。例如： 编译时选项在运行时可能产生不同的行为。 出错信息经常是加密了的或根本就没有。 在这里， 涉及到的一些背景知识对于可能出现的问题的解决是很有帮助的。 要成功地引导系统还有些操作需要做。 机子需要获取初始的参数，如它的 IP 地址、执行文件、服务器名、根路径。这个可以使用 或 BOOTP 协议来完成。 DHCP 是 BOOTP 的兼容扩展， 并使用相同的端口和基本包格式。 只使用 BOOTP 来配置系统也是可行的。 &man.bootpd.8; 服务程序被包含在基本的 &os; 系统里。 不过，DHCP 相比 BOOTP 有几个好处 (更好的配置文件，使用 PXE 的可能性，以及许多其它并不直接相关的无盘操作)， 接着我们会要描述一个 DHCP 配置， 可能的话会利用与使用 &man.bootpd.8; 相同的例子。这个样板配置会使用ISC DHCP 软件包 (3.0.1.r12 发行版安装在测试服务器上)。 机子需要传送一个或多个程序到本地内存。 TFTP 或 NFS 会被使用。选择TFTP 还是 NFS 需要在几个地方的编译时间选项里设置。 通常的错误源是为文件名指定了错误的协议：TFTP 通常从服务器里的一个单一目录传送所有文件，并需要相对这个目录的文件名。 NFS 需要的是绝对文件路径。 介于启动程序和内核之间的可能的部分需要被初始化并执行。 在这部分有几个重要的变量： PXE 会装入 &man.pxeboot.8;——它是 &os; 第三阶段装载器的修改版。 &man.loader.8; 会获得许多参数用于系统启动， 并在传送控制之前把它们留在内核环境里。 在这种情况下，使用 GENERIC 内核就可能了。 Etherboot 会做很少的准备直接装载内核。 您要使用指定的选项建立 (build) 内核。 PXE 和 Etherboot 工作得一样的好。 不过， 因为一般情况下内核希望 &man.loader.8; 做了更多的事情， PXE 是推荐的方法。 如果您的 BIOS 和网卡都支持 PXE， 就应该使用它。 最后，机子需要访问它的文件系统。 NFS 使用在所有的情况下。 查看 &man.diskless.8; 手册页。 安装说明 配置使用<application>ISC DHCP</application> DHCP 无盘操作 ISC DHCP 服务器可以回应 BOOTP 和 DHCP 的请求。 ISC DHCP 3.0 并不属于基本系统。首先您需要安装 net/isc-dhcp3-server port 或相应的包。 一旦安装了 ISC DHCP， 还需要一个配置文件才能运行 (通常名叫 /usr/local/etc/dhcpd.conf)。 这里有个注释过的例子，里边主机 margaux 使用 Etherboot， 而主机corbieres 使用 PXE： default-lease-time 600; max-lease-time 7200; authoritative; option domain-name "example.com"; option domain-name-servers 192.168.4.1; option routers 192.168.4.1; subnet 192.168.4.0 netmask 255.255.255.0 { use-host-decl-names on; option subnet-mask 255.255.255.0; option broadcast-address 192.168.4.255; host margaux { hardware ethernet 01:23:45:67:89:ab; fixed-address margaux.example.com; next-server 192.168.4.4; filename "/data/misc/kernel.diskless"; option root-path "192.168.4.4:/data/misc/diskless"; } host corbieres { hardware ethernet 00:02:b3:27:62:df; fixed-address corbieres.example.com; next-server 192.168.4.4; filename "pxeboot"; option root-path "192.168.4.4:/data/misc/diskless"; } } 这个选项告诉 dhcpd 发送host 里声明的用于无盘主机的主机名的值。 另外可能会增加一个 option host-name margaux 到 host 声明里。 next-server 正式指定 TFTP 或 NFS 服务用于载入装载器或内核文件 (默认使用的是相同的主机作为DHCP 服务器)。 filename 正式定义这样的文件——etherboot 或 PXE 为执行下一步将装载它。 根据使用的传输方式，它必须要指定。 Etherboot 可以被编译来使用 NFS 或 TFTP。 &os; port 默认配置了NFS。 PXE 使用 TFTP， 这就是为什么在这里使用相对文件名 (这可能依赖于 TFTP 服务器配置，不过会相当典型)。 同样，PXE 会装载 pxeboot， 而不是内核。另外有几个很有意思的可能，如从 &os; CD-ROM 的 /boot 目录装载 pxeboot (因为 &man.pxeboot.8; 能够装载 GENERIC 内核，这就使得可以使用 PXE 从远程的 CD-ROM 里启动)。 root-path 选项定义到根 (root) 文件系统的路径，通常是 NFS 符号。当使用 PXE 时，只要您不启用内核里的 BOOTP 选项，可以不管主机的IP。NFS 服务器然后就如同 TFTP 一样。 配置使用BOOTP BOOTP 无盘操作 这里紧跟的是一个等效的 bootpd 配置 (减少到一个客户端)。这个可以在 /etc/bootptab 里找到。 请注意：为了使用BOOTP，etherboot 必须使用非默认选项 NO_DHCP_SUPPORT 来进行编译，而且 PXE 需要 DHCP。bootpd 的唯一可见的好处是它存在于基本系统中。 .def100:\ :hn:ht=1:sa=192.168.4.4:vm=rfc1048:\ :sm=255.255.255.0:\ :ds=192.168.4.1:\ :gw=192.168.4.1:\ :hd="/tftpboot":\ :bf="/kernel.diskless":\ :rp="192.168.4.4:/data/misc/diskless": margaux:ha=0123456789ab:tc=.def100 使用<application>Etherboot</application>准备启动程序 Etherboot Etherboot 的网站 包含有更多的文档 ——主要瞄准的是 Linux 系统，但无疑包含有有用的信息。 如下列出的是关于在 FreeBSD 系统里使用 Etherboot。 首先您必须安装net/etherboot 包或 port。 您可以改变 Etherboot 的配置 (如使用 TFTP 来代替 NFS)， 方法是修改 Config 文件——在 Etherboot 源目录里。 对于我们的设置，我们要使用一张启动软盘。 对于其它的方法(PROM，或 &ms-dos;程序)， 请参考 Etherboot 文档。 想要使用启动软盘，先插入一张软盘到安装有 Etherboot 的机器的驱动器里， 然后把当前路径改到 src 目录——在 Etherboot 树下， 接着输入： &prompt.root; gmake bin32/devicetype.fd0 devicetype 依赖于无盘工作站上的以太网卡的类型。 参考在同一个目录下的 NIC 文件确认正确的 devicetype。 使用<acronym>PXE</acronym>启动 默认地，&man.pxeboot.8; 装载器通过 NFS 装载内核。它可以编译来使用 TFTP——通过在文件 /etc/make.conf 里指定 LOADER_TFTP_SUPPORT 选项来代替。 请参见 /usr/share/examples/etc/make.conf 里的注释 了解如何配置。 除此之外还有两个未说明的 make.conf 选项——它可能对于设置一系列控制台无盘机器会有用： BOOT_PXELDR_PROBE_KEYBOARD和 BOOT_PXELDR_ALWAYS_SERIAL。 当机器启动里，要使用 PXE， 通常需要选择 Boot from network 选项——在 BIOS 设置里， 或者在 PC 初始化的时候输入一个功能键 (function key)。 配置 <acronym>TFTP</acronym> 和 <acronym>NFS</acronym> 服务器 TFTP 无盘操作 NFS 无盘操作 如果您正在使用 PXE 或 Etherboot——配置使用了 TFTP，那么您需要在文件服务器上启用 tftpd： 建立一个目录——从那里 tftpd 可以提供文件服务，如 /tftpboot。 把这一行加入到 /etc/inetd.conf里： tftp dgram udp wait root /usr/libexec/tftpd tftpd -l -s /tftpboot 好像有一些版本的 PXE 需要 TCP 版本的 TFTP。 在这种情况下，加入第二行，使用 stream tcp 来代替 dgram udp。 让 inetd 重读其配置文件。 要正确执行这个命令， 在 /etc/rc.conf 文件中必须加入 ： &prompt.root; /etc/rc.d/inetd restart 您可把 tftpboot 目录放到服务器上的什何地方。 确定这个位置设置在 inetd.conf 和 dhcpd.conf 里。 在所有的情况下，您都需要启用 NFS， 并且 NFS 服务器上导出相应的文件系统。 把这一行加入到/etc/rc.conf里： nfs_server_enable="YES" 通过往 /etc/exports 里加入下面几行(调整载入点列， 并且使用无盘工作站的名字替换 margaux corbieres)， 导出文件系统——无盘根目录存在于此： /data/misc -alldirs -ro margaux corbieres 让 mountd 重读它的配置文件。如果您真的需要启用第一步的 /etc/rc.conf 里 NFS， 您可能就要重启系统了。 &prompt.root; /etc/rc.d/mountd restart 建立无盘内核 无盘操作 内核配置 如果您在使用 Etherboot， 您需要为无盘客户端建立内核配置文件， 使用如下选项(除了常使用的外)： options BOOTP # Use BOOTP to obtain IP address/hostname options BOOTP_NFSROOT # NFS mount root filesystem using BOOTP info 您可能也想使用 BOOTP_NFSV3， BOOT_COMPAT 和 BOOTP_WIRED_TO (参考 NOTES 文件)。 这些名字具有历史性，并且有些有些误导， 因为它们实际上启用了内核里 (它可能强制限制 BOOTP 或 DHCP 的使用)，与 DHCP 和 BOOTP 的无关的应用。 编译内核(参考)， 然后将它复制到 dhcpd.conf 里指定的地方。 当使用 PXE 里， 使用以上选项建立内核并不做严格要求(尽管建议这样做)。 启用它们会在内核启动时引起更多的 DHCP 提及过的请求，带来的小小的风险是在有些特殊情况下新值和由 &man.pxeboot.8; 取回的值之间的不一致性。 使用它们的好处是主机名会被附带设置。否则， 您就需要使用其它的方法来设置主机名，如在客户端指定的 rc.conf 文件里。 为了使带有 Etherboot 的内核可引导，就需要把设备提示 (device hint) 编译进去。通常要在配置文件(查看 NOTES 配置注释文件) 里设置下列选项： hints "GENERIC.hints" 准备根(root)文件系统 根文件系统 无盘操作 您需要为无盘工作站建立根文件系统， 它就是 dhcpd.conf 里的 root-path 所指定的目录。 使用 <command>make world</command> 来复制根文件系统 这种方法可以迅速安装一个彻底干净的系统 (不仅仅是根文件系统) 到 DESTDIR。 您要做的就是简单地执行下面的脚本： #!/bin/sh export DESTDIR=/data/misc/diskless mkdir -p ${DESTDIR} cd /usr/src; make buildworld && make buildkernel cd /usr/src/etc; make distribution 一旦完成，您可能需要定制 /etc/rc.conf 和 /etc/fstab——根据您的需要放到 DESTDIR里。 配置 swap(交换) 如果需要，位于服务器上的交换文件可以通过 NFS 来访问。 <acronym>NFS</acronym> 交换区 内核并不支持在引导时启用 NFS 交换区。 交换区必须通过启动脚本启用， 其过程是挂接一个可写的文件系统， 并在其上创建并启用交换文件。 要建立尺寸合适的交换文件， 可以这样做： &prompt.root; dd if=/dev/zero of=/path/to/swapfile bs=1k count=1 oseek=100000 要启用它，您须要把下面几行加到 rc.conf里： swapfile=/path/to/swapfile 杂项问题 运行时 <filename>/usr</filename> 是只读在 无盘操作 只读的 /usr 如果无盘工作站是配置来支持 X， 那么您就必须调整 XDM 配置文件，因为它默认把错误信息写到 /usr。 使用非 FreeBSD 服务器 当用作根文件系统的服务器运行的是不 FreeBSD，您须要在 FreeBSD 机器上建立根文件系统， 然后把它复制到它的目的地，使用的命令可以是 tar 或 cpio。 在这种情况下，有时对于 /dev 里的一些特殊的文件会有问题，原因就是不同的 最大/最小整数大小。 一种解决的方法就是从非 FreeBSD 服务里导出一个目录， 并把它载入 FreeBSD 到机子上， 并使用 &man.devfs.5; 来为用户透明地分派设备节点。 ISDN ISDN 关于 ISDN 技术和硬件的一个好的资源是Dan Kegel 的 ISDN 主页。 一个快速简单的到 ISDN 的路线图如下： 如果您住在欧洲，您可能要查看一下 ISDN 卡部分。 如果您正计划首要地使用 ISDN 基于拨号非专用线路连接到带有提供商的互联网， 您可能要了解一下终端适配器。如果您更改提供商的话， 这会给您带来最大的灵活性、最小的麻烦。 如果您连接了两个局域网 (LAN)，或使用了专用的 ISDN 连线连接到互联网，您可能要考虑选择单独的路由器/网桥。 在决定选择哪一种方案的时候，价格是个很关键的因素。 下面列有从不算贵到最贵的选择： Hellmuth Michaelis 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 ISDN 卡 ISDN 卡 FreeBSD 的 ISDN 工具通过被动卡 (passive card) 仅支持 DSS1/Q.931(或 Euro-ISDN) 标准。 此外也支持一些 active card， 它们的固件也支持其它信号协议， 这其中包括最先得到支持的 Primary Rate (PRI) ISDN卡。 isdn4bsd 软件允许连接到其它 ISDN 路由器，使用的是原始的 HDLC 上的 IP 或利用同步 PPP：使用带有 isppp (一个修改过的 &man.sppp.4; 驱动程序)的 PPP 内核，或使用用户区 (userland) &man.ppp.8;。通过使用 userland &man.ppp.8;，两个或更多 ISDN 的 B 通道联结变得可能。 除了许多如 300 波特 (Baud) 的软 modem 一样的工具外， 还可以实现电话应答机应用。 在 FreeBSD 里，正有更多的 PC ISDN 卡被支持； 报告显示在整个欧洲及世界的其它许多地区可以成功使用。 被支持的主动型 ISDN 卡主要是带有 Infineon (以前的 Siemens) ISAC/HSCX/IPAC ISDN 芯片组，另外还有带有 Cologne (只有 ISA 总线) 芯片的 ISDN 卡、带有 Winbond W6692 芯片的 PCI 卡、一部分带有 Tiger300/320/ISAC 芯片组的卡以及带有一些商家专有的芯片组的卡 (如 AVM Fritz!Card PCI V.1.0 和 the AVM Fritz!Card PnP)。 当前积极的支持的 ISDN 卡有 AVM B1 (ISA 和 PCI) BRI 卡和 AVM T1 PCI PRI 卡。 关于 isdn4bsd 的文档，请查看 FreeBSD 系统里的 /usr/share/examples/isdn/ 目录或查看 isdn4bsd的主页， 那里也有提示、勘误表以及更多的文档 (如 isdn4bsd手册)。 要是您有兴趣增加对不同 ISDN 协议的支持，对当前还不支持的 ISDN PC 卡的支持或想增强 isdn4bsd 的性能，请联系 &a.hm;。 对于安装、配置以及 isdn4bsd 故障排除的问题，可以利用 &a.isdn.name; 邮件列表。 ISDN 终端适配器 终端适配器 (TA) 对于 ISDN 就好比 modem 对于常规电话线。 modem 许多 TA 使用标准的 Hayes modem AT 命令集，并且可以降级来代替 modem。 TA 基本的运作同 modem 一样，不同之处是连接和整个速度更比老 modem 更快。同 modem 的安装一样，您也需要配置 PPP。确认您的串口速度已足够高。 PPP 使用 TA 连接互联网提供商的主要好处是您可以做动态的 PPP。 由于 IP 地址空间变得越来越紧张，许多提供商都不愿再提供静态 IP。许多的独立的路由器是不支持动态 IP 分配的。 TA 完全依赖于您在运行的 PPP 进程， 以完成它们的功能和稳定的连接。这可以让您在 FreeBSD 机子里轻易地从使用 modem 升级到 ISDN，要是您已经安装了 PPP 的话。只是，在您使用 PPP 程序时所体验到任何问题同时也存在。 如果您想要最大的稳定性，请使用 PPP 内核选项，而不要使用 userland PPP。 下面的 TA 就可以同 FreeBSD 一起工作： Motorola BitSurfer 和 Bitsurfer Pro Adtran 大部分其它的 TA 也可能工作，TA 提供商试图让他们的产品可以接受大部分的标准 modem AT 命令集。 对于外置 TA 的实际问题是：象 modem 要一样，您机子需要有一个好的串行卡。 想要更深入地理解串行设备以及异步和同步串口这间的不同点， 您就要读读 FreeBSD 串行硬件教程了。 TA 将标准的 PC 串口 (同步的) 限制到了 115.2 Kbs，即使您有 128 Kbs 的连接。 想要完全利用 ISDN 有能力达到的 128 Kbs，您就需要把 TA 移到同步串行卡上。 当心被骗去买一个内置的 TA 以及自认为可以避免同步/异步问题。内置的 TA 只是简单地将一张标准 PC 串口芯片内建在里边。 所做的这些只是让您省去买另一根串行线以及省去寻找另一个空的插孔。 带有 TA 的同步卡至少和一个独立的路由器同一样快地， 而且仅使用一个简单的 386 FreeBSD 盒驱动它。 选择同步卡/TA 还是独立的路由器，是个要高度谨慎的问题。 在邮件列表里有些相关的讨论。我们建议您去搜索一下关于完整讨论的记录。 单独的 ISDN 桥/路由器 ISDN 单独的 桥/路由器 ISDN 桥或路由器根本就没有指定要 FreeBSD 或其它任何的操作系统。更多完整的关于路由和桥接技术的描述， 请参考网络指南的书籍。 这部分的内容里，路由器和桥接这两个词汇将会交替地使用。 随着 ISDN 路由器/桥的价格下滑，对它们的选择也会变得越来越流行。 ISDN 路由器是一个小盒子，可以直接地接入您的本地以太网， 并且自我管理到其它桥/路由器的连接。它有个内建的软件用于与通信——通过 PPP 和其它流行的协议。 路由器有比标准 TA 更快的吞吐量，因为它会使用完全同步的 ISDN 连接。 使用 ISDN 路由器和桥的主要问题是两个生产商之间的协同性仍存在问题。 如果您计划连接到互联网提供商，您应该跟他们进行交涉。 如果您计划连接两个局域网网段，如您的家庭网和办公网， 这将是最简单最低维护的解决方案。因为您买的设备是用于连接两边的， 可以保证这种连接一定会成功。 例如连接到家里的计算机，或者是办公网里的一个分支连接到办公主网， 那么下面的设置就可能用到： 办公室局部或家庭网 10 base 2 网络使用基于总线拓扑的 10 base 2 以太网 (瘦网(thinnet))。如果有必要，用网线连接路由器和 AUI/10BT 收发器。 ---Sun workstation | ---FreeBSD box | ---Windows 95 | Stand-alone router | ISDN BRI line 10 Base 2 Ethernet 如果您的家里或办公室支部里只有一台计算机， 您可以使用一根交叉的双绞线直接连接那台独立路由器。 主办公室或其它网络 10 base T 网络使用的是星形拓扑的 10 base T 以太网(双绞线)。 -------Novell Server | H | | ---Sun | | | U ---FreeBSD | | | ---Windows 95 | B | |___---Stand-alone router | ISDN BRI line ISDN Network Diagram 大部分路由器/网桥有一大好处就是，它们允许您在 同一 时间，有两个 分开独立的 PPP 连接到两个分开的点上。这点在许多的 TA 上是不支持的， 除非带有两个串口的特定模式(通常都很贵)。请不要把它与通道连接、MPP 等相混淆。 这是个非常有用的功能，例如，如果在您的办公室里您有个专有的 ISDN 连接，而且您想接入到里边，但休想让另一根 ISDN 线也能工作。 办公室里的路由器能够管理专有的B通道连接到互联网 (64 Kbps) 以及使用另一个通道 B 来完成单独的数据连接。 第二个 B 通道可以用于拨进、拨出或动态与第一个B通道进行连接 (MPP等)，以获取更大宽带。 IPX/SPX 以太网桥也允许您传输的不仅仅是 IP 通信。您也可以发送 IPX/SPX 或其它任何您所使用的协议。 Chern Lee 作者： 李 鑫 译者：
delphij@FreeBSD.org.cn
 网络地址转换 概要 natd FreeBSD 的网络地址转换服务， 通常也被叫做 &man.natd.8;， 是一个能够接收连入的未处理 IP 包， 将源地址修改为本级地址然后重新将这些包注入到发出 IP 包流中。 &man.natd.8; 同时修改源地址和端口， 当接收到响应数据时，它作逆向转换以便把数据发回原先的请求者。 Internet 连接共享 NAT NAT 最常见的用途是为人们所熟知的 Internet 连接共享。 安装 随着 IPv4 的 IP 地址空间的日益枯竭， 以及使用如 DSL 和电缆等高速连接的用户的逐渐增多， 越来越多的人开始需要 Internet 连接共享这样的解决方案。 由于能够将许多计算机通过一个对外的 IP 地址进行接入， &man.natd.8; 成为了一个理想的选择。 更为常见的情况， 一个用户通过电缆或者 DSL 线路 接入，并拥有一个 IP 地址，同时，希望通过这台接入 Internet 的计算机来为 LAN 上更多的计算机提供接入服务。 为了完成这一任务， 接入 Internet 的 FreeBSD 机器必须扮演网关的角色。 这台网关必须有两块网卡 — 一块用于连接 Internet 路由器， 另一块用来连接 LAN。 所有 LAN 上的机器通过 Hub 或交换机进行连接。 有多种方法能够通过 &os; 网关将 LAN 接入 Internet。 这个例子只介绍了有至少两块网卡的网关。 _______ __________ ________ | | | | | | | Hub |-----| Client B |-----| Router |----- Internet |_______| |__________| |________| | ____|_____ | | | Client A | |__________| Network Layout 上述配置被广泛地用于共享 Internet 连接。 LAN 中的一台机器连接到 Internet 中。 其余的计算机则通过那台 网关 机来连接 Internet。 内核 配置 配置 下面这些选项必须放到内核配置文件中： options IPFIREWALL options IPDIVERT 此外，下列是一些可选的选项： options IPFIREWALL_DEFAULT_TO_ACCEPT options IPFIREWALL_VERBOSE 这些配置必须放到 /etc/rc.conf 中： gateway_enable="YES" firewall_enable="YES" firewall_type="OPEN" natd_enable="YES" natd_interface="fxp0" natd_flags="" 将机器配置为网关。 执行 sysctl net.inet.ip.forwarding=1 效果相同。 在启动时启用 /etc/rc.firewall 中的防火墙规则。 指定一个预定义的允许所有包进入的防火墙规则集。 参见 /etc/rc.firewall 以了解其他类型的规则集。 指定通过哪个网络接口转发包 (接入 Internet 的那一个)。 其他希望在启动时传递给 &man.natd.8; 的参数。 在 /etc/rc.conf 中加入上述选项将在系统启动时运行 natd -interface fxp0。 这一工作也可以手工完成。 当有太多选项要传递时，也可以使用一个 &man.natd.8; 的配置文件来完成。这种情况下，这个配置文件必须通过在 /etc/rc.conf 里增加下面内容来定义： natd_flags="-f /etc/natd.conf" /etc/natd.conf 文件会包含一个配置选项列表， 每行一个。在紧跟部分的例子里将使用下面的文件： redirect_port tcp 192.168.0.2:6667 6667 redirect_port tcp 192.168.0.3:80 80 关于配置文件的更多信息，参考 &man.natd.8; 手册页中关于 选项那一部分。 在LAN后面的每一台机子和接口应该被分配私有地址空间(由RFC 1918定义) 里的 IP 地址，并且默认网关设成 natd 机子的内连 IP 地址。 例如：客户端 A 和 B 在 LAN 后面，IP 地址是 192.168.0.2 和 192.168.0.3，同时 natd 机子的 LAN 接口上的 IP 地址是 192.168.0.1。客户端 A 和 B 的默认网关必须要设成 natd 机子的 IP——192.168.0.1。natd 机子外连，或互联网接口不需要为了 &man.natd.8; 而做任何特别的修改就可工作。 端口重定向 使用 &man.natd.8; 的缺点就是 LAN 客户不能从互联网访问。LAN 上的客户可以进行到外面的连接，而不能接收进来的连接。如果想在 LAN 的客户端机子上运行互联网服务，这就会有问题。 对此的一种简单方法是在 natd 机子上重定向选定的互联网端口到 LAN 客户端。 例如：在客户端 A 上运行 IRC 服务，而在客户端 B 上运行 web 服务。 想要正确的工作，在端口 6667 (IRC) 和 80 (web) 上接收到的连接就必须重定向到相应的机子上。 需要使用适当的选项传送给 &man.natd.8;。语法如下： -redirect_port proto targetIP:targetPORT[-targetPORT] [aliasIP:]aliasPORT[-aliasPORT] [remoteIP[:remotePORT[-remotePORT]]] 在上面的例子中，参数应该是： -redirect_port tcp 192.168.0.2:6667 6667 -redirect_port tcp 192.168.0.3:80 80 这就会重定向适当的 tcp 端口到 LAN 上的客户端机子。 参数可以用来指出端口范围来代替单个端口。例如， tcp 192.168.0.2:2000-3000 2000-3000 就会把所有在端口 2000 到 3000 上接收到的连接重定向到主机 A 上的端口 2000 到 3000。 当直接运行 &man.natd.8; 时，就可以使用这些选项， 把它们放到 /etc/rc.conf 里的 natd_flags="" 选项上， 或通过一个配置文件进行传送。 想要更多配置选项，请参考 &man.natd.8;。 地址重定向 地址重定向 如果有几个 IP 地址提供，那么地址重定向就会很有用， 然而他们必须在一个机子上。使用它，&man.natd.8; 就可以分配给每一个 LAN 客户端它们自己的外部 IP 地址。&man.natd.8; 然后会使用适当的处部 IP 地址重写从 LAN 客户端外出的数据包， 以及重定向所有进来的数据包——一定的 IP 地址回到特定的 LAN 客户端。这也叫做静态 NAT。例如，IP 地址 128.1.1.1、 128.1.1.2 和 128.1.1.3 属于 natd 网关机子。 128.1.1.1 可以用来作 natd 网关机子的外连 IP 地址，而 128.1.1.2 和 128.1.1.3 用来转发回 LAN 客户端 A 和 B。 语法如下： -redirect_address localIP publicIP localIP LAN 客户端的内部 IP 地址。 publicIP 相应 LAN 客户端的外部 IP 地址。 在这个例子里，参数是： -redirect_address 192.168.0.2 128.1.1.2 -redirect_address 192.168.0.3 128.1.1.3 象 一样，这些参数也是放在 /etc/rc.conf 里的 natd_flags="" 选项上， 或通过一个配置文件传送给它。使用地址重定向， 就没有必要用端口重定向了，因为所有在某个 IP 地址上收到的数据都被重定向了。 在 natd 机子上的外部 IP 地址必须激活并且别名到 (aliased) 外连接口。要这做就看看 &man.rc.conf.5;。 并口电缆 IP (PLIP) PLIP 并口电缆 IP PLIP PLIP 允许我们在两个并口间运行 TCP/IP。 在使用笔记本电脑， 或没有网卡的计算机时， 这会非常有用。 这一节中， 我们将讨论： 制作用于并口的 (laplink) 线缆。 使用 PLIP 连接两台计算机。 制作并口电缆。 您可以在许多计算机供应店里买到并口电缆。 如果买不到， 或者希望自行制作， 则可以参阅下面的表格， 它介绍了如何利用普通的打印机并口电缆来改制： 用于网络连接的并口电缆接线方式A-name A 端 B 端 描述 Post/BitDATA0 -ERROR 2 15 15 2 数据 0/0x01 1/0x08DATA1 +SLCT 3 13 13 3 数据 0/0x02 1/0x10DATA2 +PE 4 12 12 4 数据 0/0x04 1/0x20DATA3 -ACK 5 10 10 5 脉冲 (Strobe) 0/0x08 1/0x40DATA4 BUSY 6 11 11 6 数据 0/0x10 1/0x80GND 18-25 18-25 GND -
 设置 PLIP 首先，您需要一根 laplink 线。然后， 确认两台计算机的内核都有对 &man.lpt.4; 驱动程序的支持： &prompt.root; grep lp /var/run/dmesg.boot lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port 并口必须是一个中断驱动的端口， 您应在 /boot/device.hints 文件中配置： hint.ppc.0.at="isa" hint.ppc.0.irq="7" 然后检查内核配置文件中是否有一行 device plip 或加载了 plip.ko 内核模块。 这两种情况下， 在使用 &man.ifconfig.8; 命令时都会显示并口对应的网络接口， 类似这样： &prompt.root; ifconfig plip0 plip0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500 用 laplink 线接通两台计算机的并口。 在两边以 root 身份配置通讯参数。 例如， 如果你希望将 host1 通过另一台机器 host2 连接： host1 <-----> host2 IP Address 10.0.0.1 10.0.0.2 配置 host1 上的网络接口，照此做： &prompt.root; ifconfig plip0 10.0.0.1 10.0.0.2 配置 host2 上的网络接口，照此做： &prompt.root; ifconfig plip0 10.0.0.2 10.0.0.1 您现在应该有个工作的连接了。想要更详细的信息， 请阅读 &man.lp.4; 和 &man.lpt.4; 手册页。 您还应该增加两个主机到 /etc/hosts： 127.0.0.1 localhost.my.domain localhost 10.0.0.1 host1.my.domain host1 10.0.0.2 host2.my.domain 要确认连接是否工作，可以到每一台机子上，然后 ping 另外一台。例如，在 host1 上： &prompt.root; ifconfig plip0 plip0: flags=8851<UP,POINTOPOINT,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.1 --> 10.0.0.2 netmask 0xff000000 &prompt.root; netstat -r Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire host2 host1 UH 0 0 plip0 &prompt.root; ping -c 4 host2 PING host2 (10.0.0.2): 56 data bytes 64 bytes from 10.0.0.2: icmp_seq=0 ttl=255 time=2.774 ms 64 bytes from 10.0.0.2: icmp_seq=1 ttl=255 time=2.530 ms 64 bytes from 10.0.0.2: icmp_seq=2 ttl=255 time=2.556 ms 64 bytes from 10.0.0.2: icmp_seq=3 ttl=255 time=2.714 ms --- host2 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max/stddev = 2.530/2.643/2.774/0.103 ms Aaron Kaplan 原始作者： Tom Rhodes 重新组织和增加： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 Brad Davis Extended by IPv6 IPv6 (也被称作 IPng 下一代 IP) 是众所周知的 IP 协议 (也叫 IPv4) 的新版本。 和其他现代的 *BSD 系统一样， FreeBSD 包含了 KAME 的 IPv6 参考实现。 因此， 您的 FreeBSD 系统包含了尝试 IPv6 所需要的所有工具。 这一节主要集中讨论如何配置和使用 IPv6。 在 1990 年代早期， 人们开始担心可用的 IPv4 地址空间在不断地缩小。 随着 Internet 的爆炸式发展， 主要的两个担心是： 用尽所有的地址。 当然现在这个问题已经不再那样尖锐， 因为 RFC1918 私有地址空间 (10.0.0.0/8、 172.16.0.0/12， 以及 192.168.0.0/16) 和网络地址转换 (NAT) 技术已经被广泛采用。 路由表条目变得太大。这点今天仍然是焦点。 IPv6 解决这些和其它许多的问题： 128 位地址空间。换句话，理论上有 340,282,366,920,938,463,463,374,607,431,768,211,456 个地址可以使用。这意味着在我们的星球上每平方米大约有 6.67 * 10^27 个 IPv6 地址。 路由器仅在它们的路由表里存放网络地址集， 这就减少路由表的平均空间到 8192 个条目。 IPv6 还有其它许多有用的功能，如： 地址自动配置 (RFC2462) Anycast (任意播) 地址(一对多) 强制的多播地址 IPsec (IP 安全) 简单的头结构 移动的 (Mobile) IP IPv6 到 IPv4 的转换机制 要更多信息，请查看： IPv6 概观，在 playground.sun.com KAME.net 关于 IPv6 地址的背景知识 有几种不同类型的 IPv6 地址：Unicast，Anycast 和 Multicast。 Unicast 地址是为人们所熟知的地址。一个被发送到 unicast 地址的包实际上会到达属于这个地址的接口。 Anycast 地址语义上与 unicast 地址没有差别， 只是它们强调一组接口。指定为 anycast 地址的包会到达最近的 (以路由为单位) 接口。Anycast 地址可能只被路由器使用。 Multicast 地址标识一组接口。指定为 multicast 地址的包会到达属于 multicast 组的所有的接口。 IPv4 广播地址 (通常为 xxx.xxx.xxx.255) 由 IPv6 的 multicast 地址来表示。 保留的 IPv6 地址 IPv6 地址 预定长度 (bits) 描述 备注 :: 128 bits 未指定 类似 IPv4 中的 0.0.0.0 ::1 128 bits 环回地址 类似 IPv4 中的 127.0.0.1 ::00:xx:xx:xx:xx 96 bits 嵌入的 IPv4 低 32 bits 是 IPv4 地址。这也称作 IPv4 兼容 IPv6 地址 ::ff:xx:xx:xx:xx 96 bits IPv4 影射的 IPv6 地址 低的 32 bits 是 IPv4 地址。 用于那些不支持 IPv6 的主机。 fe80:: - feb:: 10 bits 链路环回 类似 IPv4 的环回地址。 fec0:: - fef:: 10 bits 站点环回   ff:: 8 bits 多播   001 (base 2) 3 bits 全球多播 所有的全球多播地址都指定到这个地址池中。前三个二进制位是 001。
IPv6 地址的读法 规范形式被描述为：x:x:x:x:x:x:x:x， 每一个x就是一个 16 位的 16 进制值。当然， 每个十六进制块以三个0开始头的也可以省略。如 FEBC:A574:382B:23C1:AA49:4592:4EFE:9982 通常一个地址会有很长的子串全部为零， 因此每个地址的这种子串常被简写为::。 例如：fe80::1 对应的规范形式是 fe80:0000:0000:0000:0000:0000:0000:0001。 第三种形式是以众所周知的用点.作为分隔符的十进制 IPv4 形式，写出最后 32 Bit 的部分。例如 2002::10.0.0.1 对应的十进制正规表达方式是 2002:0000:0000:0000:0000:0000:0a00:0001 它也相当于写成 2002::a00:1. 到现在，读者应该能理解下面的内容了： &prompt.root; ifconfig rl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.10 netmask 0xffffff00 broadcast 10.0.0.255 inet6 fe80::200:21ff:fe03:8e1%rl0 prefixlen 64 scopeid 0x1 ether 00:00:21:03:08:e1 media: Ethernet autoselect (100baseTX ) status: active fe80::200:21ff:fe03:8e1%rl0 是一个自动配置的链路环回地址。它作为自动配置的一部分由 MAC 生成。 关于 IPv6 地址的结构的更多信息，请参看 RFC3513。 进行连接 目前，有四种方式可以连接到其它 IPv6 主机和网络： 从您的上一级提供商那里获得 IPv6 网络。与您的互联网提供商讨论以求指导。 使用 6-to-4 通道 (RFC3068) 如果您使用的是拨号连接， 则可以使用 net/freenet6 port。 IPv6 世界里的 DNS 对于 IPv6 有两种类型的 DNS 记录：IETF 已经宣布 A6 是过时标准；现行的标准是 AAAA 记录。 使用AAAA记录是很简单的。通过增加下面内容， 给您的主机分配置您刚才接收到的新的 IPv6 地址： MYHOSTNAME AAAA MYIPv6ADDR 到您的主域 DNS 文件里，就可以完成。要是您自已没有 DNS 域服务，您可以询问您的 DNS 提供商。目前的 bind 版本 (version 8.3 与 9) 和 dns/djbdns(含IPv6补丁) 支持 AAAA 记录。 在 <filename>/etc/rc.conf</filename> 中进行所需的修改 IPv6 客户机设置 这些设置将帮助您把一台您 LAN 上的机器配置为一台客户机， 而不是路由器。 要让 &man.rtsol.8; 在启动时自动配置您的网卡， 只需添加： ipv6_enable="YES" 要自动地静态指定 IP 地址， 例如 2001:471:1f11:251:290:27ff:fee0:2093， 到 fxp0 上， 则写上： ipv6_ifconfig_fxp0="2001:471:1f11:251:290:27ff:fee0:2093" 要指定 2001:471:1f11:251::1 作为默认路由， 需要在 /etc/rc.conf 中加入： ipv6_defaultrouter="2001:471:1f11:251::1" IPv6 路由器/网关配置 这将帮助您从隧道提供商那里取得必要的资料， 并将这些资料转化为在重启时能够保持住的设置。 要在启动时恢复您的隧道， 需要在 /etc/rc.conf 中增加： 列出要配置的通用隧道接口， 例如 gif0： gif_interfaces="gif0" 配置该接口使用本地端地址 MY_IPv4_ADDR 和远程端地址 REMOTE_IPv4_ADDR： gifconfig_gif0="MY_IPv4_ADDR REMOTE_IPv4_ADDR" 应用分配给您用于 IPv6 隧道远端的 IPv6 地址， 需要增加： ipv6_ifconfig_gif0="MY_ASSIGNED_IPv6_TUNNEL_ENDPOINT_ADDR" 此后十设置 IPv6 的默认路由。 这是 IPv6 隧道的另一端： ipv6_defaultrouter="MY_IPv6_REMOTE_TUNNEL_ENDPOINT_ADDR" IPv6 隧道配置 如果服务器将您的网络通过 IPv6 路由到世界的其他角落， 您需要在 /etc/rc.conf 中添加下面的配置： ipv6_gateway_enable="YES" 路由宣告和主机自动配置 这节将帮助您配置 &man.rtadvd.8; 来宣示默认的 IPv6 路由。 要启用 &man.rtadvd.8; 您需要在 /etc/rc.conf 中添加： rtadvd_enable="YES" 指定由哪个网络接口来完成 IPv6 路由请求非常重要。 举例来说， 让 &man.rtadvd.8; 使用 fxp0： rtadvd_interfaces="fxp0" 接下来我们需要创建配置文件， /etc/rtadvd.conf。 示例如下： fxp0:\ :addrs#1:addr="2001:471:1f11:246::":prefixlen#64:tc=ether: 将 fxp0 改为您打算使用的接口名。 接下来， 将 2001:471:1f11:246:: 改为分配给您的地址前缀。 如果您拥有专用的 /64 子网， 则不需要修改其他设置。 反之， 您需要把 prefixlen# 改为正确的值。 Harti Brandt 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 异步传输模式 (ATM) 配置 classical IP over ATM (PVCs) Classical IP over ATM (CLIP) 是一种最简单的使用带 IP 的 ATM 的方法。 这种方法可以用在交换式连接 (SVC) 和永久连接 (PVC) 上。这部分描述的就是配置基于 PVC 的网络。 完全互连的配置 第一种使用PVC来设置 CLIP 的方式就是通过专用的 PVC 让网络里的每一台机子都互连在一起。 尽管这样配置起来很简单，但对于数量更多一点的机子来说就有些不切实际了。 例如我们有四台机子在网络里，每一台都使用一张 ATM 适配器卡连接到 ATM 网络。第一步就是规划 IP 地址和机子间的 ATM 连接。我们使用下面的： 主机 IP 地址 hostA 192.168.173.1 hostB 192.168.173.2 hostC 192.168.173.3 hostD 192.168.173.4 为了建造完全交错的网络，我们需要在第一对机子间有一个 ATM 连接： 机器 VPI.VCI 对 hostA - hostB 0.100 hostA - hostC 0.101 hostA - hostD 0.102 hostB - hostC 0.103 hostB - hostD 0.104 hostC - hostD 0.105 在每一个连接端 VPI 和 VCI 的值都可能会不同， 只是为了简单起见，我们假定它们是一样的。 下一步我们需要配置每一个主机上的 ATM 接口： hostA&prompt.root; ifconfig hatm0 192.168.173.1 up hostB&prompt.root; ifconfig hatm0 192.168.173.2 up hostC&prompt.root; ifconfig hatm0 192.168.173.3 up hostD&prompt.root; ifconfig hatm0 192.168.173.4 up 假定所有主机上的 ATM 接口都是 hatm0。 现在 PVC 需要配置到 hostA 上 (我们假定它们都已经配置在了 ATM 交换机上，至于怎么做的， 您就需要参考一下该交换机的手册了)。 hostA&prompt.root; atmconfig natm add 192.168.173.2 hatm0 0 100 llc/snap ubr hostA&prompt.root; atmconfig natm add 192.168.173.3 hatm0 0 101 llc/snap ubr hostA&prompt.root; atmconfig natm add 192.168.173.4 hatm0 0 102 llc/snap ubr hostB&prompt.root; atmconfig natm add 192.168.173.1 hatm0 0 100 llc/snap ubr hostB&prompt.root; atmconfig natm add 192.168.173.3 hatm0 0 103 llc/snap ubr hostB&prompt.root; atmconfig natm add 192.168.173.4 hatm0 0 104 llc/snap ubr hostC&prompt.root; atmconfig natm add 192.168.173.1 hatm0 0 101 llc/snap ubr hostC&prompt.root; atmconfig natm add 192.168.173.2 hatm0 0 103 llc/snap ubr hostC&prompt.root; atmconfig natm add 192.168.173.4 hatm0 0 105 llc/snap ubr hostD&prompt.root; atmconfig natm add 192.168.173.1 hatm0 0 102 llc/snap ubr hostD&prompt.root; atmconfig natm add 192.168.173.2 hatm0 0 104 llc/snap ubr hostD&prompt.root; atmconfig natm add 192.168.173.3 hatm0 0 105 llc/snap ubr 当然，除 UBR 外其它的通信协定也可让 ATM 适配器支持这些。 此种情况下，通信协定的名字要跟人通信参数后边。工具 &man.atmconfig.8; 的帮助可以这样得到： &prompt.root; atmconfig help natm add 或者在 &man.atmconfig.8; 手册页里得到。 相同的配置也可以通过 /etc/rc.conf 来完成。对于 hostA，看起来就象这样： network_interfaces="lo0 hatm0" ifconfig_hatm0="inet 192.168.173.1 up" natm_static_routes="hostB hostC hostD" route_hostB="192.168.173.2 hatm0 0 100 llc/snap ubr" route_hostC="192.168.173.3 hatm0 0 101 llc/snap ubr" route_hostD="192.168.173.4 hatm0 0 102 llc/snap ubr" 所有 CLIP 路由的当前状态可以使用如下命令获得： hostA&prompt.root; atmconfig natm show Tom Rhodes 原作 Common Access Redundancy Protocol (CARP， 共用地址冗余协议) CARP Common Access Redundancy Protocol, 共用地址冗余协议 Common Access Redundancy Protocol， 或简称 CARP 能够使多台主机共享同一 IP 地址。 在某些配置中， 这样做可以提高可用性， 或实现负载均衡。 下面的例子中， 这些主机也可以同时使用其他的不同的 IP 地址。 要启用 CARP 支持， 必须在 &os; 内核配置中增加下列选项， 并重新联编内核： device carp 这样就可以使用 CARP 功能了， 一些具体的参数， 可以通过一系列 sysctl OID 来调整。 设备可以通过 ifconfig 命令来加载： &prompt.root; ifconfig carp0 create 在真实环境中， 这些接口需要一个称作 VHID 的标识编号。 这个 VHID 或 Virtual Host Identification (虚拟主机标识) 用于在网络上区分主机。 使用 CARP 来改善服务的可用性 (CARP) 如前面提到的那样， CARP 的作用之一是改善服务的可用性。 这个例子中， 将为三台主机提供故障转移服务， 这三台服务器各自有独立的 IP 地址， 并提供完全一样的 web 内容。 三台机器以 DNS 轮询的方式提供服务。 用于故障转移的机器有两个 CARP 接口， 分别配置另外两台服务器的 IP 地址。 当有服务器发生故障时， 这台机器会自动得到故障机的 IP 地址。 这样以来， 用户就完全感觉不到发生了故障。 故障转移的服务器提供的内容和服务， 应与其为之提供热备份的服务器一致。 两台机器的配置， 除了主机名和 VHID 之外应完全一致。 在我们的例子中， 这两台机器的主机名分别是 hosta.example.org 和 hostb.example.org。 首先， 需要将 CARP 配置加入到 rc.conf。 对于 hosta.example.org 而言， rc.conf 文件中应包含下列配置： hostname="hosta.example.org" ifconfig_fxp0="inet 192.168.1.3 netmask 255.255.255.0" cloned_interfaces="carp0" ifconfig_carp0="vhid 1 pass testpast 192.168.1.50/24" 在 hostb.example.org 上， 对应的 rc.conf 配置则是： hostname="hostb.example.org" ifconfig_fxp0="inet 192.168.1.4 netmask 255.255.255.0" cloned_interfaces="carp0" ifconfig_carp0="vhid 2 pass testpass 192.168.1.51/24" 在两台机器上由 ifconfig 的 选项指定的密码必须是一致的， 这一点非常重要。 carp 设备只会监听和接受来自持有正确密码的机器的公告。 此外， 不同虚拟主机的 VHID 必须不同。 第三台机器， provider.example.org 需要进行配置， 以便在另外两台机器出现问题时接管。 这台机器需要两个 carp 设备， 分别处理两个机器。 对应的 rc.conf 配置类似下面这样： hostname="provider.example.org" ifconfig_fxp0="inet 192.168.1.5 netmask 255.255.255.0" cloned_interfaces="carp0 carp1" ifconfig_carp0="vhid 1 advskew 100 pass testpass 192.168.1.50/24" ifconfig_carp1="vhid 2 advskew 100 pass testpass 192.168.1.51/24" 配置两个 carp 设备， 能够让 provider.example.org 在两台机器中的任何一个停止响应时， 立即接管其 IP 地址。 默认的 &os; 内核 可能 启用了主机间抢占。 如果是这样的话， provider.example.org 可能在正式的内容服务器恢复时不释放 IP 地址。 此时， 管理员可以 提醒 一下接口。 具体做法是在 provider.example.org 上使用下面的命令： &prompt.root; ifconfig carp0 down && ifconfig carp0 up 这个操作需要在与出现问题的主机对应的那个 carp 接口上进行。 现在您已经完成了 CARP 的配置， 并可以开始测试了。 测试过程中， 可以随时重启或切断两台机器的网络。 如欲了解更多细节， 请参见 &man.carp.4; 联机手册。 diff --git a/zh_CN.GB2312/books/handbook/geom/chapter.sgml b/zh_CN.GB2312/books/handbook/geom/chapter.sgml index 9fdf17aaba..250f6006d4 100644 --- a/zh_CN.GB2312/books/handbook/geom/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/geom/chapter.sgml @@ -1,611 +1,609 @@ Tom Rhodes 原作 GEOM： 模块化磁盘变换框架 概述 GEOM GEOM 磁盘框架 GEOM 本章将介绍以 &os; GEOM 框架来使用磁盘。 这包括了使用这一框架来配置的主要的 RAID 控制工具。 这一仗不会深入讨论 GEOM 如何处理或控制 I/O、 其下层的子系统或代码。 您可以从 &man.geom.4; 联机手册及其众多 SEE ALSO 参考文献中得到这些信息。 这一章也不是对 RAID 配置的权威介绍， 它只介绍由 支持GEOM 的 RAID 级别。 读完这章， 您将了解： 通过 GEOM 支持的 RAID 类型。 如何使用基本工具来配置和管理不同的 RAID 级别。 如何通过 GEOM 使用镜像、 条带、 加密和挂接在远程的磁盘设备。 如何排除挂接在 GEOM 框架上的磁盘设备的问题。 阅读这章之前， 您应： 理解 &os; 如何处理磁盘设备 ()。 了解如何配置和安装新的 &os; 内核 ()。 GEOM 介绍 GEOM 允许访问和控制类 (classes) — 主引导记录、 BSD 标签 (label)， 等等 — 通过使用 provider， 或在 /dev 中的特殊文件。 它支持许多软件 RAID 配置， GEOM 能够向操作系统， 以及在其上运行的工具提供透明的访问方式。 Tom Rhodes 原作 Murray Stokely RAID0 - 条带 GEOM 条带 条带是一种将多个磁盘驱动器合并为一个卷的方法。 许多情况下， 这是通过硬件控制器来完成的。 GEOM 磁盘子系统提供了 RAID0 的软件支持， 它也成为磁盘条带。 在 RAID0 系统中， 数据被分为多个块， 这些块将分别写入阵列的所有磁盘。 与先前需要等待系统将 256k 数据写到一块磁盘上不同， RAID0 系统， 能够同时分别将打碎的 64k 写到四块磁盘上， 从而提供更好的 I/O 性能。 这一性能提升还能够通过使用多个磁盘控制器来进一步改进。 在 RAID0 条带中的每一个盘的尺寸必须一样， 因为 I/O 请求是分散到多个盘上的， 以便让这些盘上的读写并行完成。 磁盘条带图 在未格式化的 ATA 磁盘上建立条带 加载 geom_stripe 模块： &prompt.root; kldload geom_stripe 确信存在合适的挂接点 (mount point)。 如果这个卷将成为根分区， 那么暂时把它挂接到其他位置i， 如 /mnt： &prompt.root; mkdir /mnt 确定将被做成条带卷的磁盘的设备名， 并创建新的条带设备。 举例而言， 要将两个未用的、 尚未分区的 ATA 磁盘 /dev/ad2 和 /dev/ad3 做成一个条带设备： &prompt.root; gstripe label -v st0 /dev/ad2 /dev/ad3 接着需要写标准的 label， 也就是通常所说的分区表到新卷上， 并安装标准的引导代码： &prompt.root; bsdlabel -wB /dev/stripe/st0 上述过程将在 /dev/stripe 目录中的 st0 设备基础上建立两个新设备。 这包括 st0a 和 st0c。 这时， 就可以在 st0a 设备上用下述 newfs 命令来建立文件系统了： &prompt.root; newfs -U /dev/stripe/st0a 在屏幕上将滚过一些数字， 整个操作应该能在数秒内完成。 现在可以挂接刚刚做好的卷了。 要挂接刚创建的条带盘： &prompt.root; mount /dev/stripe/st0a /mnt 要在启动过程中自动挂接这个条带上的文件系统， 需要把关于卷的信息放到 /etc/fstab 文件中： &prompt.root; echo "/dev/stripe/st0a /mnt ufs rw 2 2" \ >> /etc/fstab 此外， geom_stripe 模块也必须通过在 /boot/loader.conf 中增加下述设置， 以便在系统初始化过程中自动加载。 &prompt.root; echo 'geom_stripe_load="YES"' >> /boot/loader.conf RAID1 - 镜像 GEOM 磁盘镜像 镜像是一种许多公司和家庭用户使用的不需中断的备份技术。 当存在镜像时， 它的意思是说 磁盘B 简单地复制 磁盘A。 或者， 也可能是 磁盘C+D 复制 磁盘A+B。 无论磁盘如何配置， 共同的特征， 都是磁盘或卷的信息会被复制。 随后，在无需中断服务或访问的情况下， 可以很容易地复原和备份这些信息， 甚至把它们存储到其他更安全的地方。 要开始做这件事， 首先要确保系统中有两个同样大的磁盘驱动器， 下面的例子假定使用直接访问方式 (Direct Access， &man.da.4;) SCSI 的磁盘。 首先需要把 &os; 安装到第一块磁盘上， 并建立两个分区。 第一个分区将成为交换区， 其尺寸应该是两倍的 RAM 尺寸， 而余下的空间， 则作为根 (/) 文件系统来使用。 当然， 也可以为其他挂接点划分不同的分区； 但是， 这将使难度提高一个量级， 因为您将不得不手工修改 &man.bsdlabel.8; 和 &man.fdisk.8; 的设置。 重新启动系统， 并等待其完全初始化完。 当这个过程完成之后， 以 root 用户的身份登录。 创建 /dev/mirror/gm 设备， 并将其连接到 /dev/da1： &prompt.root; gmirror label -vnb round-robin gm0 /dev/da1 系统应会给出下列回应： Metadata value stored on /dev/da1. Done. 初始化 GEOM， 这将加载 /boot/kernel/geom_mirror.ko 内核模块： &prompt.root; gmirror load 这个命令应该会在 /dev/mirror 目录中创建 gm0 设备节点。 在刚创建的 gm0 设备上安装通用的 fdisk 标签以及引导区代码： &prompt.root; fdisk -vBI /dev/mirror/gm0 接下来安装通用的 bsdlabel 信息： &prompt.root; bsdlabel -wB /dev/mirror/gm0s1 如果存在多个区段 (slice) 或分区 (partition)， 则需要修改一部分上面命令的参数。 它们必须与另一个盘上对应的区段和分区匹配。 使用 &man.newfs.8; 工具来在 gm0s1a 设备上建立默认的 UFS 文件系统： &prompt.root; newfs -U /dev/mirror/gm0s1a 这将让系统输出很多信息和一系列数字。 不必为此担心， 只需看看是否有错误提示就可以了， 如果没问题， 接下来把它挂到 /mnt 挂接点上面： &prompt.root; mount /dev/mirror/gm0s1a /mnt 现在需要把所有引导盘上的数据迁移到新的文件系统上了。 下面的例子使用了 &man.dump.8; 和 &man.restore.8; 这两个命令； 不过， 用 &man.dd.1; 在这里也可以达到完全一样的目的。 &prompt.root; dump -L -0 -f- / |(cd /mnt && restore -r -v -f-) 这个操作必须在所有文件系统上都作一遍。 您可以将前述命令中的文件系统， 改为所希望的文件系统的位置。 接下来应该编辑复制出来的 /mnt/etc/fstab 文件， 并删去或注释掉交换文件 需要注意的是， 在 fstab 注释掉交换文件， 通常会需要您以其他方式重建交换空间。 请参见 以了解进一步的细节。 。 修改其他文件系统对应的信息， 以便让它们使用新盘。 参考下面的例子： # Device Mountpoint FStype Options Dump Pass# #/dev/da0s2b none swap sw 0 0 /dev/mirror/gm0s1a / ufs rw 1 1 接下来应在当前和新 root 分区中分别建立一个 boot.config 文件。 它会 帮助 系统的 BIOS 从正确的驱动器上引导： &prompt.root; echo "1:da(1,a)/boot/loader" > /boot.config &prompt.root; echo "1:da(1,a)/boot/loader" > /mnt/boot.config 在所有的分区上都放这些是为了保证系统能够正确引导。 如果由于某种原因系统无法从新的根分区读数据， 则还有一根救命稻草。 用下面的命令来确保系统引导时会加载 geom_mirror.ko： &prompt.root; echo 'geom_mirror_load="YES"' >> /mnt/boot/loader.conf 最后重新启动系统： &prompt.root; shutdown -r now 如果一切顺利， 系统将从 gm0s1a 设备启动， 并给出 login 提示等待用户登录。 如果发生错误， 请查阅接下来的故障排除环节。 我们接着将 da0 磁盘也加入 gm0 设备： &prompt.root; gmirror configure -a gm0 &prompt.root; gmirror insert gm0 /dev/da0 此处 告诉 &man.gmirror.8; 采用自动同步， 或换言之： 自动地将磁盘的写操作做镜像处理。 联机手册中详细解释了如何重建， 以及替换磁盘， 只不过它用 data 表示这里的 gm0。 故障排除 系统拒绝引导 如果系统引导时出现类似下面的提示： ffs_mountroot: can't find rootvp Root mount failed: 6 mountroot> 这种情况应使用电源或复位按钮重启机器。 在引导菜单中， 选择第六 (6) 个选项。 这将让系统进入 &man.loader.8; 提示符。 在此处手工加载内核模块： OK? load geom_mirror OK? boot 如果这样做能解决问题， 则说明由于某种原因模块没有被正确加载。 可以通过在内核配置文件中加入： options GEOM_MIRROR 然后重新编译和安装内核来解决这个问题。 GEOM Gate 网络设备 通过 gate 工具， GEOM 支持以远程方式使用设备， 例如磁盘、 CD-ROM、 文件等等。 这和 NFS 类似。 在开始工作之前， 首先要创建一个导出文件。 这个文件的作用是指定谁可以访问导出的资源， 以及提供何种级别的访问授权。 例如， 要把第一块 SCSI 盘的第四个 slice 导出， 对应的 /etc/gg.exports 会是类似下面的样子： 192.168.1.0/24 RW /dev/da0s4d 这表示允许同属私有子网的所有机器访问 da0s4d 分区上的文件系统。 要导出这个设备， 首先请确认它没有被挂接， 然后是启动 &man.ggated.8; 服务： &prompt.root; ggated 现在我们将在客户机上 mount 该设备， 使用下面的命令： &prompt.root; ggatec create -o rw 192.168.1.1 /dev/da0s4d ggate0 &prompt.root; mount /dev/ggate0 /mnt 到此为止， 设备应该已经可以通过挂接点 /mnt 访问了。 请注意， 如果设备已经被服务器或网络上的任何其他机器挂接， 则前述操作将会失败。 如果不再需要使用这个设备， 就可以使用 &man.umount.8; 命令来安全地将其卸下了， 这一点和其他磁盘设备类似。 为磁盘设备添加卷标 GEOM 磁盘卷标 在系统初始化的过程中， &os; 内核会为检测到的设备创建设备节点。 这种检测方式存在一些问题， 例如， 在通过 USB 添加设备时应如何处理？ 很可能有闪存盘设备最初被识别为 da0 而在这之后， 则由 da0 变成了 da1。 而这则会在挂接 /etc/fstab 中的文件系统时造成问题， 这些问题， 还可能在系统引导时导致无法正常启动。 解决这个问题的一个方法是以连接拓扑方式链式地进行 SCSI 设备命名， 这样， 当在 SCSI 卡上增加新设备时， 这些设备将使用一个未用的编号。 但如果 USB 设备取代了主 SCSI 磁盘的位置呢？ 由于 USB 通常会在 SCSI 卡之前检测到， 因此很可能出现这种现象。 当然， 可以通过在系统引导之后再插入这些设备来绕过这个问题。 另一种绕过这个问题的方法， 则是只使用 ATA 驱动器， 并避免在 /etc/fstab 中列出 SCSI 设备。 还有一种更好的解决方法。 通过使用 glabel 工具， 管理员或用户可以为磁盘设备打上标签， 并在 /etc/fstab 中使用这些标签。 由于 glabel 会将标签保存在对应 provider 的最后一个扇区， 在系统重启之后， 它仍会持续存在。 因此， 通过将具体的设备替换为使用标签表示， 无论设备节点变成什么， 文件系统都能够顺利地完成挂接。 这并不是说标签一定是永久性的。 glabel 工具既可以创建永久性标签， 也可以创建临时性标签。 在重启时， 只有永久性标签会保持。 请参见联机手册 &man.glabel.8; 以了解两者之间的差异。 标签类型和使用示范 有两种类型的标签， 一种是普通标签， 另一种是文件系统标签。 两者的差异体现在是否能够自动检测， 以及是否在重启后保持。 这些标签会放到 /dev 中的特殊目录中， 这些目录的名字取决于文件系统类型。 例如， UFS2 文件系统的标签会创建到 /dev/ufs2 目录中。 普通标签在系统下次重启时会消失， 这些标签会创建到 /dev/label 目录中， 很适合测试之用。 永久性标签可以使用 tunefs 或 newfs 工具来创建。 要为 UFS2 文件系统创建标签， 而不破坏其上的数据， 可以使用下面的命令： &prompt.root; tunefs -L home /dev/da3 如果文件系统满了， 这可能会导致数据损坏； 不过， 如果文件系统快满了， 此时应首先删除一些无用的文件， 而不是增加标签。 现在， 您应可以在 /dev/ufs2 目录中看到标签， 并将其加入 /etc/fstab： /dev/ufs2/home /home ufs rw 2 2 当运行 tunefs 时， 应首先卸下文件系统。 现在可以像平时一样挂接文件系统了： &prompt.root; mount /home 下列命令可以清除标签： &prompt.root; glabel destroy home 现在， 只要在系统引导时通过 /boot/loader.conf 配置加载了内核模块 geom_label.ko， 或在联编内核时指定了 GEOM_LABEL 选项， 设备节点由于增删设备而顺序发生变化时， 就不会影响文件系统的挂接了。 通过使用 newfs 命令的 参数， 可以在创建文件系统时为其添加默认的标签。 请参见联机手册 &man.newfs.8; 以了解进一步的详情。 - diff --git a/zh_CN.GB2312/books/handbook/install/chapter.sgml b/zh_CN.GB2312/books/handbook/install/chapter.sgml index 838e0588b7..514d1b89d3 100644 --- a/zh_CN.GB2312/books/handbook/install/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/install/chapter.sgml @@ -1,4117 +1,4221 @@ Jim Mock 结构、组织重整, 部分重写 Randy Pratt sysinstall 操作流程、屏幕抓图以及一般性文件 安装 FreeBSD 概述 installation FreeBSD 提供了一个以文字为主，简单好用的安装程序，叫做 sysinstall 。这是 FreeBSD 默认使用的安装程序； 厂商如果想，也可以提供适合自己需要的安装程序。本章说明如何使用 sysinstall 来安装 FreeBSD。 学习完本章之后，您将会知道： 如何制作 FreeBSD 安装磁盘 FreeBSD如何参照及分割您的硬盘 如何启动 sysinstall. 在执行 sysinstall 时您将要回答的问题、 问题代表什么意义，以及该如何回答它们。 在阅读本章之前，您应该： 阅读您要安装的 FreeBSD 版本所附的硬件支持列表以确定您的硬件有没有被支持。 一般来说，此安装说明是针对 &i386; (PC 兼容机) 体系结构的电脑。 如果有其它体系结构(如Alpha)的安装说明，我们将一并列出。 虽然本文档经常保持更新，但有可能与您安装版本上所带的说明文档有些许出入。 在这里建议您使用本说明文章作为一般性的安装指导参考手册。 硬件需求 最小配置 安装 &os; 所需的最小硬件配置， 随 &os; 版本和硬件架构不同而有所不同。 关于安装所需的最低硬件配置信息， 可以在 &os; 网站的 发行版信息 部分中的 安装说明书 中找到。 在接下来的几节中， 给出了这些信息的一些总结。 随您安装 &os; 的方式不同， 可能需要使用软驱或为 &os; 支持的 CDROM 驱动器， 有时候也可能需要的是一块网卡。 这将在 中进行介绍。 - &i386; 和 pc98 架构 + &os;/&arch.i386; 和 &os;/&arch.pc98; - &os;/&i386 和 &os;/pc98 版本， 都需要 486 或更高的处理器， + &os;/&arch.i386; 和 &os;/&arch.pc98; 版本， 都需要 486 或更高的处理器， 以及至少 24 MB 的 RAM。 您需要至少 150 MB 的空闲硬盘空间， 才能完成最小的安装配置。 对于老旧的硬件而言， 多数时候， 装配更多的 RAM 和腾出更多的硬盘空间， 要比使用更快的处理器更有用。 - Alpha 架构 + &os;/&arch.alpha; Alpha - 要安装 &os;/alpha， 您使用的必须是某种受支持的平台 + 要安装 &os;/&arch.alpha;， 您使用的必须是某种受支持的平台 (参见 ) 而且 &os; 必须独占一个硬盘。 目前 &os; 还无法与其它操作系统共享磁盘。 这个磁盘必须接在 SRM 固件支持的 SCSI 控制器上， 或者如果您机器上的 SRM 支持从 IDE 硬盘启动， 则应装到 IDE 硬盘上。 ARC Alpha BIOS SRM 此外您还需要用于您的平台 SRM 控制台固件。 有时， 可以在 AlphaBIOS (或 ARC) 固件和 SRM 之间切换。 如果没有， 则需要从制造商网站上下载并安装新的固件。 + + + 对于 Alpha 的支持， 从 + &os; 7.0 版本开始已经不再提供。 + &os; 6.X 系列发行版， + 是最后一批支持这种硬件平台的版本。 + + - amd64 架构 + &os;/&arch.amd64; 架构 + + 有两类处理器同时能够支持运行 + &os;/&arch.amd64;。 第一种是 AMD64 处理器， + 包括 &amd.athlon;64、 + &amd.athlon;64-FX、 &amd.opteron; 以及更高级别的处理器。 - 运行 &os;/amd64 需要 &amd.athlon;64、 - &amd.athlon;64-FX、 &amd.opteron; 或更高的处理器。 + 能够使用 + &os;/&arch.amd64; 的另一种处理器是包含了采用 &intel; EM64T + 架构支持的处理器。 这类处理器包括 + &intel; &core; 2 Duo、 Quad、 以及 Extreme 系列处理器， + 以及 &intel; &xeon; 3000、 5000、 和 7000 + 系列处理器。 如果您的计算机使用 nVidia nForce3 Pro-150， 则 必须 使用 BIOS 配置， 禁用 IO APIC。 如果您没有找到这样的选项， 可能就只能转而禁用 ACPI 了。 Pro-150 芯片组存在一个 bug， 目前我们还没有找到绕过这一问题的方法。 - &sparc64; 架构 + &os;/&arch.sparc64; - 要安装 &os;/&sparc64;， 必须使用它支持的平台 (参见 要安装 &os;/&arch.sparc64;， 必须使用它支持的平台 (参见 )。 - &os;/&sparc64; 需要独占一块磁盘。 目前还没有办法与其它操作系统共享一块磁盘。 + &os;/&arch.sparc64; 需要独占一块磁盘。 目前还没有办法与其它操作系统共享一块磁盘。 支持的硬件 支持的硬件列表， 会作为 &os; 发行版本的 &os; 兼容硬件说明提供。 这个文档通常可以在 CDROM 或 FTP 安装文件的顶级目录找到， 它的名字是 HARDWARE.TXT， 此外， 在 sysinstall 的 documentation 菜单也可以找到。 它针对特定的硬件架构列出了 &os; 已知支持的硬件。 不同发行版本和架构上的硬件支持列表， 可以在 &os; 网站的 发行版信息 页面上找到。 安装前的准备工作 列出您电脑的硬件清单 在安装 FreeBSD 之前，您应该试着将您电脑中的硬件清单列出来。FreeBSD 安装程序会将这些硬件(磁盘、网卡、光驱等等)以及型号及制造厂商列出来。 FreeBSD 也会尝试为这些设备找出最适当的 IRQ 及 IO 端口的设定。但是因为 PC 的硬件种类实在太过复杂，这个步骤不一定总是能成功。 这时，您就可能需要手动更改有问题的设备的设定值。 如果您已经安装了其它的操作系统，如 &windows; 或 Linux，那么您可以先由 这些系统所提供的工具来查看您的设备设定值是怎么分配的。如果您真的没办法 确定某些接口卡用什么设定值，那么您可以检查看看，说不定它的设定已经标示 在卡上。常用的 IRQ 号号码为 3、5 以及 7；IO 端口的值通常以 16 进制位表示，例如 Ox330。 我们建议您在安装 FreeBSD 之前把这些信息打印或记录下来，做成表格 的样子也许会比较有帮助，例如： 硬件设备清单 设备名 IRQ IO 端口号 备注 第一块硬盘 N/A N/A 40 GB，Seagate 制造，第一个 IDE 接口主设备 CDROM N/A N/A 第一个 IDE 接口从设备 第二块硬盘 N/A N/A 20 GB，IBM 制造, 第二个 IDE 接口主设备 第一个 IDE 控制器 14 0x1f0 网卡 N/A N/A &intel; 10/100 Modem N/A N/A &tm.3com; 56K faxmodem，位于 COM1 口 …
在清楚地了解了您计算机的配置之后， 需要检查它是否符合您希望安装的 &os; 版本的硬件需求。 备份您的数据 如果您的电脑上面存有重要的数据资料，那么在安装 FreeBSD 前请确定 您已经将这些资料备份了，并且先测试这些备份文档是否有问题。FreeBSD 安装程序在要写入任何资料到您的硬盘前都会先提醒您确认，一旦您确定要 写入，那么以后就没有反悔的机会。 决定要将 FreeBSD 安装到哪里 如果您想让 FreeBSD 使用整个硬盘，那么请直接跳到下一节。 但是，如果您想让 FreeBSD 跟您已有的系统并存，那么您必须对您数据 存在硬盘的分布方式有深入的了解以及其所造成的影响。 - &i386; 体系结构的硬盘分配方式 + &os;/&arch.i386; 体系结构的硬盘分配方式 一个 PC 硬盘可以被细分为许多块。 这些块被称为 partitions (分区)。 由于 &os; 内部也有分区的概念， 如此命名很容易导致混淆， 因此我们在 &os; 中， 将其称为磁盘 slice， 或简称为 slices。 例如， FreeBSD 提供的用于操作 PC 磁盘分区的工具 fdisk 就将其称为 slice 而不是 partition。 由于设计的原因， 每个硬盘仅 支持四个分区；这些分区叫做主分区(Primary partion)。 为了突破这个限制以便能使用更多的分区，就有了新的分区类型，叫做 扩展分区(Extended partition)。一个硬盘可以拥有一个扩展分区。在 扩展分区里可以建立许多个所谓的逻辑分区(Logical partitions)。 每个分区都有其独立的分区号(partition ID), 用以区分每个分区的数据类型。FreeBSD 分区的分区号为 165。 一般而言，每种操作系统都会有自己独特的方式来区别分区。例如 DOS 及其 之后的 &windows;， 会分配给每个主分区及逻辑分区一个 驱动器字符， 从 C: 开始。 FreeBSD 必须安装在主分区。 FreeBSD 可以在这个分区上面存放系统数据 或是您建立的任何文件。然而，如果您有多个硬盘，您也可以在这些硬盘上(全部 或部分)建立 FreeBSD 分区。在您安装 FreeBSD 的时候，必须要有一个分区可以给 FreeBSD 使用。这个分区可以是尚未规划的分区或是已经划好，但是里面的数据 您都不想保存的分区。 如果您已经用完了您硬盘上的所有分区，那么您必须使用其它操作系统所 提供的工具(如 DOS 或 &windows; 下的 fdisk)来腾出一个分区 给 FreeBSD 使用。 如果您的某个分区有多余的空间，您可以使用它。但是使用前您需要先整理 一下这些分区。 FreeBSD 最小安装需要约 100 MB 的空间，但是这仅是 非常 基本的安装，几乎没有剩下多少空间可以建立您自己的文件。一个较理想的最小安装是 250 MB，不含图形界面；或是 350 MB 以上，包含图形界面。如果您还需要安装 其它的第三方厂商的套件，那么将需要更多的硬盘空间。 您可以使用商业软件，例如 &partitionmagic; (硬盘分区魔术师) 或类似 GParted 这样的免费工具来调整分区尺寸， 为 FreeBSD 腾出空间。 FreeBSD 光盘的 tools 目录包含两个免费的工具也可以完成这个工作：FIPS 以及 PResizer，它们的文档可以在同一目录中找到。FIPS、 PResizer，和 &partitionmagic; 能够改变 FAT16 以及 FAT32 分区的大小 — 它们可以在 &ms-dos; 以及 &windows; ME 系统中使用。 这些工具的说明文件可以在同一个目录下面找到 &partitionmagic; 和 GParted 都能改变 NTFS 分区的尺寸。 GParted 在许多 Live CD Linux 发行版， 如 SystemRescueCD 中均有提供。 目前已经有报告显示改变 µsoft; Vista 分区尺寸时会出现问题。 在进行此类操作时， 建议您准备一张 Vista 安装 CDROM。 此外， 与其他磁盘维护操作类我我， 强烈建议您事先进行备份。 不当的使用这些工具可能会删掉您硬盘上的数据资料！在使用这些工具前 确定您有最近的、没问题的备份数据。 使用已存在的分区 假设您只有一个 4GB 的硬盘，而且已经装了 &windows; 然后您将这个硬盘分成两个分区 C: 跟 D:，每个分区大小为 2 GB。在 C: 分区上存放有 1 GB 的数据、 D:分区上存放 0.5 GB 的数据。 这意味着您的盘上有两个分区，一个驱动器符号是一个分区(如 c:、d:)。 您可以把所有存放在 D: 分区上的数据复制到 C: 分区,这样就空出了一个分区(d:)给 FreeBSD 使用。 缩减已现在的分区 假设您只有一个 4 GB 的硬盘，而且已经装了 &windows;。您在安装 &windows; 的时候 把 4 GB 都给了 C: 分区，并且已经使用了 1.5 GB 的空间。 您想将剩余空间中的 2 GB 给 FreeBSD 使用。 为了安装 FreeBSD，您必须从下面两种方式中选择一种： 备份 &windows; 的数据资料，然后重新安装 &windows;，并给 &windows; 分配 2 GB 的空间。 使用上面提及的 &partitionmagic; 来整理 或切割您的分区。 Alpha 体系结构的硬盘分配方式 Alpha 在 Alpha 上，您必须使用一整颗硬盘给 FreeBSD，没有办法在同一个硬盘上跟 其它操作系统共存。根据不同的 Alpha 机器，您的硬盘可以是 SCSI 或 IDE 硬盘，只要 您的机器可以从这些硬盘开机就可以。 按照 Digital/Compaq 使用手册书写的惯例，所有 SRM 输入的部分都用大写 表示。注意，SRM 大小写有别。 要想得知您硬盘的名称以及型号，可以在 SRM console 提示符下使用 SHOW DEVICE 命令: >>>SHOW DEVICE dka0.0.0.4.0 DKA0 TOSHIBA CD-ROM XM-57 3476 dkc0.0.0.1009.0 DKC0 RZ1BB-BS 0658 dkc100.1.0.1009.0 DKC100 SEAGATE ST34501W 0015 dva0.0.0.0.1 DVA0 ewa0.0.0.3.0 EWA0 00-00-F8-75-6D-01 pkc0.7.0.1009.0 PKC0 SCSI Bus ID 7 5.27 pqa0.0.0.4.0 PQA0 PCI EIDE pqb0.0.1.4.0 PQB0 PCI EIDE 此范例使用 Digital Personal Workstation 433au 并且显示出此机器联接 有三个硬盘。第一个是 CDROM，叫做 DKA0；另外两个 是两个硬盘，分别叫做 DKC0 及 DKC100 。 硬盘名称中有 DKx 字样的是 SCSI 硬盘。例如 DKA100 表示是一个 SCSI 设备，其 SCSI ID 为 1，位于 第一个 SCSI 接口 (A)。 DKC300 表示一个 SCSI 硬盘， SCSI ID 为 3，位于第三个 SCSI 接口 (C)。设备名称 PKx 表示 SCSI 控制卡。由以上 SHOW DEVICE 指令的输出结果看来， SCSI 光盘也被视为是 SCSI 硬盘的一种。 IDE 硬盘的名称类似 DQx，而 PQx 则表示相对应的硬盘控制器。 收集您的网络配置相关资料 如果您想通过网络(FTP 或是 NFS)安装 FreeBSD，那么您就必须知道您的网络配置 信息。在安装 FreeBSD 的过程中将会提示您输入这些资料，以顺利完成安装过程。 使用以太网或电缆/DSL Modem 如果您通过局域网或是要通过网卡使用电缆/DSL 上网，那么您必须准备下面 的信息： IP 地址。 默认网关 IP 地址。 主机名称。 DNS 服务器的 IP 地址。 子网掩码。 如果您不知道这些信息，您可以询问系统管理员或是您的网络服务提供者。 他们可能会说这些信息会由 DHCP 自动分配；如果这样的话， 请记住这一点就可以了。 使用 Modem 连接 如果您由 ISP 提供的拨号服务上网，您仍然可以通过它安装 FreeBSD， 只是会需要很长的时间。 您必须知道： 拨号到 ISP 的电话号码。 您的 modem 是连接到哪个 COM 端口。 您拨号到 ISP 所用的账号和密码。 检查 FreeBSD 发行勘误 虽然我们尽力确保每个 FreeBSD 发行版本的稳定性，但偶尔也会有一些错误进入发行版。 极少数情况下，这些问题甚至可能会影响安装。 当发现和修正问题之后，它们会列在 FreeBSD 网站中的 FreeBSD 发行勘误 中。 在您安装之前，应该首先看一看这份勘误表，以了解可能存在的问题。 关于所有释出版本的信息，包括勘误表，可以在 FreeBSD 网站的发行版信息 一节中找到。 准备安装介质 FreeBSD 可以通过下面任何一种安装介质进行安装： 安装介质 CDROM 或 DVD 在同一计算机上的 DOS 分区 SCSI 或 QIC 磁带 软盘 网络 通过防火墙的一个 FTP 站点，或使用 HTTP 代理。 NFS 服务器 一个指定的并行或串行接口 如果您购买了 FreeBSD 的 CD 或 DVD，那么您可以直接进入下一节 。 如果您还没有 FreeBSD 的安装文件，您应该回到 一节， 它介绍了如何准备所需要的安装介质。之后，您就可以回到这一节， 并从 继续。 准备引导介质 FreeBSD 的安装过程开始于将您的电脑开机进入 FreeBSD 安装环境—－并非在 其它的操作系统上运行一个程序。计算机通常使用安装在硬盘上的操作系统进行 引导，也可以配置成使用一张bootable(可引导)的软盘进行启动。 大多数现代计算机都可以从光驱进行引导系统。 如果您有 FreeBSD 的安装光盘或 DVD(或者是您购买的，或者是您自己准备的。) 并且您的计算机可以从光驱进行启动 (通常在 BIOS 中会有 Boot Order 或类似的选项可以设置)，那么您就可以跳过此小节。因为 FreeBSD 光盘及 DVD 光盘都是可 以引导的，用它们开机您不用做什么特别的准备。 一般来说，要建立安装盘(软盘)请依照下列步骤： 获取开机软盘映像文件 开机软盘映像文件可以在您的安装介质的 floppies/ 目录下找到， 另外您也可以从下述网站的 floppies 目录下载： ftp://ftp.FreeBSD.org/pub/FreeBSD/releases/<架构名>/<版本>-RELEASE/floppies/. 将 <架构名> 和 <版本> 替换为您使用的计算机体系结构和希望安装的版本号。 例如，用于安装 &i386; 上的 - &os; &rel.current;-RELEASE 的文件的地址， + &os;/&arch.i386; &rel.current;-RELEASE 的文件的地址， 应该是 。 软盘映像文件的扩展名是 .flp。 在 floppies/ 目录中包括了许多不同的映像文件， 随您安装的 FreeBSD 版本， 某些时候也随硬件的不同， 您需要使用的映像文件可能会有所不同。 您通常会需要四张软盘， 即 boot.flp、 kern1.flp、 kern2.flp， 以及 kern3.flp。 请查阅同一目录下的 README.TXT 文件以了解关于这些映像文件的最新信息。 您的 FTP 程序必须使用 二进制模式 来下载这些映 像文件。有些浏览器只会用 text (或ASCII ) 模式来传输数据， 用这些浏览器下载的映像文件做成的软盘将无法正常开机。 准备软盘 您必须为您下载的每一个映像文件准备一张软盘。并且请避免使用到坏掉的 软盘。最简单的方式就是您先将这些软盘格式化，不要相信所谓的已格式化的软 盘。在 &windows; 下的格式化程序不会告诉您出现多少坏块，它只是简单的标记它 们为 bad 并且忽略它们。根据建议您应该使用全新的软盘来存放 安装程序。 如果您在安装 FreeBSD 的过程中造成当机、冻结或是其它怪异现象，第一个 要怀疑的就是引导软盘。请用其它的软盘制作映像文件再试试看。 将映像文件写入软盘中 .flp 文件 并非 一般的文件， 您不能直接将它们复制到软盘上。事实上它是一张包含完整磁盘内容的映像文件。这 表示您 不能 简单的使用 DOS 的 copy 命令将文件写到软盘上， 而必须使用特别的工具程序将映像文件直接写到软盘中。 DOS 如果您使用 &ms-dos; 或 &windows; 操作系统来制作引导盘，那么您可以使用我们提供 的 fdimage 程序来将映像文件写到软盘中。 如果您使用的是光盘，假设光盘的驱动器符号为 E:， 那么请执行下面的命令： E:\> tools\fdimage floppies\boot.flp A: 重复上述命令以完成每个 .flp 文件的写入，每换一个 映像文件都必须更换软盘；制作好的软盘请注明是使用哪个映像文件做的。如果您的映 像文件存放在不同的地方，请自行修改上面的指令指向您存放 .flp 文件的地方。要是您没有 FreeBSD 光盘，您可以到 FreeBSD 的 FTP 站点tools 目录 中下载。 如果您在 &unix; 系统上制作软盘(例如其它 FreeBSD 机器)，您可以使用 &man.dd.1; 命令来将映像文件写到软盘中。如果您用 FreeBSD,可以执行下面的命令： &prompt.root; dd if=boot.flp of=/dev/fd0 在 FreeBSD 中，/dev/fd0 指的是第一个软驱(即 A: 驱动器)；/dev/fd1 是 B: 驱动器,依此类推。其它的 &unix; 系统可能会用 不同的的名称，这时您就要查阅该系统的说明文件。 您现在可以安装 FreeBSD 了 开始安装 默认情况下, 安装过程并不会改变任何您硬盘中的数据，除非您看到 下面的讯息： Last Chance: Are you SURE you want continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! 在看到这最后的警告讯息前您都可以随时离开安装程序面不会变更您的硬盘。 如果您发现有任何设定错误，这时您可以直接将电源关掉而不会造成任何伤害。 开机启动 引导 &i386; 系统 从电脑尚未开机开始说起 将电脑电源打开。刚开始的时候它应该会显示进入系统设置菜单或 BIOS 要按哪个键，常见的是 F2、F10、 Del 或 Alt S 。不论是要按哪个键，请按它进入 BIOS 设置画面。有时您的计算机 可能会显示一个图形画面，典型的做法是按 Esc 将关掉这个图形 画面，以使您能够看到必要的设置信息。 找到设置开机顺序的选项，它的标记为 Boot Order 通常会列出一些设备让您选择，例如：Floppy、 CDROM、First Hard Disk 等等。 如果您要用软盘安装，请确定选到 floppy disk；如果您要用光盘安装， 请选择 CDROM。为了避免疑惑，请参考您的主板说明手册。 储存设定并离开，系统应该会重新启动。 如果您用软盘安装，请将在 一节中制作好的第一张引导盘，里面包含kern.flp boot.flp 文件的那张盘， 放入软盘驱动器中。 如果您是从光盘安装， 那么开机后请将 FreeBSD 光盘放入光驱中。 如果您开机后如往常一样并没有从软盘或光盘引导，请检查： 是不是软盘或光盘太晚放入面错失开机引导时间。 如果是， 请将它们放入后重新开机。 BIOS 设定不对，请重新检查 BIOS 的设定。 您的 BIOS 不支持从这些安装介质引导。 FreeBSD 即将启动。如果您是从光盘引导，您会见到类似下面的画面： Booting from CD-Rom... CD Loader 1.2 Building the boot loader arguments Looking up /BOOT/LOADER... Found Relocating the loader and the BTX Starting the BTX loader BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS CD is cd0 BIOS drive C: is disk0 BIOS drive D: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 1.1 Loading /boot/defaults/loader.conf /boot/kernel/kernel text=0x64daa0 data=0xa4e80+0xa9e40 syms=[0x4+0x6cac0+0x4+0x88e9d] \ 如果您从软盘启动， 则应看到类似下面的画面： Booting from Floppy... Uncompressing ... done BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive C: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 1.1 Loading /boot/defaults/loader.conf /kernel text=0x277391 data=0x3268c+0x332a8 | Insert disk labelled "Kernel floppy 1" and press any key... 请根据提示将 boot.flp 软盘取出， 插入 kern1.flp 这张盘， 然后按 Enter。 您只需从第一张软盘启动， 然后再需要时根据提示插入其他软盘就可以了。 不论是从软盘或光盘引导， 接下来都会进入 &os; 引导加载器菜单：
&os; Boot Loader Menu
您可以等待十秒， 或按 Enter。 引导 Alpha 系统 Alpha 从电脑尚未打开电源开始。 打开电脑电源并等待屏幕上出现开机提示信息。 如您需要制作用于安装的软盘， 请参考 ， 将其中一张制作为第一片引导盘， 其中包含 boot.flp。 将这张软盘插进软驱， 并输入下列命令， 以便从软盘启动 (请视实际情况修改命令中的软驱盘符)： >>>BOOT DVA0 -FLAGS '' -FILE '' 如果您要从光盘引导，请将光盘放入光驱中然后输入下列命令开始安装 (请视情况修改命令中的光驱盘符)： >>>BOOT DKA0 -FLAGS '' -FILE '' 然后 FreeBSD 就会启动。如果您从软盘引导，到某个阶段您会看到下面的信息： Insert disk labelled "Kernel floppy 1" and press any key... 此时应按照提示取出 boot.flp 软盘， 换上 kern1.flp 软盘， 然后按 Enter 键。 不论从软盘或光盘引导，您都会看到下面这段信息： Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 您可以等待 10 秒或是按 Enter 跳过。之后就会进入内核 设定菜单。 引导 &sparc64; 多数 &sparc64; 系统均配置为从硬盘自动引导。 如果希望安装 &os;， 就需要从网络或 CDROM 启动了， 这需要首先进入 PROM (OpenFirmware)。 要完成这项工作， 首先需要重启系统， 并等待出现引导消息。 具体的信息取决于您使用的型号， 不过它应该会是类似下面这样： Sun Blade 100 (UltraSPARC-IIe), Keyboard Present Copyright 1998-2001 Sun Microsystems, Inc. All rights reserved. OpenBoot 4.2, 128 MB memory installed, Serial #51090132. Ethernet address 0:3:ba:b:92:d4, Host ID: 830b92d4. 如果您的系统此时开始了从硬盘引导的过程， 则需要按下 L1A 或 StopA， 或者在串口控制台上发送 BREAK (例如， 在 &man.tip.1; 或 &man.cu.1; 中是 ~#) 以便进入 PROM 提示符。 它应该是类似下面这样： ok ok {0} 这是在只有一颗 CPU 的系统上的提示。 这是用于 SMP 系统的选项， 这里的数字， 是系统中可用的 CPU 数量。 这时， 将 CDROM 插入驱动器， 并在 PROM 提示符后面， 输入 boot cdrom。 查看设备探测的结果 前面屏幕显示的最后几百行字会存在缓冲区中以便您查阅。 要浏览缓冲区，您可以按下 Scroll Lock 键，这会开启画面的 卷动功能。然后您就可以使用方向键或 PageUp 、PageDown 键来上下翻阅。再按一次 Scroll Lock 键将停止画面卷动。 在您浏览的时候会看到类似 的画面。 真正的结果依照您的电脑装置而有所不同。
典型的设备探测结果 avail memory = 253050880 (247120K bytes) Preloaded elf kernel "kernel" at 0xc0817000. Preloaded mfs_root "/mfsroot" at 0xc0817084. md0: Preloaded image </mfsroot> 4423680 bytes at 0xc03ddcd4 md1: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1:<VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <iSA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0 <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci 0 usb0: <VIA 83572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr1 uhub0: 2 ports with 2 removable, self powered pci0: <unknown card> (vendor=0x1106, dev=0x3040) at 7.3 dc0: <ADMtek AN985 10/100BaseTX> port 0xe800-0xe8ff mem 0xdb000000-0xeb0003ff ir q 11 at device 8.0 on pci0 dc0: Ethernet address: 00:04:5a:74:6b:b5 miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xec00-0xec1f irq 9 at device 10. 0 on pci0 ed0 address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 orm0: <Option ROM> at iomem 0xc0000-0xc7fff on isa0 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq2 on isa0 fdc0: FIFO enabled, 8 bytes threshold -fd0: <1440-KB 3.5" drive> on fdc0 drive 0 +fd0: <1440-KB 3.5” drive> on fdc0 drive 0 atkbdc0: <Keyboard controller (i8042)> at port 0x60,0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/@ mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x100 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 pppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold plip0: <PLIP network interface> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master UDMA33 acd0: CD-RW <LITE-ON LTR-1210B> at ata1-slave PIO4 Mounting root from ufs:/dev/md0c /stand/sysinstall running as init on vty0
请仔细检查探测结果以确定 FreeBSD 找到所有您期望出现的设备。 如果系统没有找到设备， 则不会将其列出。 定制内核 能够让您为系统添加默认的 GENERIC 内核所不支持的设备， 如声卡等。 在 &os; 6.2 和更高版本中， 在探测完系统设备之后， 将显示 。 请使用光标键来选择国家或地区。 接着按 Enter， 系统将自动设置地区及键盘映射。 您也可以很容易地退出 sysinstall 程序并从头来过。
选择国家及地区菜单
选择离开 Sysinstall
在主界面使用方向键选择 Exit Install 您会看到 如下的信息： - User Confirmation Requested - Are you sure you wish to exit? The system will reboot - (be sure to remove any floppies from the drives). + User Confirmation Requested + Are you sure you wish to exit? The system will reboot + (be sure to remove any floppies/CDs/DVDs from the drives). [ Yes ] No 如果 CDROM 还留在光驱里，而且选择了 &gui.yes;， 则安装程序将重新启动。 如果您是从软盘启动， 则在重启系统之前， 需要将 boot.flp 软盘取出。 介绍 Sysinstall sysinstall 是 FreeBSD 项目所提供的安装程序。 它以 console(控制台)为主，分为多个菜单及画面让您配置及控制安装过程。 sysinstall 菜单画面由方向键、Enter、 Tab、Space， 以及其它按键所控制。在主画面的 Usage 菜单有这些按键的说明。 要查看这些说明，请将光标移到 Usage 项目，然后 [Select] 按键被选择，， 然后按下 Enter 键。 安装画面的使用说明会显示出来，阅读完毕请按 Enter 键回到主 画面。
选取 Sysinstall 主菜单的 Usage 项目
选择 Documentation(说明文件) 菜单 用方向键从主菜单选择 Doc 条目然后按 Enter键。
选择说明文件菜单
这将会进入说明文件菜单。
Sysinstall 说明文件菜单
阅读这些说明文件很重要。 要阅读一篇文章，请用方向键选取要阅读的文章然后按 Enter 键。 阅读中再按一下 Enter 就会回到说明文件画面。 若要回到主菜单，用方向键选择 Exit 然后按下 Enter 键。 选择键盘对应(Keymap)菜单 如果要改变键盘按键的对应方式，请在主菜单选取 Keymap 然后按 Enter 键。一般情况下不改变此项，除非您使用了非标准键盘或非 美国键盘。
Sysinstall 主菜单
您可以使用上下键移动到您想使用的键盘对应方式，然后按下 Space 键以选取它；再按 Space 键可以取消选取。当您完成后，请选择 &gui.ok; 然后按 Enter 键。 这一屏幕只显示出部分列表。选择 &gui.cancel; 按 Tab 键将使用 默认的键盘对应，并返回到主菜单
Sysinstall 键盘对应菜单
安装选项设置画面 选择 Options 然后按 Enter 键。
Sysinstall 主菜单
Sysinstall 选项设置
预设值通常可以适用于大部分的使用者，您并不需要改变它们。版本名称要 根据安装的版本进行变化。 目前选择项目的描述会在屏幕下方以蓝底白字显示。注意其中有一个项目是 Use Defaults(使用默认值)您可以由此项将所有的 设定还原为预设值。 可以按下 F1 来阅读各选项的说明。 按 Q 键可以回到主画面。 开始进行标准安装 Standard(标准) 安装适用于那些 &unix; 或 FreeBSD 的初级使用者。用方向键选择 Standard 然后按 Enter 键可开始进入标准安装。
开始进行标准安装
分配磁盘空间 您的第一个工作就是要分配 FreeBSD 用的硬盘空间以便 sysinstall 先做好一些准备。为了完成这个工作，您必须先对 FreeBSD 如何找到 磁盘信息做一个了解。 BIOS 磁盘编号 当您在系统上安装配置 FreeBSD 之前，有一个重要的事情一定要注意，尤其 是当您有多个硬盘的时候。 DOS Microsoft Windows 在 pc 架构，当您跑像 &ms-dos; 或 µsoft.windows; 这种跟 BIOS 相关的操作 系统的时候，BIOS 有能力改变正常的磁盘顺序，然后这些操作系统会跟着 BIOS 做改变。 这让使用者不一定非要有所谓的 primary master 硬盘开机。许多人发 现最简单而便宜备份系统的方式就是再去买一块一模一样的硬盘，然后定期将数据从第 一块硬盘复制到第二个硬盘，使用 Ghost 或 XCOPY。所以，当第一个硬盘死了，或者是被病毒破坏， 或者有坏轨道，他们可以调整 BIOS 中的开机顺序而直接用第二块硬盘开机。这跟将机壳 拆开，把第二块硬盘跟第一块硬盘对调(要调jumper)有同样的效果，差别就是不用拆壳； 因此，对有这方面需求的人而言，直接在 BIOS 中设定非常方便。 SCSI BIOS 比较昂贵，配有 SCSI 控制卡的系统通常可以延伸 BIOS 的功能来让 SCSI 设备(可达七个) 达到类似改变顺序的功能。 习惯于使用这种方式的使用者可能会感到惊讶，因为在 FreeBSD 中并非如此。 FreeBSD 不会参考 BIOS，而且也不知道所谓的 BIOS 逻辑磁盘对应。 是怎么回事。这会让人感觉很疑惑，明明就是一样的硬盘而且资料也完全从另一块 复制过来的，结果却没办法像以前那样用。 当使用 FreeBSD 以前，请将 BIOS 中的硬盘开机顺序调回正常的顺序，并且以后 不要再改变。 如果一定要交换硬盘顺序， 那请用硬件的方式， 打开机壳并调整调线。 范例：Bill 和 Fred 的安装历险 Bill 替 Fred 把旧的 Wintel 的机器装上了 FreeBSD。他装了一台 SCSI 硬盘， ID 是 0，然后把 FreeBSD 装在上面。 Fred 开始使用他新的 FreeBSD 系统；但是过了几天，他发现这旧的 SCSI 硬盘发生了许多小问题。之后，他就跟 Bill 说起这件事。 又过了几天，Bill 决定是该解决问题的时候了，所以他从后面房间的硬盘 收藏 中找出了一个一模一样的硬盘，并且经过表面测试后显示这块 硬盘没有问题。因此，Bill 将它的 ID 调成 4，然后安装到 Fred 的机器，并且将资料从 磁盘 0 复制到磁盘 4。现在新硬盘装好了，而且看起来好像一切正常；所以，Bill 认为 现在应该可以开始用它了。Bill 于是到 SCSI BIOS 中设定 SCSI ID 4 为开机盘，用磁盘 4 重新开机后，一切跑得很顺利。 继续用了几天后，Bill 跟 Fred 决定要来玩点新的：该将 FreeBSD 升级了。Bill 将 ID 0 的硬盘移除(因为有问题)并且又从收藏区中拿了一块一样的硬盘来。然后他 用 Fred 神奇的网络 FTP 磁盘将新版的 FreeBSD 安装在这块硬盘上；安装过程没什么问 题发生。 Fred 用了这新版本几天后，觉得它很适合用在工程部门…是时候将以前放在旧 系统的工作资料复制过来了。因此，Fred 将 ID4 的 SCSI 硬盘(里面有放着旧系统中复制 过来的最新资料)mount 起来，结果竟然发现在 ID4 的硬盘上，他以前的所有资料都不见 了！ 资料跑到哪里去了呢？ 当初 Bill 将 ID0 硬盘的资料复制到 ID4 的时候，ID4 即成为一个 新的副本。 而当他调 SCSI BIOS 设定 ID4 为开机盘，想让系统从 ID4 开机， 这其实只是他自己笨，因为大部分的系统可以直接调 BIOS 而改变开机顺序，但是 FreeBSD 却会把开机 顺序还原成正常的模式，因此，Fred 的 FreeBSD 还是从原来那块 ID0 的硬盘开机的。所有 的资料都还在那块硬盘上，而不是在想象之中的 ID4 硬盘。 幸运的是， 在我们发现这件事的时候那些资料都还在， 我们将这些资料从最早的那块 ID0 硬盘取出来并交还给 Fred， 而 Bill 也由此了解到计算机计数是从 0 开始的。 虽然我们这里的例子使用 SCSI 硬盘，但是相同的概念也可以套用在 IDE 硬盘上。 使用 FDisk 创建分区 如果不再做改变，数据将会写进硬盘。如果您犯了一个错误想重新开始，请选择 sysinstall 安装程序的退出按钮(exit)。或按 U 键来 Undo 操作。如果您的操作没有结果，您总可以重新启动您 的计算机来达到您的目的。 当您在 sysinstall 主菜单选择使用标准安装 后，您会看到下面的信息： Message In the next menu, you will need to set up a DOS-style ("fdisk") partitioning scheme for your hard disk. If you simply wish to devote all disk space to FreeBSD (overwriting anything else that might be on the disk(s) selected) then use the (A)ll command to select the default partitioning scheme followed by a (Q)uit. If you wish to allocate only free space to FreeBSD, move to a partition marked "unused" and use the (C)reate command. [ OK ] [ Press enter or space ] 如屏幕指示，按 Enter 键，然后您就会看到一个列表 列出所有在探测设备的时候找到的硬盘。 范例显示的是有找到两个 IDE 硬盘的情形，这两个硬盘分别为 ad0 和 ad2。
选择要分区的硬盘
您可能正在奇怪，为什么 ad1 没有列出来？ 为什么遗失了呢？ 试想，如果您有两个 IDE 硬盘，一个是在第一个 Primary master，一个是 Secondary master，这样会发生什么事呢？如果 FreeBSD 依照找到的顺序来为他们 命名，如 ad0 和ad1 那么就不会有什么问题。 但是，现在问题来了。如果您现在想在 primary slave 加装第三个硬盘， 那么这个硬盘的名称就会是 ad1，之前的 ad1 就会变成ad2。 这会造成什么问题呢？因为设备的名称（如ad1s1a） 是用来寻找文件系统的，因此您可能会发现，突然，您有些文件系统从此无法正确 地显示出来，必须修改 FreeBSD 配置文件（译注：/etc/fstab）才可以正确显示。 为了解决这些问题，在配置内核的时候可以叫 FreeBSD 直接用 IDE 设备所 在的位置来命名，而不是依据找到的顺序。使用这种方式的话，在 secondary master 的 IDE 设备就 永远是 ad2， 即使您的系统中没有ad0 或 ad1 也不受影响。 此为 FreeBSD 内核的默认值，这也是为什么上面的画面只显示 ad0 和 ad2的原因。 画面上这台机器的两颗硬盘是装在 primary 及 secondary 的 master 上面；并没有任何一个 硬盘安装在 slave 插槽上。 您应该选择您想安装 FreeBSD 的硬盘，然后按下 &gui.ok;。之后 FDisk 就会开始，您会看到类似 的画面。 FDisk 的显示画面分为三个部分。 第一部分是画面上最上面两行，显示的是目前所选择的硬盘的信息。包含它的 FreeBSD 名称、硬盘分布以及硬盘的总容量。 第二部分显示的是目前选择的硬盘上有哪些分区，每个分区的开始及结束位置、 所占容量、FreeBSD 名称、它们的描述以及类别（sub-type）。此范例显示有两个分区、 一个大的 FAT 分区，（很可能是 &ms-dos; 或 &windows; 的 C: ）、以及一个扩展分区（在 &ms-dos; 或 &windows; 里 面还可以包含逻辑分区）。 第三个部分显示 FDisk 中可用的命令。
典型的尚未编辑前的 Fdisk 分区表
接下来要做的事跟您要怎么给您的硬盘分区有关。 如果您要让 FreeBSD 使用整个硬盘（稍后您确认要 sysinstall 继续安装后会删除所有这个硬盘上的资料），那么您就可以按 A 键（Use Entire Disk ） 目前已有的分区都会被删除，取而代之的是一个小的，标示为 unused 的分区，以及一个大的 FreeBSD 分区。之后，请用方向键将光标移到这个 FreeBSD 分区，然后按 S 以将此分区标记为启动分区。 您会看 到类似 的画面。 注意， 在 Flags 栏中的 A 记号表示此分区是 激活 的， 因而启动将从此分区进行。 要删除现有的分区以便为 FreeBSD 腾出空间， 您可以将光标移动到要删除的分区后按 D 键。 然后就可按 C 键， 并在弹出的对话框中输入将要创建的分区的大小。 输入合适的大小后按 Enter 键。 一般而言， 这个对话框中的初始值是可以分配给该分区的最大值。 它可能是最大的邻接分区或未分配的整个硬盘大小。 如果您已经建立好给 FreeBSD 的分区（使用像 &partitionmagic; 类似的工具），那么您可以按下 C 键来建立一个新 的分区。同样的，会有对话框询问您要建立的分区的大小。
Fdisk 分区使用整个硬盘
完成后，按 Q 键。您的变更会存在 sysinstall 中，但是还不会真正写入您的硬盘。 安装多重引导 在这步骤您可以选择要不要安装一个多重引导管理器。一般而言，如果碰到 下列的情形，您应该选择要安装多重引导管理程序。 您有一个以上的硬盘，并且 FreeBSD 并不是安装在第一个硬盘上。 您可以在一个硬盘上，除了 FreeBSD，您还有安装其它的操作系统；然后 您想要选择在开机的时候要进入哪个系统。 如果您在这台机器上只安装一个 FreeBSD 操作系统，并且安装在第一个硬盘， 那么选择 Standard 安装就可以了。如果您已经使用 了一个第三方的多重引导程序，那么请选择 None。 选择好配置后请按 Enter。
Sysinstall 多重引导管理程序
按下 F1 键所显示的在线说明中有讨论一些操作系统共存 可能发生的问题。 在其它硬盘上创建分区 如果您的系统上有一个以上的硬盘，在选择完多重引导管理程序后会再回到 选择硬盘的画面。如果您要将 FreeBSD 安装在多个硬盘上，那么您可以在这里选择 其它的硬盘，然后重复使用 FDisk 来建立分区。 如果您想让 FreeBSD 来管理其它的硬盘，那么两个硬盘都必须安装 FreeBSD 的多重引导管理程序。
离开选择硬盘画面
Tab 键可以在您最后选择的硬盘、 &gui.ok; 以及 &gui.cancel; 之间进行切换。 用 Tab 键将光标移动到 &gui.ok;然后按 Enter 键继续安装过程。 使用 <application>bsdlabel</application> 创建分区 您现在必须在刚刚建立好的 slice 中规划一些 label。 请注意， 每个 label 的代号是 a 到 h， 另外， 习惯上 b、 c 和 d 是有特殊用途的， 不应该随意变动。 某些应用程序可以利用一些特殊的分区而达到较好的效果，尤其是分区分散 在不同的硬盘的时候。但是，现在您是第一次安装FreeBSD，所以不需要去烦恼如 何分割您的硬盘。最重要的是，装好FreeBSD然后学习如何使用它。当您对FreeBSD 有相当程度的熟悉后，您可以随时重新安装FreeBSD，然后改变您分区的方式。 下面的范例中有四个分区—一个是磁盘交换分区，另外三个是文件系统。 为第一个硬盘分区 分区 文件系统 大小 描述 a / - 100 MB + 128 MB 这是一个根文件系统（root filesystem）。任何其它的文件系统都会 - 挂在根目录（译注：用根目录比较亲切）下面。 100 MB 对于此目录来说 + 挂在根目录（译注：用根目录比较亲切）下面。 128 MB 对于此目录来说 是合理的大小，因为您往后并不会在这里存放太多的数据；在安装FreeBSD后会 用掉约 40 MB 的根目录空间。剩下的空间是用来存放临时文件用的，同时， 您也应该预留一些空间，因为以后的FreeBSD版本可能会需要较多的 /（根目录）空间。 b N/A 2-3 x RAM b 分区为系统磁盘交换分区（swap space）。 选择正确的交换空间大小可是一门学问唷。 一般来说，交换空间的大小应该是您系统上内存（RAM） 大小的2到3倍。 交换空间至少要有 64 MB。 因此， 如果您的电脑上的 RAM 比 32 MB 小，请将交换空间大小设为 64 MB。 如果您有一个以上的硬盘，您可以在每个硬盘上都配置交换分区。 FreeBSD 会利用每个硬盘上的交换空间， 这样做能够提高 swap 的性能。 如果是这种情形， 先算出您总共需要的交换空间大小 （如128 MB）， 然后除以您拥有的硬盘数目（如2块）， 算出的结果就是每个硬盘上要配置的交换空间的大小。 在这个例子中， 每个硬盘的交 换空间为 64 MB。 e /var - 50 MB + 256 MB /var 目录会存放不同长度的文件、日志以及 其它管理用途的文件。大部分这些文件都是FreeBSD每天在运行的时候会读取或 是写入的。当这些文件放在另外的文件系统（译注：即/var）可以避免影响到 其它目录下面类似的文件存取机制。 f /usr 剩下的硬盘空间 您所有的其它的文件通常都会存在/usr 目录以及其子目录下面。
如果您要将FreeBSD安装在一个以上的硬盘，那么您必须在您配置的其它分区上 再建立分区。最简单的方式就是在每个硬盘上建立两个分区，一个是交换分区，一个 是文件系统分区。 为其它磁盘分区 分区 文件系统 大小 描述 b N/A 见描述 之前提过，交换分区是可以跨硬盘的。但是，即使 a 分区没有使用，习惯上还是会把交换分区放在 b 分区上。 e /diskn 剩下的硬盘空间 剩下的空间是一个大的分区，最简单的做法是将之规划为 a分区而不是e分区。然而， 习惯上a分区是保留给根目录 (/) 用的。您不一定要遵守这个习惯，但是sysinstall 会，所以照着它做会使您的安装比较清爽、干净。您可以将这些文件系统挂在任何 地方，本范例建议将它们挂在/diskn 目录，n 依据每个硬盘而有所不同，但是，您喜欢的话 也可将它们挂在别的地方。
分区的配置完成后，您可以用sysinstall. 来建立它们了。您会看到下面的信息： Message Now, you need to create BSD partitions inside of the fdisk partition(s) just created. If you have a reasonable amount of disk space (200MB or more) and don't have any special requirements, simply use the (A)uto command to allocate space automatically. If you have more specific needs or just don't care for the layout chosen by (A)uto, press F1 for more information on manual layout. [ OK ] [ Press enter or space ] 按下 Enter 键开始FreeBSD分区表编辑器，称做 Disklabel。 显示您第一次执行 Disklabel的画面。画面分为三个区域。 前几行显示的是您正在编辑的硬盘以及您正在建立的slice位于哪个分区上。 （在这里， Disklabel 使用的是 分区名称 而不是 slice 名）。此画面也会显示slice还有 多少空间可以使用；亦即，有多余的空间，但是尚未指派分区。 画面中间区域显示已建立的区区，每个分区的文件系统名称、所占的大小以及 一些关于建立这些文件系统的参数选项。 下方的第三区显示在 Disklabel中可用的按键。
Sysinstall Disklabel 编辑器
Disklabel 您可以自动配置分区以及给它们预设 的大小。您可以按 A键使用此功能。您会看到类似 的画面。根据您硬盘的大小，自动分配所配置 的大小不一定合适。但是没有关系，您并不一定要使用预设的大小。 默认情况下会给/tmp 目录一个独立分区，而不是附属在 / 之下。这样可以 避免将一些临时文件放到根目录中（译注：可能会用完根目录空间）。
Sysinstall Disklabel 编辑器-使用自动配置
如果您不想使用默认的分区布局， 则需要用方向键移动光标并选中第一个分区， 然后按 D 来删除它。 重复这一过程直到删除了所有推荐的分区。 要建立第一个分区 (a， 作为 / — 根文件系统)， 请确认您已经在屏幕顶部选中了正确的 slice， 然后按 C。 接下来将出现一个对话框， 要求您输入新分区的尺寸 (如 所示)。 您可以输入以块为单位的尺寸， 或以 M 表示MB、 G 结尾表示GB， 或者 C 表示柱面数的方式来表达尺寸。 从 FreeBSD 5.X 开始， 用户可以： 使用 Custom Newfs (Z) 选项来选择 UFS2 (在 &os; 5.1 和更高版本中的默认值)。 用 Auto Defaults 来创建， 然后用 Custom Newfs 选项， 或在创建文件系统时指定 。 如果您使用了 Custom Newfs选项， 不要忘记增加 来启用 SoftUpdates！
根目录使用空间
- 显示在对话框中的默认大小是使用整个分区，您可以用 - Backspace键删除这些数字然后按照上述方式输入您想要的 - 大小，如64M（）， - 然后按&gui.ok;。 - + 如果使用此处显示的默认尺寸， 则会创建一个占满整个 slice 空余空间的 partition。 + 如果希望使用前面例子中描述的 partition 尺寸， 则应按 + Backspace 键删除这些数字， 并输入 + 128M， 如 + 所示。 然后， 按下 + &gui.ok;。 +
编辑要分区大小
输入完大小后接着问您要建立的分区是文件系统还是交换空间，如 所示。第一个分区是文件系统，所以 确认选择 FS后按Enter键。
选择根分区类型
最后，因为您要建立的是一个文件系统，所以必须告诉 Disklabel 这个文件系统要挂接在什么地方，如 所示。根文件系统的挂接点 /, 所以请输入 /,然后按 Enter键。
选择根挂接点
刚刚制作好的分区会显示在画面上。您应该重复上述的动作以建立其它的 分区。当建立交换空间的时候，系统不会问您要将它挂接在哪里，因为交换空间是不用 挂在系统上的。当您在建立最后一个分区/usr的时候，您可以 直接使用默认的大小，即所有此分区剩余的空间。 您最终的 FreeBSD DiskLabel 编辑器画面会类似 , 实际数字按您的选择而有所不同。按下 Q 键完成分区的建立。
Sysinstall Disklabel 编辑器
选择要安装的软件包 选择要安装的软件包 安装哪些软件包在很大程度上取决于系统将被用来做什么，以及有多少可用的磁盘空间。 内建的选项包括了运行所需要的最小系统，到把所有软件包全都装上的常用配置。 &unix; 或 FreeBSD 新手通常直接选择一个设定好的软件包就可以了， 而有经验的使用者则可以考虑自己订制安装哪些软件包。 按下 F1 可以看到有关软件包的更多选项信息， 以及它们都包含了哪些软件，之后，可以按 Enter 回到软件包选择画面。 如果您想要使用图形界面， 则必须选择软件包名称开头是 X 的那些软件包。 对于 X 服务器的配置， 以及选择默认的桌面管理器这样的工作必须在 &os; 安装完成之后才能作。 关于配置 X 服务器的更多资料可以在 找到。 默认安装的 X11 版本是 &xorg;。 如果需要定制内核， 您还需要选择包含源代码的那个选项。 要了解为什么应该编译和构建新的内核， 请参见 。 显然， 包含所有组件的系统是最万能的。 如果磁盘空间足够， 用光标键选择 中的 All 并按 Enter。 如果担心磁盘空间不够的话， 则选择最合适的选项。 不要担心选择的是否是最合适的， 因为其他软件包可以在安装完毕后再加入进来。
选择软件包
安装ports软件包 当选择完您想要安装的部分后，接着会询问您要不要安装FreeBSD Ports 软件包；Ports软件包可以让您简单方便地安装软件包。Ports本身并不包含编辑 软件所需要的程序源代码，而是一个包含自动下载、编辑以及安装的文档集合。 一章讨论如何使用Ports. 安装程序并不会检查您是否有足够的硬盘空间来放ports,所以，如果要安装 ports软件所，请先确定您有足够的硬盘空间。 FreeBSD &rel.current;版本 FreeBSD Ports Collection 大约占用 &ports.size; 大小的硬盘空间。您要为 这些版本设置大一点的值来安装它们。 User Confirmation Requested Would you like to install the FreeBSD Ports Collection? This will give you ready access to over &os.numports; ported software packages, at a cost of around &ports.size; of disk space when "clean" and possibly much more than that if a lot of the distribution tarballs are loaded (unless you have the extra CDs from a FreeBSD CD/DVD distribution available and can mount it on /cdrom, in which case this is far less of a problem). The Ports Collection is a very valuable resource and well worth having on your /usr partition, so it is advisable to say Yes to this option. For more information on the Ports Collection & the latest ports, visit: http://www.FreeBSD.org/ports [ Yes ] No 选择 &gui.yes; 将会安装 Ports Collection， 而选择 &gui.no; 则将跳过它。 选好后按 Enter 继续。 此后， 选择安装的软件包的屏幕将再次出现。
确认您要安装的软件包
如果对您的选择感到满意，请选择Exit 退出，确保&gui.ok; 被高亮显示，然后按Enter 继续。 选择您要使用的安装介质 如果要从 CDROM 或 DVD安装，使用方向键将光标移到 Install from a FreeBSD CD/DVD。确认 &gui.ok; 被选取，然后按 Enter 开始安装程序。 如果要使用其它的方式安装，请选择适当的安装介质然后按照屏幕指示 进行安装。 按 F1 可以显示安装介质的在线说明。按一下 Enter 可返回选择安装介质画面。
选择安装介质
FTP安装模式 installation network FTP 使用FTP安装，有三种方式：主动式（active）FTP、被动式（passive）FTP 或是透过HTTP代理服务器。 主动式FTP： 从FTP服务器安装 这个选项将会使所有的FTP传输使用 Active模式。 这将无法通过防火墙，但是可以使用在那些比较早期，不支持被动模式的FTP站。 如果您的连接在使用被动（默认值）模式卡住了，请换主动模式看看！ 被动模式FTP： 通过防火墙从FTP服务器安装 FTP passive mode 此选项会让 sysinstall 使用 Passive模式来安装。这使得使用者可以穿过 不允许用非固定TCP PORTS连入的防火墙。 FTP 透过 HTTP 代理服务器： 透过HTTP代理服务器，由 FTP服务器安装 FTP via a HTTP proxy 此选项会让 sysinstall 通过HTTP协议 （像浏览器一样）连到proxy服务器。proxy服务器会解释送出的请求， 然后通知FTP服务器。因为通过HTTP协议，所以可以穿过防火墙。 要用这种方式，您必须指定proxy服务器的地址。 对于一个 FTP 代理服务器而言，通常在使用者登入名称中加入您要登入的 服务器的用户名，加在 @ 符号后面。然后代理服务器就会 假装 成一个真的服务器。 例如， 假设您要从 ftp.FreeBSD.org 安装，通过 FTP 代理服务器 foo.example.com，使用1234端口。 在这种情况下，您可以到 options 菜单，将 FTP username 设为 ftp@ftp.FreeBSD.org，密码设为您的电子邮件地址。 安装介质部分，指定FTP (或是被动式 FTP，如果代理服务器支持的话) 以及URL为 ftp://foo.example.com:1234/pub/FreeBSD。 因为ftp.FreeBSD.org的 /pub/FreeBSD 目录会被抓取到 foo.example.com之下，您就可以从 这台 机器 (会从 ftp.FreeBSD.org 抓取文件) 安装。 安装确认 到此为止，可以开始进行安装了，这也是您避免更动到您的硬盘的最后机会。 User Confirmation Requested Last Chance! Are you SURE you want to continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! [ Yes ] No 选择 &gui.yes; 然后按下 Enter 确认安装 安装所需的时间会根据您所选择的软件、安装介质以及您电脑的速度而有所不同。 在安装的过程中会有一些信息来显示目前的进度。 当您看到下面的信息表示已经安装完成了： Message Congratulations! You now have FreeBSD installed on your system. We will now move on to the final configuration questions. For any option you do not wish to configure, simply select No. If you wish to re-enter this utility after the system is up, you may do so by typing: /usr/sbin/sysinstall. [ OK ] [ Press enter or space ] 按下 Enter 以进行安装后的配置。 选择 &gui.no; 然后按 Enter 会取消安装，不会对您的系统造成更动。您会看到下面的信息： Message Installation complete with some errors. You may wish to scroll through the debugging messages on VTY1 with the scroll-lock feature. You can also choose "No" at the next prompt and go back into the installation menus to retry whichever operations have failed. [ OK ] 产生这个信息是因为什么东西也没有安装，按下 Enter 后会离开安装程序回到主安装界面。从主安装界面可以退出安装程序。 安装后的配置 安装成功后， 就可以进行进一步的配置了。 引导新安装的 FreeBSD 系统之后， 使用 sysinstall (/stand/sysinstall 如果您使用的是 &os; 5.2 之前的版本)， 并选择 Configure。 配置网卡 如果您之前配置用 PPP 通过 FTP 安装，那么这个画面将不会出现；正像所说 的那样，您可以稍后再做配置。 如果想更多的了解网卡或将FreeBSD配置为网关或路由器，请参考 Advanced Networking 的相关文章。 User Confirmation Requested Would you like to configure any Ethernet or SLIP/PPP network devices? [ Yes ] No 如果要配置网卡，请选择 &gui.yes; 然后按 Enter。 否则请选择 &gui.no; 继续。
选择网卡设备
用方向键选择您要配置的网卡接口，然后按Enter。 User Confirmation Requested Do you want to try IPv6 configuration of the interface? Yes [ No ] 目录私人区域网络IP协议IPv4已经足够，所以选择 &gui.no; 然后按 Enter。 如果想试试新的IP通信协议 IPv6 ，使用 RA 服务，请选择 &gui.yes; 然后按 Enter。 寻找 RA 服务器将会花费几秒的时间。 User Confirmation Requested Do you want to try DHCP configuration of the interface? Yes [ No ] 如果您不需要 DHCP (Dynamic Host Configuration Protocol　动态主机配置协议) ，选择 &gui.no; 然后按Enter。 选择 &gui.yes; 会执行dhclient， 如果成功，它会自动将网络配置信息填上。更多的信息请参考 。 下面的网络配置显示了怎样把以太网设备配置成区域网络网关的角色。
配置 ed0接口
使用Tab 键可以在各个栏目之间进行切换，请输入适当 的信息： Host（机器名称） 完整的机器名称，例如本例中的 k6-2.example.com 。 Domain（域名） 您机器所在的域名称，如本例的 example.com IPv4 Gateway（IPv4网关） 输入将数据包传送到远端网络的机器IP地址。只有当机器是网络上的 一个节点时才要输入。如果这台机器要作为您局域网的网关， 请将此处设为空白。IPv4网关，也被称作默认网关或 默认路由器。 域名服务器 本地网络中的域名服务器的IP地址。本例中假设机器所在的网络中 没有域名服务器，所以填入的是ISP提供的域名服务器地址 （208.163.10.2。） IPv4 地址 本机所使用的IP地址。本例为 192.168.0.1。 子网掩码 在这个局域网中所使用的地址块是 192.168.0.0 - 192.168.0.255， 对应的子网掩码是 255.255.255.0。 ifconfig 额外参数设定 任何ifconfig命令跟网卡接口有关的参数。 本范例中没有。 使用 Tab 键选择 &gui.ok;然后按 Enter键。 User Confirmation Requested Would you like to Bring Up the ed0 interface right now? [ Yes ] No 选择 &gui.yes; 然后按 Enter 将会将机器的网卡转为启用状态。机器下次启动 的时候即可使用。 配置网关 User Confirmation Requested Do you want this machine to function as a network gateway? [ Yes ] No 如果这台机器要作为本地网络和其它机器之间传送数据包的网关，请选择 &gui.yes; 然后按 Enter。 如果这台机器只是网络上的普通节点，请选择 &gui.no; 并按 Enter 继续。 配置网络服务 User Confirmation Requested Do you want to configure inetd and the network services that it provides? Yes [ No ] 如果选择 &gui.no;， 许多网络服务，如 telnetd 将不会启用。 这样， 远端用户将无法 telnet 进入这台机器。 本机上的用户还是可以 telnet到远端机器的。 这些服务可以在安装完成后修改/etc/inetd.conf 配置文件来启用它们。请参阅 以获得更多的信息。 如果您想现在就配置这些网络服务，请选择 &gui.yes;， 然后会看到下面的信息： User Confirmation Requested The Internet Super Server (inetd) allows a number of simple Internet services to be enabled, including finger, ftp and telnetd. Enabling these services may increase risk of security problems by increasing the exposure of your system. With this in mind, do you wish to enable inetd? [ Yes ] No 选择 &gui.yes; 继续。 User Confirmation Requested inetd(8) relies on its configuration file, /etc/inetd.conf, to determine which of its Internet services will be available. The default FreeBSD inetd.conf(5) leaves all services disabled by default, so they must be specifically enabled in the configuration file before they will function, even once inetd(8) is enabled. Note that services for IPv6 must be separately enabled from IPv4 services. Select [Yes] now to invoke an editor on /etc/inetd.conf, or [No] to use the current settings. [ Yes ] No 选择 &gui.yes; 将允许您添加网络服务 (或将相应网络服务每行开头的 # 除掉即可。)
编辑 <filename>inetd.conf</filename>配置文件
在加入您想启用的服务后，按下 Esc键会出现一个 对话框可以让您离开以及保存修改。 + + 启用 SSH 登录 + + + SSH + sshd + + + User Confirmation Requested + Would you like to enable SSH login? + Yes [ No ] + + 选择 &gui.yes; 便会启用 &man.sshd.8;， + 也就是 OpenSSH 服务程序。 + 它能够让您以安全的方式从远程访问机器。 如欲了解关于 + OpenSSH 的进一步详情， 请参见 。 + + 匿名 FTP FTP anonymous User Confirmation Requested Do you want to have anonymous FTP access to this machine? Yes [ No ] 不允许匿名 FTP访问 选择默认的 &gui.no; 并按下 Enter 键将仍然可以让在这台机器上有账号的用户访问 FTP。 允许匿名 FTP访问 如果您选择允许匿名 FTP 存取，那么网络中任何人都可以使用FTP来访问您 的机器。在启用匿名访问之前应该考虑网络的安全问题。如果要知道更多有关网络 安全的信息，请参阅 。 - 要启用FTP匿名访问，用方向键选择 &gui.yes; - 然后按 Enter键。您会看到下面（或类似）的画面： + 要启用FTP匿名访问，用方向键选择 + &gui.yes; 并按 Enter键。 + 系统会给出进一步的确认信息： + + User Confirmation Requested + Anonymous FTP permits un-authenticated users to connect to the system + FTP server, if FTP service is enabled. Anonymous users are + restricted to a specific subset of the file system, and the default + configuration provides a drop-box incoming directory to which uploads + are permitted. You must separately enable both inetd(8), and enable + ftpd(8) in inetd.conf(5) for FTP services to be available. If you + did not do so earlier, you will have the opportunity to enable inetd(8) + again later. + + If you want the server to be read-only you should leave the upload + directory option empty and add the -r command-line option to ftpd(8) + in inetd.conf(5) + + Do you wish to continue configuring anonymous FTP? + + [ Yes ] No + + 这些信息会告诉您 FTP 服务还需要在 /etc/inetd.conf + 中启用。 假如您希望允许匿名 FTP 连接， 请参见 。 选择 &gui.yes; 并按 + Enter 继续； 系统将给出下列信息：
默认的匿名 FTP 配置
- 按 F1 键可以查看在线帮助文档： + 使用 Tab 在不同的信息字段之间切换， + 并填写必要的信息： - This screen allows you to configure the anonymous FTP user. + + + UID -The following configuration values are editable: + + 用于分配给匿名 + FTP 用户的用户 ID。 所有上传的文件的属主都将是这个 + ID。 + + -UID: The user ID you wish to assign to the anonymous FTP user. - All files uploaded will be owned by this ID. + + Group -Group: Which group you wish the anonymous FTP user to be in. + + 匿名 FTP 用户所在的组。 + + -Comment: String describing this user in /etc/passwd + + Comment + + 用于在 + /etc/passwd 中描述该用户的说明性信息。 + + -FTP Root Directory: + + FTP Root Directory - Where files available for anonymous FTP will be kept. + + 可供匿名 FTP 用户使用的文件所在的根目录。 + + -Upload subdirectory: + + Upload Subdirectory - Where files uploaded by anonymous FTP users will go. + + 匿名 FTP 用户上传的文件的存放位置。 + + + - 默认的FTP根目录将放在 /var目录下。如果您 - 的/var目录空间不足以应付您的FTP需求，您可以将FTP的根目录改为 - /usr 目录下的 /usr/ftp - 目录。 + 默认的 FTP 根目录将放在 /var 目录下。 + 如果您的 /var 目录空间不足以应付您的FTP需求， + 您可以将FTP的根目录改为 /usr 目录下的 + /usr/ftp 目录。 当您对一切配置都满意后，请按 Enter 键继续。 User Confirmation Requested Create a welcome message file for anonymous FTP users? [ Yes ] No 如果您选择 &gui.yes; 并按下 Enter键，系统会自动打开文本编辑器让您编辑FTP的欢迎信息。
编辑FTP欢迎信息
此文本编辑器叫做 ee。按照指示修改信息文本或是 稍后再用您喜爱的文本编辑器来修改。请记住画面下方显示的文件位置。 按 Esc 将弹出一个默认为 a) leave editor的对话框。按 Enter 退出并继续。再次按 Enter 将保存修改。 配置网络文件系统 网络文件系统 (NFS) 可以让您可以在网络上共享您的文件。一台机器可以 配置成NFS服务器、客户端或两者并存。请参考 以获得更多的信息。 NFS 服务器 User Confirmation Requested Do you want to configure this machine as an NFS server? Yes [ No ] 如果您不想安装网络文件系统，请选择 &gui.no; 然后按 Enter键。 如果您选择 &gui.yes; 将会出现一个对话框提醒您 必须先建立一个 exports 文件。 Message Operating as an NFS server means that you must first configure an /etc/exports file to indicate which hosts are allowed certain kinds of access to your local filesystems. Press [Enter] now to invoke an editor on /etc/exports [ OK ] 按 Enter 键继续。系统会启动文本编辑器让您编辑 exports 文件。
编辑 <filename>exports</filename>文件
按照指示加入真实输出的文件目录或是稍后用您喜爱的编辑器自行编辑。 请记下画面下方显示的文件名称及位置。 按下 Esc 键会出现一具对话框，默认选项是 a) leave editor。按下 Enter 离开并继续。 NFS 客户端 NFS 客户端允许您的机器访问NFS服务器。 User Confirmation Requested Do you want to configure this machine as an NFS client? Yes [ No ] 按照您的需要，选择 &gui.yes; 或 &gui.no; 然后按 Enter。 配置系统终端 系统提供了几个选项可以让您配置终端的表现方式。 User Confirmation Requested Would you like to customize your system console settings? [ Yes ] No 要查阅及配置这些选项，请选择 &gui.yes; 并按Enter。
系统终端配置选项
最常用的选项就是屏幕保护程序了。使用方向键将光标移动到 Saver 然后按Enter。
屏幕保护程序选项
选择您想使用的屏幕保护程序，然后按 Enter。 之后回到系统终端配置画面。 默认开启屏幕保护程序的时间是300秒。如果要更改此时间，请再次选择 Saver 。然后选择 Timeout 并按 Enter键。系统会弹出一个对话框如下：
屏幕保护时间设置
您可以直接改变这个值，然后选 &gui.ok;并按 Enter 键回到系统终端配置画面。
退出系统终端配置
选择 Exit 然后按下 Enter 键会回到安装后的配置画面。 配置时区 配置您机器的时区可以让系统自动校正任何区域时间的变更并且在执行 一些跟时区相关的程序时不会出错。 例子中假设此台机器位于美国东部的时区。请参考您所在的地理位置来配置。 User Confirmation Requested Would you like to set this machine's time zone now? [ Yes ] No 选择 &gui.yes; 并按下 Enter键以配置时区。 User Confirmation Requested Is this machine's CMOS clock set to UTC? If it is set to local time or you don't know, please choose NO here! Yes [ No ] 这里按照您机器时间的配置，选择 &gui.yes; 或 &gui.no; 然后按 Enter。
选择您所处的地理区域
请选择适当的区域然后按 Enter。
选择您所在的国家
选择您所在的国家然后按 Enter。
选择您所在的时区
选择您所在的时区然后按 Enter。 Confirmation Does the abbreviation 'EDT' look reasonable? [ Yes ] No 检查一下时区的缩写是否正确，如果没错，请按 Enter 返回系统安装后的配置画面。 Linux 兼容性 User Confirmation Requested Would you like to enable Linux binary compatibility? [ Yes ] No 选择 &gui.yes; 并按下Enter 键，将允许您在FreeBSD中执行Linux的软件。安装程序会安装一些为了跟Linux 兼容的软件包。 如果您是通过FTP安装，那么您必须连到网络上。有时候FTP站并不会包含 所有的安装软件包（例如Linux兼容软件包）；不过，稍后您还可以再安装这个 项目。 配置鼠标 此选项可以让您在终端上使用三键鼠标剪贴文字。如果您用的鼠标是两个 按钮，请参考手册 &man.moused.8;；以取得有关模拟三键鼠标的信息。范例中 使用的鼠标不是USB接口。（例如ps/2或com接口的鼠标）： - User Confirmation Requested - Does this system have a non-USB mouse attached to it? + User Confirmation Requested + Does this system have a PS/2, serial, or bus mouse? [ Yes ] No - 如果您使用的不是USB鼠标，请选择 &gui.yes; ； - 否则请选择 &gui.no; 。然后按Enter。 + 如果您使用的是 PS/2、 串口或 Bus 鼠标，请选择 &gui.yes;， + 如果是 USB 鼠标， 则应选择 + &gui.no; 并按 + Enter。
选择鼠标类型
使用方向键选择 Type 然后按 Enter。
设置鼠标协议
在这个例子中使用的类型是ps/2鼠标，所以可以使用默认的 Auto（自动） 。 您可以用方向键选择合适的项目， 确定选择了 &gui.ok; 后按 Enter 键离开此画面。
配置鼠标端口
选择 Port 然后按 Enter。
配置鼠标端口
假设这台机器用的是ps/2鼠标，您可以采用默认的 PS/2 选项。请选择适当的项目然后按 Enter。
启动鼠标服务进程
选择Enable然后按 Enter 来启动和测试鼠标。
测试鼠标功能
鼠标指针可以在屏幕上移动，指明鼠标服务已经正常启用。那么请选择 &gui.yes; 按 Enter键。否则鼠标没 有配置成功 — 选择 &gui.no; 并尝试不同的配置 选项。 选择 Exit 并按 Enter 退回到系统安装完成后的配置画面。 - - - - - Tom - Rhodes - Contributed by - - - - 配置其他网络服务 - - 配置网络服务总是让那些新手敬畏，因为他们缺乏在这个领域应有的基础知识。 - 网络，包括因特网有许多关于现代操作系统包括 &os; 的评论文章。这些文章对于 - 理解&os;拥有的广泛的网络性能是非常有帮助的。在安装这些服务的过程中也能让 - 用户理解他们可用的各种服务。 - - 网络服务是一些可以使在网络的任何人来访问您提供的服务的程序。有许多 - 努力想使这些程序不会有任何的 伤害。不幸的是，这些程序并 - 不是十全十美的，黑客可能会掌握程序中的一些漏洞来进行攻击。只启用一些您 - 熟悉的和需要的服务十分重要。如果您存在一些疑虑或没有启用这些服务的必要， - 那么最好不要使用这些服务。您可以事后通过运行 - sysinstall 程序或使用 - /etc/rc.conf 配置文件来启用它们。 - - 选择 Networking 选项将下显示一个类似下面的菜单： - -
- 网络配置之上层配置 - - - - - - -
- - 第一个选项，Interfaces， - 已经在前面 中讨论过，因此这里可以略过。 - - 选择 AMD 选项，添加 BSD - 对自动挂接程序的支持。这个程序和NFS 协议一起使用 - 不需要经过特别的设置就可以自动挂接远程文件系统。 - - 下一行是 AMD Flags 的参数选项。当您选择后，会弹出一个 - 子菜单来让您选择 AMD 的参数。菜单中包含一系列的选项： - - -a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map - - 选项用来设置默认的挂接位置，这里使用的是 - /.amd_mnt目录。 - 指定默认的 日志 文件；但是，当 - syslogd 被指定用来接收所有的日志时，那么它们会被送到 - 系统日志程序。/host 被用来挂接远程 - 主机输出的一个文件系统，例子中/net - 目录被用来挂接从IP输出的一个文件系统。 - /etc/amd.map 文件定义了 AMD 的默认 - 输出选项。 - - - FTP - anonymous - - - Anon FTP 允许匿名 FTP 访问。 - 选中这个选项，可以使这台机器成为一台匿名 FTP 服务器。 - 要注意启用这个选项的安全风险。其它的菜单将说明一些安全问题和更深入的配置。 - - Gateway 配置菜单可以使本机器成为一台以前我们提到过 - 的网关。如果您在安装过程中偶尔选中了它，也可以在这里选中这个选项来取消。 - - Inetd 选项用来配置或完全禁止我们在上面讨论的 - &man.inetd.8; 守护程序。 - - Mail 可以用来配置系统默认的 MTA - 或邮件传输代理。选择这个选项将了出现下面的菜单： - -
- 选择默认的 MTA - - - - - - -
- - 这里给您提供了一个安装默认MTA 的机会。 - MTA 用来投递本系统上用户邮件到因特网去。 - - 选择 Sendmail 将会安装 &os;默认的 - 流行的的 sendmail 服务程序。 - Sendmail local 选项用来设置 sendmail - 默认的 MTA，也可以禁止它从Internet接收邮件的能力。 - 还有其它的一些选项如： - Postfix 和 - Exim 都类似于 - Sendmail 的角色。它们两者也可以投递邮件； - 有些用户更喜欢选择使用 Sendmail、 - MTA 二者之一。 - - 选择 MTA或不选择它之后，网络配置菜单的下一 - 个选项是 NFS client 客户端程序。 - - NFS client 客户端可以使系统通过 NFS - 与服务器进行通信。 - NFS 服务器通过 NFS - 协议可以使其它在网络上的机器来访问自己的文件系统。如果这台机器要作为一台 - 独立的服务器，这个选项可以保留不选。下面可能还有更多的配置，关于客户端和 - 服务器的配置请参阅 一节。 - - 接下来的 NFS 服务器选项，可以允许您把系统设备成 - 为一台NFS 服务器。这需要更多的信息来启动远程过程调 - 用（RPC）服务。 RPC - 用来连接调用两台机器上的程序。 - - 下一项是 Ntpdate 选项，处理时间同步。当选择它后， - 会出现一个像下面所似的菜单： - -
- Ntpdate 配置 - - - - - - -
- - 从这个菜单选择一个离您最近的服务器。在您连接这台服务器时，除去 - 连接时的反应时间，时间同步最精确的服务器。 - - 下一个选项是 PCNFSD。 这个选项将安装第三方软件包 - net/pcnfsd。 它可以用来为无法自行提供 - NFS 认证服务的操作系统， 如微软的 &ms-dos; 提供服务。 - - 滚屏到下一页看一下其它选项： - -
- 网络配置之下层配置 - - - - - - -
- - &man.rpcbind.8;， &man.rpc.statd.8; 和 &man.rpc.lockd.8; - 这三个程序是用来提供远程过程调用 (RPC) 服务的。 - rpcbind 程序管理 NFS - 服务器和客户端的通信， 这是 NFS 正确工作的必要前提。 - rpc.statd 程序可以和其它主机上 - rpc.statd 程序交互， 以提供的状态监控。 - 这些状态报告默认情况下会保存到 - /var/db/statd.status 文件中。 最后的一项是 - rpc.lockd 选项， 如果启用， - 则将提供文件上锁服务。 通常将它和 rpc.statd - 联用， 以监视哪些主机会请求对文件执行上锁操作， 以及这种操作的频繁程度。 - 尽管后两项功能对于调试非常有用， 但它们并不是 - NFS 服务器和客户端正常运行所必需的。 - - 下一个项目是Routed，这是一个路由程序。 - &man.routed.8; 程序管理网络路由表，发现多播路由， - 并且支持在网络上与它物理相连的主机来复制它的路由表的请求。 - 它被广泛地应用在本地网络中并扮演着网关的角色。 - 当选择它后，一个子菜单会来询问您这个程序的默认位置。 - 默认的位置已经被定义过， 您可以选择 Enter 键， - 也可以按下其它的键。 这时会出来另一个菜单来询问您传递给 routed程序的参数。 - 默认的是 参数。 - - 接下来是 Rwhod 选项，选中它会启用 &man.rwhod.8; 程序 - 在系统初时化的时候。 rwhod程序通过网络周期性的广播系统 - 信息或以客户的身份来收集这些信息。更多的信息可以查看 - &man.ruptime.1; 和&man.rwho.1; 手册页。 - - 倒数第二个选项是&man.sshd.8; 程序。它可以通过使用 - OpenSSH 来提供安全的shell服务， - 我们推荐通过使用它来使用 telnet 和 - FTP 服务。 sshd - 服务通过使用加密技术来创建从一台机器到另一台机器的安全连接。 - - 最后有一个 TCP 扩展选项。这可以用来扩展在 - RFC 1323 和 RFC 1644 - 里定义的TCP 功能。当许多主机以高速连接本机时，可 - 能会引起某些连接被丢弃。我们不推荐使用这个选项，但是当使用独立的主机 - 时可以从它上面得到一些好处。 - - 现在您已经配置完成了网络服务，您可以滚动屏幕到顶部选择 Exit - 项，退出进入下一个配置部分。 - - - - - 配置 X Server - - - 在安装完 &os; - 之后才能够配置 X 服务。 关于安装和配置 X 服务的进一步细节可以在 找到。 - - - 要使用诸如 - KDE、 GNOME， - 以及其他一些图形界面， 则需要配置 X 服务器。 - - - 安装软件包 + 安装预编译的软件包 (package) - 这些软件包已经被预编译成二进制程序了，安装软件有一个很简单的方法。 + Package 是事先编译好的二进制文件， 因此， 这是安装软件的一种便捷的方式。 - 前面已经介绍了如何安装一个软件包的例子。 - 如果需要的话， 在安装结束之后， 仍然可以使用 - sysinstall - 来安装其他软件包。 + 在这里作为例子我们将给出安装一个 package 所需的过程。 + 如果需要， 还可以在这一阶段加入其他 package。 安装完成之后， + sysinstall 依然可以用来安装其他 + package。 User Confirmation Requested The FreeBSD package collection is a collection of hundreds of ready-to-run applications, from text editors to games to WEB servers - and more. Would you like to browse the collection now? + and more. Would you like to browse the collection now? [ Yes ] No - 选择 &gui.yes; 按Enter - 将会显示软件包选择屏幕。 + 选择 &gui.yes; 并按 + Enter 将进入 package 选择界面：
- 选择软件所的种类 + 选择 Package 类别
- 在任何时候只有安装介质上有的软件包才能被安装进系统。 + 在任何时候， 只有当前安装介质上存在的 package 才可以安装。 - 如果选择All 那么所有的软件包将会被显示，您也 - 可以选择一个特殊的分类。使用箭头进行选择，然后键入 Enter。 + 如果选择了 + All 或某个特定的分类， + 则系统会列出全部可用的 package。 用光标键移动光棒选中需要的 package， + 并按 Enter。 - 一个菜单将会显示这个分类中可用的所有软件包。 + 系统会显示可供选择的 package：
- 选择软件包 + 选择 Package
- bash shell 被选中了。通过在加亮的软件 - 上键入Space 键，来选择您想要的软件所。每个选择的软件 - 包的简短描述都会显示在屏幕左下脚。 + 如图所示， 我们选择了 bash shell。 + 您可以根据需要使用 + Space 键来勾选选定的 package。 + 在屏幕左下角会给出 package 的简短说明。 - 按 Tab 键选择 &gui.ok;或 &gui.cancel;。 + 反复按下 Tab 键， + 可以在最后选中的 package、 &gui.ok; 和 &gui.cancel; 之间来回切换。 - 当您完成了安装标记之后，键入 Tab 键选择 &gui.ok; - 然后键入Enter 返回软件包选择菜单。 + 当您把需要的 package 都标记为安装之后， + 按一下 Tab 切换到 &gui.ok;， 随后按下 + Enter 就可以回到 package 选择菜单了。 - 左右箭头键也可以用来选择 &gui.ok;和 &gui.cancel;。用这种方法也可以 - 用 &gui.ok; 然后按 Enter 来返回软件包选择菜单。 + 左右方向键可以用于在 &gui.ok; + 和 &gui.cancel; 之间进行切换。 这种方法也可以用来选择 &gui.ok;， + 随后按下 Enter 也可以回到 package 选择菜单。
- 安装软件包 + 安装预编译软件包
- 使用 Tab 和箭头键来选择 [ Install ] - 然后键入 Enter。您接着需要确定您要安装的软件包。 + 使用 Tab 和左右方向键选择 [ Install ] + 并按 Enter。 接下来需要确认将要安装的预编译包：
- 确认安装的软件包 + 确认将要安装的预编译包
- 选择 &gui.ok; 然后键入Enter 键将开始软件的安装， - 安装信息将会不断地出现。如果有一些错误信息，请作好记录。 + 选择 &gui.ok; 并按下 Enter 就可以开始预编译包的安装了。 + 在这个过程中您会看到安装的相关信息， 直到安装完成为止。 + 请留意观察是否有错误信息出现。 - 安装完成之后，继续最后的配置。如果您不想安装任何软件包并退回到 - 最终配置屏幕，请选择 Install 。 + 在完成预编译包的安装之后， 就进入了最后的配置阶段。 + 如果您没有选择任何预编译包， 并希望直接进入最后的配置阶段， 则可以选择 + Install 来跳过。 - 添加用户/组 + 添加用户和组 - 您至少要在安装过程中添加一个用户，以便于您能不用 root - 来登录使用系统。根分区通常比较小，用 root 来运行应用程序 - 可能会快一点。但这样会有一些危险： + 在安装系统的过程中， 您应添加至少一个用户， 以避免直接以 + root 用户的身份登录。 用以保存其用户数据的根分区通常很小， + 因此用 root 身份运行程序可能将其迅速填满。 + 下面的提示信息介绍了这样做可能带来的更大隐患： User Confirmation Requested Would you like to add any initial user accounts to the system? Adding at least one account for yourself at this stage is suggested since working as the "root" user is dangerous (it is easy to do things which - adversely affect the entire system). + adversely affect the entire system). [ Yes ] No - 选择 &gui.yes; 然后键入 Enter 继续添加用户。 + 选择 &gui.yes; 并按 + Enter 即可开始创建用户的过程。
选择用户
用箭头键来选择 User 然后按 Enter。
添加用户信息
下面的描述信息会出现在屏幕的下方，可以使用 Tab 键来切换不同的项目，以便输入相关信息： Login ID 新用户的登录名（强制性必须写） UID 这个用户的ID编号（如果不写，系统自动添加） Group 这个用户的登录组名（如果不写，系统自动添加） Password 这个用户的密码（键入这个需要很仔细！） Full name 用户的全名（解释、备注） Member groups 这个用户所在的组 Home directory 用户的主目录（如果不写，系统自动添加） Login shell 用户登录的shell（默认是/bin/sh）。 你可以将登录 shell 由 /bin/sh 改为 /usr/local/bin/bash， 以便使用事先以 package 形式安装的 bash shell。 不要使用一个不存在的或您不能登录的shell。最通用的shell是使用 BSD-world 的 C shell，可以通过指定/bin/tcsh来修改。 用户也可以被添加到 wheel 组中成了一个超级用户， 从而拥有 root权限。 当您感觉满意时，键入 &gui.ok; 键，用户和组管理菜单将会重新出现。
退出用户和组管理
如果有其他的需要， 此时还可以添加其他的组。 此外， 还可以通过 sysinstall (在 &os; 5.2 以前的版本中是 /stand/sysinstall) 在安装完成之后添加它们。 当您完成添加用户的时候，选择Exit 然后键入Enter 继续下面的安装。 设置 <username>root</username> 密码 Message Now you must set the system manager's password. This is the password you'll use to log in as "root". [ OK ] [ Press enter or space ] 键入 Enter 来设置 root 密码。 密码必须正确地输入两次。 毋庸讳言， 您需要选择一个不容易忘记的口令。 请注意您输入的口令不会回显， 也不会显示星号。 New password: Retype new password : 密码成功键入后，安装将继续。 退出安装 - 如果您需要设置其他的网络设备， 或者需要完成其他的配置， + 如果您需要设置 其他网络设备， + 或需要完成其他的配置工作， 可以在此时或者事后通过 sysinstall (对于 &os; 5.2 之前的版本是 /stand/sysinstall) 来进行配置。 User Confirmation Requested Visit the general configuration menu for a chance to set any last options? Yes [ No ] 选择 &gui.no; 然后键入 Enter 返回到主安装菜单。
退出安装
选择 [X Exit Install] 然后键入 Enter。您可能需要确认是否真的退出安装： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies/CDs/DVDs from the drives). [ Yes ] No 选择 &gui.yes; 取出软盘。CDROM驱动器将被锁定， 直到机器重新启动。CDROM然后就可以从驱动器中取出来了。 - 在系统重新启动的时候可能会见到出错信息。 + 此后系统将重新启动， 因此请留意是否会出现一些错误信息。 + 进一步的细节， 请参见 。 + + + + + + + Tom + Rhodes + 原作 + + + + 配置其他网络服务 + + 如果之前缺少这一领域的经验， 那么配置网络服务对于新手而言， + 很可能会是一件很有挑战的事情。 网络， 包括 Internet， + 对于包括 &os; 在内的所有现代操作系统而言都至关重要。 因此， 首先对 + &os; 提供的丰富的网络性能加以了解会很有帮助。 在安装过程中了解这些知识， + 能够确保用户更好地理解他们可以用到的各种服务。 + + 网络服务是一些可以接收来自网络上任何地方的人所提交的输入信息的程序。 + 人们一直都在努力确保这些程序不会做任何 有害的 事情。 + 不幸的是， 程序员们并不是十全十美的完人， 因此， 网络服务程序中的漏洞， + 便有可能被攻击者利用来做一些坏事。 因而， 只启用那些您知道自己需要的服务就很重要了。 + 如果存在疑问， 那么就最好不要在您发现需要它之前启动任何网络服务。 + 您可以事后通过再次运行 sysinstall 或直接手工配置 + /etc/rc.conf 来随时启用这些服务。 + + 选择 Networking 选项将下显示一个类似下面的菜单： + +
+ 网络配置之上层配置 + + + + + + +
+ + 第一个选项， Interfaces， + 已经在前面的 中做过配置， + 因此现在可以略过它。 + + 选择 AMD 选项， + 将添加对于 BSD 自动挂接程序的支持。 这个程序通常会和 + NFS 协议 (详情参见下文) 配合使用， + 以便自动挂载远程文件系统。 启用它不需要在此时进行特殊的额外配置。 + + 下一行是 AMD Flags 的参数选项。 + 选择它之后，会弹出一个让您选择 AMD 参数的子菜单。 + 菜单中包含一系列的选项： + + -a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map + + 选项用来设置默认的挂接位置， 这里使用的是 + /.amd_mnt目录。 + 指定默认的 日志 文件； 但是，当使用 + syslogd 时， 所有在日之中记录的活动， 都会发送到系统日志服务去。 + /host 用来挂接远程主机上输出的文件系统， + 而 /net 目录则用来挂接从特定 + IP 地址输出的文件系统。 + /etc/amd.map 文件定义了用于 AMD + 的默认输出选项。 + + + FTP + anonymous (匿名) + + + Anon FTP 允许匿名 + FTP 访问。 选中这个选项， + 可以使这台机器成为一台匿名 FTP 服务器。 + 要注意启用这个选项的安全风险。 + 系统将使用另外的菜单来说明安全风险和进一步的配置。 + + Gateway 选项可以使将本机配置成为一台以前我们介绍过的网关。 + 如果您在安装过程中不小心选中了 Gateway， + 也可以在这里用这个选项来取消。 + + Inetd 选项用来配置或完全禁用前面讨论过的 + &man.inetd.8; 服务程序。 + + Mail 用来配置系统默认的 MTA + 或邮件传输代理。 选择这个选项将出现下面的菜单： + +
+ 选择默认的 MTA + + + + + + +
+ + 这里给您提供了一个安装MTA 并将其配置为默认值的机会。 + MTA 是一种能够将邮件头递给本系统或互联网上的用户的邮件服务。 + + 选择 Sendmail 将会安装十分流行的 + sendmail 服务， 这也是 &os; 的默认配置。 + Sendmail local 选项表示将 sendmail 设为默认的 + MTA， 但禁止其从 Internet 上接收邮件的能力。 此外还有一些其他选项， + Postfix 和 + Exim 与 + Sendmail 的功能类似。 它们两者也可以投递邮件； + 不过， 有些用户会喜欢使用它们代替 + sendmail + MTA。 + + 选择 MTA 或决定不挑选 MTA 之后， + 网络配置菜单的下一项将是 NFS client。 + + NFS client 客户端可以使系统通过 + NFS 与服务器进行通信。 + NFS 服务器通过 NFS + 协议可以使其它在网络上的机器来访问自己的文件系统。 + 如果这台机器要作为一台独立的服务器，这个选项可以保留不选。 + 如果启用它， 您在之后还需要进行更多的其他配置； 请参见 + 以了解关于配置客户机和服务器的进一步详情。 + + 接下来的 NFS server + 选项， 可以让您将本机系统配置为 + NFS 服务器。 这会自动将启动 RPC + 远程过程调用的信息写入配置文件。 RPC + 是一种在多个主机和程序之间进行连接组织的机制。 + + 下一项是 Ntpdate 选项， + 它能够处理时间同步。 当选择它后， + 会出现一个像下面所似的菜单： + +
+ Ntpdate 配置 + + + + + + +
+ + 从这个菜单选择一个离您最近的服务器。 选择较近的服务器， + 有助于提高时间同步的精度， 因为较远的服务器的连接延迟可能会比较大。 + + 下一个选项是 PCNFSD。 这个选项将安装第三方软件包 + net/pcnfsd。 它可以用来为无法自行提供 + NFS 认证服务的操作系统， 如微软的 &ms-dos; 提供服务。 + + 滚屏到下一页看一下其它选项： + +
+ 网络配置之下层配置 + + + + + + +
+ + &man.rpcbind.8;， &man.rpc.statd.8; 和 + &man.rpc.lockd.8; 这三个程序是用来提供远程过程调用 (RPC) 服务的。 + rpcbind 程序管理 NFS + 服务器和客户端的通信， 这是 NFS 正确工作的必要前提。 + rpc.statd 程序可以和其它主机上 + rpc.statd 程序交互， 以提供的状态监控。 + 这些状态报告默认情况下会保存到 + /var/db/statd.status 文件中。 最后的一项是 + rpc.lockd 选项， 如果启用， + 则将提供文件上锁服务。 通常将它和 rpc.statd + 联用， 以监视哪些主机会请求对文件执行上锁操作， 以及这种操作的频繁程度。 + 尽管后两项功能对于调试非常有用， 但它们并不是 + NFS 服务器和客户端正常运行所必需的。 + + 下一个项目是Routed，这是一个路由程序。 + &man.routed.8; 程序管理网络路由表，发现多播路由， + 并且支持在网络上与它物理相连的主机来复制它的路由表的请求。 + 它被广泛地应用在本地网络中并扮演着网关的角色。 + 当选择它后，一个子菜单会来询问您这个程序的默认位置。 + 默认的位置已经被定义过， 您可以选择 Enter 键， + 也可以按下其它的键。 这时会出来另一个菜单来询问您传递给 routed程序的参数。 + 默认的是 参数。 + + 接下来是 Rwhod 选项，选中它会启用 &man.rwhod.8; 程序 + 在系统初时化的时候。 rwhod程序通过网络周期性的广播系统 + 信息或以客户的身份来收集这些信息。更多的信息可以查看 + &man.ruptime.1; 和&man.rwho.1; 手册页。 + + 倒数第二个选项是&man.sshd.8; 程序。它可以通过使用 + OpenSSH 来提供安全的shell服务， + 我们推荐通过使用它来使用 telnet 和 + FTP 服务。 sshd + 服务通过使用加密技术来创建从一台机器到另一台机器的安全连接。 + + 最后有一个 TCP 扩展选项。这可以用来扩展在 + RFC 1323 和 RFC 1644 + 里定义的TCP 功能。当许多主机以高速连接本机时，可 + 能会引起某些连接被丢弃。我们不推荐使用这个选项，但是当使用独立的主机 + 时可以从它上面得到一些好处。 + + 现在您已经配置完成了网络服务，您可以滚动屏幕到顶部选择 Exit + 项，退出进入下一个配置部分。 + + 现在您已经配置完成了网络服务，您可以滚动屏幕到顶部选择 X Exit + 项， 退出进入下一个配置部分， 或简单地选择两次 + X Exit 之后选择 [X + Exit Install] 来退出 + sysinstall。 + - FreeBSD的启动 + &os; 的启动过程 - FreeBSD 在 &i386;上启动 + &os;/&arch.i386; 的启动过程 如果启动正常，您将看到在屏幕上有很多信息滚动，最后您会看到登录命令行。 您可以通过键入 Scroll-Lock和使用 PgUp 与 PgDn来查看信息，再键入 Scroll-Lock 回到命令行。 记录信息可能不会显示（缓冲区的限制）。您可以通过键入 dmesg 来查看。 使用您在安装过程中设置的用户名/密码来登录。（例子中使用 rpratt）。除非必须的时候请不要用 root 用户登录。 典型的启动信息：（忽略版本信息） Copyright (c) 1992-2002 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. Timecounter "i8254" frequency 1193182 Hz CPU: AMD-K6(tm) 3D processor (300.68-MHz 586-class CPU) Origin = "AuthenticAMD" Id = 0x580 Stepping = 0 Features=0x8001bf<FPU,VME,DE,PSE,TSC,MSR,MCE,CX8,MMX> AMD Features=0x80000800<SYSCALL,3DNow!> real memory = 268435456 (262144K bytes) config> di sn0 config> di lnc0 config> di le0 config> di ie0 config> di fe0 config> di cs0 config> di bt0 config> di aic0 config> di aha0 config> di adv0 config> q avail memory = 256311296 (250304K bytes) Preloaded elf kernel "kernel" at 0xc0491000. Preloaded userconfig_script "/boot/kernel.conf" at 0xc049109c. md0: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1: <VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <ISA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0: <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci0 usb0: <VIA 83C572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr 1 uhub0: 2 ports with 2 removable, self powered chip1: <VIA 82C586B ACPI interface> at device 7.3 on pci0 ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xe800-0xe81f irq 9 at device 10.0 on pci0 ed0: address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq 2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <keyboard controller (i8042)> at port 0x60-0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq 1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/2 mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x1 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 ppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold ppbus0: IEEE1284 device found /NIBBLE Probing for PnP devices on ppbus0: plip0: <PLIP network interface> on ppbus0 lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port ppi0: <Parallel I/O> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master using UDMA33 ad2: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata1-master using UDMA33 acd0: CDROM <DELTA OTC-H101/ST3 F/W by OIPD> at ata0-slave using PIO4 Mounting root from ufs:/dev/ad0s1a swapon: adding /dev/ad0s1b as swap device Automatic boot in progress... /dev/ad0s1a: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1a: clean, 48752 free (552 frags, 6025 blocks, 0.9% fragmentation) /dev/ad0s1f: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1f: clean, 128997 free (21 frags, 16122 blocks, 0.0% fragmentation) /dev/ad0s1g: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1g: clean, 3036299 free (43175 frags, 374073 blocks, 1.3% fragmentation) /dev/ad0s1e: filesystem CLEAN; SKIPPING CHECKS /dev/ad0s1e: clean, 128193 free (17 frags, 16022 blocks, 0.0% fragmentation) Doing initial network setup: hostname. ed0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::5054::5ff::fede:731b%ed0 prefixlen 64 tentative scopeid 0x1 ether 52:54:05:de:73:1b lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x8 inet6 ::1 prefixlen 128 inet 127.0.0.1 netmask 0xff000000 Additional routing options: IP gateway=YES TCP keepalive=YES routing daemons:. additional daemons: syslogd. Doing additional network setup:. Starting final network daemons: creating ssh RSA host key Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: cd:76:89:16:69:0e:d0:6e:f8:66:d0:07:26:3c:7e:2d root@k6-2.example.com creating ssh DSA host key Generating public/private dsa key pair. Your identification has been saved in /etc/ssh/ssh_host_dsa_key. Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub. The key fingerprint is: f9:a1:a9:47:c4:ad:f9:8d:52:b8:b8:ff:8c:ad:2d:e6 root@k6-2.example.com. setting ELF ldconfig path: /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout starting standard daemons: inetd cron sshd usbd sendmail. Initial rc.i386 initialization:. rc.i386 configuring syscons: blank_time screensaver moused. Additional ABI support: linux. Local package initialization:. Additional TCP options:. FreeBSD/i386 (k6-2.example.com) (ttyv0) login: rpratt Password: 生成 RSA 和 DSA密钥在比较慢的机器上可能要花很长时间。这只是一个 新安装后的首次启动，以后的启动会变得更快一点。 如果已经完成 X 服务器的配置， 且指定了默认的桌面窗口管理器， 就可以在命令行键入 startx 来启动它了。 - FreeBSD 在 Alpha机器上启动 + &os;/&arch.alpha; 的启动过程 Alpha 一旦安装完成，您就可以键入下面的命令来启动FreeBSD： >>>BOOT DKC0 这是从指定的固定硬件进行引导。如果要使 FreeBSD 下次能够自动启动， 使用下面的命令： >>> SET BOOT_OSFLAGS A >>> SET BOOT_FILE '' >>> SET BOOTDEF_DEV DKC0 >>> SET AUTO_ACTION BOOT 启动信息跟启动 &i386;机器时差不多。（但不完全一样） FreeBSD 关机 正确的关闭操作系统是很重要的。不要仅仅关闭电源。首先，您需要成为一个超 级用户，通过键入 su 命令来实现。然后输入 root 密码。这需要用户是 wheel 组的一名成员。然后，以root键入 shutdown -h now命令。 The operating system has halted. Please press any key to reboot. 当shutdown命令发出后，屏幕上出现 Please press any key to reboot 信息时，您就可以安全的关闭计算机了。如果按下任意一个键，计算机将重新启动。 您也能够使用 Ctrl Alt Del 组合键来重新启动计算机，但是不推荐使用这个操作。 常见问题 安装 常见问题 下面将介绍一些在安装过程中常见的问题，像如何报告发生的问题，如何 双重启动 FreeBSD 和 &ms-dos; 或 &windows;。 当您遇到错误时，应该怎么做？ 由于 PC 结构的限制， 硬件检测不可能 100% 地可靠， 但是有些问题是您可以自己解决的。 首先检查一下您使用的 &os; 版本的 硬件兼容说明 文档看看您使用的是否是被支持的硬件。 如果您使用的硬件是系统支持的， 但仍然遇到了死机或其他问题， 则需要联编 定制的内核。 这能够支持默认的 GENERIC 内核所不支持的设备。 在引导盘上的内核假定绝大多数的硬件， 均为按出厂设置的方式配置了 IRQ、 IO 地址和 DMA 通道。 如果您的硬件重新进行了配置， 则可能需要编辑内核配置， 并重新编译内核， 以便告诉 &os; 到哪里去查找设备。 除此之外， 也可能遇到这种情况吗， 即探测某种并不存在的设备时， 会干扰到其他设备的检测并使其失败。 这种情况吗下应禁止驱动程序检测可能导致冲突的设备。 有些安装问题可以借助更新硬件的程序来解决，特别是主板的 BIOS 。大部分的主板制造商都会提供网站给用户下载新的 BIOS以及提供如何更新的说明。 也有许多制造商强烈建议，除非必要否则不要轻易更新 BIOS 。因为更新的过程可能 会发生问题，进而损害BIOS 芯片。 使用 &ms-dos; 和 &windows; 文件系统 目前， &os; 尚不支持通过 Double Space™ 程序压缩的文件系统。 因此， - 如果希望 &os; 访问数据， 则应首先解压缩这些文件系统模块。 这项工作， + 如果希望 &os; 访问数据， 则应首先解压缩这些文件系统。 这项工作， 可以通过位于 Start> Programs > System Tools 菜单的 Compression Agent 来完成。 &os;可以支持基于 &ms-dos; 的文件系统 (FAT16 和 FAT32)。 - 这要求您使用带参数的 &man.mount.msdosfs.8; 命令。 最常使用的是： + 这要求您使用带参数的 &man.mount.8; 命令。 最常使用的是： - &prompt.root; mount_msdosfs /dev/ad0s1 /mnt + &prompt.root; mount -t msdosfs /dev/ad0s1 /mnt 在此例子中， &ms-dos; 文件系统位于主硬盘的第一个分区。您的情况可能与引不同， 查看命令 dmesg和 mount 的输出。它们应该 可以让您得到足够的分区信息。 &ms-dos; 的扩展分区会被映射在 &os;分区的末尾。换句话说，分区号要大于 &os; 正在使用的分区号。例如，第一个 &ms-dos; 分区可能位于 /dev/ad0s1，&os; 分区可能位于 /dev/ad0s2，跟着是 &ms-dos; 的扩展分区位于 /dev/ad0s3。这可能会使您感觉迷茫。 NTFS 分区也可以通过类似 &man.mount.ntfs.8; 命令挂接在FreeBSD上。 排除故障时的常见问题和解决方法 我的系统在引导到探测硬件时发生了死机、 安装过程中行为异常， 或没有检测到软驱。 - &os; 5.0 和更高版本在引导过程中广泛使用了 i386、 amd64 及 ia64 平台提供的 + &os; 5.0 和更高版本在启动过程中广泛使用了 i386、 amd64 及 ia64 平台提供的 ACPI 服务来检测系统配置。 不幸的是， 在 ACPI 驱动和主板 BIOS 中存在一些 bug。 如果遇到这种情况， 可以在系统引导时禁用 ACPI， 其方法是在第三阶段引导加载器时使用 hint hint.acpi.0.disabled： - set hint.acpi.0.disabled="1" + set hint.acpi.0.disabled="1" 这一设置会在系统重启之后失效， 因此， 如果需要的话， 您应在 /boot/loader.conf 文件中增加 hint.acpi.0.disabled="1"。 关于引导加载器的进一步详情， 请参见 。 在硬盘安装 &os; 之后的首次启动时， 内核加载并检测了硬件， 但给出下列消息并停止运行： changing root device to ad1s1a panic: cannot mount root 这是怎么回事？ 我该怎么做？ 另外引导帮助信息里提到的 bios_drive:interface(unit,partition)kernel_name 是什么？ 系统在处理引导盘非系统中的第一块盘时有一个由来已久的问题。 BIOS 采用的编号方式有时和 &os; 不一致， 而设法将其变为一样则很难正确地实现。 因而， 在发生这种情况时， &os; 可能会需要一些帮助才能找到磁盘。 有两种常见的情况， 在这些情况下您都需要手工告诉 &os; 根文件系统模块的位置。 这是通过告诉引导加载器 BIOS 磁盘编号、 磁盘类型以及 &os; 中的该种磁盘的编号来实现的。 第一种情况是有两块 IDE 硬盘， 分别配置为对应 IDE 总线上的主 (master) 设备， 并希望 &os; 从第二块硬盘上启动。 BIOS 将两块硬盘识别为磁盘 0 和磁盘 1， 而 &os; 则将其分别叫做 ad0 和 ad2。 &os; 位于 BIOS 磁盘 1， 其类型是 ad 而 &os; 磁盘编号则是 2， 因此， 您应输入： 1:ad(2,a)kernel 注意， 如果您的主总线上有从设备， 则这一配置是不必要的 (因为这样配置是错的)。 第二种情况是从 SCSI 磁盘启动， 但系统中安装了一个或多个 IDE 硬盘。 这时， &os; 磁盘编号会比 BIOS 磁盘编号小。 如果您有两块 IDE 硬盘， 以及一块 SCSI 硬盘， 则 SCSI 硬盘将会是 BIOS 磁盘 2， 类型为 da 而 &os; 磁盘编号是 0， 因此， 您应输入： 2:da(0,a)kernel 来告诉 &os; 您希望从 BIOS 磁盘 2 引导， 而它是系统中的第一块 SCSI 硬盘。 假如只有一块 IDE 硬盘， - 则应以 '1:' 代替。 + 则应以 1: 代替。 一旦您确定了应选用的正确配置， 就可以用标准的文本编辑器把它写到 /boot.config 文件中了。 除非另行指定， &os; 将使用这个文件的内容， 作为对 boot: 提示的默认回应。 在硬盘安装 &os; 之后的首次启动时， Boot Manager 只是给出了 F? 的菜单提示， 但并不继续引导过程。 在您安装 &os; 进行到分区编辑器时所设置的磁盘尺寸信息不对。 请回到分区编辑器并指定正确的磁盘尺寸。 这种情况必须重新安装 &os;。 如果您无法确定在您机器上的正确尺寸信息， 可以用一个小技巧： 在磁盘开始的地方安装一个小的 DOS 分区， 并在其后安装 &os;。 安装程序能够看到这个 DOS 分区， 并利用它推测磁盘的尺寸信息， 这通常会有所帮助。 下面的技巧不再推荐使用， 在这里仅供参考：
如果您正准备建立只运行 &os; 的服务器或工作站， 而无需考虑 (之后) 与 DOS、 Linux 或其他操作系统的兼容性， - 也可以使用整个硬盘 (分区编辑器中的 `A')， + 也可以使用整个硬盘 (分区编辑器中的 A)， 选择 &os; 独占整个硬盘每一个扇区的非标准选项。 这会扫除关于磁盘尺寸的一切烦恼， 但会限制您以后运行 &os; 以外的其他操作系统的能力。
系统找到了 &man.ed.4; 网卡， 但总是报设备超时 (device timeout) 错误。 您的网卡可能使用了与 /boot/device.hints 文件中指定的 IRQ 不同的中断请求号。 - ed 驱动默认情况下并不支持 `软' 配置 (在 DOS 中使用 EZSETUP 配置的值)， + &man.ed.4; 驱动默认情况下并不支持 软 配置 (在 DOS 中使用 EZSETUP 配置的值)， 但如果您在网卡的 hints 中指定 -1， 便会使用软配置。 您应使用网卡的跳线进行硬配置 (根据需要修改内核设置) - 或通过 hint hint.ed.0.irq="-1" + 或通过 hint hint.ed.0.irq="-1" 将 IRQ 指定为 -1。 这会告诉内核使用软配置。 另一个可能是您的网卡使用 IRQ 9， 这会与 IRQ 2 共用同一中断请求线， 同时也是导致问题的一个常见原因 (特别是 VGA 卡使用 IRQ 2 的时候！)。 您应尽量避免使用 IRQ 2 或 9。 Valentino Vaschetto Contributed by 高级安装指南 这节主要描述在一些特殊情况下如何安装FreeBSD。 在一个没有显示器或键盘的系统上安装FreeBSD installation headless (serial console) serial console 这种类型的安装叫做 headless install（无关安装）， 因您正要安装FreeBSD的机器不是没带显示器，就是没有显卡。您可能会问那怎么安装？ 可以使用一个串行控制台。串行控制台基本上是使用另外一台机器来充当主显示设备 和键盘。要这样做，只要执行下面的步骤：创建安装软件，请看 一节说明。 按下面的步骤，修改这些软盘用来引导进入一个串行控制台： 通过启动软盘来引导进入一个串行控制台 mount 如果您想用软盘，FreeBSD将进入它通常的安装模式。我们要把FreeBSD 引导进入串行控制台，需要这样做，您必须使用 &man.mount.8;命令在FreeBSD系统 上挂接 boot.flp 的那个软盘。 &prompt.root; mount /dev/fd0 /mnt 现在您已经挂上了软盘， 需要进入 /mnt 目录： &prompt.root; cd /mnt 这儿是您必须设置软盘引导进入串行控制台的地方。您必须制作一个包含 /boot/loader -h这行的叫做boot.config 的文件。所有这些是为了给引导程序一个标记以引导进入串行控制台。 &prompt.root; echo "/boot/loader -h" > boot.config 现在您已经正确配置好了软盘，您必须使用 &man.umount.8; 命令卸下软盘。 &prompt.root; cd / &prompt.root; umount /mnt 现在您可以从软盘驱动器中取出软盘了。 连接您的 Null-modem 线 null modem cable 您现在需要一根null modem线来连接两台机器。 只要连接两台机器的串口。 普通的串行线是不行的，您需要使用一根null modem的线， 因为它在一些十字交叉口有金属线。 开始启动安装 现在开始启动安装。把 boot.flp 的那张软盘 插入软盘驱动器，然后开启电源。 连接您的无头机器 cu 现在您已经通过&man.cu.1;连接到了那台机器。 &prompt.root; cu -l /dev/cuad0 在 &os; 5.X 上， 应使用 /dev/cuaa0 代替例子中的 /dev/cuad0。 就这样！ 您已经能够通过您的cu session对话来控制那台 无头机器了。 它将要求您把 kern1.flp 的那张软盘插入驱动器， 然后它将提示选择使用哪种终端。 只要选择 FreeBSD 的彩色控制台， 然后继续您的安装。 准备您自己的安装介质 为了避免重复 FreeBSD disc 在这里指 FreeBSD CDROM or DVD 那即意味着您要购买或自己制做。 有好几个原因需要您创建自己的FreeBSD安装介质。这可能是物理介质，如磁带， 使用 sysinstall程序找到的安装文件，FTP站点或 &ms-dos;分区。 例如： 您有许多机器连接到本地网络，使用一个FreeBSD光盘。您要使用FreeBSD来 创建一个本地FTP站点，然后使用这个FTP站点来代替连接到Internet。 您有一张 FreeBSD 光盘， FreeBSD 不支持您的 CD/DVD 驱动器， 但 &ms-dos;/&windows; 支持。 您要复制安装文件到一个DOS分区， 然后使用这些文件进行安装。 您要安装的计算机没有 CD/DVD驱动器和网卡，但您可以连接一个 Laplink-style 串口或并口线缆到那台计算机。 您要通过一个磁带机来安装FreeBSD. 创建一张安装光盘 FreeBSD 的每个发行版本都为每一支持的平台提供至少两张 CDROM 映像 (ISO images)。 如果您有刻录机，这些映像文件可以被(burned) 成FreeBSD的安装光盘。 如果没有刻录机，而上网带宽却很便宜，它也是一种很好的安装方式。 下载正确的 ISO 映像文件 每个版本的ISO映像文件都可以从 ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-架构名/版本 或最近的镜像站点下载。选择合适的 架构 和 版本 。 目录中包含下面一些映像文件： FreeBSD 5.<replaceable>X</replaceable> 和 6.<replaceable>X</replaceable> ISO 映像文件名和含意 文件名 包含内容 版本-RELEASE-架构-bootonly.iso 引导 FreeBSD 内核并启动安装界面所需的全部数据。 安装文件可以从 FTP 或其他安装源获得。 版本-RELEASE-架构名-disc1.iso 安装 FreeBSD 所需的全部文件， 以及一份用于与 sysinstall 中的 Repair(修复) 机制联用的 现场文件系统。 版本-RELEASE-架构名-disc2.iso &os; 文档 (在 &os; 6.2 之前) 以及这张光盘能装下的、 尽可能多的第三方软件包。 version-RELEASE-arch-docs.iso &os; 文档 (&os; 6.2 和之后的版本)。
您 必须 下载 bootonly ISO 镜像 (如果有的话) 或第一张光盘的镜像之一。 不需要两个都下载， 因为第一张光盘包括了 bootonly ISO 的全部内容。 如果访问 Internet 的价格便宜， 建议使用 bootonly ISO。 这样您可以安装 &os;， 并从网上通过 ports/packages 系统 (参见 ) 根据需要下载和安装第三方软件包。 如果您正打算安装 &os; 并同时选择一些第三方软件包， 则可以下载第一张光盘的镜像文件。 其它的映像盘也是很有用的，但不是必须的，尤其是在您有高速的网络连接时。 刻录 CDs 您必须把这些映像文件刻录成光盘。如果您在其它的FreeBSD系统上完成 此项工作，请看 得到更多的信息，（特别是 和 ） 如果您在其它的系统平台上执行，您需要相应的刻录软件。映像文件使用 的是标准的ISO格式，必须被您的刻录软件所支持。 如果有兴趣制作一张定制的 FreeBSD 版本， 请参考 Release Engineering Article。 为 FreeBSD 安装盘建立局域网 FTP 站点 installation network FTP FreeBSD 光盘的布局和 FTP 站点相同。 这样， 建立局域网 FTP 站点来用于网络上的其它计算机安装 FreeBSD， 就十分的容易。 在要作为FTP站点的那台FreeBSD机器上，确定FreeBSD磁盘放入光驱 中并将它挂在/cdrom目录中。 &prompt.root; mount /cdrom 在/etc/passwd文件中建立一个可匿名访问FTP 服务器的账号。您可以利用&man.vipw.8; 命令编辑/etc/passwd 文件，加入下面这一行叙述： ftp:*:99:99::0:0:FTP:/cdrom:/nonexistent 确定在/etc/inetd.conf配置文件中开启 了FTP服务。 任何本地网络中的机器在安装FreeBSD选择安装介质时就可以选择透过 FTP站点，然后选取 Other后输入 ftp://本地FTP服务器 即可以透过本地的FTP站点来安装FreeBSD。 如果用作 FTP 客户端的引导介质 (通常是软盘) 与本地局域网的 FTP 站点上的版本不一致， sysinstall 会不允许您完成安装。 如果您使用的版本差距不很大， 并且希望绕过这一判断， 则应进入 Options 菜单， 并将安装包的名字改为 any。 此方式最好使用在有防火墙保护的内部网络。如果要将此FTP服务公开给外面的 网际网络（非本地用户），您的电脑必须承担被侵入或其它的风险。我们强烈建议您 要有完善的安全机制才这样做。 创建安装软盘 installation floppies 如果您从软盘安装（我们不推荐那样做），或者是由于 不支持硬件或者更简单的理由是因为您坚持要使用软盘安装。您必须准备几张软盘。 至少这些软盘必须是 1.44 MB 的，用来容纳所有在 base (基本系统) 目录下的文件。如果您在 DOS 操作系统下准备就 必须 使用 &ms-dos; 的 FORMAT 命令来格式化软盘。 如果您使用的是 &windows; 操作系统， 在资源管理器中就可以完成这个工作 (用右键单击 A: 驱动器， 并选择 Format)。 不要 指望厂家的预先格式化！ 最好还是亲自进行格式化。 过去用户报告的很多问题都是由于不正确地使用格式化设备所造成的， 所以我们需要在这里着重提一下。 如果您在另外一台FreeBSD的机器上做了启动盘的话，进行格式化是一个不 错的主意。虽然您不需要把每张盘都做成DOS文件系统。您也可以使用 bsdlabel 和 newfs 命令来创建一个UFS文件系统，具体操作按下面的顺序进行： &prompt.root; fdformat -f 1440 fd0.1440 &prompt.root; bsdlabel -w fd0.1440 floppy3 &prompt.root; newfs -t 2 -u 18 -l 1 -i 65536 /dev/fd0 然后您就可以像其它的文件系统一样挂上和写入这些磁盘。 格式化这些磁盘后，您必须把文件复制到磁盘中。 这些发行文件被分割成刚好可存进五张 1.44 MB 软盘。 检查您所有的磁盘， 找出所有可能适合的文件。 直到您找到所有需要的配置并且将它们以这种方式安置。 第一个配置都应该有一个子目录在磁盘上， 例如： a:\base\base.aa、 a:\base\base.ab， 等等。 base.inf 文件， 也应放在 base 的第一张盘上， 因为安装程序需要读取这个文件， 以了解在获得发布包时需要下载多少文件。 一旦您进入选择安装介质的屏幕，选择 Floppy 将会看到后面的提示符。 从 &ms-dos; 分区安装 installation from MS-DOS 如果从 &ms-dos; 分区安装， 您需要将发布文件复制到该分区根目录下的 freebsd 目录中。 例如： c:\freebsd。 您必须复制一部分 CDROM 或 FTP 上的目录结构， 因此， 如果您从光盘进行复制， 建议使用 DOS 的 xcopy 命令。 下面是准备进行 FreeBSD 最小系统安装的例子： C:\> md c:\freebsd C:\> xcopy e:\bin c:\freebsd\bin\ /s C:\> xcopy e:\manpages c:\freebsd\manpages\ /s 假设 C: 盘是您的空闲空间， E: 盘是您挂接的 CDROM。 如果您没有光盘驱动器，您可以从以下网站下载发行包。 ftp.FreeBSD.org. 每一个发行包都在一个目录中，例如 base 发行包可以在 &rel.current;/base/目录中找到。 对很多发行包来说，如果您希望从 &ms-dos;分区安装的话（您有足够的空间）， 安装 c:\freebsd — 下的每个文件－这个 BIN 发行包只是最低限度的要求。 创建一个安装磁带 installation from QIC/SCSI Tape 从磁带安装也许是最简单的方式，比在线使用 FTP 安装或使用 CDROM 还快。 安装的程序假设是简单地被压缩在磁带上。在您得到所有配置文件后，简单地解开它们， 用下面的命令： &prompt.root; cd /freebsd/distdir &prompt.root; tar cvf /dev/rwt0 dist1 ... dist2 在您安装的时候，您要确定留有足够的空间给临时目录（允许您选择） 来容纳磁带安装时 全部 的内容。由于不是随机访问 磁带的，所以这种安装方法需要很多临时空间。 开始安装时，在从软盘启动 之前， 磁带机必须已经放在驱动设备中。 否则， 安装过程中可能会找不到它。 通过网络安装 installation (安装) network (网络) serial (串口， SLIP 或 PPP) installation (安装) network (网络) parallel (并口， PLIP) installation (安装) network (网络) Ethernet (以太网) 可用的网络安装类型有三种。 以太网 (标准的以太网控制器)、 串口 (SLIP 或 PPP) 以及 并口 (PLIP (laplink 线缆))。 如果希望以最迅速的方式完成网络安装， 那么以太网适配器当然就是首选！ FreeBSD 支持绝大多数人见 PC 以太网卡； 系统能够支持的网卡 (以及所需的配置) 可以在 FreeBSD 发行版附带的硬件兼容说明中找到。 如果您使用的是系统支持的 PCMCIA 以太网卡， 在为笔记本加电 之前 之前一定要把它插好！ 很不幸， FreeBSD 目前并不支持在安装过程中热插 PCMCIA 卡。 此外， 您还需要知道自己的 IP 地址、 网络类型对应的子网掩码， 以及机器名。 如果您正通过 PPP 连接安装而没有固定的静态 IP， 不用怕， 这个 IP 地址会由您的 ISP 自动分配。 您的系统管理员会告诉您进行网络配置所需的信息。 如果您需要通过名字而不是 IP 地址来访问其他主机， 则还需要配置一个域名服务器， 可能还需要一个网关地址 (在使用 PPP 时， 这个地址是服务提供商的 IP 地址)。 如果您希望通过 HTTP 代理服务器来完成 FTP 安装， 还需要知道代理服务器的地址。 如果您不知道这些信息， 则应在进行这种安装 之前 向系统管理员或 ISP 询问。 SLIP 支持是相当原始的，并且被限制在主要对hard-wired 的连接，就像 一台膝上型计算机与另一台计算机间的串行线。现在的SLIP的安装还没有提供拨号功能， 这个连接应该是 hard-wired ；用PPP工具提供的这种便利性应该首先尽可能被用于SLIP 设备。 如果您使用一个MODEM，那您就只有PPP这一种选择了。在您安装的过程中， 要确定您能很容易地获得完整且快速的关于您服务提供商的信息。 如果您使用 PAP 或 CHAP 方式连接到您的 ISP，（换句话说，如果您不使用 脚本在&windows;中连接到您的ISP），那么您需要在ppp 提示符下输入dial 命令。否则，当PPP连接者只提供一种最简单的 终端模拟器，您必须知道如何使用针对MODEM的 AT commands拨号到您 的ISP。想知道更深入的信息可以参考 使用手册中的用户级PPP那节 以及 FAQ 。如果您有一些问题，可以使用 set log local ...命令将日志显示在屏幕上。 您也可以通过并口电缆连接到另外一台FreeBSD（2.0或以后的版本）机器上进行 安装，您可以考虑使用 laplink 并口电缆进行安装。通过并口安装要 比通过串口（最高 50 kbytes/sec）安装快得多。 通过NFS安装之前 installation network NFS NFS 安装方式是非常方便的。 只需要简单地将 FreeBSD 文件复制到一台服务器上， 然后在安装时选择NFS介质。 如果这个服务器要特权端口才能支持（如SUN的工作站）， 您需要在安装前在 Options 菜单中设置 NFS Secure。 如果您的一台网卡比较糟糕，速度很慢，则应考虑 NFS Slow的选项。 为了达到NFS安装的目的，这个服务器必须支持 subdir 加载。例如，如果您的 FreeBSD &rel.current; 目录存在： ziggy:/usr/archive/stuff/FreeBSD，然后 ziggy 将必须允许直接挂上 /usr/archive/stuff/FreeBSD，而不仅仅是 /usr 或 /usr/archive/stuff。 在 FreeBSD的 /etc/exports 配置文件中，是由 选项来控制的。其它 NFS服务器也许有不同的方式。 如果您从服务器得到permission denied 这个信息，可能是因为您没有正确的启用它。 diff --git a/zh_CN.GB2312/books/handbook/introduction/chapter.sgml b/zh_CN.GB2312/books/handbook/introduction/chapter.sgml index 0f9ac32cd1..2911e5ca4d 100644 --- a/zh_CN.GB2312/books/handbook/introduction/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/introduction/chapter.sgml @@ -1,864 +1,864 @@ Jim Mock Restructured, reorganized, and parts rewritten by 介绍 概述 非常感谢您对 FreeBSD 感兴趣！ 下面的章节涵盖了 FreeBSD 项目的各个方面， 比如它的历史、目标、开发模式，等等。 阅读完这章，您将了解： FreeBSD 与其它计算机操作系统的关系。 FreeBSD 项目的历史。 FreeBSD 项目的目标。 FreeBSD 开放源代码开发模式的基础。 当然还有：FreeBSD 这个名称的由来。 欢迎来到 FreeBSD 的世界! 4.4BSD-Lite FreeBSD 是一个支持 Intel (x86 和 &itanium;)，AMD64，Alpha，Sun &ultrasparc; 计算机的基于 4.4BSD-Lite 的操作系统。 到其他体系结构的移植也在进行中。 您也可以阅读 FreeBSD 的历史， 或者最新的发行版本。 如果您有意捐助(代码， 硬件，基金)，请看为 FreeBSD 提供帮助这篇文章。 FreeBSD 能做些什么？ FreeBSD有许多非凡的特性。其中一些是： 抢占式多任务 抢占式多任务与动态优先级调整确保在应用程序和用户之间平滑公正的分享计算机资源， 即使工作在最大的负载之下。 多用户设备 多用户设备 使得许多用户能够同时使用同一 FreeBSD 系统做各种事情。 比如， 像打印机和磁带驱动器这样的系统外设， 可以完全地在系统或者网络上的所有用户之间共享， 可以对用户或者用户组进行个别的资源限制， 以保护临界系统资源不被滥用。 TCP/IP 网络 符合业界标准的强大 TCP/IP 网络 支持， 例如 SCTP、 DHCP、 NFS、 NIS、 PPP， SLIP， IPsec 以及 IPv6。 这意味着您的 FreeBSD 主机可以很容易地和其他系统互联， 也可以作为企业的服务器，提供重要的功能， 比如 NFS(远程文件访问)以及 email 服务， 或将您的组织接入 Internet 并提供 WWW，FTP，路由和防火墙(安全)服务。 内存保护 内存保护确保应用程序(或者用户)不会相互干扰。 一个应用程序崩溃不会以任何方式影响其他程序。 FreeBSD 是一个 32 位操作系统 (在 Alpha，&itanium;，AMD64，和 &ultrasparc; 上是64 位)， 并且从开始就是如此设计的。 X Window 系统 XFree86 业界标准的 X Window 系统 (X11R7)为便宜的常见 VGA 显示卡和监视器提供了一个图形化的用户界面(GUI)， 并且完全开放代码。 二进制代码兼容性 Linux 二进制代码兼容性 SCO 二进制代码兼容性 SVR4 二进制代码兼容性 BSD/OS 二进制代码兼容性 NetBSD 和许多 Linux，SCO，SVR4，BSDI 和 NetBSD 程序的二进制代码兼容性 数以千计的 ready-to-run 应用程序可以从 FreeBSD ports 和 packages 套件中找到。 您可以顺利地从这里找到， 何须搜索网络？ 可以在 Internet 上找到成千上万其它 easy-to-port 的应用程序。 FreeBSD 和大多数流行的商业 &unix; 代码级兼容， 因此大多数应用程序不需要或者只要很少的改动就可以编译。 虚拟内存 页式请求虚拟内存和集成的 VM/buffer 缓存设计有效地满足了应用程序巨大的内存需求并依然保持其他用户的交互式响应。 对称多处理器(SMP) SMP 提供对多处理器的支持。 编译器 C 编译器 C++ 编译器 FORTRAN 内建了完整的 C、 C++、 Fortran 开发工具。 许多附加的用于高级研究和开发的程序语言， 也可以在通过 ports 和 packages 套件获得。 源代码 完整的系统源代码意味着您对您环境的最大程度的控制。 当您拥有了一个真正的开放系统时， 为什么还要受困于私有的解决方案， 任商业公司摆布呢？ 丰富的在线文档。 不仅如此！ 4.4BSD-Lite 计算机系统研究组(CSRG) U.C. Berkeley FreeBSD 基于加州大学伯克利分校计算机系统研究组(CSRG)发布的 4.4BSD-Lite， 继承了 BSD 系统开发的优良传统。 除了 CSRG 优秀的工作之外， FreeBSD 项目花费了非常多的时间来优化调整系统， 使其在真实负载情况下拥有最好的性能和可靠性。 在现今， 许多商业巨人正为给 PC 操作系统增加新功能、 提升和改善其可靠性， 以便在其上展开激烈竞争的同时， FreeBSD 现在 已经能够提供所有这一切了！ FreeBSD 可以提供的应用事实上仅局限于您的想象力。 从软件开发到工厂自动化，从存货控制到遥远的人造卫星天线方位控制， 如果商业的 &unix; 产品可以做到，那么就非常有可能您也可以用 FreeBSD 来做！ FreeBSD 也极大地受益于全世界的研究中心和大学开发的数以千计的高质量的应用程序， 这些程序通常只需要很少的花费甚至免费。 可用的商业应用程序， 每天也都在大量地增加。 因为 FreeBSD 自身的源代码是完全公开的， 所以对于特定的应用程序或项目，可以对系统进行最大限度的定制。 这对于大多数主流的商业生产商的操作系统来说几乎是不可能的。 以下是当前人们应用 FreeBSD 的某些程序的例子： Internet 服务：FreeBSD 内建的强大的 TCP/IP 网络使它得以成为各种 Internet 服务的理想平台，比如： FTP 服务器 FTP 服务器 web 服务器 World Wide Web 服务器(标准的或者安全的 [SSL]) IPv4 and IPv6 路由 防火墙 NAT 防火墙和 NAT(IP 伪装) 网关 电子邮件 email email 电子邮件服务器 USENET USENET 新闻组和电子布告栏系统 还有许多... 使用 FreeBSD， 您可以容易地从便宜的 386 类 PC 起步，并随着您的企业成长，一路升级到带有 RAID 存储的四路 Xeon 服务器。 教育：您是一名计算机科学或者相关工程领域的学生吗？ 学习操作系统，计算机体系结构和网络没有比在 FreeBSD 可提供的体验下动手实践更好的办法了。许多可自由使用的 CAD、数学和图形设计包也使它对于那些主要兴趣是在计算机上完成其他工作的人非常有帮助。 研究：有完整的系统源代码， FreeBSD 对于操作系统研究以及其他计算机科学分支都是一个极好的平台。 FreeBSD 可自由获得的本性， 同样可以使处在不同地方的开发团队在开放的论坛上讨论问题、 交流想法与合作开发成为可能， 且不必担心特别的版权协定或者限制。 路由 DNS 服务器 网络：需要一个新的路由器？ 一台域名服务器 (DNS)？ 一个隔离您的内部网络的防火墙？ FreeBSD 可以容易的把丢弃在角落不用的 386 或者 486 PC 变成一台完善的带包过滤能力的高级路由器。 X Window 系统 XFree86 X Window 系统 Accelerated-X X Window 工作站： FreeBSD 是廉价 X 终端的一种绝佳解决方案， 您可以选择使用免费的 X11 服务器。 与 X 终端不同，如果需要的话 FreeBSD 能够在本地直接运行程序， 因而减少了中央服务器的负担。 FreeBSD 甚至能够在 无盘 环境下启动， 这使得终端更为便宜和易于管理。 GNU Compiler Collection 软件开发： 基本的 FreeBSD 系统带有包括著名的 GNU C/C++ 编译器和调试工具在内的一整套开发工具。 FreeBSD 可以通过 CDROM、DVD， 以及匿名 FTP 以源代码和二进制方式获得。请查看 了解获取 FreeBSD 的更多细节。 谁在使用 FreeBSD? 用户 运行 FreeBSD 的大型站点 FreeBSD 已被用来支持 Internet 上一些最大的站点， 包括： Yahoo! Yahoo! Apache Apache Blue Mountain Arts Blue Mountain Arts Pair Networks Pair Networks Sony Japan Sony Japan Netcraft Netcraft Weathernews Weathernews Supervalu Supervalu TELEHOUSE America TELEHOUSE America Sophos Anti-Virus Sophos Anti-Virus JMA Wired JMA Wired 等等许多。 关于 FreeBSD 项目 下面的章节提供了项目的一些背景信息， 包括简要的历史、项目目标、以及项目开发模式。 Jordan Hubbard Contributed by FreeBSD 的简要历史 386BSD Patchkit Hubbard, Jordan Williams, Nate Grimes, Rod FreeBSD 项目 历史 FreeBSD 项目起源于 1993 年早期， 部分作为 Unofficial 386BSD Patchkit 的副产物，patchkit 的最后 3 个协调维护人是：Nate Williams，Rod Grimes 和我。 386BSD 我们最初的目标是做出一份 386BSD 的测试版以修正一些 Patchkit 机制无法解决的错误(bug)。 很多人可能还记得早期的项目名称叫做 386BSD 0.5 或者 386BSD Interim 就是这个原因。 Jolitz, Bill 386BSD 是 Bill Jolitz 的操作系统， 到那时已被严重地忽视了一年之久。 由于 Patchkit 在过去的每一天里都在急剧膨胀， 使得对其进行消化吸收变得越来越困难， 因此我们一致同意应该做些事情并决定通过提供这个临时的 cleanup 版本来帮助 Bill。 然而，Bill 却在事先没有指出这个项目应该如何开展下去的情况下， 突然决定退出这个项目，最终这个计划只好被迫停止。 Greenman, David Walnut Creek CDROM 没过多久， 我们认为即便没有 Bill 的支持， 项目仍有保留的价值， 因此，我们采用了 David Greenman 的意见，给其命名为 FreeBSD。在和当时的几个用户商量后， 我们提出了最初的目标， 而这件事明朗化后， 这个项目就走上了正轨，甚至可能成为现实。 为了拓展 FreeBSD 的发行渠道，我抱着试试看的心态， 联系了光盘商 Walnut Creek CDROM， 以便那些上网不方便的用户得到 FreeBSD。 Walnut Creek CDROM 不仅支持发行 FreeBSD 光盘版的想法， 还为这个计划提供了所需的计算机和高速网络接入。 在那时， 若没有 Walnut Creek CDROM 对一个完全未知的项目的空前信任， FreeBSD 不太可能像它今天这样，影响如此深远，发展如此快速。 4.3BSD-Lite Net/2 U.C. Berkeley 386BSD Free Software Foundation 第一个 CDROM (以及在整个互联网范围内发行的) 发行版本是 FreeBSD 1.0，于 1993 年 10 月发布。这个版本基于 U.C. Berkeley 的 4.3BSD-Lite(Net/2)磁带， 也有许多组件是 386BSD 和自由软件基金会提供的。 对于第一次发行，这算是相当成功了。 在 1994 年 5 月，我们发布了更加成功的 FreeBSD 1.1 版。 Novell U.C. Berkeley Net/2 AT&T 然而此后不久，发生了一些意外的情况。 Novell 和 U.C. Berkeley 决定就 Berkeley Net/2 磁带的归属权问题打的那场马拉松式的官司达成和解。 判决的结果是， U.C. Berkeley 承认 Net/2 很大一部分代码是侵占来的 且这些代码归 Novell 公司所拥有。这些代码是 Novell 不久前从 AT&T 买来的。 Berkeley 得到了来自 Novell 的 祝福： 4.4BSD-Lite 发行后，将不认为是侵权， 且要求现存的 Net/2 的用户更换新版。 这也包括 FreeBSD，我们的项目被要求在 1994 年 6 月底停止发行基于 Net/2 的产品。在此协议允许的时间内， 本项目被允许发行最后一版，也就是 FreeBSD 1.1.5.1。 于是 FreeBSD 开始艰苦的从全新的而且不完整的 4.4BSD-Lite 中重新整合自己。Lite 版本是不完整的， 因为 Berkeley 的 CSRG 已经删除了大量的构建可启动运行的系统所需要的代码 (因为各种各样的版权问题)，事实上 4.4 的 Intel port 是非常不完整的。 直到 1994 年 11 月项目才完成这个转换，这个时候才把 FreeBSD 2.0 通过网络和 CDROM(在 12 月)发布出来。 尽管系统很多地方还很粗糙，这个版本还是取得了重大的成功， 接下来在 1995 年 6 月发布了更强大和容易安装的 FreeBSD 2.0.5 版本。 我们于 1996 年 8 月发布了 FreeBSD 2.1.5 版本， 它在 ISP 和商业团体中非常流行。 随后， 2.1-STABLE 分支的另一个版本应运而生，它就是 FreeBSD 2.1.7.1，在 1997 年 2 月发布并停止了 2.1-STABLE 的主流开发。现在，它处于维护状态， 仅仅提供安全性的增强和其他严重的错误修补的维护(RELENG_2_1_0)。 FreeBSD 2.2 版作为 RELENG_2_2 分支，于 1996 年 11 月从开发主线 (-CURRENT)分出来。 它的第一个完整版(2.2.1)于 1997 年 4 月发布出来。 97 年夏秋之间，顺着 2.2 分支的更进一步的版本在开发。 其最后一版(2.2.8)于 1998 年 11 月发布出来。 第一个官方的 3.0 版本出现在 1998 年 10 月， 意味着 2.2 分支结束的开始。 1999 年 1 月 20 日又出现了新的分支，就是 4.0-CURRENT 和 3.X-STABLE 分支。从 3.X-STABLE 起，3.1 在 1999 年 2 月 15 日发行，3.2 在1999 年 5 月 15 日，3.3 在 1999 年 9 月 16 日，3.4 在 1999 年 12 月 20 日，3.5 在 2000 年 6 月 24 日，接下来几天后发布了很少的修补升级至 3.5.1，加入了对 Kerberos 安全性方面的修补。 这是 3.X 分支最后一个发行版本。 随后在 2000 年 3 月 13 日出现了一个新的分支， 也就是 4.X-STABLE。 这之后发布了许多的发行版本： 4.0-RELEASE 于 2000 年 3月发布， 而最后的 4.11-RELEASE 则是在 2005 年 1 月发布的。 期待已久的 5.0-RELEASE 于 2003 年 1 月 19 日正式发布。 这是将近三年的开发的巅峰之作， 同时也标志了 FreeBSD 在先进的多处理器和应用程序线程支持的巨大成就， 并引入了对于 &ultrasparc; 和 ia64 平台的支持。 之后于 2003 年 6 月发布了 5.1。 最后一个从 -CURRENT 分支的 5.X 版本是 5.2.1-RELEASE， 它在 2004 年 2 月正式发布。 RELENG_5 于 2004 年 8 月正式创建， 紧随其后的是 5.3-RELEASE， 它是 5-STABLE 分支的标志性发行版。 最新的 &rel2.current;-RELEASE 是在 &rel2.current.date; 发布的。 RELENG_5 分支不会有后续的发行版了。 其后在 2005 年 7 月又建立了 RELENG_6 分支。 而 6.X 分支上的第一个版本， 即 6.0-RELEASE， 则是在 2005 年 11 月发布的。 最新的 &rel.current;-RELEASE 发布于 &rel.current.date;。 我们还将继续从 RELENG_6 发布新的版本。 目前， 中长期的开发项目继续在 7.X-CURRENT (主干, trunk) 分支中进行， 而 6.X 的 CDROM (当然， 也包括网络) 快照版本可以在 快照服务器 找到。 Jordan Hubbard Contributed by FreeBSD 项目目标 FreeBSD Project goals FreeBSD 项目的目标是无附加条件地提供能够用于任何目的的软件。 我们中的许多人对代码 (以及项目本身) 都有非常大的投入， 因此当然不介意偶尔有一些资金上的补偿， 但我们并没打算坚决地要求得到这类资助。 我们认为我们的首要 使命 是为任何人提供代码， 不管他们打算用这些代码做什么， 因为这样代码将能够被更广泛地使用， 从而最大限度地发挥其价值。 我认为这是自由软件最基本的， 同时也是为我们所倡导的一个目标。 GNU General Public License (GPL) GNU Lesser General Public License (LGPL) BSD Copyright 我们源代码树中， 以 GNU 公共许可证 (GPL) 或者 GNU 函数库公共许可证 (LGPL) 发布的那些代码带有少许的附加限制， 还好只是强制性的要求开放代码而不是别的。 由于使用 GPL 的软件在商业用途上会增加若干复杂性， 因此，如果可以选择的话， 我们更偏好使用限制相对更宽松的 BSD 版权来发布软件。 Satoshi Asami 撰写者 FreeBSD 开发模式 FreeBSD Project 开发模式 FreeBSD 的开发是一个非常开放且有有伸缩性的过程， 就像从我们的 贡献者列表里看到的，它是完全由来自全世界的数以百计的贡献者发展起来的。 FreeBSD 的开发基础结构允许数以百计的开发者通过互联网协同工作。 我们也经常关注着那些对我们的计划感兴趣的新开发者和新的创意， 那些有兴趣更进一步参与项目的人只需要在 &a.hackers; 联系我们。 &a.announce; 对那些希望了解我们工作所涉及到哪些领域的人也是有用的。 无论是独立地工作或者封闭式的团队工作， 了解FreeBSD计划和它的开发过程都是有益的： CVS 代码库 CVS 代码库 并行版本系统 CVS FreeBSD 的中央源代码树是由 CVS (并行版本控制系统)来维护的。CVS 是一个与 FreeBSD 捆绑的可自由获得的源代码控制工具。 主 CVS 代码库放置在美国加利福尼亚州圣克拉拉的一台机器上， 它被复制到全世界的大量镜像站上。CVS 中包括了 -CURRENT 和 -STABLE 树， 它同样可以很容易地复制到您的机器上。 请查阅 同步您的源代码树这一章节来了解更多信息。 committer 列表 committers committer 是那些对 CVS 树有写权限的人， 他们被授权修改 FreeBSD 的源代码 (术语 committer 来自于 &man.cvs.1; 的 commit 命令，这个命令用来把新的修改提交给 CVS 代码库)。提交修正的最好方法是使用 &man.send-pr.1; 命令。如果您发现在系统中出现了一些问题的话， 您也可以通过邮件将它们发送至 &a.committers;。 FreeBSD 核心团队 core team 如果把 FreeBSD 项目看作一家公司，那么 FreeBSD 核心团队就相当于董事会。 核心团队的主要任务是提出总体上的发展计划，然后确定一个正确的方向。 邀请那些富有献身精神和可靠的开发者加入到 committer 队伍中来也是核心团队的工作之一， 这些新的成员将作为新核心团队成员和其他人一起继续前进。 当前的核心团队是 2006 年 7 月从 committer 中选举产生的。选举每两年一次。 一些核心团队的成员还负责特定的责任范围， 也就是说他们必须尽力确保某个子系统能工作正常。 FreeBSD 开发者的完整列表和他们的责任范围，请参见 贡献者列表 核心团队的大部分成员加入 FreeBSD 开发的时候都是志愿的， 并没有从项目中获得任何财政上的资助， 所以承诺不应该被理解为支持保证。 前面所述董事会的类推并不十分准确， 或许更好的说法是，他们是一群愿意放弃他们的生活， 投身于 FreeBSD 项目而非选择其个人更好的生活的人！ 外围贡献者 contributors 事实上，最大的开发团队正是为我们提供反馈和错误修补的用户自己。 FreeBSD 的非集中式的开发者保持联系的主要方式就是预订 &a.hackers;，很多事情在那里讨论。查看了解众多 FreeBSD 邮件列表的更多信息。 FreeBSD 贡献者列表 很长并在不断增长， 为什么不加入它来为 FreeBSD 做贡献呢？ 提供代码不是为这个计划做贡献的唯一方式； 有一个更完整的需要做的事情的列表，可以参见 FreeBSD 项目网站。 总的来说，我们的开发模式好像是一组没有拘束的同心圆。 这种集中式的开发模式，主要是考虑到用户的方便， 同时让他们能很容易地维护同一份软件， 而不会把潜在的贡献者排除在外！ 我们的目标是提供一个包含有大量具有一致性 应用程序的稳定的操作系统， 以利于用户的安装和使用，— 这种模式在完成目标的过程中工作得非常有效。 我们对于那些想要加入，成为FreeBSD开发者的期待是： 具有如同当前其他人一样的投入，来确保持续的成功！ 最新的 FreeBSD 发行版本 NetBSD OpenBSD 386BSD Free Software Foundation U.C. Berkeley Computer Systems Research Group (CSRG) FreeBSD 是一个免费使用且带有完整源代码的基于 4.4BSD-Lite 的系统， 它广泛运行于 Intel &i386;、&i486;、&pentium;、 &pentium; Pro、 &celeron;、 &pentium; II、 &pentium; III、 &pentium; 4(或者兼容系统)、 &xeon;、DEC Alpha 和 Sun &ultrasparc; 的计算机系统上。 它主要以 加州大学伯克利分校 的 CSRG 研究小组的软件为基础，并加入了 NetBSD、OpenBSD、386BSD 以及来自 自由软件基金会 的一些东西。 自从 1994 年末我们的 FreeBSD 2.0 发行以来， FreeBSD 的性能，可定制性，稳定性都有了令人注目的提高。 最大的变化是通过 整合虚拟内存/文件系统 中的高速缓存改进的虚拟内存系统， 它不仅提升了性能，而且减少了 FreeBSD 对内存的需要， 使得 5 MB 内存成为可接受的最小配置。 其他的改进包括完整的 NIS 客户端和服务器端的支持， 事务式 TCP 协议支持，按需拨号的 PPP，集成的 DHCP 支持，改进的 SCSI 子系统， ISDN 的支持，ATM，FDDI，快速 Gigabit 以太网(1000 Mbit)支持， 提升了最新的 Adaptec 控制器的支持和修补了很多的错误。 除了最基本的系统软件，FreeBSD 还提供了一个拥有成千上万广受欢迎的程序组成的软件的 Ports Collection。 到本书付印时，已有超过 &os.numports; 个 ports (ports 包括从 http(WWW) 服务器到游戏、程序设计语言、编辑器以及您能想到的几乎所有的东西)。 完整的 Ports Collection 大约需要 &ports.size; 的存储空间。所有的只提供对原始代码的 修正。这使得我们能够容易地更新软件， 而且减少了老旧的 1.0 Ports Collection 对硬盘空间的浪费。 要编译一个 port，您只要切换到您想要安装的程序的目录， 输入 make install，然后让系统去做剩下的事情。 您要编译的每一个程序完整的原始代码可以从 CDROM 或本地 FTP 获得，所以您只需要编译您想要软件的足够的磁盘空间。 几乎大多数的软件都提供了事先编译好的 package 以方便安装，对于那些不希望从源代码编译他们自己的 ports 的人只要使用一个简单的命令 (pkg_add)就可以安装。 有关 package 和 ports 的更多信息可以在中找到。 您可以在最近的 FreeBSD 主机的 /usr/share/doc 目录下找到许多有用的文件来帮助您安装及使用 FreeBSD。 您也可以用一个 HTML 浏览器来查阅本地安装的手册， 使用下面的 URL： FreeBSD 使用手册 /usr/share/doc/handbook/index.html FreeBSD FAQ /usr/share/doc/faq/index.html 您也可以查看在 的主站上的副本。 diff --git a/zh_CN.GB2312/books/handbook/jails/chapter.sgml b/zh_CN.GB2312/books/handbook/jails/chapter.sgml index d53980be65..8618ac4264 100644 --- a/zh_CN.GB2312/books/handbook/jails/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/jails/chapter.sgml @@ -1,818 +1,818 @@ Matteo Riondato 原作 Jails jails 概述 这一章将为您介绍 &os; jail 是什么， 以及如何使用它们。 Jail， 有时也被认为是对 chroot 环境 的一种增强型替代品， 对于管理员而言是非常强大的工具， 同时， 它的一些基本用法， 对高级用户而言也相当有用。 读完这章， 您将了解： jail 是什么， 以及它在您安装的 &os; 中所能发挥的作用。 如何联编、 启动和停止 jail。 如何从 jail 内部或主机上进行管理的一些基础知识。 其他一些能够为您提供关于 jail 的有用信息的地方还有： &man.jail.8; 联机手册。 这是关于 jail — - 用于在 &os; 中启动、 停止和控制 &os; jail — 工具的完整说明书。 + 用于在 &os; 中启动、 停止和控制 &os; jails — 工具的完整说明书。 邮件列表及其存档。 由 &a.mailman.lists; 提供的 &a.questions; 和其他邮件列表的存档， 已经包含了一系列关于 - jail 的有价值的信息。 通常搜索存档或询问 &a.questions.name; + jails 的有价值的信息。 通常搜索存档或询问 &a.questions.name; 邮件列表能够给您带来很多有用的信息。 与 Jail 相关的一些术语 为了帮助您更好地理解与 jail 有关的 &os; 系统知识， 以及它们如何与 &os; 的其它部分相互作用， 您应理解下列术语： &man.chroot.2; (命令) &os; 的一个系统调用， 其作用是改变进程及其衍生进程所能看到的根目录。 &man.chroot.2; (环境) 在 chroot 中运行的进程环境。 这包括类似文件系统中的可见部分、 可用的用户及用户组 ID、 网络接口以及其他 IPC 机制等资源。 &man.jail.8; (命令) 用以在 jail 环境中运行进程的系统管理工具。 宿主 (系统、 进程、 用户等等) 能够控制 jail 环境的系统。 宿主系统能够访问全部可用的硬件资源， 并能够控制 jail 环境内外的进程。 宿主系统与 jail 的一项重要区别是， 在宿主系统中的超级用户进程， 并不像在 jail 中那样受到一系列限制。 hosted (系统、 进程、 用户等等) 可访问资源受 &os; jail 限制的进程、 用户或其他实体。 介绍 由于系统管理是一项困难而又令人费解的任务， 因此人们开发了一系列强大的工具， 来让管理员的工作变得更加简单。 这些改进通常是让系统能够以更简单的方式安装、 配置， 并毫无问题地持续运转。 这其中， 许多管理员希望能够为系统正确地进行安全方面的配置， 使其能够用于真正的用途， 而阻止安全方面的风险。 &os; 系统提供的一项用于改善安全的工具就是 jail。 jail 是在 &os; 4.X 中由 &a.phk; 引入的， 它在 &os; 5.X 中又进行了一系列改进， 使得它称为一个强大而灵活的系统。 目前仍然在对其进行持续的开发， 以提高其可用性、 性能和安全性。 Jail 是什么 BSD-类的操作系统从 4.2BSD 开始即提供了 &man.chroot.8;。 &man.chroot.2; 工具能够改变一组进程的根目录的位置， 从而建立一个与系统中其他部分相隔离的安全环境： 在 chroot 环境中的进程， 将无法访问其外的文件或其他资源。 正是由于这种能力， 即使攻击者攻破了某一个运行于 chroot 环境的服务， 也不能攻破整个系统。 &man.chroot.8; 对于哪些不需要很多灵活性或复杂的高级功能的简单应用而言相当好用。 另外， 在引入 chroot 概念的过程中， 曾经发现过许多跳出 chroot 环境的方法， 尽管这些问题在较新的 &os; 版本中已经修正， 但很明显地， &man.chroot.8; 并不是一项用于加固服务安全的理想解决方案。 因此， 必须实现一个新的子系统来解决这些问题。 这就是为什么要开发 jail 最主要的原因。 Jail 以多种方式改进了传统的 &man.chroot.2; 环境概念。 在传统的 &man.chroot.2; 环境中， 只限制了进程能够访问文件系统的哪些部分。 其他部分的系统资源 (例如系统用户、 正在运行的进程， 以及网络子系统) 是由 chroot 进程与宿主系统中的其他进程共享的。 jail 扩展了这个模型， 它不仅将文件系统的访问虚拟化， 而且还将用户、 &os; 的网络子系统， 以及一些其他系统资源虚拟化。 关于这些精细控制以及调整 jail 环境访问能力的更具体的介绍， 可参见 。 jail 具有以下四项特点： 目录子树 — 进入 jail 的起点。 一旦进入了 jail， 进程就不再被允许访问这棵子树以外的对象。 传统上影响到最初 &man.chroot.2; 设计的安全问题不会影响 &os; jail。 主机名 — 将用于 jail 的主机名。 jail 主要用于存放网络服务， 因此在每个 mail 上能够标注一个有意义的主机名， 能够在很大程度上简化系统管理员的工作。 IP 地址 — 这个地址是指定给 jail 的， 在 jail 的生命周期内都无法改变。 通常 jail 的 IP 地址是某一个网络接口上的别名地址， 但这并不是必需的。 命令 — 准备在 jail 中执行的可执行文件的完整路径名。 这个命令是相对于 jail 环境的根目录的， 随 jail 环境的类型不同， 可能会有很多不同之处。 除了这些之外， jail 也可以拥有自己的用户和自己的 root 用户。 自然， 这里的 root 用户的权力会受限于 jail 环境， 并且， 从宿主系统的观点看来， jail root 用户并不是一个无所不能的用户。 此外， jail 中的 root 用户不能执行除了其对应 &man.jail.8; 环境之外的系统中的一些关键操作。 关于 root 用户的能力和限制， 在后面的 中将加以介绍。 建立和控制 jail 一些系统管理员喜欢将 jail 分为两类： 完整的 jail， 通常包含真正的 &os; 系统， 以及 服务 jail， 专用于执行一个可能使用特权的应用或服务。 这只是一种概念上的区分， 并不影响如何建立 jail 的过程。 在联机手册 &man.jail.8; 中对如何创建 jail 进行了清晰的阐述： &prompt.root; setenv D /here/is/the/jail &prompt.root; mkdir -p $D &prompt.root; cd /usr/src &prompt.root; make world DESTDIR=$D &prompt.root; cd etc/ This step is not required on &os; 6.0 and later. &prompt.root; make distribution DESTDIR=$D &prompt.root; mount_devfs devfs $D/dev 为 jail 选择一个位置是建立它的第一步。 这个路径是在宿主系统中 jail 的物理位置。 一种常用的选择是 /usr/jail/jailname， 此处 jailname 是 jail 的主机名。 /usr/ 文件系统通常会有足够的空间来保存 jail 文件系统， 对于 完整 的 jail 而言， 这通常包含 &os; 默认安装的基本系统中每个文件的副本。 这个命令将在 jail 目录中安装所需的可执行文件、 函数库以及联机手册等。 这些是以传统的 &os; 风格的方式完成的 — 首先联编所有的文件， 然后将其安装到目标路径。 distribution 这个 make target 将安装全部配置文件， 或者换句话说， 就是将 /usr/src/etc/ 复制到 jail 环境中的 /etc： $D/etc/。 在 jail 中挂接 &man.devfs.8; 文件系统并不是必需的。 而另一方面， 几乎所有的应用程序都会需要访问至少一个设备， 这主要取决于应用程序的性质和目的。 控制 jail 中能够访问的设备非常重要， 因为不正确的配置， 很可能允许攻击者在 jail 中进行一些恶意的操作。 通过 &man.devfs.8; 实施的控制， 可以通过由联机手册 &man.devfs.8; 和 &man.devfs.conf.5; 介绍的规则集配置来实现。 一旦装好了 jail， 就可以使用 &man.jail.8; 工具来安装它了。 &man.jail.8; 工具需要四个必填参数， 这些参数在 中进行了介绍。 除了这四个参数之外， 您还可以指定一些其他参数， 例如， 以特定用户身份来在 jail 中运行程序等等。 这里， 参数取决于您希望建立的 jail 的类型； 对于 虚拟系统， 可以选择 /etc/rc， 因为它会完成真正的 &os; 系统启动所需的操作。 对于 服务 jail， 执行的命令取决于将在 jail 中运行的应用程序。 Jail 通常应在系统启动时启动， 因此， &os; rc 机制提供了一些很方便的机制来简化这些工作。 在引导时需要启动的 jail 列表应写入 &man.rc.conf.5; 文件： jail_enable="YES" # 如果设为 NO 则表示不自动启动 jail jail_list="www" # 以空格分隔的 jail 名字列表 对于 jail_list 中列出的 jail， 还应指定一系列对应的 &man.rc.conf.5; 设置， 用以描述具体的 jail： jail_www_rootdir="/usr/jail/www" # jail 的根目录 jail_www_hostname="www.example.org" # jail 的主机名 jail_www_ip="192.168.0.10" # jail 的 IP 地址 jail_www_devfs_enable="YES" # 在 jail 中挂接 devfs jail_www_devfs_ruleset="www_ruleset" # 在 jail 中应用的devfs 规则集 默认情况下， 在 &man.rc.conf.5; 中配置启动的 jail 会执行其中的 /etc/rc 脚本， 也就是说， 默认情况下将 jail 作为虚拟系统方式来启动。 对于服务 jail， 您应另外指定启动命令， 方法是设置对应的 jail_jailname_exec_start 配置。 如欲了解全部可用的选项， 请参阅联机手册 &man.rc.conf.5;。 /etc/rc.d/jail 脚本也可以用于手工启动或停止 rc.conf 中配置的 jail： &prompt.root; /etc/rc.d/jail start www &prompt.root; /etc/rc.d/jail stop www 目前， 尚没有一项方法来很干净地关闭 &man.jail.8;。 这是因为通常用于正常关闭系统的命令， 目前尚不能在 jail 中使用。 目前， 关闭 jail 最好的方式， 是在 jail 外通过 &man.jexec.8; 工具， 在 jail 中执行下列命令： &prompt.root; sh /etc/rc.shutdown 更进一步的详细说明， 请参见联机手册 &man.jail.8;。 微调和管理 您可以为 jail 设置许多不同的选项， 并让 &os; 宿主系统以不同的方式与 jail 交互， 以支持更高级别的应用。 这一节将介绍： 一些用于微调 jail 行为和安全限制的选项。 一些可以通过 &os; Ports 套件安装的高级 jail 管理应用程序， 这些程序可以用于实现一般的基于 jail 的解决方案。 &os; 提供的用于微调 jail 的系统工具 对于 jail 的配置微调， 基本上都是通过设置 &man.sysctl.8; 变量来完成的。 系统提供了一个特殊的 sysctl 子树， 全部相关的选项均在这棵子树中； 这就是 &os; 内核的 security.jail.* 选项子树。 下面是与 jail 有关的主要 sysctl， 以及这些变量的默认值。 这些名字都比较容易理解， 如欲了解进一步的详情， 请参阅联机手册 &man.jail.8; 和 &man.sysctl.8;。 security.jail.set_hostname_allowed: 1 security.jail.socket_unixiproute_only: 1 security.jail.sysvipc_allowed: 0 security.jail.enforce_statfs: 2 security.jail.allow_raw_sockets: 0 security.jail.chflags_allowed: 0 security.jail.jailed: 0 系统管理员可以在中 宿主系统 中， 透过设置这些变量的值来默认为 root 用户增加或取消限制。 需要注意的是， 某些限制是不能够取消的。 在 &man.jail.8; 中的 root 用户， 无法挂载或卸下文件系统， 此外在 jail 中的 root 用户也不能加载或卸载 &man.devfs.8; 规则集、 配置防火墙规则， 或执行其他需要修改内核数据的管理操作， 例如设置内核的 securelevel 等等。 &os; 的基本系统包含一系列用于查看目前在用的 jail 信息， 以及接入 jail 并执行管理命令所需的基本工具。 &man.jls.8; 和 &man.jexec.8; 命令都是 &os; 基本系统的一部分， 并可用于执行简单的任务： 列出在用的 jail 以及对应的 jail 标识 (JID)、 IP 地址、 主机名和路径。 从宿主系统中接入正在运行的 jail， 并在其中执行命令， 以完成一系列 jail 管理任务。 这在 root 希望干净地关闭 jail 时非常有用。 &man.jexec.8; 工具也可以用于在 jail 中启动 shell 以便对其进行管理； 例如： &prompt.root; jexec 1 tcsh 由 &os; Ports 套件提供的高级管理工具 在众多第三方 jail 管理工具中， 最完整和好用的一个是 sysutils/jailutils。 这是一系列方便 &man.jail.8; 管理的小工具。 请参见其网站以了解进一步的详情。 Jail 的应用 Daniel Gerzo 原作 服务 Jail 这一节主要基于 &a.simon; 的 中的思路， 以及由 Ken Tom locals@gmail.com 更新的文档。 这一节中描述了如何配置 &os; 系统的 &man.jail.8; 功能为其增加一个安全层次。 这部分假定您运行 RELENG_6_0 或更新版本， 并理解本章之前部分的内容。 设计 jail 的一个主要问题是如何对它们进行升级和管理。 由于每个 jail 都是从头联编的， 对于单个 jail 而言升级也许还不是个很严重的问题， 因为升级不会太过麻烦， 而对于多个 jail 而言， 升级不仅会耗费大量时间， 并且十分乏味的过程。 这个配置过程需要您对 &os; 有较多的配置和使用经验。 如果这些过程显得太过复杂， 您应考虑使用较简单的系统， 例如 sysutils/ezjail， 它提供了更简单的管理 &os; jail 的方法。 基本的想法是， 在不同的 jail 中尽可能多地以安全的方式使用共享的资源 — 使用只读的 &man.mount.nullfs.8; 挂接， 这会让升级简单许多， 从而使为每个服务建立不同的 jail 这种方案变得更加可行。 另外， 它也为增加或删除以及升级 jail 提供了更为便捷的方法。 在这里服务的常见例子包括： HTTP 服务、 DNS 服务、 SMTP 服务等等， 诸如此类。 这节介绍的配置的目的包括： 建立简单并易于理解的 jail 结构。 也就是说 不必 为每个 jail 执行完整的 installworld 操作。 使增删 jail 更容易。 使更新或升级 jail 更容易。 使运行自订的 &os; 分支成为可能。 对安全的更偏执的追求， 尽可能减少被攻陷的可能。 尽可能节省空间和 inode。 如前面提到的那样， 这个设计极大程度上依赖于将一份只读的主模板 (known as nullfs) 挂接到没一个 jail 中， 并为每个 jail 配置一个可读写的设备。 这种设备可以是物理磁盘、 分区， 或以 vnode 为后端的 &man.md.4; 设备。 在这个例子中， 我们将使用可读写的 nullfs 挂接。 下面的表中描述了文件系统格局： 每个 jail 挂接到 /home/j 目录下的一个目录。 /home/j/mroot 是每个 jail 共用的模板， 对于所有的 jail 而言都是只读的。 在 /home/j 目录中， 每个 jail 有一个对应的空目录。 每个 jail 中都有一个 /s 目录， 这个目录将连接到系统中的可读写部分。 每个 jail 应基于 /home/j/skel 建立其可读写空间。 每个 jailspace (jail 中的可读写部分) 应创建到 /home/js。 这假定所有的 jail 都放置于 /home 分区中。 当然， 您可以根据需要将这个配置改为需要的任何样子， 但在接下来的例子中， 也应相应地加以变动。 建立模板 这一节将介绍创建 jail 所需的只读主模板所需的步骤。 一般来说， 您应将系统升级到最新的 &os; -RELEASE 分支， 具体做法请参见本手册的相关 章节。 当更新不可行时， 则需要完成 buildworld 过程， 另外， 您还需要 sysutils/cpdup 软件包。 我们将使用 &man.portsnap.8; 工具来下载 &os; Ports 套件。 在使用手册的 Portsnap 章节 中， 提供了针对初学者的介绍。 首先， 需要为将要存放只读的 &os; 执行文件的文件系统建立一个目录， 接着进入 &os; 源代码的目录， 并在其中安装 jail 模板： &prompt.root; mkdir /home/j /home/j/mroot &prompt.root; cd /usr/src &prompt.root; make installworld DESTDIR=/home/j/mroot 接着， 准备一份 &os; Ports 套件， 以及用于执行 mergemaster 的 &os; 源代码： &prompt.root; cd /home/j/mroot &prompt.root; mkdir usr/ports &prompt.root; portsnap -p /home/j/mroot/usr/ports fetch extract &prompt.root; cpdup /usr/src /home/j/mroot/usr/src 创建系统中可读写部分的骨架： &prompt.root; mkdir /home/j/skel /home/j/skel/home /home/j/skel/usr-X11R6 /home/j/skel/distfiles &prompt.root; mv etc /home/j/skel &prompt.root; mv usr/local /home/j/skel/usr-local &prompt.root; mv tmp /home/j/skel &prompt.root; mv var /home/j/skel &prompt.root; mv root /home/j/skel 使用 mergemaster 安装缺失的配置文件。 接下来， 删除 mergemaster 创建的多余目录： &prompt.root; mergemaster -t /home/j/skel/var/tmp/temproot -D /home/j/skel -i &prompt.root; cd /home/j/skel &prompt.root; rm -R bin boot lib libexec mnt proc rescue sbin sys usr dev 现在， 将可读写文件系统连接到只读文件系统中。 请确保您在 s/ 目录中建立了适当的符号连接。 如果没有建立目录或建立的位置不正确， 可能会导致安装失败。 &prompt.root; cd /home/j/mroot &prompt.root; mkdir s &prompt.root; ln -s s/etc etc &prompt.root; ln -s s/home home &prompt.root; ln -s s/root root &prompt.root; ln -s ../s/usr-local usr/local &prompt.root; ln -s ../s/usr-X11R6 usr/X11R6 &prompt.root; ln -s ../../s/distfiles usr/ports/distfiles &prompt.root; ln -s s/tmp tmp &prompt.root; ln -s s/var var 最后， 创建一个默认的包含下列配置的 /home/j/skel/etc/make.conf： WRKDIRPREFIX?= /s/portbuild 配置 WRKDIRPREFIX 使得在每个 jail 中分别编译 &os; 成为可能。 请注意 ports 目录是只读系统的一部分。 而自订的 WRKDIRPREFIX 则使得联编过程得以在 jail 中的可读写部分完成。 建立 Jail 现在我们已经有了完整的 &os; jail 模板， 可以在 /etc/rc.conf 中安装并配置它们了。 这个例子中演示了建立 3 个 jail： NS、 MAIL 和 WWW。 在 /etc/fstab 文件中加入下列配置， 以便让系统自动挂接 jail 的只读模板和读写空间： /home/j/mroot /home/j/ns nullfs ro 0 0 /home/j/mroot /home/j/mail nullfs ro 0 0 /home/j/mroot /home/j/www nullfs ro 0 0 /home/js/ns /home/j/ns/s nullfs rw 0 0 /home/js/mail /home/j/mail/s nullfs rw 0 0 /home/js/www /home/j/www/s nullfs rw 0 0 扫描批次号 (pass number) 为 0 的分区不会在启动时使用 &man.fsck.8; 进行检查， 而转存批次号 (dump number) 为 0 的分区则不会在 &man.dump.8; 时备份。 我们不希望 fsck 检查 nullfs 挂接， 或让 dump 备份 jail 中的只读 nullfs 挂接。 这就是为什么在每个 fstab 条目的最后两列是 0 0 的原因。 在 /etc/rc.conf 中配置 jail： jail_enable="YES" jail_set_hostname_allow="NO" jail_list="ns mail www" jail_ns_hostname="ns.example.org" jail_ns_ip="192.168.3.17" jail_ns_rootdir="/usr/home/j/ns" jail_ns_devfs_enable="YES" jail_mail_hostname="mail.example.org" jail_mail_ip="192.168.3.18" jail_mail_rootdir="/usr/home/j/mail" jail_mail_devfs_enable="YES" jail_www_hostname="www.example.org" jail_www_ip="62.123.43.14" jail_www_rootdir="/usr/home/j/www" jail_www_devfs_enable="YES" 应把 jail_name_rootdir 变量设置成 /usr/home 而不是 /home 的原因是 /home 目录在默认安装的 &os; 上是指向 /usr/home 的一个符号连接。 而 jail_name_rootdir 变量必须是一个 不 包含符号连接的路径， 否则 jail 将拒绝启动。 可以使用 &man.realpath.1; 工具来决定这一变量应被赋予一个什么样的值。 更详细的信息请参阅安全公告 &os;-SA-07:01.jail 为每个 jail 创建所需的只读文件系统挂接点： &prompt.root; mkdir /home/j/ns /home/j/mail /home/j/www 在 jail 中安装可读写的模板。 注意您需要使用 sysutils/cpdup， 它能够帮助您确保每个目录都是正确地复制的： &prompt.root; mkdir /home/js &prompt.root; cpdup /home/j/skel /home/js/ns &prompt.root; cpdup /home/j/skel /home/js/mail &prompt.root; cpdup /home/j/skel /home/js/www 这样， 就完成了 jail 的制作， 可以运行了。 首先为 jail 挂接文件系统， 然后使用 /etc/rc.d/jail 脚本来启动它们： &prompt.root; mount -a &prompt.root; /etc/rc.d/jail start 现在 jail 应该就启动起来了。 要检查它们是否运行正常， 可以使用 &man.jls.8; 命令。 它的输出应该类似这样： &prompt.root; jls JID IP Address Hostname Path 3 192.168.3.17 ns.example.org /home/j/ns 2 192.168.3.18 mail.example.org /home/j/mail 1 62.123.43.14 www.example.org /home/j/www 这时， 就可以登入 jail 并增加用户和配置服务了。 JID 列给出了正在运行的 jail 的标识编号。 您可以使用下面的命令来在 JID 编号为 3 的 jail 中执行管理任务： &prompt.root; jexec 3 tcsh 升级 有时， 由于安全问题， 或新增功能有用， 会希望将系统升级到一个新版本的 &os;。 这种安装方式的设计使得升级现有 jail 变得很容易。 另外， 它也能最大限度地减小停机时间， 因为 jail 只在最后时刻才需要关闭。 另外， 它也提供了简单的回退到先前版本的方法。 第一步是按通常的方法升级主机的系统。 接着， 在 /home/j/mroot2 中建立一个新的临时模板： &prompt.root; mkdir /home/j/mroot2 &prompt.root; cd /usr/src &prompt.root; make installworld DESTDIR=/home/j/mroot2 &prompt.root; cd /home/j/mroot2 &prompt.root; cpdup /usr/src usr/src &prompt.root; mkdir s 在运行 installworld 时会创建一些不需要的目录， 应将它们删除： &prompt.root; chflags -R 0 var &prompt.root; rm -R etc var root usr/local tmp 重建到主系统中的可读写符号连接： &prompt.root; ln -s s/etc etc &prompt.root; ln -s s/root root &prompt.root; ln -s s/home home &prompt.root; ln -s ../s/usr-local usr/local &prompt.root; ln -s ../s/usr-X11R6 usr/X11R6 &prompt.root; ln -s s/tmp tmp &prompt.root; ln -s s/var var 现在是时候关闭 jail 了： &prompt.root; /etc/rc.d/jail stop 卸下原先的文件系统： &prompt.root; umount /home/j/ns/s &prompt.root; umount /home/j/ns &prompt.root; umount /home/j/mail/s &prompt.root; umount /home/j/mail &prompt.root; umount /home/j/www/s &prompt.root; umount /home/j/www 可读写的文件系统 (/s) 会在只读系统之后挂接， 因此应首先卸载。 将先前的只读文件系统挪走， 换成新的系统。 这样做也同时保留了先前系统的备份， 从而可以在出现问题时从中恢复。 这里我们根据新系统的创建时间来命名。 此外我们把先前的 &os; Ports 套件直接移动到新的文件系统中， 以节省磁盘空间和 inode： &prompt.root; cd /home/j &prompt.root; mv mroot mroot.20060601 &prompt.root; mv mroot2 mroot &prompt.root; mv mroot.20060601/usr/ports mroot/usr 现在新的只读模板就可以用了， 剩下的事情是重新挂接文件系统并启动 jails： &prompt.root; mount -a &prompt.root; /etc/rc.d/jail start 最后用 &man.jls.8; 检查 jail 启动是否正常。 不要忘记在 jail 中运行 mergemaster。 配置文件和 rc.d 脚本在升级时应进行更新。 diff --git a/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml b/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml index 6adfdf2eb7..aaad3dc2d8 100644 --- a/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml @@ -1,3160 +1,3160 @@ 获取 FreeBSD CDROM 和 DVD 发行商 零售盒装产品 可以从下面几个零售商那里买到 FreeBSD 的盒装产品(FreeBSD CD， 附加软件，印刷文档)：
CompUSA WWW:
Frys Electronics WWW:
CD 和 DVD 光盘 FreeBSD CD 和 DVD 光盘可以从许多在线零售商那里买到：
BSD Mall by Daemon News PO Box 161 Nauvoo, IL 62354 USA Phone: +1 866 273-6255 Fax: +1 217 453-9956 Email: sales@bsdmall.com - WWW: + WWW:
BSD-Systems Email: info@bsd-systems.co.uk WWW:
FreeBSD Mall, Inc. 3623 Sanford Street Concord, CA 94520-1405 USA - Phone: +1 925 674-0783 + Phone: +1 925 240-6652 Fax: +1 925 674-0821 Email: info@freebsdmall.com WWW:
Dr. Hinner EDV St. Augustinus-Str. 10 D-81825 München Germany Phone: (089) 428 419 WWW:
Ikarios 22-24 rue Voltaire 92000 Nanterre France WWW:
JMC Software Ireland Phone: 353 1 6291282 WWW:
Linux CD Mall Private Bag MBE N348 Auckland 1030 New Zealand Phone: +64 21 866529 WWW:
The Linux Emporium Hilliard House, Lester Way Wallingford OX10 9TA United Kingdom Phone: +44 1491 837010 Fax: +44 1491 837016 WWW:
Linux+ DVD Magazine Lewartowskiego 6 Warsaw 00-190 Poland Phone: +48 22 860 18 18 Email: editors@lpmagazine.org WWW:
Linux System Labs Australia 21 Ray Drive Balwyn North VIC - 3104 Australia Phone: +61 3 9857 5918 Fax: +61 3 9857 8974 WWW:
LinuxCenter.Ru Galernaya Street, 55 Saint-Petersburg 190000 Russia Phone: +7-812-3125208 Email: info@linuxcenter.ru WWW:
发行人 如果您是销售商并且想销售 FreeBSD CDROM 产品， 请和发行人联系：
Cylogistics 809B Cuesta Dr., #2149 Mountain View, CA 94040 USA Phone: +1 650 694-4949 Fax: +1 650 694-4953 Email: sales@cylogistics.com WWW:
Ingram Micro 1600 E. St. Andrew Place Santa Ana, CA 92705-4926 USA Phone: 1 (800) 456-8000 WWW:
Kudzu, LLC 7375 Washington Ave. S. Edina, MN 55439 USA Phone: +1 952 947-0822 Fax: +1 952 947-0876 Email: sales@kudzuenterprises.com
LinuxCenter.Ru Galernaya Street, 55 Saint-Petersburg 190000 Russia Phone: +7-812-3125208 Email: info@linuxcenter.ru WWW:
Navarre Corp 7400 49th Ave South New Hope, MN 55428 USA Phone: +1 763 535-8333 Fax: +1 763 535-0341 WWW:
FTP 站点 官方的 FreeBSD 源代码可以从遍布全球的镜像站点 通过匿名 FTP 下载。 站点 有着良好的网络连接并且允许大量的并发连接， 但是 您或许更想找一个 更近的 镜像站点 (特别是当您想进行某种形式的镜像的时候)。 FreeBSD 镜像 站点数据库要比使用手册中的镜像列表更加精确， 因为它从 DNS 中获取信息而不依赖于静态的主机列表。 FreeBSD 可以从下面这些镜像站点通过匿名 FTP 下载。如果您选择了通过匿名 FTP 获取 FreeBSD， 请尽量使用离您比较近的站点。被列为 主镜像站点 的镜像站点一般都有完整的 FreeBSD 文件 (针对每种体系结构的所有当前可用的版本)， 您或许从您所在的国家或地区的站点下载会得到更快的下载速度。 每个站点提供了最流行的体系结构的最近的版本而有可能不提供完整的 FreeBSD 存档。所有的站点都提供匿名 FTP 访问而有些站点也提供其他的访问方式。对每个站点可用的访问方式 在其主机名后有所说明。 &chap.mirrors.ftp.inc; 匿名 CVS <anchor id="anoncvs-intro">概述 CVS 匿名 匿名 CVS(或人们常说的 anoncvs)是由和 FreeBSD 附带的 CVS 实用工具提供的用于和远程的 CVS 代码库同步的一种特性。 尤其是， 它允许 FreeBSD 用户不需要特殊的权限对任何一台 FreeBSD 项目的官方 anoncvs 服务器执行只读的 CVS 操作。 要使用它，简单的设置 CVSROOT 环境变量指向适当的 anoncvs 服务器， 输入 cvs login 命令 并提供广为人知的密码anoncvs，然后使用 &man.cvs.1; 命令像访问任何本地仓库一样来访问它。 cvs login 命令把用来登录 CVS 服务器的密码储存在您的 HOME 目录中一个叫 .cvspass 的文件里。 如果这个文件不存在， 第一次使用 cvs login 的时候可能会出错。 请创建一个空的 .cvspass 文件，然后试试重新登录。 也可以这么说 CVSup 和 anoncvs 服务本质上提供了同样的功能，但是有各种各样 不同的场合可以影响用户对同步方式的选择。简单来说， CVSup 在网络资源利用方面 更加有效，而且是到目前为止在两者之中技术上更成熟的 除了成本方面。要使用 CVSup，在下载任何东西之前 必须首先安装配置特定的客户端， 而且只能用于下载相当大块的 CVSup 称作 collections。 相比之下，anoncvs 可以通过 CVS 模块名来从单个文件里检出任何东西并赋给特定的程序 (比如 ls 或者 grep)。 当然，anoncvs 也只适用于对 CVS 仓库的只读操作，所以如果您是想用和 FreeBSD 项目共享的仓库提供本地开发的话， CVSup 几乎是您唯一的选择。 <anchor id="anoncvs-usage">使用匿名 CVS 配置 &man.cvs.1; 使用匿名 CVS 仓库可以简单的设定 CVSROOT 环境变量指向 FreeBSD 项目的 anoncvs 服务器之一。到此书写作为止， 下面的服务器都是可用的： 奥地利: :pserver:anoncvs@anoncvs.at.FreeBSD.org:/home/ncvs (使用 cvs login 然后在提示输入口令时输入任意口令。) 法国: :pserver:anoncvs@anoncvs.fr.FreeBSD.org:/home/ncvs (pserver (口令是 anoncvs), ssh (没有口令)) 德国: :pserver:anoncvs@anoncvs.de.FreeBSD.org:/home/ncvs (rsh, pserver, ssh, ssh/2022) 日本: :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs (使用 cvs login 并在提示输入口令时输入 anoncvs.) 台湾地区: :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs (pserver (使用 cvs login 并在提示输入口令时， 输入任意口令。)， ssh (无口令)) SSH2 HostKey: 1024 e8:3b:29:7b:ca:9f:ac:e9:45:cb:c8:17:ae:9b:eb:55 /etc/ssh/ssh_host_dsa_key.pub 美国: freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs (仅 ssh - 无口令) SSH HostKey: 1024 a1:e7:46:de:fb:56:ef:05:bc:73:aa:91:09:da:f7:f4 root@sanmateo.ecn.purdue.edu SSH2 HostKey: 1024 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65 ssh_host_dsa_key.pub USA: anoncvs@anoncvs1.FreeBSD.org:/home/ncvs (仅限 ssh2 - 无口令) SSH2 HostKey: 2048 53:1f:15:a3:72:5c:43:f6:44:0e:6a:e9:bb:f8:01:62 /etc/ssh/ssh_host_dsa_key.pub 因为 CVS 实际上允许 检出 曾经存在的 (或者，某种情况下将会存在) FreeBSD 源代码的任意版本， 您需要熟悉 &man.cvs.1; 的版本 () 参数， 以及在 FreeBSD 代码库中可用的值。 有两种标签，修订标签和分支标签。 修订标签特指一个特定的修订版本。含义始终是不变的。 分支标签，另一方面， 指代给定时间给定开发分支的最新修订， 因为分支标签不涉及特定的修订版本， 它明天所代表的含义就可能和今天的不同。 包括了用户可能感兴趣的 - 修订标签。 另外，这里面没有一个可以用于 Ports Collection， - 因为它没有多个修订版本。 + 修订标签。 请注意， 这些标签并不适用于 Ports Collection， + 因为它并不包含多个开发分支。 当您指定一个分支标签，您通常会得到那个开发分支的文件的最新版本。 如果您希望得到一些旧的版本，您可以用 标记制定一个日期。 察看 &man.cvs.1; 手册页了解更多细节。 示例 在这之前强烈建议您通读 &man.cvs.1; 的手册页， 这里有一些简单的例子来展示如何使用匿名 CVS： 从 -CURRENT 检出些东西 (&man.ls.1;)： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login >在提示符处，输入任意密码 password. &prompt.user; cvs co ls 通过 SSH 检出整个 <filename>src/</filename> 代码树： &prompt.user; cvs -d freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs co src The authenticity of host 'anoncvs.freebsd.org (128.46.156.46)' can't be established. DSA key fingerprint is 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 'anoncvs.freebsd.org' (DSA) to the list of known hosts. 检出 6-STABLE 分支中的 &man.ls.1; 版本： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入任意密码 password。 &prompt.user; cvs co -rRELENG_6 ls 创建 &man.ls.1; 的变化列表(用标准的 diff) &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入任意密码 password。 &prompt.user; cvs rdiff -u -rRELENG_5_3_0_RELEASE -rRELENG_5_4_0_RELEASE ls 找出可以使用的其它的模块名： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入任意密码 password。 &prompt.user; cvs co modules &prompt.user; more modules/modules 其他资源 下面附加的资源可能对学习 CVS 有帮助： CVS 指南 来自 Cal Poly。 CVS 主页， CVS 开发和支持社区。 CVSweb 是 FreeBSD 项目的 CVS web 界面。 使用 CTM CTM CTM 是保持远程目录树和中央服务器目录树同步的一种方法。 它被开发用于 FreeBSD 的源代码树，虽然其他人随着时间推移会发现它可以用于其他目的。 当前几乎没有，也或者只有很少的文档讲述创建 deltas 的步骤， 所以如果您希望使用 CTM 去做其它事情， 请联系 &a.ctm-users.name; 邮件列表了解更多信息。 为什么我该使用 <application>CTM</application>? CTM 会给您一份 FreeBSD 源代码树的本地副本。 代码树有很多的 flavors 可用。不管您是希望跟踪完整的 CVS 树还是只是一个分支， CTM 都会给您提供信息。 如果您是 FreeBSD 上的一个活跃的开发者，但是缺乏或者不存在 TCP/IP 连接，或者只是希望把变化自动发送给您， CTM 就是适合您的。对于最积极的分支 您将会每天获得三个以上的 deltas。 然而，您应该考虑通过邮件来自动发送。 升级的大小总是保证尽可能的小。 通常小于 5K，也偶然(十分之一可能)会有 10-50K，也不时地有个大的 100K+ 甚至更大的。 您也需要让自己了解直接和开发代码而不是预发行版本打交道的各种警告。这种情况会很显著， 如果您选择了 current 代码的话。强烈建议您阅读和 FreeBSD 保持同步。 使用 <application>CTM</application> 我需要做什么？ 您需要两样东西：CTM 程序，还有初始的 deltas 来 feed it(达到 current 级别)。 CTM 程序从版本 2.0 发布以来 已经是 FreeBSD 的一部分了，如果您安装了源代码副本的话， 它位于 /usr/src/usr.sbin/ctm。 您喂给 CTM 的 deltas 可以有两种方式，FTP 或者 email。 如果您有普通的访问 Internet 的 FTP 权限， 那么下面的 FTP 站点支持访问 CTM： 或者看看这一小节镜像。 FTP 访问相关的目录并取得 README 文件，从那里开始。 如果您希望通过 email 得到您的 deltas： 订阅一个 CTM 分发列表。 &a.ctm-cvs-cur.name; 支持完整的 CVS 树。 &a.ctm-src-cur.name; 支持最新的开发分支。 &a.ctm-src-4.name; 支持 4.X 发行分支， 等等。。(如果您不知道如何订阅邮件列表， 点击上面的列表名或者到 &a.mailman.lists.link; 点击您希望订阅的列表。 列表页包含了所有必要的订阅指导。) 当您开始接收到您邮件中的 CTM 升级时，您可以使用 ctm_rmail 程序来解压并应用它们。 事实上如果您想要让进程以全自动的形式运行的话，您可以通过在 /etc/aliases 中设置直接使用 ctm_rmail 程序。 查看 ctm_rmail 手册页了解更多细节。 不管您使用什么方法得到 CTM deltas，您都应该订阅 &a.ctm-announce.name; 邮件列表。 以后会有单独的地方提交有关 CTM 系统的操作的公告。 点击上面的邮件列表名并按照指示订阅邮件列表。 第一次使用 <application>CTM</application> 在您开始使用 CTM delta 之前，您需要获得一个起始点。 首先您应该确定您已经有了什么。每个人都可以从一个空目录开始。 您必须用一个初始的 空的 delta 来开始您的 CTM 支持树。曾经为了您的便利这些 起始 deltas 被有意的通过 CD 来发行， 然而现在已经不这样做了。 因为代码树有数十兆字节，您应该更喜欢从手头上已经有的东西开始。如果您有一张 -RELEASE CD 光盘，您可以从里面复制或者解压缩一份初始代码出来。 这会节省非常多的数据传输量。 您会发现这些初始的 deltas 名字的数字后面都有个 X (比如 src-cur.3210XEmpty.gz)。 后面加一个 X 的设计符合您的初始 seed 的由来。 Empty 是一个空目录。通常一个基本的从 Empty 开始的转换由 100 个 deltas 构成。顺便说一下，他们都很大！70 到 80 兆字节的 gzip 压缩的数据对于 XEmpty deltas 是很平常的。 一旦您已经选定了一个基本的 delta 开始，您就需要比这个数高的所有的 delta。 在您的日常生活中使用 <application>CTM</application> 要应用 deltas，简单的键入： &prompt.root; cd /where/ever/you/want/the/stuff &prompt.root; ctm -v -v /where/you/store/your/deltas/src-xxx.* CTM 能够理解被 gzip 压缩的 deltas，所以您不需要先 gunzip 他们，这可以节省磁盘空间。 除非觉得整个过程非常可靠， CTM 不会涉及到您的代码树的。您也可以使用 标记来校验 delta， 这样 CTM 就不会涉及代码树； 它会只校验 delta 的完整性看看是否可以安全的用于您的当前代码树。 CTM 还有其他的一些参数， 查看手册页或者源代码了解更多信息。 这真的就是全部的事情了。每次得到一个新的 delta，就通过 CTM 运行它来保证您的代码是最新的。 如果这些 deltas 很难重新下载的话不要删除它们。 有些东西坏掉的时候您会想到保留它们的。 即使您只有软盘，也请考虑使用 fdwrite 来做一份副本。 维持您本地的变动 作为一名开发者喜欢实验，改动代码树中的文件。 CTM 用一种受限的方式支持本地修改：再检查文件 foo 存在之前，首先查找 foo.ctm。如果这个文件存在， CTM 会对它操作而不是 foo。 这种行为给我们提供了一种简单的方式来维持本地的改动： 只要复制您计划修改的文件并用 .ctm 的后缀重新命名。 然后就可以自由的修改代码了，CTM 会更新 .ctm 文件到最新版本。 其他有趣的 <application>CTM</application> 选项 正确的找出哪些将被更新 您可以确定变动列表， CTM 可以做到，在您的代码库上使用 CTM 的 选项。 这很有用如果您想要保存改动的日志， pre- 或者 post- 用各种风格处理修改的文件的纪录， 或者仅仅是想感受一下孩子般的疯狂。 在升级前制作备份 有时您可能想备份将要被 CTM 升级所改动的所有文件。 指定 选项会导致 CTM 备份将要被给定的 CTM delta 改动的所有文件到 backup-file。 限定受升级影响的文件 有时您可能对限定一个给定的 CTM 升级的范围感兴趣，也有可能想知道怎样从一列 deltas 中解压缩一部分文件。 您可以通过使用 和 选项指定过滤规则表达式来控制 CTM 即将对之操作的文件列表。 例如，要从您保存的CTM deltas 集里解压缩出一个最新的 lib/libc/Makefile 文件，运行这个命令： &prompt.root; cd /where/ever/you/want/to/extract/it/ &prompt.root; ctm -e '^lib/libc/Makefile' ~ctm/src-xxx.* 对于每一个在 CTM delta 中指定的文件， 和 选项按照命令行给定的顺序应用。 文件只有在所有的 和 被应用之后标记为合格之后 才能被 CTM 操作。 <application>CTM</application> 未来的计划 其中几项： 在 CTM 中使用一些认证方式， 这样来允许察觉冒充的 CTM 补丁。 整理 CTM 的选项， 它们变得杂乱而违反直觉了。 杂项 也有一系列的 ports collection 的 deltas，但是人们对它的兴致还没有那么高。 CTM 镜像 CTM/FreeBSD 可以在下面的镜像站点通过匿名 FTP 下载。如果您选择通过匿名 FTP 获取 CTM， 请试着使用一个离您较近的站点。 如果有问题，请联系 &a.ctm-users.name; 邮件列表。 加利福尼亚州，海湾地区，官方源代码 南非，旧的 deltas 的备份服务器 中国台湾 如果您在您附近找不到镜像或者镜像不完整， 试着使用搜索引擎比如 alltheweb. 使用 CVSup 概述 CVSup 是一个用于从远程服务器主机上的主 CVS 仓库发布和升级源代码树的软件包。 FreeBSD 的源代码维护在加利福尼亚州一台主开发服务器的 CVS 仓库里。 有了 CVSup，FreeBSD 用户可以很容易的保持他们自己的源代码树更新。 CVSup 使用所谓的升级 pull 模式。在 pull 模式下，客户端在需要的时候向服务器端请求更新。 服务器被动的等待客户端的升级请求。 因此所有的升级都是客户端发起的。 服务器决不会发送未请求的升级。用户必须手动运行 CVSup 客户端获取更新， 或者设置一个 cron 作业来让它以固定的规律自动运行。 术语 CVSup用大写字母写正是表示， 代表了完整的软件包。 它的主要组件是运行在每个用户机器上的客户端 cvsup， 和运行在每个 FreeBSD 镜像站点上的服务器端 cvsupd。 当您阅读 FreeBSD 文档和邮件列表时，您可能会看见 sup。 Sup 是 CVSup 的前身，有着相似的目的。 CVSup 使用很多和 sup 相同的方式， 而且， 它还是用使用和 sup 的兼容的配置文件。 Sup 已经不再被 FreeBSD 项目使用了， 因为 CVSup 既快又有更好的灵活性。 csup 是用 C 语言对 CVSup 软件的重写。 它最大的好处是， 这个程序更快一些， 并且也不需要依赖于 Modula-3 语言， 因此也就不需要安装后者。 另外， 如果您使用 &os; 6.2 或更新版本， 就可以直接使用， 因为它成为了基本系统的一部分。 较早的 &os; 版本的基本系统中并不包含 &man.csup.1;， 但可以通过 net/csup port 或预编译包来安装。 不过需要注意的是， csup 工具并不支持 CVS 模式。 如果您希望对代码库做完整的镜像， 则还是需要使用 CVSup。 假如您决定使用 csup， 则可以跳过安装 CVSup 这一步， 并在文章中余下部分提到的 CVSup 改为 csup。 安装 安装 CVSup 最简单的方式就是使用 FreeBSD packages collection 中预编译的 net/cvsup 包。 如果您想从源代码构建 CVSup， 您可以使用 net/cvsup port。但是预先警告一下： net/cvsup port 依赖于 Modula-3 系统，会花费相当的时间和磁盘空间来下载编译。 如果想在没有安装 &xfree86; 或 &xorg; 的计算机， 例如服务器上使用 CVSup， 则只能使用不包含 CVSup GUI 的 net/cvsup-without-gui。 如果希望在 &os; 6.1 或更早版本中安装 csup， 则可以从 FreeBSD 的 packages collection 中安装预编译的 net/csup 包； 如果希望自行从源代码编译 csup， 也可以用 net/csup port 来安装。 CVSup 配置 CVSup 的操作被一个叫做 supfile 的配置文件所控制。 在目录 /usr/share/examples/cvsup/ 下面有一些示例的 supfiles。 supfile 中的信息解答了 CVSup 下面的几个问题： 您想接收 哪些文件？ 您想要它们的 哪个版本？ 您想从哪里 获取它们？ 您想把它们 放在您自己机器的什么地方？ 您想把 您的状态文件放在哪？ 在下面的章节里，我们通过依次回答这些问题来创建一个典型的 supfile 文件。首先，我们描述一下 supfile 的整体构成。 supfile 是个文本文件。注释用 # 开头，至行尾有效。 空行和只包含注释的行会被忽略。 每个保留行描述一批用户希望接收的文件。 每行以 collection， 由服务器端定义的合理的文件分组，的名字开头。 collection 的名字告诉服务器您想要的文件。 collection 名字结束或者有更多的字段，用空格分隔。 这些字段回答了上面列出的问题。 字段类型有两种：标记字段和值字段。 标记字段由独立的关键字组成，比如， delete 或者 compress。值字段也用关键字开头， 关键字后面跟 = 和第二个词而没有空格。 例如，release=cvs 是一个值字段。 一个典型的 supfile 往往接收多于一个的 collection。创建 supfile 的一种方式是明确的为每一个 collection 指定相关的字段。然而，这样使得 supfile 的行变得特别长，很不方便， 因为 supfile 中的所有 collection 的大部分 字段都是相同的。 CVSup 提供了一个默认机制来避免 这些问题。用特定的伪 collection 名 *default 开头的行可以被用来设置标记和值为 supfile 中随后的 collection 中的默认值。 默认值可以通过为这个 collection 自身指定不同的值来对单个的 collection 覆盖设置， 也可以在 mid-supfile 中通过附加的 *default 行改变或扩充。 知道了这些，我们现在就可以开始创建一个 用于接收和升级 FreeBSD-CURRENT 主源代码树的 supfile 文件了。 您想接收哪些文件？ 通过 CVSup 可用的文件组织成叫做 collections 的名称组。 这些可用的 collection 在 随后的章节 中描述。 在这个例子里， 我们希望接收 FreeBSD 系统的完整的主代码树。 有一个单独的大的 collection src-all 让我们完成这个。 创建我们的 supfile 的第一步， 我们简单的列出这些 collection，每个一行(在这个例子里， 只有一行)： src-all 您想要他们的 哪个版本？ 通过 CVSup，您实际上可以接收 曾经存在的源代码的任何版本。 这是有可能的，因为 cvsupd 服务器直接通过 CVS 仓库工作，那包含了所有的版本。您可以 用 tag= 和 值字段 指定一个您想要的版本。 仔细的正确指定任何 tag= 字段。有一些 tag 只对特定的 collection 文件合法。 如果您指定了一个不正确的或者 拼写错误的 tag，CVSup 会删除您可能不想删除的文件。 特别地，对 ports-* collection 只使用 tag=.。 tag= 字段在仓库中表示为一个符号标签。 有两种标签，修订标签和分支标签。 修订标签代表一个特定的修订版本。 它的含义是一成不变的。 分支标签，另一方面，代表给定开发线上给定时间的最新修订。 因为分支标签不代表一个特定的修订版本， 它明天的含义就可能和今天的有所不同。 包含了用户可能感兴趣的分支标签。 当在 CVSup 的配置文件中指定标签的时候，必须用 tag= 开头 (RELENG_4 会变成 tag=RELENG_4)。 记住只有 tag=. 可以用于 Ports Collection。 注意像看到的那样正确的输入标签名。 CVSup 不能辨别合法和不合法标签。 如果您拼写错了标签名， CVSup 会像您指定了一个没有任何文件的合法标签一样工作， 那会删除您已经存在的代码。 当您指定一个分支标签的时候，您通常会收到开发线上文件的最新版本。 如果您希望接收一些过时的版本，您可以通过用 值字段指定一个日期来做到。 &man.cvsup.1; 手册页解释了如何来做。 对于我们的示例来说，我们希望接收 FreeBSD-CURRENT。 我们在我们的 supfile 的开头添加这行： *default tag=. 有一个重要的特例， 如果您既没指定 tag= 字段也没指定 date= 字段的情况。这种情况下， 您会收到直接来自于服务器 CVS 仓库的真实的 RCS 文件， 而不是某一特定版本。 开发人员一般喜欢这种操作模式。 通过在他们的系统上维护一份仓库自身的副本， 他们可以浏览修订历史以及检查文件过去的版本。 然而，这个好处是以大量的磁盘空间为代价的。 您想从哪里获取他们？ 我们使用 host= 字段来告诉 cvsup 从哪里获取更新。 任何一个 CVSup 镜像站点都可以， 虽然您应该选择一个离您比较近的站点。 在这个例子里我们将使用一个虚拟的 FreeBSD 发布站点， cvsup99.FreeBSD.org： *default host=cvsup99.FreeBSD.org 您需要在运行 CVSup 之前把这个改成一个实际存在的站点。 在任何 cvsup 运行的特定时刻， 您都可以在命令行上使用 选项来覆盖主机设置。 您想把它们放在 您自己机器的什么地方？ prefix= 字段告诉 cvsup 把接收的文件放在哪里。 在这个例子里，我们把源代码文件直接放进我们的主源代码树， /usr/src。 src 目录已经隐含在我们选择接收的 collection 里了， 所以正确的写法是： *default prefix=/usr cvsup 在哪里维护它的状态文件？ CVSup 客户端在被叫做 base 的目录里维护了几个状态文件。 这些文件帮助 CVSup 更有效的工作， 通过跟踪您已经接收到哪些更新的方式。 我们将使用标准的 base 目录， /var/db： *default base=/var/db 如果您的 base 目录还不存在，现在最好创建它。 如果 base 目录不存在，cvsup 客户端会拒绝工作。 其他的 supfile 设置： 在 supfile 中有一些其他选项需要介绍一下： *default release=cvs delete use-rel-suffix compress release=cvs 显示服务器应该从 FreeBSD 的主 CVS 仓库中获取信息。 事实上总是这样的，但是也有可能会超出这个讨论的范围。 delete 给 CVSup 权限删除文件。 您应该总是指定这个，这样 CVSup 可以保证您的源代码树完全更新。CVSup 很小心的只删除那些不再依赖的文件。 您拥有的任何额外的文件会被严格的保留。 use-rel-suffix 是 ... 不可思议的。 如果您真的想了解它，查看 &man.cvsup.1; 手册页。 否则，就指定而不用担心这个。 compress 启用 gzip 风格的信道压缩。 如果您的网络连接是 T1 或者更快， 您可能不想使用压缩。 否则，它非常有帮助。 把它们放在一起： 这是我们的示例的完整 supfile 文件： *default tag=. *default host=cvsup99.FreeBSD.org *default prefix=/usr *default base=/var/db *default release=cvs delete use-rel-suffix compress src-all <filename>refuse</filename> 文件 像上面提到的，CVSup 使用一种 pull 方法。基本上，这意味着您要连接到 CVSup 服务器，服务器说， 这有些您能下载的东西 ...，然后您的客户端反应好，我要这个， 这个，这个，还有这个。在默认的配置中， CVSup 客户端会取回您在配置文件中选定的 collection 和标签的每个文件。 然而，并不总是您想要的， 尤其是您在同步 doc，ports，或者 www 树 — 大部分人都不能阅读四种或者五种 语言，因此他们不需要下载特定语言的文件。 如果您在 CVSup Ports Collection，您 可以通过单独指定每个 collection 来避免这个 (比如，ports-astrology， ports-biology，等等取代简单的说明 ports-all)。然而，因为 doc 和 www 树没有特定语言的 collection，您必须 使用 CVSup 许多极好的特性之一： refuse 文件。 refuse 文件本质上是告诉 CVSup 它不应该从 collection 中取得某些文件；换句话说，它告诉客户端 拒绝 来自服务器的特定的文件。 refuse 文件可以在 base/sup/ 中找到(或者，如果您没有，应该创建一个)。 base 在您的 supfile 中定义； 默认情况下，base 就是 /var/db， 这意味着默认的 refuse 文件就是 /var/db/sup/refuse。 refuse 文件的格式很简单； 它仅仅包含您不希望下载的文件和目录名。 例如，如果您除了英语和德语之外不会讲其他语言， 而且也不打算阅读德文的文档翻译版本， 则可以把下面这些放在您的 refuse 文件里： doc/bn_* doc/da_* doc/de_* doc/el_* doc/es_* doc/fr_* doc/it_* doc/ja_* doc/nl_* doc/no_* doc/pl_* doc/pt_* doc/ru_* doc/sr_* doc/tr_* doc/zh_* 等等其他语言(您可以通过浏览 FreeBSD CVS 仓库找到完整的列表)。 有这个非常有用的特性，那些慢速连接或者要为他们的 Internet 连接按时付费的用户就可以节省宝贵的时间因为他们不再需要 下载那些从来不用的文件。要了解 refuse 文件的更多信息以及其它 CVSup 的优雅的特性，请浏览它的 手册页。 运行 <application>CVSup</application> 您现在准备尝试升级了。命令很简单： &prompt.root; cvsup supfile supfile 的位置当然就是您刚刚创建的 supfile 文件名啦。 如果您在 X11 下面运行，cvsup 会显示一个有一些可以做平常事情的按钮的 GUI 窗口。 按 go 按钮，然后看着它运行。 在这个例子里您将要升级您目前的 /usr/src 树，您将需要 用 root 来运行程序，这样 cvsup 有需要的权限来更新您的文件。 刚刚创建了您的配置文件，又从来没有使用过这个程序， 紧张不安是可以理解的。有一个简单的方法不改变您当前的文件 来做一次试验性的运行。只要在方便的地方创建一个 空目录，并在命令行上作为一个额外的参数说明： &prompt.root; mkdir /var/tmp/dest &prompt.root; cvsup supfile /var/tmp/dest 您指定的目录会作为所有文件更新的目的路径。 CVSup 会检查您在 /usr/src 中的文件，但是不会修改或 删除。任何文件更新都会被放到 /var/tmp/dest/usr/src 里了。 在这种方式下运行 CVSup 也会把它的 base 目录状态文件保持原样。这些文件的新版本 会被写到指定的目录。 因为您有 /usr/src 目录的读权限，所以执行这种试验性的运行 甚至不需要使用 root 用户。 如果您没有运行 X11 或者不喜欢 GUI， 当您运行 cvsup 的时候需要在命令行添加 两个选项： &prompt.root; cvsup -g -L 2 supfile 告诉 CVSup 不要使用 GUI。如果您 没在运行 X11 这个是自动的，否则您必须指定它。 告诉 CVSup 输出所有正在升级的文件的细节。 有三个等级可以选择，从 到 。默认是 0，意味着除了错误消息 什么都不输出。 还有许多其它的选项可用。想要一个简短的列表， 输入 cvsup -H。要查看更详细的描述， 请查看手册页。 一旦您对升级工作的方式满意了，您就 可以使用 &man.cron.8; 来安排规则的运行 CVSup。 很显然的，您不应该让 CVSup 通过 &man.cron.8; 运行的时候使用它的 GUI。 <application>CVSup</application> 文件 collection CVSup 可用的文件 collection 是分级组织的。 有几个大的 collection，然后它们有分成更小的子 collection。接收一个大的 collection 等同于 接收它的每一个子 collection。 collection 的等级关系在下面列表中通过缩进的使用 反映出来。 最常用的 collection 是 src-all，和 ports-all。其它的 collection 只被有着特定 目的的小部分人使用， 有些站点可能不全部支持。 cvs-all release=cvs FreeBSD 主 CVS 仓库，包含 密码系统的代码。 distrib release=cvs FreeBSD 发行版本和镜像相关的 文件。 doc-all release=cvs FreeBSD 使用手册和其它文档的源代码。 其中不包含 FreeBSD web 站点的文件。 ports-all release=cvs FreeBSD Ports Collection。 如果您不想升级全部的 ports-all(整个 ports 树)， 而只是使用下面列出的一个子集， 请确保您总是升级了 ports-base 子 collection！ 无论何时在 ports 构建下层构造有所改变的时候都会通过 ports-base 表现出来，事实上某些 改变会很快的被实际的 ports 使用，因此，如果您只升级了 实际的 ports 而他们使用了一些新的特性， 就有极大的可能编译会因一些神秘的错误信息而失败。 这种情况下非常快速的要做的事情 就是确保您的 ports-base 子 collection 更新到 最新。 要自行构建 ports/INDEX， 您 必须 接受 ports-all (完整的 ports tree)。 在部分 ports tree 上构建 ports/INDEX 是不被支持的。 请参见 FAQ。 ports-accessibility release=cvs 用以帮助残疾用户的软件。 ports-arabic release=cvs 阿拉伯语支持。 ports-archivers release=cvs 存档工具。 ports-astro release=cvs 天文相关的 ports。 ports-audio release=cvs 声音支持。 ports-base release=cvs Ports Collection 构建下部构造 - 位于 /usr/ports 的 Mk/ 和 Tools/ 子目录的 各种各样的文件。 请查看 重要警告：您应该 总是更新这个 子 collection，无论您更新 FreeBSD Ports Collection 的任何部分的时候！ ports-benchmarks release=cvs 基准。 ports-biology release=cvs 生物学。 ports-cad release=cvs 计算机辅助设计工具。 ports-chinese release=cvs 中文语言支持。 ports-comms release=cvs 通信软件。 ports-converters release=cvs 字符编码转换。 ports-databases release=cvs 数据库 ports-deskutils release=cvs 计算机发明前常出现在桌面上的东西。 ports-devel release=cvs 开发工具。 ports-dns release=cvs DNS 相关软件。 ports-editors release=cvs 编辑器 ports-emulators release=cvs 其它操作系统的模拟器 ports-finance release=cvs 货币，金融相关应用程序。 ports-ftp release=cvs FTP 客户端和服务器端工具。 ports-games release=cvs 游戏 ports-german release=cvs 德语支持。 ports-graphics release=cvs 图形图像工具。 ports-hebrew release=cvs 希伯来语支持。 ports-hungarian release=cvs 匈牙利语言支持。 ports-irc release=cvs Internet 多线交谈(IRC)工具。 ports-japanese release=cvs 日语支持。 ports-java release=cvs &java; 工具。 ports-korean release=cvs 韩国语言支持。 ports-lang release=cvs 编程语言。 ports-mail release=cvs 邮件软件。 ports-math release=cvs 数值计算软件。 ports-mbone release=cvs MBone 应用程序。 ports-misc release=cvs 杂样工具。 ports-multimedia release=cvs 多媒体软件。 ports-net release=cvs 网络软件。 ports-net-im release=cvs 即时消息软件。 ports-net-mgmt release=cvs 网管软件。 ports-net-p2p release=cvs 对等网 (peer to peer network) 应用。 ports-news release=cvs USENET 新闻软件。 ports-palm release=cvs Palm 系列软件支持。 ports-polish release=cvs 波兰语支持。 ports-ports-mgmt release=cvs 用于管理 ports 和预编译包的工具。 ports-portuguese release=cvs 葡萄牙语支持。 ports-print release=cvs 打印软件。 ports-russian release=cvs 俄语支持。 ports-science release=cvs 科学计算。 ports-security release=cvs 安全工具。 ports-shells release=cvs 命令行 shell。 ports-sysutils release=cvs 系统实用工具。 ports-textproc release=cvs 文本处理工具(不 包含桌面出版)。 ports-ukrainian release=cvs 乌克兰语支持。 ports-vietnamese release=cvs 越南语支持。 ports-www release=cvs 万维网(WWW)相关软件。 ports-x11 release=cvs 支持 X window 系统的 ports。 ports-x11-clocks release=cvs X11 时钟。 ports-x11-drivers release=cvs X11 驱动程序。 ports-x11-fm release=cvs X11 文件管理器。 ports-x11-fonts release=cvs X11 字体和字体工具。 ports-x11-toolkits release=cvs X11 工具包。 ports-x11-servers release=cvs X11 服务器。 ports-x11-themes release=cvs X11 主题。 ports-x11-wm release=cvs X11 窗口管理器。 projects-all release=cvs FreeBSD 内部项目的代码库。 src-all release=cvs FreeBSD 主代码，包含密码系统的代码。 src-base release=cvs /usr/src 顶层的各式各样的文件。 src-bin release=cvs 但用户模式下可能用到的用户工具 (/usr/src/bin)。 src-cddl release=cvs 采用了 CDDL 授权的实用工具和函数库 (/usr/src/cddl)。 src-contrib release=cvs FreeBSD 项目之外的工具和库，通常在 FreeBSD 中不作修改 (/usr/src/contrib)。 src-crypto release=cvs FreeBSD 项目之外的 密码系统工具和库，通常在 FreeBSD 中不作修改 (/usr/src/crypto)。 src-eBones release=cvs Kerberos 和 DES (/usr/src/eBones)。 没有在当前的 FreeBSD 发行中使用。 src-etc release=cvs 系统配置文件 (/usr/src/etc)。 src-games release=cvs 游戏 (/usr/src/games)。 src-gnu release=cvs GNU 公共许可协议的工具 (/usr/src/gnu)。 src-include release=cvs 头文件 (/usr/src/include)。 src-kerberos5 release=cvs Kerberos5 安全包 (/usr/src/kerberos5)。 src-kerberosIV release=cvs KerberosIV 安全包 (/usr/src/kerberosIV)。 src-lib release=cvs 库 (/usr/src/lib)。 src-libexec release=cvs 通常被其它程序调用的系统程序 (/usr/src/libexec)。 src-release release=cvs 生成 FreeBSD 版本必需的文件 (/usr/src/release)。 src-rescue release=cvs 用于紧急修复的静态联编的程序； 请参见 &man.rescue.8; (/usr/src/rescue)。 src-sbin release=cvs 但用户模式的系统工具 (/usr/src/sbin)。 src-secure release=cvs 密码相关库和命令 (/usr/src/secure)。 src-share release=cvs 跨多个平台的共享的文件 (/usr/src/share)。 src-sys release=cvs 内核 (/usr/src/sys)。 src-sys-crypto release=cvs 内核密码系统代码 (/usr/src/sys/crypto)。 src-tools release=cvs 维护 FreeBSD 的各种各样的工具 (/usr/src/tools)。 src-usrbin release=cvs 用户工具 (/usr/src/usr.bin)。 src-usrsbin release=cvs 系统工具 (/usr/src/usr.sbin)。 www release=cvs FreeBSD WWW 站点的源代码。 distrib release=self CVSup 服务器的 配置文件。用于 CVSup 镜像站点。 gnats release=current GNATS bug 跟踪数据库。 mail-archive release=current FreeBSD 邮件列表存档。 www release=current 预处理过的 FreeBSD WWW 站点文件(不是源文件)。 用于 WWW 镜像站点。 更多信息 CVSup FAQ 以及关于 CVSup 的其他信息， 请查看 CVSup 主页。 多数与 FreeBSD 有关的 CVSup 讨论会在 &a.hackers; 进行。 这个软件的新版本会在那里和 &a.announce; 公布。 如果对于 CVSup 有任何问题， 或希望提交 bug 报告， 请参阅 CVSup FAQ。 CVSup 站点 FreeBSD 的 CVSup 服务器运行于 下列站点： &chap.mirrors.cvsup.inc; 使用 Portsnap 介绍 Portsnap 是一套用以安全地分发 &os; ports 套件的系统。 每隔大约一个小时， 就会生成一份 ports 的最新 快照， 它会被打包并进行数字签名。 这些文件接下来将通过 HTTP 来分发。 与 CVSup 类似， Portsnap 采用 拉 (pull) 的模式来进行更新： 经过打包并签名的 ports tree 被放在 web 服务器上， 被动地等待用户请求它们。 用户需要手工运行 &man.portsnap.8; 来下载更新， 或者设置 &man.cron.8; 任务来自动地进行更新。 由于一些技术原因， Portsnap 并不自动地直接更新位于 /usr/ports/ 目录中的 实际的 ports tree； 事实上， 默认情况下它只操作位于 /var/db/portsnap/ 的压缩的 ports tree 副本， 而这个副本则用于更新实际的 ports tree。 如果 Portsnap 是通过 &os; Ports Collection 安装的， 则这份压缩快照的默认位置则是 /usr/local/portsnap/ 而非 /var/db/portsnap/。 安装 在 &os; 6.0 和更新版本上， Portsnap 已经成为 &os; 基本系统的一部分。 在较早版本的 &os; 中， 它可经由 ports-mgmt/portsnap port 来安装。 Portsnap 的配置 Portsnap 的操作， 是通过 /etc/portsnap.conf 配置文件来控制的。 对于多数用户来说， 默认的配置文件已经可用了； 要了解进一步的细节， 则应参考 &man.portsnap.conf.5; 联机手册。 假如 Portsnap 是通过 &os; Ports Collection 安装的， 则它将使用配置文件 /usr/local/etc/portsnap.conf 而非 /etc/portsnap.conf。 这个文件并不随 port 的安装自动创建， 但我们提供了一个示例的配置文件； 将其复制到合适的位置， 然后运行下面的命令： &prompt.root; cd /usr/local/etc && cp portsnap.conf.sample portsnap.conf 首次运行 <application>Portsnap</application> 在首次运行 &man.portsnap.8; 时， 它需要将整个 ports tree 的压缩快照下载到 /var/db/portsnap/ (或者， 如果 Portsnap 是通过 Ports Collection 安装的， 则是 /usr/local/portsnap/)。 在 2006 年初， 其下载尺寸大约是 41 MB。 &prompt.root; portsnap fetch 一旦下载了压缩的快照， 就可以将它释放成为位于 /usr/ports/ 中的 实际的 ports tree 了。 即时之前那个目录中已经有了一份 ports tree 也需要这样做 (例如， 通过使用 CVSup)， 因为这个操作， 将为后续的 portsnap 决定更新 ports tree 的哪一部份提供基础。 &prompt.root; portsnap extract 默认安装时， 并不会自动创建 /usr/ports 这个目录。 如果您使用 &os; 6.0-RELEASE， 在首次使用 portsnap 之前应手工创建这个目录。 在更高版本的 &os; 和 Portsnap 中， 这个操作会由 portsnap 命令自动完成。 更新 Ports Tree 在首次下载压缩的 ports tree 快照， 并将其释放到 /usr/ports/ 之后， 更新 ports tree 包含下面两步： fetch(下载) 对于压缩快照的更新， 并使用它们来 update(更新) 实际的 ports tree。 这两步可以通过一个 portsnap 命令来完成： &prompt.root; portsnap fetch update 较早版本的 portsnap 并不支持这种写法。 如果不能用的话， 试试看下面的： &prompt.root; portsnap fetch &prompt.root; portsnap update 通过 cron 来运行 Portsnap 为了避免对于 Portsnap 服务器的 快闪 式访问， portsnap fetch 不支持作为 &man.cron.8; 任务来运行。 与此相反， 提供了一个特殊的 portsnap cron 命令， 它在开始下载更新之前会随机等待最多 3600 秒。 此外， 强烈建议不要将 portsnap update 作为 cron 任务来运行， 因为它可能给正在同时进行的 port 安装带来大问题。 不过， 更新 ports 的 INDEX 文件一般并无大碍， 这可以通过 portsnap的 参数来实现 (显然， 如果 portsnap -I update 是通过 cron 来运行的， 在之后还需要执行不带 的 portsnap update 来更新 ports tree 余下的部分。) 可以在 /etc/crontab 中加入下列设置， 以便让 portsnap 更新其压缩快照， 以及位于 /usr/ports/ 中的 INDEX 文件， 并在有 port 过期时发出邮件通知： 0 3 * * * root portsnap -I cron update && pkg_version -vIL= 如果系统时钟没有设置为使用本地时区， 请将 3 改为一介于 0 和 23 的随机值， 以便让 Portsnap 服务器的负载更为平均。 某些较早版本的 portsnap， 并不支持在一次调用 portsnap 时使用多个命令 (例如， cron update)。 如果这样不行， 请将 portsnap -I cron update 改为 portsnap cron && portsnap -I update。 CVS 标签 当使用 cvs 或者 CVSup 获取和升级源代码的时候，必须指定一个修订标签。 修订标签代表 &os; 开发的一个特定分支， 或者一个特定的时间点。第一种叫做 分支标签，第二种叫做 版本标签。 分支标签 所有这些，除了 HEAD (这个总是 合法标签)以外，只适用于 src/ 树。ports/，doc/，和 www/ 树没有分支。 HEAD 主线的符号名，或者说 FreeBSD-CURRENT。 当没有指定修订版本的时候也是默认的。 在 CVSup 里，这个标签通过 一个 . 来反映出来(不是标点，而是一个 . 字符)。 在 CVS 里，当没有修订标签指定时这是默认的。 在一台 STABLE 机器上检出或者升级到 CURRENT 源代码 通常不是 一个好主意，除非这是您的本意。 RELENG_6 这是 FreeBSD-6.X 的开发分支， 也被称作 FreeBSD 6-STABLE。 RELENG_6_2 FreeBSD-6.2 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_1 FreeBSD-6.1 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_0 FreeBSD-6.0 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_5 这是 FreeBSD-5.X 的开发分支， 也被称作 FreeBSD 5-STABLE。 RELENG_5_5 FreeBSD-5.5 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_4 FreeBSD-5.4 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_3 FreeBSD-5.3 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_2 针对 FreeBSD-5.2 和 FreeBSD-5.2.1 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_5_1 针对 FreeBSD-5.1 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_5_0 针对 FreeBSD-5.0 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4 FreeBSD-4.X 开发线，也被叫做 FreeBSD-STABLE。 RELENG_4_11 FreeBSD-4.11 发行版， 只被安全公告和其它重要更新使用。 RELENG_4_10 针对 FreeBSD-4.10 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_9 针对 FreeBSD-4.9 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_8 针对 FreeBSD-4.8 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_7 针对 FreeBSD-4.7 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_6 针对 FreeBSD-4.6 和 FreeBSD-4.6.2 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_5 针对 FreeBSD-4.5 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_4 针对 FreeBSD-4.4 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_3 针对 FreeBSD-4.3 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_3 FreeBSD-3.X 的开发线，也被叫做 3.X-STABLE。 RELENG_2_2 FreeBSD-2.2.X 的开发线，也被叫做 2.2-STABLE。这个分支过于陈旧了。 版本标签 当一个特定的 &os; 版本发行时， 这些标签代表了一个指定的时间点。发布工程进程在 Release Engineering Information 和 Release Process 文档中被详细描述。 src 树使用以 RELENG_ 开头的标签。 ports 和 doc 树使用以 RELEASE 开头的标签。 最后， www 树上不会有任何特定发行版的标签。 RELENG_6_2_0_RELEASE FreeBSD 6.2 RELENG_6_1_0_RELEASE FreeBSD 6.1 RELENG_6_0_0_RELEASE FreeBSD 6.0 RELENG_5_5_0_RELEASE FreeBSD 5.5 RELENG_5_4_0_RELEASE FreeBSD 5.4 RELENG_4_11_0_RELEASE FreeBSD 4.11 RELENG_5_3_0_RELEASE FreeBSD 5.3 RELENG_4_10_0_RELEASE FreeBSD 4.10 RELENG_5_2_1_RELEASE FreeBSD 5.2.1 RELENG_5_2_0_RELEASE FreeBSD 5.2 RELENG_4_9_0_RELEASE FreeBSD 4.9 RELENG_5_1_0_RELEASE FreeBSD 5.1 RELENG_4_8_0_RELEASE FreeBSD 4.8 RELENG_5_0_0_RELEASE FreeBSD 5.0 RELENG_4_7_0_RELEASE FreeBSD 4.7 RELENG_4_6_2_RELEASE FreeBSD 4.6.2 RELENG_4_6_1_RELEASE FreeBSD 4.6.1 RELENG_4_6_0_RELEASE FreeBSD 4.6 RELENG_4_5_0_RELEASE FreeBSD 4.5 RELENG_4_4_0_RELEASE FreeBSD 4.4 RELENG_4_3_0_RELEASE FreeBSD 4.3 RELENG_4_2_0_RELEASE FreeBSD 4.2 RELENG_4_1_1_RELEASE FreeBSD 4.1.1 RELENG_4_1_0_RELEASE FreeBSD 4.1 RELENG_4_0_0_RELEASE FreeBSD 4.0 RELENG_3_5_0_RELEASE FreeBSD-3.5 RELENG_3_4_0_RELEASE FreeBSD-3.4 RELENG_3_3_0_RELEASE FreeBSD-3.3 RELENG_3_2_0_RELEASE FreeBSD-3.2 RELENG_3_1_0_RELEASE FreeBSD-3.1 RELENG_3_0_0_RELEASE FreeBSD-3.0 RELENG_2_2_8_RELEASE FreeBSD-2.2.8 RELENG_2_2_7_RELEASE FreeBSD-2.2.7 RELENG_2_2_6_RELEASE FreeBSD-2.2.6 RELENG_2_2_5_RELEASE FreeBSD-2.2.5 RELENG_2_2_2_RELEASE FreeBSD-2.2.2 RELENG_2_2_1_RELEASE FreeBSD-2.2.1 RELENG_2_2_0_RELEASE FreeBSD-2.2.0 AFS 站点 FreeBSD 的 AFS 服务器运行于下面的站点： 瑞典 文件的路径是： /afs/stacken.kth.se/ftp/pub/FreeBSD/ stacken.kth.se # Stacken Computer Club, KTH, Sweden 130.237.234.43 #hot.stacken.kth.se 130.237.237.230 #fishburger.stacken.kth.se 130.237.234.3 #milko.stacken.kth.se 维护者 ftp@stacken.kth.se rsync 站点 下面的站点让 FreeBSD 可以通过 rsync 协议下载。 rsync 实用程序和 &man.rcp.1; 的工作方式很相像， 但是有更多的选项，使用 rsync 远程更新协议只传输 两份文件的不同之处， 因此能够大幅度的提高网络同步速率。 如果您是 FreeBSD FTP 服务器或者 CVS 仓库的镜像站点， 这一点非常有用。 rsync 套件可以工作在许多种 操作系统上，在 FreeBSD 上，查看 net/rsync port 或者使用 package。 捷克共和国 rsync://ftp.cz.FreeBSD.org/ 可用的 collection： ftp：FreeBSD FTP 服务器的 部分镜像。 FreeBSD：FreeBSD FTP 服务器的 完整镜像。 德国 rsync://grappa.unix-ag.uni-kl.de/ 可用的 collection： freebsd-cvs：完整的 FreeBSD CVS 仓库。 这台服务器也镜像 NetBSD 和 OpenBSD 项目， 还有其他的一些项目的 CVS 仓库。 荷兰 rsync://ftp.nl.FreeBSD.org/ 可用的 collection： vol/4/freebsd-core: 对于 FreeBSD FTP 服务器的完整镜像。 台湾地区 (中国) rsync://ftp.tw.FreeBSD.org/ rsync://ftp2.tw.FreeBSD.org/ rsync://ftp6.tw.FreeBSD.org/ 可用的 collection： FreeBSD： FreeBSD FTP 服务器的完整镜像。 英国 rsync://rsync.mirror.ac.uk/ 可用的 collection： ftp.FreeBSD.org: FreeBSD FTP 服务器 的完整镜像。 美国 rsync://ftp-master.FreeBSD.org/ 服务器只供 FreeBSD 主镜像站点使用。 可用的 collection： FreeBSD：FreeBSD FTP 服务器的主要存档。 acl：FreeBSD 主 ACL 列表。 rsync://ftp13.FreeBSD.org/ 可用的 collection： FreeBSD：FreeBSD FTP 服务器的完整 镜像。 diff --git a/zh_CN.GB2312/books/handbook/security/chapter.sgml b/zh_CN.GB2312/books/handbook/security/chapter.sgml index 83eb063537..c05022f9ee 100644 --- a/zh_CN.GB2312/books/handbook/security/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/security/chapter.sgml @@ -1,4439 +1,4440 @@ Matthew Dillon 这一章的许多内容来自 security(7) 联机手册，其作者是 安全 security 概述 这一章将对系统安全的基本概念进行介绍， 除此之外， 还将介绍一些好的习惯， 以及 &os; 下的一些更深入的话题。 这章的许多内容对于一般的系统和 Internet 安全也适用。 如今， Internet 已经不再像以前那样是一个人人都愿意与您作好邻居的 友善 的地方。 让系统更加安全， 将保护您的数据、 智力财产、 时间， 以及其他很多东西不至于被入侵者或心存恶意的人所窃取。 &os; 提供了一系列工具和机制来保证您的系统和网络的完整及安全。 读完这章，您将了解： 基本的 &os; 系统安全概念。 &os; 中众多可用的密码学设施，例如 DES 和 MD5。 如何设置一次性口令验证机制。 如何配置 TCP Wrappers 以便与 inetd 配合使用。 如何在 &os; 5.0 以前的版本上设置 KerberosIV。 如何在 &os; 上设置 Kerberos5。 如何配置 IPsec 并在 &os;/&windows; 机器之间建构 VPN。 如何配置并使用 OpenSSH，以及 &os; 的 SSH 执行方式。 系统 ACL 的概念，以及如何使用它们。 如何使用 Portaudit 工具来审核从 Ports Collection 安装的第三方软件包的安全性。 如何从 &os; 的安全公告中获得有用信息并采取相应措施。 对于进程记帐功能的感性认识， 并了解如何在 &os; 中启用它。 在开始阅读这章之前，您需要： 理解基本的 &os; 和 Internet 概念。 其他安全方面的话题， 则贯穿本书的始终。 例如， 强制性访问控制 (MAC) 在 中进行了介绍， 而 Internet 防火墙则在 中进行了讨论。 介绍 安全是系统管理员自始至终的基本要求。 由于所有的 BSD &unix; 多用户系统都提供了与生俱来的安全性， 因此建立和维护额外的安全机制， 确保用户的 诚实 可能也就是最需要系统管理员考虑的艰巨的工作了。 机器的安全性取决于您设置的安全设施， 而许多安全方面的考虑， 则会与人们使用计算机时的便利性相矛盾。 一般来说， &unix; 系统能够胜任数目众多进程并发地处理各类任务， 这其中的许多进程是以服务身份运行的 — 这意味着， 外部实体能够与它们互联并产生会话交互。 如今的桌面系统， 已经能够达到许多昔日的小型机甚至主机的性能， 而随着这些计算机的联网和在更大范围内完成互联， 安全也成为了一个日益严峻的课题。 系统的安全也应能够应付各种形式的攻击， 这也包括那些使系统崩溃， 或阻止其正常运转， 但并不试图窃取 root 帐号 (破译 root) 的攻击形式。 安全问题大体可分为以下几类： 拒绝服务攻击。 窃取其他用户的帐户。 通过可访问服务窃取root帐户。 通过用户帐户窃取root帐户。 建立后门。 DoS 攻击 拒绝服务攻击 (DoS) 安全 DoS 攻击 拒绝服务攻击 (DoS) 拒绝服务攻击 (DoS) 拒绝式服务攻击是侵占机器所需资源的一种行为。 通常， DoS 攻击采用暴力(brute-force)手段通过压倒性的流量来破坏服务器和网络栈， 以使机器崩溃或无法使用。 某些 DoS 攻击则利用在网络栈中的错误， 仅用一个简单的信息包就可以让机器崩溃， 这类情况通常只能通过给内核打补丁来修复。 在一些不利的条件下， 对服务器的攻击能够被修复， 只要适当地修改一下系统的选项来限制系统对服务器的负荷。 顽强的网络攻击是很难对付的。 例如，一个欺骗性信息包的攻击， 无法阻止入侵者切断您的系统与Internet的连接。 它不会使您的机器死掉，但它会把Internet连接占满。 security 窃取用户帐户 窃取用户帐户要比D.o.S.攻击更加普遍。 许多系统管理员仍然在他们的服务器上运行着基本的 telnetd，rlogind， rshd 和 ftpd 服务。 这些服务在默认情况下不会以加密连接来操作。 结果是如果您的系统有中等规模大小的用户群， 在通过远程登录的方式登录到您系统的用户中， 一些人的口令会被人窃取。 仔细的系统管理员会从那些成功登录系统的远程访问日志中寻找可疑的源地址。 通常必须假定，如果一个入侵者已经访问到了一个用户的帐户， 那么它就可能使自己成为 root。 然而， 事实是在一个安全和维护做得很好的系统中， 访问用户的帐户不一定会让入侵者成为 root。 这个差别是很重要的，因为没有成为 root 则入侵者通常是无法隐藏它的轨迹的， 而且， 如果走运的话， 除了让用户的文件乱掉和系统崩溃之外， 它不能做什么别的事情。 窃取用户帐户是很普遍的事情， 因为用户往往不会对系统管理员的警告采取措施。 security 后门 系统管理员必须牢牢记住，可能有许多潜在的方法会使他们机器上的 root 用户受到威胁。入侵者可能知道 root 的口令，而如果在以 root 权限运行的服务器上找到一个缺陷 (bug)， 就可以通过网络连接到那台服务器上达到目的；另外， 一旦入侵者已经侵入了一个用户的帐户， 可以在自己的机器上运行一个 suid-root 程序来发现服务器的漏洞， 从而让他侵入到服务器并获取 root。 攻击者找到了入侵一台机器上 root 的途径之后， 他们就不再需要安装后门了。许多 root 漏洞被发现并修正之后， 入侵者会想尽办法去删除日志来消除自己的访问痕迹， 所以他们会安装后门。 后门能给入侵者提供一个简单的方法来重新获取访问系统的 root 权限， 但它也会给聪明的系统管理员一个检测入侵的简便方法。 让入侵者无法安装后门事实上对您的系统安全是有害的， 因为这样并不会修复那些侵入系统的入侵者所发现的新漏洞。 安全的管理方法应当使用像 洋葱皮 一样多层次的方法来实现， 这些措施可以按下面的方式进行分类： 确保 root 和维护人员帐户的安全。 确保 root – 以root用户权限运行的服务器和suid/sgid可执行程序的安全。 确保用户帐户的安全。 确保口令文件的安全。 确保内核中核心组件、直接访问设备和文件系统的安全。 快速检测系统中发生的不适当的变化。 做个偏执狂。 这一章的下一节将比较深入地讲述上面提到的每一个条目。 确保 &os; 的安全 security 确保 &os; 的安全 命令与协议 在这份文档中，我们使用 粗体 来表示应用程序， 并使用 单倍距 字体来表示命令。 这样的排版区分能够有效地区分类似 ssh 这样的概念， 因为它既可以表示命令，又可以表示协议。 接下来的几节中， 将介绍在这一章中 前一节 中所介绍的那些加强 &os; 系统安全性的手段。 确保 <username>root</username> 和维护人员帐户的安全 su 首先，如果您没有确保 root 帐户的安全， 就没必要先劳神确保用户帐户的安全了。绝大多数系统都会指派一个口令给 root 帐户。 我们的第一个假定是，口令 总是 不安全的。 这并不意味着您要把口令删掉。 口令通常对访问机器的控制台来说是必须的。 也就是说， 您应该避免允许在控制台以外的地方使用口令， 甚至包括使用 &man.su.1; 命令的情形。 例如，确信您的 pty 终端在 /etc/ttys 文件中被指定为 insecure (不安全)，这将使直接通过 telnet 或 rlogin 登录 root 会不被接受。 如果使用如 sshd 这样的其他登录服务， 也要确认直接登录 root 是关闭的。您可以通过编辑 /etc/ssh/sshd_config 文件来做到这一点，确信 PermitRootLogin 被设置成 NO。 考虑到每一种访问方法 — 如FTP这样的服务， 以免因为它们而导致安全性的损失。 直接登录 root 只有通过系统控制台才被允许。 wheel 当然， 作为一个系统管理员， 您应当获得 root身份， 因此， 我们开了一些后门来允许自己进入。 但这些后门只有在经过了额外的口令确认之后才能使用。 一种让 root 可访问的方法是增加适当的用户帐户到 wheel 组 (在 /etc/group 中)。wheel 组中的用户成员可以使用 su 命令来成为 root。 绝对不应该通过在口令项中进行设置来赋予维护人员天然的 wheel 组成员身份。 维护人员应被放置在 staff 组中，然后通过 /etc/group 文件加入到 wheel 组。事实上，只有那些需要以 root 身份进行操作的用户才需要放进 wheel 组中。 当然，也可以通过 某种其它的验证手段，例如 Kerberos，可以通过 root 帐户中的 .k5login 文件来允许执行 &man.ksu.1; 成为 root ，而不必把它们放进 wheel 组。 这可能是一种更好的解决方案， 因为 wheel 机制仍然可能导致入侵者获得 root ，如果他拿到了口令文件，并能够进入职员的帐户。 尽管有 wheel 比什么都没有要强一些， 但它并不是一种绝对安全的办法。 一种间接地提高员工帐号， 乃至 root 权限安全性的方法， 便是采用其他的登录访问方式， 并使用 星号 替代员工加密的口令。使用 &man.vipw.8; 命令， 可以把每一个加密的口令替换成一个 * 符。 这将更新 /etc/master.passwd 文件，以及 用户名/口令数据库，以禁用口令登录。 如下面的员工帐号 foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh 应被改为： foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh 这一更改将阻止一般的登录，因为加密的口令永远不会与 * 匹配。一旦这么做之后， 任何员工都必须使用其他的方式来完成登录，例如，使用 &man.kerberos.1; 或者通过 &man.ssh.1; 利用 公钥/密钥对 的方式来完成登录。当使用 Kerberos 这样的工具时，通常必须加强运行 Kerberos 的服务器，以及桌面工作站的安全性。当使用 公钥/密钥对以 ssh 登录时，通常必须加固用户 开始 登录的那台机器的安全 (通常这是他们的工作站)。 在这之上还可以增加一层安全性，即在使用 &man.ssh-keygen.1; 生成它的时候，使用口令来保护它们。 如果能够用 星号 替换掉所有员工的口令， 那么，这也就保证了他们只能通过您设置的安全的方法来登录。 这将迫使所有的员工使用安全的、经过加密的连接来完成他们的会话， 而这将使得入侵者通过监听网络通讯， 从某些不相关的、 不太安全的机器上窃取口令成为不可能。 另一种间接的安全机制则是， 从严格受限的机器向限制更宽松的机器上登录。 例如， 如果您的服务器运行了所有的服务，那么，工作站应该什么都不运行。 为了让工作站尽可能地安全，应该避免运行任何没有必要的服务， 甚至不运行任何服务。 另外， 也应该考虑使用带口令保护功能的屏幕保护程序。 毋庸置疑， 如果攻击者能够物理地接触您的工作站， 那么他就有能力破坏任何安全设施，这确实是我们需要考虑的一个问题，但同样地， 真正能够物理接触您的工作站或服务器并实施攻击的人在现实生活中并不常见， 绝大多数攻击来自于网络， 而攻击者往往无法物理地接触服务器或工作站。 KerberosIV 使用类似 Kerberos 这样的工具，也为我们提供了使用一个工具来禁用某个用户， 或修改他们的口令， 并在所有机器上立即生效的方法。 如果员工的帐号被窃取， 能够在所有的其他机器上生效的口令变更将很有意义。如果口令分散地保存在多个机器上， 一次修改 N 台机器上的口令很可能是一件痛苦的事情。 此外， Kerberos 还能够提供更多的限制，除了 Kerberos 令牌有很好的过期机制之外， 它还能够强制用户在某个特定的期限内修改口令(比如说，每月一次). 确保以root用户权限运行的服务器和suid/sgid可执行程序的安全 ntalk comsat finger sandboxes sshd telnetd rshd rlogind 谨慎的管理员只运行他们需要的服务， 不多， 不少。 要当心第三方的服务程序很可能有更多的问题。 例如， 运行旧版的 imapd 或 popper 无异于将 root 令牌拱手送给全世界的攻击者。 永远不要运行那些您没有仔细检查过的服务程序， 另外也要知道， 许多服务程序并不需要以 root 的身份运行。 例如， ntalk、 comsat， 以及 finger 这些服务， 都能够以一种被称作 沙盒 的特殊用户的身份运行。 除非您已经解决掉了许多麻烦的问题， 否则沙盒就不是完美的， 但洋葱式安全规则仍然成立： 如果有人设法攻破了在沙盒中运行的程序， 那么在做更多坏事之前， 他们还必须想办法攻破沙盒本身的限制。 攻击者需要攻破的层次越多， 他们成功的可能性就越小。 过去， 破解 root 的漏洞几乎在所有以 root 身份运行的服务上都发现过， 包括那些基本的系统服务。 如果您的机器只打算向外界提供 sshd 登录， 而用户不会使用 telnetd 或 rshd 甚至 rlogind 登录， 就应该毫不犹豫地关闭它们！ &os; 现在默认在沙盒中运行 ntalkd, comsat, 以及 finger。此外， &man.named.8; 也可以这样运行。 /etc/defaults/rc.conf 中包括了如何如此运行 named 的方法，只是这些内容被注释掉了。 如何升级或安装系统将决定这些沙盒所使用的特殊用户是否被自动安装。 谨慎的系统管理员将根据需要研究并实现沙盒。 sendmail 此外，还有一些服务通常并不在沙盒中运行： sendmail, popper, imapd, ftpd, 以及一些其他的服务。当然，它们有一些替代品，但安装那些服务可能需要做更多额外的工作。 可能必须以 root 身份运行这些程序， 并通过其他机制来检测入侵。 系统中另一个比较大的 root 漏洞 是安装在其中的 suid-root 和 sgid 的可执行文件。绝大多数这类程序， 例如 rlogin, 被存放于 /bin, /sbin, /usr/bin, 或 /usr/sbin 中。 尽管并没有 100% 的安全保证，但系统默认的 suid 和 sgid 可执行文件通常是相对安全的。 当然，偶尔也会发现一些存在于这些可执行文件中的 root 漏洞。1998年，Xlib 中发现了一处 root 漏洞，这使得 xterm (通常是做了suid的) 变得可以入侵。 做得安全些， 总比出现问题再后悔要强。 因此，谨慎的管理员通常会限制 suid 可执行文件， 并保证只有员工帐号能够执行它们，或只开放给特定的用户组，甚至彻底干掉 (chmod 000) 任何 suid 可执行文件， 以至于没有人能够执行它们。没有显示设备的服务器通常不会需要 xterm 可执行文件。 sgid 可执行文件通常同样地危险。 一旦入侵者攻克了sgid-kmem，那么他就能够读取 /dev/kmem 并进而读取经过加密的口令文件， 从而窃取任何包含口令的帐号。另外，攻破了 kmem 的入侵者能够监视通过 pty 传送的按键序列，即使用户使用的是安全的登录方式。 攻破了 tty 组的用户则能够向几乎所有用户的 tty 写入数据。如果用户正在运行一个终端程序，或包含了键盘模拟功能的终端仿真程序， 那么，入侵者能够以那个用户的身份执行任何命令。 确保用户帐户的安全 用户帐号的安全通常是最难保证的。虽然您可以为您的员工设置严苛的登录限制， 并用 星号 替换掉他们的口令， 但您可能无法对普通的用户这么做。 如果有足够的决策权， 那么在保证用户帐号安全的斗争中或许会处于优势， 但如果不是这样， 您能做的只是警惕地监控这些帐号的异动。 让用户使用 ssh 或 Kerberos 可能会有更多的问题， 因为需要更多的管理和技术支持， 尽管如此， 与使用加密的口令文件相比， 这仍不失为一个好办法。 确保口令文件的安全 能够确保起作用的唯一一种方法， 是将口令文件中尽可能多的口令用星号代替， 并通过 ssh 或 Kerberos 来使用这些账号。 即使只有 root 用户能够读取加密过的口令文件 (/etc/spwd.db)， 入侵者仍然可能设法读到它的内容， 即使他暂时还无法写入这个文件。 您的安全脚本应该经常检查并报告口令文件的异动 (参见后面的 检查文件完整性 一节)。 确保内核中内核设备、直接访问设备和文件系统的安全 如果攻击者已经拿到了 root 那么他就有能力作任何事情， 当然， 有一些事情是他们比较喜欢干的。 例如， 绝大多数现代的内核都包括一个内建的听包设备。 在 &os; 中，这个设备被称作 bpf 。攻击者通常会尝试在攻克的系统上运行它。 如果您不需要 bpf 设备提供的功能，那么，就不要把它编入内核。 sysctl 但即使已经关掉了 bpf 设备，您仍然需要担心 /dev/mem 和 /dev/kmem 。 就事论事地说，攻击者仍然能够通过直接访问的方式写入磁盘设备。同样地， 还有一个被称作模块加载器， &man.kldload.8; 的机制，也会包含潜在的危险。 尝试入侵企业网络的入侵者会尝试在正在运行的内核上安装他自己的 bpf 设备，或其他听包设备。为了防止这些问题， 需要抬高内核安全级， 至少调整到 1。 可以通过对 kern.securelevel 执行 sysctl 来完成这个任务。 一旦把安全级调整到1， 对于直接访问设备的写入操作将被拒绝， 而特殊的 chflags 标记， 如 schg， 也将强制执行。 一定要在重要的启动执行文件、 目录和脚本文件上设置 schg 标记 — 不要漏过在安全级生效之前将被运行的任何文件。 这可能做得有些过火， 并将导致在较高安全级上运行时升级系统变得困难。 您也可以略微做些妥协， 即以较高的安全级运行， 但并不将系统文件和目录配置为 schg。 另一种可行的方法是把 / 和 /usr 以只读方式挂接。 请注意， 如果保护措施做的过分的严苛， 则可能导致入侵检测无法进行， 而这种检测是安全中十分重要的一环。 检查文件完整性: 可执行文件，配置文件和其他文件 当实施严格的限制时，往往会在使用的方便性上付出代价。例如，使用 chflags 来把 schg 标记 应用到 / 和 /usr 中的绝大多数文件上可能会起到反作用， 因为尽管它能够保护那些文件， 但同时也使入侵检测无法进行。 层次化安全的最后一层可能也是最重要的 — 检测。 如果无法检测出潜在的入侵行为， 那么安全的其他部分可能相对来讲意义可能就不那么大了 (或者，更糟糕的事情是， 那些措施会给您安全的假象)。 层次化安全最重要的功能是减缓入侵者， 而不是彻底不让他们入侵， 这样才可能当场抓住入侵者。 检测入侵的一种好办法是查找那些被修改、 删除或添加的文件。 检测文件修改的最佳方法是与某个 (通常是中央的) 受限访问的系统上的文件进行比对。 在一台严格限制访问的系统上撰写您的安全脚本通常不能够被入侵者察觉， 因此，这非常重要。为了最大限度地发挥这一策略的优势，通常会使用只读的 NFS， 或者设置 ssh 钥匙对以便为其他机器提供访问。除了网络交互之外， NFS可能是一种很难被察觉的方法 — 它允许您监控每一台客户机上的文件系统， 而这种监控几乎是无法察觉的。如果一台严格受限的服务器和客户机是通过交换机连接的， 那么 NFS 将是一种非常好的方式。 不过，如果那台监控服务器和客户机之间通过集线器 (Hub)，或经过许多层的路由来连接，则这种方式就很不安全了， 此时，应考虑使用 ssh ，即使这可以在审计记录中查到。 一旦为这个受限的机器赋予了至少读取它应监控的客户系统的权限， 就应该为实际的监控撰写脚本。以 NFS 挂接为例，可以用类似 &man.find.1; 和 &man.md5.1; 这样的命令为基础来完成我们所需的工作。 最好能够每天对被控机的所有执行文件计算一遍 md5，同时，还应以更高的频率测试那些 /etc 和 /usr/local/etc 中的控制文件。一旦发现了不匹配的情形，监控机应立即通知系统管理员。 好的安全脚本也应该检查在系统分区，如 / 和 /usr 中是否有新增或删除的可执行文件，以及不适宜的 suid 。 如果打算使用 ssh 来代替 NFS，那么撰写安全脚本将变得困难许多。 本质上，需要在脚本中使用 scp 在客户端复制文件， 另一方面，用于检查的执行文件 (例如 find) 也需要使用 scp 传到客户端，因为 ssh 客户程序很可能已经被攻陷。 总之，在一条不够安全的链路上 ssh 可能是必须的， 但也必须应付它所带来的难题。 安全脚本还应该检查用户以及职员成员的权限设置文件： .rhosts、 .shosts、 .ssh/authorized_keys 等等。 这些文件可能并非通过 MD5 来进行检查。 如果您的用户磁盘空间很大， 检查这种分区上面的文件可能非常耗时。 这种情况下， 采用标志来禁止使用 suid 可执行文件将是一个好主意。 您可能会想看看 nosuid 选项 （参见 &man.mount.8;）。 尽管如此， 这些扫描仍然应该至少每周进行一次， 这样做的意义并不是检测有效的攻击， 而是检查攻击企图。 进程记帐 (参见 &man.accton.8;) 是一种相对成本较低的， 可以帮助您在被入侵后评估损失的机制。 对于找出入侵者是如何进入系统的这件事情来说， 它会非常的有所助益，特别是当入侵者什么文件都没有修改的情况下。 最后， 安全脚本应该处理日志文件， 而日志文件本身应该通过尽可能安全的方法生成 — 远程 syslog 可能非常有用。 入侵者会试图掩盖他们的踪迹， 而日志文件对于希望了解入侵发生时间的系统管理员来说则显得尤为重要。 保持日志文件的永久性记录的一种方法是在串口上运行系统控制台， 并在一台安全的机器上收集这些信息。 偏执 带点偏执不会带来伤害。作为一种惯例， 系统管理员在不影响使用的便利的前提下可以启用任何安全特性，此外， 在经过深思熟虑之后，也可以增加一些 确实会 让使用变得不那么方便的安全特性。 更重要的是，有安全意识的管理员应该学会混合不同的安全策略 — 如果您逐字逐句地按照这份文档来配置您的机器， 那无异于向那些同样能得到这份文档的攻击者透露了更多的信息。 拒绝服务攻击 拒绝服务 (DoS) 这一节将介绍拒绝服务攻击。 DoS 攻击通常是基于数据包的攻击， 尽管几乎没有任何办法来阻止大量的伪造数据包耗尽网络资源， 但通常可以通过一些手段来限制这类攻击的损害，使它们无法击垮服务器： 限制服务进程 fork。 限制 springboard 攻击 (ICMP 响应攻击， ping 广播，等等)。 使内核路由缓存过载。 一种比较常见的 DoS 攻击情形， 是通过攻击复制进程 (fork) 的服务， 使其产生大量子进程， 从而是其运行的机器耗尽内存、 文件描述符等资源， 直到服务器彻底死掉。 inetd (参见 &man.inetd.8;) 提供了许多选项来限制这类攻击。 需要注意的是， 尽管能够阻止一台机器彻底垮掉， 但通常无法防止服务本身被击垮。 请仔细阅读 inetd 的联机手册， 特别是它的 、 以及 这三个选项。 伪造 IP 攻击能够绕过 inetd 的 选项， 因此， 这些选项需要配合使用。 某些独立的服务器也有类似的限制参数。 例如， Sendmail 就提供了自己的 选项， 它通常比 Sendmail 的负载限制选项更为有效， 因为服务器负载的计算有滞后性。 您可以在启动 sendmail 时指定一个 MaxDaemonChildren 参数； 把它设的足够高以便承载您所需要的负荷， 当然， 不要高到足以让运行 Sendmail 的机器死掉。 此外， 以队列模式 () 运行 Sendmail 并把服务程序 (sendmail -bd) 和队列执行程序分别执行 (sendmail -q15m) 也是一个好主意。 如果您希望保证队列的实时性， 可以考虑使用更短的间隔， 例如 ， 但同时也需要指定一个合理的子进程数， 也就是通过 MaxDaemonChildren 选项以免 那个 Sendmail 造成重叠的故障。 Syslogd 可以被直接地攻击，因此， 强烈建议只要可行，就在启动它的时候加上 参数， 其他情况下，则至少应该加上 。 对于基于连接的服务，例如 TCP Wrapper 的 reverse-identd， 都应该格外的小心， 因为它们都可能直接遭受攻击。 一般情况下， 基于安全考虑， 不应使用 TCP Wrapper 所提供的 reverse-ident 这样的功能。 此外， 将内部服务保护起来， 阻止来自其他主机的访问也十分重要， 这些工作可以通过设置边界路由器来完成。 主要的想法， 是阻止来自您的 LAN 以外的访问， 这有助于避免 root 受到攻击。 尽可能配置排他式的防火墙， 例如， 用防火墙阻止所有的网络流量 除了 端口 A、B、 C、D，以及 M-Z。 通过采用这种方法， 您可以很容易地将低端口的访问阻止在外， 而又不难配置使防火墙放过那些明确需要开放的服务， 例如 named (如果您的机器准备作为域的主要解析服务器)， ntalkd， sendmail，以及其他可以从 Internet 访问的服务。 如果您尝试以其他方式配置防火墙 — 采用比较宽松的策略， 那么您将很有可能忘记 关掉 一两个服务， 或者在增加了一些服务之后忘记更新防火墙策略。 尽管如此， 仍然可以考虑允许让数据进入编号较高的那一部分端口， 这将保证那些需要这样特性的服务能够正常工作， 而又不影响低端口服务的安全性。 此外， 还应注意到 &os; 允许您来控制动态绑定的端口的范围， 即一系列 net.inet.ip.portrange 变量，通过 sysctl 来完成设置。 (sysctl -a | fgrep portrange)。 这使得您完成较复杂的防火墙策略变得易如反掌。 例如， 您可能希望普通的高段端口的起止范围是 4000 到 5000， 而更高范围则是 49152 到 65535， 随后在防火墙中阻止低于 4000 的所有端口 (当然， 除了那些特地为 Internet 访问而开设的端口)。 另一种常被称作 springboard 的攻击也是非常常见的 DoS 攻击 — 它通过使服务器产生其无法处理的响应来达到目的。 最常见的攻击就是 ICMP ping 广播攻击。 攻击者通过伪造 ping 包， 将其源 IP 设置为希望攻击的机器的 IP。 如果您的边界路由器没有进行禁止 ping 广播地址的设置， 则您的网络将最终陷于响应伪造的 ping 包之中， 特别是当攻击者同时使用了多个不同的网络时。 广播攻击能够产生超过 120 兆位的瞬时流量。 另一种常见的针对 ICMP 错误报告系统的 springboard 攻击， 通过建立可以生成 ICMP 出错响应的包， 攻击者能够攻击服务器的网络下行资源， 并导致其上行资源耗尽。 这种类型的攻击也可以通过耗尽内存来使得使得被攻击的服务器崩溃， 特别是当这些服务器无法足够快地完成 ICMP 响应的时候。 较新的内核可以通过调整 sysctl 变量 net.inet.icmp.icmplim 来限制这种攻击。 最后一类主要的 springboard 是针对某些 inetd 的内部服务， 例如 udp echo 服务进行的。 攻击者简单地伪造一个来自服务器 A 的 echo 口的 UDP 包， 然后将这个包发到 B 的 echo 口。 于是， 两台服务器将不停地将包弹给对方。 攻击者能够将两台服务器的这种服务都耗竭， 并且通过这种方式， 只需要很少的包就可以让 LAN 超载。 类似的问题对 chargen 口也是存在的。 好的系统管理员应该关闭这些 inetd 的测试服务。 伪造的包攻击也可以用来使内核的路由缓存过载。 请参考 net.inet.ip.rtexpire， rtminexpire， 以及 rtmaxcache sysctl 参数。 伪造的包可以用随机的源 IP 攻击， 使得内核在路由表中产生一个临时的缓存项， 它可以通过 netstat -rna | fgrep W3 看到。 这些路由通常需要 1600 秒才会过期。 如果内核发现路由表变得太大， 它会动态地降低 rtexpire 但以 rtminexpire 为限。 这引发了两个问题： 在访问量不大的服务器上， 内核对于突然袭击的反应不够快。 rtminexpire 的值没有低到让内核在此类攻击时活下去的程度。 如果您的服务器通过 T3 或更快的线路接入 Internet， 那么通过 &man.sysctl.8; 来手动地降低 rtexpire 和 rtminexpire 就非常必要。 当然，绝不要把它们设置为零 (除非您想让机器崩溃) 将这两个参数设置为 2 通常已经足以抵御这类攻击了。 Kerberos 和 SSH 的访问问题 ssh KerberosIV 如果您打算使用， 那么 Kerberos 和 ssh 都有一些需要解决的问题。 Kerberos 5 是一个很棒的验证协议， 但使用了它的 telnet 和 rlogin 应用程序有一些 bug， 使得它们不适合处理二进制流。 而且， 除非使用了 选项， 否则默认情况下 Kerberos 并不加密会话。 ssh 在默认时加密所有的会话内容。 除了默认转发加密密钥之外， ssh 在所有的其他方面都做得很好。 这意味着如果您持有供您访问系统其他部分密钥的工作站作了很好的安全防护， 而您连到了一台不安全的机器上， 则您的密钥可能被别人获得。 尽管实际的密钥并没有被泄漏， 但由于 ssh 会在您登录的过程中启用一个转发端口， 如果攻击者拿到那台不安全的机器上的 root 那么他将能够利用那个端口来使用您的密钥， 从而访问您能够访问的那些机器。 我们建议您在使用 ssh 时配合 Kerberos 来完成工作人员的登录过程。 Ssh 在编译时可以加入 Kerberos 支持。 在减少了潜在地暴露 ssh 密钥的机会的同时， 它还能够通过 Kerberos 来保护口令。 Ssh 密钥只有在做过安全防护的机器上执行自动操作时才应使用 (这是 Kerberos 不适合的情形)。 此外，我们还建议您要么在 ssh 配置中关闭密钥转发， 要么在 authorized_keys 中增加 from=IP/DOMAIN 选项， 来限制这些密钥能够登录的来源机器。 Bill Swingle 部分重写、更新来自 DES、 Blowfish、 MD5， 以及 Crypt 安全 密码 crypt Blowfish DES MD5 &unix; 系统上的每个用户都有一个与其帐户关联的口令。 很显然， 密码只需要被这个用户和操作系统知道。 为了保证口令的私密性， 采用了一种称为 单向散列 的方法来处理口令， 简单地说， 很容易从口令推算出散列值， 反之却很难。 其实， 刚才那句话可能并不十分确切： 因为操作系统本身并不 真的 知道您的口令。 它只知道口令 经过加密的形式。 获取口令对应 明文 的唯一办法是采用暴力在口令可能的区间内穷举。 不幸的是，当 &unix; 刚刚出现时，安全地加密口令的唯一方法基于DES， 数据加密标准 ( the Data Encryption Standard )。 于是这给那些非美国居民带来了问题， 因为 DES 的源代码在当时不能被出口到美国以外的地方， &os; 必须找到符合美国法律，但又要与其他那些使用 DES 的 &unix; 版本兼容的办法。 解决方案是把加密函数库分割为两个， 于是美国的用户可以安装并使用 DES 函数库， 而国际用户则使用另外一套库提供的一种可以出口的加密算法。 这就是 &os; 为什么使用 MD5 作为它的默认加密算法的原因。 MD5 据信要比 DES 更安全，因此，安装 DES 更多地是出于兼容目的。 识别您采用的加密算法 现在这个库支持 DES、 MD5 和 Blowfish 散列函数。默认情况下， &os; 使用 MD5 来加密口令。 可以很容易地识别 &os; 使用哪种加密方法。 检查 /etc/master.passwd 文件中的加密密码是一种方法。 用 MD5 散列加密的密码通常要比用 DES 散列得到的长一些， 并且以 $1$ 字符开始。 以 $2a$ 开始的口令是通过 Blowfish 散列函数加密的。 DES 密码字符没有任何可以用于鉴别的特征， 但他们要比 MD5 短， 并且以不包括 $ 在内的 64 个可显示字符来表示， 因此相对比较短的、没有以美元符号开头的字符串很可能是一个 DES 口令。 新口令所使用的密码格式是由 /etc/login.conf 中的 passwd_format 来控制的， 可供选择的算法包括 des, md5 和 blf。 请参考 &man.login.conf.5; 联机帮助以获得更进一步的详情。 一次性口令 一次性口令 安全 一次性口令 默认情况下， &os; 提供了 OPIE (One-time Passwords In Everything) 支持， 它默认使用 MD5 散列。 下面将介绍三种不同的口令。 第一种是您常用的 &unix; 风格或 Kerberos 口令； 我们在后面的章节中将称其为 &unix; 口令。 第二种是使用 OPIE 的 &man.opiekey.1; 程序生成， 并为 &man.opiepasswd.1; 以及登录提示所接受的一次性口令，我们称其为 一次性口令。 最后一类口令是您输入给 opiekey 程序 (有些时候是 opiepasswd 程序) 用以产生一次性口令的秘密口令，我们称其为 秘密口令 或通俗地简称为 口令。 秘密口令和您的 &unix; 口令毫无关系， 尽管可以设置为相同的， 但不推荐这么做。 OPIE 秘密口令并不像旧式的 &unix; 口令那样只能限于8位以内在 &os; 中标准的登录口令最长不能超过 128 个字符。。 您想要用多长的口令都可以。 有六、七个词的短句是很常见的选择。 在绝大多数时候， OPIE 系统和 &unix; 口令系统完全相互独立地工作。 除了口令之外， 对于 OPIE 还有两组至关重要的数据。 其一被称作 种子 或 key， 它包括两个字符和五个数字。 另一个被称作 迭代轮数， 这是一个 1 到 100 之间的数字。 OPIE 通过将种子加到秘密口令后面， 并执行迭代轮数那么多次的 MD4/MD5 散列运算来得到结果， 并将结果表示为 6 个短的英文单词。 这 6 个英文单词就是您的一次性口令。 验证系统 (主要是 PAM) 会记录上次使用的一次性口令， 如果用户提供的口令的散列值与上次一致， 则可以通过身份验证。 由于使用了单向的散列函数， 因此即使截获了上次使用的口令， 也没有办法恢复出下次将要使用的口令； 每次成功登录都将导致迭代轮数递减， 这样用户和登录程序将保持同步。 每当迭代轮数减少到 1 时， 都必须重新初始化 OPIE。 接下来将讨论和每个系统有关的三个程序。 opiekey 程序能够接收带迭代计数， 种子和秘密口令， 并生成一个一次性口令， 或一张包含连续的一组一次性口令的表格。 opiepasswd 程序用于初始化 OPIE， 并修改口令、 迭代次数、种子和一次性口令。 和 opieinfo 程序可以用于检查相应的验证数据文件 (/etc/opiekeys) 并显示执行命令的用户当前的迭代轮数和种子。 我们将介绍四种不同的操作。 在安全的连接上通过 opiepasswd 来第一次设置一次性口令， 或修改口令及种子。 第二类操作是在不安全的连接上使用 opiepasswd 辅以在安全连接上执行的 opiekey 来完成同样的工作。 第三类操作是在不安全的连接上使用 opiekey 来登录。 最后一类操作是采用 opiekey 来生成大批的密码， 以便抄下来或打印出来，在没有安全连接的地方使用。 安全连接的初始化 第一次初始化 OPIE 时， 可以使用 opiepasswd 命令： &prompt.user; opiepasswd -c [grimreaper] ~ $ opiepasswd -f -c Adding unfurl: Only use this method from the console; NEVER from remote. If you are using telnet, xterm, or a dial-in, type ^C now or exit with no password. Then run opiepasswd without the -c parameter. Using MD5 to compute responses. Enter new secret pass phrase: Again new secret pass phrase: ID unfurl OTP key is 499 to4268 MOS MALL GOAT ARM AVID COED 在 Enter new secret pass phrase: 或 Enter secret password: 提示之后， 应输入一个密码或口令字。 请留意， 这并不是您用于登录的口令， 它用于生成一次性的登录密钥。 ID 这一行给出了所需的参数： 您的登录名， 迭代轮数， 以及种子。 登录系统时， 它能够记住这些参数并呈现给您， 因此无需记忆它们。 最后一行给出了与您的秘密口令对应的、用于登录的一个一次性口令； 如果您立即重新登录， 则它将是您需要使用的那个口令。 不安全连接初始化 如果您需要通过一个不安全的连接来初始化， 则应首先在安全连接上执行过一次 opiekey； 您可能希望在可信的机器的 shell 提示符下完成。 此外还需要指定一个迭代轮数 (100 也许是一个较好的选择) 也可以选择一个自己的种子， 或让计算机随机生成一个。 在不安全的连接上 (当然是连到您希望初始化的机器上)，使用 opiepasswd 命令： &prompt.user; opiepasswd Updating unfurl: You need the response from an OTP generator. Old secret pass phrase: otp-md5 498 to4268 ext Response: GAME GAG WELT OUT DOWN CHAT New secret pass phrase: otp-md5 499 to4269 Response: LINE PAP MILK NELL BUOY TROY ID mark OTP key is 499 gr4269 LINE PAP MILK NELL BUOY TROY 为了接受默认的种子， 按下 Return。 在输入访问口令之前， 到一个有安全连接的机器上， 并给它同样的参数： &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT 现在回到不安全的连接， 并将生成的一次性口令粘贴到相应的应用程序中。 生成一个一次性密码 一旦初始化过 OPIE， 当您登录时将看到类似这样的提示： &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> otp-md5 498 gr4269 ext Password: 另外， OPIE 提示有一个很有用的特性 (这里没有表现出来)： 如果您在口令提示处按下 Return(回车) 系统将回显刚键入的口令， 您可以藉此看到自己所键入的内容。 如果试图手工键入一个一次性密码， 这会非常有用。 MS-DOS Windows MacOS 此时您需要生成一个一次性密码来回答这一提示。 这项工作必须在一个可信的系统上执行 opiekey 来完成。 (也可以找到 DOS、 &windows; 以及 &macos; 等操作系统上运行的版本)。 这个程序需要将迭代轮数和种子提供给它。 您可以从登录提示那里复制和粘贴它们。 在可信的系统上： &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT 现在就可以用刚刚获得的一次性口令登录了。 产生多个一次性口令 有时，会需要到不能访问可信的机器或安全连接的地方。 这种情形下， 可以使用 opiekey 命令来一次生成许多一次性口令。 例如： &prompt.user; opiekey -n 5 30 zz99999 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: <secret password> 26: JOAN BORE FOSS DES NAY QUIT 27: LATE BIAS SLAY FOLK MUCH TRIG 28: SALT TIN ANTI LOON NEAL USE 29: RIO ODIN GO BYE FURY TIC 30: GREW JIVE SAN GIRD BOIL PHI 按顺序请求 5 个口令， 则指定了最后一个迭代轮数应该是多少。 注意这些口令将按与使用顺序相反的顺序来显示。 如果您比较偏执， 可以手工写下这些结果； 一般来说把它粘贴到 lpr 就可以了。 注意，每一行都显示迭代轮数及其对应的一次性的密码； 一些人建议用完一个就划掉一个。 限制使用 &unix; 口令 OPIE 可以对 &unix; 口令的使用进行基于 IP 的登录限制。 对应的文件是 /etc/opieaccess， 这个文件默认情况下就是存在的。 请参阅 &man.opieaccess.5; 以了解关于这个文件进一步的情况， 以及安全方面需要进行的一些考虑。 下面是一个示范的 opieaccess 文件： permit 192.168.0.0 255.255.0.0 这行允许指定 IP 地址的用户 (再次强调这种地址容易被伪造) 在任何时候使用 &unix; 口令登录。 如果 opieaccess 中没有匹配的规则， 则将默认拒绝任何非 OPIE 登录。 Tom Rhodes 作者： TCP Wrappers TCP Wrappers 每一个熟悉 &man.inetd.8; 都应该听说过 TCP Wrappers， 但几乎没有人对它在网络环境中的作用有全面的理解。 几乎每个人都会安装防火墙来处理网络连接， 然而虽然防火墙有非常广泛的用途， 它却不是万能的， 例如它无法处理类似向连接发起者发送一些文本这样的任务。 而 TCP 软件能够完成它以及更多的其他事情。 接下来的几段中将讨论许多 TCP Wrappers 提供的功能， 并且， 还给出了一些配置实例。 TCP Wrappers 软件扩展了 inetd 为受其控制的服务程序实施控制的能力。 通过使用这种方法， 它能够提供日志支持、 返回消息给联入的连接、 使得服务程序只接受内部连接， 等等。 尽管防火墙也能够完成其中的某些功能， 但这不仅增加了一层额外的保护， 也提供了防火墙无法提供的功能。 然而， 由 TCP Wrappers 提供的一些额外的安全功能， 不应被视为好的防火墙的替代品。 TCP Wrappers 应结合防火墙或其他安全加强设施一并使用， 为系统多提供一层安全防护。 由于这些配置是对于 inetd 的扩展， 因此， 读者应首先阅读 配置 inetd 这节。 尽管由 &man.inetd.8; 运行的程序并不是真正的 服务程序， 但传统上也把它们称为服务程序。 下面仍将使用这一术语。 初始配置 在 &os; 中使用 TCP Wrappers 的唯一要求是确保 inetd 在从 rc.conf 中启动时包含了 选项； 这是默认的设置。 当然， 还需要对 /etc/hosts.allow 进行适当的配置， 但 &man.syslogd.8; 在配置不当时会在系统日志中记录相关消息。 与其它的 TCP Wrappers 实现不同， 使用 hosts.deny 在这里被认为是不推荐和过时的做法。 所有的配置选项应放到 /etc/hosts.allow 中。 在最简单的配置中， 服务程序的连接策略是根据 /etc/hosts.allow 允许或阻止。 &os; 中的默认配置是允许一切发到由 inetd 所启动的服务的连接请求。 在基本配置之后将讨论更复杂的情况。 基本配置的形式通常是 服务 : 地址 : 动作。 这里 服务 是从 inetd 启动的服务程序的名字。 而 地址 可以是任何有效的主机名、 一个 IP 或由方括号 ([ ]) 括起来的 IPv6 地址。 动作字段可以使 allow 或 deny， 分别用于允许和禁止相应的访问。 在配置时您需要注意所有的配置都是按照第一个匹配的规则运转的， 这表示配置文件将按照顺序查找匹配规则， 而一旦找到匹配， 则搜索也就停止了。 另外也有许多其他选项， 这些将在后面介绍。 简单的配置行从上面这些描述之中可以很容易得出。 例如， 允许 POP3 连接通过 mail/qpopper 服务， 应把下面的行添加到 hosts.allow： # This line is required for POP3 connections: qpopper : ALL : allow 增加这样之后， 需要重新启动 inetd。 可以通过使用 &man.kill.1; 命令来完成这项工作， 或使用 /etc/rc.d/inetd 的 restart parameter 参数。 高级配置 TCP Wrappers 也有一些高级的配置选项； 它们能够用来对如何处理连接实施更多的控制。 一些时候， 返回一个说明到特定的主机或请求服务的连接可能是更好的办法。 其他情况下， 记录日志或者发送邮件给管理员可能更为适合。 另外， 一些服务可能只希望为本机提供。 这些需求都可以通过使用 通配符， 扩展字符以及外部命令来实现。 接下来的两节将介绍这些。 外部命令 假设由于发生了某种状况， 而导致连接应该被拒绝掉， 而将其原因发送给发起连接的人。 如何完成这样的任务呢？ 这样的动作可以通过使用 选项来实现。 当发起了连接请求时， 将调用一个命令或脚本。 在 hosts.allow 文件中已经给出了一个例子： # The rest of the daemons are protected. ALL : ALL \ : severity auth.info \ : twist /bin/echo "You are not welcome to use %d from %h." 这个例子将把消息 You are not allowed to use daemon from hostname. 返回给访问先前没有配置过允许访问的服务客户。 对于希望把消息反馈给连接发起者， 然后立即切断这样的需求来说， 这样的配置非常有用。 请注意所有反馈信息 必须 被引号 " 包围； 这一规则是没有例外的。 如果攻击者向服务程序发送大量的连接请求， 则可能发动一次成功的拒绝服务攻击。 另一种可能是针对这种情况使用 。 类似 ， 也暗含拒绝连接， 并可以用来执行外部命令或服务。 与 不同的是， 不会向连接发起者发送回应。 考虑下面的配置： # We do not allow connections from example.com: ALL : .example.com \ : spawn (/bin/echo %a from %h attempted to access %d >> \ /var/log/connections.log) \ : deny 这将拒绝来自 *.example.com 域的所有连接； 同时还将记录主机名， IP 地址， 以及对方所尝试连接的服务名字到 /var/log/connections.log 文件中。 除了前面已经介绍过的转义字符， 例如 %a 之外， 还有一些其它的转义符。 参考 &man.hosts.access.5; 联机手册可以获得完整的列表。 通配符选项 前面的例子都使用了 ALL。 其它选项能够将功能扩展到更远。 例如， ALL 可以被用来匹配每一个服务、 域，或 IP 地址。 另一些可用的通配符包括 PARANOID， 它可以用来匹配任何来自可能被伪造的 IP 地址的主机。 换言之， paranoid 可以被用来定义来自 IP 与其主机名不符的客户。 下面的例子将给您更多的感性认识： # Block possibly spoofed requests to sendmail: sendmail : PARANOID : deny 在这个例子中， 所有连接 sendmail 的 IP 地址与其主机名不符的主机都将被拒绝。 如果服务器和客户机有一方的 DNS 配置不正确， 使用 PARANOID 可能会严重地削弱服务。 在设置之前， 管理员应该谨慎地考虑。 要了解关于通配符和他们的功能， 请参考 &man.hosts.access.5; 联机手册。 为了使设置能够生效， 应该首先把 hosts.allow 的第一行配置注释掉。 这节的开始部分已经说明了这一点。 Mark Murray 撰写者 Mark Dapoz 初稿 <application>KerberosIV</application> Kerberos 是一个网络附加系统/协议， 它使得用户能够通过一个安全服务器的服务来验证身份。 象远程登录， 远程复制， 系统间的相互文件复制和其他完成高风险任务的服务将被变得相当安全和可控制。 下面将具体介绍如何配置随 &os; 发行的 Kerberos。 不过， 您还是应该阅读相应的联机手册以获得完整的说明。 安装 <application>KerberosIV</application> MIT KerberosIV 安装 Kerberos 是 &os; 的一项可选组件。 安装该软件最简单的办法就是 在使用 sysinstall 安装 &os; 时选择 krb4 或 krb5。 这样将会安装 eBones (KerberosIV) 或 Heimdal (Kerberos5) 的 Kerberos 实现。 采用实现的原因是它们在美国/加拿大 以外的地区开发， 因此这些国家之外的人使用， 而不必受美国的加密代码出口管制的限制。 此外， 您可以从 security/krb5 得到 Kerberos 的 MIT 实现。 创建最初的数据库 这项工作只需要在 Kerberos 服务器上完成。 首先确认没有旧的 Kerberos 数据库存在。 您应该进入到 /etc/kerberosIV 目录中并检查下述文件是否已经存在： &prompt.root; cd /etc/kerberosIV &prompt.root; ls README krb.conf krb.realms 如果您发现了除此之外的其它文件 (例如 principal.* 或 master_key) 已经存在， 请使用 kdb_destroy 命令来销毁旧的数据库， 或者， 如果 Kerberos 没有在运行，简单地删除掉那些多余的文件。 现在必须编辑 krb.conf 和 krb.realms 文件来定义您的 Kerberos 领域。 在本例中， 这个领域将是 EXAMPLE.COM 而其服务器是 grunt.example.com。 我们编辑或创建如下的 krb.conf 文件： &prompt.root; cat krb.conf EXAMPLE.COM EXAMPLE.COM grunt.example.com admin server CS.BERKELEY.EDU okeeffe.berkeley.edu ATHENA.MIT.EDU kerberos.mit.edu ATHENA.MIT.EDU kerberos-1.mit.edu ATHENA.MIT.EDU kerberos-2.mit.edu ATHENA.MIT.EDU kerberos-3.mit.edu LCS.MIT.EDU kerberos.lcs.mit.edu TELECOM.MIT.EDU bitsy.mit.edu ARC.NASA.GOV trident.arc.nasa.gov 在这个例子中， 除此之外的其它领域并不是必需的。 把他们在这里一并展示是为了演示如何让机器了解多个领域的存在。 简单起见， 在实际的配置中可以省略它们。 第一行命名了这个系统工作的领域。 其它行包含了领域/主机的记录。 每行的第一项是一个领域， 其后是在这个领域中充当 密钥分发中心 的主机名。 其后的 admin server 表示该主机同时还提供管理数据库服务。进一步的详细说明请参考 Kerberos 联机手册。 现在应该添加 grunt.example.com 到 EXAMPLE.COM 领域， 同时追加一项以便将出现在 EXAMPLE.COM 领域中 .example.com 域的所有主机也加入进来。 krb.realms 这个文件需要按照下面的方法修改： &prompt.root; cat krb.realms grunt.example.com EXAMPLE.COM .example.com EXAMPLE.COM .berkeley.edu CS.BERKELEY.EDU .MIT.EDU ATHENA.MIT.EDU .mit.edu ATHENA.MIT.EDU 再次强调， 其它领域并不是必需的。 在这里只是要展示如何使用多个领域。 可以删掉它们以简化配置。 第一行将 指定的 系统置于所指名字的领域内。 这一行的其它部分则指明了特定子域内的主机应该默认属于哪个领域。 接下来我们就可以创建数据库了。 只有在 Kerberos 服务器上 (或密钥分发中心上) 才需要它。 可以通过 kdb_init 命令来完成这一步： &prompt.root; kdb_init Realm name [default ATHENA.MIT.EDU ]: EXAMPLE.COM You will be prompted for the database Master Password. It is important that you NOT FORGET this password. Enter Kerberos master key: 现在我们应该保存密钥， 这样本机上运行的其他服务就能够了解这一变化。 用 kstash 命令来完成这一步： &prompt.root; kstash Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! 这一操作将把主口令保存到 /etc/kerberosIV/master_key。 让一切运转起来 KerberosIV 初始配置 有两个主要的东西需要被添加到要用 Kerberos 来确保安全的 每一个 系统上。 它们的名字是 kpasswd 和 rcmd。 这些程序允许另外系统改变 Kerberos 的密码， 在不同的系统上可能有不同的名字。 服务程序 kpasswd 和 rcmd 使得其他系统能够修改 Kerberos 口令， 以及执行类似 &man.rcp.1;, &man.rlogin.1; 和 &man.rsh.1; 这样的命令。 我们添加下面这些记录： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: passwd Instance: grunt <Not found>, Create [y] ? y Principal: passwd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? y Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: rcmd Instance: grunt <Not found>, Create [y] ? Principal: rcmd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 创建服务器文件 现在需要分析在每台机器上定义的服务的所有情况。 为了做到这一点， 可以使用 ext_srvtab 命令。 这将创建一个文件， 它需要被 通过安全的途径 复制或移动到每一个 Kerberos 客户端的 /etc 目录中。 在每一台服务器上都必须存在这个文件， 它对 Kerberos 的运行至关重要。 &prompt.root; ext_srvtab grunt Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Generating 'grunt-new-srvtab'.... 现在，这个命令只产生一个临时文件，必须被重命名为 srvtab 以便所有的服务可以识别它。 用 &man.mv.1; 命令把它挪到原系统的这个位置： &prompt.root; mv grunt-new-srvtab srvtab 如果文件是针对客户系统的， 而且网络可能会不安全， 则应把 client-new-srvtab 复制到可移动的介质上， 并通过物理上安全的方式拿走。 将其改名为 srvtab 并放到客户机的 /etc/kerberosIV 目录中， 并赋予 mode 600: &prompt.root; mv grumble-new-srvtab srvtab &prompt.root; chmod 600 srvtab 复制数据库 现在添加一些用户记录到数据库。 首先为用户 jane 创建其对应的项。 使用 kdb_edit 命令来完成此项工作： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: <Not found>, Create [y] ? y Principal: jane, Instance: , kdc_key_ver: 1 New Password: <---- enter a secure password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 测试全部相关信息 首先必须启动 Kerberos 的服务程序。 这里需要指出， 如果您正确地修改了 /etc/rc.conf 则系统在启动时会自动完成这个工作。 只有在 Kerberos 服务器上才需要这么做。 Kerberos 客户程序将自动地从 /etc/kerberosIV 目录中的文件获取所需要的信息。 &prompt.root; kerberos & Kerberos server starting Sleep forever on error Log file is /var/log/kerberos.log Current Kerberos master key version is 1. Master key entered. BEWARE! Current Kerberos master key version is 1 Local realm: EXAMPLE.COM &prompt.root; kadmind -n & KADM Server KADM0.0A initializing Please do not use 'kill -9' to kill this job, use a regular kill instead Current Kerberos master key version is 1. Master key entered. BEWARE! 接下来应使用 kinit 命令来获取与我们刚刚创建的 ID jane 对应的 ticket： &prompt.user; kinit jane MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane" Password: 尝试使用 klist 列出句柄以了解是否真的拥有它们： &prompt.user; klist Ticket file: /tmp/tkt245 Principal: jane@EXAMPLE.COM Issued Expires Principal Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COM 现在可以试试看用 &man.passwd.1; 来修改口令， 以验证 kpasswd 服务程序是否能够从 Kerberos 数据库中获得需要的授权： &prompt.user; passwd realm EXAMPLE.COM Old password for jane: New Password for jane: Verifying password New Password for jane: Password changed. 授予 <command>su</command> 特权 Kerberos 使我们能够给予 每一个 需要使用 root 特权的用户使用他们自己 单独的 &man.su.1; 口令。 现在我们追加一个被授予 &man.su.1; 到 root 权限的 ID。 这件事是由与 root 相关联的一个 principal 实例来控制的。使用 kdb_edit 可以在 Kerberos 数据库中建立一个 jane.root 条目： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: root <Not found>, Create [y] ? y Principal: jane, Instance: root, kdc_key_ver: 1 New Password: <---- enter a SECURE password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? 12 <--- Keep this short! Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 现在试试看获得相应的句柄， 以确认它已经正常工作了： &prompt.root; kinit jane.root MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane.root" Password: 接下来我们需要把用户添加到 root的 .klogin 文件里： &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM 试试看 &man.su.1;： &prompt.user; su Password: 然后看看我们拥有哪些句柄： &prompt.root; klist Ticket file: /tmp/tkt_root_245 Principal: jane.root@EXAMPLE.COM Issued Expires Principal May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COM 使用其它命令 在前文给出的例子中， 我们创建了一个称为 jane 的用户， 以及一个 root 实例。 此处的用户名和它的 principal 相同， 这是 Kerberos 默认的； 一个形如 <username>.root 的 <principal>.<instance> 将允许 <username> 使用 &man.su.1; 成为 root， 只要所需的那些条目在 root home 目录中的 .klogin 中存在的话： &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM 类似地， 如果用户的 home 目录中有这样的设置： &prompt.user; cat ~/.klogin jane@EXAMPLE.COM jack@EXAMPLE.COM 则表明在 EXAMPLE.COM 领域的经过身份验证的 jane 或者 jack (通过 kinit， 详情见前文) 能够使用 jane 的身份或系统 (grunt) 中的文件， 无论通过 &man.rlogin.1;, &man.rsh.1; 或是 &man.rcp.1;。 举例来说， jane 现在通过 Kerberos 登入了其它系统： &prompt.user; kinit MIT Project Athena (grunt.example.com) Password: &prompt.user; rlogin grunt Last login: Mon May 1 21:14:47 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 或者， 当 jack 登录到 jane 在同一台机器上的账号 (jane 按照前面所介绍的那样配置了 .klogin 文件， 而负责 Kerberos 的管理员， 则为 jack 的 principal 配置了一个空的 instance)： &prompt.user; kinit &prompt.user; rlogin grunt -l jane MIT Project Athena (grunt.example.com) Password: Last login: Mon May 1 21:16:55 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Tillman Hodgson 撰写者 Mark Murray 原文来自 <application>Kerberos5</application> 在 &os;-5.1 之后的每一个 &os; 版本都只包含 Kerberos5 支持了， 因而， Kerberos5 是它们所包含的唯一的 Kerberos 版本， 其配置在绝大多数方面和 KerberosIV 非常类似。 下述信息只适用于 &os;-5.0 之后版本中的 Kerberos5。 希望使用 KerberosIV 的用户可以安装 security/krb4 port。 Kerberos 是一组附加的网络系统/协议， 用以让用户通过一台安全服务器提供的服务来验证身份。 包括远程登录、远程复制、在系统间安全地复制文件， 以及其它高危险性的操作， 由于其存在而显著地提高了安全型并且更加可控。 Kerberos 可以理解为一种身份验证代理系统。 它也被描述为一种以受信第三方为主导的身份验证系统。 Kerberos 只提供一种功能 — 在网络上安全地完成用户的身份验证。 它并不提供授权功能 (也就是说用户能够做什么操作) 或审计功能 (记录用户作了什么操作)。 一旦客户和服务器都使用了 Kerberos 来证明各自的身份之后， 他们还可以加密全部的通讯以保证业务数据的私密性和完整性。 因此， 强烈建议将 Kerberos 同其它提供授权和审计服务的安全手段联用。 接下来的说明可以用来指导如何安装 &os; 所附带的 Kerberos。 不过， 您仍然需要参考相应的联机手册以获得完整的描述。 为了展示 Kerberos 的安装过程， 我们约定： DNS 域 (zone) 为 example.org。 Kerberos 领域是 EXAMPLE.ORG。 在安装 Kerberos 时请使用实际的域名即使您只是想在内部网上用一用。 这可以避免 DNS 问题并保证了同其它 Kerberos 之间的互操作性。 历史 Kerberos5 历史 Kerberos 最早由 MIT 作为解决网络安全问题的一个方案提出。 Kerberos 协议采用了强加密， 因此客户能够在不安全的网络上向服务器 (以及相反地) 验证自己的身份。 Kerberos 是网络验证协议名字， 同时也是用以表达实现了它的程序的形容词。 (例如 Kerberos telnet)。 目前最新的协议版本是 5，在 RFC 1510 中有所描述。 该协议有许多免费的实现， 这些实现涵盖了许多种不同的操作系统。 最初研制 Kerberos 的麻省理工学院 (MIT) 也仍然在继续开发他们的 Kerberos 软件包。 在 US 它被作为一种加密产品使用， 因而历史上曾经受到 US 出口管制。 MIT Kerberos 可以通过 port (security/krb5) 来安装和使用。 Heimdal Kerberos 是另一种第 5 版实现， 并且明确地在 US 之外的地区开发， 以避免出口管制 (因此在许多非商业的类 &unix; 系统中非常常用。 Heimdal Kerberos 软件包可以通过 port (security/heimdal) 安装， 最新的 &os; 的最小安装也会包含它。 为使尽可能多的读者从中受益， 这份说明以 &os; 附带的 Heimdal 软件包为准。 配置 Heimdal <acronym>KDC</acronym> Kerberos5 密钥分发中心 密钥分发中心 (KDC) 是 Kerberos 提供的集中式验证服务 — 它是签发 Kerberos tickets 的那台计算机。 KDC 在 Kerberos 领域中的其它机器看来是 受信的， 因此必须格外注意其安全性。 需要说明 Kerberos 服务器只需要非常少的计算资源， 尽管如此， 基于安全理由仍然推荐使用独占的机器来扮演 KDC 的角色。 要开始配置 KDC， 首先请确认您的 /etc/rc.conf 文件包含了作为一个 KDC 所需的设置 (您可能需要适当地调整路径以适应自己系统的情况)： kerberos5_server_enable="YES" kadmind5_server_enable="YES" 接下来需要修改 Kerberos 的配置文件， /etc/krb5.conf： [libdefaults] default_realm = EXAMPLE.ORG [realms] EXAMPLE.ORG = { kdc = kerberos.example.org admin_server = kerberos.example.org } [domain_realm] .example.org = EXAMPLE.ORG 请注意这个 /etc/krb5.conf 文件假定您的 KDC 有一个完整的主机名， 即 kerberos.example.org。 如果您的 KDC 主机名与它不同， 则应添加一条 CNAME (别名) 项到 zone 中去。 对于有正确地配置过的 BIND DNS 服务器的大型网络， 上述例子可以精简为： [libdefaults] default_realm = EXAMPLE.ORG 将下面的内容加入到 example.org zone 数据文件中： _kerberos._udp IN SRV 01 00 88 kerberos.example.org. _kerberos._tcp IN SRV 01 00 88 kerberos.example.org. _kpasswd._udp IN SRV 01 00 464 kerberos.example.org. _kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org. _kerberos IN TXT EXAMPLE.ORG 要让客户机能够找到 Kerberos 服务， 就 必须 首先配置完整或最小配置的 /etc/krb5.conf 并且 正确地配置 DNS 服务器。 接下来需要创建 Kerberos 数据库。 这个数据库包括了使用主密码加密的所有实体的密钥。 您并不需要记住这个密码， 它会保存在一个文件 (/var/heimdal/m-key) 中。 要创建主密钥， 需要执行 kstash 并输入一个口令。 主密钥一旦建立， 您就可以用 kadmin 程序的 -l 参数 (表示 local) 来初始化数据库了。 这个选项让 kadmin 直接地修改数据库文件而不是通过 kadmind 的网络服务。 这解决了在数据库创建之前连接它的鸡生蛋的问题。 进入 kadmin 提示符之后， 用 init 命令来创建领域的初始数据库。 最后， 仍然在 kadmin 中， 使用 add 命令来创建第一个 principal。 暂时使用全部的默认设置， 随后可以在任何时候使用 modify 命令来修改这些设置。 另外， 也可以用 ? 命令来了解可用的选项。 典型的数据库创建过程如下： &prompt.root; kstash Master key: xxxxxxxx Verifying password - Master key: xxxxxxxx &prompt.root; kadmin -l kadmin> init EXAMPLE.ORG Realm max ticket life [unlimited]: kadmin> add tillman Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: Password: xxxxxxxx Verifying password - Password: xxxxxxxx 现在是启动 KDC 服务的时候了。 运行 /etc/rc.d/kerberos start 以及 /etc/rc.d/kadmind start 来启动这些服务。 尽管此时还没有任何正在运行的 Kerberos 服务， 但您仍然可以通过获取并列出您刚刚创建的那个 principal (用户) 的 ticket 来验证 KDC 确实在正常工作， 使用 KDC 本身的功能： &prompt.user; kinit tillman tillman@EXAMPLE.ORG's Password: &prompt.user; klist Credentials cache: FILE:/tmp/krb5cc_500 Principal: tillman@EXAMPLE.ORG Issued Expires Principal Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG 完成所需的操作之后， 可以撤消这一 ticket： &prompt.user; k5destroy 为 <application>Kerberos</application> 启用 Heimdal 服务 Kerberos5 启用服务 首先我们需要一份 Kerberos 配置文件 /etc/krb5.conf 的副本。 只需简单地用安全的方式 (使用类似 &man.scp.1; 的网络工具， 或通过软盘) 复制 KDC 上的版本， 并覆盖掉客户机上的对应文件就可以了。 接下来需要一个 /etc/krb5.keytab 文件。 这是提供 Kerberos 服务的服务器和工作站的一个主要区别 — 服务器必须有 keytab 文件。 这个文件包括了服务器的主机密钥， 这使得 KDC 得以验证它们的身份。 此文件必须以安全的方式传到服务器上， 因为如果密钥被公之于众， 则安全也就毁于一旦。 也就是说， 通过明文的通道， 例如 FTP 是非常糟糕的想法。 一般来说， 您会希望使用 kadmin 程序来把 keytab 传到服务器上。 由于也需要使用 kadmin 来为主机建立 principal (KDC 一端的 krb5.keytab)， 因此这并不复杂。 注意您必须已经获得了一个 ticket 而且这个 ticket 必须许可使用 kadmind.acl 中的 kadmin 接口。 请参考 Heimdal info 中的 Remote administration(远程管理) 一节 (info heimdal) 以了解如何设计访问控制表。 如果不希望启用远程的 kadmin 操作， 则可以简单地采用安全的方式连接 KDC (通过本机控制台， &man.ssh.1; 或 Kerberos &man.telnet.1;) 并使用 kadmin -l 在本地执行管理操作。 安装了 /etc/krb5.conf 文件之后， 您就可以使用 Kerberos 上的 kadmin 了。 add --random-key 命令可以用于添加主机 principal， 而 ext 命令则允许导出服务器的主机 principal 到它的 keytab 中。 例如： &prompt.root; kadmin kadmin> add --random-key host/myserver.example.org Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: kadmin> ext host/myserver.example.org kadmin> exit 注意 ext 命令 (这是 extract 的简写) 默认会把导出的密钥放到 /etc/krb5.keytab 中。 如果您由于没有在 KDC 上运行 kadmind (例如基于安全理由) 因而无法远程地使用 kadmin 您可以直接在 KDC 上添加主机 principal (host/myserver.EXAMPLE.ORG) 随后将其导出到一个临时文件中 (以免覆盖 KDC 上的 /etc/krb5.keytab)， 方法是使用下面的命令： &prompt.root; kadmin kadmin> ext --keytab=/tmp/example.keytab host/myserver.example.org kadmin> exit 随后需要把 keytab 复制到服务器上 (例如使用 scp 或软盘)。 一定要指定一个不同于默认的 keytab 名字以免覆盖 KDC 上的 keytab。 到现在您的服务器已经可以同 KDC 通讯了 (因为已经配置了 krb5.conf 文件)， 而且它还能够证明自己的身份 (由于配置了 krb5.keytab 文件)。 现在可以启用一些 Kerberos 服务。 在这个例子中， 我们将在 /etc/inetd.conf 中添加下面的行来启用 telnet 服务， 随后用 /etc/rc.d/inetd restart 重启 &man.inetd.8; 服务来使设置生效： telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a user 关键的部分是 -a (表示验证) 类型设置为用户 (user)。 请参考 &man.telnetd.8; 联机手册以了解细节。 使用 Heimdal 来启用客户端 <application>Kerberos</application> Kerberos5 客户端配置 设置客户机是非常简单的。 在正确配置了 Kerberos 的网络中， 只需要将位于 /etc/krb5.conf 的配置文件进行一下设置就可以了。 这一步骤可以简单地通过安全的方式将文件从 KDC 复制到客户机上来完成。 尝试在客户机上执行 kinit、 klist， 以及 kdestroy 来测试获取、 显示并删除 刚刚为 principal 建立的 ticket 是否能够正常进行， 如果能， 则用其它的 Kerberos 应用程序来连接启用了 Kerberos 的服务。 如果应用程序不能正常工作而获取 ticket 正常， 则通常是服务本身， 而非客户机或 KDC 有问题。 在测试类似 telnet 的应用程序时， 应考虑使用抓包程序 (例如 &man.tcpdump.1;) 来确认您的口令没有以明文方式传输。 尝试使用 telnet 的 -x 参数， 它将加密整个数据流 (类似 ssh)。 许多非核心的 Kerberos 客户应用程序也是默认安装的。 在 Hemidal 的 最小 安装理念下， telnet 是唯一一个采用了 Kerberos 的服务。 Heimdal port 则提供了一些默认不安装的客户应用程序， 例如启用了 Kerberos 版本的 ftp、 rsh、 rcp、 rlogin 以及一些更不常用的程序。 MIT port 也包括了一整套 Kerberos 客户应用程序。 用户配置文件： <filename>.k5login</filename> 和 <filename>.k5users</filename> .k5login .k5users 在某个领域中的用户往往都有自己的 Kerberos principal (例如 tillman@EXAMPLE.ORG) 并映射到本机用户帐户 (例如本机上名为 tillman 的帐户)。 客户端应用程序， 如 telnet 通常并不需要用户名或 principal。 不过, 有时您可能会需要赋予某些没有匹配 Kerberos principal 的人使用本地用户帐户的权限。 例如 tillman@EXAMPLE.ORG 可能需要访问本地的 webdevelopers 用户帐号。 其它 principal 可能也会需要访问这个本地帐号。 用户 home 目录中的 .k5login 和 .k5users 这两个文件可以配合 .hosts 和 .rhosts 来有效地解决这个问题。 例如， 如果 .k5login 中有如下内容： tillman@example.org jdoe@example.org 并放到了本地用户 webdevelopers 的 home 目录中， 则列出的两个 principals 都可以使用那个帐号， 而无须共享口令。 建议您在开始实施之前首先阅读这些命令的联机帮助。 特别地， ksu 的联机手册包括了 .k5users 的相关内容。 <application>Kerberos</application> 提示、技巧和故障排除 Kerberos5 故障排除 当使用 Heimdal 或 MIT Kerberos ports 时， 需要确认 PATH 环境变量把 Kerberos 客户应用列在系统自带的版本之前。 同一领域内的所有计算机的时间设置是否同步？ 如果不是的话， 则身份验证可能会失败。 描述了如何使用 NTP 来同步时钟。 MIT 和 Heimdal 能够很好地互操作。 一个例外是 kadmin， 因为这个协议没有被标准化。 如果您改变了主机名， 您还需要修改您的 host/ principal 并更新 keytab。 这一规律也适用于类似 Apache 的 www/mod_auth_kerb 所使用的 www/ principal 这样的特殊 keytab 项。 您的领域中的每一台主机必须在 DNS (或至少在 /etc/hosts 中) 可以解析 (同时包括正向和反向)。 CNAME 能够正常使用， 但必须有正确的对应 A 和 PTR 记录。 此时给出的错误信息可能很让人困惑： Kerberos5 refuses authentication because Read req failed: Key table entry not found。 某些作为客户使用您的 KDC 的操作系统可能没有将 ksu 设置为 setuid root 的权限。 这意味着 ksu 将不能够正常工作， 从安全角度说这是一个不错的主意， 但可能令人烦恼。 这类问题并不是 KDC 的错误。 使用 MIT Kerberos 时， 如果希望允许一个 principal 拥有超过默认的十小时有效期的 ticket 则必须使用 kadmin 中的 modify_principal 来修改 principal 本身以及 krbtgt 的 maxlife(最大有效期)。 此后， principal 可以使用 kinit 的 -l 参数来请求一个有更长有效期的 ticket。 如果在 KDC 上运行了听包程序， 并在工作站上执行 kinit， 您可能会注意到 TGT 是在 kinit 一开始执行的时候就发出了的 — 甚至在您输入口令之前！ 关于这个现象的解释是 Kerberos 服务器可以无限制地收发 TGT (Ticket Granting Ticket) 给任何未经授权的请求； 但是， 每一个 TGT 都是使用用户的口令派生出来的密钥进行加密的。 因此， 当用户输入口令时它并不会发送给 KDC， 而是直接用于解密 kinit 所拿到的 TGT。 如果解密过程得到了一个包含合法的时间戳的有效 ticket， 则说明用户的 Kerberos 凭据有效。 这些凭据包含了一个会话密钥用以在随后建立 Kerberos 服务器的加密通讯， 传递由服务器自己的私钥加密的实际的 ticket-granting ticket。 这个第二层加密对于用户来说是看不到的， 但它使得 Kerberos 服务器能够验证每一个 TGT 的真实性。 如果需要有效期更长的 ticket (例如一周) 而且您使用 OpenSSH 连接保存您的 ticket 的机器， 请确认 sshd_config 中的 Kerberos 被设置为 no 否则在注销时会自动删除所有的 ticket。 切记主机的 principals 的 ticket 有效期一定要比用户的长。 如果您的用户 principal 的有效期是一周， 而所连接的主机的有效期是九个小时， 则缓存的主机 principal 将先行过期， 结果是 ticket 缓存无法正常工作。 当配置 krb5.dict 文件来防止使用特定的简单口令 (kadmind 的联机手册中简要介绍了它)， 请切记只有指定了口令策略的 principals 才会使用它们。 krb5.dict 文件的格式很简单： 每个串占一行。 创建一个到 /usr/share/dict/words 的符号连接会很有用。 与 <acronym>MIT</acronym> port 的区别 MIT 和 Heimdal 主要的区别在于 kadmin 程序使用不同 (尽管等价) 的命令和协议。 如果您的 KDC 是 MIT 的， 则其影响是不能使用 Heimdal 的 kadmin 程序来远程管理 KDC (或相反)。 完成同样工作的命令可能会有些许的不同。 推荐按照 MIT Kerberos 的网站 () 上的说明来操作。 请小心关于路径的问题， MIT port 会默认安装到 /usr/local/， 您因此可能会执行 普通的 系统应用程序而非 MIT, 如果您的 PATH 环境变量把 把系统目录放在前面的话。 如果使用 &os; 提供的 MIT security/krb5 port， 一定要仔细阅读 port 所安装的 /usr/local/share/doc/krb5/README.FreeBSD， 如果您想知道为什么通过 telnetd 和 klogind 登录时会出现一些诡异的现象的话。 最重要地， incorrect permissions on cache file(缓存文件权限不正确) 行为需要使用 login.krb5 来进行验证， 才能够正确地修改转发凭据的属主。 除此之外， 还应修改 rc.conf 并加入下列配置： kerberos5_server="/usr/local/sbin/krb5kdc" kadmind5_server="/usr/local/sbin/kadmind" kerberos5_server_enable="YES" kadmind5_server_enable="YES" 这样做的原因是， MIT kerberos 会将可执行文件装到 /usr/local 之下。 缓解 <application>Kerberos</application> 的限制 Kerberos5 限制和不足 <application>Kerberos</application> 是一种 all-or-nothing 方式 在网络上启用的每个服务都必须进行修改以便让其能够配合 Kerberos 工作 (否则就只能使用其它方法来保护它们不受网络攻击的侵害)， 如果不是这样， 则用户的凭据就有可能被窃取并再次使用。 一个例子是对所有的远程 shell (例如通过 rsh 和 telnet) 启用了 Kerberos 但没有将使用明文验证的 POP3 邮件服务器 Kerberos化。 <application>Kerberos</application> 是为单用户工作站设计的 在多用户环境中 Kerberos 的安全性会被削弱。 这是因为它把 ticket 保存到 /tmp 目录中， 而这个目录可以被任何用户读取。 如果有用户与其它人同时共享一台计算机 (也就是 multi-user)， 则这个用户的 ticket 就可能被其它用户窃取 (复制)。 可以通过使用 -c 文件名 这样的命令行选项， 或者(推荐的)改变 KRB5CCNAME 环境变量来避免这个问题， 但很少有人这么做。原则上， 将 ticket 保存到用户的 home 目录并简单地设置权限就能够缓解这个问题。 KDC 会成为单点崩溃故障点 根据设计， KDC 必须是安全的， 因为主密码数据库保存在它上面。 决不应该在 KDC上面运行其它服务， 而且还应确保它的物理安全。 由于 Kerberos 使用同一个密钥 (传说中的那个 主 密钥) 来加密所有的密码， 而将这个文件保存在 KDC， 因此其安全尤为重要 不过， 主密钥的泄露并没有想象中的那么可怕。 主密钥只用来加密 Kerberos 数据库以及产生随机数发生器的种子。 只要 KDC 是安全的， 即使攻击者拿到了主密钥也做不了什么。 另外， 如果 KDC 不可用 (例如由于拒绝服务攻击或网络故障) 则网络服务将由于验证服务无法进行而不能使用， 从而导致更大范围的拒绝服务攻击。 通过部署多个 KDC (一个主服务器， 配合一个或多个从服务器) 并采用经过仔细设计和实现的备用验证方式可以避免这种问题 (PAM 是一个不错的选择)。 <application>Kerberos</application> 的不足 Kerberos 允许用户、主机和服务之间进行相互认证。 但它并没有提供机制来向用户、主机或服务验证 KDC。 这意味着种过木马的程序，例如 kinit 有可能记录用户所有的用户名和密码。 尽管如此， 可以用类似 security/tripwire 这样的文件系统完整性检查工具来避免此类情况的发生。 相关资源和其它资料 Kerberos5 外部资源 The Kerberos FAQ Designing an Authentication System: a Dialog in Four Scenes RFC 1510, The Kerberos Network Authentication Service (V5) MIT Kerberos home page Heimdal Kerberos home page Tom Rhodes 作者 OpenSSL 安全 OpenSSL 许多用户可能并没有注意到 &os; 所附带的 OpenSSL 工具包的功能。 OpenSSL 提供了建立在普通的通讯层基础上的加密传输层； 这些功能为许多网络应用和服务程序所广泛使用。 对 OpenSSL 的一些常见用法包括加密邮件客户的身份验证过程， 基于 Web 的交易如信用卡等等。 许多 ports 如 www/apache13-ssl， 以及 mail/sylpheed-claws 等等都提供了编译进 OpenSSL 支持的方法。 绝大多数情况下 Ports Collection 会试图使用 security/openssl 除非明确地将 WITH_OPENSSL_BASE make 变量设置为 yes。 &os; 中附带的 OpenSSL 版本能够支持 安全套接字层 v2/v3 (SSLv2/SSLv3) 和 安全传输层 v1 (TLSv1) 三种网络协议， 并可作为通用的密码学函数库使用。 尽管 OpenSSL 支持 IDEA 算法， 但由于美国专利， 它在默认情况下是不编译的。 如果想使用它， 请查阅相应的授权， 如果认为授权可以接受， 则可以在 make.conf 中设置 MAKE_IDEA。 为应用软件提供证书是 OpenSSL 最为常用的功能之一。 证书是一种能够确保公司或个人有效身份不被伪造的凭据。 如果证书没有被众多 权威发证机构， 或 CA 中的某一个确认， 则会产生一个警告。 权威发证机构通常是一家公司， 例如 VeriSign， 它能够通过签署来证明个人或公司证书的有效性。 这个过程是需要付费的， 当然， 这不是使用证书的必要条件； 然而， 这样做会让那些比较偏执的用户感到轻松。 生成证书 OpenSSL 生成证书 为了生成证书， 需要使用下面的命令： &prompt.root; openssl req -new -nodes -out req.pem -keyout cert.pem Generating a 1024 bit RSA private key ................++++++ .......................................++++++ writing new private key to 'cert.pem' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:PA Locality Name (eg, city) []:Pittsburgh Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company Organizational Unit Name (eg, section) []:Systems Administrator Common Name (eg, YOUR name) []:localhost.example.org Email Address []:trhodes@FreeBSD.org Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:SOME PASSWORD An optional company name []:Another Name 请注意， 在 Common Name 提示后面我们输入的是一个域名。 这个提示要求输入服务器的名字， 这个名字今后将用于完成验证过程； 如果在这里输入域名以外的内容， 那么证书也就失去其意义了。 您还可以指定一些其他的选项， 比如证书的有效期， 以及使用的加密算法等等。 这些选项的完整列表， 可以在 &man.openssl.1; 联机手册中找到。 在您执行前述命令的目录中将生成两个文件。 证书申请， 即 req.pem， 可以发给一家发证机构， 它将验证您输入的凭据的真实性， 并对申请进行签名， 再把证书返还给您。 第二个文件的名字将是 cert.pem， 它包含了证书的私钥， 应被全力保护； 如果它落入别人手中， 则可以被用来伪造您 (或您的服务器)。 如果不需要来自 CA 的签名， 也可以创建自行签名的证书。 首先， 需要生成 RSA 密钥： &prompt.root; openssl dsaparam -rand -genkey -out myRSA.key 1024 接下来， 生成 CA 密钥： &prompt.root; openssl gendsa -des3 -out myca.key myRSA.key 然后用这个密钥来创建证书： &prompt.root; openssl req -new -x509 -days 365 -key myca.key -out new.crt 上述步骤将在当前目录中生成两个新文件： 一个是权威发证机构的签名文件， myca.key； 另一个是证书本身， new.crt。 这些文件应该放到同一个目录中， 一般而言， 推荐放到 /etc， 并且只允许 root 读取。 建议把权限设置为 0700， 这可以通过 chmod 工具来完成。 使用证书的一个例子 那么有了这些文件可以做些什么呢？ 一个比较典型的用法是用来加密 Sendmail MTA 的通讯连接。 这可以解决用户通过本地 MTA 发送邮件时使用明文进行身份验证的问题。 这个用法可能并不完美， 因为某些 MUA 会由于没有在本地安装证书而向用户发出警告。 请参考那些软件的说明了解关于安装证书的信息。 下面的设置应添加到本地的 .mc 文件 dnl SSL Options define(`confCACERT_PATH',`/etc/certs')dnl define(`confCACERT',`/etc/certs/new.crt')dnl define(`confSERVER_CERT',`/etc/certs/new.crt')dnl define(`confSERVER_KEY',`/etc/certs/myca.key')dnl define(`confTLS_SRV_OPTIONS', `V')dnl 这里， /etc/certs/ 是准备用来在本地保存证书和密钥的位置。 最后， 需要重新生成本地的 .cf 文件。 这一工作可以简单地通过在 /etc/mail 目录中执行 make install 来完成。 接下来， 可以使用 make restart 来重新启动 Sendmail 服务程序。 如果一切正常的话， 在 /var/log/maillog 中就不会出现错误提示， Sendmail 也应该出现在进程列表中。 做一个简单的测试， 使用 &man.telnet.1; 来连接邮件服务器： &prompt.root; telnet example.com 25 Trying 192.0.34.166... Connected to example.com. Escape character is '^]'. 220 example.com ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT) ehlo example.com 250-example.com Hello example.com [192.0.34.166], pleased to meet you 250-ENHANCEDSTATUSCODES 250-PIPELINING 250-8BITMIME 250-SIZE 250-DSN 250-ETRN 250-AUTH LOGIN PLAIN 250-STARTTLS 250-DELIVERBY 250 HELP quit 221 2.0.0 example.com closing connection Connection closed by foreign host. 如果输出中出现了 STARTTLS 则说明一切正常。 Nik Clayton
nik@FreeBSD.org
 撰写者 IPsec IPsec 上的 VPN 使用 FreeBSD 网关在两个被 Internet 分开的网络之间架设 VPN。 Hiten M. Pandya
hmp@FreeBSD.org
 撰写者 理解 IPsec 这一节将指导您完成架设 IPsec， 并在一个包含了 FreeBSD 和 µsoft.windows; 2000/XP 机器的网络中使用它来进行安全的通讯的全过程。 为了配置 IPsec， 您应当熟悉如何编译一个定制的内核的一些概念 (参见 )。 IPsec 是一种建立在 Internet 协议 (IP) 层之上的协议。 它能够让两个或更多主机以安全的方式来通讯 (并因此而得名)。 FreeBSD IPsec 网络协议栈 基于 KAME 的实现， 它支持两种协议族， IPv4 和 IPv6。 FreeBSD 包括了采用 硬件加速的 IPsec 协议栈， 也称作 Fast IPsec， 它来自 OpenBSD。 它能够通过 &man.crypto.4; 子系统来利用加密硬件 (只要可能) 优化 IPSec 的性能。 这个子系统是新的， 暂时还不支持 KAME 版本的 IPsec 的全部功能。 此外， 为了启用硬件加速的 IPsec， 必须把下面的选项加入到内核配置中： 内核选项 FAST_IPSEC options FAST_IPSEC # new IPsec (cannot define w/ IPSEC) 需要注意的是， 目前还不能用 Fast IPsec 子系统完全替代 KAME 的 IPsec 实现。 请参见联机手册 &man.fast.ipsec.4; 以了解进一步的详情。 如果希望防火墙能够正确地跟踪到 &man.gif.4; 信道的状态， 您还需要在内核配置中启用 ： options IPSEC_FILTERGIF #filter ipsec packets from a tunnel IPsec ESP IPsec AH IPsec 包括了两个子协议： Encapsulated Security Payload (ESP), 保护 IP 包数据不被第三方介入， 通过使用对称加密算法 (例如 Blowfish、 3DES)。 Authentication Header (AH), 保护 IP 包头不被第三方介入和伪造， 通过计算校验和以及对 IP 包头的字段进行安全散列来实现。 随后是一个包含了散列值的附加头， 以便能够验证包。 ESP 和 AH 可以根据环境的不同， 分别或者一同使用。 VPN 虚拟专用网 VPN IPsec 既可以用来直接加密主机之间的网络通讯 (也就是 传输模式)； 也可以用来在两个子网之间建造 虚拟隧道 用于两个网络之间的安全通讯 (也就是 隧道模式)。 后一种更多的被称为是 虚拟专用网 (VPN)。 &man.ipsec.4; 联机手册提供了关于 FreeBSD 中 IPsec 子系统的详细信息。 要把 IPsec 支持放进内核， 应该在配置文件中加入下面的选项： 内核选项 IPSEC 内核选项 IPSEC_ESP options IPSEC #IP security options IPSEC_ESP #IP security (crypto; define w/ IPSEC) 内核选项 IPSEC_DEBUG 如果需要 IPsec 的调试支持， 还应增加： options IPSEC_DEBUG #debug for IP security 问题 由于对如何建立 VPN 并不存在标准， 因此 VPN 可以采用许多种不同的技术来实现， 每种技术都有其长处和弱点。 这篇文章讲展现一个具体的应用情景， 并为它设计了适合的 VPN。 情景： 两个网络都接入了 Internet， 希望像一个网络那样工作 VPN 创建 现有条件如下： 至少有两个不同的站点 每个站点都使用内部的 IP 两个站点都通过运行 FreeBSD 的网关接入 Internet。 每个网络上的网关至少有一个公网的 IP 地址。 网络的内部地址可以是公网或私有的 IP 地址， 这并不是问题。 如果需要， 还可以在网关上运行 NAT。 两个网络上的 IP 地址 不冲突。 虽然理论上可以通过 VPN 和 NAT 连用来使这种情况能够正常工作， 但那毫无疑问将是管理的噩梦。 如果您发现您正打算连接两个内网使用同一私有 IP 地址范围的网络 (例如它们都使用 192.168.1.x)， 则其中的一个必须修改网络地址。 网络的拓扑结构如下： 网络 #1 [ 内部主机 ] 私有网络，192.168.1.2-254 [ Win9x/NT/2K ] [ UNIX ] | | .---[fxp1]---. 私有 IP, 192.168.1.1 | FreeBSD | `---[fxp0]---' 公网 IP, A.B.C.D | | -=-=- Internet -=-=- | | .---[fxp0]---. 公网 IP, W.X.Y.Z | FreeBSD | `---[fxp1]---' 私有 IP, 192.168.2.1 | | 网络 #2 [ Internal Hosts ] [ Win9x/NT/2K ] 私有网络， 192.168.2.2-254 [ UNIX ] 请注意两个公网 IP 地址。 在这篇文章的其余部分我将用这些字母来表示它们。 在文章中看到这些字母的时候， 请把它们换成自己的公网 IP 地址。 另外， 在内部， 两个网关都是使用的 .1 的 IP地址， 而两个网络使用了不同的私有 IP 地址 (相应地， 192.168.1.x 和 192.168.2.x)。 所有私有网络上的机器都被配置为使用 .1 这台机器作为它们的网关。 我们希望， 从网络的观点看， 每一个网络上的机器都应该能够像在直接连接到同一路由器上一样看到对方网络上的机器 -- 尽管可能比路由器略慢一些， 并且有时会有丢包的现象。 这意味着 (举例来说)， 主机 192.168.1.20 应该能够运行 ping 192.168.2.34 并且这能够透明地工作。 &windows; 机器应该能够看到其他网络上的机器， 浏览文件共享， 等等， 就像在本地网络上一样。 而且这些事情必须是安全的， 也就是说两个网络之间的通讯必须加密。 在两个网络之间建立 VPN 可以分为几步。 这些步骤包括： 在两个网络之间， 通过 Internet 建立一个 虚拟的 网络连接。 使用类似 &man.ping.8; 这样的工作来验证它是否正常工作。 在两个网络之间应用安全策略以保证它们之间的通讯被透明地加密和解密。 可以使用 &man.tcpdump.1; 或类似的工具来验证这一点。 在 FreeBSD 网关上配置其他软件， 让 &windows; 机器能够通过 VPN 看到另一个网络中的机器。 步骤 1： 建立并测试 <quote>虚拟的</quote> 网络连接 假设您目前已经登录到了网络 #1 的网关机上 (其公网 IP 地址是 A.B.C.D， 私网 IP 地址是 192.168.1.1)， 则您可以执行 ping 192.168.2.1， 这是公网 IP 为 W.X.Y.Z 的私网地址。 需要做什么实现上述功能呢? 作为网关的机器需要知道如何能够到达 192.168.2.1。 换言之， 它需要一条通往 192.168.2.1 的路由。 私网 IP 地址， 例如 192.168.x 这样的地址是不应在 Internet 上面大量出现的。 因此， 发送到 192.168.2.1 的数据包将会封装到另外的包中。 这样的包对外展现的应该是来自 A.B.C.D， 并被发到 W.X.Y.Z 去。 这个过程称为 封装。 一旦包到达了 W.X.Y.Z 就需要对其 拆封， 并传递给 192.168.2.1。 可以把上述过程理解为在两个网络间建立了一个 隧道。 两个 隧道口 是 IP 地址 A.B.C.D 和 W.X.Y.Z， 而隧道必须被告知哪些私有地址可以自由地在其中通过。 隧道被用来在公共的 Internet 上传递私有的 IP 数据。 在 FreeBSD 上， 隧道可以通过一般的网络接口， 或 gif 来建立。 您也许已经猜到了， 每一台网关机的 gif 接口需要配置四个 IP 地址； 两个是公网 IP 地址， 另两个则是私网 IP 地址。 对于 gif 设备的支持必须在两台网关机上编译进 &os; 内核。 可以通过添加下面的设置来达到目的： device gif 到两边的内核配置文件中， 并重新编译、 安装和启动它们。 配置隧道可以分为两步来完成。 首先隧道必须被告知外部的 (或公网的) IP 地址， 可以通过 &man.ifconfig.8; 来完成这步。 私网 IP 地址则必须使用 &man.ifconfig.8; 来配置。 在网络 #1 的网关机上可以通过下面的这些命令来配置隧道。 &prompt.root; ifconfig gif0 create &prompt.root; ifconfig gif0 tunnel A.B.C.D W.X.Y.Z &prompt.root; ifconfig gif0 inet 192.168.1.1 192.168.2.1 netmask 0xffffffff 在另一台网关上也需要执行同样的命令， 但 IP 地址的顺序相反。 &prompt.root; ifconfig gif0 create &prompt.root; ifconfig gif0 tunnel W.X.Y.Z A.B.C.D &prompt.root; ifconfig gif0 inet 192.168.2.1 192.168.1.1 netmask 0xffffffff 随后执行： ifconfig gif0 可以查看当前的配置情况。 例如， 在网络 #1 的网关上您应该能够看到： &prompt.root; ifconfig gif0 gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1280 tunnel inet A.B.C.D --> W.X.Y.Z inet 192.168.1.1 --> 192.168.2.1 netmask 0xffffffff 如您所见， 虽然到已经在物理地址 A.B.C.D 和 W.X.Y.Z 之间建立起来， 而允许通过隧道的地址则是 192.168.1.1 到 192.168.2.1 这个范围。 这同时会在两边机器的路由表中加入一项， 可以通过 netstat -rn 来观察。 来自网络 #1的网关机的输出如下。 &prompt.root; netstat -rn Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire ... 192.168.2.1 192.168.1.1 UH 0 0 gif0 ... 正如 Flags 的值所显示的那样， 这是一个主机路由， 这意味着每一个网关都知道如何到达另一端的网关， 但它们现在还不知道如何到达对方的网络。 我们接下来立刻解决这个问题。 您很可能在两台机器上都在运行防火墙。 这需要作一些变动， 以便适应 VPN 的需要。 一般来说会希望两个网络相互传递数据包， 或者通过防火墙来隔离两边的危险。 如果您将防火墙配置为允许两边的网络传输通过， 则测试工作会简单不少。 随后您可以随时将限制变得更严格一些。 假如您在网关上使用 &man.ipfw.8; 则下面的命令 ipfw add 1 allow ip from any to any via gif0 将允许两端点的 VPN 数据通过， 而不影响其他防火墙策略。 很显然， 您需要在两个网关上都执行上述命令。 现在已经可以让两台机器相互 ping 了。 在 192.168.1.1 您应该能够正常执行 ping 192.168.2.1 并得到回应。 对于另一台网关来说也是一样。 然而， 到目前为止仍然还无法连上另一网络上的内部主机。 原因是路由 -- 尽管网关机知道如何到达对方那里， 但它们都不知道如何到达对方后面的网络。 要解决这个问题， 就必须在两边都添加一条静态路由。 可以在第一台网关上执行： route add 192.168.2.0 192.168.2.1 netmask 0xffffff00 这相当于是说 为了到达 192.168.2.0 子网的机器， 需要把包发给 192.168.2.1。 您需要在另一个网关上也执行类似的命令， 但使用 192.168.1.x 的地址。 来自一个网络上的 IP 访问现在能够抵达对面的网络了。 在两个网络之间建立 VPN 的过程已经完成了三分之二， 它现在已经是 虚拟的 网络， 然而它还不够专用。 您可以使用 &man.ping.8; 和 &man.tcpdump.1; 来进行测试， 并记录两边收发的数据包 tcpdump dst host 192.168.2.1 接下来登录到本机的另一个会话 ping 192.168.2.1 您将在输出中发现 16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo reply 如您所见， ICMP 消息在收发的过程中都没有加密。 如果使用了 参数来运行 &man.tcpdump.1;， 甚至可以得到包中的更多信息以及其中的数据。 很明显这是不能接受的。 下一节将讨论如何让两个网络之间的连接更安全， 这件事是通过对通讯实施加密来完成的。 小结： 在两边的内核中配置 device gif。 编辑网关 #1 上的 /etc/rc.conf 并将下面的行添加进去 (根据需要改 IP )。 gif_interfaces="gif0" gifconfig_gif0="A.B.C.D W.X.Y.Z" ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff" static_routes="vpn" route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00" 在两台机器上编辑防火墙脚本 (/etc/rc.firewall， 或类似的名字) 在其中加入 ipfw add 1 allow ip from any to any via gif0 在网络 #2 的网关机上也对 /etc/rc.conf 做同样的修改， 注意把 IP 地址倒过来。 步骤 2： 对连接实施安全加固 为了加密连接通讯将用到 IPsec。 IPsec 提供了一种机制， 使得两台主机协商一个加密密钥， 并使用它加密之间的通讯。 在配置时有两个地方需要考虑。 必须有能够让两台主机协商所采用的加密方式的机制。 一旦双方确认了这机制， 则称他们之间建立了 安全关联。 必须采用某种机制来指定哪些通讯需要加密。 很明显地， 通常并不需要所有的发出数据都被加密 -- 一般只需要加密在 VPN 上传输的那些数据。 这类决定哪些数据被加密的规则被称为 安全策略。 安全关联和安全策略都是由内核来维护的， 并可以通过用户态的程序来修改。 在能够这样做之前， 首先需要配置内核来让它支持 IPsec 和安全载荷封装 (ESP) 协议。 配置下面的内核选项 内核选项 IPSEC options IPSEC options IPSEC_ESP 然后重新编译、 安装最后重新启动新的内核。 在继续进行设置之前， 您需要在两台网关上都进行同样的设置。 IKE 在建立安全关联时有两种选择。 一种方法是完全手工地在两台主机之间选择加密算法、 密钥等等， 另一种方法是使用实现了 Internet 密钥交换协议 (IKE) 的服务程序来帮您完成这些任务。 我们推荐后者。 不说别的， 它配置起来要容易得多。 IPsec security policies setkey 用 &man.setkey.8; 可以编辑和显示安全策略。 打个比方， setkey 之于内核的安全策略表， 就相当于 &man.route.8; 之于内核中的路由表。 setkey 还可以显示当前的安全关联， 这一点和 netstat -r 类似。 在 FreeBSD 上可供选择的用于管理安全关联的服务程序有很多。 这篇文章将介绍其中的一种， racoon —。 它可以从 &os; 的 Ports collection 中的 security/ipsec-tools 安装。 racoon racoon 软件， 必须在两台网关机上都运行。 需要配置 VPN 另一端的 IP， 以及一个密钥 (这个密钥可以任意选择， 但两个网关上的密钥必须一致)。 两端的服务程序将相互通讯， 并确认它们各自的身份 (使用刚刚配置的密钥) 然后服务程序将生成一个新的密钥， 并用它来加密 VPN 上的数据通讯。 它们定期地改变密钥， 因此即使供给者破解了一个密钥 (虽然这在理论上并不十分可行) 他也得不到什么 -- 破解密钥的时候， 已经产生一组新的密钥了。 racoon 的配置文件是存放在 ${PREFIX}/etc/racoon 目录中的。 在那里应该能够找到一个配置文件， 不需要修改太多的设置。 raccon 配置的另一部分， 也就是需要修改的内容， 是 预先配置的共享密钥。 默认的 racoon 配置应该可以在 ${PREFIX}/etc/racoon/psk.txt 这个文件中找到。 需要强调的是， 这个密钥 并非 用于加密 VPN 连接的密钥， 他们只是密钥管理服务程序用以信任对方的一种凭据。 psk.txt 包含了需要打交道的每一个远程站点。 在本例中一共有两个站点， 每一个 psk.txt 都只有一行 (因为每个 VPN 接入点都只和一个端点连接)。 在网关机 #1 上应该是： W.X.Y.Z secret 这包括了远程站点的 公网 IP 地址， 空格， 以及提供秘密的字符串。 很明显不应使用 secret 作为实际的密钥 -- 通常的口令选择策略在这里也适用。 在网关 #2 上对应的配置是 A.B.C.D secret 也就是说， 对面端的公网 IP 地址， 以及同样的密钥。 psk.txt 的权限必须是 0600 (也就是说， 只有 root 能够读写) 否则 racoon 将不能运行。 两边的机器上都必须执行 racoon。 另外， 还需要增加一些防火墙规则来允许 IKE 通讯通过， 它是通过 UDP 在 ISAKMP (Internet 安全关联密钥管理协议) 端口上运行的协议。 再次强调， 这个规则应该在规则集尽可能早的位置出现。 ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp 一旦 racoon 开始运行， 就可以开始测试让网关进行相互的 ping 了。 此时连接还没有进行加密， 但 racoon 将在两个主机之间建立安全关联 -- 这可能需要一段时间， 对您来说， 具体的现象则是在 ping 命令开始响应之前会有短暂的延迟。 一旦安全关联建立之后， 就可以使用 &man.setkey.8； 来查看它了。 在两边的网关上执行 setkey -D 就可以看到安全关联的相关信息了。 现在只完成了一半的工作。 另一半是设置安全策略。 想要完成一个有判断力的安全策略， 首先要看我们已经完成的步骤。 接下来的讨论针对连接的两端。 您所发出的每一个 IP 包都包括一个包头， 其内容是和这个包有关的描述性数据。 包头包括了包的来源和目的的 IP 地址。 正如我们所了解的那样， 私有 IP 地址， 例如 192.168.x.y 这样的地址范围， 不应该出现在 Internet 的公网上。 因此， 他们必须首先封装到别的包中。 包的来源或目的如果是私有 IP 地址， 则必须替换成公网 IP 地址。 因此如果发出的包类似下面这样： .-------------------. | Src: 192.168.1.1 | | Dst: 192.168.2.1 | | <其他头信息 > | +-------------------+ | <包数据 > | `-------------------' 随后它将被封装进另一个包中， 像下面这样： .--------------------------. | Src: A.B.C.D | | Dst: W.X.Y.Z | | <附加头信息 > | +--------------------------+ | .----------------------. | | | Src: 192.168.1.1 | | | | Dst: 192.168.2.1 | | | | <附加头信息 > | | | +----------------------+ | | | <包数据 > | | | `----------------------' | `--------------------------' 封装过程是在 gif 设备上完成的。 如上图所示， 包现在有了外部的实际 IP 地址， 而原始的包则被封装到里面作为数据。 这个包将通过 Internet 传递。 很明显地， 我们希望 VPN 之间的通讯是加密的。 用于言来描述大致是： 如果包从 A.B.C.D 发出且其目的地是 W.X.Y.Z， 则通过必要的安全关联进行加密。 如果包来自 W.X.Y.Z 且其目的地是 A.B.C.D， 则通过必要的安全关联进行解密。 这已经很接近了， 但还不够正确。 如果这么做的话， 所有来自和发到 W.X.Y.Z 的包， 无论是否属于 VPN 通讯都会被加密。 这可能并不是您所希望的， 因此正确的安全策略应该是 如果包从 A.B.C.D 发出， 且封装了其他的包， 其目的地是 W.X.Y.Z， 则通过必要的安全关联进行加密。 如果包来自 W.X.Y.Z， 且封装了其他的包， 其目的地是 A.B.C.D， 则通过必要的安全关联进行解密。 一个很小， 但却必要的改动。 安全策略也是通过 &man.setkey.8; 设置的。 &man.setkey.8; 提供了一种用于配置策略的语言。 可以直接在 stdin 上输入策略， 或通过 选项来指定一个包含配置命令的文件。 网关 #1 上的配置 (其 IP 地址是 A.B.C.D) 强制将所有到 W.X.Y.Z 的通讯进行加密的配置是： spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 把这些命令放到一个文件 (例如 /etc/ipsec.conf) 然后执行 &prompt.root; setkey -f /etc/ipsec.conf 会告诉 &man.setkey.8; 我们希望把规则加入到安全策略数据库中。 命令的其它部分指定了什么样的包能够匹配这规则。 A.B.C.D/32 和 W.X.Y.Z/32 是用于指定规则能够匹配的网络或主机的 IP 地址和掩码。 本例中， 希望应用到两个主机之间的通讯上。 则告诉内核这规则只应被用于封装其他包的那些数据包。 表示策略是针对发出的包的， 而 则表示需要对数据包进行加密。 第二行指定了如何加密。 是将要使用的协议， 而 则表示包应该进一步封装进一个 IPsec 包里面。 反复使用 A.B.C.D 和 W.X.Y.Z 用来选择所用的安全关联 而最后的 则强制所有匹配这规则的包都被加密。 上面的规则只匹配了发出的包。 接下来需要配置类似的匹配进入包的规则。 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; 请注意本例中 代替了 并且 IP 地址的顺序也相反。 在另一个网关上 (其公网 IP 地址是 W.X.Y.Z) 也需要类似的规则。 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 最后是添加允许 ESP 和 IPENCAP 包进出的防火墙规则。 这些规则需要在两边分别设置。 ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D 由于规则的对称性， 因此可以在两台网关上使用同样的规则。 发出的包如下图所示： .------------------------------. --------------------------. | Src: A.B.C.D | | | Dst: W.X.Y.Z | | | <other header info> | | Encrypted +------------------------------+ | packet. | .--------------------------. | -------------. | contents | | Src: A.B.C.D | | | | are | | Dst: W.X.Y.Z | | | | completely | | <other header info> | | | |- secure | +--------------------------+ | | Encap'd | from third | | .----------------------. | | -. | packet | party | | | Src: 192.168.1.1 | | | | Original |- with real | snooping | | | Dst: 192.168.2.1 | | | | packet, | IP addr | | | | <other header info> | | | |- private | | | | +----------------------+ | | | IP addr | | | | | <packet data> | | | | | | | | `----------------------' | | -' | | | `--------------------------' | -------------' | `------------------------------' --------------------------' 当 VPN 数据被远端接到时， 它将首先被解密 (使用 racoon 协商得到的安全关联)。 然后它们将进入 gif 接口， 并在那里展开第二层， 直到只剩下最里层的包， 并将其转发到内网上。 可以通过与之前同样的 &man.ping.8; 命令来测试安全性。 首先登录到 A.B.C.D 网关上并执行： tcpdump dst host 192.168.2.1 在同一主机上登录另一会话， 执行 ping 192.168.2.1 此时的输出应该是： XXX tcpdump output 如您看到的， &man.tcpdump.1; 给出的将是 ESP 包。 假如您想查看它们的内容可以使用 option 选项， 您将 (显然地) 看到一些乱码， 因为传输过程实施了加密。 祝贺您。 您已经完成了两个远程站点之间的 VPN 的架设工作。 小结 将两边的内核配置加入： options IPSEC options IPSEC_ESP 安装 security/ipsec-tools。 编辑两台网关上的 ${PREFIX}/etc/racoon/psk.txt 并添加远程主机的 IP 和共享的密钥。 文件的权限应该是 0600。 将下面的设置加入两台主机的 /etc/rc.conf 中： ipsec_enable="YES" ipsec_file="/etc/ipsec.conf" 在两个网关上都建立 /etc/ipsec.conf 并添加必要的 spdadd。 在网关 #1 上是： spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; 在网关 #2 上则是： spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 添加防火墙规则以允许 IKE, ESP, 和 IPENCAP 通讯能够到达各自的主机： ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D 前面的两步应该足以让 VPN 运转起来了。 两个网络上的机器都应该能通过 IP 来访问对方， 而所有的通讯都被自动地进行加密。 Chern Lee 原著 OpenSSH OpenSSH 安全 OpenSSH OpenSSH 是一组用于安全地访问远程计算机的连接工具。 它可以作为 rlogin、 rsh rcp 以及 telnet 的直接替代品使用。 更进一步， 其他任何 TCP/IP 连接都可以通过 SSH 安全地进行隧道/转发。 OpenSSH 对所有的传输进行加密， 从而有效地阻止了窃听、 连接劫持， 以及其他网络级的攻击。 OpenSSH 由 OpenBSD project 维护， 它基于 SSH v1.2.12 并包含了最新的错误修复和更新。 它同时兼容 SSH 协议的 1 和 2 两个版本。 使用 OpenSSH 的好处 - 通常，当使用 &man.telnet.1; 或 &man.rlogin.1; 时， - 数据是以明码的形式发送的，并没有加密。 - 在客户机和服务器之间的网络上运行的听包程序可以在会话中偷窃到传输的用户名/密码和数据。 + 一般说来， 在使用 &man.telnet.1; 或 &man.rlogin.1; 时， + 数据是以未经加密的明文的形式发送的。 这样一来， + 在客户机和服务器之间的网络上运行的听包程序， + 便可以在会话中窃取到传输的用户名/密码和数据。 OpenSSH 提供了多种的身份验证和加密方法来防止这种情况的发生。 启用 sshd OpenSSH 启用 sshd 的启用是作为 &os; 安装中 Standard 安装过程中的一步来进行的。 要查看 sshd 是否已被启用， 请检查 rc.conf 文件中的： sshd_enable="YES" 这表示在下次系统启动时加载 OpenSSH 的服务程序 &man.sshd.8;。 此外， 也可以手动使用 &man.rc.8; 脚本 /etc/rc.d/sshd 来启动 OpenSSH： /etc/rc.d/sshd start SSH 客户 OpenSSH 客户 &man.ssh.1; 的工作方式和 &man.rlogin.1; 非常类似。 &prompt.root; ssh user@example.com Host key not found from the list of known hosts. Are you sure you want to continue connecting (yes/no)? yes Host 'example.com' added to the list of known hosts. user@example.com's password: ******* 登录过程和使用 rlogin 或 telnet 建立的会话非常类似。 在连接时， SSH 会利用一个密钥指纹系统来验证服务器的真实性。 只有在第一次连接时， 用户会被要求输入 yes。 之后的连接将会验证预先保存下来的密钥指纹。 如果保存的指纹与登录时接收到的不符， 则将会给出警告。 指纹保存在 ~/.ssh/known_hosts 中， 对于 SSH v2 指纹， 则是 ~/.ssh/known_hosts2。 默认情况下， 较新版本的 OpenSSH 只接受 SSH v2 连接。 如果能用版本 2 则客户程序会自动使用， 否则它会返回使用版本 1 的模式。 此外， 也可以通过命令行参数 或 来相应地强制使用版本 1 或 2。 保持客户端的版本 1 能力是为了考虑较早版本的兼容性。 安全复制 OpenSSH 安全复制 scp &man.scp.1; 命令和 &man.rcp.1;; 的用法类似， 它用于将文件复制到远程的机器上， 或复制过来， 区别是它是安全的。 &prompt.root; scp user@example.com:/COPYRIGHT COPYRIGHT user@example.com's password: ******* COPYRIGHT 100% |*****************************| 4735 00:00 &prompt.root; 由于先前的例子中已经保存了指纹， 使用 &man.scp.1; 时会自动地加以验证。 &man.scp.1; 使用的参数同 &man.cp.1; 类似。 第一个参数是一个或一组文件， 然后是复制的目标。 由于文件是通过 SSH 在网上传递的， 因此某些文件的名字需要写成 。 配置 OpenSSH 配置 针对 OpenSSH 服务程序和客户端的系统级配置文件在 /etc/ssh 目录中。 ssh_config 用于配置客户端的设定， 而 sshd_config 则用于配置服务器端。 另外 (默认是 /usr/sbin/sshd)， 以及 这两个 rc.conf 选项提供了更多的配置选择。 ssh-keygen 用于取代口令的一种方法是使用 &man.ssh-keygen.1; 来生成 DSA 或 RSA 密钥对用于验证用户的身份： &prompt.user; ssh-keygen -t dsa Generating public/private dsa key pair. Enter file in which to save the key (/home/user/.ssh/id_dsa): Created directory '/home/user/.ssh'. Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/user/.ssh/id_dsa. Your public key has been saved in /home/user/.ssh/id_dsa.pub. The key fingerprint is: bb:48:db:f2:93:57:80:b6:aa:bc:f5:d5:ba:8f:79:17 user@host.example.com &man.ssh-keygen.1; 会生成一个包含公私钥对用于验证身份。 私钥将保存到 ~/.ssh/id_dsa 或 ~/.ssh/id_rsa， 而公钥则被存放到 ~/.ssh/id_dsa.pub 或 ~/.ssh/id_rsa.pub， 文件名取决于您选择的 DSA 和 RSA 密钥类型。 RSA 或者 DSA 公钥必须被存放到远程机器上的 ~/.ssh/authorized_keys 才能够使系统正确运转。 这将允许从远程连接时以基于 SSH 密钥的验证来代替口令验证。 如果在 &man.ssh-keygen.1; 中使用了通行字， 则每次使用私钥时都需要输入它。 &man.ssh-agent.1; 能够缓解多次输入长通行字的压力， 并将在接下来的 予以详述。 选项和配置文件可能随 OpenSSH 的版本不同而不同； 为了避免出现问题， 您应参考 &man.ssh-keygen.1; 联机手册。 这将使到远程机器的连接基于 SSH 密钥而不是口令。 如果在运行 &man.ssh-keygen.1; 时使用了通行字， 每次使用私钥的时候用户都将被要求输入通行字。 &man.ssh-agent.1; 能够减缓重复输入较长通行字的负担， 有关更详细的探究在 下一节 . 随着你系统上的 OpenSSH 版本的不同，各种选项和配置文件也会不同； 为了避免此类问题， 你需要参阅 &man.ssh-keygen.1; 联机手册。 ssh-agent 和 ssh-add &man.ssh-agent.1; 和 &man.ssh-add.1; 这两个工具， 提供了一种将 SSH 秘钥加载到内存中以便使用， 而不必每次都输入通行字的方法。 &man.ssh-agent.1; 工具能够使用加载到其中的私钥来处理验证过程。 &man.ssh-agent.1; 应被用于启动另一个应用程序。 最基本的用法是， 使用它来启动 shell， 而高级一些的用法则是用它来启动窗口管理器。 要在 shell 中使用 &man.ssh-agent.1;， 首先应把 shell 作为参数来启动它。 随后， 应通过 &man.ssh-add.1; 并输入通行字， 来向它提供身份验证信息。 一旦这些步骤都做完了， 用户就应该能够 &man.ssh.1; 到任何一个安装了对应公钥的机器了。 例如： &prompt.user; ssh-agent csh &prompt.user; ssh-add Enter passphrase for /home/user/.ssh/id_dsa: Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) &prompt.user; 要在 X11 中使用 &man.ssh-agent.1;， 调用 &man.ssh-agent.1; 的过程应置于 ~/.xinitrc 之中。 这将把 &man.ssh-agent.1; 服务提供给所有在 X11 中运行的程序。 下面是一个 ~/.xinitrc 文件的实例： exec ssh-agent startxfce4 这将启动 &man.ssh-agent.1;， 而后者将在每次 X11 启动时运行 XFCE。 作完这些之后就可以重启 X11 以便使修改生效。 随后您就可以运行 &man.ssh-add.1; 来加载全部 SSH 密钥了。 SSH 隧道 OpenSSH 隧道 OpenSSH 能够创建隧道以便用加密的会话来封装其他协议。 下面的命令告诉 &man.ssh.1; 为 telnet 创建一个隧道： &prompt.user; ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com &prompt.user; 上述 ssh 命令使用了下面这些选项： 强制 ssh 使用第2版的协议 (如果需要和较老的 SSH 一同工作请不要使用这个选项)。 表示不使用命令行， 或者说只使用隧道。 如果省略， ssh 将同时初始化会话。 强制 ssh 在后台执行。 表示产生一条 本地端口:远程主机:远程端口 形式的隧道。 远程 SSH 服务器。 SSH 隧道通过监听 localhost 上面指定端口来完成工作。 它将把本机主机/端口上接收到的连接通过 SSH 连接转发到远程主机/端口。 本例中， 位于 localhost 的 5023 端口 被用于转发 localhost 的连接到远程主机的 23 端口。 由于 23 是 telnet 使用的， 因此它将通过 SSH 隧道完成 telnet 会话。 这可以用来封装任意不安全的 TCP 协议， 例如 SMTP、 POP3、 FTP等等。 使用 SSH 为 SMTP 创建安全隧道 &prompt.user; ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com user@mailserver.example.com's password: ***** &prompt.user; telnet localhost 5025 Trying 127.0.0.1... Connected to localhost. Escape character is '^]'. 220 mailserver.example.com ESMTP 这可以与 &man.ssh-keygen.1; 以及额外的用户帐号配合来建立一个更透明的 SSH 隧道环境。 密钥可以被用在需要输入口令的地方， 而且可以为不同的用户配置不同的隧道。 实用的 SSH 通道例子 加强 POP3 服务的安全 工作时， 有一个允许外来连接的 SSH 服务器。 同一个办公网络中有一个邮件服务器提供 POP3 服务。 这个网络， 或从您家到办公室的网络可能不， 或不完全可信。 基于这样的原因， 您需要以安全的方式来查看邮件。 解决方法是创建一个到办公室 SSH 服务器的连接， 并通过这个连接来访问 POP3 服务： &prompt.user; ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com user@ssh-server.example.com's password: ****** 当这个通道连上时， 您可以把 POP3 请求发到 localhost 端口 2110。 这个连接将通过通道安全地转发到 mail.example.com。 绕过严厉的防火墙 一些大脑长包的网络管理员会使用一些极端的防火墙策略， 不仅过滤进入的连接， 而且也过滤连出的连接。 一些时候您可能只能连接远程机器 22 端口，以及 80 端口用来进行 SSH 和网页浏览。 您可能希望访问一些其它的 (也许与工作无关的) 服务， 例如提供音乐的 Ogg Vorbis 流媒体服务器。 如果 Ogg Vorbis server 在 22 或 80 端口以外的端口播放音乐， 则您将无法访问它。 解决方法是建立一个到您的网络的防火墙之外的网络上的 SSH 服务器， 并通过它提供的通道连接到 Ogg Vorbis 服务器上。 &prompt.user; ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org user@unfirewalled-system.example.org's password: ******* 现在您可以把客户程序指定到 localhost 的 8888 端口， 它将把请求转发给 music.example.com 的 8000 端口， 从而绕过防火墙。 允许用户登录 <varname>AllowUsers</varname> 选项 通常限制哪些用户能够登录， 以及从何处登录会是好主意。 采用 AllowUsers 选项能够方便地达到这一目的。 例如， 想要只允许 root 用户从 192.168.1.32 登录， 就可以在 /etc/ssh/sshd_config 文件中加入下述设置： AllowUsers root@192.168.1.32 要允许用户 admin 从任何地方登录， 则只需列出用户名： AllowUsers admin 可以在同一行指定多个用户， 例如： AllowUsers root@192.168.1.32 admin 列出需要登录机器的用户很重要； 否则他们将被锁在外面。 在完成对 /etc/ssh/sshd_config 的修改之后您必须告诉 &man.sshd.8; 重新加载其配置文件， 方法是执行： &prompt.root; /etc/rc.d/sshd reload 进一步的资料 OpenSSH &man.ssh.1; &man.scp.1; &man.ssh-keygen.1; &man.ssh-agent.1; &man.ssh-add.1; &man.ssh.config.5; &man.sshd.8; &man.sftp-server.8; &man.sshd.config.5; Tom Rhodes 作者 ACL 文件系统访问控制表 与文件系统在其他方面的加强， 如快照等一道， &os; 5.0 及更高版本提供了通过文件系统访问控制表 (ACL) 实现的安全机制。 访问控制表以高度兼容 (&posix;.1e) 的方式扩展了标准的 &unix; 权限模型。 这一特性使得管理员能够利用其优势设计更为复杂的安全模型。 如果想为 UFS 文件系统启用 ACL 支持， 则需要添加下列选项： options UFS_ACL 并重新编译内核。 如果没有将这个选项编译进内核， 则在挂接支持 ACL 的文件系统时将会收到警告。 这个选项在 GENERIC 内核中已经包含了。 ACL 依赖于在文件系统上启用扩展属性。 在新一代的 &unix; 文件系统， UFS2 中内建了这种支持。 在 UFS1 上配置扩展属性需要比 UFS2 更多的管理开销。 而且， 在 UFS2 上的扩展属性的性能也有极大的提高。 因此， 如果想要使用访问控制表， 推荐使用 UFS2 而不是 UFS1。 ACL 可以在挂接时通过选项 来启动， 它可以加入 /etc/fstab。 另外， 也可以通过使用 &man.tunefs.8; 修改超级块中的 ACL 标记来持久性地设置自动的挂接属性。 一般而言， 后一种方法是推荐的做法， 其原因是： 挂接时的 ACL 标记无法被重挂接 (&man.mount.8; ) 改变， 只有完整地 &man.umount.8; 并做一次新的 &man.mount.8; 才能改变它。 这意味着 ACL 状态在系统启动之后就不可能在 root 文件系统上发生变化了。 另外也没有办法改变正在使用的文件系统的这个状态。 在超级块中的设置将使得文件系统总被以启用 ACL 的方式挂接， 即使在 fstab 中的对应项目没有作设置， 或设备顺序发生变化时也是如此。 这避免了不慎将文件系统以没有启用 ACL 的状态挂接， 从而避免没有强制 ACL 这样的安全问题。 可以修改 ACL 行为， 以允许在没有执行一次全新的 &man.mount.8; 的情况下启用它， 但我们认为， 不鼓励在未启用 ACL 时这么做是有必要的， 因为如果启用了 ACL， 然后关掉它， 然后在没有刷新扩展属性的情况下重新启用它是很容易造成问题的。 一般而言， 一旦启用了文件系统的 ACL 就不应该再关掉它， 因为此时的文件系统的保护措施可能和用户所期待的样子不再兼容， 而重新启用 ACL 将重新把先前的 ACL 附着到文件上， 而由于它们的权限发生了变化， 就很可能造成无法预期的行为。 在查看目录时， 启用了 ACL 的文件将在通常的属性后面显示 + (加号)。 例如： drwx------ 2 robert robert 512 Dec 27 11:54 private drwxrwx---+ 2 robert robert 512 Dec 23 10:57 directory1 drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2 drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3 drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html 这里我们看到了 directory1、 directory2， 以及 directory3 目录使用了 ACL。 而 public_html 则没有。 使用 <acronym>ACL</acronym> 文件系统 ACL 可以使用 &man.getfacl.1; 工具来查看。 例如， 如果想查看 test 的 ACL 设置， 所用的命令是： &prompt.user; getfacl test #file: #owner:1001 #group:1001 user::rw- group::r-- other::r-- 要修改这个文件上的 ACL 设置， 则需要使用 &man.setfacl.1; 工具。 例如： &prompt.user; setfacl -k test 参数将把所有当前定义的 ACL 从文件或文件系统中删除。 一般来说应该使用 因为它会保持让 ACL 正常工作的那些项不变。 &prompt.user; setfacl -m u:trhodes:rwx,group:web:r--,o::--- test 在前面的命令中， -m 选项被用来修改默认的 ACL 项。由于已经被先前的命令 删除，因此没有预先定义的项，于是默认的选项被恢复，并附加上指定的选项。 请小心地检查，如果您加入了一个不存在的用户或组，那么将会在 stdout 得到一条 Invalid argument 的错误提示。 Tom Rhodes Contributed by Portaudit 监视第三方安全问题 过去几年中， 安全领域在如何处理漏洞的评估方面取得了长足的进步。 几乎每一个操作系统都越来越多地安装和配置了第三方工具， 而系统被入侵的威胁也随之增加。 漏洞的评估是安全的一个关键因素， 尽管 &os; 会发布基本系统的安全公告， 然而为每一个第三方工具都发布安全公告则超出了 &os; Project 的能力。 在这一前提下， 一种减轻第三方漏洞的威胁， 并警告管理员存在已知的安全问题的方法也就应运而生。 名为 Portaudit 的 &os; 附加工具能够帮助您达成这一目的。 ports-mgmt/portaudit port 会下载一个数据库， 这一数据库是由 &os; Security Team 和 ports 开发人员维护的， 其中包含了已知的安全问题。 要开始使用 Portaudit， 需要首先从 Ports Collection 安装它： &prompt.root; cd /usr/ports/ports-mgmt/portaudit && make install clean 在安装过程中， &man.periodic.8; 的配置文件将被修改， 以便让 Portaudit 能够在每天的安全审计过程中运行。 一定要保证发到 root 帐号的每日安全审计邮件确实有人在读。 除此之外不需要进行更多的配置了。 安装完成之后， 管理员可以通过下面的命令来更新数据库， 并查看目前安装的软件包中所存在的已知安全漏洞： &prompt.root; portaudit -Fda 由于每天执行 &man.periodic.8; 时都会自动更新数据库， 因此， 运行这条命令是可选的。 在这里只是作为例子给出。 在任何时候， 如果希望对通过 Ports Collection 安装的第三方软件工具进行审计， 管理员都可以使用下面的命令： &prompt.root; portaudit -a 针对存在漏洞的软件包， Portaudit 将生成类似下面的输出： Affected package: cups-base-1.1.22.0_1 Type of problem: cups-base -- HPGL buffer overflow vulnerability. Reference: <http://www.FreeBSD.org/ports/portaudit/40a3bca2-6809-11d9-a9e7-0001020eed82.html> 1 problem(s) in your installed packages found. You are advised to update or deinstall the affected package(s) immediately. 通过访问上面给出的 URL， 管理员能够了解关于那个漏洞的进一步信息。 这些信息通常包括受到影响的 &os; Port 版本， 以及其他可能包含安全公告的网站。 简而言之， Portaudit 是一个强大的工具， 并能够配合 Portupgrade port 来非常有效地工作。 Tom Rhodes 作者 FreeBSD 安全公告 &os; 安全公告 像其它具有产品级品质的操作系统一样， &os; 会发布 安全公告。 通常这类公告会只有在相应的发行版本已经正确地打过补丁之后发到安全邮件列表并在勘误中说明。 本节将介绍什么是安全公告， 如何理解它， 以及为系统打补丁的具体步骤。 安全公告看上去是什么样子？ &os; 安全公告的样式类似下面的范例， 这一例子来自 &a.security-notifications.name; 邮件列表。 ============================================================================= &os;-SA-XX:XX.UTIL Security Advisory The &os; Project Topic: denial of service due to some problem Category: core Module: sys Announced: 2003-09-23 Credits: Person@EMAIL-ADDRESS Affects: All releases of &os; &os; 4-STABLE prior to the correction date Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15) 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8) 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18) 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) CVE Name: CVE-XXXX-XXXX For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the following sections, please visit http://www.FreeBSD.org/security/. I. Background II. Problem Description III. Impact IV. Workaround V. Solution VI. Correction details VII. References Topic(标题) 一栏说明了问题到底是什么。 它基本上是对所发现的安全问题及其所涉及的工具的描述。 Category (分类) 是指系统中受到影响的组件， 这一栏可能是 core、 contrib， 或者 ports 之一。 core 分类表示安全弱点影响到了 &os; 操作系统的某个核心组件。 contrib 分类表示弱点存在于某个捐赠给 &os; Project 的软件， 例如 sendmail。 最后是 ports， 它表示该弱点影响了 Ports Collection 中的某个第三方软件。 Module(模块) 一栏给出了组件的具体位置， 例如 sys。 在这个例子中， 可以看到 sys 模块是存在问题的； 因此， 这个漏洞会影响某个在内核中的组件。 Announced(发布时间) 一栏反映了与安全公告有关的数据是什么时候公之于众的。 这说明安全团队已经证实问题确实存在， 而补丁已经写入了 &os; 的代码库。 Credits(作者) 一栏给出了注意到问题存在并报告它的个人或团体。 The Affects(影响范围) 一栏给出了 &os; 的哪些版本存在这个漏洞。 对于内核来说， 检视受影响的文件上执行的 ident 输出可以帮助确认文件版本。 对于 ports， 版本号在 /var/db/pkg 里面的 port 的名字后面列出。 如果系统没有与 &os; CVS 代码库同步并每日构建， 它很可能是有问题的。 Corrected(修正时间) 一栏给出了发行版本中修正问题的具体日期、时间和时差。 在公共漏洞数据库 (Common Vulnerabilities Database) 系统中预留的， 用于查看漏洞的标识信息。 Background(技术背景) 一栏提供了受影响的组件的作用。 多数时候这一部分会说明为什么 &os; 中包含了它， 它的作用， 以及它的一些原理。 Problem Description(问题描述) 一栏深入阐述安全漏洞的技术细节。 这部分有时会包括有问题的代码相关的详细情况， 甚至是这个部件如何能够被恶意利用并打开漏洞的细节。 Impact(影响) 一栏描述了问题能够造成的影响类型。 例如， 可能导致拒绝服务攻击， 权限提升， 甚至导致得到超级用户的权限。 Workaround(应急方案) 一栏给出了系统管理员在暂时无法升级系统时可以采取的临时性对策。 这些原因可能包括时间限制， 网络资源的限制， 或其它因素。 不过无论如何， 安全不能够被轻视， 有问题的系统要么应该打补丁， 要么应该实施这种应急方案。 Solution(解决方案) 一栏提供了如何给有问题的系统打补丁的方法。 这是经过逐步测试和验证过的给系统打补丁并让其安全地工作的方法。 =Correction Details(修正细节) 一栏展示了针对 CVS 分支或某个发行版的修正特征。 同时也提供了每个分支上相关文件的版本号。 References(文献) 一栏通常会给出其它信息的来源。 这可能包括 URL， 书籍、 邮件列表以及新闻组。 Tom Rhodes Contributed by 进程记帐 进程记帐 进程记帐是一种管理员可以使用的跟踪系统资源使用情况的手段， 包括它们分配给了哪些用户、 提供系统监视手段， 并且可以精细到用户执行的每一个命令。 当然， 这种做法是兼有利弊的。 它的好处是， 查找入侵时可以迅速把范围缩小到攻击者进入的时刻； 而这样做的缺点， 则是记帐会产生大量的日志， 因而需要很多磁盘空间来存储它们。 这一节将带领管理员一步一步地配置基本的进程记帐。 启用并利用进程记帐 在使用进程记帐之前， 必须先启用它。 要完成这项工作， 需要运行下面的命令： &prompt.root; touch /var/account/acct &prompt.root; accton /var/account/acct &prompt.root; echo 'accounting_enable="YES"' >> /etc/rc.conf 一旦启用之后， 记帐就会开始跟踪 CPU 统计数据、 命令， 等等。 所有的记帐日志不是以可读的方式记录的， 要查看它们， 需要使用 &man.sa.8; 这个工具。 如果没有给出其他参数， 则 sa 将按用户， 以分钟为单位显示他们所使用的时间、 总共的 CPU 和用户时间， 以及平均的 I/O 操作数目， 等等。 要显示关于刚刚发出的命令的相关信息， 则应使用 &man.lastcomm.1; 工具。 lastcomm 可以用来显示在某一 &man.ttys.5; 上的用户信息， 例如： &prompt.root; lastcomm ls trhodes ttyp1 将会显示出所有已知的 trhodes 在 ttyp1 终端上执行 ls 的情况。 更多的可用选项在联机手册 &man.lastcomm.1;、 &man.acct.5; 和 &man.sa.8; 中有所介绍。 diff --git a/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml b/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml index c79eb14745..839b164703 100644 --- a/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml @@ -1,717 +1,717 @@ Murray Stokely 原作 虚拟化 概述 虚拟化软件能够让同一台机器上同时运行多个操作系统。 在 PC 上， 这种系统通常由一个运行虚拟化软件的宿主操作系统， 以及一系列客户操作系统组成。 读完这章， 您将了解： 宿主操作系统与客户操作系统的区别。 如何在采用 &intel; 处理器的 &apple; &macintosh; 计算机上安装 FreeBSD。 如何在包含 &xen; 的 Linux 上安装 FreeBSD。 如何在 µsoft.windows; 以 Virtual PC 安装 FreeBSD。 如何为虚拟化对 FreeBSD 系统进行性能调优。 在阅读这章之前， 您应： 理解 &unix; 和 FreeBSD 的基础知识 ()。 了解如何安装 FreeBSD ()。 了解如何配置网络连接 ()。 了解如何安装第三方软件 (). 作为客户 OS 的 FreeBSD MacOS 上的 Parallels 为 &mac; 设计的 Parallels Desktop 是一种可用于采用 &intel; 处理器， 并运行 &macos; 10.4.6 或更高版本的 &apple; &mac; 计算机的商业软件。 在 &macos; X 上安装了这个软件之后， 用户需要配置虚拟机并安装所需的客户操作系统。 在 Parallels/&macos; X 上安装 FreeBSD 在 &macos; X/Parallels 上安装 FreeBSD 的第一步是创建一个新的虚拟机。 在系统提示选择客户 OS 类型 (Guest OS Type) 时选择 FreeBSD， 并根据您使用 FreeBSD 虚拟实例的需要分配磁盘和内存： 对多数在 Parallels 上使用 FreeBSD 的情形而言， 4GB 磁盘空间和 512MB 的 RAM 就够用了： 在创建了 FreeBSD 虚拟机之后， 还需要在其中安装 FreeBSD。 最好的做法是使用官方的 FreeBSD CDROM 或从官方 FTP 站点下载的 ISO 镜像来完成这个任务。 如果您的本地 &mac; 文件系统中有 ISO 映像文件， 或您的 &mac; 的 CD 驱动器中有 CDROM， 就可以在 FreeBSD Parallels 窗口的右下角点击光盘图标。 之后， 系统将给出一个窗口， 供您完成将虚拟机中的 CDROM 驱动器连接到本地的 ISO 文件或真正的 CDROM 驱动器上。 在完成了将 CDROM 与您的安装源完成关联之后， 就可以按重启 (reboot) 图标来重启 FreeBSD 虚拟机了。 Parallels 将配合一个特殊的 BIOS 启动， 后者能够像普通的 BIOS 一样检查系统中是否有 CDROM 驱动器。 此时， 它就能够找到 FreeBSD 安装介质并开始 中所介绍的标准的基于 sysinstall 安装的过程。 此时您可以安装 X11， 但暂时不要对它进行配置。 在完成安装之后， 重启并进入新安装的 FreeBSD 虚拟机。 在 &macos; X/Parallels 上配置 FreeBSD 在您将 FreeBSD 安装到 &macos; X 的 Parallels 上之后， 还需要进行一系列的配置， 以便为系统的虚拟化操作进行优化。 配置引导加载器变量 最重要的一步是通过调低 变量来降低 Parallels 环境中的 FreeBSD 对 CPU 的使用。 这可以通过在 /boot/loader.conf 中增加下述配置来完成： kern.hz=100 如果不使用这个配置， 闲置的 FreeBSD Parallels 客户 OS 会在单处理器的 &imac; 上使用大约 15% 的 CPU。 如此修改之后， 空闲时的使用量就减少到大约 5% 了。 创建新的内核配置文件 您可以删去全部 SCSI、 FireWire， 以及 USB 设备驱动程序。 Parallels 提供了一个由 &man.ed.4; 驱动的虚拟网卡， 因此， 除了 &man.ed.4; 和 &man.miibus.4; 之外的其他网络接口驱动都可以从内核中删去。 配置网络 最基本的网络配置， 是通过使用 DHCP 来将您的虚拟机与宿主 &mac; 接入同一个局域网。 这可以通过在 /etc/rc.conf 中加入 ifconfig_ed0="DHCP" 来完成。 更高级一些的网络配置方法， 请参见 中的介绍。 福康 陈 (Loader) 原作 在 Linux 上通过 &xen; 运行 FreeBSD &xen; hypervisor 是一个开放源代码的并行虚拟化产品， 并由商业的 XenSource 公司提供支持。 在这种系统中， 客户操作系统称为 domU 域， 而宿主系统则称为 dom0。 在 Linux 上运行 FreeBSD 虚拟机实例的第一步， 是安装用于 Linux dom0 的 &xen;。 在这个例子中， 宿主系统采用的发行版本是 Slackware Linux。 在 Linux dom0 上安装 &xen; 3 从 XenSource 下载 &xen; 3.0 从 下载 xen-3.0.4_1-src.tgz。 解压缩源代码包 &prompt.root; cd xen-3.0.4_1-src &prompt.root; KERNELS="linux-2.6-xen0 linux-2.6-xenU" make world &prompt.root; make install 为 dom0 重新编译内核： &prompt.root; cd xen-3.0.4_1-src/linux-2.6.16.33-xen0 &prompt.root; make menuconfig &prompt.root; make &prompt.root; make install 对于较早版本的 &xen;， 可能需要指定 make ARCH=xen menuconfig 在 Grub 的 menu.lst 中增加一个对应的菜单项 编辑 /boot/grub/menu.lst 并在其中增加下列配置： title Xen-3.0.4 root (hd0,0) kernel /boot/xen-3.0.4-1.gz dom0_mem=262144 module /boot/vmlinuz-2.6.16.33-xen0 root=/dev/hda1 ro 重新启动计算机并进入 &xen; 首先， 编辑 /etc/xen/xend-config.sxp， 并在其中增加下列配置： (network-script 'network-bridge netdev=eth0') 接下来就可以运行 &xen; 了： &prompt.root; /etc/init.d/xend start &prompt.root; /etc/init.d/xendomains start 现在 dom0 已经开始运行： &prompt.root; xm list Name ID Mem VCPUs State Time(s) Domain-0 0 256 1 r----- 54452.9 FreeBSD 7-CURRENT domU 从 http://www.fsmware.com/ 下载用于 &xen; 3.0 的 FreeBSD domU 内核。 kernel-current mdroot-7.0.bz2 xmexample1.bsd 将配置文件 xmexample1.bsd 放到 /etc/xen/ 并修改与内核及磁盘映像位置有关的配置项。 下面是一个示范的例子： kernel = "/opt/kernel-current" memory = 256 name = "freebsd" vif = [ '' ] disk = [ 'file:/opt/mdroot-7.0,hda1,w' ] #on_crash = 'preserve' extra = "boot_verbose" extra += ",boot_single" extra += ",kern.hz=100" extra += ",vfs.root.mountfrom=ufs:/dev/xbd769a" 其中， mdroot-7.0.bz2 应是未压缩的。 接下来， 您需要修改 kernel-current 中的 __xen_guest 小节， 并加入 &xen; 3.0.3 所需要的 VIRT_BASE： &prompt.root; objcopy kernel-current -R __xen_guest &prompt.root; perl -e 'print "LOADER=generic,GUEST_OS=freebsd,GUEST_VER=7.0,XEN_VER=xen-3.0,BSD_SYMTAB,VIRT_BASE=0xC0000000\x00"' > tmp &prompt.root; objcopy kernel-current --add-section __xen_guest=tmp &prompt.root; objdump -j __xen_guest -s kernel-current kernel-current: file format elf32-i386 Contents of section __xen_guest: 0000 4c4f4144 45523d67 656e6572 69632c47 LOADER=generic,G 0010 55455354 5f4f533d 66726565 6273642c UEST_OS=freebsd, 0020 47554553 545f5645 523d372e 302c5845 GUEST_VER=7.0,XE 0030 4e5f5645 523d7865 6e2d332e 302c4253 N_VER=xen-3.0,BS 0040 445f5359 4d544142 2c564952 545f4241 D_SYMTAB,VIRT_BA 0050 53453d30 78433030 30303030 3000 SE=0xC0000000. 现在可以创建并运行 domU 了： &prompt.root; xm create /etc/xen/xmexample1.bsd -c Using config file "/etc/xen/xmexample1.bsd". Started domain freebsd WARNING: loader(8) metadata is missing! Copyright (c) 1992-2006 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD 7.0-CURRENT #113: Wed Jan 4 06:25:43 UTC 2006 kmacy@freebsd7.gateway.2wire.net:/usr/home/kmacy/p4/freebsd7_xen3/src/sys/i386-xen/compile/XENCONF WARNING: DIAGNOSTIC option enabled, expect reduced performance. Xen reported: 1796.927 MHz processor. Timecounter "ixen" frequency 1796927000 Hz quality 0 CPU: Intel(R) Pentium(R) 4 CPU 1.80GHz (1796.93-MHz 686-class CPU) Origin = "GenuineIntel" Id = 0xf29 Stepping = 9 Features=0xbfebfbff<FPU,VME,DE,PSE,TSC,MSR,PAE,MCE,CX8,APIC,SEP,MTRR,PGE,MCA,CMOV,PAT,PSE36,CLFLUSH, DTS,ACPI,MMX,FXSR,SSE,SSE2,SS,HTT,TM,PBE> Features2=0x4400<CNTX-ID,<b14>> real memory = 265244672 (252 MB) avail memory = 255963136 (244 MB) xc0: <Xen Console> on motherboard cpu0 on motherboard Timecounters tick every 10.000 msec [XEN] Initialising virtual ethernet driver. xn0: Ethernet address: 00:16:3e:6b:de:3a [XEN] Trying to mount root from ufs:/dev/xbd769a WARNING: / was not properly dismounted Loading configuration files. No suitable dump device was found. Entropy harvesting: interrupts ethernet point_to_point kickstart. Starting file system checks: /dev/xbd769a: 18859 files, 140370 used, 113473 free (10769 frags, 12838 blocks, 4.2% fragmentation) Setting hostname: demo.freebsd.org. lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 ::1 prefixlen 128 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x2 inet 127.0.0.1 netmask 0xff000000 Additional routing options:. Mounting NFS file systems:. Starting syslogd. /etc/rc: WARNING: Dump device does not exist. Savecore not run. ELF ldconfig path: /lib /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout Starting usbd. usb: Kernel module not available: No such file or directory Starting local daemons:. Updating motd. Starting sshd. Initial i386 initialization:. Additional ABI support: linux. Starting cron. Local package initialization:. Additional TCP options:. Starting background file system checks in 60 seconds. Sun Apr 1 02:11:43 UTC 2007 FreeBSD/i386 (demo.freebsd.org) (xc0) login: 现在 domU 应该能运行 &os; 7.0-CURRENT 内核了： &prompt.root; uname -a FreeBSD demo.freebsd.org 7.0-CURRENT FreeBSD 7.0-CURRENT #113: Wed Jan 4 06:25:43 UTC 2006 kmacy@freebsd7.gateway.2wire.net:/usr/home/kmacy/p4/freebsd7_xen3/src/sys/i386-xen/compile/XENCONF i386 接下来可以在 domU 中配置网络了。 &os; domU 会使用一种称做 xn0 的专用网络接口： &prompt.root; ifconfig xn0 10.10.10.200 netmask 255.0.0.0 &prompt.root; ifconfig xn0: flags=843<UP,BROADCAST,RUNNING,SIMPLEX> mtu 1500 inet 10.10.10.200 netmask 0xff000000 broadcast 10.255.255.255 ether 00:16:3e:6b:de:3a lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 ::1 prefixlen 128 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x2 inet 127.0.0.1 netmask 0xff000000 在 dom0 Slackware 上 会出现一些 &xen; 专用的网络接口： &prompt.root; ifconfig eth0 Link encap:Ethernet HWaddr 00:07:E9:A0:02:C2 inet addr:10.10.10.130 Bcast:0.0.0.0 Mask:255.0.0.0 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:815 errors:0 dropped:0 overruns:0 frame:0 TX packets:1400 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:204857 (200.0 KiB) TX bytes:129915 (126.8 KiB) lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:99 errors:0 dropped:0 overruns:0 frame:0 TX packets:99 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:9744 (9.5 KiB) TX bytes:9744 (9.5 KiB) peth0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:1853349 errors:0 dropped:0 overruns:0 frame:0 TX packets:952923 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:2432115831 (2.2 GiB) TX bytes:86528526 (82.5 MiB) Base address:0xc000 Memory:ef020000-ef040000 vif0.1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:1400 errors:0 dropped:0 overruns:0 frame:0 TX packets:815 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:129915 (126.8 KiB) TX bytes:204857 (200.0 KiB) vif1.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:3 errors:0 dropped:0 overruns:0 frame:0 TX packets:2 errors:0 dropped:157 overruns:0 carrier:0 collisions:0 txqueuelen:1 RX bytes:140 (140.0 b) TX bytes:158 (158.0 b) xenbr1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:4 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:112 (112.0 b) TX bytes:0 (0.0 b) &prompt.root; brctl show bridge name bridge id STP enabled interfaces xenbr1 8000.feffffffffff no vif0.1 peth0 vif1.0 &windows; 上的 Virtual PC Virtual PC 是 µsoft; 上的 &windows; 软件产品， 可以免费下载使用。 相关系统要求，请参阅 system requirements 说明。 在 µsoft.windows; 装完 Virtual PC 之后， 必须针对所安装的虚拟机器来做相应设定。 在 Virtual PC/µsoft.windows; 上安装 FreeBSD 在 µsoft.windows;/Virtual PC 上安装 FreeBSD 的第一步是新增虚拟器。 如下所示，在提示向导中请选择 Create a virtual machine： 然后在 Operating system 处选 Other： 并依据自身需求来规划硬盘容量和内存的分配。对大多数在 Virtual PC 使用 FreeBSD 的情况而言， 大约 4GB 的硬盘空间以及 512MB 的内存就够用了。 保存并完成配置： 接下来选择新建的 FreeBSD 虚拟机器，并单击 Settings， 以设定网络种类以及网卡： 在新建 FreeBSD 虚拟机器以后， 就可以继续以其安装 FreeBSD。 安装方面， 比较好的作法是使用官方的 FreeBSD 光盘或从官方 FTP 站下载 ISO 镜像。 若您的 &windows; 系统 内已有该 ISO 镜像， 那么就可以在 FreeBSD 虚拟机器上连按两下， 以开始启动。 接着在 Virtual PC 窗口内按 CD 再按 Capture ISO Image...。 接着出现一个对话框， 可以把虚拟机器内的光驱设定到该 ISO 镜像， 或者是真实的光驱。 设好光盘来源之后，就可以重新开机， 也就是先按 Action 再按 Reset 即可。 Virtual PC 会以特殊 BIOS 开机， 并与普通 BIOS 一样会先检查是否有光盘驱动器。 此时， 它会找到 FreeBSD 安装光盘， 并开始在 内所介绍的 sysinstall 安装过程。 这时候也可以顺便安装 X11， 但不要进行相关设定。 完成安装之后， 记得把安装光盘或者 ISO 镜像退出。 最后， 把装好的 FreeBSD 虚拟机器重新开机即可。 调整 µsoft.windows;/Virtual PC 上的 FreeBSD 在 µsoft.windows; 上以 Virtual PC 装好 FreeBSD 后， 还需要做一些设定步骤， 以便将虚拟机内的 FreeBSD 最佳化。 设定 boot loader 参数 最重要的步骤乃是藉由调降 来降低 Virtual PC 环境内 FreeBSD 的 CPU 占用率。 在 /boot/loader.conf 内加上下列设定即可： kern.hz=100 若不作这设定， 那么光是 idle 状态的 FreeBSD Virtual PC guest OS 就会在单一处理器的电脑上大约有 40% 的 CPU 占用率。 作了上述修改之后, 占用率大约会降至 3%。 建立一个新的内核配置文件 可以放心把所有的 SCSI， FireWire 和 USB 设备驱动都移除。 Virtual PC 有提供 &man.de.4; 的虚拟网卡， 因此除了 &man.de.4; 以及 &man.miibus.4; 以外其他的网卡也都可以从内核的配置文件中移除。 设定网络 可以给虚拟机器简单得使用 DHCP 来设定与 host (µsoft.windows;) 相同的本地网络环境， 只要在 /etc/rc.conf 加上 ifconfig_de0="DHCP" 即可完成。 其他的高级网络设置， 可参阅 . 运行于 &windows;/&mac;/&linux; 的 VMware 本节尚未开始撰写。 作为宿主 OS 的 FreeBSD 目前， 还没有任何一种虚拟化软件包官方支持 FreeBSD 作为宿主操作系统， 但很多人使用较早版本的 VMware 提供的这项能力。 目前， 已经有人在为让 &xen; 能够在 FreeBSD 上作为宿主环境而进行相关的开发工作。 diff --git a/zh_CN.GB2312/books/porters-handbook/book.sgml b/zh_CN.GB2312/books/porters-handbook/book.sgml index 0e24a355bc..386cd00c00 100644 --- a/zh_CN.GB2312/books/porters-handbook/book.sgml +++ b/zh_CN.GB2312/books/porters-handbook/book.sgml @@ -1,11697 +1,11756 @@ %books.ent; ]> FreeBSD Porter 手册 The FreeBSD Documentation Project 2000 年 4 月 2000 2001 2002 2003 2004 2005 2006 2007 The FreeBSD Documentation Project &cnproj.freebsd.org; 2005 年 11 月 2005 2006 2007 &cnproj.freebsd.org; &bookinfo.trademarks; &bookinfo.legalnotice; 介绍 几乎每个人都是通过 FreeBSD Ports Collection 在 FreeBSD 上面装应用程序 (“ports”)的。 就像FreeBSD的其它部分一样， 它主要来自于志愿者的努力。 所以在阅读这份文档的时候请务必记住这些。 在 FreeBSD 的世界里， 任何人都能提交新的 port， 或志愿地维护一个已有的 port， 如果那个 port 没人维护的话 — 不需要任何特殊的权限来做这件事情。 自行制作 port 那么， 您有兴趣创建自己的 port 或升级现有的 port？ 太好了。 下面的内容将会提供一些创建FreeBSD port的指导。 如果想升级一个现有的 port， 那么您应该在看完这些内容并阅读 。 因为这份文档不是十分详细， 您还应该再参考一下 /usr/ports/Mk/bsd.port.mk， 所有 port 的 Makefile 文件都会包含它。 即使不是每天都去摆弄 Makefile， 您也会从那个文件里面获得很多知识， 里面的注释非常详细。 还有要补充一下，如果您有其它的问题， 可以给&a.ports; 这个 mailing list 发信。 在这份文档里提到的大部分的变量 (VAR) 是不能修改的。 大多 (但不是全部) 都在 /usr/ports/Mk/bsd.port.mk 的开始部分进行了介绍； 其它一些也应该可以在那里找到。 注意这些文件使用了非标准的制表符： Emacs 和 Vim 应该能在打开文件的时候自动识别它， 而 &man.vi.1; 和 &man.ex.1 则需要在打开文件的时候通过 :set tabstop=4 来修正默认的设置。 简单的 port 这一章主要介绍如何快速创建一个简单的 port。 很多时候， 这点内容是不够的， 您需要阅读这份文档中更深入的内容。 首先， 需要取得包含源代码的 tar包， 并把它放到 DISTDIR变量所指的地方。 默认的情况下， 这应该是 /usr/ports/distfiles。 下面的内容假定您不需要修改软件的源代码就能在 FreeBSD 上编译通过。 如果需要修改代码， 就需要参考下一章的内容了。 编写 <filename>Makefile</filename> 最简单的 Makefile 应该是这个样子的： # New ports collection makefile for: oneko # Date created: 5 December 1994 # Whom: asami # # $FreeBSD$ # PORTNAME= oneko PORTVERSION= 1.1b CATEGORIES= games MASTER_SITES= ftp://ftp.cs.columbia.edu/archives/X11R5/contrib/ MAINTAINER= asami@FreeBSD.org COMMENT= A cat chasing a mouse all over the screen MAN1= oneko.1 MANCOMPRESSED= yes USE_IMAKE= yes .include <bsd.port.mk> 看看您是否能够看懂。 不必担心 $FreeBSD$ 那一行， 当这个 port 被导入到 ports 树里的时候， CVS 会自动填写它。 您可以在 示范的 Makefile那章找到更多的细节。 创建描述文件 有 2 个描述文件对于任何一个 port 来说是必须的， 不论它是不是打算成为 package。 它们是 pkg-descr 和 pkg-plist。 这两个文件使用 pkg- 前缀以区别于其它文件。 <filename>pkg-descr</filename> (关于 port 的冗长描述文件) 这是 port 里一个较长的描述文件。 使用一段或几段文件文字来简明的描述这个 ports 是用来做什么的。 这 不是 手册或者对如何 深入使用/编译这个port的说明！ 要是您从 README 或者联机手册里面中复制文字的话， 请务必小心； 通常， 它们不是对这个 port 简明扼要的描述， 或者用了难以使用的格式 (比如， 联机手册里有迫使两端对齐的空格)。 如果要移植的软件有官方的WWW网页， 您应该在这里列出来。 使用 WWW: 作为前缀来表示 一个网站， 这样其它的自动工具就能正常工作了。 下面是一个简单的 pkg-descr 例子： This is a port of oneko, in which a cat chases a poor mouse all over the screen. : (etc.) WWW: http://www.oneko.org/ <filename>pkg-plist</filename> (port 的装箱单) 这份文件列出了 port 所要安装的所有文件。 由于 package 也是据此进行打包， 因此它也被称作 装箱单(packing list). 这个文件中， 路径是相对于安装的路径的 (通常是 /usr/local 或 /usr/X11R6)。 如果您使用 MANn 变量的话， 请不要在这里列出任何联机手册。 假如 port 在安装过程中会创建一些目录， 请务必增加对应的 @dirrm 行， 以便在 package 被卸载时予以自动删除。 下面是一个简单的例子： bin/oneko lib/X11/app-defaults/Oneko lib/X11/oneko/cat1.xpm lib/X11/oneko/cat2.xpm lib/X11/oneko/mouse.xpm @dirrm lib/X11/oneko 参考 &man.pkg.create.1; 的联机手册以获得更多有关装箱单的细节 建议您将这个文件里的所有的文件名按字母排序。 这样， 在升级这个port的时候就能够更方便地核实所做的修改。 手工创建这样一份列表可能是一件非常枯燥的事情。 如果您的 port 需要安装大量的文件， 自动创建装箱单 会帮您省下不少时间。 只有一种情况可以不用 pkg-plist文件。 如果这个 port 只安装很少量的一些文件或目录的话， 这些文件和目录就可以分别列在 Makefile 的 PLIST_FILES和PLIST_DIRS 变量里。 举个例子来说， 我们可以在上面那个 oneko port 里面不用 pkg-plist， 而把下面的这几行加到 Makefile 里面： PLIST_FILES= bin/oneko \ lib/X11/app-defaults/Oneko \ lib/X11/oneko/cat1.xpm \ lib/X11/oneko/cat2.xpm \ lib/X11/oneko/mouse.xpm PLIST_DIRS= lib/X11/oneko 当然， 如果一个 port 不需要给它自己创建目录的话， 就不用设置 PLIST_DIRS 变量了。 不过， 如果用这种方式来列出 port 要安装的文件和目录的话， 也就无法利用在 &man.pkg.create.1; 里介绍的命令来制作 package 了。 因此， 这种方法只适用于那些简单的 port， 使它们更为简化。 同时， 这种做法也有助于减少 ports collection 中的文件数量。 在采用 pkg-plist 之前， 请考虑一下使用这种方法。 稍后我们将看到 pkg-plist 以及 PLIST_FILES 如何处理 更复杂的任务。 创建校验和文件 只要键入 make makesum， port 便会自动创建 distinfo文件。 如果下载的文件的校验和经常变化， 而您又能确保它们的来源可靠 (比如， 来自于CD制造商， 或每天构建生成的文档文件)， 就应该在 IGNOREFILES 里面标明这些文件。 这样， 再运行 make makesum 的时候便不会把这些标记 IGNORE 的文件计算在内了。 测试 port 应当确定您的 port 确实做了您希望它们做的事情， 包括打包。下面是需要重点检查的一些重要的工作。 pkg-plist 中没有包括任何不想安装的文件 pkg-plist 包含了所有应该安装的文件 您的 port 能够使用 reinstall 多次安装。 您的 port 能在卸载 (deinstall) 时， 自动完成 清理 推荐的测试顺序 make install make package make deinstall pkg_add package-name make deinstall make reinstall make package 确信在 package 和 deinstall 阶段没有任何警告。 第三步以后， 检查是否所有新建的目录都被正确删除了。 在第四步以后， 试着运行一下所装的软件， 确保当它以 package 方式安装的时候也能正常工作。 自动化这些步骤最简单的方法是通过 ports tinderbox 来进行测试。 它可以维护 jails 并在其中完成全部测试工作， 而不会破坏正在运行的系统的状态。 请参见 ports/ports-mgmt/tinderbox 以了解更多的信息。 用 <command>portlint</command> 来检查 port 请使用 portlint 命令来检查您的 port 是否符合我们的规范。 ports-mgmt/portlint 程序是 ports 套件的一部分。 这个程序的主要功能是帮助您检查 Makefile 的样式是否符合规范， 以及 package 的命名是否得体。 提交 port 首先， 确信您已经阅读了 该做什么和不该做什么 一节。 既然已经对所制作的 port 相当满意了， 剩下的工作， 便是将它放进 FreeBSD 的主 ports 树， 以便让更多的人从中受益。 我们并不需要您的 work 目录以及 pkgname.tgz 包， 因此现在可以删除它们了。 接下来， 只要把 shar `find port_dir` 的输出写到一份 bug 报告中， 并用 &man.send-pr.1; 程序 (参见 Bug Reports and General Commentary 以了解关于 &man.send-pr.1; 的进一步详情) 将其送出。 请务必将您的 bug 报告分类 (category) 为 ports 并把子分类 (class) 设置为 change-request (不要把报告表及为机密的， 即 confidential！)。 此外， 在 PR 的描述 (Description) 一栏中， 应该填写您所移植的应用程序的简单介绍， 而 shar 则应放到修正 (Fix) 栏中。 在问题报告里面使用了一段好的描述， 能使我们的工作变得更容易。 我们更倾向于这样的描述： 用 New port: <category>/<portname> <short description of the port> 来说明这是一个新的 port， 而用 Update port: <category>/<portname> <short description of the update> 来说明这是对一个已有的 port 的升级。 如果您坚持使用这样的方案， 那么我们将更容易更方便地阅读您的 PR。 再次声明， 不要包含原始的distfile， work目录， 或者您用 make package 制作的包。 在您提交的您的 port 以后请耐心等待。 有时在一个 port 正式加入 FreeBSD 之前需要花费好几个月， 尽管也有可能是几天。 您可以查看 正等待被 commit 到 FreeBSD 的 port。 一旦我们看过了您的报告， 有必要的话我们会联系您， 并把它放到 ports 树里。 您的名字也会出现在 Additional FreeBSD Contributors 和其它的文件。 不是很棒吗!? :-) 复杂的 Porting 好了， 也许工作没那么简单， port 需要做些修改才能够在 FreeBSD 上跑起来。 在这一章里， 我们将会一步步举例来介绍应该如何修改来使您的 port 能在 FreeBSD 上面运行。 整个系统是如何运转的? 首先， 这一系列的动作是由用户在您的 port 目录里敲入 make 后发生的。 您也许会发现在另外的一个窗口里阅读一下 bsd.port.mk 将会有助于您的理解。 要是您不是非常明白 bsd.port.mk 是做什么的话， 也不用太担心， 很多人都不知道的... :-> fetch 会首先被执行。 fetch 将检查在本地的 DISTDIR 目录里是否存在 tar 包。 如果 fetch 没有找到就会查找 Makefile 中定义的 MASTER_SITES URL， 还有我们的主 FTP 站点 ， 在那里我们备份了所有被认可的 distfile。 假设那个 MASTER_SITES 站点是直接连在 Internet 上的， 就会试着用 FETCH 指定的程序取回 distfile。 如果成功的话， 文件会被保存在DISTDIR 所指定的目录以备稍后使用。 接下来会执行 extract。 它会在 DISTDIR 中寻找您的 tar 包 (通常是用 gzip 压缩的 tar 包)，然后解压缩到由 WRKDIR 所指定的临时目录里 (默认为work目录)。 下一步是执行 patch。 首先任何在 PATCHFILES 中定义的补丁都会被打上。 然后， 在由 PATCHDIR 指定的目录 (默认为 files目录) 中发现的patch-*， 它们将会以文件名的字母顺序被先后打上。 configure会被执行。 这一步骤可能会有以下几种情形。 如果存在 scripts/configure， 就会执行它 如果定义了 HAS_CONFIGURE 或者 GNU_CONFIGURE， 就会执行 WRKSRC/configure。 如果定义了USE_IMAGE， 就会执行 XMKMF (默认为: xmkmf -a)。 build会被执行。 这一步将会进入ports的工作目录 (WRKSRC) 然后进行编译。如果定义了USE_GMAKE， 就会使用 GNU make， 反之， 则会使用系统默认的 make。 以上都是系统默认的步骤。 您也可以定义 pre-something 或者 post-something， 或者把以此命名的脚本放到 scripts 目录， 它们会在默认的动作之前或之后被执行。 举个例子， 如果您在您的 Makefile 里定义了post-extract， 并在 script 目录里放了一个 pre-build 脚本， 那么在 tar 包解开之后 post-extract 将被调用， pre-build 脚本会在默认的编译之前被执行。 我们推荐您在 Makefile 定义所有的动作， 如果不是十分复杂的话， 这样， 别人能更容易明白您的 port 需要执行哪些非默认的动作。 默认的行为都是由 bsd.port.mk 定义的 do-something 来表示的。 例如， port 中用来解压缩的命令是由 do-extract 来定义的。 如果您对默认的设置不满意， 可以通过在 Makefile 重新定义 do-someting 来做些改变。 主 动作 (例如 extract、 configure， 等等) 仅仅是用来确定所有相应的阶段都完成了， 以及调用真实的动作或脚本， 它们不应被修改。 如果您想要修改解压缩这个动作， 可以修改 do-extract， 但永远都不要改变 extract 的操作！ 我们已经介绍了在用户敲入 make 之后会发生哪些事情了。 接下来我们将进行进一步的学习， 来看一看如何创建一个理想的 port。 获取源代码 获取源代码的 tar 包 (通常是 foo.tar.gz 或者 foo.tar.Z) 并把它们放进 DISTDIR。 最好使用 主流 的版本。 您需要设置变量 MASTER_SITES 来指向原始 tar 包的获取位置。 您可以在 bsd.sites.mk 里找到一些速度较快的主流站点。 请使用这些站点 — 和相关的定义 — 如果可能的话， 应尽量避免在同一个源代码树里出现大量重复的信息。 这些站点会随着时间而变化， 如果每个人都随意加入的话会使维护变得非常困难。 如果您找不到一个有很好网络连接的 FTP/HTTP 站点， 或者它们使用了非标准的格式， 您也许就会想在您自己的 FTP 或 HTTP 服务器上放上一份副本。 如果您找不到可靠的地方放置 distfiles， 我们也可以提供给您一些空间来保存它。 我们自己的 ftp.FreeBSD.org； 然而这只是一个折衷的办法。 distfile 必须放进某人在 freefall 上的 ~/public_distfiles/ 目录中。 可以要求帮助您 commit port 的人来放这个 distfile， 而这个人也需要把 MASTER_SITES、 MASTER_SITE_LOCAL 以及 MASTER_SITE_SUBDIR 的设置， 改为在 freefall 上的用户名。 如果您的 port 的 distfile 一直在变化， 而作者拒绝改变其版本号， 您可以考虑把 distfiles 放在自己的主页， 并在 MASTER_SITES 里把原作者的列为首选位置。 如果可能， 试着与 port 的作者沟通一下让他不要这么做， 这将有助于建立对源代码的控制。 在您的主页上放置您自己的 distfile 会避免用户得到 checksum mismatch 的错误， 而且能减轻我们 FTP 站点维护人员的工作量。 如果您的port只有一个主站点的话， 我们建议您在自己的网站上做一份备份， 并他列为 MASTER_SITES的第2项。 如果您的 port 需要来自网络上的一些补丁， 请把它们放到 DISTDIR里。 不用担心它们跟源代码不是来自同一站点。 我们有办法处理 (参阅下面的 补丁文件)。 修改 port 解开 tar 包， 对源代码做出合理的修改使得这个 port 能在最新版本的 FreeBSD 上面运行。 一定要 仔细记录 您所做的每处改动， 包括删除、添加、修改的文件等等， 这些修改以后会在您的 port 中以脚本或补丁的方式出现， 并且能通过运行它们来自动完成您对 port 的改动要求。 如果您的 port 要求用与用户交互/配置来完成编译或安装的话， 您可以看一下 Larry Wall 的经典的 Configure 脚本， 适当地模仿一下。 Port collection 的目的， 就是使每个 port 占用最少的空间， 并做到软件的 即插即用。 除非明确地声明， 否则您提交给 FreeBSD ports collection 的补丁， 脚本和其它的文件都将被假定以标准的 BSD 版权发布。 打补丁 在您准备制作 port 的过程中， 增加或修改的文件， 都可以通过 &man.diff.1; 来做成补丁。 希望应用到源代码上的每个补丁， 都应保存为单独的文件， 并命名为 patch-*， 其中 * 表示将要修改的文件的完整路径名， 例如 patch-Imakefile 或 patch-src-config.h。 这些文件， 都应保存在 PATCHDIR (通常是 files/)， 这里的补丁都会自动应用到源代码上。 所有的补丁必须是相对于 WRKSRC 的 (一般而言， 您的 port 会将其 tarball 解压缩在那里， 并完成余下的工作)。 为了让修正和升级更容易， 您应避免使用多个 patch 去修改同一个文件 (例如， patch-file 以及 patch-file2 都修改 WRKSRC/foobar.c) 这种情况。 只有 [-+._a-zA-Z0-9] 这些字符， 可以出现在补丁的文件名中， 请务必不要使用除这些字符以外的其它字符。 不要把您的补丁命名成 patch-aa 或 patch-ab 等这样的名字， 最好能在补丁名中提到路径和文件名。 不要把 RCS 字符串放进补丁。 我们把文件放进 ports 树的时候， CVS 会损坏它们， 当我们再 check out 出来的时候， 它们就会和原来的不一样， 从而导致打补丁失败。 RCS 字符串 是由美元符号 ($) 围绕的， 通常由 $Id 或 $RCS 开头。 使用 &man.diff.1; 的递归选项() 很好， 但是请检查一下最后输出的 patch， 确保没有任何的垃圾信息。 特别地， 有 2 种文件不需要 diff， 并且应该删除： 一种是 Makefile， 当您的port使用了Imake， 或者 GNU configure 等等的话。 如果您不得不编辑configure.in 以使 autoconf 去生成 configure， 不要使用 configure 来做 diff (这常常会有好几千行长!)； 请定义 - USE_AUTOTOOLS=autoconf:253 并对应 + USE_AUTOTOOLS=autoconf:261 并对应 configure.in 来制作 diff。 + 另外， 您还应尽量减少补丁中非功能性的空格及空白变动。 + 在开源世界中， 遵循不同的编码规范的项目共享大量代码是很常见的事情。 + 如果您从某个项目中提取一部分功能用来修正另一个程序中的问题时， + 请务必小心： 补丁中很可能到处都是非功能性的变动行。 这不仅会导致 CVS + 库的膨胀， 而且也会让导致问题的故障点， 以及您到底修改了什么变得不甚清晰。 + 假如需要删除文件， 则应在 post-extract target， 而不是作为补丁的一部分来完成。 除此之外， port 的 Makefile 还可以通过 in-place 模式的 &man.sed.1; 来直接进行简单的替换操作。 如果补丁需要使用变量值， 这就非常有用了。 例如： post-patch: @${REINPLACE_CMD} -e 's|for Linux|for FreeBSD|g' ${WRKSRC}/README @${REINPLACE_CMD} -e 's|-pthread|${PTHREAD_LIBS}|' ${WRKSRC}/configure 往往在移植某些软件的时候会遇到这样一种情况， 特别是这个软件是在 &windows; 上开发的时候， 大多数的源代码都需要进行CR/LF的转换。 这很可能会给以后打补丁带来问题， 还可能触发编译警告， 并给脚本的执行带来麻烦 (/bin/sh^M not found)， 等等。 要迅速将所有文件中的 CR/LF 改为只用 LF， 可以在 port 的 Makefile 中加入 USE_DOS2UNIX=yes。 除此之外， 还可以指定一个需要执行这种转换操作的文件列表： USE_DOS2UNIX= util.c util.h 如果希望转换一系列目录中的一组文件， 也可以使用 DOS2UNIX_REGEX。 它的参数是与 find 兼容的正则表达式。 关于这种格式的说明， 请参阅 &man.re.format.7;。 这个选项对转换所有指定扩展名的文件， 例如只转换源代码文件这样的应用非常有用： USE_DOS2UNIX= yes DOS2UNIX_REGEX= .*\.(c|cpp|h) 配置 把任何附加的配置命令加进您的 configure 脚本并把它保存到 scripts 子目录。 如前面提到的那样， 您也能在 Makefile 和/或 使用 pre-configure 或 post-configure 的脚本来做同样的事情。 处理用户输入 如果您的 port 要求用户的输入以便配置编译、 或安装配置过程， 就必须在 Makefile 里设置 IS_INTERACTIVE 变量。 如果用户设置了 BATCH 的话， 这将让用户能跳过您的 port 来完成 通宵编译 (如果用户设置了 INTERACTIVE的话， 那么 只有 那些要求互动的 port 才会被编译) 这将给那些不停编译 ports 的机器省下很多时间。 通常我们还建议， 如果对于那些问题能有合理的缺省答案的话， 应检查一下 PACKAGE_BUILDING 变量， 并根据其设置决定是否执行关闭交互脚本。 这将允许我们为 CDROM 和 FTP 来编译 package。 配置 Makefile 配置 Makefile 是相当简单的， 我们在此建议您在开始之前看一下现有的例子。 在这份手册里也有一个 Makefile例子， 照着里面变量的顺序来写能使得您的 port 更容易地被其它人看懂。 现在， 当您开始编写您新的Makefile 的时候， 可以依次思考一下以下的问题： 作者发布的代码 放在 DISTDIR 中的是不是标准的用 gzip 压缩的 tar 包， 例如 foozolix-1.2.tar.gz？ 如果是， 可以先略过这一节。 如果不是， 您应当看看是不是要覆盖这些变量： DISTVERSION、 DISTNAME、 EXTRACT_CMD、 EXTRACT_BEFORE_ARGS、 EXTRACT_AFTER_ARGS、 EXTRACT_SUFX， DISTFILES，取决于您 port 的 distfile 格式有多么怪异。 (最常见的一个例子便是 EXTRACT_SUFX=.tar.Z， 一般这是因为 tar 包是用 compress 而不是 gzip 压缩的时候。) 最糟的情况是， 您需要自己编写 do-extract 来覆盖默认的定义， 尽管这不常见， 但如果遇到了， 还是需要这么做。 命名 Makefile 的第一部分便是 port 的名字、 版本号， 以及它所属的分类。 <makevar>PORTNAME</makevar> 和 <makevar>PORTVERSION</makevar> 您应该把 PORTNAME 设置为您 port 的名字， PORTVERSION 则是 port 的版本号。 <makevar>PORTREVISION</makevar> 和 <makevar>PORTEPOCH</makevar> <makevar>PORTREVISION</makevar> (port 的修订版本号) PORTERVISION 变量是一个单调递增的值， 如果不为 0， 就会被加到包名的后面， 当 PORTVERSION 增加 的时候应被置 0 (也就是当官方有新版本发布的时候)。 PORTREVISION 会被自动化工具 (比如 &man.pkg.version.1;) 用来检测是否存在可用的新版本。 每当 port 发生变化并对生成的 package 的内容或结构有显著影响时， 都应增加 PORTREVISION 值。 下面是一些应当修改 PORTREVISION 的情况： 有新的补丁用来修正安全漏洞、 错误， 或给 port 添加了新的功能。 修改了 Makefile 里编译时开启或禁用的选项。 修改了要安装文件的列表或安装时的行为 (例如， 修改了一个用来给 package 初始化数据的脚本， 如 ssh host keys)。 一个port依赖的共享库版本改变 (在这种情况下， 当安装了新版本的共享库， 后再去安装较早的软件就会出错， 因为它们要依赖老的 libfoo.x 而不是libfoo.(x+1))。 原作者修改了 port distfile， 并且 distfile 的新老版本之间用 diff -ru 只能发现一些细微的变化， 这时我们只需要对 distinfo 做相应的修正， 而不需要修改 PORTVERSION。 不需要修改 PORTREVISION 的例子： port 结构风格的改变， 但对于打成的包没有功能的上的变化。 MASTER_SITES 发生变化， 或进行了对 port 功能的修改， 但不致影响最后打成的包。 对 distfiles 诸如修正拼写错误之类的补丁， 对用户而言没有升级上的麻烦。 对一个原本编译失败的包的修改， 使其可编译， 而没有加入新功能。 因为 PORTREVISION 表示包的内容发生了变化， 如果先前没有可编译的包， 也就不需要修改 PORTREVISION 来表示变化。 一个修改并提交 port 的原则是： 使得别人能从中受益 (改进、 修改已有错误， 或使新的 package 能够运行)， 您还要权衡一下这是否应让那些经常更新 ports 树的人升级， 如果回答是 是 的话， PORTREVISION 就应该修改了。 <makevar>PORTEPOCH</makevar> (port 的加权版本号) 有时软件商或 FreeBSD 的 porter 会使用比旧版的版本号小的数字做为新版本号的情况。 举例来说， 从 foo-20000801 到 foo-1.0 (从形式上来说这是不对的， 因为 20000801 在数值上比1大很多)。 在这种情况下， PORTEPOCH 应当增加。 如果 PORTEPOCH 非 0， 就应当加到包名字的后面。 PORTEPOCH 永远不能被减少或清零， 因为那样会导致与前一时期的 package 比较版本时产生不正确的结果。 (就是说， 那个 package 就不会被检测到已经过时了。) 新的版本号 (比如前面在前面那个例子中的 1.0,1) 在数值上比前一个版本 (20000801) 小， 但多数自动化的工具会认为 ,1 后缀意味着比前一个包的后缀 ,0 大。 错误的去除或重置 PORTEPOCH 会导致很多不幸发生； 如果您还不明白前面的讨论， 请多阅读几次直至明白为止， 或到邮件列表上来提问。 大多数 port 都不会用到 PORTEPOCH， 并且如果某个软件的下一个版本改变了版本号结构的话， 用巧妙的方法来设定 PORTVERSION 也能避免使用 PORTEPOCH。 然而， FreeBSD porter 也需要注意， 当有新版本的软件发布， 但并非正式版本时 — 比如 snapshot 版本， 原作者可能会使用当时的日期来命名， 这在新的 官方 版本发布的时候， 就很容易引起前面提到的问题。 举个例子， 如果 snapshot 版本的发布日期是 20000917， 这个软件的上一个版本是1.2， 那么这个版本的 PORTVERSIN 应该设为 1.2.20000917 或类似的样子， 而不是20000917， 这样在 1.3 发布以后， 新版本就可以在数值上大于旧的版本了。 关于 <makevar>PORTREVISION</makevar> 和 <makevar>PORTEPOCH</makevar> 的用例 gtkmumble port，版本号 0.10， 被提交到 ports collection: PORTNAME= gtkmumble PORTVERSION= 0.10 PKGNAME 变成 gtkmumble-0.10。 然后有人发现了一个安全漏洞， 需要用一个FreeBSD的补丁。 PORTREVISION 就要相应的增加。 PORTNAME= gtkmumble PORTVERSION= 0.10 PORTREVISION= 1 PKGNAME变成了 gtkmumble-0.10_1 软件的作者发布了新的版本， 版本为 0.2 (作者本来的意思是， 用 0.10 表示 0.1.0，而不是指 0.9 之后的那个版本 - 但是现在太迟了)。 因为现在的次版本号 2 在数值上比上一个版本 10 小， PORTEPOCH 必须增加， 以使新的 package 被认为是 更新的。 由于那是作者发布的一个新版本， 因此 PORTREVISION 应被置0 (或者从 Makefile 里面删除它)。 PORTNAME= gtkmumble PORTVERSION= 0.2 PORTEPOCH= 1 PKGNAME 变成了 gtkmumble-0.2,1 下一个版本将会是 0.3。 由于 PORTEPOCH 从不减少， 那么就无须改动： PORTNAME= gtkmumble PORTVERSION= 0.3 PORTEPOCH= 1 PKGNAME 变成 gtkmumble-0.3,1 如果在这次升级中 PORTEPOCH 被置为了0， 那么在装了 gtkmumble-0.10_1 包的机器上就无法检测到 gtkmumble-0.3 包的更新， 因为 3 在数值上比 10 小。 记住， 这是 PORTEPOCH 最重要的地方。 <makevar>PKGNAMEPREFIX</makevar> 和 <makevar>PKGNAMESUFFIX</makevar> 2 个可选的变量， PKGNAMEPREFIX 和 PKGNAMESUFFIX 可以和 PORTNAME 还有 PORTVERSION 配合使用， 形成像这样的 PKGNAME： ${PKGNAMEPREFIX}${PORTNAME}${PKGNAMESUFFIX}-${PORTVERSION}。 请确定符合我们的 包命名规则。 当然， 不 允许在 PORTVERSION 中使用连字符 (-)。 如果包名有 language- 或 -compiled.specifics 部分 (见下文)， 请分别用 PKGNAMEPREFIX 和 PKGNAMESUFFIX， 不要直接加到 PORTNAME 中。 <makevar>LATEST_LINK</makevar> 有时， 在 ports 套件中可能会存在同一程序的多个版本。 索引和预编译包的联编系统都需要能够将它们视为不同的软件包， 尽管其 PORTNAME、 PKGNAMEPREFIX， 以及 even PKGNAMESUFFIX 可能是一模一样的。 遇到这种情况时， 就需要将除了 主 port 之外的其他 port 中的 LATEST_LINK 变量设为不同的值 — 请参见 editors/vim5 和 editors/vim port， 以及 www/apache* 系列， 以了解它的用法。 需要注意的是， 如何确定 主 版本 — 最流行、 受支持最好， 变动最少， 等等 — 已经超过了本书能够给出的建议范围； 这里只是向您介绍在选定了一个 主 port 之后如何指定其他 port 的版本。 包命名规则 以下是您在命名您的包时应当遵守的规则。 这将使得我们放包的目录更利于浏览， 因为我们已经有数以万计的包了， 如果用户觉得查看包名很困难的话， 他们会很快走开的。 一个包的名字应该看起来像这样： language_region-name-compiled.specifics-version.numbers。 要像这样来定义包的名字： ${PKGNAMEPREFIX}${PORTNAME}${PKGNAMESUFFIX}-${PORTVERSION}。 确保所有的变量符合上面的格式。 FreeBSD 会尽力去支持用户当地的语言。 如果这个 port 是某种语言专用的， 那么 language- 部分应该是 由 ISO-639 定义的自然语言的 2 个字母缩写。 比如， ja是表示日本， ru 是表示俄罗斯， vi 表示越南， zh 表示中国， ko 表示韩国， de 表示德国。 如果是针对某种语言的某一地区的话， 再要加上2个字母的国家代码。 例如， en_US 表示美国英语， fr_CH 表示瑞士法语。 language- 部分应该在 PKGNAMEPREFIX 变量里设置。 name 部分的首字母应该 小写。 (余下的部分可以包含大写字母， 所以当您 要转换一个包含大写字母软件的名字时， 您需要 自己做出判断。) 对于 Perl 5 模块的命名， 有个传统的规则是， 在前面 加上 p5- 并把两个冒号的部分改为连字号， 如： Data::Dumper 模块对应的名字， 就应该是 p5-Data-Dumper。 确认 port 的名字和版本之间有清晰的分隔， 并放入 PORTNAME 和 PORTVERSION 变量。 在 PORTNAME 中包含版本部分的唯一理由是上游软件包真的采用这样的命名方式， 类似 textproc/libxml2 或 japanese/kinput2-freewnn port 这样。 否则， 在 PORTNAME 中就不应包含任何版本信息。 许多 port 采用同样的 PORTNAME 名字是很正常的， www/apache* port 便是如此； 在这种情况下， 不同的版本 (以及不同的索引项) 是由 PKGNAMEPREFIX、 PKGNAMESUFFIX， 以及 LATEST_LINK 的值的不同而有所区别的。 如果 port 可以使用不同的 硬编码默认配置 进行构建 (通常是一系列 port 的一部分目录名)， 则 -compiled.specifics 部分就应该明示编译进去的默认值 (此处连字号是可选的)。 通常的用例包括纸型和不同的字体尺寸。 -compiled.specifics 部分应该通过 PKGNAMESUFFIX 变量来设置。 版本号应该紧随在连字号 (-) 后面并由数字和字母组成。 特别指出， 另外的连字号是不允许出现在版本号里的。 唯一例外的是字符串 pl (表示 patchlevel)， 只能 用在软件没有主版本号和次版本号的情况下。 如果软件的版本号里出现了像 alpha， beta， rc， pre， 取第一个字母把它放在小数点的后面。 如果在版本号里一直出现那些名字， 那么在数字和字母之间不应有多余的小数点。 这个方法是为了更容易得凭版本号来排序 port。 特别注意的是， 确保版本号之间的每部分都由小数点来分隔， 如果日期也是版本号的一部分， 就用这样的格式， yyyy.mm.dd 或者 dd.mm.yyyy 这样的格式， 而非 yy.mm.dd， 因为后者不适合表示千年的格式。 这里是一些真实的例子， 我们藉此说明如何把软件作者对软件的命名， 转换为适合我们包的命名方式： 发行版的名字 PKGNAMEPREFIX PORTNAME PKGNAMESUFFIX PORTVERSION 说明 mule-2.2.2 (空) mule (空) 2.2.2 没什么需要修改的 EmiClock-1.0.2 (空) emiclock (空) 1.0.2 程序的名字不能使用大写字母 rdist-1.3alpha (空) rdist (空) 1.3.a 像 alpha 这样的字符串是不允许出现的 es-0.9-beta1 (空) es (空) 0.9.b1 像 beta 这样的字符串是不允许出现的 mailman-2.0rc3 (空) mailman (空) 2.0.r3 像 rc 这样的字符串是不允许出现的 v3.3beta021.src (空) tiff (空) 3.3 那个是啥鬼东西？ tvtwm (空) tvtwm (空) pl11 总需要有个版本号吧 piewm (空) piewm (空) 1.0 总需要有个版本号吧 xvgr-2.10pl1 (空) xvgr (空) 2.10.1 pl 只允许在没有 主/次 版本号的情况下才能出现 gawk-2.15.6 ja- gawk (空) 2.15.6 日文版 psutils-1.13 (空) psutils -letter 1.13 纸张大小已经在编译的时候被硬编码到程序里了 pkfonts (空) pkfonts 300 1.0 300dpi 字体的包 如果在原始的代码里没有版本号， 或者原作者并不打算开发另外的版本， 就应把版本号设成 1.0 (就像前面 piewm 的例子那样)。 否则， 要求原始的作者加上版本号或使用日期 (yyyy.mm.dd) 来作为版本号。 分类 <makevar>CATEGORIES</makevar> (所属分类) 在包制作完成之后， 它会被放在 /usr/ports/packages/All， 并建立一系列来自 /usr/ports/packages 下子目录的符号连接。 这些子目录的名称是由 CATEGORIES 指定的。 这将方便于那些用户在 FTP 站点或 CDROM 的一大堆包里面寻找自己想要的包。 请查看一下 目前的分类表， 并找出一个适合您 port 的分类。 此列表也会决定您的 port 在 port 目录中的位置。 如果您在这里设定了 1 个以上的分类， 则认为您 port 文件应放到以第一个分类命名的子目录中。 请参阅 后面 关于如何选择正确分类的更多讨论。 目前的分类表 这是目前 port 中的分类。 那些用星号 (*) 标记的是 虚拟分类 — 它们在ports树里没有相应的子目录， 因而只用来做为次要的分类， 用以方便搜索。 对于非虚拟的分类来说， 您会看到在相对应子目录中的 Makefile 里有写在 COMMENT 里的单行描述。 分类 描述 注意事项 accessibility 帮助残障人士的 port。 afterstep* 对于 AfterStep 窗口管理器的支持。 arabic 阿拉伯语言支持。 archivers 压缩与备份工具。 astro 有关天文学的 port。 audio 声音支持。 benchmarks 测评程序。 biology 生物学相关的软件。 cad 计算机辅助设计工具。 chinese 中文语言支持。 comms 通讯软件。 大部分是用于串口通讯的。 converters 字符编码转换。 databases 数据库。 deskutils 在发明计算机以前就已经在桌面上使用的东西。 devel 程序开发工具。 不要把开发库放在这里 — 除非您再也找不到更合适的分类， 否则就不该放在这个分类里。 dns DNS 相关的软件。 editors 通用编辑器。 有特殊用途的编辑器应该被置于相应的分类中 (比如， 数学-方程式 编辑器应该放在 math 分类里。 elisp* Emacs-lisp相关的port。 emulators 其它操作系统的模拟器。 终端模拟器 不应该 属于这个分类 — 基于 X 的应该放在 x11 而基于文本模式的应该放到 comms 或 misc 中去， 取决于具体的功能。 finance 货币、 金融以及相关的应用程序。 french 法语语言支持。 ftp FTP 客户端和服务器端的程序。 如果您的 port 同时支持 FTP 和 HTTP 的话， 把它放进 ftp 并把 www 做为第二分类。 games 游戏。 geography* 与地理学有关的软件。 german 德语语言支持。 gnome* 关于 GNOME 项目的支持。 graphics 图形图象程序。 gnustep* 与 GNUstep 桌面环境有关的软件。 hamradio* 业余无线电爱好者使用的软件。 haskell* 有关 Haskell 编程语言的软件。 hebrew 希伯来语语言支持。 hungarian 匈牙利语语言支持。 ipv6* IPv6 相关软件。 irc IRC 相关程序 japanese 日语语言支持。 java 有关 Java 编程语言的软件。 java 分类对于一个 port 来说并不是唯一的分类。 最好用来放和 Java 语言相关的 port， 而且我们鼓励不要把 java 做为一个 port 的主分类。 kde* K 桌面环境 (KDE) 相关的软件。 kld* 可加载内核模块。 korean 韩语语言支持。 lang 编程语言。 linux* Linux 相关的应用程序。 lisp* 和 Lisp 编程语言有关的软件。 mail 电子邮件软件。 math 数值计算和其它数学相关的软件。 mbone MBone 应用程序。 misc 各式各样的实用程序。 通常不属于其它的任何分类， 如果可能的话， 尽量为您的 port 选择 misc 以外的分类， 因为在这里的 port 比较容易被人忽略。 multimedia 多媒体软件。 net 各种网络相关的软件。 net-im 即时消息软件。 net-mgmt 网络管理软件。 net-p2p 对等网 (Peer to peer network) 应用程序。 news USENET新闻组相关软件。 palm Palm™ 系列相关软件。 parallel* 并行计算相关软件。 pear* Pear PHP 架构相关软件。 perl5* Perl5 相关的软件。 plan9* Plan9 相关程序。 polish 波兰语语言语言支持。 ports-mgmt 用于管理、 安装和开发 FreeBSD ports 和预编译包的 port。 portuguese 葡萄牙语语言支持。 print 打印相关的软件。 桌面出版工具 (打印预览工具等等) 也可以放在此分类里。 python* Python 编程语言相关的软件。 ruby* Ruby 编程语言相关的软件。 rubygems* 移植版本的 RubyGems 软件包。 russian 俄语语言支持。 scheme* 与 Scheme 语言有关的 port。 science 科学相关但不适合放在 astro、 biology， 以及 math 分类的 port。 security 安全相关的实用程序。 shells 命令行 shell。 spanish* 西班牙语支持 sysutils 系统相关的实用程序。 tcl* 依赖于 Tcl 运行的 port。 tcl80* 依赖于 Tcl 8.0 版运行的 port。 tcl82* 依赖于 Tcl 8.2 版运行的 port。 tcl83* 依赖于 Tcl 8.3 版运行的 port。 tcl84* 需要依赖 Tcl 8.4 版运行的 port。 textproc 文本处理的实用程序。 这个分类并不适合于那些应该放到 print 的桌面出版工具。 tk* 依赖于 Tk 运行的 port。 tk80* 依赖于 Tk 8.0 版运行的 port。 tk82* 依赖于 Tk 8.2 版运行的 port。 tk83* 依赖于 Tk 8.3 版运行的 port。 tk84* 依赖于 Tk 8.4 版运行的 port。 tkstep80* 需要 TkSTEP 8.0 来运行的 port。 ukrainian 乌克兰语语言支持。 vietnamese 越南语语言支持。 windowmaker* WindowMaker 窗口管理器的相关支持。 www Word Wide Web的相关软件。 HTML语言相关的支持也可以放在这个分类里。 x11 X Window System以及相关软件。 这个分类是给那些直接支持X Window System 的软件的。 不要把常规的 X 应用程序也放进这里； 它们中的大多数都应被归类到 x11-* (参见下文)。 如果您的 port 是 X 应用程序， 应定义 USE_XLIB (使用 USER_IMAKE 隐含包括它)， 然后把它放到合适的分类里。 x11-clocks X11 下的时钟程序。 x11-drivers X11 驱动程序。 x11-fm X11 下的文件管理器。 x11-fonts X11 下的字体以及相关工具。 x11-servers X11 服务器。 x11-themes X11 主题。 x11-toolkits X11 工具包。 x11-wm X11 窗口管理器。 xfce* 与 Xfce 桌面环境有关的 port。 zope* Zope 相关的支持。 选择正确的分类 由于不少分类是重复的， 您通常在用哪个分类作为您 port 的主分类上做出选择。 下面有几条规则能帮您解决这个问题。 这是一个带优先级的表， 按优先级降序罗列： 第一个分类必须是个物理的分类 (参阅 前面)。 这对于制作包是必要的。 虚拟分类和物理分类可能在包制作完成后混合在一起。 对于特定语言的分类通常放在第一位。 例如， 如果您的 port 会安装一些 X11 的日文字体， 那么 CATEGORIES那行 就应该是 japanese x11-fonts。 有特定意义的分类应当被列在无特定意义的前面。 例如， HTML 编辑器应该是这样的 www editors， 而不是其它的什么。 同样地， 您不应该列出 net， 如果 port 属于 irc、 mail、 mbone、 news、 security， 或是 www， 因为 net 可以表示它们的超集。 只有当主要的分类是一门自然语言的时候， x11 能被做为第二分类。 需要特别指出的是， 您不应把 X 的应用程序也归类为 x11。 Emacs 模式应当于相应的应用程序放在同一个分类里， 而不是 editors 分类。 举例来说， 一个用于编辑某种编程语言源代码的 Emacs 模式应该被归为 lang 一类。 需要安装可加载内核模块的 port 应在其 CATEGORIES 中归入虚拟分类 kld。 misc 分类的 port 不能有其它非虚拟的分类。 如果您在您的 CATEGORIES 里设了 misc 和另外的分类， 那意味着可以安全地删除 misc 并把 port 放到其它的子目录中了！ 如果您的 port 确实不属于现有的分类， 才把它放到 misc。 如果您不能确定使用哪个分类， 请在您提交的 &man.send-pr.1; 里加上一行注释， 这样我们就能在导入进 port 树之前讨论一下。 如果您是 committer， 发一份备忘到 &a.ports; 先讨论一下。 很多情况是新的 port 被加到错误的分类里， 然后又立即被移走。这会造成源代码库不必要和不良的膨胀。 如何提议建立新的分类 由于 Ports Collection 在持续增长， 已经引入了许多新的分类。 新的分类既可以是 虚拟的 分类 — 这些分类在整个 ports 目录中没有属于自己的子目录 — 或 物理的 分类 — 它们有自己的子目录。 接下来我们将讨论与建立新的物理分类有关的事项， 以便帮助您理解如何提议建立新的分类。 我们目前的做法是避免建立新的物理分类， 除非有非常多的 port 应被归入这一分类， 或者 port 属于某一特定的小团体 (例如， 与某种人类语言相关)， 或两者皆是。 这样做的原因是这类修改会让 committer 和用户都不得不进行 许多工作 来在 Ports Collection 进行或追踪修改。 此外， 提议新的分类通常都会引起争论。 (可能这是因为关于某个分类是否 太大 一直没有非常一致的意见的缘故， 另一方面， 分类是否能够能够有助于浏览 (以及多少个分类是合适的)， 等等， 也都是问题。) 下面是具体的步骤： 在 &a.ports; 提议新的分类。 您应提供建立新分类的详细依据， 包括为什么认为现有的分类不够， 以及希望移动位置的一系列 port 的名字。 (如果有尚在 GNATS 而未 commit 的 port， 也应一一列出。) 如果您是相关 port 的监护人或提交者， 说明这一情况可能有助于您的提议得到通过。 参与讨论。 如果有人支持您的建议， 应及时提交一个 PR， 其中包括提议 PR 的理由， 以及需要移动的 port 的列表。 理想情况下， 这个 PR 也应包含针对下列文件的补丁： 进行 repocopy 之后对 Makefile 进行的修改 新分类的 Makefile 旧分类的 Makefile 依赖于旧 port 的 port 的 Makefile (此外， 作为一项加分因素， 您还可以按照 Committer 指南所介绍的流程， 提供一些其它需要修改的文件。) 由于这是一项影响 ports 基础设施的变动， 它不仅涉及 repo-copy 的使用， 而且也可能会影响构建集群的衰退测试操作， 因此这类 PR 应分派给 &a.portmgr;。 如果这一 PR 得到批准， 某个 committer 将按照在 Committer 指南 中所介绍的步骤来完成余下的工作。 提议新的虚拟分类和上述过程类似， 但会容易许多， 因为不需要实际地移动任何 port。 这种情况下， PR 应附带的补丁， 就只需要修改影响到的 port 的 Makefile， 以便在其中的 CATEGORIES 中加入新的分类了。 如何提议对分类进行重新组织 有些时候会有一些人提议重新将分类组织为 2-层 或某种基于关键字的结构。 目前为止， 还没有进行任何相关的改变， 因为尽管这些修改比较容易完成， 但修改整个 Ports Collection 所需要进行的工作， 至少也是令人生畏的。 在发表您的观点之前， 请阅读在邮件列表存档中历史上所进行过的提议； 此外， 您也会被要求提供一个可用的原形。 源码包文件 在 Makefile 中的第二部分是描述用于构建 port 所必需下载的文件， 以及到什么地方去下载它们。 <makevar>DISTVERSION/DISTNAME</makevar> (源码包版本号/名称) DISTNAME 是作者称呼您所 port 软件的名字。 DISTNAME 的默认值是 ${PORTNAME}-${PORTVERSION}， 因此只有在需要时才应手工指定。 DISTNAME 只在两个地方用到。 第一处是源码包文件列表 (DISTFILES)， 其默认值是 ${DISTNAME}${EXTRACT_SUFX}。 第二处是源码包应被展开到的目录名， 即 WRKSRC 所指定的目录， 其默认值是 work/${DISTNAME}。 某些软件作者发布源码包的时候并不采取 ${PORTNAME}-${PORTVERSION} 这样的模式， 这可以通过设置 DISTVERSION 来自动处理。 PORTVERSION 和 DISTNAME 会自动地展开， 当然， 也可以改掉它。 下表给出了一些例子： DISTVERSION PORTVERSION 0.7.1d 0.7.1.d 10Alpha3 10.a3 3Beta7-pre2 3.b7.p2 8:f_17 8f.17 PKGNAMEPREFIX 和 PKGNAMESUFFIX 并不影响 DISTNAME。 此外还应注意 WRKSRC 等于 work/${PORTNAME}-${PORTVERSION}， 而源代码的压缩包则可能是 ${PORTNAME}-${PORTVERSION}${EXTRACT_SUFX} 以外的其它名字。 一般情况下应该保持 DISTNAME 不变 — 更好的方法是定义 DISTFILES 而不是同时设置 DISTNAME 和 WRKSRC (可能还有 EXTRACT_SUFX)。 <makevar>MASTER_SITES</makevar> (主流下载站点) 记录 FTP/HTTP-URL 指向 MASTER_SITES 中原始压缩档的目录部分。 不要忘了结尾的斜线 (/)！ make 宏将尝试使用 FETCH 来抓取所指定的源码包文件， 如果无法在本地系统中找到这些文件的话。 建议您指定多个镜像站点， 最好是在不同的大洲上的。 这样将有效地防止由于大范围网络问题所导致无法下载的问题。 我们甚至打算增加自动检测距离最近的站点并从那里下载的功能； 使用多个站点是这样做的重要一步。 如果原始的源码包是流行的软件， 例如 X-contrib、 GNU， 或 Perl CPAN 等等之一， 您可能会希望使用 MASTER_SITE_* (例如 MASTER_SITE_XCONTRIB、 MASTER_SITE_GNU 和 MASTER_SITE_PERL_CPAN) 来简化撰写。 简单地将 MASTER_SITES 设置为这些变量之一， 并使用 MASTER_SITE_SUBDIR 来指定路径就可以达到目的。 下面是一个例子： MASTER_SITES= ${MASTER_SITE_XCONTRIB} MASTER_SITE_SUBDIR= applications 这些变量是在 /usr/ports/Mk/bsd.sites.mk 中定义的。 新项目会随时增加， 因此在您提交 port 之前， 应先看一看这个文件的最新版本。 用户也可以在他们的 /etc/make.conf 文件中自行设置 MASTER_SITE_* 变量， 以便让系统使用他们的选择， 从他们喜欢的镜像站点进行下载。 <makevar>EXTRACT_SUFX</makevar> (压缩包所用的扩展名) 如果您有一个源码包文件， 而它使用了某种怪异的扩展名来表达压缩方法， 应设置 EXTRACT_SUFX。 例如， 如果源码包文件的名字是 foo.tgz 而非更为一般的 foo.tar.gz， 您应写上： DISTNAME= foo EXTRACT_SUFX= .tgz USE_BZIP2 和 USE_ZIP 变量会自动根据需要将 EXTRACT_SUFX 设置为 .tar.bz2 或 .zip。 如果这两个都没设置， 则 EXTRACT_SUFX 的 默认值将是 .tar.gz。 任何时候都不需要同时设置 EXTRACT_SUFX 和 DISTFILES. <makevar>DISTFILES</makevar> (全部源代码包) 有些时候所下载的文件名字和 port 的名字没有任何联系。 例如， 可能是 source.tar.gz， 或者与此类似的其它名字。 也有一些其它的应用软件， 它们的源代码可能被存放到了不同的压缩包中， 而且全都需要下载。 如果遇到这种情况， 可以将 DISTFILES 设置为以空格分隔的一组需要下载的文件列表。 DISTFILES= source1.tar.gz source2.tar.gz 如果没有予以明确的设置， DISTFILES 的默认值将是 ${DISTNAME}${EXTRACT_SUFX}。 <makevar>EXTRACT_ONLY</makevar> (只解压缩部分源文件) 如果只有一部分 DISTFILES 需要解压缩 — 例如， 其中的一个是源代码， 而其它则是未压缩的文档 — 此时应把那些需要解压缩的文件加到 EXTRACT_ONLY 中。 DISTFILES= source.tar.gz manual.html EXTRACT_ONLY= source.tar.gz 如果 DISTFILES 中 没有 需要解压缩的文件， 则应将 EXTRACT_ONLY 设为空串。 EXTRACT_ONLY= <makevar>PATCHFILES</makevar> (通过下载得到的补丁文件) 如果您的 port 需要来自 FTP 或 HTTP 的一些额外的补丁， 应将 PATCHFILES 设置为这些文件的名字， 并将 PATCH_SITES 指向包含这些文件的目录的 URL (格式与 MASTER_SITES 相同)。 如果这些补丁， 由于包含了其它的目录名， 而导致它们不是相对于源代码目录的顶级目录 (也就是 WRKSRC) 的话， 就需要相应地设置 PATCH_DIST_STRIP 了。 例如， 如果补丁中所有的目录名前面都有一个多余的 foozolix-1.0/， 就应设置 PATCH_DIST_STRIP=-p1。 不需要担心补丁文件本身是否是压缩的； 如果文件名以 .gz or .Z 结尾， 系统会自动解压缩。 如果补丁是同某些其它文件， 例如文档， 一同以 gzip 压缩的 tar 格式发布的， 就不能简单地使用 PATCHFILES 了。 这种情况下， 您应将这些补丁包的文件和位置加入到 DISTFILES 和 MASTER_SITES 中。 然后， 用 EXTRA_PATCHES 变量来指出这些文件， 这样 bsd.port.mk 就会自动地为您应用这些补丁了。 需要特别注意的是， 不要 将补丁文件复制到 PATCHDIR 目录中 — 这个目录可能是不可写的。 压缩包会以同源代码一样的方式解压缩， 因此不需要自行完成解压缩操作， 并复制补丁文件。 如果您一定要这样做， 就要注意， 不要让解压缩出来的文件覆盖先前已经存在的文件。 此外， 这么做还需要手工增加命令， 以便在 pre-clean target 中删除这些复制出来的文件。 来自不同站点的多个源代码包或补丁文件 (<literal>MASTER_SITES:n</literal>) (这一节在某种程度上应被视作 进阶话题； 刚开始阅读这份文档的读者可能会希望先跳过这一部分)。 这一节提供了被称作 MASTER_SITES:n 和 MASTER_SITES_NN 的下载控制机制。 这里我们把它们称为 MASTER_SITES:n。 首先给出一些背景。 OpenBSD 在其 DISTFILES 和 PATCHFILES 变量中提供了一个很棒的功能， 即， 允许这些文件和补丁拥有 :n 后缀， 其中 n 可以使用 [0-9]， 来表达组。 例如： DISTFILES= alpha:0 beta:1 在 OpenBSD 中， 源码包文件 alpha 应被关联到变量 MASTER_SITES0 而不是公共的 MASTER_SITES 变量上； 而 beta 则应关联到 MASTER_SITES1 上。 这是一个很有意思的功能， 它可以避免无休止地搜索正确的下载站点的过程。 想象 DISTFILES 中指定了 2 个文件， 而 MASTER_SITES 包含了 20 个站点的情形， 这其中许多站点慢如蜗牛， 而 beta 可以在 MASTER_SITES 的所有站点找到， 而 alpha 只能在第 20 个上面找到。 如果监护人了解这一点， 那么检查所有的站点无疑是在浪费时间， 不是吗？ 这显然不是开始一个愉快周末的好办法！ 现在您有了一个感性的认识了， 想象一下 DISTFILES 和更多的 MASTER_SITES。 显然， 我们的 distfiles 调查员先生 会感谢您减少他浪费在等待下载上所耗费的时间。 下一节中， 将按照 FreeBSD 对上述想法的实现来加以阐释。 我们对 OpenBSD 所提出的概念进行了一些改进。 简化信息 这一节将介绍如何迅速地对从不同的站点以及子目录下载多个源码包和补丁进行精确的控制。 这里， 我们将描述 MASTER_SITES:n 的一种简化用法。 对于多数情况而言这样做是足够的。 然而， 如果您需要更多信息， 还需要参考下面的几节。 一些应用程序需要从多个站点下载不同的源码包。 例如， Ghostscript 包括了程序核心本身， 以及大量的驱动文件， 以及则取决于用户的打印机品牌和型号的驱动程序。 某些驱动文件已经随程序核心附带， 但也有很多需要从其它站点下载。 为了适应这种需要， 每一个 DISTFILES 项应跟随一个冒号， 以及一个 标签名。 在 MASTER_SITES 的每个站点也应跟随冒号和标签名， 以便指定从哪个网站下载源码包文件。 例如， 考虑一个将源代码包分为两部分， 即 source1.tar.gz 和 source2.tar.gz 的软件， 它必须从两个不同的站点下载。 port 的 Makefile 应包括类似 的配置。 简化的 <literal>MASTER_SITES:n</literal> 用法， 每个文件来自一个站点 MASTER_SITES= ftp://ftp.example1.com/:source1 \ ftp://ftp.example2.com/:source2 DISTFILES= source1.tar.gz:source1 \ source2.tar.gz:source2 多个源码包可以使用同一个标签。 继续前面的例子， 假定增加了第三个源码包， source3.tar.gz， 应从 ftp.example2.com 下载。 Makefile 的这部分应写成 的样子。 简化的 <literal>MASTER_SITES:n</literal> 用法， 其中同一个站点上提供了不止一个文件 MASTER_SITES= ftp://ftp.example1.com/:source1 \ ftp://ftp.example2.com/:source2 DISTFILES= source1.tar.gz:source1 \ source2.tar.gz:source2 \ source3.tar.gz:source2 深入介绍 前面的例子无法满足您的需求？ 这一节， 我们将详细介绍 MASTER_SITES:n 的精细控制是如何工作的， 以及如何修改您的 port 来使用它们。 元素可以包含 :n 这样的后缀， 其中 n 是 [^:,]+， 概念上即 n 可以取任意数字或字母， 但我们目前将其限定为 [a-zA-Z_][0-9a-zA-Z_]+。 此外， 字符串匹配时对大小写是敏感的； 换言之， n 与 N 不同。 但是， 由于表达特殊的意义， 下列单词不能用于后缀： default、 all 和 ALL (它们会在 中介绍的部分用到)。 此外， DEFAULT 是一个有特殊用途的词 (请参见 )。 后缀为 :n 的项目属于 n 组， 而 :m 属于 m 组， 依此类推。 没有后缀的元素是无组的， 也就是它们都属于那个特殊的 DEFAULT 组。 给元素加入 DEFAULT 后缀通常是多余的， 除非您有同时属于 DEFAULT 和其它组的元素 (参见 )。 下面的例子是等价的， 但通常应适用第一个： MASTER_SITES= alpha MASTER_SITES= alpha:DEFAULT 组之间不是互斥的， 同一元素可以同时隶属于多个组， 而组则可以为空或者有任意多个元素。 同一组中的重复元素， 并不会被自动消去。 如果希望同一元素同时属于多个组， 可以用逗号 (,) 分开。 这种办法可以避免仅为指定不同的组而多次重复同一元素。 例如 :m,n,o 表示这个元素同时属于 m、 n 和 o 这三组。 下面这些写法都是等价的， 但只推荐使用最后一种： MASTER_SITES= alpha alpha:SOME_SITE MASTER_SITES= alpha:DEFAULT alpha:SOME_SITE MASTER_SITES= alpha:SOME_SITE,DEFAULT MASTER_SITES= alpha:DEFAULT,SOME_SITE 同一组中的所有站点， 会根据 MASTER_SORT_AWK 排序。 在 MASTER_SITES 和 PATCH_SITES 中的组也会进行排序。 在 MASTER_SITES、 PATCH_SITES、 MASTER_SITE_SUBDIR、 PATCH_SITE_SUBDIR、 DISTFILES， 以及 PATCHFILES 中， 都可以使用组， 其语法为： 所有 MASTER_SITES、 PATCH_SITES、 MASTER_SITE_SUBDIR 以及 PATCH_SITE_SUBDIR 的元素， 都必须以 / 字符结尾。 如果有元素属于某些组， 则组后缀 :n 必须出现在终结符 / 之后。 MASTER_SITES:n 机制依赖于 / 的存在， 以避免在 :n 是元素一部分， 而 :n 同时又表示组 n 时发生混淆。 为了兼容性的考虑， 因为之前 / 终结符在 MASTER_SITE_SUBDIR 和 PATCH_SITE_SUBDIR 元素中都不是必需的， 如果后缀所紧跟的字符不是 /， 则 :n 将被认为是元素的一部分， 而不被当作组后缀， 即使元素拥有 :n 后缀。 请参见 和 以了解进一步的细节。 在 <makevar>MASTER_SITE_SUBDIR</makevar> 中 <literal>MASTER_SITES:n</literal> 的详细用法 MASTER_SITE_SUBDIR= old:n new/:NEW 组 DEFAULT 中的目录 -> old:n 组 NEW 中的目录 -> new 用到逗号分隔符、 多个文件， 多个站点和 不同子目录的 <literal>MASTER_SITES:n</literal> 详细用法 MASTER_SITES= http://site1/%SUBDIR%/ http://site2/:DEFAULT \ http://site3/:group3 http://site4/:group4 \ http://site5/:group5 http://site6/:group6 \ http://site7/:DEFAULT,group6 \ http://site8/%SUBDIR%/:group6,group7 \ http://site9/:group8 DISTFILES= file1 file2:DEFAULT file3:group3 \ file4:group4,group5,group6 file5:grouping \ file6:group7 MASTER_SITE_SUBDIR= directory-trial:1 directory-n/:groupn \ directory-one/:group6,DEFAULT \ directory 前述的例子的结果是下述的对于下载行为的精细控制。 站点的列表按照使用的顺序给出。 file1 将从 MASTER_SITE_OVERRIDE http://site1/directory-trial:1/ http://site1/directory-one/ http://site1/directory/ http://site2/ http://site7/ MASTER_SITE_BACKUP 下载。 file2 将和 file1 以同样的方式下载， 因为它们属于同一组 MASTER_SITE_OVERRIDE http://site1/directory-trial:1/ http://site1/directory-one/ http://site1/directory/ http://site2/ http://site7/ MASTER_SITE_BACKUP file3 将从 MASTER_SITE_OVERRIDE http://site3/ MASTER_SITE_BACKUP 下载。 file4 将从 MASTER_SITE_OVERRIDE http://site4/ http://site5/ http://site6/ http://site7/ http://site8/directory-one/ MASTER_SITE_BACKUP 下载。 file5 将从 MASTER_SITE_OVERRIDE MASTER_SITE_BACKUP 下载。 file6 将从 MASTER_SITE_OVERRIDE http://site8/ MASTER_SITE_BACKUP 下载。 如何对来自 bsd.sites.mk 的特殊变量， 例如 MASTER_SITE_SOURCEFORGE 进行分组？ 参见 。 <makevar>MASTER_SITE_SOURCEFORGE</makevar> 中 <literal>MASTER_SITES:n</literal> 的详细用法 MASTER_SITES= http://site1/ ${MASTER_SITE_SOURCEFORGE:S/$/:sourceforge,TEST/} DISTFILES= something.tar.gz:sourceforge something.tar.gz 将从所有 MASTER_SITE_SOURCEFORGE 中的站点下载。 如何与 PATCH* 变量连用？ 前面的例子介绍的都是 MASTER* 变量， 但对于 PATCH* 也是完全一样的， 它们在 有所介绍。 简化的 <makevar>PATCH_SITES</makevar> 中的 <literal>MASTER_SITES:n</literal> 用法。 PATCH_SITES= http://site1/ http://site2/:test PATCHFILES= patch1:test 会改变 ports 的哪些行为？ 哪些不会？ 所有普通的 ports 的行为都会保持不变。 MASTER_SITES:n 功能的代码， 只有在某些元素包含了前述， 特别是 中所提及语法的 :n 后缀时， 才会启用。 不受影响的 port target： checksum、 makesum、 patch、 configure、 build， 等等。 显然， do-fetch、 fetch-list、 master-sites 和 patch-sites 的行为会发生变化。 do-fetch： 会按照新的、 带有组后缀的 DISTFILES 和 PATCHFILES 在 MASTER_SITES 和 PATCH_SITES 所匹配的组元素， 以及 MASTER_SITE_SUBDIR 和 PATCH_SITE_SUBDIR 来进行。 请参见 。 fetch-list： 和旧式的 fetch-list 类似， 但以同 do-fetch 相似的方式处理组。 master-sites 和 patch-sites： (与旧版本不兼容) 仅返回组 DEFAULT 的元素； 事实上， 它们会执行 master-sites-default 和 patch-sites-default 这两个 target。 更进一步， 使用 master-sites-all 或 patch-sites-all 这两个 target 之一， 要比直接检查 MASTER_SITES 或 PATCH_SITES 更好。 此外， 未来版本可能不再保证直接检查能够正确工作。 请参见 以了解关于这些新 target 的更多技术细节。 port 中的新 target 一系列 master-sites-n 和 patch-sites-n target 可以分别用来列出 MASTER_SITES 和 PATCH_SITES 中的 n 组的内容。 例如， master-sites-DEFAULT 和 patch-sites-DEFAULT 都会返回 DEFAULT 组的内容， 而 master-sites-test 和 patch-sites-test 则返回 test 组的内容， 等等。 新增的 master-sites-all 和 patch-sites-all 这两个 target， 会完成先前 master-sites 和 patch-sites 所做的工作。 它们会返回所有组的元素， 就像这些元素都属于同一组一样， 并且会列出与 MASTER_SITE_BACKUP 或 MASTER_SITE_OVERRIDE 中在 DISTFILES 或 PATCHFILES 中指定的同样多个； 分别对于 master-sites-all 和 patch-sites-all。 <makevar>DIST_SUBDIR</makevar> (独立的源码包子目录) 避免让您的 port 使 /usr/ports/distfiles 陷入混乱。 如果您的 port 需要下载很多文件， 或者需要下载可能与其它 port 的源文件名冲突的文件 (例如， Makefile)， 则应将 DIST_SUBDIR 设置为 port 的名字 (通常可以用 ${PORTNAME} 或 ${PKGNAMEPREFIX}${PORTNAME})。 这将把 DISTDIR 从默认的 /usr/ports/distfiles 改为 /usr/ports/distfiles/DIST_SUBDIR， 并将与您的 port 有关的文件放到那个目录中。 此外， 它也会在备份文件主服务器 ftp.FreeBSD.org 上查找同一子目录下的文件 (直接在您的 Makefile 中设置 DISTDIR 则不会有这样的效果， 因此您应使用 DIST_SUBDIR。) 这一设置并不影响您在 Makefile 中定义的 MASTER_SITES。 <makevar>ALWAYS_KEEP_DISTFILES</makevar> (一直保存源码包) 如果您的 port 采用的是预编译的包， 但却采用了某种要求源代码必须与预编译版本一同提供的授权， 例如 GPL， 则应使用 ALWAYS_KEEP_DISTFILES 来告诉 &os; 构建集群保留一份在 DISTFILES 中文件的副本。 一般来说这些 port 的用户并不需要这些文件， 因此， 只在定义了 PACKAGE_BUILDING 符的时候， 才将源代码包文件加入 DISTFILES 是个好主意。 如何使用 <makevar>ALWAYS_KEEP_DISTFILES</makevar>。 .if defined(PACKAGE_BUILDING) DISTFILES+= foo.tar.gz ALWAYS_KEEP_DISTFILES= yes .endif 当您在 DISTFILES 加入其它文件时， 请务必确保这些文件也出现在了 distinfo 中。 此外， 这些额外的文件通常也会展开到 WRKDIR 中， 对于某些 ports， 这可能导致一些不希望的副作用， 因而需要进行特别的处理。 <makevar>MAINTAINER</makevar> (监护人) 请在此处写上您的电子邮件地址。 :-) 需要注意一点， MAINTAINER 变量的值只能是一个不包括注释部分的电子邮件地址， 其格式应为 user@hostname.domain。 请不要在此处写任何说明性的文字， 例如您的真实姓名 — 这会给 bsd.port.mk 带来麻烦。 监护人有责任保持 port 随时更新， 并确保其能够正确地运行。 详细的 port 监护人职责说明， 请参见 port 监护人面临的挑战 一节。 对于 port 的修改， 应被发给 port 的监护人进行复审， 且在 commit 之前需要获得其监护人的同意。 假如某一 port 的监护人没有在两周之内 (不包括主要的公共假日) 响应来自用户的更新请求， 则可视为监护人超时， 在这种情况下可以在没有监护人明确同意的情形下进行更新。 如果监护人在多达三个月的时间内没有进行任何响应， 则可以认为该监护人不辞而别， 允许对出现此类问题的 port 进行监护人变更。 尽管如此， 监护人为 &a.portmgr; 或者 &a.security-officer; 的 port 不受此限。 对监护人为这些小组的 port 进行未经许可的 commit 是不允许的。 我们保留对监护人所提交修正案进行改动的权力， 以便使其更符合现行的 Ports Collection 规范， 而无需提交补丁的人明确批准。 此外， 大规模的基础性修改， 也可能使 port 在没有得到监护人同意的情形下进行修改。 但这类修改都不会影响 port 本身的功能。 &a.portmgr; 保留以任何原因收回或绕过任何人监护权的权力， 而 &a.security-officer; 则保留以安全原因收回或绕过监护权的权力。 <makevar>COMMENT</makevar> (一句话说明) 这一变量用于指定 port 的一句话说明。 请 勿将 package 的名字 (或软件的版本) 放在说明中。 这一说明的第一个字母应大写， 结尾不用句点。 下面是一个例子： COMMENT= A cat chasing a mouse all over the screen Makefile 中的 COMMENT 变量应该紧接着 MAINTAINER 变量出现。 请务必将 COMMENT 这行限制在 70 个字符之内， 因为它的主要目的是向用户展示 port 的一句话简介。 依赖关系 许多 port 会依赖其它 port。 有七个变量用于帮助您确保所需的文件都存在于用户的机器上。 此外， 也提供了用于支持常见情形的依赖关系变量， 以及对依赖关系行为的更多控制。 <makevar>LIB_DEPENDS</makevar> (依赖的函数库/共享库) 这个变量用于指定 port 所依赖的共享库。 其内容是由一系列 lib:dir:target 元组构成的表， 其中 lib 是共享库的名字， 而 dir 则是在找不到时应该从哪里构建和安装， 最后， target 用于指定在那个目录中调用的 target。 例如， LIB_DEPENDS= jpeg.9:${PORTSDIR}/graphics/jpeg 会检测主版本号为 9 的 jpeg 共享库， 如果它不存在， 则会进入到您的 ports 目录中的 graphics/jpeg 子目录， 并构建和安装它。 如果您指定的 target 就是 DEPENDS_TARGET (默认是 install)， 则可以略去不写。 lib 部分是一个正则表达式， 用于在 ldconfig -r 的输出中进行查找。 可以使用类似 intl.[5-7] 和 intl 这样的值。 前一种模式， 即 intl.[5-7]， 能够匹配 intl.5、 intl.6 和 intl.7 中的任意一个。 第二种模式， 即 intl 则可以匹配任意版本的 intl 库。 依赖关系会被检测两次， 一次是在 extract target 中， 而另一次则是在 install target。 另外， 依赖关系的名字会放到 package 中， 以便让 &man.pkg.add.1; 能够自动地在用户系统上安装所需的未安装的其它 package。 <makevar>RUN_DEPENDS</makevar> (依赖的运行环境) 这个变量可以用来指定 port 在运行时所需要的可执行文件， 以及资源文件。 它是一系列 path:dir:target 元组的列表， 这里， path 时所需的可执行， 或者资源文件的名字， dir 是在无法找到这些文件或目录时， 去什么地方完成构建和安装以便获得这些文件； 而 target 则用来指定在这个目录中所调用的 target 的名字。 假如 path 以斜线 (/) 开始， 则会当作普通文件， 使用 test -e 来测试； 反之， 则系统会假定这是一个可执行文件， 并且用 which -s 来检测程序是否存在于搜索路径中。 例如， RUN_DEPENDS= ${LOCALBASE}/etc/innd:${PORTSDIR}/news/inn \ wish8.0:${PORTSDIR}/x11-toolkits/tk80 将检查文件， 或者目录 /usr/local/etc/innd 是否存在， 如果找不到， 则将从 port 目录的 news/inn 子目录加以安装。 系统也会检查是否能够在搜索路径中找到名为 wish8.0 的文件， 如果找不到的话， 则会进入 ports 目录中的 x11-toolkits/tk80 子目录， 并进行构建和安装的操作。 这种情况下， innd 实际上是一个可执行文件； 如果可执行文件不会出现在搜索路径中， 您就需要指定完整路径了。 ports 构建集群上官方的搜索 PATH 是 /sbin:/bin:/usr/sbin:/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/X11R6/bin 这个依赖关系会在 install target 的过程中进行检查。 此外， 依赖关系的名字会被放到 package 中， 以便 &man.pkg.add.1; 能够在用户的系统中尚未安装相关软件时自动地安装那些 package。 如果您希望指定一个的 target 和默认的 DEPENDS_TARGET 相同， 则可以略去不写。 <makevar>BUILD_DEPENDS</makevar> (依赖的构建环境) 此变量用于指定用来构建 port 的可执行文件或资源文件。 与 RUN_DEPENDS 类似， 它是一个 path:dir:target 元组的列表。 例如， BUILD_DEPENDS= unzip:${PORTSDIR}/archivers/unzip 将检测名为 unzip 的可执行文件是否存在， 如果不存在， 则会进入到您的 ports 目录中的 archivers/unzip 并完成构建和安装工作。 这里的 build 表示从解压缩到编译的全部过程。 依赖关系是在 extract target 的过程中检测的。 假如您要指定的 target 和 DEPENDS_TARGET 相同， 则可以略去不写。 <makevar>FETCH_DEPENDS</makevar> (依赖的下载环境) 这一变量用于指定 port 在下载时所需的可执行文件或资源文件。 和前两个类似， 它是一组 path:dir:target 元组。 例如， FETCH_DEPENDS= ncftp2:${PORTSDIR}/net/ncftp2 将检测名为 ncftp2 的可执行文件是否存在， 如果找不到， 则将进入到您 ports 目录中的 net/ncftp2 子目录并加以构建和安装。 这个依赖关系是在 fetch target 过程中检查的。 如果与 DEPENDS_TARGET 相同， 则可以省略 target 部分。 <makevar>EXTRACT_DEPENDS</makevar> (依赖的解压缩环境) 此变量用于指定 port 在解压缩时所需的可执行文件或其它资源文件。 和前一个变量类似， 它是一系列 path:dir:target 元组的列表。 例如， EXTRACT_DEPENDS= unzip:${PORTSDIR}/archivers/unzip 将检查名为 unzip 的可执行文件是否存在， 如果不存在， 则会进入到您的 ports 目录中的 archivers/unzip 子目录， 予以构建和安装。 这个依赖关系是在 extract target 的过程中检查的。 如果与 DEPENDS_TARGET 相同， 则可以略去 target 部分。 只有在其它方式都不可用 (默认是 gzip) 而且无法通过 所介绍的 USE_ZIP 或 USE_BZIP2 都不能达到需要时， 才应使用这个变量。 <makevar>PATCH_DEPENDS</makevar> (依赖的打补丁环境) 这个变量用于指定 port 在进行 patch 操作时所需的可执行文件或其它资源文件。 和前一个变量类似， 它是一组 path:dir:target 元组的表。 例如， PATCH_DEPENDS= ${NONEXISTENT}:${PORTSDIR}/java/jfc:extract 表示进入到您的 ports 目录中的 java/jfc 子目录， 并将其解压缩。 这个依赖关系是在 patch target 的过程中检查的。 target 部分如果和 DEPENDS_TARGET 相同， 就可略去不写。 <makevar>USE_<replaceable>*</replaceable></makevar> 提供了一系列变量， 用以封装大量 port 都用到的依赖关系。 虽然使用这些变量是可选的， 但它们能显著减少 port 的 Makefile 复杂性。 这些变量的共同特征在于， 它们的名字都是 USE_* 这样的形式。 这些变量的使用， 应严格限制于 port 的 Makefile 以及 ports/Mk/bsd.*.mk， 而绝不应用于表达用户能够设置的选项 — 这种情况下应采用 WITH_* 和 WITHOUT_* 这样的变量。 任何 情况下， 都不应在 /etc/make.conf 中配置 USE_*。 例如， 设置 USE_GCC=3.2 将导致每一个 port 都依赖于 gcc32， 甚至包括 gcc32 本身！ 常用的 <makevar>USE_<replaceable>*</replaceable></makevar> 变量 变量 含义 USE_BZIP2 此 port 的源码包是使用 bzip2 压缩的。 USE_ZIP 此 port 的源码包是用 zip 压缩的。 USE_BISON 此 port 在构建时使用 bison。 USE_CDRTOOLS 此 port 需要使用 cdrecord， 根据用户的喜好， 可能是 sysutils/cdrtools 或 sysutils/cdrtools-cjk。 USE_GCC 此 port 需要使用某一特定版本的 gcc 才能完成编译。 可以使用类似 3.2 这样的值来精确指定版本。 如果希望使用不低于某一版本的编译器， 则可以用 3.2+ 这样的形式。 如果与所希望的版本吻合， 则将使用基本系统中所提供的 gcc， 反之， 系统会从 ports 中安装所希望版本的 gcc， 并调整 CC 以及 CXX 变量的设置。
与 gmake 和 configure 脚本有关的变量在 中进行了介绍， 而 autoconf、 automake 以及 libtool 的介绍则可以在 找到。 介绍了与 Perl 有关的的变量。 中列出了关于 X11 的变量。 关于 GNOME 的变量在 ， 而关于 KDE 的则在 。 讲述了和 Java 有关的变量， 而 则包含了关于 Apache、 PHP 以及 PEAR 的介绍性信息。 关于 Python， 在 进行了讨论， 而关于 Ruby 的介绍， 则可以在 中找到。 提供了用于 SDL 应用程序的变量介绍， 最后， 包含了关于 Xfce 的信息。 在依赖关系中指定最低版本 在依赖某个其他 port 时， 可以采用下面的句法， 通过除 LIB_DEPENDS 之外的 *_DEPENDS 变量来指定最低版本： p5-Spiffy>=0.26:${PORTSDIR}/devel/p5-Spiffy 第一个字段指明了所依赖 package 的名字， 用以与 package 数据库中的某项匹配， 然后是比较算符， 以及 package 的版本号。 前面的例子中， 如果系统中安装了 p5-Spiffy-0.26 则认为满足了依赖条件。 关于依赖关系的补充说明 如前面所提到的那样， 在需要某一依赖的 port 时， 将调用 DEPENDS_TARGET 所指定的 target。 这一变量的默认值是 install。 这不是一个用户变量， 它不应在 port 的 Makefile 中予以定义。 如果您的 port 需要使用特殊的 target 来处理依赖关系， 应使用 *_DEPENDS 的 :target 部分， 而不是重定义 DEPENDS_TARGET 来完成。 当您输入 make clean 时， 其依赖的 port 也会自动进行清理。 如果您不希望如此， 应定义环境变量 NOCLEANDEPENDS。 如果 port 依赖一些重新构建需要花费很长时间的 port 时， 例如 KDE， GNOME 或 Mozilla 时， 这一方法会非常有用。 要无条件地依赖某个 port， 可以使用 ${NONEXISTENT} 作为 BUILD_DEPENDS 或 RUN_DEPENDS 的第一部分。 只有在您需要使用其它 port 提供的源代码时才应这样做。 通常也可以通过这样指定来缩短编译所需的时间。 例如 BUILD_DEPENDS= ${NONEXISTENT}:${PORTSDIR}/graphics/jpeg:extract 表示依赖 jpeg port 并将其解压缩。 循环的依赖关系是致命的 不要在 ports tree 中引入任何循环依赖关系! ports 构建技术不能够容忍循环依赖关系。 如果您引入了这样的关系， 就一定会有人安装的 FreeBSD 会因此而损坏， 而且这种现象会越来越多。 这些情形很难检测； 如果有疑虑， 在进行这样的修改之前， 务必执行： cd /usr/ports; make index。 这个过程在旧的机器上会很慢， 但能够让大量的用户 — 也包括您自己 — 拯救于由这种问题所造成的困惑之中。 <makevar>MASTERDIR</makevar> (主 port 所在的目录) 如果 port 需要依某些变量的设置 (举例来说， 分辨率或纸型) 来构建略有不同的预编译包， 则可以为每一个这样的包建立不同的目录， 这样可以让用户更容易地看到他们想要安装的版本， 但又能在这些 port 之间共用尽可能多的文件。 一般情况下， 如果运用得当， 除主目录之外都只需要很短的 Makefile。 这些 Makefile 中， 可以用 MASTERDIR 来指定其它文件所在的目录。 另外， 还应使用一个变量作为 PKGNAMESUFFIX 的一部分， 以便为不同的包给出不同的命名。 用例子来阐述这些会更为明晰。 以下是 japanese/xdvi300/Makefile 的部分代码： PORTNAME= xdvi PORTVERSION= 17 PKGNAMEPREFIX= ja- PKGNAMESUFFIX= ${RESOLUTION} : # default RESOLUTION?= 300 .if ${RESOLUTION} != 118 && ${RESOLUTION} != 240 && \ ${RESOLUTION} != 300 && ${RESOLUTION} != 400 @${ECHO_MSG} "Error: invalid value for RESOLUTION: \"${RESOLUTION}\"" @${ECHO_MSG} "Possible values are: 118, 240, 300 (default) and 400." @${FALSE} .endif japanese/xdvi300 也提供了全部常规的补丁， 以及打包用到的文件等等内容。 如果您在那里输入 make， 它将使用默认的分辨率值 (300) 并正常地构建 port。 对于其它分辨率而言， 以下是 完整的 xdvi118/Makefile： RESOLUTION= 118 MASTERDIR= ${.CURDIR}/../xdvi300 .include "${MASTERDIR}/Makefile" (xdvi240/Makefile 和 xdvi400/Makefile 是相似的)。 MASTERDIR 定义会告诉 bsd.port.mk 常规的目录， 例如 FILESDIR 以及 SCRIPTDIR 应在 xdvi300 中查找。 RESOLUTION=118 这行将覆盖在 xdvi300/Makefile 中所作的 RESOLUTION=300 设置， 从而 port 将以分辨率为 118 的设置来构建。 联机手册 MAN[1-9LN] 这些变量， 会自动地将联机手册加到 pkg-plist (这也意味着 不能 在 pkg-plist 中列出联机手册 — 参见 PLIST 的生成 来了解更多细节)。 此外， 这也会让安装阶段自动地根据在 /etc/make.conf 中所作的 NOMANCOMPRESS 设置来自动对联机手册文件执行压缩或解压缩操作。 如果 port 尝试通过使用符号连接或硬连接将联机手册安装为多个名字， 就必须使用 MLINKS 变量来予以明示。 由 port 创建的连接， 将由 bsd.port.mk 删除和重建， 以确认它们指向了正确的文件。 任何在 MLINKS 中列出的文件都不应在 pkg-plist 中再出现。 要指定是否在安装时对联机手册进行压缩， 可以使用 MANCOMPRESSED 变量。 这一变量可以取三种值， yes、 no 和 maybe 之一。 yes 表示联机手册已经以压缩的形式安装， no 表示还没有， 而 maybe 则表示所安装的软件会尊重 NOMANCOMPRESS 的设置值， 因此 bsd.port.mk 不需要特别做什么事情。 如果设置了 USE_IMAKE 而未定义 NO_INSTALL_MANPAGES， MANCOMPRESSED 会自动设为 yes， 反之则是 no。 除非默认值不合适， 否则就不需要在 port 中明确地加以改变。 如果 port 将联机手册放到了 MANPREFIX 之外的其它目录， 则应使用 MANPREFIX 来加以设置。 此外， 如果只有某些部分的联机手册会安装到不标准的位置， 例如某些 perl 模块的 port， 还可以使用 MANsectPREFIX (此处 sect 是 1-9、 L 或 N 之一) 来指定。 如果您的联机手册需要装入专用于某一语言专用的子目录， 需要将 MANLANG 设为那种语言的名字。 此变量的默认值是 "" (也就是只有英语)。 下面是一个综合的例子。 MAN1= foo.1 MAN3= bar.3 MAN4= baz.4 MLINKS= foo.1 alt-name.8 MANLANG= "" ja MAN3PREFIX= ${PREFIX}/share/foobar MANCOMPRESSED= yes 这表示 port 会安装六个文件； ${MANPREFIX}/man/man1/foo.1.gz ${MANPREFIX}/man/ja/man1/foo.1.gz ${PREFIX}/share/foobar/man/man3/bar.3.gz ${PREFIX}/share/foobar/man/ja/man3/bar.3.gz ${MANPREFIX}/man/man4/baz.4.gz ${MANPREFIX}/man/ja/man4/baz.4.gz 此外， ${MANPREFIX}/man/man8/alt-name.8.gz 可能会通过您的 port 安装， 也可能不会。 无论如何， 都会创建一个符号连接， 把 foo(1) 和 alt-name(8) 联机手册连起来。 假如只有部分联机手册是翻译过的， 则可以使用一些根据 MANLANG 内容动态生成的变量： MANLANG= "" de ja MAN1= foo.1 MAN1_EN= bar.1 MAN3_DE= baz.3 这相当于下列文件： ${MANPREFIX}/man/man1/foo.1.gz ${MANPREFIX}/man/de/man1/foo.1.gz ${MANPREFIX}/man/ja/man1/foo.1.gz ${MANPREFIX}/man/man1/bar.1.gz ${MANPREFIX}/man/de/man3/baz.3.gz Info 文件 如果软件包需要安装 GNU info 文件， 则需要在 INFO 变量中一一列出 (不需要指定 .info 后缀)。 系统假定这些文件均会安装到 PREFIX/INFO_PATH 目录中。 如果软件包有需要， 也可以通过修改 INFO_PATH 来指定不同的位置。 不过， 并不推荐这样做。 所有列出的项目均是相对于 PREFIX/INFO_PATH 的文件路径。 例如， lang/gcc33 表示将 info 文件安装到 PREFIX/INFO_PATH/gcc33， 因此 INFO 应写成类似这样： INFO= gcc33/cpp gcc33/cppinternals gcc33/g77 ... 这样安装/卸载代码就会自动地在注册包之前将它们加入到临时的 pkg-plist 中了。 Makefile 选项 某些大型应用程序可以在构建时使用一系列配置选项， 用以在系统中已经安装了某些库或应用程序时增加一些功能。 例如， 选择某种自然 (人类的) 语言， GUI 或命令行界面， 由于并不是所有的用户都希望使用这些库或者应用程序， port 系统提供了一组方便的机制， 来让 port 的作者控制构建时的配置。 支持这些特性可以让用户体验更好， 并达到事半功倍的效果。 开关 (Knobs) <makevar>WITH_<replaceable>*</replaceable></makevar> 和 <makevar>WITHOUT_<replaceable>*</replaceable></makevar> 这些变量是为系统管理员准备的。 许多这样的变量被标准化并置于 ports/Mk/bsd.*.mk； 也有一些没有， 这可能会比较令人困惑。 如果您需要增加类似的配置变量， 请考虑使用下表中的变量。 您不应假定每一个 WITH_* 都会有对应的 WITHOUT_* 变量， 反之亦然。 一般而言， 会使用默认值。 除非另有说明， 这些变量都是测试是否定义， 而不是它们设置了 YES 或 NO。 <makevar>WITH_<replaceable>*</replaceable></makevar> 和 <makevar>WITHOUT_<replaceable>*</replaceable></makevar> 变量 变量 意义 WITH_APACHE2 如果定义了这个变量， 则使用 www/apache20 而不是默认的 www/apache13。 WITH_BERKELEY_DB 这个变量表示所用的 Berkeley 数据库软件包版本， 例如 databases/db41。 WITH_BDB_VER 可以取的值包括 2、 3、 4、 41 和 42。 WITH_MYSQL 这个变量用于指定所用的 MySQL 数据库软件包的版本， 例如 databases/mysql40-server。 WANT_MYSQL_VER 可以取的值， 包括 323、 40、 41 和 50。 WITHOUT_NLS 表示不需要国际化支持， 这可以节省编译所消耗的时间。 默认情况下， 会启用国际化支持。 WITH_OPENSSL_BASE 使用基本系统中的 OpenSSL 版本。 WITH_OPENSSL_PORT 使用通过 security/openssl 安装， 并代替原先随基本系统安装的 OpenSSL 版本。 WITH_POSTGRESQL 这个变量用于指定所需的 PostGreSQL 数据库软件包的版本， 例如 databases/postgresql72。 WITHOUT_X11 如果 port 能够在是否包含 X 支持的情况下分别构建， 则一般情况应该默认以包含 X 支持的配置来构建。 如果定义了这一变量， 则应构建不包含 X 支持的版本。
开关 (knob) 的命名 我们建议 port 的开发人员使用相似的开关， 以便最终用户使用， 并减少开关名称的总数。 最为常用的开关名字可以在 KNOBS 文件中找到。 开关的名字应反映其功能。 如果 port 的 PORTNAME 包括 lib- 前缀， 则开关名中应删去 lib- 前缀。 <makevar>OPTIONS</makevar> (菜单式可选项) 背景 OPTIONS 将为正在安装 port 的用户提供一个包含可用选项的对话框， 并将用户的选择保存到 /var/db/ports/portname/options 中。 下次重新联编 port 时， 这些选项将被再次使用。 这样一来， 就不需要劳神去记忆您之前联编 port 时的那几十个 WITH_* 和 WITHOUT_*选项了！ 当用户运行 make config (或首次运行 make build) 时， 框架会首先检查 /var/db/ports/portname/options。 如果这个文件不存在， 则它会使用 OPTIONS 的值来生成一个可以启用或禁用各个选项的对话框。 随后， 用户的选择将保存到 options 文件中， 并被用于联编 port。 如果新版本的 port 新增了 OPTIONS， 则系统会再次给出对话框， 并根据先前的 OPTIONS 配置预设先前存在的配置。 使用 make showconfig 可以查看保存的配置。 此外， make rmconfig 可以删除已经保存的配置。 语法 OPTIONS 变量的语法是： OPTIONS= OPTION "说明性文字" 默认值 ... 默认值必须是 ON 和 OFF 之一。 这种三元组可以使用多次。 定义 OPTIONS 变量的值， 必须在引用 bsd.port.pre.mk 之前定义。 而 WITH_* 和 WITHOUT_* 只有在引用了 bsd.port.pre.mk 之后才能开始检测。 例子 简单的 <makevar>OPTIONS</makevar> 用法 OPTIONS= FOO "启用 foo 选项" On \ BAR "支持 bar 功能" Off .include <bsd.port.pre.mk> .if defined(WITHOUT_FOO) CONFIGURE_ARGS+= --without-foo .else CONFIGURE_ARGS+= --with-foo .endif .if defined(WITH_BAR) RUN_DEPENDS+= bar:${PORTSDIR}/bar/bar .endif .include <bsd.port.post.mk> 自动激活的特性 在使用 GNU configure 脚本时， 一定要小心有些特性会由其自动检测而激活。 您应通过明确地指定相应的 --without-xxx 或 --disable-xxx 参数到 CONFIGURE_ARGS 来禁用不希望的特性。 处理选项时的错误做法 .if defined(WITH_FOO) LIB_DEPENDS+= foo.0:${PORTSDIR}/devel/foo CONFIGURE_ARGS+= --enable-foo .endif 在前面的例子中， 假设系统中已经安装了 libfoo 库。 用户可能并不希望应用程序使用 libfoo， 因此他在 make config 对话框中关掉了这个选项。 但是， 应用程序的 configure 脚本检测到了系统中存在这个库， 并将其加入到了最终可执行文件支持的功能中。 现在， 如果用户决定从系统中卸载 libfoo 时， ports 系统就无法保护这个应用程序免遭破坏了 (因为没有记录 libfoo 的依赖关系)。 处理选项时的正确做法 .if defined(WITH_FOO) LIB_DEPENDS+= foo.0:${PORTSDIR}/devel/foo CONFIGURE_ARGS+= --enable-foo .else CONFIGURE_ARGS+= --disable-foo .endif 在第二个例子中， libfoo 库被明确禁用。 即使系统中已经安装了这个库， configure 脚本也不会启用相应的功能了。 指定工作临时目录 每个 port 都会被解压缩到一个工作临时目录中， 这个目录必须是可写的。 ports 系统默认情况下会将 DISTFILES 解压缩到一个叫做 ${DISTNAME} 的目录中。 换言之， 如果设了： PORTNAME= foo PORTVERSION= 1.0 则 port 的源码包文件的顶级目录将是 foo-1.0。 如果这不是所希望的情形， 您可以修改一系列变量的设置。 <makevar>WRKSRC</makevar> (开始构建操作的目录名) 这个变量给出了在应用程序的源代码包解压缩之后所生成的目录的名字。 如果我们之前的例子解压缩生成一个叫做 foo (而不是 foo-1.0) 的目录， 您应： WRKSRC= ${WRKDIR}/foo 或者， 也可能是 WRKSRC= ${WRKDIR}/${PORTNAME} <makevar>NO_WRKSUBDIR</makevar> (不需要临时的构建目录) 如果 port 完全不需要写入到某个子目录中， 您应设置 NO_WRKSUBDIR 以明示这一点。 NO_WRKSUBDIR= yes <makevar>CONFLICTS</makevar> (设置与其它包的冲突) 如果您的软件包无法与某些其它软件包共存 (由于文件冲突， 运行环境不兼容， 等等)， 将这些包的名字列在 CONFLICTS 变量中。 此处可以使用 shell 通配符， 如 * 和 ?。 列举软件包的名称时， 应采用 /var/db/pkg 中的形式。 请确认 CONFLICTS 不会匹配它本身， 否则将导致 FORCE_PKG_REGISTER 无法正常工作。 CONFLICTS 会自动地设置 IGNORE， 后者的完整介绍， 可以在 找到。 在删去相互冲突的 port 时， 建议将 CONFLICTS 保留几个月， 以便让那些不经常更新系统的用户能够看到。 安装文件 INSTALL_* 宏 一定要使用由 bsd.port.mk 提供的宏， 以确保在您自己的 *-install target 中能够以正确的属主和权限模式安装文件。 INSTALL_PROGRAM 是安装可执行二进制文件的命令。 INSTALL_SCRIPT 是安装可执行脚本文件的命令。 + + INSTALL_KLD 是用于安装可加载式内核模块的命令。 + 在某些平台上， 当对内核模块进行 strip 之后会导致一些问题， + 因此您应使用这个宏而不是 INSTALL_PROGRAM 来安装内核模块。 + + INSTALL_DATA 是安装可共享数据的命令。 INSTALL_MAN 是安装联机手册和其他文档的命令 (注意它并不会执行压缩操作)。 这些宏展开后基本上都是包含适当参数的 install 命令。 对可执行文件做脱模 (strip) 操作 除非不得不进行， 否则不要手工对可执行文件作脱模操作。 所有文件在安装时都应脱模， 但 INSTALL_PROGRAM 宏会在安装的同时对其进行脱模 (参见下一节的内容)。 如果您需要对某一文件进行脱模， 但不希望使用 INSTALL_PROGRAM 宏， 则应使用 ${STRIP_CMD} 来处理程序。 一般而言这应该在 post-install target 中进行。 例如： post-install: ${STRIP_CMD} ${PREFIX}/bin/xdl 可以使用 &man.file.1; 命令来检查所安装的可执行文件是否进行过脱模。 如果它没有给出 not stripped 的提示， 则表示已经做过脱模了。 另外， &man.strip.1; 不会对已经脱模过的文件重新脱模， 它会直接退出的。 安装一个目录下的全部文件 有时， 会有需要安装大量的文件， 并保持其层次结构， 例如， 将整个目录结构从 WRKSRC 复制到 PREFIX 的目标目录。 针对这种情况， 系统提供了两个宏。 使用这些宏， 而不是直接使用 cp 的优势是它们能够确保目标文件的属主和权限正确。 第一个宏， COPYTREE_BIN 将所有安装的文件视为可执行文件， 因而适合安装文件到 PREFIX/bin。 第二个宏， COPYTREE_SHARE， 则不会设置可执行权限， 因此适合于将文件安装到 PREFIX/share 下。 post-install: ${MKDIR} ${EXAMPLESDIR} (cd ${WRKSRC}/examples/ && ${COPYTREE_SHARE} \* ${EXAMPLESDIR}) 这个例子将原作者提供的整个 examples 目录复制到您 port 指定的安装示范文件的位置。 post-install: ${MKDIR} ${DATADIR}/summer (cd ${WRKSRC}/temperatures/ && ${COPYTREE_SHARE} "June July August" ${DATADIR}/summer/) 这个例子将把夏季的三个月的数据， 复制到 DATADIR 中的 summer 子目录。 经由设置 COPYTREE_* 宏的第三个参数， 您还可以为 find 指定额外的参数。 例如， 如果希望安装除了 Makefile 之外的其他所有文件， 可以使用下述命令。 post-install: ${MKDIR} ${EXAMPLESDIR} (cd ${WRKSRC}/examples/ && \ ${COPYTREE_SHARE} \* ${EXAMPLESDIR} "! -name Makefile") 需要注意的是， 这些宏并不能自动将所安装的文件加到 pkg-plist 中， 您还是需要自行列出它们。 安装附加的文档 如果您的软件包含了标准的联机手册和 info 手册以外的文档， 而且您认为它们对用户会有用， 请把这些文档安装到 PREFIX/share/doc 下。 和前面类似， 这也可以在 post-install target 中完成。 为您的 port 建立一个新的目录。 这个目录的名字应该反映它是属于哪个 port 的。 通常建议使用 PORTNAME。 不过， 如果您认为不同版本的 port 可能会同时安装， 也可以用完整的 PKGNAME。 另外， 应该让是否安装取决于变量 NOPORTDOCS 的设置， 这样用户就能够在 /etc/make.conf 中禁止安装它。 例如： post-install: .if !defined(NOPORTDOCS) ${MKDIR} ${DOCSDIR} ${INSTALL_MAN} ${WRKSRC}/docs/xvdocs.ps ${DOCSDIR} .endif 这里是一些便于使用的变量， 以及它们在 Makefile 中默认的展开方式： DATADIR 会展开成 PREFIX/share/PORTNAME。 DATADIR_REL 会展开成 share/PORTNAME。 DOCSDIR 会展开成 PREFIX/share/doc/PORTNAME。 DOCSDIR_REL 会展开成 share/doc/PORTNAME。 EXAMPLESDIR 会展开成 PREFIX/share/examples/PORTNAME。 EXAMPLESDIR_REL 会展开成 share/examples/PORTNAME。 NOPORTDOCS 只控制将要安装到 DOCSDIR 的那些文档， 而不应影响标准的联机手册以及 info 手册的安装。 安装到 DATADIR 和 EXAMPLESDIR 的文件则相应地受 NOPORTDATA 和 NOPORTEXAMPLES 控制。 这些变量也会被导出到 PLIST_SUB 中。 只要可能， 它们的值就将在那里以相对于 PREFIX 的路径形式出现。 也就是说， share/doc/PORTNAME 在装箱单中默认情况下会替换掉 %%DOCSDIR%%， 等等。 (更多的 pkg-plist 代换可以在 这里 找到。) 所有非无条件安装的文档文件和目录， 都应在 pkg-plist 出现， 并且使用 %%PORTDOCS%% 前缀， 例如： %%PORTDOCS%%%%DOCSDIR%%/AUTHORS %%PORTDOCS%%%%DOCSDIR%%/CONTACT %%PORTDOCS%%@dirrm %%DOCSDIR%% 如果不希望在 pkg-plist 中逐个列举文档文件， port 也可以将 PORTDOCS 设置为一组文件及其 shell glob 模式， 通过这种方式来加入到最终的装箱单中。 这些名字应是相对于 DOCSDIR 的。 因此， 使用了 PORTDOCS， 并将文档安装到非标准位置的 port， 应相应地设置 DOCSDIR。 如果有在 PORTDOCS 中列出目录， 或者这一变量中的 glob 模式匹配到了目录， 则整个子树中的文件和目录， 都将被注册到最终的装箱单中。 如果定义了 NOPORTDOCS， 则 PORTDOCS 中定义的文件和目录将不被安装或加入装箱单。 是否安装文档到前面所说的 PORTDOCS 仍取决于 port 本身。 下面是一个典型的使用 PORTDOCS 的例子： PORTDOCS= README.* ChangeLog docs/* 与 PORTDOCS 类似， 对应于 DATADIR 和 EXAMPLESDIR 的变量分别是 PORTDATA 和 PORTEXAMPLES。 您也可以使用 pkg-message 这个文件， 来在安装时显示一些信息。 参见 关于使用 pkg-message 的这一节 以了解进一步的详情。 需要说明的是， 并不需要把 pkg-message 加到 pkg-plist 中。 子目录 尽可能让 port 将它创建的文件， 放置到 PREFIX 中正确的位置。 一些 port 会把各式各样的东西混在一起， 并放到一个同名的目录中， 这是不对的。 另外， 许多 port 会把除了可执行文件、 头文件和联机手册之外的所有文件， 全都一股脑地放到 lib 中， 这在和 BSD 配合使用时会有问题。 多数文件， 应被放到下列位置之一： etc (安装/配置文件)、 libexec (由系统内部调用的可执行文件)、 sbin (为超级用户/管理员提供的可执行文件)、 info (用于 info 浏览器的文档) 或 share (平台无关的其它文件)。 请参见 &man.hier.7; 以了解进一步的详情； 针对 /usr 的那些规则， 同样也适用于 /usr/local。 例外情况是那些需要和 USENET news 打交道的 port， 它们可以选择采用 PREFIX/news 作为文件的目的地。 特殊情况 有一些您在创建port时的特殊情况，我们在这里提一下。 共享库 如果您的port安装了一个或多个共享库,那么请定义一个 USE_LDCONFIG make 变量， 在post-install标记把它注册进共享库 缓冲时会调用bsd.port.mk去运行 ${LDCONFIG} -m来指向新库的安装目录。 (通常是 PREFIX/lib) 同样，您也可以适当的在您的 pke-plist文件 中定义一组@exec /sbin/ldconfig -m 和@unexec /sbin/ldconfig -R， 那么用户可以在安装后马上 就能使用，并且在卸载软件包后系统也不会认为这些共享库仍然存在。 USE_LDCONFIG= yes 如果您需要把共享库安装在缺省的位置之外， 可以通过定义 make 变量 USE_LDCONFIG 来改变默认的安装路径， 它包含安装共享库的目录列表 例如： 如果您的共享库安装到 PREFIX/lib/foo 和 PREFIX/lib/bar directories目录，您可以在您的 Makefile中这样设置: USE_LDCONFIG= ${PREFIX}/lib/foo ${PREFIX}/lib/bar 请务必仔细检查， 通常这是完全不必要的， 或者可以通过 -rpath 或在连接时设置 LD_RUN_PATH 来避免 (参见 lang/moscow_ml 给出的例子)， 或者用一个 shell 封装程序来在执行可执行文件之前设置 LD_LIBRARY_PATH， 类似 www/mozilla 那样。 当在 64-位系统上安装 32-位 的函数库时， 请使用 USE_LDCONFIG32。 尽量将共享库版本号保持为 libfoo.so.0 这样的格式。 我们的运行环境连接器只会检查主 (第一个) 版本数字。 如果在更新 port 时升级了其库的主版本号， 则其它所有连接了受影响的库的 port 的 PORTREVISION 都应递增， 以强制它们采用新版本的库重新编译。 Ports 的发行限制 众多协议，并且其中的一些致力于 限制怎样的应用程序能被打包， 是否能用于销售赢利等等。 做为一名porter您有义务去阅读软件的协议 并且确保FreeBSD 项目不必为通过FTP/HTTP 或CD-ROM重新发布源码或编译的二进制而解释 什么。如果有任何疑问， 请联系 &a.ports;。 处于这种情况，就可以设置以下描述 的变量。 <makevar>NO_PACKAGE</makevar> (禁止编译结果打包) 这个变量表示我们可能不能生成这个应用 程序的二进制文件。例如，他的协议不允许 二进制文件的再次发行，或者他可能禁止从 补丁过的源代码打包的发行。 不管怎么样，port的 DISTFILES 可以 随意的镜像到FTP/HTTP。除非NO_CDROM 变量也被设置，软件包也可以发行在一张CD-ROM （或类似的媒介上）。 NO_PACKAGE也能用在当二进制包 不是非常有用，并且这个应用软件经常要 从源代码编译。例如：当这个应用软件在 编译的时候要在配置信息中指定特定的硬件 代码时，可以设置NO_PACKAGE。 NO_PACKAGE应该设置成字符串 来描述为什么这个软件 不能打包。 <makevar>NO_CDROM</makevar> (禁止以 CDROM 发行预编译包) 这个变量仅仅指出虽然我们允许 生成二进制包，但也许我们既不能把这个 软件包也不能把port的DISTFILES 放在光盘（或类似的媒介）上销售。但不管怎么样， 二进制包和port的DISTFILES 可以从FTP/HTTP上获得。 如果这个变量和 NO_PACKAGE一起被设置， 那么这个port的DISTFIELS 将只能从FTP/HTTP上获得。 NO_CDROM 应该被设置成一个字符串 来描述为什么这个port不能重新发布在CD-ROM上。 例如：如果这个port的协议仅仅是用于非商业活动 ,那么这个变量就能设置了。 <makevar>NOFETCHFILES</makevar> (不自动抓取指定的文件) 在 NOFETCHFILES 变量中定义的文件， 不会自动从 MASTER_SITES 抓取。 一种典型的用例是， 使用来自某个软件供应商提供的 CD-ROM 上的文件。 用于检查在 MASTER_SITES 上是否包含了所需文件的工具， 应忽略这些文件， 而不是报告它们不存在。 <makevar>RESTRICTED</makevar> (禁止任何形式的再分发) 如果应用程序既不允许镜像其 DISTFILES， 也不允许发布其预编译版本的包， 设置它就可以了。 NO_CDROM 或 NO_PACKAGE 不应与 RESTRICTED 同时设置， 因为它包含了这些情形。 RESTRICTED 应设置为一个说明 port 为何不能发布的串。 典型情况可能是由于 port 包含了专有的软件， 因而用户需要自行下载 DISTFILES， 可能是注册或者同意某一 EULA 的条款。 <makevar>RESTRICTED_FILES</makevar> (禁止某些文件的再分发) 当设置了 RESTRICTED 或 NO_CDROM 时， 这个变量会默认设置为 ${DISTFILES} ${PATCHFILES}， 否则它会为空。 如果只有某些源码包文件是受限的， 则可以用这个变量来指明它们。 注意， port committer 应该在 /usr/ports/LEGAL 中为每一个源码包文件撰写对应的项目， 并介绍这些限制的原因。 构建机制 <command>make</command>、 <command>gmake</command>， 以及 <command>imake</command> 如果 port 用到了 GNU make， 应设置 USE_GMAKE=yes。 用于与 gmake 有关的 port 的变量 变量 意义 USE_GMAKE 此 port 需要使用 gmake 来完成构建过程。 GMAKE 不在 PATH 中时， gmake 的完整路径。
对于 X 应用程序的 port， 如果它使用 imake 根据 Imakefile 文件来生成 Makefile， 则应设置 USE_IMAKE=yes。 这会使构建过程中的配置 (configure) 阶段自动执行 xmkmf -a。 如果 标志会给您的 port 带来麻烦， 则需设置 XMKMF=xmkmf。 如果 port 用到了 imake 但并不使用 install.man target， 则应设置 NO_INSTALL_MANPAGES=yes。 如果 port 源文件的 Makefile 的主构建 target 是 all 以外的名字， 应对应地设置 ALL_TARGET。 对于 install 而言， 对应的变量是 INSTALL_TARGET。 <command>configure</command> 脚本 假如 port 使用 configure 脚本来从 Makefile.in 生成 Makefile 文件， 需要设置 GNU_CONFIGURE=yes。 如果希望传额外的参数给 configure 脚本 (默认参数为 --prefix=${PREFIX} --infodir=${PREFIX}/${INFO_PATH} --mandir=${MANPREFIX}/man ${CONFIGURE_TARGET})， 应通过 CONFIGURE_ARGS 来指定这些参数。 类似地， 可以通过 CONFIGURE_ENV 变量来传递一些环境变量。 如果您的软件包使用 GNU configure， 而生成的可执行文件命名方式 怪异 如 i386-portbld-freebsd4.7-应用程序名， 则需要更进一步地通过改变 CONFIGURE_TARGET 变量来按照较新版本的 autoconf 生成的脚本所希望的方式指定 target。 其方法是， 紧随 Makefile 中 GNU_CONFIGURE=yes 一行之后加入： CONFIGURE_TARGET=--build=${MACHINE_ARCH}-portbld-freebsd${OSREL} 用于用到了 configure 脚本的 port 的变量 变量 意义 GNU_CONFIGURE 此 port 需要用 configure 脚本来准备构建。 HAS_CONFIGURE 与 GNU_CONFIGURE 类似， 但默认的 configure target 并不加入 CONFIGURE_ARGS。 CONFIGURE_ARGS 希望传给 configure 脚本的额外参数。 CONFIGURE_ENV 希望在执行 configure 脚本时设置的环境变量。 CONFIGURE_TARGET 替换默认的 configure target。 其默认值是 ${MACHINE_ARCH}-portbld-freebsd${OSREL}。
使用 <command>scons</command> 如果您的 port 使用 SCons， 就需要定义 USE_SCONS=yes 了。 使用 <command>scons</command> 的 port 会用到的变量 变量 含义 SCONS_ARGS 当前 port 希望传给 SCons 环境的参数。 SCONS_BUILDENV 希望在系统环境中设置的变量。 SCONS_ENV 希望在 SCons 环境中设置的变量。 SCONS_TARGET 传递给 SCons 的最后一个参数， 类似于 MAKE_TARGET。
如果希望让第三方的 SConstruct 尊重通过 SCONS_ENV (其中最重要的是 CC/CXX/CFLAGS/CXXFLAGS 配置) 传给 Scons 的配置， 则需要对 SConstruct 进行修改， 使联编的 Environment 按下列方式建立： env = Environment(**ARGUMENTS) 其后， 可以通过 env.Append 和 env.Replace 来对它进行修改。 利用 GNU autotools 入门 众多 GNU autotools 提供了一种在多重操作系统和机器架构之上构建软件的抽象机制。 在 Ports Collection 中， port 可以通过简单的方法来使用这些工具： USE_AUTOTOOLS= 工具:版本[:操作] ... 撰写本书时， 工具 可以设置为 libtool、 libltdl、 autoconf、 autoheader、 automake 或 aclocal 之一。 版本 用来指定希望使用的工具的特定版本 (参见 devel/{automake,autoconf,libtool}[0-9]+ 以了解有效的版本号)。 操作 是一个可选的扩展选项， 用于修改如何使用工具。 可以同时指定多个不同的工具， 可以在一行中指定， 也可以用 Makefile 的 += 结构。 最后， 可以使用一个特殊的名为 autotools 的工具， 它会安装全部可用的 autotools 版本， 以适应跨平台开发的需要。 您可以通过安装 devel/autotools port 来达到这一目的。 <command>libtool</command> 使用 GNU 构建框架的共享库通常会使用 libtool 来调整共享库的编译和安装， 以便与所运行的操作系统相匹配。 通常的做法是使用应用程序所附带的 libtool 副本。 如果需要使用外部的 libtool， 则可以使用 Ports 套件提供的版本： USE_AUTOTOOLS= libtool:版本[:env] 如果不使用额外的操作符， libtool:版本 表示希望构建框架使用 configure 脚本来对系统所安装的 libtool 进行修补。 这会暗含地定义 GNU_CONFIGURE。 更进一步， 构建框架还会设置一系列 make 和 shell 变量用于 port 后续的操作。 请参见 bsd.autotools.mk 了解进一步的详情。 如果指定了 :env 操作符， 则表示只设置环境， 而跳过其他的操作。 最后， LIBTOOLFLAGS 和 LIBTOOLFILES 可以用来替换最常修改的参数， 以及将被 libtool 修补的文件。 多数 port 不需要这样做。 请参见 bsd.autotools.mk 以了解进一步的细节。 <command>libltdl</command> 一些 ports 会使用 libltdl 库， 后者是 libtool 软件包的一部分。 使用这个库并不意味着必须使用 libtool 本身， 因此提供了另一组结构。 USE_AUTOTOOLS= libltdl:版本 目前， 这一设置所做的全部工作是将 LIB_DEPENDS 设置为适当的 libltdl port， 并作为一项方便的功能， 协助开发人员消除在 USE_AUTOTOOLS 框架以外的， 对于 autotools port 的依赖。 这个工具并不提供其它的操作符。 <command>autoconf</command> 和 <command>autoheader</command> 某些 port 并没有直接提供 configure 脚本， 但包含了作为 autoconf 模板的 configure.ac 文件。 可以用下列设置来要求 autoconf 创建 configure 脚本， 并使用 autoheader 来为 configure 脚本创建模板头文件。 USE_AUTOTOOLS= autoconf:版本[:env] 以及 USE_AUTOTOOLS= autoheader:版本 上述设置会暗含使用 autoconf:版本。 对于 libtool， 设置与前面类似。 如果指定可选的 :env 操作符， 则表示只设置用于后续工作的环境。 如果不指定， 则会对 port 进行相应的修补和重新配置。 其它的可选变量， 如 AUTOCONF_ARGS 和 AUTOHEADER_ARGS 可以通过 port 的 Makefile 来显式地指定替换。 类似 libtool， 多数 port 并不需要这样做。 <command>automake</command> 和 <command>aclocal</command> 某些软件包只提供了 Makefile.am 文件。 这些文件必须首先用 automake 转换为 Makefile.in 并使用 configure 来生成实际的 Makefile。 类似地， 偶尔会有一些软件包不提供构建所需的 aclocal.m4 文件。 这些文件可以通过使用 aclocal 来扫描 configure.ac 或 configure.in 自动生成。 aclocal 与 automake 有和 autoheader 与 autoconf 在前面一节中所介绍的相类似的关系。 aclocal 会暗含使用 automake， 因此： USE_AUTOTOOLS= automake:版本[:env] 和 USE_AUTOTOOLS= aclocal:版本 也自动暗含使用 automake:版本。 与 libtool 类似， autoconf 如果使用了可选的 :env 操作符表示仅仅设置用于后续使用的环境， 如果不设置， 则会对 port 进行重新配置。 对于 autoconf 和 autoheader 而言， automake 和 aclocal 提供了对应的可选参数变量 AUTOMAKE_ARGS 和 ACLOCAL_ARGS， 如果需要的话， 可以在 port 的 Makefile 中指定。 使用 GNU <literal>gettext</literal> 基本用法 如果您的 port 需要使用 gettext， 只要将 USE_GETTEXT 设置为 yes， 您的 port 就会增加对 devel/gettext 的依赖。 USE_GETTEXT 也可以指定为所需的 libintl 库的版本， 它是 gettext 的基本组成部分， 尽管如此， 强烈建议您不要 使用这个功能： 您的 port 应能与目前版本的 devel/gettext 配合工作。 在 port 中相当常见的情况下， 会需要同时使用 gettext 和 configure。 一般而言， GNU configure 能够自动定位到 gettext。 如果它没有成功地完成这项工作， 则可以通过类似下面这样的 CPPFLAGS 和 LDFLAGS 将 gettext 的位置告诉它： USE_GETTEXT= yes CPPFLAGS+= -I${LOCALBASE}/include LDFLAGS+= -L${LOCALBASE}/lib GNU_CONFIGURE= yes CONFIGURE_ENV= CPPFLAGS="${CPPFLAGS}" \ LDFLAGS="${LDFLAGS}" 当然， 不需要传参数给 configure 时， 代码可以更为简练： USE_GETTEXT= yes GNU_CONFIGURE= yes CONFIGURE_ENV= CPPFLAGS="-I${LOCALBASE}/include" \ LDFLAGS="-L${LOCALBASE}/lib" 可选用法 一些软件产品提供了禁用 NLS 的能力， 例如， 在 configure 时， 指定 参数。 如果您 port 的软件支持这种配置， 则应根据 WITHOUT_NLS 的设置来有条件地使用 gettext。 对于比较简单和不太复杂的 port， 您可以使用下列结构： GNU_CONFIGURE= yes .if !defined(WITHOUT_NLS) USE_GETTEXT= yes PLIST_SUB+= NLS="" .else CONFIGURE_ARGS+= --disable-nls PLIST_SUB+= NLS="@comment " .endif 您要做的下一件事是合理地安排装箱单文件， 使其根据用户配置来决定是否将消息编录 (message catalog) 文件放入最终的装箱单。 前面已经介绍了在 Makefile 中所需的写法， 这种做法在 高级 pkg-plist 用法 这节中进行了介绍。 简单地说， 在 pkg-plist 中出现的 %%NLS%% 均会在禁用 NLS 时自动替换为 @comment ， 反之则替换为空串。 这样， 在最终的装箱单中带 %%NLS%% 的行， 在 NLS 关闭的情况下就会变为注释， 反之， 这些前缀就会自动删掉。 现在需要做的事情就是把 %%NLS%% 插到 pkg-plist 中的消息编录文件的那些行开头， 例如： %%NLS%%share/locale/fr/LC_MESSAGES/foobar.mo %%NLS%%share/locale/no/LC_MESSAGES/foobar.mo 在比较复杂的情形中， 您可能需要使用更高级的技术， 例如 动态生成装箱单 等。 处理消息编录目录 在安装消息编录文件时还有一个需要注意的地方。 这些文件会放到 LOCALBASE/share/locale 下与语言对应的目录中， 这些目录一般您的 port 不需要创建和删除。 最常用的语言的目录已经在 /etc/mtree/BSD.local.dist 中列出； 也就是说， 它们是基本系统的一部分。 其他一些语言的目录， 则由 devel/gettext 控制。 您最好查看一下 pkg-plist， 以确定是否正在安装某种不常用语言的文件。 使用 <literal>perl</literal> 如果 MASTER_SITES 设为 MASTER_SITE_PERL_CPAN， 则应尽量把 MASTER_SITE_SUBDIR 设置为顶级目录的名字。 例如， 对 p5-Module-Name 而言推荐的名字是 Module。 您可以在 cpan.org 找到顶级目录的名字。 这可以确保在模块的作者发生变化时， 保持 port 继续可用。 以上规则有一个例外， 即对应目录不存在或源码包不在那个目录中时， 允许使用作者的 id 作为 MASTER_SITE_SUBDIR。 所有这些选项均同时接受 YES 和版本串， 类似 5.8.0+ 这样的写法。 使用 YES 表示 port 能够配合所有受支持的 Perl 版本来使用。 如果 port 只能配合特定版本的 Perl 来使用， 则可以用版本串来表示， 例如最低版本 (如 5.7.3+)、 最高版本 (如 5.8.0-) 或某个具体的版本 (如 5.8.3)。 用于用到 <literal>perl</literal> 的 port 的变量 变量 意义 USE_PERL5 表示 port 将 perl 5 用于构建和运行。 USE_PERL5_BUILD 表示 port 将 perl 5 用于构建。 USE_PERL5_RUN 表示 port 将 perl 5 用于运行。 PERL perl 5 的完整路径， 可能是系统自带的， 或者从 port 安装， 但没有版本号。 如果您需要在脚本中替换 #! 行， 则应使用这个变量。 PERL_CONFIGURE 采用 Perl 的 MakeMaker 进行配置。 这一变量隐含设置 USE_PERL5。 PERL_MODBUILD 使用 Module::Build 进行配置、 构建并安装。 这一变量隐含设置 PERL_CONFIGURE。 只读变量 PERL_VERSION 系统中安装的 perl 的完整版本 (例如， 5.00503)。 PERL_VER 系统中安装的 perl 的短版本 (例如， 5.005)。 PERL_LEVEL 系统中安装的 perl 的版本整数值， 其形式为 MNNNPP (例如， 500503)。 PERL_ARCH perl 保存某平台专用的库的位置。 默认值为 ${ARCH}-freebsd。 PERL_PORT 系统中所安装的 perl port 的名字 (例如， perl5)。 SITE_PERL 站点专用的 perl package 安装路径。 其值会自动加入到 PLIST_SUB 中。
Perl 模块通常并没有官方网站， 这些 port 应将 cpan.org 作为其 pkg-descr WWW 行的内容。 推荐的 URL 格式为 http://search.cpan.org/dist/Module-Name/ (保留最后的斜线)。 使用 X11 X.Org 组件 在 Ports 套件中提供的 X11 实现是 X.Org。 如果您的应用程序用到了 X 组件， 则应将 USE_XORG 设为所需要的那些组件。 目前可用的组件包括： bigreqsproto compositeproto damageproto dmx dmxproto evieproto fixesproto fontcacheproto fontenc fontsproto fontutil glproto ice inputproto kbproto libfs oldx printproto randrproto recordproto renderproto resourceproto scrnsaverproto sm trapproto videoproto x11 xau xaw xaw6 xaw7 xaw8 xbitmaps xcmiscproto xcomposite xcursor xdamage xdmcp xevie xext xextproto xf86bigfontproto xf86dgaproto xf86driproto xf86miscproto xf86rushproto xf86vidmodeproto xfixes xfont xfontcache xft xi xinerama xineramaproto xkbfile xkbui xmu xmuu xorg-server xp xpm xprintapputil xprintutil xpr oto xproxymngproto xrandr xrender xres xscrnsaver xt xtrans xtrap xtst xv xvmc xxf86dga xxf86misc xxf86vm. 最新的列表， 可以在 /usr/ports/Mk/bsd.xorg.mk 中找到。 The Mesa Project 是一个致力于自由的 OpenGL 实现的计划。 您可以使用 USE_GL 变量来让 port 依赖其不同的组件。 可用的选项包括： glut, glu, glw, gl 和 linux。 为了实现向前兼容， 当使用 yes 时系统会自动将其映射为 glu。 使用 USE_XORG 的例子 USE_XORG= xrender xft xkbfile xt xaw USE_GL= glu 许多 ports 会定义 USE_XLIB， 这会导致 port 依赖 50 多个动态连接库。 由于它出现于 X.org 模块化之前， 因此这个变量仅为向前兼容的原因提供， 新的 port 不应再使用它。 用到 X 的 port 可以使用的变量 USE_XLIB 此 port 用到了 X 库。 已过时 - 您应使用 USE_XORG 变量列出用到的 X.Org 组件， 而不是使用这个变量。 USE_IMAKE 此 port 用到了 imake。 USE_X_PREFIX 已过时。 目前其作用与 USE_XLIB 相同， 并可以直接用后者替换。 XMKMF 设置为 xmkmf 的完整路径名， 如果它不在 PATH 中的话。 默认值是 xmkmf -a。
用于表示对 X11 某些组件的依赖关系的变量 X_IMAKE_PORT 用以提供 imake 以及许多其它用于构建 X11 的工具的 port。 X_LIBRARIES_PORT 用以提供 X11 库的 port。 X_CLIENTS_PORT 用以提供 X 客户的 port。 X_SERVER_PORT 用以提供 X 服务的 port。 X_FONTSERVER_PORT 用以提供字体服务的 port。 X_PRINTSERVER_PORT 用以提供打印服务的 port。 X_VFBSERVER_PORT 用以提供在虚拟帧缓存服务(virtual framebuffer server) 的 port。 X_NESTSERVER_PORT 用以提供嵌套 X 服务的 port。 X_FONTS_ENCODINGS_PORT 用以为字体提供编码的 port。 X_FONTS_MISC_PORT 用以提供多种位图字体的 port。 X_FONTS_100DPI_PORT 用以提供 100dpi 位图字体的 port。 X_FONTS_75DPI_PORT 用以提供 75dpi 位图字体的 port。 X_FONTS_CYRILLIC_PORT 用以提供西里尔位图字体的 port。 X_FONTS_TTF_PORT 用以提供 &truetype; 字体的 port。 X_FONTS_TYPE1_PORT 用以提供 Type1 字体的 port。 X_MANUALS_PORT 用以提供面向开发人员的联机手册的 port。
在变量中使用与 X11 有关的变量 # 使用 X11 库并依赖字体服务和西里尔字体。 RUN_DEPENDS= ${X11BASE}/bin/xfs:${X_FONTSERVER_PORT} \ ${X11BASE}/lib/X11/fonts/cyrillic/crox1c.pcf.gz:${X_FONTS_CYRILLIC_PORT} USE_XLIB= yes 需要使用 Motif 的 port 如果您的 port 需要 Motif 库， 则应在 Makefile 中定义 USE_MOTIF。 默认的 Motif 实现是 x11-toolkits/open-motif。 用户可以通过设置 WANT_LESSTIF 变量来选择 x11-toolkits/lesstif 代替它。 bsd.port.mk 会将 MOTIFLIB 变量设置为到合适的 Motif 库的引用。 请使用补丁将您 port 中 Makefile 或 Imakefile 提到 Motif 库的地方改为 ${MOTIFLIB}。 有两种比较常见的情况： 如果 port 中将 Motif 在其 Makefile 或 Imakefile 表达为 -lXm， 则简单地将其替换为 ${MOTIFLIB}。 如果 port 在其 Imakefile 中使用 XmClientLibs， 则将其改为 ${MOTIFLIB} ${XTOOLLIB} ${XLIB}. 注意 MOTIFLIB (通常) 会展开为 -L/usr/X11R6/lib -lXm 或 /usr/X11R6/lib/libXm.a， 所以不需要在其前加入 -L 或 -l。 X11 字体 如果 port 将为 X Window 系统安装字体， 将这些字体放到 X11BASE/lib/X11/fonts/local。 通过 Xvfb 来获得虚拟的 <envar>DISPLAY</envar> 某些应用程序必须在有可用的 X11 显示的时候才能成功编译。 这会给 FreeBSD 预编译包构建集群带来麻烦， 因为它们是不接显示器的。 通过下面的官方 hack， 预编译包构建集群将启动采用虚拟帧缓存的 X server。 这样， 编译过程将有可用的 DISPLAY。 USE_DISPLAY= yes 桌面项 通过利用 DESKTOP_ENTRIES 变量， 可以很容易地在您的 port 中创建桌面项 (Freedesktop 标准)。 这些项会在类似 GNOME 或 KDE 这样的符合这一标准的桌面环境中显示在应用程序菜单中。 这样做会自动创建、 安装 .desktop 文件， 并将其加入 pkg-plist。 其语法为： DESKTOP_ENTRIES= "NAME" "COMMENT" "ICON" "COMMAND" "CATEGORY" StartupNotify 您可以在 Freedesktop 网站上 找到可用的分类名称。 StartupNotify 表示应用程序在支持启动通知的环境中清除状态信息。 例子： DESKTOP_ENTRIES= "ToME" "Roguelike game based on JRR Tolkien's work" \ "${DATADIR}/xtra/graf/tome-128.png" \ "tome -v -g" "Application;Game;RolePlaying" \ false 使用 GNOME FreeBSD/GNOME 项目组使用一组自己的变量来定义 port 所使用的 GNOME 组件。 这些变量的详细列表 可以在 FreeBSD/GNOME 项目的主页找到。 使用 KDE 变量及其含义 用于使用 KDE 的 port 的变量 USE_KDELIBS_VER 表示 port 用到了 KDE 库。 这个变量可以指定使用的 KDE 的主版本， 如果定义了这个变量， 则系统会自动将 USE_QT_VER 设为适当的值。 目前唯一一个可用的值是 3。 USE_KDEBASE_VER 表示 port 要用到 KDE 的基本系统。 这个变量可以指定使用的 KDE 的主版本， 如果定义了这个变量， 则系统会自动将 USE_QT_VER 设为适当的值。 目前唯一一个可用的值是 3。
在 port 中使用 Qt 用于使用 Qt 的 port 的变量 USE_QT_VER 表示 port 用到了 Qt 工具套件。 可用的值包括 3 和 4； 用于指定使用的 Qt 的主版本。 此外， 系统会自动为 configure 脚本和 make 命令提供必要的参数。 QT_PREFIX 这个变量会自动设为 Qt 的安装路径 (只读变量)。 MOC 这个变量会自动设为 moc 的路径 (只读变量)。 默认值与 USE_QT_VER 变量的值有关。 QTCPPFLAGS 通过 CONFIGURE_ENV 传给 Qt 工具套件的编译参数。 默认配置与 USE_QT_VER 有关。 QTCFGLIBS 通过 CONFIGURE_ENV 传给 Qt 工具套件的连接库。 默认配置与 USE_QT_VER 有关。 QTNONSTANDARD 禁止系统自动修改 CONFIGURE_ENV、 CONFIGURE_ARGS 和 MAKE_ENV。
其他用于使用 Qt 4.x 的变量 QT_COMPONENTS 用于指定 Qt4 工具和函数库的依赖。 详情见后。 UIC 这个变量会自动设为 uic 的路径 (只读变量)。 默认值与 USE_QT_VER 有关。 QMAKE 这个变量会自动设为 qmake 的路径 (只读变量)。 其默认值与 USE_QT_VER 有关。 QMAKESPEC 这个变量会自动设为 qmake 配置文件的路径 (只读变量)。 其默认值与 USE_QT_VER 有关。
当设置了 USE_QT_VER 时， 系统自动会给 configure 脚本传一系列有用的参数： CONFIGURE_ARGS+= --with-qt-includes=${QT_PREFIX}/include \ --with-qt-libraries=${QT_PREFIX}/lib \ --with-extra-libs=${LOCALBASE}/lib \ --with-extra-includes=${LOCALBASE}/include CONFIGURE_ENV+= MOC="${MOC}" CPPFLAGS="${CPPFLAGS} ${QTCPPFLAGS}" LIBS="${QTCFGLIBS}" \ QTDIR="${QT_PREFIX}" KDEDIR="${KDE_PREFIX}" 如果将 USE_QT_VER 设为 4， 则还会进行下列配置： CONFIGURE_ENV+= UIC="${UIC}" QMAKE="${QMAKE}" QMAKESPEC="${QMAKESPEC}" MAKE_ENV+= QMAKESPEC="${QMAKESPEC}" 组件的选择 (仅限 Qt 4.x) 当把 USE_QT_VER 设为 4 时， 就可以通过 QT_COMPONENTS 变量来指定对 Qt4 工具和函数库的依赖了。 通过在组件的名称后面添加 _build 或 _run 这样的后缀， 则可相应地将这依赖关系限于联编或运行时刻。 在没有指定后缀时， 系统默认在联编和运行时刻均依赖该组件。 通常情况下在指明函数库一类的组件时应不使用后缀， 联编工具类组件应使用 _build 后缀， 而插件类组件， 则应使用 _run 后缀。 下表中列出了一些最常用的组件 (全部可用的组件， 则在 /usr/ports/Mk/bsd.qt.mk 中的 _QT_COMPONENTS_ALL 列出)： 可用的 Qt4 函数库组件 名字 描述 corelib 核心库 (在 port 只使用 corelib 而没有用到其他库时可以省略) gui 图形用户界面库 network 网络函数库 opengl OpenGL 函数库 qt3support Qt3 兼容支持函数库 qtestlib 单元测试函数库 script 脚本函数库 sql SQL 函数库 xml XML 函数库
您可以通过在成功编译之后， 通过在主可执行文件上运行 ldd 来确定所需的库。 可用的 Qt4 工具组件 名字 描述 moc 元对象编译器 (几乎所有的 Qt 应用程序在联编过程中都需要它) qmake Makefile 生成器 / 联编工具 rcc 资源编译器 (如果应用程序中包含 *.rc 或 *.qrc 文件， 就需要它) uic 用户界面编译器 (如果应用程序中包含使用 Qt Designer 创建的 *.ui 文件时就需要它 - 一般说来 Qt 应用程序都会使用 GUI 的)
可用的 Qt4 插件组件 名字 描述 iconengines SVG 图标引擎插件 (如果应用程序使用 SVG 图标) imageformats 用于 GIF、 JPEG、 MNG 和 SVG 的 imageformat 插件 (如果应用程序使用图片文件)
选择 Qt4 组件 在这个例子中， 我们将要移植的应用程序用到了 Qt4 图形用户界面函数库、 Qt4 核心 (core) 函数库、 所有 Qt4 代码生成工具以及 Qt4 的 Makefile 生成器。 由于 gui 函数库会自动附带对核心函数库的依赖， 因此并不需要明确指出需要 corelib 的依赖关系。 Qt4 代码生成工具 moc、 uic 和 rcc 以及 Makefile 生成器 qmake 只在联编过程中才会用到， 因此可以指定 _build 后缀： USE_QT_VER= 4 QT_COMPONENTS= gui moc_build qmake_build rcc_build uic_build 其他考虑 如果应用程序没有提供 configure 文件， 而是给了一个 .pro 文件， 则应这样： HAS_CONFIGURE= yes do-configure: @cd ${WRKSRC} && ${SETENV} ${CONFIGURE_ENV} \ ${QMAKE} -unix PREFIX=${PREFIX} texmaker.pro 请注意， 这与系统提供的 BUILD.sh 中的 qmake 类似。 传递 CONFIGURE_ENV 能够确保 qmake 可以看到 QMAKESPEC 变量， 否则它可能无法正常工作。 qmake 会生成标准的 Makefile， 因此无需自行编写 build target。 Qt 应用程序通常会编写为能够跨平台使用， 通常 X11/Unix 并不是开发它的平台， 有时这会导致一些边边角角的问题， 例如： 缺少必要的 includepaths。 许多应用程序会使用托盘图标支持， 但忽略了这些头或库文件需要在 X11 目录中查找。 您可以通过命令行告诉 qmake 将这些头文件和函数库加入到搜索路径中， 例如： ${QMAKE} -unix PREFIX=${PREFIX} INCLUDEPATH+=${X11BASE}/include \ LIBS+=-L${X11BASE}/lib sillyapp.pro 有问题的安装路径。 有时， 类似图标或 .desktop 文件这样的一些数据， 默认情况下没有安装到 XDG-兼容的程序会扫描的路径中。 editors/texmaker 就是一个这样的例子 - 请参考这个 port 的 files 目录中的 patch-texmaker.pro， 以了解如何在 Qmake 工程文件中修正这个问题。 使用 Java 变量定义 如果您的 port 需要 Java™ 开发包 (JDK) 来完成构建、 支持运行， 甚至完成解开源代码包这样的工作， 就应该定义 USE_JAVA。 在 Ports Collection 中有许多不同的 JDK， 它们的版本各不相同， 或是来自不同的供应商。 如果您的 port 必须使用其中的某个特定的版本， 也可以予以定义。 最新的稳定版本是 java/jdk15。 用到 Java 的 port 可以使用的变量 变量 意义 USE_JAVA 只有定义它才能使其它变量生效。 JAVA_VERSION 用空格分开的适合 port 使用的 Java 版本。 可选的 "+" 可以用于指定某个范围的版本 (可以用： 1.1[+] 1.2[+] 1.3[+] 1.4[+])。 JAVA_OS 用空格分开的适应 port 的 JDK port 操作系统类型 (可以用： native linux)。 JAVA_VENDOR 用空格分开的适应 port 的 JDK port 供应商 (可以用： freebsd bsdjava sun ibm blackdown)。 JAVA_BUILD 设置这个变量表示所选的 JDK port 应被列入 port 的构建依赖关系。 JAVA_RUN 设置这个变量表示所选的 JDK port 应被列入 port 的运行环境依赖关系。 JAVA_EXTRACT 设置这个变量表示所选的 JDK port 应被列入 port 的解压缩支持依赖关系。 USE_JIKES port 是否应使用 jikes bytecode 编译器进行构建。 如果没有设置， 则 port 将在 jikes 可用的情况下在构建时使用它。 您也可以明确地禁止使用或要求使用 jikes (通过将这个变量设置为 'no' 或 'yes')。 后一种情形中， devel/jikes 将加入 port 的构建依赖关系。 任何情况下， 如果 jikes 被作为 javac 使用， 则 bsd.java.mk 会定义 HAVE_JIKES 变量。
下面是在设置了 USE_JAVA 之后， port 能够从系统中获得的配置： 向使用了 Java 的 port 提供的变量 变量 值 JAVA_PORT JDK port 的名字 (例如 'java/jdk14')。 JAVA_PORT_VERSION JDK port 的完整版本 (例如 '1.4.2')。 如果您只需要版本号的前两位， 则可用 ${JAVA_PORT_VERSION:C/^([0-9])\.([0-9])(.*)$/\1.\2/}。 JAVA_PORT_OS 所用 JDK port 的操作系统 (例如 'linux')。 JAVA_PORT_VENDOR 所用 JDK port 的供应商 (例如 'sun')。 JAVA_PORT_OS_DESCRIPTION 所用 JDK port 操作系统的描述 (例如 'Linux')。 JAVA_PORT_VENDOR_DESCRIPTION 所用 JDK port 供应商的描述 (例如 'FreeBSD Foundation')。 JAVA_HOME JDK 的安装目录 (例如 '/usr/local/jdk1.3.1')。 JAVAC 所用 Java 编译器的完整路径 (例如 '/usr/local/jdk1.1.8/bin/javac' 或 '/usr/local/bin/jikes')。 JAR 所用 jar 工具的完整路径 (例如 '/usr/local/jdk1.2.2/bin/jar' 或 '/usr/local/bin/fastjar')。 APPLETVIEWER 所用 appletviewer 工具的完整路径 (例如 '/usr/local/linux-jdk1.2.2/bin/appletviewer')。 JAVA 所用 java 执行文件的完整路径。 您应使用它来执行 Java 程序 (例如 '/usr/local/jdk1.3.1/bin/java')。 JAVADOC 所用 javadoc 工具的完整路径。 JAVAH 所用 javah 程序的完整路径。 JAVAP 所用 javap 程序的完整路径。 JAVA_KEYTOOL 所用 keytool 工具的完整路径。 只有当 JDK 是 Java 1.2 或更高版本时才可用。 JAVA_N2A 所用 native2ascii 工具的完整路径。 JAVA_POLICYTOOL 所用 policytool 程序的完整路径。 只有当 JDK 是 Java 1.2 或更高版本时才可用。 JAVA_SERIALVER 所用 serialver 程序的完整路径。 RMIC 所用 RMI 桩/架 生成器， rmic 的完整路径。 RMIREGISTRY 所用 RMI 注册表程序， rmiregistry 的完整路径。 RMID 所用 RMI 服务程序 rmid 的完整路径。 只有当 JDK 是 Java 1.2 或更高版本时才可用。 JAVA_CLASSES 所用 JDK 类文件目录的完整路径。 对 JDK 1.2 和更高版本的环境而言， 这应该是 ${JAVA_HOME}/jre/lib/rt.jar。 更早版本的 JDK 则使用 ${JAVA_HOME}/lib/classes.zip。 HAVE_JIKES 随 jikes 是否将被应用于 port 的构建过程而定 (参见前述 USE_JIKES)。
您可以使用 java-debug make target 以获取用于调试 port 的信息。 大多数前述变量的值皆会予以呈现。 此外， 还会定义下述常量， 以确保所有的 Java port 均以一致之方式安装： 为使用 Java 的 port 定义的常量 常量 值 JAVASHAREDIR 所有 Java 相关资料的安装根目录。 默认值： ${PREFIX}/share/java. JAVAJARDIR 用以安装 JAR 文件的目录。 默认值： ${JAVASHAREDIR}/classes。 JAVALIBDIR 其它 port 安装的 JAR 文件所在的目录。 默认值： ${LOCALBASE}/share/java/classes。
相关的项也会定义在 PLIST_SUB (在 中进行介绍) 和 SUB_LIST 中。 采用 Ant 进行构建 如果 port 采用 Apache Ant 进行构建， 则需要定义 USE_ANT。 如是， 则 Ant 将作为 子-make 命令来使用。 如果 port 未定义 do-build target， 则将默认依 MAKE_ENV、 MAKE_ARGS 和 ALL_TARGETS. 的设置执行 Ant。 这类似于 中介绍的关于 USE_GMAKE 的机制。 若 jikes 被作为 javac 使用 (参见 中的 USE_JIKES)， 则 Ant 会自动将其用于 port 的构建过程。 最佳实践 如果您正移植某个 Java 库， 您的 port 应把 JAR 文件安装到 ${JAVAJARDIR}， 而其它文件则应放在 ${JAVASHAREDIR}/${PORTNAME} 下 (除了文档， 参见下文)。 要减少打包文件的尺寸， 您可以直接在 Makefile 中引用这些 JAR 文件， 具体做法是使用下面的语句 (此处的 myport.jar 是作为 port 一部分安装的 JAR 文件的名字)： PLIST_FILES+= %%JAVAJARDIR%%/myport.jar 移植 Java 应用程序时， port 通常会希望将所有文件安装到同一目录 (包括其依赖的 JAR)。 这时强烈建议使用 ${JAVASHAREDIR}/${PORTNAME}。 移植软件的开发人员， 可以自行决定是否将所依赖的其它 JAR 安装到此目录， 或直接使用已经装好的那些 (来自 ${JAVAJARDIR})。 无论您正制作哪一类的 port (库或者应用程序)， 附加的文档都应安装到和其它 port 同样的位置。 已经知道， JavaDoc 会根据 JDK 版本的不同而产生不同的文件。 对于那些不打算强制使用某一特定版本 JDK 的 port 而言， 这无疑提高了制作装箱单 (pkg-plist) 的难度。 这是为什么强烈建议使用 PORTDOCS 宏的原因。 更进一步， 即使您能够预测 javadoc 将要生成的文件， 所需的 pkg-plist 的尺寸， 也是鼓吹使用 PORTDOCS 的一大理由。 DATADIR 的默认值是 ${PREFIX}/share/${PORTNAME}。 对 Java port 而言将 DATADIR 改为 ${JAVASHAREDIR}/${PORTNAME} 是一个好主意。 当然， DATADIR 会自动加到 PLIST_SUB 中 (在 有所介绍) 因此您可以在 pkg-plist 中直接使用 %%DATADIR%%。 撰写本文时， 对是应该从源代码构建， 还是直接安装预编译的 Java ports 安装包并没有明确的规定。 尽管如此， &os; Java Project 的开发人员仍鼓励移植软件的开发者在不麻烦的情况下尽可能从源代码完成构建。 本节中所介绍的全部特性， 均是在 bsd.java.mk 中实现的。 如果您感觉自己的 port 需要更为复杂的 Java 支持， 请首先参阅 bsd.java.mk CVS 日志， 因为通常撰文介绍最新特性需要一些时间。 此外， 如果您认为所缺少的支持对许多其它 Java port 亦属有益， 请在 &a.java; 对其进行讨论。 在 PR 中的 java 类别， 主要是用于 &os; Java project 移植 JDK 本身之用。 因而， 提交您的 Java port 时， 应归入 ports 类别， 除非您正尝试解决的问题是 JDK 实现本身或 bsd.java.mk 的。 类似地， 您应参考 中所详述的关于 CATEGORIES 在 Java port 中的使用规则。 Web 应用， Apache 和 PHP Apache 用到 Apache 的 port 可以使用的变量 USE_APACHE 此 port 需要 Apache。 可用的值： yes (任意可用版本)、 1.3、 2.0、 2.2、 2.0+、 等等。 默认依赖的版本是 1.3。 WITH_APACHE2 此 port 需要 Apache 2.0。 如果没有这个变量， 则 port 将依赖 Apache 1.3。 这一变量目前已经过时， 因而不应继续使用。 APXS 到 apxs 可执行文件的完整路径。 您可以在 port 中替代该值。 HTTPD 到 httpd 可执行文件的完整路径。 您可以在 port 中替代该值。 APACHE_VERSION 目前系统中安装的 Apache 版本 (只读变量)。 这一变量只有在引用了 bsd.port.pre.mk 之后才能使用， 其可能的值为： 13、 20、 22。 APACHEMODDIR Apache 模块所在的文件夹。 在 pkg-plist 中， 这一变量会自动展开。 APACHEINCLUDEDIR Apache 头文件所在的文件夹。 在 pkg-plist 中， 这一变量会自动展开。 APACHEETCDIR Apache 配置文件所在的文件夹。 在 pkg-plist 中， 这一变量会自动展开。
在移植 Apache 模块时比较有用的变量 MODULENAME 模块的名称。 默认值为 PORTNAME。 例如： mod_hello SHORTMODNAME 模块的简略名字。 默认情况下会自动根据 MODULENAME 计算， 但您也可以自行设置值来替代它。 例如： hello AP_FAST_BUILD 使用 apxs 来编译和安装模块。 AP_GENPLIST 同时自动创建 pkg-plist。 AP_INC 在编译过程中， 将指定的目录加入到搜索头文件的目录中。 AP_LIB 在编译过程中， 将指定的目录加入到搜索函数库的目录中。 AP_EXTRAS 传递给 apxs 的额外参数。
Web 应用 Web 应用程序应安装到 PREFIX/www/应用程序的名字。 为方便起见， 这个路径在 Makefile 和 pkg-plist 均以 WWWDIR 变量的形式提供。 在 Makefile 中可以使用 WWWDIR_REL 来表示包含了 PREFIX 的该变量值。 web 服务器进程所用的用户和用户组， 分别以 WWWOWN 和 WWWGRP 变量的形式提供， 如果您需要修改某些文件的属主的话。 这两个变量的默认值均为 www。 如果您的 port 希望使用其他值， 请使用 WWWOWN?= myuser 这种写法， 以便让用户能够更容易地修改它。 除非您的 port 必需使用 Apache， 否则不要将其写入依赖关系。 请尊重运行您的应用程序的用户选择 Apache 以外的其他 web 服务器的需求。 PHP 用到 PHP 的 port 中可以使用的变量 USE_PHP 此 port 需要 PHP。 取值为 yes 将把 PHP 加入依赖关系。 此外， 还可以在此指定将所需要的 PHP 扩展模块。 例如： pcre xml gettext DEFAULT_PHP_VER 选择在没有安装 PHP 时自动安装的 PHP 主版本。 默认是 4。 可选 4、 5 之一。 IGNORE_WITH_PHP 此 port 无法与给定版本的 PHP 一同工作。 可选值为 4、 5 之一。 USE_PHPIZE 此 port 将作为 PHP 扩展模块进行构建。 USE_PHPEXT 此 port 将作为 PHP 扩展， 且需要作为扩展模块注册。 USE_PHP_BUILD 构建依赖于 PHP。 WANT_PHP_CLI 希望使用 CLI (命令行) 版本的 PHP。 WANT_PHP_CGI 希望使用 CGI 版本的 PHP。 WANT_PHP_MOD 希望使用 Apache 模块版本的 PHP。 WANT_PHP_SCR 希望使用 CLI 或 CGI 版本的 PHP。 WANT_PHP_WEB 希望使用 Apache 模块或 CGI 版本的 PHP。
PEAR 模块 移植 PEAR 模块的过程非常简单。 使用 FILES、 TESTS、 DATA、 SQLS、 SCRIPTFILES、 DOCS 以及 EXAMPLES 这些变量来指明您希望安装的文件。 所有这里列出的文件都会自动安装到合适的位置， 并加入 pkg-plist。 在 Makefile 文件的最后一行引入 ${PORTSDIR}/devel/pear/bsd.pear.mk。 用于 PEAR 类的 Makefile 例子 PORTNAME= Date PORTVERSION= 1.4.3 CATEGORIES= devel www pear MAINTAINER= example@domain.com COMMENT= PEAR Date and Time Zone Classes BUILD_DEPENDS= ${PEARDIR}/PEAR.php:${PORTSDIR}/devel/pear-PEAR RUN_DEPENDS= ${BUILD_DEPENDS} FILES= Date.php Date/Calc.php Date/Human.php Date/Span.php \ Date/TimeZone.php TESTS= test_calc.php test_date_methods_span.php testunit.php \ testunit_date.php testunit_date_span.php wknotest.txt \ bug674.php bug727_1.php bug727_2.php bug727_3.php \ bug727_4.php bug967.php weeksinmonth_4_monday.txt \ weeksinmonth_4_sunday.txt weeksinmonth_rdm_monday.txt \ weeksinmonth_rdm_sunday.txt DOCS= TODO _DOCSDIR= . .include <bsd.port.pre.mk> .include "${PORTSDIR}/devel/pear/bsd.pear.mk" .include <bsd.port.post.mk> 使用 Python Ports 套件支持同时并行安装多个不同的 Python 版本。 Ports 应确保能够根据用户配置的 PYTHON_VERSION 变量使用正确的 python 解释器。 一般说来， 这是通过将脚本中的 python 路径名替换为 PYTHON_CMD 变量的值来实现的。 在 PYTHON_SITELIBDIR 下安装文件的 ports 应在包名上使用 pyXY- 前缀， 以便明示它们将会配合哪个 Python 版本使用。 PKGNAMEPREFIX= ${PYTHON_PKGNAMEPREFIX} 对用到 Python 的 port 最有用的一些变量 USE_PYTHON 此 port 需要 Python。 可以用 2.3+ 这样的形式来指定所希望的版本。 除此之外， 也可以用横线来分隔两个版本号， 以表示某个范围的版本， 例如： 2.1-2.3 USE_PYDISTUTILS 使用 Python distutils 来完成配置、 编译和安装。 对包含 setup.py 的 port 而言这是必需的。 它会自动覆盖默认的 do-build 以及 do-install 这两个 target。 如未定义 GNU_CONFIGURE， 它还会改变 do-configure。 PYTHON_PKGNAMEPREFIX 作为 PKGNAMEPREFIX 来区分不同 Python 版本的 package。 例如： py24- PYTHON_SITELIBDIR 全站 package 所在的目录， 它包括了 Python 的安装目录 (通常是 LOCALBASE)。 在安装 Python 模块时， PYTHON_SITELIBDIR 变量会非常有用。 PYTHONPREFIX_SITELIBDIR 去掉了 PREFIX 部分的 PYTHON_SITELIBDIR。 应尽可能在 pkg-plist 中使用 %%PYTHON_SITELIBDIR%%。 %%PYTHON_SITELIBDIR%% 的默认值是 lib/python%%PYTHON_VERSION%%/site-packages PYTHON_CMD Python 解释器的命令行， 包括版本号。 PYNUMERIC 将数值处理扩展模块加入依赖关系。 PYNUMPY 对新增的数值计算扩展, numpy的依赖。 (PYNUMERIC 目前已被作者淘汰)。 PYXML 将 XML 扩展模块加入依赖关系。 (对于 Python 2.0 和更高版本不再需要， 因为它已经成为了标准组件)。 USE_TWISTED 将 twistedCore 加入依赖关系。 也可以用这个变量指定所需的组件， 例如： web lore pair flow USE_ZOPE 加入对 Zope， 一种 web 应用平台的依赖。 这会把 Python 依赖改为 Python 2.3。 此外 ZOPEBASEDIR 也会自动设为 Zope 安装目录的位置。
完整的可用变量列表， 可以在 /usr/ports/Mk/bsd.python.mk 中找到。 使用 Emacs 本节尚有待撰写。 使用 Ruby 使用 Ruby 的 port 可以使用的变量 变量 说明 USE_RUBY 此 port 需要 Ruby。 USE_RUBY_EXTCONF 此 port 使用 extconf.rb 来完成配置。 USE_RUBY_SETUP 此 port 使用 setup.rb 来完成配置。 RUBY_SETUP 将此变量名设置为所用的 setup.rb 的文件名。 通常会是 install.rb。
下表展示了 ports 系统提供给 port 作者的一些变量。 您应使用这些变量， 以便把文件装到合适的位置。 请尽可能多地在 pkg-plist 中使用它们。 这些变量不应在 port 中重新定义。 使用 Ruby 的 port 中的一些可用的只读变量 变量 说明 示范值 RUBY_PKGNAMEPREFIX 作为 PKGNAMEPREFIX 以区分用于不同 Ruby 版本的 package。 ruby18- RUBY_VERSION x.y.z 形式的完整 ruby 版本。 1.8.2 RUBY_SITELIBDIR 平台无关库的安装路径。 /usr/local/lib/ruby/site_ruby/1.8 RUBY_SITEARCHLIBDIR 平台相关的库的安装路径。 /usr/local/lib/ruby/site_ruby/1.8/amd64-freebsd6 RUBY_MODDOCDIR 模块文档的安装路径。 /usr/local/share/doc/ruby18/patsy RUBY_MODEXAMPLESDIR 模块用例的安装路径。 /usr/local/share/examples/ruby18/patsy
可用变量的完整列表， 可以在 /usr/ports/Mk/bsd.ruby.mk 中找到。 使用 SDL 变量 USE_SDL 可以用于自动配置 port 的依赖关系， 以适应使用类似 devel/sdl12 和 x11-toolkits/sdl_gui 这些依赖 SDL 的库的情形。 目前系统能够识别下列 SDL 库： sdl: devel/sdl12 gfx: graphics/sdl_gfx gui: x11-toolkits/sdl_gui image: graphics/sdl_image ldbad: devel/sdl_ldbad mixer: audio/sdl_mixer mm: devel/sdlmm net: net/sdl_net sound: audio/sdl_sound ttf: graphics/sdl_ttf 因此， 如果 port 需要依赖 net/sdl_net 和 audio/sdl_mixer， 则对应的写法将是： USE_SDL= net mixer 同时， net/sdl_net 和 audio/sdl_mixer 所依赖的 devel/sdl12 也会被自动地加入。 加入您使用 USE_SDL， 它将自动地： 将对于 sdl12-config 的依赖关系加入到 BUILD_DEPENDS 将变量 SDL_CONFIG 加入到 CONFIGURE_ENV 将对所选的库的依赖， 加入到 LIB_DEPENDS 要检查某个特定的 SDL 库是否可用， 可以通过 WANT_SDL 变量来达到目的： WANT_SDL=yes .include <bsd.port.pre.mk> .if ${HAVE_SDL:Mmixer}!="" USE_SDL+= mixer .endif .include <bsd.port.post.mk> 使用 <application>wxWidgets</application> 这一节介绍了在 ports tree 中的 wxWidgets 库的现状， 以及它与 ports 系统的集成。 介绍 许多不同版本的 wxWidgets 库之间是存在相互冲突的 (它们会安装同名的文件) 在 ports 系统中， 这一问题是通过将不同的版本以包含版本号后缀的名字安装来解决的。 这样做的一个最明显的缺点是， 应用程序必须进行修改， 才能找到所希望的版本。 幸运的是， 多数应用程序会调用 wx-config 脚本来确定需要的编译器和连接器选项。 这个脚本会随可用的版本不同而有不同的名字。 主要的应用程序都会尊重环境变量的配置， 或提供一个 configure 参数， 用以指定调用哪个 wx-config。 如果不是这样的话， 就需要对应用程序打补丁了。 版本的选择 为了让您的 port 使用指定版本的 wxWidgets， 可以定义两个变量 (如果只定义了一个， 则另一个会取默认值)： 用于选择 <application>wxWidgets</application> 版本的变量 变量 说明 默认值 USE_WX 列出这个 port 能使用的版本 全部版本 USE_WX_NOT 列出这个 port 不能使用的版本 无
下面是可用的 wxWidgets 版本， 以及对应的 ports： 可用的 <application>wxWidgets</application> versions 版本 Port 2.4 x11-toolkits/wxgtk24 2.6 x11-toolkits/wxgtk26 2.8 x11-toolkits/wxgtk28
从 2.5 版开始， 也提供了对应的 Unicode 版本， 这种版本可以通过 slave port 安装， 与普通版本相比， 它会多一个 -unicode 后缀， 不过这可以通过使用变量来处理 (请参见 )。 在 中的变量， 可以设为下列值或由空格分隔的组合： <application>wxWidgets</application> 版本 说明 例子 单个版本 2.4 某版本以上版本 2.4+ 某版本以下版本 2.6- 某段版本 (版本号较小的必须在前) 2.4-2.6
除此之外， 还有一些用以从可用的本那本中选择所希望的版本的变量。 这种变量也可以设为一组版本， 而靠前的版本的优先级更高。 用于选择希望的版本的 <application>wxWidgets</application> versions 变量名 用于 WANT_WX_VER port WITH_WX_VER 用户
选择组件 也有一些其他应用， 尽管它们本身并不是 wxWidgets 库， 但却与之相关。 这些应用程序可以在 WX_COMPS 变量中使用， 以下是可用的组件： 可用的 <application>wxWidgets</application> 组件 名称 说明 版本限制 wx 主库 无 contrib 第三方库 无 python wxPython (Python 绑定) 2.4-2.6 mozilla wxMozilla 2.4 svg wxSVG 2.6
您可以为每个依赖的组件， 通过冒号分隔的后缀指定其类型。 如果没有指定， 则会使用默认的依赖类型 (参见 )。 下面是可用的类型： 可用的 <application>wxWidgets</application> 依赖类型 名称 说明 build 联编时需要该组件， 相当于 BUILD_DEPENDS run 运行时需要该组件， 相当于 RUN_DEPENDS lib 联编和运行时均需要该组件， 相当于 LIB_DEPENDS
组件的默认依赖关系类型， 如下表所示： 默认的 <application>wxWidgets</application> 依赖关系类型 组件 依赖关系类型 wx lib contrib lib python run mozilla lib svg lib
选择 <application>wxWidgets</application> 组件 下面的片段展示了使用 wxWidgets 版本 2.4 及第三方库的方法。 USE_WX= 2.4 WX_COMPS= wx contrib Unicode wxWidgets 库从其 2.5 版开始支持 Unicode 了。 在 ports 系统中， 这两种版本均有提供， 并可以通过下列变量来选择： 用以在 Unicode 版本的 <application>wxWidgets</application> 的变量 变量 说明 作用 WX_UNICODE 该 port 只能 配合 Unicode 版本使用 port WANT_UNICODE port 能够与两种版本配合使用， 但希望使用 Unicode 版本 port WITH_UNICODE 令 port 使用 Unicode 版本 用户 WITHOUT_UNICODE 令 port 使用普通版本， 如果支持的话 (即未定义 WX_UNICODE) 用户
如果 port 同时支持 Unicode 和普通版本， 请不要使用 WX_UNICODE。 如果希望默认启用 Unicode， 应定义 WANT_UNICODE。 检测已安装的版本 要检测系统中安装的版本， 就需要定义 WANT_WX。 如果没有将其设置为特定的版本， 则组件将包含版本后缀。 HAVE_WX 变量在检测完成后会自动填入内容。 检测已安装的 <application>wxWidgets</application> 版本和组件 下面的片段可以在安装 wxWidgets 的系统中令 port 使用它， 反之则作为一项选项提供。 WANT_WX= yes .include <bsd.port.pre.mk> .if defined(WITH_WX) || ${HAVE_WX:Mwx-2.4} != "" USE_WX= 2.4 CONFIGURE_ARGS+=--enable-wx .endif 下面的片段在系统中有安装过时启用 wxPython 支持， 或在没有安装时作为选项提供； 对 wxWidgets 也是如此办理， 版本皆为 2.6。 USE_WX= 2.6 WX_COMPS= wx WANT_WX= 2.6 .include <bsd.port.pre.mk> .if defined(WITH_WXPYTHON) || ${HAVE_WX:Mpython} != "" WX_COMPS+= python CONFIGURE_ARGS+=--enable-wxpython .endif 定义的变量 以下是一些可以在 port 中使用的变量 (这之前需要定义 中的至少一个变量)。 为使用 <application>wxWidgets</application> 的 port 定义的变量 变量名 说明 WX_CONFIG 到 wxWidgets wx-config 脚本的路径 (名字会随版本不同而不同) WXRC_CMD 到 wxWidgets wxrc 程序的路径 (名字会随版本不同而不同) WX_VERSION 将要用到的 wxWidgets 版本 (例如， 2.6) WX_UNICODE 如果没有定义， 而将会使用 Unicode 时， 系统将自动定义此变量。
在 <filename>bsd.port.pre.mk</filename> 中进行处理 如果您需要在引用了 bsd.port.pre.mk 之后立即对一些变量进行处理， 则需要定义 WX_PREMK。 如果定义了 WX_PREMK， 则在此 之后 定义的依赖关系、 组件和变量将不会生效， 您在引用 bsd.port.pre.mk 之前的 wxWidgets port 变量将直接起作用。 在命令中使用 <application>wxWidgets</application> 变量 下面的片段以执行 wx-config 脚本来得到完整的版本号， 将其赋值到变量中， 并传递给一个程序举例说明了 WX_PREMK 的用法。 USE_WX= 2.4 WX_PREMK= yes .include <bsd.port.pre.mk> .if exists(${WX_CONFIG}) VER_STR!= ${WX_CONFIG} --release PLIST_SUB+= VERSION="${VER_STR}" .endif 在 target 中的 wxWidgets 变量可以直接使用， 而无需 WX_PREMK 的参与。 额外的 <command>configure</command> 参数 某些 GNU configure 脚本在只设置了 WX_CONFIG 环境变量时， 无法自动找到 wxWidgets， 而需要使用额外的参数来加以指定。 您可以使用 WX_CONF_ARGS 变量来给出这些参数。 可用于 <makevar>WX_CONF_ARGS</makevar> 的值 可用值 结果 absolute --with-wx-config=${WX_CONFIG} relative --with-wx=${X11BASE} --with-wx-config=${WX_CONFIG:T}
使用 <application>Lua</application> 这一节描述了在 ports 系统中的 Lua 库的现状， 以及它与 ports 系统的集成。 介绍 许多不同版本的 Lua 库和相关的解释器之间是相互冲突的 (它们会安装同名的文件)。 在 ports 系统中， 这一问题是通过将不同版本的文件以不同的版本号作为后缀名解决的。 这样做最大的一个问题是， 每个程序都需要进行修改才能找到它所需要的版本。 不过， 通过将适当的参数传给编译器和连接器很容易解决这个问题。 选择版本 要让您的 port 使用指定版本的 Lua， 可以定义两个变量的值 (如果只定义了其中的一个， 则另一个会使用默认值)： 用于选择 <application>Lua</application> 版本的变量 变量 说明 默认值 USE_LUA port 能够使用的 Lua 版本列表 全部可用版本 USE_LUA_NOT 与 port 不兼容的版本列表 无
下面是目前 ports 系统提供的可用 Lua 版本和对应的目录： 可用的 <application>Lua</application> 版本 版本 Port 4.0 lang/lua4 5.0 lang/lua50 5.1 lang/lua
在 中的变量， 可以设置为下面的版本之一， 或用空格分隔的若干版本： 指定 <application>Lua</application> 版本 说明 例子 一个版本 4.0 某个版本或更高版本 5.0+ 不高于某个版本 5.0- 版本范围 (低版本必须在前) 5.0-5.1
除此之外， 也有一些用来从可用版本中选择推荐版本的其它变量。 这些变量也可以设置为一组版本， 而前面的版本优先级较高。 用于选择推荐 <application>Lua</application> 版本的变量 变量名 用于 WANT_LUA_VER port WITH_LUA_VER 用户
选择 <application>Lua</application> 版本 下面是一个用到 Lua 版本 5.0 或 5.1， 并默认使用 5.0 的 port 的片段。 这个默认值可以通过 WITH_LUA_VER 来另外指定。 USE_LUA= 5.0-5.1 WANT_LUA_VER= 5.0 组件的选择 也有一些其它的应用， 尽管本身并不是 Lua 库， 但却与它们相关。 这些应用可以通过 LUA_COMPS 变量来指定。 可用的组件如下： 可用的 <application>Lua</application> 组件 名字 说明 版本限制 lua 主库 无 tolua 用于访问 C/C++ 代码的库 4.0-5.0 ruby Ruby 绑定 4.0-5.0
还有一些其它的组件， 但这些组件是由解释器， 而不是由应用程序使用的 (也就是不被其它模块使用)。 每个组件的依赖关系类型可以通过手工添加分隔符为冒号的后缀来指定。 如果不指定， 则会采用默认类型 (请参见 )。 以下是可用的依赖关系类型： 可用的 <application>Lua</application> 依赖关系类型 名字 说明 build 这个组件是联编过程所必需的， 相当于 BUILD_DEPENDS run 在运行时需要这个组件， 相当于 RUN_DEPENDS lib 这个组件在联编和运行时都需要， 相当于 LIB_DEPENDS
组件的默认依赖关系类型如下： 默认的 <application>Lua</application> 依赖关系类型 组件 依赖关系类型 lua 对于 4.0-5.0 是 lib (动态连接) 而对于 5.1 则是 build (静态连接) tolua build (静态连接) ruby lib (动态连接)
选择 <application>Lua</application> 组件 下面是一个使用了 Lua 版本 4.0 及其 Ruby 绑定的 port 片段。 USE_LUA= 4.0 LUA_COMPS= lua ruby 检测系统中已安装的版本 要检测系统中已安装的版本， 您必须定义 WANT_LUA。 如果没有将其设定为具体的版本， 则组件会包含版本后缀。 在检测之后， HAVE_LUA 变量将设为检测到的版本。 检测已安装的 <application>Lua</application> 版本和组件 下面是一个如果系统中有安装 Lua 或选择了选项时使用它的 port 片段。 WANT_LUA= yes .include <bsd.port.pre.mk> .if defined(WITH_LUA5) || ${HAVE_LUA:Mlua-5.[01]} != "" USE_LUA= 5.0-5.1 CONFIGURE_ARGS+=--enable-lua5 .endif 下面的这段 port 在系统中已经有安装， 或用户选择了 tolua 和 Lua 支持时加以安装， 版本均选择 4.0。 USE_LUA= 4.0 LUA_COMPS= lua WANT_LUA= 4.0 .include <bsd.port.pre.mk> .if defined(WITH_TOLUA) || ${HAVE_LUA:Mtolua} != "" LUA_COMPS+= tolua CONFIGURE_ARGS+=--enable-tolua .endif 定义的变量 在 port 中可以使用下列变量 (在定义了 中至少一个变量之后)。 为用到 <application>Lua</application> 的 port 定义的变量 变量名 说明 LUA_VER 将要使用的 Lua 版本。 (例如， 5.1) LUA_VER_SH Lua 动态连接库的主版本 (例如， 1) LUA_VER_STR 不带点的 Lua 版本 (例如， 51) LUA_PREFIX 安装 Lua (及其组件) 使用的后缀 LUA_SUBDIR 在 ${PREFIX}/bin、 ${PREFIX}/share 和 ${PREFIX}/lib 中用于安装 Lua 的子目录 LUA_INCDIR 用以安装 Lua 和 tolua 头文件的目录 LUA_LIBDIR 用以安装 Lua 和 tolua 库文件的目录 LUA_MODLIBDIR 用以安装 Lua 模块动态连接库 (.so) 的目录 LUA_MODSHAREDIR 用以安装 Lua 模块 (.lua) 的目录 LUA_PKGNAMEPREFIX Lua 模块包的后缀名 LUA_CMD 到 Lua 解释器的路径 LUAC_CMD 到 Lua 编译器的路径 TOLUA_CMD 到 tolua 程序的路径
告诉 port 到什么地方去找 <application>Lua</application> 下面的 port 片段展示了如何告诉使用的 configure 脚本去什么地方查找 Lua 的头文件和库文件。 USE_LUA= 4.0 GNU_CONFIGURE= yes CONFIGURE_ENV= CPPFLAGS="-I${LUA_INCDIR}" LDFLAGS="-L${LUA_LIBDIR}" 在 <filename>bsd.port.pre.mk</filename> 时进行处理 如果您需要在使用引用 bsd.port.pre.mk 之后就得到变量， 以便将其用于执行一些命令， 需要定义 LUA_PREMK。 如果您定义了 LUA_PREMK， 则在您引用 bsd.port.pre.mk 之后， 即使修改了 Lua port 变量， 版本和依赖关系也都不会随之发生变化了。 在命令中使用 <application>Lua</application> 变量 下面的片段展示了如何利用 LUA_PREMK， 并运行 Lua 解释器得到完整的版本串， 将其赋值给一个变量， 并传递给程序。 USE_LUA= 5.0 LUA_PREMK= yes .include <bsd.port.pre.mk> .if exists(${LUA_CMD}) VER_STR!= ${LUA_CMD} -v CFLAGS+= -DLUA_VERSION_STRING="${VER_STR}" .endif 在 target 中的 Lua 变量可以在命令中安全的使用， 而无需使用 LUA_PREMK。 使用 Xfce USE_XFCE 变量可以用来自动配置使用基于 Xfce 库或应用程序， 如 x11-toolkits/libxfce4gui 和 x11-wm/xfce4-panel 的 port 的依赖关系。 目前， 系统能够识别下列 Xfce 库和应用程序： libexo：x11/libexo libgui：x11-toolkits/libxfce4gui libutil：x11/libxfce4util libmcs：x11/libxfce4mcs mcsmanager：sysutils/xfce4-mcs-manager panel：x11-wm/xfce4-panel thunar：x11-fm/thunar wm：x11-wm/xfce4-wm xfdev：dev/xfce4-dev-tools 除此之外， 还能够使用下列参数： configenv： 如果您的 port 需要使用特殊的 CONFIGURE_ENV 来查找所需的库。 -I${LOCALBASE}/include -L${LOCALBASE}/lib 会加到 CONFIGURE_ENV 的 CPPFLAGS。 因此， 如果 port 有到 sysutils/xfce4-mcs-manager 的依赖关系， 并需要在 configure 的环境中指定特殊的饿 CPPFLAGS， 则所用的语法为： USE_XFCE= mcsmanager configenv 启动和停止服务 (rc 脚本) rc.d 脚本在系统启动时用于启动服务， 并为管理员提供停止、 启动和重新启动某个服务的标准方法。 Ports 安装的脚本会集成到系统的 rc.d 框架中。 关于如何使用它的说明， 可以在 使用手册的 rc.d 章节 找到。 关于可用命令的详细解释， 则可以在 &man.rc.8; 和 &man.rc.subr.8; 找到。 最后， 您可以参阅 这篇文章 了解撰写 rc.d 脚本的最佳实践。 可以安装一或多个 rc 脚本： USE_RC_SUBR= doormand 这些脚本必须放到 files 目录， 并附加 .in。 与基本系统中的 rc.d 脚本不同， 这种脚本中 . /etc/rc.subr 行必须替换为 . %%RC_SUBR%%， 因为较早版本的 &os; 中并不提供 /etc/rc.subr 文件。 此外， 这里还可以使用标准的 SUB_LIST 替换展开。 除此之外， 我们还强烈推荐使用 %%PREFIX%%、 %%LOCALBASE%%， 以及 %%X11BASE%% 这几个替换展开。 关于 SUB_LIST 的介绍可以在 本书的相关章节 找到。 在 &os; 6.1-RELEASE 之前， 与 &man.rcorder.8; 的集成是通过 USE_RCORDER 而不是 USE_RC_SUBR 来完成的。 但是， 这种方法已经被淘汰。 从 &os; 6.1-RELEASE 开始， 本地安装的 rc.d 脚本 (包括由 port 安装的脚本) 会纳入基本系统的 &man.rcorder.8;。 以下是一个简单的 rc.d 脚本： #!/bin/sh # PROVIDE: doormand # REQUIRE: LOGIN # # 在 /etc/rc.conf.local 或 /etc/rc.conf 中增加下述设置可以启用这一服务： # # doormand_enable (bool): 默认设为 NO。 # 设为 YES 可以启用 doormand。 # doormand_config (path): 默认设为 %%PREFIX%%/etc/doormand/doormand.cf。 # . %%RC_SUBR%% name="doormand" rcvar=${name}_enable command=%%PREFIX%%/sbin/${name} pidfile=/var/run/${name}.pid load_rc_config $name : ${doormand_enable="NO"} : ${doormand_config="%%PREFIX%%/etc/doormand/doormand.cf"} command_args="-p $pidfile -f $doormand_config" run_rc_command "$1" 这里， 对变量的默认赋值方法应采用 "="， 而非 ":=" 这样的形式。 这是因为， 前一种赋值方法只有在变量未被设置时才设置默认值， 而后一种方法则会在变量没有设置， 或者 其值为空时都设置默认值。 用户非常可能在其 rc.conf.local 中使用类似 doormand_flags="" 这样的设置， 而采用 ":=" 来进行赋值， 则会在不经意间覆盖用户所希望的设置。 rc 脚本的后缀名， 会通过 RC_SUBR_SUFFIX 提供， 以便在 port 的 Makefile 中使用。 最新版本的 &os; 并不为脚本名增加任何后缀， 但较早的版本则曾使用过 .sh 后缀。 新增的脚本均不应使用 .sh 后缀。 未来， 仍然包含这一后缀的脚本将被批量改名。 卸载时停止服务 可以在卸载的过程中自动地停止服务。 我们建议只有在绝对必要， 例如必须在删除文件之前停止服务这类的情况下才使用这一功能。 通常来说， 决定是否在卸载时停止服务是系统管理员需要考虑的事情。 另外要注意， 这个功能也会影响升级过程。 需要时可以在 pkg-plist 中加入： @stopdaemon doormand 这里的参数必须与 USE_RC_SUBR 变量的内容匹配。 高级 <filename>pkg-plist</filename> 用法 根据 make 变量对 <filename>pkg-plist</filename> 进行修改 某些 port， 特别是 p5- port， 会需要根据配置选项 (或对于 p5- port 而言， perl 的版本) 来修改它们的 pkg-plist。 为简化这一工作， 在 pkg-plist 中的 %%OSREL%%、 %%PERL_VER%%， 以及 %%PERL_VERSION%% 将自动进行相应的替换。 其中， %%OSREL%% 的值是操作系统以数值表示的版本 (例如 4.9)。 %%PERL_VERSION%% 则是 perl 的完整版本号 (例如 5.00502) 而 %%PERL_VER%% 是 perl 的版本去掉 patchlevel 的部分 (例如 5.005)。 许多其它与 port 文档文件有关的 %%变量%% 在 相应章节 中进行了介绍。 如果您还需要进行其它的替换， 可以通过将 PLIST_SUB 变量设置为一组 变量=值 对来实现。 其中， %%VAR%% 表示在 pkg-plist 中将被 值 替换的那些文字。 举例来说， 如果 port 需要把很多文件放到和版本有关的目录中， 可以在 Makefile 中按照类似下面的例子： OCTAVE_VERSION= 2.0.13 PLIST_SUB= OCTAVE_VERSION=${OCTAVE_VERSION} 并在 pkg-plist 中将具体的版本替换为 %%OCTAVE_VERSION%%。 这样， 在升级 port 时， 就不需要再到 pkg-plist 中修改那几十 (或者， 有时甚至是上百) 行的内容了。 这一替换过程 (以及加入 联机手册 的过程)， 会在 pre-install 和 do-install 两个 target 之间， 通过读取 PLIST 并写入 TMPPLIST (默认情况下， 是： WRKDIR/.PLIST.mktmp) 来完成。 因此， 如果您的 port 动态生成 PLIST， 就需要在 pre-install 之前完成。 另外， 如果您的 port 需要编辑所生成的文件， 则需要在 post-install 中操作名为 TMPPLIST 的那个文件。 另一种可行的修改装箱单的方法， 则是根据 PLIST_FILES 和 PLIST_DIRS 这两个变量的设置来进行。 它们的值会作为目录名连同 PLIST 的内容一起写入 TMPPLIST。 在 PLIST_FILES 和 PLIST_DIRS 中列出的名字， 会经历前面所介绍的 %%变量%% 替换过程。 除此之外， 在 PLIST_FILES 中列出的文件， 会不加任何修改第出现在最终的装箱单中， 而 @dirrm 将作为前缀加到 PLIST_DIRS 所列的名字之前。 为了达到目的， PLIST_FILES 和 PLIST_DIRS 必须在写 TMPPLIST 之前， 也就是在 pre-install 或更早的阶段进行设置。 空目录 清理空目录 一定要让 port 在卸载时进行清理空目录。 通常， 可以通过为所有由 port 创建的目录增加对应的 @dirrm 行来实现。 在删除父目录之前， 需要首先删除它的子目录。 : lib/X11/oneko/pixmaps/cat.xpm lib/X11/oneko/sounds/cat.au : @dirrm lib/X11/oneko/pixmaps @dirrm lib/X11/oneko/sounds @dirrm lib/X11/oneko 然而， 有时 @dirrm 会由于其它 port 使用了同一个目录而发生错误。 利用 @dirrmtry 可以只删除那些空目录， 而避免给出警告。 @dirrmtry share/doc/gimp 按照上面的写法， 将不会显示任何错误信息， 而且，即使在 ${PREFIX}/share/doc/gimp 由于其它 port 在其中安装了一些别的文件的时候， 也不会导致 &man.pkg.delete.1; 异常退出。 如何建立空目录 在 port 安装过程中创建的空目录需要特别留意。 安装 package 时并不会自动创建这些目录， 这是因为 package 只保存文件。 要确保安装 package 时会自动创建这些空目录， 需要在 pkg-plist 中加入与 @dirrm 对应的行： @exec mkdir -p %D/share/foo/templates 配置文件 如果 port 需要把一些文件放到 PREFIX/etc， 不要 简单地安装它们， 并将其列入 pkg-plist， 因为这样会导致 &man.pkg.delete.1; 删除用户精心编辑的文件， 而新安装时则又会把这些文件覆盖。 因此， 您应把配置文件的例子按其它的后缀来安装 (例如 filename.sample 就是一个不错的选择) 并显示一条 消息 告诉用户如何复制并编辑这个配置文件， 以便让软件能够正确工作。 因此， 应按其它的后缀来安装配置文件的例子 (filename.sample 就是一个不错的选择)。 如果实际的配置文件不存在， 则将其复制为实际文件的名字。 卸载时， 如果发现用户没有修改配置文件， 则将其删除。 您需要在 port 的 Makefile， 以及 pkg-plist (对于从 package 安装的情形) 进行处理。 示例的 Makefile 部分： post-install: @if [ ! -f ${PREFIX}/etc/orbit.conf ]; then \ ${CP} -p ${PREFIX}/etc/orbit.conf.sample ${PREFIX}/etc/orbit.conf ; \ fi 示例的 pkg-plist 部分： @unexec if cmp -s %D/etc/orbit.conf.sample %D/etc/orbit.conf; then rm -f %D/etc/orbit.conf; fi etc/orbit.conf.sample @exec if [ ! -f %D/etc/orbit.conf ] ; then cp -p %D/%F %B/orbit.conf; fi 另外， 还应显示一条 消息 指出用户应在何处复制并编辑这个文件， 以便让软件能开始正常工作。 动态装箱单与静态装箱单的对比 静态装箱单 是指在 Ports Collection 中以 pkg-plist 文件 (可能包含变量替换)， 或以 PLIST_FILES 和 PLIST_DIRS 的形式嵌入到 Makefile 出现的装箱单。 即使它是由工具或 Makefile 中的某个 target 在经由 committer 加入到 Ports Collection 之前 自动生成的也是如此， 因为可以在不下载或编译源代码包的前提下对其进行检视。 动态装箱单 是指在 port 编译并安装时生成的装箱单。 在下载并编译您所移植的应用程序的源代码之前， 或在执行了 make clean 之后， 就无法查看其内容了。 尽管使用动态装箱单并不被禁止， 但监护人应尽可能使用静态装箱单， 因为它能够让用户使用 &man.grep.1;来发现所需的 ports， 例如， 它是否会安装某个特定文件。 动态列表主要应用于复杂的， 其装箱单随所选功能会发生巨变 (因而使得维护静态装箱单不再可行)， 或那些随版本而改变装箱单内容的 port (例如， 使用 Javadoc 来生成文档的那些 ports)。 我们鼓励那些选择使用动态装箱单的监护人提供一个能够生成 pkg-plist 的 target， 以便于用户检视其内容。 装箱单 (package list) 的自动化制作 首先， 请确认已经基本上完成了 port 的工作， 仅缺 pkg-plist。 接下来， 建立一个用于安装您的 port 的临时目录， 并在其中安装它所依赖的所有其他软件包： &prompt.root; mkdir /var/tmp/$(make -V PORTNAME) &prompt.root; mtree -U -f $(make -V MTREE_FILE) -d -e -p /var/tmp/$(make -V PORTNAME) &prompt.root; make depends PREFIX=/var/tmp/$(make -V PORTNAME) 将目录结构保存到一新文件中。 &prompt.root; (cd /var/tmp/$(make -V PORTNAME) && find -d * -type d) | sort > OLD-DIRS 建立一空白 pkg-plist 文件： &prompt.root; :>pkg-plist 如果您的 port 遵循 PREFIX (应该如此) 则接下来应安装该 port 并创建装箱单。 &prompt.root; make install PREFIX=/var/tmp/$(make -V PORTNAME) &prompt.root; (cd /var/tmp/$(make -V PORTNAME) && find -d * \! -type d) | sort > pkg-plist 此外还应把新建立的目录加入装箱单。 &prompt.root; (cd /var/tmp/$(make -V PORTNAME) && find -d * -type d) | sort | comm -13 OLD-DIRS - | sort -r | sed -e 's#^#@dirrm #' >> pkg-plist 最后需要手工整理 packing list； 这一过程不是 完全 自动的。 联机手册应列入 port 的 Makefile 中的 MANn， 而不是装箱单。 用户配置文件应被删除， 或以 filename.sample 这样的名字来安装。 info/dir 文件， 也不应列入， 同时应按照 info 文件 的说明来增加一些 install-info 行。 所有由 port 安装的库， 应按照 动态连接库 小节中介绍的方法处理。 另外， 也可以使用 /usr/ports/Tools/scripts/ 中的 plist 脚本来自动创建 package list。 第一步和上面一样， 也就是 mkdir， mtree 并 make depends。 然后构建和安装 port： &prompt.root; make install PREFIX=/var/tmp/$(make -V PORTNAME) 然后让 plist 生成 pkg-plist 文件： &prompt.root; /usr/ports/Tools/scripts/plist -Md -m $(make -V MTREE_FILE) /var/tmp/$(make -V PORTNAME) > pkg-plist 与前面类似， 如此生成的装箱单也需要手工进行一些清理工作。 <filename>pkg-<replaceable>*</replaceable></filename> 文件 前面有一些没有提及的关于 pkg-* 文件的技巧， 它们可以方便地完成许多任务。 <filename>pkg-message</filename> (安装预编译包时显示的消息文件) 如果您需要在安装时显示一条消息给用户， 可以把这消息放在 pkg-message 中。 这一特性通常可以用于在 &man.pkg.add.1; 之后显示一些附加的安装步骤， 或显示关于授权的信息。 当需要显示一些编译开关或警告时， 请使用 ECHO_MSG。 pkg-message 文件只是为显示安装后的执行操作指导使用的。 类似地， 还需要留意 ECHO_MSG 和 ECHO_CMD 之间的区别。 前一个是在屏幕上显示消息性的文字， 而后一个则用于在执行命令时使用管道。 下面是用到了这两个宏的例子 shells/bash2/Makefile： update-etc-shells: @${ECHO_MSG} "updating /etc/shells" @${CP} /etc/shells /etc/shells.bak @( ${GREP} -v ${PREFIX}/bin/bash /etc/shells.bak; \ ${ECHO_CMD} ${PREFIX}/bin/bash) >/etc/shells @${RM} /etc/shells.bak pkg-message 文件， 并不需要明确地加到 pkg-plist 中。 此外， 在用户使用 port 而不是 package 来安装软件时， 它并不会被显示出来。 因此如果需要的话， 您应该在 post-install target 中指定显示它。 <filename>pkg-install</filename> (安装预编译包时执行的脚本文件) 如果您的 port 需要在预编译的安装包通过 &man.pkg.add.1; 安装时执行一些命令， 则应通过 pkg-install 脚本来完成。 这个脚本会自动地加入 package， 并被 &man.pkg.add.1; 执行两次： 第一次是 ${SH} pkg-install ${PKGNAME} PRE-INSTALL 而第二次是 ${SH} pkg-install ${PKGNAME} POST-INSTALL。 $2 可被用来检测脚本运行的模式。 环境变量 PKG_PREFIX 将设置为 package 的安装目录。 请参见 &man.pkg.add.1; 以了解更进一步的细节。 在使用 make install 时这个脚本不会被自动运行。 如果需要运行它， 则必须在您的 port 中的 Makefile 里明确地予以调用， 其方法是加入类似 PKG_PREFIX=${PREFIX} ${SH} ${PKGINSTALL} ${PKGNAME} PRE-INSTALL 这样的命令。 <filename>pkg-deinstall</filename> (卸载时执行的脚本文件) 这一脚本将在 package 被卸载时执行。 此脚本会被 &man.pkg.delete.1; 执行两次。 第一次是 ${SH} pkg-deinstall ${PKGNAME} DEINSTALL 而第二次则是 ${SH} pkg-deinstall ${PKGNAME} POST-DEINSTALL。 <filename>pkg-req</filename> (安装预编译包时检测是否应执行操作的脚本文件) 如果您的 port 需要确定它是否应被安装， 可以创建 pkg-req requirements 脚本。 它会在安装/卸载时自动运行， 以决定操作是否应被实施。 这个脚本会在使用 &man.pkg.add.1; 安装时以 pkg-req ${PKGNAME} INSTALL 的命令行执行。 卸载时， 它将由 &man.pkg.delete.1; 以 pkg-req ${PKGNAME} DEINSTALL 的命令行执行。 改变 <filename>pkg-<replaceable>*</replaceable></filename> 文件的名字 所有 pkg-* 文件的名字， 皆系采用变量予以定义， 因此在需要时可以在您的 Makefile 中加以改变。 当您需要在多个 port 之间共享某些 pkg-* 文件， 或需要写入某些文件时就非常有用了。 (参见 在 WRKDIR 以外的地方写文件， 以了解为什么直接将变更写入 pkg-* 子目录是个糟糕的主意) 下面是一组变量以及它们的默认值 (PKGDIR 默认情况下是 ${MASTERDIR}。) 变量 默认值 DESCR ${PKGDIR}/pkg-descr PLIST ${PKGDIR}/pkg-plist PKGINSTALL ${PKGDIR}/pkg-install PKGDEINSTALL ${PKGDIR}/pkg-deinstall PKGREQ ${PKGDIR}/pkg-req PKGMESSAGE ${PKGDIR}/pkg-message 请修改这些变量， 而不是直接覆盖 PKG_ARGS 的值。 如果您改变了 PKG_ARGS， 这些文件将无法在安装 port 时正确地复制到 /var/db/pkg 目录。 使用 <makevar>SUB_FILES</makevar> 和 <makevar>SUB_LIST</makevar> SUB_FILES 和 SUB_LIST 这两个变量可以用来在 port 文件中使用某些动态的值， 例如 pkg-message 中的 installation PREFIX。 使用 SUB_FILES 变量可以指定需要自动修改的文件列表。 在 SUB_FILES 中的每一个 file， 都必须有一个对应的、 存在于 FILESDIR 目录的 file.in 文件。 如果您加入了一些文件， 例如 pkg-message、 pkg-install、 pkg-deinstall 或 pkg-reg， 则相关的 PKG-FILE 变量就应设置为 WRKDIR/pkg-file。 用 SUB_FILES 变量， 可以指定需要自动进行修改的文件列表。 在 SUB_FILES 中的每一个 文件， 在 FILESDIR 目录中都必须有一个对应的 文件.in。 修改后的版本将保存在 WRKDIR。 在 USE_RC_SUBR (或已经过时的 USE_RCORDER) 中定义的文件会自动加入到 SUB_FILES 中。 对于 pkg-message、 pkg-install、 pkg-deinstall and pkg-reg， 对应的 Makefile 变量会被自动设置， 以指向处理过的版本。 SUB_LIST 这个变量的内容是一系列 VAR=VALUE 对。 SUB_FILES 所列出的文件中所有的 %%VAR%% 都将被替换为 VALUE。 系统自动定义了一些常用的替换对， 包括： PREFIX、 LOCALBASE、 X11BASE、 DATADIR、 DOCSDIR， 以及 EXAMPLESDIR。 替换结果中所有以 @comment 开头的行， 都将在变量替换之后被删去。 下面的例子中， 将把 pkg-message 中的 %%ARCH%% 替换为系统所运行的架构名称： SUB_FILES= pkg-message SUB_LIST= ARCH=${ARCH} 注意， 在上述例子中， FILESDIR 里必须有 pkg-message.in 这个文件。 下面是一个正确的 pkg-message.in 例子： Now it is time to configure this package. Copy %%PREFIX%%/share/examples/putsy/%%ARCH%%.conf into your home directory as .putsy.conf and edit it. 测试您的 port 运行 <command>make describe</command> 许多 &os; port 维护工具， 例如 &man.portupgrade.1;， 会依赖于一个名为 /usr/ports/INDEX 的数据库的正确性， 它提供了关于 port 的相关信息， 例如依赖关系等等。 INDEX 是由顶级的 ports/Makefile 通过 make index 来建立的， 这个命令会进入每一个 port 的子目录， 并在那里执行 make describe。 因此， 如果某个 port 的 make describe 失败， 就没有人能生成 INDEX， 人们很快会变得不高兴。 无论在 make.conf 中设置了什么选项， 这个文件都应能够正确地生成。 因此， 应避免在 (例如) 某个依赖关系无法满足时使用 .error。 (参见 。) 如果 make describe 只是产生一个字符串， 而不是错误信息， 可能就没什么问题。 请参见 bsd.port.mk 以了解所生成的串的意义。 最后要说明的是， 新版本的 portlint (在下一节中将进行介绍) 将会自动地运行 make describe。 Portlint 在提交或 commit 之前， 应使用 portlint 来进行检查。 portlint 会对常见的、 包括功能上的和格式上的错误给出警告。 对于新的 (或在 repocopy 代码库中复制的) port， portlint -A 可以完成全面检查； 对于暨存的 port， portlint -C 一般就足够了。 由于 portlint 采用启发式方法来检查错误， 有时它会产生误警。 另外， 有时由于 port 框架的限制可能没有办法修正它指出的问题。 如果您有疑虑， 请写信询问 &a.ports;。 使用 Port Tools 来完成测试 在 Ports 套件中， 提供了一个 ports-mgmt/porttools 程序。 port 是一个能够帮助您简化测试工具的前端脚本。 如果希望对新增的 port 或更新 port 时进行测试， 可以用 port test 来完成这些测试工作， 这也包含了 portlint 检查。 这个命令会检测并列出没有在 pkg-plist 中列出的文件。 具体用法请参见下面的例子： &prompt.root; port test /usr/ports/net/csup <makevar>PREFIX</makevar> (安装时的顶级目录名) 和 <makevar>DESTDIR</makevar> PREFIX 能够决定 port 安装时的目的位置。 一般情况下这个位置是 /usr/local 或 /opt。 用户可以将 PREFIX 设为其希望的任意值。 您的 port 则必须遵循这个变量。 除此之外， 如果用户配置了 DESTDIR， 则表示希望将 port 安装到另一个环境， 通常是 jail 或在 / 以外的其他位置挂接的系统中。 实际上， port 会安装到 DESTDIR/PREFIX， 并注册到位于 DESTDIR/var/db/pkg 的预编译包数据库中。 由于 DESTDIR 是由 ports 框架藉由 &man.chroot.8; 来实现的， 您在撰写符合 DESTDIR 规范的 ports 时并不需要什么额外的工作。 一般而言 PREFIX 会设为 LOCALBASE_REL (默认是 /usr/local)。 如果设置了 USE_X_PREFIX 或 USE_IMAKE， 则 PREFIX 会设为 X11BASE (为了向前兼容， 这个变量的默认值是 LOCALBASE， 未来它将被删除)。 如果设置了 USE_LINUX_PREFIX， 则 PREFIX 会设为 LINUXBASE_REL (默认是 /compat/linux)。 避免将 /usr/local 或 /usr/X11R6 硬编码到源代码中， 能够大大提高 port 的灵活性， 并适应不同环境的需要。 对于使用 imake 的 X port， 这一工作是自动完成的； 其他情况下， 通常可以简单地将 port 所用到的 Makefile 脚本中出现的 /usr/local (或对于没有使用 imake 的 X port 而言， /usr/X11R6) 替换为读取 ${PREFIX} 变量就能达到目的了， 因为这个变量在联编和安装的过程中， 会自动向下传递。 一定要避免让您的 port 在 /usr/local 而不是正确的 PREFIX 中安装文件。 简单的测试方法是： &prompt.root; make clean; make package PREFIX=/var/tmp/$(make -V PORTNAME) 如果有文件安装到了 PREFIX 以外的地方， 打包过程将抱怨找不到这些文件。 这一步骤并不能帮助发现内部引用， 或纠正在引用其它 port 中的文件时使用的 LOCALBASE。 您需要在 /var/tmp/$(make -V PORTNAME) 中测试安装好的软件， 才能够达到这样的目的。 除非真的需要， 否则不要设置 USE_X_PREFIX (例如， 如果它需要引用 X11BASE 中的文件)。 您可以在自己的 Makefile 中改变 PREFIX 变量的值， 也可以通过用户环境变量来影响它。 然而， 一般情况下决不应该在 Makefile 中明确设置它的值。 此外， 引用其它 port 中的文件时， 应使用前面介绍的变量， 而不要直接指定它们的路径名。 例如， 如果您的 port 需要使用 PAGER 这个宏来指明 less 的完整路径， 应使用下面的编译选项： -DPAGER=\"${LOCALBASE}/bin/less\" 而非 -DPAGER=\"/usr/local/bin/less\"。 这种方法能够增加在系统管理员把整个 /usr/local 目录挪到其它位置时安装成功的机会。 Tinderbox 如果您是非常热心的 ports 参与者， 则可以看看 Tinderbox。 这是一个强大的用于构建和测试 ports 的系统， 它基于 Pointyhat 的脚本。 您可以使用 ports-mgmt/tinderbox port 来安装 Tinderbox。 请一定仔细阅读随它安装的文档， 因为配置并不简单。 请访问 Tinderbox 网站 以了解进一步的细节。 升级 如果您发现某个 port 相对原作者所发布的版本已经过时， 则首先需要确认的是您的 port 是最新的。 您可以在 &os; FTP 镜像的 ports/ports-current 目录中找到它们。 但是， 如果您正在使用较多的 port， 则可能使用 CVSup 来保持 Ports Collection 最新更为简单， 这在 使用手册 中进行了介绍。 此外， 这样做也有助于保持 port 依赖关系的正确性。 下一步是检查是否已经有在等待的更新。 要完成这项工作， 可以采用下列两种方法之一。 有一个用于搜索 FreeBSD 问题报告 (PR) 数据库 (也被称作 GNATS)。 在下拉框中选择 ports， 然后输入 port 的名字。 但是， 有些时候人们会忘记将避免混淆的 port 的名字放到 Synopsis 字段中。 这种时候， 您可以试试看 FreeBSD Ports 监视系统 (也被叫做 portsmon)。 这个系统会尝试按照 port 的名字来进行分类。 要搜索和某个特定 port 有关的 PR， 可以使用 port概览。 如果没有候审的 PR， 下一步是给 port 的维护者写信， 这可以通过执行 make maintainer 看到。 这个人可能正在进行升级工作， 或者由于某种理由暂时没有升级 (例如， 新版本有稳定性问题)； 一般您不希望重复他们的工作。 注意没有维护者的 port 的维护者会显示为 ports@FreeBSD.org， 这是一般性 port 问题的邮件列表， 因此发邮件给它一般没什么意义。 如果维护者要求您去完成升级， 或者没有维护者， 您就可以通过自行完成升级来帮助 &os; 了！ 请进行修改， 并保存在新旧目录上执行的递归式 diff 的输出 (例如， 如果您修改的 port 的目录名是 superedit 而修改前的目录的名字是 superedit.bak， 则应提交的是 diff -ruN superedit.bak superedit 的结果)。 一致式 (unified) 或 上下文式 (context) diff 都是可以的， 但一般来说 port committer 会更喜欢一致式 diff。 请注意这里使用的选项 -N， 它的目的是强制 diff 正确地处理出现新文件， 或老文件被删除的情形。 在把 diff 发给我们之前， 请再次检查输出， 以便确认每一个修改都是有意义的。 为了简化常用的补丁文件操作， 您可以使用 /usr/ports/Tools/scripts/patchtool.py。 使用之前， 请首先阅读 /usr/ports/Tools/scripts/README.patchtool。 如果 port 目前还无人维护， 而且您自己经常使用它， 请考虑自荐为它的维护者。 &os; 有超过 2000 个没有维护者的 port， 而这正是最需要志愿人员的领域。 (要了解关于维护者的任务描述， 请参见 开发手册中的相关部分。) 将 diff 发送给我们的最佳方式是通过 &man.send-pr.1; (category 一栏写 ports)。 如果您正维护那个 port， 请务必在 synopsis 的开头写上 [maintainer update]， 并将您的 PR 的 Class 设置为 maintainer-update。 反之， 您的 PR 的 Class 就应该是 change-request。 请在信中逐个提及每一个删除或增加的文件， 因为这些都必须明确地在使用 &man.cvs.1; 进行 commit 时明确地指定。 如果 diff 超过了 20K， 请考虑压缩并对其进行 uuencode； 否则， 简单地将其原样加入 PR 即可。 在您 &man.send-pr.1; 之前， 请再次阅读 Problem Reports 一文中的 如何撰写问题报告 小节； 它给出了丰富的关于如何撰写更好的问题报告的介绍。 如果您的更新是由于安全考虑， 或修复已经 commit 的 port 中的严重问题， 请通知 &a.portmgr; 来申请立即重建和分发您的 port 的 package。 否则， 不愿怀疑的使用 &man.pkg.add.1; 的用户， 可能会在未来数周之内继续通过使用 pkg_add -r 安装旧版本。 再次强调， 请使用 &man.diff.1; 而非 &man.shar.1; 来发送现有 port 的更新！ 现在您已经了解了所需的所有操作， 您可能会像要阅读在 中关于如何保持最新的描述。 Ports 的安全 安全为何如此重要 软件中偶尔会引入 bug。 毋庸置疑， 安全漏洞是最为危险的。 从技术角度看， 这些漏洞可以通过消除导致它们的 bug 来修复。 然而， 处理一般的 bug 和安全漏洞的策略是截然不同的。 典型的小 bug 通常只影响那些启用了某些能够触发它的选项组合的用户。 开发人员最终会在发布没有那个问题的新版之后给出一个补丁来修正它， 而用户中的主体并不会立即升级， 因为他们并没有因存在问题而感到苦恼。 严重的 bug 可能会导致数据丢失和其它问题， 无论如何， 谨慎的用户知道， 除了软件 bug 之外还有很多其它事故可能会导致数据丢失， 因此他们会备份重要数据； 此外， 严重的 bug 通常会被很快发现。 安全漏洞则完全不同。 第一， 它们可能存在数年而不被发现， 因为它们可能并不导致软件无法正常工作。 第二， 通过利用漏洞， 恶意的一方可能会得到未获授权的访问权限， 并利用这些权限毁掉或修改敏感数据； 而更糟糕的情况则是用户可能根本注意不到损害已经发生。 第三， 暴露出安全漏洞的系统， 往往能够帮助攻击者闯入其它之前不可能进入的系统。 因此， 只是修正安全漏洞是不够的： 必须以清晰和全面的方式通知公众， 这样他们就能够评估风险， 并采取适当的措施。 修复安全漏洞 当说起 port 或 package 时， 安全漏洞往往是出现在原作者的发行包， 或移植过程中加入的文件里。 对于前一种情况， 软件的原作者通常会立刻发布一个补丁甚至新版， 您只需要按照原作者的修正去更新 port 就可以了。 如果由于某种原因修正被延误， 则要么 将 port 标记为 FORBIDDEN， 要么在 port 中加入一个自己的补丁。 如果有存在漏洞的 port， 尽可能尽快修复其漏洞就是。 无论是哪种情况， 您还是需要按照 标准的提交流程 提交， 除非您有直接在 ports tree 上 commit 的权限。 作为 ports committer 并不能够随便 commit 所有 port。 请注意通常 port 都有维护者， 而他们应得到您的尊重。 在漏洞被修正之后， 一定要同时增加 port 的修订版本号。 这样， 规律性地升级安装的 package 的用户就能够看到他们需要进行升级。 另外， 还应构建预编译的安装包， 并通过 FTP 和 WWW 镜像发布， 以取代有漏洞的版本。 注意要增加 PORTREVISION 数字， 除非在修正问题时 PORTVERSION 发生了变化。 一般来说， 如果在 port 中增加了补丁文件， 就应该增加 PORTREVISION， 但例外的例子是您已经将软件升级到了最新版， 因为这时已经改掉 PORTVERSION 了。 请参见 相关小节 以了解进一步的信息。 通知整个用户群体 VuXML 数据库 当发现了安全漏洞时的一项重要而紧迫的步骤， 就是让使用 port 的用户群了解其危险。 这类通知有两重目的。 首先， 如果危害真的很严重， 可能理性的办法就是立即应用一项缓解措施， 例如， 停止受到影响的服务， 甚至完全删除 port， 直到问题被修正为止。 其次， 许多用户只是偶尔升级所安装的软件包， 通过通知， 他们能够知道已经到了 必须 更新软件的时候， 因为已经有了修正这些问题的版本了。 由于现有的 port 数量极其庞大， 为每一个问题都发布安全公告， 毫无疑问地会发表和狼来了一样多的安全公告， 并增大受众在真的发生严重的问题时忽略问题的可能。 因此， 在 port 中发现的安全漏洞， 会在 FreeBSD VuXML 数据库 中记录。 安全官团队成员会持续地追踪这个数据库的修改， 以了解需要他们注意的内容。 如果您是 committer， 则可以自行更新 VuXML 数据库。 这样， 您就能够同时帮助安全官团队， 并尽早将至关重要的信息传达给用户群体。 然而， 如果您不是 committer， 或者您相信自己发现了一个异常严重的漏洞， 或者由于其它情况， 请不要由于按照 FreeBSD 安全信息 页面上的方法联系安全官团队。 现在您选择了一条艰难的路。 正如其名称所暗示的那样， VuXML 数据库本质上是一个 XML 文档。 其源文件 vuln.xml 被保存在 security/vuxml port 的目录中。 所以， 它的全名是 PORTSDIR/security/vuxml/vuln.xml。 每当您发现 port 中的安全漏洞时， 请把新的纪录加入到那个文件中。 在熟悉 VuXML 之前， 您最好先看看是否有类似的您发现的问题的其它记录， 并复制它作为模板。 VuXML 简介 XML 是一个复杂的语言， 它远远超越了这本书的范围。 不过， 只需了解标记的命名规则， 就能 VuXML 记录的结构有一个大体的了解了。 XML 标记的名字应出现在一对尖括号之间。 每一个 <tag> 必须有一个对应的 </tag>。 标记可以嵌套， 如果嵌套的话， 内层的标记必须在外层标记之前结束。 这就形成了一个标记的层次结构， 也就是关于它们之间如何嵌套的规则。 听起来很像 HTML， 是不是？ 最主要的区别在于， XML 是可扩展的 (eXtensible)， 例如通过定义新的标记等等。 由于其结构的内在性质， XML 能够赋予无组织的数据新的形态。 VuXML 是专门为描述安全漏洞设计的语言。 现在让我们来观察一个实际的 VuXML 记录： <vuln vid="f4bc80f4-da62-11d8-90ea-0004ac98a7b9"> <topic>Several vulnerabilities found in Foo</topic> <affects> <package> <name>foo</name> <name>foo-devel</name> <name>ja-foo</name> <range><ge>1.6</ge><lt>1.9</lt></range> <range><ge>2.*</ge><lt>2.4_1</lt></range> <range><eq>3.0b1</eq></range> </package> <package> <name>openfoo</name> <range><lt>1.10_7</lt></range> <range><ge>1.2,1</ge><lt>1.3_1,1</lt></range> </package> </affects> <description> <body xmlns="http://www.w3.org/1999/xhtml"> <p>J. Random Hacker reports:</p> <blockquote cite="http://j.r.hacker.com/advisories/1"> <p>Several issues in the Foo software may be exploited via carefully crafted QUUX requests. These requests will permit the injection of Bar code, mumble theft, and the readability of the Foo administrator account.</p> </blockquote> </body> </description> <references> <freebsdsa>SA-10:75.foo</freebsdsa> <freebsdpr>ports/987654</freebsdpr> <cvename>CAN-2010-0201</cvename> <cvename>CAN-2010-0466</cvename> <bid>96298</bid> <certsa>CA-2010-99</certsa> <certvu>740169</certvu> <uscertsa>SA10-99A</uscertsa> <uscertta>SA10-99A</uscertta> <mlist msgid="201075606@hacker.com">http://marc.theaimsgroup.com/?l=bugtraq&amp;m=203886607825605</mlist> <url>http://j.r.hacker.com/advisories/1</url> </references> <dates> <discovery>2010-05-25</discovery> <entry>2010-07-13</entry> <modified>2010-09-17</entry> </dates> </vuln> 标记的名字都是简单明了的， 下面我们来介绍一下需要由您填写的字段： 这是 VuXML 记录的顶级 tag。 它有一个强制性的字段， vid， 用于为此记录 (它包含的部分) 指定一个全局唯一标识符 (UUID)。 您应为每一个新的 vuXML 生成新的 UUID (而且别忘了要把模板中的 UUID 换成新的， 如果您不是从头开始的话)。 您可以使用 &man.uuidgen.1; 来生成 VuXML UUID； 另外， 如果您使用的是 FreeBSD 4.x 版本， 也可以用 devel/p5-Data-UUID 并执行： perl -MData::UUID -le 'print lc new Data::UUID->create_str' 关于问题的一句话描述。 此处给出受到影响的 package 的名字。 可以给出多个名字， 因为可能有多个软件包基于同一个 master port 或软件产品。 这可能包括稳定和开发分支、 本地化版本， 以及提供了不同的编译时选项的 slave port。 撰写 VuXML 记录时， 您有责任找到所有相关的包。 很多时候 make search name=foo 是您的朋友。 需要留意的通常包括： foo port 的 foo-devel 变体； 包含不同后缀的其它变体， 例如 -a4 (对于和打印有关的软件包)， -without-gui (提供但禁用了 X 支持的软件包)， 以及类似的其它情况； jp-， ru-、 zh-， 以及其它可能的本地化变体， 它们通常可以在 Ports Collection 中相应的国家分类中找到。 受影响的 package 版本， 可以使用 <lt>, <le>, <eq>, <ge>, 和 <gt> 表达成一个或多个版本及其范围。 注意给出的版本范围不应存在重叠。 在描述范围的时候， * (星号) 表达最小的版本。 更具体地说， 2.* 小于 2.a。 因此， 星号可以用来匹配所有可能的 alpha、 beta， 以及 RC 版本。 例如， <ge>2.*</ge><lt>3.*</lt> 可以选择性地匹配每一个 2.x 的版本， 而 <ge>2.0</ge><lt>3.0</lt> 显然不能， 因为它会漏掉 2.r3 而匹配 3.b。 上面的例子指定了受影响的版本， 是包括 1.6 到 1.9 上下界的所有版本， 以及 2.x 在 2.4_1 之前的版本， 和 3.0b1 版。 受到影响的一组 package (本质上是 ports) 可以列在 <affected> 小节中。 如果多个软件产品都采用了同样的基础代码， (比如说 FooBar、 FreeBar 和 OpenBar) 而且包含同样的 bug 或漏洞。 请注意列出多个名字时， 应该在一个 <package> 小节中完成。 如果可能， 版本的范围应包括 PORTEPOCH 和 PORTREVISION。 务必注意， 根据加权规则， 带有非零 PORTEPOCH 的版本， 系统会认为比没有 PORTEPOCH 的版本高， 例如 3.0,1 高于 3.1 甚至 8.9。 关于问题的摘要性信息。 此处使用 XHTML。 务必要成对使用 <p> 和 </p>。 可以使用较为复杂的标记， 但仅限于有助于让信息更准确和明了的修饰： 请不要过分地美化。 这部分包含了相关的可供参考的文档。 请尽可能多提供参考文献。 指定 FreeBSD 安全公告。 指定 FreeBSD 问题报告。 指定 Mitre CVE ID。 指定 SecurityFocus Bug ID。 指定 US-CERT 安全公告。 指定 US-CERT 漏洞说明。 指定 US-CERT 计算机安全警报。 指定 US-CERT 技术性计算机安全警报。 指向邮件列表存档的 URL。 属性 msgid 是可选项， 用以指定某一封信的 message ID。 一般的 URL。 只有在没有其它更适合的参考文献时， 才应使用它。 问题被全面披露的日期 (YYYY-MM-DD)。 记录加入到数据库中的日期 (YYYY-MM-DD)。 记录最后一次被修改的日期 (YYYY-MM-DD)。 新记录不应包括这个字段。 只有在修改记录时才应加入它。 测试您对 VuXML 数据库所作的修改 假定您打算撰写， 或已经写好了一个关于 package clamav 的问题描述， 并且， 已经知道 0.65_7 版本修正了这个问题。 您需要做的准备工作， 是安装一个新版本的 ports ports-mgmt/portaudit 程序以及 ports-mgmt/portaudit-db。 首先， 检查一下是否已经有了关于这个漏洞的描述。 如果已经有过这样的记录， 那么它将匹配较早版本的 package， 0.65_6： &prompt.user; packaudit &prompt.user; portaudit clamav-0.65_6 要运行 packaudit， 您必须拥有写入 DATABASEDIR 目录， 通常是 /var/db/portaudit 的权限。 如果什么都没有发现， 您就可以考虑写一个新的记录来描述这个漏洞了。 现在可以生成一个新的 UUID (假设它是 74a9541d-5d6c-11d8-80e3-0020ed76ef5a)， 然后将您的新记录加入到 VuXML 数据库中。 接下来， 用下面的命令来检查它是否符合语法： &prompt.user; cd ${PORTSDIR}/security/vuxml && make validate 您需要安装下列 package 中的至少一个： textproc/libxml2、 textproc/jade。 接下来从 VuXML 文件重构 portaudit 数据库： &prompt.user; packaudit 要验证您新加入的项的 <affected> 小节能够正确地匹配希望的 package， 可以使用下面的命令： &prompt.user; portaudit -f /usr/ports/INDEX -r 74a9541d-5d6c-11d8-80e3-0020ed76ef5a 请参见 &man.portaudit.1; 以了解关于这个命令语法的更多细节。 请确信新添加的记录不会在输出中匹配不应匹配的项。 现在检查您添加的记录所匹配的版本是否正确： &prompt.user; portaudit clamav-0.65_6 clamav-0.65_7 Affected package: clamav-0.65_6 (matched by clamav<0.65_7) Type of problem: clamav remote denial-of-service. Reference: <http://www.freebsd.org/ports/portaudit/74a9541d-5d6c-11d8-80e3-0020ed76ef5a.html> 1 problem(s) found. 显然， 前一个版本会匹配， 而后一个不会。 最后， 验证您从 VuXML 数据库中能够正确地得到预期的网页效果： &prompt.user; mkdir -p ~/public_html/portaudit &prompt.user; packaudit &prompt.user; lynx ~/public_html/portaudit/74a9541d-5d6c-11d8-80e3-0020ed76ef5a.html 该做什么和不该做什么 介绍 这里是一些在移植软件时可能会遇到的常见问题。 您应按照这个列表检查自己的 port， 同样地， 您也可以帮助检查 PR 数据库 中由其它人提交的 port。 请按照在 问题报告和一般性注释 中介绍的方法提交您的看法。 帮助检查 PR 数据库中的 ports 即能够帮助我们更快地 commit 它们， 也能证明您清楚地了解如何完成这些工作。 <makevar>WRKDIR</makevar> (构建时使用的临时目录) 任何时候都不要在 WRKDIR 以外的位置写文件。 WRKDIR 是在 port 构建过程中唯一的一处一定可写的地方 (参见 如何从 CDROM 安装 port 以了解从只读的目录中构建和安装 port 的例子)。 如果您需要改变 pkg-* 文件， 请按照 重新定义某个变量 介绍的方法， 而不是覆盖它们来实现。 <makevar>WRKDIRPREFIX</makevar> (用于构建的临时目录的父目录名) 一定要确保您的 port 尊重 WRKDIRPREFIX 的设置。 绝大多数 port 并不需要担心这个。 具体说来， 当引用其它 port 的 WRKDIR 时， 需要注意正确的位置应该是 WRKDIRPREFIXPORTSDIR/subdir/name/work 而不是 PORTSDIR/subdir/name/work 或 .CURDIR/../../subdir/name/work， 或别的什么。 另外， 如果您自行定义了 WRKDIR， 也要把 ${WRKDIRPREFIX}${.CURDIR} 放到前面。 区分不同的操作系统， 以及 OS 的版本 在不同版本的 Unix 下可能需要对代码进行一些修改或增加少许编译选项， 才能够正确地编译和运行。 如果您需要根据一些条件来对代码进行修改， 请尽可能让这些修改通用， 这样， 我们就能够将这些代码移植回更早的 FreeBSD 系统， 并交叉移植到其它 BSD 系统， 例如来自 CSRG 的 4.4BSD， BSD/386， 386BSD， NetBSD 和 OpenBSD。 推荐的获得 4.3BSD/Reno (1990) 以及更新版本 BSD 代码版本号的方式， 是使用 sys/param.h 中所定义的 BSD 宏的值。 一般来说这个文件已经被引用了； 如果没有的话， 增加下述代码： #if (defined(__unix__) || defined(unix)) && !defined(USG) #include <sys/param.h> #endif 到 .c 文件中合适的地方。 我们相信所有定义了这两个符号的系统中， 都提供了 sys/param.h。 如果您发现有不这样做的系统， 请通过致信 &a.ports; 让我们了解这一情况。 另一种方法是使用 GNU Autoconf 风格的方式： #ifdef HAVE_SYS_PARAM_H #include <sys/param.h> #endif 采用这种方法时， 不要忘了把 -DHAVE_SYS_PARAM_H 加到 Makefile 中的 CFLAGS 里。 一旦引用了 sys/param.h， 您就可以使用： #if (defined(BSD) && (BSD >= 199103)) 来检测代码是否正在 4.3 Net2 代码基础， 或更新的系统上编译 (例如 FreeBSD 1.x， 4.3/Reno， NetBSD 0.9， 386BSD， BSD/386 1.1 以及更高版本)。 使用： #if (defined(BSD) && (BSD >= 199306)) 来检测代码是否正在 4.4 或更新的系统 (例如 FreeBSD 2.x， 4.4， NetBSD 1.0、 BSD/386 2.0 或更高版本)。 对于 4.4BSD-Lite2 代码系来说， BSD 宏的值应该是 199506。 这里只是作为信息提供， 您不应使用它来区分基于 4.4-Lite 的 FreeBSD 和基于 4.4-Lite2 的版本。 这些情况下， 您应使用 __FreeBSD__ 宏。 保守地使用： __FreeBSD__ 在所有版本的 FreeBSD 中皆有定义。 如果您正进行的修改 只 影响 FreeBSD， 则应使用这个宏。 类似 sys_errlist[] 之于 strerror() 这样的移植问题是伯克利代码系公用的， 而并非 FreeBSD 所专有。 在 FreeBSD 2.x 中， __FreeBSD__ 定义为 2。 更早版本中， 它曾经是 1。 新的版本都会在主要的版本号变化时变更它。 如果您需要区分 FreeBSD 1.x 系统和 FreeBSD 2.x 及更高版本的区别， 通常应使用前述的 BSD 宏来进行。 如果事实上需要一个 FreeBSD 专有的修改 (例如， 在使用 ld 时需要特殊的共享库选项)， 则可以用 __FreeBSD__ 和 #if __FreeBSD__ > 1 来检测 FreeBSD 2.x 和新系统上的变化。 如果需要更细粒度地检测 FreeBSD 2.0-RELEASE 之后版本的变化， 则可以使用： #if __FreeBSD__ >= 2 #include <osreldate.h> # if __FreeBSD_version >= 199504 /* 适用于 2.0.5+ 版本的代码 */ # endif #endif 在已有的数百个 port 中， 只有一两个应该使用 __FreeBSD__。 早期的 port 在不适当的地方使用了它并引发问题， 并不意味着您也必定如此。 __FreeBSD_version 值 下面是在 sys/param.h __FreeBSD_version 中定义的值及其意义的列表， 这里给出以方便您查阅： __FreeBSD_version 值 版本 __FreeBSD_version 2.0-RELEASE 119411 2.1-CURRENT 199501, 199503 2.0.5-RELEASE 199504 2.1 之前的 2.2-CURRENT 199508 2.1.0-RELEASE 199511 2.1.5 之前的 2.2-CURRENT 199512 2.1.5-RELEASE 199607 2.1.6 之前的 2.2-CURRENT 199608 2.1.6-RELEASE 199612 2.1.7-RELEASE 199612 2.2-RELEASE 220000 2.2.1-RELEASE 220000 (无变化) 在 2.2.1-RELEASE 之后的 2.2-STABLE 220000 (无变化) texinfo-3.9 之后的 2.2-STABLE 221001 top 之后的 2.2-STABLE 221002 2.2.2-RELEASE 222000 2.2.2-RELEASE 之后的 2.2-STABLE 222001 2.2.5-RELEASE 225000 2.2.5-RELEASE 之后的 2.2-STABLE 225001 合并 ldconfig -R 之后的 2.2-STABLE 225002 2.2.6-RELEASE 226000 2.2.7-RELEASE 227000 2.2.7-RELEASE 之后的 2.2-STABLE 227001 &man.semctl.2; 修改之后的 2.2-STABLE 227002 2.2.8-RELEASE 228000 2.2.8-RELEASE 之后的 2.2-STABLE 228001 &man.mount.2; 修改之前的 3.0-CURRENT 300000 &man.mount.2; 修改之后的 3.0-CURRENT 300001 &man.semctl.2; 修改之后的 3.0-CURRENT 300002 ioctl 参数变化之后的 3.0-CURRENT 300003 ELF 变换之后的 3.0-CURRENT 300004 3.0-RELEASE 300005 3.0-RELEASE 之后的 3.0-CURRENT 300006 3/4切分之后的 3.0-STABLE 300007 3.1-RELEASE 310000 3.1-RELEASE 之后的 3.1-STABLE 310001 C++ 构建/析构函数顺序变化之后的 3.1-STABLE 310002 3.2-RELEASE 320000 3.2-STABLE 320001 二进制不兼容的 IPFW 和 socket 变化之后的 3.2-STABLE 320002 3.3-RELEASE 330000 3.3-STABLE 330001 libc 中加入 &man.mkstemp.3; 之后的 3.3-STABLE 330002 3.4-RELEASE 340000 3.4-STABLE 340001 3.5-RELEASE 350000 3.5-STABLE 350001 3/4切分之后的 4.0-CURRENT 400000 修改动态连接器处理方式之后的 4.0-CURRENT 400001 C++ 构建/析构函数顺序变化之后的 400002 提供 &man.dladdr.3; 之后的 4.0-CURRENT 400003 修正了 __deregister_frame_info 的 4.0-CURRENT (也表示在 EGCS 1.1.2 集成之后的 4.0-CURRENT) 400004 &man.suser.9; API 变化之后的 4.0-CURRENT (也表示 newbus 之后的 4.0-CURRENT) 400005 cdevsw 注册机制改变之后的 4.0-CURRENT 400006 加入了 socket 级凭据的 so_cred 之后的 4.0-CURRENT 400007 在 libc_r 中加入 poll 系统调用接口之后的 4.0-CURRENT 400008 将内核中 dev_t 类型改为 struct specinfo 指针之后的 4.0-CURRENT 400009 修正了一处 &man.jail.2; 漏洞之后的 4.0-CURRENT 400010 sigset_t 数据类型改变之后的 4.0-CURRENT 400011 切换到 GCC 2.95.2 编译器之后的 4.0-CURRENT 400012 加入了可插的 linux模式 ioctl 处理程序后的 4.0-CURRENT 400013 引入 OpenSSL 之后的 4.0-CURRENT 400014 GCC 2.95.2 中 ABI 默认值从 -fvtable-thunks 改为 -fno-vtable-thunks 之后的 4.0-CURRENT 400015 引入 OpenSSH 之后的 4.0-CURRENT 400016 4.0-RELEASE 400017 4.0-RELEASE 之后的 4.0-STABLE 400018 引入延迟校验和之后的 4.0-STABLE 400019 将 libxpg4 的代码并入 libc 之后的 4.0-STABLE 400020 Binutils 升级到 2.10.0 之后的 4.0-STABLE， ELF 标志变化， 以及将 tcsh 引入基本系统 400021 4.1-RELEASE 410000 4.1-RELEASE 之后的 4.1-STABLE 410001 &man.setproctitle.3; 从 libutil 移入 libc 之后的 4.1-STABLE 410002 4.1.1-RELEASE 411000 4.1.1-RELEASE 之后的 4.1.1-STABLE 411001 4.2-RELEASE 420000 合并 libgcc.a 和 libgcc_r.a， 并修改了相关的 GCC 连接方式之后的 4.2-STABLE 420001 4.3-RELEASE 430000 引入 wint_t 之后的 4.3-STABLE 430001 PCI 电源状态 API 合并之后的 4.3-STABLE 430002 4.4-RELEASE 440000 引入 d_thread_t 之后的 4.4-STABLE 440001 mount 结构改变之后的 4.4-STABLE (影响文件系统 kld) 440002 用户态部分的 smbfs 被引入之后的 4.4-STABLE 440003 4.5-RELEASE 450000 usb 结构元素改名之后的 4.5-STABLE 450001 在 &man.rc.conf.5; 变量 sendmail_enable 默认值改为 NONE 之后的 4.5-STABLE 450004 默认将 XFree86 4 用于预编译包构建之后的 4.5-STABLE 450005 accept 过滤器修正了安全问题并且不再会轻易被 DoS 之后的 4.5-STABLE 450006 4.6-RELEASE 460000 修正了 &man.sendfile.2; 以吻合文档， 而不再根据发出的头计算发出数据量之后的 4.6-STABLE 460001 4.6.2-RELEASE 460002 4.6-STABLE 460100 MFC `sed -i' 之后的 4.6-STABLE 460101 MFC 许多 pkg_install 新特性之后的 4.6-STABLE 460102 4.7-RELEASE 470000 4.7-STABLE 470100 开始生成 __std{in,out,err}p 引用， 而不是 __sF。 这将 std{in,out,err} 从编译时表达式变成了运行时值。 470101 MFC mbuf 相关的将 m_aux mbuf 改为 m_tag 的修改之后的 4.7-STABLE 470102 OpenSSL 升级到 0.9.7 之后的 4.7-STABLE 470103 4.8-RELEASE 480000 4.8-STABLE 480100 &man.realpath.3; 变为线程安全的之后的 4.8-STABLE 480101 对 twe 的 3ware API 修改之后的 4.8-STABLE 480102 4.9-RELEASE 490000 4.9-STABLE 490100 kinfo_eproc 中加入 e_sid 之后的 4.9-STABLE 490101 MFC rtld 的 libmap 功能之后的 4.9-STABLE 490102 4.10-RELEASE 491000 4.10-STABLE 491100 MFC 20040629 版本的包维护工具之后的 4.10-STABLE 491101 修正了 VM 当解除 wire 不存在页面时的问题之后的 4.10-STABLE 491102 4.11-RELEASE 492000 4.11-STABLE 492100 将 libdata/ldconfig 目录加入 mtree 文件之后的 4.11-STABLE。 492101 5.0-CURRENT 500000 加入 ELF 头字段， 并改变我们的 ELF 执行文件标记方式之后的 5.0-CURRENT 500001 kld 元数据修改之后的 5.0-CURRENT 500002 buf/bio 修改之后的 5.0-CURRENT 500003 binutils 升级后的 5.0-CURRENT 500004 将 libxpg4 并入 libc， 以及引入 TASKQ 之后的 5.0-CURRENT 500005 加入 AGP 接口之后的 5.0-CURRENT 500006 Perl 升级到 5.6.0 之后的 5.0-CURRENT 500007 KAME 代码升级到 2000/07 之后的 5.0-CURRENT 500008 ether_ifattach() 和 ether_detach() 修改之后的 5.0-CURRENT 500009 将 mtree 改为原先的默认值， 并使用 -L 来跟随符号连接之后的 5.0-CURRENT 500010 kqueue API 修改之后的 5.0-CURRENT 500011 &man.setproctitle.3; 从 libutil 挪到 libc 之后的 5.0-CURRENT 500012 首个 SMPng commit 之后的 5.0-CURRENT 500013 <sys/select.h> 改为 <sys/selinfo.h> 之后的 5.0-CURRENT 500014 libgcc.a 和 libgcc_r.a 以及 GCC 连接方式变动之后的 5.0-CURRENT 500015 修改以允许 libc 和 libc_r 连接到一起， 不再鼓励使用 -pthread 之后的 5.0-CURRENT 500016 从 struct ucred 切换到 struct xucred 以便使内核为 mountd 等程序导出的 API 稳定下来之后的 5.0-CURRENT 500017 加入 CPUTYPE 用于 CPU 专用的优化的 make 变量之后的 5.0-CURRENT 500018 machine/ioctl_fd.h 改为 sys/fdcio.h 之后的 5.0-CURRENT 500019 locale 名称改变之后的 5.0-CURRENT 500020 引入 bzip2 之后的 5.0-CURRENT， 同时也代表删去了 S/Key 500021 加入 SSE 支持之后的 5.0-CURRENT 500022 KSE 第2个里程碑之后的 5.0-CURRENT 500023 d_thread_t 之后的 5.0-CURRENT， 同时 UUCP 被移入 ports 500024 64-位平台上的描述符和 creds API 变化之后的 5.0-CURRENT 500025 采用 XFree86 4 作为默认的预编译包， 以及加入 strnstr() libc 函数之后的 5.0-CURRENT 500026 加入 strcasestr() libc 函数之后的 5.0-CURRENT 500027 引入了用户态的 smbfs 组件之后的 5.0-CURRENT 500028 加入了新的 C99 指定位宽整形变量之后的 5.0-CURRENT (未予增加) 修改了 &man.sendfile.2; 的返回值之后的 5.0-CURRENT 500029 引入适合表达文件标志的 fflags_t 类型之后的 5.0- 500030 usb 结构元素改名之后的 5.0-CURRENT 500031 引入 Perl 5.6.1 之后的 5.0-CURRENT 500032 &man.rc.conf.5; 变量 sendmail_enable 默认值改为 NONE 之后的 5.0-CURRENT 500033 mtx_init() 增加了第三个参数之后的 5.0-CURRENT 500034 包含 Gcc 3.1 的 5.0-CURRENT 500035 在 /usr/src 中删去了 Perl 的 5.0-CURRENT 500036 加入 &man.dlfunc.3; 之后的 5.0-CURRENT 500037 一些 struct sockbuf 的成员变为结构， 并重新排列顺序之后的 5.0-CURRENT 500038 引入 GCC 3.2.1 之后的 5.0-CURRENT。 头文件也不再使用 _BSD_FOO_T_ 而开始使用 _FOO_T_DECLARED。 这个值还可以用于作为一个包含使用 &man.bzip2.1; 的预编译包支持的预期点。 500039 以去掉对 disklabel 结构内容的依赖的名义， 对磁盘相关的函数进行了许多修改之后的 5.0-CURRENT 500040 libc 中加入 &man.getopt.long.3; 之后的 5.0-CURRENT 500041 Binutils 2.13 升级， 包含了新的 FreeBSD 模拟， vec 以及输出格式之后的 5.0-CURRENT 500042 libc 中加入了弱 pthread_XXX 符号之后的 5.0-CURRENT， 从而淘汰了 libXThrStub.so。 5.0-RELEASE。 500043 创建 RELENG_5_0 分支之后的 5.0-CURRENT 500100 <sys/dkstat.h> 变成了一个空文件， 不应再被引用 500101 修改 d_mmap_t 接口之后的 5.0-CURRENT 500102 taskqueue_swi 以无全局锁的方式运行之后的 5.0-CURRENT， 同时还加入了使用全局锁的 taskqueue_swi_giant 500103 去掉了 cdevsw_add() 和 cdevsw_remove() 出现 MAJOR_AUTO 分配机制 500104 采用新的 cdevsw 初始化方法之后的 5.0-CURRENT 500105 devstat_add_entry() 被 devstat_new_entry() 取代 500106 修改 devstat 接口； 请参见 sys/sys/param.h 1.149 500107 改变了 Token-Ring 接口 500108 加入 vm_paddr_t 500109 将 &man.realpath.3; 改为线程安全之后的 5.0-CURRENT 500110 &man.usbhid.3; 与 NetBSD 同步之后的 5.0-CURRENT 500111 加入新的 NSS 实现， 以及 POSIX.1 getpw*_r, getgr*_r 函数之后的 5.0-CURRENT 500112 删去旧式 rc 系统之后的 5.0-CURRENT 500113 5.1-RELEASE. 501000 创建 RELENG_5_1 分支之后的 5.1-CURRENT 501100 改正 sigtimedwait(2) 和 sigwaitinfo(2) 语义之后的 5.1-CURRENT 501101 在 &man.bus.dma.tag.create.9; 中加入了 lockfunc 和 lockfuncarg 字段之后的 5.1-CURRENT 501102 集成了 GCC 3.3.1-pre 20030711 之后的 5.1-CURRENT 501103 twe 中 3ware API 变化之后的 5.1-CURRENT 501104 允许动态连接 /bin 和 /sbin， 以及将某些库移动到 /lib 之后的 5.1-CURRENT 501105 增加内核级 Coda 6.x 支持之后的 5.1-CURRENT 501106 将 16550 UART 常量从 <dev/sio/sioreg.h> 挪到 <dev/ic/ns16550.h> 之后的 5.1-CURRENT。 此外， rtld 也从此无条件支持 libmap 功能 501107 更新 PFIL_HOOKS API 之后的 5.1-CURRENT 501108 增加 kiconv(3) 之后的 5.1-CURRENT 501109 默认的 cdevsw open 和 close 操作变化之后的 5.1-CURRENT 501110 cdevsw 的布局变化之后的 5.1-CURRENT 501111 增加 kobj 多继承之后的 5.1-CURRENT 501112 修改 struct ifnet 中的 if_xname 之后的 5.1-CURRENT 501113 将 /bin 和 /sbin 改为动态连接之后的 5.1-CURRENT 501114 5.2-RELEASE 502000 5.2.1-RELEASE 502010 创建 RELENG_5_2 分支之后的 5.2-CURRENT 502100 libc 中加入了 __cxa_atexit/__cxa_finalize 两个函数之后的 5.2-CURRENT 502101 默认线程库从 libc_r 改为 libpthread 之后的 5.2-CURRENT 502102 设备驱动 API 大规模翻修之后的 5.2-CURRENT 502103 增加 getopt_long_only() 之后的 5.2-CURRENT 502104 C 的 NULL 定义改为 ((void *)0) 之后的 5.2-CURRENT， 这会产生更多的编译警告 502105 pf 连入构建和安装过程之后的 5.2-CURRENT 502106 在 sparc64 上将 time_t 改为 64-位 值之后的 5.2-CURRENT 502107 在一些头文件修改以支持 Intel C/C++ 编译器， 以及让 execve(2) 更严格地符合 POSIX 之后的 5.2-CURRENT 502108 引入 bus_alloc_resource_any API 之后的 5.2-CURRENT 502109 加入 UTF-8 locale 之后的 5.2-CURRENT 502110 删去 getvfsent(3) API 之后的 5.2-CURRENT 502111 为 make(1) 增加 .warning 语句之后的 5.2-CURRENT 502112 所有串口设备都强制使用 ttyioctl() 之后的 5.2-CURRENT 502113 引入 ALTQ 框架之后的 5.2-CURRENT 502114 修改 sema_timedwait(9) 使其成功时返回 0， 失败时返回非 0 的错误代码之后的 5.2-CURRENT 502115 将内核 dev_t 改为指向 struct cdev * 的指针之后的 5.2-CURRENT 502116 将内核 udev_t 改为 dev_t 之后的 5.2-CURRENT 502117 为 clock_gettime(2) 和 clock_getres(2) 增加 CLOCK_VIRTUAL 和 CLOCK_PROF 支持之后的 5.2-CURRENT 502118 对网络接口复制进行全面修改之后的 5.2-CURRENT 502119 package 工具升级为 20040629 之后的 5.2-CURRENT 502120 不再将蓝牙代码标记为 i386 专用之后的 5.2-CURRENT 502121 引入 KDB 调试器框架之后的 5.2-CURRENT。 同时还引入了 DDB 作为后台， 以及 GDB 后台。 502122 修改 VFS_ROOT 和 vflush 使其使用一个 struct thread 参数之后的 5.2-CURRENT。 struct kinfo_proc 增加了一个用户数据指针。 同时， 默认的 X 实现切换为 xorg 502123 将使用 rc.d 和传统脚本的 port 分别启动之后的 5.2-CURRENT 502124 取消前一修改之后的 5.2-CURRENT 502125 删除 kmem_alloc_pageable() 并引入 gcc 3.4.2 的 5.2-CURRENT 502126 修改 UMA 内核 API 允许构建函数和初始化失败之后的 5.2-CURRENT 502127 vfs_mount 签名和全局替换 suser(9) API 的 PRISON_ROOT 为 SUSER_ALLOWJAIL 之后的 5.2-CURRENT 502128 pfil API 修改之前的 5.3-BETA/RC 503000 5.3-RELEASE 503001 创建 RELENG_5_3 分支之后的 5.3-STABLE 503100 加入了 glibc 风格的 &man.strftime.3; 填充选项的 5.3-STABLE 503101 MFC OpenBSD 的 nc(1) 之后的 5.3-STABLE 503102 在 MFC 了 <src/include/stdbool.h> 和 <src/sys/i386/include/_types.h> 用于兼容 GCC 和 Intel C/C++ 编译器的修正之后的 5.4-PRERELEASE 503103 MFC 了将 ifi_epoch 由 wall 时钟时间改为 uptime 之后的 5.4-PRERELEASE 503104 MFC 了 vswprintf(3) 中的 EOVERFLOW 检查的 5.4-PRERELEASE 503105 5.4-RELEASE. 504000 创建 RELENG_5_4 分支之后的 5.4-STABLE 504100 加大默认线程堆栈尺寸之后的 5.4-STABLE 504101 加入 sha256 之后的 5.4-STABLE 504102 MFC if_bridge 之后的 5.4-STABLE 504103 bsdiff 和 portsnap MFC 之后的 5.4-STABLE 504104 在 MFC 了 ldconfig_local_dirs 修改之后的 5.4-STABLE。 504105 5.5-RELEASE. 505000 在创建 RELENG_5_5 分支之后的 5.5-STABLE 505100 6.0-CURRENT 600000 内核中永久性启用 PFIL_HOOKS 之后的 6.0-CURRENT 600001 最初将 ifi_epoch 加入 if_data 结构之后的 6.0-CURRENT。 此后不久即被撤销。 请不要使用这个值。 600002 if_data 中再次加入 ifi_epoch 成员之后的 6.0-CURRENT 600003 将 struct inpcb 参数加入 pfil API 之后的 6.0-CURRENT 600004 newsyslog 加入了 "-d DESTDIR" 参数之后的 6.0-CURRENT 600005 加入了 glibc 风格的 &man.strftime.3; 填充选项之后的 6.0-CURRENT 600006 加入了 802.11 框架更新之后的 6.0-CURRENT 600007 修改 VOP_*VOBJECT() 并为无全局锁的文件系统引入 MNTK_MPSAFE 标志之后的 6.0-CURRENT 600008 加入 cpufreq 框架和驱动之后的 6.0-CURRENT 600009 引入 OpenBSD 的 nc(1) 之后的 6.0-CURRENT 600010 删去并不存在的 SVID2 matherr() 支持之后的 6.0-CURRENT 600011 增大默认线程堆栈尺寸之后的 6.0-CURRENT 600012 增加了针对 <src/include/stdbool.h> 和 <src/sys/i386/include/_types.h> 的用于 Intel C/C++ 编译器的 GCC-兼容性修正。 600013 修正了 vswprintf(3) 的 EOVERFLOW 检查之后的 6.0-CURRENT 600014 将 struct if_data 成员 ifi_epoch 从 wall 时钟时间改为 uptime 之后的 6.0-CURRENT 600015 修改 LC_CTYPE 磁盘格式之后的 6.0-CURRENT 600016 修改 NLS 编录磁盘格式之后的 6.0-CURRENT 600017 修改 LC_COLLATE 磁盘格式之后的 6.0-CURRENT 600018 将 acpica 头文件安装到 /usr/include 600019 为 send(2) API 加入了 MSG_NOSIGNAL 600020 在 cdevsw 上增加了一些字段 600021 基本系统中删去了 gtar 600022 unix(4) 中加入了 LOCAL_CREDS, LOCAL_CONNWAIT 两个 socket 选项 600023 加入了 &man.hwpmc.4; 及其相关工具之后的 6.0-CURRENT 600024 加入 struct icmphdr 之后的 6.0-CURRENT 600025 pf 更新到了 3.7 600026 引入了内核 libalias 和 ng_nat 600027 将 ttyname_r(3) 接口改为符合 POSIX 标准， 并通过 unistd.h 和 libc 600028 将 libpcap 升级为 v0.9.1 alpha 096 之后的 6.0-CURRENT 600029 引入 NetBSD 的 if_bridge(4) 之后的 6.0-CURRENT 600030 将 struct ifnet 从驱动的 softc 中拆出之后的 6.0-CURRENT。 600031 引入了 libpcap v0.9.1 之后的 6.0-CURRENT。 600032 所有自 RELENG_5 以来没有修改过的共享库的版本递增之后的 6.0-STABLE。 600033 为 dev_clone 事件处理函数增加身份信息参数之后的 6.0-STABLE。 6.0-RELEASE。 600034 6.0-RELEASE 之后的 6.0-STABLE 600100 将 local_startup 目录中的脚本集成到基本系统的 &man.rcorder.8; 之后的 6.0-STABLE。 600101 更新 ELF 类型和常量之后的 6.0-STABLE。 600102 MFC 了 pidfile(3) API 之后的 6.0-STABLE。 600103 在 MFC 了 ldconfig_local_dirs 修改之后的 6.0-STABLE。 600104 在 csh(1) 中加入了 NLS 目录支持之后的 6.0-STABLE。 600105 6.1-RELEASE 601000 6.1-RELEASE 之后的 6.1-STABLE。 601100 引入 csup 之后的 6.1-STABLE。 601101 更新了 iwi(4) 之后的 6.1-STABLE。 601102 将域名解析函数更新至 BIND9， 并导出了可重入版本的 netdb 函数之后的 6.1-STABLE。 601103 在 OpenSSL 中启用了 DSO (动态共享库) 支持之后的 6.1-STABLE。 601104 由于 802.11 修正变动了 IEEE80211_IOC_STA_INFO ioctl API 之后的 6.1-STABLE。 - 601104 + 601105 6.2-RELEASE 602000 6.2-RELEASE 之后的 6.2-STABLE。 602100 加入 Wi-Spy quirk 之后的 6.2-STABLE。 602101 增加 pci_find_extcap() 之后的 6.2-STABLE。 602102 MFC 了对 dlsym 进行修改， 使其在指定 dso 及其暗指的依赖中查找符号之后的 6.2-STABLE。 602103 MFC 了 netgraph 节点 ng_deflate(4) 和 ng_pred1(4) 以及用于 ng_ppp(4) 节点的新压缩及加密模式之后的 6.2-STABLE。 602104 MFC 了从 NetBSD 移植的 BSD 授权的 &man.gzip.1; 之后的 6.2-STABLE。 602105 MFC 了 PCI MSI 和 MSI-X 支持之后的 6.2-STABLE。 602106 MFC 了包含宽字符支持的 ncurses 5.6 之后的 6.2-STABLE。 602107 MFC 了实现 Linux SCSI SG 直通设备 API 子集的 CAM 'SG' 设备之后的 6.2-STABLE。 602108 MFC 了 readline 5.2 patchset 002 之后的 6.2-STABLE。 602109 MFC 了用于 amd64 和 i386 的 pmap_invalidate_cache()、 pmap_change_attr()、 pmap_mapbios()、 pmap_mapdev_attr()、 and pmap_unmapbios() 之后的 6.2-STABLE。 602110 由于 MFC 了 BOP_BDFLUSH 导致文件系统模块 KBI 变化之后的 6.2-STABLE。 602111 一系列 libutil(3) MFC 之后的 6.2-STABLE。 602112 + + MFC 了宽字符和单字节 ctype 函数分拆之后的 6.2-STABLE。 + 新编译的引用了 ctype.h 的可执行文件， + 可能会需要一个在旧系统上不存在的新增符号 __mb_sb_limit。 + 602113 + + + 恢复了 ctype ABI 向前兼容性之后的 6.2-STABLE。 + 602114 + 7.0-CURRENT。 700000 所有自 RELENG_5 以来没有修改过的共享库的版本递增之后的 7.0-CURRENT。 700001 为 dev_clone 事件处理函数中增加身份信息参数之后的 7.0-CURRENT。 700002 将 memmem(3) 加入 libc 之后的 7.0-CURRENT。 700003 将 solisten(9) 改为接受一 backlog 参数之后的 7.0-CURRENT。 700004 将 IFP2ENADDR() 改为返回一 IF_LLADDR() 指针之后的 7.0-CURRENT。 700005 在 struct ifnet 中增加 if_addr 成员， 并删除 IFP2ENADDR() 之后的 7.0-CURRENT。 700006 将 local_startup 目录中的脚本集成到基本系统的 &man.rcorder.8; 之后的 7.0-CURRENT。 700007 去掉 MNT_NODEV 挂接选项之后的 7.0-CURRENT。 700008 对 ELF-64 类型和符号版本进行变更之后的 7.0-CURRENT。 700009 增加 hostb 和 vgapci 驱动、 pci_find_extcap()， 并将 AGP 驱动改为不再影射 aperature 之后的 7.0-CURRENT。 700010 除 Alpha 之外的所有平台上 tv_sec 改为 time_t 之后的 7.0-CURRENT。 700011 修改 ldconfig_local_dirs 之后的 7.0-CURRENT。 700012 在修改了 /etc/rc.d/abi 以支持 /compat/linux/etc/ld.so.cache 以某只读文件系统上的符号连接形式存在之后的 7.0-CURRENT。 700013 引入 pts 之后的 7.0-CURRENT。 700014 在引入 &man.hwpmc.4; 的第 2 版 ABI 之后的 7.0-CURRENT。 700015 在 libc 中加入了 &man.fcloseall.3; 之后的 7.0-CURRENT。 700016 删去 ip6fw 之后的 7.0-CURRENT。 700017 引入了 snd_emu10kx 之后的 7.0-CURRENT。 700018 引入了 OpenSSL 0.9.8b 之后的 7.0-CURRENT。 700019 增加了 bus_dma_get_tag 函数之后的 7.0-CURRENT。 700020 在引入了 libpcap 0.9.4 和 tcpdump 3.9.4 之后的 7.0-CURRENT。 700021 在对 dlsym 进行修改， 使其在指定 dso 及其暗指的依赖中查找符号之后的 7.0-CURRENT。 700022 加入新的声音 IOCTL 之后的 7.0-CURRENT。 700023 汇入 OpenSSL 0.9.8d 之后的 7.0-CURRENT。 700024 加入了 libelf 之后的 7.0-CURRENT。 700025 对音效相关的 sysctl 进行大幅调整之后的 7.0-CURRENT。 700026 加入 Wi-Spy quirk 之后的 7.0-CURRENT。 700027 在 libc 中加入 sctp 调用之后的 7.0-CURRENT。 700028 将 GNU &man.gzip.1; 实现替换为从 NetBSD 移植的采用 BSD 授权版本之后的 7.0-CURRENT。 700029 在 IPv4 多播转发代码中删去了 IPIP 隧道封装 (VIFF_TUNNEL) 之后的 7.0-CURRENT。 700030 修改了 bus_setup_intr() (newbus) 之后的 7.0-CURRENT。 700031 引入了 ipw(4) 和 iwi(4) 固件之后的 7.0-CURRENT。 700032 在 ncurses 中引入了宽字符支持之后的 7.0-CURRENT。 700033 修改了 insmntque()、 getnewvnode() 以及 vfs_hash_insert() 工作方式之后的 7.0-CURRENT。 700034 增加 CPU 频率变动通知机制之后的 7.0-CURRENT。 700035 引入了 ZFS 文件系统之后的 7.0-CURRENT。 700036 新增了实现 Linux SCSI SG 直通设备 API 子集的 CAM 'SG' 设备之后的 7.0-CURRENT。 700037 将 &man.getenv.3;、 &man.putenv.3;、 &man.setenv.3; 和 &man.unsetenv.3; 改为符合 POSIX 之后的 7.0-CURRENT。 700038 回退了 700038 中的变动之后的 7.0-CURRENT。 700039 在 libutil 中增加了 &man.flopen.3; 之后的 7.0-CURRENT。 700040 启用了符号版本， 并将 libthr 改为默认线程库之后的 7.0-CURRENT。 700041 引入了 gcc 4.2.0 之后的 7.0-CURRENT。 700042 将 RELENG_6 之后未修改过版本的共享库版本增加之后的 7.0-CURRENT。 700043 将 vn_open()/VOP_OPEN() 的参数由文件描述符数组下标改为 struct file * 之后的 7.0-CURRENT。 700044 修改 &man.pam.nologin.8; 使其向 PAM 框架提供帐号管理功能而非身份验证功能之后的 7.0-CURRENT。 700045 更新 802.11 无线支持之后的 7.0-CURRENT。 700046 增加 TCP LRO 网络接口能力之后的 7.0-CURRENT。 700047 在 IPv4 协议栈中加入了 RFC 3678 API 支持之后的 7.0-CURRENT。 先前 IP_MULTICAST_IF ioctl 的 RFC 1724 行为被删去； 0.0.0.0/8 不再能够用于指定接口索引下标， 而应使用 struct ipmreqn 代替。 700048 引入 OpenBSD 4.1 的 pf 之后的 7.0-CURRENT。 700049 为 FAST_IPSEC 增加 IPv6 支持， 删去 KAME IPSEC， 并将 FAST_IPSEC 更名为 IPSEC 之后的 7.0-CURRENT。 (未变动) 将 setenv/putenv/等等调用， 从传统 BSD 改为 POSIX 标准之后的 7.0-CURRENT。 700050 增加新的 mmap/lseek/等等这些系统调用之后的 7.0-CURRENT。 700051 将 I4B 头文件移动到 include/i4b 之后的 7.0-CURRENT。 700052 + + 增加了 PCI domain 支持之后的 7.0-CURRENT。 + 700053 + + + MFC 了宽字符和单字节字符 ctype 分拆之后的 7.0-CURRENT。 + 700054 + + + MFC 了恢复对 FreeBSD 4/5/6 版本的 PCIOCGETCONF、 + PCIOCREAD 和 PCIOCWRITE IOCTL ABI 向下兼容之后的 7.0-CURRENT， + 这一变动导致 PCIOCGETCONF IOCTL 的 ABI 再次发生变化。 + 700055 + + 8.0-CURRENT。 分拆了宽字符和单字节字符 + ctype。 + 800000 + + + 引入了 libpcap 0.9.8 和 tcpdump 3.9.8 之后的 8.0-CURRENT。 + 800001 + + + 将 kthread_create() 系列函数改名为 kproc_create() 之后的 8.0-CURRENT。 + 800002 + + + 恢复了对 FreeBSD 4/5/6 版本的 PCIOCGETCONF、 + PCIOCREAD 和 PCIOCWRITE IOCTL ABI 向下兼容之后的 8.0-CURRENT， + 这一变动导致 PCIOCGETCONF IOCTL 的 ABI 再次发生变化。 + 800003 + + + 将 agp(4) 驱动从 + src/sys/pci 挪到 src/sys/dev/agp 之后的 8.0-CURRENT。 + 800004 +
请注意， 2.2.5-RELEASE 之后有一段时间的 2.2-STABLE 会声称自己是 2.2.5-STABLE。 这种模式的版本号表示的是年月。 但随后， 我们决定， 从 2.2 开始， 将它改为更为简洁的 主/次 版本号的形式来命名版本。 这是因为并行地在多个分支上进行开发， 使得通过实际的发布日期来区分不同的版本变得不再显示。 如果您正在做新的 port， 应该不需要担心较早的 -CURRENT； 在此列出仅供参考。 在 <filename>bsd.port.mk</filename> 之后写一些内容 不要在 .include <bsd.port.mk> 这行之后增加任何内容。 这通常可以通过在您的 Makefile 中间的某处引用 bsd.port.pre.mk， 并在结尾的地方引用 bsd.port.post.mk 来避免。 只能够采用 bsd.port.pre.mk/bsd.port.post.mk 或 bsd.port.mk 两种写法之一； 任何时候都不要同时使用两种写法。 bsd.port.pre.mk 只定义了很少的变量， 它们可以在 Makefile 中用于进行一些测试， 而 bsd.port.post.mk 则定义了所有其它的变量。 下面是一些由 bsd.port.pre.mk 定义的比较重要的变量 (这并不是一份完整的列表， 您可以阅读 bsd.port.mk 以获得全部变量的名字)。 变量 描述 ARCH 由 uname -m 输出得到的硬件架构的名字 (例如， i386) OPSYS 由 uname -s 返回的操作系统类型 (例如， FreeBSD) OSREL 操作系统的版本号 (例如 2.1.5 或 2.2.7) OSVERSION 操作系统的版本号的数值形式； 它等于 __FreeBSD_version。 PORTOBJFORMAT 系统默认的执行文件格式 (elf 或 aout； 请注意， 现代的 FreeBSD 版本中， aout 已在淘汰之列。) LOCALBASE local 目录的根 (例如， /usr/local/) X11BASE X11 目录的根 (例如， /usr/X11R6) PREFIX port 应被安装到哪里 (参见 关于 PREFIX 的更多说明)。 如果您需要定义 USE_IMAKE， USE_X_PREFIX， 或 MASTERDIR 这些变量， 则应在引用 bsd.port.pre.mk 之前完成。 下面是一些在引用 bsd.port.pre.mk 之后可以进行的判断： # 如果 perl5 已经在系统中提供， 则不必编译 lang/perl5 .if ${OSVERSION} > 300003 BROKEN= perl is in system .endif # ELF 只使用一个 shlib 版本 .if ${PORTOBJFORMAT} == "elf" TCL_LIB_FILE= ${TCL_LIB}.${SHLIB_MAJOR} .else TCL_LIB_FILE= ${TCL_LIB}.${SHLIB_MAJOR}.${SHLIB_MINOR} .endif # 软件会自动为 ELF 创建符号链接， 但 a.out 则需要另行创建 post-install: .if ${PORTOBJFORMAT} == "aout" ${LN} -sf liblinpack.so.1.0 ${PREFIX}/lib/liblinpack.so .endif 您还记得应该在 BROKEN= 和 TCL_LIB_FILE= 后面使用制表符， 而不是空格， 对吧？ :-) 在 wrapper 脚本中使用 <function>exec</function> 语句 如果 port 安装了用以启动其他程序的脚本， 并且运行其他程序是这些脚本的最后一项操作， 请务必使用 exec 语句来运行这些程序， 例如： #!/bin/sh exec %%LOCALBASE%%/bin/java -jar %%DATADIR%%/foo.jar "$@" 使用 exec 语句表示执行指定的程序来取代 shell 进程。 如果省略了 exec， 则 shell 进程会一直在内存中， 从而不必要地消耗了额外的系统资源。 UID 和 GID 最新的预留 UID 和 GID 可以在 ports/UIDs 和 ports/GIDs 这两个文件中找到。 如果您的 port 安装到系统上之前需要一些用户， 请使用 pkg-install 脚本来调用 pw 以便自动地创建它们。 请参见 net/cvsup-mirror 提供的例子。 请注意我们强烈地不推荐这样做。 请在前面提到的那两个文件中注册所需的用户/组 ID 号。 如果您的 port 需要与其编译成安装包时同样的用户/组 ID， 则必须在 50 到 999 之间选择一个未用的 UID 并在 ports/UIDs (用于用户) 或 ports/GIDs (用于组) 中进行注册。 请参见 japanese/Wnn6 提供的例子。 如果您的 port 需要在这一范围内预留新的 UID 或 GID 的话， 请同时提交修改这两个文件的补丁。 理性行事 任何 Makefile 都应该简单并理性地行事。 如果您能让其中的条目更为简单和易读， 一定要这样做。 例如， 使用 make 提供的 .if 结构， 而不要使用 shell 的 if， 只要能重定义 EXTRACT* 就不要重载 do-extract， 尽量使用 GNU_CONFIGURE 而不是 CONFIGURE_ARGS += --prefix=${PREFIX}。 如果您在尝试做什么事情的时候发现不得不写大量的代码， 请回过头来复审一下 bsd.port.mk， 看看是否有您正打算做的事情的现成实现。 尽管读起来可能很费劲， 但有很多貌似很难的问题， 在 bsd.port.mk 中都给出了十分简便的解决方案。 遵循 <makevar>CC</makevar> 和 <makevar>CXX</makevar> 设置 port 应遵循 CC 和 CXX 变量的设置。 这也就是说， port 不应使用绝对的方式来设置这个变量的值， 而罔顾已经存在的设置； 与此相反， 它应该在其值后加入需要的其它值。 这样， 就可以设置全局的构建选项， 令其影响所有的 port 构建过程了。 如果实在无法这样做， 请在 Makefile 中加入 NO_PACKAGE=ignores cflags。 下面的 Makefile 实例给出了如何遵循 CC 和 CXX 变量的设置。 注意这里用到的 ?=： CC?= gcc CXX?= g++ 下面则是没有遵循 CC 和 CXX 的例子： CC= gcc CXX= g++ 在 FreeBSD 系统中， CC 和 CXX 这两个变量都可以在 /etc/make.conf 中自行定义。 第一个例子只有在 /etc/make.conf 中没有定义时才对这两个变量进行定义， 从而保持了系统范围的配置。 而第二个例子则会覆盖任何现有的配置。 遵循 <makevar>CFLAGS</makevar> 您的 port 应遵循 CFLAGS 变量的设置。 这也就是说， port 不应使用绝对的方式来设置这个变量的值， 而罔顾已经存在的设置； 与此相反， 它应该在其值后加入需要的其它值， 这样， 就可以设置全局的构建选项， 令其影响所有的 port 构建过程了。 如果实在无法这样做， 请在 Makefile 中加入 NO_PACKAGE=ignores cflags。 下面的 Makefile 例子， 可以帮助我们理解如何遵循 CFLAGS 的设置。 注意所用的 +=： CFLAGS+= -Wall -Werror 下面是一个未能遵循 CFLAGS 设置的例子： CFLAGS= -Wall -Werror 一般来说， CFLAGS 在 FreeBSD 系统中是在 /etc/make.conf 里配置的。 第一个例子在 CFLAGS 变量中增加了一些参数， 并保持了所有系统预定义的标志。 而第二个例子， 则会覆盖掉任何先前定义的参数。 您应从第三方软件的 Makefile 中去掉特殊的优化设置。 系统的 CFLAGS 给出了全系统范围内的优化设置参数。 下面是一个未经修改的 Makefile 实例： CFLAGS= -O3 -funroll-loops -DHAVE_SOUND 如果使用系统的优化参数， 则 Makefile 中的设置应该类似下面这样： CFLAGS+= -DHAVE_SOUND 线程库 在 &os; 上， 线程库必须通过特殊的连接器参数 -pthread 连接到可执行文件。 如果 port 一定要直接连接 -lpthread 或 -lc_r， 则应将其改为使用由 ports 框架提供的 PTHREAD_LIBS。 这个变量的值通常是 -pthread， 但在某些特定平台上的 &os; 版本中， 它可能是其它值， 因此， 不要将 -pthread 硬编码到您的补丁中， 而应使用 PTHREAD_LIBS 变量。 如果设置了 PTHREAD_LIBS， 而在构建时出现 unrecognized option '-pthread' 这样的错误， 可能需要通过将 CONFIGURE_ENV 设为 LD=${CC} 来使用 gcc 作为连接器。 -pthread 这一选项并不为 ld 所直接支持。 反馈 如果进行了一些很好的修改和补丁， 一定要把它们发回给原作者， 或维护者， 以便在下一版本的代码中包含它们。 这会让您在软件发布新版本的时候变得轻松一些。 <filename>README.html</filename> 不要包含 README.html 文件。 这个文件并非 CVS 代码库中的一部分， 它是由 make readme 命令生成的。 使用 <makevar>BROKEN</makevar>、 <makevar>FORBIDDEN</makevar> 或 <makevar>IGNORE</makevar> 阻止用户安装 port 某些时候会需要阻止用户安装某个 port。 想要告诉用户某个 port 不应被安装， 有许多可以在 port 的 Makefile 中使用的 make 变量。 下列 make 的值， 将是在用户试图安装时得到的提示信息。 务请使用正确的 make 变量， 因为每一个都表达了截然不同的意义， 而且许多自动化系统， 例如 port 构建集群、 FreshPorts， 以及 portsmon， 都依赖于 Makefile 的正确性。 变量 BROKEN 专门用于表达目前无法正确编译、 安装或卸载这类问题。 如果是临时性的问题， 则可以使用它。 如果进行了相关的配置， 则构建集群仍将尝试构建它， 以确认导致问题的深层问题是否已被解决。 (不过， 一般情况下， 构建集群并不会这样做。) 举例来说， 当 port 发生下述情况时， 应使用 BROKEN： 无法编译 (does not compile) 无法正确进行配置或安装操作 在 ${LOCALBASE} 和 ${X11BASE} 以外的地方安装文件 卸载时无法删除所安装的全部文件 (不过， 留下用户改过的文件可接受的， 因为可能希望这样作) FORBIDDEN 用于表示 ports 中包含安全漏洞， 或者可能会给安装了这个 port 的 FreeBSD 系统带来严重的安全隐患 (例如： 一个很不安全的程序， 或包含了能够被轻易攻陷的服务的软件)。 如果发现了安全漏洞， 而其作者没有发布升级版本， 则应立即把那个 port 标记为 FORBIDDEN。 理想情况下， 包含安全漏洞的 port 应被尽快升级， 以便减少包含漏洞的 FreeBSD 主机的数量 (我们希望保持良好的安全记录)， 然而， 有时在安全漏洞的披露和软件更新之间可能会有一个间隔， 此时应予以说明。 除了安全之外， 请不要以任何其它理由将 port 标记为 FORBIDDEN。 IGNORE 用来表示 port 由于某些其它原因不应予以构建。 如果认为发生了结构性的问题， 则应使用它。 任何情况下， 构建集群都不会构建标记为 IGNORE 的 port。 以下是使用 IGNORE 的一些例子： 能够编译但无法正常运行 无法与运行的 &os; 版本一同工作 构建时需要 &os; 内核的源代码， 但用户没有安装它们 由于授权原因， 必须手工下载 distfile 无法与的某个已安装的 port 一同工作 (例如， port 依赖于 www/apache21 而安装的则是 www/apache13) 如果 port 与某个已经安装的 port 冲突 (例如， 它们在同一位置安装同名但功能不同的文件)， 则应 使用 CONFLICTS 来标记它。 CONFLICTS 将自动地设置 IGNORE。 如果 port 只应在某些平台上标记为 IGNORE， 还有另外两个方便使用的 IGNORE 变量可供选择： ONLY_FOR_ARCHS 和 NOT_FOR_ARCHS。 例如： ONLY_FOR_ARCHS= i386 amd64 NOT_FOR_ARCHS= alpha ia64 sparc64 可以使用 ONLY_FOR_ARCHS_REASON 和 NOT_FOR_ARCHS_REASON 来配置定制的 IGNORE 消息。 此外， 还可以使用 ONLY_FOR_ARCHS_REASON_ARCH 和 NOT_FOR_ARCHS_REASON_ARCH 来分别指定与具体平台有关的信息。 如果 port 会下载并安装用于 i386 的预编译二进制文件， 则应设置 IA32_BINARY_PORT。 如果设置了这个变量， 则系统会检查是否已经在 /usr/lib32 目录中安装了 IA32 版本的函数库， 以及内核是否提供了 IA32 兼容支持。 如果这些依赖条件不满足， 则会自动设置 IGNORE。 实现说明 这些字串不应使用引号括起来。 此外， 由于显示给用户的方式不同， 这些字串的措辞也应有所不同。 例如： BROKEN= this port is unsupported on FreeBSD 5.x IGNORE= is unsupported on FreeBSD 5.x 它们分别会在 make describe 时产生下面的输出： ===> foobar-0.1 is marked as broken: this port is unsupported on FreeBSD 5.x. ===> foobar-0.1 is unsupported on FreeBSD 5.x. 使用 <makevar>DEPRECATED</makevar> 或 <makevar>EXPIRATION_DATE</makevar> 表示某个 port 将被删除 一定要记得 BROKEN 和 FORBIDDEN 只应作为当某个 port 无法正常工作时的临时解决方案。 永久性地坏掉了的 port 应被从 ports tree 中完全删除。 需要时还可以使用 DEPRECATED 和 EXPIRATION_DATE 来通知用户某个 port 不应被使用， 并即将被删除。 前一个变量用来表达为什么计划删除 port； 而后一个是则是一个 ISO 8601 格式的日期 (YYYY-MM-DD)。 两者都会向用户呈现。 也可以设置 DEPRECATED 而不给出 EXPIRATION_DATE (例如， 建议使用某个新版本的 port)， 但反之则没有意义。 目前还没有确切的关于需要给出多少通知的政策。 当前的实践是， 对于与安全有关的问题为一个月， 而与构建有关的问题则为两个月。 这也让有兴趣的 committer 能够有一点时间来修正问题。 避免使用 <literal>.error</literal> 结构 在 Makefile 中给出信号， 表示由于某种外界因素 (例如， 用户指定了无效的构建选项) 而无法安装的方法是将变量 IGNORE 设为一非空值。 这个值将被格式化， 并在用户执行 make install 是给出提示。 用 .error 实现这一目的是一种常见的误用。 这样做的问题是， 许多在 ports 树上运行的自动化工具会因此而失败。 最常见的情况见于构建 /usr/ports/INDEX 的过程 (参见 )。 然而， 即使十分普通的命令， 例如 make -V maintainer， 在这种情况下也会失败。 这是不可接受的。 怎样避免使用 <literal>.error</literal> 考虑有人在 make.conf 中设置了 USE_POINTYHAT=yes 的情形。 接下来的例子中， 第一个 Makefile 中的问题将导致 make index 失败， 而第二个则不会： .if USE_POINTYHAT .error "POINTYHAT is not supported" .endif .if USE_POINTYHAT IGNORE=POINTYHAT is not supported .endif 对于 <filename>sysctl</filename> 的使用 除了在 target 中之外， 是不鼓励使用 sysctl 的。 这是因为计算 makevar， 例如在 make index 中所进行的那种， 都不得不运行一条命令， 这会使这一操作变得更慢。 在使用 &man.sysctl.8; 时， 务必通过 SYSCTL 变量来进行， 因为此变量将展开成命令的完整路径， 并且用户可以根据需要另行指定。 重新发布的 distfiles 有时， 一些软件的作者会修改业已发布的 distfile 的内容， 而并不修改文件名。 这种情况下， 您需要验证这些变动是来自软件作者的官方改动。 在过去， 曾经发生过下载服务器上的 distfile 被悄悄换成注入过恶意代码的版本， 并给用户安全造成威胁或损害的事情。 您应保留一份旧的 distfile， 并下载一份新的， 分别展开， 用 &man.diff.1; 来对比其内容。 如果没有发现可疑的变动， 就可以更新 distinfo 了。 请务必在您的 PR 或 commit log 中对这些差异进行描述， 以便让别人了解您已经仔细对比过差异， 并确认没有问题了。 除此之外， 也可以联系软件的作者， 以确认这些修改是否是他们做的。 一些必要的 workaround 有时， 需要绕过一些较早版本的 &os; 中包含软件中的 bug。 某些版本的 &man.make.1; 在处理 OSVERSION 的比较时存在问题， 至少对 4.8 和 5.0 是这样。 这经常会导致在 make describe 时发生问题 (因而， ports make index 也会无法正常工作)。 绕过这个问题的方法， 是在判断语句周围增加空格， 例如： if ( ${OSVERSION} > 500023 ) 请小心， 在 4.9 或 5.2 上测试安装， 是 不能 检测到这个问题的。 杂记 需要仔细地反复检查 pkg-descr 和 pkg-plist 这两个文件。 如果您正在复审一个 port， 并认为这两个文件应该改进， 请一定要这样做。 请不要在系统中复制多份 GNU General Public License。 一定要非常小心地处理法律问题！ 不要让我们发布没有得到合法授权的软件！ 示范的 <filename>Makefile</filename> 这里是一个您可以在建立新 port 时参考的 Makefile。 请务必删除不需要的那些注释 (方括号中间的文字)！ 建议您按照下面这样的格式 (变量顺序， 小节之间的空行等) 来编写。 这个格式的作用是便于查找重要的信息。 我们建议您使用 portlint 来检查 Makefile。 [头部... 主要是让我们更容易地分辨不同的 port。] # New ports collection makefile for: xdvi [版本这行， 只有在 PORTVERSION 变量不足以描述 port 时才需要] # Date created: 26 May 1995 [这是最初将软件移植到 FreeBSD 上的日期， 一般来说是建立这份 Makefile 的日期。 请注意不要在之后再次修改这个日期。] # Whom: Satoshi Asami <asami@FreeBSD.org> # # $FreeBSD$ [ ^^^^^^^^^ 这是 CVS 在文件 commit 到我们的代码库时， 自动进行替换的 RCS ID。 如果您正在升级 port， 不要把它改回 "$FreeBSD$"。 CVS 会自动进行处理。] # [这个小节描述 port 本身以及主要下载站点 - PORTNAME 和 PORTVERSION 应放在最前面， 随后是 CATEGORIES， 然后是 MASTER_SITES， 接下来是 MASTER_SITE_SUBDIR。 如果需要的话， 接下来应指定 PKGNAMEPREFIX 和 PKGNAMESUFFIX。 随后是 DISTNAME， EXTRACT_SUFX， 以及 DISTFILES， EXTRACT_ONLY， 如果需要的话。] PORTNAME= xdvi PORTVERSION= 18.2 CATEGORIES= print [如果不想使用 MASTER_SITE_* 宏， 一定不要忘记结尾的斜线 ("/")！] MASTER_SITES= ${MASTER_SITE_XCONTRIB} MASTER_SITE_SUBDIR= applications PKGNAMEPREFIX= ja- DISTNAME= xdvi-pl18 [如果源代码包不是标准的 ".tar.gz" 形式， 就需要设置这个] EXTRACT_SUFX= .tar.Z [分散的补丁 -- 可以为空] PATCH_SITES= ftp://ftp.sra.co.jp/pub/X11/japanese/ PATCHFILES= xdvi-18.patch1.gz xdvi-18.patch2.gz [监护人(maintainer); *必须有*! 这是某个资源处理 port 更新、 构建失败， 以及回答用户直接提问或汇报 bug 的人。 为了保证 Ports Collection 有尽可能高的品质， 我们不再接受指定给 "ports@FreeBSD.org" 的新 port。] MAINTAINER= asami@FreeBSD.org COMMENT= A DVI Previewer for the X Window System [依赖的其它软件包 -- 可以为空] RUN_DEPENDS= gs:${PORTSDIR}/print/ghostscript LIB_DEPENDS= Xpm.5:${PORTSDIR}/graphics/xpm [这节是其它不适合上几节的标准 bsd.port.mk 变量] [如果需要在 configure、 build 或 install 过程中提问...] IS_INTERACTIVE= yes [如果解压缩到 ${DISTNAME} 以外的目录...] WRKSRC= ${WRKDIR}/xdvi-new [如果作者发布的补丁不是相对于 ${WRKSRC} 的， 可能需要调整这个] PATCH_DIST_STRIP= -p1 [如果需要运行由 GNU autoconf 生成的 "configure" 脚本] GNU_CONFIGURE= yes [如果需要使用 GNU make， 而不是 /usr/bin/make 来完成构建...] USE_GMAKE= yes [如果是一个 X 应用程序， 并使用 "xmkmf -a" 来运行...] USE_IMAKE= yes [et cetera.] [将在接下来的部分使用的非标准的变量] MY_FAVORITE_RESPONSE= "yeah, right" [接下来是特殊规则， 按调用顺序排列] pre-fetch: i go fetch something, yeah post-patch: i need to do something after patch, great pre-install: and then some more stuff before installing, wow [结语] .include <bsd.port.mk> 保持同步 &os; 的 Ports Collection 在持续地进行修改。 这里提供了一些关于如何保持同步的信息。 FreshPorts 最简单的了解已经被 commit 到 ports 中的更新的方法， 是订阅 FreshPorts。 您可以选择多个 ports 并对其进行监视。 强烈建议维护人员订阅它， 这样就不仅能接收到他们自己所做的修改， 而且能看到其它 &os; committer 所做的改动。 (保持与所依赖的 ports 框架同步是必要的—虽然一般来说您会在这样的 commit 之前收到一个礼貌性的通知， 但有时可能会有人没有注意到需要这样做， 或者这样做很困难。 另外， 有些时候通知的修改也可能是微不足道的。 我们希望每一个人能够正确地进行判断。) 如果想使用 FreshPorts， 之需要建立一个账号。 如果您注册的邮件地址是 @FreeBSD.org， 您会看到 web 页面右侧的 opt-in 连接。 如果您已经注册了 FreshPorts 账号， 但没有使用 @FreeBSD.org 邮件地址， 则只需把邮件地址改为 @FreeBSD.org， 重新订阅， 并将其改回。 FreshPorts 也会对每一个 FreeBSD ports tree 上的 commit 进行自动的合法性检查。 如果您订阅了这项服务， 则如果发现了错误， 就会收到来自 FreshPorts 的检测报告。 代码库的 Web 访问界面 可以通过 web 界面来浏览源代码库中的文件。 影响整个 ports 系统的修改， 现在都会在 CHANGES 文件中说明。 影响某一个 port 的变动， 则在 UPDATING 文件中说明。 尽管如此， 所有问题最为权威的答案， 毫无疑问应该是 bsd.port.mk 的源代码， 以及相关的文件。 &os; Ports 邮件列表 如果您维护了某个或某一些 ports， 则应该考虑订阅 &a.ports;。 对于 ports 工作方式的重要修改都会在此宣示， 并提交到 CHANGES。 位于 <hostid role="hostname">pointyhat.FreeBSD.org</hostid> 的 &os; Port 构建集群 &os; 的一个最不为人所知的强项是， 它拥有一个专用于持续构建 Ports Collection 的集群， 这个集群会构建所有主要的 OS 版本在每一个 Tier-1 架构上的 package。 您可以在 package 构建和错误日志 找到其结果。 每一个 port 都会被构建， 除非标记为 IGNORE。 标记了 BROKEN 的 port 仍然会被继续尝试， 以了解是否某些依赖关系的变动解决了其问题 (这是通过给 port 的 Makefile 传 TRYBROKEN 参数来完成的)。 &os; 的 Port Distfile 普查 构建集群是一组专门用于构建所有 ports 的最新的版本的机器， 其上已经下载所有的 distfile。 然而， 由于 Internet 在持续地发生变化， distfile 可能很快就消失了。 FreeBSD Ports distfiles 普查 试图查询每一个 port 的所有下载站点， 以期找出这些文件是否依然存在。 维护者应规律性地检查这些报告， 这不仅会提高用户构建的速度， 同时也避免了浪费那些镜像了全部 distfile 的志愿者的带宽。 &os; 的 Ports 追踪系统 另一个非常方便的资源， 就是 FreeBSD Ports 追踪系统 (也被称作 portsmon)。 这个系统包含了一个处理若干信息来源的数据库， 并提供了一个可以通过 web 方式浏览的界面。 目前， 它利用到了和 ports 有关的问题报告 (PR)、 来自构建集群的错误日志， 以及来自 Ports Collection 的文件所提供的信息。 未来， 还会对它进行进一步的扩展， 从而提供包括 distfile 普查， 以及其它来源在内的更多信息。 要使用这个工具， 可以从查看关于某一个 port 的全部资料的 Port 的纵览 开始。 本文撰写时, 这是唯一一个能够将 GNATS PR 项， 同对应的 port 名字映射起来的资源。 (提交 PR 的用户， 有时并不在 Synopsis (概要) 中指明 port 的名字， 尽管我们希望他们这样做)。 因此， portsmon 在您想要查找是否有人提交某个现存的 port 的 PR， 以及它的构建是否出现了错误； 或在您创建新的 port 之前想要查找一下是否已经有人提交过时， 就非常有用了。