diff --git a/zh_CN.GB2312/books/handbook/book.sgml b/zh_CN.GB2312/books/handbook/book.sgml index 80c58ee516..332aa9675f 100644 --- a/zh_CN.GB2312/books/handbook/book.sgml +++ b/zh_CN.GB2312/books/handbook/book.sgml @@ -1,326 +1,328 @@ %books.ent; %chapters; %txtfiles; %pgpkeys; ]> FreeBSD 使用手册 The FreeBSD Documentation Project 1999 年 2 月 1995 1996 1997 1998 1999 2000 2001 2002 2003 2004 2005 2006 + 2007 The FreeBSD Documentation Project &cnproj.freebsd.org; 2005 年 12 月 2003 2004 2005 2006 + 2007 &cnproj.freebsd.org; &bookinfo.legalnotice; &tm-attrib.freebsd; &tm-attrib.3com; &tm-attrib.3ware; &tm-attrib.arm; &tm-attrib.adaptec; &tm-attrib.adobe; &tm-attrib.apple; &tm-attrib.corel; &tm-attrib.creative; &tm-attrib.cvsup; &tm-attrib.heidelberger; &tm-attrib.ibm; &tm-attrib.ieee; &tm-attrib.intel; &tm-attrib.intuit; &tm-attrib.linux; &tm-attrib.lsilogic; &tm-attrib.m-systems; &tm-attrib.macromedia; &tm-attrib.microsoft; &tm-attrib.netscape; &tm-attrib.nexthop; &tm-attrib.opengroup; &tm-attrib.oracle; &tm-attrib.powerquest; &tm-attrib.realnetworks; &tm-attrib.redhat; &tm-attrib.sap; &tm-attrib.sun; &tm-attrib.symantec; &tm-attrib.themathworks; &tm-attrib.thomson; &tm-attrib.usrobotics; &tm-attrib.vmware; &tm-attrib.waterloomaple; &tm-attrib.wolframresearch; &tm-attrib.xfree86; &tm-attrib.xiph; &tm-attrib.general; 欢迎使用 FreeBSD！ 本手册适用于安装 FreeBSD &rel2.current;-RELEASE 和 FreeBSD &rel.current;-RELEASE 以及它们的日常使用。 这个手册目前由很多人 持续地 维护。 其中的内容需要不断地更新。 如果您有兴趣参加这个项目，请发邮件到 &a.doc;。此文档最新的英文原始版本可以从 FreeBSD Web站点 上获得 (这本手册的较早期版本可以在 找到)， 由 &cnproj.freebsd.org; 维护的最新译本可以在 &cnproj.freebsd.org; 快照 Web 站点 和 &cnproj.freebsd.org; 文档快照 处获得， 这一译本会不断向主站同步。 此外， 您也可以从 FreeBSD 的 FTP 服务器 或众多的 镜像站点 得到这份文档的各种其他格式以及压缩形式的版本。 如果您更希望得到一份印刷版本的手册， 可以从 FreeBSD Mall 购买。 您还可以 搜索手册。 &chap.preface; 起步 手册的以下章节主要是针对刚开始使用 FreeBSD 的用户及管理员: FreeBSD 入门。 安装过程向导。 教您 &unix; 基本知识和基本原理。 展示如何在 FreeBSD 上安装大量的第三方应用。 介绍使用 X，&unix; 窗口系统，以及为一些生产环境配置桌面环境的细节。 我们尝试用最少的页数来保持前言的索引，以至于可以用最少翻页次数将该手册从头至尾读过。 常见的任务 前面已经介绍了必要的基础知识， 手册的这一部分将讨论 FreeBSD 的一些最常用的功能。 这些章节包括： 向您介绍流行和实用的桌面应用程序： 浏览器、产品工具、文档察看程序，等等。 向您介绍一系列可以在 FreeBSD 上使用的多媒体工具。 介绍构建定制的 FreeBSD 内核以启用附加功能的方法。 详细介绍包括桌面和网络打印机在内的打印系统设置。 向您展示如何在 FreeBSD 上运行 Linux 应用程序。 某些章节希望您首先阅读过其他部分，在这些章的开头部分也会给出类似的提示。 系统管理 FreeBSD 手册中其余章节的内容都是关于系统管理。每一章节都从描述开始，由浅入深。 这些章节被设计成很多相对完整的部分，如果您需要了解某部分内容，直接阅读这部分内容即可，无需按照顺序，也不用在您使用 FreeBSD 的时候需要先读一遍。 网络通讯 FreeBSD 是目前以高性能网络服务为目的而部署范围最广的操作系统之一。 讨论这些话题的章节包括： 串口通讯 PPP 和以太网上的 PPP 电子邮件 运行网络服务 防火墙 其他高级网络话题 这些章节主要供您在需要时参考。 不需要以特定的顺序来阅读它们， 此外， 您开始在网络中使用 FreeBSD 之前也不必把它们都读完。 附录 &chap.colophon; diff --git a/zh_CN.GB2312/books/handbook/config/chapter.sgml b/zh_CN.GB2312/books/handbook/config/chapter.sgml index fd9ff61f93..e235f45644 100644 --- a/zh_CN.GB2312/books/handbook/config/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/config/chapter.sgml @@ -1,2870 +1,2870 @@ Chern Lee 原作： Mike Smith 这份文档基于一份教程， 其作者是 Matt Dillon 此外， 也参考了 tuning(7)， 其作者是 设置和调整 概述 系统配置 系统优化 使用 &os; 的一个重要问题是系统配置。 正确地配置系统能充分地减少以后维护和升级系统所需的工作量。 这章将解释一些 &os; 的配置过程，包括一些可以调整的 &os; 系统的一些参数。 读完本章， 您将了解： 如何有效地利用文件系统和交换分区。 rc.conf 的基本设置以及 /usr/local/etc/rc.d 启动体系。 如何设置和测试网卡。 如何在您的网络设备上配置虚拟主机。 如何使用 /etc 下的各配置文件。 如何通过 sysctl 变量来对 &os; 系统进行调优。 怎样调整磁盘性能和修改内核限制。 在阅读本章之前，您应该了解： 了解 &unix; 和 &os; 的基础知识 ()。 熟悉内核配置编译的基础知识 ()。 初步配置 分区规划 分区规划 /etc /var /usr 基本分区 当使用 &man.bsdlabel.8; 或者 &man.sysinstall.8; 来分割您的文件系统的时候， 要记住硬盘驱动器外磁道传输数据要比从内磁道传输数据快。 因此应该将小的和经常访问的文件系统放在驱动器靠外的位置， 一些大的分区比如 /usr 应该放在比较靠里的位置。 以类似这样的顺序建立分区是一个不错的主意：root，swap， /var，/usr。 /var 的大小能反映您的机器使用情况。 它用来存储邮件，日志文件和打印队列缓存， 特别是邮箱和日志文件可能会达到无法预料的大小， 这主要取决于在您的系统上有多少用户和您的日志文件可以保存多长时间。 一般大多数用户不需要一个 G 以上的空间，但要记住 /var/tmp 应该足够大来以便存储一些 packages。 /usr 分区存储很多用来系统运行所需要的文件例如 &man.ports.7; (建议这样做) 和源代码 (可选的)。安装的时候这两项都是可选的。 这个分区至少要保留两个 G 的可用空间。 当选择分区大小的时候，记住保留一些空间。 用完了一个分区的空间而在另一个分区上还有很多， 可能会导致出现一些错误。 一些用户会发现 &man.sysinstall.8; 的 Auto-defaults 自动分区有时会分配给 /var 和 / 较小的分区空间。 分区应该精确一些并且大一些。 交换分区 交换分区分配 交换分区 一般来讲，交换分区应该大约是系统内存 (RAM) 的两倍。 例如，如果机器有 128M 内存，交换文件应该是 256M。 较小内存的系统可以通过多一点地交换分区来提升性能。 不建议小于 256 兆的交换分区，并且扩充您的内存应该被考虑一下。 当交换分区最少是主内存的两倍的时候，内核的 VM (虚拟内存) 页面调度算法可以将性能调整到最好。如果您给机器添加更多内存， 配置太小的交换分区会导致 VM 页面扫描的代码效率低下。 在使用多块SCSI磁盘(或者不同控制器上的IDE磁盘)的大系统上， 建议在每个驱动器上建立交换分区(直到四个驱动器)。 交换分区应该大约一样大小。内核可以使用任意大小， 但内部数据结构则是最大交换分区的 4 倍。保持交换分区同样的大小， 可以允许内核最佳地调度交换空间来访问磁盘。 即使不太使用，分配大的交换分区也是好的， 在被迫重启之前它可以让您更容易的从一个失败的程序中恢复过来。 为什么要分区？ 一些用户认为一个单独的大分区将会很好， 但是有很多原因会证明为什么这是个坏主意。首先， 每个分区有不同的分区特性，因此分开可以让文件系统调整它们。 例如，根系统和 /usr 一般只是读取，写入很少。 很多读写频繁的被放在 /var 和 /var/tmp中。 适当的划分一个系统， 在其中使用较小的分区， 这样， 那些以写为主的分区将不会比以读为主的分区付出更高的代价。 将以写为主的分区放在靠近磁盘的边缘， 例如放在实际的大硬盘的前面代替放在分区表的后面，将会提高您需要的分区的 I/O 性能。现在可能也需要在比较大的分区上有很好的 I/O 性能， 把他们移动到磁盘外围不会带来多大的性能提升，反而把 /var 移到外面会有很好的效果。最后涉及到安全问题。 一个主要是只读的小的、整洁的根分区可以提高从一个严重的系统崩溃中恢复过来的机会。 核心配置 rc 文件 rc.conf 系统的配置信息主要位于 /etc/rc.conf。 这个文件包含了配置信息很大的一部分，主要在系统启动的时候来配置系统， 这个名字直接说明了这点；它也是 rc* 文件的配置信息。 系统管理员应该在 rc.conf 文件中建立记录来覆盖 /etc/defaults/rc.conf 中的默认设置。 这个默认文件不应该被逐字的复制到 /etc —— 它包含的是默认值而不是一个例子。 所有特定的改变应该在 rc.conf 中。 为了降低管理成本，有很多策略可以应用在成群的应用程序中来从系统指定的配置中分离 site-wide 配置。建议的方法是将 site-wide 配置放在另一个文件中，例如 /etc/rc.conf.site， 并且把它包含进然后把这个文件包括进只包含系统指定信息的 /etc/rc.conf。 由于 rc.conf 可以被 &man.sh.1; 阅读，所以达到这个目的很简单，例如： rc.conf: . /etc/rc.conf.site hostname="node15.example.com" network_interfaces="fxp0 lo0" ifconfig_fxp0="inet 10.1.1.1" rc.conf.site: defaultrouter="10.1.1.254" saver="daemon" blanktime="100" rc.conf.site 文件会被分发给每一个使用 rsync 或相似程序的系统，同时 rc.conf 文件仍然保持独立。 使用 &man.sysinstall.8; 或者 make world 来升级系统不会覆盖 rc.conf 文件， 所以系统配置信息不会丢失。 应用程序配置 典型的，被安装的应用程序有他自己的配置文件、语法等等。 从基本系统中分开他们是很重要的以至于他们可以容易的被 package 管理工具定位和管理 /usr/local/etc 一般来说，这些文件被安装在 /usr/local/etc。这个例子中， 一个应用程序有很多配置文件并且创建了一个子目录来存放他们。 通常，当一个 port 或者 package 被安装的时候， 配置文件示例也同样被安装了。它们通常用 .default 的后缀来标识。如果不存在这个应用程序的配置文件， 它们会通过复制 .default 文件来创建。 例如，看一下这个目下的内容 /usr/local/etc/apache： -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf.default -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf.default -rw-r--r-- 1 root wheel 12205 May 20 1998 magic -rw-r--r-- 1 root wheel 12205 May 20 1998 magic.default -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types.default -rw-r--r-- 1 root wheel 7980 May 20 1998 srm.conf -rw-r--r-- 1 root wheel 7933 May 20 1998 srm.conf.default 文件大小显示了只有 srm.conf 改变了。以后 Apache 的升级就不会改变这个文件。 Tom Rhodes Contributed by 启动服务 服务 许多用户会选择使用 Ports Collection 来在 &os; 上安装第三方软件。 很多情况下这可能需要进行一些配置以便让这些软件能够在系统初始化的过程中启动。 服务， 例如 mail/postfix 或 www/apache13 就是这些需要在系统初始化时启动的软件包中的两个典型代表。 这一节解释了启动第三方软件所需要的步骤。 &os; 包含的大多数服务，例如 &man.cron.8;， 就是通过系统启动脚本启动的。 这些脚本也许会有些不同， 这取决于 &os; 版本。 但是不管怎样， 需要考虑的一个重要方面是他们的启动配置文件要能被基本启动脚本识别捕获。 在 rc.d 出现之前， 应用程序会把一个简单的启动脚本放到 /usr/local/etc/rc.d 目录中， 这个目录中的脚本会被系统初始化脚本读取。 尽管很多人已经花费了相当多的时间来把旧的配置方式融入到新系统中， 仍然有许多第三方软件需要把脚本放到上面提到的目录中。 是否使用 rc.d 会对这些脚本的执行带来一些变化。 在 &os; 5.1 之前采用的是旧式的配置， 当然， 绝大多数情况下， 新式的脚本也会工作的很好。 每个脚本都应该遵守 &os; 版本所需求的一些规定： 每个脚本必须在文件名最后添加一个 .sh 的扩展名，并且这个脚本能被系统执行。 后者可以通过 chmod 命令把权限设置为 755来实现。 它还应该能接受 start 选项来启动程序并且接受 stop 选项来结束程序。 一个简单的脚本看起来可能会像这样： #!/bin/sh echo -n ' utility' case "$1" in start) /usr/local/bin/utility ;; stop) kill -9 `cat /var/run/utility.pid` ;; *) echo "Usage: `basename $0` {start|stop}" >&2 exit 64 ;; esac exit 0 这个脚本提供了 stop 和 start 两个选项， 用以操作 utility。 可以用如下方法来启动： &prompt.root; /usr/local/etc/rc.d/utility.sh start 现在不是所有第三方软件都需要在 rc.conf 中进行如此的配置， 不过几乎每天都有新的 port 被修改来采用这种配置方法。 您应在安装的最后阶段查看所显示的信息， 以了解某个具体的应用是否需要这样的配置。 某些第三方软件会提供启动脚本， 以便与 rc.d 配合使用； 这些内容将在下一节介绍。 扩展应用程序配置 现在 &os; 提供了 rc.d， 这使得对应用软件的启动进行配置变得更加方便， 并提供了更多的其他功能。 例如， 使用在 rc.d 一节中所介绍的关键字， 应用程序就可以设置在某些其他服务， 例如 DNS 之后启动； 除此之外， 还可以通过 rc.conf 来指定一些额外的启动参数， 而不再需要将它们硬编码到启动脚本中。 基本的启动脚本如下所示： #!/bin/sh # # PROVIDE: utility # REQUIRE: DAEMON # KEYWORD: shutdown # # DO NOT CHANGE THESE DEFAULT VALUES HERE # SET THEM IN THE /etc/rc.conf FILE # utility_enable=${utility_enable-"NO"} utility_flags=${utility_flags-""} utility_pidfile=${utility_pidfile-"/var/run/utility.pid"} . /etc/rc.subr name="utility" rcvar=`set_rcvar` command="/usr/local/sbin/utility" load_rc_config $name pidfile="${utility_pidfile}" start_cmd="echo \"Starting ${name}.\"; /usr/bin/nice -5 ${command} ${utility_flags} ${command_args}" run_rc_command "$1" 这个脚本将保证 utility 能够在 daemon 服务之后启动。 它同时也提供了设置和跟踪 PID， 也就是进程 ID 文件的方法。 可以在 /etc/rc.conf 中加入： utility_enable="YES" 这个新方法也使得命令行参数、包含 /etc/rc.subr 中所提供的功能， 兼容 &man.rcorder.8; 工具并提供更简单的通过 rc.conf 文件来配置的方法。 用服务来启动服务 其他服务， 例如 POP3 服务器， IMAP， 等等， 也可以通过 &man.inetd.8; 来启动。 这一过程包括从 Ports Collection 安装相应的应用程序， 并把配置加入到 /etc/inetd.conf 文件， 或去掉当前配置中的某些注释。 如何使用和配置 inetd 在 inetd 一节中进行了更为深入的阐述。 一些情况下， 通过 &man.cron.8; 来启动系统服务也是一种可行的选择。 这种方法有很多好处， 因为 cron 会以 crontab 的文件属主身份执行那些进程。 这使得普通用户也能够执行他们的应用。 cron 工具提供了一个独有的功能， 以 @reboot 来指定时间。 这样的设置将在 &man.cron.8; 启动时运行， 通常这也是系统初始化的时候。 Tom Rhodes Contributed by 配置 <command>cron</command> cron 配置 &os; 最有用的软件包(utilities)中的一个是 &man.cron.8;。 cron 软件在后台运行并且经常检查 /etc/crontab 文件。cron 软件也检查 /var/cron/tabs 目录，搜索新的 crontab 文件。这些 crontab 文件存储一些 cron 在特定时间执行任务的信息。 cron 程序使用两种不同类型的配置文件， 即系统 crontab 和用户 crontabs。 两种格式的唯一区别是第六个字段。 在系统 crontab 中，第六个字段是用于执行命令的用户名。 这给予了系统 crontab 以任意用户身份执行命令的能力。 在用户 crontab 中， 第六个字段是要执行的命令， 所有的命令都会以这个用户自己的身份执行； 这是一项重要的安全功能。 同其他用户一样， root 用户也可以有自己的 crontab。 它不同于 /etc/crontab (也就是系统 crontab)。 由于有系统 crontab 的存在， 通常并不需要给 root 建立单独的用户 crontab。 让我们来看一下 /etc/crontab 文件： # /etc/crontab - root's crontab for &os; # # $&os;: src/etc/crontab,v 1.32 2002/11/22 16:13:39 tom Exp $ # # SHELL=/bin/sh PATH=/etc:/bin:/sbin:/usr/bin:/usr/sbin HOME=/var/log # # #minute hour mday month wday who command # # */5 * * * * root /usr/libexec/atrun 像大多数 &os; 配置文件一样，# 字符是注释。 这样， 就可以编写注释来说明要执行什么操作， 以及这样做的原因。 需要注意的是， 注释应该另起一行， 而不能跟命令放在同一行上， 否则它们会被看成命令的一部分。 这个文件中的空行会被忽略。 首先应该定义环境变量。等号 (=) 字符用来定义任何环境变量，像这个例子用到了 SHELL，PATH 和 HOME 变量。如果 shell 行被忽略掉，cron 将会用默认值 sh。如果 变量被忽略， 那么就没有默认值并且需要指定文件绝对位置。如果 被忽略，cron 将用用执行者的 home 目录。 这一行定义了七个字段。它们是 minute、 hour、mday、 month、wday、 who 和 command。 它们差不多已经说明了各自的用处。Minute 是命令要运行时的分钟，Hour 跟 minute 差不多，只是用小时来表示。Mday 是每个月的天。Month 跟 hour 还有 minute 都差不多，用月份来表示。wday 字段表示星期几。 所有这些字段的值必须是数字并且用24小时制来表示。who 字段是特别的，并且只在 /etc/crontab 文件中存在。 这个字段指定了命令应该以哪个用户的身份来运行。当一个用户添加了他(她)的 crontab 文件的时候，他们就会没有这个字段选项。最后，是 command 字段。这是最后的一个字段， 所以自然就是它指定要运行的程序。 最后一行定义了上面所说的值。注意这里我们有一个 */5 列表，紧跟着是一些 * 字符。* 字符代表开始到最后， 也可以被解释成 每次。所以，根据这行， 显然表明了无论在何时每隔 5 分钟以 root 身份来运行 atrun 命令。查看 &man.atrun.8; 手册页以获得 atrun 的更多信息。 命令可以有任意多个传递给它们的标志。无论怎样， 扩展到多行的命令应该用反斜线(\)来续行。 这是每个 crontab 文件的基本设置， 虽然它们有一个不同。第六行我们指定的用户名只存在于系统 /etc/crontab 文件。这个字段在普通用户的 crontab 文件中应该被忽略。 安装 Crontab 绝对不要用这种方法来编辑/安装系统 crontab。 您需要做的只是使用自己喜欢的编辑器： cron 程序会注意到文件发生了变化， 并立即开始使用新的版本。参见 这个 FAQ 项目 以了解进一步的情况。 要安装刚写好的用户 crontab， 首先使用最习惯的编辑器来创建一个符合要求格式的文件，然后用 crontab 程序来完成。最常见的用法是： &prompt.user; crontab crontab-file 在前面的例子中， crontab-file 是一个事先写好的 crontab。 还有一个选项用来列出安装的 crontab 文件： 只要传递 选项给 crontab 然后看一下输出。 用户想不用模板(已经存在的文件)而直接安装他的 crontab 文件，用 crontab -e 选项也是可以的。 它将会启动一个编辑器并且创建一个新文件，当这个文件被保存的时候， 它会自动的用 crontab 来安装这个文件。 如果您稍后想要彻底删除自己的用户 crontab 可以使用 crontab 的 选项。 Tom Rhodes Contributed by 在 &os; 中使用 rc 在 2002 年， &os; 整合了来自 NetBSD 的 rc.d 系统， 并通过它来完成系统的初始化工作。 用户要注意在 /etc/rc.d 目录下的文件。 这里面的许多文件是用来管理基础服务的， 它们可以通过 、 ， 以及 选项来控制。 举例来说， &man.sshd.8; 可以通过下面的命令来重启： &prompt.root; /etc/rc.d/sshd restart 对其它服务的操作与此类似。 当然， 这些服务通常是在启动时根据 &man.rc.conf.5; 自动启动的。 例如， 要配置使系统启动时启动网络地址转换服务， 可以简单地通过在 /etc/rc.conf 中加入如下设置来完成： natd_enable="YES" 如果 行已经存在， 只要简单的把 改成 即可。 rc 脚本在下次重新启动的时候会自动的装载所需要的服务， 像下面所描述的那样。 由于 rc.d 系统在系统启动/关闭时首先启动/停止服务，如果设置了适当的 /etc/rc.conf 变量，标准的 、 和 选项将会执行他们的动作。例如 sshd restart 命令只在 /etc/rc.conf 中的 sshd_enable 设置成 的时候工作。不管是否在 /etc/rc.conf 中设置了，要 、 或者 一个服务，命令前可以加上一个one前缀。例如要不顾当前 /etc/rc.conf 的设置重新启动 sshd，执行下面的命令： &prompt.root; /etc/rc.d/sshd onerestart 用选项 可以简单来的检查 /etc/rc.conf 中用适当的 rc.d 脚本启动的服务是否被启用。从而管理员可以运行这样的程序来检查 sshd 是否真的在 /etc/rc.conf 中被启动了： &prompt.root; /etc/rc.d/sshd rcvar # sshd $sshd_enable=YES 第二行 (# sshd) 是从 sshd 命令中输出的，而不是 root 控制台。 为了确定一个服务是否真的在运行，可以用 选项。例如验证 sshd 是否真的启动了： &prompt.root; /etc/rc.d/sshd status sshd is running as pid 433. 有些时候也可以 服务。 这一操作实际上是向服务发送一个信号， 来强制其重新加载配置。 多数情况下， 发给服务的会是 SIGHUP 信号。 并非所有服务都支持这一功能。 rc.d 系统不仅用于网络服务， 它也为系统初始化中的多数过程提供支持。 比如 bgfsck 文件， 当它被执行时， 将会给出下述信息： Starting background file system checks in 60 seconds. 这个文件用做后台文件系统检查，系统初始化的时候完成。 很多系统服务依赖其他服务提供的相应功能。例如，NIS 和其他基于 RPC 的服务启动可能在 rpcbind 服务启动之前失败。 要解决这个问题，依赖关系信息和其他头信息当作注释被包含在每个启动脚本文件的前面。 程序在系统初始化时分析这些注释以决定调用其他系统服务来满足依赖关系。 下面的字句可能会包含在每个启动脚本文件的前面： PROVIDE: 指定此文件所提供的服务的名字。 REQUIRE: 列出此服务启动之前所需要的其他服务。 此脚本提供的服务会在指定的那些服务 之后 启动。 BEFORE: 列出依赖此服务的其他服务。 此脚本提供的服务将在指定的那些服务 之前 启动。 通过这种方法，系统管理员可以容易的控制系统而不用像其他一些 &unix; 操作系统一样要用 runlevels 来控制。 更多关于 rc.d 系统的信息， 可以在 &man.rc.8; 和 &man.rc.subr.8; 联机手册中找到。 如果您有意撰写自己的 rc.d 脚本， 或对现有的脚本进行一些改进， 也可以参考 这篇文章。 Marc Fonvieille Contributed by 设置网卡 网卡 配置 现在我们不可想象一台计算机没有网络连接的情况。 添加和配置一块网卡是任何 &os; 系统管理员的一项基本任务。 查找正确的驱动程序 网卡 驱动程序 在开始之前，您应该知道您的网卡类型，它用的芯片和它是 PCI 还是 ISA 网卡。&os; 支持很多种 PCI 和 ISA 网卡。 可以查看您的版本硬件兼容性列表以确定您的网卡被支持。 确认系统能够支持您的网卡之后， 您还需要为它选择合适的驱动程序。 /usr/src/sys/conf/NOTES 和 /usr/src/sys/arch/conf/NOTES 将为您提供所支持的一些网卡和芯片组的信息。 如果您怀疑驱动程序是否使所要找的那一个， 请参考驱动程序的联机手册。 联机手册将提供关于所支持的硬件更详细的信息， 甚至还包括可能发生的问题。 如果您的网卡很常见的话， 大多数时候您不需要为驱动浪费精力。 常用的网卡在 GENERIC 内核中已经支持了， 所以您的网卡在启动时就会显示出来，像是： dc0: <82c169 PNIC 10/100BaseTX> port 0xa000-0xa0ff mem 0xd3800000-0xd38 000ff irq 15 at device 11.0 on pci0 dc0: Ethernet address: 00:a0:cc:da:da:da miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto dc1: <82c169 PNIC 10/100BaseTX> port 0x9800-0x98ff mem 0xd3000000-0xd30 000ff irq 11 at device 12.0 on pci0 dc1: Ethernet address: 00:a0:cc:da:da:db miibus1: <MII bus> on dc1 ukphy1: <Generic IEEE 802.3u media interface> on miibus1 ukphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto 在这个例子中，我们看到有两块使用 &man.dc.4; 驱动的网卡在系统中。 如果您的网卡没有出现在 GENERIC 中， 则需要手工加载合适的驱动程序。 要完成这项工作可以使用下面两种方法之一： 最简单的办法是用 &man.kldload.8; 加载网卡对应的内核模块。 除此之外， 通过在 /boot/loader.conf 文件中加入适当的设置， 也可以让系统在引导时自动加载这些模块。 不过， 并不是所有的网卡都能够通过这种方法提供支持； ISA 网卡是比较典型的例子。 另外， 您也可以将网卡的支持静态联编进内核。 察看 /usr/src/sys/conf/NOTES， /usr/src/sys/arch/conf/NOTES 以及驱动程序的联机手册以了解需要在您的内核配置文件中加一些什么。 要了解关于重新编译内核的进一步细节， 请参见 。 如果您的卡在引导时可以被内核 (GENERIC) 识别， 您应该不需要编译新的内核。 使用 &windows; NDIS 驱动程序 NDIS NDISulator &windows; 驱动程序 Microsoft Windows Microsoft Windows device drivers (设备驱动) KLD (kernel loadable object) 不幸的是， 许多厂商由于认为驱动程序会涉及许多敏感的商业机密， 至今仍不愿意将把驱动程序作为开放源代码形式发布列入他们的时间表。 因此， &os; 和其他操作系统的开发者就只剩下了两种选择： 要么经历长时间的痛苦过程来对驱动进行逆向工程， 要么使用现存的为 µsoft.windows; 平台提供的预编译版本的驱动程序。 包括参与 &os; 开发的绝大多数开发人员， 都选择了后一种方法。 得益于 Bill Paul (wpaul) 的工作， 从 &os; 5.3-RELEASE 开始， 已经可以 直接地 支持 网络驱动接口标准 (NDIS, Network Driver Interface Specification) 了。 &os; NDISulator (也被称为 Project Evil) 可以支持二进制形式的 &windows; 驱动程序， 并让它相信正在运行的是 &windows;。 由于 &man.ndis.4; 驱动使用的是用于 &windows; 的二进制形式的驱动， 因此它只能在 &i386; 和 amd64 系统上使用。 &man.ndis.4; 驱动在设计时主要提供了 PCI、 CardBus 和 PCMCIA 设备的支持， 而 USB 设备目前则没有提供支持。 要使用 NDISulator， 您需要三件东西： 内核的源代码 二进制形式的 &windowsxp; 驱动程序 (扩展名为 .SYS) &windowsxp; 驱动程序配置文件 (扩展名为 .INF) 您需要找到用于您的卡的这些文件。 一般而言， 这些文件可以在随卡附送的 CD 或制造商的网站上找到。 在下面的例子中， 我们用 W32DRIVER.SYS 和 W32DRIVER.INF 来表示这些文件。 不能在 &os;/amd64 上使用 &windows;/i386 驱动程序。 必须使用 &windows;/amd64 驱动才能在其上正常工作。 接下来的步骤是将二进制形式的驱动程序组装成内核模块。 要完成这一任务， 需要以 root 用户的身份执行 &man.ndisgen.8;： &prompt.root; ndisgen /path/to/W32DRIVER.INF /path/to/W32DRIVER.SYS &man.ndisgen.8; 是一个交互式的程序， 它会提示您输入所需的一些其他的额外信息； 这些工作完成之后， 它会在当前目录生成一个内核模块文件， 这个文件可以通过下述命令来加载： &prompt.root; kldload ./W32DRIVER.ko 除了刚刚生成的内核模块之外， 还必须加载 ndis.ko 和 if_ndis.ko 这两个内核模块， 在您加载需要 &man.ndis.4; 的模块时， 通常系统会自动完成这一操作。 如果希望手工加载它们， 则可以使用下列命令： &prompt.root; kldload ndis &prompt.root; kldload if_ndis 第一个命令会加载 NDIS 袖珍端口驱动封装模块， 而第二条命令则加载实际的网络接口。 现在请查看 &man.dmesg.8; 来了解是否发生了错误。 如果一切正常， 您会看到类似下面的输出： ndis0: <Wireless-G PCI Adapter> mem 0xf4100000-0xf4101fff irq 3 at device 8.0 on pci1 ndis0: NDIS API version: 5.0 ndis0: Ethernet address: 0a:b1:2c:d3:4e:f5 ndis0: 11b rates: 1Mbps 2Mbps 5.5Mbps 11Mbps ndis0: 11g rates: 6Mbps 9Mbps 12Mbps 18Mbps 36Mbps 48Mbps 54Mbps 这之后， 就可以像使用其它网络接口 (例如 dc0) 一样来使用 ndis0 设备了。 与任何其它模块一样， 您也可以配置系统， 令其在启动时自动加载 NDIS 模块。 首先， 将生成的模块 W32DRIVER.ko 复制到 /boot/modules 目录中。 接下来， 在 /boot/loader.conf 中加入： W32DRIVER_load="YES" 配置网卡 网卡 配置 现在正确的网卡驱动程序已经装载，那么就应该配置它了。 跟其他配置一样，网卡可以在安装时用 sysinstall 来配置。 要显示您系统上的网络接口的配置，输入下列命令： &prompt.user; ifconfig dc0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.1.3 netmask 0xffffff00 broadcast 192.168.1.255 ether 00:a0:cc:da:da:da media: Ethernet autoselect (100baseTX <full-duplex>) status: active dc1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.1 netmask 0xffffff00 broadcast 10.0.0.255 ether 00:a0:cc:da:da:db media: Ethernet 10baseT/UTP status: no carrier lp0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500 lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet 127.0.0.1 netmask 0xff000000 tun0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500 老版本的 &os; 可能需要在 &man.ifconfig.8; 后面接 选项，需要了解更多的 &man.ifconfig.8; 语法请查阅使用手册。注意所有关于 IPv6 (inet6 等等) 的记录在这个例子里都被忽略了。 在这个例子中，显示出了下列设备： dc0: 第一个以太网接口 dc1: 第二个以太网接口 lp0: 并行端口网络接口 lo0: 回环设备 tun0: ppp使用的隧道设备 &os; 使用内核引导时检测到的网卡驱动顺序来命名网卡。例如 sis2 是系统中使用 &man.sis.4; 驱动的第三块网卡。 在这个例子中，dc0 设备启用了。主要表现在： UP 表示这块网卡已经配置完成准备工作。 这块网卡有一个 Internet (inet) 地址 (这个例子中是 192.168.1.3)。 它有一个有效的子网掩码 (netmask； 0xffffff00 等同于 255.255.255.0)。 它有一个有效的广播地址 (这个例子中是 192.168.1.255)。 网卡的 MAC (ether) 地址是 00:a0:cc:da:da:da 物理传输媒介模式处于自动选择状态 (media: Ethernet autoselect (100baseTX <full-duplex>))。我们看到 dc1 被配置成运行在 10baseT/UTP 模式下。 要了解驱动媒介类型的更多信息， 请查阅它们的使用手册。 连接状态 (status)是 active，也就是说连接信号被检测到了。对于 dc1，我们看到 status: no carrier。 这通常是网线没有插好。 如果 &man.ifconfig.8; 的输出显示了类似于： dc0: flags=8843<BROADCAST,SIMPLEX,MULTICAST> mtu 1500 ether 00:a0:cc:da:da:da 的信息，那么就是还没有配置网卡。 要配置网卡，您需要 root 权限。 网卡配置可以通过使用 &man.ifconfig.8; 命令行方式来完成， 但是这样每次启动都要做一遍。放置网卡配置信息的文件是 /etc/rc.conf。 用您自己喜欢的编辑器打开 /etc/rc.conf。 并且您需要为每一块系统中存在的网卡添加一行， 在我们的例子中，添加如下几行： ifconfig_dc0="inet 192.168.1.3 netmask 255.255.255.0" ifconfig_dc1="inet 10.0.0.1 netmask 255.255.255.0 media 10baseT/UTP" 用自己正确的设备名和地址来替换例子中的 dc0，dc1 等内容。您应该应该查阅网卡驱动和 &man.ifconfig.8; 的手册页来了解各选项，也要查看一下 &man.rc.conf.5; 帮助页来了解 /etc/rc.conf 的语法。 如果在安装的时候配置了网络，关于网卡的一些行可能已经存在了。 所以在添加新行前仔细检查一下 /etc/rc.conf。 您也可能需要编辑 /etc/hosts 来添加局域网中不同的机器名称和 IP 地址，如果它们不存在，查看 &man.hosts.5; 帮助和 /usr/share/examples/etc/hosts 以获得更多信息。 测试和调试 对 /etc/rc.conf 做了必要的修改之后应该重启系统以应用对接口的修改， 并且确认系统重启后没有任何配置错误。 系统重启后就应该测试网络接口了。 测试以太网卡 网卡 测试 为了确认网卡被正确的配置了，在这里我们要做两件事情。首先， ping 自己的网络接口，接着 ping 局域网内的其他机器。 首先测试本地接口： &prompt.user; ping -c5 192.168.1.3 PING 192.168.1.3 (192.168.1.3): 56 data bytes 64 bytes from 192.168.1.3: icmp_seq=0 ttl=64 time=0.082 ms 64 bytes from 192.168.1.3: icmp_seq=1 ttl=64 time=0.074 ms 64 bytes from 192.168.1.3: icmp_seq=2 ttl=64 time=0.076 ms 64 bytes from 192.168.1.3: icmp_seq=3 ttl=64 time=0.108 ms 64 bytes from 192.168.1.3: icmp_seq=4 ttl=64 time=0.076 ms --- 192.168.1.3 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.074/0.083/0.108/0.013 ms 现在我们应该 ping 局域网内的其他机器： &prompt.user; ping -c5 192.168.1.2 PING 192.168.1.2 (192.168.1.2): 56 data bytes 64 bytes from 192.168.1.2: icmp_seq=0 ttl=64 time=0.726 ms 64 bytes from 192.168.1.2: icmp_seq=1 ttl=64 time=0.766 ms 64 bytes from 192.168.1.2: icmp_seq=2 ttl=64 time=0.700 ms 64 bytes from 192.168.1.2: icmp_seq=3 ttl=64 time=0.747 ms 64 bytes from 192.168.1.2: icmp_seq=4 ttl=64 time=0.704 ms --- 192.168.1.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.700/0.729/0.766/0.025 ms 您如果您设置了 /etc/hosts 文件，也可以用机器名来替换 192.168.1.2。 调试 网卡 故障排除 调试硬件和软件配置一直是一件头痛的事情， 从最简单的开始可以减轻一些痛苦。 例如网线是否插好了？是否配置好了网络服务？防火墙配置正确吗？ 是否使用了被 &os; 支持的网卡？ 在发送错误报告之前您应该查看一下硬件说明， 升级 &os; 到最新的 STABLE 版本， 看一下邮件列表或者在 Internet 上搜索一下。 如果网卡工作了， 但性能低下，应该好好阅读一下 &man.tuning.7; 联机手册。 您也可以检查一下网络配置， 不正确的设置会导致慢速的网络连接。 一些用户可能会在一些网卡上经历一到两次 device timeouts， 这通常是正常现象。 如果经常这样甚至引起麻烦， 则应确定一下它跟其他设备没有冲突。 仔细检查网线连接， 或者换一块网卡。 有时用户会看到少量 watchdog timeout 错误。 这种情况要做的第一件事就是检查线缆连接。 一些网卡需要支持总线控制的 PCI 插槽。 在一些老的主板上，只有一个 PCI 插槽支持 (一般是 slot 0)。 检查网卡和主板说明书来确定是不是这个问题。 No route to host 通常发生在如果系统不能发送一个路由到目的主机的包的时候。 这在没有指定默认路由或者网线没有插上时会发生。 检查 netstat -rn 的输出并确认有一个有效的路由能到达相应的主机。 如果没有，请查阅 。 ping: sendto: Permission denied 错误信息经常由防火墙的配置错误引起。 如果 ipfw 在内核中启用了但是没有定义规则， 那么默认的规则就是拒绝所有通讯，甚至 ping 请求！ 查阅 以了解更多信息。 有时网卡性能低下或者低于平均水平， 这种情况最好把传输媒介模式从 autoselect 改变为正确的传输介质模式。 这通常对大多数硬件有用， 但可能不会解决所有人的问题。 接着，检查所有网络设置，并且阅读 &man.tuning.7; 手册页。 虚拟主机 虚拟主机 IP 别名 &os; 的一个很普通的用途是虚拟主机站点， 一个服务器虚拟成很多服务器一样提供网络服务。 这通过在一个接口上绑定多个网络地址来实现。 一个特定的网络接口有一个真实的地址， 也可能有一些别名地址。这些别名通常用 /etc/rc.conf 中的记录来添加。 一个 fxp0 的别名记录类似于： ifconfig_fxp0_alias0="inet xxx.xxx.xxx.xxx netmask xxx.xxx.xxx.xxx" 记住别名记录必须从 alias0 开始并且按顺序递增(例如 _alias1、 _alias2)。 配置程序将会停止在第一个缺少的数字的地方。 计算别名的子网掩码是很重要的，幸运的是它很简单。 对于一个接口来说，必须有一个描述子网掩码的地址。 任何在这个网段下的地址必须有一个全是 1 的子网掩码(通常表示为 255.255.255.255 或 0xffffffff。 举例来说， 假设使用 fxp0 连接到两个网络， 分别是 10.1.1.0， 其子网掩码为 255.255.255.0， 以及 202.0.75.16， 其子网掩码为 255.255.255.240。 我们希望从 10.1.1.1 到 10.1.1.5 以及从 202.0.75.17 到 202.0.75.20 的地址能够互相访问。 如前所述， 只有两个网段中的第一个地址 (本例中， 10.0.1.1 和 202.0.75.17) 应使用真实的子网掩码； 其余的 (10.1.1.2 到 10.1.1.5 以及 202.0.75.18 到 202.0.75.20) 则必须配置为使用 255.255.255.255 作为子网掩码。 下面是根据上述描述所进行的 /etc/rc.conf 配置： ifconfig_fxp0="inet 10.1.1.1 netmask 255.255.255.0" ifconfig_fxp0_alias0="inet 10.1.1.2 netmask 255.255.255.255" ifconfig_fxp0_alias1="inet 10.1.1.3 netmask 255.255.255.255" ifconfig_fxp0_alias2="inet 10.1.1.4 netmask 255.255.255.255" ifconfig_fxp0_alias3="inet 10.1.1.5 netmask 255.255.255.255" ifconfig_fxp0_alias4="inet 202.0.75.17 netmask 255.255.255.240" ifconfig_fxp0_alias5="inet 202.0.75.18 netmask 255.255.255.255" ifconfig_fxp0_alias6="inet 202.0.75.19 netmask 255.255.255.255" ifconfig_fxp0_alias7="inet 202.0.75.20 netmask 255.255.255.255" 配置文件 <filename>/etc</filename> 布局 在配置信息中有很多的目录，这些包括： /etc 一般的系统配置信息。这儿的数据是与特定系统相关的。 /etc/defaults 系统配置文件的默认版本。 /etc/mail 额外的 &man.sendmail.8; 配置信息，其他 MTA 配置文件。 /etc/ppp 用于用户级和内核级 ppp 程序的配置。 /etc/namedb &man.named.8; 数据的默认位置。通常 named.conf 和区域文件存放在这里。 /usr/local/etc 被安装的应用程序配置文件。可以参考每个应用程序的子目录。 /usr/local/etc/rc.d 被安装程序的 启动/停止 脚本。 /var/db 特定系统自动产生的数据库文件，像 package 数据库，位置数据库等等。 主机名 主机名 DNS <filename>/etc/resolv.conf</filename> resolv.conf /etc/resolv.conf 指示了 &os; 如何访问域名系统(DNS)。 resolv.conf 中最常见的记录是： nameserver 按顺序要查询的名字服务器的 IP 地址，最多三个。 search 搜索机器名的列表。这通常由本地机器名的域决定。 domain 本地域名。 一个典型的 resolv.conf 文件： search example.com nameserver 147.11.1.11 nameserver 147.11.100.30 只能使用一个 search 和 domain 选项。 如果您在使用 DHCP，&man.dhclient.8; 经常使用从 DHCP 服务器接受来的信息重写 resolv.conf。 <filename>/etc/hosts</filename> 主机 /etc/hosts 是 Internet 早期使用的一个简单文本数据库。 它结合 DNS 和 NIS 提供名字到 IP 地址的映射。 通过局域网连接的机器可以用这个简单的命名方案来替代设置一个 &man.named.8; 服务器。另外，/etc/hosts 也可以提供一个 Internet 名称的本地纪录以减轻需要从外部查询带来的负担。 # $&os;$ # # Host Database # This file should contain the addresses and aliases # for local hosts that share this file. # In the presence of the domain name service or NIS, this file may # not be consulted at all; see /etc/nsswitch.conf for the resolution order. # # ::1 localhost localhost.my.domain myname.my.domain 127.0.0.1 localhost localhost.my.domain myname.my.domain # # Imaginary network. #10.0.0.2 myname.my.domain myname #10.0.0.3 myfriend.my.domain myfriend # # According to RFC 1918, you can use the following IP networks for # private nets which will never be connected to the Internet: # # 10.0.0.0 - 10.255.255.255 # 172.16.0.0 - 172.31.255.255 # 192.168.0.0 - 192.168.255.255 # # In case you want to be able to connect to the Internet, you need # real official assigned numbers. PLEASE PLEASE PLEASE do not try # to invent your own network numbers but instead get one from your # network provider (if any) or from the Internet Registry (ftp to # rs.internic.net, directory `/templates'). # /etc/hosts 用简单的格式： [Internet address] [official hostname] [alias1] [alias2] ... 例如： 10.0.0.1 myRealHostname.example.com myRealHostname foobar1 foobar2 参考 &man.hosts.5; 以获得更多信息。 日志文件配置 日志文件 <filename>syslog.conf</filename> syslog.conf syslog.conf 是 &man.syslogd.8; 程序的配置文件。 它指出了的 syslog 哪种信息类型被存储在特定的日志文件中。 # $&os;$ # # Spaces ARE valid field separators in this file. However, # other *nix-like systems still insist on using tabs as field # separators. If you are sharing this file between systems, you # may want to use only tabs as field separators here. # Consult the syslog.conf(5) manual page. *.err;kern.debug;auth.notice;mail.crit /dev/console *.notice;kern.debug;lpr.info;mail.crit;news.err /var/log/messages security.* /var/log/security mail.info /var/log/maillog lpr.info /var/log/lpd-errs cron.* /var/log/cron *.err root *.notice;news.err root *.alert root *.emerg * # uncomment this to log all writes to /dev/console to /var/log/console.log #console.info /var/log/console.log # uncomment this to enable logging of all log messages to /var/log/all.log #*.* /var/log/all.log # uncomment this to enable logging to a remote log host named loghost #*.* @loghost # uncomment these if you're running inn # news.crit /var/log/news/news.crit # news.err /var/log/news/news.err # news.notice /var/log/news/news.notice !startslip *.* /var/log/slip.log !ppp *.* /var/log/ppp.log 参考 &man.syslog.conf.5; 手册页以获得更多信息 <filename>newsyslog.conf</filename> newsyslog.conf newsyslog.conf 是一个通常用 &man.cron.8; 计划运行的 &man.newsyslog.8; 程序的配置文件。 &man.newsyslog.8; 指出了什么时候日志文件需要打包或者重新整理。 比如 logfile 被移动到 logfile.0，logfile.0 被移动到 logfile.1 等等。另外，日志文件可以用 &man.gzip.1; 来压缩，它们是这样的命名格式： logfile.0.gz，logfile.1.gz 等等。 newsyslog.conf 指出了哪个日志文件要被管理，要保留多少和它们什么时候被创建。 日志文件可以在它们达到一定大小或者在特定的日期被重新整理。 # configuration file for newsyslog # $&os;$ # # filename [owner:group] mode count size when [ZB] [/pid_file] [sig_num] /var/log/cron 600 3 100 * Z /var/log/amd.log 644 7 100 * Z /var/log/kerberos.log 644 7 100 * Z /var/log/lpd-errs 644 7 100 * Z /var/log/maillog 644 7 * @T00 Z /var/log/sendmail.st 644 10 * 168 B /var/log/messages 644 5 100 * Z /var/log/all.log 600 7 * @T00 Z /var/log/slip.log 600 3 100 * Z /var/log/ppp.log 600 3 100 * Z /var/log/security 600 10 100 * Z /var/log/wtmp 644 3 * @01T05 B /var/log/daily.log 640 7 * @T00 Z /var/log/weekly.log 640 5 1 $W6D0 Z /var/log/monthly.log 640 12 * $M1D0 Z /var/log/console.log 640 5 100 * Z 参考 &man.newsyslog.8; 手册页以获得更多信息。 <filename>sysctl.conf</filename> sysctl.conf sysctl sysctl.conf 和 rc.conf 这两个文件的风格很接近。 其中的配置均为 变量=值 这样的形式。 在这个文件中配置的值， 均会在系统进入多用户模式之后进行实际的修改操作。 需要注意的是， 并不是所有的变量都能够在多用户模式下修改。 如果希望关闭对收到致命的信号退出的进程进行记录， 并阻止普通用户看到其他用户的进程， 可以在 sysctl.conf 中进行下列配置： # 不记录由于致命信号导致的进程退出 (例如信号 11，访问越界) kern.logsigexit=0 # 阻止用户看到以其他用户 UID 身份执行的进程。 security.bsd.see_other_uids=0 用 sysctl 进行调整 sysctl 调整 以 sysctl &man.sysctl.8; 是一个允许您改变正在运行中的 &os; 系统的接口。它包含一些 TCP/IP 堆栈和虚拟内存系统的高级选项， 这可以让有经验的管理员提高引人注目的系统性能。用 &man.sysctl.8; 可以读取设置超过五百个系统变量。 基于这点，&man.sysctl.8; 提供两个功能：读取和修改系统设置。 查看所有可读变量： &prompt.user; sysctl -a 读一个指定的变量，例如 kern.maxproc： &prompt.user; sysctl kern.maxproc kern.maxproc: 1044 要设置一个指定的变量，直接用 variable=value 这样的语法： &prompt.root; sysctl kern.maxfiles=5000 kern.maxfiles: 2088 -> 5000 sysctl 变量的设置通常是字符串、数字或者布尔型。 (布尔型用 1 来表示'yes'，用 0 来表示'no')。 如果你想在每次机器启动时自动设置某些变量， 可将它们加入到文件 /etc/sysctl.conf 之中。更多信息，请参阅手册页 &man.sysctl.conf.5; 及 。 Tom Rhodes Contributed by 只读的 &man.sysctl.8; 有时可能会需要修改某些只读的 &man.sysctl.8; 的值。 尽管有时不得不这样做， 但只有通过(重新)启动才能达到这样的目的。 例如一些膝上型电脑的 &man.cardbus.4; 设备不会探测内存范围，并且产生看似于这样的错误： cbb0: Could not map register memory device_probe_and_attach: cbb0 attach returned 12 像上面的错误通常需要修改一些只读的 &man.sysctl.8; 默认设置。要实现这点，用户可以在本地的 /boot/loader.conf.local 里面放一个 &man.sysctl.8; OIDs。那些设置定位在 /boot/defaults/loader.conf 文件中。 修复上面的问题用户需要在刚才所说的文件中设置 。现在 &man.cardbus.4; 就会正常的工作了。 调整磁盘 Sysctl 变量 <varname>vfs.vmiodirenable</varname> vfs.vmiodirenable vfs.vmiodirenable sysctl 变量可以设置成0(关)或者1(开)；默认是1。 这个变量控制目录是否被系统缓存。大多数目录是小的， 在系统中只使用单个片断(典型的是1K)并且在缓存中使用的更小 (典型的是512字节)。当这个变量设置为关闭 (0) 时， 缓存器仅仅缓存固定数量的目录，即使您有很大的内存。 而将其开启 (设置为1) 时， 则允许缓存器用 VM 页面缓存来缓存这些目录，让所有可用内存来缓存目录。 不利的是最小的用来缓存目录的核心内存是大于 512 字节的物理页面大小(通常是 4k)。 我们建议如果您在运行任何操作大量文件的程序时保持这个选项打开的默认值。 这些服务包括 web 缓存，大容量邮件系统和新闻系统。 尽管可能会浪费一些内存，但打开这个选项通常不会降低性能。 但还是应该检验一下。 <varname>vfs.write_behind</varname> vfs.write_behind vfs.write_behind sysctl 变量默认是 1 (打开)。 它告诉文件系统簇被收集满的时候把内容写进介质， 典型的是在写入大的连续的文件时。 主要的想法是， 如果可能对 I/O 性能会产生负面影响时， 应尽量避免让缓冲缓存被未同步缓冲区充满。 然而它可能降低处理速度并且在某些情况下您可能想要关闭它。 <varname>vfs.hirunningspace</varname> vfs.hirunningspace vfs.hirunningspace sysctl 变量决定了在任何给定情况下， 有多少写 I/O 被排进队列以给系统的磁盘控制器。 默认值一般是足够的，但是对有很多磁盘的机器来说您可能需要把它设置成 4M 或 5M。注意这个设置成很高的值(超过缓存器的写极限)会导致坏的性能。 不要盲目的把它设置太高！高的数值会导致同时发生的读操作的迟延。 sysctl 中还有许多与 buffer cache 和 VM页面 cache 有关的值， 一般不推荐修改它们。 虚拟内存系统已经能够很好地进行自动调整了。 <varname>vm.swap_idle_enabled</varname> vm.swap_idle_enabled vm.swap_idle_enabled sysctl 变量在有很多用户进入、离开系统和有很多空闲进程的大的多用户系统中很有用。 这些系统注重在空闲的内存中间产生连续压力的处理。通过 vm.swap_idle_threshold1 和 vm.swap_idle_threshold2 打开这个特性并且调整交换滞后 (在空闲时)允许您降低内存页中空闲进程的优先权，从而比正常的出页 (pageout)算法更快。这给出页守护进程带来了帮助。 除非您需要否则不要把这个选项打开，因为您所权衡的是更快地进入内存， 因而它会吃掉更多的交换和磁盘带宽。在小的系统上它会有决定性的效果， 但是在大的系统上它已经做了合适的页面调度这个选项允许 VM 系统容易的让全部的进程进出内存。 <varname>hw.ata.wc</varname> hw.ata.wc &os; 4.3 中默认将 IDE 的写缓存关掉了。 这会降低到 IDE 磁盘用于写入操作的带宽， 但我们认为这有助于避免硬盘厂商所引入的， 可能引致严重的数据不一致问题。 这类问题实际上是由于 IDE 硬盘就写操作完成这件事的不诚实导致的。 当启用了 IDE 写入缓存时， IDE 硬盘驱动器不但不会按顺序将数据写到盘上， 而且当磁盘承受重载时， 它甚至会自作主张地对推迟某些块的实际写操作。 这样一来， 在系统发生崩溃或掉电时， 就会导致严重的文件系统损坏。 基于这些考虑， 我们将 &os; 的默认配置改成了更为安全的禁用 IDE 写入缓存。 然而不幸的是， 这样做导致了性能的大幅降低， 因此在后来的发行版中这个配置又改为默认启用了。 您可以通过观察 hw.ata.wc sysctl 变量， 来确认您的系统中所采用的默认值。 如果 IDE 写缓存被禁用， 您可以通过将内核变量设置为 1 来启用它。 这一操作必须在启动时通过 boot loader 来完成。 在内核启动之后尝试这么做是没有任何作用的。 要了解更多的信息，请查阅 &man.ata.4;。 <literal>SCSI_DELAY</literal> (<varname>kern.cam.scsi_delay</varname>) kern.cam.scsi_delay kernel options SCSI_DELAY SCSI_DELAY 内核配置会缩短系统启动时间。 默认值在系统启动过程中有 15 秒的迟延时间， 这是一个足够多且可靠的值。把它减少到 5 通常也能工作(特别是现代的驱动器)。新一些的 &os; (5.0 或更高版本) 应该用启动时刻可调整 kern.cam.scsi_delay。 这个可调整的和内核配置选项接受的值是 毫秒 不是 秒 。 Soft Updates Soft Updates tunefs &man.tunefs.8; 程序能够用来很好的调整文件系统。 这个程序有很多不同的选项，但是现在只介绍 Soft Updates 的打开和关闭，这样做： &prompt.root; tunefs -n enable /filesystem &prompt.root; tunefs -n disable /filesystem 在文件系统被挂载之后不能用 &man.tunefs.8; 来修改。打开 Soft Updates 的最佳时机是在单用户模式下任何分区被被挂载前。 Soft Updates 极大地改善了元数据修改的性能， 主要是文件创建和删除，通过内存缓存。我们建议您在所有的文件系统上使用 Soft Updates。应该知道 Soft Updates 的两点：首先， Soft Updates 保证了崩溃后的文件系统完整性，但是很可能有几秒钟 (甚至一分钟！) 之前的数据没有写到物理磁盘。如果您的系统崩溃了您可能会丢失很多工作。 第二，SoftUpdates 推迟文件系统块的释放时间。如果在文件系统 (例如根文件系统)快满了的情况下对系统进行大规模的升级比如 make installworld， 可能会引起磁盘空间不足从而造成升级失败。 Soft Updates 的详细资料 Soft Updates 详细资料 有两种传统的方法来把文件系统的元数据 (meta-data) 写入磁盘。 (Meta-data更新是更新类似 inodes 或者目录这些没有内容的数据) 从前，默认方法是同步更新这些元数据(meta-data)。 如果一个目录改变了，系统在真正写到磁盘之前一直等待。 文件数据缓存(文件内容)在这之后以非同步形式写入。 这么做有利的一点是操作安全。如果更新时发生错误，元数据(meta-data) 一直处于完整状态。文件要不就被完整的创建要不根本就不创建。 如果崩溃时找不到文件的数据块，&man.fsck.8; 可以找到并且依靠把文件大小设置为 0 来修复文件系统。 另外，这么做既清楚又简单。缺点是元数据(meta-data)更新很慢。例如 rm -r 命令，依次触及目录下的所有文件， 但是每个目录的改变(删除一个文件)都要同步写入磁盘。 这包含它自己更新目录，inode 表和可能对文件分散的块的更新。 同样问题出现大的文件操作上(比如 tar -x)。 第二种方法是非同步元数据更新。这是 Linux/ext2fs 和 *BSD ufs 的 mount -o async 默认的方法。所有元数据更新也是通过缓存。 也就是它们会混合在文件内容数据更新中。 这个方法的优点是不需要等待每个元数据更新都写到磁盘上， 所以所有引起元数据更新大的操作比同步方式更快。同样， 这个方法也是清楚且简单的，所以代码中的漏洞风险很小。 缺点是不能保证文件系统的状态一致性。如果更新大量元数据时失败 (例如掉电或者按了重启按钮)，文件系统会处在不可预知的状态。 系统再启动时没有机会检查文件系统的状态；inode 表更新的时候可能文件的数据块已经写入磁盘了但是相关联的目录没有，却不能用 fsck 命令来清理(因为磁盘上没有所需要的信息)。 如果文件系统修复后损坏了，唯一的选择是使用 &man.newfs.8; 并且从备份中恢复它。 这个问题通常的解决办法是使用 dirty region logging 或者 journaling 尽管它不是一贯的被使用并且有时候应用到其他的事务纪录中更好。 这种方法元数据更新依然同步写入，但是只写到磁盘的一个小区域。 过后他们将会被移动到正确的位置。因为纪录区很小， 磁盘上接近的区域磁头不需要移动很长的距离，所以这些比写同步快一些。 另外这个方法的复杂性有限，所以出现错误的机会也很少。缺点是元数据要写两次 (一次写到纪录区域，一次写到正确的区域)。正常情况下， 悲观的性能可能会发生。从另一方面来讲， 崩溃的时候所有未发生的元数据操作可以很快的在系统启动之后从记录中恢复过来。 Kirk McKusick，伯克利 FFS 的开发者，用 Soft Updates 解决了这个问题：元数据更新保存在内存中并且按照排列的顺序写入到磁盘 (有序的元数据更新)。这样的结果是，在繁重的元数据操作中， 如果先前的更新还在内存中没有别写进磁盘，后来的更新就会捕捉到。 所以所有的目录操作在写进磁盘的时候首先在内存中执行 (数据块按照它们的位置来排列，所以它们不会在元数据前被写入)。 如果系统崩溃了这将导致一个固定的 日志回朔： 所有不知如何写入磁盘的操作都像没有发生过一样。文件系统的一致性保持在 30 到 60 秒之前。它保证了所有正在使用的资源被标记例如块和 inodes。崩溃之后， 唯一的资源分配错误是一个实际是空闲的资源的资源被标记为使用。 &man.fsck.8; 可以认出这种情况并且释放不再使用的资源。它对于忽略崩溃后用 mount -f 强制挂上的文件系统的错误状态是安全的。 为了释放可能没有使用的资源，&man.fsck.8; 需要在过后的时间运行。一个主意是用 后台 fsck：系统启动的时候只有一个文件系统的 快照 被记录下来。fsck 可以在过后运行。所有文件系统可以在有错误的时候被挂接， 所以系统可以在多用户模式下启动。接着，后台 fsck 可以在所有文件系统需要的时候启动来释放可能没有使用的资源。 (尽管这样，不用 Soft Updates 的文件系统依然需要通常的 fsck。) 它的优点是元数据操作几乎跟非同步一样快 (也就是比需要两次元数据写操作的 logging 更快)。缺点是代码的复杂性(意味着对于丢失用户敏感数据有更多的风险) 和高的内存使用量。另外它有些特点需要知道。崩溃之后， 文件系统状态会落后一些。同步的方法用 fsck 后在一些地方可能产生一些零字节的文件， 这些文件在用 Soft Updates 文件系统之后不会存在， 因为元数据和文件内容根本没有写进磁盘(可能发生在运行 rm 之后)。这可能在文件系统上安装大量数据时候引发问题， 没有足够的剩余空间来两次存储所有文件。 调整内核限制 调整 内核限制 文件/进程限制 <varname>kern.maxfiles</varname> kern.maxfiles kern.maxfiles 可以根据系统的需要适当增减。 这个变量用于指定在系统中允许的文件描述符的最大数量。 当文件描述符表满的时候， file: table is full 会在系统消息缓冲区中反复出现， 您可以使用 dmesg 命令来观察这一现象。 每个打开的文件、 套接字和管道， 都会占用一个文件描述符。 在大型生产服务器上， 可能会轻易地用掉数千个文件描述符， 具体用量取决于服务的类型和并行启动的服务数量。 在早期版本的 &os; 中， kern.maxfiles 的默认值， 是根据您内核配置文件中的 选项计算的。 kern.maxfiles 这个数值， 会随 成比例地增减。 当编译定制的内核时， 按照您系统的用途来修改这个值是个好主意。 这个数字同时还决定内核的许多预设的限制值。 有时， 尽管并不会真的有 256 个用户同时连接一台生产服务器， 但对于高负载的 web 服务器而言， 却可能需要与之类似的资源。 从 FreeBSD 4.5 开始， kern.maxusers 会在系统启动时， 根据可用内存的尺寸进行计算， 在内核开始运行之后， 可以通过只读的 kern.maxusers sysctl 变量值来进行观察。 有些情况下， 可能会希望使用更大或更小一些的 kern.maxusers， 它可以以加载器变量的形式进行配置； 类似 64、 128 和 256 这样的值都并不罕见。 我们不推荐使用超过 256 的值， 除非您需要巨量的文件描述符； 根据 kern.maxusers 推算默认值的那些变量， 一般都可以在引导甚至运行时通过 /boot/loader.conf (请参见 &man.loader.conf.5; 联机手册或 /boot/defaults/loader.conf 文件来获得相关的指导) 或这篇文档的其余部分所介绍的方式来调整。 而在 - FreeBSD 4.4 值钱的版本， 则只能通过内核的 &man.config.8; + FreeBSD 4.4 之前的版本， 则只能通过内核的 &man.config.8; 选项 来加以调整。 在较早的版本中， 如果您明确地将 maxusers 设置为 0， 则系统会自动地根据硬件配置来确定这个值。 自动调整算法会将 maxusers 设置为与主存的数量一样， 或者取其下限 32 或上限 384。 。 在 &os; 5.X 和更高版本中， maxusers 如果不指定的话， 就会取默认值 0。 如果希望自行管理 maxusers， 则应配置一个不低于 4 的值， 特别是使用 X Window System 或编译软件的时候。 这样做的原因是， maxusers 所决定的一个最为重要的表的尺寸会影响最大进程数， 这个数值将是 20 + 16 * maxusers。 因此如果将 maxusers 设置为 1， 您就只能同时运行 36 个进程， 这还包括了 18 个左右的系统引导时启动的进程， 以及 15 个左右的， 在您启动 X Window System 时所引发的进程。 即使是简单的任务， 如阅读联机手册， 也需要启动多至九个的进程， 用以过滤、 解压缩， 并显示它。 将 maxusers 设为 64 将允许您同时执行最多 1044 个进程， 这几乎足以满足任何需要了。 不过， 如果您看在启动其它程序， 或运行用以支持大量用户的服务 (例如 ftp.FreeBSD.org) 时， 看到令人担忧的 proc table full 错误， 就应该提高这一数值， 并重新联编内核。 maxusers 并 不能 限制实际能够登录到您系统上来的用户的数量。 它的主要作用是根据您可能支持的用户数量来为一系列系统数据表设置合理的尺寸， 以便提供支持他们所需运行的进程资源。 而 能够 限制并发远程以及 X 终端窗口数量的变量则是 pseudo-device pty 16。 对于 &os; 5.X， 您不再需要为这一数字而担心， 因为 &man.pty.4; 驱动已经是 自动复制的 了； 您只需在配置文件中指定 device pty 即可。 <varname>kern.ipc.somaxconn</varname> kern.ipc.somaxconn kern.ipc.somaxconn sysctl 变量 限制了接收新 TCP 连接侦听队列的大小。对于一个经常处理新连接的高负载 web服务环境来说，默认的 128 太小了。 大多数环境这个值建议增加到 1024 或者更多。 服务进程会自己限制侦听队列的大小(例如 &man.sendmail.8; 或者 Apache)， 常常在它们的配置文件中有设置队列大小的选项。 大的侦听队列对防止拒绝服务 DoS 攻击也会有所帮助。 网络限制 NMBCLUSTERS 内核配置选项指出了系统可用的网络Mbuf的数量。 一个高流量的服务器使用一个小数目的网络缓存会影响 &os; 的性能。 每个 cluster 可能需要2K内存，所以一个1024的值需要在内核中给网络缓存保留2M内存。 可以用简单的方法计算出来需要多少网络缓存。 如果您有一个同时发生1000个以上连接的web服务器， 并且每个连接用掉16K接收和发送缓存， 就需要大概32M网络缓存来确保web服务器的工作。 一个好的简单计算方法是乘以2，所以2x32Mb/2Kb=64MB/2kb=32768。 我们建议在有大量内存的机器上把这个值设置在4096到32768之间。 没有必要把它设置成任意太高的值，它会在启动时引起崩溃。 &man.netstat.1; 的 选项可以用来观察网络cluster使用情况。 kern.ipc.nmbclusters 可以用来在启动时刻调节这个。 仅仅在旧版本的 &os; 需要使用 NMBCLUSTERS &man.config.8; 选项。 经常使用 &man.sendfile.2; 系统调用的繁忙的服务器， 有必要通过 NSFBUFS 内核选项或者在 /boot/loader.conf (查看 &man.loader.8; 以获得更多细节) 中设置它的值来调节 &man.sendfile.2; 缓存数量。 这个参数需要调节的普通原因是在进程中看到 sfbufa 状态。sysctl kern.ipc.nsfbufs 变量在内核配置变量中是只读的。 这个参数是由 kern.maxusers 决定的，然而它可能有必有因此而调整。 即使一个套接字被标记成非阻塞，在这个非阻塞的套接字上呼叫 &man.sendfile.2; 可能导致 &man.sendfile.2; 呼叫阻塞直到有足够的 struct sf_buf 可用。 <varname>net.inet.ip.portrange.*</varname> net.inet.ip.portrange.* net.inet.ip.portrange.* sysctl 变量自动的控制绑定在 TCP 和 UDP 套接字上的端口范围。 这里有三个范围：一个低端范围，一个默认范围和一个高端范围。 大多数网络程序分别使用由 net.inet.ip.portrange.first 和 net.inet.ip.portrange.last 控制的从 1024 到 5000 的默认范围。端口范围用作对外连接，并且某些情况可能用完系统的端口， 这经常发生在运行一个高负荷 web 代理服务器的时候。 这个端口范围不是用来限制主要的例如 web 服务器进入连接或者有固定端口例如邮件传递对外连接的。 有时您可能用完了端口，那就建议适当的增加 net.inet.ip.portrange.last。 10000、20000 或者 30000 可能是适当的值。 更改端口范围的时候也要考虑到防火墙。 一些防火墙会阻止端口的大部分范围 (通常是低范围的端口)并且用高端口进行对外连接(—)。 基于这个问题建议不要把 net.inet.ip.portrange.first 设的太小。 TCP 带宽迟延(Bandwidth Delay Product) 限制 TCP 带宽延迟积 net.inet.tcp.inflight.enable 限制 TCP 带宽延迟积和 NetBSD 的 TCP/Vegas 类似。 它可以通过将 sysctl 变量 net.inet.tcp.inflight.enable 设置成 1 来启用。 系统将尝试计算每一个连接的带宽延迟积， 并将排队的数据量限制在恰好能保持最优吞吐量的水平上。 这一特性在您的服务器同时向使用普通调制解调器， 千兆以太网， 乃至更高速度的光与网络连接 (或其他带宽延迟积很大的连接) 的时候尤为重要， 特别是当您同时使用滑动窗缩放， 或使用了大的发送窗口的时候。 如果启用了这个选项， 您还应该把 net.inet.tcp.inflight.debug 设置为 0 (禁用调试)， 对于生产环境而言， 将 net.inet.tcp.inflight.min 设置成至少 6144 会很有好处。 然而， 需要注意的是， 这个值设置过大事实上相当于禁用了连接带宽延迟积限制功能。 这个限制特性减少了在路由和交换包队列的堵塞数据数量， 也减少了在本地主机接口队列阻塞的数据的数量。在少数的等候队列中、 交互式连接，尤其是通过慢速的调制解调器，也能用低的 往返时间操作。但是，注意这只影响到数据发送 (上载/服务端)。对数据接收(下载)没有效果。 调整 net.inet.tcp.inflight.stab 是 不 推荐的。 这个参数的默认值是 20， 表示把 2 个最大包加入到带宽延迟积窗口的计算中。 额外的窗口似的算法更为稳定， 并改善对于多变网络环境的相应能力， 但也会导致慢速连接下的 ping 时间增长 (尽管还是会比没有使用 inflight 算法低许多)。 对于这些情形， 您可能会希望把这个参数减少到 15， 10， 或 5； 并可能因此而不得不减少 net.inet.tcp.inflight.min (比如说， 3500) 来得到希望的效果。 减少这些参数的值， 只应作为最后不得已时的手段来使用。 虚拟内存 <varname>kern.maxvnodes</varname> vnode 是对文件或目录的一种内部表达。 因此， 增加可以被操作系统利用的 vnode 数量将降低磁盘的 I/O。 一般而言， 这是由操作系统自行完成的， 也不需要加以修改。 但在某些时候磁盘 I/O 会成为瓶颈， 而系统的 vnode 不足， 则这一配置应被增加。 此时需要考虑是非活跃和空闲内存的数量。 要查看当前在用的 vnode 数量： &prompt.root; sysctl vfs.numvnodes vfs.numvnodes: 91349 要查看最大可用的 vnode 数量： &prompt.root; sysctl kern.maxvnodes kern.maxvnodes: 100000 如果当前的 vnode 用量接近最大值， 则将 kern.maxvnodes 值增大 1,000 可能是个好主意。 您应继续查看 vfs.numvnodes 的数值， 如果它再次攀升到接近最大值的程度， 仍需继续提高 kern.maxvnodes。 在 &man.top.1; 中显示的内存用量应有显著变化， 更多内存会处于活跃 (active) 状态。 添加交换空间 不管您计划得如何好，有时候系统并不像您所期待的那样运行。 如果您发现需要更多的交换空间，添加它很简单。 有三种方法增加交换空间：添加一块新的硬盘驱动器、通过 NFS 使用交换空间和在一个现有的分区上创建一个交换文件。 要了解关于如何加密交换区， 相关配置， 以及为什么要这样做， 请参阅手册的 。 在新的硬盘驱动器上使用交换空间 这是添加交换空间最好的方法， 当然为了达到这个目的需要添加一块硬盘。 毕竟您总是可以使用另一块磁盘。如果能这么做， 重新阅读一下手册中关于交换空间的 来了解如何最优地安排交换空间。 通过 NFS 交换 除非没有可以用作交换空间的本地硬盘时， 否则不推荐您使用 NFS 来作为交换空间使用。 NFS 交换会受到可用网络带宽限制并且增加 NFS 服务器的负担。 交换文件 您可以创建一个指定大小的文件用来当作交换文件。 在我们的例子中我们将会使用叫做 /usr/swap0 的 64MB 大小的文件。当然您也可以使用任何您所希望的名字。 在 &os; 中创建交换文件 确认您的内核配置包含虚拟磁盘(Memory disk)驱动 (&man.md.4;)。它在 GENERIC 内核中是默认的。 device md # Memory "disks" 创建一个交换文件(/usr/swap0)： &prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64 赋予它(/usr/swap0)一个适当的权限： &prompt.root; chmod 0600 /usr/swap0 在 /etc/rc.conf 中启用交换文件： swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired. 通过重新启动机器或下面的命令使交换文件立刻生效： &prompt.root; mdconfig -a -t vnode -f /usr/swap0 -u 0 && swapon /dev/md0 Hiten Pandya Written by Tom Rhodes 电源和资源管理 以有效的方式利用硬件资源是非常重要的。在提出 ACPI 之前，管理电源使用和系统散热对操作系统是很困难的。硬件被嵌入的 BIOS 接口管理，例如可插拔 BIOS (PNPBIOS)或者高级电源管理(APM) 等等。电源和资源管理是现代操作系统的关键组成部分。 例如您可能当系统温度过高的时候让您的操作系统能监视到 (并且可能提醒您)。 在 &os; 使用手册的这一章节，我们将提供 ACPI 全面的信息。 参考资料会在末尾给出。 什么是 ACPI？ ACPI APM 高级配置和电源接口 (ACPI) 是一个业界标准的硬件资源和电源管理接口 (因此而得名) 。它是 操作系统控制的配置和电源管理(Operating System-directed configuration and Power Management)，也就是说， 它给操作系统(OS)提供了更多的控制和弹性。 在引入 ACPI 之前， 现代操作系统使得目前即插即用接口的局限性更加 凸现 出来。 ACPI 是 APM(高级电源管理) 的直接继承者。 高级电源管理 (APM) 的缺点 高级电源管理 (APM) 是一种基于系统目前的活动控制其电源使用的机制。 APM BIOS 由 (系统的) 制造商提供， 并且是硬件平台专属的。 在 OS 中的 APM 驱动作为中介来访问 APM 软件接口， 从而实现对电源使用的管理。 APM 有四个主要的问题。 首先， 电源管理是通过 (制造商专属的) BIOS 实现的， 而 OS 则完全不了解其细节。 例如， 用户在 APM BIOS 中设置了硬盘驱动器的空闲等待数值， 当超过这一空闲时间的限制时， 它 (BIOS) 将会减慢硬盘驱动器的速度， 而不会征求 OS 的同意。 第二， APM 逻辑是嵌入 BIOS 的， 因此它是在 OS 的控制之外运转的。 这意味着用户只能通过通过刷新他们 ROM 中的 APM BIOS 才能够解决某些问题； 而这是一个很危险的操作， 因为它可能使系统进入一个无法恢复的状态。 第三， APM 是一种制造商专属的技术， 也就是说有很多第三方的 (重复的工作) 以及 bugs， 如果在一个制造商的 BIOS 中有， 也未必会在其他的产品中解决。 最后但绝不是最小的问题， APM BIOS 没有为实现复杂的电源策略提供足够的余地， 也无法实现能够非常适合具体机器的策略。 即插即用 BIOS (PNPBIOS) 在很多时候都是不可靠的。 PNPBIOS 是 16-位 的技术， 因此 OS 不得不使用 16-位 模拟才能够与 PNPBIOS 的方法 接口。 &os; APM 驱动在 &man.apm.4; 手册页中有描述。 配置 <acronym>ACPI</acronym> acpi.ko 驱动默认的在启动时通过 &man.loader.8; 被加载并且 不应该 被编译进内核。原因是这个模块跟系统很容易的工作在一起，比方说不用为了 acpi.ko 而重新编译内核。 这对更简单的测试来说很有利。另一个原因是系统启动后再启动 ACPI 不是很有用，并且在一些情况下会失败。 拿不准的话只要全部禁止 ACPI 即可。 这个驱动不应该而且不能被卸载，因为系统通过它跟各种各样的硬件打交道。 ACPI 可以通过 &man.acpiconf.8; 来禁止。实际上通过 ACPI 的交互可以通过 &man.acpiconf.8; 来完成。 简单的说，如果任何关于 ACPI 的信息在 &man.dmesg.8; 的输出中，那么它很可能已经运行了。 ACPI 和 APM 不能共存并且应该份开始用。后来装载的如果注意到另一个在运行将会终止执行。 最简单的表现形式是，ACPI 可以通过 &man.acpiconf.8; 的 标志和一个 1-5 的选项来使系统进入休眠状态。 5 选项将会像下面动作一样让系统软关机： &prompt.root; halt -p 其他选项也是可行的。查看 &man.acpiconf.8; 手册页以获得更多信息。 Nate Lawson 撰写人： Peter Schultz 协力： Tom Rhodes 使用和调试 &os; <acronym>ACPI</acronym> ACPI problems ACPI 是一种全新的发现设备、 管理电源使用、 以及提供过去由 BIOS 管理的访问不同硬件的标准化方法。 让 ACPI 在各种系统上都能正确使用的工作一直在进行， 但许多主板的 ACPI 机器语言 (AML) 字节代码中的 bug， &os; 的内核中子系统设计的不完善， 以及 &intel; ACPI-CA 解释器中的 bug 仍然不时会出现。 这份文档期望能够帮助您协助 &os; ACPI 的维护人员来找到您所观察到的问题的根源， 并通过调试找到其解决方法。 感谢您阅读这份文档， 我们也希望能够解决您的系统上的问题。 提交调试信息 在提交问题之前， 请确认您已经在运行最新的 BIOS 版本， 此外， 也包括嵌入式控制器的固件版本。 如果您希望提交一个问题， 请确保将下述信息发到 freebsd-acpi@FreeBSD.org: 问题行为的描述， 包括系统类型、型号，以及任何触发问题的相关信息。 另外， 请注意尽可能准确地描述这一问题是否对您是陌生的。 在 boot -v 之后得到的 &man.dmesg.8; 输出， 以及任何在重现 bug 时出现的错误信息。 在禁用了 ACPI 之后的 boot -v 的 &man.dmesg.8; 输出， 如果您发现禁用 ACPI 能够帮助消除问题。 来自 sysctl hw.acpi的输出。 这也是找到您的系统所提供的功能的一种好办法。 能够得到您的 ACPI Source Language (ASL) 的 URL。 不要 把 ASL 直接发到邮件列表中， 因为它们可能非常大。 为了得到 ASL 您可以运行这个命令： &prompt.root; acpidump -t -d > name-system.asl (把 name 改为您的登录名， 并把 system 改为您的硬件制造商及其型号。 例如： njl-FooCo6000.asl) 许多开发者也会订阅 &a.current; 但还是请发到 &a.acpi.name; 这样它会被更多人看到。 请耐心等待， 因为我们都有全职的其他工作。 如果您的 bug 不是显而易见的， 我们可能会要求您通过 &man.send-pr.1; 来提交一个 PR。 在输入 PR 时，请将同样的信息包含进去。 这将帮助我们来追踪和解决问题。 不要在给 &a.acpi.name; 写信之前发送 PR 因为我们把它当作已知文体的备忘录而不是报告机制。 您的问题很可能已经被其他人报告过了。 背景 ACPI ACPI 存在于采用 ia32 (x86)、 ia64 (安腾)、 以及 amd64 (AMD) 架构的所有现代计算机上。 完整的标准具有大量的各式功能， 包括 CPU 性能管理、 电源控制、 温度监控、 电池系统、 嵌入式控制器以及总线枚举。 绝大多数系统实现比完整标准的功能要少一些。 例如， 桌面系统通常只实现总线枚举部分， 而笔记本则通常支持降温和电源管理功能。 笔记本通常还提供休眠和唤醒支持， 并提供与此适应的复杂功能。 符合 ACPI 的系统中有许多组件。 BIOS 和芯片组制造商提供一些固定的表 (例如， FADT) 在存储器中， 以提供类似 APIC 映射 (用于 SMP)、 配置寄存器、 以及简单的配置值等等。 另外， 一个字节代码 (bytecode) 表 (系统区别描述表 DSDT) 则提供了通过树状命名空间来指定设备及其功能的方法。 ACPI 驱动必须要处理固定表， 实现字节码解释器， 并修改驱动程序和内核， 以接受来自 ACPI 子系统的信息。 对于 &os;， &intel; 提供了一个解释器 (ACPI-CA)， 它在 Linux 和 NetBSD 也可以使用。 ACPI-CA 源代码可以在 src/sys/contrib/dev/acpica 找到。 用于在 &os; 中允许 ACPI-CA 正确运转的代码则在 src/sys/dev/acpica/Osd。 最后， 用于实现 ACPI 设备的驱动可以在 src/sys/dev/acpica 找到。 常见问题 ACPI problems 要让 ACPI 正常工作， 它的每一部分都必须工作正常。 下面是一些常见的问题， 按照出新的频繁程度排序， 并给出了一些绕过或修正它们的方法。 鼠标问题 某些时候， 唤醒操作会导致鼠标不再正常工作。 已知的绕过这一问题的方法， 是在 /boot/loader.conf 文件中添加 hint.psm.0.flags="0x3000" 设置。 如果这样做不能解决问题， 请考虑按前面介绍的方法提交问题报告。 休眠/唤醒 ACPI 提供了三种休眠到 RAM (STR) 的状态， S1-S3， 以及一个休眠到磁盘的状态 (STD)， 称作 S4。 S5 是 软关机 同时也是系统接好电源但没有开机时的正常状态。 S4 实际上可以用两种不同的方法来实现。 S4BIOS 是一种由 BIOS 辅助的挂起到磁盘方法， 而 S4OS 则是完全由操作系统实现的。 可以使用 sysctl hw.acpi 来查看与休眠有关的项目。 这里是我的 Thinkpad 上得到的结果。 hw.acpi.supported_sleep_state: S3 S4 S5 hw.acpi.s4bios: 0 这表示我可以使用 acpiconf -s 来测试 S3， S4OS， 以及 S5。 如果 是一 (1)， 则可以使用 S4BIOS 来代替 S4 OS。 当测试休眠/唤醒时， 从 S1 开始， 如果它被支持的话。 这个状态是最可能正常工作的状态， 因为它不需要太多的驱动支持。 没有人实现 S2 但如果您有它的支持， 则应该和 S1 类似。 下一件值得尝试的是 S3。 这是最深的 STR 状态， 并需要一系列驱动的支持才能够正常地重新初始化您的硬件。 如果您在唤醒系统时遇到问题， 请不要吝惜发邮件给 &a.acpi.name; 邮件列表， 尽管不要指望问题一定会很快解决， 因为有许多驱动程序/硬件需要进行更多的测试和改进。 为了帮助隔离问题， 请在内核中删去尽可能多的驱动。 如果这样做能够解决问题， 请尝试逐个加载驱动直到问题再次出现。 通常预编译的驱动程序如 nvidia.ko、 X11 显示驱动， 以及 USB 的问题最多， 而以太网卡的驱动则通常工作的很好。 如果您能够通过加载和卸载驱动使系统正常工作， 您可以通过将适当的命令放到 /etc/rc.suspend 和 /etc/rc.resume 来将这个过程自动化。 在这两个文件中有一个注释掉的卸载和加载驱动程序的例子供您参考。 另外您还可以将 设置为零 (0)， 如果您的显示在唤醒之后显得很混乱。 此外您还可以尝试更长或更短的 值看看是否有所助益。 另一件值得一试的事情是使用一个比较新的包含 ACPI 支持的 Linux 发行版来试试看他们的 休眠/唤醒 功能是否在同样的硬件上能够正常工作。 如果在 Linux 下正常， 则很可能是 &os; 驱动程序的问题， 而隔离问题并找到存在问题的驱动有助于解决它。 需要注意的是 ACPI 的维护人员通常并不维护其他驱动 (例如 声音、 ATA， 等等) 因此如果最终发现是驱动的问题最好还是发到 &a.current.name; 邮件列表并发给驱动程序的维护者。 如果您喜欢冒险， 则可以加一些 &man.printf.3; 到有问题的驱动中， 以找到它的恢复功能发生问题的位置。 最后， 试试看禁用 ACPI 并代之以启用 APM。 如果 休眠/唤醒 能够在 APM 下正常工作， 使用 APM 可能会更好， 特别是对于较老的硬件 (2000年以前)。 硬件制造商需要一些时间来让老硬件的 ACPI 工作正常， 而 ACPI 的问题十之八九是 BIOS 中的毛病引发的。 系统停止响应 (暂时或永久性地) 中断风暴 绝大多数系统停止响应是由于未能及时响应中断或发生了中断风暴导致的。 芯片组有很多问题最终会溯源到 BIOS 如何在引导系统之前配置中断， APIC (MADT) 表的正确性， 以及 系统控制中断 (SCI) 如何路由。 通过察看 vmstat -i 的输出中包括 acpi0 的那一行可以区分中断风暴和未能及时响应中断。 如果每秒计数器增长的速度多于一两个， 则您是遇到了中断风暴。 如果系统停止了响应， 您可以尝试停止内核并进入 DDB (在控制台上按 CTRL ALTESC) 并输入 show interrupts。 APIC 禁用 处理中断问题的救命稻草是尝试禁用 APIC 支持， 这是通过在 loader.conf 中加入 hint.apic.0.disabled="1" 完成的。 崩溃 崩溃对于 ACPI 是比较罕见的情况， 如果发现， 我们将会非常重视并很快修复它。 您要做的第一件事是设法隔离出能够重现崩溃 (如果可能的话) 的操作并获取一份调用堆栈。 请启用 并设置串行控制台 (参见 ) 或配置一个 &man.dump.8; 分区。 您将在 DDB 中通过 得到调用堆栈。 如果您只能用手抄的方法记录它， 一定要记下头五 (5) 行和最后五 (5) 行。 然后， 尝试通过在启动时禁用 ACPI 来隔离故障。 如果这样做能够正常工作， 请通过设置 的那组数值来隔离具体是哪个 ACPI 子系统的问题。 请参见 &man.acpi.4; 联机手册中给出的那些例子。 系统在休眠或关机之后又启动了 首先请尝试在 &man.loader.conf.5; 中设置 0。 这将让 ACPI 不再在关机过程中禁用一些事件。 基于同样的原因， 一些系统需要把这个值设置为 1 (这是默认值)。 这通常能够修复在休眠或关机时立即再次启动的问题。 其他问题 如果您有 ACPI 的其他问题 (同 docking station 协同工作、 无法检测设备， 等等)， 请把描述发给邮件列表； 不过， 这些问题也有可能和 ACPI 中尚未完成的部分有关， 它们可能需要时间才能被实现。 请给点耐心， 并准备测试我们可能会发给您的补丁。 <acronym>ASL</acronym>、<command>acpidump</command>， 以及 <acronym>IASL</acronym> ACPI ASL 最常见的问题是 BIOS 制造商提供的不正确 (甚至完全错误的!) 字节代码。 这通常会以类似下面这样的内核消息显示在控制台上： ACPI-1287: *** Error: Method execution failed [\\_SB_.PCI0.LPC0.FIGD._STA] \\ (Node 0xc3f6d160), AE_NOT_FOUND 许多时候， 您可以通过将 BIOS 升级到最新版本来解决此类问题。 绝大多数控制台消息是无害的， 但如果您有其他问题例如电池工作不正常， 则从 AML 开始查找问题将是一条捷径。 字节代码， 或常说的 AML， 是从一种叫做 ASL 的语言写成的源代码进行编译得到的结果。 AML 一般存放在 DSDT 表中。 要得到您系统的 ASL， 需要使用 &man.acpidump.8;。 需要同时指定 (显示固定标的内容) 和 (将 AML 反编译成 ASL) 两个选项。 请参见 如何提交调试信息 一节了解如何使用它。 最方便的初步检查是尝试重新编译 ASL 来看看是否有错误。 通常可以忽略这一过程中产生的警告， 但错误一般就都是 bug， 它们通常就是导致 ACPI 无法正常工作的原因。 要重新编译您的 ASL， 可以使用下面的命令： &prompt.root; iasl your.asl 修复 <acronym>ASL</acronym> ACPI ASL 我们的长期目标是让每一个人都能够在不需要任何用户干预的情况下使用 ACPI。 然而， 目前我们仍然在开发绕过 BIOS 制造商常见错误的方法。 µsoft; 解释器 (acpi.sys 和 acpiec.sys) 并不会严格地检查是否遵守了标准， 因此许多只在 &windows; 中测试 ACPI 的 BIOS 制造商很可能永远不会修正他们的 ASL。 我们希望不断地找出并用文档说明 µsoft; 的解释器到底允许那些不标准的行为， 并在 &os; 进行对应的修改使它能够正常工作而不需要用户修正 ASL。 作为一项临时缓解问题的方法， 并帮助我们确认其行为， 您可以手工修正 ASL。 如果这样能够解决问题， 请把新旧 ASL 的 &man.diff.1; 发给我们， 这样我们就有可能绕过 ACPI-CA 中的错误行为， 从而不再需要您来手工修正。 ACPI error messages 下面是一些常见的错误信息， 它们的原因， 以及如何修正。 _OS dependencies (_OS 依赖) 某些 AML 假定世界是由不同版本的 &windows; 组成的。 您可以让 &os; 声称自己是任意 OS 来看一看是否能够修正问题。 比较简单的办法是设置 ="Windows 2001" 到 /boot/loader.conf 中， 或使用您在 ASL 中找到的其他字符串。 Missing Return statements (缺少返回语句) 一些方法可能没按照标准要求的那样显式地返回值。 尽管 ACPI-CA 无法处理它， 但 &os; 提供了一个绕过它并允许其暗含地返回值的方法。 您也可以增加一个显式的 Return 语句， 如果您知道那里需要返回一个值的话。 要强制 iasl 编译 ASL， 需要使用 标志。 替换默认的 <acronym>AML</acronym> 在定制 your.asl 之后， 您可以通过下面的命令编译它： &prompt.root; iasl your.asl 可以使用 标志来强制创建 AML， 即使在编译过程中发生了错误。 请注意某些错误 (例如， 缺少 Return 语句) 会自动被解释器忽略掉。 DSDT.aml 是 iasl 命令的默认输出文件名。 可以加载它来取代您 BIOS 中存在问题的副本 (它仍然存在于闪存中)， 其方法是按下面的说明编辑 /boot/loader.conf： acpi_dsdt_load="YES" acpi_dsdt_name="/boot/DSDT.aml" 一定要把您的 DSDT.aml 复制到 /boot 目录中。 从 <acronym>ACPI</acronym> 中获取调试输出信息 ACPI 问题 ACPI 调试 ACPI 驱动程序提供了非常灵活的调试机制。 这允许您指定一组子系统， 以及所需要的详细信息。 需要调试的子系统可以按 layers(层) 来指定， 并分为 ACPI-CA 组件 (ACPI_ALL_COMPONENTS) 和 ACPI 硬件支持 (ACPI_ALL_DRIVERS)。 调试输出的详细程度可以通过 level(详细度) 来指定， 其范围是 ACPI_LV_ERROR (只报告错误) 到 ACPI_LV_VERBOSE (显示所有)。 level 是一个位掩码因此可以一次设置多个选项， 中间用空格分开。 实际使用中您应该考虑使用串行控制台来记录输出， 如果它太长以至于冲掉了控制台消息缓冲的话。 不同的层和输出详细度的完整列表可以在 &man.acpi.4; 联机手册中找到。 调试输出默认并不开启。 要起用它， 您需要在内核设置中添加 options ACPI_DEBUG， 如果您的内核中编入了 ACPI 的话。 您还可以在 /etc/make.conf 中加入 ACPI_DEBUG=1 来在全局起用它。 如果它只是模块， 您可以用下面的方法来重新编译 acpi.ko： &prompt.root; cd /sys/modules/acpi/acpi && make clean && make ACPI_DEBUG=1 安装 acpi.ko 到 /boot/kernel and add your 并把所需的详细度和层在 loader.conf 中指定。 这个例子将启用所有 ACPI-CA 组件以及所有 ACPI 硬件驱动 (CPU、 LID， 等等) 的消息。 只输出错误信息， 也就是最低的详细度。 debug.acpi.layer="ACPI_ALL_COMPONENTS ACPI_ALL_DRIVERS" debug.acpi.level="ACPI_LV_ERROR" 如果您需要的信息是由某个特定的事件触发的 (比如说， 休眠之后的唤醒)， 您可以不修改 loader.conf 而转而使用 sysctl 来在启动和为那个事件准备系统之后再指定层和详细度。 这些 sysctl 的名字和 loader.conf 中的一致。 参考文献 关于 ACPI 的更多信息可以从下面这些地方找到： The &a.acpi; ACPI 邮件列表存档 旧的 ACPI 邮件列表存档 The ACPI 2.0 标准 &os; 手册页: &man.acpi.4;, &man.acpi.thermal.4;, &man.acpidump.8;, &man.iasl.8;, &man.acpidb.8; DSDT 调试资源. (使用 Compaq 作为例子但通常情况下都很有用。) diff --git a/zh_CN.GB2312/books/handbook/install/chapter.sgml b/zh_CN.GB2312/books/handbook/install/chapter.sgml index ba77468b46..ed4fec376e 100644 --- a/zh_CN.GB2312/books/handbook/install/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/install/chapter.sgml @@ -1,4500 +1,4565 @@ Jim Mock 结构、组织重整, 部分重写 Randy Pratt sysinstall 操作流程、屏幕抓图以及一般性文件 安装 FreeBSD 概述 installation FreeBSD 提供了一个以文字为主，简单好用的安装程序，叫做 sysinstall 。这是 FreeBSD 默认使用的安装程序； 厂商如果想，也可以提供适合自己需要的安装程序。本章说明如何使用 sysinstall 来安装 FreeBSD。 学习完本章之后，您将会知道： 如何制作 FreeBSD 安装磁盘 FreeBSD如何参照及分割您的硬盘 如何启动 sysinstall. 在执行 sysinstall 时您将要回答的问题、 问题代表什么意义，以及该如何回答它们。 在阅读本章之前，您应该： 阅读您要安装的 FreeBSD 版本所附的硬件支持列表以确定您的硬件有没有被支持。 一般来说，此安装说明是针对 &i386; (PC 兼容机) 体系结构的电脑。 如果有其它体系结构(如Alpha)的安装说明，我们将一并列出。 虽然本文档经常保持更新，但有可能与您安装版本上所带的说明文档有些许出入。 在这里建议您使用本说明文章作为一般性的安装指导参考手册。 + + 硬件需求 + + + 最小配置 + + 安装 &os; 所需的最小硬件配置， 随 + &os; 版本和硬件架构不同而有所不同。 + + 关于安装所需的最低硬件配置信息， 可以在 &os; 网站的 发行版信息 + 部分中的 安装说明书 中找到。 在接下来的几节中， 给出了这些信息的一些总结。 + 随您安装 &os; 的方式不同， 可能需要使用软驱或为 &os; 支持的 CDROM 驱动器， + 有时候也可能需要的是一块网卡。 这将在 中进行介绍。 + + + &i386; 和 pc98 架构 + + &os;/&i386 和 &os;/pc98 版本， 都需要 486 或更高的处理器， + 以及至少 24 MB 的 RAM。 您需要至少 150 MB 的空闲硬盘空间， + 才能完成最小的安装配置。 + + + 对于老旧的硬件而言， 多数时候， + 装配更多的 RAM 和腾出更多的硬盘空间， + 要比使用更快的处理器更有用。 + + + + + Alpha 架构 + + 要安装 &os;/alpha， 您使用的必须是某种受支持的平台 + (参见 ) + 而且 &os; 必须独占一个硬盘。 目前 &os; 还无法与其它操作系统共享磁盘。 + 这个磁盘必须接在 SRM 固件支持的 SCSI 控制器上， 或者如果您机器上的 + SRM 支持从 IDE 硬盘启动， 则应装到 IDE 硬盘上。 + + 此外您还需要用于您的平台 SRM 控制台固件。 有时， 可以在 + AlphaBIOS (或 ARC) 固件和 SRM 之间切换。 如果没有， + 则需要从制造商网站上下载并安装新的固件。 + + + + amd64 架构 + + 运行 &os;/amd64 需要 &amd.athlon;64、 + &amd.athlon;64-FX、 &amd.opteron; 或更高的处理器。 + + 如果您的计算机使用 nVidia nForce3 + Pro-150， 则 必须 使用 BIOS 配置， + 禁用 IO APIC。 如果您没有找到这样的选项， + 可能就只能转而禁用 ACPI 了。 Pro-150 芯片组存在一个 bug， + 目前我们还没有找到绕过这一问题的方法。 + + + + &sparc64; 架构 + + 要安装 &os;/&sparc64;， 必须使用它支持的平台 (参见 )。 + + &os;/&sparc64; 需要独占一块磁盘。 目前还没有办法与其它操作系统共享一块磁盘。 + + + + + 支持的硬件 + + 支持的硬件列表， 会作为 &os; 发行版本的 &os; 兼容硬件说明提供。 + 这个文档通常可以在 CDROM 或 FTP 安装文件的顶级目录找到， + 它的名字是 HARDWARE.TXT， 此外， 在 + sysinstall 的 documentation 菜单也可以找到。 + 它针对特定的硬件架构列出了 &os; 已知支持的硬件。 不同发行版本和架构上的硬件支持列表， + 可以在 &os; 网站的 发行版信息 页面上找到。 + + + 安装前的准备工作 列出您电脑的硬件清单 在安装 FreeBSD 之前，您应该试着将您电脑中的硬件清单列出来。FreeBSD 安装程序会将这些硬件(磁盘、网卡、光驱等等)以及型号及制造厂商列出来。 FreeBSD 也会尝试为这些设备找出最适当的 IRQ 及 IO 端口的设定。但是因为 PC 的硬件种类实在太过复杂，这个步骤不一定总是能成功。 这时，您就可能需要手动更改有问题的设备的设定值。 如果您已经安装了其它的操作系统，如 &windows; 或 Linux，那么您可以先由 这些系统所提供的工具来查看您的设备设定值是怎么分配的。如果您真的没办法 确定某些接口卡用什么设定值，那么您可以检查看看，说不定它的设定已经标示 在卡上。常用的 IRQ 号号码为 3、5 以及 7；IO 端口的值通常以 16 进制位表示，例如 Ox330。 我们建议您在安装 FreeBSD 之前把这些信息打印或记录下来，做成表格 的样子也许会比较有帮助，例如： 硬件设备清单 设备名 IRQ IO 端口号 备注 第一块硬盘 N/A N/A 40 GB，Seagate 制造，第一个 IDE 接口主设备 CDROM N/A N/A 第一个 IDE 接口从设备 第二块硬盘 N/A N/A 20 GB，IBM 制造, 第二个 IDE 接口主设备 第一个 IDE 控制器 14 0x1f0 网卡 N/A N/A &intel; 10/100 Modem N/A N/A &tm.3com; 56K faxmodem，位于 COM1 口 …
+ + 在清楚地了解了您计算机的配置之后， 需要检查它是否符合您希望安装的 + &os; 版本的硬件需求。 备份您的数据 如果您的电脑上面存有重要的数据资料，那么在安装 FreeBSD 前请确定 您已经将这些资料备份了，并且先测试这些备份文档是否有问题。FreeBSD 安装程序在要写入任何资料到您的硬盘前都会先提醒您确认，一旦您确定要 写入，那么以后就没有反悔的机会。 决定要将 FreeBSD 安装到哪里 如果您想让 FreeBSD 使用整个硬盘，那么请直接跳到下一节。 但是，如果您想让 FreeBSD 跟您已有的系统并存，那么您必须对您数据 存在硬盘的分布方式有深入的了解以及其所造成的影响。 &i386; 体系结构的硬盘分配方式 一个 PC 硬盘可以被细分为许多分散的区域。这些区域叫做 分区(partitions)。 由于设计的原因，每个硬盘仅 支持四个分区；这些分区叫做主分区(Primary partion)。 为了突破这个限制以便能使用更多的分区，就有了新的分区类型，叫做 扩展分区(Extended partition)。一个硬盘可以拥有一个扩展分区。在 扩展分区里可以建立许多个所谓的逻辑分区(Logical partitions)。 每个分区都有其独立的分区号(partition ID), 用以区分每个分区的数据类型。FreeBSD 分区的分区号为 165。 一般而言，每种操作系统都会有自己独特的方式来区别分区。例如 DOS 及其 之后的 &windows;， 会分配给每个主分区及逻辑分区一个 驱动器字符， 从 C: 开始。 FreeBSD 必须安装在主分区。 FreeBSD 可以在这个分区上面存放系统数据 或是您建立的任何文件。然而，如果您有多个硬盘，您也可以在这些硬盘上(全部 或部分)建立 FreeBSD 分区。在您安装 FreeBSD 的时候，必须要有一个分区可以给 FreeBSD 使用。这个分区可以是尚未规划的分区或是已经划好，但是里面的数据 您都不想保存的分区。 如果您已经用完了您硬盘上的所有分区，那么您必须使用其它操作系统所 提供的工具(如 DOS 或 &windows; 下的 fdisk)来腾出一个分区 给 FreeBSD 使用。 如果您的某个分区有多余的空间，您可以使用它。但是使用前您需要先整理 一下这些分区。 FreeBSD 最小安装需要约 100 MB 的空间，但是这仅是 非常 基本的安装，几乎没有剩下多少空间可以建立您自己的文件。一个较理想的最小安装是 250 MB，不含图形界面；或是 350 MB 以上，包含图形界面。如果您还需要安装 其它的第三方厂商的套件，那么将需要更多的硬盘空间。 您可以使用商业软件，例如 &partitionmagic; (硬盘分区魔术师) 或类似 GParted 这样的免费工具来调整分区尺寸， 为 FreeBSD 腾出空间。 FreeBSD 光盘的 tools 目录包含两个免费的工具也可以完成这个工作：FIPS 以及 PResizer，它们的文档可以在同一目录中找到。FIPS、 PResizer，和 &partitionmagic; 能够改变 FAT16 以及 FAT32 分区的大小 — 它们可以在 &ms-dos; 以及 &windows; ME 系统中使用。 这些工具的说明文件可以在同一个目录下面找到 &partitionmagic; 和 GParted 都能改变 NTFS 分区的尺寸。 不当的使用这些工具可能会删掉您硬盘上的数据资料！在使用这些工具前 确定您有最近的、没问题的备份数据。 使用已存在的分区 假设您只有一个 4GB 的硬盘，而且已经装了 &windows; 然后您将这个硬盘分成两个分区 C: 跟 D:，每个分区大小为 2 GB。在 C: 分区上存放有 1 GB 的数据、 D:分区上存放 0.5 GB 的数据。 这意味着您的盘上有两个分区，一个驱动器符号是一个分区(如 c:、d:)。 您可以把所有存放在 D: 分区上的数据复制到 C: 分区,这样就空出了一个分区(d:)给 FreeBSD 使用。 缩减已现在的分区 假设您只有一个 4 GB 的硬盘，而且已经装了 &windows;。您在安装 &windows; 的时候 把 4 GB 都给了 C: 分区，并且已经使用了 1.5 GB 的空间。 您想将剩余空间中的 2 GB 给 FreeBSD 使用。 为了安装 FreeBSD，您必须从下面两种方式中选择一种： 备份 &windows; 的数据资料，然后重新安装 &windows;，并给 &windows; 分配 2 GB 的空间。 使用上面提及的 &partitionmagic; 来整理 或切割您的分区。 Alpha 体系结构的硬盘分配方式 Alpha 在 Alpha 上，您必须使用一整颗硬盘给 FreeBSD，没有办法在同一个硬盘上跟 其它操作系统共存。根据不同的 Alpha 机器，您的硬盘可以是 SCSI 或 IDE 硬盘，只要 您的机器可以从这些硬盘开机就可以。 按照 Digital/Compaq 使用手册书写的惯例，所有 SRM 输入的部分都用大写 表示。注意，SRM 大小写有别。 要想得知您硬盘的名称以及型号，可以在 SRM console 提示符下使用 SHOW DEVICE 命令: >>>SHOW DEVICE dka0.0.0.4.0 DKA0 TOSHIBA CD-ROM XM-57 3476 dkc0.0.0.1009.0 DKC0 RZ1BB-BS 0658 dkc100.1.0.1009.0 DKC100 SEAGATE ST34501W 0015 dva0.0.0.0.1 DVA0 ewa0.0.0.3.0 EWA0 00-00-F8-75-6D-01 pkc0.7.0.1009.0 PKC0 SCSI Bus ID 7 5.27 pqa0.0.0.4.0 PQA0 PCI EIDE pqb0.0.1.4.0 PQB0 PCI EIDE 此范例使用 Digital Personal Workstation 433au 并且显示出此机器联接 有三个硬盘。第一个是 CDROM，叫做 DKA0；另外两个 是两个硬盘，分别叫做 DKC0 及 DKC100 。 硬盘名称中有 DKx 字样的是 SCSI 硬盘。例如 DKA100 表示是一个 SCSI 设备，其 SCSI ID 为 1，位于 第一个 SCSI 接口 (A)。 DKC300 表示一个 SCSI 硬盘， SCSI ID 为 3，位于第三个 SCSI 接口 (C)。设备名称 PKx 表示 SCSI 控制卡。由以上 SHOW DEVICE 指令的输出结果看来， SCSI 光盘也被视为是 SCSI 硬盘的一种。 IDE 硬盘的名称类似 DQx，而 PQx 则表示相对应的硬盘控制器。 收集您的网络配置相关资料 如果您想通过网络(FTP 或是 NFS)安装 FreeBSD，那么您就必须知道您的网络配置 信息。在安装 FreeBSD 的过程中将会提示您输入这些资料，以顺利完成安装过程。 使用以太网或电缆/DSL Modem 如果您通过局域网或是要通过网卡使用电缆/DSL 上网，那么您必须准备下面 的信息： IP 地址。 默认网关 IP 地址。 主机名称。 DNS 服务器的 IP 地址。 子网掩码。 如果您不知道这些信息，您可以询问系统管理员或是您的网络服务提供者。 他们可能会说这些信息会由 DHCP 自动分配；如果这样的话， 请记住这一点就可以了。 使用 Modem 连接 如果您由 ISP 提供的拨号服务上网，您仍然可以通过它安装 FreeBSD， 只是会需要很长的时间。 您必须知道： 拨号到 ISP 的电话号码。 您的 modem 是连接到哪个 COM 端口。 您拨号到 ISP 所用的账号和密码。 检查 FreeBSD 发行勘误 虽然我们尽力确保每个 FreeBSD 发行版本的稳定性，但偶尔也会有一些错误进入发行版。 极少数情况下，这些问题甚至可能会影响安装。 当发现和修正问题之后，它们会列在 FreeBSD 网站中的 FreeBSD 发行勘误 中。 在您安装之前，应该首先看一看这份勘误表，以了解可能存在的问题。 虽然我们尽力使得每个 FreeBSD 释出版本都很稳定，但是过程中仍然不免有时 会发现错误。在很罕见的情形下，这些错误会影响到安装过程。当我们发现这些 错误并且修正后，会将它们列在 FreeBSD 网站的 FreeBSD Errata(勘误表)中, 在您安装FreeBSD前应该 先看看勘误表中有没有什么问题会影响到您的安装。 关于所有释出版本的信息，包括勘误表，可以在 FreeBSD 网站的发行版信息 一节中找到。 准备安装介质 FreeBSD 可以通过下面任何一种安装介质进行安装： 安装介质 CDROM 或 DVD 在同一计算机上的 DOS 分区 SCSI 或 QIC 磁带 软盘 网络 通过防火墙的一个 FTP 站点，或使用 HTTP 代理。 NFS 服务器 一个指定的并行或串行接口 如果您购买了 FreeBSD 的 CD 或 DVD，那么您可以直接进入下一节 。 如果您还没有 FreeBSD 的安装文件，您应该回到 一节， 它介绍了如何准备所需要的安装介质。之后，您就可以回到这一节， 并从 继续。 准备引导介质 FreeBSD 的安装过程开始于将您的电脑开机进入 FreeBSD 安装环境—－并非在 其它的操作系统上运行一个程序。计算机通常使用安装在硬盘上的操作系统进行 引导，也可以配置成使用一张bootable(可引导)的软盘进行启动。 大多数现代计算机都可以从光驱进行引导系统。 如果您有 FreeBSD 的安装光盘或 DVD(或者是您购买的，或者是您自己准备的。) 并且您的计算机可以从光驱进行启动 (通常在 BIOS 中会有 Boot Order 或类似的选项可以设置)，那么您就可以跳过此小节。因为 FreeBSD 光盘及 DVD 光盘都是可 以引导的，用它们开机您不用做什么特别的准备。 一般来说，要建立安装盘(软盘)请依照下列步骤： 获取开机软盘映像文件 开机软盘映像文件可以在您的安装介质的 floppies/ 目录下找到， 另外您也可以从下述网站的 floppies 目录下载： ftp://ftp.FreeBSD.org/pub/FreeBSD/releases/<架构名>/<版本>-RELEASE/floppies/. 将 <架构名> 和 <版本> 替换为您使用的计算机体系结构和希望安装的版本号。 例如，用于安装 &i386; 上的 &os; &rel.current;-RELEASE 的文件的地址， 应该是 。 软盘映像文件的扩展名是 .flp。 在 floppies/ 目录中包括了许多不同的映像文件， 随您安装的 FreeBSD 版本， 某些时候也随硬件的不同， 您需要使用的映像文件可能会有所不同。 您通常会需要三张软盘， 即 boot.flp、 kern1.flp， 以及 kern2.flp。 请查阅同一目录下的 README.TXT 文件以了解关于这些映像文件的最新信息。 在安装 &os; 5.3 之前的 5.X 系统时， 某些设备可能会需要另一张软盘来加载它们的驱动。 这些驱动在 drivers.flp 映像中提供。 您的 FTP 程序必须使用 二进制模式 来下载这些映 像文件。有些浏览器只会用 text (或ASCII ) 模式来传输数据， 用这些浏览器下载的映像文件做成的软盘将无法正常开机。 准备软盘 您必须为您下载的每一个映像文件准备一张软盘。并且请避免使用到坏掉的 软盘。最简单的方式就是您先将这些软盘格式化，不要相信所谓的已格式化的软 盘。在 &windows; 下的格式化程序不会告诉您出现多少坏块，它只是简单的标记它 们为 bad 并且忽略它们。根据建议您应该使用全新的软盘来存放 安装程序。 如果您在安装 FreeBSD 的过程中造成当机、冻结或是其它怪异现象，第一个 要怀疑的就是引导软盘。请用其它的软盘制作映像文件再试试看。 将映像文件写入软盘中 .flp 文件 并非 一般的文件， 您不能直接将它们复制到软盘上。事实上它是一张包含完整磁盘内容的映像文件。这 表示您 不能 简单的使用 DOS 的 copy 命令将文件写到软盘上， 而必须使用特别的工具程序将映像文件直接写到软盘中。 DOS 如果您使用 &ms-dos; 或 &windows; 操作系统来制作引导盘，那么您可以使用我们提供 的 fdimage 程序来将映像文件写到软盘中。 如果您使用的是光盘，假设光盘的驱动器符号为 E:， 那么请执行下面的命令： E:\> tools\fdimage floppies\kern.flp A: 重复上述命令以完成每个 .flp 文件的写入，每换一个 映像文件都必须更换软盘；制作好的软盘请注明是使用哪个映像文件做的。如果您的映 像文件存放在不同的地方，请自行修改上面的指令指向您存放 .flp 文件的地方。要是您没有 FreeBSD 光盘，您可以到 FreeBSD 的 FTP 站点tools 目录 中下载。 如果您在 &unix; 系统上制作软盘(例如其它 FreeBSD 机器)，您可以使用 &man.dd.1; 命令来将映像文件写到软盘中。如果您用 FreeBSD,可以执行下面的命令： &prompt.root; dd if=kern.flp of=/dev/fd0 在 FreeBSD 中，/dev/fd0 指的是第一个软驱(即 A: 驱动器)；/dev/fd1 是 B: 驱动器,依此类推。其它的 &unix; 系统可能会用 不同的的名称，这时您就要查阅该系统的说明文件。 您现在可以安装 FreeBSD 了 开始安装 默认情况下, 安装过程并不会改变任何您硬盘中的数据，除非您看到 下面的讯息： Last Chance: Are you SURE you want continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! 在看到这最后的警告讯息前您都可以随时离开安装程序面不会变更您的硬盘。 如果您发现有任何设定错误，这时您可以直接将电源关掉而不会造成任何伤害。 开机启动 引导 &i386; 系统 从电脑尚未开机开始说起 将电脑电源打开。刚开始的时候它应该会显示进入系统设置菜单或 BIOS 要按哪个键，常见的是 F2、F10、 Del 或 Alt S 。不论是要按哪个键，请按它进入 BIOS 设置画面。有时您的计算机 可能会显示一个图形画面，典型的做法是按 Esc 将关掉这个图形 画面，以使您能够看到必要的设置信息。 找到设置开机顺序的选项，它的标记为 Boot Order 通常会列出一些设备让您选择，例如：Floppy、 CDROM、First Hard Disk 等等。 如果您要用软盘安装，请确定选到 floppy disk；如果您要用光盘安装， 请选择 CDROM。为了避免疑惑，请参考您的主板说明手册。 储存设定并离开，系统应该会重新启动。 如果您用软盘安装，请将在 一节中制作好的第一张引导盘，里面包含kern.flp 文件的那张盘，放入软盘驱动器中。 如果您是从光盘安装，那么开机后请将 FreeBSD 光盘放入光驱中。 如果您开机后如往常一样并没有从软盘或光盘引导，请检查： 是不是软盘或光盘太晚放入面错失开机引导时间。如果是，请将它们 放入后重新开机。 BIOS 设定不对，请重新检查 BIOS 的设定。 您的 BIOS 不支持从这些安装介质引导。 FreeBSD 即将启动。如果您是从光盘引导，您会见到类似下面的画面： Verifying DMI Pool Data ........ Boot from ATAPI CD-ROM : 1. FD 2.88MB System Type-(00) Uncompressing ... done BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive B: is disk1 BIOS drive C: is disk2 BIOS drive D: is disk3 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 0.8 /kernel text=0x277391 data=0x3268c+0x332a8 | | Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 如果您是从软盘引导，会看到类似下面的画画： Verifying DMI Pool Data ........ BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive C: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 0.8 /kernel text=0x277391 data=0x3268c+0x332a8 | Please insert MFS root floppy and press enter: 请根据提示将 kern.flp 软盘取出， 并插入 mfsroot.flp 这张盘， 然后按 Enter。 &os; 5.3 和更高版本提供了另外一组软盘， 在 前一节 中已经介绍过了。 您只需从第一张软盘启动， 然后再需要时根据提示插入其他软盘。 不论是从软盘或光盘引导，您都会看到下面这段信息： Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 您可以等待十秒， 或按 Enter。 引导 Alpha 系统 Alpha 从电脑尚未打开电源开始。 打开电脑电源并等待屏幕上出现开机提示信息。 如您需要准备安装软盘，请参考 。 将用 kern.flp 做的引导盘放入软驱中然后输入下列命令 (请视实际情况修改命令中的软驱盘符)： >>>BOOT DVA0 -FLAGS '' -FILE '' 如果您要从光盘引导，请将光盘放入光驱中然后输入下列命令开始安装 (请视情况修改命令中的光驱盘符)： >>>BOOT DKA0 -FLAGS '' -FILE '' 然后 FreeBSD 就会启动。如果您从软盘引导，到某个阶段您会看到下面的信息： Please insert MFS root floppy and press enter: 按照屏幕指示，将 kern.flp 软盘取出，换上 mfsroot.flp 然后按Enter键。 不论从软盘或光盘引导，您都会看到下面这段信息： Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 您可以等待 10 秒或是按 Enter 跳过。之后就会进入内核 设定菜单。 查看设备探测的结果 前面屏幕显示的最后几百行字会存在缓冲区中以便您查阅。 要浏览缓冲区，您可以按下 Scroll Lock 键，这会开启画面的 卷动功能。然后您就可以使用方向键或 PageUp 、PageDown 键来上下翻阅。再按一次 Scroll Lock 键将停止画面卷动。 在您浏览的时候会看到类似 的画面。 真正的结果依照您的电脑装置而有所不同。
典型的设备探测结果 avail memory = 253050880 (247120K bytes) Preloaded elf kernel "kernel" at 0xc0817000. Preloaded mfs_root "/mfsroot" at 0xc0817084. md0: Preloaded image </mfsroot> 4423680 bytes at 0xc03ddcd4 md1: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1:<VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <iSA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0 <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci 0 usb0: <VIA 83572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr1 uhub0: 2 ports with 2 removable, self powered pci0: <unknown card> (vendor=0x1106, dev=0x3040) at 7.3 dc0: <ADMtek AN985 10/100BaseTX> port 0xe800-0xe8ff mem 0xdb000000-0xeb0003ff ir q 11 at device 8.0 on pci0 dc0: Ethernet address: 00:04:5a:74:6b:b5 miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xec00-0xec1f irq 9 at device 10. 0 on pci0 ed0 address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 orm0: <Option ROM> at iomem 0xc0000-0xc7fff on isa0 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <Keyboard controller (i8042)> at port 0x60,0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/@ mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x100 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 pppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold plip0: <PLIP network interface> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master UDMA33 acd0: CD-RW <LITE-ON LTR-1210B> at ata1-slave PIO4 Mounting root from ufs:/dev/md0c /stand/sysinstall running as init on vty0
仔细检查探测结果以确定 FreeBSD 找到所有您期望出现的设备。 如果设备没有被探测到， 那么就不会列出。 如果此设备需要配置 IRQ 以及 IO 端口地址， 请检查输入是否正确。 如果您需要改变某些设备的设置，您可以很容易地退出 sysinstall 程序，然后从头重新来过。这也有助您熟悉这些过程。
选择离开 Sysinstall
在主界面使用方向键选择 Exit Install 您会看到 如下的信息： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies from the drives). [ Yes ] No 如果 CDROM 还留在光驱里，而且选择了 &gui.yes;， 则安装程序将重新启动。 如果您是从软盘启动，那么重新开机前您必须将 mfsroot.flp 软盘取出再换上 kern.flp 软盘。 介绍 Sysinstall sysinstall 是 FreeBSD 项目所提供的安装程序。 它以 console(控制台)为主，分为多个菜单及画面让您配置及控制安装过程。 sysinstall 菜单画面由方向键、Enter 、 Space、以及其它按键所控制。在主画面的 Usage 菜单 有这些按键的说明。 要查看这些说明，请将光标移到 Usage 项目，然后 [Select] 按键被选择，， 然后按下 Enter 键。 安装画面的使用说明会显示出来，阅读完毕请按 Enter 键回到主 画面。
选取 Sysinstall 主菜单的 Usage 项目
选择 Documentation(说明文件) 菜单 用方向键从主菜单选择 Doc 条目然后按 Enter键。
选择说明文件菜单
这将会进入说明文件菜单。
Sysinstall 说明文件菜单
阅读这些说明文件很重要。 要阅读一篇文章，请用方向键选取要阅读的文章然后按 Enter 键。 阅读中再按一下 Enter 就会回到说明文件画面。 若要回到主菜单，用方向键选择 Exit 然后按下 Enter 键。 选择键盘对应(Keymap)菜单 如果要改变键盘按键的对应方式，请在主菜单选取 Keymap 然后按 Enter 键。一般情况下不改变此项，除非您使用了非标准键盘或非 美国键盘。
Sysinstall 主菜单
您可以使用上下键移动到您想使用的键盘对应方式，然后按下 Space 键以选取它；再按 Space 键可以取消选取。当您完成后，请选择 &gui.ok; 然后按 Enter 键。 这一屏幕只显示出部分列表。选择 &gui.cancel; 按 Tab 键将使用 默认的键盘对应，并返回到主菜单
Sysinstall 键盘对应菜单
安装选项设置画面 选择 Options 然后按 Enter 键。
Sysinstall 主菜单
Sysinstall 选项设置
预设值通常可以适用于大部分的使用者，您并不需要改变它们。版本名称要 根据安装的版本进行变化。 目前选择项目的描述会在屏幕下方以蓝底白字显示。注意其中有一个项目是 Use Defaults(使用默认值)您可以由此项将所有的 设定还原为预设值。 可以按下 F1 来阅读各选项的说明。 按 Q 键可以回到主画面。 开始进行标准安装 Standard(标准) 安装适用于那些 &unix; 或 FreeBSD 的初级使用者。用方向键选择 Standard 然后按 Enter 键可开始进入标准安装。
开始进行标准安装
分配磁盘空间 您的第一个工作就是要分配 FreeBSD 用的硬盘空间以便 sysinstall 先做好一些准备。为了完成这个工作，您必须先对 FreeBSD 如何找到 磁盘信息做一个了解。 BIOS 磁盘编号 当您在系统上安装配置 FreeBSD 之前，有一个重要的事情一定要注意，尤其 是当您有多个硬盘的时候。 DOS Microsoft Windows 在 pc 架构，当您跑像 &ms-dos; 或 µsoft.windows; 这种跟 BIOS 相关的操作 系统的时候，BIOS 有能力改变正常的磁盘顺序，然后这些操作系统会跟着 BIOS 做改变。 这让使用者不一定非要有所谓的 primary master 硬盘开机。许多人发 现最简单而便宜备份系统的方式就是再去买一块一模一样的硬盘，然后定期将数据从第 一块硬盘复制到第二个硬盘，使用 Ghost 或 XCOPY。所以，当第一个硬盘死了，或者是被病毒破坏， 或者有坏轨道，他们可以调整 BIOS 中的开机顺序而直接用第二块硬盘开机。这跟将机壳 拆开，把第二块硬盘跟第一块硬盘对调(要调jumper)有同样的效果，差别就是不用拆壳； 因此，对有这方面需求的人而言，直接在 BIOS 中设定非常方便。 SCSI BIOS 比较昂贵，配有 SCSI 控制卡的系统通常可以延伸 BIOS 的功能来让 SCSI 设备(可达七个) 达到类似改变顺序的功能。 习惯于使用这种方式的使用者可能会感到惊讶，因为在 FreeBSD 中并非如此。 FreeBSD 不会参考 BIOS，而且也不知道所谓的 BIOS 逻辑磁盘对应。 是怎么回事。这会让人感觉很疑惑，明明就是一样的硬盘而且资料也完全从另一块 复制过来的，结果却没办法像以前那样用。 当使用 FreeBSD 以前，请将 BIOS 中的硬盘开机顺序调回正常的顺序，并且以后 不要再改变。 如果一定要交换硬盘顺序， 那请用硬件的方式， 打开机壳并调整调线。 范例：Bill 和 Fred 的安装历险 Bill 替 Fred 把旧的 Wintel 的机器装上了 FreeBSD。他装了一台 SCSI 硬盘， ID 是 0，然后把 FreeBSD 装在上面。 Fred 开始使用他新的 FreeBSD 系统；但是过了几天，他发现这旧的 SCSI 硬盘发生了许多小问题。之后，他就跟 Bill 说起这件事。 又过了几天，Bill 决定是该解决问题的时候了，所以他从后面房间的硬盘 收藏 中找出了一个一模一样的硬盘，并且经过表面测试后显示这块 硬盘没有问题。因此，Bill 将它的 ID 调成 4，然后安装到 Fred 的机器，并且将资料从 磁盘 0 复制到磁盘 4。现在新硬盘装好了，而且看起来好像一切正常；所以，Bill 认为 现在应该可以开始用它了。Bill 于是到 SCSI BIOS 中设定 SCSI ID 4 为开机盘，用磁盘 4 重新开机后，一切跑得很顺利。 继续用了几天后，Bill 跟 Fred 决定要来玩点新的：该将 FreeBSD 升级了。Bill 将 ID 0 的硬盘移除(因为有问题)并且又从收藏区中拿了一块一样的硬盘来。然后他 用 Fred 神奇的网络 FTP 磁盘将新版的 FreeBSD 安装在这块硬盘上；安装过程没什么问 题发生。 Fred 用了这新版本几天后，觉得它很适合用在工程部门…是时候将以前放在旧 系统的工作资料复制过来了。因此，Fred 将 ID4 的 SCSI 硬盘(里面有放着旧系统中复制 过来的最新资料)mount 起来，结果竟然发现在 ID4 的硬盘上，他以前的所有资料都不见 了！ 资料跑到哪里去了呢？ 当初 Bill 将 ID0 硬盘的资料复制到 ID4 的时候，ID4 即成为一个 新的副本。 而当他调 SCSI BIOS 设定 ID4 为开机盘，想让系统从 ID4 开机， 这其实只是他自己笨，因为大部分的系统可以直接调 BIOS 而改变开机顺序，但是 FreeBSD 却会把开机 顺序还原成正常的模式，因此，Fred 的 FreeBSD 还是从原来那块 ID0 的硬盘开机的。所有 的资料都还在那块硬盘上，而不是在想象之中的 ID4 硬盘。 幸运的是， 在我们发现这件事的时候那些资料都还在， 我们将这些资料从最早的那块 ID0 硬盘取出来并交还给 Fred， 而 Bill 也由此了解到计算机计数是从 0 开始的。 虽然我们这里的例子使用 SCSI 硬盘，但是相同的概念也可以套用在 IDE 硬盘上。 使用 FDisk 创建分区 如果不再做改变，数据将会写进硬盘。如果您犯了一个错误想重新开始，请选择 sysinstall 安装程序的退出按钮(exit)。或按 U 键来 Undo 操作。如果您的操作没有结果，您总可以重新启动您 的计算机来达到您的目的。 当您在 sysinstall 主菜单选择使用标准安装 后，您会看到下面的信息： Message In the next menu, you will need to set up a DOS-style ("fdisk") partitioning scheme for your hard disk. If you simply wish to devote all disk space to FreeBSD (overwriting anything else that might be on the disk(s) selected) then use the (A)ll command to select the default partitioning scheme followed by a (Q)uit. If you wish to allocate only free space to FreeBSD, move to a partition marked "unused" and use the (C)reate command. [ OK ] [ Press enter or space ] 如屏幕指示，按 Enter 键，然后您就会看到一个列表 列出所有在探测设备的时候找到的硬盘。 范例显示的是有找到两个 IDE 硬盘的情形，这两个硬盘分别为 ad0 和 ad2。
选择要分区的硬盘
您可能正在奇怪，为什么 ad1 没有列出来？ 为什么遗失了呢？ 试想，如果您有两个 IDE 硬盘，一个是在第一个 Primary master，一个是 Secondary master，这样会发生什么事呢？如果 FreeBSD 依照找到的顺序来为他们 命名，如 ad0 和ad1 那么就不会有什么问题。 但是，现在问题来了。如果您现在想在 primary slave 加装第三个硬盘， 那么这个硬盘的名称就会是 ad1，之前的 ad1 就会变成ad2。 这会造成什么问题呢？因为设备的名称（如ad1s1a） 是用来寻找文件系统的，因此您可能会发现，突然，您有些文件系统从此无法正确 地显示出来，必须修改 FreeBSD 配置文件（译注：/etc/fstab）才可以正确显示。 为了解决这些问题，在配置内核的时候可以叫 FreeBSD 直接用 IDE 设备所 在的位置来命名，而不是依据找到的顺序。使用这种方式的话，在 secondary master 的 IDE 设备就 永远是 ad2， 即使您的系统中没有ad0 或 ad1 也不受影响。 此为 FreeBSD 内核的默认值，这也是为什么上面的画面只显示 ad0 和 ad2的原因。 画面上这台机器的两颗硬盘是装在 primary 及 secondary 的 master 上面；并没有任何一个 硬盘安装在 slave 插槽上。 您应该选择您想安装 FreeBSD 的硬盘，然后按下 &gui.ok;。之后 FDisk 就会开始，您会看到类似 的画面。 FDisk 的显示画面分为三个部分。 第一部分是画面上最上面两行，显示的是目前所选择的硬盘的信息。包含它的 FreeBSD 名称、硬盘分布以及硬盘的总容量。 第二部分显示的是目前选择的硬盘上有哪些分区，每个分区的开始及结束位置、 所占容量、FreeBSD 名称、它们的描述以及类别（sub-type）。此范例显示有两个分区、 一个大的 FAT 分区，（很可能是 &ms-dos; 或 &windows; 的 C: ）、以及一个扩展分区（在 &ms-dos; 或 &windows; 里 面还可以包含逻辑分区）。 第三个部分显示 FDisk 中可用的命令。
典型的尚未编辑前的 Fdisk 分区表
接下来要做的事跟您要怎么给您的硬盘分区有关。 如果您要让 FreeBSD 使用整个硬盘（稍后您确认要 sysinstall 继续安装后会删除所有这个硬盘上的资料），那么您就可以按 A 键（Use Entire Disk ） 目前已有的分区都会被删除，取而代之的是一个小的，标示为 unused 的分区，以及一个大的 FreeBSD 分区。之后，请用方向键将光标移到这个 FreeBSD 分区，然后按 S 以将此分区标记为启动分区。 您会看 到类似 的画面。 注意， 在 Flags 栏中的 A 记号表示此分区是 激活 的， 因而启动将从此分区进行。 要删除现有的分区以便为 FreeBSD 腾出空间， 您可以将光标移动到要删除的分区后按 D 键。 然后就可按 C 键， 并在弹出的对话框中输入将要创建的分区的大小。 输入合适的大小后按 Enter 键。 一般而言， 这个对话框中的初始值是可以分配给该分区的最大值。 它可能是最大的邻接分区或未分配的整个硬盘大小。 如果您已经建立好给 FreeBSD 的分区（使用像 &partitionmagic; 类似的工具），那么您可以按下 C 键来建立一个新 的分区。同样的，会有对话框询问您要建立的分区的大小。
Fdisk 分区使用整个硬盘
完成后，按 Q 键。您的变更会存在 sysinstall 中，但是还不会真正写入您的硬盘。 安装多重引导 在这步骤您可以选择要不要安装一个多重引导管理器。一般而言，如果碰到 下列的情形，您应该选择要安装多重引导管理程序。 您有一个以上的硬盘，并且 FreeBSD 并不是安装在第一个硬盘上。 您可以在一个硬盘上，除了 FreeBSD，您还有安装其它的操作系统；然后 您想要选择在开机的时候要进入哪个系统。 如果您在这台机器上只安装一个 FreeBSD 操作系统，并且安装在第一个硬盘， 那么选择 Standard 安装就可以了。如果您已经使用 了一个第三方的多重引导程序，那么请选择 None。 选择好配置后请按 Enter。
Sysinstall 多重引导管理程序
按下 F1 键所显示的在线说明中有讨论一些操作系统共存 可能发生的问题。 在其它硬盘上创建分区 如果您的系统上有一个以上的硬盘，在选择完多重引导管理程序后会再回到 选择硬盘的画面。如果您要将 FreeBSD 安装在多个硬盘上，那么您可以在这里选择 其它的硬盘，然后重复使用 FDisk 来建立分区。 如果您想让 FreeBSD 来管理其它的硬盘，那么两个硬盘都必须安装 FreeBSD 的多重引导管理程序。
离开选择硬盘画面
Tab 键可以在您最后选择的硬盘、 &gui.ok; 以及 &gui.cancel; 之间进行切换。 用 Tab 键将光标移动到 &gui.ok;然后按 Enter 键继续安装过程。 使用 <application>bsdlabel</application> 创建分区 您现在必须在刚刚建立好的 slice 中规划一些 label。 请注意， 每个 label 的代号是 a 到 h， 另外， 习惯上 b、 c 和 d 是有特殊用途的， 不应该随意变动。 某些应用程序可以利用一些特殊的分区而达到较好的效果，尤其是分区分散 在不同的硬盘的时候。但是，现在您是第一次安装FreeBSD，所以不需要去烦恼如 何分割您的硬盘。最重要的是，装好FreeBSD然后学习如何使用它。当您对FreeBSD 有相当程序的熟悉后，您可以随时重新安装FreeBSD，然后改变您分区的方式。 下面的范例中有四个分区—一个是磁盘交换分区，别外三个是文件系统。 为第一个硬盘分区 分区 文件系统 大小 描述 a / 100 MB 这是一个根文件系统（root filesystem）。任何其它的文件系统都会 挂在根目录（译注：用根目录比较亲切）下面。 100 MB 对于此目录来说 是合理的大小，因为您往后并不会在这里存放太多的数据；在安装FreeBSD后会 用掉约 40 MB 的根目录空间。剩下的空间是用来存放临时文件用的，同时， 您也应该预留一些空间，因为以后的FreeBSD版本可能会需要较多的 /（根目录）空间。 b N/A 2-3 x RAM 此分区为系统磁盘交换分区（swap space）。选择正确的交换空间 大小可是一门学问唷。一般来说，交换空间的大小应该是您系统上内存（RAM） 大小的2到3倍。交换空间至少要有 64 MB 因此，如果您的电脑上的RAM比 32 MB 小，请将交换空间大小设为 64 MB。 如果您有一个以上的硬盘，您可以在每个硬盘上都配置交换分区。 FreeBSD 会利用每个硬盘上的交换空间， 这样做能够提高 swap 的性能。 如果是这种情形， 先算出您总共需要的交换空间大小 （如128 MB）， 然后除以您拥有的硬盘数目（如2块）， 算出的结果就是每个硬盘上要配置的交换空间的大小。 在这个例子中， 每个硬盘的交 换空间为 64 MB e /var 50 MB /var 目录会存放不同长度的文件、日志以及 其它管理用途的文件。大部分这些文件都是FreeBSD每天在运行的时候会读取或 是写入的。当这些文件放在另外的文件系统（译注：即/var）可以避免影响到 其它目录下面类似的文件存取机制。 f /usr 剩下的硬盘空间 您所有的其它的文件通常都会存在/usr 目录以及其子目录下面。
如果您要将FreeBSD安装在一个以上的硬盘，那么您必须在您配置的其它分区上 再建立分区。最简单的方式就是在每个硬盘上建立两个分区，一个是交换分区，一个 是文件系统分区。 为其它磁盘分区 分区 文件系统 大小 描述 b N/A 见描述 之前提过，交换分区是可以跨硬盘的。但是，即使 a 分区没有使用，习惯上还是会把交换分区放在 b 分区上。 e /diskn 剩下的硬盘空间 剩下的空间是一个大的分区，最简单的做法是将之规划为 a分区而不是e分区。然而， 习惯上a分区是保留给根目录 (/) 用的。您不一定要遵守这个习惯，但是sysinstall 会，所以照着它做会使您的安装比较清爽、干净。您可以将这些文件系统挂在任何 地方，本范例建议将它们挂在/diskn 目录，n 依据每个硬盘而有所不同，但是，您喜欢的话 也可将它们挂在别的地方。
分区的配置完成后，您可以用sysinstall. 来建立它们了。您会看到下面的信息： Message Now, you need to create BSD partitions inside of the fdisk partition(s) just created. If you have a reasonable amount of disk space (200MB or more) and don't have any special requirements, simply use the (A)uto command to allocate space automatically. If you have more specific needs or just don't care for the layout chosen by (A)uto, press F1 for more information on manual layout. [ OK ] [ Press enter or space ] 按下 Enter 键开始FreeBSD分区表编辑器，称做 Disklabel。 显示您第一次执行 Disklabel的画面。画面分为三个区域。 前几行显示的是您正在编辑的硬盘以及您正在建立的slice位于哪个分区上。 （在这里， Disklabel 使用的是 分区名称 而不是 slice 名）。此画面也会显示slice还有 多少空间可以使用；亦即，有多余的空间，但是尚未指派分区。 画面中间区域显示已建立的区区，每个分区的文件系统名称、所占的大小以及 一些关于建立这些文件系统的参数选项。 下方的第三区显示在 Disklabel中可用的按键。
Sysinstall Disklabel 编辑器
Disklabel 您可以自动配置分区以及给它们预设 的大小。您可以按 A键使用此功能。您会看到类似 的画面。根据您硬盘的大小，自动分配所配置 的大小不一定合适。但是没有关系，您并不一定要使用预设的大小。 默认情况下会给/tmp 目录一个独立分区，而不是附属在 / 之下。这样可以 避免将一些临时文件放到根目录中（译注：可能会用完根目录空间）。
Sysinstall Disklabel 编辑器-使用自动配置
如果您不想使用默认的分区布局， 则需要用方向键移动光标并选中第一个分区， 然后按 D 来删除它。 重复这一过程直到删除了所有推荐的分区。 要建立第一个分区 (a， 作为 / — 根文件系统)， 请确认您已经在屏幕顶部选中了正确的 slice， 然后按 C。 接下来将出现一个对话框， 要求您输入新分区的尺寸 (如 所示)。 您可以输入以块为单位的尺寸， 或以 M 表示MB、 G 结尾表示GB， 或者 C 表示柱面数的方式来表达尺寸。 从 FreeBSD 5.X 开始， 用户可以： 使用 Custom Newfs (Z) 选项来选择 UFS2 (在 &os; 5.1 和更高版本中的默认值)。 用 Auto Defaults 来创建， 然后用 Custom Newfs 选项， 或在创建文件系统时指定 。 如果您使用了 Custom Newfs选项， 不要忘记增加 来启用 SoftUpdates！
根目录使用空间
显示在对话框中的默认大小是使用整个分区，您可以用 Backspace键删除这些数字然后按照上述方式输入您想要的 大小，如64M（）， 然后按&gui.ok;。
编辑要分区大小
输入完大小后接着问您要建立的分区是文件系统还是交换空间，如 所示。第一个分区是文件系统，所以 确认选择 FS后按Enter键。
选择根分区类型
最后，因为您要建立的是一个文件系统，所以必须告诉 Disklabel 这个文件系统要挂接在什么地方，如 所示。根文件系统的挂接点 /, 所以请输入 /,然后按 Enter键。
选择根挂接点
刚刚制作好的分区会显示在画面上。您应该重复上述的动作以建立其它的 分区。当建立交换空间的时候，系统不会问您要将它挂接在哪里，因为交换空间是不用 挂在系统上的。当您在建立最后一个分区/usr的时候，您可以 直接使用默认的大小，即所有此分区剩余的空间。 您最终的 FreeBSD DiskLabel 编辑器画面会类似 , 实际数字按您的选择而有所不同。按下 Q 键完成分区的建立。
Sysinstall Disklabel 编辑器
选择要安装的软件包 选择要安装的软件包 安装哪些软件包在很大程度上取决于系统将被用来做什么，以及有多少可用的磁盘空间。 内建的选项包括了运行所需要的最小系统，到把所有软件包全都装上的常用配置。 &unix; 或 FreeBSD 新手通常直接选择一个设定好的软件包就可以了， 而有经验的使用者则可以考虑自己订制安装哪些软件包。 按下 F1 可以看到有关软件包的更多选项信息， 以及它们都包含了哪些软件，之后，可以按 Enter 回到软件包选择画面。 如果您想要使用图形界面， 则必须选择软件包名称开头是 X 的那些软件包。 对于 X 服务器的配置， 以及选择默认的桌面管理器这样的工作必须在 &os; 安装完成之后才能作。 关于配置 X 服务器的更多资料可以在 找到。 默认的 X11 版本取决于您所安装的 FreeBSD 版本。 对于 FreeBSD 5.3 以前的版本， 安装的将是 &xfree86; 4.X。 对于 &os; 5.3 和以后的版本， 默认的则是 &xorg;。 如果需要定制内核， 您还需要选择包含源代码的那个选项。 要了解为什么应该编译和构建新的内核， 请参见 。 显然， 包含所有组件的系统是最万能的。 如果磁盘空间足够， 用光标键选择 中的 All 并按 Enter。 如果担心磁盘空间不够的话， 则选择最合适的选项。 不要担心选择的是否是最合适的， 因为其他软件包可以在安装完毕后再加入进来。
选择软件包
安装ports软件包 当选择完您想要安装的部分后，接着会询问您要不要安装FreeBSD Ports 软件包；Ports软件包可以让您简单方便地安装软件包。Ports本身并不包含编辑 软件所需要的程序源代码，而是一个包含自动下载、编辑以及安装的文档集合。 一章讨论如何使用Ports. 安装程序并不会检查您是否有足够的硬盘空间来放ports,所以，如果要安装 ports软件所，请先确定您有足够的硬盘空间。 FreeBSD &rel.current;版本 FreeBSD Ports Collection 大约占用 &ports.size; 大小的硬盘空间。您要为 这些版本设置大一点的值来安装它们。 User Confirmation Requested Would you like to install the FreeBSD Ports Collection? This will give you ready access to over &os.numports; ported software packages, at a cost of around &ports.size; of disk space when "clean" and possibly much more than that if a lot of the distribution tarballs are loaded (unless you have the extra CDs from a FreeBSD CD/DVD distribution available and can mount it on /cdrom, in which case this is far less of a problem). The Ports Collection is a very valuable resource and well worth having on your /usr partition, so it is advisable to say Yes to this option. For more information on the Ports Collection & the latest ports, visit: http://www.FreeBSD.org/ports [ Yes ] No 选择 &gui.yes; 将会安装 Ports Collection， 而选择 &gui.no; 则将跳过它。 选好后按 Enter 继续。 此后， 选择安装的软件包的屏幕将再次出现。
确认您要安装的软件包
如果对您的选择感到满意，请选择Exit 退出，确保&gui.ok; 被高亮显示，然后按Enter 继续。 选择您要使用的安装介质 如果要从 CDROM 或 DVD安装，使用方向键将光标移到 Install from a FreeBSD CD/DVD。确认 &gui.ok; 被选取，然后按 Enter 开始安装程序。 如果要使用其它的方式安装，请选择适当的安装介质然后按照屏幕指示 进行安装。 按 F1 可以显示安装介质的在线说明。按一下 Enter 可返回选择安装介质画面。
选择安装介质
FTP安装模式 installation network FTP 使用FTP安装，有三种方式：主动式（active）FTP、被动式（passive）FTP 或是透过HTTP代理服务器。 主动式FTP： 从FTP服务器安装 这个选项将会使所有的FTP传输使用 Active模式。 这将无法通过防火墙，但是可以使用在那些比较早期，不支持被动模式的FTP站。 如果您的连接在使用被动（默认值）模式卡住了，请换主动模式看看！ 被动模式FTP： 通过防火墙从FTP服务器安装 FTP passive mode 此选项会让 sysinstall 使用 Passive模式来安装。这使得使用者可以穿过 不允许用非固定TCP PORTS连入的防火墙。 FTP 透过 HTTP 代理服务器： 透过HTTP代理服务器，由 FTP服务器安装 FTP via a HTTP proxy 此选项会让 sysinstall 通过HTTP协议 （像浏览器一样）连到proxy服务器。proxy服务器会解释送出的请求， 然后通知FTP服务器。因为通过HTTP协议，所以可以穿过防火墙。 要用这种方式，您必须指定proxy服务器的地址。 对于一个 FTP 代理服务器而言，通常在使用者登入名称中加入您要登入的 服务器的用户名，加在 @ 符号后面。然后代理服务器就会 假装 成一个真的服务器。 例如， 假设您要从 ftp.FreeBSD.org 安装，通过 FTP 代理服务器 foo.example.com，使用1024端口。 在这种情况下，您可以到 options 菜单，将 FTP username 设为 ftp@ftp.FreeBSD.org，密码设为您的电子邮件地址。 安装介质部分，指定FTP (或是被动式 FTP，如果代理服务器支持的话) 以及URL为 ftp://foo.example.com:1234/pub/FreeBSD。 因为ftp.FreeBSD.org的 /pub/FreeBSD 目录会被抓取到 foo.example.com之下，您就可以从 这台 机器 (会从 ftp.FreeBSD.org 抓取文件) 安装。 安装确认 到此为止，可以开始进行安装了，这也是您避免更动到您的硬盘的最后机会。 User Confirmation Requested Last Chance! Are you SURE you want to continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! [ Yes ] No 选择 &gui.yes; 然后按下 Enter 确认安装 安装所需的时间会根据您所选择的软件、安装介质以及您电脑的速度而有所不同。 在安装的过程中会有一些信息来显示目前的进度。 当您看到下面的信息表示已经安装完成了： Message Congratulations! You now have FreeBSD installed on your system. We will now move on to the final configuration questions. For any option you do not wish to configure, simply select No. If you wish to re-enter this utility after the system is up, you may do so by typing: /stand/sysinstall . [ OK ] [ Press enter to continue ] 按下 Enter 以进行安装后的配置。 选择 &gui.no; 然后按 Enter 会取消安装，不会对您的系统造成更动。您会看到下面的信息： Message Installation complete with some errors. You may wish to scroll through the debugging messages on VTY1 with the scroll-lock feature. You can also choose "No" at the next prompt and go back into the installation menus to retry whichever operations have failed. [ OK ] 产生这个信息是因为什么东西也没有安装，按下 Enter 后会离开安装程序回到主安装界面。从主安装界面可以退出安装程序。 安装后的配置 安装成功后， 就可以进行进一步的配置了。 引导新安装的 FreeBSD 系统之后， 使用 sysinstall (/stand/sysinstall 如果您使用的是 &os; 5.2 之前的版本)， 并选择 Configure。 配置网卡 如果您之前配置用 PPP 通过 FTP 安装，那么这个画面将不会出现；正像所说 的那样，您可以稍后再做配置。 如果想更多的了解网卡或将FreeBSD配置为网关或路由器，请参考 Advanced Networking 的相关文章。 User Confirmation Requested Would you like to configure any Ethernet or SLIP/PPP network devices? [ Yes ] No 如果要配置网卡，请选择 &gui.yes; 然后按 Enter。 否则请选择 &gui.no; 继续。
选择网卡设备
用方向键选择您要配置的网卡接口，然后按Enter。 User Confirmation Requested Do you want to try IPv6 configuration of the interface? Yes [ No ] 目录私人区域网络IP协议IPv4已经足够，所以选择 &gui.no; 然后按 Enter。 如果想试试新的IP通信协议 IPv6 ，使用 RA 服务，请选择 &gui.yes; 然后按 Enter。 寻找 RA 服务器将会花费几秒的时间。 User Confirmation Requested Do you want to try DHCP configuration of the interface? Yes [ No ] 如果您不需要 DHCP (Dynamic Host Configuration Protocol　动态主机配置协议) ，选择 &gui.no; 然后按Enter。 选择 &gui.yes; 会执行dhclient， 如果成功，它会自动将网络配置信息填上。更多的信息请参考 。 下面的网络配置显示了怎样把以太网设备配置成区域网络网关的角色。
配置 ed0接口
使用Tab 键可以在各个栏目之间进行切换，请输入适当 的信息： Host（机器名称） 完整的机器名称，例如本例中的 k6-2.example.com 。 Domain（域名） 您机器所在的域名称，如本例的 example.com IPv4 Gateway（IPv4网关） 输入将数据包传送到远端网络的机器IP地址。只有当机器是网络上的 一个节点时才要输入。如果这台机器要作为您局域网的网关， 请将此处设为空白。IPv4网关，也被称作默认网关或 默认路由器。 域名服务器 本地网络中的域名服务器的IP地址。本例中假设机器所在的网络中 没有域名服务器，所以填入的是ISP提供的域名服务器地址 （208.163.10.2。） IPv4 地址 本机所使用的IP地址。本例为 192.168.0.1。 子网掩码 在这个局域网中所使用的地址块是 192.168.0.0 - 192.168.0.255， 对应的子网掩码是 255.255.255.0。 ifconfig 额外参数设定 任何ifconfig命令跟网卡接口有关的参数。 本范例中没有。 使用 Tab 键选择 &gui.ok;然后按 Enter键。 User Confirmation Requested Would you like to Bring Up the ed0 interface right now? [ Yes ] No 选择 &gui.yes; 然后按 Enter 将会将机器的网卡转为启用状态。机器下次启动 的时候即可使用。 配置网关 User Confirmation Requested Do you want this machine to function as a network gateway? [ Yes ] No 如果这台机器要作为本地网络和其它机器之间传送数据包的网关，请选择 &gui.yes; 然后按 Enter。 如果这台机器只是网络上的普通节点，请选择 &gui.no; 并按 Enter 继续。 配置网络服务 User Confirmation Requested Do you want to configure inetd and the network services that it provides? Yes [ No ] 如果选择 &gui.no;， 许多网络服务，如 telnetd 将不会启用。 这样， 远端用户将无法 telnet 进入这台机器。 本机上的用户还是可以 telnet到远端机器的。 这些服务可以在安装完成后修改/etc/inetd.conf 配置文件来启用它们。请参阅 以获得更多的信息。 如果您想现在就配置这些网络服务，请选择 &gui.yes;， 然后会看到下面的信息： User Confirmation Requested The Internet Super Server (inetd) allows a number of simple Internet services to be enabled, including finger, ftp and telnetd. Enabling these services may increase risk of security problems by increasing the exposure of your system. With this in mind, do you wish to enable inetd? [ Yes ] No 选择 &gui.yes; 继续。 User Confirmation Requested inetd(8) relies on its configuration file, /etc/inetd.conf, to determine which of its Internet services will be available. The default FreeBSD inetd.conf(5) leaves all services disabled by default, so they must be specifically enabled in the configuration file before they will function, even once inetd(8) is enabled. Note that services for IPv6 must be separately enabled from IPv4 services. Select [Yes] now to invoke an editor on /etc/inetd.conf, or [No] to use the current settings. [ Yes ] No 选择 &gui.yes; 将允许您添加网络服务 (或将相应网络服务每行开头的 # 除掉即可。)
编辑 <filename>inetd.conf</filename>配置文件
在加入您想启用的服务后，按下 Esc键会出现一个 对话框可以让您离开以及保存修改。 匿名 FTP FTP anonymous User Confirmation Requested Do you want to have anonymous FTP access to this machine? Yes [ No ] 不允许匿名 FTP访问 选择默认的 &gui.no; 并按下 Enter 键将仍然可以让在这台机器上有账号的用户访问 FTP。 允许匿名 FTP访问 如果您选择允许匿名 FTP 存取，那么网络中任何人都可以使用FTP来访问您 的机器。在启用匿名访问之前应该考虑网络的安全问题。如果要知道更多有关网络 安全的信息，请参阅 。 要启用FTP匿名访问，用方向键选择 &gui.yes; 然后按 Enter键。您会看到下面（或类似）的画面：
默认的匿名 FTP 配置
按 F1 键可以查看在线帮助文档： This screen allows you to configure the anonymous FTP user. The following configuration values are editable: UID: The user ID you wish to assign to the anonymous FTP user. All files uploaded will be owned by this ID. Group: Which group you wish the anonymous FTP user to be in. Comment: String describing this user in /etc/passwd FTP Root Directory: Where files available for anonymous FTP will be kept. Upload subdirectory: Where files uploaded by anonymous FTP users will go. 默认的FTP根目录将放在 /var目录下。如果您 的/var目录空间不足以应付您的FTP需求，您可以将FTP的根目录改为 /usr 目录下的 /usr/ftp 目录。 当您对一切配置都满意后，请按 Enter 键继续。 User Confirmation Requested Create a welcome message file for anonymous FTP users? [ Yes ] No 如果您选择 &gui.yes; 并按下 Enter键，系统会自动打开文本编辑器让您编辑FTP的欢迎信息。
编辑FTP欢迎信息
此文本编辑器叫做 ee。按照指示修改信息文本或是 稍后再用您喜爱的文本编辑器来修改。请记住画面下方显示的文件位置。 按 Esc 将弹出一个默认为 a) leave editor的对话框。按 Enter 退出并继续。再次按 Enter 将保存修改。 配置网络文件系统 网络文件系统 (NFS) 可以让您可以在网络上共享您的文件。一台机器可以 配置成NFS服务器、客户端或两者并存。请参考 以获得更多的信息。 NFS 服务器 User Confirmation Requested Do you want to configure this machine as an NFS server? Yes [ No ] 如果您不想安装网络文件系统，请选择 &gui.no; 然后按 Enter键。 如果您选择 &gui.yes; 将会出现一个对话框提醒您 必须先建立一个 exports 文件。 Message Operating as an NFS server means that you must first configure an /etc/exports file to indicate which hosts are allowed certain kinds of access to your local filesystems. Press [Enter] now to invoke an editor on /etc/exports [ OK ] 按 Enter 键继续。系统会启动文本编辑器让您编辑 exports 文件。
编辑 <filename>exports</filename>文件
按照指示加入真实输出的文件目录或是稍后用您喜爱的编辑器自行编辑。 请记下画面下方显示的文件名称及位置。 按下 Esc 键会出现一具对话框，默认选项是 a) leave editor。按下 Enter 离开并继续。 NFS 客户端 NFS 客户端允许您的机器访问NFS服务器。 User Confirmation Requested Do you want to configure this machine as an NFS client? Yes [ No ] 按照您的需要，选择 &gui.yes; 或 &gui.no; 然后按 Enter。 配置系统终端 系统提供了几个选项可以让您配置终端的表现方式。 User Confirmation Requested Would you like to customize your system console settings? [ Yes ] No 要查阅及配置这些选项，请选择 &gui.yes; 并按Enter。
系统终端配置选项
最常用的选项就是屏幕保护程序了。使用方向键将光标移动到 Saver 然后按Enter。
屏幕保护程序选项
选择您想使用的屏幕保护程序，然后按 Enter。 之后回到系统终端配置画面。 默认开启屏幕保护程序的时间是300秒。如果要更改此时间，请再次选择 Saver 。然后选择 Timeout 并按 Enter键。系统会弹出一个对话框如下：
屏幕保护时间设置
您可以直接改变这个值，然后选 &gui.ok;并按 Enter 键回到系统终端配置画面。
退出系统终端配置
选择 Exit 然后按下 Enter 键会回到安装后的配置画面。 配置时区 配置您机器的时区可以让系统自动校正任何区域时间的变更并且在执行 一些跟时区相关的程序时不会出错。 例子中假设此台机器位于美国东部的时区。请参考您所在的地理位置来配置。 User Confirmation Requested Would you like to set this machine's time zone now? [ Yes ] No 选择 &gui.yes; 并按下 Enter键以配置时区。 User Confirmation Requested Is this machine's CMOS clock set to UTC? If it is set to local time or you don't know, please choose NO here! Yes [ No ] 这里按照您机器时间的配置，选择 &gui.yes; 或 &gui.no; 然后按 Enter。
选择您所处的地理区域
请选择适当的区域然后按 Enter。
选择您所在的国家
选择您所在的国家然后按 Enter。
选择您所在的时区
选择您所在的时区然后按 Enter。 Confirmation Does the abbreviation 'EDT' look reasonable? [ Yes ] No 检查一下时区的缩写是否正确，如果没错，请按 Enter 返回系统安装后的配置画面。 Linux 兼容性 User Confirmation Requested Would you like to enable Linux binary compatibility? [ Yes ] No 选择 &gui.yes; 并按下Enter 键，将允许您在FreeBSD中执行Linux的软件。安装程序会安装一些为了跟Linux 兼容的软件包。 如果您是通过FTP安装，那么您必须连到网络上。有时候FTP站并不会包含 所有的安装软件包（例如Linux兼容软件包）；不过，稍后您还可以再安装这个 项目。 配置鼠标 此选项可以让您在终端上使用三键鼠标剪贴文字。如果您用的鼠标是两个 按钮，请参考手册 &man.moused.8;；以取得有关模拟三键鼠标的信息。范例中 使用的鼠标不是USB接口。（例如ps/2或com接口的鼠标）： User Confirmation Requested Does this system have a non-USB mouse attached to it? [ Yes ] No 如果您使用的不是USB鼠标，请选择 &gui.yes; ； 否则请选择 &gui.no; 。然后按Enter。
选择鼠标类型
使用方向键选择 Type 然后按 Enter。
设置鼠标协议
在这个例子中使用的类型是ps/2鼠标，所以可以使用默认的 Auto（自动） 。 您可以用方向键选择合适的项目， 确定选择了 &gui.ok; 后按 Enter 键离开此画面。
配置鼠标端口
选择 Port 然后按 Enter。
配置鼠标端口
假设这台机器用的是ps/2鼠标，您可以采用默认的 PS/2 选项。请选择适当的项目然后按 Enter。
启动鼠标服务进程
选择Enable然后按 Enter 来启动和测试鼠标。
测试鼠标功能
鼠标指针可以在屏幕上移动，指明鼠标服务已经正常启用。那么请选择 &gui.yes; 按 Enter键。否则鼠标没 有配置成功 — 选择 &gui.no; 并尝试不同的配置 选项。 选择 Exit 并按 Enter 退回到系统安装完成后的配置画面。 Tom Rhodes Contributed by 配置其他网络服务 配置网络服务总是让那些新手敬畏，因为他们缺乏在这个领域应有的基础知识。 网络，包括因特网有许多关于现代操作系统包括 &os; 的评论文章。这些文章对于 理解&os;拥有的广泛的网络性能是非常有帮助的。在安装这些服务的过程中也能让 用户理解它们可用的各种服务。 网络服务是一些可以使在网络的任何人来访问您提供的服务的程序。有许多 努力想使这些程序不会有任何的 伤害。不幸的是，这些程序并 不是十全十美的，黑客可能会掌握程序中的一些露洞来进行攻击。只启用一些您 熟悉的和需要的服务十分重要。如果您存在一些疑虑或没有启用这些服务的必要 那么最好不要使用这些服务。您可以事后通过运行 sysinstall 程序或使用 /etc/rc.conf 配置文件来启用它们。 选择 Networking 选项将下显示一个类似下面的菜单：
网络配置之上层配置
第一个选项，Interfaces， 已经在前面 中讨论过，因此这里可以略过。 选择 AMD 选项，添加 BSD 对自动挂接程序的支持。这个程序和NFS 协议一起使用 不需要经过特别的设置就可以自动挂接远程文件系统。 下一行是 AMD Flags 的参数选项。当您选择后，会弹出一个 子菜单来让您选择 AMD 的参数。菜单中包含一系列的选项： -a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map 选项用来设置默认的挂接位置，这里使用的是 /.amd_mnt目录。 指定默认的 日志 文件；但是，当 syslogd 被指定用来接收所有的日志时，那么它们会被送到 系统日志程序。/host 被用来挂接远程 主机输出的一个文件系统，例子中/net 目录被用来挂接从IP输出的一个文件系统。 /etc/amd.map 文件定义了 AMD 的默认 输出选项。 FTP anonymous Anon FTP 允许匿名 FTP 访问。 选中这个选项，可以使这台机器成为一台匿名 FTP 服务器。 要注意启用这个选项的安全风险。其它的菜单将说明一些安全问题和更深入的配置。 Gateway 配置菜单可以使本机器成为一台以前我们提到过 的网关。如果您在安装过程中偶尔选中了它，也可以在这里选中这个选项来取消。 Inetd 选项用来配置或完全禁止我们在上面讨论的 &man.inetd.8; 守护程序。 Mail 可以用来配置系统默认的 MTA 或邮件传输代理。选择这个选项将了出现下面的菜单：
选择默认的 MTA
这里给您提供了一个安装默认MTA 的机会。 MTA 用来投递本系统上用户邮件到因特网去。 选择 Sendmail 将会安装 &os;默认的 流行的的 sendmail 服务程序。 Sendmail local 选项用来设置sendmail 默认的MTA，也可以禁止它从Internet接收邮件的能力。 还有其它的一些选项如： Postfix 和 Exim 都类似于 Sendmail的角色。它们两者也可以投递邮件； 有些用户更喜欢选择使用Sendmail、 MTA二者之一。 选择 MTA或不选择它之后，网络配置菜单的下一 个选项是 NFS client 客户端程序。 NFS client 客户端可以使系统通过 NFS 与服务器进行通信。 NFS 服务器通过NFS 协议可以使其它在网络上的机器来访问自己的文件系统。如果这台机器要作为一台 独立的服务器，这个选项可以保留不选。下面可能还有更多的配置，关于客户端和 服务器的配置请参阅 一节。 接下来的 NFS 服务器选项，可以允许您把系统设备成 为一台NFS 服务器。这需要更多的信息来启动远程过程调 用（RPC）服务。 RPC用来连接调 用两台机器上的程序。 下一项是 Ntpdate 选项，处理时间同步。当选择它后， 会出现一个像下面所似的菜单：
Ntpdate 配置
从这个菜单选择一个离您最近的服务器。在您连接这台服务器时，除去 连接时的反应时间，时间同步最精确的服务器。 下一个选项是 PCNFSD。 这个选项将安装第三方软件包 net/pcnfsd。 它可以用来为无法自行提供 NFS 认证服务的操作系统， 如微软的 &ms-dos; 提供服务。 滚屏到下一页看一下其它选项：
网络配置之下层配置
&man.rpcbind.8;， &man.rpc.statd.8; 和 &man.rpc.lockd.8; 这三个程序是用来提供远程过程调用 (RPC) 服务的。 rpcbind 程序管理 NFS 服务器和客户端的通信， 这是 NFS 正确工作的必要前提。 rpc.statd 程序可以和其它主机上 rpc.statd 程序交互， 以提供的状态监控。 这些状态报告默认情况下会保存到 /var/db/statd.status 文件中。 最后的一项是 rpc.lockd 选项， 如果启用， 则将提供文件上锁服务。 通常将它和 rpc.statd 联用， 以监视哪些主机会请求对文件执行上锁操作， 以及这种操作的频繁程度。 尽管后两项功能对于调试非常有用， 但它们并不是 NFS 服务器和客户端正常运行所必需的。 下一个项目是Routed，这是一个路由程序。 &man.routed.8; 程序管理网络路由表，发现多播路由， 并且支持在网络上与它物理相连的主机来复制它的路由表的请求。 它被广泛地应用在本地网络中并扮演关网关的角色。 当选择它后，一个子菜单会来询问您这个程序的默认位置。 默认的位置已经被定义过， 您可以选择 Enter 键， 也可以按下其它的键。 这时会出来另一个菜单来询问您传递给 routed程序的参数。 默认的是 参数。 接下来是 Rwhod 选项，选中它会启用 &man.rwhod.8; 程序 在系统初时化的时候。 rwhod程序通过网络周期性的广播系统 信息或以客户的身份来收集这些信息。更多的信息可以查看 &man.ruptime.1; 和&man.rwho.1; 手册页。 倒数第二个选项是&man.sshd.8; 程序。它可以通过使用 OpenSSH来提供安全的shell服务，我们推荐通过 使用它来使用 telnet 和 FTP 服务。 sshd服务通过使用加密技术来创建从一台机器到另一台机 器的安全连接。 最后有一个 TCP 扩展选项。这可以用来扩展在 RFC 1323 和RFC 1644 里定义的TCP 功能。当许多主机以高速连接本机时，可 能会引起某些连接被丢弃。我们不推荐使用这个选项，但是当使用独立的主机 时可以从它上面得到一些好处。 现在您已经配置完成了网络服务，您可以滚动屏幕到顶部选择 Exit 项，退出进入下一个配置部分。 配置 X Server 从 &os; 5.3-RELEASE 开始， X 服务的配置机制从 sysinstall 中删掉了。 您必须在安装完 &os; 之后再配置 X 服务。 关于安装和配置 X 服务的进一步细节可以在 找到。 如果您不是在安装 5.3-RELEASE 之前的 &os; 版本的话， 则可以跳过这一节。 要使用诸如 KDE、 GNOME， 以及其他一些图形界面， 则需要配置 X 服务器。 为了以非root用户运行 &xfree86; 您必须安装 x11/wrapper 软件。在FreeBSD 4.7及以上 版本是默认安装的，但以前的版本要手工安装到系统中。 要知道您的显卡是否被支持，请参考 &xfree86; 网站。 User Confirmation Requested Would you like to configure your X server at this time? [ Yes ] No 您需要了解监视器和显卡信息的制造规格。 如果配置有误， 可能会造成设备损毁。 如果您一时没有这样的信息， 请选择 &gui.no;， 之后再通过 sysinstall (对于 &os; 5.2 以前的版本来说， 是 /stand/sysinstall)， 选择 Configure 然后是 XFree86 来配置。 如果设置不当， X 服务器将导致系统停止响应。 通常， 建议您在安装完成之后再配置 X 服务程序。 如果您有显卡和显示器的信息，请选择 &gui.yes; 并按 Enter 来配置 X-server。
选择配置方法菜单
您可以通过许多方法来配置 X server。在认真读了所有的说明后， 请使用方向键来选择一种配置方式，并按Enter 键确认。 xf86cfg 和 xf86cfg -textmode 配置方法可能会使屏幕黑屏一会， 过一会即会启动。要有耐心。 下面将介绍xf86config 配置工具。 根据系统硬件的不同，下面的信息可能会适当的发生变动： Message You have configured and been running the mouse daemon. Choose "/dev/sysmouse" as the mouse port and "SysMouse" or "MouseSystems" as the mouse protocol in the X configuration utility. [ OK ] [ Press enter to continue ] 这个信息指明，前面配置的鼠标驱动程序被检测到。按 Enter 键继续。 启动 xf86config 后会显示一个简单的说明： This program will create a basic XF86Config file, based on menu selections you make. The XF86Config file usually resides in /usr/X11R6/etc/X11 or /etc/X11. A sample XF86Config file is supplied with XFree86; it is configured for a standard VGA card and monitor with 640x480 resolution. This program will ask for a pathname when it is ready to write the file. You can either take the sample XF86Config as a base and edit it for your configuration, or let this program produce a base XF86Config file for your configuration and fine-tune it. Before continuing with this program, make sure you know what video card you have, and preferably also the chipset it uses and the amount of video memory on your video card. SuperProbe may be able to help with this. Press enter to continue, or ctrl-c to abort. 按 Enter 将启动鼠标配置。请按照指示选择 Mouse Systems 作为鼠标协议， /dev/sysmouse 作为鼠标端口。下面的例子 向您说明的是使用一个 PS/2 鼠标： First specify a mouse protocol type. Choose one from the following list: 1. Microsoft compatible (2-button protocol) 2. Mouse Systems (3-button protocol) & FreeBSD moused protocol 3. Bus Mouse 4. PS/2 Mouse 5. Logitech Mouse (serial, old type, Logitech protocol) 6. Logitech MouseMan (Microsoft compatible) 7. MM Series 8. MM HitTablet 9. Microsoft IntelliMouse If you have a two-button mouse, it is most likely of type 1, and if you have a three-button mouse, it can probably support both protocol 1 and 2. There are two main varieties of the latter type: mice with a switch to select the protocol, and mice that default to 1 and require a button to be held at boot-time to select protocol 2. Some mice can be convinced to do 2 by sending a special sequence to the serial port (see the ClearDTR/ClearRTS options). Enter a protocol number: 2 You have selected a Mouse Systems protocol mouse. If your mouse is normally in Microsoft-compatible mode, enabling the ClearDTR and ClearRTS options may cause it to switch to Mouse Systems mode when the server starts. Please answer the following question with either 'y' or 'n'. Do you want to enable ClearDTR and ClearRTS? n You have selected a three-button mouse protocol. It is recommended that you do not enable Emulate3Buttons, unless the third button doesn't work. Please answer the following question with either 'y' or 'n'. Do you want to enable Emulate3Buttons? y Now give the full device name that the mouse is connected to, for example /dev/tty00. Just pressing enter will use the default, /dev/mouse. On FreeBSD, the default is /dev/sysmouse. Mouse device: /dev/sysmouse 下一个要配置的项目是键盘。在例子中使用的键盘一般是101-key 。您可以选择不 同的键盘类型或直接按 Enter 键来使用默认配置。 Please select one of the following keyboard types that is the better description of your keyboard. If nothing really matches, choose 1 (Generic 101-key PC) 1 Generic 101-key PC 2 Generic 102-key (Intl) PC 3 Generic 104-key PC 4 Generic 105-key (Intl) PC 5 Dell 101-key PC 6 Everex STEPnote 7 Keytronic FlexPro 8 Microsoft Natural 9 Northgate OmniKey 101 10 Winbook Model XP5 11 Japanese 106-key 12 PC-98xx Series 13 Brazilian ABNT2 14 HP Internet 15 Logitech iTouch 16 Logitech Cordless Desktop Pro 17 Logitech Internet Keyboard 18 Logitech Internet Navigator Keyboard 19 Compaq Internet 20 Microsoft Natural Pro 21 Genius Comfy KB-16M 22 IBM Rapid Access 23 IBM Rapid Access II 24 Chicony Internet Keyboard 25 Dell Internet Keyboard Enter a number to choose the keyboard. 1 Please select the layout corresponding to your keyboard 1 U.S. English 2 U.S. English w/ ISO9995-3 3 U.S. English w/ deadkeys 4 Albanian 5 Arabic 6 Armenian 7 Azerbaidjani 8 Belarusian 9 Belgian 10 Bengali 11 Brazilian 12 Bulgarian 13 Burmese 14 Canadian 15 Croatian 16 Czech 17 Czech (qwerty) 18 Danish Enter a number to choose the country. Press enter for the next page 1 Please enter a variant name for 'us' layout. Or just press enter for default variant us Please answer the following question with either 'y' or 'n'. Do you want to select additional XKB options (group switcher, group indicator, etc.)? n 接下来，我们要配置显示器。不要超过您显示器的刷新频率，这样可能 会损坏您的显示器。如果您有疑问，请参考其它信息后再做配置。 Now we want to set the specifications of the monitor. The two critical parameters are the vertical refresh rate, which is the rate at which the whole screen is refreshed, and most importantly the horizontal sync rate, which is the rate at which scanlines are displayed. The valid range for horizontal sync and vertical sync should be documented in the manual of your monitor. If in doubt, check the monitor database /usr/X11R6/lib/X11/doc/Monitors to see if your monitor is there. Press enter to continue, or ctrl-c to abort. You must indicate the horizontal sync range of your monitor. You can either select one of the predefined ranges below that correspond to industry- standard monitor types, or give a specific range. It is VERY IMPORTANT that you do not specify a monitor type with a horizontal sync range that is beyond the capabilities of your monitor. If in doubt, choose a conservative setting. hsync in kHz; monitor type with characteristic modes 1 31.5; Standard VGA, 640x480 @ 60 Hz 2 31.5 - 35.1; Super VGA, 800x600 @ 56 Hz 3 31.5, 35.5; 8514 Compatible, 1024x768 @ 87 Hz interlaced (no 800x600) 4 31.5, 35.15, 35.5; Super VGA, 1024x768 @ 87 Hz interlaced, 800x600 @ 56 Hz 5 31.5 - 37.9; Extended Super VGA, 800x600 @ 60 Hz, 640x480 @ 72 Hz 6 31.5 - 48.5; Non-Interlaced SVGA, 1024x768 @ 60 Hz, 800x600 @ 72 Hz 7 31.5 - 57.0; High Frequency SVGA, 1024x768 @ 70 Hz 8 31.5 - 64.3; Monitor that can do 1280x1024 @ 60 Hz 9 31.5 - 79.0; Monitor that can do 1280x1024 @ 74 Hz 10 31.5 - 82.0; Monitor that can do 1280x1024 @ 76 Hz 11 Enter your own horizontal sync range Enter your choice (1-11): 6 You must indicate the vertical sync range of your monitor. You can either select one of the predefined ranges below that correspond to industry- standard monitor types, or give a specific range. For interlaced modes, the number that counts is the high one (e.g. 87 Hz rather than 43 Hz). 1 50-70 2 50-90 3 50-100 4 40-150 5 Enter your own vertical sync range Enter your choice: 2 You must now enter a few identification/description strings, namely an identifier, a vendor name, and a model name. Just pressing enter will fill in default names. The strings are free-form, spaces are allowed. Enter an identifier for your monitor definition: Hitachi 下一个配置是从显卡的驱动列表里选择一个显卡驱动程序。如果忽略 当前列表中的选项，请直接按Enter 下一屏将会出现在屏幕上， 会显示下面的信息： Now we must configure video card specific settings. At this point you can choose to make a selection out of a database of video card definitions. Because there can be variation in Ramdacs and clock generators even between cards of the same model, it is not sensible to blindly copy the settings (e.g. a Device section). For this reason, after you make a selection, you will still be asked about the components of the card, with the settings from the chosen database entry presented as a strong hint. The database entries include information about the chipset, what driver to run, the Ramdac and ClockChip, and comments that will be included in the Device section. However, a lot of definitions only hint about what driver to run (based on the chipset the card uses) and are untested. If you can't find your card in the database, there's nothing to worry about. You should only choose a database entry that is exactly the same model as your card; choosing one that looks similar is just a bad idea (e.g. a GemStone Snail 64 may be as different from a GemStone Snail 64+ in terms of hardware as can be). Do you want to look at the card database? y 288 Matrox Millennium G200 8MB mgag200 289 Matrox Millennium G200 SD 16MB mgag200 290 Matrox Millennium G200 SD 4MB mgag200 291 Matrox Millennium G200 SD 8MB mgag200 292 Matrox Millennium G400 mgag400 293 Matrox Millennium II 16MB mga2164w 294 Matrox Millennium II 4MB mga2164w 295 Matrox Millennium II 8MB mga2164w 296 Matrox Mystique mga1064sg 297 Matrox Mystique G200 16MB mgag200 298 Matrox Mystique G200 4MB mgag200 299 Matrox Mystique G200 8MB mgag200 300 Matrox Productiva G100 4MB mgag100 301 Matrox Productiva G100 8MB mgag100 302 MediaGX mediagx 303 MediaVision Proaxcel 128 ET6000 304 Mirage Z-128 ET6000 305 Miro CRYSTAL VRX Verite 1000 Enter a number to choose the corresponding card definition. Press enter for the next page, q to continue configuration. 288 Your selected card definition: Identifier: Matrox Millennium G200 8MB Chipset: mgag200 Driver: mga Do NOT probe clocks or use any Clocks line. Press enter to continue, or ctrl-c to abort. Now you must give information about your video card. This will be used for the "Device" section of your video card in XF86Config. You must indicate how much video memory you have. It is probably a good idea to use the same approximate amount as that detected by the server you intend to use. If you encounter problems that are due to the used server not supporting the amount memory you have (e.g. ATI Mach64 is limited to 1024K with the SVGA server), specify the maximum amount supported by the server. How much video memory do you have on your video card: 1 256K 2 512K 3 1024K 4 2048K 5 4096K 6 Other Enter your choice: 6 Amount of video memory in Kbytes: 8192 You must now enter a few identification/description strings, namely an identifier, a vendor name, and a model name. Just pressing enter will fill in default names (possibly from a card definition). Your card definition is Matrox Millennium G200 8MB. The strings are free-form, spaces are allowed. Enter an identifier for your video card definition: 接下来，设置显卡的分辨率。典型的使用范围是 640x480, 800x600, 和 1024x768，这些显卡的功能特性、分辨率的大小以眼睛的舒适为准。 当选择颜色深度时，可以选择您显卡支持最大模式。 For each depth, a list of modes (resolutions) is defined. The default resolution that the server will start-up with will be the first listed mode that can be supported by the monitor and card. Currently it is set to: "640x480" "800x600" "1024x768" "1280x1024" for 8-bit "640x480" "800x600" "1024x768" "1280x1024" for 16-bit "640x480" "800x600" "1024x768" "1280x1024" for 24-bit Modes that cannot be supported due to monitor or clock constraints will be automatically skipped by the server. 1 Change the modes for 8-bit (256 colors) 2 Change the modes for 16-bit (32K/64K colors) 3 Change the modes for 24-bit (24-bit color) 4 The modes are OK, continue. Enter your choice: 2 Select modes from the following list: 1 "640x400" 2 "640x480" 3 "800x600" 4 "1024x768" 5 "1280x1024" 6 "320x200" 7 "320x240" 8 "400x300" 9 "1152x864" a "1600x1200" b "1800x1400" c "512x384" Please type the digits corresponding to the modes that you want to select. For example, 432 selects "1024x768" "800x600" "640x480", with a default mode of 1024x768. Which modes? 432 You can have a virtual screen (desktop), which is screen area that is larger than the physical screen and which is panned by moving the mouse to the edge of the screen. If you don't want virtual desktop at a certain resolution, you cannot have modes listed that are larger. Each color depth can have a differently-sized virtual screen Please answer the following question with either 'y' or 'n'. Do you want a virtual screen that is larger than the physical screen? n For each depth, a list of modes (resolutions) is defined. The default resolution that the server will start-up with will be the first listed mode that can be supported by the monitor and card. Currently it is set to: "640x480" "800x600" "1024x768" "1280x1024" for 8-bit "1024x768" "800x600" "640x480" for 16-bit "640x480" "800x600" "1024x768" "1280x1024" for 24-bit Modes that cannot be supported due to monitor or clock constraints will be automatically skipped by the server. 1 Change the modes for 8-bit (256 colors) 2 Change the modes for 16-bit (32K/64K colors) 3 Change the modes for 24-bit (24-bit color) 4 The modes are OK, continue. Enter your choice: 4 Please specify which color depth you want to use by default: 1 1 bit (monochrome) 2 4 bits (16 colors) 3 8 bits (256 colors) 4 16 bits (65536 colors) 5 24 bits (16 million colors) Enter a number to choose the default depth. 4 最后，要保存您的配置，确定输入 /etc/X11/XF86Config 作为保存位置。 I am going to write the XF86Config file now. Make sure you don't accidently overwrite a previously configured one. Shall I write it to /etc/X11/XF86Config? y 如果您配置失败，您也可以尝试着按 &gui.yes; 来 重新再试一次，会显示下面的信息： User Confirmation Requested The XFree86 configuration process seems to have failed. Would you like to try again? [ Yes ] No 如果配置 &xfree86;时遇上困难，请选择 &gui.no; 并按 Enter键继续 进行安装。安装完成后可以使用 xf86cfg -textmode 或 xf86config 命令行配置程序来以 root 用户的身份进行配置。配置 &xfree86; 的另外一种方法 描述在 。如果您选择不配置&xfree86; 那么下一个菜单将让您选择要安装的软件包。 默认情况下可以使用组合键 CtrlAlt Backspace，在发生错误或在硬件损坏前退出 设置屏幕。 默认的显示模式可以使用X系统下的 CtrlAlt+ 或 CtrlAlt- 来改变。 一旦有了可以运行的 &xfree86;， 就可以使用 xvidtune 来调整显示的高度和宽度以及显示器的中心位置。 一些不适当的配置可能会损坏您的设备。如果在使用它们前存在疑虑，请不要 安装它们。可以使用监视器的控制工具来调整X窗口的显示。与文本显示模式不同 它更容易损坏设备。 在调整这些参数前，请阅读 &man.xvidtune.1; 手册。 下面是一个配置 &xfree86; 的成功例子，它选择了 使用默认的桌面。 选择默认的桌面 从 &os; 5.3-RELEASE 开始， X 桌面的选择机制已经从 sysinstall 中删掉了。 您只能在安装好 &os; 之后再配置它。 关于安装和配置 X 桌面的更多细节可以在 找到。 如果不是在安装 &os; 5.3-RELEASE 之前的版本， 则可以跳过这一节。 有许多窗口管理器可以使用。它们从基本的桌面环境到全部的桌面应用，是 一个大型的软件集。一些人可能只希望使用一些占用磁盘空间少，内存低的窗口 管理器；而另外一些人则更倾向于使用有便多特性的桌面环境。选择使用那种桌 面的最好的方法就是尝试着试用一些不同的桌面环境。这些桌面都可以在安装 完成后通过ports收集或包管理器来进行安装。 您可以选择一个流行的桌面配置成为默认的桌面，可以使您在安装完 成后立刻启动它。
选择默认桌面
使用箭头选择一个桌面，然后键入Enter键。选择的桌面将被 安装。 安装软件包 这些软件包已经被预编译成二进制程序了，安装软件有一个很简单的方法。 前面已经介绍了如何安装一个软件包的例子。 如果需要的话， 在安装结束之后， 仍然可以使用 sysinstall (对于 &os; 5.2 之前的版本是 /stand/sysinstall) 来安装其他软件包。 User Confirmation Requested The FreeBSD package collection is a collection of hundreds of ready-to-run applications, from text editors to games to WEB servers and more. Would you like to browse the collection now? [ Yes ] No 选择 &gui.yes; 按Enter 将会显示软件包选择屏幕。
选择软件所的种类
在任何时候只有安装介质上有的软件包才能被安装进系统。 如果选择All 那么所有的软件包将会被显示，您也 可以选择一个特殊的分类。使用箭头进行选择，然后键入 Enter。 一个菜单将会显示这个分类中可用的所有软件包。
选择软件包
bash shell 被选中了。通过在加亮的软件 上键入Space 键，来选择您想要的软件所。每个选择的软件 包的简短描述都会显示在屏幕左下脚。 按 Tab 键选择 &gui.ok;或 &gui.cancel;。 当您完成了安装标记之后，键入 Tab 键选择 &gui.ok; 然后键入Enter 返回软件包选择菜单。 左右箭头键也可以用来选择 &gui.ok;和 &gui.cancel;。用这种方法也可以 用 &gui.ok; 然后按 Enter 来返回软件包选择菜单。
安装软件包
使用 Tab 和箭头键来选择 [ Install ] 然后键入 Enter。您接着需要确定您要安装的软件包。
确认安装的软件包
选择 &gui.ok; 然后键入Enter 键将开始软件的安装， 安装信息将会不断地出现。如果有一些错误信息，请作好记录。 安装完成之后，继续最后的配置。如果您不想安装任何软件包并退回到 最终配置屏幕，请选择Install 。 添加用户/组 您至少要在安装过程中添加一个用户，以便于您能不用root 来登录使用系统。根分区通常比较小，用 root 来运行应用程序 可能会快一点。但这样会有一些危险： User Confirmation Requested Would you like to add any initial user accounts to the system? Adding at least one account for yourself at this stage is suggested since working as the "root" user is dangerous (it is easy to do things which adversely affect the entire system). [ Yes ] No 选择 &gui.yes; 然后键入Enter 继续添加用户。
选择用户
用箭头键来选择 User 然后按 Enter。
添加用户信息
下面的描述信息会出现在屏幕的下方，可以使用 Tab 键来切换不同的项目，以便输入相关信息： Login ID 新用户的登录名（强制性必须写） UID 这个用户的ID编号（如果不写，系统自动添加） Group 这个用户的登录组名（如果不写，系统自动添加） Password 这个用户的密码（键入这个需要很仔细！） Full name 用户的全名（解释、备注） Member groups 这个用户所在的组 Home directory 用户的主目录（如果不写，系统自动添加） Login shell 用户登录的shell（默认是/bin/sh）。 你可以将登录 shell 由 /bin/sh 改为 /usr/local/bin/bash， 以便使用事先以 package 形式安装的 bash shell。 不要使用一个不存在的或您不能登录的shell。最通用的shell是使用 BSD-world 的 C shell，可以通过指定/bin/tcsh来修改。 用户也可以被添加到 wheel 组中成了一个超级用户， 从而拥有 root权限。 当您感觉满意时，键入 &gui.ok; 键，用户和组管理菜单将会重新出现。
退出用户和组管理
如果有其他的需要， 此时还可以添加其他的组。 此外， 还可以通过 sysinstall (在 &os; 5.2 以前的版本中是 /stand/sysinstall) 在安装完成之后添加它们。 当您完成添加用户的时候，选择Exit 然后键入Enter 继续下面的安装。 设置 <username>root</username> 密码 Message Now you must set the system manager's password. This is the password you'll use to log in as "root". [ OK ] [ Press enter to continue ] 键入 Enter 来设置 root 密码。 密码必须正确地输入两次。 毋庸讳言， 您需要选择一个不容易忘记的口令。 请注意您输入的口令不会回显， 也不会显示星号。 Changing local password for root. New password : Retype new password : 密码成功键入后，安装将继续。 退出安装 如果您需要设置其他的网络设备， 或者需要完成其他的配置， 可以在此时或者事后通过 sysinstall (对于 &os; 5.2 之前的版本是 /stand/sysinstall) 来进行配置。 User Confirmation Requested Visit the general configuration menu for a chance to set any last options? Yes [ No ] 选择 &gui.no; 然后键入 Enter 返回到主安装菜单。
退出安装
选择 [X Exit Install] 然后键入 Enter。您可能需要确认是否真的退出安装： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies from the drives). [ Yes ] No 选择 &gui.yes; 取出软盘。CDROM驱动器将被锁定， 直到机器重新启动。CDROM然后就可以从驱动器中取出来了。 在系统重新启动的时候可能会见到出错信息。 FreeBSD的启动 FreeBSD 在 &i386;上启动 如果启动正常，您将看到在屏幕上有很多信息滚动，最后您会看到登录命令行。 您可以通过键入 Scroll-Lock和使用 PgUp 与 PgDn来查看信息，再键入 Scroll-Lock 回到命令行。 记录信息可能不会显示（缓冲区的限制）。您可以通过键入 dmesg 来查看。 使用您在安装过程中设置的用户名/密码来登录。（例子中使用 rpratt）。除非必须的时候请不要用 root 用户登录。 典型的启动信息：（忽略版本信息） Copyright (c) 1992-2002 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. Timecounter "i8254" frequency 1193182 Hz CPU: AMD-K6(tm) 3D processor (300.68-MHz 586-class CPU) Origin = "AuthenticAMD" Id = 0x580 Stepping = 0 Features=0x8001bf<FPU,VME,DE,PSE,TSC,MSR,MCE,CX8,MMX> AMD Features=0x80000800<SYSCALL,3DNow!> real memory = 268435456 (262144K bytes) config> di sn0 config> di lnc0 config> di le0 config> di ie0 config> di fe0 config> di cs0 config> di bt0 config> di aic0 config> di aha0 config> di adv0 config> q avail memory = 256311296 (250304K bytes) Preloaded elf kernel "kernel" at 0xc0491000. Preloaded userconfig_script "/boot/kernel.conf" at 0xc049109c. md0: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1: <VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <ISA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0: <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci0 usb0: <VIA 83C572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr 1 uhub0: 2 ports with 2 removable, self powered chip1: <VIA 82C586B ACPI interface> at device 7.3 on pci0 ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xe800-0xe81f irq 9 at device 10.0 on pci0 ed0: address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq 2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <keyboard controller (i8042)> at port 0x60-0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq 1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/2 mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x1 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 ppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold ppbus0: IEEE1284 device found /NIBBLE Probing for PnP devices on ppbus0: plip0: <PLIP network interface> on ppbus0 lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port ppi0: <Parallel I/O> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master using UDMA33 ad2: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata1-master using UDMA33 acd0: CDROM <DELTA OTC-H101/ST3 F/W by OIPD> at ata0-slave using PIO4 Mounting root from ufs:/dev/ad0s1a swapon: adding /dev/ad0s1b as swap device Automatic boot in progress... /dev/ad0s1a: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1a: clean, 48752 free (552 frags, 6025 blocks, 0.9% fragmentation) /dev/ad0s1f: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1f: clean, 128997 free (21 frags, 16122 blocks, 0.0% fragmentation) /dev/ad0s1g: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1g: clean, 3036299 free (43175 frags, 374073 blocks, 1.3% fragmentation) /dev/ad0s1e: filesystem CLEAN; SKIPPING CHECKS /dev/ad0s1e: clean, 128193 free (17 frags, 16022 blocks, 0.0% fragmentation) Doing initial network setup: hostname. ed0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::5054::5ff::fede:731b%ed0 prefixlen 64 tentative scopeid 0x1 ether 52:54:05:de:73:1b lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x8 inet6 ::1 prefixlen 128 inet 127.0.0.1 netmask 0xff000000 Additional routing options: IP gateway=YES TCP keepalive=YES routing daemons:. additional daemons: syslogd. Doing additional network setup:. Starting final network daemons: creating ssh RSA host key Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: cd:76:89:16:69:0e:d0:6e:f8:66:d0:07:26:3c:7e:2d root@k6-2.example.com creating ssh DSA host key Generating public/private dsa key pair. Your identification has been saved in /etc/ssh/ssh_host_dsa_key. Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub. The key fingerprint is: f9:a1:a9:47:c4:ad:f9:8d:52:b8:b8:ff:8c:ad:2d:e6 root@k6-2.example.com. setting ELF ldconfig path: /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout starting standard daemons: inetd cron sshd usbd sendmail. Initial rc.i386 initialization:. rc.i386 configuring syscons: blank_time screensaver moused. Additional ABI support: linux. Local package initialization:. Additional TCP options:. FreeBSD/i386 (k6-2.example.com) (ttyv0) login: rpratt Password: 生成 RSA 和 DSA密钥在比较慢的机器上可能要花很长时间。这只是一个 新安装后的首次启动，以后的启动会变得更快一点。 如果已经完成 X 服务器的配置， 且指定了默认的桌面窗口管理器， 就可以在命令行键入 startx 来启动它了。 FreeBSD 在 Alpha机器上启动 Alpha 一旦安装完成，您就可以键入下面的命令来启动FreeBSD： >>>BOOT DKC0 这是从指定的固定硬件进行引导。如果要使 FreeBSD 下次能够自动启动， 使用下面的命令： >>> SET BOOT_OSFLAGS A >>> SET BOOT_FILE '' >>> SET BOOTDEF_DEV DKC0 >>> SET AUTO_ACTION BOOT 启动信息跟启动 &i386;机器时差不多。（但不完全一样） FreeBSD 关机 正确的关闭操作系统是很重要的。不要仅仅关闭电源。首先，您需要成为一个超 级用户，通过键入 su 命令来实现。然后输入 root 密码。这需要用户是 wheel 组的一名成员。然后，以root键入 shutdown -h now命令。 The operating system has halted. Please press any key to reboot. 当shutdown命令发出后，屏幕上出现 Please press any key to reboot 信息时，您就可以安全的关闭计算机了。如果按下任意一个键，计算机将重新启动。 您也能够使用 Ctrl Alt Del 组合键来重新启动计算机，但是不推荐使用这个操作。 - - 支持的硬件 - - hardware - FreeBSD当前可以广泛运行在ISA、VLB、EISA、PCI总线的PC上，包括 - Inter,AMD,Cyrix或 NexGen x86系列的机器，还有一些 - Compaq Alpha的机器。支持普通的 IDE 或 ESDI 驱动配置，各种SCSI控制器， - PCMCIA卡，USB设备，网卡和其它网络串口设备。FreeBSD也支持IBM微通道 - （MCA）的总线结构。 - - 每个发行版都会提供一个FreeBSD支持的硬件列表。您可以在名字叫做 - HARDWARE.TXT的文件中找到。它可以在CDROM或FTP发行组件 - 或sysinstall的文档菜单中找到。对于特定的架构，都 - 有相应的硬件支持列表。也可以在FreeBSD的网站 Release - Information 找到更多的信息。 - - 常见问题 安装 常见问题 下面将介绍一些在安装过程中常见的问题，像如何报告发生的问题，如何 双重启动FreeBSD和 &ms-dos;。 当您遇到错误时，应该怎么做？ 由于pc结构的限制，不可能100%的不出现问题，但是有些问题是您可以 自己解决的。 先检查您的硬件，确保您的硬件被支持。 如果您的硬件能够被支持，但还是会出问题，那就重新启动计算机。当出现 内核配置信息的时候，重新配置一下硬件信息。因为绝大多数硬件的IRQ，IO地 址，DMA通道都有它们的生产商预先进行默认配置。如果您的硬件已经重新装配了， 就需要使用配置编辑器告诉FreeBSD到哪里去找相关信息。 如果某个设备配置好后，发现又有个设备出现错误。碰到这种情况，就当卸掉 这个设备的驱动程序。 有些安装问题可以借助更新硬件的程序来解决，特别是主板的 BIOS 。大部分的主板制造商都会提供网站给用户下载新的 BIOS以及提供如何更新的说明。 也有许多制造商强烈建议，除非必要否则不要轻易更新 BIOS 。因为更新的过程可能 会发生问题，进而损害BIOS 芯片。 不要禁用安装过程中您会用到的驱动程序， 例如显示 sc0。 如果安装程序在修改了某些配置之后安装程序行为诡异或失败， 您可能修改或删除了某些不应删除的组件。 如果遇到这种情况， 应重新启动以便尝试其他设置。 在配置模式下，您可以： 列出在内核中安装的设备驱动程序。 禁用不适合您机器的设备驱动程序。 通过驱动程序改变IRQ，DRQ和IO端口地址。 调整内核与您的硬件设置一致之后，键入 Q ，以新的设置 重新启动计算机。当FreeBSD安装完成之后，在配置模式下做的更改会一直存在，不需 要在每次启动计算机时再重新设置。即使如此，有可能您会想建立一个定制内核使您 的系统效率达到最好，可以看看以下的链接 custom kernel。 处理 &ms-dos; 分区存在的问题 DOS 许多 &os; 的用户会在运行了 µsoft; 的 PC 上安装 FreeBSD。 以下是一些关于在这种系统中安装 FreeBSD 常会出现的问题。 &os; 中有一个叫 FIPS 的应用程序。 此工具程序可以在安装光盘的 tools 目录下找到， 或者， 也可以从 &os; 的镜像站点 下载。 FIPS 允许您将现有的 &ms-dos; 分区一分为二， 保留原原有的分区， 而将新系统安装到空出来的分区上。 首先要整理 &ms-dos; 分区的碎片， 您可以用 &windows; 的 Disk Defragmenter (进入资源管理器， 右键单击硬盘， 并选择整理碎片) 或 Norton Disk Tools 来完成这项工作。 接下来就可以运行 FIPS， 它会提示您接下来所需要进行的操作。 接下来就可以重新启动并将 &os; 安装到新空出来的分区中了。 安装所需的磁盘空间， 可以从 Distributions 菜单给出的值来进行估计。 有一个由PowerQuest公司生产的非常有用的工具。从 http://www.powerquest.com网站上 可以得到&partitionmagic;。这个工具的功能比 FIPS要强大。如果您经常要添加或删除操作系统，强烈建议 您使用它。当然，它很贵。如果您只是想安装 &os; 的话， FIPS 就已足够了。 使用 &ms-dos; 和 &windows; 文件系统 现在 &os; 还不支持经过Double Space™ 应用程序压缩过的文件系统。因此其它的文件系统在被&os;访问其数据之前必须先 解压缩。它可以通过运行位于 Start> Programs > System Tools menu中的 Compression Agent程序来实现。 &os;可以支持基于 &ms-dos; 的文件系统。这要求您使用带参数的 &man.mount.msdosfs.8; 命令。 最常使用的是： &prompt.root; mount_msdosfs /dev/ad0s1 /mnt 在此例子中， &ms-dos; 文件系统位于主硬盘的第一个分区。您的情况可能与引不同， 查看命令 dmesg和 mount 的输出。它们应该 可以让您得到足够的分区信息。 &ms-dos; 的扩展分区会被映射在 &os;分区的末尾。换句话说，分区号要大于 &os; 正在使用的分区号。例如，第一个 &ms-dos; 分区可能位于 /dev/ad0s1，&os; 分区可能位于 /dev/ad0s2，跟着是 &ms-dos; 的扩展分区位于 /dev/ad0s3。这可能会使您感觉迷茫。 NTFS 分区也可以通过类似 &man.mount.ntfs.8; 命令挂接在FreeBSD上。 Alpha 用户的问题与解答 Alpha 这节主要回答一些在Alpha系统上安装FreeBSD时经常问到的问题。 我可以从 ARC 或 Alpha BIOS 控制台启动吗？ ARC Alpha BIOS SRM 不行。 &os;，像Compaq Tru64 和 VMS，只能从SRM 控制台启动。 求救，我没有空间了！我需要删除每一样东西吗？ 不，这个时候不行。 我可以挂上 Compaq Tru64 或 VMS 的文件系统吗？ 不，这个时候不行。 Valentino Vaschetto Contributed by 高级安装指南 这节主要描述在一些特殊情况下如何安装FreeBSD。 在一个没有显示器或键盘的系统上安装FreeBSD installation headless (serial console) serial console 这种类型的安装叫做 headless install（无关安装）， 因您正要安装FreeBSD的机器不是没带显示器，就是没有显卡。您可能会问那怎么安装？ 可以使用一个串行控制台。串行控制台基本上是使用另外一台机器来充当主显示设备 和键盘。要这样做，只要执行下面的步骤：创建安装软件，请看 一节说明。 按下面的步骤，修改这些软盘用来引导进入一个串行控制台： 通过启动软盘来引导进入一个串行控制台 mount 如果您想用软盘，FreeBSD将进入它通常的安装模式。我们要把FreeBSD 引导进入串行控制台，需要这样做，您必须使用 &man.mount.8;命令在FreeBSD系统 上挂一kern.flp的那个软盘。 &prompt.root; mount /dev/fd0 /mnt 现在您已经挂上了软盘， 需要进入 /mnt 目录： &prompt.root; cd /mnt 这儿是您必须设置软盘引导进入串行控制台的地方。您必须制作一个包含 /boot/loader -h这行的叫做boot.config 的文件。所有这些是为了给引导程序一个标记以引导进入串行控制台。 &prompt.root; echo "/boot/loader -h" > boot.config 现在您已经正确配置好了软盘，您必须使用 &man.umount.8; 命令卸下软盘。 &prompt.root; cd / &prompt.root; umount /mnt 现在您可以从软盘驱动器中取出软盘了。 连接您的 Null-modem 线 null modem cable 您现在需要一根null modem线来连接两台机器。 只要连接两台机器的串口。 普通的串行线是不行的，您需要使用一根null modem的线， 因为它在一些十字交叉口有金属线。 开始启动安装 现在开始启动安装。把 kern.flp 的那张软盘 插入软盘驱动器，然后开启电源。 连接您的无头机器 cu 现在您已经通过&man.cu.1;连接到了那台机器。 &prompt.root; cu -l /dev/cuaa0 就这样！您已经能够通过您的cu session对话来控制 那台无头机器了。它将要求您把 mfsroot.flp的那张软盘 插入驱动器，然后它将提示选择使用哪种终端。只要选择FreeBSD的彩色控制台，然后 继续您的安装。 准备您自己的安装介质 为了避免重复 FreeBSD disc 在这里指 FreeBSD CDROM or DVD 那即意味着您要购买或自己制做。 有好几个原因需要您创建自己的FreeBSD安装介质。这可能是物理介质，如磁带， 使用 sysinstall程序找到的安装文件，FTP站点或 &ms-dos;分区。 例如： 您有许多机器连接到本地网络，使用一个FreeBSD光盘。您要使用FreeBSD来 创建一个本地FTP站点，然后使用这个FTP站点来代替连接到Internet。 您有一张 FreeBSD 光盘， FreeBSD 不支持您的 CD/DVD 驱动器， 但 &ms-dos;/&windows; 支持。 您要复制安装文件到一个DOS分区， 然后使用这些文件进行安装。 您要安装的计算机没有 CD/DVD驱动器和网卡，但您可以连接一个 Laplink-style 串口或并口线缆到那台计算机。 您要通过一个磁带机来安装FreeBSD. 创建一张安装光盘 FreeBSD的每个发行版本都提供两张CDROM映像(ISO images)。 如果您有刻录机，这些映像文件可以被(burned) 成FreeBSD的安装光盘。 如果没有刻录机，而上网带宽却很便宜，它也是一种很好的安装方式。 下载正确的 ISO 映像文件 每个版本的ISO映像文件都可以从 ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-架构名/版本 或最近的镜像站点下载。选择合适的 架构 和 版本 。 目录中包含下面一些映像文件： FreeBSD 4.<replaceable>X</replaceable> ISO 映像文件名和含意 文件名 包含内容 版本-RELEASE-架构名-miniinst.iso 安装 FreeBSD 所需的全部文件。 版本-RELEASE-架构名-disc1.iso 安装 FreeBSD 所需的全部文件， 以及这张光盘能装下的、 尽可能多的第三方软件包。 版本-RELEASE-架构名-disc2.iso 一份用于与 sysinstall 中的 Repair(修复) 机制联用的 现场文件系统。 一份 FreeBSD CVS 目录的副本， 以及这张光盘能装下的、 尽可能多的第三方软件包。
FreeBSD 5.<replaceable>X</replaceable> 和 6.<replaceable>X</replaceable> ISO 映像文件名和含意 文件名 包含内容 版本-RELEASE-架构-bootonly.iso 引导 FreeBSD 内核并启动安装界面所需的全部数据。 安装文件可以从 FTP 或其他安装源获得。 版本-RELEASE-架构名-disc1.iso 安装 FreeBSD 所需的全部文件， 以及一份用于与 sysinstall 中的 Repair(修复) 机制联用的 现场文件系统。 版本-RELEASE-架构名-disc2.iso &os; 文档以及这张光盘能装下的、 尽可能多的第三方软件包。
您 必须 下载 miniinst ISO 镜像 (如果有的话) 或第一张光盘的镜像之一。 不需要两个都下载， 因为第一张光盘包括了 miniinst ISO 的全部内容。 如果访问 Internet 的价格便宜， 建议使用 miniinst ISO。 这样您可以安装 FreeBSD， 并从网上通过 ports/packages 系统 (参见 ) 根据需要下载和安装第三方软件包。 如果您正打算安装 &os; 并同时选择一些第三方软件包， 则可以下载第一张光盘的镜像文件。 其它的映像盘也是很有用的，但不是必须的，尤其是在您有高速的网络连接时。 刻录 CDs 您必须把这些映像文件刻录成光盘。如果您在其它的FreeBSD系统上完成 此项工作，请看 得到更多的信息，（特别是 和 ） 如果您在其它的系统平台上执行，您需要相应的刻录软件。映像文件使用 的是标准的ISO格式，必须被您的刻录软件所支持。 如果有兴趣制作一张定制的 FreeBSD 版本， 请参考 Release Engineering Article。 为 FreeBSD 安装盘建立局域网 FTP 站点 installation network FTP FreeBSD 光盘的布局和 FTP 站点相同。 这样， 建立局域网 FTP 站点来用于网络上的其它计算机安装 FreeBSD， 就十分的容易。 在要作为FTP站点的那台FreeBSD机器上，确定FreeBSD磁盘放入光驱 中并将它挂在/cdrom目录中。 &prompt.root; mount /cdrom 在/etc/passwd文件中建立一个可匿名访问FTP 服务器的账号。您可以利用&man.vipw.8; 命令编辑/etc/passwd 文件，加入下面这一行叙述： ftp:*:99:99::0:0:FTP:/cdrom:/nonexistent 确定在/etc/inetd.conf配置文件中开启 了FTP服务。 任何本地网络中的机器在安装FreeBSD选择安装介质时就可以选择透过 FTP站点，然后选取 Other后输入 ftp://本地FTP服务器 即可以透过本地的FTP站点来安装FreeBSD。 如果用作 FTP 客户端的引导介质 (通常是软盘) 与本地局域网的 FTP 站点上的版本不一致， sysinstall 会不允许您完成安装。 如果您使用的版本差距不很大， 并且希望绕过这一判断， 则应进入 Options 菜单， 并将安装包的名字改为 any。 此方式最好使用在有防火墙保护的内部网络。如果要将此FTP服务公开给外面的 网际网络（非本地用户），您的电脑必须承担被侵入或其它的风险。我们强烈建议您 要有完善的安全机制才这样做。 创建安装软盘 installation floppies 如果您从软盘安装（我们不推荐那样做），或者是由于 不支持硬件或者更简单的理由是因为您坚持要使用软盘安装。您必须准备几张软盘。 至少这些软盘必须是 1.44 MB 或 1.2 MB 的，用来容纳所有在 bin (命令) 目录下的文件。如果您在 DOS 操作系统下准备就 MUST使用 &ms-dos;下的 FORMAT 命令来格式化软盘。 如果您使用的是 &windows; 操作系统， 在资源管理器中就可以完成这个工作 (用右键单击 A: 驱动器， 并选择 Format)。 不要 指望厂家的预先格式化！ 最好还是亲自进行格式化。 过去用户报告的很多问题都是由于不正确地使用格式化设备所造成的， 所以我们需要在这里着重提一下。 如果您在另外一台FreeBSD的机器上做了启动盘的话，进行格式化是一个不 错的主意。虽然您不需要把每张盘都做成DOS文件系统。您也可以使用 bsdlabel 和 newfs 命令来创建一个UFS文件系统，具体操作按下面的顺序进行： &prompt.root; fdformat -f 1440 fd0.1440 &prompt.root; bsdlabel -w -r fd0.1440 floppy3 &prompt.root; newfs -t 2 -u 18 -l 1 -i 65536 /dev/fd0 如果使用 5.25"软盘的话，需要使用 fd0.1200 和 floppy5 来格式化 1.2 MB 的磁盘空间。 然后您就可以像其它的文件系统一样挂上和写入这些磁盘。 格式化这些磁盘后，您必须把文件复制到磁盘中。 这些发行文件被分割成刚好可存进五张 1.44 MB 软盘。 检查您所有的磁盘， 找出所有可能适合的文件。 直到您找到所有需要的配置并且将它们以这种方式安置。 第一个配置都应该有一个子目录在磁盘上， 例如： a:\bin\bin.aa、 a:\bin\bin.ab， 等等。 一旦您进入选择安装介质的屏幕，选择 Floppy 将会看到后面的提示符。 从 &ms-dos; 分区安装 installation from MS-DOS 如果从 &ms-dos; 分区安装， 您需要将发布文件复制到该分区根目录下的 freebsd 目录中。 例如： c:\freebsd。 您必须复制一部分 CDROM 或 FTP 上的目录结构， 因此， 如果您从光盘进行复制， 建议使用 DOS 的 xcopy 命令。 下面是准备进行 FreeBSD 最小系统安装的例子： C:\> md c:\freebsd C:\> xcopy e:\bin c:\freebsd\bin\ /s C:\> xcopy e:\manpages c:\freebsd\manpages\ /s 假设 C: 盘是您的空闲空间， E: 盘是您挂接的 CDROM。 如果您没有光盘驱动器，您可以从以下网站下载发行包。 ftp.FreeBSD.org. 每一个发行包都在一个目录中，例如 base 发行包可以在 &rel.current;/base/目录中找到。 对很多发行包来说，如果您希望从 &ms-dos;分区安装的话（您有足够的空间）， 安装 c:\freebsd — 下的每个文件－这个 BIN 发行包只是最低限度的要求。 创建一个安装磁带 installation from QIC/SCSI Tape 从磁带安装也许是最简单的方式，比在线使用 FTP 安装或使用 CDROM 还快。 安装的程序假设是简单地被压缩在磁带上。在您得到所有配置文件后，简单地解开它们， 用下面的命令： &prompt.root; cd /freebsd/distdir &prompt.root; tar cvf /dev/rwt0 dist1 ... dist2 在您安装的时候，您要确定留有足够的空间给临时目录（允许您选择） 来容纳磁带安装时 全部 的内容。由于不是随机访问 磁带的，所以这种安装方法需要很多临时空间。 开始安装时，在从软盘启动 之前， 磁带机必须已经放在驱动设备中。 否则， 安装过程中可能会找不到它。 通过网络安装 installation network serial (SLIP or PPP) installation network parallel (PLIP) installation network Ethernet 有三种类型的网络安装方法。串口（SLIP或PPP），并口（PLIP），以太网 （标准的以太网控制器，包括PCMCIA）。 SLIP 支持是相当原始的，并且被限制在主要对hard-wired 的连接，就像 一台膝上型计算机与另一台计算机间的串行线。现在的SLIP的安装还没有提供拨号功能， 这个连接应该是 hard-wired ；用PPP工具提供的这种便利性应该首先尽可能被用于SLIP 设备。 如果您使用一个MODEM，那您就只有PPP这一种选择了。在您安装的过程中， 要确定您能很容易地获得完整且快速的关于您服务提供商的信息。 如果您使用 PAP 或 CHAP 方式连接到您的 ISP，（换句话说，如果您不使用 脚本在&windows;中连接到您的ISP），那么您需要在ppp 提示符下输入dial 命令。否则，当PPP连接者只提供一种最简单的 终端模拟器，您必须知道如何使用针对MODEM的 AT commands拨号到您 的ISP。想知道更深入的信息可以参考用户级PPP那节 handbook and FAQ 。如果您有一些问题，可以使用 set log local ...命令将日志显示在屏幕上。 您也可以通过并口电缆连接到另外一台FreeBSD（2.0或以后的版本）机器上进行 安装，您可以考虑使用 laplink 并口电缆进行安装。通过并口安装要 比通过串口（最高 50 kbytes/sec）安装快得多。 最后，通过网络安装最快的方法是利用以太网技术！FreeBSD支持绝大多数普通 的以太网卡。每个FreeBSD发行版都在硬件注释中提供支持的网卡的列表和需要的设置。 如果您要使用PCMCIA接口的以太网，在启动计算机 之前， 确信已经把它插好了。目前，FreeBSD还不支持PCMCIA的热插拔。 通过网络安装，您可能需要知道IP地址，地址掩码，还有机器的名字。如果您 通过PPP进行安装，就不需要静态的IP地址，IP地址会由ISP给您自动指派。您的系统 管理员会告诉您通过网络安装的细节。如果您通过主机名而不是IP地址来访问其它主 机，需要有一个域名服务器或一个网关地址（如果您使用PPP进行安装，那它就是您的 ISP的IP地址）。如果您要通过一个HTTP的代理服务器进行FTP安装，需要一个代理 服务器地址。如果您不知道这些，在安装 之前可以询问 您的系统管理员或您的ISP服务商。 通过NFS安装之前 installation network NFS NFS 安装方式是非常方便的。 只需要简单地将 FreeBSD 文件复制到一台服务器上， 然后在安装时选择NFS介质。 如果这个服务器要特权端口才能支持（如SUN的工作站）， 您需要在安装前在 Options 菜单中设置 NFS Secure。 如果您的一台网卡比较糟糕，速度很慢，则应考虑 NFS Slow的选项。 为了达到NFS安装的目的，这个服务器必须支持 subdir 加载。例如，如果您的 FreeBSD &rel.current; 目录存在： ziggy:/usr/archive/stuff/FreeBSD，然后 ziggy 将必须允许直接挂上 /usr/archive/stuff/FreeBSD，而不仅仅是 /usr 或 /usr/archive/stuff。 在 FreeBSD的 /etc/exports 配置文件中，是由 选项来控制的。其它 NFS服务器也许有不同的方式。 如果您从服务器得到permission denied 这个信息，可能是因为您没有正确的启用它。 diff --git a/zh_CN.GB2312/books/handbook/mac/chapter.sgml b/zh_CN.GB2312/books/handbook/mac/chapter.sgml index aea15b7cc9..394aad8294 100644 --- a/zh_CN.GB2312/books/handbook/mac/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/mac/chapter.sgml @@ -1,1855 +1,1855 @@ Tom Rhodes - Written by + 原作 强制访问控制 概要 MAC 强制访问控制 MAC &os; 5.X 在 &posix;.1e 草案的基础上引入了 TrustedBSD 项目提供的新的安全性扩展。 新安全机制中最重要的两个， 是文件系统访问控制列表 (ACL) 和强制访问控制 (MAC) 机制。 强制访问控制允许加载新的访问控制模块， 并借此实施新的安全策略， 其中一部分为一个很小的系统子集提供保护并加强特定的服务， 其他的则对所有的主体和客体提供全面的标签式安全保护。 定义中有关强制的部分源于如下事实， 控制的实现由管理员和系统作出， 而不像自主访问控制 (DAC, &os; 中的标准文件以及 System V IPC 权限) 那样是按照用户意愿进行的。 本章将集中讲述强制访问控制框架 (MAC 框架) 以及一套用以实施多种安全策略的插件式的安全策略模块。 阅读本章之后， 您将了解： 目前 &os; 中具有哪些 MAC 安全策略模块， 以及与之相关的机制。 MAC 安全策略模块将实施何种策略， 以及标签式与非标签式策略之间的差异。 如何高效地配置系统令使其使用 MAC 框架。 如何配置 MAC 框架所提供的不同的安全策略模块。 如何用 MAC 框架构建更为安全的环境， 并举例说明。 如何测试 MAC 配置以确保正确构建了框架。 阅读本章之前， 您应该： 了解 &unix; 和 &os; 的基础 ()。 熟悉内核配置/编译 () 的基础。 对安全及其如何与 &os; 相配合有些了解； ()。 对本章信息的不当使用可能导致丧失系统访问权， 激怒用户， 或者无法访问 X11 提供的特性。 更重要的是， MAC 不能用于彻底保护一个系统。 MAC 框架仅用于增强现有安全策略； 如果没有健全的安全条例以及定期的安全检查， 系统将永远不会绝对安全。 此外还需要注意的是， 本章中所包含的例子仅仅是例子。 我们并不建议在一个生产用系统上进行这些特别的设置。 实施各种安全策略模块需要谨慎的考虑与测试， 因为那些并不完全理解所有机制如何工作的人， 可能会发现需要对整个系统中很多的文件或目录进行重新配置。 未涉及的内容 本章涵盖了与 MAC 框架有关的诸多方面的安全问题； 而新的 MAC 安全策略模块的开发成果则不会涉及。 MAC 框架中所包含的一部分安全策略模块， 具有一些用于测试及新模块开发的特定属性， 其中包括 &man.mac.test.4;、 &man.mac.stub.4; 以及 &man.mac.none.4;。 关于这些安全策略模块及其提供的众多机制的详细信息，请参阅联机手册中的内容。 本章出现的重要术语 在阅读本章之前， 有些关键术语需要解释， 希望能藉此扫清可能出现的疑惑， 并避免在文中对新术语、 新信息进行生硬的介绍。 区间(compartment)： (译注： 区间 这一术语， 在一些文献中也称做类别 (category)。 此外， 在其它一些翻译文献中， 该术语也翻译为 象限。) 指一组被划分或隔离的程序和数据， 其中， 用户被明确地赋予了访问特定系统组件的权限。 同时， 区间也能够表达分组， 例如工作组、 部门、 项目， 或话题。 可以通过使用区间来实施 need-to-know 安全策略。 高水位线(high water mark)： 高水位线策略是一种允许提高安全级别， 以期访问更高级别的信息的安全策略。 在多数情况下， 当进程结束时， 又会回到原先的安全级别。 目前， &os; MAC 框架尚未提供这样的策略， 在这里介绍其定义主要是希望给您一个完整的概念。 完整性(integrity)： 作为一个关键概念， 完整性是数据可信性的一种程度。 若数据的完整性提高， 则数据的可信性相应提高。 标签(label)： 标签是一种可应用于文件、 目录或系统其他客体的安全属性， 它也可以被认为是一种机密性印鉴。 当一个文件被施以标签时， 其标签会描述这一文件的安全参数， 并只允许拥有相似安全性设置的文件、 用户、 资源等访问该文件。 标签值的涵义及解释取决于相应的策略配置： 某些策略会将标签当作对某一客体的完整性和保密性的表述， 而其它一些策略则会用标签保存访问规则。 程度(level)： 对某种安全属性加强或削弱的设定。 若程度增加， 其安全性也相应增加。 低水位线(low water mark)： 低水位线策略允许降低安全级别， 以访问安全性较差的信息。 多数情况下， 在进程结束时， 又会回到原先的安全级别。 目前在 &os; 中唯一实现这一安全策略的是 &man.mac.lomac.4;。 多重标签(multilabel)： 属性是一个文件系统选项。 该选项可在单用户模式下通过 &man.tunefs.8; 程序进行设置。 可以在引导时使用的 &man.fstab.5; 文件中， 也可在创建新文件系统时进行配置。 该选项将允许管理员对不同客体施以不同的 MAC 标签。 该选项仅适用于支持标签的安全策略模块。 客体(object)： 客体或系统客体是一种实体， 信息随 主体 的导向在客体内部流动。 客体包括目录、 文件、 区段、 显示器、 键盘、 存储器、 磁存储器、 打印机及其它数据存储/转移设备。 基本上， 客体就是指数据容器或系统资源。 对 客体 的访问实际上意味着对数据的访问。 策略(policy)： 一套用以规定如何达成目标的规则。 策略 一般用以描述如何对特定客体进行操作。 本章将在安全策略的范畴内讨论策略， 一套用以控制数据和信息流并规定其访问者的规则，就是其中一例。 敏感性(sensitivity)： 通常在讨论 MLS 时使用。 敏感性程度曾被用来描述数据应该有何等的重要或机密。 若敏感性程度增加， 则保密的重要性或数据的机密性相应增强。 单一标签(single label)： 整个文件系统使用一个标签对数据流实施访问控制， 叫做单一标签。 当文件系统使用此设置时， 即无论何时当 选项未被设定时， 所有文件都将遵守相同标签设定。 主体(subject)： 主体就是引起信息在两个 客体 间流动的任意活动实体， 比如用户， 用户进程(译注：原文为 processor)， 系统进程等。 在 &os; 中， 主体几乎总是代表用户活跃在某一进程中的一个线程。 关于 MAC 的说明 在掌握了所有新术语之后， 我们从整体上来考虑 MAC 是如何加强系统安全性的。 MAC 框架提供的众多安全策略模块可以用来保护网络及文件系统， 也可以禁止用户访问某些特定的端口、 套接字及其它客体。 将策略模块组合在一起以构建一个拥有多层次安全性的环境， 也许是其最佳的使用方式， 这可以通过一次性加载多个安全策略模块来实现。 在多层次安全环境中， 多重策略模块可以有效地控制安全性， 这一点与强化型 (hardening) 策略， 即那种通常只强化系统中用于特定目的的元素的策略是不同的。 相比之下， 多重策略的唯一不足是需要系统管理员先期设置好参数， 如多重文件系统安全标志、 每一位用户的网络访问权限等等。 与采用框架方式实现的长期效果相比， 这些不足之处是微不足道的。 例如， 让系统具有为特定配置挑选必需的策略的能力， 有助于降低性能开销。 而减少对无用策略的支持， 不仅可以提高系统的整体性能， 而且提供了更灵活的选择空间。 好的实施方案中应该考虑到整体的安全性要求， 并有效地利用框架所提供的众多安全策略模块。 这样一个使用 MAC 特性的系统， 至少要保证不允许用户任意更改安全属性； 所有的用户实用工具、 程序以及脚本， 必须在所选安全策略模块提供的访问规则的约束下工作； 并且系统管理员应掌握 MAC 访问规则的一切控制权。 细心选择正确的安全策略模块是系统管理员专有的职责。 某些环境也许需要限制网络的访问控制权， 在这种情况下， 使用 &man.mac.portacl.4;、 &man.mac.ifoff.4; 乃至 &man.mac.biba.4; 安全策略模块都会是不错的开始； 在其他情况下， 系统客体也许需要严格的机密性， 像 &man.mac.bsdextended.4; 和 &man.mac.mls.4; 这样的安全策略模块就是为此而设。 对安全策略模块的决定可依据网络配置进行， 也许只有特定的用户才应该被允许使用由 &man.ssh.1; 提供的程序以访问网络或互联网， &man.mac.portacl.4; 安全策略模块应该成为这种情况下的选择。 但对文件系统又该作些什么呢？ 是由特定的用户或群组来确定某些目录的访问权限， 抑或是将特定客体设为保密以限制用户或组件访问特定文件？ 在文件系统的例子中， 也许访问客体的权限对某些用户是保密的， 但对其他则不是。 比如， 一个庞大的开发团队， 也许会被分成许多由几人组成的小组， A 项目中的开发人员可能不被允许访问 B 项目开发人员创作的客体， 但同时他们还需要访问由 C 项目开发人员创作的客体， 这正符合上述情形。 使用由 MAC 框架提供的不同策略， 用户就可以被分成这种小组， 然后被赋予适当区域的访问权， 由此， 我们就不用担心信息泄漏的问题了。 因此， 每一种安全策略模块都有其处理系统整体安全问题的独特方法。 对安全策略模块的选择应在对安全策略深思熟虑的基础之上进行。 很多情况下， 整体安全策略需要重新修正并在系统上实施。 理解 MAC 框架提供的不同安全策略模块会帮助管理员就其面临的情形选择最佳的策略模块。 &os; 的默认内核并不包含 MAC 框架选项， 因此， 在尝试使用本章中的例子或信息之前， 您应该添加以下内核选项： options MAC 此外， 内核还需要重新编译并且重新安装。 尽管有关 MAC 的许多联机手册中都声明它们可以被编译到内核中， 但对这些策略模块的使用仍可能导致锁死系统的网络及其他功能。 使用 MAC 就像使用防火墙一样， 因此必须要小心防止将系统完全锁死。 在使用 MAC 时， 应该考虑是否能够回退到之前的配置， 在远程进行配置更应加倍小心。 理解 MAC 标签 MAC 标签是一种安全属性， 它可以被应用于整个系统中的主体和客体。 配置标签时， 用户必须能够确切理解其所进行的操作。 客体所具有的属性取决于被加载的策略模块， 不同策略模块解释其属性的方式也差别很大。 由于缺乏理解或无法了解其间联系而导致的配置不当， 会引起意想不到的， 也许是不愿看到的系统异常。 客体上的安全标签是由安全策略模块决定的安全访问控制的一部分。 在某些策略模块中， 标签本身所包含的所有信息足以使其作出决策， 而在其它一些安全策略模块中， 标签则可能被作为一个庞大规则体系的一部分进行处理。 举例来说， 在文件上设定 biba/low 标签， 意味着此标签隶属 Biba 策略模块， 其值为 low。 某些在 &os; 中支持标签特性的策略会提供三个预定义的标签， 分别是 low、 high 及 equal 标签。 尽管这些标签在不同安全策略模块中会对访问控制采取不同措施， 但有一点是可以肯定的， 那就是 low 标签表示最低限度的设定， equal 标签会将主体或客体设定为被禁用的或不受影响的， high 标签则会应用 Biba 及 MLS 安全策略模块中允许的最高级别的设定。 在单一标签文件系统的环境中， 同一客体上只会应用一个标签， 于是， 一套访问权限将被应用于整个系统， 这也是很多环境所全部需要的。 另一些应用场景中， 我们需要将多重标签应用于文件系统的客体或主体， 如此一来， 就需要使用 &man.tunefs.8; 的 选项。 在使用 Biba 和 MLS 时可以配置数值标签， 以标示分级控制中的层级程度。 数值的程度可以用来划分或将信息按组分类， 从而只允许同程度或更高程度的组对其进行访问。 多数情况下， 管理员将仅对整个文件系统设定单一标签。 等一下， 这看起来很像 DAC！ 但我认为 MAC 确实只将控制权赋予了管理员。 此句话依然是正确的。 在某种程度上， root 是实施控制的用户， 他配置安全策略模块以使用户们被分配到适当的类别/访问 levels 中。 唉， 很多安全策略模块同样可以限制 root 用户。 对于客体的基本控制可能会下放给群组， 但 root 用户随时可以废除或更改这些设定。 这就是如 Biba 及 MLS 这样一些安全策略模块所包含的 hierarchal/clearance 模型。 配置标签 实际上， 有关标签式安全策略模块配置的各种问题都是用基础系统组件实现的。 这些命令为客体和主体配置以及配置的实施和验证提供了一个简便的接口。 所有的配置都应该通过 &man.setfmac.8; 及 &man.setpmac.8; 组件实施。 setfmac 命令是用来对系统客体设置 MAC 标签的， 而 setpmac 则是用来对系统主体设置标签的。 例如： &prompt.root; setfmac biba/high test 若以上命令不发生错误则会直接返回命令提示符， 只有当发生错误时， 这些命令才会给出提示， 这和 &man.chmod.1; 和 &man.chown.8; 命令类似。 某些情况下， 以上命令产生的错误可能是 Permission denied， 一般在受限客体上设置或修改设置时会产生此错误。 其它情况也能导致不同的执行失败。 例如， 文件可能并不隶属于尝试重标签该文件的用户， 客体可能不存在或着是只读的。 文件的某一属性、 进程的某一属性或新的自定义标签值的某一属性， 将使强制式策略不允许进程重标签文件。 例如： 低完整性的用户试图修改高完整性文件的标签， 或者低完整性的用户试图将低完整性文件的标签改为高完整性标签。 系统管理员可使用以下命令解决此问题： &prompt.root; setfmac biba/high test Permission denied &prompt.root; setpmac biba/low setfmac biba/high test &prompt.root; getfmac test test: biba/high 如上所示， 通过 setpmac 对被调用的进程赋予不同的标签， 以覆盖安全策略模块的设置。 getpmac 组件通常用于当前运行的进程， 如 sendmail： 尽管其使用进程编号来替代命令， 其逻辑是相同的。 如果用户试图对其无法访问的文件进行操作， 根据所加载的安全策略模块的规则， 函数 mac_set_link 将会给出 Operation not permitted 的错误提示。 一般标签类型 &man.mac.biba.4;、 &man.mac.mls.4; 及 &man.mac.lomac.4; 策略模块提供了设定简单标签的功能， 其值应该是 high、 equal 及 low 之一。 以下是对这些标签功能的简单描述： low 标签被认为是主体或客体所具有的最低层次的标签设定。 对主体或客体采用此设定， 将阻止其访问标签为 high 的客体或主体。 equal 标签只能被用于不希望受策略控制的客体上。 high 标签对客体或主体采用可能的最高设定。 至于每个策略模块， 每种设定都会产生不同的信息流指令。 阅读联机手册中相关的章节将进一步阐明这些一般标签配置的特点。 标签高级配置 如下所示， 用于 比较方式:区间+区间 (comparison:compartment+compartment) 的标签等级数： biba/10:2+3+6(5:2+3-20:2+3+4+5+6) 其含义为： Biba 策略标签/等级 10 ：区间 2、 3及6： (等级5 ...) 本例中， 第一个等级将被认为是 有效区间 的 有效等级， 第二个等级是低级等级， 最后一个则是高级等级。 大多数配置中并不使用这些设置， 实际上， 它们是为更高级的配置准备的。 当把它们应用在系统客体上时， 则只有当前的等级/区间， 因为它们反映可以实施访问控制的系统中可用的范围， 以及网络接口。 等级和区间， 可以用来在一对主体和客体之间建立一种称为 支配 (dominance) 的关系， 这种关系可能是主体支配客体， 客体支配主体， 互不支配或互相支配。 互相支配 这种情况会在两个标签相等时发生。 由于 Biba 的信息流特性， 您可以设置一系列区间， need to know， 这可能发生于项目之间， 而客体也由其对应的区间。 用户可以使用 su 和 setpmac 来将他们的权限进一步细分， 以便在没有限制的区间里访问客体。 用户和标签设置 用户本身也需要设置标签， 以使其文件和进程能够正确地与系统上定义的安全策略互动， 这是通过使用登录分级在文件 login.conf 中配置的。 每个使用标签的策略模块都会进行用户分级设定。 以下是一个使用所有策略模块的例子： default:\ :copyright=/etc/COPYRIGHT:\ :welcome=/etc/motd:\ :setenv=MAIL=/var/mail/$,BLOCKSIZE=K:\ :path=~/bin:/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/sbin:/usr/local/bin:\ :manpath=/usr/share/man /usr/local/man:\ :nologin=/usr/sbin/nologin:\ :cputime=1h30m:\ :datasize=8M:\ :vmemoryuse=100M:\ :stacksize=2M:\ :memorylocked=4M:\ :memoryuse=8M:\ :filesize=8M:\ :coredumpsize=8M:\ :openfiles=24:\ :maxproc=32:\ :priority=0:\ :requirehome:\ :passwordtime=91d:\ :umask=022:\ :ignoretime@:\ :label=partition/13,mls/5,biba/10(5-15),lomac/10[2]: label 选项用以设定用户分级默认标签， 该标签将由 MAC 执行。 用户绝不会被允许更改该值， 因此其从用户的观点看不是可选的。 当然， 在真实情况的配置中， 管理员不会希望启用所有策略模块。 我们建议您在实施以上配置之前阅读本章的其余部分。 用户也许会在首次登录后更改其标签， 尽管如此， 这仅仅是策略的主观局限性。 上面的例子告诉 Biba 策略， 进程的最小完整性是为5， 最大完整性为15， 默认且有效的标签为10。 进程将以10的完整性运行直至其决定更改标签， 这可能是由于用户使用了 setpmac 命令 (该操作将在登录时被 Biba 限制在一定用户范围之内)。 在所有情况下， 修改 login.conf 之后， 都必须使用 cap_mkdb 重编译登录分级 capability 数据库， 这在接下来的例子和讨论中就会有所体现。 很多站点可能拥有数目可观的用户需要不同的用户分级， 注意到这点是大有裨益的。 深入来说就是需要事先做好计划， 因为管理起来可能十分困难。 在 &os 以后的版本中， 将包含一种将用户映射到标签的新方式， 尽管如此， 这也要到 &os; 5.3 之后的某个时间才能实现。 网络接口和标签设定 也可以在网络接口上配置标签， 以控制进出网络的数据流。 在所有情况下， 策略都会以适应客体的方式运作。 例如， 在 biba 中设置为高的用户， 就不能访问标记为低的网络接口。 可以作为 ifconfig 的参数用于设置网络接口的 MAC 标签。 例如： &prompt.root; ifconfig bge0 maclabel biba/equal 将在 &man.bge.4; 接口上设置 biba/equal 的 MAC 标签。 当使用类似 biba/high(low-high) 这样的标签时， 整个标签应使用引号括起来； 否则将发生错误。 每一个支持标签的策略模块都提供了用于在网络接口上禁用该 MAC 标签的系统控制变量。 将标签设置为 的效果与此类似。 请参见 sysctl 的输出、 策略模块的联机手册， 或本章接下来的内容， 以了解更进一步的详情。 用单一标签还是多重标签？ 默认情况下， 系统采用的是 选项。 但这对管理员意味着什么呢？ 两种策略之间存在很多的不同之处， 它们在系统安全模型的灵活性方面， 提供了不同的选择。 只允许在每个主体或客体上使用一个标签， 如 biba/high。 这降低了管理的开销， 但也同时降低了支持标签的策略的灵活性。 许多管理员可能更希望在安全策略中使用 。 选项允许每一个主体或客体拥有各自独立的 MAC 标签， 起作用与标准的、 只允许整个分区上使用一个的 选项类似。 和 标签选项只有对实现了标签功能的那些策略， 如 Biba、 Lomac、 MLS 以及 SEBSD 才有意义。 很多情况下是不需要设置 的。 考虑下列情形和安全模型： 使用了 MAC 以及许多混合策略的 &os; web-服务器。 这台机器上的整个系统中只需要一个标签， 即 biba/high。 此处的文件系统并不需要 选项， 因为有效的 label 只有一个。 因为这台机器将作为 Web 服务器使用， 因此应该以 biba/low 运行 Web 服务， 以杜绝向上写。 Biba 策略以及它如何运作将在稍后予以讨论， 因此， 如果您感觉前面的说明难以理解的话， 请继续阅读下面的内容， 再回来阅读这些内容就会有较为清晰的认识了。 服务器可以使用设置为 biba/low 的单独的分区， 用于保持其运行环境的状态。 这个例子中还省略了许多内容， 例如， 如何为数据配置访问限制、 参数配置和用户的设置； 它只是为前述的内容提供一个简单的例子。 如果打算使用非标签式策略， 就不需要 选项了。 这些策略包括 seeotheruids、 portacl 和 partition。 另一个需要注意的事情是， 在分区上使用 并建立基于 可能会提高系统管理的开销， 因为文件系统中的所有客体都需要指定标签。 这包括对目录、文件， 甚至设备节点。 接下来的命令将在需要使用多个标签的文件系统上设置 。 这一操作只能在单用户模式下完成： &prompt.root; tunefs -l enable / 交换区不需要如此配置。 某些用户可能会在根分区上配置 标志时遇到困难。 如果发生这样的情况， 请复查本章的 。 用系统控制变量控制 MAC 即使在没有加载任何模块的时候， 也仍然有一些可以通过 sysctl 接口来控制的 MAC 特性。 这些系统控制变量将在下面予以描述， 在所有的例子中， 数字一 (1) 都表示启用， 而数字零 (0) 则表示禁用： security.mac.enforce_fs 表示在文件系统上启用 MAC 策略。 security.mac.enforce_kld 表示启用动态内核连接器 (参见 &man.kld.4;) 上的 MAC 内核连接策略。 security.mac.enforce_network 表示启用 MAC 网络策略。 security.mac.enforce_pipe 表示启用 MAC 管道策略。 security.mac.enforce_process 表示启用使用进程间通讯机制的进程上的 MAC 策略。 security.mac.enforce_socket 表示启用 socket 上的 MAC 策略 (参见 &man.socket.2; 联机手册)。 security.mac.enforce_system 表示启用系统活动， 如记账和重新启动的 MAC 策略。 security.mac.enforce_vm 表示启用虚拟内存系统上的 MAC 策略。 每个策略或 MAC 选项都支持通过系统控制变量来进行调整。 这些选项通常都位于 security.mac.<策略名> 的树状结构之下。 要查看所有的 MAC 系统控制变量， 可以使用下述命令： &prompt.root; sysctl -da | grep mac 前面的所有基本 MAC 策略默认都会启用。 如果编入内核的模块被过分锁死， 则可能无法与局域网或 Internet 进行通讯， 或发生其他严重问题。 这也是为什么不完全鼓励将这些模块编入内核的原因。 尽管这样做并不妨碍通过使用 sysctl 来禁用这些策略， 但以模块方式加载可以让管理员更容易地切换是否使用策略， 而不需要构建和重新安装一套新系统。 规划安全配置 在实施新技术时， 首先进行规划都是非常好的习惯。 在这段时间， 管理员一般都应 进行全面的考察， 这至少应包括下列因素： 方案实施的必要条件； 方案实施的目标； 就实施 MAC 而言， 这包括： 如何在目标系统上对信息和资源进行分类。 需要限制哪类信息或资源的访问， 以及应采用何种限制。 需要使用哪些 MAC 模块来完成这些目标。 尽管重新配置并修改系统资源和安全配置是可行的， 但查找整个系统并修复暨存的文件和用户帐号并不是一件轻而易举的事情。 规划有助于完成无问题且有效的可信系统实施。 事先 对采用 MAC 的可信系统， 以及其配置做试运行十分有益， 因为这对实施的成败至关重要。 草率散漫地配置 MAC 通常是导致失败的祸根。 不同的环境可能会有不同的需求。 建立多层次而完备的安全配置， 可以减少系统正式运转之后所需要的微调。 同样地， 接下来的章节将介绍管理员能够使用的各种不同的模块； 描述它们的使用和配置； 除此之外还有一些关于它们最适合的情景的介绍。 例如， web 服务器可能希望使用 &man.mac.biba.4; 和 &man.mac.bsdextended.4; 策略， 而其他情况下， 例如一台机器上只有少量的本地用户时， &man.mac.partition.4; 则是不错的选择。 模块配置 在 MAC 框架中的每个模块， 都可以像前述那样连编入内核， 或作为运行时内核模块加载。 推荐的用法， 是通过在 /boot/loader.conf 加入适当的设置， 以便在系统启动时的初始化操作过程中加载这些模块。 接下来的一些小节， 将讨论许多 MAC 模块， 并简单介绍它们的功能。 此外， 这一章还将介绍一些具体环境中的用例。 某些模块支持一种称为标签 (labeling) 的用法， 它可以通过使用类似 允许做这个而不允许做那个 的标签来实现访问控制。 标签配置文件可以控制允许的文件访问方式、 网络通讯， 以及许多其他权限。 在前一节中， 我们已经展示了文件系统中如何通过 标志来启用基于文件或分区的访问控制的方法。 单标签配置在整个系统中只强制一个标签的限制， 这也是 tunefs 选项为什么是 的原因。 MAC seeotheruids 模块 MAC 其他 UID 可见策略 模块名： mac_seeotheruids.ko 对应的内核配置： options MAC_SEEOTHERUIDS 引导选项： mac_seeotheruids_load="YES" &man.mac.seeotheruids.4; 模块模仿并扩展了 security.bsd.see_other_uids 和 security.bsd.see_other_gids sysctl 变量。 这一模块并不需要预先配置标签， 它能够透明地与其他模块协同工作。 加载模块之后， 下列 sysctl 变量可以用来控制其功能： security.mac.seeotheruids.enabled 将启用模块的功能， 并使用默认的配置。 这些默认设置将阻止用户看到其他用户的进程和 socket。 security.mac.seeotheruids.specificgid_enabled 将允许特定的组从这一策略中和面。 要将某些组排除在这一策略之外， 可以用 security.mac.seeotheruids.specificgid=XXX sysctl 变量。 前述例子中， XXX 应替换为希望不受限的组 ID 的数值形式。 security.mac.seeotheruids.primarygroup_enabled 可以用来将特定的主要组排除在策略之外。 使用这一变量时， 不能同时设置 security.mac.seeotheruids.specificgid_enabled。 MAC bsdextended 模块 MAC 文件系统防火墙策略 模块名： mac_bsdextended.ko 对应的内核配置： options MAC_BSDEXTENDED 引导选项： mac_bsdextended_load="YES" &man.mac.bsdextended.4; 模块能够强制文件系统防火墙策略。 这一模块的策略提供了标准文件系统权限模型的一种扩展， 使得管理员能够建立一种类似防火墙的规则集， 以文件系统层次结构中的保护文件、 实用程序，以及目录。 在尝试访问文件系统客体时， 会遍历规则表， 直至找到匹配的规则， 或到达表尾。 这一行为可以通过修改 &man.sysctl.8; 参数， security.mac.bsdextended.firstmatch_enabled 来进行设置。 与 &os; 中的其他防火墙设置类似， 也可以建一个文件来配置访问控制策略， 并通过 &man.rc.conf.5; 变量的配置在系统引导时加载它。 规则表可以通过工具 &man.ugidfw.8; 工具来输入， 其语法类似 &man.ipfw.8;。 此外还可以通过使用 &man.libugidfw.3; 库来开发其他的工具。 当使用这一模块模块时应极其小心； 不正确的使用将导致文件系统的某些部分无法访问。 例子 在加载了 &man.mac.bsdextended.4; 模块之后， 下列命令可以用来列出当前的规则配置： &prompt.root; ugidfw list 0 slots, 0 rules 如希望的那样， 目前还没有定义任何规则。 这意味着一切都还可以访问。 要创建一个阻止所有用户， 而保持 root 不受影响的规则， 只需运行下面的命令： &prompt.root; ugidfw add subject not uid root new object not uid root mode n 在 &os; 5.3 之前的版本中， add 参数并不存在。 此时应使用 set 来代替它。 请参见下面的命令例子。 这本身可能是一个很糟糕的主意， 因为它会阻止所有用户执行哪怕最简单的命令， 例如 ls。 更富于爱心的规则可能是： &prompt.root; ugidfw set 2 subject uid user1 object uid user2 mode n &prompt.root; ugidfw set 3 subject uid user1 object gid user2 mode n 这将阻止任何 user1 对 user2 的主目录的全部访问， 包括目录列表。 user1 可以用 代替。 这将同样的强制访问控制实施在所有用户， 而不是单个用户上。 root 用户不会受到这些变动的影响。 我们已经给出了 &man.mac.bsdextended.4; 模块如何帮助加强文件系统的大致介绍。 要了解更进一步的信息， 请参见 &man.mac.bsdextended.4; 和 &man.ugidfw.8; 联机手册。 MAC ifoff 模块 MAC 接口屏蔽策略 模块名： mac_ifoff.ko 对应的内核配置： options MAC_IFOFF 引导选项： mac_ifoff_load="YES" &man.mac.ifoff.4; 模块完全是为了立即禁止网络接口， 以及阻止在系统初启时启用网络接口而设计的。 它不需要再系统中配置任何标签， 也不依赖于其他 MAC 模块。 绝大多数特性都可以通过调整下面的 sysctl 来加以控制。 security.mac.ifoff.lo_enabled 表示 启用/禁用 环回接口 (&man.lo.4;) 上的全部流量。 security.mac.ifoff.bpfrecv_enabled 表示 启用/禁用 伯克利包过滤器 (&man.bpf.4;) 接口上的全部流量。 security.mac.ifoff.other_enabled 将在所有其他接口 启用/禁用 网络。 最为常用的 &man.mac.ifoff.4; 用法之一是在不允许引导过程中出现网络流量的环境中监视网络。 另一个建议的用法是撰写一个使用 security/aide 的脚本， 以便自动地在受保护的目录中发现新的或修改过的文件时切断网络。 MAC portacl 模块 MAC 端口访问控制表策略 模块名： mac_portacl.ko 对应的内核配置： MAC_PORTACL 引导选项： mac_portacl_load="YES" &man.mac.portacl.4; 模块可以用来通过一系列 sysctl 变量来限制绑定本地的 TCP 和 UDP 端口。 本质上 &man.mac.portacl.4; 使得 非-root 用户能够绑定到它所指定的特权端口， 也就是那些编号小于 1024 的端口。 在加载之后， 这个模块将在所有的 socket 上启用 MAC 策略。 可以调整下列一些配置： security.mac.portacl.enabled 将完全 启用/禁用 策略。 由于一个 bug， security.mac.portacl.enabled sysctl 变量在 &os; 5.2.1 和更早版本上并不起作用。 security.mac.portacl.port_high 将设置为 &man.mac.portacl.4; 所保护的最高端口号。 security.mac.portacl.suser_exempt 如果设置为非零值， 表示将 root 用户排除在策略之外。 security.mac.portacl.rules 将指定实际的 mac_portacl 策略； 请参见下文。 实际的 mac_portacl 策略， 是在 security.mac.portacl.rules sysctl 所指定的一个下列形式的字符串： rule[,rule,...] 其中可以给出任意多个规则。 每一个规则的形式都是： idtype:id:protocol:port。 这里的 idtype 参数可以是 uid 或 gid， 分别表示将 id 参数解释为用户 id 或组 id。 protocol 参数可以用来确定希望应用到 TCP 或 UDP 协议上， 方法是把这一参数设置为 tcp 或 udp。 最后的 port 参数则给出了所指定的用户或组能够绑定的端口号。 由于规则集会直接由内核加以解释， 因此只能以数字形式表示用户 ID、 组 ID， 以及端口等参数。 换言之， 您不能使用用户、 组， 或端口服务的名字来指定它们。 默认情况下， 在 类-&unix; 系统中， 编号小于 1024 的端口只能为特权进程使用或绑定， 也就是那些以 root 身份运行的进程。 为了让 &man.mac.portacl.4; 能够允许非特权进程绑定低于 1024 的端口， 就必须首先禁用标准的 &unix; 限制。 这可以通过把 &man.sysctl.8; 变量 net.inet.ip.portrange.reservedlow 和 net.inet.ip.portrange.reservedhigh 设置为 0 来实现。 请参见下面的例子， 或 &man.mac.portacl.4; 联机手册中的说明， 以了解进一步的信息。 例子 下面的例子更好地展示了前面讨论的内容： &prompt.root; sysctl security.mac.portacl.port_high=1023 &prompt.root; sysctl net.inet.ip.portrange.reservedlow=0 net.inet.ip.portrange.reservedhigh=0 首先我们需要设置使 &man.mac.portacl.4; 管理标准的特权端口， 并禁用普通的 &unix; 绑定限制。 &prompt.root; sysctl security.mac.portacl.suser_exempt=1 您的 root 用户不应因此策略而失去特权，　因此请把 security.mac.portacl.suser_exempt 设置为一个非零的值。 现在您已经成功地配置了　&man.mac.portacl.4; 模块， 并使其默认与 类-&unix; 系统一样运行了。 &prompt.root; sysctl security.mac.portacl.rules=uid:80:tcp:80 允许 UID 为 80 的用户 (正常情况下， 应该是 www 用户) 绑定到 80 端口。 这样 www 用户就能够运行 web 服务器， 而不需要使用 root 权限了。 &prompt.root; sysctl security.mac.portacl.rules=uid:1001:tcp:110,uid:1001:tcp:995 允许 UID 为 1001 的用户绑定 TCP 端口 110 (pop3) 和 995 (pop3s)。 这样用户就能够启动接受来发到 110 和 995 的连接请求的服务了。 MAC partition (分区) 模块 MAC 进程分区策略 模块名： mac_partition.ko 对应的内核配置： options MAC_PARTITION 引导选项： mac_partition_load="YES" &man.mac.partition.4; 策略将把进程基于其 MAC 标签放到特定的 partitions (分区) 中。 这是一种特殊类型的 &man.jail.8;， 但对两者进行比较意义不大。 这个模块应加到 &man.loader.conf.5; 文件中， 以便在启动过程中启用这些规则。 绝大多数这一策略的配置是通过 &man.setpmac.8; 工具来完成的， 它将在后面介绍。 这个策略可以使用下面的 sysctl： security.mac.partition.enabled 将启用强制的 MAC 进程 partitions。 当启用了这个规则时， 用户将只能看到他们自己的， 以及其他与他们同处一个 partition 的进程， 而不能使用能够越过 partition 的工具。 例如， insecure class 中的用户， 就无法使用 top 命令， 以及其他需要产生新进程的工具。 要设置或删除 partition 标签中的工具， 需要使用 setpmac： &prompt.root; setpmac partition/13 top 这将把 top 命令加入到 insecure class 中的用户的标签集。 注意， 所有由 insecure class 中的用户产生的进程， 仍然会留在 partition/13 标签中。 例子 下面的命令将显示 partition 标签以及进程列表： &prompt.root; ps Zax 接下来的这个命令将允许察看其他用户的进程 partition 标签， 以及那个用户正在运行的进程： &prompt.root; ps -ZU trhodes 除非加载了 &man.mac.seeotheruids.4; 策略， 否则用户就看不到 root 的标签。 非常手工化的实现， 可能会在 /etc/rc.conf 中禁用所有的服务， 并用脚本来按不同的标签来启动它们。 下面的几个策略支持基于所给出的三种标签的完整性设定。 这些选项， 连同它们的限制， 在模块的联机手册中进行了进一步介绍。 MAC 多级 (Multi-Level) 安全模块 MAC 多级 (Multi-Level) 安全策略 模块名： mac_mls.ko 对应的内核配置： options MAC_MLS 引导选项： mac_mls_load="YES" &man.mac.mls.4; 策略， 通过严格控制信息流向来控制系统中主体和客体的访问。 在 MLS 环境中， 许可 (clearance) 级别会在每一个主体或客体标签上进行设置， 连同对应的区间。 由于这些透明度或敏感度可以有六千多个层次， 因此为每一个主体或客体进行配置将是一件让任何系统管理员都感到头疼的任务。 所幸的是， 这个策略中已经包含了三个 立即可用的 标签。 这些标签是 mls/low、 mls/equal 以及 mls/high。 由于这些标签已经在联机手册中进行了介绍， 这里只给出简要的说明： mls/low 标签包含了最低配置， 从而允许其他客体支配它。 任何标记为 mls/low 的客体将是地透明度的， 从而不允许访问更高级别的信息。 此外， 这个标签也阻止拥有较高透明度的客体向其写入或传递信息。 mls/equal 标签应放到不希望使用这一策略的客体上。 mls/high 标签是允许的最高级别透明度。 指定了这个标签的客体将支配系统中的其他客体； 但是， 它们将不允许向较低级别的客体泄露信息。 MLS 提供了： 提供了一些非层次分类的层次安全模型； 固定规则： 不允许向上读， 不允许向下写 (主体可以读取同级或较低级别的客体， 但不能读取高级别的。 类似地， 主体可以向同级或较高级写， 而不能向下写)； 保密 (防止不适当的数据透露)； 系统设计的基础要点， 是在多个敏感级别之间并行地处理数据 (而不泄露秘密的和机密的信息)。 下列 sysctl 可以用来配置特殊服务和接口： security.mac.mls.enabled 用来启用/禁用 MLS 策略。 security.mac.mls.ptys_equal 将所有的 &man.pty.4; 设备标记为 mls/equal。 security.mac.mls.revocation_enabled 可以用来在标签转为较低 grade 时撤销客体访问权。 security.mac.mls.max_compartments 可以用来设置客体的最大区间层次； 基本上， 这也就是系统中所允许的最大区间数。 要管理 MLS 标签， 可以使用 &man.setfmac.8; 命令。 要在客体上指定标签， 需要使用下面的命令： &prompt.root; setfmac mls/5 test 下述命令用于取得文件 test 上的 MLS 标签： &prompt.root; getfmac test 以上是对于 MLS 策略提供功能的概要。 另一种做法是在 /etc 中建立一个主策略文件， 并在其中指定 MLS 策略信息， 作为 setfmac 命令的输入。 这种方法， 将在其他策略之后进行介绍。 规划托管敏感性 通过使用多级安全策略模块， 管理员可以规划如何控制敏感信息的流向。 默认情况下， 由于其默认的禁止向上读以及向下写的性质， 系统会默认将所有客体置于较低的状态。 这样， 所有的客体都可以访问， 而管理员则可以在配置阶段慢慢地进行提高信息的敏感度这样的修改。 除了前面介绍的三种基本标签选项之外， 管理员还可以根据需要将用户和用户组进行分组， 以阻止它们之间的信息流。 一些人们比较熟悉的信息限界词汇， 如 机密、 秘密， 以及 绝密 可以方便您理解这一概念。 管理员也可以简单地根据项目级别建不同的分组。 无论采用何种分类方法， 在实施限制性的策略之前， 都必须首先想好如何进行规划。 这个安全策略模块最典型的用例是电子商务的 web 服务器， 其上的文件服务保存公司的重要信息以及金融机构的情况。 对于只有两三个用户的个人工作站而言， 则可能不甚适用。 MAC Biba 模块 MAC Biba 完整性策略 模块名： mac_biba.ko 对应的内核配置： options MAC_BIBA 引导选项： mac_biba_load="YES" &man.mac.biba.4; 模块将加载 MAC Biba 策略。 这个策略与 MLS 策略非常类似， 只是信息流的规则有些相反的地方。 通俗地说， 这就是防止敏感信息向下传播， 而 MLS 策略则是防止敏感信息的向上传播； 因而， 这一节的许多内容都可以同时应用于两种策略。 在 Biba 环境中， integrity (完整性) 标签， 将设置在每一个主体或客体上。 这些标签是按照层次级别建立的。 如果客体或主体的级别被提升， 其完整性也随之提升。 被支持的标签是 biba/low， biba/equal 以及 biba/high； 解释如下： biba/low 标签是客体或主体所能拥有的最低完整性级别。 在客体或主体上设置它， 将阻止其在更高级别客体或主体对其进行的写操作， 虽然读仍被允许。 biba/equal 标签只应在那些希望排除在策略之外的客体上设置。 biba/high 允许向较低标签的客体上写， 但不允许读那些客体。 推荐在那些可能影响整个系统完整性的客体上设置这个标签。 Biba 提供了： 层次式的完整性级别， 并提供了一组非层次式的完整性分类； 固定规则： 不允许向上写， 不允许向下读 (与 MLS 相反)。 主体可以在它自己和较低的级别写， 但不能向更高级别实施写操作。 类似地， 主体也可以读在其自己的， 或更高级别的客体， 但不能读取较低级别的客体； 完整性 (防止对数据进行不正确的修改)； 完整性级别 (而不是 MLS 的敏感度级别)。 下列 sysctl 可以用于维护 Biba 策略。 security.mac.biba.enabled 可以用来在机器上启用/禁用是否实施 Biba 策略。 security.mac.biba.ptys_equal 可以用来在 &man.pty.4; 设备上禁用 Biba 策略。 security.mac.biba.revocation_enabled 将在支配主体发生变化时强制撤销对客体的访问权。 要操作系统客体上的 Biba 策略， 需要使用 setfmac 和 getfmac 命令： &prompt.root; setfmac biba/low test &prompt.root; getfmac test test: biba/low 规划托管完整性 与敏感性不同， 完整性是要确保不受信方不能对信息进行篡改。 这包括了在主体和客体之间传递的信息。 这能够确保用户只能修改甚至访问需要他们的信息。 &man.mac.biba.4; 安全策略模块允许管理员指定用户能够看到和执行的文件和程序， 并确保这些文件能够为系统及用户或用户组所信任， 而免受其他威胁。 在最初的规划阶段， 管理员必须做好将用户分成不同的等级、 级别和区域的准备。 在启动前后， 包括数据以及程序和使用工具在内的客体， 用户都会无法访问。 一旦启用了这个策略模块， 系统将默认使用高级别的标签， 而划分用户级别和等级的工作则交由管理员来进行配置。 与前面介绍的级别限界不同， 好的规划方法可能还包括 topic。 例如， 只允许开发人员修改代码库、 使用源代码编译器， 以及其他开发工具， 而其他用户则分入其他类别， 如测试人员、 设计人员， 以及普通用户， 这些用户可能只拥有读这些资料的权限。 通过其自然的安全控制， 完整性级别较低的主体， 就会无法向完整性级别高的主体进行写操作； 而完整性级别较高的主体， 也不能观察或读较低完整性级别的客体。 通过将客体的标签设为最低级， 可以阻止所有主体对其进行的访问操作。 这一安全策略模块预期的应用场合包括受限的 web 服务器、 开发和测试机， 以及源代码库。 而对于个人终端、 作为路由器的计算机， 以及网络防火墙而言， 它的用处就不大了。 MAC LOMAC 模块 MAC LOMAC 模块名： mac_lomac.ko 对应的内核配置： options MAC_LOMAC 引导选项： mac_lomac_load="YES" 和 MAC Biba 策略不同， &man.mac.lomac.4; 策略只允许在降低了完整性级别之后， 才允许在不破坏完整性规则的前提下访问较低完整性级别的客体。 MAC 版本的 Low-watermark 完整性策略不应与较早的 &man.lomac.4; 实现相混淆， 除了使用浮动的标签来支持主体通过辅助级别区间降级之外， 其工作方式与 Biba 大体相似。 这一次要的区间以 [auxgrade] 的形式出现。 当指定包含辅助级别的 lomac 策略时， 其形式应类似于： lomac/10[2] 这里数字二 (2) 就是辅助级别。 MAC LOMAC 策略依赖于系统客体上存在普适的标签， 这样就允许主体从较低完整性级别的客体读取， 并对主体的标签降级， 以防止其在之后写高完整性级别的客体。 这就是前面讨论的 [auxgrade] 选项， 因此这个策略能够提供更大的兼容性， 而所需要的初始配置也要比 Biba 少。 例子 与 Biba 和 MLS 策略类似； setfmac 和 setpmac 工具可以用来在系统客体上放置标签： &prompt.root; setfmac /usr/home/trhodes lomac/high[low] &prompt.root; getfmac /usr/home/trhodes lomac/high[low] 注意， 这里的辅助级别是 low， 这一特性只由 MAC LOMAC 策略提供。 MAC Jail 中的 Nagios MAC Jail 中的 Nagios 下面给出了通过多种 MAC 模块， 并正确地配置策略来实现安全环境的例子。 这只是一个测试， 因此不应被看作四海一家的解决之道。 仅仅实现一个策略， 而忽略它不能解决任何问题， 并可能在生产环境中产生灾难性的后果。 在开始这些操作之前， 必须在每一个文件系统上设置 multilabel 选项， 这些操作在这一章开始的部分进行了介绍。 不完成这些操作， 将导致错误的结果。 首先， 请确认已经安装了 net-mngt/nagios-plugins、 net-mngt/nagios， 和 www/apache13 这些 ports， 并对其进行了配置， 且运转正常。 创建一个 insecure (不安全) 用户 Class 首先是在 /etc/login.conf 文件中加入一个新的用户 class： insecure:\ :copyright=/etc/COPYRIGHT:\ :welcome=/etc/motd:\ :setenv=MAIL=/var/mail/$,BLOCKSIZE=K:\ :path=~/bin:/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/sbin:/usr/local/bin :manpath=/usr/share/man /usr/local/man:\ :nologin=/usr/sbin/nologin:\ :cputime=1h30m:\ :datasize=8M:\ :vmemoryuse=100M:\ :stacksize=2M:\ :memorylocked=4M:\ :memoryuse=8M:\ :filesize=8M:\ :coredumpsize=8M:\ :openfiles=24:\ :maxproc=32:\ :priority=0:\ :requirehome:\ :passwordtime=91d:\ :umask=022:\ :ignoretime@:\ :label=biba/10(10-10): 并在 default 用户 class 中加入： :label=biba/high: 一旦完成上述操作， 就需要运行下面的命令来重建数据库： &prompt.root; cap_mkdb /etc/login.conf 引导配置 现在暂时还不要重新启动， 我们还需要在 /boot/loader.conf 中增加下面几行， 以便让模块随系统初始化一同加载： mac_biba_load="YES" mac_seeotheruids_load="YES" 配置用户 使用下面的命令将 root 设为属于默认的 class： &prompt.root; pw usermod root -L default 所有非 root 或系统的用户， 现在需要一个登录 class。 登录 class 是必须的， 否则这些用户将被禁止使用类似 &man.vi.1; 这样的命令。 下面的 sh 脚本应能完成这个工作： &prompt.root; for x in `awk -F: '($3 >= 1001) && ($3 != 65534) { print $1 }' \ /etc/passwd`; do pw usermod $x -L default; done; 将 nagios 和 www 这两个用户归入不安全 class： &prompt.root; pw usermod nagios -L insecure &prompt.root; pw usermod www -L insecure 创建上下文文件 接下来需要创建一个上下文文件； 您可以把下面的实例放到 /etc/policy.contexts 中。 # This is the default BIBA policy for this system. # System: /var/run biba/equal /var/run/* biba/equal /dev biba/equal /dev/* biba/equal /var biba/equal /var/spool biba/equal /var/spool/* biba/equal /var/log biba/equal /var/log/* biba/equal /tmp biba/equal /tmp/* biba/equal /var/tmp biba/equal /var/tmp/* biba/equal /var/spool/mqueue biba/equal /var/spool/clientmqueue biba/equal # For Nagios: /usr/local/etc/nagios /usr/local/etc/nagios/* biba/10 /var/spool/nagios biba/10 /var/spool/nagios/* biba/10 # For apache /usr/local/etc/apache biba/10 /usr/local/etc/apache/* biba/10 这个策略通过在信息流上设置限制来强化安全。 在这个配置中， 包括 root 和其他用户在内的用户， 都不允许访问 Nagios。 作为 Nagios 一部分的配置文件和进程， 都是完全独立的， 也称为 jailed。 接下来可以用下面的命令将其读入系统： &prompt.root; setfsmac -ef /etc/policy.contexts / &prompt.root; setfsmac -ef /etc/policy.contexts / 随环境不同前述的文件系统布局可能会有所不同； 不过无论如何， 都只能在一个文件系统上运行它。 在 /etc/mac.conf 文件中的 main 小节需要进行下面的修改： default_labels file ?biba default_labels ifnet ?biba default_labels process ?biba default_labels socket ?biba 启用网络 在 /boot/loader.conf 中增加下列内容： security.mac.biba.trust_all_interfaces=1 将下述内容加入 rc.conf 中的网络接口配置。 如果主 Internet 配置是通过 DHCP 完成的， 则需要在每次系统启动之后手工执行类似的配置： maclabel biba/equal 测试配置 MAC Configuration Testing (MAC 配置测试) 首先要确认 web 服务以及 Nagios 不会随系统的初始化和重启过程而自动启动。 在此之前， 请在此确认 root 用户不能访问 Nagios 配置目录中的任何文件 如果 root 能够在 /var/spool/nagios 中运行 &man.ls.1;， 则表示配置有误。 如果配置正确的话， 您会收到一条 permission denied 错误信息。 如果一切正常， Nagios、 Apache， 以及 Sendmail 就可以按照适应安全策略的方式启动了。 下面的命令将完成此工作： &prompt.root; cd /etc/mail && make stop && \ setpmac biba/equal make start && setpmac biba/10\(10-10\) apachectl start && \ setpmac biba/10\(10-10\) /usr/local/etc/rc.d/nagios.sh forcestart 再次检查是否一切正常。 如果不是的话， 请检查日志文件和错误信息。 此外， 还可以用 &man.sysctl.8; 来临时禁用 &man.mac.biba.4; 安全策略模块的强制措施， 并象之前那样进行配置和启动服务。 root 用户可以放心大胆地修改安全强制措施， 并编辑配置文件。 下面的命令可以对安全策略进行降级， 并启动一个新的 shell： &prompt.root; setpmac biba/10 csh 要阻止这种情况发生， 就需要配置 &man.login.conf.5; 中许可的命令范围了。 如果 &man.setpmac.8; 尝试执行超越许可范围的命令， 则会返回一个错误， 而不是执行命令。 在这个例子中， 可以把 root 设为 biba/high(high-high)。 User Lock Down 这个例子针对的是一个相对较小的存储系统， 其用户数少于五十。 用户能够在其上登录， 除了存储数据之外， 还可以访问一些其他资源。 在这个场景中， &man.mac.bsdextended.4; 可以与 &man.mac.seeotheruids.4; 并存， 以达到禁止访问非授权资源， 同时隐藏其他用户的进程的目的。 首先， 在 /boot/loader.conf 中加入： mac_seeotheruids_enabled="YES" 随后， 可以通过下述 rc.conf 变量来启用 &man.mac.bsdextended.4; 安全策略模块： ugidfw_enable="YES" 默认规则保存在 /etc/rc.bsdextended 中， 并在系统初始化时加载； 但是， 其中的默认项可能需要进行一些改动。 因为这台机器只为获得了授权的用户提供服务， 因此除了最后两项之外， 其它内容都应保持注释的状态。 这两项规则将默认强制加载属于用户的系统客体。 在这台机器上添加需要的用户并重新启动。 出于测试的目的， 请在两个控制台上分别以不同的用户身份登录。 运行 ps aux 命令来看看是否能看到其他用户的进程。 此外， 在其他用户的主目录中运行 &man.ls.1; 命令， 如果配置正确， 则这个命令会失败。 不要尝试以 root 用户的身份进行测试， 除非您已经修改了特定的 sysctl 来阻止超级用户的访问。 在添加新用户时， 他们的 &man.mac.bsdextended.4 规则不会自动出现在规则集表中。 要迅速更新规则集， 只需简单地使用 &man.kldunload.8; 和 &man.kldload.8; 工具来卸载并重新加载安全策略模块。 MAC 框架的故障排除 MAC 故障排除 在开发过程中， 有一些用户报告了正常配置下出现的问题。 其中的一些问题如下所示： 无法在 <filename>/</filename> 上启用 <option>multilabel</option> 选项 标志在根 (/) 分区上没有保持启用状态！ 看起来每五十个用户中就有一个遇到这样的问题， 当然， 在我们的初始配置过程中也出现过这样的问题。 更进一步的观察使得我相信这个所谓的 bug 是由于文档中不确切的描述， 或对其产生的误解造成的。 无论它是因为什么引发的， 下面的步骤应该能够解决此问题： 编辑 /etc/fstab 并将根分区设置为 ， 表示只读。 重新启动并进入单用户模式。 在 / 上运行 tunefs 重新启动并进入正常的模式。 运行 mount / 并把 /etc/fstab 中的 改回 ， 然后再次重新启动。 再次检查来自 mount 的输出， 已确认根文件系统上正确地设置了 。 在 <acronym>MAC</acronym> 之后无法启动 X11 了 在使用 MAC 建立安全的环境之后， 就无法启动 X 了！ 这可能是由于 MAC partition 策略， 或者对某个 MAC 标签策略进行了错误的配置导致的。 要调试这个问题， 请尝试： 检查错误信息； 如果用户是在 insecure class 中， 则 partition 策略就可能导致问题。 尝试将用户的 class 重新改为 default class， 并使用 cap_mkdb 命令重建数据库。 如果这无法解决问题， 则进入第二步。 仔细检查标签策略。 确认针对有问题的用户的策略是正确的， 特别是 X11 应用， 以及 /dev 项。 如果这些都无法解决问题， 将出错消息和对您的环境的描述， 发送到 TrustedBSD 网站上的 TrustedBSD 讨论邮件列表， 或者 &a.questions; 邮件列表。 Error: &man..secure.path.3; cannot stat <filename>.login_conf</filename> 当我试图从 root 切换到其同中的其他用户时， 出现了错误提示 _secure_path: unable to state .login_conf。 这个提示通常在用户拥有高于它将要成为的那个用户的 标签设定时出现。 例如， 如果系统上的一个用户 joe 拥有默认的 标签， 而 root 用户拥有 ， 它也就不能查看 joe 的主目录， 无论 root 是否使用了 su 来成为 joe。 这种情况下， Biba 完整性模型， 就不会允许 root 查看在较低完整性级别中的客体。 <username>root</username> 用户名被破坏了！ 在普通模式， 甚至是单用户模式中， root 不被识别。 whoami 命令返回了 0 (零) 而 su 则提示 who are you?。 到底发生了什么？ 标签策略被禁用可能会导致这样的问题， 无论是通过 &man.sysctl.8; 或是卸载了策略模块。 如果打算禁用策略， 或者临时禁用它， 则登录性能数据库需要重新配置， 在其中删除 选项。 仔细检查 login.conf 以确保所有的 选项都已经删除， 然后使用 cap_mkdb 命令来重建数据库。 这种情况也可能在通过策略来限制访问 master.passwd 文件或对应的那个数据库时发生。 这主要是由于管理员修改受某一 label 限制的文件， 而与系统级的通用策略发生了冲突。 这时， 用户信息将由系统直接读取， 而在文件继承了新的 label 之后则会拒绝访问。 此时， 只需使用 &man.sysctl.8; 禁用这一策略， 一切就会恢复正常了。 diff --git a/zh_CN.GB2312/books/handbook/security/chapter.sgml b/zh_CN.GB2312/books/handbook/security/chapter.sgml index 8d1b7fa1bd..430672e1ec 100644 --- a/zh_CN.GB2312/books/handbook/security/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/security/chapter.sgml @@ -1,4427 +1,4427 @@ Matthew Dillon 这一章的许多内容来自 security(7) 联机手册，其作者是 安全 security 概述 这一章将对系统安全的基本概念进行介绍， 除此之外， 还将介绍一些好的习惯， 以及 &os; 下的一些更深入的话题。 这章的许多内容对于一般的系统和 Internet 安全也适用。 如今， Internet 已经不再像以前那样是一个人人都愿意与您作好邻居的 友善 的地方。 让系统更加安全， 将保护您的数据、 智力财产、 时间， 以及其他很多东西不至于被入侵者或心存恶意的人所窃取。 &os; 提供了一系列工具和机制来保证您的系统和网络的完整及安全。 读完这章，您将了解： 基本的 &os; 系统安全概念。 &os; 中众多可用的密码学设施，例如 DES 和 MD5。 如何设置一次性口令验证机制。 如何配置 TCP Wrappers 以便与 inetd 配合使用。 如何在 &os; 5.0 以前的版本上设置 KerberosIV。 如何在 &os; 上设置 Kerberos5。 如何配置 IPsec 并在 &os;/&windows; 机器之间建构 VPN。 如何配置并使用 OpenSSH，以及 &os; 的 SSH 执行方式。 系统 ACL 的概念，以及如何使用它们。 如何使用 Portaudit 工具来审核从 Ports Collection 安装的第三方软件包的安全性。 如何从 &os; 的安全公告中获得有用信息并采取相应措施。 对于进程记帐功能的感性认识， 并了解如何在 &os; 中启用它。 在开始阅读这章之前，您需要： 理解基本的 &os; 和 Internet 概念。 其他安全方面的话题， 则贯穿本书的始终。 例如， 强制性访问控制 (MAC) 在 中进行了介绍， 而 Internet 防火墙则在 中进行了讨论。 介绍 安全是系统管理员自始至终的基本要求。 由于所有的 BSD &unix; 多用户系统都提供了与生俱来的安全性， 因此建立和维护额外的安全机制， 确保用户的 诚实 可能也就是最需要系统管理员考虑的艰巨的工作了。 机器的安全性取决于您设置的安全设施， 而许多安全方面的考虑， 则会与人们使用计算机时的便利性相矛盾。 一般来说， &unix; 系统能够胜任数目众多进程并发地处理各类任务， 这其中的许多进程是以服务身份运行的 — 这意味着， 外部实体能够与它们互联并产生会话交互。 如今的桌面系统， 已经能够达到许多昔日的小型机甚至主机的性能， 而随着这些计算机的联网和在更大范围内完成互联， 安全也成为了一个日益严峻的课题。 系统的安全也应能够应付各种形式的攻击， 这也包括那些使系统崩溃， 或阻止其正常运转， 但并不试图窃取 root 帐号 (破译 root) 的攻击形式。 安全问题大体可分为以下几类： 拒绝服务攻击。 窃取其他用户的帐户。 通过可访问服务窃取root帐户。 通过用户帐户窃取root帐户。 建立后门。 DoS 攻击 拒绝服务攻击 (DoS) 安全 DoS 攻击 拒绝服务攻击 (DoS) 拒绝服务攻击 (DoS) 拒绝式服务攻击是侵占机器所需资源的一种行为。 通常， DoS 攻击采用暴力(brute-force)手段通过压倒性的流量来破坏服务器和网络栈， 以使机器崩溃或无法使用。 某些 DoS 攻击则利用在网络栈中的错误， 仅用一个简单的信息包就可以让机器崩溃， 这类情况通常只能通过给内核打补丁来修复。 在一些不利的条件下， 对服务器的攻击能够被修复， 只要适当地修改一下系统的选项来限制系统对服务器的负荷。 顽强的网络攻击是很难对付的。 例如，一个欺骗性信息包的攻击， 无法阻止入侵者切断您的系统与Internet的连接。 它不会使您的机器死掉，但它会把Internet连接占满。 security 窃取用户帐户 窃取用户帐户要比D.o.S.攻击更加普遍。 许多系统管理员仍然在他们的服务器上运行着基本的 telnetd，rlogind， rshd 和 ftpd 服务。 这些服务在默认情况下不会以加密连接来操作。 结果是如果您的系统有中等规模大小的用户群， 在通过远程登录的方式登录到您系统的用户中， 一些人的口令会被人窃取。 仔细的系统管理员会从那些成功登录系统的远程访问日志中寻找可疑的源地址。 通常必须假定，如果一个入侵者已经访问到了一个用户的帐户， 那么它就可能使自己成为 root。 然而， 事实是在一个安全和维护做得很好的系统中， 访问用户的帐户不一定会让入侵者成为 root。 这个差别是很重要的，因为没有成为 root 则入侵者通常是无法隐藏它的轨迹的， 而且， 如果走运的话， 除了让用户的文件乱掉和系统崩溃之外， 它不能做什么别的事情。 窃取用户帐户是很普遍的事情， 因为用户往往不会对系统管理员的警告采取措施。 security 后门 系统管理员必须牢牢记住，可能有许多潜在的方法会使他们机器上的 root 用户受到威胁。入侵者可能知道 root 的口令，而如果在以 root 权限运行的服务器上找到一个缺陷 (bug)， 就可以通过网络连接到那台服务器上达到目的；另外， 一旦入侵者已经侵入了一个用户的帐户， 可以在自己的机器上运行一个 suid-root 程序来发现服务器的漏洞， 从而让他侵入到服务器并获取 root。 攻击者找到了入侵一台机器上 root 的途径之后， 他们就不再需要安装后门了。许多 root 漏洞被发现并修正之后， 入侵者会想尽办法去删除日志来消除自己的访问痕迹， 所以他们会安装后门。 后门能给入侵者提供一个简单的方法来重新获取访问系统的 root 权限， 但它也会给聪明的系统管理员一个检测入侵的简便方法。 让入侵者无法安装后门事实上对您的系统安全是有害的， 因为这样并不会修复那些侵入系统的入侵者所发现的新漏洞。 安全的管理方法应当使用像 洋葱皮 一样多层次的方法来实现， 这些措施可以按下面的方式进行分类： 确保 root 和维护人员帐户的安全。 确保 root – 以root用户权限运行的服务器和suid/sgid可执行程序的安全。 确保用户帐户的安全。 确保口令文件的安全。 确保内核中核心组件、直接访问设备和文件系统的安全。 快速检测系统中发生的不适当的变化。 做个偏执狂。 这一章的下一节将比较深入地讲述上面提到的每一个条目。 确保 &os; 的安全 security 确保 &os; 的安全 命令与协议 在这份文档中，我们使用 粗体 来表示应用程序， 并使用 单倍距 字体来表示命令。 这样的排版区分能够有效地区分类似 ssh 这样的概念， 因为它既可以表示命令，又可以表示协议。 接下来的几节中， 将介绍在这一章中 前一节 中所介绍的那些加强 &os; 系统安全性的手段。 确保 <username>root</username> 和维护人员帐户的安全 su 首先，如果您没有确保 root 帐户的安全， 就没必要先劳神确保用户帐户的安全了。绝大多数系统都会指派一个口令给 root 帐户。 我们的第一个假定是，口令 总是 不安全的。 这并不意味着您要把口令删掉。 口令通常对访问机器的控制台来说是必须的。 也就是说， 您应该避免允许在控制台以外的地方使用口令， 甚至包括使用 &man.su.1; 命令的情形。 例如，确信您的 pty 终端在 /etc/ttys 文件中被指定为 insecure (不安全)，这将使直接通过 telnet 或 rlogin 登录 root 会不被接受。 如果使用如 sshd 这样的其他登录服务， 也要确认直接登录 root 是关闭的。您可以通过编辑 /etc/ssh/sshd_config 文件来做到这一点，确信 PermitRootLogin 被设置成 NO。 考虑到每一种访问方法 — 如FTP这样的服务， 以免因为它们而导致安全性的损失。 直接登录 root 只有通过系统控制台才被允许。 wheel 当然， 作为一个系统管理员， 您应当获得 root身份， 因此， 我们开了一些后门来允许自己进入。 但这些后门只有在经过了额外的口令确认之后才能使用。 一种让 root 可访问的方法是增加适当的用户帐户到 wheel 组 (在 /etc/group 中)。wheel 组中的用户成员可以使用 su 命令来成为 root。 绝对不应该通过在口令项中进行设置来赋予维护人员天然的 wheel 组成员身份。 维护人员应被放置在 staff 组中，然后通过 /etc/group 文件加入到 wheel 组。事实上，只有那些需要以 root 身份进行操作的用户才需要放进 wheel 组中。 当然，也可以通过 某种其它的验证手段，例如 Kerberos，可以通过 root 帐户中的 .k5login 文件来允许执行 &man.ksu.1; 成为 root ，而不必把它们放进 wheel 组。 这可能是一种更好的解决方案， 因为 wheel 机制仍然可能导致入侵者获得 root ，如果他拿到了口令文件，并能够进入职员的帐户。 尽管有 wheel 比什么都没有要强一些， 但它并不是一种绝对安全的办法。 一种间接地提高员工帐号， 乃至 root 权限安全性的方法， 便是采用其他的登录访问方式， 并使用 星号 替代员工加密的口令。使用 &man.vipw.8; 命令， 可以把每一个加密的口令替换成一个 * 符。 这将更新 /etc/master.passwd 文件，以及 用户名/口令数据库，以禁用口令登录。 如下面的员工帐号 foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh 应被改为： foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh 这一更改将阻止一般的登录，因为加密的口令永远不会与 * 匹配。一旦这么做之后， 任何员工都必须使用其他的方式来完成登录，例如，使用 &man.kerberos.1; 或者通过 &man.ssh.1; 利用 公钥/密钥对 的方式来完成登录。当使用 Kerberos 这样的工具时，通常必须加强运行 Kerberos 的服务器，以及桌面工作站的安全性。当使用 公钥/密钥对以 ssh 登录时，通常必须加固用户 开始 登录的那台机器的安全 (通常这是他们的工作站)。 在这之上还可以增加一层安全性，即在使用 &man.ssh-keygen.1; 生成它的时候，使用口令来保护它们。 如果能够用 星号 替换掉所有员工的口令， 那么，这也就保证了他们只能通过您设置的安全的方法来登录。 这将迫使所有的员工使用安全的、经过加密的连接来完成他们的会话， 而这将使得入侵者通过监听网络通讯， 从某些不相关的、 不太安全的机器上窃取口令成为不可能。 另一种间接的安全机制则是， 从严格受限的机器向限制更宽松的机器上登录。 例如， 如果您的服务器运行了所有的服务，那么，工作站应该什么都不运行。 为了让工作站尽可能地安全，应该避免运行任何没有必要的服务， 甚至不运行任何服务。 另外， 也应该考虑使用带口令保护功能的屏幕保护程序。 毋庸置疑， 如果攻击者能够物理地接触您的工作站， 那么他就有能力破坏任何安全设施，这确实是我们需要考虑的一个问题，但同样地， 真正能够物理接触您的工作站或服务器并实施攻击的人在现实生活中并不常见， 绝大多数攻击来自于网络， 而攻击者往往无法物理地接触服务器或工作站。 KerberosIV 使用类似 Kerberos 这样的工具，也为我们提供了使用一个工具来禁用某个用户， 或修改他们的口令， 并在所有机器上立即生效的方法。 如果员工的帐号被窃取， 能够在所有的其他机器上生效的口令变更将很有意义。如果口令分散地保存在多个机器上， 一次修改 N 台机器上的口令很可能是一件痛苦的事情。 此外， Kerberos 还能够提供更多的限制，除了 Kerberos 令牌有很好的过期机制之外， 它还能够强制用户在某个特定的期限内修改口令(比如说，每月一次). 确保以root用户权限运行的服务器和suid/sgid可执行程序的安全 ntalk comsat finger sandboxes sshd telnetd rshd rlogind 谨慎的管理员只运行他们需要的服务， 不多， 不少。 要当心第三方的服务程序很可能有更多的问题。 例如， 运行旧版的 imapd 或 popper 无异于将 root 令牌拱手送给全世界的攻击者。 永远不要运行那些您没有仔细检查过的服务程序， 另外也要知道， 许多服务程序并不需要以 root 的身份运行。 例如， ntalk、 comsat， 以及 finger 这些服务， 都能够以一种被称作 沙盒 的特殊用户的身份运行。 除非您已经解决掉了许多麻烦的问题， 否则沙盒就不是完美的， 但洋葱式安全规则仍然成立： 如果有人设法攻破了在沙盒中运行的程序， 那么在做更多坏事之前， 他们还必须想办法攻破沙盒本身的限制。 攻击者需要攻破的层次越多， 他们成功的可能性就越小。 过去， 破解 root 的漏洞几乎在所有以 root 身份运行的服务上都发现过， 包括那些基本的系统服务。 如果您的机器只打算向外界提供 sshd 登录， 而用户不会使用 telnetd 或 rshd 甚至 rlogind 登录， 就应该毫不犹豫地关闭它们！ &os; 现在默认在沙盒中运行 ntalkd, comsat, 以及 finger。此外， &man.named.8; 也可以这样运行。 /etc/defaults/rc.conf 中包括了如何如此运行 named 的方法，只是这些内容被注释掉了。 如何升级或安装系统将决定这些沙盒所使用的特殊用户是否被自动安装。 谨慎的系统管理员将根据需要研究并实现沙盒。 sendmail 此外，还有一些服务通常并不在沙盒中运行： sendmail, popper, imapd, ftpd, 以及一些其他的服务。当然，它们有一些替代品，但安装那些服务可能需要做更多额外的工作。 可能必须以 root 身份运行这些程序， 并通过其他机制来检测入侵。 系统中另一个比较大的 root 漏洞 是安装在其中的 suid-root 和 sgid 的可执行文件。绝大多数这类程序， 例如 rlogin, 被存放于 /bin, /sbin, /usr/bin, 或 /usr/sbin 中。 尽管并没有 100% 的安全保证，但系统默认的 suid 和 sgid 可执行文件通常是相对安全的。 当然，偶尔也会发现一些存在于这些可执行文件中的 root 漏洞。1998年，Xlib 中发现了一处 root 漏洞，这使得 xterm (通常是做了suid的) 变得可以入侵。 做得安全些， 总比出现问题再后悔要强。 因此，谨慎的管理员通常会限制 suid 可执行文件， 并保证只有员工帐号能够执行它们，或只开放给特定的用户组，甚至彻底干掉 (chmod 000) 任何 suid 可执行文件， 以至于没有人能够执行它们。没有显示设备的服务器通常不会需要 xterm 可执行文件。 sgid 可执行文件通常同样地危险。 一旦入侵者攻克了sgid-kmem，那么他就能够读取 /dev/kmem 并进而读取经过加密的口令文件， 从而窃取任何包含口令的帐号。另外，攻破了 kmem 的入侵者能够监视通过 pty 传送的按键序列，即使用户使用的是安全的登录方式。 攻破了 tty 组的用户则能够向几乎所有用户的 tty 写入数据。如果用户正在运行一个终端程序，或包含了键盘模拟功能的终端仿真程序， 那么，入侵者能够以那个用户的身份执行任何命令。 确保用户帐户的安全 用户帐号的安全通常是最难保证的。虽然您可以为您的员工设置严苛的登录限制， 并用 星号 替换掉他们的口令， 但您可能无法对普通的用户这么做。 如果有足够的决策权， 那么在保证用户帐号安全的斗争中或许会处于优势， 但如果不是这样， 您能做的只是警惕地监控这些帐号的异动。 让用户使用 ssh 或 Kerberos 可能会有更多的问题， 因为需要更多的管理和技术支持， 尽管如此， 与使用加密的口令文件相比， 这仍不失为一个好办法。 确保口令文件的安全 能够确保起作用的唯一一种方法， 是将口令文件中尽可能多的口令用星号代替， 并通过 ssh 或 Kerberos 来使用这些账号。 即使只有 root 用户能够读取加密过的口令文件 (/etc/spwd.db)， 入侵者仍然可能设法读到它的内容， 即使他暂时还无法写入这个文件。 您的安全脚本应该经常检查并报告口令文件的异动 (参见后面的 检查文件完整性 一节)。 确保内核中内核设备、直接访问设备和文件系统的安全 如果攻击者已经拿到了 root 那么他就有能力作任何事情， 当然， 有一些事情是他们比较喜欢干的。 例如， 绝大多数现代的内核都包括一个内建的听包设备。 在 &os; 中，这个设备被称作 bpf 。攻击者通常会尝试在攻克的系统上运行它。 如果您不需要 bpf 设备提供的功能，那么，就不要把它编入内核。 sysctl 但即使已经关掉了 bpf 设备，您仍然需要担心 /dev/mem 和 /dev/kmem 。 就事论事地说，攻击者仍然能够通过直接访问的方式写入磁盘设备。同样地， 还有一个被称作模块加载器， &man.kldload.8; 的机制，也会包含潜在的危险。 尝试入侵企业网络的入侵者会尝试在正在运行的内核上安装他自己的 bpf 设备，或其他听包设备。为了防止这些问题， 需要抬高内核安全级， 至少调整到 1。 可以通过对 kern.securelevel 执行 sysctl 来完成这个任务。 一旦把安全级调整到1， 对于直接访问设备的写入操作将被拒绝， 而特殊的 chflags 标记， 如 schg， 也将强制执行。 一定要在重要的启动执行文件、 目录和脚本文件上设置 schg 标记 — 不要漏过在安全级生效之前将被运行的任何文件。 这可能做得有些过火， 并将导致在较高安全级上运行时升级系统变得困难。 您也可以略微做些妥协， 即以较高的安全级运行， 但并不将系统文件和目录配置为 schg。 另一种可行的方法是把 / 和 /usr 以只读方式挂接。 请注意， 如果保护措施做的过分的严苛， 则可能导致入侵检测无法进行， 而这种检测是安全中十分重要的一环。 检查文件完整性: 可执行文件，配置文件和其他文件 当实施严格的限制时，往往会在使用的方便性上付出代价。例如，使用 chflags 来把 schg 标记 应用到 / 和 /usr 中的绝大多数文件上可能会起到反作用， 因为尽管它能够保护那些文件， 但同时也使入侵检测无法进行。 层次化安全的最后一层可能也是最重要的 — 检测。 如果无法检测出潜在的入侵行为， 那么安全的其他部分可能相对来讲意义可能就不那么大了 (或者，更糟糕的事情是， 那些措施会给您安全的假象)。 层次化安全最重要的功能是减缓入侵者， 而不是彻底不让他们入侵， 这样才可能当场抓住入侵者。 检测入侵的一种好办法是查找那些被修改、 删除或添加的文件。 检测文件修改的最佳方法是与某个 (通常是中央的) 受限访问的系统上的文件进行比对。 在一台严格限制访问的系统上撰写您的安全脚本通常不能够被入侵者察觉， 因此，这非常重要。为了最大限度地发挥这一策略的优势，通常会使用只读的 NFS， 或者设置 ssh 钥匙对以便为其他机器提供访问。除了网络交互之外， NFS可能是一种很难被察觉的方法 — 它允许您监控每一台客户机上的文件系统， 而这种监控几乎是无法察觉的。如果一台严格受限的服务器和客户机是通过交换机连接的， 那么 NFS 将是一种非常好的方式。 不过，如果那台监控服务器和客户机之间通过集线器 (Hub)，或经过许多层的路由来连接，则这种方式就很不安全了， 此时，应考虑使用 ssh ，即使这可以在审计记录中查到。 一旦为这个受限的机器赋予了至少读取它应监控的客户系统的权限， 就应该为实际的监控撰写脚本。以 NFS 挂接为例，可以用类似 &man.find.1; 和 &man.md5.1; 这样的命令为基础来完成我们所需的工作。 最好能够每天对被控机的所有执行文件计算一遍 md5，同时，还应以更高的频率测试那些 /etc 和 /usr/local/etc 中的控制文件。一旦发现了不匹配的情形，监控机应立即通知系统管理员。 好的安全脚本也应该检查在系统分区，如 / 和 /usr 中是否有新增或删除的可执行文件，以及不适宜的 suid 。 如果打算使用 ssh 来代替 NFS，那么撰写安全脚本将变得困难许多。 本质上，需要在脚本中使用 scp 在客户端复制文件， 另一方面，用于检查的执行文件 (例如 find) 也需要使用 scp 传到客户端，因为 ssh 客户程序很可能已经被攻陷。 总之，在一条不够安全的链路上 ssh 可能是必须的， 但也必须应付它所带来的难题。 安全脚本还应该检查用户以及职员成员的权限设置文件： .rhosts、 .shosts、 .ssh/authorized_keys 等等。 这些文件可能并非通过 MD5 来进行检查。 如果您的用户磁盘空间很大， 检查这种分区上面的文件可能非常耗时。 这种情况下， 采用标志来禁止使用 suid 可执行文件和设备在这些文件系统上出现将是一个好主意。 您可能会想看看 nodev 和 nosuid 这两个选项 (参见 &man.mount.8;)。 尽管如此， 这些扫描仍然应该至少每周进行一次， 这样做的意义并不是检测有效的攻击， 而是检查攻击企图。 进程记帐 (参见 &man.accton.8;) 是一种相对成本较低的， 可以帮助您在被入侵后评估损失的机制。 对于找出入侵者是如何进入系统的这件事情来说， 它会非常的有所助益，特别是当入侵者什么文件都没有修改的情况下。 最后， 安全脚本应该处理日志文件， 而日志文件本身应该通过尽可能安全的方法生成 — 远程 syslog 可能非常有用。 入侵者会试图掩盖他们的踪迹， 而日志文件对于希望了解入侵发生时间的系统管理员来说则显得尤为重要。 保持日志文件的永久性记录的一种方法是在串口上运行系统控制台， 并在一台安全的机器上收集这些信息。 偏执 带点偏执不会带来伤害。作为一种惯例， 系统管理员在不影响使用的便利的前提下可以启用任何安全特性，此外， 在经过深思熟虑之后，也可以增加一些 确实会 让使用变得不那么方便的安全特性。 更重要的是，有安全意识的管理员应该学会混合不同的安全策略 — 如果您逐字逐句地按照这份文档来配置您的机器， 那无异于向那些同样能得到这份文档的攻击者透露了更多的信息。 拒绝服务攻击 拒绝服务 (DoS) 这一节将介绍拒绝服务攻击。 DoS 攻击通常是基于数据包的攻击， 尽管几乎没有任何办法来阻止大量的伪造数据包耗尽网络资源， 但通常可以通过一些手段来限制这类攻击的损害，使它们无法击垮服务器： 限制服务进程 fork。 限制 springboard 攻击 (ICMP 响应攻击， ping 广播，等等)。 使内核路由缓存过载。 一种比较常见的 DoS 攻击情形， 是通过攻击复制进程 (fork) 的服务， 使其产生大量子进程， 从而是其运行的机器耗尽内存、 文件描述符等资源， 直到服务器彻底死掉。 inetd (参见 &man.inetd.8;) 提供了许多选项来限制这类攻击。 需要注意的是， 尽管能够阻止一台机器彻底垮掉， 但通常无法防止服务本身被击垮。 请仔细阅读 inetd 的联机手册， 特别是它的 、 以及 这三个选项。 伪造 IP 攻击能够绕过 inetd 的 选项， 因此， 这些选项需要配合使用。 某些独立的服务器也有类似的限制参数。 例如， Sendmail 就提供了自己的 选项， 它通常比 Sendmail 的负载限制选项更为有效， 因为服务器负载的计算有滞后性。 您可以在启动 sendmail 时指定一个 MaxDaemonChildren 参数； 把它设的足够高以便承载您所需要的负荷， 当然， 不要高到足以让运行 Sendmail 的机器死掉。 此外， 以队列模式 () 运行 Sendmail 并把服务程序 (sendmail -bd) 和队列执行程序分别执行 (sendmail -q15m) 也是一个好主意。 如果您希望保证队列的实时性， 可以考虑使用更短的间隔， 例如 ， 但同时也需要指定一个合理的子进程数， 也就是通过 MaxDaemonChildren 选项以免 那个 Sendmail 造成重叠的故障。 Syslogd 可以被直接地攻击，因此， 强烈建议只要可行，就在启动它的时候加上 参数， 其他情况下，则至少应该加上 。 对于基于连接的服务，例如 TCP Wrapper 的 reverse-identd， 都应该格外的小心， 因为它们都可能直接遭受攻击。 一般情况下， 基于安全考虑， 不应使用 TCP Wrapper 所提供的 reverse-ident 这样的功能。 此外， 将内部服务保护起来， 阻止来自其他主机的访问也十分重要， 这些工作可以通过设置边界路由器来完成。 主要的想法， 是阻止来自您的 LAN 以外的访问， 这有助于避免 root 受到攻击。 尽可能配置排他式的防火墙， 例如， 用防火墙阻止所有的网络流量 除了 端口 A、B、 C、D，以及 M-Z。 通过采用这种方法， 您可以很容易地将低端口的访问阻止在外， 而又不难配置使防火墙放过那些明确需要开放的服务， 例如 named (如果您的机器准备作为域的主要解析服务器)， ntalkd， sendmail，以及其他可以从 Internet 访问的服务。 如果您尝试以其他方式配置防火墙 — 采用比较宽松的策略， 那么您将很有可能忘记 关掉 一两个服务， 或者在增加了一些服务之后忘记更新防火墙策略。 尽管如此， 仍然可以考虑允许让数据进入编号较高的那一部分端口， 这将保证那些需要这样特性的服务能够正常工作， 而又不影响低端口服务的安全性。 此外， 还应注意到 &os; 允许您来控制动态绑定的端口的范围， 即一系列 net.inet.ip.portrange 变量，通过 sysctl 来完成设置。 (sysctl -a | fgrep portrange)。 这使得您完成较复杂的防火墙策略变得易如反掌。 例如， 您可能希望普通的高段端口的起止范围是 4000 到 5000， 而更高范围则是 49152 到 65535， 随后在防火墙中阻止低于 4000 的所有端口 (当然， 除了那些特地为 Internet 访问而开设的端口)。 另一种常被称作 springboard 的攻击也是非常常见的 DoS 攻击 — 它通过使服务器产生其无法处理的响应来达到目的。 最常见的攻击就是 ICMP ping 广播攻击。 攻击者通过伪造 ping 包， 将其源 IP 设置为希望攻击的机器的 IP。 如果您的边界路由器没有进行禁止 ping 广播地址的设置， 则您的网络将最终陷于响应伪造的 ping 包之中， 特别是当攻击者同时使用了多个不同的网络时。 广播攻击能够产生超过 120 兆位的瞬时流量。 另一种常见的针对 ICMP 错误报告系统的 springboard 攻击， 通过建立可以生成 ICMP 出错响应的包， 攻击者能够攻击服务器的网络下行资源， 并导致其上行资源耗尽。 这种类型的攻击也可以通过耗尽内存来使得使得被攻击的服务器崩溃， 特别是当这些服务器无法足够快地完成 ICMP 响应的时候。 较新的内核可以通过调整 sysctl 变量 net.inet.icmp.icmplim 来限制这种攻击。 最后一类主要的 springboard 是针对某些 inetd 的内部服务， 例如 udp echo 服务进行的。 攻击者简单地伪造一个来自服务器 A 的 echo 口的 UDP 包， 然后将这个包发到 B 的 echo 口。 于是， 两台服务器将不停地将包弹给对方。 攻击者能够将两台服务器的这种服务都耗竭， 并且通过这种方式， 只需要很少的包就可以让 LAN 超载。 类似的问题对 chargen 口也是存在的。 好的系统管理员应该关闭这些 inetd 的测试服务。 伪造的包攻击也可以用来使内核的路由缓存过载。 请参考 net.inet.ip.rtexpire， rtminexpire， 以及 rtmaxcache sysctl 参数。 伪造的包可以用随机的源 IP 攻击， 使得内核在路由表中产生一个临时的缓存项， 它可以通过 netstat -rna | fgrep W3 看到。 这些路由通常需要 1600 秒才会过期。 如果内核发现路由表变得太大， 它会动态地降低 rtexpire 但以 rtminexpire 为限。 这引发了两个问题： 在访问量不大的服务器上， 内核对于突然袭击的反应不够快。 rtminexpire 的值没有低到让内核在此类攻击时活下去的程度。 如果您的服务器通过 T3 或更快的线路接入 Internet， 那么通过 &man.sysctl.8; 来手动地降低 rtexpire 和 rtminexpire 就非常必要。 当然，绝不要把它们设置为零 (除非您想让机器崩溃) 将这两个参数设置为 2 通常已经足以抵御这类攻击了。 Kerberos 和 SSH 的访问问题 ssh KerberosIV 如果您打算使用， 那么 Kerberos 和 ssh 都有一些需要解决的问题。 Kerberos 5 是一个很棒的验证协议， 但使用了它的 telnet 和 rlogin 应用程序有一些 bug， 使得它们不适合处理二进制流。 而且， 除非使用了 选项， 否则默认情况下 Kerberos 并不加密会话。 ssh 在默认时加密所有的会话内容。 除了默认转发加密密钥之外， ssh 在所有的其他方面都做得很好。 这意味着如果您持有供您访问系统其他部分密钥的工作站作了很好的安全防护， 而您连到了一台不安全的机器上， 则您的密钥可能被别人获得。 尽管实际的密钥并没有被泄漏， 但由于 ssh 会在您登录的过程中启用一个转发端口， 如果攻击者拿到那台不安全的机器上的 root 那么他将能够利用那个端口来使用您的密钥， 从而访问您能够访问的那些机器。 我们建议您在使用 ssh 时配合 Kerberos 来完成工作人员的登录过程。 Ssh 在编译时可以加入 Kerberos 支持。 在减少了潜在地暴露 ssh 密钥的机会的同时， 它还能够通过 Kerberos 来保护口令。 Ssh 密钥只有在做过安全防护的机器上执行自动操作时才应使用 (这是 Kerberos 不适合的情形)。 此外，我们还建议您要么在 ssh 配置中关闭密钥转发， 要么在 authorized_keys 中增加 from=IP/DOMAIN 选项， 来限制这些密钥能够登录的来源机器。 Bill Swingle 部分重写、更新来自 DES，MD5，以及Crypt 安全 密码 crypt DES MD5 &unix; 系统上的每个用户都有一个与其帐户关联的口令。 很显然， 密码只需要被这个用户和操作系统知道。 为了保证口令的私密性， 采用了一种称为 单向散列 的方法来处理口令， 简单地说， 很容易从口令推算出散列值， 反之却很难。 其实， 刚才那句话可能并不十分确切： 因为操作系统本身并不 真的 知道您的口令。 它只知道口令 经过加密的形式。 获取口令对应 明文 的唯一办法是采用暴力在口令可能的区间内穷举。 不幸的是，当 &unix; 刚刚出现时，安全地加密口令的唯一方法基于DES， 数据加密标准 ( the Data Encryption Standard )。 于是这给那些非美国居民带来了问题， 因为 DES 的源代码在当时不能被出口到美国以外的地方， &os; 必须找到符合美国法律，但又要与其他那些使用 DES 的 &unix; 版本兼容的办法。 解决方案是把加密函数库分割为两个， 于是美国的用户可以安装并使用 DES 函数库， 而国际用户则使用另外一套库提供的一种可以出口的加密算法。 这就是 &os; 为什么使用 MD5 作为它的默认加密算法的原因。 MD5 据信要比 DES 更安全，因此，安装 DES 更多地是出于兼容目的。 识别您采用的加密算法 现在这个库支持 DES、 MD5 和 Blowfish 散列函数。默认情况下， &os; 使用 MD5 来加密口令。 可以很容易地识别 &os; 使用哪种加密方法。 检查 /etc/master.passwd 文件中的加密密码是一种方法。 用 MD5 散列加密的密码通常要比用 DES 散列得到的长一些， 并且以 $1$ 字符开始。 以 $2a$ 开始的口令是通过 Blowfish 散列函数加密的。 DES 密码字符没有任何可以用于鉴别的特征， 但他们要比 MD5 短， 并且以不包括 $ 在内的 64 个可显示字符来表示， 因此相对比较短的、没有以美元符号开头的字符串很可能是一个 DES 口令。 新口令所使用的密码格式是由 /etc/login.conf 中的 passwd_format 来控制的， 可供选择的算法包括 des, md5 和 blf。 请参考 &man.login.conf.5; 联机帮助以获得更进一步的详情。 一次性口令 一次性口令 安全 一次性口令 默认情况下， &os; 提供了 OPIE (One-time Passwords In Everything) 支持， 它默认使用 MD5 散列。 下面将介绍三种不同的口令。 第一种是您常用的 &unix; 风格或 Kerberos 口令； 我们在后面的章节中将称其为 &unix; 口令。 第二种是使用 OPIE 的 &man.opiekey.1; 程序生成， 并为 &man.opiepasswd.1; 以及登录提示所接受的一次性口令，我们称其为 一次性口令。 最后一类口令是您输入给 opiekey 程序 (有些时候是 opiepasswd 程序) 用以产生一次性口令的秘密口令，我们称其为 秘密口令 或通俗地简称为 口令。 秘密口令和您的 &unix; 口令毫无关系， 尽管可以设置为相同的， 但不推荐这么做。 OPIE 秘密口令并不像旧式的 &unix; 口令那样只能限于8位以内在 &os; 中标准的登录口令最长不能超过 128 个字符。。 您想要用多长的口令都可以。 有六、七个词的短句是很常见的选择。 在绝大多数时候， OPIE 系统和 &unix; 口令系统完全相互独立地工作。 除了口令之外， 对于 OPIE 还有两组至关重要的数据。 其一被称作 种子 或 key， 它包括两个字符和五个数字。 另一个被称作 迭代轮数， 这是一个 1 到 100 之间的数字。 OPIE 通过将种子加到秘密口令后面， 并执行迭代轮数那么多次的 MD4/MD5 散列运算来得到结果， 并将结果表示为 6 个短的英文单词。 这 6 个英文单词就是您的一次性口令。 验证系统 (主要是 PAM) 会记录上次使用的一次性口令， 如果用户提供的口令的散列值与上次一致， 则可以通过身份验证。 由于使用了单向的散列函数， 因此即使截获了上次使用的口令， 也没有办法恢复出下次将要使用的口令； 每次成功登录都将导致迭代轮数递减， 这样用户和登录程序将保持同步。 每当迭代轮数减少到 1 时， 都必须重新初始化 OPIE。 接下来将讨论和每个系统有关的三个程序。 opiekey 程序能够接收带迭代计数， 种子和秘密口令， 并生成一个一次性口令， 或一张包含连续的一组一次性口令的表格。 opiepasswd 程序用于初始化 OPIE， 并修改口令、 迭代次数、种子和一次性口令。 和 opieinfo 程序可以用于检查相应的验证数据文件 (/etc/opiekeys) 并显示执行命令的用户当前的迭代轮数和种子。 我们将介绍四种不同的操作。 在安全的连接上通过 opiepasswd 来第一次设置一次性口令， 或修改口令及种子。 第二类操作是在不安全的连接上使用 opiepasswd 辅以在安全连接上执行的 opiekey 来完成同样的工作。 第三类操作是在不安全的连接上使用 opiekey 来登录。 最后一类操作是采用 opiekey 来生成大批的密码， 以便抄下来或打印出来，在没有安全连接的地方使用。 安全连接的初始化 第一次初始化 OPIE 时， 可以使用 opiepasswd 命令： &prompt.user; opiepasswd -c [grimreaper] ~ $ opiepasswd -f -c Adding unfurl: Only use this method from the console; NEVER from remote. If you are using telnet, xterm, or a dial-in, type ^C now or exit with no password. Then run opiepasswd without the -c parameter. Using MD5 to compute responses. Enter new secret pass phrase: Again new secret pass phrase: ID unfurl OTP key is 499 to4268 MOS MALL GOAT ARM AVID COED 在 Enter new secret pass phrase: 或 Enter secret password: 提示之后， 应输入一个密码或口令字。 请留意， 这并不是您用于登录的口令， 它用于生成一次性的登录密钥。 ID 这一行给出了所需的参数： 您的登录名， 迭代轮数， 以及种子。 登录系统时， 它能够记住这些参数并呈现给您， 因此无需记忆它们。 最后一行给出了与您的秘密口令对应的、用于登录的一个一次性口令； 如果您立即重新登录， 则它将是您需要使用的那个口令。 不安全连接初始化 如果您需要通过一个不安全的连接来初始化， 则应首先在安全连接上执行过一次 opiekey； 您可能希望在可信的机器的 shell 提示符下完成。 此外还需要指定一个迭代轮数 (100 也许是一个较好的选择) 也可以选择一个自己的种子， 或让计算机随机生成一个。 在不安全的连接上 (当然是连到您希望初始化的机器上)，使用 opiepasswd 命令： &prompt.user; opiepasswd Updating unfurl: You need the response from an OTP generator. Old secret pass phrase: otp-md5 498 to4268 ext Response: GAME GAG WELT OUT DOWN CHAT New secret pass phrase: otp-md5 499 to4269 Response: LINE PAP MILK NELL BUOY TROY ID mark OTP key is 499 gr4269 LINE PAP MILK NELL BUOY TROY 为了接受默认的种子， 按下 Return。 在输入访问口令之前， 到一个有安全连接的机器上， 并给它同样的参数： &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT 现在回到不安全的连接， 并将生成的一次性口令粘贴到相应的应用程序中。 生成一个一次性密码 一旦初始化过 OPIE， 当您登录时将看到类似这样的提示： &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> otp-md5 498 gr4269 ext Password: 另外， OPIE 提示有一个很有用的特性 (这里没有表现出来)： 如果您在口令提示处按下 Return(回车) 系统将回显刚键入的口令， 您可以藉此看到自己所键入的内容。 如果试图手工键入一个一次性密码， 这会非常有用。 MS-DOS Windows MacOS 此时您需要生成一个一次性密码来回答这一提示。 这项工作必须在一个可信的系统上执行 opiekey 来完成。 (也可以找到 DOS、 &windows; 以及 &macos; 等操作系统上运行的版本)。 这个程序需要将迭代轮数和种子提供给它。 您可以从登录提示那里复制和粘贴它们。 在可信的系统上： &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT 现在就可以用刚刚获得的一次性口令登录了。 产生多个一次性口令 有时，会需要到不能访问可信的机器或安全连接的地方。 这种情形下， 可以使用 opiekey 命令来一次生成许多一次性口令。 例如： &prompt.user; opiekey -n 5 30 zz99999 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: <secret password> 26: JOAN BORE FOSS DES NAY QUIT 27: LATE BIAS SLAY FOLK MUCH TRIG 28: SALT TIN ANTI LOON NEAL USE 29: RIO ODIN GO BYE FURY TIC 30: GREW JIVE SAN GIRD BOIL PHI 按顺序请求 5 个口令， 则指定了最后一个迭代轮数应该是多少。 注意这些口令将按与使用顺序相反的顺序来显示。 如果您比较偏执， 可以手工写下这些结果； 一般来说把它粘贴到 lpr 就可以了。 注意，每一行都显示迭代轮数及其对应的一次性的密码； 一些人建议用完一个就划掉一个。 限制使用 &unix; 口令 OPIE 可以对 &unix; 口令的使用进行基于 IP 的登录限制。 对应的文件是 /etc/opieaccess， 这个文件默认情况下就是存在的。 请参阅 &man.opieaccess.5; 以了解关于这个文件进一步的情况， 以及安全方面需要进行的一些考虑。 下面是一个示范的 opieaccess 文件： permit 192.168.0.0 255.255.0.0 这行允许指定 IP 地址的用户 (再次强调这种地址容易被伪造) 在任何时候使用 &unix; 口令登录。 如果 opieaccess 中没有匹配的规则， 则将默认拒绝任何非 OPIE 登录。 Tom Rhodes 作者： TCP Wrappers TCP Wrappers 每一个熟悉 &man.inetd.8; 都应该听说过 TCP Wrappers， 但几乎没有人对它在网络环境中的作用有全面的理解。 几乎每个人都会安装防火墙来处理网络连接， 然而虽然防火墙有非常广泛的用途， 它却不是万能的， 例如它无法处理类似向连接发起者发送一些文本这样的任务。 而 TCP 软件能够完成它以及更多的其他事情。 接下来的几段中将讨论许多 TCP Wrappers 提供的功能， 并且， 还给出了一些配置实例。 TCP Wrappers 软件扩展了 inetd 为受其控制的服务程序实施控制的能力。 通过使用这种方法， 它能够提供日志支持、 返回消息给联入的连接、 使得服务程序只接受内部连接， 等等。 尽管防火墙也能够完成其中的某些功能， 但这不仅增加了一层额外的保护， 也提供了防火墙无法提供的功能。 然而， 由 TCP Wrappers 提供的一些额外的安全功能， 不应被视为好的防火墙的替代品。 TCP Wrappers 应结合防火墙或其他安全加强设施一并使用， 为系统多提供一层安全防护。 由于这些配置是对于 inetd 的扩展， 因此， 读者应首先阅读 配置 inetd 这节。 尽管由 &man.inetd.8; 运行的程序并不是真正的 服务程序， 但传统上也把它们称为服务程序。 下面仍将使用这一术语。 初始配置 在 &os; 中使用 TCP Wrappers 的唯一要求是确保 inetd 在从 rc.conf 中启动时包含了 选项； 这是默认的设置。 当然， 还需要对 /etc/hosts.allow 进行适当的配置， 但 &man.syslogd.8; 在配置不当时会在系统日志中记录相关消息。 与其它的 TCP Wrappers 实现不同， 使用 hosts.deny 在这里被认为是不推荐和过时的做法。 所有的配置选项应放到 /etc/hosts.allow 中。 在最简单的配置中， 服务程序的连接策略是根据 /etc/hosts.allow 允许或阻止。 &os; 中的默认配置是允许一切发到由 inetd 所启动的服务的连接请求。 在基本配置之后将讨论更复杂的情况。 基本配置的形式通常是 服务 : 地址 : 动作。 这里 服务 是从 inetd 启动的服务程序的名字。 而 地址 可以是任何有效的主机名、 一个 IP 或由方括号 ([ ]) 括起来的 IPv6 地址。 动作字段可以使 allow 或 deny， 分别用于允许和禁止相应的访问。 在配置时您需要注意所有的配置都是按照第一个匹配的规则运转的， 这表示配置文件将按照顺序查找匹配规则， 而一旦找到匹配， 则搜索也就停止了。 另外也有许多其他选项， 这些将在后面介绍。 简单的配置行从上面这些描述之中可以很容易得出。 例如， 允许 POP3 连接通过 mail/qpopper 服务， 应把下面的行添加到 hosts.allow： # This line is required for POP3 connections: qpopper : ALL : allow 增加这样之后， 需要重新启动 inetd。 可以通过使用 &man.kill.1; 命令来完成这项工作， 或使用 /etc/rc.d/inetd 的 restart parameter 参数。 高级配置 TCP Wrappers 也有一些高级的配置选项； 它们能够用来对如何处理连接实施更多的控制。 一些时候， 返回一个说明到特定的主机或请求服务的连接可能是更好的办法。 其他情况下， 记录日志或者发送邮件给管理员可能更为适合。 另外， 一些服务可能只希望为本机提供。 这些需求都可以通过使用 通配符， 扩展字符以及外部命令来实现。 接下来的两节将介绍这些。 外部命令 假设由于发生了某种状况， 而导致连接应该被拒绝掉， 而将其原因发送给发起连接的人。 如何完成这样的任务呢？ 这样的动作可以通过使用 选项来实现。 当发起了连接请求时， 将调用一个命令或脚本。 在 hosts.allow 文件中已经给出了一个例子： # The rest of the daemons are protected. ALL : ALL \ : severity auth.info \ : twist /bin/echo "You are not welcome to use %d from %h." 这个例子将把消息 You are not allowed to use daemon from hostname. 返回给访问先前没有配置过允许访问的服务客户。 对于希望把消息反馈给连接发起者， 然后立即切断这样的需求来说， 这样的配置非常有用。 请注意所有反馈信息 必须 被引号 " 包围； 这一规则是没有例外的。 如果攻击者向服务程序发送大量的连接请求， 则可能发动一次成功的拒绝服务攻击。 另一种可能是针对这种情况使用 。 类似 ， 也暗含拒绝连接， 并可以用来执行外部命令或服务。 与 不同的是， 不会向连接发起者发送回应。 考虑下面的配置： # We do not allow connections from example.com: ALL : .example.com \ : spawn (/bin/echo %a from %h attempted to access %d >> \ /var/log/connections.log) \ : deny 这将拒绝来自 *.example.com 域的所有连接； 同时还将记录主机名， IP 地址， 以及对方所尝试连接的服务名字到 /var/log/connections.log 文件中。 除了前面已经介绍过的转义字符， 例如 %a 之外， 还有一些其它的转义符。 参考 &man.hosts.access.5; 联机手册可以获得完整的列表。 通配符选项 前面的例子都使用了 ALL。 其它选项能够将功能扩展到更远。 例如， ALL 可以被用来匹配每一个服务、 域，或 IP 地址。 另一些可用的通配符包括 PARANOID， 它可以用来匹配任何来自可能被伪造的 IP 地址的主机。 换言之， paranoid 可以被用来定义来自 IP 与其主机名不符的客户。 下面的例子将给您更多的感性认识： # Block possibly spoofed requests to sendmail: sendmail : PARANOID : deny 在这个例子中， 所有连接 sendmail 的 IP 地址与其主机名不符的主机都将被拒绝。 如果服务器和客户机有一方的 DNS 配置不正确， 使用 PARANOID 可能会严重地削弱服务。 在设置之前， 管理员应该谨慎地考虑。 要了解关于通配符和他们的功能， 请参考 &man.hosts.access.5; 联机手册。 为了使设置能够生效， 应该首先把 hosts.allow 的第一行配置注释掉。 这节的开始部分已经说明了这一点。 Mark Murray 撰写者 Mark Dapoz 初稿 <application>KerberosIV</application> Kerberos 是一个网络附加系统/协议， 它使得用户能够通过一个安全服务器的服务来验证身份。 象远程登录， 远程复制， 系统间的相互文件复制和其他完成高风险任务的服务将被变得相当安全和可控制。 下面将具体介绍如何配置随 &os; 发行的 Kerberos。 不过， 您还是应该阅读相应的联机手册以获得完整的说明。 安装 <application>KerberosIV</application> MIT KerberosIV 安装 Kerberos 是 &os; 的一项可选组件。 安装该软件最简单的办法就是 在使用 sysinstall 安装 &os; 时选择 krb4 或 krb5。 这样将会安装 eBones (KerberosIV) 或 Heimdal (Kerberos5) 的 Kerberos 实现。 采用实现的原因是它们在美国/加拿大 以外的地区开发， 因此这些国家之外的人使用， 而不必受美国的加密代码出口管制的限制。 此外， 您可以从 security/krb5 得到 Kerberos 的 MIT 实现。 创建最初的数据库 这项工作只需要在 Kerberos 服务器上完成。 首先确认没有旧的 Kerberos 数据库存在。 您应该进入到 /etc/kerberosIV 目录中并检查下述文件是否已经存在： &prompt.root; cd /etc/kerberosIV &prompt.root; ls README krb.conf krb.realms 如果您发现了除此之外的其它文件 (例如 principal.* 或 master_key) 已经存在， 请使用 kdb_destroy 命令来销毁旧的数据库， 或者， 如果 Kerberos 没有在运行，简单地删除掉那些多余的文件。 现在必须编辑 krb.conf 和 krb.realms 文件来定义您的 Kerberos 领域。 在本例中， 这个领域将是 EXAMPLE.COM 而其服务器是 grunt.example.com。 我们编辑或创建如下的 krb.conf 文件： &prompt.root; cat krb.conf EXAMPLE.COM EXAMPLE.COM grunt.example.com admin server CS.BERKELEY.EDU okeeffe.berkeley.edu ATHENA.MIT.EDU kerberos.mit.edu ATHENA.MIT.EDU kerberos-1.mit.edu ATHENA.MIT.EDU kerberos-2.mit.edu ATHENA.MIT.EDU kerberos-3.mit.edu LCS.MIT.EDU kerberos.lcs.mit.edu TELECOM.MIT.EDU bitsy.mit.edu ARC.NASA.GOV trident.arc.nasa.gov 在这个例子中， 除此之外的其它领域并不是必需的。 把他们在这里一并展示是为了演示如何让机器了解多个领域的存在。 简单起见， 在实际的配置中可以省略它们。 第一行命名了这个系统工作的领域。 其它行包含了领域/主机的记录。 每行的第一项是一个领域， 其后是在这个领域中充当 密钥分发中心 的主机名。 其后的 admin server 表示该主机同时还提供管理数据库服务。进一步的详细说明请参考 Kerberos 联机手册。 现在应该添加 grunt.example.com 到 EXAMPLE.COM 领域， 同时追加一项以便将出现在 EXAMPLE.COM 领域中 .example.com 域的所有主机也加入进来。 krb.realms 这个文件需要按照下面的方法修改： &prompt.root; cat krb.realms grunt.example.com EXAMPLE.COM .example.com EXAMPLE.COM .berkeley.edu CS.BERKELEY.EDU .MIT.EDU ATHENA.MIT.EDU .mit.edu ATHENA.MIT.EDU 再次强调， 其它领域并不是必需的。 在这里只是要展示如何使用多个领域。 可以删掉它们以简化配置。 第一行将 指定的 系统置于所指名字的领域内。 这一行的其它部分则指明了特定子域内的主机应该默认属于哪个领域。 接下来我们就可以创建数据库了。 只有在 Kerberos 服务器上 (或密钥分发中心上) 才需要它。 可以通过 kdb_init 命令来完成这一步： &prompt.root; kdb_init Realm name [default ATHENA.MIT.EDU ]: EXAMPLE.COM You will be prompted for the database Master Password. It is important that you NOT FORGET this password. Enter Kerberos master key: 现在我们应该保存密钥， 这样本机上运行的其他服务就能够了解这一变化。 用 kstash 命令来完成这一步： &prompt.root; kstash Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! 这一操作将把主口令保存到 /etc/kerberosIV/master_key。 让一切运转起来 KerberosIV 初始配置 有两个主要的东西需要被添加到要用 Kerberos 来确保安全的 每一个 系统上。 它们的名字是 kpasswd 和 rcmd。 这些程序允许另外系统改变 Kerberos 的密码， 在不同的系统上可能有不同的名字。 服务程序 kpasswd 和 rcmd 使得其他系统能够修改 Kerberos 口令， 以及执行类似 &man.rcp.1;, &man.rlogin.1; 和 &man.rsh.1; 这样的命令。 我们添加下面这些记录： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: passwd Instance: grunt <Not found>, Create [y] ? y Principal: passwd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? y Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: rcmd Instance: grunt <Not found>, Create [y] ? Principal: rcmd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 创建服务器文件 现在需要分析在每台机器上定义的服务的所有情况。 为了做到这一点， 可以使用 ext_srvtab 命令。 这将创建一个文件， 它需要被 通过安全的途径 复制或移动到每一个 Kerberos 客户端的 /etc 目录中。 在每一台服务器上都必须存在这个文件， 它对 Kerberos 的运行至关重要。 &prompt.root; ext_srvtab grunt Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Generating 'grunt-new-srvtab'.... 现在，这个命令只产生一个临时文件，必须被重命名为 srvtab 以便所有的服务可以识别它。 用 &man.mv.1; 命令把它挪到原系统的这个位置： &prompt.root; mv grunt-new-srvtab srvtab 如果文件是针对客户系统的， 而且网络可能会不安全， 则应把 client-new-srvtab 复制到可移动的介质上， 并通过物理上安全的方式拿走。 将其改名为 srvtab 并放到客户机的 /etc/kerberosIV 目录中， 并赋予 mode 600: &prompt.root; mv grumble-new-srvtab srvtab &prompt.root; chmod 600 srvtab 复制数据库 现在添加一些用户记录到数据库。 首先为用户 jane 创建其对应的项。 使用 kdb_edit 命令来完成此项工作： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: <Not found>, Create [y] ? y Principal: jane, Instance: , kdc_key_ver: 1 New Password: <---- enter a secure password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 测试全部相关信息 首先必须启动 Kerberos 的服务程序。 这里需要指出， 如果您正确地修改了 /etc/rc.conf 则系统在启动时会自动完成这个工作。 只有在 Kerberos 服务器上才需要这么做。 Kerberos 客户程序将自动地从 /etc/kerberosIV 目录中的文件获取所需要的信息。 &prompt.root; kerberos & Kerberos server starting Sleep forever on error Log file is /var/log/kerberos.log Current Kerberos master key version is 1. Master key entered. BEWARE! Current Kerberos master key version is 1 Local realm: EXAMPLE.COM &prompt.root; kadmind -n & KADM Server KADM0.0A initializing Please do not use 'kill -9' to kill this job, use a regular kill instead Current Kerberos master key version is 1. Master key entered. BEWARE! 接下来应使用 kinit 命令来获取与我们刚刚创建的 ID jane 对应的 ticket： &prompt.user; kinit jane MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane" Password: 尝试使用 klist 列出句柄以了解是否真的拥有它们： &prompt.user; klist Ticket file: /tmp/tkt245 Principal: jane@EXAMPLE.COM Issued Expires Principal Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COM 现在可以试试看用 &man.passwd.1; 来修改口令， 以验证 kpasswd 服务程序是否能够从 Kerberos 数据库中获得需要的授权： &prompt.user; passwd realm EXAMPLE.COM Old password for jane: New Password for jane: Verifying password New Password for jane: Password changed. 授予 <command>su</command> 特权 Kerberos 使我们能够给予 每一个 需要使用 root 特权的用户使用他们自己 单独的 &man.su.1; 口令。 现在我们追加一个被授予 &man.su.1; 到 root 权限的 ID。 这件事是由与 root 相关联的一个 principal 实例来控制的。使用 kdb_edit 可以在 Kerberos 数据库中建立一个 jane.root 条目： &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: root <Not found>, Create [y] ? y Principal: jane, Instance: root, kdc_key_ver: 1 New Password: <---- enter a SECURE password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? 12 <--- Keep this short! Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit 现在试试看获得相应的句柄， 以确认它已经正常工作了： &prompt.root; kinit jane.root MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane.root" Password: 接下来我们需要把用户添加到 root的 .klogin 文件里： &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM 试试看 &man.su.1;： &prompt.user; su Password: 然后看看我们拥有哪些句柄： &prompt.root; klist Ticket file: /tmp/tkt_root_245 Principal: jane.root@EXAMPLE.COM Issued Expires Principal May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COM 使用其它命令 在前文给出的例子中， 我们创建了一个称为 jane 的用户， 以及一个 root 实例。 此处的用户名和它的 principal 相同， 这是 Kerberos 默认的； 一个形如 <username>.root 的 <principal>.<instance> 将允许 <username> 使用 &man.su.1; 成为 root， 只要所需的那些条目在 root home 目录中的 .klogin 中存在的话： &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM 类似地， 如果用户的 home 目录中有这样的设置： &prompt.user; cat ~/.klogin jane@EXAMPLE.COM jack@EXAMPLE.COM 则表明在 EXAMPLE.COM 领域的经过身份验证的 jane 或者 jack (通过 kinit， 详情见前文) 能够使用 jane 的身份或系统 (grunt) 中的文件， 无论通过 &man.rlogin.1;, &man.rsh.1; 或是 &man.rcp.1;。 举例来说， jane 现在通过 Kerberos 登入了其它系统： &prompt.user; kinit MIT Project Athena (grunt.example.com) Password: &prompt.user; rlogin grunt Last login: Mon May 1 21:14:47 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 或者， 当 jack 登录到 jane 在同一台机器上的账号 (jane 按照前面所介绍的那样配置了 .klogin 文件， 而负责 Kerberos 的管理员， 则为 jack 的 principal 配置了一个空的 instance)： &prompt.user; kinit &prompt.user; rlogin grunt -l jane MIT Project Athena (grunt.example.com) Password: Last login: Mon May 1 21:16:55 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Tillman Hodgson 撰写者 Mark Murray 原文来自 <application>Kerberos5</application> 在 &os;-5.1 之后的每一个 &os; 版本都只包含 Kerberos5 支持了， 因而， Kerberos5 是它们所包含的唯一的 Kerberos 版本， 其配置在绝大多数方面和 KerberosIV 非常类似。 下述信息只适用于 &os;-5.0 之后版本中的 Kerberos5。 希望使用 KerberosIV 的用户可以安装 security/krb4 port。 Kerberos 是一组附加的网络系统/协议， 用以让用户通过一台安全服务器提供的服务来验证身份。 包括远程登录、远程复制、在系统间安全地复制文件， 以及其它高危险性的操作， 由于其存在而显著地提高了安全型并且更加可控。 Kerberos 可以理解为一种身份验证代理系统。 它也被描述为一种以受信第三方为主导的身份验证系统。 Kerberos 只提供一种功能 — 在网络上安全地完成用户的身份验证。 它并不提供授权功能 (也就是说用户能够做什么操作) 或审计功能 (记录用户作了什么操作)。 一旦客户和服务器都使用了 Kerberos 来证明各自的身份之后， 他们还可以加密全部的通讯以保证业务数据的私密性和完整性。 因此， 强烈建议将 Kerberos 同其它提供授权和审计服务的安全手段联用。 接下来的说明可以用来指导如何安装 &os; 所附带的 Kerberos。 不过， 您仍然需要参考相应的联机手册以获得完整的描述。 为了展示 Kerberos 的安装过程， 我们约定： DNS 域 (zone) 为 example.org。 Kerberos 领域是 EXAMPLE.ORG。 在安装 Kerberos 时请使用实际的域名即使您只是想在内部网上用一用。 这可以避免 DNS 问题并保证了同其它 Kerberos 之间的互操作性。 历史 Kerberos5 历史 Kerberos 最早由 MIT 作为解决网络安全问题的一个方案提出。 Kerberos 协议采用了强加密， 因此客户能够在不安全的网络上向服务器 (以及相反地) 验证自己的身份。 Kerberos 是网络验证协议名字， 同时也是用以表达实现了它的程序的形容词。 (例如 Kerberos telnet)。 目前最新的协议版本是 5，在 RFC 1510 中有所描述。 该协议有许多免费的实现， 这些实现涵盖了许多种不同的操作系统。 最初研制 Kerberos 的麻省理工学院 (MIT) 也仍然在继续开发他们的 Kerberos 软件包。 在 US 它被作为一种加密产品使用， 因而历史上曾经受到 US 出口管制。 MIT Kerberos 可以通过 port (security/krb5) 来安装和使用。 Heimdal Kerberos 是另一种第 5 版实现， 并且明确地在 US 之外的地区开发， 以避免出口管制 (因此在许多非商业的类 &unix; 系统中非常常用。 Heimdal Kerberos 软件包可以通过 port (security/heimdal) 安装， 最新的 &os; 的最小安装也会包含它。 为使尽可能多的读者从中受益， 这份说明以 &os; 附带的 Heimdal 软件包为准。 配置 Heimdal <acronym>KDC</acronym> Kerberos5 密钥分发中心 密钥分发中心 (KDC) 是 Kerberos 提供的集中式验证服务 — 它是签发 Kerberos tickets 的那台计算机。 KDC 在 Kerberos 领域中的其它机器看来是 受信的， 因此必须格外注意其安全性。 需要说明 Kerberos 服务器只需要非常少的计算资源， 尽管如此， 基于安全理由仍然推荐使用独占的机器来扮演 KDC 的角色。 要开始配置 KDC， 首先请确认您的 /etc/rc.conf 文件包含了作为一个 KDC 所需的设置 (您可能需要适当地调整路径以适应自己系统的情况)： kerberos5_server_enable="YES" kadmind5_server_enable="YES" 接下来需要修改 Kerberos 的配置文件， /etc/krb5.conf： [libdefaults] default_realm = EXAMPLE.ORG [realms] EXAMPLE.ORG = { kdc = kerberos.example.org admin_server = kerberos.example.org } [domain_realm] .example.org = EXAMPLE.ORG 请注意这个 /etc/krb5.conf 文件假定您的 KDC 有一个完整的主机名， 即 kerberos.example.org。 如果您的 KDC 主机名与它不同， 则应添加一条 CNAME (别名) 项到 zone 中去。 对于有正确地配置过的 BIND DNS 服务器的大型网络， 上述例子可以精简为： [libdefaults] default_realm = EXAMPLE.ORG 将下面的内容加入到 example.org zone 数据文件中： _kerberos._udp IN SRV 01 00 88 kerberos.example.org. _kerberos._tcp IN SRV 01 00 88 kerberos.example.org. _kpasswd._udp IN SRV 01 00 464 kerberos.example.org. _kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org. _kerberos IN TXT EXAMPLE.ORG 要让客户机能够找到 Kerberos 服务， 就 必须 首先配置完整或最小配置的 /etc/krb5.conf 并且 正确地配置 DNS 服务器。 接下来需要创建 Kerberos 数据库。 这个数据库包括了使用主密码加密的所有实体的密钥。 您并不需要记住这个密码， 它会保存在一个文件 (/var/heimdal/m-key) 中。 要创建主密钥， 需要执行 kstash 并输入一个口令。 主密钥一旦建立， 您就可以用 kadmin 程序的 -l 参数 (表示 local) 来初始化数据库了。 这个选项让 kadmin 直接地修改数据库文件而不是通过 kadmind 的网络服务。 这解决了在数据库创建之前连接它的鸡生蛋的问题。 进入 kadmin 提示符之后， 用 init 命令来创建领域的初始数据库。 最后， 仍然在 kadmin 中， 使用 add 命令来创建第一个 principal。 暂时使用全部的默认设置， 随后可以在任何时候使用 modify 命令来修改这些设置。 另外， 也可以用 ? 命令来了解可用的选项。 典型的数据库创建过程如下： &prompt.root; kstash Master key: xxxxxxxx Verifying password - Master key: xxxxxxxx &prompt.root; kadmin -l kadmin> init EXAMPLE.ORG Realm max ticket life [unlimited]: kadmin> add tillman Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: Password: xxxxxxxx Verifying password - Password: xxxxxxxx 现在是启动 KDC 服务的时候了。 运行 /etc/rc.d/kerberos start 以及 /etc/rc.d/kadmind start 来启动这些服务。 尽管此时还没有任何正在运行的 Kerberos 服务， 但您仍然可以通过获取并列出您刚刚创建的那个 principal (用户) 的 ticket 来验证 KDC 确实在正常工作， 使用 KDC 本身的功能： &prompt.user; kinit tillman tillman@EXAMPLE.ORG's Password: &prompt.user; klist Credentials cache: FILE:/tmp/krb5cc_500 Principal: tillman@EXAMPLE.ORG Issued Expires Principal Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG 完成所需的操作之后， 可以撤消这一 ticket： &prompt.user; k5destroy 为 <application>Kerberos</application> 启用 Heimdal 服务 Kerberos5 启用服务 首先我们需要一份 Kerberos 配置文件 /etc/krb5.conf 的副本。 只需简单地用安全的方式 (使用类似 &man.scp.1; 的网络工具， 或通过软盘) 复制 KDC 上的版本， 并覆盖掉客户机上的对应文件就可以了。 接下来需要一个 /etc/krb5.keytab 文件。 这是提供 Kerberos 服务的服务器和工作站的一个主要区别 — 服务器必须有 keytab 文件。 这个文件包括了服务器的主机密钥， 这使得 KDC 得以验证它们的身份。 此文件必须以安全的方式传到服务器上， 因为如果密钥被公之于众， 则安全也就毁于一旦。 也就是说， 通过明文的通道， 例如 FTP 是非常糟糕的想法。 一般来说， 您会希望使用 kadmin 程序来把 keytab 传到服务器上。 由于也需要使用 kadmin 来为主机建立 principal (KDC 一端的 krb5.keytab)， 因此这并不复杂。 注意您必须已经获得了一个 ticket 而且这个 ticket 必须许可使用 kadmind.acl 中的 kadmin 接口。 请参考 Heimdal info 中的 Remote administration(远程管理) 一节 (info heimdal) 以了解如何设计访问控制表。 如果不希望启用远程的 kadmin 操作， 则可以简单地采用安全的方式连接 KDC (通过本机控制台， &man.ssh.1; 或 Kerberos &man.telnet.1;) 并使用 kadmin -l 在本地执行管理操作。 安装了 /etc/krb5.conf 文件之后， 您就可以使用 Kerberos 上的 kadmin 了。 add --random-key 命令可以用于添加主机 principal， 而 ext 命令则允许导出服务器的主机 principal 到它的 keytab 中。 例如： &prompt.root; kadmin kadmin> add --random-key host/myserver.example.org Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: kadmin> ext host/myserver.example.org kadmin> exit 注意 ext 命令 (这是 extract 的简写) 默认会把导出的密钥放到 /etc/krb5.keytab 中。 如果您由于没有在 KDC 上运行 kadmind (例如基于安全理由) 因而无法远程地使用 kadmin 您可以直接在 KDC 上添加主机 principal (host/myserver.EXAMPLE.ORG) 随后将其导出到一个临时文件中 (以免覆盖 KDC 上的 /etc/krb5.keytab)， 方法是使用下面的命令： &prompt.root; kadmin kadmin> ext --keytab=/tmp/example.keytab host/myserver.example.org kadmin> exit 随后需要把 keytab 复制到服务器上 (例如使用 scp 或软盘)。 一定要指定一个不同于默认的 keytab 名字以免覆盖 KDC 上的 keytab。 到现在您的服务器已经可以同 KDC 通讯了 (因为已经配置了 krb5.conf 文件)， 而且它还能够证明自己的身份 (由于配置了 krb5.keytab 文件)。 现在可以启用一些 Kerberos 服务。 在这个例子中， 我们将在 /etc/inetd.conf 中添加下面的行来启用 telnet 服务， 随后用 /etc/rc.d/inetd restart 重启 &man.inetd.8; 服务来使设置生效： telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a user 关键的部分是 -a (表示验证) 类型设置为用户 (user)。 请参考 &man.telnetd.8; 联机手册以了解细节。 使用 Heimdal 来启用客户端 <application>Kerberos</application> Kerberos5 客户端配置 设置客户机是非常简单的。 在正确配置了 Kerberos 的网络中， 只需要将位于 /etc/krb5.conf 的配置文件进行一下设置就可以了。 这一步骤可以简单地通过安全的方式将文件从 KDC 复制到客户机上来完成。 尝试在客户机上执行 kinit、 klist， 以及 kdestroy 来测试获取、 显示并删除 刚刚为 principal 建立的 ticket 是否能够正常进行， 如果能， 则用其它的 Kerberos 应用程序来连接启用了 Kerberos 的服务。 如果应用程序不能正常工作而获取 ticket 正常， 则通常是服务本身， 而非客户机或 KDC 有问题。 在测试类似 telnet 的应用程序时， 应考虑使用抓包程序 (例如 &man.tcpdump.1;) 来确认您的口令没有以明文方式传输。 尝试使用 telnet 的 -x 参数， 它将加密整个数据流 (类似 ssh)。 许多非核心的 Kerberos 客户应用程序也是默认安装的。 在 Hemidal 的 最小 安装理念下， telnet 是唯一一个采用了 Kerberos 的服务。 Heimdal port 则提供了一些默认不安装的客户应用程序， 例如启用了 Kerberos 版本的 ftp、 rsh、 rcp、 rlogin 以及一些更不常用的程序。 MIT port 也包括了一整套 Kerberos 客户应用程序。 用户配置文件： <filename>.k5login</filename> 和 <filename>.k5users</filename> .k5login .k5users 在某个领域中的用户往往都有自己的 Kerberos principal (例如 tillman@EXAMPLE.ORG) 并映射到本机用户帐户 (例如本机上名为 tillman 的帐户)。 客户端应用程序， 如 telnet 通常并不需要用户名或 principal。 不过, 有时您可能会需要赋予某些没有匹配 Kerberos principal 的人使用本地用户帐户的权限。 例如 tillman@EXAMPLE.ORG 可能需要访问本地的 webdevelopers 用户帐号。 其它 principal 可能也会需要访问这个本地帐号。 用户 home 目录中的 .k5login 和 .k5users 这两个文件可以配合 .hosts 和 .rhosts 来有效地解决这个问题。 例如， 如果 .k5login 中有如下内容： tillman@example.org jdoe@example.org 并放到了本地用户 webdevelopers 的 home 目录中， 则列出的两个 principals 都可以使用那个帐号， 而无须共享口令。 建议您在开始实施之前首先阅读这些命令的联机帮助。 特别地， ksu 的联机手册包括了 .k5users 的相关内容。 <application>Kerberos</application> 提示、技巧和故障排除 Kerberos5 故障排除 当使用 Heimdal 或 MIT Kerberos ports 时， 需要确认 PATH 环境变量把 Kerberos 客户应用列在系统自带的版本之前。 同一领域内的所有计算机的时间设置是否同步？ 如果不是的话， 则身份验证可能会失败。 描述了如何使用 NTP 来同步时钟。 MIT 和 Heimdal 能够很好地互操作。 一个例外是 kadmin， 因为这个协议没有被标准化。 如果您改变了主机名， 您还需要修改您的 host/ principal 并更新 keytab。 这一规律也适用于类似 Apache 的 www/mod_auth_kerb 所使用的 www/ principal 这样的特殊 keytab 项。 您的领域中的每一台主机必须在 DNS (或至少在 /etc/hosts 中) 可以解析 (同时包括正向和反向)。 CNAME 能够正常使用， 但必须有正确的对应 A 和 PTR 记录。 此时给出的错误信息可能很让人困惑： Kerberos5 refuses authentication because Read req failed: Key table entry not found。 某些作为客户使用您的 KDC 的操作系统可能没有将 ksu 设置为 setuid root 的权限。 这意味着 ksu 将不能够正常工作， 从安全角度说这是一个不错的主意， 但可能令人烦恼。 这类问题并不是 KDC 的错误。 使用 MIT Kerberos 时， 如果希望允许一个 principal 拥有超过默认的十小时有效期的 ticket 则必须使用 kadmin 中的 modify_principal 来修改 principal 本身以及 krbtgt 的 maxlife(最大有效期)。 此后， principal 可以使用 kinit 的 -l 参数来请求一个有更长有效期的 ticket。 如果在 KDC 上运行了听包程序， 并在工作站上执行 kinit， 您可能会注意到 TGT 是在 kinit 一开始执行的时候就发出了的 — 甚至在您输入口令之前！ 关于这个现象的解释是 Kerberos 服务器可以无限制地收发 TGT (Ticket Granting Ticket) 给任何未经授权的请求； 但是， 每一个 TGT 都是使用用户的口令派生出来的密钥进行加密的。 因此， 当用户输入口令时它并不会发送给 KDC， 而是直接用于解密 kinit 所拿到的 TGT。 如果解密过程得到了一个包含合法的时间戳的有效 ticket， 则说明用户的 Kerberos 凭据有效。 这些凭据包含了一个会话密钥用以在随后建立 Kerberos 服务器的加密通讯， 传递由服务器自己的私钥加密的实际的 ticket-granting ticket。 这个第二层加密对于用户来说是看不到的， 但它使得 Kerberos 服务器能够验证每一个 TGT 的真实性。 如果需要有效期更长的 ticket (例如一周) 而且您使用 OpenSSH 连接保存您的 ticket 的机器， 请确认 sshd_config 中的 Kerberos 被设置为 no 否则在注销时会自动删除所有的 ticket。 切记主机的 principals 的 ticket 有效期一定要比用户的长。 如果您的用户 principal 的有效期是一周， 而所连接的主机的有效期是九个小时， 则缓存的主机 principal 将先行过期， 结果是 ticket 缓存无法正常工作。 当配置 krb5.dict 文件来防止使用特定的简单口令 (kadmind 的联机手册中简要介绍了它)， 请切记只有指定了口令策略的 principals 才会使用它们。 krb5.dict 文件的格式很简单： 每个串占一行。 创建一个到 /usr/share/dict/words 的符号连接会很有用。 与 <acronym>MIT</acronym> port 的区别 MIT 和 Heimdal 主要的区别在于 kadmin 程序使用不同 (尽管等价) 的命令和协议。 如果您的 KDC 是 MIT 的， 则其影响是不能使用 Heimdal 的 kadmin 程序来远程管理 KDC (或相反)。 完成同样工作的命令可能会有些许的不同。 推荐按照 MIT Kerberos 的网站 () 上的说明来操作。 请小心关于路径的问题， MIT port 会默认安装到 /usr/local/， 您因此可能会执行 普通的 系统应用程序而非 MIT, 如果您的 PATH 环境变量把 把系统目录放在前面的话。 如果使用 &os; 提供的 MIT security/krb5 port， 一定要仔细阅读 port 所安装的 /usr/local/share/doc/krb5/README.FreeBSD， 如果您想知道为什么通过 telnetd 和 klogind 登录时会出现一些诡异的现象的话。 最重要地， incorrect permissions on cache file(缓存文件权限不正确) 行为需要使用 login.krb5 来进行验证， 才能够正确地修改转发凭据的属主。 除此之外， 还应修改 rc.conf 并加入下列配置： kerberos5_server="/usr/local/sbin/krb5kdc" kadmind5_server="/usr/local/sbin/kadmind" kerberos5_server_enable="YES" kadmind5_server_enable="YES" 这样做的原因是， MIT kerberos 会将可执行文件装到 /usr/local 之下。 缓解 <application>Kerberos</application> 的限制 Kerberos5 限制和不足 <application>Kerberos</application> 是一种 all-or-nothing 方式 在网络上启用的每个服务都必须进行修改以便让其能够配合 Kerberos 工作 (否则就只能使用其它方法来保护它们不受网络攻击的侵害)， 如果不是这样， 则用户的凭据就有可能被窃取并再次使用。 一个例子是对所有的远程 shell (例如通过 rsh 和 telnet) 启用了 Kerberos 但没有将使用明文验证的 POP3 邮件服务器 Kerberos化。 <application>Kerberos</application> 是为单用户工作站设计的 在多用户环境中 Kerberos 的安全性会被削弱。 这是因为它把 ticket 保存到 /tmp 目录中， 而这个目录可以被任何用户读取。 如果有用户与其它人同时共享一台计算机 (也就是 multi-user)， 则这个用户的 ticket 就可能被其它用户窃取 (复制)。 可以通过使用 -c 文件名 这样的命令行选项， 或者(推荐的)改变 KRB5CCNAME 环境变量来避免这个问题， 但很少有人这么做。原则上， 将 ticket 保存到用户的 home 目录并简单地设置权限就能够缓解这个问题。 KDC 会成为单点崩溃故障点 根据设计， KDC 必须是安全的， 因为主密码数据库保存在它上面。 决不应该在 KDC上面运行其它服务， 而且还应确保它的物理安全。 由于 Kerberos 使用同一个密钥 (传说中的那个 主 密钥) 来加密所有的密码， 而将这个文件保存在 KDC， 因此其安全尤为重要 不过， 主密钥的泄露并没有想象中的那么可怕。 主密钥只用来加密 Kerberos 数据库以及产生随机数发生器的种子。 只要 KDC 是安全的， 即使攻击者拿到了主密钥也做不了什么。 另外， 如果 KDC 不可用 (例如由于拒绝服务攻击或网络故障) 则网络服务将由于验证服务无法进行而不能使用， 从而导致更大范围的拒绝服务攻击。 通过部署多个 KDC (一个主服务器， 配合一个或多个从服务器) 并采用经过仔细设计和实现的备用验证方式可以避免这种问题 (PAM 是一个不错的选择)。 <application>Kerberos</application> 的不足 Kerberos 允许用户、主机和服务之间进行相互认证。 但它并没有提供机制来向用户、主机或服务验证 KDC。 这意味着种过木马的程序，例如 kinit 有可能记录用户所有的用户名和密码。 尽管如此， 可以用类似 security/tripwire 这样的文件系统完整性检查工具来避免此类情况的发生。 相关资源和其它资料 Kerberos5 外部资源 The Kerberos FAQ Designing an Authentication System: a Dialog in Four Scenes RFC 1510, The Kerberos Network Authentication Service (V5) MIT Kerberos home page Heimdal Kerberos home page Tom Rhodes 作者 OpenSSL 安全 OpenSSL 许多用户可能并没有注意到 &os; 所附带的 OpenSSL 工具包的功能。 OpenSSL 提供了建立在普通的通讯层基础上的加密传输层； 这些功能为许多网络应用和服务程序所广泛使用。 对 OpenSSL 的一些常见用法包括加密邮件客户的身份验证过程， 基于 Web 的交易如信用卡等等。 许多 ports 如 www/apache13-ssl， 以及 mail/sylpheed-claws 等等都提供了编译进 OpenSSL 支持的方法。 绝大多数情况下 Ports Collection 会试图使用 security/openssl 除非明确地将 WITH_OPENSSL_BASE make 变量设置为 yes。 &os; 中附带的 OpenSSL 版本能够支持 安全套接字层 v2/v3 (SSLv2/SSLv3) 和 安全传输层 v1 (TLSv1) 三种网络协议， 并可作为通用的密码学函数库使用。 尽管 OpenSSL 支持 IDEA 算法， 但由于美国专利， 它在默认情况下是不编译的。 如果想使用它， 请查阅相应的授权， 如果认为授权可以接受， 则可以在 make.conf 中设置 MAKE_IDEA。 为应用软件提供证书是 OpenSSL 最为常用的功能之一。 证书是一种能够确保公司或个人有效身份不被伪造的凭据。 如果证书没有被众多 权威发证机构， 或 CA 中的某一个确认， 则会产生一个警告。 权威发证机构通常是一家公司， 例如 VeriSign， 它能够通过签署来证明个人或公司证书的有效性。 这个过程是需要付费的， 当然， 这不是使用证书的必要条件； 然而， 这样做会让那些比较偏执的用户感到轻松。 生成证书 OpenSSL 生成证书 为了生成证书， 需要使用下面的命令： &prompt.root; openssl req -new -nodes -out req.pem -keyout cert.pem Generating a 1024 bit RSA private key ................++++++ .......................................++++++ writing new private key to 'cert.pem' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:PA Locality Name (eg, city) []:Pittsburgh Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company Organizational Unit Name (eg, section) []:Systems Administrator Common Name (eg, YOUR name) []:localhost.example.org Email Address []:trhodes@FreeBSD.org Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:SOME PASSWORD An optional company name []:Another Name 请注意， 在 Common Name 提示后面我们输入的是一个域名。 这个提示要求输入服务器的名字， 这个名字今后将用于完成验证过程； 如果在这里输入域名以外的内容， 那么证书也就失去其意义了。 您还可以指定一些其他的选项， 比如证书的有效期， 以及使用的加密算法等等。 这些选项的完整列表， 可以在 &man.openssl.1; 联机手册中找到。 在您执行前述命令的目录中将生成两个文件。 证书申请， 即 req.pem， 可以发给一家发证机构， 它将验证您输入的凭据的真实性， 并对申请进行签名， 再把证书返还给您。 第二个文件的名字将是 cert.pem， 它包含了证书的私钥， 应被全力保护； 如果它落入别人手中， 则可以被用来伪造您 (或您的服务器)。 如果不需要来自 CA 的签名， 也可以创建自行签名的证书。 首先， 需要生成 RSA 密钥： &prompt.root; openssl dsaparam -rand -genkey -out myRSA.key 1024 接下来， 生成 CA 密钥： &prompt.root; openssl gendsa -des3 -out myca.key myRSA.key 然后用这个密钥来创建证书： &prompt.root; openssl req -new -x509 -days 365 -key myca.key -out new.crt 上述步骤将在当前目录中生成两个新文件： 一个是权威发证机构的签名文件， myca.key； 另一个是证书本身， new.crt。 这些文件应该放到同一个目录中， 一般而言， 推荐放到 /etc， 并且只允许 root 读取。 建议把权限设置为 0700， 这可以通过 chmod 工具来完成。 使用证书的一个例子 那么有了这些文件可以做些什么呢？ 一个比较典型的用法是用来加密 Sendmail MTA 的通讯连接。 这可以解决用户通过本地 MTA 发送邮件时使用明文进行身份验证的问题。 这个用法可能并不完美， 因为某些 MUA 会由于没有在本地安装证书而向用户发出警告。 请参考那些软件的说明了解关于安装证书的信息。 下面的设置应添加到本地的 .mc 文件 dnl SSL Options define(`confCACERT_PATH',`/etc/certs')dnl define(`confCACERT',`/etc/certs/new.crt')dnl define(`confSERVER_CERT',`/etc/certs/new.crt')dnl define(`confSERVER_KEY',`/etc/certs/myca.key')dnl define(`confTLS_SRV_OPTIONS', `V')dnl 这里， /etc/certs/ 是准备用来在本地保存证书和密钥的位置。 最后， 需要重新生成本地的 .cf 文件。 这一工作可以简单地通过在 /etc/mail 目录中执行 make install 来完成。 接下来， 可以使用 make restart 来重新启动 Sendmail 服务程序。 如果一切正常的话， 在 /var/log/maillog 中就不会出现错误提示， Sendmail 也应该出现在进程列表中。 做一个简单的测试， 使用 &man.telnet.1; 来连接邮件服务器： &prompt.root; telnet example.com 25 Trying 192.0.34.166... Connected to example.com. Escape character is '^]'. 220 example.com ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT) ehlo example.com 250-example.com Hello example.com [192.0.34.166], pleased to meet you 250-ENHANCEDSTATUSCODES 250-PIPELINING 250-8BITMIME 250-SIZE 250-DSN 250-ETRN 250-AUTH LOGIN PLAIN 250-STARTTLS 250-DELIVERBY 250 HELP quit 221 2.0.0 example.com closing connection Connection closed by foreign host. 如果输出中出现了 STARTTLS 则说明一切正常。 Nik Clayton
nik@FreeBSD.org
 撰写者 IPsec IPsec 上的 VPN 使用 FreeBSD 网关在两个被 Internet 分开的网络之间架设 VPN。 Hiten M. Pandya
hmp@FreeBSD.org
 撰写者 理解 IPsec 这一节将指导您完成架设 IPsec， 并在一个包含了 FreeBSD 和 µsoft.windows; 2000/XP 机器的网络中使用它来进行安全的通讯的全过程。 为了配置 IPsec， 您应当熟悉如何编译一个定制的内核的一些概念 (参见 )。 IPsec 是一种建立在 Internet 协议 (IP) 层之上的协议。 它能够让两个或更多主机以安全的方式来通讯 (并因此而得名)。 FreeBSD IPsec 网络协议栈 基于 KAME 的实现， 它支持两种协议族， IPv4 和 IPv6。 FreeBSD 包括了采用 硬件加速的 IPsec 协议栈， 也称作 Fast IPsec， 它来自 OpenBSD。 它能够通过 &man.crypto.4; 子系统来利用加密硬件 (只要可能) 优化 IPSec 的性能。 这个子系统是新的， 暂时还不支持 KAME 版本的 IPsec 的全部功能。 此外， 为了启用硬件加速的 IPsec， 必须把下面的选项加入到内核配置中： 内核选项 FAST_IPSEC options FAST_IPSEC # new IPsec (cannot define w/ IPSEC) 需要注意的是， 目前还不能用 Fast IPsec 子系统完全替代 KAME 的 IPsec 实现。 请参见联机手册 &man.fast.ipsec.4; 以了解进一步的详情。 如果希望防火墙能够正确地跟踪到 &man.gif.4; 信道的状态， 您还需要在内核配置中启用 ： options IPSEC_FILTERGIF #filter ipsec packets from a tunnel IPsec ESP IPsec AH IPsec 包括了两个子协议： Encapsulated Security Payload (ESP), 保护 IP 包数据不被第三方介入， 通过使用对称加密算法 (例如 Blowfish、 3DES)。 Authentication Header (AH), 保护 IP 包头不被第三方介入和伪造， 通过计算校验和以及对 IP 包头的字段进行安全散列来实现。 随后是一个包含了散列值的附加头， 以便能够验证包。 ESP 和 AH 可以根据环境的不同， 分别或者一同使用。 VPN 虚拟专用网 VPN IPsec 既可以用来直接加密主机之间的网络通讯 (也就是 传输模式)； 也可以用来在两个子网之间建造 虚拟隧道 用于两个网络之间的安全通讯 (也就是 隧道模式)。 后一种更多的被称为是 虚拟专用网 (VPN)。 &man.ipsec.4; 联机手册提供了关于 FreeBSD 中 IPsec 子系统的详细信息。 要把 IPsec 支持放进内核， 应该在配置文件中加入下面的选项： 内核选项 IPSEC 内核选项 IPSEC_ESP options IPSEC #IP security options IPSEC_ESP #IP security (crypto; define w/ IPSEC) 内核选项 IPSEC_DEBUG 如果需要 IPsec 的调试支持， 还应增加： options IPSEC_DEBUG #debug for IP security 问题 由于对如何建立 VPN 并不存在标准， 因此 VPN 可以采用许多种不同的技术来实现， 每种技术都有其长处和弱点。 这篇文章讲展现一个具体的应用情景， 并为它设计了适合的 VPN。 情景： 两个网络都接入了 Internet， 希望像一个网络那样工作 VPN 创建 现有条件如下： 至少有两个不同的站点 每个站点都使用内部的 IP 两个站点都通过运行 FreeBSD 的网关接入 Internet。 每个网络上的网关至少有一个公网的 IP 地址。 网络的内部地址可以是公网或私有的 IP 地址， 这并不是问题。 如果需要， 还可以在网关上运行 NAT。 两个网络上的 IP 地址 不冲突。 虽然理论上可以通过 VPN 和 NAT 连用来使这种情况能够正常工作， 但那毫无疑问将是管理的噩梦。 如果您发现您正打算连接两个内网使用同一私有 IP 地址范围的网络 (例如它们都使用 192.168.1.x)， 则其中的一个必须修改网络地址。 网络的拓扑结构如下： 网络 #1 [ 内部主机 ] 私有网络，192.168.1.2-254 [ Win9x/NT/2K ] [ UNIX ] | | .---[fxp1]---. 私有 IP, 192.168.1.1 | FreeBSD | `---[fxp0]---' 公网 IP, A.B.C.D | | -=-=- Internet -=-=- | | .---[fxp0]---. 公网 IP, W.X.Y.Z | FreeBSD | `---[fxp1]---' 私有 IP, 192.168.2.1 | | 网络 #2 [ Internal Hosts ] [ Win9x/NT/2K ] 私有网络， 192.168.2.2-254 [ UNIX ] 请注意两个公网 IP 地址。 在这篇文章的其余部分我将用这些字母来表示它们。 在文章中看到这些字母的时候， 请把它们换成自己的公网 IP 地址。 另外， 在内部， 两个网关都是使用的 .1 的 IP地址， 而两个网络使用了不同的私有 IP 地址 (相应地， 192.168.1.x 和 192.168.2.x)。 所有私有网络上的机器都被配置为使用 .1 这台机器作为它们的网关。 我们希望， 从网络的观点看， 每一个网络上的机器都应该能够像在直接连接到同一路由器上一样看到对方网络上的机器 -- 尽管可能比路由器略慢一些， 并且有时会有丢包的现象。 这意味着 (举例来说)， 主机 192.168.1.20 应该能够运行 ping 192.168.2.34 并且这能够透明地工作。 &windows; 机器应该能够看到其他网络上的机器， 浏览文件共享， 等等， 就像在本地网络上一样。 而且这些事情必须是安全的， 也就是说两个网络之间的通讯必须加密。 在两个网络之间建立 VPN 可以分为几步。 这些步骤包括： 在两个网络之间， 通过 Internet 建立一个 虚拟的 网络连接。 使用类似 &man.ping.8; 这样的工作来验证它是否正常工作。 在两个网络之间应用安全策略以保证它们之间的通讯被透明地加密盒解密。 可以使用 &man.tcpdump.1; 或类似的工具来验证这一点。 在 FreeBSD 网关上配置其他软件， 让 &windows; 机器能够通过 VPN 看到另一个网络中的机器。 步骤 1： 建立并测试 <quote>虚拟的</quote> 网络连接 假设您目前已经登录到了网络 #1 的网关机上 (其公网 IP 地址是 A.B.C.D， 私网 IP 地址是 192.168.1.1)， 则您可以执行 ping 192.168.2.1， 这是公网 IP 为 W.X.Y.Z 的私网地址。 需要做什么实现上述功能呢? 作为网关的机器需要知道如何能够到达 192.168.2.1。 换言之， 它需要一条通往 192.168.2.1 的路由。 私网 IP 地址， 例如 192.168.x 这样的地址是不应在 Internet 上面大量出现的。 于此相反， 发送到 192.168.2.1 的数据包将会封装到另外的包中。 这样的包对外展现的应该是来自 A.B.C.D， 并被发到 W.X.Y.Z 去。 这个过程称为 封装。 一旦包到达了 W.X.Y.Z 就需要对其 拆封， 并传递给 192.168.2.1。 可以把上述过程理解为在两个网络间建立了一个 隧道。 两个 隧道口 是 IP 地址 A.B.C.D 和 W.X.Y.Z， 而隧道必须被告知哪些私有地址可以自由地在其中通过。 隧道被用来在公共的 Internet 上传递私有的 IP 数据。 在 FreeBSD 上， 隧道可以通过一般的网络接口， 或 gif 来建立。 您也许已经猜到了， 每一台网关机的 gif 接口需要配置四个 IP 地址； 两个是公网 IP 地址， 另两个则是私网 IP 地址。 对于 gif 设备的支持必须在两台网关机上编译进 &os; 内核。 可以通过添加下面的设置来达到目的： device gif 到两边的内核配置文件中， 并重新编译、 安装和启动它们。 配置隧道可以分为两步来完成。 首先隧道必须被告知外部的 (或公网的) IP 地址， 可以通过 &man.ifconfig.8; 来完成这步。 私网 IP 地址则必须使用 &man.ifconfig.8; 来配置。 在网络 #1 的网关机上可以通过下面的这些命令来配置隧道。 &prompt.root; ifconfig gif0 create &prompt.root; ifconfig gif0 tunnel A.B.C.D W.X.Y.Z &prompt.root; ifconfig gif0 inet 192.168.1.1 192.168.2.1 netmask 0xffffffff 在另一台网关上也需要执行同样的命令， 但 IP 地址的顺序相反。 &prompt.root; ifconfig gif0 create &prompt.root; ifconfig gif0 tunnel W.X.Y.Z A.B.C.D &prompt.root; ifconfig gif0 inet 192.168.2.1 192.168.1.1 netmask 0xffffffff 随后执行： ifconfig gif0 可以查看当前的配置情况。 例如， 在网络 #1 的网关上您应该能够看到： &prompt.root; ifconfig gif0 gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1280 tunnel inet A.B.C.D --> W.X.Y.Z inet 192.168.1.1 --> 192.168.2.1 netmask 0xffffffff 如您所见， 虽然到已经在物理地址 A.B.C.D 和 W.X.Y.Z 之间建立起来， 而允许通过隧道的地址则是 192.168.1.1 到 192.168.2.1 这个范围。 这同时会在两边机器的路由表中加入一项， 可以通过 netstat -rn 来观察。 来自网络 #1的网关机的输出如下。 &prompt.root; netstat -rn Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire ... 192.168.2.1 192.168.1.1 UH 0 0 gif0 ... 正如 Flags 的值所显示的那样， 这是一个主机路由， 这意味着每一个网关都知道如何到达另一端的网关， 但它们现在还不知道如何到达对方的网络。 我们接下来立刻解决这个问题。 您很可能在两台机器上都在运行防火墙。 这需要作一些变动， 以便适应 VPN 的需要。 一般来说会希望两个网络相互传递数据包， 或者通过防火墙来隔离两边的危险。 如果您将防火墙配置为允许两边的网络传输通过， 则测试工作会简单不少。 随后您可以随时将限制变得更严格一些。 假如您在网关上使用 &man.ipfw.8; 则下面的命令 ipfw add 1 allow ip from any to any via gif0 将允许两端点的 VPN 数据通过， 而不影响其他防火墙策略。 很显然， 您需要在两个网关上都执行上述命令。 现在已经可以让两台机器相互 ping 了。 在 192.168.1.1 您应该能够正常执行 ping 192.168.2.1 并得到回应。 对于另一台网关来说也是一样。 然而， 到目前为止仍然还无法连上另一网络上的内部主机。 原因是路由 -- 尽管网关机知道如何到达对方那里， 但它们都不知道如何到达对方后面的网络。 要解决这个问题， 就必须在两边都添加一条静态路由。 可以在第一台网关上执行： route add 192.168.2.0 192.168.2.1 netmask 0xffffff00 这相当于是说 为了到达 192.168.2.0 子网的机器， 需要把包发给 192.168.2.1。 您需要在另一个网关上也执行类似的命令， 但使用 192.168.1.x 的地址。 来自一个网络上的 IP 访问现在能够抵达对面的网络了。 在两个网络之间建立 VPN 的过程已经完成了三分之二， 它现在已经是 虚拟的 网络， 然而它还不够专用。 您可以使用 &man.ping.8; 和 &man.tcpdump.1; 来进行测试， 并记录两边收发的数据包 tcpdump dst host 192.168.2.1 接下来登录到本机的另一个会话 ping 192.168.2.1 您将在输出中发现 16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo reply - + 如您所见， ICMP 消息在收发的过程中都没有加密。 如果使用了 参数来运行 &man.tcpdump.1;， 甚至可以得到包中的更多信息以及其中的数据。 - + 很明显这是不能接受的。 下一节将讨论如何让两个网络之间的连接更安全， 这件事是通过对通讯实施加密来完成的。 - + 小结： 在两边的内核中配置 device gif。 编辑网关 #1 上的 /etc/rc.conf 并将下面的行添加进去 (根据需要改 IP )。 gif_interfaces="gif0" gifconfig_gif0="A.B.C.D W.X.Y.Z" ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff" static_routes="vpn" route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00" 在两台机器上编辑防火墙脚本 (/etc/rc.firewall， 或类似的名字) 在其中加入 ipfw add 1 allow ip from any to any via gif0 在网络 #2 的网关机上也对 /etc/rc.conf 做同样的修改， 注意把 IP 地址倒过来。 步骤 2： 对连接实施安全加固 为了加密连接通讯将用到 IPsec。 IPsec 提供了一种机制， 使得两台主机协商一个加密密钥， 并使用它加密之间的通讯。 在配置时有两个地方需要考虑。 必须有能够让两台主机协商所采用的加密方式的机制。 一旦双方确认了这机制， 则称他们之间建立了 安全关联。 必须采用某种机制来指定哪些通讯需要加密。 很明显地， 通常并不需要所有的发出数据都被加密 -- 一般只需要加密在 VPN 上传输的那些数据。 这类决定哪些数据被加密的规则被称为 安全策略。 安全关联和安全策略都是由内核来维护的， 并可以通过用户态的程序来修改。 在能够这样做之前， 首先需要配置内核来让它支持 IPsec 和安全载荷封装 (ESP) 协议。 配置下面的内核选项 内核选项 IPSEC options IPSEC options IPSEC_ESP 然后重新编译、 安装最后重新启动新的内核。 在继续进行设置之前， 您需要在两台网关上都进行同样的设置。 IKE 在建立安全关联时有两种选择。 一种方法是完全手工地在两台主机之间选择加密算法、 密钥等等， 另一种方法是使用实现了 Internet 密钥交换协议 (IKE) 的服务程序来帮您完成这些任务。 我们推荐后者。 不说别的， 它配置起来要容易得多。 IPsec security policies setkey 用 &man.setkey.8; 可以编辑和显示安全策略。 打个比方， setkey 之于内核的安全策略表， 就相当于 &man.route.8; 之于内核中的路由表。 setkey 还可以显示当前的安全关联， 这一点和 netstat -r 类似。 在 FreeBSD 上可供选择的用于管理安全关联的服务程序有很多。 这篇文章将介绍其中的一种， racoon —。 它可以从 &os; 的 Ports collection 中的 security/ipsec-tools 安装。 racoon racoon 软件， 必须在两台网关机上都运行。 需要配置 VPN 另一端的 IP， 以及一个密钥 (这个密钥可以任意选择， 但两个网关上的密钥必须一致)。 两端的服务程序将相互通讯， 并确认它们各自的身份 (使用刚刚配置的密钥) 然后服务程序将生成一个新的密钥， 并用它来加密 VPN 上的数据通讯。 它们定期地改变密钥， 因此即使供给者破解了一个密钥 (虽然这在理论上并不十分可行) 他也得不到什么 -- 破解密钥的时候， 已经产生一组新的密钥了。 racoon 的配置文件是存放在 ${PREFIX}/etc/racoon 目录中的。 在那里应该能够找到一个配置文件， 不需要修改太多的设置。 raccon 配置的另一部分， 也就是需要修改的内容， 是 预先配置的共享密钥。 默认的 racoon 配置应该可以在 ${PREFIX}/etc/racoon/psk.txt 这个文件中找到。 需要强调的是， 这个密钥 并非 用于加密 VPN 连接的密钥， 他们只是密钥管理服务程序用以信任对方的一种凭据。 psk.txt 包含了需要打交道的每一个远程站点。 在本例中一共有两个站点， 每一个 psk.txt 都只有一行 (因为每个 VPN 接入点都只和一个端点连接)。 在网关机 #1 上应该是： W.X.Y.Z secret 这包括了远程站点的 公网 IP 地址， 空格， 以及提供秘密的字符串。 很明显不应使用 secret 作为实际的密钥 -- 通常的口令选择策略在这里也适用。 在网关 #2 上对应的配置是 A.B.C.D secret 也就是说， 对面端的公网 IP 地址， 以及同样的密钥。 psk.txt 的权限必须是 0600 (也就是说， 只有 root 能够读写) 否则 racoon 将不能运行。 两边的机器上都必须执行 racoon。 另外， 还需要增加一些防火墙规则来允许 IKE 通讯通过， 它是通过 UDP 在 ISAKMP (Internet 安全关联密钥管理协议) 端口上运行的协议。 再次强调， 这个规则应该在规则集尽可能早的位置出现。 ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp 一旦 racoon 开始运行， 就可以开始测试让网关进行相互的 ping 了。 此时连接还没有进行加密， 但 racoon 将在两个主机之间建立安全关联 -- 这可能需要一段时间， 对您来说， 具体的现象则是在 ping 命令开始响应之前会有短暂的延迟。 一旦安全关联建立之后， 就可以使用 &man.setkey.8； 来查看它了。 在两边的网关上执行 setkey -D - + 就可以看到安全关联的相关信息了。 - + 现在只完成了一半的工作。 另一半是设置安全策略。 - + 想要完成一个有判断力的安全策略， 首先要看我们已经完成的步骤。 接下来的讨论针对连接的两端。 - + 您所发出的每一个 IP 包都包括一个包头， 其内容是和这个包有关的描述性数据。 包头包括了包的来源和目的的 IP 地址。 正如我们所了解的那样， 私有 IP 地址， 例如 192.168.x.y 这样的地址范围， 不应该出现在 Internet 的公网上。 于此相反， 他们必须首先封装到别的包中。 包的来源或目的如果是私有 IP 地址， 则必须替换成公网 IP 地址。 - + 因此如果发出的包类似下面这样： - + .-------------------. | Src: 192.168.1.1 | | Dst: 192.168.2.1 | | <其他头信息 > | +-------------------+ | <包数据 > | `-------------------' 随后它将被封装进另一个包中， 像下面这样： .--------------------------. | Src: A.B.C.D | | Dst: W.X.Y.Z | | <附加头信息 > | +--------------------------+ | .----------------------. | | | Src: 192.168.1.1 | | | | Dst: 192.168.2.1 | | | | <附加头信息 > | | | +----------------------+ | | | <包数据 > | | | `----------------------' | `--------------------------' 封装过程是在 gif 设备上完成的。 如上图所示， 包现在有了外部的实际 IP 地址， 而原始的包则被封装到里面作为数据。 这个包将通过 Internet 传递。 很明显地， 我们希望 VPN 之间的通讯是加密的。 用于言来描述大致是： 如果包从 A.B.C.D 发出且其目的地是 W.X.Y.Z， 则通过必要的安全关联进行加密。 如果包来自 W.X.Y.Z 且其目的地是 A.B.C.D， 则通过必要的安全关联进行解密。 这已经很接近了， 但还不够正确。 如果这么做的话， 所有来自和发到 W.X.Y.Z 的包， 无论是否属于 VPN 通讯都会被加密。 这可能并不是您所希望的， 因此正确的安全策略应该是 如果包从 A.B.C.D 发出， 且封装了其他的包， 其目的地是 W.X.Y.Z， 则通过必要的安全关联进行加密。 如果包来自 W.X.Y.Z， 且封装了其他的包， 其目的地是 A.B.C.D， 则通过必要的安全关联进行解密。 一个很小， 但却必要的改动。 安全策略也是通过 &man.setkey.8; 设置的。 &man.setkey.8; 提供了一种用于配置策略的语言。 可以直接在 stdin 上输入策略， 或通过 选项来指定一个包含配置命令的文件。 网关 #1 上的配置 (其 IP 地址是 A.B.C.D) 强制将所有到 W.X.Y.Z 的通讯进行加密的配置是： spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 把这些命令放到一个文件 (例如 /etc/ipsec.conf) 然后执行 &prompt.root; setkey -f /etc/ipsec.conf 会告诉 &man.setkey.8; 我们希望把规则加入到安全策略数据库中。 命令的其它部分指定了什么样的包能够匹配这规则。 A.B.C.D/32 和 W.X.Y.Z/32 是用于指定规则能够匹配的网络或主机的 IP 地址和掩码。 本例中， 希望应用到两个主机之间的通讯上。 则告诉内核这规则只应被用于封装其他包的那些数据包。 表示策略是针对发出的包的， 而 则表示需要对数据包进行加密。 第二行指定了如何加密。 是将要使用的协议， 而 则表示包应该进一步封装进一个 IPsec 包里面。 反复使用 A.B.C.D 和 W.X.Y.Z 用来选择所用的安全关联 而最后的 则强制所有匹配这规则的包都被加密。 上面的规则只匹配了发出的包。 接下来需要配置类似的匹配进入包的规则。 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; 请注意本例中 代替了 并且 IP 地址的顺序也相反。 在另一个网关上 (其公网 IP 地址是 W.X.Y.Z) 也需要类似的规则。 spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 最后是添加允许 ESP 和 IPENCAP 包进出的防火墙规则。 这些规则需要在两边分别设置。 ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D 由于规则的对称性， 因此可以在两台网关上使用同样的规则。 发出的包如下图所示： .------------------------------. --------------------------. | Src: A.B.C.D | | | Dst: W.X.Y.Z | | | <other header info> | | Encrypted +------------------------------+ | packet. | .--------------------------. | -------------. | contents | | Src: A.B.C.D | | | | are | | Dst: W.X.Y.Z | | | | completely | | <other header info> | | | |- secure | +--------------------------+ | | Encap'd | from third | | .----------------------. | | -. | packet | party | | | Src: 192.168.1.1 | | | | Original |- with real | snooping | | | Dst: 192.168.2.1 | | | | packet, | IP addr | | | | <other header info> | | | |- private | | | | +----------------------+ | | | IP addr | | | | | <packet data> | | | | | | | | `----------------------' | | -' | | | `--------------------------' | -------------' | `------------------------------' --------------------------' 当 VPN 数据被远端接到时， 它将首先被解密 (使用 racoon 协商得到的安全关联)。 然后它们将进入 gif 接口， 并在那里展开第二层， 直到只剩下最里层的包， 并将其转发到内网上。 可以通过与之前同样的 &man.ping.8; 命令来测试安全性。 首先登录到 A.B.C.D 网关上并执行： tcpdump dst host 192.168.2.1 在同一主机上登录另一会话， 执行 ping 192.168.2.1 此时的输出应该是： XXX tcpdump output 如您看到的， &man.tcpdump.1; 给出的将是 ESP 包。 假如您想查看它们的内容可以使用 option 选项， 您将 (显然地) 看到一些乱码， 因为传输过程实施了加密。 祝贺您。 您已经完成了两个远程站点之间的 VPN 的架设工作。 小结 将两边的内核配置加入： options IPSEC options IPSEC_ESP 安装 security/ipsec-tools。 编辑两台网关上的 ${PREFIX}/etc/racoon/psk.txt 并添加远程主机的 IP 和共享的密钥。 文件的权限应该是 0600。 将下面的设置加入两台主机的 /etc/rc.conf 中： ipsec_enable="YES" ipsec_file="/etc/ipsec.conf" 在两个网关上都建立 /etc/ipsec.conf 并添加必要的 spdadd。 在网关 #1 上是： spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; 在网关 #2 上则是： spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; 添加防火墙规则以允许 IKE, ESP, 和 IPENCAP 通讯能够到达各自的主机： ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D 前面的两步应该足以让 VPN 运转起来了。 两个网络上的机器都应该能通过 IP 来访问对方， 而所有的通讯都被自动地进行加密。 Chern Lee 原著 OpenSSH OpenSSH 安全 OpenSSH OpenSSH 是一组用于安全地访问远程计算机的连接工具。 它可以作为 rlogin、 rsh rcp 以及 telnet 的直接替代品使用。 更进一步， 其他任何 TCP/IP 连接都可以通过 SSH 安全地进行隧道/转发。 OpenSSH 对所有的传输进行加密， 从而有效地阻止了窃听、 连接劫持， 以及其他网络级的攻击。 OpenSSH 由 OpenBSD project 维护， 它基于 SSH v1.2.12 并包含了最新的错误修复和更新。 它同时兼容 SSH 协议的 1 和 2 两个版本。 使用 OpenSSH 的好处 通常，当使用 &man.telnet.1; 或 &man.rlogin.1; 时， 数据是以明码的形式发送的，并没有加密。 在客户机和服务器之间的网络上运行的听包程序可以在会话中偷窃到传输的用户名/密码和数据。 OpenSSH 提供了多种的身份验证和加密方法来防止这种情况的发生。 启用 sshd OpenSSH 启用 sshd 的启用是作为 &os; 安装中 Standard 安装过程中的一步来进行的。 要查看 sshd 是否已被启用， 请检查 rc.conf 文件中的： sshd_enable="YES" 这表示在下次系统启动时加载 OpenSSH 的服务程序 &man.sshd.8;。 此外， 也可以手动使用 &man.rc.8; 脚本 /etc/rc.d/sshd 来启动 OpenSSH： /etc/rc.d/sshd start SSH 客户 OpenSSH 客户 &man.ssh.1; 的工作方式和 &man.rlogin.1; 非常类似。 &prompt.root; ssh user@example.com Host key not found from the list of known hosts. Are you sure you want to continue connecting (yes/no)? yes Host 'example.com' added to the list of known hosts. user@example.com's password: ******* 登录过程和使用 rlogin 或 telnet 建立的会话非常类似。 在连接时， SSH 会利用一个密钥指纹系统来验证服务器的真实性。 只有在第一次连接时， 用户会被要求输入 yes。 之后的连接将会验证预先保存下来的密钥指纹。 如果保存的指纹与登录时接收到的不符， 则将会给出警告。 指纹保存在 ~/.ssh/known_hosts 中， 对于 SSH v2 指纹， 则是 ~/.ssh/known_hosts2。 默认情况下， 较新版本的 OpenSSH 只接受 SSH v2 连接。 如果能用版本 2 则客户程序会自动使用， 否则它会返回使用版本 1 的模式。 此外， 也可以通过命令行参数 或 来相应地强制使用版本 1 或 2。 保持客户端的版本 1 能力是为了考虑较早版本的兼容性。 安全复制 OpenSSH 安全复制 scp &man.scp.1; 命令和 &man.rcp.1;; 的用法类似， 它用于将文件复制到远程的机器上， 或复制过来， 区别是它是安全的。 &prompt.root; scp user@example.com:/COPYRIGHT COPYRIGHT user@example.com's password: ******* COPYRIGHT 100% |*****************************| 4735 00:00 &prompt.root; 由于先前的例子中已经保存了指纹， 使用 &man.scp.1; 时会自动地加以验证。 &man.scp.1; 使用的参数同 &man.cp.1; 类似。 第一个参数是一个或一组文件， 然后是复制的目标。 由于文件是通过 SSH 在网上传递的， 因此某些文件的名字需要写成 。 配置 OpenSSH 配置 针对 OpenSSH 服务程序和客户端的系统级配置文件在 /etc/ssh 目录中。 ssh_config 用于配置客户端的设定， 而 sshd_config 则用于配置服务器端。 另外 (默认是 /usr/sbin/sshd)， 以及 这两个 rc.conf 选项提供了更多的配置选择。 ssh-keygen 用于取代口令的一种方法是使用 &man.ssh-keygen.1; 来生成 DSA 或 RSA 密钥对用于验证用户的身份： &prompt.user; ssh-keygen -t dsa Generating public/private dsa key pair. Enter file in which to save the key (/home/user/.ssh/id_dsa): Created directory '/home/user/.ssh'. Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/user/.ssh/id_dsa. Your public key has been saved in /home/user/.ssh/id_dsa.pub. The key fingerprint is: bb:48:db:f2:93:57:80:b6:aa:bc:f5:d5:ba:8f:79:17 user@host.example.com &man.ssh-keygen.1; 会生成一个包含公私钥对用于验证身份。 私钥将保存到 ~/.ssh/id_dsa 或 ~/.ssh/id_rsa， 而公钥则被存放到 ~/.ssh/id_dsa.pub 或 ~/.ssh/id_rsa.pub， 文件名取决于您选择的 DSA 和 RSA 密钥类型。 公钥必须被存放到远程机器上的 ~/.ssh/authorized_keys 才能够使系统正确运转。 类似地， 第 1 版的 RSA 公钥应存放到 ~/.ssh/authorized_keys。 这将允许从远程连接时以基于 SSH 密钥的验证来代替口令验证。 如果在 &man.ssh-keygen.1; 中使用了通行字， 则每次使用私钥时都需要输入它。 &man.ssh-agent.1; 能够缓解多次输入长通行字的压力， 并将在接下来的 予以详述。 选项和配置文件可能随 OpenSSH 的版本不同而不同； 为了避免出现问题， 您应参考 &man.ssh-keygen.1; 联机手册。 ssh-agent 和 ssh-add &man.ssh-agent.1; 和 &man.ssh-add.1; 这两个工具， 提供了一种将 SSH 秘钥加载到内存中以便使用， 而不必每次都输入通行字的方法。 &man.ssh-agent.1; 工具能够使用加载到其中的私钥来处理验证过程。 &man.ssh-agent.1; 应被用于启动另一个应用程序。 最基本的用法是， 使用它来启动 shell， 而高级一些的用法则是用它来启动窗口管理器。 要在 shell 中使用 &man.ssh-agent.1;， 首先应把 shell 作为参数来启动它。 随后， 应通过 &man.ssh-add.1; 并输入通行字， 来向它提供身份验证信息。 一旦这些步骤都做完了， 用户就应该能够 &man.ssh.1; 到任何一个安装了对应公钥的机器了。 例如： &prompt.user; ssh-agent csh &prompt.user; ssh-add Enter passphrase for /home/user/.ssh/id_dsa: Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) &prompt.user; 要在 X11 中使用 &man.ssh-agent.1;， 调用 &man.ssh-agent.1; 的过程应置于 ~/.xinitrc 之中。 这将把 &man.ssh-agent.1; 服务提供给所有在 X11 中运行的程序。 下面是一个 ~/.xinitrc 文件的实例： exec ssh-agent startxfce4 这将启动 &man.ssh-agent.1;， 而后者将在每次 X11 启动时运行 XFCE。 作完这些之后就可以重启 X11 以便使修改生效。 随后您就可以运行 &man.ssh-add.1; 来加载全部 SSH 密钥了。 SSH 隧道 OpenSSH 隧道 OpenSSH 能够创建隧道以便用加密的会话来封装其他协议。 下面的命令告诉 &man.ssh.1; 为 telnet 创建一个隧道： &prompt.user; ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com &prompt.user; 上述 ssh 命令使用了下面这些选项： 强制 ssh 使用第2版的协议 (如果需要和较老的 SSH 一同工作请不要使用这个选项)。 表示不使用命令行， 或者说只使用隧道。 如果省略， ssh 将同时初始化会话。 强制 ssh 在后台执行。 表示产生一条 本地端口:远程主机:远程端口 形式的隧道。 远程 SSH 服务器。 SSH 隧道通过监听 localhost 上面指定端口来完成工作。 它将把本机主机/端口上接收到的连接通过 SSH 连接转发到远程主机/端口。 本例中， 位于 localhost 的 5023 端口 被用于转发 localhost 的连接到远程主机的 23 端口。 由于 23 是 telnet 使用的， 因此它将通过 SSH 隧道完成 telnet 会话。 这可以用来封装任意不安全的 TCP 协议， 例如 SMTP、 POP3、 FTP等等。 使用 SSH 为 SMTP 创建安全隧道 &prompt.user; ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com user@mailserver.example.com's password: ***** &prompt.user; telnet localhost 5025 Trying 127.0.0.1... Connected to localhost. Escape character is '^]'. 220 mailserver.example.com ESMTP 这可以与 &man.ssh-keygen.1; 以及额外的用户帐号配合来建立一个更透明的 SSH 隧道环境。 密钥可以被用在需要输入口令的地方， 而且可以为不同的用户配置不同的隧道。 实用的 SSH 通道例子 加强 POP3 服务的安全 工作时， 有一个允许外来连接的 SSH 服务器。 同一个办公网络中有一个邮件服务器提供 POP3 服务。 这个网络， 或从您家到办公室的网络可能不， 或不完全可信。 基于这样的原因， 您需要以安全的方式来查看邮件。 解决方法是创建一个到办公室 SSH 服务器的连接， 并通过这个连接来访问 POP3 服务： &prompt.user; ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com user@ssh-server.example.com's password: ****** 当这个通道连上时， 您可以把 POP3 请求发到 localhost 端口 2110。 这个连接将通过通道安全地转发到 mail.example.com。 绕过严厉的防火墙 一些大脑长包的网络管理员会使用一些极端的防火墙策略， 不仅过滤进入的连接， 而且也过滤连出的连接。 一些时候您可能只能连接远程机器 22 端口，以及 80 端口用来进行 SSH 和网页浏览。 您可能希望访问一些其它的 (也许与工作无关的) 服务， 例如提供音乐的 Ogg Vorbis 流媒体服务器。 如果 Ogg Vorbis server 在 22 或 80 端口以外的端口播放音乐， 则您将无法访问它。 解决方法是建立一个到您的网络的防火墙之外的网络上的 SSH 服务器， 并通过它提供的通道连接到 Ogg Vorbis 服务器上。 &prompt.user; ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org user@unfirewalled-system.example.org's password: ******* 现在您可以把客户程序指定到 localhost 的 8888 端口， 它将把请求转发给 music.example.com 的 8000 端口， 从而绕过防火墙。 允许用户登录 <varname>AllowUsers</varname> 选项 通常限制哪些用户能够登录， 以及从何处登录会是好主意。 采用 AllowUsers 选项能够方便地达到这一目的。 例如， 想要只允许 root 用户从 192.168.1.32 登录， 就可以在 /etc/ssh/sshd_config 文件中加入下述设置： AllowUsers root@192.168.1.32 要允许用户 admin 从任何地方登录， 则只需列出用户名： AllowUsers admin 可以在同一行指定多个用户， 例如： AllowUsers root@192.168.1.32 admin 列出需要登录机器的用户很重要； 否则他们将被锁在外面。 在完成对 /etc/ssh/sshd_config 的修改之后您必须告诉 &man.sshd.8; 重新加载其配置文件， 方法是执行： &prompt.root; /etc/rc.d/sshd reload 进一步的资料 OpenSSH &man.ssh.1; &man.scp.1; &man.ssh-keygen.1; &man.ssh-agent.1; &man.ssh-add.1; &man.ssh.config.5; &man.sshd.8; &man.sftp-server.8; &man.sshd.config.5; Tom Rhodes 作者 ACL 文件系统访问控制表 与文件系统在其他方面的加强， 如快照等一道， &os; 5.0 及更高版本提供了通过文件系统访问控制表 - (ACLs) 实现的安全机制。 + (ACL) 实现的安全机制。 访问控制表以高度兼容 (&posix;.1e) 的方式扩展了标准的 &unix; 权限模型。 这一特性使得管理员能够利用其优势设计更为复杂的安全模型。 如果想为 UFS 文件系统启用 ACL 支持， 则需要添加下列选项： options UFS_ACL - 并重新编译内核。 如果这个选项没有编译进内核， + 并重新编译内核。 如果没有将这个选项编译进内核， 则在挂接支持 ACL 的文件系统时将会收到警告。 这个选项在 GENERIC 内核中已经包含了。 ACL 依赖于在文件系统上启用扩展属性。 - 在新一代的 - &unix; file system， UFS2 中内建了这种支持。 + 在新一代的 &unix; 文件系统， + UFS2 中内建了这种支持。 在 UFS1 上配置扩展属性需要比 UFS2 更多的管理开销。 而且， 在 UFS2 上的扩展属性的性能也有极大的提高。 因此， 如果想要使用访问控制表， 推荐使用 UFS2 而不是 UFS1。 ACL 可以在挂接时通过选项 来启动， 它可以加入 /etc/fstab。 另外， 也可以通过使用 &man.tunefs.8; 修改超级块中的 ACL 标记来持久性地设置自动的挂接属性。 一般而言， 后一种方法是推荐的做法， 其原因是： 挂接时的 ACL 标记无法被重挂接 (&man.mount.8; ) 改变， 只有完整地 &man.umount.8; 并做一次新的 &man.mount.8; 才能改变它。 - 这意味着 ACLs 状态在系统启动之后就不可能在 root 文件系统上发生变化了。 + 这意味着 ACL 状态在系统启动之后就不可能在 root 文件系统上发生变化了。 另外也没有办法改变正在使用的文件系统的这个状态。 在超级块中的设置将使得文件系统总被以启用 - ACLs 的方式挂接， 即使在 + ACL 的方式挂接， 即使在 fstab 中的对应项目没有作设置， 或设备顺序发生变化时也是如此。 - 这避免了不慎将文件系统以没有启用 ACLs 的状态挂接， - 从而避免没有强制 ACLs 这样的安全问题。 + 这避免了不慎将文件系统以没有启用 ACL 的状态挂接， + 从而避免没有强制 ACL 这样的安全问题。 可以修改 ACL 行为， 以允许在没有执行一次全新的 - &man.mount.8; 的情况下启用它， 但我们认为不鼓励在不启用 - ACL 的时候这么做是有必要的， 因为如果启用了 + &man.mount.8; 的情况下启用它， 但我们认为， 不鼓励在未启用 + ACL 时这么做是有必要的， 因为如果启用了 ACL， 然后关掉它， 然后在没有刷新扩展属性的情况下重新启用它是很容易造成问题的。 - 一般而言， 一旦启用了文件系统的 ACLs 就不应该再关掉它， + 一般而言， 一旦启用了文件系统的 ACL 就不应该再关掉它， 因为此时的文件系统的保护措施可能和用户所期待的样子不再兼容， 而重新启用 ACL 将重新把先前的 ACL 附着到文件上， 而由于它们的权限发生了变化， 就很可能造成无法预期的行为。 - 在查看目录时， 启用了 ACLs 的文件将在通常的属性后面显示 + + 在查看目录时， 启用了 ACL 的文件将在通常的属性后面显示 + (加号)。 例如： drwx------ 2 robert robert 512 Dec 27 11:54 private drwxrwx---+ 2 robert robert 512 Dec 23 10:57 directory1 drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2 drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3 drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html - 这里我们看到了 directory1, + 这里我们看到了 directory1、 directory2， 以及 directory3 - 目录使用了 ACLs。 而 + 目录使用了 ACL。 而 public_html 则没有。 使用 <acronym>ACL</acronym> 文件系统 ACL 可以使用 &man.getfacl.1; 工具来查看。 例如， 如果想查看 test 的 ACL 设置， 所用的命令是： &prompt.user; getfacl test #file: #owner:1001 #group:1001 user::rw- group::r-- other::r-- 要修改这个文件上的 ACL 设置， 则需要使用 &man.setfacl.1; 工具。 例如： &prompt.user; setfacl -k test 参数将把所有当前定义的 ACL 从文件或文件系统中删除。 一般来说应该使用 因为它会保持让 ACL 正常工作的那些项不变。 &prompt.user; setfacl -m u:trhodes:rwx,group:web:r--,o::--- test 在前面的命令中， -m 选项被用来修改默认的 ACL 项。由于已经被先前的命令 删除，因此没有预先定义的项，于是默认的选项被恢复，并附加上指定的选项。 请小心地检查，如果您加入了一个不存在的用户或组，那么将会在 stdout 得到一条 Invalid argument 的错误提示。 Tom Rhodes Contributed by Portaudit 监视第三方安全问题 过去几年中， 安全领域在如何处理漏洞的评估方面取得了长足的进步。 几乎每一个操作系统都越来越多地安装和配置了第三方工具， 而系统被入侵的威胁也随之增加。 漏洞的评估是安全的一个关键因素， 尽管 &os; 会发布基本系统的安全公告， 然而为每一个第三方工具都发布安全公告则超出了 &os; Project 的能力。 在这一前提下， 一种减轻第三方漏洞的威胁， 并警告管理员存在已知的安全问题的方法也就应运而生。 名为 Portaudit 的 &os; 附加工具能够帮助您达成这一目的。 security/portaudit port 会下载一个数据库， 这一数据库是由 &os; Security Team 和 ports 开发人员维护的， 其中包含了已知的安全问题。 要开始使用 Portaudit， 需要首先从 Ports Collection 安装它： &prompt.root; cd /usr/ports/security/portaudit && make install clean 在安装过程中， &man.periodic.8; 的配置文件将被修改， 以便让 Portaudit 能够在每天的安全审计过程中运行。 一定要保证发到 root 帐号的每日安全审计邮件确实有人在读。 除此之外不需要进行更多的配置了。 安装完成之后， 管理员可以通过下面的命令来更新数据库， 并查看目前安装的软件包中所存在的已知安全漏洞： &prompt.root; portaudit -Fda 由于每天执行 &man.periodic.8; 时都会自动更新数据库， 因此， 运行这条命令是可选的。 在这里只是作为例子给出。 在任何时候， 如果希望对通过 Ports Collection 安装的第三方软件工具进行审计， 管理员都可以使用下面的命令： &prompt.root; portaudit -a 针对存在漏洞的软件包， Portaudit 将生成类似下面的输出： Affected package: cups-base-1.1.22.0_1 Type of problem: cups-base -- HPGL buffer overflow vulnerability. Reference: <http://www.FreeBSD.org/ports/portaudit/40a3bca2-6809-11d9-a9e7-0001020eed82.html> 1 problem(s) in your installed packages found. You are advised to update or deinstall the affected package(s) immediately. 通过访问上面给出的 URL， 管理员能够了解关于那个漏洞的进一步信息。 这些信息通常包括受到影响的 &os; Port 版本， 以及其他可能包含安全公告的网站。 简而言之， Portaudit 是一个强大的工具， 并能够配合 Portupgrade port 来非常有效地工作。 Tom Rhodes 作者 FreeBSD 安全公告 &os; 安全公告 像其它具有产品级品质的操作系统一样， &os; 会发布 安全公告。 通常这类公告会只有在在相应的发行版本已经正确地打过补丁之后发到安全邮件列表并在勘误中说明。 本节将介绍什么是安全公告， 如何理解它， 以及为系统打补丁的具体步骤。 安全公告看上去是什么样子？ &os; 安全公告的样式类似下面的范例， 这一例子来自 &a.security-notifications.name; 邮件列表。 ============================================================================= &os;-SA-XX:XX.UTIL Security Advisory The &os; Project Topic: denial of service due to some problem Category: core Module: sys Announced: 2003-09-23 Credits: Person@EMAIL-ADDRESS Affects: All releases of &os; &os; 4-STABLE prior to the correction date Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15) 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8) 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18) 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) CVE Name: CVE-XXXX-XXXX For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the following sections, please visit http://www.FreeBSD.org/security/. I. Background II. Problem Description III. Impact IV. Workaround V. Solution VI. Correction details VII. References Topic(标题) 一栏说明了问题到底是什么。 它基本上是对所发现的安全问题及其所涉及的工具的描述。 Category (分类) 是指系统中受到影响的组件， 这一栏可能是 core、 contrib， 或者 ports 之一。 core 分类表示安全弱点影响到了 &os; 操作系统的某个核心组件。 contrib 分类表示弱点存在于某个捐赠给 &os; Project 的软件， 例如 sendmail。 最后是 ports， 它表示该弱点影响了 Ports Collection 中的某个第三方软件。 Module(模块) 一栏给出了组件的具体位置， 例如 sys。 在这个例子中， 可以看到 sys 模块是存在问题的； 因此， 这个漏洞会影响某个在内核中的组件。 Announced(发布时间) 一栏反映了与安全公告有关的数据是什么时候公之于众的。 这说明安全团队已经证实问题确实存在， 而补丁已经写入了 &os; 的代码库。 Credits(作者) 一栏给出了注意到问题存在并报告它的个人或团体。 The Affects(影响范围) 一栏给出了 &os; 的那些版本存在这个漏洞。 对于内核来说， 检视受影响的文件上执行的 ident 输出可以帮助确认文件版本。 对于 ports， 版本号在 /var/db/pkg 里面的 port 的名字后面列出。 如果系统没有与 &os; CVS 代码库同步并每日构建， 它很可能是有问题的。 Corrected(修正时间) 一栏给出了发行版本中修正问题的具体日期、时间和时差。 在公共漏洞数据库 (Common Vulnerabilities Database) 系统中预留的， 用于查看漏洞的标识信息。 Background(技术背景) 一栏提供了受影响的组件的作用。 多数时候这一部分会说明为什么 &os; 中包含了它， 它的作用， 以及它的一些原理。 Problem Description(问题描述) 一栏深入阐述安全漏洞的技术细节。 这部分有时会包括有问题的代码相关的详细情况， 甚至是这个部件如何能够被恶意利用并打开漏洞的细节。 Impact(影响) 一栏描述了问题能够造成的影响类型。 例如， 可能导致拒绝服务攻击， 权限提升， 甚至导致得到超级用户的权限。 Workaround(应急方案) 一栏给出了系统管理员在暂时无法升级系统时可以采取的临时性对策。 这些原因可能包括时间限制， 网络资源的限制， 或其它因素。 不过无论如何， 安全不能够被轻视， 有问题的系统要么应该打补丁， 要么应该实施这种应急方案。 Solution(解决方案) 一栏提供了如何给有问题的系统打补丁的方法。 这是经过逐步测试和验证过的给系统打补丁并让其安全地工作的方法。 =Correction Details(修正细节) 一栏展示了针对 CVS 分支或某个发行版的修正特征。 同时也提供了每个分支上相关文件的版本号。 References(文献) 一栏通常会给出其它信息的来源。 这可能包括 URL， 书籍、 邮件列表以及新闻组。 Tom Rhodes Contributed by 进程记帐 进程记帐 进程记帐是一种管理员可以使用的跟踪系统资源使用情况的手段， 包括它们分配给了哪些用户、 提供系统监视手段， 并且可以精细到用户执行的每一个命令。 当然， 这种做法是兼有利弊的。 它的好处是， 查找入侵时可以迅速把范围缩小到攻击者进入的时刻； 而这样做的缺点， 则是记帐会产生大量的日志， 因而需要很多磁盘空间来存储它们。 这一节将带领管理员一步一步地配置基本的进程记帐。 启用并利用进程记帐 在使用进程记帐之前， 必须先启用它。 要完成这项工作， 需要运行下面的命令： &prompt.root; touch /var/account/acct &prompt.root; accton /var/account/acct &prompt.root; echo 'accounting_enable="YES"' >> /etc/rc.conf 一旦启用之后， 记帐就会开始跟踪 CPU 统计数据、 命令， 等等。 所有的记帐日志不是以可读的方式记录的， 要查看它们， 需要使用 &man.sa.8; 这个工具。 如果没有给出其他参数， 则 sa 将按用户， 以分钟为单位显示他们所使用的时间、 总共的 CPU 和用户时间， 以及平均的 I/O 操作数目， 等等。 要显示关于刚刚发出的命令的相关信息， 则应使用 &man.lastcomm.1; 工具。 lastcomm 可以用来显示在某一 &man.ttys.5; 上的用户信息， 例如： &prompt.root; lastcomm ls trhodes ttyp1 将会显示出所有已知的 trhodes 在 ttyp1 终端上执行 ls 的情况。 更多的可用选项在联机手册 &man.lastcomm.1;、 &man.acct.5; 和 &man.sa.8; 中有所介绍。