diff --git a/ru_RU.KOI8-R/books/handbook/disks/chapter.sgml b/ru_RU.KOI8-R/books/handbook/disks/chapter.sgml index bf8cef33d2..66369494cc 100644 --- a/ru_RU.KOI8-R/books/handbook/disks/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/disks/chapter.sgml @@ -1,3523 +1,4056 @@ Устройства хранения Краткий обзор В этой главе описывается использование дисков во FreeBSD. К ним - относятся диски в памяти, диски, подключенные по сети и обычные - устройства хранения SCSI/IDE. + относятся диски в памяти, диски, подключенные по сети, обычные + устройства хранения SCSI/IDE и устройства, использующие + интерфейс USB. После чтения этой главы вы будете знать: Терминологию, используемую во FreeBSD для описания организации данных на физическом диске (разделы и слайсы). Как добавить дополнительные винчестеры к вашей системе. + + Как настроить &os; для использования дисковых устройств + USB. + + Как настроить виртуальные файловые системы, такие, как диски в оперативной памяти. - как использовать квоты для ограничения использования дискового + Как использовать квоты для ограничения использования дискового пространства. Как зашифровать диски, чтобы защитить их от взлома. Как создавать и записывать CD и DVD во FreeBSD. Различные варианты использования устройств хранения для резервных копий. Как использовать программы резервного копирования, имеющиеся для FreeBSD. Как выполнять резервное копирование на дискеты. Что такое мгновенные копии файловых систем и как их эффективно использовать + + Перед прочтением этой главы вам потребуется: + + + + Узнать как настраивать и устанавливать новое ядро FreeBSD + (). + + Имена устройств Далее приводится список физических устройств хранения информации, которые поддерживаются во FreeBSD, и имена устройств, которые им соответствуют. - +
Соглашения по именованию физических дисков Тип диска Имя дискового устройства Винчестеры IDE ad Приводы IDE CDROM acd Винчестеры SCSI и дисковые устройства USB da Приводы SCSI CDROM cd Различные нестандартные приводы CDROM mcd для Mitsumi CD-ROM, scd для Sony CD-ROM, matcd для Matsushita/Panasonic CD-ROM 5 октября 2002 года драйвер &man.matcd.4; был удалён из ветки FreeBSD 4.X и отсутствует во FreeBSD 5.0 и 5.1. Однако этот драйвер вновь появился в ветке FreeBSD 5.X, и присутствует там с 16 июня 2003 года. Дискеты fd Ленточные приводы SCSI sa Ленточные приводы IDE ast Флэш-диски - fla для флэш-устройств + fla для флэш-устройств &diskonchip; Диски RAID aacd для &adaptec; AdvancedRAID, mlxd и mlyd для &mylex;, amrd для AMI &megaraid;, idad для Compaq Smart RAID, twed для &tm.3ware; RAID.
- + David O'Brien Изначальный текст предоставил Добавление дисков диски добавление Предположим, что мы хотим установить новый диск SCSI на машину, имеющую в данный момент только один диск. Сначала выключим компьютер и установим диск в компьютер согласно инструкциям к компьютеру, контроллеру и от производителя диска. Из-за большого разнообразия этих процедур их рассмотрение выходит за рамки этого документа.. Войдите в систему как пользователь root. После того, как вы установили диск, просмотрите файл /var/run/dmesg.boot, чтобы убедиться, что новый диск был найден. Продолжая наш пример, только что добавленный диск будет называться da1 и мы хотим смонтировать его в каталог /1 (если вы добавляете диск IDE, то устройство будет называться wd1 в системах, предшествовавших 4.0, и ad1 в большинстве систем 4.X). разделы слайсы fdisk Так как FreeBSD работает на IBM-PC совместимых компьютерах, она должна принимать во внимание разделы PC BIOS. В этом заключается отличие от традиционных разделов BSD. Диск PC может иметь до четырех записей разделов BIOS. Если диск на самом деле будет использоваться исключительно под FreeBSD, вы можете использовать режим dedicated. В противном случае FreeBSD будет располагаться в одном из разделов PC BIOS. Во FreeBSD разделы PC BIOS называются слайсами, чтобы не путать их с традиционными разделами BSD. Вы также можете использовать слайсы и с диском, предназначенным исключительно для FreeBSD, однако используемым в компьютере, на котором имеется дополнительная операционная система. Это нужно для того, чтобы не было путаницы с утилитой fdisk другой операционной системы. В случае слайсов диск будет добавлен как /dev/da1s1e. Это интерпретируется следующим образом: диск SCSI, устройство номер 1 (второй диск SCSI), слайс 1 (раздел PC BIOS 1), и раздел BSD e. В случае использования в выделенном режиме диск будет добавлен просто как /dev/da1e. Использование утилиты &man.sysinstall.8; sysinstall добавление дисков su Использование <application>Sysinstall</application> Вы можете использовать простые меню утилиты /stand/sysinstall для разбиения на разделы и разметки нового диска. Войдите как пользователь root или воспользуйтесь командой su. Запустите команду /stand/sysinstall и войдите в меню Configure. Внутри FreeBSD Configuration Menu, пролистайте и выберите пункт Fdisk. Редактор разделов <application>fdisk</application> Работая с утилитой fdisk, мы можем выбрать A для того, чтобы использовать под FreeBSD полностью весь диск. Когда будет задан вопрос о том, хотите ли вы сохранить совместимость с другими возможными операционными системами в будущем, ответьте YES. Запишите изменения на диск при помощи команды W. А теперь выйдите из редактора FDISK, нажав q. В этот момент вам будет задан вопрос о главной загрузочной записи. Так как вы добавляете диск к уже работающей системе, выберите None. Редактор метки диска разделы BSD Теперь вам нужно выйти из sysinstall и запустить эту утилиту снова. Следуйте указаниям выше, но на этот раз выберите пункт Label. Вы перейдёте к меню Disk Label Editor. Здесь вы создадите традиционные разделы BSD. На диске может быть до восьми разделов, имеющих метки a-h. Некоторые из меток разделов имеют особый смысл. Раздел a используется для размещения корневого раздела (/). По этой причине только ваш системный диск (например, тот, с которого происходит загрузка), должен иметь раздел a. Раздел b используется под раздел подкачки, и вы можете иметь много дисков с разделами подкачки. Раздел c используется для доступа ко всему диску в режиме эксклюзивного использования или ко всему слайсу FreeBSD при работе в режиме с использованием слайсов. Остальные разделы имеют обычное предназначение. Редактор метки диска программы sysinstall использует раздел e для некорневого раздела и не для раздела подкачки. Внутри редактора метки диска создайте отдельную файловую систему, нажав C. Когда будет задан вопрос о том, будет ли это раздел с файловой системой (FS) или это будет раздел подкачки, выберите FS и наберите точку монтирования (например, /mnt). При добавлении диска после установки системы, программа sysinstall не будет автоматически создавать записи в файле /etc/fstab, поэтому точка монтирования не так уж и важна. Теперь вы готовы записать новую метку на диск и создать на нем файловую систему. Сделайте это, набрав W. Проигнорируйте сообщения об ошибках от sysinstall о невозможности смонтировать новый раздел. Полностью выйдите из редактора метки диска и из программы sysinstall. Завершение Последний шаг заключается в редактировании файла /etc/fstab и добавлении записи для вашего нового диска. Использовании утилит командной строки Работа со слайсами Следующая настройка позволит вашему диску корректно работать с другими операционными системами, которые могут быть установлены на вашем компьютере, и не вызовет конфликта с утилитами fdisk других операционных систем. Этот способ рекомендуется использовать для установок новых дисков. Используйте эксклюзивный режим, только если у вас есть реальные причины делать это! &prompt.root; dd if=/dev/zero of=/dev/da1 bs=1k count=1 &prompt.root; fdisk -BI da1 # Инициализируем новый диск. &prompt.root; disklabel -B -w -r da1s1 auto # Размечаем его. &prompt.root; disklabel -e da1s1 # Редактируем только что созданную метку диска и добавляем разделы. &prompt.root; mkdir -p /1 &prompt.root; newfs /dev/da1s1e # Повторяем этот шаг для всех созданных разделов. &prompt.root; mount /dev/da1s1e /1 # Монтируем раздел(ы) &prompt.root; vi /etc/fstab # Добавляем соответствующую запись/записи в файл /etc/fstab. Если у вас установлен диск IDE, подставьте ad вместо da. На системах версий ранее 4.X используйте wd. Эксклюзивный режим OS/2 Если вы не будете использовать новый диск совместно с другой операционной системой, то вы можете использовать режим эксклюзивного использования. Отметьте, что этот режим может ввести в заблуждение операционные системы от Microsoft; однако информацию они не разрушат. А вот &os2; компании IBM будет забирать себе любой раздел, который она найдет и не сможет распознать. &prompt.root; dd if=/dev/zero of=/dev/da1 bs=1k count=1 &prompt.root; disklabel -Brw da1 auto &prompt.root; disklabel -e da1 # create the `e' partition &prompt.root; newfs -d0 /dev/da1e &prompt.root; mkdir -p /1 &prompt.root; vi /etc/fstab # add an entry for /dev/da1e &prompt.root; mount /1 Альтернативный метод заключается в следующем: &prompt.root; dd if=/dev/zero of=/dev/da1 count=2 &prompt.root; disklabel /dev/da1 | disklabel -BrR da1 /dev/stdin &prompt.root; newfs /dev/da1e &prompt.root; mkdir -p /1 &prompt.root; vi /etc/fstab # add an entry for /dev/da1e &prompt.root; mount /1 Начиная с &os; 5.1-RELEASE, на смену старой программе &man.disklabel.8; пришла утилита &man.bsdlabel.8;. У &man.bsdlabel.8; отсутствуют некоторые устаревшие опции и параметры; в примере выше параметр не может использоваться с &man.bsdlabel.8;. Для получения дополнительной информации обратитесь к справочной странице п о &man.bsdlabel.8;. RAID Программный RAID Christopher Shumway Оригинальный текст предоставил Jim Brown Изменения внёс RAIDпрограммный RAIDCCD Конфигурация драйвера объединённого диска (CCD) При выборе решения для организации хранилища самыми важными характеристиками являются скорость, надежность и стоимость. Редко все эти характеристики наличествуют одновременно; обычно быстрое и надёжное устройство хранения стоит дорого, а при уменьшении стоимости в жертву приносятся скорость работы или надёжность. При проектировании описываемой далее системы в качестве самого важного фактора была выбрана её стоимость, затем быстродействие и надёжность. Скорость передачи данных для этой системы ограничивалась только пропускной способностью сети. И, хотя надёжность очень важна, CCD-диск, описываемый ниже, обслуживал работу с данными, полные копии которых уже хранились на дисках CD-R, так они могли быть с лёгкостью обновлены. При выборе решения для массового хранения данных первым шагом является определение ваших требований к нему. Если в ваших требованиях главными являются скорость или надёжность, а не стоимость, то ваш выбор будет отличаться от описываемой в этом разделе системы. Установка оборудования Кроме системного IDE-диска, основу описываемого далее CCD-диска общим объёмом примерно в 90 Гбайт составили три IDE-диска Western Digital 30GB, 5400 RPM. В идеальном случае каждый диск IDE имеет собственный контроллер и кабель, но для минимизации стоимости дополнительные контроллеры IDE не использовались. Вместо этого диски были настроены при помощи переключателей так, что на каждом IDE-контроллере находилось по одному ведущему и одному ведомому диску. До перезагрузки BIOS системы была настроена на автоматическое распознавание подключенных дисков. Более важно то, что при перезагрузке их распознала FreeBSD: ad0: 19574MB <WDC WD205BA> [39770/16/63] at ata0-master UDMA33 ad1: 29333MB <WDC WD307AA> [59598/16/63] at ata0-slave UDMA33 ad2: 29333MB <WDC WD307AA> [59598/16/63] at ata1-master UDMA33 ad3: 29333MB <WDC WD307AA> [59598/16/63] at ata1-slave UDMA33 Если FreeBSD не распознала все диски, проверьте корректность положения переключателей на них. На большинстве IDE-дисков имеется также переключатель Cable Select. Он не имеет отношения к выбору ведущего и ведомого устройств. Для получения помощи по правильному положению переключателей обратитесь к документации по устройствам. Затем определите, как сделать их частью файловой системы. Изучите справку по &man.vinum.8; () и &man.ccd.4;. В нашем конкретном случае была выбрана технология &man.ccd.4;. Настройка CCD Драйвер &man.ccd.4; позволяет вам взять несколько идентичных дисков и объединить их в одну логическую файловую систему. Для использования &man.ccd.4; нужно ядро со встроенной поддержкой &man.ccd.4;. Добавьте такую строку в файл конфигурации ядра, перестройте и установите новое ядро: pseudo-device ccd 4 В системах 5.X вместо этого вам нужно использовать такую строку: device ccd Во FreeBSD 5.X нет нужды указывать количество устройств &man.ccd.4; так как драйвер устройства &man.ccd.4; теперь клонируется сам — новые экземпляры устройств будут создаваться автоматически по необходимости. Во FreeBSD 3.0 и последующих версиях поддержка &man.ccd.4; также может быть обеспечена загрузкой подгружаемого модуля ядра. Для настройки &man.ccd.4; сначала вам нужно воспользоваться утилитой &man.disklabel.8; для разметки дисков: disklabel -r -w ad1 auto disklabel -r -w ad2 auto disklabel -r -w ad3 auto При этом создаются метки для ad1c, ad2c и ad3c, которые занимают диск полностью. Начиная с &os; 5.1-RELEASE, на смену старой программе &man.disklabel.8; пришла утилита &man.bsdlabel.8;. У &man.bsdlabel.8; отсутствуют некоторые устаревшие опции и параметры; в примере выше параметр не может использоваться с &man.bsdlabel.8;. Для получения дополнительной информации обратитесь к справочной странице п о &man.bsdlabel.8;. Следующим шагом является изменение типа метки диска. Для редактирования дисков можно использовать утилиту &man.disklabel.8;: disklabel -e ad1 disklabel -e ad2 disklabel -e ad3 - + При этом в редакторе, задаваемом переменной окружения EDITOR (обычно это &man.vi.1;), открывается текущая метка каждого диска. Немодифицированная метка диска будет выглядеть примерно следующим образом: 8 partitions: # size offset fstype [fsize bsize bps/cpg] c: 60074784 0 unused 0 0 0 # (Cyl. 0 - 59597) Добавьте новый раздел e для использования драйвером &man.ccd.4;. Как правило, он может быть скопирован с раздела c, но поле должно иметь значение 4.2BSD. Теперь метка диска должна выглядеть примерно так: 8 partitions: # size offset fstype [fsize bsize bps/cpg] c: 60074784 0 unused 0 0 0 # (Cyl. 0 - 59597) e: 60074784 0 4.2BSD 0 0 0 # (Cyl. 0 - 59597) - + Построение файловой системы Файл устройства для ccd0c может ещё не существовать, так что для его создания предварительно выполните такие команды: cd /dev sh MAKEDEV ccd0 Во FreeBSD 5.0 &man.devfs.5; будет управлять файлами устройств в каталоге /dev автоматически, так что в использовании MAKEDEV необходимости нет. Теперь, когда все диски размечены, вы должны построить &man.ccd.4;. Для этого используйте утилиту &man.ccdconfig.8; с параметрами, подобными следующим: ccdconfig ccd0 32 0 /dev/ad1e /dev/ad2e /dev/ad3e Использование и значение каждого параметра описывается ниже: Первым аргументом является конфигурируемое устройство, в нашем случае /dev/ccd0c. Часть /dev/ является необязательной. Чередование для файловой системы. Оно определяет размер единицы блока данных в количестве дисковых блоков, каждый из которых обычно имеет объём в 512 байт. Таким образом, при чередовании в 32 это будет составлять 16384 байт. Опции для &man.ccdconfig.8;. Если вы хотите включить зеркалирование диска, то можете задать это здесь. В нашей конфигурации зеркалирование для &man.ccd.4; не предусмотрено, поэтому здесь задан 0 (ноль). Последним параметром для &man.ccdconfig.8; является список устройств для объединения в массив. Для каждого устройства нужно задавать полное имя. После запуска &man.ccdconfig.8; устройство &man.ccd.4; будет отконфигурировано. Может будет построить файловую систему. Обратитесь к справке по команде &man.newfs.8; для выяснения требуемых параметров, или просто запустите: newfs /dev/ccd0c Автоматическое выполнение Вообще говоря, вам потребуется монтировать &man.ccd.4; при каждой перезагрузке. Для этого сначала вы должны отконфигурировать это устройство. Запишите вашу текущую конфигурацию в файл /etc/ccd.conf при помощи такой команды: ccdconfig -g > /etc/ccd.conf При перезагрузке скрипт /etc/rc запускает команду ccdconfig -C, если существует файл /etc/ccd.conf. При этом &man.ccd.4; автоматически конфигурируется так, чтобы он мог быть смонтирован. Если при загрузке вы входите в однопользовательский режим, то перед тем, как выполнять монтирование &man.ccd.4; по команде &man.mount.8;, вам нужно для конфигурации массива запустить следующую команду: ccdconfig -C Для автоматического монтирования &man.ccd.4; поместите запись о &man.ccd.4; в файл /etc/fstab, чтобы он мог быть смонтирован во время загрузки системы: /dev/ccd0c /media ufs rw 2 2 Менеджер томов Vinum RAIDпрограммный RAIDVinum Менеджер томов Vinum является драйвером блочного устройства, который реализует виртуальные диски. Он отделяет дисковое оборудование от интерфейса блочного устройства и работает с данными таким образом, что в результате повышается гибкость, производительность и надёжность по сравнению с традиционным взглядом на дисковое хранилище как на кусок дискового пространства. &man.vinum.8; реализует модели RAID-0, RAID-1 и RAID-5, как по отдельности, так и в комбинациях. Обратитесь к для получения более полной информации о &man.vinum.8;. Аппаратный RAID RAID Оборудование FreeBSD поддерживает также целый ряд аппаратных контроллеров RAID. Эти устройства самостоятельно управляют RAID-подсистемой, без необходимости иметь специфичное для FreeBSD программное обеспечения управления массивом. При помощи встроенной в адаптер BIOS, он сам управляет большинством дисковых операций. Далее следует краткое - описание установки при помощи контроллера Promise IDE - RAID. После установки адаптера и запуска системы, выдаётся + описание установки при помощи контроллера Promise + IDE RAID. + После установки адаптера и запуска системы, выдаётся запрос на ввод. Следуйте указаниям для входа в настройку адаптера. Отсюда вы можете объединить все подключенные диски. После этого во FreeBSD диск(и) будут выглядеть как один диск. Аналогично могут быть настроены и другие уровни RAID. Перестроение массивов ATA RAID1 FreeBSD позволяет вам выполнять горячую замену вышедшего из строя диска. При этом требуется, чтобы вы заметили это до перезагрузки. Вероятно, в файле /var/log/messages или в выдаче команды &man.dmesg.8; вы увидите примерно следующее: ad6 on monster1 suffered a hard error. ad6: READ command timeout tag=0 serv=0 - resetting ad6: trying fallback to PIO mode ata3: resetting devices .. done -ad6: hard error reading fsbn 1116119 of 0-7 (ad6 bn 1116119; cn 1107 tn 4 sn 11) status=59 error=40 +ad6: hard error reading fsbn 1116119 of 0-7 (ad6 bn 1116119; cn 1107 tn 4 sn 11)\\ +status=59 error=40 ar0: WARNING - mirror lost При помощи &man.atacontrol.8; получите дополнительную информацию: &prompt.root; atacontrol list ATA channel 0: Master: no device present Slave: acd0 <HL-DT-ST CD-ROM GCR-8520B/1.00> ATA/ATAPI rev 0 ATA channel 1: Master: no device present Slave: no device present ATA channel 2: Master: ad4 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present ATA channel 3: Master: ad6 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present &prompt.root; atacontrol status ar0 ar0: ATA RAID1 subdisks: ad4 ad6 status: DEGRADED Сначала вам нужно отключить диск от массива, чтобы его можно было без последствий извлечь: &prompt.root; atacontrol detach 3 Замените диск. Повторно подключите диск в качестве резервного: &prompt.root; atacontrol attach 3 Master: ad6 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present Перестройте массив: &prompt.root; atacontrol rebuild ar0 Команда перестроения будет работать, пока не закончит. Однако имеется возможность открыть другой терминал (комбинацией клавиш Alt Fn) и проверить состояние дел при помощи следующей команды: &prompt.root; dmesg | tail -10 [выдача удалена] ad6: removed from configuration ad6: deleted from ar0 disk1 ad6: inserted into ar0 disk1 as spare &prompt.root; atacontrol status ar0 ar0: ATA RAID1 subdisks: ad4 ad6 status: REBUILDING 0% completed Дождитесь завершения этой операции. + + + + + Marc + Fonvieille + Предоставил + + + + + + USB устройства хранения + + USB + диски + + + Множество современных устройств хранения используют Universal + Serial Bus (USB): жесткие диски, брелоки USB, CD-R приводы, + и т.д. &os; предоставляет поддержку этих устройств. + + + Настройка + + Драйвер &man.umass.4; предоставляет поддержку устройств + хранения USB. Если вы используете GENERIC + ядро, изменять что-либо в настройках не потребуется. Если вы + используете настроенное ядро, убедитесь, что в файле настройки + присутствуют следующие строки: + + device scbus +device da +device pass +device uhci +device ohci +device usb +device umass + + Для доступа к устройствам хранения USB драйвер &man.umass.4; + использует подсистему SCSI, ваши устройства USB будут видны + системе как SCSI устройства. В зависимости от чипсета USB + на материнской плате, вам потребуется только один из параметров + device uhci или device ohci. + Однако, наличие обоих этих параметров не помешает. Не забудьте + скомпилировать и установить новое ядро после добавления каких-либо + строк. + + + Если ваше USB устройство это пишущий привод CD-R или DVD, + необходимо добавить + в ядро SCSI CD-ROM драйвер, &man.cd.4;, следующей строкой: + + device cd + + Поскольку устройство записи видно как SCSI диск, драйвер + &man.atapicam.4; не должен использоваться в файле + настройки. + + + Поддержка USB 2.0 контроллеров предоставляется в + &os; 5.X, и в ветви 4.X с &os; 4.10-RELEASE. + Добавьте: + + device ehci + + в файл настройки ядра для поддержки USB 2.0. Обратите внимание, + что драйверы &man.uhci.4; и &man.ohci.4; все еще нужны, если + необходима поддержка USB 1.X. + + + В &os; 4.X, необходимо запустить USB даемона + (&man.usbd.8;), чтобы увидеть некоторые USB устройства. + Для этого добавьте usbd_enable="YES" + в файл /etc/rc.conf и перезагрузите + компьютер. + + + + + Тестирование конфигурации + + Конфигурация готова к тестированию, подключите устройство USB, + и в буфере системных сообщений (&man.dmesg.8;), диск должен + отобразиться примерно так: + + umass0: USB Solid state disk, rev 1.10/1.00, addr 2 +GEOM: create disk da0 dp=0xc2d74850 +da0 at umass-sim0 bus 0 target 0 lun 0 +da0: <Generic Traveling Disk 1.11> Removable Direct Access SCSI-2 device +da0: 1.000MB/s transfers +da0: 126MB (258048 512 byte sectors: 64H 32S/T 126C) + + Конечно, производитель, имя устройства + (da0) и другие детали могут + отличаться в зависимости от конфигурации. + + Поскольку устройство USB видится как SCSI, команда + camcontrol может быть использована для + вывода списка устройств хранения USB, подключенных к системе: + + &prompt.root; camcontrol devlist +<Generic Traveling Disk 1.11> at scbus0 target 0 lun 0 (da0,pass0) + + Если на диске есть файловая система, у вас должна быть + возможность смонтировать ее. + поможет вам создать и отформатировать разделы на диске + USB если потребуется. + + Если вы отключите устройство (диск должен быть сначала + размонтирован), вы должны увидеть в буфере системных сообщений + что-то подобное: + + umass0: at uhub0 port 1 (addr 2) disconnected +(da0:umass-sim0:0:0:0): lost device +(da0:umass-sim0:0:0:0): removing device entry +GEOM: destroy disk da0 dp=0xc2d74850 +umass0: detached + + + + Дополнительная информация + + Помимо разделов Добавление + дисков и Монтирование + и размонтирование файловых систем, также может быть полезно + чтение различных страниц справочника: &man.umass.4;, + &man.camcontrol.8;, и &man.usbdevs.8;. + + + Mike Meyer Текст предоставил - Запись и использование оптических носителей (CD & DVD) + Запись и использование оптических носителей (CD) CDROM создание Введение Компакт-диски (CD) имеют несколько особенностей, отличающих их от обычных дисков. Во-первых, на них невозможно производить запись. Они спроектированы с расчетом на то, что их можно читать последовательно без задержек на перемещение головки между дорожками. К тому же их гораздо проще переносить от системы к системе, чем носители близкого объема. У CD имеются дорожки, но они представляют собой последовательность данных, читаемую последовательно, и не являются физической характеристикой диска. Для записи CD во FreeBSD вы готовите файлы данных, которые будут формировать дорожки на компакт-диске, а затем записываете дорожки на CD. ISO 9660 файловые системы ISO 9660 Файловая система ISO 9660 была разработана с учетом этих отличий, К сожалению, она унаследовала ограничения файловых систем, которые были тогда. К счастью, она дает механизм расширений, которые позволяют правильно записанным дискам обходить эти ограничения и при этом продолжать работать с системами, которые не поддерживают эти расширения. - sysutils/mkisofs + sysutils/cdrtools Для создания файла данных, содержащего файловую систему ISO 9660, - используется программа - sysutils/mkisofs. Она имеет опции, - поддерживающие различные расширения, и описана ниже. Вы можете - установить её из порта sysutils/mkisofs. + используется программа &man.mkisofs.8;, которая включена в порт + sysutils/cdrtools. Она имеет опции, + поддерживающие различные расширения, и описана ниже. устройство записи CD ATAPI Какой инструмент использовать для записи CD, зависит от того, является ли ваше устройство для записи CD устройством ATAPI или каким-либо другим. С устройствами для записи стандарта ATAPI используется программа burncd, которая является частью комплекта поставки системы. С устройствами SCSI и USB нужно использовать cdrecord из порта sysutils/cdrtools. burncd поддерживает не все устройства. Для определения того, поддерживается ли устройство, посмотрите список поддерживаемых приводов CD-R/RW. устройство записи CD драйвер ATAPI/CAM Если вы используете &os; 5.X, &os; 4.8-RELEASE или более новые версии, то при работе с ATAPI-оборудованием через модуль ATAPI/CAM можно использовать утилиту cdrecord и другие инструменты для SCSI-приводов. + + Если для записи CD вам нужна программа с графическим + интерфейсом пользователя, взгляните на + X-CD-Roast или + K3b. Они доступны в виде пакетов + или из портов sysutils/xcdroast и sysutils/k3b. + Программам X-CD-Roast и + K3b для работы с оборудованием + ATAPI требуется модуль ATAPI/CAM. mkisofs - sysutils/mkisofs создаёт + Программа &man.mkisofs.8;, поставляемая с портом sysutils/cdrtools создаёт файловую систему ISO 9660, которая является образом дерева каталогов в пространстве имён файловой системы &unix;. В самом простом случае она используется так: &prompt.root; mkisofs -o imagefile.iso /path/to/tree файловые системы ISO 9660 Эта команда создаст файл imagefile.iso, содержащий файловую систему ISO 9660, которая является копией дерева каталогов /path/to/tree. Во время работы она будет преобразовывать имена файлов в имена, которые удовлетворяют ограничениям файловой системы ISO 9660, и исключит файлы, которые носят имена, неподходящие для файловой системы ISO. файловые системы HFS файловые системы Joliet Для того, чтобы обойти эти ограничения, имеется несколько опций. В частности, включает использование расширений Rock Ridge, распространенных в &unix;-системах, с будут применены расширения Joliet, используемые в системах от Microsoft, а может использоваться для создания файловых систем HFS, используемых в &macos;. Для CD, которые будут использоваться только с системами FreeBSD, может использоваться опция , отменяющая все ограничения на имена файлов. При использовании с опцией генерируется образ файловой системы, идентичный начальному дереву FreeBSD, хотя при этом стандарт ISO 9660 может нарушаться в нескольких местах. CDROM создание загрузочного Последней часто используемой опцией является . Она используется для указания загрузочного образа для использования при создании загрузочного CD в стандарте El Torito. Этой опции указывается аргумент, который является маршрутом к загрузочному образу из корня дерева, записываемого на CD. Так что, положив, что /tmp/myboot содержит загрузочную систему FreeBSD с загрузочным образом в /tmp/myboot/boot/cdboot, вы можете создать образ файловой системы ISO 9660 в /tmp/bootable.iso следующим образом: &prompt.root; mkisofs -U -R -b boot/cdboot -o /tmp/bootable.iso /tmp/myboot Сделав это, и имея в ядре отконфигурированное устройство vn (для FreeBSD 4.X) или md (при использовании FreeBSD 5.X), вы можете смонтировать файловую систему, выполнив: &prompt.root; vnconfig -e vn0c /tmp/bootable.iso &prompt.root; mount -t cd9660 /dev/vn0c /mnt в случае использования FreeBSD 4.X, а для FreeBSD 5.X: &prompt.root; mdconfig -a -t vnode -f /tmp/bootable.iso -u 0 &prompt.root; mount -t cd9660 /dev/md0 /mnt В этот момент вы можете проверить, что /mnt и /tmp/myboot идентичны. Имеется много других опций, которые можно использовать с - программой sysutils/mkisofs для + программой &man.mkisofs.8; для тонкой настройки её поведения. В частности: модификации в размещении ISO 9660 и создание дисков в форматах Joliet и HFS. Обратитесь к справочным страницам по &man.mkisofs.8; для получения более подробной информации. burncd CDROM запись Если ваше устройство для записи CD соответствует стандарту ATAPI, то для записи ISO-образа на компакт-диск вы можете воспользоваться командой burncd. burncd входит в базовый комплект операционной системы и установлена как /usr/sbin/burncd. Использовать её очень просто, так как параметров у ней немного: &prompt.root; burncd -f cddevice data imagefile.iso fixate По этой команде файл imagefile.iso будет скопирован на cddevice. По умолчанию - используется устройство /dev/acd0c. Для получения + используется устройство /dev/acd0 (или + /dev/acd0c в &os; 4.X). Для получения информации о параметрах, задающих скорость записи, выброс диска после записи и запись звуковых данных, обратитесь к &man.burncd.8;. cdrecord Если ваше устройство для записи CD не соответствует стандарту ATAPI, то для записи компакт-дисков вам нужно пользоваться программой cdrecord. cdrecord не входит в комплект поставки системы; вы должны установить её из порта sysutils/cdrtools или из соответствующего пакаджа. Изменения в системе могут приводить к тому, что откомпилированные версии этой программы работать не будут, или приводить к порче дисков. Поэтому вы должны при обновлении системы либо обновить порт, либо, если вы следуете -STABLE, обновить порт при появлении его новой версии. Хотя cdrecord имеет много опций, в основном использовать её ещё проще, чем burncd. Запись образа ISO 9660 делается такой командой: &prompt.root; cdrecord dev=device imagefile.iso Тонким моментом при использовании cdrecord является определение правильного устройства . Чтобы задать параметр правильно, воспользуйтесь флагом команды cdrecord, в результате чего может получиться примерно такой результат: CDROM запись &prompt.root; cdrecord -scanbus Cdrecord 1.9 (i386-unknown-freebsd4.2) Copyright (C) 1995-2000 Jörg Schilling Using libscg version 'schily-0.1' scsibus0: 0,0,0 0) 'SEAGATE ' 'ST39236LW ' '0004' Disk 0,1,0 1) 'SEAGATE ' 'ST39173W ' '5958' Disk 0,2,0 2) * 0,3,0 3) 'iomega ' 'jaz 1GB ' 'J.86' Removable Disk 0,4,0 4) 'NEC ' 'CD-ROM DRIVE:466' '1.26' Removable CD-ROM 0,5,0 5) * 0,6,0 6) * 0,7,0 7) * scsibus1: 1,0,0 100) * 1,1,0 101) * 1,2,0 102) * 1,3,0 103) * 1,4,0 104) * 1,5,0 105) 'YAMAHA ' 'CRW4260 ' '1.0q' Removable CD-ROM 1,6,0 106) 'ARTEC ' 'AM12S ' '1.06' Scanner 1,7,0 107) * Здесь приведены соответствующие значения параметров для имеющихся устройств. Найдите здесь ваше устройство для записи CD, а в качестве параметров для задавайте три числа через запятые. В нашем случае CRW-устройству соответствуют числа 1,5,0, так что правильным параметром будет . Имеется более простой способ задать эти значения; обратитесь к справочной информации о &man.cdrecord.1; для выяснения подробностей. Там же находится информация о записи звуковых дорожек, управлении скоростью и другим вещам. Копирование аудио CD Вы можете копировать музыкальные CD, извлекая данные аудио с CD в набор файлов, а затем записывая эти файлы на чистый CD. Процесс несколько различен в случаях использования устройств ATAPI и SCSI. Устройства SCSI Используйте cdda2wav для извлечения данных аудио. &prompt.user; cdda2wav -v255 -D2,0 -B -Owav Воспользуйтесь cdrecord для записи файлов .wav. &prompt.user; cdrecord -v dev=2,0 -dao -useinfo *.wav Значение, соответствующее 2.0, должно быть установлено правильно, как это описано в . Устройства ATAPI Драйвер устройств ATAPI CD делает каждую дорожку доступной как /dev/acddtnn, где d является номером привода, а nn соответствует номеру дорожки, который записывается двумя десятичными цифрами с нулём в начале, если это нужно. Таким образом, первая дорожка на первом диске будет носить имя /dev/acd0t01, вторая будет именоваться /dev/acd0t02, третья будет носить имя /dev/acd0t03 и так далее. Удостоверьтесь, что соответствующий файл имеется в каталоге /dev. - + &prompt.root; cd /dev &prompt.root; sh MAKEDEV acd0t99 Во FreeBSD 5.0 &man.devfs.5; будет автоматически создавать объекты в каталоге /dev и управлять ими, так что использовать MAKEDEV не обязательно. Извлеките каждую дорожку при помощи команды &man.dd.1;. При извлечении файлов вы должны также использовать специфическое значение для размера блока. &prompt.root; dd if=/dev/acd0t01 of=track1.cdr bs=2352 &prompt.root; dd if=/dev/acd0t02 of=track2.cdr bs=2352 ... Запишите извлечённые файлы на диск при помощи утилиты burncd. Вы должны указать, что это файлы с аудио, и что burncd должна зафиксировать диск по окончании работы. - &prompt.root; burncd -f /dev/acd0c audio track1.cdr track2.cdr ... fixate + &prompt.root; burncd -f /dev/acd0 audio track1.cdr track2.cdr ... fixate Копирование компакт-дисков с данными Вы можете скопировать CD с данными в файл образа, который функционально эквивалентен файлу образа, созданному командой - sysutils/mkisofs, и вы можете + &man.mkisofs.8;, и вы можете использовать его для копирования любого CD с данными. В приводимом здесь примере предполагается, что ваш привод CDROM называется acd0. Подставьте название вашего привода - CDROM. Символ c должен быть добавлен в конце - имени устройства для указания на то, что берётся весь раздел, а в + CDROM. В &os; 4.X к имени устройства должен быть добавлен + символ c + для указания на то, что берётся весь раздел, а в случае CDROM, весь диск. - &prompt.root; dd if=/dev/acd0c of=file.iso bs=2048 + &prompt.root; dd if=/dev/acd0 of=file.iso bs=2048 Теперь, когда вы имеете образ, вы можете записать его на CD так, как это описано выше. Использование компакт-диски с данными Теперь, после того, как вы создали стандартный CDROM с данными, вы, наверное, захотите смонтировать его и считать с него данные. По умолчанию &man.mount.8; предполагает, что файловая система имеет тип ufs. Если вы попытаетесь выполнить что-то вроде: - &prompt.root; mount /dev/cd0c /mnt + &prompt.root; mount /dev/cd0 /mnt вы получите сообщение Incorrect super block, и диск не смонтируется. CDROM не является файловой системой UFS, поэтому попытки смонтировать его таким образом будут терпеть неудачу. Вам просто нужно указать команде &man.mount.8;, что файловая система имеет тип ISO9660, и всё должно заработать. Сделайте это, задав параметр при вызове &man.mount.8;. К примеру, если вы хотите смонтировать - устройство CDROM, /dev/cd0c, в каталог + устройство CDROM, /dev/cd0, в каталог /mnt, вы должны выполнить: - &prompt.root; mount -t cd9660 /dev/cd0c /mnt - + &prompt.root; mount -t cd9660 /dev/cd0 /mnt + Заметьте, что имя вашего устройства - (/dev/cd0c в этом примере) может быть другим, + (/dev/cd0 в этом примере) может быть другим, в зависимости от интерфейса, используемого в CDROM. Кроме того, параметр всего лишь задаёт выполнение утилиты &man.mount.cd9660.8;. Пример выше может быть упрощён до: &prompt.root; mount_cd9660 /dev/cd0c /mnt Таким способом, вообще говоря, вы можете использовать компакт-диски любого производителя. Диски с некоторыми расширениями ISO 9660 могут, однако, работать со странностями. К примеру диски Joliet хранят все имена файлов в виде последовательностей двухбайтовых символов Unicode. Ядро FreeBSD (пока ещё) не может работать с Unicode, поэтому не английские символы выводятся в виде знаков вопроса. (Если в работаете с FreeBSD 4.3 или более поздней версией, то в драйвере CD9660 имеется механизм для динамической загрузки соответствующей таблицы преобразования Unicode. Модули для некоторых распространённых кодировок могут быть получены из порта sysutils/cd9660_unicode.) Время от времени вы можете получать сообщения Device not configured при попытке смонтировать CDROM. Это обычно означает, что привод CDROM полагает, что в нём нет диска, или что привод не виден на шине. Приводу CDROM может понадобиться несколько секунд, чтобы понять, что он был закрыт, так что будьте терпеливы. Иногда SCSI CDROM может потеряться из-за того, что у него не было достаточно времени, чтобы ответить на сброс шины. Если у вас имеется SCSI CDROM, то, пожалуйста, добавьте следующий параметр в конфигурацию вашего ядра и перестройте его. options SCSI_DELAY=15000 Это укажет вашей шине SCSI выдерживать 15-секундную паузу во время загрузки, чтобы дать вашему приводу CDROM шанс ответить на сброс шины. Запись необработанных данных на компакт-диски Вы можете предпочесть запись файла непосредственно на CD без создания файловой системы ISO 9660. Некоторые поступают так при создании резервных копий. Это выполняется гораздо быстрее. чем запись стандартного компакт-диска: - &prompt.root; burncd -f /dev/acd1c -s 12 data archive.tar.gz fixate + &prompt.root; burncd -f /dev/acd1 -s 12 data archive.tar.gz fixate Для извлечения данных, записанных так на компакт-диск, вы должны считывать данные из файла непосредственного доступа к устройству: - &prompt.root; tar xzvf /dev/acd1c + &prompt.root; tar xzvf /dev/acd1 Вы не можете монтировать этот диск как обычный CDROM. Такой компакт-диск не может быть прочитан ни в какой другой операционной системе, кроме FreeBSD. Если вы хотите монтировать CD или обменяться данными с другой операционной системой, то вы должны - использовать sysutils/mkisofs так, + использовать &man.mkisofs.8; так, как это было описано выше. + + + + Marc + Fonvieille + Предоставил + + + + устройство записи CD драйвер ATAPI/CAM Использование драйвера ATAPI/CAM Этот драйвер позволяет работать с ATAPI-устройствами (приводы CD-ROM, CD-RW, DVD и так далее) через подсистему SCSI, таким образом расширяя использование таких приложений, как sysutils/cdrdao или &man.cdrecord.1;. Для использования этого драйвера вам необходимо добавить в файл конфигурации ядра следующие строки: device atapicam device scbus device cd device pass - Кроме того, в файле конфигурации ядра должны быть следующие - строки: + Кроме того, в файле конфигурации ядра должна быть следующая + строка: - device ata -device atapicd + device ata - Обе строки уже должны там присутствовать. + которая уже должна там присутствовать. После этого перестройте и установите ваше новое ядро, выполните перезагрузку машины. В процессе загрузки ваш пишущий привод должен появиться примерно следующим образом: acd0: CD-RW <MATSHITA CD-RW/DVD-ROM UJDA740> at ata1-master PIO4 cd0 at ata1 bus 0 target 0 lun 0 cd0: <MATSHITA CDRW/DVD UJDA740 1.00> Removable CD-ROM SCSI-0 device cd0: 16.000MB/s transfers cd0: Attempt to query device size failed: NOT READY, Medium not present - tray closed Теперь с ним можно работать через устройство /dev/cd0, например, чтобы смонтировать CD-ROM в каталог /mnt, просто наберите следующую команду: - &prompt.root; mount -t cd9660 /dev/cd0c /mnt + &prompt.root; mount -t cd9660 /dev/cd0 /mnt Для получения SCSI-адреса пишущего привода, вы можете, работая как пользователь root, запустить такую команду: &prompt.root; camcontrol devlist <MATSHITA CDRW/DVD UJDA740 1.00> at scbus1 target 0 lun 0 (pass0,cd0) Таким образом, 1,0,0 будет SCSI-адресом для использования с &man.cdrecord.1; и другими приложениями для работы со SCSI. Для получения дополнительной информации об ATAPI/CAM и системе SCSI, обратитесь к страницам справочной системы по &man.atapicam.4; и &man.cam.4;. + + + + + Marc + Fonvieille + Предоставил + + + + + Andy + Polyakov + Дополнения предоставил + + + + + + Создание и использование оптических носителей (DVD) + + DVD + запись + + + + Введения + + DVD это следующее после CD поколение оптических носителей. + DVD может вмещать больше данных чем любой CD и является + современным стандартом распространения видео. + + Для записываемых DVD существует пять физических форматов + записи: + + + + DVD-R: Был первым форматом записываемых DVD. Стандарт + DVD-R был создан DVD Forum. + Это формат для однократной записи. + + + + DVD-RW: Это перезаписываемая версия стандарта DVD-R. + Носители DVD-RW могут быть перезаписаны около 1000 раз. + + + + DVD-RAM: Это также перезаписываемый формат, поддерживаемый + DVD Forum. DVD-RAM может быть виден как съемный жесткий диск. + Однако, этот носитель не совместим с большинством приводов + DVD-ROM и проигрывателями DVD-Video; лишь несколько + пишущих DVD поддерживают формат DVD-RAM. + + + + DVD+RW: Это перезаписываемый формат, созданный + DVD+RW + Alliance. Носитель DVD+RW может быть перезаписан около + 1000 раз. + + + + DVD+R: Этот формат — однократно записываемая версия + формата DVD+RW. + + + + Однослойный записываемый DVD может хранить до + 4,700,000,000 байт, что равно 4.38 Гб, или + 4485 Мб (1 килобайт это 1024 байт). + + + Необходимо различать физический носитель и приложение. + Например, DVD-Video это определенная файловая раскладка, которая + может быть помещена на записываемый DVD любого физического + формата: DVD-R, DVD+R, DVD-RW и т.д. Перед выбором типа + носителя вы должны убедиться, что и устройство записи и + DVD-Video проигрыватель (отдельный или DVD-ROM привод + компьютера) совместимы с данным носителем. + + + + Настройка + + Для записи DVD будет использоваться программа &man.growisofs.1;. + Эта команда входит в набор утилит + dvd+rw-tools (sysutils/dvd+rw-tools), который поддерживает + все типы носителей DVD. + + Эти утилиты используют подсистему SCSI для доступа к устройствам, + следовательно необходимо добавить в ядро поддержку ATAPI/CAM. Если пишущий + привод использует USB интерфейс, это добавление бесполезно и + необходимо прочесть более подробную информацию по настройке + устройств USB в + + Вам также потребуется включить DMA доступ для устройств ATAPI, + это можно сделать добавив в + /boot/loader.conf следующую строку: + + hw.ata.atapi_dma="1" + + Перед использованием + dvd+rw-tools вы должны свериться со + списком + совместимого оборудования dvd+rw-tools с информацией + по устройствам для записи DVD. + + + Если вам нужен графический интерфейс пользователя, + взгляните на K3b (sysutils/k3b), который + предоставляет дружественный пользователю интерфейс к + &man.growisofs.1; и многим другим программам + записи. + + + + + Запись DVD с данными + + Команда &man.growisofs.1; является оболочкой для mkisofs, она вызовет + &man.mkisofs.8; для создания файловой системы и запишет + DVD. Это означает, что вам не потребуется создавать образ + с данными перед началом процесса записи. + + Для записи данных из каталога /path/to/data на DVD+R или DVD-R, + используйте следующую команду: + + &prompt.root; growisofs -dvd-compat -Z /dev/cd0 -J -R /path/to/data + + Параметры передаются + &man.mkisofs.8; для создания файловой системы (в данном случае: + файловая система ISO 9660 с расширениями Joliet и Rock Ridge), + обратитесь к странице справочника &man.mkisofs.8; за более + подробной информацией. + + Параметр используется для первой сессии + записи в любом случае: для одной или нескольких сессий. + Устройство DVD, /dev/cd0, должно + быть изменено в соответствии с имеющимися настройками. + Параметр закроет диск и дозапись + станет невозможна. Это должно улучшить совместимость с + приводами DVD-ROM. + + Возможна также запись предварительного (pre-mastered) образа, + например, для записи + imagefile.iso запустим: + + &prompt.root; growisofs -dvd-compat -Z /dev/cd0=imagefile.iso + + Скорость записи должна быть определена и автоматически + установлена в соответствии с носителем и приводом. Если вы хотите + явно указать скорость записи, используйте параметр + . За дальнейшей информацией обратитесь к + странице справочника &man.growisofs.1;. + + + + DVD + DVD-Video + + + + Запись DVD-Video + + DVD-Video это особая файловая система, базирующаяся на ISO 9660 + и спецификациях micro-UDF (M-UDF). DVD-Video также представляет + определенную иерархию структуры данных, поэтому для создания DVD + потребуется особая программа, такая как multimedia/dvdauthor. + + Если у вас уже есть образ файловой системы DVD-Video, + просто запишите его как любой другой образ, примеры находятся + в предыдущем разделе. Если вы создали DVD и результат находится + в каталоге /path/to/video, + для записи DVD-Video должна быть использована следующая + команда: + + &prompt.root; growisofs -Z /dev/cd0 -dvd-video /path/to/video + + Параметр будет передан + &man.mkisofs.8; и укажет создать файловую систему DVD-Video. + Помимо этого, параметр подразумевает + параметр &man.growisofs.1; . + + + + DVD + DVD+RW + + + + Использование DVD+RW + + В отличие от CD-RW, новый DVD+RW необходимо отформатировать перед + первым использованием. Программа &man.growisofs.1; позаботится об + этом сама при необходимости, и это + рекомендованный способ. Тем не менее, + для форматирования DVD+RW вы можете использовать команду + dvd+rw-format: + + &prompt.root; dvd+rw-format /dev/cd0 + + Эту операцию необходимо выполнить лишь однажды, помните, + что только новые носители DVD+RW необходимо форматировать. + Затем запишите DVD+RW тем способом, который описан в предыдущем + разделе. + + Если вы хотите записать новые данные (полностью новую файловую + систему, а не дописать данные) на DVD+RW, его не нужно очищать, + просто запишите поверх предыдущей записи (создав новую начальную + сессию) примерно так : + + &prompt.root; growisofs -Z /dev/cd0 -J -R /path/to/newdata + + Формат DVD+RW делает возможным легко дописать данные к предыдущей + записи. Операция состоит в присоединении предыдущей сессии к + существующей, это не мультисессионная запись, &man.growisofs.1; + расширит (grow) файловую систему ISO 9660, + существующую на носителе. + + Например, для дозаписи данных к предыдущей сессии на + DVD+RW, используется следующая команда: + + &prompt.root; growisofs -M /dev/cd0 -J -R /path/to/nextdata + + При последующих записях &man.mkisofs.8; необходимо передавать + те же параметры, что и при первой записи. + + + Вы можете использовать параметр + для улучшения совместимости с приводами DVD-ROM. В случае + DVD+RW это не помешает добавлению данных. + + + Если по какой-либо причине вам потребуется очистить носитель, + используйте следующую команду: + + &prompt.root; growisofs -Z /dev/cd0=/dev/zero + + + + DVD + DVD-RW + + + + Использование DVD-RW + + Существует два формата дисков DVD-RW: последовательно + дополняемый и с ограниченной перезаписью. По умолчанию + формат дисков DVD-RW последовательный. + + Новый DVD-RW может быть записан непосредственно без + необходимости форматирования, однако DVD-RW с данными + в последовательном формате необходимо очистить перед + созданием новой начальной сессии. + + Для очистки DVD-RW в последовательном формате, запустите: + + &prompt.root; dvd+rw-format -blank=full /dev/cd0 + + + Полная очистка () займет + около одного часа на скорости 1x. Быструю очистку можно + выполнить с параметром , если + DVD-RW будет записан в режиме Disk-At-Once (DAO). + Для записи DVD-RW в режиме DAO, используйте команду: + + &prompt.root; growisofs -use-the-force-luke=dao -Z /dev/cd0=imagefile.iso + + Параметр не + должен потребоваться, поскольку &man.growisofs.1; попытается + определить был ли носитель быстро очищен и включить + DAO запись. + + Фактически, лучше использовать режим с ограниченной + перезаписью с любым DVD-RW, этот формат более гибкий, чем + формат по умолчанию с последовательной записью. + + + Для записи данных на последовательный DVD-RW, используйте + ту же команду, что и для других форматов DVD: + + &prompt.root; growisofs -Z /dev/cd0 -J -R /path/to/data + + Если вы хотите добавить данные к предыдущей записи, + используйте параметр &man.growisofs.1; . + Однако при добавлении данных на DVD-RW в последовательном + режиме, на диске будет создана новая сессия и в результате + получится мультисессионный диск. + + В формате DVD-RW с ограниченной перезаписью не требуется + очищать носитель перед созданием новой начальной сессии, + вам всего лишь нужно переписать диск с параметром + , подобно DVD+RW. Возможно также увеличение + существующей файловой системы ISO 9660, записанной на диск + тем же способом, как для DVD+RW с параметром . + В результате получится односессионный DVD. + + Для перевода DVD-RW в формат с ограниченной перезаписью, + необходимо использовать следующую команду: + + &prompt.root; dvd+rw-format /dev/cd0 + + Для перевода обратно в последовательный формат, выполните: + + &prompt.root; dvd+rw-format -blank=full /dev/cd0 + + + + Мультисессия + + Лишь несколько DVD-ROM и проигрывателей поддерживают + мультисессионные DVD, в основном они в лучшем случае прочтут только + первую сессию. DVD+R, DVD-R и DVD-RW в последовательном формате + могут работать с несколькими сессиями, и это не относится к + форматам DVD+RW и DVD-RW в формате ограниченной перезаписи. + + Использование следующей команды после первой (не закрытой) сессии + для DVD+R, DVD-R, или DVD-RW в последовательном формате, добавит + на диск новую сессию: + + &prompt.root; growisofs -M /dev/cd0 -J -R /path/to/nextdata + + Использование этой командной строки с DVD+RW или DVD-RW в + режиме ограниченной перезаписи добавит данные, объединив новую сессию + с предыдущей. В результате получится односессионный диск. + Такой способ используется для добавления данных после первой + записи на эти носители. + + + Некоторый объем носителя используется между сессиями для + завершения и начала сессии. Следовательно, для оптимизации + объема хранения сессии должны быть большими. Количество сессий + ограничено 154 для DVD+R, около 2000 для DVD-R и 127 для + DVD+R Double Layer. + + + + + Дополнительная информация + + Для получения дополнительной информации о DVD, можно запустить + команду dvd+rw-mediainfo + /dev/cd0, диск должен + находиться в приводе. + + Дополнительная информация о + dvd+rw-tools может быть найдена на + странице справочника &man.growisofs.1;, на веб сайте + dvd+rw-tools и в архивах списка рассылки + cdwrite. + + + Вывод dvd+rw-mediainfo при записи + или проблемный носитель необходимы для любого сообщения + о проблеме. Без этого вывода будет совершенно невозможно + помочь вам. + + + + Julio Merino Первоначальный текст предоставил Martin Karlsson Переписал Дискеты Хранение данных на дискетах иногда бывает полезным, например, когда нет других съёмных носителей или когда необходимо перенести небольшой объём данных на другой компьютер. В этом разделе будет описано, как использовать дискеты во FreeBSD. В основном речь пойдёт о форматировании и использовании дискет DOS размером 3.5 дюйма, однако общие принципы применимы и для других форматов гибких дисков. Форматирование дискет Устройство Доступ к гибким дискам, как, впрочем, и к остальным устройствам, осуществляется через соответствующие файлы в каталога /dev. Чтобы обратиться к дискете при использовании релизов 4.X и ранее, необходимо работать с /dev/fdN, где N обозначает номер привода, обычно 0, или /dev/fdNX, где X обозначает букву. В 5.0 и более новых релизах просто используйте /dev/fdN. Размер диска в 4.X и более ранних релизах Имеются также устройства /dev/fdN.size, где size обозначает размер дискеты в килобайтах. Эти файлы устройств используются во время низкоуровневого форматирования для задания размера устройства. В последующих примерах будет использоваться размер в 1440kB. Иногда записи в каталоге /dev необходимо создавать повторно. Для этого выполните следующее: &prompt.root; cd /dev && ./MAKEDEV "fd*" Размер диска в 5.0 и последующих релизах В 5.0 &man.devfs.5; управляет файлами устройств в каталоге /dev в автоматическом режиме, так что использование MAKEDEV необязательно. Требуемый размер диска передаётся утилите &man.fdformat.1; при помощи параметра . Поддерживаемые размеры перечислены в &man.fdcontrol.8;, но, по нашему мнению, лучше всего работает 1440kB. Форматирование Перед тем, как дискетой можно будет воспользоваться, её необходимо отформатировать на низком уровне. Обычно это выполняется производителем, однако форматирование является хорошим способом проверить целостность носителя. Большинство гибких дисков предназначены для использования с размером 1440kB, однако возможно задать меньший или больший размер. Для низкоуровневого форматирования дискет вам нужно использовать &man.fdformat.1;. В качестве параметра этой утилите передаётся имя устройства. Обратите внимание на появление сообщений об ошибках, так как они могут помочь определить, хорошая это дискета или плохая. Форматирование в 4.X и более ранних релизах Для форматирования дискет используйте устройства /dev/fdN.size. Вставьте новую 3.5-дюймовую дискету в дисковод и введите команду: &prompt.root; /usr/sbin/fdformat /dev/fd0.1440 Форматирование в 5.0 и более новых релизах Для форматирования гибких дисков используйте устройства /dev/fdN. Вставьте новую 3.5-дюймовую дискету в дисковод и введите команду: &prompt.root; /usr/sbin/fdformat -f 1440 /dev/fd0 Метка диска После низкоуровневого форматирования диска вам нужно поместить на него метку диска. Эта метка будет потом разрушена, но она будет нужна системе для определения размера диска и его характеристик. Новая метка диска будет касаться диска в целом, и будет содержать полную информацию о параметрах дискеты. Значения геометрии для метки диска перечислены в файле /etc/disktab. Теперь вы можете запустить &man.disklabel.8; примерно так: &prompt.root; /sbin/disklabel -B -r -w /dev/fd0 fd1440 Начиная с &os; 5.1-RELEASE, на смену старой программе &man.disklabel.8; пришла утилита &man.bsdlabel.8;. У &man.bsdlabel.8; отсутствуют некоторые устаревшие опции и параметры; в примере выше параметр не может использоваться с &man.bsdlabel.8;. Для получения дополнительной информации обратитесь к справочной странице п о &man.bsdlabel.8;. Файловая система Теперь ваша дискета готова к высокоуровневому форматированию. При этом на неё будет помещаться новая файловая система, которая позволит FreeBSD читать и записывать информацию на диск. После создания новой файловой системы метка диска уничтожается, так что если вы захотите переформатировать диск, вам придётся создавать метку диска повторно. Файловой системой для дискеты может служить UFS или FAT. Вообще говоря, FAT для дискет походит лучше. Для размещения на дискете новой файловой системы, выполните: &prompt.root; /sbin/newfs_msdos /dev/fd0 Теперь диск готов к работе. Использование дискет Для работы с гибким диском смонтируйте его при помощи утилит &man.mount.msdos.8; (для 4.X и более ранних релизов) или &man.mount.msdosfs.8; (в 5.0 и последующих релизах). Можно также использовать пакет emulators/mtools из коллекции портов. Создание и использование архивных копий на магнитной ленте носители на магнитной ленте К наиболее часто используемым носителям на магнитной ленте следует отнести ленты шириной 4мм и 8мм, а также типа QIC, мини-картриджи и DLT. 4мм (DDS: Digital Data Storage) носители на магнитной ленте магнитные ленты DDS (4мм) носители на магнитной ленте магнитные ленты QIC Ленты шириной 4мм заменяют QIC в качестве наиболее предпочтительного носителя для создания резервных копий. Эта тенденция значительно усилилась после покупки компанией Conner фирмы Archive, ведущего производителя накопителей QIC и последующего прекращения их выпуска. Накопители 4мм малы по размеру и мало шумят, но у них нет репутации носителя, обладающего надежностью приводов 8мм. Картриджи более дешевы и меньше по размеру (3 x 2 x 0.5 дюймов, 76 x 51 x 12 мм), чем 8мм-картриджи. Накопители для лент шириной 4мм, как и 8мм, имеют сравнительно малый срок службы головок, по причине использования в обоих случаях технологии спирального сканирования (helical scan). Пропускная способность у таких накопителей начинается с цифры ~150 kB/s, пиковая достигает ~500 kB/s. Ёмкость накопителей начинается с 1.3 GB и может достигать 2.0 GB. Аппаратное сжатие, имеющееся на большинстве таких накопителей, даёт увеличение ёмкости примерно вдвое. Блоки многоприводных ленточных библиотек могут иметь до 6 накопителей в одном модуле с автоматической сменой ленты. Емкость библиотек может достигать 240 GB. Стандарт DDS-3 в настоящее время поддерживает ёмкости лент вплоть до 12 ГБ (или 24 ГБ сжатой информации). В накопителях 4мм, как и в приводах 8мм, используется технология спирального сканирования. Все плюсы и минусы этой технологии относятся как к 4мм, так и 8мм приводам. Не следует использовать ленты после того, как они были подвергнуты 2000 проходов, или были использованы для создания 100 полных копий. 8мм (Exabyte) носители на магнитной ленте магнитные ленты Exabyte (8мм) Ленты шириной 8мм являются самым распространённым типом для ленточных SCSI-накопителей; они же являются наиболее удачным выбором при выборе типа носителей для обмена лентами. Наверное, каждый сервер имеет привод Exabyte шириной 8мм и объёмом 2 ГБ. Эти приводы удобны, они работают надёжно и тихо. Картриджи дешевы и малы по размеру (4.8 x 3.3 x 0.6 дюймов; 122 x 84 x 15 мм). Одним минусом лент шириной 8мм является сравнительно малое время службы головок и лент из-за высокой скорости движения ленты вдоль головок. Скорость передачи данных варьируется от ~250 kB/s до ~500 kB/s. Объём хранимых данных начинается с 300 МБ и может достигать 7 ГБ. Аппаратное сжатие, имеющееся практически на всех таких приводах, увеличивает емкость примерно вдвое. Эти приводы существуют как в виде отдельных модулей, так и в виде многоприводных ленточных библиотек с 6 приводами и 120 лентами в одном отсеке. Ленты сменяются автоматически модулем. Емкости библиотек достигают величин, превышающих 840 ГБ. Модель Exabyte Mammoth поддерживает ёмкость ленты в 12 ГБ (24 ГБ со сжатием) и стоит примерно вдвое больше, чем обычный ленточный накопитель. Данные на ленту записываются по технологии спирального сканирования, головки позиционируются под углом к носителю (примерно в 6 градусов). Лента оборачивается на 270 градусов вокруг шпульки, которая держит головки. Во время скольжения ленты вокруг шпульки последняя вращается. В результате достигается высокая плотность записи данных с очень близко лежащими дорожками, расположенными под наклоном по всей ленте. QIC носители на магнитной ленте QIC-150 Ленты и накопители формата QIC-150, наверное, являются наиболее распространенным типом носителей. Приводы лент формата QIC являются самыми дешёвыми серьёзными накопителями для резервного копирования. Минусом является стоимость носителей. Ленты формата QIC по сравнению с лентами шириной 8мм или 4мм являются дорогими, превосходя их по стоимости хранения одного гигабайта в пять раз. Однако если вам будут достаточно половины ленты, QIC может оказаться правильным выбором. QIC является самым распространенным типом привода. Каждый сайт имеет привод QIC какой-либо емкости. QIC имеет большое количество плотностей на физически похожих (иногда даже идентичных) лентах. Приводы QIC работают вовсе не тихо. Эти накопители громко осуществляют поиск перед тем, как начать запись данных и достаточно шумны в процессе чтения, записи или поиска. Ленты - QIC имеют размеры (6 x 4 x 0.7 дюймов; 15.2 x 10.2 x 1.7 мм). Мини-картриджи, в которых - также используется лента шириной 1/4", обсуждаются отдельно. - Библиотек лент и роботов для их замены не существует. + QIC имеют размеры (6 x 4 x 0.7 дюймов; 15.2 x 10.2 x 1.7 мм). Скорость обмена данными лежит в границах от ~150 kB/s до ~500 kB/s. Ёмкость накопителей варьируется от 40 МБ до 15 ГБ. Аппаратное сжатие присутствует во многих современных накопителях QIC. Приводы QIC устанавливаются менее часто; они вытесняются накопителями DAT. На ленту данные записываются в виде дорожек. Дорожки располагаются в длину вдоль всей ленты. Количество дорожек, и, в свою очередь, их ширина, меняется вместе с емкостью ленты. Большинство, если не все современные накопители обеспечивают обратную совместимость по крайней мере для чтения (однако зачастую и для режима записи). Формат QIC имеет хорошую репутацию в области надежности хранения данных (механика устроена проще и более надежна, чем в случае накопителей, построенных по технологии спирального сканирования). Ленты не следует больше использовать после создания 5,000 резервных копий. - - XXX* Мини-картриджи - - - - DLT носители на магнитной ленте DLT Формат DLT обладает самой высокой скоростью передачи данных среди всех перечисленных здесь накопителей. Лента шириной 1/2" (12.5мм) помещена в один картридж с катушкой (4 x 4 x 1 дюймов; 100 x 100 x 25 мм). Вдоль одной из сторон картриджа расположена сдвигающаяся крышечка. Механизм накопителя открывает эту крышку, чтобы вытащить конец ленты. На этом конце имеется овальное отверстие, которое используется для захвата ленты. Принимающая катушка размещена внутри накопителя. Все другие типы картриджей, перечисленные здесь (за исключением 9-дорожечных лент), имеют как подающий, так и принимающий барабаны внутри самого картриджа. Скорость передачи данных равна примерно 1.5 MB/s, что в три раза больше скорости передачи данных для накопителей 4мм, 8мм или QIC. Ёмкость картриджей варьируется от 10 ГБ до 20 ГБ для одного накопителя. Приводы могут компоноваться как многоленточные роботизированные, так и многоленточные, многоприводные библиотеки лент, вмещающие от 5 до 900 лент и от 1 до 20 приводов, что даёт ёмкость хранилища от 50 ГБ до 9 ТБ. Формат DLT Type IV поддерживает емкость до 70 ГБ со сжатием. Данные на ленту записываются в виде дорожек, параллельных направлению движения (точно также, как и для лент QIC). Одновременно записываются две дорожки. Срок жизни головок чтения/записи сравнительно велик; как только лента перестает двигаться, одновременно прекращается трение между головками и лентой. AIT носители на магнитной ленте AIT AIT - это новый формат фирмы Sony, который позволяет хранить до 50 ГБ (со сжатием) информации на одной ленте. Ленты содержат микросхемы памяти, на которых размещается каталог содержимого ленты. Этот каталог может быть быстро считан накопителем для определения расположения файлов на ленте, вместо того, чтобы тратить несколько минут на поиск, как это происходит с другими форматами. Такое программное обеспечение, как SAMS:Alexandria, может управлять сорока или большим количеством ленточных библиотек AIT, связываясь непосредственно с памятью лент для вывода их содержимого, определения того, какие файлы были скопированы на какую ленту, выбора нужной ленты, её загрузки и восстановления данных с ленты. Библиотеки с такими функциями стоят в районе $20,000, выводя их из ниши любительского рынка. Использование новой ленты первый раз Если вы попытаетесь прочитать или записать новую, абсолютно чистую ленту, в первый раз, то вам это не удастся. Выводимые на консоль сообщения будут выглядеть примерно так: sa0(ncr1:4:0): NOT READY asc:4,1 sa0(ncr1:4:0): Logical unit is in process of becoming ready На ленте отсутствует идентификационный блок (блок номер 0). Со времен принятия стандарта QIC-525 все накопители формата QIC записывают на ленту идентификационный блок (Identifier Block). Здесь имеется два решения: По команде mt fsf 1 ленточный накопитель записывает идентификационный блок на ленту. Воспользуйтесь кнопкой на передней панели для выброса ленты. Вставьте ленту повторно и по команде dump сбросьте данные на ленту. Программа dump выдаст DUMP: End of tape detected, а на консоли будет выведено: HARDWARE FAILURE info:280 asc:80,96. перемотайте ленту такой командой: mt rewind. Последующие операции с лентой будут успешными. Создание резервных копий на дискетах Можно ли использовать дискеты для создания резервных копий моих данных? дискеты с резервными копиями дискеты На самом деле дискеты не подходят для создания резервных копий, потому что: Носитель ненадёжен, особенно если речь идет о больших сроках хранения. Создание резервных копий и восстановление данных происходит очень медленно. Дискеты имеют весьма ограниченную емкость (дни, когда весь винчестер копировался на десяток или около того дискет, давно прошли). Несмотря на все это, если у вас нет другого способа сделать резервную копию ваших данных, то дискеты все же лучше, чем ничего. Если вы используете дискеты, то проверьте, что они должны быть хорошего качества. Дискеты, которые валялись по всему офису в течении нескольких лет, не подойдут. Идеально использовать новые от известного производителя. Итак, как же сделать резервную копию данных на дискетах? Самым лучшим методом создания резервной копии на дискете является использование утилиты &man.tar.1; с опцией (многотомные архивы), которая позволяет размещать архивы на нескольких дискетах. Для копирования всех файлов в текущем каталоге и подкаталогах выполните следующее (работая как пользователь root): &prompt.root; tar Mcvf /dev/fd0 * Когда первая дискета окажется полностью заполненной, программа &man.tar.1; выдаст запрос на следующий том (так как работа утилиты &man.tar.1; не зависит от носителя, она имеет дело с томами; здесь это означает дискету). Prepare volume #2 for /dev/fd0 and hit return: Это сообщение будет повторяться (со все увеличивающимся номером тома) до тех пор, пока все указанные файлы не будут заархивированы. Можно ли резервные копии подвергнуть компрессии? tar gzip сжатие К сожалению, &man.tar.1; при создании многотомных архивов не позволяет использовать опцию . Вы конечно же, можете скомпрессировать все файлы утилитой &man.gzip.1;, программой &man.gzip.1; скопировать их на дискеты, а затем распаковать файлы снова утилитой &man.gunzip.1;! Как восстановить данные из моих резервных копий? Для полного восстановления архива воспользуйтесь такой командой: &prompt.root; tar Mxvf /dev/fd0 Есть два подхода к восстановлению только нужных вам файлов. В первом вы можете начать с первой дискеты и выдать такую команду: &prompt.root; tar Mxvf /dev/fd0 filename Программа &man.tar.1; будет выдавать запрос на подачу последующих дискет до тех пор, пока не найдет требуемый файл. Как альтернатива, если вы знаете, на какой дискете расположен файл, то вы можете просто подать ее и дать ту же самую команду, что и выше. Заметьте, что если первый файл на дискете является продолжением предыдущего, то &man.tar.1; выдаст предупреждение о том, что не может его восстановить, хотя вы этого и не просили делать! Основы технологии резервного копирования Тремя основными программами резервного копирования являются &man.dump.8;, &man.tar.1; и &man.cpio.1;. Dump и Restore программы резервного копирования резервное копирование / восстановление dump restore Для &unix; традиционными программами резервного копирования являются dump и restore. Они работают с приводом как с набором дисковых блоков, которые расположены ниже понятий файлов, связей и каталогов, создаваемых файловыми системами. Программа dump выполняет резервное копирование всей файловой системы, располагающейся на устройстве. Невозможно выполнить резервное копирование части файловой системы или дерева каталогов, которые располагаются более чем в одной файловой системе. Утилита dump не записывает на ленту файлы и каталоги, она записывает блоки данных, из которых строятся файлы и каталоги. Если вы используете программу dump для работы с корневым каталогом, при этом не будет выполняться резервное копирование /home, /usr и многих других каталогов, так как они обычно являются точками монтирования других файловых систем или символическими ссылками на эти файловые системы. В программе dump имеются некоторые неудобства, оставшиеся от её ранних дней в составе Version 6 операционной системы AT&T UNIX (примерно 1975). Параметры, используемые по умолчанию, подходят для 9-дорожечных лент (6250 bpi), но не для современных носителей с высокой плотностью записи информации (до 62,182 ftpi). Для использования ёмкостей нынешних накопителей на магнитной ленте эти параметры могут быть заданы в командной строке. .rhosts При помощи rdump и rrestore возможно резервное копирование данных по сети на накопитель, подключенный к другому компьютеру. Обе программы используют в работе &man.rcmd.3; и &man.ruserok.3; для доступа к накопителю на магнитной ленте на удалённом компьютере. Поэтому пользователь, выполняющий резервное копирование, должен быть указан в файле .rhosts на удалённом компьютере. Аргументы для rdump и rrestore должны подходить для использования на другом компьютере. При выполнении копирования по команде rdump на компьютере с FreeBSD на накопитель Exabyte, подключенный к машине Sun по имени komodo, используйте такую команду: &prompt.root; /sbin/rdump 0dsbfu 54000 13000 126 komodo:/dev/nsa8 /dev/da0a 2>&1 Будьте осторожны: есть проблемы с обеспечением безопасности при аутентификации посредством .rhosts. Внимательно рассмотрите вашу ситуацию. Программы dump и restore можно использовать в более защищённом режиме посредством ssh. Использование <command>dump</command> через <application>ssh</application> - &prompt.root; /sbin/dump -0uan -f - /usr | gzip -2 | ssh1 -c blowfish \ + &prompt.root; /sbin/dump -0uan -f - /usr | gzip -2 | ssh -c blowfish \ targetuser@targetmachine.example.com dd of=/mybigfiles/dump-usr-l0.gz Либо воспользуйтесь встроенной в dump возможностью, задав переменную окружения RSH: Использование <command>dump</command> при работе через <application>ssh</application> с заданием <envar>RSH</envar> &prompt.root; RSH=/usr/bin/ssh /sbin/dump -0uan -f targetuser@targetmachine.example.com:/dev/sa0 <command>tar</command> программы резервного копирования tar Утилита &man.tar.1; также восходит корнями к Version 6 системы AT&T UNIX (около 1975). tar работает с файловой системой; tar записывает на ленту файлы и каталоги. tar поддерживает не полный набор опций, имеющихся в &man.cpio.1;, однако он не требует необычного перенаправления в командной строке, которое используется в утилите cpio. tar В большинстве версий tar создание резервных копий по сети не поддерживается. Версия GNU утилиты tar, которая используется во FreeBSD, поддерживает удалённые устройства в том же самом синтаксисе, что и rdump. Чтобы скопировать данные на накопитель Exabyte, подключенный к машине Sun по имени komodo, используйте такую команду: &prompt.root; /usr/bin/tar cf komodo:/dev/nsa8 . 2>&1 В случае использования версий без поддержки удалённых устройств, вы можете воспользоваться перенаправлением вывода и командой rsh для посылки данных на удалённый ленточный накопитель. &prompt.root; tar cf - . | rsh hostname dd of=tape-device obs=20b Если вы беспокоитесь о безопасности создания резервных копий по сети, то вместо rsh вам нужно использовать ssh. <command>cpio</command> программы резервного копирования cpio &man.cpio.1; является оригинальной программой &unix; для обмена файлами на магнитных носителях. В утилите cpio имеются опции (кроме всего прочего), позволяющие выполнять изменение порядка следования байтов, поддерживающие различные форматы архивов и выполняющие перенаправление данных другим программам. Последняя возможность делает cpio прекрасным выбором для целей установки. cpio не знает о том, как работать с каталогами, список файлов должен даваться через stdin. cpio cpio не поддерживает создание резервных копий по сети. Вы можете воспользоваться перенаправлением вывода и программой rsh для посылки данных на удалённый накопитель. &prompt.root; for f in directory_list; do find $f >> backup.list done &prompt.root; cpio -v -o --format=newc < backup.list | ssh user@host "cat > backup_device" Где directory_list это список директорий, c которых Вы хотите создать резервные копии, user@host это комбинация пользователь/хост которая описывает того кто занимается резервированием, и backup_device это устройство куда копии должны быть записаны (например, /dev/nsa0). <command>pax</command> программы резервного копирования pax pax POSIX IEEE &man.pax.1; является ответом IEEE/&posix; на утилиты tar и cpio. В течение многих лет различные версии программ tar и cpio получались не совсем совместимыми. Так что вместо того, чтобы попытаться полностью их стандартизировать, &posix; создал новую утилиту для работы с архивами. pax пытается читать и писать различные форматы cpio и tar, и, кроме того, свои собственные новые форматы. Набор команд этой утилиты больше напоминает cpio, чем tar. <application>Amanda</application> программы резервного копирования amanda amanda Amanda (Advanced Maryland Network Disk Archiver) является целой клиент/серверной системой резервного копирования, а не отдельной программой. Сервер Amanda сможет осуществлять резервное копирование на единственный накопитель любого количества компьютеров, на которых имеется клиент Amanda и которые могут связываться по сети с сервером Amanda. Общей проблемой систем с большим количеством больших дисков является то, что время, требуемое для непосредственной записи данных на ленту, превышает лимит времени, выделенный на эту задачу. Amanda решает эту проблему. Amanda может использовать промежуточный диск для резервного копирования нескольких файловых систем одновременно. Amanda создаёт наборы архивов: группа лент, используемых в некоторый период времени для создания полных копий всех файловых систем, перечисленных в конфигурационном файле системы Amanda. Архивный набор содержит также создаваемый каждую ночь инкрементальные (или дифференциальные) резервные копии всех файловых систем. Восстановление повреждённой файловой системы требует наличия самой последней полной копии и инкрементальных резервных копий. Конфигурационный файл даёт прекрасный механизм для управления процессом резервного копирования и объёмом трафика, генерируемого системой Amanda. Amanda сможет использовать любую из перечисленных выше программ для записи данных на ленту. Amanda имеется в виде как порта, так и пакаджа, и по умолчанию она не установлена. Не делать ничего Не делать ничего - это не программа для компьютера, и в то же время это наиболее широко используемая стратегия резервного копирования. Здесь нет никаких первоначальных затрат. Здесь нет расписания, которому нужно следовать. Просто скажите нет. Если что-то случится с вашими данными, улыбнитесь и забудьте о них! Если ваше время и данные практически ничего не стоят, то не делать ничего является самой подходящей программой для вашего компьютера. Но будьте осторожны, &posix; является весьма полезным инструментом, и через полгода вы можете обнаружить, что у вас есть набор файлов, представляющих для вас определенную ценность. Ничего не делать является правильным методом резервного копирования для /usr/obj и других деревьев каталогов, которые могут быть в точности перегенерированы вашим компьютером. Примером являются файлы, представляющие страницы этого Руководства в форматах HTML или &postscript;. Они генерируются из входных файлов в формате SGML. Создавать резервные копии файлов в форматах HTML и &postscript; не нужно. Исходные файлы в формате SGML копируются регулярно. Какая программа резервного копирования самая лучшая? LISA &man.dump.8; Точка. Elizabeth D. Zwicky протестировала все программы резервного копирования, обсуждаемые здесь. Беспроигрышным вариантом для сохранения всех ваших данных и особенностей файловых систем &unix; является dump. Элизабет создала файловые системы, содержащие большое количество необычных элементов (и некоторых не так уж необычных) и тестировала каждую из программ, выполняя резервное копирование и последующее восстановление этих файловых систем. В число необычных элементов входили: файлы с дырами, файлы с дырами и блоком пустого места, файлы с необычными символами в их именах, нечитаемые и незаписываемые файлы, устройства, меняющие свой размер во время резервного копирования, файлы, создаваемые и удаляемые во время копирования и тому подобное. Она представила результаты на конференции LISA V в октябре 1991 года. Посмотрите ссылку на сайте torture-testing Backup and Archive Programs. Процедура восстановления при сбое До того, как случится катастрофа Вам нужно выполнить всего лишь четыре шага для того, чтобы быть готовым к любому сбою. disklabel Во-первых, распечатайте разметку диска для всех ваших дисков (к примеру, disklabel da0 | lpr), таблицу файловых систем (/etc/fstab) и все сообщения, выводимые при загрузке, каждого по два экземпляра. аварийные дискеты Во-вторых, определите, все ли устройства присутствуют на загрузочной и аварийной дискетах (boot.flp и fixit.flp). Самым простым способом проверки является перезагрузка вашей машины с загрузочной дискетой, вставленной в дисковод и последующая проверка сообщений при загрузке. Если все имеющиеся у вас устройства здесь будут перечислены и будут работоспособны, перейдите к третьему шагу. В противном случае вам необходимо будет создать две особым образом сформированные загрузочные дискеты, на которых помещено ядро, могущее смонтировать все ваши диски и получить доступ к вашему стримеру. На этих дискетах должны быть: fdisk, disklabel, newfs, mount и какая-либо используемая вами программа резервного копирования. Эти программы должны быть скомпонованы статически. Если вы используете dump, то на дискете должна присутствовать и программа restore. В-третьих, регулярно создавайте резервные копии на ленте. Любые изменения, которые вы делали после последнего резервного копирования, могут быть безвозвратно потеряны. На лентах включайте защиту от записи. В-четвертых, проверяйте работу дискет (либо boot.flp и fixit.flp, либо двух дискет, которые вы сделали при выполнении второго шага) и лент с резервными копиями. Ведите журнал выполняемых действий. Храните эти записи вместе с загрузочной дискетой, распечатками и лентами. Вы просто обезумеете при восстановлении данных, если окажется, что записи могли бы избежать разрушения ваших резервных копий (Каким образом? Вместо команды tar xvf /dev/sa0 вы могли случайно набрать tar cvf /dev/sa0 и тем самым перезаписать вашу резервную копию). Для дополнительной страховки, каждый раз создавайте загрузочные дискеты и две резервные копии на ленте. Храните одну из копий в каком-то удаленном месте и НЕ в том же здании, где находится ваш офис. Достаточно большое количество компаний во Всемирном Торговом Центре изучило это на своей шкуре. Это удаленное хранилище должно быть физически отделено на большое расстояние от ваших компьютеров и дисковых устройств. Скрипт для создания загрузочной дискеты /mnt/sbin/init gzip -c -best /sbin/fsck > /mnt/sbin/fsck gzip -c -best /sbin/mount > /mnt/sbin/mount gzip -c -best /sbin/halt > /mnt/sbin/halt gzip -c -best /sbin/restore > /mnt/sbin/restore gzip -c -best /bin/sh > /mnt/bin/sh gzip -c -best /bin/sync > /mnt/bin/sync cp /root/.profile /mnt/root cp -f /dev/MAKEDEV /mnt/dev chmod 755 /mnt/dev/MAKEDEV chmod 500 /mnt/sbin/init chmod 555 /mnt/sbin/fsck /mnt/sbin/mount /mnt/sbin/halt chmod 555 /mnt/bin/sh /mnt/bin/sync chmod 6555 /mnt/sbin/restore # # create the devices nodes # cd /mnt/dev ./MAKEDEV std ./MAKEDEV da0 ./MAKEDEV da1 ./MAKEDEV da2 ./MAKEDEV sa0 ./MAKEDEV pty0 cd / # # create minimum filesystem table # cat > /mnt/etc/fstab < /mnt/etc/passwd < /mnt/etc/master.passwd < После сбоя Главный вопрос: выжило ли ваше оборудование? Вы регулярно делали резервные копии, так что нет нужды беспокоиться о программном обеспечении. Если оборудование было повреждено, должны быть заменены неисправные компоненты. Если с оборудованием все в порядке, проверьте ваши дискеты. При использовании самостоятельно созданной загрузочной дискеты, загрузитесь в однопользовательском режиме (набрав -s в приглашении boot:). Пропустите следующий абзац. Если вы используете дискеты boot.flp и fixit.flp, читайте дальше. Вставьте дискету boot.flp в первый дисковод и загрузите компьютер. На экран будет выведено оригинальное меню установки. Выберите пункт Fixit--Repair mode with CDROM or floppy. После вывода приглашения вставьте fixit.flp. restore и другие нужные вам программы находятся в /mnt2/stand. Восстановите по отдельности каждую файловую систему. mount корневой раздел disklabel newfs Попробуйте выполнить команду mount (например, mount /dev/da0a /mnt) по отношению к корневому разделу вашего первого диска. Если метка диска была испорчена, то воспользуйтесь командой disklabel для переразбиения на разделы и разметки диска так, чтобы получившаяся метка совпала с той, которая вами была распечатана и сохранена. Для повторного создания файловых систем используйте утилиту newfs. Повторно смонтируйте корневой раздел дискеты в режиме чтения-записи (mount -u -o rw /mnt). Воспользуйтесь вашей программой резервного копирования и резервными копиями на лентах для восстановления данных для этой файловой системы (например. restore vrf /dev/sa0). Размонтируйте файловую систему (например, umount /mnt). Повторите эту процедуру для каждой файловой системы, которая была повреждена. Как только ваша система заработает, сделайте резервную копию на новые ленты. Что бы ни вызвало сбой или потерю данных, это может случиться снова. Ещё один час, потраченный в этот момент, может спасти вас от неприятностей в будущем. * Я не был готов к катастрофе, и что теперь? ]]> Marc Fonvieille Реорганизация и улучшения выполнил Сетевые файловые системы, файловые системы в памяти и с отображением в файл виртуальные диски диски виртуальные Кроме дисков, которые вы физически устанавливаете в ваш компьютер; дискеты, компакт-диски, винчестеры и так далее, FreeBSD воспринимает и другие типы дисков - виртуальные диски. NFS Coda диски память Сюда могут быть отнесены сетевые файловые системы, такие, как Network File System и Coda, а также файловые системы с организацией в памяти и создаваемые в файлах. В зависимости от версии FreeBSD, которую вы используете, для создания и работы с файловыми системами, отображаемыми в оперативную память или файлы, вам нужно будет пользоваться разными инструментами. Пользователи FreeBSD 4.X для создания требуемых устройств должны использовать &man.MAKEDEV.8;. Во FreeBSD 5.0 и более поздних версиях для создания файлов устройств используется &man.devfs.5;, которая выполняет это прозрачно для пользователей. Файловая система в файле во FreeBSD 4.X диски хранимые в файле (4.X) Утилита &man.vnconfig.8; конфигурирует и позволяет использовать дисковые устройства на основе псевдо-устройств vnode. vnode представляет собой файл и отвечает за работу с файлом. Это означает, что &man.vnconfig.8; использует файлы для создания и работы с файловой системой. Одним из возможных способов использования является монтирование образов дискет или образов компакт-дисков, сброшенных в файлы. Для использования &man.vnconfig.8; в конфигурационном файле ядра вам нужно включить поддержку &man.vn.4;: pseudo-device vn Чтобы смонтировать имеющийся образ файловой системы: Использование vnconfig для монтирования имеющегося образа файловой системы во FreeBSD 4.X &prompt.root; vnconfig vn0 diskimage &prompt.root; mount /dev/vn0c /mnt Для создания нового образа файловой системы с помощью &man.vnconfig.8;: Создание нового диска в файле с помощью <command>vnconfig</command> &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; vnconfig -s labels -c vn0 newimage &prompt.root; disklabel -r -w vn0 auto &prompt.root; newfs vn0c Warning: 2048 sector(s) in last cylinder unallocated /dev/vn0c: 10240 sectors in 3 cylinders of 1 tracks, 4096 sectors 5.0MB in 1 cyl groups (16 c/g, 32.00MB/g, 1280 i/g) super-block backups (for fsck -b #) at: 32 &prompt.root; mount /dev/vn0c /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/vn0c 4927 1 4532 0% /mnt - + Файловые системы, отображаемые в файлы, во FreeBSD 5.X диски отображаемые в файлы (5.X) Во FreeBSD 5.X для конфигурации и подключения дисков &man.md.4;, отображаемых в оперативную память, используется утилита &man.mdconfig.8;. Для работы с &man.mdconfig.8; вам нужно подгрузить модуль &man.md.4; или добавить поддержку этих устройств в файл конфигурации ядра: device md Утилита &man.mdconfig.8; поддерживает три типа виртуальных дисков, отображаемых в память: диски в памяти, которая выделяется запросами &man.malloc.9; и диски в памяти, использующие в качестве устройств хранения файлы или раздел подкачки. Одним из возможных использований таких дисков является монтирование файлов с образами дискет или CD. Для монтирования образа существующей файловой системы: Использование <command>mdconfig</command> для монтирования файла с образом существующей файловой системы во FreeBSD 5.X &prompt.root; mdconfig -a -t vnode -f diskimage -u 0 -&prompt.root; mount /dev/md0c /mnt +&prompt.root; mount /dev/md0 /mnt Для создания образа новой файловой системы при помощи &man.mdconfig.8;: Создание нового диска, отображаемого в файл, при помощи <command>mdconfig</command> &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; mdconfig -a -t vnode -f newimage -u 0 &prompt.root; disklabel -r -w md0 auto &prompt.root; newfs md0c /dev/md0c: 5.0MB (10240 sectors) block size 16384, fragment size 2048 using 4 cylinder groups of 1.27MB, 81 blks, 256 inodes. super-block backups (for fsck -b #) at: 32, 2624, 5216, 7808 &prompt.root; mount /dev/md0c /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0c 4846 2 4458 0% /mnt Если в параметре вы не задали номер устройства, то &man.mdconfig.8; для выбора неиспользуемого устройства будет использовать функцию автоматическое выделения в &man.md.4;. Имя выделенного устройства будет выдано на стандартное устройство выводы в виде, например, md4. Для получения более полной информации о &man.mdconfig.8;, пожалуйста, обратитесь к соответствующей странице справочной системы. Начиная с &os; 5.1-RELEASE, на смену старой программе &man.disklabel.8; пришла утилита &man.bsdlabel.8;. У &man.bsdlabel.8; отсутствуют некоторые устаревшие опции и параметры; в примере выше параметр не может использоваться с &man.bsdlabel.8;. Для получения дополнительной информации обратитесь к справочной странице п о &man.bsdlabel.8;. Утилита &man.mdconfig.8; весьма полезна, однако для создания файла с файловой системой требуется произвести много действий. Вместе с FreeBSD 5.0 поставляется утилита под названием &man.mdmfs.8;, которая создаёт диск &man.md.4; при помощи &man.mdconfig.8;, размещает на нём файловую систему UFS при помощи &man.newfs.8; и монтирует её командой &man.mount.8;. Например, если вы хотите создать и смонтировать такой же образ файловой системе, как выше, просто наберите такую команду: Настройка и монтирование диска, отображаемого в файл, при помощи команды <command>mdmfs</command> &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; mdmfs -F newimage -s 5m md0 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0 4846 2 4458 0% /mnt Если вы используете параметр без номера устройства, то &man.mdmfs.8; будет использовать автоматическую нумерацию &man.md.4; для автоматического выбора неиспользуемого устройства. Более полную информацию о &man.mdmfs.8; можно найти на страницах справочной системы. Файловая система в памяти во FreeBSD 4.X диски файловые системы в памяти (4.X) Драйвер &man.md.4; является простым и эффективным способом создания файловых систем в памяти во FreeBSD 4.X. Для выделения памяти используется &man.malloc.9;. Просто возьмите файловую систему, которую вы приготовили при помощи, скажем, &man.vnconfig.8; и: Диск md в памяти во FreeBSD 4.X &prompt.root; dd if=newimage of=/dev/md0 5120+0 records in 5120+0 records out &prompt.root; mount /dev/md0c /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0c 4927 1 4532 0% /mnt Для получения более полной информации, пожалуйста, обратитесь к страницам справочной системы по &man.md.4;. Файловые системы с отображением в память во FreeBSD 5.X диски файловая система в памяти (5.X) При работе с файловыми системами, отображаемыми в файл или память, используются одни и те же утилиты: &man.mdconfig.8; или &man.mdmfs.8;. Место для хранения файловых систем в памяти выделяется через &man.malloc.9;. Создание нового диска с отображением в память при помощи <command>mdconfig</command> &prompt.root; mdconfig -a -t malloc -s 5m -u 1 &prompt.root; newfs -U md1 /dev/md1: 5.0MB (10240 sectors) block size 16384, fragment size 2048 using 4 cylinder groups of 1.27MB, 81 blks, 256 inodes. with soft updates super-block backups (for fsck -b #) at: 32, 2624, 5216, 7808 &prompt.root; mount /dev/md1 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md1 4846 2 4458 0% /mnt Создание нового диска с отображением в память при помощи <command>mdmfs</command> &prompt.root; mdmfs -M -s 5m md2 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md2 4846 2 4458 0% /mnt Вместо того, чтобы использовать файловую систему, опирающуюся на &man.malloc.9;, возможно использовать память раздела подкачки, для чего нужно просто заменить на в командной строке при вызове &man.mdconfig.8;. Утилита &man.mdmfs.8; по умолчанию (без опции ) создаёт диск в разделе подкачки. Для выяснения всех подробностей, пожалуйста, обратитесь к страницам справочной системы по &man.mdconfig.8; и &man.mdmfs.8;. Отключение диска, отображаемого в память, от системы диски отключение диска, отображаемого в память Если файловые системы, отображаемые в память или файл, больше не используются, вам нужно высвободить все ресурсы для системы. Первым делом нужно размонтировать файловую систему, затем воспользоваться &man.mdconfig.8; для отключения диска от системы и освободить ресурсы. К примеру, чтобы отключить и освободить все ресурсы, используемые /dev/md4: &prompt.root; mdconfig -d -u 4 Для выдачи информации об отконфигурированных устройствах &man.md.4; используется команда mdconfig -l. Во FreeBSD 4.X для отключения устройства используется команда &man.vnconfig.8;. Например, для отключения и освобождения всех ресурсов, используемых /dev/vn4: &prompt.root; vnconfig -u vn4 Tom Rhodes Текст предоставил Мгновенные копии файловых систем файловые системы мгновенные копии Во FreeBSD 5.0 вместе с технологией Отложенных обновлений представлена новая возможность: генерация мгновенных копий файловых систем. Мгновенные копии позволяют пользователю создавать образы заданных файловых систем и работать с ними как с файлами. Файлы мгновенных копий должны создаваться в той файловой системе, над которой производится действие, и пользователь может создавать не более 20 мгновенных копий для каждой файловой системы. Активные копии записываются в суперблок, так что они остаются в силе между операциями монтирования и размонтирования в процессе системных перезагрузок. Если мгновенная копия больше не нужна, она может быть удалена стандартной командой &man.rm.1;. Мгновенные копии могут удаляться в любом порядке, однако всё использованное пространство не может быть использовано, так как другая мгновенная копия может претендовать на некоторые блоки из освобождённых. В момент первоначального создания устанавливается флаг (обратитесь к страницам справочной системы по команде &man.chflags.1;) для обеспечения того, что даже пользователь root не сможет произвести запись в мгновенную копию. Однако команда &man.unlink.1; делает исключение для файлов мгновенных копий, позволяя их удалять при наличии установленного флага , так что нет необходимости снимать флаг перед удаление файла мгновенной копии. Мгновенные копии создаются при помощи утилиты &man.mount.8;. Чтобы создать мгновенную копию /var в файле /var/snapshot/snap, воспользуйтесь такой командой: &prompt.root; mount -u -o snapshot /var/snapshot/snap /var В качестве альтернативного средства создания мгновенных копий вы можете использовать утилиту &man.mksnap.ffs.8;: &prompt.root; mksnap_ffs /var /var/snapshot/snap После создания мгновенной копии есть несколько способов её использования: Некоторые администраторы будут использовать файл мгновенной копии для целей создания резервной копии, так как мгновенная копия может быть перенесена на CD или магнитную ленту. Утилита проверка целостности файловой системы, &man.fsck.8;, может быть запущена над мгновенной копией. Полагая, что файловая система была в порядке, когда она была смонтирована, вы всегда должны получать нормальный (и неизменный) результат. Это именно то, что выполняет фоновый процесс &man.fsck.8;. Запустить утилиту &man.dump.8; с мгновенной копией. Будет создаваться дамп, соответствующий файловой системе на момент создания мгновенной копии. Утилита &man.dump.8; при использовании опции тоже может работать с мгновенными копиями, создавать их дампы, а затем удалять за один проход. Смонтировать командой &man.mount.8; мгновенную копию как замороженный образ файловой системы. Чтобы смонтировать командой &man.mount.8; мгновенную копию /var/snapshot/snap, запустите: - &prompt.root; mdconfig -a -t vnode -f /var/snapshot/snap -u 4 - &prompt.root; mount -r /dev/md4 /mnt + &prompt.root; mdconfig -a -t vnode -f /var/snapshot/snap -u 4 +&prompt.root; mount -r /dev/md4 /mnt Теперь вы можете пройтись по иерархии вашей зафиксированной файловой системы /var, смонтированной в каталог /mnt. Всё будет в том же самом состоянии, в каком это было во время создания мгновенной копии. Единственным исключением будет то, что любые ранее сделанные мгновенные копии будут видны как файлы нулевой длины. Когда использование мгновенной копии закончено, она может быть удалена командой: - &prompt.root; umount /mnt - &prompt.root; mdconfig -d -u 4 + &prompt.root; umount /mnt +&prompt.root; mdconfig -d -u 4 Для получения более полной информации о и мгновенных копиях файловых систем, включая технической описание, вы можете посетить сайт Маршалла Кёрка МакКузика (Marshall Kirk McKusick) по адресу http://www.mckusick.com. Квотирование файловых систем учёт дисковое пространство дисковые квоты Квоты - это опциональная возможность операционной системы, которая позволяет ограничивать объем дискового пространства и/или количество файлов для конкретного пользователя или членов определенной группы в рамках одной файловой системы. Чаще всего эта возможность используется в системах разделения времени, когда желательно ограничить количество ресурсов, которые может использовать один пользователь или группа пользователей. Это позволит не допустить ситуации, когда один пользователь или группа пользователей заполняют всё доступное дисковое пространство. Настройка вашей системы на использование дисковых квот Перед тем, как попытаться использовать дисковые квоты, необходимо убедиться, что квоты включены в вашем ядре. Это делается добавлением следующей строки в конфигурационный файл вашего ядра: options QUOTA В стандартном ядре GENERIC это по умолчанию не включено, так что для использования дисковых квот вам нужно будет настроить, откомпилировать и установить собственное ядро. Пожалуйста, обратитесь к разделу за дополнительной информацией о настройке ядра. Затем вам потребуется включить квотирование дисков в файле /etc/rc.conf. Это делается добавление такой строчки: enable_quotas="YES" дисковые квоты проверка Для более полного контроля над запуском квотирования имеется дополнительная переменная для настройки. Как правило, при загрузке целостность квот каждой файловой системы проверяется программой &man.quotacheck.8;. При работе программы &man.quotacheck.8; проверяется точное соответствие данных в базе данных квот данным в файловой системе. Это весьма долгий процесс, что отражается на времени загрузки системы. Если вам захочется пропустить этот шаг, то для этого предназначена специальная переменная в файле /etc/rc.conf: check_quotas="NO" Если вы работаете с FreeBSD версий до 3.2-RELEASE, то настройка делается проще, и она состоит только из одной переменной. Задайте следующее в вашем файле /etc/rc.conf: check_quotas="YES" Наконец, вам потребуется отредактировать файл /etc/fstab для включения дисковых квот на уровне файловых систем. Это то место, где вы можете включить квоты для пользователей, для групп или для обеих этих категорий для всех ваших файловых систем. Для включения пользовательских квот для файловой системы, добавьте параметр в поле параметров файловой системы, на которой вы хотите включить квотирование, в файле /etc/fstab. Например: /dev/da1s2g /home ufs rw,userquota 1 2 Подобным же образом для включения квотирования на уровне групп, воспользуйтесь параметром вместо . Чтобы включить квотирование как для пользователей, так и для групп, измените строчку следующим образом: /dev/da1s2g /home ufs rw,userquota,groupquota 1 2 По умолчанию файлы квот хранятся в корневом каталоге файловой системы в файлах с именами quota.user и quota.group соответственно для пользовательских и групповых квот. Для получения подробной информации обратитесь к команде &man.fstab.5;. Хотя справочная страница по &man.fstab.5; утверждает, что вы можете указать другое местоположение файлов с квотами, этого делать не рекомендуется, потому что различные утилиты для работы с квотами не могут нормально работать в такой ситуации. На этом этапе вы должны перезагрузить вашу систему с новым ядром. Скрипт /etc/rc автоматически запустит соответствующие команды для создания начальных файлов для всех квот, которые вы создали в файле /etc/fstab, так что нет нужды вручную создавать никаких файлов квот нулевой длины. При нормальной работе вам не потребуется вручную запускать программы &man.quotacheck.8;, &man.quotaon.8; или &man.quotaoff.8;. Однако вам нужно хотя бы прочесть страницы справочника по этим командам, просто чтобы ознакомиться с их функциями. Установка квот дисковые квоты ограничения Как только вы настроили вашу систему на использование квот, проверьте, что они действительно были задействованы. Простым способом сделать это является запуск такой команды: &prompt.root; quota -v Вы должны увидеть однострочную информацию, отражающую использование диска и текущие ограничения для каждой файловой системы, на которой включено квотирование. Теперь вы действительно готовы задавать ограничения при помощи команды &man.edquota.8;. У вас есть несколько вариантов того, как приводить в действие ограничения по объему дискового пространства, который могут занимать пользователь или группа, а также по количеству файлов, которые они могут создать. Вы можете ограничивать размещение ресурсов на основе объема дискового пространства (квотирование блоков), количества файлов (квотирование inode) или их комбинации. Каждое из этих ограничений, в свою очередь, делится на две категории: мягкие и жёсткие ограничения. жёсткое ограничение Жёсткое ограничение не может быть превышено. Как только пользователь достиг своих ограничений, ресурсы соответствующей файловой системы ему больше выделяться не будут. Например, если пользователь имеет жесткое ограничение в 500 блоков на файловой системе и в текущий момент он использует 490 блоков, то пользователь может получить дополнительно еще 10 блоков. Попытка получить еще 11 блоков окончится неудачно. мягкое ограничение С другой стороны, мягкие ограничения могут быть превышены в течении некоторого периода времени. Этот период времени также называют периодом отсрочки, который по умолчанию равен одной неделе. Если пользователь превышает своё мягкое ограничение в течение периода времени, превышающего отсрочку, то это мягкое ограничение становится жестким и последующее выделение ресурсов будет запрещено. Когда пользователь вернётся обратно к отметке, меньшей, чем мягкое ограничение, то период отсрочки будет сброшен. Далее приводится пример того, что вы можете наблюдать при запуске команды &man.edquota.8;. Когда вызывается команда &man.edquota.8;, вы оказываетесь в редакторе, заданном переменной переменной окружения EDITOR, или в редакторе vi, если переменная EDITOR не задана, и можете редактировать квоты. &prompt.root; edquota -u test Quotas for user test: /usr: blocks in use: 65, limits (soft = 50, hard = 75) inodes in use: 7, limits (soft = 50, hard = 60) /usr/var: blocks in use: 0, limits (soft = 50, hard = 75) inodes in use: 0, limits (soft = 50, hard = 60) Для каждой файловой системы, на которой включено квотирование, вы должны увидеть две строки. В одной строке приведены ограничения на блоки, а в другой на количество inode. Например, чтобы увеличить ограничения на количество блоков для пользователя с мягкого ограничения в 50 и жёсткого ограничения в 75, на мягкое ограничение в 500 и жёсткое ограничение в 600, измените: /usr: blocks in use: 65, limits (soft = 50, hard = 75) на: /usr: blocks in use: 65, limits (soft = 500, hard = 600) Новые ограничения вступят в силу после выхода из редактора. Иногда желательно установить ограничения квот на некоторый диапазон UID (идентификаторов пользователей). Это можно сделать при помощи параметра в команде &man.edquota.8;. Во-первых, установите желаемое ограничение для пользователя, а затем запустите команду edquota -p protouser startuid-enduid. Например, если пользователь test имеет желаемые ограничения, то для дублирования этих ограничений на пользователей с UID от 10000 до 19999 может быть использована такая команда: &prompt.root; edquota -p test 10000-19999 Дополнительную информацию можно получить из справочной страницы по команде &man.edquota.8;. Проверка ограничений и использования диска дисковые квоты проверка Для проверки квот и использования дисков вы можете использовать команды &man.quota.1; или &man.repquota.8;. Команда &man.quota.1; может быть использована для проверки квот отдельных пользователей, групп, а также использования дисков. Пользователь может только проверить собственную квоту и квоту той группы, к которой он принадлежит. Только администратор системы может проверить квоты всех пользователей и групп. Команду &man.repquota.8; можно использовать для получения суммарной статистики всех квот и использования дисков для файловых систем с включенными квотами. Далее приведен пример вывода команды quota -v для пользователя, который имеет ограничения на двух файловых системах. Disk quotas for user test (uid 1002): Filesystem blocks quota limit grace files quota limit grace /usr 65* 50 75 5days 7 50 60 /usr/var 0 50 75 0 50 60 период отсрочки В этом примере для файловой системы /usr пользователь превысил свое мягкое ограничение в 50 блоков на 15 блоков и имеет 5 дней до истечения отсрочки. Отметьте знак звездочки *, который указывает на превышение пользователем своего ограничения. Как правило, файловые системы, на которых пользователь не занимает дискового пространства, не показываются в выводе команды &man.quota.1;, даже если ему выделена квота на этой файловой системе. При использовании параметра эти файловые системы выводятся, как, например, файловая система /usr/var в примере выше. Квоты в NFS NFS Квоты определяются подсистемой квот на сервере NFS. Даемон &man.rpc.rquotad.8; предоставляет информацию о квотах для программы &man.quota.1; на клиентах NFS, позволяя пользователям на этих машинах смотреть свою статистику о квотах. Включите rpc.rquotad в файле /etc/inetd.conf следующим образом: rquotad/1 dgram rpc/udp wait root /usr/libexec/rpc.rquotad rpc.rquotad Теперь перезапустите inetd: &prompt.root; kill -HUP `cat /var/run/inetd.pid` Lucky Green Текст предоставил
shamrock@cypherpunks.to
 Шифрование дисковых разделов диски шифрование FreeBSD предоставляет прекрасную возможность по защите от несанкционированного доступа к данным. Права на доступ к файлам и технология мандатного контроля доступа MAC (Mandatory Access Control) (смотрите see ) помогают предотвратить несанкционированный доступ посторонних лиц к данным, при условии работы операционной системы и компьютера. Однако права доступа, контролируемые операционной системой, не имеют значения, если нападающий получает физический доступ к компьютеру и может просто перенести жёсткий диск на другую машину для копирования и дальнейшего анализа важных данных. Вне зависимости от того, как атакующий завладел жёстким диском или выключенным компьютером, технология gbde (GEOM Based Disk Encryption - шифрование диска на уровне GEOM) может защитить данные файловой системы компьютера даже против очень заинтересованной атакующей стороны с достаточными ресурсами. В отличие от громоздких систем шифрования, которые шифруют отдельные файлы, gbde шифрует в прозрачном режиме файловую систему в целом, при этом данные в открытом виде на диск никогда не записываются. Включение gbde в ядре Получите права пользователя <username>root</username> Настройка gbde требует права доступа администратора системы. &prompt.user; su - Password: Проверьте номер версии операционной системы Для работы &man.gbde.4; требуется FreeBSD 5.0 и выше. &prompt.root; uname -r 5.0-RELEASE Включите поддержку &man.gbde.4; в конфигурационный файл ядра При помощи вашего любимого текстового редактора добавьте следующую строку в файл конфигурации вашего ядра: options GEOM_BDE Выполните конфигурацию, компиляцию и установку нового ядра FreeBSD. Этот процесс описан в . Перезагрузитесь, запустив новое ядро. Подготовка зашифрованного жёсткого диска В следующем примере предполагается, что в вашу систему вы добавляете новый винчестер, на котором будет располагаться единственный раздел с зашифрованными данными. Этот раздел будет монтироваться в каталог /private. gbde может также использоваться для шифрования /home и /var/mail, но это требует более сложной последовательности действий, что выходит за рамки этого вводного материала. Подключите новый жёсткий диск Установите новый диск в систему, как это описано в . В рамках этого примера раздел, соответствующий новому жёсткому диску, будет называться /dev/ad4s1c. Устройства /dev/ad0s1* представляют существующие стандартные разделы FreeBSD нашей тестовой системы. &prompt.root; ls /dev/ad* /dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1 /dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c /dev/ad0s1a /dev/ad0s1d /dev/ad4 Создайте каталог для размещения файлов блокировок GBDE &prompt.root; mkdir /etc/gbde Файл блокировки gbde содержит информацию, которая нужна gbde для доступа к зашифрованному разделу. Не имея доступа к файлу блокировки, gbde не сможет расшифровать данные, хранимые в зашифрованном разделе, без значительного ручного вмешательства, что программно не поддерживается. Каждый зашифрованный раздел использует отдельный файл блокировки. Инициализируйте раздел gbde Перед началом работы с разделом gbde его необходимо проинициализировать. Эта инициализация производится только один раз: &prompt.root; gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c &man.gbde.8; запустит редактор, что позволит вам задать в шаблоне различные конфигурационные параметры. При работе с файловыми системами UFS1 и UFS2 задайте значение sector_size равным 2048: $FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $ # # Sector size is the smallest unit of data which can be read or written. # Making it too small decreases performance and decreases available space. # Making it too large may prevent filesystems from working. 512 is the # minimum and always safe. For UFS, use the fragment size # sector_size = 2048 [...] &man.gbde.8; дважды запросит ввод пароля, который будет использоваться для защиты данных. Пароль в обоих случаях должен вводиться одинаковый. Возможности gbde по защите ваших данных полностью зависят от качества выбранной вами ключевой фразы. Советы по выбору легкозапоминающихся ключевых фраз можно найти на сайте Diceware Passphrase. По команде gbde init создаётся файл блокировок для вашего раздела gbde, который в нашем случае будет иметь имя /etc/gbde/ad4s1c. Резервные копии файлов блокировок gbde должны храниться вместе с содержимым шифруемых разделов. Хотя удаление только блокировочного файла не сможет противостоять дешифрации атакующим раздела gbde, без этого файла даже легитимный пользователь не сможет получить доступ к данным без определённых и значительных усилий, что не поддерживается &man.gbde.8; и его разработчиком. Подключите зашифрованный раздел к системе &prompt.root; gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c Будет выдан запрос на ввод ключевой фразы, которую вы выбирали во время инициализации зашифрованного раздела. Новое защищённое устройство будет видно в каталоге /dev под названием /dev/device_name.bde: &prompt.root; ls /dev/ad* /dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1 /dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c /dev/ad0s1a /dev/ad0s1d /dev/ad4 /dev/ad4s1c.bde Создайте файловую систему на зашифрованном устройстве Как только защищённое устройство будет подключено к системе, вы сможете создать на нём файловую систему. Для этого используется утилита &man.newfs.8;. Так как инициализация новой файловой системы UFS2 происходит быстрее, чем инициализация файловой системы старого формата UFS1, то рекомендуется использовать &man.newfs.8; с параметром . Во &os; 5.1-RELEASE и последующих релизах параметр используется по умолчанию. &prompt.root; newfs -U -O2 /dev/ad4s1c.bde Запуск команды &man.newfs.8; должен выполняться над подключенном разделе gbde, который идентифицируется по расширению *.bde в имени устройства. Смонтируйте зашифрованный раздел Создайте точку монтирования для зашифрованной файловой системы. &prompt.root; mkdir /private Смонтируйте защищённую файловую систему. &prompt.root; mount /dev/ad4s1c.bde /private Проверьте доступность зашифрованной файловой системы Защищённая файловая система теперь должна быть доступна утилите &man.df.1; и доступной для использования. &prompt.user; df -H Filesystem Size Used Avail Capacity Mounted on - /dev/ad0s1a 1037M 72M 883M 8% - /devfs 1.0K 1.0K 0B 100% /dev - /dev/ad0s1f 8.1G 55K 7.5G 0% /home - /dev/ad0s1e 1037M 1.1M 953M 0% /tmp - /dev/ad0s1d 6.1G 1.9G 3.7G 35% /usr + /dev/ad0s1a 1037M 72M 883M 8% + /devfs 1.0K 1.0K 0B 100% /dev + /dev/ad0s1f 8.1G 55K 7.5G 0% /home + /dev/ad0s1e 1037M 1.1M 953M 0% /tmp + /dev/ad0s1d 6.1G 1.9G 3.7G 35% /usr /dev/ad4s1c.bde 150G 4.1K 138G 0% /private Монтирование имеющихся зашифрованных файловых систем После каждой загрузки для каждой защищённой файловой системы перед их использованием должны выполняться повторное подключение к системе, проверка на наличие ошибок и монтирование. Требуемые для этого команды должны выполняться пользователем root. Подключение gbde-раздела к системе &prompt.root; gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c - + Будет выдан запрос на ввод ключевой фразы, выбранной на этапе инициализации зашифрованного раздела gbde. Проверка файловой системы на наличие ошибок Так как защищаемая файловая система не может пока быть указана в файле /etc/fstab для автоматического монтирования, то она должны проверяться на наличие ошибок посредством ручного запуска &man.fsck.8; до её монтирования. &prompt.root; fsck -p -t ffs /dev/ad4s1c.bde Монтирование зашифрованной файловой системы &prompt.root; mount /dev/ad4s1c.bde /private - + Теперь защищённая файловая система доступна для работы. Автоматическое монтирование зашифрованных разделов Для автоматического подключения, проверки и монтирования зашифрованного раздела можно создать скрипт, но во соображениям безопасности в этом скрипте пароля для &man.gbde.8; быть не должно. Поэтому рекомендуется запускать такие скрипты вручную, а пароль задавать с консоли или сеанса &man.ssh.1;. Криптографическая защита, применяемая в gbde &man.gbde.8; шифрует содержимое секторов при помощи 128-битного AES в режиме CBC. Каждый сектор диска шифруется различным ключом AES. Более полная информацию о системе шифрования gbde, включая алгоритм генерации ключей для секторов из ключевой фразы, вводимой пользователем, можно найти на страницах справочной системы о &man.gbde.4;. Вопросы совместимости &man.sysinstall.8; несовместим с устройствами, зашифрованными gbde. Все устройства *.bde перед запуском &man.sysinstall.8; должны быть отключены от системы, или эта утилита аварийно завершит работу на этапе обнаружения устройств. Для отключения защищённого устройства, используемого в нашем примере, воспользуйтесь такой командой: &prompt.root; gbde detach /dev/ad4s1c Также заметьте, что, так как &man.vinum.4; работает не через подсистему &man.geom.4;, то вы не можете использовать тома vinum с gbde. diff --git a/ru_RU.KOI8-R/books/handbook/network-servers/chapter.sgml b/ru_RU.KOI8-R/books/handbook/network-servers/chapter.sgml index 4d0fd80d83..7a32dbae5a 100644 --- a/ru_RU.KOI8-R/books/handbook/network-servers/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/network-servers/chapter.sgml @@ -1,4274 +1,4931 @@ + + + + Murray + Stokely + Реорганизовал + + + + + Сетевые серверы Краткий обзор Эта глава посвящена некоторым наиболее часто используемым сетевым службам систем &unix;. Мы опишем, как установить, настроить, протестировать и поддерживать многие различные типы сетевых сервисов. Для облегчения вашей работы в главу включены примеры конфигурационных файлов. После чтения этой главы вы будете знать: Как управлять даемоном inetd. Как настроить сетевую файловую систему. Как настроить сетевой сервер информации для совместного использования учётных записей пользователей. Как настроить автоматическое конфигурирование сетевых параметров при помощи DHCP. Как настроить сервер имён. + + Как настроить Apache HTTP сервер. + + + + Как настроить файловый и принт сервер для Windows + клиентов с использованием Samba. + + Как синхронизировать дату и время, а также настроить сервер времени с протоколом NTP. Перед чтением этой главы вы должны: Понимать основы работы скриптов /etc/rc. Свободно владеть основными сетевыми терминами. + + + Знать как устанавливать дополнительные программы сторонних + разработчиков (). + Chern Lee Текст предоставил <quote>Супер-сервер</quote> <application>inetd</application> Обзор &man.inetd.8; называют также супер-сервером Интернет, потому что он управляет соединениями к нескольким даемонам. Программы, которые предоставляют сетевые услуги, называют даемонами. inetd выступает в качестве управляющего сервера для других даемонов. Когда inetd принимает соединение, он определяет, для какого даемона предназначено соединение, вызывает соответствующий даемон и предоставляет ему сокет. Запуск одного экземпляра inetd уменьшает общую нагрузку на систему по сравнению с запуском каждого даемона индивидуально в выделенном режиме. В первую очередь inetd используется для вызова других даемонов, но несколько простых протоколов, таких, как chargen, auth и daytime, обслуживаются непосредственно. Этот раздел посвящен основам настройки inetd посредством его параметров командной строки и его конфигурационного файла, /etc/inetd.conf. Настройки inetd инициализируется посредством системы /etc/rc.conf. Параметр inetd_enable по умолчанию установлен в NO, однако часто включается утилитой sysinstall при выборе профиля среднего уровня безопасности. Указание inetd_enable="YES" или inetd_enable="NO" в файле /etc/rc.conf может задать или запретить запуск inetd во время загрузки. Кроме того, через inetd_flags даемону inetd могут быть переданы различные параметры командной строки. Параметры командной строки Формат вызова inetd: -d Включение отладочной информации. -l Включение регистрации успешных соединений. -w Включение механизма TCP Wrapping для внешних служб (по умолчанию включено). -W Включение механизма TCP Wrapping для внутренних служб, которые встроены в inetd (по умолчанию включено). -c maximum Определение максимального числа одновременных запусков каждой службы; по умолчание не ограничено. Может быть переопределено индивидуально для каждой службы при помощи параметра . -C rate Определение по умолчанию максимального количества раз, которое служба может быть вызвана с одного IP-адреса в минуту; по умолчанию не ограничено. Может быть переопределено для каждой службы параметром . -R rate Определяет максимальное количество раз, которое служба может быть вызвана в минуту; по умолчанию 256. Частота, равная 0, не ограничивает число вызовов. -a Задает один IP-адрес, к которому делается привязка. Альтернативно может быть указано имя хоста, и в этом случае используется соответствующий этому имени хоста адрес IPv4 или IPv6. Обычно имя хоста задается, когда inetd запускается в окружении &man.jail.8;, и в этом случае имя хоста соответствует этому &man.jail.8;-окружению. Если используется формат с именем хоста и требуется привязка как для IPv4, так и для IPv6, то для каждой привязки требуется запись с соответствующим типом протокола для каждой службы в файле /etc/inetd.conf. К примеру, службе на основе TCP потребуется две записи, в одной для протокола используется tcp4, а в другой используется tcp6. -p Задает альтернативный файл для хранения ID процесса. Эти параметры могут быть переданы в inetd при помощи inetd_flags в файле /etc/rc.conf. По умолчанию значение inetd_flags установлено в -wW, что включает механизм TCP wrapping для внутренних и внешних служб inetd. Новичкам эти параметры изменять и даже задавать их в файле /etc/rc.conf не нужно. Внешняя служба является даемоном вне inetd, который запускается при получении соединения к нему. С другой стороны, внутренней службой является услуга, которую inetd предоставляет сам. <filename>inetd.conf</filename> Настройка inetd управляется через файл /etc/inetd.conf. Если в файле /etc/inetd.conf делались изменения, то inetd можно заставить считать его конфигурационный файл повторно, послав сигнал HangUP процессу inetd, как показано здесь: Посылка сигнала HangUP процессу <application>inetd</application> &prompt.root; kill -HUP `cat /var/run/inetd.pid` В каждой строке конфигурационного файла описывается отдельный даемон. Комментариям в файле предшествует знак #. Файл /etc/inetd.conf имеет такой формат: service-name socket-type protocol {wait|nowait}[/max-child[/max-connections-per-ip-per-minute]] user[:group][/login-class] server-program server-program-arguments Пример записи для даемона ftpd, использующего IPv4: ftp stream tcp nowait root /usr/libexec/ftpd ftpd -l service-name Это имя сервиса, предоставляемого конкретным даемоном. Оно должно соответствовать сервису, указанному в файле /etc/services. Здесь определяется, какой порт должен обслуживать inetd. При создании нового сервиса он должен помещаться сначала в файл /etc/services. socket-type stream, dgram, raw либо seqpacket. stream должен использоваться для ориентированных на соединение даемонов TCP, когда как dgram используется для даемонов, использующих - транспортный протокол UDP. + транспортный протокол UDP. protocol Одно из следующих: Протокол Описание tcp, tcp4 TCP IPv4 udp, udp4 UDP IPv4 tcp6 TCP IPv6 udp6 UDP IPv6 tcp46 TCP как для IPv4, так и для v6 udp46 UDP как для IPv4, так и для v6 {wait|nowait}[/max-child[/max-connections-per-ip-per-minute]] определяет, может ли даемон, вызванный из inetd, работать с собственным сокетом, или нет. Сокеты типа должны использовать параметр , когда как даемоны с потоковыми сокетами, которые обычно многопоточны, должны использовать . обычно передает много сокетов одному даемону, когда как порождает даемон для каждого нового сокета. Максимальное число порожденных даемонов, которых может создать inetd, может быть задано параметром . Если нужно ограничение в десять экземпляров некоторого даемона, то после параметра нужно задать /10. Кроме , может быть задействован другой параметр, ограничивающий максимальное число соединений от одного источника. служит именно для этого. Здесь значение, равное десяти, будет ограничивать любой заданный IP-адрес на выполнение десяти попыток подключения к некоторому сервису в минуту. Это полезно для предотвращения намеренного или ненамеренного расходования ресурсов и атак типа Denial of Service (DoS) на машину. В этом поле или обязательны. и опциональны. Многопоточный даемон типа stream без ограничений или будет определен просто вот так: nowait. Тот же самый даемон с ограничением в максимум десять даемонов будет определен так: nowait/10. Наконец, та же конфигурация с ограничением в двадцать соединений на IP-адрес в минуту и общим ограничением в максимум десять порожденных даемонов выглядит так: nowait/10/20. Эти параметры, используемые все со значениями по умолчанию даемоном fingerd, имеют такой вид: finger stream tcp nowait/3/10 nobody /usr/libexec/fingerd fingerd -s user Это имя пользователя, под которым должен работать соответствующий даемон. Чаще всего даемоны работают как пользователь root. Для обеспечения безопасности некоторые серверы запускаются как пользователь daemon или как пользователь с минимальными правами nobody. server-program Полный маршрут к даемону, который будет выполняться при установлении соединения. Если даемон является сервисом, предоставляемым самим inetd, то нужно задать ключевое слово . server-program-arguments Этот параметр работает вместе с параметром , задавая параметры, начиная с argv[0], передаваемые даемону при запуске. Если в командной строке задано mydaemon -d, то mydaemon -d будет являться значением для . И снова, если даемон является внутренней службой, то здесь нужно использовать . Безопасность В зависимости от схемы безопасности, выбранной при установке, многие из даемонов inetd могут оказаться по умолчанию включенными. Если нет особой нужды в некотором даемоне, то выключите его! Поместите знак # перед ненужным даемоном в /etc/inetd.conf и пошлите сигнал для inetd. Некоторые даемоны, такие, как fingerd, вообще нежелательны, потому что они дают атакующему слишком много информации. Некоторые даемоны не заботятся о безопасности и имеют большие таймауты для соединений или вообще их не имеют. Это позволяет атакующему неспешно устанавливать соединения к конкретному даемону, истощая имеющиеся ресурсы. Может оказаться полезным задать для некоторых даемонов ограничения и . По умолчанию механизм TCP wrapping включен. Обратитесь к справочной странице по &man.hosts.access.5; для получения более подробной информации о задании ограничений TCP для различных даемонов, запускаемых посредством inetd. Разное daytime, time, echo, discard, chargen и auth все являются услугами, предоставляемыми самим inetd. Сервис auth предоставляет идентификационные сетевые услуги (ident, identd) и поддается настройке. Обратитесь к справочной странице по &man.inetd.8; для получения более подробной информации. Tom Rhodes Реорганизация и улучшения Bill Swingle Текст создал Network File System (NFS) NFS Кроме поддержки многих прочих типов файловых систем, во FreeBSD встроена поддержка сетевой файловой системы (Network File System), - известной как NFS. NFS позволяет + известной как NFS. NFS позволяет системе использовать каталоги и файлы совместно с другими машинами, - посредством сети. Посредством NFS пользователи и + посредством сети. Посредством NFS пользователи и программы могут получать доступ к файлам на удалённых системах точно так же, как если бы это были файлы на собственных дисках. Вот некоторые из наиболее заметных преимуществ, которые даёт использование NFS: Отдельно взятые рабочие станции используют меньше собственного дискового пространства, так как совместно используемые данные могут храниться на одной отдельной машине и быть доступными для других машин в сети. Пользователям не нужно иметь домашние каталоги, отдельные для каждой машины в вашей сети. Домашние каталоги могут располагаться на сервере NFS и их можно сделать доступными отовсюду в сети. Устройства хранения информации, такие, как дискеты, приводы CD-ROM и устройства ZIP, могут использоваться другими машинами в сети. Это может привести к уменьшению переносимых устройств хранения информации в сети. Как работает <acronym>NFS</acronym> NFS строится по крайней мере из двух основных частей: сервера и одного или большего количества клиентов. Клиент обращается к данным, находящимся на сервере, в режиме удалённого доступа. Для того, чтобы это нормально функционировало, нужно настроить и запустить несколько процессов. В &os; 5.X, утилита portmap была заменена на утилиту rpcbind. Таким образом, при использовании &os; 5.X пользователю необходимо заменить в последующих примерах все команды portmap на rpcbind. На сервере работают следующие даемоны: NFS сервер + + файл сервер + unix клиенты + portmap mountd nfsd Даемон Описание nfsd Даемон NFS, обслуживающий запросы от клиентов NFS. mountd Даемон монтирования NFS, который выполняет запросы, передаваемые ему от &man.nfsd.8;. portmap Даемон отображения портов позволяет клиентам NFS определить порт, используемый сервером NFS. Клиент может запустить также даемон, называемый nfsiod. nfsiod обслуживает запросы, поступающие от сервера от сервера NFS. Он необязателен, увеличивает производительность, однако для нормальной и правильной работы не требуется. Для получения дополнительной информации обратитесь к разделу справочной системы о &man.nfsiod.8;. Настройка <acronym>NFS</acronym> NFS настройка Настройка NFS является достаточно незамысловатым процессом. Все процессы, которые должны быть запущены, могут быть запущены во время загрузки посредством нескольких модификаций в вашем файле /etc/rc.conf. Проверьте, что на NFS-сервере в файле /etc/rc.conf имеются такие строки: portmap_enable="YES" nfs_server_enable="YES" nfs_server_flags="-u -t -n 4" mountd_flags="-r" mountd запускается автоматически, если включена функция сервера NFS. На клиенте убедитесь, что в файле /etc/rc.conf присутствует такой параметр: nfs_client_enable="YES" Файл /etc/exports определяет, какие файловые системы на вашем сервере NFS будут экспортироваться (иногда их называют совместно используемыми). Каждая строка в /etc/exports задаёт файловую систему, которая будет экспортироваться и какие машины будут иметь к ней доступ. Кроме машин, имеющих доступ, могут задаваться другие параметры, влияющие на характеристики доступа. Имеется полный набор параметров, которые можно использовать, но здесь пойдёт речь лишь о некоторых из них. Описания остальных параметров можно найти на страницах справочной системы по &man.exports.5;. Вот несколько примерных строк из файла /etc/exports: NFS примеры экспортирования В следующих примерах даётся общая идея того, как экспортировать файловые системы, хотя конкретные параметры могут отличаться в зависимости от ваших условий и конфигурации сети. К примеру, чтобы экспортировать каталог /cdrom для трёх машин, находящихся в том же самом домене, что и сервер (поэтому отсутствует доменное имя для каждой машины) или для которых имеются записи в файле /etc/hosts. Флаг указывает на использование экспортируемой файловой системы в режиме только чтения. С этим флагом удалённая система не сможет никоим образом изменить экспортируемую файловую систему. /cdrom -ro host1 host2 host3 В следующей строке экспортируется файловая система /home, которая становится доступной трем хостам, указанным по их IP-адресам. Это полезно, если у вас есть собственная сеть без настроенного сервера DNS. Как вариант, файл /etc/hosts может содержать внутренние имена хостов; пожалуйста, обратитесь к справочную систему по &man.hosts.5; для получения дополнительной информации. Флаг позволяет рассматривать подкаталоги в качестве точек монтирования. Другими словами, это не монтирование подкаталогов, но разрешение клиентам монтировать только каталоги, которые им требуются или нужны. /home -alldirs 10.0.0.2 10.0.0.3 10.0.0.4 В строке, приведённой ниже, файловая система /a экспортируется таким образом, что она доступна двум клиентам из других доменов. Параметр позволяет пользователю root удалённой системы осуществлять запись на экспортируемую файловую систему как пользователь root. Если параметр -maproot=root не задан, то даже если пользователь имеет права доступа root на удалённой системе, он не сможет модифицировать файлы на экспортированной файловой системе. /a -maproot=root host.example.com box.example.org Для того, чтобы клиент смог обратиться к экспортированной файловой системе, он должен иметь права сделать это. Проверьте, что клиент указан в вашем файле /etc/exports. В файле /etc/exports каждая строка содержит информацию об экспортировании для отдельной файловой системы для отдельно взятого хоста. Удалённый хост может быть задан только один раз для каждой файловой системы, и может иметь только одну запись, используемую по умолчанию, для каждой локальной файловой системы. К примеру, предположим, что /usr является отдельной файловой системой. Следующий /etc/exports будет некорректен: /usr/src client /usr/ports client Одна файловая система, /usr, имеет две строки, задающие экспортирование для одного и того же хоста, client. Правильный формат в этом случае таков: /usr/src /usr/ports client Свойства отдельной файловой системы, экспортируемой некоторому хосту, должны задаваться в одной строке. Строки без указания клиента воспринимаются как отдельный хост. Это ограничивает то, как вы можете экспортировать файловые системы, но для большинства это не проблема. Ниже приведён пример правильного списка экспортирования, где /usr и /exports являются локальными файловыми системами: # Экспортируем src и ports для client01 и client02, но # только client01 имеет права пользователя root на них /usr/src /usr/ports -maproot=root client01 /usr/src /usr/ports client02 # Клиентские машины имеют пользователя root и могут монтировать всё в # каталоге /exports. Кто угодно может монтировать /exports/obj в режиме чтения /exports -alldirs -maproot=root client01 client02 /exports/obj -ro Вы должны перезапустить mountd после того, как изменили /etc/exports, чтобы изменения вступили в силу. Это может быть достигнуто посылкой сигнала HUP процессу mountd: &prompt.root; kill -HUP `cat /var/run/mountd.pid` Как вариант, при перезагрузке FreeBSD всё настроится правильно. Хотя выполнять перезагрузку вовсе не обязательно. Выполнение следующих команд пользователем root запустит всё, что нужно. На сервере NFS: &prompt.root; portmap &prompt.root; nfsd -u -t -n 4 &prompt.root; mountd -r На клиенте NFS: &prompt.root; nfsiod -n 4 Теперь всё должно быть готово к реальному монтированию удалённой файловой системы. В приводимых примерах сервер будет носить имя server, а клиент будет носить имя client. Если вы только хотите временно смонтировать удалённую файловую систему, или всего лишь протестировать ваши настройки, то просто запустите команды, подобные приводимым здесь, работая как пользователь root на клиентской машине: NFS монтирование &prompt.root; mount server:/home /mnt По этой команде файловая система /home на сервере будет смонтирована в каталог /mnt на клиенте. Если всё настроено правильно, вы сможете войти в каталог /mnt на клиенте и увидеть файлы, находящиеся на сервере. Если вы хотите автоматически монтировать удалённую файловую систему при каждой загрузке компьютера, добавьте файловую систему в /etc/fstab. Вот пример: server:/home /mnt nfs rw 0 0 На страницах справочной системы по &man.fstab.5; перечислены все доступные параметры. Практическое использование У NFS есть много вариантов практического применения. Ниже приводится несколько наиболее широко распространённых способов её использования: NFS использование Настройка несколько машин для совместного использования CDROM или других носителей. Это более дешёвый и зачастую более удобный способ установки программного обеспечения на несколько машин. В больших сетях может оказаться более удобным настроить центральный сервер NFS, на котором размещаются все домашние каталоги пользователей. Эти домашние каталоги могут затем экспортироваться в сеть так, что пользователи всегда будут иметь один и тот же домашний каталог вне зависимости от того, на какой рабочей станции они работают. Несколько машин могут иметь общий каталог /usr/ports/distfiles. Таким образом, когда вам нужно будет установить порт на несколько машин, вы сможете быстро получить доступ к исходным текстам без их загрузки на каждой машине. Wylie Stilwell Текст предоставил Chern Lee Текст переписал Автоматическое монтирование с <application>amd</application> amd даемон автоматического монтирования &man.amd.8; (даемон автоматического монтирования) автоматически монтирует удалённую файловую систему, как только происходит обращение к файлу или каталогу в этой файловой системе. Кроме того, файловые системы, которые были неактивны некоторое время, будут автоматически размонтированы даемоном amd. Использование amd является простой альтернативой статическому монтированию, так как в последнем случае обычно всё должно быть описано в файле /etc/fstab. amd работает, сам выступая как сервер NFS для каталогов /host и /net. Когда происходит обращение к файлу в одном из этих каталогов, amd ищет соответствующий удаленный ресурс для монтирования и автоматически его монтирует. /net используется для монтирования экспортируемой файловой системы по адресу IP, когда как каталог /host используется для монтирования ресурса по удаленному имени хоста. Обращение к файлу в каталоге /host/foobar/usr укажет amd на выполнение попытки монтирования ресурса /usr, который находится на хосте foobar. Монтирование ресурса при помощи <application>amd</application> Вы можете посмотреть доступные для монтирования ресурсы отдалённого хоста командой showmount. К примеру, чтобы посмотреть ресурсы хоста с именем foobar, вы можете использовать: &prompt.user; showmount -e foobar Exports list on foobar: /usr 10.10.10.0 /a 10.10.10.0 &prompt.user; cd /host/foobar/usr Как видно из примера, showmount показывает /usr как экспортируемый ресурс. При переходе в каталог /host/foobar/usr даемон amd пытается разрешить имя хоста foobar и автоматически смонтировать требуемый ресурс. amd может быть запущен из скриптов начальной загрузки, если поместить такую строку в файл /etc/rc.conf: amd_enable="YES" Кроме того, даемону amd могут быть переданы настроечные флаги через параметр amd_flags. По умолчанию amd_flags настроен следующим образом: amd_flags="-a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map" Файл /etc/amd.map задает опции, используемые по умолчанию при монтировании экспортируемых ресурсов. В файле /etc/amd.conf заданы настройки некоторых более сложных возможностей amd. Обратитесь к справочным страницам по &man.amd.8; и &man.amd.conf.5; для получения более полной информации. John Lind Текст предоставил Проблемы взаимодействия с другими системами Некоторые сетевые адаптеры для систем PC с шиной ISA имеют ограничения, которые могут привести к серьезным проблемам в сети, в частности, с NFS. Эти проблемы не специфичны для FreeBSD, однако эту систему они затрагивают. Проблема, которая возникает практически всегда при работе по сети систем PC (FreeBSD) с высокопроизводительными рабочими станциями, выпущенными такими производителями, как Silicon Graphics, Inc. и Sun Microsystems, Inc. Монтирование по протоколу NFS будет работать нормально, и некоторые операции также будут выполняться успешно, но неожиданно сервер окажется недоступным для клиент, хотя запросы к и от других систем будут продолжаться обрабатываться. Такое встречается с клиентскими системами, не зависимо от того, является ли клиент машиной с FreeBSD или рабочей станцией. Во многих системах при возникновении этой проблемы нет способа корректно завершить работу клиента. Единственным выходом зачастую является холодная перезагрузка клиента, потому что ситуация с NFS не может быть разрешена. Хотя правильным решением является установка более производительного и скоростного сетевого адаптера на систему FreeBSD, имеется простое решение, приводящее к удовлетворительным результатам. Если система FreeBSD является сервером, укажите параметр на клиенте при монтировании. Если система FreeBSD является клиентом, то смонтируйте файловую систему NFS с параметром . Эти параметры могут быть заданы в четвертом поле записи в файле fstab клиента при автоматическом монтировании, или при помощи параметра в команде &man.mount.8; при монтировании вручную. Нужно отметить, что имеется также другая проблема, ошибочно принимаемая за приведенную выше, когда серверы и клиенты NFS находятся в разных сетях. Если это тот самый случай, проверьте, что ваши маршрутизаторы пропускают - нужную информацию UDP, в противном случае вы ничего не получите, что - бы вы ни предпринимали. + нужную информацию UDP, в противном случае вы + ничего не получите, что бы вы ни предпринимали. В следующих примерах fastws является именем хоста (интерфейса) высокопроизводительной рабочей станции, а freebox является именем хоста (интерфейса) системы FreeBSD со слабым сетевым адаптером. Кроме того, /sharedfs будет являться экспортируемой через NFS файловой системой (обратитесь к страницам справочной системы по команде &man.exports.5;), а /project будет точкой монтирования экспортируемой файловой системы на клиенте. В любом случае, отметьте, что для вашего приложения могут понадобиться дополнительные параметры, такие, как , или . Пример системы FreeBSD (freebox) как клиента в файле /etc/fstab на машине freebox: fastws:/sharedfs /project nfs rw,-r=1024 0 0 Команда, выдаваемая вручную на машине freebox: &prompt.root; mount -t nfs -o -r=1024 fastws:/sharedfs /project Пример системы FreeBSD в качестве сервера в файле /etc/fstab на машине fastws: freebox:/sharedfs /project nfs rw,-w=1024 0 0 Команда, выдаваемая вручную на машине fastws: &prompt.root; mount -t nfs -o -w=1024 freebox:/sharedfs /project Практически все 16-разрядные сетевые адаптеры позволят работать без указанных выше ограничений на размер блоков при чтении и записи. Для тех, кто интересуется, ниже описывается, что же происходит в при появлении этой ошибки, и объясняется, почему ее невозможно устранить. Как правило, NFS работает с блоками размером 8 килобайт (хотя отдельные фрагменты могут иметь меньшие размеры). Так, пакет Ethernet имеет максимальный размер около 1500 байт, то блок NFS разбивается на несколько пакетов Ethernet, хотя на более высоком уровне это все тот же единый блок, который должен быть принят, собран и подтвержден как один блок. Высокопроизводительные рабочие станции могут посылать пакеты, которые соответствуют одному блоку NFS, сразу друг за другом, насколько это позволяет делать стандарт. На слабых, низкопроизводительных адаптерах пакеты, пришедшие позже, накладываются поверх ранее пришедших пакетов того же самого блока до того, как они могут быть переданы хосту и блок как единое целое не может быть собран или подтвержден. В результате рабочая станция входит в ситуацию таймаута и пытается повторить передачу, но уже с полным блоком в 8 КБ, и процесс будет повторяться снова, до бесконечности. Задав размер блока меньше размера пакета Ethernet, мы достигаем того, что любой полностью полученный пакет Ethernet может быть подтвержден индивидуально, и избежим тупиковую ситуацию. Наложение пакетов может все еще проявляться, когда высокопроизводительные рабочие станции сбрасывают данные на PC-систему, однако повторение этой ситуации не обязательно с более скоростными адаптерами с блоками NFS. Когда происходит наложение, затронутые блоки будут переданы снова, и скорее всего, они будут получены, собраны и подтверждены. Bill Swingle Текст создал Eric Ogren Внёс добавления Udo Erdelhoff Network Information System (NIS/YP) Что это такое? NIS Solaris HP-UX AIX Linux NetBSD OpenBSD - ⋼, что является сокращением от Network Information Services + NIS, + что является сокращением от Network Information Services (Сетевые Информационные Службы), которые были разработаны компанией Sun Microsystems для централизованного администрирования систем &unix; (изначально &sunos;). В настоящее время эти службы практически стали промышленным стандартом; все основные &unix;-подобные системы (&solaris;, HP-UX, &aix;, Linux, NetBSD, OpenBSD, FreeBSD и так далее) - поддерживают ⋼. + поддерживают NIS. yellow pages NIS - ⋼ первоначально назывались Yellow Pages (или yp), но из-за + NIS + первоначально назывались Yellow Pages (или yp), но из-за проблем с торговым знаком Sun изменила это название. Старое название (и yp) всё ещё часто употребляется. NIS домены Это система клиент/сервер на основе вызовов RPC, которая позволяет - группе машин в одном домене ⋼ совместно использовать общий набор + группе машин в одном домене NIS совместно использовать общий набор конфигурационных файлов. Системный администратор может настроить - клиентскую систему ⋼ только с минимальной настроечной информацией, а + клиентскую систему NIS только с минимальной настроечной информацией, а затем добавлять, удалять и модифицировать настроечную информацию из одного места. Windows NT Это похоже на систему доменов &windowsnt;; хотя их внутренние реализации не так уж и похожи, основные функции сравнимы. Термины/программы, о которых вы должны знать Существует несколько терминов и некоторое количество пользовательских программ, которые будут нужны, когда вы будете - пытаться сделать ⋼ во FreeBSD, и в случае создания сервера, и - в случае работы в качестве клиента ⋼: + пытаться сделать NIS во FreeBSD, и в случае создания сервера, и + в случае работы в качестве клиента NIS: portmap Термин Описание - Имя домена ⋼ + Имя домена NIS - Главный сервер ⋼ и все его клиенты (включая вторичные - серверы), имеют доменное имя ⋼. Как и в случае с именем - домена &windowsnt;, имя домена ⋼ не имеет ничего общего с + Главный сервер NIS и все его клиенты (включая вторичные + серверы), имеют доменное имя NIS. Как и в случае с именем + домена &windowsnt;, имя домена NIS не имеет ничего общего с DNS. portmap Для обеспечения работы RPC (Remote Procedure Call, Удалённого Вызова Процедур, сетевого протокола, используемого - ⋼), должен быть запущен даемон portmap. + NIS), должен быть запущен даемон portmap. Если даемон portmap не запущен, невозможно - будет запустить сервер ⋼, или работать как - ⋼-клиент. + будет запустить сервер NIS, или работать как + NIS-клиент. ypbind Связывает - ⋼-клиента с его ⋼-сервером. Он определяет имя ⋼-домена + NIS-клиента с его NIS-сервером. Он определяет имя NIS-домена системы, и при помощи RPC подключается к серверу. ypbind является основой клиент-серверного - взаимодействия в среде ⋼; если на клиентской машине + взаимодействия в среде NIS; если на клиентской машине программа ypbind перестанет работать, то - эта машина не сможет получить доступ к серверу ⋼. + эта машина не сможет получить доступ к серверу NIS. ypserv Программа ypserv, которая должна - запускаться только на серверах ⋼: это и есть - сервер ⋼. Если &man.ypserv.8; перестанет работать, то - сервер не сможет отвечать на запросы ⋼ (к счастью, на этот + запускаться только на серверах NIS: это и есть + сервер NIS. Если &man.ypserv.8; перестанет работать, то + сервер не сможет отвечать на запросы NIS (к счастью, на этот случай предусмотрен вторичный сервер). Есть несколько - реализаций ⋼ (к FreeBSD это не относится), в которых не + реализаций NIS (к FreeBSD это не относится), в которых не производится попыток подключиться к другому серверу, если ранее используемый сервер перестал работать. Зачастую единственным средством, помогающим в этой ситуации, является перезапуск серверного процесса (или сервера полностью) или процесса ypbind на клиентской машине. rpc.yppasswdd Программа rpc.yppasswdd, другой - процесс, который запускается только на главных ⋼-серверах: - это даемон, позволяющий клиентам ⋼ изменять свои - пароли ⋼. Если этот даемон не запущен, то пользователи - должны будут входить на основной сервер ⋼ и там менять свои + процесс, который запускается только на главных NIS-серверах: + это даемон, позволяющий клиентам NIS изменять свои + пароли NIS. Если этот даемон не запущен, то пользователи + должны будут входить на основной сервер NIS и там менять свои пароли. Как это работает? - В системе ⋼ существует три типа хостов: основные (master) + В системе NIS существует три типа хостов: основные (master) серверы, вторичные (slave) серверы и клиентские машины. Серверы выполняют роль централизованного хранилища информации о конфигурации хостов. Основные серверы хранят оригиналы этой информации, когда как вторичные серверы хранят ее копию для обеспечения избыточности. Клиенты связываются с серверами, чтобы предоставить им эту информацию. Информация во многих файлах может совместно использоваться следующим образом. Файлы master.passwd, group и hosts используются - совместно через ⋼. Когда процессу, работающему на клиентской машине, + совместно через NIS. Когда процессу, работающему на клиентской машине, требуется информация, как правило, находящаяся в этих файлах локально, - то он делает запрос к серверу ⋼, с которым связан. + то он делает запрос к серверу NIS, с которым связан. Типы машин NIS главный сервер - Основной сервер ⋼. + Основной сервер NIS. Такой сервер, по аналогии с первичным контроллером домена - &windowsnt;, хранит файлы, используемые всеми клиентами ⋼. Файлы + &windowsnt;, хранит файлы, используемые всеми клиентами NIS. Файлы passwd, group и - различные другие файлы, используемые клиентами ⋼, находятся + различные другие файлы, используемые клиентами NIS, находятся на основном сервере. Возможно использование одной машины в качестве сервера для - более чем одного домена ⋼. Однако, в этом введении такая + более чем одного домена NIS. Однако, в этом введении такая ситуация не рассматривается, и предполагается менее масштабное - использование ⋼. + использование NIS. NIS вторичный сервер - Вторичные серверы ⋼. Похожие на + Вторичные серверы NIS. Похожие на вторичные контроллеры доменов &windowsnt;, вторичные серверы - ⋼ содержат копии оригинальных файлов данных ⋼. Вторичные - серверы ⋼ обеспечивают избыточность, что нужно в критичных + NIS содержат копии оригинальных файлов данных NIS. Вторичные + серверы NIS обеспечивают избыточность, что нужно в критичных приложениях. Они также помогают распределять нагрузку на - основной сервер: клиенты ⋼ всегда подключаются к тому серверу - ⋼, который ответил первым, в том числе и к вторичным + основной сервер: клиенты NIS всегда подключаются к тому серверу + NIS, который ответил первым, в том числе и к вторичным серверам. NIS клиент - Клиенты ⋼. - Клиенты ⋼, как и большинство рабочих станций &windowsnt;, - аутентифицируются на сервере ⋼ (или на контроллере домена + Клиенты NIS. + Клиенты NIS, как и большинство рабочих станций &windowsnt;, + аутентифицируются на сервере NIS (или на контроллере домена &windowsnt; для рабочих станций &windowsnt;) во время входа в систему. - Использование ⋼/YP + Использование NIS/YP - В этом разделе приводится пример настройки ⋼. + В этом разделе приводится пример настройки NIS. В этом разделе предполагается, что вы работаете с FreeBSD 3.3 или выше. Указания, приводимые здесь, скорее всего, будут работать с любой версией FreeBSD, выше, чем 3.0, однако нет гарантий, что это на самом деле так. Планирование Давайте предположим, что вы являетесь администратором в маленькой университетской лаборатории. В настоящий момент в этой лаборатории с 15 машинами отсутствует единая точка администрирования; на каждой машине имеются собственные файлы /etc/passwd и /etc/master.passwd. Эти файлы синхронизируются друг с другом только вручную; сейчас, когда вы добавляете пользователя в лаборатории, вы должны выполнить команду adduser на всех 15 машинах. Понятно, что такое положение вещей нужно исправлять, так что вы решили перевести - сеть на использование ⋼, используя две машины в качестве + сеть на использование NIS, используя две машины в качестве серверов. Итак, конфигурация лаборатории сейчас выглядит примерно так: Имя машины IP-адрес Роль машины ellington 10.0.0.2 - Основной сервер ⋼ + Основной сервер NIS coltrane 10.0.0.3 - Вторичный сервер ⋼ + Вторичный сервер NIS basie 10.0.0.4 Факультетская рабочая станция bird 10.0.0.5 Клиентская машина cli[1-11] 10.0.0.[6-17] Другие клиентские машины - Если вы определяете схему ⋼ первый раз, ее нужно хорошо + Если вы определяете схему NIS первый раз, ее нужно хорошо обдумать. Вне зависимости от размеров вашей сети, есть несколько ключевых моментов, которые требуют принятия решений. - Выбор имени домена ⋼ + Выбор имени домена NIS NIS имя домена Это имя не должно быть именем домена, которое вы использовали. Более точно это имя называется именем - домена ⋼. Когда клиент рассылает запросы на получение - информации, он включает в них имя домена ⋼, частью которого + домена NIS. Когда клиент рассылает запросы на получение + информации, он включает в них имя домена NIS, частью которого является. Таким способом многие сервера в сети могут указать, какой сервер на какой запрос должен отвечать. Думайте о домене - ⋼ как об имени группы хостов, которые каким-то образом + NIS как об имени группы хостов, которые каким-то образом связаны. - Некоторые организации в качестве имени домена ⋼ используют + Некоторые организации в качестве имени домена NIS используют свой домен Интернет. Это не рекомендуется, так как может вызвать - проблемы в процессе решения сетевых проблем. Имя домена ⋼ должно + проблемы в процессе решения сетевых проблем. Имя домена NIS должно быть уникальным в пределах вашей сети и хорошо, если оно будет описывать группу машин, которые представляет. Например, художественный отдел в компании Acme Inc. может находиться в - домене ⋼ с именем acme-art. В нашем примере + домене NIS с именем acme-art. В нашем примере положим, что мы выбрали имя test-domain. SunOS Несмотря на это, некоторые операционные системы (в частности, - &sunos;) используют свое имя домена ⋼ в качестве имени домена + &sunos;) используют свое имя домена NIS в качестве имени домена Интернет. Если одна или более машин в вашей сети имеют такие ограничения, вы обязаны использовать имя - домена Интернет в качестве имени домена ⋼. + домена Интернет в качестве имени домена NIS. Требования к серверу Есть несколько вещей, которые нужно иметь в виду при выборе - машины для использования в качестве сервера ⋼. Одной из - обескураживающей вещью, касающейся ⋼, является уровень + машины для использования в качестве сервера NIS. Одной из + обескураживающей вещью, касающейся NIS, является уровень зависимости клиентов от серверов. Если клиент не может - подключиться к серверу своего домена ⋼, зачастую машину просто + подключиться к серверу своего домена NIS, зачастую машину просто становится нельзя использовать. Отсутствие информации о пользователях и группах приводит к временной остановке работы большинства систем. Зная это, вы должны выбрать машину, которая не должна подвергаться частым перезагрузкам и не используется - для разработки. Сервер ⋼ в идеале должен быть отдельно стоящей + для разработки. Сервер NIS в идеале должен быть отдельно стоящей машиной, единственным целью в жизни которой является быть сервером - ⋼. Если вы работаете в сети, которая не так уж сильно загружена, - то можно поместить сервер ⋼ на машине, на которой запущены и - другие сервисы, просто имейте в виду, что если сервер ⋼ + NIS. Если вы работаете в сети, которая не так уж сильно загружена, + то можно поместить сервер NIS на машине, на которой запущены и + другие сервисы, просто имейте в виду, что если сервер NIS становится недоступным, то это негативно отражается на - всех клиентах ⋼. + всех клиентах NIS. - Серверы ⋼ + Серверы NIS - Оригинальные копии всей информации ⋼ хранится на единственной - машине, которая называется главным сервером ⋼. Базы данных, - которые используются для хранения информации, называются картами ⋼. + Оригинальные копии всей информации NIS хранится на единственной + машине, которая называется главным сервером NIS. Базы данных, + которые используются для хранения информации, называются картами NIS. Во FreeBSD эти карты хранятся в /var/yp/[domainname], где [domainname] является именем обслуживаемого - домена ⋼. Один сервер ⋼ может поддерживать одновременно + домена NIS. Один сервер NIS может поддерживать одновременно несколько доменов, так что есть возможность иметь несколько таких каталогов, по одному на каждый обслуживаемый домен. Каждый домен будет иметь свой собственный независимый от других набор карт. - Основной и вторичный серверы обслуживают все запросы ⋼ с + Основной и вторичный серверы обслуживают все запросы NIS с помощью даемона ypserv. ypserv - отвечает за получение входящих запросов от клиентов ⋼, + отвечает за получение входящих запросов от клиентов NIS, распознавание запрашиваемого домена и отображение имени в путь к соответствующему файлы базы данных, а также передаче информации из базы данных обратно клиенту. - Настройка основного сервера ⋼ + Настройка основного сервера NIS NIS настройка сервера - Настройка основного сервера ⋼ может оказаться сравнительно + Настройка основного сервера NIS может оказаться сравнительно простой, в зависимости от ваших потребностей. В поставку FreeBSD - сразу включена поддержка ⋼. Все, что вам нужно, это добавить + сразу включена поддержка NIS. Все, что вам нужно, это добавить следующие строки в файл /etc/rc.conf, а FreeBSD сделает за вас всё остальное.. nisdomainname="test-domain" - В этой строке задается имя домена ⋼, которое будет + В этой строке задается имя домена NIS, которое будет test-domain, еще до настройки сети (например, после перезагрузки). nis_server_enable="YES" - Здесь указывается FreeBSD на запуск процессов серверов ⋼, + Здесь указывается FreeBSD на запуск процессов серверов NIS, когда дело доходит до сетевых настроек. nis_yppasswdd_enable="YES" Здесь указывается на запуск даемона rpc.yppasswdd, который, как это отмечено - выше, позволит пользователям менять свой пароль ⋼ с + выше, позволит пользователям менять свой пароль NIS с клиентской машины. - В зависимости от ваших настроек ⋼, вам могут понадобиться + В зависимости от ваших настроек NIS, вам могут понадобиться дополнительные строки. Обратитесь к разделу о серверах ⋼, - которые являются и клиентами ⋼ ниже для получения + linkend="network-nis-server-is-client">разделу о серверах NIS, + которые являются и клиентами NIS ниже для получения подробной информации. А теперь всё, что вам нужно сделать, это запустить команду /etc/netstart, работая как администратор. По ней произойдет настройка всего, при этом будут использоваться значения, заданные в файле /etc/rc.conf. - Инициализация карт ⋼ + Инициализация карт NIS NIS карты - Карты ⋼ являются файлами баз данных, + Карты NIS являются файлами баз данных, которые хранятся в каталоге /var/yp. Они генерируются из конфигурационных файлов, находящихся в каталоге - /etc основного сервера ⋼, за одним + /etc основного сервера NIS, за одним исключением: файл /etc/master.passwd. На это есть весомая причина, вам не нужно распространять пароли пользователя root и других административных - пользователей на все серверы в домене ⋼. По этой причине, прежде - чем инициализировать карты ⋼, вы должны сделать вот что: + пользователей на все серверы в домене NIS. По этой причине, прежде + чем инициализировать карты NIS, вы должны сделать вот что: &prompt.root; cp /etc/master.passwd /var/yp/master.passwd &prompt.root; cd /var/yp &prompt.root; vi master.passwd Вы должны удалить все записи, касающиеся системных пользователей (bin, tty, kmem, games и так далее), а - также записи, которые вы не хотите распространять клиентам ⋼ + также записи, которые вы не хотите распространять клиентам NIS (например, root и другие пользователи с UID, равным 0 (администраторы)). Проверьте, чтобы файл /var/yp/master.passwd был недоступен для записи ни для группы, ни для остальных пользователей (режим доступа 600)! Воспользуйтесь командой chmod, если это нужно. Tru64 UNIX Когда с этим будет покончено, самое время инициализировать - карты ⋼! В поставку FreeBSD включен скрипт с именем + карты NIS! В поставку FreeBSD включен скрипт с именем ypinit, который делает это (обратитесь к его справочной странице за дополнительной информацией). Отметьте, что этот скрипт имеется в большинстве операционных систем &unix;, но не во всех. В системе Digital Unix/Compaq Tru64 UNIX он называется ypsetup. Так как мы генерируем карты для - главного сервера ⋼, то при вызове программы + главного сервера NIS, то при вызове программы ypinit мы передаем ей параметр - . Для генерации карт ⋼ в предположении, что + . Для генерации карт NIS в предположении, что вы уже сделали шаги, описанные выше, выполните следующее: ellington&prompt.root; ypinit -m test-domain Server Type: MASTER Domain: test-domain Creating an YP server will require that you answer a few questions. Questions will all be asked at the beginning of the procedure. Do you want this procedure to quit on non-fatal errors? [y/n: n] n Ok, please remember to go back and redo manually whatever fails. If you don't, something might not work. At this point, we have to construct a list of this domains YP servers. rod.darktech.org is already known as master server. Please continue to add any slave servers, one per line. When you are done with the list, type a <control D>. master server : ellington next host to add: coltrane next host to add: ^D The current list of NIS servers looks like this: ellington coltrane Is this correct? [y/n: y] y [..вывод при генерации карт..] NIS Map update completed. ellington has been setup as an YP master server without any errors. Программа ypinit должна была создать файл /var/yp/Makefile из /var/yp/Makefile.dist. При создании этого файла предполагается, что вы работаете в окружении с единственным - сервером ⋼ и только с машинами FreeBSD. Так как в домене + сервером NIS и только с машинами FreeBSD. Так как в домене test-domain имеется также и вторичный сервер, то вы должны отредактировать файл /var/yp/Makefile: ellington&prompt.root; vi /var/yp/Makefile Вы должны закомментировать строку, в которой указано NOPUSH = "True" (она уже не раскомментирована). - Настройка вторичного сервера ⋼ + Настройка вторичного сервера NIS NIS вторичный сервер - Настройка вторичного сервера ⋼ осуществляется ещё проще, + Настройка вторичного сервера NIS осуществляется ещё проще, чем настройка главного сервера. Войдите на вторичный сервер и отредактируйте файл /etc/rc.conf точно также, как вы делали это ранее. Единственным отличием является то, что при запуске программы ypinit мы теперь должны использовать опцию . Применение опции требует также указание имени главного сервера - ⋼, так что наша команда должна выглядеть так: + NIS, так что наша команда должна выглядеть так: coltrane&prompt.root; ypinit -s ellington test-domain Server Type: SLAVE Domain: test-domain Master: ellington Creating an YP server will require that you answer a few questions. Questions will all be asked at the beginning of the procedure. Do you want this procedure to quit on non-fatal errors? [y/n: n] n Ok, please remember to go back and redo manually whatever fails. If you don't, something might not work. There will be no further questions. The remainder of the procedure should take a few minutes, to copy the databases from ellington. Transferring netgroup... ypxfr: Exiting: Map successfully transferred Transferring netgroup.byuser... ypxfr: Exiting: Map successfully transferred Transferring netgroup.byhost... ypxfr: Exiting: Map successfully transferred Transferring master.passwd.byuid... ypxfr: Exiting: Map successfully transferred Transferring passwd.byuid... ypxfr: Exiting: Map successfully transferred Transferring passwd.byname... ypxfr: Exiting: Map successfully transferred Transferring group.bygid... ypxfr: Exiting: Map successfully transferred Transferring group.byname... ypxfr: Exiting: Map successfully transferred Transferring services.byname... ypxfr: Exiting: Map successfully transferred Transferring rpc.bynumber... ypxfr: Exiting: Map successfully transferred Transferring rpc.byname... ypxfr: Exiting: Map successfully transferred Transferring protocols.byname... ypxfr: Exiting: Map successfully transferred Transferring master.passwd.byname... ypxfr: Exiting: Map successfully transferred Transferring networks.byname... ypxfr: Exiting: Map successfully transferred Transferring networks.byaddr... ypxfr: Exiting: Map successfully transferred Transferring netid.byname... ypxfr: Exiting: Map successfully transferred Transferring hosts.byaddr... ypxfr: Exiting: Map successfully transferred Transferring protocols.bynumber... ypxfr: Exiting: Map successfully transferred Transferring ypservers... ypxfr: Exiting: Map successfully transferred Transferring hosts.byname... ypxfr: Exiting: Map successfully transferred coltrane has been setup as an YP slave server without any errors. Don't forget to update map ypservers on ellington. Теперь у вас должен быть каталог с именем /var/yp/test-domain. Копии карт главного - сервера ⋼ должны быть в этом каталоге. Вы должны удостовериться, + сервера NIS должны быть в этом каталоге. Вы должны удостовериться, что этот каталог обновляется. Следующие строки в /etc/crontab вашего вторичного сервера должны это делать: 20 * * * * root /usr/libexec/ypxfr passwd.byname 21 * * * * root /usr/libexec/ypxfr passwd.byuid Эти две строки заставляют вторичный сервер синхронизировать свои карты с картами главного сервера. Хотя эти строчки не обязательны, так как главный сервер делает попытки передать все - изменения в своих картах ⋼ на свои вторичные серверы, но из-за + изменения в своих картах NIS на свои вторичные серверы, но из-за того, что информация для входа в систему настолько жизненно важна для систем, зависящих от сервера, что выполнение регулярных обновлений является совсем не плохой идеей. Это ещё более важно в загруженных сетях, в которых обновления карт могут не всегда завершаться успешно. А теперь точно также запустите команду /etc/netstart на вторичном сервере, по которой - снова выполнится запуск сервера ⋼. + снова выполнится запуск сервера NIS. - Клиенты ⋼ + Клиенты NIS - Клиент ⋼ выполняет так называемую привязку к конкретному - серверу ⋼ при помощи даемона ypbind. + Клиент NIS выполняет так называемую привязку к конкретному + серверу NIS при помощи даемона ypbind. ypbind определяет домен, используемый в системе по умолчанию (тот, который устанавливается по команде domainname), и начинает широковещательную рассылку запросов RPC в локальной сети. В этих запросах указано имя домена, к серверу которого ypbind пытается осуществить привязку. Если сервер, который был настроен для обслуживания запрашиваемого домена, получит широковещательный запрос, он ответит ypbind, который, в свою очередь запомнит адрес сервера. Если имеется несколько серверов (например, главный и несколько вторичных), то ypbind будет использовать адрес первого ответившего. С этого момента клиентская система будет - направлять все свои запросы ⋼ на этот сервер. Время от времени + направлять все свои запросы NIS на этот сервер. Время от времени ypbind будет пинать сервер для проверки его работоспособности. Если на один из тестовых пакетов не удастся получить ответа за разумное время, то ypbind пометит этот домен как домен, с которым связка разорвана, и снова начнет процесс посылки широковещательных запросов в надежде найти другой сервер. - Настройка клиента ⋼ + Настройка клиента NIS NIS настройка клиента - Настройка машины с FreeBSD в качестве клиента ⋼ достаточно + Настройка машины с FreeBSD в качестве клиента NIS достаточно проста. Отредактируйте файл /etc/rc.conf, добавив туда следующие строки для того, чтобы задать имя домена - ⋼ и запустить ypbind во время запуска + NIS и запустить ypbind во время запуска сетевых служб: nisdomainname="test-domain" nis_client_enable="YES" Для импортирования всех возможных учётных записей от сервера - ⋼, удалите все записи пользователей из вашего файла + NIS, удалите все записи пользователей из вашего файла /etc/master.passwd и воспользуйтесь командой vipw для добавления следующей строки в конец файла: +::::::::: Эта строчка даст всем пользователям с корректной учетной записью в картах учетных баз пользователей доступ к этой - системе. Есть множество способов настроить ваш клиент ⋼, + системе. Есть множество способов настроить ваш клиент NIS, изменив эту строку. Посмотрите ниже текст, касающийся сетевых групп, чтобы получить более подробную информацию. Дополнительная информация для изучения находится в книге издательства O'Reilly под названием Managing NFS and NIS. Вы должны оставить хотя бы одну локальную запись (то есть - не импортировать ее через ⋼) в вашем + не импортировать ее через NIS) в вашем /etc/master.passwd и эта запись должна быть также членом группы wheel. Если - с ⋼ что-то случится, эта запись может использоваться для + с NIS что-то случится, эта запись может использоваться для удаленного входа в систему, перехода в режим администратора и исправления неисправностей. Для импортирования всех возможных записей о группах с - сервера ⋼, добавьте в ваш файл + сервера NIS, добавьте в ваш файл /etc/group такую строчку: +:*:: После завершения выполнения этих шагов у вас должно получиться запустить команду ypcat passwd и увидеть - карту учетных записей сервера ⋼. + карту учетных записей сервера NIS. - Безопасность ⋼ + Безопасность NIS В общем-то любой пользователь, зная имя вашего домена, может выполнить запрос RPC к &man.ypserv.8; и получить содержимое ваших карт - ⋼. Для предотвращения такого неавторизованного обмена &man.ypserv.8; + NIS. Для предотвращения такого неавторизованного обмена &man.ypserv.8; поддерживает так называемую систему securenets, которая может использоваться для ограничения доступа к некоторой группе хостов. При запуске &man.ypserv.8; будет пытаться загрузить информацию, касающуюся securenets, из файла /var/yp/securenets. Имя каталога зависит от параметра, указанного вместе с опцией . Этот файл содержит записи, состоящие из указания сети и сетевой маски, разделенных пробелом. Строчки, начинающиеся со знака #, считаются комментариями. Примерный файл securenets может иметь примерно такой вид: # allow connections from local host -- mandatory 127.0.0.1 255.255.255.255 # allow connections from any host # on the 192.168.128.0 network 192.168.128.0 255.255.255.0 # allow connections from any host # between 10.0.0.0 to 10.0.15.255 # this includes the machines in the testlab 10.0.0.0 255.255.240.0 Если &man.ypserv.8; получает запрос от адреса, который соответствует одному из этих правил, он будет отрабатывать запрос обычным образом. Если же адрес не подпадает ни под одно правило, запрос будет проигнорирован и в журнал будет записано предупреждающее сообщение. Если файл /var/yp/securenets не существует, ypserv будет обслуживать соединения от любого хоста. Программа ypserv также поддерживает пакет программ tcpwrapper от Wietse Venema. Это позволяет администратору для ограничения доступа вместо /var/yp/securenets использовать конфигурационные файлы tcpwrapper. Хотя оба этих метода управления доступом обеспечивают некоторую безопасность, они, как основанные на проверке привилегированного порта, оба подвержены атакам типа IP spoofing. Весь - сетевой трафик, связанный с работой ⋼, должен блокироваться вашим + сетевой трафик, связанный с работой NIS, должен блокироваться вашим межсетевым экраном. Серверы, использующие файл /var/yp/securenets, - могут быть не в состоянии обслуживать старых клиентов ⋼ с древней + могут быть не в состоянии обслуживать старых клиентов NIS с древней реализацией протокола TCP/IP. Некоторые из этих реализаций при рассылке широковещательных запросов устанавливают все биты машинной части адреса в ноль и/или не в состоянии определить маску подсети при вычислении адреса широковещательной рассылки. Хотя некоторые из этих проблем могут быть решены изменением конфигурации клиента, другие могут привести к отказу от использования /var/yp/securenets. Использование /var/yp/securenets на сервере с такой архаичной реализацией TCP/IP является весьма плохой идеей, и - приведёт к потере работоспособности ⋼ в большой части вашей + приведёт к потере работоспособности NIS в большой части вашей сети. tcpwrapper Использование пакета tcpwrapper увеличит - время отклика вашего сервера ⋼. Дополнительной задержки может + время отклика вашего сервера NIS. Дополнительной задержки может оказаться достаточно для возникновения таймаутов в клиентских программах, особенно в загруженных сетях или с медленными серверами - ⋼. Если одна или более ваших клиентских систем страдают от таких + NIS. Если одна или более ваших клиентских систем страдают от таких проблем, вы должны преобразовать такие клиентские системы во вторичные - серверы ⋼ и сделать принудительную их привязку к самим себе. + серверы NIS и сделать принудительную их привязку к самим себе. Запрет входа некоторых пользователей В нашей лаборатории есть машина basie, о которой предполагается, что она является исключительно факультетской рабочей - станцией. Мы не хотим исключать эту машину из домена ⋼, однако - файл passwd на главном сервере ⋼ содержит + станцией. Мы не хотим исключать эту машину из домена NIS, однако + файл passwd на главном сервере NIS содержит учетные записи как для работников факультета, так и студентов. Что мы можем сделать? Есть способ ограничить вход некоторых пользователей на этой машине, - даже если они присутствуют в базе данных ⋼. Чтобы это сделать, вам + даже если они присутствуют в базе данных NIS. Чтобы это сделать, вам достаточно добавить -username в конец файла /etc/master.passwd на клиентской машине, где username является именем пользователя, которому вы хотите запретить вход. Рекомендуется сделать это с помощью утилиты vipw, так как vipw проверит ваши изменения в /etc/master.passwd, а также автоматически перестроит базу данных паролей по окончании редактирования. Например, если мы хотим запретить пользователю bill осуществлять вход на машине basie, то мы сделаем следующее: basie&prompt.root; vipw [add -bill to the end, exit] vipw: rebuilding the database... vipw: done basie&prompt.root; cat /etc/master.passwd root:[password]:0:0::0:0:The super-user:/root:/bin/csh toor:[password]:0:0::0:0:The other super-user:/root:/bin/sh daemon:*:1:1::0:0:Owner of many system processes:/root:/sbin/nologin operator:*:2:5::0:0:System &:/:/sbin/nologin bin:*:3:7::0:0:Binaries Commands and Source,,,:/:/sbin/nologin tty:*:4:65533::0:0:Tty Sandbox:/:/sbin/nologin kmem:*:5:65533::0:0:KMem Sandbox:/:/sbin/nologin games:*:7:13::0:0:Games pseudo-user:/usr/games:/sbin/nologin news:*:8:8::0:0:News Subsystem:/:/sbin/nologin man:*:9:9::0:0:Mister Man Pages:/usr/share/man:/sbin/nologin bind:*:53:53::0:0:Bind Sandbox:/:/sbin/nologin uucp:*:66:66::0:0:UUCP pseudo-user:/var/spool/uucppublic:/usr/libexec/uucp/uucico xten:*:67:67::0:0:X-10 daemon:/usr/local/xten:/sbin/nologin pop:*:68:6::0:0:Post Office Owner:/nonexistent:/sbin/nologin nobody:*:65534:65534::0:0:Unprivileged user:/nonexistent:/sbin/nologin +::::::::: -bill basie&prompt.root; Udo Erdelhoff Текст предоставил Использование сетевых групп сетевые группы Способ, описанный в предыдущем разделе, работает достаточно хорошо, если вам нужны особые правила для очень малой группы пользователей или машин. В более крупных сетях вы забудете о запрете входа определенных пользователей на важные машины или даже будете настраивать каждую машину по отдельности, теряя таким образом - главное преимущество использования ⋼: + главное преимущество использования NIS: централизованное администрирование. - Ответом разработчиков ⋼ на эту проблему являются + Ответом разработчиков NIS на эту проблему являются сетевые группы. Их назначение и смысл можно сравнить с обычными группами, используемыми в файловых системах &unix;. Главное отличие заключается в отсутствии числового идентификатора и возможности задать сетевую группу включением как пользователей, так и других сетевых групп. Сетевые группы были разработаны для работы с большими, сложными сетями с сотнями пользователей и машин. С одной стороны, хорошо, если вам приходится с такой ситуацией. С другой стороны, эта сложность делает невозможным описание сетевых групп с помощью простых примеров. Пример, используемый в дальнейшем, демонстрирует эту проблему. - Давайте предположим, что успешное внедрение системы ⋼ в вашей + Давайте предположим, что успешное внедрение системы NIS в вашей лаборатории заинтересовало ваше руководство. Вашим следующим заданием - стало расширение домена ⋼ для включения в него некоторых других + стало расширение домена NIS для включения в него некоторых других машин студенческого городка. В двух таблицах перечислены имена новых машин и пользователей, а также их краткое описание. Имена пользователей Описание alpha, beta Обычные служащие IT-департамента charlie, delta Практиканты IT-департамента echo, foxtrott, golf, ... Обычные сотрудники able, baker, ... Проходящие интернатуру Имена машин Описание war, death, famine, pollution Ваши самые важные серверы. Только служащим IT позволяется входить на эти машины. pride, greed, envy, wrath, lust, sloth Менее важные серверы. Все сотрудники департамента IT могут входить на эти машины. one, two, three, four, ... Обычные рабочие станции. Только реально нанятым служащим позволяется использовать эти машины. trashcan Очень старая машина без каких-либо критичных данных. Даже проходящим интернатуру разрешено ее использовать. Если вы попытаетесь реализовать эти требования, ограничивая каждого пользователя по отдельности, то вам придется добавить на каждой машине в файл passwd по одной строчке -user для каждого пользователя, которому запрещено входить на эту систему. Если вы забудете даже одну строчку, у вас могут начаться проблемы. Гораздо проще делать это правильно во время начальной установки, однако вы постепенно будете забывать добавлять строчки для новых пользователей во время повседневной работы. В конце концов, Мерфи был оптимистом. Использование в этой ситуации сетевых групп дает несколько преимуществ. Нет необходимости описывать по отдельности каждого пользователя; вы ставите в соответствие пользователю одну или несколько сетевых групп и разрешаете или запрещаете вход всем членам сетевой группы. Если вы добавляете новую машину, вам достаточно определить ограничения на вход для сетевых групп. Если добавляется новый пользователь, вам достаточно добавить его к одной или большему числу сетевых групп. Эти изменения независимы друг от друга: нет больше комбинаций для каждого пользователя и машины. - Если настройка вашей системы ⋼ тщательно спланирована, то для + Если настройка вашей системы NIS тщательно спланирована, то для разрешения или запрещения доступа к машинам вам нужно будет модифицировать единственный конфигурационный файл. - Первым шагом является инициализация карты ⋼ по имени netgroup. + Первым шагом является инициализация карты NIS по имени netgroup. Программа &man.ypinit.8; во FreeBSD по умолчанию этой карты не - создаёт, хотя реализация ⋼ будет её поддерживает, как только она + создаёт, хотя реализация NIS будет её поддерживает, как только она будет создана. Чтобы создать пустую карту, просто наберите ellington&prompt.root; vi /var/yp/netgroup и начните добавлять содержимое. Например, нам нужно по крайней мере четыре сетевых группы: сотрудники IT, практиканты IT, обычные сотрудники и интернатура. IT_EMP (,alpha,test-domain) (,beta,test-domain) IT_APP (,charlie,test-domain) (,delta,test-domain) USERS (,echo,test-domain) (,foxtrott,test-domain) \ (,golf,test-domain) INTERNS (,able,test-domain) (,baker,test-domain) IT_EMP, IT_APP и так далее являются именами сетевых групп. Несколько слов в скобках служат для добавления пользователей в группу. Три поля внутри группы обозначают следующее: Имя хоста или хостов, к которым применимы последующие записи. Если имя хоста не указано, то запись применяется ко всем хостам. Если же указывается имя хоста, то вы получите мир темноты, ужаса и страшной путаницы. Имя учетной записи, которая принадлежит этой сетевой группе. - Домен ⋼ для учетной записи. Вы можете импортировать в вашу - сетевую группу учетные записи из других доменов ⋼, если вы один - из тех несчастных, имеющих более одного домена ⋼. + Домен NIS для учетной записи. Вы можете импортировать в вашу + сетевую группу учетные записи из других доменов NIS, если вы один + из тех несчастных, имеющих более одного домена NIS. Каждое из этих полей может содержать шаблоны, подробности даны в странице справочника по &man.netgroup.5;. сетевые группы Не нужно использовать имена сетевых групп длиннее 8 символов, - особенно если в вашем домене ⋼ имеются машины, работающие под + особенно если в вашем домене NIS имеются машины, работающие под управлением других операционных систем. Имена чувствительны к регистру; использование заглавных букв для имен сетевых групп облегчает распознавание пользователей, имен машин и сетевых групп. - Некоторые клиенты ⋼ (отличные от FreeBSD) не могут работать + Некоторые клиенты NIS (отличные от FreeBSD) не могут работать с сетевыми группами, включающими большое количество записей. Например, в некоторых старых версиях &sunos; возникают проблемы, если сетевая группа содержит более 15 записей. Вы можете обойти это ограничение, создав несколько подгрупп с 15 или меньшим количеством пользователей и настоящую сетевую группу, состоящую из подгрупп: BIGGRP1 (,joe1,domain) (,joe2,domain) (,joe3,domain) [...] BIGGRP2 (,joe16,domain) (,joe17,domain) [...] BIGGRP3 (,joe31,domain) (,joe32,domain) BIGGROUP BIGGRP1 BIGGRP2 BIGGRP3 Вы можете повторить этот процесс, если вам нужно иметь более 225 пользователей в одной сетевой группе. - Активация и распространение вашей карты ⋼ проста: + Активация и распространение вашей карты NIS проста: ellington&prompt.root; cd /var/yp ellington&prompt.root; make - Это приведет к созданию трех карт ⋼ + Это приведет к созданию трех карт NIS netgroup, netgroup.byhost и netgroup.byuser. Воспользуйтесь утилитой - &man.ypcat.1; для проверки доступности ваших новых карт ⋼: + &man.ypcat.1; для проверки доступности ваших новых карт NIS: ellington&prompt.user; ypcat -k netgroup ellington&prompt.user; ypcat -k netgroup.byhost ellington&prompt.user; ypcat -k netgroup.byuser Вывод первой команды должен соответствовать содержимому файла /var/yp/netgroup. Вторая команда не выведет ничего, если вы не зададите сетевые группы, специфичные для хоста. Третья команда может использоваться пользователем для получения списка сетевых групп. Настройка клиента достаточно проста. Чтобы настроить сервер war, вам достаточно запустить &man.vipw.8; и заменить строку +::::::::: на +@IT_EMP::::::::: Теперь только данные, касающиеся пользователей, определенных в сетевой группе IT_EMP, импортируются в базу паролей машины war и только этим пользователям будет разрешен вход. К сожалению, это ограничение также касается и функции ~ командного процессора и всех подпрограмм, выполняющих преобразование между именами пользователей и их числовыми ID. Другими словами, команда cd ~user работать не будет, команда ls -l будет выдавать числовые идентификаторы вместо имён пользователей, а find . -user joe -print работать откажется, выдавая сообщение No such user. Чтобы это исправить, вам нужно будет выполнить импорт всех записей о пользователях без разрешения на вход на ваши серверы. Это можно сделать, добавив еще одну строку в файл /etc/master.passwd. Эта строка должна содержать: +:::::::::/sbin/nologin, что означает Произвести импортирование всех записей с заменой командного процессора на /sbin/nologin в импортируемых записях. Вы можете заменить любое поле в строке с паролем, указав значение по умолчанию в вашем /etc/master.passwd. Проверьте, что строка +:::::::::/sbin/nologin помещена после +@IT_EMP:::::::::. В противном случае все - пользовательские записи, импортированные из ⋼, будут иметь + пользовательские записи, импортированные из NIS, будут иметь /sbin/nologin в качестве оболочки. После этого изменения при появлении нового сотрудника IT вам будет - достаточно изменять только одну карту ⋼. Вы можете применить + достаточно изменять только одну карту NIS. Вы можете применить подобный метод для менее важных серверов, заменяя старую строку +::::::::: в их файлах /etc/master.passwd на нечто, подобное следующему: +@IT_EMP::::::::: +@IT_APP::::::::: +:::::::::/sbin/nologin Соответствующие строки для обычных рабочих станций могут иметь такой вид: +@IT_EMP::::::::: +@USERS::::::::: +:::::::::/sbin/nologin И все было прекрасно до того момента, когда через несколько недель изменилась политика: Департамент IT начал нанимать интернатуру. Интернатуре в IT позволили использовать обычные рабочие станции и менее важные серверы; практикантам позволили входить на главные серверы. Вы создали новую сетевую группу IT_INTERN, добавили в нее новую интернатуру и начали изменять настройки на всех и каждой машине... Как говорит старая мудрость: Ошибки в централизованном планировании приводят к глобальному хаосу. - Возможность в ⋼ создавать сетевые группы из других сетевых + Возможность в NIS создавать сетевые группы из других сетевых групп может использоваться для предотвращения подобных ситуаций. Одним из вариантов является создание сетевых групп на основе ролей. Например, вы можете создать сетевую группу с именем BIGSRV для задания ограничений на вход на важные серверы, другую сетевую группу с именем SMALLSRV для менее важных серверов и третью сетевую группу под названием USERBOX для обычных рабочих станций. Каждая из этих сетевых групп содержит сетевые группы, которым позволено входить на эти машины. Новые записи - для вашей карты ⋼ сетевой группы должны выглядеть таким + для вашей карты NIS сетевой группы должны выглядеть таким образом: BIGSRV IT_EMP IT_APP SMALLSRV IT_EMP IT_APP ITINTERN USERBOX IT_EMP ITINTERN USERS Этот метод задания ограничений на вход работает весьма хорошо, если вы можете выделить группы машин с одинаковыми ограничениями. К сожалению, такая ситуация может быть исключением, но не правилом. В большинстве случаев вам нужна возможность определять ограничения на вход индивидуально для каждой машины. Задание сетевых групп в зависимости от машин является другой возможностью, которой можно воспользоваться при изменении политики, описанной выше. При таком развитии событий файл /etc/master.passwd на каждой машине содержит две строки, начинающиеся с +. Первая из них добавляет сетевую группу с учётными записями, которым разрешено входить на эту машину, а вторая добавляет все оставшиеся учетные записи с /sbin/nologin в качестве командного процессора. Хорошей идеей является использование ИМЕНИ МАШИНЫ заглавными буквами для имени сетевой группы. Другими словами, строки должны иметь такой вид: +@BOXNAME::::::::: +:::::::::/sbin/nologin Как только вы завершите эту работу для всех ваших машин, вам не нужно будет снова модифицировать локальные версии /etc/master.passwd. Все будущие изменения могут - быть выполнены изменением карты ⋼. Вот пример возможной карты + быть выполнены изменением карты NIS. Вот пример возможной карты сетевой группы для этого случая с некоторыми полезными дополнениями: # Сначала определяем группы пользователей IT_EMP (,alpha,test-domain) (,beta,test-domain) IT_APP (,charlie,test-domain) (,delta,test-domain) DEPT1 (,echo,test-domain) (,foxtrott,test-domain) DEPT2 (,golf,test-domain) (,hotel,test-domain) DEPT3 (,india,test-domain) (,juliet,test-domain) ITINTERN (,kilo,test-domain) (,lima,test-domain) D_INTERNS (,able,test-domain) (,baker,test-domain) # # Теперь задаем несколько групп на основе ролей USERS DEPT1 DEPT2 DEPT3 BIGSRV IT_EMP IT_APP SMALLSRV IT_EMP IT_APP ITINTERN USERBOX IT_EMP ITINTERN USERS # # И группы для специальных задач # Открыть пользователям echo и golf доступ к антивирусной машине SECURITY IT_EMP (,echo,test-domain) (,golf,test-domain) # # Сетевые группы, специфичные для машин # Наши главные серверы WAR BIGSRV FAMINE BIGSRV # Пользователю india необходим доступ к этому серверу POLLUTION BIGSRV (,india,test-domain) # # Этот очень важен и ему требуются большие ограничения доступа DEATH IT_EMP # # Антивирусная машина, упомянутая выше ONE SECURITY # # Ограничить машину единственным пользователем TWO (,hotel,test-domain) # [...далее следуют другие группы] Если вы используете какие-либо базы данных для управления учетными записями ваших пользователей, вы должны смочь создать первую часть карты с помощью инструментов построения отчетов вашей базы данных. В таком случае новые пользователи автоматически получат доступ к машинам. И последнее замечание: Не всегда бывает разумно использовать сетевые группы на основе машин. Если в студенческих лабораториях вы используете несколько десятков или даже сотен одинаковых машин, то вам нужно использовать сетевые группы на основе ролей, а не основе - машин, для того, чтобы размеры карты ⋼ оставались в разумных + машин, для того, чтобы размеры карты NIS оставались в разумных пределах. Важные замечания Есть некоторые действия, которые нужно будет выполнять по-другому, - если вы работаете с ⋼. + если вы работаете с NIS. Каждый раз, когда вы собираетесь добавить пользователя в лаборатории, вы должны добавить его только на - главном сервере ⋼ и обязательно перестроить карты - ⋼. Если вы забудете сделать это, то новый + главном сервере NIS и обязательно перестроить карты + NIS. Если вы забудете сделать это, то новый пользователь не сможет нигде войти, кроме как на главном сервере - ⋼. Например, если в лаборатории нам нужно добавить нового + NIS. Например, если в лаборатории нам нужно добавить нового пользователя jsmith, мы делаем вот что: &prompt.root; pw useradd jsmith &prompt.root; cd /var/yp &prompt.root; make test-domain Вместо pw useradd jsmith вы можете также запустить команду adduser jsmith. Не помещайте административные учетные записи в карты - ⋼. Вам не нужно распространять административных + NIS. Вам не нужно распространять административных пользователей и их пароли на машины, которые не должны иметь доступ к таким учётным записям. - Сделайте главный и вторичные серверы ⋼ безопасными + Сделайте главный и вторичные серверы NIS безопасными и минимизируйте их время простоя. Если кто-то либо взломает, либо просто отключит эти машины, то люди без права входа в лабораторию с легкостью получат доступ. Это основное уязвимое место в любой централизованно администрируемой системе. Если вы не - защищаете ваши серверы ⋼, вы будете иметь дело с толпой + защищаете ваши серверы NIS, вы будете иметь дело с толпой разозлённых пользователей! - Совместимость с ⋼ v1 + Совместимость с NIS v1 ypserv из поставки FreeBSD имеет - встроенную поддержку для обслуживания клиентов ⋼ v1. Реализация - ⋼ - во FreeBSD использует только протокол ⋼ v2, хотя другие реализации + встроенную поддержку для обслуживания клиентов NIS v1. Реализация + NIS + во FreeBSD использует только протокол NIS v2, хотя другие реализации имеют поддержку протокола v1 для совместимости со старыми системами. Даемоны ypbind, поставляемые с такими - системами, будут пытаться осуществить привязку к серверу ⋼ v1, даже + системами, будут пытаться осуществить привязку к серверу NIS v1, даже если это им не нужно (и они будут постоянно рассылать широковещательные запросы в поиске такого сервера даже после получения ответа от сервера v2). Отметьте, что хотя имеется поддержка обычных клиентских вызовов, эта версия ypserv не отрабатывает запросы на передачу карт v1; следовательно, она не может использоваться в качестве главного или - вторичного серверов вместе с другими серверами ⋼, поддерживающими + вторичного серверов вместе с другими серверами NIS, поддерживающими только протокол v1. К счастью, скорее всего, в настоящий момент такие серверы практически не используются. - Серверы ⋼, которые также являются клиентами ⋼ + Серверы NIS, которые также являются клиентами NIS Особое внимание следует уделить использованию ypserv в домене со многими серверами, когда серверные машины являются также клиентами - ⋼. + NIS. Неплохо бы заставить серверы осуществить привязку к самим себе, запретив рассылку запросов на привязку и возможно, перекрестную привязку друг к другу. Если один сервер выйдет из строя, а другие будут зависеть от него, то в результате могут возникнуть странные ситуации. Постепенно все клиенты попадут в таймаут и попытаются привязаться к другим серверам, но полученная задержка может быть значительной, а странности останутся, так как серверы снова могут привязаться друг к другу. Вы можете заставить хост выполнить привязку к конкретному серверу, запустив команду ypbind с флагом . Если вы не хотите делать это вручную каждый раз при перезагрузке - вашего сервера ⋼, то можете добавить в файл + вашего сервера NIS, то можете добавить в файл /etc/rc.conf такие строки: nis_client_enable="YES" # run client stuff as well nis_client_flags="-S NIS domain,server" Дополнительную информацию можно найти на странице справки по &man.ypbind.8;. Форматы паролей NIS форматы паролей - Одним из общих вопросов, которые возникают в начале работы с ⋼, - является вопрос совместимости форматов паролей. Если ваш сервер ⋼ + Одним из общих вопросов, которые возникают в начале работы с NIS, + является вопрос совместимости форматов паролей. Если ваш сервер NIS использует пароли, зашифрованные алгоритмом DES, то он будет поддерживать только тех клиентов, что также используют DES. К - примеру, если в вашей сети имеются клиенты ⋼, использующие &solaris;, + примеру, если в вашей сети имеются клиенты NIS, использующие &solaris;, то вам, скорее всего, необходимо использовать пароли с шифрованием по алгоритму DES. Чтобы понять, какой формат используют ваши серверы и клиенты, загляните в файл /etc/login.conf. Если хост настроен на использование паролей, зашифрованных по алгоритму DES, то класс default будет содержать запись вроде следующей: default:\ :passwd_format=des:\ :copyright=/etc/COPYRIGHT:\ [Последующие строки опущены] Другими возможными значениями для passwd_format являются blf и md5 (для паролей, шифруемых по стандартам Blowfish и MD5 соответственно). Если вы внесли изменения в файл /etc/login.conf, то вам также нужно перестроить базу данных параметров входа в систему, что достигается запуском следующей команды пользователем root: &prompt.root; cap_mkdb /etc/login.conf Формат паролей, которые уже находятся в файле /etc/master.passwd, не будет изменён до тех пор, пока пользователь не сменит свой пароль после перестроения базы данных параметров входа в систему. После этого, чтобы удостовериться в том, что пароли зашифрованы в том формате, который выбран вами, нужно проверить, что строка crypt_default в /etc/auth.conf указывает предпочтение выбранного вами формата паролей. Для этого поместите выбранный формат первым в списке. Например, при использовании DES-шифрования паролей строка будет выглядеть так: crypt_default = des blf md5 Выполнив вышеперечисленные шаги на каждом из серверов и клиентов - ⋼, работающих на FreeBSD, вы можете обеспечить их согласованность + NIS, работающих на FreeBSD, вы можете обеспечить их согласованность относительно используемого в вашей сети формата паролей. Если у вас - возникли проблемы с аутентификацией клиента ⋼, начать + возникли проблемы с аутентификацией клиента NIS, начать её решать определённо стоит отсюда. Запомните: если вы хотите - использовать сервер ⋼ в гетерогенной сети, вам, наверное, нужно + использовать сервер NIS в гетерогенной сети, вам, наверное, нужно будет использовать DES на всех системах в силу того, что это минимальный общий стандарт. Greg Sutter Текст написал Автоматическая настройка сети (DHCP) Что такое DHCP? Dynamic Host Configuration Protocol DHCP Internet Software Consortium (ISC) DHCP, или Dynamic Host Configuration Protocol (Протокол Динамической Конфигурации Хостов), описывает порядок, по которому система может подключиться к сети и получить необходимую информацию для работы в ней. Во FreeBSD используется реализация DHCP от ISC (Internet Software Consortium), так что вся информация, описывающая особенности, зависящие от реализации, относится к дистрибутиву ISC. Что описывается в этом разделе В этом разделе описываются компоненты системы ISC DHCP как со стороны клиента, так и со стороны сервера. Программа, работающая на клиентской стороне, dhclient, интегрирована в поставку FreeBSD, а серверная часть доступна в виде порта net/isc-dhcp3-server. Кроме ссылок ниже, много полезной информации находится на страницах справочной системы, описывающих &man.dhclient.8;, &man.dhcp-options.5; и &man.dhclient.conf.5;. Как это работает UDP Когда на клиентской машине выполняется программа dhclient, являющаяся клиентом DHCP, она начинает широковещательную рассылку запросов на получение настроечной информации. По умолчанию эти запросы делаются на 68 порт UDP. Сервер отвечает на UDP 67, выдавая клиенту адрес IP и другую необходимую информацию, такую, как сетевую маску, маршрутизатор и серверы DNS. Вся эта информация даётся в форме аренды DHCP и верна только определенное время (что настраивается администратором сервера DHCP). При таком подходе устаревшие адреса IP тех клиентов, которые больше не подключены к сети, могут автоматически использоваться повторно. Клиенты DHCP могут получить от сервера очень много информации. Подробный список находится в странице Справочника &man.dhcp-options.5;. Интеграция с FreeBSD Клиент DHCP от ISC, dhclient, полностью интегрирован во FreeBSD. Поддержка клиента DHCP есть как в программе установки, так и в самой системе, что исключает необходимость в знании подробностей конфигурации сети в любой сети, имеющей сервер DHCP. Утилита dhclient включена во все версии FreeBSD, начиная с 3.2. sysinstall DHCP поддерживается утилитой sysinstall. При настройке сетевого интерфейса из программы sysinstall первый вопрос, который вам задается: Do you want to try DHCP configuration of this interface? (Хотите ли вы попробовать настроить этот интерфейс через DHCP?). Утвердительный ответ приведёт к запуску программы dhclient, и при удачном его выполнении к автоматическому заданию информации для настройки интерфейса. Есть две вещи, которые вы должны сделать для того, чтобы ваша система использовала DHCP при загрузке: DHCP требования Убедитесь, что устройство bpf включено в компиляцию вашего ядра. Чтобы это сделать, добавьте строчку device bpf (pseudo-device bpf в &os; 4.X) в конфигурационный файл ядра и перестройте ядро. Более подробная информация о построении ядер имеется в разделе . Устройство bpf уже является частью ядра GENERIC, которое поставляется вместе с FreeBSD, так что, если вы не используете другое ядро, то вам и не нужно его делать для того, чтобы работал DHCP. Те, кто беспокоится о безопасности, должны иметь в виду, что устройство bpf является также тем самым устройством, которое позволяет работать программам-снифферам пакетов (хотя для этого они должны быть запущены пользователем root). Наличие устройства bpf необходимо для использования DHCP, но если вы чересчур беспокоитесь о безопасности, то вам нельзя добавлять устройство bpf в ядро только для того, чтобы в неопределённом будущем использовать DHCP. Отредактируйте ваш файл /etc/rc.conf, включив в него следующее: ifconfig_fxp0="DHCP" Обязательно замените fxp0 на имя интерфейса, который вы хотите настраивать динамически, как это описано в . Если dhclient в вашей системе находится в другом месте или если вы хотите задать дополнительные параметры для dhclient, то также укажите следующее (изменив так, как вам нужно): dhcp_program="/sbin/dhclient" dhcp_flags="" DHCP сервер Сервер DHCP, dhcpd, включён как часть порта net/isc-dhcp3-server в коллекцию портов. Этот порт содержит DHCP-сервер от ISC и документацию. Файлы DHCP конфигурационные файлы /etc/dhclient.conf dhclient требует наличия конфигурационного файла, /etc/dhclient.conf. Как правило, файл содержит только комментарии, а настройки по умолчанию достаточно хороши. Этот настроечный файл описан на страницах справочной системы по &man.dhclient.conf.5;. /sbin/dhclient dhclient скомпонован статически и находится в каталоге /sbin. На страница Справочника &man.dhclient.8; дается более подробная информация о dhclient. /sbin/dhclient-script dhclient-script является специфичным для FreeBSD скриптом настройки клиента DHCP. Он описан в &man.dhclient-script.8;, но для нормального функционирования никаких модификаций со стороны пользователя не требуется. /var/db/dhclient.leases В этом файле клиент DHCP хранит базу данных выданных к использованию адресов в виде журнала. На странице &man.dhclient.leases.5; дается гораздо более подробное описание. Дополнительная литература Полное описание протокола DHCP дается в RFC 2131. Кроме того, дополнительная информация есть на сервере dhcp.org. Установка и настройка сервера DHCP Чему посвящён этот раздел Этот раздел даёт информацию о том, как настроить систему FreeBSD для работы в качестве сервера DHCP на основе реализации пакета DHCP от ISC (Internet Software Consortium). Серверная часть пакета не поставляется как часть FreeBSD, так что вам потребуется установить порт net/isc-dhcp3-server для получения этого сервиса. Обратитесь к для получения более полной информации об использовании коллекции портов. Установка сервера DHCP DHCP установка Для того, чтобы настроить систему FreeBSD на работу в качестве сервера DHCP, вам необходимо обеспечить присутствие устройства &man.bpf.4;, вкомпилированного в ядро. Для этого добавьте строку device bpf (pseudo-device bpf в &os; 4.X) в файл конфигурации вашего ядра. Для получения более полной информации о построении ядер, обратитесь к . Устройство bpf уже входит в состав ядра GENERIC, поставляемого с FreeBSD, так что вам не нужно создавать собственное ядро для обеспечения работы DHCP. Те, кто обращает особое внимание на вопросы безопасности, должны заметить, что bpf является тем устройством, что позволяет нормально работать снифферам пакетов (хотя таким программам требуются привилегированный доступ). Наличие устройства bpf обязательно для использования DHCP, но если вы очень обеспокоены безопасностью, наверное, вам не нужно включать bpf в ваше ядро только потому, что в отдалённом будущем вы собираетесь использовать DHCP. Следующим действием, которое вам нужно выполнить, является редактирование примерного dhcpd.conf, который устанавливается в составе порта net/isc-dhcp3-server. По умолчанию это файл /usr/local/etc/dhcpd.conf.sample, и вы должны скопировать его в файл /usr/local/etc/dhcpd.conf перед тем, как его редактировать. Настройка сервера DHCP DHCP dhcpd.conf dhcpd.conf состоит из деклараций относительно подсетей и хостов, и проще всего описывается на примере: option domain-name "example.com"; option domain-name-servers 192.168.4.100; option subnet-mask 255.255.255.0; default-lease-time 3600; max-lease-time 86400; ddns-update-style none; subnet 192.168.4.0 netmask 255.255.255.0 { range 192.168.4.129 192.168.4.254; option routers 192.168.4.1; } host mailhost { hardware ethernet 02:03:04:05:06:07; fixed-address mailhost.example.com; } Этот параметр задаёт домен, который будет выдаваться клиентам в качестве домена, используемого по умолчанию при поиске. Обратитесь к страницам справочной системы по &man.resolv.conf.5; для получения дополнительной информации о том, что это значит. Этот параметр задаёт список разделённых запятыми серверов DNS, которые должен использовать клиент. Маска сети, которая будет выдаваться клиентам. Клиент может запросить определённое время, которое будет действовать выданная информация. В противном случае сервер выдаст настройки с этим сроком (в секундах). Это максимальное время, на которое сервер будет выдавать конфигурацию. Если клиент запросит больший срок, он будет подтверждён, но будет действовать только max-lease-time секунд. Этот параметр задаёт, будет ли сервер DHCP пытаться обновить DNS при выдаче или освобождении конфигурационной информации. В реализации ISC этот параметр является обязательным. Это определение того, какие IP-адреса должны использоваться в качестве резерва для выдачи клиентам. IP-адреса между и включая границы, будут выдаваться клиентам. Объявление маршрутизатора, используемого по умолчанию, который будет выдаваться клиентам. Аппаратный MAC-адрес хоста (чтобы сервер DHCP мог распознать хост, когда тот делает запрос). Определение того, что хосту всегда будет выдаваться один и тот же IP-адрес. Заметьте, что указание здесь имени хоста корректно, так как сервер DHCP будет разрешать имя хоста самостоятельно до того, как выдать конфигурационную информацию. Как только вы закончите составлять свой dhcpd.conf, вы можете продолжить работу запуском сервера при помощи следующей команды: &prompt.root; /usr/local/etc/rc.d/isc-dhcpd.sh start Если в будущем вам понадобится сделать изменения в настройке вашего сервера, то важно заметить, что посылка сигнала SIGHUP приложению dhcpd не приведёт к перезагрузке настроек, как это бывает для большинства даемонов. Вам нужно послать сигнал SIGTERM для остановки процесса, а затем перезапустить его при помощи вышеприведённой команды. Файлы DHCP конфигурационный файлы /usr/local/sbin/dhcpd dhcpd скомпонован статически и расположен в каталоге /usr/local/sbin. Страницы справочной системы &man.dhcpd.8;, устанавливаемые портом, содержат более полную информацию о dhcpd. /usr/local/etc/dhcpd.conf dhcpd требует наличия конфигурационного файла, /usr/local/etc/dhcpd.conf, до того, как он будет запущен и начнёт предоставлять сервис клиентам. Необходимо, чтобы этот файл содержал все данные, которая будет выдаваться обслуживаемым клиентам, а также информацию о работе сервера. Этот конфигурационный файл описывается на страницах справочной системы &man.dhcpd.conf.5;, которые устанавливаются портом. /var/db/dhcpd.leases Сервер DHCP ведёт базу данных выданной информации в этом файле, который записывается в виде протокола. Страницы справочной системы &man.dhcpd.leases.5;, устанавливаемые портом, дают гораздо более подробное описание. /usr/local/sbin/dhcrelay dhcrelay используется в сложных ситуациях, когда сервер DHCP пересылает запросы от клиента другому серверу DHCP в отдельной сети. Если вам нужна такая функциональность, то установите порт net/isc-dhcp3-server. На страницах справочной системы &man.dhcrelay.8;, которые устанавливаются портом, даётся более полное описание. Chern Lee Текст предоставил Domain Name System (DNS) Обзор BIND По умолчанию во FreeBSD используется одна из версий программы BIND (Berkeley Internet Name Domain), являющейся самой распространенной реализацией протокола DNS. DNS - это протокол, при помощи которого имена преобразуются в IP-адреса и наоборот. Например, в ответ на запрос о www.FreeBSD.org будет получен IP-адрес веб-сервера Проекта FreeBSD, а запрос о ftp.FreeBSD.org возвратит IP-адрес соответствующей машины с FTP-сервером. Точно также происходит и обратный процесс. Запрос, содержащий IP-адрес машины, возвратит имя хоста. Для выполнения запросов к DNS вовсе не обязательно иметь в системе работающий сервер имён. DNS В сети Интернет DNS управляется через достаточно сложную систему авторизированных корневых серверов имён, и других менее крупных серверов имён, которые содержат и кэшируют информацию о конкретных доменах. В этом документа рассматривается BIND 8.x, так как это стабильная версия, используемая во FreeBSD. BIND 9.x может быть установлен как порт net/bind9. Протокол DNS стандартизован в RFC1034 и RFC1035. На данный момент пакет BIND поддерживается Internet Software Consortium (www.isc.org). Используемая терминология Для понимания этого документа нужно понимать значения некоторых терминов, связанных с работой DNS. Термин Определение Прямой запрос к DNS (forward DNS) Преобразование имён хостов в адреса IP Ориджин (origin) Обозначает домен, покрываемый конкретным файлом зоны named, bind, сервер имён Общеупотребительные названия для обозначения пакета BIND, обеспечивающего работу сервера имён во FreeBSD. ресолвер Ресолвер Системный процесс, посредством которого машина обращается к серверу имён для получения информации о зоне обратный DNS Обратный DNS (reverse DNS) Операция, обратная прямому запросу к DNS; преобразование адресов IP в имена хостов корневая зона Корневая зона Начало иерархии зон Интернет. Все зоны находятся под корневой зоной, подобно тому, как все файлы располагаются ниже корневого каталога. Зона Отдельный домен, поддомен или часть DNS, управляемая одним сервером. зоны примеры Примеры зон: . является корневой зоной org. является зоной ниже корневой зоны example.org является зоной под зоной org. foo.example.org. является поддоменом, зоной под зоной example.org. 1.2.3.in-addr.arpa является зоной, в которую включены все IP-адреса, формирующие пространство адресов 3.2.1.*. Как можно видеть, уточняющая часть имени хоста появляется слева. Например, example.org. более точен, чем org., также, как org. более точен, чем корневая зона. Расположение каждой части имени хоста сильно похоже на файловую систему: каталог /dev расположен в корневой файловой системе, и так далее. Причины, по которым вам может понадобиться сервер имён Сервера имён обычно используются в двух видах: авторитетный сервер имён и кэширующий сервер имён. Авторитетный сервер имён нужен, когда: нужно предоставлять информацию о DNS остальному миру, отвечая на запросы авторизированно. зарегистрирован домен, такой, как example.org и в этом домене требуется поставить имена машин в соответствие с их адресами IP. блоку адресов IP требуется обратные записи DNS (IP в имена хостов). резервный (slave) сервер имён должен отвечать на запросы о домене, когда основной не работает или не доступен. Кэширующий сервер имён нужен, когда: локальный сервер DNS может кэшировать информацию и отвечать на запросы быстрее, чем это происходит при прямом опросе внешнего сервера имён. требуется уменьшение общего сетевого трафика (DNS составляет около 5% всего трафика Интернет, или чуть больше). Например, когда кто-нибудь запрашивает информацию о www.FreeBSD.org, то обычно ресолвер обращается к серверу имён вашего провайдера, посылает запрос и ожидает ответа. С локальным кэширующим сервером DNS запрос во внешний мир будет делаться всего один раз. Каждый дополнительный запрос не будет посылаться за пределы локальной сети, потому что информация уже имеется в кэше. Как это работает Во FreeBSD даемон BIND, по очевидным причинам, называется named. Файл Описание named даемон BIND ndc программа управления даемоном сервера имён /etc/namedb каталог, в котором располагается вся информация о зонах BIND /etc/namedb/named.conf конфигурационный файл для даемона Файлы зон обычно располагаются в каталоге /etc/namedb и содержат информацию о зоне DNS, за которую отвечает сервер имён. Запуск BIND BIND запуск Так как сервер имён BIND устанавливается по умолчанию, его настройка сравнительно проста. Чтобы даемон named запускался во время загрузки, поместите в /etc/rc.conf следующую строку: named_enable="YES" Для запуска даемона вручную (после его настройки): &prompt.root; ndc start Конфигурационные файлы BIND конфигурационные файлы Использование <command>make-localhost</command> Обязательно выполните следующие команды: &prompt.root; cd /etc/namedb &prompt.root; sh make-localhost для того, чтобы правильно создать файл /etc/namedb/localhost.rev локальной обратной зоны для loopback-интерфейса. <filename>/etc/namedb/named.conf</filename> // $FreeBSD$ // // Refer to the named(8) manual page for details. If you are ever going // to setup a primary server, make sure you've understood the hairy // details of how DNS is working. Even with simple mistakes, you can // break connectivity for affected parties, or cause huge amount of // useless Internet traffic. options { directory "/etc/namedb"; // In addition to the "forwarders" clause, you can force your name // server to never initiate queries of its own, but always ask its // forwarders only, by enabling the following line: // // forward only; // If you've got a DNS server around at your upstream provider, enter // its IP address here, and enable the line below. This will make you // benefit from its cache, thus reduce overall DNS traffic in the Internet. /* forwarders { 127.0.0.1; }; */ Как и говорится в комментариях, если вы хотите получить эффект от использования кэша провайдера, то можно включить раздел forwarders. В обычном случае сервер имён будет рекурсивно опрашивать определённые серверы имён Интернет до тех пор, пока не получит ответ на свой запрос. При включении этого раздела он будет автоматически опрашивать сервер имён вашего провайдера (или тот, который здесь указан), используя преимущества его кэша. наличия нужной информации. Если соответствующий сервер имён провайдера работает быстро и имеет хороший канал связи, то в результате такой настройки вы можете получить хороший результат. 127.0.0.1 здесь работать не будет. Измените его на IP-адрес сервера имён провайдера. /* * If there is a firewall between you and name servers you want * to talk to, you might need to uncomment the query-source * directive below. Previous versions of BIND always asked * questions using port 53, but BIND 8.1 uses an unprivileged * port by default. */ // query-source address * port 53; /* * If running in a sandbox, you may have to specify a different * location for the dumpfile. */ // dump-file "s/named_dump.db"; }; // Note: the following will be supported in a future release. /* host { any; } { topology { 127.0.0.0/8; }; }; */ // Setting up secondaries is way easier and the rough picture for this // is explained below. // // If you enable a local name server, don't forget to enter 127.0.0.1 // into your /etc/resolv.conf so this server will be queried first. // Also, make sure to enable it in /etc/rc.conf. zone "." { type hint; file "named.root"; }; zone "0.0.127.IN-ADDR.ARPA" { type master; file "localhost.rev"; }; zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.INT" { type master; file "localhost.rev"; }; // NB: Do not use the IP addresses below, they are faked, and only // serve demonstration/documentation purposes! // // Example secondary config entries. It can be convenient to become // a secondary at least for the zone where your own domain is in. Ask // your network administrator for the IP address of the responsible // primary. // // Never forget to include the reverse lookup (IN-ADDR.ARPA) zone! // (This is the first bytes of the respective IP address, in reverse // order, with ".IN-ADDR.ARPA" appended.) // // Before starting to setup a primary zone, better make sure you fully // understand how DNS and BIND works, however. There are sometimes // unobvious pitfalls. Setting up a secondary is comparably simpler. // // NB: Don't blindly enable the examples below. :-) Use actual names // and addresses instead. // // NOTE!!! FreeBSD runs BIND in a sandbox (see named_flags in rc.conf). // The directory containing the secondary zones must be write accessible // to BIND. The following sequence is suggested: // // mkdir /etc/namedb/s // chown bind:bind /etc/namedb/s // chmod 750 /etc/namedb/s Дополнительная информация о запуске BIND в ограниченном окружении находится в соответствующем разделе. /* zone "example.com" { type slave; file "s/example.com.bak"; masters { 192.168.1.1; }; }; zone "0.168.192.in-addr.arpa" { type slave; file "s/0.168.192.in-addr.arpa.bak"; masters { 192.168.1.1; }; }; */ Это примеры описаний прямой и обратной зон из файла named.conf для вторичных серверов. Для каждого новой зоны, которую будет обслуживать сервер имён, в файл named.conf должна быть добавлена запись. К примеру, самая простая запись для домена example.org может выглядеть вот так: zone "example.org" { type master; file "example.org"; }; Зона является первичной, что отражается в поле , и информация о зоне хранится в файле /etc/namedb/example.org, что указывается в поле . zone "example.org" { type slave; file "example.org"; }; В случае вторичной зоны информация о ней передается с основного сервера имён для заданной зоны и сохраняется в указанном файле. Если и когда основной сервер имён выходит и строя или недосягаем, то скачанная информация о зоне будет находиться на вторичных серверах и они смогут обслуживать эту зону. Файлы зон Пример файла зоны example.org для основного сервера (располагающийся в файле /etc/namedb/example.org) имеет такой вид: $TTL 3600 example.org. IN SOA ns1.example.org. admin.example.org. ( 5 ; Serial 10800 ; Refresh 3600 ; Retry 604800 ; Expire 86400 ) ; Minimum TTL ; DNS Servers @ IN NS ns1.example.org. @ IN NS ns2.example.org. ; Machine Names localhost IN A 127.0.0.1 ns1 IN A 3.2.1.2 ns2 IN A 3.2.1.3 mail IN A 3.2.1.10 @ IN A 3.2.1.30 ; Aliases www IN CNAME @ ; MX Record @ IN MX 10 mail.example.org. Заметьте, что все имена хостов, оканчивающиеся на ., задают полное имя, тогда как все имена без символа . на конце считаются заданными относительно origin. Например, www преобразуется в www.origin. В нашем воображаемом файле ориджином является example.org., так что www преобразуется в www.example.org. Файл зоны имеет следующий формат: recordname IN recordtype value DNS записи Наиболее часто используемые записи DNS: SOA начало зоны ответственности NS авторитативный сервер имен A адрес хоста CNAME каноническое имя для алиаса MX обмен почтой PTR указатель на доменное имя (используется в обратных зонах DNS) example.org. IN SOA ns1.example.org. admin.example.org. ( 5 ; Serial 10800 ; Refresh after 3 hours 3600 ; Retry after 1 hour 604800 ; Expire after 1 week 86400 ) ; Minimum TTL of 1 day example.org. имя домена, а также ориджин для этого файла зоны. ns1.example.org. основной/авторитативный сервер имён для этой зоны. admin.example.org. человек, отвечающий за эту зону, адрес электронной почты с подменённым символом @. (admin@example.org становится admin.example.org) 5 последовательный номер файла. При каждом изменении файла зоны это число должно увеличиваться. В настоящее время для нумерации многие администраторы предпочитают формат ггггммддвв. 2001041002 будет означать, что файл последний раз изменялся 10.04.2001, а последнее число 02 означает, что это была вторая модификация файла за день. Последовательный номер важен, так как он служит для того, чтобы вторичные серверы узнавали об обновлении зоны. @ IN NS ns1.example.org. Это NS-запись. Такие записи должны иметься для всех серверов имён, которые будут отвечать за зону. Символ @, используемый здесь, преобразуется в example.org. Этот символ @ соответствует ориджину. localhost IN A 127.0.0.1 ns1 IN A 3.2.1.2 ns2 IN A 3.2.1.3 mail IN A 3.2.1.10 @ IN A 3.2.1.30 Записи типа A служат для обозначения имён машин. Как это видно выше, имя ns1.example.org будет преобразовано в 3.2.1.2. И снова здесь используется символ ориджина @, обозначая, что example.org будет преобразовано в 3.2.1.30. www IN CNAME @ Записи с каноническими именами обычно используются для присвоения машинам псевдонимов. В этом примере www является псевдонимом для машины, соответствующей ориджину, то есть example.org (3.2.1.30). Записи CNAME могут использоваться для присвоения псевдонимов именам хостов или для использования одного имени несколькими машинами по очереди. MX record @ IN MX 10 mail.example.org. MX-запись указывает, какие почтовые серверы отвечают за обработку входящей электронной почты для зоны. mail.example.org является именем почтового сервера, а 10 обозначает приоритет этого почтового сервера. Можно иметь несколько почтовых серверов с приоритетами 3, 2 и 1. Почтовый сервер, пытающийся доставить почту для example.org, сначала попробует связаться с машиной, имеющий MX-запись с самым большим приоритетом, затем с приоритетом поменьше и так далее, до тех пор, пока почта не будет отправлена. Для файлов зон in-addr.arpa (обратные записи DNS) используется тот же самый формат, отличающийся только использованием записей PTR вместо A или CNAME. $TTL 3600 1.2.3.in-addr.arpa. IN SOA ns1.example.org. admin.example.org. ( 5 ; Serial 10800 ; Refresh 3600 ; Retry 604800 ; Expire 3600 ) ; Minimum @ IN NS ns1.example.org. @ IN NS ns2.example.org. 2 IN PTR ns1.example.org. 3 IN PTR ns2.example.org. 10 IN PTR mail.example.org. 30 IN PTR example.org. В этом файле дается полное соответствие имён хостов IP-адресам в нашем описанном ранее вымышленном домене. Кэширующий сервер имён BIND кэширующий сервер имён Кэширующий сервер имён - это сервер имён, не отвечающий ни за какую зону. Он просто выполняет запросы от своего имени и сохраняет результаты для последующего использования. Для настройки такого сервера достаточно исключить все описания зон из стандартной конфигурации сервера имён. Запуск <application>named</application> в песочнице BIND работа в песочнице chroot Для дополнительной безопасности вам может потребоваться запускать &man.named.8; с правами непривилегированного пользователя и настроить его на выполнение &man.chroot.8; в каталог-песочницу. Это позволит сделать недоступным для даемона named все, что расположено вне песочницы. Если named будет взломан, то это поможет уменьшить возможный ущерб. По умолчанию во FreeBSD имеются пользователь и группа с именами bind, которые предназначены именно для такого использования. Многие рекомендуют вместо настройки named на использование chroot, запускать named внутри &man.jail.8;. В этом разделе такой подход не рассматривается. Так как named не сможет обратиться ни к чему вне песочницы (например, совместно используемым библиотекам, сокетам протоколов и так далее), то нужно выполнить несколько шагов, чтобы named смог работать нормально. В следующем списке предполагается, что каталогом песочницы является /etc/namedb и что вы не делали никаких изменений в содержимом этого каталога. Выполните следующие шаги, работая как пользователь root: Создайте все каталоги, которые ожидает увидеть named: &prompt.root; cd /etc/namedb &prompt.root; mkdir -p bin dev etc var/tmp var/run master slave &prompt.root; chown bind:bind slave var/* Программе named нужен доступ с правом записи в эти каталоги, так что это все, что мы ей предоставим. Измените и создайте базовые файлы зоны и настроек: &prompt.root; cp /etc/localtime etc &prompt.root; mv named.conf etc && ln -sf etc/named.conf &prompt.root; mv named.root master &prompt.root; sh make-localhost && mv localhost.rev localhost-v6.rev master &prompt.root; cat > master/named.localhost $ORIGIN localhost. $TTL 6h @ IN SOA localhost. postmaster.localhost. ( 1 ; serial 3600 ; refresh 1800 ; retry 604800 ; expiration 3600 ) ; minimum IN NS localhost. IN A 127.0.0.1 ^D Это позволит программе named протоколировать правильное время в &man.syslogd.8;. + syslog + лог файлы + DNS + Если вы используете &os; версии ранее 4.9-RELEASE, то постройте статически скомпонованную копию named-xfer и скопируйте её в песочницу: &prompt.root; cd /usr/src/lib/libisc &prompt.root; make cleandir && make cleandir && make depend && make all &prompt.root; cd /usr/src/lib/libbind &prompt.root; make cleandir && make cleandir && make depend && make all &prompt.root; cd /usr/src/libexec/named-xfer &prompt.root; make cleandir && make cleandir && make depend && make NOSHARED=yes all &prompt.root; cp named-xfer /etc/namedb/bin && chmod 555 /etc/namedb/bin/named-xfer После установки статически скомпонованного named-xfer, во избежание появления старых копий библиотек и программ в дереве исходного кода, требуется некоторая зачистка: &prompt.root; cd /usr/src/lib/libisc &prompt.root; make cleandir &prompt.root; cd /usr/src/lib/libbind &prompt.root; make cleandir &prompt.root; cd /usr/src/libexec/named-xfer &prompt.root; make cleandir Иногда при выполнении этого шага возникают ошибки. Если это случилось, выполните такую команду: &prompt.root; cd /usr/src && make cleandir && make cleandir и удалите ваше дерево /usr/obj: &prompt.root; rm -fr /usr/obj && mkdir /usr/obj При этом из вашего дерева исходных текстов будет удалён весь мусор, и повторение вышеописанных шагов должно выполниться успешно. Если вы используете &os; 4.9-RELEASE или более позднюю версию, то копия named-xfer в каталоге /usr/libexec по умолчанию является статически скомпонованной, и вы можете просто скопировать её в песочницу при помощи команды &man.cp.1;. Создайте файл устройства dev/null, который named может видеть и писать в него: &prompt.root; cd /etc/namedb/dev && mknod null c 2 2 &prompt.root; chmod 666 null Создайте символическую ссылку /var/run/ndc на /etc/namedb/var/run/ndc: &prompt.root; ln -sf /etc/namedb/var/run/ndc /var/run/ndc Это просто для того, чтобы не задавать опцию при каждом запуске &man.ndc.8;. Так как содержимое каталога /var/run удаляется при загрузке, и если это показалось вам полезным, то вы можете добавить эту команду в crontab для root с использованием параметра . Обратитесь к справочной странице по &man.crontab.5; для получения более полной информации относительно этого. + syslog + лог файлы + named + Настройте &man.syslogd.8; на создание дополнительного протоколирующего сокета log, в который может писать named. Для этого добавьте -l /etc/namedb/dev/log к переменной syslogd_flags из файла /etc/rc.conf. + chroot + Задайте запуск named и выполнение chroot в песочницу, добавив следующее в /etc/rc.conf: named_enable="YES" named_flags="-u bind -g bind -t /etc/namedb /etc/named.conf" Заметьте, что конфигурационный файл /etc/named.conf именуется по полному имени относительно песочницы, то есть в вышеприведённой строке указывается файл, который на самом деле является файлом /etc/namedb/etc/named.conf. Следующим шагом является редактирование файла /etc/namedb/etc/named.conf так, чтобы named знал, какую зону загружать и где найти их на диске. Далее следует прокомментированный пример (все, что специально не прокомментировано, ничем не отличается от настройки сервера DNS, работающего не в песочнице): options { directory "/"; named-xfer "/bin/named-xfer"; version ""; // Не выдавайте версию BIND query-source address * port 53; }; // управляющий сокет ndc controls { unix "/var/run/ndc" perm 0600 owner 0 group 0; }; // Далее следуют зоны: zone "localhost" IN { type master; file "master/named.localhost"; allow-transfer { localhost; }; notify no; }; zone "0.0.127.in-addr.arpa" IN { type master; file "master/localhost.rev"; allow-transfer { localhost; }; notify no; }; zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.int" { type master; file "master/localhost-v6.rev"; allow-transfer { localhost; }; notify no; }; zone "." IN { type hint; file "master/named.root"; }; zone "private.example.net" in { type master; file "master/private.example.net.db"; allow-transfer { 192.168.10.0/24; }; }; zone "10.168.192.in-addr.arpa" in { type slave; masters { 192.168.10.2; }; file "slave/192.168.10.db"; }; В директиве directory указан каталог /, так как все файлы, которые нужны для named, находятся внутри этого каталога (вспомните, что это равнозначно обычному пользовательскому /etc/namedb). Задает полный путь к двоичному выполнимому файлу named-xfer (внутри границ видимости named). Это необходимо, так как named компилируется с тем, чтобы брать named-xfer по умолчанию из /usr/libexec. Задает имя файла (относительно директивы directory выше), в котором named может найти файл зоны для этой зоны. Задает имя файла (относительно директивы directory выше), в котором named должен записывать копию файла зоны для этой зоны после успешной передачи ее с основного сервера. Вот почему нам нужно изменить владельца каталога slave на bind на этапах настроек выше. После выполнения шагов выше либо перезагрузите ваш сервер, либо перезапустите &man.syslogd.8; и запустите &man.named.8;, не забыв использовать новые опции, заданные в syslogd_flags и named_flags. Теперь named должен заработать в песочнице! Безопасность Хотя BIND является самой распространенной реализацией DNS, всегда стоит вопрос об обеспечении безопасности. Время от времени обнаруживаются возможные и реальные бреши в безопасности. Весьма полезно прочесть сообщения безопасности CERT и подписаться на &a.security-notifications; для того, чтобы быть в курсе текущих проблем с обеспечением безопасности Internet и FreeBSD. Если возникают проблемы, то наличие последних исходных текстов и свежеоткомпилированного named не помешает. Дополнительная литература Справочная информация по BIND/named: &man.ndc.8;, &man.named.8; и &man.named.conf.5; Официальная страница ISC BIND FAQ по BIND Книга издательства O'Reilly DNS and BIND 4th Edition RFC1034 - Domain Names - Concepts and Facilities RFC1035 - Domain Names - Implementation and Specification + + + + + Murray + Stokely + Предоставил + + + + Apache HTTP сервер + + веб сервер + настройка + Apache + + + Обзор + + &os; используется в качестве платформы для многих из самых + нагруженных серверов в мире. Большинство серверов в интернет + используют Apache HTTP сервер. + Пакеты Apache должны быть включены + в поставку FreeBSD. Если вы не установили их во вместе с + системой, воспользуйтесь портами www/apache13 или www/apache2. + + Как только Apache был успешно + установлен, его необходимо настроить. + + В этом разделе рассказывается о версии 1.3.X + Apache HTTP сервера, поскольку + эта версия наиболее широко используется в &os;. Apache 2.X + содержит много новых технологий, но здесь они не обсуждаются. + За дополнительной информацией о Apache 2.X, обращайтесь к . + + + + + Настройка + + Apache + файл настройки + + В &os; основной файл настройки Apache HTTP сервера + устанавливается в + /usr/local/etc/apache/httpd.conf. + Это обычный текстовый Unix файл настройки с строками + комментариев, начинающимися с символа #. + Исчерпывающее описание всех возможных параметров настройки + находится за пределом рассмотрения этой книги, поэтому + здесь будут описаны только наиболее часто модифицируемые + директивы. + + + + ServerRoot "/usr/local" + + + Указывает верхний каталог установки Apache по + умолчанию. Бинарные файлы находятся в + bin и + sbin, подкаталоги + расположены относительно корневого каталога сервера, файлы + настройки находятся в + etc/apache. + + + + + ServerAdmin you@your.address + + + Адрес, на который должны будут отправляться + сообщения о проблемах с сервером. Этот адрес + выводится на некоторые генерируемые сервером + страницы, например с сообщениями об ошибках. + + + + + ServerName www.example.com + + + ServerName позволяет вам устанавливать имя хоста, + которое отправляется обратно клиентам, если оно + отличается от того, с которым настроен хост + (например, использование "www" вместо реального имени + хоста). + + + + + DocumentRoot "/usr/local/www/data" + + + DocumentRoot: Каталог, внутри которого будут храниться + документы. По умолчанию, все запросы обрабатываются внутри + этого каталога, но символические ссылки и синонимы могут + использоваться для указания на другие каталоги. + + + + + Хорошей идеей будет сделать резервные копии настроек + Apache перед внесением изменений. Как только вы будете + удовлетворены первоначальной настройкой, можно запускать + Apache. + + + + + + + + + + Запуск <application>Apache</application> + + Apache + запуск или остановка + + Apache не запускается из + inetd, как это делают многие + другие сетевые серверы. Он настроен для автономного запуска, + чтобы обеспечивать большую производительность при обработке + HTTP запросов от браузеров клиентов. Для упрощения запуска, + остановки и перезапуска сервера существует shell скрипт. + Для запуска Apache в первый раз + просто выполните: + + &prompt.root; /usr/local/sbin/apachectl start + + Вы можете остановить сервер в любой момент, выполнив: + + &prompt.root; /usr/local/sbin/apachectl stop + + После внесения любых изменений в файл настроек, вам потребуется + перезапустить сервер: + + &prompt.root; /usr/local/sbin/apachectl restart + + Для запуска Apache при старте системы, + добавьте в /etc/rc.conf следующую строку: + + apache_enable="YES" + + Если вы хотите передать программе Apache + httpd дополнительные параметры командной + при загрузке системы, они могут быть помещены в дополнительную + строку rc.conf: + + apache_flags="" + + Теперь, когда веб сервер запущен, вы можете просмотреть свой веб + сайт, задав в строке браузера адрес + http://localhost/. По умолчанию отображается + веб страница + /usr/local/www/data/index.html. + + + + + Модули Apache + + Apache + модули + + Существуют множество различных модулей Apache, + которые добавляют функциональность к основному + серверу. Коллекция портов FreeBSD предоставляет + простой способ установки Apache + с некоторыми наиболее популярными дополнительными + модулями. + + + mod_ssl + + веб сервер + защита + SSL + криптография + + Модуль mod_ssl использует библиотеку OpenSSL для + сильной криптографии через протоколы Secure Sockets Layer + (SSL v2/v3) и Transport Layer Security (TLS v1). + Этот модуль содержит все необходимое для запроса + подписанного сертификата из центра сертификации + для защищенного веб сервера на &os;. + + Если вы еще не установили + Apache, версия Apache с + mod_ssl может быть установлена через порт www/apache13-modssl. + + + + + + + + mod_perl + + Perl + + Проект интеграции Apache/Perl объединяет мощь + языка программирования Perl и HTTP сервера Apache. + С модулем mod_perl возможно написание модулей + Apache полностью на Perl. Кроме того, постоянно + запущенный встроенный в сервер интерпретатор + позволяет не тратить ресурсы на запуск внешнего + интерпретатора и время на запуск Perl. + + Если вы еще не установили Apache, + его версия с модулем mod_perl может быть установлена через + порт www/apache13-modperl. + + + + PHP + + PHP + + PHP, сокращение от PHP: Hypertext + Preprocessor это широко используемый Open Source + скриптовый язык общего назначения, который в основном + предназначен для веб разработки и может быть встроен в + HTML. Его синтаксис был взят от C, Java, и Perl и язык + легок в изучении. Основное преимущество языка в том, что + он позволяет веб разработчикам создавать веб страницы быстро, + но есть и множество других возможностей. + + PHP может быть установлен из порта lang/php5. + + + + + + + + + Murray + Stokely + Предоставил + + + + Файл сервер и печать для µsoft.windows; клиентов + (Samba) + + Samba сервер + Microsoft Windows + + файл сервер + Windows клиенты + + + принт сервер + Windows клиенты + + + + Обзор + + Samba это популярный пакет + программ с открытыми исходными текстами, которая предоставляет + файловые и принт-сервисы µsoft.windows; клиентам. + Эти клиенты могут подключаться и использовать файловое + пространство FreeBSD, как если бы это был локальный диск, + или принтеры FreeBSD, как если бы это были локальные + принтеры. + + Пакет Samba должен быть включен + в поставку FreeBSD. Если вы не установили + Samba при первой установке системы, + ее можно установить из порта или пакета net/samba3. + + + + + + + Настройка + + Файл настройки Samba по умолчанию + устанавливается в + /usr/local/etc/smb.conf.default. Этот файл + необходимо скопировать в + /usr/local/etc/smb.conf и отредактировать + перед использованием Samba. + + В файле smb.conf находится информация, + необходимая для работы Samba, + например определение принтеров и общих каталогов, + которые будут использоваться совместно с Windows клиентами. + В пакет Samba входит программа с + веб интерфейсом, называемая swat, + которая дает простой способ редактирования файла + smb.conf. + + + Использование Samba Web Administration Tool (SWAT) + + Программа веб администрирования Samba (Samba Web + Administration Tool, SWAT) запускается как даемон из + inetd. Следовательно, в + /etc/inetd.conf необходимо снять комментарий + перед тем, как использовать swat для + настройки Samba: + + swat stream tcp nowait/400 root /usr/local/sbin/swat + + Как описано в , + после изменения настроек inetd + необходимо отправить HangUP сигнал. + + Как только swat был включен + inetd.conf, вы можете использовать + браузер для подключения к http://localhost:901. + Сначала необходимо зарегистрироваться с системной + учетной записью root. + + + + После успешного входа на основную страницу настройки + Samba, вы можете просмотреть + документацию или начать настройку, нажав на кнопку + 'Globals'. Раздел Globals соответствует переменным, + установленным в разделе [global] файла + /usr/local/etc/smb.conf. + + + + Глобальные настройки + + Независимо от того, используете ли вы + swat, или редактируете + /usr/local/etc/smb.conf непосредственно, + первые директивы, которые вы скорее всего встретите при + настройке Samba, будут + следующими: + + + + workgroup + + + Имя домена или рабочей группы NT для компьютеров, + которые будут получать доступ к этому серверу. + + + + + netbios name + NetBIOS + + + Устанавливает имя NetBIOS, под которым будет + работать Samba сервер. По умолчанию оно устанавливается + равным первому компоненту DNS имени хоста. + + + + + server string + + + Устанавливает строку, которая будет показана командой + net view и некоторыми другими сетевыми + инструментами, которые отображают строку описания + сервера. + + + + + + + Настройки безопасности + + Две из наиболее важных настроек в + /usr/local/etc/smb.conf отвечают за + выбор модели безопасности и за формат паролей для + клиентов. Эти параметры контролируются следующими + директивами: + + + + security + + + Два наиболее часто используемых параметра это + и . Если имена пользователей для клиентов + совпадают с их именами на компьютере &os;, вы возможно + захотите включить безопасность уровня пользователя (user). + Это политика безопасности по умолчанию, она требует, + чтобы клиент авторизовался перед доступом к совместно + используемым ресурсам. + + На уровне безопасности share клиенту не требуется + входить на сервер перед подключением к ресурсу. + Эта модель безопасности использовалась по умолчанию + в старых версиях Samba. + + + + + passdb backend + + NIS+ + LDAP + SQL база данных + + + Samba поддерживает + несколько различных подсистем аутентификации. Вы можете + аутентифицировать клиентов с помощью LDAP, NIS+, + базы данных SQL, или через модифицированный файл + паролей. Метод аутентификации по умолчанию + , и здесь рассматривается + только он. + + + + + Предполагая, что используется подсистема по умолчанию + , необходимо создать файл + /usr/local/private/smbpasswd, чтобы + Samba могла аутентифицировать + клиентов. Если вы хотите разрешить всем учетным записям + Unix доступ с Windows клиентов, используйте следующую + команду: + + &prompt.root; cat /etc/passwd | grep -v "^#" | make_smbpasswd > /usr/local/private/smbpasswd +&prompt.root; chmod 600 /usr/local/private/smbpasswd + + Обратитесь к документации на Samba + за дополнительной информацией о параметрах настройки. + Основные настройки, рассмотренные здесь, достаточны для + первого запуска Samba. + + + + + Запуск <application>Samba</application> + + Для запуска Samba при + загрузке системы, добавьте в /etc/rc.conf + следующую строку: + + samba_enable="YES" + + Затем вы можете запустить Samba в + любой момент, набрав: + + &prompt.root; /usr/local/etc/rc.d/samba.sh start +Starting SAMBA: removing stale tdbs : +Starting nmbd. +Starting smbd. + + Samba состоит из трех + отдельных даемонов. Вы можете видеть, что + nmbd и smbd + запускаются скриптом samba.sh. + Если вы включили сервис разрешения имен winbind + в smb.conf, то увидите также + запуск даемона winbindd. + + Вы можете остановить Samba в любой + момент, набрав: + + &prompt.root; /usr/local/etc/rc.d/samba.sh stop + + Samba это сложный программный + набор с функциональностью, позволяющей полную интеграцию в сети + µsoft.windows;. За дальнейшей информацией о функциях, + выходящих за рамки описанной здесь базовой установки, + обращайтесь к . + + + + + + + + + Murray + Stokely + Предоставил + + + + Протокол передачи файлов (FTP) + + FTP сервер + + + Обзор + + Протокол передачи файлов (File Transfer Protocol, FTP) дает + пользователям простой путь передачи файлов на и с FTP сервера. В &os; + серверная программа FTP, + ftpd, включена в базовую систему. + Это упрощает настройку и администрирование FTP сервера в + FreeBSD. + + + + Настройка + + Наиболее важный шаг заключается в определении того, + каким учетным записям будет позволено получать доступ + к FTP серверу. В обычной системе FreeBSD есть множество + системных учетных записей, используемых различными даемонами, + но пользователям должно быть запрещен вход с использованием + этих учетных записей. В файле /etc/ftpusers + находится список пользователей, которым запрещен доступ по + FTP. По умолчанию он включает упомянутые системные учетные + записи, но в него можно добавить и определенных пользователей, + которым будет запрещен доступ по FTP. + + Вам может понадобиться ограничить доступ определенных + пользователей без полного запрета использования FTP. + Это можно сделать через файл /etc/ftpchroot. + В нем находится список пользователей и групп, к которым + применяется ограничение доступа. На странице справочника + &man.ftpchroot.5; дана подробная информация, и она не будет + дублироваться здесь. + + Если вы захотите разрешить анонимный FTP доступ на + сервер, в системе &os; необходимо создать пользователя + ftp. Этот пользователь сможет + входить на FTP сервер с именем пользователя + ftp или anonymous, + с любым паролем (существует соглашение об использовании + почтового адреса пользователя в качестве пароля). + FTP сервер выполнит &man.chroot.2; при входе пользователя + anonymous для ограничения доступа только домашним каталогом + пользователя ftp. + + Существуют два текстовых файла, определяющих сообщение, + отправляемое FTP клиентам. Содержимое файла + /etc/ftpwelcome будет выведено пользователям + перед приглашением на вход. После успешного входа + будет выведено содержимое файла /etc/ftpmotd. + Обратите внимание, что путь к этому файлу задается относительно + домашнего каталога пользователя, так что анонимным пользователям + будет отправляться ~ftp/etc/ftpmotd. + + Как только FTP сервер был правильно настроен, он должен + быть включен в /etc/inetd.conf. Все, что + необходимо, это удалить символ комментария + # из начала существующей строки + ftpd: + + ftp stream tcp nowait root /usr/libexec/ftpd ftpd -l + + Как описано в , + сигнал HangUP должен быть отправлен inetd + после того, как этот файл настройки был изменен. + + Теперь вы можете войти на FTP сервер, введя: + + &prompt.user; ftp localhost + + + + + Поддержка + + syslog + лог файлы + FTP + + Для протоколирования даемон ftpd + использует сообщения &man.syslog.3;. По умолчанию, &man.syslog.3; + поместит сообщения, относящиеся к FTP, в файл + /var/log/xferlog. Местоположение + лог файла FTP может быть изменено путем изменения следующей + строки в файле /etc/syslog.conf: + + ftp.info /var/log/xferlog + + Учитывайте потенциальные проблемы, возникающие с + анонимным FTP сервером. В частности, вы должны дважды + подумать, прежде чем позволить анонимным пользователям + загружать файлы на сервер. Вы можете обнаружить, что + FTP сайт стал форумом, на котором происходит обмен + нелицензионным коммерческим программным обеспечением + или чем-то еще хуже. Если вам необходимо разрешить + анонимную выгрузку файлов на FTP, права должны быть настроены + таким образом, чтобы эти файлы не могли прочитать другие + анонимные пользователи до их рассмотрения администратором. + + + Tom Hukins Текст предоставил Синхронизация часов через NTP NTP Обзор С течением времени часы компьютера имеют тенденцию отставать. Network Time - Protocol - Сетевой Протокол Времени (NTP) является одним из способов + Protocol - Сетевой Протокол Времени (NTP) является одним из способов вести точное время. Многие сервисы Интернет опираются или сильно зависят от точности часов компьютеров. К примеру, веб-сервер может получать запрос на посылку файла, который был недавно модифицирован. В локальной сети необходимо, чтобы часы компьютеров, совместно использующих файлы, были синхронизированы, чтобы время модификации файлов устанавливалось правильно. Такие службы, как &man.cron.8;, также зависят от правильности установки системных часов, поскольку запускают команды в определенное время. NTP ntpd - FreeBSD поставляется с сервером NTP &man.ntpd.8;, который можно + FreeBSD поставляется с сервером NTP &man.ntpd.8;, который можно использовать для опроса других серверов NTP для установки часов на вашей машине или предоставления услуг точного времени. Выбор подходящих серверов NTP NTP выбор серверов Для синхронизации ваших часов вам нужно найти для использования один или большее количество серверов NTP. Ваш сетевой администратор или провайдер могут иметь сервер NTP для этой цели—обратитесь к ним, так ли это в вашем случае. Существует онлайн список общедоступных серверов NTP, которым можно воспользоваться для поиска ближайшего к вам сервера NTP. Не забудьте выяснить политику выбранного вами сервера и спросить разрешения, если это требуется. Выбор нескольких несвязанных серверов NTP является хорошей идеей в том случае, если один из используемых вами серверов станет недоступным или его часы неточны. &man.ntpd.8; использует ответы, которые он получает от других серверов с умом—он делает предпочтение надежным серверам. Настройка вашей машины NTP настройка Базовая конфигурация ntpdate Если вам нужно только синхронизировать ваши часы при загрузке машины, вы можете воспользоваться утилитой &man.ntpdate.8;. Это может подойти для некоторых настольных машин, которые часто перезагружаются и только требуют изредка синхронизироваться, но на большинстве машин должен работать &man.ntpd.8;. Использование &man.ntpdate.8; при загрузке также хорошо для машин, на которых запущен даемон &man.ntpd.8;. Программа &man.ntpd.8; изменяет время постепенно, тогда как &man.ntpdate.8; устанавливает время вне зависимости от того, насколько велика разница между текущим временем машины и точным временем. Для включения &man.ntpdate.8; во время загрузки, добавьте строчку ntpdate_enable="YES" в файл /etc/rc.conf. Вам также потребуется указать все серверы, с которыми вы хотите синхронизироваться, и все параметры, которые передаются в &man.ntpdate.8;, в ntpdate_flags. NTP ntp.conf Общие настройки NTP настраивается в файле /etc/ntp.conf, формат которого описан в &man.ntp.conf.5;. Вот простой пример: server ntplocal.example.com prefer server timeserver.example.org server ntp2a.example.net driftfile /var/db/ntp.drift Параметр server задает, какие серверы будут использоваться, по одному в каждой строке. Если сервер задан с аргументом prefer, как ntplocal.example.com, то этому серверу отдается предпочтение перед остальными. Ответ от предпочтительного сервера будет отброшен, если он значительно отличается от ответов других серверов, в противном случае он будет использоваться безотносительно к другим ответам. Аргумент prefer обычно используется для серверов NTP, о которых известно, что они очень точны, такими, на которых используется специальное оборудование точного времени. Параметр driftfile задает файл, который используется для хранения смещения частоты системных часов. Программа &man.ntpd.8; использует его для автоматической компенсации естественного смещения часов, позволяя ему поддерживать достаточно правильную настройку, даже если он на некоторый период отключается от внешнего источника информации о времени. Параметр driftfile задает, какой файл используется для сохранения информации о предыдущих ответах от серверов NTP, которые вы используете. Этот файл содержит внутреннюю информацию для NTP. Он не должен изменяться никакими другими процессами. Управление доступом к вашему серверу По умолчанию ваш сервер NTP будет доступен всем хостам в Интернет. Параметр restrict в файле /etc/ntp.conf позволяет вам контролировать, какие машины могут обращаться к вашему серверу. Если вы хотите запретить всем машинам обращаться к вашему серверу NTP, добавьте следующую строку в файл /etc/ntp.conf: restrict default ignore Если вы хотите разрешить синхронизировать свои часы с вашим сервером только машинам в вашей сети, но запретить им настраивать сервер или быть равноправными участниками синхронизации времени, то вместо указанной добавьте строчку restrict 192.168.1.0 mask 255.255.255.0 notrust nomodify notrap где 192.168.1.0 является адресом IP вашей сети, а 255.255.255.0 её сетевой маской. /etc/ntp.conf может содержать несколько директив restrict. Для получения подробной информации обратитесь к подразделу Access Control Support (Поддержка Управления Доступом) в &man.ntp.conf.5;. Запуск сервера NTP Для того, чтобы сервер NTP запускался при загрузке, добавьте строку xntpd_enable="YES" в файл /etc/rc.conf. Если вы хотите передать дополнительные опции в &man.ntpd.8;, то отредактируйте параметр xntpd_flags в файле /etc/rc.conf. Для запуска сервера без перезагрузки вашей машины, выполните команду ntpd, не забыв задать дополнительные параметры из переменной xntpd_flags в файле /etc/rc.conf. К примеру: &prompt.root; ntpd -p /var/run/ntpd.pid Во &os; 5.X различные параметры из /etc/rc.conf были переименованы. В частности, в списке параметров вам необходимо заменить каждую строчку xntpd на ntpd. Использование ntpd с временным подключением к Интернет Для нормальной работы программе &man.ntpd.8; не требуется постоянное подключение к Интернет. Однако если ваше временное подключение к Интернет настроено для дозвона по требованию, хорошо бы запретить трафику NTP вызывать дозвон или поддерживать соединение постоянно. Если вы используете пользовательский PPP, то можете воспользоваться директивами filter в файле /etc/ppp/ppp.conf. К примеру: set filter dial 0 deny udp src eq 123 # Prevent NTP traffic from initiating dial out set filter dial 1 permit 0 0 set filter alive 0 deny udp src eq 123 # Prevent incoming NTP traffic from keeping the connection open set filter alive 1 deny udp dst eq 123 # Prevent outgoing NTP traffic from keeping the connection open set filter alive 2 permit 0/0 0/0 Более подробную информацию можно найти в разделе PACKET FILTERING (ФИЛЬТРАЦИЯ ПАКЕТОВ) в &man.ppp.8;, а примеры в /usr/share/examples/ppp/. Некоторые провайдеры Интернет блокируют трафик по портам с маленькими номерами, что приводит к неработоспособности NTP, так как ответы никогда не достигают вашей машины. Дополнительная литература Документация по серверу NTP может быть найдена в каталоге /usr/share/doc/ntp/ в формате HTML.