diff --git a/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml b/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml index d3bc5c9cb1..3df8721dfd 100644 --- a/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/bibliography/chapter.sgml @@ -1,602 +1,602 @@ Библиография Так как страницы Справочника FreeBSD предоставляют лишь описание отдельных частей операционной системы FreeBSD, они не очень удобны для иллюстрации объединения этих частей вместе для того, чтобы настроить ОС и сделать ее работу более гладкой. Для этого незаменимы хорошая книга по системному администрированию &unix; и хорошее руководство пользователя. Книги и журналы, специализирующиеся на FreeBSD Международные книги и журналы: Using FreeBSD (на Китайском). FreeBSD for PC 98'ers (на японском), выпущено SHUWA System Co, LTD. ISBN 4-87966-468-5 C3055 P2900E. FreeBSD (на японском), выпущено CUTT. ISBN 4-906391-22-2 C3055 P2400E. Complete Introduction to FreeBSD (на японском), выпущено Shoeisha Co., Ltd. ISBN 4-88135-473-6 P3600E. Personal UNIX Starter Kit FreeBSD (на японском), выпущено ASCII. ISBN 4-7561-1733-3 P3000E. FreeBSD Handbook (японский перевод), выпущено ASCII. ISBN 4-7561-1580-2 P3800E. FreeBSD mit Methode (на немецком), выпущено Computer und Literatur Verlag/Vertrieb Hanser, 1998. ISBN 3-932311-31-0. FreeBSD 4 - Installieren, Konfigurieren, Administrieren (на немецком), выпущено Computer und Literatur Verlag, 2001. ISBN 3-932311-88-4. FreeBSD 5 - Installieren, Konfigurieren, Administrieren (на немецком), выпущено Computer und Literatur Verlag, 2003. ISBN 3-936546-06-1. FreeBSD de Luxe (на немецком), выпущено Verlag Modere Industrie, 2003. ISBN 3-8266-1343-0. FreeBSD Install and Utilization Manual (на японском), выпущено Mainichi Communications Inc.. Onno W Purbo, Dodi Maryanto, Syahrial Hubbany, Widjil Widodo Создание Интернет Сервера с использованием FreeBSD (на Индонезийском языке), выпущено Elex Media Komputindo. Книги и журналы на английском языке: Absolute BSD: The Ultimate Guide to FreeBSD, выпущено No Starch Press, 2002. ISBN: 1886411743 The Complete FreeBSD, выпущено O'Reilly, 2003. ISBN: 0596005164 The FreeBSD Corporate Networker's Guide, выпущено Addison-Wesley, 2000. ISBN: 0201704811 FreeBSD: An Open-Source Operating System for Your Personal Computer, выпущено The Bit Tree Press, 2001. ISBN: 0971204500 Teach Yourself FreeBSD in 24 Hours, выпущено Sams, 2002. ISBN: 0672324245 FreeBSD unleashed, выпущено Sams, 2002. ISBN: 0672324563 FreeBSD: The Complete Reference, выпущено McGrawHill, 2003. ISBN: 0072224096 Руководства для пользователей Computer Systems Research Group, UC Berkeley. 4.4BSD User's Reference Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-075-9 Computer Systems Research Group, UC Berkeley. 4.4BSD User's Supplementary Documents. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-076-7 UNIX in a Nutshell. O'Reilly & Associates, Inc., 1990. ISBN 093717520X Mui, Linda. What You Need To Know When You Can't Find Your UNIX System Administrator. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-104-6 Ohio State University написал Ознакомительный Курс UNIX который доступен в Online в HTML и PS форматах. Итальянский перевод этого документа доступен как часть FreeBSD Italian Documentation Project. Jpman Project, Japan FreeBSD Users Group. FreeBSD User's Reference Manual (Японский перевод). Mainichi Communications Inc., 1998. ISBN4-8399-0088-4 P3800E. Эдинбургский Университет составил Online Путеводитель для новичков в UNIX. Руководства для администраторов Albitz, Paul and Liu, Cricket. DNS and BIND, 4th Ed. O'Reilly & Associates, Inc., 2001. ISBN 1-59600-158-4 Computer Systems Research Group, UC Berkeley. 4.4BSD System Manager's Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-080-5 Costales, Brian, et al. Sendmail, 2nd Ed. O'Reilly & Associates, Inc., 1997. ISBN 1-56592-222-0 Frisch, Æleen. Essential System Administration, 2nd Ed. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-127-5 Hunt, Craig. TCP/IP Network Administration, 2nd Ed. O'Reilly & Associates, Inc., 1997. ISBN 1-56592-322-7 Nemeth, Evi. UNIX System Administration Handbook. 2nd Ed. Prentice Hall, 2000. ISBN 0-13-020601-6 Stern, Hal Managing NFS and NIS O'Reilly & Associates, Inc., 1991. ISBN 0-937175-75-7 Jpman Project, Japan FreeBSD Users Group. FreeBSD System Administrator's Manual (Japanese translation). Mainichi Communications Inc., 1998. ISBN4-8399-0109-0 P3300E. Dreyfus, Emmanuel. Cahiers de l'Admin: BSD (на французском), Eyrolles, 2003. ISBN 2-212-11244-0 Руководства для программистов Asente, Paul, Converse, Diana, and Swick, Ralph. X Window System Toolkit. Digital Press, 1998. ISBN 1-55558-178-1 Computer Systems Research Group, UC Berkeley. 4.4BSD Programmer's Reference Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-078-3 Computer Systems Research Group, UC Berkeley. 4.4BSD Programmer's Supplementary Documents. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-079-1 Harbison, Samuel P. and Steele, Guy L. Jr. C: A Reference Manual. 4rd ed. Prentice Hall, 1995. ISBN 0-13-326224-3 Kernighan, Brian and Dennis M. Ritchie. The C Programming Language.. PTR Prentice Hall, 1988. ISBN 0-13-110362-9 Lehey, Greg. Porting UNIX Software. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-126-7 Plauger, P. J. The Standard C Library. Prentice Hall, 1992. ISBN 0-13-131509-9 Spinellis, Diomidis. Code Reading: The Open Source Perspective. Addison-Wesley, 2003. ISBN 0-201-79940-5 Stevens, W. Richard. Advanced Programming in the UNIX Environment. Reading, Mass. : Addison-Wesley, 1992. ISBN 0-201-56317-7 Stevens, W. Richard. UNIX Network Programming. 2nd Ed, PTR Prentice Hall, 1998. ISBN 0-13-490012-X Wells, Bill. Writing Serial Drivers for UNIX. Dr. Dobb's Journal. 19(15), December 1994. pp68-71, 97-99. Внутренности операционной системы Andleigh, Prabhat K. UNIX System Architecture. Prentice-Hall, Inc., 1990. ISBN 0-13-949843-5 Jolitz, William. Porting UNIX to the 386. Dr. Dobb's Journal. January 1991-July 1992. Leffler, Samuel J., Marshall Kirk McKusick, Michael J Karels and John Quarterman The Design and Implementation of the 4.3BSD UNIX Operating System. Reading, Mass. : Addison-Wesley, 1989. ISBN 0-201-06196-1 Leffler, Samuel J., Marshall Kirk McKusick, The Design and Implementation of the 4.3BSD UNIX Operating System: Answer Book. Reading, Mass. : Addison-Wesley, 1991. ISBN 0-201-54629-9 McKusick, Marshall Kirk, Keith Bostic, Michael J Karels, and John Quarterman. The Design and Implementation of the 4.4BSD Operating System. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-54979-4 (глава 2 этой книги доступна онлайн как часть Проекта документирования FreeBSD, и глава 9 доступна здесь.) Stevens, W. Richard. TCP/IP Illustrated, Volume 1: The Protocols. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-63346-9 Schimmel, Curt. Unix Systems for Modern Architectures. Reading, Mass. : Addison-Wesley, 1994. ISBN 0-201-63338-8 Stevens, W. Richard. TCP/IP Illustrated, Volume 3: TCP for Transactions, HTTP, NNTP and the UNIX Domain Protocols. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-63495-3 Vahalia, Uresh. UNIX Internals -- The New Frontiers. Prentice Hall, 1996. ISBN 0-13-101908-2 Wright, Gary R. and W. Richard Stevens. TCP/IP Illustrated, Volume 2: The Implementation. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-63354-X Безопасность Cheswick, William R. and Steven M. Bellovin. Firewalls and Internet Security: Repelling the Wily Hacker. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-63357-4 Garfinkel, Simson and Gene Spafford. Practical UNIX & Internet Security. 2nd Ed. O'Reilly & Associates, Inc., 1996. ISBN 1-56592-148-8 Garfinkel, Simson. PGP Pretty Good Privacy O'Reilly & Associates, Inc., 1995. ISBN 1-56592-098-8 Оборудование Anderson, Don and Tom Shanley. Pentium Processor System Architecture. 2nd Ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40992-5 Ferraro, Richard F. Programmer's Guide to the EGA, VGA, and Super VGA Cards. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-62490-7 Intel Corporation publishes documentation on their CPUs, chipsets and standards on their developer web site, usually as PDF files. Shanley, Tom. 80486 System Architecture. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40994-1 Shanley, Tom. ISA System Architecture. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40996-8 Shanley, Tom. PCI System Architecture. 4th ed. Reading, Mass. : Addison-Wesley, 1999. ISBN 0-201-30974-2 Van Gilluwe, Frank. The Undocumented PC, 2nd Ed. Reading, Mass: Addison-Wesley Pub. Co., 1996. ISBN 0-201-47950-8 Messmer, Hans-Peter. The Indispensable PC Hardware Book, 4th Ed. Reading, Mass: Addison-Wesley Pub. Co., 2002. ISBN 0-201-59616-4 История &unix; Lion, John Lion's Commentary on UNIX, 6th Ed. With Source Code. ITP Media Group, 1996. ISBN 1573980137 Raymond, Eric S. The New Hacker's Dictionary, 3rd edition. MIT Press, 1996. ISBN 0-262-68092-0. Also known as the Jargon + url="http://www.catb.org/~esr/jargon/html/index.html">Jargon File Salus, Peter H. A quarter century of UNIX. Addison-Wesley Publishing Company, Inc., 1994. ISBN 0-201-54777-5 Simon Garfinkel, Daniel Weise, Steven Strassmann. The UNIX-HATERS Handbook. IDG Books Worldwide, Inc., 1994. ISBN 1-56884-203-1 Don Libes, Sandy Ressler Life with UNIX — special edition. Prentice-Hall, Inc., 1989. ISBN 0-13-536657-7 The BSD family tree. или /usr/share/misc/bsd-family-tree на современном компьютере FreeBSD. The BSD Release Announcements collection. 1997. Networked Computer Science Technical Reports Library. Old BSD releases from the Computer Systems Research group (CSRG). : The 4CD set covers all BSD versions from 1BSD to 4.4BSD and 4.4BSD-Lite2 (but not 2.11BSD, unfortunately). As well, the last disk holds the final sources plus the SCCS files. Прочие издания The C/C++ Users Journal. R&D Publications Inc. ISSN 1075-2838 Sys Admin — The Journal for UNIX System Administrators Miller Freeman, Inc., ISSN 1061-2688 freeX — Das Magazin für Linux - BSD - UNIX (на немецком) Computer- und Literaturverlag GmbH, ISSN 1436-7033 diff --git a/ru_RU.KOI8-R/books/handbook/boot/chapter.sgml b/ru_RU.KOI8-R/books/handbook/boot/chapter.sgml index 1c63a0f5fa..037a76b298 100644 --- a/ru_RU.KOI8-R/books/handbook/boot/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/boot/chapter.sgml @@ -1,830 +1,830 @@ Процесс загрузки FreeBSD Описание загрузка начальная загрузка Процесс включения компьютера и загрузки операционной системы называется процессом первоначальной загрузки, или просто загрузкой. Процесс загрузки FreeBSD предоставляет большие возможности по гибкой настройке того, что происходит при запуске системы, позволяя вам выбирать из различных операционных систем, установленных на одном и том же компьютере, или даже из различных версий той же самой операционной системы или установленного ядра. Эта глава подробно описывает параметры, которые вы можете изменить для настройки процесса загрузки FreeBSD. Под этим подразумевается все, что происходит до начала работы ядра FreeBSD, обнаружения устройств и запуска &man.init.8;. Если вы не совсем уверены, то это происходит, когда выводимый текст меняет цвет с ярко-белого на серый. После чтения этой главы вы будете знать: Из каких частей состоит система начальной загрузки FreeBSD, и как эти части взаимодействуют. Параметры, которые вы можете передать компонентам начальной загрузки FreeBSD для управления этим процессом. Основы работы &man.device.hints.5; Только для x86 Эта глава описывает процесс загрузки FreeBSD только для систем на основе архитектуры Intel x86. Проблема загрузки Включение компьютера и запуск операционной системы приводят к интересной дилемме. По определению до запуска операционной системы компьютер не умеет ничего. В том числе и не знает, как запускать программы с диска. Так что компьютер не может запустить программу с диска без операционной системы, но программы операционной системы находятся на диске, но как запустить операционную систему? Эта проблема имеет параллели с одной проблемой из книги Приключения барона Мюнхаузена. Герой провалился в болото, и вытащил сам себя, ухватив за волосы и потянув. В эпоху начала компьютеризации термин начальная загрузка применялся к механизму, используемому для загрузки операционной системы, и затем был сокращен до просто загрузки. На оборудовании архитектуры x86 за загрузку операционной системы отвечает BIOS (Basic Input/Output System). Для этого BIOS ищет на жестком диске MBR (Master Boot Record), которая должна располагаться в определенном месте на диске. BIOS может загрузить и запустить MBR, и предполагается, что MBR может взять на себя остальную работу, связанную с загрузкой операционной системой. BIOS Basic Input/Output System Если на вашем диске установлена только одна операционная система, то стандартной MBR будет достаточно. Такая MBR выполняет поиск на диске первого загрузочного слайса, после чего запускает с этого слайса код загрузки оставшейся части операционной системы. Если на ваших дисках установлено несколько операционных систем, то вы можете установить другую MBR, ту, что может выдать список различных операционных систем и позволит вам выбрать одну из них для загрузки. FreeBSD поставляется с одной из такой MBR, которую можно установить; другие производители операционных систем также предоставляют свои MBR. Оставшаяся часть системы начальной загрузки FreeBSD разделяется на три этапа. Первый этап запускается из MBR, и он знает достаточно для перевода компьютера в особое состояние и загрузки второго этапа. Второй этап может делать несколько больше до запуска третьего этапа. Третий этап заканчивает работу по загрузке операционной системы. Работа разделена на эти три этапа, потому что стандарты ПК ограничивают размеры программ, которые могут быть запущены на первом и втором этапах. Последовательное выполнение работ позволяет FreeBSD получить более гибкий загрузчик. ядро init Затем стартует ядро, которое начинает опознавать устройства и выполняет их инициализацию. После завершения процесса своей загрузки, ядро передает управление пользовательскому процессу с именем &man.init.8;, который выполняет проверку дисков на возможность использования. Затем &man.init.8; запускает пользовательский процесс настройки ресурсов, который монтирует файловые системы, выполняет настройку сетевых адаптеров для работы в сети и вообще осуществляет запуск всех процессов, обычно выполняемых в системе FreeBSD при загрузке. MBR и первый, второй и третий этапы загрузки MBR, <filename>/boot/boot0</filename> Master Boot Record (MBR) MBR для FreeBSD находится в /boot/boot0. Это копия MBR, так как настоящая MBR должна располагаться в специальном месте диска, вне области FreeBSD. boot0 очень прост, так как программа в MBR может иметь размер, не превышающий 512 байт. Если вы установили MBR FreeBSD и несколько операционных систем на ваш жесткий диск, то во время загрузки вы увидите нечто похожее на следующее: Образец экрана <filename>boot0</filename> F1 DOS F2 FreeBSD F3 Linux F4 ?? F5 Drive 1 Default: F2 Известно, что другие операционные системы, в частности, &windows; 95, записывают поверх существующей MBR свою собственную. Если так случилось в вашем случае, или же вы хотите заменить существующую MBR на MBR от FreeBSD, то воспользуйтесь следующей командой: &prompt.root; fdisk -B -b /boot/boot0 device Здесь device является устройством, с которого вы загружаетесь, таким, как ad0 в случае первого диска IDE, ad2 в случае первого диска IDE на втором контроллере IDE, da0 для первого диска SCSI и так далее. Однако если вы используете Linux и предпочитаете, чтобы процесс загрузки управлялся через LILO, вы можете отредактировать файл /etc/lilo.conf для FreeBSD или выбрать в процессе установки FreeBSD. Если вы установили менеджер загрузки FreeBSD, то вы можете снова загрузить Linux и изменить конфигурационный файл /etc/lilo.conf для LILO, добавив следующий параметр: other=/dev/hdXY table=/dev/hdb loader=/boot/chain.b label=FreeBSD который позволит загружать FreeBSD и Linux посредством LILO. В нашем примере мы используем XY для обозначения номера диска и раздела. Если вы используете диск SCSI, то вам может потребоваться заменить /dev/hdXY на что-то типа /dev/sdXY, где снова используется обозначение XY. Строка может быть опущена, если обе операционные системы располагаются на одном и том же диске. Вы можете теперь запустить /sbin/lilo -v для того, чтобы ваши изменения были восприняты системой, что должно быть подтверждено сообщениями на экране. Этап первый, <filename>/boot/boot1</filename>, и этап второй, <filename>/boot/boot2</filename> Концептуально первый и второй этапы загрузки являются частями одной и той же программы, в той же самой области диска. Из-за ограничений на объем дискового пространства они были разделены на две, но вы всегда должны устанавливать их вместе. Они располагаются в загрузочном секторе загрузочного слайса, то есть там, где boot0 или любая другая программа из MBR ожидает найти программу, которую следует запустить для продолжение процесса загрузки. Файлы в каталоге /boot являются копиями реальных файлов, которые хранятся вне файловой системы FreeBSD. boot1 очень прост, так как он тоже может иметь размер, не превышающий 512 байт, и знает достаточно о метке диска FreeBSD, хранящей информацию о слайсе, для того, чтобы найти и запустить boot2. boot2 устроен несколько более сложно, и умеет работать с файловой системой FreeBSD в объёме, достаточном для нахождения в ней файлов, и может предоставлять простой интерфейс для выбора и передачи управления ядру или загрузчику. Так как загрузчик устроен гораздо более сложно, и дает удобный и простой способ настройки процесса загрузки, boot2 обычно запускает его, однако раньше его задачей был запуск непосредственно самого ядра. Образец экрана <filename>boot2</filename> >> FreeBSD/i386 BOOT Default: 0:ad(0,a)/kernel boot: Если вам когда-либо понадобится заменить установленные boot1 и boot2, то используйте - утилиту &man.disklabel.8;. + утилиту &man.disklabel.8;: &prompt.root; disklabel -B diskslice Здесь diskslice являются диском и слайсом, с которых вы загружаетесь, такие, как ad0s1 в случае первого слайса на первом диске IDE. Режим Dangerously Dedicated Если вы используете только имя диска, к примеру, ad0, в команде &man.disklabel.8; вы создадите диск в режиме эксклюзивного использования, без слайсов. Это, скорее всего, вовсе н то, что вы хотите сделать, так что дважды проверьте параметры команды &man.disklabel.8;, прежде, чем нажать Return. Третий этап, <filename>/boot/loader</filename> загрузчик Передача управления загрузчику является последним, третьим этапом в процессе начальной загрузки, а сам загрузчик находится в файловой системе, обычно как /boot/loader. Загрузчик являет собой удобный в использовании инструмент для настройки при помощи простого набора команд, управляемого более мощным интерпретатором с более сложным набором команд. Процесс работы загрузчика Во время инициализации загрузчик пытается произвести поиск консоли, дисков и определить, с какого диска он был запущен. Соответствующим образом он задаёт значения переменных и запускает интерпретатор, которому могут передаваться пользовательские команды как из скрипта, так и в интерактивном режиме. загрузчик конфигурация загрузчика Затем загрузчик читает файл /boot/loader.rc, который по умолчанию использует файл /boot/defaults/loader.conf, устанавливающий подходящие значения по умолчанию для переменных и читает файл /boot/loader.conf для изменения в этих переменных. Затем с этими переменными работает loader.rc, загружающий выбранные модули и ядро. И наконец, по умолчанию загрузчик выдерживает 10-секундную паузу, ожидая нажатия клавиши, и загружает ядро, если этого не произошло. Если ожидание было прервано, пользователю выдается приглашение, которое воспринимает простой набор команд, в помощью которых пользователь может изменить значения переменных, выгрузить все модули, загрузить модули и окончательно продолжить процесс загрузки или перезагрузить машину. Встроенные команды загрузчика Далее следуют наиболее часто используемые команды загрузчика. Полное описание всех имеющихся команд можно найти на странице справки о команде &man.loader.8;. autoboot секунды Продолжает загрузку ядра, если не будет прерван в течение указанного в секундах промежутка времени. Он выводит счетчик, и по умолчанию выдерживается интервал в 10 секунд. boot -параметры имя ядра Продолжить процесс загрузки указанного ядра, если оно было указано, и с указанными параметрами, если они были указаны. boot-conf Повторно провести тот же самый процесс автоматической настройки модулей на основе переменных, что был произведен при загрузке. Это имеет смысл, если до этого вы выполнили команду unload, изменили некоторые переменные, например, наиболее часто меняемую kernel. help тема Вывод сообщений подсказки из файла /boot/loader.help. Если в качестве темы указано слово index, то выводится список имеющихся тем. include имя файла … Выполнить файл с указанным именем. Файл считывается и его содержимое интерпретируется строчка за строчкой. Ошибка приводит к немедленному прекращению выполнения команды include. load тип имя файла Загружает ядро, модуль ядра или файл указанного типа с указанным именем. Все аргументы после имени файла передаются в файл. ls маршрут Выводит список файлов по указанному маршруту или в корневом каталоге, если маршрут не был указан. Если указан параметр , будут выводиться и размеры файлов. lsdev Выводится список всех устройств, с которых могут быть загружены модули. Если указан параметр , выводится дополнительная информация. lsmod Выводит список загруженных модулей. Если указан параметр , то выводится дополнительная информация. more имя файла Вывод указанного файла с паузой при выводе каждой строки LINES. reboot Выполнить немедленную перезагрузку машины. set переменная set переменная=значение Задает значения переменных окружения загрузчика. unload Удаление из памяти всех загруженных модулей. Примеры использования загрузчика Вот несколько примеров практического использования загрузчика: однопользовательский режим Чтобы просто загрузить ваше ядро обычным образом, но в однопользовательском режиме: boot -s Для выгрузки обычных ядра и модулей, а потом просто загрузить ваше старое (или другое) ядро: kernel.old unload load kernel.old Вы можете использовать kernel.GENERIC для обозначения стандартного ядра, поставляемого на установочном диске, или kernel.old для обращения к ранее установленному ядру (после того, как, например, вы обновили или отконфигурировали новое ядро). Для загрузки ваших обычных модулей с другим ядром используйте такие команды: unload set kernel="kernel.old" boot-conf Для загрузки скрипта конфигурации ядра (автоматизированный скрипт, который выполняет то, что вы обычно делаете в конфигураторе ядра во время загрузки): load -t userconfig_script /boot/kernel.conf Взаимодействие с ядром во время загрузки ядро взаимодействия во время загрузки Как только ядро окажется загруженным при помощи загрузчика (обычный способ) или boot2 (минуя загрузчик), оно проверяет флаги загрузки, если они есть, и действует соответствующим образом. ядро флаги загрузки Флаги загрузки ядра Вот наиболее часто используемые флаги загрузки: во время инициализации ядра запрашивать устройство для его монтирования в качестве корневой файловой системы. загрузка с компакт-диска. запустить UserConfig для конфигурации ядра во время загрузки после загрузки перейти в однопользовательский режим во время запуска ядра выводить более подробную информацию Есть и другие флаги загрузки, обратитесь к странице справочника по &man.boot.8; для выяснения подробной информации по ним. Tom Rhodes Текст предоставил device.hints Хинты устройств Эта функция присутствует только во FreeBSD 5.0 и последующих версиях, но не в более ранних. Во время начального запуска системы загрузчик &man.loader.8; производит чтение файла &man.device.hints.5;. В этом файле хранится необходимая для загрузки ядра информация, задаваемая в виде переменных, которую иногда называют хинтами для устройств (device hints). Эти хинты устройств используются драйверами устройств для их конфигурации. Хинты для устройств могут быть также заданы в приглашении начального загрузчика Стадии 3. Переменные могут быть добавлены при помощи команды set, удалены посредством unset и просмотрены командой show. В этот момент могут быть также переопределены переменные, заданные в файле /boot/device.hints. Хинты для устройств, введённые в начальном загрузчике, не сохраняются, и при следующей перезагрузке будут утеряны. После загрузки системы для выдачи значений всех переменных можно воспользоваться командой &man.kenv.1;. Синтаксически в файле /boot/device.hints в каждой строке определяется по одной переменной, в качестве метки начала комментария используется стандартный символ #. Строки строятся следующим образом: hint.driver.unit.keyword="value" Синтаксис для начального загрузчика Стадии 3 таков: set hint.driver.unit.keyword=value driver определяет имя драйвера устройства, unit соответствует порядковому номеру модуля устройства, а keyword является ключевым словом хинта. В качестве ключевых слов могут применяться следующие опции: at: задаёт шину, к которой подключено устройство. port: задаёт начальный адрес используемого диапазона ввода/вывода (I/O). irq: задаёт используемый номер запроса на прерывание. drq: задаёт номер канала DMA. maddr: задаёт физический адрес памяти, занимаемый устройством. flags: устанавливает различные битовые флаги для устройства. disabled: если установлено в значение 1, то устройство не используется. Драйверы устройств могут поддерживать (и даже требовать) другие хинты, здесь не перечисленные, поэтому рекомендуется просматривать справочные страницы по этим драйверам. Для получения дополнительной информации обратитесь к страницам справки по &man.device.hints.5;, &man.kenv.1;, &man.loader.conf.5; и &man.loader.8;. init Init: инициализация управления процессами После того, как ядро завершит загрузку, оно передает управление пользовательскому процессу &man.init.8;, который расположен в файле /sbin/init или в файле, маршрут к которому указан в переменной init_path загрузчика. Процесс автоматической перезагрузки Процесс автоматической перезагрузки проверяет целостность имеющихся файловых систем. Если это не так, и утилита &man.fsck.8; не может исправить положение, то &man.init.8; переводит систему в однопользовательский режим для того, чтобы системный администратор сам разобрался с возникающими проблемами. Однопользовательский режим однопользовательский режим консоль В этот режим можно перейти во время процесса автоматической перезагрузки, при ручной загрузке с параметром или заданием переменной boot_single для программы loader. Этот режим может быть также вызван запуском программы &man.shutdown.8; без параметров перезагрузки () или останова () из многопользовательского режима. Если режим доступа к системной консоли console установлен в файле /etc/ttys в insecure, то система выведет запрос на ввод пароля пользователя root перед переходом в однопользовательский режим. Незащищённая консоль в <filename>/etc/ttys</filename> # name getty type status comments # # Если консоль помечена как "insecure", то init будет запрашивать пароль # пользователя root при переходе в однопользовательский режим. console none unknown off insecure Обозначение консоли как insecure означает, что вы считаете физический доступ к консоли незащищённым, и хотите, чтобы только тот, кто знает пароль пользователя root, мог воспользоваться однопользовательским режимом, но это не значит, что вы хотите работать с консолью небезопасным способом. Таким образом, если вы хотите добиться защищённости, указывайте insecure, а не secure. Многопользовательский режим многопользовательский режим Если &man.init.8; определит, что ваши файловые системы находятся в полном порядке, или после того, как пользователь выйдет из однопользовательского режима, система перейдет в многопользовательский режим, работа в котором начинается с настройки ресурсов системы. файлы rc Настройка ресурсов (rc) Система настройки ресурсов считывает настройки, применяемые по умолчанию, из файла /etc/defaults/rc.conf, а настройки, специфичные для конкретной системы, из /etc/rc.conf, после чего осуществляется монтирование файловых систем, перечисленных в файле /etc/fstab, запуск сетевых служб, различных системных даемонов и, наконец, выполнение скриптов запуска дополнительно установленных пакаджей. Страница справочника по &man.rc.8; является хорошим источником информации о системе настройки ресурсов. так же, как и самостоятельное изучение скриптов. Процесс остановки системы shutdown Во время контролируемого процесса остановки системы через утилиту &man.shutdown.8; программа &man.init.8; будет пытаться запустить скрипт /etc/rc.shutdown, после чего будет посылать всем процессам сигнал TERM, а затем и KILL тем процессам, которые ещё не завершили свою работу. Для выключения машины с FreeBSD на аппаратных платформах и системах, которые поддерживают управление электропитанием, просто воспользуйтесь командой shutdown -p now для немедленного отключения электропитания. Чтобы просто перезагрузить систему FreeBSD, воспользуйтесь командой shutdown -r now. Для запуска команды &man.shutdown.8; вам необходимо быть пользователем root или членом группы operator. Кроме того, можно также воспользоваться командами &man.halt.8; и &man.reboot.8;, пожалуйста, обратитесь к соответствующим страницам справки и справочной странице по команде &man.shutdown.8; для получения дополнительной информации. Для управления электропитанием требуется наличие поддержки &man.acpi.4; в ядре или в виде загруженного модуля при использовании FreeBSD 5.X, а для FreeBSD 4.X необходима поддержка &man.apm.4;. diff --git a/ru_RU.KOI8-R/books/handbook/config/chapter.sgml b/ru_RU.KOI8-R/books/handbook/config/chapter.sgml index eaa826a023..8ddd9372ad 100644 --- a/ru_RU.KOI8-R/books/handbook/config/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/config/chapter.sgml @@ -1,2821 +1,2868 @@ Chern Lee Написал Mike Smith Основывается на учебнике, написанном Matt Dillon и на tuning(7), написанном Настройка и оптимизация Введение настройка системы оптимизация системы Один из важных аспектов &os; это настройка системы. Правильная настройка системы поможет избежать головной боли при последующих обновлениях. Эта глава описывает большую часть процесса настройки &os;, включая некоторые параметры, которые можно установить для оптимизации системы &os;. После прочтения этой главы вы узнаете: Как эффективно работать с файловыми системами и разделами подкачки. Основы настройки rc.conf и системы запуска приложений /usr/local/etc/rc.d. Как настроить и протестировать сетевую карту. Как настроить виртуальные хосты на сетевых устройствах. Как использовать различные файлы конфигурации в /etc. Как оптимизировать &os;, используя переменные sysctl. Как увеличить скорость работы дисков и изменить ограничения, накладываемые ядром. Перед прочтением этой главы вам следует: Понять основы &unix; и &os; (). Ознакомиться с модернизированием исходных текстов &os; (), и основами конфигурации/компиляции ядра (). Начальное конфигурирование Разделы диска разделы диска /etc /var /usr Основы построения разделов Во время разметки жёсткого диска с помощью &man.disklabel.8; или &man.sysinstall.8;, важно помнить, что скорость чтения и записи данных уменьшается от внешних к внутренним трекам диска. Самые маленькие и самые часто используемые файловые системы (корневую и раздел подкачки) должны быть расположены в начале диска, в то время как самые большие, такие, как /usr, в конце. Самым оптимальным считается следующий порядок расположения файловых систем: root, swap, /var, /usr. Размер файловой системы /var определяется предназначением машины. /var используется для хранения почтовых ящиков, очередей печати и лог файлов. Размер почтовых ящиков и лог файлов может расти неограниченно в зависимости от количества пользователей системы и от того, как долго хранятся лог-файлы. Большинству пользователей никогда не потребуется гигабайт, но помните, что /var/tmp должен быть достаточно большим для пакетов. В разделе /usr содержит большинство файлов, необходимых для поддержки системы, &man.ports.7; (порты, рекомендуется) и исходные тексты (опционально). Оба эти каталога опциональны при установке. Для этого раздела рекомендуется как минимум 2 гигабайта. При установке размера разделов, не забудьте принять во внимание рост размера требуемого системе дискового пространства. Переполнение одного раздела даже при наличии свободного места на другом может вызвать затруднения. Многие пользователи обнаружили, что размер разделов, предлагаемый &man.sysinstall.8;'ом по умолчанию, иногда меньше подходящего для разделов /var и /. Тщательно планируйте размер разделов и не жалейте места. Раздел подкачки размер раздела подкачки раздел подкачки Как правило, размер раздела подкачки должен быть равен удвоенному размеру оперативной памяти. Например, если на машине установлено 128 мегабайт памяти, раздел подкачки должен быть 256 мегабайт. Системы с меньшим количеством памяти могут работать лучше с большим объёмом раздела подкачки. Не рекомендуется устанавливать размер раздела подкачки меньше 256 мегабайт, необходимо также принять во внимание возможное наращивание объема установленной на машине памяти. Алгоритмы кэширования VM настроены на максимальное быстродействие, когда размер раздела подкачки равен как минимум удвоенному размеру памяти. Заниженный размер раздела подкачки может привести к неэффективной работе постраничного сканирования VM и вызвать проблемы при увеличении объёма памяти. На больших системах с несколькими SCSI дисками (или несколькими IDE дисками, находящимися на разных контроллерах), рекомендуется создавать раздел подкачки на каждом диске (до четырёх дисков). Разделы подкачки должны быть примерно одного размера. Ядро не накладывает ограничений на размер раздела подкачки, но внутренние структуры позволяют иметь общий размер разделов подкачки, равный наибольшему, умноженному на четыре. Выделение под разделы подкачки примерно одинакового места позволить ядру оптимально расположить разделы подкачки. Установка размера подкачки больше требуемого нормальна, даже если этот объем не используется. В этих условиях может быть проще восстановиться после зависания программы перед тем, как возникнет необходимость перезагрузки. Зачем нужны разделы? Некоторые пользователи считают, что лучше использовать один большой раздел, но есть несколько причин, по которым этого лучше не делать. Во-первых, у каждого раздела свои характеристики, и отделяя их, можно выполнить соответствующие настройки. Например, корневая и файловая система и /usr в основном предназначены для чтения, без большого объема записи. В то же время множество операций чтения и записи выполняется в /var и /var/tmp. При правильном размещении и выборе размера разделов системы, фрагментация в более маленьких разделах, куда часто записываются данные, не перенесётся на остальные разделы. Размещение самых часто используемых разделов ближе к началу диска увеличит скорость ввода/вывода там, где она нужна больше всего. Хотя производительность важна и для больших дисков, передвижение их ближе к концу диска не повлечёт значительного уменьшения быстродействия по сравнению с перемещением ближе к концу диска /var. И, наконец, разделы существуют и из соображений безопасности. Наличие маленького аккуратного корневого раздела, доступного только для чтения даёт значительные шансы на "выживание" после краха системы. Основные настройки rc файлы rc.conf Основные настройки системы располагаются в /etc/rc.conf. Этот файл вмещает широкий спектр конфигурационной информации, используемой при загрузке системы. Имя этого файла прямо отражает его назначение, это файл настройки для файлов rc*. Администратор должен сделать записи в rc.conf чтобы переопределить строки по умолчанию из /etc/defaults/rc.conf. Файлы по умолчанию нельзя копировать в /etc - они вмещают значения по умолчанию, а не примеры значений. Все специфичные для данной системы изменения должны быть сделаны в файле rc.conf. Существует несколько методов для отделения общей конфигурации для группы систем от конкретной для данной системы в целях уменьшения объема работы администратора. Рекомендуемый метод - прописать общую конфигурацию в отдельный файл, например, в /etc/rc.conf.site, и включить его название в /etc/rc.conf, который вмещает только специфичную для данной системы информацию. Поскольку rc.conf читается &man.sh.1;, есть тривиальный способ сделать это. Например: rc.conf: . rc.conf.site hostname="node15.example.com" network_interfaces="fxp0 lo0" ifconfig_fxp0="inet 10.1.1.1" rc.conf.site: defaultrouter="10.1.1.254" saver="daemon" blanktime="100" Файл rc.conf.site может быть распространён на все системы, используя rsync или подобную ей программу, в то время, как rc.conf должен остаться только на одной машине. Обновление системы с помощью &man.sysinstall.8; или make world не повлекут за собой перезапись rc.conf. Вся информация в этом файле сохранится. Настройка приложений Обычно, установленные приложения имеют свои конфигурационные файлы, со своим собственным синтаксисом. Важно хранить эти файлы отдельно от файлов основной системы, чтобы их можно было легко администрировать с помощью средств управления пакетами. /usr/local/etc Обычно эти файлы устанавливаются в /usr/local/etc. В случае, если приложению нужно большое количество конфигурационных файлов, для их хранения будет создан подкаталог. Обычно, вместе с установкой портов и пакетов, устанавливаются и примеры конфигурационных файлов. Обычно они имеют расширение .default. Если не существует конфигурационных файлов для этого приложения, они будут созданы путём копирования .default файлов. Например, /usr/local/etc/apache: -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf.default -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf.default -rw-r--r-- 1 root wheel 12205 May 20 1998 magic -rw-r--r-- 1 root wheel 12205 May 20 1998 magic.default -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types.default -rw-r--r-- 1 root wheel 7980 May 20 1998 srm.conf -rw-r--r-- 1 root wheel 7933 May 20 1998 srm.conf.default Размеры файлов показывают, что только файл srm.conf был изменён. При следующем обновлении Apache этот файл уже не будет перезаписан. Запуск сервисов сервисы Обычно в системе работает множество сервисов. Их можно запустить различными способами, каждый из которых имеет свои преимущества. /usr/local/etc/rc.d Программное обеспечение, установленное из коллекции портов или пакетов обычно записывает свои скрипты в /usr/local/etc/rc.d который выполняется с аргументом при запуске и с аргументом при завершении работы системы. Этот метод запуска рекомендуется, если вы запускаете сервисы как root, или же они должны быть запущены с привилегиями root. Эти скрипты устанавливаются вместе с пакетами, и соответственно, при удалении пакетов скрипты будут также удалены. Типичный скрипт из /usr/local/etc/rc.d, выполняющийся при запуске выглядит следующим образом: #!/bin/sh echo -n ' FooBar' case "$1" in start) /usr/local/bin/foobar ;; stop) kill -9 `cat /var/run/foobar.pid` ;; *) echo "Usage: `basename $0` {start|stop}" >&2 exit 64 ;; esac exit 0 Стартовые скрипты &os; ищут в каталоге /usr/local/etc/rc.d скрипты с расширением .sh, исполняемые пользователем root. Обнаруженные скрипты выполняются с с параметром при старте системы и с параметром при завершении работы системы. Поэтому если вы хотите использовать пример скрипта выше и запускать его во время старта системы, сохраните его в каталоге /usr/local/etc/rc.d с именем FooBar.sh и убедитесь, что он исполняемый. Вы можете сделать скрипт исполняемым с помощью &man.chmod.1;, как показано ниже: &prompt.root; chmod 755 FooBar.sh Некоторые сервисы должны быть запущены &man.inetd.8; при установке соединения с определённым портом. Это может понадобиться, например, для почтовых серверов (POP, IMAP, и т.д.). Для этого нужно отредактировать файл /etc/inetd.conf. Подробнее о работе с этим файлом вы можете прочитать в &man.inetd.8;. Некоторые дополнительные системные сервисы могут быть не учтены в файле /etc/rc.conf. Тогда для их запуска нужно прописать соответствующую команду в /etc/rc.local. Во &os; 3.1 не предусмотрен /etc/rc.local; но считается признаком хорошего тона создание этого файла администратором. Заметьте, что rc.local используется для запуска сервисов только в крайнем случае. Если есть лучший способ запустить сервис, используйте его. Не записывайте свои команды в /etc/rc.conf. Для запуска демонов, или для выполнения вашей команды во время запуска - запишите ваш скрипт в /usr/local/etc/rc.d. Также допускается использование &man.cron.8; для запуска системных сервисов. Этот метод обладает рядом преимуществ, которые заключаются не только в том, что &man.cron.8; запускает эти процессы, как владелец crontab, но и в том, что сервисы могут быть запущены и не привилегированными пользователями. Очень удобно пользоваться возможностью &man.cron.8;, которая заключается в том, что если вместо времени указать @reboot, запланированная программа будет запущена сразу после запуска &man.cron.8; после перезагрузки системы. Tom Rhodes Предоставил Настройка утилиты <command>cron</command> cron настройка Одна из наиболее полезных утилит &os; это &man.cron.8;. Утилита cron работает в фоновом режиме и постоянно проверяет файл /etc/crontab. Утилита cron проверяет также каталог /var/cron/tabs в поиске новый файлов crontab. Файлы crontab содержат информацию об определенных функциях, которые cron выполняет в указанное время. - Давайте заглянем в файл /etc/crontab: + Утилита cron использует два разных типа + конфигурационных файлов, системный и пользовательский. + Все различие между этими двумя форматами заключается в + шестом поле. В системном файле шестое поля это имя пользователя, + с правами которого будет запущена команда. Это позволяет запускать + команды из системного crontab от любого пользователя. В + пользовательском файле шестое поле указывает запускаемую команду, и + все команды запускаются от пользователя, который создал crontab; + это важно для безопасности. + + + Пользовательские crontab позволяют индивидуальным пользователям + планировать задачи без привилегий суперпользователя. Команды из + crontab пользователя запускаются с привилегиями этого + пользователя. + + Пользователь root может использовать + собственный crontab, как и любой другой пользователь. Он будет + отличаться от системного crontab /etc/crontab. + Поскольку существует системный crontab, обычно не требуется + создавать пользовательский crontab для + root. + + + Давайте заглянем в файл /etc/crontab + (системный crontab): # /etc/crontab - root's crontab for &os; # # $&os;: src/etc/crontab,v 1.32 2002/11/22 16:13:39 tom Exp $ # # SHELL=/bin/sh PATH=/etc:/bin:/sbin:/usr/bin:/usr/sbin HOME=/var/log # # #minute hour mday month wday who command # # */5 * * * * root /usr/libexec/atrun Как и в большинстве файлов настройки FreeBSD, символы # означают комментарии. Комментарии нужны для напоминания о том, что означает строка и зачем она добавлена. Комментарии не могут находиться на той же строке, что и команда, или они будут восприняты как часть команды; располагайте их на новой строке. Пустые строки игнорируются. Сначала должны быть заданы переменные окружения. Знак равно (=) используется для задания переменных окружения, в этом примере SHELL, PATH, и HOME. Если переменная для оболочки не задана, cron использует оболочку по умолчанию, sh. Если не задана переменная PATH, значение по умолчанию не устанавливается и пути к файлам должны быть полными. Если не задана переменная HOME, cron будет использовать домашний каталог соответствующего пользователя. В строке всего семь полей. Их значения minute, hour, mday, month, wday, who (кто), и command. Значение полей почти очевидно. minute это время в минутах, когда будет запущена команда. hour означает то же самое для часов. mday означает день месяца. month, это то же самое, что час и минута, но для месяцев. Параметр wday это день недели. Все эти поля должны быть в числовом формате, время в двадцатичетырехчасовом исчислении. Поле who имеет специальное значение, и присутствует только в файле /etc/crontab. Это поле определяет пользователя, с правами которого должна быть запущена команда. Когда пользователь устанавливает собственный файл crontab, он не указывает этот параметр. Последний параметр command. Он указывает команду, которая должна быть запущена. Последняя строка определяет параметры, описанные выше. Здесь задано значение */5, и несколько символов *. Эти символы * означают первый-последний, и могут быть интерпретированы как каждый. Таким образом, для этой строки соответствующая команда atrun вызывается под пользователем root каждые пять минут независимо от дня или месяца. За дополнительной информацией по команде atrun обращайтесь к странице справочника &man.atrun.8;. Команды могут принимать любое количество параметров; однако команды, состоящие из нескольких строк, должны быть объединены символом \. Этот формат одинаков для каждого файла crontab, за исключением одной детали. Шестое поле, где указано имя пользователя, присутствует только в файле /etc/crontab. Это поле должно быть исключено из crontab файлов пользователей. Установка crontab - Для установки готового crontab, используйте - утилиту crontab. Обычно она используется + + Вы не должны использовать процедуру, описанную здесь, для + установки системного crontab. Просто используйте свой + любимый текстовый редактор: утилита cron + узнает о том, что файл изменился и сразу начнет использовать + обновленную версию. Обратитесь к этой + части FAQ за дальнейшей информацией. + + + Для установки готового crontab пользователя, + сначала создайте в вашем любимом редакторе файл соответствующего + формата, а затем воспользуйтесь утилитой + crontab. Обычно она запускается так: - &prompt.root; crontab crontab + &prompt.user; crontab crontab-file + + В этом примере, crontab-file это имя файла + crontab, который только что был создан. Существует также параметр для просмотра установленных файлов - crontab, задайте crontab + crontab: задайте crontab параметр . Для пользователей, составляющих crontab вручную, без временного файла, существует параметр crontab -e. Она вызовет редактор с пустым файлом. Когда файл будет сохранен, crontab автоматически установит его. + Если позднее вы захотите полностью удалить свой + crontab, используйте + crontab с параметром . Tom Rhodes Предоставил Использование rc в FreeBSD 5.X rcNG В &os; недавно была интегрирована из NetBSD система rc.d, используемая для старта системы. Многие из файлов в каталоге /etc/rc.d предназначены для основных сервисов, они могут управляться параметрами , , и . Например, &man.sshd.8; может быть перезапущен следующей командой: &prompt.root; /etc/rc.d/sshd restart Эта процедура похожа для других сервисов. Конечно, сервисы обычно запускаются автоматически, как указано в &man.rc.conf.5;. Например, включение даемона Network Address Translation при запуске выполняется простым добавлением следующей строки в /etc/rc.conf: natd_enable="YES" Если уже присутствует, просто измените на . Скрипты rc автоматически загрузят все другие зависимые сервисы, как описано ниже. Поскольку система rc.d в основном предназначена для запуска/отключения сервисов во время запуска/отключения системы, стандартные параметры , и будут работать только если установлена соответствующая переменная в /etc/rc.conf. Например, команда выше sshd restart будет работать только если переменная sshd_enable в файле /etc/rc.confустановлена в . Для выполнения скриптов независимо от установок в /etc/rc.conf, параметры , или необходимо задавать с префиксом force. Например, для перезапуска sshd независимо от установок в /etc/rc.conf, выполните следующую команду: &prompt.root; /etc/rc.d/sshd forcerestart Проверить состояние переменной в файле /etc/rc.conf легко: запустите соответствующий скрипт из rc.d с параметром . Проверка переменной для sshd выполняется следующей командой: &prompt.root; /etc/rc.d/sshd rcvar # sshd $sshd_enable=YES Вторая строка (# sshd) это вывод команды sshd, а не консоль root. Чтобы определить, запущен ли сервис, существует параметр . Например для проверки того, запущен ли sshd, выполните: &prompt.root; /etc/rc.d/sshd status sshd is running as pid 433. Возможна также перегрузка () сервиса. Скрипт, запущенный с этим параметром, попытается отправить сервису сигнал, вызывающий перезагрузку файлов настройки. В большинстве случаев это означает отправку сервису сигнала SIGHUP. Структура rcNG используется не только для сетевых серверов, она отвечает также за большую часть инициализации системы. Рассмотрим, к примеру, файл bgfsck. Во время выполнения этот скрипт выводит следующее сообщение: Starting background file system checks in 60 seconds. Следовательно, этот файл используется для фоновой проверки файловых систем, которая выполняется только в процессе инициализации системы. Функционирование многих сервисов системы зависит от корректной работы других сервисов. Например, NIS и другие основанные на RPC сервисы могут не запуститься, пока не загрузится rpcbind (portmapper). Для разрешения этой проблемы, в начале каждого скрипта в комментарии включаются информация о зависимостях и другие метаданные. Программа &man.rcorder.8; для разбора этих комментариев во время старта системы для определения порядка, в котором должны вызываться системные сервисы в соответствии с зависимостями. В начало каждого стартового файла должны быть включены следующие строки: PROVIDE: Задает имя сервиса, предоставляемого этим файлом. REQUIRE: Список сервисов, необходимых этому сервису. Этот файл будет запущен после указанных сервисов. BEFORE: Список сервисов, зависящих от этого сервиса. Этот файл будет запущен до указанных сервисов. KEYWORD: &os; или NetBSD. Используется для функций, зависящих от версии *BSD. Используя этот метод, администратор может легко контролировать системные сервисы без использования уровней запуска, как в некоторых других операционных системах &unix;. Дополнительную информацию о системе rc.d &os; 5.X можно найти на страницах справочника &man.rc.8; и and &man.rc.subr.8;. Marc Fonvieille Предоставил Настройка карт сетевых интерфейсов настройка сетевой карты В наши дни мы не представляем себе компьютера без сетевого подключения. Добавление и настройка сетевой карты это обычная задача любого администратора &os;. Поиск подходящего драйвера настройка сетевой карты поиск драйвера В первую очередь определите тип используемой карты (PCI или ISA), модель карты и используемый в ней чип. &os; поддерживает многие PCI и ISA карты. Обратитесь к Списку поддерживаемого оборудования вашего релиза чтобы узнать, поддерживается ли карта. Как только вы убедились, что карта поддерживается, потребуется определить подходящий драйвер. В файле /usr/src/sys/i386/conf/LINT находится список драйверов сетевых интерфейсов с информацией о поддерживаемых чипсетах/картах. Если вы сомневаетесь в том, какой драйвер подойдет, прочтите страницу справочника к драйверу. Страница справочника содержит больше информации о поддерживаемом оборудовании и даже о проблемах, которые могут возникнуть. Если ваша карта широко распространена, вам скорее всего не потребуется долго искать драйвер. Драйверы для широко распространенных карт представлены в ядре GENERIC, так что ваша карта должна определиться при загрузке, примерно так: dc0: <82c169 PNIC 10/100BaseTX> port 0xa000-0xa0ff mem 0xd3800000-0xd38 000ff irq 15 at device 11.0 on pci0 dc0: Ethernet address: 00:a0:cc:da:da:da miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto dc1: <82c169 PNIC 10/100BaseTX> port 0x9800-0x98ff mem 0xd3000000-0xd30 000ff irq 11 at device 12.0 on pci0 dc1: Ethernet address: 00:a0:cc:da:da:db miibus1: <MII bus> on dc1 ukphy1: <Generic IEEE 802.3u media interface> on miibus1 ukphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto В этом примере две карты используют имеющийся в системе драйвер &man.dc.4;. Для использования сетевой карты потребуется загрузить подходящий драйвер. Это можно сделать двумя способами. Самый простой способ это загрузка модуля ядра для сетевой карты с помощью &man.kldload.8;. Не для каждой сетевой карты есть модуль (например ISA карты и карты, использующие драйвер &man.ed.4;). В качестве альтернативы, вы можете статически добавить поддержку сетевой карты в ядро. Проверьте /usr/src/sys/i386/conf/LINT и страницу справочника драйвера, чтобы узнать, что добавить в файл конфигурации ядра. За дополнительной информацией о пересборке ядра обращайтесь к . Если ваша карта была обнаружена ядром (GENERIC) во время загрузки, собирать новое ядро не потребуется. Настройка сетевой карты настройка сетевой карты настройка Как только для сетевой карты загружен подходящий драйвер, ее потребуется настроить. Как и многое другое, сетевая карта может быть настроена во время установки с помощью sysinstall. Для вывода информации о настройке сетевых интерфейсов системы, введите следующую команду: &prompt.user; ifconfig dc0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.1.3 netmask 0xffffff00 broadcast 192.168.1.255 ether 00:a0:cc:da:da:da media: Ethernet autoselect (100baseTX <full-duplex>) status: active dc1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.1 netmask 0xffffff00 broadcast 10.0.0.255 ether 00:a0:cc:da:da:db media: Ethernet 10baseT/UTP status: no carrier lp0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500 lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet 127.0.0.1 netmask 0xff000000 tun0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500 Старые версии &os; могут потребовать запуска &man.ifconfig.8; с параметром , за более подробным описанием синтаксиса &man.ifconfig.8; обращайтесь к странице справочника. Учтите также, что строки, относящиеся к IPv6 (inet6 и т.п.) убраны из этого примера. В этом примере были показаны следующие устройства: dc0: первый Ethernet интерфейс dc1: второй Ethernet интерфейс lp0: интерфейс параллельного порта lo0: устройство loopback tun0: туннельное устройство, используемое ppp Для присвоения имени сетевой карте &os; использует имя драйвера и порядковый номер, в котором карта обнаруживается при инициализации устройств. Например, sis2 это третья сетевая карта, использующая драйвер &man.sis.4;. В этом примере, устройство dc0 включено и работает. Ключевые признаки таковы: UP означает, что карта настроена и готова. У карты есть интернет (inet) адрес (в данном случае 192.168.1.3). Установлена маска подсети (netmask; 0xffffff00, то же, что и 255.255.255.0). Широковещательный адрес (в данном случае, 192.168.1.255). Значение MAC адреса карты (ether) 00:a0:cc:da:da:da Выбор физической среды передачи данных в режиме автовыбора (media: Ethernet autoselect (100baseTX <full-duplex>)). Мы видим, что dc1 была настроена для работы с 10baseT/UTP. За более подробной информацией о доступных драйверу типах среды обращайтесь к странице справочника. Статус соединения (status) active, т.е. несущая обнаружена. Для dc1, мы видим status: no carrier. Это нормально, когда ethernet кабель не подключен к карте. Если &man.ifconfig.8; показывает примерно следующее: dc0: flags=8843<BROADCAST,SIMPLEX,MULTICAST> mtu 1500 ether 00:a0:cc:da:da:da это означает, что карта не была настроена. Для настройки карты вам потребуются привилегии пользователя root. Настройка сетевой карты может быть выполнена из командной строки с помощью &man.ifconfig.8;, но вам потребуется делать это после каждой перезагрузки системы. Подходящее место для настройки сетевых карт это файл /etc/rc.conf. Откройте /etc/rc.conf в текстовом редакторе. Вам потребуется добавить строку для каждой сетевой карты, имеющейся в системе, например, в нашем случае, было добавлено две строки: ifconfig_dc0="inet 192.168.1.3 netmask 255.255.255.0" ifconfig_dc1="inet 10.0.0.1 netmask 255.255.255.0 media 10baseT/UTP" Замените dc0, dc1, и так далее на соответствующие имена ваших карт, подставьте соответствующие адреса. Обратитесь к страницам справочника сетевой карты и &man.ifconfig.8;, за подробной информацией о доступных опциях и к странице справочника &man.rc.conf.5; за дополнительной информацией о синтаксисе /etc/rc.conf. Если вы настроили сетевую карту в процессе установки системы, некоторые строки, касающиеся сетевой карты, могут уже присутствовать. Внимательно проверьте /etc/rc.conf перед добавлением каких-либо строк. Отредактируйте также файл /etc/hosts для добавления имен и IP адресов различных компьютеров сети, если их еще там нет. За дополнительной информацией обращайтесь к man.hosts.5; и к /usr/share/examples/etc/hosts. Тестирование и решение проблем Как только вы внесете необходимые изменения в /etc/rc.conf, перегрузите компьютер. Изменения настроек интерфейсов будут применены, кроме того будет проверена правильность настроек. Как только система перезагрузится, проверьте сетевые интерфейсы. Проверка Ethernet карты настройка сетевой карты тестирование карты Для проверки правильности настройки сетевой карты, попробуйте выполнить ping для самого интерфейса, а затем для другой машины в локальной сети. Сначала проверьте локальный интерфейс: &prompt.user; ping -c5 192.168.1.3 PING 192.168.1.3 (192.168.1.3): 56 data bytes 64 bytes from 192.168.1.3: icmp_seq=0 ttl=64 time=0.082 ms 64 bytes from 192.168.1.3: icmp_seq=1 ttl=64 time=0.074 ms 64 bytes from 192.168.1.3: icmp_seq=2 ttl=64 time=0.076 ms 64 bytes from 192.168.1.3: icmp_seq=3 ttl=64 time=0.108 ms 64 bytes from 192.168.1.3: icmp_seq=4 ttl=64 time=0.076 ms --- 192.168.1.3 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.074/0.083/0.108/0.013 ms Затем проверьте другую машину в локальной сети: &prompt.user; ping -c5 192.168.1.2 PING 192.168.1.2 (192.168.1.2): 56 data bytes 64 bytes from 192.168.1.2: icmp_seq=0 ttl=64 time=0.726 ms 64 bytes from 192.168.1.2: icmp_seq=1 ttl=64 time=0.766 ms 64 bytes from 192.168.1.2: icmp_seq=2 ttl=64 time=0.700 ms 64 bytes from 192.168.1.2: icmp_seq=3 ttl=64 time=0.747 ms 64 bytes from 192.168.1.2: icmp_seq=4 ttl=64 time=0.704 ms --- 192.168.1.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.700/0.729/0.766/0.025 ms Вы можете также использовать имя машины вместо 192.168.1.2, если настроен файл /etc/hosts. Решение проблем настройка сетевой карты решение проблем Решение проблем с аппаратным и программным обеспечением всегда вызывает сложности, которые можно уменьшить, проверив сначала самые простые варианты. Подключен ли сетевой кабель? Правильно ли настроены сетевые сервисы? Правильно ли настроен межсетевой экран? Поддерживается ли используемая карта в &os;? Всегда проверяйте информацию об оборудовании перед отправкой сообщения об ошибке. Обновите &os; до последней версии STABLE. Просмотрите архивы списков рассылки, или поищите информацию в интернет. Если карта работает, но производительность низка, может помочь чтение страницы справочника &man.tuning.7;. Проверьте также настройки сети, поскольку неправильные настройки могут стать причиной низкой скорости соединения. Некоторые пользователи встречаются с несколькими device timeouts, что нормально для некоторых сетевых карт. Если это продолжается и надоедает, убедитесь, что устройство не конфликтует с другим устройством. Внимательно проверьте подключение кабеля. Возможно также, что вам просто надо установить другую карту. Время от времени, пользователи видят несколько ошибок watchdog timeout. Первое, что требуется сделать, это проверить сетевой кабель. Многие карты требуют поддержки Bus Mastering слотом PCI. На некоторых старых материнских платах, только один PCI слот имеет такую поддержку (обычно слот 0). Сверьтесь с документацией на сетевую карту и материнскую плату, чтобы определить, может ли это быть проблемой. Сообщение No route to host появляются, если система не в состоянии доставить пакеты к хосту назначения. Это может случиться, если не определен маршрут по умолчанию, или кабель не подключен. Проверьте вывод команды netstat -rn и убедитесь, что к соответствующему хосту есть работающий маршрут. Если это не так, прочтите . Сообщения ping: sendto: Permission denied зачастую появляются при неправильно настроенном межсетевом экране. Если ipfw включен в ядре, но правила не определены, правило по умолчанию блокирует весь трафик, даже запросы ping! Прочтите с более подробной информацией. Иногда карты недостаточна, или ниже среднего. В этих случаях лучше всего изменить режим выбора типа подключения с autoselect на правильный тип. Обычно это работает для большинства оборудования, но не может решить проблему во всех случаях. Проверьте еще раз настройки сети и прочтите страницу руководства &man.tuning.7;. Настройка виртуальных серверов виртуальные сервера синонимы ip Очень часто &os; используется для размещения сайтов, когда один сервер работает в сети как несколько серверов. Это достигается присвоением нескольких сетевых адресов одному интерфейсу. У сетевого интерфейса всегда есть один настоящий адрес, хотя он может иметь любое количество синонимов (alias). Эти алиасы обычно добавляются путём помещения синонимов в /etc/rc.conf. Синоним для интерфейса fxp0 выглядит следующим образом: ifconfig_fxp0_alias0="inet xxx.xxx.xxx.xxx netmask xxx.xxx.xxx.xxx" Заметьте, что алиас записи должны начинаться с alias0 и идти далее в определенном порядке, (например, _alias1, _alias2, и т.д.). Конфигурационный процесс остановится на первом отсутствующем по порядку числе. Определение маски подсети для синонима очень важно, но к счастью, так же просто. Для каждого интерфейса должен быть один адрес с истинной маской подсети. Любой другой адрес в сети должен иметь маску подсети, состоящую из всех единичек. Например, рассмотрим случай, когда интерфейс fxp0 подключён к двум сетям, к сети 10.1.1.0 с маской подсети 255.255.255.0 и к сети 202.0.75.16 с маской 255.255.255.240. Мы хотим, чтобы система была видна по IP, начиная с 10.1.1.1 по 10.1.1.5 и с 202.0.75.17 по 202.0.75.20. Для этого должны быть внесены следующие записи: ifconfig_fxp0="inet 10.1.1.1 netmask 255.255.255.0" ifconfig_fxp0_alias0="inet 10.1.1.2 netmask 255.255.255.255" ifconfig_fxp0_alias1="inet 10.1.1.3 netmask 255.255.255.255" ifconfig_fxp0_alias2="inet 10.1.1.4 netmask 255.255.255.255" ifconfig_fxp0_alias3="inet 10.1.1.5 netmask 255.255.255.255" ifconfig_fxp0_alias4="inet 202.0.75.17 netmask 255.255.255.240" ifconfig_fxp0_alias5="inet 202.0.75.18 netmask 255.255.255.255" ifconfig_fxp0_alias6="inet 202.0.75.19 netmask 255.255.255.255" ifconfig_fxp0_alias7="inet 202.0.75.20 netmask 255.255.255.255" Файлы настройки Каталог <filename>/etc</filename> Во FreeBSD определён ряд директорий, предназначенных для хранения конфигурационных файлов. Это: /etc Основные файлы конфигурации системы. Тут размещены системно–зависимые данные. /etc/defaults Версии системных конфигурационных файлов по умолчанию. /etc/mail Дополнительные конфигурационные файлы &man.sendmail.8; остальные конфигурационные файлы MTA. /etc/ppp Настройка для user- и kernel-ppp программ. /etc/namedb Основное место расположения данных &man.named.8;. Обычно named.conf и файлы зон расположены здесь. /usr/local/etc Конфигурационные файлы установленных приложений. Могут содержать подкаталоги приложений. /usr/local/etc/rc.d Скрипты запуска/остановки установленных приложений. /var/db Автоматически генерируемые системно-специфичные файлы баз данных, такие как база данных пакетов, и так далее Имена хостов hostname DNS <filename>/etc/resolv.conf</filename> resolv.conf /etc/resolv.conf определяет, как ресолвер (resolver) &os; получает доступ к Системе Доменных Имён (DNS). Основные записи resolv.conf: nameserver IP адрес сервера имён. Сервера опрашиваются в порядке описания. Максимальное количество адресов - три. search Список доменов для поиска с помощью hostname lookup. Обычно определяется доменом, в котором находится компьютер. domain Домен, в котором находится компьютер. Типичный вид resolv.conf: search example.com nameserver 147.11.1.11 nameserver 147.11.100.30 Опции search и domain нельзя использовать совместно. Если вы используете DHCP, &man.dhclient.8; обычно перезаписывает resolv.conf информацией, полученной от серверов DHCP. <filename>/etc/hosts</filename> hosts /etc/hosts - простая текстовая база данных, напоминающая старый Интернет. Она работает совместно с DNS и NIS, сопоставляя доменные имена IP адресу. Отдельные компьютеры, соединённые с помощью локальной сети могут быть записаны тут вместо &man.named.8; сервера с целью упрощения. Кроме того, /etc/hosts используется для записи IP адресов и соответствующих им доменов, избавляя от внешнего трафика, используемого для запросов к DNS серверам. # $&os;$ # # Host Database # This file should contain the addresses and aliases # for local hosts that share this file. # In the presence of the domain name service or NIS, this file may # not be consulted at all; see /etc/nsswitch.conf for the resolution order. # # ::1 localhost localhost.my.domain myname.my.domain 127.0.0.1 localhost localhost.my.domain myname.my.domain # # Imaginary network. #10.0.0.2 myname.my.domain myname #10.0.0.3 myfriend.my.domain myfriend # # According to RFC 1918, you can use the following IP networks for # private nets which will never be connected to the Internet: # # 10.0.0.0 - 10.255.255.255 # 172.16.0.0 - 172.31.255.255 # 192.168.0.0 - 192.168.255.255 # # In case you want to be able to connect to the Internet, you need # real official assigned numbers. PLEASE PLEASE PLEASE do not try # to invent your own network numbers but instead get one from your # network provider (if any) or from the Internet Registry (ftp to # rs.internic.net, directory `/templates'). # Формат /etc/hosts: [IP адрес в Интернете] [имя компьютера] [alias1] [alias2] ... Например: 10.0.0.1 myRealHostname.example.com myRealHostname foobar1 foobar2 За дополнительной информацией обращайтесь к &man.hosts.5;. Настройка лог файлов лог файлы <filename>syslog.conf</filename> syslog.conf syslog.conf is является файлом конфигурации для &man.syslogd.8;. В нём указываются, типы сообщений генерируемые syslog, и лог файлы, в которые они записываются. # $&os;$ # # Spaces ARE valid field separators in this file. However, # other *nix-like systems still insist on using tabs as field # separators. If you are sharing this file between systems, you # may want to use only tabs as field separators here. # Consult the syslog.conf(5) manual page. *.err;kern.debug;auth.notice;mail.crit /dev/console *.notice;kern.debug;lpr.info;mail.crit;news.err /var/log/messages security.* /var/log/security mail.info /var/log/maillog lpr.info /var/log/lpd-errs cron.* /var/log/cron *.err root *.notice;news.err root *.alert root *.emerg * # uncomment this to log all writes to /dev/console to /var/log/console.log #console.info /var/log/console.log # uncomment this to enable logging of all log messages to /var/log/all.log #*.* /var/log/all.log # uncomment this to enable logging to a remote log host named loghost #*.* @loghost # uncomment these if you're running inn # news.crit /var/log/news/news.crit # news.err /var/log/news/news.err # news.notice /var/log/news/news.notice !startslip *.* /var/log/slip.log !ppp *.* /var/log/ppp.log За более полной информацией обратитесь к &man.syslog.conf.5;. <filename>newsyslog.conf</filename> newsyslog.conf newsyslog.conf - конфигурационный файл &man.newsyslog.8;, программы, обычно контролируемой &man.cron.8;. &man.newsyslog.8; определяет, когда лог-файлы нуждаются в архивировании и перегруппировке. logfile перемещается в logfile.0, logfile.0 перемещается в logfile.1, и так далее. Другое именование получится при архивировании с помощью &man.gzip.1;: logfile.0.gz, logfile.1.gz, и т.д. newsyslog.conf показывает, какие лог файлы должны быть проинспектированы, сколько их должно быть сохранено, и когда они должны быть пересмотрены. Лог файлы могут быть перегруппированы и/или заархивированы, когда они либо достигнут определённого размера, либо при достижении определённых даты/времени. # configuration file for newsyslog # $&os;$ # # filename [owner:group] mode count size when [ZB] [/pid_file] [sig_num] /var/log/cron 600 3 100 * Z /var/log/amd.log 644 7 100 * Z /var/log/kerberos.log 644 7 100 * Z /var/log/lpd-errs 644 7 100 * Z /var/log/maillog 644 7 * @T00 Z /var/log/sendmail.st 644 10 * 168 B /var/log/messages 644 5 100 * Z /var/log/all.log 600 7 * @T00 Z /var/log/slip.log 600 3 100 * Z /var/log/ppp.log 600 3 100 * Z /var/log/security 600 10 100 * Z /var/log/wtmp 644 3 * @01T05 B /var/log/daily.log 640 7 * @T00 Z /var/log/weekly.log 640 5 1 $W6D0 Z /var/log/monthly.log 640 12 * $M1D0 Z /var/log/console.log 640 5 100 * Z За дополнительной информацией обращайтесь к &man.newsyslog.8;. <filename>sysctl.conf</filename> sysctl.conf sysctl sysctl.conf очень похож на rc.conf. Значения устанавливаются в виде variable=value. Указанные значения устанавливаются после перевода системы в многопользовательский режим. Однако не все переменные могут быть установлены в этом режиме. Пример sysctl.conf настроенной для выключения нотирования фатальных ошибок и разрешения Linux-программам определять, что они запускаются под &os;: kern.logsigexit=0 # Do not log fatal signal exits (e.g. sig 11) compat.linux.osname=&os; compat.linux.osrelease=4.3-STABLE Настройка с помощью sysctl sysctl настройка с помощью sysctl &man.sysctl.8; - это интерфейс, позволяющий вам вносить изменения в работающую систему &os;. Эти изменения могут касаться многих опций стека TCP/IP и виртуальной памяти и могут облегчить опытному администратору жизнь. Более пяти тысяч системных переменных могут быть прочитаны и записаны с помощью &man.sysctl.8;. По своей сути, &man.sysctl.8; выполняет две функции: чтение и изменение настроек системы. Для просмотра всех доступных для чтения переменных:: &prompt.user; sysctl -a Чтобы прочитать определённую переменную, например, kern.maxproc, введите: &prompt.user; sysctl kern.maxproc kern.maxproc: 1044 Для присвоения значения переменной, используйте выражение вида переменная=значение: &prompt.root; sysctl kern.maxfiles=5000 kern.maxfiles: 2088 -> 5000 Изменяемые с помощью sysctl переменные обычно принимают значения либо строкового, либо целого, либо булевого типа. Переменные булевого типа могут принимать два значения (1 (истина) и 0 (ложь)). Tom Rhodes Предоставил Переменные &man.sysctl.8; только для чтения В некоторых случаях желательно изменить переменные &man.sysctl.8; только для чтения. Хотя это не рекомендуется, иногда другого способа решить проблему нет. Например, на некоторых моделях лэптопов диапазон памяти устройства &man.cardbus.4; не определяется и выдается приблизительно такая ошибка: cbb0: Could not map register memory device_probe_and_attach: cbb0 attach returned 12 Ситуации, похожие на эту, требуют изменения некоторых значений &man.sysctl.8;, модификация которых запрещена. Для разрешения этой ситуации пользователь может поместить &man.sysctl.8; OID в файл /boot/loader.conf. Значения по умолчанию хранятся в файле /boot/defaults/loader.conf. Решение проблемы, приведенной выше, потребует помещения строки в вышеупомянутый файл. Теперь &man.cardbus.4; будет работать нормально. Оптимизация дисков Переменные Sysctl <varname>vfs.vmiodirenable</varname> vfs.vmiodirenable Значением переменной vfs.vmiodirenable может быть установлено в 0 (выключено) или 1 (включено); по умолчанию 1. Эта переменная отвечает за метод кэширования каталогов. Размер большинства каталогов невелик. Они могут поместиться в одном фрагменте (обычно 1K), и могут занимать ещё меньше места (обычно 512 байт) в кэше буфера. Однако, при работе в стандартном режиме буфер прокэширует только заданное число каталогов даже если у вас много памяти. Включение этого параметра sysctl позволит использовать страничное кэширование VM, делая доступным для кэширования каталогов весь объём памяти. Однако, минимальный объём памяти, используемой для кэширования каталогов стал равен объёму страницы (обычно 4 K) вместо 512 байт. Мы рекомендуем включить эту опцию, если ваш компьютер исполняет программы, манипулирующие значительным количеством файлов. Примером таких программ могут быть кэширующие прокси-серверы, большие почтовые серверы и серверы новостей. Обычно включение этой опции не понижает производительности, однако лучше поэкспериментировать, чтобы узнать оптимальное значение для вашей машины. <varname>vfs.write_behind</varname> vfs.write_behind Переменная sysctl vfs.write_behind по умолчанию установлена в 1 (включено). Она указывает системе выполнять запись на носитель по кластерам, что обычно делается для больших файлов. Идея в том, чтобы избежать заполнения кэша неполными буферами, когда это не увеличивает производительность. Однако, это может заблокировать процессы и в некоторых случаях вам может понадобиться отключить этот параметр. <varname>vfs.hirunningspace</varname> vfs.hirunningspace Переменная sysctl vfs.hirunningspace определяет число запросов записи на диск, которые могут быть поставлены в очередь. Значение по умолчанию обычно подходит, но на компьютерах с большим количеством дисков вы можете увеличить его до четырех или пяти мегабайт. Учтите, что установка слишком большого значения (превышающего размер буфера записи) может привести к очень значительному падению общей производительности. Не делайте это значение произвольно большим! Большие значения могут привести к задержкам чтения, выполняемого в то же время Есть много других переменных sysctl, относящихся к кэшированию в буфер и страничному кэшированию VM. Мы не рекомендуем изменять эти значения. Начиная &os; 4.3, система VM делает отличную работу по автоматической самонастройке. <varname>vm.swap_idle_enabled</varname> vm.swap_idle_enabled Переменная sysctl vm.swap_idle_enabled полезна в больших многопользовательских системах, где есть много пользователей, входящих и выходящих из системы, и множество ожидающих процессов. Такие системы обычно генерируют большое количество запросов на выделение памяти. Включение этой переменной и настройка задержки выгрузки (swapout hysteresis, в секундах) установкой переменных vm.swap_idle_threshold1 и vm.swap_idle_threshold2 позволит освобождать страницы памяти, занятые ожидающими процессами, более быстро, чем при нормальном алгоритме выгрузки. Это помогает даемону выгрузки страниц. Не включайте этот параметр, пока он на самом деле вам не понадобится, поскольку его действие в сущности заключается в более ранней выгрузке страниц из памяти; это повышает нагрузку на подкачку и диск. В малых системах эффект от включения этого параметра предсказуем, но в больших системах нагруженной на подкачкой этот параметр позволяет системе VM проще загружать и выгружать процессы из памяти. <varname>hw.ata.wc</varname> hw.ata.wc Во &os; 4.3 кэширование записи на IDE диски было отключено. Это понижало производительность IDE дисков в тестах, но было необходимо для лучшей сохранности данных. Проблема состоит в том, что IDE диски неправильно указывают время завершения записи на диск. При включенном кэшировании IDE диски могут не только записать данные в неправильном порядке – при большой нагрузке на диск некоторые блоки могут задержаться до бесконечности. Сбой, или отключение питания могут могут стать причиной серьёзных повреждений в файловой системе. Поэтому для безопасности системы значение по умолчанию этого параметра было изменено. К сожалению, результатом этого стало столь значительная потеря производительности, что после выхода релиза значение этого параметра было возвращено в первоначальное состояние. Вам следует проверить значение переменной sysctl hw.ata.wc на вашей машине. Если кэширование выключено - вы можете включить его, установив значение переменной ядра, равное 1. Это должно быть сделано при помощи загрузчика при загрузке. Если вы сделаете это позже - изменения не будут иметь силы. За более подробной информацией обращайтесь к &man.ata.4;. <option>SCSI_DELAY</option> (<varname>kern.cam.scsi_delay</varname>) kern.cam.scsi_delay Параметр настройки ядра может использоваться для уменьшения времени загрузки системы. Значение по умолчанию велико и может составлять более 15 секунд в процессе загрузки. Уменьшение его до 5 секунд обычно работает (особенно с современными дисками). В новые версии &os; (5.0+) должен использоваться параметр kern.cam.scsi_delay, настраиваемый во время загрузки. Этот параметр и параметр настройки ядра принимают значения в миллисекундах, а не в секундах. Soft Updates Soft Updates tunefs Программа &man.tunefs.8; используется для настройки файловой системы. Эта программа может принимать большое количество параметров, но мы рассмотрим лишь один из них - включение и выключение Soft Updates, что может быть достигнуто следующим образом: &prompt.root; tunefs -n enable /filesystem &prompt.root; tunefs -n disable /filesystem Нельзя изменять файловую систему с помощью &man.tunefs.8; когда она смонтирована. Самое подходящее время для включения "Soft Updates" - перед монтированием разделов, в однопользовательском режиме. Начиная с &os; 4.5, можно включить Soft Updates во время создания файловой системы, используя &man.newfs.8; с параметром -U. Soft Updates существенно увеличивают скорость создания и удаления файлов путём использования кэширования. Мы рекомендуем использовать Soft Updates на всех ваших файловых системах. Однако у Soft Updates есть и обратные стороны: во-первых, Soft Updates гарантирует целостность файловой системы в случае сбоя, но может наблюдаться задержка в несколько секунд (или даже минуту!) перед записью на жесткий диск. Если система зависнет - вы можете потерять больше, чем, если бы вы не включили Soft Updates. Во-вторых, Soft Updates задерживает освобождение блоков файловой системы. Если ваша файловая система заполнена, выполнение значительного обновления, например. make installworld, может вызвать переполнение. Дополнительная информация о Soft Updates Soft Updates детали Есть два традиционных способа записи метаданных файловых систем на диск. (Пример метаданных: индексные дескрипторы и каталоги.) Исторически, поведение по умолчанию заключается в синхронном обновлении метаданных. Если каталог был изменен, система ждет, пока изменение не будет физически записано на диск. Содержимое файлов проходит через кэш и записывается на диск асинхронно. Преимущество этого способа в его надежности. При сбое во время обновления метаданные остаются в нормальном состоянии. Файл либо создается целиком, либо вообще не создается. Если блоки данных не были записаны в файл из буфера во время сбоя, &man.fsck.8; сможет определить это и восстановить файловую систему, установив длину файла в 0. Кроме того, реализация этого способа проста и понятна. Недостаток в том, что обновление метаданных занимает много времени. Команда rm -r, например, последовательно удаляет все файлы в каталоге, и каждое изменение в каталоге (удаление файла) будет синхронно записано на диск. Сюда включаются обновления самого каталога, таблицы индексных дескрипторов, и возможно блоков, занятых файлом. Те же соглашения работают при распаковке больших иерархий (tar -x). Другой вариант это асинхронное обновление метаданных. Это поведение по умолчанию для Linux/ext2fs и *BSD ufs с параметром mount -o async. Все обновления метаданных просто пропускаются через кэш буфера, как и содержимое файлов. Преимущество этой реализации в том, что нет необходимости ждать каждый раз, пока метаданные будут записаны на диск, поэтому все операции с большим объемом обновления метаданных будут происходить гораздо быстрее чем при синхронном обновлении. Кроме того, реализация все еще проста и понятна, поэтому риск появления ошибок в коде невелик. Недостаток в том, что нет никаких гарантий исправности файловой системы. Если во время во время обновления большого объема метаданных произойдет сбой (например, отключение питания, или нажатие кнопки reset), файловая система останется в непредсказуемом состоянии. Нет возможности определить состояние файловой системы после такого сбоя; блоки данных файла могут быть уже записаны на диск, а обновления таблицы индексных дескрипторов нет. Невозможно реализовать fsck, которая могла бы исправить получившийся хаос (поскольку необходимой информации нет на диске). Если файловая система была уничтожена во время восстановления, единственный способ восстановления — запустить &man.newfs.8; и воспользоваться резервной копией. Обычное решение этой проблемы состояло в реализации протоколировании проблемной области (dirty region logging), известном как журналирование, хотя этот термин использовался неправильно и порой также применялся к другим формам протоколирования транзакций. Обновление метаданных как и прежде происходит синхронно, но в отдельную область диска. Позже они перемещаются туда, где должны быть. Поскольку область протоколирования это небольшая, последовательная область диска, головкам жесткого диска не приходится перемещаться на большие расстояния даже во время значительных обновлений, поэтому такой способ быстрее, чем синхронные обновления. Кроме того, сложность реализации довольно ограничена, поэтому риск внесения ошибок невелик. Недостаток в том, что все обновления метаданных записываются дважды (один раз в область протоколирования и один раз окончательно), поэтому при обычной работе производительность может понизиться. С другой стороны, в случае сбоя все незаконченные действия с метаданными могут быть быстро отменены, или завершены после загрузки системы, поэтому система после сбоя загружается быстрее. Kirk McKusick, разработчик Berkeley FFS, решил эту проблему с помощью Soft Updates: все незавершенные обновления метаданных находятся в памяти и записываются на диск в упорядоченном виде (упорядоченное обновления метаданных). При значительных обновлениях метаданных более поздние обновления присоединяются к предыдущим, если они все еще находятся в памяти и еще не записаны на диск. Поэтому все операции, скажем, над каталогом, обычно выполняются в памяти перед записью обновления на диск (блоки данных сортируются в соответствии с их положением, так что они не будут записаны на диск до метаданных. При крахе операционной системы выполняется откат: считается, что все операции, не записанные на диск, никогда не происходили. Файловая система находится в том состоянии, в котором она была за 30–60 секунд до сбоя. Используемый алгоритм гарантирует, что все используемые ресурсы маркированы соответствующим образом в своих областях: блоки и индексные дескрипторы. После сбоя могут остаться только ошибки, выделения ресурсов, они помечаются как используемые, хотя на самом деле свободны. &man.fsck.8; разбирается в ситуации и освобождает более не используемые ресурсы. После сбоя система может быть безопасно смонтирована с опцией mount -f. Для освобождения ресурсов, которые могут не использоваться, в дальнейшем потребуется запустить &man.fsck.8;. Эта идея лежит в основе background (фоновая) fsck: во время запуска системы записывается только снимок файловой системы. Все системы могут быть смонтированы в грязном состоянии, и система загружается в многопользовательский режим. Затем, фоновые fsck ставятся в очередь для всех систем, где это требуется, чтобы освободить неиспользуемые ресурсы. (Файловые системы, где не используются Soft Updates, все еще требуют запуска fsck в обычном режиме). Преимущество этого способа в том, что обновления метаданных происходят почти так же быстро, как при асинхронных обновлениях (т.е. быстрее, чем при журналировании, когда метаданные записываются дважды). Недостаток в сложности кода (подразумевающим больший риск появления ошибок в области, где вероятность потери данных пользователя особенно высока) и в более высоких требованиях к объему памяти. К тому же могут возникнуть некоторые странные на первый взгляд ситуации. После сбоя состояние файловой системы несколько более старое. В ситуации, когда стандартный способ синхронизации оставит несколько файлов нулевой длины после выполнения fsck, в файловой системе с Soft Updates их не останется вовсе, поскольку ни метаданные, ни содержимое файлов не были записаны на диск. Дисковое пространство не будет освобождено пока обновления не будут записаны на диск, что может занять некоторое время после выполнения rm. Это может повлечь проблемы при установке большого количества файлов на файловую систему, где не хватает места для помещения всех файлов дважды. Изменение ограничений, накладываемых ядром оптимизация параметры ядра Ограничения на Файлы/Процессы <varname>kern.maxfiles</varname> kern.maxfiles Значение kern.maxfiles может быть увеличено или уменьшено в зависимости от потребностей вашей системы. Эта переменная определяет максимальное число дескрипторов файлов. Когда таблица дескрипторов файлов полна, в очереди системных сообщений появится сообщение file: table is full. Это сообщение может быть прочитано с помощью команды dmesg. Каждый открытый файл, сокет или буфер использует дескриптор файла. Широкомасштабному серверу может понадобиться много тысяч дескрипторов файлов, в зависимости от количества программ, одновременно выполняемых на сервере. Стандартное значение kern.maxfile определяется переменной в вашем файле конфигурации ядра. Значение kern.maxfiles увеличивается пропорционально значению . При компилировании ядра, нужно установить эту переменную согласно потребностям вашей системы. Исходя из значения этой переменной, ядро устанавливает значения большинства предопределённых переменных. Даже если предполагается, что к компьютеру не будут одновременно подсоединяться 256 пользователей, требуемые ресурсы могут быть такими же, как у крупномасштабного сервера. Начиная с &os; 4.5, установка значения в 0 в файле конфигурации ядра выберет подходящее значение по умолчанию, основанное на объеме оперативной памяти системы. <varname>kern.ipc.somaxconn</varname> kern.ipc.somaxconn Переменная sysctl kern.ipc.somaxconn ограничивает размер очереди для приема новых TCP соединений. Значение по умолчанию 128 слишком мало для надежной обработки новых соединений для нагруженного web сервера. Для такого сервера рекомендуется увеличить это значение до 1024 или выше. Даемон сервиса может сам ограничивать очередь приема новых соединений (например, &man.sendmail.8;, или Apache), но обычно в файле настройки даемона есть директива для настройки длины очереди. Более длинная очередь также помогает избежать атак Denial of Service (DoS). Сетевые Ограничения Опция ядра обуславливает количество Mbuf, доступных на машине. На сервере с большим трафиком и маленьким Mbuf производительность будет пониженной. Каждый кластер представлен двумя килобайтами памяти, поэтому значение 1024 означает 2 мегабайта памяти ядра, зарезервированной для сетевых буферов. Для определения оптимального значения необходимо провести простые вычисления. Если у вас веб сервер, который может обслуживать 1000 одновременных соединений, и каждое соединение съедает 16 K буфера приема и 16 K буфера отправки, вам потребуется 32 MB памяти под буферы. Хорошее правило — умножение этого значения на 2, 2x32 MB / 2 KB = 64 MB / 2 kB = 32768. Мы рекомендуем значения между 4096 и 32768 для машин с большим объемом памяти. Не указывайте произвольно большое значение параметра, это может привести к падению системы при загрузке. Используйте &man.netstat.1; для определения количества используемых сетевых кластеров. Для настройки в процессе загрузки используйте в loader переменную kern.ipc.nmbclusters. Только в старых версиях &os; потребуется пересобрать ядро (&man.config.8;) с измененным параметром . Для нагруженных серверов, интенсивно использующих системный вызов &man.sendfile.2;, может потребоваться увеличения буферов &man.sendfile.2; с помощью параметра конфигурации ядра , или изменения значения путем установки переменной в /boot/loader.conf (обратитесь к &man.loader.8; за подробностями). Общий признак того, что параметр требуется изменить — состояние процессов sfbufa. Переменная sysctl kern.ipc.nsfbufs установлена только для чтения. Этот параметр увеличивается вместе с kern.maxusers, хотя может потребоваться увеличить его отдельно. Даже если сокет помечен как неблокирующий, вызов &man.sendfile.2; на неблокирующем сокете может вызвать блокирование &man.sendfile.2;, пока не станет доступным достаточное количество struct sf_buf. <varname>net.inet.ip.portrange.*</varname> net.inet.ip.portrange.* Переменные sysctl net.inet.ip.portrange.* контролируют диапазоны номеров портов, автоматически привязываемых к TCP и UDP сокетам. Есть три диапазона: нижний диапазон, диапазон по умолчанию и верхний диапазон. Большинство сетевых программ используют диапазон по умолчанию, контролируемый net.inet.ip.portrange.first и net.inet.ip.portrange.last, установленными соответственно в 1024 и 5000. Диапазоны портов привязки используются исходящих соединений и при некоторых условиях портов может не хватить. Это чаще всего происходит на сильно загруженном прокси сервере. Диапазон портов не становится проблемой при работе серверов, которые обрабатывают в основном входящие соединения, или с небольшим количеством исходящих соединений, например mail relay. Для ситуаций, когда возможен недостаток портов, рекомендуется немного увеличить net.inet.ip.portrange.last. Может подойти значение 10000, 20000, или 30000. Учтите также возможное влияние межсетевого экрана при изменении диапазона портов. Некоторые могут блокировать большие диапазоны портов (обычно с небольшими номерами) и вынуждают использовать более высокие диапазоны для исходящих соединений. По этой причине рекомендуется настроить значение net.inet.ip.portrange.first. TCP Bandwidth Delay Product TCP Bandwidth Delay Product Limiting net.inet.tcp.inflight_enable TCP Bandwidth Delay Product Limiting похоже на TCP/Vegas в NetBSD. Оно может быть включено установкой переменной sysctl net.inet.tcp.inflight_enable в 1. Система попытается вычислить задержку пакетов для каждого соединения и ограничить объем данных в очереди сети до значения, требуемого для поддержания оптимальной пропускной способности. Эта возможность полезна при передаче данных через модемы, Gigabit Ethernet, или даже через высокоскоростные WAN соединения (или любые другие соединения с большой задержкой передачи), особенно если вы также используете изменение размера окна или настроили большое окно передачи. Если вы включили этот параметр, убедитесь также, что переменная net.inet.tcp.inflight_debug установлена в 0 (отладка выключена), а для использования в реальных может понадобиться установка переменной net.inet.tcp.inflight_min к значению как минимум 6144. Но учтите, что установка большого значения этой переменной может фактически отключить ограничение в зависимости от вида соединения. Ограничение уменьшает количество данных на определенном маршруте и управляет очередью пакетов, как и уменьшает общее количество данных в очереди локального интерфейса хоста. С меньшим количеством пакетов в очереди двусторонние интерактивные соединения, особенно на медленных линиях, могут проходить быстрее. Но имейте ввиду, что эта функция работает только при передаче данных (передача данных / сторона сервера). Она не работает при получении данных (загрузке). Изменение значения переменной net.inet.tcp.inflight_stab не рекомендуется. Этот параметр по умолчанию равен 20, что означает добавление 2 пакетов к вычислению задержки передачи. Дополнительное окно требуется для стабилизации алгоритма и улучшения ответной реакции на изменение условий, но также приводит к большему времени ping на медленных соединениях (задержка все же гораздо меньше, чем без алгоритма inflight). Вы можете попробовать уменьшить этот параметр до 15, 10 или 5; а также уменьшить net.inet.tcp.inflight_min (например, до 3500) для получения желаемого эффекта. Уменьшение значений этих параметров может использоваться только как крайняя мера. Увеличение объема подкачки Вне зависимости от того, что вы планировали, иногда система ведет себя неожиданно. Если вам потребовался дополнительный объем подкачки, его довольно просто добавить. Есть три способа увеличения объема подкачки: добавить новый жесткий диск, включить подкачку по NFS, или создать файл подкачки на существующем разделе. Подкачка на новом жестком диске Лучший способ добавить подкачку, конечно, использовать еще один жесткий диск. Вы можете сделать это в любой момент. Если такой способ подходит, прочтите еще раз информацию по разделу подкачки из раздела Руководства по первоначальной настройке, где рассказывается о наилучшем способе организации раздела подкачки. Подкачка через NFS Подкачка через NFS рекомендуется только в том случае, если в системе отсутствует жесткий диск. Подкачка через NFS медленна и неэффективна в версиях &os; до 4.X. Она довольно быстра и эффективна в 4.0-RELEASE и выше. Но даже в новых версиях &os;, подкачка через NFS ограничена скоростью сетевого подключения и к тому же дополнительно нагружает NFS сервер. Файлы подкачки Вы можете создать файл определенного размера и использовать его как файл подкачки. В нашем примере будет использован файл /usr/swap0 размером 64MB. Конечно, вы можете использовать любое имя. Создание файла подкачки в &os; 4.X Убедитесь, что ядре включен драйвер vnode. Он невключен в последних версиях GENERIC. pseudo-device vn 1 #Vnode driver (turns a file into a device) Создайте устройство vn: &prompt.root; cd /dev &prompt.root; sh MAKEDEV vn0 Создайте файл подкачки (/usr/swap0): &prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64 Установите подходящие права на (/usr/swap0): &prompt.root; chmod 0600 /usr/swap0 Включите файл подкачки в /etc/rc.conf: swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired. Перегрузите компьютер, или для включения подкачки прямо сейчас выполните: &prompt.root; vnconfig -e /dev/vn0b /usr/swap0 swap Создание файла подкачки в &os; 5.X Убедитесь, что в файле настройки ядра присутствует драйвер виртуального диска (&man.md.4;). Он есть в ядре GENERIC. device md # Memory "disks" Создайте файл подкачки (/usr/swap0): &prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64 Установите подходящие права на (/usr/swap0): &prompt.root; chmod 0600 /usr/swap0 Включите файл подкачки в /etc/rc.conf: swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired. Перегрузите компьютер или для включения подкачки прямо сейчас введите: &prompt.root; mdconfig -a -t vnode -f /usr/swap0 -u 0 && swapon /dev/md0 Hiten Pandya Написал Tom Rhodes Управление питанием и ресурсами Очень важно использовать аппаратные ресурсы эффективно. До того, как появился ACPI, управление потреблением питания и температурными характеристиками системы было очень сложной для операционной системы задачей. Аппаратное обеспечение контролировалось одним из видов встроенного интерфейса BIOS, таким как: Plug and Play BIOS (PNPBIOS), Advanced Power Management (APM) и так далее. Управление питанием и ресурсами это один из ключевых компонентов современной операционной системы. Например, вам может потребоваться, чтобы операционная система следила за температурными ограничениями и возможно, предупреждала при неожиданном росте температуры. В этом разделе Руководства &os;, мы предоставим исчерпывающую информацию о ACPI. В конце раздела есть ссылки для дальнейшего чтения. Учтите, что ACPI есть только в &os; 5.X и выше в качестве стандартного модуля ядра. В &os; 4.9 ACPI можно включить добавлением строки device acpi к файлу настройки ядра и его пересборкой. Что такое ACPI? Advanced Configuration and Power Interface (ACPI) это стандарт, написанный объединением поставщиков в целях предоставления стандартного интерфейса для аппаратных ресурсов и управления питанием (отсюда и название). Это ключевой элемент Operating System-directed configuration and Power Management, т.е.: он предоставляет операционной системе (OS) больше контроля и более универсален. Современные системы вышли за пределы ограничений существующих Plug and Play интерфейсов (таких как APM, использовавшийся в &os; 4.X), до появления ACPI. ACPI это прямой наследник APM (Advanced Power Management). Недостатки Advanced Power Management (APM) Средства Advanced Power Management (APM) управляют энергопотреблением системы в зависимости от нагрузки. APM BIOS предоставляется поставщиком системы и специфичен для данной аппаратной платформы. Драйвер APM в OS обеспечивает доступ к APM Software Interface, который позволяет управлять уровнями потребления питания. В APM имеется четыре основных проблемы. Во-первых, управление энергопотреблением осуществляется через зависимый от поставщика BIOS, и OS ничего не знает нем. Один пример: когда пользователь устанавливает время ожидания для жесткого диска в APM BIOS, и это время истекает, BIOS останавливает жесткий диск без согласования с OS. Во-вторых, алгоритм APM встроен в BIOS, и все действия происходят вне контроля OS. Это означает, что пользователи могут решить проблемы с APM BIOS только путем перепрошивки его ROM; это очень опасная процедура, и если она завершится неудачно, система может прийти в невосстановимое состояние. В-третьих, реализация технологии APM зависит от поставщика, что означает дублирование усилий и если в BIOS одного из поставщиков будет найдена и исправлена ошибка, ее могли не исправить другие поставщики. Наконец, объем APM BIOS недостаточно велик для реализации сложной политики управления питанием, или такой политики, которая может хорошо адаптироваться к потребностям компьютера. Plug and Play BIOS (PNPBIOS) был неудобен во многих ситуациях. PNPBIOS это 16-битная технология, поэтому OS требовалось использовать 16-битную эмуляцию для взаимодействия с методами PNPBIOS. &os; драйвер APM документирован в странице справочника &man.apm.4;. Настройка <acronym>ACPI</acronym> &man.loader.8; загружает драйвер acpi.ko по умолчанию, его не надо встраивать в ядро. Причина в том, что с модулями проще работать, например переключиться на другой acpi.ko без пересборки ядра. Преимущество в упрощении тестирования. Другая причина в том, что запуск ACPI после старта системы не очень полезен и при некоторых условиях может приводить к краху. Если вы сомневаетесь, отключите ACPI совсем. Драйвер не должен и не может быть выгружен, поскольку системная шина используется для различных взаимодействий оборудования. ACPI может быть выключен с помощью утилиты &man.acpiconf.8;. Фактически большинство взаимодействий с ACPI может быть выполнено через &man.acpiconf.8;. В основном это означает, что если в выводе &man.dmesg.8; есть что-то об ACPI, он скорее всего работает. ACPI и APM не могут сосуществовать и должны использоваться раздельно. Каждый из них прервет загрузку, если обнаружит загруженный драйвер другого. В простейшей форме, ACPI может использоваться для перевода системы в спящий режим с помощью &man.acpiconf.8;, с флагом и параметром 1-5. Большинству пользователей нужен только параметр 1. Параметр 5 сделает мягкое завершение работы, так же как и: &prompt.root; halt -p Доступны и другие параметры. Обратитесь к странице справочника &man.acpiconf.8; за дополнительной информацией. Nate Lawson Написал Peter Schultz При помощи - - Tom Rhodes - и Использование и отладка &os; <acronym>ACPI</acronym> ACPI это фундаментально новый способ обнаружения устройств, управления энергопотреблением и предоставления стандартизированного доступа к различному оборудованию, ранее управлявшемуся BIOS. Был достигнут определенный прогресс в приспособлении ACPI к работе со всеми системами, но все еще встречаются ошибки - в байткоде AML некоторых материнских плат, + в байткоде ACPI Machine + Language (AML) некоторых материнских плат, незавершенные участки кода в подсистемах ядра &os; и ошибки в интерпретаторе ACPI-CA. Этот раздел предназначен для того, чтобы упростить ваше содействие разработчикам &os; ACPI в определении причин наблюдаемых вами проблем, выполнении отладки и выработке решения. Спасибо за помощь и надеемся, что мы сможем помочь в решении проблем вашей системы. Отправка отладочной информации + + Перед отправкой сообщения об ошибке убедитесь, что + у вас последняя версия BIOS, и, если + доступна, последняя версия firmware встроенного + контроллера. + + Те из вас, кто желает составить сообщение о проблеме прямо сейчас, могут воспользоваться адресом freebsd-acpi@FreeBSD.org, отправив на него следующую информацию: Описание неправильного поведения, включая тип системы, модель и все, что приводит к появлению ошибки. Кроме того, сообщите настолько точно, насколько возможно, когда появилась ошибка, если ранее вы ее не видели. Вывод dmesg после boot , включая все сообщения, появившиеся при изучении ошибки. Вывод dmesg после boot с выключенным ACPI, если его отключение помогает решить проблему. Вывод sysctl hw.acpi. Это также хороший способ получения списка возможностей системы. URL где можно найти ваш - ASL. Не отправляйте + ACPI Source Language + (ASL). Не отправляйте ASL непосредственно в список рассылки, поскольку он может быть очень большим. Копия ASL может быть создана командой: - &prompt.root; acpidump -t -d > $NAME-$SYSTEM.asl + &prompt.root; acpidump -t -d > name-system.asl (Замените вашим логином - $NAME и производителем/моделью - $SYSTEM. Пример: + name и производителем/моделью + system. Пример: njl-FooCo6000.asl) - Большинство разработчиков читают список рассылки freebsd-current, + Большинство разработчиков читают список рассылки &a.current;, но для уверенности, что проблему увидят, отправьте ее в - acpi. Будьте терпеливы, все мы заняты полный рабочий день где-то + &a.acpi.name;. Будьте терпеливы, все мы заняты полный рабочий день где-то еще. Если ваше сообщение не заметили сразу, мы возможно попросим вас отправить PR (сообщение о проблеме) через &man.send-pr.1;. При вводе PR, включайте ту же информацию, что запрошена выше. Это поможет нам отследить проблему и решить ее. Не отправляйте PR без предварительной отправки письма в - acpi, поскольку мы используем PR в качестве + &a.acpi.name;, поскольку мы используем PR в качестве напоминаний о существующих проблемах, а не как механизм сообщений об ошибках. Вероятно, о вашей проблеме кто-то уже сообщал ранее. Общие сведения ACPI представлен во всех современных компьютерах, соответствующих архитектурам ia32 (x86), ia64 (Itanium) и amd64 (AMD). Полный стандарт включает множество возможностей, в том числе управление производительностью CPU, уровнем питания, температурой, различными системами аккумуляторов, встроенными контроллерами и опросом шины. В большинстве систем стандарт реализован не полностью. Например, настольные системы обычно реализуют только опрос шины, а портативные компьютеры кроме того могут поддерживать управление охлаждением и энергопотреблением. Они также поддерживают приостановку и последующий запуск системы различного уровня сложности. ACPI-совместимые системы состоят из различных компонентов. Производители BIOS и чипсетов предоставляют различные жестко заданные таблицы, (например, FADT), которые определяют функции вроде карты APIC (используется для SMP), регистры настройки и простые значения параметров. Кроме того, предоставляется таблица - байткода (DSDT), определяющая древоподобное + байткода (Differentiated System Description + Table, DSDT), определяющая древоподобное пространство имен устройств и методов. Драйвер ACPI должен прочесть заданные таблицы, реализовать интерпретатор для байткода, модифицировать драйвера устройств и ядро для приема информации от подсистемы ACPI. Для &os;, Intel предоставила интерпретатор (ACPI-CA), тот же что для Linux и NetBSD. Исходный код ACPI-CA находится в каталоге src/sys/contrib/dev/acpica. Код для приспособления ACPI-CA к работе в &os;, находится в src/sys/dev/acpica/Osd. Наконец, драйвера, реализующие различные ACPI устройства, находятся в src/sys/dev/acpica. Часто встречающиеся проблемы Для правильной работы ACPI все ее части должны работать правильно. Вот некоторые часто встречающиеся проблемы, в порядке частоты появления, и некоторые обходные пути или исправления. Приостановка/возобновление работы ACPI поддерживает три состояния приостановки в RAM (STR), S1-S3, и одно состояние приостановки на диск (STD), называемое S4. S5 это мягкое выключение и это нормальное состояние системы, когда она подключена к сети, но не включена. S4 может быть реализован двумя различными путями. S4BIOS это BIOS-поддерживаемая приостановка на диск. S4OS реализуется полностью операционной системой. Начните с проверки переменных sysctl , относящихся к приостановке (suspend). Вот результат для моего Thinkpad: hw.acpi.supported_sleep_state: S3 S4 S5 hw.acpi.s4bios: 0 - Это означает, что я могу использовать acpiconf - для тестирования S3, + Это означает, что я могу использовать acpiconf + -s для тестирования S3, S4OS, и S5. Если был единицей - (1), это означает поддержку + (1), это означает поддержку S4BIOS вместо S4OS. При тестировании приостановки/возобновления работы, начните с S1, если этот режим поддерживается. Это состояние скорее всего поддерживается, поскольку не требует слишком серьезной поддержки со стороны драйвера. Никто не реализовал S2, который похож на S1. Следующий режим для тестирования это S3. Это наиболее глубокое STR состояние, оно требует существенной поддержки со стороны драйвера, чтобы правильно реинициализировать оборудование. Если у вас возникли проблемы при выходе из этого состояния, - отправьте письмо в рассылку acpi, но не ждите, что + отправьте письмо в рассылку &a.acpi.name;, но не ждите, что проблема будет обязательно решена, поскольку существует множество драйверов/оборудования, нуждающихся в дальнейшем тестировании и разработке. Для изоляции проблемы удалите из ядра столько драйверов, сколько возможно. Если это работает, вы можете выяснить, какой драйвер вызывает проблему путем загрузки драйверов до тех пор, пока опять не произойдет сбой. Обычно бинарные драйвера, такие как nvidia.ko, драйвера дисплея X11 и USB вызывают большинство проблем, а драйвера Ethernet интерфейсов как правило работают отлично. Если вы можете нормально загрузить/выгрузить драйвера, автоматизируйте этот процесс, поместив соответствующие команды в /etc/rc.suspend и /etc/rc.resume. Это закомментированные примеры выгрузки и загрузки драйверов. Попробуйте установить параметр в нуль (0), если ваш дисплей не включается после возобновления работы. Попробуйте установить большие или меньшие значения для , чтобы проверить, поможет ли это. Другой способ, который можно попробовать, это запуск последнего дистрибутива Linux с поддержкой ACPI и протестировать поддержку остановки/возобновления работы на том же оборудовании. Если она работает на Linux, проблема скорее всего в драйверах &os; и поиск драйвера, вызывающего проблему, поможет разрешить ситуацию. Имейте ввиду, что разработчики ACPI обычно не поддерживают другие драйверы (звук, ATA, и т.п.), так что все результаты работы по поиску проблемы возможно необходимо - отправить в список рассылки freebsd-current и человеку, + отправить в список рассылки &a.current.name; и человеку, поддерживающему драйвер. Если вы решитесь заняться отладкой, поместите соответствующий код (&man.printf.3;) в вызывающий проблему драйвер для обнаружения места, где прерывается функция восстановления. Наконец, попробуйте отключить ACPI и включить APM. Если приостановка/возобновление работает с APM, вам возможно лучше подойдет APM, особенно на старом оборудовании (до 2000). Включение корректной поддержки ACPI поставщиками оборудования требует времени и вероятно в старом оборудовании поддержка ACPI в BIOS была некорректна. Система останавливается (временно или постоянно) Большинство систем останавливаются в результате потери прерываний или шторма прерываний. В чипсетах существует много проблем, связанных с тем, как BIOS настраивает прерывания перед загрузкой, правильностью таблицы APIC (MADT), и маршрутизации - SCI. + System Control Interrupt + (SCI). Шторм прерываний может быть обнаружен по потерянным прерываниям путем проверки вывода строки с - acpi0 команды vmstat - . Если счетчик увеличивается более, чем + acpi0 команды vmstat -i. + Если счетчик увеличивается более, чем несколько раз в секунду, это шторм прерываний. Если система останавливается, попробуйте войти в DDB (CTRL ALTESC на консоли) и ввести . Наиболее надежный способ избавиться от проблемы с прерываниями, это отключение поддержки APIC с помощью параметра loader.conf - 1. + hint.apic.0.disabled="1". Паника Паника, связанная с ACPI, случается довольно редко и имеет наибольший приоритет исправления. Первый шаг это изоляция действий, приводящих к панике (если это возможно) и получение отладки. Следуйте инструкции по включению и настройке последовательной консоли + (смотрите ) или настройке раздела &man.dump.8;. Вы можете получить отладочную информацию DDB с помощью . Если вы записываете отладку вручную, убедитесь, что переписали как минимум пять (5) строк снизу и пять (5) строк сверху. Затем попробуйте изолировать проблему, загрузившись с выключенным ACPI. Если это работает, вы можете изолировать подсистему ACPI, используя различные параметры . Обратитесь к странице справочника &man.acpi.4; за примерами. Система включается после приостановки или завершения работы Во-первых, попробуйте установить в &man.loader.conf.5; параметр 0. Это предотвращает отключение различных событий в ACPI во время завершения работы. В некоторых системах этот параметр необходимо установить в 1 (по умолчанию) по тем же причинам. Обычно это решает проблему, если система неожиданно включается после приостановки или отключения питания. Другие проблемы Если вы наблюдаете другие проблемы с ACPI (работа с внешним оборудованием, проблемы с обнаружением устройств, и т.д.), отправьте описание проблемы в список рассылки; однако, некоторые из этих проблем могут относиться к незавершенным частям подсистемы ACPI, поэтому может потребоваться время на их реализацию. Будьте терпеливы, и подготовьтесь к тестированию исправлений, которые мы можем вам выслать. <acronym>ASL</acronym>, <command>acpidump</command>, и <acronym>IASL</acronym> Наиболее часто встречается проблема, связанная с предоставлением поставщиками BIOS некорректного (или полностью ошибочного!) байткода. Это обычно проявляется появлением консольных сообщений ядра, подобных этому: ACPI-1287: *** Error: Method execution failed [\\_SB_.PCI0.LPC0.FIGD._STA] (Node 0xc3f6d160), AE_NOT_FOUND Зачастую вы можете разрешить эти проблемы путем обновления BIOS до последней ревизии. Большинство консольных сообщений безвредны, но если существуют другие проблемы, такие как не работающий статус батареи, возможно существуют проблемы в AML. Байткод, известный как AML, компилируется из исходного текста на языке ASL. AML находится в таблице, известной как DSDT. Для получения копии ASL, используйте &man.acpidump.8;. Вы можете использовать оба параметра (показывать содержимое постоянных таблиц) и (дизассемблировать AML в ASL). Обратитесь к разделу Отправка отладочной информации за примером синтаксиса. Простейшая первая проверка, которую вы можете провести, это перекомпиляция ASL для поиска ошибок. Предупреждения обычно могут быть проигнорированы, но ошибки обычно не позволяют ACPI работать правильно. Для перекомпиляции ASL, выполните следующую команду: &prompt.root; iasl your.asl Исправление <acronym>ASL</acronym> В дальней перспективе, наша задача состоит в том, чтобы обеспечить поддержку ACPI практически для каждой системы без вмешательства пользователя. Однако, на данный момент мы все еще разрабатываем обходные пути для ошибок, которые часто делают поставщики BIOS. Интерпретатор Microsoft (acpi.sys и acpiec.sys) не занимается проверкой четкости соблюдения стандартов, поэтому многие поставщики BIOS, проверяющие ACPI только под Windows, никогда не исправляют ASL. Мы надеемся продолжать обнаружение и документацию нестандартных поведений, позволяемых интерпретатором Microsoft, и воспроизводить их, чтобы &os; могла работать без необходимости исправления ASL пользователями. В качестве обходного пути для обнаружения неправильного поведения, вы можете исправить ASL вручную. Если исправления будут работать, пожалуйста отправьте &man.diff.1; между старым и новым ASL, чтобы мы могли реализовать обходной путь для неправильного поведения ACPI-CA, чтобы исправление вручную больше не требовалось. Вот список наиболее часто встречающихся проблем, их причин и способы исправления: OS зависимости Некоторые AML предполагают, что мир состоит из различных версий Windows. Вы можете настроить &os;, чтобы она сообщала любое другое имя OS и посмотреть, исправит ли это имеющуюся проблему. Простой способ указания другого имени системы это установка переменной /boot/loader.conf =Windows 2001 или в другое подобное значение, имеющееся в ASL. Отсутствие возврата значения Некоторые методы не возвращают значение явно, как того требует стандарт. Хотя ACPI-CA не обрабатывает эту ситуацию, в &os; существует обходной путь, позволяющей ей явно возвращать значение. Вы можете также добавить явные операторы Return (возврат) там, где требуется, если знаете, что значение должно быть возвращено. Для принудительного компилирования ASL командой iasl, используйте флаг . Перезапись <acronym>AML</acronym> по умолчанию После настройки your.asl для компиляции запустите: &prompt.root; iasl your.asl Вы можете добавить флаг для создания AML даже при наличии ошибок компиляции. Помните, что некоторые ошибки (например, отсутствующие операторы Return), автоматически обходятся интерпретатором. Файл DSDT.aml используется iasl по умолчанию. Вы можете загрузить его вместо ошибочной копии BIOS (которая остается в постоянной памяти) путем редактирования /boot/loader.conf: acpi_dsdt_load="YES" acpi_dsdt_name="/boot/DSDT.aml" Убедитесь, что скопировали DSDT.aml в каталог /boot. Получение отладочной информации <acronym>ACPI</acronym> Возможности отладки драйвера ACPI очень гибкие. Они позволяют вам указывать набор подсистем, а также уровень отладки. Подсистемы, которые вы хотите отлаживать, указываются как слои, и подразделяются на компоненты ACPI-CA (ACPI_ALL_COMPONENTS) и поддержку оборудования ACPI (ACPI_ALL_DRIVERS). Уровень отладки варьируется от ACPI_LV_ERROR (только сообщать об ошибках) до ACPI_LV_VERBOSE (все сообщения). Уровень отладки представляет собой битовую маску, поэтому возможна одновременная установка нескольких параметров, разделенных пробелами. На практике, при использовании для получения отладочной информации последовательной консоли, слишком большое количество информации может переполнить буфер консоли. Полный список отдельных слоев и уровней можно найти на странице справочника &man.acpi.4;. Вывод отладочной информации по умолчанию не включен. Для его включения добавьте параметр к файлу настройки ядра, если ACPI встроен в ядро. Вы можете добавить параметр в файл /etc/make.conf для глобального включения этого параметра. Если вы используете модуль acpi.ko , его можно пересобрать индивидуально: &prompt.root; cd /sys/modules/acpi/acpi - && make clean && make - ACPI_DEBUG=1 +&& make clean && make +ACPI_DEBUG=1 Установите acpi.ko в /boot/kernel и добавьте предпочитаемый уровень и слой к loader.conf. Этот пример включает отладочные сообщения для всех компонентов ACPI-CA и всех драйверов оборудования ACPI (CPU, LID и т.д.). Будут выводиться только сообщения об ошибках, наименьший уровень отладки. debug.acpi.layer="ACPI_ALL_COMPONENTS ACPI_ALL_DRIVERS" debug.acpi.level="ACPI_LV_ERROR" Если требуемая информация получается в результате определенного события (скажем, приостановка и восстановление), вы можете не изменять loader.conf и использовать для указания слоя и уровня sysctl после загрузки и подготовки системы к определенному событию. Имена переменных sysctl те же, что и имена параметров настройки в loader.conf. Ссылки Дальнейшую информацию о ACPI можно найти по следующим ссылкам: - Список рассылки ACPI - - freebsd-acpi@FreeBSD.org + &a.acpi; Архивы списка рассылки ACPI - - http://lists.freebsd.org/pipermail/freebsd-acpi/ + Старые архивы списка рассылки ACPI - - http://home.jp.FreeBSD.org/mail-list/acpi-jp/ + Спецификация ACPI 2.0 - - http://acpi.info/spec.htm/ + Страницы справочника &os;: &man.acpi.4;, &man.acpi.thermal.4;, &man.acpidump.8;, &man.iasl.8;, &man.acpidb.8; Ресурс по отладке DSDT. (Использует в качестве примера Compaq, но обычно полезен.) diff --git a/ru_RU.KOI8-R/books/handbook/cutting-edge/chapter.sgml b/ru_RU.KOI8-R/books/handbook/cutting-edge/chapter.sgml index c71aa7ee23..9731ba5edf 100644 --- a/ru_RU.KOI8-R/books/handbook/cutting-edge/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/cutting-edge/chapter.sgml @@ -1,1963 +1,1966 @@ Jim Mock Реструктурирование, реорганизацию и частичное обновление выполнил Jordan Hubbard Оригинальный текст написал Poul-Henning Kamp John Polstra Nik Clayton На переднем крае разработок Краткий обзор Между релизами над &os; ведется постоянная работа. Для тех, кто хочет быть на переднем крае, есть несколько простых методов для поддержания своей системы в соответствии с последними разработками. Будьте осторожны — передний край не для всех! Эта глава поможет вам решить, хотите ли вы отслеживать систему в процессе работы над ней или останетесь верным одному из выпущенных релизов. После чтения этой главы вы будете знать: Разницу между двумя ветвями разработки: &os.stable; и &os.current;. Как поддерживать вашу систему в актуальном состоянии при помощи CVSup, CVS или CTM. Как перестраивать и переустанавливать базовую систему полностью при помощи make world. Перед чтением этой главы вы должны: Полностью настроить своё подключение к сети (). Знать, как устанавливать дополнительное программное обеспечение других разработчиков (). &os.current; против &os.stable; -CURRENT -STABLE Во FreeBSD имеется две ветки разработки: &os.current; и &os.stable;. Этот раздел описывает каждую из них и объясняет, как синхронизировать вашу систему с любой из веток. Сначала будет обсуждаться ветка &os.current;, затем &os.stable;. Как следовать текущим разработкам во &os; Пока вы читаете этот текст, помните, что &os.current; является передовым краем работ над &os;. Предполагается, что пользователи &os.current; технически более грамотны и могут решать проблемы с системой самостоятельно. Если вы являетесь во &os; новичком, вам лучше сначала дважды подумать, прежде чем её устанавливать. Что такое &os.current;? snapshot &os.current; является последними рабочими версиями исходных текстов &os;. Сюда включаются неоконченные работы, экспериментальные изменения и промежуточные механизмы, которые могут присутствовать, а могут и отсутствовать в следующем официальном релизе программного обеспечения. Хотя многие из разработчиков &os; выполняют компиляцию из исходных текстов &os.current; ежедневно, случаются периоды, когда исходные тексты заведомо не могут быть откомпилированы. Такие проблемы обычно решаются так быстро, как это возможно, но всё-таки момент, когда вы сгрузили исходные тексты &os.current;, может повлиять на то, содержат они мину замедленного действия или очень нужную функциональность! Кому нужна &os.current;? &os.current; предназначается трём основным заинтересованным группам: Члены команды разработчиков &os;, активно работающие над некоторой частью дерева исходных текстов и для кого работа в current является абсолютной необходимостью. Члены команды разработчиков &os;, которые являются активными тестерами. Они тратят свое время на исправление проблем для того, чтобы &os.current; оставалась, насколько это возможно, нормально работающей системой. Есть также люди, которые вносят важные предложения по изменениям и общему направлению развития &os; и присылают свои патчи, реализующие эти изменения. Те, кто просто хотят быть в курсе всех изменений или используют текущие исходные тексты для ознакомительных целей (к примеру, для чтения, но не для использования). Такие люди также иногда высказывают замечания или предоставляют код. Чем &os.current; <emphasis>не</emphasis> является? Быстрым способом получить предварительную версию, в случае, если вы услышали, что здесь появилась некая крутая возможность, и вы хотите быть первым в вашем микрорайоне, у кого она есть. Здесь быть первым из тех, кто имеет это программное обеспечение означает также быть первым из тех, кто столкнулся с ошибками в нём. Быстрым способом получения исправлений. Любая версия &os.current; является в равной мере как источником исправлений существующих ошибок, так и источником появления новых. Официально поддерживаемой каким бы то ни было способом. Мы прилагаем все усилия, чтобы помочь тем, кто изначально принадлежит одной из трех признанных групп пользователей &os.current;, но у нас просто нет времени на техническую поддержку. Это не потому, что мы гадкие и злые люди, которые ни за что не будут помогать другим (если бы это было так, мы бы не создали &os;). Мы просто не в силах отвечать на сотни сообщений в день и работать над FreeBSD! Если бы стоял выбор между тем, отвечать ли на множество вопросов об экспериментально коде или продолжать работу над совершенствованием &os;, большинство разработчиков проголосовало бы за последнее. Использование &os.current; -CURRENT использование Подпишитесь на списки рассылки &a.current.name; и &a.cvsall.name;. Это не просто хорошая идея, это необходимость. Если вы не являетесь участником списка рассылки &a.current.name;, то вы не увидите замечаний, высказываемых о текущем состоянии системы и в итоге можете столкнуться со множеством проблем, которые уже были найдены и решены другими. Ещё хуже, если вы пропустите важные сообщения, касающиеся жизнеспособности вашей системы. Список рассылки &a.cvsall.name; позволит вам для каждого изменения увидеть соответствующую запись в журнале коммитов, а они порой содержат относящуюся к делу информацию о возможных побочных эффектах. Чтобы подключиться к этим и другим доступным спискам рассылки, перейдите по ссылке &a.mailman.lists.link; и щёлкните на списке, к которому вы хотите подключиться. Инструкции по дальнейшим действиям размещены там же. Сгрузите исходные тексты с зеркального сайта &os;. Вы можете сделать это одним из следующих двух способов: cvsup cron -CURRENT Синхронизация при помощи CVSup При помощи программы cvsup с sup-файлом standard-supfile, который можно найти в каталоге /usr/share/examples/cvsup. Это наиболее рекомендуемый метод, так как он позволяет вам сгрузить набор исходных текстов один раз полностью, а затем сгружать только произошедшие изменения. Многие запускают cvsup при помощи программы cron и получают самые свежие исходные тексты автоматически. Измените примерный файл supfile выше и отконфигурируйте cvsup для вашего окружения. -CURRENT Синхронизация при помощи CTM При помощи CTM. Если у вас очень плохое подключение (дорогое или предоставляющее доступ только к электронной почте), то CTM можно рассматривать как вариант. Однако в нем много "подводных камней", и его использование может привести к появлению неправильных файлов. Это привело к тому, что этот способ используется редко, что, в свою очередь, увеличивает шанс появления периодов его неработы. Мы рекомендуем использовать CVSup всем, чья скорость подключения равна 9600 bps и выше. Если вам нужны исходные тексты для компиляции и запуска, а не просто для ознакомления, то сгружайте исходные тексты ветки &os.current; полностью, а не отдельные ее части. Причиной является то, что многие части исходных текстов зависят от других обновлений где-то еще, и попытка компиляции лишь некоторой части программ в этом случае гарантированно вызовет проблемы. -CURRENT компиляция Перед тем, как компилировать &os.current;, внимательно прочтите файл Makefile в каталоге /usr/src. В процессе обновления вы по крайней мере раз должны пройти через установку нового ядра и перестроение всех компонентов системы. Чтение &a.current; и /usr/src/UPDATING позволит вам быть в курсе всех процедур, которые иногда бывают необходимы в процессе работы над следующим релизом. Будьте активным подписчиком! Если вы работаете с &os.current;, мы хотим знать, что вы думаете о ней, особенно если у вас есть соображения по ее улучшению или исправлению ошибок. Пожелания, к которым прилагается код, всегда принимаются с большим энтузиазмом! Работа с веткой stable во &os; Что такое &os.stable;? -STABLE &os.stable; является нашей веткой разработки, из которой делаются основные релизы. Изменения в этой ветке происходят с разной скоростью, и при этом предполагается, что сначала они были выполнены для &os.current; в целях тестирования. Однако эта ветка остаётся веткой для разработки, а это значит, что в любой момент времени исходные тексты &os.stable; могут оказаться неприменимы для некоторой задачи. Это просто ещё одна ветка при разработке, а не ресурс для конечных пользователей. Кому нужна &os.stable;? Если вы заинтересованы в отслеживании процесса разработки FreeBSD или хотите принять в нём участие, особенно в той мере, насколько это касается выпуска следующего релиза FreeBSD с точкой, то вам необходимо отслеживать &os.stable;. Хотя правда то, что исправления, касающиеся безопасности, также делаются и в ветке &os.stable;, вам не нужно для этого отслеживать &os.stable;. Каждый бюллетень по безопасности FreeBSD описывает, как решить проблему для тех релизов, которых он касается Это не совсем так. Мы не можем поддерживать старые релизы FreeBSD бесконечно долго, хотя мы поддерживаем их многие годы. Полное описание текущей политики безопасности относительно старых релизов FreeBSD можно найти по адресу http://www.FreeBSD.org/ru/security/. , а отслеживание ветки разработки в полном объёме только ради исправлений пробелов в безопасности приводит к появлению большого количества дополнительных ненужных изменений. Хотя мы прилагаем все усилия, чтобы ветка &os.stable; всегда компилировалась и работала, этого нельзя гарантировать. Кроме того, несмотря на то, что перед включением в &os.stable;, код разрабатывается в &os.current;, гораздо большее количество людей работают с &os.stable;, чем с &os.current;. Поэтому неудивительно, что в &os.stable; иногда обнаруживаются ошибки и всплывают непредвиденные ситуации, которые не проявляли себя в &os.current;. По этим причинам мы не рекомендуем слепо отслеживать &os.stable;, и, что особенно важно, вы не должны обновлять какие-либо сервера, находящиеся в активной эксплуатации, до &os.stable; без предварительного тщательного тестирования кода в вашей среде разработки. Если у вас нет возможности сделать это, то мы рекомендуем работать с самой последним релизом &os; и использовать механизм обновления бинарных файлов для перехода от релиза к релизу. Использование &os.stable; -STABLE использование Подпишитесь на список рассылки &a.stable.name;. Это позволит вам узнавать о зависимостях процесса компиляции, которые могут появиться в ветке &os.stable; или любых других проблемах, требующих особого внимания. В этом списке рассылки разработчики также делают объявления о спорных исправлениях или добавлениях, давая пользователям возможность высказать свое мнение о возможных тонких моментах. Список рассылки &a.cvsall.name; позволит вам для каждого изменения увидеть соответствующую запись в журнале коммитов, а они порой содержат относящуюся к делу информацию о возможных побочных эффектах. Чтобы подключиться к этим и другим доступным спискам рассылки, перейдите по ссылке &a.mailman.lists.link; и щёлкните на списке, к которому вы хотите подключиться. Инструкции по дальнейшим действиям размещены там же. Если вы устанавливаете новую систему и хотите, чтобы она работала максимально стабильно, то можете просто сгрузить самый свежий снэпшот ветки по адресу и установить его, как любой другой релиз. Либо вы можете установить самый последний релиз &os.stable;, сгрузив его с зеркалирующих сайтов, а затем следовать инструкциям ниже по обновлению исходных текстов вашей системы до самой последней версии &os.stable;. Если вы уже работаете с предыдущим релизом &os; и хотите обновить его из исходных текстов, то вы можете легко это сделать с зеркального сайта &os;. Это можно сделать одним из двух способов: cvsup cron -STABLE Синхронизация при помощи CVSup При помощи программы cvsup с sup-файлом stable-supfile из каталога /usr/share/examples/cvsup. Это наиболее рекомендуемый метод, так как он позволяет вам сгрузить набор исходных текстов один раз полностью, а затем сгружать только произошедшие изменения. Многие запускают cvsup при помощи программы cron и получают самые свежие исходные тексты автоматически. Измените примерный файл supfile выше и отконфигурируйте cvsup для вашего окружения. -STABLE синхронизация при помощи CTM При помощи CTM. Если у вас нет быстрого и недорогого подключения к Интернет, то это как раз тот метод, которым вы должны воспользоваться. Итак, если вам нужен быстрый доступ к исходным текстам и нагрузка на каналы связи для вас не проблема, то используйте cvsup или ftp. В противном случае воспользуйтесь CTM. -STABLE компиляция Перед тем, как компилировать &os.stable;, внимательно прочтите файл Makefile в каталоге /usr/src. В процессе обновления вы по крайней мере раз должны пройти через установку нового ядра и перестроение всех компонентов системы. Чтение &a.stable; и /usr/src/UPDATING позволит вам быть в курсе всех процедур, которые иногда бывают необходимы при переходе к следующему релизу. Синхронизация ваших исходных текстов Имеются различные способы использования Интернет (или почтового) подключения для того, чтобы иметь самые последние версии исходных текстов любого проекта &os;, в зависимости от того, чем вы интересуетесь. Основной сервис, который мы предлагаем, это Анонимный CVS, CVSup и CTM. Хотя имеется возможностью обновлять только часть дерева исходных текстов, процедурой, которую мы настоятельно советуем, является обновление всего дерева и перекомпиляция пользовательских программ (то есть тех, которые работают в пространстве имен пользователя, например те, что находятся в каталогах /bin и /sbin) и ядра. Обновление только части дерева исходных текстов, только текстов ядра или только текстов пользовательских программ часто приводит к возникновению проблем. Эти проблемы могут варьироваться от ошибок компиляции до аварийных остановов системы или порчи данных. анонимный CVS Анонимный CVS и CVSup используют модель pull обновления исходных текстов. В случае CVSup пользователь (или скрипт программы cron) вызывают cvsup, а она работает с каким-либо сервером cvsupd, чтобы выполнить обновление ваших файлов. Обновления, которые вы получаете, актуальны с точностью до минуты, и вы получаете их тогда и только тогда, когда сами захотите. Вы можете с легкостью ограничить обновления конкретными файлами или каталогами, которые представляют для вас интерес. Обновления создаются на лету сервером согласно тому, что у вас есть и что вы хотите иметь. Анонимный CVS гораздо проще, чем CVSup в том смысле, что он представляет собой всего лишь расширение CVS, позволяющее сгрузить изменения непосредственно с удаленного хранилища CVS. CVSup может делать это гораздо более эффективно, однако анонимным CVS легче пользоваться. CTM CTM, с другой стороны, не сравнивает последовательно исходные тексты, имеющиеся у вас, с теми, что находятся в главном архиве и вообще ни коим образом не касается наших серверов. Вместо этого несколько раз в день на главной машине CTM запускается скрипт, находящий изменения в файлах с момента своего предыдущего запуска; все замеченные изменения сжимаются, помечаются последовательным номером и кодируются для передачи по электронной почте (в форме печатаемых символов ASCII). После получения эти дельта-файлы CTM могут быть переданы утилите &man.ctm.rmail.1;, которая осуществит автоматическое декодирование, проверку и применение изменений к пользовательской копии исходных текстов. Этот процесс гораздо более эффективен, чем CVSup, и требует меньше ресурсов нашего сервера, так как он сделан по модели push, а не pull. Несомненно, есть и минусы. Если вы случайно уничтожили часть вашего архива, то CVSup обнаружит и сгрузит поврежденную часть. CTM этого делать не будет, и если вы уничтожили какую-то часть вашего дерева исходных текстов (и у вас нет архивной копии), то вам нужно будет начать с самого начала (с последнего базового дельта-файла), перестроив всё с помощью CTM, или, используя анонимный CVS, просто удалить повреждённую часть и пересинхронизироваться. Использование <command>make world</command> make world После того, как вы синхронизировали ваше локальное дерево исходных текстов с некоторой версией &os; (&os.stable;, &os.current; и так далее), то можете использовать эти исходные тексты для перестроения системы. Создайте резервную копию Невозможно переоценить важность создания резервной копии вашей системы до того, как вы будете это делать. Хотя перестроение системы (пока вы следуете этим инструкциям) является простой задачей, вы всегда можете допустить ошибку, или ошибка может оказаться в исходных текстах, что может привести к тому, что система перестанет загружаться. Обязательно сделайте резервную копию. И держите под рукой аварийную (fixit) дискету. Может быть, вам никогда не приходилось ими пользоваться, но, постучав по дереву, всегда лучше подготовиться, чем потом сожалеть. Подпишитесь на соответствующий список рассылки список рассылки Ветки &os.stable; и &os.current; кода по природе своей являются изменяющимися. В разработке &os; участвуют люди, и время от времени случаются ошибки. Иногда эти ошибки достаточно безобидны и приводят к выводу нового диагностического сообщения. Бывает, что изменение оказывается катастрофическим, и система не может загрузиться или разрушаются файловые системы (или что-нибудь ещё хуже). Если возникают подобные проблемы, в соответствующем списке рассылки публикуется сообщение heads up, в котором описывается природа проблемы и затрагиваемые системы. Когда проблема решается, публикуется сообщение all clear. Если вы пытаетесь отслеживать &os.stable; или &os.current; и не читаете списки рассылки &a.stable; или &a.current; соответственно, то вы напрашиваетесь на неприятности. Канонический способ обновления вашей системы Для обновления вашей системы вы должны воспользоваться следующей процедурой: &prompt.root; make buildworld &prompt.root; make buildkernel &prompt.root; make installkernel &prompt.root; reboot Вы должны загрузиться в однопользовательский режим (например, по команде boot -s из приглашения загрузчика). Затем выполните: &prompt.root; mergemaster -p &prompt.root; make installworld &prompt.root; mergemaster &prompt.root; reboot Вы должны загрузиться в однопользовательский режим (например, по команде boot -s из приглашения загрузчика). Затем выполните: &prompt.root; mergemaster -p &prompt.root; make installworld &prompt.root; mergemaster &prompt.root; reboot Прочтите более полное описание Описанная выше последовательность является только краткой выжимкой для того, чтобы помочь вам начать. Вы должны всё же прочесть последующие разделы для полного понимания каждого шага, особенно если собираетесь использовать собственную конфигурацию ядра. Прочтите <filename>/usr/src/UPDATING</filename> Перед тем, как делать что-либо, прочтите /usr/src/UPDATING (или соответствующий файл в вашей копии исходных текстов). В этом файле содержится важная информация о проблемах, с которыми вы можете столкнуться, или указан порядок, в котором вы должны запускать определенные команды. Если в файле UPDATING написано нечто, противоречащее тому, что вы здесь читаете, то нужно следовать указаниям в UPDATING. Чтение UPDATING не заменит подписки на соответствующий список рассылки, как это и описано выше. Эти два условия являются дополняющими, а не взаимоисключающими друг друга. Проверьте содержимое <filename>/etc/make.conf</filename> make.conf - Просмотрите файлы /etc/defaults/make.conf и + Просмотрите файлы /usr/share/examples/etc/make.conf + (/etc/defaults/make.conf в &os; 4.X) и /etc/make.conf. Первый содержит некоторые предопределенные по умолчанию значения – большинство из них закомментировано. Чтобы воспользоваться ими при перестроении системы из исходных текстов, добавьте их в файл /etc/make.conf. Имейте в виду, что все, добавляемое вами в /etc/make.conf, используется также каждый раз при запуске команды make, так что полезно задать здесь значения, подходящие вашей системе. Вероятно стоит скопировать строки CFLAGS и NOPROFILE, - расположенные в /etc/defaults/make.conf, в файл + расположенные в + /usr/share/examples/etc/make.conf (или + /etc/defaults/make.conf в &os; 4.X), в файл /etc/make.conf и раскомментировать их. Посмотрите на другие определения (COPTFLAGS, NOPORTDOCS и так далее) и решите, нужны ли они вам. Обновите файлы в каталоге <filename>/etc</filename> Каталог /etc содержит значительную часть информации о конфигурации вашей системы, а также скрипты, работающие в начале работы системы. Некоторые из этих скриптов меняются от версии к версии &os;. Некоторые конфигурационные файлы также используются в ежедневной работе системы. В частности, файл /etc/group. Случалось, что установочная часть make world ожидала существования определённых имен пользователей или групп. При обновлении существует вероятность, что эти пользователи или группы не существуют. Это вызывает проблемы при обновлении. Свежим примером этого является добавление пользователя smmsp. Пользователи столкнулись с прерыванием процесса установки, когда &man.mtree.8; пыталась создать /var/spool/clientmqueue. Выходом является просмотр файла /usr/src/etc/group и сравнение списка групп в нем с вашим собственным. Если в новом файле есть группы, отсутствующие в вашем, то скопируйте их. Таким же образом вы должны переименовывать все группы в /etc/group, которые имеют тот же самый GID, но другое название в /usr/src/etc/group. Начиная с 4.6-RELEASE, вы можете запустить &man.mergemaster.8; в режиме, предваряющем построение системы, задаваемым опцией . Она будет сравнивать только те файлы, которые необходимы для успешного выполнения целей buildworld или installworld. Если ваша старая версия утилиты mergemaster не поддерживает опцию , воспользуйтесь новой версией из дерева исходных текстов при первом запуске: &prompt.root; cd /usr/src/usr.sbin/mergemaster &prompt.root; ./mergemaster.sh -p Если вы параноик, можете поискать файлы, владельцем которых является та группа, которую вы переименовываете или удаляете: &prompt.root; find / -group GID -print выдаст список всех файлов, владельцем которых является группа GID (задаваемая именем или численным значением ID). Перейдите в однопользовательский режим однопользовательский режим Вам может понадобиться откомпилировать систему в однопользовательском режиме. Кроме обычного выигрыша в скорости процесса, переустановка системы затрагивает много важных системных файлов, все стандартные выполнимые файлы системы, библиотеки, include-файлы и так далее. Изменение их на работающей системе (в частности, в которой активно работают пользователи) может привести к неприятностям. многопользовательский режим Другим способом является компиляция системы в многопользовательском режиме с последующим переходом в однопользовательский режим для выполнения установки. Если вы хотите поступить именно так, просто следуйте инструкциям до момента окончания построения. Вы можете отложить переход в однопользовательский режим до завершения целей installkernel или installworld. Как администратор, вы можете выполнить: &prompt.root; shutdown now на работающей системе, что переведет ее в однопользовательский режим. Либо вы можете выполнить перезагрузку и в приглашении загрузчика задать флаг . После этого система загрузится в однопользовательском режиме. В приглашении командного процессора вы должны запустить: &prompt.root; fsck -p &prompt.root; mount -u / &prompt.root; mount -a -t ufs &prompt.root; swapon -a Эти команды выполняют проверку файловых систем, повторно монтируют / в режиме чтения/записи, монтируют все остальные файловые системы UFS, перечисленные в файле /etc/fstab и включат подкачку. Если часы в вашей CMOS настроены на местное время, а не на GMT (это имеет место, если команда &man.date.1; выдаёт неправильные время и зону), то вам может понадобиться запустить следующую команду: &prompt.root; adjkerntz -i Это обеспечит корректную настройку местного часового пояса — без этого впоследствии вы можете столкнуться с некоторыми проблемами. Удалите <filename>/usr/obj</filename> При перестроении частей системы они помещаются в каталоги, которые (по умолчанию) находятся в /usr/obj. Структура повторяет структуру /usr/src. Вы можете ускорить выполнение процесса make world и, возможно, избавить себя от некоторой головной боли, связанной с зависимостями, удалив этот каталог. На некоторых файлах из /usr/obj могут быть установлены специальные флаги (обратитесь к &man.chflags.1; за дополнительной информацией), которые сначала должны быть сняты. &prompt.root; cd /usr/obj &prompt.root; chflags -R noschg * &prompt.root; rm -rf * Перекомпилируйте исходные тексты Сохраните вывод Неплохо сохранить вывод, получаемый при работе программы &man.make.1;, в файл. Если что-то вдруг пойдет не так, вы будете иметь копию сообщения об ошибке и полную картину того, где она произошла. Хотя это может и не помочь в определении причин происходящего, это может помочь другим, если вы опишите вашу проблему в одном из списков рассылки &os;. Проще всего это сделать при помощи команды &man.script.1; с параметром, в котором указано имя файла, в который нужно сохранить вывод. Вы должны сделать это непосредственно перед тем, как перестроить систему, а по окончании процесса набрать exit. &prompt.root; script /var/tmp/mw.out Script started, output file is /var/tmp/mw.out &prompt.root; make world … compile, compile, compile … &prompt.root; exit Script done, … Если вы делаете это, не сохраняйте вывод в /tmp. Этот каталог может быть очищен при следующей перезагрузке. Лучше сохранить его в /var/tmp (как в предыдущем примере) или в домашнем каталоге пользователя root. Компиляция базовых компонентов системы Вы должны находиться в каталоге /usr/src: &prompt.root; cd /usr/src (если, конечно, ваш исходный код не находится в другом месте, в случае чего вам нужно перейти в соответствующий каталог). make Для полного перестроения системы используется команда &man.make.1;. Эта команда читает инструкции из файла Makefile, описывающего, как должны быть перестроены программы, которые составляют систему &os;, в каком порядке они должны быть построены и так далее. Общий формат командной строки, которую вы будет набирать, таков: &prompt.root; make -x -DVARIABLE target В этом примере является параметром, который вы передаете в &man.make.1;. Обратитесь к справочной странице программы &man.make.1;, которая содержит список возможных параметров. передает переменную в Makefile. Поведение Makefile определяется этими переменными. Это те же самые переменные, которые задаются в /etc/make.conf, и это — еще один способ их задания. &prompt.root; make -DNOPROFILE=true target является другим способом указания того, что библиотеки для профилирования строить не нужно, и соответствует строке NOPROFILE= true # Обход построения библиотек для профилирования в файле /etc/make.conf. target указывает программе &man.make.1; на то, что вы хотите сделать. Каждый файл Makefile определяет некоторое количество различных целей, и ваш выбор цели определяет то, что будет делаться. Некоторые цели, перечисленные в файле Makefile, не предназначены для вызова. Просто они используются в процессе построения для разбиения его на этапы. В большинстве случаев вам не нужно передавать никаких параметров в &man.make.1;, так что ваша команда будет выглядеть примерно так: &prompt.root; make target Начиная с версии &os; 2.2.5 (на самом деле впервые это было сделано в ветке &os.current;, а затем адаптировано в &os.stable; где-то между 2.2.2 и 2.2.5) цель world была разделена на две: buildworld и installworld. Как указывают на это названия, buildworld строит полностью новое дерево в каталоге /usr/obj, а installworld устанавливает это дерево на используемой машине. Это весьма полезно по двум причинам. Во-первых, это позволяет вам безопасно строить систему, зная, что компоненты вашей рабочей системы затронуты не будут. Построение самодостаточно. По этой причине вы можете спокойно запустить buildworld на машине, работающей в многопользовательском режиме без опаски получить какие-либо проблемы. Но всё же рекомендуется запускать цель installworld в однопользовательском режиме. Во-вторых, это позволяет вам использовать монтирование по NFS для обновления многих машин в сети. Если у вас есть три машины, A, B и C, которые вы хотите обновить, запустите make buildworld и make installworld на машине A. Хосты B и C должны будут затем смонтировать по NFS каталоги /usr/src и /usr/obj с машины A, и вы сможете запустить make installworld для установки результатов построения на машинах B и C. Хотя цель world всё ещё имеется в наличии, вам настоятельно рекомендуется не пользоваться ею. Выполните &prompt.root; make buildworld В настоящее время имеется возможность задавать команде make параметр , который приводит к запуску нескольких одновременно работающих процессов. Наиболее полезно использовать это на многопроцессорных машинах. Однако, так как процесс компиляции больше всего требователен к подсистеме ввода/вывода, а не к производительности процессора, это можно использовать и на машинах с одним процессором. На типичной машине с одним CPU вы должны запускать: &prompt.root; make -j4 buildworld &man.make.1; будет иметь до 4 одновременно работающих процессов. Эмпирические замеры, опубликованные как-то в списке рассылки, показывают, что в среднем это дает наибольшее увеличение производительности. Если у вас многопроцессорная машина и вы используете ядро с настройками для SMP, попробуйте использовать значения между 6 и 10 и посмотрите, как это отразится на скорости работы. Имейте в виду, что это все еще экспериментальная возможность, и изменения в дереве исходных текстов иногда могут быть не совместимы с параллельной сборкой. Если система не может быть построена с использованием этого параметра, попробуйте еще раз без него перед тем, как сообщать о проблемах. Время на построение make world затраченное время На время компиляции влияет множество факторов, но на данный момент &pentium; III частотой 500 МГц и 128 МБ ОЗУ справляется с построением дерева &os.stable; примерно за 2 часа без дополнительных хитростей и убыстряющих процесс уловок. Дерево &os.current; строится несколько дольше. Откомпилируйте и установите новое ядро ядро компиляция Чтобы получить полную отдачу от вашей новой системы, вы должны перекомпилировать ядро. Это практически необходимость, так как отдельные структуры в памяти могут меняться, и программы типа &man.ps.1; и &man.top.1; не будут работать, пока версии ядра и исходных текстов системы не будут совпадать. Самым простым и надежным способом сделать это является компиляция и установка ядра на основе GENERIC. Хотя в GENERIC могут оказаться не все необходимые для работы вашей системы устройства, в нем имеется все необходимое для перезагрузки вашей системы обратно в однопользовательский режим. Это является хорошей проверкой на правильность работы новой системы. После загрузки с ядром GENERIC и проверки работоспособности системы вы можете построить новое ядро на основе вашего обычного конфигурационного файла ядра. Если вы обновляете систему до &os; 4.0 и выше, то старая процедура построения ядра (как это описано в ) не подходит. Вместо этого вы должны выполнить следующие команды после того, как перестроили систему командой buildworld. Если вы хотите построить собственное ядро и уже подготовили файл конфигурации, просто используйте KERNCONF=MYKERNEL следующим образом: &prompt.root; cd /usr/src &prompt.root; make buildkernel KERNCONF=MYKERNEL &prompt.root; make installkernel KERNCONF=MYKERNEL Для FreeBSD 4.2 и более старых версиях вы должны заменять KERNCONF= на KERNEL=. 4.2-STABLE, сгруженная до 2 февраля 2001 года, не распознаёт KERNCONF=. Заметьте, что, если вы установили kern.securelevel в значение, превышающее 1, и установили флаг noschg или подобный на бинарный файл ядра, то вы будете вынуждены перейти в однопользовательский режим для того, чтобы воспользоваться installkernel. В противном случае вы должны выполнять эти команды без проблем. Обратитесь к справочным страницам об &man.init.8; для получения подробной информации о kern.securelevel и &man.chflags.1; для получения информации о различных флагах файлов. Если вы производите обновление до версии &os; ниже 4.0, то нужно использовать старую процедуру построения ядра. Однако рекомендуется использовать новую версию программы &man.config.8; со следующей командной строкой. &prompt.root; /usr/obj/usr/src/usr.sbin/config/configKERNELNAME Перезагрузитесь в однопользовательский режим однопользовательский режим Для проверки работоспособности ядра вы должны перезагрузить систему и перейти в однопользовательский режим. Сделайте это, следуя указаниям в . Установите новые версии системных программ Если вы компилировали достаточно свежую версию &os;, в которой имеется команда make buildworld, то для установки новых версий программ вы должны теперь выполнить команду installworld. Запустите &prompt.root; cd /usr/src &prompt.root; make installworld Если при выполнении команды make buildworld вы задавали значения каких-либо переменных, то при выполнении make installworld вы должны задать те же самые переменные. Это не всегда так для остальных параметров; например, при выполнении installworld никогда не должен использоваться параметр . Например, если вы выполняли команду: &prompt.root; make -DNOPROFILE buildworld то результат её выполнения должен устанавливаться командой &prompt.root; make -DNOPROFILE installworld В противном случае будет делаться попытка установить библиотеки для профилирования, которые не компилировались на этапе выполнения команды make buildworld. Обновите файлы, не обновленные по команде <command>make world</command> При перестроении системы не будут обновляться некоторые каталоги (в частности, /etc, /var и /usr) с конфигурационными файлами. Самым простым способом обновить такие файлы является запуск утилиты &man.mergemaster.8;, хотя можно сделать это и вручную, если вам так больше нравится. Вне зависимости от выбранного вами способа обязательно сделайте резервную копию каталога /etc на случай, если произойдёт что-то непредвиденное. Tom Rhodes Текст предоставил <command>mergemaster</command> mergemaster Утилита &man.mergemaster.8; является скриптом для оболочки Боурна, которая поможет вам в определении разницы между вашими конфигурационными файлами в каталоге /etc и конфигурационными файлами из дерева исходных текстов /usr/src/etc. Это является рекомендуемым способом синхронизации системных конфигурационных файлов с теми, что размещены в дереве исходных текстов. mergemaster была интегрирована в базовый комплект системы FreeBSD между выпусками 3.3-RELEASE и 3.4-RELEASE, что означает её наличие во всех системах -STABLE и -CURRENT, начиная с 3.3. Для начала просто наберите mergemaster в приглашении командной строки и посмотрите, что происходит. mergemaster построит временное окружение для пользователя root, начиная от /, а затем заполнит его различными системными конфигурационными файлами. Эти файлы затем будут сравниваться с теми, что установлены в вашей системе. В этот момент файлы, которые имеют отличия, будут выданы в формате &man.diff.1;, где знак будет означать добавленные или изменённые строки, а знак будет означать строки, которые были либо полностью удалены, либо заменены на новые. Обратитесь к страницам справочной системы по команде &man.diff.1; для получения более полной информации о синтаксисе команды &man.diff.1; и формате выдачи отличий в файлах. Затем &man.mergemaster.8; выдаст вам каждый файл, в котором есть изменения, и в этот момент у вас есть возможность либо удалить новый файл (который будем считать временным), установить временный файл в его неизменённом виде, объединить временный файл с установленным на данный момент, либо просмотреть выдачу &man.diff.1; ещё раз. Выбор удаления временного файла укажет &man.mergemaster.8; на то, что мы хотим оставить наш текущий файл без изменений и удалить его новую версию. Делать это не рекомендуется, если только у вас нет причин вносить изменения в текущий файл. Вы можете получить помощь в любое время, набрав ? в приглашении &man.mergemaster.8;. Если пользователь выбирает пропуск файла, запрос появится снова после того, как будут обработаны все остальные файлы. Выбор установки немодифицированного временного файла приведёт к замене текущего файла новым. Для большинства немодифицированных файлов это является подходящим вариантом. Выбор варианта с объединением файла приведёт к вызову текстового редактора, содержащего текст обоих файлов. Теперь вы можете объединить их, просматривая оба файла на экране, и выбирая те части из обоих, что подходят для окончательного варианта. Когда файлы сравниваются на экране, то нажатие l выбирает содержимое слева, а нажатие r выбирает содержимое справа. В окончательном варианте будет файл, состоящий из обеих частей, который и будет установлен. Этот вариант используется для файлов, настройки в которых изменялись пользователем. Выбор повторного просмотра &man.diff.1;-разниц выдаст вам разницы между файлами, как это делала утилита &man.mergemaster.8; до того, как запросила вас о выборе. После того, как утилита &man.mergemaster.8; закончит работу с системными файлами, она выдаст запрос относительно других параметров. &man.mergemaster.8; может запросить вас относительно перестроения файла паролей и/или запуска &man.MAKEDEV.8; при использовании FreeBSD версий, меньших чем 5.0, и завершит запросом на удаление оставшихся временных файлов. Обновление в ручном режиме Однако если вы хотите произвести обновление вручную, то вы не можете просто скопировать файлы из /usr/src/etc в /etc и получить работающую систему. Некоторые из этих файлов сначала нужно установить. Это нужно потому, что каталог /usr/src/etc не является копией того, что должен содержать ваш каталог /etc. Кроме того, есть файлы, которые должны присутствовать в /etc, но которых нет в /usr/src/etc. Если вы используете &man.mergemaster.8; (как это рекомендуется), то вы можете перейти сразу к следующему разделу. Вручную проще всего сделать это, установив файлы в новый каталог, а затем пройтись по ним, отмечая разницу. Сделайте резервную копию вашего каталога <filename>/etc</filename> Хотя, в теории, никаких автоматических действий с этим каталогом не производится, всегда лучше чувствовать себя уверенным. Так что скопируйте имеющийся каталог /etc в какое-нибудь безопасное место. Запустите что-то вроде: &prompt.root; cp -Rp /etc /etc.old задает выполнение рекурсивного копирования, а сохраняет даты, владельца файлов и тому подобное. Вам нужно создать шаблонную структуру каталогов для установки нового содержимого /etc и других файлов. Подходящим местом является /var/tmp/root, и в нём потребуется разместить некоторое количество подкаталогов. &prompt.root; mkdir /var/tmp/root &prompt.root; cd /usr/src/etc &prompt.root; make DESTDIR=/var/tmp/root distrib-dirs distribution Эти команды приведут к созданию нужной структуры каталогов и установке файлов. Множество каталогов, созданных в /var/tmp/root, будут пустыми и должны быть удалены. Проще всего сделать это так: &prompt.root; cd /var/tmp/root &prompt.root; find -d . -type d | xargs rmdir 2>/dev/null Эти команды удалят все пустые каталоги. (Стандартный поток диагностических сообщений перенаправляется в /dev/null для исключения предупреждений о непустых каталогах.) Теперь /var/tmp/root содержит все файлы, которые должны быть помещены в соответствующие места в /. Теперь пройдитесь по каждому их этих файлов и определите, чем они отличаются от имеющихся у вас файлов. Заметьте, что некоторые из файлов, которые были установлены в каталог /var/tmp/root, имеют первым символом .. На момент написания единственными такими файлами являлись файлы начальных скриптов командных процессоров в /var/tmp/root/ и /var/tmp/root/root/, хотя могут быть и другие (зависит от того, когда вы это читаете). Обязательно пользуйтесь командой ls -a, чтобы выявить их. Проще всего сделать это путём сравнения двух файлов при помощи команды &man.diff.1;: &prompt.root; diff /etc/shells /var/tmp/root/etc/shells Эта команда покажет разницу между вашим файлом /etc/shells и новым файлом /var/tmp/root/etc/shells. Используйте это для определения того, переносить ли сделанные вами изменения или скопировать поверх вашего старого файла. Называйте новый корневой каталог (<filename>/var/tmp/root</filename>) по дате, чтобы вы смогли легко выявить разницу между версиями Частое перестроение системы означает также и частое обновление /etc, которое может быть несколько обременительным. Вы можете ускорить этот процесс, сохраняя копию последнего набора измененных файлов, которые вы перенесли в /etc. Следующая процедура подаст вам одну идею о том, как это сделать. Выполните перестроение системы обычным образом. Когда вы вам потребуется обновить /etc и другие каталоги, дайте целевому каталогу имя на основе текущей даты. Если вы делаете это 14 февраля 1998 года, то вы можете сделать следующее: &prompt.root; mkdir /var/tmp/root-19980214 &prompt.root; cd /usr/src/etc &prompt.root; make DESTDIR=/var/tmp/root-19980214 \ distrib-dirs distribution Перенесите изменение из этого каталога, как это описано выше. Не удаляйте каталог /var/tmp/root-19980214 после окончания этого процесса. Когда вы сгрузите самую последнюю версию исходного кода и перестроите систему, выполните шаг 1. Это даст вам новый каталог, который может называться /var/tmp/root-19980221 (если вы ждете неделю между обновлениями). Теперь вы можете видеть изменения, которые были сделаны за прошедшую неделю, выполнив при помощи команды &man.diff.1; рекурсивное сравнение двух каталогов: &prompt.root; cd /var/tmp &prompt.root; diff -r root-19980214 root-19980221 Как правило, здесь содержится гораздо меньше отличий, чем между каталогами /var/tmp/root-19980221/etc и /etc. Так как отличий меньше, то и легче перенести эти изменения в ваш каталог /etc. Теперь вы можете удалить более старый из двух каталогов /var/tmp/root-*: &prompt.root; rm -rf /var/tmp/root-19980214 Повторяйте этот процесс всякий раз, когда вам нужно перенести изменения в каталог /etc. Для автоматической генерации имён каталогов можно использовать команду &man.date.1;: &prompt.root; mkdir /var/tmp/root-`date "+%Y%m%d"` Обновите <filename>/dev</filename> DEVFS Если вы работаете с FreeBSD 5.0 или более поздними версиями, то можете спокойно пропустить этот раздел. В этих версиях &man.devfs.5; используется для выделения файлов устройств в режиме, прозрачном для пользователя. Если вы используете DEVFS, то этого можно не делать. В большинстве случаев утилита &man.mergemaster.8; обнаружит, что необходимо обновить файлы устройств, и предложит сделать это автоматически. Эти указания описывают, как обновить файлы устройств вручную. Для безопасности этот процесс делается в несколько шагов. Скопируйте /var/tmp/root/dev/MAKEDEV в /dev: &prompt.root; cp /var/tmp/root/dev/MAKEDEV /dev MAKEDEV Если вы использовали &man.mergemaster.8; для обновления /etc, то ваш скрипт MAKEDEV уже должен быть обновлен, так что его не нужно проверять (утилитой &man.diff.1;) и копировать вручную в случае необходимости. Теперь выведите текущее содержимое вашего каталога /dev. Этот список должен содержать права, владельцев, старшее и младшее числа каждого файла, но не должен содержать информацию о времени. Проще всего это сделать, отрезав при помощи &man.awk.1; часть информации: &prompt.root; cd /dev &prompt.root; ls -l | awk '{print $1, $2, $3, $4, $5, $6, $NF}' > /var/tmp/dev.out Повторно создайте все файлы устройств: &prompt.root; sh MAKEDEV all Создайте ещё один список содержимого каталога, на этот раз в /var/tmp/dev2.out. Теперь просмотрите оба эти файла и поищите файлы устройств, которые вы забыли создать. Таких быть не должно, но лишний раз удостовериться не помешает. &prompt.root; diff /var/tmp/dev.out /var/tmp/dev2.out Скорее всего, вы заметите разногласия в именовании дисковых слайсов, что решается такими командами, как: &prompt.root; sh MAKEDEV sd0s1 для повторного создания устройств слайсов. Точное название зависит от вашей системы и может отличаться от приведённого. Обновите <filename>/stand</filename> Этот шаг описан только для полноты. Он может быть безболезненно опущен. Если вы работаете с FreeBSD 5.2 или более поздней версией, то для пользователей каталог /rescue автоматически обновляется до текущего состояния, а статически компилируемые выполнимые файлы во время выполнения команды make installworld, поэтому каталог /stand обновлять не нужно. В целях полноты обновления вам может потребоваться обновить также файлы в каталоге /stand. Эти файлы представляют собой жёсткие ссылки на выполнимый файл /stand/sysinstall. Этот файл должен быть статически скомпонован, чтобы его работа не зависела от других файловых систем (в частности, от наличия смонтированной файловой системы /usr). &prompt.root; cd /usr/src/release/sysinstall &prompt.root; make all install Перезагрузка Теперь вы сделали всё. После того, как вы проверили, что всё на месте, можете перегрузить систему. Простая команда &man.shutdown.8; должна это сделать: &prompt.root; shutdown -r now Завершение Теперь у вас имеется успешно обновлённая система &os;. Поздравляем! Если что-то работает неправильно, можно с лёгкостью перестроить конкретную часть системы. Например, если вы случайно удалили файл /etc/magic в процессе обновления или переноса /etc, то команда &man.file.1; перестанет работать. В таком случае это можно исправить вот так: &prompt.root; cd /usr/src/usr.bin/file &prompt.root; make all install Вопросы? Нужно ли полностью перестраивать систему при каждом изменении? Простого ответа на этот вопрос нет, так как это зависит от характера изменения. Например, если вы только что выполнили CVSup, и оказалось, что с момента последнего его запуска были изменены следующие файлы: src/games/cribbage/instr.c src/games/sail/pl_main.c src/release/sysinstall/config.c src/release/sysinstall/media.c src/share/mk/bsd.port.mk то перестраивать всю систему незачем. Вы можете просто перейти в соответствующий подкаталог и выдать команду make all install, этого будет достаточно. Однако, если меняется что-то важное, например, src/lib/libc/stdlib, то вы должны перестроить всю систему или по крайней мере те ее части, которые скомпонованы статически. В конце концов, выбор за вами. Может быть вам нравится перестраивать систему, скажем, каждый вечер, а изменения скачивать ночью. Или вы можете захотеть перестраивать только те вещи, которые менялись, но быть уверенным, что отслежены все изменения. И, конечно же, всё это зависит от того, как часто вы хотите делать обновление, и отслеживаете ли вы &os.stable; или &os.current;. Компиляция прерывается с большим количеством ошибок по сигналу 11 (или с другим номером сигнала). Что случилось? сигнал 11 Как правило, это говорит о проблемах с оборудованием. (Пере)построение системы является эффективным стресс-тестом для вашего оборудования и частенько выявляет проблемы с памятью. Обычно это проявляется в виде неожиданных сбоев компилятора или получения странных программных сигналов. Явным указателем на это является то, что при перезапуске процедуры построения она прекращается в различные моменты времени. В этом случае вы мало что можете сделать, разве что попробовать заменить комплектующие вашей машины для определения сбоящей компоненты. Могу ли я удалить каталог /usr/obj после окончания? Если отвечать коротко, то да. Каталог /usr/obj содержит все объектные файлы, которые создаются во время фазы компиляции. Обычно одним из первых шагов в процессе make world является удаление этого каталога. В этом случае сохранение /usr/obj после окончания имеет мало смысла; вдобавок, он будет занимать большой объём дискового пространства (на данный момент около 340 МБ). Однако если вы точно знаете, что делаете, то можете заставить процедуру make world пропустить этот шаг. Это позволит последующие построения выполняться гораздо быстрее, так как большинство исходных текстов не нужно будет перекомпилировать. Оборотной стороной медали этого подхода является вероятность появления некоторых проблем с зависимостями, что может привести к прерыванию построения по странным причинам. Это частенько вызывает шум в списках рассылки &os;, когда кто-либо жалуется на прерывание процесса построения, не обращая внимания на то, что он пытается срезать углы на повороте. Могут ли быть продолжены прерванные процессы построения? Это зависит от того, насколько далеко зашел процесс построения перед тем, как вы обнаружили проблему. В общем случае (и это несложное и быстрое правило) процесс make world строит новые копии необходимых инструментальных средств (таких, как &man.gcc.1; и &man.make.1;) и системные библиотеки. Затем эти средства и библиотеки устанавливаются. Новые инструментальные средства и библиотеки затем используются для перестроения самих себя, и повторно устанавливаются. Система в целом (теперь включая обычные пользовательские программы, такие, как &man.ls.1; или &man.grep.1;) теперь перестраивается с новыми системными файлами. Если вы на последнем шаге, и вы знаете это (потому что просматривали вывод, который сохраняете), то вы можете (достаточно безболезненно) выполнить команду: … исправление проблемы … &prompt.root; cd /usr/src &prompt.root; make -DNOCLEAN all При этом результат предыдущего запуска make world откатываться не будет. Если вы видите сообщение: -------------------------------------------------------------- Building everything.. -------------------------------------------------------------- в выводе команды make world, то делать так достаточно безопасно. Если этого сообщения не было, или вы в этом не уверены, то всегда лучше обезопасить себя, и начать построение с самого начала. Как ускорить процесс построения системы? Работайте в однопользовательском режиме. Разместите каталоги /usr/src и /usr/obj в отдельных файловых системах, располагающихся на разных дисках. Если это возможно, то разместите эти диски на разных дисковых контроллерах. Ещё лучше разместить эти файловые системы на нескольких дисках при помощи устройства &man.ccd.4; (драйвер объединённых дисков). Выключите генерацию профилирующего кода (установив NOPROFILE=true в файле /etc/make.conf). Вам это скорее всего никогда не понадобится. Также в /etc/make.conf установите значение CFLAGS во что-то типа . Оптимизация выполняется гораздо медленнее, а разница между и обычно несущественна. позволяет компилятору использовать для связи вместо временных файлов программные каналы, что уменьшает обращение к диску (за счет оперативной памяти). Передайте утилите &man.make.1; параметр для запуска параллельно нескольких процессов. Обычно это помогает вне зависимости от того, сколько процессоров установлено в вашей машине. Файловая система, на которой располагается каталог /usr/src, может быть смонтирована (или перемонтирована) с опцией . При этом запись на диск информации о времени последнего доступа к файлам будет отключена. Скорее всего, вам эта информация и не нужна. &prompt.root; mount -u -o noatime /usr/src В примере предполагается, что /usr/src располагается на собственной файловой системе. Если это не так (то есть он является частью, скажем, /usr), то вам нужно использовать точку монтирования той файловой системы, а не /usr/src. Файловая система, на которой располагается /usr/obj, может быть смонтирована (или перемонтирована) с параметром . Это приведёт к тому, что операции записи на диск будут выполняться асинхронно. Другими словами, запись будет завершаться немедленно, но данные записываться на диск несколькими секундами позже. Это позволит объединять операции записи и приведёт к значительному приросту производительности. Имейте в виду, что эта опция делает вашу файловую систему менее устойчивой. С этой опцией имеется больше шансов, что при перезагрузке машины после неожиданного сбоя при пропадании напряжения файловая система окажется в невосстановимом состоянии. Если каталог /usr/obj — это все, что есть в этой файловой системе, то это не проблема. Если на той же самой файловой системе имеются какие-то важные данные, то проверьте давность ваших резервных копий перед включением этой опции. &prompt.root; mount -u -o async /usr/obj Как и раньше, если каталог /usr/obj располагается не на собственной файловой системе, то в примере замените его на имя соответствующей точки монтирования. Что мне делать, если что-то пошло не так? Скрупулезно проверьте, чтобы в вашем окружении не было мешающих остатков от предыдущих построений. Это достаточно просто. &prompt.root; chflags -R noschg /usr/obj/usr &prompt.root; rm -rf /usr/obj/usr &prompt.root; cd /usr/src &prompt.root; make cleandir &prompt.root; make cleandir Да, команду make cleandir действительно нужно выполнять дважды. После этого повторите весь процесс снова, начиная с make buildworld. Если у вас все еще есть проблемы, пришлите текст ошибки и выдачу команды uname -a на адрес &a.questions;. Будьте готовы ответить на другие вопросы о конфигурации вашей системы! Mike Meyer Текст предоставил Отслеживание исходных текстов для нескольких машин NFS installing multiple machines Если у вас множество машин, для которых вы хотите отслеживать одно и то же дерево исходных текстов, то сгрузка кода и перестроение системы полностью выглядит как ненужная трата ресурсов: дискового пространства, пропускной способности сети и процессорного времени. Так оно и есть, и решением является выделение одной машины, которая выполняет основной объём работы, в то время как остальные используют результаты работы посредством NFS. В этом разделе описывается именно этот метод. Подготовка Первым делом определите набор машин, на которых выполняется один и тот же набор бинарных программ, и мы будем называть его набором для построения. Каждая машина может иметь собственное уникальное ядро, но они будут работать с одними и теми же программами пользователя. Из этого набора выберите машину, которая будет являться машиной для построения. Она станет машиной, на которой будут строиться ядро и всё окружение. В идеальном случае с достаточно незагруженным CPU для выполнения команды make world. Вам также потребуется выбрать машину, которая будет тестовой для проверки обновлений программного обеспечения прежде, чем оно будет запущено в промышленную эксплуатацию. Это должна быть машина, которая может быть в нерабочем состоянии достаточно долго. Это может быть машина для построения, но не обязательно. Все машины в этом наборе для построения должны монтировать каталоги /usr/obj и /usr/src с одной и той же машины и в одну и ту же точку монтирования. В идеальном случае они располагаются на разных дисках машины построения, но они могут также монтироваться по NFS на этой машине. Если у вас имеется несколько наборов для построения, то каталог /usr/src должен быть на машине построения, а по NFS он должен быть смонтирован на остальных. Наконец, удостоверьтесь в том, что файл /etc/make.conf на всех машинах набора для построения соответствует машине построения. Это означает, что машина построения должна строить все части основного системного набора, которые будут устанавливаться на каждой машине из набора для построения. Кроме того, у каждой машины построения должно быть задано имя ядра посредством переменной KERNCONF в файле /etc/make.conf, а машина построения должна перечислить их все в переменной KERNCONF, причём первым должно быть имя её собственного ядра. Машина построения должна хранить конфигурационные файлы ядра каждой машины в каталоге /usr/src/sys/arch/conf, если на ней будут строиться соответствующие ядра.. Основные системные компоненты Теперь, когда всё это сделано, вы готовы к построению. Постройте ядро и всё окружение так, как это описано в на машине построения, но ничего не устанавливайте. После того, как процесс построения завершится, перейдите к тестовой машине и установите только что построенное ядро. Если эта машина монтирует каталоги /usr/src и /usr/obj посредством NFS, то при перезагрузке в однопользовательский режим вам потребуется задействовать сеть и смонтировать их. Самым простым способом сделать это является переход во многопользовательский режим и запуск команды shutdown now для перехода в однопользовательский режим. После этого вы можете установить новое ядро и всё окружение, а затем выполнить команду mergemaster обычным образом. После выполнения этих действий перезагрузитесь для возвращения к обычному режиму работы во многопользовательском режиме с этой машиной. После того, как вы убедитесь в нормальной работе всего на тестовой машине, проведите ту же самую процедуру для установки нового программного обеспечения на каждой из оставшихся машин из набора для построения. Порты Те же самые идеи могут использоваться и для дерева портов. Первым критическим шагом является монтирование /usr/ports с одной и той же машины на всех компьютерах в наборе для построения. Затем вы можете корректно настроить /etc/make.conf для использования общего каталога с дистрибутивными файлами. Вы должны задать переменную DISTDIR так, чтобы она указывала на общедоступный каталог, доступный тому пользователю, который отображается в пользователя root для ваших точек монтирования NFS. Каждая машина должна задавать WRKDIRPREFIX так, чтобы она указывала на локальный каталог построения. Наконец, если вы собираетесь строить и распространять пакаджи, до должны задать переменную PACKAGES так, чтобы она указывала на каталог, соответствующий DISTDIR. diff --git a/ru_RU.KOI8-R/books/handbook/eresources/chapter.sgml b/ru_RU.KOI8-R/books/handbook/eresources/chapter.sgml index 2227bec303..cd172a3125 100644 --- a/ru_RU.KOI8-R/books/handbook/eresources/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/eresources/chapter.sgml @@ -1,1646 +1,1647 @@ Ресурсы в интернет Высокая скорость прогресса FreeBSD делает непрактичным использование печатных изданий для информирования о последних разработках. Электронные ресурсы это лучший, а зачастую и единственный способ информирования о новых возможностях. Поскольку FreeBSD основывается на усилиях добровольцев, сообщество пользователей само по себе зачастую выполняет роль службы технической поддержки, а электронная почта и новости USENET это наиболее эффективный способ обращения к этому сообществу. Наиболее важная контактная информация сообщества пользователей FreeBSD показана ниже. Если вам известно о других ресурсах, не упомянутых здесь, пожалуйста отправьте информацию о них в &a.doc;, чтобы мы могли включить в этот документ. Списки рассылки Хотя многие участники разработки FreeBSD читают USENET, мы не можем всегда гарантировать, что ответим на ваши вопросы в краткий срок (или вообще), если вы отправите их только в группы comp.unix.bsd.freebsd.*. Вопросы, отправленные в соответствующий список рассылки, достигнут и нас и обширной аудитории FreeBSD, что несомненно гарантирует лучшую (или как минимум более быструю) поддержку. Все сообщения в приведенные ниже списки рассылки должны быть составлены только на английском языке. Описание каждой рассылки дано в конце этого документа. Пожалуйста, прочтите описание перед подпиской или отправкой почты в любой из списков. Большинство наших подписчиков получают многие сотни относящихся к FreeBSD сообщений каждый день, и определяя правила использования рассылок мы стремимся удержать высокое соотношение сигнал к шуму. При меньшем соотношении списки рассылки перестанут быть эффективной средой общения участников проекта. Архивы поддерживаются для всех списков рассылки и поиск по ним организован на WWW сервере FreeBSD. Поиск в архиве по ключевым словам дает отличный способ получения ответов на часто задаваемые вопросы и должен быть выполнен перед отправкой вопроса. Списки рассылки Общие списки: Ниже представлены общие списки рассылки, к которым каждый может (и приглашается) присоединиться: Список Назначение &a.cvsall.name; Изменения, вносимые в дерево исходных текстов FreeBSD &a.advocacy.name; В защиту FreeBSD &a.announce.name; Важные события и вехи проекта &a.arch.name; Обсуждения архитектуры и дизайна системы &a.bugbusters.name; Обсуждения, относящиеся к поддержке базы данных сообщений о проблемах FreeBSD и соответствующим инструментам &a.bugs.name; Сообщения о проблемах &a.chat.name; Не-технические темы, относящиеся к сообществу FreeBSD &a.config.name; Разработка инструментов установки и настройки FreeBSD &a.current.name; Обсуждения, относящиеся к использованию &os.current; &a.isp.name; Вопросы использования FreeBSD провайдерами &a.jobs.name; Вакансии и резюме, относящиеся к FreeBSD, с полной и частичной занятостью &a.newbies.name; Рассылка FreeBSD для новых пользователей &a.policy.name; Публикация правил FreeBSD Core team. Только для чтения, малое количество сообщений &a.questions.name; Вопросы пользователей и техническая поддержка &a.security-notifications.name; Уведомления безопасности &a.stable.name; Обсуждения, относящиеся к использованию &os.stable; &a.test.name; Рассылка для отправки тестовых сообщений (вместо обычных списков рассылки Технические списки: Следующие списки предназначены для технических обсуждений. Вам необходимо внимательно прочитать описание перед подпиской или отправкой почты в один из этих списков, поскольку они предназначены для использования внутри проекта. Список Назначение &a.acpi.name; Разработка ACPI и системы управления энергопотреблением &a.afs.name; Портирование AFS на FreeBSD &a.aic7xxx.name; Разработка драйверов для &adaptec; AIC 7xxx &a.alpha.name; Портирование FreeBSD на Alpha &a.amd64.name; Портирование FreeBSD на системы AMD64 &a.arm.name; Портирование FreeBSD на процессоры &arm; &a.atm.name; Использование ATM сетей с FreeBSD &a.audit.name; Проект аудита исходных текстов &a.binup.name; Дизайн и разработка системы бинарных обновлений &a.cluster.name; Использование FreeBSD в кластерах &a.cvsweb.name; Поддержка CVSweb &a.database.name; Обсуждение использования и разработки баз данных под FreeBSD &a.doc.name; Создание относящихся к FreeBSD документов &a.emulation.name; Эмуляция других систем, таких как Linux/DOS/&windows; &a.firewire.name; Техническое обсуждение FreeBSD &firewire; (iLink, IEEE 1394) &a.fs.name; Файловые системы &a.geom.name; Относящиеся к GEOM обсуждения и реализации &a.gnome.name; Портирование GNOME и приложений GNOME &a.hackers.name; Общее техническое обсуждение &a.hardware.name; Общее обсуждение оборудования для FreeBSD &a.i18n.name; Интернационализация FreeBSD &a.ia32.name; FreeBSD на платформе IA-32 (&intel; x86) &a.ia64.name; Портирование FreeBSD на будущие системы Intel IA64 &a.ipfw.name; Технические обсуждения, относящиеся к переработке кода IP брандмауэра &a.isdn.name; Разработчики ISDN &a.java.name; Разработчики &java; и люди, портирующие &jdk; на FreeBSD &a.kde.name; Портирование KDE и приложений KDE &a.lfs.name; Портирование LFS на FreeBSD &a.libh.name; Второе поколение программы установки системы и пакетов &a.mips.name; Портирование FreeBSD на &mips; &a.mobile.name; Обсуждение портативных компьютеров &a.mozilla.name; Портирование Mozilla на FreeBSD &a.multimedia.name; Мультимедиа приложения &a.newbus.name; Технические обсуждения архитектуры шины &a.net.name; Обсуждения, относящиеся к сети и исходному тексту TCP/IP &a.openoffice.name; Портирование OpenOffice.org и &staroffice; на FreeBSD &a.performance.name; Вопросы оптимизации производительности для быстрых/работающих под большой нагрузкой серверов &a.perl.name; Поддержка различных относящихся к perl портов &a.platforms.name; Относится к портам для платформ не-Intel архитектуры &a.ports.name; Обсуждения коллекции портов &a.ports-bugs.name; Обсуждения относящихся к портам ошибок/PR &a.ppc.name; Портирование FreeBSD на &powerpc; &a.qa.name; Обсуждение гарантий качества (Quality Assurance), обычно перед релизом &a.realtime.name; Разработка расширений реального времени для FreeBSD &a.scsi.name; Подсистема SCSI &a.security.name; Сообщения безопасности, касающиеся FreeBSD &a.small.name; Использование FreeBSD во встроенных приложениях &a.smp.name; Обсуждение [не]симметричной мультипроцессорной архитектуры &a.sparc.name; Портирование FreeBSD на системы, основанные на &sparc; &a.standards.name; Соответствие FreeBSD стандартам C99 и &posix; &a.threads.name; Потоки в FreeBSD &a.testing.name; Тестирование производительности и стабильности FreeBSD &a.tokenring.name; Поддержка Token Ring в FreeBSD &a.x11.name; Сопровождение и поддержка X11 в FreeBSD Ограниченные списки: Следующие списки рассылки предназначены для более специализированной (и более официальной) аудитории и вероятно не могут заинтересовать широкую публику. Вероятно хорошей идеей будет сначала наладить общение в технических списках рассылки перед присоединением к ограниченным спискам, так вы сможете освоить этику общения. Список Назначение &a.hubs.name; Люди, поддерживающие зеркала (поддержка инфраструктуры) &a.usergroups.name; Координация групп пользователей &a.vendors.name; Координация поставщиков перед релизом &a.www.name; Ответственные за www.FreeBSD.org Дайджест рассылки: Все вышеприведенные списки доступны в формате дайджеста. После подписки на рассылку, вы можете изменить параметры дайджеста в разделе настроек учетной записи. CVS рассылки: Следующие рассылки предназначены для людей, заинтересованных в просмотре сообщений об изменении в различных областях дерева исходных текстов. Это списки только для чтения и вы не должны отправлять туда почту. Рассылка Область исходного текста Описание области исходного текста &a.cvsall.name; /usr/(CVSROOT|doc|ports|projects|src) Все изменения в любой области дерева исходных текстов (надмножество других списков рассылки cvs) &a.cvs-doc.name; /usr/(doc|www) Все изменения в дереве исходных текстов документации и веб сервера &a.cvs-ports.name; /usr/ports Все изменения в дереве портов &a.cvs-projects.name; /usr/projects Все изменения в дереве проектов &a.cvs-src.name; /usr/src Все изменения в дереве исходных текстов системы Как подписаться Для подписки на рассылку, нажмите на название списка рассылки выше или воспользуйтесь ссылкой &a.mailman.lists.link; и нажмите на имя рассылки, которой вы заинтересовались. Страница списка рассылки содержит все необходимые инструкции по подписке. Для отправки сообщения в выбранный список рассылки, отправьте письмо в <listname@FreeBSD.org>. Это письмо будет разослано участникам рассылки по всему миру. Для отписки от рассылки, нажмите на ссылку, находящуюся внизу каждого письма, отправляемого через список рассылки. Возможна также отписка путем отправки письма на freebsd-[listname]-unsubscribe@FreeBSD.org. Напоминаем, что обсуждение в технических списках рассылки должно оставаться в рамках технической темы. Если вас интересует только получение важных анонсов, мы предлагаем подписаться на рассылку с небольшим трафиком &a.announce;. Описание рассылок Все списки рассылки FreeBSD имеют определенные основные правила, которых должен придерживаться каждый использующий их. Несоблюдение этих правил приведет к отправлению двух (2) предупреждений от FreeBSD Postmaster postmaster@FreeBSD.org, после которых, после третьего нарушения, подписчик будет удален из всех списков рассылки FreeBSD и дальнейшие его сообщения будут отфильтровываться. Мы сожалеем, что эти правила и меры вообще необходимы, но современный интернет это довольно суровая среда и многие его механизмы довольно слабы. Основные правила: Тема любого сообщения должна соответствовать назначению списка рассылки, в который это сообщение отправляется. Например, если список рассылки посвящен техническим вопросам, сообщение должно быть техническим. Продолжающееся обсуждение вне темы, или флейм только понижают ценность рассылки для всех ее участников и поэтому не разрешаются. Для обсуждений вне какой-либо определенной темы необходимо использовать &a.chat;, специально для этого предназначенный. Ни одно сообщение не должно отправляться более чем в 2 рассылки, отправка сообщения в 2 рассылки должна выполняться только при наличии простой и очевидной причины для дублирования сообщения. В большинстве рассылок подписчикам уже приходит много избыточного материала, и за исключением редких случаев (скажем, -stable & -scsi), на самом деле нет причины отправлять сообщение более чем в один список рассылки. Если сообщение отправлено вам так, что в поле Cc находятся несколько списков рассылки, необходимо урезать поле Cc перед отправкой ответа. Именно вы отвечаете за собственные сообщения, независимо от того, кто был автором исходного письма. Персональные нападки и профанация (в контексте аргументов) не разрешены, это относится и к пользователям, и к разработчикам. Грубые нарушения сетевой этики, такие как цитирование или пересылка личной переписки без специального на то разрешения, осуждаются но специальные меры в этом случае не принимаются. Однако, существует несколько специальных случаев, когда такие письма не отвечают назначению списка рассылки и, следовательно, могут повлечь отправку предупреждения (или исключение из списка рассылки). Реклама не-FreeBSD продуктов или сервисов строго запрещена и исключение из списка рассылки последует незамедлительно, если станет очевидным, что это спам. Описания рассылок: &a.acpi.name; Разработка ACPI и системы управления энергопотреблением &a.afs.name; Andrew File System Этот список предназначен для обсуждения портирования и использования AFS от CMU/Transarc &a.announce.name; Важные события / вехи проекта Этот список рассылки предназначен для тех, кто интересуется только периодическими анонсами значительных событий FreeBSD. Сюда включаются анонсы снэпшотов и других релизов, а также новых возможностей FreeBSD. Рассылка может содержать призыв к добровольцам и т.п. Это строго модерируемый список рассылки с малым объемом трафика. &a.arch.name; Обсуждение архитектуры и дизайна системы Эта рассылка предназначена для обсуждения архитектуры FreeBSD. Сообщения в основном строго технические. Примеры подходящих тем: Как изменить систему сборки для одновременной сборки нескольких по-разному настроенных систем. Что необходимо исправить в VFS для включения слоев Heidemann. Как необходимо изменить интерфейс драйверов устройств для использования одних и тех же драйверов на множестве шин и архитектур. Как написать сетевой драйвер. &a.audit.name; Проект аудита исходных текстов Это список рассылки для проекта аудита исходных текстов FreeBSD. Хотя первоначально он предназначался для изменений, связанных с безопасностью, его назначение было расширено для пересмотра всех изменений кода. В эту рассылку отправляется большой объем исправлений, и она вероятно не представляет интереса для обычного пользователя FreeBSD. Обсуждения безопасности, не относящиеся к определенному изменению в коде, ведутся в freebsd-security. Разработчикам предлагается отправлять изменения в этот список рассылки для просмотра, особенно если эти изменения затрагивают части кода, ошибки в которых могут повлечь нарушение целостности системы. &a.binup.name; Проект бинарного обновления FreeBSD Этот список предназначен для обсуждений системы бинарного обновления системы, или binup. В этой рассылке обсуждаются вопросы дизайна, детали реализации, исправления, сообщения об ошибках, сообщения о статусе, запросы на расширение функциональности, протоколы коммитов, и все, что относится к binup. &a.bugbusters.name; Координация усилий по обработке сообщений о проблемах Назначение этой рассылки в координации и предоставлении места для обсуждения для лиц, обслуживающих базу данных сообщений о проблемах (bugmeister, bugbusters) и для всех сторон, интересующихся базой данных PR. Эта рассылка не предназначена для обсуждения отдельных проблем, исправлений или PR. &a.bugs.name; Сообщения об ошибках Этот список рассылки предназначен для отправки сообщений об ошибках в FreeBSD. Когда это возможно, сообщения должны отправляться с использованием &man.send-pr.1; или через WEB интерфейс к send-pr. &a.chat.name; Не-технические темы, относящиеся к сообществу FreeBSD В эту рассылку входят все темы, не подходящие для других рассылок, с не-технической, социальной информацией. Она включает обсуждения на темы: кто пьет слишком много кофе, где варят лучшее пиво, кто варит пиво в своем подвале, и так далее. Нерегулярные анонсы важных событий (такие как будущие встречи, свадьбы, дни рождения, новая работа и т.д.) могут быть опубликованы в технических рассылках, но ответы должны отправляться в -chat. &a.core.name; Команда FreeBSD core Это внутренний список рассылки, используемый членами core. Сообщения в эту рассылку могут быть отправлены по серьезной, имеющей отношение к FreeBSD причине, которая требует рассмотрения на самом высоком уровне. &a.current.name; Обсуждения, касающиеся использования &os.current; Это список рассылки для пользователей &os.current;. Он включает предупреждения о новых возможностях, вносимых в -CURRENT, влияющих на пользователей, и инструкции относительно действий, которые должны быть предприняты для поддержки -CURRENT. Всякий, работающий с CURRENT, должен подписаться на эту рассылку. Это технический список рассылки, все сообщения должны быть строго техническими. &a.cvsweb.name; FreeBSD CVSweb Project Технические обсуждения использования, разработки и поддержки FreeBSD-CVSweb. &a.doc.name; Проект документирования Этот список рассылки предназначен для обсуждения вопросов и проектов, относящихся к созданию документации для FreeBSD. Члены этой рассылки все вместе обозначаются как The FreeBSD Documentation Project. Это открытая рассылка; присоединяйтесь и участвуйте! &a.firewire.name; &firewire; (iLink, IEEE 1394) Это список рассылки, предназначенный для обсуждения дизайна и реализации подсистемы &firewire; (также известной как IEEE 1394 или iLink) в FreeBSD. Соответствующие темы относятся к стандартам, устройствам шины и их протоколам, наборам плат/карт/чипов адаптера, а также архитектуре и реализации кода для их правильной поддержки. &a.fs.name; Файловые системы Обсуждения, относящиеся к файловым системам FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.geom.name; GEOM Обсуждения, относящиеся к GEOM и связанным с GEOM реализациям. Это технический список рассылки, предназначенный только для технических обсуждений. &a.gnome.name; GNOME Обсуждения, относящиеся к десктопу GNOME для системы FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.ipfw.name; IP брандмауэр Это форум для технических обсуждений, относящихся к редизайну кода IP брандмауэра в FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.ia64.name; Портирование FreeBSD на IA64 Это технический список рассылки для тех, кто активно работает над портированием FreeBSD на платформу IA-64 от Intel, предназначенный для поднятия вопросов или обсуждения альтернативных решений. Те, кто интересуется обсуждаемыми проблемами, также приглашаются к участию в рассылке. &a.isdn.name; ISDN соединения Это список рассылки для обсуждения разработки поддержки ISDN для FreeBSD. &a.java.name; Разработка &java; Этот список рассылки предназначен для обсуждения ключевых приложений &java; для FreeBSD, а также портирования и поддержки &jdk;. &a.jobs.name; Предложение и поиск работы Это форум для публикации вакансий и резюме, относящихся к &os;. Например, если вы ищете работу, относящеюся к &os;, или у вас есть работа, связанная с &os;, вы можете разместить соответствующую информацию именно здесь. Эта - рассылка НЕ предназначена для обсуждения общих вопросах + рассылка не предназначена для обсуждения + общих вопросов о приеме на работу, поскольку форумы на соответствующие темы уже существуют на других сайтах. Имейте ввиду, что эта рассылка, как и другие рассылки на FreeBSD.org, распространяется по всему миру. Поэтому вам необходимо четко указать свое местоположение и область, с которой возможны телекоммуникации или помощь в перемещении. Письма должны быть составлены только в открытых форматах — предпочтителен чистый текст, но Portable Document Format (PDF), HTML, и некоторые другие форматы могут быть прочитаны многими. Закрытые форматы, такие как µsoft; Word (.doc) будут отброшены сервером почтовой рассылки. &a.kde.name; KDE Обсуждения, относящиеся к KDE в системах FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.hackers.name; Технические обсуждения Это форум для технических обсуждений, относящихся к FreeBSD. Это в основном технический список рассылки. Он предназначен для тех, кто активно работает над FreeBSD, и служит для поднятия вопросов или обсуждения альтернативных решений. Те, кто интересуется обсуждаемыми вопросами, также приглашаются к участию в обсуждении. Это технический список рассылки, предназначенный только для технических обсуждений. &a.hardware.name; Общее обсуждение оборудования FreeBSD Общее обсуждение типов оборудования, на котором работает FreeBSD, различных проблем и предложений относительно того, какое оборудование можно покупать а какое нет. &a.hubs.name; Сайты зеркал Анонсы и обсуждения для поддерживающих зеркала FreeBSD. &a.isp.name; Вопросы использования FreeBSD провайдерами Этот список рассылки предназначен для обсуждения тем, имеющих значение для провайдеров, использующих FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.newbies.name; Обсуждение деятельности новых пользователей Эта рассылка охватывает всю деятельность новых пользователей, которая не обсуждается где-то еще. Сюда включаются: независимое обучение и техника решения проблем, поиск и использование ресурсов и запрос помощи где-то еще, как использовать списки рассылки и какие из них использовать, разговоры на общие темы, обсуждение ошибок, хвастовство, обмен идеями, истории, моральная (но не техническая) поддержка, активное участие в сообществе FreeBSD. Мы сообщаем о своих проблемах и отправляем запросы на поддержку в freebsd-questions, а freebsd-newbies используем для встречи с темы, кто делает то же, что и мы, будучи новыми пользователями. &a.openoffice.name; OpenOffice.org Обсуждения, относящиеся к портированию и поддержке OpenOffice.org и &staroffice;. &a.performance.name; Обсуждения оптимизации или повышения скорости FreeBSD Этот список рассылки существует как место для обсуждения тем, имеющих отношение к производительности FreeBSD, хакерами, администраторами, и/или заинтересованными сторонами. Приемлемые темы включают обсуждения установок FreeBSD, которые находятся под высокой нагрузкой и сталкиваются с проблемами производительности, или преодоление ограничений FreeBSD. Заинтересованным сторонам, собирающимся работать над улучшением производительности FreeBSD, настоятельно рекомендуется подписаться на эту рассылку. Это техническая рассылка, идеально подходящая для пользователей, хакеров или администраторов, заинтересованных в скорости, стабильности и расширяемости FreeBSD. Это не рассылка вопросов-и-ответов, заменяющая чтение документации, а место, где можно внести свой вклад или получить информацию по еще незатронутой теме, связанной с производительностью. &a.platforms.name; Портирование на не-Intel платформы Кросс-платформенные вопросы FreeBSD, общее обсуждение и предложения для не-Intel портов FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.policy.name; Правила core team Это рассылка с малым количеством сообщений, только для чтения, предназначенная для публикации решений FreeBSD Core Team. &a.ports.name; Обсуждения ports Обсуждения, относящиеся к коллекции портов FreeBSD, (/usr/ports), инфраструктуры портов и общих усилий по координации портов. Это технический список рассылки, предназначенный только для технических обсуждений. &a.ports-bugs.name; Обсуждение проблем в ports Обсуждения, относящиеся к сообщениям о проблемах для коллекции портов FreeBSD (/usr/ports), предлагаемых портов, или изменений к портам. Это технический список рассылки, предназначенный только для технических обсуждений. &a.questions.name; Вопросы пользователей Это список рассылки по вопросам о FreeBSD. Вы не должны отправлять вопросы как сделать в технические рассылки, если только не уверены, что ваш вопрос чисто технический. &a.scsi.name; Подсистема SCSI Это список рассылки для тех, кто работает над подсистемой SCSI для FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.security.name; Вопросы безопасности Вопросы безопасности FreeBSD (DES, Kerberos, известные проблемы безопасности и исправления, и т.п.). Это технический список рассылки, предназначенный только для технических обсуждений. Обратите внимание, что это не рассылка вопросов-и-ответов, но дополнения в FAQ (И вопрос И ответ) приветствуются. &a.security-notifications.name; Уведомления безопасности Уведомления о проблемах безопасности FreeBSD и исправления. Эта рассылка не предназначена для обсуждений. Для обсуждения предназначена рассылка FreeBSD-security. &a.small.name; Использование FreeBSD во встроенных приложениях В этой рассылке обсуждаются темы, связанные с необычно малыми и встроенными установками FreeBSD. Это технический список рассылки, предназначенный только для технических обсуждений. &a.stable.name; Обсуждения, касающиеся использования &os.stable; Этот список рассылки предназначен для пользователей &os.stable;. Он включает предупреждения о новых возможностях, добавляемых в -STABLE, и влияющих на пользователей, и инструкции по действиям, которые необходимы для поддержки системы в состоянии -STABLE. Всякий, использующий STABLE, должен подписаться на эту рассылку. Это технический список рассылки, предназначенный только для технических обсуждений. &a.standards.name; Соответствие C99 и POSIX Это форум для технических обсуждений, относящихся к соответствию FreeBSD стандартам C99 и POSIX. &a.usergroups.name; Список координации групп пользователей Этот список рассылки предназначен для обсуждения вопросов координаторами каждой группы пользователей и назначенным членом Core Team. Обсуждения в этой рассылке ограничены темой встреч и координацией проектов, относящихся к группам пользователей. &a.vendors.name; Поставщики Обсуждения, относящиеся к координации между FreeBSD Project и поставщиками программного и аппаратного обеспечения для FreeBSD. Фильтрация списков рассылки Списки рассылки &os; фильтруются различными способами для предотвращения распространения спама, вирусов, и другой нежелательной почты. Действия по фильтрации, описанные в этом разделе, не включают всех используемых для фильтрации списков рассылки проекта действий. Только определенные типы вложений разрешены в списках рассылки. Все вложения с типами MIME содержимого, не входящие в список ниже, будут вырезаться перед тем, как письмо будет отправлено в список рассылки. application/octet-stream application/pdf application/pgp-signature application/x-pkcs7-signature message/rfc822 multipart/alternative multipart/related multipart/signed text/html text/plain text/x-diff text/x-patch Некоторые из списков рассылки могут пропускать вложения других типов MIME, но список выше применим к большинству рассылок. Если письмо содержит как HTML, так и только текстовую версию, версия HTML будет удалена. Если письмо содержит только HTML версию, она будет конвертирована в простой текст. Новостные группы Usenet В дополнение к двум относящимся к FreeBSD группам новостей, существуют множество других, где обсуждается FreeBSD или куда помещается другая информация, относящаяся к пользователям FreeBSD. Архивы с поиском по ключевому слову доступны для некоторых из этих новостных групп благодаря Warren Toomey wkt@cs.adfa.edu.au. Относящиеся к BSD новостные группы comp.unix.bsd.freebsd.announce comp.unix.bsd.freebsd.misc de.comp.os.unix.bsd (German) fr.comp.os.bsd (French) it.comp.os.freebsd (Italian) Другие интересные &unix; новостные группы comp.unix comp.unix.questions comp.unix.admin comp.unix.programmer comp.unix.shell comp.unix.user-friendly comp.security.unix comp.sources.unix comp.unix.advocacy comp.unix.misc comp.bugs.4bsd comp.bugs.4bsd.ucb-fixes comp.unix.bsd X Window System comp.windows.x.i386unix comp.windows.x comp.windows.x.apps comp.windows.x.announce comp.windows.x.intrinsics comp.windows.x.motif comp.windows.x.pex comp.emulators.ms-windows.wine Серверы World Wide Web &chap.eresources.www.inc; Адреса Email Следующие группы пользователей предоставляют для своих участников почтовые адреса. Приведенные в списке администраторы оставляют за собой право удалить адреса при любом злоупотреблении. Домен Возможности Группа пользователей Администратор ukug.uk.FreeBSD.org Только пересылка freebsd-users@uk.FreeBSD.org Lee Johnston lee@uk.FreeBSD.org Shell доступ Следующие группы пользователей предоставляют shell доступ для тех, кто активно поддерживает проект FreeBSD. Приведенные в списке администраторы оставляют за собой право закрыть учетную запись при любом злоупотреблении. Хост Доступ Возможности Администратор storm.uk.FreeBSD.org Только SSH Cvs только для чтения, место для личной странички, почта &a.brian; dogma.freebsd-uk.eu.org Telnet/FTP/SSH Email, место для сайта, Anonymous FTP Lee Johnston lee@uk.FreeBSD.org diff --git a/ru_RU.KOI8-R/books/handbook/install/chapter.sgml b/ru_RU.KOI8-R/books/handbook/install/chapter.sgml index da398daf80..189b8de8d9 100644 --- a/ru_RU.KOI8-R/books/handbook/install/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/install/chapter.sgml @@ -1,5594 +1,5595 @@ Jim Mock Реструктурировал, исправил и частично переписал Randy Pratt Обзор sysinstall, скриншоты и общее руководство Установка FreeBSD Краткий обзор установка FreeBSD поставляется простой в использовании текстовой программой установки sysinstall. Это основная программа установки FreeBSD, хотя поставщики могут предлагать свои программы. В этой главе описывается использование sysinstall для установки FreeBSD. Прочтя эту главу, вы узнаете: Как создать дискеты для установки FreeBSD. Как FreeBSD видит и делит на разделы жесткие диски. Как запустить sysinstall. Вопросы, которые sysinstall задаст вам, что имеется ввиду, и как ответить на эти вопросы. Перед прочтением этой главы вам потребуется: Прочитать информацию о поддерживаемом оборудовании, поставляемую с устанавливаемой версией FreeBSD, и убедиться, что ваше оборудование поддерживается. Как правило, эти инструкции по установке написаны для &i386; (PC совместимых) компьютеров. Когда это возможно, приводятся инструкции, специфичные для других платформ (например, Alpha). Хотя это руководство поддерживается в актуальном состоянии настолько, насколько это возможно, вы можете обнаружить небольшие различия между программой установки и тем, что показано здесь. Предполагается, что вы будете использовать эту главу в качестве общего руководства, а не как пошаговую инструкцию по установке. Перед установкой Соберите информацию о компьютере Перед установкой FreeBSD попытайтесь собрать информацию об устройствах компьютера. Во время установки FreeBSD покажет информацию об устройствах (жестких дисках, сетевых картах, CDROM и т.д.) с номером модели и производителем. FreeBSD также попытается определить правильную конфигурацию для этих устройств, включая информацию об IRQ и портах ввода-вывода. Из-за возможных проблем с оборудованием этот процесс не всегда завершается успешно, и возможно вам придется исправлять определенную FreeBSD конфигурацию. Если у вас уже есть установленная операционная система, например &windows; или Linux, неплохо будет использовать ее возможности для просмотра настроек оборудования. Если вы не уверены какие какие настройки карты расширения использовать, можете найти их на самой карте. Часто используемые номера прерываний 3, 5 и 7, порты ввода- вывода обычно пишутся в шестнадцатеричном виде, например 0x330. Мы рекомендуем распечатать эту информацию перед установкой FreeBSD. Вам может помочь использование таблицы вроде этой: Пример сведений об оборудовании Название устройства IRQ Порт ввода-вывода Примечания Первый жесткий диск нет нет 40 GB, Seagate, первый IDE master CDROM нет нет Первый IDE slave Второй жесткий диск нет нет 20 GB, IBM, второй IDE master Первый IDE контроллер 14 0x1f0 Сетевая карта нет нет &intel; 10/100 Модем нет нет &tm.3com; 56K факс-модем, COM1 …
Сделайте резервное копирование данных Если компьютер, на который вы устанавливаете FreeBSD, содержит важные данные, убедитесь в наличии резервных копий и проверьте их сохранность перед установкой FreeBSD. Во время установки FreeBSD запросит подтверждение перед тем, как записать данные на диск, но, если процесс запущен, изменения нельзя отменить. Решите куда установить FreeBSD Если вы хотите, чтобы FreeBSD использовала весь жесткий диск, не о чем беспокоиться — можете пропустить этот раздел. Однако, если нужно совмещать FreeBSD с другими операционными системами, необходимо иметь представление как данные размещаются на диске и как это касается вас. Разделы диска для &i386; Диск PC может быть поделен отдельные части. Эти части называют разделами. Первоначально PC поддерживал только четыре раздела на диск. Эти разделы называются главными разделами. Чтобы обойти это ограничение и дать возможность создавать более чем четыре раздела, был создан новый тип раздела, расширенный раздел. Диск может содержать только один расширенный раздел. Специальные разделы, называемые логическими разделами, могут быть созданы внутри расширенного раздела. Каждый раздел имеет ID раздела — номер, который используется для определения типа данных на разделе. FreeBSD использует ID раздела 165. Как правило, каждая операционная система, которую вы используете, определяет разделы своим способом. Например, DOS и ее потомки, такие как &windows;, присваивают каждому главному и логическому разделу букву диска, начиная с C:. FreeBSD нужно устанавливать в главный раздел. FreeBSD может хранить все свои данные, включая создаваемые вами файлы, на этом одном разделе. Тем не менее, если дисков много, вы можете создать разделы FreeBSD на всех дисках или на некоторых из них. При установке FreeBSD должен быть доступен по крайней мере один раздел. Это может быть чистый, подготовленный для установки раздел, или раздел с данными, которые больше не нужны. Если все разделы на диске уже используются, вы должны освободить один из них для FreeBSD, используя программы, поставляемые с имеющейся операционной системой (например, fdisk для DOS или &windows;). Если есть резервный раздел, используйте его. Однако, возможно сначала придется ужать один или несколько существующих разделов. FreeBSD для установки нужен диск не менее 100 MB. Однако, это оченьминимальная установка, при которой не останется места для ваших личных файлов. Более реальный объем — 250 MB без графической оболочки, и более 350 MB с графической оболочкой. Если вы собираетесь устанавливать большое количество дополнительного ПО, понадобится еще больше дискового пространства. Вы можете использовать коммерческие программы, такие как &partitionmagic;, для изменения размера разделов и освобождения места под FreeBSD. Каталог tools на CDROM содержит две свободно распространяемых утилиты, которые могут быть использованы для этой задачи, называющиеся FIPS - и PResizer. + и PResizer. Документация на обе эти + утилиты доступна из того же каталога. FIPS, PResizer, и &partitionmagic; могут изменять размер разделов FAT16 и FAT32, используемых системами от &ms-dos; до &windows; ME. &partitionmagic; это единственная - известная программа, способная изменять размер NTFS. - Документация на них находится в том же каталоге. + известная программа, способная изменять размер + NTFS. Неправильное использование этих утилит может привести к уничтожению данных на диске. Удостоверьтесь в наличии свежих и исправных резервных копий данных перед их использованием. Использование существующего раздела без изменения Представьте что в компьютере один 4 GB диск, на котором уже установлена &windows;, и диск разбит на два логических диска C: и D:, каждый по 2 GB. 1 GB данных на C:, и 0.5 GB данных на D:. Это означает, что диск состоит из двух разделов, по одному на каждую букву. Вы можете скопировать все данные с D: на C:, это освободит второй раздел для FreeBSD. Сжатие существующих разделов Представьте, что в компьютере один 4 GB диск, на котором уже установлена &windows;. При установке &windows; вы создали один большой раздел, получив при этом диск C: размером 4 GB. Вы используете 1.5 GB, и хотите выделить 2 GB для FreeBSD. Для установки FreeBSD нужно выбрать: Сделать резервную копию &windows;, затем переустановить &windows;, выделив 2 GB под ее раздел. Использовать одну из утилит, таких как &partitionmagic;, описанную выше, для сжатия раздела &windows;. Разделы диска для Alpha Alpha Вам потребуется выделенный диск для FreeBSD на Alpha. В настоящее время невозможно установить две операционные системы на диск. В зависимости от конкретного компьютера Alpha, диск может быть SCSI или IDE, главное, чтобы ваш компьютер мог с него загружаться. В соответствии с соглашениями, принятыми в руководствах Digital / Compaq, весь SRM ввод показан в верхнем регистре. SRM нечувствителен к регистру. Для поиска имен и типов дисков на компьютере используйте команду SHOW DEVICE SRM консоли: >>>SHOW DEVICE dka0.0.0.4.0 DKA0 TOSHIBA CD-ROM XM-57 3476 dkc0.0.0.1009.0 DKC0 RZ1BB-BS 0658 dkc100.1.0.1009.0 DKC100 SEAGATE ST34501W 0015 dva0.0.0.0.1 DVA0 ewa0.0.0.3.0 EWA0 00-00-F8-75-6D-01 pkc0.7.0.1009.0 PKC0 SCSI Bus ID 7 5.27 pqa0.0.0.4.0 PQA0 PCI EIDE pqb0.0.1.4.0 PQB0 PCI EIDE Этот пример с Digital Personal Workstation 433au показывает три подключенных диска. Первый — устройство CDROM с именем DKA0, другие два называются DKC0 и DKC100 соответственно. Диски с именами DKx — SCSI диски. Например, DKA100 означает SCSI диск со SCSI целевым ID 1 на первой SCSI шине (A), в то время как DKC300 означает SCSI диск с SCSI ID 3 на третьей SCSI шине (C). Имя устройства PKx означает SCSI адаптер. Как показано в выводе SHOW DEVICE, SCSI устройство CDROM определяется как любой другой жесткий диск SCSI. Имена IDE дисков выглядят как DQx, в то время как PQx — IDE контроллер. Соберите информацию о конфигурации сети Если вы хотите подключиться к сети в процессе установки FreeBSD (например, при установке с FTP или NFS сервера), нужно знать конфигурацию сети. Вам будет предложено ввести эту информацию, чтобы FreeBSD смогла подключиться к сети для продолжения установки. Подключение к сети Ethernet, или через кабельный/DSL модем Если вы подключаетесь к сети Ethernet, или соединение с интернет подключено к Ethernet через кабельный или DSL модем, понадобится следующая информация: IP адрес IP адрес шлюза по умолчанию Имя хоста IP адрес DNS сервера Маска подсети Если у вас нет этой информации, спросите системного администратора или провайдера интернет. Они могут сказать, что эти данные присваиваются автоматически, с использованием DHCP. Если это так, запомните это. Подсоединение с помощью модема Если вы дозваниваетесь до провайдера с помощью обычного модема, вы все же сможете установить FreeBSD через интернет, но это займет очень много времени. Вам нужно знать: Номер телефона провайдера COM порт, к которому подключен модем Имя пользователя и пароль учетной записи для доступа в интернет Проверьте сведения об обнаруженных ошибках FreeBSD Хотя проект FreeBSD борется за то, чтобы каждый релиз FreeBSD был настолько стабильным, насколько это возможно, ошибки порой вкрадываются в процесс разработки. В очень редких случаях эти ошибки влияют на процесс установки. Как только эти проблемы обнаруживаются и исправляются, они попадают в сообщения об ошибках FreeBSD, находящиеся на сайте FreeBSD. Вы можете проверить сообщения об ошибках перед установкой, чтобы убедиться, что не существует проблем, о которых стоит беспокоиться. Информация о релизах, включая сообщения об ошибках каждого релиза, находится странице информации о релизах сайта FreeBSD. Получение установочных файлов FreeBSD Программа установки FreeBSD может установить FreeBSD из файлов, расположенных в одном из следующих мест: Локальный диск CDROM или DVD Раздел DOS на вашем компьютере Лента SCSI или QIC Гибкие диски Сеть FTP сервер (через файрволл или HTTP прокси, если потребуется) NFS сервер Соединение через параллельный или последовательный порт Если вы купили FreeBSD на CD или DVD, у вас уже есть все, что нужно, переходите к следующему разделу (). Если у вас нет установочных файлов FreeBSD, перейдите к разделу , который описывает, как подготовиться к установке FreeBSD любым указанным выше способом. После прочтения этого раздела, вернитесь сюда и прочтите . Подготовка загрузочных дисков Процесс установки FreeBSD начинается с загрузки в ваш компьютер программы установки FreeBSD — эта программа не запускается из других операционных систем. Компьютер обычно загружает операционную систему, установленную на жестком диске, но также может быть настроен для использования загрузочной дискеты. Большинство современных компьютеров могут также загрузиться с компакт-диска в приводе CDROM. Если у вас есть FreeBSD на CDROM или DVD (купленный или записанный самостоятельно), и компьютер позволяет загрузку с CDROM или DVD (обычно этот пункт в BIOS называется Boot Order или что-то вроде), можете пропустить этот раздел. Образы FreeBSD CDROM и DVD являются загрузочными и могут быть использованы для установки FreeBSD без какой-либо специальной подготовки. Для создания загрузочных дисков сделайте следующее: Получение образов загрузочных дисков Загрузочные диски есть на установочном диске в каталоге floppies/, и могут быть также закачаны из каталога floppies для компьютеров &i386; и из каталога floppies для компьютеров Alpha. Расширение файла образа диска .flp. Каталог floppies/ содержит множество разных образов, ваш выбор будет зависеть от устанавливаемой версии FreeBSD и, в некоторых случаях, от конфигурации компьютера. В большинстве случаев понадобятся всего лишь два файла, kern.flp и mfsroot.flp. В некоторых системах могут потребоваться дополнительные драйверы устройств. Они находятся в файле drivers.flp. Обратитесь к файлу README.TXT в том же каталоге за свежей информацией об этих образах дисков. FTP клиент должен использовать бинарный режим для загрузки образов дисков. Некоторые веб браузеры используют текстовый (ASCII) режим, который точно не позволит загрузиться с этих дисков. Подготовка дискет Необходимо подготовить по одной дискете на каждый загруженный образ. Эти дискеты должны быть без дефектов. Лучший способ проверить это — отформатировать дискеты самостоятельно. Не доверяйте заводскому форматированию дискет. Утилита форматирования в &windows; не сообщит о наличии плохих секторов, она просто пометит их как плохие и проигнорирует. Советуем использовать новые дискеты если вы выбрали этот способ установки. Если при попытке установки FreeBSD программа установки рушится, зависает, или делает что-то не так, сразу проверьте дискеты. Попробуйте записать образы на новые дискеты и попытайтесь еще раз. Запись образов на дискеты Файлы с расширением .flp это не обычные файлы, которые можно записать на диск. Это образы всего содержимого диска. Это означает, что вы не можете просто скопировать их с одного диска на другой. Вместо этого, нужно использовать специальные утилиты для записи образов на диск. DOS Если вы записываете флоппи на компьютере под &ms-dos;/&windows;, используйте утилиту fdimage. Если вы используете образы с CDROM, и буква вашего CDROM E:, запустите ее так: E:\> tools\fdimage floppies\kern.flp A: Повторите эту команду для каждого файла .flp, вставляя новую дискету каждый раз, пометьте каждый диск именем файла, который вы скопировали на него. Измените команду если потребуется, в зависимости от места, куда вы поместили файлы .flp. Если у вас нет CDROM, fdimage может быть загружена из каталога tools FTP сервера FreeBSD. Если вы записываете дискеты под &unix; (например, под другой системой FreeBSD), используйте утилиту &man.dd.1; для записи образов непосредственно на дискеты. Под FreeBSD запустите: &prompt.root; dd if=kern.flp of=/dev/fd0 Под FreeBSD, /dev/fd0 означает первый гибкий диск (диск A:). /dev/fd1 будет диском B:, и так далее. Другие &unix; системы могут по-другому именовать устройства гибких дисков, вам возможно понадобится прочитать документацию по соответствующей системе. Теперь вы готовы к установке FreeBSD. Начало установки Как правило, программа установки не будет производить никаких изменений на дисках, пока не выдаст следующее сообщение: Last Chance: Are you SURE you want continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! Установка может быть прервана в любой момент до этого предупреждения без каких-либо изменений на жестком диске. Если вы считаете, что что-то настроили неправильно, можете просто выключить компьютер без риска что-либо повредить. Загрузка Загрузка &i386; Компьютер выключен. Включите компьютер. После включения он должен показать способ входа в меню установки BIOS, как правило это клавиши F2, F10, Del, или Alt S . Используете те клавиши, которые показаны на экране. В некоторых случаях компьютер может показывать картинку после запуска. Как правило, нажатие Esc уберет картинку и позволит вам увидеть необходимую информацию. Найдите установки системы, указывающие ей с какого устройства загружаться. Обычно они обозначаются как Boot Order, и там как правило отображен список устройств, таких как Floppy, CDROM, First Hard Disk, и так далее. Если вы подготовили дискеты, убедитесь, что выбран Floppy. Если вы загружаетесь с CDROM, убедитесь что выбран он. Если вы не уверены, посмотрите руководство к компьютеру и/или к его материнской плате. Сделайте изменения, затем сохраните их и выйдите. Компьютер должен перезагрузиться. Если вы подготовили дискеты, как описано в разделе , одна из них будет первым загрузочным диском; как правило, это дискета с kern.flp. Вставьте эту дискету в дисковод. Если вы загружаетесь с CDROM, потребуется сначала включить компьютер и вставить компакт-диск как только это станет возможно. Если компьютер запускается как обычно, и загружает существующую операционную систему, возможны следующие причины: Диск был вставлен недостаточно рано в процессе загрузки. Оставьте его внутри и перегрузите компьютер. Установки BIOS, измененные ранее, действуют неправильно. Надо изменять их их пока они не заработают. BIOS вашего компьютера не поддерживает загрузку с выбранного типа носителя. FreeBSD начнет загрузку. Если загрузка происходит с CDROM, вы увидите что-то вроде этого (информация о версии удалена): Verifying DMI Pool Data ........ Boot from ATAPI CD-ROM : 1. FD 2.88MB System Type-(00) Uncompressing ... done BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive B: is disk1 BIOS drive C: is disk2 BIOS drive D: is disk3 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 0.8 /kernel text=0x277391 data=0x3268c+0x332a8 | | Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ Если происходит загрузка с дискеты, вы увидите что-то вроде этого (информация о версии удалена): Verifying DMI Pool Data ........ BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive C: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 0.8 /kernel text=0x277391 data=0x3268c+0x332a8 | Please insert MFS root floppy and press enter: Следуя инструкциям, уберите дискету с kern.flp, вставьте дискету с mfsroot.flp и нажмите Enter. Идет ли загрузка с дискет или с CDROM, в процессе загрузки появится: Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ Подождите десять секунд или нажмите Enter. Будет запущено меню конфигурации ядра. Загрузка Alpha Alpha Компьютер выключен. Включите компьютер и дождитесь приглашения к загрузке на мониторе. Если вы подготовили загрузочные дискеты, как описано в разделе , одна из них будет первым загрузочным диском; как правило, это дискета с kern.flp. Вставьте эту дискету в дисковод и наберите следующую команду для загрузки (замените на имя вашего дисковода если потребуется): >>>BOOT DVA0 -FLAGS '' -FILE '' Если вы загружаетесь с CDROM, вставьте компакт-диск в привод и наберите для начала установки следующую команду (замените на имя соответствующего устройства CDROM если потребуется): >>>BOOT DKA0 -FLAGS '' -FILE '' FreeBSD начнет загружаться. Если загрузка идет с дискет, через некоторое время вы увидите сообщение: Please insert MFS root floppy and press enter: Следуя инструкциям, удалите дискету с kern.flp, вставьте дискету с mfsroot.flp и нажмите Enter. Идет ли загрузка с дискет или с CDROM, в процессе загрузки появится: Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ Подождите десять секунд или нажмите Enter. Будет запущено меню конфигурации ядра. Конфигурация ядра (kernel) Начиная с FreeBSD версии 5.0 и более поздних, userconfig был удален в пользу метода &man.device.hints.5;. За более подробной информацией о &man.device.hints.5; обращайтесь к kernel это ядро операционной системы. В нем реализовано множество функций, включая доступ ко всем устройствам, которые могут быть в системе, таким как жесткие диски, сетевые карты, звуковые карты и т.д. Каждое устройство, поддерживаемое ядром FreeBSD имеет свой драйвер. У каждого драйвера есть имя из двух или трех букв, например sa для драйвера последовательного доступа SCSI, или sio для драйвера последовательного ввода-вывода (который управляет COM портами). Когда ядро загружено, каждый драйвер проверяет систему на предмет наличия поддерживаемого оборудования. Если оно найдено, драйвер конфигурирует оборудование и делает его доступным остальной части ядра. Такая проверка обычно называется тестированием устройства. К сожалению, это не всегда безопасно. Некоторые драйвера конфликтуют между собой, и проверка части оборудования иногда может привести другую часть в неработоспособное состояние. Это основное ограничение архитектуры PC. Многие старые устройства называются ISA — в противоположность PCI. Стандарт ISA требует, чтобы в каждом устройстве была прописана некоторая информация, обычно номер Interrupt Request Line (IRQ) и адрес порта ввода-вывода, которые используются драйвером. Эта информация обычно устанавливается с использованием перемычек на карте, или с помощью DOS утилиты. Часто это вызывало проблемы, поскольку было невозможно использовать два устройства с одинаковыми IRQ или адресами портов. Новые устройства поддерживают PCI стандарт, который не требует установки параметров вручную, так как устройства способны общаться с BIOS и договариваться, какие IRQ и адреса портов ввода-вывода использовать. Если в вашем компьютере есть устройства ISA, FreeBSD драйвер для этого устройства должен быть настроен с IRQ и адресом порта установленными на карте. Для этого может понадобиться собрать сведения об оборудовании (). К сожалению, номера IRQ и адреса портов, используемые некоторыми драйверами, конфликтуют. Это потому, что некоторые устройства ISA поставляются с конфликтующими номерами IRQ или адресами портов. По умолчанию драйвера FreeBSD предусмотрительно настроены для использования заводских установок, поэтому будут работать столько устройств, сколько возможно. Это как правило не проблема при каждодневном использовании FreeBSD. В компьютере обычно нет двух конфликтующих устройств, поскольку в противном случае одно из них не будет работать (независимо от используемой операционной системы). Это может стать проблемой при установке FreeBSD в первый раз, потому что ядро, используемое для установки, собрано с максимальным количеством драйверов для поддержки множества различных конфигураций оборудования. Это означает, что некоторые из драйверов имеют конфликтующие настройки. Устройства тестируются в строго определенном порядке, и если у вас есть устройство, тестирующееся позже, но конфликтующее с ранее протестированным устройством, оборудование может не работать или быть некорректно протестировано в процессе установки FreeBSD. Поэтому первое, что вы должны сделать при установке FreeBSD — проверить список устройств, настроенных в ядре. Отключите некоторые из них, если таких устройств нет. Подтвердите (и измените) конфигурацию, если это устройство присутствует, но установки по умолчанию неверны. Возможно, это звучит гораздо сложнее чем есть на самом деле. На показано главное меню конфигурации ядра. Мы рекомендуем выбрать опцию Start kernel configuration in full-screen visual mode, так как это самый простой интерфейс для нового пользователя.
Меню конфигурации ядра &txt.install.userconfig;
Экран конфигурации ядра () поделен на четыре части: Свернутый список устройств, помеченных как active, поделен на группы, такие как Storage, и Network. Каждый драйвер показан в виде описания, имени из двух или трех букв, используемых IRQ и порта. В дополнение, если какой-либо активный драйвер конфликтует с другим активным драйвером, после имени драйвера пишется CONF. В этом разделе также показано общее число конфликтующих активных драйверов. Драйверы, помеченные как неактивные. Они остаются в ядре, но не будут тестировать свои устройства при загрузке ядра. Они поделены на группы так же как и активные драйверы. Дополнительная информация о выбранном в данный момент драйвере, включая IRQ и адрес порта. Информация об управляющих клавишах, доступных в данный момент.
Визуальный интерфейс конфигурации ядра &txt.install.userconfig2;
Не беспокойтесь если появятся сообщения о конфликтах, так и должно быть; все драйверы включены и как уже объяснялось, некоторые из них будут конфликтовать с другими. Сейчас вам нужно просмотреть список драйверов и разрешить конфликты. Разрешение конфликтов драйверов Нажмите X. Это полностью раскроет список драйверов и вы сможете увидеть их все. Вам понадобятся клавиши навигации для прокрутки назад и вперед в списке активных драйверов. показывает результат действия X.
Развернутый список драйверов
Отключите все драйвера устройств, которых у вас нет. Для отключения драйвера, переместитесь к нему с помощью клавиш навигации и нажмите Del. Драйвер будет помещен в список Inactive Drivers. Если вы случайно отключили нужное устройство, нажмите Tab для переключения на Inactive Drivers, выберите отключенный драйвер, и нажмите Enter, чтобы вернуть его обратно в список активных драйверов. Не отключайте sc0. Он управляет экраном, и он нужен, если только вы не производите установку через последовательный порт. Отключайте atkbd0 только если вы используете USB клавиатуру. Если клавиатура обычная, оставьте atkbd0. Если конфликтов нет, можете пропустить этот этап. В другом случае оставшиеся конфликты должны быть проверены. Если они не помечены как allowed conflict в окне сообщений, должны быть изменены или IRQ/адрес порта для тестирования устройства, или IRQ/адрес порта физического устройства. Для изменения IRQ и адреса порта ввода-вывода драйвера, выберите устройство и нажмите Enter. Курсор переместится в третье окно и вы сможете изменить значения. вам нужно ввести значения IRQ и адреса порта, определенные в процессе сбора информации об оборудовании. Нажмите Q для завершения редактирования конфигурации устройства и возвращения в список активных устройств. Если вы не уверены, какими должны быть эти значения, попробуйте использовать -1. Некоторые драйвера FreeBSD могут безопасно протестировать оборудование для определения правильных значений, и значение -1 указывает им сделать это. Процедура изменения адреса физического устройства различна для разных устройств. Для некоторых устройств вам может понадобиться извлечь карту из компьютера и установить перемычки или DIP переключатели. Другие устройства могут поставляться с DOS дискетой, содержащей программы, используемые для перенастройки карты. В любом случае, обращайтесь к документации, поставляемой с устройством. Изменение адреса несомненно потребует перезагрузки компьютера, так что вам потребуется опять вернуться к процессу установки FreeBSD после перенастройки карты. Когда все конфликты будут разрешены, экран будет выглядеть как .
Конфигурация драйверов без конфликтов
Как видите, список активных драйверов стал гораздо меньше, поскольку в нем только драйвера реально установленных устройств. Теперь вы можете сохранить изменения и перейти к следующему пункту установки. Нажмите Q для выхода из меню конфигурации. Появится сообщение: Save these parameters before exiting? ([Y]es/[N]o/[C]ancel) Нажмите Y для сохранения параметров в памяти (они будут сохранены на диск после завершения установки) и тестирование начнется. После отображения белым по черному результатов тестирования запустится sysinstall и отобразится главное меню ().
Главное меню Sysinstall
Просмотр результатов тестирования устройств Последние несколько сотен линий, отображенные на экране, сохраняются и могут быть просмотрены. Для просмотра буфера нажмите Scroll Lock. Это включит прокрутку экрана. Вы можете использовать клавиши навигации или PageUp и PageDown для просмотра результатов. Нажмите Scroll Lock еще раз для отключения прокрутки. Сделайте это сейчас для просмотра текста, ушедшего за экран, когда ядро закончило тестирование устройств. Вы увидите текст вроде , хотя в деталях он будет отличаться в зависимости от устройств, имеющихся в вашем компьютере.
Типичный вывод Device Probe avail memory = 253050880 (247120K bytes) Preloaded elf kernel "kernel" at 0xc0817000. Preloaded mfs_root "/mfsroot" at 0xc0817084. md0: Preloaded image </mfsroot> 4423680 bytes at 0xc03ddcd4 md1: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1:<VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <iSA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0 <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci 0 usb0: <VIA 83572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr1 uhub0: 2 ports with 2 removable, self powered pci0: <unknown card> (vendor=0x1106, dev=0x3040) at 7.3 dc0: <ADMtek AN985 10/100BaseTX> port 0xe800-0xe8ff mem 0xdb000000-0xeb0003ff ir q 11 at device 8.0 on pci0 dc0: Ethernet address: 00:04:5a:74:6b:b5 miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xec00-0xec1f irq 9 at device 10. 0 on pci0 ed0 address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 orm0: <Option ROM> at iomem 0xc0000-0xc7fff on isa0 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <Keyboard controller (i8042)> at port 0x60,0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/@ mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x100 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 pppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold plip0: <PLIP network interface> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master UDMA33 acd0: CD-RW <LITE-ON LTR-1210B> at ata1-slave PIO4 Mounting root from ufs:/dev/md0c /stand/sysinstall running as init on vty0
Внимательно проверьте результаты тестирования устройств и убедитесь, что FreeBSD обнаружила все устройства какие нужно. Если устройство не найдено, его не будет в списке. Если драйвер устройства нуждается в настройке IRQ и адреса порта, проверьте, введены ли они правильно. Если вам нужно внести изменения в UserConfig, потребуется выйти из sysinstall и начать сначала. Это также хороший путь познакомиться поближе с процессом конфигурации.
Выбор Sysinstall Exit
Используйте клавиши навигации для выбора Exit Install из главного меню. Отобразится сообщение: User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies from the drives). [ Yes ] No Программа установки запустится опять, если компакт-диск остался в устройстве и было выбрано [Yes]. Если вы загружаетесь с дискет, необходимо будет извлечь дискету с mfsroot.flp и заменить ее дискетой с kern.flp перед перезагрузкой. Введение в Sysinstall Утилита sysinstall это программа установки, предоставляемая проектом FreeBSD. Это консольное приложение, разделенное на несколько меню и экранов, которые вы можете использовать для настройки и управления процессом установки. Меню sysinstall управляется клавишами навигации, Enter, пробелом, и другими. Подробное описание клавиш и их функций содержится в информации по использованию sysinstall. Для просмотра этой информации убедитесь, что выбраны пункт Usage и кнопка [Select], как показано на , затем нажмите Enter. Будут показаны инструкции по использованию меню. После просмотра инструкций, нажмите Enterдля возврата в главное меню.
Выбор Usage в главном меню Sysinstall
Выбор меню документации (Doc) Из главного меню выберите клавишами навигации Doc и нажмите Enter.
Выбор меню документации
Будет отображено меню документации.
Меню документации Sysinstall
Рекомендуется прочитать предоставляемую документацию. Для просмотра документа выберите его с помощью клавиш навигации и нажмите Enter. После прочтения документа нажмите Enter для возврата в меню документации. Для возврата в главное меню выберите Exit с помощью клавиш навигации и нажмите Enter. Выбор меню раскладки клавиатуры (Keymap) Для изменения раскладки клавиатуры выберите из меню с помощью клавиш навигации Keymap и нажмите Enter. Это потребуется только при использовании нестандартной или не-US клавиатуры.
Выбор меню раскладки клавиатуры
Различные раскладки клавиатуры могут быть выбраны из меню с использованием клавиш навигации, затем следует нажать Space. Нажатие Space еще раз приведет к отмене выбора. Когда необходимые раскладки будут выбраны, перейдите на &gui.ok; с помощью клавиш навигации и нажмите Enter. На экран выведена только часть списка. Нажав Tab, можно выбрать &gui.cancel;, вернуться к раскладке по умолчанию и перейти к главному меню.
Меню раскладки клавиатуры
Параметры установки (Options) Выберите пункт Options и нажмите Enter.
Выбор параметров установки
Параметры Sysinstall
Параметры по умолчанию обычно устраивают большинство пользователей и не нуждаются в изменении. Имя релиза зависит от устанавливаемой версии. Описание выбранного пункта будет появляться внизу экрана с синей подсветкой. Обратите внимание, что один из параметров — Use Defaults, означает сброс всех параметров к значениям по умолчанию. Нажатие F1 отобразит справку по различным параметрам. Нажатием Q можно перейти к главному меню. Начало стандартной установки (Standart) Пункт Standard рекомендуется для новых пользователей &unix; или FreeBSD. Используйте клавиши навигации для выбора пункта Standard, а затем нажмите Enter для запуска установки.
Начало стандартной установки
Выделение дискового пространства Ваша первая задача — выделить дисковое пространство под FreeBSD и разметить его, чтобы sysinstall могла его подготовить. Для этого вам нужно знать, как FreeBSD ищет информацию на диске. Нумерация дисков в BIOS Перед установкой и настройкой FreeBSD нужно позаботиться кое о чем, особенно если жестких дисков несколько. DOS Microsoft Windows В PC, работающем под BIOS-зависимой операционной системой, такой как &ms-dos; или µsoft.windows;, BIOS может отходить от обычного порядка нумерации дисков. Это позволяет пользователю загружаться не только с так называемого primary master диска. Это особенно удобно для тех пользователей, кто обнаружил, что простейший и самый дешевый путь делать резервную копию системы — купить второй идентичный первому жесткий диск и регулярно делать копии первого диска на второй, используя Ghost или XCOPY. Затем, если первый диск выйдет из строя, будет заражен вирусом или поврежден из-за сбоя операционной системы, он может быть легко восстановлен путем логической перестановки дисков в BIOS. Это все равно что переключить кабели дисков, но без вскрытия корпуса. SCSI BIOS Более дорогостоящие системы со SCSI контроллерами зачастую имеют расширения BIOS, позволяющие сходным путем менять порядок до семи SCSI дисков. Пользователи, привыкшие пользоваться этими полезными функциями, могут быть удивлены, что во FreeBSD результаты не совпадают с ожидаемыми. FreeBSD не использует BIOS, и не знает о логическом отображении дисков в BIOS. Это может привести к очень сложным ситуациям, особенно когда диски имеют одинаковую геометрию и содержат точную копию данных друг друга. При использовании FreeBSD всегда восстанавливайте настройки BIOS к первоначальной нумерации перед установкой системы и оставляйте их в таком виде. Если вам понадобится переключить диски, сделайте это, но путем физического переконфигурирования, вскрыв корпус, переключив перемычки и кабели. Рассказ о необыкновенных приключениях файлов Билла и Фреда: Билл разобрал старый Wintel компьютер, чтобы сделать еще один компьютер под FreeBSD для Фреда. Билл установил один SCSI диск как нулевое устройство SCSI и поставил на него FreeBSD. Фред начал использовать систему, но через несколько дней обнаружил, что старый SCSI диск сообщает о множестве сбоев и сказал об этом Биллу. Еще через несколько дней Билл решил, что настало время решить проблему, и достал такой же SCSI диск из заначки в кладовке. Первая проверка поверхности показала, что диск работает нормально; Билл установил этот диск как четвертое устройство SCSI и скопировал образ диска с нулевого устройства на четвертое. Теперь, когда новый диск был установлен и отлично работал, Билл решил что неплохо бы начать использовать его, и с помощью функции SCSI BIOS поменял порядок дисков, чтобы система могла грузиться с четвертого устройства SCSI. FreeBSD загрузилась и работала без проблем. Фред поработал еще несколько дней, и скоро они с Биллом решили, что настало время для нового приключения — время обновить версию FreeBSD. Билл удалил нулевое устройство SCSI, потому что оно подглючивало, и установил на его место такой же диск из заначки. Затем Билл установил новую версию FreeBSD на новое нулевое устройство SCSI используя дискеты Фреда с интернет сервера FTP. Установка прошла отлично. Фред использовал новую версию FreeBSD несколько дней и удостоверился, что она вполне подходит для работы в инженерном отделе. Настало время скопировать все архивы со старого диска. Фред смонтировал четвертое устройство SCSI (последнюю копию старой версии FreeBSD) и обнаружил, что ни одного из его драгоценных файлов на четвертом устройстве SCSI нет. Куда делись данные? Когда Билл сделал копию с нулевого устройства SCSI на четвертое устройство SCSI, оно стало клоном. Когда Билл поменял настройки SCSI BIOS, чтобы загрузиться с четвертого устройства SCSI, он всего лишь обманул сам себя. FreeBSD все еще работала с нулевого устройства SCSI. Изменение этих настроек BIOS привело к загрузке части кода Boot и Loader с выбранного в BIOS диска, но после загрузки драйверов FreeBSD настройки BIOS были проигнорированы, и FreeBSD вернулась к нормальной нумерации. Как показано на пальцах, система продолжила работать с нулевым устройством SCSI, и все данные Фреда остались там, а не на четвертом устройстве SCSI. То, что система грузилась с четвертого устройства SCSI, было всего лишь обманутыми ожиданиями. Мы рады упомянуть, что данные не были уничтожены или повреждены при нашем исследовании этого феномена. Старое нулевое устройство SCSI было вытащено из груды железа, и все файлы Фреда вернулись к нему. Хотя в этом рассказе были использованы SCSI диски, с IDE дисками все точно так же. Создание слайсов с использованием FDisk Внесенные вами изменения не будут записываться на диск сразу. Если вы думаете, что сделали ошибку, и хотите начать сначала, можете использовать меню для выхода из sysinstall и попробовать еще раз или нажатием U вызвать опцию Undo (отмена). Если вы запутались и не можете выйти, просто выключите компьютер. После начала стандартной установки в sysinstall будет показано это сообщение: Message In the next menu, you will need to set up a DOS-style ("fdisk") partitioning scheme for your hard disk. If you simply wish to devote all disk space to FreeBSD (overwriting anything else that might be on the disk(s) selected) then use the (A)ll command to select the default partitioning scheme followed by a (Q)uit. If you wish to allocate only free space to FreeBSD, move to a partition marked "unused" and use the (C)reate command. [ OK ] [ Press enter or space ] Нажмите Enter как предлагается. Будет показан список всех жестких дисков, обнаруженных ядром во время тестирования устройств. показывает пример системы с двумя IDE дисками. Они были названы ad0 и ad2.
Выберите диск для FDisk
Вы можете быть удивлены, почему устройства ad1 здесь нет. Почему оно было пропущено? Предположим, что у вас есть два жестких диска IDE, один master на первом контроллере IDE, а второй master на втором контроллере IDE. Если FreeBSD пронумерует их в том порядке, в котором нашла, ad0 и ad1, все будет работать. Но если вы добавите третий диск, как slave устройство на первый контроллер IDE, он станет ad1, а предыдущий ad1 станет ad2. Поскольку имена устройств (таких как ad1s1a) используются для обращения к файловым системам, вы можете вдруг обнаружить, что некоторые из ваших файловых систем больше не отображаются правильно и вам потребуется изменить конфигурацию FreeBSD. Для обхода этой проблемы, ядро может быть настроено так, чтобы именовать IDE диски на основе их местоположения, а не порядка, в котором они были найдены. С этой схемой master диск на втором контроллере IDE будет всегда устройством ad2, если даже нет устройств ad0 или ad1. Это конфигурация ядра FreeBSD по умолчанию, поэтому на экране показаны ad0 и ad2. У компьютера, с которого был взят этот снимок экрана, есть по одному IDE диску на обеих master каналах IDE контроллеров и ни одного диска на каналах slave. Вы должны выбрать диск, на который хотите установить FreeBSD, и нажать &gui.ok;. Запустившийся FDisk будет выглядеть примерно как . Экран FDisk разбит на три секции. Первая секция, занимающая первые две линии экрана, показывает подробную информацию о выбранном в данный момент диске, включая его имя во FreeBSD, геометрию и общий размер диска. Вторая секция показывает имеющиеся в данный момент на диске слайсы, где они начинаются и заканчиваются, их размер, имя, которое им дала FreeBSD, описание и подтип. На этом примере показаны два маленьких неиспользованных слайса, которые являются артефактами схемы разметки диска на PC. Также показан один большой FAT слайс, который почти всегда является диском C: в &ms-dos; / &windows;, и дополнительный слайс, который может содержать диски с другими буквами для &ms-dos; / &windows;. Третья секция показывает команды, доступные в FDisk.
Типичные разделы fdisk перед редактированием
Ваши действия теперь будут зависеть от того, как вы хотите разбить диск на слайсы. Если вы хотите использовать для FreeBSD весь диск (это приведет к удалению всех других данных на этом диске когда вы подтвердите sysinstall продолжение процесса установки), нажмите A, что соответствует опции Использовать весь диск (Use Entire Disk). Существующие слайсы будут удалены, и заменены на небольшую область, помеченную как неиспользуемая (unused) (это опять же артефакт разметки диска PC), и один большой слайс для FreeBSD. Когда вы сделаете это, нужно выбрать вновь созданный слайс FreeBSD используя клавиши навигации, а затем нажать S, чтобы сделать слайс загрузочным. Экран будет похож на . Обратите внимание, что A в колонке Flags означает, что слайс активен и с него будет происходить загрузка. Если вы будете удалять существующий слайс для освобождения места под FreeBSD, выберите слайс, используя клавиши навигации, и нажмите D. Затем можете нажать C, и получить приглашение на ввод размера слайса, который вы хотите создать. Введите соответствующее значение и нажмите Enter. Значение по умолчанию в этом поле означает наибольший размер слайса, который может быть выбран; это может быть наибольший непрерывный блок неразмеченного пространства или размер всего жесткого диска. Если вы уже освободили место для FreeBSD (возможно, используя утилиту похожую на &partitionmagic;), можете нажать C для создания нового слайса. Будет также предложено ввести размер слайса, который вы хотите создать.
Разбиение в Fdisk с использованием всего диска
Когда закончите, нажмите Q. Изменения будут сохранены в sysinstall, но еще не записаны на диск. Установка менеджера загрузки (Boot Manager) Теперь вам предлагается установить менеджера загрузки. Как правило, нужно выбрать установку менеджера загрузки если: У вас больше чем один диск и вы устанавливаете FreeBSD не на первый диск. Вы устанавливаете FreeBSD вместе с другой операционной на один и тот же диск, и хотите выбирать при загрузке FreeBSD или другую операционную систему. Если FreeBSD единственная операционная система, установленная на этом компьютере, и находится на первом жестком диске, подойдет менеджер загрузки Standard. Выберите None если вы используете менеджер загрузки сторонних разработчиков, способный загрузить FreeBSD. Сделайте выбор и нажмите Enter.
Меню менеджера загрузки Sysinstall
Экран подсказки, вызываемый по нажатию F1, описывает проблемы, которые могут быть встречены при попытке совместного использования диска операционными системами. Создание слайсов на другом диске Если дисков больше чем один, вернитесь к экрану выбора дисков (Select Drives) после выбора менеджера загрузки. Если вы собираетесь устанавливать FreeBSD более чем на один диск, можете выбрать другой диск и повторить процесс разбиения на слайсы с использованием FDisk. Если вы устанавливаете FreeBSD не на первый жесткий диск, потребуется установить менеджер загрузки FreeBSD на оба диска.
Выход из выбора диска
Клавиша Tab переключает между последним выбранным диском, &gui.ok;, и &gui.cancel;. Нажмите Tab один раз для выбора &gui.ok;, затем нажмите Enter для продолжения установки. Создание разделов с помощью <application>Disklabel</application> Теперь вы должны создать несколько разделов внутри каждого только что созданного слайса. Запомните, что у каждого раздела есть буква с a до h, а разделы b, c, и d имеют соглашения, которых вы должны придерживаться. Некоторые приложения могут выигрывать от определенных схем разделов, особенно если у вас разделы на более чем одном диске. Тем не менее, для вашей первой установки FreeBSD не нужно слишком углубляться в принципы разбиения диска. Более важно установить FreeBSD и начать ее использовать. Вы всегда можете переустановить FreeBSD для изменения схемы разделов, когда поближе познакомитесь с операционной системой. Эта схема показывает четыре раздела — один для подкачки и три для файловых систем. Планирование разделов для первого диска Раздел Файловая система Размер Описание a / 100 MB Корневая файловая система. Любая другая файловая система будет смонтирована на эту. 100 MB это подходящий размер для этой файловой системы. Вы не будете хранить на ней слишком много данных, а обычная установка FreeBSD разместит здесь около 40 MB данных. Оставшееся пространство используется для временных файлов, а также оставляет возможность расширения для будущих версий FreeBSD, которым может понадобится больше места в /. b N/A 2-3 x RAM Здесь находится раздел подкачки. Выбор правильного размера раздела подкачки это немного искусство. Хороший практический способ выбрать размер подкачки это установить его равным двум или трем размерам доступной физической памяти (RAM). Должно быть хотя бы 64 MB подкачки; если в компьютере меньше чем 32 MB памяти — установите размер подкачки равным 64 MB. Если у вас больше одного диска, можно расположить подкачку на каждом диске. FreeBSD будет использовать каждый диск, что серьезно увеличит скорость подкачки. В этом случае, определите общий размер подкачки, который вам нужен (например, 128 MB), и поделите его на число имеющихся дисков (например, два) для определения размера разделов подкачки, которые нужно разместить на каждом вашем диске, в этом примере 64 MB на диск. e /var 50 MB Каталог /var содержит файлы, которые постоянно меняются; логи и другие административные файлы. Многие из этих файлов интенсивно читаются и записываются в процессе ежедневной работы FreeBSD. Размещение их на отдельной файловой системе позволяет FreeBSD оптимизировать доступ к этим файлам без затрагивания других каталогов, не имеющих такой же модели доступа. f /usr Остальная часть диска Все другие файлы как правило хранятся в каталоге /usr и его подкаталогах.
Если вы устанавливаете FreeBSD более чем на один диск, вы должны также создать разделы в других слайсах, которые настроили. Простейший путь сделать это — создать два раздела на каждом диске, один для подкачки, а другой для файловой системы. Разметка разделов для остальных дисков Раздел Файловая система Размер Описание b N/A Смотрите описание Как уже обсуждалось, вы можете распространить подкачку на каждый диск. Даже если раздел a свободен, соглашение говорит о том, что подкачка находится на разделе b. e /diskn Остальная часть диска Остальная часть диска занята одним большим разделом. Он легко может быть помещен на раздел a вместо раздела e. Однако, соглашение говорит что раздел a зарезервирован на слайсе для корневой (/) файловой системы. вы можете не следовать этому соглашению, но программа sysinstall будет ему следовать, поэтому приняв его, вы сделаете установку несколько проще. вы можете монтировать эти файловые системы к любой точке; в этом примере предлагается смонтировать их как каталоги /diskn, где n это номер, который уникален для каждого диска. Но вы можете использовать другую схему, если захотите.
Теперь, выбрав разметку разделов, можете приступить к их созданию в sysinstall. Вы увидите это сообщение: Message Now, you need to create BSD partitions inside of the fdisk partition(s) just created. If you have a reasonable amount of disk space (200 MB or more) and don't have any special requirements, simply use the (A)uto command to allocate space automatically. If you have more specific needs or just don't care for the layout chosen by (A)uto, press F1 for more information on manual layout. [ OK ] [ Press enter or space ] Нажмите Enter для запуска редактора разделов FreeBSD, называемого Disklabel. показывает экран только что запущенного Disklabel. Экран поделен на три раздела. Первые несколько линий показывают имя диска, с которым вы сейчас работаете и слайс, содержащий раздел который вы создаете (здесь Disklabel называет это именем раздела (Partition name) вместо имени слайса). Этот экран также показывает объем свободного пространства на слайсе; т.е. пространство, выделенное под слайс, но еще не отданное под раздел. В центре экрана показаны уже созданные разделы, имена файловых систем, содержащихся в разделах, их размер и некоторые опции, применяемые при создания файловых систем. Нижняя треть экрана показывает управляющие клавиши, работающие в Disklabel.
Редактор Sysinstall Disklabel
Disklabel может автоматически создать разделы и присвоить им размеры по умолчанию. Попробуйте это, нажав A. Вы увидите экран как на . В зависимости от размера диска, значения по умолчанию могут подходить или не подходить вам. Это не имеет значения, если вы не принимаете их. Начиная с FreeBSD 4.5, по умолчанию под каталог /tmp выделяется собственный раздел вместо использования части раздела /. Это помогает избежать заполнения раздела / временными файлами.
Редактор Sysinstall Disklabel с установками по умолчанию
Если вы решили не использовать разделы по умолчанию и заменить их на свои, используйте клавиши навигации для выбора первого раздела, затем нажмите D для его удаления. Повторите это для удаления всех предложенных разделов. Для создания первого раздела (a, монтируемого как / — root), убедитесь, что выбран соответствующий слайс вверху экрана и нажмите C. Появится диалог, предлагающий выбрать размер нового раздела (как показано в ). Вы можете ввести количество блоков диска, или количество мегабайт с M после номера, или гигабайт с G, или цилиндров с C. Начиная с FreeBSD 5.X, пользователи могут: выбирать UFS2, используя опцию Custom Newfs (Z), использовать опцию Auto Defaults и изменять параметры с помощью опции Custom Newfs, или добавлять опцию в процессе создания раздела. Не забудьте добавить для включения SoftUpdates если вы используете опциюCustom Newfs!
Свободное место для корневого раздела
Размер по умолчанию задан для создания корневого раздела на весь слайс. Если вы используете размеры разделов, описанные ранее в примере, удалите это значение используя Backspace, а затем введите 64M, как показано на . Затем нажмите &gui.ok;.
Редактирование размера корневого раздела
После указания размера раздела вам будет задан вопрос, должен ли этот раздел содержать файловую систему или раздел подкачки. Диалог показан на . Первый раздел будет содержать файловую систему, поэтому проверьте, что выбрана FS и нажмите Enter.
Выбор типа корневого раздела
Наконец, поскольку вы создаете файловую систему, нужно сказать Disklabel где файловая система будет смонтирована. Диалог показан на . Точка монтирования корневой файловой системы /, поэтому введите /, и нажмите Enter.
Выбор точки монтирования корневой файловой системы
На экране будет показан вновь созданный раздел. Вам нужно повторить эту процедуру для других разделов. При создании раздела подкачки вопроса про точку монтирования не будет, поскольку раздел подкачки никогда не монтируется. Когда будете создавать последний раздел, /usr, можете оставить предложенный размер как есть, чтобы использовать весь остаток слайса. Последний экран FreeBSD редактора DiskLabel будет похож на , хотя ваш выбор значений может быть другим. Нажмите Q, чтобы выйти.
Редактор Sysinstall Disklabel
Выбор устанавливаемых компонентов Выбор дистрибутивного набора (Distribution Set) Выбор дистрибутивного набора зависит в основном от направления будущего использования системы и от доступного дискового пространства. Предустановленные опции варьируются от наименьшей возможной конфигурации до полной установки. Для новичков в &unix; и/или FreeBSD лучшим выбором будет одна из этих предустановленных опций. Настройка дистрибутивного набора как правило нужна более опытным пользователям. Нажмите F1 для получения информации о дистрибутивных наборах и их содержимом. После просмотра помощи нажмите Enter для возврата к меню выбора дистрибутивного набора. Если желательно наличие графического интерфейса пользователя, должен быть выбран дистрибутивный набор с названием, начинающимся на X. Настройка &xfree86; и выбор десктопа по умолчанию — часть послеустановочного процесса. Устанавливаемая по умолчанию версия &xfree86; зависит от устанавливаемой версии FreeBSD. Для версий FreeBSD ниже 4.6 устанавливается &xfree86; 3.X. Для FreeBSD 4.6 и выше, версия по умолчанию &xfree86; 4.X. Проверьте на веб-сайте &xfree86; поддерживается ли ваша видеокарта. Если видеокарта не поддерживается в версии по умолчанию, которую устанавливает FreeBSD, выберите дистрибутивный набор без X. После установки установите и настройте соответствующую версию &xfree86; используя коллекцию портов. Если планируется пересборка ядра, выберите опцию, включающую исходные тексты. Информация о том, зачем пересобирать ядро и как это сделать, находится на . Ясно, что наиболее универсальная система включает все. Если места на диске достаточно, выберите All, как показано на и нажмите Enter. Если есть сомнения относительно того, хватит ли диска, используйте наиболее подходящую опцию. Не беспокойтесь о том, какой выбор будет наилучшим, другие части дистрибутива могут быть добавлены после установки.
Выбор дистрибутивных наборов
Установка коллекции портов После выбора подходящего дистрибутива можно будет выбрать установку коллекции портов FreeBSD. Коллекция портов — легкий и удобный путь установки программ. Коллекция портов не содержит исходных кодов программ. Это набор файлов, который автоматизирует загрузку, компилирование и установку пакетов программного обеспечения сторонних разработчиков. показывает как использовать коллекцию портов. Программа установки не проверяет, есть ли достаточно места. Выберите эту опцию только если его достаточно. В FreeBSD &rel.current;, коллекция портов занимает около &ports.size;. В более современных релизах это значение всегда больше. User Confirmation Requested Would you like to install the FreeBSD ports collection? This will give you ready access to over &os.numports; ported software packages, at a cost of around &ports.size; of disk space when "clean" and possibly much more than that if a lot of the distribution tarballs are loaded (unless you have the extra CDs from a FreeBSD CD/DVD distribution available and can mount it on /cdrom, in which case this is far less of a problem). The ports collection is a very valuable resource and well worth having on your /usr partition, so it is advisable to say Yes to this option. For more information on the ports collection & the latest ports, visit: http://www.FreeBSD.org/ports [ Yes ] No Выберите [ Yes ] для установки коллекции портов, или [ No ], чтобы пропустить установку. Нажмите Enter, чтобы продолжить. Меню выбора дистрибутивных наборов появится опять.
Подтверждение выбора дистрибутивного набора
Если вы согласны с выбранными опциями, переместитесь на Exit, убедитесь что выбран &gui.ok; и нажмите Enter, чтобы продолжить. Выбор источника для установки При установке с CDROM или DVD используйте клавиши навигации, для перехода к Install from a FreeBSD CD/DVD. Убедитесь что выбран &gui.ok; и нажмите Enter для запуска установки. При других методах установки выберите соответствующую опцию и следуйте инструкциям. Нажмите F1 для просмотра справки по источникам установки. Нажмите Enter для возврата к меню выбора источника установки.
Выбор источника установки
Режимы установки с FTP installation network FTP Есть три режима установки через FTP, которые вы можете выбрать: активный FTP, пассивный FTP, или через HTTP прокси. Активный FTP: Install from an FTP server С этой опцией все закачки по FTP будут выполнены в активном режиме. Этот режим не позволяет работать через файрволл, но зачастую позволяет работать со старыми серверами FTP, не поддерживающими пассивный режим. Если соединение прерывается в пассивном режиме (по умолчанию), попробуйте активный! Пассивный FTP: Install from an FTP server through a firewall FTP Пассивный режим Эта опция говорит sysinstall использовать пассивный режим для работы с FTP. Он позволяет работать через файрволл, не разрешающий входящие соединения на случайных TCP портах. FTP через HTTP прокси: Install from an FTP server through a http proxy FTP через HTTP прокси Эта опция говорит sysinstall использовать HTTP протокол (как веб браузер) для работы с FTP через прокси. Прокси будет транслировать все запросы и посылать их на FTP сервер. Это позволяет проходить через файрволл, на котором FTP запрещен, но есть HTTP прокси. В этом случае потребуется указать прокси и FTP сервер. Для работы с FTP через прокси, необходимо поместить имя сервера как часть имени пользователя после знака @. Прокси сервер обманет настоящий сервер. Например, предположим что вы хотите провести установку с ftp.FreeBSD.org, используя FTP через прокси foo.example.com, прослушивающем порт 1024. в этом случае, войдите в меню параметров, установите имя пользователя FTP ftp@ftp.FreeBSD.org, а вместо пароля введите свой адрес email. В качестве источника установки выберите FTP (или пассивный FTP, если прокси его поддерживает), и URL ftp://foo.example.com:1234/pub/FreeBSD. Так как /pub/FreeBSD с сервера ftp.FreeBSD.org идет через прокси foo.example.com, вы сможете провести установку с этого компьютера (файлы будут загружены с ftp.FreeBSD.org как требуется для установки). Подтверждение установки Теперь можно начинать установку. Это последний шанс отменить установку и таким образом избежать изменений на жестком диске. User Confirmation Requested Last Chance! Are you SURE you want to continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! [ Yes ] No Выберите [ Yes ] и нажмите Enter, чтобы начать. Время установки сильно зависит от выбранного дистрибутивного набора, источника установки и скорости компьютера. Появится несколько сообщений о статусе процесса установки. Установка будет завершена когда отобразится следующее сообщение: Message Congratulations! You now have FreeBSD installed on your system. We will now move on to the final configuration questions. For any option you do not wish to configure, simply select No. If you wish to re-enter this utility after the system is up, you may do so by typing: /stand/sysinstall . [ OK ] [ Press enter to continue ] Нажмите Enter для начала послеустановочной настройки. Выбор [ No ] и нажатие Enter прервет процесс установки, изменения в систему внесены не будут. Появится следующее сообщение: Message Installation complete with some errors. You may wish to scroll through the debugging messages on VTY1 with the scroll-lock feature. You can also choose "No" at the next prompt and go back into the installation menus to retry whichever operations have failed. [ OK ] Это сообщение появилось поскольку ничего не было установлено. Нажатие Enter вернет вас в главное меню установки, чтобы выйти из нее. После установки После успешной установки необходимо настроить множество параметров. Некоторые параметры могут быть заданы из меню параметров после установки перед загрузкой установленной FreeBSD или после с использованием /stand/sysinstall, где надо выбрать пункт Configure. Настройка сетевых устройств (Network Device Configuration) Если вы настраивали PPP для установки через FTP, этот экран не появится, настройку можно будет произвести позже как описано выше. Чтобы лучше узнать о локальных сетях и настройке FreeBSD в качестве шлюза/маршрутизатора, обратитесь к главе Advanced Networking. User Confirmation Requested Would you like to configure any Ethernet or SLIP/PPP network devices? [ Yes ] No Для настройки сетевого устройства выберите [ Yes ] и нажмите Enter. Или нажмите [ No ], чтобы продолжить.
Выбор Ethernet устройства
Выберите интерфейс для настройки с помощью клавиш навигации и нажмите Enter. User Confirmation Requested Do you want to try IPv6 configuration of the interface? Yes [ No ] Для частной локальной сети обычный протокол интернет (IPv4) вполне достаточен, поэтому выбрана кнопка [ No ] и нажат Enter. Если вы хотите подсоединиться к существующей сети IPv6 через сервер RA, выберите [ Yes ] и нажмите Enter. Поиск RA серверов займет несколько секунд. User Confirmation Requested Do you want to try DHCP configuration of the interface? Yes [ No ] Если DHCP (Dynamic Host Configuration Protocol) не нужен, выберите [ No ] с помощью клавиш навигации и нажмите Enter. Выбор [ Yes ] запустит dhclient, и если все пройдет нормально, заполнит информацию о конфигурации сети автоматически. Обратитесь к за более подробными сведениями. Следующий экран конфигурации сети показывает настройку устройства Ethernet системы, которая будет работать шлюзом для локальной сети.
Настройка сети для ed0
Используйте Tab для выбора полей и заполнения их соответствующими данными: Host Полное имя хоста, в этом примере k6-2.example.com. Domain Имя домена, в котором находится ваш компьютер, в этом примере example.com. IPv4 Gateway IP хоста, пересылающего пакеты наружу локальной сети. Вам потребуется заполнить его, если это компьютер, подключенный к сети. Оставьте это поле пустым, если компьютер является шлюзом в интернет для сети. Шлюз IPv4 известен также как шлюз по умолчанию или маршрут по умолчанию. Name server IP адрес местного сервера DNS. В этой локальной сети нет DNS сервера, поэтому использован IP адрес DNS сервера провайдера (208.163.10.2). IPv4 address IP адрес, использованный для этого интерфейса, 192.168.0.1 Netmask Адрес блока, использованного для этой локальной сети, это блок класса C (192.168.0.0 - 192.168.255.255). Маска по умолчанию дана для сети класса C (255.255.255.0). Дополнительные параметры для ifconfig Любые специфичные для интерфейса опции к ifconfig, которые вы хотите добавить. В данном случае ничего. Используйте Tab для выбора &gui.ok; после окончания настройки и нажмите Enter. User Confirmation Requested Would you like to Bring Up the ed0 interface right now? [ Yes ] No Выбор [ Yes ] и нажатие Enter введет компьютер в сеть. Тем не менее, компьютеру все еще требуется перезагрузка. Настройка шлюза (Configure Gateway) User Confirmation Requested Do you want this machine to function as a network gateway? [ Yes ] No Если компьютер будет шлюзом для локальной сети, пересылая пакеты между другими компьютерами, выберите [ Yes ] и нажмите Enter. Если это обычный компьютер, выберите [ No ] и нажмите Enter для продолжения. Настройка сервисов интернет (Configure Internet Services) User Confirmation Requested Do you want to configure inetd and the network services that it provides? Yes [ No ] Если выбрана [ No ], различные сервисы, такие как telnetd не будут запущены. Это означает, что удаленные пользователи не смогут зайти по telnet на этот компьютер. Локальные пользователи все же смогут заходит на удаленные компьютеры по telnet. Эти сервисы могут быть включены после установки путем редактирования /etc/inetd.conf с помощью вашего любимого текстового редактора. Обращайтесь к за более подробной информацией. Выберите [ Yes ] если хотите настроить эти сервисы во время установки. Появится дополнительный запрос подтверждения: User Confirmation Requested The Internet Super Server (inetd) allows a number of simple Internet services to be enabled, including finger, ftp and telnetd. Enabling these services may increase risk of security problems by increasing the exposure of your system. With this in mind, do you wish to enable inetd? [ Yes ] No Нажмите [ Yes ], чтобы продолжить. User Confirmation Requested inetd(8) relies on its configuration file, /etc/inetd.conf, to determine which of its Internet services will be available. The default FreeBSD inetd.conf(5) leaves all services disabled by default, so they must be specifically enabled in the configuration file before they will function, even once inetd(8) is enabled. Note that services for IPv6 must be separately enabled from IPv4 services. Select [Yes] now to invoke an editor on /etc/inetd.conf, or [No] to use the current settings. [ Yes ] No Выбор [ Yes ] позволит добавить сервисы путем удаления # перед началом строки.
Редактирование <filename>inetd.conf</filename>
После добавления нужных сервисов нажатие Esc отобразит меню, позволяющее выйти с сохранением изменений. Анонимный (Anonymous) FTP User Confirmation Requested Do you want to have anonymous FTP access to this machine? Yes [ No ] Запрещение анонимного FTP Выбор кнопки по умолчанию [ No ] и нажатие Enter все же позволит пользователям, имеющим учетные записи с паролями, использовать FTP для доступа к компьютеру. Разрешение анонимного FTP Кто угодно сможет получить доступ к компьютеру если вы разрешите анонимные соединения FTP. Предварительно должны быть рассмотрены возможные осложнения с безопасностью. Более подробная информация о безопасности доступна на . Чтобы разрешить анонимный FTP, используя клавиши навигации выберите [ Yes ] и нажмите Enter. Появится следующий (или похожий) экран:
Настройка по анонимного FTP по умолчанию
Нажатие F1 отобразит справку: This screen allows you to configure the anonymous FTP user. The following configuration values are editable: UID: The user ID you wish to assign to the anonymous FTP user. All files uploaded will be owned by this ID. Group: Which group you wish the anonymous FTP user to be in. Comment: String describing this user in /etc/passwd FTP Root Directory: Where files available for anonymous FTP will be kept. Upload subdirectory: Where files uploaded by anonymous FTP users will go. Корневой каталог ftp по умолчанию будет размещен в /var. Если в нем предположительно не хватает места для для нужд FTP, можно использовать каталог /usr, выбрав корневой каталог FTP (FTP Root Directory) /usr/ftp. Когда будут выбраны подходящие значения, нажмите Enter, чтобы продолжить. User Confirmation Requested Create a welcome message file for anonymous FTP users? [ Yes ] No Если вы выберете [ Yes ] и нажмете Enter, запустится редактор, позволяющий отредактировать сообщение FTP.
Редактирование FTP Welcome Message
Этот текстовый редактор называется ee. Используйте инструкции, чтобы изменить сообщение, или измените сообщение позже, используя выбранный вами редактор. Обратите внимание, что имя/расположение файла показаны внизу окна редактора. Нажмите Esc и появится меню с пунктом по умолчанию a) leave editor (выйти из редактора). Нажмите Enter, чтобы выйти и продолжить. Нажмите Enter еще раз, чтобы сохранить изменения, если они были сделаны. Настройка сетевой файловой системы (Configure Network File System) Сетевая файловая система (Network File System, NFS) позволяет совместно использовать файлы в сети. Компьютер может быть настроен как сервер, клиент, или как то и другое. Обратитесь к за более подробной информацией. Сервер NFS (NFS Server) User Confirmation Requested Do you want to configure this machine as an NFS server? Yes [ No ] Если вам не нужен NFS сервер, выберите [ No ] и нажмите Enter. Если выбран пункт [ Yes ], появится сообщение, говорящее о том, что должен быть создан файл exports. Message Operating as an NFS server means that you must first configure an /etc/exports file to indicate which hosts are allowed certain kinds of access to your local filesystems. Press [Enter] now to invoke an editor on /etc/exports [ OK ] Нажмите Enter, чтобы продолжить. Запустится текстовый редактор, позволяющий создать и отредактировать файл exports.
Редактирование <filename>exports</filename>
Используйте инструкции для добавления экспортируемых файловых систем сейчас, или позднее с помощью выбранного вами текстового редактора. Обратите внимание, что имя/расположение файла показаны внизу окна редактора. Нажмите Esc и появится меню с пунктом по умолчанию a) leave editor. Нажмите Enter, чтобы выйти и продолжить. Клиент NFS (NFS Client) NFS клиент позволяет организовать доступ к серверам NFS. User Confirmation Requested Do you want to configure this machine as an NFS client? Yes [ No ] С помощью клавиш навигации выберите [ Yes ] или [ No ], как потребуется, и нажмите Enter. Профиль безопасности (Security Profile) Профиль безопасности это набор параметров настройки, с помощью которого делается попытка достичь требуемого уровня безопасности и удобства путем разрешения или запрещения запуска определенных программ и другими настройками. Чем строже профиль безопасности, тем меньше программ будет запущено по умолчанию. Это один из основных принципов безопасности: не запускайте ничего кроме того что необходимо. Имейте ввиду, что профиль безопасности это лишь установка по умолчанию. Любая программа может быть запущена или остановлена после установки FreeBSD путем редактирования или добавления соответствующих строк в /etc/rc.conf. Для получения более подробной информации обратитесь к странице справочника &man.rc.conf.5;. Следующая таблица описывает действие каждого профиля безопасности. Колонки показывают выбранный вами профиль безопасности, а ряды — программы или функции, которые профиль включает или выключает. Возможные профили безопасности Extreme (Максимальный) Moderate (Умеренный) &man.sendmail.8; НЕТ ДА &man.sshd.8; НЕТ ДА &man.portmap.8; НЕТ МОЖЕТ БЫТЬ Portmapper включен, если компьютер был настроен в процессе установки как NFS клиент или сервер. NFS server НЕТ ДА &man.securelevel.8; ДА Если вы выберете профиль безопасности с уровнем Extreme или High, будьте готовы к последствиям. Прочитайте страницу справочника &man.init.8; и уделите некоторое внимание значениям уровней безопасности, или позже могут возникнуть серьезные проблемы! НЕТ
User Confirmation Requested Do you want to select a default security profile for this host (select No for "medium" security)? [ Yes ] No Выбор [ No ] и нажатие Enter установит профиль безопасности к среднему значению. Выбор [ Yes ] и нажатие Enter позволит выбрать другой профиль безопасности.
Параметры профиля безопасности
Нажмите F1, чтобы получить помощь. Нажмите Enter для возврата к меню выбора. Используйте клавиши навигации для выбора Medium, если вы не уверены, что необходим другой уровень. С подсвеченным &gui.ok; нажмите Enter. Будет отображен запрос на подтверждение, соответствующий выбранным настройкам безопасности. Message Moderate security settings have been selected. Sendmail and SSHd have been enabled, securelevels are disabled, and NFS server setting have been left intact. PLEASE NOTE that this still does not save you from having to properly secure your system in other ways or exercise due diligence in your administration, this simply picks a standard set of out-of-box defaults to start with. To change any of these settings later, edit /etc/rc.conf [OK] Message Extreme security settings have been selected. Sendmail, SSHd, and NFS services have been disabled, and securelevels have been enabled. PLEASE NOTE that this still does not save you from having to properly secure your system in other ways or exercise due diligence in your administration, this simply picks a more secure set of out-of-box defaults to start with. To change any of these settings later, edit /etc/rc.conf [OK] Нажмите Enter, чтобы продолжить послеустановочные настройки. Профиль безопасности не панацея! Если даже вы выберете экстремальные установки, понадобится поддерживать безопасность, читая соответствующие списки рассылки, используя хорошие пароли и идентификационные фразы, и придерживаясь хорошей практики безопасности. Профиль всего лишь повышает желаемый уровень безопасности свежеустановленной системы до приемлемого значения. Настройки системной консоли (System Console Settings) Есть несколько параметров для настройки системной консоли. User Confirmation Requested Would you like to customize your system console settings? [ Yes ] No Для просмотра и настройки параметров выберите [ Yes ] и нажмите Enter.
Параметры настройки системной консоли
Часто используемая опция это хранитель экрана (screen saver). Используйте клавиши навигации для выбора Saver и нажмите Enter.
Параметры хранителя экрана
Выберите подходящий хранитель экрана с помощью клавиш навигации и нажмите Enter. Опять появится меню настройки системной консоли. Время по умолчанию 300 секунд. Для изменения временного интервала выберите Saver еще раз. В меню настроек хранителя экрана выберите Timeout с помощью клавиш навигации и нажмите Enter. Появится меню:
Временной интервал хранителя экрана
Значение может быть изменено, затем выберите &gui.ok; и нажмите Enter для возврата в меню настройки системной консоли.
Выход из меню конфигурации консоли
Выбор Exit и нажатие Enter вернет вас к послеустановочной настройке. Установка часового пояса (Setting The Time Zone) Установка часового на компьютере позволит ему автоматически вносить поправки к местному времени и правильно выполнять другие, связанные с часовым поясом функции. Пример приведен для компьютера, расположенного в восточном часовом поясе Соединенных Штатов. Ваш выбор будет зависеть от вашего географического положения. User Confirmation Requested Would you like to set this machine's time zone now? [ Yes ] No Выберите [ Yes ] и нажмите Enter для установки часового пояса. User Confirmation Requested Is this machine's CMOS clock set to UTC? If it is set to local time or you don't know, please choose NO here! Yes [ No ] Выберите [ Yes ] или [ No ] в зависимости от настроек часов компьютера и нажмите Enter.
Выбор региона
Соответствующий регион выбран с помощью клавиш навигации и нажат Enter.
Выбор страны
Выберите соответствующую страну с помощью клавиш навигации и нажмите Enter.
Выбор часового пояса
Выбран соответствующий часовой пояс с помощью клавиш навигации и нажат Enter. Confirmation Does the abbreviation 'EDT' look reasonable? [ Yes ] No Правильно будет согласиться с назначением аббревиатуры временного пояса. Если она подходит, нажмите Enter, чтобы продолжить послеустановочную настройку. Совместимость с Linux (Linux Compatibility) User Confirmation Requested Would you like to enable Linux binary compatibility? [ Yes ] No Выбор [ Yes ] и нажатие Enter позволит запускать программы Linux под FreeBSD. Программа установки добавит соответствующие пакеты для совместимости с Linux. При установке по FTP, компьютеру потребуется соединиться с интернет. Иногда на сервере ftp нет всех необходимых компонент, например для бинарной совместимости с Linux. Эти компоненты могут быть установлены позже, если потребуется. Настройка мыши (Mouse Settings) Эти настройки позволят вырезать и вставлять текст в консоли и пользовательских программах с помощью трехкнопочной мыши. Если используется двухкнопочная мышь, обратитесь к странице справочника &man.moused.8; после установки, чтобы узнать подробности об эмуляции трехкнопочной мыши. Этот пример приведен для настройки не-USB мыши (например мыши для порта PS/2 или COM): User Confirmation Requested Does this system have a non-USB mouse attached to it? [ Yes ] No Выберите [ Yes ] для USB мыши или [ No ] для не-USB мыши и нажмите Enter.
Выбор протокола мыши
Используйте клавиши навигации для выбора Type и нажмите Enter.
Установка протокола мыши
В этом примере использована PS/2 мышь, поэтому подойдет протокол по умолчанию Auto. Чтобы изменить протокол, используйте клавиши навигации для выбора другого пункта. Убедитесь, что выбран &gui.ok;, и нажмите Enter для выхода из меню.
Настройка порта мыши
Используйте клавиши навигации для выбора Port и нажмите Enter.
Установка порта мыши
К этой системе подключена мышь PS/2, поэтому подходит значение по умолчанию PS/2. Чтобы изменить порт, используйте клавиши навигации и нажмите Enter.
Запуск мышиного даемона
Наконец, используйте клавиши навигации для выбора Enable, затем нажмите Enter для запуска и тестирования даемона мыши.
Проверка мышиного даемона
Подвигайте курсор по экрану и убедитесь, что он движется правильно. Если это так, выберите [ Yes ] и нажмите Enter. Если нет, мышь не была правильно настроена — выберите [ No ] и попробуйте использовать другие опции настройки. Выберите Exit с помощью клавиш навигации и нажмите Enter для возврата к послеустановочной настройке. Настройка дополнительных сетевых сервисов Настройка сетевых сервисов может быть пугающей задачей для новых пользователей если у них нет опыта в этой области. Работа в сети, включая интернет, критична для многих современных операционных систем, включая &os;; очень важно иметь некоторые знания о дополнительных сетевых возможностях &os;. Настраивая их во время установки, пользователь получает некоторую информацию о различных доступных сервисах. Сетевые сервисы — это программы, принимающие данные из любой точки сети. Чтобы убедиться, что эти программы не делают ничего вредного, требуется особое внимание. К сожалению, программисты не совершенны и время от времени допускают ошибки в сетевых сервисах; эти ошибки позволяют атакующим взломать их и использовать в собственных целях. Важно, чтобы вы включали сетевые сервисы только в том случае, когда знаете, какие сервисы нужны. В случае сомнений лучше не включать сервис, пока он не понадобится. Вы всегда можете включить его позже, запустив sysinstall еще раз, или используя возможности, предоставляемые файлом /etc/rc.conf. Выбор опции Networking отобразит меню, похожее на это:
Верхняя часть меню настройки сети (Network Configuration)
Первая опция, Interfaces (интерфейсы), была ранее описана в разделе , эту опцию можно проигнорировать. Выбор опции AMD добавит поддержку BSD утилиты автоматического монтирования. Она обычно используется вместе с протоколом NFS (смотрите ниже) для автоматического монтирования удаленных файловых систем. Здесь не требуется специальной конфигурации. Следующая линия это опция флаги AMD (flags). Когда эта опция выбрана, появится меню для ввода специфичных флагов AMD. Меню уже содержит набор различных опций: -a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map Опция -a указывает месторасположение монтирования систем по умолчанию, в этом примере /.amd_mnt. Опция -l указывает log файл по умолчанию; тем не менее, если для ведения логов используется syslogd, все логи отправляются даемону системных логов. Каталог /host используется для монтирования экспортированных файловых систем с удаленного хоста, а /net для монтирования экспортированных файловых систем с IP адреса. Файл /etc/amd.map определяет опции по умолчанию для монтируемых AMD каталогов. Опция Anon FTP позволяет получить анонимный доступ к FTP. Выберите ее, чтобы сделать этот компьютер анонимным FTP сервером. Помните о риске безопасности, создаваемом этой опцией. Будет отображено еще одно меню для разъяснения риска безопасности и для более тонкой настройки. Опция Gateway сделает компьютер шлюзом, как было объяснено ранее. Этот пункт может быть использован для отмены опции Gateway, если она была ошибочно установлена в процессе установки. Опцию Inetd можно использовать для настройки или полного отключения даемона &man.inetd.8;, как было описано выше. Опция Mail используется для настройки системного MTA по умолчанию (Mail Transfer Agent, агент передачи почты). Выбор этой опции приведет к появлению следующего меню:
Выбор MTA по умолчанию
Здесь предоставляется выбор MTA для установки по умолчанию. MTA это почтовый сервер, доставляющий почту пользователям системы или интернет. Выбор Sendmail приведет к установке популярного сервера sendmail, MTA по умолчанию для &os;. Опция Sendmail local настроит sendmail в качестве MTA по умолчанию, но отключит возможность получения входящей почты из интернет. Другие MTA, представленные здесь, Postfix и Exim, действуют подобно Sendmail. Оба они доставляют почту; тем не менее, некоторые пользователи предпочитают эти альтернативы sendmail. После выбора MTA или пропуска этого пункта появится меню настройки сети со следующей опцией, клиент NFS. Клиент NFS позволяет настроить систему для соединения с сервером через NFS. Сервер NFS дает другим машинам доступ к файловой системе через протокол NFS. Если это отдельно стоящий компьютер, опцию можно не выбирать. Опция может потребовать дополнительной настройки позже; обращайтесь к за более подробной информацией о настройке сервера и клиента. Ниже находится опция NFS сервер, позволяющая вам настроить систему для работы в качестве NFS сервера. Она добавляет требуемую информацию для запуска процедуры вызова удаленных сервисов RPC (remote procedure call services). RPC используется для организации соединения между хостами и программами. Следующая строка это Ntpdate, которая отвечает за синхронизацию времени. Когда эта опция выбрана, появится приблизительно такое меню:
Настройка Ntpdate
Выберите из этого меню ближайший к вашему местонахождению сервер. Выбор ближайшего сервера сделает синхронизацию времени более точной, поскольку у более дальнего сервера может быть более длинная задержка соединения. Следующая опция это выбор PCNFSD. Эта опция устанавливает пакет net/pcnfsd из коллекции портов. Это полезная утилита, предоставляющая сервисы авторизации NFS для систем, в в которых собственная отсутствует, таких как Microsoft &ms-dos;. Теперь вы можете прокрутить меню немного вниз, чтобы увидеть другие опции:
Нижняя часть меню настройки сети
Утилиты &man.rpcbind.8;, &man.rpc.statd.8;, и &man.rpc.lockd.8; для удаленного вызова процедур (Remote Procedure Calls, RPC). Утилита rpcbind управляет соединением между NFS серверами и клиентами, она требуется серверу NFS для корректной работы. Даемон rpc.statd взаимодействует с даемонами rpc.statd на других хостах для обеспечения мониторинга статуса. Полученный статус обычно хранится в файле /var/db/statd.status. Последняя опция это rpc.lockd, которая, будучи выбранной, предоставляет сервисы блокировки файлов. Она обычно используется с rpc.statd для отслеживания хостов, запрашивающих блокировки и частоты этих запросов. Хотя две последние опции прекрасно подходят для отладки, они не требуются серверам и клиентам NFS для корректной работы. Ниже в списке опций находится Routed, даемон маршрутизации. Утилита &man.routed.8; управляет сетевыми таблицами маршрутизации, обнаруживает широковещательные маршрутизаторы, и предоставляет копию таблиц маршрутизации любому физически подключенному к сети хосту по запросу. Это обычно используется компьютерами, являющимися шлюзом для локальной сети (смотрите страницы справочника &man.icmp.4; и &man.udp.4;). Когда эта опция выбрана, появится меню выбора местоположения утилиты по умолчанию. Значение по умолчанию уже выбрано, чтобы подтвердить его нажмите Enter. Появится следующее меню, запрашивающее флаги для routed. По умолчанию это флаг -q, он должен уже быть на экране. На следующей линии находится опция Rwhod, выбор которой приведет к запуску даемона &man.rwhod.8; при старте системы. Утилита rwhod периодически рассылает широковещательные системные сообщения по сети или собирает их в режиме потребителя. Дополнительную информацию можно найти на страницах справочника &man.ruptime.1; и &man.rwho.1;. Следующая перед последней опцией в списке это даемон &man.sshd.8;. Это сервер безопасной оболочки (secure shell) из OpenSSH и он очень рекомендуется для использования вместо стандартных серверов telnet и FTP. Сервер sshd используется для создания безопасных соединений от одного хоста к другому с использованием шифрования. И наконец, опция TCP Extensions. Она включает расширения TCP, определенные в RFC 1323 и RFC 1644. Хотя для многих хостов они могут повысить скорость соединения, с другими соединение может быть оборвано. Для серверов эти расширения не рекомендуются, но клиентским компьютерам могут дать некоторые преимущества. Теперь, после настройки сетевых сервисов, вы можете прокрутить меню к верхнему пункту, Exit, и перейти к следующему разделу настройки. Настройка X Сервера (Configure X Server) Чтобы использовать графический интерфейс пользователя KDE, GNOME, или другие, нужно настроить X сервер. Чтобы запустить &xfree86; не из под root, вам потребуется установленный x11/wrapper. Он устанавливается по умолчанию начиная с FreeBSD 4.7. В более ранних версиях он может быть добавлен из меню выбора пакетов (Package Selection menu). Чтобы узнать, поддерживается ли ваша видеокарта, обратитесь к сайту &xfree86;. User Confirmation Requested Would you like to configure your X server at this time? [ Yes ] No Необходимо узнать параметры монитора и информацию о видеокарте. Установкой неправильных параметров можно повредить оборудование. Если у вас нет этой информации, выберите [ No ] и выполните конфигурацию после установки, когда необходимая информация будет собрана. Используя /stand/sysinstall, выберите Configure а затем XFree86. Неправильная настройка X сервера может подвесить компьютер. Зачастую настройку X сервера рекомендуют производить после завершения установки. Если у вас есть информация о графической карте и мониторе, выберите [ Yes ] и нажмите Enter для начала настройки X сервера.
Меню выбора способа конфигурации
Есть несколько путей настройки X сервера. Используйте клавиши навигации для выбора одного из методов и нажмите Enter. Внимательно прочтите все инструкции. Команды xf86cfg и xf86cfg -textmode могут сделать экран темным и запуститься через несколько секунд. Будьте терпеливы. Далее описывается использование программы настройки xf86config. Выбор настроек будет зависеть от оборудования системы, так что ваши настройки возможно будут отличаться от тех, что приведены: Message You have configured and been running the mouse daemon. Choose "/dev/sysmouse" as the mouse port and "SysMouse" or "MouseSystems" as the mouse protocol in the X configuration utility. [ OK ] [ Press enter to continue ] Это говорит, что предварительно настроенный даемон мыши был обнаружен. Нажмите Enter, чтобы продолжить. При запуске xf86config отобразит краткое введение: This program will create a basic XF86Config file, based on menu selections you make. The XF86Config file usually resides in /usr/X11R6/etc/X11 or /etc/X11. A sample XF86Config file is supplied with XFree86; it is configured for a standard VGA card and monitor with 640x480 resolution. This program will ask for a pathname when it is ready to write the file. You can either take the sample XF86Config as a base and edit it for your configuration, or let this program produce a base XF86Config file for your configuration and fine-tune it. Before continuing with this program, make sure you know what video card you have, and preferably also the chipset it uses and the amount of video memory on your video card. SuperProbe may be able to help with this. Press enter to continue, or ctrl-c to abort. Нажатие Enter запустит настройку мыши. Следуя инструкциям, выберите Mouse Systems в качестве протокола мыши и /dev/sysmouse в качестве порта мыши, даже если вы используете PS/2, как показано в примере. First specify a mouse protocol type. Choose one from the following list: 1. Microsoft compatible (2-button protocol) 2. Mouse Systems (3-button protocol) & FreeBSD moused protocol 3. Bus Mouse 4. PS/2 Mouse 5. Logitech Mouse (serial, old type, Logitech protocol) 6. Logitech MouseMan (Microsoft compatible) 7. MM Series 8. MM HitTablet 9. Microsoft IntelliMouse If you have a two-button mouse, it is most likely of type 1, and if you have a three-button mouse, it can probably support both protocol 1 and 2. There are two main varieties of the latter type: mice with a switch to select the protocol, and mice that default to 1 and require a button to be held at boot-time to select protocol 2. Some mice can be convinced to do 2 by sending a special sequence to the serial port (see the ClearDTR/ClearRTS options). Enter a protocol number: 2 You have selected a Mouse Systems protocol mouse. If your mouse is normally in Microsoft-compatible mode, enabling the ClearDTR and ClearRTS options may cause it to switch to Mouse Systems mode when the server starts. Please answer the following question with either 'y' or 'n'. Do you want to enable ClearDTR and ClearRTS? n You have selected a three-button mouse protocol. It is recommended that you do not enable Emulate3Buttons, unless the third button doesn't work. Please answer the following question with either 'y' or 'n'. Do you want to enable Emulate3Buttons? y Now give the full device name that the mouse is connected to, for example /dev/tty00. Just pressing enter will use the default, /dev/mouse. On FreeBSD, the default is /dev/sysmouse. Mouse device: /dev/sysmouse Следующий пункт настройки это клавиатура. В примере показана модель generic 101-key. В качестве варианта можно использовать любое имя, или просто нажать Enter, чтобы принять значение по умолчанию. Please select one of the following keyboard types that is the better description of your keyboard. If nothing really matches, choose 1 (Generic 101-key PC) 1 Generic 101-key PC 2 Generic 102-key (Intl) PC 3 Generic 104-key PC 4 Generic 105-key (Intl) PC 5 Dell 101-key PC 6 Everex STEPnote 7 Keytronic FlexPro 8 Microsoft Natural 9 Northgate OmniKey 101 10 Winbook Model XP5 11 Japanese 106-key 12 PC-98xx Series 13 Brazilian ABNT2 14 HP Internet 15 Logitech iTouch 16 Logitech Cordless Desktop Pro 17 Logitech Internet Keyboard 18 Logitech Internet Navigator Keyboard 19 Compaq Internet 20 Microsoft Natural Pro 21 Genius Comfy KB-16M 22 IBM Rapid Access 23 IBM Rapid Access II 24 Chicony Internet Keyboard 25 Dell Internet Keyboard Enter a number to choose the keyboard. 1 Please select the layout corresponding to your keyboard 1 U.S. English 2 U.S. English w/ ISO9995-3 3 U.S. English w/ deadkeys 4 Albanian 5 Arabic 6 Armenian 7 Azerbaidjani 8 Belarusian 9 Belgian 10 Bengali 11 Brazilian 12 Bulgarian 13 Burmese 14 Canadian 15 Croatian 16 Czech 17 Czech (qwerty) 18 Danish Enter a number to choose the country. Press enter for the next page 1 Please enter a variant name for 'us' layout. Or just press enter for default variant us Please answer the following question with either 'y' or 'n'. Do you want to select additional XKB options (group switcher, group indicator, etc.)? n Теперь переходим к настройке монитора. Не превышайте значений для вашего монитора. Он может быть поврежден. Если у вас есть какие-то сомнения, проводите настройку после того как получите информацию. Now we want to set the specifications of the monitor. The two critical parameters are the vertical refresh rate, which is the rate at which the whole screen is refreshed, and most importantly the horizontal sync rate, which is the rate at which scanlines are displayed. The valid range for horizontal sync and vertical sync should be documented in the manual of your monitor. If in doubt, check the monitor database /usr/X11R6/lib/X11/doc/Monitors to see if your monitor is there. Press enter to continue, or ctrl-c to abort. You must indicate the horizontal sync range of your monitor. You can either select one of the predefined ranges below that correspond to industry- standard monitor types, or give a specific range. It is VERY IMPORTANT that you do not specify a monitor type with a horizontal sync range that is beyond the capabilities of your monitor. If in doubt, choose a conservative setting. hsync in kHz; monitor type with characteristic modes 1 31.5; Standard VGA, 640x480 @ 60 Hz 2 31.5 - 35.1; Super VGA, 800x600 @ 56 Hz 3 31.5, 35.5; 8514 Compatible, 1024x768 @ 87 Hz interlaced (no 800x600) 4 31.5, 35.15, 35.5; Super VGA, 1024x768 @ 87 Hz interlaced, 800x600 @ 56 Hz 5 31.5 - 37.9; Extended Super VGA, 800x600 @ 60 Hz, 640x480 @ 72 Hz 6 31.5 - 48.5; Non-Interlaced SVGA, 1024x768 @ 60 Hz, 800x600 @ 72 Hz 7 31.5 - 57.0; High Frequency SVGA, 1024x768 @ 70 Hz 8 31.5 - 64.3; Monitor that can do 1280x1024 @ 60 Hz 9 31.5 - 79.0; Monitor that can do 1280x1024 @ 74 Hz 10 31.5 - 82.0; Monitor that can do 1280x1024 @ 76 Hz 11 Enter your own horizontal sync range Enter your choice (1-11): 6 You must indicate the vertical sync range of your monitor. You can either select one of the predefined ranges below that correspond to industry- standard monitor types, or give a specific range. For interlaced modes, the number that counts is the high one (e.g. 87 Hz rather than 43 Hz). 1 50-70 2 50-90 3 50-100 4 40-150 5 Enter your own vertical sync range Enter your choice: 2 You must now enter a few identification/description strings, namely an identifier, a vendor name, and a model name. Just pressing enter will fill in default names. The strings are free-form, spaces are allowed. Enter an identifier for your monitor definition: Hitachi Далее производится выбор видеокарты из списка. Если вы пропустили карту в списке, продолжайте нажимать Enter, и список повторится. Показан только отрывок: Now we must configure video card specific settings. At this point you can choose to make a selection out of a database of video card definitions. Because there can be variation in Ramdacs and clock generators even between cards of the same model, it is not sensible to blindly copy the settings (e.g. a Device section). For this reason, after you make a selection, you will still be asked about the components of the card, with the settings from the chosen database entry presented as a strong hint. The database entries include information about the chipset, what driver to run, the Ramdac and ClockChip, and comments that will be included in the Device section. However, a lot of definitions only hint about what driver to run (based on the chipset the card uses) and are untested. If you can't find your card in the database, there's nothing to worry about. You should only choose a database entry that is exactly the same model as your card; choosing one that looks similar is just a bad idea (e.g. a GemStone Snail 64 may be as different from a GemStone Snail 64+ in terms of hardware as can be). Do you want to look at the card database? y 288 Matrox Millennium G200 8MB mgag200 289 Matrox Millennium G200 SD 16MB mgag200 290 Matrox Millennium G200 SD 4MB mgag200 291 Matrox Millennium G200 SD 8MB mgag200 292 Matrox Millennium G400 mgag400 293 Matrox Millennium II 16MB mga2164w 294 Matrox Millennium II 4MB mga2164w 295 Matrox Millennium II 8MB mga2164w 296 Matrox Mystique mga1064sg 297 Matrox Mystique G200 16MB mgag200 298 Matrox Mystique G200 4MB mgag200 299 Matrox Mystique G200 8MB mgag200 300 Matrox Productiva G100 4MB mgag100 301 Matrox Productiva G100 8MB mgag100 302 MediaGX mediagx 303 MediaVision Proaxcel 128 ET6000 304 Mirage Z-128 ET6000 305 Miro CRYSTAL VRX Verite 1000 Enter a number to choose the corresponding card definition. Press enter for the next page, q to continue configuration. 288 Your selected card definition: Identifier: Matrox Millennium G200 8MB Chipset: mgag200 Driver: mga Do NOT probe clocks or use any Clocks line. Press enter to continue, or ctrl-c to abort. Now you must give information about your video card. This will be used for the "Device" section of your video card in XF86Config. You must indicate how much video memory you have. It is probably a good idea to use the same approximate amount as that detected by the server you intend to use. If you encounter problems that are due to the used server not supporting the amount memory you have (e.g. ATI Mach64 is limited to 1024K with the SVGA server), specify the maximum amount supported by the server. How much video memory do you have on your video card: 1 256K 2 512K 3 1024K 4 2048K 5 4096K 6 Other Enter your choice: 6 Amount of video memory in Kbytes: 8192 You must now enter a few identification/description strings, namely an identifier, a vendor name, and a model name. Just pressing enter will fill in default names (possibly from a card definition). Your card definition is Matrox Millennium G200 8MB. The strings are free-form, spaces are allowed. Enter an identifier for your video card definition: Далее, производится установка видеорежимов для требуемого разрешения. Обычно используемые значения 640x480, 800x600, и 1024x768, но они зависят от возможностей видеокарты, размера монитора и зрительного комфорта. Выбирая глубину цвета, устанавливайте самое большое поддерживаемое видеокартой значение. For each depth, a list of modes (resolutions) is defined. The default resolution that the server will start-up with will be the first listed mode that can be supported by the monitor and card. Currently it is set to: "640x480" "800x600" "1024x768" "1280x1024" for 8-bit "640x480" "800x600" "1024x768" "1280x1024" for 16-bit "640x480" "800x600" "1024x768" "1280x1024" for 24-bit Modes that cannot be supported due to monitor or clock constraints will be automatically skipped by the server. 1 Change the modes for 8-bit (256 colors) 2 Change the modes for 16-bit (32K/64K colors) 3 Change the modes for 24-bit (24-bit color) 4 The modes are OK, continue. Enter your choice: 2 Select modes from the following list: 1 "640x400" 2 "640x480" 3 "800x600" 4 "1024x768" 5 "1280x1024" 6 "320x200" 7 "320x240" 8 "400x300" 9 "1152x864" a "1600x1200" b "1800x1400" c "512x384" Please type the digits corresponding to the modes that you want to select. For example, 432 selects "1024x768" "800x600" "640x480", with a default mode of 1024x768. Which modes? 432 You can have a virtual screen (desktop), which is screen area that is larger than the physical screen and which is panned by moving the mouse to the edge of the screen. If you don't want virtual desktop at a certain resolution, you cannot have modes listed that are larger. Each color depth can have a differently-sized virtual screen Please answer the following question with either 'y' or 'n'. Do you want a virtual screen that is larger than the physical screen? n For each depth, a list of modes (resolutions) is defined. The default resolution that the server will start-up with will be the first listed mode that can be supported by the monitor and card. Currently it is set to: "640x480" "800x600" "1024x768" "1280x1024" for 8-bit "1024x768" "800x600" "640x480" for 16-bit "640x480" "800x600" "1024x768" "1280x1024" for 24-bit Modes that cannot be supported due to monitor or clock constraints will be automatically skipped by the server. 1 Change the modes for 8-bit (256 colors) 2 Change the modes for 16-bit (32K/64K colors) 3 Change the modes for 24-bit (24-bit color) 4 The modes are OK, continue. Enter your choice: 4 Please specify which color depth you want to use by default: 1 1 bit (monochrome) 2 4 bits (16 colors) 3 8 bits (256 colors) 4 16 bits (65536 colors) 5 24 bits (16 million colors) Enter a number to choose the default depth. 4 Наконец, настройки нужно сохранить. Убедитесь что ввели /etc/XF86Config в качестве места хранения настроек. I am going to write the XF86Config file now. Make sure you don't accidently overwrite a previously configured one. Shall I write it to /etc/X11/XF86Config? y Если настройка прервалась, вы можете запустить настройку опять, выбрав [ Yes ] когда появится следующее сообщение: User Confirmation Requested The XFree86 configuration process seems to have failed. Would you like to try again? [ Yes ] No Если у вас проблемы с настройкой &xfree86;, выберите [ No ], нажмите Enter и продолжайте процесс установки. После установки вы можете использовать xf86cfg -textmode или xf86config для получения доступа к утилитам настройки в режиме командной строки под root. Это дополнительный метод настройки &xfree86;, описанный в . Если вы решите не настраивать &xfree86; сейчас, следующим появится меню выбора пакетов. Настройкой по умолчанию, позволяющей перезагрузить сервер, является комбинация клавиш CtrlAlt Backspace. Эта комбинация может быть применена если что-то не так с установками сервера, она позволяет предотвратить повреждение оборудования. Настройкой по умолчанию, позволяющей переключать видео режимы во время работы X, является комбинация клавиш CtrlAlt+ or CtrlAlt- . После установки высота, ширина экрана или центровка экрана может быть выбрана с использованием xvidtune, если вы запустите &xfree86; с xvidtune. Будут выданы предупреждения, что неверные установки могут повредить ваше оборудование. Прислушайтесь к ним. Если вы сомневаетесь в чем-то, не делайте этого. Вместо этого, используйте настройки монитора для подстройки его под X Window. Вид экрана может несколько отличаться при переключении обратно в текстовый режим, но это лучше, чем повреждение оборудования. Прочитайте справочник &man.xvidtune.1; перед тем как производить какие-либо настройки. После успешной настройки &xfree86;, будет предложен выбор десктопа по умолчанию. Выбор десктопа по умолчанию (Select Default X Desktop) Доступны самые разные оконные менеджеры. Их функциональность варьируется от самых минимальных до полноценных десктопов с большим набором программ. Некоторые требуют минимума места на диске и небольшого количества памяти, другие, с большим набором функций, требуют гораздо больше. Лучший путь определить наиболее подходящий вам — попробовать несколько. Они доступны из коллекции портов и в виде пакетов, и могут быть добавлены после установки. Вы можете выбрать один из популярных десктопов, он будет установлен и настроен в качестве десктопа по умолчанию. Это позволит запустить его сразу после установки.
Выбор десктопа по умолчанию
Используйте клавиши навигации, чтобы выбрать десктоп, и нажмите Enter. Будет запущена установка выбранного десктопа. Установка пакетов (Install Packages) Пакеты — это прекомпилированные бинарные файлы и это удобный способ установки программ. В качестве примера показана установка одного пакета. Если потребуется, можно установить дополнительные пакеты. После установки для добавления пакетов может быть использована команда /stand/sysinstall. User Confirmation Requested The FreeBSD package collection is a collection of hundreds of ready-to-run applications, from text editors to games to WEB servers and more. Would you like to browse the collection now? [ Yes ] No Выбор [ Yes ] и нажатие Enter приведет к появлению экрана выбора пакетов:
Выбор категории пакетов
Только пакеты с текущего носителя доступны для установки в любое время. Все доступные пакеты будут показаны если выбрать категорию All, можно также выбирать отдельные категории. Перейдите к выбранной категории с помощью клавиш навигации и нажмите Enter. Появится меню, содержащее доступные в данной категории пакеты.
Выбор пакетов
Выбрана оболочка bash. Выберите все необходимые пакеты, перемещаясь по меню и нажимая клавишу пробела на выбираемых пакетах. Краткое описание пакета будет появляться в нижней левой части экрана. Нажатие Tab переключает между последним выбранным пакетом, &gui.ok;, и &gui.cancel;. После того, как будет закончена отметка пакетов для установки, нажмите Tab один раз для переключения на &gui.ok; и нажмите Enter для переключения на меню выбора пакетов. Нажимая клавиши навигации влево или вправо, можно переключаться между &gui.ok; и &gui.cancel;. Этот метод может быть применен также для выбора &gui.ok;, и возврата к меню выбора пакетов нажатием Enter.
Установка пакетов
Используйте Tab и клавиши навигации для выбора [ Install ] и нажмите Enter. вам потребуется подтвердить установку пакетов:
Подтверждение установки пакетов
Выбор &gui.ok; и нажатие Enter запустит установку пакетов. Во время установки будут выдаваться сообщения. Обратите внимание на возможные сообщения об ошибках. После установки пакетов настройка продолжится. Если вы не выбрали ни один из пакетов и хотите вернуться к завершению настройки, выберите Install в любом случае. Добавление пользователей/групп (Add Users/Groups) В процессе установки нужно добавить хотя бы одного пользователя, чтобы использовать систему без входа под root. Корневой каталог обычно мал и запуск приложений под root быстро заполнит его. Ниже показано предупреждение: User Confirmation Requested Would you like to add any initial user accounts to the system? Adding at least one account for yourself at this stage is suggested since working as the "root" user is dangerous (it is easy to do things which adversely affect the entire system). [ Yes ] No Выберите [ Yes ] и нажмите Enter чтобы продолжить добавление пользователя.
Выбор User (пользователь)
Выберите User с помощью клавиш навигации и нажмите Enter.
Вод информации о пользователе
При выборе полей с помощью Tab в нижней части экрана будет появляться описание, помогающее ввести необходимую информацию: Логин (Login ID) Имя нового пользователя (обязательно). UID Числовой ID (идентификатор) для этого пользователя (оставьте пустым для автоматического выбора). Группа (Group) Имя группы этого пользователя (оставьте пустым для автоматического выбора). Пароль (Password) Пароль этого пользователя (заполняйте это поле с осторожностью!). Полное имя Полное имя пользователя (комментарий). Член групп (Member groups) Группы, к которым принадлежит пользователь (т.е. имеет права доступа). Домашний каталог (Home directory) Домашний каталог пользователя (оставьте пустым для выбора по умолчанию). Оболочка (Login shell) Оболочка пользователя, запускаемая при входе в систему (оставьте пустым для оболочки по умолчанию, например /bin/sh). Оболочка была изменена с /bin/sh на /usr/local/bin/bash для использования bash, которая была перед этим установлена из пакета. Не пытайтесь использовать несуществующую оболочку, вы не сможете войти в систему. Наиболее часто используемая в мире BSD оболочка это C shell, которую можно обозначить как /bin/tcsh. Пользователь был добавлен в группу wheel, чтобы иметь возможность стать суперпользователем с привилегиями root. Когда все будет введено, нажмите &gui.ok; и меню управления пользователями и группами (User and Group Management) появится снова:
Выход из меню управления пользователями и группами
Сейчас также можно добавить группы, если известно, для чего они потребуются. Иначе в это меню можно войти, запустив /stand/sysinstall после окончания установки. После завершения добавления пользователей, выберите Exit с помощью клавиш навигации и нажмите Enter для продолжения установки. Установка пароля <username>root</username> Message Now you must set the system manager's password. This is the password you'll use to log in as "root". [ OK ] [ Press enter to continue ] Нажмите Enter для установки пароля root. Необходимо два раза правильно ввести пароль. Излишне упоминать, что должна быть возможность восстановления пароля, если вы его забудете. Changing local password for root. New password : Retype new password : Установка продолжится после успешного ввода пароля. Выход из установки (Exiting Install) Если нужно настроить дополнительные сетевые устройства, или произвести другие настройки, вы можете сделать это сейчас или после установки с помощью/stand/sysinstall. User Confirmation Requested Visit the general configuration menu for a chance to set any last options? Yes [ No ] Выберите [ No ] с помощью клавиш навигации и нажмите Enter для возврата к главному меню установки.
Выход из установки
Выберите [X Exit Install] с помощью клавиш навигации и нажмите Enter. Будет задан вопрос о подтверждении выхода из установки: User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies from the drives). [ Yes ] No Выберите [ Yes ] и удалите дискету если загрузка была с нее. CDROM заблокирован, пока компьютер не начнет перегружаться. CDROM будет разблокирован и диск нужно будет извлечь из привода (быстро). Система начнет перезагрузку, смотрите за сообщениями об ошибках, которые могут появиться. Загрузочный процесс FreeBSD (FreeBSD Bootup) Загрузка FreeBSD на &i386; Если все пройдет нормально, вы увидите прокручивающиеся за экран сообщения, затем приглашение ко входу в систему. Вы может просмотреть сообщения, нажав Scroll-Lock и используя PgUp и PgDn. Нажатие Scroll-Lock еще раз вернет вас к приглашению. Все сообщение может не отобразиться (ограничение буфера), но может быть просмотрено путем ввода команды dmesg в командной строке. Войдите, используя имя пользователя/пароль, добавленные во время установки (rpratt в этом примере). Избегайте входа под root, если это не требуется. Типичные сообщения при загрузке (информация о версии удалена): Copyright (c) 1992-2002 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. Timecounter "i8254" frequency 1193182 Hz CPU: AMD-K6(tm) 3D processor (300.68-MHz 586-class CPU) Origin = "AuthenticAMD" Id = 0x580 Stepping = 0 Features=0x8001bf<FPU,VME,DE,PSE,TSC,MSR,MCE,CX8,MMX> AMD Features=0x80000800<SYSCALL,3DNow!> real memory = 268435456 (262144K bytes) config> di sn0 config> di lnc0 config> di le0 config> di ie0 config> di fe0 config> di cs0 config> di bt0 config> di aic0 config> di aha0 config> di adv0 config> q avail memory = 256311296 (250304K bytes) Preloaded elf kernel "kernel" at 0xc0491000. Preloaded userconfig_script "/boot/kernel.conf" at 0xc049109c. md0: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1: <VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <ISA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0: <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci0 usb0: <VIA 83C572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr 1 uhub0: 2 ports with 2 removable, self powered chip1: <VIA 82C586B ACPI interface> at device 7.3 on pci0 ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xe800-0xe81f irq 9 at device 10.0 on pci0 ed0: address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq 2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <keyboard controller (i8042)> at port 0x60-0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq 1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/2 mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x1 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 ppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold ppbus0: IEEE1284 device found /NIBBLE Probing for PnP devices on ppbus0: plip0: <PLIP network interface> on ppbus0 lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port ppi0: <Parallel I/O> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master using UDMA33 ad2: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata1-master using UDMA33 acd0: CDROM <DELTA OTC-H101/ST3 F/W by OIPD> at ata0-slave using PIO4 Mounting root from ufs:/dev/ad0s1a swapon: adding /dev/ad0s1b as swap device Automatic boot in progress... /dev/ad0s1a: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1a: clean, 48752 free (552 frags, 6025 blocks, 0.9% fragmentation) /dev/ad0s1f: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1f: clean, 128997 free (21 frags, 16122 blocks, 0.0% fragmentation) /dev/ad0s1g: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1g: clean, 3036299 free (43175 frags, 374073 blocks, 1.3% fragmentation) /dev/ad0s1e: filesystem CLEAN; SKIPPING CHECKS /dev/ad0s1e: clean, 128193 free (17 frags, 16022 blocks, 0.0% fragmentation) Doing initial network setup: hostname. ed0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::5054::5ff::fede:731b%ed0 prefixlen 64 tentative scopeid 0x1 ether 52:54:05:de:73:1b lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x8 inet6 ::1 prefixlen 128 inet 127.0.0.1 netmask 0xff000000 Additional routing options: IP gateway=YES TCP keepalive=YES routing daemons:. additional daemons: syslogd. Doing additional network setup:. Starting final network daemons: creating ssh RSA host key Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: cd:76:89:16:69:0e:d0:6e:f8:66:d0:07:26:3c:7e:2d root@k6-2.example.com creating ssh DSA host key Generating public/private dsa key pair. Your identification has been saved in /etc/ssh/ssh_host_dsa_key. Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub. The key fingerprint is: f9:a1:a9:47:c4:ad:f9:8d:52:b8:b8:ff:8c:ad:2d:e6 root@k6-2.example.com. setting ELF ldconfig path: /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout starting standard daemons: inetd cron sshd usbd sendmail. Initial rc.i386 initialization:. rc.i386 configuring syscons: blank_time screensaver moused. Additional ABI support: linux. Local package initialization:. Additional TCP options:. FreeBSD/i386 (k6-2.example.com) (ttyv0) login: rpratt Password: Генерирование ключей RSA и DSA может занять некоторое время на медленных компьютерах. Это может случиться только при первой загрузке свежеустановленной системы. Последующие загрузки будут быстрее. Если X сервер был настроен и был выбран десктоп по умолчанию, он может быть запущен из командной строки командой startx. Загрузка FreeBSD на Alpha Alpha Когда процедура установки будет завершена, вы сможете запустить FreeBSD в приглашении SRM примерно такой командой: >>>BOOT DKC0 Это команда дает указание на загрузку с заданного диска. Чтобы FreeBSD в будущем загружалась автоматически, используйте эти команды: >>> SET BOOT_OSFLAGS A >>> SET BOOT_FILE '' >>> SET BOOTDEF_DEV DKC0 >>> SET AUTO_ACTION BOOT Загрузочные сообщения будут похожи (но не идентичны) сообщениям, выводимым FreeBSD при загрузке на &i386;. Завершение работы FreeBSD (FreeBSD Shutdown) Важно правильно завершать работу операционной системы. Нельзя просто выключать питание. Сначала нужно стать суперпользователем, введя в командной строке su и пароль root. Это сработает только если пользователь является членом группы wheel. Или зайдите под root и используйте команду shutdown -h now. The operating system has halted. Please press any key to reboot. Можно безопасно выключать питание после того, как будет выполнена команда shutdown и появится сообщение Please press any key to reboot. Если вместо выключения питания будет нажата любая клавиша, система перезагрузится. Вы также можете использовать комбинацию клавиш Ctrl Alt Del для перезагрузки системы, хотя это не рекомендуется в обычной ситуации. Поддерживаемое оборудование оборудование В настоящее время FreeBSD работает на разнообразных PC, с шинами ISA, VLB, EISA, и PCI с процессорами x86 от Intel, AMD, Cyrix, или NexGen, так же как и с множеством компьютеров на процессорах Compaq Alpha. Поддерживаются также IDE или ESDI диски, различные SCSI контроллеры, карты PCMCIA, устройства USB, сетевые карты и карты последовательных портов. FreeBSD также поддерживает шину MCA от IBM. Список поддерживаемого оборудования поставляется с каждым релизом FreeBSD в информации о поддерживаемом FreeBSD оборудовании. Этот документ обычно может быть найден в файле HARDWARE.TXT в корневом каталоге CDROM, дистрибутива на FTP или в меню документации sysinstall. В нем находится список аппаратных устройств, которые поддерживаются этим релизом FreeBSD для данной архитектуры. Копии списка поддерживаемого оборудования для различных релизов и архитектур также можно найти на странице Информации о релизах сайта FreeBSD. Решение проблем установка решение проблем Следующий раздел описывает основные проблемы при установке, о о которых обычно сообщают пользователи. Здесь также несколько вопросов и ответов от тех, кто хочет настроить двойную загрузку FreeBSD и &ms-dos;. Что делать если что-то идет не так По причине различных ограничений архитектуры PC, невозможно протестировать устройства достоверно на 100%, тем не менее, есть несколько вещей, которые вы можете сделать, если тестирование завершится неудачно. Сверьтесь со списком поддерживаемого оборудованию для вашей версии FreeBSD, чтобы убедиться, что ваше оборудование поддерживается. Если оборудование поддерживается, но все же происходят зависания или вы встретились с другими проблемами, перегрузите компьютер, и когда появится опция визуальной настройки ядра, выберите ее. Это позволит вам просмотреть список оборудования и дать системе информацию о настройке. Ядро на загрузочном диске настроено в предположении, что у большинства аппаратных устройств IRQ, адреса ввода-вывода и каналы DMA установлены производителем к значениям по умолчанию. Если оборудование было перенастроено, вам потребуется использовать редактор настроек, чтобы сообщить FreeBSD где что искать. Возможно также, что тестирование устройства, которого нет, приведет позже к ошибке тестирования существующего устройства. В этом случае тестирование конфликтующего драйвера (драйверов) должно быть запрещено. Некоторые проблемы установки можно обойти или уменьшить, обновив встроенное программное обеспечение различных компонент оборудования, особенно материнской платы. Встроенное программное обеспечение также называют BIOS и у большинства производителей компьютеров или материнских плат есть вебсайты, где можно найти обновления и информацию об обновлениях. Большинство производителей настоятельно советуют не обновлять BIOS пока не возникнет серьезной необходимости, например появление критически важных обновлений. Процесс обновления может пойти неверно, что приведет к неустранимому повреждению микросхемы BIOS. Не выключайте драйвера, которые понадобятся вам во время установки, такие как экран (sc0). Если после выхода из редактора конфигурации установка загадочно зависает или прерывается, возможно вы удалили или изменили что-то, что не надо было трогать. Перегрузитесь и попробуйте еще раз. В режиме настройки вы можете: Просматривать список устройств, включенных в ядро. Отключать драйвера устройств для оборудования, которого нет в системе. Менять IRQ, DRQ, адреса портов, используемые драйвером устройства. После настройки ядра под оборудование нажмите Q для загрузки с новыми настройками. После завершения установки все изменения, внесенные в режиме настройки, будут действовать постоянно, так что вам не придется делать настройку при каждой загрузке. Все же очень неплохо, если вы со временем соберете новое ядро. Работа с существующими разделами &ms-dos; DOS Многие пользователи устанавливают &os; на PC с установленной операционной системой µsoft;. Для этих целей в &os; есть утилита, называемая FIPS. Ее можно найти в каталоге tools установочного CD-ROM или загрузить с одного из множества зеркал &os;. Утилита FIPS позволит вам разделить существующий раздел &ms-dos; на две части, сохранив имеющиеся данные, и сделать установку на второй свободный раздел. Вам потребуется сначала дефрагментировать раздел &ms-dos; с помощью &windows; утилиты Disk Defragmenter (запустите Explorer, кликните правой клавишей мыши на жестком диске и выберите дефрагментацию диска), или используйте Norton Disk Tools. Затем запустите утилиту FIPS. Она запросит необходимую информацию, следуйте инструкциям на экране. Затем можете перегрузиться и установить &os; на новый свободный слайс. Смотрите меню Distributions для определения размера необходимого для выбранного типа установки свободного пространства. Есть также очень полезная программа &partitionmagic; от PowerQuest (http://www.powerquest.com). Эта программа гораздо более функциональна, чем FIPS, и очень рекомендуется, если вы планируете часто добавлять/убирать операционные системы. Она стоит денег, и если вы планируете установить &os; и оставить ее, вам возможно отлично подойдет FIPS. Использование файловых систем &ms-dos; и &windows; В настоящее время, &os; не поддерживает файловые системы, сжатые с помощью программы Double Space™. Поэтому файловая система должна быть разжата, чтобы &os; смогла получить доступ к данным. Это может быть сделано с помощью приложения Compression Agent, находящегося в меню Пуск> Программы > Системные. &os; поддерживает файловые системы &ms-dos;. Для этого потребуется использовать команду &man.mount.msdos.8; (в &os; 5.X, это &man.mount.msdosfs.8;) с необходимыми параметрами. Наиболее распространенный способ использования: &prompt.root; mount_msdos /dev/ad0s1 /mnt В этом примере файловая система &ms-dos; расположена на первом разделе первого жесткого диска. Ваша конфигурация может быть другой, проверьте вывод команд dmesg и mount. Они должны предоставить достаточно информации для определения названий разделов. Расширенные разделы &ms-dos; обычно располагаются после разделов &os;. Другими словами, номер слайса может быть больше, чем используемый &os; is using. Например, первый раздел &ms-dos; может быть /dev/ad0s1, раздел &os; /dev/ad0s2, а расширенный раздел &ms-dos; /dev/ad0s3. Некоторых это иногда запутывает на первых порах. Разделы NTFS также можно смонтировать похожим способом, используя команду &man.mount.ntfs.8;. Вопросы и ответы пользователей Alpha Alpha Этот раздел отвечает на некоторые обычно задаваемые вопросы об установке FreeBSD на Alpha. Могу я загрузиться с ARC или с консоли Alpha BIOS? ARC Alpha BIOS SRM Нет. &os;, как и Compaq Tru64 и VMS, может загружаться только с консоли SRM. Помогите, у меня нет места! Должен ли я сначала все удалить? К сожалению, да. Могу ли я смонтировать файловые системы Compaq Tru64 или VMS? В настоящее время нет. Valentino Vaschetto Предоставлено Расширенное руководство по установке Эта секция описывает особые случаи установки FreeBSD. Установка FreeBSD на систему без монитора или клавиатуры установка без монитора (последовательная консоль) последовательная консоль Этот тип установки называется установка без монитора, потому что на компьютере, на который вы пробуете установить FreeBSD или не подсоединен монитор, или даже нет VGA выхода. Вы спросите, как это возможно? Используя последовательную консоль. Последовательная консоль в своей основе имеет другой компьютер, который служит дисплеем и клавиатурой для системы. Чтобы сделать это, создайте инсталляционные дискеты, как описано в разделе . Чтобы модифицировать дискеты для загрузки с последовательной консоли, следуйте этой инструкции: Включение загрузки с последовательной консоли mount Если вы произведете загрузку с только что полученных дискет, FreeBSD загрузится в нормальный режим установки. Мы хотим, чтобы FreeBSD загрузилась на последовательную консоль для нашей установки. Чтобы сделать это, смонтируйте kern.flp на вашу систему FreeBSD используя команду &man.mount.8;. - &prompt.root; mount /dev/fd0 /floppy + &prompt.root; mount /dev/fd0 /mnt Теперь, когда дискета смонтирована, нужно перейти в - каталог дискеты: + каталог /mnt: - &prompt.root; cd /floppy + &prompt.root; cd /mnt Сейчас вам нужно настроить дискету для загрузки в последовательную консоль. Нужно создать файл boot.config, содержащий /boot/loader -h. Это нужно для того, чтобы передать загрузчику флаг загрузки с последовательной консоли. &prompt.root; echo "/boot/loader -h" > boot.config Теперь, когда ваша дискета правильно настроена, размонтируйте ее с помощью команды &man.umount.8;: &prompt.root; cd / &prompt.root; umount /mnt Теперь удалите дискету из дисковода. Подсоединение нуль-модемного кабеля нуль-модемный кабель Теперь нужно соединить два компьютера нуль-модемным кабелем. Просто подсоедините этот кабель к последовательным портам двух компьютеров. Обычный последовательный кабель не будет работать, вам потребуется нуль-модемный кабель, поскольку в нем некоторые соединения перевернуты. Загрузка для установки Настало время начать установку. Вставьте диск kern.flp в дисковод компьютера, на который вы будете производить установку без монитора и включите его. Подключение к компьютеру без монитора cu Теперь вы можете подключиться к этому компьютеру с помощью &man.cu.1;: &prompt.root; cu -l /dev/cuaa0 Это все! Теперь вы можете управлять компьютером без монитора через сессию cu. Будет запрошен диск mfsroot.flp, затем появится выбор типа терминала. Выберите цветную консоль FreeBSD и проводите установку! Подготовка собственного источника установки Чтобы не повторяться, диск FreeBSD в данном случае означает FreeBSD CDROM или DVD который вы купили или подготовили самостоятельно. Может быть несколько ситуаций, в которых вам потребуется подготовить собственный диск и/или источник для установки FreeBSD. Это может быть физический носитель, такой как лента, или источник, с которого sysinstall сможет взять файлы, такой как локальный сервер FTP, или раздел &ms-dos;. Например: У вас есть много компьютеров, подсоединенных к локальной сети, и один диск с FreeBSD. Вы хотите создать локальный сервер FTP, используя содержимое диска FreeBSD, а затем использовать с ваших компьютеров этот локальный сервер FTP вместо подсоединения к интернет. У вас есть диск с FreeBSD, и FreeBSD не распознает ваш CD/DVD привод, а &ms-dos;/&windows; распознает. Вы хотите скопировать файлы установки FreeBSD на раздел DOS этого же компьютера и установить FreeBSD используя эти файлы. На компьютере, на который вы хотите провести установку, нет ни привода CD/DVD ни сетевой карты, но вы можете подсоединиться в Laplink-стиле последовательным или параллельным кабелем к другому компьютеру, на котором они есть. Вы хотите создать ленту, которую можно использовать для установки FreeBSD. Создание установочного CDROM В составе каждого релиза проект FreeBSD предоставляет доступ к двум образам CDROM (ISO images). Эти образы могут быть записаны (прожжены) на CD если у вас есть CD-рекордер, а затем использованы для установки FreeBSD. Если у вас есть CD-рекордер и дешевый канал интернет, это простейший путь установить FreeBSD. Скачайте соответствующие ISO образы ISO образы для каждого релиза могут быть загружены с ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-архитектура/версия или с ближайшего зеркала. Замените архитектура и версия в соответствии архитектурой (Alpha или &i386;) и номером релиза соответственно. Этот каталог обычно содержит следующие образы: Названия FreeBSD ISO образов и их значения Имя файла Содержимое версия-mini.iso Все что вам нужно для установки FreeBSD. версия-disc1.iso Все что вам нужно для установки FreeBSD, и столько дополнительных пакетов сторонних производителей, сколько уместилось на диске. версия-disc2.iso live filesystem, используемая в сочетании со средством Repair программы sysinstall. Копия дерева CVS FreeBSD. Столько дополнительных пакетов сторонних производителей, сколько уместилось на диске.
Вам необходимо загрузить или образ mini ISO, или образ первого диска. Не загружайте их оба, так как образ первого диска содержит все, что есть на образе mini ISO. Используйте mini ISO если доступ в интернет затруднен. Он позволит вам установить FreeBSD, и вы сможете установить в последствии программы сторонних производителей используя систему портов/пакетов (смотрите ) если необходимо. Используйте образ первого диска, если хотите выбрать программы сторонних производителей с этого диска. Дополнительные образы дисков полезны, но не необходимы, особенно если у вас есть высокоскоростной доступ к интернет. Запись CD Затем вам нужно записать образы CD на диски. Если вы делаете это из другой системы FreeBSD, обратитесь к за более подробной информацией (в частности, и ). Если вы делаете это в другой системе, потребуется использовать те утилиты для управления CD-рекордером, которые есть в этой системе. Образы дисков предоставляются в стандартном формате ISO, который поддерживается многими программами. Создание локального сервера FTP с FreeBSD установка сеть FTP Диск FreeBSD сформирован так же, как и сервер FTP. Это сильно упрощает создание локального сервера FTP, который может быть использован другими компьютерами вашей сети для установки FreeBSD. Убедитесь, что на компьютере FreeBSD, на котором будет установлен сервер FTP, CDROM находится в приводе и смонтируйте /cdrom. &prompt.root; mount /cdrom Создайте учетную запись для anonymous FTP в /etc/passwd. Сделайте это, отредактировав /etc/passwd с помощью &man.vipw.8; и добавив эту строку: ftp:*:99:99::0:0:FTP:/cdrom:/nonexistent Убедитесь что сервис FTP включен в /etc/inetd.conf. Всякий, кто может подсоединиться по сети к вашему компьютеру, может выбрать тип носителя FTP и набрать ftp://ваш компьютер после выбора Other в меню серверов FTP во время установки. Этот подход хорош для компьютера в вашей локальной сети, защищенного с помощью файрволла. Предоставление сервиса FTP другим компьютерам через интернет (а не через локальную сеть) привлекает к вашему компьютеру внимание кракеров и других лиц, чье внимание нежелательно. Мы настоятельно рекомендуем придерживаться правильной политики безопасности, если вы делаете это. Создание дискет для установки установка дискеты Если вам требуется выполнить установку с дискет (чего мы не рекомендуем делать) или по причине не поддерживаемого оборудования, или просто потому, что вы не любите простых путей, потребуется сначала подготовить несколько дискет для установки. Как минимум, вам потребуется столько 1.44 MB или 1.2 MB дискет, сколько нужно, чтобы вместить все файлы из каталога bin (binary distribution). Если вы подготавливаете эти дискеты из DOS, они ДОЛЖНЫ быть отформатированы с помощью команды &ms-dos; FORMAT. Если вы используете &windows;, используйте Explorer для форматирования дисков (кликните правой кнопкой мыши на диске A: и выберите Format. Не доверяйте заводскому форматированию дискет. Отформатируйте их еще раз самостоятельно, просто для уверенности. Множество проблем, о которых сообщали наши пользователи, были результатом использования неправильно отформатированных дисков, поэтому мы сейчас обращаем на это внимание. Если вы создаете образы на другом компьютере FreeBSD, форматирование все еще не лишне, хотя вам не потребуется создавать файловую систему DOS на каждой дискете. Вы можете использовать disklabel и newfs для создания на них файловых систем UFS, в следующей последовательности (для 3.5" 1.44 MB дискет): &prompt.root; fdformat -f 1440 fd0.1440 &prompt.root; disklabel -w -r fd0.1440 floppy3 &prompt.root; newfs -t 2 -u 18 -l 1 -i 65536 /dev/fd0 Используйте fd0.1200 и floppy5 для 5.25" 1.2 MB дискет. Затем вы можете смонтировать их и писать на них как на любую другую файловую систему. После форматирования дискет вам потребуется скопировать на них файлы. Файлы дистрибутива разделены на части, размер которых позволяет легко разместить пять частей на обычной 1.44 MB дискете. Заполните все дискеты файлами, помещая столько файлов на одну дискету, сколько уместится, пока у вас не будет всех необходимых компонент дистрибутива. Каждый компонент должен располагаться в подкаталоге на дискете, например a:\bin\bin.aa, a:\bin\bin.ab, и так далее. Как только в процессе установки появится экран Media, выберите Floppy и установка продолжится. Установка с раздела &ms-dos; установка с MS-DOS Чтобы подготовиться к установке с раздела &ms-dos;, скопируйте файлы с дистрибутива в каталог freebsd корневого каталога раздела. Например, c:\freebsd. Структура каталога CDROM или сервера FTP должна быть в точности воспроизведена в этом каталоге, мы предлагаем использовать команду DOS xcopy если вы копируете дистрибутив с CD. Например, чтобы подготовить минимальную установку FreeBSD: C:\> md c:\freebsd C:\> xcopy e:\bin c:\freebsd\bin\ /s C:\> xcopy e:\manpages c:\freebsd\manpages\ /s Предполагается, что на C: есть свободное место, а на E: смонтирован CDROM. Если у вас нет CDROM, можно загрузить дистрибутив с ftp.FreeBSD.org. Каждый компонент находится в своем собственном каталоге, например компонент base можно найти в каталоге &rel.current;/base/. В 4.X и более поздних релизах &os; компонент base называется bin. Поправьте команды и ссылки соответственно, если вы используете эти версии. Все компоненты, которые вы будете устанавливать с раздела &ms-dos; (и для которых у вас есть место), нужно расположить в c:\freebsd — для минимальной установки нужна только компонента BIN. Создание ленты для установки установка с ленты QIC/SCSI Установка с ленты это возможно самый простой метод, уступающий только установке с FTP или CDROM. Программа установки может найти на ленте файлы, которые записаны на нее с помощью tar. После получения всех файлов дистрибутива, которые вам нужны, запишите их на ленту с помощью tar: &prompt.root; cd /freebsd/distdir &prompt.root; tar cvf /dev/rwt0 dist1 ... dist2 Когда вы приступите к установке, нужно убедиться в наличии достаточного места во временном каталоге (который будет предложено выбрать), чтобы поместилось все содержимое записанной ленты. Поскольку лента — устройство не-произвольного доступа, этот метод установки требует некоторого места во временном хранилище. При начале установки лента должна быть в приводе до загрузки с дискеты. В ином случае она может быть не найдена при тестировании устройств. Перед установкой по сети установка сеть последовательная (SLIP или PPP) установка сеть параллельная (PLIP) установка сеть Ethernet Есть три возможных типа установки по сети. Через последовательный порт (SLIP или PPP), параллельный порт (PLIP (laplink кабель)), или Ethernet (стандартный Ethernet контроллер (включая некоторые PCMCIA)). Поддержка SLIP немного примитивна, и ограничена в основном постоянными соединениями, такими как последовательный кабель между ноутбуком и другим компьютером. Соединение должно быть постоянным, так как устанавливаемый SLIP в настоящее время не имеет возможности дозвона; эта возможность предоставляется программой PPP, которая должна быть использована вместо SLIP когда это возможно. Если вы используете модем, PPP это конечно почти единственный выбор. Убедитесь что у вас есть информация о провайдере, так как она понадобится на довольно ранней стадии процесса установки. Если вы используете PAP или CHAP для соединения с провайдером (другими словами, вы можете соединяться с провайдером из &windows; без использования скрипта), все что вам понадобится это ввести dial в приглашении ppp. Иначе вам нужно знать, как дозвониться до провайдера с помощью AT команд, специфичных для вашего модема, так как программа дозвона PPP предоставляет только очень простой эмулятор терминала. Обратитесь к руководству user-ppp и FAQ для получения более подробных сведений. Если у вас проблемы, логи могут быть выведены на экран с помощью команды set log local .... Если доступно постоянное соединение с другой машиной FreeBSD (2.0-R или выше), вы можете также подумать об установке через параллельный порт laplink кабелем. Скорость соединения через параллельный порт значительно выше, чем обычно возможно через последовательную линию (до 50 кбайт/с), это приведет к ускорению установки. Наконец, для самой быстрой установки по сети хорошим выбором будет Ethernet адаптер! FreeBSD поддерживает большинство PC Ethernet карт; список поддерживаемых карт (и требуемых для них установок) предоставляется в информации об оборудовании для каждого релиза FreeBSD. Если вы используете одну из поддерживаемых PCMCIA Ethernet карт, убедитесь также что она подключена перед тем, как ноутбук будет включен! К сожалению, FreeBSD в настоящее время не поддерживает горячее подключение PCMCIA карт во время установки. Вам также потребуется знать IP адрес в сети, сетевую маску для класса подсети, и имя компьютера. Если вы делаете установку через соединение PPP и у вас нет статического IP, не бойтесь, IP адрес будет динамически выделен вам провайдером. Системный администратор может подсказать вам какие значения использовать для данной установки по сети. Если вы будете обращаться к другим хостам по имени, а не по IP адресу, понадобится также ДНС сервер и, возможно, адрес шлюза (если вы используете PPP, это IP адрес вашего провайдера), чтобы связаться с ним. Если вы хотите производить установку с FTP через HTTP прокси, потребуется также адрес прокси. Если вы не знаете ответов на все или большинство этих вопросов, свяжитесь с системным администратором или ISP перед тем, как начать этот тип установки. Перед установкой через NFS установка сеть NFS Установка через NFS очень проста. Просто скопируйте компоненты FreeBSD, которые вам нужны на NFS сервер, а затем укажите на него при выборе источника установки NFS. Если этот сервер поддерживает только привилегированные порты (это как правило так для рабочих станций Sun), потребуется установить этот параметр в меню Options перед тем, как начать установку. Если у вас Ethernet карта плохого качества с низкой скоростью передачи данных, вы возможно захотите переключить соответствующий флаг в Options. Чтобы установка по NFS работала, сервер должен поддерживать монтирование подкаталогов, например, если установочный каталог дистрибутива FreeBSD &rel.current; находится на: ziggy:/usr/archive/stuff/FreeBSD, ziggy должен позволять непосредственное монтирование /usr/archive/stuff/FreeBSD, а не только /usr или /usr/archive/stuff. В файле FreeBSD /etc/exports, это управляется параметром . Другие NFS сервера могут иметь другие соглашения. Если вы получаете сообщения сервера permission denied, это может означать, что соответствующая опция не включена. diff --git a/ru_RU.KOI8-R/books/handbook/mail/chapter.sgml b/ru_RU.KOI8-R/books/handbook/mail/chapter.sgml index 4fdd65177f..ec1c6c0a1e 100644 --- a/ru_RU.KOI8-R/books/handbook/mail/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/mail/chapter.sgml @@ -1,2329 +1,2330 @@ Bill Lloyd Оригинальную версию предоставил Jim Mock Переписал Электронная почта Краткий обзор email электронная почта Электронная почта называемая также email, является на сегодняшний день одним из самых популярных средств связи. Эта глава описывает основы работы с почтовым сервером в &os;, а также введение в процесс отправки и получения почты в &os;; однако, это не полноценный справочник и фактически в главу не вошло много важной информации. Более подробно эта тема рассмотрена во множестве прекрасных книг, список которых приведен в . После прочтения этой главы вы узнаете: Какие программные компоненты задействованы в отправке и получении электронной почты. Какие основные файлы настройки sendmail имеются в FreeBSD. Разницу между удаленными и локальными почтовыми ящиками. Как запретить спамерам использовать ваш почтовый сервер для пересылки почты. Как установить и настроить альтернативный агент передачи почты - (mail transfer agent, MTA), заменив им + (Mail Transfer Agent, MTA), заменив им sendmail. Как разрешить наиболее часто встречающиеся проблемы с почтовым сервером. Как использовать SMTP с UUCP. Как настроить систему только для отправки почты. Как использовать почту с коммутируемым подключением к сети. Как настроить SMTP аутентификацию для дополнительной защиты. Как установить и настроить почтовый агент пользователя (Mail User Agent, MUA), например mutt, для отправки и получения почты. Как загрузить почту с удаленного POP или IMAP сервера. Как автоматически применять фильтры и правила к входящей почте. Перед прочтением этой главы вам потребуется: Правильно настроить сетевое подключение (). Правильно настроить DNS для почтового сервера (). Знать как устанавливать дополнительное программное обеспечение сторонних разработчиков (). Использование электронной почты POP IMAP DNS В работе почтовой системы задействованы пять основных частей: пользовательский почтовый клиент (Mail User Agent, MUA), почтовый сервис (даемон) (Mail Transfer Agent, MTA), сервер DNS, удаленный или локальный почтовый ящик, и конечно сам почтовый сервер. Пользовательский почтовый клиент Обычно, это программа типа mutt, pine, elm, mail, а также программы с графическим интерфейсом, такие, как balsa или xfmail, или интегрированные приложения (например, какой-либо WWW браузер типа Netscape). Все эти программы общаются с локальным почтовым сервером, вызывая какой-либо даемон, или напрямую по протоколу TCP. Почтовый даемон почтовые даемоны sendmail почтовые даемоны postfix почтовые даемоны qmail почтовые даемоны exim &os; по умолчанию поставляется с sendmail, но помимо того поддерживает множество других даемонов почтового сервера, вот лишь некоторые из них: exim; postfix; qmail. Почтовый даемон выполняет только две функции: он отвечает за прием входящей почты и отправку исходящей. Он не отвечает за выдачу почты по протоколам POP или IMAP, и не обеспечивает подключения к локальным почтовым ящикам mbox или Maildir. Для этих целей вам может потребоваться дополнительный даемон. Старые версии sendmail содержат некоторые серьезные ошибки безопасности, которые могут привести к получению атакующим локального и/или удаленного доступа к вашему компьютеру. Убедитесь, что вы работаете с современной версией, свободной от таких ошибок. Или установите альтернативный MTA из коллекции портов &os;. Email и DNS Служба имен доменов (Domain Name System, DNS) и соответствующий ей даемон named играют важную роль в доставке почты. Для доставки почты с вашего сайта другому, даемон почтового сервера обратится к DNS для определения удаленного хоста, отвечающего за доставку почты по назначению. Тот же процесс происходит при доставке почты с удаленного хоста на ваш почтовый сервер. MX record DNS отвечает за сопоставления имен хостов IP адресам, как и за хранение информации, предназначенной для доставки почты, известной как MX записи. Запись MX (Mail eXchanger) определяет хост или хосты, которые будут получать почту для определенного домена. Если для вашего имени хоста или домена нет записи MX, почта будет доставлена непосредственно на ваш хост, IP адрес которого определен в записи A. Вы можете просмотреть MX записи для любого домена с помощью команды &man.host.1;, как показано в примере ниже: &prompt.user; host -t mx FreeBSD.org FreeBSD.org mail is handled (pri=10) by mx1.FreeBSD.org Получение почты email получение Получение почты для вашего домена выполняет почтовый сервер. Он сохраняет отправленную в ваш домен почту в формате либо mbox (это метод по умолчанию), либо Maildir, в зависимости от настроек. После сохранения почты ее можно либо прочитать локально, используя такие приложения как &man.mail.1;, mutt, или удаленно, по таким протоколам как POP или IMAP. Это означает, что для локального чтения почты вам не потребуется устанавливать сервер POP или IMAP. Доступ к удаленным почтовым ящикам по протоколам <acronym>POP</acronym> и <acronym>IMAP</acronym> POP IMAP Для удаленного доступа к почтовым ящикам вам потребуется доступ к POP или IMAP серверу. Хотя удаленный доступ обеспечивают оба протокола POP и IMAP, последний предоставляет множество дополнительных возможностей, вот некоторые из них: IMAP может как хранить сообщения на удаленном сервере, так и забирать их. IMAP поддерживает одновременные обновления. IMAP может быть очень полезен для низкоскоростных соединений, поскольку позволяет пользователям получить структуру сообщений без их загрузки; он также может использоваться для выполнения таких задач как поиск на сервере, для минимизации объема передаваемых между клиентом и сервером данных. Для установки POP или IMAP сервера необходимо выполнить следующие действия: Выберите IMAP или POP сервер, который подходит вам наилучшим образом. Следующие POP и IMAP серверы хорошо известны и могут быть приведены в качестве примера: qpopper; teapop; imap-uw; courier-imap; Установите POP или IMAP даемон, выбранный из коллекции портов. Если потребуется, настройте /etc/inetd.conf для запуска POP или IMAP сервера. Необходимо отметить, что и POP и IMAP серверы передают информацию, включая имя пользователя и пароль, в незашифрованном виде. Это означает, что если вы хотите защитить передачу информации по этим протоколам, потребуется использовать тунеллирование сессий через &man.ssh.1;. Тунеллирование соединений описано в . Доступ к локальным почтовым ящикам Доступ к почтовым ящикам может быть осуществлен непосредственно путем использования MUA на сервере, где эти ящики расположены. Это можно сделать используя приложения вроде mutt или &man.mail.1;. Почтовый хост почтовый хост Почтовый хост это сервер, который отвечает за отправку и получение почты для вашего компьютера, и возможно, для всей вашей сети. Christopher Shumway Предоставил Настройка <application>sendmail</application> sendmail В FreeBSD по умолчанию программой передачи почты (Mail Transfer Agent, MTA) является &man.sendmail.8;. Работа sendmail заключается в приеме почты от почтовых программ пользователей (Mail User Agents, MUA) и отправке ее на соответствующий адрес, в соответствии с имеющимися настройками. sendmail может также принимать входящие соединения по сети и доставлять почту в локальные почтовые ящики или перенаправлять их другой программе. sendmail использует следующие файлы настройки: /etc/mail/access /etc/mail/aliases /etc/mail/local-host-names /etc/mail/mailer.conf /etc/mail/mailertable /etc/mail/sendmail.cf /etc/mail/virtusertable Имя файла Назначение /etc/mail/access Файл базы данных доступа sendmail /etc/mail/aliases Синонимы почтовых ящиков /etc/mail/local-host-names Список хостов, для которых sendmail принимает почту /etc/mail/mailer.conf Настройки почтовой программы /etc/mail/mailertable Таблица доставки почтовой программы /etc/mail/sendmail.cf Основной файл настройки sendmail /etc/mail/virtusertable Таблицы виртуальных пользователей и доменов <filename>/etc/mail/access</filename> База данных доступа определяет список хостов или IP адресов, имеющих доступ к локальному почтовому серверу, а также тип предоставляемого доступа. Хосты могут быть перечислены как , , или просто переданы процедуре обработки ошибок sendmail с заданным сообщением об ошибке. Хостам, перечисленным с параметром по умолчанию , разрешено отправлять почты на этот хост, если адрес назначения почты принадлежит локальной машине. Все почтовые соединения от хостов, перечисленных с параметром , отбрасываются. Для хостов, перечисленных с параметром , разрешена передача через этот сервер почты с любым адресом назначения. Настройка базы данных доступа <application>sendmail</application> cyberspammer.com 550 We don't accept mail from spammers FREE.STEALTH.MAILER@ 550 We don't accept mail from spammers another.source.of.spam REJECT okay.cyberspammer.com OK 128.32 RELAY В этом примере приведены пять записей. К отправителям, чей адрес соответствует записи в левой части таблицы, применяется правило записанное в правой части таблицы. В первых двух примерах код ошибки будет передан процедуре обработке ошибок sendmail. В этом случае на удаленном хосте будет получено соответствующее сообщение. В следующем примере почта отбрасывается почта от определенного хоста, another.source.of.spam. В четвертом примере разрешается прием почты от хоста okay.cyberspammer.com, имя которого более точно совпадает с этой записью, чем с cyberspammer.com в примере выше. При более точном совпадении правила перезаписываются. В последнем примере разрешается пересылка почты от хостов с IP адресами, начинающимися с 128.32. Эти хосты смогут отправлять почту через этот почтовый сервер для других почтовых серверов. После изменения этого файла для обновления базы данных вам потребуется запустить make в каталоге /etc/mail/. <filename>/etc/mail/aliases</filename> База данных синонимов содержит список виртуальных почтовых ящиков, принадлежащих другим пользователям, файлам, программам, или другим синонимам. Вот несколько примеров, которые могут быть использованы для /etc/mail/aliases: Mail Aliases root: localuser ftp-bugs: joe,eric,paul bit.bucket: /dev/null procmail: "|/usr/local/bin/procmail" Формат файла прост; имя почтового ящика слева от двоеточия сопоставляется назначению(ям) справа. В первом примере производится простое сопоставление почтового ящика root почтовому ящику localuser, для которого затем опять будет произведен поиск в базе данных синонимов. Если совпадений не обнаружится, сообщение будет доставлено локальному пользователю localuser. В следующем примере приведен список рассылки. Почта на адрес ftp-bugs рассылается на три локальных почтовых ящика: joe, eric и paul. Обратите внимание, что удаленный почтовый ящик может быть задан в виде user@example.com. В следующем примере показана запись почты в файл, в данном случае /dev/null. И в последнем примере показано отправление почты программе, в данном случае почтовое сообщение переправляется через канал &unix; на стандартный вход /usr/local/bin/procmail. После обновления этого файла вам потребуется запустить make в каталоге /etc/mail/ для обновления базы данных. <filename>/etc/mail/local-host-names</filename> В этом файле находится список имен хостов, принимаемых программой &man.sendmail.8; в качестве локальных. Поместите в этот файл любые домены или хосты, для которых sendmail должен принимать почту. Например, если этот почтовый сервер должен принимать почту для домена example.com и хоста mail.example.com, его файл local-host-names может выглядеть примерно так: example.com mail.example.com После обновления этого файла необходимо перезапустить &man.sendmail.8;, чтобы он смог перечитать изменения. <filename>/etc/mail/sendmail.cf</filename> Основной файл настройки sendmail, sendmail.cf управляет общим поведением sendmail, включая все, от перезаписи почтовых адресов до отправки удаленным серверам сообщений об отказе от пересылки почты. Конечно, файл настройки с таким многообразием возможностей очень сложен и подробное его описание выходит за рамки данного раздела. К счастью, для стандартных почтовых серверов изменять этот файл придется не часто. Основной файл настройки sendmail может быть собран из макроса &man.m4.1;, определяющего возможности и поведение sendmail. Подробнее этот процесс описан в файле /usr/src/contrib/sendmail/cf/README. Для применения изменений после правки файла необходимо перезапустить sendmail. <filename>/etc/mail/virtusertable</filename> Файл virtusertable сопоставляет виртуальные почтовые домены и почтовые ящики реальным почтовым ящикам. Эти почтовые ящики могут быть локальными, удаленными, синонимами, определенными в /etc/mail/aliases, или файлами. Пример таблицы виртуального домена root@example.com root postmaster@example.com postmaster@noc.example.net @example.com joe В примере выше мы видим сопоставление адресов для домена example.com. Почта обрабатывается по первому совпадению с записью в этом файле. Первая запись сопоставляет адрес root@example.com локальному почтовому ящику root. Вторая запись сопоставляет postmaster@example.com локальному почтовому ящику postmaster на хосте noc.example.net. Наконец, до этого момента адрес в домене example.com не совпал ни с одним из предыдущих, будет применено последнее сопоставление, в которому соответствует всякое другое почтовое сообщение, отправленное на любой адрес в example.com. Это сообщение будет доставлено в локальный почтовый ящик joe. Andrew Boothman Написал Gregory Neil Shapiro Информация получена из писем, написанных Установка другой почтовой программы email замена mta Как уже упоминалось, FreeBSD поставляется с MTA (Mail Transfer Agent) sendmail. Следовательно, по умолчанию именно эта программа отвечает за вашу исходящую и входящую почту. Однако, по различным причинам некоторые системные администраторы заменяют системный MTA. Эти причины варьируются от простого желания попробовать другой MTA до потребности в определенных возможностях пакета, основанного на другой почтовой программе. К счастью, вне зависимости от причины, в FreeBSD такая замена выполняется просто. Установка нового MTA Вам предоставлен широкий выбор MTA. Начните с поиска в коллекции портов FreeBSD, где их немало. Конечно, вы можете использовать любой MTA по желанию, взятый откуда угодно, если только сможете запустить его под FreeBSD. Начните с установки нового MTA. После установки у вас будет возможность решить, действительно ли он подходит вашем нуждам, а также настроить новое программное обеспечение перед тем, как заменить им sendmail. При установке новой программы убедитесь, что она не пытается перезаписать системные файлы, такие как /usr/bin/sendmail. Иначе ваша новая почтовая программа фактически начнет работать до того, как вы ее настроите. Обратитесь к документации на выбранный MTA за информацией по его настройке. Отключение <application>sendmail</application> Процедура, используемая для запуска sendmail, значительно изменилась между релизами 4.5-RELEASE и 4.6-RELEASE. Поэтому процедура, используемая для его отключения, немного отличается. FreeBSD 4.5-STABLE до 2002/4/4 и раньше (включая 4.5-RELEASE и более ранние) Добавьте: sendmail_enable="NO" в /etc/rc.conf. Это отключит сервис входящей почты sendmail, но если /etc/mail/mailer.conf (см. ниже) не изменен, sendmail все еще будет использоваться для отправки почты. FreeBSD 4.5-STABLE после 2002/4/4 (включая 4.6-RELEASE и более поздние) Для полного отключения sendmail используйте sendmail_enable="NONE" в /etc/rc.conf. Если вы отключите сервис исходящей почты sendmail таким способом, необходимо заменить его полностью работоспособной альтернативной системой доставки почты. Если вы не сделаете этого, системные программы, такие как &man.periodic.8;, не смогут отправлять сообщения по электронной почте как обычно. Многие программы в вашей системе могут требовать наличия функционирующей sendmail-совместимой системы. Если приложения будут продолжать использовать программу sendmail, пытаясь отправить почту после отключения почтовой системы, почта может попасть в неактивную очередь sendmail и никогда не будет доставлена. Если вы хотите отключить только сервис входящей почты sendmail, установите sendmail_enable="NO" в /etc/rc.conf. Дополнительная информация о параметрах запуска sendmail доступна на странице справочника &man.rc.sendmail.8;. Запуск нового MTA при загрузке Вы можете выбрать один из двух методов для запуска нового MTA при загрузке, опять же в зависимости от используемой версии FreeBSD. FreeBSD 4.5-STABLE до 2002/4/11 (включая 4.5-RELEASE и более ранние) Добавьте в каталог /usr/local/etc/rc.d/, скрипт с расширением .sh и с правами выполнения пользователем root. Скрипт должен принимать параметры start и stop. Во время запуска системы он будет запущен командой /usr/local/etc/rc.d/supermailer.sh start которая также может использоваться для запуска сервера вручную Во время завершения работы системы, системные скрипты используют параметр stop, выполнив команду /usr/local/etc/rc.d/supermailer.sh stop которая также может использоваться для остановки почтового сервера при работающей системе. FreeBSD 4.5-STABLE после 2002/4/11 (включая 4.6-RELEASE и более поздние) С более поздними версиями FreeBSD, вы можете использовать метод, описанный выше, или добавить строку mta_start_script="filename" в /etc/rc.conf, где filename это имя скрипта, который вы хотите выполнить при загрузке для запуска MTA. Замещение <application>sendmail</application> как почтовой программы по умолчанию Программа sendmail настолько распространена в качестве стандартной программы для систем &unix;, что многие программы считают, что она уже установлена и настроена. По этой причине многие альтернативные MTA предоставляют собственные совместимые реализации интерфейса командной строки sendmail; это облегчает их использование в качестве прозрачной замены sendmail. Поэтому если вы используете альтернативную почтовую программу, потребуется убедиться, что когда программное обеспечение пытается выполнить стандартные исполняемые файлы sendmail, такие как /usr/bin/sendmail, на самом деле выполняются программы вновь установленной почтовой системы. К счастью, FreeBSD предоставляет систему, называемую &man.mailwrapper.8;, которая выполняет эту работу за вас. Когда установлен sendmail, файл /etc/mail/mailer.conf выглядит примерно так: sendmail /usr/libexec/sendmail/sendmail send-mail /usr/libexec/sendmail/sendmail mailq /usr/libexec/sendmail/sendmail newaliases /usr/libexec/sendmail/sendmail hoststat /usr/libexec/sendmail/sendmail purgestat /usr/libexec/sendmail/sendmail Это означает, что когда выполняется какая-то из этих стандартных программ (например сам sendmail), система на самом деле вызывает копию mailwrapper, называемую sendmail, которая обращается к mailer.conf и выполняет вместо этого /usr/libexec/sendmail/sendmail. Такая схема делает простой замену программ, которые на самом деле выполняются, когда вызываются стандартные функции sendmail. Поэтому если вы хотите выполнять /usr/local/supermailer/bin/sendmail-compat вместо sendmail, отредактируйте /etc/mail/mailer.conf так: sendmail /usr/local/supermailer/bin/sendmail-compat send-mail /usr/local/supermailer/bin/sendmail-compat mailq /usr/local/supermailer/bin/mailq-compat newaliases /usr/local/supermailer/bin/newaliases-compat hoststat /usr/local/supermailer/bin/hoststat-compat purgestat /usr/local/supermailer/bin/purgestat-compat Запуск новой почтовой программы Как только вы все настроили, потребуется или уничтожить процесс sendmail, который уже не нужен и запустить новую почтовую программу, или просто перегрузить систему. Перезагрузка также даст вам возможность проверить, правильно ли настроена система для автоматического запуска MTA при загрузке. Поиск и устранение неисправностей email устранение неисправностей Почему я должен использовать FQDN для хостов вне моей подсети? Вы, видимо, обнаружили, что хост, к которому вы обратились, оказался на самом деле в другом домене; например, если вы находитесь в домене foo.bar.edu и хотите обратиться к хосту mumble в домене bar.edu, то должны указать его полное доменное имя, mumble.bar.edu, а не просто mumble. BIND Традиционно, программа разрешения имен BSD BIND позволяла это делать. Однако, текущая версия BIND, поставляемая с FreeBSD, больше не добавляет имена доменов, отличающихся от того, в котором вы находитесь, для не полностью указанных имен хостов. То есть, имя mumble будет опознан как mumble.foo.bar.edu или будет искаться в корневом домене. Это отличается от предыдущего поведения, при котором поиск продолжался в доменах mumble.bar.edu и mumble.edu. Если вам интересны причины объявления такого поведения плохой практикой и даже ошибкой в безопасности, обратитесь к RFC 1535. Хорошим решением будет поместить строку search foo.bar.edu bar.edu вместо ранее используемой: domain foo.bar.edu в файл /etc/resolv.conf. Однако удостоверьтесь, что порядок поиска не нарушает границ полномочий между локальным и внешним администрированием, в терминологии RFC 1535. MX record sendmail выдает ошибку mail loops back to myself В FAQ по sendmail дан следующий ответ: Я получаю такие сообщения об ошибке: 553 MX list for domain.net points back to relay.domain.net 554 <user@domain.net>... Local configuration error Как можно решить эту проблему? Согласно записям MX, почта для домена domain.net перенаправляется на хост relay.domain.net, однако последний не распознается как domain.net. Добавьте domain.net в файл /etc/mail/local-host-names [известный как /etc/sendmail.cw до версии 8.10] (если вы используете FETURE(use_cw_file)) или добавьте Cw domain.net в файл /etc/mail/sendmail.cf. FAQ по sendmail можно найти на и рекомендуется прочесть его при желании произвести некоторые усовершенствования настроек почтовой системы. PPP Как организовать работу почтового сервера при коммутируемом соединении с Интернет? Вы хотите подключить к интернет компьютер с FreeBSD, работающий в локальной сети. Компьютер с FreeBSD будет почтовым шлюзом для локальной сети. PPP соединение не выделенное. UUCP MX record Существует как минимум два пути, чтобы сделать это. Один способ это использование UUCP. Другой способ это использование постоянно работающего интернет сервера для обеспечения вторичного MX сервиса вашего домена. Например, домен вашей компании example.com, и провайдер интернет настроил example.net для обеспечения вторичного MX сервиса: example.com. MX 10 example.com. MX 20 example.net. Только один хост должен быть указан в качестве последнего получателя (добавьте запись Cw example.com в файл /etc/mail/sendmail.cf на машине example.com). Когда программа sendmail (со стороны отправителя) захочет доставить почту, она попытается соединиться с вашим хостом (example.com) через модемное подключение. Скорее всего, ей это не удастся (вы, вероятнее всего, не будете подключены к интернет). Программа sendmail автоматически перейдет ко вторичному MX серверу, т.е. вашему провайдеру (example.net). Вторичный MX сервер будет периодически пытаться соединиться с вашим хостом и доставить почту на основной сервер MX (example.com). Вы можете воспользоваться следующим сценарием, чтобы забирать почту каждый раз, когда вы входите в систему: #!/bin/sh # Put me in /usr/local/bin/pppmyisp ( sleep 60 ; /usr/sbin/sendmail -q ) & /usr/sbin/ppp -direct pppmyisp Если же вы хотите написать отдельный пользовательский скрипт, лучше воспользоваться командой sendmail -qRexample.com вместо вышеприведенного сценария, так как в этом случае вся почта в очереди для хоста example.com будет обработана немедленно. Рассмотрим эту ситуацию подробнее: Вот пример сообщения из &a.isp.name;. > Мы предоставляем вторичный MX для наших клиентов. Вы соединяетесь > с нашим сервером несколько раз в день, чтобы забрать почту для вашего > первичного (главного) MX (мы не соединяемся с ним каждый раз, когда > приходит новая почта для его доменов). Далее, sendmail отправляет > почту, находящуюся в очереди каждые 30 минут, и клиент должен быть > подключен к Интернет в течении 30 минут, чтобы удостовериться, что > вся почта ушла на основной MX-сервер. > > Может быть, есть какая-либо команда, которая заставит sendmail > немедленно отправить все почту, находящуюся в очереди? Естественно, > пользователи не обладают какими-либо повышенными привилегиями на > нашем сервере. В секции privacy flags файла sendmail.cf, определяется опция Уберите restrictqrun, чтобы разрешить рядовым пользователям инициировать работу с очередью. Вам также может понадобиться изменить порядок MX-серверов. Так, если вы предоставляете первый (основной) MX-сервер для ваши пользователей, мы указываем: # If we are the best MX for a host, try directly instead of generating # local config error. OwTrue Таким образом, удаленный хост будет доставлять почту непосредственно к вам, не пытаясь установить соединение с клиентом. Затем уже вы, в свою очередь, отсылаете ее клиенту. Удостоверьтесь, что в DNS есть записи про customer.com и hostname.customer.com. Просто добавьте запись A в DNS для customer.com. Почему я продолжаю получать ошибки Relaying Denied при отправки почты через другие хосты? В установке FreeBSD по умолчанию, sendmail настроен для отправки почты только от хоста, на котором он работает. Например, если доступен POP сервер, пользователи смогут проверять почту из школы, с работы или других удаленных точек, но не смогут отправлять письма. Обычно, через некоторое время после попытки будет отправлено письмо от MAILER-DAEMON с сообщением об ошибке 5.7 Relaying Denied. Есть несколько путей разрешения этой ситуации. Самый прямой путь это использование адреса вашего провайдера в файле relay-domains, расположенном в /etc/mail/relay-domains. Быстрый способ сделать это: &prompt.root; echo "your.isp.example.com" > /etc/mail/relay-domains После создания или редактирования этого файла вы должны перезапустить sendmail. Это отлично работает, если вы администратор сервера и не хотите отправлять почту локально, или хотите воспользоваться почтовым клиентом/системой на другом компьютере или даже через другого провайдера. Это также очень полезно, если у вас настроены одна или две почтовые записи. Если необходимо добавить несколько адресов, вы можете просто открыть этот файл в текстовом редакторе и добавить домены, по одному на строку: your.isp.example.com other.isp.example.net users-isp.example.org www.example.org Теперь будет отправляться любая почта, посылаемая через вашу систему любым хостом из этого списка (предоставляемого пользователем, имеющим учетную запись в вашей системе). Это отличный способ разрешить пользователям отправлять почту через вашу систему удаленно, одновременно он блокирует отправку спама. Расширенное руководство В следующем разделе рассматриваются более сложные темы, такие как настройка почты и включение почтовой системы для всего домена. Базовая конфигурация email настройка Изначально, вы можете отправлять почту во внешний мир если правильно составлен файл /etc/resolv.conf или запущен свой сервер имен. Если вы хотите, чтобы почта, предназначенная для хоста в вашем домене, доставлялась MTA (например, sendmail) на вашем хосте FreeBSD, есть два пути: Запустите свой собственный сервер DNS, тем самым организовав собственный домен, например, FreeBSD.org Получайте почту для вашего хоста непосредственно. Это работает при доставке почты непосредственно на DNS имя вашей машины. Например, example.FreeBSD.org. SMTP Независимо от выбранного из предложенных выше вариантов, для доставки почты непосредственно на ваш хост у него должен быть постоянный IP адрес (а не динамический, как у большинства PPP соединений). Если вы находитесь за брандмауэром, то последний должен пропускать SMTP-пакеты. Если вы хотите, чтобы почта приходила непосредственно на ваш хост, необходимо убедиться в одном из двух: MX record Убедитесь, что запись (с наименьшим номером) MX в DNS соответствует IP адресу вашего хоста. Убедитесь, что в DNS для вашего хоста вообще отсутствует MX-запись. Выполнение любого из перечисленных условий обеспечит доставку почты для вашего хоста. Попробуйте это: &prompt.root; hostname example.FreeBSD.org &prompt.root; host example.FreeBSD.org example.FreeBSD.org has address 204.216.27.XX Если вы это видите, то можно без проблем посылать почту на yourlogin@example.FreeBSD.org (предполагается, что sendmail на example.FreeBSD.org работает правильно). Однако, если вы видите это: &prompt.root; host example.FreeBSD.org example.FreeBSD.org has address 204.216.27.XX example.FreeBSD.org mail is handled (pri=10) by hub.FreeBSD.org то вся почта, посланная на example.FreeBSD.org будет собираться на hub (для того же пользователя), вместо того, чтобы быть отосланной непосредственно на ваш хост. Эта информация обрабатывается вашим DNS сервером. Соответствующая запись DNS, указывающая, через какой хост будет проходить ваша почта, называется MX (Mail eXchanger). Если для хоста отсутствует такая запись, почта будет приходить прямо на этот хост. Допустим, что запись MX для хоста freefall.FreeBSD.org в какой-то момент выглядела так: freefall MX 30 mail.crl.net freefall MX 40 agora.rdrop.com freefall MX 10 freefall.FreeBSD.org freefall MX 20 who.cdrom.com Вы видите, что для хоста freefall существуют несколько MX-записей. Запись с наименьшим номером соответствует хосту, получающему почту непосредственно, если он доступен; если он недоступен по каким-то причинам, другие сервера (иногда называемые (резервными MX) временно получают почту, и хранят ее пока не станут доступны хосты с меньшими номерами, в конечном итоге отправляя почту на эти хосты. Чтобы альтернативные MX-хосты использовались наиболее эффективно, они должны быть независимо подключены к Интернет. Ваш провайдер (или дружественный сайт) скорее всего без проблем сможет оказать подобные услуги. Почта для вашего домена Для настройки почтового хоста (почтовый сервер) вам потребуется, чтобы почта, направляемая различным рабочим станциям, пересылалась этому хосту. Обычно вам необходима доставка всей почты для любого хоста вашего домена (в данном случае *.FreeBSD.org) на почтовый сервер, чтобы пользователи могли получать свою почту на с этого сервера. DNS Чтобы облегчить себе (и другим) жизнь, создайте на обеих машинах учетные записи с одинаковыми именами пользователей, например, с помощью команды &man.adduser.8;. Сервер, который вы будете использовать в качестве почтового, должен быть объявлен таковым для каждой машины в домене. Вот фрагмент примерной конфигурации: example.FreeBSD.org A 204.216.27.XX ; Рабочая станция MX 10 hub.FreeBSD.org ; Почтовый шлюз Таким образом, вся корреспонденция, адресованная рабочей станции, будет обрабатываться вашим почтовым сервером, независимо от того, что указано в A-записи. Все это можно реализовать только в том случае, если вы используете сервер DNS. Если вы по каким-либо причинам не имеете возможности установить свой собственный сервер имен, необходимо договориться с провайдером или теми, кто поддерживает ваш DNS. Если вы хотите поддерживать несколько виртуальных почтовых серверов, может пригодиться следующая информация. Допустим, что ваш клиент зарезервировал домен, например, customer1.org, и вам требуется, чтобы почта, предназначенная для customer1.org приходила на ваш хост, например, mail.myhost.com. В таком случае, DNS должен выглядеть так: customer1.org MX 10 mail.myhost.com Заметьте, что если вам требуется только получать почту для домена, соответствующая A-запись не нужна. Помните, что если вы попытаетесь каким-либо образом обратиться к хосту customer1.org, у вас вряд ли что-либо получится, если нет A-записи для этого хоста. Последнее, что вы должны сделать – это сказать программе sendmail, для каких доменов и/или хостов она должна принимать почту. Это можно сделать несколькими способами: Добавьте названия этих хостов в файл /etc/mail/local-host-names, если вы используете FEATURE(use_cw_file). Если у вас sendmail версии ниже 8.10, необходимо отредактировать файл /etc/sendmail.cw. Добавьте строку Cwyour.host.com в файл /etc/sendmail.cf или /etc/mail/sendmail.cf (если у вас sendmail версии 8.10 или более поздней). SMTP через UUCP Настройка поставляемого с FreeBSD sendmail предназначена для сайтов, подключенных к интернет непосредственно. Сайты, осуществляющие обмен почтой через UUCP, должны использовать другой файл настройки sendmail. Редактирование /etc/mail/sendmail.cf вручную это сложная задача. sendmail версии 8 генерирует файлы настройки через препроцессор &man.m4.1;, реально настройка выполняется на более высоком уровне абстракции. Файлы настройки &man.m4.1; можно найти в /usr/src/usr.sbin/sendmail/cf. Если вы не установили в систему все исходные тексты, пакет настройки sendmail можно найти в отдельном архиве исходных текстов. Если CDROM с исходными текстами FreeBSD смонтирован, выполните: &prompt.root; cd /cdrom/src &prompt.root; cat scontrib.?? | tar xzf - -C /usr/src/contrib/sendmail Эта установка займет всего несколько сотен килобайт. Файл README в каталоге cf содержит введение в основы настройки &man.m4.1;. Лучшим способом настройки поддержки передачи по UUCP является использование возможности mailertable. При этом создается база данных, которая помогает sendmail решать вопросы маршрутизации. Во-первых, создайте файл .mc. В каталоге /usr/src/usr.sbin/sendmail/cf/cf находятся несколько примеров. Возьмем для примера имя файла foo.mc. Все, что потребуется для преобразования его в sendmail.cf, это: &prompt.root; cd /usr/src/usr.sbin/sendmail/cf/cf &prompt.root; make foo.cf &prompt.root; cp foo.cf /etc/mail/sendmail.cf Типичный .mc файл может выглядеть примерно так: VERSIONID(`Your version number') OSTYPE(bsd4.4) FEATURE(accept_unresolvable_domains) FEATURE(nocanonify) FEATURE(mailertable, `hash -o /etc/mail/mailertable') define(`UUCP_RELAY', your.uucp.relay) define(`UUCP_MAX_SIZE', 200000) define(`confDONT_PROBE_INTERFACES') MAILER(local) MAILER(smtp) MAILER(uucp) Cw your.alias.host.name Cw youruucpnodename.UUCP Строки, содержащие accept_unresolvable_domains, nocanonify, и confDONT_PROBE_INTERFACES, предотвратят использование DNS для доставки почты. Пункт UUCP_RELAY необходим для поддержки доставки по UUCP. Просто поместите сюда имя хоста в интернет, способного работать с .UUCP адресами псевдо-доменов; скорее всего, вы введете сюда основной сервер пересылки почты провайдера. Как только вы сделаете это, потребуется файл /etc/mail/mailertable. Если вы используете для всей почты только одно внешнее соединение, подойдет следующий файл: # # makemap hash /etc/mail/mailertable.db < /etc/mail/mailertable . uucp-dom:your.uucp.relay Более сложный пример может выглядеть так: # # makemap hash /etc/mail/mailertable.db < /etc/mail/mailertable # horus.interface-business.de uucp-dom:horus .interface-business.de uucp-dom:if-bus interface-business.de uucp-dom:if-bus .heep.sax.de smtp8:%1 horus.UUCP uucp-dom:horus if-bus.UUCP uucp-dom:if-bus . uucp-dom: В первых трех строках обрабатываются специальные случаи, когда почта для домена должна отправляться не на маршрут по умолчанию, а на ближайшее соединение UUCP для сокращения пути доставки. Следующая строка обрабатывает почту, которая может быть доставлена по SMTP для локального Ethernet домена. Наконец, определены маршруты UUCP в нотации псевдо-доменов .UUCP, для включения перезаписи правил по умолчанию правилом uucp-neighbor !recipient. Последняя строка всегда содержит одиночную точку, означающую все остальное, с отправкой через UUCP, являющимся универсальным почтовым шлюзом. Все имена узлов после ключевого слова uucp-dom: должны представлять существующие маршруты UUCP, проверить их можно с помощью команды uuname. Напоминаем, что этот файл должен быть преобразован в базу данных DBM перед использованием. Командную строку для этой задачи лучше всего поместить в качестве комментария в верхней части файла mailertable. Всегда выполняйте эту команду после правки файла mailertable. И наконец: если вы не уверены, что некоторые отдельные почтовые маршруты будут работать, запомните параметр sendmail . С этим параметром sendmail запускается в режиме тестирования адреса; просто введите 3,0 и адрес, который вы хотите протестировать. В последней строке появится сообщение об используемом внутреннем почтовом агенте, хосте назначения, с которым вызывается этот агент, и (возможно транслированный) адрес. Выход из этого режима происходит при нажатии CtrlD. &prompt.user; sendmail -bt ADDRESS TEST MODE (ruleset 3 NOT automatically invoked) Enter <ruleset> <address> > 3,0 foo@example.com canonify input: foo @ example . com ... parse returns: $# uucp-dom $@ your.uucp.relay $: foo < @ example . com . > > ^D Bill Moran Предоставил Настройка почты только для отправки Существует множество случаев, когда может потребоваться только отправка почты через почтовый сервер. Вот отдельные примеры: У вас настольный компьютер, но вы хотите использовать такие программы как &man.send-pr.1;. Для пересылки почты вам потребуется использовать почтовый сервер провайдера. Ваш компьютер является сервером, где почта не хранится локально, необходима только переправка всей почты через внешний почтовый сервер. Практически любой MTA способен работать и в этих условиях. К сожалению, может быть очень сложно правильно настроить полноценный MTA для работы только с исходящей почтой. Такие программы, как sendmail и postfix слишком избыточны для этих целей. К тому же, если вы используете обычные средства доступа в интернет, условий для запуска почтового сервера может быть недостаточно. Простейшим способом удовлетворить имеющиеся потребности может быть установка порта mail/ssmtp. Выполните под root следующие команды: &prompt.root; cd /usr/ports/mail/ssmtp &prompt.root; make install replace clean После установки потребуется настроить mail/ssmtp с помощью файла из четырех строк, расположенного в /usr/local/etc/ssmtp/ssmtp.conf: root=yourrealemail@example.com mailhub=mail.example.com rewriteDomain=example.com hostname=_HOSTNAME_ Убедитесь, что используете существующий почтовый адрес для root. Введите сервер вашего провайдера для пересылки исходящей почты вместо mail.example.com (некоторые провайдеры называют его сервером исходящей почты или SMTP сервером). Убедитесь, sendmail выключен путем добавления строки sendmail_enable="NONE" в /etc/rc.conf. У пакета mail/ssmtp имеются и другие параметры. Обратитесь к файлу с примером настройки в /usr/local/etc/ssmtp или к странице справочника ssmtp за примерами и дополнительной информацией. Установка ssmtp таким способом позволит правильно работать любым программам на вашем компьютере, которым требуется отправка почты, но не нарушит политику вашего провайдера и не позволит вашему компьютеру быть использованным спамерами. Использование почты с коммутируемым соединением Если у вас есть статический IP, настройки по умолчанию менять не потребуется. Установите имя хоста в соответствии с присвоенным именем интернет и sendmail будет делать свою работу. Если у вас динамический IP адрес и используется коммутируемое PPP соединение с интернет, у вас возможно уже есть почтовый ящик на сервере провайдера. Предположим, что домен провайдера называется example.net, и что ваше имя пользователя user, ваш компьютер называется bsd.home, и провайдер сообщил вам, что возможно использование relay.example.net в качестве сервера для пересылки почты. Для получения почты из почтового ящика необходима установка соответствующей программы. Хорошим выбором является утилита fetchmail, она поддерживает множество различных протоколов. Эта программа доступна в виде пакета или из коллекции портов (mail/fetchmail). Обычно провайдер предоставляет доступ по протоколу POP. Если вы работаете с пользовательским PPP, то можете автоматически забирать почту после установления соединения с интернет с помощью следующей записи в /etc/ppp/ppp.linkup: MYADDR: !bg su user -c fetchmail Если вы используете sendmail (как показано ниже) для доставки почты к не-локальным учетным записям, вам возможно потребуется обработка почтовой очереди sendmail сразу после установки соединения с интернет. Для выполнения этой работы поместите в /etc/ppp/ppp.linkup следующую команду сразу после fetchmail: !bg su user -c "sendmail -q" Предполагается, что учетная запись для user существует на bsd.home. В домашнем каталоге user на bsd.home, создайте файл .fetchmailrc: poll example.net protocol pop3 fetchall pass MySecret Этот файл не должен быть доступен на чтение никому, кроме user, поскольку в нем находится пароль MySecret. Для отправки почты с правильным заголовком from:, вам потребуется сообщить sendmail использовать user@example.net вместо user@bsd.home. Вы можете также указать sendmail отправлять почту через relay.example.net, для более быстрой пересылки почты. Должен подойти следующий файл .mc: VERSIONID(`bsd.home.mc version 1.0') OSTYPE(bsd4.4)dnl FEATURE(nouucp)dnl MAILER(local)dnl MAILER(smtp)dnl Cwlocalhost Cwbsd.home MASQUERADE_AS(`example.net')dnl FEATURE(allmasquerade)dnl FEATURE(masquerade_envelope)dnl FEATURE(nocanonify)dnl FEATURE(nodns)dnl define(`SMART_HOST', `relay.example.net') Dmbsd.home define(`confDOMAIN_NAME',`bsd.home')dnl define(`confDELIVERY_MODE',`deferred')dnl Обратитесь к предыдущему разделу за информацией о том, как преобразовать этот файл .mc в файл sendmail.cf. Не забудьте также перезапустить sendmail после обновления sendmail.cf. James Gorham Написал SMTP аутентификация Наличие SMTP аутентификации на почтовом сервере дает множество преимуществ. SMTP аутентификация может добавить дополнительный уровень безопасности к sendmail, и позволяет мобильным пользователям, подключающимся к разным хостам, возможность использовать тот же почтовый сервер без необходимости перенастройки почтового клиента при каждом подключении. Установите security/cyrus-sasl из портов. Вы можете найти этот порт в security/cyrus-sasl. В пакете security/cyrus-sasl есть множество параметров компиляции, и для используемого здесь метода убедитесь, что выбран параметр . После установки security/cyrus-sasl, отредактируйте /usr/local/lib/sasl/Sendmail.conf (или создайте его если он не существует) и добавьте следующую строку: pwcheck_method: passwd Этот метод включит аутентификацию sendmail через базу данных passwd FreeBSD. Это позволяет избежать проблем, связанных с созданием нового набора имен пользователей и паролей для каждого пользователя, которому необходима SMTP аутентификация, пароль для входа в систему и для отправки почты будет одним и тем же. Теперь отредактируйте /etc/make.conf и добавьте следующие строки: SENDMAIL_CFLAGS=-I/usr/local/include/sasl1 -DSASL SENDMAIL_LDFLAGS=-L/usr/local/lib SENDMAIL_LDADD=-lsasl Эти параметры необходимы sendmail для подключения cyrus-sasl во время компиляции. Убедитесь, что cyrus-sasl был установлен до перекомпиляции sendmail. Перекомпилируйте sendmail, выполнив следующие команды: &prompt.root; cd /usr/src/usr.sbin/sendmail &prompt.root; make cleandir &prompt.root; make obj &prompt.root; make &prompt.root; make install Компиляция sendmail должна пройти без проблем, если /usr/src не был сильно изменен и доступны необходимые разделяемые библиотеки. После компилирования и переустановки sendmail, отредактируйте файл /etc/mail/freebsd.mc (или тот файл, который используется в качестве .mc; многие администраторы используют в качестве имени этого файла вывод &man.hostname.1; для обеспечения уникальности). Добавьте к нему следующие строки: dnl set SASL options TRUST_AUTH_MECH(`GSSAPI DIGEST-MD5 CRAM-MD5 LOGIN')dnl define(`confAUTH_MECHANISMS', `GSSAPI DIGEST-MD5 CRAM-MD5 LOGIN')dnl define(`confDEF_AUTH_INFO', `/etc/mail/auth-info')dnl Эти параметры настраивают различные методы, доступные sendmail для аутентификации пользователей. Если вы хотите использовать вместо pwcheck другой метод, обратитесь к прилагаемой документации. Наконец, запустите &man.make.1; в каталоге /etc/mail. Из файла .mc будет создан файл .cf, называющийся freebsd.cf (или с тем именем, которое было использовано для файла .mc). Затем используйте команду make install restart, которая скопирует файл в sendmail.cf, и правильно перезапустит sendmail. Дополнительная информация об этом процессе находится в /etc/mail/Makefile. Если все шаги пройдены успешно, введите информацию для аутентификации в настройки почтового клиента и отправьте тестовое сообщение. Для определения причин возможных ошибок установите параметр sendmail в 13 и просмотрите /var/log/maillog. Для включения сервиса после каждой загрузки системы вам может потребоваться добавление в /etc/rc.conf следующих строк: sasl_pwcheck_enable="YES" sasl_pwcheck_program="/usr/local/sbin/pwcheck" Эти строки инициализируют SMTP_AUTH при загрузке системы. За дальнейшей информацией обратитесь к странице sendmail, посвященной SMTP аутентификации. Marc Silver Предоставил Почтовые программы пользователей почтовые программы пользователей Почтовая программа пользователя (Mail User Agent, MUA) это приложение, используемое для отправки и получения почты. Кроме того, поскольку почта эволюционирует и становится более сложной, MUA совершенствуют свои функции по обработке почты, становятся более удобны в использовании. &os; поддерживает множество различных пользовательских почтовых программ, каждая из которых может быть легко установлена из коллекции портов FreeBSD. Пользователи могут выбирать между графическими почтовыми клиентами, такими как evolution или balsa, консольными клиентами, такими как mutt, pine или mail, или веб интерфейсами, используемыми в некоторых больших организациях. mail В &os; в качестве MUA по умолчанию используется &man.mail.1;. Это консольный MUA, предоставляющий все основные функции, необходимые для отправки и получения текстовых сообщений, хотя его возможности по работе с вложениями ограничены и он может работать только с локальными почтовыми ящиками. Хотя mail не поддерживает работу с серверами POP или IMAP, эти почтовые ящики могут быть загружены в локальный файл mbox с помощью fetchmail, который будет - обсуждаться далее в этой главе. + обсуждаться далее в этой главе (). Для отправки и получения почты просто выполните команду mail, как в этом примере: &prompt.user; mail Содержимое почтового ящика в каталоге - /var/mail/ будет автоматически + /var/mail будет автоматически прочитано утилитой mail. Если почтовый ящик пуст, утилита завершит работу с сообщением о том, что почта не была обнаружена. После чтения почтового ящика запустится интерфейс программы и будет отображен список сообщений. Сообщения нумеруются автоматически и будут выглядеть как в этом примере: Mail version 8.1 6/6/93. Type ? for help. "/var/mail/marcs": 3 messages 3 new >N 1 root@localhost Mon Mar 8 14:05 14/510 "test" N 2 root@localhost Mon Mar 8 14:05 14/509 "user account" N 3 root@localhost Mon Mar 8 14:05 14/509 "sample" Теперь сообщения могут быть прочитаны с помощью команды t, завершаемой номером сообщения, которое должно быть отображено. В этом примере мы прочтем первое сообщение: & t 1 Message 1: From root@localhost Mon Mar 8 14:05:52 2004 X-Original-To: marcs@localhost Delivered-To: marcs@localhost To: marcs@localhost Subject: test Date: Mon, 8 Mar 2004 14:05:52 +0200 (SAST) From: root@localhost (Charlie Root) This is a test message, please reply if you receive it. Как видно в примере выше, клавиша t выводит сообщение со всеми заголовками. Для повторного вывода списка сообщений необходимо использовать клавишу h. Если требуется ответить на сообщение, используйте для ответа mail, нажав клавишу R или r. Клавиша R используется в mail для ответа только отправителю, а r для ответа и отправителю, и другим получателям сообщения. Вы можете также завершить эти команды номером письма, на которое хотите составить ответ. После этого необходимо ввести ответ, конец сообщения должен быть завершен символом . на новой строке. Пример можно увидеть ниже: & R 1 To: root@localhost Subject: Re: test Thank you, I did get your email. . EOT Для отправки нового сообщения используйте клавишу m и введите адрес получателя. Несколько получателей могут быть указаны через запятую. Введите тему сообщения и его содержимое. Конец сообщения отмечается помещением символа . на новой строке. & mail root@localhost Subject: I mastered mail Now I can send and receive email using mail ... :) . EOT В утилите mail для вызова справки в любой - момент может быть использована команда ?. - Для получения помощи по mail необходимо также + момент может быть использована команда ?, + для получения помощи по mail необходимо также обратиться к странице справочника &man.mail.1;. Как упоминалось выше, команда &man.mail.1; не была первоначально предназначена для работы с вложениями, и поэтому их поддержка довольно слабая. Современные MUA, такие как mutt, работают с вложениями гораздо более уверенно. Но если вы все же предпочитаете использовать mail, установите порт converters/mpack. mutt mutt это небольшая но очень мощная почтовая программа с отличными возможностями, в числе которых: Возможность сортировки сообщений по дискуссиям; Поддержка PGP для подписи и шифрования сообщений; Поддержка MIME; Поддержка Maildir; Широкие возможности настройки. Все эти возможности делают mutt одним из самых лучших почтовых клиентов. Обратитесь к за - дополнительной информацией по mutt. + дополнительной информацией по mutt. Стабильная версия mutt может быть установлена из порта mail/mutt. После установки порта, mutt может быть запущен следующей командой: &prompt.user; mutt mutt автоматически прочтет содержимое пользовательского почтового ящика в каталоге /var/mail и отобразит почту, если она имеется в наличии. Если почты в ящике пользователя нет, mutt будет ожидать команд от пользователя. В примере ниже показан mutt со - списком сообщений. + списком сообщений: Для чтения почты просто выберите сообщение с помощью клавиш навигации и нажмите Enter. Пример mutt, отображающего сообщение, показан ниже: Как и команда &man.mail.1;, mutt позволяет пользователям отвечать как только отправителю, так и всем получателям. Для ответа только отправителю почты, используйте клавишу r. Для группового ответа и отправителю сообщения и всем получателям используйте клавишу g. mutt использует &man.vi.1; в качестве редактора для создания писем и ответа на них. Редактор можно заменить путем создания или редактирования собственного - .muttrc и установки переменной - . + .muttrc в своем домашнем каталоге и установки + переменной . Для создания нового почтового сообщения нажмите m. После введения темы mutt запустит &man.vi.1; для создания письма. Как только письмо будет завершено, сохраните его и закройте vi, mutt продолжит работу, отобразив окно с сообщением, которое должно быть отправлено. Для отправки сообщения нажмите y. Пример окна с сообщением показан ниже: mutt также содержит исчерпывающий справочник, к которому можно обратиться из большинства меню, нажав клавишу ?. Верхняя строка также показывает клавиатурные сокращения, которые могут быть использованы. pine pine предназначен для начинающих пользователей, но включает некоторые дополнительные возможности. - В программе pine ранее были обнаружены некоторые уязвимости, + В программе pine ранее были обнаружены некоторые уязвимости, позволяющие удаленному взломщику выполнять произвольный код с правами пользователя локальной системы путем отправки специально подготовленного письма. Все эти известные проблемы были исправлены, - но код pine написан в очень небезопасном стиле и офицеры + но код pine написан в очень небезопасном стиле и офицеры безопасности &os; считают, что возможно наличие других не обнаруженных уязвимостей. Имейте это ввиду при установке pine. Текущая версия pine может быть установлена из порта mail/pine4. Как только порт установлен, pine можно запустить командой: &prompt.user; pine При первом запуске pine отображает страницу приветствия с кратким введением, а также просьбу команды разработчиков pine отправить анонимное почтовое сообщение, позволяющее им определить количество пользователей, работающих с их почтовым клиентом. Для отправки анонимного сообщения нажмите Enter, или E для выхода из из приветствия без отправки анонимного сообщения. Пример приветствия показан ниже: Затем отображается главное меню, перемещение по которому осуществляется с помощью клавиш навигации. В главном меню находятся ссылки для составления новых писем, просмотра почтовых каталогов, и даже управления адресной книгой. Ниже главного меню показаны клавиатурные сокращения, выполняющие соответствующие задачи. По умолчанию pine открывает каталог inbox. Для просмотра списка - сообщений нажмите I, или выберите MESSAGE - INDEX, как показано ниже: + сообщений нажмите I, или выберите + MESSAGE INDEX, как показано ниже: В списке показаны сообщения в текущем каталоге, они могут быть просмотрены с помощью клавиш навигации. Подсвеченные сообщения можно прочесть нажав Enter. На снимке экрана ниже показан пример письма, отображаемого pine. Внизу экрана даны клавиатурные сокращения. Например, r используется для указания MUA ответить на отображаемое в данный момент сообщение. Ответ на письмо в pine осуществляется с помощью редактора pico, который устанавливается по умолчанию вместе с pine. pico упрощает навигацию в сообщении гораздо проще для новых пользователей, чем &man.vi.1; или &man.mail.1;. Как только ответ будет готов, сообщение можно отправить нажав CtrlX. pine запросит подтверждение. Программа pine может быть настроена - через пункт главного меню. Обратитесь к - странице SETUP главного меню. + Обратитесь к странице за дальнейшей информацией. Marc Silver Предоставил Использование fetchmail использование fetchmail fetchmail это полноценный IMAP и POP клиент, позволяющий пользователям автоматически загружать почту с удаленных серверов IMAP и POP в локальные почтовые ящики; так доступ к почтовым ящикам упрощается. fetchmail может быть установлен из порта mail/fetchmail и предоставляет различные возможности, в том числе: Поддержка протоколов POP3, APOP, KPOP, IMAP, ETRN и ODMR. Возможность пересылки почты через SMTP, что позволяет использовать функции фильтрации, перенаправления и синонимов. Может быт запущен в режиме даемона для периодической проверки поступающих сообщений. Может забирать почту с нескольких почтовых ящиков и рассылать ее различным локальным пользователям в зависимости от настроек. Описание всех возможностей fetchmail выходит за пределы этой главы, за дополнительной информацией обратитесь к документации по fetchmail. Утилита fetchmail требует наличия файла настройки .fetchmailrc. Этот файл включает информацию о сервере, а также информацию для аутентификации. Поскольку этот файл содержит важную информацию, правильно будет сделать его доступным для чтения только владельцем с помощью следующей команды: &prompt.user; chmod 600 .fetchmailrc В следующем примере файл .fetchmailrc предназначен для загрузки одного почтового ящика по протоколу POP. Этот файл указывает fetchmail соединиться с example.com с именем пользователя joesoap и паролем XXX. В примере подразумевается, что пользователь joesoap существует также и в локальной системе. poll example.com protocol pop3 username "joesoap" password "XXX" В следующем примере производится подключение к нескольким POP и IMAP серверам, при необходимости почта перенаправляется другим локальным пользователям: poll example.com proto pop3: user "joesoap", with password "XXX", is "jsoap" here; user "andrea", with password "XXXX"; poll example2.net proto imap: user "john", with password "XXXXX", is "myth" here; Утилита fetchmail может работать в режиме даемона с флагом , заданным с интервалом (в секундах), через который fetchmail должен опрашивать серверы, перечисленные в .fetchmailrc. В следующем примере fetchmail будет забирать почту каждые 60 секунд: &prompt.user; fetchmail -d 60 Дополнительную информацию о fetchmail можно найти на сайте . Marc Silver Предоставил Использование procmail использование procmail Утилита procmail это невероятно мощное приложение, используемое для фильтрации входящей почты. Она позволяет пользователям определять правила, которые могут быть сопоставлены входящим письмам для выполнения определенных действий или для перенаправления почты в альтернативные почтовые ящики и/или на почтовые адреса. procmail может быть установлен с помощью порта mail/procmail. После установки он может быть непосредственно интегрирован в большинство MTA; сверьтесь с документацией на ваш MTA. Другой способ интеграции procmail – добавление в файл .forward, находящийся в домашнем каталоге пользователя, следующей строки: "|exec /usr/local/bin/procmail || exit 75" В этом разделе будут показаны основы настройки правил procmail, а также краткое описание их действия. Эти и другие правила должны быть помещены в файл .procmailrc, который должен находиться в домашнем каталоге пользователя. Большую часть этих правил также можно найти на странице справочника &man.procmailex.5;. Перенаправление всей почты от user@example.com на внешний адрес goodmail@example2.com: :0 * ^From.*user@example.com ! goodmail@example2.com Перенаправление всей почты объемом меньше 1000 байт на внешний адрес goodmail@example2.com: :0 * < 1000 ! goodmail@example2.com Перенаправление всей почты, отправляемой на alternate@example.com, в почтовый ящик alternate: :0 * ^TOalternate@example.com alternate Перенаправление всей почты с Spam в /dev/null: :0 ^Subject:.*Spam /dev/null Полезный пример, обрабатывающий входящую почту со списков рассылки &os;.org и помещающий каждый список в отдельный почтовый ящик. :0 * ^Sender:.owner-freebsd-\/[^@]+@FreeBSD.ORG { LISTNAME=${MATCH} :0 * LISTNAME??^\/[^@]+ FreeBSD-${MATCH} } diff --git a/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml b/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml index 00bc1a63ca..705fd860bd 100644 --- a/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/mirrors/chapter.sgml @@ -1,2748 +1,2766 @@ Получение FreeBSD Издатели CDROM и DVD Коробочная версия FreeBSD доступна в коробочной версии (FreeBSD CD диски, дополнительное программное обеспечение, печатная документация) от нескольких поставщиков:
CompUSA WWW:
Frys Electronics WWW:
Наборы CD и DVD Наборы FreeBSD CD и DVD доступны у множества онлайн поставщиков:
Daemon News Mall 560 South State Street, Suite A2 Orem, UT 84058 США Телефон: +1 800 407-5170 Факс: +1 1 801 765-0877 Email: sales@bsdmall.com WWW:
FreeBSD Mall, Inc. 3623 Sanford Street Concord, CA 94520-1405 США Телефон: +1 925 674-0783 Факс: +1 925 674-0821 Email: info@freebsdmall.com WWW:
FreeBSD Services Ltd 11 Lapwing Close Bicester OX26 6XR Великобритания WWW:
Hinner EDV St. Augustinus-Str. 10 D-81825 München Германия Телефон: (089) 428 419 WWW:
Ikarios 22-24 rue Voltaire 92000 Nanterre Франция WWW:
Ingram Micro 1600 E. St. Andrew Place Santa Ana, CA 92705-4926 США Телефон: 1 (800) 456-8000 WWW:
JMC Software Ирландия Телефон: 353 1 6291282 WWW:
The Linux Emporium Hilliard House, Lester Way Wallingford OX10 9TA Великобритания Телефон: +44 1491 837010 Факс: +44 1491 837016 WWW:
Linux System Labs Australia 21 Ray Drive Balwyn North VIC - 3104 Австралия Телефон: +61 3 9857 5918 Факс: +61 3 9857 8974 WWW:
UNIXDVD.COM LTD 57 Primrose Avenue Sheffield S5 6FS Великобритания WWW:
Распространители Если вы продавец и хотите заниматься FreeBSD CDROM, пожалуйста свяжитесь с распространителем:
Cylogistics 2672 Bayshore Parkway, Suite 610 Mountain View, CA 94043 США Телефон: +1 650 694-4949 Факс: +1 650 694-4953 Email: sales@cylogistics.com WWW:
FreeBSD Services Ltd 11 Lapwing Close Bicester OX26 6XR Великобритания WWW:
Kudzu, LLC 7375 Washington Ave. S. Edina, MN 55439 США Телефон: +1 952 947-0822 Факс: +1 952 947-0876 Email: sales@kudzuenterprises.com
Navarre Corp 7400 49th Ave South New Hope, MN 55428 США Телефон: +1 763 535-8333 Факс: +1 763 535-0341 WWW:
FTP сайты Официальным источником FreeBSD являются анонимные FTP зеркала по всему миру. Сайт имеет хорошее подключение и поддерживает большое количество одновременных соединений, но для вас возможно потребуется найти ближайшее зеркало (особенно если вы решили настроить у себя какой-то из видов зеркал). База данных зеркал FreeBSD предпочтительнее по сравнению со списком зеркал в Руководстве, поскольку информация в базе собирается из DNS, а не из статического списка узлов. Кроме того, FreeBSD доступна через анонимный FTP со следующих зеркал. Если вы выбрали получение FreeBSD через анонимный FTP, пожалуйста выберите ближайший к вам сайт. Зеркала из списка Основных зеркал обычно содержат полный архив FreeBSD (все доступные на данный момент версии для каждой архитектуры), скорость загрузки возможно будет больше с зеркала, расположенного в вашей стране. Сайты каждой страны содержат последнюю версию для наиболее популярных архитектур, но на них может не быть полного архива FreeBSD. Все сайты предоставляют доступ через анонимный FTP, а некоторые предоставляют доступ и другими методами. Для сайтов каждой страны приведен список методов доступа. &chap.mirrors.ftp.inc; Анонимный CVS <anchor id="anoncvs-intro">Введение Анонимный CVS (известный также как, anoncvs) это возможность, предоставляемая утилитами CVS, поставляемыми с FreeBSD для синхронизации с удаленным CVS репозиторием. Помимо прочего, он позволяет пользователям FreeBSD без специальных привилегий (с правами только на чтение) выполнять CVS операции на одном из официальных anoncvs серверов проекта FreeBSD. Для использования этой возможности, просто установите переменную CVSROOT на соответствующий сервер anoncvs, введите общеизвестный пароль anoncvs в ответ на приглашение команды cvs login, а затем используйте &man.cvs.1; для доступа к репозиторию как к обычному локальному CVS. Команда cvs login сохраняет пароли, использованные для авторизации на сервере CVS в файле с именем .cvspass в каталоге HOME. Если этот файл не существует, вы можете получить сообщение об ошибке при первом запуске cvs login. Просто создайте пустой файл .cvspass и попробуйте еще раз. Хотя можно сказать, что сервисы CVSup и anoncvs выполняют в сущности похожие функции, есть несколько отличий, которые могут повлиять на выбор метода синхронизации. По своей сути, CVSup гораздо более эффективно использует сетевые ресурсы, и из двух этих программ он более интеллектуален, но за его эффективность приходится платить. Во-первых, для того, чтобы появилась возможность хоть что-то получить этим методом, CVSup потребуется установить и настроить специальную программу, а во-вторых, этот CVSup позволяет синхронизацию только довольно больших частей исходных текстов, называемых коллекциями. Anoncvs напротив может использоваться для получения как одного файла, так и всей программы (например ls или grep), с помощью ссылки на имя модуля CVS. Конечно, anoncvs хорошо подходит только при операциях на чтение CVS репозитория, поэтому если вы намереваетесь производить локальную разработку в одном из репозиториев проекта FreeBSD, вам подойдет только CVSup. <anchor id="anoncvs-usage">Использование анонимного CVS Настройка &man.cvs.1; для использования анонимного CVS репозитория означает установку переменной окружения CVSROOT на один из anoncvs серверов проекта FreeBSD. На момент написания этого документа доступны следующие сервера: США: :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs (Используйте cvs login и введите пароль anoncvs в ответ на приглашение.) Германия: :pserver:anoncvs@anoncvs.de.FreeBSD.org:/home/ncvs (Используйте cvs login и введите пароль anoncvs в ответ на приглашение.) Германия: :pserver:anoncvs@anoncvs2.de.FreeBSD.org:/home/ncvs (rsh, pserver, ssh, ssh/2022) Япония: :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs (Используйте cvs login и введите пароль anoncvs в ответ на приглашение.) Австрия: :pserver:anoncvs@anoncvs.at.FreeBSD.org:/home/ncvs (Используйте cvs login и введите любой пароль в ответ на приглашение.) Франция: :pserver:anoncvs@anoncvs.fr.FreeBSD.org:/home/ncvs (pserver (пароль anoncvs), ssh (нет пароля)) Поскольку CVS позволяет выполнить check out практически любой версии исходных текстов FreeBSD, которые когда-либо существовали (или, в некоторых случаях, будут существовать), вам необходимо познакомиться с флагом &man.cvs.1; для ревизий () и с параметрами, которые могут быть использованы с этим флагом в репозитории проекта FreeBSD. Есть два вида тегов, теги ревизий и теги ветвей. Теги ревизий отвечают за определенную ревизию. Их значение остается прежним изо дня в день. Теги ветвей сопоставляются последней ревизии определенной ветви разработки, в любой момент времени. Поскольку теги ветвей не сопоставлены какой-то определенной ревизии, завтра они могут означать совсем не то, что сегодня. содержит теги ревизий, которые могут заинтересовать пользователей. Опять же, ни один из них не подходит для коллекции портов, поскольку в коллекции портов нет разнообразия ревизий. Если вы указываете тег ветви, то обычно получаете последнюю версию файлов этой ветви разработки. Если вы хотите получить предыдущую версию, это можно сделать путем указания даты флагом . Обратитесь к странице справочника &man.cvs.1; за более подробной информацией. Примеры Хотя перед тем, как что-то делать, рекомендуется полностью прочесть страницу справочника &man.cvs.1;, вот несколько кратких примеров использования Anonymous CVS: Извлечение кода из -CURRENT (&man.ls.1;) с последующим удалением: &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs co ls &prompt.user; cvs release -d ls &prompt.user; cvs logout Извлечение &man.ls.1; из ветви для 3.X-STABLE: &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs co -rRELENG_3 ls &prompt.user; cvs release -d ls &prompt.user; cvs logout Создание списка изменений &man.ls.1; (в виде unified diff) &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs rdiff -u -rRELENG_3_0_0_RELEASE -rRELENG_3_4_0_RELEASE ls &prompt.user; cvs logout Поиск доступных имен модулей: &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs &prompt.user; cvs login At the prompt, enter the password anoncvs. &prompt.user; cvs co modules &prompt.user; more modules/modules &prompt.user; cvs release -d modules &prompt.user; cvs logout Другие ресурсы В изучении CVS могут помочь следующие дополнительные ресурсы: Учебник по CVS от Cal Poly. CVS Home, сообщество разработки и поддержки CVS. CVSweb это веб интерфейс к CVS проекта FreeBSD. Использование CTM CTM это метод синхронизации удаленного дерева исходных текстов с центральным. Он был разработан для использования с деревом исходных текстов FreeBSD, хотя может быть полезен и для других целей. На данный момент существует очень немного (если она вообще существует) документации по процессу создания дельта-файлов (deltas, разница между имеющимися и актуальными исходными текстами), поэтому обратитесь в список рассылки &a.ctm-users.name; за дополнительной информацией, если захотите использовать CTM для других целей. Зачем мне может понадобиться <application>CTM</application>? CTM создаст для вас локальную копию исходных текстов FreeBSD. Существует множество разновидностей дерева исходных текстов. Захотите ли вы поддерживать все дерево CVS или только одну из ветвей, CTM может предоставить вам все необходимое. Если вы разработчик FreeBSD, но ваше соединение по TCP/IP некачественное или отсутствует, или же вы просто хотите, чтобы изменения автоматически отправлялись вам, CTM предназначен для вас. Вам потребуется получать до трех изменений в день для наиболее активных ветвей. Они будут отправляться вам по электронной почте. Размеры обновлений всегда поддерживаются настолько малыми, насколько это возможно. Они обычно меньше 5K, хотя случается (раз из десяти) достигают 10-50K и время от времени даже 100K или больше. Вам также потребуется узнать о различных особенностях работы непосредственно с исходными текстами в разработке, вместо готовых релизов. Это в частности относится к выбору исходных текстов ветви -CURRENT. Рекомендуется прочесть материал На переднем крае разработок. Что потребуется для использования <application>CTM</application>? Вам потребуются две вещи: программа CTM и исходные тексты, которые требуется обновить (до актуального состояния). Программа CTM была частью FreeBSD все время с момента выпуска релиза 2.0, она находится в каталоге /usr/src/usr.sbin/ctm, если у вас есть копия исходных текстов. Если вы работаете с версией FreeBSD до 2.0, можете получить актуальные исходные тексты CTM непосредственно с: Дельта-файлы CTM могут приходить двумя путями, через FTP или email. Если у вас есть доступ к интернет по FTP, доступ к CTM может быть получен через следующие FTP сайты: или с сайтов из списка зеркал. Зайдите по FTP в соответствующий каталог и прочтите файл README. Если вы предпочитаете получать дельта-файлы по почте: Подпишитесь на один из списков распространения CTM. &a.ctm-cvs-cur.name; поддерживает все дерево CVS. &a.ctm-src-cur.name; поддерживает главную ветвь разработки. &a.ctm-src-4.name; поддерживает ветвь 4.X, и т.д. Если вы не знаете, как подписаться на список, нажмите на ссылку выше или на ссылку &a.mailman.lists.link;, а затем на ссылку соответствующего списка. Страница списка должна содержать все необходимые инструкции по подписке. Когда вы начнете получать обновления CTM по почте, используйте программу ctm_rmail для распаковки и применения обновлений. Вы можете использовать программу ctm_rmail непосредственно из /etc/aliases, если хотите полностью автоматизировать процесс. Прочтите страницу справочника ctm_rmail с более подробной информацией. Вне зависимости от способа получения дельта-файлов CTM, вам потребуется подписка на список рассылки &a.ctm-announce.name;. В будущем этот список станет единственным местом, где будут анонсироваться операции, относящиеся к системе CTM. Нажмите на ссылку выше и следуйте инструкциям для подписки на эту рассылку. Использование <application>CTM</application> в первый раз Перед тем, как вы сможете начать использование дельта-файлов CTM, потребуется определить исходную точку для последующего их применения. Сначала потребуется определить, что уже имеется. Каждый может начать с пустого (empty) каталога. Вы должны использовать дельта-файл Empty для создания поддерживаемого CTM дерева. Планируется распространение стартовых дельта-файлов на CD, но на данный момент это не делается. Поскольку дерево исходных текстов может быть объемом в десятки мегабайт, предпочтительно начать с каких-то уже имеющихся текстов. Если у вас есть -RELEASE CD, распакуйте исходные тексты с него. Это снизит объем передаваемых данных. Вы можете распознать стартовый дельта-файл по символу X, добавляемому к номеру (например, src-cur.3210XEmpty.gz). Обозначение перед X соответствует имеющимся исходным текстам. Empty это пустой каталог. Как правило файл с Empty создается через каждые 100 дельта-файлов. Между прочем, эти файлы большие! От 70 до ;) мегабайт упакованных gzip данных это обычный размер для XEmpty. Как только вы получили основной дельта-файл, потребуются также все дельта-файлы с последующими номерами. Повседневное использование <application>CTM</application> Для применения дельта-файлов, просто выполните: &prompt.root; cd /where/ever/you/want/the/stuff &prompt.root; ctm -v -v /where/you/store/your/deltas/src-xxx.* CTM работает с дельта-файлами, упакованными с помощью gzip, поэтому вам не требуется их распаковывать. Хотя весь процесс довольно безопасен, CTM не будет изменять дерево исходных текстов. Для проверки дельта-файла вы также можете использовать флаг , CTM только проверит целостность дельта-файла а также его применимость к существующим исходным текстам. Это все. Каждый раз после получения дельта-файла, запускайте CTM для поддержания исходных текстов в актуальном состоянии. Не удаляйте дельта-файлы, если их сложно загрузить еще раз. Вы возможно захотите сохранить их на всякий случай. Если вы можете сохранить их только на дискете, используйте для создания копии fdwrite. Сохранение локальных изменений Как разработчик вы возможно захотите поэкспериментировать и изменить файлы в дереве исходных текстов. CTM имеет ограниченную поддержку локальных изменений: перед проверкой наличия файла foo, сначала проверяется foo.ctm. Если он присутствует, CTM будет работать с ним вместо foo. Такое поведение обеспечивает простой путь поддержки локальных изменений: просто скопируйте файлы, которые вы хотите изменить, в файлы с соответствующими именами и суффиксом .ctm. Вы можете свободно изменять код, а CTM будет поддерживать файлы .ctm в актуальном состоянии. Другие интересные возможности <application>CTM</application> Определение файлов, которые будут затронуты обновлением Вы можете определить список изменений, которые CTM внесет в исходные тексты, используя параметр CTM . Это полезно, если вы хотите поддерживать лог изменений, выполнить предварительную или последующую обработку изменяемых файлов, или если вы просто немного параноидальны. Создание резервных копий перед обновлением Иногда вам может понадобиться сделать резервные копии всех файлов, которые будут изменены CTM. С параметром CTM выполнит резервное копирование всех изменяемых дельта-файлом CTM файлов в backup-file. Ограничение обновлений для определенных файлов Иногда необходимо ограничить набор файлов, обновляемых CTM, или даже задать обновление нескольких определенных файлов. Вы можете управлять списком файлов, с которыми будет работать CTM, путем указания фильтрующих регулярных выражений с параметрами и . Например, для извлечения свежей копии lib/libc/Makefile из коллекции сохраненных дельта-файлов CTM, выполните команду: &prompt.root; cd /where/ever/you/want/to/extract/it/ &prompt.root; ctm -e '^lib/libc/Makefile' ~ctm/src-xxx.* Для каждого указанного CTM дельта-файла, параметры и применяются в порядке их задания в командной строке. Файл обрабатывается CTM только если он помечается как подходящий после обработки всех параметров и . Дальнейшие планы для <application>CTM</application> Масса планов: Использовать какой-то из видов аутентификации в системе CTM, позволяющий обнаружение поддельных дат CTM. Доработать параметры CTM, поскольку они могут ввести в заблуждение. Разное Существует набор дельта-файлов и для коллекции ports, но интерес к нему пока не так высок. Зеркала CTM CTM/FreeBSD доступен через анонимный FTP с нижеприведенных зеркал. Если вы выбрали получение CTM через анонимный FTP, используйте ближайший к вам сервер. В случае возникновения проблем обратитесь в список рассылки &a.ctm-users.name;. California, Bay Area, официальный источник South Africa, резервный сервер для старых дельта-файлов Taiwan/R.O.C. Если вы не нашли ближайшего к вам зеркала, или зеркало неполно, попробуйте воспользоваться поиском, например alltheweb. Использование CVSup Введение CVSup это пакет программного обеспечения для распространения и обновления исходных текстов с основного репозитория CVS на удаленном сервере. Исходные тексты FreeBSD поддерживаются в репозитории CVS на центральной машине разработки в Калифорнии. С помощью CVSup пользователи FreeBSD легко могут поддерживать собственные исходные тексты в актуальном состоянии. CVSup использует так называемую опрашивающую (pull) модель обновления. Работая по этой модели, каждый клиент запрашивает обновления с сервера, если и когда они нужны. Сервер пассивно ожидает запросы на обновление от своих клиентов. Таким образом, все обновления инициируются клиентами. Сервер никогда не высылает не запрошенные обновления. Пользователь для получения обновлений должен либо запустить CVSup клиента вручную, либо добавить задание в cron для настройки периодических обновлений в автоматическом режиме. Термин CVSup, написанный с заглавными буквами, означает весь пакет программного обеспечения. Его основные компоненты это клиент cvsup, запускаемый на каждом пользовательском компьютере, и сервер cvsupd, работающий на каждом зеркале FreeBSD. При чтении документации FreeBSD и списков рассылки вы могли встретить указания на sup. Sup был предшественником CVSup, и выполнял похожие функции. CVSup в основном используется тем же способом, что и sup, и, фактически, использует файлы настройки, обратно совместимые с файлами sup. Sup более не используется проектом FreeBSD, поскольку CVSup и быстрее и более гибок. Установка Простейший способ установки CVSup это использование прекомпилированного пакета net/cvsup из коллекции пакетов FreeBSD. Если вы предпочтете собрать CVSup из исходных текстов, можете использовать вместо этого порт net/cvsup. Но имейте ввиду: порт net/cvsup зависит от системы Modula-3, которой потребуется существенный объем времени и пространства на диске для загрузки и установки. Если вы собираетесь использовать CVSup на компьютере, где нет установленного &xfree86;, например на сервере, используйте порт, не включающий CVSup GUI, net/cvsup-without-gui. Настройка CVSup Работа CVSup контролируется файлом настройки, называемым supfile. В каталоге /usr/share/examples/cvsup/ находится несколько примеров supfile. Информация в supfile отвечает на следующие вопросы CVSup: Какие файлы вы хотите получить? Какие их версии вам нужны? Откуда вы хотите их получить? Где вы хотите разместить их на своем компьютере? Где вы хотите разместить файлы статуса? В следующих разделах мы составим типичный supfile последовательным ответом на каждый из этих вопросов. Сначала опишем общую структуру supfile. supfile это текстовый файл. Комментарии, начинающиеся с #, продолжаются до конца строки. Пустые строки и строки, содержащие только комментарии, игнорируются. Каждая из оставшихся строк описывает набор файлов, получаемых пользователем. Строка начинается с имени коллекции, логического объединения файлов, определяемых сервером. Имя коллекции говорит серверу о том, какие файлы вам нужны. После имени коллекции следуют одно или больше полей, разделенных пробелом. Эти поля отвечают на вопросы, заданные выше. Есть два типа полей: флаги и значения. Поле флага состоит из одного ключевого слова, например delete или compress. Поле значения также начинается с ключевого слова, но за ним без пробела следует = и второе слово. Например, release=cvs это поле значения. supfile обычно задает получение более одной коллекции. Одним из способов построения supfile является указание всех соответствующих полей для каждой коллекции явно. Однако, это приводит к появлению слишком длинных строк в supfile и это неудобно, поскольку большинство полей одинаковы для всех коллекций supfile. CVSup предоставляет механизм задания значений по умолчанию для устранения этих проблем. Строки, начинающиеся со специального имени псевдо-коллекции *default, могут быть использованы для установки флагов и значений, которые послужат значениями по умолчанию для всех последующих коллекций supfile. Значение по умолчанию может быть перезаписано для каждой отдельной коллекции путем указания другого значения в ее собственных параметрах. Значения по умолчанию также могут быть изменены или расширены в любом месте supfile дополнительными строками *default. Получив эту информацию, мы начнем строить supfile для получения и обновления главного дерева исходных текстов FreeBSD-CURRENT. Какие файлы вы хотите получить? Файлы, доступные через CVSup, организованы в именованные группы, называемые коллекциями. Доступные коллекции описаны в следующем разделе. В этом примере мы получим все дерево исходных текстов системы FreeBSD. Существует одиночная большая коллекция src-all, которая позволит нам сделать это. В качестве первого шага по созданию supfile, добавим список коллекций, по одной на строку (в нашем случае, только одну строку): src-all Какие их версии вам нужны? С CVSup вы в принципе можете получить любую версию исходных текстов, которая когда-либо существовала. Это возможно, поскольку cvsupd сервер работает непосредственно с репозиторием CVS, который содержит все версии. Вы указываете ту, которая вам нужна, с помощью полей tag= и . Будьте очень осторожны при задании любых полей tag=. Некоторые теги существуют только в определенных коллекциях файлов. Если вы укажете некорректный тег или ошибетесь в его написании, CVSup удалит файлы, которые вы возможно не хотели удалять. В частности, используйте только tag=. для коллекций ports-*. Поля tag= означают символьные имена в репозитории. Существует два вида тегов, теги ревизий и теги ветвей. Теги ревизий означают определенную ревизию. Они не меняются со временем. Теги ветвей, с другой стороны, означают последнюю ревизию заданной линии разработки в любой момент времени. Поскольку тег ветви не относится к определенной ревизии, он может означать завтра что-то иное чем сегодня. содержит теги ветвей, которые могут быть интересны пользователям. Тег, указанный в файле настройки CVSup, должен предваряться строкой tag= (RELENG_4 превратится в tag=RELENG_4). Помните, что для коллекции портов подходит только tag=.. Будьте очень осторожны при наборе имен тегов. CVSup не может отличить правильные и неправильные теги. Если вы неправильно наберете тег, CVSup поведет себя так, как если бы вы указали тег, не содержащий файлов. В этом случае он удалит существующие исходные тексты. При указании тега ветви вы получите последние версии файлов этой ветви разработки. Если вы хотите получить какую-то из предыдущих версий, сделайте это указав дату в поле значения . Страница справочника &man.cvsup.1; описывает как сделать это. В нашем примере мы хотим получить FreeBSD-CURRENT. Мы добавим эту строку в начало supfile: *default tag=. Существует важный специальный случай, когда не задаются ни поле tag=, ни поле date=. В этом случае вы получите последние версии RCS файлов непосредственно из CVS репозитория сервера вместо получения определенной версии. Разработчики обычно предпочитают этот способ. Поддерживая копию репозитория в своей системе, они получают возможность просмотра истории ревизий и проверки последних версий файлов. Однако это достигается ценой большего занимаемого дискового пространства. Откуда вы хотите их получить? Мы используем поле host= для сообщения cvsup откуда забирать обновления. Подойдет любое из CVSup зеркал, хотя вы должны попробовать выбрать ближайшее к вам зеркало. В этом примере мы используем не существующий сервер, cvsup666.FreeBSD.org: *default host=cvsup666.FreeBSD.org Вам потребуется подставить адрес одного из существующих хостов перед запуском CVSup. При каждом запуске cvsup, вы можете перезаписать настройку хоста из командной строки, используя параметр . Где вы хотите разместить их на своем компьютере? Поле prefix= указывает cvsup где размещать получаемые файлы. В этом примере, мы поместим файлы непосредственно в главное дерево исходных текстов, /usr/src. Каталог src уже подразумевается в коллекциях, которые мы собираемся получить, поэтому корректное указание таково: *default prefix=/usr Где вы хотите разместить файлы статуса cvsup? Клиент CVSup поддерживает определенные файлы статуса в так называемом base каталоге. Эти файлы помогают CVSup работать более эффективно путем поддержки истории уже полученных обновлений. Мы будем использовать стандартный каталог base, /usr/local/etc/cvsup: *default base=/usr/local/etc/cvsup Этот каталог используется по умолчанию, если иное не указано в supfile, поэтому на самом деле строка выше не нужна. Если base каталог не существует, теперь подходящий момент для его создания. Клиент cvsup не запустится, если base каталог не существует. Различные настройки supfile: Существует еще одна строка, которая обычно должна присутствовать в supfile: *default release=cvs delete use-rel-suffix compress release=cvs означает, что сервер должен получать информацию из главного репозитория FreeBSD CVS. Это обычно всегда так, но существуют несколько иных вариантов, изложение которых выходит за пределы этой главы. delete дает CVSup возможность удалять файлы. Вы должны всегда указывать этот параметр, чтобы CVSup мог поддерживать дерево исходных текстов полностью актуальным. CVSup удалит только те файлы, за которые отвечает. Все другие файлы останутся нетронутыми. use-rel-suffix это ... мистика. Если вы действительно хотите узнать о нем, обратитесь к странице справочника &man.cvsup.1;. Иначе просто укажите это поле и не беспокойтесь о нем больше. compress включает использование gzip сжатия при передаче данных. Если ваше сетевое подключение работает со скоростью T1 или быстрее, вам возможно не потребуется использование сжатия. Иначе оно обычно помогает. Все это вместе: Вот полный supfile для нашего примера: *default tag=. *default host=cvsup666.FreeBSD.org *default prefix=/usr *default base=/usr/local/etc/cvsup *default release=cvs delete use-rel-suffix compress src-all Файл <filename>refuse</filename> Как упомянуто выше, CVSup использует метод опроса. В основном это означает, что вы подключаетесь к CVSup серверу, и он говорит Вот то, что вы можете загрузить с меня..., и клиент отвечает OK, я возьму это, это и это. С настройкой по умолчанию CVSup клиент заберет каждый файл, связанный с коллекцией и тегом, выбранным в файле настройки. Однако, это не всегда то, что вам нужно, особенно если вы синхронизируете деревья doc, ports, или www — большинство людей не могут читать на пяти или четырех языках, и следовательно им не требуются локализованные файлы. Если вы обновляете коллекцию портов, это можно обойти путем индивидуального указания каждой коллекции (например, ports-astrology, ports-biology и т.д. вместо коллекции ports-all). Однако, поскольку для деревьев doc и www нет специфичных для языка коллекций, используйте одну из замечательных возможностей CVSup: файл refuse. Файл refuse говорит CVSup, что он не должен забирать каждый файл из коллекции; другими словами, он говорит клиенту отказаться (refuse) от получения с сервера определенных файлов. Файл refuse можно найти (или, если у вас его еще нет, должен быть помещен) в base/sup/. base определен в файле supfile; по умолчанию, base это /usr/local/etc/cvsup, что означает, что по умолчанию файл refuse это /usr/local/etc/cvsup/sup/refuse. Формат файла refuse очень прост; он содержит имена файлов или каталогов, которые вы не хотите загружать. Например, если вы не можете разговаривать ни на каком языке кроме английского и русского, и вы не хотите использовать русскоязычные приложения (или приложения на любом другом языке кроме английского), поместите следующие строки в файл refuse: ports/chinese ports/french ports/german ports/hebrew ports/hungarian ports/japanese ports/korean ports/polish ports/portuguese ports/russian ports/ukrainian ports/vietnamese doc/da_* doc/de_* doc/el_* doc/es_* doc/fr_* doc/it_* doc/ja_* doc/nl_* doc/no_* doc/pl_* doc/pt_* doc/sr_* doc/zh_* и так далее для других языков (полный список находится на странице FreeBSD CVS репозитория). С этой очень полезной возможностью пользователи с низкоскоростным подключением или с поминутной платой за подключение смогут сохранить время, поскольку им более не потребуется загружать файлы, которые они никогда не будут использовать. За более подробной информацией о файлах refuse и замечательных возможностях CVSup, обратитесь к его справочной странице. Запуск <application>CVSup</application> Теперь вы готовы к тестированию обновления. Командная строка для этого очень проста: &prompt.root; cvsup supfile где supfile это конечно имя supfile, который только что был создан. При запуске под X11, cvsup отобразит GUI интерфейс с несколькими полезными кнопками. Нажмите кнопку go и смотрите за его работой. Поскольку в этом примере обновляется существующее дерево /usr/src вам потребуется, запуск программы из под root, чтобы у cvsup были права, необходимые для обновления файлов. Если файл настройки только что создан, и эта программа раньше никогда не использовалась, это может действовать вам на нервы. Есть простой способ для пробного запуска без затрагивания ваших драгоценных файлов. Просто создайте где-нибудь пустой каталог и поместите его в качестве дополнительного аргумента командной строки: &prompt.root; mkdir /var/tmp/dest &prompt.root; cvsup supfile /var/tmp/dest Указанный каталог будет использоваться в качестве места назначения всех обновлений. CVSup будет работать с файлами из /usr/src, но не станет изменять или удалять их. Вместо этого все обновления файлов будут помещены в /var/tmp/dest/usr/src. При запуске таким способом CVSup оставит также неприкосновенным каталог base. Новые версии этих файлов будут записаны в указанный каталог. Если у вас есть права на чтение каталога /usr/src, вам даже не потребуется работать под root для выполнения пробного обновления. Если вы не работаете с X11 или просто не любите GUI, добавьте набор параметров командной строки при запуске cvsup: &prompt.root; cvsup -g -L 2 supfile Параметр указывает CVSup не использовать GUI. Он действует автоматически, если вы не работаете под X11, но иначе вам потребуется его указать. Параметр указывает CVSup выводить информацию о каждом производимом обновлении. Есть три уровня протоколирования, от до . Уровень по умолчанию 0, что означает полное отсутствие сообщений, за исключением сообщений об ошибках. Доступно множество других параметров. Для получения их краткого списка, наберите cvsup -H. За более подробным описанием обратитесь к странице справочника. После проверки работоспособности обновлений вы можете организовать регулярные запуски CVSup с помощью &man.cron.8;. Очевидно, вы не должны позволять CVSup использовать GUI при запуске из &man.cron.8;. Коллекции файлов <application>CVSup</application> Коллекции файлов, доступные через CVSup, организованы иерархически. Существует несколько больших коллекций, и они разделены на несколько меньших под-коллекций. Получение большой коллекции эквивалентно получению каждой из ее подколлекции. Иерархические отношения между коллекциями отражаются путем использования отступов в списке ниже. Наиболее используемые коллекции это src-all, и ports-all. Другие коллекции используются небольшими группами людей для специальных целей и некоторые сайты зеркал могут не содержать их все. cvs-all release=cvs Главный FreeBSD CVS репозиторий, включающий криптографический код. distrib release=cvs Файлы, относящиеся к распространению и зеркалированию FreeBSD. doc-all release=cvs Исходные тексты Руководства FreeBSD и другой документации. Они не включают файлы веб-сайта FreeBSD. ports-all release=cvs Коллекция портов FreeBSD. Если вы не хотите обновлять всю коллекцию ports-all (все дерево портов), а только одну из подколлекций, перечисленных ниже, убедитесь, что вы каждый раз обновляете подколлекцию ports-base! При любых изменениях в инфраструктуре сборки портов подколлекции ports-base, они могут быть использованы настоящими портами довольно скоро. Таким образом, если вы обновляете только настоящие порты и они используют некоторые новые возможности, есть большой шанс того, что их сборка прервется с непонятным сообщением об ошибке. Самое первое, что вы должны сделать, это убедиться, что подколлекция ports-base обновлена. ports-archivers release=cvs Архиваторы. ports-astro release=cvs Порты для астрономии. ports-audio release=cvs Поддержка звука. ports-base release=cvs Инфраструктура сборки портов - различные файлы, расположенные в подкаталогах Mk/ и Tools/ каталога /usr/ports. Пожалуйста, прочтите важное предупреждение выше: вы должны всегда обновлять эту подколлекцию, при каждом обновлении любой части коллекции портов FreeBSD! ports-benchmarks release=cvs Измерение производительности. ports-biology release=cvs Программы для биологии. ports-cad release=cvs Инструменты САПР. ports-chinese release=cvs Поддержка китайского языка. ports-comms release=cvs Коммуникационные программы. ports-converters release=cvs Преобразование кодировок. ports-databases release=cvs Базы данных. ports-deskutils release=cvs Вещи, использовавшиеся на рабочем столе до изобретения компьютеров. ports-devel release=cvs Утилиты разработки. ports-dns release=cvs Программы, имеющие отношение к DNS. ports-editors release=cvs Редакторы. ports-emulators release=cvs Эмуляторы других операционных систем. ports-finance release=cvs Финансовые, расчетные и связанные с ними приложения. ports-ftp release=cvs Клиентские и серверные утилиты FTP. ports-games release=cvs Игры. ports-german release=cvs Поддержка немецкого языка. ports-graphics release=cvs Графические утилиты. ports-hungarian release=cvs Поддержка венгерского языка. ports-irc release=cvs IRC утилиты. ports-japanese release=cvs Поддержка японского языка. ports-java release=cvs &java; утилиты. ports-korean release=cvs Поддержка корейского языка. ports-lang release=cvs Языки программирования. ports-mail release=cvs Почтовое программное обеспечение. ports-math release=cvs Математические программы. ports-mbone release=cvs Приложения MBone. ports-misc release=cvs Различные утилиты. ports-multimedia release=cvs Мультимедийное программное обеспечение. ports-net release=cvs Сетевое программное обеспечение. ports-news release=cvs Программное обеспечение новостей USENET. ports-palm release=cvs Программная поддержка для Palm. ports-polish release=cvs Поддержка польского языка. ports-portuguese release=cvs Поддержка португальского языка. ports-print release=cvs Программы печати. ports-russian release=cvs Поддержка русского языка. ports-security release=cvs Утилиты безопасности. ports-shells release=cvs Оболочки командной строки. ports-sysutils release=cvs Системные утилиты. ports-textproc release=cvs Утилиты обработки текста (не включают настольные утилиты публикации). ports-vietnamese release=cvs Поддержка вьетнамского языка. ports-www release=cvs Программы, относящиеся к World Wide Web. ports-x11 release=cvs Порты с поддержкой X window system. ports-x11-clocks release=cvs Часы X11. ports-x11-fm release=cvs Файловые менеджеры X11. ports-x11-fonts release=cvs Шрифты и шрифтовые утилиты X11. ports-x11-toolkits release=cvs Пакеты разработки приложений для X11. ports-x11-servers Серверы X11. ports-x11-wm Оконные менеджеры X11. src-all release=cvs Основные исходные тексты FreeBSD, включая криптографический код. src-base release=cvs Различные файлы непосредственно из /usr/src. src-bin release=cvs Утилиты, которые могут потребоваться в однопользовательском режиме (/usr/src/bin). src-contrib release=cvs Утилиты и библиотеки, заимствованные проектом FreeBSD, используются почти без модификаций (/usr/src/contrib). src-crypto release=cvs Криптографические утилиты и библиотеки, заимствованные проектом FreeBSD, используются почти без модификаций (/usr/src/crypto). src-eBones release=cvs Kerberos и DES (/usr/src/eBones). Не используются в текущих релизах FreeBSD. src-etc release=cvs Файлы настройки системы (/usr/src/etc). src-games release=cvs Игры (/usr/src/games). src-gnu release=cvs Утилиты, попадающие под GNU Public License (/usr/src/gnu). src-include release=cvs Файлы заголовков (/usr/src/include). src-kerberos5 release=cvs Пакет безопасности Kerberos5 (/usr/src/kerberos5). src-kerberosIV release=cvs Пакет безопасности KerberosIV (/usr/src/kerberosIV). src-lib release=cvs Библиотеки (/usr/src/lib). src-libexec release=cvs Системные программы, обычно выполняемые другими программами (/usr/src/libexec). src-release release=cvs Файлы, необходимые для производства релизов FreeBSD (/usr/src/release). src-sbin release=cvs Системные утилиты для однопользовательского режима (/usr/src/sbin). src-secure release=cvs Криптографические библиотеки и команды (/usr/src/secure). src-share release=cvs Файлы, которые могут быть использованы несколькими системами (/usr/src/share). src-sys release=cvs Ядро (/usr/src/sys). src-sys-crypto release=cvs Криптографический код ядра (/usr/src/sys/crypto). src-tools release=cvs Различные инструменты для поддержки FreeBSD (/usr/src/tools). src-usrbin release=cvs Пользовательские утилиты (/usr/src/usr.bin). src-usrsbin release=cvs Системные утилиты (/usr/src/usr.sbin). www release=cvs Исходные тексты www сайта FreeBSD. distrib release=self Собственные файлы настройки сервера CVSup. Используются зеркалами CVSup. gnats release=current База данных отслеживания ошибок GNATS. mail-archive release=current Архив списков рассылки FreeBSD. www release=current Файлы предобработки WWW сайта FreeBSD (не исходные файлы). Используются зеркалами WWW. Дальнейшая информация CVSup FAQ и другая информация о CVSup находится на Домашней странице CVSup. Большая часть связанных с FreeBSD обсуждений CVSup проводилась в &a.hackers;. Новые версии программного обеспечения анонсируются здесь и в &a.announce;. Вопросы и сообщения об ошибках адресуйте автору программы cvsup-bugs@polstra.com. Зеркала CVSup CVSup серверы для FreeBSD работают на следующих сайтах: &chap.mirrors.cvsup.inc; Теги CVS При получении или обновлении исходных текстов через cvs или CVSup должен быть указан тег (определяющий точку во времени). Тег относится либо к определенной линии разработки FreeBSD, либо к определенному моменту времени. Первый тип называется тегом ветви, второй тип называется тегом релиза. Теги ветвей Все они, за исключением HEAD (который всегда работает), относятся только к дереву src/. Деревья ports/, doc/ и www/ не имеют тегов ветвей. HEAD Символическое имя для основной ветви разработки, FreeBSD-CURRENT. Используется по умолчанию, если тег не указан. В CVSup, этот тег представлен символом . (не знак пунктуации, а символ .). В CVS тег по умолчанию используется, если тег не указан вообще. Обычно не очень хорошей идеей является обновление до CURRENT на машине со STABLE, только если вы не стремитесь именно к этому. RELENG_5_2 Ветвь релиза для FreeBSD-5.2 и FreeBSD-5.2.1, используемая только для исправлений безопасности и других критических исправлений. RELENG_5_1 Ветвь релиза для FreeBSD-5.1, используемая только для исправлений безопасности и других критических исправлений. RELENG_5_0 Ветвь релиза для FreeBSD-5.0, используемая только для исправлений безопасности и других критических исправлений. RELENG_4 Ветвь разработки FreeBSD-4.X, известная также как FreeBSD-STABLE. + + RELENG_4_10 + + + Ветвь релиза для FreeBSD-4.10, используемая только + для исправлений безопасности и других критических + исправлений. + + + RELENG_4_9 Ветвь релиза для FreeBSD-4.9, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_8 Ветвь релиза для FreeBSD-4.8, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_7 Ветвь релиза для FreeBSD-4.7, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_6 Ветвь релиза для FreeBSD-4.6 и FreeBSD-4.6.2, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_5 Ветвь релиза для FreeBSD-4.5, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_4 Ветвь релиза для FreeBSD-4.4, используемая только для исправлений безопасности и других критических исправлений. RELENG_4_3 Ветвь релиза для FreeBSD-4.3, используемая только для исправлений безопасности и других критических исправлений. RELENG_3 Ветвь разработки для FreeBSD-3.X, известная также как 3.X-STABLE. RELENG_2_2 Ветвь разработки для FreeBSD-2.2.X, известная также как 2.2-STABLE. Эта ветвь по большей части устарела. Теги релизов Эти ветви соответствуют дереву FreeBSD src/ tree (а также деревьям ports/, doc/, и www/) в определенные моменты времени, когда были выпущены определенные релизы FreeBSD. + + RELENG_4_10_0_RELEASE + + + FreeBSD 4.10 + + + RELENG_5_2_1_RELEASE FreeBSD 5.2.1 RELENG_5_2_0_RELEASE FreeBSD 5.2 RELENG_4_9_0_RELEASE FreeBSD 4.9 RELENG_5_1_0_RELEASE FreeBSD 5.1 RELENG_4_8_0_RELEASE FreeBSD 4.8 RELENG_5_0_0_RELEASE FreeBSD 5.0 RELENG_4_7_0_RELEASE FreeBSD 4.7 RELENG_4_6_2_RELEASE FreeBSD 4.6.2 RELENG_4_6_1_RELEASE FreeBSD 4.6.1 RELENG_4_6_0_RELEASE FreeBSD 4.6 RELENG_4_5_0_RELEASE FreeBSD 4.5 RELENG_4_4_0_RELEASE FreeBSD 4.4 RELENG_4_3_0_RELEASE FreeBSD 4.3 RELENG_4_2_0_RELEASE FreeBSD 4.2 RELENG_4_1_1_RELEASE FreeBSD 4.1.1 RELENG_4_1_0_RELEASE FreeBSD 4.1 RELENG_4_0_0_RELEASE FreeBSD 4.0 RELENG_3_5_0_RELEASE FreeBSD-3.5 RELENG_3_4_0_RELEASE FreeBSD-3.4 RELENG_3_3_0_RELEASE FreeBSD-3.3 RELENG_3_2_0_RELEASE FreeBSD-3.2 RELENG_3_1_0_RELEASE FreeBSD-3.1 RELENG_3_0_0_RELEASE FreeBSD-3.0 RELENG_2_2_8_RELEASE FreeBSD-2.2.8 RELENG_2_2_7_RELEASE FreeBSD-2.2.7 RELENG_2_2_6_RELEASE FreeBSD-2.2.6 RELENG_2_2_5_RELEASE FreeBSD-2.2.5 RELENG_2_2_2_RELEASE FreeBSD-2.2.2 RELENG_2_2_1_RELEASE FreeBSD-2.2.1 RELENG_2_2_0_RELEASE FreeBSD-2.2.0 AFS сайты AFS серверы для FreeBSD работают на следующих сайтах: Швеция Часть файлов: /afs/stacken.kth.se/ftp/pub/FreeBSD/ stacken.kth.se # Stacken Computer Club, KTH, Sweden 130.237.234.43 #hot.stacken.kth.se 130.237.237.230 #fishburger.stacken.kth.se 130.237.234.3 #milko.stacken.kth.se Ответственный ftp@stacken.kth.se rsync сайты Следующие сайты организуют доступ к FreeBSD через протокол rsync Утилита rsync работает в основном тем же путем, что и команда &man.rcp.1;, но поддерживает больше параметров и использует протокол удаленного обновления rsync, который передает только разницу между двумя наборами файлов, что значительно повышает скорость синхронизации по сети. Это особенно полезно, если вы поддерживаете зеркало сервера FreeBSD FTP, или репозитория CVS. Пакет rsync доступен для многих операционных систем, в FreeBSD используйте порт net/rsync или пакет. Чешская республика rsync://ftp.cz.FreeBSD.org/ Доступные коллекции: ftp: Частичное зеркало FreeBSD FTP сервера. FreeBSD: Полное зеркало FreeBSD FTP сервера. Германия rsync://grappa.unix-ag.uni-kl.de/ Доступные соединения: freebsd-cvs: Полный FreeBSD CVS репозиторий. Этот компьютер помимо прочих также зеркалирует CVS репозитории проектов NetBSD и OpenBSD. Нидерланды rsync://ftp.nl.FreeBSD.org/ Доступные коллекции: vol/3/freebsd-core: Полное зеркало FreeBSD FTP сервера. Великобритания rsync://rsync.mirror.ac.uk/ Доступные коллекции: ftp.FreeBSD.org: Полное зеркало FreeBSD FTP сервера. Соединенные Штаты Америки rsync://ftp-master.FreeBSD.org/ Этот сервер может использоваться только основными зеркалами FreeBSD. Доступные коллекции: FreeBSD: Основной архив FreeBSD FTP сервера. acl: Основной ACL список FreeBSD. rsync://ftp13.FreeBSD.org/ Доступные коллекции: FreeBSD: Полное зеркало FreeBSD FTP сервера. diff --git a/ru_RU.KOI8-R/books/handbook/ppp-and-slip/chapter.sgml b/ru_RU.KOI8-R/books/handbook/ppp-and-slip/chapter.sgml index 7dd3348e5e..47e1ea1fea 100644 --- a/ru_RU.KOI8-R/books/handbook/ppp-and-slip/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/ppp-and-slip/chapter.sgml @@ -1,3245 +1,3245 @@ Jim Mock Реструктурировал, реорганизовал и обновил PPP и SLIP Краткий обзор PPP SLIP В FreeBSD существует множество способов соединения одного компьютера с другим. Для установления соединения с отдельной сетью или интернет через обычный модем, или для открытия доступа к собственному компьютеру необходимо использование PPP или SLIP. В этой главе детально описана настройка таких модемных сервисов. После прочтения этой главы вы будете знать: Как настроить PPP уровня пользователя (user PPP). Как настроить PPP уровня ядра (kernel PPP). Как настроить PPPoE (PPP over Ethernet). Как настроить PPPoA (PPP over ATM). Как настроить SLIP клиента и сервер. PPP user PPP PPP kernel PPP PPP over Ethernet Перед прочтением этой главы вам потребуется: Ознакомиться с основными сетевыми технологиями. Понимать основы и назначение модемного соединения и PPP и/или SLIP. Вы возможно захотите узнать, в чем главное различие между PPP уровня пользователя и ядра. Ответ прост: PPP уровня пользователя обрабатывает входящие и исходящие данные в пространстве пользователя, а не в ядре. В терминах копирования данных между ядром и пространством пользователя это дорогостоящий путь, который однако позволяет значительно расширить возможности реализации PPP. PPP уровня пользователя для связи с внешним миром использует устройство tun, а PPP уровня ядра — устройство ppp. В дальнейшем в этой главе PPP уровня пользователя будет обозначаться просто как ppp, пока не потребуется различать его и любое другое программное обеспечение PPP, такое как pppd. Если не указано иначе, все команды, приведенные в этой главе, должны выполняться под root. Tom Rhodes Обновил и расширил Brian Somers Первоначально предоставил Nik Clayton Дополнительную информацию предоставили Dirk Frömberg Peter Childs PPP уровня пользователя Настройка PPP уровня пользователя Предположения В этом документе предполагается, что у вас есть следующее: ISP PPP Учетная запись у провайдера интернет (Internet Service Provider, ISP), к которому вы подсоединяетесь, используя PPP. Модем или другое подключенное к системе и правильно настроенное устройство, позволяющее подключиться к провайдеру. Номер модемного пула провайдера. PAP CHAP UNIX логин пароль Имя пользователя (логин) и пароль (обычная &unix; пара логин/пароль, или PAP/CHAP пара логин/пароль). сервер имен IP адреса одного или нескольких серверов имен. Обычно провайдер дает для этих целей два IP адреса. Если нет ни одного, вы можете использовать команду enable dns в ppp.conf и ppp настроит список серверов имен. Эта возможность зависит от наличия поддержки согласования DNS в реализации PPP провайдера. Следующая информация может поставляться провайдером, но не является совершенно необходимой: IP адрес шлюза провайдера. Шлюз это компьютер, к которому вы подключитесь и который будет настроен в качестве маршрута по умолчанию (default route). Если у вас нет этой информации, она может быть получена от PPP сервера после подключения. Программой ppp этот IP адрес обозначается как HISADDR. Сетевая маска, которую вы должны использовать. Если провайдер не предоставил ее значение, вы можете использовать 255.255.255.255. статический IP адрес Если провайдер предоставил статический IP и имя хоста, используйте их. Иначе позвольте удаленной стороне назначить свободный IP адрес. Если у вас нет всей необходимой информации, свяжитесь с провайдером. В этом разделе строки файлов настройки из многих примеров пронумерованы. Эти номера приведены только для обсуждения настроек, они не должны помещаться в действующую настройку. Правильные отступы с табуляцией и пробелами также важны. Создание файлов устройств PPP PPPсоздание файлов устройств В обычной ситуации, большинству пользователей нужно только одно устройство tun (/dev/tun0). Ссылки на tun0 ниже могут быть заменены на tunN, где N это любой номер устройства, соответствующий вашей системе. Для систем FreeBSD без &man.devfs.5; (FreeBSD 4.X более ранние), необходимо проверить устройство tun0 (это не требуется, если включена &man.devfs.5;, поскольку файлы устройств будут создаваться автоматически). Простейший способ убедиться, что устройство tun0 настроено правильно, это пересоздать устройство. Для пересоздания устройства выполните следующее: &prompt.root; cd /dev &prompt.root; sh MAKEDEV tun0 Если вам необходимы 16 туннельных устройств, потребуется их создать. Это можно сделать, выполнив следующие команды: &prompt.root; cd /dev &prompt.root; sh MAKEDEV tun15 Автоматическая настройка <application>PPP</application> PPPнастройка И ppp и pppd (реализация PPP уровня ядра) используют файлы настройки, расположенные в каталоге /etc/ppp. Примеры для ppp уровня пользователя можно найти в /usr/share/examples/ppp/. Настройка ppp требует редактирования нескольких файлов, в зависимости от ваших потребностей. То, что вы поместите в эти файлы, зависит в некоторой степени от того, предоставит ли провайдер статический IP адрес (т.е. вы получите один определенный IP адрес и будете использовать его постоянно) или динамический (т.е. ваш IP адрес будет изменяться при каждом подключении к провайдеру). PPP и статические IP адреса PPPсо статическими IP адресами Вам потребуется отредактировать файл настройки /etc/ppp/ppp.conf. Он похож на приведенный ниже пример. Строки, оканчивающиеся на :, вводятся без отступа в начале строки, остальные строки должны быть введены с отступом, как показано в примере. 1 default: 2 set log Phase Chat LCP IPCP CCP tun command 3 ident user-ppp VERSION (built COMPILATIONDATE) 4 set device /dev/cuaa0 5 set speed 115200 6 set dial "ABORT BUSY ABORT NO\\sCARRIER TIMEOUT 5 \ 7 \"\" AT OK-AT-OK ATE1Q0 OK \\dATDT\\T TIMEOUT 40 CONNECT" 8 set timeout 180 9 enable dns 10 11 provider: 12 set phone "(123) 456 7890" 13 set authname foo 14 set authkey bar 15 set login "TIMEOUT 10 \"\" \"\" gin:--gin: \\U word: \\P col: ppp" 16 set timeout 300 17 set ifaddr x.x.x.x y.y.y.y 255.255.255.255 0.0.0.0 18 add default HISADDR Строка 1: Начинает настройку по умолчанию (default). Команды этой настройки выполняются автоматически при запуске ppp. Строка 2: Включает параметры протоколирования. Когда настройка работает удовлетворительно, эта строка должна быть сокращена до следующей формы set log phase tun для предотвращения появления слишком больших лог файлов. Строка 3: Указывает PPP как идентифицировать себя на удаленной стороне. PPP идентифицирует себя на удаленной стороне если возникают проблемы согласования и установки соединения, предоставляя информацию, по которой администратор на удаленной стороне может воспользоваться для решения таких проблем. Строка 4: Указывает устройство, к которому подключен модем. COM1 это /dev/cuaa0, а COM2 это /dev/cuaa1. Строка 5: Устанавливает желаемую скорость подключения к модему. Если 115200 не работает (хотя должна работать для любого относительно нового модема) попробуйте 38400. Строки 6 и 7: PPPPPP уровня пользователя Строка дозвона. PPP уровня пользователя применяет expect-send синтаксис, похожий на синтаксис &man.chat.8;. Обратитесь к странице справочника за информацией о возможностях этого языка. Обратите внимание, что эта команда продолжается на следующей строке для улучшения читаемости. Любая команда в ppp.conf может быть продолжена на следующей строке, если последний символ предыдущей строки \. Строка 8: Устанавливает предельное время ожидания для соединения. Значение 180 секунд используется по умолчанию, так что строка с этим значением чисто косметическая. Строка 9: Указывает PPP запросить у удаленной стороны сервера имен. Если вы работаете с локальным сервером имен, эта строка должна быть закомментирована или удалена. Строка 10: Пустая строка для улучшения читаемости. Пустые строки игнорируются PPP. Строка 11: Определяет настройки для провайдера, называемого provider. Это имя может быть изменено на имя вашего провайдера, чтобы в дальнейшем вы могли использовать для начала соединения. Строка 12: Определяет телефонный номер для этого провайдера. Несколько телефонных номеров могут быть указаны с помощью двоеточия (:) или символа канала (|) в качестве разделителя. Различия между двумя разделителями описаны в &man.ppp.8;. Главным образом они заключаются в том, что если вы хотите перебирать номера, используйте двоеточие. Если вы хотите дозваниваться по первому номеру в первую очередь, и использовать другие номера только если дозвон по первому завершится неудачно, используйте символ канала. Всегда заключайте список номеров в кавычки, как показано в примере. Вы должны включить телефонный номер в кавычки (") если в нем используются пробелы. Отсутствие кавычек может вызвать простую, но трудно обнаруживаемую ошибку. Строки 13 и 14: Задают имя пользователя и пароль. При использовании приглашения login в стиле &unix;, эти значения используются командой set login через переменные \U и \P. При соединении с использованием PAP или CHAP, эти значения используются во время аутентификации. Строка 15: PAP CHAP Если вы используете PAP или CHAP, приглашение на вход не появится, и эта строка должна быть закомментирована или удалена. Обратитесь к странице аутентификация PAP и CHAP за дальнейшей информацией. Строка для входа записана в том же chat-подобном синтаксисе, что и строка для дозвона. В этом примере строка работает для сервиса, сессия входа которого выглядит примерно так: J. Random Provider login: foo password: bar protocol: ppp Вам потребуется изменить эту строку для использования с другим сервисом. При первом составлении скрипта убедитесь, что вы включили chat протоколирование, чтобы убедиться, что соединение происходит как ожидалось. Строка 16: время ожидания Установка максимального времени ожидания по умолчанию для соединения. В данном случае соединение будет разорвано автоматически после 300 секунд неактивности. Если вы не хотите, чтобы соединение разрывалось, установите эту переменную в нуль, или используйте параметр командной строки. Строка 17: ISP Устанавливает адрес интерфейса. Строка x.x.x.x должна быть заменена на IP адрес, который выделил вам провайдер. Строка y.y.y.y должна быть заменена на IP адрес шлюза провайдера (компьютер, к которому вы подключаетесь). Если провайдер не сообщил адрес шлюза, используйте 10.0.0.2/0. Если вам требуется использовать вычисленные адреса, убедитесь, что создана запись в /etc/ppp/ppp.linkup в соответствии с инструкциями для PPP и динамических IP адресов. Если эта строка опущена, ppp не может быть запущен в режиме . Строка 18: Добавляет маршрут по умолчанию к шлюзу провайдера. Специальное слово HISADDR заменяется адресом шлюза, указанном в строке 17. Важно, чтобы эта строка появилась после строки 17, до нее переменная HISADDR еще не инициализирована. Если вы не будете запускать ppp с параметром , эта строка должна быть перемещена в файл ppp.linkup. Нет необходимости добавлять запись в ppp.linkup, если у вас статический IP адрес и ppp работает в режиме , поскольку таблица маршрутизации настроена правильно еще до подключения. Однако, вы возможно захотите создать запись для запуска программ после соединения. Эта ситуация описана далее в примере по sendmail. Примерные файлы настройки находятся в каталоге /usr/share/examples/ppp/. PPP и динамические IP адреса PPPс динамическими IP адресами IPCP Если провайдер не выделил статический IP адрес, ppp может быть настроен для определения локального и удаленного адреса. Это делается путем вычисления IP адреса и настройки его программой ppp с использованием IP Configuration Protocol (IPCP) после установления соединения. Файл настройки ppp.conf тот же, что и в примере PPP и статические IP адреса, со следующим изменением: 17 set ifaddr 10.0.0.1/0 10.0.0.2/0 255.255.255.255 Как и раньше, не включайте номер строки, он используется только для ссылки на строку в этом примере. Требуется отступ хотя бы в один пробел. Строка 17: Номер после символа / это число бит в адресе, которые будут запрошены ppp. Вы можете использовать более подходящие вам IP адреса, но пример выше всегда будет работать. Если вы не используете режим , потребуется создать запись в /etc/ppp/ppp.linkup. Этот файл используется после установки соединения. На этот момент ppp уже настроит адреса интерфейсов и станет возможным добавление записей в таблицу маршрутизации: 1 provider: 2 add default HISADDR Строка 1: При установке соединения, ppp ищет запись в ppp.linkup по следующим правилам: сначала в соответствии с меткой, используемой в ppp.conf. Если это не сработает, ведется поиск записи для IP адреса шлюза. Это метка в IP записывается в виде IP адреса. Если запись все еще не найдена, используется запись MYADDR. Строка 2: Эта строка сообщает ppp добавить маршрут по умолчанию, указывающий на HISADDR. HISADDR будет заменен на IP адрес шлюза, определенного IPCP. Детальный пример находится в записи pmdemand файлов /usr/share/examples/ppp/ppp.conf.sample и /usr/share/examples/ppp/ppp.linkup.sample. Прием входящих звонков PPPприем входящих соединений При настройке ppp для приема входящих звонков на компьютере, подключенном к локальной сети, вам необходимо решить, перенаправлять ли пакеты в локальную сеть. Если вы будете делать это, выделите удаленной стороне IP адрес из диапазона адресов локальной сети, и используйте команду enable proxy в файле /etc/ppp/ppp.conf. Вам потребуется также убедиться, что в файле /etc/rc.conf присутствует строка: gateway_enable="YES" Какой getty? Раздел Настройка FreeBSD для входящих соединений дает хорошее описание включения входящих соединений с использованием &man.getty.8;. Альтернатива getty это mgetty, более интеллектуальная версия getty, разработанная специально для приема входящих звонков.. Преимущество использование mgetty в том, что она активно общается с модемами, то есть если порт будет выключен в /etc/ttys, модем не будет отвечать на звонок. Последние версии mgetty (от 0.99beta и выше) поддерживают также автоматическое определение потоков PPP, позволяя клиентам безскриптовое подключение к серверу. Обратитесь к разделу Mgetty и AutoPPP за дальнейшей информацией по mgetty. Права <application>PPP</application> Программа ppp обычно запускается с правами пользователя root. Если вы хотите разрешить запуск ppp в режиме сервера с правами обычного пользователя путем запуска ppp как описано ниже, этого пользователя необходимо добавить в группу network в файле /etc/group. Вам также потребуется дать ему доступ к одному или более разделов конфигурации, используя команду allow: allow users fred mary Если эта команда используется в разделе default, она дает пользователю полный доступ. Оболочки PPP для пользователей с динамическими IP оболочки PPP Создайте файл, называющийся /etc/ppp/ppp-shell и содержащий следующее: #!/bin/sh IDENT=`echo $0 | sed -e 's/^.*-\(.*\)$/\1/'` CALLEDAS="$IDENT" TTY=`tty` if [ x$IDENT = xdialup ]; then IDENT=`basename $TTY` fi echo "PPP for $CALLEDAS on $TTY" echo "Starting PPP for $IDENT" exec /usr/sbin/ppp -direct $IDENT Этот скрипт должен быть исполняемым. Теперь создайте на этот скрипт символическую ссылку с именем ppp-dialup с помощью следующей команды: &prompt.root; ln -s ppp-shell /etc/ppp/ppp-dialup Используйте этот скрипт в качестве оболочки для удаленных пользователей. Ниже приведен пример записи в /etc/password для удаленных пользователей PPP с именем пользователя pchilds (не забывайте использовать vipw для редактирования файла паролей). pchilds:*:1011:300:Peter Childs PPP:/home/ppp:/etc/ppp/ppp-dialup Создайте каталог /home/ppp, который доступен для чтения и содержит следующие файлы нулевой длины: -r--r--r-- 1 root wheel 0 May 27 02:23 .hushlogin -r--r--r-- 1 root wheel 0 May 27 02:22 .rhosts Это предотвратит отображение /etc/motd. Оболочки PPP для пользователей со статическими IP оболочки PPP Создайте файл ppp-shell как в примере выше, и для каждой учетной записи со статически назначаемым IP создайте символическую ссылку на ppp-shell. Например, если у вас три пользователя удаленного доступа, fred, sam и mary, которые подключаются к вашей сети класса C, выполните следующее: &prompt.root; ln -s /etc/ppp/ppp-shell /etc/ppp/ppp-fred &prompt.root; ln -s /etc/ppp/ppp-shell /etc/ppp/ppp-sam &prompt.root; ln -s /etc/ppp/ppp-shell /etc/ppp/ppp-mary Оболочка каждого из этих пользователей удаленного доступа должна быть символической ссылкой, созданной выше (например, оболочка пользователя mary должна быть /etc/ppp/ppp-mary). Настройка <filename>ppp.conf</filename> для пользователей с динамическими IP Файл /etc/ppp/ppp.conf должен содержать примерно такие строки: default: set debug phase lcp chat set timeout 0 ttyd0: set ifaddr 203.14.100.1 203.14.100.20 255.255.255.255 enable proxy ttyd1: set ifaddr 203.14.100.1 203.14.100.21 255.255.255.255 enable proxy Необходимо соблюдать отступы. Раздел default: загружается для каждого соединения. Для каждой строки, включенной в /etc/ttys, создайте запись, подобную ttyd0: выше. Каждая строка должна содержать уникальные IP адреса из вашего пула IP адресов, выделенных пользователям с динамическими IP. Настройка <filename>ppp.conf</filename> для пользователей со статическими IP Помимо содержимого, описанного в примере файла /usr/share/examples/ppp/ppp.conf выше, вам потребуется добавить раздел для каждого из пользователей со статическими IP. Мы продолжим использовать имена fred, sam и mary в качестве примера. fred: set ifaddr 203.14.100.1 203.14.101.1 255.255.255.255 sam: set ifaddr 203.14.100.1 203.14.102.1 255.255.255.255 mary: set ifaddr 203.14.100.1 203.14.103.1 255.255.255.255 Если требуется, файл /etc/ppp/ppp.linkup должен также содержать информацию о маршрутизации для каждого пользователя со статическим IP. В строке ниже через клиентское соединение добавляется маршрут к сети класса C203.14.101.0. fred: add 203.14.101.0 netmask 255.255.255.0 HISADDR sam: add 203.14.102.0 netmask 255.255.255.0 HISADDR mary: add 203.14.103.0 netmask 255.255.255.0 HISADDR <command>mgetty</command> и AutoPPP mgetty AutoPPP LCP Настройка и компиляция mgetty с параметром AUTO_PPP позволяет mgetty определять LCP фазу PPP соединений и автоматически порождать оболочку ppp. Однако, поскольку стандартный метод логин/пароль не используется, необходима аутентификация пользователей через PAP или CHAP. В этом разделе предполагается, что пользователь успешно настроил, скомпилировал и установил версию mgetty с параметром AUTO_PPP (v0.99beta или более поздняя). Убедитесь, что в файле /usr/local/etc/mgetty+sendfax/login.config имеется следующая строка: /AutoPPP/ - - /etc/ppp/ppp-pap-dialup Это укажет mgetty запускать скрипт ppp-pap-dialup для обнаруженных соединений PPP. Создайте файл /etc/ppp/ppp-pap-dialup, содержащий следующее (этот файл должен быть выполняемым): #!/bin/sh exec /usr/sbin/ppp -direct pap$IDENT Для каждой линии, включенной в /etc/ttys, создайте соответствующую запись в /etc/ppp/ppp.conf. Она будет отлично сочетаться с тем, что было создано выше. pap: enable pap set ifaddr 203.14.100.1 203.14.100.20-203.14.100.40 enable proxy Для каждого пользователя, входящего по этому методу, в файле /etc/ppp/ppp.secret должна присутствовать запись с логином/паролем, или, в качестве альтернативы, для аутентификации пользователей по PAP через /etc/password, необходимо использовать следующий параметр. enable passwdauth Если вы хотите присвоить некоторым пользователям статический IP, задайте его в качестве третьего аргумента в /etc/ppp/ppp.secret. Обратитесь к к /usr/share/examples/ppp/ppp.secret.sample за примерами. MS расширения DNS NetBIOS PPPРасширения Microsoft Возможна настройка PPP для выдачи адресов DNS и NetBIOS по запросу. Для включения этих расширений с PPP версии 1.x, необходимо добавить к соответствующему разделу /etc/ppp/ppp.confследующие строки. enable msext set ns 203.14.100.1 203.14.100.2 set nbns 203.14.100.5 Для PPP версии 2 и выше: accept dns set dns 203.14.100.1 203.14.100.2 set nbns 203.14.100.5 Клиентам будут выдаваться адреса первичного и вторичного серверов имен, и адрес хоста NetBIOS. Если в версии 2 и выше строка set dns будет опущена, PPP использует значения из /etc/resolv.conf. Аутентификация PAP и CHAP PAP CHAP Некоторые провайдеры настраивают систему так, что аутентификация производится с использованием либо PAP либо CHAP. В этом случае, приглашение login: при соединении не выдается и соединение PPP начинается сразу. PAP менее безопасен, чем CHAP, но безопасность в данном случае не страдает, поскольку хотя пароли и передаются открытым текстом, они передаются только по модемной линии. У кракеров не так много возможностей для кражи паролей. В примерах выше PPP и статические IP адреса или PPP и динамические IP адреса должны быть сделаны следующие изменения: 13 set authname MyUserName 14 set authkey MyPassword 15 set login Строка 13: Эта строка указывает имя пользователя PAP/CHAP. Вам потребуется заменить MyUserName на правильное значение. Строка 14: password Эта строка указывает пароль PAP/CHAP. Вам потребуется заменить MyPassword на правильное значение. Вы можете также добавить дополнительную строку, такую как: 16 accept PAP или 16 accept CHAP для явного указания протокола, но и PAP и CHAP поддерживаются по умолчанию. Строка 15: Ваш провайдер обычно не потребует входа на сервер при использовании PAP или CHAP. Следовательно, вы должны отключить строку set login. Изменение настроек <command>ppp</command> <quote>на лету</quote> Возможно изменение настроек ppp программы во время ее работы в фоновом режиме, но только если открыт соответствующий диагностический порт. Для его открытия добавьте в настройку следующую строку: set server /var/run/ppp-tun%d DiagnosticPassword 0177 С этой директивой ppp будет прослушивать заданный &unix; сокет, запрашивая у клиентов пароль перед выдачей доступа. Символы%d заменяются на номер используемого устройства tun. Как только сокет открыт, в скриптах, выполняющих настройку работающей программы, можно использовать &man.pppctl.8;. Использование NAT PPPNAT PPP имеет возможность использовать встроенный NAT без преобразования пакетов в ядре. Эта возможность может быть включена следующей строкой в /etc/ppp/ppp.conf: nat enable yes Альтернативно, PPP NAT может быть включен параметром командной строки -nat. Существует также переменная /etc/rc.conf ppp_nat, которая включена по умолчанию. Если вы используете эту возможность, вы также можете найти полезными параметры /etc/ppp/ppp.conf для включения пересылки входящих соединений: nat port tcp 10.0.0.2:ftp ftp nat port tcp 10.0.0.2:http http или отключить все входящие соединения nat deny_incoming yes Завершающая настройка системы PPPconfiguration Теперь, когда программа ppp настроена, осталось выполнить еще несколько действий прежде, чем все это заработает. Они выполняются путем редактирования файла /etc/rc.conf. Просматривая этот файл, убедитесь, что добавлена строка hostname=, например: hostname="foo.example.com" Если провайдер предоставил вам статический IP адрес и имя, возможно лучше всего использовать это имя в качестве имени хоста. Проверьте переменную network_interfaces. Если вы хотите настроить систему для дозвона по требованию, убедитесь, что устройство tun0 добавлено в список, иначе удалите его. network_interfaces="lo0 tun0" ifconfig_tun0= Переменная ifconfig_tun0 должна быть пуста, необходимо также создать файл /etc/start_if.tun0. В этом файле должна находиться строка: ppp -auto mysystem Этот скрипт выполняется во время настройки сети, запуская даемона ppp в автоматическом режиме. Если эта машина является шлюзом для локальной сети, вы можете также использовать переключатель . Обратитесь к странице справочника за дальнейшей информацией. Убедитесь, что программа маршрутизации отключена переменной в файле /etc/rc.conf: router_enable="NO" routed Важно, чтобы даемон routed не был запущен, поскольку он может удалить запись маршрута по умолчанию, создаваемую ppp. Возможно, стоит обратить внимание на переменную sendmail_flags и убедиться, что она не включает параметр , иначе sendmail попытается сразу же обратиться к сети, и компьютер может начать дозвон. Вы можете попробовать: sendmail_flags="-bd" sendmail Обратная сторона этого решения в том, что необходим запуск очереди sendmail после поднятия соединения ppp: &prompt.root; /usr/sbin/sendmail -q Вы можете использовать команду !bg в файле ppp.linkup для автоматического выполнения этой задачи: 1 provider: 2 delete ALL 3 add 0 0 HISADDR 4 !bg sendmail -bd -q30m SMTP Если вам это не нужно, возможна настройка dfilter для блокирования SMTP трафика. Обратитесь файлам примеров за дальнейшей информацией. Все, что осталось, это перегрузить компьютер. После перезагрузки вы можете либо выполнить: &prompt.root; ppp и затем набрать dial provider для запуска сессии PPP, либо, если вы хотите, чтобы программа ppp начинала соединение автоматически при появлении исходящего трафика (и файл start_if.tun0 не создан), выполните: &prompt.root; ppp -auto provider Итоги Для первоначальной настройки ppp необходимо пройти следующие шаги: Сторона клиента: Убедитесь, что устройство tun встроено в ядро. Убедитесь, что устройства tunN находятся в каталоге /dev. Создайте запись в /etc/ppp/ppp.conf. Пример pmdemand должен подойти для большинства провайдеров. Если у вас динамический IP адрес, создайте запись в /etc/ppp/ppp.linkup. Обновите файл /etc/rc.conf. Создайте скрипт start_if.tun0, если необходим дозвон по требованию. Сторона сервера: Убедитесь, что устройство tun встроено в ядро. Убедитесь, что устройства tunN находятся в каталоге /dev. Создайте запись в /etc/passwd (используя программу &man.vipw.8;). Создайте профиль в домашнем каталоге пользователя, запускающий ppp -direct direct-server или подобную команду. Создайте запись в /etc/ppp/ppp.conf. Пример direct-server должен подойти. Создайте запись в /etc/ppp/ppp.linkup. Обновите файл /etc/rc.conf. Gennady B. Sorokopud Части документа первоначально предоставили Robert Huff PPP уровня ядра Настройка PPP уровня ядра PPPkernel PPP Перед началом настройки PPP на вашем компьютере, убедитесь, что pppd находится в /usr/sbin и каталог /etc/ppp существует. pppd может работать в двух режимах: В качестве клиента — когда вы хотите подключить компьютер к внешнему миру через последовательное соединение PPP или модемную линию. PPPсервер В качестве сервера — когда компьютер подключен к сети и используется для подключения других компьютеров через PPP. В обеих случаях вам потребуется настроить файл параметров (/etc/ppp/options или ~/.ppprc если на вашем компьютере более одного пользователя работают с PPP). Вам потребуется также программа для модемных/последовательных линий (предпочтительно comms/kermit) для дозвона и установки соединения с удаленным хостом. Trev Roydhouse Основано на информации, предоставленной Использование <command>pppd</command> в качестве клиента PPPклиент Cisco Для подключения к линии PPP терминального сервера Cisco может использоваться следующий файл /etc/ppp/options. crtscts # enable hardware flow control modem # modem control line noipdefault # remote PPP server must supply your IP address # if the remote host does not send your IP during IPCP # negotiation, remove this option passive # wait for LCP packets domain ppp.foo.com # put your domain name here :<remote_ip> # put the IP of remote PPP host here # it will be used to route packets via PPP link # if you didn't specified the noipdefault option # change this line to <local_ip>:<remote_ip> defaultroute # put this if you want that PPP server will be your # default router Для подключения: kermit модем Дозвонитесь на удаленный хост, используя kermit (или любую другую модемную программу), и введите ваше имя пользователя и пароль (или те данные, которые требуются для установления PPP соединения с удаленным хостом). Выйдите из kermit (без обрыва соединения). Введите следующее: &prompt.root; /usr/src/usr.sbin/pppd.new/pppd /dev/tty01 19200 Убедитесь, что выбраны подходящая скорость и правильное имя устройства. Теперь ваш компьютер подключен по PPP. Если соединение не состоялось, вы можете добавить параметр к файлу /etc/ppp/options, и отследить проблему по сообщениям на консоли. Следующий скрипт /etc/ppp/pppup проведет все 3 стадии в автоматическом режиме: #!/bin/sh ps ax |grep pppd |grep -v grep pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi ifconfig ppp0 down ifconfig ppp0 delete kermit -y /etc/ppp/kermit.dial pppd /dev/tty01 19200 kermit /etc/ppp/kermit.dial это скрипт kermit, который дозванивается до удаленного хоста и проходит необходимую авторизацию (пример такого скрипта находится в конце этого раздела). Используйте следующий скрипт /etc/ppp/pppdown для отключения от PPP линии: #!/bin/sh pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ X${pid} != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill -TERM ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi /sbin/ifconfig ppp0 down /sbin/ifconfig ppp0 delete kermit -y /etc/ppp/kermit.hup /etc/ppp/ppptest Проверьте, запущен ли еще pppd, выполнив /usr/etc/ppp/ppptest, который выглядит примерно так: #!/bin/sh pid=`ps ax| grep pppd |grep -v grep|awk '{print $1;}'` if [ X${pid} != "X" ] ; then echo 'pppd running: PID=' ${pid-NONE} else echo 'No pppd running.' fi set -x netstat -n -I ppp0 ifconfig ppp0 Для обрыва соединения, выполните /etc/ppp/kermit.hup, который должен содержать: set line /dev/tty01 ; put your modem device here set speed 19200 set file type binary set file names literal set win 8 set rec pack 1024 set send pack 1024 set block 3 set term bytesize 8 set command bytesize 8 set flow none pau 1 out +++ inp 5 OK out ATH0\13 echo \13 exit Существует альтернативный метод, использующий chat вместо kermit: Для установления соединения pppdдостаточно двух файлов. /etc/ppp/options: /dev/cuaa1 115200 crtscts # enable hardware flow control modem # modem control line connect "/usr/bin/chat -f /etc/ppp/login.chat.script" noipdefault # remote PPP serve must supply your IP address # if the remote host doesn't send your IP during # IPCP negotiation, remove this option passive # wait for LCP packets domain <your.domain> # put your domain name here : # put the IP of remote PPP host here # it will be used to route packets via PPP link # if you didn't specified the noipdefault option # change this line to <local_ip>:<remote_ip> defaultroute # put this if you want that PPP server will be # your default router /etc/ppp/login.chat.script: Все это может быть расположено на одной строке. ABORT BUSY ABORT 'NO CARRIER' "" AT OK ATDT<phone.number> CONNECT "" TIMEOUT 10 ogin:-\\r-ogin: <login-id> TIMEOUT 5 sword: <password> Как только эти файлы будут созданы и отредактированы, необходимо только запустить pppd, вот так: &prompt.root; pppd Использование <command>pppd</command> в качестве сервера /etc/ppp/options должен содержать примерно следующее: crtscts # Hardware flow control netmask 255.255.255.0 # netmask (not required) 192.114.208.20:192.114.208.165 # IP's of local and remote hosts # local ip must be different from one # you assigned to the ethernet (or other) # interface on your machine. # remote IP is IP address that will be # assigned to the remote machine domain ppp.foo.com # your domain passive # wait for LCP modem # modem line Следующий скрипт /etc/ppp/pppserv укажет pppd работать в качестве сервера: #!/bin/sh ps ax |grep pppd |grep -v grep pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi # reset ppp interface ifconfig ppp0 down ifconfig ppp0 delete # enable autoanswer mode kermit -y /etc/ppp/kermit.ans # run ppp pppd /dev/tty01 19200 Используйте этот скрипт /etc/ppp/pppservdown для остановки сервера: #!/bin/sh ps ax |grep pppd |grep -v grep pid=`ps ax |grep pppd |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing pppd, PID=' ${pid} kill ${pid} fi ps ax |grep kermit |grep -v grep pid=`ps ax |grep kermit |grep -v grep|awk '{print $1;}'` if [ "X${pid}" != "X" ] ; then echo 'killing kermit, PID=' ${pid} kill -9 ${pid} fi ifconfig ppp0 down ifconfig ppp0 delete kermit -y /etc/ppp/kermit.noans Следующий kermit скрипт (/etc/ppp/kermit.ans) включит/отключит режим ответа модема на входящие звонки. Он должен выглядеть примерно так: set line /dev/tty01 set speed 19200 set file type binary set file names literal set win 8 set rec pack 1024 set send pack 1024 set block 3 set term bytesize 8 set command bytesize 8 set flow none pau 1 out +++ inp 5 OK out ATH0\13 inp 5 OK echo \13 out ATS0=1\13 ; change this to out ATS0=0\13 if you want to disable ; autoanswer mode inp 5 OK echo \13 exit Скрипт, называющийся /etc/ppp/kermit.dial, используется для дозвона и аутентификации на удаленном хосте. Вам потребуется приспособить его под собственные нужды. Поместите ваш логин и пароль в этот скрипт; вам также потребуется изменить операторы input в зависимости от ответов от модема и удаленного хоста. ; ; put the com line attached to the modem here: ; set line /dev/tty01 ; ; put the modem speed here: ; set speed 19200 set file type binary ; full 8 bit file xfer set file names literal set win 8 set rec pack 1024 set send pack 1024 set block 3 set term bytesize 8 set command bytesize 8 set flow none set modem hayes set dial hangup off set carrier auto ; Then SET CARRIER if necessary, set dial display on ; Then SET DIAL if necessary, set input echo on set input timeout proceed set input case ignore def \%x 0 ; login prompt counter goto slhup :slcmd ; put the modem in command mode echo Put the modem in command mode. clear ; Clear unread characters from input buffer pause 1 output +++ ; hayes escape sequence input 1 OK\13\10 ; wait for OK if success goto slhup output \13 pause 1 output at\13 input 1 OK\13\10 if fail goto slcmd ; if modem doesn't answer OK, try again :slhup ; hang up the phone clear ; Clear unread characters from input buffer pause 1 echo Hanging up the phone. output ath0\13 ; hayes command for on hook input 2 OK\13\10 if fail goto slcmd ; if no OK answer, put modem in command mode :sldial ; dial the number pause 1 echo Dialing. output atdt9,550311\13\10 ; put phone number here assign \%x 0 ; zero the time counter :look clear ; Clear unread characters from input buffer increment \%x ; Count the seconds input 1 {CONNECT } if success goto sllogin reinput 1 {NO CARRIER\13\10} if success goto sldial reinput 1 {NO DIALTONE\13\10} if success goto slnodial reinput 1 {\255} if success goto slhup reinput 1 {\127} if success goto slhup if < \%x 60 goto look else goto slhup :sllogin ; login assign \%x 0 ; zero the time counter pause 1 echo Looking for login prompt. :slloop increment \%x ; Count the seconds clear ; Clear unread characters from input buffer output \13 ; ; put your expected login prompt here: ; input 1 {Username: } if success goto sluid reinput 1 {\255} if success goto slhup reinput 1 {\127} if success goto slhup if < \%x 10 goto slloop ; try 10 times to get a login prompt else goto slhup ; hang up and start again if 10 failures :sluid ; ; put your userid here: ; output ppp-login\13 input 1 {Password: } ; ; put your password here: ; output ppp-password\13 input 1 {Entering SLIP mode.} echo quit :slnodial echo \7No dialtone. Check the telephone line!\7 exit 1 ; local variables: ; mode: csh ; comment-start: "; " ; comment-start-skip: "; " ; end: Tom Rhodes Предоставил Решение проблем с соединениями <acronym>PPP</acronym> PPPрешение проблем Этот раздел охватывает несколько вопросов, которые могут возникнуть при использовании PPP через модемные соединения. Например, предположим, что вам потребовалось узнать, какое именно приглашение отображает система, до которой вы дозваниваетесь. Некоторые провайдеры выдают приглашение ssword, другие password; если ppp скрипт не обрабатывает такие приглашения, попытка входа завершится неудачно. Наиболее общий способ отладки соединений ppp это подключение вручную. Ниже дана пошаговая информация по подключению вручную. Проверьте файлы устройств Если вы пересобирали ядро, проверьте устройство sio. Если вы не перенастраивали ядро, нет причин для беспокойства. Просто проверьте вывод dmesg для модемного устройства следующей командой: &prompt.root;dmesg | grep sio Вы должны получить информацию о устройствах sio. Это COM порты, которые нам необходимы. Если ваш модем работает как стандартный последовательный порт, вы увидите его на sio1, или COM2. Если это так, вам не требуется пересобирать ядро, необходимо лишь создать последовательное устройство. Вы можете сделать это, зайдя в /dev и запустив скрипт MAKEDEV. Создайте последовательные устройства: &prompt.root; sh MAKEDEV cuaa0 cuaa1 cuaa2 cuaa3 Если модем находится на sio1, или COM2 в DOS, модемным устройством будет /dev/cuaa1. Подключение вручную Подключение к интернет с контролированием ppp вручную это быстрый, легкий и действенный способ отладки соединения или получения информации о обслуживании провайдером клиентского соединения ppp. Запустите PPP из командной строки. В примерах в качестве имени хоста мы будем использовать example. Запустите ppp, введя команду ppp: &prompt.root; ppp Теперь программа ppp запущена. ppp ON example> set device /dev/cuaa1 Мы указали модемное устройство, в данном случае cuaa1. ppp ON example> set speed 115200 Мы установили скорость подключения к модему, в данном случае 115,200 кбит/с. ppp ON example> enable dns Сообщает ppp настроить разрешение имен, добавив строки в /etc/resolv.conf. Если ppp не может определить имя хоста, его можно настроить позже вручную. ppp ON example> term Переключение в терминальный режим для контроля модема вручную. deflink: Entering terminal mode on /dev/cuaa1 type '~h' for help at OK atdt123456789 Использование команды at для инициализации модема, а затем atdt и номера провайдера для начала дозвона. CONNECT Подтверждение соединения, если есть проблемы с соединением, не вызванные проблемами в оборудовании, здесь мы попытаемся решить их. ISP Login:myusername Здесь вам предлагается ввести имя пользователя в приглашение, выводимое сервером провайдера. ISP Pass:mypassword Здесь предлагается ввести пароль, предоставленный провайдером. Как и при входе в &os;, пароль не отображается. Shell or PPP:ppp В зависимости от вашего провайдера, это приглашение может не появиться. Здесь задается вопрос, хотите ли вы использовать оболочку на компьютере провайдера или запустить ppp. В этом примере мы выбрали ppp, поскольку хотим соединиться с интернет. Ppp ON example> Обратите внимание, что в этом примере первая буква появилась в верхнем регистре. Это означает, что мы успешно подключились к провайдеру. PPp ON example> Мы успешно аутентифицировались у провайдера и ожидаем присвоения IP адреса. PPP ON example> Мы завершили согласование IP адресов, соединение успешно установлено. PPP ON example>add default HISADDR Это маршрут по умолчанию, его необходимо настроить, чтобы сделать возможной связь с внешним миром, поскольку на этот момент установлена связь только с удаленной стороной. Если маршрут не устанавливается из-за уже существующего маршрута, добавьте символ ! перед . Альтернативно вы можете сделать настройку перед установкой соединения. Если все прошло удачно, на данный момент должно работать соединение с интернет, которое можно поместить в фоновый режим клавишами CTRL z. Переход строки PPP в приглашении в нижний регистр (ppp) означает, что соединение было разорвано. Таким образом, символы P в верхнем регистре означают наличие соединения, а в нижнем — потерю соединения. Отладка Если у вас выделенная линия и нет необходимости устанавливать соединение, выключите контроль передачи данных CTS/RTS командой . Это обычно необходимо при подключении к поддерживающим PPP терминальным серверам, когда PPP прерывается при попытке записать данные в ваше соединение, и ожидает сигнала CTS, или Clear To Send, который не появляется. Если вы используете этот параметр, используйте также параметр , который может быть необходим для устранения зависимости от оборудования путем пропускания определенных символов через соединение, обычно XON/XOFF. Обратитесь к странице справочника &man.ppp.8; за более подробной информацией по этому параметру и его использованию. Если у вас старый модем, может потребоваться использование . Проверка четности по умолчанию отключена, но она используется для для устранения ошибок (с серьезным увеличением объема трафика) на старых модемах и у некоторых провайдеров. PPP может не вернуться в командный режим, что обычно вызвано ошибкой согласования, когда провайдер ждет от вас начала процесса согласования. В этот момент использование команды ~p заставит ppp начать отправку настроечной информации. Если вы не получаете приглашения на вход, скорее всего вам требуется использование аутентификации PAP или CHAP вместо &unix; стиля как в примерах выше. Для использования PAP или CHAP просто добавьте следующие параметры PPP перед переходом в терминальный режим: ppp ON example> set authname myusername Необходимо заменить myusername на имя пользователя, выданное провайдером. ppp ON example> set authkey mypassword Где mypassword должен быть заменен на пароль, выданный провайдером. Если вы подключаетесь, не можете определить ни одно доменное имя, попробуйте использовать &man.ping.8; с каким-либо IP адресом и просмотрите выводимую информацию. Если 100 процентов (100%) пакетов теряются, скорее всего не назначен маршрут по умолчанию. Дважды проверьте, что параметр установлен во время соединения. Если вы можете подключиться к удаленному IP адресу, возможно, что адрес сервера имен не был добавлен в /etc/resolv.conf. Этот файл должен выглядеть примерно так: domain example.com nameserver x.x.x.x nameserver y.y.y.y Где x.x.x.x и y.y.y.y должны быть заменены на IP адреса DNS серверов провайдера. Эта информация может предоставляться провайдером, вы можете выяснить это в службе поддержки. Вы можете также настроить &man.syslog.3; для протоколирования PPP соединения. Просто добавьте: !ppp *.* /var/log/ppp.log в файл /etc/syslog.conf. В большинстве случаев эти строки уже присутствуют. Jim Mock Предоставил (с http://node.to/freebsd/how-tos/how-to-freebsd-pppoe.html) Использование PPP через Ethernet (PPPoE) PPPчерез Ethernet PPPoE PPP, через Ethernet Этот раздел описывает настройку PPP через Ethernet (PPP over Ethernet, PPPoE). Настройка ядра Для PPPoE более не требуется настройка ядра. Если необходимая поддержка netgraph не встроена в ядро, она будет динамически загружена ppp. Настройка <filename>ppp.conf</filename> Вот пример работающего ppp.conf: default: set log Phase tun command # you can add more detailed logging if you wish set ifaddr 10.0.0.1/0 10.0.0.2/0 name_of_service_provider: set device PPPoE:xl1 # replace xl1 with your ethernet device set authname YOURLOGINNAME set authkey YOURPASSWORD set dial set login add default HISADDR Запуск <application>ppp</application> Под пользователем root вы можете запустить: &prompt.root; ppp -ddial name_of_service_provider Запуск <application>ppp</application> при загрузке Добавьте к /etc/rc.conf следующее: ppp_enable="YES" ppp_mode="ddial" ppp_nat="YES" # if you want to enable nat for your local network, otherwise NO ppp_profile="name_of_service_provider" Использование тега сервиса PPPoE Иногда для установки соединения необходимо использовать тег сервиса. Теги сервисов используются для различения PPPoE серверов, подключенных к одной сети. В документации, предоставляемой провайдером, должна находиться необходимая информация о теге сервиса. Если вы не можете ее обнаружить, обратитесь в службу поддержки. В крайнем случае, вы можете попробовать метод, предложенный в программе Roaring Penguin PPPoE, которая находится в коллекции портов. Учтите, что этот метод может сделать ваш модем неработоспособным, так что дважды подумайте перед тем, как воспользоваться им. Просто установите программу, поставляемую с модемом вашим провайдером. Затем, войдите в меню System программы. Имя вашего профиля должно находиться здесь. Обычно это ISP. Имя профиля (тег сервиса) будет использоваться в записи настройки PPPoE в файле ppp.conf (часть команды set device, относящаяся к провайдеру). Обратитесь к странице справочника &man.ppp.8; за более подробной информацией. Эта команда должна выглядеть примерно так: set device PPPoE:xl1:ISP Не забудьте изменить xl1 на имя устройства вашей Ethernet карты. Не забудьте изменить ISP на профиль, определенный вами ранее. Дополнительная информация: Cheaper Broadband with FreeBSD on DSL, опубликовал Renaud Waldura. Nutzung von T-DSL und T-Online mit FreeBSD by Udo Erdelhoff (на немецком). PPPoE c &tm.3com; <trademark class="registered">HomeConnect</trademark> ADSL Modem Dual Link Этот модем не поддерживает RFC 2516 (Метод соединения PPP через Ethernet (PPPoE), написанный L. Mamakos, K. Lidl, J. Evarts, D. Carrel, D. Simone, и R. Wheeler). Вместо этого, для фреймов Ethernet используются различные коды типов пакетов. Сообщите 3Com если считаете, что они должны соблюдать спецификации PPPoE. Для включения поддержки этого нестандартного устройства, в FreeBSD необходимо установить переменную sysctl. Это может быть сделано автоматически, поместите в /etc/sysctl.conf следующую переменную: net.graph.nonstandard_pppoe=1 или, для непосредственного включения, выполните команду sysctl net.graph.nonstandard_pppoe=1. К сожалению, поскольку эта настройка влияет на всю систему, невозможно одновременно взаимодействовать с нормальным PPPoE клиентом или сервером и &tm.3com; HomeConnect ADSL Modem. Использование <application>PPP</application> через ATM (PPPoA) PPPчерез ATM PPPoA PPP, через ATM Далее описано как настроить PPP через ATM (PPP over ATM, PPPoA). PPPoA популярен у европейских провайдеров DSL. Использование PPPoA с Alcatel &speedtouch; USB Поддержка PPPoA для этого устройства в FreeBSD поставляется в виде порта, поскольку встроенное программное обеспечение поставляется под лицензионным соглашением Alcatel и не может свободно распространяться с основной системой FreeBSD. Для установки этой программы, просто используйте коллекцию портов. Установите порт net/pppoa и следуйте инструкциям. Как и многие устройства USB, Alcatel &speedtouch; USB должен загрузить встроенное программное обеспечение с компьютера. Возможна автоматизация этого процесса в &os;, чтобы эта передача происходила при подключении устройства к порту USB. Для включения этой автоматической передачи необходимо добавить в /etc/usbd.conf нижеприведенную информацию. Этот файл необходимо отредактировать под пользователем root. device "Alcatel SpeedTouch USB" devname "ugen[0-9]+" vendor 0x06b9 product 0x4061 attach "/usr/local/sbin/modem_run -f /usr/local/libdata/mgmt.o" Для включения даемона USB, usbd, поместите в /etc/rc.conf следующую строку: usbd_enable="YES" Возможна также настройка ppp для дозвона при запуске. Для этого добавьте в /etc/rc.conf нижеприведенные строки. Опять же, для этого вам необходимо войти под пользователем root. ppp_enable="YES" ppp_mode="ddial" ppp_profile="adsl" Необходимо также использовать пример файла ppp.conf, поставляемый с портом net/pppoa. Использование mpd Вы можете использовать mpd для подключения к различным сервисам, в частности к сервисам PPTP. Вы можете найти mpd в коллекции портов, net/mpd. Многие ADSL модемы требуют, чтобы PPTP туннель был создан между модемом и компьютером, один из таких модемов это Alcatel &speedtouch; Home. Сначала установите порт, затем настройте mpd под собственные нужды и настройки провайдера. Порт помещает набор примеров настройки в каталог PREFIX/etc/mpd/. PREFIX означает каталог, в который устанавливаются порты, по умолчанию это /usr/local/. Полное руководство по настройке mpd доступно в HTML формате после установки порта. Оно находится в - PREFIX/share/mpd/. + PREFIX/share/doc/mpd/. Ниже находится пример настройки mpd для соединения с ADSL сервисом. Настройка разделена на два файла, первый это mpd.conf: default: load adsl adsl: new -i ng0 adsl adsl set bundle authname username set bundle password password set bundle disable multilink set link no pap acfcomp protocomp set link disable chap set link accept chap set link keep-alive 30 10 set ipcp no vjcomp set ipcp ranges 0.0.0.0/0 0.0.0.0/0 set iface route default set iface disable on-demand set iface enable proxy-arp set iface idle 0 open Имя пользователя, используемое для аутентификации у провайдера. Пароль, используемый для аутентификации у провайдера. Файл mpd.links содержит информацию о соединении или соединениях, которые вы планируете установить. Пример mpd.links, соответствующий приведенному выше примеру: adsl: set link type pptp set pptp mode active - set pptp enable originate incoming outcall + set pptp enable originate outcall set pptp self 10.0.0.1 set pptp peer 10.0.0.138 IP адрес компьютера &os;, с которого вы будете использовать mpd. IP адрес модема ADSL. Для Alcatel &speedtouch; Home этот адрес по умолчанию 10.0.0.138. Инициализация соединения возможно простым выполнением следующей команды под root: &prompt.root; mpd -b adsl Вы можете просмотреть статус соединения с помощью следующей команды: &prompt.user; ifconfig ng0 ng0: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> mtu 1500 inet 216.136.204.117 --> 204.152.186.171 netmask 0xffffffff Использование mpd это рекомендуемый способ подключения к сервису ADSL из &os;. Использование pptpclient Возможно также использование FreeBSD для подключения к сервисам PPPoA с помощью net/pptpclient. Для подключения к сервису DSL с использованием net/pptpclient, установите порт или пакет и отредактируйте /etc/ppp/ppp.conf. Вам потребуется работать под root. Пример настройки ppp.conf дан ниже. За дальнейшей информацией по параметрам ppp.conf обратитесь к странице справочника ppp, &man.ppp.8;. adsl: set log phase chat lcp ipcp ccp tun command set timeout 0 enable dns set authname username set authkey password set ifaddr 0 0 add default HISADDR Имя пользователя вашей учетной записи у провайдера DSL. Пароль для вашей учетной записи. Поскольку вам необходимо поместить пароль в незашифрованном виде в файл ppp.conf, убедитесь что никто другой не сможет прочесть содержимое этого файла. Следующая последовательность команд сделает этот файл доступным для чтения только пользователю root. Обратитесь к страницам справочника &man.chmod.1; и &man.chown.8; за дальнейшей информацией. &prompt.root; chown root:wheel /etc/ppp/ppp.conf &prompt.root; chmod 600 /etc/ppp/ppp.conf Следующая команда откроет туннель для PPP сессии к вашему DSL маршрутизатору. Модемы Ethernet DSL поставляются с настроенным IP адресом локальной сети, к которому вы подключаетесь. У Alcatel &speedtouch; Home этот адрес 10.0.0.138. В документации на ваш маршрутизатор должно быть указано, какой адрес используется. Для открытия туннеля и начала PPP сессии выполните: &prompt.root; pptp address adsl Чтобы вернуться в приглашение командной строки после выполнения этой команды, добавьте символ & в конец строки. Устройство виртуального туннеля tun будет создано для взаимодействия между процессами pptp и ppp. Как только вы вернетесь в приглашение, или процесс pptp выполнит соединение, вы можете проверить туннель примерно такой командой: &prompt.user; ifconfig tun0 tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1500 inet 216.136.204.21 --> 204.152.186.171 netmask 0xffffff00 Opened by PID 918 Если вы не сможете соединиться, проверьте настройку маршрутизатора, которая обычно доступна через telnet или через веб браузер. Если вы все еще не можете подключиться, проверьте вывод команды pptp и содержимое лог файла ppp, /var/log/ppp.log. Satoshi Asami Первоначально предоставил Guy Helmer Дополнительный материал предоставили Piero Serini Использование SLIP SLIP Настройка SLIP клиента SLIPклиент Ниже дан один из способов настройки FreeBSD для подключения к SLIP сети со статическим адресом. Для динамического подключения (адрес изменяется при каждом дозвоне) возможно потребуется более сложная настройка. Сначала определите, к какому последовательному порту подключен модем. Многие создают символическую ссылку, такую как /dev/modem, на настоящий файл устройства, /dev/cuaaN. Это позволяет абстрагироваться от имени файла устройства, например если вы переносите модем на другой порт. Довольно сложно править множество файлов в /etc и .kermrc во всей системе! /dev/cuaa0 это COM1, cuaa1 это COM2, и т.д. Убедитесь, что в вашем файле настройки ядра присутствует строка: pseudo-device sl 1 Эта строка включена в ядро GENERIC, так что если вы ее не удаляли, проблем быть не должно. То, что необходимо сделать только один раз Добавьте ваш компьютер, шлюз и сервера имен в файл /etc/hosts. Вот пример такого файла: 127.0.0.1 localhost loghost 136.152.64.181 water.CS.Example.EDU water.CS water 136.152.64.1 inr-3.CS.Example.EDU inr-3 slip-gateway 128.32.136.9 ns1.Example.EDU ns1 128.32.136.12 ns2.Example.EDU ns2 Убедитесь, что в файле /etc/host.conf находится перед (для FreeBSD версий до 5.0). Начиная с FreeBSD 5.0, система использует файл /etc/nsswitch.conf, убедитесь, что параметр находится перед в строке этого файла. Без этого параметра могут происходить странные вещи. Отредактируйте файл /etc/rc.conf. Установите имя хоста, настроив переменную hostname: hostname="myname.my.domain" Здесь необходимо использовать полное доменное имя вашего компьютера в интернет. Добавьте sl0 к списку сетевых интерфейсов, изменив переменную: network_interfaces="lo0" на: network_interfaces="lo0 sl0" Измените параметры sl0, добавив строку: ifconfig_sl0="inet ${hostname} slip-gateway netmask 0xffffff00 up" маршрут по умолчанию Назначьте маршрутизатор по умолчанию, изменив строку: defaultrouter="NO" на: defaultrouter="slip-gateway" Создайте файл /etc/resolv.conf, содержащий: domain CS.Example.EDU nameserver 128.32.136.9 nameserver 128.32.136.12 сервер имен имя домена Как вы видите, здесь указаны адреса серверов имен. Конечно, реальные имена доменов и адреса для вас будут другими. Перегрузите компьютер и убедитесь, что его имя хоста настроено правильно. Создание SLIP соединения SLIPсоединение Дозвонитесь на удаленный сервер, введите slip в приглашение, имя своего компьютера и пароль. Все, что требуется ввести в вашем случае. Если вы используете kermit, попробуйте такой скрипт: # kermit setup set modem hayes set line /dev/modem set speed 115200 set parity none set flow rts/cts set terminal bytesize 8 set file type binary # The next macro will dial up and login define slip dial 643-9600, input 10 =>, if failure stop, - output slip\x0d, input 10 Username:, if failure stop, - output silvia\x0d, input 10 Password:, if failure stop, - output ***\x0d, echo \x0aCONNECTED\x0a Конечно, вам потребуется заменить имя хоста и пароль на ваши собственные. После этого, для подключения просто введите slip из приглашения kermit. Хранение пароля в любом месте файловой системы в незашифрованном виде это обычно плохая идея. Вы делаете это на свой риск. Выйдите из kermit (вы можете приостановить его, нажав Ctrl z ) и введите под root: &prompt.root; slattach -h -c -s 115200 /dev/modem Если вы сможете выполнить ping для хостов по другую сторону маршрутизатора, вы подключились! Если это не работает, попробуйте параметр slattach вместо . Как прервать соединение: Сделайте следующее: &prompt.root; kill -INT `cat /var/run/slattach.modem.pid` для остановки slattach. Помните, что вы должны работать под root для выполнения этой команды. Затем вернитесь в kermit (запустив fg, если он приостановлен) и выйдите из него (q). Страница справочника slattach сообщает, что для отключения интерфейса необходимо использовать ifconfig sl0 down, но это похоже не играет никакой роли. (ifconfig sl0 сообщает о том же.) Иногда модем может не сбросить соединение (это бывает довольно часто). В этом случае просто запустите kermit и выйдите из него еще раз. При второй попытке соединение обычно разрывается. Решение проблем Вот наиболее часто встречающиеся ситуации: Не используются параметры slattach или (это может быть не фатально, но иногда вызывает проблемы.) Используется вместо (с некоторыми шрифтами сложно увидеть разницу). Попробуйте использовать ifconfig sl0 для просмотра статуса интерфейса. Например, вы можете получить такую информацию: &prompt.root; ifconfig sl0 sl0: flags=10<POINTOPOINT> inet 136.152.64.181 --> 136.152.64.1 netmask ffffff00 Если вы получите сообщение no route to host от команды ping, возможно это проблема с таблицей маршрутизации. Используйте команду netstat -r для отображения существующих маршрутов: &prompt.root; netstat -r Routing tables Destination Gateway Flags Refs Use IfaceMTU Rtt Netmasks: (root node) (root node) Route Tree for Protocol Family inet: (root node) => default inr-3.Example.EDU UG 8 224515 sl0 - - localhost.Exampl localhost.Example. UH 5 42127 lo0 - 0.438 inr-3.Example.ED water.CS.Example.E UH 1 0 sl0 - - water.CS.Example localhost.Example. UGH 34 47641234 lo0 - 0.438 (root node) Предыдущий пример получен на относительно загруженной системе. Числа в вашей системе будут сильно зависеть от загрузки сети. Настройка SLIP сервера SLIPсервер Этот документ предоставляет решение для настройки SLIP сервера в системе FreeBSD, что обычно означает настройку системы для автоматического запуска соединений при удаленном входе SLIP клиентов. Предварительные требования сеть TCP/IP Информация в этом разделе чисто техническая, поэтому требуются некоторые предварительные знания. Предполагается, что вы знакомы с сетевым протоколом TCP/IP, и в частности, с адресацией сетей и хостов, сетевыми масками, делением на подсети, маршрутизацией и протоколами маршрутизации, такими как RIP. Настройка SLIP сервисов на сервере удаленного доступа требует знания этих концепций, и если вы не знакомы с ними, прочтите или книгу TCP/IP Network Administration от Craig Hunt, опубликованную O'Reilly & Associates, Inc. (ISBN Number 0-937175-82-X), или книги Douglas Comer по протоколу TCP/IP. модем В дальнейшем предполагается, что вы уже настроили ваш модем (модемы) и настроили соответствующие системные файлы для разрешения входа через них. Если вы еще не подготовили систему соответствующим образом, обратитесь к руководству по настройке сервисов удаленного входа; просмотрите список руководств на http://www.FreeBSD.org/ru/. Вы можете также обратиться к странице справочника &man.sio.4; за информацией о драйвере последовательного порта и к страницам &man.gettytab.5;, &man.getty.8; и &man.init.8; за информацией по настройке системы для удаленного входа в систему через модемы, и возможно &man.stty.1; за информацией о настройке параметров последовательных портов (таких как clocal для подключаемых непосредственно последовательных интерфейсов). Краткий обзор В типичной конфигурации FreeBSD работает в качестве SLIP сервера так: пользователь SLIP дозванивается на FreeBSD SLIP сервер и входит в систему со специальным SLIP логином, использующим /usr/sbin/sliplogin в качестве оболочки. Программа sliplogin просматривает файл /etc/sliphome/slip.hosts на предмет строки, соответствующей специальному пользователю, и если находит совпадение, подключает последовательную линию к доступному SLIP интерфейсу, а затем запускает shell скрипт /etc/sliphome/slip.login для настройки SLIP интерфейса. Пример входа на SLIP сервер Например, идентификатор пользователя на SLIP сервере Shelmerg. Соответствующая запись в /etc/master.passwd будет выглядеть примерно так: Shelmerg:password:1964:89::0:0:Guy Helmer - SLIP:/usr/users/Shelmerg:/usr/sbin/sliplogin Когда Shelmerg входит в систему, sliplogin ищет строку в /etc/sliphome/slip.hosts, в которой находится соответствующий идентификатор пользователя; например, строка может быть такой: Shelmerg dc-slip sl-helmer 0xfffffc00 autocomp После обнаружения этой строки sliplogin подключает последовательную линию к следующему доступному SLIP интерфейсу, а затем выполняет /etc/sliphome/slip.login примерно так: /etc/sliphome/slip.login 0 19200 Shelmerg dc-slip sl-helmer 0xfffffc00 autocomp Если все проходит нормально, /etc/sliphome/slip.login вызовет ifconfig для SLIP интерфейса, к которому подключилась программа sliplogin (slip интерфейс 0 в примере выше, первый параметр в списке, задаваемом slip.login) для установки локального IP адреса ((dc-slip), удаленного IP адреса (sl-helmer), сетевой маски для SLIP интерфейса (0xfffffc00), и любых дополнительных флагов (autocomp). Если что-то идет не так, sliplogin обычно протоколирует соответствующие сообщения в через уровень daemon syslog; эти сообщения как правило попадают в /var/log/messages (обратитесь к страницам справочника &man.syslogd.8; и &man.syslog.conf.5;, а также проверьте файл /etc/syslog.conf, чтобы выяснить, что протоколирует syslogd и куда помещается информация). Достаточно примеров — давайте начнем настройку системы. Настройка ядра ядронастройка Стандартное ядро FreeBSD обычно поставляется с двумя SLIP интерфейсами ((sl0 и sl1); вы можете использовать команду netstat -i, чтобы выяснить, определены ли эти интерфейсы в вашем ядре. Пример вывода netstat -i: Name Mtu Network Address Ipkts Ierrs Opkts Oerrs Coll ed0 1500 <Link>0.0.c0.2c.5f.4a 291311 0 174209 0 133 ed0 1500 138.247.224 ivory 291311 0 174209 0 133 lo0 65535 <Link> 79 0 79 0 0 lo0 65535 loop localhost 79 0 79 0 0 sl0* 296 <Link> 0 0 0 0 0 sl1* 296 <Link> 0 0 0 0 0 Наличие в выводе netstat -i интерфейсов sl0 и sl1 означает, что SLIP интерфейсы встроены в ядро (символ * показывает неактивность интерфейсов). Ядро FreeBSD по умолчанию не пересылает пакеты между интерфейсами (компьютер FreeBSD не работает как маршрутизатор), вследствие требований RFC (см. RFCs 1009 [Requirements for Internet Gateways], 1122 [Requirements for Internet Hosts — Communication Layers], и возможно 1127 [A Perspective on the Host Requirements RFCs]). Если вы хотите, чтобы FreeBSD SLIP работал в качестве маршрутизатора, отредактируйте файл /etc/rc.conf и присвойте переменной gateway_enable значение . Для вступления изменений в силу потребуется перезагрузка. В файле настройки стандартного ядра (/sys/i386/conf/GENERIC) находится строка: pseudo-device sl 2 SLIP Она определяет число доступных устройств SLIP в ядре; Число в конце строки определяет максимально возможное количество одновременных SLIP соединений. Обратитесь к за информацией по настройке ядра FreeBSD. Настройка sliplogin Как упоминалось ранее, в каталоге /etc/sliphome находятся три файла, являющиеся частью настройки для /usr/sbin/sliplogin (для sliplogin существует страница справочника, &man.sliplogin.8;): slip.hosts, определяющий список пользователей SLIP и связанные с ними IP адреса; slip.login, который обычно всего лишь настраивает SLIP интерфейс; slip.logout, который восстанавливает состояние системы до запуска slip.login после завершения последовательного соединения. Настройка <filename>slip.hosts</filename> /etc/sliphome/slip.hosts содержит строки, в которых находится как минимум четыре параметра, разделенных пробелами: ID пользователя SLIP Локальный адрес (локальный для SLIP сервера) SLIP соединения Удаленный адрес SLIP соединения Сетевая маска Локальные и удаленные адреса могут быть именами хостов (разрешаемыми в IP адреса через файл /etc/hosts или через службу доменных имен, в зависимости от настроек в файле /etc/nsswitch.conf для FreeBSD 5.X, или /etc/host.conf для FreeBSD 4.X), а сетевая маска может быть именем, разрешаемым через файл /etc/networks. В системе, используемой в качестве примера, файл /etc/sliphome/slip.hosts выглядит так: # # login local-addr remote-addr mask opt1 opt2 # (normal,compress,noicmp) # Shelmerg dc-slip sl-helmerg 0xfffffc00 autocomp В конце строки находятся один или более параметров. — нет сжатия заголовков — сжимать заголовки — сжимать заголовки, если удаленная сторона это позволяет — запретить ICMP пакеты (любые ping пакеты будут отброшены и не станут помехой для другого трафика) SLIP сеть TCP/IP Выбор локального и удаленного адреса для SLIP соединений зависит от того, используете ли вы выделенную TCP/IP сеть, или используете на SLIP сервере ARP прокси. (это не настоящий ARP прокси, но данная терминология используется в этом разделе). Если вы не уверены, какой метод выбрать, или как присвоить IP адреса, обратитесь к книгам по TCP/IP, упомянутым выше (). Если вы собираетесь использовать отдельную подсеть для SLIP клиентов, потребуется выделить адреса за пределом адресов вашей сети и присвоить каждому SLIP клиенту IP адрес из данной подсети. Затем вам возможно потребуется настроить статический маршрут в используемую для SLIP подсеть через SLIP сервер на ближайшем IP маршрутизаторе. Ethernet Иначе, если вы будете использовать метод proxy ARP, потребуется присвоить SLIP клиентам IP адреса, не входящие в Ethernet подсеть сервера SLIP, а также настроить скрипты /etc/sliphome/slip.login и /etc/sliphome/slip.logout, чтобы использовать &man.arp.8; для управления записями ARP прокси в таблице ARP сервера SLIP. Настройка <filename>slip.login</filename> Типичный файл /etc/sliphome/slip.login выглядит примерно так: #!/bin/sh - # # @(#)slip.login 5.1 (Berkeley) 7/1/90 # # generic login file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 inet $4 $5 netmask $6 Этот файл slip.login всего лишь запускает ifconfig для соответствующего SLIP интерфейса с заданными локальным и удаленным адресом и сетевой маской. Если вы решили использовать метод ARP прокси (вместо использования отдельной подсети для SLIP клиентов), ваш файл /etc/sliphome/slip.login должен выглядеть примерно так: #!/bin/sh - # # @(#)slip.login 5.1 (Berkeley) 7/1/90 # # generic login file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 inet $4 $5 netmask $6 # Answer ARP requests for the SLIP client with our Ethernet addr /usr/sbin/arp -s $5 00:11:22:33:44:55 pub Дополнительная строка в этом slip.login, arp -s $5 00:11:22:33:44:55 pub, создает ARP запись в ARP таблице SLIP сервера. При соединении другого узла в Ethernet с IP адресом SLIP клиента, SLIP сервер выдает ответ с собственным Ethernet MAC адресом. EthernetMAC адрес При использовании примера выше убедитесь, что заменили Ethernet MAC адрес (00:11:22:33:44:55) на MAC адрес Ethernet карты вашей системы, или ваш ARP прокси точно не будет работать! Вы можете определить Ethernet MAC адрес SLIP сервера, просмотрев вывод команды netstat -i выше; информация об адресе находится второй строке: ed0 1500 <Link>0.2.c1.28.5f.4a 191923 0 129457 0 116 Это означает, что в данной системе Ethernet MAC адрес 00:02:c1:28:5f:4a — точки в MAC адресе, выдаваемые netstat -i, должны быть заменены на двоеточия, необходимо также добавить нуль в начало каждого односимвольного шестнадцатеричного номера для преобразования этого адреса в форму, пригодную для &man.arp.8;; обратитесь к странице справочника &man.arp.8; за полной информацией по использованию. При создании /etc/sliphome/slip.login и /etc/sliphome/slip.logout, должен быть установлен бит выполнения (chmod 755 /etc/sliphome/slip.login /etc/sliphome/slip.logout), или sliplogin не сможет их выполнить. Настройка <filename>slip.logout</filename> /etc/sliphome/slip.logout не является совершенно необходимым (если только вы не реализуете ARP прокси), но если вы решили создать его, воспользуйтесь следующим примером: #!/bin/sh - # # slip.logout # # logout file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 down Если вы используете ARP прокси, потребуется удаление записи ARP для SLIP клиента через /etc/sliphome/slip.logout: #!/bin/sh - # # @(#)slip.logout # # logout file for a slip line. sliplogin invokes this with # the parameters: # 1 2 3 4 5 6 7-n # slipunit ttyspeed loginname local-addr remote-addr mask opt-args # /sbin/ifconfig sl$1 down # Quit answering ARP requests for the SLIP client /usr/sbin/arp -d $5 Команда arp -d $5 удаляет запись ARP, добавленную slip.login при входе SLIP клиента. Повторяем: убедитесь, что на файл /etc/sliphome/slip.logout установлен бит выполнения (chmod 755 /etc/sliphome/slip.logout). Соглашения о маршрутизации SLIP маршрутизация Если вы не используете ARP прокси метод для маршрутизации пакетов между SLIP клиентами и остальной сетью (и возможно интернет), вам возможно потребуется статический маршрут (маршруты) до ближайшего шлюза (шлюзов) для маршрутизации подсети SLIP клиентов через SLIP сервер. Статические маршруты статические маршруты Добавление статических маршрутов может стать для кого-то проблемой (это даже невозможно, если у вас нет соответствующих прав). Если в вашей организации сеть с несколькими маршрутизаторами, некоторые маршрутизаторы, например Cisco и Proteon, требуют не только настройки статического маршрута в подсеть SLIP, но и указания, о каких статических маршрутах сообщать другим маршрутизаторам, так что для наладки работоспособности статической маршрутизации может потребоваться некоторое исследование и отладка. Запуск <application>&gated;</application> gated &gated; это закрытое программно обеспечение, более недоступное в исходных текстах (дополнительная информация находится на вебсайте &gated;). Этот раздел существует лишь в целях обратной совместимости для тех, кто все еще использует старую версию. Альтернатива головной боли со статическими маршрутами это установка &gated; на FreeBSD SLIP сервере и настройка его для использования соответствующих протоколов маршрутизации (RIP/OSPF/BGP/EGP) для сообщения другим маршрутизаторам о вашей SLIP подсети. Вам потребуется создать /etc/gated.conf для настройки gated. Ниже дан пример: # # gated configuration file for dc.dsu.edu; for gated version 3.5alpha5 # Only broadcast RIP information for xxx.xxx.yy out the ed Ethernet interface # # # tracing options # traceoptions "/var/tmp/gated.output" replace size 100k files 2 general ; rip yes { interface sl noripout noripin ; interface ed ripin ripout version 1 ; traceoptions route ; } ; # # Turn on a bunch of tracing info for the interface to the kernel: kernel { traceoptions remnants request routes info interface ; } ; # # Propagate the route to xxx.xxx.yy out the Ethernet interface via RIP # export proto rip interface ed { proto direct { xxx.xxx.yy mask 255.255.252.0 metric 1; # SLIP connections } ; } ; # # Accept routes from RIP via ed Ethernet interfaces import proto rip interface ed { all ; } ; RIP В примере выше используется широковещательная рассылка информации о маршрутизации для подсети SLIP xxx.xxx.yy протоколом RIP на сеть Ethernet; если вы используете другой драйвер Ethernet вместо ed, потребуется соответственно изменить запись для ed. В этом примере отладочная информация переправляется в /var/tmp/gated.output; вы можете выключить отладку, если &gated; работает. Вам потребуется заменить xxx.xxx.yy в сетевом адресе на вашу подсеть SLIP (убедитесь, что изменение сетевой маски в proto direct работает нормально). Как только вы установили и настроили &gated;, потребуется сообщить стартовым скриптам FreeBSD запускать его вместо routed. Простейший способ сделать это — установить переменные router и router_flags в /etc/rc.conf. Обратитесь к странице справочника &gated; за информацией о параметрах командной строки. diff --git a/ru_RU.KOI8-R/books/handbook/security/chapter.sgml b/ru_RU.KOI8-R/books/handbook/security/chapter.sgml index 0c768cdfc4..88d90b2652 100644 --- a/ru_RU.KOI8-R/books/handbook/security/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/security/chapter.sgml @@ -1,5597 +1,5597 @@ Matthew Dillon Большая часть этой главы была взята из страницы справочника security(7) которую написал Безопасность безопасность Краткое описание Эта глава представляет введение в основные концепции безопасности системы, некоторые эмпирические правила и более подробно обращается к отдельным темам, касающимся &os;. Большая часть затрагиваемых тем может быть применена к безопасности системы и безопасности в интернет вообще. Интернет больше не то дружественное место, где каждый хочет быть вам добрым соседом. Защита системы необходима для сохранения ваших данных, интеллектуальной собственности, времени и всего остального от хакеров и им подобных. FreeBSD предоставляет массу утилит и механизмов для обеспечения целостности и безопасности системы и сети. После прочтения этой главы вы узнаете: Основные концепции безопасности системы, специфику &os;. О различных механизмах шифрования в &os;, таких как DES и MD5. Как настроить аутентификацию с использованием одноразовых паролей. Как настроить KerberosIV в релизах &os; до 5.0. Как настроить Kerberos5 в релизах &os; после 5.0. Как создать межсетевые экраны с помощью IPFW. Как настроить IPsec и создать VPN между компьютерами на &os;/&windows;. Как настроить и использовать OpenSSH, реализацию SSH в &os;. Как настроить и загрузить модули расширения контроля доступа, использующие концепцию TrustedBSD MAC. Что такое ACL и как их использовать. Как работать с сообщениями безопасности &os;. Перед чтением этой главы вам потребуется: Понимание основных концепций &os; и интернет. Введение Безопасность это первая и основная функция системного администратора. Хотя все многопользовательские системы BSD &unix; уже снабжены некоторой защитой, работа по созданию и поддержке дополнительных механизмов безопасности, обеспечивающих защищенную работу пользователей, это одна из самых серьезных задач системного администратора. Компьютеры безопасны настолько, насколько вы сделаете их безопасными и требования безопасности всегда находятся в противоречии с удобством работы пользователей. Системы &unix; способны одновременно работать с огромным количеством процессов и многие из этих процессов - серверные – это означает, что с ними могут взаимодействовать + серверные — это означает, что с ними могут взаимодействовать внешние программы. Сегодня десктопы заменили мини-компьютеры и мэйнфрэймы, и поскольку компьютеры в наши дни подключены к сети интернет, безопасность важна как никогда. Наилучшая реализация системы безопасности представима в виде послойной системы. Вообще говоря все, что нужно сделать, это создать столько слоев безопасности, сколько необходимо и затем внимательно следить за вторжениями в систему. Не переусердствуйте в настройке системы безопасности, иначе она сделает невозможной обнаружение вторжений, являющееся одним из наиболее важных аспектов механизма безопасности. Например, нет большого смысла в установке флага schg (&man.chflags.1;) на каждый исполняемый файл системы, поскольку хотя таким способом можно временно защитить исполняемые файлы, это помешает обнаружению факта взлома системы. Безопасность системы также относится к различным формам атак, имеющих своей целью вызвать крах системы, или сделать систему недоступной другим способом, но не пытающихся получить доступ к учетной записи root (break root). Угрозы безопасности могут быть поделены на несколько категорий: Отказ в обслуживании (Denial of service, DoS). Взлом пользовательских учетных записей. Взлом учетной записи root через доступные сервисы. Взлом учетной записи root через учетные записи пользователей. Создание backdoor. DoS атаки отказ в обслуживании (Denial of Service, DoS) безопасность DoS атаки отказ в обслуживании (Denial of Service, DoS) Отказ в обслуживании (Denial of Service, DoS) Атака отказ в обслуживании отбирает у машины необходимые ресурсы. Обычно DoS атаки используют грубую силу, чтобы попытаться обрушить систему или сделать ее недоступной другим способом, превысив лимиты ее сервисов или сетевого стека. Некоторые DoS атаки пытаются использовать ошибки в сетевом стеке для обрушения системы одним пакетом. Эту проблему можно решить только исправив ядро системы. Атаки зачастую можно предотвратить правильной установкой параметров, ограничивающих нагрузку на систему в неблагоприятных условиях. С атаками, использующими грубую силу, бороться сложно. Например, атака с использованием пакетов с поддельными адресами, которую почти невозможно остановить, может быстро отключить вашу систему от интернет. Возможно, она не приведет к отказу системы, но сможет переполнить соединение с интернет. безопасность взлом учетных записей Взлом учетной записи пользователя обычно встречается чаще, чем DoS атаки. Многие системные администраторы все еще используют стандартные сервисы telnetd, rlogind и ftpd на своих серверах. Эти сервисы по умолчанию не работают с зашифрованными соединениям. В результате при среднем количестве пользователей пароль одного или нескольких пользователей, входящих в систему через внешнее соединение (это обычный и наиболее удобный способ входа в систему), будет перехвачен. Внимательный системный администратор должен анализировать логи удаленного доступа на предмет подозрительных адресов пользователей даже в случае успешного входа. Кто-то может предположить, что атакующий при наличии доступа к учетной записи пользователя может взломать учетную запись root. Однако, реальность такова, что в хорошо защищенной и поддерживаемой системе доступ к учетной записи пользователя не обязательно даст атакующему доступ к root. Разница между доступом к обычной учетной записи и к root важна, поскольку без доступа к root атакующий обычно не способен скрыть свои действия, и в худшем случае сможет лишь испортить файлы пользователя или вызвать крах системы. Взлом пользовательских учетных записей встречается очень часто, поскольку пользователи заботятся о безопасности так, как системные администраторы. безопасность backdoors Системные администраторы должны помнить, что существует множество потенциальных способов взлома учетной записи root. Атакующий может узнать пароль root, найти ошибку в сервисе, работающем с привилегиями и взломать учетную запись root через сетевое соединение с этим сервисом, или узнать об ошибке в suid-root программе, позволяющей атакующему взлом root с помощью взломанной учетной записи пользователя. Если атакующий нашел способ взлома root, ему может не понадобиться установка backdoor. Многие из обнаруженных и закрытых на сегодняшний день брешей в системе, позволяющие взлом root, требуют от атакующего серьезной работы по заметанию следов, поэтому большинство атакующих устанавливают backdoor. Backdoor предоставляет атакующему простой способ восстановления доступа к системе с привилегиями root, но также дает системному администратору удобный способ обнаружения вторжения. Устранение возможности установки backdoor возможно повредит безопасности системы, поскольку это не устранит брешь, позволившую проникнуть в систему. Меры безопасности всегда должны быть реализованы многоуровнево, и могут быть классифицированы следующим образом: Защита root и служебных учетных записей. - Защита root – работающих под root + Защита root — работающих под root сервисов и suid/sgid исполняемых файлов. Защита учетных записей пользователей. Защита файла паролей. Защита ядра, raw устройств и файловых систем. Быстрое обнаружение несанкционированных изменений в системе. Паранойя. В следующем разделе этой главы эти темы изложены более подробно. Защита FreeBSD безопасность защита FreeBSD Команда и протокол В этом документе мы будет использовать выделенный упоминая команду или приложение. Например, мы будем использовать выделение для ssh, поскольку это и команда и протокол. В последующем разделе будут рассмотрены методы защиты системы FreeBSD, упомянутые в предыдущем разделе этой главы. Защита учетной записи <username>root</username> и служебных учетных записей su Во-первых, не беспокойтесь о защите служебных учетных записей, если не защищена учетная запись root. В большинстве систем у учетной записи root есть пароль. Использование пароля root опасно всегда. Это не означает, что вы должны удалить пароль. Пароль почти всегда необходим для доступа по консоли. Но это означает, что вы должны сделать невозможным использование пароля не из консоли или может быть даже с помощью команды &man.su.1;. Например, убедитесь, что псевдотерминалы в файле /etc/ttys перечислены с параметром insecure, что делает невозможным вход на них под root напрямую с помощью telnet или rlogin. При использовании других средств входа, таких как sshd, убедитесь что вход под root напрямую отключен и в них. Сделайте это, открыв файл /etc/ssh/sshd_config, и убедившись, что параметр PermitRootLogin установлен в NO. Проверьте каждый метод доступа - – сервис FTP и ему подобные часто подвержены взлому. Прямой + — сервис FTP и ему подобные часто подвержены взлому. Прямой вход под root должен быть разрешен только с системной консоли. wheel Конечно, как системный администратор вы должны иметь доступ root, поэтому потребуется открыть несколько лазеек. Но убедитесь, что для доступа к ним необходим дополнительный пароль. Одним из способов доступа к root является добавление соответствующих учетных записей к группе wheel (в файле /etc/group). Это позволяет использовать su для доступа к root. Вы никогда не должны давать таким учетным записям доступ к wheel непосредственно, помещая их в группу wheel в файле паролей. Служебные учетные записи должны помещаться в группу staff, а затем добавляться к группе wheel в файле /etc/group. Только те члены группы staff, которым действительно нужен доступ к root, должны быть помещены в группу wheel. При работе с такими методами аутентификации как Kerberos, возможно также использование файла .k5login в каталоге пользователя root для доступа к учетной записи root с помощью &man.ksu.1; без помещения кого-либо в группу wheel. Это решение возможно лучше, поскольку механизм wheel все еще позволяет взлом root, если злоумышленник получил копию файла паролей и смог взломать служебную учетную запись. Хотя использование механизма wheel лучше, чем работа через root напрямую, это не обязательно самый безопасный способ. Непрямой способ защиты служебных учетных записей и конечно root это использование альтернативных методов доступа и замена зашифрованных паролей на символ *. Используя команду &man.vipw.8;, замените каждый зашифрованный пароль служебных учетных записей на этот символ для запрета входа с аутентификацией по паролю. Эта команда обновит файл /etc/master.passwd и базу данных пользователей/паролей. Служебная учетная запись вроде этой: foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh Должна быть заменена на такую: foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh Это изменение предотвратит обычный вход, поскольку зашифрованный пароль никогда не совпадет с *. После этого члены группы staff должны использовать другой механизм аутентификации, например &man.kerberos.1; или &man.ssh.1; с парой ключей: публичным и приватным. При использовании такой системы как Kerberos, потребуется защитить сервер Kerberos и рабочую станцию. При использовании пары публичного/приватного ключей с ssh, потребуется защитить компьютер, с которого происходит вход (обычно это рабочая станция). Дополнительных слой защиты может быть добавлен путем защиты пары ключей при создании их с помощью &man.ssh-keygen.1;. Возможность заменить пароли служебных учетных записей на * гарантирует также, что вход может быть осуществлен только через защищенные методы доступа, которые вы настроили. Это принуждает всех членов staff использовать защищенные, шифрованные соединения для всех входов, что закрывает большую брешь, используемую многими нарушителями: перехват паролей с другого, слабо защищенного компьютера. Более непрямой механизм безопасности предполагает, что вы входите с более защищенного сервера на менее защищенный. Например, если главный сервер работает со всеми сервисами, рабочая станция не должна работать ни с одним. Для поднятия уровня безопасности до приемлемого уровня, число запущенных на ней сервисов необходимо сократить до минимума, вплоть до отключения их всех, кроме того необходимо использовать защищенный паролем хранитель экрана. Конечно, при наличии физического доступа к рабочей станции атакующий может взломать любую систему безопасности. Это определенно проблема, которую вы должны учитывать, но учтите также тот факт, что большинство взломов совершаются удаленно, через сеть, людьми, которые не имеют физического доступа к вашим рабочим станциям или серверам. KerberosIV Использование такой системы как Kerberos дает возможность заблокировать или изменить пароль в одном месте, что сразу отразиться на всех компьютерах, где существует служебная учетная запись. Если эта учетная запись будет взломана, возможность немедленно изменить пароль на всех компьютерах нельзя недооценивать. Без этой возможности изменение паролей на N машинах может стать проблемой. Вы можете также наложить ограничения на смену паролей с помощью Kerberos: не только установить значения timeout в Kerberos, но и добавить требование смены пароля пользователем после определенного периода времени (скажем, раз в месяц). Защита работающих под root сервисов и suid/sgid исполняемых файлов ntalk comsat finger sandboxes sshd telnetd rshd rlogind Предусмотрительный системный администратор запускает только те сервисы, в которых нуждается, ни больше ни меньше. Учитывайте, что сервисы сторонних разработчиков наиболее подвержены ошибкам. К примеру, работа со старыми версиями imapd или popper это все равно что раздача доступа root всему миру. Никогда не запускайте сервисы, которые вы не проверили достаточно внимательно. Многим сервисам не требуется работа под root. Например, даемоны ntalk, comsat, и finger могут быть запущены в так называемых песочницах (sandboxes). Песочница это не идеальное решение, поскольку вызывает много проблем, но она подходит под модель послойной безопасности: если кто-то сможет взломать сервис, работающий в песочнице, ему потребуется взломать еще и саму песочницу. Чем больше уровней (слоев) потребуется пройти атакующему, тем меньше вероятность его успеха. Ошибки, позволяющие получать root доступ, находили фактически во всех сервисах, запускаемых под root, включая основные системные сервисы. Если вы обслуживаете машину, на которую входят только через sshd и никогда не входят через telnetd, rshd или rlogind, отключите эти сервисы! В FreeBSD сервисы ntalkd, comsat и finger теперь по умолчанию работают в песочнице. Другая программа, которая может быть кандидатом на запуск в песочнице это &man.named.8;. /etc/defaults/rc.conf включает необходимые для запуска named в песочнице аргументы в закомментированой форме. В зависимости от того, устанавливаете ли вы новую систему, или обновляете старую, учетные записи пользователей, используемые этими песочницами могут не быть созданы. Предусмотрительный системный администратор должен узнать о песочницах для сервисов и установить их если есть возможность. sendmail Есть множество других сервисов, которые обычно не работают в песочницах: sendmail, popper, imapd, ftpd, и другие. Некоторым из этих сервисов есть альтернативы, но их установка может потребовать больше работы, чем вы готовы выполнить (фактор удобства). Вы можете запустить эти сервисы под root и положиться на другие механизмы обнаружения вторжений, которые могут пройти через них. Другая большая потенциальная root брешь в системе это suid-root и sgid исполняемые файлы. Большинство этих исполняемых файлов, таких как rlogin, установлены в /bin, /sbin, /usr/bin, или /usr/sbin. Хотя ничто не может быть безопасно на 100%, находящиеся по умолчанию в системе suid и sgid исполняемые файлы могут быть признаны достаточно безопасными. Но root бреши все еще обнаруживаются в этих исполняемых файлах. root брешь, обнаруженная в Xlib в 1998 делала xterm (который обычно suid) подверженным взлому. Лучше сразу принять меры предосторожности, чем сожалеть потом. Предусмотрительный системный администратор ограничит права запуска suid исполняемых файлов, которые должны запускаться пользователями группы staff, только этой группой, а также запретит доступ (chmod 000) к тем исполняемым файлам suid, которые никем не используются. Серверу без монитора обычно не требуется исполняемый файл xterm. Исполняемые sgid исполняемые файлы могут быть почти так же опасны. Если нарушитель сможет взломать sgid-kmem исполняемый файл, он возможно сможет прочесть /dev/kmem и таким образом получить файл зашифрованных паролей, что потенциально делает возможным взлом любой защищенной паролем учетной записи. Аналогично нарушитель, проникший в группу kmem, может отслеживать последовательности клавиш, отправленные через псевдотерминалы, включая псевдотерминалы, используемые через безопасные соединения. Нарушитель, вошедший в группу tty может сделать вывод почти на любой пользовательский терминал. Если пользователь работает с терминальной программой или эмулятором с возможностью эмуляции клавиатуры, взломщик может потенциально сгенерировать поток данных, который заставит терминал пользователя ввести команду, и она будет запущена с правами этого пользователя. Защита учетных записей пользователей Учетные записи пользователей обычно сложнее всего защитить. Вы можете ввести драконовские ограничения доступа к служебным учетным записям, заменив их пароли на символ *, но возможно не сможете сделать то же с обычными учетными записями пользователей. Если есть такая возможность, вы возможно сможете защитить учетные записи пользователей соответствующим образом. Если нет, просто более бдительно отслеживайте эти учетные записи. Использование ssh и Kerberos для учетных записей пользователей более проблематично, поскольку требует дополнительной административной работы и технической поддержки, но все же это решение лучше, чем файл с шифрованными паролями. Защита файла паролей Единственный абсолютно надежный способ это замена на * максимально возможного количества паролей и использование ssh или Kerberos для доступа к таким учетным записям. Хотя файл с шифрованными паролями (/etc/spwd.db) доступен для чтения только root, возможно, что нарушитель сможет получить доступ на чтение к этому файлу, даже если не получит права root на запись. Ваши скрипты безопасности должны всегда проверять и составлять отчет об изменениях файла паролей (обратитесь к разделу Проверка целостности файлов ниже по тексту). Защита ядра, raw устройств и файловых систем Если атакующий взломает root, он сможет сделать практически все, но есть способы усложнить его задачу. Например, в большинстве современных ядер встроено устройство перехвата пакетов. В FreeBSD оно называется bpf. Нарушитель обычно пытается запустить перехват пакетов на взломанной машине. Вы не должны предоставлять ему такой возможности, на большинстве систем устройство bpf не должно быть встроено в ядро. sysctl Но даже если вы выключите устройство bpf, все еще остаются проблемы, связанные с устройствами /dev/mem и /dev/kmem. Нарушитель все еще может писать на дисковые raw устройства. Есть также другая возможность ядра, загрузка модулей, &man.kldload.8;. Активный нарушитель может использовать KLD модуль для установки собственного устройства bpf или другого перехватывающего устройства на работающее ядро. Для решения этих проблем запускайте ядро с большим уровнем безопасности, как минимум 1. Уровень безопасности может быть установлен с помощью sysctl через переменную kern.securelevel. После установки уровня безопасности в 1 доступ на запись в raw устройства будет запрещена и полностью заработают специальные флаги chflags, такие как schg. Убедитесь также, что флаг schg установлен на критически важных - загрузочных исполняемых файлах, каталогах и файлах скриптов – + загрузочных исполняемых файлах, каталогах и файлах скриптов — на всем, что запускается до установке уровня безопасности. Это требует большого объема работы, и обновление системы на более высоком уровне безопасности может стать гораздо сложнее. Вы можете пойти на компромисс и запускать систему на высоком уровне безопасности, но не устанавливать флаг schg для каждого существующего системного файла и каталога. Другая возможность состоит в монтировании / и /usr только для чтения. Необходимо заметить, что такие правила слишком жесткие и могут помешать обнаружению вторжения. Проверка целостности файлов: исполняемые, конфигурационные файлы и т.д. Вы можете защищать только ядро, файлы настройки и управления системой только до тех пор, пока эта защита не вступит в конфликт с удобством работы в системе. Например, использование chflags для установки бита schg на большинство файлов в / вероятно может только навредить, поскольку хотя и может защитить файлы, препятствует обнаружению. Последний слой системы безопасности, - возможно, наиболее важный – обнаружение. Остальные меры + возможно, наиболее важный — обнаружение. Остальные меры безопасности практически бесполезны (или, что еще хуже, могут дать вам ложное ощущение безопасности) если вы не обнаружите потенциальное вторжение. Половина функций системы безопасности направлена на замедление атакующего, а не на его остановку, для того, чтобы дать системе обнаружения возможность поймать нарушителя на месте преступления. - Лучший способ обнаружения вторжения – отслеживание + Лучший способ обнаружения вторжения — отслеживание измененных, отсутствующих, или неожиданно появившихся файлов. Для наблюдения за измененными файлами лучше всего использовать другую (зачастую централизованную) систему с ограниченным доступом. Добавление написанных вами скриптов к этой дополнительно защищенной системе с ограниченным доступом делает ее практически невидимой для потенциальных взломщиков, и это важно. В целях достижения максимального эффекта вам может потребоваться предоставить этой системе доступ к другим машинам в сети, обычно с помощью NFS экспорта только для чтения или сгенерировав пары ключей ssh для доступа к другим машинам по ssh. Помимо большого объема - сетевого трафика, NFS более скрытый метод – он позволяет + сетевого трафика, NFS более скрытый метод — он позволяет контролировать файловые системы на каждом клиентском компьютере практически незаметно. Если ваш сервер с ограниченным доступом подключен к клиентским компьютерам через коммутатор, NFS метод это зачастую лучший выбор. При соединении через концентратор, или через несколько маршрутизаторов, NFS метод может стать слишком небезопасным и использование ssh может стать лучшим выбором даже несмотря на то, что ssh оставляет следы своей работы. Как только у вас появился сервер с ограниченным доступом, и как минимум доступ на чтение в клиентских системах, потребуется написать скрипты для выполнения мониторинга. При наличии доступа по NFS вы можете написать скрипты с помощью простых системных утилит, таких как &man.find.1; и &man.md5.1;. Лучше всего подсчитывать md5 файлов на клиентском компьютере как минимум один раз в день, а файлы, контролирующие запуск из /etc и /usr/local/etc даже более часто. При обнаружении расхождений в md5, контролирующий компьютер должен просигналить системному администратору проверить изменившиеся файлы. Хороший скрипт безопасности проверит также наличие несоответствующих исполняемых suid файлов и новых или измененных файлов в системных разделах / и /usr. При использовании ssh вместо NFS, написать скрипты безопасности гораздо сложнее. Вам обязательно потребуется скопировать (scp) скрипты на клиентский компьютер, сделать из невидимыми, и для безопасности потребуется также скопировать исполняемые файлы (такие как find), которые будут использоваться скриптом. Приложение ssh на клиентском компьютере может быть уже взломано. В конечном итоге, без ssh не обойтись при работе через небезопасные соединения, но его гораздо сложнее использовать. Хороший скрипт безопасности проверит также изменения в файлах настройки, работающих при подключении пользователей и служебных учетных записей: .rhosts, .shosts, .ssh/authorized_keys и так далее… файлы, которые могли не попасть в область проверки MD5. Если для пользователей выделен большой объем дискового пространства, проверка каждого файла на таких разделах может занять слишком много времени. В таком случае установка флагов монтирования для запрета suid исполняемых файлов и устройств на таких разделах это хорошая идея. Примените параметры &man.mount.8; nodev и nosuid. Проверяйте эти разделы в любом случае, хотя бы раз в неделю, поскольку необходимо обнаруживать попытки взлома, независимо от того, эффективны они или нет. Учет процессов (&man.accton.8;) это относительно несложная возможность операционной системы, которая может помочь как механизм обнаружения состоявшихся вторжений. Она особенно полезна для обнаружения пути проникновения нарушителя в систему, если файл не был затронут проникновением. Наконец, скрипты безопасности должны обработать лог файлы, которые необходимо создавать настолько защищенным способом, насколько - это возможно – подключение syslog удаленно может быть очень + это возможно — подключение syslog удаленно может быть очень полезным. Злоумышленник попытается уничтожить следы взлома, и лог файлы критически важны для системного администратора, пытающегося отследить время и метод первого проникновения. Один из надежных способов получения лог файлов является подключение системной консоли к последовательному порту и постоянный сбор информации через защищенную машину, отслеживающую консоли. Паранойя Немного паранойи никогда не повредит. Как правило, системный администратор может добавлять элементы безопасности в любом количестве, пока это не влияет на удобство, а также некоторое количество элементов безопасности, влияющих на удобство. Что даже более важно, системный администратор должен - немного изменить их – если вы используете рекомендации, например + немного изменить их — если вы используете рекомендации, например те, что даны в этом документе, они становятся известны атакующему, который также имеет доступ к этому документу. prospective attacker who also has access to this document. Атаки DoS Отказ в обслуживании (DoS) Этот раздел охватывает DoS атаки. DoS атаки это обычно пакетные атаки. Хотя против современной атаки с подделкой пакетов, которая перегружает сеть, мало что можно сделать, вы можете ограничить повреждения, убедившись, что атака не может обрушить ваши сервера. Ограничение количества порождаемых процессов. Уменьшение последствий springboard атак (ICMP ответ, широковещательный ping и т.д.). Кэш маршрутизации ядра. Обычная DoS атака против порождающего процессы сервера пытается исчерпать ресурсы сервера по процессам, файловым дескрипторам и памяти до тех пор, пока машина не подвиснет. У inetd (обратитесь к &man.inetd.8;) есть несколько параметров, позволяющих ограничить такие атаки. Необходимо учесть, что хотя можно предотвратить падение системы, в общем случае невозможно предотвратить прекращение работы сервиса. Внимательно прочтите страницу справочника и обратите особое внимание на параметры , , и . Учтите, что параметр не работает в случае атак с использованием поддельных IP пакетов, поэтому как правило необходимо использование комбинации параметров. Некоторые standalone сервисы используют собственные параметры, ограничивающие порождение процессов. У Sendmail есть собственный параметр , которая работает гораздо лучше, чем параметр sendmail, ограничивающий нагрузку. Вам необходимо задать параметр запуска sendmail MaxDaemonChildren достаточно большим, чтобы обслуживать ожидаемую нагрузку, но так, чтобы компьютер мог обслужить такое количество приложений sendmail без падения системы. Хорошей мерой является запуск sendmail в режиме очереди () и запуск даемона (sendmail -bd) отдельно от очереди (sendmail -q15m). Если вы все же хотите организовать доставку в режиме реального времени, запускайте очередь с меньшим интервалом , но убедитесь в правильной установке параметра sendmail MaxDaemonChildren для предотвращения ошибок. Syslogd может быть атакован непосредственно, настоятельно рекомендуется использовать параметр если это возможно и параметр в остальных случаях. Вы также должны быть очень осторожны с сервисами, совершающими обратное подключение, такими как tcpwrapper с reverse-identd, который может быть атакован непосредственно. По этой причине возможность tcpwrappers reverse-ident обычно не следует использовать. Правильным будет запрет доступа к внутренним сервисам из внешней сети путем соответствующей настройки межсетевого экрана на внешнем маршрутизаторе. Идея в том, чтобы предотвратить перегрузку сервисов атаками из внешней сети, а кроме того защитить root от взлома через сеть. Всегда настраивайте исключающий межсетевой экран, т.е. закрыть все кроме портов A, B, C, D, и M-Z. Этим способом вы можете закрыть все порты нижнего диапазона, кроме явно указанных, таких как named (если вы поддерживаете интернет-зону), ntalkd, sendmail, и других сервисов, доступных из интернет. Если вы попробуете настроить межсетевой экран другим - способом – включающий, или разрешающий межсетевой экран, есть + способом — включающий, или разрешающий межсетевой экран, есть большой шанс забыть закрыть пару сервисов, или добавить новый внутрисетевой сервис и забыть обновить межсетевой экран. Вы можете открыть диапазон портов с большими номерами для обычных приложений без угрозы портам нижнего диапазона. Учтите также, что FreeBSD позволяет вам контролировать диапазоны портов, используемые для динамической привязки через различные переменные sysctl net.inet.ip.portrange (sysctl -a | fgrep portrange), что позволяет упростить настройку межсетевого экрана. Например, вы можете использовать обычный диапазон портов со значениями от 4000 до 5000, и диапазон портов с большими номерами от 49152 до 65535, а затем заблокировать все до 4000 порта (конечно оставив доступ из интернет к определенным портам. ICMP_BANDLIM Другой распространенный тип DoS атак называется springboard - – сервер атакуется таким образом, что генерируемые ответы + — сервер атакуется таким образом, что генерируемые ответы перегружают его, локальную сеть или какие-то другие компьютеры. Наиболее распространенная атака этого вида это широковещательная ICMP ping атака. Атакующий подделывает пакеты ping, подставляя IP адрес машины, которую он намеревается атаковать, и отправляет их на широковещательный адрес вашей локальной сети. Если ваш внешний маршрутизатор не настроен на отбрасывание пакетов ping на широковещательные адреса, ваша сеть начинает генерировать соответствующие ответы на поддельный адрес, что приводит к перегрузке хоста-жертвы, особенно если атакующий использует этот же трюк с множеством широковещательных адресов в множестве сетей одновременно. Были зарегистрированы широковещательные атаки свыше ста двадцати мегабит. Другая распространенная springboard атака направлена на ICMP систему сообщения об ошибках. Конструируя пакеты, вызывающие ICMP сообщения об ошибках, атакующий может нагрузить входящее соединение сервера и вынудить сервер нагрузить исходящее соединение ICMP ответами. Этот тип атаки может также обрушить сервер, когда тот исчерпает mbuf, обычно если сервер не может ограничить число ответов ICMP, когда они генерируются слишком быстро. В ядре FreeBSD есть новая опция сборки, , которая ограничивает эффективность этого типа атак. Последний основной класс springboard атак относится к определенным внутренним сервисам inetd, таким как сервис udp echo. Атакующий просто подделывает адрес источника и адрес назначения UDP пакетов, устанавливая в их качестве соответственно echo порт сервера A и B, оба этих сервера принадлежат вашей локальной сети. Эти два сервера начинают перебрасываться этим пакетом друг с другом. Атакующий может вызвать перегрузку обеих серверов и их сетей, просто отправив несколько пакетов таким способом. Аналогичные проблемы существуют с портом chargen. Компетентный системный администратор должен отключить эти тестовые сервисы inetd. Атаки с поддельными пакетами могут также использоваться для переполнения кэша маршрутизации ядра. Обратитесь к параметрам sysctl net.inet.ip.rtexpire, rtminexpire, и rtmaxcache. Атака с поддельными пакетами, использующая произвольный IP адрес источника, заставит ядро сгенерировать временный кэшированный маршрут в таблице маршрутизации, который можно увидеть с помощью netstat -rna | fgrep W3. Эти маршруты обычно удаляются через 1600 секунд или около того. Если ядро определит, что кэшированная маршрутная таблица стала слишком большой, оно динамически уменьшит rtexpire, но никогда не станет делать его меньше чем rtminexpire. С этим связаны две проблемы: Ядро не отреагирует достаточно быстро, когда легко нагруженный сервер будет внезапно атакован. Значение rtminexpire недостаточно мало для поддержки работоспособности в условиях продолжительной атаки. Если ваши серверы подключены к интернет через линию T3 или более быструю, предусмотрительно будет изменить оба значения rtexpire и rtminexpire с помощью &man.sysctl.8;. Никогда не устанавливайте ни один из этих параметров в нуль (если только вы не хотите обрушить систему). Установка обеих параметров в значение 2 секунды должна предотвратить таблицу маршрутизации от атак. Проблемы, связанные с доступом к Kerberos и SSH ssh KerberosIV При использовании Kerberos и ssh необходимо учесть несколько возможных проблем. Kerberos V это отличный протокол аутентификации, но в адаптированных к нему приложениях telnet и rlogin есть несколько ошибок, которые могут сделать их непригодными к работе с бинарными потоками. К тому же, по умолчанию Kerberos не шифрует сессию, если вы не используете параметр . ssh шифрует все по умолчанию. ssh работает очень хорошо во всех ситуациях, но пересылает ключи по умолчанию. Это означает, что если вы работаете с защищенной рабочей станции, ключи на которой дают доступ к остальной сети, и заходите по ssh на незащищенный компьютер, эти ключи могут быть использованы для взлома. Атакующему не удастся получить сами ключи, но поскольку ssh открывает порт во время входа в систему, то если на незащищенной машине взломан root, эти ключи могут быть использованы для доступа к другим компьютерам, на которых они действуют. Мы рекомендуем использовать ssh в комбинации с Kerberos для служебных учетных записей если это возможно. ssh может быть собран с поддержкой Kerberos. Это уменьшает зависимость от потенциально подверженных взлому ssh ключей, и в то же время защищает пароли через Kerberos. Ключи ssh должны использоваться только для работы скриптов на защищенных компьютерах (там, где Kerberos использовать не получится). Мы также рекомендуем или выключить передачу ключей в настройках ssh, или использовать параметр from=IP/DOMAIN, поддерживаемый ssh в файле authorized_keys, который позволяет использовать ключи только с определенных компьютеров. Bill Swingle Частично переписал и обновил DES, MD5, и шифрование безопасность шифрование шифрование DES MD5 У каждого пользователя &unix; системы есть пароль, связанный с его учетной записью. Очевидно, что эти пароли должны быть известны только пользователю и соответствующей операционной системе. Для защиты паролей они шифруются способом, известным как односторонний хэш, то есть их можно легко зашифровать, но нельзя расшифровать. Другими словами, то, что мы сказали чуть раньше было очевидно, но не совсем верно: операционной системе сам пароль неизвестен. Ей известен только пароль в зашифрованной форме. Единственный способ получить обычный пароль это простой перебор всех возможных паролей. К сожалению, единственный способ шифрования пароля при появлении &unix; был основан на DES, Data Encryption Standard. Это не было проблемой для пользователей, живущих в США, но поскольку исходный код DES нельзя было экспортировать из США, FreeBSD нашла способ одновременно не нарушать законов США и сохранить совместимость со всеми другими вариантами &unix;, где все еще использовался DES. Решение было в разделении библиотек шифрования, чтобы пользователи в США могли устанавливать и использовать библиотеки DES, а у остальных пользователей был метод шифрования, разрешенный к экспорту. Так FreeBSD пришла к использованию MD5 в качестве метода шифрования по умолчанию. MD5 считается более безопасным, чем DES, поэтому установка DES рекомендуется в основном из соображений совместимости. Определения механизма шифрования До FreeBSD 4.4 libcrypt.a была символической ссылкой на библиотеку, используемую для шифрования. В FreeBSD 4.4 libcrypt.a была изменена для предоставления настраиваемой библиотеки аутентификации по хэшу пароля. На данный момент библиотека поддерживает хэши DES, MD5 и Blowfish. По умолчанию FreeBSD использует для шифрования паролей MD5. Довольно легко определить какой метод шифрования используется в FreeBSD. Один из способов это проверка файла /etc/master.passwd. Пароли, зашифрованные в хэш MD5 длиннее, чем те, что зашифрованы с помощью DES и начинаются с символов $1$. Пароли, начинающиеся с символов $2$ зашифрованы с помощью Blowfish. Пароли, зашифрованные DES не содержат каких-то определенных идентифицирующих символов, но они короче, чем пароли MD5 и закодированы в 64-символьном алфавите, не содержащем символа $, поэтому относительно короткая строка, не начинающаяся с этого символа это скорее всего DES пароль. Формат паролей, используемых для новых паролей, определяется параметром passwd_format в /etc/login.conf, которое может принимать значения des, md5 или blf. Обратитесь к странице справочника &man.login.conf.5; за дополнительной информацией о параметрах login. Одноразовые пароли одноразовые пароли безопасность одноразовые пароли S/Key это схема с одноразовыми паролями, основанная на одностороннем хэше. FreeBSD использует хэш MD4 для совместимости, но другие системы используют MD5 и DES-MAC. S/Key была частью базовой системы FreeBSD начиная с версии 1.1.5 и используется также во все большем числе операционных систем. S/Key это зарегистрированная торговая марка Bell Communications Research, Inc. Начиная с FreeBSD версии 5.0, S/Key была замещена на функциональный - эквивалент – OPIE (One-time Passwords In Everything). + эквивалент — OPIE (One-time Passwords In Everything). OPIE по умолчанию использует MD5. Есть три различных вида паролей, о которых мы поговорим ниже. Первый вид это ваш обычный пароль &unix; или пароль Kerberos; мы будем называть его пароль &unix;. Второй вид это одноразовый пароль, сгенерированный программой S/Key key или программой OPIE &man.opiekey.1; и принимаемый командами keyinit или &man.opiepasswd.1; и в приглашении login; мы будем называть их одноразовыми паролями. Последний вид паролей это защищенные пароли, которые вы передаете программам key/opiekey (и иногда программам keyinit/opiepasswd), и которые эти программы используют для создания одноразовых паролей; мы будем называть его защищенными паролями или просто паролями. Защищенный пароль не имеет никакого отношения к вашему паролю &unix;; они могут быть одинаковыми, но это не рекомендуется. Защищенные пароли S/Key и OPIE не ограничены 8-ю символами, как старые &unix; паролиВ &os; стандартный пароль может быть до 128 символов длиной., они могут быть настолько длинными, насколько вы захотите. Очень часто используются пароли длиной в шесть или семь символов. По большей части система S/Key или OPIE работает полностью независимо от системы паролей &unix;. Помимо паролей, есть два других вида данных, важных для S/Key и OPIE. Первый, известный как seed или ключ, состоит из двух букв и пяти цифр. Другой, называемый счетчиком цикла, это номер от 1 до 100. S/Key создает одноразовый пароль, соединяя ключ и защищенный пароль, а затем применяя MD4/MD5 столько раз, сколько указано счетчиком цикла и выдает результат в виде шести коротких слов на английском. Эти шесть слов на английском и есть ваш одноразовый пароль. Система аутентификации (как правило PAM) хранит последний использованный одноразовый пароль, и пользователь аутентифицитуется если хэш вводимого пользователем пароля совпадает с предыдущим паролем. Поскольку используется односторонний хэш, невозможно сгенерировать следующий одноразовый пароль если получен предыдущий; счетчик цикла уменьшается после каждого успешного входа для поддержки синхронизации пользователя с программой login. Когда счетчик цикла уменьшается до 1, S/Key и OPIE должны быть переинициализированы. В каждой из обсуждаемых ниже систем задействованы три программы. Программы key и opiekey получают счетчик цикла, ключ и защищенный пароль и создают одноразовый пароль или последовательный список одноразовых паролей. Программы keyinit и opiepasswd используются для инициализации S/Key и OPIE соответственно, и для смены паролей, счетчиков цикла, или ключей; они принимают защищенный пароль или счетчик цикла, ключ и одноразовый пароль. Программы keyinfo и opieinfo проверяют соответствующие файлы (/etc/skeykeys или /etc/opiekeys) и печатают текущий счетчик цикла и ключ вызывающего пользователя. Мы рассмотрим четыре вида операций. Первая это использование keyinit или opiepasswd через защищенное соединение для первоначальной настройки системы одноразовых паролей, или для изменения пароля или ключа. Вторая операция это использование в тех же целях keyinit или opiepasswd через незащищенное соединение, в сочетании с key или opiekey через защищенное соединение. Третья это использование key/opiekey для входа через незащищенное соединение. Четвертая это использование key или opiekey для генерации набора ключей, которые могут быть записаны или распечатаны для соединения из места, где защищенное соединение недоступно. Защищенная установка соединения Для первоначальной настройки S/Key, измените ваш пароль или ключ при входе через защищенное соединение (например, с консоли компьютера или через ssh), используйте команду keyinit без параметров при входе под своим именем: &prompt.user; keyinit Adding unfurl: Reminder - Only use this method if you are directly connected. If you are using telnet or rlogin exit with no password and use keyinit -s. Enter secret password: Again secret password: ID unfurl s/key is 99 to17757 DEFY CLUB PRO NASH LACE SOFT Для OPIE, вместо этого используется opiepasswd: &prompt.user; opiepasswd -c [grimreaper] ~ $ opiepasswd -f -c Adding unfurl: Only use this method from the console; NEVER from remote. If you are using telnet, xterm, or a dial-in, type ^C now or exit with no password. Then run opiepasswd without the -c parameter. Using MD5 to compute responses. Enter new secret pass phrase: Again new secret pass phrase: ID unfurl OTP key is 499 to4268 MOS MALL GOAT ARM AVID COED В приглашениях Enter new secret pass phrase: или Enter secret password:, введите пароль или фразу. Запомните, это не тот пароль, с которым вы будете входить, он используется для генерации одноразовых паролей. Строка ID содержит информацию для вашего конкретного случая: имя пользователя, счетчик цикла и ключ. При входе система запомнит эти параметры и отправит их вам, поэтому их не надо запоминать. В последней строке находится одноразовый пароль, соответствующий этим параметрам и секретному паролю; если вы войдете в систему сразу, используйте этот одноразовый пароль. Незащищенная установка соединения Для инициализации или изменения защищенного пароля через незащищенное соединение, вам потребуется существующее защищенное соединение куда-то, где вы сможете запустить key или opiekey; это может быть средство доступа &macintosh; или shell на компьютере, которому вы доверяете. Вам потребуется также установить значение счетчика цикла (100 возможно подойдет), и задать ключ или использовать сгенерированный. Через незащищенное соединение (к компьютеру, на котором производится настройка), используйте команду keyinit -s: &prompt.user; keyinit -s Updating unfurl: Old key: to17758 Reminder you need the 6 English words from the key command. Enter sequence count from 1 to 9999: 100 Enter new key [default to17759]: s/key 100 to 17759 s/key access password: s/key access password:CURE MIKE BANE HIM RACY GORE Для OPIE, используйте opiepasswd: &prompt.user; opiepasswd Updating unfurl: You need the response from an OTP generator. Old secret pass phrase: otp-md5 498 to4268 ext Response: GAME GAG WELT OUT DOWN CHAT New secret pass phrase: otp-md5 499 to4269 Response: LINE PAP MILK NELL BUOY TROY ID mark OTP key is 499 gr4269 LINE PAP MILK NELL BUOY TROY Чтобы принять ключ по умолчанию нажмите Enter. Затем, перед вводом пароля доступа введите те же параметры в вашем защищенном соединении или средстве доступа S/Key: &prompt.user; key 100 to17759 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: <secret password> CURE MIKE BANE HIM RACY GORE Или для OPIE: &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT Теперь переключитесь на незащищенное соединение и скопируйте одноразовый пароль, сгенерированный соответствующей программой. Создание одного одноразового пароля Как только вы настроите S/Key или OPIE, во время входа появится приглашение вроде этого: &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> s/key 97 fw13894 Password: Или для OPIE: &prompt.user; telnet example.com Trying 10.0.0.1... Connected to example.com Escape character is '^]'. FreeBSD/i386 (example.com) (ttypa) login: <username> otp-md5 498 gr4269 ext Password: Кроме того, у S/Key и OPIE есть полезная особенность (не показанная здесь): если вы нажмете Enter в приглашении на ввод пароля, включится эхо, и вы сможете увидеть то, что вводите. Это может быть очень полезно, если вы пытаетесь ввести пароль вручную, например с распечатки. MS-DOS Windows MacOS В этот момент вам потребуется сгенерировать одноразовый пароль, чтобы ввести его в приглашение. Это должно быть выполнено на защищенной системе, в которой вы можете запустить key или opiekey (есть версии для DOS, &windows; и &macos;). Им требуются значения счетчика цикла и ключ в качестве параметров командной строки. Вы можете скопировать и вставить их прямо из приглашения login компьютера, на который входите. В защищенной системе: &prompt.user; key 97 fw13894 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: WELD LIP ACTS ENDS ME HAAG Для OPIE: &prompt.user; opiekey 498 to4268 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: GAME GAG WELT OUT DOWN CHAT Теперь, когда у вас есть одноразовый пароль, можете продолжить вход в систему: login: <username> s/key 97 fw13894 Password: <return to enable echo> s/key 97 fw13894 Password [echo on]: WELD LIP ACTS ENDS ME HAAG Last login: Tue Mar 21 11:56:41 from 10.0.0.2 ... Создание нескольких одноразовых паролей Иногда вы отправляетесь туда, где нет доступа к защищенному компьютеру или защищенному соединению. В этом случае, можно использовать команды key и opiekey для создания нескольких одноразовых паролей, которые вы сможете распечатать и забрать с собой. Например: &prompt.user; key -n 5 30 zz99999 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: <secret password> 26: SODA RUDE LEA LIND BUDD SILT 27: JILT SPY DUTY GLOW COWL ROT 28: THEM OW COLA RUNT BONG SCOT 29: COT MASH BARR BRIM NAN FLAG 30: CAN KNEE CAST NAME FOLK BILK Или для OPIE: &prompt.user; opiekey -n 5 30 zz99999 Using the MD5 algorithm to compute response. Reminder: Don't use opiekey from telnet or dial-in sessions. Enter secret pass phrase: <secret password> 26: JOAN BORE FOSS DES NAY QUIT 27: LATE BIAS SLAY FOLK MUCH TRIG 28: SALT TIN ANTI LOON NEAL USE 29: RIO ODIN GO BYE FURY TIC 30: GREW JIVE SAN GIRD BOIL PHI Параметр запрашивает пять паролей, указывает значение последнего счетчика цикла. Обратите внимание, что пароли печатаются в обратном по сравнению с обычным использованием порядке. Если вы действительно параноик, перепишите результат вручную; иначе скопируйте и передайте его lpr. Обратите внимание, что каждая линия содержит как счетчик цикла, так и одноразовый пароль; вам может показаться удобным отрывать пароль после использования. Ограничение использования &unix; паролей S/Key может наложить ограничения на использование &unix; паролей на основе имени хоста, имени пользователя, порта терминала или IP адреса сессии. Эти ограничения можно найти в файле настройки /etc/skey.access. Страница справочника &man.skey.access.5; содержит дополнительную информацию о полном формате файла а также детали о некоторых предосторожностях, которые должны быть предприняты перед тем, как положиться в вопросах безопасности на этот файл. Если файла /etc/skey.access нет (это ситуация по умолчанию в системах FreeBSD 4.X), всем пользователям будет разрешено входить с паролями &unix;. Если файл существует, использование S/Key станет обязательно для всех, если только параметры настройки в файле skey.access не указывают иначе. В любом случае, пароли &unix; разрешены при входе с консоли. Вот пример файла настройки skey.access, иллюстрирующий три наиболее распространенных вида параметров настройки: permit internet 192.168.0.0 255.255.0.0 permit user fnord permit port ttyd0 Первая строка (permit internet) разрешает пользователям, чей IP адрес (который подвержен подделке) соответствует заданному значению и маске, входить с использованием паролей &unix;. Это должно рассматриваться не как механизм безопасности, а как напоминание пользователям, что они работают через небезопасное соединение и должны использовать для аутентификации S/Key. Вторая строка (permit user) позволяет определенным пользователям, в данном случае fnord, всегда использовать пароли &unix;. Вообще говоря, это должно использоваться только для тех, кто не может использовать программу key, например если они работают с простых терминалов или необучаемы. Третья строка (permit port) позволяет всем пользователям, вошедшим с определенного терминала использовать пароли &unix;; этот параметр должен использоваться для подключений по dial-up. OPIE может ограничивать использование паролей &unix; на основе IP адреса как и S/Key. Соответствующий файл называется /etc/opieaccess, он существует по умолчанию в FreeBSD 5.0 и более современных системах. Обратитесь к &man.opieaccess.5; за более подробной информацией об этом файле и о предосторожностях, которые вы должны предпринять при использовании этого файла. Вот пример файла opieaccess: permit 192.168.0.0 255.255.0.0 Эта строка позволяет пользователям, чей IP адрес (который подвержен подделке) соответствует указанному значению и маске, входить с паролем &unix;. Если ни одно из правил в opieaccess не сработало, поведением по умолчанию является запрет всех не-OPIE входов. Mark Murray Предоставил Mark Dapoz Оригинальный текст предоставил KerberosIV Kerberos это сетевая дополнительная система/протокол, которая делает возможной аутентификацию пользователей через сервисы на защищенном сервере. Такие сервисы, как удаленный вход, удаленное копирование, защищенное копирование файлов между системами и другие задачи с высоким риском становятся допустимо безопасными и более контролируемыми. Последующие инструкции могут использоваться в качестве руководства по настройке поставляемого с FreeBSD Kerberos. Тем не менее, вам могут потребоваться страницы справочника полного дистрибутива. Установка KerberosIV MIT KerberosIV установка Kerberos это опциональный компонент &os;. Простейший способ установки этой программы это выбор krb4 или krb5 из sysinstall во время первой установки FreeBSD. Будет установлен eBones (KerberosIV) или Heimdal (Kerberos5) вариант Kerberos. Включение этих реализаций объясняется тем, что они разработаны вне США/Канады и доступны вне этих стран, поскольку на них не влияют ограничения на экспорт криптографического кода из США. Кроме того, реализация MIT Kerberos доступна из коллекции портов в виде пакета security/krb5. Создание базы данных Это необходимо сделать только на сервере Kerberos. Во-первых, убедитесь что не осталось старой базы данных Kerberos. Войдите в каталог /etc/kerberosIV и убедитесь, что в нем находятся только эти файлы: &prompt.root; cd /etc/kerberosIV &prompt.root; ls README krb.conf krb.realms Если присутствуют еще какие-то файлы (такие как principal.* или master_key), используйте команду kdb_destroy для удаления старой базы данных Kerberos, или, если Kerberos не запущен, просто удалите эти файлы. Затем отредактируйте файлы krb.conf и krb.realms, введя ваши данные. В этом примере уникальный идентификатор EXAMPLE.COM, сервер grunt.example.com. Отредактируем или создадим файл krb.conf: &prompt.root; cat krb.conf EXAMPLE.COM EXAMPLE.COM grunt.example.com admin server CS.BERKELEY.EDU okeeffe.berkeley.edu ATHENA.MIT.EDU kerberos.mit.edu ATHENA.MIT.EDU kerberos-1.mit.edu ATHENA.MIT.EDU kerberos-2.mit.edu ATHENA.MIT.EDU kerberos-3.mit.edu LCS.MIT.EDU kerberos.lcs.mit.edu TELECOM.MIT.EDU bitsy.mit.edu ARC.NASA.GOV trident.arc.nasa.gov В этом примере другие идентификаторы введены для иллюстрации настройки c несколькими хостами. С целью упрощения настройки вы можете не включать их. Первая строка содержит идентификатор, под которым работает эта система. Остальные строки связывают идентификаторы с именами хостов. Сначала указывается идентификатор, затем хост под этим идентификатором, работающий как центр распространения ключей. Слова admin server с последующим именем хоста означают, что этот хост также является сервером администрирования базы данных. За дальнейшей информацией об этих терминах обратитесь к страницам справочника по Kerberos. Мы добавили grunt.example.com к идентификатору EXAMPLE.COM и кроме того сопоставили всем хостам в домене .example.com идентификатор EXAMPLE.COM. Файл krb.realms будет выглядеть так: &prompt.root; cat krb.realms grunt.example.com EXAMPLE.COM .example.com EXAMPLE.COM .berkeley.edu CS.BERKELEY.EDU .MIT.EDU ATHENA.MIT.EDU .mit.edu ATHENA.MIT.EDU Как и в предыдущем примере, другие идентификаторы добавлены только для примера. С целью упрощения настройки вы можете не включать их. В первой строке определенная система сопоставляется с идентификатором. В остальных строках показано, сопоставить идентификатору остальные системы определенного поддомена. Теперь мы готовы к созданию базы данных. Потребуется всего лишь запустить сервер Kerberos (или центр распространения ключей). Используйте для этого kdb_init: &prompt.root; kdb_init Realm name [default ATHENA.MIT.EDU ]: EXAMPLE.COM You will be prompted for the database Master Password. It is important that you NOT FORGET this password. Введите главный ключ Kerberos: Теперь мы должны сохранить ключ, чтобы сервера на локальных компьютерах могли его взять. Используйте для этого команду kstash: &prompt.root; kstash Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Этой командой зашифрованный главный пароль сохранен в /etc/kerberosIV/master_key. Запуск Kerberos KerberosIV первый запуск Для каждой системы, защищаемой Kerberos, в базу данных должны быть добавлены две записи. Это kpasswd и rcmd. Они добавляются вместе с именем системы. Эти даемоны, kpasswd и rcmd позволяют другим системам изменять пароли Kerberos и запускать такие команды как &man.rcp.1;, &man.rlogin.1;, &man.rsh.1;. Теперь добавим эти записи: &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: passwd Instance: grunt <Not found>, Create [y] ? y Principal: passwd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? y Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: rcmd Instance: grunt <Not found>, Create [y] ? Principal: rcmd, Instance: grunt, kdc_key_ver: 1 New Password: <---- enter RANDOM here Verifying password New Password: <---- enter RANDOM here Random password [y] ? Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit Создание файла настройки сервера Теперь необходимо создать все записи сервисов, которые были определены для каждого компьютера. Используем для этого команду ext_srvtab. Будет создан файл, который должен быть скопирован или перемещен безопасным способом в каталог /etc/kerberosIV каждого Kerberos клиента. Этот файл должен присутствовать на каждом сервере и клиенте, он необходим для работы Kerberos. &prompt.root; ext_srvtab grunt Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Generating 'grunt-new-srvtab'.... Эта команда создаст временный файл, который должен быть переименован в srvtab, чтобы серверы смогли обратиться к нему. Используйте команду &man.mv.1; для перемещения его в исходной системе: &prompt.root; mv grunt-new-srvtab srvtab Если файл предназначен для клиентской системы, и сеть не безопасна, скопируйте client-new-srvtab на съемный носитель и перенесите файл с его помощью. Убедитесь, что переименовали его в srvtab в каталоге /etc/kerberosIV клиента, и что режим доступа к нему 600: &prompt.root; mv grumble-new-srvtab srvtab &prompt.root; chmod 600 srvtab Пополнение базы данных Теперь необходимо добавить в базу данных пользователей. Во-первых, создадим запись для пользователя jane. Используйте команду kdb_edit: &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: <Not found>, Create [y] ? y Principal: jane, Instance: , kdc_key_ver: 1 New Password: <---- enter a secure password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit Тестирование всей системы Во-первых, запустите даемоны Kerberos. При правильном редактировании файла /etc/rc.conf они запустятся автоматически при перезагрузке. Это необходимо только на сервере Kerberos. Клиенты Kerberos получат все необходимые данные из каталога /etc/kerberosIV. &prompt.root; kerberos & Kerberos server starting Sleep forever on error Log file is /var/log/kerberos.log Current Kerberos master key version is 1. Master key entered. BEWARE! Current Kerberos master key version is 1 Local realm: EXAMPLE.COM &prompt.root; kadmind -n & KADM Server KADM0.0A initializing Please do not use 'kill -9' to kill this job, use a regular kill instead Current Kerberos master key version is 1. Master key entered. BEWARE! Теперь для получения доступа через созданного пользователя jane используйте kinit: &prompt.user; kinit jane MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane" Password: Попробуйте просмотреть имеющиеся данные с помощью klist: &prompt.user; klist Ticket file: /tmp/tkt245 Principal: jane@EXAMPLE.COM Issued Expires Principal Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COM Теперь попробуйте изменить пароль с помощью &man.passwd.1;, чтобы убедиться, что даемон kpasswd может получить информацию из базы данных Kerberos: &prompt.user; passwd realm EXAMPLE.COM Old password for jane: New Password for jane: Verifying password New Password for jane: Password changed. Включение <command>su</command> Kerberos позволяет назначить каждому пользователю, который нуждается в привилегиях root, свой собственный пароль &man.su.1;. Необходимо добавить учетную запись, которой разрешено получать root доступ через &man.su.1;. Это делается путем связывания учетной записи root с пользовательской учетной записью. Создадим в базе данных Kerberos запись jane.root с помощью kdb_edit: &prompt.root; kdb_edit Opening database... Enter Kerberos master key: Current Kerberos master key version is 1. Master key entered. BEWARE! Previous or default values are in [brackets] , enter return to leave the same, or new value. Principal name: jane Instance: root <Not found>, Create [y] ? y Principal: jane, Instance: root, kdc_key_ver: 1 New Password: <---- enter a SECURE password here Verifying password New Password: <---- re-enter the password here Principal's new key version = 1 Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ? Max ticket lifetime (*5 minutes) [ 255 ] ? 12 <--- Keep this short! Attributes [ 0 ] ? Edit O.K. Principal name: <---- null entry here will cause an exit Теперь проверим работоспособность этой записи: &prompt.root; kinit jane.root MIT Project Athena (grunt.example.com) Kerberos Initialization for "jane.root" Password: Необходимо добавить пользователя к root файлу .klogin: &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM Теперь попробуйте выполнить &man.su.1;: &prompt.user; su Password: и посмотрите на имеющиеся данные: &prompt.root; klist Ticket file: /tmp/tkt_root_245 Principal: jane.root@EXAMPLE.COM Issued Expires Principal May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COM Использование других команд В примере выше мы создали запись (principal) jane с доступом к root (instance). Она основана на пользователе с таким же именем, как и идентификатор, что принято Kerberos по умолчанию; <principal>.<instance> в форме <username>.root позволяет использовать &man.su.1; для доступа к root, если соответствующие записи находятся в файле .klogin домашнего каталога root: &prompt.root; cat /root/.klogin jane.root@EXAMPLE.COM Подобно этому, если в файле .klogin из домашнего каталога пользователя есть строки в форме: &prompt.user; cat ~/.klogin jane@EXAMPLE.COM jack@EXAMPLE.COM это позволит любому с идентификатором EXAMPLE.COM, кто аутентифицировался как jane или jack (с помощью команды kinit, см. выше) получить доступ к учетной пользователя jane или файлам этой системы (grunt) через &man.rlogin.1;, &man.rsh.1; или &man.rcp.1;. Например, jane может входить в другую систему используя Kerberos: &prompt.user; kinit MIT Project Athena (grunt.example.com) Password: &prompt.user; rlogin grunt Last login: Mon May 1 21:14:47 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Или jack входит в учетную запись jane's на этом же компьютере (файл .klogin jane настроен как показано выше, и в Kerberos настроена учетная запись jack): &prompt.user; kinit &prompt.user; rlogin grunt -l jane MIT Project Athena (grunt.example.com) Password: Last login: Mon May 1 21:16:55 from grumble Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995 Tillman Hodgson Предоставил Mark Murray Оригинальный материал предоставил <application>Kerberos5</application> Все релизы &os; после &os;-5.1 включают поддержку только Kerberos5. Таким образом, Kerberos5 это единственная включаемая в поставку версия и его конфигурация похожа на KerberosIV во многих аспектах. Эта информация применима только к Kerberos5 из релизов после &os;-5.0. Пользователи, желающие использовать пакет KerberosIV, могут установить его из порта security/krb4. Kerberos это дополнительная сетевая система/протокол, позволяющая пользователям авторизоваться через защищенные сервисы на защищенном сервере. Такие сервисы как удаленный вход, удаленное копирование, защищенное копирование файлов между системами и другие задачи с высоким риском становятся допустимо безопасными и более контролируемыми. Kerberos может быть описана как прокси система идентификации-проверки. Она также может быть описана как защищенная внешняя система аутентификации. Kerberos предоставляет только одну функцию — защищенную аутентификацию пользователей сети. Он не предоставляет Он не предоставляет функций авторизации (что разрешено делать пользователям) или функций аудита (какой пользователь что делает). После того, как клиент и сервер использовали Kerberos для идентификации, они могут зашифровать все соединения для гарантирования собственной безопасности и целостности данных. Следовательно крайне рекомендуется использовать Kerberos с другими методами безопасности, предоставляющими сервисы авторизации и аудита. Последующие инструкции могут использоваться в качестве руководства по настройке Kerberos, поставляемого с &os;. Тем не менее, вам потребуется обратиться к соответствующим страницам справочника за полным описанием. В целях демонстрации установки Kerberos, будут применены следующие обозначения: DNS домен (зона) example.org. Уникальный идентификатор Kerberos EXAMPLE.ORG. Используйте действующие имена доменов при настройке Kerberos даже если вы будете использовать его во внутренней сети. Это позволит избежать проблем с DNS и гарантирует возможность связи с Kerberos под другими идентификаторами. История Kerberos5 история Kerberos был создан MIT в качестве решения проблем с безопасностью сети. Протокол Kerberos использует стойкую криптографию, так что клиент может идентифицироваться на сервере (и обратно) через незащищенное сетевое соединение. Kerberos это и имя сетевого протокола аутентификации и общий термин для описания программ, где он реализован (например, Kerberos telnet). Текущая версия протокола 5 описана в RFC 1510. Доступно несколько свободных реализаций этого протокола, работающих на множестве операционных систем. Massachusetts Institute of Technology (MIT), где Kerberos был первоначально разработан, продолжает разрабатывать собственный пакет Kerberos. Он обычно использовался в США как криптографический продукт, и в этом качестве попадал под действие ограничений на экспорт. MIT Kerberos доступен в виде порта (security/krb5). Heimdal Kerberos это другая реализация версии 5, которая разрабатывалась исключительно вне США для обхода экспортных ограничений (и поэтому часто включалась в некоммерческие реализации &unix;). Heimdal Kerberos доступен в виде порта (security/heimdal), его минимальный комплект включен в базовую установку &os;. В целях получения наибольшей аудитории, в этих инструкциях предполагается использование Heimdal включаемого в &os;. Настройка Heimdal <acronym>KDC</acronym> Kerberos5 настройка центра распространения ключей Центр распространения ключей (Key Distribution Center, KDC) это централизованный сервис аутентификации, предоставляемый Kerberos — это компьютер, который предоставляет доступ через Kerberos. KDC считается доверяемым всеми другими компьютерами с определенным идентификатором Kerberos и поэтому к нему предъявляются высокие требования безопасности. Имейте ввиду, что хотя работа сервера Kerberos требует очень немного вычислительных ресурсов, из соображений безопасности для него рекомендуется отдельный компьютер, работающий только в качестве KDC. Перед началом настройки KDC, убедитесь что в файле /etc/rc.conf содержатся правильные настройки для работы в качестве KDC (вам может потребоваться изменить пути в соответствии с собственной системой): kerberos5_server_enable="YES" kadmind5_server_enable="YES" kerberos_stash="YES" Параметр существует только в &os; 4.X. Затем приступим к редактированию файла настройки Kerberos, /etc/krb5.conf: [libdefaults] default_realm = EXAMPLE.ORG [realms] EXAMPLE.ORG = { kdc = kerberos.example.org } [domain_realm] .example.org = EXAMPLE.ORG Обратите внимание что в файле /etc/krb5.conf подразумевается наличие у KDC полного имени kerberos.example.org. Вам потребуется добавить CNAME (синоним) к файлу зоны, если у KDC другое имя. Для больших сетей с правильно настроенным сервером BIND DNS пример выше может быть урезан до: [libdefaults] default_realm = EXAMPLE.ORG Со следующими строками, добавленными в файл зоны example.org: _kerberos._udp IN SRV 01 00 88 kerberos.example.org. _kerberos._tcp IN SRV 01 00 88 kerberos.example.org. _kpasswd._udp IN SRV 01 00 464 kerberos.example.org. _kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org. _kerberos IN TXT EXAMPLE.ORG. Создадим теперь базу данных Kerberos. Эта база данных содержит ключи всех основных хостов, зашифрованных с помощью главного пароля. Вам не требуется помнить этот пароль, он хранится в файле (/var/heimdal/m-key). Для создания главного ключа запустите kstash и введите пароль. Как только будет создан главный ключ, вы можете инициализировать базу данных с помощью программы kadmin с ключом -l (означающим local). Этот ключ сообщает kadmin обращаться к файлам базы данных непосредственно вместо использования сетевого сервиса kadmind. Это помогает решить проблему курицы и яйца, когда обращение идет к еще не созданной базе данных. Как только вы увидите приглашение kadmin, используйте команду init для создания базы данных идентификаторов. Наконец, оставаясь в приглашении kadmin, создайте первую запись с помощью команды add. Оставьте неизменными параметры по умолчанию, вы всегда сможете изменить их позже с помощью команды modify. Обратите внимание, что вы всегда можете использовать команду ? для просмотра доступных параметров. Пример создания базы данных показан ниже: &prompt.root; kstash Master key: xxxxxxxx Verifying password - Master key: xxxxxxxx &prompt.root; kadmin -l kadmin> init EXAMPLE.ORG Realm max ticket life [unlimited]: kadmin> add tillman Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: Password: xxxxxxxx Verifying password - Password: xxxxxxxx Теперь пришло время запустить сервисы KDC. Выполните команды /etc/rc.d/kerberos start и /etc/rc.d/kadmind start для запуска сервисов. Ни один из поддерживающих Kerberos даемонов на этот момент запущен не будет, но у вас должна быть возможность убедиться в том, что KDC функционирует путем получения списка доступа для пользователя, которого вы только что самостоятельно создали из командной строки самого KDC: &prompt.user; k5init tillman tillman@EXAMPLE.ORG's Password: &prompt.user; k5list Credentials cache: FILE:/tmp/krb5cc_500 Principal: tillman@EXAMPLE.ORG Issued Expires Principal Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG Сервер <application>Kerberos</application> с сервисами Heimdal Kerberos5 включение сервисов Для начала нам потребуется копия файла настройки Kerberos, /etc/krb5.conf. Просто скопируйте его с KDC на клиентский компьютер безопасным способом (используя сетевые утилиты, такие как &man.scp.1;, или физически, с помощью дискеты). Затем вам понадобится файл /etc/krb5.keytab. Это основное различие между сервером, поддерживающим Kerberos и рабочими станциями — на сервере должен быть файл keytab. В этом файле находится центральный ключ сервера, который позволяет KDC проверять все другие идентификаторы. Он должен быть помещен на сервер безопасным способом, поскольку безопасность сервера может быть нарушена, если ключ станет общедоступен. Это означает, что его передача через незашифрованный - канал, такой как FTP – очень плохая + канал, такой как FTP — очень плохая идея. Обычно перенос файла keytab на сервер производится с помощью программы kadmin. Это удобно, поскольку вам потребуется также создать запись хоста (KDC часть krb5.keytab) с помощью kadmin. Обратите внимание, что должны быть уже зарегистрированы в системе и необходимо наличие прав на использование интерфейса kadmin в файле kadmind.acl. Обратитесь к разделу Remote administration в info страницах Heimdal (info heimdal) за деталями по составлению списка доступа. Если вы не хотите включать удаленный доступ kadmin, можете просто подключиться к KDC через защищенное соединение (локальную консоль, &man.ssh.1; или Kerberos &man.telnet.1;) и выполнять администрирование локально с помощью kadmin -l. После добавления файла /etc/krb5.conf, вы можете использовать kadmin с сервера Kerberos. Команда add --random-key позволит вам добавить запись для сервера, а команда ext позволит перенести эту запись в собственный keytab файл сервера. Например: &prompt.root; kadmin kadmin> add --random-key host/myserver.example.org Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: kadmin> ext host/myserver.example.org kadmin> exit Обратите внимание, что команда ext (сокращение от extract) сохраняет полученный ключ в файле /etc/krb5.keytab по умолчанию. Если на KDC не запущен kadmind (возможно по соображениям безопасности) и вы не можете получить доступ к kadmin удаленно, возможно добавление записи хоста (host/myserver.EXAMPLE.ORG) непосредственно на KDC с последующим извлечением ее во временный файл (и перезаписью /etc/krb5.keytab на KDC) примерно так: &prompt.root; kadmin kadmin> ext --keytab=/tmp/example.keytab host/myserver.example.org kadmin> exit Затем вы можете скопировать keytab на сервер защищенным способом (например, используя scp или дискету). Убедитесь, что используемое имя keytab не совпадает с именем по умолчанию во избежание перезаписывания keytab на KDC. Теперь ваш сервер может связываться с KDC (добавлен файл krb5.conf) и идентифицировать себя (добавлен файл krb5.keytab). Теперь вы готовы к включению некоторых сервисов Kerberos. В этом примере мы включим сервис telnet, поместив в /etc/inetd.conf нижеприведенную строку и перезапустив сервис &man.inetd.8; командой /etc/rc.d/inetd restart: telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a user Очень важно установить ключ -a (тип аутентификации) в user. Обратитесь к странице справочника &man.telnetd.8; за подробной информацией. Клиент <application>Kerberos</application> с Heimdal Kerberos5 настройка клиента Настройка клиентского компьютера почти тривиально проста. Как только настройка Kerberos закончена, вам потребуется только файл настройки Kerberos, /etc/krb5.conf. Просто скопируйте его безопасным способом на клиентский компьютер с KDC. Протестируйте клиентский компьютер, попытавшись использовать kinit, klist, и kdestroy для получения, отображения и удаления списка доступа. Соединитесь с Kerberos севером используя клиент Kerberos, если соединение не работает и получение доступа является проблемой, это скорее всего проблема сервера, а не клиента или KDC. При тестировании приложения вроде telnet, попробуйте использовать программу перехвата пакетов (такую как &man.tcpdump.1;), чтобы убедиться, что ваш пароль не передается незашифрованным. Попробуйте использовать telnet с параметром -x, чтобы зашифровать весь поток данных (подобно ssh). Основные клиентские приложения Kerberos (традиционно называющиеся kinit, klist, kdestroy, и kpasswd) находятся в базовой установке &os;. Обратите внимание, что в &os; версий до 5.0 они были переименованы в k5init, k5list, k5destroy, k5passwd, и k5stash (хотя их обычно использовали лишь однократно). Различные неосновные клиентские приложения Kerberos также устанавливаются по умолчанию. Здесь проявляется минимальность базовой установки Heimdal: telnet это единственное приложение, поддерживающее Kerberos. Порт Heimdal добавляет некоторые отсутствующие клиентские приложения: поддерживающие Kerberos версии ftp, rsh, rcp, rlogin, и некоторые другие реже используемые программы. Порт MIT также содержит полный пакет клиентских приложений Kerberos. Пользовательские файлы настройки: <filename>.k5login</filename> и <filename>.k5users</filename> Kerberos5 пользовательские файлы настройки Учетные записи пользователя в Kerberos (например tillman@EXAMPLE.ORG) обычно связаны с локальными учетными записями (например с локальной учетной записью6 tillman). Клиентские приложения, такие как telnet, обычно не требуют указания имени пользователя или учетной записи. Тем не менее, время от времени вам может потребоваться дать доступ к локальной учетной записи кому-то, у кого нет соответствующей учетной записи Kerberos. Например, пользователю tillman@EXAMPLE.ORG может потребоваться доступ к локальной учетной записи webdevelopers. Другим учетным записям также может потребоваться доступ к этой локальной учетной записи. Файлы .k5login и .k5users, помещенные в домашний каталог пользователя, могут быть использованы подобно действенной комбинации .hosts и .rhosts для решения этой проблемы. Например, файл .k5login со следующим содержанием: tillman@example.org jdoe@example.org помещен в домашний каталог локального пользователя webdevelopers, то обе упомянутые учетные записи получат доступ к этой учетной записи без необходимости наличия общего пароля. Рекомендуется прочитать страницу справочника по этим командам. Обратите внимание, что страница справочника о ksu содержит информацию по .k5users. Подсказки, советы и решение проблем с <application>Kerberos</application> Kerberos5 решение проблем При использовании портов как Heimdal так и MIT Kerberos убедитесь, что в PATH версии Kerberos клиентов указаны перед их версиями в базовой системе. Синхронизировано ли время? Вы уверены? Если время не синхронизировано (обычно в пределах пяти минут) аутентификация завершится неудачно. MIT и Heimdal успешно взаимодействуют. За исключением kadmin, протокол для которого не стандартизован. Если вы изменяете hostname, потребуется также изменить учетную запись host/ и обновить keytab. Это также необходимо для специальных записей в keytab, таких как www/ запись модуля Apache www/mod_auth_kerb. Все хосты под общим идентификатором должны разрешаться DNS (прямое и обратное разрешение), или как минимум через /etc/hosts. Записи CNAME будут работать, но записи A и PTR должны быть корректны и находиться на своем месте. Сообщение об ошибке не всегда интуитивно понятно: Kerberos5 refuses authentication because Read req failed: Key table entry not found. Некоторые операционные системы, способные работать в качестве клиентов KDC не устанавливают права для ksu в setuid root. Это означает, что ksu не работает, что хорошо является хорошей идеей для безопасности, но неудобно. Это не ошибка KDC. С MIT Kerberos, если вы хотите продлить действие доступа до значения большего, чем десять часов по умолчанию, используйте команду modify_principal в kadmin для изменения maxlife доступа к самой учетной записи и к учетной записи krbtgt. Затем возможно использование kinit с параметром -l для запроса доступа с большим временем действия. Если вы запускаете перехватчик пакетов на KDC для разрешения проблем, а затем запускаете kinit с рабочей станции, то увидите, что TGT посылается непосредственно при запуске kinit — даже до того, как вы введете пароль! Объяснение в том, что сервер Kerberos свободно распространяет TGT (Ticket Granting Ticket) на каждый неавторизованный запрос; однако, каждый TGT зашифрован ключом, полученным из пароля пользователя. Следовательно, когда пользователь вводит свой пароль, он не отправляется на KDC, а используется для расшифровка TGT, который уже получен kinit. Если в процессе расшифровки получается правильный билет с правильным значением времени, у пользователя есть действующее удостоверение. Это удостоверение содержит ключ сессии для установления безопасного соединения с сервером Kerberos, как и действующий TGT, зашифрованный ключом сервера Kerberos. Второй уровень шифрования недоступен пользователю, но позволяет серверу Kerberos проверять правильность каждого TGT. Вам необходимо поддерживать время синхронизированным на всех компьютерах внутри одного идентификатора. NTP прекрасно подходит для этой задачи. За дополнительной информацией по NTP обратитесь к . Если вы хотите установить большое время жизни доступа (например, неделю), и используете OpenSSH для соединения с компьютером, где хранится билет, убедитесь, что параметр Kerberos установлен в no в файле sshd_config, или билеты будут уничтожены при выходе из сеанса. Запомните, что время жизни билетов хостов больше. Если время жизни билета для учетной записи пользователя составляет неделю, а время жизни учетной записи хоста, к которому вы подсоединяетесь девять часов, учетная запись хоста в кэше устареет и кэш билетов будет работать не так, как ожидается. При настройке файла krb5.dict на предотвращение использования определенных плохих паролей (страница справочника для kadmind кратко рассказывает об этом), запомните, что это применимо только к учетным записям, для которых действует политика паролей. Формат файла krb5.dict прост: одно слово на строку. Может помочь создание символической ссылки на /usr/share/dict/words. Отличия от порта <acronym>MIT</acronym> Основное различие между установками MIT и Heimdal относится к программе kadmin, которая имеет другой (но эквивалентный) набор команд и использует другой протокол. Если ваш KDC работает на MIT, вы не сможете использовать kadmin для удаленного администрирования KDC (и наоборот, по этой же причине). Опции командной строки клиентов также могут немного отличаться для одинаковых задач. Рекомендуется следование инструкциям на MIT Kerberos веб сайте (). Будьте внимательны при определении PATH: порт MIT устанавливается по умолчанию в /usr/local/, и если в PATH вначале указаны системные каталоги, вместо приложений MIT могут быть запущены системные приложения. С портом MIT security/krb5, предоставляемым &os;, убедитесь что файл /usr/local/share/doc/krb5/README.FreeBSD установлен портом, если вы хотите понять почему вход через telnetd и klogind иногда происходит так странно. Наиболее важно, исправление incorrect permissions on cache file требует использования бинарного файла login.krb5 для аутентификации, чтобы права на переданное удостоверение передавались правильно. Преодоление ограничений, обнаруженных в <application>Kerberos</application> Kerberos5 ограничения и недостатки <application>Kerberos</application> это все или ничего Каждый сервис, работающий в сети, должен быть модифицирован для работы с Kerberos (или другим способом защищен от атак по сети) или удостоверения пользователей могут быть украдены или использованы повторно. В качестве примера может быть приведено использование Kerberos версий оболочек для удаленной работы (например через rsh и telnet), при наличии POP3 сервера, получающего пароли в незашифрованном виде. <application>Kerberos</application> предназначен для однопользовательских рабочих станций В многопользовательской среде Kerberos менее безопасен. Это потому, что он хранит билеты в каталоге /tmp, которая доступна для чтения всем. Если пользователь работает с несколькими другими пользователями одновременно на одном компьютере (т.е. в многопользовательской среде), возможна кража (копирование) билета другим пользователем. Решить проблему можно с помощью параметра командной строки -c или (предпочтительно) с помощью переменной окружения KRB5CCNAME, но это делается редко. Для преодоления ограничения достаточно сохранять билет в домашнем каталоге пользователя и использовать простые ограничения на доступ к файлам. От KDC зависит вся система Архитектура системы такова, что KDC должен быть максимально защищен, поскольку главный пароль базы данных содержится в нем. На KDC не должно быть запущено никаких других сервисов и он должен быть защищен физически. Опасность велика, поскольку Kerberos хранит все пароли зашифрованными одним ключом (главным ключом), который хранится в файле на KDC. Хорошей новостью является то, что кража главного ключа не станет такой проблемой, как может показаться. Главный ключ используется только для шифрования базы данных Kerberos и в качестве seed для генератора случайных чисел. Поскольку доступ к KDC защищен, атакующий мало что сможет сделать с главным ключом. Кроме того, если KDC станет недоступен (возможно по причине атак DoS или проблем в сети) сетевые сервисы будет невозможно использовать, поскольку аутентификация не может быть выполнена. Уменьшить последствия можно при наличии нескольких KDC (один главный и один или несколько резервных) и с аккуратно реализованной резервной аутентификацией (отлично подойдет PAM). Недостатки <application>Kerberos</application> Kerberos позволяет пользователям, хостам и сервисам производить аутентификацию друг друга. В нем нет механизма аутентификации KDC для пользователей, хостов или сервисов. Это означает, что поддельный kinit (например) может записывать все имена пользователей и паролей. Помочь решить проблему может security/tripwire или другой инструмент проверки целостности файловой системы. Ресурсы и информация для дальнейшего изучения Kerberos5 внешние ресурсы Kerberos FAQ Разработка системы аутентификации: диалог в четырех сценах RFC 1510, Kerberos Network Authentication Service (V5) Домашняя страница MIT Kerberos Домашняя страница Heimdal Kerberos Gary Palmer Предоставили Alex Nash Межсетевые экраны firewall безопасность межсетевые экраны Интерес к межсетевым экранам (брандмауэр, firewall) со стороны людей, подключенных к интернет, все возрастает и появились даже приложения для локальной сети, предоставляющие повышенный уровень безопасности. В этом разделе мы надеемся изложить что такое межсетевые экраны, как их использовать, и как использовать возможности, предоставляемые ядром FreeBSD для их реализации. Люди часто думают, что наличие межсетевого экрана между внутренней сетью и Большим плохим интернетом решит все их проблемы безопасности. Это может помочь, но плохо настроенный межсетевой экран представляет более серьезную угрозу безопасности, чем его полное отсутствие. Межсетевой экран добавляет еще один уровень безопасности вашим системам, но не может остановить проникновение решительно настроенного взломщика в вашу сеть. Если вы снижаете внутреннюю безопасность системы, поскольку верите в надежность межсетевого экрана, это существенно упрощает работу взломщика. Что такое межсетевой экран? Есть два четко различающихся типа межсетевых экранов, повседневно используемых в современном интернет. Первый тип правильнее называть маршрутизатор с фильтрацией пакетов. Этот тип межсетевого экрана работает на машине, подключенной к нескольким сетям и применяет к каждому пакету набор правил, определяющий переправлять ли этот пакет или блокировать. Второй тип, известный как прокси сервер, реализован в виде даемонов, выполняющих аутентификацию и пересылку пакетов, возможно на машине с несколькими сетевыми подключениями, где пересылка пакетов в ядре отключена. Иногда эти два типа межсетевых экранов используются вместе, так что только определенной машине (известной как защитный хост (bastion host)) позволено отправлять пакеты через фильтрующий маршрутизатор во внутреннюю сеть. Прокси сервисы работают на защитном хосте, что обычно более безопасно, чем обычные механизмы аутентификации. FreeBSD поставляется с встроенным в ядро фильтром пакетом (известным как IPFW), ему будет посвящена оставшаяся часть раздела. Прокси серверы могут быть собраны на FreeBSD из программного обеспечения сторонних разработчиков, но их слишком много и невозможно описать их в этом разделе. Маршрутизаторы с фильтрацией пакетов Маршрутизатор это машина, пересылающая пакеты между двумя или несколькими сетями. Маршрутизатор с фильтрацией пакетов запрограммирован на сравнение каждого пакета со списком правил перед тем как решить, пересылать его или нет. Большинство современного программного обеспечения маршрутизации имеет возможности фильтрации, и по умолчанию пересылаются все пакеты. Для включения фильтров, вам потребуется определить набор правил. Для определения того, должен ли быть пропущен пакет, межсетевой экран ищет в наборе правило, совпадающее с содержимым заголовков пакета. Как только совпадение найдено, выполняется действие, присвоенное данному правилу. Действие может заключаться в отбрасывании пакета, пересылке пакета, или даже в отправлении ICMP сообщения в адрес источника. Учитывается только первое совпадение, поскольку правила просматриваются в определенном порядке. Следовательно, список правил можно назвать цепочкой правил. Критерий отбора пакетов зависит от используемого программного обеспечения, но обычно вы можете определять правила, зависящие от IP адреса источника пакета, IP адреса назначения, номера порта источника пакета, номера порта назначения (для протоколов, поддерживающих порты), или даже от типа пакета (UDP, TCP, ICMP, и т.д.). Прокси серверы Прокси серверы это компьютеры, где обычные системные даемоны (telnetd, ftpd, и т.д.) заменены специальными серверами. Эти серверы называются прокси серверами, поскольку они обычно работают только с входящими соединениями. Это позволяет запускать (например) telnet прокси сервер на межсетевом экране, и делать возможным вход по telnet на межсетевой экран, прохождение механизма аутентификации, и получение доступа к внутренней сети (аналогично, прокси серверы могут быть использованы для выхода во внешнюю сеть). Прокси серверы обычно лучше защищены, чем другие серверы, и зачастую имеют более широкий набор механизмов аутентификации, включая системы одноразовых паролей, так что даже если кто-то узнает, какой пароль вы использовали, он не сможет использовать его для получения доступа к системе, поскольку срок действия пароля истекает немедленно после его первого использования. Поскольку пароль не дает доступа непосредственно к компьютеру, на котором находится прокси-сервер, становится гораздо сложнее установить в систему backdoor. Прокси серверы обычно имеют способ дополнительного ограничения доступа, так что только определенные хосты могут получить доступ к серверам. Большинство также позволяют администратору указывать, пользователей и компьютеры, к которым они могут обращаться. Опять же доступные возможности в основном зависят от используемого программного обеспечения. Что позволяет делать IPFW? ipfw Программное обеспечение IPFW, поставляемое с FreeBSD, это система фильтрации и учета пакетов, находящаяся в ядре и снабженная пользовательской утилитой настройки, &man.ipfw.8;. Вместе они позволяют определять и просматривать правила, используемые ядром при маршрутизации. IPFW состоит из двух связанных частей. Межсетевой экран осуществляет фильтрацию пакетов. Часть, занимающаяся учетом IP пакетов, отслеживает использование маршрутизатора на основе правил подобных тем, что используются в части межсетевого экрана. Это позволяет администратору определять, например, объем трафика, полученного маршрутизатором от определенного компьютера, или объем пересылаемого WWW трафика. Благодаря тому, как реализован IPFW, вы можете использовать его и на компьютерах, не являющихся маршрутизаторами для фильтрации входящих и исходящих соединений. Это особый случай более общего использования IPFW, и в этой ситуации используются те же команды и техника. Включение IPFW в FreeBSD ipfw включение Поскольку основная часть системы IPFW находится в ядре, вам потребуется добавить один или несколько параметров в файл настройки ядра, в зависимости от требуемых возможностей, и пересобрать ядро. Обратитесь к главе о пересборке ядра () за подробным описанием этой процедуры. Правилом IPFW по умолчанию является deny ip from any to any. Если вы не добавите других правил во время загрузки для разрешения доступа, то заблокируете доступ к серверу с включенным в ядро межсетевым экраном после перезагрузки. Мы предлагаем указать firewall_type=open в файле /etc/rc.conf при первоначальном добавлении межсетевого экрана, а затем, после тестирования его работоспособности, отредактировать правила в файле /etc/rc.firewall. Дополнительной предосторожностью может быть первоначальная настройка межсетевого экрана с локальной консоли, вместо входа через ssh. Кроме того, возможна сборка ядра с параметрами IPFIREWALL и IPFIREWALL_DEFAULT_TO_ACCEPT. В этом случае правило IPFW по умолчанию будет изменено на allow ip from any to any, что предотвратит возможную блокировку. Существует четыре параметра настройки ядра, относящихся к IPFW: options IPFIREWALL Включает в ядро код для фильтрации пакетов. options IPFIREWALL_VERBOSE Включает протоколирование пакетов через &man.syslogd.8;. Без этого параметра, даже если вы укажете в правилах фильтрации протоколировать пакеты, это не сработает. options IPFIREWALL_VERBOSE_LIMIT=10 Ограничивает число пакетов, протоколируемых каждым правилом через &man.syslogd.8;. Вы можете использовать этот параметр если хотите протоколировать работу межсетевого экрана, но не хотите делать возможной DoS атаку путем переполнения syslog. Когда для одного из правил в цепочке достигается определенный параметром предел, протоколирование для этого правила выключается. Для включения протоколирования, вам потребуется сбросить соответствующий счетчик с помощью утилиты &man.ipfw.8;: &prompt.root; ipfw zero 4500 где 4500 это номер правила, для которого вы хотите возобновить протоколирование. options IPFIREWALL_DEFAULT_TO_ACCEPT Изменяет правило по умолчанию с deny на allow. Это предотвращает возможное блокирование, если ядро загружено с поддержкой IPFIREWALL, но межсетевой экран еще не настроен. Этот параметр также полезен, если вы используете &man.ipfw.8; в качестве средства от определенных проблем по мере их возникновения. Тем не менее, используйте параметр с осторожностью, поскольку он открывает межсетевой экран и изменяет его поведение. Предыдущие версии FreeBSD содержали параметр IPFIREWALL_ACCT. Этот параметр устарел, поскольку код автоматически включает возможность учета. Настройка IPFW ipfw настройка Настройка программного обеспечения IPFW выполняется с помощью утилиты &man.ipfw.8;. Синтаксис этой команды выглядит очень сложным, но он становится относительно прост как только вы поймете его структуру. В настоящее время утилита использует четыре различных категории команд: добавление/удаление (addition/deletion), просмотр (listing), сброс (flushing) и очистка (clearing). Добавление/удаление используется для создания правил, определяющих как пакеты принимаются, отбрасываются и протоколируются. Просмотр используется для определения содержимого набора правил (называемого еще цепочкой) и счетчиков пакетов (учет). Сброс используется для удаления всех правил цепочки. Очистка используется для обнуления одного или нескольких счетчиков. Изменение правил IPFW Синтаксис этой формы команды такой: ipfw -N команда номер действие log протокол адреса параметры При использовании этой формы команды доступен один флаг: -N Разрешение адресов и имен сервисов при отображении. Задаваемая команда может быть сокращена до более короткой уникальной формы. Существующие команды: add Добавление правила к списку фильтрации/учета delete Удаление правила из списка фильтрации/учета Предыдущие версии IPFW использовали отдельные записи для фильтрации и учета пакетов. Современные версии учитывают пакеты для каждого правила. Если указано значение номер, оно используется для помещения правила на определенную позицию в цепочке. Иначе правило помещается в конец цепочки с номером на 100 больше, чем у предыдущего правила (сюда не включается правило по умолчанию с номером 65535). С параметром log соответствующие правила выводят информацию на системную консоль, если ядро собрано с опцией IPFIREWALL_VERBOSE. Существующие действия: reject Отбросить пакет и отправить в адрес источникаICMP пакет, сообщающий о недостижимости хоста или порта. allow Пропустить пакет как обычно. (синонимы: pass, permit, и accept) deny Отбросить пакет. Источнику не выдается ICMP сообщение (как если бы пакет вообще не достиг цели). count Обновить счетчик пакета, но не применять по отношению к нему правила allow/deny. Поиск продолжится со следующего правила в цепочке. Каждое действие может быть записано в виде более короткого уникального префикса. Могут быть определены следующие протоколы: all Соответствует всем IP пакетам icmp Соответствует ICMP пакетам tcp Соответствует TCP пакетам udp Соответствует UDP пакетам Поле адреса формируется так: источник адрес/маскапорт цель адрес/маскапорт via интерфейс Вы можете указать port только вместе с протоколами, поддерживающими порты (UDP и TCP). Параметр опционален и может содержать IP адрес или имя домена локального IP интерфейса, или имя интерфейса (например ed0), он настраивает правило на соответствие только тем пакетам, которые проходят через этот интерфейс. Номера интерфейсов могут быть заменены на опциональную маску. Например, ppp* будет соответствовать PPP интерфейсам ядра. Синтаксис, используемый для указания адреса/маски: адрес или адрес/маска-биты или адрес:маска-шаблон Вместо IP адреса возможно указание существующего имени хоста. это десятичный номер, указывающий количество бит, которые должны быть установлены в маске адреса. Например, 192.216.222.1/24 создаст маску, соответствующую всем адресам подсети класса C (в данном случае, 192.216.222). A valid hostname may be specified in place of the IP address. это IP, который будет логически перемножен с заданным адресом. Ключевое слово any может использоваться для обозначения любого IP адреса. Номера портов указываются в следующем формате: порт,порт,порт… для указания одного порта или списка портов, или порт-порт для указания диапазона портов. Вы можете также комбинировать указание одного диапазона со списком портов, но диапазон всегда должен указываться первым. Доступные параметры: frag Срабатывает, если пакет не является первым пакетом дейтаграммы. in Соответствует входящим пакетам. out Соответствует исходящим пакетам. ipoptions spec Срабатывает, если заголовок IP содержит перечисленный через запятую список параметров, указанных в spec. Поддерживаемые параметры IP: ssrr (strict source route), lsrr (loose source route), rr (record packet route), и ts (time stamp). Действие отдельных параметров может быть изменено путем указания префикса !. established Срабатывает, если пакет является частью уже установленного TCP соединения (т.е. если установлены биты RST или ACK). Вы можете поднять производительность межсетевого экрана, поместив правило с established близко к началу цепочки. setup Соответствует, если пакет является попыткой установки TCP соединения (установлен бит SYN, а бит ACK не установлен). tcpflags флаги Срабатывает, если заголовок TCP содержит список перечисленных через запятую флагов. Поддерживаемые флаги: fin, syn, rst, psh, ack, и urg. Действие правил по отдельным флагам может быть изменено указанием префикса !. icmptypes типы Срабатывает, если тип пакета ICMP находится в списке типы. Список может быть указан в виде любой комбинации диапазонов и/или отдельных типов, разделенных запятыми. Обычно используемые типы ICMP: 0 echo reply (ping reply), 3 destination unreachable, 5 redirect, 8 echo request (ping request), и 11 time exceeded (используется для обозначения истечения TTL, как с &man.traceroute.8;). Просмотр правил IPFW Синтаксис этой формы команды такой: ipfw -a -c -d -e -t -N -S list Для этой формы команды существует семь флагов: -a - Показывать значения счетчиков. Этот параметр – + Показывать значения счетчиков. Этот параметр — единственный путь для просмотра значений счетчиков. -c Просмотр правил в компактной форме. -d Показывать динамические правила в дополнение к статическим. -e Если определен параметр , показывать также динамические правила с истекшим сроком действия. -t Отображать последнее время срабатывание для каждого правила в цепочке. Этот список несовместим с синтаксисом, принимаемым &man.ipfw.8;. -N Попытаться разрешить заданные адреса и имена сервисов. -S Отображать набор, к которому принадлежит каждое правило. Если этот флаг не указан, заблокированные правила не будут отображены. Сброс правил IPFW Синтаксис для сброса правил: ipfw flush Все правила в цепочке будут удалены, за исключением правила по умолчанию, устанавливаемого ядром (номер 65535). Будьте осторожны при сбросе правил; правило, отбрасывающее пакеты по по умолчанию отключит систему от сети, пока разрешающие правила не будут добавлены в цепочку. Очистка счетчиков пакетов IPFW Синтаксис для очистки одного или нескольких счетчиков пакетов: ipfw zero index При использовании без аргумента номер будут очищены все счетчики пакетов. Если index указан, операция очистки применяется только к указанному правилу цепочки. Примеры команд для <application>ipfw</application> Следующая команда запретит все пакеты с хоста evil.crackers.org на telnet порт хоста nice.people.org: &prompt.root; ipfw add deny tcp from evil.crackers.org to nice.people.org 23 Следующий пример запрещает и протоколирует весь TCP трафик из сети crackers.org (класса C) к компьютеру nice.people.org (на любой порт). &prompt.root; ipfw add deny log tcp from evil.crackers.org/24 to nice.people.org Если вы хотите запретить организацию X сессий в вашу сеть (часть сети класса C), следующая команда осуществит необходимую фильтрацию: &prompt.root; ipfw add deny tcp from any to my.org/28 6000 setup Для просмотра записей учета: &prompt.root; ipfw -a list или в краткой форме &prompt.root; ipfw -a l Вы можете также просмотреть время последнего срабатывания правил с помощью команды: &prompt.root; ipfw -at l Создание межсетевого экрана с фильтрацией пакетов Следующие рекомендации означают только одно: рекомендации. Требования к каждому межсетевому экрану различаются, и мы не можем рассказать вам, как создать межсетевой экран, отвечающий вашим потребностям. При первоначальной настройке межсетевого экрана, до тестирования производительности и введения сервера в строй, настоятельно рекомендуется использовать версии команд с протоколированием и включить протоколирование в ядре. Это позволит вам быстро выявить проблемные области и исправить настройку без больших усилий. Даже после завершения первоначальной настройки рекомендуется использовать протоколирование для `deny', поскольку это позволяет отслеживать возможные атаки и изменять правила межсетевого экрана, если требования к нему изменятся. Если вы используете версию команды accept с протоколированием, будьте осторожны, поскольку она может создать большой объем протокольных данных. Будет произведено протоколирование каждого пакета, проходящего через межсетевой экран, поэтому большие объемы FTP/http и другого трафика существенно замедлят систему. Это также увеличит задержку таких пакетов, поскольку ядру требуется выполнить дополнительную работу перед тем, как пропустить пакет. syslogd также будет использовать гораздо больше времени процессора, поскольку он отправит все дополнительные данные на диск, и раздел /var/log может быть быстро заполнен. Вам потребуется включить межсетевой экран в /etc/rc.conf.local или /etc/rc.conf. Соответствующая страница справочника разъясняет что именно необходимо сделать и содержит примеры готовых настроек. Если вы не используете предустановленную настройку, команда ipfw list может поместить текущий набор правил в файл, откуда он может быть помещен в стартовые файлы системы. Если вы не используете /etc/rc.conf.local или /etc/rc.conf для включения межсетевого экрана, важно убедиться в том, что он включается после настройки интерфейсов. Далее необходимо определить, что именно делает ваш межсетевой экран! Это в основном зависит от того, насколько широкий доступ вы хотите открыть снаружи к вашей сети. Вот несколько общих правил: Заблокируйте доступ снаружи к портам TCP с номерами ниже 1024. Здесь расположена большая часть критичных для безопасности сервисов, таких как finger, SMTP (почта) и telnet. Заблокируйте весь входящий трафик UDP. Есть очень немного полезных сервисов, работающих через UDP, но они обычно представляют угрозу безопасности (например, Sun RPC и NFS протоколы). У этого способа есть и недостатки, поскольку протокол UDP не поддерживает соединения, и запрещение входящих пактов заблокирует также ответы на исходящий UDP трафик. Это может стать проблемой для тех, кто использует внешние серверы, работающие с UDP. Если вы хотите открыть доступ к этим сервисам, потребуется разрешить входящие пакеты с соответствующих портов. К примеру, для ntp вам может потребоваться разрешить пакеты, приходящие с порта 123. Заблокировать весь трафик снаружи к порту 6000. Порт 6000 используется для доступа к серверам X11, и может быть угрозой безопасности (особенно если у пользователей есть привычка выполнять на своих рабочих станциях команду xhost +). X11 может использовать диапазон портов, начинающийся с 6000, верхний предел определяется количеством X дисплеев, которые могут быть запущены на машине. Верхний предел, определенный RFC 1700 (Assigned Numbers), равен 6063. Проверьте порты, используемые внутренними сервисами (например, SQL серверами и т.п.). Возможно хорошей идеей является блокирование и этих портов, поскольку они обычно не попадают в диапазон 1-1024, указанный выше. Еще один список для проверки настроек межсетевого экрана доступен на CERT по адресу Как сказано выше, все эти правила всего лишь руководство. Вы сами сможете решить, какие правила фильтрации будут использованы в межсетевом экране. Мы не можем нести НИКАКОЙ ответственности в случае взлома вашей сети, даже если вы следовали советам, представленным выше. Накладные расходы и оптимизация IPFW Многие пользователи хотят знать, как сильно IPFW нагружает систему. Ответ в основном зависит от набора правил и скорости процессора. При небольшом наборе правил для большинства приложений, работающих в Ethernet ответ незначительно. Для тех, кому нужен более точный ответ, и предназначен этот раздел. Последующие измерения были выполнены с 2.2.5-STABLE на 486-66. (Хотя IPFW немного изменился в последующих релизах FreeBSD, скорость осталась приблизительно той же.) IPFW был модифицирован для измерения времени, затраченного ip_fw_chk, с выводом на консоль результата после каждого 1000–го пакета. Были протестированы два набора из 1000 правил. Первый был составлен для демонстрации плохого набора правил путем повторения правила: &prompt.root; ipfw add deny tcp from any to any 55555 Этот набор правил плох, поскольку большая часть правил IPFW не соответствует проверяемым пакетам (из-за номера порта). После 999–й итерации этого правила следует правило allow ip from any to any. Второй набор правил был разработан для быстрейшей проверки каждого правила: &prompt.root; ipfw add deny ip from 1.2.3.4 to 1.2.3.4 Не совпадающий IP адрес источника в правиле выше приведет к очень быстрой проверке этих правил. Как и прежде, 1000–е правило allow ip from any to any. Затраты на проверку пакета в первом случае приблизительно 2.703 мс/пакет, или приблизительно 2.7 микросекунд на правило. Теоретический предел скорости проверки около 370 пакетов в секунду. Предполагая подключение через 10 Mbps Ethernet и размер пакета приблизительно 1500 байт, получаем только 55.5% использования пропускной способности. Во втором случае каждый пакет был проверен приблизительно за 1.172 мс, или приблизительно 1.2 микросекунд на правило. Теоретический предел скорости проверки около 853 пакетов в секунду, что делает возможным полное использование пропускной способности 10 Mbps Ethernet. Чрезмерное количество проверяемых правил и их вид не позволяет составить картину близкую к обычным условиям — эти правила были использованы только для получения информации о времени проверки. Вот несколько рекомендаций, которые необходимо учесть для создания эффективного набора правил: Поместите правило established как можно раньше для обработки большей части TCP трафика. Не помещайте перед ним правила allow tcp. Помещайте часто используемые правила ближе к началу набора чем редко используемые (конечно же, без изменения действия всего набора). Вы можете определить наиболее часто используемые правила путем проверки счетчиков пакетов командой ipfw -a l. OpenSSL безопасность OpenSSL OpenSSL Начиная с FreeBSD 4.0, OpenSSL является частью базовой системы. OpenSSL предоставляет как криптографическую библиотеку общего назначения, так и сетевые протоколы безопасности Secure Sockets Layer v2/v3 (SSLv2/SSLv3) и Transport Layer Security v1 (TLSv1). Однако, один из алгоритмов (а именно IDEA), включенный в OpenSSL, защищен патентом в USA и повсеместно, и не доступен для неограниченного использования. IDEA включен в исходные тексты FreeBSD, но не собирается по умолчанию. Если вы собираетесь использовать его, и согласны с положениями лицензии, включите переменную MAKE_IDEA в /etc/make.conf и пересоберите исходные тексты с помощью команды make world. На данный момент алгоритм RSA свободно доступен к использованию в USA и других странах. В прошлом он был защищен патентом. OpenSSL установка Установка из исходных текстов OpenSSL является частью CVSup коллекций src-crypto и src-secure. Обратитесь к разделу Получение FreeBSD за дополнительной информацией о получении и обновлении исходных текстов FreeBSD. Nik Clayton
nik@FreeBSD.org
 Написал VPN через IPsec Создание VPN между двумя сетями, соединенными через интернет, с использованием шлюзов FreeBSD. Hiten M. Pandya
hmp@FreeBSD.org
 Написал Принципы работы IPsec Этот раздел послужит вам руководством по настройке IPsec и его использованию в среде FreeBSD и µsoft.windows; 2000/XP, соединяемых безопасным способом. Для настройки IPsec необходимо ознакомиться с процессом сборки ядра (). IPsec это протокол, расположенный поверх слоя Internet Protocol (IP). Он позволяет двум или более хостам связываться защищенным способом (отсюда и название протокола). Сетевой стек FreeBSD IPsec основан на реализации KAME, поддерживающей оба семейства протоколов, IPv4 и IPv6. FreeBSD 5.X содержит аппаратно поддерживаемый стек IPsec, известный как Fast IPsec, заимствованный из OpenBSD. Для оптимизации производительности IPsec он задействует криптографическое оборудование (когда оно доступно) через подсистему &man.crypto.4;. Это новая подсистема и она не поддерживает всех возможностей, доступных в KAME версии IPsec. Для включения IPsec с аппаратной поддержкой необходимо добавить в файл настройки ядра следующий параметр: options FAST_IPSEC # new IPsec (cannot define w/ IPSEC) Обратите внимание, что на данный момент невозможно использовать подсистему Fast IPsec вместе с KAME реализацией IPsec. Обратитесь к странице справочника &man.fast.ipsec.4; за дальнейшей информацией. IPsec состоит из двух субпротоколов: Encapsulated Security Payload (ESP), защищающей данные IP пакета от вмешательства третьей стороны путем шифрования содержимого с помощью симметричных криптографических алгоритмов (таких как Blowfish,3DES). Authentication Header (AH), защищающий заголовок IP пакета от вмешательства третьей стороны и подделки путем вычисления криптографической контрольной суммы и хеширования полей заголовка IP пакета защищенной функцией хеширования. К пакету добавляется дополнительный заголовок с хешем, позволяющий аутентификацию информации пакета. ESP и AH могут быть использованы вместе или по отдельности, в зависимости от обстоятельств. IPsec может быть использован или для непосредственного шифрования трафика между двумя хостами (транспортный режим); или для построения виртуальных туннелей между двумя подсетями, которые могут быть использованы для защиты соединений между двумя корпоративными сетями (туннельный режим). Последний обычно называют виртуальной частной сетью (Virtual Private Network, VPN). За детальной информацией о подсистеме IPsec в FreeBSD обратитесь к странице справочника &man.ipsec.4;. Для включения поддержки IPsec в ядре, добавьте следующие параметры к файлу настройки ядра: options IPSEC #IP security options IPSEC_ESP #IP security (crypto; define w/ IPSEC) Если желательна поддержка отладки IPsec, должна быть также добавлена следующая строка: options IPSEC_DEBUG #debug for IP security Проблема Не существует стандарта VPN. Они могут быть реализованы множеством различных технологий, каждая из которых имеет свои сильные и слабые стороны. Этот материал представляет несколько сценариев и стратегию реализации VPN для каждого сценария. Сценарий #1: Две сети, подключенных к интернет, работающие как одна С этого сценария начато изучение VPN. Исходные условия таковы: Существует как минимум две сети Внутри обеих сетей используется IP Обе сети соединены через интернет через шлюз, работающий на FreeBSD. У шлюза каждой из сетей есть как минимум один публичный IP адрес. Внутренние IP адреса двух сетей могут быть публичными или приватными, не имеет значения. На шлюзе может работать NAT, если это необходимо. Внутренние IP адреса двух сетей не должны пересекаться. Хотя вероятно теоретически возможно использование комбинации VPN технологии и NAT для настройки такой конфигурации, эта конфигурация будет кошмарна. Если две сети, которые вы пытаетесь соединить, используют один и тот же диапазон приватных адресов (например, обе используют 192.168.1.x), номера в одной из сетей необходимо изменить. Топология сети может выглядеть примерно так: Сеть #1 [ Внутренние хосты ] Приватная сеть, 192.168.1.2-254 [ Win9x/NT/2K ] [ UNIX ] | | .---[fxp1]---. Приватный IP, 192.168.1.1 | FreeBSD | `---[fxp0]---' Публичный IP, A.B.C.D | | -=-=- Интернет -=-=- | | .---[fxp0]---. Публичный IP, W.X.Y.Z | FreeBSD | `---[fxp1]---' Приватный IP, 192.168.2.1 | | Сеть #2 [ Внутренние хосты ] [ Win9x/NT/2K ] Приватная сеть, 192.168.2.2-254 [ UNIX ] Здесь два публичных IP адреса. Для упоминания их в дальнейшем будут использоваться буквы. Если вы увидите эти буквы, замените их на свои публичные IP адреса. Также обратите внимание, что у обеих шлюзов внутренний адрес заканчивается на .1 и диапазоны приватных адресов двух сетей различны (192.168.1.x и 192.168.2.x соответственно). Все компьютеры локальных сетей настроены на использование в качестве шлюза по умолчанию компьютера с адресом, оканчивающимся на .1. С сетевой точки зрения замысел в том, чтобы каждая сеть видела компьютеры из другой сети так, как если бы они были непосредственно подключены к тому же самому маршрутизатору — хотя и немного медленному маршрутизатору, иногда теряющему пакеты. Это означает, что (например) компьютер 192.168.1.20 может запустить ping 192.168.2.34 и это будет прозрачно работать. Компьютеры с &windows; должны видеть компьютеры в другой сети, просматривать сетевые ресурсы, и так далее, точно так же, как и для компьютеров в локальной сети. И все это безопасным способом. Это означает, что трафик между сетями зашифрован. Создание VPN между этими двумя сетями это многошаговый процесс. Этапы создания VPN таковы: Создание виртуального сетевого подключения между двумя сетями через интернет. Тестирование подключения с помощью таких инструментов как &man.ping.8;, чтобы убедиться, что оно работает. Применение политики безопасности чтобы убедиться, что трафик между двумя сетями прозрачно шифруется и расшифровывается если необходимо. Тестирование с помощью таких инструментов как &man.tcpdump.1;, чтобы убедиться, что трафик шифруется. Настройка дополнительных программ на шлюзах FreeBSD, чтобы компьютеры &windows; из одной сети видели компьютеры в другой через VPN. Шаг 1: Создание и тестирование <quote>виртуального</quote> сетевого подключения Предположим, что вы работаете на шлюзе сети #1 (с публичным адресом A.B.C.D, приватным адресом 192.168.1.1) и запускаете ping 192.168.2.1, т.е. на приватный адрес машины с IP адресом W.X.Y.Z. Что должно произойти, чтобы это сработало? Шлюз должен знать, как достичь 192.168.2.1. Другими словами, у него должен быть маршрут к 192.168.2.1. Приватные IP адреса, такие как диапазон 192.168.x не адресуются в интернет. Каждый пакет, отправляемый на 192.168.2.1 должен быть завернут в другой пакет. Исходным адресом пакета должен быть A.B.C.D, а адресом назначения W.X.Y.Z. Этот процесс называется инкапсуляцией. Как только этот пакет достигнет W.X.Y.Z, необходимо будет разинкапсулировать его и доставить к 192.168.2.1. Как вы можете увидеть, это требует туннеля между двумя сетями. Два конца туннеля это IP адреса A.B.C.D и W.X.Y.Z. Туннель используется для передачи трафика с приватными IP адресами через интернет. В FreeBSD этот туннель создается с помощью устройства generic interface, или gif. Как вы можете догадаться, интерфейс gif на каждом хосте должен быть настроен с четырьмя IP адресами; два для публичных IP адресов и два для приватных IP адресов. В ядро обеих компьютеров FreeBSD должна быть встроена поддержка устройства gif. Вы можете сделать это, добавив строку: pseudo-device gif к файлу настройки ядра на обеих компьютерах, с последующей компиляцией, установкой и перезагрузкой. Настройка туннеля это двухшаговый процесс. Во-первых, необходимо задать сведения о внешнем (или публичном) IP адресе с помощью &man.gifconfig.8;. Затем о приватном IP адресе с помощью &man.ifconfig.8;. На шлюзе сети #1 для настройки туннеля вам потребуется запустить следующие две команды. gifconfig gif0 A.B.C.D W.X.Y.Z ifconfig gif0 inet 192.168.1.1 192.168.2.1 netmask 0xffffffff На другом шлюзе подобные команды, но с IP адресами в обратном порядке. gifconfig gif0 W.X.Y.Z A.B.C.D ifconfig gif0 inet 192.168.2.1 192.168.1.1 netmask 0xffffffff Затем вы можете запустить: gifconfig gif0 для просмотра настройки. Например, на шлюзе сети #1 вы увидите: &prompt.root; gifconfig gif0 gif0: flags=8011<UP,POINTTOPOINT,MULTICAST> mtu 1280 inet 192.168.1.1 --> 192.168.2.1 netmask 0xffffffff physical address inet A.B.C.D --> W.X.Y.Z Как вы можете видеть, был создан туннель между физическими адресами A.B.C.D и W.X.Y.Z, для тунеллирования разрешен трафик между 192.168.1.1 и 192.168.2.1. Это также добавляет запись к таблице маршрутизации на обеих машинах, вы можете проверить запись командой netstat -rn. Вот вывод этой команды на шлюзе сети #1. &prompt.root; netstat -rn Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire ... 192.168.2.1 192.168.1.1 UH 0 0 gif0 ... Как показывает значение поля Flags, это маршрут к хосту, что означает, что каждый шлюз знает, как достичь другого шлюза, но не знает как достичь остальной части соответствующей сети. Эта проблема будет быстро решена. Вероятно, на обеих машинах запущен межсетевой экран. VPN должен обходить его. Вы можете разрешить весь трафик между двумя сетями, или включить правила, защищающие каждый конец соединения от другого. Это сильно упрощает тестирование настройки межсетевого экрана, если вы разрешаете весь трафик через VPN. Вы всегда можете Вы всегда можете усилить защиту позже. Если вы используете на шлюзах &man.ipfw.8;, команда вроде этой ipfw add 1 allow ip from any to any via gif0 разрешит весь трафик между двумя концами VPN без влияния на другие правила межсетевого экрана. Очевидно, вам потребуется запустить эту команду на обеих шлюзах. Этого достаточно для включения ping с одного шлюза на другой. На 192.168.1.1, вы сможете запустить ping 192.168.2.1 и получить ответ, и аналогично на другом шлюзе. Однако, машины в другой сети пока недоступны. Это из-за маршрутизации — хотя шлюзы знают, как связаться друг с другом, они не знают, как связаться с сетью за другим шлюзом. Для решения этой проблемы вы должны добавить статический маршрут на каждом шлюзе. Команда на первом шлюзе будет выглядеть так: route add 192.168.2.0 192.168.2.1 netmask 0xffffff00 Она говорит Для достижения хостов в сети 192.168.2.0, отправляйте пакеты хосту 192.168.2.1. Вам потребуется запустить похожую команду на другом шлюзе, но с адресами 192.168.1.x. IP трафик с хостов в одной сети теперь может достичь хосты в другой сети. Теперь создано две трети VPN между двумя сетями, поскольку это виртуальная (virtual) сеть (network). Она еще не приватная (private). Вы можете протестировать ее с помощью &man.ping.8; и &man.tcpdump.1;. Войдите на шлюз и запустите tcpdump dst host 192.168.2.1 В другой сессии на этом же хосте запустите ping 192.168.2.1 Вы увидите примерно такие строки: 16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply 16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request 16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo reply Как вы видите, ICMP сообщения пересылаются вперед и назад незашифрованными. Если вы использовали с &man.tcpdump.1; параметр для получения большего объема данных пакета, то увидите больше информации. Конечно же это неприемлемо. В следующем разделе мы обсудим защиту соединения между двумя сетями, так что весь трафик будет автоматически шифроваться. Резюме: Настройте оба ядра с pseudo-device gif. Отредактируйте /etc/rc.conf на шлюзе #1 и добавьте следующие строки (подставляя IP адреса где необходимо). gifconfig_gif0="A.B.C.D W.X.Y.Z" ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff" static_routes="vpn" route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00" Отредактируйте скрипт межсетевого экрана (/etc/rc.firewall, или подобный) на обеих хостах и добавьте ipfw add 1 allow ip from any to any via gif0 Выполните соответствующие изменения в /etc/rc.conf на шлюзе #2, меняя порядок IP адресов. Шаг 2: Защита соединения Для защиты соединения мы будем использовать IPsec. IPsec предоставляет хостам механизм определения ключа для шифрования и для последующего использования этого ключа для шифрования данных между двумя хостами. Здесь будут рассмотрены два аспекта настройки. У хостов должен быть способ согласования используемого алгоритма шифрования. Как только хосты договорятся об этом, можно говорить об установленном между ними безопасном соединении. Должен быть механизм определения, какой трафик необходимо шифровать. Конечно, вам не требуется шифровать весь исходящий трафик — достаточно шифровать только трафик, идущий через VPN. Правила, определяющие то, какой трафик необходимо шифровать, называются политикой безопасности. Безопасное соединение и политика безопасности поддерживаются ядром, и могут быть изменены программами пользователя. Однако перед тем, как вы сможете сделать это, необходимо настроить поддержку протоколов IPsec и Encapsulated Security Payload (ESP) в ядре. Это делается добавлением в настройку ядра параметров: options IPSEC options IPSEC_ESP с последующим перекомпилированием, переустановкой и перезагрузкой. Как и прежде вам потребуется сделать это с ядрами на обеих шлюзах. При настройке параметров безопасности (security associations) у вас есть два варианта. Вы можете настроить их вручную для обеих хостов, задав алгоритм шифрования, ключи для шифрования и так далее, или использовать даемоны, реализующие Internet Key Exchange protocol (IKE), который сделает это за вас. Рекомендуется последнее. Помимо прочего, этот способ более прост. Редактирование и отображение политики безопасности выполняется с помощью &man.setkey.8;. По аналогии, setkey используется для настройки таблиц политики безопасности ядра так же, как &man.route.8; используется для настройки таблиц маршрутизации ядра. setkey также может отображать текущие параметры безопасности, и продолжая аналогию дальше, это соответствует netstat -r. Существует множество даемонов для управления параметрами безопасности в FreeBSD. Здесь будет описано использование одного из них, racoon. racoon находится в категории security/ коллекции портов FreeBSD и устанавливается обычным способом. racoon должен работать на обеих шлюзах. На каждом из хостов он настраивается с IP адресом другого конца VPN, и секретным ключом (по вашему выбору, должен быть одним и тем же на обеих шлюзах). Эти два даемона подключаются друг к другу, подтверждают, что они именно те, за кого себя выдают (используя секретный ключ, заданный вами). Затем даемоны генерируют новый секретный ключ и используют его для шифрования трафика через VPN. Они периодически изменяют этот ключ, так что даже если атакующий сломает один из ключей (что теоретически почти невозможно) это не даст ему слишком много — он сломал ключ, который два даемона уже сменили на другой. Настройки racoon сохраняются в ${PREFIX}/etc/racoon. Этот файл не требует слишком больших изменений. Другим компонентом настройки racoon, который потребуется изменить, является предварительный ключ. В настройке по умолчанию racoon ищет его в файле ${PREFIX}/etc/racoon/psk.txt. Необходимо отметить, что предварительный ключ не используется для шифрования трафика через VPN соединение это просто маркер, позволяющий управляющим ключами даемонам доверять друг другу. psk.txt содержит строку для каждого удаленного сервера, с которым происходит соединение. В этом примере два сервера, каждый файл psk.txt будет содержать одну строку (каждый конец VPN общается только с другим концом. На шлюзе #1 эта строка будет выглядеть примерно так: W.X.Y.Z secret То есть публичный IP адрес удаленной стороны, пробел и текстовая строка, секретная фраза. На шлюзе #2 строка будет выглядеть примерно так: A.B.C.D secret То есть публичный IP адрес удаленной стороны и та же секретная фраза. Перед запуском racoon режим доступа к файлу psk.txt должен быть установлен в 0600 (т.е. запись и чтение только для root). Вы должны запустить racoon на обеих шлюзах. Вам также потребуется добавить правила для включения IKE трафика, передающегося по UDP через порт ISAKMP (Internet Security Association Key Management Protocol). Опять же, они должны быть расположены насколько возможно ближе к началу набора правил. ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp Как только racoon будет запущен, вы можете попробовать выполнить ping с одного шлюза на другой. Соединение все еще не зашифровано, но racoon установит параметры безопасности между двумя хостами — это может занять время и вы можете заметить небольшую задержку перед началом ответа команды ping. Как только параметры безопасности установлены, вы можете просмотреть их используя &man.setkey.8;. Запустите setkey -D на любом из хостов для просмотра информации о параметрах безопасности. Это одна сторона проблемы. Другая сторона это настройка политики безопасности. Для создания разумной политики безопасности давайте вспомним, что уже было настроено. Это рассмотрение относится к обеим концам соединения. Каждый отправляемый IP пакет имеет заголовок, содержащий информацию о пакете. Заголовок включает IP адреса источника и назначения. Как мы уже знаем, приватные IP адреса, такие как 192.168.x.y, не могут появиться в интернет. Они должны быть сначала включены внутрь другого пакета. В этом пакете приватные IP адреса источника и назначения заменяются публичными IP адресами. То есть исходящий пакет, который выглядит примерно так: .----------------------------. | Src: 192.168.1.1 | | Dst: 192.168.2.1 | | <другие данные заголовка> | +----------------------------+ | <данные пакета> | `----------------------------' будет инкапсулирован в другой пакет, выглядящий примерно так: .--------------------------------. | Src: A.B.C.D | | Dst: W.X.Y.Z | | <другие данные заголовка> | +--------------------------------+ | .----------------------------. | | | Src: 192.168.1.1 | | | | Dst: 192.168.2.1 | | | | <другие данные заголовка> | | | +----------------------------+ | | | <данные пакета> | | | `----------------------------' | `--------------------------------' Этой инкапсуляцией занимается устройство gif. Как вы можете видеть, теперь у пакета есть реальный IP адрес, исходный пакет был включен в этот пакет в виде данных, которые передаются через интернет. Конечно, мы хотим зашифровать весь трафик между VPN. Вы можете сформулировать это на словах так: Если пакет отправляется с A.B.C.D, и предназначен для W.X.Y.Z, зашифровать его, используя необходимые параметры безопасности. Если пакет отправляется с W.X.Y.Z, и предназначен для A.B.C.D, расшифровать его, используя необходимые параметры безопасности. Это похоже на желаемое, но не совсем то. Если вы сделаете это, весь трафик от и к W.X.Y.Z, даже если он не является частью VPN, будет зашифрован. Правильная политика такова: Если пакет отправляется с A.B.C.D, в нем инкапсулирован другой пакет и адрес назначения W.X.Y.Z, зашифровать его, используя необходимые параметры безопасности. Если пакет отправляется с W.X.Y.Z, в нем инкапсулирован другой пакет и адрес назначения A.B.C.D, зашифровать его, используя необходимые параметры безопасности. Тонкое, но необходимое различие. Политика безопасности также устанавливается с использованием &man.setkey.8;. В &man.setkey.8; предусмотрен язык определения политики &man.setkey.8;. Вы можете или ввести инструкции по настройке со стандартного ввода, или использовать параметр для задания файла, содержащего эти инструкции. Настройка на шлюзе #1 (где есть публичный IP адрес A.B.C.D) для включения шифрования всего предназначенного W.X.Y.Z трафика: spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; Поместите эти команды в файл (например, /etc/ipsec.conf) и запустите &prompt.root; setkey -f /etc/ipsec.conf указывает &man.setkey.8; добавить правило к базе данных политики безопасности. Остальная часть строки указывает какие пакеты будут соответствовать политике. A.B.C.D/32 и W.X.Y.Z/32 это IP адреса и сетевые маски, определяющие сети или хосты, к которым будет применяться данная политика. В данном случае мы хотим применить их к трафику между этими двумя хостами. Параметр сообщает ядру, что эта политика должна применяться только к пакетам, инкапсулирующим другие пакеты. Параметр сообщает, что эта политика применяется к исходящим пакетам, и - – то, что пакеты будут + — то, что пакеты будут зашифрованы. Оставшаяся часть строки определяет, как эти пакеты будут зашифрованы. Будет использоваться протокол , а параметр показывает, что пакет в дальнейшем будет инкапсулирован в IPsec пакет. Повторное использование A.B.C.D и W.X.Y.Z предназначено для выбора используемых параметров безопасности, и наконец параметр разрешает шифрование пакетов, попадающих под это правило. Это правило соответствует только исходящим пакетам. Вам потребуется похожее правило, соответствующее входящим пакетам. spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; Обратите внимание, что вместо используется и IP адреса переставлены. Другому шлюзу (с публичным IP адресом W.X.Y.Z) потребуются похожие правила. spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; Наконец, вам потребуется добавить правила к межсетевому экрану для включения прохождения пакетов ESP и IPENCAP в обе стороны. На обеих хостах потребуется добавить следующие правила: ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D Поскольку правила симметричны, можно использовать их без изменения на обеих хостах Исходящие пакеты теперь будут выглядеть примерно так: .------------------------------. --------------------------. | Src: A.B.C.D | | | Dst: W.X.Y.Z | | | <other header info> | | Encrypted +------------------------------+ | packet. | .--------------------------. | -------------. | contents | | Src: A.B.C.D | | | | are | | Dst: W.X.Y.Z | | | | completely | | <other header info> | | | |- secure | +--------------------------+ | | Encap'd | from third | | .----------------------. | | -. | packet | party | | | Src: 192.168.1.1 | | | | Original |- with real | snooping | | | Dst: 192.168.2.1 | | | | packet, | IP addr | | | | <other header info> | | | |- private | | | | +----------------------+ | | | IP addr | | | | | <packet data> | | | | | | | | `----------------------' | | -' | | | `--------------------------' | -------------' | `------------------------------' --------------------------' Когда эти пакеты будут получены на удаленном конце VPN соединения, они будут расшифрованы (используя параметры безопасности, о которых договорился racoon). Затем они будут переданы интерфейсу gif, который развернет второй слой, оставив пакет с внутренними адресами, который сможет попасть во внутреннюю сеть. Вы можете проверить безопасность тем же &man.ping.8;, который использовался ранее. Сначала войдите на шлюз A.B.C.D и запустите: tcpdump dst host 192.168.2.1 В другой сессии на том же хосте запустите ping 192.168.2.1 В этот момент вы должны увидеть примерно это: XXX tcpdump output Теперь, как видите, &man.tcpdump.1; показывает ESP пакеты. Если вы попытаетесь просмотреть их с параметром , то вероятно увидите нечто непонятное, поскольку применяется шифрование. Поздравляем. Вы только что настроили VPN между двумя удаленными сетями. Резюме Настройте оба ядра с: options IPSEC options IPSEC_ESP Установите security/racoon. Отредактируйте ${PREFIX}/etc/racoon/psk.txt на обеих шлюзах, добавив запись для каждого IP адреса удаленного хоста и секретный ключ, который будет известен им обеим. Убедитесь, что режим доступа к файлу 0600. Добавьте к /etc/rc.conf на каждом хосте следующие строки: ipsec_enable="YES" ipsec_file="/etc/ipsec.conf" Создайте /etc/ipsec.conf на каждом хосте с необходимыми строками spdadd. На шлюзе #1 он будет таким: spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; А на шлюзе #2 таким: spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require; spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require; Добавьте правила к межсетевым экранам обеих хостов для включения IKE, ESP и IPENCAP трафика: ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D Двух приведенных шагов должно быть достаточно для настройки и включения VPN. Машины в каждой сети смогут обращаться друг к другу по IP адресам, и весь трафик через соединение будет автоматически надежно зашифрован. Chern Lee Предоставил OpenSSH OpenSSH безопасность OpenSSH OpenSSH это набор сетевых инструментов, используемых для защищенного доступа к удаленным компьютерам. Он может быть использован в качестве непосредственной замены rlogin, rsh, rcp и telnet. Кроме того, любые другие TCP/IP соединения могут быть безопасно тунеллированы/перенаправлены через SSH. OpenSSH шифрует весь трафик, эффективно предотвращая кражу данных, перехват соединения и другие сетевые атаки. OpenSSH поддерживается проектом OpenBSD, он основан на SSH v1.2.12 со всеми последними исправлениями и обновлениями, совместим с протоколами SSH версий 1 и 2. OpenSSH включен в базовую систему начиная с FreeBSD 4.0. Преимущества использования OpenSSH Обычно при использовании &man.telnet.1; или &man.rlogin.1; данные пересылаются по сети в незашифрованной форме. Перехватчик пакетов в любой точке сети между клиентом и сервером может похитить информацию о пользователе/пароле или данные, передаваемые через соединение. Для предотвращения этого OpenSSH предлагает различные методы шифрования. Включение sshd OpenSSH включение Убедитесь, что добавили в файл rc.conf следующую строку: sshd_enable="YES" При следующей загрузке системы запущен &man.sshd.8;, даемон для OpenSSH. Вы можете также запустить sshd непосредственно, набрав в командной строке sshd. SSH клиент OpenSSH клиент Утилита &man.ssh.1; работает подобно &man.rlogin.1;. &prompt.root; ssh user@example.com Host key not found from the list of known hosts. Are you sure you want to continue connecting (yes/no)? yes Host 'example.com' added to the list of known hosts. user@example.com's password: ******* Вход продолжится так же, как если бы сессия была инициирована с использованием rlogin или telnet. SSH использует систему опознавательных ключей для проверки подлинности сервера при подключении клиента. Пользователю предлагается yes только при первом подключении. Дальнейшие попытки входа предваряются проверкой сохраненного ключа сервера. SSH клиент сообщит вам, если сохраненный ключ будет отличаться от только что полученного. Ключи серверов сохраняются в ~/.ssh/known_hosts, или в ~/.ssh/known_hosts2 для SSH v2. По умолчанию, сервер OpenSSH настроен для приема соединений SSH v1 и SSH v2. Клиент может выбирать между этими двумя протоколами. Версия 2 безопаснее своего предшественника. Команде &man.ssh.1; можно указать использование определенной версии протокола, запустив ее с параметром или для версии 1 или 2 соответственно. Безопасное копирование OpenSSH безопасное копирование scp Команда &man.scp.1; работает подобно &man.rcp.1;; она копирует файл с удаленного компьютера, но делает это безопасным способом. &prompt.root; scp user@example.com:/COPYRIGHT COPYRIGHT user@example.com's password: ******* COPYRIGHT 100% |*****************************| 4735 00:00 &prompt.root; Поскольку в предыдущем примере ключ сервера уже был сохранен, в этом примере он проверяется при использовании &man.scp.1;. Параметры, передаваемые &man.scp.1;, похожи на параметры &man.cp.1;, с файлом или файлами в качестве первого аргумента и приемником копирования во втором. Поскольку файлы файлы передаются по сети через SSH, один или более аргументов принимают форму . Настройка OpenSSH настройка Системные файлы настройки для даемона и клиента OpenSSH расположены в каталоге /etc/ssh. Файл ssh_config используется для настройки клиента, а sshd_config для даемона. Кроме того, параметры (по умолчанию /usr/sbin/sshd), и rc.conf дают дополнительные возможности настройки. ssh-keygen Вместо использования паролей, с помощью &man.ssh-keygen.1; пользователи могут аутентифицироваться ключами RSA: &prompt.user; ssh-keygen -t rsa1 Initializing random number generator... Generating p: .++ (distance 66) Generating q: ..............................++ (distance 498) Computing the keys... Key generation complete. Enter file in which to save the key (/home/user/.ssh/identity): Enter passphrase: Enter the same passphrase again: Your identification has been saved in /home/user/.ssh/identity. ... &man.ssh-keygen.1; создаст пару публичного и приватного ключей, используемых для аутентификации. Приватный ключ сохраняется в ~/.ssh/identity, а публичный в ~/.ssh/identity.pub. Для включения аутентификации по ключам публичный ключ должен быть помещен в ~/.ssh/authorized_keys на удаленном компьютере. Это позволяет соединяться с удаленным компьютером с помощью RSA аутентификации вместо паролей. Параметр приведет к созданию RSA ключей, используемых SSH протоколом версии 1. Если вы хотите использовать RSA ключи с SSH протоколом версии 2, используйте команду ssh-keygen -t rsa. Если при генерации ключей был использован пароль, каждый раз для при использовании приватного ключа он будет запрашиваться у пользователя. DSA ключ для SSH протокола версии 2 может быть создан в тех же целях командой ssh-keygen -t dsa. Эта команда создаст публичный/приватный ключи DSA для использования только с SSH протоколом версии 2. Публичный ключ сохраняется в ~/.ssh/id_dsa.pub, а приватный ключ в ~/.ssh/id_dsa. Публичный ключ DSA также должен быть помещен в каталог ~/.ssh/authorized_keys на удаленном компьютере. Утилиты &man.ssh-agent.1; и &man.ssh-add.1; используются для управления множеством защищенных паролем приватных ключей. Параметры и имена файлов могут различаться для разных версий OpenSSH, установленных в системе, для решения проблем обратитесь к странице справочника &man.ssh-keygen.1;. SSH тунеллирование OpenSSH тунеллирование OpenSSH поддерживает возможность создания туннеля для пропуска соединения по другому протоколу через защищенную сессию. Следующая команда указывает &man.ssh.1; создать туннель для telnet: &prompt.user; ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com &prompt.user; Команда ssh используется со следующими параметрами: Указывает ssh использовать версию 2 протокола (не используйте этот параметр, если работаете со старыми SSH серверами). Означает использование в не-командном режиме, только для тунеллирования. Если этот параметр опущен, ssh запустит обычную сессию. Указывает ssh запускаться в фоновом режиме. Означает локальный туннель в стиле localport:remotehost:remoteport. Удаленный сервер SSH. Туннель SSH создается путем создания прослушивающего сокета на определенном порту localhost. Затем все принятые на локальном хосту/порту соединения переправляются на через SSH на определенный удаленный хост и порт. В этом примере, порт 5023 на localhost перенаправляется на порт 23 на localhost удаленного компьютера. Поскольку 23 это порт telnet, будет создано защищенное соединение telnet через туннель SSH. Этот метод можно использовать для любого числа небезопасных протоколов, таких как SMTP, POP3, FTP, и так далее. Использование SSH для создания защищенного туннеля на SMTP &prompt.user; ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com user@mailserver.example.com's password: ***** &prompt.user; telnet localhost 5025 Trying 127.0.0.1... Connected to localhost. Escape character is '^]'. 220 mailserver.example.com ESMTP Этот метод можно использовать вместе с &man.ssh-keygen.1; и дополнительными пользовательскими учетными записями для создания более удобного автоматического SSH тунеллирования. Ключи могут быть использованы вместо паролей, и туннели могут запускаться от отдельных пользователей. Практические примеры SSH тунеллирования Защищенный доступ к серверу POP3 На работе находится SSH сервер, принимающий соединения снаружи. В этой же офисной сети находится почтовый сервер, поддерживающий протокол POP3. Сеть или сетевое соединение между вашим домом и офисом могут быть или не быть полностью доверяемыми. По этой причине вам потребуется проверять почту через защищенное соединение. Решение состоит в создании SSH соединения к офисному серверу SSH и тунеллирование через него к почтовому серверу. &prompt.user; ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com user@ssh-server.example.com's password: ****** Когда туннель включен и работает, вы можете настроить почтовый клиент для отправки запросов POP3 на localhost, порт 2110. Соединение будет безопасно переправлено через туннель на mail.example.com. Прохождение через Драконовский Брандмауэр Некоторые сетевые администраторы устанавливают на межсетевых экранах (брандмауэрах) драконовские правила, фильтруя не только входящие соединения, но и исходящие. Вам может быть разрешен доступ к удаленным компьютерам только по портам 22 и 80, для SSH и просмотра сайтов. Вам может потребоваться доступ к другому (возможно, не относящемуся к работе) сервису, такому как Ogg Vorbis для прослушивания музыки. Если этот сервер Ogg Vorbis выдает поток не с портов 22 или 80, вы не сможете получить к нему доступ. Решение состоит в создании SSH соединения с компьютером вне межсетевого экрана и использование его для тунеллирования сервера Ogg Vorbis. &prompt.user; ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org user@unfirewalled-system.example.org's password: ******* Клиентскую программу теперь можно настроить на localhost порт 8888, который будет перенаправлен на music.example.com порт 8000, успешно обойдя межсетевой экран. Для дальнейшего чтения OpenSSH &man.ssh.1; &man.scp.1; &man.ssh-keygen.1; &man.ssh-agent.1; &man.ssh-add.1; &man.sshd.8; &man.sftp-server.8; Robert Watson Спонсировали DARPA и Network Associates Laboratories. Предоставил MAC Принудительный контроль доступа (MAC) FreeBSD 5.0 включает новую систему (framework) безопасности уровня ядра, TrustedBSD MAC Framework. Система MAC позволяет применять расширения безопасности при компилировании, загрузке и выполнении, она может быть использована для поддержки принудительного контроля доступа (Mandatory Access Control, MAC), а также специфических модулей безопасности. Система MAC на данный момент считается экспериментальной, и без внимательного изучения не должна использоваться в реальных задачах. Ожидается, что MAC будет лучше подходить для широкого использования начиная с FreeBSD 5.2. При включении в ядро система MAC использует модули безопасности для усиления существующей модели безопасности ядра, ограничивая доступ к системным сервисам и объектам. Например, модуль &man.mac.bsdextended.4; усиливает контроль доступа к файловой системе, позволяя администраторам задавать набор правил подобный тому, который используется для межсетевого экрана, ограничивая доступ к объектам файловой системы на основе id пользователя и его принадлежности к группам. Некоторые модули требуют мало или вообще не требуют настройки, например &man.mac.seeotheruids.4;, в то время как другие требуют тотальной маркировки объектов и большого объема настройки, например &man.mac.biba.4; и &man.mac.mls.4;. Для включения системы MAC Framework в ядро системы вы должны добавить в файл настройки ядра следующую строку: options MAC Модули политики безопасности, поставляемые с базовой системой, могут быть загружены с помощью &man.kldload.8; или при загрузке через &man.loader.8;. Они также могут быть непосредственно встроены в ядро с помощью приведенных ниже параметров, если использование модулей нежелательно. Различные политики MAC могут быть настроены разными способами; зачастую модули политики MAC экспортируют параметры настройки через &man.sysctl.8; MIB, используя пространство имен security.mac. Политики безопасности, относящиеся к файловой системе или другим меткам могут требовать действий по присвоению начальных меток системным объектам или создания файла настройки политики безопасности. За информацией по настройке и использованию каждого модуля политики обращайтесь к его справочной странице. Существует множество инструментов для настройки системы MAC и меток, поддерживаемых различными политиками безопасности. Были созданы расширения для входа в систему и управления доступом (&man.setusercontext.3;), поддерживающие присвоение пользователям метки с помощью &man.login.conf.5;. Кроме того, были сделаны изменения в &man.su.1;, &man.ps.1;, &man.ls.1;, и &man.ifconfig.8; для проверки и установки меток на процессы, файлы и интерфейсы. Были добавлены несколько новых инструментов для управления метками объектов, включая &man.getfmac.8;, &man.setfmac.8; и &man.setfsmac.8; для управления метками файлов, а также &man.getpmac.8; и &man.setpmac.8;. Ниже представлен список модулей политики безопасности, поставляемых с FreeBSD 5.0. Политика целостности Biba (mac_biba) Политика целостности Biba Поставщик: TrustedBSD Project Имя модуля: mac_biba.ko Параметр ядра: MAC_BIBA TCB Политика целостности Biba (Biba Integrity Policy, &man.mac.biba.4;) создана для иерархического и не иерархического присвоения всем системным объектам уровня доступа и применение политики контроля за потоками информации для предотвращения повреждения субъектов с высоким уровнем доступа и данных субъектами с низким уровнем доступа. Целостность достигается предотвращением чтения объектов с низким уровнем доступа (зачастую файлов) субъектами с высоким уровнем доступа (обычно процессами), и предотвращение записи в объекты с высоким уровнем доступа субъектами с низким уровнем доступа. Эта политика безопасности часто используется в коммерческих доверяемых системах для обеспечения высокого уровня защиты Trusted Code Base (TCB). Вследствие необходимости тотального маркирования, политика целостности Biba должна быть встроена в ядро или загружена при старте системы. Брандмауэрная политика файловой системы (mac_bsdextended) Брандмауэрная политика файловой системы Поставщик: TrustedBSD Project Имя модуля: mac_bsdextended.ko Параметр ядра: MAC_BSDEXTENDED File System Firewall Policy (брандмауэрная политика файловой системы, &man.mac.bsdextended.4;) это расширение системы контроля доступа файловой системы BSD, позволяющая администратору определять набор брандмауэр-подобных правил для ограничения доступа к объектам файловой системы, принадлежащим пользователям и группам. Правила, управляемые &man.ugidfw.8;, могут ограничить доступ к файлам и каталогам на основе uid и gid процесса, пытающегося получить доступ, владельца и группы цели, на которую направлена попытка доступа. Все правила ограничивающие, так что они могут быть помещены в любом порядке. Эта политика не требует предварительной настройки или маркировки и может подходить для многопользовательской среды, где требуется принудительное ограничение на обмен данных между пользователями. Необходимо соблюдать осторожность при ограничения доступа к файлам, принадлежащим суперпользователю или другим системным пользователям, поскольку множество полезных программ и каталогов принадлежат этим пользователям. Как и сетевым брандмауэром, неправильное применение правил брандмауэра файловой системы может привести систему в неработоспособное состояние. Новые инструменты для управления набором правил легко могут быть написаны с использованием библиотеки &man.libugidfw.3;. Политика <quote>тишины</quote> интерфейса (mac_ifoff) Политика тишины интерфейса Поставщик: TrustedBSD Project Имя модуля: mac_ifoff.ko Параметр ядра: MAC_IFOFF Политика тишины интерфейса (Interface silencing policy, &man.mac.ifoff.4;) запрещает использование сетевых интерфейсов во время загрузки, пока они не будут явно включены, предотвращая ответ сетевого стека на входящие пакеты. Эта политика подходит, если требуется мониторинг пакетов, без генерации трафика. Low-Watermark Mandatory Access Control (LOMAC) (mac_lomac) MAC Low-Watermark LOMAC Поставщик: Network Associates Laboratories Имя модуля: mac_lomac.ko Параметр ядра: MAC_LOMAC Подобно политике целостности Biba, политика LOMAC (&man.mac.lomac.4;) основывается на тотальной маркировке всех системных объектов метками уровня доступа. В отличие от Biba, LOMAC разрешает субъектам с высоким уровнем доступа читать из объектов с низким уровнем доступа, но уровень доступа субъекта понижается для предотвращения последующей записи в объекты с высоким уровнем доступа. Эта политика может применяться для обеспечения совместимости, поскольку требует меньшей начальной настройки, чем Biba. Однако, как и в случае Biba, она основана на тотальной маркировке объектов и следовательно должна быть встроена в ядро или загружена при старте системы. Многоуровневая политика безопасности (MLS) (mac_mls) Многоуровневая политика безопасности MAC Multi-Level Поставщик: TrustedBSD Project Имя модуля: mac_mls.ko Параметр ядра: MAC_MLS Многоуровневая безопасность (Multi-Level Security, MLS, &man.mac.mls.4;) предназначена для иерархической и не-иерархической метки всех системных объектов с важными данными и жесткого ограничения передачи информации для предотвращения утечки конфиденциальной информации. Логическое соединение политики целостности Biba и MLS зачастую поставляется в коммерческих доверяемых операционных системах для обеспечения безопасности данных в многопользовательской среде. Как и с Biba, происходит тотальное маркирование объектов, следовательно необходимо встраивание в ядро или загрузка модуля при старте системы. Как и с Biba, может потребоваться обширная начальная настройка. Шаблон политики MAC (mac_none) Шаблон политики MAC Поставщик: TrustedBSD Project Имя модуля: mac_none.ko Параметр ядра: MAC_NONE Отсутствие политики безопасности (None policy, &man.mac.none.4;) предоставляет пример политики безопасности для разработчиков, реализуя все необходимое, но не меняя политику контроля доступа системы. Запуск этой политики в реальных задачах не принесет существенных преимуществ. Политика разделения процессов (mac_partition) Политика разделения процессов Поставщик: TrustedBSD Project Имя модуля: mac_partition.ko Параметр ядра: MAC_PARTITION Политика разделения процессов, (Partition policy, &man.mac.partition.4;) предназначена для простого разграничения видимости процессов, путем присвоения процессам меток, определяющих, в каком из разделов системы они находятся. При отсутствии меток все процессы могут просматриваться с помощью стандартных инструментов мониторинга; если идентификатор раздела существует, видны только процессы в том же разделе. Эта политика может быть встроена в ядро, загружена при старте системы или в любое другое время. Просмотр других uid (mac_seeotheruids) Просмотр других uid Поставщик: TrustedBSD Project Имя модуля: mac_seeotheruids.ko Параметр ядра: MAC_SEEOTHERUIDS Просмотр других uid (See Other Uids policy, &man.mac.seeotheruids.4;) реализует модель видимости процессов, похожую на mac_partition, но основывается на правах процессов, а не на метках разделов. Политика может быть настроена для исключения определенных пользователей и групп, включая разрешение просмотра всех процессов операторам системы без специальных привилегий. Политика может быть встроена в ядро, загружена при запуске системы или в любое другое время. политика для тестирования системы MAC (mac_test) политика для тестирования системы MAC Поставщик: TrustedBSD Project Имя модуля: mac_test.ko Параметр ядра: MAC_TEST Политика для тестирования (Test policy, &man.mac.test.4;) реализует регрессивное тестирование среды для системы MAC, и завершится с ошибкой, если внутренняя проверка правильности меток системы MAC не пройдет. Этот модуль может использоваться для обнаружения ошибок в маркировке системных объектов. Политика может быть встроена в ядро, загружена при старте системы или в любое другое время. Tom Rhodes Предоставил ACL Списки контроля доступа файловой системы (ACL) В дополнение к другим расширениям файловой системы, таким как снимки (snapshots), FreeBSD 5.0 и более поздние версии системы предлагают защиту с помощью списков контроля доступа файловой системы (File System Access Control Lists, ACLs). Списки контроля доступа расширяют стандартную модель прав &unix; высоко совместимым (&posix;.1e) способом. Эта возможность позволяет администратору получить преимущество от использования более интеллектуальной модели безопасности. Для включения поддержки ACL в файловой системе UFS, следующая строка: options UFS_ACL должна быть добавлена в файл настройки ядра. Если параметр не добавлен, при попытке монтирования систем, поддерживающих ACL, появится предупреждающее сообщение. Этот параметр включен в ядро GENERIC. ACL основывается на дополнительных атрибутах, встроенных в файловую систему. Дополнительные атрибуты поддерживаются по умолчанию следующим поколением файловых систем &unix;, UFS2. Для включения дополнительных атрибутов в UFS1 требуется больше усилий по сравнению с UFS2. Производительность дополнительных атрибутов в UFS2 также существенно выше. По этим причинам для работы с списками контроля доступа предпочтительно использование UFS2 ACL включаются во время монтирования флагом , который добавляется к /etc/fstab. Этот флаг также можно сделать постоянным с помощью &man.tunefs.8;, изменив флаг ACL в заголовке файловой системы. Вообще говоря, использование флага в суперблоке предпочтительно по нескольким причинам: Постоянный ACL флаг не может быть изменен путем перемонтирования системы (&man.mount.8; ), а только через &man.umount.8; и &man.mount.8;. Это означает, что ACL нельзя включить на корневой файловой системе после загрузки. Это также означает, что вы не можете изменить флаг на используемой файловой системе. Установка флага в суперблоке приводит к постоянному монтированию файловой системы с включенным ACL, даже если нет записи в fstab или при смене порядка устройств. Это предотвращает случайное монтирование файловой системы без ACL, которое может повлечь за собой проблемы с безопасностью. Мы можем изменить поведение ACL для включения флага без полного перемонтирования, но считаем, что желательно исключить случайное монтирование без ACL, поскольку вы можете попасть в неприятную ситуацию, если включите ACL, затем выключите их, затем опять включите без сброса расширенных атрибутов. Обычно, как только вы включили ACL в файловой системе, они не должны быть выключены, поскольку получающаяся защита файлов может быть не совместима с той, что применяется пользователями системы, и повторное включение ACL может подключить предыдущие списки контроля доступа к файлам, права на которые изменены, что приведет к непредсказуемому поведению. Файловые системы с включенными ACLs показывают знак + при просмотре прав на файлы. Например: drwx------ 2 robert robert 512 Dec 27 11:54 private drwxrwx---+ 2 robert robert 512 Dec 23 10:57 directory1 drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2 drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3 drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html Здесь мы видим, что каталоги directory1, directory2, и directory3 используют преимущества ACL. Каталог public_html их не использует. Использование <acronym>ACL</acronym> ACL файловой системы можно просмотреть с помощью утилиты &man.getfacl.1;. Например, для просмотра настроек ACL файла test, может использоваться команда: &prompt.user; getfacl test #file:test #owner:1001 #group:1001 user::rw- group::r-- other::r-- Для изменения ACL этого файла, вызовите утилиту &man.setfacl.1;. Выполните: &prompt.user; setfacl -k test Параметр удалит все установленные на данный момент ACL из файла или файловой системы. Более предпочтительный метод это использование параметра , который оставит необходимые для работы ACL поля. &prompt.user; setfacl -m u:trhodes:rwx,group:web:r--,o::--- test В вышеприведенной команде параметр использован для изменения записей ACL по умолчанию. Поскольку предустановленных записей не было (они были удалены предыдущей командой), эта команда восстановит параметры по умолчанию и задаст приведенные параметры. Имейте ввиду, при добавлении пользователя или группы, которых нет в системе, на stdout будет выведена ошибка Invalid argument. Tom Rhodes Предоставил Сообщения безопасности FreeBSD Сообщения безопасности &os; Как многие и высококачественные операционные системы, &os; публикует Сообщения безопасности (Security Advisories). Эти сообщения обычно отправляются по почте в списки рассылки, посвященные безопасности и публикуются в списке проблем только после выхода исправлений к соответствующим релизам. В этом разделе разъясняется, что такое сообщения безопасности, как их читать и какие меры принимать для исправления системы. Как выглядит сообщение? Сообщение безопасности &os; выглядит подобно сообщению ниже, взятому из списка рассылки &a.security-notifications.name;. ============================================================================= &os;-SA-XX:XX.UTIL Security Advisory The &os; Project Topic: denial of service due to some problem Category: core Module: sys Announced: 2003-09-23 Credits: Person@EMAIL-ADDRESS Affects: All releases of &os; &os; 4-STABLE prior to the correction date Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) 2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15) 2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8) 2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18) 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) &os; only: NO For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the following sections, please visit http://www.FreeBSD.org/security/. I. Background II. Problem Description III. Impact IV. Workaround V. Solution VI. Correction details VII. References Поле Topic показывает в чем именно заключается проблема. Это обычно введение в сообщение безопасности, упоминающее утилиту, в которой возникла ошибка. Поле Category относится к затронутой части системы и может быть выбрана из core, contrib, или ports. Категория core означает, что уязвимость затрагивает основной компонент операционной системы &os;. Категория contrib означает, что уязвимость затрагивает программы, предоставленные проекту &os;, например sendmail. Наконец, категория ports означает, что уязвимость затрагивает программное обеспечение, доступное из коллекции портов. Поле Module указывает на местоположение компонента, например sys. В этом примере мы видим, что затронут модуль sys, следовательно, эта уязвимость относится к компоненту, используемому в ядре. Поле Announced отражает дату публикации сообщения безопасности, или его анонсирования. Это означает, что команда обеспечения безопасности убедилась, что проблема существует и что патч помещен в репозиторий исходных текстов &os;. Поле Credits упоминает частное лицо или организацию, обнаружившую уязвимость и сообщившую о ней. Поле Affects дает информацию о релизах &os;, к которым относится данная уязвимость. Для базовой системы, просмотр вывода команды ident для файлов, затронутых уязвимостью, поможет определить ревизию. Номер версии портов приведен после имени порта в каталоге /var/db/pkg. Если система не синхронизируется с CVS репозиторием &os; и не пересобирается ежедневно, высок шанс, что она затронута уязвимостью. Поле Corrected показывает дату, время, смещение во времени и релиз, в котором исправлена ошибка. Поле &os; only показывает, существует ли эта уязвимость только в &os;, или затрагивает и другие системы. Поле Background дает информацию именно о той утилите, для которой выпущено сообщение. Как правило информация о том, зачем утилита присутствует в &os;, для чего она используется, и немного информации о том, как появилась эта утилита. Поле Problem Description дает более глубокие разъяснения возникшей проблемы. Оно может включать информацию об ошибочном коде, или даже о том, как утилита может быть использована для создания бреши в системе безопасности. Поле Impact описывает тип воздействия, который проблема может оказать на систему. Это может быть все, что угодно, от атаки на отказ в обслуживании до получения пользователями дополнительных привилегий, или даже получения атакующим прав суперпользователя. Поле Workaround предлагает тем, системным администраторам, которые не могут обновить систему, обходной путь решения проблемы. Он может пригодиться при недостатке времени, отсутствии подключения к сети или по массе других причин. В любом случае, к безопасности нельзя относиться несерьезно, и необходимо либо применить указанный обходной путь, либо исправить систему. Поле Solution предлагает инструкции по исправлению затронутой системы. Это пошаговое руководство, протестированный метод восстановления безопасности системы. Поле Correction Details показывает ветвь CVS (имя релиза с точками, замененными на символы подчеркивания). Здесь также показан номер ревизии каждого файла из каждой ветви. Поле References обычно упоминает другие источники информации. Это могут быть веб страницы, книги, списки рассылки и группы новостей. diff --git a/ru_RU.KOI8-R/books/handbook/serialcomms/chapter.sgml b/ru_RU.KOI8-R/books/handbook/serialcomms/chapter.sgml index 345fdca0e5..aa5ba86230 100644 --- a/ru_RU.KOI8-R/books/handbook/serialcomms/chapter.sgml +++ b/ru_RU.KOI8-R/books/handbook/serialcomms/chapter.sgml @@ -1,2691 +1,2730 @@ Последовательные соединения Краткое описание последовательные соединения В &unix; всегда была поддержка последовательных соединений. Фактически, самые первые &unix; машины использовали последовательные линии для пользовательского ввода/вывода. Многое изменилось с тех пор, когда среднестатистический терминал состоял из 10-символов-в-секунду последовательного принтера и клавиатуры. Эта глава рассказывает о некоторых способах, которыми FreeBSD использует последовательные соединения. Прочитав эту главу, вы узнаете: Как подсоединить терминалы к системе FreeBSD. Как использовать модем для дозвона на удаленные хосты. Как разрешить удаленным пользователям входить в вашу систему с помощью модема. Как загрузить систему с последовательной консоли. Перед прочтением этой главы вам потребуется: Узнать как настраивать и устанавливать новое ядро (). Понять, что такое права доступа и процессы &unix; (). Кроме этого вам потребуется техническое руководство на последовательное оборудование (модем или мультипортовую карту), которую вы хотите использовать с FreeBSD. Введение Терминология bits-per-second бит-в-секунду bps Бит в секунду (Bits per Second) — скорость передачи данных DTE DTE Терминальное оборудование (Data Terminal Equipment) — например, ваш компьютер DCE DCE Оборудование связи (Data Communications Equipment) — ваш модем RS-232 кабели RS-232C Стандарт EIA для аппаратных последовательных соединений При упоминании скорости передачи данных, в этой главе не используется термин бод (baud). Бод означает количество электрических импульсов, которые могут быть переданы за период времени, а bps это корректный термин для использования (он хотя бы не создает столько проблем как предыдущий). Кабели и порты Для подсоединения модема или терминала к системе FreeBSD потребуется последовательный порт и подходящий кабель для последовательного устройства. Если вы уже знаете о аппаратном обеспечении и требуемых кабелях, можете пропустить этот раздел. Кабели Есть несколько различных видов последовательных кабелей. Два наиболее часто используемых в нашей ситуации типа это нуль-модемный и стандартный (прямой) RS-232 кабель. Документация на оборудование должна описывать тип требуемого кабеля. Нуль-модемные кабели нуль-модемный кабель Нуль модемный кабель пропускает некоторые сигналы, такие как signal ground, напрямую, а другие заворачивает. Например, контакт send data на одном конце соединяется с контактом receive data на другом. Если вы изготавливаете собственный кабели, то можете сделать собственный кабель для использования с терминалами. Эта таблица показывает названия сигналов RS-232C и номера контактов на разъеме DB-25. Сигнал Контакт Контакт Сигнал SG 7 соединен с 7 SG TxD 2 соединен с 3 RxD RxD 3 соединен с 2 TxD RTS 4 соединен с 5 CTS CTS 5 соединен с 4 RTS DTR 20 соединен с 6 DSR DCD 8 6 DSR DSR 6 соединен с 20 DTR Соедините Data Set Ready (DSR) и Data Carrier Detect (DCD) внутри корпуса коннектора, а затем подключите к Data Terminal Ready (DTR) на другой стороне. Стандартные кабели RS-232C кабели RS-232C Стандартный последовательный кабель пропускает все RS-232C сигналы напрямую. Так, send data на одном конце кабеля соединяется с контактом send data на другом конце. Этот тип кабеля предназначен для подсоединения модема, а также подходит для некоторых терминалов. Порты Последовательные порты это устройства, через которые данные передаются между компьютером с FreeBSD и терминалом. Этот раздел описывает типы существующих портов и их адресацию в FreeBSD. Типы портов Существует несколько типов последовательных портов. Перед изготовлением кабеля, вам потребуется убедиться, что он подходит к портам терминала и системы FreeBSD. Большинство терминалов используют порты DB25. Персональные компьютеры, включая PC под управлением FreeBSD, используют порты DB25 или DB9. Если у вас есть мультипортовая последовательная карта для PC, там могут быть RJ-12 или RJ-45 порты. Обратитесь к сопровождающей документации на оборудование за информацией об используемых портах. Можно также определить тип используемых портов по их внешнему виду. Имена портов В FreeBSD доступ к каждому последовательному порту может быть получен через файл в каталоге /dev. Есть два различных типа файлов: Порты входящих соединений (dial-in) называются /dev/ttydN, где N это номер порта начиная с нуля. Обычно, порты входящих соединений используются для терминалов. Для корректной работы этим портам требуется, чтобы последовательный кабель передавал сигнал data carrier detect (DCD). Порты исходящих соединений (call-out) называются /dev/cuaaN. Они обычно используются не для терминалов, а только для модемов. Вы можете использовать эти порты если последовательный кабель или терминал не поддерживает сигнал DCD. Если вы соединили терминал с первым последовательным портом (COM1 в &ms-dos;), используйте /dev/ttyd0 для доступа к терминалу. Если терминал соединен со вторым последовательным портом (известным также как COM2), используйте /dev/ttyd1, и так далее. Настройка ядра FreeBSD c настройками по умолчанию поддерживает последовательные порты. В мире &ms-dos; они известны как COM1, COM2, COM3, и COM4. На данный момент в FreeBSD есть поддержка как простых мультипортовых карт с последовательными интерфейсами, таких как BocaBoard 1008 и 2016, так и более умных мультипортовых карт, например карт Digiboard и Stallion Technologies. Тем не менее, ядро по умолчанию определяет только стандартные COM порты. Чтобы увидеть, как ядро определяет последовательные порты, просмотрите сообщения, выводимые во время загрузки ядра, или используйте команду /sbin/dmesg для вывода сообщений ядра еще раз. В частности, обратите внимание на сообщения, начинающиеся с символов sio. Для просмотра только тех сообщений, которые содержат слово sio, используйте команду: &prompt.root; /sbin/dmesg | grep 'sio' Например, в системе с четырьмя последовательными портами, появятся такие специфичные для последовательных портов сообщения: sio0 at 0x3f8-0x3ff irq 4 on isa sio0: type 16550A sio1 at 0x2f8-0x2ff irq 3 on isa sio1: type 16550A sio2 at 0x3e8-0x3ef irq 5 on isa sio2: type 16550A sio3 at 0x2e8-0x2ef irq 9 on isa sio3: type 16550A Если ядро не распознает все последовательные порты, вам возможно потребуется настроить ядро FreeBSD. За детальной информацией по настройке ядра обращайтесь к главе . Строки соответствующих устройств в файле конфигурации ядра FreeBSD 4.X будут выглядеть примерно так: device sio0 at isa? port IO_COM1 irq 4 device sio1 at isa? port IO_COM2 irq 3 device sio2 at isa? port IO_COM3 irq 5 device sio3 at isa? port IO_COM4 irq 9 и примерно так для FreeBSD 5.X: device sio Вы можете закомментировать или полностью удалить эти строки для отсутствующих устройств в FreeBSD 4.X; в FreeBSD 5.X вам потребуется отредактировать файл /boot/device.hints для настройки последовательных портов. Обратитесь к странице справочника &man.sio.4; за дополнительной информацией о настройке последовательных портов и мультипортовых карт. Будьте осторожны при использовании настроек, которые работали в предыдущих версиях FreeBSD, поскольку флаги устройств и синтаксис изменились в новых версиях. port IO_COM1 это синоним для port 0x3f8, IO_COM2 для 0x2f8, IO_COM3 для 0x3e8, и IO_COM4 для 0x2e8. Это наиболее часто используемые для соответствующих последовательных портов адреса. Наиболее часто используемые прерывания 4, 3, 5, и 9. Имейте ввиду, что обычные последовательные порты не могут совместно использовать прерывания на ISA PC (на мультипортовых картах есть электроника, позволяющая всем чипам 16550A на плате совместно использовать одно или два IRQ). Специальные файлы устройств К большинству устройств ядра можно получить доступ через специальные файлы устройств, расположенные в каталоге /dev. К устройствам sio можно получить доступ через /dev/ttydN (устройства входящих вызовов, dial-in) и /dev/cuaaN (устройства исходящих вызовов, call-out). FreeBSD предоставляет также устройства инициализации (/dev/ttyidN и /dev/cuaiaN), устройства блокировки (/dev/ttyldN и /dev/cualaN). Первые используются для инициализации параметров порта при каждом его открытии (таких как crtscts для модемов, использующих сигналы RTS/CTS для управления потоком). Устройства блокировки используются для установки флага блокировки на порт и предотвращения изменения определенных параметров пользователями или программами; обратитесь к страницам справочника &man.termios.4;, &man.sio.4; и &man.stty.1; соответственно за информацией о параметрах терминала, блокировании и инициализации устройств и настройке терминала. Создание специальных файлов устройств FreeBSD 5.0 включает файловую систему &man.devfs.5;, которая автоматически создает файлы устройств по мере необходимости. Если вы работаете с версией FreeBSD, поддерживающей devfs просто пропустите этот раздел. В каталоге /dev находится shell скрипт, называющийся MAKEDEV, который управляет специальными файлами устройств. Чтобы использовать MAKEDEV для создания специальных файлов устройств исходящих соединений для порта COM1 (порт 0), зайдите (cd) в каталог /dev и выполните команду MAKEDEV ttyd0. Точно так же, для создания специальных файлов устройств исходящих соединений для порта COM2 (порт 1), используйте MAKEDEV ttyd1. MAKEDEV создаст не только специальный файл устройства /dev/ttydN но также /dev/cuaaN, /dev/cuaiaN, /dev/cualaN, /dev/ttyldN, и /dev/ttyidN. После создания специальных файлов устройств, обязательно проверьте права на файлы (особенно на файлы /dev/cua*), чтобы убедиться, что только те пользователи, которым дан доступ на эти файлы, могут читать и писать в них — возможно, вы не хотите, чтобы обычные пользователи использовали модемы для звонков. Права по умолчанию на /dev/cua* должны подойти: crw-rw---- 1 uucp dialer 28, 129 Feb 15 14:38 /dev/cuaa1 crw-rw---- 1 uucp dialer 28, 161 Feb 15 14:38 /dev/cuaia1 crw-rw---- 1 uucp dialer 28, 193 Feb 15 14:38 /dev/cuala1 Эти права позволяют пользователю uucp и пользователям из группы dialer использовать устройства исходящих вызовов. Настройка последовательных портов ttyd cuaa Устройство ttydN (или cuaaN) это обычное устройство, которое потребуется открыть для приложений. Когда процесс открывает устройство применяются настройки ввода/вывода терминала по умолчанию. Вы можете посмотреть эти настройки с помощью команды &prompt.root; stty -a -f /dev/ttyd1 Если вы измените настройки устройства, они будут действовать до его закрытия. После повторного открытия, оно вернется к настройкам по умолчанию. Для изменения настроек по умолчанию, вы можете открыть и изменить установки начального состояния устройства. Например, для включения по умолчанию режима , 8-битного соединения и контроля передачи для ttyd5, выполните: &prompt.root; stty -f /dev/ttyid5 clocal cs8 ixon ixoff rc files rc.serial Инициализация последовательных устройств контролируется файлом /etc/rc.serial. Этот файл определяет настройки последовательных устройств по умолчанию. Для предотвращения изменения программами отдельных установок, настройте состояние блокировки устройства. Например, для установки значения скорости ttyd5 в 57600 bps, выполните: &prompt.root; stty -f /dev/ttyld5 57600 Теперь приложение, открывающее ttyd5 и пытающееся изменить скорость порта, получит скорость 57600 bps. MAKEDEV И конечно, сделайте запись начальных значений и состояния блокировки устройств доступной только учетной записи root. Sean Kelly Предоставил Терминалы терминалы Терминалы предоставляют удобный и дешевый способ доступа к системе FreeBSD, когда вы не сидите за консолью компьютера и не подключены к сети. Этот раздел описывает использование терминалов в FreeBSD. Пользователи и типы терминалов В первых системах &unix; не было консолей. Вместо этого, пользователи входили и запускали программы через терминалы, которые были подключены к последовательным портам компьютеров. Это очень похоже на использование модема и программного обеспечения терминала для дозвона до удаленной системы и выполнения только-текстовой работы. Консоли современных PC поддерживают высококачественную графику, но возможность входа по последовательному порту на сегодняшний день все еще доступна почти в каждой &unix; подобной операционной системе; FreeBSD не исключение. Используя терминал, подключенный к неиспользуемому последовательному порту, вы можете войти и запустить текстовую программу, которую обычно запускаете в текстовой консоли или в окне xterm системы X Window. Для корпоративных пользователей, вы можете подсоединить множество терминалов к системе FreeBSD и поставить их на столы пользователей. Для домашнего пользователя, устаревший IBM PC или &macintosh; может быть подключен в качестве терминала к более мощному компьютеру под управлением FreeBSD. Вы можете превратить однопользовательский компьютер в мощную многопользовательскую систему. В FreeBSD три вида терминалов: Простые (dumb) терминалы PC, работающие в качестве терминалов X терминалы В оставшейся части раздела описывается каждый вид. Простые терминалы Простые терминалы это специализированное оборудование, позволяющее соединять компьютеры через последовательные линии. Они называются простыми, поскольку их вычислительных возможностей хватает только для отображения, отправки и получения текста. Вы не сможете запустить на них никаких программ. Компьютер, к которому подсоединяется терминал, предоставляет все возможности для запуска текстовых редакторов, компиляторов, почтовых программ, игр и так далее. Есть сотни видов простых терминалов, изготовленных различными производителями, включая DEC VT-100 и Wyse WY-75. Почти любой терминал может работать с FreeBSD. Некоторые high-end терминалы даже могут отображать графику, но только отдельные программные пакеты могут получить преимущество от этих расширенных возможностей. Простые терминалы популярны в рабочей среде, где не требуется доступ к графическим приложениям, например тем, которые предоставляет система X Window. PC, работающие в качестве терминалов Если простые терминалы могут только отображать, отправлять и получать текст, возможностей абсолютно любого персонального компьютера хватит для работы в роли простого терминала. Все, что вам потребуется, это подходящий кабель и какая-нибудь программа эмулятора терминала. Это популярная домашняя конфигурация. Например, когда ваша вторая половина занята работой на системной консоли FreeBSD, вы можете одновременно выполнять только-текстовую работу с менее мощного персонального компьютера, подключенного к системе FreeBSD. X терминалы X терминалы это наиболее сложный тип существующих терминалов. Вместо подключения к последовательному порту, они обычно подключаются к сети, например Ethernet. Вместо работы только с текстовыми приложениями, они могут отображать любое X приложение. Мы представляем X терминалы только ради полноты описания. Тем не менее, эта глава не охватывает установку, настройку или использование X терминалов. Настройка Этот раздел описывает, что нужно сделать для настройки системы FreeBSD и включения входа в систему через терминал. Предполагается, что вы уже подключили терминал и настроили ядро для включения поддержки последовательного порта, к которому он подключен. Обратитесь к главе за информацией о процессе init, отвечающем за контроль над всеми процессами и за инициализацию системы во время загрузки. Одна из задач, выполняемых init — чтение файла /etc/ttys и запуск процесса getty на доступных терминалах. Процесс getty отвечает за чтение имени пользователя и запуск программы login. Таким образом, для настройки терминалов в системе FreeBSD необходимо выполнить следующие действия под root: Добавить строку к /etc/ttys для файла из каталога /dev, представляющего последовательный порт, если этой строки еще нет. Настроить запуск команды /usr/libexec/getty на этом порту и указать соответствующий тип getty в файле /etc/gettytab. Указать тип терминала по умолчанию. Переключить порт в состояние on (включен) Указать, должен ли порт быть secure (безопасным) Заставить init перечитать файл /etc/ttys. Опционально, вы можете настроить свой тип getty для использования на шаге 2, добавив описание в файл /etc/gettytab. За описанием обратитесь к страницам справочника &man.gettytab.5; и &man.getty.8;. Добавление строки в <filename>/etc/ttys</filename> В файле /etc/ttys находится список всех портов системы FreeBSD, на которые возможен вход. Например, там находится первая виртуальная консоль ttyv0. Вы можете войти на консоль с помощью этой записи. Файл содержит записи и для других виртуальных консолей, последовательных портов, и псевдо-терминалов. Название файла последовательного порта из каталога /dev приводится без префикса /dev (например, устройство /dev/ttyv0 будет записано как ttyv0). Установка FreeBSD по умолчанию включает файл /etc/ttys с поддержкой первых четырех последовательных портов: от ttyd0 до ttyd3. Если вы подключаете терминал к одному из этих портов, добавлять записи терминалов не потребуется. Добавление записей терминалов в <filename>/etc/ttys</filename> Предположим, вы хотите подключить два терминала к системе: Wyse-50 и старый 286 IBM PC с эмулятором терминала VT-100. Мы подключаем Wyse к второму последовательному порту и 286 к шестому последовательному порту (порт на мультипортовой карте). Соответствующие строки в /etc/ttys будут выглядеть так: ttyd1 "/usr/libexec/getty std.38400" wy50 on insecure ttyd5 "/usr/libexec/getty std.19200" vt100 on insecure Первое поле, как правило, указывает имя специального файла терминала, в соответствии с его именем в /dev. Второе поле — это команда, исполняемая для этого терминала, обычно &man.getty.8;. getty инициализирует и открывает линию, устанавливает ее скорость, приглашает пользователя к вводу имени пользователя, а затем выполняет программу &man.login.1;. Программа getty принимает один (опциональный) параметр в командной строке, тип getty. Тип getty определяет характеристики терминальной линии, такие как значение bps и четность. Программа getty считывает эти характеристики из файла /etc/gettytab. Файл /etc/gettytab содержит множество записей для терминалов, как для старых так и для новых. Почти во всех случаях запись, начинающаяся с текста std, предназначена для работы с аппаратными терминалами. Эти записи игнорируют четность. Запись std есть для каждого значения bps от 110 до 115200. Конечно, вы можете добавить собственные записи в этот файл. Страница справочника &man.gettytab.5; содержит дополнительную информацию. При установке типа getty в файле /etc/ttys убедитесь в наличии соответствующей записи терминала. Например, Wyse-50 не использует четность и соединяется на 38400 bps. 286 PC не использует четность и соединяется на 19200 bps. Третье поле определяет тип терминала, обычно подключаемого к этой линии tty. Для портов входящих соединений обычно используется значение unknown или dialup, поскольку пользователь может подключить практически любой тип терминала или программу. Для аппаратных терминалов тип не меняется, поэтому вы можете поместить в это поле определенный тип терминала из базы данных &man.termcap.5;. Например, Wyse-50 использует реальный тип терминала, а 286 PC, работающий с Procomm, настроен на эмуляцию VT-100. Четвертое поле определяет должен ли порт быть включен. Размещение здесь on укажет процессу init запустить программу, указанную во втором поле, getty. Если вы поместите off в это поле, команда getty не будет запущена и вход на этот порт станет невозможен. Последнее поле используется, чтобы указать, является ли порт безопасным. Пометка порта безопасным означает, что вы доверяете ему достаточно для того, чтобы разрешить учетной записи root (или любой учетной записи с UID 0) входить с этого порта. Небезопасные порты не разрешат вход root. На небезопасном порту пользователи должны войти с через непривилегированную учетную запись, а затем использовать &man.su.1; или подобный механизм для получения привилегий суперпользователя. Настоятельно рекомендуется использовать insecure даже для терминалов, находящихся за закрытыми дверями. Довольно легко использовать su после входа, если вам потребуются привилегии суперпользователя. Заставьте <command>init</command> перечитать <filename>/etc/ttys</filename> После выполнения необходимых изменений в файле /etc/ttys, вам потребуется отправить сигнал SIGHUP (hangup) процессу init, чтобы заставить его перечитать его файл настройки. Например: &prompt.root; kill -HUP 1 init это всегда первый из запущенных в в системе процессов, поэтому его PID всегда 1. Если все установлено правильно, все кабели на месте и терминалы включены, процесс getty должен быть запущен на каждом терминале и вы увидите приглашение ко входу на каждом терминале. Решение проблем с соединением Даже при самом внимательном отношении к деталям, при настройке терминала все же могут возникнуть проблемы. В этом разделе приведен список симптомов и предлагается несколько решений. Не появляется приглашение ко входу Убедитесь, что терминал подключен и его питание включено. Убедитесь, что эмулятор терминала запущен на соответствующем порту. Убедитесь, что кабель хорошо подключен и к терминалу и к компьютеру с FreeBSD. Убедитесь, что правильно выбран тип кабеля. Убедитесь, что терминал и FreeBSD имеют одинаковые установки значения bps и четности. Если у вас видео терминал, убедитесь, что контраст и яркость включены. Если это принт-терминал, убедитесь, что бумага и чернила в порядке. Убедитесь, что процесс getty запущен и обслуживает терминал. Например, для получения списка запущенных процессов getty с помощью ps, выполните: &prompt.root; ps -axww|grep getty Вы должны увидеть строку для соответствующего терминала. Например, если getty запущена на втором последовательном порту ttyd1 и использует запись std.38400 из файла /etc/gettytab, отобразится следующее: 22189 d1 Is+ 0:00.03 /usr/libexec/getty std.38400 ttyd1 Если процесс getty не запущен, убедитесь, что вы включили порт в /etc/ttys. Не забудьте также запустить kill -HUP 1 после изменения файла ttys. Если процесс getty запущен, но на терминале по-прежнему не отображается приглашение ко входу, или если приглашение отображается, но войти невозможно, терминал или кабель, возможно, не поддерживают квитирование связи. Попробуйте изменить поле в /etc/ttys с std.38400 на 3wire.38400. Запись 3wire похожа на std, но игнорирует квитирование связи. Вам может потребоваться уменьшить скорость соединения или включить программный контроль передачи при использовании 3wire для предотвращения переполнений буфера. Вместо приглашения ко входу на экране появляется <quote>мусор</quote> Убедитесь, что терминал и FreeBSD имеют одинаковые установки значения bps и четности. Проверьте процесс getty, чтобы убедиться, что используется подходящий тип getty. Если это не так, отредактируйте /etc/ttys и запустите kill -HUP 1. Символы появляются дважды, пароль отображается при вводе Переключите терминал (или программу эмулятора терминала) с half duplex или local echo на full duplex. Guy Helmer Предоставил Sean Kelly Дополнил Входящие соединения по модему входящие соединения Настройка системы FreeBSD для поддержки входящих соединений очень похожа на подсоединение терминалов за исключением того, что вы работаете с модемами вместо терминалов. Внешние и внутренние модемы Внешние модемы более удобны для дозвона, поскольку легко могут быть настроены с помощью параметров, сохраняемых в энергонезависимой памяти. На них обычно есть индикаторы, отображающие состояние основных RS-232 сигналов. Мигающие индикаторы впечатляют, но кроме того они также очень полезны для индикации правильной работы модема. Внутренние модемы обычно не снабжаются энергонезависимой памятью, поэтому их настройка может ограничиваться установкой DIP переключателей. Если на внутреннем модеме есть индикаторы, их обычно сложно увидеть при закрытой крышке корпуса. Модемы и кабели модем Если вы используете внешний модем, несомненно потребуется подходящий кабель. Стандартный RS-232C кабель должен подойти, если подключены все обычные сигналы: Transmitted Data (SD) Received Data (RD) Request to Send (RTS) Clear to Send (CTS) Data Set Ready (DSR) Data Terminal Ready (DTR) Carrier Detect (CD) Signal Ground (SG) FreeBSD требуются сигналы RTS и CTS для контроля передачи на скоростях выше 2400 bps, сигнал CD для определения, был ли ответ на сигнал или произошло отключение линии, и сигнал DTR для сброса модема после завершения сессии. Некоторые кабели не поддерживают все необходимые сигналы, поэтому, если вы столкнулись с проблемами, например, если сессия не завершается после отсоединения линии, причиной возможно являются проблемы с кабелем. Как и другие &unix; подобные операционные системы, FreeBSD использует аппаратные сигналы для определения того, был ли ответ на звонок или линия была отключена и требуется завершить работу модема и сбросить его в начальное состояние. FreeBSD избегает отправлять команды модему или просматривать отчеты о статусе от модема. Если вы знакомы с настройкой BBS, это может показаться неудобным. Рекомендации по последовательным интерфейсам FreeBSD поддерживает интерфейсы, основанные на NS8250, NS16450, NS16550, и NS16550A EIA RS-232C (CCITT V.24). Устройства 8250 и 16450 снабжены односимвольным буфером. Устройство 16550 снабжено 16-ти символьным буфером, который повышает производительность системы. (Ошибки в 16550 делают невозможным использование 16-символьного буфера, поэтому используйте 16550A если возможно). Поскольку устройства с односимвольным буфером предъявляют большие требования к операционной системе, чем с 16-ти символьным буфером, предпочтительны устройства на 16550A. Если в системе много активных последовательных портов или нагрузка велика, устройства на 16550A лучше подходят для поддержки соединений с малым количеством ошибок. Краткий обзор getty Как и с терминалами, init запускает процесс getty на каждом настроенном для входящих звонков последовательном порту. Например, если модем подключен к /dev/ttyd0, команда ps ax может вывести следующее: 4850 ?? I 0:00.09 /usr/libexec/getty V19200 ttyd0 Когда пользователь дозванивается на подключенный модем, модем выдает сигнал CD (Carrier Detect). Ядро определяет, что несущая обнаружена и завершает открытие порта командой getty. getty отправляет приглашение login: на указанной скорости. getty ожидает в ответ набор символов, и, как правило, получает неправильный набор (обычно это происходит из-за того, что скорость соединения модема отличается от скорости getty). getty пробует подобрать скорость линии до тех пор, пока не получит правильный набор символов. /usr/bin/login После того, как будет введено имя пользователя, getty выполняет /usr/bin/login, которая завершает вход, запрашивая пароль пользователя и запуская оболочку. Файлы настройки Есть три файла настройки системы в каталоге /etc, которые возможно потребуется отредактировать для включения удаленного доступа по модему в FreeBSD. Первый, /etc/gettytab, содержит информацию по настройке даемона /usr/libexec/getty. Второй, /etc/ttys, содержит информацию, указывающую /sbin/init на каких устройствах tty должны быть запущены процессы getty. Наконец, вы можете поместить команды инициализации портов в скрипт /etc/rc.serial. В &unix; есть две школы настройки модемов для входящих соединений. Одна предпочитает настраивать модемы и системы так, что не важно на какой скорости подсоединяется удаленный пользователь. Локальный интерфейс RS-232 компьютер-модем работает на жестко заданной скорости. Преимущество этой настройки в том, что удаленный пользователь всегда сразу видит приглашение ко входу. Обратная сторона в том, что система не знает, какова на самом деле скорость передачи данных, поэтому полноэкранные программы, такие как Emacs, не настраивают свои методы отображения на экране для работы с медленными соединениями. Другая школа настраивает интерфейс RS-232 для работы с различной скоростью в зависимости от скорости подсоединения удаленного пользователя. Например, соединение модемов по протоколу V.32bis (14.4 Кбит/с) установит скорость порта RS-232 равной 19.2 Кбит/с, а соединение на скорости 2400 бит/с установит скорость RS-232 равной 2400 бит/с. Поскольку getty не понимает сообщений модема о скорости соединения, getty выдает приглашение login: на установленной по умолчанию скорости и считывает символы, полученные в ответе. Если пользователь видит мусор вместо приглашения ко входу, это означает, что нужно нажимать Enter до тех пор, пока не появится приглашение ко входу. Если скорости не совпадают, getty получает все, что вводит пользователь, в виде мусора, пробует переключиться на другую скорость и выдает приглашение login: опять. Эта процедура может продолжаться до отвращения, но обычно требуется одно или два нажатия клавиши перед появлением нормально выглядящего приглашения. Очевидно, эта последовательность входа не так хороша, как метод с фиксированной скоростью, но при низкой скорости соединения работать с полноэкранными программами станет проще. В этом разделе делается попытка дать сбалансированную информацию для настройки, но предпочтение будет отдано установке скорости соединения с модемом в соответствие скорости подключения. <filename>/etc/gettytab</filename> /etc/gettytab /etc/gettytab это файл в стиле &man.termcap.5;, содержащей информацию по настройке &man.getty.8;. Пожалуйста, обратитесь к странице справочника &man.gettytab.5; за полной информацией о формате файла и за списком возможностей getty. Настройка фиксированной скорости Если вы зафиксировали скорость соединения модема на определенной скорости, редактировать файл /etc/gettytab скорее всего не потребуется. Настройка изменяемой скорости Вам потребуется сделать запись в /etc/gettytab для предоставления getty информации о скоростях, которые предполагается использовать для модема. Если у вас 2400 бит/с модем, возможно, подойдет существующая запись D2400. # # Fast dialup terminals, 2400/1200/300 rotary (can start either way) # D2400|d2400|Fast-Dial-2400:\ :nx=D1200:tc=2400-baud: 3|D1200|Fast-Dial-1200:\ :nx=D300:tc=1200-baud: 5|D300|Fast-Dial-300:\ :nx=D2400:tc=300-baud: Если у вас более скоростной модем, вам возможно потребуется добавить запись в /etc/gettytab; вот запись, которую вы можете использовать для 14.4 Кбит/с модема с максимальной скоростью интерфейса 19.2 Кбит/с: # # Additions for a V.32bis Modem # um|V300|High Speed Modem at 300,8-bit:\ :nx=V19200:tc=std.300: un|V1200|High Speed Modem at 1200,8-bit:\ :nx=V300:tc=std.1200: uo|V2400|High Speed Modem at 2400,8-bit:\ :nx=V1200:tc=std.2400: up|V9600|High Speed Modem at 9600,8-bit:\ :nx=V2400:tc=std.9600: uq|V19200|High Speed Modem at 19200,8-bit:\ :nx=V9600:tc=std.19200: Эта настройка включает 8-битные соединения без программного контроля четности. В примере выше скорость порта будет переключаться в цикле начиная с 19.2 Кбит/с (для соединения по V.32bis), затем 9600 бит/с (для V.32), 2400 бит/с, 1200 бит/с, 300 бит/с, и обратно на 19.2 Кбит/с. Переключение скоростей в цикле реализовано с помощью nx= (next table). Каждая из линий использует tc= (table continuation) для указания стандартных (std) настроек на каждой скорости. Если у вас 28.8 Кбит/с модем и/или вы хотите получить преимущество от сжатия на скорости 14.4 Кбит/с, потребуются скорости выше, чем 19.2 Кбит/с. Вот пример записи из gettytab для начала соединения на скорости 57.6 Кбит/с: # # Additions for a V.32bis or V.34 Modem # Starting at 57.6 Kbps # vm|VH300|Very High Speed Modem at 300,8-bit:\ :nx=VH57600:tc=std.300: vn|VH1200|Very High Speed Modem at 1200,8-bit:\ :nx=VH300:tc=std.1200: vo|VH2400|Very High Speed Modem at 2400,8-bit:\ :nx=VH1200:tc=std.2400: vp|VH9600|Very High Speed Modem at 9600,8-bit:\ :nx=VH2400:tc=std.9600: vq|VH57600|Very High Speed Modem at 57600,8-bit:\ :nx=VH9600:tc=std.57600: Если у вас медленный CPU или сильно загруженная система без последовательных портов на базе 16550A, на скорости 57.6 Кбит/с могут возникнуть ошибки sio silo. <filename>/etc/ttys</filename> /etc/ttys Настройка файла /etc/ttys была описана в разделе . Настройка модемов похожа, но потребуется передавать getty различные аргументы и указывать различные типы терминалов. Общий формат для фиксированной и переменной скорости такой: ttyd0 "/usr/libexec/getty xxx" dialup on Первый пункт в строке выше это специальный файл устройства для этой записи — ttyd0 означает, что getty будет запущена на /dev/ttyd0. Второй пункт, "/usr/libexec/getty xxx" (xxx будет замещено на запись из gettytab для начальной скорости), это процесс, который будет запущен на данном устройстве. Третий пункт, dialup, это тип терминала по умолчанию. Четвертый параметр, on, указывает init, что линия включена. Может быть пятый параметр, secure, но он должен использоваться только для терминалов, которые физически безопасны (таких как системная консоль). Тип терминала по умолчанию (dialup в примере выше) может зависеть от личных предпочтений. dialup это традиционный тип терминала по умолчанию на линиях для дозвона, который позволяет пользователям, зная что тип терминала dialup, автоматически настраивать свой тип терминала. Однако, автор находит более легким указание vt102 в качестве типа терминала по умолчанию, поскольку пользователи работают на своих удаленных системах с эмулятором терминала VT102. После внесения изменений в /etc/ttys, вы можете отправить процессу init сигнал HUP перечитать файл. Используйте команду &prompt.root; kill -HUP 1 для отправки сигнала. Если вы настраиваете систему в первый раз, то возможно захотите подождать, пока модем(ы) правильно настроятся и соединятся перед отправкой сигнала init. Настройка фиксированной скорости Для настройки соединения с фиксированной скоростью, в файле ttys должна быть запись с фиксированной скоростью для getty. Для модема, скорость порта которого фиксирована на значении 19.2 Кбит/с, строка в ttys может выглядеть так: ttyd0 "/usr/libexec/getty std.19200" dialup on Если скорость модема фиксирована на другом значении, подставьте соответствующее значение в std.speed вместо std.19200. Убедитесь, что вы используете тип, описанный в /etc/gettytab. Настройка переменной скорости В настройке с переменной скоростью, запись в ttys должна обращаться к соответствующей auto-baud (sic) записи в /etc/gettytab. Например, если вы добавите предложенную выше запись для подключения модема с переменной скоростью, которая начинается с 19.2 Кбит/с (запись в gettytab начинается с V19200), запись в ttys может выглядеть так: ttyd0 "/usr/libexec/getty V19200" dialup on <filename>/etc/rc.serial</filename> файлы rc rc.serial Для высокоскоростных модемов, таких как V.32, V.32bis и V.34, требуется использование аппаратного контроля передачи (RTS/CTS). Вы можете добавить команды stty к файлу /etc/rc.serial для установки флага аппаратного контроля передачи в ядре FreeBSD для модемных портов. Например, для установки флага termios crtscts на последовательном порту номер 1 (COM2) при инициализации устройств для входящей и исходящей связи, в /etc/rc.serialдолжны быть добавлены следующие строки: # Serial port initial configuration stty -f /dev/ttyid1 crtscts stty -f /dev/cuaia1 crtscts Настройка модема Если параметры вашего модема могут быть сохранены в энергонезависимой памяти, потребуется использовать терминальную программу (например, Telix под &ms-dos; или tip под FreeBSD) для установки параметров. Подсоединитесь к модему, используя ту же скорость соединения, которую использует getty в качестве начальной скорости, и настройте модем для соответствия следующим требованиям: CD включен после соединения DTR включен во время работы; сброс DTR отключает линию и переводит модем в начальное состояние CTS контроль переданных данных Контроль потока XON/XOFF отключен RTS контроль принятых данных Тихий режим (без кодов возврата) Эхо команд отключено Прочтите документацию на модем для определения какие команды и/или DIP переключатели требуются чтобы установить эти настройки. Например, для установки вышеуказанных параметров на внешнем 14,400 модеме &usrobotics; &sportster;, требуется отправить модему следующие команды: ATZ AT&C1&D2&H1&I0&R2&W Вы, возможно, захотите настроить и другие параметры модема, такие как использование сжатия V.42bis и/или MNP5. Внешний &usrobotics; &sportster; 14,400 модем также снабжен некоторыми DIP переключателями, которые требуется установить; для других модемов эти настройки могут быть использованы в качестве примера: Переключатель 1: вверх — нормальный DTR Переключатель 2: N/A (визуальные коды возврата/числовые коды возврата) Переключатель 3: вверх — подавление кодов возврата Переключатель 4: вниз — без эхо, offline команды Переключатель 5: вверх — авто ответ Переключатель 6: вверх — нормальный контроль несущей Переключатель 7: вверх — загрузить установки по умолчанию из NVRAM Переключатель 8: N/A (Smart/Dumb режимы) Коды возврата должны быть отключены/подавлены для устранения проблем, которые могут возникнуть, если getty ошибочно выдаст приглашение login: модему в командном режиме и модем вернет (echo) эту команду или код возврата. Эта последовательность может привести к дополнительному и бессмысленному обмену командами между getty и модемом. Настройка фиксированной скорости Для настройки фиксированной скорости вам потребуется настроить модем с поддержкой постоянной скорости обмена данными модем-компьютер независимо от скорости соединения. На внешнем модеме &usrobotics; &sportster; 14,400 эти команды зафиксируют скорость передачи модем-компьютер на скорости, которая установлена при выполнении команды: ATZ AT&B1&W Настройка переменной скорости Для настройки переменной скорости вам потребуется настроить модем с поддержкой изменения скорости передачи данных через последовательный порт в соответствии через скоростью соединения. Следующие команды зафиксируют скорость передачи данных с коррекцией ошибок внешнего модема &usrobotics; &sportster; 14,400 на значении, которое установлено при выполнении команды, но сделают возможным изменение скорости последовательного порта для соединений без коррекции ошибок: ATZ AT&B2&W Проверка настроек модема Большинство высокоскоростных модемов предоставляют команды для просмотра текущих параметров модема в виде, отчасти приспособленном для чтения. Для внешних модемов &usrobotics; &sportster; 14,400 команда ATI5 отображает установки, сохраненные в энергонезависимой памяти. Для просмотра действующих параметров модема (с учетом положения DIP переключателей), используйте команду ATZ, а затем ATI4. Если ваш модем другого производителя, проверьте руководство к модему для аккуратной проверки параметров настройки модема. Решение проблем Вот несколько шагов, которые нужно выполнить для проверки настроек. Проверьте систему FreeBSD Подсоедините модем к системе FreeBSD, загрузите систему, и, если на модеме есть индикаторы, посмотрите, загорелся ли индикатор DTR при появлении приглашения login: на системной консоли — если он загорелся, это означает, что FreeBSD запустила процесс getty на соответствующем коммуникационном порту и модем ожидает входящего звонка. Если индикатор DTR не загорелся, войдите на консоль системы FreeBSD и выполните команду ps ax, чтобы увидеть, пытается ли FreeBSD запустить процесс getty на соответствующем порту. Вы должны увидеть строки вроде этих среди показанных процессов: 114 ?? I 0:00.10 /usr/libexec/getty V19200 ttyd0 115 ?? I 0:00.10 /usr/libexec/getty V19200 ttyd1 Если вы видите что-то другое, вроде этого: 114 d0 I 0:00.10 /usr/libexec/getty V19200 ttyd0 и модем все еще не принимает звонок, это означает, что getty завершила открытие коммуникационного порта. Это может означать проблему с кабелем или неправильную настройку модема, поскольку getty не должна открывать коммуникационный порт, пока модем не установит CD (обнаружение несущей). Если вы не видите процессов getty, ожидающих открытия соответствующего порта ttydN, внимательно проверьте записи в /etc/ttys и попробуйте найти ошибки, если они есть. Проверьте также лог файл /var/log/messages, нет ли там сообщений от init или getty, имеющих отношение к проблеме. Если сообщения есть, проверьте еще раз файлы настройки /etc/ttys и /etc/gettytab, как и соответствующие специальные файлы устройств /dev/ttydN, чтобы обнаружить ошибки, отсутствующие записи или отсутствующие специальные файлы устройств. Попробуйте позвонить на модем Попробуйте дозвониться до системы; убедитесь, что используете 8 бит без четности и 1 стоп бит на удаленной системе. Если вы не получите приглашение сразу, или получите случайные данные, попробуйте нажимать Enter примерно раз в секунду. Если вы все еще не видите приглашения login: после нескольких попыток, попробуйте отправить команду BREAK. Если вы используете для дозвона высокоскоростной модем, попробуйте позвонить еще раз после фиксирования скорости интерфейса дозванивающегося модема (например, с помощью команды AT&B1 для модема &usrobotics; &sportster;). Если вы все еще не можете получить приглашение login:, проверьте /etc/gettytab еще раз и убедитесь, что Имя параметра getty, указанного в /etc/ttys, совпадает с именем параметра в /etc/gettytab Каждая запись nx= соответствует имени другой записи в gettytab Каждая запись tc= соответствует имени другой записи в gettytab Если система FreeBSD не отвечает на звонок, убедитесь, что модем настроен для ответа на звонок при включении DTR. Если модем настроен правильно, проверьте, что DTR включается, взглянув на индикаторы модема (если они есть). Если вы проверили все несколько раз и все еще не добились результата, сделайте перерыв и вернитесь к настройкам позже. Если опять ничего не получилось, возможно вам потребуется отправить письмо в рассылку &a.questions;, описав модем и возникшую проблему, участники рассылки попробуют помочь вам. Исходящие соединения по модему исходящие соединения Текст, приведенный ниже, это советы, позволяющие настроить ваш хост для доступа к другому компьютеру через модем. Они подходят для установления терминальной сессии с удаленным хостом. Это подходит для входа на BBS. Этот вид соединения может очень выручить, если требуется получить файл из интернет и есть проблемы с PPP. Если вам требуется зайти куда-то по FTP, а PPP не работает, используйте терминальную сессию для получения файла по FTP. Затем используйте zmodem для сброса его на свой компьютер. Мой модем Stock Hayes не поддерживается, что я могу сделать? На самом деле, страница руководства для tip устарела. Встроенная поддержка generic Hayes уже есть. Используйте at=hayes в файле /etc/remote. Драйвер Hayes не умеет работать с некоторыми расширенными возможностями более новых модемов — сообщения вроде BUSY, NO DIALTONE, или CONNECT 115200. Вы должны отключить эти сообщения при использовании tip (с помощью ATX0&W). Таймаут дозвона для tip составляет 60 секунд. Ваш модем должен использовать меньшее значение, или tip решит, что возникли проблемы со связью. Попробуйте ATS7=45&W. Оригинальная tip не полностью поддерживает модемы Hayes. Решить это проблему можно отредактировав файл tipconf.h в каталоге /usr/src/usr.bin/tip/tip. Конечно, для этого вам потребуются исходные тексты. Замените строку #define HAYES 0 на #define HAYES 1. Затем выполните make и make install. После этого все должно работать отлично. Как нужно выполнять команды AT? /etc/remote Сделайте то, что называется прямой записью в файле /etc/remote. Например, если модем подключен к первому последовательному порту, /dev/cuaa0, добавьте следующую строку: cuaa0:dv=/dev/cuaa0:br#19200:pa=none Используйте для br наибольшее значение bps, поддерживаемое модемом. Для подключения к модему выполните tip cuaa0. Если в системе нет устройства /dev/cuaa0, выполните: &prompt.root; cd /dev &prompt.root; sh MAKEDEV cuaa0 Или используйте cu под root так: &prompt.root; cu -lline -sspeed line это последовательный порт (например /dev/cuaa0), а speed это скорость (например 57600). После ввода команд AT наберите ~. для выхода. Знак <literal>@</literal> не работает для pn! Знак @ в телефонном номере указывает tip взять телефонный номер из /etc/phones. Но знак @ это также специальный символ в таких файлах как /etc/remote. Экранируйте его с помощью обратной косой черты: pn=\@ Как я могу позвонить по телефонному номеру из командной строки? Поместите так называемую generic запись в файл /etc/remote. Например: tip115200|Dial any phone number at 115200 bps:\ :dv=/dev/cuaa0:br#115200:at=hayes:pa=none:du: tip57600|Dial any phone number at 57600 bps:\ :dv=/dev/cuaa0:br#57600:at=hayes:pa=none:du: Затем вы можете сделать следующее: &prompt.root; tip -115200 5551234 Если вы предпочитаете cu команде tip, используйте generic запись для cu: cu115200|Use cu to dial any number at 115200bps:\ :dv=/dev/cuaa1:br#57600:at=hayes:pa=none:du: и выполните: &prompt.root; cu 5551234 -s 115200 Должен ли я вводить значение bps каждый раз? Создайте запись tip1200 или cu1200, но используйте то значение bps, которое записано в поле br. tip считает, что хорошее значение по умолчанию это 1200 bps, поэтому обращается к записи tip1200. Тем не менее, значение bps будет другим. Я получаю доступ ко множеству хостов через терминальный сервер Вместо ожидания соединения и ввода каждый раз CONNECT <host>, используйте возможность tip cm. Вот пример записи в /etc/remote: pain|pain.deep13.com|Forrester's machine:\ :cm=CONNECT pain\n:tc=deep13: muffin|muffin.deep13.com|Frank's machine:\ :cm=CONNECT muffin\n:tc=deep13: deep13:Gizmonics Institute terminal server:\ :dv=/dev/cuaa2:br#38400:at=hayes:du:pa=none:pn=5551234: Она позволит вам вводить tip pain или tip muffin для соединения с хостами pain или muffin, и tip deep13 для доступа к терминальному серверу. Может ли tip соединяться более через одну линию для каждого сайта? Эта проблема часто возникает в университете, где несколько модемных линий и несколько тысяч студентов, пытающихся их использовать. Создайте запись для университета в /etc/remote и используйте @ для pn: big-university:\ :pn=\@:tc=dialout dialout:\ :dv=/dev/cuaa3:br#9600:at=courier:du:pa=none: Затем, создайте список телефонов для университета в /etc/phones: big-university 5551111 big-university 5551112 big-university 5551113 big-university 5551114 tip попробует связаться с каждым в указанном порядке, затем прекратит попытки. Если вы хотите продолжать соединяться, запустите tip в цикле. Почему я должен дважды нажать <keycombo action="simul"> <keycap>Ctrl</keycap> <keycap>P</keycap> </keycombo> для отправки <keycombo action="simul"> <keycap>Ctrl</keycap> <keycap>P</keycap> </keycombo> один раз? CtrlP это управляющий символ по умолчанию, используемый для указания tip того, что далее идут символьные данные. Вы можете сделать любой другой символ управляющим с помощью экранирования ~s, которое означает установить переменную. Введите ~sforce=single-char, завершив ввод новой строкой. single-char это любой одиночный символ. Если вы не введете single-char, управляющим символом станет nul, который можно получить, введя Ctrl2 или CtrlSpace . Хорошее значение для single-char это Shift Ctrl 6 , которое используется только на некоторых терминальных серверах. Вы можете использовать в качестве управляющего символа все, что захотите, поместив его в файл $HOME/.tiprc: force=<single-char> Почему все, что я ввожу, вдруг стало отображаться в верхнем регистре?? Вы нажали Ctrl A , повышающий символ tip, который был специально введен для тех, у кого не работает клавиша caps-lock. Используйте ~s как в примере выше для установки переменной raisechar в подходящее значение. Фактически, вы можете установить ее в то же значение, что и управляющий символ, если не собираетесь использовать ни один из них. Вот пример .tiprc, отлично подходящий для пользователей Emacs, которым часто требуется вводить Ctrl2 и CtrlA : force=^^ raisechar=^^ Символ ^^ это ShiftCtrl6 . Могу ли я передавать файлы с помощью <command>tip</command>? Если вы соединяетесь с другой системой &unix;, возможны передача и прием файлов с помощью команды ~p (put) и ~t (take). Эти команды запускают cat и echo в удаленной системе для приема и передачи файлов. Синтаксис следующий: ~p local-file remote-file ~t remote-file local-file Коррекции ошибок нет, поэтому возможно лучше использовать другой протокол, например zmodem. Как мне запустить zmodem с <command>tip</command>? Для получения файла запустите отправляющую программу на удаленной стороне. Затем, наберите ~C rz для начала локального приема файла. Для отправки файлов запустите принимающую программу на удаленной стороне. Затем, наберите ~C sz файлы для отправки их на удаленную систему. Kazutaka YOKOTA Предоставил Bill Paul Оригинальный документ написал Настройка последовательной консоли последовательная консоль Введение FreeBSD может загружаться при использовании в качестве консоли текстового терминала на последовательном порту. Такая конфигурация может быть полезна в двух случаях: для системных администраторов, устанавливающих FreeBSD на компьютеры без подключенных клавиатуры или монитора, и для разработчиков, производящих отладку ядра или драйверов устройств. Как описано в , процесс загрузки FreeBSD состоит из трех стадий. Первые две стадии реализованы в блоке загрузки, находящемся в начале слайса FreeBSD на загрузочном диске. На третей стадии загрузочный блок запускает загрузчик (/boot/loader). Для настройки последовательной консоли вам потребуется настроить блок загрузки, загрузчик и ядро. + + Настройка последовательной консоли, краткая версия + + В этом разделе предполагается, что вы используете настройки + по умолчанию, знаете как подключиться к последовательным портам + и просто хотите увидеть краткий обзор настройки последовательной + консоли. Если эти шаги вызывают у вас затруднения, обратитесь + к более подробному разъяснению всех этих параметров и расширенных + настроек в . + + + + + Подключитесь к последовательному порту. Последовательная + консоль будет на COM1. + + + + Выполните echo -h > /boot.config для + включения последовательной консоли для загрузчика и ядра. + + + + Отредактируйте /etc/ttys и измените + off на on для записи + ttyd0. Это включит приглашение на вход + на последовательной консоли так же, как обычно настраиваются + видео консоли. + + + + Команда shutdown -r now перезагрузит + систему с включенной последовательной консолью. + + + + + + Настройка последовательной консоли Подготовьте кабель. нуль-модемный кабель Вам потребуется нуль-модемный или стандартный последовательный кабель и нуль-модемный адаптер. Обратитесь к разделу , где рассматриваются последовательные кабели. Отключите клавиатуру. Большинство систем PC тестируют клавиатуру во время включения (POST) и выдают ошибку если клавиатура не обнаружена. Некоторые системы при отсутствии клавиатуры выдают звуковой сигнал и не загружаются пока клавиатура не будет подключена. Если компьютер сообщает об ошибке, но все же загружается, вам не потребуется делать что-то еще. (Некоторые компьютеры с Phoenix BIOS просто сообщают Keyboard failed и продолжают загрузку). Если компьютер не загружается без клавиатуры, вам потребуется настроить BIOS так, чтобы отсутствие клавиатуры игнорировалось (если это возможно). Обратитесь к руководству по материнской плате за деталями о том, как это сделать. Установка параметра клавиатуры Not installed в настройках BIOS не означает, что вы не сможете использовать клавиатуру. Все, что делает этот параметр — указывает BIOS не тестировать клавиатуру во время загрузки, поэтому ее отсутствие не вызывает ошибки. Вы можете оставить клавиатуру подключенной, даже если с флагом Not installed и она все еще будет работать. Если в к системе подключена &ps2; мышь, отключите ее, как и клавиатуру. Мышь &ps2; использует часть оборудования совместно с клавиатурой, поэтому если оставить ее подключенной, тестирование клавиатуры может ошибочно выдать наличие последней. Например, система Gateway 2000 Pentium 90 MHz ведет себя именно так. К тому же, это не проблема, поскольку мышь без клавиатуры как правило не нужна. Подключите текстовый терминал к COM1 (sio0). Если у вас нет текстового терминала, используйте старый PC/XT с модемной программой, или последовательный порт на другом компьютере &unix;. Если порта COM1 (sio0) нет, подключите его. На данный момент нет способа использовать другой порт вместо COM1 без перекомпиляции загрузочных блоков. Если вы уже используете COM1 для подключения другого устройства, временно удалите это устройство установите новый загрузочный блок и ядро как только FreeBSD заработает. (Предполагается, что COM1 будет доступен на файловом/вычислительном/терминальном сервере в любом случае; если вам действительно требуется COM1 для чего-то другого (и вы не можете переключить это на COM2 (sio1)), возможно не стоит беспокоиться об этом сейчас.) Убедитесь, что в файле настройки ядра установлены соответствующие флаги для COM1 (sio0). Подходящие флаги такие: 0x10 Включает поддержку консоли для этого устройства. Если установлен этот флаг, другие игнорируются. На данный момент поддержка консоли может быть включена не более чем на одном устройстве; предпочтительно на первом (в соответствии с порядком в конфигурационном файле) с установкой этого флага. Эта опция сама по себе не сделает последовательный порт консолью. Установите следующий флаг или используйте опцию , описанную ниже, вместе с этим флагом. 0x20 Включает поддержку консоли на устройстве (если нет другой консоли с более высоким приоритетом), независимо от наличия описываемой ниже опции . Этот флаг заменил опцию COMCONSOLE в FreeBSD версий 2.X. Флаг 0x20 должен использоваться вместе с флагом . 0x40 Резервирует это устройство (совместно с флагом 0x10) и делает устройство недоступным для обычной работы. Вы не должны использовать этот флаг для устройства последовательного порта, которое будет использоваться в качестве последовательной консоли. Используйте этот флаг только если устройство предназначено для удаленной отладки ядра. Обратитесь к Руководству для разработчиков за дополнительной информацией по удаленной отладке. В FreeBSD 4.0 или выше семантика флага 0x40 немного другая и для удаленной отладки используется другой флаг. Пример: device sio0 at isa? port IO_COM1 flags 0x10 irq 4 Обратитесь к странице справочника &man.sio.4; за подробностями. Если флаги не были установлены, вам потребуется запустить UserConfig (на другой консоли) или пересобрать ядро. Создайте boot.config в корневом каталоге раздела a на загрузочном диске. Этот файл сообщит загрузочному блоку способ загрузки системы. Для активации последовательной консоли вам потребуется одна или несколько следующих опций — несколько опций могут быть указаны на одной строке: Переключает внутреннюю и последовательную консоль. Вы можете использовать ее для переключения устройств консоли. Например, при загрузке с внутренней (видео) консоли, вы можете использовать для запуска загрузчика и ядра с использованием последовательного порта в качестве устройства консоли. При загрузке с последовательной консоли, вы можете использовать опцию для указания загрузчику и ядру использовать в качестве консоли видео дисплей. Переключает одно- и двухконсольную конфигурации. В одноконсольной конфигурации консоль может быть либо внутренней (видео дисплей), либо последовательным портом, в зависимости от состояния опции . В двухконсольной конфигурации и видео дисплей и последовательный порт станут консолями одновременно, независимо от состояния опции . Имейте ввиду, что конфигурация с двумя консолями работает только во время работы загрузочного блока. Как только управление переходит к загрузчику, остается только одна консоль, указанная опцией . Указывает загрузочному блоку протестировать клавиатуру. Если клавиатура не найдена, автоматически устанавливаются параметры и . По причине ограничений на размер в существующей версии загрузочного блока, опция может протестировать только расширенные клавиатуры. Клавиатуры с менее чем 101 клавишами (и без клавиш F11 и F12) могут быть не обнаружены. Клавиатуры некоторых лэптопов могут быть не найдены из-за этого ограничения. Если это случилось, вы не сможете использовать опцию . К сожалению, не существует обходного пути решения этой проблемы. Используйте или опцию для автоматического выбора консоли, или опцию для активации последовательной консоли. Вы можете включить также другие опции, описанные в &man.boot.8;. Опции, за исключением , будут переданы загрузчику (/boot/loader). Загрузчик определит будет ли консолью внутреннее видео устройство или последовательный порт, проверив только состояние опции . Это означает, что если вы включите в /boot.config опцию , но не , то сможете использовать консоль только во время работы загрузочного блока; загрузчик будет использовать внутреннее видео устройство в качестве консоли. Загрузите компьютер. Когда вы включите компьютер FreeBSD, загрузочный блок выведет содержимое /boot.config на консоль. Например: /boot.config: -P Keyboard: no Вторая строка появится только если вы поместите в /boot.config и отражает наличие/отсутствие клавиатуры. Эти сообщения выводятся либо на последовательную, либо на внутреннюю консоль, или на обе, в зависимости от параметров в /boot.config. Опции Сообщения выводятся на нет внутренняя консоль последовательная консоль последовательная и внутренняя консоли последовательная и внутренняя консоли , клавиатура присутствует внутренняя консоль , клавиатура отсутствует последовательная консоль После вывода вышеприведенных сообщений, происходит небольшая пауза перед тем, как запускается загрузчик и на консоли появляются следующие сообщения. В нормальной ситуации вам не потребуется прерывать загрузку в этот момент, но это можно сделать, чтобы убедиться, что все настроено правильно. Нажмите на консоли любую клавишу кроме Enter для прерывания процесса загрузки. Загрузочный блок выдаст приглашение к дальнейшим действиям. Оно выглядит примерно так: >> FreeBSD/i386 BOOT Default: 0:ad(0,a)/boot/loader boot: Убедитесь, что сообщение выше появилось на последовательной, внутренней консоли или на обеих, в зависимости от опций в /boot.config. Если сообщение появилось там, где должно было появиться, нажмите Enter для продолжения процесса загрузки. Если вам нужна последовательная консоль, но на терминале не видно приглашения, это означает проблемы с настройками. Введите и нажмите Enter/Return (если это возможно) для указания загрузочному блоку (а также загрузчику и ядру) выбрать последовательный порт в качестве консоли. Когда система загрузится, проверьте настройки еще раз и определите, что было сделано неправильно. После запуска загрузчика и перехода в третью стадию процесса загрузки вы все еще можете переключиться между внутренней консолью и последовательной консолью путем установки соответствующих переменных окружения в загрузчике. Обращайтесь к разделу . Итоги Здесь приведены краткие итоги по различным настройкам, рассмотренным в этом разделе и выбираемым в соответствии с ними консолям. Вариант 1: вы устанавливаете для <devicename>sio0</devicename> флаги 0x10 device sio0 at isa? port IO_COM1 flags 0x10 irq 4 Параметры в /boot.config Консоль для загрузочного блока Консоль для загрузчика Консоль для ядра нет внутренняя внутренняя внутренняя последовательная последовательная последовательная последовательная и внутренняя внутренняя внутренняя последовательная и внутренняя последовательная последовательная , клавиатура присутствует внутренняя внутренняя внутренняя , клавиатура отсутствует последовательная и внутренняя последовательная последовательная Вариант 2: вы устанавливаете для <devicename>sio0</devicename> флаги 0x30 device sio0 at isa? port IO_COM1 flags 0x30 irq 4 Параметры в /boot.config Консоль для загрузочного блока Консоль для загрузчика Консоль для ядра нет внутренняя внутренняя последовательная последовательная последовательная последовательная последовательная и внутренняя внутренняя последовательная последовательная и внутренняя последовательная последовательная , клавиатура присутствует внутренняя внутренняя последовательная , клавиатура отсутствует последовательная и внутренняя последовательная последовательная Приемы работы с последовательной консолью Установка более высокой скорости порта По умолчанию, последовательный порт настроен так: 9600 бит/с, 8 бит, без четности, 1 стоп бит. Если вам необходимо изменить скорость, потребуется перекомпиляция как минимум загрузочных блоков. Добавьте следующую строку к /etc/make.conf и скомпилируйте новый загрузочный блок: BOOT_COMCONSOLE_SPEED=19200 Если последовательная консоль настраивается не путем установки параметра , или последовательная консоль, используемая ядром, отличается от той, что используется загрузочным блоком, потребуется добавить следующие опции к файлу настройки ядра и собрать новое ядро: options CONSPEED=19200 Использование для консоли другого последовательного порта вместо <devicename>sio0</devicename> Использование другого последовательного порта вместо sio0 для консоли потребует кое-какой перекомпиляции. Если вы по каким-либо причинам хотите использовать другой последовательный порт, перекомпилируйте загрузочный блок, загрузчик и ядро согласно приведенной ниже инструкции. Получите исходные тексты ядра (глава ) Отредактируйте /etc/make.conf и установите BOOT_COMCONSOLE_PORT в соответствии с адресом порта, который вы хотите использовать (0x3F8, 0x2F8, 0x3E8 или 0x2E8). Могут быть использованы только устройства от sio0 до sio3 (от COM1 до COM4); мультипортовые последовательные карты не будут работать. Установка прерываний не требуется. Создайте файл настройки ядра и добавьте соответствующие флаги для порта, который планируется использовать. Например, если вы хотите использовать для консоли sio1 (COM2): device sio1 at isa? port IO_COM2 flags 0x10 irq 3 или device sio1 at isa? port IO_COM2 flags 0x30 irq 3 Флаги для других последовательных устройств не устанавливайте. Соберите и установите загрузочный блок и загрузчик: &prompt.root; cd /sys/boot &prompt.root; make &prompt.root; make install Соберите и установите ядро. Запишите загрузочный блок на загрузочный диск с помощью &man.disklabel.8; и загрузитесь с новым ядром. - + Вход в отладчик DDB с последовательной линии Если вы хотите войти в отладчик ядра с последовательной консоли (полезно для удаленной диагностики, но опасно если вы введете неправильный BREAK на последовательном порту!), потребуется собрать ядро со следующими параметрами: options BREAK_TO_DEBUGGER options DDB Получение приглашения на последовательной консоли Хотя это не обязательно, вам может потребоваться приглашение login по последовательной линии, в дополнение к уже доступным загрузочным сообщениям и отладочной сессии ядра. Здесь описано как сделать это. Откройте файл /etc/ttys с помощью редактора и найдите строки: ttyd0 "/usr/libexec/getty std.9600" unknown off secure ttyd1 "/usr/libexec/getty std.9600" unknown off secure ttyd2 "/usr/libexec/getty std.9600" unknown off secure ttyd3 "/usr/libexec/getty std.9600" unknown off secure Строки от ttyd0 до ttyd3 соответствуют портам от COM1 до COM4. Измените off на on для требуемого порта. Если вы изменили скорость последовательного порта, может потребоваться изменить std.9600 для соответствия текущим настройкам, например std.19200. Возможно, вы захотите заменить тип терминала unknown на тип реально используемого терминала. После редактирования файла потребуется выполнить kill -HUP 1 для включения новых настроек. Изменение консоли из загрузчика Предыдущий раздел описывает настройку последовательной консоли изменением параметров загрузочного блока. Этот раздел показывает, как указать консоль, вводя команды и переменные окружения для загрузчика. Поскольку загрузчик загружается после загрузочного блока, на третьей стадии загрузочного процесса, настройки загрузчика превалируют над настройками загрузочного блока. Настройка последовательной консоли Вы можете прямо указать загрузчику и ядру использовать последовательную консоль, записав одну строку в /boot/loader.rc: set console=comconsole Это сработает независимо от настроек загрузочного блока, рассмотренных в предыдущем разделе. Поместите эту строку в самое начало /boot/loader.rc, чтобы увидеть на последовательной консоли все загрузочные сообщения. Вы можете также указать внутреннюю консоль: set console=vidconsole Если вы не установите переменную загрузчика console, загрузчик, а затем и ядро будут использовать ту консоль, которая установлена параметром для загрузочного блока. В версиях 3.2 или выше, вы можете указать консоль в /boot/loader.conf.local или /boot/loader.conf вместо /boot/loader.rc. С этим методом /boot/loader.rc должен выглядеть примерно так: include /boot/loader.4th start Затем, создайте /boot/loader.conf.local и поместите туда следующую строку. console=comconsole или console=vidconsole Обращайтесь к &man.loader.conf.5; за дополнительной информацией. На данный момент у загрузчика нет параметра, эквивалентного параметру загрузочного блока и нет способа автоматического выбора внутренней и последовательной консоли в зависимости от наличия клавиатуры. Использование для консоли отличного от <devicename>sio0</devicename> последовательного порта Вам потребуется перекомпилировать загрузчик для использования отличного от sio0 последовательного порта в качестве консоли. Следуйте процедуре, описанной в разделе . Предостережения Идея в том, чтобы настроить выделенный сервер, который не требует графического оборудования или подсоединенной клавиатуры. К сожалению, хотя многие системы способны загрузиться без клавиатуры, есть совсем немного систем, способных загрузиться без графического адаптера. Компьютеры с AMI BIOS могут быть настроены для загрузки без графического адаптера простой установкой параметра настройки CMOS graphics adapter в значение Not installed. Однако, многие компьютеры не поддерживают этот параметр и не смогут загрузиться без графического оборудования. Для этих компьютеров вам потребуется оставить подключенной любую графическую карту (даже если это просто старая моно карта), хотя монитор и не подключен.