diff --git a/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml b/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml index 68b0a2c6a2..ab189cdf54 100644 --- a/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/advanced-networking/chapter.sgml @@ -1,5195 +1,5235 @@ 高级网络 概述 本章将就一系列与网络有关的高级话题进行讨论。 读完这章，您将了解： 关于网关和路由的基础知识。 如何配置 &ieee; 802.11 和 &bluetooth; 设备。 如何用 FreeBSD 做网桥。 如何为无盘机上配置网络启动。 如何配置网络地址转换 (NAT)。 如何使用 PLIP 连接两台计算机。 如何在运行 FreeBSD 的计算机上配置 IPv6。 如何配置 ATM。 如何利用 CARP， &os; 支持的 - Common Access Redundancy Protocol (共用地址冗余协议) + Common Address Redundancy Protocol (共用地址冗余协议) 在读这章之前， 您应： 理解 /etc/rc 脚本的基本知识。 熟悉基本的网络术语。 了解如何配置和安装新的 FreeBSD 内核 ()。 了解如何安装第三方软件 ()。 Coranth Gryphon 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 网关和路由 路由 网关 子网 要让网络上的两台计算机能够相互通讯， 就必须有一种能够描述如何从一台计算机到另一台计算机的机制， 这一机制称作 路由选择(routing)。 路由项 是一对预先定义的地址： 目的地(destination) 和 网关(gateway)。 这个地址对所表达的意义是， 通过 网关 能够完成与 目的地 的通信。 有三种类型的目的地址： 单个主机、 子网、 以及 默认。 如果没有可用的其它路由， 就会使用 默认路由， 有关默认路由的内容， 将在稍后的章节中进行讨论。 网关也有三种类型： 单个主机， 网络接口 (也叫 链路 (links)) 和以太网硬件地址 (MAC 地址)。 实例 为了说明路由选择的各个部分， 首先来看看下面的例子。 这是 netstat 命令的输出： &prompt.user; netstat -r Routing tables Destination Gateway Flags Refs Use Netif Expire default outside-gw UGSc 37 418 ppp0 localhost localhost UH 0 181 lo0 test0 0:e0:b5:36:cf:4f UHLW 5 63288 ed0 77 10.20.30.255 link#1 UHLW 1 2421 example.com link#1 UC 0 0 host1 0:e0:a8:37:8:1e UHLW 3 4601 lo0 host2 0:e0:a8:37:8:1e UHLW 0 5 lo0 => host2.example.com link#1 UC 0 0 224 link#1 UC 0 0 默认路由 头两行给出了当前配置中的默认路由 (将在 下一节 中进行介绍) 和 localhost (本机) 路由。 回环设备 这里的路由表中给出的用于 localhost 的接口 (Netif 列) 是 lo0， 也就是大家熟知的 回环设备。 它表示所有以此为 目的地 的通信都留在本机， 而不通过 LAN 发出， 因为这些流量最终会回到起点。 以太网 MAC 地址 接着出现的是以 0:e0: 开头的地址。这些是以太网硬件地址，也称为 MAC 地址。 FreeBSD 会自动识别在同一个以太网中的任何主机 (如 test0)， 并为其新增一个路由， 并通过那个以太网接口 — ed0 直接与它通讯 (译者注：那台主机)。与这类路由表相关的也有一个超时项 (Expire列)，当我们在指定时间内没有收到从那个主机发来的信息， 这项就派上用场了。这种情况下，到这个主机的路由就会被自动删除。 这些主机被使用一种叫做RIP(路由信息协议--Routing Information Protocol)的机制所识别，这种机制利用基于最短路径选择 (shortest path determination)的办法计算出到本地主机的路由。 子网 FreeBSD 也会为本地子网添加子网路由(10.20.30.255 是子网 10.20.30 的广播地址，而 example.com 是这个子网相联的域名)。 名称 link#1 代表主机上的第一块以太网卡。 您会发现，对于它们没有指定另外的接口。 这两个组(本地网络主机和本地子网)的路由是由守护进程 routed 自动配置的。如果它没有运行， 那就只有被静态定义 (例如，明确输入的) 的路由才存在了。 host1 行代表我们的主机，它通过以太网地址来识别。 因为我们是发送端，FreeBSD知道使用回环接口 (lo0) 而不是通过以太网接口来进行发送。 两个 host2 行是我们使用 &man.ifconfig.8; 别名 (请看关于以太网的那部分就会知道我们为什么这么做) 时产生的一个实例。在 lo0 接口之后的 => 符号表明我们不仅使用了回环 (因为这个地址也涉及了本地主机)，而且明确指出它是个别名。 这类路由只有在支持别名的主机上才能显现出来。 所有本地网上的其它的主机对于这类路由只会简单拥有 link#1。 最后一行 (目标子网224) 用于处理多播——它会覆盖到其它的区域。 最后，每个路由的不同属性可以在 Flags 列中看到。下边是个关于这些标志和它们的含义的一个简表： U Up: 路由处于活动状态。 H Host: 路由目标是单个主机。 G Gateway: 所有发到目的地的网络传到这一远程系统上， 并由它决定最后发到哪里。 S Static: 这个路由是手工配置的，不是由系统自动生成的。 C Clone: 生成一个新的路由， 通过这个路由我们可以连接上这些机子。 这种类型的路由通常用于本地网络。 W WasCloned: 指明一个路由——它是基于本地区域网络 (克隆) 路由自动配置的。 L Link: 路由涉及到了以太网硬件。 默认路由 默认路由 当本地系统需要与远程主机建立连接时， 它会检查路由表以决定是否有已知的路径存在。 如果远程主机属于一个我们已知如何到达 (克隆的路由) 的子网内，那么系统会检查看沿着那个接口是否能够连接。 如果所有已知路径都失败，系统还有最后一个选择： 默认路由。这个路由是特殊类型的网关路由 (通常只有一个存在于系统里)，并且总是在标志栏使用一个 c来进行标识。对于本地区域网络里的主机， 这个网关被设置到任何与外界有直接连接的机子里 (无论是通过 PPP、DSL、cable modem、T1 或其它的网络接口连接)。 如果您正为某台本身就做为网关连接外界的机子配置默认路由的话， 那么该默认路由应该是您的互联网服务商 (ISP)那方的网关机子。 让我们来看一个关于默认路由的例子。这是个很普遍的配置： [Local2] <--ether--> [Local1] <--PPP--> [ISP-Serv] <--ether--> [T1-GW] 主机 Local1 和 Local2 在您那边。Local1 通过 PPP 拨号连接到了 ISP。这个 PPP 服务器通过一个局域网连接到另一台网关机子——它又通过一个外部接口连接到 ISP 提供的互联网上。 您的每一台机子的默认路由应该是： Host Default Gateway Interface Local2 Local1 Ethernet Local1 T1-GW PPP 一个常见的问题是我们为什么 (或怎样) 能将 T1-GW 设置成为 Local1 默认网关，而不是它所连接 ISP 服务器？ 记住，因为 PPP 接口使用的一个地址是在 ISP 的局域网里的，用于您那边的连接，对于 ISP 的局域网里的其它机子，其路由会自动产生。 因此，您就已经知道了如何到达机子 T1-GW， 那么也就没必要中那一步了——发送通信给 ISP 服务器。 通常使用地址 X.X.X.1 做为一个局域网的网关。 因此 (使用相同的例子)，如果您本地的 C 类地址空间是 10.20.30，而您的 ISP 使用的是 10.9.9， 那么默认路由表将是： Host Default Route Local2 (10.20.30.2) Local1 (10.20.30.1) Local1 (10.20.30.1, 10.9.9.30) T1-GW (10.9.9.1) 您可以很轻易地通过 /etc/rc.conf 文件设定默认路由。在我们的实例里，在主机 Local2 里，我们在文件 /etc/rc.conf 里增加了下边内容： defaultrouter="10.20.30.1" 也可以直接在命令行使用 &man.route.8; 命令: &prompt.root; route add default 10.20.30.1 要了解关于如何手工维护网络路由表的进一步细节， 请参考 &man.route.8; 联机手册。 重宿主机(Dual Homed Hosts) 重宿 主机 还有一种其它的类型的配置是我们要提及的， 这就是一个主机处于两个不同的网络。技术上，任何作为网关 (上边的实例中，使用了 PPP 连接) 的机子就算作是重宿主机。 但这个词实际上仅用来指那种处于两个局域网之中的机子。 有一种情形，一台机子有两个网卡， 对于各个子网都有各自的一个地址。另一种情况， 这台机子仅有一张网卡，但使用 &man.ifconfig.8; 做了别名。如果有两个独立的以太网在使用的情形就使用前者， 如果只有一个物理网段，但逻辑上分成了两个独立的子网， 就使用后者。 每种情况都要设置路由表以便两子网都知道这台主机是到其它子网的网关——入站路由 (inbound route)。将一台主机配置成两个子网间的路由器， 这种配置经常在我们需要实现单向或双向的包过滤或防火墙时被用到。 如果想让主机在两个接口间转发数据包，您需要激活 FreBSD 的这项功能。至于怎么做，请看下一部分了解更多。 建立路由器 路由器 网络路由器只是一个将数据包从一个接口转发到另一个接口的系统。 互联网标准和良好的工程实践阻止了 FreeBSD 计划在 FreeBSD 中把它置成默认值。您在可以在 &man.rc.conf.5; 中改变下列变量的值为 YES，使这个功能生效： - gateway_enable=YES # Set to YES if this host will be a gateway + gateway_enable="YES" # Set to YES if this host will be a gateway 这个选项会把&man.sysctl.8; 变量——net.inet.ip.forwarding 设置成 1。如果您要临时地停止路由， 您可以把它重设为 0。 BGP RIP OSPF 新的路由器需要有路由才知道将数据传向何处。 如果网络够简单，您可以使用静态路由。FreeBSD 也自带一个标准的BSD路由选择守护进程 &man.routed.8;， 称之为 RIP ( version 1和 version 2) 和 IRDP。对 BGP v4，OSPF v2 和其它复杂路由选择协议的支持可以从 net/zebra 包中得到。 像 &gated; 一样的商业产品也提供了更复杂的网络路由解决方案。 Coranth Gryphon 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 设置静态路由 手动配置 假设如下这样一个网络： INTERNET | (10.0.0.1/24) Default Router to Internet | |Interface xl0 |10.0.0.10/24 +------+ | | RouterA | | (FreeBSD gateway) +------+ | Interface xl1 | 192.168.1.1/24 | +--------------------------------+ Internal Net 1 | 192.168.1.2/24 | +------+ | | RouterB | | +------+ | 192.168.2.1/24 | Internal Net 2 在这里，RouterA 是我们的 &os; 机子，它充当连接到互联网其它部分的路由器的角色。 默认路由设置为10.0.0.1， 它就允许与外界连接。我们假定已经正确配置了 RouterB，并且知道如何连接到想去的任何地方。 (在这个图里很简单。只须在 RouterB 上增加默认路由，使用 192.168.1.1 做为网关。) 如果我们查看一下RouterA的路由表， 我们就会看到如下一些内容： &prompt.user; netstat -nr Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire default 10.0.0.1 UGS 0 49378 xl0 127.0.0.1 127.0.0.1 UH 0 6 lo0 10.0.0/24 link#1 UC 0 0 xl0 192.168.1/24 link#2 UC 0 0 xl1 使用当前的路由表，RouterA 是不能到达我们的内网——Internal Net 2 的。它没有到 192.168.2.0/24 的路由。 一种可以接受的方法是手工增加这条路由。以下的命令会把 Internal Net 2 网络加入到 RouterA 的路由表中，使用192.168.1.2 做为下一个跳跃： &prompt.root; route add -net 192.168.2.0/24 192.168.1.2 现在 RouterA 就可以到达 192.168.2.0/24 网络上的任何主机了。 永久配置 上面的实例对于运行着的系统来说配置静态路由是相当不错了。 只是，有一个问题——如果您重启您的 &os; 机子，路由信息就会消失。 处理附加的静态路由的方法是把它放到您的 /etc/rc.conf 文件里去。 # Add Internal Net 2 as a static route static_routes="internalnet2" route_internalnet2="-net 192.168.2.0/24 192.168.1.2" 配置变量 static_routes - 是一串以空格格开的字符串。每一串表示一个路由名字。 + 是一串以空格隔开的字符串。每一串表示一个路由名字。 在上面的例子中我们中有一个串在 static_routes 里。这个字符串中 internalnet2。 然后我们新增一个配置变量 route_internalnet2， 这里我们把所有传给 &man.route.8;命令的参数拿了过来。 在上面的实例中的我使用的命令是： &prompt.root; route add -net 192.168.2.0/24 192.168.1.2 因此，我们需要的是 "-net 192.168.2.0/24 192.168.1.2"。 前边已经提到， 可以把多个静态路由的名称， 放到 static_routes 里边。 接着我们就来建立多个静态路由。 下面几行所展示的， 是在一个假想的路由器上增加 192.168.0.0/24 和 192.168.1.0/24 之间静态路由的例子： static_routes="net1 net2" route_net1="-net 192.168.0.0/24 192.168.0.1" route_net2="-net 192.168.1.0/24 192.168.1.1" 路由传播 路由 传播 我们已经讨论了如何定义通向外界的路由， 但未谈及外界是如何找到我们的。 我们已经知道可以设置路由表， 这样任何指向特定地址空间 (在我们的例子中是一个 C 类子网) 的数据都会被送往网络上特定的主机， 然后由这台主机向地址空间内部转发数据。 当您得到一个分配给您的网络的地址空间时， ISP(网络服务商)会设置它们的路由表， 这样指向您子网的数据就会通过 PPP 连接下传到您的网络。 但是其它跨越国界的网络是如何知道将数据传给您的 ISP 的呢？ 有一个系统(很像分布式 DNS 信息系统)， 它一直跟踪被分配的地址空间， 并说明它们连接到互联网骨干(Internet backbone)的点。 骨干(Backbone) 指的是负责全世界和跨国的传输的主要干线。 每一台骨干主机(backbone machine)有一份主要表集的副本， 它将发送给特定网络的数据导向相应的骨干载体上(backbone carrier)， 从结点往下遍历服务提供商链，直到数据到达您的网络。 服务提供商的任务是向骨干网络广播，以声明它们就是通向您的网点的连接结点 (以及进入的路径)。这就是路由传播。 问题解答 traceroute 有时候，路由传播会有一个问题，一些网络无法与您连接。 或许能帮您找出路由是在哪里中断的最有用的命令就是 &man.traceroute.8;了。当您无法与远程主机连接时， 这个命令一样有用(例如 &man.ping.8; 失败)。 &man.traceroute.8; 命令将以您想连接的主机的名字作为参数执行。 不管是到达了目标，还是因为没有连接而终止， 它都会显示所经过的所有网关主机。 想了解更多的信息，查看 &man.traceroute.8; 的手册。 多播路由 多播路由 内核选项 MROUTING FreeBSD 一开始就支持多播应用软件和多播路由选择。 多播程序并不要求FreeBSD的任何特殊的配置， 就可以工作得很好。多播路由需要支持被编译入内核： options MROUTING 另外，多播路由守护进程——&man.mrouted.8; 必须通过 /etc/mrouted.conf 配置来开启通道和 DVMRP。 更多关于多播路由配置的信息可以在 &man.mrouted.8; 的手册里找到。 &os; 7.0 开始 &man.mrouted.8; 多播路由守护进程已从基本系统中移除。 实现 DVMRP 多播路由协议的程序主要由 &man.pim.4; 取代。相关的 &man.map-mbone.8; 和 &man.mrinfo.8 工具也被移除了。 这些程序能在 &os; 的 Ports Collection net/mrouted 中找到。 陈福康 Marc Fonvieille Murray Stokely 无线网络 wireless networking (无线网络) 802.11 wireless networking (无线网络) 无线网络基础 绝大多数无线网络都采用了 &ieee; 802.11 标准。 基本的无线网络中， 都包含多个以 2.4GHz 或 5GHz 频段的无线电波广播的站点 (不过， 随所处地域的不同， 或者为了能够更好地进行通讯， 具体的频率会在 2.3GHz 和 4.9GHz 的范围内变化)。 802.11 网络有两种组织方式： 在 infrastructure 模式 中， 一个通讯站作为主站， 其他通讯站都与其关联； 这种网络称为 BSS， 而主站则成为无线访问点 (AP)。 在 BSS 中， 所有的通讯都是通过 AP 来完成的； 即使通讯站之间要相互通讯， 也必须将消息发给 AP。 在第二种形式的网络中， 并不存在主站， 通讯站之间是直接通讯的。 这种网络形式称作 IBSS， 通常也叫做 ad-hoc 网络。 802.11 网络最初在 2.4GHz 频段上部署， 并采用了由 &ieee; 802.11 和 802.11b 标准所定义的协议。 这些标准定义了采用的操作频率、 包括分帧和传输速率 (通讯过程中可以使用不同的速率) 在内的 MAC 层特性等。 稍后的 802.11a 标准定义了使用 5GHz 频段进行操作， 以及不同的信号机制和更高的传输速率。 其后定义的 802.11g 标准启用了在 2.4GHz 上如何使用 802.11a 信号和传输机制， 以提供对较早的 802.11b 网络的向前兼容。 802.11 网络中采用的各类底层传输机制提供了不同类型的安全机制。 最初的 802.11 标准定义了一种称为 WEP 的简单安全协议。 这个协议采用固定的预发布密钥， 并使用 RC4 加密算法来对在网络上传输的数据进行编码。 全部通讯站都必须采用同样的固定密钥才能通讯。 这一格局已经被证明很容易被攻破， 因此目前已经很少使用了， 采用这种方法只能让那些接入网络的用户迅速断开。 最新的安全实践是由 &ieee; 802.11i 标准给出的， 它定义了新的加密算法， 并通过一种附加的协议来让通讯站向无线访问点验证身份， 并交换用于进行数据通讯的密钥。 更进一步， 用于加密的密钥会定期地刷新， 而且有机制能够监测入侵的尝试 (并阻止这种尝试)。 无线网络中另一种常用的安全协议标准是 WPA。 这是在 802.11i 之前由业界组织定义的一种过渡性标准。 WPA 定义了在 802.11i 中所规定的要求的子集， 并被设计用来在旧式硬件上实施。 特别地， WPA 要求只使用由最初 WEP 所采用的算法派生的 TKIP 加密算法。 802.11i 则不但允许使用 TKIP， 而且还要求支持更强的加密算法 AES-CCM 来用于加密数据。 (在 WPA 中并没有要求使用 AES 加密算法， 因为在旧式硬件上实施这种算法时所需的计算复杂性太高。) 除了前面介绍的那些协议标准之外， 还有一种需要介绍的标准是 802.11e。 它定义了用于在 802.11 网络上运行多媒体应用， 如视频流和使用 IP 传送的语音 (VoIP) 的协议。 与 802.11i 类似， 802.11e 也有一个前身标准， 通常称作 WME (后改名为 WMM)， 它也是由业界组织定义的 802.11e 的子集， 以便能够在旧式硬件中使用多媒体应用。 关于 802.11e 与 WME/WMM 之间的另一项重要区别是， 前者允许对流量通过服务品质 (QoS) 协议和增强媒体访问协议来安排优先级。 对于这些协议的正确实现， 能够实现高速突发数据和流量分级。 从 6.0 版本开始， &os; 支持采用 802.11a, 802.11b 和 802.11g 的网络。 类似地， 它也支持 WPA 和 802.11i 安全协议 (与 11a、 11b 和 11g 配合)， 而 WME/WMM 所需要的 QoS 和流量分级， 则在部分无线设备上提供了支持。 基本安装 内核配置 要使用无线网络， 您需要一块无线网卡， 并适当地配置内核令其提供无线网络支持。 后者被分成了多个模块， 因此您只需配置使用您所需要的软件就可以了。 首先您需要的是一个无线设备。 最为常用的一种无线配件是 Atheros 生产的。 这些设备由 &man.ath.4; 驱动程序提供支持， 您需要把下面的配置加入到 /boot/loader.conf 文件中： if_ath_load="YES" Atheros 驱动分为三个部分： 驱动部分 (&man.ath.4;)、 用于处理芯片专有功能的支持层 (&man.ath.hal.4;)， 以及一组用以选择传输帧速率的算法 (ath_rate_sample here)。 当以模块方式加载这一支持时， 所需的其它模块会自动加载。 如果您使用的不是 Atheros 设备， 则应选择对应的模块； 例如： if_wi_load="YES" 表示使用基于 Intersil Prism 产品的无线设备 (&man.wi.4; 驱动)。 在这篇文挡余下的部分中， 我们将使用一张 &man.ath.4; 卡作示范， 如果您要套用这些配置的话， 就必须根据实际的配置情况来替换设备名。 在联机手册 &man.wlan.4; 的开头部分给出了一份可用的驱动列表。 如果您的无线设备没有专用于 &os; 的驱动程序， 也可以尝试使用 NDIS 驱动封装机制来直接使用 &windows; 驱动。 在配置好设备驱动之后， 您还需要引入驱动程序所需要的 802.11 网络支持。 对于 &man.ath.4; 驱动而言， 至少需要 &man.wlan.4; wlan_scan_ap 和 wlan_scan_sta 模块； &man.wlan.4; 模块会自动随无线设备驱动一同加载， 剩下的模块必须要在系统引导时加载， 就需要在 /boot/loader.conf 中加入下面的配置： wlan_scan_ap_load="YES" wlan_scan_sta_load="YES" &os; 7.X 需要 wlan_scan_ap 和 wlan_scan_sta 模块， 而其他的版本则无需加载。 除此之外， 您还需要提供您希望使用的安全协议所需的加密支持模块。 这些模块是设计来让 &man.wlan.4; 模块根据需要自动加载的， 但目前还必须手工进行配置。 您可以使用下面这些模块： &man.wlan.wep.4;、 &man.wlan.ccmp.4; 和 &man.wlan.tkip.4;。 &man.wlan.ccmp.4; 和 &man.wlan.tkip.4; 这两个驱动都只有在您希望采用 WPA 和/或 802.11i 安全协议时才需要。 如果您的网络是完全开放的 (也就是不加密) 则甚至连 &man.wlan.wep.4; 支持也是不需要的。 要在系统引导时加载这些模块， 就需要在 /boot/loader.conf 中加入下面的配置： wlan_wep_load="YES" wlan_ccmp_load="YES" wlan_tkip_load="YES" 通过系统引导配置文件 (也就是 /boot/loader.conf) 中的这些信息生效， 您必须重新启动运行 &os; 的计算机。 如果不想立刻重新启动， 也可以使用 &man.kldload.8; 来手工加载。 如果不想加载模块， 也可以将这些驱动编译到内核中， 方法是在内核的编译配置文件中加入下面的配置： device ath # Atheros IEEE 802.11 wireless network driver device ath_hal # Atheros Hardware Access Layer options AH_SUPPORT_AR5416 # enable AR5416 tx/rx descriptors device ath_rate_sample # SampleRate tx rate control for ath device wlan # 802.11 support device wlan_scan_ap # 802.11 AP mode scanning device wlan_scan_sta # 802.11 STA mode scanning device wlan_wep # 802.11 WEP support device wlan_ccmp # 802.11 CCMP support device wlan_tkip # 802.11 TKIP support &os; 7.X 需要 wlan_sacn_ap 和 wlan_scan_sta 配置选项， 而其他的版本无需添加。 将这些信息写到内核编译配置文件中之后， 您需要重新编译内核， 并重新启动运行 &os; 的计算机。 在系统启动之后， 您会在引导时给出的信息中， 找到类似下面这样的关于无线设备的信息： ath0: <Atheros 5212> mem 0xff9f0000-0xff9fffff irq 17 at device 2.0 on pci2 ath0: Ethernet address: 00:11:95:d5:43:62 ath0: mac 7.9 phy 4.5 radio 5.6 Infrastructure 模式 通常的情形中使用的是 infrastructure 模式或称 BSS 模式。 在这种模式中， 有一系列无线访问点接入了有线网络。 每个无线网都会有自己的名字， 这个名字称作网络的 SSID。 无线客户端都通过无线访问点来完成接入。 &os; 客户机 如何查找无线访问点 您可以通过使用 ifconfig 命令来扫描网络。 由于系统需要在操作过程中切换不同的无线频率并探测可用的无线访问点， 这种请求可能需要数分钟才能完成。 只有超级用户才能启动这种扫描： &prompt.root; ifconfig ath0 up scan SSID BSSID CHAN RATE S:N INT CAPS dlinkap 00:13:46:49:41:76 6 54M 29:3 100 EPS WPA WME freebsdap 00:11:95:c3:0d:ac 1 54M 22:1 100 EPS WPA 在开始扫描之前， 必须将网络接口设为 。 后续的扫描请求就不需要再将网络接口设为 up 了。 扫描会列出所请求到的所有 BSS/IBSS 网络列表。 除了网络的名字 SSID 之外， 我们还会看到 BSSID 即无线访问点的 MAC 地址。 而 CAPS 字段则给出了网络类型及其提供的功能， 其中包括： E Extended Service Set (ESS)。 表示通讯站是 infrastructure 网络 (相对于 IBSS/ad-hoc 网络) 的成员。 I IBSS/ad-hoc 网络。 表示通讯站是 ad-hoc 网络 (相对于 ESS 网络) 的成员。 P 私密。 在 BSS 中交换的全部数据帧均需保证数据保密性。 这表示 BSS 需要通讯站使用加密算法， 例如 WEP、 TKIP 或 AES-CCMP 来加密/解密与其他通讯站交换的数据帧。 S 短前导码 (Short Preamble)。 表示网络采用的是短前导码 (由 802.11b High Rate/DSSS PHY 定义， 短前导码采用 56-位 同步字段， 而不是在长前导码模式中所采用的 128-位 字段)。 s 短碰撞槽时间 (Short slot time)。 表示由于不存在旧式 (802.11b) 通讯站， 802.11g 网络正使用短碰撞槽时间。 要显示目前已知的网络， 可以使用下面的命令： &prompt.root; ifconfig ath0 list scan 这些信息可能会由无线适配器自动更新， 也可使用 手动更新。 快取缓存中的旧数据会自动删除， 因此除非进行更多扫描， 这个列表会逐渐缩小。 基本配置 在这一节中我们将展示一个简单的例子来介绍如何让无线网络适配器在 &os; 中以不加密的方式工作。 在您熟悉了这些概念之后， 我们强烈建议您在实际的使用中采用 WPA 来配置网络。 配置无线网络的过程可分为三个基本步骤： 选择无线访问点、 验证您的通讯站身份， 以及配置 IP 地址。 下面的几节中将分步骤地介绍它们。 选择无线访问点 多数时候让系统以内建的探测方式选择无线访问点就可以了。 这是在您将网络接口置为 up 或在 /etc/rc.conf 中配置 IP 地址时的默认方式， 例如： ifconfig_ath0="DHCP" 如果存在多个无线访问点， 而您希望从中选择具体的一个， 则可以通过指定 SSID 来实现： ifconfig_ath0="ssid your_ssid_here DHCP" 在某些环境中， 多个访问点可能会使用同样的 SSID (通常， 这样做的目的是简化漫游)， 这时可能就需要与某个具体的设备关联了。 这种情况下， 您还应指定无线访问点的 BSSID (这时可以不指定 SSID)： ifconfig_ath0="ssid your_ssid_here bssid xx:xx:xx:xx:xx:xx DHCP" 除此之外， 还有一些其它的方法能够约束查找无线访问点的范围， 例如限制系统扫描的频段， 等等。 如果您的无线网卡支持多个频段， 这样做可能会非常有用， 因为扫描全部可用频段是一个十分耗时的过程。 要将操作限制在某个具体的频段， 可以使用 参数； 例如： ifconfig_ath0="mode 11g ssid your_ssid_here DHCP" 就会强制卡使用采用 2.4GHz 的 802.11g， 这样在扫描的时候， 就不会考虑那些 5GHz 的频段了。 除此之外， 还可以通过 参数来将操作锁定在特定频率， 以及通过 参数来指定扫描的频段列表。 关于这些参数的进一步信息， 可以在联机手册 &man.ifconfig.8; 中找到。 验证身份 一旦您选定了无线访问点， 您的通讯站就需要完成身份验证， 以便开始发送和接收数据。 身份验证可以通过许多方式进行， 最常用的一种方式称为开放式验证， 它允许任意通讯站加入网络并相互通信。 这种验证方式只应在您第一次配置无线网络进行测试时使用。 其它的验证方式则需要在进行数据通讯之前， 首先进行密钥协商握手； 这些方式要么使用预先分发的密钥或密码， 要么是用更复杂一些的后台服务， 如 RADIUS。 绝大多数用户会使用默认的开放式验证， 而第二多的则是 WPA-PSK， 它也称为个人 WPA， 在 下面 的章节中将进行介绍。 如果您使用 &apple; &airport; Extreme 基站作为无线访问点， 则可能需要同时在两端配置 WEP 共享密钥验证。 这可以通过在 /etc/rc.conf 文件中进行设置， 或使用 &man.wpa.supplicant.8; 程序来手工完成。 如果您只有一个 &airport; 基站， 则可以用类似下面的方法来配置： ifconfig_ath0="authmode shared wepmode on weptxkey 1 wepkey 01234567 DHCP" 一般而言， 应尽量避免使用共享密钥这种验证方法， 因为它以非常受限的方式使用 WEP 密钥， 使得攻击者能够很容易地破解密钥。 如果必须使用 WEP (例如， 为了兼容旧式的设备) 最好使用 WEP 配合 open 验证方式。 关于 WEP 的更多资料请参见 。 通过 DHCP 获取 IP 地址 在您选定了无线访问点， 并配置了验证参数之后， 还必须获得 IP 地址才能真正开始通讯。 多数时候， 您会通过 DHCP 来获得无线 IP 地址。 要达到这个目的， 只需简单地编辑 /etc/rc.conf 并在配置中加入 DHCP： ifconfig_ath0="DHCP" 现在您已经完成了启用无线网络接口的全部准备工作了， 下面的操作将启用它： &prompt.root; /etc/rc.d/netif start 一旦网络接口开始运行， 就可以使用 ifconfig 来查看网络接口 ath0 的状态了： &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.1.100 netmask 0xffffff00 broadcast 192.168.1.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/54Mbps) status: associated ssid dlinkap channel 6 bssid 00:13:46:49:41:76 authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 这里的 status: associated 表示您已经连接到了无线网络 (在这个例子中， 这个网络的名字是 dlinkap)。 bssid 00:13:46:49:41:76 是指您所用无线访问点的 MAC 地址； authmode 这行指出您所做的通讯将不进行加密 (OPEN)。 静态 IP 地址 如果无法从某个 DHCP 服务器获得 IP 地址， 则可以配置一个静态 IP 地址， 方法是将前面的 DHCP 关键字替换为地址信息。 请务必保持其他用于连接无线访问点的参数： ifconfig_ath0="ssid your_ssid_here inet 192.168.1.100 netmask 255.255.255.0" WPA WPA (Wi-Fi 保护访问) 是一种与 802.11 网络配合使用的安全协议， 其目的是消除 WEP 中缺少身份验证能力的问题， 以及一些其它的安全弱点。 WPA 采用了 802.1X 认证协议， 并采用从多种与 WEP 不同的加密算法中选择一种来保证数据保密性。 WPA 支持的唯一一种加密算法是 TKIP (临时密钥完整性协议)， 这是一种对 WEP 所采用的基本 RC4 加密算法的扩展， 除此之外还提供了对检测到的入侵的响应机制。 TKIP 被设计用来与旧式硬件一同工作， 只需要进行部分软件修改； 它提供了一种改善安全性的折衷方案， 但仍有可能受到攻击。 WPA 也指定了 AES-CCMP 加密作为 TKIP 的替代品， 在可能时倾向于使用这种加密； 表达这一规范的常用术语是 WPA2 (或 RSN)。 WPA 定义了验证和加密协议。 验证通常是使用两种方法之一来完成的： 通过 802.1X 或类似 RADIUS 这样的后端验证服务， 或通过在通讯站和无线访问点之间通过事先分发的密码来进行最小握手。 前一种通常称作企业 WPA， 而后者通常也叫做个人 WPA。 因为多数人不会为无线网络配置 RADIUS 后端服务器， 因此 WPA-PSK 是在 WPA 中最为常见的一种。 对无线连接的控制和身份验证工作 (密钥协商或通过服务器验证) 是通过 &man.wpa.supplicant.8; 工具来完成的。 这个程序运行时需要一个配置文件， /etc/wpa_supplicant.conf。 关于这个文件的更多信息， 请参考联机手册 &man.wpa.supplicant.conf.5;。 WPA-PSK WPA-PSK 也称作 个人-WPA， 它基于预先分发的密钥 (PSK)， 这个密钥是根据作为无线网络上使用的主密钥的密码生成的。 这表示每个无线用户都会使用同样的密钥。 WPA-PSK 主要用于小型网络， 在这种网络中， 通常不需要或没有办法架设验证服务器。 无论何时， 都应使用足够长， 且包括尽可能多字母和数字的强口令， 以免被猜出和/或攻击。 第一步是修改配置文件 /etc/wpa_supplicant.conf， 并在其中加入在您网络上使用的 SSID 和事先分发的密钥： network={ ssid="freebsdap" psk="freebsdmall" } 接下来， 在 /etc/rc.conf 中， 我们将指定无线设备的配置， 令其采用 WPA， 并通过 DHCP 来获取 IP 地址： ifconfig_ath0="WPA DHCP" 下面， 启用无线网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPDISCOVER on ath0 to 255.255.255.255 port 67 interval 5 DHCPDISCOVER on ath0 to 255.255.255.255 port 67 interval 6 DHCPOFFER from 192.168.0.1 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.1 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/36Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 除此之外， 您也可以手动地使用 above 中那份 /etc/wpa_supplicant.conf 来配置， 方法是执行： &prompt.root; wpa_supplicant -i ath0 -c /etc/wpa_supplicant.conf Trying to associate with 00:11:95:c3:0d:ac (SSID='freebsdap' freq=2412 MHz) Associated with 00:11:95:c3:0d:ac WPA: Key negotiation completed with 00:11:95:c3:0d:ac [PTK=TKIP GTK=TKIP] 接下来的操作， 是运行 dhclient 命令来从 DHCP 服务器获取 IP： &prompt.root; dhclient ath0 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.1 bound to 192.168.0.254 -- renewal in 300 seconds. &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/48Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 如果 /etc/rc.conf 的配置中， 使用了 ifconfig_ath0="DHCP"， 就不需要手工运行 dhclient 命令了， 因为 dhclient 将在 wpa_supplicant 探测到密钥之后执行。 在这个例子中， DHCP 并不可用， 您可以在 wpa_supplicant 为通讯站完成了身份认证之后， 指定静态 IP 地址： &prompt.root; ifconfig ath0 inet 192.168.0.100 netmask 255.255.255.0 &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.100 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/36Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 如果没有使用 DHCP， 还需要手工配置默认网关， 以及域名服务器： &prompt.root; route add default your_default_router &prompt.root; echo "nameserver your_DNS_server" >> /etc/resolv.conf 使用 EAP-TLS 的 WPA 使用 WPA 的第二种方式是使用 802.1X 后端验证服务器， 在这个例子中， WPA 也称作 企业-WPA， 以便与安全性较差、 采用事先分发密钥的 个人-WPA 区分开来。 在 企业-WPA 中， 验证操作是采用 EAP 完成的 (可扩展认证协议)。 EAP 并未附带加密方法， 因此设计者决定将 EAP 放在加密信道中进行传送。 为此设计了许多 EAP 验证方法， 最常用的方法是 EAP-TLS、 EAP-TTLS 和 EAP-PEAP。 EAP-TLS (带 传输层安全 的 EAP) 是一种在无线世界中得到了广泛支持的验证协议， 因为它是 Wi-Fi 联盟 核准的第一个 EAP 方法。 EAP-TLS 需要使用三个证书： CA 证书 (在所有计算机上安装)、 用以向您证明服务器身份的服务器证书， 以及每个无线客户端用于证明身份的客户机证书。 在这种 EAP 方式中， 验证服务器和无线客户端均通过自己的证书向对方证明身份， 它们均验证对方的证书是本机构的证书发证机构 (CA) 签发的。 与之前介绍的方法类似， 配置也是通过 /etc/wpa_supplicant.conf 来完成的： network={ ssid="freebsdap" proto=RSN key_mgmt=WPA-EAP eap=TLS identity="loader" ca_cert="/etc/certs/cacert.pem" client_cert="/etc/certs/clientcert.pem" private_key="/etc/certs/clientkey.pem" private_key_passwd="freebsdmallclient" } 这个字段表示网络名 (SSID)。 这里， 我们使用 RSN (&ieee; 802.11i) 协议， 也就是 WPA2。 key_mgmt 这行表示所用的密钥管理协议。 在我们的例子中， 它是使用 EAP 验证的 WPA： WPA-EAP。 这个字段中， 提到了我们的连接采用 EAP 方式。 identity 字段包含了 EAP 的实体串。 ca_cert 字段给出了 CA 证书文件的路径名。 在验证服务器证书时， 这个文件是必需的。 client_cert 这行给出了客户机证书的路径名。 对每个无线客户端而言， 这个证书都是在全网范围内唯一的。 private_key 字段是客户机证书私钥文件的路径名。 private_key_passwd 字段是私钥的口令字。 接着， 把下面的配置加入到 /etc/rc.conf： ifconfig_ath0="WPA DHCP" 下一步是使用 rc.d 机制来启用网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.20 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (DS/11Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 如前面提到的那样， 也可以手工通过 wpa_supplicant 和 ifconfig 命令达到类似的目的。 使用 EAP-TTLS 的 WPA 在使用 EAP-TLS 时， 参与验证过程的服务器和客户机都需要证书， 而在使用 EAP-TTLS (带传输层安全隧道的 EAP) 时， 客户机证书则是可选的。 这种方式与某些安全 web 站点更为接近， 即使访问者没有客户端证书， 这些 web 服务器也能建立安全的 SSL 隧道。 EAP-TTLS 会使用加密的 TLS 隧道来传送验证信息。 对于它的配置， 同样是通过 /etc/wpa_supplicant.conf 文件来进行的： network={ ssid="freebsdap" proto=RSN key_mgmt=WPA-EAP eap=TTLS identity="test" password="test" ca_cert="/etc/certs/cacert.pem" phase2="auth=MD5" } 这个字段是我们的连接所采用的 EAP 方式。 identity 字段中是在加密 TLS 隧道中用于 EAP 验证的身份串。 password 字段中是用于 EAP 验证的口令字。 ca_cert 字段给出了 CA 证书文件的路径名。 在验证服务器证书时， 这个文件是必需的。 这个字段中给出了加密 TLS 隧道中使用的验证方式。 在这个例子中， 我们使用的是带 MD5-加密口令 的 EAP。 inner authentication (译注：内部鉴定) 通常也叫 phase2。 您还必须把下面的配置加入到 /etc/rc.conf： ifconfig_ath0="WPA DHCP" 下一步是启用网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.20 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (DS/11Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 使用 EAP-PEAP 的 WPA PEAP (受保护的 EAP) 被设计用以替代 EAP-TTLS。 有两种类型的 PEAP 方法， 最常用的是 PEAPv0/EAP-MSCHAPv2。 在这篇文档余下的部分中， 术语 PEAP 是指这种 EAP 方法。 PEAP 是在 EAP-TLS 之后最为常用的 EAP 标准， 换言之， 如果您的网络中有多种不同的操作系统， PEAP 将是仅次于 EAP-TLS 的支持最广的标准。 PEAP 与 EAP-TTLS 很像： 它使用服务器端证书， 通过在客户端与验证服务器之间建立加密的 TLS 隧道来向用户验证身份， 这保护了验证信息的交换过程。 在安全方面， EAP-TTLS 与 PEAP 的区别是 PEAP 会以明文广播用户名， 只有口令是通过加密 TLS 隧道传送的。 而 EAP-TTLS 在传送用户名和口令时， 都使用 TLS 隧道。 我们需要编辑 /etc/wpa_supplicant.conf 文件， 并加入与 EAP-PEAP 有关的配置： network={ ssid="freebsdap" proto=RSN key_mgmt=WPA-EAP eap=PEAP identity="test" password="test" ca_cert="/etc/certs/cacert.pem" phase1="peaplabel=0" phase2="auth=MSCHAPV2" } 这个字段的内容是用于连接的 EAP 方式。 identity 字段中是在加密 TLS 隧道中用于 EAP 验证的身份串。 password 字段中是用于 EAP 验证的口令字。 ca_cert 字段给出了 CA 证书文件的路径名。 在验证服务器证书时， 这个文件是必需的。 这个字段包含了第一阶段验证 (TLS 隧道) 的参数。 随您使用的验证服务器的不同， 您需要指定验证的标签。 多数时候， 标签应该是 客户端 EAP 加密， 这可以通过使用 peaplabel=0 来指定。 更多信息可以在联机手册 &man.wpa.supplicant.conf.5; 中找到。 这个字段的内容是验证协议在加密的 TLS 隧道中使用的信息。 对 PEAP 而言， 这是 auth=MSCHAPV2。 您还必须把下面的配置加入到 /etc/rc.conf： ifconfig_ath0="WPA DHCP" 下一步是启用网络接口： &prompt.root; /etc/rc.d/netif start Starting wpa_supplicant. DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPREQUEST on ath0 to 255.255.255.255 port 67 DHCPACK from 192.168.0.20 bound to 192.168.0.254 -- renewal in 300 seconds. ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.254 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (DS/11Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy ON deftxkey UNDEF TKIP 2:128-bit txpowmax 36 protmode CTS roaming MANUAL bintval 100 WEP WEP (有线等效协议) 是最初 802.11 标准的一部分。 其中没有提供身份验证机制， 只提供了弱访问控制， 而且很容易破解。 WEP 可以通过 ifconfig 配置： &prompt.root; ifconfig ath0 ssid my_net wepmode on weptxkey 3 wepkey 3:0x3456789012 \ inet 192.168.1.100 netmask 255.255.255.0 weptxkey 指明了使用哪个 WEP 密钥来进行数据传输。 这里我们使用第三个密钥。 它必须与无线接入点的配置一致。 如果你不清楚你的无线接入点， 你应该尝试用 1 （就是说第一个密钥）来设置这个变量。 wepkey 表示设置所选的 WEP 密钥。 其格式应为 index:key， 如果没有给出 index 值， 则默认为 1。 因此， 如果需要设置的密钥不是第一个， 就必需指定 index 了。 您需要将 0x3456789012 改为在无线接入点上配置的那个。 我们建议您阅读联机手册 &man.ifconfig.8; 来了解进一步的信息。 wpa_supplicant 机制也可以用来配置您的无线网卡使用 WEP。 前面的例子也可以通过在 /etc/wpa_supplicant.conf 中加入下述设置来实现： network={ ssid="my_net" key_mgmt=NONE wep_key3=3456789012 wep_tx_keyidx=3 } 接着： &prompt.root; wpa_supplicant -i ath0 -c /etc/wpa_supplicant.conf Trying to associate with 00:13:46:49:41:76 (SSID='dlinkap' freq=2437 MHz) Associated with 00:13:46:49:41:76 Ad-hoc 模式 IBSS 模式， 也称为 ad-hoc 模式， 是为点对点连接设计的。 例如， 如果希望在计算机 A 和 B 之间建立 ad-hoc 网络， 我们只需选择两个 IP 地址和一个 SSID 就可以了。 在计算机 A 上： &prompt.root; ifconfig ath0 ssid freebsdap mediaopt adhoc inet 192.168.0.1 netmask 255.255.255.0 &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::211:95ff:fec3:dac%ath0 prefixlen 64 scopeid 0x4 ether 00:11:95:c3:0d:ac media: IEEE 802.11 Wireless Ethernet autoselect <adhoc> (autoselect <adhoc>) status: associated ssid freebsdap channel 2 bssid 02:11:95:c3:0d:ac authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 此处的 adhoc 参数表示无线网络接口应以 IBSS 模式运转。 此时， 在 B 上应该能够检测到 A 的存在了： &prompt.root; ifconfig ath0 up scan SSID BSSID CHAN RATE S:N INT CAPS freebsdap 02:11:95:c3:0d:ac 2 54M 19:3 100 IS 在输出中的 I 再次确认了 A 机是以 ad-hoc 模式运行的。 我们只需给 B 配置一不同的 IP 地址： &prompt.root; ifconfig ath0 ssid freebsdap mediaopt adhoc inet 192.168.0.2 netmask 255.255.255.0 &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.2 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect <adhoc> (autoselect <adhoc>) status: associated ssid freebsdap channel 2 bssid 02:11:95:c3:0d:ac authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 这样， A 和 B 就可以交换信息了。 &os; 基于主机的（无线）访问接入点 &os; 可以作为一个（无线）访问接入点（AP）， 这样可以不必再去买一个硬件 AP 或者使用 ad-hoc 模式的网络。 当你的 &os; 机器作为网关连接到另外一个网络的时候将非常有用。 基本配置 在把你的 &os; 机器配置成一个 AP 以前， 你首先需要先在内核配置好对你的无线网卡的无线网络支持。 当然你还需要加上你想用的安全协议。想获得更详细的信息， 请参阅 。 目前还不支持使用 &windows; 驱动和 NDIS 驱动包装的网卡做为 AP 使用。只有 &os; 原生的无线驱动能够支持 AP 模式。 一旦装载了无线网络的支持， 你就可以检查一下看看你的无线设备是否支持基于主机的无线访问接入模式 （通常也被称为 hostap 模式）： &prompt.root; ifconfig ath0 list caps ath0=783ed0f<WEP,TKIP,AES,AES_CCM,IBSS,HOSTAP,AHDEMO,TXPMGT,SHSLOT,SHPREAMBLE,MONITOR,TKIPMIC,WPA1,WPA2,BURST,WME> 这段输出显示了网卡所支持的各种功能； 其中的关键字 HOSTAP 表示这块无线网卡能作为一个（无线）访问接入点使用。 同时也提到了各种加密算法： WEP，TKIP，WPA2，等等, 这些信息对于知道在访问接入点上使用何种安全协议非常重要。 现在这块无线设备在配置了正确的 SSID 和 IP 地址后进入 hostap 模式了。 &prompt.root; ifconfig ath0 ssid freebsdap mode 11g mediaopt hostap inet 192.168.0.1 netmask 255.255.255.0 再一次用 ifconfig 查看一下 ath0 网络接口的状态： &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::211:95ff:fec3:dac%ath0 prefixlen 64 scopeid 0x4 ether 00:11:95:c3:0d:ac media: IEEE 802.11 Wireless Ethernet autoselect mode 11g <hostap> status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode OPEN privacy OFF txpowmax 38 bmiss 7 protmode CTS burst dtimperiod 1 bintval 100 hostap 参数说明这个网络接口目前正运行在基于主机的接入访问模式。 也可以在 /etc/rc.conf 中加入以下这行使得网络界面的配置能够在机器启动的时候自动完成: ifconfig_ath0="ssid freebsdap mode 11g mediaopt hostap inet 192.168.0.1 netmask 255.255.255.0" 不使用认证或加密的（无线）访问接入点 尽管我们不推荐运行一个不使用任何认证或加密的 AP， 但这是一个非常简单的检测 AP 是否正常工作的方法。 这样配置对于调试客户端问题也非常重要。 一旦 AP 被配置成了我们前面所展示的那样， 就可以在另外一台无线机器上初始化一次扫描来找到这个 AP： &prompt.root; ifconfig ath0 up scan SSID BSSID CHAN RATE S:N INT CAPS freebsdap 00:11:95:c3:0d:ac 1 54M 22:1 100 ES 在客户机上能看到已经连接上了（无线）访问接入点： &prompt.root; ifconfig ath0 ssid freebsdap inet 192.168.0.2 netmask 255.255.255.0 &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet6 fe80::211:95ff:fed5:4362%ath0 prefixlen 64 scopeid 0x1 inet 192.168.0.2 netmask 0xffffff00 broadcast 192.168.0.255 ether 00:11:95:d5:43:62 media: IEEE 802.11 Wireless Ethernet autoselect (OFDM/54Mbps) status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode OPEN privacy OFF txpowmax 36 protmode CTS bintval 100 使用 WPA 的（无线）访问接入点 这一段将注重介绍在 &os; （无线）访问接入点上配置使用 WPA 安全协议。 更多有关 WPA 和配置基于 WPA 无线客户端的细节 请参阅 。 hostapd 守护进程将被用于处理与客户端的认证和在启用 WPA （无线）访问接入点上的密钥管理。 接下来，所有的配置操作都将在作为 AP 的 &os; 机器上完成。 一旦 AP 能够正确的工作了，便把如下这行加入 /etc/rc.conf 使得 hostapd 能在机器启动的时候自动运行： hostapd_enable="YES" 在配置 hostapd 以前， 请确保你已经完成了基本配置中所介绍的步骤 。 WPA-PSK WPA-PSK 旨在为没有认证服务器的小型网络而设计的。 配置文件为 /etc/hostapd.conf file： interface=ath0 debug=1 ctrl_interface=/var/run/hostapd ctrl_interface_group=wheel ssid=freebsdap wpa=1 wpa_passphrase=freebsdmall wpa_key_mgmt=WPA-PSK wpa_pairwise=CCMP TKIP 这一项标明了访问接入点所使用的无线接口。 这一项设置了执行 hostapd 时候显示相关信息的详细程度。 1 表示最小的级别。 ctrl_interface 这项给出了 hostapd 存储与其他外部程序（比如 &man.hostapd.cli.8;) 通信的域套接口文件路径。这里使用了默认值。 ctrl_interface_group 这行设置了允许访问控制界面文件的组属性 （这里我们使用了 wheel 组）。 这一项是设置网络的名称。 wpa 这项表示启用了 WPA 而且指明要使用何种 WPA 认证协议。 值 1 表示 AP 将使用 WPA-PSK。 wpa_passphrase 这项包含用于 WPA 认证的 ASCII 密码。 通常使用从丰富的字母表生成足够长度的强壮密码， 以不至于被轻易的猜测或攻击到。 wpa_key_mgmt 这行表明了我们所使用的密钥管理协议。 在这个例子中是 WPA-PSK。 wpa_pairwise 这项表示（无线）访问接入点所接受的加密算法。 在这个例子中，TKIP(WPA) 和 CCMP(WPA2) 密码都会被接受。 CCMP 密码是除 TKIP 外的另一种选择， CCMP 一般作为首选密码； 仅有在 CCMP 不能被使用的环境中选择 TKIP。 接下来的一步就是运行 hostapd： &prompt.root /etc/rc.d/hostapd forcestart &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 2290 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::211:95ff:fec3:dac%ath0 prefixlen 64 scopeid 0x4 ether 00:11:95:c3:0d:ac media: IEEE 802.11 Wireless Ethernet autoselect mode 11g <hostap> status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode WPA2/802.11i privacy MIXED deftxkey 2 TKIP 2:128-bit txpowmax 36 protmode CTS dtimperiod 1 bintval 100 现在客户端能够连接上运行的（无线）访问接入点了， 更多细节可以参阅 。 查看有哪些客户连接上了 AP 可以运行命令 ifconfig ath0 list sta。 使用 WEP 的（无线）访问接入点 我们不推荐使用 WEP 来设置一个（无线）访问接入点， 因为没有认证的机制并容易被破解。 一些历史遗留下的无线网卡仅支持 WEP 作为安全协议， 这些网卡仅允许搭建不含认证或 WEP 协议的 AP。 在设置了正确的 SSID 和 IP 地址后，无线设备就可以进入 hostap 模式了： &prompt.root; ifconfig ath0 ssid freebsdap wepmode on weptxkey 3 wepkey 3:0x3456789012 mode 11g mediaopt hostap \ inet 192.168.0.1 netmask 255.255.255.0 weptxkey 表示传输中使用哪一个 WEP 密钥。 这个例子中用了第3把密钥（请注意密钥的编号从 1开始）。 这个参数必须设置以用来加密数据。 wepkey 表示设置所使用的 WEP 密钥。 它应该符合 index:key 这样的格式。 如果没有指定 index，那么默认值为 1。 这就是说如果我们使用了除第一把以外的密钥， 那么就需要指定 index。 再使用一次 ifconfig 命令查看 ath0 接口的状态： &prompt.root; ifconfig ath0 ath0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::211:95ff:fec3:dac%ath0 prefixlen 64 scopeid 0x4 ether 00:11:95:c3:0d:ac media: IEEE 802.11 Wireless Ethernet autoselect mode 11g <hostap> status: associated ssid freebsdap channel 1 bssid 00:11:95:c3:0d:ac authmode OPEN privacy ON deftxkey 3 wepkey 3:40-bit txpowmax 36 protmode CTS dtimperiod 1 bintval 100 现在可以从另外一台无线机器上初始化一次扫描来找到这个 AP 了： &prompt.root; ifconfig ath0 up scan SSID BSSID CHAN RATE S:N INT CAPS freebsdap 00:11:95:c3:0d:ac 1 54M 22:1 100 EPS 现在客户机能够使用正确的参数（密钥等） 找到并连上（无线）访问接入点了， 更多细节请参阅。 故障排除 如果您在使用无线网络时遇到了麻烦， 此处提供了一系列用以帮助排除故障的步骤。 如果您在列表中找不到无线访问点， 请确认您没有将无线设备配置为使用有限的一组频段。 如果您无法关联到无线访问点， 请确认您的通讯站配置与无线访问点的配置一致。 这包括认证模式以及安全协议。 尽可能简化您的配置。 如果您正使用类似 WPA 或 WEP 这样的安全协议， 请将无线访问点配置为开放验证和不采用安全措施， 并检查是否数据能够通过。 一旦您能够关联到无线访问点之后， 就可以使用简单的工具如 &man.ping.8; 来诊断安全配置了。 wpa_supplicant 提供了许多调试支持； 尝试手工运行它， 在启动时指定 选项， 并察看输出结果。 除此之外还有许多其它的底层调试工具。 您可以使用 /usr/src/tools/tools/net80211 中的 wlandebug 命令来启用 802.11 协议支持层的调试功能。 例如： &prompt.root; wlandebug -i ath0 +scan+auth+debug+assoc net.wlan.0.debug: 0 => 0xc80000<assoc,auth,scan> 可以用来启用与扫描无线访问点和 802.11 协议在安排通讯时与握手有关的控制台信息。 还有许多有用的统计信息是由 802.11 层维护的； wlanstats 工具可以显示这些信息。 这些统计数据能够指出由 802.11 层识别出来的错误。 请注意某些错误可能是由设备驱动在 802.11 层之下识别出来的， 因此这些错误可能并不显示。 要诊断与设备有关的问题， 您需要参考设备驱动程序的文档。 如果上述信息没能帮助您找到具体的问题所在， 请提交问题报告， 并在其中附上这些工具的输出。 Pav Lucistnik 作者：
pav@FreeBSD.org
 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 蓝牙 蓝牙 简介 Bluetooth (蓝牙) 是一项无线技术， 用于建立带宽为 2.4GHZ，波长为 10 米的私有网络。 网络一般是由便携式设备，比加手机 (cellular phone)， 掌上电脑 (handhelds) 和膝上电脑 (laptops)) 以 ad-hoc 形式组成。不象其它流行的无线技术——Wi-Fi，Bluetooth 提供了更高级的服务层面，像类 FTP 的文件服务、文件推送 (file pushing)、语音传送、串行线模拟等等。 在 &os; 里，蓝牙栈 (Bluetooth stack) 通过使用 Netgraph 框架 (请看 &man.netgraph.4;) 来的实现。 大量的"Bluetooth USB dongle"由 &man.ng.ubt.4; 驱动程序支持。 基于 Broadcom BCM2033 芯片组的 Bluetooth 设备可以通过 &man.ubtbcmfw.4; 和 &man.ng.ubt.4; 驱动程序支持。 3Com Bluetooth PC 卡 3CRWB60-A 由 &man.ng.bt3c.4; 驱动程序支持。 基于 Serial 和 UART 的蓝牙设备由 &man.sio.4;、&man.ng.h4.4; 和 &man.hcseriald.8;。本节介绍 USB Bluetooth dongle 的使用。 插入设备 默认的 Bluetooth 设备驱动程序已存在于内核模块里。 接入设备前，您需要将驱动程序加载入内核： &prompt.root; kldload ng_ubt 如果系统启动时 Bluetooth 设备已经存在于系统里， 那么从 /boot/loader.conf 里加载这个模块： ng_ubt_load="YES" 插入USB dongle。控制台(console)(或syslog中)会出现类似如下的信息： ubt0: vendor 0x0a12 product 0x0001, rev 1.10/5.25, addr 2 ubt0: Interface 0 endpoints: interrupt=0x81, bulk-in=0x82, bulk-out=0x2 ubt0: Interface 1 (alt.config 5) endpoints: isoc-in=0x83, isoc-out=0x3, wMaxPacketSize=49, nframes=6, buffer size=294 脚本 /etc/rc.d/bluetooth 是用来启动和停止 Bluetooth stack (蓝牙栈)的。 最好在拔出设备前停止 stack(stack)，当然也不是非做不可。 启动 stack (栈) 时，会得到如下的输出： &prompt.root; /etc/rc.d/bluetooth start ubt0 BD_ADDR: 00:02:72:00:d4:1a Features: 0xff 0xff 0xf 00 00 00 00 00 <3-Slot> <5-Slot> <Encryption> <Slot offset> <Timing accuracy> <Switch> <Hold mode> <Sniff mode> <Park mode> <RSSI> <Channel quality> <SCO link> <HV2 packets> <HV3 packets> <u-law log> <A-law log> <CVSD> <Paging scheme> <Power control> <Transparent SCO data> Max. ACL packet size: 192 bytes Number of ACL packets: 8 Max. SCO packet size: 64 bytes Number of SCO packets: 8 HCI 主控制器接口 (HCI) 主控制器接口 (HCI) 提供了通向基带控制器和连接管理器的命令接口及访问硬件状态字和控制寄存器的通道。 这个接口提供了访问蓝牙基带 (Bluetooth baseband) 功能的统一方式。 主机上的 HCI 层与蓝牙硬件上的 HCI 固件交换数据和命令。 主控制器的传输层 (如物理总线) 驱动程序提供两个 HCI 层交换信息的能力。 为每个蓝牙 (Bluetooth) 设备创建一个 hci 类型的 Netgraph 结点。 HCI 结点一般连接蓝牙设备的驱动结点 (下行流) 和 L2CAP 结点 (上行流)。 所有的HCI操作必须在 HCI 结点上进行而不是设备驱动结点。HCI 结点的默认名是 devicehci。更多细节请参考 &man.ng.hci.4; 的联机手册。 最常见的任务是发现在 RF proximity 中的蓝牙 (Bluetooth) 设备。这个就叫做 质询(inquiry)。质询及 HCI 相关的操作可以由 &man.hccontrol.8; 工具来完成。 以下的例子展示如何找出范围内的蓝牙设备。 在几秒钟内您应该得到一张设备列表。 注意远程主机只有被置于 discoverable(可发现) 模式才能答应质询。 &prompt.user; hccontrol -n ubt0hci inquiry Inquiry result, num_responses=1 Inquiry result #0 BD_ADDR: 00:80:37:29:19:a4 Page Scan Rep. Mode: 0x1 Page Scan Period Mode: 00 Page Scan Mode: 00 Class: 52:02:04 Clock offset: 0x78ef Inquiry complete. Status: No error [00] BD_ADDR 是蓝牙设备的特定地址， 类似于网卡的 MAC 地址。需要用此地址与某个设备进一步地通信。 可以为 BD_ADDR 分配由人可读的名字 (human readable name)。 文件 /etc/bluetooth/hosts 包含已知蓝牙主机的信息。 下面的例子展示如何获得分配给远程设备的可读名。 &prompt.user; hccontrol -n ubt0hci remote_name_request 00:80:37:29:19:a4 BD_ADDR: 00:80:37:29:19:a4 Name: Pav's T39 如果在远程蓝牙上运行质询，您会发现您的计算机是 your.host.name (ubt0)。 分配给本地设备的名字可随时改变。 蓝牙系统提供点对点连接 (只有两个蓝牙设备参与) 和点对多点连接。在点对多点连接中，连接由多个蓝牙设备共享。 以下的例子展示如何取得本地设备的活动基带 (baseband) 连接列表。 &prompt.user; hccontrol -n ubt0hci read_connection_list Remote BD_ADDR Handle Type Mode Role Encrypt Pending Queue State 00:80:37:29:19:a4 41 ACL 0 MAST NONE 0 0 OPEN connection handle(连接柄) 在需要终止基带连接时有用。注意：一般不需要手动完成。 栈 (stack) 会自动终止不活动的基带连接。 &prompt.root; hccontrol -n ubt0hci disconnect 41 Connection handle: 41 Reason: Connection terminated by local host [0x16] 参考 hccontrol help 获取完整的 HCI 命令列表。大部分 HCI 命令不需要超级用户权限。 L2CAP 逻辑连接控制和适配协议(L2CAP) 逻辑连接控制和适配协议 (L2CAP) 为上层协议提供面向连接和无连接的数据服务， 并提供多协议功能和分割重组操作。L2CAP 充许上层协议和应用软件传输和接收最大长度为 64K 的 L2CAP 数据包。 L2CAP 基于 通道(channel) 的概念。 通道 (Channel) 是位于基带 (baseband) 连接之上的逻辑连接。 每个通道以多对一的方式绑定一个单一协议 (single protocol)。 多个通道可以绑定同一个协议，但一个通道不可以绑定多个协议。 每个在通道里接收到的 L2CAP 数据包被传到相应的上层协议。 多个通道可共享同一个基带连接。 为每个蓝牙 (Bluetooth) 设备创建一个 l2cap 类型的 Netgraph 结点。 L2CAP 结点一般连接 HCI 结点(下行流)和蓝牙设备的驱动结点(上行流)。 L2CAP 结点的默认名是 devicel2cap。 更多细节请参考 &man.ng.l2cap.4; 的联机手册。 一个有用的命令是 &man.l2ping.8;， 它可以用来 ping 其它设备。 一些蓝牙实现可能不会返回所有发送给它们的数据， 所以下例中的 0 bytes 是正常的。 &prompt.root; l2ping -a 00:80:37:29:19:a4 0 bytes from 0:80:37:29:19:a4 seq_no=0 time=48.633 ms result=0 0 bytes from 0:80:37:29:19:a4 seq_no=1 time=37.551 ms result=0 0 bytes from 0:80:37:29:19:a4 seq_no=2 time=28.324 ms result=0 0 bytes from 0:80:37:29:19:a4 seq_no=3 time=46.150 ms result=0 &man.l2control.8; 工具用于在 L2CAP 上进行多种操作。 以下这个例子展示如何取得本地设备的逻辑连接 (通道) 和基带连接的列表： &prompt.user; l2control -a 00:02:72:00:d4:1a read_channel_list L2CAP channels: Remote BD_ADDR SCID/ DCID PSM IMTU/ OMTU State 00:07:e0:00:0b:ca 66/ 64 3 132/ 672 OPEN &prompt.user; l2control -a 00:02:72:00:d4:1a read_connection_list L2CAP connections: Remote BD_ADDR Handle Flags Pending State 00:07:e0:00:0b:ca 41 O 0 OPEN 另一个诊断工具是 &man.btsockstat.1;。 它完成与 &man.netstat.1; 类似的操作， 只是用了蓝牙网络相关的数据结构。 以下这个例子显示与 &man.l2control.8; 相同的逻辑连接。 &prompt.user; btsockstat Active L2CAP sockets PCB Recv-Q Send-Q Local address/PSM Foreign address CID State c2afe900 0 0 00:02:72:00:d4:1a/3 00:07:e0:00:0b:ca 66 OPEN Active RFCOMM sessions L2PCB PCB Flag MTU Out-Q DLCs State c2afe900 c2b53380 1 127 0 Yes OPEN Active RFCOMM sockets PCB Recv-Q Send-Q Local address Foreign address Chan DLCI State c2e8bc80 0 250 00:02:72:00:d4:1a 00:07:e0:00:0b:ca 3 6 OPEN RFCOMM RFCOMM 协议 RFCOMM 协议提供基于 L2CAP 协议的串行端口模拟。 该协议基于 ETSI TS 07.10 标准。RFCOMM 是一个简单的传输协议， 附加了摸拟 9 针 RS-232(EIATIA-232-E) 串行端口的定义。 RFCOMM 协议最多支持 60 个并发连接 (RFCOMM通道)。 为了实现 RFCOMM， 运行于不同设备上的应用程序建立起一条关于它们之间通信段的通信路径。 RFCOMM实际上适用于使用串行端口的应用软件。 通信段是一个设备到另一个设备的蓝牙连接 (直接连接)。 RFCOMM 关心的只是直接连接设备之间的连接， 或在网络里一个设备与 modem 之间的连接。RFCOMM 能支持其它的配置， 比如在一端通过蓝牙无线技术通讯而在另一端使用有线接口。 在&os;，RFCOMM 协议在蓝牙套接字层 (Bluetooth sockets layer) 实现。 结对 设备的结对(Pairing of Devices) 默认情况下，蓝牙通信是不需要验证的， 任何设备可与其它任何设备对话。一个蓝牙设备 (比如手机) 可以选择通过验证以提供某种特殊服务 (比如拨号服务)。 蓝牙验证一般使用 PIN码(PIN codes)。 一个 PIN 码是最长为 16 个字符的 ASCII 字符串。 用户需要在两个设备中输入相同的PIN码。用户输入了 PIN 码后， 两个设备会生成一个 连接密匙(link key)。 接着连接密钥可以存储在设备或存储器中。 连接时两个设备会使用先前生成的连接密钥。 以上介绍的过程被称为 结对(pairing)。 注意如果任何一方丢失了连接密钥，必须重新进行结对。 守护进程 &man.hcsecd.8; 负责处理所有蓝牙验证请求。 默认的配置文件是 /etc/bluetooth/hcsecd.conf。 下面的例子显示一个手机的 PIN 码被预设为1234： device { bdaddr 00:80:37:29:19:a4; name "Pav's T39"; key nokey; pin "1234"; } PIN 码没有限制(除了长度)。有些设备 (例如蓝牙耳机) 会有一个预置的 PIN 码。 开关强制 &man.hcsecd.8; 守护进程处于前台，因此很容易看清发生了什么。 设置远端设备准备接收结对 (pairing)，然后启动蓝牙连接到远端设备。 远端设备应该回应接收了结对并请求PIN码。输入与 hcsecd.conf 中一样的 PIN 码。 现在您的个人计算机已经与远程设备结对了。 另外您也可以在远程设备上初始结点。 在 &os; 5.5、 6.1 以及更新版本上， 可以通过在 /etc/rc.conf 文件中增加下面的行， 以便让 hcsecd 在系统启动时自动运行： hcsecd_enable="YES" 以下是简单的 hcsecd 服务输出样本： hcsecd[16484]: Got Link_Key_Request event from 'ubt0hci', remote bdaddr 0:80:37:29:19:a4 hcsecd[16484]: Found matching entry, remote bdaddr 0:80:37:29:19:a4, name 'Pav's T39', link key doesn't exist hcsecd[16484]: Sending Link_Key_Negative_Reply to 'ubt0hci' for remote bdaddr 0:80:37:29:19:a4 hcsecd[16484]: Got PIN_Code_Request event from 'ubt0hci', remote bdaddr 0:80:37:29:19:a4 hcsecd[16484]: Found matching entry, remote bdaddr 0:80:37:29:19:a4, name 'Pav's T39', PIN code exists hcsecd[16484]: Sending PIN_Code_Reply to 'ubt0hci' for remote bdaddr 0:80:37:29:19:a4 SDP 服务发现协议 (SDP) 服务发现协议 (SDP) 提供给客户端软件一种方法， 它能发现由服务器软件提供的服务及属性。 服务的属性包括所提供服务的类型或类别， 使用该服务所需要的机制或协议。 SDP 包括 SDP 服务器和 SDP 客户端之间的通信。 服务器维护一张服务记录列表，它介绍服务器上服务的特性。 每个服务记录包含关于单个服务的信息。通过发出 SDP 请求， 客户端会得到服务记录列表的信息。如果客户端 (或者客户端上的应用软件) 决定使用一个服务，为了使用这个服务它必须与服务提供都建立一个独立的连接。 SDP 提供了发现服务及其属性的机制，但它并不提供使用这些服务的机制。 一般地，SDP客户端按照服务的某种期望特征来搜索服务。 但是，即使没有任何关于由 SDP 服务端提供的服务的预设信息， 有时也能令人满意地发现它的服务记录里所描述的是哪种服务类型。 这种发现所提供服务的过程称为 浏览(browsing)。 蓝牙 SDP 服务端 &man.sdpd.8; 和命令行客户端 &man.sdpcontrol.8; 都包括在了标准的 &os; 安装里。 下面的例子展示如何进行 SDP 浏览查询。 &prompt.user; sdpcontrol -a 00:01:03:fc:6e:ec browse Record Handle: 00000000 Service Class ID List: Service Discovery Server (0x1000) Protocol Descriptor List: L2CAP (0x0100) Protocol specific parameter #1: u/int/uuid16 1 Protocol specific parameter #2: u/int/uuid16 1 Record Handle: 0x00000001 Service Class ID List: Browse Group Descriptor (0x1001) Record Handle: 0x00000002 Service Class ID List: LAN Access Using PPP (0x1102) Protocol Descriptor List: L2CAP (0x0100) RFCOMM (0x0003) Protocol specific parameter #1: u/int8/bool 1 Bluetooth Profile Descriptor List: LAN Access Using PPP (0x1102) ver. 1.0 ...等等。注意每个服务有一个属性 (比如 RFCOMM 通道)列表。 根据服务您可能需要为一些属性做个注释。 有些蓝牙实现 (Bluetooth implementation)不支持服务浏览， 可能会返回一个空列表。这种情况，可以搜索指定的服务。 下面的例子展示如何搜索 OBEX Object Push (OPUSH) 服务： &prompt.user; sdpcontrol -a 00:01:03:fc:6e:ec search OPUSH 要在 &os; 里为蓝牙客户端提供服务，可以使用 &man.sdpd.8; 服务。 在 &os; 5.5、 6.1 和更新版本之上， 可以通过在 /etc/rc.conf 中加入下面的行： sdpd_enable="YES" 接下来使用下面的命令来启动 sdpd 服务： &prompt.root; /etc/rc.d/sdpd start 需要为远端提供蓝牙服务的本地的服务程序会使用本地 SDP 进程注册服务。像这样的程序就有 &man.rfcomm.pppd.8;。 一旦启动它，就会使用本地 SDP 进程注册蓝牙 LAN 服务。 使用本地 SDP 进程注册的服务列表，可以通过本地控制通道发出 SDP 浏览查询获得： &prompt.root; sdpcontrol -l browse 拨号网络 (DUN) 和使用 PPP(LAN) 层面的网络接入 拨号网络 (DUN) 配置通常与 modem 和手机一起使用。 如下是这一配置所涉及的内容： 计算机使用手机或 modem 作为无线 modem 来连接拨号因特网连入服务器， 或者使用其它的拨号服务； 计算机使用手机或 modem 接收数据请求。 使用 PPP(LAN) 层面的网络接入常使用在如下情形： 单个蓝牙设备的局域网连入； 多个蓝牙设备的局域网接入； PC 到 PC (使用基于串行线模拟的 PPP 网络)。 在 &os; 中，两个层面使用 &man.ppp.8; 和 &man.rfcomm.pppd.8; (一种封装器，可以将 RFCOMM 蓝牙连接转换为 PPP 可操作的东西) 来实现。 在使用任何层面之前，一个新的 PPP 标识必须在 /etc/ppp/ppp.conf 中建立。 想要实例请参考 &man.rfcomm.pppd.8;。 在下面的例子中，&man.rfcomm.pppd.8; 用来在 NUN RFCOMM 通道上打开一个到 BD_ADDR 为 00:80:37:29:19:a4 的设备的 RFCOMM 连接。具体的 RFCOMM 通道号要通过 SDP 从远端设备获得。也可以手动指定通 RFCOMM，这种情况下 &man.rfcomm.pppd.8; 将不能执行 SDP 查询。使用 &man.sdpcontrol.8; 来查找远端设备上的 RFCOMM 通道。 &prompt.root; rfcomm_pppd -a 00:80:37:29:19:a4 -c -C dun -l rfcomm-dialup 为了提供 PPP(LAN) 网络接入服务，必须运行 &man.sdpd.8; 服务。一个新的 LAN 客户端条目必须在 /etc/ppp/ppp.conf 文件中建立。 想要实例请参考 &man.rfcomm.pppd.8;。 最后，在有效地通道号上开始 RFCOMM PPP 服务。 RFCOMM PPP 服务会使用本地 SDP 进程自动注册蓝牙 LAN 服务。下面的例子展示如何启动 RFCOMM PPP 服务。 &prompt.root; rfcomm_pppd -s -C 7 -l rfcomm-server OBEX OBEX 对象推送 (OBEX Object Push - OPUSH) 层面 OBEX协议被广泛地用于移动设备之间简单的文件传输。 它的主要用处是在红外线通信领域， 被用于笔记本或手持设备之间的一般文件传输。 OBEX 服务器和客户端由第三方软件包 obexapp实现，它可以从 comms/obexapp port 安装。 OBEX 客户端用于向 OBEX 服务器推入或接出对象。 一个对像可以是(举个例子)商业卡片或约会。 OBEX 客户能通过 SDP 从远程设备取得 RFCOMM 通道号。这可以通过指定服务名代替 RFCOMM 通道号来完成。支持的服务名是有：IrMC、FTRN 和 OPUSH。 也可以用数字来指定 RFCOMM 通道号。下面是一个 OBEX 会话的例子，一个设备信息对像从手机中被拉出， 一个新的对像被推入手机的目录。 &prompt.user; obexapp -a 00:80:37:29:19:a4 -C IrMC obex> get telecom/devinfo.txt devinfo-t39.txt Success, response: OK, Success (0x20) obex> put new.vcf Success, response: OK, Success (0x20) obex> di Success, response: OK, Success (0x20) 为了提供 OBEX 推入服务，&man.sdpd.8; 必须处于运行状态。必须创建一个根目录用于存放所有进入的对象。 根文件夹的默认路径是 /var/spool/obex。 最后，在有效的 RFCOMM 通道号上开始 OBEX 服务。OBEX 服务会使用 SDP 进程自动注册 OBEX 对象推送 (OBEX Object Push) 服务。 下面的例子展示如何启动 OBEX 服务。 &prompt.root; obexapp -s -C 10 串口(SP)层面 串口(SP)层面允许蓝牙设备完成 RS232 (或类似) 串口线的仿真。 这个层面所涉及到情形是， 通过虚拟串口使用蓝牙代替线缆来处理以前的程序。 工具 &man.rfcomm.sppd.1; 来实现串口层。 Pseudo tty 用来作为虚拟的串口。 下面的例子展示如何连接远程设备的串口服务。 注意您不必指定 RFCOMM 通道——&man.rfcomm.sppd.1; 能够通过 SDP 从远端设备那里获得。 如果您想代替它的话，可以在命令行里指定 RFCOMM 通道来实现： &prompt.root; rfcomm_sppd -a 00:07:E0:00:0B:CA -t /dev/ttyp6 rfcomm_sppd[94692]: Starting on /dev/ttyp6... 一旦连接上，pseudo tty就可以充当串口了： &prompt.root; cu -l ttyp6 问题解答 不能连接远端设备 一些较老的蓝牙设备并不支持角色转换 (role switching)。默认情况下，&os; 接受一个新的连接时， 它会尝试进行角色转换并成为主控端 (master)。 不支持角色转换的设备将无法连接。 注意角色转换是在新连接建立时运行的， 因此如果远程设备不支持角色转换，就不可能向它发出请求。 一个 HCI 选项用来在本地端禁用角色转换。 &prompt.root; hccontrol -n ubt0hci write_node_role_switch 0 如果有错， 能否知道到底正在发生什么？ 可以。 需要借助第三方软件包 hcidump， 它可以通过 comms/hcidump port 来安装。 hcidump 工具和 &man.tcpdump.1; 非常相像。 它可以用来显示蓝牙数据包的内容， 并将其记录到文件中。 Andrew Thompson 原作 桥接 简介 IP 子网 桥接 有时， 会有需要将一个物理网络分成两个独立的网段， 而不是创建新的 IP 子网， 并将其通过路由器相连。 以这种方式连接两个网络的设备称为 网桥 (bridge)。 有两个网络接口的 FreeBSD 系统可以作为网桥来使用。 网桥通过学习每个网络接口上的 MAC 层地址 (以太网地址) 工作。 只当数据包的源地址和目标地址处于不同的网络时， 网桥才进行转发。 在很多方面，网桥就像一个带有很少端口的以太网交换机。 适合桥接的情况 适合使用网桥的， 有许多种不同的情况。 使多个网络相互联通 网桥的基本操作是将两个或多个网段连接在一起。 由于各式各样的原因， 人们会希望使用一台真正的计算机， 而不是网络设备来充任网桥的角色， 常见的原因包括线缆的限制、 需要进行防火墙， 或为虚拟机网络接口连接虚拟网络。 网桥也可以将无线网卡以 hostap 模式接入有线网络。 过滤/数据整形防火墙 防火墙 NAT 使用防火墙的常见情形是无需进行路由或网络地址转换的情况 (NAT)。 举例来说， 一家通过 DSL 或 ISDN 连接到 ISP 的小公司， 拥有 13 个 ISP 分配的全局 IP 地址和 10 台 PC。 在这种情况下， 由于划分子网的问题， 采用路由来实现防火墙会比较困难。 路由器 DSL ISDN 基于网桥的防火墙可以串接在 DSL/ISDN 路由器的后面， 而无需考虑 IP 编制的问题。 网络监视 网桥可以用于连接两个不同的网段， 并用于监视往返的以太网帧。 这可以通过在网桥接口上使用 &man.bpf.4;/&man.tcpdump.1;， 或通过将全部以太网帧复制到另一个网络接口 (span 口) 来实现。 2层 VPN 通过 IP 连接的网桥， 可以利用 EtherIP 隧道或基于 &man.tap.4; 的解决方案， 如 OpenVPN 可以将两个以太网连接到一起。 2层 冗余 网络可以通过多条链路连接在一起， 并使用生成树协议 (Spanning Tree Protocol) 来阻止多余的通路。 为使以太网能够正确工作， 两个设备之间应该只有一条激活通路， 而生成树能够检测环路， 并将多余的链路置为阻断状态。 当激活通路断开时， 协议能够计算另外一棵树， 并重新激活阻断的通路， 以恢复到网络各点的连通性。 内核配置 这一节主要介绍 &man.if.bridge.4; 网桥实现。 除此之外， 还有一个基于 netgraph 的网桥实现， 如欲了解进一步细节， 请参见联机手册 &man.ng.bridge.4;。 网桥驱动是一个内核模块， 并会随使用 &man.ifconfig.8; 创建网桥接口时自动加载。 您也可以将 device if_bridge 加入到内核配置文件中， 以便将其静态联编进内核。 包过滤可以通过使用了 &man.pfil.9; 框架的任意一种防火墙软件包来完成。 这些防火墙可以以模块形式加载， 也可以静态联编进内核。 通过配合 &man.altq.4; 和 &man.dummynet.4;， 网桥也可以用于流量控制。 启用网桥 网桥是通过接口复制来创建的。 您可以使用 &man.ifconfig.8; 来创建网桥接口， 如果内核不包括网桥驱动， 则它会自动将其载入。 &prompt.root; ifconfig bridge create bridge0 &prompt.root; ifconfig bridge0 bridge0: flags=8802<BROADCAST,SIMPLEX,MULTICAST> metric 0 mtu 1500 ether 96:3d:4b:f1:79:7a id 00:00:00:00:00:00 priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp maxaddr 100 timeout 1200 root id 00:00:00:00:00:00 priority 0 ifcost 0 port 0 如此就建立了一个网桥接口， 并为其随机分配了以太网地址。 maxaddr 和 timeout 参数能够控制网桥在转发表中保存多少个 MAC 地址， 以及表项中主机的过期时间。 其他参数控制生成树的运转方式。 将成员网络接口加入网桥。 为了让网桥能够为所有网桥成员接口转发包， 网桥接口和所有成员接口都需要处于启用状态： &prompt.root; ifconfig bridge0 addm fxp0 addm fxp1 up &prompt.root; ifconfig fxp0 up &prompt.root; ifconfig fxp1 up 网桥现在会在 fxp0 和 fxp1 之间转发以太网帧。 等效的 /etc/rc.conf 配置如下， 如此配置将在系统启动时创建同样的网桥。 cloned_interfaces="bridge0" ifconfig_bridge0="addm fxp0 addm fxp1 up" ifconfig_fxp0="up" ifconfig_fxp1="up" 如果网桥主机需要 IP 地址， 则应将其绑在网桥设备本身， 而不是某个成员设备上。 这可以通过静态设置或 DHCP 来完成： &prompt.root; ifconfig bridge0 inet 192.168.0.1/24 除此之外， 也可以为网桥接口指定 IPv6 地址。 防火墙 firewall (防火墙) 当启用包过滤时， 通过网桥的包可以分别在进入的网络接口、 网桥接口和发出的网络接口上进行过滤。 这些阶段均可禁用。 当包的流向很重要时， 最好在成员接口而非网桥接口上配置防火墙。 网桥上可以进行许多配置以决定非 IP 及 ARP 包能否通过， 以及通过 IPFW 实现二层防火墙。 请参见 &man.if.bridge.4; 联机手册以了解进一步的细节。 生成树 网桥驱动实现了快速生成树协议 (RSTP 或 802.1w)， 并与较早的生成树协议 (STP) 兼容。 生成树可以用来在网络拓扑中检测并消除环路。 RSTP 提供了比传统 STP 更快的生成树覆盖速度， 这种协议会在相邻的交换机之间交换信息， 以迅速进入转发状态， 而不会产生环路。 下表展示了支持的运行模式： OS 版本 STP 模式 默认模式 &os; 5.4—&os; 6.2 STP STP &os; 6.3+ RSTP 或 STP STP &os; 7.0+ RSTP 或 STP RSTP 使用 stp 命令可以在成员接口上启用生成树。 对包含 fxp0 和 fxp1 的网桥， 可以用下列命令启用 STP： &prompt.root; ifconfig bridge0 stp fxp0 stp fxp1 bridge0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 ether d6:cf:d5:a0:94:6d id 00:01:02:4b:d4:50 priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp maxaddr 100 timeout 1200 root id 00:01:02:4b:d4:50 priority 32768 ifcost 0 port 0 member: fxp0 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 3 priority 128 path cost 200000 proto rstp role designated state forwarding member: fxp1 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 4 priority 128 path cost 200000 proto rstp role designated state forwarding 网桥的生成树 ID 为 00:01:02:4b:d4:50 而优先级为 32768。 其中 root id 与生成树相同， 表示这是作为生成树根的网桥。 另一个网桥也启用了生成树： bridge0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 ether 96:3d:4b:f1:79:7a id 00:13:d4:9a:06:7a priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp maxaddr 100 timeout 1200 root id 00:01:02:4b:d4:50 priority 32768 ifcost 400000 port 4 member: fxp0 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 4 priority 128 path cost 200000 proto rstp role root state forwarding member: fxp1 flags=1c7<LEARNING,DISCOVER,STP,AUTOEDGE,PTP,AUTOPTP> port 5 priority 128 path cost 200000 proto rstp role designated state forwarding 这里的 root id 00:01:02:4b:d4:50 priority 32768 ifcost 400000 port 4 表示根网桥是前面的 00:01:02:4b:d4:50， 而从此网桥出发的通路代价为 400000, 此通路到根网桥是通过 port 4 即 fxp0 连接的。 网桥的高级用法 重建流量流 网桥支持监视模式， 在 &man.bpf.4; 处理之后会将包丢弃， 而不是继续处理或转发。 这可以用于将两个或多个接口上的输入转化为一个 &man.bpf.4; 流。 在将两个独立的接口上的传输的 RX/TX 信号重整为一个时， 这会非常有用。 如果希望将四个网络接口上的输入转成一个流： &prompt.root; ifconfig bridge0 addm fxp0 addm fxp1 addm fxp2 addm fxp3 monitor up &prompt.root; tcpdump -i bridge0 镜像口 (Span port) 网桥收到的每个以太网帧都可以发到镜像口上。 网桥上的镜像口数量没有限制， 如果一个接口已经被配置为镜像口， 则它就不能再作为网桥的成员口来使用。 这种用法主要是为与网桥镜像口相连的监听机配合使用。 如果希望将所有帧发到名为 fxp4 的接口上： &prompt.root; ifconfig bridge0 span fxp4 专用接口 (Private interface) 专用接口不会转发流量到除专用接口之外的其他端口。 这些流量会无条件地阻断， 因此包括 ARP 在内的以太网帧均不会被转发。 如果需要选择性地阻断流量， 则应使用防火墙。 自学习接口 (Sticky Interfaces) 如果网桥的成员接口标记为自学习， 则动态学习的地址项一旦进入转发快取缓存， 即被认为是静态项。 自学习项不会从快取缓存中过期或替换掉， 即使地址在另一接口上出现也是如此。 这使得不必事先发布转发表， 也能根据学习结果得到静态项的有点， 但在这些网段被网桥看到的客户机， 就不能漫游至另一网段了。 另一种用法是将网桥与 VLAN 功能连用， 这样客户网络会被隔离在一边， 而不会浪费 IP 地址空间。 考虑 CustomerA 在 vlan100 上， 而 CustomerB 则在 vlan101 上。 网桥地址为 192.168.0.1， 同时作为 internet 路由器使用。 &prompt.root; ifconfig bridge0 addm vlan100 sticky vlan100 addm vlan101 sticky vlan101 &prompt.root; ifconfig bridge0 inet 192.168.0.1/24 两台客户机均将 192.168.0.1 作为默认网关， 由于网桥快取缓存是自学习的， 因而它们无法伪造 MAC 地址来截取其他客户机的网络流量。 在 VLAN 之间的通讯可以通过专用接口 (或防火墙) 来阻断： &prompt.root; ifconfig bridge0 private vlan100 private vlan101 这样这些客户机就完全相互隔离了。 可以使用整个的 /24 地址空间， 而无需划分子网。 地址限制 接口后的源 MAC 地址数量是可以控制的。 一旦到达了限制未知源地址的包将会被丢弃， 直至现有缓存中的一项过期或被移除。 下面的例子是设置 CustomerA 在 vlan100 上可连接的以太网设备最大值为 10。 &prompt.root; ifconfig bridge0 ifmaxaddr vlan100 10 SNMP 管理 网桥接口和 STP 参数能够由 &os; 基本系统的 SNMP 守护进程进行管理。导出的网桥 MIB 符和 IETF 标准， 所以任何 SNMP 客户端或管理包都可以被用来接收数据。 在网桥机器上从/etc/snmp.config 文件中去掉以下这行的注释 begemotSnmpdModulePath."bridge" = "/usr/lib/snmp_bridge.so" 并启动 bsnmpd 守护进程。 其他的配置选项诸如 community names 和 access lists 可能也许也需要修改。 参阅 &man.bsnmpd.1; 和 &man.snmp.bridge.3; 获取更多信息。 以下的例子中使用了 Net-SNMP 软件 (net-mgmt/net-snmp) 来查询一个网桥，当然同样也能够使用port net-mgmt/bsnmptools。 在 SNMP 客户端 Net-SNMP 的配置文件 $HOME/.snmp/snmp.conf 中 加入以下几行来导入网桥的 MIB 定义： mibdirs +/usr/share/snmp/mibs mibs +BRIDGE-MIB:RSTP-MIB:BEGEMOT-MIB:BEGEMOT-BRIDGE-MIB 通过 IETF BRIDGE-MIB(RFC4188) 监测一个单独的网桥 &prompt.user; snmpwalk -v 2c -c public bridge1.example.com mib-2.dot1dBridge BRIDGE-MIB::dot1dBaseBridgeAddress.0 = STRING: 66:fb:9b:6e:5c:44 BRIDGE-MIB::dot1dBaseNumPorts.0 = INTEGER: 1 ports BRIDGE-MIB::dot1dStpTimeSinceTopologyChange.0 = Timeticks: (189959) 0:31:39.59 centi-seconds BRIDGE-MIB::dot1dStpTopChanges.0 = Counter32: 2 BRIDGE-MIB::dot1dStpDesignatedRoot.0 = Hex-STRING: 80 00 00 01 02 4B D4 50 ... BRIDGE-MIB::dot1dStpPortState.3 = INTEGER: forwarding(5) BRIDGE-MIB::dot1dStpPortEnable.3 = INTEGER: enabled(1) BRIDGE-MIB::dot1dStpPortPathCost.3 = INTEGER: 200000 BRIDGE-MIB::dot1dStpPortDesignatedRoot.3 = Hex-STRING: 80 00 00 01 02 4B D4 50 BRIDGE-MIB::dot1dStpPortDesignatedCost.3 = INTEGER: 0 BRIDGE-MIB::dot1dStpPortDesignatedBridge.3 = Hex-STRING: 80 00 00 01 02 4B D4 50 BRIDGE-MIB::dot1dStpPortDesignatedPort.3 = Hex-STRING: 03 80 BRIDGE-MIB::dot1dStpPortForwardTransitions.3 = Counter32: 1 RSTP-MIB::dot1dStpVersion.0 = INTEGER: rstp(2) dot1dStpTopChanges.0的值为2 意味着 STP 网桥拓扑改变了2次，拓扑的改变表示1个或多个 网络中的连接改变或失效并且有一个新树生成。 dot1dStpTimeSinceTopologyChange.0 的值则能够显示这是何时改变的。 监测多个网桥接口可以使用 private BEGEMOT-BRIDGE-MIB： &prompt.user; snmpwalk -v 2c -c public bridge1.example.com enterprises.fokus.begemot.begemotBridge BEGEMOT-BRIDGE-MIB::begemotBridgeBaseName."bridge0" = STRING: bridge0 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseName."bridge2" = STRING: bridge2 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseAddress."bridge0" = STRING: e:ce:3b:5a:9e:13 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseAddress."bridge2" = STRING: 12:5e:4d:74:d:fc BEGEMOT-BRIDGE-MIB::begemotBridgeBaseNumPorts."bridge0" = INTEGER: 1 BEGEMOT-BRIDGE-MIB::begemotBridgeBaseNumPorts."bridge2" = INTEGER: 1 ... BEGEMOT-BRIDGE-MIB::begemotBridgeStpTimeSinceTopologyChange."bridge0" = Timeticks: (116927) 0:19:29.27 centi-seconds BEGEMOT-BRIDGE-MIB::begemotBridgeStpTimeSinceTopologyChange."bridge2" = Timeticks: (82773) 0:13:47.73 centi-seconds BEGEMOT-BRIDGE-MIB::begemotBridgeStpTopChanges."bridge0" = Counter32: 1 BEGEMOT-BRIDGE-MIB::begemotBridgeStpTopChanges."bridge2" = Counter32: 1 BEGEMOT-BRIDGE-MIB::begemotBridgeStpDesignatedRoot."bridge0" = Hex-STRING: 80 00 00 40 95 30 5E 31 BEGEMOT-BRIDGE-MIB::begemotBridgeStpDesignatedRoot."bridge2" = Hex-STRING: 80 00 00 50 8B B8 C6 A9 通过 mib-2.dot1dBridge 子树改变正在被监测的网桥接口： &prompt.user; snmpset -v 2c -c private bridge1.example.com BEGEMOT-BRIDGE-MIB::begemotBridgeDefaultBridgeIf.0 s bridge2 Andrew Thompson Written by 链路聚合与故障转移 lagg failover (故障转移) fec lacp loadbalance (负载均衡) roundrobin (轮转) 介绍 使用 &man.lagg.4; 接口， 能够将多个网络接口聚合为一个虚拟接口， 以提供容灾和高速连接的能力。 运行模式 Failover (故障转移) 只通过主网口收发数据。 如果主网口不可用， 则使用下一个激活的网口。 您在这里加入的第一个网口便会被视为主网口； 此后加入的其他网口， 则会被视为故障转移的备用网口。 &cisco; Fast ðerchannel; &cisco; Fast ðerchannel; (FEC) 是一种静态配置， 并不进行节点间协商或交换以太网帧来监控链路情况。 如果交换机支持 LACP， 则应使用后者而非这种配置。 FEC 将输出流量在激活的网口之间以协议头散列信息为依据分拆， 并接收来自任意激活网口的入流量。 散列信息包含以太网源地址、 目的地址， 以及 (如果有的话) VLAN tag 和 IPv4/IPv6 源地址及目的地址信息。 LACP 支持 &ieee; 802.3ad 链路聚合控制协议 (LACP) 和标记协议。 LACP 能够在节点与若干链路聚合组之间协商链路。 每一个链路聚合组 (LAG) 由一组相同速度、 以全双工模式运行的网口组成。 流量在 LAG 中的网口之间， 会以总速度最大的原则进行分摊。 当物理链路发生变化时， 链路聚合会迅速适应变动形成新的配置。 LACP 也是将输出流量在激活的网口之间以协议头散列信息为依据分拆， 并接收来自任意激活网口的入流量。 散列信息包含以太网源地址、 目的地址， 以及 (如果有的话) VLAN tag 和 IPv4/IPv6 源地址及目的地址信息。 Loadbalance (负载均衡) 这是 FEC 模式的别名。 Round-robin (轮转) 将输出流量以轮转方式在所有激活端口之间调度， 并从任意激活端口接收进入流量。 这种模式违反了以太网帧排序规则， 因此应小心使用。 例子 与 &cisco; 交换机配合完成 LACP 链路聚合 在这个例子中， 我们将 &os; 的两个网口作为一个负载均衡和故障转移链路聚合组接到交换机上。 在此基础上， 还可以增加更多的网口， 以提高吞吐量和故障容灾能力。 由于以太网链路上两节点间的帧序是强制性的， 因此两个节点之间的连接速度， 会取决于一块网卡的最大速度。 传输算法会尽量采用更多的信息， 以便将不同的网络流量分摊到不同的网络接口上， 并平衡不同网口的负载。 在 &cisco; 交换机上将 FastEthernet0/1 和 FastEthernet0/2 这两个网口添加到 channel-group 1： interface FastEthernet0/1 channel-group 1 mode active channel-protocol lacp ! interface FastEthernet0/2 channel-group 1 mode active channel-protocol lacp 在 &os; 使用 fxp0 和 fxp1 创建 &man.lagg.4; 接口： &prompt.root; ifconfig lagg0 create &prompt.root; ifconfig lagg0 up laggproto lacp laggport fxp0 laggport fxp1 用下面的命令查看接口状态： &prompt.root; ifconfig lagg0 标记为 ACTIVE 的接口是激活据合组的部分， 这表示它们已经完成了与远程交换机的协商， 同时， 流量将通过这些接口来收发。 在 &man.ifconfig.8; 的详细输出中会给出 LAG 的标识。 lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=8<VLAN_MTU> ether 00:05:5d:71:8d:b8 media: Ethernet autoselect status: active laggproto lacp laggport: fxp1 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> laggport: fxp0 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> 如果需要查看交换机上的端口状态， 则应使用 show lacp neighbor 命令： switch# show lacp neighbor Flags: S - Device is requesting Slow LACPDUs F - Device is requesting Fast LACPDUs A - Device is in Active mode P - Device is in Passive mode Channel group 1 neighbors Partner's information: LACP port Oper Port Port Port Flags Priority Dev ID Age Key Number State Fa0/1 SA 32768 0005.5d71.8db8 29s 0x146 0x3 0x3D Fa0/2 SA 32768 0005.5d71.8db8 29s 0x146 0x4 0x3D 如欲查看进一步的详情， 则需要使用 show lacp neighbor detail 命令。 故障转移模式 故障转移模式中， 当首选链路发生问题时， 会自动切换到备用端口。 下面的命令会创建 lagg0 接口， 并使用 fxp0 作为首选接口， 而 fxp1 作为备用接口： &prompt.root; ifconfig lagg0 create &prompt.root; ifconfig lagg0 up laggproto failover laggport fxp0 laggport fxp1 创建成功之后， 接口状态会是类似下面这样， 主要的区别是 MAC 地址和设备名： &prompt.root; ifconfig lagg0 lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=8<VLAN_MTU> ether 00:05:5d:71:8d:b8 media: Ethernet autoselect status: active laggproto failover laggport: fxp1 flags=0<> laggport: fxp0 flags=5<MASTER,ACTIVE> 系统将在 fxp0 上进行流量的收发。 如果 fxp0 的连接中断， 则 fxp1 会自动成为激活连接。 如果主端口的连接恢复， 则它又会成为激活连接。 Jean-François Dockès 更新： Alex Dupre 重新组织及增强： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 袁 苏义 无盘操作 无盘工作站 无盘操作 FreeBSD 主机可以从网络启动而无需本地磁盘就可操作， 使用的是从 NFS 服务器装载的文件系统。 除了标准的配置文件，无需任何的系统修改。 很容易设置这样的系统因为所有必要的元素都很容易得到： 至少有两种可能的方法从网络加载内核： PXE：&intel; 的先启动执行环境 (Preboot eXecution Environment) 系统是一种灵活的引导 ROM 模式，这个 ROM 内建在一些网卡或主板的中。查看 &man.pxeboot.8; 以获取更多细节。 Etherboot port (net/etherboot) 产生通过网络加载内核的可 ROM 代码。这些代码可以烧入网卡上的 PROM 上，或从本地软盘 (或硬盘) 驱动器加载，或从运行着的 &ms-dos; 系统加载。它支持多种网卡。 一个样板脚本 (/usr/share/examples/diskless/clone_root) 简化了对服务器上的工作站根文件系统的创建和维护。 这个脚本需要少量的自定义，但您能很快的熟悉它。 /etc 存在标准的系统启动文件用于侦测和支持无盘的系统启动。 可以向 NFS 文件或本地磁盘进行交换(如果需要的话)。 设置无盘工作站有许多方法。 有很多相关的元素大部分可以自定义以适合本地情况。 以下将介绍一个完整系统的安装，强调的是简单性和与标准 FreeBSD 启动脚本的兼容。介绍的系统有以下特性： 无盘工作站使用一个共享的只读 / 文件系统和一个共享的只读/usr。 root 文件系统是一份标准的 FreeBSD 根文件系统 (一般是服务器的)，只是一些配置文件被特定于无盘操作的配置文件覆盖。 root 文件系统必须可写的部分被 &man.md.4; 文件系统覆盖。 任何的改写在重启后都会丢失。 内核由 etherboot 或 PXE 传送和加载， 有些情况可能会指定使用其中之一。 如上所述，这个系统是不安全的。 它应该处于网络的受保护区域并不被其它主机信任。 这部分所有的信息均在 5.2.1-RELEASE 上测试过。 背景信息 设置无盘工作站相对要简单而又易出错。 有时分析一些原因是很难的。例如： 编译时选项在运行时可能产生不同的行为。 出错信息经常是加密了的或根本就没有。 在这里， 涉及到的一些背景知识对于可能出现的问题的解决是很有帮助的。 要成功地引导系统还有些操作需要做。 机子需要获取初始的参数，如它的 IP 地址、执行文件、服务器名、根路径。这个可以使用 或 BOOTP 协议来完成。 DHCP 是 BOOTP 的兼容扩展， 并使用相同的端口和基本包格式。 只使用 BOOTP 来配置系统也是可行的。 &man.bootpd.8; 服务程序被包含在基本的 &os; 系统里。 不过，DHCP 相比 BOOTP 有几个好处 (更好的配置文件，使用 PXE 的可能性，以及许多其它并不直接相关的无盘操作)， 接着我们会要描述一个 DHCP 配置， 可能的话会利用与使用 &man.bootpd.8; 相同的例子。这个样板配置会使用ISC DHCP 软件包 (3.0.1.r12 发行版安装在测试服务器上)。 机子需要传送一个或多个程序到本地内存。 TFTP 或 NFS 会被使用。选择TFTP 还是 NFS 需要在几个地方的编译时间选项里设置。 通常的错误源是为文件名指定了错误的协议：TFTP 通常从服务器里的一个单一目录传送所有文件，并需要相对这个目录的文件名。 NFS 需要的是绝对文件路径。 介于启动程序和内核之间的可能的部分需要被初始化并执行。 在这部分有几个重要的变量： PXE 会装入 &man.pxeboot.8;——它是 &os; 第三阶段装载器的修改版。 &man.loader.8; 会获得许多参数用于系统启动， 并在传送控制之前把它们留在内核环境里。 在这种情况下，使用 GENERIC 内核就可能了。 Etherboot 会做很少的准备直接装载内核。 您要使用指定的选项建立 (build) 内核。 PXE 和 Etherboot 工作得一样的好。 不过， 因为一般情况下内核希望 &man.loader.8; 做了更多的事情， PXE 是推荐的方法。 如果您的 BIOS 和网卡都支持 PXE， 就应该使用它。 最后，机子需要访问它的文件系统。 NFS 使用在所有的情况下。 查看 &man.diskless.8; 手册页。 安装说明 配置使用<application>ISC DHCP</application> DHCP 无盘操作 ISC DHCP 服务器可以回应 BOOTP 和 DHCP 的请求。 ISC DHCP 3.0 并不属于基本系统。首先您需要安装 net/isc-dhcp30-server port 或相应的包。 一旦安装了 ISC DHCP， 还需要一个配置文件才能运行 (通常名叫 /usr/local/etc/dhcpd.conf)。 这里有个注释过的例子，里边主机 margaux 使用 Etherboot， 而主机corbieres 使用 PXE： default-lease-time 600; max-lease-time 7200; authoritative; option domain-name "example.com"; option domain-name-servers 192.168.4.1; option routers 192.168.4.1; subnet 192.168.4.0 netmask 255.255.255.0 { use-host-decl-names on; option subnet-mask 255.255.255.0; option broadcast-address 192.168.4.255; host margaux { hardware ethernet 01:23:45:67:89:ab; fixed-address margaux.example.com; next-server 192.168.4.4; filename "/data/misc/kernel.diskless"; option root-path "192.168.4.4:/data/misc/diskless"; } host corbieres { hardware ethernet 00:02:b3:27:62:df; fixed-address corbieres.example.com; next-server 192.168.4.4; filename "pxeboot"; option root-path "192.168.4.4:/data/misc/diskless"; } } 这个选项告诉 dhcpd 发送host 里声明的用于无盘主机的主机名的值。 另外可能会增加一个 option host-name margaux 到 host 声明里。 next-server 正式指定 TFTP 或 NFS 服务用于载入装载器或内核文件 (默认使用的是相同的主机作为DHCP 服务器)。 filename 正式定义这样的文件——etherboot 或 PXE 为执行下一步将装载它。 根据使用的传输方式，它必须要指定。 Etherboot 可以被编译来使用 NFS 或 TFTP。 &os; port 默认配置了NFS。 PXE 使用 TFTP， 这就是为什么在这里使用相对文件名 (这可能依赖于 TFTP 服务器配置，不过会相当典型)。 同样，PXE 会装载 pxeboot， 而不是内核。另外有几个很有意思的可能，如从 &os; CD-ROM 的 /boot 目录装载 pxeboot (因为 &man.pxeboot.8; 能够装载 GENERIC 内核，这就使得可以使用 PXE 从远程的 CD-ROM 里启动)。 root-path 选项定义到根 (root) 文件系统的路径，通常是 NFS 符号。当使用 PXE 时，只要您不启用内核里的 BOOTP 选项，可以不管主机的IP。NFS 服务器然后就如同 TFTP 一样。 配置使用BOOTP BOOTP 无盘操作 这里紧跟的是一个等效的 bootpd 配置 (减少到一个客户端)。这个可以在 /etc/bootptab 里找到。 请注意：为了使用BOOTP，etherboot 必须使用非默认选项 NO_DHCP_SUPPORT 来进行编译，而且 PXE 需要 DHCP。bootpd 的唯一可见的好处是它存在于基本系统中。 .def100:\ :hn:ht=1:sa=192.168.4.4:vm=rfc1048:\ :sm=255.255.255.0:\ :ds=192.168.4.1:\ :gw=192.168.4.1:\ :hd="/tftpboot":\ :bf="/kernel.diskless":\ :rp="192.168.4.4:/data/misc/diskless": margaux:ha=0123456789ab:tc=.def100 使用<application>Etherboot</application>准备启动程序 Etherboot Etherboot 的网站 包含有更多的文档 ——主要瞄准的是 Linux 系统，但无疑包含有有用的信息。 如下列出的是关于在 FreeBSD 系统里使用 Etherboot。 首先您必须安装net/etherboot 包或 port。 您可以改变 Etherboot 的配置 (如使用 TFTP 来代替 NFS)， 方法是修改 Config 文件——在 Etherboot 源目录里。 对于我们的设置，我们要使用一张启动软盘。 对于其它的方法(PROM，或 &ms-dos;程序)， 请参考 Etherboot 文档。 想要使用启动软盘，先插入一张软盘到安装有 Etherboot 的机器的驱动器里， 然后把当前路径改到 src 目录——在 Etherboot 树下， 接着输入： &prompt.root; gmake bin32/devicetype.fd0 devicetype 依赖于无盘工作站上的以太网卡的类型。 参考在同一个目录下的 NIC 文件确认正确的 devicetype。 使用<acronym>PXE</acronym>启动 默认地，&man.pxeboot.8; 装载器通过 NFS 装载内核。它可以编译来使用 TFTP——通过在文件 /etc/make.conf 里指定 LOADER_TFTP_SUPPORT 选项来代替。 请参见 /usr/share/examples/etc/make.conf 里的注释 了解如何配置。 除此之外还有两个未说明的 make.conf 选项——它可能对于设置一系列控制台无盘机器会有用： BOOT_PXELDR_PROBE_KEYBOARD和 BOOT_PXELDR_ALWAYS_SERIAL。 当机器启动里，要使用 PXE， 通常需要选择 Boot from network 选项——在 BIOS 设置里， 或者在 PC 初始化的时候输入一个功能键 (function key)。 配置 <acronym>TFTP</acronym> 和 <acronym>NFS</acronym> 服务器 TFTP 无盘操作 NFS 无盘操作 如果您正在使用 PXE 或 Etherboot——配置使用了 TFTP，那么您需要在文件服务器上启用 tftpd： 建立一个目录——从那里 tftpd 可以提供文件服务，如 /tftpboot。 把这一行加入到 /etc/inetd.conf里： tftp dgram udp wait root /usr/libexec/tftpd tftpd -l -s /tftpboot 好像有一些版本的 PXE 需要 TCP 版本的 TFTP。 在这种情况下，加入第二行，使用 stream tcp 来代替 dgram udp。 让 inetd 重读其配置文件。 要正确执行这个命令， 在 /etc/rc.conf 文件中必须加入 ： &prompt.root; /etc/rc.d/inetd restart 您可把 tftpboot 目录放到服务器上的什何地方。 确定这个位置设置在 inetd.conf 和 dhcpd.conf 里。 在所有的情况下，您都需要启用 NFS， 并且 NFS 服务器上导出相应的文件系统。 把这一行加入到/etc/rc.conf里： nfs_server_enable="YES" 通过往 /etc/exports 里加入下面几行(调整载入点列， 并且使用无盘工作站的名字替换 margaux corbieres)， 导出文件系统——无盘根目录存在于此： /data/misc -alldirs -ro margaux corbieres 让 mountd 重读它的配置文件。如果您真的需要启用第一步的 /etc/rc.conf 里 NFS， 您可能就要重启系统了。 &prompt.root; /etc/rc.d/mountd restart 建立无盘内核 无盘操作 内核配置 如果您在使用 Etherboot， 您需要为无盘客户端建立内核配置文件， 使用如下选项(除了常使用的外)： options BOOTP # Use BOOTP to obtain IP address/hostname options BOOTP_NFSROOT # NFS mount root filesystem using BOOTP info 您可能也想使用 BOOTP_NFSV3， BOOT_COMPAT 和 BOOTP_WIRED_TO (参考 NOTES 文件)。 这些名字具有历史性，并且有些有些误导， 因为它们实际上启用了内核里 (它可能强制限制 BOOTP 或 DHCP 的使用)，与 DHCP 和 BOOTP 的无关的应用。 编译内核(参考)， 然后将它复制到 dhcpd.conf 里指定的地方。 当使用 PXE 里， 使用以上选项建立内核并不做严格要求(尽管建议这样做)。 启用它们会在内核启动时引起更多的 DHCP 提及过的请求，带来的小小的风险是在有些特殊情况下新值和由 &man.pxeboot.8; 取回的值之间的不一致性。 使用它们的好处是主机名会被附带设置。否则， 您就需要使用其它的方法来设置主机名，如在客户端指定的 rc.conf 文件里。 为了使带有 Etherboot 的内核可引导，就需要把设备提示 (device hint) 编译进去。通常要在配置文件(查看 NOTES 配置注释文件) 里设置下列选项： hints "GENERIC.hints" 准备根(root)文件系统 根文件系统 无盘操作 您需要为无盘工作站建立根文件系统， 它就是 dhcpd.conf 里的 root-path 所指定的目录。 使用 <command>make world</command> 来复制根文件系统 这种方法可以迅速安装一个彻底干净的系统 (不仅仅是根文件系统) 到 DESTDIR。 您要做的就是简单地执行下面的脚本： #!/bin/sh export DESTDIR=/data/misc/diskless mkdir -p ${DESTDIR} cd /usr/src; make buildworld && make buildkernel cd /usr/src/etc; make distribution 一旦完成，您可能需要定制 /etc/rc.conf 和 /etc/fstab——根据您的需要放到 DESTDIR里。 配置 swap(交换) 如果需要，位于服务器上的交换文件可以通过 NFS 来访问。 <acronym>NFS</acronym> 交换区 内核并不支持在引导时启用 NFS 交换区。 交换区必须通过启动脚本启用， 其过程是挂接一个可写的文件系统， 并在其上创建并启用交换文件。 要建立尺寸合适的交换文件， 可以这样做： &prompt.root; dd if=/dev/zero of=/path/to/swapfile bs=1k count=1 oseek=100000 要启用它，您须要把下面几行加到 rc.conf里： swapfile=/path/to/swapfile 杂项问题 运行时 <filename>/usr</filename> 是只读在 无盘操作 只读的 /usr 如果无盘工作站是配置来支持 X， 那么您就必须调整 XDM 配置文件，因为它默认把错误信息写到 /usr。 使用非 FreeBSD 服务器 当用作根文件系统的服务器运行的是不 FreeBSD，您须要在 FreeBSD 机器上建立根文件系统， 然后把它复制到它的目的地，使用的命令可以是 tar 或 cpio。 在这种情况下，有时对于 /dev 里的一些特殊的文件会有问题，原因就是不同的 最大/最小整数大小。 一种解决的方法就是从非 FreeBSD 服务里导出一个目录， 并把它载入 FreeBSD 到机子上， 并使用 &man.devfs.5; 来为用户透明地分派设备节点。 ISDN ISDN 关于 ISDN 技术和硬件的一个好的资源是Dan Kegel 的 ISDN 主页。 一个快速简单的到 ISDN 的路线图如下： 如果您住在欧洲，您可能要查看一下 ISDN 卡部分。 如果您正计划首要地使用 ISDN 基于拨号非专用线路连接到带有提供商的互联网， 您可能要了解一下终端适配器。如果您更改提供商的话， 这会给您带来最大的灵活性、最小的麻烦。 如果您连接了两个局域网 (LAN)，或使用了专用的 ISDN 连线连接到互联网，您可能要考虑选择单独的路由器/网桥。 在决定选择哪一种方案的时候，价格是个很关键的因素。 下面列有从不算贵到最贵的选择： Hellmuth Michaelis 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 ISDN 卡 ISDN 卡 FreeBSD 的 ISDN 工具通过被动卡 (passive card) 仅支持 DSS1/Q.931(或 Euro-ISDN) 标准。 此外也支持一些 active card， 它们的固件也支持其它信号协议， 这其中包括最先得到支持的 Primary Rate (PRI) ISDN卡。 isdn4bsd 软件允许连接到其它 ISDN 路由器，使用的是原始的 HDLC 上的 IP 或利用同步 PPP：使用带有 isppp (一个修改过的 &man.sppp.4; 驱动程序)的 PPP 内核，或使用用户区 (userland) &man.ppp.8;。通过使用 userland &man.ppp.8;，两个或更多 ISDN 的 B 通道联结变得可能。 除了许多如 300 波特 (Baud) 的软 modem 一样的工具外， 还可以实现电话应答机应用。 在 FreeBSD 里，正有更多的 PC ISDN 卡被支持； 报告显示在整个欧洲及世界的其它许多地区可以成功使用。 被支持的主动型 ISDN 卡主要是带有 Infineon (以前的 Siemens) ISAC/HSCX/IPAC ISDN 芯片组，另外还有带有 Cologne (只有 ISA 总线) 芯片的 ISDN 卡、带有 Winbond W6692 芯片的 PCI 卡、一部分带有 Tiger300/320/ISAC 芯片组的卡以及带有一些商家专有的芯片组的卡 (如 AVM Fritz!Card PCI V.1.0 和 the AVM Fritz!Card PnP)。 当前积极的支持的 ISDN 卡有 AVM B1 (ISA 和 PCI) BRI 卡和 AVM T1 PCI PRI 卡。 关于 isdn4bsd 的文档，请查看 FreeBSD 系统里的 /usr/share/examples/isdn/ 目录或查看 isdn4bsd的主页， 那里也有提示、勘误表以及更多的文档 (如 isdn4bsd手册)。 要是您有兴趣增加对不同 ISDN 协议的支持，对当前还不支持的 ISDN PC 卡的支持或想增强 isdn4bsd 的性能，请联系 &a.hm;。 对于安装、配置以及 isdn4bsd 故障排除的问题，可以利用 &a.isdn.name; 邮件列表。 ISDN 终端适配器 终端适配器 (TA) 对于 ISDN 就好比 modem 对于常规电话线。 modem 许多 TA 使用标准的 Hayes modem AT 命令集，并且可以降级来代替 modem。 TA 基本的运作同 modem 一样，不同之处是连接和整个速度更比老 modem 更快。同 modem 的安装一样，您也需要配置 PPP。确认您的串口速度已足够高。 PPP 使用 TA 连接互联网提供商的主要好处是您可以做动态的 PPP。 由于 IP 地址空间变得越来越紧张，许多提供商都不愿再提供静态 IP。许多的独立的路由器是不支持动态 IP 分配的。 TA 完全依赖于您在运行的 PPP 进程， 以完成它们的功能和稳定的连接。这可以让您在 FreeBSD 机子里轻易地从使用 modem 升级到 ISDN，要是您已经安装了 PPP 的话。只是，在您使用 PPP 程序时所体验到任何问题同时也存在。 如果您想要最大的稳定性，请使用 PPP 内核选项，而不要使用 userland PPP。 下面的 TA 就可以同 FreeBSD 一起工作： Motorola BitSurfer 和 Bitsurfer Pro Adtran 大部分其它的 TA 也可能工作，TA 提供商试图让他们的产品可以接受大部分的标准 modem AT 命令集。 对于外置 TA 的实际问题是：象 modem 要一样，您机子需要有一个好的串行卡。 想要更深入地理解串行设备以及异步和同步串口这间的不同点， 您就要读读 FreeBSD 串行硬件教程了。 TA 将标准的 PC 串口 (同步的) 限制到了 115.2 Kbs，即使您有 128 Kbs 的连接。 想要完全利用 ISDN 有能力达到的 128 Kbs，您就需要把 TA 移到同步串行卡上。 当心被骗去买一个内置的 TA 以及自认为可以避免同步/异步问题。内置的 TA 只是简单地将一张标准 PC 串口芯片内建在里边。 所做的这些只是让您省去买另一根串行线以及省去寻找另一个空的插孔。 带有 TA 的同步卡至少和一个独立的路由器同一样快地， 而且仅使用一个简单的 386 FreeBSD 盒驱动它。 选择同步卡/TA 还是独立的路由器，是个要高度谨慎的问题。 在邮件列表里有些相关的讨论。我们建议您去搜索一下关于完整讨论的记录。 单独的 ISDN 桥/路由器 ISDN 单独的 桥/路由器 ISDN 桥或路由器根本就没有指定要 FreeBSD 或其它任何的操作系统。更多完整的关于路由和桥接技术的描述， 请参考网络指南的书籍。 这部分的内容里，路由器和桥接这两个词汇将会交替地使用。 随着 ISDN 路由器/桥的价格下滑，对它们的选择也会变得越来越流行。 ISDN 路由器是一个小盒子，可以直接地接入您的本地以太网， 并且自我管理到其它桥/路由器的连接。它有个内建的软件用于与通信——通过 PPP 和其它流行的协议。 路由器有比标准 TA 更快的吞吐量，因为它会使用完全同步的 ISDN 连接。 使用 ISDN 路由器和桥的主要问题是两个生产商之间的协同性仍存在问题。 如果您计划连接到互联网提供商，您应该跟他们进行交涉。 如果您计划连接两个局域网网段，如您的家庭网和办公网， 这将是最简单最低维护的解决方案。因为您买的设备是用于连接两边的， 可以保证这种连接一定会成功。 例如连接到家里的计算机，或者是办公网里的一个分支连接到办公主网， 那么下面的设置就可能用到： 办公室局部或家庭网 10 base 2 网络使用基于总线拓扑的 10 base 2 以太网 (瘦网(thinnet))。如果有必要，用网线连接路由器和 AUI/10BT 收发器。 ---Sun workstation | ---FreeBSD box | ---Windows 95 | Stand-alone router | ISDN BRI line 10 Base 2 Ethernet 如果您的家里或办公室支部里只有一台计算机， 您可以使用一根交叉的双绞线直接连接那台独立路由器。 主办公室或其它网络 10 base T 网络使用的是星形拓扑的 10 base T 以太网(双绞线)。 -------Novell Server | H | | ---Sun | | | U ---FreeBSD | | | ---Windows 95 | B | |___---Stand-alone router | ISDN BRI line ISDN Network Diagram 大部分路由器/网桥有一大好处就是，它们允许您在 同一 时间，有两个 分开独立的 PPP 连接到两个分开的点上。这点在许多的 TA 上是不支持的， 除非带有两个串口的特定模式(通常都很贵)。请不要把它与通道连接、MPP 等相混淆。 这是个非常有用的功能，例如，如果在您的办公室里您有个专有的 ISDN 连接，而且您想接入到里边，但休想让另一根 ISDN 线也能工作。 办公室里的路由器能够管理专有的B通道连接到互联网 (64 Kbps) 以及使用另一个通道 B 来完成单独的数据连接。 第二个 B 通道可以用于拨进、拨出或动态与第一个B通道进行连接 (MPP等)，以获取更大宽带。 IPX/SPX 以太网桥也允许您传输的不仅仅是 IP 通信。您也可以发送 IPX/SPX 或其它任何您所使用的协议。 Chern Lee 作者： 李 鑫 译者：
delphij@FreeBSD.org.cn
 网络地址转换 概要 natd FreeBSD 的网络地址转换服务， 通常也被叫做 &man.natd.8;， 是一个能够接收连入的未处理 IP 包， 将源地址修改为本级地址然后重新将这些包注入到发出 IP 包流中。 &man.natd.8; 同时修改源地址和端口， 当接收到响应数据时，它作逆向转换以便把数据发回原先的请求者。 Internet 连接共享 NAT NAT 最常见的用途是为人们所熟知的 Internet 连接共享。 安装 随着 IPv4 的 IP 地址空间的日益枯竭， 以及使用如 DSL 和电缆等高速连接的用户的逐渐增多， 越来越多的人开始需要 Internet 连接共享这样的解决方案。 由于能够将许多计算机通过一个对外的 IP 地址进行接入， &man.natd.8; 成为了一个理想的选择。 更为常见的情况， 一个用户通过电缆或者 DSL 线路 接入，并拥有一个 IP 地址，同时，希望通过这台接入 Internet 的计算机来为 LAN 上更多的计算机提供接入服务。 为了完成这一任务， 接入 Internet 的 FreeBSD 机器必须扮演网关的角色。 这台网关必须有两块网卡 — 一块用于连接 Internet 路由器， 另一块用来连接 LAN。 所有 LAN 上的机器通过 Hub 或交换机进行连接。 有多种方法能够通过 &os; 网关将 LAN 接入 Internet。 这个例子只介绍了有至少两块网卡的网关。 _______ __________ ________ | | | | | | | Hub |-----| Client B |-----| Router |----- Internet |_______| |__________| |________| | ____|_____ | | | Client A | |__________| Network Layout 上述配置被广泛地用于共享 Internet 连接。 LAN 中的一台机器连接到 Internet 中。 其余的计算机则通过那台 网关 机来连接 Internet。 + + + boot loader (引导加载器) + configuration (配置) + + + 引导加载器配置 + + 在默认的 GENERIC + 内核中， 并没有启用通过 &man.natd.8; 进行网址翻译的功能， + 不过， 这一功能可以通过在 /boot/loader.conf + 中添加两项配置来在引导时自动予以加载： + + ipfw_load="YES" +ipdivert_load="YES" + + 此外， 还可以将引导加载器变量 + net.inet.ip.fw.default_to_accept + 设为 1： + + net.inet.ip.fw.default_to_accept="1" + + + 在刚开始配置防火墙和 NAT 网关时， + 增加这个配置是个好主意。 默认的 &man.ipfw.8; + 规则将是 allow ip from any to + any 而不是默认的 deny ip from + any to any， 这样， 在系统重启时， + 也就不太容易被反锁在外面。 + + + + 内核配置 + 内核 配置 - 配置 - 下面这些选项必须放到内核配置文件中： + 当不能使用内核模块， 或更希望将全部需要的功能联编进内核时， + 可以在内核配置中添加下面的设置来实现： + options IPFIREWALL options IPDIVERT 此外，下列是一些可选的选项： options IPFIREWALL_DEFAULT_TO_ACCEPT options IPFIREWALL_VERBOSE + + + + 系统引导时的配置 - 这些配置必须放到 /etc/rc.conf 中： + 如果希望在系统引导过程中启用防火墙和 NAT 支持， + 应在 /etc/rc.conf中添加下列配置： gateway_enable="YES" firewall_enable="YES" firewall_type="OPEN" natd_enable="YES" natd_interface="fxp0" natd_flags="" 将机器配置为网关。 执行 sysctl net.inet.ip.forwarding=1 效果相同。 在启动时启用 /etc/rc.firewall 中的防火墙规则。 指定一个预定义的允许所有包进入的防火墙规则集。 参见 /etc/rc.firewall 以了解其他类型的规则集。 指定通过哪个网络接口转发包 (接入 Internet 的那一个)。 其他希望在启动时传递给 &man.natd.8; 的参数。 在 /etc/rc.conf 中加入上述选项将在系统启动时运行 natd -interface fxp0。 这一工作也可以手工完成。 当有太多选项要传递时，也可以使用一个 &man.natd.8; 的配置文件来完成。这种情况下，这个配置文件必须通过在 /etc/rc.conf 里增加下面内容来定义： natd_flags="-f /etc/natd.conf" /etc/natd.conf 文件会包含一个配置选项列表， 每行一个。在紧跟部分的例子里将使用下面的文件： redirect_port tcp 192.168.0.2:6667 6667 redirect_port tcp 192.168.0.3:80 80 关于配置文件的更多信息，参考 &man.natd.8; 手册页中关于 选项那一部分。 在LAN后面的每一台机子和接口应该被分配私有地址空间(由RFC 1918定义) 里的 IP 地址，并且默认网关设成 natd 机子的内连 IP 地址。 例如：客户端 A 和 B 在 LAN 后面，IP 地址是 192.168.0.2 和 192.168.0.3，同时 natd 机子的 LAN 接口上的 IP 地址是 192.168.0.1。客户端 A 和 B 的默认网关必须要设成 natd 机子的 IP——192.168.0.1。natd 机子外连，或互联网接口不需要为了 &man.natd.8; 而做任何特别的修改就可工作。 端口重定向 使用 &man.natd.8; 的缺点就是 LAN 客户不能从互联网访问。LAN 上的客户可以进行到外面的连接，而不能接收进来的连接。如果想在 LAN 的客户端机子上运行互联网服务，这就会有问题。 对此的一种简单方法是在 natd 机子上重定向选定的互联网端口到 LAN 客户端。 例如：在客户端 A 上运行 IRC 服务，而在客户端 B 上运行 web 服务。 想要正确的工作，在端口 6667 (IRC) 和 80 (web) 上接收到的连接就必须重定向到相应的机子上。 需要使用适当的选项传送给 &man.natd.8;。语法如下： -redirect_port proto targetIP:targetPORT[-targetPORT] [aliasIP:]aliasPORT[-aliasPORT] [remoteIP[:remotePORT[-remotePORT]]] 在上面的例子中，参数应该是： -redirect_port tcp 192.168.0.2:6667 6667 -redirect_port tcp 192.168.0.3:80 80 这就会重定向适当的 tcp 端口到 LAN 上的客户端机子。 参数可以用来指出端口范围来代替单个端口。例如， tcp 192.168.0.2:2000-3000 2000-3000 就会把所有在端口 2000 到 3000 上接收到的连接重定向到主机 A 上的端口 2000 到 3000。 当直接运行 &man.natd.8; 时，就可以使用这些选项， 把它们放到 /etc/rc.conf 里的 natd_flags="" 选项上， 或通过一个配置文件进行传送。 想要更多配置选项，请参考 &man.natd.8;。 地址重定向 地址重定向 如果有几个 IP 地址提供，那么地址重定向就会很有用， 然而他们必须在一个机子上。使用它，&man.natd.8; 就可以分配给每一个 LAN 客户端它们自己的外部 IP 地址。&man.natd.8; 然后会使用适当的处部 IP 地址重写从 LAN 客户端外出的数据包， 以及重定向所有进来的数据包——一定的 IP 地址回到特定的 LAN 客户端。这也叫做静态 NAT。例如，IP 地址 128.1.1.1、 128.1.1.2 和 128.1.1.3 属于 natd 网关机子。 128.1.1.1 可以用来作 natd 网关机子的外连 IP 地址，而 128.1.1.2 和 128.1.1.3 用来转发回 LAN 客户端 A 和 B。 语法如下： -redirect_address localIP publicIP localIP LAN 客户端的内部 IP 地址。 publicIP 相应 LAN 客户端的外部 IP 地址。 在这个例子里，参数是： -redirect_address 192.168.0.2 128.1.1.2 -redirect_address 192.168.0.3 128.1.1.3 象 一样，这些参数也是放在 /etc/rc.conf 里的 natd_flags="" 选项上， 或通过一个配置文件传送给它。使用地址重定向， 就没有必要用端口重定向了，因为所有在某个 IP 地址上收到的数据都被重定向了。 在 natd 机子上的外部 IP 地址必须激活并且别名到 (aliased) 外连接口。要这做就看看 &man.rc.conf.5;。 并口电缆 IP (PLIP) PLIP 并口电缆 IP PLIP PLIP 允许我们在两个并口间运行 TCP/IP。 在使用笔记本电脑， 或没有网卡的计算机时， 这会非常有用。 这一节中， 我们将讨论： 制作用于并口的 (laplink) 线缆。 使用 PLIP 连接两台计算机。 制作并口电缆。 您可以在许多计算机供应店里买到并口电缆。 如果买不到， 或者希望自行制作， 则可以参阅下面的表格， 它介绍了如何利用普通的打印机并口电缆来改制： 用于网络连接的并口电缆接线方式A-name A 端 B 端 描述 Post/BitDATA0 -ERROR 2 15 15 2 数据 0/0x01 1/0x08DATA1 +SLCT 3 13 13 3 数据 0/0x02 1/0x10DATA2 +PE 4 12 12 4 数据 0/0x04 1/0x20DATA3 -ACK 5 10 10 5 脉冲 (Strobe) 0/0x08 1/0x40DATA4 BUSY 6 11 11 6 数据 0/0x10 1/0x80GND 18-25 18-25 GND -
 设置 PLIP 首先，您需要一根 laplink 线。然后， 确认两台计算机的内核都有对 &man.lpt.4; 驱动程序的支持： &prompt.root; grep lp /var/run/dmesg.boot lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port 并口必须是一个中断驱动的端口， 您应在 /boot/device.hints 文件中配置： hint.ppc.0.at="isa" hint.ppc.0.irq="7" 然后检查内核配置文件中是否有一行 device plip 或加载了 plip.ko 内核模块。 这两种情况下， 在使用 &man.ifconfig.8; 命令时都会显示并口对应的网络接口， 类似这样： &prompt.root; ifconfig plip0 plip0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500 用 laplink 线接通两台计算机的并口。 在两边以 root 身份配置通讯参数。 例如， 如果你希望将 host1 通过另一台机器 host2 连接： host1 <-----> host2 IP Address 10.0.0.1 10.0.0.2 配置 host1 上的网络接口，照此做： &prompt.root; ifconfig plip0 10.0.0.1 10.0.0.2 配置 host2 上的网络接口，照此做： &prompt.root; ifconfig plip0 10.0.0.2 10.0.0.1 您现在应该有个工作的连接了。想要更详细的信息， 请阅读 &man.lp.4; 和 &man.lpt.4; 手册页。 您还应该增加两个主机到 /etc/hosts： 127.0.0.1 localhost.my.domain localhost 10.0.0.1 host1.my.domain host1 10.0.0.2 host2.my.domain host2 要确认连接是否工作，可以到每一台机子上，然后 ping 另外一台。例如，在 host1 上： &prompt.root; ifconfig plip0 plip0: flags=8851<UP,POINTOPOINT,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.1 --> 10.0.0.2 netmask 0xff000000 &prompt.root; netstat -r Routing tables Internet: Destination Gateway Flags Refs Use Netif Expire host2 host1 UH 0 0 plip0 &prompt.root; ping -c 4 host2 PING host2 (10.0.0.2): 56 data bytes 64 bytes from 10.0.0.2: icmp_seq=0 ttl=255 time=2.774 ms 64 bytes from 10.0.0.2: icmp_seq=1 ttl=255 time=2.530 ms 64 bytes from 10.0.0.2: icmp_seq=2 ttl=255 time=2.556 ms 64 bytes from 10.0.0.2: icmp_seq=3 ttl=255 time=2.714 ms --- host2 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max/stddev = 2.530/2.643/2.774/0.103 ms Aaron Kaplan 原始作者： Tom Rhodes 重新组织和增加： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 Brad Davis Extended by IPv6 IPv6 (也被称作 IPng 下一代 IP) 是众所周知的 IP 协议 (也叫 IPv4) 的新版本。 和其他现代的 *BSD 系统一样， FreeBSD 包含了 KAME 的 IPv6 参考实现。 因此， 您的 FreeBSD 系统包含了尝试 IPv6 所需要的所有工具。 这一节主要集中讨论如何配置和使用 IPv6。 在 1990 年代早期， 人们开始担心可用的 IPv4 地址空间在不断地缩小。 随着 Internet 的爆炸式发展， 主要的两个担心是： 用尽所有的地址。 当然现在这个问题已经不再那样尖锐， 因为 RFC1918 私有地址空间 (10.0.0.0/8、 172.16.0.0/12， 以及 192.168.0.0/16) 和网络地址转换 (NAT) 技术已经被广泛采用。 路由表条目变得太大。这点今天仍然是焦点。 IPv6 解决这些和其它许多的问题： 128 位地址空间。换句话，理论上有 340,282,366,920,938,463,463,374,607,431,768,211,456 个地址可以使用。这意味着在我们的星球上每平方米大约有 6.67 * 10^27 个 IPv6 地址。 路由器仅在它们的路由表里存放网络地址集， 这就减少路由表的平均空间到 8192 个条目。 IPv6 还有其它许多有用的功能，如： 地址自动配置 (RFC2462) Anycast (任意播) 地址(一对多) 强制的多播地址 IPsec (IP 安全) 简单的头结构 移动的 (Mobile) IP IPv6 到 IPv4 的转换机制 要更多信息，请查看： IPv6 概观，在 playground.sun.com KAME.net 关于 IPv6 地址的背景知识 有几种不同类型的 IPv6 地址：Unicast，Anycast 和 Multicast。 Unicast 地址是为人们所熟知的地址。一个被发送到 unicast 地址的包实际上会到达属于这个地址的接口。 Anycast 地址语义上与 unicast 地址没有差别， 只是它们强调一组接口。指定为 anycast 地址的包会到达最近的 (以路由为单位) 接口。Anycast 地址可能只被路由器使用。 Multicast 地址标识一组接口。指定为 multicast 地址的包会到达属于 multicast 组的所有的接口。 IPv4 广播地址 (通常为 xxx.xxx.xxx.255) 由 IPv6 的 multicast 地址来表示。 保留的 IPv6 地址 IPv6 地址 预定长度 (bits) 描述 备注 :: 128 bits 未指定 类似 IPv4 中的 0.0.0.0 ::1 128 bits 环回地址 类似 IPv4 中的 127.0.0.1 ::00:xx:xx:xx:xx 96 bits 嵌入的 IPv4 低 32 bits 是 IPv4 地址。这也称作 IPv4 兼容 IPv6 地址 ::ff:xx:xx:xx:xx 96 bits IPv4 影射的 IPv6 地址 低的 32 bits 是 IPv4 地址。 用于那些不支持 IPv6 的主机。 fe80:: - feb:: 10 bits 链路环回 类似 IPv4 的环回地址。 fec0:: - fef:: 10 bits 站点环回   ff:: 8 bits 多播   001 (base 2) 3 bits 全球多播 所有的全球多播地址都指定到这个地址池中。前三个二进制位是 001。
IPv6 地址的读法 规范形式被描述为：x:x:x:x:x:x:x:x， 每一个x就是一个 16 位的 16 进制值。当然， 每个十六进制块以三个0开始头的也可以省略。如 FEBC:A574:382B:23C1:AA49:4592:4EFE:9982 通常一个地址会有很长的子串全部为零， 因此每个地址的这种子串常被简写为::。 例如：fe80::1 对应的规范形式是 fe80:0000:0000:0000:0000:0000:0000:0001。 第三种形式是以众所周知的用点.作为分隔符的十进制 IPv4 形式，写出最后 32 Bit 的部分。例如 2002::10.0.0.1 对应的十进制正规表达方式是 2002:0000:0000:0000:0000:0000:0a00:0001 它也相当于写成 2002::a00:1. 到现在，读者应该能理解下面的内容了： &prompt.root; ifconfig rl0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.10 netmask 0xffffff00 broadcast 10.0.0.255 inet6 fe80::200:21ff:fe03:8e1%rl0 prefixlen 64 scopeid 0x1 ether 00:00:21:03:08:e1 media: Ethernet autoselect (100baseTX ) status: active fe80::200:21ff:fe03:8e1%rl0 是一个自动配置的链路环回地址。它作为自动配置的一部分由 MAC 生成。 关于 IPv6 地址的结构的更多信息，请参看 RFC3513。 进行连接 目前，有四种方式可以连接到其它 IPv6 主机和网络： 咨询你的互联网服务提供商是否提供 IPv6。 SixXS 向全球范围提供通道。 使用 6-to-4 通道 (RFC3068) 如果您使用的是拨号连接， 则可以使用 net/freenet6 port。 IPv6 世界里的 DNS 对于 IPv6 有两种类型的 DNS 记录：IETF 已经宣布 A6 是过时标准；现行的标准是 AAAA 记录。 使用AAAA记录是很简单的。通过增加下面内容， 给您的主机分配置您刚才接收到的新的 IPv6 地址： MYHOSTNAME AAAA MYIPv6ADDR 到您的主域 DNS 文件里，就可以完成。要是您自已没有 DNS 域服务，您可以询问您的 DNS 提供商。目前的 bind 版本 (version 8.3 与 9) 和 dns/djbdns(含IPv6补丁) 支持 AAAA 记录。 在 <filename>/etc/rc.conf</filename> 中进行所需的修改 IPv6 客户机设置 这些设置将帮助您把一台您 LAN 上的机器配置为一台客户机， 而不是路由器。 要让 &man.rtsol.8; 在启动时自动配置您的网卡， 只需添加： ipv6_enable="YES" 要自动地静态指定 IP 地址， 例如 2001:471:1f11:251:290:27ff:fee0:2093， 到 fxp0 上， 则写上： ipv6_ifconfig_fxp0="2001:471:1f11:251:290:27ff:fee0:2093" 要指定 2001:471:1f11:251::1 作为默认路由， 需要在 /etc/rc.conf 中加入： ipv6_defaultrouter="2001:471:1f11:251::1" IPv6 路由器/网关配置 这将帮助您从隧道提供商那里取得必要的资料， 并将这些资料转化为在重启时能够保持住的设置。 要在启动时恢复您的隧道， 需要在 /etc/rc.conf 中增加： 列出要配置的通用隧道接口， 例如 gif0： gif_interfaces="gif0" 配置该接口使用本地端地址 MY_IPv4_ADDR 和远程端地址 REMOTE_IPv4_ADDR： gifconfig_gif0="MY_IPv4_ADDR REMOTE_IPv4_ADDR" 应用分配给您用于 IPv6 隧道远端的 IPv6 地址， 需要增加： ipv6_ifconfig_gif0="MY_ASSIGNED_IPv6_TUNNEL_ENDPOINT_ADDR" 此后十设置 IPv6 的默认路由。 这是 IPv6 隧道的另一端： ipv6_defaultrouter="MY_IPv6_REMOTE_TUNNEL_ENDPOINT_ADDR" IPv6 隧道配置 如果服务器将您的网络通过 IPv6 路由到世界的其他角落， 您需要在 /etc/rc.conf 中添加下面的配置： ipv6_gateway_enable="YES" 路由宣告和主机自动配置 这节将帮助您配置 &man.rtadvd.8; 来宣示默认的 IPv6 路由。 要启用 &man.rtadvd.8; 您需要在 /etc/rc.conf 中添加： rtadvd_enable="YES" 指定由哪个网络接口来完成 IPv6 路由请求非常重要。 举例来说， 让 &man.rtadvd.8; 使用 fxp0： rtadvd_interfaces="fxp0" 接下来我们需要创建配置文件， /etc/rtadvd.conf。 示例如下： fxp0:\ :addrs#1:addr="2001:471:1f11:246::":prefixlen#64:tc=ether: 将 fxp0 改为您打算使用的接口名。 接下来， 将 2001:471:1f11:246:: 改为分配给您的地址前缀。 如果您拥有专用的 /64 子网， 则不需要修改其他设置。 反之， 您需要把 prefixlen# 改为正确的值。 Harti Brandt 贡献者： 张 雪平 中文翻译：
zxpmyth@yahoo.com.cn
 异步传输模式 (ATM) 配置 classical IP over ATM (PVCs) Classical IP over ATM (CLIP) 是一种最简单的使用带 IP 的 ATM 的方法。 这种方法可以用在交换式连接 (SVC) 和永久连接 (PVC) 上。这部分描述的就是配置基于 PVC 的网络。 完全互连的配置 第一种使用PVC来设置 CLIP 的方式就是通过专用的 PVC 让网络里的每一台机子都互连在一起。 尽管这样配置起来很简单，但对于数量更多一点的机子来说就有些不切实际了。 例如我们有四台机子在网络里，每一台都使用一张 ATM 适配器卡连接到 ATM 网络。第一步就是规划 IP 地址和机子间的 ATM 连接。我们使用下面的： 主机 IP 地址 hostA 192.168.173.1 hostB 192.168.173.2 hostC 192.168.173.3 hostD 192.168.173.4 为了建造完全交错的网络，我们需要在第一对机子间有一个 ATM 连接： 机器 VPI.VCI 对 hostA - hostB 0.100 hostA - hostC 0.101 hostA - hostD 0.102 hostB - hostC 0.103 hostB - hostD 0.104 hostC - hostD 0.105 在每一个连接端 VPI 和 VCI 的值都可能会不同， 只是为了简单起见，我们假定它们是一样的。 下一步我们需要配置每一个主机上的 ATM 接口： hostA&prompt.root; ifconfig hatm0 192.168.173.1 up hostB&prompt.root; ifconfig hatm0 192.168.173.2 up hostC&prompt.root; ifconfig hatm0 192.168.173.3 up hostD&prompt.root; ifconfig hatm0 192.168.173.4 up 假定所有主机上的 ATM 接口都是 hatm0。 现在 PVC 需要配置到 hostA 上 (我们假定它们都已经配置在了 ATM 交换机上，至于怎么做的， 您就需要参考一下该交换机的手册了)。 hostA&prompt.root; atmconfig natm add 192.168.173.2 hatm0 0 100 llc/snap ubr hostA&prompt.root; atmconfig natm add 192.168.173.3 hatm0 0 101 llc/snap ubr hostA&prompt.root; atmconfig natm add 192.168.173.4 hatm0 0 102 llc/snap ubr hostB&prompt.root; atmconfig natm add 192.168.173.1 hatm0 0 100 llc/snap ubr hostB&prompt.root; atmconfig natm add 192.168.173.3 hatm0 0 103 llc/snap ubr hostB&prompt.root; atmconfig natm add 192.168.173.4 hatm0 0 104 llc/snap ubr hostC&prompt.root; atmconfig natm add 192.168.173.1 hatm0 0 101 llc/snap ubr hostC&prompt.root; atmconfig natm add 192.168.173.2 hatm0 0 103 llc/snap ubr hostC&prompt.root; atmconfig natm add 192.168.173.4 hatm0 0 105 llc/snap ubr hostD&prompt.root; atmconfig natm add 192.168.173.1 hatm0 0 102 llc/snap ubr hostD&prompt.root; atmconfig natm add 192.168.173.2 hatm0 0 104 llc/snap ubr hostD&prompt.root; atmconfig natm add 192.168.173.3 hatm0 0 105 llc/snap ubr 当然，除 UBR 外其它的通信协定也可让 ATM 适配器支持这些。 此种情况下，通信协定的名字要跟人通信参数后边。工具 &man.atmconfig.8; 的帮助可以这样得到： &prompt.root; atmconfig help natm add 或者在 &man.atmconfig.8; 手册页里得到。 相同的配置也可以通过 /etc/rc.conf 来完成。对于 hostA，看起来就象这样： network_interfaces="lo0 hatm0" ifconfig_hatm0="inet 192.168.173.1 up" natm_static_routes="hostB hostC hostD" route_hostB="192.168.173.2 hatm0 0 100 llc/snap ubr" route_hostC="192.168.173.3 hatm0 0 101 llc/snap ubr" route_hostD="192.168.173.4 hatm0 0 102 llc/snap ubr" 所有 CLIP 路由的当前状态可以使用如下命令获得： hostA&prompt.root; atmconfig natm show Tom Rhodes 原作 - Common Access Redundancy Protocol (CARP， 共用地址冗余协议) + Common Address Redundancy Protocol (CARP， 共用地址冗余协议) CARP - Common Access Redundancy Protocol, 共用地址冗余协议 + Common Address Redundancy Protocol, 共用地址冗余协议 - Common Access Redundancy Protocol， 或简称 + Common Address Redundancy Protocol， 或简称 CARP 能够使多台主机共享同一 IP 地址。 在某些配置中， 这样做可以提高可用性， 或实现负载均衡。 下面的例子中， 这些主机也可以同时使用其他的不同的 IP 地址。 要启用 CARP 支持， 必须在 &os; 内核配置中增加下列选项， 并重新联编内核： device carp 这样就可以使用 CARP 功能了， 一些具体的参数， 可以通过一系列 sysctl OID 来调整。 OID 描述 net.inet.carp.allow 接受进来的 CARP 包。 默认启用。 net.inet.carp.preempt 当主机中有一个 CARP 网络接口失去响应时， 这个选项将停止这台主机上所有的 CARP 接口。 默认禁用。 net.inet.carp.log 当值为 0 表示禁止记录所有日志。 值为 1 表示记录损坏的 CARP 包。任何大于 1 表示记录 CARP 网络接口的状态变化。默认值为 1。 net.inet.carp.arpbalance 使用 ARP 均衡本地网络流量。 默认禁用。 net.inet.carp.suppress_preempt 此只读 OID 显示抑制抢占的状态。 如果一个接口上的连接失去响应, 则抢占会被抑制。 当这个变量的值为 0 时，表示抢占未被抑制。 任何问题都会使 OID 递增。 CARP 设备可以通过 ifconfig 命令来创建。 &prompt.root; ifconfig carp0 create 在真实环境中， 这些接口需要一个称作 VHID 的标识编号。 这个 VHID 或 Virtual Host Identification (虚拟主机标识) 用于在网络上区分主机。 使用 CARP 来改善服务的可用性 (CARP) 如前面提到的那样， CARP 的作用之一是改善服务的可用性。 这个例子中， 将为三台主机提供故障转移服务， 这三台服务器各自有独立的 IP 地址， 并提供完全一样的 web 内容。 三台机器以 DNS 轮询的方式提供服务。 用于故障转移的机器有两个 CARP 接口， 分别配置另外两台服务器的 IP 地址。 当有服务器发生故障时， 这台机器会自动得到故障机的 IP 地址。 这样以来， 用户就完全感觉不到发生了故障。 故障转移的服务器提供的内容和服务， 应与其为之提供热备份的服务器一致。 两台机器的配置， 除了主机名和 VHID 之外应完全一致。 在我们的例子中， 这两台机器的主机名分别是 hosta.example.org 和 hostb.example.org。 首先， 需要将 CARP 配置加入到 rc.conf。 对于 hosta.example.org 而言， rc.conf 文件中应包含下列配置： hostname="hosta.example.org" ifconfig_fxp0="inet 192.168.1.3 netmask 255.255.255.0" cloned_interfaces="carp0" ifconfig_carp0="vhid 1 pass testpass 192.168.1.50/24" 在 hostb.example.org 上， 对应的 rc.conf 配置则是： hostname="hostb.example.org" ifconfig_fxp0="inet 192.168.1.4 netmask 255.255.255.0" cloned_interfaces="carp0" ifconfig_carp0="vhid 2 pass testpass 192.168.1.51/24" 在两台机器上由 ifconfig 的 选项指定的密码必须是一致的， 这一点非常重要。 carp 设备只会监听和接受来自持有正确密码的机器的公告。 此外， 不同虚拟主机的 VHID 必须不同。 第三台机器， provider.example.org 需要进行配置， 以便在另外两台机器出现问题时接管。 这台机器需要两个 carp 设备， 分别处理两个机器。 对应的 rc.conf 配置类似下面这样： hostname="provider.example.org" ifconfig_fxp0="inet 192.168.1.5 netmask 255.255.255.0" cloned_interfaces="carp0 carp1" ifconfig_carp0="vhid 1 advskew 100 pass testpass 192.168.1.50/24" ifconfig_carp1="vhid 2 advskew 100 pass testpass 192.168.1.51/24" 配置两个 carp 设备， 能够让 provider.example.org 在两台机器中的任何一个停止响应时， 立即接管其 IP 地址。 默认的 &os; 内核 可能 启用了主机间抢占。 如果是这样的话， provider.example.org 可能在正式的内容服务器恢复时不释放 IP 地址。 此时， 管理员必须手工强制 IP 回到原来内容服务器。 具体做法是在 provider.example.org 上使用下面的命令： &prompt.root; ifconfig carp0 down && ifconfig carp0 up 这个操作需要在与出现问题的主机对应的那个 carp 接口上进行。 现在您已经完成了 CARP 的配置， 并可以开始测试了。 测试过程中， 可以随时重启或切断两台机器的网络。 如欲了解更多细节， 请参见 &man.carp.4; 联机手册。 diff --git a/zh_CN.GB2312/books/handbook/basics/chapter.sgml b/zh_CN.GB2312/books/handbook/basics/chapter.sgml index dfdfec0f04..3e57775866 100644 --- a/zh_CN.GB2312/books/handbook/basics/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/basics/chapter.sgml @@ -1,2506 +1,2506 @@ Chris Shumway Rewritten by UNIX 基础 概述 下列章节的命令和功能适用于FreeBSD操作系统。 同时这里许多内容和一些 类-&unix; 操作系统相关。 假如您已经熟悉这些内容可跳过不阅读。 假如您是FreeBSD新手， 那您应该认真详细地从头到尾读一遍这些章节。 读取这些内容，您将了解： 怎样在FreeBSD使用 虚拟控制台。 在 &unix; 中文件权限如何运作， 以及理解 &os; 中的文件标志。 &os; 默认文件系统的架构。 &os;磁盘架构。 怎样挂接或卸下文件系统。 什么是进程、守护进程、信号。 什么是shell，应当怎样去改变登录进入的默认环境。 怎样使用基本的文本编辑器。 什么是设备，什么是设备节点。 &os; 下，使用的是什么可执行文件格式。 怎样使用 man 手册并取得更多资讯。 虚拟控制台和终端 虚拟控制台 终端 可以用多种不同的方式使用 FreeBSD， 在文本终端输入命令是其中之一。 通过使用这种方式， 您可以容易地使用 FreeBSD 来获得 &unix; 操作系统的灵活而强大的功能。 这一节将介绍 终端 和 控制台， 以及如何在 FreeBSD 中使用它们。 控制台 控制台 假如您没有设置 FreeBSD 在启动期间开启图形登录界面， 那么系统将在引导和启动脚本正确运行完成后，给您一个登录的提示。 您会看到类似这样的界面: Additional ABI support:. Local package initialization:. Additional TCP options:. Fri Sep 20 13:01:06 EEST 2002 FreeBSD/i386 (pc3.example.org) (ttyv0) login: 这些信息可能和您的系统稍微有点不同，但不会有很大差别。 最后两行是我们感兴趣的， 理解这一行: FreeBSD/i386 (pc3.example.org) (ttyv0) 这一行是您刚才启动的系统信息其中一块， 您所看到的是一个FreeBSD控制台， 运行在一个Intel或兼容的x86体系架构上面 现在理解一下i386的含义。 请注意尽管您的 FreeBSD 并非在 Intel 386 CPU 上运行， 但也会显示为 i386。 这不是指您的处理器， 而是指处理器的 体系结构。 。 这台计算机的名字 (每台 &unix; 计算机都有自己的名字) 叫 pc3.example.org， 就是现在这个系统控制台—这个 ttyv0 终端的样子。 在最后，最后一行一直保持这样: login: 这里， 您将可以输入用户名 username 并登录到 &os; 系统中。 接下来的一节， 将介绍如何登录系统。 进入FreeBSD FreeBSD是一个多用户多任务的系统， 换句话来说就是一个系统中可以容纳许多不同的用户， 而这些用户都可以同时在这台机器中运行大量的程序。 每一个多用户系统都必须在某方面去区分 user， 在 FreeBSD 里 (以及 类-&unix; 操作系统)， 完成这方面工作是有必要的， 因而， 每位使用者在运行程序之前都必须首先 登录， 而每位用户都有与之对应的用户名 (username) 和密码 (password)。 FreeBSD 会在用户进入之前作出询问这两项信息。 启动脚本 当 FreeBSD 引导并运行完启动脚本之后， 启动脚本这些程序在FreeBSD在启动过程中运行。 它们的主要功能为其他每方面的运行作好准备， 和运行您的配置所用到的相关环境。 ， 它会给出一个提示， 并要求输入有效的用户名： login: 举个例子更容易理解，我们假设您的用户名叫 john。 在提示符下输入 john 并按 Enter， 此时您应该看到这个提示 password： login: john Password: 现在输入 john的密码并按下 Enter。 输入密码时是 不回显的! 不必为此担心， 这样做是出于安全考虑。 假如您输入的密码是正确的， 这时你应该已进入 FreeBSD， 并可以开始尝试可用的命令了。 您应该看见 MOTD 或者出现一个命令提示符 (#、$ 或 % 字符). 这表明您已成功登录进入FreeBSD。 多个控制台 在一个控制台运行 &unix; 命令虽说很好， 但 FreeBSD 具有一次运行 多个程序的能力。 仅使用一个控制台只会浪费 FreeBSD 同时运行多任务的能力。 而 虚拟控制台 在这方面发挥强大的功能。 FreeBSD 能配置出满足您不同需求的虚拟控制台， 在键盘上您用一组键就能从各个虚拟控制台之间切换。 各个控制台有自己的传输通道， 当您在各个控制台切换时 FreeBSD 会切换到合适的键盘传输通道和显示器传输通道。 FreeBSD 各个控制台之间可利用特殊组键切换并保留原有控制台 关于 FreeBSD 的控制台和键盘设备这些详细资料或使用技巧可在手册里找到: &man.syscons.4;、&man.atkbd.4;、&man.vidcontrol.1; 和 &man.kbdcontrol.1;。 我们不在这里详细介绍， 但是爱好者总会在手册里找到详细的答案。 ，您可这样做: AltF1， AltF2， 一直到 AltF8 在FreeBSD里切换到其中一个虚拟控制台。 同样地, 您正在从其中某个控制台切换到另一个控制台的时候, FreeBSD 会保存正在使用和恢复将要使用屏幕传输通道。 这种结果形成一种 错觉， 您拥有许多虚拟屏幕和键盘可以输入很多的命令。 这些程序需要在一个虚拟控制台不能停止运行而又不需要观察它， 它继续运行而您可以切换到其他的虚拟控制台。 <filename>/etc/ttys</filename>文件 FreeBSD 虚拟控制台的默认配置为8个，但并不是硬性设置， 您可以很容易设置虚拟控制台的个数增多或减少。 虚拟控制台的的编号和设置在 /etc/ttys 文件里。 您可以使用 /etc/ttys 文件在 FreeBSD 下配置虚拟控制台。 文件里每一未加注释的行都能设置一个终端或虚拟控制台 (当行里含有 # 这个字符时不能使用) 。 FreeBSD 默认配置是配置出9个虚拟控制台而只能启动8个， 以下这些行是 ttyv 一起启动: # name getty type status comments # ttyv0 "/usr/libexec/getty Pc" cons25 on secure # Virtual terminals ttyv1 "/usr/libexec/getty Pc" cons25 on secure ttyv2 "/usr/libexec/getty Pc" cons25 on secure ttyv3 "/usr/libexec/getty Pc" cons25 on secure ttyv4 "/usr/libexec/getty Pc" cons25 on secure ttyv5 "/usr/libexec/getty Pc" cons25 on secure ttyv6 "/usr/libexec/getty Pc" cons25 on secure ttyv7 "/usr/libexec/getty Pc" cons25 on secure ttyv8 "/usr/X11R6/bin/xdm -nodaemon" xterm off secure 如果要了解这个文件中每一列的详细介绍， 以及虚拟控制台上所能使用的配置， 请参考联机手册 &man.ttys.5;。 单用户模式的控制台 关于 单用户模式 详细介绍在 这里可以找到。 当您运行单用户模式时只能使用一个控制台， 没有多个虚拟控制台可使用。 单用户模式的控制台同也可以在 /etc/ttys 文件设置， 可在这行找到要启动的控制台： # name getty type status comments # # If console is marked "insecure", then init will ask for the root password # when going to single-user mode. console none unknown off secure 这个 console 已经注释掉, 您可编辑这行把 secure 改为 insecure。 这样， 当用单用户进入 FreeBSD 时， 它仍然要求提供 root 用户的密码。 在把这个选项改为 insecure 的时候一定要小心， 如果您忘记了 root用户的密码， 进入单用户会有点麻烦。 尽管仍然能进入单用户模式， 但如果您不熟悉它就会非常令人头疼。 改变控制台的显示模式 FreeBSD 控制台默认的显示模式可以被调整为 1024x768， 1280x1024， 或者任何你的显卡芯片和显示器所支持的其他尺寸。 要使用一个不同的显示模式， 你必须首先重新编译内核并包含以下2个选项： options VESA options SC_PIXEL_MODE 在内核用这2个选项编译完成后，你就可以使用 &man.vidcontrol.1; 工具来测定你的硬件支持何种显示模式了。 以 root 身份在控制台键入以下命令来获得一份所支持的显示模式列表。 &prompt.root; vidcontrol -i mode 这个命令的输出是一份你的硬件所支持的显示模式列表。 你可以在以 root 身份在控制台上键入 &man.vidcontrol.1; 命令来改变显示模式： &prompt.root; vidcontrol MODE_279 如果你对于新的显示模式满意，那么可以把它加入到 /etc/rc.conf 使机器在每次启动的时候都能生效， 我们使用了上一个例子中的模式： allscreens_flags="MODE_279" 权限 UNIX FreeBSD，是 BSD &unix; 的延续， 并基于几个关键的 &unix; 观念。 从一开始就多处提到 FreeBSD 是一个多用户的操作系统， 它能分别处理几个同时工作的用户所分配的毫无关联任务。 并负责为每位用户的硬件设备、 外设、 内存和 CPU 处理时间作出合理安排。 因为系统有能力支持多用户， 在每一方面系统都会作出谁能读、 写和执行的资源权力限制。 这点权限以三个八位元的方式储存着， 一个是表示文件所属者， 一个是表示文件所属群组， 一个是表示其他人。 这些数字以下列方式表示： 权限 文件权限 数值 权限 目录列表 0 不能读，不能写，不能执行 --- 1 不能读，不能写，可执行 --x 2 不能读，可写，不能执行 -w- 3 不能读，可写，可执行 -wx 4 可读，不能写，不能执行 r-- 5 可读，不能写，可执行 r-x 6 可读，可写，不能执行 rw- 7 可读，可写，可执行 rwx ls 目录 使用命令的 (&man.ls.1;) 参数可以显示出文件的所属者、 所属组和其他人等属性。 请看以下的例子： &prompt.user; ls -l total 530 -rw-r--r-- 1 root wheel 512 Sep 5 12:31 myfile -rw-r--r-- 1 root wheel 512 Sep 5 12:31 otherfile -rw-r--r-- 1 root wheel 7680 Sep 5 12:31 email.txt ... 使用 ls -l 在每行的开始出现了： -rw-r--r-- 从左边起的第一个字，告诉我们这个文件是一怎样的文件: 普通文件?目录?特殊设备?socket?或是设备文件? 在这个例子， - 表示一个普通文件。 接下来三个字是 rw- 是文件拥有者的权限。 再接下来的三个字是 r-- 是文件所属群组的权限。 最後三个字是 r-- 是其他人的权限。 以这一个文件为例，他的权限设定是拥有者可以读写这个文件、群组可以读取、 其他使用者也能读取这个文件。 根据上面的表格， 用数字表示这个文件其三部分的权限应该是 644。 这样很好，但系统怎样对设备进行权限控制的? 事实上 FreeBSD 将大部份硬件设备当作一个文件看待， 用程序能打开、读取、写入数据就如其他的文件一样。 而设备文件放在 /dev 目录。 目录也视为一种文件，也有读取、写入、执行的权限。 但目录的执行权限意义并不与普通文件相同， 实际上执行权限是进入权限。 当一个目录是被标示可以执行的时， 表示可以进入它， 或者换言之， 利用 cd (改变当前目录) 进入它。 此外， 这也表示有权进入目录的用户， 可以访问其下的已知名字的文件 (当然目录下的文件也受到访问限制)。 详细方面，想读取一个目录的列表就必须设为可读权限， 同时想删除一个已知的文件，就必须把目录下这个文件设为可写 和 执行权限。 还有更多权限设定， 但是他们大多用在特殊状况下如一个setuid的执行文件和粘贴性目录， 如果想要得知有关文件权限和如何设定的更多资讯，请看手册&man.chmod.1;。 Tom Rhodes Contributed by 权限的符号化表示 权限符号 权限符号，某些时候就是指符号表达式， 使用八进制的字符给目录或文件分配权限。 权限符号的使用语法是 (谁) (作用) (权限)。 看看下列数值的在那些地方所起什么样的作用: 选项 字母 介绍 (谁) u 用户 (谁) g 所属群体 (谁) o 其他人 (谁) a 所有人 (全部) (作用) + 增加权限 (作用) - 减少权限 (作用) = 确定权限 (权限) r 可读 (权限) w 可写 (权限) x 执行 (权限) t 粘贴位 (权限) s 设置 UID 或 GID 这些数值 &man.chmod.1; 以习惯标定的。 举个例子，用以下命令阻止其他人访问 FILE文件: &prompt.user; chmod go= FILE 如果需要对文件一次进行多项变动， 则可用逗号分开， 在下面的例子中， 将去掉 FILE 文件的群体和 全体其他用户 可写权限， 并为所有人增加可执行权限： &prompt.user; chmod go-w,a+x FILE Tom Rhodes Contributed by &os; 文件标志 在前面所介绍的文件权限的基础之上， &os; 还支持使用 文件标志。 这些标志为文件提供了进一步的安全控制机制， 但这些控制并不适用于目录。 这些文件标志提供了针对文件的进一步控制， 帮助确保即使是 root 用户也无法删除或修改文件。 文件标志可以通过使用 &man.chflags.1; 工具来修改， 其用户界面很简单。 例如， 要在文件 file1 上应用系统禁删标志， 应使用下述命令： &prompt.root; chflags sunlink file1 要禁用系统禁删标志， 只需在前述命令中的 标志前加 no。 例如： &prompt.root; chflags nosunlink file1 要显示文件上的标志， 应使用命令 &man.ls.1; 的 参数： &prompt.root; ls -lo file1 输出结果应类似于： -rw-r--r-- 1 trhodes trhodes sunlnk 0 Mar 1 05:54 file1 许多标志只可以由 root 用户来增加， 而另一些， 则可以由文件的所有者来增加。 建议管理员仔细阅读 &man.chflags.1; 和 &man.chflags.2; 联机手册， 以对其加深理解。 Tom Rhodes 原作 setuid、 setgid 和 sticky 权限 除了前面已经讨论过的那些权限之外， 还有三个管理员应该知道的权限配置。 它们是 setuid、 setgid 和 sticky。 这些配置对于一些 &unix; 操作而言很重要， 因为它们能提供一些一般情况下不会授予普通用户的功能。 为了便于理解， 我们首先介绍真实用户 ID (real user ID) 和生效用户 ID (effective user ID)。 真实用户 ID 是拥有或启动进程的用户 UID。 生效 UID 是进程以其身份运行的用户 ID。 举例来说， &man.passwd.1; 工具通常是以发起修改密码的用户身份启动， 也就是说其进程的真实用户 ID 是那个用户的 ID； 但是， 由于需要修改密码数据库， 它会以 root 用户作为生效用户 ID 的身份运行。 这样， 普通的非特权用户就可以修改口令， 而不是看到 Permission Denied 错误了。 &man.mount.8; 的 nosuid 选项可以令系统在不给出任何错误提示的情况下不执行这些程序。 另一方面， 这个选项并不是万无一失的， 正如 &man.mount.8; 联机手册所提到的那样， 如果系统中安装了绕过 nosuid 的封装程序， 那么这种保护就可以被绕过了。 setuid 权限可以通过在普通权限前面加上一个数字四 (4) 来设置， 如下面的例子所示： &prompt.root; chmod 4755 suidexample.sh 这样一来， suidexample.sh 的权限应该如下面这样： -rwsr-xr-x 1 trhodes trhodes 63 Aug 29 06:36 suidexample.sh 您会注意到， 在原先的属主执行权限的位置变成了 s。 这样， 需要提升特权的可执行文件， 例如 passwd 就可以正常运行了。 可以打开两个终端来观察这一情形。 在其中一个终端里面， 以普通用户身份启动 passwd 进程。 在它等待输入新口令时， 在另一个终端中查看进程表中关于 passwd 命令的信息。 在终端 A 中： Changing local password for trhodes Old Password: 在终端 B 中： &prompt.root; ps aux | grep passwd trhodes 5232 0.0 0.2 3420 1608 0 R+ 2:10AM 0:00.00 grep passwd root 5211 0.0 0.2 3620 1724 2 I+ 2:09AM 0:00.01 passwd 正如前面所说的那样， passwd 是以普通用户的身份启动的， 但其生效 UID 是 root。 与此对应， setgid 权限的作用， 与 setuid 权限类似， 只是当应用程序配合这一设定运行时， 它会被授予拥有文件的那个组的权限。 如果需要在文件上配置 setgid 权限， 可以在权限数值前面增加数字二 (2) 来运行 chmod 命令， 如下面的例子所示： &prompt.root; chmod 2755 sgidexample.sh 可以用与前面类似的方法来检视新设定的生效情况， 在组权限的地方的 s 表示这一配置已经生效： -rwxr-sr-x 1 trhodes trhodes 44 Aug 31 01:49 sgidexample.sh 在这些例子中， 尽管 shell 脚本也属于可执行文件的一种， 但它们不会以您配置的 EUID 或生效用户 ID 的身份运行。 这是因为 shell 脚本可能无法直接呼叫 &man.setuid.2; 调用。 我们已经讨论了两个特殊权限位 (setuid 和 setgid 权限位)， 它们让用户在使用程序时能够用到更高的权限， 有时这会削弱系统的安全性。 除了这两个之外， 还有第三个特殊权限位： sticky bit， 它能够增强安全性。 当在目录上设置了 sticky bit 之后， 其下的文件就只能由文件的所有者删除了。 这个权限设置能够防止用户删除类似 /tmp 这样的公共目录中不属于他们的文件。 要应用这种权限， 可以在权限设置前面加上数字一 (1)。 例如： &prompt.root; chmod 1777 /tmp 现在， 可以用 ls 命令来查看效果： &prompt.root; ls -al / | grep tmp drwxrwxrwt 10 root wheel 512 Aug 31 01:49 tmp 这里的结尾的 t 表示了 sticky bit 权限。 目录架构 目录层次 理解 FreeBSD 的目录层次结构对于建立对系统整体的理解十分重要的基础。 其中， 最重要的概念是根目录， /。 这个目录是系统引导时挂接的第一个目录， 它包含了用以准备多用户操作所需的操作系统基础组件。 根目录中也包含了用于在启动时转换到多用户模式之前挂接其他文件系统所需的挂接点。 挂接点 (mount point) 是新增的文件系统在接入现有系统时的起点位置 (通常是根目录)。 在 对此进行了详细的阐述。 标准的挂接点包括 /usr、 /var、 /tmp、 /mnt， 以及 /cdrom。 这些目录通常会在 /etc/fstab 文件中提及。 /etc/fstab 是一张包含系统中各个文件系统及挂接点的表。 在 /etc/fstab 中的绝大多数文件系统都会在启动时由 &man.rc.8; 脚本自动挂接， 除非特别指定了 选项。 更多细节请参考 。 您可以通过 &man.hier.7; 来了解完整的文件系统层次说明。 现在， 让我们先来看一看绝大多数的常见的目录以供参考。 目录 介绍 / 文件系统的根目录。 /bin/ 在单个用户和多用户环境下的基本工具目录。 /boot/ 在操作系统在启动加载期间所用的程序和配置。 /boot/defaults/ 默认每步引导启动的配置内容，请查阅&man.loader.conf.5;。 /dev/ 设备节点，请查阅 &man.intro.4;。 /etc/ 系统启动的配置和脚本。 /etc/defaults/ 系统默认的启动配置和脚本，请参考 &man.rc.8; 。 /etc/mail/ 关系到邮件系统运作的配置， 请参考 &man.sendmail.8;。 /etc/namedb/ named 配置文件，请参考 &man.named.8;。 /etc/periodic/ 每天、每星期和每月周期性地运行的脚本， 请通过 &man.cron.8;查阅 &man.periodic.8;。 /etc/ppp/ ppp配置文件，请查阅&man.ppp.8;。 /mnt/ 由管理员习惯使用挂接点的临时空目录。 /proc/ 运行中的文件系统，请参阅 &man.procfs.5; 和 &man.mount.procfs.8;。 /rescue/ 用于紧急恢复的一组静态联编的程序； 参见 &man.rescue.8;。 /root/ root用户的Home(主)目录。 /sbin/ 在单个用户和多用户环境下的存放系统程序和管理所需的基本实用目录。 /tmp/ 临时文件。 /tmp 目录中的内容， 一般不会在系统重新启动之后保留。 通常会将基于内存的文件系统挂在 /tmp 上。 这一工作可以用一系列 tmpmfs 相关的 &man.rc.conf.5; 变量来自动完成。 (或者， 也可以在 /etc/fstab 增加对应项； 参见 &man.mdmfs.8;)。 /usr/ 存放大多数用户的应用软件。 /usr/bin/ 存放实用命令，程序设计工具，和应用软件。 /usr/include/ 存放标准 C include 文件. /usr/lib/ 存放库文件。 /usr/libdata/ 存放各种实用工具的数据文件。 /usr/libexec/ 存放系统实用或后台程序 (从另外的程序启动执行)。 /usr/local/ 存放本地执行文件， 库文件等等， 同时也是 FreeBSD ports 安装的默认安装目录。 /usr/local 在 /usr 中的目录布局大体相同， 请查阅 &man.hier.7;。 但 man 目录例外， 它们是直接放在 /usr/local 而不是 /usr/local/share 下的， 而 ports 说明文档在 share/doc/port。 /usr/obj/ 通过联编 /usr/src 得到的目标文件。 - /usr/ports + /usr/ports/ 存放 FreeBSD 的 Ports Collection (可选)。 /usr/sbin/ 存放系统后台程序 和 系统工具 (由用户执行)。 /usr/share/ 存放架构独立的文件。 /usr/src/ 存放 BSD 或者本地源码文件。 /usr/X11R6/ 存放 X11R6 可执行文件、 库文件、 配置文件等的目录(可选)。 /var/ 多用途日志、 临时或短期存放的， 以及打印假脱机系统文件。 有时会将基于内存的文件系统挂在 /var 上。 这一工作可以通过在 &man.rc.conf.5; 中设置一系列 varmfs 变量 (或在 /etc/fstab 中加入一行配置； 参见 &man.mdmfs.8;) 来完成。 /var/log/ 存放各种的系统记录文件。 /var/mail/ 存放用户mailbox(一种邮件存放格式)文件。 /var/spool/ 各种打印机和邮件系统spooling(回环)的目录。 /var/tmp/ 临时文件。 这些文件在系统重新启动时通常会保留， 除非 /var 是一个内存中的文件系统。 - /var/yp + /var/yp/ NIS 映射。 磁盘组织 FreeBSD 查找文件的最小单位是文件名。 而文件名区分大小写，这就意味着 readme.txt 和 README.TXT 是两个不相同的文件。 FreeBSD 不凭文件扩展名 (.txt) 去识别这个文件是 程序、 文档， 或是其他格式的数据。 各种文件存放在目录里。 一个目录可以为空， 也可以含有多个的文件。一个目录同样可以包含其他的目录， 允许您在一个目录里建立多个不同层次的目录。 这将帮助您轻松地组织您的数据。 文件或目录是由文件名或目录名，加上斜线符号 /， 再根据需要在目录名后面加上其他目录的名称。 如果您有一个名为 foo 的目录， 它包含另一个目录 bar， 后者包括一个叫 readme.txt 的文件， 则全名， 或者说到文件的 路径 就是 foo/bar/readme.txt。 在文件系统里目录和文件的作用是存储数据。 每一个文件系统都有且只有一个顶级目录 根目录， 这个根目录则可以容纳其他目录。 您也许在其他的一些操作系统碰到类似这里的情况， 当然也有不同的情况。 举些例子， &ms-dos; 是用 \ 分隔文件名或目录名， 而 &macos; 则使用:。 FreeBSD在路径方面不使用驱动器名符号或驱动器名称， 在FreeBSD里您不能这样使用： c:/foo/bar/readme.txt。 为了代替(驱动器名符号)， 一个文件系统会指定 根 文件系统， 根文件系统的根目录是 /。 其他每一个文件系统 挂接在根文件系统下。 无论有多少磁盘在FreeBSD 系统里， 每个磁盘都会以目录的方式加上。 假设您有三个文件系统， 名为 A、 B 和 C。 每个文件系统有一个根目录， 而各自含有两个其他的目录， 名为 A1, A2 ( B1, B2 和 C1, C2)。 看看 A 这个根文件系统。 假如您用 ls 命令来查看这个目录您会见到两个子目录: A1 和 A2。 这个目录树是这个样子: / | +--- A1 | `--- A2 一个文件系统必须挂到另一个文件系统的某一目录， 所以现在假设把 B 文件系统挂到 A1目录， 那 B 根目录因此代替 了 A1，而显示出 B 目录(的内容)： / | +--- A1 | | | +--- B1 | | | `--- B2 | `--- A2 无论B1 或 B2 目录在那里而延伸出来的路径必须为 /A1/B1 或 /A1/B2。 而在 /A1 里原有的文件会临时隐藏。 想这些文件再出现把 B 从 A 挂接释放。 所有在B1 或 B2 目录里的文件都可以通过 /A1/B1 或 /A1/B2 访问。而在 /A1 中原有的文件会被临时隐藏，直到 B 从 A 上被卸载 (unmout) 为止。 把 B 挂接在 A2 那图表的样子就是这样子: / | +--- A1 | `--- A2 | +--- B1 | `--- B2 这个路径分别是 /A2/B1 和 /A2/B2 。 文件系统能把顶部挂接在另一个文件系统上。 继续这个例子， 把 C 文件系统挂接在 B 文件系统里的 B1 目录， 排列如下: / | +--- A1 | `--- A2 | +--- B1 | | | +--- C1 | | | `--- C2 | `--- B2 或者把 C 文件系统挂接在 A 文件系统里的A1目录： / | +--- A1 | | | +--- C1 | | | `--- C2 | `--- A2 | +--- B1 | `--- B2 假如您熟悉 &ms-dos; 并知道 join 命令， 尽管不相同，其实功能是相似的。 这方面不是普通知识而且涉及到您自己所关心的， 当您安装FreeBSD并在以后添加新磁盘时， 您必须知到该如何新建文件系统和挂接上。 (FreeBSD系统)它有一个主要的根文件系统， 不需要另外新建立， 但当需要手工处理时，这是一个有用的知识。 多个文件系统的益处 不同的文件系统可用不同的 挂接参数。 举些例子， 仔细想一下， 根文件系统能用只读的方式挂接上， 防止不经意删除或编辑到一个危险的文件。 把各用户能写入的文件系统分开， 像/home这样， 由另外的文件系统分别用 nosuid 参数挂接，这个参数防止 suid/guid 在执行这个文件系统中的文件时生效， 从而缓解了一些安全问题。 FreeBSD 能根据一个文件系统使用的情况自动优化 这个文件系统上的文件布局。 所以对一个存储了大量小文件并会被频繁写入文件系统的优化与一个存储了少量大文件的优化是不同的。 而在一个大的单一文件系统上则无法体现这样的优化。 FreeBSD 的文件系统能够在断电时尽可能避免损失。 然而， 在关键点时的电源失效仍然可能会破坏文件系统的结构。 将您的文件系统分成多个有助于分散风险， 并方便备份和恢复。 单一文件系统的益处 文件系统是固定大小的。 当安装FreeBSD时新建一个文件系统并设定一个大小， 您会在稍后发觉到必须去建一个大的分区。 如果配置不当， 则需要备份、 重新创建文件系统， 然后再恢复数据。 FreeBSD 提供了 &man.growfs.8; 命令。 这使得能够实时地调整文件系统的大小， 因而不再受其限制。 文件系统是和分区一一对应的。 这里的分区和常用的术语分区 (例如， &ms-dos; 分区) 的意思并不一样， 这是由于 &os; 的 &unix; 传统造成的。 每一个分区使用一个从 a 到 h 的字母来表示。 每个分区只能包含一个文件系统， 这意味着文件系统通常可以由它们在文件系统目录结构中的挂接点， 或对应的分区字母来表示。 FreeBSD 的 交换分区 也需要使用磁盘空间。 交换分区是给 FreeBSD 作 虚拟内存 使用的， 这样能令您的计算机有更多的内存可使用， 当FreeBSD在运行而内存不够的时候， 它会把其他一些可转移的数据转移到交换分区， 空出内存的位置以供使用。 某些 partitions 的用途是确定的。 分区 约定 a 通常指定为根文件系统 b 通常指定为交换分区 c 通常它和所在的 slice 大小相同。 c 分区上工作时必定会影响到事整个 slice (举个例子，坏块扫描器)。 您通常不愿意在这个partition建立文件系统。 d 分区 d 曾经有特殊的含义， 不过这种意义在现时的系统上已不再适用， 因此 d 可以和任何其它普通的分区一样使用了。 每一个包含了文件系统的分区被保存在 FreeBSD 称为 slice 的部分上。 Slice 是一个 FreeBSD 术语， 通常被叫做分区， 再次强调， 这是由于 FreeBSD 的 &unix; 背景。 Slices 有其编号， 从1到4。 slices partitions 专用 (dangerously dedicated) Slice 编号在设备名后面， 并有一个 s 前缀， 从 1 开始。 因此 da0s1 是第一个 SCSI 驱动器的第一个 slice。 每个磁盘上只能有四个物理的 slices， 但您可以在物理 slice 中使用适当的类型来创建逻辑 slice。 这些扩展 slice 编号从 5 开始， 因此 ad0s5 是第一个 IDE 磁盘中的第一个 扩展 slice。 文件系统所使用的设备应该占满 slice。 Slices, 专用指定 物理驱动器， 和其他驱动器都包含 partitions， 那几个的 partitions 都是用字母从 a 到 h 来标定的， 而这些字母都在驱动器名字之后，所以 da0a 是指首个da设备的 a partition， 而那个就是 专项指定。 ad1s3e 是指IDE磁盘上第三个slice的第五个partition。 最终，每个磁盘都被系统识别。 一个磁盘名字是用磁盘类型代码和编号来标识的， 它不像slices，磁盘的编号是由0开始的。 对应代码请看这里所列出的。 当在 FreeBSD 中指定 partition 名字时， 必须同时包含这个分区的 slice 和磁盘的名字； 类似地， 在指定 slice 时， 也应该给出包含该 slice 的磁盘名字。 可这样列出： 磁盘名称，s，slice 编号，和partition标定字母。 例子请看 。 这里显示了一个磁盘的布局，有更清楚的帮助。 在安装FreeBSD时，您首先要配置好磁盘slices， 然后在FreeBSD使用的slice上建立partitions。 并在每个partition上建立一个文件系统(或交换分区)， 和指定文件系统的挂接位置。 磁盘设备的代码 代码 说明 ad ATAPI (IDE) 磁盘 da SCSI 直接存取磁盘 acd ATAPI (IDE) 光驱 cd SCSI 光驱 fd 软驱
样例磁盘, Slice, 和 Partition 它们的命名 命名 说明 ad0s1a 在首个IDE磁盘(ad0)上的 第一个slice (s1)里的 第一个partition (a)。 da1s2e 在第二个SCSI磁盘(da1)上的 第二个slice(s2)里的 第五个partition(e)。 一个磁盘的布局 从在系统里的首个IDE磁盘图表可以显示出FreeBSD的见解。 假设磁盘大小为4 GB，它里面包含了两个2 GB 大小的slices (但在&ms-dos;叫partitions)。 首个slice是一个&ms-dos;磁盘叫C:， 而第二个slice是FreeBSD配置好的slice。 FreeBSD配置好的slice有三个partitions和另一个交换分区。 这三个partitions各自控制一个文件系统。 partitiona 用于根文件系统， partitione 用于 /var 目录层， partitionf 用于 /usr 目录层。 .-----------------. --. | | | | DOS / Windows | | : : > First slice, ad0s1 : : | | | | :=================: ==: --. | | | Partition a, mounted as / | | | > referred to as ad0s2a | | | | | :-----------------: ==: | | | | Partition b, used as swap | | | > referred to as ad0s2b | | | | | :-----------------: ==: | Partition c, no | | | Partition e, used as /var > file system, all | | > referred to as ad0s2e | of FreeBSD slice, | | | | ad0s2c :-----------------: ==: | | | | | : : | Partition f, used as /usr | : : > referred to as ad0s2f | : : | | | | | | | | --' | `-----------------' --' 文件系统的挂接和卸下 这种文件系统就像一棵树那样用/确立根部， 是比较理想的文件系统。 而/dev、 /usr 和其他目录就是根目录的分枝， 另外这些目录可以再分枝，例如/usr/local。 根文件系统 应该考虑给某些目录一些空间从而分散文件系统。 /var 之下包含目录 log/，目录spool/， 和不同类型的临时文件，很可能把它塞满。 把什么都塞进根文件系统不是一个好主意， 好的做法是应该把 /var 从 /分离出去。 另一个要考虑的是，给物理设备或虚拟磁盘这些自带空间的文件系统确定目录结构树。 例如 网络文件系统 或光驱的挂接。 <filename>fstab</filename> 文件 文件系统 使用fstab的挂接 在 引导过程 期间， 自动挂上/etc/fstab所列出的文件系统。 (除非他们注明为 选项)。 /etc/fstab 文件包含的各行的列表格式如下: device /mount-point fstype options dumpfreq passno device 设备名称(设备必须存在)， 说明在 . mount-point 目录 (目录必须存在)， 用在那个挂接上的文件系统上。 fstype 文件系统类型，请通过&man.mount.8;查阅。 默认的FreeBSD文件系统类型是ufs。 options 设为可读写文件系统的选项， 或设为只读文件系统的选项， 或其他一些选项，可随意选一个。 一个常用的选项 用在不需在引导过程期间挂接的文件系统。 其他的选项在 &man.mount.8; 手册里列出。 dumpfreq &man.dump.8; 使用这项去决定那个文件系统必须移贮。 假如缺少这项，默认的数值为0。 passno 这一项决定文件系统的检查顺序， 文件系统想跳过检查应将passno设为0。 根文件系统(那个是在每方面开始之前必须检查的) 应该将它的 passno 设为1， 其他文件系统的 passno 必须把数值设到大于1。假如多个文件系统的passno的值相同， 那么 &man.fsck.8; 在允许的情况下将尝试并行地去检查文件系统。 请参阅 &man.fstab.5; 联机手册， 以获得关于 /etc/fstab 文件格式， 以及其中所包含的选项的进一步信息。 <command>mount</command> 命令 文件系统 挂接 这个 &man.mount.8; 命令是挂接文件系统的基本运用。 使用最多的基本格式: &prompt.root; mount device mountpoint 它的选项非常多，而&man.mount.8; 手册同样提及， 但常用的都在这里: 挂接的各种选项 挂接/etc/fstab里所有列出的文件系统。 除非标记为 noauto 或作了排除在外的 类型标记，或者在这之前已挂上。 除了实际上系统调用以外，可以完成任何事情，这个选项是和 参数一起连在一块使用，可以决定&man.mount.8;所做的事情。 强制去挂接一个未知的文件系统(会有危险)， 或当把一个文件系统挂接状态由可读写降为只读时，强制撤消可写通道。 以只读方式挂接文件系统。 这和在指定了 选项配合 (对于 &os; 5.2 之前的版本来说， 则是 ) 参数的效果是一样的。 fstype 根据给出的文件系统类型挂接文件系统， 假如给于选项，仅挂接这个类型的文件系统。 ufs 是默认的文件系统类型。 在文件系统上修改挂接选项。 版本模式。 以可读写方式挂接文件系统。 The 选项采用一个逗号分开以下多个选项: noexec 不允许文件系统上的二进制程序执行。这也是一个有用的安全选项。 nosuid 不允许文件系统上的 setuid 或 setgid 标记生效。这也是一个有用的安全选项。 <command>umount</command> 命令 文件系统 卸下 &man.umount.8; 命令同样采用一个参数、一个挂接点、一个设备名。 或采用选项，又或采用选项。 所有格式都可采用 去强行卸下， 或采用 用那适当的版本。 但警告，采用 并不是一个好主意， 强行卸下文件系统可能损坏计算机或破坏文件系统上的数据。 和 会卸下所有已挂接的文件系， 可能通过后面列出的文件系统进行修改， 但无论如何，都不会尝试去卸下根文件系统。 进程 FreeBSD 是一个多任务操作系统。 这就意味着好像一次可以运行一个以上的程序。 每个占用一定时间运行的程序就叫 进程 (process)。 你运行的每一个命令会至少启动一个新进程，还有很多一直运行着的系统进程， 用以维持系统的正常运作。 每个进程用来标识的一个编号就叫 进程 ID， 或叫 PID。 而且，就像文件那样，每个进程也有所属用户和所属群体。 所属用户和所属群体使用在这方面:确定这个进程可以打开那些文件和那些设备， 从而在初期使用文件的权限。 多数的进程都有一个父进程， 而进程是依靠父进程来启动的。 例如，假如您把命令输入到shell里那shell是一个进程，而您运行的各个命令同样是进程， 那么，shell就是您各个运行进程的父进程。 而这方面有一个例外的进程就叫&man.init.8;。 init始终是首个进程,，所以他的PID始终是1， 而init在FreeBSD起动时由内核自动启动。 在系统上，有两个命令对进程观察非常有用:&man.ps.1; 和 &man.top.1;。 这个ps命令作用是观察当前运行进程的状态， 显示他们的PID，使用了多少内存，它们启动的命令行。 而top命令则是显示所有运行进程，并在以秒计的短时内更新数据。 您能交互式的观察您计算机的工作。 默认情况下， ps仅显示出您自己所运行的命令。 例如: &prompt.user; ps PID TT STAT TIME COMMAND 298 p0 Ss 0:01.10 tcsh 7078 p0 S 2:40.88 xemacs mdoc.xsl (xemacs-21.1.14) 37393 p0 I 0:03.11 xemacs freebsd.dsl (xemacs-21.1.14) 48630 p0 S 2:50.89 /usr/local/lib/netscape-linux/navigator-linux-4.77.bi 48730 p0 IW 0:00.00 (dns helper) (navigator-linux-) 72210 p0 R+ 0:00.00 ps 390 p1 Is 0:01.14 tcsh 7059 p2 Is+ 1:36.18 /usr/local/bin/mutt -y 6688 p3 IWs 0:00.00 tcsh 10735 p4 IWs 0:00.00 tcsh 20256 p5 IWs 0:00.00 tcsh 262 v0 IWs 0:00.00 -tcsh (tcsh) 270 v0 IW+ 0:00.00 /bin/sh /usr/X11R6/bin/startx -- -bpp 16 280 v0 IW+ 0:00.00 xinit /home/nik/.xinitrc -- -bpp 16 284 v0 IW 0:00.00 /bin/sh /home/nik/.xinitrc 285 v0 S 0:38.45 /usr/X11R6/bin/sawfish 在这个例子里您可看到，从 &man.ps.1; 输出的每一列是有规律的。 PID 就是进程ID，这个较早前已讨论过了。 PID号的分配由 1一直上升直到99999， 当您运行到超过限制时，这些编号会回转分配 (仍在使用中的 PID 不会分配给其他进程)。 TT这一列显示了程序运行所在的终端， 目前可以安全地忽略。 STAT 显示程序的状态，也可以安全地被忽略。 TIME是程序在CPU处理时间—运行的时间量， 并不是指您程序启动到现在的所用的时间。 许多程序碰巧遇到某方面在他们之前要花费大量CPU处理时间时，他们就必须等候。 最后， COMMAND 是运行程序时使所用的命令行。 &man.ps.1;支持使用各种选项去改变显示出来的内容， 最有用的一个就是auxww。 选项显示出所有运行进程的内容， 而不仅仅是您的进程。 选项显示出进程所归属的用户名字以及内存使用， 选项显示出后台进程。 而 选项表示为 &man.ps.1; 把每个进程的整个命令行全部显示完， 而不是由于命令行过长就把它从屏幕上截去。 下面和从&man.top.1;输出是类似的，一个示例式对话就象这样子: &prompt.user; top last pid: 72257; load averages: 0.13, 0.09, 0.03 up 0+13:38:33 22:39:10 47 processes: 1 running, 46 sleeping CPU states: 12.6% user, 0.0% nice, 7.8% system, 0.0% interrupt, 79.7% idle Mem: 36M Active, 5256K Inact, 13M Wired, 6312K Cache, 15M Buf, 408K Free Swap: 256M Total, 38M Used, 217M Free, 15% Inuse PID USERNAME PRI NICE SIZE RES STATE TIME WCPU CPU COMMAND 72257 nik 28 0 1960K 1044K RUN 0:00 14.86% 1.42% top 7078 nik 2 0 15280K 10960K select 2:54 0.88% 0.88% xemacs-21.1.14 281 nik 2 0 18636K 7112K select 5:36 0.73% 0.73% XF86_SVGA 296 nik 2 0 3240K 1644K select 0:12 0.05% 0.05% xterm 48630 nik 2 0 29816K 9148K select 3:18 0.00% 0.00% navigator-linu 175 root 2 0 924K 252K select 1:41 0.00% 0.00% syslogd 7059 nik 2 0 7260K 4644K poll 1:38 0.00% 0.00% mutt ... 这个输出分成两部份。 前面部份(起始前五行) 显示了:运行于最后进程的PID、 系统负载均衡 (那个是指系统繁忙时的调节方式)、 系统正常运行时间 ( 指从启动算起所用的时间) 和当前时间。 前面部份另外的图表 涉及:多少进程在运行(这个情况是47)， 多少内存和多少交换分区在使用， 和在不同CPU状态里系统消耗多少时间。 在那下面一连串的纵列和从&man.ps.1;输出的的内存是相似的。 如以前&man.ps.1;一样，您能见到:PID、用户名、CPU处理时间合计、运行的命令。 &man.top.1;默认是显示您的进程所用内存空间的合计。 内存空间这里分成两列，一列为总体大小，另一列是必须请求驻留大小是多少内存—总体大小。 而驻留大小实际上是瞬间使用的多少。 在以上那个例子，您会看到那&netscape;总计需要30 MB内存， 但实际只用了9 MB。 &man.top.1; 每两秒自动刷新一次，您可以用改变刷新的秒数。 守护进程，信号和杀死进程 当您运行一个编辑器时它是很容易控制的，告诉它去加载文件它就加载。 您之所以能这样做，是因为编辑器提供这样便利去这样做，和因为有编辑器去附上的终端。 一些程序在运行中不需要连续的用户输入，一有机会就从终端里分离到后台去。 例如，一个web系统整天都在作web请求的响应，他不需要您输入任何东西就能完成， 这个类别的另一个例子就是把email的传送。 我们把那些程序叫 守护进程。 守护神是希腊神话中的一些人物，非正非邪，他们是些守护小精灵， 大体上为人类作出贡献。 许多类似web服务或mail服务的系统对于今天仍有用途， 这就是为什么在那么长的时间里，BSD的吉祥物保持为一双鞋加一把钢叉的守护神模样。 守护进程的程序命名通常在最后加一个 d。 BIND 是伯克利互联网域名服务 (而实际执行的程序名称则是 named)， Apache web系统的程序就叫 httpd， 在行式打印机上的打印守护进程就是 lpd。 这只是一种惯例，不是标准或硬性规定。 例如，为Sendmail而应用的主要mail守护进程就叫sendmail， 却不叫maild，这和您推测的一样。 有时可能会需要与守护进程进行通讯。 而 信号 则是其中的一种通讯机制。 可以发送信号给守护进程 (或相关的另一些进程) 来与它进行通信， 不同的信号都有自己的数字编号—其中一些有特殊的含义， 其它的则可以被应用程序自己进行解释， 而一般来说， 应用程序的文档会告诉哪些信号会被如何处理。 您只能给所属于您的进程发信号，假如您给其他人的进程发信号， 进程就会用&man.kill.1; 或 &man.kill.2;权限进行拒绝。 当然,root 用户会例外，它能把各种信号发送给每个进程。 在某些情况下，FreeBSD也会向应用软件发送信号。 假如一个应用软件含有恶意写入并试图去访问内存，那是不可想象的，FreeBSD会向那个进程发送 段式违规 信号 (SIGSEGV)。 假如一个应用软件使用&man.alarm.3;系统去进行周期性调用闹钟功能，每当达到时间时， FreeBSD会向应用软件发送闹钟信号(SIGALRM)。 有两个信号可以停止进程:SIGTERM 和 SIGKILL。 SIGTERM比较友好，进程能捕捉这个信号， 根据您的需要来关闭程序。在关闭程序之前，您可以结束打开的记录文件和完成正在做的任务。 在某些情况下， 假如进程正在进行作业而且不能中断，那么进程可以忽略这个 SIGTERM信号。 对于SIGKILL信号，进程是不能忽略的。 这是一个 '我不管您在做什么,立刻停止'的信号。 假如您发送SIGKILL信号给进程， FreeBSD就将进程停止在那里。 有点不正确—少数的东西是不能中断的。 例如， 假如进程试图读取网络上另一计算机上的文件， 而那个的计算机会因为某些原因拿走了这个文件， 那这个进程从上述情况来看是 不能中断。 最终这个进程会超时，典型的两分钟。一出现超时进程将被杀死。 . 您可能会去使用 SIGHUP、 SIGUSR1 和 SIGUSR2信号。 这都是些通用的信号，各种应用程序都可以应用 在各方面的信号发送。 假如您改变了web系统的配置文件—并想web系统去重读它的配置， 您可以停止然后再启动httpd。但这样做web系统会导致一个短暂 的中断周期，那样是不受欢迎的。几乎所有的守护进程在编写时，都会指定对SIGHUP 信号进行响应从而重读配置文件。 所以， 最好的方法， 就不是杀死并重启 httpd， 而是发一个 SIGHUP 信号给它。 因为在这方面没有一个标准，不同的守护进程有不同的用法，所以不了解时应读一下守护进程的文档。 发送信号可用&man.kill.1; 命令， 请参考&man.kill.1;所列出的例子。 发送一个信号给进程 这个例子显示了怎样去发一个信号给&man.inetd.8;。 inetd配置文件是/etc/inetd.conf， 如果想inetd 去重读文件系统的话，可以给它发一个SIGHUP 信号。 寻找您要发送信号的进程ID，可以用&man.ps.1; 加 &man.grep.1;来完成。 &man.grep.1;命令被用在搜索输出方面，搜索您指定的字符串。 这命令是由普通用户来执行的，而&man.inetd.8;是root用户运行的， 所以必须给&man.ps.1;带上选项。 &prompt.user; ps -ax | grep inetd 198 ?? IWs 0:00.00 inetd -wW 得出 &man.inetd.8; PID号是198。 有时 grep inetd 命令也出现在输出中， 这是因为在这方面 &man.ps.1; 也是寻找列表中运行进程。 使用 &man.kill.1; 去发送信号。 因为 &man.inetd.8; 是由 root启动的， 您必须使用 &man.su.1; 去 变为 root 用户。 &prompt.user; su Password: &prompt.root; /bin/kill -s HUP 198 和大多数 &unix; 命令一样， &man.kill.1; 如果完成了任务, 就不会给出任何消息。 假如您发送信号给一个不属于您的进程， 您会看到 kill: PID: Operation not permitted. 假如输错了PID号，把信号发送到其他进程，那是坏事。 或者您侥幸，把信号发送到不存在的进程， 您会看见 kill: PID: No such process. 为什么使用 <command>/bin/kill</command>? 许多shell提供了内建 kill 命令， 这样， shell就能直接发送信号，而不是运行 /bin/kill。 这点非常有用， 但不同shell有不同的语法来指定发送信号的名字， 与其试图把它们学完倒不如简单地直接使用 /bin/kill ...。 发送其他的信号也很相似， 只要在命令行替换 TERM 或 KILL 就行了。 在系统上随意杀死进程是个坏主意，特别是&man.init.8;， 它的进程ID是1，它非常特殊。可以运行 /bin/kill -s KILL 1 命令来让系统迅速关机。 当您按下 Return （回车）键之前， 一定要 详细检查您运行 &man.kill.1; 时所指定的参数。 Shells shells 命令行 在FreeBSD里，每日有一大堆工作是在命令行的界面完成的,那就叫做shell。 一个shell的主要功能就是从输入取得命令然后去执行他。 许多的shell同样能帮我们完成内建的每日功能，例如:文件管理、文件寻找、命令行编辑、 宏指令和环境变量。FreeBSD内含了一些shell，例如:sh、Bourne Shell、 tcsh和改良过的C-shell。 另外也有些shell也可在FreeBSD的Ports得到，例如:zsh和bash。 您想使用哪一种shell取决于您的喜好， 假如您是C程序设计师，您可能选择一个C-like shell例如tcsh。 假如您是从Linux过来的或是一个命令行的新手，您可能会试一下bash。 这一点告诉我们每一个shell都有各自的特性，可能适用于您的工作环境，也可能不适用于您的工作环境。 每个shell都有一个共通点就是文件名补全。 输入命令或文件名的前几个字，然后按Tab键，就能靠shell的自动补全功能得出 命令或文件名。这里有一个例子，假设您有两个文件叫 foobar 和foo.bar，而您想删除 foo.bar， 可这样在键盘上输入 rm fo[Tab].[Tab]。 那么shell就会输出 rm foo[BEEP].bar。 这个[BEEP] 是这控制台铃声， 那个是告诉我们它不能完成文件名补全，因为有多个文件名符合。 foobar 和 foo.bar 都是以 fo开头， 它只可以补全到 foo。 输入 .并再按一次 Tab，shell才把其余的文件名全部显示出来。 环境变量 另一个特点就是shell利用环境变量运行。环境变量是贮存在shell环境空间上相对应的键和可变值， 这个空间能够补程序从shell里读出，而且包含了许多程序的配置。 这个一个常用环境变量列和其含义的列表： environment variables (环境变量) 变量 说明 USER 当前登录进入的用户名。 PATH 搜索程序路径，以两点的冒号分隔开。 DISPLAY 假如有这个变量的话，就是X11显示器的网络名称。 SHELL 当前所用的shell。 TERM 用户终端的名字，通常用在确定终端的能力。 TERMCAP 各种终端功能所用终端分离编码的基本数据项目。 OSTYPE 操作系统类型，默认是FreeBSD。 MACHTYPE 是指系统上运行的CPU体系结构。 EDITOR 用户首选的文本编辑器。 PAGER 用户首选的文本页面调度程序 。 MANPATH 搜索联机手册路径，以两点的冒号分隔开。 Bourne shells 不同的shell设置环境变量也不相同。举个例子， 在如tcsh 和 csh这样的C-Style shell， 您必须使用setenv去设置环境变量。 而在如sh和bash这样的Bourne shell， 您必须使用export去设置当前环境变量。 再举个例子，要去设置或改变EDITOR环境变量， 在csh或tcsh下将EDITOR设为 /usr/local/bin/emacs: &prompt.user; setenv EDITOR /usr/local/bin/emacs 而在Bourne shell下，则是: &prompt.user; export EDITOR="/usr/local/bin/emacs" 您也可以在命令行上加一个$字符在变量之前从而取得环境变量。 举个例子，用echo $TERM 就会显示出$TERM的设定值， 其实就是shell取得$TERM并传给echo来显示的。 shell里有许多特别的字符代表着特别的资料，我们把叫做meta-characters。 最常用的就是*字符，它可代表文件名的任何字符。 这些特别字符应用到文件名全域方面。假如，输入 echo *和输入 ls的效果是相同的，其实就是 shell 取得了全部符合 *的文件名，并传给 echo 在命令行下显示出来。 为了防止shell去分析这些特别字符， 我们可在它之前加一个 \字符去说明它只是普通字符。 echo $TERM就会显示出您的终端情况， 而 echo \$TERM 就会显示出 $TERM 这几个字。 改变您用的Shell 改变您的Shell的最简单方法是使用 chsh 命令。 执行 chsh 将根据您设定的EDITOR 环境变量进入到那个编辑器，假如没有设定，就会进入vi编辑器。 请改变Shell:这行对应值。 您可使用chsh 的选项， 这样就能设置您的shell却又不用编辑器。假如您想把shell改为bash 可用下面的技巧。 &prompt.user; chsh -s /usr/local/bin/bash 您使用的shells必须 在/etc/shells 文件里列出。 假如您从 ports里装一个shell， 那就不用做这步了。 假如您手工装一个shell，那就要手工添加进去。 举个例了子，假如您手工把 bash装到 /usr/local/bin里，您还要进行这一步: &prompt.root; echo "/usr/local/bin/bash" >> /etc/shells 然后运行chsh。 文本编辑器 文本编辑器 编辑器 FreeBSD 的很多配置都可以通过编辑文本文件来完成。 因此， 最好能熟悉某种文本编辑器。 FreeBSD 基本系统中提供了一些， 您也可以从 Ports Collection 安装其它编辑器。 ee editors ee 最容易学的而又简单的编辑器是 ee编辑器， 是个标准的简易编辑器。 要启动 ee，首先就要在命令行输入 ee filename， filename 是一个要编辑的文件名。 例如，要编辑 /etc/rc.conf就要输入 ee /etc/rc.conf，在 ee的控制内， 编辑器所有功能的操作方法都显示在最上方。 这个^ 字符代表 键盘上的Ctrl 键， 所以^e 就是 Ctrle组合键。 假如想离开ee， 按Esc键，就可选择离开编辑器。 当您修改了内容的时候，编辑器会提示您保存。 vi 编辑器 vi emacs 编辑器 emacs FreeBSD本身也带许可多有强大功能的文本编辑器， 例如 vi。还有其他在FreeBSD Ports里几种， 像 emacs 和 vim。 这些编辑器有着强大的功能，但同时学习起来比较复杂。 不管怎样，假如您从事文字编辑方面的工作， 学习如vim 或 emacs 这些有强大功能的编辑器用法， 在长时间工作里会帮您节省不少的时间。 很多需要修改文件或打字输入的应用程序都会自动打开一个文本编辑器。 更改默认使用的编辑器， 请设置 EDITOR 环境变量。 参阅 shells 以获取更多详细信息。 设备和设备节点 在一个系统里，硬件描述通常用法就是一个设备对应一个术语，包括磁盘、打印机、显卡和键盘。 当 FreeBSD 启动过程中，大多数的设备都能探测到并显示出来， 您也可以查阅/var/run/dmesg.boot， 引导时所有信息都在里面。 例如， acd0 就是 首个 IDE 光盘设备， 而 kbd0 则代表键盘。 在&unix;操作系统里，大多数设备存在的特殊访问文件就是叫做设备节点， 他们都定位在/dev目录里。 建立设备节点 当在系统中添加新设备或将附加设备的支持编译进内核之后， 都必须为其建立设备节点。 <literal>DEVFS</literal> (DEVice 文件系统) 这个设备文件系统， 或叫 DEVFS， 为内核的设备命名在整体文件系统命名里提供通道， 并不是建立或更改设备节点， DEVFS只是为您的特别文件系统进行维护。 请参见 &man.devfs.5; 联机手册以了解更多细节。 二进制文件格式 要理解为什么 &os; 使用 &man.elf.5; 格式， 您必须首先了解一些 &unix; 系统中的 三种 主要 可执行文件格式的有关知识： &man.a.out.5; 是最古老和经典的 &unix; 目标文件格式， 这种格式在其文件的开始处有一个短小而又紧凑的首部， 该首部带有一个魔幻数字，用来标识具体的格式(更多详情参见&man.a.out.5;)。 这种格式包含3个要装载入内存的段：.text， .data， 和 .bss，以及 一个符号表和一个字符串表。 COFF SVR3目标文件格式。其文件头现在包括一个区段表(section table)， 因此除了.text，.data，和.bss区段以外，您还可以包含其它的区段。 &man.elf.5; COFF 的后继， 其特点是可以有多个区段， 并可以使用32位或64位的值。 它有一个主要的缺点： ELF 在其设计时假设每个系统体系结构只有一种 ABI。 这种假设事实上相当错误， 甚至在商业化的SYSV世界中都是错误的 (它们至少有三种ABI: SVR4, Solaris, SCO)。 FreeBSD试图在某种程度上解决这个问题，它提供一个工具，可以 对一个已知的ELF可执行文件 标识它所遵从的ABI的信息。 更多这方面的知识可以参见手册页&man.brandelf.1; FreeBSD从经典阵营中来，因此使用了&man.a.out.5;格式， 众多BSD版本的发行(直到3.X分支的开始)也证明了这种格式的有效性。 虽然在那以前的某段时间，在FreeBSD系统上创建和运行ELF格式 的二进制可执行文件(和内核)也是可能的，但FreeBSD一开始并不积极进步 到使用ELF作为其缺省的格式。为什么？噢，当Linux阵营完成了 转换到ELF格式的痛苦历程后，却发现并不足以由此而放弃 a.out可执行文件格式，因为正是由于它们不灵活的， 基于跳转表的共享库机制，使得销售商和开发者们构建共享库非常困难。 直到已有的ELF工具提供了一种解决共享库问题的办法， 并被普遍认为是前进方向以后，迁徙的代价在FreeBSD界才被接受， 并由此完成了迁徙。FreeBSD的共享库机制其基础更类似于Sun &sunos;的共享库机制， 并且正因为此，其易用性很好。 那么，为什么会有这么多不同的格式呢？ 回溯到蒙昧和黑暗的过去，那时只有简单的硬件。这种简单的硬件支撑了一个简单 和小型的系统。在这样的简单系统上(PDP-11)a.out格式 足以胜任表达二进制文件的任务。当人们将&unix;从这种简单的系统中移植出来的时候， a.out格式被保留了下来，因为对于早期将&unix移植到 Motorola 68k，VAXen等系统来说，它还是足够可用的。 然后，一些聪明的硬件工程师认为，如果可以让软件完成一些简单的聪明操作， 那么他们就可以在硬件设计中减少若干门电路，并可以让CPU核心运行得更快。 当a.out格式用于这种新型的硬件系统时(现在我们叫它 RISC)，显得并不合适。因此，人们设计了许多新的格式 以便在这样的硬件系统上能获得比简单的a.out格式更优越 的性能。诸如COFF，ECOFF，还有其它 一些晦涩难懂的格式正是在这个阶段被发明出来的，人们也研究了这些格式的局限性， 慢慢地最终落实到ELF格式。 同时，程序的大小变得越来越大，磁盘空间(以及物理内存)相对来说却仍然较小， 因此共享库的概念便产生了。VM系统也变得越来越复杂了。当所有这些进步都建立在 a.out格式的基础上的时候，它的可用性随着每个新特性 的产生就受到了严重考验。并且，人们还希望可以在运行时动态装载某些东西，或者 在初始化代码运行以后可以丢弃部分程序代码，以便节约主存储器和交换区。编程语言 也变得越来越复杂，人们希望可以在main()函数执行之前自动执行某些代码。为了实现 所有这些功能，人们对a.out格式作了很多改动(hack)， 他们在某个阶段里基本也是可行的。随着时间的推移，a.out格式 不得不增加大量的代码和复杂度来满足这些需求。虽然ELF格式 解决了许多这样的问题，但是从一个可用的系统迁移到另一个系统却是痛苦的。因此 直到继续保留a.out格式的代价比迁移到ELF格式 的代价还大的时候，人们才会最终转换到ELF格式。 然而，随着时间的推移，FreeBSD系统本身的编译工具(特别是汇编器和装载器) 赖以派生的编译工具，其发展却形成了两个平行的分支。FreeBSD这个分支增加了共享库， 并修改了一些错误。而原先编写了这些工具的GNU人则重写了这些工具，并对交叉编译提供了 更简化的支持，还随意插入了不同格式的支持，等等。虽然很多人希望创建针对FreeBSD的 交叉编译器，但他们却并未如愿以偿，因为FreeBSD的as 和ld的源代码更为老旧，所以无法完成这个任务。 新的GNU工具链(binutils)则确实支持交叉编译，ELF 格式，共享库，C++扩展，等等。并且，由于很多供应商都发布ELF格式的 二进制文件，因而让FreeBSD能够运行它们将是一个很好的事情。 ELF格式比a.out格式开销要大些，同时也 允许基础系统有更好的扩展性。ELF格式的有关工具有着更好的维护， 并且提供交叉编译支持，这对许多人来说是很重要的。ELF格式可能会稍微 慢一些，但很难测量出来。另外，在这两者之间，有许多细节也是不同的，比如它们映射页面的方式， 处理初始化代码的方式，等等。所有这些都不太重要，但这也确实是不同之处。在将来的适当时候， GENERIC内核将不再支持a.out格式，并且， 当不再需要运行遗留的a.out格式程序时，内核也将不再提供对其的支持。 取得更多的资讯 联机手册 联机手册 最详细的使用说明文档莫过于 FreeBSD 里的联机手册了。 几乎每一个程序都会附上一份简短说明， 以介绍这个程序的的基本功能以及参数的用法。 我们能通过 man 命令来阅读这些说明， 而使用 man 命令却是简单的事情: &prompt.user; man command command 就是您要了解的命令命称。 举个例子，想了解 ls 命令就输入: &prompt.user; man ls 这些在线手册分下列章节: 用户命令。 系统调用以及错误代码。 C 库文件里的函数说明。 设备驱动程序。 文件格式。 游戏以及其他娱乐。 各种资讯。 系统维护以及命令。 内核开发情况。 在某些情况下，同样的主题也会出现在在线手册的不同章节。 举个例子，系统里有chmod这个用户命令，而又有个 chmod() 系统调用。 在这种情形下，您应当向 man 命令指定需要的内容: &prompt.user; man 1 chmod 这样就会显示出手册里的用户 chmod 命令。 传统上，我们在写入文档时把特定详细参考内容在在线手册括号里注明。 所以 &man.chmod.1; 是指 chmod 用户命令， 而 &man.chmod.2; 是指系统调用。 如果您已经知道命令的名字，只是不知道要怎样使用的话，那就比较好办。 但您连名字都不知道呢?这个时候您就可以利用 man 的搜寻功能， 它会在手册的介绍部份找寻您要搜寻的关键字，它的选项是 ： &prompt.user; man -k mail 当您使用这个命令的时候，man会把介绍里含有mail关键字 的命令列出来，实际上这和apropos命令的功能是相同的。 有时您会看到/usr/bin 下有许多命令但不知他们的用途， 您只需这样做: &prompt.user; cd /usr/bin &prompt.user; man -f * 或者这样做 &prompt.user; cd /usr/bin &prompt.user; whatis * 两个命令是一样的。 GNU Info 文件 Free软件基金会 FreeBSD许多应用软件以及实用工具来自Free软件基金会(FSF)。 作为手册的扩充，这些程序提供了一种更具有活力的超文档说明info， 您可用info命令来阅读他们。 假如您装上emacs，也能利用emacs 的info模式来阅读。 使用 &man.info.1; 这个命令只需简单地输入: &prompt.user; info 想得到简单介绍， 请按 h。 想快速得到的命令说明， 请按 ?。 diff --git a/zh_CN.GB2312/books/handbook/bibliography/chapter.sgml b/zh_CN.GB2312/books/handbook/bibliography/chapter.sgml index 60e1e78b80..3efec9995d 100644 --- a/zh_CN.GB2312/books/handbook/bibliography/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/bibliography/chapter.sgml @@ -1,672 +1,667 @@ 参考文献 尽管手册页能够提供对于 FreeBSD 操作系统最为权威的参考资料，它们有时却不能告诉我们如何让整个系统很好地运转起来。 因此，一本关于 &unix; 系统管理的好书，以及一份好的用户手册是不可或缺的。 关于 FreeBSD 的专业书籍与杂志 非英文的书籍和杂志： FreeBSD 入门与应用 (繁体中文)， 出版商： Drmaster， 1997. ISBN 9-578-39435-7. FreeBSD 技术内幕(简体中文译本)， 机械工业出版社。ISBN 7-111-10201-0。 FreeBSD 使用大全 第一版 （简体中文）， 机械工业出版社。ISBN 7-111-07482-3。 FreeBSD 使用大全 第二版 （简体中文）， 机械工业出版社。ISBN 7-111-10286-X。 FreeBSD Handbook (第二版简体中文译本)， 人民邮电出版社。ISBN 7-115-10541-3。 FreeBSD 3.x Internet 高级服务器的架设与管理 （简体中文）， 清华大学出版社。ISBN 7-900625-66-6。 FreeBSD & Windows 集成组网实务 （简体中文）， 中国铁道出版社。 ISBN 7-113-03845-X。 FreeBSD 网站架设实务 （简体中文）， 中国铁道出版社。ISBN 7-113-03423-3。 FreeBSD for PC 98'ers (日文, 出版商：SHUWA System Co, LTD. ISBN 4-87966-468-5 C3055 P2900E。 FreeBSD (日文, 出版商：CUTT. ISBN 4-906391-22-2 C3055 P2400E. Complete Introduction to FreeBSD （日文）, 出版商：Shoeisha Co., Ltd. ISBN 4-88135-473-6 P3600E. Personal UNIX Starter Kit FreeBSD （日文）, 出版商：ASCII. ISBN 4-7561-1733-3 P3000E. FreeBSD Handbook （日文译本）, 出版商：ASCII. ISBN 4-7561-1580-2 P3800E. FreeBSD mit Methode （德文）, 出版商：Computer und Literatur Verlag/Vertrieb Hanser, 1998. ISBN 3-932311-31-0. FreeBSD 4 - Installieren, Konfigurieren, Administrieren （德文）, 出版商：Computer und Literatur Verlag, 2001. ISBN 3-932311-88-4. FreeBSD 5 - Installieren, Konfigurieren, Administrieren （德文）, 出版商： Computer und Literatur Verlag, 2003. ISBN 3-936546-06-1. FreeBSD de Luxe (德文), 出版商： Verlag Modere Industrie, 2003. ISBN 3-8266-1343-0. FreeBSD Install and Utilization Manual （日文）, 出版商： Mainichi Communications Inc.，1998. ISBN 4-8399-0112-0. Onno W Purbo, Dodi Maryanto, Syahrial Hubbany, Widjil Widodo Building Internet Server with FreeBSD （印尼文）, 出版商： Elex Media Komputindo. Absolute BSD: The Ultimate Guide to FreeBSD （繁体中文） 出版商： GrandTech Press, 2003. ISBN 986-7944-92-5. The FreeBSD 6.0 Book （繁体中文）， 出版商：Drmaster, 2006. ISBN 9-575-27878-X. 英文版的书籍和杂志： Absolute BSD: The Ultimate Guide to FreeBSD, 出版商： No Starch Press, 2002. ISBN: 1886411743 The Complete FreeBSD, 出版商： O'Reilly, 2003. ISBN: 0596005164 The FreeBSD Corporate Networker's Guide, 出版商： Addison-Wesley, 2000. ISBN: 0201704811 FreeBSD: An Open-Source Operating System for Your Personal Computer, 出版商： The Bit Tree Press, 2001. ISBN: 0971204500 Teach Yourself FreeBSD in 24 Hours, 出版商： Sams, 2002. ISBN: 0672324245 FreeBSD 6 Unleashed，出版商： Sams, 2006. ISBN: 0672328755 FreeBSD: The Complete Reference, 出版商： McGrawHill, 2003. ISBN: 0072224096 用户指南 Computer Systems Research Group, UC Berkeley. 4.4BSD User's Reference Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-075-9 Computer Systems Research Group, UC Berkeley. 4.4BSD User's Supplementary Documents. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-076-7 UNIX in a Nutshell. O'Reilly & Associates, Inc., 1990. ISBN 093717520X Mui, Linda. What You Need To Know When You Can't Find Your UNIX System Administrator. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-104-6 Ohio State University 编写了一份 UNIX 介绍性课程 ，并提供在线的 HTML 和 PostScript 版本。 这份文档的意大利文 翻译 是 FreeBSD Italian Documentation Project 的一部分。 Jpman Project, Japan FreeBSD Users Group. FreeBSD User's Reference Manual (日文译本). Mainichi Communications Inc., 1998. ISBN4-8399-0088-4 P3800E. Edinburgh University has written an Online Guide for newcomers to the UNIX environment. 管理员指南 Albitz, Paul and Liu, Cricket. DNS and BIND, 4th Ed. O'Reilly & Associates, Inc., 2001. ISBN 1-59600-158-4 Computer Systems Research Group, UC Berkeley. 4.4BSD System Manager's Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-080-5 Costales, Brian, et al. Sendmail, 2nd Ed. O'Reilly & Associates, Inc., 1997. ISBN 1-56592-222-0 Frisch, Æleen. Essential System Administration, 2nd Ed. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-127-5 Hunt, Craig. TCP/IP Network Administration, 2nd Ed. O'Reilly & Associates, Inc., 1997. ISBN 1-56592-322-7 Nemeth, Evi. UNIX System Administration Handbook. 3rd Ed. Prentice Hall, 2000. ISBN 0-13-020601-6 Stern, Hal Managing NFS and NIS O'Reilly & Associates, Inc., 1991. ISBN 0-937175-75-7 Jpman Project, Japan FreeBSD Users Group. FreeBSD System Administrator's Manual (日文译本). Mainichi Communications Inc., 1998. ISBN4-8399-0109-0 P3300E. Dreyfus, Emmanuel. Cahiers de l'Admin: BSD 2nd Ed. (in French), Eyrolles, 2004. ISBN 2-212-11463-X 开发指南 Asente, Paul, Converse, Diana, and Swick, Ralph. X Window System Toolkit. Digital Press, 1998. ISBN 1-55558-178-1 Computer Systems Research Group, UC Berkeley. 4.4BSD Programmer's Reference Manual. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-078-3 Computer Systems Research Group, UC Berkeley. 4.4BSD Programmer's Supplementary Documents. O'Reilly & Associates, Inc., 1994. ISBN 1-56592-079-1 Harbison, Samuel P. and Steele, Guy L. Jr. C: A Reference Manual. 4th ed. Prentice Hall, 1995. ISBN 0-13-326224-3 Kernighan, Brian and Dennis M. Ritchie. The C Programming Language. 2nd Ed. PTR Prentice Hall, 1988. ISBN 0-13-110362-8 Lehey, Greg. Porting UNIX Software. O'Reilly & Associates, Inc., 1995. ISBN 1-56592-126-7 Plauger, P. J. The Standard C Library. Prentice Hall, 1992. ISBN 0-13-131509-9 Spinellis, Diomidis. Code Reading: The Open Source Perspective. Addison-Wesley, 2003. ISBN 0-201-79940-5 Spinellis, Diomidis. Code Quality: The Open Source Perspective. Addison-Wesley, 2006. ISBN 0-321-16607-8 Stevens, W. Richard and Stephen A. Rago. Advanced Programming in the UNIX Environment. 2nd Ed. Reading, Mass. : Addison-Wesley, 2005. ISBN 0-201-43307-9 Stevens, W. Richard. UNIX Network Programming. 2nd Ed, PTR Prentice Hall, 1998. ISBN 0-13-490012-X Wells, Bill. Writing Serial Drivers for UNIX. Dr. Dobb's Journal. 19(15), December 1994. pp68-71, 97-99. 操作系统原理 Andleigh, Prabhat K. UNIX System Architecture. Prentice-Hall, Inc., 1990. ISBN 0-13-949843-5 Jolitz, William. Porting UNIX to the 386. Dr. Dobb's Journal. 1991年1月 - 1992年6月 Leffler, Samuel J., Marshall Kirk McKusick, Michael J Karels and John Quarterman The Design and Implementation of the 4.3BSD UNIX Operating System. Reading, Mass. : Addison-Wesley, 1989. ISBN 0-201-06196-1 Leffler, Samuel J., Marshall Kirk McKusick, The Design and Implementation of the 4.3BSD UNIX Operating System: Answer Book. Reading, Mass. : Addison-Wesley, 1991. ISBN 0-201-54629-9 McKusick, Marshall Kirk, Keith Bostic, Michael J Karels, and John Quarterman. The Design and Implementation of the 4.4BSD Operating System. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-54979-4 (这本书的第二章的 在线版本 是 FreeBSD Documentation Project 的一部分， 另外， 第九章可以在 这里 找到。) Marshall Kirk McKusick, George V. Neville-Neil The Design and Implementation of the FreeBSD Operating System. Boston, Mass. : Addison-Wesley, 2004. ISBN 0-201-70245-2 Stevens, W. Richard. TCP/IP Illustrated, Volume 1: The Protocols. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-63346-9 Schimmel, Curt. Unix Systems for Modern Architectures. Reading, Mass. : Addison-Wesley, 1994. ISBN 0-201-63338-8 Stevens, W. Richard. TCP/IP Illustrated, Volume 3: TCP for Transactions, HTTP, NNTP and the UNIX Domain Protocols. Reading, Mass. : Addison-Wesley, 1996. ISBN 0-201-63495-3 Vahalia, Uresh. UNIX Internals -- The New Frontiers. Prentice Hall, 1996. ISBN 0-13-101908-2 Wright, Gary R. and W. Richard Stevens. TCP/IP Illustrated, Volume 2: The Implementation. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-63354-X 信息安全方面的参考文献 Cheswick, William R. and Steven M. Bellovin. Firewalls and Internet Security: Repelling the Wily Hacker. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-63357-4 Garfinkel, Simson and Gene Spafford. Practical UNIX & Internet Security. 2nd Ed. O'Reilly & Associates, Inc., 1996. ISBN 1-56592-148-8 Garfinkel, Simson. PGP Pretty Good Privacy O'Reilly & Associates, Inc., 1995. ISBN 1-56592-098-8 硬件参考 Anderson, Don and Tom Shanley. Pentium Processor System Architecture. 2nd Ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40992-5 Ferraro, Richard F. Programmer's Guide to the EGA, VGA, and Super VGA Cards. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-62490-7 Intel 公司在他们的 开发人员网站上, 提供了关于他们的 CPU，芯片组，以及标准的文档。多数是PDF文件. Shanley, Tom. 80486 System Architecture. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40994-1 Shanley, Tom. ISA System Architecture. 3rd ed. Reading, Mass. : Addison-Wesley, 1995. ISBN 0-201-40996-8 Shanley, Tom. PCI System Architecture. 4th ed. Reading, Mass. : Addison-Wesley, 1999. ISBN 0-201-30974-2 Van Gilluwe, Frank. The Undocumented PC, 2nd Ed. Reading, Mass: Addison-Wesley Pub. Co., 1996. ISBN 0-201-47950-8 Messmer, Hans-Peter. The Indispensable PC Hardware Book, 4th Ed. Reading, Mass: Addison-Wesley Pub. Co., 2002. ISBN 0-201-59616-4 &unix; 历史 Lion, John Lion's Commentary on UNIX, 6th Ed. With Source Code. ITP Media Group, 1996. ISBN 1573980137 Raymond, Eric S. The New Hacker's Dictionary, 3rd edition. MIT Press, 1996. ISBN 0-262-68092-0. 它也被称作 Jargon File Salus, Peter H. A quarter century of UNIX. Addison-Wesley Publishing Company, Inc., 1994. ISBN 0-201-54777-5 Simon Garfinkel, Daniel Weise, Steven Strassmann. The UNIX-HATERS Handbook. IDG Books Worldwide, Inc., 1994. ISBN 1-56884-203-1. Out of print, but available online. Don Libes, Sandy Ressler Life with UNIX — special edition. Prentice-Hall, Inc., 1989. ISBN 0-13-536657-7 BSD 族谱. 或在 FreeBSD 机器上的 /usr/share/misc/bsd-family-tree 。 - - The BSD Release Announcements collection. - 1997. - - Networked Computer Science Technical Reports Library. Old BSD releases from the Computer Systems Research group (CSRG). : The 4CD set covers all BSD versions from 1BSD to 4.4BSD and 4.4BSD-Lite2 (but not 2.11BSD, unfortunately). The last disk also holds the final sources plus the SCCS files. 各种期刊 The C/C++ Users Journal. R&D Publications Inc. ISSN 1075-2838 Sys Admin — The Journal for UNIX System Administrators Miller Freeman, Inc., ISSN 1061-2688 freeX — Das Magazin für Linux - BSD - UNIX (德文) Computer- und Literaturverlag GmbH, ISSN 1436-7033 diff --git a/zh_CN.GB2312/books/handbook/config/chapter.sgml b/zh_CN.GB2312/books/handbook/config/chapter.sgml index e4cc5c0a5f..0d6c81080d 100644 --- a/zh_CN.GB2312/books/handbook/config/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/config/chapter.sgml @@ -1,2894 +1,2839 @@ Chern Lee 原作： Mike Smith 这份文档基于一份教程， 其作者是 Matt Dillon 此外， 也参考了 tuning(7)， 其作者是 设置和调整 概述 系统配置 系统优化 使用 &os; 的一个重要问题是系统配置。 正确地配置系统能充分地减少以后维护和升级系统所需的工作量。 这章将解释一些 &os; 的配置过程，包括一些可以调整的 &os; 系统的一些参数。 读完本章， 您将了解： 如何有效地利用文件系统和交换分区。 rc.conf 的基本设置以及 - /usr/local/etc/rc.d 启动体系。 + /usr/local/etc/rc.d 启动体系。 如何设置和测试网卡。 如何在您的网络设备上配置虚拟主机。 - 如何使用 /etc 下的各配置文件。 + 如何使用 /etc 下的各配置文件。 如何通过 sysctl 变量来对 &os; 系统进行调优。 怎样调整磁盘性能和修改内核限制。 在阅读本章之前，您应该了解： 了解 &unix; 和 &os; 的基础知识 ()。 熟悉内核配置编译的基础知识 ()。 初步配置 分区规划 分区规划 - /etc + /etc - /var + /var - /usr + /usr 基本分区 当使用 &man.bsdlabel.8; 或者 &man.sysinstall.8; 来分割您的文件系统的时候， 要记住硬盘驱动器外磁道传输数据要比从内磁道传输数据快。 因此应该将小的和经常访问的文件系统放在驱动器靠外的位置， - 一些大的分区比如 /usr + 一些大的分区比如 /usr 应该放在磁盘比较靠里的位置。 以类似这样的顺序建立分区是一个不错的主意：root，swap， - /var，/usr。 + /var， + /usr。 - /var 分区的大小能反映您的机器使用情况。 - /var 文件系统用来存储邮件， + /var 分区的大小能反映您的机器使用情况。 + /var 文件系统用来存储邮件， 日志文件和打印队列缓存， 特别是邮箱和日志文件可能会达到无法预料的大小， 这主要取决于在您的系统上有多少用户和您的日志文件可以保存多长时间。 - 大多数用户很少需要 /var + 大多数用户很少需要 /var 有 1GB 以上的闲置空间。 - 有时候 /var/tmp 需要很多的磁盘空间。 + 有时候 /var/tmp 需要很多的磁盘空间。 在使用 &man.pkg.add.1; 安装新的软件时，包管理工具会在 - /var/tmp 中解压出一份临时拷贝。 + /var/tmp 中解压出一份临时拷贝。 大的软件包，像 Firefox， 或者 OpenOffice - 在安装时如果 /var/tmp + 在安装时如果 /var/tmp 中没有足够的空间就可能需要一些技巧了。 - /usr 分区存储很多用来系统运行所需要的文件例如 + /usr + 分区存储很多用来系统运行所需要的文件例如 &man.ports.7; (建议这样做) 和源代码 (可选的)。 ports 和基本系统的源代码在安装时都是可选的， 但我们建议给这个分区至少保留 2GB 的可用空间。 当选择分区大小的时候，记住保留一些空间。 用完了一个分区的空间而在另一个分区上还有很多， 可能会导致出现一些错误。 一些用户会发现 &man.sysinstall.8; 的 Auto-defaults 自动分区有时会分配给 - /var 和 / 较小的分区空间。 + /var 和 + / 较小的分区空间。 分区应该精确一些并且大一些。 交换分区 交换分区分配 交换分区 一般来讲，交换分区应该大约是系统内存 (RAM) 的两倍。 例如，如果机器有 128M 内存，交换文件应该是 256M。 较小内存的系统可以通过多一点地交换分区来提升性能。 不建议小于 256 兆的交换分区，并且扩充您的内存应该被考虑一下。 当交换分区最少是主内存的两倍的时候，内核的 VM (虚拟内存) 页面调度算法可以将性能调整到最好。如果您给机器添加更多内存， 配置太小的交换分区会导致 VM 页面扫描的代码效率低下。 在使用多块SCSI磁盘(或者不同控制器上的IDE磁盘)的大系统上， 建议在每个驱动器上建立交换分区(直到四个驱动器)。 交换分区应该大约一样大小。内核可以使用任意大小， 但内部数据结构则是最大交换分区的 4 倍。保持交换分区同样的大小， 可以允许内核最佳地调度交换空间来访问磁盘。 即使不太使用，分配大的交换分区也是好的， 在被迫重启之前它可以让您更容易的从一个失败的程序中恢复过来。 为什么要分区？ 一些用户认为一个单独的大分区将会很好， 但是有很多原因会证明为什么这是个坏主意。首先， 每个分区有不同的分区特性，因此分开可以让文件系统调整它们。 - 例如，根系统和 /usr 一般只是读取，写入很少。 - 很多读写频繁的被放在 /var 和 - /var/tmp中。 + 例如，根系统和 /usr 一般只是读取，写入很少。 + 很多读写频繁的被放在 /var 和 + /var/tmp中。 适当的划分一个系统， 在其中使用较小的分区， 这样， 那些以写为主的分区将不会比以读为主的分区付出更高的代价。 将以写为主的分区放在靠近磁盘的边缘， 例如放在实际的大硬盘的前面代替放在分区表的后面，将会提高您需要的分区的 I/O 性能。现在可能也需要在比较大的分区上有很好的 I/O 性能， 把他们移动到磁盘外围不会带来多大的性能提升，反而把 - /var 移到外面会有很好的效果。最后涉及到安全问题。 + /var 移到外面会有很好的效果。最后涉及到安全问题。 一个主要是只读的小的、整洁的根分区可以提高从一个严重的系统崩溃中恢复过来的机会。 - + 核心配置 rc 文件 rc.conf 系统的配置信息主要位于 /etc/rc.conf。 这个文件包含了配置信息很大的一部分，主要在系统启动的时候来配置系统， 这个名字直接说明了这点；它也是 rc* 文件的配置信息。 系统管理员应该在 rc.conf 文件中建立记录来覆盖 /etc/defaults/rc.conf 中的默认设置。 这个默认文件不应该被逐字的复制到 - /etc —— 它包含的是默认值而不是一个例子。 + /etc —— 它包含的是默认值而不是一个例子。 所有特定的改变应该在 rc.conf 中。 在集群应用中，为了降低管理成本， 可以应用多种策略把涉及全站范围的设置从特定于系统的设置中分离出来。 建议的方法是将全站范围的设置放在另一个文件中，例如 /etc/rc.conf.site， 并且把它包含进然后把这个文件包括进只包含系统指定信息的 /etc/rc.conf。 由于 rc.conf 可以被 &man.sh.1; 阅读，所以达到这个目的很简单，例如： rc.conf: . /etc/rc.conf.site hostname="node15.example.com" network_interfaces="fxp0 lo0" ifconfig_fxp0="inet 10.1.1.1" rc.conf.site: defaultrouter="10.1.1.254" saver="daemon" blanktime="100" rc.conf.site 文件可以使用 rsync 或类似程序分发给各个系统， 同时各系统的 rc.conf 文件仍保持独立。 使用 &man.sysinstall.8; 或者 make world 来升级系统不会覆盖 rc.conf 文件， 所以系统配置信息不会丢失。 - 应用程序配置 典型的，被安装的应用程序有他自己的配置文件、语法等等。 从基本系统中分开他们是很重要的以至于他们可以容易的被 package 管理工具定位和管理 /usr/local/etc 一般来说，这些文件被安装在 - /usr/local/etc。这个例子中， + /usr/local/etc。这个例子中， 一个应用程序有很多配置文件并且创建了一个子目录来存放他们。 通常，当一个 port 或者 package 被安装的时候， 配置文件示例也同样被安装了。它们通常用 .default 的后缀来标识。如果不存在这个应用程序的配置文件， 它们会通过复制 .default 文件来创建。 - 例如，看一下这个目下的内容 /usr/local/etc/apache： + 例如，看一下这个目下的内容 + /usr/local/etc/apache： -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf -rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf.default -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf -rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf.default -rw-r--r-- 1 root wheel 12205 May 20 1998 magic -rw-r--r-- 1 root wheel 12205 May 20 1998 magic.default -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types -rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types.default -rw-r--r-- 1 root wheel 7980 May 20 1998 srm.conf -rw-r--r-- 1 root wheel 7933 May 20 1998 srm.conf.default 文件大小显示了只有 srm.conf 改变了。以后 Apache 的升级就不会改变这个文件。 Tom Rhodes Contributed by 启动服务 服务 许多用户会选择使用 Ports Collection 来在 &os; 上安装第三方软件。 很多情况下这可能需要进行一些配置以便让这些软件能够在系统初始化的过程中启动。 服务， 例如 mail/postfix 或 www/apache13 就是这些需要在系统初始化时启动的软件包中的两个典型代表。 这一节解释了启动第三方软件所需要的步骤。 &os; 包含的大多数服务，例如 &man.cron.8;， 就是通过系统启动脚本启动的。 这些脚本也许会有些不同， 这取决于 &os; 版本。 但是不管怎样， 需要考虑的一个重要方面是他们的启动配置文件要能被基本启动脚本识别捕获。 - 在 rc.d 出现之前， 应用程序会把一个简单的启动脚本放到 - /usr/local/etc/rc.d - 目录中， 这个目录中的脚本会被系统初始化脚本读取。 - - 尽管很多人已经花费了相当多的时间来把旧的配置方式融入到新系统中， - 仍然有许多第三方软件需要把脚本放到上面提到的目录中。 - 是否使用 rc.d 会对这些脚本的执行带来一些变化。 - 在 &os; 5.1 之前采用的是旧式的配置， - 当然， 绝大多数情况下， 新式的脚本也会工作的很好。 - - 每个脚本都应该遵守 &os; 版本所需求的一些规定： - 每个脚本必须是能够被系统执行，通常可以使用 - chmod 命令设置成 555 权限。 - 它还应该能接受 start - 选项来启动程序并且接受 stop - 选项来结束程序。 - - 一个简单的脚本看起来可能会像这样： - - #!/bin/sh -echo -n ' utility' - -case "$1" in -start) - /usr/local/bin/utility - ;; -stop) - kill -9 `cat /var/run/utility.pid` - ;; -*) - echo "Usage: `basename $0` {start|stop}" >&2 - exit 64 - ;; -esac - -exit 0 - - 这个脚本提供了 stop 和 - start 两个选项， 用以操作 - utility。 - - 可以用如下方法来启动： - - &prompt.root; /usr/local/etc/rc.d/utility start - - 现在不是所有第三方软件都需要在 - rc.conf 中进行如此的配置， - 不过几乎每天都有新的 port 被修改来采用这种配置方法。 - 您应在安装的最后阶段查看所显示的信息， - 以了解某个具体的应用是否需要这样的配置。 - 某些第三方软件会提供启动脚本， 以便与 - rc.d 配合使用； - 这些内容将在下一节介绍。 - 扩展应用程序配置 现在 &os; 提供了 rc.d， 这使得对应用软件的启动进行配置变得更加方便， 并提供了更多的其他功能。 例如， 使用在 rc.d 一节中所介绍的关键字， 应用程序就可以设置在某些其他服务， 例如 DNS 之后启动； 除此之外， 还可以通过 rc.conf 来指定一些额外的启动参数， 而不再需要将它们硬编码到启动脚本中。 基本的启动脚本如下所示： #!/bin/sh # # PROVIDE: utility # REQUIRE: DAEMON # KEYWORD: shutdown -# -# DO NOT CHANGE THESE DEFAULT VALUES HERE -# SET THEM IN THE /etc/rc.conf FILE -# -utility_enable=${utility_enable-"NO"} -utility_flags=${utility_flags-""} -utility_pidfile=${utility_pidfile-"/var/run/utility.pid"} - . /etc/rc.subr name="utility" rcvar=`set_rcvar` command="/usr/local/sbin/utility" load_rc_config $name -pidfile="${utility_pidfile}" +# +# DO NOT CHANGE THESE DEFAULT VALUES HERE +# SET THEM IN THE /etc/rc.conf FILE +# +utility_enable=${utility_enable-"NO"} +utility_pidfile=${utility_pidfile-"/var/run/utility.pid"} -start_cmd="echo \"Starting ${name}.\"; /usr/bin/nice -5 ${command} ${utility_flags} ${command_args}" +pidfile="${utility_pidfile}" run_rc_command "$1" 这个脚本将保证 utility 能够在 - daemon 服务之后启动。 它同时也提供了设置和跟踪 + DAEMON 服务之后启动。 它同时也提供了设置和跟踪 PID， 也就是进程 ID 文件的方法。 可以在 /etc/rc.conf 中加入： utility_enable="YES" 这个方法也使得命令行参数、包含 /etc/rc.subr 中所提供的功能， 兼容 &man.rcorder.8; 工具并提供更简单的通过 rc.conf 文件来配置的方法。 用服务来启动服务 其他服务， 例如 POP3 服务器， IMAP， 等等， 也可以通过 &man.inetd.8; 来启动。 这一过程包括从 Ports Collection 安装相应的应用程序， 并把配置加入到 /etc/inetd.conf 文件， 或去掉当前配置中的某些注释。 如何使用和配置 inetd 在 inetd 一节中进行了更为深入的阐述。 一些情况下， 通过 &man.cron.8; 来启动系统服务也是一种可行的选择。 这种方法有很多好处， 因为 cron 会以 crontab 的文件属主身份执行那些进程。 这使得普通用户也能够执行他们的应用。 cron 工具提供了一个独有的功能， 以 @reboot 来指定时间。 这样的设置将在 &man.cron.8; 启动时运行， 通常这也是系统初始化的时候。 - Tom Rhodes Contributed by 配置 <command>cron</command> cron 配置 &os; 最有用的软件包(utilities)中的一个是 &man.cron.8;。 cron 软件在后台运行并且经常检查 /etc/crontab 文件。cron - 软件也检查 /var/cron/tabs 目录，搜索新的 + 软件也检查 /var/cron/tabs 目录，搜索新的 crontab 文件。这些 crontab 文件存储一些 cron 在特定时间执行任务的信息。 cron 程序使用两种不同类型的配置文件， 即系统 crontab 和用户 crontabs。 两种格式的唯一区别是第六个字段。 在系统 crontab 中，第六个字段是用于执行命令的用户名。 这给予了系统 crontab 以任意用户身份执行命令的能力。 在用户 crontab 中， 第六个字段是要执行的命令， 所有的命令都会以这个用户自己的身份执行； 这是一项重要的安全功能。 同其他用户一样， root 用户也可以有自己的 crontab。 它不同于 /etc/crontab (也就是系统 crontab)。 由于有系统 crontab 的存在， 通常并不需要给 root 建立单独的用户 crontab。 让我们来看一下 /etc/crontab 文件： # /etc/crontab - root's crontab for &os; # # $&os;: src/etc/crontab,v 1.32 2002/11/22 16:13:39 tom Exp $ # # SHELL=/bin/sh PATH=/etc:/bin:/sbin:/usr/bin:/usr/sbin HOME=/var/log # # #minute hour mday month wday who command # # */5 * * * * root /usr/libexec/atrun 像大多数 &os; 配置文件一样，# 字符是注释。 这样， 就可以编写注释来说明要执行什么操作， 以及这样做的原因。 需要注意的是， 注释应该另起一行， 而不能跟命令放在同一行上， 否则它们会被看成命令的一部分。 这个文件中的空行会被忽略。 首先应该定义环境变量。等号 (=) 字符用来定义任何环境变量，像这个例子用到了 SHELL，PATH 和 HOME 变量。如果 shell 行被忽略掉，cron 将会用默认值 sh。如果 变量被忽略， 那么就没有默认值并且需要指定文件绝对位置。如果 被忽略，cron 将用用执行者的 home 目录。 这一行定义了七个字段。它们是 minute、 hour、mday、 month、wday、 who 和 command。 它们差不多已经说明了各自的用处。Minute 是命令要运行时的分钟，Hour 跟 minute 差不多，只是用小时来表示。Mday 是每个月的天。Month 跟 hour 还有 minute 都差不多，用月份来表示。wday 字段表示星期几。 所有这些字段的值必须是数字并且用24小时制来表示。who 字段是特别的，并且只在 /etc/crontab 文件中存在。 这个字段指定了命令应该以哪个用户的身份来运行。当一个用户添加了他(她)的 crontab 文件的时候，他们就会没有这个字段选项。最后，是 command 字段。这是最后的一个字段， 所以自然就是它指定要运行的程序。 最后一行定义了上面所说的值。注意这里我们有一个 */5 列表，紧跟着是一些 * 字符。* 字符代表开始到最后， 也可以被解释成 每次。所以，根据这行， 显然表明了无论在何时每隔 5 分钟以 root 身份来运行 atrun 命令。查看 &man.atrun.8; 手册页以获得 atrun 的更多信息。 命令可以有任意多个传递给它们的标志。无论怎样， 扩展到多行的命令应该用反斜线(\)来续行。 这是每个 crontab 文件的基本设置， 虽然它们有一个不同。第六行我们指定的用户名只存在于系统 /etc/crontab 文件。这个字段在普通用户的 crontab 文件中应该被忽略。 安装 Crontab 绝对不要用这种方法来编辑/安装系统 crontab。 您需要做的只是使用自己喜欢的编辑器： cron 程序会注意到文件发生了变化， 并立即开始使用新的版本。参见 这个 FAQ 项目 以了解进一步的情况。 要安装刚写好的用户 crontab， 首先使用最习惯的编辑器来创建一个符合要求格式的文件，然后用 crontab 程序来完成。最常见的用法是： &prompt.user; crontab crontab-file 在前面的例子中， crontab-file 是一个事先写好的 crontab。 还有一个选项用来列出安装的 crontab 文件： 只要传递 选项给 crontab 然后看一下输出。 用户想不用模板(已经存在的文件)而直接安装他的 crontab 文件，用 crontab -e 选项也是可以的。 它将会启动一个编辑器并且创建一个新文件，当这个文件被保存的时候， 它会自动的用 crontab 来安装这个文件。 如果您稍后想要彻底删除自己的用户 crontab 可以使用 crontab 的 选项。 Tom Rhodes Contributed by 在 &os; 中使用 rc 在 2002 年， &os; 整合了来自 NetBSD 的 rc.d 系统， 并通过它来完成系统的初始化工作。 用户要注意在 - /etc/rc.d 目录下的文件。 + /etc/rc.d 目录下的文件。 这里面的许多文件是用来管理基础服务的， 它们可以通过 、 ， 以及 选项来控制。 举例来说， &man.sshd.8; 可以通过下面的命令来重启： &prompt.root; /etc/rc.d/sshd restart 对其它服务的操作与此类似。 当然， 这些服务通常是在启动时根据 &man.rc.conf.5; 自动启动的。 例如， 要配置使系统启动时启动网络地址转换服务， 可以简单地通过在 /etc/rc.conf 中加入如下设置来完成： natd_enable="YES" 如果 行已经存在， 只要简单的把 改成 即可。 rc 脚本在下次重新启动的时候会自动的装载所需要的服务， 像下面所描述的那样。 由于 rc.d 系统在系统启动/关闭时首先启动/停止服务，如果设置了适当的 /etc/rc.conf 变量，标准的 、 和 选项将会执行他们的动作。例如 sshd restart 命令只在 /etc/rc.conf 中的 sshd_enable 设置成 的时候工作。不管是否在 /etc/rc.conf 中设置了，要 、 或者 一个服务，命令前可以加上一个one前缀。例如要不顾当前 /etc/rc.conf 的设置重新启动 sshd，执行下面的命令： &prompt.root; /etc/rc.d/sshd onerestart 用选项 可以简单来的检查 /etc/rc.conf 中用适当的 rc.d 脚本启动的服务是否被启用。从而管理员可以运行这样的程序来检查 sshd 是否真的在 /etc/rc.conf 中被启动了： &prompt.root; /etc/rc.d/sshd rcvar # sshd $sshd_enable=YES 第二行 (# sshd) 是从 sshd 命令中输出的，而不是 root 控制台。 为了确定一个服务是否真的在运行，可以用 选项。例如验证 sshd 是否真的启动了： &prompt.root; /etc/rc.d/sshd status sshd is running as pid 433. 有些时候也可以 服务。 这一操作实际上是向服务发送一个信号， 来强制其重新加载配置。 多数情况下， 发给服务的会是 SIGHUP 信号。 并非所有服务都支持这一功能。 rc.d 系统不仅用于网络服务， 它也为系统初始化中的多数过程提供支持。 比如 bgfsck 文件， 当它被执行时， 将会给出下述信息： Starting background file system checks in 60 seconds. 这个文件用做后台文件系统检查，系统初始化的时候完成。 很多系统服务依赖其他服务提供的相应功能。例如，NIS 和其他基于 RPC 的服务启动可能在 rpcbind 服务启动之前失败。 要解决这个问题，依赖关系信息和其他头信息当作注释被包含在每个启动脚本文件的前面。 程序在系统初始化时分析这些注释以决定调用其他系统服务来满足依赖关系。 下面的字句必须被包含在所有的启动脚本文件里， （他们都是 &man.rc.subr.8; 用来 enable 启动脚本必需的）: PROVIDE: 指定此文件所提供的服务的名字。 以下的字句可以被包含在启动文件的顶部。严格来说他们不是必需的， 但作为对于 &man.rcorder.8; 有一定的提示作用： REQUIRE: 列出此服务启动之前所需要的其他服务。 此脚本提供的服务会在指定的那些服务 之后 启动。 BEFORE: 列出依赖此服务的其他服务。 此脚本提供的服务将在指定的那些服务 之前 启动。 通过在启动脚本中仔细设定这些关键字， 系统管理员可以很有条理的控制脚本的启动顺序， 进而避免使用像其他 &unix; 操作系统那样混乱的 runlevels。 更多关于 rc.d 系统的信息， 可以在 &man.rc.8; 和 &man.rc.subr.8; 联机手册中找到。 如果您有意撰写自己的 rc.d 脚本， 或对现有的脚本进行一些改进， 也可以参考 这篇文章。 Marc Fonvieille Contributed by 设置网卡 网卡 配置 现在我们不可想象一台计算机没有网络连接的情况。 添加和配置一块网卡是任何 &os; 系统管理员的一项基本任务。 查找正确的驱动程序 网卡 驱动程序 在开始之前，您应该知道您的网卡类型，它用的芯片和它是 PCI 还是 ISA 网卡。&os; 支持很多种 PCI 和 ISA 网卡。 可以查看您的版本硬件兼容性列表以确定您的网卡被支持。 确认系统能够支持您的网卡之后， 您还需要为它选择合适的驱动程序。 /usr/src/sys/conf/NOTES 和 /usr/src/sys/arch/conf/NOTES 将为您提供所支持的一些网卡和芯片组的信息。 如果您怀疑驱动程序是否使所要找的那一个， 请参考驱动程序的联机手册。 联机手册将提供关于所支持的硬件更详细的信息， 甚至还包括可能发生的问题。 如果您的网卡很常见的话， 大多数时候您不需要为驱动浪费精力。 常用的网卡在 GENERIC 内核中已经支持了， 所以您的网卡在启动时就会显示出来，像是： dc0: <82c169 PNIC 10/100BaseTX> port 0xa000-0xa0ff mem 0xd3800000-0xd38 000ff irq 15 at device 11.0 on pci0 dc0: Ethernet address: 00:a0:cc:da:da:da miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto dc1: <82c169 PNIC 10/100BaseTX> port 0x9800-0x98ff mem 0xd3000000-0xd30 000ff irq 11 at device 12.0 on pci0 dc1: Ethernet address: 00:a0:cc:da:da:db miibus1: <MII bus> on dc1 ukphy1: <Generic IEEE 802.3u media interface> on miibus1 ukphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto 在这个例子中，我们看到有两块使用 &man.dc.4; 驱动的网卡在系统中。 如果您的网卡没有出现在 GENERIC 中， 则需要手工加载合适的驱动程序。 要完成这项工作可以使用下面两种方法之一： 最简单的办法是用 &man.kldload.8; 加载网卡对应的内核模块。 除此之外， 通过在 /boot/loader.conf 文件中加入适当的设置， 也可以让系统在引导时自动加载这些模块。 不过， 并不是所有的网卡都能够通过这种方法提供支持； ISA 网卡是比较典型的例子。 另外， 您也可以将网卡的支持静态联编进内核。 察看 /usr/src/sys/conf/NOTES， /usr/src/sys/arch/conf/NOTES 以及驱动程序的联机手册以了解需要在您的内核配置文件中加一些什么。 要了解关于重新编译内核的进一步细节， 请参见 。 如果您的卡在引导时可以被内核 (GENERIC) 识别， 您应该不需要编译新的内核。 使用 &windows; NDIS 驱动程序 NDIS NDISulator &windows; 驱动程序 Microsoft Windows Microsoft Windows device drivers (设备驱动) KLD (kernel loadable object) 不幸的是， 许多厂商由于认为驱动程序会涉及许多敏感的商业机密， 至今仍不愿意将把驱动程序作为开放源代码形式发布列入他们的时间表。 因此， &os; 和其他操作系统的开发者就只剩下了两种选择： 要么经历长时间的痛苦过程来对驱动进行逆向工程， 要么使用现存的为 µsoft.windows; 平台提供的预编译版本的驱动程序。 包括参与 &os; 开发的绝大多数开发人员， 都选择了后一种方法。 得益于 Bill Paul (wpaul) 的工作， 从 &os; 5.3-RELEASE 开始， 已经可以 直接地 支持 网络驱动接口标准 (NDIS, Network Driver Interface Specification) 了。 &os; NDISulator (也被称为 Project Evil) 可以支持二进制形式的 &windows; 驱动程序， 并让它相信正在运行的是 &windows;。 由于 &man.ndis.4; 驱动使用的是用于 &windows; 的二进制形式的驱动， 因此它只能在 &i386; 和 amd64 系统上使用。 &man.ndis.4; 驱动在设计时主要提供了 PCI、 CardBus 和 PCMCIA 设备的支持， 而 USB 设备目前则没有提供支持。 要使用 NDISulator， 您需要三件东西： 内核的源代码 二进制形式的 &windowsxp; 驱动程序 (扩展名为 .SYS) &windowsxp; 驱动程序配置文件 (扩展名为 .INF) 您需要找到用于您的卡的这些文件。 一般而言， 这些文件可以在随卡附送的 CD 或制造商的网站上找到。 在下面的例子中， 我们用 W32DRIVER.SYS 和 W32DRIVER.INF 来表示这些文件。 不能在 &os;/amd64 上使用 &windows;/i386 驱动程序。 必须使用 &windows;/amd64 驱动才能在其上正常工作。 接下来的步骤是将二进制形式的驱动程序组装成内核模块。 要完成这一任务， 需要以 root 用户的身份执行 &man.ndisgen.8;： &prompt.root; ndisgen /path/to/W32DRIVER.INF /path/to/W32DRIVER.SYS &man.ndisgen.8; 是一个交互式的程序， 它会提示您输入所需的一些其他的额外信息； 这些工作完成之后， 它会在当前目录生成一个内核模块文件， 这个文件可以通过下述命令来加载： &prompt.root; kldload ./W32DRIVER.ko 除了刚刚生成的内核模块之外， 还必须加载 ndis.ko 和 if_ndis.ko 这两个内核模块， 在您加载需要 &man.ndis.4; 的模块时， 通常系统会自动完成这一操作。 如果希望手工加载它们， 则可以使用下列命令： &prompt.root; kldload ndis &prompt.root; kldload if_ndis 第一个命令会加载 NDIS 袖珍端口驱动封装模块， 而第二条命令则加载实际的网络接口。 现在请查看 &man.dmesg.8; 来了解是否发生了错误。 如果一切正常， 您会看到类似下面的输出： ndis0: <Wireless-G PCI Adapter> mem 0xf4100000-0xf4101fff irq 3 at device 8.0 on pci1 ndis0: NDIS API version: 5.0 ndis0: Ethernet address: 0a:b1:2c:d3:4e:f5 ndis0: 11b rates: 1Mbps 2Mbps 5.5Mbps 11Mbps ndis0: 11g rates: 6Mbps 9Mbps 12Mbps 18Mbps 36Mbps 48Mbps 54Mbps 这之后， 就可以像使用其它网络接口 (例如 dc0) 一样来使用 ndis0 设备了。 与任何其它模块一样， 您也可以配置系统， 令其在启动时自动加载 NDIS 模块。 首先， 将生成的模块 W32DRIVER.ko 复制到 /boot/modules 目录中。 接下来， 在 /boot/loader.conf 中加入： W32DRIVER_load="YES" 配置网卡 网卡 配置 现在正确的网卡驱动程序已经装载，那么就应该配置它了。 跟其他配置一样，网卡可以在安装时用 sysinstall 来配置。 要显示您系统上的网络接口的配置，输入下列命令： &prompt.user; ifconfig dc0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.1.3 netmask 0xffffff00 broadcast 192.168.1.255 ether 00:a0:cc:da:da:da media: Ethernet autoselect (100baseTX <full-duplex>) status: active dc1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 10.0.0.1 netmask 0xffffff00 broadcast 10.0.0.255 ether 00:a0:cc:da:da:db media: Ethernet 10baseT/UTP status: no carrier lp0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500 lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet 127.0.0.1 netmask 0xff000000 tun0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500 老版本的 &os; 可能需要在 &man.ifconfig.8; 后面接 选项，需要了解更多的 &man.ifconfig.8; 语法请查阅使用手册。注意所有关于 IPv6 (inet6 等等) 的记录在这个例子里都被忽略了。 在这个例子中，显示出了下列设备： dc0: 第一个以太网接口 dc1: 第二个以太网接口 lp0: 并行端口网络接口 lo0: 回环设备 tun0: ppp使用的隧道设备 &os; 使用内核引导时检测到的网卡驱动顺序来命名网卡。例如 sis2 是系统中使用 &man.sis.4; 驱动的第三块网卡。 在这个例子中，dc0 设备启用了。主要表现在： UP 表示这块网卡已经配置完成准备工作。 这块网卡有一个 Internet (inet) 地址 (这个例子中是 192.168.1.3)。 它有一个有效的子网掩码 (netmask； 0xffffff00 等同于 255.255.255.0)。 它有一个有效的广播地址 (这个例子中是 192.168.1.255)。 网卡的 MAC (ether) 地址是 00:a0:cc:da:da:da 物理传输媒介模式处于自动选择状态 (media: Ethernet autoselect (100baseTX <full-duplex>))。我们看到 dc1 被配置成运行在 10baseT/UTP 模式下。 要了解驱动媒介类型的更多信息， 请查阅它们的使用手册。 连接状态 (status)是 active，也就是说连接信号被检测到了。对于 dc1，我们看到 status: no carrier。 这通常是网线没有插好。 如果 &man.ifconfig.8; 的输出显示了类似于： dc0: flags=8843<BROADCAST,SIMPLEX,MULTICAST> mtu 1500 ether 00:a0:cc:da:da:da 的信息，那么就是还没有配置网卡。 要配置网卡，您需要 root 权限。 网卡配置可以通过使用 &man.ifconfig.8; 命令行方式来完成， 但是这样每次启动都要做一遍。放置网卡配置信息的文件是 /etc/rc.conf。 用您自己喜欢的编辑器打开 /etc/rc.conf。 并且您需要为每一块系统中存在的网卡添加一行， 在我们的例子中，添加如下几行： ifconfig_dc0="inet 192.168.1.3 netmask 255.255.255.0" ifconfig_dc1="inet 10.0.0.1 netmask 255.255.255.0 media 10baseT/UTP" 用自己正确的设备名和地址来替换例子中的 dc0，dc1 等内容。您应该应该查阅网卡驱动和 &man.ifconfig.8; 的手册页来了解各选项，也要查看一下 &man.rc.conf.5; 帮助页来了解 /etc/rc.conf 的语法。 如果在安装的时候配置了网络，关于网卡的一些行可能已经存在了。 所以在添加新行前仔细检查一下 /etc/rc.conf。 您也可能需要编辑 /etc/hosts 来添加局域网中不同的机器名称和 IP 地址，如果它们不存在，查看 &man.hosts.5; 帮助和 /usr/share/examples/etc/hosts 以获得更多信息。 测试和调试 对 /etc/rc.conf 做了必要的修改之后应该重启系统以应用对接口的修改， 并且确认系统重启后没有任何配置错误。 系统重启后就应该测试网络接口了。 测试以太网卡 网卡 测试 为了确认网卡被正确的配置了，在这里我们要做两件事情。首先， ping 自己的网络接口，接着 ping 局域网内的其他机器。 首先测试本地接口： &prompt.user; ping -c5 192.168.1.3 PING 192.168.1.3 (192.168.1.3): 56 data bytes 64 bytes from 192.168.1.3: icmp_seq=0 ttl=64 time=0.082 ms 64 bytes from 192.168.1.3: icmp_seq=1 ttl=64 time=0.074 ms 64 bytes from 192.168.1.3: icmp_seq=2 ttl=64 time=0.076 ms 64 bytes from 192.168.1.3: icmp_seq=3 ttl=64 time=0.108 ms 64 bytes from 192.168.1.3: icmp_seq=4 ttl=64 time=0.076 ms --- 192.168.1.3 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.074/0.083/0.108/0.013 ms 现在我们应该 ping 局域网内的其他机器： &prompt.user; ping -c5 192.168.1.2 PING 192.168.1.2 (192.168.1.2): 56 data bytes 64 bytes from 192.168.1.2: icmp_seq=0 ttl=64 time=0.726 ms 64 bytes from 192.168.1.2: icmp_seq=1 ttl=64 time=0.766 ms 64 bytes from 192.168.1.2: icmp_seq=2 ttl=64 time=0.700 ms 64 bytes from 192.168.1.2: icmp_seq=3 ttl=64 time=0.747 ms 64 bytes from 192.168.1.2: icmp_seq=4 ttl=64 time=0.704 ms --- 192.168.1.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.700/0.729/0.766/0.025 ms 您如果您设置了 /etc/hosts 文件，也可以用机器名来替换 192.168.1.2。 调试 网卡 故障排除 调试硬件和软件配置一直是一件头痛的事情， 从最简单的开始可以减轻一些痛苦。 例如网线是否插好了？是否配置好了网络服务？防火墙配置正确吗？ 是否使用了被 &os; 支持的网卡？ 在发送错误报告之前您应该查看一下硬件说明， 升级 &os; 到最新的 STABLE 版本， 看一下邮件列表或者在 Internet 上搜索一下。 如果网卡工作了， 但性能低下，应该好好阅读一下 &man.tuning.7; 联机手册。 您也可以检查一下网络配置， 不正确的设置会导致慢速的网络连接。 一些用户可能会在一些网卡上经历一到两次 device timeouts， 这通常是正常现象。 如果经常这样甚至引起麻烦， 则应确定一下它跟其他设备没有冲突。 仔细检查网线连接， 或者换一块网卡。 有时用户会看到少量 watchdog timeout 错误。 这种情况要做的第一件事就是检查线缆连接。 一些网卡需要支持总线控制的 PCI 插槽。 在一些老的主板上，只有一个 PCI 插槽支持 (一般是 slot 0)。 检查网卡和主板说明书来确定是不是这个问题。 No route to host 通常发生在如果系统不能发送一个路由到目的主机的包的时候。 这在没有指定默认路由或者网线没有插上时会发生。 检查 netstat -rn 的输出并确认有一个有效的路由能到达相应的主机。 如果没有，请查阅 。 ping: sendto: Permission denied 错误信息经常由防火墙的配置错误引起。 如果 ipfw 在内核中启用了但是没有定义规则， 那么默认的规则就是拒绝所有通讯，甚至 ping 请求！ 查阅 以了解更多信息。 有时网卡性能低下或者低于平均水平， 这种情况最好把传输媒介模式从 autoselect 改变为正确的传输介质模式。 这通常对大多数硬件有用， 但可能不会解决所有人的问题。 接着，检查所有网络设置，并且阅读 &man.tuning.7; 手册页。 虚拟主机 虚拟主机 IP 别名 &os; 的一个很普通的用途是虚拟主机站点， 一个服务器虚拟成很多服务器一样提供网络服务。 这通过在一个接口上绑定多个网络地址来实现。 一个特定的网络接口有一个真实的地址， 也可能有一些别名地址。这些别名通常用 /etc/rc.conf 中的记录来添加。 一个 fxp0 的别名记录类似于： ifconfig_fxp0_alias0="inet xxx.xxx.xxx.xxx netmask xxx.xxx.xxx.xxx" 记住别名记录必须从 alias0 开始并且按顺序递增(例如 _alias1、 _alias2)。 配置程序将会停止在第一个缺少的数字的地方。 计算别名的子网掩码是很重要的，幸运的是它很简单。 对于一个接口来说，必须有一个描述子网掩码的地址。 任何在这个网段下的地址必须有一个全是 1 的子网掩码(通常表示为 255.255.255.255 或 0xffffffff。 举例来说， 假设使用 fxp0 连接到两个网络， 分别是 10.1.1.0， 其子网掩码为 255.255.255.0， 以及 202.0.75.16， 其子网掩码为 255.255.255.240。 我们希望从 10.1.1.1 到 10.1.1.5 以及从 202.0.75.17 到 202.0.75.20 的地址能够互相访问。 如前所述， 只有两个网段中的第一个地址 (本例中， 10.0.1.1 和 202.0.75.17) 应使用真实的子网掩码； 其余的 (10.1.1.2 到 10.1.1.5 以及 202.0.75.18 到 202.0.75.20) 则必须配置为使用 255.255.255.255 作为子网掩码。 下面是根据上述描述所进行的 /etc/rc.conf 配置： ifconfig_fxp0="inet 10.1.1.1 netmask 255.255.255.0" ifconfig_fxp0_alias0="inet 10.1.1.2 netmask 255.255.255.255" ifconfig_fxp0_alias1="inet 10.1.1.3 netmask 255.255.255.255" ifconfig_fxp0_alias2="inet 10.1.1.4 netmask 255.255.255.255" ifconfig_fxp0_alias3="inet 10.1.1.5 netmask 255.255.255.255" ifconfig_fxp0_alias4="inet 202.0.75.17 netmask 255.255.255.240" ifconfig_fxp0_alias5="inet 202.0.75.18 netmask 255.255.255.255" ifconfig_fxp0_alias6="inet 202.0.75.19 netmask 255.255.255.255" ifconfig_fxp0_alias7="inet 202.0.75.20 netmask 255.255.255.255" 配置文件 - <filename>/etc</filename> 布局 + <filename class="directory">/etc</filename> 布局 在配置信息中有很多的目录，这些包括： - /etc + /etc 一般的系统配置信息。这儿的数据是与特定系统相关的。 - /etc/defaults + /etc/defaults 系统配置文件的默认版本。 - /etc/mail + /etc/mail 额外的 &man.sendmail.8; 配置信息，其他 MTA 配置文件。 - /etc/ppp + /etc/ppp 用于用户级和内核级 ppp 程序的配置。 - /etc/namedb + /etc/namedb &man.named.8; 数据的默认位置。通常 named.conf 和区域文件存放在这里。 - /usr/local/etc + /usr/local/etc 被安装的应用程序配置文件。可以参考每个应用程序的子目录。 - /usr/local/etc/rc.d + /usr/local/etc/rc.d 被安装程序的 启动/停止 脚本。 - /var/db + /var/db 特定系统自动产生的数据库文件，像 package 数据库，位置数据库等等。 主机名 主机名 DNS <filename>/etc/resolv.conf</filename> resolv.conf /etc/resolv.conf 指示了 &os; 如何访问域名系统(DNS)。 resolv.conf 中最常见的记录是： nameserver 按顺序要查询的名字服务器的 IP 地址，最多三个。 search 搜索机器名的列表。这通常由本地机器名的域决定。 domain 本地域名。 一个典型的 resolv.conf 文件： search example.com nameserver 147.11.1.11 nameserver 147.11.100.30 只能使用一个 search 和 domain 选项。 如果您在使用 DHCP，&man.dhclient.8; 经常使用从 DHCP 服务器接受来的信息重写 resolv.conf。 <filename>/etc/hosts</filename> 主机 /etc/hosts 是 Internet 早期使用的一个简单文本数据库。 它结合 DNS 和 NIS 提供名字到 IP 地址的映射。 通过局域网连接的机器可以用这个简单的命名方案来替代设置一个 &man.named.8; 服务器。另外，/etc/hosts 也可以提供一个 Internet 名称的本地纪录以减轻需要从外部查询带来的负担。 # $&os;$ # # # Host Database # # This file should contain the addresses and aliases for local hosts that # share this file. Replace 'my.domain' below with the domainname of your # machine. # # In the presence of the domain name service or NIS, this file may # not be consulted at all; see /etc/nsswitch.conf for the resolution order. # # ::1 localhost localhost.my.domain 127.0.0.1 localhost localhost.my.domain # # Imaginary network. #10.0.0.2 myname.my.domain myname #10.0.0.3 myfriend.my.domain myfriend # # According to RFC 1918, you can use the following IP networks for # private nets which will never be connected to the Internet: # # 10.0.0.0 - 10.255.255.255 # 172.16.0.0 - 172.31.255.255 # 192.168.0.0 - 192.168.255.255 # # In case you want to be able to connect to the Internet, you need # real official assigned numbers. Do not try to invent your own network # numbers but instead get one from your network provider (if any) or # from your regional registry (ARIN, APNIC, LACNIC, RIPE NCC, or AfriNIC.) # /etc/hosts 用简单的格式： [Internet address] [official hostname] [alias1] [alias2] ... 例如： 10.0.0.1 myRealHostname.example.com myRealHostname foobar1 foobar2 参考 &man.hosts.5; 以获得更多信息。 日志文件配置 日志文件 <filename>syslog.conf</filename> syslog.conf syslog.conf 是 &man.syslogd.8; 程序的配置文件。 它指出了的 syslog 哪种信息类型被存储在特定的日志文件中。 # $&os;$ # # Spaces ARE valid field separators in this file. However, # other *nix-like systems still insist on using tabs as field # separators. If you are sharing this file between systems, you # may want to use only tabs as field separators here. # Consult the syslog.conf(5) manual page. *.err;kern.debug;auth.notice;mail.crit /dev/console *.notice;kern.debug;lpr.info;mail.crit;news.err /var/log/messages security.* /var/log/security mail.info /var/log/maillog lpr.info /var/log/lpd-errs cron.* /var/log/cron *.err root *.notice;news.err root *.alert root *.emerg * # uncomment this to log all writes to /dev/console to /var/log/console.log #console.info /var/log/console.log # uncomment this to enable logging of all log messages to /var/log/all.log #*.* /var/log/all.log # uncomment this to enable logging to a remote log host named loghost #*.* @loghost # uncomment these if you're running inn # news.crit /var/log/news/news.crit # news.err /var/log/news/news.err # news.notice /var/log/news/news.notice !startslip *.* /var/log/slip.log !ppp *.* /var/log/ppp.log 参考 &man.syslog.conf.5; 手册页以获得更多信息 <filename>newsyslog.conf</filename> newsyslog.conf newsyslog.conf 是一个通常用 &man.cron.8; 计划运行的 &man.newsyslog.8; 程序的配置文件。 &man.newsyslog.8; 指出了什么时候日志文件需要打包或者重新整理。 比如 logfile 被移动到 logfile.0，logfile.0 被移动到 logfile.1 等等。另外，日志文件可以用 &man.gzip.1; 来压缩，它们是这样的命名格式： logfile.0.gz，logfile.1.gz 等等。 newsyslog.conf 指出了哪个日志文件要被管理，要保留多少和它们什么时候被创建。 日志文件可以在它们达到一定大小或者在特定的日期被重新整理。 # configuration file for newsyslog # $&os;$ # # filename [owner:group] mode count size when [ZB] [/pid_file] [sig_num] /var/log/cron 600 3 100 * Z /var/log/amd.log 644 7 100 * Z /var/log/kerberos.log 644 7 100 * Z /var/log/lpd-errs 644 7 100 * Z /var/log/maillog 644 7 * @T00 Z /var/log/sendmail.st 644 10 * 168 B /var/log/messages 644 5 100 * Z /var/log/all.log 600 7 * @T00 Z /var/log/slip.log 600 3 100 * Z /var/log/ppp.log 600 3 100 * Z /var/log/security 600 10 100 * Z /var/log/wtmp 644 3 * @01T05 B /var/log/daily.log 640 7 * @T00 Z /var/log/weekly.log 640 5 1 $W6D0 Z /var/log/monthly.log 640 12 * $M1D0 Z /var/log/console.log 640 5 100 * Z 参考 &man.newsyslog.8; 手册页以获得更多信息。 <filename>sysctl.conf</filename> sysctl.conf sysctl sysctl.conf 和 rc.conf 这两个文件的风格很接近。 其中的配置均为 变量=值 这样的形式。 在这个文件中配置的值， 均会在系统进入多用户模式之后进行实际的修改操作。 需要注意的是， 并不是所有的变量都能够在多用户模式下修改。 如果希望关闭对收到致命的信号退出的进程进行记录， 并阻止普通用户看到其他用户的进程， 可以在 sysctl.conf 中进行下列配置： # 不记录由于致命信号导致的进程退出 (例如信号 11，访问越界) kern.logsigexit=0 # 阻止用户看到以其他用户 UID 身份执行的进程。 security.bsd.see_other_uids=0 用 sysctl 进行调整 sysctl 调整 以 sysctl &man.sysctl.8; 是一个允许您改变正在运行中的 &os; 系统的接口。它包含一些 TCP/IP 堆栈和虚拟内存系统的高级选项， 这可以让有经验的管理员提高引人注目的系统性能。用 &man.sysctl.8; 可以读取设置超过五百个系统变量。 基于这点，&man.sysctl.8; 提供两个功能：读取和修改系统设置。 查看所有可读变量： &prompt.user; sysctl -a 读一个指定的变量，例如 kern.maxproc： &prompt.user; sysctl kern.maxproc kern.maxproc: 1044 要设置一个指定的变量，直接用 variable=value 这样的语法： &prompt.root; sysctl kern.maxfiles=5000 kern.maxfiles: 2088 -> 5000 sysctl 变量的设置通常是字符串、数字或者布尔型。 (布尔型用 1 来表示'yes'，用 0 来表示'no')。 如果你想在每次机器启动时自动设置某些变量， 可将它们加入到文件 /etc/sysctl.conf 之中。更多信息，请参阅手册页 &man.sysctl.conf.5; 及 。 Tom Rhodes Contributed by 只读的 &man.sysctl.8; 有时可能会需要修改某些只读的 &man.sysctl.8; 的值。 尽管有时不得不这样做， 但只有通过(重新)启动才能达到这样的目的。 例如一些膝上型电脑的 &man.cardbus.4; 设备不会探测内存范围，并且产生看似于这样的错误： cbb0: Could not map register memory device_probe_and_attach: cbb0 attach returned 12 像上面的错误通常需要修改一些只读的 &man.sysctl.8; 默认设置。要实现这点，用户可以在本地的 /boot/loader.conf.local 里面放一个 &man.sysctl.8; OIDs。那些设置定位在 /boot/defaults/loader.conf 文件中。 修复上面的问题用户需要在刚才所说的文件中设置 。现在 &man.cardbus.4; 就会正常的工作了。 调整磁盘 Sysctl 变量 <varname>vfs.vmiodirenable</varname> vfs.vmiodirenable vfs.vmiodirenable sysctl 变量可以设置成0(关)或者1(开)；默认是1。 这个变量控制目录是否被系统缓存。大多数目录是小的， 在系统中只使用单个片断(典型的是1K)并且在缓存中使用的更小 (典型的是512字节)。当这个变量设置为关闭 (0) 时， 缓存器仅仅缓存固定数量的目录，即使您有很大的内存。 而将其开启 (设置为1) 时， 则允许缓存器用 VM 页面缓存来缓存这些目录，让所有可用内存来缓存目录。 不利的是最小的用来缓存目录的核心内存是大于 512 字节的物理页面大小(通常是 4k)。 我们建议如果您在运行任何操作大量文件的程序时保持这个选项打开的默认值。 这些服务包括 web 缓存，大容量邮件系统和新闻系统。 尽管可能会浪费一些内存，但打开这个选项通常不会降低性能。 但还是应该检验一下。 <varname>vfs.write_behind</varname> vfs.write_behind vfs.write_behind sysctl 变量默认是 1 (打开)。 它告诉文件系统簇被收集满的时候把内容写进介质， 典型的是在写入大的连续的文件时。 主要的想法是， 如果可能对 I/O 性能会产生负面影响时， 应尽量避免让缓冲缓存被未同步缓冲区充满。 然而它可能降低处理速度并且在某些情况下您可能想要关闭它。 <varname>vfs.hirunningspace</varname> vfs.hirunningspace vfs.hirunningspace sysctl 变量决定了在任何给定情况下， 有多少写 I/O 被排进队列以给系统的磁盘控制器。 默认值一般是足够的，但是对有很多磁盘的机器来说您可能需要把它设置成 4M 或 5M。注意这个设置成很高的值(超过缓存器的写极限)会导致坏的性能。 不要盲目的把它设置太高！高的数值会导致同时发生的读操作的迟延。 sysctl 中还有许多与 buffer cache 和 VM页面 cache 有关的值， 一般不推荐修改它们。 虚拟内存系统已经能够很好地进行自动调整了。 <varname>vm.swap_idle_enabled</varname> vm.swap_idle_enabled vm.swap_idle_enabled sysctl 变量在有很多用户进入、离开系统和有很多空闲进程的大的多用户系统中很有用。 这些系统注重在空闲的内存中间产生连续压力的处理。通过 vm.swap_idle_threshold1 和 vm.swap_idle_threshold2 打开这个特性并且调整交换滞后 (在空闲时)允许您降低内存页中空闲进程的优先权，从而比正常的出页 (pageout)算法更快。这给出页守护进程带来了帮助。 除非您需要否则不要把这个选项打开，因为您所权衡的是更快地进入内存， 因而它会吃掉更多的交换和磁盘带宽。在小的系统上它会有决定性的效果， 但是在大的系统上它已经做了合适的页面调度这个选项允许 VM 系统容易的让全部的进程进出内存。 <varname>hw.ata.wc</varname> hw.ata.wc &os; 4.3 中默认将 IDE 的写缓存关掉了。 这会降低到 IDE 磁盘用于写入操作的带宽， 但我们认为这有助于避免硬盘厂商所引入的， 可能引致严重的数据不一致问题。 这类问题实际上是由于 IDE 硬盘就写操作完成这件事的不诚实导致的。 当启用了 IDE 写入缓存时， IDE 硬盘驱动器不但不会按顺序将数据写到盘上， 而且当磁盘承受重载时， 它甚至会自作主张地对推迟某些块的实际写操作。 这样一来， 在系统发生崩溃或掉电时， 就会导致严重的文件系统损坏。 基于这些考虑， 我们将 &os; 的默认配置改成了更为安全的禁用 IDE 写入缓存。 然而不幸的是， 这样做导致了性能的大幅降低， 因此在后来的发行版中这个配置又改为默认启用了。 您可以通过观察 hw.ata.wc sysctl 变量， 来确认您的系统中所采用的默认值。 如果 IDE 写缓存被禁用， 您可以通过将内核变量设置为 1 来启用它。 这一操作必须在启动时通过 boot loader 来完成。 在内核启动之后尝试这么做是没有任何作用的。 要了解更多的信息，请查阅 &man.ata.4;。 <literal>SCSI_DELAY</literal> (<varname>kern.cam.scsi_delay</varname>) kern.cam.scsi_delay kernel options SCSI_DELAY SCSI_DELAY 内核配置会缩短系统启动时间。 默认值在系统启动过程中有 15 秒的迟延时间， 这是一个足够多且可靠的值。把它减少到 5 通常也能工作(特别是现代的驱动器)。新一些的 &os; (5.0 或更高版本) 应该用启动时刻可调整 kern.cam.scsi_delay。 这个可调整的和内核配置选项接受的值是 毫秒 不是 秒 。 Soft Updates Soft Updates tunefs &man.tunefs.8; 程序能够用来很好的调整文件系统。 这个程序有很多不同的选项，但是现在只介绍 Soft Updates 的打开和关闭，这样做： &prompt.root; tunefs -n enable /filesystem &prompt.root; tunefs -n disable /filesystem 在文件系统被挂载之后不能用 &man.tunefs.8; 来修改。打开 Soft Updates 的最佳时机是在单用户模式下任何分区被被挂载前。 Soft Updates 极大地改善了元数据修改的性能， 主要是文件创建和删除，通过内存缓存。我们建议您在所有的文件系统上使用 Soft Updates。应该知道 Soft Updates 的两点：首先， Soft Updates 保证了崩溃后的文件系统完整性，但是很可能有几秒钟 (甚至一分钟！) 之前的数据没有写到物理磁盘。如果您的系统崩溃了您可能会丢失很多工作。 第二，SoftUpdates 推迟文件系统块的释放时间。如果在文件系统 (例如根文件系统)快满了的情况下对系统进行大规模的升级比如 make installworld， 可能会引起磁盘空间不足从而造成升级失败。 Soft Updates 的详细资料 Soft Updates 详细资料 有两种传统的方法来把文件系统的元数据 (meta-data) 写入磁盘。 (Meta-data更新是更新类似 inodes 或者目录这些没有内容的数据) 从前，默认方法是同步更新这些元数据(meta-data)。 如果一个目录改变了，系统在真正写到磁盘之前一直等待。 文件数据缓存(文件内容)在这之后以非同步形式写入。 这么做有利的一点是操作安全。如果更新时发生错误，元数据(meta-data) 一直处于完整状态。文件要不就被完整的创建要不根本就不创建。 如果崩溃时找不到文件的数据块，&man.fsck.8; 可以找到并且依靠把文件大小设置为 0 来修复文件系统。 另外，这么做既清楚又简单。缺点是元数据(meta-data)更新很慢。例如 rm -r 命令，依次触及目录下的所有文件， 但是每个目录的改变(删除一个文件)都要同步写入磁盘。 这包含它自己更新目录，inode 表和可能对文件分散的块的更新。 同样问题出现大的文件操作上(比如 tar -x)。 第二种方法是非同步元数据更新。这是 Linux/ext2fs 和 *BSD ufs 的 mount -o async 默认的方法。所有元数据更新也是通过缓存。 也就是它们会混合在文件内容数据更新中。 这个方法的优点是不需要等待每个元数据更新都写到磁盘上， 所以所有引起元数据更新大的操作比同步方式更快。同样， 这个方法也是清楚且简单的，所以代码中的漏洞风险很小。 缺点是不能保证文件系统的状态一致性。如果更新大量元数据时失败 (例如掉电或者按了重启按钮)，文件系统会处在不可预知的状态。 系统再启动时没有机会检查文件系统的状态；inode 表更新的时候可能文件的数据块已经写入磁盘了但是相关联的目录没有，却不能用 fsck 命令来清理(因为磁盘上没有所需要的信息)。 如果文件系统修复后损坏了，唯一的选择是使用 &man.newfs.8; 并且从备份中恢复它。 这个问题通常的解决办法是使用 dirty region logging 或者 journaling 尽管它不是一贯的被使用并且有时候应用到其他的事务纪录中更好。 这种方法元数据更新依然同步写入，但是只写到磁盘的一个小区域。 过后他们将会被移动到正确的位置。因为纪录区很小， 磁盘上接近的区域磁头不需要移动很长的距离，所以这些比写同步快一些。 另外这个方法的复杂性有限，所以出现错误的机会也很少。缺点是元数据要写两次 (一次写到纪录区域，一次写到正确的区域)。正常情况下， 悲观的性能可能会发生。从另一方面来讲， 崩溃的时候所有未发生的元数据操作可以很快的在系统启动之后从记录中恢复过来。 Kirk McKusick，伯克利 FFS 的开发者，用 Soft Updates 解决了这个问题：元数据更新保存在内存中并且按照排列的顺序写入到磁盘 (有序的元数据更新)。这样的结果是，在繁重的元数据操作中， 如果先前的更新还在内存中没有别写进磁盘，后来的更新就会捕捉到。 所以所有的目录操作在写进磁盘的时候首先在内存中执行 (数据块按照它们的位置来排列，所以它们不会在元数据前被写入)。 如果系统崩溃了这将导致一个固定的 日志回朔： 所有不知如何写入磁盘的操作都像没有发生过一样。文件系统的一致性保持在 30 到 60 秒之前。它保证了所有正在使用的资源被标记例如块和 inodes。崩溃之后， 唯一的资源分配错误是一个实际是空闲的资源的资源被标记为使用。 &man.fsck.8; 可以认出这种情况并且释放不再使用的资源。它对于忽略崩溃后用 mount -f 强制挂上的文件系统的错误状态是安全的。 为了释放可能没有使用的资源，&man.fsck.8; 需要在过后的时间运行。一个主意是用 后台 fsck：系统启动的时候只有一个文件系统的 快照 被记录下来。fsck 可以在过后运行。所有文件系统可以在有错误的时候被挂接， 所以系统可以在多用户模式下启动。接着，后台 fsck 可以在所有文件系统需要的时候启动来释放可能没有使用的资源。 (尽管这样，不用 Soft Updates 的文件系统依然需要通常的 fsck。) 它的优点是元数据操作几乎跟非同步一样快 (也就是比需要两次元数据写操作的 logging 更快)。缺点是代码的复杂性(意味着对于丢失用户敏感数据有更多的风险) 和高的内存使用量。另外它有些特点需要知道。崩溃之后， 文件系统状态会落后一些。同步的方法用 fsck 后在一些地方可能产生一些零字节的文件， 这些文件在用 Soft Updates 文件系统之后不会存在， 因为元数据和文件内容根本没有写进磁盘(可能发生在运行 rm 之后)。这可能在文件系统上安装大量数据时候引发问题， 没有足够的剩余空间来两次存储所有文件。 调整内核限制 调整 内核限制 文件/进程限制 <varname>kern.maxfiles</varname> kern.maxfiles kern.maxfiles 可以根据系统的需要适当增减。 这个变量用于指定在系统中允许的文件描述符的最大数量。 当文件描述符表满的时候， file: table is full 会在系统消息缓冲区中反复出现， 您可以使用 dmesg 命令来观察这一现象。 每个打开的文件、 套接字和管道， 都会占用一个文件描述符。 在大型生产服务器上， 可能会轻易地用掉数千个文件描述符， 具体用量取决于服务的类型和并行启动的服务数量。 在早期版本的 &os; 中， kern.maxfiles 的默认值， 是根据您内核配置文件中的 选项计算的。 kern.maxfiles 这个数值， 会随 成比例地增减。 当编译定制的内核时， 按照您系统的用途来修改这个值是个好主意。 这个数字同时还决定内核的许多预设的限制值。 有时， 尽管并不会真的有 256 个用户同时连接一台生产服务器， 但对于高负载的 web 服务器而言， 却可能需要与之类似的资源。 变量 kern.maxusers 会在系统启动时， 根据可用内存的尺寸进行计算， 在内核开始运行之后， 可以通过只读的 kern.maxusers sysctl 变量值来进行观察。 有些情况下， 可能会希望使用更大或更小一些的 kern.maxusers， 它可以以加载器变量的形式进行配置； 类似 64、 128 和 256 这样的值都并不罕见。 我们不推荐使用超过 256 的值， 除非您需要巨量的文件描述符； 根据 kern.maxusers 推算默认值的那些变量， 一般都可以在引导甚至运行时通过 /boot/loader.conf (请参见 &man.loader.conf.5; 联机手册或 /boot/defaults/loader.conf 文件来获得相关的指导) 或这篇文档的其余部分所介绍的方式来调整。 在较早的版本中， 如果您明确地将 maxusers 设置为 0， 则系统会自动地根据硬件配置来确定这个值。 自动调整算法会将 maxusers 设置为与主存的数量一样， 或者取其下限 32 或上限 384。 。 在 &os; 5.X 和更高版本中， maxusers 如果不指定的话， 就会取默认值 0。 如果希望自行管理 maxusers， 则应配置一个不低于 4 的值， 特别是使用 X Window System 或编译软件的时候。 这样做的原因是， maxusers 所决定的一个最为重要的表的尺寸会影响最大进程数， 这个数值将是 20 + 16 * maxusers。 因此如果将 maxusers 设置为 1， 您就只能同时运行 36 个进程， 这还包括了 18 个左右的系统引导时启动的进程， 以及 15 个左右的， 在您启动 X Window System 时所引发的进程。 即使是简单的任务， 如阅读联机手册， 也需要启动多至九个的进程， 用以过滤、 解压缩， 并显示它。 将 maxusers 设为 64 将允许您同时执行最多 1044 个进程， 这几乎足以满足任何需要了。 不过， 如果您看在启动其它程序， 或运行用以支持大量用户的服务 (例如 ftp.FreeBSD.org) 时， 看到令人担忧的 proc table full 错误， 就应该提高这一数值， 并重新联编内核。 maxusers 并 不能 限制实际能够登录到您系统上来的用户的数量。 它的主要作用是根据您可能支持的用户数量来为一系列系统数据表设置合理的尺寸， 以便提供支持他们所需运行的进程资源。 <varname>kern.ipc.somaxconn</varname> kern.ipc.somaxconn kern.ipc.somaxconn sysctl 变量 限制了接收新 TCP 连接侦听队列的大小。对于一个经常处理新连接的高负载 web服务环境来说，默认的 128 太小了。 大多数环境这个值建议增加到 1024 或者更多。 服务进程会自己限制侦听队列的大小(例如 &man.sendmail.8; 或者 Apache)， 常常在它们的配置文件中有设置队列大小的选项。 大的侦听队列对防止拒绝服务 DoS 攻击也会有所帮助。 网络限制 NMBCLUSTERS 内核配置选项指出了系统可用的网络Mbuf的数量。 一个高流量的服务器使用一个小数目的网络缓存会影响 &os; 的性能。 每个 cluster 可能需要2K内存，所以一个1024的值需要在内核中给网络缓存保留2M内存。 可以用简单的方法计算出来需要多少网络缓存。 如果您有一个同时发生1000个以上连接的web服务器， 并且每个连接用掉16K接收和发送缓存， 就需要大概32M网络缓存来确保web服务器的工作。 一个好的简单计算方法是乘以2，所以2x32Mb/2Kb=64MB/2kb=32768。 我们建议在有大量内存的机器上把这个值设置在4096到32768之间。 没有必要把它设置成任意太高的值，它会在启动时引起崩溃。 &man.netstat.1; 的 选项可以用来观察网络cluster使用情况。 kern.ipc.nmbclusters 可以用来在启动时刻调节这个。 仅仅在旧版本的 &os; 需要使用 NMBCLUSTERS &man.config.8; 选项。 经常使用 &man.sendfile.2; 系统调用的繁忙的服务器， 有必要通过 NSFBUFS 内核选项或者在 /boot/loader.conf (查看 &man.loader.8; 以获得更多细节) 中设置它的值来调节 &man.sendfile.2; 缓存数量。 这个参数需要调节的普通原因是在进程中看到 sfbufa 状态。sysctl kern.ipc.nsfbufs 变量在内核配置变量中是只读的。 这个参数是由 kern.maxusers 决定的，然而它可能有必要因此而调整。 即使一个套接字被标记成非阻塞，在这个非阻塞的套接字上呼叫 &man.sendfile.2; 可能导致 &man.sendfile.2; 呼叫阻塞直到有足够的 struct sf_buf 可用。 <varname>net.inet.ip.portrange.*</varname> net.inet.ip.portrange.* net.inet.ip.portrange.* sysctl 变量自动的控制绑定在 TCP 和 UDP 套接字上的端口范围。 这里有三个范围：一个低端范围，一个默认范围和一个高端范围。 大多数网络程序分别使用由 net.inet.ip.portrange.first 和 net.inet.ip.portrange.last 控制的从 1024 到 5000 的默认范围。端口范围用作对外连接，并且某些情况可能用完系统的端口， 这经常发生在运行一个高负荷 web 代理服务器的时候。 这个端口范围不是用来限制主要的例如 web 服务器进入连接或者有固定端口例如邮件传递对外连接的。 有时您可能用完了端口，那就建议适当的增加 net.inet.ip.portrange.last。 10000、20000 或者 30000 可能是适当的值。 更改端口范围的时候也要考虑到防火墙。 一些防火墙会阻止端口的大部分范围 (通常是低范围的端口)并且用高端口进行对外连接(—)。 基于这个问题建议不要把 net.inet.ip.portrange.first 设的太小。 TCP 带宽迟延(Bandwidth Delay Product) 限制 TCP 带宽延迟积 net.inet.tcp.inflight.enable 限制 TCP 带宽延迟积和 NetBSD 的 TCP/Vegas 类似。 它可以通过将 sysctl 变量 net.inet.tcp.inflight.enable 设置成 1 来启用。 系统将尝试计算每一个连接的带宽延迟积， 并将排队的数据量限制在恰好能保持最优吞吐量的水平上。 这一特性在您的服务器同时向使用普通调制解调器， 千兆以太网， 乃至更高速度的光与网络连接 (或其他带宽延迟积很大的连接) 的时候尤为重要， 特别是当您同时使用滑动窗缩放， 或使用了大的发送窗口的时候。 如果启用了这个选项， 您还应该把 net.inet.tcp.inflight.debug 设置为 0 (禁用调试)， 对于生产环境而言， 将 net.inet.tcp.inflight.min 设置成至少 6144 会很有好处。 然而， 需要注意的是， 这个值设置过大事实上相当于禁用了连接带宽延迟积限制功能。 这个限制特性减少了在路由和交换包队列的堵塞数据数量， 也减少了在本地主机接口队列阻塞的数据的数量。在少数的等候队列中、 交互式连接，尤其是通过慢速的调制解调器，也能用低的 往返时间操作。但是，注意这只影响到数据发送 (上载/服务端)。对数据接收(下载)没有效果。 调整 net.inet.tcp.inflight.stab 是 不 推荐的。 这个参数的默认值是 20， 表示把 2 个最大包加入到带宽延迟积窗口的计算中。 额外的窗口似的算法更为稳定， 并改善对于多变网络环境的相应能力， 但也会导致慢速连接下的 ping 时间增长 (尽管还是会比没有使用 inflight 算法低许多)。 对于这些情形， 您可能会希望把这个参数减少到 15， 10， 或 5； 并可能因此而不得不减少 net.inet.tcp.inflight.min (比如说， 3500) 来得到希望的效果。 减少这些参数的值， 只应作为最后不得已时的手段来使用。 虚拟内存 <varname>kern.maxvnodes</varname> vnode 是对文件或目录的一种内部表达。 因此， 增加可以被操作系统利用的 vnode 数量将降低磁盘的 I/O。 一般而言， 这是由操作系统自行完成的， 也不需要加以修改。 但在某些时候磁盘 I/O 会成为瓶颈， 而系统的 vnode 不足， 则这一配置应被增加。 此时需要考虑是非活跃和空闲内存的数量。 要查看当前在用的 vnode 数量： &prompt.root; sysctl vfs.numvnodes vfs.numvnodes: 91349 要查看最大可用的 vnode 数量： &prompt.root; sysctl kern.maxvnodes kern.maxvnodes: 100000 如果当前的 vnode 用量接近最大值， 则将 kern.maxvnodes 值增大 1,000 可能是个好主意。 您应继续查看 vfs.numvnodes 的数值， 如果它再次攀升到接近最大值的程度， 仍需继续提高 kern.maxvnodes。 在 &man.top.1; 中显示的内存用量应有显著变化， 更多内存会处于活跃 (active) 状态。 添加交换空间 不管您计划得如何好，有时候系统并不像您所期待的那样运行。 如果您发现需要更多的交换空间，添加它很简单。 有三种方法增加交换空间：添加一块新的硬盘驱动器、通过 NFS 使用交换空间和在一个现有的分区上创建一个交换文件。 要了解关于如何加密交换区， 相关配置， 以及为什么要这样做， 请参阅手册的 。 在新的硬盘驱动器上使用交换空间 这是添加交换空间最好的方法， 当然为了达到这个目的需要添加一块硬盘。 毕竟您总是可以使用另一块磁盘。如果能这么做， 重新阅读一下手册中关于交换空间的 来了解如何最优地安排交换空间。 通过 NFS 交换 除非没有可以用作交换空间的本地硬盘时， 否则不推荐您使用 NFS 来作为交换空间使用。 NFS 交换会受到可用网络带宽限制并且增加 NFS 服务器的负担。 交换文件 您可以创建一个指定大小的文件用来当作交换文件。 在我们的例子中我们将会使用叫做 /usr/swap0 的 64MB 大小的文件。当然您也可以使用任何您所希望的名字。 在 &os; 中创建交换文件 确认您的内核配置包含虚拟磁盘(Memory disk)驱动 (&man.md.4;)。它在 GENERIC 内核中是默认的。 device md # Memory "disks" 创建一个交换文件(/usr/swap0)： &prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64 赋予它(/usr/swap0)一个适当的权限： &prompt.root; chmod 0600 /usr/swap0 在 /etc/rc.conf 中启用交换文件： swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired. 通过重新启动机器或下面的命令使交换文件立刻生效： &prompt.root; mdconfig -a -t vnode -f /usr/swap0 -u 0 && swapon /dev/md0 Hiten Pandya Written by Tom Rhodes 电源和资源管理 BIOS 接口管理，例如可插拔 BIOS (PNPBIOS)或者高级电源管理(APM) 等等。电源和资源管理是现代操作系统的关键组成部分。 例如您可能当系统温度过高的时候让您的操作系统能监视到 (并且可能提醒您)。 以有效的方式利用硬件资源是非常重要的。 在引入 ACPI 之前， 管理电源使用和系统散热对操作系统是很困难的。 硬件由 BIOS 进行管理， 因而用户对电源管理配置的控制和查看都比较困难。 一些系统通过 高级电源管理 (APM) 提供了有限的配置能力。 电源和资源管理是现代操作系统的一个关键组件。 例如， 您可能希望操作系统监视系统的一些限制， 例如系统的温度是否超出了预期的增长速度 (并在需要时发出警告)。 在 &os; 使用手册的这一章节，我们将提供 ACPI 全面的信息。 参考资料会在末尾给出。 什么是 ACPI？ ACPI APM 高级配置和电源接口 (ACPI) 是一个业界标准的硬件资源和电源管理接口 (因此而得名) 。它是 操作系统控制的配置和电源管理(Operating System-directed configuration and Power Management)，也就是说， 它给操作系统(OS)提供了更多的控制和弹性。 在引入 ACPI 之前， 现代操作系统使得目前即插即用接口的局限性更加 凸现 出来。 ACPI 是 APM(高级电源管理) 的直接继承者。 高级电源管理 (APM) 的缺点 高级电源管理 (APM) 是一种基于系统目前的活动控制其电源使用的机制。 APM BIOS 由 (系统的) 制造商提供， 并且是硬件平台专属的。 在 OS 中的 APM 驱动作为中介来访问 APM 软件接口， 从而实现对电源使用的管理。 在 2000 年或更早的时期生产的计算机系统， 仍需要使用 APM。 APM 有四个主要的问题。 首先， 电源管理是通过 (制造商专属的) BIOS 实现的， 而 OS 则完全不了解其细节。 例如， 用户在 APM BIOS 中设置了硬盘驱动器的空闲等待数值， 当超过这一空闲时间的限制时， 它 (BIOS) 将会减慢硬盘驱动器的速度， 而不会征求 OS 的同意。 第二， APM 逻辑是嵌入 BIOS 的， 因此它是在 OS 的控制之外运转的。 这意味着用户只能通过通过刷新他们 ROM 中的 APM BIOS 才能够解决某些问题； 而这是一个很危险的操作， 因为它可能使系统进入一个无法恢复的状态。 第三， APM 是一种制造商专属的技术， 也就是说有很多第三方的 (重复的工作) 以及 bugs， 如果在一个制造商的 BIOS 中有， 也未必会在其他的产品中解决。 最后但绝不是最小的问题， APM BIOS 没有为实现复杂的电源策略提供足够的余地， 也无法实现能够非常适合具体机器的策略。 即插即用 BIOS (PNPBIOS) 在很多时候都是不可靠的。 PNPBIOS 是 16-位 的技术， 因此 OS 不得不使用 16-位 模拟才能够与 PNPBIOS 的方法 接口。 &os; APM 驱动在 &man.apm.4; 手册页中有描述。 配置 <acronym>ACPI</acronym> 默认情况下， acpi.ko 驱动， 会在系统引导时由 &man.loader.8; 加载， 而 不应 直接联编进内核。 这样做的原因是模块操作起来更方便， 例如， 无需重新联编内核就可以切换到另一个 acpi.ko 版本。 这样可以让测试变得更简单一些。 另一个原因是， 许多时候在启动已经启动之后再启动 ACPI 可能会有些问题。 如果您遇到了问题， 可以全面禁用 ACPI。 这个驱动不应， 目前也无法卸载， 因为系统总线通过它与许多不同的硬件进行交互。 ACPI 可以通过在 /boot/loader.conf 中配置或在 &man.loader.8; 提示符处配置 hint.acpi.0.disabled="1" 来禁用。 ACPI 和 APM 不能共存， 相反， 它们应分开使用。 后加载的驱动如果发现系统中已经执行了其中的一个， 便会停止执行。 ACPI 可以用来让系统进入休眠模式， 方法是使用 &man.acpiconf.8; 的 参数， 加上一个 1-5 的数字。 多数用户会希望使用 1 或 3 (挂起到 RAM)。 而 5 则会让系统执行与下列命令效果类似的软关机： &prompt.root; halt -p 除此之外， 还有一些通过 &man.sysctl.8; 提供的选项。 请参见联机手册 &man.acpi.4; 和 &man.acpiconf.8; 以获得更多信息。 Nate Lawson 撰写人： Peter Schultz 协力： Tom Rhodes 使用和调试 &os; <acronym>ACPI</acronym> ACPI problems ACPI 是一种全新的发现设备、 管理电源使用、 以及提供过去由 BIOS 管理的访问不同硬件的标准化方法。 让 ACPI 在各种系统上都能正确使用的工作一直在进行， 但许多主板的 ACPI 机器语言 (AML) 字节代码中的 bug， &os; 的内核中子系统设计的不完善， 以及 &intel; ACPI-CA 解释器中的 bug 仍然不时会出现。 这份文档期望能够帮助您协助 &os; ACPI 的维护人员来找到您所观察到的问题的根源， 并通过调试找到其解决方法。 感谢您阅读这份文档， 我们也希望能够解决您的系统上的问题。 提交调试信息 在提交问题之前， 请确认您已经在运行最新的 BIOS 版本， 此外， 也包括嵌入式控制器的固件版本。 如果您希望提交一个问题， 请确保将下述信息发到 freebsd-acpi@FreeBSD.org: 问题行为的描述， 包括系统类型、型号，以及任何触发问题的相关信息。 另外， 请注意尽可能准确地描述这一问题是否对您是陌生的。 在 boot -v 之后得到的 &man.dmesg.8; 输出， 以及任何在重现 bug 时出现的错误信息。 在禁用了 ACPI 之后的 boot -v 的 &man.dmesg.8; 输出， 如果您发现禁用 ACPI 能够帮助消除问题。 来自 sysctl hw.acpi的输出。 这也是找到您的系统所提供的功能的一种好办法。 能够得到您的 ACPI Source Language (ASL) 的 URL。 不要 把 ASL 直接发到邮件列表中， 因为它们可能非常大。 为了得到 ASL 您可以运行这个命令： &prompt.root; acpidump -dt > name-system.asl (把 name 改为您的登录名， 并把 system 改为您的硬件制造商及其型号。 例如： njl-FooCo6000.asl) 许多开发者也会订阅 &a.current; 但还是请发到 &a.acpi.name; 这样它会被更多人看到。 请耐心等待， 因为我们都有全职的其他工作。 如果您的 bug 不是显而易见的， 我们可能会要求您通过 &man.send-pr.1; 来提交一个 PR。 在输入 PR 时，请将同样的信息包含进去。 这将帮助我们来追踪和解决问题。 不要在给 &a.acpi.name; 写信之前发送 PR 因为我们把它当作已知文体的备忘录而不是报告机制。 您的问题很可能已经被其他人报告过了。 背景 ACPI ACPI 存在于采用 ia32 (x86)、 ia64 (安腾)、 以及 amd64 (AMD) 架构的所有现代计算机上。 完整的标准具有大量的各式功能， 包括 CPU 性能管理、 电源控制、 温度监控、 电池系统、 嵌入式控制器以及总线枚举。 绝大多数系统实现比完整标准的功能要少一些。 例如， 桌面系统通常只实现总线枚举部分， 而笔记本则通常支持降温和电源管理功能。 笔记本通常还提供休眠和唤醒支持， 并提供与此适应的复杂功能。 符合 ACPI 的系统中有许多组件。 BIOS 和芯片组制造商提供一些固定的表 (例如， FADT) 在存储器中， 以提供类似 APIC 映射 (用于 SMP)、 配置寄存器、 以及简单的配置值等等。 另外， 一个字节代码 (bytecode) 表 (系统区别描述表 DSDT) 则提供了通过树状命名空间来指定设备及其功能的方法。 ACPI 驱动必须要处理固定表， 实现字节码解释器， 并修改驱动程序和内核， 以接受来自 ACPI 子系统的信息。 对于 &os;， &intel; 提供了一个解释器 (ACPI-CA)， 它在 Linux 和 NetBSD 也可以使用。 ACPI-CA 源代码可以在 src/sys/contrib/dev/acpica 找到。 用于在 &os; 中允许 ACPI-CA 正确运转的代码则在 src/sys/dev/acpica/Osd。 最后， 用于实现 ACPI 设备的驱动可以在 src/sys/dev/acpica 找到。 常见问题 ACPI problems 要让 ACPI 正常工作， 它的每一部分都必须工作正常。 下面是一些常见的问题， 按照出新的频繁程度排序， 并给出了一些绕过或修正它们的方法。 鼠标问题 某些时候， 唤醒操作会导致鼠标不再正常工作。 已知的绕过这一问题的方法， 是在 /boot/loader.conf 文件中添加 hint.psm.0.flags="0x3000" 设置。 如果这样做不能解决问题， 请考虑按前面介绍的方法提交问题报告。 休眠/唤醒 ACPI 提供了三种休眠到 RAM (STR) 的状态， S1-S3， 以及一个休眠到磁盘的状态 (STD)， 称作 S4。 S5 是 软关机 同时也是系统接好电源但没有开机时的正常状态。 S4 实际上可以用两种不同的方法来实现。 S4BIOS 是一种由 BIOS 辅助的挂起到磁盘方法， 而 S4OS 则是完全由操作系统实现的。 可以使用 sysctl hw.acpi 来查看与休眠有关的项目。 这里是我的 Thinkpad 上得到的结果。 hw.acpi.supported_sleep_state: S3 S4 S5 hw.acpi.s4bios: 0 这表示我可以使用 acpiconf -s 来测试 S3， S4OS， 以及 S5。 如果 是一 (1)， 则可以使用 S4BIOS 来代替 S4 OS。 当测试休眠/唤醒时， 从 S1 开始， 如果它被支持的话。 这个状态是最可能正常工作的状态， 因为它不需要太多的驱动支持。 没有人实现 S2 但如果您有它的支持， 则应该和 S1 类似。 下一件值得尝试的是 S3。 这是最深的 STR 状态， 并需要一系列驱动的支持才能够正常地重新初始化您的硬件。 如果您在唤醒系统时遇到问题， 请不要吝惜发邮件给 &a.acpi.name; 邮件列表， 尽管不要指望问题一定会很快解决， 因为有许多驱动程序/硬件需要进行更多的测试和改进。 为了帮助隔离问题， 请在内核中删去尽可能多的驱动。 如果这样做能够解决问题， 请尝试逐个加载驱动直到问题再次出现。 通常预编译的驱动程序如 nvidia.ko、 X11 显示驱动， 以及 USB 的问题最多， 而以太网卡的驱动则通常工作的很好。 如果您能够通过加载和卸载驱动使系统正常工作， 您可以通过将适当的命令放到 /etc/rc.suspend 和 /etc/rc.resume 来将这个过程自动化。 在这两个文件中有一个注释掉的卸载和加载驱动程序的例子供您参考。 另外您还可以将 设置为零 (0)， 如果您的显示在唤醒之后显得很混乱。 此外您还可以尝试更长或更短的 值看看是否有所助益。 另一件值得一试的事情是使用一个比较新的包含 ACPI 支持的 Linux 发行版来试试看他们的 休眠/唤醒 功能是否在同样的硬件上能够正常工作。 如果在 Linux 下正常， 则很可能是 &os; 驱动程序的问题， 而隔离问题并找到存在问题的驱动有助于解决它。 需要注意的是 ACPI 的维护人员通常并不维护其他驱动 (例如 声音、 ATA， 等等) 因此如果最终发现是驱动的问题最好还是发到 &a.current.name; 邮件列表并发给驱动程序的维护者。 如果您喜欢冒险， 则可以加一些 &man.printf.3; 到有问题的驱动中， 以找到它的恢复功能发生问题的位置。 最后， 试试看禁用 ACPI 并代之以启用 APM。 如果 休眠/唤醒 能够在 APM 下正常工作， 使用 APM 可能会更好， 特别是对于较老的硬件 (2000年以前)。 硬件制造商需要一些时间来让老硬件的 ACPI 工作正常， 而 ACPI 的问题十之八九是 BIOS 中的毛病引发的。 系统停止响应 (暂时或永久性地) 中断风暴 绝大多数系统停止响应是由于未能及时响应中断或发生了中断风暴导致的。 芯片组有很多问题最终会溯源到 BIOS 如何在引导系统之前配置中断， APIC (MADT) 表的正确性， 以及 系统控制中断 (SCI) 如何路由。 通过察看 vmstat -i 的输出中包括 acpi0 的那一行可以区分中断风暴和未能及时响应中断。 如果每秒计数器增长的速度多于一两个， 则您是遇到了中断风暴。 如果系统停止了响应， 您可以尝试停止内核并进入 DDB (在控制台上按 CTRL ALTESC) 并输入 show interrupts。 APIC 禁用 处理中断问题的救命稻草是尝试禁用 APIC 支持， 这是通过在 loader.conf 中加入 hint.apic.0.disabled="1" 完成的。 崩溃 崩溃对于 ACPI 是比较罕见的情况， 如果发现， 我们将会非常重视并很快修复它。 您要做的第一件事是设法隔离出能够重现崩溃 (如果可能的话) 的操作并获取一份调用堆栈。 请启用 并设置串行控制台 (参见 ) 或配置一个 &man.dump.8; 分区。 您将在 DDB 中通过 得到调用堆栈。 如果您只能用手抄的方法记录它， 一定要记下头五 (5) 行和最后五 (5) 行。 然后， 尝试通过在启动时禁用 ACPI 来隔离故障。 如果这样做能够正常工作， 请通过设置 的那组数值来隔离具体是哪个 ACPI 子系统的问题。 请参见 &man.acpi.4; 联机手册中给出的那些例子。 系统在休眠或关机之后又启动了 首先请尝试在 &man.loader.conf.5; 中设置 0。 这将让 ACPI 不再在关机过程中禁用一些事件。 基于同样的原因， 一些系统需要把这个值设置为 1 (这是默认值)。 这通常能够修复在休眠或关机时立即再次启动的问题。 其他问题 如果您有 ACPI 的其他问题 (同 docking station 协同工作、 无法检测设备， 等等)， 请把描述发给邮件列表； 不过， 这些问题也有可能和 ACPI 中尚未完成的部分有关， 它们可能需要时间才能被实现。 请给点耐心， 并准备测试我们可能会发给您的补丁。 <acronym>ASL</acronym>、<command>acpidump</command>， 以及 <acronym>IASL</acronym> ACPI ASL 最常见的问题是 BIOS 制造商提供的不正确 (甚至完全错误的!) 字节代码。 这通常会以类似下面这样的内核消息显示在控制台上： ACPI-1287: *** Error: Method execution failed [\\_SB_.PCI0.LPC0.FIGD._STA] \\ (Node 0xc3f6d160), AE_NOT_FOUND 许多时候， 您可以通过将 BIOS 升级到最新版本来解决此类问题。 绝大多数控制台消息是无害的， 但如果您有其他问题例如电池工作不正常， 则从 AML 开始查找问题将是一条捷径。 字节代码， 或常说的 AML， 是从一种叫做 ASL 的语言写成的源代码进行编译得到的结果。 AML 一般存放在 DSDT 表中。 要得到您系统的 ASL， 需要使用 &man.acpidump.8;。 需要同时指定 (显示固定标的内容) 和 (将 AML 反编译成 ASL) 两个选项。 请参见 如何提交调试信息 一节了解如何使用它。 最方便的初步检查是尝试重新编译 ASL 来看看是否有错误。 通常可以忽略这一过程中产生的警告， 但错误一般就都是 bug， 它们通常就是导致 ACPI 无法正常工作的原因。 要重新编译您的 ASL， 可以使用下面的命令： &prompt.root; iasl your.asl 修复 <acronym>ASL</acronym> ACPI ASL 我们的长期目标是让每一个人都能够在不需要任何用户干预的情况下使用 ACPI。 然而， 目前我们仍然在开发绕过 BIOS 制造商常见错误的方法。 µsoft; 解释器 (acpi.sys 和 acpiec.sys) 并不会严格地检查是否遵守了标准， 因此许多只在 &windows; 中测试 ACPI 的 BIOS 制造商很可能永远不会修正他们的 ASL。 我们希望不断地找出并用文档说明 µsoft; 的解释器到底允许那些不标准的行为， 并在 &os; 进行对应的修改使它能够正常工作而不需要用户修正 ASL。 作为一项临时缓解问题的方法， 并帮助我们确认其行为， 您可以手工修正 ASL。 如果这样能够解决问题， 请把新旧 ASL 的 &man.diff.1; 发给我们， 这样我们就有可能绕过 ACPI-CA 中的错误行为， 从而不再需要您来手工修正。 ACPI error messages 下面是一些常见的错误信息， 它们的原因， 以及如何修正。 _OS dependencies (_OS 依赖) 某些 AML 假定世界是由不同版本的 &windows; 组成的。 您可以让 &os; 声称自己是任意 OS 来看一看是否能够修正问题。 比较简单的办法是设置 ="Windows 2001" 到 /boot/loader.conf 中， 或使用您在 ASL 中找到的其他字符串。 Missing Return statements (缺少返回语句) 一些方法可能没按照标准要求的那样显式地返回值。 尽管 ACPI-CA 无法处理它， 但 &os; 提供了一个绕过它并允许其暗含地返回值的方法。 您也可以增加一个显式的 Return 语句， 如果您知道那里需要返回一个值的话。 要强制 iasl 编译 ASL， 需要使用 标志。 替换默认的 <acronym>AML</acronym> 在定制 your.asl 之后， 您可以通过下面的命令编译它： &prompt.root; iasl your.asl 可以使用 标志来强制创建 AML， 即使在编译过程中发生了错误。 请注意某些错误 (例如， 缺少 Return 语句) 会自动被解释器忽略掉。 DSDT.aml 是 iasl 命令的默认输出文件名。 可以加载它来取代您 BIOS 中存在问题的副本 (它仍然存在于闪存中)， 其方法是按下面的说明编辑 /boot/loader.conf： acpi_dsdt_load="YES" acpi_dsdt_name="/boot/DSDT.aml" 一定要把您的 DSDT.aml 复制到 /boot 目录中。 从 <acronym>ACPI</acronym> 中获取调试输出信息 ACPI 问题 ACPI 调试 ACPI 驱动程序提供了非常灵活的调试机制。 这允许您指定一组子系统， 以及所需要的详细信息。 需要调试的子系统可以按 layers(层) 来指定， 并分为 ACPI-CA 组件 (ACPI_ALL_COMPONENTS) 和 ACPI 硬件支持 (ACPI_ALL_DRIVERS)。 调试输出的详细程度可以通过 level(详细度) 来指定， 其范围是 ACPI_LV_ERROR (只报告错误) 到 ACPI_LV_VERBOSE (显示所有)。 level 是一个位掩码因此可以一次设置多个选项， 中间用空格分开。 实际使用中您应该考虑使用串行控制台来记录输出， 如果它太长以至于冲掉了控制台消息缓冲的话。 不同的层和输出详细度的完整列表可以在 &man.acpi.4; 联机手册中找到。 调试输出默认并不开启。 要起用它， 您需要在内核设置中添加 options ACPI_DEBUG， 如果您的内核中编入了 ACPI 的话。 您还可以在 /etc/make.conf 中加入 ACPI_DEBUG=1 来在全局起用它。 如果它只是模块， 您可以用下面的方法来重新编译 acpi.ko： &prompt.root; cd /sys/modules/acpi/acpi && make clean && make ACPI_DEBUG=1 安装 acpi.ko 到 /boot/kernel and add your 并把所需的详细度和层在 loader.conf 中指定。 这个例子将启用所有 ACPI-CA 组件以及所有 ACPI 硬件驱动 (CPU、 LID， 等等) 的消息。 只输出错误信息， 也就是最低的详细度。 debug.acpi.layer="ACPI_ALL_COMPONENTS ACPI_ALL_DRIVERS" debug.acpi.level="ACPI_LV_ERROR" 如果您需要的信息是由某个特定的事件触发的 (比如说， 休眠之后的唤醒)， 您可以不修改 loader.conf 而转而使用 sysctl 来在启动和为那个事件准备系统之后再指定层和详细度。 这些 sysctl 的名字和 loader.conf 中的一致。 参考文献 关于 ACPI 的更多信息可以从下面这些地方找到： The &a.acpi; ACPI 邮件列表存档 旧的 ACPI 邮件列表存档 The ACPI 2.0 标准 &os; 手册页: &man.acpi.4;, &man.acpi.thermal.4;, &man.acpidump.8;, &man.iasl.8;, &man.acpidb.8; DSDT 调试资源. (使用 Compaq 作为例子但通常情况下都很有用。) diff --git a/zh_CN.GB2312/books/handbook/cutting-edge/chapter.sgml b/zh_CN.GB2312/books/handbook/cutting-edge/chapter.sgml index 9540d7d53a..2680a8307f 100644 --- a/zh_CN.GB2312/books/handbook/cutting-edge/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/cutting-edge/chapter.sgml @@ -1,2555 +1,2738 @@ Jim Mock 重新组织和部分更新，由 Jordan Hubbard 原创： Poul-Henning Kamp John Polstra Nik Clayton 张 雪平 中文翻译： 更新与升级 &os; 概述 &os; 在发行版之间始终是持续开发的。 一些人喜欢使用官方发行的版本， 另一些喜欢与最新的开发保持同步。 然而， 即使是官方的发行版本也常常需要安全补丁和重大修正方面的更新。 不论你使用了何种版本， &os; 都提供了所有更新系统所需的工具， 让你轻松的在不同版本间升级。 这一章节将帮助你决定是跟踪开发系统还是坚持使用某个发行的版本。 同时还列出了一些保持系统更新所需的基本工具。 读了本章后，您将了解到： 使用哪些工具来更新系统与 Ports Collection。 如何使用 freebsd-update, CVSup, CVS, or CTM 让你的系统保持更新。 如何比较已安装的系统与原来已知拷贝的状态。 如何使用 - CVSup 来更新本地的文档。 两个开发分支 &os.stable; 和 &os.current; 的区别。 如何通过 make buildworld 重新编译安装整个基本系统(等等)。 在读本章这前，您应该了解的： 正确设置网络连接 ()。 知道怎样安装附加的第三方软件()。 整个这一章中，cvsup 命令都被用来获取 &os; 源代码的更新。 你需要安装一个像 net/cvsup-without-gui 这样的 port 或者二进制包。 如果你使用的是 &os; 6.2-RELEASE 或之后的版本， 你可以使用 &man.csup.1; 代替， 现在它已经是基本系统的一部分了。 Tom Rhodes Written by Colin Percival Based on notes provided by FreeBSD 更新 Updating and Upgrading freebsd-update updating-upgrading 打安全补丁是对于维护计算机软件的一个重要部分， 特别是对于操作系统。对于 &os; 来说， 很长的一段时间以来这都不是一件容易的事情。 补丁打在源代码上，代码需要被重新编译为二进制， 然后再重新安装编译后的程序。 &os; 引入了 freebsd-update 工具之后这便不再是问题了。这个工具提供了 2 种功能。 第一，它可以把二进制的安全和勘误更新直接应用于 &os; 的基本系统，而不需要重新编译和安装。第二， 这个工具还支持主要跟次要的发行版的升级。 由安全小组支持的各种体系结构和发行版都可使用二进制更新。 然而有些特性，比如升级 &os; 操作系统需要最近的 &man.freebsd-update.8; 和 &os; 6.3。在升级到一个新的发行版本之前， 应先阅读一下当前发行版的声明， 因为他们可能包含有关于你期望升级版本的重要消息。 这些发行声明可以通过以下链接查阅： 。 如果 crontab 中存在有用到 freebsd-update 特性的部分， 那么这些在开始以下操作前必须先被禁止。 配置文件 有些用户可能希望调整配置文件来更好的控制升级过程。 可用参数的文档非常齐全， 但下面的这些可能需要进一步的解释： # Components of the base system which should be kept updated. Components src world kernel 这个参数是控制 &os; 的哪一部分将被保持更新。 默认的是更新源代码，整个基本系统还有内核。 这些部件跟安装时的那些相同，举例来说， 在这里加入 “world/games” 就会允许打入游戏相关的补丁。 使用 “src/bin” 则是允许更新 src/bin 目录中的源代码。 最好的选择是把这个选项保留为默认值， 因为如果要修改它去包含一些指定的选项， 就需要用户列出每一个想要更新的项目。 这可能会引起可怕的后果， 因为部分的源代码和二进制程序得不到同步。 # Paths which start with anything matching an entry in an IgnorePaths # statement will be ignored. IgnorePaths 添加路径，比如 /bin 或者 /sbin 让这些指定的目录在更新过程中不被修改。 这个选项能够防止本地的修改被 freebsd-update 覆盖。 # Paths which start with anything matching an entry in an UpdateIfUnmodified # statement will only be updated if the contents of the file have not been # modified by the user (unless changes are merged; see below). UpdateIfUnmodified /etc/ /var/ /root/ /.cshrc /.profile 更新指定目录中的未被修改的配置文件。 用户的任何修改都会使这些文件的自动更新失效。 还有另外一个选项， KeepModifiedMetadata， 这个能让 freebsd-update 在合并时保存修改。 # When upgrading to a new &os; release, files which match MergeChanges # will have any local changes merged into the version from the new release. MergeChanges /etc/ /var/named/etc/ 一个 freebsd-update 应该尝试合并的配置文件的列表。文件合并的过程是 一系列的 &man.diff.1; 补丁类似于更少选项的 &man.mergemaster.8; 合并的选项是接受，打开一个文本编辑器，或者 freebsd-update 会被中止。 在不能确定的时候，请先备份 /etc 然后接受合并。更多关于 mergemaster 的信息请参阅 。 # Directory in which to store downloaded updates and temporary # files used by &os; Update. # WorkDir /var/db/freebsd-update 这个目录是放置所有补丁和临时文件的。 用户做一个版本升级的话，请确认此处至少有 1 GB 的可用磁盘空间。 # When upgrading between releases, should the list of Components be # read strictly (StrictComponents yes) or merely as a list of components # which *might* be installed of which &os; Update should figure out # which actually are installed and upgrade those (StrictComponents no)? # StrictComponents no 当设置成 yes 时， freebsd-update 将假设这个 Components 列表时完整的， 并且对此列表以外的项目不会修改。实际上就是 freebsd-update 会尝试更新 Componets 列表里的每一个文件。 安全补丁 安全补丁存储在远程的机器上， 可以使用如下的命令下载并安装： &prompt.root; freebsd-update fetch &prompt.root; freebsd-update install 如果给内核打了补丁，那么系统需要重新启动。 如果一切都进展顺利，系统就应该被打好了补丁而且 freebsd-update 可由夜间 &man.cron.8; 执行。在 /etc/crontab 中加入以下条目足以完成这项任务： @daily root freebsd-update cron 这条记录是说明每天运行一次 - freebsd-update。用这种方法， + freebsd-update 工具。 用这种方法， 使用了 参数， freebsd-update 仅检查是否存在更新。 如果有了新的补丁，就会自动下载到本地的磁盘， 但不会自动给系统打上。root 会收到一封电子邮件告知需手动安装补丁。 如果出现了错误，可以使用下面的 freebsd-update 命令回退到上一次的修改： &prompt.root; freebsd-update rollback 完成以后如果内核或任何的内核模块被修改的话， 就需要重新启动系统。这将使 &os; 装载新的二进制程序进内存。 freebsd-update 工具只能自动更新 GENERIC 内核。 如果您使用自行联编的内核， 则在 freebsd-update 安装完更新的其余部分之后需要手工重新联编和安装内核。 不过， freebsd-update 会检测并更新位于 /boot/GENERIC (如果存在) 中的 GENERIC 内核， 即使它不是当前 (正在运行的) 系统的内核。 保存一份 GENERIC 内核的副本到 /boot/GENERIC 是一个明智的主意。 在诊断许多问题， 以及在 中介绍的使用 freebsd-update 更新系统时会很有用。 除非修改位于 /etc/freebsd-update.conf 中的配置， freebsd-update 会随其他安装一起对内核的源代码进行更新。 重新联编并安装定制的内核可以以通常的方式来进行。 通过 freebsd-update 发布的更新有时并不会涉及内核。 如果在执行 freebsd-update install 的过程中内核代码没有进行变动， 就没有必要重新联编内核了。 不过， 由于 freebsd-update 每次都会更新 /usr/src/sys/conf/newvers.sh 文件， 而修订版本 (uname -r 报告的 -p 数字) 来自这个文件， 因此， 即使内核没有发生变化， 重新联编内核也可以让 &man.uname.1; 报告准确的修订版本。 在维护许多系统时这样做会比较有帮助， 因为这一信息可以迅速反映机器上安装的软件更新情况。 重大和次要的更新 这个过程会删除旧的目标文件和库， 这将使大部分的第三方应用程序无法删除。 建议将所有安装的 ports 先删除然后重新安装，或者稍后使用 ports-mgmt/portupgrade 工具升级。 大多数用户将会使用如下命令尝试编译： &prompt.root; portupgrade -af 这将确保所有的东西都会被正确的重新安装。 请注意环境变量 BATCH 设置成 yes 的话将在整个过程中对所有询问回答 yes，这会帮助在编译过程中免去人工的介入。 如果正在使用的是定制的内核， 则升级操作会复杂一些。 您会需要将一份 GENERIC 内核的副本放到 /boot/GENERIC。 如果系统中没有 GENERIC 内核， 可以用以下两种方法之一来安装： 如果只联编过一次内核， 则位于 /boot/kernel.old 中的内核， 就是 GENERIC 的那一个。 只需将这个目录改名为 /boot/GENERIC 即可。 假如能够直接接触机器， 则可以通过 CD-ROM 介质来安装 GENERIC 内核。 将安装盘插入光驱， 并执行下列命令： &prompt.root; mount /cdrom &prompt.root; cd /cdrom/X.Y-RELEASE/kernels &prompt.root; ./install.sh GENERIC 您需要将 X.Y-RELEASE 替换为您正在使用的版本。 GENERIC 内核默认情况下会安装到 /boot/GENERIC。 如果前面的方法都不可用， 还可以使用源代码来重新联编和安装 GENERIC 内核： &prompt.root; cd /usr/src &prompt.root; env DESTDIR=/boot/GENERIC make kernel &prompt.root; mv /boot/GENERIC/boot/kernel/* /boot/GENERIC &prompt.root; rm -rf /boot/GENERIC/boot 如果希望 freebsd-update 能够正确地将内核识别为 GENERIC， 您必须确保没有对 GENERIC 配置文件进行过任何变动。 此外， 建议您取消任何其他特殊的编译选项 (例如使用空的 /etc/make.conf)。 上述步骤并不需要使用这个 GENERIC 内核来引导系统。 重大和次要的更新可以由 freebsd-update 命令后指定一个发行版本来执行， 举例来说，下面的命令将帮助你升级到 &os; 6.4： &prompt.root; freebsd-update -r 6.4-RELEASE upgrade 在这个命令被执行后，freebsd-update 将会先解析配置文件和评估当前的系统以获得更新系统所需的必要信息。 然后便会显示出一个包含了已检测到与未检测到的组件列表。 例如： Looking up update.FreeBSD.org mirrors... 1 mirrors found. Fetching metadata signature for 6.3-RELEASE from update1.FreeBSD.org... done. Fetching metadata index... done. Inspecting system... done. The following components of FreeBSD seem to be installed: kernel/smp src/base src/bin src/contrib src/crypto src/etc src/games src/gnu src/include src/krb5 src/lib src/libexec src/release src/rescue src/sbin src/secure src/share src/sys src/tools src/ubin src/usbin world/base world/info world/lib32 world/manpages The following components of FreeBSD do not seem to be installed: kernel/generic world/catpages world/dict world/doc world/games world/proflibs Does this look reasonable (y/n)? y 此时，freebsd-update 将会尝试下载所有升级所需的文件。在某些情况下， 用户可能被问及需安装些什么和如何进行之类的问题。 当使用定制内核时， 前面的步骤会产生类似下面的警告： WARNING: This system is running a "MYKERNEL" kernel, which is not a kernel configuration distributed as part of FreeBSD 6.3-RELEASE. This kernel will not be updated: you MUST update the kernel manually before running "/usr/sbin/freebsd-update install" 此时您可以暂时安全地无视这个警告。 更新的 GENERIC 内核将在升级过程的中间步骤中使用。 在下载完针对本地系统的补丁之后， 这些补丁会被应用到系统上。 这个过程需要消耗的时间取决于机器的速度和其负载。 这个过程中将会对配置文件所做的变动进行合并 — 这一部分需要用户的参与， 文件可能会自动合并， 屏幕上也可能会给出一个编辑器， 用于手工完成合并操作。 在处理过程中， 合并成功的结果会显示给用户。 失败或被忽略的合并， 则会导致这一过程的终止。 用户可能会希望备份一份 /etc 并在这之后手工合并重要的文件， 例如 master.passwd 和 group。 系统至此还没有被修改，所有的补丁和合并都在另外一个目录中进行。 当所有的补丁都被成功的打上了以后，所有的配置文件都被合并后， 我们就已经完成了整个升级过程中最困难的部分， 下面就需要用户来安装这些变更了。 一旦这个步骤完成后，使用如下的命令将升级后的文件安装到磁盘上。 &prompt.root; freebsd-update install 内核和内核模块会首先被打上补丁。 此时必须重新启动计算机。 如果您使用的是定制的内核， 请使用 &man.nextboot.8; 命令来将下一次用于引导系统的内核 /boot/GENERIC (它会被更新)： &prompt.root; nextboot -k GENERIC 在使用 GENERIC 内核启动之前， 请确信它包含了用于引导系统所需的全部驱动程序 (如果您是在远程进行升级操作， 还应确信网卡驱动也是存在的)。 特别要注意的情形是， 如果之前的内核中静态联编了通常以内核模块形式存在的驱动程序， 一定要通过 /boot/loader.conf 机制来将这些模块加载到 GENERIC 内核的基础上。 此外， 您可能也希望临时取消不重要的服务、 磁盘和网络挂载等等， 直到升级过程完成为止。 现在可以用更新后的内核引导系统了： &prompt.root; shutdown -r now 在系统重新上线后，需要再次运行 freebsd-update。 升级的状态被保存着，这样 freebsd-update 就无需重头开始，但是会删除所有旧的共享库和目标文件。 执行如下命令继续这个阶段的升级： &prompt.root; freebsd-update install 取决与是否有库的版本更新，通常只有 2 个而不是 3 个安装阶段。 现在需要重新编译和安装第三方软件。 这么做的原因是某些已安装的软件可能依赖于在升级过程中已删除的库。 可使用 ports-mgmt/portupgrade 自动化这个步骤，以如下的命令开始： &prompt.root; portupgrade -f ruby &prompt.root; rm /var/db/pkg/pkgdb.db &prompt.root; portupgrade -f ruby18-bdb &prompt.root; rm /var/db/pkg/pkgdb.db /usr/ports/INDEX-*.db &prompt.root; portupgrade -af 一旦这个完成了以后，再最后一次运行 freebsd-update 来结束升级过程。 执行如下命令处理升级中的所有细节： &prompt.root; freebsd-update install 如果您临时用过 GENERIC 内核来引导系统， 现在是按照通常的方法重新联编并安装新的定制内核的时候了。 重新启动机器进入新版本的 &os; 升级过程至此就完成了。 系统状态对照 freebsd-update 工具也可被用来对着一个已知完好的 &os; 拷贝测试当前的版本。 这个选项评估当前的系统工具，库和配置文件。 使用以下的命令开始对照： &prompt.root; freebsd-update IDS >> outfile.ids 这个命令的名称是 IDS， 它并不是一个像 security/snort 这样的入侵检测系统的替代品。因为 freebsd-update 在磁盘上存储数据， 很显然它们有被篡改的可能。 当然也可以使用一些方法来降低被篡改的可能性，比如设置 kern.securelevel 和不使用时把 freebsd-update 数据放在只读文件系统上，例如 DVD 或 安全存放的外置 USB 磁盘上。 现在系统将会被检查，生成一份包含了文件和它们的 &man.sha256.1; 哈希值的清单，已知发行版中的值与当前系统中安装的值将会被打印到屏幕上。 这就是为什么输出被送到了 outfile.ids 文件。 它滚动的太块无法用肉眼对照，而且会很快填满控制台的缓冲区。 这个文件中有非常长的行，但输出的格式很容易分析。 举例来说，要获得一份与发行版中不同哈希值的文件列表， 已可使用如下的命令： &prompt.root; cat outfile.ids | awk '{ print $1 }' | more /etc/master.passwd /etc/motd /etc/passwd /etc/pf.conf 这份输出时删节缩短后的，其实是有更多的文件。 其中有些文件并非人为修改，比如 /etc/passwd 被修改是因为添加了用户进系统。在某些情况下， 还有另外的一些文件，诸如内核模块与 freebsd-update 的不同是因为它们被更新过了。 为了指定的文件或目录排除在外，把它们加到 /etc/freebsd-update.conf 的 IDSIgnorePaths 选项中。 除了前面讨论过的部分之外， 这也能被当作是对升级方法的详细补充。 Tom Rhodes Written by Colin Percival Based on notes provided by Portsnap： 一个 Ports Collection 更新工具 Updating and Upgrading Portsnap Updating and Upgrading &os; 基本系统也包括了一个更新 Ports Collection 的工具： &man.portsnap.8;。在运行之后，它会连上一个远程网站， 校验安全密钥，然后下载一份 Ports Collection 的拷贝。 密钥是用来校验所有下载文件的完整性，确保它们在传输是未被修改。 使用以下的命令下载最新的 Ports Collection： &prompt.root; portsnap fetch Looking up portsnap.FreeBSD.org mirrors... 3 mirrors found. Fetching snapshot tag from portsnap1.FreeBSD.org... done. Fetching snapshot metadata... done. Updating from Wed Aug 6 18:00:22 EDT 2008 to Sat Aug 30 20:24:11 EDT 2008. Fetching 3 metadata patches.. done. Applying metadata patches... done. Fetching 3 metadata files... done. Fetching 90 patches.....10....20....30....40....50....60....70....80....90. done. Applying patches... done. Fetching 133 new ports or files... done. 这个例子展示的是 &man.portsnap.8; 发现并校验了几个用于当前 ports 的补丁。这还表明以前运行过， 如果是第一次运行的话，那么仅仅只会下载 Ports Collection。 在 &man.portsnap.8; 成功完成一次 fetch 操作后，而且本地系统上的 Ports Collection 和随之而来的补丁通过校验以后。键入以下命令安装更新文件： &prompt.root; portsnap extract /usr/ports/.cvsignore /usr/ports/CHANGES /usr/ports/COPYRIGHT /usr/ports/GIDs /usr/ports/KNOBS /usr/ports/LEGAL /usr/ports/MOVED /usr/ports/Makefile /usr/ports/Mk/bsd.apache.mk /usr/ports/Mk/bsd.autotools.mk /usr/ports/Mk/bsd.cmake.mk ... 至此更新就完成了，然后便可以使用更新后的 Ports Collection 来安装或升级应用程序。 可以使用如下的命令让这个过程连续的运行： &prompt.root; portsnap fetch update 更新系统附带的文档 更新和升级 文档 更新和升级 除了基本系统和 Ports 套件之外， 文档也是 &os; 操作系统的一个组成部分。 尽管您总是可以通过 &os; 网站 来访问最新的 &os; 文档， 一些用户的网络连接可能很慢， 甚至完全没有网络连接。 幸运的是， 有很多方法可以用来更新随发行版本附带的 &os; 文档的本地副本。 使用 CVSup 来更新文档 &os; 文档的源代码和安装版本都可以通过 CVSup 来以与基本系统 (参考 ) 类似的方法来升级。 这一节中将会介绍： 如何安装联编文档所需的工具集， 用于从源代码来联编 &os; 文档所需的那些工具。 如何使用 CVSup 将文档下载到 /usr/doc。 如何从源代码联编 &os; 文档， 并将其安装到 /usr/share/doc。 联编文档的过程中支持的一些编译选项， 例如只联编某些语言的版本， 或只联编特定的输出格式。 安装 CVSup 和文档工具集 从源代码联编 &os; 文档需要大量的工具。 这些工具并不是 &os; 基本系统的一部分， 因为这些工具需要占用大量的磁盘空间， 而且并不是对所有 &os; 用户都有用； 只有活跃地撰写 &os; 新文档， 或经常从源代码更新文档的用户才需要这些工具。 全部所需的工具， 均可通过 Ports 套件来安装。 textproc/docproj port 是由 &os; 文档计划开发的方便安装和更新这些工具的主 port。 如果不需要 &postscript; 或 PDF 文档的话， 也可以考虑安装 textproc/docproj-nojadetex port。 这套文档工具集包含除了 teTeX typesetting 引擎之外的其他全部工具。 teTeX 是一个很大的工具集， 因此如果不需要 PDF 输出的话， 排除它会节省很多时间和磁盘空间。 如欲了解关于安装和使用 CVSup 的进一步信息， 请参阅 使用 CVSup。 更新文档源代码 CVSup 工具能够下载文档源代码的原始副本， 您可使用 /usr/share/examples/cvsup/doc-supfile 文件作为配置模板来修改。 在 doc-supfile 中的默认主机名是一个无效的占位主机名， 但 &man.cvsup.1; 能够通过命令行来指定主机名， 因此文档源代码可以使用下面的命令从 CVSup 服务器获得： &prompt.root; cvsup -h cvsup.FreeBSD.org -g -L 2 /usr/share/examples/cvsup/doc-supfile 您应将 cvsup.FreeBSD.org 改为最近的 CVSup 服务器。 参见 关于镜像站点的完整列表。 初始的文档源代码下载需要一些时间， 您需要耐心等待它完成。 后续的更新可以用同样的命令来进行。 由于 CVSup 工具只下载上次运行之后所发生过的更新， 因此在首次运行之后再运行 CVSup 应该是很快的。 在签出源代码之后， 还可以使用另一种由 /usr/doc 目录中的 Makefile 支持的方法来更新它。 通过在 /etc/make.conf 中配置 SUP_UPDATE、 SUPHOST 和 DOCSUPFILE， 可以通过运行： &prompt.root; cd /usr/doc &prompt.root; make update 来完成更新。 典型的 /etc/make.conf 中的 &man.make.1; 选项是： SUP_UPDATE= yes SUPHOST?= cvsup.freebsd.org DOCSUPFILE?= /usr/share/examples/cvsup/doc-supfile 将 SUPHOST 和 DOCSUPFILE 的值使用 ?= 来指定的好处是使 make 命令行能够覆盖这些选项。 在向 make.conf 中增加选项时推荐这样做， 以避免在测试时反复修改这个文件。 文档源代码中可调的选项 &os; 文档的更新和联编系统支持一些方便只更新一部分文档， 或只联编特定格式及译文的选项。 这些选项可以在 /etc/make.conf 文件中配置， 也可以通过 &man.make.1; 工具来指定。 这些选项包括： DOC_LANG 准备联编和安装的语言列表。 例如， 指定为 en_US.ISO8859-1 表示只联编英文版的文档。 FORMATS 准备输出的格式列表。 目前， 系统支持 html、 html-split、 txt、 ps、 pdf、 和 rtf。 SUPHOST 用于用来更新的 CVSup 服务器的主机名。 DOCDIR 用于安装文档的目录。 默认为 /usr/share/doc。 如欲了解 &os; 中其他可供配置的全局 make 变量， 请参阅 &man.make.conf.5;。 关于 &os; 文档联编系统的其他详情， 请参阅 &os; 文档计划入门之新手必读部分。 从源代码安装 &os; 文档 在 /usr/doc 中下载了最新的文档源代码快照之后， 就可以开始动手联编文档了。 要更新全部 DOC_LANG 中定义的语言的文档， 需要执行下面的命令： &prompt.root; cd /usr/doc &prompt.root; make install clean 如果在 make.conf 中配置了正确的 DOCSUPFILE、 SUPHOST 和 SUP_UPDATE 选项， 则可以将更新源代码和安装一步完成： &prompt.root; cd /usr/doc &prompt.root; make update install clean 如果只需要更新某个特定语言的文档， 可以在 /usr/doc 中与之对应的目录中运行 &man.make.1;： &prompt.root; cd /usr/doc/en_US.ISO8859-1 &prompt.root; make update install clean 此外， 还可以透过 make 变量 FORMATS 来控制输出格式， 例如： &prompt.root; cd /usr/doc &prompt.root; make FORMATS='html html-split' install clean + + + + + Marc + Fonvieille + 原作： + + + + + 使用文档 Ports + + Updating and Upgrading + + + documentation package + Updating and Upgrading + + + 在之前的章节中， 我们已展示了从源代码更新 &os; 文档的方法。 + 基于源代码的更新的方法可能并不是对于所有的 &os; 系统都可行有效。 + 编译文档源代码需要一大堆的工具， 文档工具链， + 对于 CVS 的一定了解和从仓库中检出源代码， + 还有一些编译已检出代码的手工步骤。 这一章节我们将介绍一种使用 Ports + 来更新已安装的 &os; 文档： + + + + 下载并安装预编译好的文档快照， 而不用在本地编译任何部份 + (这样便不再需要安装整个文档工具链了)。 + + + + 下载文档的源代码并使用 ports 框架编译 + (使得检出和编译的步骤更容易些)。 + + + + 这两种更新 &os; 文档的方法都由一组 &a.doceng; 每月更新的 + 文档 ports 提供支持。 这些都列在了 &os; + Ports docs + 虚拟分类下面。 + + + 编译和安装文档 Ports + + 文档 ports 使用 ports 的构建框架使得文档的编译变得更加容易。 + 自动化了检出文档源代码， 配以适合的环境设置和命令行参数运行 + &man.make.1;， 它们使得安装或卸载文档变得就像安装 &os; 其他 + port 或二进制包那样容易。 + + + 另一个特性便是当在本地编译文档 ports 时， + 文档工具链 ports 会被列入依赖关系， + 并自动安装。 + + + 文档 ports 按以下的方式组织： + + + + 一个 主 port， 在 + misc/freebsd-doc-en + 下可以找到这个文档 port。 它是所有文档 ports 的基础。 + 在默认的情况下， 它只安装英文版文档。 + + + + 一个 合集 port， + misc/freebsd-doc-all， + 它将构建并安装所有语言版本的所有文档。 + + + + 最后是各种翻译的 从属 port， 比如： + misc/freebsd-doc-hu + 是匈牙利文版的文档。 所有这些都基于主 port + 并会安装上对应语言的翻译文档。 + + + + 以 root + 用户身份运行如下的命令安装文档： + + &prompt.root; cd /usr/ports/misc/freebsd-doc-en +&prompt.root; make install clean + + 这将会安装分章节的英文版本 HTML 格式文档 + (与 上的相同) 到 + /usr/local/share/doc/freebsd + 目录。 + + + 常见的调节选项 + + 文档 ports 有许多用来修改默认行为的选项。 + 以下是一段简要列表： + + + + WITH_HTML + + + 允许构建 HTML 格式： 每份文档为一个单一的 HTML 文件。 + 此种文档的文件名视情况而定通常是 + article.html， + 或 book.html， + 另外附加一些图片。 + + + + + WITH_PDF + + + 允许构建 &adobe; Portable Document Format， + 可使用 &adobe; &acrobat.reader;， + Ghostscript 或者其他的 + PDF 阅读器查阅。 此种文档的文件名视情况而定通常是 + article.pdf 或 + book.pdf。 + + + + + DOCBASE + + + 文档将被安装到的目录。默认值 /usr/local/share/doc/freebsd。 + + 请注意默认的目录与 CVSup + 方法种所使用的目录不同。 这是因为我们正在安装的是一个 port， + 而 ports 通常会被安装到 + /usr/local 目录。 + 这可以指定 PREFIX 变量覆盖默认值。 + + + + + + 这是一份简短的关于如何使用以上提到变量来安装 + PDF 格式的匈牙利文档： + + &prompt.root; cd /usr/ports/misc/freebsd-doc-hu +&prompt.root; make -DWITH_PDF DOCBASE=share/doc/freebsd/hu install clean + + + + + 使用文档 Packages + + 正如上文所述， 从 ports + 构建文档需要在本地安装一份文档工具链和一些编译所需的磁盘空间。 + 当不够资源安装文档工具链， 或者从源代码编译需要太多的磁盘空间时， + 我们仍然可以安装预编译好的文档快照的 ports。 + + &a.doceng; 每个月都会制作 &os; 文档快照的包。 + 这些二进制包可以通过包工具来操作， 比如 &man.pkg.add.1;， + &man.pkg.delete.1;， 等等。 + + + 当使用二进制包时， 将安装所指定语言相关的 &os; 文档的 + 所有 可用格式。 + + + 举例来说， 以下的命令将安装最新预编译的匈牙利语文档： + + &prompt.root; pkg_add -r hu-freebsd-doc + + + 二进制包使用了以下与对应 ports 名称不同的命名格式: + lang-freebsd-doc。 + 这里的 lang 是语言代码的简短形式， + 比如 hu 表示匈牙利语， 或者 + zh_cn 表示简体中文。 + + + + + 更新文档 Ports + + 任何用于更新 ports 的工具都可以被用来更新已安装的文档 port。 + 举例来说， 下面的命令通过 ports-mgmt/portupgrade + 工具来更新已安装的匈牙利语文档二进制包。 + + &prompt.root; portupgrade -PP hu-freebsd-doc + + + Pav Lucistnik - Based on information provided by + 原作： Using Docsnap Updating and Upgrading Docsnap Updating and Upgrading - Docsnap is an &man.rsync.1; - repository for updating installed &os; Documentation in a - relatively easy and fast way. A - Docsnap server tracks - the documentation sources, and builds them in HTML format every - hour. The textproc/docproj - is unneeded with Docsnap as only - patches to the built documentation exist. + Docsnap 是一个通过 &man.rsync.1; + 仓库更新已安装的 &os; 文档简单快速的方法。 + 一台 Docsnap 服务器 + 跟踪文档原代码， 并每个小时编译自动成 HTML 格式。 使用 + Docsnap 并不需要 + textproc/docproj， + 有的只是对已编译文档生成的补丁。 - The only requirement for using this technique is - the net/rsync port or - package. To add it, use the following command: + 使用这项技术唯一需要的就是 + net/rsync port + 或者对应的二进制包。 可使用如下的命令安装： &prompt.root; pkg_add -r rsync - Docsnap has been originally - developed for updating documentation installed - to /usr/share/doc, but - the following examples could be adapted for other directories - as well. For user directories, it does not require - root privileges. + Docsnap 原本是被用来更新安装到 + /usr/share/doc + 的文档， 但是以下的例子同样适用于其他的目录。 对于用户的目录， + 这样就不需要 root 权限了。 - To update the documentation set, issue the following - command: + 更新文档， 运行如下的命令： &prompt.root; rsync -rltvz docsnap.sk.FreeBSD.org::docsnap /usr/share/doc - There is only one Docsnap - server at the moment; - the docsnap.sk.FreeBSD.org shown - above. + 目前还只有上面所显示的 docsnap.sk.FreeBSD.org + 这一台 Docsnap 服务器。 - Do not use the flag here as there - are some items installed - into /usr/share/doc - during make installworld, which would - accidentally be removed. To clean up, use this command - instead: + 此处不要使用 标志， + 因为还有些 make installworld 时安装到 + /usr/share/doc + 下的文件可能会被意外的移除。 请使用如下的命令清除无用的文件： &prompt.root; rsync -rltvz --delete docsnap.sk.FreeBSD.org::docsnap/??_??\.\* /usr/share/doc - If a subset of documentation needs to be updated, for - example, the English documentation only, the following command - should be used: + 如果只需升级文档的某一子集， 比如， + 可以使用如下的命令升级文档的英文部分： &prompt.root; rsync -rltvz docsnap.sk.FreeBSD.org::docsnap/en_US.ISO8859-1 /usr/share/doc ]]> 追踪开发分支 -CURRENT -STABLE FreeBSD 有两个开发分支： &os.current; 和 &os.stable;。 这一章节将对每个分支作相应介绍与如何保持你的系统更新。 我们将先介绍 &os.current; 然后是 &os.stable;。 使用最新的 &os; CURRENT 这里再次强调， &os.current; 是 &os; 开发的 最前沿。 &os.current; 用户要有较高的技术能力， 并且应该有能力自已解决困难的系统问题。 如果您是个 &os; 新手， 那么在安装之前最好三思。 &os.current; 是什么？ 快照 &os.current; 是 &os; 的发展前沿。 包括了在下一个官方发行的软件中可能存在， 也可能不存在的发展、 试验性改动、 以及过渡性的机制。 尽管许多 &os; 开发者每天都会编译 &os.current; 源代码， 但有时这些代码仍然会是不能编译的。 虽然这些问题会很快解决， 但 &os.current; 是带来破坏还是您正希望的功能性改善， 很可能完全取决于您获取源代码的的时机！ 谁需要 &os.current;？ &os.current; 适合下边三种主要兴趣团体： &os; 社区的成员： 积极工作在源码树的某部分的人和为保持 最新 为绝对需求的人。 &os; 社区的成员： 为促使 &os.current; 保持尽可能的健全而愿花时间去解决问题的积极的测试者； 以及那些愿意提出关于 &os; 变化和总体方向的建设性建议并且提供补丁实现它们的人们。 那些只是想关注或为了参考目的使用当前 (current) 源码的人们 (如，为了阅读，而不是执行)。 这些人也偶尔做做注释或贡献代码。 &os.current; <emphasis>不是</emphasis>什么？ 追求最新功能， 您听说里面有一些很酷的新功能， 并希望成为您周围的人中第一个尝试它们的人。 尽管您能够因此首先了解到最新的功能， 但这也意味着在出现新的 bug 时您也首当其冲。 修复错漏的快捷方式。任何 &os.current 的既定版本在修复已知错漏的同时又可能会产生新的错漏。 无所不在的官方支持。 我们尽最大努力在3个合法的 &os.current; 组之一真诚给人们提供帮助，但是我们 没有时间提供技术支持。 这并不是因为我们是那种不喜欢帮助人解困的无耻之徒 (如果我们是的话，就不会制作 &os; 了)。 我们不能每天简单地回复上百的消息，而且 我们继续发展 FreeBSD！ 在改善 &os; 和回复大量关于实验代码的问题之间如果要做个选择的话， 开发人员会选择前者。 使用 &os.current; 当前版 使用 加入 &a.current.name; 和 &a.svn-src-head.name; 列表。 这个不仅仅是个好主意，而且很 重要。如果您不去 &a.current.name;， 您就不会看到人们所做的关于系统当前状态的说明， 这样您就有可能在别人已经发现并解决了的一大堆问题面前难倒。 更重要的是您会错过一些重要的公告---对于您的系统安全可能是至关重要的。 &a.svn-src-head.name; 列表允许您看到每个变化的提交记录， 因为这些记录与其它相关信息是同步的。 要加入这些列表，或其它可能的列表，请访问 &a.mailman.lists.link; ，并且点击您想订阅的列项。 关于其它步骤的说明那里有提供。 如果你有兴趣追踪整个原代码树的变更记录， 我们建议你订阅 &a.svn-src-all.name; 邮件列表。 从&os; 镜像站点 获取源码。 您有两种方式选择： cvsup cron 当前 使用 CVSup 同步 与称作 standard-supfile 的 supfile 一起使用 cvsup，这个可以从 /usr/share/examples/cvsup得到。 这是最被推荐的方式，因为它允许您一次获取整个集合， 以后就只取更改过的部分。许多人从 cron 运行 cvsup，以保持他们的源码自动更新。 您须要定制上边的 supfile 样本，并且配置 cvsup 以适应您的环境。 standard-supfile 例子是为追踪指定的 &os; 安全分支而指定的， 而不是 &os.current;。 你需要编辑这个文件并把如下这行： *default release=cvs tag=RELENG_X_Y 替换为： *default release=cvs tag=. 可以参阅手册中的 CVS Tags 章节获得更多可用 tag 的详细说明。 当前的 使用 CTM 同步 使用工具 CTM。 如果您的连接性能不太好(高价连接或只能通过电子邮件存取)， CTM 是个选择。 但这也颇有争议并且常常得到到坏文件。因此很少使用它， 这也注定了不能长期用它来工作。对于使用 9600 bps 或更快连接的人，我们推荐使用 CVSup。 如果您获取源码是用于运行，而不只是看看，那么就获取 整个 &os.current;，不要选部分。 这样做的原因是源码的大部分都依赖于其他部分， 要是您试着只编译其中一部分的话，保证您会陷入麻烦。 当前版 编译 在编译 &os.current; 之前，请仔细阅读 /usr/src 里的 Makefile 文件。 尽管是部分的升级过程，您至少也要首先安装新的内核和重建系统。阅读 &a.current; 邮件列表和 /usr/src/UPDATING， 会让您在其它循序渐进的过程中保持最新， 这对于我们向下一个发行版转移是很有必要的。 热心一点！如果您正运行 &os.current;， 我们很想知道您关于它的一些想法， 尤其是关于错漏修复或增进的建议。 非常欢迎带有代码的建议！ 使用最新的 &os; STABLE &os.stable; 是什么? 稳定版 &os.stable; 是我们的发展分支，我们的主要发行版就由此而来。 这个分支会以不同速度变化，并且假定这些是第一次进入 &os.current; 进行测试。然而，这 仍然 是个发展中的分支，这意味着在一定的时候，&os.stable; 源码可能或不可能满足一些特殊的要求。 它只不过是另一个工程发展途径，并不是终端用户的资源。 谁需要 &os.stable;？ 如果您有兴趣追随 FreeBSD 的开发过程或为其做点贡献， 尤其是和下一个 非计划 的 FreeBSD 发行版有关时， 您应该考虑采用 &os.stable;。 尽管安全更新也会进入 &os.stable; 分支，但您并不 必须 使用 &os.stable; 来达到这样的目的。 每一个 FreeBSD 的安全公告都会解释如何修复受到影响的发行版中的问题 这也不总是正确。我们不可能永远支持 FreeBSD 的旧发行版， 尽管我们会在发布之后支持他们数年之久。 关于 FreeBSD 目前对于旧发行版的支持政策的完整描述， 请参见 http://www.FreeBSD.org/security/。 ，而因为安全原因而去采用一个开发分支显然可能会同时引入一些不希望的修改。 尽管我们尽力确保 &os.stable; 分支在任何时候都能够正确编译和运行， 但没有人能够担保它在任何时候都总可以。 此外， 尽管代码在进入 &os.stable; 之前都是在 &os.current; 上完成开发， 但使用 &os.stable; 的人要比使用 &os.current; 的更多。 有证据显示， 犄角旮旯里的各种问题有些时候仍然会由于在 &os.current; 不那么明显 而在 &os.stable; 暴露出来。 基于这些原因， 不 推荐您盲目地追随 &os.stable;， 并且， 在粗略地测试过代码之前不要更新任何生产服务器到 &os.stable; 也非常重要。 如果您没有用于完成这些工作的资源， 我们推荐您使用最新的 FreeBSD 发行版， 并使用发行版提供的二进制更新机制来在发行版之间完成迁移。 使用&os.stable; 稳定版 使用 加入 &a.stable.name; 列表。让您随时了解可能出现在 &os.stable; 里的build 依赖性或其它需要特别注意的问题。 当开发员正在考虑某些有争议的修复或更新时， 他们就会在这个邮件列表里发表声明，给用户机会回应， 看他们对于提出的变化是否还有什么问题。 加入相关的 SVN 列表来追踪你所关心的分支。比如，如果你在追踪 7-STABLE 分支，加入 &a.svn-src-stable-7.name; 列表。 这样每次这个分支上有改动的时候就能让你看到提交记录, 还包括了修改可能引起的副作用之类的相关信息。 要加入这些列表或其他可用的，访问 &a.mailman.lists.link; 并点击您希望订阅的列表。关于其它步骤的说明可以在那里看到。 如果你有兴趣追踪整个原代码树的变更记录， 我们建议你订阅 &a.svn-src-all.name; 邮件列表。 如果您正安装一个新系统， 并希望它运行每月从 &os.stable; 编译的快照， 请察看 Snapshots 网页以了解更多信息。 另外， 也可以从 镜像站点 安装最新的 &os.stable; 发行版， 并按照其中的说明将系统更新到最新的 &os.stable; 源代码。 如果您已经在运行较早的 &os; 版本， 并希望通过源代码方式升级， 则可以通过 &os; 镜像站点 来完成。 这可以通过两种方式来进行： cvsup cron 稳定版 使用CVSup同步 与称作 stable-supfile 的 supfile 一起使用 cvsup，这个可以从 /usr/share/examples/cvsup 得到。 这是最被推荐的方式，因为它允许您一次获取整个集合， 以后就只取更改过的部分。许多人从 cron 运行 cvsup，以保持他们的源码自动更新。 您须要定制上边的 supfile 样本，并且配置 cvsup 以适应您的环境。 当前的 使用 CTM 同步 使用工具 CTM。 如果您的连接性能不太好(高价连接或只能通过电子邮件存取)， CTM 是个选择。 但这也颇有争议并且常常得到到坏文件。因此很少使用它， 这也注定了不能长期用它来工作。对于使用 9600 bps 或更快连接的人，我们推荐使用 CVSup。 本质上说，如果您需要快速存取源码并且不计较通信宽带的话，可以使用 cvsup 或 ftp。否则，就使用 CTM。 稳定版 编译 在编译 &os.stable; 之前，请仔细阅读 /usr/src 里的 Makefile。 您至少应该安装一个新的内核并重建系统， 首先做为升级过程的一部分。阅读 &a.stable; 邮件列表和 /usr/src/UPDATING， 可能让您在其它循序渐进的过程中保持更新， 这在我们向下一发行版转移时是很有必要的。 同步您的源码 有许多方式通过互联网(或电子邮件)与 &os; 项目源码特定领域或所有领域保持更新，主要依赖于您的兴趣。 我们提供的主要服务是匿名 CVS、 CVSup，和 CTM。 虽然只更新源码树中的部分是可能的， 唯一被支持的更新过程是更新整个树、并且重编译用户区 (如：在用户空间运行的所有程序，像 /bin 和 /sbin下边的)和内核源码。 只更新源码树中的部分，或只有内核，或只有用户区 (userland) 通常会出现错误。这些问题包括有编译错误、内核崩溃 (kernel panics)、数据出错。 CVS 匿名 匿名 CVS 和 CVSup 使用 下拉(pull) 模式来更新源代码。 在 CVSup 中， 用户 (或者 cron 脚本) 会调用 cvsup 程序， 后者会同某一个 cvsupd 服务进行交互， 以更新您的文件。 您接到的更新是更新时刻最新的， 并且您只会收到那些需要的更新。 您可以很容易地限制更新的范围， 只更新那些您需要的文件。 服务器端会根据您手头已经有的文件即时地生成更新内容。 匿名 CVS 相对于 CVSup 而言要简单一些， 因为它只是对 CVS 的一种扩展， 让您可以从远程的 CVS 代码库得到更新。 CVSup 相对而言， 要比 匿名 CVS 更有效率， 然而后者却更容易使用。 CTM 另一种方法是 CTM。 这种方法并不能将您手头的代码与中央代码库中的版本进行比较， 也不能下载它们。 在主 CTM 服务器上运行的脚本会每天执行多次， 每次运行都能够自动地识别所有文件自上次运行以来所发生的变化， 如果发现有文件发生了变动， 就会压缩、 标上一个序列号， 并进行便于使用电子邮件进行传送的编码操作 (其中只包括可打印的 ASCII 字符)。 一旦接收到， 这些CTM deltas就会被传送给 &man.ctm.rmail.1; 工具---可以自动进行解码、校验和应用这些变化到用户的复制的源码里。 这个过程比 CVSup 更为有效， 而且更少占用我们的服务器资源，因为它不仅仅采用 下拉(pull) 模式，还采用 上推(push) 模式。 当然， 这样做也会带来一些不便。 如果您不经意删除了您的压缩包的部分内容， CVSup 会检测到并为您重建破坏的部分。 CTM 是不会这样做的， 如果您删除了您的源码树中的某部分(并已不能恢复)， 那么您就必须从破坏处 (从最新的CVS base delta) 开始，使用 CTM 或 匿名 CVS 进行重建，仅仅删除坏的数据并再同步。 重新编译 <quote>world</quote> 重新编译 world 只要您根据一定版本的 &os; (&os.stable;、&os.current; 等等)， 已经同步了您本地的源码树，那么您就可以使用这些源码树来重建系统。 做好备份 无需强调在行动 之前 备份整个系统是多么的重要。 尽管重新编译系统是 (如果您按照文档的指示做的话) 一件很容易完成的工作， 但出错也是在所难免的， 另外， 别人在源码里面引入的错误也可能造成系统无法引导。 请确信自己已经做过备份， 并且在手边有恢复软盘或可以引导的光盘。 您可能永远也不会用到它， 但安全第一嘛！ 订阅恰当的邮件列表 邮件列表 &os.stable; 和 &os.current; 分支自然是 发展中的。为 &os; 做贡献的都是人，偶尔也会犯错误。 有时这些错误没什么危害，只是引起您的系统生成新的诊断警告。 有时是灾难性的，并导致您的系统不能启动或破坏您的文件系统 (甚至更糟)。 如果出现了类似的问题， 贴一封小心(heads up)帖到相关的邮件列表里， 讲清问题的本质以及受影响的系统。在问题解决后，再贴封解除(all clear)声明。 如果使用 &os.stable; 或 &os.current; 而又不阅读 &a.stable; 和 &a.current; 各自的邮件列表， 那么您是自找麻烦。 不要使用 <command>make world</command> 许多较早的文档推荐使用 make world 来完成这项工作。 这样做会跳过一些必要的步骤， 因此只有在您知道自己在做什么的时候才可以这样做。 几乎所有的情况下 make world 都是不应该做的事情， 您应该使用这里描述的方法。 更新系统的规范方法 在更新系统时， 一定要首先查看 /usr/src/UPDATING 文件， 以便了解在 buildworld 之前需要进行的操作， 然后按照下面列出的步骤进行操作： 这些更新步骤假定您使用的是包含旧编译器、 内核以及用户态工具及配置的旧版 &os;。 我们使用 world 来表示系统中的核心执行文件、 函数库和程序文件。 编译器是 world 的一部分， 但有其特殊性。 此外， 我们还假定您已经获得了较新版本操作系统的源代码。 如果您正更新的系统中的源代码也是旧版系统所附带的， 您还需要参阅 来把代码同步到较新的版本。 从源代码更新系统， 有时会比初看上去的时候更麻烦一些， 另一方面， &os; 的开发人员有时会不得不修改推荐的更新步骤， 特别是当出现了一些无法避免的依赖关系的时候。 这一节余下的部分， 将介绍目前推荐的更新步骤背后的原理。 成功的更新操作必须解决下面的这些问题： 旧的编译器可能无法编译新的内核。 (另一方面， 旧的编译器很可能有 bug。) 因此， 新的内核应该以新的编译器编译。 更具体地说， 新的编译器应在新内核开始联编之前已经完成了联编步骤。 请注意， 新的编译器并不一定需要在联编新内核之前 安装 到系统中。 新的 world 有可能依赖一些新的内核特性。 因此， 新内核必须在新的 world 之前安装。 这两个问题就是为什么我们将在后面的章节中介绍的， 需要按照 buildworld、 buildkernel、 installkernel、 installworld 的顺序来更新系统的原因。 这并不是您需要遵守推荐的更新操作的全部原因， 除了这两个最重要的理由之外， 还有一些并不那么显而易见的原因： 旧的 world 可能无法配合新的内核正常工作， 因此， 您在安装完新内核之后， 应尽快将 world 也随之更新。 有些配置文件的变动必须在安装新的 world 之前完成， 而另一些配置文件的变动则有可能导致旧 world 工作不正常。 因此， 通常而言会需要两次不同的配置文件更新步骤。 多数情况下， 更新步骤只会替换或增加文件； 换言之， 现有的旧文件并不会被删除。 有时， 这可能会导致一些其他问题。 因此， 有时安装操作会指明， 必须在某些操作之前手工删除一些文件。 这些在未来可能会被自动化， 也可能不会自动化。 由于有这些考虑， 因此一般情况下我们建议使用下列更新步骤。 请注意， 具体的更新操作中可能会需要一些附加的步骤， 但核心的过程应该是不会轻易发生变化的： make buildworld 这步操作会联编新的编译器， 以及少量相关工具， 并在随后使用新的编译器来联编 world。 联编的结果会存放在 /usr/obj。 make buildkernel 与旧式的、 使用 &man.config.8; 和 &man.make.1; 的方法不同， 这种做法会使用存放于 /usr/obj 中的 新的 编译器。 这种做法使得您免去了由于编译器与内核源代码不一致导致的问题。 make installkernel 安装新的内核及其模块， 使系统能够以更新后的内核启动。 重启系统并进入单用户模式。 单用户模式使得更新正在运行的软件可能导致的问题减到最少。 此外， 它也使配合新内核运行旧 world 可能出现的问题减到最少。 mergemaster 这步操作会进行完成安装新的 world 所需的配置文件更新操作。 例如， 它可能会在系统的密码数据库中添加新的用户组或用户。 这些操作通常在上次更新之后增加了新的用户组或特殊系统用户之后是需要的， 因为 installworld 这步操作会需要这些用户或组才能顺利完成。 make installworld 从 /usr/obj 中复制 world。 这步操作之后， 您在盘上的系统， 包括内核和 world 就都是新的了。 mergemaster 更新余下的配置文件， 因为您的 world 已经更新完成了。 重启系统。 这步操作将加在新的内核， 以及新的 world 和更新过的配置文件。 注意， 如果您正从同一 &os; 版本分支升级， 例如， 从 7.0 到 7.1， 则上述过程可能没有那么必要， 因为您不太可能遇到严重的编译器、 内核源代码、 用户态程序源代码或配置文件不匹配的情形。 旧式的 make world 然后再联编新内核的升级方法， 很可能有机会能够正常运作而完成升级工作。 但是， 在大版本升级的过程中， 不按照前面所介绍的操作来进行升级时， 便很可能遇到一些问题。 此外， 还需要注意的是， 有些时候升级的过程中 (例如从 4.X 到 5.0) 可能会需要一些额外的步骤 (例如在 installworld 之前更名或删除一些文件)。 请仔细阅读 /usr/src/UPDATING 这个文件， 特别是它的结尾部分所介绍的推荐的升级操作顺序。 由于开发人员发现不可能完全避免一些不匹配方面的问题， 这个过程一直在演化过程中。 不过幸运的是， 目前推荐的这个升级步骤， 应该能够在很长一段时间内不需要做任何调整。 从 &os; 3.X 或更早的版本进行升级， 是一件非常麻烦的事情； 请务必仔细阅读 UPDATING 之后再开始这类升级。 总结一下， 目前推荐的从源代码升级 &os; 的方法是： &prompt.root; cd /usr/src &prompt.root; make buildworld &prompt.root; make buildkernel &prompt.root; make installkernel &prompt.root; shutdown -r now 有时， 可能需要额外地执行一次 mergemaster -p 才能够完成 buildworld 步骤。 这些要求， 会在 UPDATING 中进行描述。 一般而言， 您可以简单地跳过这一步， 只要进行的不是大跨度的 &os; 版本升级。 在 installkernel 成功完成之后， 您需要引导到单用户模式 (举例而言， 可以在加载器提示后输入 boot -s)。 接下来执行： &prompt.root; adjkerntz -i &prompt.root; mount -a -t ufs &prompt.root; mergemaster -p &prompt.root; cd /usr/src &prompt.root; make installworld &prompt.root; mergemaster &prompt.root; reboot 阅读进一步的说明 前面所给出的， 只是帮助您开始工作的简要说明。 要清楚地理解每一步， 特别是如果打算自行定制内核配置， 就应阅读下面的内容。 阅读 <filename>/usr/src/UPDATING</filename> 在您做其它事之前，请阅读 /usr/src/UPDATING (或在您的源码里的等效的文件)。 这个文件要包含有关于您可能遇到的问题的重要信息， 或指定了您可能使用到的命令的执行顺序。如果 UPDATING 与您这里读到相矛盾，那就先依据 UPDATING。 正如先前所述，阅读 UPDATING 并不能替代订阅正确的邮件列表。两都是互补的，并不彼此排斥。 检查 <filename>/etc/make.conf</filename> make.conf 检查 /usr/share/examples/etc/make.conf 以及 /etc/make.conf。 第一个文件包含了一些默认的定义 – 它们中的绝大多数都注释掉了。 为了在重新编译系统时能够使用它们， 请把这些选项加入到 /etc/make.conf。 请注意在 /etc/make.conf 中的任何设置同时也会影响每次运行 make 的结果， 因此设置一些适合自己系统的选项是一个好习惯。 一般的用户通常会从 /usr/share/examples/etc/make.conf 复制 CFLAGS 和 NO_PROFILE 这样的设置到 /etc/make.conf 中并令它们生效。 请考虑其他的一些选项 (例如 COPTFLAGS、 NOPORTDOCS 等等)， 看看是否合用。 更新 <filename>/etc</filename> 里的文件 /etc 目录包含有除了您的系统启动时执行的脚本外大部分的系统配置信息。 有些脚本随 FreeBSD 的版本而不同。 有些配置文件在天天运行的系统里也是要使用到的。尤其是 /etc/group。 偶尔， 作为安装过程的一部分， make installworld 会要求事先创建某些特定的用户或组。 在进行升级时， 它们可能并不存在。 这会给升级造成问题。 有时， make buildworld 会检查它们是否已经存在。 最近就有个这样的例子， 当时新增了 smmsp 用户。 当用户尝试完成安装操作时， 在 &man.mtree.8; 尝试建立 /var/spool/clientmqueue 时失败了。 解决办法是通过使用 选项以构建前 (pre-buildworld) 模式运行 &man.mergemaster.8;。 这表示只对比那些对于成功执行 buildworld 或 installworld 起关键作用的文件。 在第一次这样做时， 如果使用的是早期的不支持 的 mergemaster 版本的话， 使用源码中的新版本即可。 &prompt.root; cd /usr/src/usr.sbin/mergemaster &prompt.root; ./mergemaster.sh -p 如果您是个偏执狂 (paranoid)， 您可以检查您的系统看看哪个文件属于您已更名或删除了的那个组。 &prompt.root; find / -group GID -print 将显示所有 GID 组 (可以是组名也可以是数字地组 ID)所有的文件。 改为单用户模式 单用户 模式 您可能想在单用户模式下编译系统。 除了对更快处理事情显然有好处外， 重装系统将触及许多重要的系统文件， 包括所有标准系统二进制文件、库文件、包含 (include) 文件等等。 在正运行的系统 (尤其是在有活跃的用户的时候) 中更改这些文件是自寻烦恼。 多用户模式 另一种模式是在多用户模式下编译系统，然后转换到单用户模式下安装。 如果您喜欢这种方式，只需在建立 (build) 完成后才执行下边的步骤。 您推迟转换到单用户模式下直到您必须 installkernel 或 installworld。 从运行的系统里，以超级用户方式执行： &prompt.root; shutdown now 这样就会转换到单用户模式。 除此之外， 也可以重启系统， 并在启动菜单处选择 single user(单用户) 选项。 这样系统将以单用户模式启动。 接着， 在 shell 提示符处执行： &prompt.root; fsck -p &prompt.root; mount -u / &prompt.root; mount -a -t ufs &prompt.root; swapon -a 这会检查文件系统，重新将 / 以读/写模式挂接， 参考 /etc/fstab 挂接其它所有的 UFS 文件系统，然后启用交换区。 如果您的 CMOS 时钟是设置为本地时间，而不是 GMT (如果 &man.date.1; 命令输出不能显示正确的时间和地区也确有其事)， 您可能也需要执行下边的命令： &prompt.root; adjkerntz -i 这样可以确定您正确的本地时区设置—不这样做， 您以后可能会碰到一些问题。 删除 <filename>/usr/obj</filename> 随着重新构建系统的进行， 编译结果会放到 (默认情况下) /usr/obj 下。 这些目录会映射到 /usr/src。 通过删除这个目录， 可以加速 make buildworld 的过程， 并避免相互依赖关系等复杂的问题。 /usr/obj 中的某些文件可能设置了不可改标记 (详情参见 &man.chflags.1;)， 需要首先去掉这些标志。 &prompt.root; cd /usr/obj &prompt.root; chflags -R noschg * &prompt.root; rm -rf * 重新编译基本系统 保存输出 建议把执行 &man.make.1; 后得到的输出存成一个文件。 如果什么地方出了错，您就会有个错误信息的备份。 尽管这样不能帮您分析哪里出了错， 但如果您把您的问题贴到某个邮件列表里就能帮助其他的人。 这样做最简单的办法是使用 &man.script.1; 命令，同是带上参数指定存放输出的文件名。 您应在重建系统之前立即这样做，然后在过程完成时输入 exit。 &prompt.root; script /var/tmp/mw.out Script started, output file is /var/tmp/mw.out &prompt.root; make TARGET … compile, compile, compile … &prompt.root; exit Script done, … 如果您这样做，就 不要 把文件存到 /tmp 里边。下次启动时，这个目录就会被清除掉。 存放的最好地方是 /var/tmp (如上个实例)或 root 的主目录。 编译基本系统 您必须在/usr/src目录里边： &prompt.root; cd /usr/src (当然，除非您的源码是在其它地方，真是这样的话更换成那个目录就行了)。 make 使用 &man.make.1; 命令重建系统。这个命令会从 Makefile (描述组成 &os; 的程序应该怎样被重建， 以什么样的顺序建立等等) 里读取指令。 输入的一般命令格式如下： &prompt.root; make -x -DVARIABLE target 这个例子里， 是会传递给 &man.make.1; 的一个选项。查看 &man.make.1; 手册有您可用的选项例子。 传递一个变量给 Makefile。这些变量控制了 Makefile 的行为。这些同 /etc/make.conf 设置的变量一样， 只是提供了另一种设置它们的方法。 &prompt.root; make -DNO_PROFILE target 是另一种指定不被建立 (built) 的先定库 (profiled libraries) 的方式，协同 /etc/make.conf 里的 NO_PROFILE= true # 避免编译性能分析库 一起使用。 目标 (target) 告诉 &man.make.1; 什么该做。每个 Makefile 定义了一定数量不同的目标 (targets)， 然后您选择的目标就决定了什么会发生。 有些目标列在 Makefile 里的，但并不意味着您要执行。相反，建立过程 (build process) 利用它们把重建系统的一些必要的步骤分割成几个子步骤。 大部分的时间不需要向 &man.make.1; 传递参数，因此您的命令看起来可能象这样： &prompt.root; make target 此处 target 表示的是若干编译选项。 多数情况下， 第一个 target 都应该是 buildworld。 正如名字所暗示的，buildworld 在 /usr/obj 下边建立了一个全新的树， 然后使用另一个 target， installworld 在当前的机器里安装它。 将这些选项分开有两个优点。 首先， 它允许您安全地完成建立 (build)， 而不对正在运行的系统的组件产生影响。 构建过程是 自主的 (self hosted)。 因为这样， 您可以安全地在以多用户模式运行的机器里执行 buildworld ，而不用当心不良影响。 但是依然推荐您在单用户模式时运行 installworld。 第二，允许您使用 NFS 挂接 (NFS mounts) 升级您网络里的多台计算机。如果您有三台 A、B 和 C 想进行升级，在A 执行 make buildworld 和 make installworld。 然后将 A 上的 /usr/src 和 /usr/obj 通过 NFS 挂接到 B 和 C 上， 接下来， 只需在 B 和 C 上使用 make installworld 来安装构建的结果就可以了。 尽管 world target 仍然存在，强烈建议您不要用它。 运行 &prompt.root; make buildworld 我们提供了一个试验性的功能， 可以在构建过程中为 make 指定 参数， 令其在构建过程中同时启动多个并发的进程。 对于多 CPU 的机器而言， 这样做有助于发挥其性能。 不过， 由于编译过程中的瓶颈主要是在 IO 而不是 CPU 上， 因此它也会对单 CPU 的机器带来好处。 对典型的单 CPU 机器， 可以使用： &prompt.root; make -j4 buildworld 这样， &man.make.1; 会最多同时启动 4 个进程。 从发到邮件列表中的经验看， 这样做能带来最佳的性能。 如果您使用的机器有多颗 CPU， 并且配置了 SMP 的内核， 也可以试试看 6 到 10 的数值， 并观察是否能带来构建性能上的改善。 耗时 rebuilding world timings 联编基本系统所需的时间会受到很多因素的影响， 不过， 较新的机器应该都能在一两个小时之内完成 &os.stable; 源代码的构建， 而无须任何技巧或捷径。 完成 &os.current; 源代码的联编， 则通常需要更长一些的时间。 编译和安装新内核 内核 编译 要充分利用您的新系统，您应该重新编译内核。 这是很有必要的，因为特定的内存结构已经发生了改变，像 &man.ps.1; 和 &man.top.1; 这样的程序会不能工作， 除非内核同源码树的版本是一样的。 最简单、最安全的方式是 build 并安装一个基于 GENERIC 的内核。虽然 GENERIC 可能没有适合您的系统的所有必要的设备， 但它包括了启动您的系统到单用户模式所必需的内容。 这是个不错的检测新系统是否工作正常的测试。在从 GENERIC 启动、核实系统可以工作后， 您就可以建立 (build) 一个基于您的正常内核配置文件的新的内核了。 在 &os; 中， 首先完成 build world 然后再编译新内核非常重要。 如果您想建立一个定制内核，而且已经有了配置文件， 只需象这样使用 KERNCONF=MYKERNEL： &prompt.root; cd /usr/src &prompt.root; make buildkernel KERNCONF=MYKERNEL &prompt.root; make installkernel KERNCONF=MYKERNEL 注意，如果您已把 内核安全级别(kern.securelevel) 调高到了 1 以上，而且还设置了 noschg 或相似的标识到了您的内核二进制里边，您可能会发现转换到单用户模式里使用 installkernel 是很有必要的。 如果您没有设置它， 则应该也能毫无问题地在多用户模式执行这两个命令。 请参考 &man.init.8; 以了解更多关于 内核安全级(kern.securelevel) 的信息；查看 &man.chflags.1; 了解更多关于不同文件标识的信息。 重启到单用户模式 单用户模式 您应该单用户模式测试新内核。照处的说明去做。 安装编译好的新系统 如果您正建立一个足以使用 make buildworld 的 &os; 版本，那么您现在应该使用 installworld 来安装新的系统二进制。 执行 &prompt.root; cd /usr/src &prompt.root; make installworld 如果在 make buildworld 的命令行指定了变量，您就必须在 make installworld 命令行里指定同样的变量。 对于其它的选项并不是必需的，如， 就不能同 installworld 一起使用。 举例，您执行了： &prompt.root; make -DNO_PROFILE buildworld 您就必须使用： &prompt.root; make -DNO_PROFILE installworld 来安装结果，否则就要试着安装先定 (profiled) 的在 make buildworld 阶段没有建立 (built) 的二进制文件。 不是由 <command>make installworld</command> 更新的更新文件 重新编译整个系统不会使用新的或改过的配置文件更新某些目录 (尤其像 /etc、/var 和 /usr) 更新这些文件最简单的方式就是使用 &man.mergemaster.8;，手工去做也是可以的，只要您愿意。 不管您选择哪一种，一定记得备份 /etc 以防出错。 Tom Rhodes 贡献者： <command>mergemaster</command> mergemaster &man.mergemaster.8; 工具是个 Bourne 脚本，用于检测 /etc 和 /usr/src/etc 源码树里边的配置文件的不同点。 这是保持系统配置文件同源码树里的一起更新的推荐方式。 在提示符里简单地输入 mergemaster 就可以开始，并观看它的开始过程。mergemaster 会建立一个临时的根(root)环境，在 / 下， 放置各种系统配置文件。这些文件然后同当前安装到您系统里的进行比较。 此时，不同的文件会以 &man.diff.1; 格式进行显示，使用 符号标识增加或修改的行， 标识将完全删除的行或将被替换成新行。查看 &man.diff.1; 手册可以得到更多关于 &man.diff.1; 语法和文件不同点怎样显示的信息。 &man.mergemaster.8; 会给您显示每个文件的不同处， 这样您就可以选择是删除新文件 (相对临时文件)， 是以未改状态安装临时文件，是以当前安装的文件合并临时文件， 还是再看一次 &man.diff.1; 结果。 选择删除临时文件将使 &man.mergemaster.8; 知道我们希望保留我们当前的文件不改，并删除新的。 并不推荐这个选择，除非您没有更改当前文件的理由。任何时候在 &man.mergemaster.8; 提示符里输入 ?，您就会得到帮助。 如果选择跳过文件，将在其它文件处理完后再次进行。 选择安装未修改临时文件将会使新文件替换当前的。 对大部分未改的文件，这是个最好的选择。 选择合并文件将为您打开一个文本编辑器， 里边是两个文件的内容。您现在就可以一边合并它们， 一边在屏幕里查看，同时从两者中选取部分生成最终文件。 当两个文件一起比较时，l 键会选择左边的内容， r 会选择右边的。最终的输出是由两个部分组成的一个文件， 用它就可以安装了。这个选项通常用于用户修改了设置的文件。 选择再次查看 &man.diff.1; 结果将会在提供给选择之前， 显示文件的不同处，就象 &man.mergemaster.8; 所做的一样。 在 &man.mergemaster.8; 完成了对系统文件的处理后， 您会得到其它的选项。&man.mergemaster.8; 可能会问您是否要重建密码文件， 并在最后提示您是否要删除余下的临时文件。 手动更新 如果想要手工更新，但不要只是从 /usr/src/etc 把文件复制到 /etc 就了事。有些文件是必须先安装的。 这是因为 /usr/src/etc 目录并 不是 想像的那样是 /etc 目录的一个复制。事实上，有些是文件是 /etc 有的，而 /usr/src/etc 里边没有。 如果您使用 &man.mergemaster.8; (作为推荐)，您可以向前跳到 下一节。 手工做最简单的方式是安装这些文件到一个新的目录，完成后再来查找不同处。 备份您已有的 <filename>/etc</filename> 虽然，理论上，没有什么会自动访问这个目录， 事情还是做稳操胜当一点。复制已有 /etc 到一个安全的地方，如： &prompt.root; cp -Rp /etc /etc.old 完成递归复制 (译者注：即可以复制目录以下的所有内容)， 保留文件的时间、所属等等。 您需要建立一个虚目录 (a dummy set of directories) 来安装新的 /etc 和其它文件。 /var/tmp/root 是个不错的选择， 除此之外，还有一些子目录是需要的。 &prompt.root; mkdir /var/tmp/root &prompt.root; cd /usr/src/etc &prompt.root; make DESTDIR=/var/tmp/root distrib-dirs distribution 这样就建好了需要的目录结构，然后安装文件。在 /var/tmp/root 下建立的大部分子目录是空的， 而且要删除掉。最简单的方式是： &prompt.root; cd /var/tmp/root &prompt.root; find -d . -type d | xargs rmdir 2>/dev/null 这样会删除所有的空目录。(标准的错误信息被重定向到了 /dev/null，以防止关于非空目录的警告。) /var/tmp/root 现在包含了应放在 / 下某个位置的所有文件。 您现在必须仔细检查每一个文件，检测它们与您已有的文件有多大不同。 注意，有些已经安装在 /var/tmp/root 下的文件有个.在开头。在写的时候，像这样唯一的文件是 /var/tmp/root/ 和 /var/tmp/root/root/ 里 shell 启动文件，尽管可能有其它的(依赖于您什么时候读取这个)。 确信使用 ls -a 可以看到它们。 最简单的方式是使用 &man.diff.1; 去比较两个文件： &prompt.root; diff /etc/shells /var/tmp/root/etc/shells 这会显示出 /etc/shells 文件和新的 /var/tmp/root/etc/shells 文件的不同处。 用这些来决定是合并您已做的变化还是复制您的旧文件过来。 使用日戳 (Time Stamp) 命名新的 Root(根)目录(<filename>/var/tmp/root</filename>)，这样您可以轻松地比较两个版本的不同 频繁重建系统意味着必须频繁更新 /etc，而这可能会有点烦琐。 在合并到 /etc 的文件里， 最新更改的您可以做个复制，由此加快这个(指更新)过程。 下边就给出了一个怎样做的主意。 像平常一样建立系统 (Make the world)。当您想更新 /etc 和其它目录里， 给目标目录一个含有当前日期的名字。假如您是 1998 年 2 月 14 日做的，您可以执行下边的： &prompt.root; mkdir /var/tmp/root-19980214 &prompt.root; cd /usr/src/etc &prompt.root; make DESTDIR=/var/tmp/root-19980214 \ distrib-dirs distribution 如上边列出的，从这个目录合并变化。 在您完成后，不要 删除 /var/tmp/root-19980214 目录。 在您下载了最新版的源码并改过后，执行第一步。 这样将得到一个新的目录，可能叫做 /var/tmp/root-19980221 (如果等了一周做的升级)。 您现在能看到两个目录间的不同了---在隔周的时间里使用 &man.diff.1; 建立递归 diff 产生的不同： &prompt.root; cd /var/tmp &prompt.root; diff -r root-19980214 root-19980221 一般情况下，这两种间的不同处比 /var/tmp/root-19980221/etc 和 /etc 之间的不同要小很多。 因为不同点更小，也就更容易把这些变化移到您的 /etc 目录里边。 您现在可以删除早先的两个 /var/tmp/root-* 目录： &prompt.root; rm -rf /var/tmp/root-19980214 每次您需要合并这些变化到 /etc 里，就重复这个流程。 您可以使用 &man.date.1; 自动产生目录的名称： &prompt.root; mkdir /var/tmp/root-`date "+%Y%m%d"` 重启 现在完成了。在您检查所有内容都放置正确后， 您可以重启系统了。只是简单的 &man.shutdown.8; 可以这样做： &prompt.root; shutdown -r now 结束 恭喜！您现在成功升级了您的 &os; 系统。 如果还有轻微的错误，可以轻易地重建系统的选定部分。 例如，在部分升级或合并 /etc 时，您不小心删除了 /etc/magic，&man.file.1; 命令就会停止工作。这种情况下，执行下边进行修复： &prompt.root; cd /usr/src/usr.bin/file &prompt.root; make all install 问题 每个变化您都须要重建系统吗？ 这个不好说，因为要看变化的情况。如，如果您刚运行了 CVSup，并得到下边更新的文件： src/games/cribbage/instr.c src/games/sail/pl_main.c src/release/sysinstall/config.c src/release/sysinstall/media.c src/share/mk/bsd.port.mk 这就不必重建整个系统。您只需到相关的子目录里执行 make all install，仅此而已。 但是，如果有重大变化，如 src/lib/libc/stdlib， 那么您就要重建系统或至少静态连接的那些部分 (除了您增加的部分都是静态连接的)。 在这天后，就是您的事了。要是说每两个星期重建一下系统的话， 您可能会高兴。或者您可能只想重做改变过的部分， 确信您能找出所有依赖关系。 当然，所有这些依赖于您想升级的频率，和您是否想跟踪 &os.stable; 或 &os.current;。 我的编译失败，并伴随有许多 11 (或其它的数字信息) 号错误。是怎么回事呀？ 信号 11 这个通常表示硬件错误。 (重)建系统是个强压测试系统硬件的有效地方式， 并且常常产生内存错误。 这些正好表示它们自已做为编译器离奇地死于收到的奇怪信息。 一个确信的指示器是如果重新开始 make，并且整个过程中会死在不同的点上。 对于这种情况，您没有什么可做的，除了更换机器里的部件，看是哪一个坏了。 我完成后可以删除 /usr/obj 吗？ 简短地说，可以。 /usr/obj 包含了所有在编译阶段生成的目标文件。通常， 在 make buildworld 过程中第一步之一就是删除这个目录重新开始。 这种情况下，在您完成后，保留 /usr/obj 没有多大意义，还可释放一大堆磁盘空间(通常在 340 MB 左右)。 只是，如果您清楚您在干什么，您可以让 make buildworld 跳过这一步。 这会让后继的 build 执行得更快，因为大部分的源码都不必再进行编译了。 这个的另一面就在于敏感的依赖问题可以潜在， 并以奇怪的方式引起 build 的失败。这在 &os; 邮件列表里经常引起沸腾， 当有人抱怨他们 build 失败时，并没意识到这是因为自已是想抄近路 (意思是说少了些必要的步骤)。 中断的 build 可以被恢复吗？ 依赖于您在您找到问题之前整个过程进行了多远。 一般而言 (当然这并不是硬性规定)， make buildworld 的过程中将会首先构建新版的基本构建工具 (例如 &man.gcc.1;， 以及 &man.make.1;) 和系统库。 随后会安装这些工具和库。 这些新版本的工具和库在随后将被用于重新编译和连接它们本身。 整个系统 (现在包括了常规的用户程序， 例如 &man.ls.1; 或 &man.grep.1;) 会同新版的系统文件一起被重新构建。 如果您正处于最后一个阶段， 并且了解它 (因为您已经看过了所保存的输出) 则可以 (相当安全地) 做： … 问题修复 … &prompt.root; cd /usr/src &prompt.root; make -DNO_CLEAN all 这样就不会取消先前的 make buildworld 所做的工作了。 在make buildworld的输出中如果看到如下信息： -------------------------------------------------------------- Building everything.. -------------------------------------------------------------- 出现在 make buildworld 的输出中， 则这样做应该不会有什么问题。 如果没有看到这样的信息， 或者您不确定， 则从头开始构建将是万无一失的做法。 我怎样加快建立系统的速度？ 以单用户模式运行 把 /usr/src 和 /usr/obj 目录放到不同磁盘里的独立文件系统里。如果可能，这些磁盘在不同的磁盘控制器里。 更好的，是把这些文件系统放置到多个使用 &man.ccd.4; (连接磁盘驱动器--concatenated disk driver)设备的磁盘里。 关掉 profiling (在 /etc/make.conf 里设置 NO_PROFILE=true)。您差不多用不了它。 在 /etc/make.conf 里也为 CFLAGS 设置上 。 最佳优化 会更慢，而且 和 之间的优化差别基本上可以忽略。 让编译器使用管道而不用临时文件进行通信， 这样可以减少磁盘存取 (以内存作为代价)。 传递 选项给 &man.make.1; 以便并发运行多个进程。 这样就不会考虑您的是否是单个或多个处理器机器。 存放 /usr/src 的文件系统可以使用 选项来挂接 (或重新挂接)。 这样会防止文件系统记录文件的存取时间。 您可能并不需要这些信息。 &prompt.root; mount -u -o noatime /usr/src 这个例子里假定 /usr/src 是在它自已的文件系统里。如果不是 (例如假设它是 /usr 的部分)，那么您就需要那个文件系统挂接点， 而不是 /usr/src。 存放 /usr/obj 的文件系统可以使用 选项被挂接 (或重新挂接)。 这样做将启用异步写盘。 换句话说， 对应用程序而言写会立即完成， 而数据则延迟几秒才会写到盘里。 这样做能够成批地写下数据， 从而极大地改善性能。 注意， 这个选项会使您的文件系统变得脆弱。 使用这个选项会提高在电源断掉或机器非正常重启时， 文件系统进入不可恢复状态的概率。 如果在这个文件系统里 /usr/obj 是很关键的，这不是问题。如果您有其它有价值的数据在同一个文件系统， 那么在您使用这个选项这前，确认备份一下。 &prompt.root; mount -u -o async /usr/obj 同上，如果 /usr/obj 不在自已的文件系统里，使用相关挂接点的名字把它从例子里边替换掉。 如果出现了错误我该怎么办？ 绝对确信您的环境没有先前 build 留下的残余。这点够简单。 &prompt.root; chflags -R noschg /usr/obj/usr &prompt.root; rm -rf /usr/obj/usr &prompt.root; cd /usr/src &prompt.root; make cleandir &prompt.root; make cleandir 不错，make cleandir 真的要执行两次。 然后重新开始整个过程，使用 make buildworld 开始。 如果您还有问题，就把错误和 uname -a 的输出发送到 &a.questions; 邮件列表。准备回答其它关于您的设置的问题！ Mike Meyer 贡献者 跟踪多台机器 NFS 安装多台机器 如果您有多台机器想跟踪同样的源码树， 那么让它们都下载源码并重建所有东西，看起有点浪费资源： 磁盘空间、网络带宽以及 CPU 周期。 解决的办法是让一台机器处理大部分的工作，而其它的机器通过 NFS 挂接 (mount) 这些工作。这部分列举了一种这样做的方法。 准备 首先，确定一批机器，运行的二进制代码是同一套---我们称作 构建集群 (build set)。 每台机器可以使用不同的定制内核， 但它们运行的是相同的用户区二进制文件(userland binaries)。 从这批机器中选择一台机器做为 构建机器(build machine)。 这将是用于构建(build)系统和内核的机器。想像一下，它应该是一台快速的机器， 有足够的空余的 CPU 来执行make buildworld。 您也想要选一台机器做为 测试机器(test machine)， 这个将用于软件的更新生成产品之前对他们进行测试。这个 必须 是一台您能提供的平时也可使用的机器。 它可以是构建机器，但没这个必要。 在这个构建集群里的所有机器需要从同一台机器、 同一个点上挂接 /usr/obj 和 /usr/src。理想地， 它们在构建机器上的两个不同的驱动器里， 但是在那台机器上可以进行 NFS 挂接。如果您有多个构建集群， /usr/src 应该在某个构建机器上， 而在其它机器上进行 NFS 挂接。 最后，确认构建集群里所有机器上的 /etc/make.conf 和 /etc/src.conf 与构建机器里的相同。 这意味着构建机器必须构建部分基本系统用于 构建集群里所有机器的安装。同样， 每台构建机器要有它自已的内核名字，使用 /etc/make.conf 里的 KERNCONF 进行设置，并且每台构建机器应该把它们列在 KERNCONF 里，同时把自已的内核列在最前。 构建机器的 /usr/src/sys/arch/conf 里一定要有每台机器的内核配置文件，如果它想构建它们的内核的话。 基本系统 既然所有的妥当了，就准备构建所有的东西。如中描述的一样在构建机器上构建内核和系统， 但是什么也不安装。在构建结束后，转到测试机器上， 安装您刚构建的内核。如果这台机器通过 NFS 挂接了 /usr/src 和 /usr/obj， 在您重启到单用户模式里，您需要启动网络然后挂接他们。 最简单的方式是启动到多用户模式下，然后执行 shutdown now 转到单用户模式。一旦进入，您就可以安装新的内核和系统，并执行 mergemaster，就像平常一样。完成后， 重启返回到一般多用户模式操作这台机器。 在您确信所有在 测试机里都工作正常后， 就使用相同的过程在 构建集群里的其它机器里安装新的软件。 Ports 类似的想法是使用 ports 树。 第一个关键的步骤是从同一台计算机上挂接 /usr/ports 到 构建集群 里的全部计算机。 然后正确设置 /etc/make.conf 共享 distfiles。您应把 DISTDIR 设置到一个共享的目录里， 那里可以被任何一个 root 用户写入， 并且是由您的 NFS 挂接映射的。 设置每一台机器的 WRKDIRPREFIX 到一个本地构建 (build) 目录。最后，如果您要构建和发布包 (packages)，那么您应该设置 PACKAGES 到一个类似于 DISTDIR 的目录。 diff --git a/zh_CN.GB2312/books/handbook/desktop/chapter.sgml b/zh_CN.GB2312/books/handbook/desktop/chapter.sgml index 331182050a..1b323108f3 100644 --- a/zh_CN.GB2312/books/handbook/desktop/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/desktop/chapter.sgml @@ -1,1042 +1,1084 @@ Christophe Juniet Contributed by 桌面应用 概述 FreeBSD 可以运行种类繁多的桌面应用程序， 这包括像浏览器和字处理这样的软件。 绝大多数这样的程序都可以通过 package 来安装， 或者从 Ports Collection 自动地构建。 许多新用户希望能够在它们的系统中找到这样的应用程序。 这一章将向您展示如何轻松地使用 package 或者 Ports Collection 中安装这样的软件。 需要注意的是从 ports 安装意味着要编译源码。 根据编译的 ports 和电脑速度的不同， 这可能需要花费相当长的时间。 若是您觉得编译源码太过耗时的话， 绝大多数 ports 也有预编译的版本可供安装。 因为 FreeBSD 提供的二进制兼容 Linux 的特性， 许多原本为 Linux 开发的程序都可以直接用在您的桌面。 在安装任何的 Linux 应用程序之前， 强烈的推荐您阅读 。 当您在寻找特定的 ports 时， 可以使用 &man.whereis.1;。 一般来说， 许多利用 Linux 二进制兼容特性的 ports 都以linux-开头。 在下面的介绍中，都假设安装 Linux 应用程序前已经开启了 Linux 二进制兼容功能。 本章涵盖以下种类应用程序： 浏览器 (例如 Firefox、 Opera、 Konqueror) 办公、图象处理 (例如 KOffice、 AbiWord、 GIMP、 OpenOffice.org) 文档查看 (例如 &acrobat.reader;、 gv、 Xpdf、 GQview) 财务 (例如 GnuCash、 Gnumeric、 Abacus) 阅读这章之前，您应该： 知道如何安装额外的第三方软件()。 知道如何安装 Linux 软件()。 想要获得更多的有关多媒体环境的信息，请阅读 。如果您想要建立和使用电子邮件， 请参考。 浏览器 浏览器 web FreeBSD并没有预先安装特定的浏览器。然而，在 ports 的目录 www 有许多浏览器可以安装。如果您没有时间一一编译它们 (有些时候这可能需要花费相当长的时间) 大部分都有 package 可用。 KDE 和 GNOME 已经提供 HTML 浏览器。 请参考得到更多完整的有关设定这些桌面环境的信息。 如果您要找小型的浏览器， 可以试试看 - www/dillo、 + www/dillo2、 www/links 或 www/w3m。 这一节涉及如下程序： 程序名称 资源需求 安装时间 主要依赖 Firefox 中等 长 Gtk+ Opera 少 轻松 同时有可用的 FreeBSD 和 Linux 版本。 Linux 版本需要使用 Linux 二进制兼容模块和 linux-openmotif。 Firefox 中等 长 Gtk+ Konqueror 中等 长 需要 KDE 库 Firefox Firefox Firefox 是一个现代， 自由， 开放源代码稳定的浏览器， 并完全移植到了 &os; 上： 它的特性包括有一个非常标准的 HTML 显示引擎， 标签式浏览， 弹出窗口阻止， 扩展插件， 改进的安全性， 等等。 Firefox 是基于 Mozilla 的代码。 您可以通过输入下面的命令来安装预编译的包： &prompt.root; pkg_add -r firefox 这将会安装 Firefox 2.X， 如果你希望运行 Firefox 3.X， 则执行如下的命令： &prompt.root; pkg_add -r firefox3 如果你希望从源代码编译的话， 可以通过 Ports Collection 安装： &prompt.root; cd /usr/ports/www/firefox &prompt.root; make install clean For Firefox 3.X, in the previous command replace firefox with firefox3. Firefox 与 &java; 插件 在这一节和下一节中， 我们均假定您已经安装了 Firefox。 &os; 基金会拥有来自 Sun Microsystems 的关于发布针对 &os; 的预编译版本的 Java 运行环境 (&jre;) 和 Java 开发包 (&jdk;) 的授权。 用于 &os; 的预编译版本可以在 &os; 基金会 网站上找到。 要为 Firefox 添加 &java; 支持，您必须首先安装 java/javavmwrapper port。 接下来， 从 下载 Diablo &jre; 软件包， 并使用 &man.pkg.add.1; 来安装它。 启动浏览器， 并在地址栏中输入 about:plugins 然后按 Enter。 浏览器将给出一个页面， 其中会显示已经安装的插件， 您应在这个列表中找到 &java; - 插件。 如果不是这样的话， 则需要以 - root 身份执行下列命令： + 插件。 如果不是这样的话， 每个用户则需要运行如下命令： - &prompt.root; ln -s /usr/local/diablo-jre1.6.0/plugin/i386/ns7/libjavaplugin_oji.so \ - /usr/local/lib/browser_plugins/ + &prompt.user; ln -s /usr/local/diablo-jre1.6.0/plugin/i386/ns7/libjavaplugin_oji.so \ + $HOME/.mozilla/plugins/ + + or, if you installed the Diablo + &jdk; package: + + &prompt.user; ln -s /usr/local/diablo-jdk1.6.0/jre/plugin/i386/ns7/libjavaplugin_oji.so \ + $HOME/.mozilla/plugins/ 然后重新启动浏览器。 Firefox 与 ¯omedia; &flash; 插件 Flash ¯omedia; &flash; 插件并没有直接提供其 &os; 版本。 不过， 我们有一个软件层 (wrapper) 可以用来运行 Linux 版本的插件。 这个 wrapper 也支持 &adobe; &acrobat;、 RealPlayer 和很多其他插件。 - - 以下的章节涵盖了在近期 -STABLE 分支， &os; 7.1-RELEASE - 及以上的版本安装 &flash; 9.X。 如果你正在使用一个旧版本的 &os; - 或者遇到了问题， 你应该安装 - www/linux-flashplugin7 - 并跳过 &man.linprocfs.5; 的部分。 - - - 应安装 www/nspluginwrapper - port， 这个 port 需要依赖一个很大的 port - emulators/linux_base。 - - 下一步是安装 www/linux-flashplugin9 port。 - 一旦装好了这个插件，需要用户运行一下 - nspluginwrapper 命令： + 根据你 &os; 版本的不同选择相应的安装步骤： + + + + &os; 7.X + + 安装 www/nspluginwrapper port。 + 这个 port 需要安装一个较大的emulators/linux_base-fc4 + port。 + + 下一步是安装 www/linux-flashplugin9 + port。 这将会安装 &flash; 9.X， 此版本目前能在 &os; 7.X + 上正常运行。 + + + 在比 &os; 7.1-RELEASE 更旧版本的系统上， + 你必须安装 www/linux-flashplugin7 + 并跳过以下 &man.linprocfs.5; 的部份。 + + + + + &os; 8.X + + 安装 www/nspluginwrapper port。 + 这个 port 需要安装一个较大的emulators/linux_base-f10 + port。 + + 下一步是安装 www/linux-f10-flashplugin10 port。 + 这将会安装 &flash; 10.X， 此版本目前能在 &os; 8.X + 上正常运行。 + + 这个版本需要创建一个符号链接： + + &prompt.root; ln -s /usr/local/lib/npapi/linux-f10-flashplugin/libflashplayer.so \ + /usr/local/lib/browser_plugins/ + + + + Once the right &flash; port, according to the &os; version + you run, + is installed, the plugin must be installed by each + user with nspluginwrapper: + 按照 &os; 版本， 在安装了正确的 &flash; port 之后， + 插件必须由每个用户运行 nspluginwrapper + 安装： &prompt.user; nspluginwrapper -v -a -i 如果希望播放 &flash; 动画的话，&linux; 的进程文件系统， &man.linprocfs.5; 必须挂载于 /usr/compat/linux/proc。 可以通过以下的命令实现： &prompt.root; mount -t linprocfs linproc /usr/compat/linux/proc 这也可以在机器启动时自动挂载， 把以下这行加入 /etc/fstab： linproc /usr/compat/linux/proc linprocfs rw 0 0 然后就可以打开浏览器， 并在地址栏中输入 about:plugins 然后按下 Enter。 这将显示目前可用的插件列表。 Firefox and Swfdec &flash; Plugin Swfdec 是一个用以解码和渲染 &flash; 动画的库。 Swfdec-Mozilla 是一个使用了 Swfdec 库让 Firefox 能播放 SWF 文件的插件。它目前仍处于开发状态。 如果你不能或者不想编译安装，可以通过网络安装二进制包： &prompt.root; pkg_add -r swfdec-plugin 如果二进制包还不可用，你可以通过 Ports Collection 编译安装： &prompt.root; cd /usr/ports/www/swfdec-plugin &prompt.root; make install clean 然后重启你的浏览器使得这个插件生效。 Opera Opera Opera 是一个功能齐全， 并符合标准的浏览器。 它还提供了内建的邮件和新闻阅读器、 IRC 客户端， RSS/Atom feed 阅读器以及更多功能。 除此之外， Opera 是一个比较轻量的浏览器， 其速度很快。 它提供了两种不同的版本： native FreeBSD 版本， 以及通过 Linux 模拟运行的版本。 要使用 Opera 的 FreeBSD 版本来浏览网页，安装以下的 package： &prompt.root; pkg_add -r opera 有些 FTP 站点没有所有版本的 package， 但仍然可以通过 Ports 套件来安装 Opera： &prompt.root; cd /usr/ports/www/opera &prompt.root; make install clean 要安装 Linux 版本的 Opera，将上面例子中的 opera 替换为 linux-opera。Linux 版本在某些情况下非常有用，象是使用只有 Linux 版本的插件，例如 Adobe &acrobat.reader;。就其它方面来说， FreeBSD 和 Linux 版本的功能是完全一样的。 Konqueror Konqueror Konqueror 是 KDE 的一部分，不过也可以通过安装 x11/kdebase3 在非 KDE 环境下使用。 Konqueror 不止是一个浏览器， 也是一个文件管理器和多媒体播放器。 也有种类丰富的插件能够配合 Konqueror 一起使用， 您可以通过 misc/konq-plugins 来安装它们。 Konqueror 也支持 &flash;； 关于如何获得用于 Konqueror 的 &flash; 支持的 How To 文档 可以在 找到。 办公、图象处理 当需要进行办公或者进行图象处理时， 新用户通常都会找一些好用的办公套件或者字处理软件。 尽管目前有一些 桌面环境， 如 KDE 已经提供了办公套件， 但目前这还没有一定之规。 无论您使用那种桌面环境， FreeBSD 都能提供您需要的软件。 这节涉及如下程序： 软件名称 资源需求 安装时间 主要依赖 KOffice 少 多 KDE AbiWord 少 少 Gtk+ 或 GNOME The Gimp 少 长 Gtk+ OpenOffice.org 多 长 &jdk; 1.4、 Mozilla KOffice KOffice 办公套件 KOffice KDE 社区提供了一套办公套件， 它能用在桌面环境。它包含四个标准的组件，这些组件可以在其它办公套件中找到。 KWord 是字处理程序、 KSpread 是电子表格程序、 KPresenter 是演示文档制作管理程序、 Kontour是矢量绘图软件。 安装最新的 KOffice 之前，先确定您是否安装了最新版的 KDE。 使用 package 来安装 KOffice，安装细节如下： &prompt.root; pkg_add -r koffice 如果没有可用的 package，您可以使用 Ports Collection 安装。 安装 KDE3 的 KOffice 版本，如下： &prompt.root; cd /usr/ports/editors/koffice-kde3 &prompt.root; make install clean AbiWord AbiWord AbiWord 是一个免费的字处理程序，它看起来和 µsoft; Word 的感觉很相似。 它适合用来打印文件、信函、报告、备忘录等等， 它非常快且包含许多特性，并且非常容易使用。 AbiWord 可以导入或输出很多文件格式， 包括一些象 µsoft; .doc 这类专有格式的文件。 AbiWord 也有 package 的安装方式。您可以用以下方法安装： &prompt.root; pkg_add -r abiword 如果没有可用的 package，它也可以从 Ports Collection 编译。ports collection 应该是最新的。它的安装方式如下： &prompt.root; cd /usr/ports/editors/abiword &prompt.root; make install clean GIMP GIMP 对图象的编辑或者加工， GIMP 是一个非常精通图象处理的软件。 它可以被用来当作简单的绘图程序或者一个专业的照片处理套件。 它支持大量的插件和具有脚本界面的特性。 GIMP 可以读写众多的文件格式， 支持扫描仪和手写板。 您可以用下列命令安装： &prompt.root; pkg_add -r gimp 如果您在 FTP 站点没有找到这个 package，您也可以使用 Ports Collection 的方法安装。ports 的 graphics 目录也包含有 Gimp 手册。 以下是安装它们的方法： &prompt.root; cd /usr/ports/graphics/gimp &prompt.root; make install clean &prompt.root; cd /usr/ports/graphics/gimp-manual-pdf &prompt.root; make install clean Ports 中的 graphics 目录也有开发中的 GIMP 版本 graphics/gimp-devel。 HTML 版本的 Gimp 手册 可以在 graphics/gimp-manual-html 找到。 OpenOffice.org OpenOffice.org 办公套件 OpenOffice.org OpenOffice.org 包括一套完整的办公套件： 字处理程序、 电子表格程序、 演示文档管理程序和绘图程序。 它和其它的办公套件的特征非常相似，它可以导入输出不同的流行的文件格式。 它支持许多种语言 — 国际化已经渗透到了其界面、 拼写检查和字典等各个层面。 OpenOffice.org 的字处理程序使用 XML 文件格式使它增加了可移植性和灵活性。 电子表格程序支持宏语言和使用外来的数据库界面。 OpenOffice.org 已经可以平稳的运行在 &windows;、&solaris;、Linux、FreeBSD 和 &macos; X 等各种操作系统下。 更多的有关 OpenOffice.org 的信息可以在 OpenOffice.org 网页 找到。 对于特定的 FreeBSD 版本的信息，您可以在直接在 FreeBSD OpenOffice 移植团队的页面下载。 安装 OpenOffice.org 方法如下： &prompt.root; pkg_add -r openoffice.org 如果您正在使用 &os; 的 -RELEASE 版本， 一般来说这样做是没问题的。 如果不是这样， 您就可能需要看一看 &os; OpenOffice.org 移植小组的网站， 并使用 &man.pkg.add.1; 从那里下载并安装合适的软件包。 最新的发布版本和开发版本都可以在那里找到。 装好 package 之后， 您只需输入下面的命令就能运行 OpenOffice.org 了： &prompt.user; openoffice.org 在第一次运行时， 将询问您一些问题， 并在您的主目录中建立一个 .openoffice.org2 目录。 如果没有可用的 OpenOffice.org package，您仍旧可以选择编译 port。然而， 您必须记住它的要求以及大量的磁盘空间和相当长的时间编译。 &prompt.root; cd /usr/ports/editors/openoffice.org-2 &prompt.root; make install clean 如果希望联编一套进行过本地化的版本， 将前述命令行改为： &prompt.root; make LOCALIZED_LANG=your_language install clean 您需要将 your_language 改为正确的 ISO-代码。 所支持的语言代码可以在 files/Makefile.localized 文件中找到， 这个文件位于 port 的目录。 一旦完成上述操作， 就可以通过下面的命令来运行 OpenOffice.org 了： &prompt.user; openoffice.org 文档查看器 &unix; 系统出现以来， 一些新的文档格式开始流行起来； 它们所需要的标准查看器可能不一定在系统内。 本节中， 我们将了解如何安装它们。 这节涵盖如下应用程序: 软件名称 资源需求 安装时间 主要依赖 &acrobat.reader; 少 少 Linux二进制兼容 gv 少 少 Xaw3d Xpdf 少 少 FreeType GQview 少 少 Gtk+ 或 GNOME &acrobat.reader; Acrobat Reader PDF 查看器 现在许多文档都用 PDF 格式， 根据轻便小巧文档格式的定义。一个被建议使用的查看器是 &acrobat.reader;，由 Adobe 所发行的 Linux 版本。因为 FreeBSD 能够运行 Linux 二进制文件， 所以它也可以用在 FreeBSD 中。 要从 Ports collection 安装 &acrobat.reader; 7， 只需： &prompt.root; cd /usr/ports/print/acroread7 &prompt.root; make install clean 由于授权的限制， 我们不提供预编译的版本。 gv gv PDF 查看器 PostScript 查看器 gv 是 &postscript; 和 PDF 文件格式查看器。它源自 ghostview 因为使用 Xaw3d 函数库让它看起来更美观。 它很快而且界面很干净。gv 有很多特性比如象纸张大小、刻度或者抗锯齿。 大部分操作都可以只用键盘或鼠标完成。 安装 gv package，如下： &prompt.root; pkg_add -r gv 如果您无法获取预编译的包， 则可以使用 Ports collection： &prompt.root; cd /usr/ports/print/gv &prompt.root; make install clean Xpdf Xpdf PDF 查看器 如果您想要一个小型的 FreeBSD PDF 查看器， Xpdf 是一个小巧并且高效的查看器。 它只需要很少的资源而且非常稳定。它使用标准的 X 字体并且不需要 &motif; 或者其它的 X 工具包。 安装 Xpdf package，使用如下命令： &prompt.root; pkg_add -r xpdf 如果 package 不可用或者您宁愿使用 Ports Collection，如下： &prompt.root; cd /usr/ports/graphics/xpdf &prompt.root; make install clean 一旦安装完成，您就可以启动 Xpdf 并且使用鼠标右键来使用菜单。 GQview GQview GQview 是一个图片管理器。 您可以单击鼠标来观看一个文件、开启一个外部编辑器、 使用预览和更多的功能。它也有幻灯片播放模式和一些基本的文件操作。 您可以管理采集的图片并且很容易找到重复的。 GQview 可以全屏幕观看并且支持国际化。 如果您想要安装 GQview package，如下： &prompt.root; pkg_add -r gqview 如果您没有可用的 package 或者您宁愿使用 Ports Collection，如下： &prompt.root; cd /usr/ports/graphics/gqview &prompt.root; make install clean 财务 假如，基于任何的理由，您想要在 FreeBSD Desktop 管理您个人的财政，有一些强大并且易于使用的软件可以被您选择安装。 它们中的一些与流行的文件格式兼容象 Quicken 和 Excel 文件。 本节涵盖如下程序： 软件名称 资源需求 安装时间 主要依赖 GnuCash 少 长 GNOME Gnumeric 少 长 GNOME Abacus 少 少 Tcl/Tk KMyMoney 少 长 KDE GnuCash GnuCash GnuCash 是 GNOME 的一部分，GNOME 致力于为最终用户提供用户友好且功能强大的软件。使用 GnuCash，您可以关注您的收入和开支、您的银行帐户， 或者您的股票。它的界面特性看起来非常的专业。 GnuCash 提供一个智能化的注册、帐户分级系统、 很多键盘快捷方式和自动完成方式。它能分开一个单个的处理到几个详细的部分。 GnuCash 能导入和合并 Quicken QIF 文件格式。 它也支持大部分的国际日期和流行的格式。 在您的系统中安装 GnuCash 所需的命令如下： &prompt.root; pkg_add -r gnucash 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/finance/gnucash &prompt.root; make install clean Gnumeric Gnumeric 电子表格 Gnumeric Gnumeric 是一个电子表格程序， GNOME 桌面环境的一部分。 它以通过元素格式和许多片断的自动填充系统来方便的自动猜测用户输入而著称。 它能导入一些流行的文件格式，比如象 Excel、 Lotus 1-2-3 或 Quattro Pro。 Gnumeric 凭借 math/guppi 支持图表。 它有大量的嵌入函数和允许所有通常比如象、数字、货币、日期、 时间等等的一些单元格式。 以 package 方式安装 Gnumeric 的方法如下： &prompt.root; pkg_add -r gnumeric 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/math/gnumeric &prompt.root; make install clean Abacus Abacus spreadsheet Abacus Abacus 是一个小巧易用的电子表格程序。 它包含许多嵌入函数在一些领域如统计学、财务和数学方面很有帮助。 它能导入和输出 Excel 文件格式。 Abacus 可以产生 &postscript; 输出。 以 package 的方式安装 Abacus 的方法如下： &prompt.root; pkg_add -r abacus 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/deskutils/abacus &prompt.root; make install clean KMyMoney KMyMoney spreadsheet KMyMoney KMyMoney 是一个 KDE环境下的个人财务管理软件。 KMyMoney 旨在提供并融合各种商业财务管理软件所有的重要特性。 它也同样注重易用性和特有的复式记帐功能。 KMyMoney 能从标准的 Quicken Interchange Format (QIF) 文件导入数据， 追踪投资，处理多种货币并能提供一个财务报告。 另有可用的插件支持导入 OFX 格式的数据。 以 package 的方式安装 KMyMoney 的方法如下： &prompt.root; pkg_add -r kmymoney2 如果 package 不可用，您可以使用 Ports Collection 安装： &prompt.root; cd /usr/ports/finance/kmymoney2 &prompt.root; make install clean 总结 尽管 FreeBSD 由于其高性能和可靠性而获得了许多 ISP 的信赖， 但它也完全可以用于桌面环境。 拥有数以千计的 packages 和 ports 能够帮您迅速建立完美的桌面环境。 下面是本章涉及到的所有的软件的简要回顾： 软件名称 Package 名称 Ports 名称 Opera opera www/opera Firefox firefox www/firefox KOffice koffice-kde3 editors/koffice-kde3 AbiWord abiword editors/abiword The GIMP gimp graphics/gimp OpenOffice.org openoffice editors/openoffice-1.1 &acrobat.reader; acroread print/acroread7 gv gv print/gv Xpdf xpdf graphics/xpdf GQview gqview graphics/gqview GnuCash gnucash finance/gnucash Gnumeric gnumeric math/gnumeric Abacus abacus deskutils/abacus KMyMoney kmymoney2 finance/kmymoney2 diff --git a/zh_CN.GB2312/books/handbook/disks/chapter.sgml b/zh_CN.GB2312/books/handbook/disks/chapter.sgml index 8636f5742f..663d2feaac 100644 --- a/zh_CN.GB2312/books/handbook/disks/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/disks/chapter.sgml @@ -1,3675 +1,3670 @@ 存储 概述 这章介绍了 FreeBSD 中磁盘的使用方法。包括内存盘， 网络附属磁盘和标准的 SCSI/IDE 存储设备，以及使用 USB 的设备。 读完这章，您将了解到： FreeBSD 中用来描述硬盘上数据组织的术语 (partitions and slices)。 如何在您的系统上增加硬盘。 如何配置 &os; 来使用 USB 存储设备。 如何设置虚拟文件系统，例如内存磁盘。 如何使用配额来限制磁盘空间的使用。 如何增加磁盘安全来预防功击。 如何刻录 CD 和 DVD 。 用于备份的多种存储媒介。 如何在 FreeBSD 上使用备份程序。 如何备份到软磁盘。 文件系统快照是什么， 以及如何有效地使用它们。 在读这章之前，您应该： 知道怎样去配置和安装新的 FreeBSD 内核 (). 设备命名 下面是在 FreeBSD 上被支持的物理存储设备和它们被分配的设备名。 物理磁盘命名规则 驱动器类型 驱动设备命名 IDE 硬盘驱动器 ad IDE CDROM 驱动器 acd SCSI 硬盘以及 USB 大容量存储设备 da SCSI CDROM 驱动器 cd 各类非标准 CDROM 驱动器 用于 Mitsumi CD-ROM 的 mcd 以及用于 Sony CD-ROM 驱动器的 scd Floppy drives fd SCSI tape drives sa IDE tape drives ast Flash drives fla for &diskonchip; Flash device RAID drives aacd for &adaptec; AdvancedRAID, mlxd and mlyd for &mylex;, amrd for AMI &megaraid;, idad for Compaq Smart RAID, twed for &tm.3ware; RAID.
David O'Brien Originally contributed by 添加磁盘 磁盘 添加 假设我们要给一台只有一个磁盘的机器增加一个新的 SCSI 磁盘。首先 需要关掉计算机，然后按操作规程来安装驱动器，控制器和驱动程序。由于 各厂家生产的产品各不相同，具体的安装细节不在此文档介绍之内。 以 root 用户登录。安装完驱动后，检查一下 /var/run/dmesg.boot 有没有找到新的磁盘。在我们 的例子中新增加的磁盘就是 da1，我们从 /1 挂上它。 (如果您正添加 IDE 驱动器， 则设备名应该是 ad1)。 partitions slices fdisk 因为 FreeBSD 运行在 IBM-PC 兼容机上，它必须遵循 PC BIOS 分区规范。 这与传统的 BSD 分区是不同的。一个 PC 的磁盘最高只能有四个 BIOS 主分区。如果磁盘只安装 FreeBSD 您可以使用 dedicated 模式。另外， FreeBSD 必须安装在 PC BIOS 支持的分区内。FreeBSD 把分区叫作 slices 这可能会把人搞糊涂。您也可以在只安装 FreeBSD 的磁盘上使用 slices，也可以在安装有其它操作系统的磁盘上使用 slices。这不会影响其它操作系统的 fdisk 分区工具。 在 slice 方式表示下，驱动器被添加到 /dev/da1s1e。 可以读作：SCSI 磁盘，编号为 1 (第二个SCSI 磁盘)， slice 1 (PC BIOS 分区 1)， 的 BSD 分区 e 。在有些例子中，也可以简化为 /dev/da1e。 由于 &man.bsdlabel.8; 使用 32-位 的整数来表示扇区号， 因此在多数情况下它的表现力限于每个磁盘 2^32-1 个扇区或 2TB。 &man.fdisk.8; 格式允许的起始扇区号不能高于 2^32-1 而分区长度也不能大于 2^32-1， 通常情况下这限制了分区大小最大为 2TB 而磁盘大小则是 4TB。 &man.sunlabel.8; 格式的限制是每个分区 2^32-1 个扇区， 但允许 8 个分区因此最大支持 16TB 的磁盘。 要使用更大的分区， 则应使用 &man.gpt.8;。 使用 &man.sysinstall.8; sysinstall adding disks su 使用 <application>Sysinstall</application> 您可以使用 sysinstall 命令的菜单来分区和标记一个新的磁盘。 这一操作需要有 root 权限， 您可以直接使用 root 账户登录或者使用 su 命令来切换到 root 用户。运行 sysinstall ，然后选择 Configure 菜单。在 FreeBSD Configuration Menu 下，上下滚动， 选择 Fdisk 条目。 <application>fdisk</application> 分区编辑器 进入 fdisk 分区编辑器后，选择 A ，FreeBSD 将使用全部的磁盘。当被告知 remain cooperative with any future possible operating systems时，回答 YES。使用 W 保存刚才的修改。现在使用 Q 退出 FDISK 编辑器。下面会看到有关 主引导区 的信息。 现在您已经在运行的系统上添加了一个磁盘， 因此应该选择 None。 Disk Label 编辑器 BSD partitions 接下来，您应该退出 sysinstall 并且再次启动它，并按照上面的步骤直接进入 Label 选项。进入 磁盘标签编辑器。 这就是您要创建的 BSD 分区。一个磁盘最多可以有 8 个分区，标记为 a-h。有几个分区标签有特殊的用途。 a 分区被用来作为根分区(/)。 系统磁盘（例如：从那儿启动的分区）必须有一个 a 分区。b 分区被用作交换分区，可以用很多磁盘用作交 换分区。 c 分区代表整个硬盘，或在 FreeBSD slice 模式下代表整个 slice。其它分区作为一般分区来使用。 sysinstall 的标签编辑器用 e 表示非 root 和非 swap 分区。在标签编辑器中，可以使用键入 C 创建一个文件系统。当提示这是否是一个 FS（文件系统）或 swap 时，选择 FS，然后给出一个加载点（如： /mnt）。 当在 post-install 模式时添加一个磁盘， sysinstall 不会在 /etc/fstab 中创建记录，所以是否指定加载点并不重要。 现在已经准备把新标签写到磁盘上，然后创建一个文件系统，可以按下 W。出现任何错误都会不能创建新的分区。可以退出标签编辑 器然后重新执行 sysinstall 。 完成 下面一步就是编辑 /etc/fstab，为您的磁盘添加一个新 记录。 使用命令行工具 使用 Slices 这步安装将允许磁盘与可能安装在您计算机上的其它操作系统一起 正确工作，而不会搞乱其它操作系统的分区。推荐使用这种方法来安装 新磁盘，除非您有更好的理由再使用 dedicated 模式！ &prompt.root; dd if=/dev/zero of=/dev/da1 bs=1k count=1 &prompt.root; fdisk -BI da1 #初始化新磁盘 &prompt.root; bsdlabel -B -w da1s1 auto #加上标签 &prompt.root; bsdlabel -e da1s1 # 现在编辑您刚才创建的磁盘分区 &prompt.root; mkdir -p /1 &prompt.root; newfs /dev/da1s1e # 为您创建的每个分区重复这个操作 &prompt.root; mount /dev/da1s1e /1 # 挂上分区 &prompt.root; vi /etc/fstab # 完成之后，添加合适的记录到您的 /etc/fstab文件。 如果有一个 IDE 磁盘，记得要用 ad 替换前面的 da。 专用模式 OS/2 如果您并没有安装其它的操作系统，可以使用 dedicated 模式。记住这种模式可能会弄乱 Microsoft 的操作系统，但不会对它进行破坏。 它不识别找到的 IBM &os2 的 appropriate 分区。 &prompt.root; dd if=/dev/zero of=/dev/da1 bs=1k count=1 &prompt.root; bsdlabel -Bw da1 auto &prompt.root; bsdlabel -e da1 # 创建 `e' 分区 &prompt.root; newfs /dev/da1e &prompt.root; mkdir -p /1 &prompt.root; vi /etc/fstab # 为 /dev/da1e添加一个记录 &prompt.root; mount /1 另一种方法： &prompt.root; dd if=/dev/zero of=/dev/da1 count=2 &prompt.root; bsdlabel /dev/da1 | bsdlabel -BR da1 /dev/stdin &prompt.root; newfs /dev/da1e &prompt.root; mkdir -p /1 &prompt.root; vi /etc/fstab # 为 /dev/da1e添加一个记录 &prompt.root; mount /1 RAID 软件 RAID Christopher Shumway Original work by Jim Brown Revised by RAIDsoftware RAIDCCD 连接磁盘驱动器配置 (CCD) 选择一个大容量存储比较好的解决方案，最重要的因素是产品的速度、 性能和成本。 通常这三者不可能都满足;要获得比较快和可靠的大容量存储设备， 就比较昂贵。但如果将成本降下来，那它的速度或可靠性就会打折扣。 在设计下面描述的系统时， 价格被选为最重要的因素， 接下来是速度和性能。 这个系统的数据传输速度基本上受限于网络。 性能也非常重要， CCD 驱动器上的所有数据都被备份到了 CD-R 盘， 可以很容易地对数据进行恢复。 在选择一个大容量的存储解决方案时，第一步是要设计您自己的需求。 如果您的需求更偏重于速度和性能，那么您的解决方案将就不同于上面的设计。 安装硬件 除了 IDE 系统磁盘外，还有三个 Western Digital 30GB、5400 RPM 的 IDE 磁盘构成了大约 90G 的连接磁盘驱动存储空间。 理想情况是每个 IDE 硬盘都独占 IDE 控制器和数据线， 但为了尽可能降低成本， 通常并不会安装更多的控制器， 而是通过配置跳线，使每个 IDE 控制器都管理一个主盘和一个从盘。 重启动后，系统 BIOS 被配置成自动检测硬盘。FreeBSD 检测到它们： ad0: 19574MB <WDC WD205BA> [39770/16/63] at ata0-master UDMA33 ad1: 29333MB <WDC WD307AA> [59598/16/63] at ata0-slave UDMA33 ad2: 29333MB <WDC WD307AA> [59598/16/63] at ata1-master UDMA33 ad3: 29333MB <WDC WD307AA> [59598/16/63] at ata1-slave UDMA33 如果 FreeBSD 没有检测到它们，请确定它们的跳线是否设置 正确。大多数 IDE 磁盘有一个 Cable Select 跳线。这个 不是 设置 master/slave 硬盘的跳线。查阅文档 信息来确定正确的跳线设置。 接下来考虑的是，如何创建文件系统。应该好好研究一下 &man.vinum.8; ()和 &man.ccd.4; 两种方式，在这里我们选择 &man.ccd.4; 安装 CCD &man.ccd.4; 允许用户将几个相同的的磁盘通过一个逻辑文件系统 连接起来。要使用 &man.ccd.4;，您需要在内核中配置 &man.ccd.4; 支持选项。把这行加入到内核配置文件中，然后重建内核： device ccd 对 &man.ccd.4; 的支持也可以内核模块的形式载入。 要安装 &man.ccd.4;, 首先需要使用 &man.bsdlabel.8; 来编辑硬盘： bsdlabel -w ad1 auto bsdlabel -w ad2 auto bsdlabel -w ad3 auto 此处将整个硬盘创建为 ad1c, ad2c 和 ad3c。 下一步是改变 disklable 的类型。也可以使用 &man.bsdlabel.8; 来编辑： bsdlabel -e ad1 bsdlabel -e ad2 bsdlabel -e ad3 这儿在每个已经设置了 EDITOR 环境变量的磁盘上打开了 disklable，在我我例子中使用的是 &man.vi.1;。 可以看到： 8 partitions: # size offset fstype [fsize bsize bps/cpg] c: 60074784 0 unused 0 0 0 # (Cyl. 0 - 59597) 添加一个新的 e 分区给 &man.ccd.4; 用。这可以是 c 分区的一个副本， 但 必须 是 4.2BSD。做完之后，您会看到一面这些： 8 partitions: # size offset fstype [fsize bsize bps/cpg] c: 60074784 0 unused 0 0 0 # (Cyl. 0 - 59597) e: 60074784 0 4.2BSD 0 0 0 # (Cyl. 0 - 59597) 建立文件系统 现在已给每个磁盘都加上了标签，下面需要建立 &man.ccd.4;。要这样做， 需要使用 &man.ccdconfig.8; 工具，同时要提供类似下面的选项： ccdconfig ccd0 32 0 /dev/ad1e /dev/ad2e /dev/ad3e 每个选项的意义和用法如下所示： 配置设备的第一个参数，在这是 /dev/ccd0c。 /dev/ 部分是任选项。 下一个参数是文件系统的插入页(interleave)。插入页定义了一个 磁盘块中一个分段或条带(stripe)的大小，通常是 512 个字节。所以一个为 32 的插入页将是 16,384 字节。 插入页为 &man.ccdconfig.8; 附带了标记。如果您要启用驱动器镜像， 需要在这儿指定它。在这个配置中没有做 &man.ccd.4; 的镜像，所以把它 设为 0 (zero)。 &man.ccdconfig.8; 的最后配置是设备的排列问题。使用完整的设备 路径名。 运行 &man.ccdconfig.8; 后 &man.ccd.4; 就配置好了。现在要创建文件 系统了，参考 &man.newfs.8; 选项，执行下同的命令： newfs /dev/ccd0c 自动创建 最后，要挂上 &man.ccd.4; ，需要先配置它。把当前的配置文件写入 /etc/ccd.conf 中，使用下面的命令： ccdconfig -g > /etc/ccd.conf 当重新启动系统时，如果 /etc/ccd.conf 存在， 脚本 /etc/rc 就运行 ccdconfig -C。 这样就能自动配置 &man.ccd.4; 以到它能被挂上。 如果启动进入了单用户模式，在 &man.mount.8; 上 &man.ccd.4; 之前，需要执行下面的命令来配置队列： ccdconfig -C 要自动挂接 &man.ccd.4;,需要为 &man.ccd.4; 在 /etc/fstab 中配置一个记录，以便在启动时它能被挂上。 如下所示： /dev/ccd0c /media ufs rw 2 2 Vinum 卷管理 RAIDsoftware RAID Vinum Vinum 卷管理是一个实现虚拟磁盘的块驱动设备工具。它使磁盘从 块设备的接口和数据映射中独立出来。与传统的存储设备相比，增加了 灵活性、性能和可靠性。 &man.vinum.8; 实现了 RAID-0、RAID-1 和 RAID-5 三种模式，它们既可以独立使用，也可组合使用。 参考 得到更多 &man.vinum.8; 的信息。 硬件 RAID RAID hardware FreeBSD 支持很多硬件 RAID 控制器。 这些硬件不需要 FreeBSD 指定软件来管理 RAID 系统。 使用 BIOS 支持的硬件，一般情况下这些硬件可以自行操作。 下面是一个简明的描述设置一个 Promise IDE RAID 控制器。 当硬件设备装好且系统重启后，屏幕上显示一个询问信息。接着进入硬件设置屏幕。在这里， 您可以把所有的磁盘联合在一起使用。这样 FreeBSD 将磁盘看作一个驱动器。其它 级别的 RAID 也可以相应的进行设置。 重建 ATA RAID1 阵列 FreeBSD 允许您热插拔阵列中损坏的磁盘。 在您重新启动系统之前请注意这一点。 您可能会在 /var/log/messages 或者在 &man.dmesg.8; 的输出中看到类似下面这些的内容： ad6 on monster1 suffered a hard error. ad6: READ command timeout tag=0 serv=0 - resetting ad6: trying fallback to PIO mode ata3: resetting devices .. done ad6: hard error reading fsbn 1116119 of 0-7 (ad6 bn 1116119; cn 1107 tn 4 sn 11)\\ status=59 error=40 ar0: WARNING - mirror lost 使用 &man.atacontrol.8;，查看更多的信息： &prompt.root; atacontrol list ATA channel 0: Master: no device present Slave: acd0 <HL-DT-ST CD-ROM GCR-8520B/1.00> ATA/ATAPI rev 0 ATA channel 1: Master: no device present Slave: no device present ATA channel 2: Master: ad4 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present ATA channel 3: Master: ad6 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present &prompt.root; atacontrol status ar0 ar0: ATA RAID1 subdisks: ad4 ad6 status: DEGRADED 首先您应将包含故障盘的 ata 通道卸下， 以便安全地将其拆除： &prompt.root; atacontrol detach ata3 换上磁盘 重新挂接 ata 通道： &prompt.root; atacontrol attach ata3 Master: ad6 <MAXTOR 6L080J4/A93.0500> ATA/ATAPI rev 5 Slave: no device present 将新盘作为热备盘加入阵列： &prompt.root; atacontrol addspare ar0 ad6 重建阵列： &prompt.root; atacontrol rebuild ar0 可以通过下面的命令来查看进度： &prompt.root; dmesg | tail -10 [output removed] ad6: removed from configuration ad6: deleted from ar0 disk1 ad6: inserted into ar0 disk1 as spare &prompt.root; atacontrol status ar0 ar0: ATA RAID1 subdisks: ad4 ad6 status: REBUILDING 0% completed 等待操作完成。 Marc Fonvieille Contributed by USB 存储设备 USB disks 到目前为止，有许多外部外部存储解决方案， 例如：通用串行总线 (USB)：硬盘、USB thumbdrives、CD-R burners 等等。 &os; 为这些设备提供了支持。 配置 USB 大容量存储设备驱动，在 &man.umass.4;, 中提供了对 USB 存储设备的支持。如果您使用 GENERIC 内核，您不必要改变配置文件里的任何内容。 如果您使用了定制的内核，就要确定下面的行出现在您的内核配置文件里： device scbus device da device pass device uhci device ohci +device ehci device usb device umass &man.umass.4; 驱动程序使用 SCSI 子系统来访问 USB 存储设备， 您的 USB 设备将被系统看成为一个 SCSI 设备。依靠您主板上的 USB 芯片， 您只须选择 device - uhci 或 device ohci 二者之一即可， - 但是两者都加入内核配置文件当中也没有坏外。 + uhci 或用于 USB 1.X 支持的 device ohci + 二者之一即可， 但是两者都加入内核配置文件当中也是无害的。 + 对于 USB 2.X 控制器的支持由 &man.ehci.4; 提供 + (device ehci 这一行)。 不要忘了如果您加入了上面的几行要重新编译和安装内核。 如果您的 USB 设备是一个 CD-R 或 DVD 刻录机， SCSI CD-ROM 驱动程序， &man.cd.4;, 就必须加入内核中通过下面这行： device cd 由于刻录机被视为 SCSI 设备， 因此， 不应该在内核配置文件中使用 &man.atapicam.4; 驱动程序。 - - 在 &os; 中已经提供了对 USB 2.0 控制器的内建支持； - 然而， 您必须在编译内核时在配置中加入： - - device ehci - - 注意， 如果需要 USB 1.X 的支持， 您仍需要使用 - &man.uhci.4; 和 &man.ohci.4; 驱动程序。 测试配置 配置好后准备进行测试：插入您的 USB 设备， 在系统信息中 (&man.dmesg.8;), 应该会出现像下面的设备： umass0: USB Solid state disk, rev 1.10/1.00, addr 2 GEOM: create disk da0 dp=0xc2d74850 da0 at umass-sim0 bus 0 target 0 lun 0 da0: <Generic Traveling Disk 1.11> Removable Direct Access SCSI-2 device da0: 1.000MB/s transfers da0: 126MB (258048 512 byte sectors: 64H 32S/T 126C) 当然啦，商标，设备标识 (da0) 和其它的细节信息会根据您的配置不同 而有所不同。 因为 USB 设备被看作 SCSI 设备中的一个， camcontrol 命令也能够用来列出 USB 存储设备和系统的关联： &prompt.root; camcontrol devlist <Generic Traveling Disk 1.11> at scbus0 target 0 lun 0 (da0,pass0) 如果设备上已经包含了文件系统， 现在应该就可以挂接它了。 如果需要， 请参阅 来了解如何在 USB驱动器上格式化和创建分区。 如果希望设备能够被普通用户挂接， 还需要做一些其它操作。 首先， 在 USB 存储设备连接到计算机上时， 系统自动生成的设备文件， 必须是该用户能够读写的。 一种做法是让所有属于 operator 组的用户都可以访问该设备。 要完成这项工作， 首先需要用 &man.pw.8; 来给用户指定组。 其次， 在生成设备文件时， operator 组应能读写它们。 这可以通过在 /etc/devfs.rules 中增加一些相应的设置来实现： [localrules=5] add path 'da*' mode 0660 group operator 如果系统中已经有其它 SCSI 磁盘， 则上述操作必须做一些变化。 例如， 如果系统中已经存在了设备名为 da0 到 da2 的磁盘， 则第二行应改为： add path 'da[3-9]*' mode 0660 group operator 这会将系统中已经存在的磁盘， 排除在属于 operator 组的设备之外。 另外， 您还需要在 /etc/rc.conf 文件中， 启用 &man.devfs.rules.5; 规则集： devfs_system_ruleset="localrules" 接下来， 需要配置内核， 令普通用户能够挂接文件系统。 最简单的方法是将下面的配置加入到 /etc/sysctl.conf： vfs.usermount=1 注意， 这个设置只有在下次重启系统时才会生效。 另外， 您也可以使用 &man.sysctl.8; 来设置这个变量。 最后一步是创建将要挂接文件系统的目录。 这个目录必须是属于将要挂接文件系统的用户的。 以 root 身份为用户建立属于该用户的 /mnt/username (此处 username 应替换成用户的登录名， 并把 usergroup 替换成用户所属的组)： &prompt.root; mkdir /mnt/username &prompt.root; chown username:usergroup /mnt/username 假设已经插入了一个 USB 读卡设备， 并且系统将其识别为 /dev/da0s1， 由于这些设备通常是 FAT 文件系统， 用户可以这样挂接它们： &prompt.user; mount -t msdosfs -o -m=644,-M=755 /dev/da0s1 /mnt/username 如果拔出设备 (必须首先将其对应的磁盘卷卸下)， 则您会在系统消息缓冲区中看到类似下面的信息： umass0: at uhub0 port 1 (addr 2) disconnected (da0:umass-sim0:0:0:0): lost device (da0:umass-sim0:0:0:0): removing device entry GEOM: destroy disk da0 dp=0xc2d74850 umass0: detached 深入阅读 除了 Adding Disks 和 Mounting and - Unmounting File Systems 章之外，阅读 - &man.umass.4;, &man.camcontrol.8;, 和 &man.usbdevs.8; - 也是很有益的。 + Unmounting File Systems 章之外， 阅读各种手册页也是有益的： + &man.umass.4;, &man.camcontrol.8;, 和 &os;  8.X 的 + &man.usbconfig.8; 或者对于更早期 &os; 版本的 &man.usbdevs.8;。 Mike Meyer Contributed by 创建和使用光学介质(CD) CDROMs creating 介绍 CD 与普通的磁盘相比有很多不同的特性。最初它们是不能被用户写入的。 由于没有磁头和磁道移动时的延迟，所以它们可以连续的进行读取。 方便的在两个系统之间进行数据的传输，比起相同大小的存储介质来说。 CD 有磁道，这关系到数据读取时的连续性而不是物理磁盘的性能。 要在 FreeBSD 中制作一个 CD，您要准备好要写到 CD 上的数据文件， 然后根据每个 tracks 写入到 CD。 ISO 9660 文件系统 ISO 9660 ISO 9660 文件系统被设计用来处理这些差异。 但令人遗憾的是， 它也有一些其他文件系统所没有的限制， 不过幸运的是， 它提供了一项扩展机制， 使得正确写入的 CD 能够超越这些限制， 而又能在不支持这些扩展的系统上正常使用。 sysutils/cdrtools sysutils/ port 包括了 &man.mkisofs.8;， 这是一个可以用来生成包含 ISO 9660 文件系统的数据文件的程序。 他也提供了对于一些扩展的支持选项，下面将详细介绍。 CD burner (刻录机) ATAPI 使用哪个工具来刻录 CD 取决于您的 CD 刻录机是 ATAPI 的， 还是其他类型的。 对于 ATAPI CD 刻录机， 可以使用基本系统附带的 burncd 程序。 SCSI 和 USB CD 刻录机， 则需要配合 cdrecord 程序使用， 它可以通过 sysutils/cdrtools port 安装。 除此之外， 在 ATAPI 接口的刻录机上， 也可以配合 ATAPI/CAM 模块 来使用 cdrecord 以及其它为 SCSI 刻录机撰写的工具。 如果您想使用带图形界面的 CD 刻录软件， 可以考虑一下 X-CD-Roast 或 K3b。 这些工具可以通过使用预编译安装包， 或通过 sysutils/xcdroast 和 sysutils/k3b ports 来安装。 X-CD-Roast 和 K3b 需要 ATAPI/CAM 模块 配合 ATAPI 硬件。 mkisofs &man.mkisofs.8; 程序作为 sysutils/cdrtools port 的一部分， 将生成 ISO 9660 文件系统，其中包含 &unix; 命名空间中的文件名。 最简单的用法是： &prompt.root; mkisofs -o imagefile.iso /path/to/tree 文件系统 ISO 9660 这个命令将创建一个包含 ISO9660 文件系统的 imagefile.iso 文件，它是目录树 /path/to/tree 的一个副本。 在处理过程中， 它将文件名称映射为标准的 ISO9660 文件系统的文件名，将排除那些不典型的 ISO 文件系统的文件。 文件系统 HFS 文件系统 Joliet 有很多选项能够用来克服那些限制。特别的， 选项能够启用 Rock Ridge 扩展一般的 &unix; 系统， 选项能启用用于 Microsoft 系统的 Joliet 扩展， 选项能用来创建用于 &macos; 系统的 HFS 文件系统。 对于那些即将要在 FreeBSD 系统中使用 CD 的人来说， 选项能用来消除所有文件名的限制。当使用 选项时，它会产生一个 文件系统映像，它与您从那儿启动 FreeBSD 树是一样的，虽然它在许多方面也违反了 ISO 9660 的标准。 CDROMs 创建启动光盘 最后一个常用的选项是 。 它用来指定启动映像的位置， 用以生成 El Torito 启动 CD。 这个选项使用一个参数， 用以指定将写入 CD 的目录的根。 默认情况下， &man.mkisofs.8; 会以常说的 软盘模拟 方式来创建 ISO， 因此它希望引导映像文件的尺寸恰好是 1200， 1440 或 2880 KB。 某些引导加载器， 例如 FreeBSD 发行版磁盘， 并不使用模拟模式； 这种情况下， 需要使用 选项。 因此， 如果 /tmp/myboot 是一个包含了启动映像文件 /tmp/myboot/boot/cdboot 的可引导的 FreeBSD 系统， 您就可以使用下面的命令生成 ISO 9660 文件系统映像 /tmp/bootable.iso： &prompt.root; mkisofs -R -no-emul-boot -b boot/cdboot -o /tmp/bootable.iso /tmp/myboot 完成这些工作之后， 如果您的内核中配置了 md， 就可以用下列命令来挂接文件系统了： &prompt.root; mdconfig -a -t vnode -f /tmp/bootable.iso -u 0 &prompt.root; mount -t cd9660 /dev/md0 /mnt 可以发现 /mnt 和 /tmp/myboot 是一样的。 还可以使用 &man.mkisofs.8; 的其它选项来调整它的行为。特别是修改 ISO 9660 的划分格式，创建 Joliet 和 HFS 格式的磁盘。查看 &man.mkisofs.8; 联机手册得到更多的帮助。 burncd CDROMs burning 如果用的是 ATAPI 的 CD 刻录机，可以使用 burncd 　命令来刻录您的 CD ISO 映像文件。 burncd 命令是基本 　系统的一部分，中以使用 /usr/sbin/burncd 来安装。 　用法如下： &prompt.root; burncd -f cddevice data imagefile.iso fixate 在 cddevice 上刻录一份 imagefile.iso 的副本。 默认的设备是 /dev/acd0。 请参考 &man.burncd.8; 以了解设置写入速度的参数，如何在刻录完成之后自动弹出CD，以及刻录音频数据。 cdrecord 如果没有一个 ATAPI CD 刻录机，必须使用 cdrecord 来刻录您的 CD 。 cdrecord 不是基本系统的一部分;必须 从 sysutils/cdrtools 或适当的 package 安装它。基本系统的变化可能会引起这个程序的错误。可能是由 coaster 引起的。当升级系统时，同时需要升级 port， 或者如果您 使用 -STABLE， 那么在升级到新版本时也要升级 port。 cdrecord 有许多选项，基本用法与 burncd 相似。刻录一个 ISO 9660 映像文件只需这样做： &prompt.root; cdrecord dev=device imagefile.iso 使用 cdrecord 的比较巧妙的方法是找到使用的 。要找到正确的设置，可以使用 cdrecord 的 标记，这会产生这样的结果： CDROMs burning &prompt.root; cdrecord -scanbus Cdrecord-Clone 2.01 (i386-unknown-freebsd7.0) Copyright (C) 1995-2004 Jörg Schilling Using libscg version 'schily-0.1' scsibus0: 0,0,0 0) 'SEAGATE ' 'ST39236LW ' '0004' Disk 0,1,0 1) 'SEAGATE ' 'ST39173W ' '5958' Disk 0,2,0 2) * 0,3,0 3) 'iomega ' 'jaz 1GB ' 'J.86' Removable Disk 0,4,0 4) 'NEC ' 'CD-ROM DRIVE:466' '1.26' Removable CD-ROM 0,5,0 5) * 0,6,0 6) * 0,7,0 7) * scsibus1: 1,0,0 100) * 1,1,0 101) * 1,2,0 102) * 1,3,0 103) * 1,4,0 104) * 1,5,0 105) 'YAMAHA ' 'CRW4260 ' '1.0q' Removable CD-ROM 1,6,0 106) 'ARTEC ' 'AM12S ' '1.06' Scanner 1,7,0 107) * 这个列表列出了设备的的适当的 值。找到您的 CD burner ,使用三个用逗号分隔的数值来表示 .在 这个例子中，CRW 是 ，所以正确的输入应是 dev=1,5,0 。有一个很容易的方法可以指定这个值;看看 &man.cdrecord.1; 的介绍了解有关音轨，控制速度和其他的东西。 复制音频 CD 您可以这样复制 CD，把 CD 上面的音频数据解压缩出一系列的文件， 再把这些文件写到一张空白 CD 上。 这个过程对于 ATAPI 和 SCSI 驱动器来说有些微的不同。 SCSI 驱动器 使用 cdda2wav 来解压缩音频。 &prompt.user; cdda2wav -v255 -D2,0 -B -Owav 使用 cdrecord 来写 .wav 文件。 &prompt.user; cdrecord -v dev=2,0 -dao -useinfo *.wav 确保 2,0 被适当地设置了， 具体方法在 中有所描述。 ATAPI 驱动器 ATAPI CD 驱动用 /dev/acddtnn表示每个轨道， 这里 d 是驱动器号， nn 是轨道号，由两位小数位组成，省略前缀零。 所以第一个盘片上的第一个轨道就是 /dev/acd0t01，第二个就是 /dev/acd0t02，第三个就是 /dev/acd0t03，等等。 请务必确认在 /dev 中出现了对应的文件。 如果您发现有某些项目缺失， 则应强制系统重新识别介质： &prompt.root; dd if=/dev/acd0 of=/dev/null count=1 使用 &man.dd.1; 解压缩每个轨道。当解压缩文件的时候您也必须使用 一个特殊的块大小。 &prompt.root; dd if=/dev/acd0t01 of=track1.cdr bs=2352 &prompt.root; dd if=/dev/acd0t02 of=track2.cdr bs=2352 ... 使用 burncd 把解压缩的文件刻录到光盘上。您必须指定 这些文件是音频文件，这样 burncd 会在刻录完成时 结束光盘。 &prompt.root; burncd -f /dev/acd0 audio track1.cdr track2.cdr ... fixate 复制数据 CD 您可以把数据 CD 复制成一个与之等价的映像文件， 可以使用 &man.mkisofs.8; 创建这种文件， 或使用它来复制任何数据 CD。 这里给出的例子假定您的 CDROM 设备是 acd0， 您应将其替换为您实际使用的 CDROM 设备。 &prompt.root; dd if=/dev/acd0 of=file.iso bs=2048 现在您有一个映像文件了，您可以像上面描述的那样把它刻录成 CD。 使用数据 CD 现在您已经创建了一张标准的数据 CDROM，您或许想要 挂载来读取上面的设备。 默认情况下，&man.mount.8; 假定文件系统是 ufs 类型的。如果您尝试下面的命令： &prompt.root; mount /dev/cd0 /mnt 您会得到一条 Incorrect super block 的错误信息，没有挂载成功。CDROM 不是 UFS 文件系统，所以试图这样挂载它是 是不行的。您需要告诉 &man.mount.8; 文件系统是 ISO9660 类型的，这样 就可以了。只需要指定 &man.mount.8; 的 选项。例如， 如果您想要挂载 CDROM 设备， /dev/cd0 到 /mnt 目录，您需要执行： &prompt.root; mount -t cd9660 /dev/cd0 /mnt 注意您的设备名 (在这个例子中是 /dev/cd0)可能 有所不同，取决于您的 CDROM 使用的接口。另外， 选项等同于执行 &man.mount.cd9660.8;。上面的例子可以缩短 为： &prompt.root; mount_cd9660 /dev/cd0 /mnt 用这种方法您基本可以使用任何买到的数据 CDROM。 然而某些有 ISO 9660 扩展的光盘可能会行为古怪。 例如，joliet 光盘用两个字节的 unicode 字符存储所有的文件名。 FreeBSD 内核并不使用 Unicode， 但 &os; CD9660 驱动可以将 Unicode 字符自动转换为内核可以识别的形式。 如果您发现有些非英文字符显示为问号， 就绪要使用 选项来指定字符集了。 欲了解进一步的详情， 请参见联机手册 &man.mount.cd9660.8;。 如果希望通过 选项来进行字符集转换， 则内核会需要加载 cd9660_iconv.ko 模块。 这项工作可以通过在 loader.conf 中加入下列配置： cd9660_iconv_load="YES" 并重新启动计算机来完成， 除此之外， 也可以通过 &man.kldload.8; 来手动加载。 有时候，当您试图挂载 CDROM 的时候，会得到一条 Device not configured 的错误信息。这通常 表明 CDROM 驱动认为托盘里没有光盘， 或者驱动器在总线上不可见。 需要几秒钟时间等待 CDROM 驱动器辨别已经接到反馈的信息， 请耐心等待。 有时候，SCSI CDROM 可能会找不到，因为没有足够的 时间来应答总线的 reset 信号。如果您有一个 SCSI CDROM 请将下面的选项添加到您的内核 配置文件并重建您的内核。 options SCSI_DELAY=15000 这个告诉您的 SCSI 总线启动时暂停 15 秒钟， 给您的 CDROM 驱动器足够的机会来应答 总线 reset 信号。 刻录原始数据 CD 您可以选择把一个文件目录刻录到 CD 上而不用 创建 ISO 9660 文件系统。有些人这么做是为了备份的 目的。这个运行的比刻录一个标准 CD 速度要快得多： &prompt.root; burncd -f /dev/acd1 -s 12 data archive.tar.gz fixate 要重新找回这样刻录到 CD 上的数据， 您必须从原始设备节点读取数据： &prompt.root; tar xzvf /dev/acd1 您不能像挂载一个通常的 CDROM 一样挂载这张光盘。 这样的 CDROM 也不能在除了 FreeBSD 之外的任何操作系统上读出。 如果您想要可以挂载 CD，或者 和另一种操作系统共享数据，您必须像上面描述的那样使用 &man.mkisofs.8;。 Marc Fonvieille Contributed by CD burner ATAPI/CAM driver 使用 ATAPI/CAM 驱动 这个驱动允许 ATAPI 设备(CD-ROM, CD-RW, DVD 驱动器等...)通过 SCSI 子系统访问， 这样允许使用像 sysutils/cdrdao 或者 &man.cdrecord.1; 这样的程序。 要使用这个驱动， 您需要把下面这行添加到 /boot/loader.conf 文件中： atapicam_load="YES" 接下来， 重新启动计算机。 如果您希望将 &man.atapicam.4; 以静态联编的形式加入内核， 则需要在内核配置文件中加入这行： device atapicam 此外还需要在内核配置文件中加入： device ata device scbus device cd device pass 这些应该已经有了。 然后， 重新联编并安装新内核， 并重新启动计算机。 在引导过程中， 您的刻录机将会出现在内核的提示信息中， 就像这样： acd0: CD-RW <MATSHITA CD-RW/DVD-ROM UJDA740> at ata1-master PIO4 cd0 at ata1 bus 0 target 0 lun 0 cd0: <MATSHITA CDRW/DVD UJDA740 1.00> Removable CD-ROM SCSI-0 device cd0: 16.000MB/s transfers cd0: Attempt to query device size failed: NOT READY, Medium not present - tray closed 驱动器现在可以通过 /dev/cd0 设备名访问了，例如要 挂载 CD-ROM 到 /mnt，只需要键入下面的 命令： &prompt.root; mount -t cd9660 /dev/cd0 /mnt 作为 root，您可以运行下面的 命令来得到刻录机的 SCSI 地址： &prompt.root; camcontrol devlist <MATSHITA CDRW/DVD UJDA740 1.00> at scbus1 target 0 lun 0 (pass0,cd0) 这样 1,0,0 就是 SCSI 地址了，可以被 &man.cdrecord.1; 和其他的 SCSI 程序使用。 有关 ATAPI/CAM 和 SCSI 系统的更多信息， 可以参阅 &man.atapicam.4; 和 &man.cam.4; 手册 页。 Marc Fonvieille Contributed by Andy Polyakov With inputs from 创建和使用光学介质(DVD) DVD burning 介绍 和 CD 相比，DVD 是下一代光学存储介质技术。 DVD 可以容纳比任何 CD 更多的数据，已经成为现今视频出版业的标准。 我们称作可记录 DVD 的有五种物理记录格式： DVD-R：这是第一种可用的 DVD 可记录格式。 DVD-R 标准由 DVD Forum 定义。 这种格式是一次可写的。 DVD-RW：这是 DVD-R 标准的可覆写版本。 一张 DVD-RW 可以被覆写大约 1000 次。 DVD-RAM：这也是一种被 DVD Forum 所支持的可覆写格式。 DVD-RAM 可以被看作一种可移动硬盘。 然而，这种介质和大部分 DVD-ROM 驱动器以及 DVD-Video 播放器不兼容； 只有少数 DVD 刻录机支持 DVD-RAM。 请参阅 以了解关于如何使用 DVD-RAM 的进一步详情。 DVD+RW：这是一种由 DVD+RW Alliance 定义的可覆写格式。一张 DVD+RW 可以被覆写大约 1000 次。 DVD+R：这种格式是 DVD+RW 格式的一次可写变种。 一张单层的可记录 DVD 可以存储 4,700,000,000  字节，相当于 4.38 GB 或者说 4485 MB (1 千字节等于 1024 字节)。 必须说明一下物理介质与应用程序的分歧。 例如 DVD-Video 是一种特殊的文件系统， 可以被覆写到任何可记录的 DVD 物理介质上： DVD-R、DVD+R、DVD-RW 等等。在选择介质类型之前， 您一定要确认刻录机和 DVD-Video 播放器 (一种单独的播放器或者计算机上的 DVD-ROM 驱动器) 是和这种介质兼容的。 配置 &man.growisofs.1; 将被用来实施 DVD 刻录。 这个命令是 dvd+rw-tools 工具集 (sysutils/dvd+rw-tools) 的一部分。 dvd+rw-tools 支持所有的 DVD 介质类型。 这些工具将使用 SCSI 子系统来访问设备，因此 ATAPI/CAM 支持 必须加入内核。 如果您的刻录机采用 USB 接口则不需要这么做，请参考 来了解 USB 设备配置的进一步详情。 此外，还需要启用 ATAPI 设备的 DMA 支持。 这一工作可以通过在 /boot/loader.conf 文件中加入下面的行来完成： hw.ata.atapi_dma="1" 试图使用 dvd+rw-tools 之前您应该参考 dvd+rw-tools 硬件兼容性列表 是否有与您的 DVD 刻录机有关的信息。 如果您想要一个图形化的用户界面，您应该看一看 K3b (sysutils/k3b)，它提供了 &man.growisofs.1; 的一个友好界面和许多其他刻录工具。 刻录数据 DVD &man.growisofs.1; 命令是 mkisofs 的前端，它会调用 &man.mkisofs.8; 来创建文件系统布局，完成到 DVD 上的刻录。 这意味着您不需要在刻录之前创建数据映像。 要把 /path/to/data 目录的数据刻录到 DVD+R 或者 DVD-R 上面，使用下面的命令： &prompt.root; growisofs -dvd-compat -Z /dev/cd0 -J -R /path/to/data 选项传递给 &man.mkisofs.8; 用于文件系统创建 (这表示创建带有带有 joliet 和 Rock Ridge 扩展的 ISO 9660 文件系统)， 参考 &man.mkisofs.8; 联机手册了解更多细节。 选项 用来在任何情况下初始刻录会话： 不管多会话与否。 DVD 设备，/dev/cd0， 必须依照您的配置做出改变。 参数会结束光盘， 光盘成为不可附加的。这会提供更多的和 DVD-ROM 驱动器的介质兼容性。 也可以刻录成一个 pre-mastered 映像, 例如记录一个映像文件 imagefile.iso, 我们可以运行： &prompt.root; growisofs -dvd-compat -Z /dev/cd0=imagefile.iso 刻录的速度可以被检测到并自动进行调整， 根据介质和驱动器的使用情况。如果您想强制改变速度， 可以使用 参数。更多的信息，请看 &man.growisofs.1; 联机手册。 DVD DVD-Video 刻录 DVD-Video DVD-Video 是一种特殊的基于 ISO 9660 和 micro-UDF (M-UDF) 规范的文件系统。 DVD-Video 也呈现了一个特殊的数据格式， 这就是为什么您需要一个特殊的程序像 multimedia/dvdauthor 来制作 DVD 的原因。 如果您已经有了 DVD-Video 文件系统的映像， 就可以以同样的方式制作另一个映像，可以参看前面章节的例子。 如果您想制作 DVD 并想放在特定的目录中，如在目录 /path/to/video 中， 可以使用下面的命令来刻录 DVD-Video： &prompt.root; growisofs -Z /dev/cd0 -dvd-video /path/to/video 选项将传递给 &man.mkisofs.8; 并指示它创建一个 DVD-Video 文件系统布局。 除此之外。 选项也包含了 &man.growisofs.1; 选项。 DVD DVD+RW 使用 DVD+RW 不像 CD-RW, 一个空白的 DVD+RW 在每一次使用前必须先格式化。 &man.growisofs.1; 程序将会适时的自动对其进行适当的处理， 这是 recommended 的方式。您也可以使用 dvd+rw-format 来对 DVD+RW 进行格式化： &prompt.root; dvd+rw-format /dev/cd0 您只需要执行这样的操作一次，牢记只有空白的 DVD+RW 介质才需要格式化。您可以以前面章节同样的方式来刻录 DVD+RW。 如果您想刻录新的数据 (刻录一个新的完整的文件系统 而不仅仅是追加一些数据) 到 DVD+RW，您不必再将其格式化成空白盘， 您只须要直接覆盖掉以前的记录即可。 (执行一个新的初始化对话), 像这样： &prompt.root; growisofs -Z /dev/cd0 -J -R /path/to/newdata DVD+RW 格式化程序为简单的向以前的记录追加数据提供了可能性。 这个操作有一个新的会话和一个已经存在的会话合并而成。 它不需要多个写会话过程， &man.growisofs.1; 将在介质上 增加 ISO 9660 文件系统。 例如，我们想追加一些数据到到我们以前的 DVD+RW 上，我们可以使用下面的命令： &prompt.root; growisofs -M /dev/cd0 -J -R /path/to/nextdata 在以后的写操作时， 应使用与最初的刻录会话时相同的 &man.mkisofs.8; 选项。 如果您想获得与 DVD-ROM 驱动更好的兼容性，可以使用 选项。 在 DVD+RW 这种情况下， 这样做并不妨碍您添加数据。 如果出于某种原因您真的想要空白介质盘， 可以执行下面的命令： &prompt.root; growisofs -Z /dev/cd0=/dev/zero DVD DVD-RW 使用 DVD-RW DVD-RW 接受两种光盘格式：增补顺序写入和受限式覆写。默认的 DVD-RW 盘是顺序写入格式。 空白的 DVD-RW 能够直接进行刻录而不需要格式化操作， 然而非空的顺序写入格式的 DVD-RW 需要格式化才能写入新的初始区段。 要格式化一张 DVD-RW 为顺序写入模式，运行： &prompt.root; dvd+rw-format -blank=full /dev/cd0 一次完全的格式化 () 在 1x 倍速的介质上将会花费大约 1 个小时。快速格式化可以使用 选项来进行，如果 DVD-RW 要以 Disk-At-Once (DAO) 模式刻录的话。要以 DAO 模式刻录 DVD-RW，使用命令： &prompt.root; growisofs -use-the-force-luke=dao -Z /dev/cd0=imagefile.iso 选项不是必需的， 因为 &man.growisofs.1; 试图最低限度的检测 (快速格式化) 介质并进行 DAO 写入。 事实上对于任何 DVD-RW 都应该使用受限式覆写模式， 这种格式比默认的增补顺序写入更加灵活。 在一张顺序 DVD-RW 上写入数据，使用和其他 DVD 格式相同的指令： &prompt.root; growisofs -Z /dev/cd0 -J -R /path/to/data 如果您想在您以前的刻录上附加数据，您必须使用 &man.growisofs.1; 的 选项。然而， 如果您在一张增补顺序写入模式的 DVD-RW 上附加数据， 将会在盘上创建一个新的区段，结果就是一张多区段光盘。 受限式覆写格式的 DVD-RW 在新的初始化区段前不需要格式化， 您只是要用 选项覆写光盘，这和 DVD+RW 的情形是相似的。也可以用和 DVD+RW 同样方式的 选项把现存的 ISO 9660 文件系统写入光盘。 结果会是一张单区段 DVD。 要把 DVD-RW 置于受限式覆写格式， 必须使用下面的命令： &prompt.root; dvd+rw-format /dev/cd0 更改回顺序写入模式使用： &prompt.root; dvd+rw-format -blank=full /dev/cd0 多区段 几乎没有哪个 DVD-ROM 驱动器支持多区段 DVD，它们大多数时候都只读取第一个区段。 顺序写入格式的 DVD+R、DVD-R 和 DVD-RW 可以支持多区段， DVD+RW 和 DVD-RW 受限式覆写格式不存在多区段的概念。 在 DVD+R、DVD-R 或者 DVD-RW 的顺序写入格式下， 一次初始化 (未关闭) 区段之后使用下面的命令， 将会在光盘上添加一个新的区段： &prompt.root; growisofs -M /dev/cd0 -J -R /path/to/nextdata 对 DVD+RW 或者 DVD-RW 在受限式覆写模式下使用这条命令， 会合并新区段到存在的区段中来附加数据。 结果就是一张单区段光盘。 这是在这些介质上用于在最初的写操作之后添加数据的方式。 介质上的一些空间用于区段之间区段的开始与结束。 因此，应该用大量的数据添加区段来优化介质空间。 对于 DVD+R 来说区段的数量限制为 154， 对于 DVD-R 来说大约是 2000，对于双层 DVD+R 来说是 127。 更多的信息 要获得更多的关于 DVD 的信息 dvd+rw-mediainfo /dev/cd0 命令可以运行来获得 更多的信息。 更多的关于 dvd+rw-tools 的信息可以在 &man.growisofs.1; 联机手册找到，在 dvd+rw-tools web site 和 cdwrite mailing list 联接中也可找到。 dvd+rw-mediainfo 命令的输出结果记录， 以及介质的问题会被用来做问题报告。 如果没有这些输出， 就很难帮您解决问题。 使用 DVD-RAM DVD DVD-RAM 配置 DVD-RAM 刻录机通常使用 SCSI 或 ATAPI 两种接口之一。 对于 ATAPI 设备， DMA 传输模式必须手工启用。 这一工作可以通过在 /boot/loader.conf 文件中增加下述配置来完成： hw.ata.atapi_dma="1" 初始化介质 如本章前面的介绍所言， DVD-RAM 可以视为一移动硬盘。 与任何其它型号的移动硬盘类似， 首次使用它之前， 应首先 初始化 DVD-RAM。 在下面的例子中， 我们将在全部空间上使用标准的 UFS2 文件系统： &prompt.root; dd if=/dev/zero of=/dev/acd0 bs=2k count=1 &prompt.root; bsdlabel -Bw acd0 &prompt.root; newfs /dev/acd0 您应根据实际情况将 acd0 改为您所使用的设备名。 使用介质 一旦您在 DVD-RAM 上完成了前面的操作， 就可以像普通的硬盘一样挂接它了： &prompt.root; mount /dev/acd0 /mnt 然后就可以正常地对 DVD-RAM 进行读写了。 Julio Merino 原作 Martin Karlsson 重写 创建和使用软盘 把数据存储在软盘上有时也是十分有用的。 例如， 在没有其它可靠的存储介质， 或只需将少量数据传到其他计算机时。 这一章将介绍怎样在 FreeBSD 上使用软盘。 在使用 DOS 3.5 英寸软盘时首要要涉及的就是格式化， 但其概念与其它的软盘格式化极为类似。 格式化软盘 设备 软盘的访问像其它设备一样是通过在 /dev 中的条目来实现的。 直接访问软盘时， 只需简单地使用 /dev/fdN 来表示。 格式化 一张软盘在使用这前必须先被低级格式化。 通常卖主已经做过了，但格式化是检测介质完整性的一种好方法。 尽管这有可能会强取大量（或少量）的硬盘大小，但 大部分磁盘都能被格式化设计为 1440kB 。 低级格式化软盘你需要使用 &man.fdformat.1; 命令。这个程序需要设备名作为参数。 要留意一切错误信息，这些信息能够帮助你确定 磁盘的好与坏。 软盘的格式化 使用 /dev/fdN 设备来格式化软盘。插入一张新的 3.5 英寸的软盘在你的设备中： &prompt.root; /usr/sbin/fdformat -f 1440 /dev/fd0 磁盘标签 经过低级格式化后， 你需要给它分配一个标签。 这个磁盘标签以后会被删去， 但系统需要使用它来确定磁盘的尺寸。 新的磁盘标签将会接管整个磁盘，会包括所有合适的关于软盘的 geometry 信息。 磁盘标签的 geometry 值列在 /etc/disktab中。 现在可以用下面的方法来使用 &man.bsdlabel.8; 了： &prompt.root; /sbin/bsdlabel -B -w /dev/fd0 fd1440 文件系统 现在对软盘进行高级格式化。 这会在它上面安置一个新的文件系统，可使 FreeBSD 来对它进行读写。 在创建完新的文件系统后，磁盘标签将被消毁，所以如果你想重新格式化磁盘， 你必须重新创建磁盘标签。 软盘的文件系统可以选择 UFS 或 FAT 。 FAT 是通常情况下软盘比较好的选择。 要制作新的文件系统在软盘上，可以使用下面的命令： &prompt.root; /sbin/newfs_msdos /dev/fd0 现在磁盘已经可以进行读取和使用。 使用软盘 要使用软盘，需要先使用 &man.mount.msdosfs.8; 挂接它。 除此之外， 也可以使用在 ports 套件中的 emulators/mtools 程序。 用磁带机备份 tape media 主流的磁带机有 4mm, 8mm, QIC, mini-cartridge 和 DLT。 4mm (DDS: Digital Data Storage) tape media DDS (4mm) tapes tape media QIC tapes 4mm 磁带机正在逐步取代 QIC 成为工作站备份数据的首选设备。 在 Conner 收购了 QIC 磁带机领域领先的制造商 Archive 之后不久， 即不再生产这种磁带机， 这使得这一趋势变得愈加明显。 4mm 的驱动器更加小和安静，但对于数据保存的可靠性仍不及 8mm 驱动器。它要比 8mm 的便宜和小得多 (3 x 2 x 0.5 inches, 76 x 51 x 12 mm) 。和 8mm 的一样，读写关的寿命都不长，因为它们同样使用螺旋式 的方式来读写。 这些设备的数据传输的速度约在 ~150 kB/s 到 ~500 kB/s 之间， 存储空间从 1.3 GB 到 2.0 GB 之间，硬件压缩可使空间加倍。磁带库 单元可以有 6 台磁带机，120 个磁带匣，以自动切换的方式使用同一个磁带柜， 磁带库的容量可达 240 GB 。 DDS-3 标准现在支持的磁带机容量最高可达到 12 GB (或压缩的 24 GB )。 4mm 和 8mm 同样都使用螺旋式读写的方式，所有螺旋式读写的优点及缺点， 都可以在 4mm 和 8mm 磁带机上看到。 磁带在经过 2,000 次的使用或 100 次的全部备份后，就该退休了。 8mm (Exabyte) tape media Exabyte (8mm) tapes 8mm 磁带机是最常见的 SCSI 磁带机，也是磁带交换的最佳选择。几乎每个 工作站都有一台 2 GB 8mm 磁带机。8mm 磁带机可信度高、方便、安静。 卡匣小 (4.8 x 3.3 x 0.6 inches; 122 x 84 x 15 mm)而且不贵。8mm 磁带机 的下边是一个短短的读写头，而读写头的寿命取决于磁带经过读写头时，相对高 速运动情况。 数据传输速度约在 250 kB/s 到 500 kB/s 之间，可存储的空间从 300 MB 到 7 GB，硬件压缩可使空间加倍。磁带库单元可以有 6 台磁 带机，120 个磁带匣，以自动切换的方式使用同一个磁带柜，磁带库的容量可达 840+ GB。 Exabyte Mammoth 模型支持 12 GB 的容量在一个磁带 上(压缩后可达 24 GB )相当于普通磁带的二倍。 数据是使用螺旋式读写的方式记录在磁带上的，读写头和磁带约相差 6 度， 磁带以 270 度缠绕着轴，并抵住读写头，轴适时地旋转，使得磁带具有高密度， 从一端到另一端并可使磁道紧密地分布。 QIC tape media QIC-150 QIC-150 磁带和磁带机可能是最常见的磁带机和介质了。 QIC 磁带机是最便宜的 正规 备份设备。 它的缺点在于介质的价格较高。 QIC 磁带要比 8mm 或 4mm 磁带贵， 每 GB 的数据存储价格可能最高高出 5 倍。 但是， 如果您的需求能够为半打磁带所满足的话， 那么 QIC 可能是明智之选。 QIC 是 最 常见的磁带机。 每个站点都会有某种密度的 QIC。 这有时是一种麻烦， QIC 有很多在外观上相似（有时一样），但是密度不同的磁带。 QIC 磁带机噪音很大。 它们在寻址以及读写时都会发出声音。 QIC 磁带的规格是 6 x 4 x 0.7 英寸 (152 x 102 x 17 毫米)。 数据传输的速度介于 150 kB/s 到 500 kB/s 之间，可存储的空间 从 40 MB 到 15 GB。较新的 QIC 磁带机具有硬件压缩的功能。 QIC 的使用率愈来愈低，渐渐被 DAT 所取代。 数据以磁道的方式记录在磁带上，磁道数及磁道的宽度会根据容量而有所不同。 通常新的磁带机具有的向后兼容的读取功能（通常也具备写入的功能）。对于数据 的安全性，QIC 具有不错的评价。 磁带机在经过 5,000 次的使用后，就该退休了。 DLT tape media DLT 在这一章列出的磁带机中 DLT 具有最快的数据传输率。 1/2" (12.5mm) 的 磁带包含在单轴的磁带匣 (4 x 4 x 1 inches; 100 x 100 x 25 mm)中。磁带匣 的一边是一个旋转匣道，通过匣道的开合，可以让磁带卷动。磁带匣内只有一个 轴，而本章中所提到的其他磁带匣都是有两个轴的（9磁道磁带机例外）。 数据传输的速度约 1.5 MB/s，是 4mm, 8mm, 或 QIC 磁带机的三倍。 可存储的空间从 10 GB 到 20 GB，具有磁带机数据库。磁带机数据库 单元可以有 1 to 20 台磁带机，5 到 900 个磁带匣，磁带机数据库的容量可达 50 GB 到 9 TB 。 如果要压缩的话，DLT 型 IV 格式的磁带机最高可支持 70 GB 的存储 容量。 数据存储在平行于磁带运行方向的磁道上（就像 QIC 磁带），一次写入两个 磁道。读写头的寿命相当长，每当磁带停止前进，磁带与读写头之间没有相对运动。 AIT tape media AIT AIT 是 Sony 开发的一种新格式，每个磁带最高可以存储 50 GB。磁带 机使用内存芯片来保存磁带上的索引内容。这个索引能够被磁带机驱动器快速阅读 来搜索磁带机上文件所处的位置，而不像其他的磁带机需要花几分钟的时间才能找 到文件。像 SAMS:Alexandria 这样的软件：能够操 作四十或者更多的 AIT 磁带库，直接使用内存芯片来进行通信把内容显示在屏幕上， 以决定把什么文件备份到哪个磁带上，加载和恢复数据。 像这样的库成本大概在 $20,000 美元左右，零售市场可能还要贵一点。 第一次使用新的磁带机 当在一块完全空白的磁带上尝试定入数据时，会得到类似下面这样的错误信息： sa0(ncr1:4:0): NOT READY asc:4,1 sa0(ncr1:4:0): Logical unit is in process of becoming ready 信息指出这块磁带没有块编号 (block 编号为 0)。在 QIC-525 之后的所有 QIC 磁带，都采用 QIC-525 标准，必须写入一个 Identifier Block 。对于这种问题， 有以下两种解决的办法： 用mt fsf 1 可以让磁带机对磁带写入 Identifier Block 。 使用面板上的按钮磁带。 再插入一次，并存储 dump 数据到磁带上。 这时dump 将传回 DUMP: End of tape detected ，然后您会得到这样的错误信息： HARDWARE FAILURE info:280 asc:80,96。 这时用 mt rewind 来倒转磁带。 磁带操作的后续操作就完成了。 用软盘备份 能够使用软盘来备份数据吗 backup floppies floppy disks 软磁盘通常是用来备份的设备中不太合适的设备： 这种设备不太可靠，特别是长期使用。 备份和恢复都很慢 它们只有非常有限的存储容量。 然而，如果没有其它的备份数据的方法，那软盘备份总比没有备份要好。 如果必须使用软盘的话，必须确保盘片的质量。软盘在办公室中使用已经有许多 年了。最好使用一些名牌厂商的产品以确保质量。 如何备份数据到软盘 最好的备份数据到软盘的方法是使用 &man.tar.1; 程序加上 选项， 它可以允许数据备份到多张软盘上。 要备份当前目录中所有的文件可以使用这个命令 (需要有 root权限)： &prompt.root; tar Mcvf /dev/fd0 * 当第一张盘满的时候， &man.tar.1; 会指示您插入下一张盘，插入第二张盘之后就按回车。 Prepare volume #2 for /dev/fd0 and hit return: 这个步骤可能需要重复很多次，直到这些文件备份完成为止。 可以压缩备份吗 tar gzip compression 不幸的是，&man.tar.1; 在为多卷文件作备份时是不允许使用 选项的。当然，可以用 &man.gzip.1; 压缩所有的文件，把它们打包到磁盘，以后在用 &man.gunzip.1; 解开。 如何恢复备份 要恢复所有文件： &prompt.root; tar Mxvf /dev/fd0 有两种方法来恢复软盘中的个别文件。首先，就要用第一张软盘启动： &prompt.root; tar Mxvf /dev/fd0 filename &man.tar.1; 程序会提示您插入后面的软盘，直到它找到所需要的文件。 如果您知道哪个文件在哪个盘上，您就可以插入那张盘，然后使用上同同样的命令。 如果软盘上的第一个文件与前面的文件是连续的，那 &man.tar.1; 命令会警告您它无法 恢复，即使您不要求它这样做。 Lowell Gilbert 原作 备份策略 设计备份计划的第一要务是确认以下问题皆已考虑到： 磁盘故障 文件的意外删除 随机的文件损毁 机器完全损毁 (例如火灾)， 包括破坏全部在线备份。 针对上述的每个问题采用完全不同的技术来解决是完全可行的。 除了只包含少量几乎没有价值数据的个人系统之外， 一般来说很少有一种技术能够同时兼顾前面所有的需要。 可以采用的技术包括： 对整个系统的数据进行存档， 备份到永久性的离线介质上。 这种方法实际上能够提供针对前面所有问题的保护， 但这样做通常很慢， 而且恢复时会比较麻烦。 您可以将备份置于近线或在线的状态， 然而恢复文件仍然是一个难题， 特别是对没有特权的那些用户而言。 文件系统快照。 这种技术实际上只对无意中删除文件这一种情况有用， 但在这种情况下它会提供 非常大 的帮助， 而且访问迅速， 操作容易。 直接复制整个文件系统和/或磁盘 (例如周期性地对整个机器做 &man.rsync.1;)。 通常这对于在网络上的单一需求最为适用。 要为磁盘故障提供更为通用的保护， 通常这种方法要逊于 RAID。 对于恢复无意中删除的文件来说， 这种方法基本上与 UFS 快照属于同一层次， 使用哪一个取决于您的喜好。 RAID。 它能够最大限度地减少磁盘故障导致的停机时间。 其代价是需要处理更为频繁的磁盘故障 (因为磁盘的数量增加了)， 尽管这类故障不再需要作为非常紧急的事项来处理。 检查文件的指纹。 &man.mtree.8; 工具对于这种操作非常有用。 尽管这并不是一种备份的技术， 但它能够确保您有机会注意到那些您需要求助于离线备份的事情。 这对于离线备份非常重要， 而且应有计划地加以检查。 很容易列举更多的技术， 它们中有许多实际上是前面所列出的方法的变种。 特别的需求通常会需要采用特别的技术 (例如， 备份在线运行的数据库， 往往需要数据库软件提供某种方法来完成中间步骤) 来满足。 最重要的事情是， 一定要了解需要将数据保护起来免受何种风险， 以及发生问题时应该如何处理。 备份程序 有三个主要的备份程序 &man.dump.8;、&man.tar.1; 和 &man.cpio.1;。 Dump 和 Restore 备份软件 dump / restore dump restore dump 和 restore 是 &unix; 传统的备份程序。 它以 block 而不是以文件为单位来备份数据、链接或目录。 dump 备份的是设备上的整个文件系统， 不能只备份一个文件系统的部分或是用到两个以上文件系统的目录树。 与其他备份软件不同的是， dump 不会写文件和目录到磁带机， 而是写入包含文件 和目录的原始数据块。 当需要恢复数据的时候，restore 默认在 /tmp/ 下保存临时数据 — 如果你正在操作的恢复盘只有比较小的 /tmp 的话， 你可能需要把环境变量 TMPDIR 设置到一个有更多空间的目录， 使得此过程更容易成功。 如果在您的 root 目录使用 dump， 将不需要备份 /home、/usr 或其他目录， 因为这些是典型的其他文件系统或符号连接到那些文件系统的加载点。 dump 是最早出现于 AT&T UNIX 的 Version 6 (约 1975)。 默认的参数适用于 9-track 磁带(6250 bpi)， 所以如果要用高密度的磁带（最高可达 62,182 ftpi）， 就不能用默认的参数， 而要另外指定参数。 这些默认值必须在命令行被修改以更好地利用当前磁带机的功能。 .rhosts rdump 和 rrestore 可以通过网络在另一台计算机的磁带机上备份数据。 这两个程序都是依靠 &man.rcmd.3; 和 &man.ruserok.3; 来访问远程的磁带机。 因此，运行备份的用户必须要有远程主机的 .rhosts 访问权。 rdump 和 rrestore 的参数必须适用于远程主机 例如，当您从 FreeBSD 连到一台 SUN 工作站 knomodo 去使用磁带机时，使用： &prompt.root; /sbin/rdump 0dsbfu 54000 13000 126 komodo:/dev/nsa8 /dev/da0a 2>&1 要注意的是：必须检查您在使用 .rhosts 时的安全情况。 也可以通过使用 ssh 用一个更安全的方式来使用 dump 和 restore 。 通过 <application>ssh</application> 使用 <command>dump</command> &prompt.root; /sbin/dump -0uan -f - /usr | gzip -2 | ssh -c blowfish \ targetuser@targetmachine.example.com dd of=/mybigfiles/dump-usr-l0.gz 或使用 dump　的 built-in 方法， 设置环境变量 RSH： 通过设置 <application>ssh</application> 环境变量 <envar>RSH</envar> 使用 <command>dump</command> &prompt.root; RSH=/usr/bin/ssh /sbin/dump -0uan -f targetuser@targetmachine.example.com:/dev/sa0 /usr <command>tar</command> 备份软件 tar &man.tar.1; 也同样是在第 6 版 AT&T UNIX (大约是 1975 前后) 出现的。 tar 对文件系统直接操作； 其作用是把文件和目录写入磁带。 tar 并不支持 &man.cpio.1; 所提供的全部功能， 但也不需要 cpio 所需要使用的诡异的命令行管道。 tar 在 FreeBSD 5.3 和更高版本中， 同时提供了 GNU tar 和默认的 bsdtar。 GNU 的版本可以通过 gtar 来使用。 它通过与 rdump 一样的语法来支持远程设备。 要 tar 到连接在名为 komodo 的 Sun 机器上的 Exabyte 磁带机， 可以使用： &prompt.root; /usr/bin/gtar cf komodo:/dev/nsa8 . 2>&1 您也可以让 bsdtar 通过管道和 rsh 将数据发送到远程的磁带机上。 &prompt.root; tar cf - . | rsh hostname dd of=tape-device obs=20b 如果您担心通过网络备份会有安全问题，应当使用 ssh ， 而不是 rsh。 <command>cpio</command> backup software cpio &man.cpio.1; 是 &unix; 最早用来作文件交换的磁带机程序。它有执行字节 交换的选项，可以用几种不同的格式写入，并且可以将数据用管道传给其他程序。 cpio 没办法自动查找目录树内的文件列表，必须通过标准 输入 stdin 来指定。 cpio cpio 不支持通过网络的备份方式。可以使用 pipeline 和 rsh 来传送数据给远程的磁带机。 &prompt.root; for f in directory_list; do find $f >> backup.list done &prompt.root; cpio -v -o --format=newc < backup.list | ssh user@host "cat > backup_device" 这里的 directory_list 是要备份的目录列表， user@host 结合了将 要执行备份的用户名和主机名，backup_device 是写 入备份的设备（如 /dev/nsa0）。 <command>pax</command> backup software pax pax POSIX IEEE &man.pax.1; 是符合 IEEE/&posix; 标准的程序。多年来各种不同版本 的 tar 和 cpio 间有些不兼容。 为了防止这种情况，并使其标准化，&posix; 出了这套新的工具程序。 pax 尝试可以读写各种 cpio 和 tar 的格式，并可以自己增加新的格式。它的命令 集比 tar 更接近 cpio。 <application>Amanda</application> backup software Amanda Amanda Amanda (Advanced Maryland Network Disk Archiver) 并非单一的程序，而是一个客户机/服务器模式的备份系统 。一台 Amanda 服务器可以备份任意数量执行 Amanda 的客户机或是将连上 Amanda 服务器的计算机上的数据备份到一台磁带机上。一个常见的问题是，数据写入磁带机的时间将超 过取行数据的时间，而 Amanda 解决了这个问题。它使用一个 holding disk 来同时备份几个文件系统。 Amanda 建立 archive sets 的一组磁带，用来备份在 Amanda 的配置文件中所列出的完整的文件系统。 Amanda 配置文件提供完整的备份控制及 Amanda 产生的网络传输。 Amanda 可以使用上述任何一个设备程序来向磁带写入数据。Amanda 可以从 port 或 package 取得，它并非系统默认安装的。 Do Nothing 备份策略 Do nothing 不是一个程序，而是被广泛使用的备份策略。 不需要预算，不需要备份的计划表，全部都不用。如果您的数据发生了什么问题， 忽略它！ 如果您的时间和数据不值得您做这些事，那么 Do nothing 将是最好的备份程序。要注意的是，&unix; 是相当好用的工具，您可能在几个月 内，就发现您已经收集了不少对您来说相当具有价值的文件和程序。 Do nothing 对于像 /usr/obj 和其他 可由您的计算机产生的文件来说，是最好的方法。例如这本手册包含有 HTML 或 &postscript; 格式的文件。这些文档格式是从 SGML 输入文件创建的。创建 HTML 或 &postscript; 格式的文件的备份就没有必要了。只要经常备份 SGML 文件就够了。 哪个备份程序最好？ LISA 在&man.dump.8; 时期 Elizabeth D. Zwicky 测试了所有以上列出的备份程序。在各种各样怪异的文件系统中， dump 是您明智的选择。Elizabeth 建立起各种各样、 奇怪或常见的文件系统，并用各种备份程序，测试在各种文件系统上备份 及恢复数据。这些怪异之处包括：具有 holes 和一个 nulls block 的文件， 文件名具有有趣字符，无法读写的文件及设备，在备份时改变文件大小，在 备份时建立或删除的文件。她将结果刑在： LISA V in Oct. 1991. See torture-testing Backup and Archive Programs. 应急恢复程序 在出现灾难前 在遇到灾难前，只需要执行以下四个步骤： bsdlabel 第一，打出您的每个磁盘驱动器的磁盘标签 (例如： bsdlabel da0 | lpr)，文件系统表， (/etc/fstab) ，以及所有启动信息， 并将其复制两份。 fix-it floppies 第二，确定遇到的情况时，用来启动及修复的软盘 (boot.flp 和 fixit.flp) 具有您所有的设备代号。最简单的方法是用软盘启动，然后检查启动信息， 如果设备都被列出，并且可以正常使用，就可以跳到第三步。 否则，必须建立两张传统的可启动软盘，并包含： fdisk, bsdlabel, newfs, mount, 以及所有使用的 备份程序。这些程序必须被静态的连接。如果使用的是 dump， 那么这张软盘就必须包含 restore。 第三，定期将数据备份到磁带。任何在上次备份后的改变都无法恢复。记得将 磁盘写保护。 第四，测试在第二步所建立的软盘及备份的磁带，将过程记录下来，并和这张 可启动的软盘和磁带放在一起。也许您在恢复时会想要，而这份记录将防止您破坏 您的磁带 (怎么说呢？因为您可能将 tar xvf /dev/sa0 打成 tar cvf /dev/sa0 而重写了备份磁带)。 为了安全，您可以每次都做两份备份磁带及一张启动磁盘，并将其中 一份备份磁带存放在其它地方。其它地方不是指同一栋办公大楼的地下室 (世贸中心的一些公司应该学到了一些教训)，而是真的要让人的磁带离您 的的计算机远远的。 一个建立启动磁盘的 shell 脚本例子： /mnt/sbin/init gzip -c -best /sbin/fsck > /mnt/sbin/fsck gzip -c -best /sbin/mount > /mnt/sbin/mount gzip -c -best /sbin/halt > /mnt/sbin/halt gzip -c -best /sbin/restore > /mnt/sbin/restore gzip -c -best /bin/sh > /mnt/bin/sh gzip -c -best /bin/sync > /mnt/bin/sync cp /root/.profile /mnt/root chmod 500 /mnt/sbin/init chmod 555 /mnt/sbin/fsck /mnt/sbin/mount /mnt/sbin/halt chmod 555 /mnt/bin/sh /mnt/bin/sync chmod 6555 /mnt/sbin/restore # # create minimum file system table # cat > /mnt/etc/fstab < /mnt/etc/passwd < /mnt/etc/master.passwd < 出现灾难后 关键问题是： 您的硬件是否幸免于难？ 由于已经做好了定期的备份工作， 因此并不需要担心软件的问题。 如果硬件已经损毁， 这些部分应该在尝试使用计算机之前换掉。 如果硬件还能用， 检查一下您的软盘。 如果使用定制的引导软盘， 启动单用户模式 (在 boot: 提示后输入 -s)。 跳过下面一段。 如果您使用 boot.flp 和 fixit.flp 软盘， 请继续阅读。 将 boot.flp 软盘插到计算机的第一个软驱并启动机器。 此时， 最初的安装菜单将显示在屏幕上。 选择 Fixit--Repair mode with CDROM or floppy. 选项。 在得到提示后插入 fixit.flp 。 restore 以及其他需要的程序， 可以在 /mnt2/rescue (对于 &os; 5.2 之前的版本， 则是 /mnt2/stand)。 分别恢复每一个文件系统 mount root partition bsdlabel newfs 试着 mount 上您的第一个磁盘的 root 分区(例如： mount /dev/da0a /mnt)。假如这个磁盘标签已经损坏，使用 bsdlabel 来重新分割并分配磁盘标签（利用您以前保留下来的数据）。使用 newfs 来建立文件系统，并重新挂上软盘读写的 root 分区 (mount -u -o rw /mnt)。然后使用备份程序及备份磁带来修复文件系统 (例如： restore vrf /dev/sa0)。最后 Unmount 这个文件系统 (例如： umount /mnt)。对于每个损坏的文件系统都重复一次。 当您的系统正常启动后，将您的数据备份到新的磁带。任何造成数据丢失的 的灾难都可能再次发生。现在花一些时间，也许可以使您免于下次的灾难。 * I Did Not Prepare for the Disaster, What Now? ]]> Marc Fonvieille Reorganized and enhanced by 网络、内存和 和以及映像文件为介质的虚拟文件系统 virtual disks 磁盘 虚拟 除了插在您计算机上的物理磁盘： 软盘、 CD、 硬盘驱动器， 等等之外， FreeBSD 还能识别一些其他的磁盘形式 - 虚拟磁盘。 NFS Coda disks memory 这还包括， 如 网络文件系统 (Network File System) 和 Coda一类的网络文件系统、 内存以及映像文件为介质的虚拟文件系统。 随运行的 FreeBSD 版本不同， 用来创建和使用以映像文件介质文件系统和内存文件系统的工具也不尽相同。 系统会使用 &man.devfs.5; 来创建设备节点， 这对用户来说是透明的。 以映像文件为介质的文件系统 disks (磁盘) file-backed (采用文件作为介质) 在 FreeBSD 系统中， 可以用 &man.mdconfig.8; 程序来配置和启用内存磁盘， &man.md.4;。 要使用 &man.mdconfig.8;， 就需要在内核配置文件中添加 &man.md.4; 模块来支持它： device md &man.mdconfig.8; 命令支持三种类型的虚拟文件系统： 使用 &man.malloc.9;，来分配内存文件系统，内存文件系统作为文件或作为 备用的交换分区。一种使用方式是在文件中来挂载一个软盘和 CD 镜像。 将一个暨存的映像文件作为文件系统挂载： 使用 <command>mdconfig</command> 挂载已经存在的映像文件 &prompt.root; mdconfig -a -t vnode -f diskimage -u 0 &prompt.root; mount /dev/md0 /mnt 使用 &man.mdconfig.8; 来创建新的映像文件: 使用 <command>mdconfig</command> 将映像文件作为文件系统挂载 &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; mdconfig -a -t vnode -f newimage -u 0 &prompt.root; bsdlabel -w md0 auto &prompt.root; newfs md0a /dev/md0a: 5.0MB (10224 sectors) block size 16384, fragment size 2048 using 4 cylinder groups of 1.25MB, 80 blks, 192 inodes. super-block backups (for fsck -b #) at: 160, 2720, 5280, 7840 &prompt.root; mount /dev/md0a /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0a 4710 4 4330 0% /mnt 如果没有通过 选项指定一个标识号 &man.mdconfig.8; 将使用 &man.md.4; 为它自动选择一个未用的设备标识号。 分配给它的标识名将被输出到标准输出设备， 其形式是与 md4 类似。 如果希望了解更多相关信息， 请参见联机手册 &man.mdconfig.8;。 &man.mdconfig.8; 功能很强大， 但在将映像文件作为文件系统挂载时， 仍需使用许多行的命令。 为此 FreeBSD 也提供了一个名为 &man.mdmfs.8; 的工具， 该程序使用 &man.mdconfig.8; 来配置 &man.md.4; 设备， 并用 &man.newfs.8; 在其上创建 UFS 文件系统， 然后用 &man.mount.8; 来完成挂载操作。 例如， 如果想创建和挂接像上面那样的文件系统映像， 只需简单地执行下面的步骤： 使用 <command>mdmfs</command> 命令配置和挂载一个映像文件为文件系统 &prompt.root; dd if=/dev/zero of=newimage bs=1k count=5k 5120+0 records in 5120+0 records out &prompt.root; mdmfs -F newimage -s 5m md0 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md0 4718 4 4338 0% /mnt 如果你使用没有加标识号的 选项， &man.mdmfs.8; 将使用 &man.md.4; 的自动标示号特性来自动为其 选择一个未使用的设备。更详细的 &man.mdmfs.8;，请参考联机手册。 以内存为介质的文件系统 disks (磁盘) 内存文件系统 一般来说， 在建立以内存为介质的文件系统时， 应使用 交换区作为介质 (swap backing)。 使用交换区作为介质， 并不意味着内存盘将被无条件地换出到交换区， 它只是表示将根据需要从可换出的内存池中分配内存。 此外， 也可以使用 &man.malloc.9; 创建以内存作为介质的文件系统。 不过在内存不足时， 这种方式可能引致系统崩溃。 用 <command>mdconfig</command> 创建新的内存盘设备 &prompt.root; mdconfig -a -t swap -s 5m -u 1 &prompt.root; newfs -U md1 /dev/md1: 5.0MB (10240 sectors) block size 16384, fragment size 2048 using 4 cylinder groups of 1.27MB, 81 blks, 192 inodes. with soft updates super-block backups (for fsck -b #) at: 160, 2752, 5344, 7936 &prompt.root; mount /dev/md1 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md1 4718 4 4338 0% /mnt 使用 <command>mdmfs</command> 来新建内存介质文件系统 &prompt.root; mdmfs -s 5m md2 /mnt &prompt.root; df /mnt Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/md2 4846 2 4458 0% /mnt 从系统中移除内存盘设备 磁盘 移除内存盘设备 当不再使用内存盘设备时， 应将其资源释放回系统。 第一步操作是卸下文件系统， 然后使用 &man.mdconfig.8; 把虚拟磁盘从系统中分离， 以释放资源。 例如， 要分离并释放所有 /dev/md4 使用的资源， 应使用命令： &prompt.root; mdconfig -d -u 4 mdconfig -l 命令可以列出关于配置 &man.md.4; 设备的信息。 Tom Rhodes Contributed by 文件系统快照 文件系统 快照 FreeBSD 提供了一个和 Soft Updates 关联的新功能: 文件系统快照 快照允许用户创建指定文件系统的映像，并把它们当做一个文件来对待。 快照文件必须在文件系统正在使用时创建，一个用户对每个文件系统创建的 快照不能大于20个。活动的快照文件被记录在超级块中，所以它们可以在系统 启动的时候一块进行挂接后摘掉。当一个快照不再需要时，可以使用标准的 &man.rm.1; 使用来使其删除。快照可以以任何顺序进行移除，但所有使用 的快照不可能同时进行移除，因为其它的快照将有可能互相引用一些块。 不可改的 文件标志， 是由 &man.mksnap.ffs.8; 在完成创建快照文件时设置的。 &man.unlink.1; 命令是一个特例， 以允许删除快照文件。 快照可以通过 &man.mount.8; 命令创建。 将文件系统 /var 的快照放到 /var/snapshot/snap 可以使用下面的命令： &prompt.root; mount -u -o snapshot /var/snapshot/snap /var 作为选择，你也可以使用 &man.mksnap.ffs.8; 来创建一个快照： &prompt.root; mksnap_ffs /var /var/snapshot/snap 可以查找文件系统中的快照文件 (例如 /var)， 方法是使用 &man.find.1; 命令： &prompt.root; find /var -flags snapshot 当快照文件被创建好后，可以用于下面一些目的： 有些管理员用文件快照来进行备份， 因为快照可以被转移到 CD 或磁带上。 文件系统一致性检查程序 &man.fsck.8; 可以用来检查快照文件。 如果文件系统在挂接前是一致的， 则检查结果也一定是一致的 (也就是不会做任何修改)。 实际上这也正是后台 &man.fsck.8; 的操作过程。 在快照上运行 &man.dump.8; 程序。 dump 将返回包含文件系统和快照的时间戳。&man.dump.8; 也能够抓取快照，使用 标志可以首先创建快照， 完成 dump 映像之后再自动删除它。 用 &man.mount.8; 来挂接快照作为文件系统的一个冻结的镜像。 要 &man.mount.8; 快照 /var/snapshot/snap 运行： &prompt.root; mdconfig -a -t vnode -f /var/snapshot/snap -u 4 &prompt.root; mount -r /dev/md4 /mnt 现在你就可以看到挂接在 /mnt 目录下的 /var 文件系统的快照。 每一样东西都保存的像它创建时的状态一样。 唯一例外的是更早的快照文件将表现为长度为 0 的文件。 用完快照文件之后可以把它卸下，使用： &prompt.root; umount /mnt &prompt.root; mdconfig -d -u 4 想了解更多关于 和 文件系统快照的信息， 包括技术说明， 可以访问 Marshall Kirk McKusick 的 WWW 站点 。 文件系统配额 accounting disk space disk quotas 配额是操作系统的一个可选的功能， 它允许管理员以文件系统为单元， 限制分派给用户或组成员所使用的磁盘空间大小或是使用的总文件数量。 这经常被用于那些分时操作的系统上， 对于这些系统而言， 通常希望限制分派到每一个用户或组的资源总量， 从而可以防止某个用户占用所有可用的磁盘空间。 配置系统来启用磁盘配额 在决定使用磁盘配额前，确信磁盘配额已经在内核中配置好了。只要在在内核 中配置文件中添加下面一行就行了： options QUOTA 在默认情况下 GENERIC 内核是不会启用这个功能的， 所以必须配置、重建和安装一个定制的内核。请参考 FreeBSD 内核配置 这章了解更多有关内核配置的信息。 接下来，需要在 /etc/rc.conf 中启用磁盘配额。可以 通过添加下面这行来完成： enable_quotas="YES" disk quotas checking 为了更好的控制配额时的启动，还有另外一个可配置的变量。通常 启动时，集成在每个文件系统上的配额会被配额检查程序 &man.quotacheck.8; 自动检查。配额检查功能能够确保在配额数据库中 的数据正确地反映了文件系统的数 据情况。这是一个很耗时间的处理进程，它会影响系统的启动时间。如果 想跳过这一步，可以在文件 /etc/rc.conf 加入 下面这一行来达到目的： check_quotas="NO" 最后，要编辑 /etc/fstab 文件，以在每一个 - 文件系统基础上雇用磁盘配额。这是启用用户和组配额，或同时启用用户 + 文件系统基础上启用磁盘配额。这是启用用户和组配额，或同时启用用户 和组配额的地方。 要在一个文件系统上启用每个用户的配额，可以在 /etc/fstab 里添加 选项在要雇用配额文件的系统上。例如： /dev/da1s2g /home ufs rw,userquota 1 2 同样的，要启用组配额，使用 选项来代替 选项。要同时启用用户和组配额，可以这样做： /dev/da1s2g /home ufs rw,userquota,groupquota 1 2 默认情况下，配额文件是存放在文件系统的以 quota.user 和 quota.group 命名的根目录下。可以查看 &man.fstab.5; 联机手册了解更多信息。 尽管联机手册 &man.fstab.5; 提到， 可以为配额文件指定其他的位置， 但并不推荐这样做， 因为不同的配额工具并不一定遵循此规则。 到这儿，可以用新内核重新启动系统。 /etc/rc 将自动 运行适当的命令来创建最初的配额文件，所以并不需要手动来创建任何零长度的配额 文件。 在通常的操作过程中，并不要求手动运行 &man.quotacheck.8;、 &man.quotaon.8;, 或 &man.quotaoff.8; 命令，然而可能需要阅读与他们的操作 相似的联机手册。 设置配额限制 disk quotas limits 一旦您配置好了启用配额的系统，可以检查一下它们是真的有用。 可以这样做： &prompt.root; quota -v 您应该能够看到一行当前正在使用的每个文件系统启用的磁盘配额 使用情况的摘要信息。 现在可以使用 &man.edquota.8; 命令准备启用配额限制。 有几个有关如何强制限制用户或组可以分配到的磁盘空间大小的选项。 您可以限制磁盘存储块的配额， 或文件的数量， 甚至同时限制两者。 这些限制最终可分为两类： 硬限制和软限制。 硬性限制 硬性限制是一种不能越过的限制。 一旦用户达到了系统指定的硬性限制， 他就无法在对应的文件系统分配到更多的资源。 例如， 如果文件系统上分给用户的硬性限制是 500 KB， 而现在已经用掉了 490 KB， 那么这个用户最多还能再分配 10 KB 的空间。 换言之， 如果这时试图再分配 11 KB， 则会失败。 软性限制 而与此相反， 软性限制在一段时间内是允许越过的。 这段时间也称为宽限期， 其默认值是一周。 如果一个用户延缓时间太长的话，软限制将会变成硬限制， 而继续分配磁盘空间的操作将被拒绝。 当用户占用的空间回到软性限制值以下时， 宽限期将重新开始计算。 下面是一个运行 &man.edquota.8; 时看到的例子。当 &man.edquota.8; 命令被调用时，会被转移进 EDITOR 环境变量指派的编辑 器中，允许编辑配额限制。如果环境变量没有设置，默认在 vi 编辑器上进行。 &prompt.root; edquota -u test Quotas for user test: /usr: kbytes in use: 65, limits (soft = 50, hard = 75) inodes in use: 7, limits (soft = 50, hard = 60) /usr/var: kbytes in use: 0, limits (soft = 50, hard = 75) inodes in use: 0, limits (soft = 50, hard = 60) 在每一个启用了磁盘配额的文件系统上，通常会看到两行。一行是 block 限制，另一行是 inode 限制。简单地改变要修改的配额限制的值。 例如，提高这个用户软限制的数值到 500 ，硬限制到 600 ： /usr: kbytes in use: 65, limits (soft = 50, hard = 75) to: /usr: kbytes in use: 65, limits (soft = 500, hard = 600) 当离开编辑器的时候，新的配额限制设置将会被保存。 有时，在 UIDs 的范围上设置配额限制是非常必要的。这可以通过在 &man.edquota.8; 命令后面加上 选项来完成。首先， 给用户分配所需要的配额限制，然后运行命令 edquota -p protouser startuid-enduid。例如，如果 用户 test 已经有了所需要的配额限制，下面的命令 可以被用来复制那些 UIDs 为10,000 到 19,999 的配额限制： &prompt.root; edquota -p test 10000-19999 更多细节请参考 &man.edquota.8; 联机手册。 检查配额限制和磁盘使用 disk quotas checking 既可以使用 &man.quota.1; 也可以使用 &man.repquota.8; 命令来检查 配额限制和磁盘使用情况。 &man.quota.1; 命令能够检查单个用户和组的配置 使用情况。只有超级用户才可以检查其它用户的配额和磁盘使用情况。 &man.repquota.8; 命令可以用来了解所有配额和磁盘的使用情况。 下面是一个使用 quota -v 命令后的输出情况： Disk quotas for user test (uid 1002): Filesystem usage quota limit grace files quota limit grace /usr 65* 50 75 5days 7 50 60 /usr/var 0 50 75 0 50 60 宽限期 前面以 /usr 作为例子。 此用户目前已经比软限制 50 KB 超出了 15 KB， 还剩下 5 天的宽限期。 请注意， 星号 * 说明用户已经超出了其配额限制。 通常， 如果用户没有使用文件系统上的磁盘空间， 就不会在 &man.quota.1; 命令的输出中显示， 即使已经为那个用户指定了配额。 而使用 选项则会显示它们， 例如前面例子中的 /usr/var。 通过 NFS 使用磁盘配额 NFS 配额能够在 NFS 服务器上被配额子系统强迫使用。在 NFS 客户端， &man.rpc.rquotad.8; 命令可以使用 quota 信息用于 &man.quota.1; 命令， 可以允许用户查看它们的 quota 统计信息。 可以这样在 /etc/inetd.conf 中启用 rpc.rquotad： rquotad/1 dgram rpc/udp wait root /usr/libexec/rpc.rquotad rpc.rquotad 现在重启 inetd： &prompt.root; /etc/rc.d/inetd restart Lucky Green Contributed by
shamrock@cypherpunks.to
 加密磁盘分区 disks encrypting FreeBSD 提供了极好的数据保护措施，防止未受权的数据访问。 文件权限和强制访问控制(MAC)(看 ) 可以帮助预防在操作系统处于运行状态和计算机加电时未受权的第三方访问数据。 但是，和操作系统强制受权不相关的是，如果黑客有物理上访问计算机的可能， 那他就可以简单的把计算机的硬件安装到另一个系统上复制出敏感的数据。 无论攻击者如何取得停机后的硬件或硬盘驱动器本身， &os; GEOM Based Disk Encryption (基于 GEOM 的磁盘加密， gbde) 和 geli 加密子系统都能够保护计算机上的文件系统数据， 使它们免受哪怕是训练有素的攻击者获得有用的资源。 与那些只能加密单个文件的笨重的加密方法不同， gbde 和 geli 能够透明地加密整个文件系统。 明文数据不会出现在硬盘的任何地方。 使用 <application>gbde</application> 对磁盘进行加密 成为 <username>root</username> 配置 gbde 需要超级用户的权力。 &prompt.user; su - Password: 在内核配置文件中添加对 &man.gbde.4; 的支持 在您的内核配置中加入下面一行： options GEOM_BDE 按照 所进行的介绍重新编译并安装内核。 重新引导进入新的内核。 另一种无需重新编译内核的方法， 是使用 kldload 来加载 &man.gbde.4;： &prompt.root; kldload geom_bde 准备加密盘 下面这个例子假设您添加了一个新的硬盘在您的系统并将拥有一个单独的加密分区。 这个分区将挂接在 /private目录下。 gbde 也可以用来加密 /home 和 /var/mail， 但是这需要更多的复杂命令来执行。 添加新的硬盘 添加新的硬盘到系统中可以查看在 中的说明。 这个例子的目的是说明一个新的硬盘分区已经添加到系统中如： /dev/ad4s1c。在例子中 /dev/ad0s1* 设备代表系统中存在的标准 FreeBSD 分区。 &prompt.root; ls /dev/ad* /dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1 /dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c /dev/ad0s1a /dev/ad0s1d /dev/ad4 创建一个目录来保存 gbde Lock 文件 &prompt.root; mkdir /etc/gbde gbde lock 文件包含了 gbde 需要访问的加密分区的信息。 没有 lock 文件， gbde 将不能解密包含在加密分区上的数据。 每个加密分区使用一个独立的 lock 文件。 初始化 gbde 分区 一个 gbde 分区在使用前必须被初始化， 这个初始化过程只需要执行一次： &prompt.root; gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c.lock &man.gbde.8; 将打开您的编辑器， 提示您去设置在一个模板文件中的配置变量。 使用 UFS1 或 UFS2，设置扇区大小为 2048： $FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $ # # Sector size is the smallest unit of data which can be read or written. # Making it too small decreases performance and decreases available space. # Making it too large may prevent filesystems from working. 512 is the # minimum and always safe. For UFS, use the fragment size # sector_size = 2048 [...] &man.gbde.8; 将让您输入两次用来加密数据的密钥短语。 两次输入的密钥必须相同。 gbde 保护您数据的能力依靠您选择输入的密钥的质量。 这个提示教您怎样选择一个安全易记的密钥短语， 请看 Diceware Passphrase 网站。 gbde init 命令为您的 gbde 分区创建了一个 lock 文件， 在这个例子中存储在 /etc/gbde/ad4s1c.lock中。 gbde lock 文件必须使用 .lock 扩展名才能够被 /etc/rc.d/gbde 启动脚本正确识别。 gbde lock 文件 必须 和加密分区上的内容同时备份。 如果发生只有 lock 文件遭到删除的情况时， 就没有办法确定 gbde 分区上的数据是否是解密过的。 另外， 如果没有 lock 文件， 即使磁盘的合法主人， 不经过大量细致的工作也无法访问加密分区上的数据， 而这是在设计 &man.gbde.8; 时完全没有考虑过的。 把加密分区和内核进行关联 &prompt.root; gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock 在加密分区的初始化过程中您将被要求提供一个密码短语。 新的加密设备将在 /dev 中显示为 /dev/device_name.bde： &prompt.root; ls /dev/ad* /dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1 /dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c /dev/ad0s1a /dev/ad0s1d /dev/ad4 /dev/ad4s1c.bde 在加密设备上创建文件系统 当加密设备和内核进行关联后， 您就可以使用 &man.newfs.8; 在此设备上创建文件系统， 使用 &man.newfs.8; 来初始化一个 UFS2 文件系统比初始化一个 UFS1 文件系统还要快，摧荐使用 选项。 &prompt.root; newfs -U -O2 /dev/ad4s1c.bde &man.newfs.8; 命令必须在一个 gbde 分区上执行， 这个分区通过一个存在的 *.bde 设备名进行标识。 挂接加密分区 为加密文件系统创建一个挂接点。 &prompt.root; mkdir /private 挂接加密文件系统。 &prompt.root; mount /dev/ad4s1c.bde /private 校验加密文件系统是否有效 加密的文件系统现在对于 &man.df.1; 应该可见并可以使用。 &prompt.user; df -H Filesystem Size Used Avail Capacity Mounted on /dev/ad0s1a 1037M 72M 883M 8% / /devfs 1.0K 1.0K 0B 100% /dev /dev/ad0s1f 8.1G 55K 7.5G 0% /home /dev/ad0s1e 1037M 1.1M 953M 0% /tmp /dev/ad0s1d 6.1G 1.9G 3.7G 35% /usr /dev/ad4s1c.bde 150G 4.1K 138G 0% /private 挂接已有的加密文件系统 每次系统启动后， 在使用加密文件系统前必须和内核重新进行关联， 校验错误和再次挂接。使用的命令必须由 root用户来执行。 关联 gbde 分区到内核 &prompt.root; gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock 接下来系统将提示您输入在初始化加密的 gbde 分区时所用的密码短语。 校验文件系统错误 加密文件系统不能列在 /etc/fstab 文件中进行自动加载， 在加载前必须手动运行 &man.fsck.8; 命令对文件系统进行错误检测。 &prompt.root; fsck -p -t ffs /dev/ad4s1c.bde 挂接加密文件系统 &prompt.root; mount /dev/ad4s1c.bde /private 加密后的文件系统现在可以有效使用。 自动挂接加密分区 可以创建脚本来自动地附加、 检测， 并挂接加密分区， 然而， 处于安全考虑， 这个脚本不应包含 &man.gbde.8; 密码。 因而， 我们建议这类脚本在控制台或通过 &man.ssh.1; 执行并要求用户输入口令。 除此之外， 系统还提供了一个 rc.d 脚本。 这个脚本的参数可以通过 &man.rc.conf.5; 来指定， 例如： gbde_autoattach_all="YES" gbde_devices="ad4s1c" gbde_lockdir="/etc/gbde" 在启动时将要求输入 gbde 的口令。 在输入正确的口令之后， gbde 加密分区将被自动挂接。 对于将 gbde 用在笔记本电脑上时， 这就很有用了。 gbde 提供的密码学保护 &man.gbde.8; 采用 CBC 模式的 128-位 AES 来加密扇区数据。 磁盘上的每个扇区都采用不同的 AES 密钥来加密。 要了解关于 gbde 的密码学设计， 包括扇区密钥如何从用户提供的口令字中生成等细节， 请参考 &man.gbde.4;。 兼容性问题 &man.sysinstall.8; 是和 gbde 加密设备不兼容的。 在启动 &man.sysinstall.8; 时必须将 *.bde 设备和内核进行分离，否则在初始化探测设备时将引起冲突。 与加密设备进行分离在我们的例子中使用如下的命令： &prompt.root; gbde detach /dev/ad4s1c 还需要注意的是， 由于 &man.vinum.4; 没有使用 &man.geom.4; 子系统， 因此不能同时使用 gbde 与 vinum 卷。 Daniel Gerzo 撰写者 使用 <command>geli</command> 对磁盘进行加密 从 &os; 6.0 开始提供了一个新的密码学 GEOM class — geli。 它目前由 &a.pjd; 开发。 Geli 工具与 gbde 不同； 它提供了一些不同的功能， 并采用了不同的方式来进行密码学运算。 &man.geli.8; 最重要的功能包括： 使用了 &man.crypto.9; 框架 — 如果系统中有加解密硬件加速设备， 则 geli 会自动加以利用。 支持多种加密算法 (目前支持 AES、 Blowfish， 以及 3DES)。 允许对根分区进行加密。 在系统启动时， 将要求输入用于加密根分区的口令。 允许使用两个不同的密钥 (例如， 一个 个人密钥 和一个 公司密钥)。 geli 速度很快 — 它只进行简单的扇区到扇区的加密。 允许备份和恢复主密钥。 当用户必须销毁其密钥时， 仍然可以通过从备份中恢复密钥来存取数据。 允许使用随机的一次性密钥来挂接磁盘 — 这对于交换区和临时文件系统非常有用。 更多 geli 功能介绍可以在 &man.geli.8; 联机手册中找到。 下面的步骤介绍了如何启用 &os; 内核中的 geli 支持， 并解释了如何创建新和使用 geli 加密 provider。 要使用 geli， 您必须运行 &os; 6.0-RELEASE 或更新版本。 由于需要修改内核， 因此您还需要拥有超级用户权限。 在内核中加入 <command>geli</command> 支持 在内核配置文件中加入下面两行： options GEOM_ELI device crypto 按照 介绍的步骤重新编译并安装内核。 另外， geli 也可以在系统引导时加载。 这是通过在 /boot/loader.conf 中增加下面的配置来实现的： geom_eli_load="YES" &man.geli.8; 现在应该已经为内核所支持了。 生成主密钥 下面的例子讲描述如何生成密钥文件， 它将作为主密钥 (Master Key) 的一部分， 用于挂接到 /private 的加密 provider。 这个密钥文件将提供一些随机数据来加密主密钥。 同时， 主密钥也会使用一个口令字来保护。 Provider 的扇区尺寸为 4kB。 此外， 这里的讨论将介绍如何挂载 geli provider， 在其上创建文件系统， 如何挂接并在其上工作， 最后将其卸下。 建议您使用较大的扇区尺寸 (例如 4kB)， 以获得更好的性能。 主密钥将由口令字保护， 而密钥文件的数据来源则将是 /dev/random。 我们称之为 provider 的 /dev/da2.eli 的扇区尺寸将是 4kB。 &prompt.root; dd if=/dev/random of=/root/da2.key bs=64 count=1 &prompt.root; geli init -s 4096 -K /root/da2.key /dev/da2 Enter new passphrase: Reenter new passphrase: 同时使用口令字和密钥文件并不是必须的； 您也可以只使用其中的一种来加密主密钥。 如果密钥文件写作 -， 则表示使用标准输入。 下面是关于如何使用多个密钥文件的例子： &prompt.root; cat keyfile1 keyfile2 keyfile3 | geli init -K - /dev/da2 将 provider 与所生成的密钥关联 &prompt.root; geli attach -k /root/da2.key /dev/da2 Enter passphrase: 新的明文设备将被命名为 /dev/da2.eli。 &prompt.root; ls /dev/da2* /dev/da2 /dev/da2.eli 创建新的文件系统 &prompt.root; dd if=/dev/random of=/dev/da2.eli bs=1m &prompt.root; newfs /dev/da2.eli &prompt.root; mount /dev/da2.eli /private 现在加密的文件系统应该已经可以被 &man.df.1; 看到， 并处于可用状态了： &prompt.root; df -H Filesystem Size Used Avail Capacity Mounted on /dev/ad0s1a 248M 89M 139M 38% / /devfs 1.0K 1.0K 0B 100% /dev /dev/ad0s1f 7.7G 2.3G 4.9G 32% /usr /dev/ad0s1d 989M 1.5M 909M 0% /tmp /dev/ad0s1e 3.9G 1.3G 2.3G 35% /var /dev/da2.eli 150G 4.1K 138G 0% /private 卸下卷并断开 provider 一旦在加密分区上的工作完成， 并且不再需要 /private 分区， 就应考虑将其卸下并将 geli 加密分区从内核上断开。 &prompt.root; umount /private &prompt.root; geli detach da2.eli 关于如何使用 &man.geli.8; 的更多信息， 可以在其联机手册中找到。 使用 <filename>geli</filename> <filename>rc.d</filename> 脚本 geli 提供了一个 rc.d 脚本， 它可以用于简化 geli 的使用。 通过 &man.rc.conf.5; 配置 geli 的方法如下： geli_devices="da2" geli_da2_flags="-p -k /root/da2.key" 这将把 /dev/da2 配置为一个 geli provider， 其主密钥文件位于 /root/da2.key， 而 geli 在连接 provider 时将不使用口令字 (注意只有在 geli init 阶段使用了 才可以这样做)。 系统将在关闭之前将 geli provider 断开。 关于如何配置 rc.d 的详细信息可以在使用手册的 rc.d 一节中找到。 Christian Brüffer 原作 对交换区进行加密 swap (交换区) encrypting (加密) 从 &os; 5.3-RELEASE 开始， &os; 提供了易于配置的交换区加密机制。 随所用的 &os; 版本， 可用的配置选项会有所不同， 而配置方法也会有一些差异。 从 &os; 6.0-RELEASE 开始， 已经可以使用 &man.gbde.8; 和 &man.geli.8; 两种加密系统来进行交换区的加密操作了。 在更早的版本中， 则只提供了 &man.gbde.8;。 前面所说的这两种加密系统， 都用到了 encswap 这个 rc.d 脚本。 在前面的小节 如何加密磁盘分区 中， 已经就不同的加密系统之间的区别进行了简单的讨论。 为什么需要对交换区进行加密？ 与加密磁盘分区类似， 加密交换区有助于保护敏感信息。 为此， 我们不妨考虑一个需要处理敏感信息的程序， 例如， 它需要处理口令。 如果这些口令一直保持在物理内存中， 则一切相安无事。 然而， 如果操作系统开始将内存页换出到交换区， 以便为其他应用程序腾出内存时， 这些口令就可能以未加密的形式写到磁盘上， 并为攻击者所轻易获得。 加密交换区能够有效地解决这类问题。 准备 在本节余下的部分中， 我们约定使用 ad0s1b 作为交换区。 到目前为止， 交换区仍是未加密的。 很可能其中已经存有明文形式的口令或其他敏感数据。 要纠正这一问题， 首先应使用随机数来覆盖交换分区的数据： &prompt.root; dd if=/dev/random of=/dev/ad0s1b bs=1m 使用 &man.gbde.8; 来加密交换区 如果使用 &os; 6.0-RELEASE 或更新的版本， 则 /etc/fstab 中与交换区对应的行中， 设备名应追加 .bde 后缀： # Device Mountpoint FStype Options Dump Pass# /dev/ad0s1b.bde none swap sw 0 0 对于 &os; 6.0-RELEASE 之前的版本， 还需要在 /etc/rc.conf 中加入： gbde_swap_enable="YES" 使用 &man.geli.8; 来加密分区 另一种方法是使用 &man.geli.8; 来达到加密交换区的目的， 其过程与使用 &man.gbde.8; 大体相似。 此时， 在 /etc/fstab 中交换区对应的行中， 设备名应追加 .eli 后缀： # Device Mountpoint FStype Options Dump Pass# /dev/ad0s1b.eli none swap sw 0 0 &man.geli.8; 默认情况下使用密钥长度为 256-位的 AES 加密算法。 当然， 这些默认值是可以通过 /etc/rc.conf 中的 geli_swap_flags 选项来修改的。 下面的配置表示让 rc.d 脚本 encswap 创建一个 &man.geli.8; 交换区， 在其上使用密钥长度为 128-位 的 Blowfish 加密算法， 4 kilobytes 的扇区尺寸， 并采用 最后一次关闭时卸下 的策略： geli_swap_flags="-e blowfish -l 128 -s 4096 -d" For systems prior to &os; 6.2-RELEASE, use the following line: geli_swap_flags="-a blowfish -l 128 -s 4096 -d" 请参见 &man.geli.8; 联机手册中关于 onetime 命令的说明， 以了解其他可用的选项。 验证所作的配置能够发挥作用 在重启系统之后， 就可以使用 swapinfo 命令来验证加密交换区是否已经在正常运转了。 如果使用了 &man.gbde.8;， 则： &prompt.user; swapinfo Device 1K-blocks Used Avail Capacity /dev/ad0s1b.bde 542720 0 542720 0% 如果使用了 &man.geli.8;， 则： &prompt.user; swapinfo Device 1K-blocks Used Avail Capacity /dev/ad0s1b.eli 542720 0 542720 0% diff --git a/zh_CN.GB2312/books/handbook/dtrace/chapter.sgml b/zh_CN.GB2312/books/handbook/dtrace/chapter.sgml index eeb7dcf102..fef6172f4d 100644 --- a/zh_CN.GB2312/books/handbook/dtrace/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/dtrace/chapter.sgml @@ -1,370 +1,370 @@ Tom Rhodes Written by &dtrace; 概述 &dtrace; &dtrace; support &dtrace; &dtrace;，也称为动态跟踪，是由 &sun; 开发的一个用来在生产和试验性生产系统上找出系统瓶颈的工具。 在任何情况下它都不是一个调试工具， 而是一个实时系统分析寻找出性能及其他问题的工具。 &dtrace; 是个特别好的分析工具，带有大量的帮助诊断系统问题的特性。 还可以使用预先写好的脚本利用它的功能。 用户也可以通过使用 &dtrace; D 语言创建他们自己定制的分析工具， 以满足特定的需求。 在阅读了这一章节之后，你将了解： &dtrace; 是什么，它提供了些哪些特性。 &dtrace; 在 &solaris; 与 &os; 上的实现的差别。 如何在 &os; 上开启和使用 &dtrace;。 在阅读这一章节之前，你应该了解： 了解 &unix; 和 &os; 的基本知识 ()。 熟悉基本的内核配置/编译 (). 熟悉 &os; 有关的安全知识 ()。 了解如何获取和重新编译 &os; 源代码 ()。 这项特性目前仍被认为是试验性的。 有些选项功能性缺失，另有一些可能还无法运行。最终， 这个特性会适合用于生产，届时这篇文档也会做些适当的修改。 实现上的差异 虽然 &os; 上的 &dtrace; 与 &solaris; 上的非常相似， 在继续深入之前我们需要说明一下存在的差异。 用户首先会注意到的便是 &os; 上的 &dtrace; 需要明确地被启用。 &dtrace; 相关的内核选项和模块必须开启后才能正常工作。 稍后我们会作详细介绍。 有一个 DDB_CTF 内核选项用来开启从内核与内核模块加载 CTF 数据。 CTF 是 &solaris; Compact C Type Format 封装了类似于 DWARF 和 venerable stabs 简化的调试信息。CTF 数据是由 ctfconvert 和 ctfmerge 工具加入二进制文件的。ctfconvert - 工具分析由编译器生成的 DWARF 调试 - ELF section， + 工具分析由编译器生成的 DWARF + ELF 调试 section， ctfmerge 合并目标文件的 CTF ELF section 到可执行文件或共享库。更多关于在启用 &os; 内核上启用此项的详细内容即将完成。 比起 &solaris;， &os; 有几个不同提供器。 最值得注意的是 dtmalloc 提供器， 可以让你根据类型追踪 &os; 内核中的 malloc()。 只有 root 可以使用 &os; 上的 &dtrace;。 这是由系统安全上的差异造成的，&solaris; 提供了一些 &os; 上还未实现的低层的安全检查。 同样， /dev/dtrace/dtrace 也被严格的限制为仅供 root 用户访问。 最后，&dtrace; 为 &sun; CDDL 许可下发布的软件。随 &os; 发行的 Common Development and Distribution License 可以在查阅 /usr/src/cddl/contrib/opensolaris/OPENSOLARIS.LICENSE 或者通过 查看在线版本。 这个许可表示带有 &dtrace; 选项的 &os; 内核仍为 BSD 许可； 然而， 以二进制发布模块， 或者加载二进制模块则需遵守 CDDL。 启用 &dtrace; 支持 在内核配置文件中加入以下几行来开启对 &dtrace; 的支持： options KDTRACE_HOOKS options DDB_CTF 使用 AMD64 架构的需要在内核配置文件中加入如下这行： options KDTRACE_FRAME 此选项提供了对 FBT 特性的支持。 &dtrace; 可以在没有此选项的情况下正常工作， 但是函数边界跟踪便会有所限制。 所有的源代码都必须重新使用 CTF 选项编译安装。重新编译 &os; 源代码可以通过以下的命令完成： &prompt.root; cd /usr/src &prompt.root; make WITH_CTF=1 kernel 系统需要重新启动。 在重新启动和新内核载入内存之后，需要添加 Korn shell 的支持。因为 &dtrace; 工具包有一些工具是由 ksh 写的。安装 shells/ksh93。 同样也可以通过 shells/pdksh 或者 shells/mksh 使用这些工具。 最后是获得最新的 DTrace 工具包。 当前版本可以通过下面的链接找到 。 这个工具包含有一个安装机制，尽管如此，并不需要安装便可使用它们。 使用 &dtrace; 在使用 &dtrace; 的功能之前，&dtrace; 设备必须存在。 使用如下的命令装载此设备： &prompt.root; kldload dtraceall &dtrace; 支持现在应该可以使用了。 管理员现在可以使用如下的命令查看所有的探测器： &prompt.root; dtrace -l | more 所有的输出都传递给 more 工具， 因为它们会很快超出屏幕的显示区域。此时，&dtrace; 应该被认为是能够正常工作的了。现在是该考察工具包的时候了。 工具包是实现写好的一堆脚本，与 &dtrace; 一起运行来收集系统信息。 有脚本用来检查已打开的文件，内存，CPU 使用率和许多东西。使用如下的命令解开脚本： &prompt.root; gunzip -c DTraceToolkit* | tar xvf - 使用 cd 命令切换到那个目录， 并修改所有文件的可执行权限，把那些名字小写的文件权限改为 755。 所有这些脚本都需要修改它们的内容。那些指向 /usr/bin/ksh 需要修改成 /usr/local/bin/ksh，另外使用 /usr/bin/sh 需要变更为 /bin/sh，最后还有使用 /usr/bin/perl 的需要变更为 /usr/local/bin/perl。 此刻还需谨慎提醒一下读者 &os; 的 &dtrace; 支持仍是 不完整的 和 试验性 的。 这些脚本中的大多数都无法运行，因为它们过于针对 &solaris; 或者使用了目前还不支持的探测器。 在撰写这篇文章的时候，&dtrace; 工具包中只有两个脚本在 &os; 上是完全支持的： hotkernel 和 procsystime 脚本。这两个脚本便是我们下一部分将要探讨的： hotkernel 被设计成验明哪个函数占用了内核时间。 正常运行的话，它将生成类似以下的输出： &prompt.root; ./hotkernel Sampling... Hit Ctrl-C to end. 系统管理员必须使用 CtrlC 组合键停止这个进程。 紧接着中止之后，脚本便会一张内核函数与测定时间的列表， 使用增量排序输出： kernel`_thread_lock_flags 2 0.0% 0xc1097063 2 0.0% kernel`sched_userret 2 0.0% kernel`kern_select 2 0.0% kernel`generic_copyin 3 0.0% kernel`_mtx_assert 3 0.0% kernel`vm_fault 3 0.0% kernel`sopoll_generic 3 0.0% kernel`fixup_filename 4 0.0% kernel`_isitmyx 4 0.0% kernel`find_instance 4 0.0% kernel`_mtx_unlock_flags 5 0.0% kernel`syscall 5 0.0% kernel`DELAY 5 0.0% 0xc108a253 6 0.0% kernel`witness_lock 7 0.0% kernel`read_aux_data_no_wait 7 0.0% kernel`Xint0x80_syscall 7 0.0% kernel`witness_checkorder 7 0.0% kernel`sse2_pagezero 8 0.0% kernel`strncmp 9 0.0% kernel`spinlock_exit 10 0.0% kernel`_mtx_lock_flags 11 0.0% kernel`witness_unlock 15 0.0% kernel`sched_idletd 137 0.3% 0xc10981a5 42139 99.3% 这个脚本也能与内核模块一起工作。要使用此特性， 用 标志运行脚本： &prompt.root; ./hotkernel -m Sampling... Hit Ctrl-C to end. ^C MODULE COUNT PCNT 0xc107882e 1 0.0% 0xc10e6aa4 1 0.0% 0xc1076983 1 0.0% 0xc109708a 1 0.0% 0xc1075a5d 1 0.0% 0xc1077325 1 0.0% 0xc108a245 1 0.0% 0xc107730d 1 0.0% 0xc1097063 2 0.0% 0xc108a253 73 0.0% kernel 874 0.4% 0xc10981a5 213781 99.6% procsystime 脚本捕捉并打印给定 PID 的系统调用时间。 在下面的例子中，新生成了一个 /bin/csh 实例。procsystime 执行后则等待在新运行的 csh 上键入一些命令。 这是测试的结果： &prompt.root; ./procsystime -n csh Tracing... Hit Ctrl-C to end... ^C Elapsed Times for processes csh, SYSCALL TIME (ns) getpid 6131 sigreturn 8121 close 19127 fcntl 19959 dup 26955 setpgid 28070 stat 31899 setitimer 40938 wait4 62717 sigaction 67372 sigprocmask 119091 gettimeofday 183710 write 263242 execve 492547 ioctl 770073 vfork 3258923 sigsuspend 6985124 read 3988049784 正如显示的那样，read 系统调用似乎使用了最多的纳秒单位时间， getpid() 系统调用使用了最少的时间。 D 语言 &dtrace; 工具包包括了很多由 &dtrace; 特殊语言写成的脚本。 在 &sun; 的文档中称这类语言为 D 语言， 它与 C++ 非常类似。对此语言更深入的讨论则超出了这篇文章的范围。 更多相关的讨论可以在 找到。 diff --git a/zh_CN.GB2312/books/handbook/eresources/chapter.sgml b/zh_CN.GB2312/books/handbook/eresources/chapter.sgml index 71c56f5d01..f3ca415a49 100644 --- a/zh_CN.GB2312/books/handbook/eresources/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/eresources/chapter.sgml @@ -1,1792 +1,1811 @@ Internet上的资源 发展迅猛的FreeBSD使得现有的印刷、平面媒体跟不上它的发展进度！ 而电子版的也许是最好的，通常是唯一一个可以跟上最新发展方向的。FreeBSD来自于志愿者的成果， 用户社区通常也扮演着是“技术支持部门”的角色。通过电子邮， Web 论坛件和 USENET 新闻组可以很快的找到他们。 以下列出了尽量多的联系FreeBSD用户社区的方式。如果您发现有其他的资源没有被包括在这儿， 请告诉&a.doc;，以便将它们加入到这里。 邮件列表 邮件列表通常是提问或是发起有关 FreeBSD 某一方面的专项技术讨论最直接的途径。 有多种针对于不同 FreeBSD 话题的邮件列表。 把你的问题发送到最合适的邮件列表通常能获得更加快速准确的回复。 本文的最后给出了各个不同的邮件列表的使用规则。 在订阅其中任何一个列表之前，请先阅读使用条文。 现在订阅这些邮件列表的人每天都会收到上百封关于FreeBSD的信件。 设立列表的使用条文有助于维护讨论质量。否则这些讨论计划的列表将失去其意义。 如果你想要尝试发送一封邮件到 &os; 邮件列表，你可以把邮件发往 &a.test.name;。 请不要往其他的列表发送测试邮件。 如果不知道哪个邮件列表适合于发送您的问题， 请参见 如何从 FreeBSD-questions 邮件列表中更快地得到答案。 在列表中发送任何问题之前， 请首先学习使用邮件列表的最佳方式， 例如如何通过阅读 邮件列表常见问题回答集 (FAQ) 文档， 来避免经常重复的讨论。 全部的邮件列表记录都可以在FreeBSD World Wide Web服务器上找到。此服务器提供了很棒的关键词搜寻功能，可让您找到FAQ的解答。 而在邮件列表上提问之前，请先搜寻是否已有答案。 请注意这意味着所有发往 FreeBSD 邮件列表的消息都会被永久归档保存。 当涉及到隐私保护的话， 可以考虑使用一个可使用后丢弃的电子邮件地址并只发送公开的信息。 列表摘要 一般性的列表: 以下的列表都是一般性的， 而且可以自由地加入，鼓励大家加入他们: 目录 用途 &a.advocacy.name; FreeBSD鼓吹者 &a.announce.name; 重要的事件和里程碑 &a.arch.name; 架构和设计的讨论 &a.bugbusters.name; 与FreeBSD问题报告数据库和有关工具维护相关的讨论 &a.bugs.name; 报告FreeBSD的Bug &a.chat.name; 和技术无关的FreeBSD讨论区 &a.current.name; 讨论使用 &os.current; 有关的一些问题 &a.isp.name; ISP使用FreeBSD的讨论 &a.jobs.name; 与FreeBSD有关的工作机会 &a.policy.name; FreeBSD核心团队方针讨论。低流量并且只读的 &a.questions.name; 用户问题和技术支持 &a.security-notifications.name; 安全通知 &a.stable.name; 讨论使用 &os.stable; 有关的一些问题 &a.test.name; 在真正发送一个邮件到邮件列表之前可以先发送到这里测试 技术性的邮件列表: 以下的邮件列表是用来讨论技术性问题的。 在加入订阅及讨论之前请务必认真阅读每个列表主题，因为他们讨论的内容都是严格地被限制着的。 目录 用途 &a.acpi.name; ACPI 和电源管理的开发 &a.afs.name; 将 AFS 移植到 FreeBSD &a.aic7xxx.name; 为 &adaptec; AIC 7xxx 开发驱动 &a.alpha.name; 将 FreeBSD 移植到 Alpha 工作站 &a.amd64.name; 将 FreeBSD 移植到 AMD64 系统 &a.apache.name; 关于与 Apache 有关的 ports 的讨论 &a.arm.name; 将 FreeBSD 移植到 &arm; 处理器 &a.atm.name; 在 FreeBSD 上使用 ATM 网络 &a.audit.name; 源代码审核 &a.binup.name; 二进制更新系统的设计和开发 &a.bluetooth.name; 在 FreeBSD 上使用 &bluetooth; 技术 &a.cluster.name; 在集群环境中使用 FreeBSD &a.cvsweb.name; CVSweb 维护 &a.database.name; 讨论 FreeBSD 下开发和使用数据库 &a.doc.name; 创建 FreeBSD 相关文档 &a.drivers.name; 为 &os; 撰写驱动 &a.eclipse.name; &os; 上的 Eclipse IDE、工具、 富客户应用， 以及 ports 的用户讨论。 &a.embedded.name; 在嵌入式应用中使用 FreeBSD &a.eol.name; 关于与 FreeBSD 有关， 但已不再为 FreeBSD Project 所维护的软件的互助支持。 &a.emulation.name; 在 FreeBSD 上模拟其它系统， 如 Linux/&ms-dos;/&windows; &a.firewire.name; FreeBSD 的 &firewire; (iLink, IEEE 1394) 技术讨论 &a.fs.name; 文件系统 + + &a.gecko.name; + Gecko 渲染引擎 issues + + &a.geom.name; 针对 GEOM 的讨论和实现 &a.gnome.name; 移植 GNOME 和 GNOME应用程序 &a.hackers.name; 一般性的技术讨论 &a.hardware.name; 一般性的支持 FreeBSD 的硬件的讨论 &a.i18n.name; FreeBSD 的国际化 &a.ia32.name; 在 IA-32 (&intel; x86) 平台上运行 FreeBSD &a.ia64.name; 将 FreeBSD 移植到 &intel; 即将推出的 IA64 系统 &a.ipfw.name; 关于 IP 防火墙代码再设计的技术性讨论 &a.isdn.name; ISDN开发人员 &a.jail.name; 关于 &man.jail.8; 机制的讨论 &a.java.name; &java; 开发人员以及移植 &jdk;s 到 FreeBSD 的人们 &a.kde.name; 移植 KDE 和 KDE 应用程序 &a.lfs.name; 移植 LFS 到FreeBSD上 &a.libh.name; 第二代的安装和 package 系统 &a.mips.name; 移植 FreeBSD 到 &mips; &a.mobile.name; 关于便携式计算机的讨论 &a.mono.name; FreeBSD 上的 Mono 和 C# 应用 &a.mozilla.name; 移植 Mozilla 到 FreeBSD 上 &a.multimedia.name; 多媒体应用程序 &a.newbus.name; 技术讨论关于总线架构 &a.net.name; 网络子系统和 TCP/IP 源代码的讨论 &a.openoffice.name; 移植 OpenOffice.org 和 &staroffice; 到 FreeBSD 上 &a.performance.name; 高性能、负载下安装后的性能调整问题 &a.perl.name; 许多与 perl 相关的 ports 的维护 &a.pf.name; 关于 packet filter 防火墙系统的讨论 &a.platforms.name; 关于向非 &intel; 架构的平台上移植的讨论 &a.ports.name; 关于 Ports Collection 的讨论 &a.ports-bugs.name; ports bugs/PRs讨论 &a.ppc.name; 移植 FreeBSD 到 &powerpc; &a.proliant.name; 关于 FreeBSD 在 HP ProLiant 服务器平台上的技术讨论 &a.python.name; FreeBSD 专属的 Python 问题 &a.qa.name; 质量保证(QA)讨论, 通常在未发布之前 &a.rc.name; 关于 rc.d 系统及其开发的讨论 &a.realtime.name; FreeBSD 实时扩展的开发 &a.ruby.name; 关于 FreeBSD 上 Ruby 的讨论 &a.scsi.name; SCSI 子系统 &a.security.name; 系统安全 &a.small.name; 在嵌入式系统上使用 FreeBSD (已过时； 请使用 &a.embedded.name; 代替) &a.smp.name; 有关对称多处理器的设计讨论 &a.sparc.name; 移植 FreeBSD 到 &sparc; 系统 &a.standards.name; 让 FreeBSD 顺应 C99 以及 &posix; 标准 &a.sun4v.name; 将 FreeBSD 移植到基于 &ultrasparc; T1 的系统上 &a.threads.name; 线程 &a.testing.name; FreeBSD 性能和稳定性测试 &a.tokenring.name; 在 FreeBSD 中支持 Token Ring &a.usb.name; 关于 &os; 的 USB 支持的讨论 &a.virtualization.name; 讨论各种 &os; 支持的虚拟化技术 &a.vuxml.name; 关于 VuXML 的问题讨论 &a.x11.name; 维护和支持在 FreeBSD 上运行的 X11 &a.xen.name; 讨论 &os; &xen; 上的移植 — 实现和使用 限制订阅的列表: 以下的列表是针对某些特定的读者而设的， 而且并不适合被当成是一般公开讨论区。您最好在某一技术讨论区参与讨论后再选择订阅这些 限制订阅的邮件列表，因为这样您可以了解到在这些讨论区发言所需要的礼仪。 目录 用途 &a.hubs.name; 运行镜象站点的成员(支持基本服务) &a.usergroups.name; 用户组调整 &a.vendors.name; 商家在发布之前的调整 &a.wip-status.name; FreeBSD 项目进度状态 &a.www.name; www.FreeBSD.org的维护 分类列表: 所有以上的列表在一个分类格式里面是可利用的。 一旦订阅了一个列表，您可以在您的账号选项里面设置您的分类选项。 CVS 和 SVN 列表: 以下的邮件是给对FreeBSD源代码的变更记录有兴趣的人看的， 而且它们是只读的邮件列表，您不能发Email给他们。 列表 源位置 描述 &a.cvsall.name; /usr/(CVSROOT|doc|ports) 所有对源代码的改变纪录 (其他 CVS commit 列表的超集) &a.cvs-doc.name; /usr/(doc|www) 所有对 doc 和 www 源代码的改变记录 &a.cvs-ports.name; /usr/ports 所有对 ports 源代码的改变记录 &a.cvs-projects.name; /usr/projects 所有对 projects 源代码的改变记录 &a.cvs-src.name; /usr/src 所有对 src 源代码的改变记录 （由 svn-to-cvs 提交导入程序生成） &a.svn-src-all.name; /usr/src 所有对 Subversion 仓库的改变记录 (除了 user 和 projects) &a.svn-src-head.name; /usr/src 所有对 Subversion 仓库 head 分支的改变记录 (&os;-CURRENT 分支) &a.svn-src-projects.name; /usr/projects 所有对 Subversion 源码仓库中有关 projects 部分的改变记录 &a.svn-src-release.name; /usr/src 所有对 Subversion 源码仓库中有关 releases 部分的改变记录 &a.svn-src-releng.name; /usr/src 所有对 Subversion 源码仓库中有关 releng 部分的改变记录 (security / release engineering 分支) &a.svn-src-stable.name; /usr/src 所有对 Subversion 源码仓库中有关 stable 分支的改变记录 &a.svn-src-stable-6.name; /usr/src 所有对 Subversion 源码仓库中有关 stable/6 分支的改变记录 &a.svn-src-stable-7.name; /usr/src 所有对 Subversion 源码仓库中有关 stable/7 分支的改变记录 &a.svn-src-stable-other.name; /usr/src 所有对 Subversion 源码仓库中早期 stable 分支的改变记录 &a.svn-src-svnadmin.name; /usr/src 所有对 Subversion 源码仓库中管理用脚本, hook 和其他配置数据的改变记录 &a.svn-src-user.name; /usr/src 所有对 Subversion 源码仓库中有关 user 部分的改变记录 &a.svn-src-vendor.name; /usr/src 所有对 Subversion 源码仓库中有关 vender 部分的改变记录 如何订阅 订阅一个列表，点击上面的列表名字或到 &a.mailman.lists.link; 并点击进入您感兴趣的列表，这个列表的页面包含了所必需的订阅操作指南。 其实您只需发送邮件到 列表名@FreeBSD.org。 它将被再次转发到全世界的这个邮件列表的成员。 点击上面的 URL，在列表的底部可以从订阅的列表中退出。 也可以发送一个电子邮件到 列表名-unsubscribe@FreeBSD.org 来退订。 此外，我们要求您必须保持在技术性的邮件列表中只是讨论技术。 如果您只是对一些重要的公告感兴趣，建议您加入 &a.announce;， 它的通信量比较低。 列表规章 所有 FreeBSD 的邮件列表都有同样的基本规则， 所有人必须按照规则来做。 违反这些规则时， FreeBSD Postmaster postmaster@FreeBSD.org 会在前两次发送警告， 如果第三次违反， FreeBSD Postmaster 将从所有 FreeBSD 的邮件列表中删除这样的人， 并过滤来自发信人之后的所有邮件。 我们很遗憾必须要遵守这样的规则， 但今天的互联网是一个很混乱的环境， 它上面的很多约束机制， 都相当脆弱。 具体规则: 任何发表的主题都应当附合基本的列表概况。例如，如果列表是有关技术问题的， 那您发表的文章包含技术讨论。不要把不相关的讨论放在一起。 对于没有主题的自由形式的讨论，可以使用 FreeBSD-chat freebsd-chat@FreeBSD.org。 不要将同一个问题发送到超过两个的邮件列表上，当有一个清晰和明显的必须要 发表到两个列表的要求时，也只能是两个。对于大多数的列表，已经有相当多的订户了， 除了一些比较深奥的问题(如-stable & -scsi) ，没有必要同时将一个问题发到多个列表上。 如果一个信息以这种方式（多个邮件列表在Cc行出现）被发送给您， 那Cc行在把它再发送出去之前也将被整理。 无论谁是最初发表者，都会导致您自己的交叉发送。 不容许进行人身攻击和亵渎（在前后的争论中），包括用户和开发人员。 应当遵守最起码的网络礼节，象需要征得同意才可以引用或张贴私人邮件等。 然而，也有非常少的情况下，这样的内容会符合列表规章， 因此，它会在最初给予警告（或禁止）。 严格的禁止非FreeBSD相关产品或服务的广告，一旦发现将马上取缔。 单独的列表规章: &a.acpi.name; ACPI和电源管理开发 &a.afs.name; Andrew文件系统 这个列表是用来讨论porting和从CMU/Transarc使用AFS。 &a.announce.name; 重要事件/里程碑 这是一个发布FreeBSD重大事件的邮件列表。这包括有关snapshots和其他版本的公告， 新的FreeBSD的性能的公告，还可以用于指派志愿者等等。这个列表比较小。 &a.arch.name; 架构和设计讨论 这个列表是讨论FreeBSD的架构。本质上应保证内容的纯技术性。例如主题是： 如何重新创建系统使其同时有几个自己构造的系统运行。 需要什么才能修复VFS来使Heidemann层工作。 我们怎么改变设备驱动程序接口以便能够在多种总线和体系结构上使用同样的驱动程序。 如何写一个网络驱动。 &a.audit.name; 源代码审核计划 这个是针对FreeBSD源代码审核计划的邮件列表， 虽然这最初是针对安全方面代码修正的讨论，现在它已经扩展到任何代码修正的讨论。 这个列表涉及补丁方面的问题比较多，可能普通的FreeBSD用户对此不感兴趣。 不与一个特定的代码修正相关的安全讨论将放在freebsd-security中。相反的， 所有的开发人员都被鼓励把他们的补丁发到这儿来， 特别是如果他们发现有一个错误可能会影响系统的完整性时。 &a.binup.name; FreeBSD二进制升级计划 这个列表主要是讨论二进制升级binup系统。 设计问题，执行细节，补丁，错误报告，状态报告，特性要求， 提交日志，和所有其他与 binup相关的东西都可以。 &a.bluetooth.name; FreeBSD 上的 &bluetooth; 这是一个 FreeBSD 的 &bluetooth; 用户聚集的讨论区。 这里欢迎关于设计问题、 实现细节、 补丁、 问题报告、 开发进度报告， 功能需求以及其他与 &bluetooth; 相关的讨论。 &a.bugbusters.name; 同等问题报告处理结果 这个列表的目的是作为一个调整和讨论论坛来服务于Bug列表的成员，Bugbuster列表成员 和其他任何的对PR数据库真正的有兴趣的成员。这个列表不是为了讨论关于Bug细节，补丁或PRs。 &a.bugs.name; Bug报告 这是一个报告FreeBSD的Bug的邮件列表。可以随时通过 &man.send-pr.1; 命令或WEB页面来提交Bug。 &a.chat.name; 与FreeBSD社区相关的非技术性项目 这个列表超出了其他有关非技术、社会信息的内容。 包括谈论Jordan看起来是否像一个机敏的侦探，是否句首的字母要大写， 谁喝了很多咖啡， 哪儿的啤酒酿造的最好，谁在他们的地下室里酿造了啤酒等等。对于偶然宣布重大的事件 （例如：将要举行的聚会，婚礼，生日，新工作等等）也能使用这种技术列表，除上述列举之外 任何事情都可以发布在-chat列表上。 &a.core.name; FreeBSD核心团队 这是一个只供核心成员内部使用的邮件列表，只有当一个与FreeBSD相关的严重的事情需要裁决或严格审核时， 才能发送消息到这个邮件列表。 &a.current.name; 关于使用&os.current;版的讨论 这是一个针对&os.current;用户的邮件列表。 它包括一些可能影响用户的新特性的警告，使用FreeBSD-current的一些指导。 任何运行CURRENT的人必须同意这个列表，这是一个纯技术的邮件列表。 &a.cvsweb.name; FreeBSD CVSweb计划 关于FreeBSD-CVSweb的使用，开发和维护的技术性讨论。 &a.doc.name; 文档计划 这个邮件列表是与FreeBSD创建的文档的出版和计划的讨论。 这个邮件列表的成员都会提交到The FreeBSD Documentation Project。 它是一个开放的列表，可以自由地加入和做贡献！ &a.drivers.name; 为 &os; 撰写设备驱动 这是关于 &os; 上的设备驱动的技术论坛。 它主要供编写设备驱动的开发人员提出关于如何使用 &os; 内核提供的 API 来编写设备驱动程序的问题。 &a.eclipse.name; &os; 上的 Eclipse IDE、工具、 富客户应用， 以及 ports 的用户讨论。 这个邮件列表的目的， 是为在 &os; 平台上选择、 安装、 使用、 开发和维护 Eclipse IDE、 工具、 富客户应用的用户， 提供互助式支持， 以及为将 Eclipse IDE 和插件移植到 &os; 环境中提供帮助。 另一个目的是建立一个在 Eclipse 社区和 &os; 社区之间的交流管道， 以达到互惠互利。 尽管这个列表主要关注的是 Eclipse 用户的诉求， 它也为使用 Eclipse 框架开发 &os; 专用的应用提供了论坛。 &a.embedded.name; 在嵌入式应用中使用 FreeBSD 这个列表讨论关于在嵌入式系统中如何使用 FreeBSD 的话题。 这是一个技术性的邮件列表， 其主要内容是技术讨论。 针对这一邮件列表， 我们将嵌入式系统定义为那些不作为桌面系统、 只完成某些单一任务的计算设备。 这些实例包括路由器交换机和 PBX 这样的网络设备、 远程测量设备、 PDA、 PoS 系统，等等。 &a.emulation.name; 模拟其他系统， 例如 Linux/&ms-dos;/&windows; 这是一个讨论关于如何在 &os; 上运行为其他操作系统所撰写的程序的论坛。 &a.eol.name; 关于与 FreeBSD 有关， 但已不再为 FreeBSD Project 所维护的软件的互助支持。 这个邮件列表主要用于那些有兴趣提供或使用针对已不再为 FreeBSD Project 官方所支持 (例如， 以安全更新或补丁的形式) 的 FreeBSD 相关软件的用户或公司讨论。 &a.firewire.name; &firewire; (iLink, IEEE 1394) 这个邮件列表是关于FreeBSD子系统&firewire; (aka IEEE 1394 aka iLink)的设计和执行。相关特定的主题包括标准，总线设计和他们的协议， 适配器板/卡/芯片设置，及他们的正确的代码的结构和实施。 &a.fs.name; 文件系统 关于FreeBSD文件系统的讨论。这是一个纯技术的邮件列表。 + + &a.gecko.name; + + + Gecko 渲染引擎 + + 这是一个讨论 &os; 上 Gecko + 有关的应用程序的邮件列表。 + + 围绕 &os; 上 Gecko Ports 应用程序的讨论， + 以及它们的安装， 开发和支持。 + + + &a.geom.name; GEOM 针对GEOM和相关执行的讨论。这是一个纯技术的邮件列表。 &a.gnome.name; GNOME 讨论关于在FreeBSD系统上的GNOME桌面环境 这是一个纯技术的邮件列表。 &a.ipfw.name; IP防火墙 这是关于在FreeBSD里重新设计IP防火墙代码的技术讨论论坛。 &a.ia64.name; 移植FreeBSD到IA64 这是一个有关将FreeBSD移植到&intel; IA64架构上的技术讨论列表， 讨论一些相关的问题与解决方案。也欢迎对这些问题感兴趣的个别讨论者。 &a.isdn.name; ISDN通信 这是一个FreeBSD支持的ISDN系统开发的邮件列表。 &a.java.name; &java;开发 这是一个讨论&java; 应用开发和 &jdk;s的porting与维护的邮件列表。 &a.jobs.name; 工作的提供和寻找 这个论坛是针对与 &os; 相关的雇佣信息和个人简历， 比如： 如果您想找一个与 &os; 相关的工作或有一个工作需要 &os; 这是一个让您来广告的好地方。 这 不 是对一般性雇佣问题的邮件列表， 对这个问题已经有了足够多的论坛。 注意这个列表，像其他的 FreeBSD.org 邮件列表一样是会分发给全世界的订阅者的。 因此，您需要明白关于位置和地域问题，确定之间是容易联系和可合作的。 Email最好应该使用 —纯文本格式，不过基本的PDF,HTML和 很少其他的能被更多读者接受的格式也是可以的。µsoft; Word (.doc) 格式是被邮件列表服务器拒绝的。 &a.kde.name; KDE 讨论关于在FreeBSD系统上使用KDE。 这是一个纯技术的邮件列表。 &a.hackers.name; 技术讨论 这是一个与FreeBSD相关的技术讨论论坛，是一个主要的技术性邮件列表。 他是针对个别的工作在FreeBSD上的人来提出问题或讨论相关的解决方案, 也欢迎对这些问题感兴趣的个别的讨论者。这是一个纯技术的邮件列表。 &a.hardware.name; FreeBSD硬件的普通讨论 有关FreeBSD运行的硬件类型的普通讨论，包括是否该买的一些问题和建议。 &a.hubs.name; 镜象站点 人们运行FreeBSD的镜象站点的公告和讨论。 &a.isp.name; ISP供应商问题 这是一个讨论使用FreeBSD的ISP供应商的邮件列表。这是一个纯技术的邮件列表。 &a.mono.name; FreeBSD 上的 Mono 和 C# 应用 这是一个讨论 &os; 上的 Mono 开发框架的邮件列表。 这是一个纯技术的邮件列表。 它是为将 Mono 或 C# 应用移植到 &os;， 以及提出问题及讨论其他解决方案的人准备的。 此外， 也欢迎有兴趣参与讨论的其他人。 &a.openoffice.name; OpenOffice.org 关于OpenOffice.org和&staroffice;. 的移植和维护。 &a.performance.name; 讨论关于调整及高速运行FreeBSD 这个邮件列表提供了一个为黑客，管理员和有关的团体去讨论与FreeBSD性能相关的主题的空间。 可以在这里进行讨论的包括在任意高负载下，体验版下或者是有限制的条件下安装FreeBSD。 非常鼓励自愿地为了改进FreeBSD性能的相关团体去订阅这个列表。 这是个高技术含量的列表理论上说适合有丰富经验的FreeBSD用户，黑客，或对FreeBSD的速度、性能 、升级感兴趣的管理员。这不是一个问答式的列表，关于这些应该去读相关文档，但他是 一个可以投稿的地方，或者了解关于待解决的与性能相关的主题。 &a.pf.name; 关于 packet filter 防火墙系统的问题和讨论 关于 FreeBSD 环境下 packet filter (pf) 防火墙系统的讨论。 这里欢迎技术讨论， 以及一般的应用问题。 此外， 这里也是讨论 ALTQ QoS 框架的合适场所。 &a.platforms.name; 移植到非 &intel; 平台上 跨平台的 FreeBSD 问题， 关于非 &intel; FreeBSD 移植版本的讨论和提议。 这是一个纯技术性的邮件列表， 其讨论内容严格限制为技术。 &a.policy.name; 核心团队策略的决定 这是一个很小的只读的有关核心团队策略决定的邮件列表。 &a.ports.name; ports的讨论 关于FreeBSD的ports collection (/usr/ports)的讨论, ports的基础构造和调整过的ports结构。这是一个纯技术的邮件列表。 &a.ports-bugs.name; ports bugs的讨论 讨论关于FreeBSD的ports collection (/usr/ports),问题报告 ports建议，或者ports的修正。这是一个纯技术的邮件列表。 &a.proliant.name; 关于 FreeBSD 在 HP ProLiant 服务器平台上的技术讨论 这个邮件列表用来讨论在 HP ProLiant 服务器上使用 FreeBSD， 包括讨论 ProLiant 专用的驱动、 管理软件、 配置工具， 以及 BIOS 更新等。 同样地， 这里也是讨论 hpasmd、 hpasmcli， 以及 hpacucli 模块的主要场所。 &a.python.name; FreeBSD 上的 Python 这是一个讨论关于如何在 FreeBSD 上改善 Python 支持的邮件列表。 这是一个纯技术的邮件列表。 它是为那些移植 Python、 其第三方模块， 以及 Zope 相关软件到 FreeBSD 上的人准备的。 这里也欢迎参与技术讨论的人。 &a.questions.name; 用户问题 这是一个有关FreeBSD问题的邮件列表。您不应当发送how to 问题给技术列表，除非您认为这个问题是非常可爱的技术问题。 &a.ruby.name; 有关 FreeBSD 上 Ruby 的讨论 这是一个讨论关于 Ruby 在 FreeBSD 上支持的邮件列表。 这是一个纯技术的邮件列表。它是为那些移植 Ruby、第三方库以及 各种 framework 准备的。 这里也欢迎参与技术讨论的人。 &a.scsi.name; SCSI子系统 这是一个讨论FreeBSD的SCSI子系统的邮件列表。这是一个纯技术的列表。 &a.security.name; 安全问题 FreeBSD的计算机安全问题（DES,Kerberos,已知的安全漏洞和修复等）。 这是一个纯技术的邮件列表。注意：这不是一个问和答的列表，但是同时给出 问题和答案到FAQ是欢迎的。 &a.security-notifications.name; 安全通知 FreeBSD安全问题和修复的通知。这不是一个讨论列表，讨论的列表应当是FreeBSD-security &a.small.name; 在嵌入式应用程序中使用FreeBSD 这个列表讨论了与极小的和嵌入的FreeBSD安装的讨论主题。 这是一个纯技术的列表。 这一列表已被 &a.embedded.name; 代替。 &a.stable.name; 讨论关于&os.stable;版的使用 这是一个&os.stable;用户的邮件列表。它包括-STABLE的新特性可能会影响用户的警告。 任何运行STABLE的人应当经常关注这个列表。这是一个纯技术的列表。 &a.standards.name; C99 & POSIX一致 这是关于FreeBSD顺应C99和POSIX标准的技术讨论论坛。 &a.usb.name; 讨论 &os; 的 USB 支持 这个邮件列表是关于 &os; 上的 USB 支持的技术性讨论。 &a.usergroups.name; 用户组调整列表 这个邮件列表为协调从各地的使用群体到彼此相互讨论问题和 从核心团队中指定个人。这个邮件列表应被限制到大纲和协调用户组 计划的范围之内。 &a.vendors.name; 商家 讨论FreeBSD计划和FreeBSD软硬件商家的协调。 &a.virtualization.name; 讨论各种 &os; 支持的虚拟化技术 讨论 &os; 所支持的各种虚拟化技术的邮件列表。 在注重实现基本功能，加入新特性的同时， 也为用户提供了一个寻求帮助和讨论他们的使用经验的场所。 &a.wip-status.name; &os; 项目进度状态 这个邮件列表是用来发布 &os; 相关项目的创建和工作进度的。 发至这个列表的消息将会先被审核。通常建议把消息用 "To:" 发给一个更典型的 &os; 列表，而只仅仅 "BCC:" 给这个列表。 这样你的工作进度就能在典型的列表上讨论， 因为这个列表是不允许讨论问题的。 查看一下归档中合适的消息作为例子。 可能每隔几个月， 会从这个列表中的消息中提取出一个评论性的消息摘要发到 &os; 网站做为状态报告的一部分 。 你也能从那里找到更多的例子和以往的报告。 &a.xen.name; 讨论 &os; 有关 &xen; 上的移植 — 实现和使用 这个邮件列表集中讨论 &os; 的 &xen; 移植。 预期的流量会很小，所以这个列表旨在同时为 设计与实现细节的技术讨论和管理部属问题 提供一个讨论的场所。 过滤邮件列表 &os;邮件列表是使用了多种过滤方法去消除垃圾邮件、病毒和其他没用的电子邮件。 这部分所描述的并不包括所有常用的保护邮件列表的消除方法。 邮件列表只包含一些允许的附件类型。所有在列表中有MIME类型的附件的电子邮件在 邮件列表中被转发之前将被过滤掉。 application/octet-stream application/pdf application/pgp-signature application/x-pkcs7-signature message/rfc822 multipart/alternative multipart/related multipart/signed text/html text/plain text/x-diff text/x-patch 一些邮件列表可以允许附件为其他MIME类型，但是以上列出的 应该被多数的邮件列表所采用。 如果一个电子邮件包含HTML和纯文本形式，HTML的形式将被删除。 如果一个电子邮件内容只是HTML形式，他将被转换为纯文本格式。 Usenet新闻组 除了FreeBSD两个特殊的新闻组，还有很多讨论FreeBSD或与FreeBSD用户相关的其他讨论组。 一些新闻组的关键词搜索档案是可以使用的， 有什么问题可以与Warren Toomey wkt@cs.adfa.edu.au联系。 BSD特殊的新闻组 comp.unix.bsd.freebsd.announce comp.unix.bsd.freebsd.misc de.comp.os.unix.bsd (德语) fr.comp.os.bsd (法语) it.comp.os.freebsd (意大利语) tw.bbs.comp.386bsd (繁体中文) Internet上其他的&unix;新闻组 comp.unix comp.unix.questions comp.unix.admin comp.unix.programmer comp.unix.shell comp.unix.user-friendly comp.security.unix comp.sources.unix comp.unix.advocacy comp.unix.misc comp.bugs.4bsd comp.bugs.4bsd.ucb-fixes comp.unix.bsd X Window系统 comp.windows.x.i386unix comp.windows.x comp.windows.x.apps comp.windows.x.announce comp.windows.x.intrinsics comp.windows.x.motif comp.windows.x.pex comp.emulators.ms-windows.wine World Wide Web服务器 论坛， 部落格， 社会性网络 The FreeBSD Forums 提供了一个基于 web 的论坛用以讨论 FreeBSD 相关问题与技术。 Planet FreeBSD 提供了众多由 FreeBSD 开发者部落格摘要的集合。 很多的开发者都在上面发表有关他们工作简要的笔记， 新的补丁和工作进度。 The BSDConferences YouTube Channel 提供了一组世界各地 BSD 峰会的高质量视频。 这个是一个不错的观看重要开发者展示最新 FreeBSD 有关成果的方法。 Official Mirrors &chap.eresources.www.inc; Email地址 下面的用户组提供了与FreeBSD相关的邮件地址。如果他被滥用的话， 这个列表的管理员有收回的权利。 域 工具 用户组 管理员 ukug.uk.FreeBSD.org Forwarding only ukfreebsd@uk.FreeBSD.org Lee Johnston lee@uk.FreeBSD.org diff --git a/zh_CN.GB2312/books/handbook/filesystems/chapter.sgml b/zh_CN.GB2312/books/handbook/filesystems/chapter.sgml index e5b31d2596..a38c97c27c 100644 --- a/zh_CN.GB2312/books/handbook/filesystems/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/filesystems/chapter.sgml @@ -1,572 +1,584 @@ Tom Rhodes Written by 文件系统 Support 概述 File Systems File Systems Support File Systems 文件系统对于任何操作系统来说都是一个不可缺的部分。 它们允许用户上载和存储文件，提供对数据的访问，当然， 是使硬盘能具有实际的用途。不同的操作系统通常都有一个共同的主要方面， 那就是它们原生的文件系统。在 &os; 上这个文件系统通常被称为快速文件系统或者 FFS， 这是基于原来的 Unix™ 文件系统，通常也被称为 UFS。 这是 &os; 用于在磁盘上访问数据的原生的文件系统。 &os; 也支持数量繁多的不同的文件系统， 用于提供本地从其他操作系统上访问数据的支持， 那些就是指存放在本地挂载的 USB 存储设备，闪存设备和硬盘上的数据。还支持一些非原生的文件系统。 这些文件系统是在其他的操作系统上开发的，像 &linux; 的扩展文件系统 （EXT），和 &sun; 的 Z 文件系统 （ZFS）。 &os; 上对于各种文件系统的支持分成不同的层次。 一些要求加载内核模块，另外的可能要求安装一系列的工具。 这一章节旨在帮助 &os; 用户在他们的系统上访问其他的文件系统， 由 &sun; 的 Z 文件系统开始。 在阅读了这一章节之后，你将了解： 原生与被支持的文件系统之间的区别。 &os; 支持哪些文件系统。 如何起用，配置，访问和使用非原生的文件系统。 在阅读这章以前，你应该： 了解 &unix; 和 &os; 基本知识 ()。 熟悉基本的内核配置/编译方法 ()。 熟悉在 &os; 上安装第三方软件 ()。 熟悉 &os; 上的磁盘，存储和设备名 ()。 ZFS 特性目前仍被认为是试验性的。 有些选项功能性缺失，另有一些可能还无法运行。最终， 这个特性会适合用于生产，届时这篇文档也会做些适当的修改。 - Z 文件系统 + Z 文件系统 (ZFS) Z 文件系统是由 &sun; 开发使用存储池方法的新技术。 这就是说只有在需要存储数据的时候空间才会被使用。 它也为保护数据最大完整性而设计的，支持数据快照， 多份拷贝和数据校验。增加了被称为 RAID-Z 的新的数据复制类型。RAID-Z 是种类似于 RAID5类型, 但被设计成防止写入漏洞。 调整 ZFS ZFS 子系统需利用到大量的系统资源， 所以可能需要一些调校来为日常应用提供最大化的效能。 作为 &os; 的一项试验性的特性，这可能在不久的将来有所变化； 无论如何，下面的这些步骤是我们推荐的： 内存 总共的系统内存至少应有 1GB，推荐 2GB 或者更多。 在此处所有的例子中，我们使用了 1GB 内存的系统并配合了一些恰当的调校。 有些人在少于 1GB 内存的环境有幸正常使用， 但是在这样有限的物理内存的条件下，当系统的负载很高时， &os; 极有可能因于内存耗尽而崩溃。 内核配置 我们建议把未使用的驱动和选项从内核配置文件中去除。 既然大部份的驱动都有以模块的形式存在，它们就可以很容易的通过 /boot/loader.conf 加载。 - i386 构架的用户应在内核配置文件中加入以下的选项， + &i386; 构架的用户应在内核配置文件中加入以下的选项， 重新编译内核并重启机器： options KVA_PAGES=512 这个选项将扩展内核的地址空间， 因而允许 vm.kvm_size 能够超越 1 GB 的限制(PAE为 2 GB)。 为了找出这个选项最合适的值， 把以兆(MB)为单位所需的地址空间除以 4 得到。 在这个例子中，512 则为 2 GB。 Loader 可调参数 所有构架上 &os; 都应该加大 kmem 地址空间。在有 1GB 物理内存的测试系统上，在 /boot/loader.conf 中加入如下的参数并且重启后通过了测试。 vm.kmem_size="330M" vm.kmem_size_max="330M" vfs.zfs.arc_max="40M" vfs.zfs.vdev.cache.size="5M" 更多 ZFS 相关推荐调校的细节请参阅 . 使用 <acronym>ZFS</acronym> &os; 有一种启动机制能在系统初始化时挂在 ZFS 存储池。 可以通过以下的命令设置： &prompt.root; echo 'zfs_enable="YES"' >> /etc/rc.conf &prompt.root; /etc/rc.d/zfs start - 这份文档剩余的部分假定系统中有2块 + 这份文档剩余的部分假定系统中有 3 块 SCSI 磁盘可用， 它们的设备名分别为 - da0 - 和 da1。 + da0， + da1 + 和 da2。 IDE 硬件的用户可以使用 ad 代替 SCSI。 单个磁盘存储池 - 在单个磁盘上创建 ZFS， + 在单个磁盘上创建一个简单， 非冗余的 ZFS， 使用 zpool 命令： &prompt.root; zpool create example /dev/da0 可以通过 df 的输出查看新的存储池： &prompt.root; df Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/ad0s1a 2026030 235230 1628718 13% / devfs 1 1 0 100% /dev /dev/ad0s1d 54098308 1032846 48737598 2% /usr example 17547136 0 17547136 0% /example 这份输出清楚的表明了 example 存储池不仅创建成功而且被 挂载 了。 我们能像访问普通的文件系统那样访问它， 就像以下例子中演示的那样，用户能够在上面创建文件并浏览： &prompt.root cd /example &prompt.root; ls &prompt.root; touch testfile &prompt.root; ls -al total 4 drwxr-xr-x 2 root wheel 3 Aug 29 23:15 . drwxr-xr-x 21 root wheel 512 Aug 29 23:12 .. -rw-r--r-- 1 root wheel 0 Aug 29 23:15 testfile 遗憾的是这个存储池并没有利用到 ZFS 的任何特性。 在这个存储池上创建一个文件系统，并启用压缩： &prompt.root; zfs create example/compressed &prompt.root; zfs set compression=gzip example/compressed 现在 example/compressed 是一个启用了压缩的 ZFS 文件系统了。 可以尝试复制一些大的文件到 /example/compressed。 使用这个命令可以禁用压缩： &prompt.root; zfs set compression=off example/compressed 使用如下的命令卸载这个文件系统，并用 df 工具确认： &prompt.root; zfs umount example/compressed &prompt.root; df Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/ad0s1a 2026030 235232 1628716 13% / devfs 1 1 0 100% /dev /dev/ad0s1d 54098308 1032864 48737580 2% /usr example 17547008 0 17547008 0% /example 重新挂在这个文件系统使之能被访问， 并用 df 确认： &prompt.root; zfs mount example/compressed &prompt.root; df Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/ad0s1a 2026030 235234 1628714 13% / devfs 1 1 0 100% /dev /dev/ad0s1d 54098308 1032864 48737580 2% /usr example 17547008 0 17547008 0% /example example/compressed 17547008 0 17547008 0% /example/compressed 存储池与文件系统也可通过 mount 的输出查看： &prompt.root; mount /dev/ad0s1a on / (ufs, local) devfs on /dev (devfs, local) /dev/ad0s1d on /usr (ufs, local, soft-updates) example on /example (zfs, local) example/data on /example/data (zfs, local) example/compressed on /example/compressed (zfs, local) 正如前面所提到的，ZFS 文件系统， 在创建之后就能像普通的文件系统那样使用。然而， 还有很多其他的特性是可用的。在下面的例子中， 我们将创建一个新的文件系统，data。 并要在上面存储些重要的文件， 所以文件系统需要被设置成把每一个数据块都保存两份拷贝： &prompt.root; zfs create example/data &prompt.root; zfs set copies=2 example/data 现在可以再次使用 df 查看数据和空间的使用状况： &prompt.root; df Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/ad0s1a 2026030 235234 1628714 13% / devfs 1 1 0 100% /dev /dev/ad0s1d 54098308 1032864 48737580 2% /usr example 17547008 0 17547008 0% /example example/compressed 17547008 0 17547008 0% /example/compressed example/data 17547008 0 17547008 0% /example/data 请注意存储池上的每一个文件系统都有着相同数量的可用空间。 这就是我们在这些例子中使用 df 的原因， 是为了文件系统都是从相同的存储池取得它们所需的空间。 ZFS 去掉了诸如卷和分区此类的概念， 并允许多个文件系统占用同一个存储池。 不再需要文件系统与存储池的时候能像这样销毁它们： &prompt.root; zfs destroy example/compressed &prompt.root; zfs destroy example/data &prompt.root; zpool destroy example 磁盘无法避免的会坏掉和停止运转。 当这块磁盘坏掉的时候，上面的数据都将丢失。 一个避免因磁盘损坏而丢失数据的方法是使用 RAID。ZFS 在它的存储池设计中支持这样的特性， 这便是下一节将探讨的。 <acronym>ZFS</acronym> RAID-Z - 正如前文中所提到的，这一章节将假设存在两个 + 正如前文中所提到的，这一章节将假设存在 3 个 SCSI 设备， - da0 和 - da1。 - 使用如下的命令创建一个 RAID-Z - 存储池: + da0， da1 + 和 da2 (或者 ad0 + 和超出此例使用了 IDE 磁盘)。 使用如下的命令创建一个 + RAID-Z 存储池: - &prompt.root; zpool create storage raidz da0 da1 + &prompt.root; zpool create storage raidz da0 da1 da2 + + &sun; 推荐在一个 RAID-Z + 配置中使用的磁盘数量为 3 至 9 块。 + 如果你要求在单独的一个存储池中使用 10 块或更多的磁盘， + 请考虑分拆成更小 RAID-z 组。 + 如果你只有 2 块磁盘， 并仍然需要冗余， + 请考虑使用 ZFS 的 mirror 特性。 + 更多细节请参考 &man.zpool.8; 手册页。 zpool storage 至此就创建好了。 可以如前文提到的那样使用 &man.mount.8; 和 &man.df.1; 确认。 如需配给更多的磁盘设备则把它们加这个列表的后面。 在存储池上创建一个叫 home 的文件系统， 用户的文件最终都将被保存在上面： &prompt.root; zfs create storage/home 像前文中提到的那样，用户的目录与文件也可启用压缩并保存多份拷贝， 可通过如下的命令完成： &prompt.root; zfs set copies=2 storage/home &prompt.root; zfs set compression=gzip storage/home 把用户的数据都拷贝过来并创建一个符号链接， 让他们开始使用这个新的目录： &prompt.root; cp -rp /home/* /storage/home &prompt.root; rm -rf /home /usr/home &prompt.root; ln -s /storage/home /home &prompt.root; ln -s /storage/home /usr/home 现在用户的数据应该都保存在新创建的 /storage/home 上了。 测试添加一个新用户并以这个身份登录。 尝试创建一个可日后用来回退的快照： &prompt.root; zfs snapshot storage/home@08-30-08 请注意快照选项将只会抓取一个真实的文件系统， 而不是某个用户目录或文件。@ 字符为文件系统名或卷名的分隔符。 当用户目录被损坏时，可用如下命令恢复： &prompt.root; zfs rollback storage/home@08-30-08 获得所有可用快照的列表，可使用 ls 命令查看文件系统的 .zfs/snapshot 目录。例如，执行如下命令来查看之前抓取的快照： &prompt.root; ls /storage/home/.zfs/snapshot 可以编写一个脚本来每月定期抓取用户数据的快照，久而久之， 快照可能消耗掉大量的磁盘空间。 之前创建的快照可用以下命令删除： &prompt.root; zfs destroy storage/home@08-30-08 在所有这些测试之后，我们没有理由再把 /store/home 这样放置了。让它称为真正的 /home 文件系统： &prompt.root; zfs set mountpoint=/home storage/home 使用 df 和 mount 命令将显示现在系统把我们的文件系统真正当作了 /home： &prompt.root; mount /dev/ad0s1a on / (ufs, local) devfs on /dev (devfs, local) /dev/ad0s1d on /usr (ufs, local, soft-updates) storage on /storage (zfs, local) storage/home on /home (zfs, local) &prompt.root; df Filesystem 1K-blocks Used Avail Capacity Mounted on /dev/ad0s1a 2026030 235240 1628708 13% / devfs 1 1 0 100% /dev /dev/ad0s1d 54098308 1032826 48737618 2% /usr -storage 17547008 0 17547008 0% /storage -storage/home 17547008 0 17547008 0% /home +storage 26320512 0 26320512 0% /storage +storage/home 26320512 0 26320512 0% /home 这样就基本完成了 RAID-Z 的配置了。使用夜间 &man.periodic.8; 获取有关文件系统创建之类的状态更新， 执行如下的命令： &prompt.root; echo 'daily_status_zfs_enable="YES"' >> /etc/periodic.conf 修复 <acronym>RAID</acronym>-Z 每一种软 RAID 都有监测它们 状态 的方法。 ZFS 也不例外。 可以使用如下的命令查看 RAID-Z 设备： &prompt.root; zpool status -x 如果所有的存储池处于健康状态并且一切正常的话， 将返回如下信息： all pools are healthy 如果存在问题，可能是一个磁盘设备下线了， 那么返回的存储池的状态将看上去是类似这个样子的： pool: storage state: DEGRADED status: One or more devices has been taken offline by the administrator. Sufficient replicas exist for the pool to continue functioning in a degraded state. action: Online the device using 'zpool online' or replace the device with 'zpool replace'. scrub: none requested config: NAME STATE READ WRITE CKSUM storage DEGRADED 0 0 0 raidz1 DEGRADED 0 0 0 da0 ONLINE 0 0 0 da1 OFFLINE 0 0 0 + da2 ONLINE 0 0 0 errors: No known data errors 在这个例子中，这是由管理员把此设备下线后的状态。 可以使用如下的命令将磁盘下线： &prompt.root; zpool offline storage da1 现在切断系统电源之后就可以替换下 da1 了。 当系统再次上线时，使用如下的命令替换磁盘： &prompt.root; zpool replace storage da1 至此可用不带 标志的命令再次检查状态： &prompt.root; zpool status storage pool: storage state: ONLINE scrub: resilver completed with 0 errors on Sat Aug 30 19:44:11 2008 config: NAME STATE READ WRITE CKSUM storage ONLINE 0 0 0 raidz1 ONLINE 0 0 0 da0 ONLINE 0 0 0 da1 ONLINE 0 0 0 + da2 ONLINE 0 0 0 errors: No known data errors 在这个例子中，一切都显示正常。 数据校验 正如前面所提到的，ZFS 使用 校验和(checksum) 来检查存储数据的完整性。 这时在文件系统创建时自动启用的，可使用以下的命令禁用： &prompt.root; zfs set checksum=off storage/home 这不是个明智的选择，因为校验和 不仅非常有用而且只需占用少量的存储空间。 并且启用它们也不会明显的消耗过多资源。 启用后就可以让 ZFS 使用校验和校验来检查数据的完整。 这个过程通常称为 scrubbing。 可以使用以下的命令检查 storage 存储池里数据的完整性： &prompt.root; zpool scrub storage 这个过程需花费相当长的时间，取决于存储的数据量。 而且 I/O 非常密集， 所以在任何时间只能执行一个这样的操作。 在 scrub 完成之后，状态就会被更新， 可使用如下的命令查看： &prompt.root; zpool status storage pool: storage state: ONLINE scrub: scrub completed with 0 errors on Sat Aug 30 19:57:37 2008 config: NAME STATE READ WRITE CKSUM storage ONLINE 0 0 0 raidz1 ONLINE 0 0 0 da0 ONLINE 0 0 0 da1 ONLINE 0 0 0 + da2 ONLINE 0 0 0 errors: No known data errors 这个例子中完成时间非常的清楚。 这个特性可以帮助你在很长的一段时间内确保数据的完整。 Z 文件系统有更多的选项，请参阅 &man.zfs.8; 和 &man.zpool.8; 手册页。 diff --git a/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml b/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml index 26656b85ce..4cc104167d 100644 --- a/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml @@ -1,3067 +1,3067 @@ Joseph J. Barbish Contributed by Brad Davis Converted to SGML and updated by 防火墙 防火墙 安全 防火墙 入门 防火墙的存在， 使得过滤出入系统的数据流成为可能。 防火墙可以使用一组或多组 规则 (rules)， 来检查出入您的网络连接的数据包， 并决定允许或阻止它们通过。 这些规则通常可以检查数据包的某个或某些特征， 这些特征包括， 但不必限于协议类型、 来源或目的主机地址， 以及来源或目的端口。 防火墙可以大幅度地改善主机或网络的安全。 它可以用来完成下面的任务： 保护和隔离应用程序、 服务程序， 以及您内部网络上的机器， 不受那些来自公共的 Internet 网络上您所不希望的数据流量的干扰。 限制或禁止从内部网访问公共的 Internet 上的服务。 支持网络地址转换 (NAT)， 它使得您的内部网络能够使用私有的 IP 地址， 并分享一条通往公共的 Internet 的连接 (使用一个 IP 地址， 或者一组公网地址)。 读完这章， 您将了解： 如何正确地定义包过滤规则。 - &os; 中内建的集中防火墙之间的差异。 + &os; 中内建的几种防火墙之间的差异。 如何使用和配置 OpenBSD 的 PF 防火墙。 如何使用和配置 IPFILTER。 如何使用和配置 IPFW。 阅读这章之前， 您需要： 理解基本的 &os; 和 Internet 概念。 防火墙的概念 防火墙/primary> 规则集 建立防火墙规则集的基本方法有两种： 包容式的 或 排斥式的。 排斥式的防火墙， 允许除了禁止的那些数据之外的所有网络流量通过。 包容式的防火墙正好相反。 后者只允许符合规则的流量通过， 而其他所有的流量都被阻止。 包容式防火墙一般说来要比排斥式防火墙安全， 因为他们显著地降低了由于允许不希望的网络流量通过所带来的风险。 如果使用了 带状态功能的防火墙 (stateful firewall)， 则安全机制可以进一步地细化。 带状态功能的防火墙能够记录通过防火墙的连接， 进而只允许与现有连接匹配的连接， 或创建新的连接。 带状态功能的防火墙的缺点， 则是在很短时间内有大量的连接请求时， 它们可能会受到拒绝服务 (DoS) 攻击。 绝大多数防火墙都提供了同时启用两种防火墙的能力， 以便为站点提供更好的保护。 防火墙软件包 &os; 的基本系统内建了三种不同的防火墙软件包。 它们是 IPFILTER (也被称作 IPF)、 IPFIREWALL (也被称作 IPFW)， 以及 OpenBSD 的 PacketFilter (也被称为 PF)。 &os; 也提供了两个内建的、 用于流量整形 (基本上是控制带宽占用) 的软件包： &man.altq.4; 和 &man.dummynet.4;。 Dummynet 在过去一直和 IPFW 紧密集成， 而 ALTQ 则需要配合 PF 使用。 IPFILTER 对于流量整形可以使用 IPFILTER 的 NAT 和过滤功能以及 IPFW 的 &man.dummynet.4; 配合, 或者 使用 PF 跟 ALTQ 的组合。 IPFW， 以及 PF 都是用规则来控制是否允许数据包出入您的系统， 虽然它们采取了不同的实现方法和规则语法。 &os; 包含多个内建的防火墙软件包的原因在于， 不同的人会有不同的需求和偏好。 任何一个防火墙软件包都很难说是最好的。 作者倾向于使用 IPFILTER， 因为它提供的状态式规则， 在 NAT 的环境中要简单许多， 而且它内建了 ftp 代理， 这简化了使用外部 FTP 服务时所需的配置。 由于所有的防火墙都基于检查所选定的包控制字段来实现功能， 撰写防火墙规则集时， 就必须了解 TCP/IP 是如何工作的， 以及包的控制字段在正常会话交互中的作用。 您可以在这个网站找到一份很好的解释文档： . John Ferrell Revised and updated by OpenBSD Packet Filter (PF) 和 <acronym>ALTQ</acronym> 防火墙 PF 2003 年 7 月， OpenBSD 的防火墙， 也就是常说的 PF 被成功地移植到了 &os; 上， 并可以通过 &os; Ports Collection 来安装了； 第一个将 PF 集成到基本系统中的版本是 2004 年 11 月发行的 &os; 5.3。 PF 是一个完整的提供了大量功能的防火墙软件， 并提供了可选的 ALTQ (交错队列， Alternate Queuing) 功能。 ALTQ 提供了服务品质 (QoS) 带宽整形功能。 OpenBSD 项目非常杰出的维护着一份 PF FAQ。 就其本身而言，这一节注重于 &os; 的 PF 和提供一些关于使用方面的一般常识。更详细的使用信息请参阅 PF FAQ。 更多的详细信息， 可以在 &os; 版本的 PF 网站上找到： 。 使用 PF 可装载的内核模块 从 &os; 5.3;开始，PF 作为一个单独的运行时可装载的模块被收录进基本的安装系统。 在 &man.rc.conf.5; 加入如下的语句能让系统能够动态装载 PF 内核模块，pf_enable="YES"。 然而如果系统无法找到一份 PF 防火墙规则的配置文件，PF 模块则不会被加载。 配置文件默认的位置在 /etc/pf.conf。 如果你的 PF 规则存放在其他的位置， 那么就需要在 /etc/rc.conf 配置文件中加入以下语句 pf_rules="/path/pf.rules" 来指定一份。 从 &os; 7.0 开始，作为例子的存放在 /etc/ 的 pf.conf 被移动到了/usr/share/examples/pf/。 &os; 7.0 以前的版本，默认仍有一份 /etc/pf.conf。 PF 模块也能从命令行手工加载： &prompt.root; kldload pf.ko 可装载的摸块默认由 &man.pflog.4; 提供日志记录。 如果你需要 PF 其他的特性， 你可能需要把 PF 编译进内核。 PF 内核选项 内核选项 device pf 内核选项 device pflog 内核选项 device pfsync 虽然你不必亲自把对 PF 的支持编译进 &os; 内核，但是有时你仍然需要这么做来使用到 PF 的某些没有被收录进可装载模块的高级特性，比如 &man.pfsync.4; 伪设备用来发送某些改变到PF 状态表。 它能配合 &man.carp.4; 使用 PF 建立支持故障转移的防火墙。 更多有关 CARP 的详细信息可以参阅 第 29 章。 The PF kernel options can be found in /usr/src/sys/conf/NOTES and are reproduced below: 有关 PF 的内核选项可以在 /usr/src/sys/conf/NOTES 中找到， 以下也略有阐述： device pf device pflog device pfsync device pf 选项用于启用 Packet Filter 防火墙的支持 （&man.pf.4;）。 device pflog 启用可选的 &man.pflog.4; 伪网络设备， 用以通过 &man.bpf.4; 描述符来记录流量。 &man.pflogd.8; 服务可以用来存储信息， 并把它们以日志形式记录到磁盘上。 device pfsync 选项启用可选的 &man.pfsync.4; 支持，这是用于监视 状态变更 的伪网络设备。 可用的 rc.conf 选项 The following &man.rc.conf.5; statements configure PF and &man.pflog.4; at boot: 以下 &man.rc.conf.5; 中的语句用于启动时配置 PF 和 &man.pflog.4; pf_enable="YES" # 启用 PF (如果需要的话， 自动加载内核模块) pf_rules="/etc/pf.conf" # pf 使用的规则定义文件 pf_flags="" # 启动时传递给 pfctl 的其他选项 pflog_enable="YES" # 启动 pflogd(8) pflog_logfile="/var/log/pflog" # pflogd 用于记录日志的文件名 pflog_flags="" # 启动时传递给 pflogd 的其他选项 如果您的防火墙后面有一个 LAN， 而且需要通过它来转发 LAN 上的包， 或进行 NAT， 还需要同时启用下述选项： gateway_enable="YES" # 启用为 LAN 网关 建立过滤规则 PF 会从 &man.pf.conf.5; (默认为 /etc/pf.conf) 文件中读取配置规则， 并根据那里的规则修改、丢弃或让数据包通过。 默认安装的 &os; 已经提供了一些简单的例子放在 /usr/share/examples/pf/ 目录下。 请参阅 PF FAQ 获取完整的 PF 规则信息。 在浏览 PF FAQ 时， 请时刻注意不同版本的 &os; 使用了不同版本的 PF： &os; 5.X — PF 相当于 OpenBSD 3.5 &os; 6.X — PF 相当于 OpenBSD 3.7 &os; 7.X — PF 相当于 OpenBSD 4.1 &a.pf; 是一个提有关配置使用 PF 防火墙问题的好地方。请在提问之前查阅邮件列表的归档！ 使用 PF 使用 &man.pfctl.8; 可以控制 PF。 以下是一些实用的命令 （请查阅 &man.pfctl.8; 获得全部可用的选项）: 命令 作用 pfctl 启用 PF pfctl 禁用 PF pfctl all /etc/pf.conf 清楚所有规则 (nat, filter, state, table, 等等。) 并读取 /etc/pf.conf pfctl [ rules | nat | state ] 列出 filter 规则, nat 规则, 或状态表 pfctl /etc/pf.conf 检查 /etc/pf.conf 中的错误，但不装载相关的规则 启用 <acronym>ALTQ</acronym> ALTQ 只有在作为编译选项加入到 &os; 内核时才能使用。ALTQ 目前还不是所有的可用网卡驱动都能够支持的。 请参见 &man.altq.4; 联机手册了解您正使用的 &os; 版本中的驱动支持情况。 下面这些选项将启用 ALTQ 以及一些附加的功能： options ALTQ options ALTQ_CBQ # 基于分类的排列 (CBQ) options ALTQ_RED # 随机先期检测 (RED) options ALTQ_RIO # 对进入和发出的包进行 RED options ALTQ_HFSC # 带等级的包调度器 (HFSC) options ALTQ_PRIQ # 按优先级的排列 (PRIQ) options ALTQ_NOPCC # 在联编 SMP 内核时必须使用，禁止读时钟 options ALTQ 将启用 ALTQ 框架的支持。 options ALTQ_CBQ 用于启用基于分类的队列 (CBQ) 支持。 CBQ 允许您将连接分成不同的类别， 或者说， 队列， 以便在规则中为它们指定不同的优先级。 options ALTQ_RED 将启用随机预检测 (RED)。 RED 是一种用于防止网络拥塞的技术。 RED 度量队列的长度， 并将其与队列的最大和最小长度阈值进行比较。 如果队列过长， 则新的包将被丢弃。 如名所示， RED 从不同的连接中随机地丢弃数据包。 options ALTQ_RIO 将启用出入的随机预检测。 options ALTQ_HFSC 启用层次式公平服务平滑包调度器。 要了解关于 HFSC 进一步的信息， 请参见 。 options ALTQ_PRIQ 启用优先队列 (PRIQ)。 PRIQ 首先允许高优先级队列中的包通过。 options ALTQ_NOPCC 启用 ALTQ 的 SMP 支持。 如果是 SMP 系统， 则必须使用它。 IPFILTER (IPF) 防火墙 防火墙 IPFILTER 这一节的内容正在撰写中。 其内容可能不总是十分准确。 IPFILTER 的作者是 Darren Reed。 IPFILTER 是独立于操作系统的： 它是一个开放源代码的应用， 并且已经被移植到了 &os;、 NetBSD、 OpenBSD、 SunOS、 HP/UX， 以及 Solaris 操作系统上。 IPFILTER 的支持和维护都相当活跃， 并且有规律地发布更新版本。 IPFILTER 提供了内核模式的防火墙和 NAT 机制， 这些机制可以通过用户模式运行的接口程序进行监视和控制。 防火墙规则可以使用 &man.ipf.8; 工具来动态地设置和删除。 NAT 规则可以通过 &man.ipnat.1; 工具来维护。 &man.ipfstat.8; 工具则可以用来显示 IPFILTER 内核部分的统计数据。 最后， 使用 &man.ipmon.8; 程序可以把 IPFILTER 的动作记录到系统日志文件中。 IPF 最初是使用一组 以最后匹配的规则为准 的策略来实现的， 这种方式只能支持无状态的规则。 随着时代的进步， IPF 被逐渐增强， 并加入了 quick 选项， 以及支持状态的 keep state 选项， 这使得规则处理逻辑变得更富有现代气息。 IPF 的官方文档介绍了传统的规则编写方法和文件处理逻辑。 新增的功能只是作为一些附加的选项出现， 如果能完全理解这些功能， 则对于建立更安全的防火墙就很有好处。 这一节中主要是针对 quick 选项， 以及支持状态的 keep state 选项的介绍。 这是包容式防火墙规则集最基本的编写要素。 包容式防火墙只允许与规则匹配的包通过。 这样， 您就既能够控制来自防火墙后面的机器请求 Internet 公网上的那些服务， 同时也可以控制来自 Internet 的请求能够访问内部网上的哪些服务。 所有其它的访问请求都会被阻止， 并记录下来。 包容式防火墙一般而言要远比排斥式的要安全， 而且也只需要定义允许哪些访问通过。 要获得关于传统规则处理方式的详细信息， 请参考： 以及 。 IPF FAQ 可以在 找到。 除此之外， 您还可以在 找到开放源代码的 IPFilter 的邮件列表存档， 并进行搜索。 启用 IPF IPFILTER 启用 IPF 作为 &os; 基本安装的一部分， 以一个独立的内核模块的形式提供。 如果在 rc.conf 中配置了 ipfilter_enable="YES"， 系统就会自动地动态加载 IPF 内核模块。 这个内核模块在创建时启用了日志支持， 并加入了 default pass all 选项。 如果只是需要把默认的规则设置为 block all 的话， 并不需要把 IPF 编译到内核中。 可以简单地通过把这条规则加入自己的规则集来达到同样的目的。 内核选项 内核选项 IPFILTER 内核选项 IPFILTER_LOG 内核选项 IPFILTER_DEFAULT_BLOCK IPFILTER 内核选项 下面这些 &os; 内核编译选项并不是启用 IPF 所必需的。 这里只是作为背景知识来加以阐述。 如果将 IPF 编入了内核， 则对应的内核模块将不被使用。 关于 IPF 选项语句的内核编译配置的例子， 可以在内核源代码中的 /usr/src/sys/conf/NOTES 找到。 此处列举如下： options IPFILTER options IPFILTER_LOG options IPFILTER_DEFAULT_BLOCK options IPFILTER 用于启用 IPFILTER 防火墙的支持。 options IPFILTER_LOG 用于启用 IPF 的日志支持， 所有匹配了包含 log 的规则的包， 都会被记录到 ipl 这个包记录伪—设备中。 options IPFILTER_DEFAULT_BLOCK 将改变防火墙的默认动作， 进而， 所有不匹配防火墙的 pass 规则的包都会被阻止。 这些选项只有在您重新编译并安装内核之后才会生效。 可用的 rc.conf 选项 要在启动时激活 IPF， 您需要在 /etc/rc.conf 中增加下面的设置： ipfilter_enable="YES" # 启动 ipf 防火墙 ipfilter_rules="/etc/ipf.rules" # 将被加载的规则定义， 这是一个文本文件 ipmon_enable="YES" # 启动 IP 监视日志 ipmon_flags="-Ds" # D = 作为服务程序启动 # s = 使用 syslog 记录 # v = 记录 tcp 窗口大小、 ack 和顺序号(seq) # n = 将 IP 和端口映射为名字 如果您的 LAN 在防火墙后面， 并且使用了保留的私有 IP 地址范围， 那就需要增加下面的一些选项来启用 NAT 功能： gateway_enable="YES" # 启用作为 LAN 网关的功能 ipnat_enable="YES" # 启动 ipnat 功能 ipnat_rules="/etc/ipnat.rules" # 用于 ipnat 的规则定义文件 IPF ipf ipf 命令可以用来加载您自己的规则文件。 一般情况下， 您可以建立一个包括您自定义的规则的文件， 并使用这个命令来替换掉正在运行的防火墙中的内部规则： &prompt.root; ipf -Fa -f /etc/ipf.rules 表示清除所有的内部规则表。 用于指定将要被读取的规则定义文件。 这个功能使得您能够修改自定义的规则文件， 通过运行上面的 IPF 命令， 可以将正在运行的防火墙刷新为使用全新的规则集， 而不需要重新启动系统。 这对于测试新的规则来说就很方便， 因为您可以任意执行上面的命令。 请参考 &man.ipf.8; 联机手册以了解这个命令提供的其它选项。 &man.ipf.8; 命令假定规则文件是一个标准的文本文件。 它不能处理使用符号代换的脚本。 也确实有办法利用脚本的非常强大的符号替换能力来构建 IPF 规则。 要了解进一步的细节， 请参考 。 IPFSTAT ipfstat IPFILTER 统计 默认情况下， &man.ipfstat.8; 会获取并显示所有的累积统计， 这些统计是防火墙启动以来用户定义的规则匹配的出入流量， 您可以通过使用 ipf -Z 命令来将这些计数器清零。 请参见 &man.ipfstat.8; 联机手册以了解进一步的细节。 默认的 &man.ipfstat.8; 命令输出类似于下面的样子： input packets: blocked 99286 passed 1255609 nomatch 14686 counted 0 output packets: blocked 4200 passed 1284345 nomatch 14687 counted 0 input packets logged: blocked 99286 passed 0 output packets logged: blocked 0 passed 0 packets logged: input 0 output 0 log failures: input 3898 output 0 fragment state(in): kept 0 lost 0 fragment state(out): kept 0 lost 0 packet state(in): kept 169364 lost 0 packet state(out): kept 431395 lost 0 ICMP replies: 0 TCP RSTs sent: 0 Result cache hits(in): 1215208 (out): 1098963 IN Pullups succeeded: 2 failed: 0 OUT Pullups succeeded: 0 failed: 0 Fastroute successes: 0 failures: 0 TCP cksum fails(in): 0 (out): 0 Packet log flags set: (0) 如果使用了 (进入流量) 或者 (输出流量)， 它就只获取并显示内核中所安装的对应过滤器规则的统计数据。 ipfstat -in 以规则号的形式显示进入的内部规则表。 ipfstat -on 以规则号的形式显示流出的内部规则表。 输出和下面的类似： @1 pass out on xl0 from any to any @2 block out on dc0 from any to any @3 pass out quick on dc0 proto tcp/udp from any to any keep state ipfstat -ih 显示内部规则表中的进入流量， 每一个匹配规则前面会同时显示匹配的次数。 ipfstat -oh 显示内部规则表中的流出流量， 每一个匹配规则前面会同时显示匹配的次数。 输出和下面的类似： 2451423 pass out on xl0 from any to any 354727 block out on dc0 from any to any 430918 pass out quick on dc0 proto tcp/udp from any to any keep state ipfstat 命令的一个重要的功能可以通过指定 参数来使用， 它会以类似 &man.top.1; 的显示 &os; 正运行的进程表的方式来显示统计数据。 当您的防火墙正在受到攻击的时候， 这个功能让您得以识别、 试验， 并查看攻击的数据包。 这个选项提还提供了实时选择希望监视的目的或源 IP、 端口或协议的能力。 请参见 &man.ipfstat.8; 联机手册以了解详细信息。 IPMON ipmon IPFILTER 记录日志 为了使 ipmon 能够正确工作， 必须打开 IPFILTER_LOG 这个内核选项。 这个命令提供了两种不同的使用模式。 内建模式是默认的模式， 如果您不指定 参数， 就会采用这种模式。 服务模式是持续地通过系统日志来记录的工作模式， 这样， 您就可以通过查看日志来了解过去曾经发生过的事情。 这种模式是 &os; 和 IPFILTER 配合工作的模式。 由于在 &os; 中提供了一个内建的系统日志自动轮转功能， 因此， 使用 syslogd 比默认的将日志信息记录到一个普通文件要好。 在默认的 rc.conf 文件中， 您会看到一个 ipmon_flags 语句， 指定了 标志： ipmon_flags="-Ds" # D = 作为服务程序启动 # s = 使用 syslog 记录 # v = 记录 tcp 窗口大小、 ack 和顺序号(seq) # n = 将 IP 和端口映射为名字 记录日志的好处是很明显的。 它提供了在事后重新审查相关信息， 例如哪些包被丢弃， 以及这些包的来源地址等等。 这将为查找攻击者提供非常有用的第一手资料。 即使启用了日志机制， IPF 仍然不会对其规则进行任何日志记录工作。 防火墙管理员可以决定规则集中的哪些应记录日志， 并在这些规则上加入 log 关键字。 一般来说， 只应记录拒绝性的规则。 作为惯例， 通常会有一条默认的、拒绝所有网络流量的规则， 并指定 log 关键字， 作为您的规则集的最后一条。 这样， 您就能够看到所有没有匹配任何规则的数据包。 IPMON 的日志 Syslogd 使用特殊的方法对日志数据进行分类。 它使用称为 facility 和 level 的组。 以 模式运行的 IPMON 采用 security 作为 facility 名。 所有由 IPMON 记录的数据都会进入 security。 如果需要， 可以用下列 levels 来进一步区分数据： LOG_INFO - 使用 "log" 关键字指定的通过或阻止动作 LOG_NOTICE - 同时记录通过的那些数据包 LOG_WARNING - 同时记录阻止的数据包 LOG_ERR - 进一步记录含不完整的包头的数据包 要设置 IPFILTER 来将所有的数据记录到 /var/log/ipfilter.log， 需要首先建立这个文件。 下面的命令可以完成这个工作： &prompt.root; touch /var/log/ipfilter.log syslog 功能可以通过在 /etc/syslog.conf 文件中的语句来定义。 syslog.conf 提供了相当多的用以控制 syslog 如何处理类似 IPF 这样的用用程序所产生的系统消息的方法。 您需要将下列语句加到 /etc/syslog.conf： security.* /var/log/ipfilter.log 这里的 security.* 表示把所有的相关日志信息写到指定的文件中。 要让 /etc/syslog.conf 中的修改立即生效， 您可以重新启动计算机， 或者通过执行 /etc/rc.d/syslogd reload 来让它重新读取 /etc/syslog.conf。 不要忘了修改 /etc/newsyslog.conf 来让您刚创建的日志进行轮转。 记录消息的格式 由 ipmon 生成的消息由空格分隔的数据字段组成。 所有的消息都包含的字段是： 接到数据包的日期。 接到数据包的时间。 其格式为 HH:MM:SS.F， 分别是小时、 分钟、 秒， 以及分秒 (这个数字可能有许多位)。 处理数据包的网络接口名字， 例如 dc0。 组和规则的编号， 例如 @0:17。 可以通过 ipfstat -in 来查看这些信息。 动作： p 表示通过， b 表示阻止， S 表示包头不全， n 表示没有匹配任何规则， L 表示 log 规则。 显示这些标志的顺序是： S, p, b, n, L。 大写的 P 或 B 表示记录包的原因是某个全局的日志配置， 而不是某个特定的规则。 地址。 这实际上包括三部分： 源地址和端口 (以逗号分开)， 一个 -> 符号， 以及目的地址和端口。 209.53.17.22,80 -> 198.73.220.17,1722. PR， 后跟协议名称或编号， 例如， PR tcp。 len， 后跟包头的长度， 以及包的总长度， 例如 len 20 40。 对于 TCP 包， 则还会包括一个附加的字段， 由一个连字号开始， 之后是表示所设置的标志的一个字母。 请参见 &man.ipmon.8; 联机手册， 以了解这些字母所对应的标志。 对于 ICMP 包， 则在最后会有两个字段。 前一个总是 ICMP， 而后一个则是 ICMP 消息和子消息的类型， 中间以斜线分靠， 例如 ICMP 3/3 表示端口不可达消息。 构建采用符号替换的规则脚本 一些有经验的 IPF 会创建包含规则的文件， 并把它编写成能够与符号替换脚本兼容的方式。 这样做最大的好处是， 它能够让您只修改符号名字所代表的值， 而在脚本执行时直接替换掉所有的名符。 作为脚本， 您可以使用符号替换来把那些经常使用的值直接用于多个规则。 下面我们将给出一个例子。 这个脚本所使用的语法与 sh、 csh， 以及 tcsh 脚本。 符号替换的前缀字段是美元符号： $。 符号字段不使用 $ 前缀。 希望替换符号字段的值， 必须使用双引号 (") 括起来。 您的规则文件的开头类似这样： ############# IPF 规则脚本的开头 ######################## oif="dc0" # 外网接口的名字 odns="192.0.2.11" # ISP 的 DNS 服务器 IP 地址 myip="192.0.2.7" # 来自 ISP 的静态 IP 地址 ks="keep state" fks="flags S keep state" # 可以使用这个脚本来建立 /etc/ipf.rules 文件， # 也可以 "直接地" 运行它。 # # 请删除两个注释号之一。 # # 1) 保留下面一行， 则创建 /etc/ipf.rules： #cat > /etc/ipf.rules << EOF # # 2) 保留下面一行， 则 "直接地" 运行脚本： /sbin/ipf -Fa -f - << EOF # 允许发出到我的 ISP 的域名服务器的访问 pass out quick on $oif proto tcp from any to $odns port = 53 $fks pass out quick on $oif proto udp from any to $odns port = 53 $ks # 允许发出未加密的 www 访问请求 pass out quick on $oif proto tcp from $myip to any port = 80 $fks # 允许发出使用 TLS SSL 加密的 https www 访问请求 pass out quick on $oif proto tcp from $myip to any port = 443 $fks EOF ################## IPF 规则脚本的结束 ######################## 这就是所需的全部内容。 这个规则本身并不重要， 它们主要是用于体现如何使用符号代换字段， 以及如何完成值的替换。 如果上面的例子的名字是 /etc/ipf.rules.script， 就可以通过输入下面的命令来重新加载规则： &prompt.root; sh /etc/ipf.rules.script 在规则文件中嵌入符号有一个问题： IPF 无法识别符号替换， 因此它不能直接地读取这样的脚本。 这个脚本可以使用下面两种方法之一来使用： 去掉 cat 之前的注释， 并注释掉 /sbin/ipf 开头的那一行。 像其他配置一样， 将 ipfilter_enable="YES" 放到 /etc/rc.conf 文件中， 并在此后立刻执行脚本， 以创建或更新 /etc/ipf.rules。 通过把 ipfilter_enable="NO" (这是默认值) 加到 /etc/rc.conf 中， 来禁止系统启动脚本开启 IPFILTER。 在 /usr/local/etc/rc.d/ 启动目录中增加一个类似下面的脚本。 应该给它起一个显而易见的名字， 例如 ipf.loadrules.sh。 请注意， .sh 扩展名是必需的。 #!/bin/sh sh /etc/ipf.rules.script 脚本文件必须设置为属于 root， 并且属主可读、 可写、 可执行。 &prompt.root; chmod 700 /usr/local/etc/rc.d/ipf.loadrules.sh 这样， 在系统启动时， 就会自动加载您的 IPF 规则了。 IPF 规则集 规则集是指一组编写好的依据包的值决策允许通过或阻止 ipf 规则。 包的双向交换组成了一个会话交互。 防火墙规则集对同一个包会进行两次处理， 第一次是它从公网的 Internet 主机到达的时候， 第二次是它离开并返回初始的 Internet 公网主机的时候。 每一个 TCP/IP 服务 (例如 telnet, www, 邮件等等) 是由协议预先定义的源或目的 IP 地址， 以及源或目的端口。 这是最基本的一些可以为防火墙规则所利用的， 判别是否允许服务通过的标准。 IPFILTER 规则处理顺序 IPF 最初被写成使用一组称作 以最后匹配的规则为准 的处理逻辑， 且只能处理无状态的规则。 随着时代的发展， IPF 进行了改进， 并提供了 quick 选项， 以及一个有状态的 keep state 选项。 后者使处理逻辑迅速地跟上了时代的步伐。 这一节中提供的一些指导， 是基于使用包含 quick 选项和有状态的 keep state 选项来进行阐述的。 这些是编写包容式防火墙规则集的基本要素。 包容式防火墙只允许与规则匹配的服务通过。 这样， 您就既能够控制来自防火墙后面的机器请求 Internet 公网上的那些服务， 同时也可以控制来自 Internet 的请求能够访问内部网上的哪些服务。 所有其它的访问请求都会被阻止， 并记录下来。 包容式防火墙一般而言要远比排斥式的要安全， 而且也只需要定义允许哪些访问通过。 当对防火墙规则进行操作时， 应该 谨慎行事。 某些配置可能会 将您反锁在 服务器外面。 安全起见， 您可以考虑在第一次进行防火墙配置时在本地控制台上， 而不是远程， 例如通过 ssh 来进行。 规则语法 IPFILTER 规则语法 这里给出的规则语法已经简化到只处理那些新式的带状态规则， 并且都是 第一个匹配的规则获胜 逻辑的。 要了解完整的传统规则语法描述， 请参见 &man.ipf.8; 联机手册。 以 # 字符开头的内容会被认为是注释。 这些注释可以出现在一行规则的末尾， 或者独占一行。 空行会被忽略。 规则由关键字组成。 这些关键字必须以一定的顺序， 从左到右出现在一行上。 接下来的文字中关键字将使用粗体表示。 某些关键字可能提供了子选项， 这些子选项本身可能也是关键字， 而且可能会提供更多的子选项。 下面的文字中， 每种语法都使用粗体的小节标题呈现， 并介绍了其上下文。 ACTION IN-OUT OPTIONS SELECTION STATEFUL PROTO SRC_ADDR,DST_ADDR OBJECT PORT_NUM TCP_FLAG STATEFUL ACTION = block | pass IN-OUT = in | out OPTIONS = log | quick | on 网络接口的名字 SELECTION = proto 协议名称 | 源/目的 IP | port = 端口号 | flags 标志值 PROTO = tcp/udp | udp | tcp | icmp SRC_ADD,DST_ADDR = all | from 对象 to 对象 OBJECT = IP地址 | any PORT_NUM = port 端口号 TCP_FLAG = S STATEFUL = keep state ACTION (动作) 动作对表示匹配规则的包应采取什么动作。 每一个规则 必须 包含一个动作。 可以使用下面两种动作之一： block 表示如果规则与包匹配， 则丢弃包。 pass 表示如果规则与包匹配， 则允许包通过防火墙。 IN-OUT 每个过滤器规则都必须明确地指定是流入还是流出的规则。 下一个关键字必须要么是 in， 要么是 out， 否则将无法通过语法检查。 in 表示规则应被应用于刚刚从 Internet 公网上收到的数据包。 out 表示规则应被应用于即将发出到 Internet 的数据包。 OPTIONS 这些选项必须按下面指定的顺序出现。 log 表示包头应被写入到 ipl 日志 (如前面 LOGGING 小节所介绍的那样)， 如果它与规则匹配的话。 quick 表示如果给出的参数与包匹配， 则以这个规则为准， 这使得能够 "短路" 掉后面的规则。 这个选项对于使用新式的处理逻辑是必需的。 on 表示将网络接口的名称作为筛选参数的一部分。 接口的名字会在 &man.ifconfig.8; 的输出中显示。 使用这个选项， 则规则只会应用到某一个网络接口上的出入数据包上。 要配置新式的处理逻辑， 必须使用这个选项。 当记录包时， 包的头会被写入到 IPL 包日志伪设备中。 紧跟 log 关键字， 可以使用下面几个修饰符 (按照下列顺序)： body 表示应同时记录包的前 128 字节的内容。 first 如果 log 关键字和 keep state 选项同时使用， 则这个选项只在第一个包上触发， 这样就不用记录每一个 keep state 包信息了。 SELECTION 这一节所介绍的关键字可以用于所检察的包的属性。 有一个关键字主题， 以及一组子选项关键字， 您必须从他们中选择一个。 以下是一些通用的属性， 它们必须按下面的顺序使用： PROTO proto 是一个主题关键字， 它必须与某个相关的子选项关键字配合使用。 这个值的作用是匹配某个特定的协议。 要使用新式的规则处理逻辑， 就必须使用这个选项。 tcp/udp | udp | tcp | icmp 或其他在 /etc/protocols 中定义的协议。 特殊的协议关键字 tcp/udp 可以用于匹配 TCP 或 UDP 包， 引入这个关键字的作用是是避免大量的重复规则的麻烦。 SRC_ADDR/DST_ADDR 使用 all 关键词， 基本上相当于 from any to any 在没有配合其他关键字的情形。 from src to dst： from 和 to 关键字主要是用来匹配 IP 地址。 所有的规则都必须同时给出源和目的两个参数。 any 是一个可以用于匹配任意 IP 地址的特殊关键字。 例如， 您可以使用 from any to any 或 from 0.0.0.0/0 to any 或 from any to 0.0.0.0/0 或 from 0.0.0.0 to any 以及 from any to 0.0.0.0。 IP 地址可以按句点分隔的 IP 地址/掩码长度 的方式来指定， 也可以只指定一个句点分隔的 IP 地址。 如果无法使用子网掩码来表示 IP 的话， 表达地址就会很麻烦。 请参见下面的网页了解如何撰写掩码长度： 。 PORT 如果为源或目的指定了匹配端口， 规则就只能应用于 TCP 和 UDP 包了。 当编写端口比较规则时， 可以指定 /etc/services 中所定义的名字， 也可以直接用端口号来指定。 如果端口号出现在源对象一侧， 则被认为是源端口号； 反之， 则被认为是目的端口号。 要使用新式的规则处理逻辑， 就必须与 to 对象配合使用这个选项。 使用的例子： from any to any port = 80。 端口的比较是以数字的形式进行的， 可以使用比较算符来指定， 也可以指定一个范围。 port "=" | "!=" | "<" | ">" | "<=" | ">=" | "eq" | "ne" | "lt" | "gt" | "le" | "ge". 要指定端口范围， 可以使用 "<>" | "><"。 在源和目的匹配参数之后， 需要使用下面两个参数， 才能够使用新式的规则处理逻辑。 <acronym>TCP</acronym>_FLAG 标志只对 TCP 过滤使用。 这些字母用来表达 TCP 包头的标志。 新式的规则处理逻辑使用 flags S 参数来识别 tcp 会话开始的请求。 STATEFUL keep state 表示如果有一个包与规则匹配， 则其筛选参数应激活有状态的过滤机制。 如果使用新式的处理逻辑， 则这个选项是必需的。 有状态过滤 IPFILTER 有状态过滤 有状态过滤将网络流量当作一种双向的包交换来处理。 如果激活它， keep-state 会动态地为每一个相关的包在双向会话交互过程中产生内部规则。 它能够确认发起者和包的目的地之间的会话是有效的双向包交换过程的一部分。 如果包与这些规则不符， 则将自动地拒绝。 状态保持也使得 ICMP 包能够与 TCP 或 UDP 会话相关。 因此， 如果您在浏览网站时收到允许的状态保持规则匹配的 ICMP 类型 3 代码 4 响应， 则这些响应会被自动地允许进入。 所有 IPF 能够处理的包， 都可以作为某种活跃会话的一部分， 即使它是另一种协议的， 也会被允许进入。 所发生的事情是： 将要通过联入公网的网络接口发出的包， 首先会经过动态状态表的检查。 如果包与会话中预期的下一个包匹配， 则防火墙就会允许包通过， 而会话的交互流信息也会在动态状态表中进行更新， 而其他的包， 则将使用发出规则集来检查。 发到联入 Internet 公网的包， 也会首先经过动态规则表的检查。 如果与会话中预期的下一个包匹配， 则防火墙就允许它通过， 并更新动态状态表。 其他包仍会使用进入规则集进行检查。 当会话结束时， 对应的项会在动态状态表中删除。 有状态过滤使得您能够集中于阻止/允许新的会话。 一旦新会话被允许通过， 则所有后续的包就都被自动地允许通过， 而伪造的包则被自动地拒绝。 如果新的会话被阻止， 则后续的包也都不会被允许通过。 有状态过滤从技术角度而言， 在阻止目前攻击者常用的洪水式攻击来说， 具有更好的抗御能力。 包容式规则集的例子 下面的规则集是如何编写非常安全的包容式防火墙规则集的一个范例。 包容式防火墙只让允许的服务通过， 而所有其他的访问都会被默认地拒绝。 所有的防火墙都有至少两个接口对应的默认规则， 从而使防火墙能够正常工作。 所有的类 &unix; 系统， 包括 &os; 都使用 lo0 和 IP 地址 127.0.0.1 用于操作系统中内部的通讯。 防火墙规则必须允许这些包无阻碍地通过。 接入 Internet 公网的网络接口， 是放置规则并允许将访问请求发到 Internet 以及接收响应的地方。 这有可能是用户模式的 PPP tun0 接口， 如果您的网卡同 DSL 或电缆调制解调器相联的话。 如果有至少一个网卡与防火墙后的内网 LAN 相联， 这些网络接口就应该有一个规则来允许来自这些 LAN 接口的包无阻碍地通过。 一般说来， 规则应被组织为三个主要的小节： 所有允许自由通过的接口规则， 发到公网接口的规则， 以及进入公网接口的规则。 每一个公网接口规则中， 经常会匹配到的规则应该放置在尽可能靠前的位置。 而最后一个规则应该是阻止包通过， 并记录它们。 下面防火墙规则集中， Outbound 部分是一些使用 'pass' 的规则， 这些规则指定了允许访问的公网 Internet 服务， 并且指定了 'quick'、 'on'、 'proto'、 'port'， 以及 'keep state' 这些选项。 'proto tcp' 规则还指定了 'flag' 这个选项， 这样会话的第一个包将出发状态机制。 接下来的 Inbound 一节， 则首先阻止所有不希望的数据包。 这样做有两个原因， 其一是被阻止的包可能会被后面的规则允许， 从而并不妨碍获得授权的服务正常工作； 其二是这避免了那些不常见的包由于匹配到最后一条规则而触发日志， 规则集中的最后一条规则是阻止并记录所有的包， 通过这样的记录， 就比较容易找到攻击系统的人， 并为采取法律措施收集证据。 需要注意的另一件事情是， 如果收到了不希望的数据包， 则这些包会被丢弃， 而不是给出什么响应。 这样做的好处是， 攻击者无法了解包是否已经被您的系统收到。 攻击者所能了解到的信息越少， 攻陷您的系统所需要花费的时间也就越长。 我们在这里记录的连入的 'nmap OS 指纹' 探测企图， 一般来说正是攻击者所做的第一件事。 如果您看到了 'log first' 规则的日志， 就应该用 ipfstat -hio 命令来看看那个规则被匹配的次数， 以便了解系统是否正在或曾被攻击。 如果记录的包的端口号并不是您所知道的， 可以在 /etc/services 或 了解端口号通常的用途。 参考下面的网页， 了解木马使用的端口：。 下面是我在自己的系统中使用的完整的， 非常安全的 '包容式' 防火墙规则集。 直接使用这个规则集不会给您造成问题， 您所要做的只是注释掉那些您不需要的服务。 如果在日志中发现了希望阻止的记录， 只需在 inbound 小节中增加一条阻止规则集可。 您必须将每一个规则中的 dc0 替换为您系统上接入 Internet 的网络接口名称， 例如， 用户环境下的 PPP 应该是 tun0。 在 /etc/ipf.rules 中加入下面的内容： ################################################################# # No restrictions on Inside LAN Interface for private network # Not needed unless you have LAN ################################################################# #pass out quick on xl0 all #pass in quick on xl0 all ################################################################# # No restrictions on Loopback Interface ################################################################# pass in quick on lo0 all pass out quick on lo0 all ################################################################# # Interface facing Public Internet (Outbound Section) # Interrogate session start requests originating from behind the # firewall on the private network # or from this gateway server destine for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # xxx must be the IP address of your ISP's DNS. # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file pass out quick on dc0 proto tcp from any to xxx port = 53 flags S keep state pass out quick on dc0 proto udp from any to xxx port = 53 keep state # Allow out access to my ISP's DHCP server for cable or DSL networks. # This rule is not needed for 'user ppp' type connection to the # public Internet, so you can delete this whole group. # Use the following rule and check log for IP address. # Then put IP address in commented out rule & delete first rule pass out log quick on dc0 proto udp from any to any port = 67 keep state #pass out quick on dc0 proto udp from any to z.z.z.z port = 67 keep state # Allow out non-secure standard www function pass out quick on dc0 proto tcp from any to any port = 80 flags S keep state # Allow out secure www function https over TLS SSL pass out quick on dc0 proto tcp from any to any port = 443 flags S keep state # Allow out send & get email function pass out quick on dc0 proto tcp from any to any port = 110 flags S keep state pass out quick on dc0 proto tcp from any to any port = 25 flags S keep state # Allow out Time pass out quick on dc0 proto tcp from any to any port = 37 flags S keep state # Allow out nntp news pass out quick on dc0 proto tcp from any to any port = 119 flags S keep state # Allow out gateway & LAN users non-secure FTP ( both passive & active modes) # This function uses the IPNAT built in FTP proxy function coded in # the nat rules file to make this single rule function correctly. # If you want to use the pkg_add command to install application packages # on your gateway system you need this rule. pass out quick on dc0 proto tcp from any to any port = 21 flags S keep state # Allow out secure FTP, Telnet, and SCP # This function is using SSH (secure shell) pass out quick on dc0 proto tcp from any to any port = 22 flags S keep state # Allow out non-secure Telnet pass out quick on dc0 proto tcp from any to any port = 23 flags S keep state # Allow out FBSD CVSUP function pass out quick on dc0 proto tcp from any to any port = 5999 flags S keep state # Allow out ping to public Internet pass out quick on dc0 proto icmp from any to any icmp-type 8 keep state # Allow out whois for LAN PC to public Internet pass out quick on dc0 proto tcp from any to any port = 43 flags S keep state # Block and log only the first occurrence of everything # else that's trying to get out. # This rule enforces the block all by default logic. block out log first quick on dc0 all ################################################################# # Interface facing Public Internet (Inbound Section) # Interrogate packets originating from the public Internet # destine for this gateway server or the private network. ################################################################# # Block all inbound traffic from non-routable or reserved address spaces block in quick on dc0 from 192.168.0.0/16 to any #RFC 1918 private IP block in quick on dc0 from 172.16.0.0/12 to any #RFC 1918 private IP block in quick on dc0 from 10.0.0.0/8 to any #RFC 1918 private IP block in quick on dc0 from 127.0.0.0/8 to any #loopback block in quick on dc0 from 0.0.0.0/8 to any #loopback block in quick on dc0 from 169.254.0.0/16 to any #DHCP auto-config block in quick on dc0 from 192.0.2.0/24 to any #reserved for docs block in quick on dc0 from 204.152.64.0/23 to any #Sun cluster interconnect block in quick on dc0 from 224.0.0.0/3 to any #Class D & E multicast ##### Block a bunch of different nasty things. ############ # That I do not want to see in the log # Block frags block in quick on dc0 all with frags # Block short tcp packets block in quick on dc0 proto tcp all with short # block source routed packets block in quick on dc0 all with opt lsrr block in quick on dc0 all with opt ssrr # Block nmap OS fingerprint attempts # Log first occurrence of these so I can get their IP address block in log first quick on dc0 proto tcp from any to any flags FUP # Block anything with special options block in quick on dc0 all with ipopts # Block public pings block in quick on dc0 proto icmp all icmp-type 8 # Block ident block in quick on dc0 proto tcp from any to any port = 113 # Block all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 block in log first quick on dc0 proto tcp/udp from any to any port = 137 block in log first quick on dc0 proto tcp/udp from any to any port = 138 block in log first quick on dc0 proto tcp/udp from any to any port = 139 block in log first quick on dc0 proto tcp/udp from any to any port = 81 # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP's DHCP server as it's the only # authorized source to send this packet type. Only necessary for # cable or DSL configurations. This rule is not needed for # 'user ppp' type connection to the public Internet. # This is the same IP address you captured and # used in the outbound section. pass in quick on dc0 proto udp from z.z.z.z to any port = 68 keep state # Allow in standard www function because I have apache server pass in quick on dc0 proto tcp from any to any port = 80 flags S keep state # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID/PW passed over public Internet as clear text. # Delete this sample group if you do not have telnet server enabled. #pass in quick on dc0 proto tcp from any to any port = 23 flags S keep state # Allow in secure FTP, Telnet, and SCP from public Internet # This function is using SSH (secure shell) pass in quick on dc0 proto tcp from any to any port = 22 flags S keep state # Block and log only first occurrence of all remaining traffic # coming into the firewall. The logging of only the first # occurrence stops a .denial of service. attack targeted # at filling up your log file space. # This rule enforces the block all by default logic. block in log first quick on dc0 all ################### End of rules file ##################################### <acronym>NAT</acronym> NAT IP 伪装 NAT 网络地址转换 NAT NAT 是 网络地址转换(Network Address Translation) 的缩写。 对于那些熟悉 &linux; 的人来说， 这个概念叫做 IP 伪装 (Masquerading)； NAT 和 IP 伪装是完全一样的概念。 由 IPF 的 NAT 提供的一项功能是， 将防火墙后的本地局域网 (LAN) 共享一个 ISP 提供的 IP 地址来接入 Internet 公网。 有些人可能会问， 为什么需要这么做。 一般而言， ISP 会为非商业用户提供动态的 IP 地址。 动态地址意味着每次登录到 ISP 都有可能得到不同的 IP 地址， 无论是采用电话拨号登录， 或使用 cable 以及 DSL 调制解调器的方式。 这个 IP 是您与 Internet 公网交互时使用的身份。 现在考虑家中有五台 PC 需要访问 Internet 的情形。 您可能需要向 ISP 为每一台 PC 所使用的独立的 Internet 账号付费， 并且拥有五根电话线。 有了 NAT， 您就只需要一个 ISP 账号， 然后将另外四台 PC 的网卡通过交换机连接起来， 并通过运行 &os; 系统的那台机器作为网关连接出去。 NAT 会自动地将每一台 PC 在内网的 LAN IP 地址， 在离开防火墙时转换为公网的 IP 地址。 此外， 当数据包返回时， 也将进行逆向的转换。 NAT 通常是在没有向 ISP 请求许可， 或事先知会的情况下进行的， 因而如果被发现， 有时可能会成为 ISP 撤销您的账号的一个借口。 商业用户一般来说会购买昂贵得多的 Internet 线路， 通常会获得一组长期有效的静态 IP 地址块。 ISP 一般会希望并同意商业用户在他们的内网中使用 NAT。 在 IP 地址空间中， 有一些特殊的范围是保留供经过 NAT 的内网 LAN IP 地址使用的。 根据 RFC 1918， 您可以使用下面这些 IP 范围用于内网， 它们不会在 Internet 公网上路由： 起始 IP 10.0.0.0 - 结束 IP 10.255.255.255 起始 IP 172.16.0.0 - 结束 IP 172.31.255.255 起始 IP 192.168.0.0 - 结束 IP 192.168.255.255 IP<acronym>NAT</acronym> NAT 以及 IPFILTER ipnat NAT 规则是通过 ipnat 命令加载的。 默认情况下， NAT 规则会保存在 /etc/ipnat.rules 文件中。 请参见 &man.ipnat.1; 了解更多的详情。 如果在 NAT 已经启动之后想要修改 NAT 规则， 可以修改保存 NAT 规则的那个文件， 然后在执行 ipnat 命令时加上 参数， 以删除在用的 NAT 内部规则表， 以及所有地址翻译表中已有的项。 要重新加载 NAT 规则， 可以使用类似下面的命令： &prompt.root; ipnat -CF -f /etc/ipnat.rules 如果想要看看您系统上 NAT 的统计信息， 可以用下面的命令： &prompt.root; ipnat -s 要列出当前的 NAT 表的映射关系， 使用下面的命令： &prompt.root; ipnat -l 要显示详细的信息并显示与规则处理和当前的规则/表项： &prompt.root; ipnat -v IP<acronym>NAT</acronym> 规则 NAT 规则非常的灵活， 能够适应商业用户和家庭用户的各种不同的需求。 这里所介绍的规则语法已经被简化， 以适应非商用环境中的一般情况。 完整的规则语法描述， 请参考 &man.ipnat.5; 联机手册中的介绍。 NAT 规则的写法与下面的例子类似： map IF LAN_IP_RANGE -> PUBLIC_ADDRESS 关键词 map 出现在规则的最前面。 将 IF 替换为对外的网络接口名。 LAN_IP_RANGE 是内网中的客户机使用的地址范围。 通常情况下， 这应该是类似 192.168.1.0/24 的地址。 PUBLIC_ADDRESS 既可以是外网的 IP 地址， 也可以是 0/32 这个特殊的关键字， 它表示分配到 IF 上的所有地址。 <acronym>NAT</acronym> 的工作原理 当包从 LAN 到达防火墙， 而目的地址是公网地址时， 它首先会通过 outbound 过滤规则。 接下来， NAT 会得到包， 并按自顶向下的顺序处理规则， 而第一个匹配的规则将生效。 NAT 接下来会根据包对应的接口名字和源 IP 地址检查所有的规则。 如果包和某个 NAT 规则匹配， 则会检查包的 [源 IP 地址， 例如， 内网的 IP 地址] 是否在 NAT 规则中箭头左侧指定的 IP 地址范围匹配。 如果匹配， 则包的原地址将被根据用 0/32 关键字指定的 IP 地址重写。 NAT 将向它的内部 NAT 表发送此地址， 这样， 当包从 Internet 公网中返回时， 就能够把地址映射回原先的内网 IP 地址， 并在随后使用过滤器规则来处理。 启用 IP<acronym>NAT</acronym> 要启用 IPNAT， 只需在 /etc/rc.conf 中加入下面一些语句。 使机器能够在不同的网络接口之间进行包的转发， 需要： gateway_enable="YES" 每次开机时自动启动 IPNAT： ipnat_enable="YES" 指定 IPNAT 规则集文件： ipnat_rules="/etc/ipnat.rules" 大型 LAN 中的 <acronym>NAT</acronym> 对于在一个 LAN 中有大量 PC， 以及包含多个 LAN 的情形， 把所有的内网 IP 地址都映射到同一个公网 IP 上会导致资源不够的问题， 因为同一个端口可能在许多做了 NAT 的 LAN PC 上被多次使用， 并导致碰撞。 有两种方法来缓解这个难题。 指定使用哪些端口 普通的 NAT 规则类似于： map dc0 192.168.1.0/24 -> 0/32 上面的规则中， 包的源端口在包通过 IPNAT 时时不会发生变化的。 通过使用 portmap 关键字， 您可以要求 IPNAT 只使用一定范围内的端口地址。 比如说， 下面的规则将让 IPNAT 把源端口改为指定范围内的端口： map dc0 192.168.1.0/24 -> 0/32 portmap tcp/udp 20000:60000 使用 auto 关键字可以让配置变得更简单一些， 它会要求 IPNAT 自动地检测可用的端口并使用： map dc0 192.168.1.0/24 -> 0/32 portmap tcp/udp auto 使用公网地址池 对很大的 LAN 而言， 总有一天会达到这样一个临界值， 此时的 LAN 地址已经多到了无法只用一个公网地址表现的程度。 如果有可用的一块公网 IP 地址， 则可以将这些地址作为一个 地址池 来使用， 让 IPNAT 来从这些公网 IP 地址中挑选用于发包的地址， 并将其为这些包创建映射关系。 例如， 如果将下面这个把所有包都映射到同一公网 IP 地址的规则： map dc0 192.168.1.0/24 -> 204.134.75.1 稍作修改， 就可以用子网掩码来表达 IP 地址范围： map dc0 192.168.1.0/24 -> 204.134.75.0/255.255.255.0 或者用 CIDR 记法来指定的一组地址了： map dc0 192.168.1.0/24 -> 204.134.75.0/24 端口重定向 非常流行的一种做法是， 将 web 服务器、 邮件服务器、 数据库服务器以及 DNS 分别放到 LAN 上的不同的 PC 上。 这种情况下， 来自这些服务器的网络流量仍然应该被 NAT， 但必须有办法把进入的流量发到对应的局域网的 PC 上。 IPNAT 提供了 NAT 重定向机制来解决这个问题。 考虑下面的情况， 您的 web 服务器的 LAN 地址是 10.0.10.25， 而您的唯一的公网 IP 地址是 20.20.20.5， 则可以编写这样的规则： rdr dc0 20.20.20.5/32 port 80 -> 10.0.10.25 port 80 或者： rdr dc0 0.0.0.0/0 port 80 -> 10.0.10.25 port 80 另外， 也可以让 LAN 地址 10.0.10.33 上运行的 LAN DNS 服务器来处理公网上的 DNS 请求： rdr dc0 20.20.20.5/32 port 53 -> 10.0.10.33 port 53 udp FTP 和 <acronym>NAT</acronym> FTP 是一个在 Internet 如今天这样为人所熟知之前就已经出现的恐龙， 那时， 研究机构和大学是通过租用的线路连到一起的， 而 FTP 则被用于在科研人员之间共享大文件。 那时， 数据的安全性并不是需要考虑的事情。 若干年之后， FTP 协议则被埋进了正在形成中的 Internet 骨干， 而它使用明文来交换用户名和口令的缺点， 并没有随着新出现的一些安全需求而得到改变。 FTP 提供了两种不同的风格， 即主动模式和被动模式。 两者的区别在于数据通道的建立方式。 被动模式相对而言要更加安全， 因为数据通道是由发起 ftp 会话的一方建立的。 关于 FTP 以及它所提供的不同模式， 在 进行了很好的阐述。 IP<acronym>NAT</acronym> 规则 IPNAT 提供了一个内建的 FTP 代理选项， 它可以在 NAT map 规则中指定。 它能够监视所有外发的 FTP 主动或被动模式的会话开始请求， 并动态地创建临时性的过滤器规则， 只打开用于数据通道的端口号。 这样， 就消除了 FTP 一般会给防火墙带来的， 需要大范围地打开高端口所可能带来的安全隐患。 下面的规则可以处理来自内网的 FTP 访问： map dc0 10.0.10.0/29 -> 0/32 proxy port 21 ftp/tcp 这个规则能够处理来自网关的 FTP 访问： map dc0 0.0.0.0/0 -> 0/32 proxy port 21 ftp/tcp 这个则处理所有来自内网的非 FTP 网络流量： map dc0 10.0.10.0/29 -> 0/32 FTP map 规则应该在普通的 map 规则之前出现。 所有的包会从最上面的第一个规则开始进行检查。 匹配的顺序是网卡名称， 内网源 IP 地址， 以及它是否是 FTP 包。 如果所有这些规则都匹配成功， 则 FTP 代理将建立一个临时的过滤规则， 以便让 FTP 会话的数据包能够正常出入， 同时对这些包进行 NAT。 所有的 LAN 数据包， 如果没有匹配第一条规则， 则会继续尝试匹配下面的规则， 并最终被 NAT。 IP<acronym>NAT</acronym> FTP 过滤规则 如果使用了 NAT FTP 代理， 则只需要为 FTP 创建一个规则。 如果没有使用 FTP 代理， 则需要下面三个规则： # Allow out LAN PC client FTP to public Internet # Active and passive modes pass out quick on rl0 proto tcp from any to any port = 21 flags S keep state # Allow out passive mode data channel high order port numbers pass out quick on rl0 proto tcp from any to any port > 1024 flags S keep state # Active mode let data channel in from FTP server pass in quick on rl0 proto tcp from any to any port = 20 flags S keep state IPFW 防火墙 IPFW IPFIREWALL (IPFW) 是一个由 &os; 发起的防火墙应用软件， 它由 &os; 的志愿者成员编写和维护。 它使用了传统的无状态规则和规则编写方式， 以期达到简单状态逻辑所期望的目标。 标准的 &os; 安装中， IPFW 所给出的规则集样例 (可以在 /etc/rc.firewall 和 /etc/rc.firewall6 中找到) 非常简单， 建议不要不加修改地直接使用。 该样例中没有使用状态过滤， 而该功能在大部分的配置中都是非常有用的， 因此这一节并不以系统自带的样例作为基础。 IPFW 的无状态规则语法， 是由一种提供复杂的选择能力的技术支持的， 这种技术远远超出了一般的防火墙安装人员的知识水平。 IPFW 是为满足专业用户， 以及掌握先进技术的电脑爱好者们对于高级的包选择需求而设计的。 要完全释放 IPFW 的规则所拥有的强大能力， 需要对不同的协议的细节有深入的了解， 并根据它们独特的包头信息来编写规则。 这一级别的详细阐述超出了这本手册的范围。 IPFW 由七个部分组成， 其主要组件是内核的防火墙过滤规则处理器， 及其集成的数据包记帐工具、 日志工具、 用以触发 NAT 工具的 'divert' (转发) 规则、 高级特殊用途工具、 dummynet 流量整形机制， 'fwd rule' 转发工具， 桥接工具， 以及 ipstealth 工具。 IPFW 支持 IPv4 和 IPv6。 启用 IPFW IPFW 启用 IPFW 是基本的 &os; 安装的一部分， 以单独的可加载内核模块的形式提供。 如果在 rc.conf 中加入 firewall_enable="YES" 语句， 就会自动地加载对应的内核模块。 除非您打算使用由它提供的 NAT 功能， 一般情况下并不需要把 IPFW 编进 &os; 的内核。 如果将 firewall_enable="YES" 加入到 rc.conf 中并重新启动系统， 则下列信息将在启动过程中， 以高亮的白色显示出来： ipfw2 initialized, divert disabled, rule-based forwarding disabled, default to deny, logging disabled 可加载内核模块在编译时加入了记录日志的能力。 要启用日志功能， 并配置详细日志记录的限制， 需要在 /etc/sysctl.conf 中加入一些配置。 这些设置将在重新启动之后生效： net.inet.ip.fw.verbose=1 net.inet.ip.fw.verbose_limit=5 内核选项 内核选项 IPFIREWALL 内核选项 IPFIREWALL_VERBOSE 内核选项 IPFIREWALL_VERBOSE_LIMIT IPFW 内核选项 把下列选项在编译 &os; 内核时就加入， 并不是启用 IPFW 所必需的， 除非您需要使用 NAT 功能。 这里只是将这些选项作为背景知识来介绍。 options IPFIREWALL 这个选项将 IPFW 作为内核的一部分来启用。 options IPFIREWALL_VERBOSE 这个选项将启用记录通过 IPFW 的匹配了包含 'log' 关键字规则的每一个包的功能。 options IPFIREWALL_VERBOSE_LIMIT=5 以每项的方式， 限制通过 &man.syslogd.8; 记录的包的个数。 如果在比较恶劣的环境下记录防火墙的活动可能会需要这个选项。 它能够避免潜在的针对 syslog 的洪水式拒绝服务攻击。 内核选项 IPFIREWALL_DEFAULT_TO_ACCEPT options IPFIREWALL_DEFAULT_TO_ACCEPT 这个选项默认地允许所有的包通过防火墙， 如果您是第一次配置防火墙， 使用这个选项将是一个不错的主意。 内核选项 IPDIVERT options IPDIVERT 这一选项启用 NAT 功能。 如果内核选项中没有加入 IPFIREWALL_DEFAULT_TO_ACCEPT， 或将您的防火墙设置配置为允许所有的进入包， 则所有发到本机或发出的包都会被阻止。 <filename>/etc/rc.conf</filename> Options 启用防火墙： firewall_enable="YES" 要选择由 &os; 提供的几种防火墙类型中的一种来作为默认配置， 您需要阅读 /etc/rc.firewall 文件并选出合适的类型， 然后在 /etc/rc.conf 中加入类似下面的配置： firewall_type="open" 您还可以指定下列配置规则之一： open — 允许所有流量通过。 client — 只保护本机。 simple — 保护整个网络。 closed — 完全禁止除回环设备之外的全部 IP 流量。 UNKNOWN — 禁止加载防火墙规则。 filename — 到防火墙规则文件的绝对路径。 有两种加载自定义 ipfw 防火墙规则的方法。 其一是将变量 firewall_type 设为包含不带 &man.ipfw.8; 命令行选项的 防火墙规则 文件的完整路径。 下面是一个简单的规则集例子： add block in all add block out all 除此之外， 也可以将 firewall_script 变量设为包含 ipfw 命令的可执行脚本， 这样这个脚本会在启动时自动执行。 与前面规则集文件等价的规则脚本如下： #!/bin/sh ipfw -q flush ipfw add block in all ipfw add block out all 如果 firewall_type 设为 client 或 simple， 则还应查看在 /etc/rc.firewall 中的默认规则， 以确认它们与所在机器的配置相一致。 此外， 请注意这一章中的例子均假定 firewall_script 是 /etc/ipfw.rules。 启用日志： firewall_logging="YES" 设置 firewall_logging 的唯一作用是， 系统将把 net.inet.ip.fw.verbose sysctl 变量置为 1 (参见 )。 并没有能够设置日志限制的 rc.conf 变量， 不过这种限制可以通过设置某些 sysctl 变量来完成， 可以手工进行操作， 也可以写到 /etc/sysctl.conf 文件中： net.inet.ip.fw.verbose_limit=5 如果您的计算机是作为网关使用的， 也就是它通过 &man.natd.8; 提供网络地址翻译 (NAT)， 请参见 以了解需要在 /etc/rc.conf 中配置的选项。 IPFW 命令 ipfw ipfw 命令是在防火墙运行时， 用于在其内部规则表中手工逐条添加或删除防火墙规则的标准工具。 这一方法的问题在于， 一旦您的关闭计算机或停机， 则所有增加或删除或修改的规则也就丢掉了。 把所有的规则都写到一个文件中， 并在启动时使用这个文件来加载规则， 或一次大批量地替换防火墙规则， 那么推荐使用这里介绍的方法。 ipfw 的另一个非常实用的功能是将所有正在运行的防火墙规则显示出来。 IPFW 的记账机制会为每一个规则动态地创建计数器， 用以记录与它们匹配的包的数量。 在测试规则的过程中， 列出规则及其计数器是了解它们是否工作正常的重要手段。 按顺序列出所有的规则： &prompt.root; ipfw list 列出所有的规则， 同时给出最后一次匹配的时间戳： &prompt.root; ipfw -t list 列出所有的记账信息、 匹配规则的包的数量， 以及规则本身。 第一列是规则的编号， 随后是发出包匹配的数量， 进入包的匹配数量， 最后是规则本身。 &prompt.root; ipfw -a list 列出所有的动态规则和静态规则： &prompt.root; ipfw -d list 同时显示已过期的动态规则： &prompt.root; ipfw -d -e list 将计数器清零： &prompt.root; ipfw zero 只把规则号为 NUM 的计数器清零： &prompt.root; ipfw zero NUM IPFW 规则集 规则集是一组根据包中选择的数值使用 allow 或 deny 写出的 ipfw 规则。 在两个主机之前的双向包交换组成了一次会话交互。 防火墙规则集， 会对同一个包处理两次： 第一次是包从公网上到达防火墙时， 而第二次则是包返回 Internet 公网上的主机时。 每一个 TCP/IP 服务 (例如 telnet, www, mail, 等等)， 都有事先定义好的协议， 以及一个端口号。 这可以作为建立允许或阻止规则时的基本选择依据。 IPFW 规则处理顺序 当有数据包进入防火墙时， 会从规则集里的第一个规则开始进行比较， 并自顶向下地进行匹配。 当包与某个选择规则参数相匹配时， 将会执行规则所定义的动作， 并停止规则集搜索。 这种策略， 通常也被称作 最先匹配者获胜 的搜索方法。 如果没有任何与包相匹配的规则， 那么它就会根据强制的 ipfw 默认规则， 也就是 65535 号规则截获。 一般情况下这个规则是阻止包， 而且不给出任何回应。 如果规则定义的动作是 count、 skipto 或 tee 规则的话， 搜索会继续。 这里所介绍的规则， 都是使用了那些包含状态功能的， 也就是 'keep state'、 'limit'、 'in'/'out'、 或者 'via' 选项的规则。 这是编写包容式防火墙规则集所需的基本框架。 包容式防火墙只允许与规则匹配的包通过。 这样， 您就既能够控制来自防火墙后面的机器请求 Internet 公网上的那些服务， 同时也可以控制来自 Internet 的请求能够访问内部网上的哪些服务。 所有其它的访问请求都会被阻止， 并记录下来。 包容式防火墙一般而言要远比排斥式的要安全， 而且也只需要定义允许哪些访问通过。 在操作防火墙规则时应谨慎行事， 如果操作不当， 有可能将自己反锁在外面。 规则语法 IPFW 规则语法 这里所介绍的规则语法已经经过了简化， 只包括了建立标准的包容式防火墙规则集所必需的那些。 要了解完整的规则语法说明， 请参见 &man.ipfw.8; 联机手册。 规则是由关键字组成的： 这些关键字必须以特定的顺序从左到右书写。 下面的介绍中， 关键字使用粗体表示。 某些关键字还包括了子选项， 这些子选项本身可能也是关键字， 有些还可以包含更多的子选项。 # 用于表示开始一段注释。 它可以出现在一个规则的后面， 也可以独占一行。 空行会被忽略。 CMD RULE_NUMBER ACTION LOGGING SELECTION STATEFUL CMD 每一个新的规则都应以 add 作为前缀， 它表示将规则加入内部表。 RULE_NUMBER 每一个规则都必须包含一个规则编号。 ACTION 每一个规则可以与下列的动作之一相关联， 所指定的动作将在进入的数据包与规则所指定的选择标准相匹配时执行。 allow | accept | pass | permit 这些关键字都表示允许匹配规则的包通过防火墙， 并停止继续搜索规则。 check-state 根据动态规则表检查数据包。 如果匹配， 则执行规则所指定的动作， 亦即生成动态规则； 否则， 转移到下一个规则。 check-state 规则没有选择标准。 如果规则集中没有 check-state 规则， 则会在第一个 keep-state 或 limit 规则处， 对动态规则表实施检查。 deny | drop 这两个关键字都表示丢弃匹配规则的包。 同时， 停止继续搜索规则。 LOGGING log or logamount 当数据包与带 log 关键字的规则匹配时， 将通过名为 SECURITY 的 facility 来把消息记录到 syslogd。 只有在记录的次数没有超过 logamount 参数所指定的次数时， 才会记录日志。 如果没有指定 logamount， 则会以 sysctl 变量 net.inet.ip.fw.verbose_limit 所指定的限制为准。 如果将这两种限制值之一指定为零， 则表示不作限制。 万一达到了限制数， 可以通过将规则的日志计数或包计数清零来重新启用日志， 请参见 ipfw reset log 命令来了解细节。 日志是在所有其他匹配条件都验证成功之后， 在针对包实施最终动作 (accept, deny) 之前进行的。 您可以自行决定哪些规则应启用日志。 SELECTION 这一节所介绍的关键字主要用来描述检查包的哪些属性， 用以判断包是否与规则相匹配。 下面是一些通用的用于匹配包特征的属性， 它们必须按顺序使用： udp | tcp | icmp 也可以指定在 /etc/protocols 中所定义的协议。 这个值定义的是匹配的协议， 在规则中必须指定它。 from src to dst from 和 to 关键字用于匹配 IP 地址。 规则中必须同时指定源和目的两个参数。 如果需要匹配任意 IP 地址， 可以使用特殊关键字 any。 还有一个特殊关键字， 即 me， 用于匹配您的 &os; 系统上所有网络接口上所配置的 IP 地址， 它可以用于表达网络上的其他计算机到防火墙 (也就是本机)， 例如 'from me to any' 或 'from any to me' 或 'from 0.0.0.0/0 to any' 或 'from any to 0.0.0.0/0' 或 'from 0.0.0.0 to any' 或 'from any to 0.0.0.0' 以及 'from me to 0.0.0.0'。 IP 地址可以通过 带点的 IP 地址/掩码长度， 或者一个带点的 IP 地址的形式来指定。 这是编写规则时所必需的。 如果不清楚如何写掩码长度， 请参见 。 port number 这个参数主要用于那些支持端口号的协议 (例如 TCP 和 UDP)。 如果要通过端口号匹配某个协议， 就必须指定这个参数。 此外， 也可以通过服务的名字 (根据 /etc/services) 来指定服务， 这样会比使用数字指定端口号直观一些。 in | out 相应地， 匹配进入和发出的包。 这里的 in 和 out 都是关键字， 在编写匹配规则时， 必需作为其他条件的一部分来使用。 via IF 根据指定的网络接口的名称精确地匹配进出的包。 这里的 via 关键字将使得接口名称成为匹配过程的一部分。 setup 要匹配 TCP 会话的发起请求， 就必须使用它。 keep-state 这是一个必须使用的关键字。 在发生匹配时， 防火墙将创建一个动态规则， 其默认行为是， 匹配使用同一协议的、从源到目的 IP/端口 的双向网络流量。 limit {src-addr | src-port | dst-addr | dst-port} 防火墙只允许匹配规则时， 与指定的参数相同的 N 个连接。 可以指定至少一个源或目的地址及端口。 'limit' 和 'keep-state' 不能在同一规则中同时使用。 'limit' 提供了与 'keep-state' 相同的功能， 并增加了一些独有的能力。 状态规则选项 IPFW 带状态过滤 有状态过滤将网络流量当作一种双向的包交换来处理。 它提供了一种额外的检查能力， 用以检测会话中的包是否来自最初的发送者， 并在遵循双向包交换的规则进行会话。 如果包与这些规则不符， 则将自动地拒绝它们。 'check-state' 用来识别在 IPFW 规则集中的包是否符合动态规则机制的规则。 如果匹配， 则允许包通过， 此时防火墙将创建一个新的动态规则来匹配双向交换中的下一个包。 如果不匹配， 则将继续尝试规则集中的下一个规则。 动态规则机制在 SYN-flood 攻击下是脆弱的， 因为这种情况会产生大量的动态规则， 从而耗尽资源。 为了抵抗这种攻击， 从 &os; 中加入了一个叫做 limit 的新选项。 这个选项可以用来限制符合规则的会话允许的并发连接数。 如果动态规则表中的规则数超过限制， 则包将被丢弃。 记录防火墙消息 IPFW 记录日志 记录日志的好处是显而易见的： 它提供了在事后检查所发生的状况的方法， 例如哪些包被丢弃了， 这些包的来源和目的地， 从而为您提供找到攻击者所需的证据。 即使启用了日志机制， IPFW 也不会自行生成任何规则的日志。 防火墙管理员需要指定规则集中的哪些规则应该记录日志， 并在这些规则上增加 log 动作。 一般来说， 只有 deny 规则应记录日志， 例如对于进入的 ICMP ping 的 deny 规则。 另外， 复制默认的 ipfw 终极 deny 规则， 并加入 log 动作来作为您的规则集的最后一条规则也是很常见的用法。 这样， 您就能看到没有匹配任何一条规则的那些数据包。 日志是一把双刃剑， 如果不谨慎地加以利用， 则可能会陷入过多的日志数据中， 并导致磁盘被日志塞满。 将磁盘填满是 DoS 攻击最为老套的手法之一。 由于日志除了会写入磁盘之外， 还会输出到 root 的控制台屏幕上， 因此有过多的日志信息是很让人恼火的事情。 IPFIREWALL_VERBOSE_LIMIT=5 内核选项将限制同一个规则发到系统日志程序 syslogd 的连续消息的数量。 当内核启用了这个选项时， 某一特定规则所产生的连续消息的数量将封顶为这个数字。 一般来说， 没有办法从连续 200 条一模一样的日志信息中获取更多有用的信息。 举例来说， 如果同一个规则产生了 5 次消息并被记录到 syslogd， 余下的相同的消息将被计数， 并像下面这样发给 syslogd： last message repeated 45 times 所有记录的数据包包消息， 默认情况下会最终写到 /var/log/security 文件中， 后者在 /etc/syslog.conf 文件里进行了定义。 编写规则脚本 绝大多数有经验的 IPFW 用户会创建一个包含规则的文件， 并且， 按能够以脚本形式运行的方式来书写。 这样做最大的一个好处是， 可以大批量地刷新防火墙规则， 而无须重新启动系统就能够激活它们。 这种方法在测试新规则时会非常方便， 因为同一过程在需要时可以多次执行。 作为脚本， 您可以使用符号替换来撰写那些经常需要使用的值， 并用同一个符号在多个规则中反复地表达它。 下面将给出一个例子。 这个脚本使用的语法同 'sh'、 'csh' 以及 'tcsh' 脚本兼容。 符号替换字段使用美元符号 $ 作为前缀。 符号字段本身并不使用 $ 前缀。 符号替换字段的值必须使用 "双引号" 括起来。 可以使用类似下面的规则文件： ############### start of example ipfw rules script ############# # ipfw -q -f flush # Delete all rules # Set defaults oif="tun0" # out interface odns="192.0.2.11" # ISP's DNS server IP address cmd="ipfw -q add " # build rule prefix ks="keep-state" # just too lazy to key this each time $cmd 00500 check-state $cmd 00502 deny all from any to any frag $cmd 00501 deny tcp from any to any established $cmd 00600 allow tcp from any to any 80 out via $oif setup $ks $cmd 00610 allow tcp from any to $odns 53 out via $oif setup $ks $cmd 00611 allow udp from any to $odns 53 out via $oif $ks ################### End of example ipfw rules script ############ 这就是所要做的全部事情了。 例子中的规则并不重要， 它们主要是用来表示如何使用符号替换。 如果把上面的例子保存到 /etc/ipfw.rules 文件中， 您就可以通过输入下面的命令来加载它。 &prompt.root; sh /etc/ipfw.rules /etc/ipfw.rules 这个文件可以放到任何位置， 也可以命名为随便什么别的名字。 也可以手工执行下面的命令来达到类似的目的： &prompt.root; ipfw -q -f flush &prompt.root; ipfw -q add check-state &prompt.root; ipfw -q add deny all from any to any frag &prompt.root; ipfw -q add deny tcp from any to any established &prompt.root; ipfw -q add allow tcp from any to any 80 out via tun0 setup keep-state &prompt.root; ipfw -q add allow tcp from any to 192.0.2.11 53 out via tun0 setup keep-state &prompt.root; ipfw -q add 00611 allow udp from any to 192.0.2.11 53 out via tun0 keep-state 带状态规则集 以下的这组非-NAT 规则集， 是如何编写非常安全的 '包容式' 防火墙的一个例子。 包容式防火墙只允许匹配了 pass 规则的包通过， 而默认阻止所有的其他数据包。 必须有至少两个网络接口， 并且在其上配置了规则才能使防火墙正常工作。 所有类 &unix; 操作系统， 也包括 &os;， 都设计为允许使用网络接口 lo0 和 IP 地址 127.0.0.1 来完成操作系统内部的通讯。 防火墙必须包含一组规则， 使这些数据包能够无障碍地收发。 接入 Internet 公网的那个网络接口上， 应该配置授权和访问控制， 来限制对外的访问， 以及来自 Internet 公网的访问。 这个接口很可能是您的 ppp 接口， 例如 tun0， 或者您接在 DSL 或电缆 modem 上的网卡。 如果有至少一个网卡接入了防火墙后的内网 LAN， 则必须为这些接口配置规则， 以便让这些接口之间的包能够顺畅地通过。 所有的规则应被组织为三个部分， 所有应无阻碍地通过的规则， 公网的发出规则， 以及公网的接收规则。 公网接口相关的规则的顺序， 应该是最经常用到的放在尽可能靠前的位置， 而最后一个规则， 则应该是阻止那个接口在那一方向上的包。 发出部分的规则只包含一些 'allow' 规则， 允许选定的那些唯一区分协议的端口号所指定的协议通过， 以允许访问 Internet 公网上的这些服务。 所有的规则中都指定了 proto, port, in/out, via 以及 keep state 这些选项。 'proto tcp' 规则同时指定 'setup' 选项， 来区分开始协议会话的包， 以触发将包放入 keep state 规则表中的动作。 接收部分则首先阻止所有不希望的包， 在这里有两个目的。 首先是， 这些包被禁止掉之后， 就不会由于匹配了后面的某个规则而被允许。 其次， 明确地禁止这些包， 就不会再在日志中记录它们而形成干扰。 防火墙的最后一条规则是阻止并记录所有包， 这样， 您就可以留下用于起诉攻击您的系统的人的有用记录。 另一件需要注意的事情是， 不希望的数据包一般来说不会有任何响应， 这些数据包会被丢弃并消失。 这样， 攻击者也就无法了解他的数据包是否到达了您的系统。 而攻击者了解的信息越少， 它们攻陷系统所需的时间也就越长。 当记录的包使用的端口号不是您所熟悉的那些时， 可以看一看 /etc/services/ 或到 并查找一下端口号， 以了解其用途。 另外， 您也可以在这个网页上了解常见木马所使用的端口： 。 包容式规则集的例子 下面是一个非-NAT 的规则集， 它是一个完整的包容式规则集。 使用它作为您的规则集不会有什么问题。 只需把那些不需要的服务对应的 pass 规则注释掉就可以了。 如果您在日志中看到消息， 而且不想再看到它们， 只需在接收部分增加一个一个 deny 规则。 您可能需要把 'dc0' 改为接入公网的接口的名字。 对于使用用户态 ppp 的用户而言， 应该是 'tun0'。 您可以看出这些规则中的模式。 所有请求 Internet 公网上服务的会话开始包， 都使用了 keep-state。 所有来自 Internet 的授权服务请求， 都采用了 limit 选项来防止洪水式攻击。 所有的规则都使用了 in 或者 out 来说明方向。 所有的规则都使用了 via 接口名来指定应该匹配通过哪一个接口的包。 这些规则都应放到 /etc/ipfw.rules。 ################ Start of IPFW rules file ############################### # Flush out the list before we begin. ipfw -q -f flush # Set rules command prefix cmd="ipfw -q add" pif="dc0" # public interface name of NIC # facing the public Internet ################################################################# # No restrictions on Inside LAN Interface for private network # Not needed unless you have LAN. # Change xl0 to your LAN NIC interface name ################################################################# #$cmd 00005 allow all from any to any via xl0 ################################################################# # No restrictions on Loopback Interface ################################################################# $cmd 00010 allow all from any to any via lo0 ################################################################# # Allow the packet through if it has previous been added to the # the "dynamic" rules table by a allow keep-state statement. ################################################################# $cmd 00015 check-state ################################################################# # Interface facing Public Internet (Outbound Section) # Interrogate session start requests originating from behind the # firewall on the private network or from this gateway server # destine for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # x.x.x.x must be the IP address of your ISP.s DNS # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file $cmd 00110 allow tcp from any to x.x.x.x 53 out via $pif setup keep-state $cmd 00111 allow udp from any to x.x.x.x 53 out via $pif keep-state # Allow out access to my ISP's DHCP server for cable/DSL configurations. # This rule is not needed for .user ppp. connection to the public Internet. # so you can delete this whole group. # Use the following rule and check log for IP address. # Then put IP address in commented out rule & delete first rule $cmd 00120 allow log udp from any to any 67 out via $pif keep-state #$cmd 00120 allow udp from any to x.x.x.x 67 out via $pif keep-state # Allow out non-secure standard www function $cmd 00200 allow tcp from any to any 80 out via $pif setup keep-state # Allow out secure www function https over TLS SSL $cmd 00220 allow tcp from any to any 443 out via $pif setup keep-state # Allow out send & get email function $cmd 00230 allow tcp from any to any 25 out via $pif setup keep-state $cmd 00231 allow tcp from any to any 110 out via $pif setup keep-state # Allow out FBSD (make install & CVSUP) functions # Basically give user root "GOD" privileges. $cmd 00240 allow tcp from me to any out via $pif setup keep-state uid root # Allow out ping $cmd 00250 allow icmp from any to any out via $pif keep-state # Allow out Time $cmd 00260 allow tcp from any to any 37 out via $pif setup keep-state # Allow out nntp news (i.e. news groups) $cmd 00270 allow tcp from any to any 119 out via $pif setup keep-state # Allow out secure FTP, Telnet, and SCP # This function is using SSH (secure shell) $cmd 00280 allow tcp from any to any 22 out via $pif setup keep-state # Allow out whois $cmd 00290 allow tcp from any to any 43 out via $pif setup keep-state # deny and log everything else that.s trying to get out. # This rule enforces the block all by default logic. $cmd 00299 deny log all from any to any out via $pif ################################################################# # Interface facing Public Internet (Inbound Section) # Interrogate packets originating from the public Internet # destine for this gateway server or the private network. ################################################################# # Deny all inbound traffic from non-routable reserved address spaces $cmd 00300 deny all from 192.168.0.0/16 to any in via $pif #RFC 1918 private IP $cmd 00301 deny all from 172.16.0.0/12 to any in via $pif #RFC 1918 private IP $cmd 00302 deny all from 10.0.0.0/8 to any in via $pif #RFC 1918 private IP $cmd 00303 deny all from 127.0.0.0/8 to any in via $pif #loopback $cmd 00304 deny all from 0.0.0.0/8 to any in via $pif #loopback $cmd 00305 deny all from 169.254.0.0/16 to any in via $pif #DHCP auto-config $cmd 00306 deny all from 192.0.2.0/24 to any in via $pif #reserved for docs $cmd 00307 deny all from 204.152.64.0/23 to any in via $pif #Sun cluster interconnect $cmd 00308 deny all from 224.0.0.0/3 to any in via $pif #Class D & E multicast # Deny public pings $cmd 00310 deny icmp from any to any in via $pif # Deny ident $cmd 00315 deny tcp from any to any 113 in via $pif # Deny all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 $cmd 00320 deny tcp from any to any 137 in via $pif $cmd 00321 deny tcp from any to any 138 in via $pif $cmd 00322 deny tcp from any to any 139 in via $pif $cmd 00323 deny tcp from any to any 81 in via $pif # Deny any late arriving packets $cmd 00330 deny all from any to any frag in via $pif # Deny ACK packets that did not match the dynamic rule table $cmd 00332 deny tcp from any to any established in via $pif # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP.s DHCP server as it.s the only # authorized source to send this packet type. # Only necessary for cable or DSL configurations. # This rule is not needed for .user ppp. type connection to # the public Internet. This is the same IP address you captured # and used in the outbound section. #$cmd 00360 allow udp from any to x.x.x.x 67 in via $pif keep-state # Allow in standard www function because I have apache server $cmd 00400 allow tcp from any to me 80 in via $pif setup limit src-addr 2 # Allow in secure FTP, Telnet, and SCP from public Internet $cmd 00410 allow tcp from any to me 22 in via $pif setup limit src-addr 2 # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID & PW are passed over public # Internet as clear text. # Delete this sample group if you do not have telnet server enabled. $cmd 00420 allow tcp from any to me 23 in via $pif setup limit src-addr 2 # Reject & Log all incoming connections from the outside $cmd 00499 deny log all from any to any in via $pif # Everything else is denied by default # deny and log all packets that fell through to see what they are $cmd 00999 deny log all from any to any ################ End of IPFW rules file ############################### 一个 <acronym>NAT</acronym> 和带状态规则集的例子 NAT 以及 IPFW 要使用 IPFW 的 NAT 功能， 还需要进行一些额外的配置。 除了其他 IPFIREWALL 语句之外， 还需要在内核编译配置中加上 'option IPDIVERT' 语句。 在 /etc/rc.conf 中， 除了普通的 IPFW 配置之外， 还需要加入： natd_enable="YES" # Enable NATD function natd_interface="rl0" # interface name of public Internet NIC natd_flags="-dynamic -m" # -m = preserve port numbers if possible 将带状态规则与转发 natd 规则 (网络地址转换) 会使规则集的编写变得非常复杂。 check-state 的位置， 以及 'divert natd' 规则将变得非常关键。 这样一来， 就不再有简单的顺序处理逻辑流程了。 提供了一种新的动作类型， 称为 'skipto'。 要使用 skipto 命令， 就必须给每一个规则进行编号， 以确定 skipto 规则号是您希望跳转到的位置。 下面给出了一些未加注释的例子来说明如何编写这样的规则， 用以帮助您理解包处理规则集的处理顺序。 处理流程从规则文件最上边的第一个规则开始处理， 并自顶向下地尝试每一个规则， 直到找到匹配的规则， 且数据包从防火墙中放出为止。 请注意规则号 100 101， 450， 500， 以及 510 的位置非常重要。 这些规则控制发出和接收的包的地址转换过程， 这样它们在 keep-state 动态表中的对应项中就能够与内网的 LAN IP 地址关联。 另一个需要注意的是， 所有的 allow 和 deny 规则都指定了包的方向 (也就是 outbound 或 inbound) 以及网络接口。 最后， 请注意所有发出的会话请求都会请求 skipto rule 500 以完成网络地址转换。 下面以 LAN 用户使用 web 浏览器访问一个 web 页面为例。 Web 页面使用 80 来完成通讯。 当包进入防火墙时， 规则 100 并不匹配， 因为它是发出而不是收到的包。 它能够通过规则 101， 因为这是第一个包， 因而它还没有进入动态状态保持表。 包最终到达规则 125， 并匹配该规则。 最终， 它会通过接入 Internet 公网的网卡发出。 这之前， 包的源地址仍然是内网 IP 地址。 一旦匹配这个规则， 就会触发两个动作。 keep-state 选项会把这个规则发到 keep-state 动态规则表中， 并执行所指定的动作。 动作是发到规则表中的信息的一部分。 在这个例子中， 这个动作是 "skipto rule 500"。 规则 500 NAT 包的 IP 地址， 并将其发出。 请务必牢记， 这一步非常重要。 接下来， 数据包将到达目的地， 之后返回并从规则集的第一条规则开始处理。 这一次， 它将与规则 100 匹配， 其目的 IP 地址将被映射回对应的内网 LAN IP 地址。 其后， 它会被 check-state 规则处理， 进而在暨存会话表中找到对应项， 并发到 LAN。 数据包接下来发到了内网 LAN PC 上， 而后者则会发送从远程服务器请求下一段数据的新数据包。 这个包会再次由 check-state 规则检查， 并找到发出的表项， 并执行其关联的动作， 即 'skipto 500'。 包跳转到规则 500 并被 NAT 后发出。 在接收一侧， 已经存在的会话的数据包， 会被 check-state 规则自动地处理， 并放到转发 natd 规则。 我们需要解决的问题是， 阻止所有的坏数据包， 而只允许授权的服务。 例如在防火墙上运行了 Apache 服务， 而我们希望人们在访问 Internet 公网的同时， 也能够访问本地的 web 站点。 新的接入开始请求包将匹配规则 100， 而 IP 地址则为防火墙所在的服务器而映射到了 LAN IP。 此后， 包会匹配所有我们希望检查的那些令人生厌的东西， 并最终匹配规则 425。 一旦发生匹配， 会发生两件事。 数据包会被发到 keep-state 动态表， 但此时， 所有来自那个源 IP 的会话请求的数量会被限制为 2。 这一做法能够挫败针对指定端口上服务的 DoS 攻击。 动作同时指定了包应被发到 LAN 上。 包返回时， check-state 规则会识别出包属于某一已经存在的会话交互， 并直接把它发到规则 500 做 NAT， 并发到发出接口。 示范规则集 #1: #!/bin/sh cmd="ipfw -q add" skip="skipto 500" pif=rl0 ks="keep-state" good_tcpo="22,25,37,43,53,80,443,110,119" ipfw -q -f flush $cmd 002 allow all from any to any via xl0 # exclude LAN traffic $cmd 003 allow all from any to any via lo0 # exclude loopback traffic $cmd 100 divert natd ip from any to any in via $pif $cmd 101 check-state # Authorized outbound packets $cmd 120 $skip udp from any to xx.168.240.2 53 out via $pif $ks $cmd 121 $skip udp from any to xx.168.240.5 53 out via $pif $ks $cmd 125 $skip tcp from any to any $good_tcpo out via $pif setup $ks $cmd 130 $skip icmp from any to any out via $pif $ks $cmd 135 $skip udp from any to any 123 out via $pif $ks # Deny all inbound traffic from non-routable reserved address spaces $cmd 300 deny all from 192.168.0.0/16 to any in via $pif #RFC 1918 private IP $cmd 301 deny all from 172.16.0.0/12 to any in via $pif #RFC 1918 private IP $cmd 302 deny all from 10.0.0.0/8 to any in via $pif #RFC 1918 private IP $cmd 303 deny all from 127.0.0.0/8 to any in via $pif #loopback $cmd 304 deny all from 0.0.0.0/8 to any in via $pif #loopback $cmd 305 deny all from 169.254.0.0/16 to any in via $pif #DHCP auto-config $cmd 306 deny all from 192.0.2.0/24 to any in via $pif #reserved for docs $cmd 307 deny all from 204.152.64.0/23 to any in via $pif #Sun cluster $cmd 308 deny all from 224.0.0.0/3 to any in via $pif #Class D & E multicast # Authorized inbound packets $cmd 400 allow udp from xx.70.207.54 to any 68 in $ks $cmd 420 allow tcp from any to me 80 in via $pif setup limit src-addr 1 $cmd 450 deny log ip from any to any # This is skipto location for outbound stateful rules $cmd 500 divert natd ip from any to any out via $pif $cmd 510 allow ip from any to any ######################## end of rules ################## 下面的这个规则集基本上和上面一样， 但使用了易于读懂的编写方式， 并给出了相当多的注解， 以帮助经验较少的 IPFW 规则编写者更好地理解这些规则到底在做什么。 示范规则集 #2： #!/bin/sh ################ Start of IPFW rules file ############################### # Flush out the list before we begin. ipfw -q -f flush # Set rules command prefix cmd="ipfw -q add" skip="skipto 800" pif="rl0" # public interface name of NIC # facing the public Internet ################################################################# # No restrictions on Inside LAN Interface for private network # Change xl0 to your LAN NIC interface name ################################################################# $cmd 005 allow all from any to any via xl0 ################################################################# # No restrictions on Loopback Interface ################################################################# $cmd 010 allow all from any to any via lo0 ################################################################# # check if packet is inbound and nat address if it is ################################################################# $cmd 014 divert natd ip from any to any in via $pif ################################################################# # Allow the packet through if it has previous been added to the # the "dynamic" rules table by a allow keep-state statement. ################################################################# $cmd 015 check-state ################################################################# # Interface facing Public Internet (Outbound Section) # Interrogate session start requests originating from behind the # firewall on the private network or from this gateway server # destine for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # x.x.x.x must be the IP address of your ISP's DNS # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file $cmd 020 $skip tcp from any to x.x.x.x 53 out via $pif setup keep-state # Allow out access to my ISP's DHCP server for cable/DSL configurations. $cmd 030 $skip udp from any to x.x.x.x 67 out via $pif keep-state # Allow out non-secure standard www function $cmd 040 $skip tcp from any to any 80 out via $pif setup keep-state # Allow out secure www function https over TLS SSL $cmd 050 $skip tcp from any to any 443 out via $pif setup keep-state # Allow out send & get email function $cmd 060 $skip tcp from any to any 25 out via $pif setup keep-state $cmd 061 $skip tcp from any to any 110 out via $pif setup keep-state # Allow out FreeBSD (make install & CVSUP) functions # Basically give user root "GOD" privileges. $cmd 070 $skip tcp from me to any out via $pif setup keep-state uid root # Allow out ping $cmd 080 $skip icmp from any to any out via $pif keep-state # Allow out Time $cmd 090 $skip tcp from any to any 37 out via $pif setup keep-state # Allow out nntp news (i.e. news groups) $cmd 100 $skip tcp from any to any 119 out via $pif setup keep-state # Allow out secure FTP, Telnet, and SCP # This function is using SSH (secure shell) $cmd 110 $skip tcp from any to any 22 out via $pif setup keep-state # Allow out whois $cmd 120 $skip tcp from any to any 43 out via $pif setup keep-state # Allow ntp time server $cmd 130 $skip udp from any to any 123 out via $pif keep-state ################################################################# # Interface facing Public Internet (Inbound Section) # Interrogate packets originating from the public Internet # destine for this gateway server or the private network. ################################################################# # Deny all inbound traffic from non-routable reserved address spaces $cmd 300 deny all from 192.168.0.0/16 to any in via $pif #RFC 1918 private IP $cmd 301 deny all from 172.16.0.0/12 to any in via $pif #RFC 1918 private IP $cmd 302 deny all from 10.0.0.0/8 to any in via $pif #RFC 1918 private IP $cmd 303 deny all from 127.0.0.0/8 to any in via $pif #loopback $cmd 304 deny all from 0.0.0.0/8 to any in via $pif #loopback $cmd 305 deny all from 169.254.0.0/16 to any in via $pif #DHCP auto-config $cmd 306 deny all from 192.0.2.0/24 to any in via $pif #reserved for docs $cmd 307 deny all from 204.152.64.0/23 to any in via $pif #Sun cluster $cmd 308 deny all from 224.0.0.0/3 to any in via $pif #Class D & E multicast # Deny ident $cmd 315 deny tcp from any to any 113 in via $pif # Deny all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 $cmd 320 deny tcp from any to any 137 in via $pif $cmd 321 deny tcp from any to any 138 in via $pif $cmd 322 deny tcp from any to any 139 in via $pif $cmd 323 deny tcp from any to any 81 in via $pif # Deny any late arriving packets $cmd 330 deny all from any to any frag in via $pif # Deny ACK packets that did not match the dynamic rule table $cmd 332 deny tcp from any to any established in via $pif # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP's DHCP server as it's the only # authorized source to send this packet type. # Only necessary for cable or DSL configurations. # This rule is not needed for 'user ppp' type connection to # the public Internet. This is the same IP address you captured # and used in the outbound section. $cmd 360 allow udp from x.x.x.x to any 68 in via $pif keep-state # Allow in standard www function because I have Apache server $cmd 370 allow tcp from any to me 80 in via $pif setup limit src-addr 2 # Allow in secure FTP, Telnet, and SCP from public Internet $cmd 380 allow tcp from any to me 22 in via $pif setup limit src-addr 2 # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID & PW are passed over public # Internet as clear text. # Delete this sample group if you do not have telnet server enabled. $cmd 390 allow tcp from any to me 23 in via $pif setup limit src-addr 2 # Reject & Log all unauthorized incoming connections from the public Internet $cmd 400 deny log all from any to any in via $pif # Reject & Log all unauthorized out going connections to the public Internet $cmd 450 deny log all from any to any out via $pif # This is skipto location for outbound stateful rules $cmd 800 divert natd ip from any to any out via $pif $cmd 801 allow ip from any to any # Everything else is denied by default # deny and log all packets that fell through to see what they are $cmd 999 deny log all from any to any ################ End of IPFW rules file ############################### diff --git a/zh_CN.GB2312/books/handbook/introduction/chapter.sgml b/zh_CN.GB2312/books/handbook/introduction/chapter.sgml index d66788ccb0..59cce23a31 100644 --- a/zh_CN.GB2312/books/handbook/introduction/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/introduction/chapter.sgml @@ -1,921 +1,926 @@ Jim Mock Restructured, reorganized, and parts rewritten by 介绍 概述 非常感谢您对 &os; 感兴趣！ 下面的章节涵盖了 &os; 项目的各个方面， 比如它的历史、目标、开发模式，等等。 阅读完这章，您将了解： &os; 与其它计算机操作系统的关系。 &os; 项目的历史。 &os; 项目的目标。 &os; 开放源代码开发模式的基础。 当然还有：&os; 这个名称的由来。 欢迎来到 &os; 的世界! 4.4BSD-Lite &os; 是一个支持 Intel (x86 和 &itanium;)，AMD64，Alpha，Sun &ultrasparc; 计算机的基于 4.4BSD-Lite 的操作系统。 到其他体系结构的移植也在进行中。 您也可以阅读 &os; 的历史， 或者最新的发行版本。 如果您有意捐助(代码， 硬件，基金)，请看为 &os; 提供帮助这篇文章。 &os; 能做些什么？ &os; 有许多非凡的特性。其中一些是： 抢占式多任务 抢占式多任务与动态优先级调整确保在应用程序和用户之间平滑公正的分享计算机资源， 即使工作在最大的负载之下。 多用户设备 多用户设备 使得许多用户能够同时使用同一 &os; 系统做各种事情。 比如， 像打印机和磁带驱动器这样的系统外设， 可以完全地在系统或者网络上的所有用户之间共享， 可以对用户或者用户组进行个别的资源限制， 以保护临界系统资源不被滥用。 TCP/IP 网络 符合业界标准的强大 TCP/IP 网络 支持， 例如 SCTP、 DHCP、 NFS、 NIS、 PPP， SLIP， IPsec 以及 IPv6。 这意味着您的 &os; 主机可以很容易地和其他系统互联， 也可以作为企业的服务器，提供重要的功能， 比如 NFS(远程文件访问)以及 email 服务， 或将您的组织接入 Internet 并提供 WWW，FTP，路由和防火墙(安全)服务。 内存保护 内存保护确保应用程序(或者用户)不会相互干扰。 一个应用程序崩溃不会以任何方式影响其他程序。 &os; 是一个 32 位操作系统 (在 Alpha，&itanium;，AMD64，和 &ultrasparc; 上是64 位)， 并且从开始就是如此设计的。 X Window 系统 XFree86 业界标准的 X Window 系统 (X11R7)为便宜的常见 VGA 显示卡和监视器提供了一个图形化的用户界面(GUI)， 并且完全开放代码。 二进制代码兼容性 Linux 二进制代码兼容性 SCO 二进制代码兼容性 SVR4 二进制代码兼容性 BSD/OS 二进制代码兼容性 NetBSD 和许多 Linux，SCO，SVR4，BSDI 和 NetBSD 程序的二进制代码兼容性 数以千计的 ready-to-run 应用程序可以从 &os; ports 和 packages 套件中找到。 您可以顺利地从这里找到， 何须搜索网络？ 可以在 Internet 上找到成千上万其它 easy-to-port 的应用程序。 &os; 和大多数流行的商业 &unix; 代码级兼容， 因此大多数应用程序不需要或者只要很少的改动就可以编译。 虚拟内存 页式请求虚拟内存和集成的 VM/buffer 缓存设计有效地满足了应用程序巨大的内存需求并依然保持其他用户的交互式响应。 对称多处理器(SMP) SMP 提供对多处理器的支持。 编译器 C 编译器 C++ 编译器 FORTRAN 内建了完整的 C、 C++、 Fortran 开发工具。 许多附加的用于高级研究和开发的程序语言， 也可以在通过 ports 和 packages 套件获得。 源代码 完整的系统源代码意味着您对您环境的最大程度的控制。 当您拥有了一个真正的开放系统时， 为什么还要受困于私有的解决方案， 任商业公司摆布呢？ 丰富的在线文档。 不仅如此！ 4.4BSD-Lite 计算机系统研究组(CSRG) U.C. Berkeley &os; 基于加州大学伯克利分校计算机系统研究组 (CSRG) 发布的 4.4BSD-Lite， 继承了 BSD 系统开发的优良传统。 除了 CSRG 优秀的工作之外， &os; 项目花费了非常多的时间来优化调整系统， 使其在真实负载情况下拥有最好的性能和可靠性。 在现今， 许多商业巨人正为给 PC 操作系统增加新功能、 提升和改善其可靠性， 以便在其上展开激烈竞争的同时， &os; 现在 已经能够提供所有这一切了！ &os; 可以提供的应用事实上仅局限于您的想象力。 从软件开发到工厂自动化，从存货控制到遥远的人造卫星天线方位控制， 如果商业的 &unix; 产品可以做到， 那么就非常有可能您也可以用 &os; 来做！ &os; 也极大地受益于全世界的研究中心和大学开发的数以千计的高质量的应用程序， 这些程序通常只需要很少的花费甚至免费。 可用的商业应用程序， 每天也都在大量地增加。 因为 &os; 自身的源代码是完全公开的， 所以对于特定的应用程序或项目，可以对系统进行最大限度的定制。 这对于大多数主流的商业生产商的操作系统来说几乎是不可能的。 以下是当前人们应用 &os; 的某些程序的例子： Internet 服务： &os; 内建的强大的 TCP/IP 网络使它得以成为各种 Internet 服务的理想平台， 比如： FTP 服务器 FTP 服务器 web 服务器 World Wide Web 服务器(标准的或者安全的 [SSL]) IPv4 and IPv6 路由 防火墙 NAT 防火墙和 NAT(IP 伪装) 网关 电子邮件 email email 电子邮件服务器 USENET USENET 新闻组和电子布告栏系统 还有许多... 使用 &os;， 您可以容易地从便宜的 386 类 PC 起步，并随着您的企业成长，一路升级到带有 RAID 存储的四路 Xeon 服务器。 教育： 您是一名计算机科学或者相关工程领域的学生吗？ 学习操作系统，计算机体系结构和网络没有比在 &os; 可提供的体验下动手实践更好的办法了。许多可自由使用的 CAD、数学和图形设计包也使它对于那些主要兴趣是在计算机上完成 其他工作的人非常有帮助。 研究： 有完整的系统源代码，&os; 对于操作系统研究以及其他计算机科学分支都是一个极好的平台。 &os; 可自由获得的本性， 同样可以使处在不同地方的开发团队在开放的论坛上讨论问题、 交流想法与合作开发成为可能， 且不必担心特别的版权协定或者限制。 路由 DNS 服务器 网络：需要一个新的路由器？ 一台域名服务器 (DNS)？ 一个隔离您的内部网络的防火墙？ &os; 可以容易的把丢弃在角落不用的 386 或者 486 PC 变成一台完善的带包过滤能力的高级路由器。 X Window 系统 XFree86 X Window 系统 Accelerated-X X Window 工作站： &os; 是廉价 X 终端的一种绝佳解决方案， 您可以选择使用免费的 X11 服务器。 与 X 终端不同，如果需要的话 &os; 能够在本地直接运行程序， 因而减少了中央服务器的负担。 &os; 甚至能够在 无盘 环境下启动， 这使得终端更为便宜和易于管理。 GNU Compiler Collection 软件开发： 基本的 &os; 系统带有包括著名的 GNU C/C++ 编译器和调试工具在内的一整套开发工具。 &os; 可以通过 CD-ROM、DVD， 以及匿名 FTP 以源代码和二进制方式获得。请查看 了解获取 &os; 的更多细节。 谁在使用 &os;? 用户 运行 &os; 的大型站点 &os; 被世界上最大的 IT 公司用作设备和产品的平台， 包括： Apple Apple Cisco Cisco Juniper Juniper NetApp NetApp &os; 也被用来支持 Internet 上一些最大的站点， 包括： Yahoo! Yahoo! Yandex Yandex Apache Apache Rambler Rambler 新浪网 新浪网 Pair Networks Pair Networks Sony Japan Sony Japan Netcraft Netcraft + 网易 + + NetEase + + Weathernews Weathernews TELEHOUSE America TELEHOUSE America 等等许多。 关于 &os; 项目 下面的章节提供了项目的一些背景信息， 包括简要的历史、项目目标、以及项目开发模式。 Jordan Hubbard Contributed by &os; 的简要历史 386BSD Patchkit Hubbard, Jordan Williams, Nate Grimes, Rod FreeBSD 项目 历史 &os; 项目起源于 1993 年早期， 部分作为 Unofficial 386BSD Patchkit 的副产物，patchkit 的最后 3 个协调维护人是：Nate Williams，Rod Grimes 和我。 386BSD 我们最初的目标是做出一份 386BSD 的测试版以修正一些 Patchkit 机制无法解决的错误(bug)。 很多人可能还记得早期的项目名称叫做 386BSD 0.5 或者 386BSD Interim 就是这个原因。 Jolitz, Bill 386BSD 是 Bill Jolitz 的操作系统， 到那时已被严重地忽视了一年之久。 由于 Patchkit 在过去的每一天里都在急剧膨胀， 使得对其进行消化吸收变得越来越困难， 因此我们一致同意应该做些事情并决定通过提供这个临时的 cleanup 版本来帮助 Bill。 然而，Bill 却在事先没有指出这个项目应该如何开展下去的情况下， 突然决定退出这个项目，最终这个计划只好被迫停止。 Greenman, David Walnut Creek CDROM 没过多久， 我们认为即便没有 Bill 的支持， 项目仍有保留的价值， 因此，我们采用了 David Greenman 的意见，给其命名为 &os;。在和当时的几个用户商量后， 我们提出了最初的目标， 而这件事明朗化后， 这个项目就走上了正轨，甚至可能成为现实。 为了拓展 &os; 的发行渠道，我抱着试试看的心态， 联系了光盘商 Walnut Creek CDROM， 以便那些上网不方便的用户得到 &os;。 Walnut Creek CDROM 不仅支持发行 &os; 光盘版的想法， 还为这个计划提供了所需的计算机和高速网络接入。 在那时， 若没有 Walnut Creek CDROM 对一个完全未知的项目的空前信任， &os; 不太可能像它今天这样，影响如此深远， 发展如此快速。 4.3BSD-Lite Net/2 U.C. Berkeley 386BSD Free Software Foundation 第一个 CD-ROM (以及在整个互联网范围内发行的) 发行版本是 &os; 1.0，于 1993 年 10 月发布。这个版本基于 U.C. Berkeley 的 4.3BSD-Lite(Net/2)磁带， 也有许多组件是 386BSD 和自由软件基金会提供的。 对于第一次发行，这算是相当成功了。 在 1994 年 5 月，我们发布了更加成功的 &os; 1.1 版。 Novell U.C. Berkeley Net/2 AT&T 在这段时间， 发生了一些意外的情况。 Novell 和 U.C. Berkeley 就 Berkeley Net/2 磁带知识产权的马拉松式的官司达成了和解。 和解中的一部分是 U.C. Berkeley 作出的让步， 令 Net/2 中的一大部分内容成为 受限的 (encumbered) 和属于 Novell 知识产权的代码， 而后者在不久前刚刚从 AT&T 收购了这些产权； 作为回报， Berkeley 得到了来自 Novell 的 许诺， 在 4.4BSD-Lite 版本正式发布时， 可以声明为不受限的 (unencumbered)， 现有的 Net/2 用户则强烈建议转移到这个版本。 这包括了 &os;， 而我们的项目则被允许在 1994 年 6 月底之前继续发行基于 Net/2 的产品。 根据和解协议， 在最后期限之前我们发布了一个最终版本， 这个版本是 &os; 1.1.5.1。 接下来， &os; 开始了艰苦的从全新的、 不太完整的 4.4BSD-Lite 重新编写自己的过程。 Lite 版本中， Berkeley 的 CSRG 删除了用于让系统能够引导的一大部分代码 (由于各种各样的法律需求)， 而当时 4.4 在 Intel 平台的移植版本还有很多工作没有完成。 直到 1994 年 11 月， 我们的项目才完成了这项过渡， 并通过网络以及 CD-ROM (在 12 月底) 上发布了 &os; 2.0。 尽管系统中还有很多比较粗糙的地方， 这个版本还是取得了巨大的成功， 并在 1995 年 6 月发布了更强大和易于安装的 &os; 2.0.5 版本。 我们于 1996 年 8 月发布了 &os; 2.1.5 版本， 它在 ISP 和商业团体中非常流行。 随后， 2.1-STABLE 分支的另一个版本应运而生，它就是 &os; 2.1.7.1，在 1997 年 2 月发布并停止了 2.1-STABLE 的主流开发。现在，它处于维护状态， 仅仅提供安全性的增强和其他严重的错误修补的维护(RELENG_2_1_0)。 &os; 2.2 版作为 RELENG_2_2 分支，于 1996 年 11 月从开发主线 (-CURRENT)分出来。 它的第一个完整版(2.2.1)于 1997 年 4 月发布出来。 97 年夏秋之间，顺着 2.2 分支的更进一步的版本在开发。 其最后一版(2.2.8)于 1998 年 11 月发布出来。 第一个官方的 3.0 版本出现在 1998 年 10 月， 意味着 2.2 分支结束的开始。 1999 年 1 月 20 日又出现了新的分支，就是 4.0-CURRENT 和 3.X-STABLE 分支。从 3.X-STABLE 起，3.1 在 1999 年 2 月 15 日发行，3.2 在1999 年 5 月 15 日，3.3 在 1999 年 9 月 16 日，3.4 在 1999 年 12 月 20 日，3.5 在 2000 年 6 月 24 日，接下来几天后发布了很少的修补升级至 3.5.1，加入了对 Kerberos 安全性方面的修补。 这是 3.X 分支最后一个发行版本。 随后在 2000 年 3 月 13 日出现了一个新的分支， 也就是 4.X-STABLE。 这之后发布了许多的发行版本： 4.0-RELEASE 于 2000 年 3月发布， 而最后的 4.11-RELEASE 则是在 2005 年 1 月发布的。 期待已久的 5.0-RELEASE 于 2003 年 1 月 19 日正式发布。 这是将近三年的开发的巅峰之作， 同时也标志了 FreeBSD 在先进的多处理器和应用程序线程支持的巨大成就， 并引入了对于 &ultrasparc; 和 ia64 平台的支持。 之后于 2003 年 6 月发布了 5.1。 最后一个从 -CURRENT 分支的 5.X 版本是 5.2.1-RELEASE， 它在 2004 年 2 月正式发布。 RELENG_5 于 2004 年 8 月正式创建， 紧随其后的是 5.3-RELEASE， 它是 5-STABLE 分支的标志性发行版。 最新的 5.5-RELEASE 是在 &rel2.current.date; 发布的。 RELENG_5 分支不会有后续的发行版了。 其后在 2005 年 7 月又建立了 RELENG_6 分支。 而 6.X 分支上的第一个版本， 即 6.0-RELEASE， 则是在 2005 年 11 月发布的。 最新的 &rel2.current;-RELEASE 发布于 &rel2.current.date;。 - 这很可能是我们发布的最后一个 RELENG_6 的发行版本。 + RELENG_6 分支上不再会有发布版本了。 RELENG_7 分支于 2007 年 10 月创建。 第一个这个分支的发行版是 7.0-RELEASE， 这个版本是 2008 年 2 月发布的。 最新的 &rel.current;-RELEASE 是在 &rel.current.date; 发布的。 RELENG_7 还将会有其它后续的发布版本。 目前， 中长期的开发项目继续在 8.X-CURRENT (主干, trunk) 分支中进行， 而 8.X 的 CD-ROM (当然， 也包括网络) 快照版本可以在 快照服务器 找到。 Jordan Hubbard Contributed by &os; 项目目标 FreeBSD Project goals &os; 项目的目标是无附加条件地提供能够用于任何目的的软件。 我们中的许多人对代码 (以及项目本身) 都有非常大的投入， 因此当然不介意偶尔有一些资金上的补偿， 但我们并没打算坚决地要求得到这类资助。 我们认为我们的首要 使命 是为任何人提供代码， 不管他们打算用这些代码做什么， 因为这样代码将能够被更广泛地使用， 从而最大限度地发挥其价值。 我认为这是自由软件最基本的， 同时也是为我们所倡导的一个目标。 GNU General Public License (GPL) GNU Lesser General Public License (LGPL) BSD Copyright 我们源代码树中， 以 GNU 公共许可证 (GPL) 或者 GNU 函数库公共许可证 (LGPL) 发布的那些代码带有少许的附加限制， 还好只是强制性的要求开放代码而不是别的。 由于使用 GPL 的软件在商业用途上会增加若干复杂性， 因此，如果可以选择的话， 我们更偏好使用限制相对更宽松的 BSD 版权来发布软件。 Satoshi Asami 撰写者 &os; 开发模式 FreeBSD Project 开发模式 &os; 的开发是一个非常开放且有有伸缩性的过程， 就像从我们的 贡献者列表里看到的，它是完全由来自全世界的数以百计的贡献者发展起来的。 &os; 的开发基础结构允许数以百计的开发者通过互联网协同工作。 我们也经常关注着那些对我们的计划感兴趣的新开发者和新的创意， 那些有兴趣更进一步参与项目的人只需要在 &a.hackers; 联系我们。 &a.announce; 对那些希望了解我们工作所涉及到哪些领域的人也是有用的。 无论是独立地工作或者封闭式的团队工作， 了解 &os; 计划和它的开发过程都是有益的： SVN 和 CVS 代码库 CVS 代码库 并行版本系统 CVS SVN 代码库 Subversion SVN 在过去的几年中 &os; 的中央源代码树是由 CVS (并行版本控制系统)来维护的，CVS 是一个与 &os; 捆绑的可自由获得的源代码控制工具。自 2008 年六月起， 这个项目开始转为使用SVN (Subversion)。 这次转换被认为是非常必要的，因为 CVS 的对于快速扩展源代码树和历史记录的限制越趋明显。现在主源码库使用 SVN，客户端的工具像 CVSup 和 csup 这些依赖于旧的 CVS 基础结构依然可以使用 — 因为对于 SVN 源码库的修改会被导回进 CVS。 目前只有中央原代码树是由 SVN 控制的。文档，万维网和 Ports 库还仍旧使用着 CVS。 The primary repository resides on a machine in Santa Clara CA, USA 主 CVS 代码库放置在美国加利福尼亚州圣克拉拉的一台机器上， 它被复制到全世界的大量镜像站上。包含 -CURRENT 和 -STABLE 的 SVN 树也同样能非常容易的你的机器上。 请参阅 同步你的源码树 获得更多的相关信息。 committer 列表 committers committer 是那些对 CVS 树有写权限的人， 他们被授权修改 &os; 的源代码 (术语 committer 来自于 &man.cvs.1; 的 commit 命令，这个命令用来把新的修改提交给 CVS 代码库)。提交修正的最好方法是使用 &man.send-pr.1; 命令。如果您发现在系统中出现了一些问题的话， 您也可以通过邮件将它们发送至 &a.committers;。 FreeBSD 核心团队 core team 如果把 &os; 项目看作一家公司，那么 &os; 核心团队就相当于董事会。 核心团队的主要任务是提出总体上的发展计划，然后确定一个正确的方向。 邀请那些富有献身精神和可靠的开发者加入到 committer 队伍中来也是核心团队的工作之一， 这些新的成员将作为新核心团队成员和其他人一起继续前进。 当前的核心团队是 2006 年 7 月从 committer 中选举产生的。选举每两年一次。 一些核心团队的成员还负责特定的责任范围， 也就是说他们必须尽力确保某个子系统能工作正常。 &os; 开发者的完整列表和他们的责任范围，请参见 贡献者列表 核心团队的大部分成员加入 &os; 开发的时候都是志愿的， 并没有从项目中获得任何财政上的资助， 所以承诺不应该被理解为支持保证。 前面所述董事会的类推并不十分准确， 或许更好的说法是，他们是一群愿意放弃他们的生活， 投身于 &os; 项目而非选择其个人更好的生活的人！ 外围贡献者 contributors 事实上，最大的开发团队正是为我们提供反馈和错误修补的用户自己。 &os; 的非集中式的开发者保持联系的主要方式就是预订 &a.hackers;，很多事情在那里讨论。查看了解众多 &os; 邮件列表的更多信息。 &os; 贡献者列表 很长并在不断增长， 为什么不加入它来为 FreeBSD 做贡献呢？ 提供代码不是为这个计划做贡献的唯一方式； 有一个更完整的需要做的事情的列表，可以参见 &os; 项目网站。 总的来说，我们的开发模式好像是一组没有拘束的同心圆。 这种集中式的开发模式，主要是考虑到 &os; 用户的方便， 同时让他们能很容易地维护同一份软件， 而不会把潜在的贡献者排除在外！ 我们的目标是提供一个包含有大量具有一致性 应用程序的稳定的操作系统， 以利于用户的安装和使用，— 这种模式在完成目标的过程中工作得非常有效。 我们对于那些想要加入，成为 &os; 开发者的期待是： 具有如同当前其他人一样的投入，来确保持续的成功！ 最新的 &os; 发行版本 NetBSD OpenBSD 386BSD Free Software Foundation U.C. Berkeley Computer Systems Research Group (CSRG) &os; 是一个免费使用且带有完整源代码的基于 4.4BSD-Lite 的系统， 它广泛运行于 Intel &i386;、&i486;、&pentium;、 &pentium; Pro、 &celeron;、 &pentium; II、 &pentium; III、 &pentium; 4(或者兼容系统)、 &xeon;、DEC Alpha 和 Sun &ultrasparc; 的计算机系统上。 它主要以 加州大学伯克利分校 的 CSRG 研究小组的软件为基础，并加入了 NetBSD、OpenBSD、386BSD 以及来自 自由软件基金会 的一些东西。 自从 1994 年末我们的 &os; 2.0 发行以来， &os; 的性能，可定制性，稳定性都有了令人注目的提高。 最大的变化是通过整合虚拟内存/文件系统中的高速缓存改进的虚拟内存系统， 它不仅提升了性能，而且减少了 &os; 对内存的需要， 使得 5 MB 内存成为可接受的最小配置。 其他的改进包括完整的 NIS 客户端和服务器端的支持， 事务式 TCP 协议支持，按需拨号的 PPP，集成的 DHCP 支持，改进的 SCSI 子系统， ISDN 的支持，ATM，FDDI，快速 Gigabit 以太网(1000 Mbit)支持， 提升了最新的 Adaptec 控制器的支持和修补了很多的错误。 除了最基本的系统软件，&os; 还提供了一个拥有成千上万广受欢迎的程序组成的软件的 Ports Collection。 到本书付印时，已有超过 &os.numports; 个 ports (ports 包括从 http(WWW) 服务器到游戏、程序设计语言、编辑器以及您能想到的几乎所有的东西)。 完整的 Ports Collection 大约需要 &ports.size; 的存储空间。所有的只提供对原始代码的 修正。这使得我们能够容易地更新软件， 而且减少了老旧的 1.0 Ports Collection 对硬盘空间的浪费。 要编译一个 port，您只要切换到您想要安装的程序的目录， 输入 make install，然后让系统去做剩下的事情。 您要编译的每一个程序完整的原始代码可以从 CD-ROM 或本地 FTP 获得，所以您只需要编译您想要软件的足够的磁盘空间。 几乎大多数的软件都提供了事先编译好的 package 以方便安装，对于那些不希望从源代码编译他们自己的 ports 的人只要使用一个简单的命令 (pkg_add)就可以安装。 有关 package 和 ports 的更多信息可以在中找到。 您可以在最近的 &os; 主机的 /usr/share/doc 目录下找到许多有用的文件来帮助您安装及使用 &os;。 您也可以用一个 HTML 浏览器来查阅本地安装的手册， 使用下面的 URL： FreeBSD 使用手册 /usr/share/doc/handbook/index.html FreeBSD FAQ /usr/share/doc/faq/index.html 您也可以查看在 的主站上的副本。 diff --git a/zh_CN.GB2312/books/handbook/jails/chapter.sgml b/zh_CN.GB2312/books/handbook/jails/chapter.sgml index ca014ce8a3..322ef202d9 100644 --- a/zh_CN.GB2312/books/handbook/jails/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/jails/chapter.sgml @@ -1,819 +1,825 @@ Matteo Riondato 原作 Jails jails 概述 这一章将为您介绍 &os; jail 是什么， 以及如何使用它们。 Jail， 有时也被认为是对 chroot 环境 的一种增强型替代品， 对于管理员而言是非常强大的工具， 同时， 它的一些基本用法， 对高级用户而言也相当有用。 读完这章， 您将了解： jail 是什么， 以及它在您安装的 &os; 中所能发挥的作用。 如何联编、 启动和停止 jail。 如何从 jail 内部或主机上进行管理的一些基础知识。 其他一些能够为您提供关于 jail 的有用信息的地方还有： &man.jail.8; 联机手册。 这是关于 jail — 用于在 &os; 中启动、 停止和控制 &os; jails — 工具的完整说明书。 邮件列表及其存档。 由 &a.mailman.lists; 提供的 &a.questions; 和其他邮件列表的存档， 已经包含了一系列关于 jails 的有价值的信息。 通常搜索存档或询问 &a.questions.name; 邮件列表能够给您带来很多有用的信息。 与 Jail 相关的一些术语 为了帮助您更好地理解与 jail 有关的 &os; 系统知识， 以及它们如何与 &os; 的其它部分相互作用， 您应理解下列术语： &man.chroot.2; (命令) &os; 的一个系统调用， 其作用是改变进程及其衍生进程所能看到的根目录。 &man.chroot.2; (环境) 在 chroot 中运行的进程环境。 这包括类似文件系统中的可见部分、 可用的用户及用户组 ID、 网络接口以及其他 IPC 机制等资源。 &man.jail.8; (命令) 用以在 jail 环境中运行进程的系统管理工具。 宿主 (系统、 进程、 用户等等) 能够控制 jail 环境的系统。 宿主系统能够访问全部可用的硬件资源， 并能够控制 jail 环境内外的进程。 宿主系统与 jail 的一项重要区别是， 在宿主系统中的超级用户进程， 并不像在 jail 中那样受到一系列限制。 hosted (系统、 进程、 用户等等) 可访问资源受 &os; jail 限制的进程、 用户或其他实体。 介绍 由于系统管理是一项困难而又令人费解的任务， 因此人们开发了一系列强大的工具， 来让管理员的工作变得更加简单。 这些改进通常是让系统能够以更简单的方式安装、 配置， 并毫无问题地持续运转。 这其中， 许多管理员希望能够为系统正确地进行安全方面的配置， 使其能够用于真正的用途， 而阻止安全方面的风险。 &os; 系统提供的一项用于改善安全的工具就是 jail。 jail 是在 &os; 4.X 中由 &a.phk; 引入的， 它在 &os; 5.X 中又进行了一系列改进， 使得它成为了一个强大而灵活的系统。 目前仍然在对其进行持续的开发， 以提高其可用性、 性能和安全性。 Jail 是什么 BSD-类的操作系统从 4.2BSD 开始即提供了 &man.chroot.8;。 &man.chroot.2; 工具能够改变一组进程的根目录的位置， 从而建立一个与系统中其他部分相隔离的安全环境： 在 chroot 环境中的进程， 将无法访问其外的文件或其他资源。 正是由于这种能力， 即使攻击者攻破了某一个运行于 chroot 环境的服务， 也不能攻破整个系统。 &man.chroot.8; 对于那些不需要很多灵活性或复杂的高级功能的简单应用而言相当好用。 另外， 在引入 chroot 概念的过程中， 曾经发现过许多跳出 chroot 环境的方法， 尽管这些问题在较新的 &os; 版本中已经修正， 但很明显地， &man.chroot.8; 并不是一项用于加固服务安全的理想解决方案。 因此， 必须实现一个新的子系统来解决这些问题。 这就是为什么要开发 jail 最主要的原因。 Jail 以多种方式改进了传统的 &man.chroot.2; 环境概念。 在传统的 &man.chroot.2; 环境中， 只限制了进程能够访问文件系统的哪些部分。 其他部分的系统资源 (例如系统用户、 正在运行的进程， 以及网络子系统) 是由 chroot 进程与宿主系统中的其他进程共享的。 jail 扩展了这个模型， 它不仅将文件系统的访问虚拟化， 而且还将用户、 &os; 的网络子系统， 以及一些其他系统资源虚拟化。 关于这些精细控制以及调整 jail 环境访问能力的更具体的介绍， 可参见 。 jail 具有以下四项特点： 目录子树 — 进入 jail 的起点。 一旦进入了 jail， 进程就不再被允许访问这棵子树以外的对象。 传统上影响到最初 &man.chroot.2; 设计的安全问题不会影响 &os; jail。 主机名 — 将用于 jail 的主机名。 jail 主要用于存放网络服务， 因此在每个 mail 上能够标注一个有意义的主机名， 能够在很大程度上简化系统管理员的工作。 IP 地址 — 这个地址是指定给 jail 的， 在 jail 的生命周期内都无法改变。 通常 jail 的 IP 地址是某一个网络接口上的别名地址， 但这并不是必需的。 命令 — 准备在 jail 中执行的可执行文件的完整路径名。 这个命令是相对于 jail 环境的根目录的， 随 jail 环境的类型不同， 可能会有很多不同之处。 除了这些之外， jail 也可以拥有自己的用户和自己的 root 用户。 自然， 这里的 root 用户的权力会受限于 jail 环境， 并且， 从宿主系统的观点看来， jail root 用户并不是一个无所不能的用户。 此外， jail 中的 root 用户不能执行除了其对应 &man.jail.8; 环境之外的系统中的一些关键操作。 关于 root 用户的能力和限制， 在后面的 中将加以介绍。 建立和控制 jail 一些系统管理员喜欢将 jail 分为两类： 完整的 jail， 通常包含真正的 &os; 系统， 以及 服务 jail， 专用于执行一个可能使用特权的应用或服务。 这只是一种概念上的区分， 并不影响如何建立 jail 的过程。 在联机手册 &man.jail.8; 中对如何创建 jail 进行了清晰的阐述： &prompt.root; setenv D /here/is/the/jail &prompt.root; mkdir -p $D &prompt.root; cd /usr/src -&prompt.root; make world DESTDIR=$D +&prompt.root; make buildworld +&prompt.root; make installworld DESTDIR=$D &prompt.root; cd etc/ 在 &os; 6.0 及 之后的版本中不必须进行这个步骤。 &prompt.root; make distribution DESTDIR=$D &prompt.root; mount -t devfs devfs $D/dev 第一步就是为 jail 选择一个位置。 这个路径是在宿主系统中 jail 的物理位置。 一种常用的选择是 /usr/jail/jailname， 此处 jailname 是 jail 的主机名。 /usr/ 文件系统通常会有足够的空间来保存 jail 文件系统， 对于 完整 的 jail 而言， 它通常包含了 &os; 默认安装的基本系统中每个文件的副本。 - - 这个命令将在 jail 目录中安装所需的可执行文件、 函数库以及联机手册等。 - 这些是以传统的 &os; 风格的方式完成的 — 首先联编所有的文件， - 然后将其安装到目标路径。 + + 如果你已经通过使用 make world + 或者 make buildworld 重新编译过了你的 userland， + 则可以跳过这一步骤并把现有的 userland 安装进新的 jail。 + + + + 这个命令将在 jail 目录中安装所需的可执行文件、 + 函数库以及联机手册等。 distribution 这个 make target 将安装全部配置文件， 或者换句话说， 就是将 /usr/src/etc/ 复制到 jail 环境中的 /etc： $D/etc/。 在 jail 中不是必须要挂接 &man.devfs.8; 文件系统。 而另一方面， 几乎所有的应用程序都会需要访问至少一个设备， 这主要取决于应用程序的性质和目的。 控制 jail 中能够访问的设备非常重要， 因为不正确的配置， 很可能允许攻击者在 jail 中进行一些恶意的操作。 通过 &man.devfs.8; 实施的控制， 可以通过由联机手册 &man.devfs.8; 和 &man.devfs.conf.5; 介绍的规则集配置来实现。 一旦装好了 jail， 就可以使用 &man.jail.8; 工具来安装它了。 &man.jail.8; 工具需要四个必填参数， 这些参数在 中进行了介绍。 除了这四个参数之外， 您还可以指定一些其他参数， 例如， 以特定用户身份来在 jail 中运行程序等等。 这里， 参数取决于您希望建立的 jail 的类型； 对于 虚拟系统， 可以选择 /etc/rc， 因为它会完成真正的 &os; 系统启动所需的操作。 对于 服务 jail， 执行的命令取决于将在 jail 中运行的应用程序。 Jail 通常应在系统启动时启动， 因此， &os; rc 机制提供了一些很方便的机制来简化这些工作。 在引导时需要启动的 jail 列表应写入 &man.rc.conf.5; 文件： jail_enable="YES" # 如果设为 NO 则表示不自动启动 jail jail_list="www" # 以空格分隔的 jail 名字列表 对于 jail_list 中列出的 jail， 还应指定一系列对应的 &man.rc.conf.5; 设置， 用以描述具体的 jail： jail_www_rootdir="/usr/jail/www" # jail 的根目录 jail_www_hostname="www.example.org" # jail 的主机名 jail_www_ip="192.168.0.10" # jail 的 IP 地址 jail_www_devfs_enable="YES" # 在 jail 中挂接 devfs jail_www_devfs_ruleset="www_ruleset" # 在 jail 中应用的devfs 规则集 默认情况下， 在 &man.rc.conf.5; 中配置启动的 jail 会执行其中的 /etc/rc 脚本， 也就是说， 默认情况下将 jail 作为虚拟系统方式来启动。 对于服务 jail， 您应另外指定启动命令， 方法是设置对应的 jail_jailname_exec_start 配置。 如欲了解全部可用的选项， 请参阅联机手册 &man.rc.conf.5;。 /etc/rc.d/jail 脚本也可以用于手工启动或停止 rc.conf 中配置的 jail： &prompt.root; /etc/rc.d/jail start www &prompt.root; /etc/rc.d/jail stop www 目前， 尚没有一种方法来很干净地关闭 &man.jail.8;。 这是因为通常用于正常关闭系统的命令， 目前尚不能在 jail 中使用。 目前， 关闭 jail 最好的方式， 是在 jail 外通过 &man.jexec.8; 工具， 在 jail 中执行下列命令： &prompt.root; sh /etc/rc.shutdown 更进一步的详细说明， 请参见联机手册 &man.jail.8;。 微调和管理 您可以为 jail 设置许多不同的选项， 并让 &os; 宿主系统以不同的方式与 jail 交互， 以支持更高级别的应用。 这一节将介绍： 一些用于微调 jail 行为和安全限制的选项。 一些可以通过 &os; Ports 套件安装的高级 jail 管理应用程序， 这些程序可以用于实现一般的基于 jail 的解决方案。 &os; 提供的用于微调 jail 的系统工具 对于 jail 的配置微调， 基本上都是通过设置 &man.sysctl.8; 变量来完成的。 系统提供了一个特殊的 sysctl 子树， 全部相关的选项均在这棵子树中； 这就是 &os; 内核的 security.jail.* 选项子树。 下面是与 jail 有关的主要 sysctl， 以及这些变量的默认值。 这些名字都比较容易理解， 如欲了解进一步的详情， 请参阅联机手册 &man.jail.8; 和 &man.sysctl.8;。 security.jail.set_hostname_allowed: 1 security.jail.socket_unixiproute_only: 1 security.jail.sysvipc_allowed: 0 security.jail.enforce_statfs: 2 security.jail.allow_raw_sockets: 0 security.jail.chflags_allowed: 0 security.jail.jailed: 0 系统管理员可以在 宿主系统 中， 透过设置这些变量的值来默认为 root 用户增加或取消限制。 需要注意的是， 某些限制是不能够取消的。 在 &man.jail.8; 中的 root 用户， 无法挂载或卸下文件系统， 此外在 jail 中的 root 用户也不能加载或卸载 &man.devfs.8; 规则集、 配置防火墙规则， 或执行其他需要修改内核数据的管理操作， 例如设置内核的 securelevel 等等。 &os; 的基本系统包含一系列用于查看目前在使用的 jail 信息， 以及接入 jail 并执行管理命令所需的基本工具。 &man.jls.8; 和 &man.jexec.8; 命令都是 &os; 基本系统的一部分， 并可用于执行简单的任务： 列出在用的 jail 以及对应的 jail 标识 (JID)、 IP 地址、 主机名和路径。 从宿主系统中接入正在运行的 jail， 并在其中执行命令， 以完成一系列 jail 管理任务。 这在 root 希望干净地关闭 jail 时非常有用。 &man.jexec.8; 工具也可以用于在 jail 中启动 shell 以便对其进行管理； 例如： &prompt.root; jexec 1 tcsh 由 &os; Ports 套件提供的高级管理工具 在众多第三方 jail 管理工具中， sysutils/jailutils 是最完整和好用的。 它是一系列方便 &man.jail.8; 管理的小工具。 请参见其网站以了解进一步的详情。 Jail 的应用 Daniel Gerzo 原作 服务 Jail 这一节主要基于 &a.simon; 的 中的思路， 以及由 Ken Tom locals@gmail.com 更新的文档。 这一节中描述了如何配置 &os; 系统的 &man.jail.8; 功能为其增加一个安全层次。 这部分假定您运行 RELENG_6_0 或更新版本， 并理解本章之前部分的内容。 设计 jail 的一个主要问题是如何对它们进行升级和管理。 由于每个 jail 都是从头联编的， 对于单个 jail 而言升级也许还不是个很严重的问题， 因为升级不会太过麻烦， 而对于多个 jail 而言， 升级不仅会耗费大量时间， 并且是十分乏味的过程。 这个配置过程需要您对 &os; 有较多的配置和使用经验。 如果这些过程显得太过复杂， 您应考虑使用较简单的系统， 例如 sysutils/ezjail， 它提供了更简单的管理 &os; jail 的方法。 基本的想法是， 在不同的 jail 中尽可能多地以安全的方式使用共享的资源 — 使用只读的 &man.mount.nullfs.8; 挂接， 这会让升级简单许多， 从而使为每个服务建立不同的 jail 这种方案变得更加可行。 另外， 它也为增加、删除以及升级 jail 提供了更为便捷的方法。 在这里服务的常见例子包括： HTTP 服务、 DNS 服务、 SMTP 服务等等， 诸如此类。 这节介绍的配置的目的包括： 建立简单并易于理解的 jail 结构。 也就是说 不必 为每个 jail 执行完整的 installworld 操作。 使增删 jail 更容易。 使更新或升级 jail 更容易。 使运行自订的 &os; 分支成为可能。 对安全的更偏执的追求， 尽可能减少被攻陷的可能。 尽可能节省空间和 inode。 如前面提到的那样， 这个设计极大程度上依赖于将一份只读的主模板 (known as nullfs) 挂接到每一个 jail 中， 并为每个 jail 配置一个可读写的设备。 这种设备可以是物理磁盘、 分区， 或以 vnode 为后端的 &man.md.4; 设备。 在这个例子中， 我们将使用可读写的 nullfs 挂接。 下面的表中描述了文件系统格局： 每个 jail 挂接到 /home/j 目录下的一个目录。 /home/j/mroot 是每个 jail 共用的模板， 对于所有的 jail 而言都是只读的。 在 /home/j 目录中， 每个 jail 有一个对应的空目录。 每个 jail 中都有一个 /s 目录， 这个目录将连接到系统中的可读写部分。 每个 jail 应基于 /home/j/skel 建立其可读写空间。 每个 jailspace (jail 中的可读写部分) 应创建到 /home/js。 这假定所有的 jail 都放置于 /home 分区中。 当然， 您可以根据需要将这个配置改为需要的任何样子， 但在接下来的例子中， 也应相应地加以变动。 建立模板 这一节将介绍创建 jail 所需的只读主模板所需的步骤。 一般来说， 您应将系统升级到最新的 &os; -RELEASE 分支， 具体做法请参见本手册的相关 章节。 当更新不可行时， 则需要完成 buildworld 过程， 另外， 您还需要 sysutils/cpdup 软件包。 我们将使用 &man.portsnap.8; 工具来下载 &os; Ports 套件。 在使用手册的 Portsnap 章节 中， 提供了针对初学者的介绍。 首先， 需要为将要存放只读的 &os; 执行文件的文件系统建立一个目录， 接着进入 &os; 源代码的目录， 并在其中安装 jail 模板： &prompt.root; mkdir /home/j /home/j/mroot &prompt.root; cd /usr/src &prompt.root; make installworld DESTDIR=/home/j/mroot 接着， 准备一份 &os; Ports 套件， 以及用于执行 mergemaster 的 &os; 源代码： &prompt.root; cd /home/j/mroot &prompt.root; mkdir usr/ports &prompt.root; portsnap -p /home/j/mroot/usr/ports fetch extract &prompt.root; cpdup /usr/src /home/j/mroot/usr/src 创建系统中可读写部分的骨架： &prompt.root; mkdir /home/j/skel /home/j/skel/home /home/j/skel/usr-X11R6 /home/j/skel/distfiles &prompt.root; mv etc /home/j/skel &prompt.root; mv usr/local /home/j/skel/usr-local &prompt.root; mv tmp /home/j/skel &prompt.root; mv var /home/j/skel &prompt.root; mv root /home/j/skel 使用 mergemaster 安装缺失的配置文件。 接下来， 删除 mergemaster 创建的多余目录： &prompt.root; mergemaster -t /home/j/skel/var/tmp/temproot -D /home/j/skel -i &prompt.root; cd /home/j/skel &prompt.root; rm -R bin boot lib libexec mnt proc rescue sbin sys usr dev 现在， 将可读写文件系统连接到只读文件系统中。 请确保您在 s/ 目录中建立了适当的符号连接。 如果没有建立目录或建立的位置不正确， 可能会导致安装失败。 &prompt.root; cd /home/j/mroot &prompt.root; mkdir s &prompt.root; ln -s s/etc etc &prompt.root; ln -s s/home home &prompt.root; ln -s s/root root &prompt.root; ln -s ../s/usr-local usr/local &prompt.root; ln -s ../s/usr-X11R6 usr/X11R6 &prompt.root; ln -s ../../s/distfiles usr/ports/distfiles &prompt.root; ln -s s/tmp tmp &prompt.root; ln -s s/var var 最后， 创建一个默认的包含下列配置的 /home/j/skel/etc/make.conf： WRKDIRPREFIX?= /s/portbuild 配置 WRKDIRPREFIX 使得在每个 jail 中分别编译 &os; 成为可能。 请注意 ports 目录是只读系统的一部分。 而自订的 WRKDIRPREFIX 则使得联编过程得以在 jail 中的可读写部分完成。 建立 Jail 现在我们已经有了完整的 &os; jail 模板， 可以在 /etc/rc.conf 中安装并配置它们了。 这个例子中演示了建立 3 个 jail： NS、 MAIL 和 WWW。 在 /etc/fstab 文件中加入下列配置， 以便让系统自动挂接 jail 的只读模板和读写空间： /home/j/mroot /home/j/ns nullfs ro 0 0 /home/j/mroot /home/j/mail nullfs ro 0 0 /home/j/mroot /home/j/www nullfs ro 0 0 /home/js/ns /home/j/ns/s nullfs rw 0 0 /home/js/mail /home/j/mail/s nullfs rw 0 0 /home/js/www /home/j/www/s nullfs rw 0 0 扫描批次号 (pass number) 为 0 的分区不会在启动时使用 &man.fsck.8; 进行检查， 而转存批次号 (dump number) 为 0 的分区则不会在 &man.dump.8; 时备份。 我们不希望 fsck 检查 nullfs 挂接， 或让 dump 备份 jail 中的只读 nullfs 挂接。 这就是为什么在每个 fstab 条目的最后两列是 0 0 的原因。 在 /etc/rc.conf 中配置 jail： jail_enable="YES" jail_set_hostname_allow="NO" jail_list="ns mail www" jail_ns_hostname="ns.example.org" jail_ns_ip="192.168.3.17" jail_ns_rootdir="/usr/home/j/ns" jail_ns_devfs_enable="YES" jail_mail_hostname="mail.example.org" jail_mail_ip="192.168.3.18" jail_mail_rootdir="/usr/home/j/mail" jail_mail_devfs_enable="YES" jail_www_hostname="www.example.org" jail_www_ip="62.123.43.14" jail_www_rootdir="/usr/home/j/www" jail_www_devfs_enable="YES" 应把 jail_name_rootdir 变量设置成 /usr/home 而不是 /home 的原因是 /home 目录在默认安装的 &os; 上是指向 /usr/home 的一个符号连接。 而 jail_name_rootdir 变量必须是一个 不 包含符号连接的路径， 否则 jail 将拒绝启动。 可以使用 &man.realpath.1; 工具来决定这一变量应被赋予一个什么样的值。 更详细的信息请参阅安全公告 &os;-SA-07:01.jail 为每个 jail 创建所需的只读文件系统挂接点： &prompt.root; mkdir /home/j/ns /home/j/mail /home/j/www 在 jail 中安装可读写的模板。 注意您需要使用 sysutils/cpdup， 它能够帮助您确保每个目录都是正确地复制的： &prompt.root; mkdir /home/js &prompt.root; cpdup /home/j/skel /home/js/ns &prompt.root; cpdup /home/j/skel /home/js/mail &prompt.root; cpdup /home/j/skel /home/js/www 这样， 就完成了 jail 的制作， 可以运行了。 首先为 jail 挂接文件系统， 然后使用 /etc/rc.d/jail 脚本来启动它们： &prompt.root; mount -a &prompt.root; /etc/rc.d/jail start 现在 jail 应该就启动起来了。 要检查它们是否运行正常， 可以使用 &man.jls.8; 命令。 它的输出应该类似这样： &prompt.root; jls JID IP Address Hostname Path 3 192.168.3.17 ns.example.org /home/j/ns 2 192.168.3.18 mail.example.org /home/j/mail 1 62.123.43.14 www.example.org /home/j/www 这时， 就可以登入 jail 并增加用户和配置服务了。 JID 列给出了正在运行的 jail 的标识编号。 您可以使用下面的命令来在 JID 编号为 3 的 jail 中执行管理任务： &prompt.root; jexec 3 tcsh 升级 有时， 由于安全问题， 或新增功能有用， 会希望将系统升级到一个新版本的 &os;。 这种安装方式的设计使得升级现有 jail 变得很容易。 另外， 它也能最大限度地减小停机时间， 因为 jail 只在最后时刻才需要关闭。 另外， 它也提供了简单的回退到先前版本的方法。 第一步是按通常的方法升级主机的系统。 接着， 在 /home/j/mroot2 中建立一个新的临时模板： &prompt.root; mkdir /home/j/mroot2 &prompt.root; cd /usr/src &prompt.root; make installworld DESTDIR=/home/j/mroot2 &prompt.root; cd /home/j/mroot2 &prompt.root; cpdup /usr/src usr/src &prompt.root; mkdir s 在运行 installworld 时会创建一些不需要的目录， 应将它们删除： &prompt.root; chflags -R 0 var &prompt.root; rm -R etc var root usr/local tmp 重建到主系统中的可读写符号连接： &prompt.root; ln -s s/etc etc &prompt.root; ln -s s/root root &prompt.root; ln -s s/home home &prompt.root; ln -s ../s/usr-local usr/local &prompt.root; ln -s ../s/usr-X11R6 usr/X11R6 &prompt.root; ln -s s/tmp tmp &prompt.root; ln -s s/var var 现在是时候关闭 jail 了： &prompt.root; /etc/rc.d/jail stop 卸下原先的文件系统： &prompt.root; umount /home/j/ns/s &prompt.root; umount /home/j/ns &prompt.root; umount /home/j/mail/s &prompt.root; umount /home/j/mail &prompt.root; umount /home/j/www/s &prompt.root; umount /home/j/www 可读写的文件系统 (/s) 会在只读系统之后挂接， 因此应首先卸载。 将先前的只读文件系统挪走， 换成新的系统。 这样做也同时保留了先前系统的备份， 从而可以在出现问题时从中恢复。 这里我们根据新系统的创建时间来命名。 此外我们把先前的 &os; Ports 套件直接移动到新的文件系统中， 以节省磁盘空间和 inode： &prompt.root; cd /home/j &prompt.root; mv mroot mroot.20060601 &prompt.root; mv mroot2 mroot &prompt.root; mv mroot.20060601/usr/ports mroot/usr 现在新的只读模板就可以用了， 剩下的事情是重新挂接文件系统并启动 jails： &prompt.root; mount -a &prompt.root; /etc/rc.d/jail start 最后用 &man.jls.8; 检查 jail 启动是否正常。 不要忘记在 jail 中运行 mergemaster。 配置文件和 rc.d 脚本在升级时应进行更新。 diff --git a/zh_CN.GB2312/books/handbook/kernelconfig/chapter.sgml b/zh_CN.GB2312/books/handbook/kernelconfig/chapter.sgml index c69fa3cc7e..9fbb04f8c9 100644 --- a/zh_CN.GB2312/books/handbook/kernelconfig/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/kernelconfig/chapter.sgml @@ -1,1354 +1,1379 @@ Jim Mock Updated and restructured by Jake Hamby Originally contributed by 配置FreeBSD的内核 概述 内核 建立一个定制的内核 内核是 &os; 操作系统的核心。 它负责管理内存、 执行安全控制、 网络、 磁盘访问等等。 尽管 &os; 可以动态修改的现在已经越来越多， 但有时您还是需要重新配置和编译您的内核。 读完这章，您将了解： 为什么需要建立定制的内核。 如何编写内核配置文件，或修改已存在的配置文件。 如何使用内核配置文件创建和联编新的内核。 如何安装新内核。 如何处理出现的问题。 这一章给出的命令应该以 root 身份执行， 否则可能会不成功。 为什么需要建立定制的内核? - 过去， &os; 采用称作 单片式 的内核。 - 这句话的意思是说内核是一个大的程序， 支持固定的设备， - 如果您希望改变内核的行为则必须编译一个新的， - 并重新启动计算机来引导它。 - - 今天， &os; 已经迅速地转移到了一个新的模型， - 其重要特征是内核功能可以由能够根据需要动态加载和卸载的模块来提供。 - 这使得内核能够迅速地适应硬件的调整 (例如笔记本电脑的 PCMCIA)， - 或为内核增加在最初编译它时所不具备的新的功能。 - 这一模式成为模块化内核。 - - 尽管如此， 一些功能仍然需要静态地连编进内核。 - 一些情况是因为这些功能于内核的结合十分紧密， - 而不可能将它们做成可以动态加载的。 - 另一种情况是因为没有人有时间来编写实现那个功能的可以动态加载的内核模块。 - - 建造定制的内核是几乎每一个 BSD 用户所必须经历的一关。 - 尽管这项工作可能比较耗时， 但它能够为使用 &os; 系统带来很多好处。 - 与必须支持大量各式硬件的 GENERIC - 内核不同， 定制的内核可以只包含对于 - 您的 PC 硬件的支持。 - 这有很多好处， 例如： + 过去， &os; 采用的是被人们称作 + 单片式 的内核。 这种内核本身是一个大的程序， + 它支持的设备不能够动态地加以改变， + 而当希望改变内核的行为时， 就必须编译一个新的内核， + 并重新启动计算机才可以使用它。 + + 如今， &os; 正在迅速地迁移到一种新的模型， + 其特点是将大量内核功能放进可以动态加载和卸载的内核模块来提供。 + 这使得内核能够适应硬件的调整 (例如笔记本计算机中的 PCMCIA 卡)， + 以及为内核引入新的功能， 而无需在编译内核时就将其添加进去。 + 这种做法称为模块化内核。 + + 尽管如此， 仍然有一些功能需要静态地联编进内核。 + 有时， 这是由于这些功能与内核的结合非常紧密而无法实现动态加载， + 还有一些情况是暂时没有人将这些功能改写为可动态加载的模块。 + + 联编定制的内核是成为高级 BSD 用户所必须经历的一关。 + 尽管这一过程需要花费一些时间， 但它能够为您的 &os; 系统带来一些好处。 + 与必须支持大量硬件的 GENERIC 内核不同， + 定制的内核可以只包含对于 + 您 PC 硬件的支持。 + 这样做有很多好处， 例如： 更快地启动。 因为内核只需要检测您系统上的硬件， 启动时所花费的时间将大大缩短。 - 使用更少的内存。 定制的内核通常会比 - GENERIC 内核使用更少的内存， - 由于内核必须时刻处于物理内存中， 因此这就显得更加重要。 - 基于这样的原因， 对于内存较小的系统来说， - 定制内核将发挥更大的作用。 + 使用更少的内存。 由于可以删去不需要的功能和设备驱动， + 通常定制的内核会比 GENERIC 使用的内存更少。 + 节省内核使用的内存之所以重要是因为内核必须常驻于物理内存中， + 从而使应用程序能够用到更多的内存。 正因为这样， + 对 RAM 较小的系统来说定制内核就更为重要了。 支持更多的硬件。 定制的内核允许您增加类似声卡这样的 GENERIC 内核没有提供内建支持的硬件。 Tom Rhodes 作者 发现系统硬件 在尝试配置内核以前，比较明智的做法是先获得一份机器硬件的清单。 当 &os; 并不是主操作系统时，通过查看当前操作系统的配置可以很容易的 创建一份机器硬件的配置清单。举例来说， µsoft; 的 设备管理器 里通常含有关于已安装硬件的重要信息。 设备管理器 位于控制面板。 某些版本的 µsoft.windows; 有一个 系统 图标会指明 设备管理器 的位置。 如果机器上并不存在其他的操作系统， 系统管理员只能手动寻找这些信息了。其中的一个方法是使用 &man.dmesg.8; 工具以及 &man.man.1; 命令。&os; 上大多数的驱动程序都有一份手册页（manual page）列出了所支持的硬件， 在系统启动的时候，被发现的硬件也会被列出。举例来说， 下面的这几行表示 psm 驱动找到了一个鼠标： psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: [GIANT-LOCKED] psm0: [ITHREAD] psm0: model Generic PS/2 mouse, device ID 0 这个驱动需要被包含在客户制定的内核配置文件里， 或着使用 &man.loader.conf.5; 加载。 有时，dmesg 里只会显示来自系统消息的数据， 而不是系统启动时的检测信息。在这样的情况下，你可以查看文件 /var/run/dmesg.boot。 另一个查找硬件信息的方法是使用 &man.pciconf.8; 工具， 它能提供更详细的输出，比如： ath0@pci0:3:0:0: class=0x020000 card=0x058a1014 chip=0x1014168c rev=0x01 hdr=0x00 vendor = 'Atheros Communications Inc.' device = 'AR5212 Atheros AR5212 802.11abg wireless' class = network subclass = ethernet 这个片断取自于 pciconf 命令的输出，显示 ath 驱动找到了一个无线以太网设备。输入命令 man ath 就能查阅有关 &man.ath.4; 的手册页（manual page）了。 还可以传给 &man.man.1; 命令 选项， 同样能获得有用的信息。例如： &prompt.root; man -k Atheros 能得到一份包含特定词语的手册页（manual page）: ath(4) - Atheros IEEE 802.11 wireless network driver ath_hal(4) - Atheros Hardware Access Layer (HAL) 手头备有一份硬件的配置清单， 那么编译制定内核的过程就显得不那么困难了。 内核驱动，子系统和模块 kernel drivers / modules / subsystems 在编译一个制定的内核之前请三思一下这么做的理由， 如果仅是需要某个特定的硬件支持的话， 那么很可能已经存在一个现成的模块了。 内核模块存放在目录 /boot/kernel 中，并能由 &man.kldload.8; 命令加载入正在运行的内核。 基本上所有的内核驱动都有特定的模块和手册页。比如， 下面提到的 ath 无线以太网驱动。 - 在这个设备的手册页中有以下信息： + 在这个设备的联机手册中有以下信息： Alternatively, to load the driver as a module at boot time, place the following line in &man.loader.conf.5: if_ath_load="YES" 遵照示例，在 /boot/loader.conf 中加入 if_ath_load="YES" 则能在机器启动的时候动态加载这个模块。 某些情况下，则没有相关的模块。通常是一些子系统和非常重要的驱动， 比如，快速文件系统 (FFS) 就是一个内核必需的选项。 同样的还有网络支持 (INET)。不幸的是， 分辨一个驱动是否必需的唯一方法就是检查测试以下那个模块本身。 去除某个驱动的支持或某个选项会非常容易得到一个坏掉的内核。 举例来说，如果把 &man.ata.4; 驱动从内核配置文件中去掉， 那么一个使用 ATA 磁盘设备的系统可能就变得无法引导，除非有在 loader.conf 中加载。当你无法确定的时候， 请检查一下那个模块并把它留在你的内核配置中。 建立并安装一个定制的内核 内核 建立/安装 首先对内核构建目录做一个快速的浏览。 这里所提到的所有目录都在 /usr/src/sys 目录中； 也可以通过 /sys 来访问它。 这里的众多子目录包含了内核的不同部分， 但对我们所要完成的任务最重要的目录是 arch/conf， 您将在这里编辑定制的内核配置； 以及 compile， 编译过程中的文件将放置在这里。 arch 表示 i386、 alpha、 amd64、 ia64、 powerpc、 sparc64， 或 pc98 (在日本比较流行的另一种 PC 硬件开发分支)。 在特定硬件架构目录中的文件只和特定的硬件有关； 而其余代码则是与机器无关的， 则所有已经或将要移植并运行 &os; 的平台上都共享这些代码。 文件目录是按照逻辑组织的， 所支持的硬件设备、 文件系统， 以及可选的组件通常都在它们自己的目录中。 这一章提供的例子假定您使用 i386 架构的计算机。 如果您的情况不是这样， 只需对目录名作相应的调整即可。 如果您的系统中 没有 /usr/src/sys 这样一个目录， 则说明没有安装内核源代码。 安装它最简单的方法是通过以 root 身份运行 sysinstall， 选择 Configure， 然后是 Distributions、 src， 选中其中的 base 和 sys。 如果您不喜欢 sysinstall 并且有一张 官方的 &os; CDROM， 也可以使用下列命令， 从命令行来安装源代码： &prompt.root; mount /cdrom &prompt.root; mkdir -p /usr/src/sys &prompt.root; ln -s /usr/src/sys /sys &prompt.root; cat /cdrom/src/ssys.[a-d]* | tar -xzvf - &prompt.root; cat /cdrom/src/sbase.[a-d]* | tar -xzvf - 接下来， 进入 arch/conf 目录下面， 复制 GENERIC 配置文件， 并给这个文件起一个容易辨认的名称， 它就是您的内核名称。例如： &prompt.root; cd /usr/src/sys/i386/conf &prompt.root; cp GENERIC MYKERNEL 通常，这个名称是大写的，如果您正维护着多台不同硬件的&os;机器， 以您机器的域名来命名是非常好的主意。我们把它命名为 MYKERNEL就是这个原因。 将您的内核配置文件直接保存在 /usr/src 可能不是一个好主意。 如果您遇到问题， 删掉 /usr/src 并重新开始很可能是一个诱人的选择。 一旦开始做这件事， 您可能几秒钟之后才会意识到您同时会删除定制的内核配置文件。 另外， 也不要直接编辑 GENERIC， 因为下次您 更新代码 时它会被覆盖， 而您的修改也就随之丢失了。 您也可以考虑把内核配置文件放到别的地方， 然后再到 i386 目录中创建一个指向它的符号链接。 例如： &prompt.root; cd /usr/src/sys/i386/conf &prompt.root; mkdir /root/kernels &prompt.root; cp GENERIC /root/kernels/MYKERNEL &prompt.root; ln -s /root/kernels/MYKERNEL 必须以 root 身份执行这些和接下来命令， 否则就会得到 permission denied 的错误提示。 现在就可以用您喜欢的文本编辑器来编辑 MYKERNEL 了。 如果您刚刚开始使用 FreeBSD， 唯一可用的编辑器很可能是 vi， 它的使用比较复杂， 限于篇幅， 这里不予介绍， 您可以在 参考书目 一章中找到很多相关书籍。 不过， &os; 也提供了一个更好用的编辑器， 它叫做 ee， 对于新手来说， 这很可能是一个不错的选择。 您可以修改配置文件中的注释以反映您的配置， 或其他与 GENERIC 不同的地方。 SunOS 如果您在&sunos;或者其他BSD系统下定制过内核，那这个文件中的绝大部分将对您非常熟悉。 如果您使用的是诸如DOS这样的系统，那GENERIC配置文件看起来就非常困难， 所以在下面的 配置文件章节将慢慢地、仔细地进行介绍。 如果您和 &os; project 进行了 代码同步， 则一定要在进行任何更新之前查看 /usr/src/UPDATING。 这个文件中描述了更新过的代码中出现的重大问题或需要注意的地方。 /usr/src/UPDATING 总是和您的 &os; 源代码对应， 因此能够提供比手册更具时效性的新内容。 现在应该编译内核的源代码了。 联编内核 进入 /usr/src 目录： &prompt.root; cd /usr/src 编译内核： &prompt.root; make buildkernel KERNCONF=MYKERNEL 安装新内核： &prompt.root; make installkernel KERNCONF=MYKERNEL 使用这种方法联编内核时， 需要安装完整的 &os; 源代码。 默认情况下， 在联编您所定制的内核时， 全部 内核模块也会同时参与构建。 如果您希望更快地升级内核， 或者只希望联编您所需要的模块， 则应在联编之前编辑 /etc/make.conf： MODULES_OVERRIDE = linux acpi sound/sound sound/driver/ds1 ntfs 这个变量的内容是所希望构建的模块列表。 WITHOUT_MODULES = linux acpi sound/sound sound/driver/ds1 ntfs 这个变量的内容是在联编过程中将不被编译的模块列表。 如果希望了解更多与构建内核有关的变量， 请参见 &man.make.conf.5; 联机手册。 /boot/kernel.old 新内核将会被复制到 /boot/kernel 目录中成为 /boot/kernel/kernel 而旧的则被移到 /boot/kernel.old/kernel。 现在关闭系统， 然后用新的内核启动计算机。 如果出现问题， 后面的一些 故障排除方法 将帮您摆脱困境。 如果您的内核 无法启动， 请参考那一节。 其他与启动过程相关的文件， 如 &man.loader.8; 及其配置， 则放在 /boot。 第三方或定制的模块也可以放在 /boot/kernel， 不过应该注意保持模块和内核的同步时很重要的， 否则会导致不稳定和错误。 Joel Dahl Updated for &os; 6.X by 配置文件 内核 NOTES NOTES 内核 配置文件 配置文件的格式是非常简单的。 每一行都包括一个关键词， 以及一个或多个参数。 实际上， 绝大多数行都只包括一个参数。 在 # 之后的内容会被认为是注释而忽略掉。 接下来几节, 将以 GENERIC 中的顺序介绍所有关键字。 如果需要与平台有关的选项和设备的详细列表， 请参考与 GENERIC 文件在同一个目录中的那个 NOTES， 而平台无关的选项， 则可以在 /usr/src/sys/conf/NOTES 找到。 + 从 &os; 5.0 开始， 配置文件中新增了 include 语句。 + 这个语句能够在内核配置文件中直接引用其他配置文件的内容， + 使得您能够使用较小的、 仅包含相对于现存配置的变动而减少维护所需的工作。 + 例如， 如果您只需对 GENERIC 内核进行少量定制， + 在其中添加几个驱动程序和附加选项， 则只要维护相对于 GENERIC + 的变化就可以了： + + include GENERIC +ident MYKERNEL + +options IPFIREWALL +options DUMMYNET +options IPFIREWALL_DEFAULT_TO_ACCEPT +options IPDIVERT + + + 许多系统管理员会发现， 这种方法与先前从头开始写配置文件的方法相比， + 可以带开相当多的好处： 本地采用的配置文件只表达与 + GENERIC 内核的差异， 这样， + 在升级的时候往往就不需要做任何改动， + 而新加入 GENERIC 的功能就会自动加入到本地的内核， + 除非使用 + nooptions 或 nodevice 语句将其排除。 + 这一章余下的部分将着重介绍典型的配置文件， 以及内核选项和设备的作用。 + 如果您需要一份包含所有选项的文件， 例如用于测试目的， 则应以 root 身份执行下列命令： &prompt.root; cd /usr/src/sys/i386/conf && make LINT 内核 配置文件 下面是一个 GENERIC 内核配置文件的例子， 它包括了一些需要解释的注释。 这个例子应该和您复制的 /usr/src/sys/i386/conf/GENERIC 非常接近。 内核选项 机器 machine i386 这是机器的架构， 他只能是 alpha, amd64, i386, ia64, pc98, powerpc, 或 sparc64 中的一种。 内核选项 cpu cpu I486_CPU cpu I586_CPU cpu I686_CPU 上面的选项指定了您系统中所使用的 CPU 类型。 您可以使用多个 CPU 类型 (例如， 您不确定是应该指定 I586_CPU 或 I686_CPU)。 然而对于定制的内核， 最好能够只指定您使用的那种 CPU。 如果您对于自己使用的 CPU 类型没有把握， 可以通过查看 /var/run/dmesg.boot 中的启动信息来了解。 内核选项 ident ident GENERIC 这是内核的名字。 您应该取一个自己的名字， 例如取名叫 MYKERNEL， 如果您一直在按照前面的说明做的话。 您放在 ident 后面的字符串在启动内核时会显示出来， 因此如果希望能够容易区分常用的内核和刚刚定制的内核， 就应该采取不同的名字 (例如， 您想定制一个试验性的内核)。 #To statically compile in device wiring instead of /boot/device.hints #hints "GENERIC.hints" # Default places to look for devices. &man.device.hints.5; 可以用来配置设备驱动选项。 在启动的时候 &man.loader.8; 将会检查缺省位置 /boot/devicehints。 使用 hints 选项您就可以把这些 hints 静态编译进内核。 这样就没有必要在 /boot下创建devicehints。 makeoptions DEBUG=-g # Build kernel with gdb(1) debug symbols 一般的 &os; 联编过程， 在所联编的内核指定了 选项时， 由于此选项将传递给 &man.gcc.1; 表示加入调试信息， 因此会将调试符号也包含进来。 options SCHED_4BSD # 4BSD scheduler 这是 &os; 传统上使用的默认系统调度器。 请保留此选项。 options PREEMPTION # Enable kernel thread preemption 允许内核线程根据优先级的抢占调度。 这有助于改善交互性， 并可以让中断线程更早地执行， 而无须等待。 options INET # InterNETworking 网络支持，即使您不打算连网，也请保留它，大部分的程序至少需要回环网络（就是和本机进行网络连接），所以强烈要求保留它。 options INET6 # IPv6 communications protocols 这将打开IPv6连接协议。 options FFS # Berkeley Fast Filesystem 这是最基本的硬盘文件系统，如果打算从本地硬盘启动，请保留它。 options SOFTUPDATES # Enable FFS Soft Updates support 这个选项会启用内核中的 Soft Updates 支持， 它会显著地提高磁盘的写入速度。 尽管这项功能是由内核直接提供的， 但仍然需要在每个磁盘上启用它。 请检查 &man.mount.8; 的输出， 以了解您系统中的磁盘上是否已经启用了 Soft Updates。 如果没有看到 soft-updates 选项， 则需要使用 &man.tunefs.8; (对于暨存系统) 或 &man.newfs.8; (对于新系统) 命令来激活它。 options UFS_ACL # Support for access control lists 这个选项将启用内核中的访问控制表的支持。 这依赖于扩展属性以及 UFS2， 以及在 中所介绍的那些特性。 ACL 默认是启用的， 并且如果已经在文件系统上使用了这一特性， 就不应再关掉它， 因为这会去掉文件的访问控制表， 并以不可预期的方式改变受保护的文件的访问方式。 options UFS_DIRHASH # Improve performance on big directories 通过使用额外的内存，这个选项可以加速在大目录上的磁盘操作。 您应该在大型服务器和频繁使用的工作站上打开这个选项，而在磁盘操作不是很重要的 小型系统上关闭它，比如防火墙。 options MD_ROOT # MD is a potential root device 这个选项将打开以基于内存的虚拟磁盘作为根设备的支持。 内核选项 NFS 内核选项 NFS_ROOT options NFSCLIENT # Network Filesystem Client options NFSSERVER # Network Filesystem Server options NFS_ROOT # NFS usable as /, requires NFSCLIENT 网络文件系统。 如果您不打算通过 TCP/IP 挂接 &unix; 文件服务器的分区， 就可以注释掉它。 内核选项 MSDOSFS options MSDOSFS # MSDOS Filesystem &ms-dos; 文件系统。 只要您不打算在启动时挂接由 DOS 格式化的硬盘分区， 就可以把它注释掉。 如前面所介绍的那样， 在您第一次挂接 DOS 分区时， 内核会自动加载需要的模块。 此外， emulators/mtools 软件提供了一个很方便的功能， 通过它您可以直接访问 DOS 软盘而无需挂接或卸下它们 (而且也完全不需要 MSDOSFS)。 options CD9660 # ISO 9660 Filesystem 用于 CDROM 的 ISO 9660 文件系统。 如果没有 CDROM 驱动器或很少挂接光盘数据 (因为在首次使用数据 CD 时会自动加载)， 就可以把它注释掉。 音乐 CD 并不需要这个选项。 options PROCFS # Process filesystem (requires PSEUDOFS) 进程文件系统。 这是一个挂接在 /proc 的一个 假扮的 文件系统， 其作用是允许类似 &man.ps.1; 这样的程序给出正在运行的进程的进一步信息。 多数情况下， 并不需要使用 PROCFS， 因为绝大多数调试和监控工具， 已经进行了一系列修改， 使之不再依赖 PROCFS： 默认安装的系统中并不会挂接这一文件系统。 options PSEUDOFS # Pseudo-filesystem framework 在 6.X 内核中， 如果希望使用 PROCFS， 就必须加入 PSEUDOFS 的支持。 options GEOM_GPT # GUID Partition Tables. 这个选项提供了在磁盘上使用大量的分区的能力。 options COMPAT_43 # Compatible with BSD 4.3 [KEEP THIS!] 使系统兼容4.3BSD。不要去掉这一行，不然有些程序将无法正常运行。 options COMPAT_FREEBSD4 # Compatible with &os;4 为了支持在旧版本的&os;下编译的程序，该选项在&os; 5.X &i386;和Alpha systems下需要打开。 最好在所有的&i386;和Alpha systems下打开这个选项，因为可能要运行老应用程序。 在5.X才开始支持的平台，比如ia64和&sparc64;，就不需要这个选项。 options COMPAT_FREEBSD5 # Compatible with &os;5 对于 &os; 6.X 和更高版本而言， 如果希望在其上运行为 &os; 5.X 版本联编的、 用到 &os; 5.X 系统调用接口的程序， 则需要使用这个选项。 options SCSI_DELAY=5000 # Delay (in ms) before probing SCSI 这将让内核在探测每个 SCSI 设备之前等待 5 秒。 如果您只有 IDE 硬盘驱动器， 就可以不管它， 反之您可能会希望尝试降低这个数值以加速启动过程。 当然， 如果您这么做之后 &os; 在识别您的 SCSI 设备时遇到问题， 则您还需要再把它改回去。 options KTRACE # ktrace(1) support 这个选项打开内核进程跟踪，在调试时很有用。 options SYSVSHM # SYSV-style shared memory 提供System V共享内存(SHM)的支持，最常用到SHM的应该是X Window的XSHM延伸， 不少绘图相关程序会自动使用SHM来提供额外的速度。如果您要使用X Window，您最好加入这个选项。 options SYSVMSG # SYSV-style message queues 支持 System V 消息。 这只会在内核中增加数百字节的空间占用。 options SYSVSEM # SYSV-style semaphores 支持System V 信号量， 不常用到， 但只在kernel中占用几百个字节的空间。 &man.ipcs.1; 命令的 选项可以显示出任何用到这些 System V 机制的进程。 options _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions 在 1993 年 &posix; 添加的实时扩展。 在 Ports Collection 中某些应用程序会用到这些 （比如&staroffice;）。 options KBD_INSTALL_CDEV # install a CDEV entry in /dev 这个选项是在 /dev下建立键盘设备节点必需的。 options ADAPTIVE_GIANT # Giant mutex is adaptive. 内核全局锁 (Giant) 是一种互斥机制 (休眠互斥体) 的名字， 它用于保护许多内核资源。 现在， 这已经成为了一种无法接受的性能瓶颈， 它已经被越来越多地使用保护单个资源的锁代替。 ADAPTIVE_GIANT 选项将使得内核全局锁作为一种自适应自旋锁。 这意味着， 当有线程希望锁住内核全局锁互斥体， 但互斥体已经被另一个 CPU 上的线程锁住的时候， 它将继续运行， 直到那个线程释放锁为止。 一般情况下， 另一个线程将进入休眠状态并等待下一次调度。 如果您不确定是否应该这样做的话， 一般应该打开它。 请注意在 &os; 8.0-CURRENT 及以后的版本，所有的互斥体默认都是自适应的， 除非在编译时使用 NO_ADAPTIVE_MUTEXES 选项， 明确的指定为非自适应。因此，内核全局锁（Giant）目前默认也是自适应的, 而且 ADAPTIVE_GIANT 选项已经从内核配置文件中移出。 内核选项 SMP device apic # I/O APIC apic 设备将启用使用 I/O APIC 作为中断发送设备的能力。 apic 设备可以被 UP 和 SMP 内核使用， 但 SMP 内核必须使用它。 要支持多处理器， 还需要加上 options SMP。 The apic device exists only on the i386 architecture, this configuration line should not be used on other architectures. device eisa 如果您的主机板上有EISA总线，加入这个设置。使用这个选项可以自动扫描并设置所有连接在EISA总线上的设备。 device pci 如果您的主板有PCI总线，就加入这个选项。使用这个选项可以自动扫描PCI卡，并在PCI到ISA之间建立通路。 # Floppy drives device fdc 这是软驱控制器。 # ATA and ATAPI devices device ata 这个驱动器支持所有ATA和ATAPI设备。您只要在内核中加入device ata选项， 就可以让内核支持现代计算机上的所有PCI ATA/ATAPI设备。 device atadisk # ATA disk drives 这个是使用 ATAPI 硬盘驱动器时必须加入的选项。 device ataraid # ATA RAID drives 这个选项需要 device ata， 它用于 ATA RAID 驱动。 device atapicd # ATAPI CDROM drives 这个是ATAPI CDROM驱动器所必须的。 device atapifd # ATAPI floppy drives 这个是ATAPI 软盘驱动器所必须的。 device atapist # ATAPI tape drives 这个是ATAPI 磁带机驱动器所必须的. options ATA_STATIC_ID # Static device numbering 这指定对控制器使用其静态的编号； 如果没有这个选项， 则会动态地分配设备的编号。 # SCSI Controllers device ahb # EISA AHA1742 family device ahc # AHA2940 and onboard AIC7xxx devices options AHC_REG_PRETTY_PRINT # Print register bitfields in debug # output. Adds ~128k to driver. device ahd # AHA39320/29320 and onboard AIC79xx devices options AHD_REG_PRETTY_PRINT # Print register bitfields in debug # output. Adds ~215k to driver. device amd # AMD 53C974 (Teckram DC-390(T)) device isp # Qlogic family #device ispfw # Firmware for QLogic HBAs- normally a module device mpt # LSI-Logic MPT-Fusion #device ncr # NCR/Symbios Logic device sym # NCR/Symbios Logic (newer chipsets + those of `ncr') device trm # Tekram DC395U/UW/F DC315U adapters device adv # Advansys SCSI adapters device adw # Advansys wide SCSI adapters device aha # Adaptec 154x SCSI adapters device aic # Adaptec 15[012]x SCSI adapters, AIC-6[23]60. device bt # Buslogic/Mylex MultiMaster SCSI adapters device ncv # NCR 53C500 device nsp # Workbit Ninja SCSI-3 device stg # TMC 18C30/18C50 SCSI控制器。可以注释掉您系统中没有的设备。 如果您只有IDE设备，您可以把这些一起删掉。 *_REG_PRETTY_PRINT 这样的配置， 则是对应驱动程序的调试选项。 # SCSI peripherals device scbus # SCSI bus (required for SCSI) device ch # SCSI media changers device da # Direct Access (disks) device sa # Sequential Access (tape etc) device cd # CD device pass # Passthrough device (direct SCSI access) device ses # SCSI Environmental Services (and SAF-TE) SSCSI外围设备。也可以像上面一样操作。 目前系统提供的 USB &man.umass.4; 以及少量其它驱动使用了 SCSI 子系统， 尽管它们并不是真的 SCSI 设备。 因此， 如果在内核配置使用了这类驱动程序， 请务必不要删除 SCSI 支持。 # RAID controllers interfaced to the SCSI subsystem device amr # AMI MegaRAID device arcmsr # Areca SATA II RAID device asr # DPT SmartRAID V, VI and Adaptec SCSI RAID device ciss # Compaq Smart RAID 5* device dpt # DPT Smartcache III, IV - See NOTES for options device hptmv # Highpoint RocketRAID 182x device rr232x # Highpoint RocketRAID 232x device iir # Intel Integrated RAID device ips # IBM (Adaptec) ServeRAID device mly # Mylex AcceleRAID/eXtremeRAID device twa # 3ware 9000 series PATA/SATA RAID # RAID controllers device aac # Adaptec FSA RAID device aacp # SCSI passthrough for aac (requires CAM) device ida # Compaq Smart RAID device mfi # LSI MegaRAID SAS device mlx # Mylex DAC960 family device pst # Promise Supertrak SX6000 device twe # 3ware ATA RAID 支持RAID控制器。如果您没有这些，可以把它们注释掉或是删掉。 # atkbdc0 controls both the keyboard and the PS/2 mouse device atkbdc # AT keyboard controller 键盘控制器（atkbdc）提供AT键盘输入以及PS/2指针设备的I/O服务。 键盘驱动程序（atkbd）与PS/2鼠标驱动程序（psm）需要这个控制器，所以不要删除它。 device atkbd # AT keyboard atkbd驱动程序，与atkbdc控制器一起使用， 提供连接到AT键盘控制器的AT 84键盘与AT加强型键盘的访问服务。 device psm # PS/2 mouse 如果您的鼠标连接到PS/2鼠标端口，就使用这个设备驱动程序。 device kbdmux # keyboard multiplexer 针对键盘多路选择器的基本支持。 如果您不打算使用多个键盘， 则可以放心地删除这一行。 device vga # VGA video card driver 显卡驱动。 device splash # Splash screen and screen saver support 启动时的 splash 画面！ 屏幕保护程序也需要这一选项。 # syscons is the default console driver, resembling an SCO console device sc sc 是默认的控制台驱动程序， 类似 SCO 控制台。 由于绝大部分全屏幕程序都通过类似 termcap 这样的终端数据库函数库赖访问控制台， 因此无论您使用这个或与 VT220 兼容的 vt 都没有什么关系。 如果您在运行这种控制台时使用全屏幕程序时发生问题， 请在登录之后将 TERM 变量设置为 scoansi。 # Enable this for the pcvt (VT220 compatible) console driver #device vt #options XSERVER # support for X server on a vt console #options FAT_CURSOR # start with block cursor 这是一个兼容 VT220 的控制台驱动， 它同时能够向下兼容 VT100/102。 在同 sc 硬件不兼容的一些笔记本上它能够运行的很好。 当然， 登录系统时请把 TERM 变量设置为 vt100 或 vt220。 此驱动在连接网络上大量不同的机器时也被证明非常有用， 因为此时 termcap 或 terminfo 通常没有可用的 sc 设备 — 而 vt100 则几乎每种平台都支持。 device agp 如果您的机器使用 AGP 卡， 请把上面一行加入配置。 这将启用 AGP， 以及某些卡上的 AGP GART 支持。 APM # 电源管理支持 (参见 NOTES 了解更多选项) #device apm 高级电源管理支持。对笔记本有用，不过在 GENERIC 里默认禁用。 # 增加 i8254 的 挂起/恢复 支持。 device pmtimer 用于电源管理事件， 例如 APM 和 ACPI 的时钟设备驱动。 # PCCARD (PCMCIA) support # PCMCIA and cardbus bridge support device cbb # cardbus (yenta) bridge device pccard # PC Card (16-bit) bus device cardbus # CardBus (32-bit) bus PCMCIA支持。如果您使用膝上型计算机，您需要这个。 # Serial (COM) ports device sio # 8250, 16[45]50 based serial ports 这些串口在 &ms-dos;/&windows; 的世界中称为 COM 口。 如果使用内置式的调制解调器， 并占用 COM4 而您另有一个串口在 COM2， 则必须把调制解调器的 IRQ 改为 2 (由于晦涩的技术原因， IRQ2 = IRQ 9) 才能够在 &os; 中访问它。 如果有多口的串口卡， 请参考 &man.sio.4; 以了解需要在 /boot/device.hints 中进行的设置。 某些显卡 (特别是基于 S3 芯片的卡) 使用形如 0x*2e8 的 IO 地址， 而许多廉价的串口卡不能够正确地对 16-位 IO 地址空间进行解码， 因此它们会产生冲突， 并造成 COM4 实际上无法使用。 每一个串口都需要有一个唯一的 IRQ (除非您使用支持中断分享的串口卡)， 因此默认的 COM3 和 COM4 IRQ 是不能使用的。 # Parallel port device ppc ISA-bus并行接口。 device ppbus # Parallel port bus (required) 提供并行总线的支持。 device lpt # Printer 提供并口打印机的支持。 要使用并口打印机，就必须同时加入上面三行设置。 device plip # TCP/IP over parallel 这是针对并行网络接口的驱动器。 device ppi # Parallel port interface device 普通用途的I/O (geek port) + IEEE1284 I/O. #device vpo # Requires scbus and da zip drive 这是针对Iomega Zip驱动器的。它要求scbus和da的支持。 最好的执行效果是工作在EPP 1.9模式。 #device puc 如果您有由 &man.puc.4; 支持的 哑 串行或并行 PCI 卡， 则应去掉这一行的注释。 # PCI Ethernet NICs. device de # DEC/Intel DC21x4x (Tulip) device em # Intel PRO/1000 adapter Gigabit Ethernet Card device ixgb # Intel PRO/10GbE Ethernet Card device txp # 3Com 3cR990 (Typhoon) device vx # 3Com 3c590, 3c595 (Vortex) 多种PCI网卡驱动器。注释或删除您系统中没有的设备. # PCI Ethernet NICs that use the common MII bus controller code. # NOTE: Be sure to keep the 'device miibus' line in order to use these NICs! device miibus # MII bus support MII总线支持对于一些PCI 10/100 Ethernet NIC来说是必需的。 device bce # Broadcom BCM5706/BCM5708 Gigabit Ethernet device bfe # Broadcom BCM440x 10/100 Ethernet device bge # Broadcom BCM570xx Gigabit Ethernet device dc # DEC/Intel 21143 and various workalikes device fxp # Intel EtherExpress PRO/100B (82557, 82558) device lge # Level 1 LXT1001 gigabit ethernet device msk # Marvell/SysKonnect Yukon II Gigabit Ethernet device nge # NatSemi DP83820 gigabit ethernet device nve # nVidia nForce MCP on-board Ethernet Networking device pcn # AMD Am79C97x PCI 10/100 (precedence over 'lnc') device re # RealTek 8139C+/8169/8169S/8110S device rl # RealTek 8129/8139 device sf # Adaptec AIC-6915 (Starfire) device sis # Silicon Integrated Systems SiS 900/SiS 7016 device sk # SysKonnect SK-984x & SK-982x gigabit Ethernet device ste # Sundance ST201 (D-Link DFE-550TX) device stge # Sundance/Tamarack TC9021 gigabit Ethernet device ti # Alteon Networks Tigon I/II gigabit Ethernet device tl # Texas Instruments ThunderLAN device tx # SMC EtherPower II (83c170 EPIC) device vge # VIA VT612x gigabit ethernet device vr # VIA Rhine, Rhine II device wb # Winbond W89C840F device xl # 3Com 3c90x (Boomerang, Cyclone) 使用MII总线控制器代码的驱动器。 # ISA Ethernet NICs. pccard NICs included. device cs # Crystal Semiconductor CS89x0 NIC # 'device ed' requires 'device miibus' device ed # NE[12]000, SMC Ultra, 3c503, DS8390 cards device ex # Intel EtherExpress Pro/10 and Pro/10+ device ep # Etherlink III based cards device fe # Fujitsu MB8696x based cards device ie # EtherExpress 8/16, 3C507, StarLAN 10 etc. device lnc # NE2100, NE32-VL Lance Ethernet cards device sn # SMC's 9000 series of Ethernet chips device xe # Xircom pccard Ethernet # ISA devices that use the old ISA shims #device le ISA 以太网卡驱动。 参见 /usr/src/sys/i386/conf/NOTES 以了解关于哪个驱动程序能够驱动您的网卡的细节。 # Wireless NIC cards device wlan # 802.11 support 通用 802.11 支持。 这行配置是无线网络所必需的。 device wlan_wep # 802.11 WEP support device wlan_ccmp # 802.11 CCMP support device wlan_tkip # 802.11 TKIP support 针对 802.11 设备的加密支持。 如果希望使用加密和 802.11i 安全协议， 就需要这些配置行。 device an # Aironet 4500/4800 802.11 wireless NICs. device ath # Atheros pci/cardbus NIC's device ath_hal # Atheros HAL (Hardware Access Layer) device ath_rate_sample # SampleRate tx rate control for ath device awi # BayStack 660 and others device ral # Ralink Technology RT2500 wireless NICs. device wi # WaveLAN/Intersil/Symbol 802.11 wireless NICs. #device wl # Older non 802.11 Wavelan wireless NIC. 用以支持多种无线网卡。 # Pseudo devices device loop # Network loopback 这是 TCP/IP 的通用回环设备。 如果您 telnet 或 FTP 到 localhost (也就是 127.0.0.1) 则将通过这个设备回到本机。 这个设备是 必需的。 device random # Entropy device Cryptographically secure random number generator. device ether # Ethernet support ether 只有在使用以太网卡时才需要。 它包含了通用的以太网协议代码。 device sl # Kernel SLIP sl 用以提供 SLIP 支持。 目前它几乎已经完全被 PPP 取代了， 因为后者更容易配置， 而且更适合调制解调器之间的连接， 并提供了更强大的功能。 device ppp # Kernel PPP 这一选项用以提供内核级的 PPP 支持， 用于拨号连接。 也有以用户模式运行的 PPP 实现， 使用 tun 并提供包括按需拨号在内的更为灵活的功能。 device tun # Packet tunnel. 它会被用户模式的 PPP 软件用到。 参考本书的 PPP 以了解更多的细节。 device pty # Pseudo-ttys (telnet etc) 这是一个 pseudo-terminal 或模拟登入端口。 它用来接收连入的 telnet 以及 rlogin 会话、 xterm， 以及一些其它程序如 Emacs 等。 device md # Memory disks 内存盘伪设备。 device gif # IPv6 and IPv4 tunneling 它实现了在 IPv4 上的 IPv6 隧道、 IPv6 上的 IPv4 隧道、 IPv4 上的 IPv4 隧道、 以及IPv6 上的 IPv6隧道。 gif 设备是 自动克隆 的， 它会根据需要自动创建设备节点。 device faith # IPv6-to-IPv4 relaying (translation) 这个伪设备能捕捉发给它的数据包，并把它们转发给 IPv4/IPv6 翻译服务程序。 # The `bpf' device enables the Berkeley Packet Filter. # Be aware of the administrative consequences of enabling this! # Note that 'bpf' is required for DHCP. device bpf # Berkeley packet filter 这是 Berkeley 包过滤器。这个伪设备允许网络接口被置于混杂模式， 从而，截获广播网 (例如，以太网) 上的每一个数据包。 截获的数据报可以保存到磁盘上，也可以使用 &man.tcpdump.1; 程序来分析。 &man.bpf.4; 设备也被用于 &man.dhclient.8; 来获取默认路由器(网关)的 IP 地址。如果使用DHCP，就不要注释掉这行。 # USB support device uhci # UHCI PCI->USB interface device ohci # OHCI PCI->USB interface device ehci # EHCI PCI->USB interface (USB 2.0) device usb # USB Bus (required) #device udbp # USB Double Bulk Pipe devices device ugen # Generic device uhid # Human Interface Devices device ukbd # Keyboard device ulpt # Printer device umass # Disks/Mass storage - Requires scbus and da device ums # Mouse device ural # Ralink Technology RT2500USB wireless NICs device urio # Diamond Rio 500 MP3 player device uscanner # Scanners # USB Ethernet, requires mii device aue # ADMtek USB Ethernet device axe # ASIX Electronics USB Ethernet device cdce # Generic USB over Ethernet device cue # CATC USB Ethernet device kue # Kawasaki LSI USB Ethernet device rue # RealTek RTL8150 USB Ethernet 支持各类 USB 设备。 # FireWire support device firewire # FireWire bus code device sbp # SCSI over FireWire (Requires scbus and da) device fwe # Ethernet over FireWire (non-standard!) 支持各类火线设备。 要了解 &os; 所支持的设备的其他情况， 请参考 /usr/src/sys/i386/conf/NOTES。 大内存支持(<acronym>PAE</acronym>) 物理地址扩展 (PAE) 大内存 大内存配置的机器需要超过４GB的虚拟地址。 因为4GB的限制，Intel在&pentium;及后续的CPUs上增加了36位物理地址的支持。 物理地址扩展 (PAE) 是 &intel; &pentium; Pro和后续的 CPU 提供的一种允许将内存地址扩展到 64GB 的功能， &os; 的所有最新版本均支持此功能， 并通过 选项来启用这个能力。 因为Intel架构的限制， 高于或低于 4GB 都没有什么区别， 超过 4GB 的内存分配只是简单地添加到可用内存池中。 为了让内核支持PAE，只要增加下面这一行到配置文件： options PAE PAE在&os;里面现在只能支持 &intel; IA-32处理器。 同时，还应该注意，&os;的PAE支持没有经过广泛的测试， 和其他稳定的特性相比只能当作是beta版。 PAE在&os;下有如下的一些限制： 进程不能接触大于4GB的VM空间。 没有使用 &man.bus.dma.9; 接口的设备驱动程序在打开了 PAE 支持的内核中会导致数据损坏。 因为这个原因， PAE 内核配置文件 会把所有在打开了 PAE 的内核上不能工作的驱动程序排除在外。 一些系统打开了探测系统内存资源使用能力的功能，因为打开了 PAE支持，这些功能可能会被覆盖掉。 其中一个例子就是内核参数，它是控制 内核能使用的最大vnodes数目的，建议重新调整它及其他类似参数到合适的值。 为了避免KVA的消耗，很有必要增加系统的内核虚拟地址， 或者减少很耗系统资源的内核选项的总量（看上面）。选项 可以用来增加KVA空间。 为了稳定和高性能，建议查看&man.tuning.7;手册页。&man.pae.4;手册页包含 &os;'sPAE支持的最新信息。 如果出现问题怎么办 在定制一个内核时，可能会出现四种问题。它们是： config失败： 如果 &man.config.8; 在给出您的内核描述时失败， 则可能在某些地方引入了一处小的错误。 幸运的是， &man.config.8; 会显示出它遇到问题的行号， 这样您就能够迅速地定位错误。 例如， 如果您看到： config: line 17: syntax error 可以通过与 GENERIC 或其他参考资料对比， 来确定这里的关键词是否拼写正确。 make失败： 如果 make 命令失败， 它通常表示内核描述中发生了 &man.config.8; 无法找出的的错误。 同样地， 仔细检查您的配置， 如果仍然不能解决问题， 发一封邮件到 &a.questions; 并附上您的内核配置， 则问题应该很快就能解决。 内核无法启动： 如果您的内核无法启动， 或不识别您的设备， 千万别慌！ 非常幸运的是， &os; 有一个很好的机制帮助您从不兼容的内核恢复。 在 &os; 启动加载器那里简单地选择一下要启动的内核就可以了。 当系统在引导菜单的 10 秒倒计时时进入它， 方法是选择 Escape to a loader prompt 选项， 其编号为 6。 输入 unload kernel， 然后输入 boot /boot/kernel.old/kernel， 或者其他任何一个可以正确引导的内核即可。 当重新配置内核时， 保持一个已经证明能够正常启动的内核永远是一个好习惯。 当使用好的内核启动之后您可以检查配置文件并重新尝试编译它。 比较有用的资源是 /var/log/messages 文件， 它会记录每次成功启动所产生的所有内核消息。 此外， &man.dmesg.8; 命令也会显示这次启动时产生的内核消息。 如果在编译内核时遇到麻烦， 请务必保留一个 GENERIC 或已知可用的其他内核， 并命名为别的名字以免在下次启动时被覆盖。 不要依赖 kernel.old 因为在安装新内核时， kernel.old 会被上次安装的那个可能不正常的内核覆盖掉。 另外， 尽快把可用的内核挪到 /boot/kernel 否则类似 &man.ps.1; 这样的命令可能无法正常工作。 为了完成这一点， 需要修改目录的名字： &prompt.root; mv /boot/kernel /boot/kernel.bad &prompt.root; mv /boot/kernel.good /boot/kernel 内核工作，但是&man.ps.1;根本不工作: 如果您安装了一个与系统中内建工具版本不同的内核， 例如在 -STABLE 系统上安装了 -CURRENT 的内核， 许多用于检查系统状态的工具如 &man.ps.1; 和 &man.vmstat.8; 都将无法正常使用。 您应该 重新编译一个和内核版本一致的系统。 这也是为什么一般不鼓励使用与系统其他部分版本不同的内核的一个主要原因。 diff --git a/zh_CN.GB2312/books/handbook/linuxemu/chapter.sgml b/zh_CN.GB2312/books/handbook/linuxemu/chapter.sgml index 6410cfed54..f1b5c70db8 100644 --- a/zh_CN.GB2312/books/handbook/linuxemu/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/linuxemu/chapter.sgml @@ -1,3029 +1,3053 @@ Jim Mock Restructured and parts updated by Brian N. Handy Originally contributed by Rich Murphey Linux二进制兼容模式 概述 Linux二进制兼容模式 二进制兼容模式 Linux FreeBSD 提供了与其他几种类 &unix; 操作系统， 包括 Linux， 的兼容性。 现在您可能会问， 为什么 FreeBSD 需要能够运行 Linux 的可执行文件？ 答案很简单。 许多公司和开发人员只为 Linux 开发程序， 因为这是目前计算机世界 最热门 的技术。 这使得我们 FreeBSD 用户不得不去劝说这些公司和开发人员提供他们应用程序可以直接在 FreeBSD 上运行的版本。 问题是， 许多这样的公司并不真的知道到底提供了 FreeBSD 版本之后能带来多少用户， 因此许多仍然只开发 Linux 的版本。 这时 FreeBSD 用户能做什么呢？ 答案就是使用 FreeBSD 所提供的 Linux 二进制兼容性。 简而言之， 这种兼容性能够让 FreeBSD 用户不加修改地直接运行大约 90% 的 Linux 应用程序。 这包括类似 &staroffice;， Linux 版本的 &netscape;， &adobe; &acrobat;， &realplayer;， VMware， &oracle;， &wordperfect;， Doom， Quake， 等等。 此外， 也有人说， 某些情况下， 在 FreeBSD 上面运行的 Linux 程序的性能， 甚至好于直接在 Linux 上面运行。 然而， 仍然有一些只有 Linux 才有的操作系统特性在 FreeBSD 上并不被支持。 如果 Linux 程序过分地使用只能在 &i386; 上使用的特性， 例如启用虚拟 8086 模式， 则也有可能无法在 FreeBSD 上运行。 读完这章，您将了解到： 如何在您的系统中启用Linux兼容模式。 如何安装额外的Linux共享库。 如何在FreeBSD上安装Linux应用程序。 在FreeBSD上，Linux兼容模式的执行细节。 阅读这章之前，您应该知道： 如何安装第三方软件（）。 安装 KLD (kernel loadable object) 默认情况下， 并不开启 Linux 二进制兼容支持。 启用这一功能最简单的方法是载入 linux KLD 模块 (Kernel LoaDable object)。 以 root 的身份， 键入下列命令即可： &prompt.root; kldload linux 如果希望 Linux 兼容支持在系统初始化过程中自动启用， 则应在 /etc/rc.conf 中增加： linux_enable="YES" &man.kldstat.8;可以用来检查KLD模块是否加载： &prompt.user; kldstat Id Refs Address Size Name 1 2 0xc0100000 16bdb8 kernel 7 1 0xc24db000 d000 linux.ko kernel options (内核选项) COMPAT_LINUX 如果您不想或者无法将Linux KLD加载，您就需要在内核中静态链接进Linux二进制兼容模式。您必须在 您的内核配置文件里面加入options COMPAT_LINUX，然后按照重新编译内核。 安装Linux运行时库 Linux 安装Linux运行时库 有两种方法来安装Linux运行时库，要么使用linux_base port， 要么手动安装。 通过使用 linux_base Port 来安装 Ports Collection 这是最容易的安装方法，只需要像安装其他port一样从 Ports Collection来安装： - &prompt.root; cd /usr/ports/emulators/linux_base-fc4 + &prompt.root; cd /usr/ports/emulators/linux_base-f10 &prompt.root; make install distclean + + 对于 &os; 8.0 之前的版本的 &os; 系统， + 你需要使用 emulators/linux_base-fc4 port + 而不是 emulators/linux_base-f10。 + + 您现在应当是工作在Linux兼容模式下了。一些程序可能会提示系统库的版本不正确。通常，这不是问题。 有多个版本的emulators/linux_base port，针对不同的版本的Linux。 您应该选择最接近Linux应用程序需要的那个版本来安装。 手动安装 如果您没有安装 Ports Collection，您也可以通过手动来安装Linux运行时库。 您将需要这些程序依赖的Linux共享库，而且您需要创建一个shadow root 目录/compat/linux，任何要被Linux程序打开的共享库都首先在这个目录里面查找。 所以，如果一个Linux程序加载了，例如，/lib/libc.so，FreeBSD 会首先尝试打开 /compat/linux/lib/libc.so，如果不存在，它将尝试打开/lib/libc.so。 共享库应该安装在/compat/linux/lib而不是Linux ld.so报告的其他路径。 通常，您需要寻找Linux程序依赖的共享库。 此后， 你的系统上就会有一组 Linux 共享库， 这组共享库足以用来运行新安装的 Linux 二进制程序。 如何安装额外的共享库 共享库 如果您安装了linux_base port，但是您的 您的应用程序仍会报告丢失共享库的信息？您如何知道Linux程序需要哪个共享库？ 基本上，有两种可能性（接下来的指令需要root权限）： 如果您有可以访问的Linux系统， 看看应用程序需要什么共享库， 把它们复制到您的FreeBSD系统。看下面的例子： 我们假设您通过FTP得到Linux程序Doom， 并把它放在您能访问的Linux系统上。然后您可以通过ldd linuxdoom来检查需要哪些共享库， 就像这样： &prompt.user; ldd linuxdoom libXt.so.3 (DLL Jump 3.1) => /usr/X11/lib/libXt.so.3.1.0 libX11.so.3 (DLL Jump 3.1) => /usr/X11/lib/libX11.so.3.1.0 libc.so.4 (DLL Jump 4.5pl26) => /lib/libc.so.4.6.29 符号链接 您需要得到上面输出的右列的所有文件，并把它们复制到 /compat/linux， 第一列的名字用符号连接指向它们。这样您的FreeBSD系统上就有了这些文件： /compat/linux/usr/X11/lib/libXt.so.3.1.0 /compat/linux/usr/X11/lib/libXt.so.3 -> libXt.so.3.1.0 /compat/linux/usr/X11/lib/libX11.so.3.1.0 /compat/linux/usr/X11/lib/libX11.so.3 -> libX11.so.3.1.0 /compat/linux/lib/libc.so.4.6.29 /compat/linux/lib/libc.so.4 -> libc.so.4.6.29
如果您已经有了一个与ldd 输出的第一列的主修订号相匹配的Linux共享库， 您就已经完成了工作， 而不需要把右列命名的文件复制到您的系统上了。 如果有一个新的版本， 那无论如何都要复制一个共享库。 您可以删掉旧的， 您只要做一个符号连接到新的版本。 所以，如果有这些库在您的系统上： /compat/linux/lib/libc.so.4.6.27 /compat/linux/lib/libc.so.4 -> libc.so.4.6.27 如果您根据ldd输出的发现需要一个更新版本的库： libc.so.4 (DLL Jump 4.5pl26) -> libc.so.4.6.29 如果结尾的数字只有一到两个版本过期，那也不要担心复制 /lib/libc.so.4.6.29， 因为程序在稍微旧一些的版本上也能很好地工作。 然而，如果喜欢的话，您可以替换libc.so，变成这样： /compat/linux/lib/libc.so.4.6.29 /compat/linux/lib/libc.so.4 -> libc.so.4.6.29
符号链接机制 仅仅是 Linux 程序需要的。 FreeBSD 的运行时连接器会自己寻找匹配的主修订号，您不需要为此担心。
安装Linux ELF程序 Linux ELF程序 ELF格式的程序需要一步额外的步骤标记。如果您尝试运行没有标记的ELF程序， 您会得到像下面这样的错误信息： &prompt.user; ./my-linux-elf-binary ELF binary type not known Abort 为了帮助FreeBSD内核分辨FreeBSD ELF程序和Linux程序，要使用&man.brandelf.1;工具： &prompt.user; brandelf -t Linux my-linux-elf-binary GNU工具 GNU工具现在会自动把适当的标记信息放到ELF程序中，您以后遇到这个问题的机会越来越少。 + + 安装各种基于 RPM 的应用程序 + + FreeBSD 使用自己的包数据库来跟踪所有的 ports (包括 &linux; ports)。 + 所以无法使用(不支持) &linux; RPM 数据库。 + + 如果你需要安装任意的一个基于 RPM 的 &linux; 应用程序， + 可以通过一下的步骤完成： + + &prompt.root; cd /compat/linux +&prompt.root; rpm2cpio -q < /path/to/linux.archive.rpm | cpio -id + + 然后对已安装的 ELF 二进制程序(不包括库)运行 brandelf。 + 用此种方法安装的程序不能被完全卸载， 但是可能有助于做些测试。 + + 配置主机名解析器 如果DNS不能正常工作或是您得到下列信息： resolv+: "bind" is an invalid keyword resolv+: "hosts" is an invalid keyword 您就需要配置/compat/linux/etc/host.conf文件，此文件包含： order hosts, bind multi on order这一行指出/etc/hosts先被搜索再接着搜索DNS。 如果/compat/linux/etc/host.conf没有被安装，Linux程序会读取FreeBSD的 /etc/host.conf然后提示不兼容的FreeBSD语法。 如果您没有使用/etc/resolv.conf 文件设置DNS，应该删除bind。 Boris Hollas Updated for Mathematica 5.X by 安装&mathematica; applications Mathematica 这份文档介绍了如何在 FreeBSD 系统中安装 Linux 版本的 &mathematica; 5.X。 Linux 版本的 &mathematica; 或 &mathematica; for Students 可以直接从 Wolfram 的 订购。 运行 &mathematica; 安装程序 首先您应告诉 &os; &mathematica; 的 Linux 可执行文件需要使用 Linux ABI。 达到这一目的最简单的办法， 是将未加标志的可执行文件的默认 ELF 标记为 Linux， 输入下面的命令： &prompt.root; sysctl kern.fallback_elf_brand=3 这回让 &os; 假定所有未加标志的 ELF 可执行文件， 都应使用 Linux ABI， 这样就可以直接从 CDROM 执行安装程序了。 接下来， 需要将 MathInstaller 复制到硬盘上： &prompt.root; mount /cdrom &prompt.root; cp /cdrom/Unix/Installers/Linux/MathInstaller /localdir/ 在这个文件的第一行中， 将 /bin/sh 改为 /compat/linux/bin/sh。 这样就能确保安装程序是使用 Linux 版本的 &man.sh.1; 来运行的。 接下来， 使用文本编辑器或下面的脚本， 把所有的 Linux) 替换为 FreeBSD)。 由于 &mathematica; 安装程序会调用 uname -s 来检测操作系统， 这样做能够让它视 &os; 为一种 类-Linux 操作系统。 现在执行 MathInstaller 就能安装 &mathematica; 了。 修改 &mathematica; 执行文件 在安装 &mathematica; 的过程中所创建的脚本， 必须首先进行适当的修改才能使用。 如果您选择将 /usr/local/bin 作为 &mathematica; 可执行文件的安装路径， 则可以在这个目录中找到一些到名为 math、 mathematica、 Mathematica， 以及 MathKernel 的文件的符号连接。 您可以使用文本编辑器， 或者下面的 shell 脚本来将这些文件中的 Linux) 改为 FreeBSD)： #!/bin/sh cd /usr/local/bin for i in math mathematica Mathematica MathKernel do sed 's/Linux)/FreeBSD)/g' $i > $i.tmp sed 's/\/bin\/sh/\/compat\/linux\/bin\/sh/g' $i.tmp > $i rm $i.tmp chmod a+x $i done 获得您的&mathematica; 密码 以太网 MAC地址 在首次启动 &mathematica; 时， 您将被问及一个密码。 如果您还未从 Wolfram 获得密码， 则安装目录中的 mathinfo 可以帮助您获得 machine ID (计算机 ID)。 这个计算机 ID 取决于您第一块以太网卡的 MAC 地址， 以确保您不在多台机器上运行 &mathematica;。 在通过电子邮件、 电话或传真向 Wolfram 注册时， 您需要向他们提供 machine ID， 探后它们会给您一个与之对应的由一组数字组成的密码。 通过网络来运行&mathematica; &mathematica; 使用一些特殊的字体来显示字符， 与现在使用的标准字体不一样（integrals, sums, Greek letters,等等）。 X协议要求将这些字体安装在 本地。 这意味着您需要从&mathematica;的CDROM里面复制这些字体并安装到本地。 这些字体一般在CDROM的/cdrom/Unix/Files/SystemFiles/Fonts里面， 或本地硬盘的/usr/local/mathematica/SystemFiles/Fonts。 实际的字体在Type1和X子目录。有很多种方法来使用它们。 第一种方法是把字体复制到一个已存在的目录/usr/X11R6/lib/X11/fonts。 这需要编辑fonts.dir文件。添加字体名字进去，并改变第一行的字体数目。 另外，您也需要在复制字体的目录下执行&man.mkfontdir.1;。 第二种方法是复制到 /usr/X11R6/lib/X11/fonts 目录： &prompt.root; cd /usr/X11R6/lib/X11/fonts &prompt.root; mkdir X &prompt.root; mkdir MathType1 &prompt.root; cd /cdrom/Unix/Files/SystemFiles/Fonts &prompt.root; cp X/* /usr/X11R6/lib/X11/fonts/X &prompt.root; cp Type1/* /usr/X11R6/lib/X11/fonts/MathType1 &prompt.root; cd /usr/X11R6/lib/X11/fonts/X &prompt.root; mkfontdir &prompt.root; cd ../MathType1 &prompt.root; mkfontdir 现在，添加新的字体目录到您的字体目录： &prompt.root; xset fp+ /usr/X11R6/lib/X11/fonts/X &prompt.root; xset fp+ /usr/X11R6/lib/X11/fonts/MathType1 &prompt.root; xset fp rehash 如果您正使用 &xorg; 服务器， 则可以通过修改 xorg.conf 文件来自动加载它们。 对于 &xfree86; 服务器， 配置文件的名字是 XF86Config。 fonts 如果您没有一个叫/usr/X11R6/lib/X11/fonts/Type1的目录， 您可以把MathType1改成Type1。 Aaron Kaplan Contributed by Robert Getschmann Thanks to 安装&maple; 应用程序 Maple &maple;是一个类似于&mathematica;的商业数学软件。 您可以从买到这个软件并注册得到一个使用许可。 要在FreeBSD上安装这个软件，请按照下面的步骤： 从软件的发行包执行INSTALL shell脚本。当进入安装程序的提示符时， 选择RedHat 选项。典型的安装目录是/usr/local/maple。 如果您不这样做，可以从Maple Waterloo Software () 为 &maple; 订购一个授权许可。 然后把它复制到 /usr/local/maple/license/license.dat。 通过运行&maple;中的INSTALL_LIC安装shell脚本来 安装FLEXlm许可管理器。 指定许可服务器为您的机器名。 像下面这样Patch您的/usr/local/maple/bin/maple.system.type 文件： ----- snip ------------------ *** maple.system.type.orig Sun Jul 8 16:35:33 2001 --- maple.system.type Sun Jul 8 16:35:51 2001 *************** *** 72,77 **** --- 72,78 ---- # the IBM RS/6000 AIX case MAPLE_BIN="bin.IBM_RISC_UNIX" ;; + "FreeBSD"|\ "Linux") # the Linux/x86 case # We have two Linux implementations, one for Red Hat and ----- snip end of patch ----- 请注意"FreeBSD"|\后面没有空格。 这个补丁指示&maple;把FreeBSD识别为一种Linux系统。 bin/maple shell脚本调用bin/maple.system.type 脚本执行uname -a来查找操作系统名，根据操作系统名，就知道该使用哪个程序。 启动许可服务器。 下面的脚本，安装成/usr/local/etc/rc.d/lmgrd.sh， 是很方便的启动lmgrd的方法： ----- snip ------------ #! /bin/sh PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/usr/X11R6/bin PATH=${PATH}:/usr/local/maple/bin:/usr/local/maple/FLEXlm/UNIX/LINUX export PATH LICENSE_FILE=/usr/local/maple/license/license.dat LOG=/var/log/lmgrd.log case "$1" in start) lmgrd -c ${LICENSE_FILE} 2>> ${LOG} 1>&2 echo -n " lmgrd" ;; stop) lmgrd -c ${LICENSE_FILE} -x lmdown 2>> ${LOG} 1>&2 ;; *) echo "Usage: `basename $0` {start|stop}" 1>&2 exit 64 ;; esac exit 0 ----- snip ------------ 开始测试&maple;： &prompt.user; cd /usr/local/maple/bin &prompt.user; ./xmaple 您应该成功启动起来了。记得写信告诉Maplesoft您想要一个本地FreeBSD版本！ 一些缺陷 FLEXlm许可管理器可能是一个使用比较困难的工具。 关于它的额外的文档可以在找到。 lmgrd对许可文件非常挑剔，有一点问题就会core dump。 正确的许可文件看起来像下面这样： # ======================================================= # License File for UNIX Installations ("Pointer File") # ======================================================= SERVER chillig ANY #USE_SERVER VENDOR maplelmg FEATURE Maple maplelmg 2000.0831 permanent 1 XXXXXXXXXXXX \ PLATFORMS=i86_r ISSUER="Waterloo Maple Inc." \ ISSUED=11-may-2000 NOTICE=" Technische Universitat Wien" \ SN=XXXXXXXXX 序列号被'X'代替了。 chillig是主机名。 只要不修改FEATURE行，编辑后一般都能工作。 Dan Pelleg Contributed by 安装&matlab; 应用程序 MATLAB 这一节描述在一个 &os; 上安装Linux版本的&matlab; version 6.5。 它工作的很好，除了&java.virtual.machine;例外（参考 ）。 Linux版本的&matlab;可以从MathWorks订购。请确定您也得到了许可文件或安装说明。 等您成功后，让他们知道您想要一个本地&os;版本。 安装&matlab; 请按照下面的步骤安装&matlab;： 以root身份插入安装CD并挂载上。 推荐使用安装脚本，为了启动安装脚本，键入： &prompt.root; /compat/linux/bin/sh /cdrom/install 安装程序是图形的。如果您得到不能打开显示的错误，可以键入 setenv HOME ~USER， USER是您&man.su.1;成的用户。 当问&matlab;的根目录时，键入： /compat/linux/usr/local/matlab。 为了下面的安装过程更方便，在shell提示符下键入 set MATLAB=/compat/linux/usr/local/matlab 根据获得&matlab;许可时的指示来编辑许可文件。 您可以用您喜欢的编辑器提前准备这个文件， 并在安装程序要您编辑它之前复制到 $MATLAB/license.dat 完成安装过程 到这里，您的&matlab;安装已经完成了。 接下来的步骤是让它和您的&os; 系统胶合在一起。 许可管理器的启动 为许可管理器建立符号链接的脚本： &prompt.root; ln -s $MATLAB/etc/lmboot /usr/local/etc/lmboot_TMW &prompt.root; ln -s $MATLAB/etc/lmdown /usr/local/etc/lmdown_TMW 建立启动文件/usr/local/etc/rc.d/flexlm.sh。 下面的例子是一个$MATLAB/etc/rc.lm.glnx86的修改版本。 变化的是文件的位置，和模拟Linux下许可管理器的启动。 #!/bin/sh case "$1" in start) if [ -f /usr/local/etc/lmboot_TMW ]; then /compat/linux/bin/sh /usr/local/etc/lmboot_TMW -u username && echo 'MATLAB_lmgrd' fi ;; stop) if [ -f /usr/local/etc/lmdown_TMW ]; then /compat/linux/bin/sh /usr/local/etc/lmdown_TMW > /dev/null 2>&1 fi ;; *) echo "Usage: $0 {start|stop}" exit 1 ;; esac exit 0 必须使脚本文件可执行： &prompt.root; chmod +x /usr/local/etc/rc.d/flexlm.sh 您也必须替换username为机器上的一个用户（不要是root）。 用命令启动许可管理器： &prompt.root; /usr/local/etc/rc.d/flexlm.sh start 链接&java;运行时环境 改变&java;运行时环境（JRE），链接到一个可以工作的版本： &prompt.root; cd $MATLAB/sys/java/jre/glnx86/ &prompt.root; unlink jre; ln -s ./jre1.1.8 ./jre 创建&matlab;启动脚本 把下面的启动脚本放到/usr/local/bin/matlab： #!/bin/sh /compat/linux/bin/sh /compat/linux/usr/local/matlab/bin/matlab "$@" 然后输入命令chmod +x /usr/local/bin/matlab。 依赖于您的emulators/linux_base版本， 您在运行这个脚本时可能会出错，为了避免错误，编辑/compat/linux/usr/local/matlab/bin/matlab， 把这行： if [ `expr "$lscmd" : '.*->.*'` -ne 0 ]; then （在13.0.1版本是在第410行）改成： if test -L $newbase; then Creating a &matlab; Shutdown Script The following is needed to solve a problem with &matlab; not exiting correctly. Create a file $MATLAB/toolbox/local/finish.m, and in it put the single line: ! $MATLAB/bin/finish.sh The $MATLAB is literal. In the same directory, you will find the files finishsav.m and finishdlg.m, which let you save your workspace before quitting. If you use either of them, insert the line above immediately after the save command. Create a file $MATLAB/bin/finish.sh, which will contain the following: #!/usr/compat/linux/bin/sh (sleep 5; killall -1 matlab_helper) & exit 0 Make the file executable: &prompt.root; chmod +x $MATLAB/bin/finish.sh 使用&matlab; 现在您已经可以键入 matlab 并开始使用它了。 Marcel Moolenaar Contributed by 安装&oracle; 应用程序 Oracle 前言 这节描述在FreeBSD上安装Linux版的&oracle; 8.0.5和&oracle; 8.0.5.1 Enterprise Edition。 安装Linux环境 确信您已经从 Ports Collection 安装了 emulators/linux_base 和 devel/linux_devtools。 如果在使用这些 port 时遇到困难， 您可能就不得不从 package， 或使用较早版本的 Ports Collection 来安装。 如果要运行智能代理， 您还需要安装 Red Hat Tcl 软件包： tcl-8.0.3-20.i386.rpm。 用于安装官方的 RPM (archivers/rpm) 软件包的命令是： &prompt.root; rpm -i --ignoreos --root /compat/linux --dbpath /var/lib/rpm package 包的安装通常不会出错。 创建&oracle;环境 安装&oracle;之前，您需要设置正确的环境。 这节只描述了在FreeBSD下安装Linux版本&oracle;需要特别注意的地方。 不像在&oracle;安装指南中所描述的那样。 调整内核 调整内核 正如&oracle;安装指南描述的那样，您需要设置共享内存的最大值。 不要在FreeBSD下使用SHMMAX，SHMMAX 只是用来计算SHMMAXPGS和PGSIZE的。 因此要使用SHMMAXPGS。所有其他要使用的选项可以参考指南，例如： options SHMMAXPGS=10000 options SHMMNI=100 options SHMSEG=10 options SEMMNS=200 options SEMMNI=70 options SEMMSL=61 设置这些选项来适应 &oracle;的使用。 当然，确信您的内核配置文件中有下面这些选项： options SYSVSHM #SysV shared memory options SYSVSEM #SysV semaphores options SYSVMSG #SysV interprocess communication &oracle;帐号 创建一个oracle帐号，正如您创建其他帐号一样。 oracle 帐号特殊的地方是您需要给它一个Linux shell。 添加/compat/linux/bin/bash到/etc/shells， 然后设置oracle帐号的shell为/compat/linux/bin/bash。 环境 除了普通的&oracle;变量外， 比如ORACLE_HOME和ORACLE_SID，您还必须设置下面的环境变量： 变量 值 LD_LIBRARY_PATH $ORACLE_HOME/lib CLASSPATH $ORACLE_HOME/jdbc/lib/classes111.zip PATH /compat/linux/bin /compat/linux/sbin /compat/linux/usr/bin /compat/linux/usr/sbin /bin /sbin /usr/bin /usr/sbin /usr/local/bin $ORACLE_HOME/bin 建议在.profile里面设置所有的环境变量。一个完整的例子是： ORACLE_BASE=/oracle; export ORACLE_BASE ORACLE_HOME=/oracle; export ORACLE_HOME LD_LIBRARY_PATH=$ORACLE_HOME/lib export LD_LIBRARY_PATH ORACLE_SID=ORCL; export ORACLE_SID ORACLE_TERM=386x; export ORACLE_TERM CLASSPATH=$ORACLE_HOME/jdbc/lib/classes111.zip export CLASSPATH PATH=/compat/linux/bin:/compat/linux/sbin:/compat/linux/usr/bin PATH=$PATH:/compat/linux/usr/sbin:/bin:/sbin:/usr/bin:/usr/sbin PATH=$PATH:/usr/local/bin:$ORACLE_HOME/bin export PATH 安装&oracle; 由于 Linux 模拟器的一处小小的差异， 您必须在 /var/tmp 中创建一个名为 .oracle 的目录才能够启动安装程序。 需要把它设置为属于 oracle 用户。 接下来， 您就可以毫无问题地安装 &oracle; 了。 如果您遇到问题， 请首先检查 &oracle; 软件包和/或配置文件！安装完 &oracle; 之后， 使用下面两节中所说的补丁。 一个比较常见的问题是 TCP 协议适配器安装不正确。 其结果是将无法进行任何的 TCP 侦听。 下面的操作将帮助解决此问题： &prompt.root; cd $ORACLE_HOME/network/lib &prompt.root; make -f ins_network.mk ntcontab.o &prompt.root; cd $ORACLE_HOME/lib &prompt.root; ar r libnetwork.a ntcontab.o &prompt.root; cd $ORACLE_HOME/network/lib &prompt.root; make -f ins_network.mk install 不要忘记了再运行一下root.sh！ 修补root.sh 从CD安装&oracle;时，一些工作需要在root下执行， 这些工作都被记录在一个叫root.sh的脚本里面。这个脚本被写在orainst目录。 为了使用root.sh来正确定位chown或在Linux本地shell下执行脚本， 应该对它进行修补。 *** orainst/root.sh.orig Tue Oct 6 21:57:33 1998 --- orainst/root.sh Mon Dec 28 15:58:53 1998 *************** *** 31,37 **** # This is the default value for CHOWN # It will redefined later in this script for those ports # which have it conditionally defined in ss_install.h ! CHOWN=/bin/chown # # Define variables to be used in this script --- 31,37 ---- # This is the default value for CHOWN # It will redefined later in this script for those ports # which have it conditionally defined in ss_install.h ! CHOWN=/usr/sbin/chown # # Define variables to be used in this script 当您不从CD安装&oracle;时， 您可以从源代码来修补root.sh。 它叫做rthd.sh，定位在源代码树的orainst目录。 修补genclntsh genclntsh脚本用来创建一个简单的共享客户端库。在建立demos时被使用。 完成补丁后就注释掉了下面的PATH变量： *** bin/genclntsh.orig Wed Sep 30 07:37:19 1998 --- bin/genclntsh Tue Dec 22 15:36:49 1998 *************** *** 32,38 **** # # Explicit path to ensure that we're using the correct commands #PATH=/usr/bin:/usr/ccs/bin export PATH ! PATH=/usr/local/bin:/bin:/usr/bin:/usr/X11R6/bin export PATH # # each product MUST provide a $PRODUCT/admin/shrept.lst --- 32,38 ---- # # Explicit path to ensure that we're using the correct commands #PATH=/usr/bin:/usr/ccs/bin export PATH ! #PATH=/usr/local/bin:/bin:/usr/bin:/usr/X11R6/bin export PATH # # each product MUST provide a $PRODUCT/admin/shrept.lst 运行&oracle; 如果您已经按上面的指示去操作，您应该可以像在Linux下运行&oracle;了。 Holger Kipp Contributed by Valentino Vaschetto Original version converted to SGML by 安装&sap.r3; 应用程序 SAP R/3 在FreeBSD上安装的&sap;系统不会被&sap; 支持团队— 所支持——他们只支持某些特定的平台。 前言 这篇文章描述了在FreeBSD系统上安装一个带有&oracle; Database for Linux的&sap.r3; System，包括 FreeBSD的安装和&oracle;的安装。 下面将描述两个不同的配置： 在FreeBSD 4.3-STABLE上安装带有&oracle; 8.0.5 的&sap.r3; 4.6B (IDES)。 在FreeBSD 4.5-STABLE上安装带有&oracle; 8.1.7的 &sap.r3; 4.6C。 虽然这篇文章深入地描述了许多重要的安装步骤，但它不能取代&oracle;和 &sap.r3;的安装指南。 请参考&sap.r3; Linux edition自带的文档和 &oracle;的特殊问题。 软件 下面的CD-ROMs被用作&sap;的安装： &sap.r3; 4.6B, &oracle; 8.0.5 名称 号码 描述 KERNEL 51009113 SAP Kernel Oracle / Installation / AIX, Linux, Solaris RDBMS 51007558 Oracle / RDBMS 8.0.5.X / Linux EXPORT1 51010208 IDES / DB-Export / Disc 1 of 6 EXPORT2 51010209 IDES / DB-Export / Disc 2 of 6 EXPORT3 51010210 IDES / DB-Export / Disc 3 of 6 EXPORT4 51010211 IDES / DB-Export / Disc 4 of 6 EXPORT5 51010212 IDES / DB-Export / Disc 5 of 6 EXPORT6 51010213 IDES / DB-Export / Disc 6 of 6 此外，我们使用&oracle; 8 Server （Linux版本的8.0.5预览版，Linux内核是2.0.33）和 FreeBSD 4.3-STABLE。 &sap.r3; 4.6C SR2, &oracle; 8.1.7 名称 号码 描述 KERNEL 51014004 SAP Kernel Oracle / SAP Kernel Version 4.6D / DEC, Linux RDBMS 51012930 Oracle 8.1.7/ RDBMS / Linux EXPORT1 51013953 Release 4.6C SR2 / Export / Disc 1 of 4 EXPORT1 51013953 Release 4.6C SR2 / Export / Disc 2 of 4 EXPORT1 51013953 Release 4.6C SR2 / Export / Disc 3 of 4 EXPORT1 51013953 Release 4.6C SR2 / Export / Disc 4 of 4 LANG1 51013954 Release 4.6C SR2 / Language / DE, EN, FR / Disc 1 of 3 依赖于您要安装的语言，可能需要额外的语言CDs。 这儿我们只使用DE和EN，所以只需要第一张语言CD。 还要注意的是所有EXPORT CDs的号码是一样的。 其他3张语言CDs的号码也一样（这和4.6B IDES release CD的号码不同）。 &sap; Notes 安装使用&sap.r3;之前，请先看看下面的注释： &sap.r3; 4.6B, &oracle; 8.0.5 号码 标题 0171356 SAP Software on Linux: Essential Comments 0201147 INST: 4.6C R/3 Inst. on UNIX - Oracle 0373203 Update / Migration Oracle 8.0.5 --> 8.0.6/8.1.6 LINUX 0072984 Release of Digital UNIX 4.0B for Oracle 0130581 R3SETUP step DIPGNTAB terminates 0144978 Your system has not been installed correctly 0162266 Questions and tips for R3SETUP on Windows NT / W2K &sap.r3; 4.6C, &oracle; 8.1.7 号码 标题 0015023 Initializing table TCPDB (RSXP0004) (EBCDIC) 0045619 R/3 with several languages or typefaces 0171356 SAP Software on Linux: Essential Comments 0195603 RedHat 6.1 Enterprise version: Known problems 0212876 The new archiving tool SAPCAR 0300900 Linux: Released DELL Hardware 0377187 RedHat 6.2: important remarks 0387074 INST: R/3 4.6C SR2 Installation on UNIX 0387077 INST: R/3 4.6C SR2 Inst. on UNIX - Oracle 0387078 SAP Software on UNIX: OS Dependencies 4.6C SR2 硬件要求 下面的设备配置对&sap.r3; System来说已经足够了。如果 用于生产用途，就需要更强的配置： 组件 4.6B 4.6C 处理器 2 x 800MHz &pentium; III 2 x 800MHz &pentium; III 内存 1GB ECC 2GB ECC Hard Disk Space 50-60GB (IDES) 50-60GB (IDES) 用于生产使用，就需要使用带大缓存的&xeon;处理器，和高速大容量磁盘（SCSI, RAID hardware controller），以及USV 和ECC-RAM内存。 配置IDES System前需要大量的硬盘空间，因为安装时将创建27 GB的数据库文件。 这些空间用于系统和数据的初始化也是足够的。 &sap.r3; 4.6B, &oracle; 8.0.5 对于这个安装，我的硬件配置如下：带2个800 MHz &pentium; III处理器的主板， &adaptec; 29160 Ultra160 SCSI适配器（能够访问40/80 GB DLT磁带机和CDROM）， &mylex; &acceleraid; （2个通道， firmware 6.00-1-00 with 32 MB RAM）。 &mylex; RAID controller被挂上2个17 GB（mirrored）硬盘和4个36 GB硬盘(RAID level 5)。 &sap.r3; 4.6C, &oracle; 8.1.7 对于这个安装，配置是&dell; &poweredge; 2500，带2个1000 MHz &pentium; III处理器的 主板（256 kB Cache）， 2 GB PC133 ECC SDRAM， PERC/3 DC PCI RAID Controller with 128 MB，和一个EIDE DVD-ROM驱动器。RAID controller被挂上2个18 GB硬盘（mirrored） 和4个36 GB硬盘（RAID level 5）。 安装FreeBSD 首先需要安装 FreeBSD。 有很多方法来完成这个工作。 要了解进一步的情况请参考 。 磁盘划分 为了简单，对&sap.r3; 46B和&sap.r3; 46C SR2的安装使用相同的磁盘划分。只是设备名换了，因为是安装在不同的硬件上 (/dev/da 和 /dev/amr， 所以如果是使用AMI &megaraid;，我们能看到 /dev/amr0s1a 代替了 /dev/da0s1a)： 文件系统 尺寸(1k-blocks) 尺寸(GB) 挂载点 /dev/da0s1a 1.016.303 1 / /dev/da0s1b 6 swap /dev/da0s1e 2.032.623 2 /var /dev/da0s1f 8.205.339 8 /usr /dev/da1s1e 45.734.361 45 /compat/linux/oracle /dev/da1s1f 2.032.623 2 /compat/linux/sapmnt /dev/da1s1g 2.032.623 2 /compat/linux/usr/sap 预先用&mylex; 或PERC/3 RAID 软件配置和初始化这两个逻辑驱动器。 改变BIOS的引导顺序来启动软件。 请注意这里的磁盘划分和&sap;推荐的是不一样的，&sap;建议把 &oracle;子目录（及其他子目录）分离开来， 我决定只简单的创建几个子目录。 <command>make world</command>和建立新内核 下载最新的-STABLE源代码，配置完内核配置文件后重建系统和新内核。 这儿当然要包括 &sap.r3; 和&oracle;需要的内核参数。 安装Linux环境 安装Linux基本系统 首先linux_base port需要安装（以root身份）： - &prompt.root; cd /usr/ports/emulators/linux_base + &prompt.root; cd /usr/ports/emulators/linux_base-fc4 &prompt.root; make install distclean 安装Linux开发环境 如果您想根据在FreeBSD上安装 &oracle; ： &prompt.root; cd /usr/ports/devel/linux_devtools &prompt.root; make install distclean Linux开发环境只是安装给&sap.r3; 46B IDES的，如果&oracle; DB不是在这个 FreeBSD系统上重新链接，它就不需要了。 安装必需的RPMs RPMs 为了启动R3SETUP程序， PAM支持是必需的。 第一次安装&sap;到FreeBSD 4.3-STABLE时我们先安装了 PAM的所有依赖包再安装PAM包，它可以工作。对于&sap.r3; 4.6C SR2我们 直接安装PAM RPM也可以工作，所以依赖包不是必需的： &prompt.root; rpm -i --ignoreos --nodeps --root /compat/linux --dbpath /var/lib/rpm \ pam-0.68-7.i386.rpm 要让&oracle; 8.0.5运行智能代理， 我们需要安装RedHat Tcl包tcl-8.0.5-30.i386.rpm （否则重新链接&oracle;不能工作）。 重新链接&oracle;时还有其他要注意的地方， 但那是&oracle; Linux的问题，不是FreeBSD的问题。 其它一些注意的地方 添加 linprocfs 到 /etc/fstab 是个好主意。 要了解进一步的细节， 请参考 &man.linprocfs.5; 联机手册。 另一个是设置 kern.fallback_elf_brand=3， 这可以通过 /etc/sysctl.conf 文件来完成。 创建&sap.r3;环境 创建必需的文件系统和挂载点 对简单的安装，创建下面的文件系统就够了： mount point size in GB /compat/linux/oracle 45 GB /compat/linux/sapmnt 2 GB /compat/linux/usr/sap 2 GB 创建一些链接也是必要的，否则&sap;安装程序在检查创建的链接时 会报错： &prompt.root; ln -s /compat/linux/oracle /oracle &prompt.root; ln -s /compat/linux/sapmnt /sapmnt &prompt.root; ln -s /compat/linux/usr/sap /usr/sap 安装时可能出现的错误（对于PRD系统和&sap.r3; 4.6C SR2 的安装）： INFO 2002-03-19 16:45:36 R3LINKS_IND_IND SyLinkCreate:200 Checking existence of symbolic link /usr/sap/PRD/SYS/exe/dbg to /sapmnt/PRD/exe. Creating if it does not exist... WARNING 2002-03-19 16:45:36 R3LINKS_IND_IND SyLinkCreate:400 Link /usr/sap/PRD/SYS/exe/dbg exists but it points to file /compat/linux/sapmnt/PRD/exe instead of /sapmnt/PRD/exe. The program cannot go on as long as this link exists at this location. Move the link to another location. ERROR 2002-03-19 16:45:36 R3LINKS_IND_IND Ins_SetupLinks:0 can not setup link '/usr/sap/PRD/SYS/exe/dbg' with content '/sapmnt/PRD/exe' 创建用户和目录 &sap.r3;需要两个用户和3个组。 用户名依赖于包含3个字母的&sap;系统ID（SID）。一些SIDs 被&sap;保留（例如SAP和NIX）。 完成的列表参考&sap;文档。对于IDES的安装，我们使用IDS， 对于4.6C SR2安装，使用PRD。 这样我们定义了下面的几个组： 组ID 组名 描述 100 dba Data Base Administrator 101 sapsys &sap; System 102 oper Data Base Operator 对于默认的&oracle;安装，只有dba组被使用。 和oper组一样，我们也可以使用dba组 （更详细的信息参考&oracle;和 &sap;文档）。 我们也需要下面的用户 用户ID 用户名 普通名称 组 附加组 描述 1000 idsadm/prdadm sidadm sapsys oper &sap; Administrator 1002 oraids/oraprd orasid dba oper &oracle; Administrator 使用&man.adduser.8;添加用户要求&sap; Administrator有下面的记录 （请注意shell和home目录）： Name: sidadm Password: ****** Fullname: SAP Administrator SID Uid: 1000 Gid: 101 (sapsys) Class: Groups: sapsys dba HOME: /home/sidadm Shell: bash (/compat/linux/bin/bash) 对于&oracle; Administrator: Name: orasid Password: ****** Fullname: Oracle Administrator SID Uid: 1002 Gid: 100 (dba) Class: Groups: dba HOME: /oracle/sid Shell: bash (/compat/linux/bin/bash) 在您使用组dba和oper的情况下您也应该包括 oper。 创建目录 这些目录通常建立在不同的文件系统上。这完全依赖于您的需求。 我们选择把它们建立在同一个目录： 首先我们将设置一些目录的所有者和权限（以root身份设置）： &prompt.root; chmod 775 /oracle &prompt.root; chmod 777 /sapmnt &prompt.root; chown root:dba /oracle &prompt.root; chown sidadm:sapsys /compat/linux/usr/sap &prompt.root; chmod 775 /compat/linux/usr/sap 然后我们以orasid身份创建目录， 这些目录将成为/oracle/SID的子目录： &prompt.root; su - orasid &prompt.root; cd /oracle/SID &prompt.root; mkdir mirrlogA mirrlogB origlogA origlogB &prompt.root; mkdir sapdata1 sapdata2 sapdata3 sapdata4 sapdata5 sapdata6 &prompt.root; mkdir saparch sapreorg &prompt.root; exit 对于&oracle; 8.1.7的安装，需要一些额外的目录： &prompt.root; su - orasid &prompt.root; cd /oracle &prompt.root; mkdir 805_32 &prompt.root; mkdir client stage &prompt.root; mkdir client/80x_32 &prompt.root; mkdir stage/817_32 &prompt.root; cd /oracle/SID &prompt.root; mkdir 817_32 目录client/80x_32必须是这个名字，不要用其他数字或字母来替换x。 第三步我们要以sidadm身份创建目录： &prompt.root; su - sidadm &prompt.root; cd /usr/sap &prompt.root; mkdir SID &prompt.root; mkdir trans &prompt.root; exit <filename>/etc/services</filename>中的条目 &sap.r3;在/etc/services里面需要一些条目， 这些不会在安装过程中被正确设置，请添加下面的条目： sapdp00 3200/tcp # SAP Dispatcher. 3200 + Instance-Number sapgw00 3300/tcp # SAP Gateway. 3300 + Instance-Number sapsp00 3400/tcp # 3400 + Instance-Number sapms00 3500/tcp # 3500 + Instance-Number sapmsSID 3600/tcp # SAP Message Server. 3600 + Instance-Number sapgw00s 4800/tcp # SAP Secure Gateway 4800 + Instance-Number 必要的本地化 本地化 &sap;至少要求两个本地化设置，它不是RedHat的默认安装。 &sap;提供从他们的FTP服务器下载必需的RPMs（只有您是OSS的客户才能访问）。 看注解0171356查找您需要的RPMs列表。 也可以只创建适当的链接（例如从de_DE到en_US）， 但是我们不推荐在生产系统上这样做（尽管它让IDES system工作的没有一点问题）。 下面的本地化设置是必需的： de_DE.ISO-8859-1 en_US.ISO-8859-1 像这样创建链接 &prompt.root; cd /compat/linux/usr/share/locale &prompt.root; ln -s de_DE de_DE.ISO-8859-1 &prompt.root; ln -s en_US en_US.ISO-8859-1 如果他们不出现，在安装时可能会有问题。如果忽略这些问题（通过设置CENTRDB.R3S文件 里面的STATUS为OK），不费一番周折， 您就别想登录进&sap;系统。 内核调整 内核调整 &sap.r3; 需要许多资源。我因此添加了下面的参数在我的内核配置文件中： # Set these for memory pigs (SAP and Oracle): options MAXDSIZ="(1024*1024*1024)" options DFLDSIZ="(1024*1024*1024)" # System V options needed. options SYSVSHM #SYSV-style shared memory options SHMMAXPGS=262144 #max amount of shared mem. pages #options SHMMAXPGS=393216 #use this for the 46C inst.parameters options SHMMNI=256 #max number of shared memory ident if. options SHMSEG=100 #max shared mem.segs per process options SYSVMSG #SYSV-style message queues options MSGSEG=32767 #max num. of mes.segments in system options MSGSSZ=32 #size of msg-seg. MUST be power of 2 options MSGMNB=65535 #max char. per message queue options MSGTQL=2046 #max amount of msgs in system options SYSVSEM #SYSV-style semaphores options SEMMNU=256 #number of semaphore UNDO structures options SEMMNS=1024 #number of semaphores in system options SEMMNI=520 #number of semaphore identifiers options SEMUME=100 #number of UNDO keys 这篇文档中指定的最小值是来自&sap;。 没有针对Linux的描述， 看看HP-UX的相关介绍了解更多信息。 安装4.6C SR2需要更多的内存， 共享内存比 &sap; 和 &oracle; 需要的还多， 所以尽量为共享内存选一个大值。 在 &i386; 上 的 FreeBSD 默认配置中， 应将 MAXDSIZ 和 DFLDSIZ 设置为 1 GB。否则， 会出现类似 ORA-27102: out of memory和 Linux Error: 12: Cannot allocate memory 这样的奇怪的错误。 安装&sap.r3; 准备&sap; CDROMs 在安装过程中，有许多 CDROM 要被挂上和卸下。建议您有多个CDROM驱动器， 您可以把它们都挂上。我决定复制 CDROM 的内容到相应的目录： /oracle/SID/sapreorg/cd-name 对于4.6B/IDES的安装，cd-name是KERNEL， RDBMS， EXPORT1， EXPORT2，EXPORT3, EXPORT4, EXPORT5 和 EXPORT6中的一个，对于4.6C SR2的安装，是 KERNEL， RDBMS， DISK1，DISK2， DISK3，DISK4和 LANG中的一个。 所有挂载上的CDs里面的文件名都应该是大写， 否则要用选项来挂载。所以使用下面的命令： &prompt.root; mount_cd9660 -g /dev/cd0a /mnt &prompt.root; cp -R /mnt/* /oracle/SID/sapreorg/cd-name &prompt.root; umount /mnt 运行安装脚本 首先您需要准备一个install目录： &prompt.root; cd /oracle/SID/sapreorg &prompt.root; mkdir install &prompt.root; cd install 然后运行安装脚本，他会复制所有相关的文件到install目录： &prompt.root; /oracle/SID/sapreorg/KERNEL/UNIX/INSTTOOL.SH 由于这是一个完全定制化的&sap.r3;演示系统的IDES安装（4.6B）， 我们有6个而不仅仅是3个EXPORT CDs。 基于这点，安装模板CENTRDB.R3S是用来安装一个标准的中央环境 （&r3;和数据库），而不是IDES中央环境， 所以从EXPORT1目录复制相应的CENTRDB.R3S， 否则R3SETUP只要求3个EXPORT CDs。 新的&sap; 4.6C SR2发行版带有4张EXPORT CDs。 控制安装步骤的参数文件是CENTRAL.R3S。 和早期发行版不同，它没有分开的中央环境的安装模板。 安装完后，使用hostname命令得到&sap;需要的主机名， 不需要完整的域名。 所以为orasid和 sidadm 直接设置主机名，或设置别名alias hostname='hostname -s'。 可以在.profile和.login里面为这两个用户设置。 启动<command>R3SETUP</command> 4.6B 确定LD_LIBRARY_PATH设置正确： &prompt.root; export LD_LIBRARY_PATH=/oracle/IDS/lib:/sapmnt/IDS/exe:/oracle/805_32/lib 从安装目录以root身份启动R3SETUP： &prompt.root; cd /oracle/IDS/sapreorg/install &prompt.root; ./R3SETUP -f CENTRDB.R3S 这个脚本会问一些问题（括号里面是缺省值，后面是实际输入）： 问题 缺省值 输入 Enter SAP System ID [C11] IDSEnter Enter SAP Instance Number [00] Enter Enter SAPMOUNT Directory [/sapmnt] Enter Enter name of SAP central host [troubadix.domain.de] Enter Enter name of SAP db host [troubadix] Enter Select character set [1] (WE8DEC) Enter Enter Oracle server version (1) Oracle 8.0.5, (2) Oracle 8.0.6, (3) Oracle 8.1.5, (4) Oracle 8.1.6 1Enter Extract Oracle Client archive [1] (Yes, extract) Enter Enter path to KERNEL CD [/sapcd] /oracle/IDS/sapreorg/KERNEL Enter path to RDBMS CD [/sapcd] /oracle/IDS/sapreorg/RDBMS Enter path to EXPORT1 CD [/sapcd] /oracle/IDS/sapreorg/EXPORT1 Directory to copy EXPORT1 CD [/oracle/IDS/sapreorg/CD4_DIR] Enter Enter path to EXPORT2 CD [/sapcd] /oracle/IDS/sapreorg/EXPORT2 Directory to copy EXPORT2 CD [/oracle/IDS/sapreorg/CD5_DIR] Enter Enter path to EXPORT3 CD [/sapcd] /oracle/IDS/sapreorg/EXPORT3 Directory to copy EXPORT3 CD [/oracle/IDS/sapreorg/CD6_DIR] Enter Enter path to EXPORT4 CD [/sapcd] /oracle/IDS/sapreorg/EXPORT4 Directory to copy EXPORT4 CD [/oracle/IDS/sapreorg/CD7_DIR] Enter Enter path to EXPORT5 CD [/sapcd] /oracle/IDS/sapreorg/EXPORT5 Directory to copy EXPORT5 CD [/oracle/IDS/sapreorg/CD8_DIR] Enter Enter path to EXPORT6 CD [/sapcd] /oracle/IDS/sapreorg/EXPORT6 Directory to copy EXPORT6 CD [/oracle/IDS/sapreorg/CD9_DIR] Enter Enter amount of RAM for SAP + DB 850Enter (in Megabytes) Service Entry Message Server [3600] Enter Enter Group-ID of sapsys [101] Enter Enter Group-ID of oper [102] Enter Enter Group-ID of dba [100] Enter Enter User-ID of sidadm [1000] Enter Enter User-ID of orasid [1002] Enter Number of parallel procs [2] Enter 如果没有把CD复制到不同的位置，那么&sap;安装程序就不能 找到需要的CD（通过CD上的LABEL.ASC来辨别）， 它会要求您挂上CD，或键入加载路径。 CENTRDB.R3S不可能是自由出错的， 它再次请求EXPORT4 CD，但是正确的值是6_LOCATI ON，然后7_LOCATION 等，所以您可以键入正确的值。 处理下面提到的问题，一样东西都要直接通过&oracle;数据库软件安装的地方。 Start <command>R3SETUP</command> 4.6C SR2 确定LD_LIBRARY_PATH设置正确。 这和带&oracle; 8.0.5的4.6B的安装是不同的： &prompt.root; export LD_LIBRARY_PATH=/sapmnt/PRD/exe:/oracle/PRD/817_32/lib 以root身份从安装目录启动R3SETUP ： &prompt.root; cd /oracle/PRD/sapreorg/install &prompt.root; ./R3SETUP -f CENTRAL.R3S 这个脚本会问一些问题（括号里面是缺省值，后面是实际输入）： 问题 缺省值 输入 Enter SAP System ID [C11] PRDEnter Enter SAP Instance Number [00] Enter Enter SAPMOUNT Directory [/sapmnt] Enter Enter name of SAP central host [majestix] Enter Enter Database System ID [PRD] PRDEnter Enter name of SAP db host [majestix] Enter Select character set [1] (WE8DEC) Enter Enter Oracle server version (2) Oracle 8.1.7 2Enter Extract Oracle Client archive [1] (Yes, extract) Enter Enter path to KERNEL CD [/sapcd] /oracle/PRD/sapreorg/KERNEL Enter amount of RAM for SAP + DB 2044 1800Enter (in Megabytes) Service Entry Message Server [3600] Enter Enter Group-ID of sapsys [100] Enter Enter Group-ID of oper [101] Enter Enter Group-ID of dba [102] Enter Enter User-ID of oraprd [1002] Enter Enter User-ID of prdadm [1000] Enter LDAP support 3Enter (no support) Installation step completed [1] (continue) Enter Choose installation service [1] (DB inst,file) Enter 到目前为止， 安装阶段只在创建用户时给出了一个错误OSUSERDBSID_IND_ORA（创建 用户orasid）和 OSUSERSIDADM_IND_ORA（创建用户sidadm）。 处理下面提到的问题，一样东西都要直接通过&oracle;数据库软件安装的地方。 安装&oracle; 8.0.5 请看相应的&sap;注释和 &oracle;的关于Linux的Readme 以及&oracle; DB可能出现的问题。不是所有的问题都和不兼容库有关。 关于&oracle;更多的安装信息，请参考安装&oracle;。 用<command>orainst</command>安装&oracle; 8.0.5 如果&oracle; 8.0.5要被使用，一些其他的库需要被成功地重新链接， 因为&oracle; 8.0.5是与一个老的glibc连接的（Redhat 6.0）， 但RedHat 6.1已经使用了一个新的glibc。所以您必须安装下面额外的软件包来保证链接正常： compat-libs-5.2-2.i386.rpm compat-glibc-5.2-2.0.7.2.i386.rpm compat-egcs-5.2-1.0.3a.1.i386.rpm compat-egcs-c++-5.2-1.0.3a.1.i386.rpm compat-binutils-5.2-2.9.1.0.23.1.i386.rpm 更多的信息，看相应的&sap;注释和&oracle;的Readme。 如果这不是选项，您可以使用最初的程序，或使用与最初的Redhat系统重链接的程序。 要编译智能代理，必须安装RedHat Tcl包。如果您不能得到 tcl-8.0.3-20.i386.rpm，一个更新的 tcl-8.0.5-30.i386.rpm也可以用。 除了重新链接，安装是直截了当的： &prompt.root; su - oraids &prompt.root; export TERM=xterm &prompt.root; export ORACLE_TERM=xterm &prompt.root; export ORACLE_HOME=/oracle/IDS &prompt.root; cd $ORACLE_HOME/orainst_sap &prompt.root; ./orainst 用Enter来确认所有的屏幕直到安装完成，除了您必须取消 &oracle; On-Line Text Viewer选项，因为当前Linux下不可用。 &oracle;会要求用i386-glibc20-linux-gcc重新链接来 代替gcc，egcs或者i386-redhat-linux-gcc 。 由于时间紧迫，我决定使用&oracle; 8.0.5 PreProduction版本。 安装&oracle; 8.0.5 Pre-production Release for Linux （Kernel 2.0.33） 个安装很容易。挂上CD，启动安装程序。它就会要求&oracle;home目录的定位， 然后复制那里所有的程序。我不删除先前安装的RDBMS。 然后，&oracle;数据库就可以毫无问题地运行了。 安装&oracle; 8.1.7 Linux压缩包 把 oracle81732.tgz 复制到您要安装的目录， 然后解压到/oracle/SID/817_32/。 继续&sap.r3;安装 首先检查用户idsamd (sidadm)和 oraids(orasid)的环境变量。 他们现在都有使用主机名的.profile，.login 和.cshrc文件。在这个例子中，系统的主机名是没有限制的名称， 您必须在所有三个文件中改变hostname为hostname -s。 加载数据库 然后，可以重新启动或继续R3SETUP。 R3SETUP就使用R3load 创建表空间加载数据（对46B IDES，从EXPORT1到EXPORT6，对46C从DISK1到DISK4）。 数据加载完后（可能需要一些时间），需要创建一些口令。对于测试安装，可以使用缺省口令： 问题 输入 Enter Password for sapr3 sapEnter Confirum Password for sapr3 sapEnter Enter Password for sys change_on_installEnter Confirm Password for sys change_on_installEnter Enter Password for system managerEnter Confirm Password for system managerEnter 到目前为止，我们只在安装4.6B的过程中dipgntab出现了几个问题。 监听 像下面这样用orasid用户启动 &oracle;： &prompt.user; umask 0; lsnrctl start 另外您可能得到ORA-12546错误，因为sockets没有正确的权限。 看&sap;注释072984。 更新MNLS表 如果您打算倒入non-Latin-1 languages到&sap;系统， 您必须更新表的多语言支持。这在&sap; OSS注释15023和45619有描述。否则， 您可以在安装&sap;的时候忽略这个问题。 如果您不需要MNLS，还是需要检查表TCPDB和初始化工作是否做了。 更多信息参考&sap;注释0015023和0045619。 快速安装步骤 需要&sap.r3;许可密钥 您不得不要&sap.r3;许可密钥。这是必需的， 因为临时许可只能用4个星期。 首先得到硬件的密匙。以用idsadm登入， 然后调用saplicense： &prompt.root; /sapmnt/IDS/exe/saplicense -get 不带参数调用saplicense会给出一系列选项。 要安装上面的许可密钥，可以这样： &prompt.root; /sapmnt/IDS/exe/saplicense -install 您要输入下面的值： SAP SYSTEM ID = SID, 3 chars CUSTOMER KEY = hardware key, 11 chars INSTALLATION NO = installation, 10 digits EXPIRATION DATE = yyyymmdd, usually "99991231" LICENSE KEY = license key, 24 chars 创建用户 在客户机000中创建一个用户（有些工作需用客户机000来完成，但与用户sap*和 ddic有些不同）。 作为一个用户名，我通常选择wartung （或英语中的service）。 配置文件需要sap_new和 sap_all。对于额外的安全的默认用户口令应当被改变（这包括用户sap*和 ddic）。 配置传送系统，配置，操作模式等 在客户端000，用户不同于ddic和sap*，做下面的工作： 任务 处理 Configure Transport System, e.g. as Stand-Alone Transport Domain Entity STMS Create / Edit Profile for System RZ10 Maintain Operation Modes and Instances RZ04 些和所有其他的快速安装步骤在&sap;安装指南里面有描述。 编辑<filename>init<replaceable>sid</replaceable>.sap</filename>（<filename>initIDS.sap</filename>） 文件/oracle/IDS/dbs/initIDS.sap 包含了&sap;备份配置。 这儿是使用的磁带机的大小，压缩的类型。要使用sapdba / brbackup来得到这些。 我们可以改变下面的值： compress = hardware archive_function = copy_delete_save cpio_flags = "-ov --format=newc --block-size=128 --quiet" cpio_in_flags = "-iuv --block-size=128 --quiet" tape_size = 38000M tape_address = /dev/nsa0 tape_address_rew = /dev/sa0 解释 compress：我使用的磁带机是HP DLT1，它支持硬件压缩。 archive_function： 这个定义了保存&oracle;文件日志的默认行为：新的日志文件被保存到磁带机上， 保存的日志文件会被再次保存然后再删除。如果您需要恢复数据库， 而其中一个磁带机已经损坏了，这可以防止出现麻烦。 cpio_flags：缺省使用来设置块大小为 5120 Bytes。对于DLT-Tapes，HP建议至少32 K，所以我们使用 设置64 K。 是必需的，因为我的inode数目超过了65535。 最后一个选项是必需的，否则brbackup会在用 cpio来输出的时候报错。 cpio_in_flags： 这个标志从磁带机加载回数据。格式是自动验证的。 tape_size: 通常给出了磁带机的存储容量。出于安全原因，这个值要比实际的值要小一些。 tape_address：被cpio使用的非rewindable的设备。 tape_address_rew：被cpio使用的非rewindable的设备。 安装后的配置 下面的&sap;参数应该在安装以后调整（例子是IDES 46B, 1 GB内存）： 名称 值 ztta/roll_extension 250000000 abap/heap_area_dia 300000000 abap/heap_area_nondia 400000000 em/initial_size_MB 256 em/blocksize_kB 1024 ipc/shm_psize_40 70000000 &sap;注释0013026： 名称 值 ztta/dynpro_area 2500000 &sap;注释0157246： Name Value rdisp/ROLL_MAXFS 16000 rdisp/PG_MAXFS 30000 根据上面的参数，在使用1 GB内存的系统上，可以像下面这样找到内存消耗： Mem: 547M Active, 305M Inact, 109M Wired, 40M Cache, 112M Buf, 3492K Free 安装过程出现的问题 修复一个问题后重起<command>R3SETUP</command> 如果出现问题R3SETUP会停止。如果您找到相关的日志文件并修复了问题。 您需要再次重起R3SETUP，对于R3SETUP报的最后一个错误可以使用 REPEAT选项。 要重起R3SETUP，只要使用相应的R3S文件重起： &prompt.root; ./R3SETUP -f CENTRDB.R3S for 4.6B, or with &prompt.root; ./R3SETUP -f CENTRAL.R3S 对4.6C，不管有没有错误都使用CENTRAL.R3S或 DATABASE.R3S。 在某些阶段，R3SETUP假设database和&sap; 进程都启动了。但是如果发生错误使得database没有启动，您就必须手动启动database和&sap;。 修复错误后，还需要再次重起R3SETUP。 也不要忘记再次重起&oracle;监听。 OSUSERSIDADM_IND_ORA during <command>R3SETUP</command> 如果在这阶段R3SETUP报错,编辑R3SETUP使用的模板文件 （CENTRDB.R3S (4.6B)或者CENTRAL.R3S或者DATABASER3S (4.6C)）。定位到[OSUSERSIDADM_IND_ORA]或者搜索STATUS=ERROR条目 然后像下面这样编辑它： HOME=/home/sidadm (was empty) STATUS=OK (had status ERROR) 然后重起R3SETUP。 OSUSERDBSID_IND_ORA during <command>R3SETUP</command> R3SETUP也可能在这个阶段报错。修正方法和上面的OSUSERSIDADM_IND_ORA一样。 编辑下面的值： STATUS=OK 重起R3SETUP。 &oracle;安装找不到<errorname>oraview.vrf文件</errorname> 开始安装之前没有取消&oracle; On-Line Text Viewer 既然这个选项当前没有用于Linux，这在安装时是需要标记的，在&oracle; 安装中取消它，然后重新安装。 <errorname>TEXTENV_INVALID</errorname> during <command>R3SETUP</command>, RFC or SAPgui Start 如果这个错误还出现，正确的本地化可能已经丢了。 &sap;注释0171356列出了必须的RPMs （比如saplocales-1.0-3, saposcheck-1.0-1 for RedHat 6.1）。 在这个例子中，您忽略了所有相关的错误， STATUS从ERROR到OK然后重起 R3SETUP。&sap;系统不会被正确地配置， 您就不能用一个SAPgui连接到系统。 设法使用一个旧的Linux sapgui连接会得到下面的信息： Sat May 5 14:23:14 2001 *** ERROR => no valid userarea given [trgmsgo. 0401] Sat May 5 14:23:22 2001 *** ERROR => ERROR NR 24 occured [trgmsgi. 0410] *** ERROR => Error when generating text environment. [trgmsgi. 0435] *** ERROR => function failed [trgmsgi. 0447] *** ERROR => no socket operation allowed [trxio.c 3363] Speicherzugriffsfehler 这个问题归咎于&sap.r3;不能正确地本地化，也不能自己正确地配置。 要能够连接到&sap;, 需要在 DEFAULT.PFL（看注释0043288） 文件中添加下面的记录： abap/set_etct_env_at_new_mode = 0 install/collate/active = 0 rscp/TCP0B = TCP0B 重起&sap;系统。现在，您可以连接到系统， 即使您指定的国家语言不能正常工作。设置完国家后，这些记录会从DEFAULT.PFL文件 删除。然后重新启动&sap;系统。 <errorcode>ORA-00001</errorcode> 这个错误只会在FreeBSD 4.5上安装&oracle; 8.1.7 的时候出现。因为&oracle;database不能自己正确初始化。 在系统上保留semaphores和shared memory。 然后再次启动数据库会出现ORA-00001错误。 用ipcs -a找到再用ipcrm去掉。 <errorcode>ORA-00445</errorcode> （后台进程PMON没有启动） 这个错误发生在&oracle; 8.1.7上。 如果没有用prdadm用户启动startsap脚本 （例如startsap_majestix_00）会报这个错误。 一种可能的解决方法是用oraprd用户使用svrmgrl： &prompt.user; svrmgrl SVRMGR> connect internal; SVRMGR> startup; SVRMGR> exit <errorcode>ORA-12546</errorcode>（用正确的权限启动监听） 以oraids用户启动&oracle;监听： &prompt.root; umask 0; lsnrctl start 如果您得到ORA-12546错误，没有权限连接到sockets。 请看&sap;注释0072984。 <errorcode>ORA-27102</errorcode> (Out of Memory) 这个错误发生在使用MAXDSIZ和DFLDSIZ大于 1 GB（1024x1024x1024）。 我们一般得到错误Linux Error 12: Cannot allocate memory。 [DIPGNTAB_IND_IND] during <command>R3SETUP</command> 基本上， 参见 &sap; 注释 0130581 (R3SETUP 步骤中的 DIPGNTAB 终止)。 在 IDES-专用安装的时候， 因为某些原因安装过程没有使用正确的 &sap; 系统名 IDS， 而是用空串 ""代替。 这会导致一些访问目录的小问题， 因为路径是动态使用 SID来创建的 (这里是IDS)。 所以用下面的方法代替： /usr/sap/IDS/SYS/... /usr/sap/IDS/DVMGS00 下面的路径被使用 /usr/sap//SYS/... /usr/sap/D00 为了继续安装，我们创建了一个附加的目录： &prompt.root; pwd /compat/linux/usr/sap &prompt.root; ls -l total 4 drwxr-xr-x 3 idsadm sapsys 512 May 5 11:20 D00 drwxr-x--x 5 idsadm sapsys 512 May 5 11:35 IDS lrwxr-xr-x 1 root sapsys 7 May 5 11:35 SYS -> IDS/SYS drwxrwxr-x 2 idsadm sapsys 512 May 5 13:00 tmp drwxrwxr-x 11 idsadm sapsys 512 May 4 14:20 trans 我们也发现在&sap;注释（0029227和0008401）里面描述了这个行为。 我们没有在&sap; 4.6C安装里面遭遇这些问题。 [RFCRSWBOINI_IND_IND] during <command>R3SETUP</command> 安装&sap; 4.6C时，这个错误是前面发生过的一个错误的 结果。所以，您不得不查看相应的日志文件并修复错误。 如果查看完日志文件后这个错误确实存在（看&sap;注释），您可以设置STATUS 从ERROR到OK（CENTRDB.R3S文件里面） 然后重起R3SETUP。安装完后，您必须从事务SE38执行 RSWBOINS。关于RFCRSWBOINI和RFCRADDBDIF的更多信息 查看&sap;注释0162266。 [RFCRADDBDIF_IND_IND] during <command>R3SETUP</command> 通过查看日志文件确定这个错误，它不是由于前面的问题导致的。 如果您确定已经应用了&sap;注释0162266，就只要设置 STATUS从ERROR到OK （CENTRDB.R3S文件里面）。然后重起R3SETUP。 安装完后，您必须从事务SE38执行RADDBDIF。 <errorcode>sigaction sig31: File size limit exceeded</errorcode> 这个错误在启动&sap;进程disp+work时出现。 如果用startsap脚本启动&sap;， 就会启动子进程，并由它启动后面所有的其他&sap;进程。 所以脚本本身不会注意到有错误发生。 为了检查&sap;进程是否正确启动，可以用 ps ax | grep SID查看进程的状态。 您会得到所有&oracle;和&sap;进程列表。 如果看起来有些进程没有启动，或者您不能正确连接到&sap;系统。 查看相应的日志文件，可以在 /usr/sap/SID/DVEBMGSnr/work/ 下找到， 一般查看 dev_ms 和 dev_disp 文件。 如果&oracle;和&sap;的共享内存总量超过了 内核配置文件定义的大小就会出现signal 31错误，并且不能解析大的内存地址： # larger value for 46C production systems: options SHMMAXPGS=393216 # smaller value sufficient for 46B: #options SHMMAXPGS=262144 启动<command>saposcol</command>失败 使用saposcol (version 4.6D)会出现一些问题。 &sap;系统使用saposcol收集系统性能数据。 这个程序不是必需的。所以这些问题可以看作是小问题。 老版本（4.6B）可以工作，但是不能收集所有的性能数据（很多调用只返回0，像CPU使用率）。 高级主题 如果您对Linux兼容模式是如何工作的感到好奇，这节正是您所需要的。 下面的绝大部分内容是由 Terry Lamberttlambert@primenet.com （Message ID: <199906020108.SAA07001@usr09.primenet.com>）发表在邮件列表&a.chat;上的内容组成的。 它是如何工作的？ 可执行类加载器 FreeBSD有一个可执行类加载器。它主要是嵌入了&man.execve.2;系统调用。 碰巧的是FreeBSD有一个引导器（loader）的列表，而不是一个简单的返回一个 符号 #!的引导器！ 从历史上来讲，只有&unix;平台的引导器会检查魔术（magic）数 （通常是文件的前4个或8个字节）是否是二进制的， 如果是，就调用二进制引导程序。 如果它不是二进制类型的&man.execve.2;调用就会返回一个错误，shell就试图用shell命令执行它。 缺省是使用当前设定的shell。 随后，进行了一些hack, &man.sh.1;开始检查前两个字符，如果它们是:\n， 那它就调用&man.csh.1;（我们相信是SCO最先做这个hack的）。 FreeBSD现在所做的是用一个普通的#!引导器仔细检查引导器的列表， 然后由解释程序一个接一个地解释，返回给/bin/sh。 ELF 为了支持Linux ABI，FreeBSD就把魔术数看作为一个二进制ELF程序。（ 这样一来，它就使得在FreeBSD， &solaris;，Linux和其他任何操作系统之间只要使用ELF格式就都可以顺利运行）。 Solaris ELF引导器会寻找一个专门的标记， 它是在ELF映像中的一个注释部分，但在SVR4/&solaris;的ELF中没有。 为了执行Linux程序，它们必须被打上Linux类型的标记； 使用&man.brandelf.1;： &prompt.root; brandelf -t Linux file 做完之后，ELF引导器就会看到文件上的Linux的标记。 ELF 标记 当ELF引导器看到Linux的标记， 引导器就会在proc结构中替换一个指示器。 所有的系统调用就会通过这个指示器来索引（在一个传统的 &unix;系统中， 这就是sysent[]结构队列，包含系统调用）。 此外，为了解决由于信号杂乱所造成的陷阱向量的问题，会造成线程的剧增， 需要切断其他（或较小的）由Linux内核模块产生的修正。 Linux系统调用向量包含一个sysent[]记录的列表， 它的地址位于内核模块之中。 当一个系统调用被Linux程序调用时，有缺陷的代码会把系统调用功能的指示器从proc结构中解除， 然后获得Linux，而不是FreeBSD，系统调用入口点。 另外，Linux模式动态地reroots查找；这和启动文件系统的 选项是等效的（即时不是unionfs文件系统）。 首先会试图在/compat/linux/original-path 目录查找文件，如果失败了，就会在/original-path 目录下查找。这使得需要其它程序的程序可以运行（例如，Linux工具链都可以在Linux ABI的支持下工作）。 也就是说Linux程序可以加载和执行FreeBSD程序，如果当前没有相应的Linux程序， 那您可以在/compat/linux目录树中放置一个&man.uname.1;，来确保Linux程序不提示它们不能运行在Linux上。 在FreeBSD内核中有一个Linux内核；由内核提供的能够提供所有服务的各种潜在功能 在FreeBSD系统调用表记录和Linux系统调用表记录之间是一样的： 文件系统操作，虚拟内存操作，信号发送，System V IPC，…等等。 唯一的不同是FreeBSD会得到FreeBSD的胶合功能， 而Linux程序会得到Linux的胶合功能 （大部分老的操作系统只有它们自己的胶合函数， 函数地址在静态全局变量sysent[]结构数据里面， 而不是动态的初始化到进程的proc结构）。 哪一个是FreeBSD自己的ABI呢？这无关紧要。基本上， 唯一的不同是FreeBSD的胶合功能是被静态连接到内核， 而Linux的胶合功能可能是被静态连接到内核， 也可能它们通过一个内核模块来访问。 有一个真正的模拟器吗？没有，它只不过是一个ABI执行机制，不是一个模拟器。 为什么有时它被叫做Linux模拟器？ 只是为了更容易地卖出FreeBSD罢了！ 实际上，历史上从来没有描述这样一种执行机制的名字，FreeBSD并不是真正地运行Linux程序，如果您不编译进代码， 或加载一个模块。 就需要有一个名字来描述这样一种加载功能--因此就想出了Linux模拟器这样一个名字。 diff --git a/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml b/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml index aa1b7e3f5c..d6b608210e 100644 --- a/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/mirrors/chapter.sgml @@ -1,3053 +1,3081 @@ 获取 FreeBSD CDROM 和 DVD 发行商 零售盒装产品 可以从下面几个零售商那里买到 FreeBSD 的盒装产品(FreeBSD CD， 附加软件，印刷文档)：
CompUSA WWW:
Frys Electronics WWW:
CD 和 DVD 光盘 FreeBSD CD 和 DVD 光盘可以从许多在线零售商那里买到：
FreeBSD Mall, Inc. 700 Harvest Park Ste F Brentwood, CA 94513 USA Phone: +1 925 240-6652 Fax: +1 925 674-0821 Email: info@freebsdmall.com WWW:
Dr. Hinner EDV St. Augustinus-Str. 10 D-81825 München Germany Phone: (089) 428 419 WWW:
Ikarios 22-24 rue Voltaire 92000 Nanterre France WWW:
JMC Software Ireland Phone: 353 1 6291282 WWW:
The Linux Emporium Hilliard House, Lester Way Wallingford OX10 9TA United Kingdom Phone: +44 1491 837010 Fax: +44 1491 837016 WWW:
Linux+ DVD Magazine Lewartowskiego 6 Warsaw 00-190 Poland Phone: +48 22 860 18 18 Email: editors@lpmagazine.org WWW:
Linux System Labs Australia 21 Ray Drive Balwyn North VIC - 3104 Australia Phone: +61 3 9857 5918 Fax: +61 3 9857 8974 WWW:
LinuxCenter.Ru Galernaya Street, 55 Saint-Petersburg 190000 Russia Phone: +7-812-3125208 Email: info@linuxcenter.ru WWW:
发行人 如果您是销售商并且想销售 FreeBSD CDROM 产品， 请和发行人联系：
Cylogistics 809B Cuesta Dr., #2149 Mountain View, CA 94040 USA Phone: +1 650 694-4949 Fax: +1 650 694-4953 Email: sales@cylogistics.com WWW:
Ingram Micro 1600 E. St. Andrew Place Santa Ana, CA 92705-4926 USA Phone: 1 (800) 456-8000 WWW:
Kudzu, LLC 7375 Washington Ave. S. Edina, MN 55439 USA Phone: +1 952 947-0822 Fax: +1 952 947-0876 Email: sales@kudzuenterprises.com
+ +
+ LinuxCenter.Kz + Ust-Kamenogorsk + Kazakhstan + Phone: +7-705-501-6001 + Email: info@linuxcenter.kz + WWW: +
+ +
LinuxCenter.Ru Galernaya Street, 55 Saint-Petersburg 190000 Russia Phone: +7-812-3125208 Email: info@linuxcenter.ru WWW:
Navarre Corp 7400 49th Ave South New Hope, MN 55428 USA Phone: +1 763 535-8333 Fax: +1 763 535-0341 WWW:
FTP 站点 官方的 FreeBSD 源代码可以从遍布全球的镜像站点 通过匿名 FTP 下载。 站点 有着良好的网络连接并且允许大量的并发连接， 但是 您或许更想找一个 更近的 镜像站点 (特别是当您想进行某种形式的镜像的时候)。 FreeBSD 镜像 站点数据库要比使用手册中的镜像列表更加精确， 因为它从 DNS 中获取信息而不依赖于静态的主机列表。 FreeBSD 可以从下面这些镜像站点通过匿名 FTP 下载。如果您选择了通过匿名 FTP 获取 FreeBSD， 请尽量使用离您比较近的站点。被列为 主镜像站点 的镜像站点一般都有完整的 FreeBSD 文件 (针对每种体系结构的所有当前可用的版本)， 您或许从您所在的国家或地区的站点下载会得到更快的下载速度。 每个站点提供了最流行的体系结构的最近的版本而有可能不提供完整的 FreeBSD 存档。所有的站点都提供匿名 FTP 访问而有些站点也提供其他的访问方式。对每个站点可用的访问方式 在其主机名后有所说明。 &chap.mirrors.ftp.inc; BitTorrent BitTorrent 基本发行版 CD 的 ISO 镜像也可以通过 BitTorrent 获得。 用户下载镜像的 torrent 文件能够在这里找到 http://torrents.freebsd.org:8080 BitTorrent 客户端软件可以从这个 port net-p2p/py-bittorrent 或预编译的二进制包安装。 在通过 BitTorrent 下载了 ISO 镜像之后， 你可以照着 burncd 中的所描述的方法烧录到 CD 或 DVD 介质上。 匿名 CVS <anchor id="anoncvs-intro">概述 CVS 匿名 匿名 CVS(或人们常说的 anoncvs)是由和 FreeBSD 附带的 CVS 实用工具提供的用于和远程的 CVS 代码库同步的一种特性。 尤其是， 它允许 FreeBSD 用户不需要特殊的权限对任何一台 FreeBSD 项目的官方 anoncvs 服务器执行只读的 CVS 操作。 要使用它，简单的设置 CVSROOT 环境变量指向适当的 anoncvs 服务器， 输入 cvs login 命令 并提供广为人知的密码anoncvs，然后使用 &man.cvs.1; 命令像访问任何本地仓库一样来访问它。 cvs login 命令把用来登录 CVS 服务器的密码储存在您的 HOME 目录中一个叫 .cvspass 的文件里。 如果这个文件不存在， 第一次使用 cvs login 的时候可能会出错。 请创建一个空的 .cvspass 文件，然后试试重新登录。 也可以这么说 CVSup 和 anoncvs 服务本质上提供了同样的功能，但是有各种各样 不同的场合可以影响用户对同步方式的选择。简单来说， CVSup 在网络资源利用方面 更加有效，而且是到目前为止在两者之中技术上更成熟的 除了成本方面。要使用 CVSup，在下载任何东西之前 必须首先安装配置特定的客户端， 而且只能用于下载相当大块的 CVSup 称作 collections。 相比之下，anoncvs 可以通过 CVS 模块名来从单个文件里检出任何东西并赋给特定的程序 (比如 ls 或者 grep)。 当然，anoncvs 也只适用于对 CVS 仓库的只读操作，所以如果您是想用和 FreeBSD 项目共享的仓库提供本地开发的话， CVSup 几乎是您唯一的选择。 <anchor id="anoncvs-usage">使用匿名 CVS 配置 &man.cvs.1; 使用匿名 CVS 仓库可以简单的设定 CVSROOT 环境变量指向 FreeBSD 项目的 anoncvs 服务器之一。到此书写作为止， 下面的服务器都是可用的： 法国: :pserver:anoncvs@anoncvs.fr.FreeBSD.org:/home/ncvs (pserver (口令是 anoncvs), ssh (没有口令)) 日本: :pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs (使用 cvs login 并在提示输入口令时输入 anoncvs.) 台湾地区: :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs (pserver (使用 cvs login 并在提示输入口令时， 输入任意口令。)， ssh (无口令)) SSH2 HostKey: 1024 e8:3b:29:7b:ca:9f:ac:e9:45:cb:c8:17:ae:9b:eb:55 /etc/ssh/ssh_host_dsa_key.pub 美国: freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs (仅 ssh - 无口令) SSH HostKey: 1024 a1:e7:46:de:fb:56:ef:05:bc:73:aa:91:09:da:f7:f4 root@sanmateo.ecn.purdue.edu SSH2 HostKey: 1024 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65 ssh_host_dsa_key.pub USA: anoncvs@anoncvs1.FreeBSD.org:/home/ncvs (仅限 ssh2 - 无口令) SSH2 HostKey: 2048 53:1f:15:a3:72:5c:43:f6:44:0e:6a:e9:bb:f8:01:62 /etc/ssh/ssh_host_dsa_key.pub 因为 CVS 实际上允许 检出 曾经存在的 (或者，某种情况下将会存在) FreeBSD 源代码的任意版本， 您需要熟悉 &man.cvs.1; 的版本 () 参数， 以及在 FreeBSD 代码库中可用的值。 有两种标签，修订标签和分支标签。 修订标签特指一个特定的修订版本。含义始终是不变的。 分支标签，另一方面， 指代给定时间给定开发分支的最新修订， 因为分支标签不涉及特定的修订版本， 它明天所代表的含义就可能和今天的不同。 包括了用户可能感兴趣的 修订标签。 请注意， 这些标签并不适用于 Ports Collection， 因为它并不包含多个开发分支。 当您指定一个分支标签，您通常会得到那个开发分支的文件的最新版本。 如果您希望得到一些旧的版本，您可以用 标记制定一个日期。 察看 &man.cvs.1; 手册页了解更多细节。 示例 在这之前强烈建议您通读 &man.cvs.1; 的手册页， 这里有一些简单的例子来展示如何使用匿名 CVS： 从 -CURRENT 检出些东西 (&man.ls.1;)： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login >在提示符处，输入任意密码 password. &prompt.user; cvs co ls 通过 SSH 检出整个 <filename>src/</filename> 代码树： &prompt.user; cvs -d freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs co src The authenticity of host 'anoncvs.freebsd.org (128.46.156.46)' can't be established. DSA key fingerprint is 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 'anoncvs.freebsd.org' (DSA) to the list of known hosts. 检出 6-STABLE 分支中的 &man.ls.1; 版本： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入任意密码 password。 &prompt.user; cvs co -rRELENG_6 ls 创建 &man.ls.1; 的变化列表(用标准的 diff) &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入任意密码 password。 &prompt.user; cvs rdiff -u -rRELENG_5_3_0_RELEASE -rRELENG_5_4_0_RELEASE ls 找出可以使用的其它的模块名： &prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.tw.FreeBSD.org:/home/ncvs &prompt.user; cvs login 在提示符处，输入任意密码 password。 &prompt.user; cvs co modules &prompt.user; more modules/modules 其他资源 下面附加的资源可能对学习 CVS 有帮助： CVS 指南 来自 Cal Poly。 CVS 主页， CVS 开发和支持社区。 CVSweb 是 FreeBSD 项目的 CVS web 界面。 使用 CTM CTM CTM 是保持远程目录树和中央服务器目录树同步的一种方法。 它被开发用于 FreeBSD 的源代码树，虽然其他人随着时间推移会发现它可以用于其他目的。 当前几乎没有，也或者只有很少的文档讲述创建 deltas 的步骤， 所以如果您希望使用 CTM 去做其它事情， 请联系 &a.ctm-users.name; 邮件列表了解更多信息。 为什么我该使用 <application>CTM</application>? CTM 会给您一份 FreeBSD 源代码树的本地副本。 代码树有很多的 flavors 可用。不管您是希望跟踪完整的 CVS 树还是只是一个分支， CTM 都会给您提供信息。 如果您是 FreeBSD 上的一个活跃的开发者，但是缺乏或者不存在 TCP/IP 连接，或者只是希望把变化自动发送给您， CTM 就是适合您的。对于最积极的分支 您将会每天获得三个以上的 deltas。 然而，您应该考虑通过邮件来自动发送。 升级的大小总是保证尽可能的小。 通常小于 5K，也偶然(十分之一可能)会有 10-50K，也不时地有个大的 100K+ 甚至更大的。 您也需要让自己了解直接和开发代码而不是预发行版本打交道的各种警告。这种情况会很显著， 如果您选择了 current 代码的话。强烈建议您阅读和 FreeBSD 保持同步。 使用 <application>CTM</application> 我需要做什么？ 您需要两样东西：CTM 程序，还有初始的 deltas 来 feed it(达到 current 级别)。 CTM 程序从版本 2.0 发布以来 已经是 FreeBSD 的一部分了，如果您安装了源代码副本的话， 它位于 /usr/src/usr.sbin/ctm。 您喂给 CTM 的 deltas 可以有两种方式，FTP 或者 email。 如果您有普通的访问 Internet 的 FTP 权限， 那么下面的 FTP 站点支持访问 CTM： 或者看看这一小节镜像。 FTP 访问相关的目录并取得 README 文件，从那里开始。 如果您希望通过 email 得到您的 deltas： 订阅一个 CTM 分发列表。 &a.ctm-cvs-cur.name; 支持完整的 CVS 树。 &a.ctm-src-cur.name; 支持最新的开发分支。 &a.ctm-src-4.name; 支持 4.X 发行分支， 等等。。(如果您不知道如何订阅邮件列表， 点击上面的列表名或者到 &a.mailman.lists.link; 点击您希望订阅的列表。 列表页包含了所有必要的订阅指导。) 当您开始接收到您邮件中的 CTM 升级时，您可以使用 ctm_rmail 程序来解压并应用它们。 事实上如果您想要让进程以全自动的形式运行的话，您可以通过在 /etc/aliases 中设置直接使用 ctm_rmail 程序。 查看 ctm_rmail 手册页了解更多细节。 不管您使用什么方法得到 CTM deltas，您都应该订阅 &a.ctm-announce.name; 邮件列表。 以后会有单独的地方提交有关 CTM 系统的操作的公告。 点击上面的邮件列表名并按照指示订阅邮件列表。 第一次使用 <application>CTM</application> 在您开始使用 CTM delta 之前，您需要获得一个起始点。 首先您应该确定您已经有了什么。每个人都可以从一个空目录开始。 您必须用一个初始的 空的 delta 来开始您的 CTM 支持树。曾经为了您的便利这些 起始 deltas 被有意的通过 CD 来发行， 然而现在已经不这样做了。 因为代码树有数十兆字节，您应该更喜欢从手头上已经有的东西开始。如果您有一张 -RELEASE CD 光盘，您可以从里面复制或者解压缩一份初始代码出来。 这会节省非常多的数据传输量。 您会发现这些初始的 deltas 名字的数字后面都有个 X (比如 src-cur.3210XEmpty.gz)。 后面加一个 X 的设计符合您的初始 seed 的由来。 Empty 是一个空目录。通常一个基本的从 Empty 开始的转换由 100 个 deltas 构成。顺便说一下，他们都很大！70 到 80 兆字节的 gzip 压缩的数据对于 XEmpty deltas 是很平常的。 一旦您已经选定了一个基本的 delta 开始，您就需要比这个数高的所有的 delta。 在您的日常生活中使用 <application>CTM</application> 要应用 deltas，简单的键入： &prompt.root; cd /where/ever/you/want/the/stuff &prompt.root; ctm -v -v /where/you/store/your/deltas/src-xxx.* CTM 能够理解被 gzip 压缩的 deltas，所以您不需要先 gunzip 他们，这可以节省磁盘空间。 除非觉得整个过程非常可靠， CTM 不会涉及到您的代码树的。您也可以使用 标记来校验 delta， 这样 CTM 就不会涉及代码树； 它会只校验 delta 的完整性看看是否可以安全的用于您的当前代码树。 CTM 还有其他的一些参数， 查看手册页或者源代码了解更多信息。 这真的就是全部的事情了。每次得到一个新的 delta，就通过 CTM 运行它来保证您的代码是最新的。 如果这些 deltas 很难重新下载的话不要删除它们。 有些东西坏掉的时候您会想到保留它们的。 即使您只有软盘，也请考虑使用 fdwrite 来做一份副本。 维持您本地的变动 作为一名开发者喜欢实验，改动代码树中的文件。 CTM 用一种受限的方式支持本地修改：再检查文件 foo 存在之前，首先查找 foo.ctm。如果这个文件存在， CTM 会对它操作而不是 foo。 这种行为给我们提供了一种简单的方式来维持本地的改动： 只要复制您计划修改的文件并用 .ctm 的后缀重新命名。 然后就可以自由的修改代码了，CTM 会更新 .ctm 文件到最新版本。 其他有趣的 <application>CTM</application> 选项 正确的找出哪些将被更新 您可以确定变动列表， CTM 可以做到，在您的代码库上使用 CTM 的 选项。 这很有用如果您想要保存改动的日志， pre- 或者 post- 用各种风格处理修改的文件的纪录， 或者仅仅是想感受一下孩子般的疯狂。 在升级前制作备份 有时您可能想备份将要被 CTM 升级所改动的所有文件。 指定 选项会导致 CTM 备份将要被给定的 CTM delta 改动的所有文件到 backup-file。 限定受升级影响的文件 有时您可能对限定一个给定的 CTM 升级的范围感兴趣，也有可能想知道怎样从一列 deltas 中解压缩一部分文件。 您可以通过使用 和 选项指定过滤规则表达式来控制 CTM 即将对之操作的文件列表。 例如，要从您保存的CTM deltas 集里解压缩出一个最新的 lib/libc/Makefile 文件，运行这个命令： &prompt.root; cd /where/ever/you/want/to/extract/it/ &prompt.root; ctm -e '^lib/libc/Makefile' ~ctm/src-xxx.* 对于每一个在 CTM delta 中指定的文件， 和 选项按照命令行给定的顺序应用。 文件只有在所有的 和 被应用之后标记为合格之后 才能被 CTM 操作。 <application>CTM</application> 未来的计划 其中几项： 在 CTM 中使用一些认证方式， 这样来允许察觉冒充的 CTM 补丁。 整理 CTM 的选项， 它们变得杂乱而违反直觉了。 杂项 也有一系列的 ports collection 的 deltas，但是人们对它的兴致还没有那么高。 CTM 镜像 CTM/FreeBSD 可以在下面的镜像站点通过匿名 FTP 下载。如果您选择通过匿名 FTP 获取 CTM， 请试着使用一个离您较近的站点。 如果有问题，请联系 &a.ctm-users.name; 邮件列表。 加利福尼亚州，海湾地区，官方源代码 南非，旧的 deltas 的备份服务器 中国台湾 如果您在您附近找不到镜像或者镜像不完整， 试着使用搜索引擎比如 alltheweb. 使用 CVSup 概述 CVSup 是一个用于从远程服务器主机上的主 CVS 仓库发布和升级源代码树的软件包。 FreeBSD 的源代码维护在加利福尼亚州一台主开发服务器的 CVS 仓库里。 有了 CVSup，FreeBSD 用户可以很容易的保持他们自己的源代码树更新。 CVSup 使用所谓的升级 pull 模式。在 pull 模式下，客户端在需要的时候向服务器端请求更新。 服务器被动的等待客户端的升级请求。 因此所有的升级都是客户端发起的。 服务器决不会发送未请求的升级。用户必须手动运行 CVSup 客户端获取更新， 或者设置一个 cron 作业来让它以固定的规律自动运行。 术语 CVSup用大写字母写正是表示， 代表了完整的软件包。 它的主要组件是运行在每个用户机器上的客户端 cvsup， 和运行在每个 FreeBSD 镜像站点上的服务器端 cvsupd。 当您阅读 FreeBSD 文档和邮件列表时，您可能会看见 sup。 Sup 是 CVSup 的前身，有着相似的目的。 CVSup 使用很多和 sup 相同的方式， 而且， 它还是用使用和 sup 的兼容的配置文件。 Sup 已经不再被 FreeBSD 项目使用了， 因为 CVSup 既快又有更好的灵活性。 csup 是用 C 语言对 CVSup 软件的重写。 它最大的好处是， 这个程序更快一些， 并且也不需要依赖于 Modula-3 语言， 因此也就不需要安装后者。 另外， 如果您使用 &os; 6.2 或更新版本， 就可以直接使用， 因为它成为了基本系统的一部分。 较早的 &os; 版本的基本系统中并不包含 &man.csup.1;， 但可以通过 net/csup port 或预编译包来安装。 不过需要注意的是， csup 工具并不支持 CVS 模式。 如果您希望对代码库做完整的镜像， 则还是需要使用 CVSup。 假如您决定使用 csup， 则可以跳过安装 CVSup 这一步， 并在文章中余下部分提到的 CVSup 改为 csup。 安装 安装 CVSup 最简单的方式就是使用 FreeBSD packages collection 中预编译的 net/cvsup 包。 如果您想从源代码构建 CVSup， 您可以使用 net/cvsup port。但是预先警告一下： net/cvsup port 依赖于 Modula-3 系统，会花费相当的时间和磁盘空间来下载编译。 如果想在没有安装 &xfree86; 或 &xorg; 的计算机， 例如服务器上使用 CVSup， 则只能使用不包含 CVSup GUI 的 net/cvsup-without-gui。 如果希望在 &os; 6.1 或更早版本中安装 csup， 则可以从 FreeBSD 的 packages collection 中安装预编译的 net/csup 包； 如果希望自行从源代码编译 csup， 也可以用 net/csup port 来安装。 CVSup 配置 CVSup 的操作被一个叫做 supfile 的配置文件所控制。 在目录 /usr/share/examples/cvsup/ 下面有一些示例的 supfiles。 supfile 中的信息解答了 CVSup 下面的几个问题： 您想接收 哪些文件？ 您想要它们的 哪个版本？ 您想从哪里 获取它们？ 您想把它们 放在您自己机器的什么地方？ 您想把 您的状态文件放在哪？ 在下面的章节里，我们通过依次回答这些问题来创建一个典型的 supfile 文件。首先，我们描述一下 supfile 的整体构成。 supfile 是个文本文件。注释用 # 开头，至行尾有效。 空行和只包含注释的行会被忽略。 每个保留行描述一批用户希望接收的文件。 每行以 collection， 由服务器端定义的合理的文件分组，的名字开头。 collection 的名字告诉服务器您想要的文件。 collection 名字结束或者有更多的字段，用空格分隔。 这些字段回答了上面列出的问题。 字段类型有两种：标记字段和值字段。 标记字段由独立的关键字组成，比如， delete 或者 compress。值字段也用关键字开头， 关键字后面跟 = 和第二个词而没有空格。 例如，release=cvs 是一个值字段。 一个典型的 supfile 往往接收多于一个的 collection。创建 supfile 的一种方式是明确的为每一个 collection 指定相关的字段。然而，这样使得 supfile 的行变得特别长，很不方便， 因为 supfile 中的所有 collection 的大部分 字段都是相同的。 CVSup 提供了一个默认机制来避免 这些问题。用特定的伪 collection 名 *default 开头的行可以被用来设置标记和值为 supfile 中随后的 collection 中的默认值。 默认值可以通过为这个 collection 自身指定不同的值来对单个的 collection 覆盖设置， 也可以在 mid-supfile 中通过附加的 *default 行改变或扩充。 知道了这些，我们现在就可以开始创建一个 用于接收和升级 FreeBSD-CURRENT 主源代码树的 supfile 文件了。 您想接收哪些文件？ 通过 CVSup 可用的文件组织成叫做 collections 的名称组。 这些可用的 collection 在 随后的章节 中描述。 在这个例子里， 我们希望接收 FreeBSD 系统的完整的主代码树。 有一个单独的大的 collection src-all 让我们完成这个。 创建我们的 supfile 的第一步， 我们简单的列出这些 collection，每个一行(在这个例子里， 只有一行)： src-all 您想要他们的 哪个版本？ 通过 CVSup，您实际上可以接收 曾经存在的源代码的任何版本。 这是有可能的，因为 cvsupd 服务器直接通过 CVS 仓库工作，那包含了所有的版本。您可以 用 tag= 和 值字段 指定一个您想要的版本。 仔细的正确指定任何 tag= 字段。有一些 tag 只对特定的 collection 文件合法。 如果您指定了一个不正确的或者 拼写错误的 tag，CVSup 会删除您可能不想删除的文件。 特别地，对 ports-* collection 只使用 tag=.。 tag= 字段在仓库中表示为一个符号标签。 有两种标签，修订标签和分支标签。 修订标签代表一个特定的修订版本。 它的含义是一成不变的。 分支标签，另一方面，代表给定开发线上给定时间的最新修订。 因为分支标签不代表一个特定的修订版本， 它明天的含义就可能和今天的有所不同。 包含了用户可能感兴趣的分支标签。 当在 CVSup 的配置文件中指定标签的时候，必须用 tag= 开头 (RELENG_4 会变成 tag=RELENG_4)。 记住只有 tag=. 可以用于 Ports Collection。 注意像看到的那样正确的输入标签名。 CVSup 不能辨别合法和不合法标签。 如果您拼写错了标签名， CVSup 会像您指定了一个没有任何文件的合法标签一样工作， 那会删除您已经存在的代码。 当您指定一个分支标签的时候，您通常会收到开发线上文件的最新版本。 如果您希望接收一些过时的版本，您可以通过用 值字段指定一个日期来做到。 &man.cvsup.1; 手册页解释了如何来做。 对于我们的示例来说，我们希望接收 FreeBSD-CURRENT。 我们在我们的 supfile 的开头添加这行： *default tag=. 有一个重要的特例， 如果您既没指定 tag= 字段也没指定 date= 字段的情况。这种情况下， 您会收到直接来自于服务器 CVS 仓库的真实的 RCS 文件， 而不是某一特定版本。 开发人员一般喜欢这种操作模式。 通过在他们的系统上维护一份仓库自身的副本， 他们可以浏览修订历史以及检查文件过去的版本。 然而，这个好处是以大量的磁盘空间为代价的。 您想从哪里获取他们？ 我们使用 host= 字段来告诉 cvsup 从哪里获取更新。 任何一个 CVSup 镜像站点都可以， 虽然您应该选择一个离您比较近的站点。 在这个例子里我们将使用一个虚拟的 FreeBSD 发布站点， cvsup99.FreeBSD.org： *default host=cvsup99.FreeBSD.org 您需要在运行 CVSup 之前把这个改成一个实际存在的站点。 在任何 cvsup 运行的特定时刻， 您都可以在命令行上使用 选项来覆盖主机设置。 您想把它们放在 您自己机器的什么地方？ prefix= 字段告诉 cvsup 把接收的文件放在哪里。 在这个例子里，我们把源代码文件直接放进我们的主源代码树， /usr/src。 src 目录已经隐含在我们选择接收的 collection 里了， 所以正确的写法是： *default prefix=/usr cvsup 在哪里维护它的状态文件？ CVSup 客户端在被叫做 base 的目录里维护了几个状态文件。 这些文件帮助 CVSup 更有效的工作， 通过跟踪您已经接收到哪些更新的方式。 我们将使用标准的 base 目录， /var/db： *default base=/var/db 如果您的 base 目录还不存在，现在最好创建它。 如果 base 目录不存在，cvsup 客户端会拒绝工作。 其他的 supfile 设置： 在 supfile 中有一些其他选项需要介绍一下： *default release=cvs delete use-rel-suffix compress release=cvs 显示服务器应该从 FreeBSD 的主 CVS 仓库中获取信息。 事实上总是这样的，但是也有可能会超出这个讨论的范围。 delete 给 CVSup 权限删除文件。 您应该总是指定这个，这样 CVSup 可以保证您的源代码树完全更新。CVSup 很小心的只删除那些不再依赖的文件。 您拥有的任何额外的文件会被严格的保留。 use-rel-suffix 是 ... 不可思议的。 如果您真的想了解它，查看 &man.cvsup.1; 手册页。 否则，就指定而不用担心这个。 compress 启用 gzip 风格的信道压缩。 如果您的网络连接是 T1 或者更快， 您可能不想使用压缩。 否则，它非常有帮助。 把它们放在一起： 这是我们的示例的完整 supfile 文件： *default tag=. *default host=cvsup99.FreeBSD.org *default prefix=/usr *default base=/var/db *default release=cvs delete use-rel-suffix compress src-all <filename>refuse</filename> 文件 像上面提到的，CVSup 使用一种 pull 方法。基本上，这意味着您要连接到 CVSup 服务器，服务器说， 这有些您能下载的东西 ...，然后您的客户端反应好，我要这个， 这个，这个，还有这个。在默认的配置中， CVSup 客户端会取回您在配置文件中选定的 collection 和标签的每个文件。 然而，并不总是您想要的， 尤其是您在同步 doc，ports，或者 www 树 — 大部分人都不能阅读四种或者五种 语言，因此他们不需要下载特定语言的文件。 如果您在 CVSup Ports Collection，您 可以通过单独指定每个 collection 来避免这个 (比如，ports-astrology， ports-biology，等等取代简单的说明 ports-all)。然而，因为 doc 和 www 树没有特定语言的 collection，您必须 使用 CVSup 许多极好的特性之一： refuse 文件。 refuse 文件本质上是告诉 CVSup 它不应该从 collection 中取得某些文件；换句话说，它告诉客户端 拒绝 来自服务器的特定的文件。 refuse 文件可以在 base/sup/ 中找到(或者，如果您没有，应该创建一个)。 base 在您的 supfile 中定义； 默认情况下，base 就是 /var/db， 这意味着默认的 refuse 文件就是 /var/db/sup/refuse。 refuse 文件的格式很简单； 它仅仅包含您不希望下载的文件和目录名。 例如，如果您除了英语和德语之外不会讲其他语言， 而且也不打算阅读德文的文档翻译版本， 则可以把下面这些放在您的 refuse 文件里： doc/bn_* doc/da_* doc/de_* doc/el_* doc/es_* doc/fr_* doc/hu_* doc/it_* doc/ja_* doc/mn_* doc/nl_* doc/no_* doc/pl_* doc/pt_* doc/ru_* doc/sr_* doc/tr_* doc/zh_* 等等其他语言(您可以通过浏览 FreeBSD CVS 仓库找到完整的列表)。 有这个非常有用的特性，那些慢速连接或者要为他们的 Internet 连接按时付费的用户就可以节省宝贵的时间因为他们不再需要 下载那些从来不用的文件。要了解 refuse 文件的更多信息以及其它 CVSup 的优雅的特性，请浏览它的 手册页。 运行 <application>CVSup</application> 您现在准备尝试升级了。命令很简单： &prompt.root; cvsup supfile supfile 的位置当然就是您刚刚创建的 supfile 文件名啦。 如果您在 X11 下面运行，cvsup 会显示一个有一些可以做平常事情的按钮的 GUI 窗口。 按 go 按钮，然后看着它运行。 在这个例子里您将要升级您目前的 /usr/src 树，您将需要 用 root 来运行程序，这样 cvsup 有需要的权限来更新您的文件。 刚刚创建了您的配置文件，又从来没有使用过这个程序， 紧张不安是可以理解的。有一个简单的方法不改变您当前的文件 来做一次试验性的运行。只要在方便的地方创建一个 空目录，并在命令行上作为一个额外的参数说明： &prompt.root; mkdir /var/tmp/dest &prompt.root; cvsup supfile /var/tmp/dest 您指定的目录会作为所有文件更新的目的路径。 CVSup 会检查您在 /usr/src 中的文件，但是不会修改或 删除。任何文件更新都会被放到 /var/tmp/dest/usr/src 里了。 在这种方式下运行 CVSup 也会把它的 base 目录状态文件保持原样。这些文件的新版本 会被写到指定的目录。 因为您有 /usr/src 目录的读权限，所以执行这种试验性的运行 甚至不需要使用 root 用户。 如果您没有运行 X11 或者不喜欢 GUI， 当您运行 cvsup 的时候需要在命令行添加 两个选项： &prompt.root; cvsup -g -L 2 supfile 告诉 CVSup 不要使用 GUI。如果您 没在运行 X11 这个是自动的，否则您必须指定它。 告诉 CVSup 输出所有正在升级的文件的细节。 有三个等级可以选择，从 到 。默认是 0，意味着除了错误消息 什么都不输出。 还有许多其它的选项可用。想要一个简短的列表， 输入 cvsup -H。要查看更详细的描述， 请查看手册页。 一旦您对升级工作的方式满意了，您就 可以使用 &man.cron.8; 来安排规则的运行 CVSup。 很显然的，您不应该让 CVSup 通过 &man.cron.8; 运行的时候使用它的 GUI。 <application>CVSup</application> 文件 collection CVSup 可用的文件 collection 是分级组织的。 有几个大的 collection，然后它们有分成更小的子 collection。接收一个大的 collection 等同于 接收它的每一个子 collection。 collection 的等级关系在下面列表中通过缩进的使用 反映出来。 最常用的 collection 是 src-all，和 ports-all。其它的 collection 只被有着特定 目的的小部分人使用， 有些站点可能不全部支持。 cvs-all release=cvs FreeBSD 主 CVS 仓库，包含 密码系统的代码。 distrib release=cvs FreeBSD 发行版本和镜像相关的 文件。 doc-all release=cvs FreeBSD 使用手册和其它文档的源代码。 其中不包含 FreeBSD web 站点的文件。 ports-all release=cvs FreeBSD Ports Collection。 如果您不想升级全部的 ports-all(整个 ports 树)， 而只是使用下面列出的一个子集， 请确保您总是升级了 ports-base 子 collection！ 无论何时在 ports 构建下层构造有所改变的时候都会通过 ports-base 表现出来，事实上某些 改变会很快的被实际的 ports 使用，因此，如果您只升级了 实际的 ports 而他们使用了一些新的特性， 就有极大的可能编译会因一些神秘的错误信息而失败。 这种情况下非常快速的要做的事情 就是确保您的 ports-base 子 collection 更新到 最新。 要自行构建 ports/INDEX， 您 必须 接受 ports-all (完整的 ports tree)。 在部分 ports tree 上构建 ports/INDEX 是不被支持的。 请参见 FAQ。 ports-accessibility release=cvs 用以帮助残疾用户的软件。 ports-arabic release=cvs 阿拉伯语支持。 ports-archivers release=cvs 存档工具。 ports-astro release=cvs 天文相关的 ports。 ports-audio release=cvs 声音支持。 ports-base release=cvs Ports Collection 构建下部构造 - 位于 /usr/ports 的 Mk/ 和 Tools/ 子目录的 各种各样的文件。 请查看 重要警告：您应该 总是更新这个 子 collection，无论您更新 FreeBSD Ports Collection 的任何部分的时候！ ports-benchmarks release=cvs 基准。 ports-biology release=cvs 生物学。 ports-cad release=cvs 计算机辅助设计工具。 ports-chinese release=cvs 中文语言支持。 ports-comms release=cvs 通信软件。 ports-converters release=cvs 字符编码转换。 ports-databases release=cvs 数据库 ports-deskutils release=cvs 计算机发明前常出现在桌面上的东西。 ports-devel release=cvs 开发工具。 ports-dns release=cvs DNS 相关软件。 ports-editors release=cvs 编辑器 ports-emulators release=cvs 其它操作系统的模拟器 ports-finance release=cvs 货币，金融相关应用程序。 ports-ftp release=cvs FTP 客户端和服务器端工具。 ports-games release=cvs 游戏 ports-german release=cvs 德语支持。 ports-graphics release=cvs 图形图像工具。 ports-hebrew release=cvs 希伯来语支持。 ports-hungarian release=cvs 匈牙利语言支持。 ports-irc release=cvs Internet 多线交谈(IRC)工具。 ports-japanese release=cvs 日语支持。 ports-java release=cvs &java; 工具。 ports-korean release=cvs 韩国语言支持。 ports-lang release=cvs 编程语言。 ports-mail release=cvs 邮件软件。 ports-math release=cvs 数值计算软件。 ports-mbone release=cvs MBone 应用程序。 ports-misc release=cvs 杂样工具。 ports-multimedia release=cvs 多媒体软件。 ports-net release=cvs 网络软件。 ports-net-im release=cvs 即时消息软件。 ports-net-mgmt release=cvs 网管软件。 ports-net-p2p release=cvs 对等网 (peer to peer network) 应用。 ports-news release=cvs USENET 新闻软件。 ports-palm release=cvs Palm 系列软件支持。 ports-polish release=cvs 波兰语支持。 ports-ports-mgmt release=cvs 用于管理 ports 和预编译包的工具。 ports-portuguese release=cvs 葡萄牙语支持。 ports-print release=cvs 打印软件。 ports-russian release=cvs 俄语支持。 ports-science release=cvs 科学计算。 ports-security release=cvs 安全工具。 ports-shells release=cvs 命令行 shell。 ports-sysutils release=cvs 系统实用工具。 ports-textproc release=cvs 文本处理工具(不 包含桌面出版)。 ports-ukrainian release=cvs 乌克兰语支持。 ports-vietnamese release=cvs 越南语支持。 ports-www release=cvs 万维网(WWW)相关软件。 ports-x11 release=cvs 支持 X window 系统的 ports。 ports-x11-clocks release=cvs X11 时钟。 ports-x11-drivers release=cvs X11 驱动程序。 ports-x11-fm release=cvs X11 文件管理器。 ports-x11-fonts release=cvs X11 字体和字体工具。 ports-x11-toolkits release=cvs X11 工具包。 ports-x11-servers release=cvs X11 服务器。 ports-x11-themes release=cvs X11 主题。 ports-x11-wm release=cvs X11 窗口管理器。 projects-all release=cvs FreeBSD 内部项目的代码库。 src-all release=cvs FreeBSD 主代码，包含密码系统的代码。 src-base release=cvs /usr/src 顶层的各式各样的文件。 src-bin release=cvs 但用户模式下可能用到的用户工具 (/usr/src/bin)。 src-cddl release=cvs 采用了 CDDL 授权的实用工具和函数库 (/usr/src/cddl)。 src-contrib release=cvs FreeBSD 项目之外的工具和库，通常在 FreeBSD 中不作修改 (/usr/src/contrib)。 src-crypto release=cvs FreeBSD 项目之外的 密码系统工具和库，通常在 FreeBSD 中不作修改 (/usr/src/crypto)。 src-eBones release=cvs Kerberos 和 DES (/usr/src/eBones)。 没有在当前的 FreeBSD 发行中使用。 src-etc release=cvs 系统配置文件 (/usr/src/etc)。 src-games release=cvs 游戏 (/usr/src/games)。 src-gnu release=cvs GNU 公共许可协议的工具 (/usr/src/gnu)。 src-include release=cvs 头文件 (/usr/src/include)。 src-kerberos5 release=cvs Kerberos5 安全包 (/usr/src/kerberos5)。 src-kerberosIV release=cvs KerberosIV 安全包 (/usr/src/kerberosIV)。 src-lib release=cvs 库 (/usr/src/lib)。 src-libexec release=cvs 通常被其它程序调用的系统程序 (/usr/src/libexec)。 src-release release=cvs 生成 FreeBSD 版本必需的文件 (/usr/src/release)。 src-rescue release=cvs 用于紧急修复的静态联编的程序； 请参见 &man.rescue.8; (/usr/src/rescue)。 src-sbin release=cvs 但用户模式的系统工具 (/usr/src/sbin)。 src-secure release=cvs 密码相关库和命令 (/usr/src/secure)。 src-share release=cvs 跨多个平台的共享的文件 (/usr/src/share)。 src-sys release=cvs 内核 (/usr/src/sys)。 src-sys-crypto release=cvs 内核密码系统代码 (/usr/src/sys/crypto)。 src-tools release=cvs 维护 FreeBSD 的各种各样的工具 (/usr/src/tools)。 src-usrbin release=cvs 用户工具 (/usr/src/usr.bin)。 src-usrsbin release=cvs 系统工具 (/usr/src/usr.sbin)。 www release=cvs FreeBSD WWW 站点的源代码。 distrib release=self CVSup 服务器的 配置文件。用于 CVSup 镜像站点。 gnats release=current GNATS bug 跟踪数据库。 mail-archive release=current FreeBSD 邮件列表存档。 www release=current 预处理过的 FreeBSD WWW 站点文件(不是源文件)。 用于 WWW 镜像站点。 更多信息 CVSup FAQ 以及关于 CVSup 的其他信息， 请查看 CVSup 主页。 多数与 FreeBSD 有关的 CVSup 讨论会在 &a.hackers; 进行。 这个软件的新版本会在那里和 &a.announce; 公布。 如果对于 CVSup 有任何问题， 或希望提交 bug 报告， 请参阅 CVSup FAQ。 CVSup 站点 FreeBSD 的 CVSup 服务器运行于 下列站点： &chap.mirrors.cvsup.inc; CVS 标签 当使用 cvs 或者 CVSup 获取和升级源代码的时候，必须指定一个修订标签。 修订标签代表 &os; 开发的一个特定分支， 或者一个特定的时间点。第一种叫做 分支标签，第二种叫做 版本标签。 分支标签 所有这些，除了 HEAD (这个总是 合法标签)以外，只适用于 src/ 树。ports/，doc/，和 www/ 树没有分支。 HEAD 主线的符号名，或者说 FreeBSD-CURRENT。 当没有指定修订版本的时候也是默认的。 在 CVSup 里，这个标签通过 一个 . 来反映出来(不是标点，而是一个 . 字符)。 在 CVS 里，当没有修订标签指定时这是默认的。 在一台 STABLE 机器上检出或者升级到 CURRENT 源代码 通常不是 一个好主意，除非这是您的本意。 RELENG_7 这是 FreeBSD-7.X 的开发分支， 也被称作 FreeBSD 7-STABLE。 + + RELENG_7_2 + + + FreeBSD-7.2 的发行版分支， 只用于安全公告， + 以及其他重要更新。 + + + RELENG_7_1 FreeBSD-7.1 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_7_0 FreeBSD-7.0 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6 这是 FreeBSD-6.X 的开发分支， 也被称作 FreeBSD 6-STABLE。 RELENG_6_4 FreeBSD-6.4 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_3 FreeBSD-6.3 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_2 FreeBSD-6.2 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_1 FreeBSD-6.1 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_6_0 FreeBSD-6.0 的发行版分支， 只用于安全公告， 以及其他重要更新。 RELENG_5 这是 FreeBSD-5.X 的开发分支， 也被称作 FreeBSD 5-STABLE。 RELENG_5_5 FreeBSD-5.5 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_4 FreeBSD-5.4 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_3 FreeBSD-5.3 安全分支。 只被安全公告和其它重要更新使用。 RELENG_5_2 针对 FreeBSD-5.2 和 FreeBSD-5.2.1 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_5_1 针对 FreeBSD-5.1 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_5_0 针对 FreeBSD-5.0 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4 FreeBSD-4.X 开发线，也被叫做 FreeBSD-STABLE。 RELENG_4_11 FreeBSD-4.11 发行版， 只被安全公告和其它重要更新使用。 RELENG_4_10 针对 FreeBSD-4.10 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_9 针对 FreeBSD-4.9 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_8 针对 FreeBSD-4.8 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_7 针对 FreeBSD-4.7 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_6 针对 FreeBSD-4.6 和 FreeBSD-4.6.2 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_5 针对 FreeBSD-4.5 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_4 针对 FreeBSD-4.4 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_4_3 针对 FreeBSD-4.3 的发行版本分支，只做 安全咨询和其它紧急的修正。 RELENG_3 FreeBSD-3.X 的开发线，也被叫做 3.X-STABLE。 RELENG_2_2 FreeBSD-2.2.X 的开发线，也被叫做 2.2-STABLE。这个分支过于陈旧了。 版本标签 当一个特定的 &os; 版本发行时， 这些标签代表了一个指定的时间点。发布工程进程在 Release Engineering Information 和 Release Process 文档中被详细描述。 src 树使用以 RELENG_ 开头的标签。 ports 和 doc 树使用以 RELEASE 开头的标签。 最后， www 树上不会有任何特定发行版的标签。 + + RELENG_7_2_0_RELEASE + + + FreeBSD 7.2 + + + RELENG_7_1_0_RELEASE FreeBSD 7.1 RELENG_7_0_0_RELEASE FreeBSD 7.0 RELENG_6_4_0_RELEASE FreeBSD 6.4 RELENG_6_3_0_RELEASE FreeBSD 6.3 RELENG_6_2_0_RELEASE FreeBSD 6.2 RELENG_6_1_0_RELEASE FreeBSD 6.1 RELENG_6_0_0_RELEASE FreeBSD 6.0 RELENG_5_5_0_RELEASE FreeBSD 5.5 RELENG_5_4_0_RELEASE FreeBSD 5.4 RELENG_4_11_0_RELEASE FreeBSD 4.11 RELENG_5_3_0_RELEASE FreeBSD 5.3 RELENG_4_10_0_RELEASE FreeBSD 4.10 RELENG_5_2_1_RELEASE FreeBSD 5.2.1 RELENG_5_2_0_RELEASE FreeBSD 5.2 RELENG_4_9_0_RELEASE FreeBSD 4.9 RELENG_5_1_0_RELEASE FreeBSD 5.1 RELENG_4_8_0_RELEASE FreeBSD 4.8 RELENG_5_0_0_RELEASE FreeBSD 5.0 RELENG_4_7_0_RELEASE FreeBSD 4.7 RELENG_4_6_2_RELEASE FreeBSD 4.6.2 RELENG_4_6_1_RELEASE FreeBSD 4.6.1 RELENG_4_6_0_RELEASE FreeBSD 4.6 RELENG_4_5_0_RELEASE FreeBSD 4.5 RELENG_4_4_0_RELEASE FreeBSD 4.4 RELENG_4_3_0_RELEASE FreeBSD 4.3 RELENG_4_2_0_RELEASE FreeBSD 4.2 RELENG_4_1_1_RELEASE FreeBSD 4.1.1 RELENG_4_1_0_RELEASE FreeBSD 4.1 RELENG_4_0_0_RELEASE FreeBSD 4.0 RELENG_3_5_0_RELEASE FreeBSD-3.5 RELENG_3_4_0_RELEASE FreeBSD-3.4 RELENG_3_3_0_RELEASE FreeBSD-3.3 RELENG_3_2_0_RELEASE FreeBSD-3.2 RELENG_3_1_0_RELEASE FreeBSD-3.1 RELENG_3_0_0_RELEASE FreeBSD-3.0 RELENG_2_2_8_RELEASE FreeBSD-2.2.8 RELENG_2_2_7_RELEASE FreeBSD-2.2.7 RELENG_2_2_6_RELEASE FreeBSD-2.2.6 RELENG_2_2_5_RELEASE FreeBSD-2.2.5 RELENG_2_2_2_RELEASE FreeBSD-2.2.2 RELENG_2_2_1_RELEASE FreeBSD-2.2.1 RELENG_2_2_0_RELEASE FreeBSD-2.2.0 AFS 站点 FreeBSD 的 AFS 服务器运行于下面的站点： 瑞典 文件的路径是： /afs/stacken.kth.se/ftp/pub/FreeBSD/ stacken.kth.se # Stacken Computer Club, KTH, Sweden 130.237.234.43 #hot.stacken.kth.se 130.237.237.230 #fishburger.stacken.kth.se 130.237.234.3 #milko.stacken.kth.se 维护者 ftp@stacken.kth.se rsync 站点 下面的站点让 FreeBSD 可以通过 rsync 协议下载。 rsync 实用程序和 &man.rcp.1; 的工作方式很相像， 但是有更多的选项，使用 rsync 远程更新协议只传输 两份文件的不同之处， 因此能够大幅度的提高网络同步速率。 如果您是 FreeBSD FTP 服务器或者 CVS 仓库的镜像站点， 这一点非常有用。 rsync 套件可以工作在许多种 操作系统上，在 FreeBSD 上，查看 net/rsync port 或者使用 package。 捷克共和国 rsync://ftp.cz.FreeBSD.org/ 可用的 collection： ftp：FreeBSD FTP 服务器的 部分镜像。 FreeBSD：FreeBSD FTP 服务器的 完整镜像。 荷兰 rsync://ftp.nl.FreeBSD.org/ 可用的 collection： - vol/4/freebsd-core: 对于 + FreeBSD: 对于 FreeBSD FTP 服务器的完整镜像。 俄罗斯 rsync://cvsup4.ru.FreeBSD.org/ 可用的 collections: FreeBSD-gnats: GNATS bug 跟踪数据库。 台湾地区 (中国) rsync://ftp.tw.FreeBSD.org/ rsync://ftp2.tw.FreeBSD.org/ rsync://ftp6.tw.FreeBSD.org/ 可用的 collection： FreeBSD： FreeBSD FTP 服务器的完整镜像。 英国 - rsync://rsync.mirror.ac.uk/ + rsync://rsync.mirrorservice.org/ 可用的 collection： - ftp.FreeBSD.org: FreeBSD FTP 服务器 + sites/ftp.FreeBSD.org: FreeBSD FTP 服务器 的完整镜像。 美国 rsync://ftp-master.FreeBSD.org/ 服务器只供 FreeBSD 主镜像站点使用。 可用的 collection： FreeBSD：FreeBSD FTP 服务器的主要存档。 acl：FreeBSD 主 ACL 列表。 rsync://ftp13.FreeBSD.org/ 可用的 collection： FreeBSD：FreeBSD FTP 服务器的完整 镜像。 diff --git a/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml b/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml index 77e686249b..6572b7d82f 100644 --- a/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/multimedia/chapter.sgml @@ -1,1613 +1,1617 @@ Ross Lippert 编辑： 张 雪平 中文翻译： 多媒体 概述 FreeBSD 广泛地支持各种声卡， 让您可以从容地享受来自您的计算机的高保真输出。 这包括了录制和播放 MPEG Audio Layer 3 (MP3)、 WAV、 以及 Ogg Vorbis 等许多种格式声音的能力。 FreeBSD 同时也包括了许多的应用程序，让您可以录音、 增加声音效果以及控制附加的MIDI设备。 要是乐于动手， FreeBSD 也能支持播放一般的视频文件和 DVD。 对各种视频媒体进行编码、 转换和播放的应用程序比起处理声音的应用程序略少一些。 例如， 在撰写这章时， FreeBSD Ports Collection 中还没有类似 audio/sox 那样好的重编码工具能够用来在不同的格式之间转换。 不过， 这个领域的软件研发进展是很快的。 本章将介绍配置声卡的必要步骤。 X11 的安装和配置 () 里已经考虑到了您显卡的问题， 但要想有更好的播放效果， 仍需要调整一些东西。 读了本章后，您将知道： 如何配置系统识别声卡。 测试声卡是否正常工作的方法。 如何排除声卡安装中的问题。 如何播放和编码MP3以及其它格式的音频。 X 服务器如何支持视频。 哪些好的视频播放/压缩ports。 如何播放 DVD、 .mpg 以及 .avi 文件。 如何从 CD 和 DVD 中提取文件。 怎样配置电视卡。 如何配置图像扫描仪。 在读本章这前，您应该： 知道如何配置、安装一个新的内核 () 用&man.mount.8; 命令去装载CD光盘，至少会产生一个错误， 更糟的情况下会产生 kernel panic。 这种媒体所用的编码与通常的ISO文件系统是不同的。 Moses Moore 贡献者 Marc Fonvieille Enhanced for &os; 5.X by 安装声卡 配置系统 PCI ISA 声卡 在开始之前，您应该清楚声卡类型、所用的芯片以及它是 PCI 还是 ISA 卡。 FreeBSD 支持种类繁多的 PCI 和 ISA 卡。检查 硬件兼容说明 中支持的音频设备列表看看是否支持您的声卡， 硬件兼容说明也会说明支持您声卡的是哪个驱动程序。 内核 配置 要使用声卡， 就应装载正确的驱动程序。完成的方式有两种： 最简单的是使用命令 &man.kldload.8; 来装载一个内核模块，在命令行输入 &prompt.root; kldload snd_emu10k1 或者在文件 /boot/loader.conf 里加入一行，内容如下 snd_emu10k1_load="YES" 上边实例用于 Creative &soundblaster; Live! 声卡。 其它可装载的模块列在文件 /boot/defaults/loader.conf 里边。 如果不知道应该使用哪个驱动， 您可以尝试加载 snd_driver module: &prompt.root; kldload snd_driver 这是个 meta 驱动，一次加载了最常见的设备驱动。 这会提高搜索正确驱动的速度。也可以通过 /boot/loader.conf 工具来加载所有的声卡驱动。 如果希望在加载了 snd_driver meta 驱动之后了解到底选择了哪种声卡， 可以通过使用 cat /dev/sndstat 来查询 /dev/sndstat 文件。 另外，您也可以把支持您声卡的代码静态地编译到内核里去。 下一节就采用这种方式支持硬件给出提示。 关于重新编译内核，请参考 。 定制内核使其支持声卡 要做的第一件事情就是添加通用音频框架驱动 &man.sound.4; 到内核中， 您需要添加下面这行到内核配置文件中： device sound 接下来就是加入对我们所用声卡的支持了。 首先需要确定我们的声卡需要使用哪一个驱动。 您可以参考 硬件兼容列表 所列出的音频设备， 以确定您声卡的驱动。 例如， Creative &soundblaster; Live! 声卡由 &man.snd.emu10k1.4; 驱动来支持。 要添加它， 需要在内核编译配置文件中加入下面一行： device snd_emu10k1 一定要阅读驱动的联机手册了解如何使用它们。 关于内核配置文件中声卡驱动的具体写法， 也可以在 /usr/src/sys/conf/NOTES 文件中找到。 非即插即用的 ISA 卡可能需要您为内核提供一些关于声卡配置的信息 (IRQ、 I/O 端口， 等等)， 这一点与其他不支持即插即用的 ISA 卡类似。 这项工作可以通过 /boot/device.hints 文件来完成。 系统启动时， &man.loader.8; 将读取这个文件， 并将其中的配置传给内核。 例如， 旧式的 Creative &soundblaster; 16 ISA 非即插即用卡需要使用 &man.snd.sbc.4; 驱动并配合 snd_sb16(4)。 您可以在内核编译配置文件中增加如下配置： device snd_sbc device snd_sb16 还有下面这些到 /boot/device.hints中： hint.sbc.0.at="isa" hint.sbc.0.port="0x220" hint.sbc.0.irq="5" hint.sbc.0.drq="1" hint.sbc.0.flags="0x15" 这样，声卡使用 0x220 I/O 端口和 IRQ 5。 在 /boot/device.hints 文件中所使用的语法， 在 &man.sound.4; 联机手册中以及所用的具体声卡驱动的联机手册中， 会进行进一步的讲解。 上面所展示的是默认的配置。 有时候， 您可能需要更改 IRQ 或其他配置， 以适应声卡的实际情况。 查看 &man.snd.sbc.4; 联机手册了解更多信息。 测试声卡 用修改过的内核重起，或者加载了需要的模块之后， 声卡将会出现在您的系统消息缓存中 (&man.dmesg.8;)，就像这样： pcm0: <Intel ICH3 (82801CA)> port 0xdc80-0xdcbf,0xd800-0xd8ff irq 5 at device 31.5 on pci0 pcm0: [GIANT-LOCKED] pcm0: <Cirrus Logic CS4205 AC97 Codec> 声卡的状态可以通过 /dev/sndstat 文件来查询： &prompt.root; cat /dev/sndstat FreeBSD Audio Driver (newpcm) Installed devices: pcm0: <Intel ICH3 (82801CA)> at io 0xd800, 0xdc80 irq 5 bufsz 16384 kld snd_ich (1p/2r/0v channels duplex default) 您系统的输出可能与此不同。如果没有看到 pcm 设备，回顾并检查一下前面做的。 重新检查您的内核配置文件并保证选择了正确的设备。 常见问题列在 一节。 如果一切正常，您现在应该拥有一个多功能声卡了。 如果您的 CD-ROM 或者 DVD-ROM 驱动器的音频输出线已经与声卡连在一起， 您可以把 CD 放入驱动器并用 &man.cdcontrol.1; 来播放： &prompt.user; cdcontrol -f /dev/acd0 play 1 许多应用程序，比如 audio/workman 可以提供一个友好的界面。 您可能想要安装一个应用程序比如 audio/mpg123 来听 MP3 音频文件。 另一种快速测试声卡的方法， 是将数据发送到 /dev/dsp， 像这样做： &prompt.user; cat filename > /dev/dsp 这里 filename 可以是任意文件。 这行命令会产生一些噪音，证明声卡果真在工作。 声卡混音级别可以通过 &man.mixer.8; 命令更改。 更多细节可以在 &man.mixer.8; 联机手册中找到。 常见问题 设备节点 I/O 端口 IRQ DSP 错误信息 解决方法 sb_dspwr(XX) timed out I/O端口没有设置正确。 bad irq XX IRQ设置不正确。确信设定的IRQ和声卡的IRQ是一样的。 xxx: gus pcm not attached, out of memory 没有足够的内存空间供设置使用。 xxx: can't open /dev/dsp! 使用命令 fstat | grep dsp 进行检查是否有其它的程序打开了设备。 值得注意的是 esound 和 KDE 提供的声卡支持经常是造成麻烦的祸根。 Munish Chopra 贡献者 利用多个声源 同时有多个声源的声音在播放， 这是完全可能的， 例如当 esound 或者 artsd 不支持与其它程序共享音频设备时。 FreeBSD 可以通过 虚拟声道(Virtual Sound Channels) 来达到这样的效果， 它可以用 &man.sysctl.8; 来启用。 虚拟的声道可以能过在内核里混合声音来混合声卡里播放的声道。 使用两条sysctl命令来设置虚拟声道的数目。 如果您是 root 用户， 执行下面的操作： - &prompt.root; sysctl hw.snd.pcm0.vchans=4 + &prompt.root; sysctl dev.pcm.0.play.vchans=4 +&prompt.root; sysctl dev.pcm.0.rec.vchans=4 &prompt.root; sysctl hw.snd.maxautovchans=4 - 上面的实例设定了4个虚拟声道，这也是实际上所使用的数目。hw.snd.pcm0.vchans - 是 pcm0 的虚拟声道数，一当链接上一个设备它就可配置了。 + 上面的实例设定了4个虚拟声道，这也是实际上所使用的数目。 + dev.pcm.0.play.vchans=4 和 + dev.pcm.0.rec.vchans=4 + 是 pcm0 用来播放与录音的虚拟声道数， + 一当链接上一个设备它就可配置了。 hw.snd.maxautovchans 是分配给新的音频设备的虚拟声道数， 此时这个设备要用 &man.kldload.8; 来链接。 因为 pcm 模块可以独立装载许多硬件驱动程序， 因此 hw.snd.maxautovchans - 也就可以存储分配给以后链接到的设备的虚拟声道数。 + 也就可以存储分配给以后链接到的设备的虚拟声道数。 + 可参阅 &man.pcm.4; 手册页义获取更多细节。 您不能在使用某个设备的时候改变其虚拟通道数。 首先需要关闭所有使用该设备的程序， 如音乐播放器或声音服务。 如果不使用 &man.devfs.5;， 就必须把应用程序指向 /dev/dsp0.x， 其中 x 为0到3， 因为在上面的例子里 - hw.snd.pcm.0.vchans 被设为了4。 + dev.pcm.0.rec.vchans 被设为了4。 在使用 &man.devfs.5; 的系统中， 当应用程序请求 /dev/dsp0 时， 系统会自动为其分配一个而无需额外干预。 Josef El-Rayes 这一节的作者是 如何设置混音器通道值 不同的混音通道的默认音量是硬编码进 &man.pcm.4; 驱动程序的。 同时， 也有很多应用或服务程序提供了允许用户直接设置并记住这些值的功能。 不过这并不是一个很好的解决方案， 您可能希望在驱动一级有一个可以设置的默认值。 这可以通过在 /boot/device.hints 定义适当的值来实现。 例如： hint.pcm.0.vol="50" 这将在 &man.pcm.4; 模块加载时， 将通道音量设置为默认的 50。 Chern Lee 贡献者 MP3音频 MP3 (MPEG Layer 3 Audio)达到过CD音质的效果，FreeBSD工作站没理由会缺少这样的好东东。 MP3播放器 目前为止， 最为流行的 X11 MP3 播放器是 XMMS (X 多媒体系统)。 Winamp 的肤面可以直接用于 XMMS， 因为它的 GUI 几乎和 Nullsoft 的 Winamp 完全一样。 另外， XMMS 也提供了内建的插件支持。 XMMS 可以通过 multimedia/xmms port 或 package 来安装。 XMMS 的界面很直观， 它提供了播放列表、 图形化均衡器等等。 如果您熟悉 Winamp， 就会感觉 XMMS 很容易使用。 audio/mpg123 port 提供了一个命令行界面的 MP3 播放器。 mpg123 可以在执行时通过命令行指定声音设备和要播放的 MP3 - 文件， 如下所示： + 文件， 假设你的声音设备是 /dev/dsp1.0 + 并且你想要播放的 MP3 文件为 + Foobar-GreatestHits.mp3 + 你可以键入以下的命令： - &prompt.root; mpg123 -a /dev/dsp1.0 Foobar-GreatestHits.mp3 + &prompt.root; mpg123 -a /dev/dsp1.0 Foobar-GreatestHits.mp3 High Performance MPEG 1.0/2.0/2.5 Audio Player for Layer 1, 2 and 3. Version 0.59r (1999/Jun/15). Written and copyrights by Michael Hipp. Uses code from various people. See 'README' for more! THIS SOFTWARE COMES WITH ABSOLUTELY NO WARRANTY! USE AT YOUR OWN RISK! Playing MPEG stream from Foobar-GreatestHits.mp3 ... MPEG 1.0 layer III, 128 kbit/s, 44100 Hz joint-stereo - - 前面的 /dev/dsp1.0 应换成您系统上对应的 - dsp 设备。 - 抓取CD音轨 在对CD或CD音轨编码成MP3之前， CD上的音频数据应先抓到硬盘里。 这个可以通过复制原始的CDDA(CD数字音频)数据成为波形(WAV)文件。 工具 cdda2wav 是 sysutils/cdrtools 套件的一部份，可用来从CD中获取音频及其相关信息。 把CD放到光驱里，下面的命令可以完成 (作为 root用户) 把整张 CD 分割成单个 (每个音轨) 的WAV文件：/para> &prompt.root; cdda2wav -D 0,1,0 -B cdda2wav 支持 ATAPI (IDE)光驱。 从IDE光驱中抓取音轨， 需要用设备名称代替SCSI的单元号。 例如， 想从 IDE 光驱中抓取第7道音轨： &prompt.root; cdda2wav -D /dev/acd0 -t 7 参数 表示 SCSI 设备 0,1,0， 与命令 cdrecord -scanbus 的输出相对应。 抓取单轨，要使用选项 ，如下所示： &prompt.root; cdda2wav -D 0,1,0 -t 7 这个实例用于抓取第七个音轨。要抓取一定范围的音轨，如从1到7： &prompt.root; cdda2wav -D 0,1,0 -t 1+7 利用&man.dd.1;也可以从ATAPI光驱中抓取音轨，从 可以了解更多。 MP3 编码 现今，可选的MP3编码器是 lame。 Lame 可以从ports树里的 audio/lame 处找到。 利用抓取的WAV文件，下边的命令就可以把 audio01.wav 转换成 audio01.mp3： &prompt.root; lame -h -b 128 \ --tt "Foo Song Title" \ --ta "FooBar Artist" \ --tl "FooBar Album" \ --ty "2001" \ --tc "Ripped and encoded by Foo" \ --tg "Genre" \ audio01.wav audio01.mp3 128 kbits 是标准的MP3位率(bitrate)。 许多人可能喜欢更高的品质例如 160 或 192。 更高的位率， 会使 MP3 占用更多的磁盘空间--但音质会更高。选项 控制 高品质但低速度 (higher quality but a little slower) 模式的开关。 选项 表示把 ID3 标签--通常包含了歌曲的信息， 植入到MP3文件里。 其它的编码选项可以查询 lame 的联机手册。 MP3 解码 要把MP3歌曲刻录成音乐CD，就需要把它转换成非压缩的波形(WAV)格式。 XMMS 和 mpg123 都支持把MP3输出成非压缩格式文件。 在 XMMS 中输出到磁盘： 启动 XMMS. 在窗口里右击鼠标，弹出 XMMS 菜单。 在 选项(Options) 里选择 设定(Preference)。 改变输出插件成 写磁盘插件(Disk Writer Plugin)。 按 配置(Configure)。 输入或选择一个目录用于存放解压的文件。 象平常一样，把MP3文件装入到 XMMS 里边， 把音量调节到100%并且关掉EQ设定。 按一下 播放(Play) — XMMS 如同在播放mp3一样，只是听不到声音。 实际上是在播放mp3到一个文件里。 要想再听MP3歌曲，记得把默认的输出插件设回原来的值。 用 mpg123 进行标准输出： 执行 mpg123 -s audio01.mp3 > audio01.pcm XMMS 输出的文件是波形(WAV)格式， 而 mpg123 则把MP3转换成无压缩的PCM 音频数据。两种格式都支持用 cdrecord 刻录成音乐CD。 使用 &man.burncd.8; 您就必须使用无压缩的PCM。 如果选择波形格式， 就要注意在每道开始时的一小点杂音， 这段声音是波形文件的头部份。 可以使用工具 SoX 来轻松去除。 SoX 可从 audio/sox port 或包(package)中安装得到： &prompt.user; sox -t wav -r 44100 -s -w -c 2 track.wav track.raw 阅读 这部份可以了解到更多在 FreeBSD 里刻盘的信息。 Ross Lippert 贡献者 视频回放 视频回放是个很新并且迅速发展中的应用领域。 一定要有耐心，因为不是所有的事情都象处音频那么顺利。 在开始之前，您要了解显卡的类型以及它所用的芯片的类型。 尽管 &xorg; 和 &xfree86; 支持大量的显卡， 但能达到好的回放效果的却寥寥无几。 在X11运行时，您可以使用命令 &man.xdpyinfo.1; 获得使用您的显卡的X服务器所支持的扩展列表。 为了评估各种播放器和设置，您需要有一小段用作测试的MPEG文件。 由于一些DVD播放器会默认地在 /dev/dvd 里去找DVD文件， 因此， 您会发现建立符号链接到恰当的设备会很有用： &prompt.root; ln -sf /dev/acd0 /dev/dvd &prompt.root; ln -sf /dev/acd0 /dev/rdvd 注意：由于 &man.devfs.5; 本身的原因， 像这样手工建立的链接在重启后将不会存在。 想要无论什么时候您启动系统都能自动建立符号链接， 那就把下边这行加到 /etc/devfs.conf 里边： link acd0 dvd link acd0 rdvd 另外，DVD解密要求调用专用的DVD-ROM函数，要求把许可定到DVD设备里。 为了改善 X11 界面使用共享内存的能力， 建议提高一些 &man.sysctl.8; 变量的值： kern.ipc.shmmax=67108864 kern.ipc.shmall=32768 测定视频的性能 XVideo SDL DGA 在X11下有几种可以显示图像的方式。 到底哪个能工作很大程度上依赖于硬件。 首先， 下边描述的每一种方法在不同的硬件上都会有不同的品质。 其次， 在X11里的图像显示近来引起普遍的关注， 随着 &xorg; 或 &xfree86; 的每一个版本， 都会有很大的突破。 常见图像接口列表： X11: 一般性的使用共享内存的X11输出。 XVideo: 一种X11接口扩展，支持任何X11图像的可拖拉。 SDL: 简单直接媒体层。 DGA: 直接图片存取。 SVGAlib: 低层次掌控图片层。 XVideo &xorg; 和 &xfree86; 4.X 有种扩展叫做 XVideo (或称Xvideo, Xv, xv)， 它可以通过一个特殊的加速器直接把图像显示在可拖拉的对象里。 即使在低端的计算机 (例如我的PIII 400 Mhz膝上电脑)， 这个扩展也提供了很好的播放质量。 要了解这一扩展是否在正常工作， 使用 xvinfo 命令： &prompt.user; xvinfo 如果显示结果如下，那您的显卡就支持XVideo： X-Video Extension version 2.2 screen #0 Adaptor #0: "Savage Streams Engine" number of ports: 1 port base: 43 operations supported: PutImage supported visuals: depth 16, visualID 0x22 depth 16, visualID 0x23 number of attributes: 5 "XV_COLORKEY" (range 0 to 16777215) client settable attribute client gettable attribute (current value is 2110) "XV_BRIGHTNESS" (range -128 to 127) client settable attribute client gettable attribute (current value is 0) "XV_CONTRAST" (range 0 to 255) client settable attribute client gettable attribute (current value is 128) "XV_SATURATION" (range 0 to 255) client settable attribute client gettable attribute (current value is 128) "XV_HUE" (range -180 to 180) client settable attribute client gettable attribute (current value is 0) maximum XvImage size: 1024 x 1024 Number of image formats: 7 id: 0x32595559 (YUY2) guid: 59555932-0000-0010-8000-00aa00389b71 bits per pixel: 16 number of planes: 1 type: YUV (packed) id: 0x32315659 (YV12) guid: 59563132-0000-0010-8000-00aa00389b71 bits per pixel: 12 number of planes: 3 type: YUV (planar) id: 0x30323449 (I420) guid: 49343230-0000-0010-8000-00aa00389b71 bits per pixel: 12 number of planes: 3 type: YUV (planar) id: 0x36315652 (RV16) guid: 52563135-0000-0000-0000-000000000000 bits per pixel: 16 number of planes: 1 type: RGB (packed) depth: 0 red, green, blue masks: 0x1f, 0x3e0, 0x7c00 id: 0x35315652 (RV15) guid: 52563136-0000-0000-0000-000000000000 bits per pixel: 16 number of planes: 1 type: RGB (packed) depth: 0 red, green, blue masks: 0x1f, 0x7e0, 0xf800 id: 0x31313259 (Y211) guid: 59323131-0000-0010-8000-00aa00389b71 bits per pixel: 6 number of planes: 3 type: YUV (packed) id: 0x0 guid: 00000000-0000-0000-0000-000000000000 bits per pixel: 0 number of planes: 0 type: RGB (packed) depth: 1 red, green, blue masks: 0x0, 0x0, 0x0 同时注意：列出来的格式(YUV2, YUV12, 等等) 并不总是随着 XVdieo的每一次执行而存在。没有它们可能会迷惑某些人。 如果结果看起来是这样： X-Video Extension version 2.2 screen #0 no adaptors present 那么您的显卡可以就不支持XVideo功能。 如果您的卡不支持XVideo， 则只是说明您的显示器在满足刷新图像的计算要求上存在更大的困难。 尽管显卡和处理器很重要，您仍然会有个不错的显示效果。 此外， 您也可以参考我们提供的文献， 在 中有所介绍。 简单直接媒体层 简单直接媒体层(SDL)，原意是做为 µsoft.windows;、BeOS 以及 &unix; 之间的端口层，允许跨平台应用发展，更高效地利用声卡和图形卡。SDL 层可以在低层访问硬件， 有时这样做就比 X11 接口层更为高效。 关于 SDL， 可以参考 devel/sdl12。 直接图形存取 直接图形存取 (Direct Graphics Access) 是一种 X11 扩展， 通过它， 应用程序能够绕过 X 服务， 并直接修改画面缓存 (framebuffer)。 由于它依赖一种底层的内存映射来实现其功能， 因此使用它的程序必须以 root 身份来执行。 DGA 扩展可以通过 &man.dga.1; 来完成测试和性能测量。 运行 dga 时， 它将随按键改变现实的颜色。 按 q 退出这个程序。 Ports 和 包(Packages) 对视频的解决 视频 ports 视频 包 这部份主要讨论在 FreeBSD Ports 集中提供的可用于视频回放的软件。 视频回放在软件发展中是个很活跃的领域， 并且各种不同程序的功能可能与这里的描述不尽相同。 首先要弄清楚的重要一点是在 FreeBSD 上使用的视频程序其发展与在 Linux 里使用的是一样的。 大部份程序都还处在β阶段。使用 FreeBSD 的包可能面对的问题： 一个应用程序不能播放其它程序制作的文件。 一个应用程序不能播放其自已制作的文件。 不同机上的同样的程序，各自重新建立(rebuild)了一次， 播放同一个文件结果也会有不同。 一个看起来没什么的过滤器， 如图像尺寸的调整， 也有可能因为一个调整例程的问题变得很不象样。 应用程序频繁地留下垃圾(dumps core)。 没有随 port 一起安装的文档可以在网上或者 port 的 work 目录中找到。 这些程序中许多也体现了 Linux主义。即， 有些问题来自于(程序)使用的标准库存在于Linux的发行版中， 或者有些是 Linux 内核的功能， 而该程序的作者事先所假定了的是 Linux内核。这些问题并不总是被 port 编护人员注意到或处理过， 这也就可能导致如下问题： 使用/proc/cpuinfo去检测处理器的特性。 滥用线程可能导致一个程序悬挂完成，而不是完全中止。 软件还不属于FreeBSD Ports集，而又与其它程序经常地一起使用。 现在，这些程序的开发人员也已同 port 的维护人员进行了联合， 以减少制作port时出错。 MPlayer MPlayer 是近来开发的同时也正迅速发展着的一个视频播放器。 MPlayer 团队的目标是在 Linux 和其它 UNIX 系统中的速度和机动性能。 在团队的创始人实在受不了当时可用的播放器的性能时， 这个计划就开始了。 有人也许会说图形接口已经成为新型设计的牺牲品。 但是一旦您习惯了命令行选项和按键控制方式，它就能表现得很好。 创建MPlayer MPlayer making MPlayer 可以从 multimedia/mplayer 找到。 MPlayer 在联编过程中会进行许多硬件检测， 而得到的可执行文件因此将无法移植到其他系统中使用。 因此， 从 ports 完成联编而不是安装预编译的包就很重要。 另外， 在 make 命令行还可以指定许多选项， 在 Makefile 中有所描述， 接下来我们开始联编： &prompt.root; cd /usr/ports/multimedia/mplayer &prompt.root; make N - O - T - E Take a careful look into the Makefile in order to learn how to tune mplayer towards you personal preferences! For example, make WITH_GTK1 builds MPlayer with GTK1-GUI support. If you want to use the GUI, you can either install /usr/ports/multimedia/mplayer-skins or download official skin collections from http://www.mplayerhq.hu/homepage/dload.html 默认的 port 选项对于绝大多数用户来说是够用了。 不过， 如果您需要 XviD 编解码器， 则必须指定 WITH_XVID 这个命令行选项。 默认的 DVD 设备也可以用 WITH_DVD_DEVICE 选项来定义， 其默认值是 /dev/acd0。 撰写这一章的时候， MPlayer port 的联编过程包括了 HTML 文档和两个可执行文件， mplayer 和 mencoder， 后者是一个视频再编码工具。 MPlayer 的 HTML 文档提供了丰富的内容。 如果读者发现本章中缺少关于视频硬件的一些信息， 则 MPlayer 的文档将是十分详尽的补充。 如果您正在找关于 &unix; 中的视频支持的资料， 您绝对应该花一些时间来阅读 MPlayer 的文档。 使用MPlayer MPlayer 使用 任何 MPlayer 用户必须在其用户主目录下建立一个叫 .mplayer 的子目录。 输入下边的内容来建立这个必须的子目录： &prompt.user; cd /usr/ports/multimedia/mplayer &prompt.user; make install-user 在 mplayer 的手册里列出了它的命令选项。 HTML文档里有更为详细的信息。 这部份里， 我们只是描述了很少的常见应用。 要播放一个文件，如 testfile.avi， 可以通过各种视频接口当中的某一个去设置 选项： &prompt.user; mplayer -vo xv testfile.avi &prompt.user; mplayer -vo sdl testfile.avi &prompt.user; mplayer -vo x11 testfile.avi &prompt.root; mplayer -vo dga testfile.avi &prompt.root; mplayer -vo 'sdl:dga' testfile.avi 所有这些选项都是值得一试的， 因为它们的性能依赖很多因素，并且都与硬件密切相关。 要播放 DVD， 需要把 testfile.avi 改为 。 这里 N 是要播放的节目编号， 而 DEVICE 则是 DVD-ROM 的设备节点。 例如， 要播放 /dev/dvd 的第三个节目： &prompt.root; mplayer -vo xv dvd://3 -dvd-device /dev/dvd 可以在编译 MPlayer 时， 通过 WITH_DVD_DEVICE 来指定默认的 DVD 设备。 系统内定的默认设备是 /dev/acd0。 更多细节， 请参考 port 的 Makefile。 要停止、暂停、前进等等，可以参考设定的按键---这些可以通过 mplayer -h 得到或查看手册。 另外，回放的重要选项是：用于全屏模式的 和起辅助完成作用的。 为了让 mplayer 的命令行不是太长，使用者可以通过建立一个文件 .mplayer/config 来设定如下默认选项： vo=xv fs=yes zoom=yes 最后，mplayer 可以把DVD题目(title)抓取成为 .vob 文件。为了从DVD中导出第二个题目，请输入： &prompt.root; mplayer -dumpstream -dumpfile out.vob dvd://2 -dvd-device /dev/dvd 输出文件 out.vob 将是 MPEG 并且可以被这部份描述的其它 包 利用。 mencoder mencoder 在使用 mencoder 之前， 首先熟悉其 HTML 文档中所介绍的选项是一个不错的主意。 它提供了联机手册， 但如果没有 HTML 文档则帮助不大。 有无数种方法来提高视频品质、 降低比特率、 修改格式， 而这些技巧可能会影响性能。 下面是几个例子， 第一个是简单地复制： &prompt.user; mencoder input.avi -oac copy -ovc copy -o output.avi 不正确的命令选项组合可能使生成的文件不能被 mplayer 播放。因此，如果您只是想抓取文件， 一定在 mplayer 里使用 。 转换 input.avi 成为带有MPEG3音频编码 (要求 audio/lame ) 的MPEG4编码： &prompt.user; mencoder input.avi -oac mp3lame -lameopts br=192 \ -ovc lavc -lavcopts vcodec=mpeg4:vhq -o output.avi 这样就产生了可被 mplayer 和 xine播放的输出。 input.avi 可以换成 并以 root 的身份来执行， 以重新对 DVD 节目进行编码。 由于您第一次做这样的工作时很可能会对结果不太满意， 建议您首先把节目复制成文件， 然后对它进行操作。 xine视频播放器 xine 视频播放器是一个关注范围很广的项目， 它不仅看准多合一的视频解决， 而且出品了一个可再用的基本库和一个可扩展插件的可执行模块。 发行有 包 和port版本-- multimedia/xine。 xine 播放器仍然很粗糙， 但这很显然与好开头无关。实际上 xine 要求你有快速的 CPU 和快速的显卡来运行，或者需要支持 XVideo 扩展。 图形界面(GUI)可以使用，但很勉强。 到写这章时，还没有可用于播放CSS编码的DVD文件的输入模块随同 xine 一起发行。 第三方的建造(builds)里内建有这样的模块， 但都不属于FreeBSD Ports 集。 与MPlayer 相比， xine 为用户考虑得更多， 但同时，对用户来说也少了很多有条理的控制方式。 xine 播放器在XVideo接口上做得不错。 默认情况下，播放器 xine 启动的时候会使用图形界面。那么就可以使用菜单打开指定的文件： &prompt.user; xine 另外，没有图形界面也可以使用如下命令立即打开播放文件： &prompt.user; xine -g -p mymovie.avi 使用transcode transcode 这个软件并不是播放器， 而是一系列用于对视频和音频文件进行重新编码的工具。 通过使用 transcode， 就可以拥有使用带 stdin/stdout 接口的命令行工具来合并视频文件， 以及修复坏损文件的能力。 在联编 multimedia/transcode port 时可以指定大量选项， 我们建议使用下面的命令行来构建 transcode： &prompt.root; make WITH_OPTIMIZED_CFLAGS=yes WITH_LIBA52=yes WITH_LAME=yes WITH_OGG=yes \ WITH_MJPEG=yes -DWITH_XVID=yes 对于多数用户而言， 前述配置已经足够了。 为了说明 transcode 的功能， 下面的例子展示了如何将 DivX 转换为 PAL MPEG-1 文件 (PAL VCD)： &prompt.user; transcode -i input.avi -V --export_prof vcd-pal -o output_vcd &prompt.user; mplex -f 1 -o output_vcd.mpg output_vcd.m1v output_vcd.mpa 生成的 MPEG 文件， output_vcd.mpg， 可以通过 MPlayer 来播放。 您甚至可以直接将这个文件刻录到 CD-R 介质上来创建 Video CD， 如果希望这样做的话， 需要安装 multimedia/vcdimager 和 sysutils/cdrdao 这两个程序。 transcode 提供了联机手册， 但您仍应参考 transcode wiki 以了解更多信息和例子。 进一步了解 FreeBSD里不同的视频软件包正迅速发展中。 很可能在不久的将来，这里所谈到的问题都将得到解决。 同时，有些人想超越FreeBSD的音/像(A/V)能力， 那他们就不得不从一些FAQ和指南里学知识， 并使用一些不同的应用程序。 这里就给这些读者指出一些补充信息。 MPlayer 文档 是很技术性的。 这些文档可以给那些希望获得关于&unix;视频高级技术的人们提供参考。 MPlayer 邮件列表很不喜欢没耐心阅读文档的人， 如果您发现什么问题想报告给他们，请首先RTFM。 xine HOWTO 里边有一章是关于提高性能的，对所有的播放器都很适应。 最后是一些很有前途的程序，读者可以试一下： Avifile，它就是 multimedia/avifile port。 Ogle 它就是 multimedia/ogle port。 Xtheater multimedia/dvdauthor， 一个制作 DVD 节目的源码开放包。 Josef El-Rayes 原创： Marc Fonvieille 改编： 安装电视卡 电视卡 介绍 电视卡可以让您在您的计算机里观看到无线或有线电视。 许多卡是通过RCA或S-video输入接收复合视频， 而且有些卡还带有调频广播接收器。 &os; 通过&man.bktr.4;驱动程序，提供了对基于PCI的电视卡的支持， 要求这些卡使用的是Brooktree Bt848/849/878/879 或 Conexant CN-878/Fusion 878a视频采集芯片。 您还要确保这个板上带的有被支持的调谐器， 参考&man.bktr.4;手册查看所支持的调谐器列表。 增加驱动程序 要使用您的卡，您就要装载&man.bktr.4;驱动程序。 这个可以通过往 /boot/loader.conf 里边添加下边一行来实现。象这样： bktr_load="YES" 另外，您也可以把这个驱动编译进内核， 要是这样的话，就把下边几行加到内核配置里去： device bktr device iicbus device iicbb device smbus 这些附加的设备驱动程序是必须的， 因为卡的各组成部分是能过一根I2C总线相互连接在一起的。 然后建立安装新的内核。 一旦这个支持被加到了您的系统里，您须要重启系统。 在启动过程中，您的电视卡应该显示为up(启动)，象这样： bktr0: <BrookTree 848A> mem 0xd7000000-0xd7000fff irq 10 at device 10.0 on pci0 iicbb0: <I2C bit-banging driver> on bti2c0 iicbus0: <Philips I2C bus> on iicbb0 master-only iicbus1: <Philips I2C bus> on iicbb0 master-only smbus0: <System Management Bus> on bti2c0 bktr0: Pinnacle/Miro TV, Philips SECAM tuner. 当然，这些信息可能因您的硬件不同而有所区别。 但是您应该能检查那个调制器是否被正确检测到了， 可能要忽略一些检测到的同&man.sysctl.8; MIB（管理系统库）和内核配置文件选项一起的参数。 例如，如果您想强制使用Philips(飞利浦) SECAM制式的调谐器 ， 您就应把下列行加到内核配置文件里： options OVERRIDE_TUNER=6 或者，您直接使用&man.sysctl.8;： &prompt.root; sysctl hw.bt848.tuner=6 请参见 &man.bktr.4; 手册和 /usr/src/sys/conf/NOTES 文件， 以了解更多详细关于可用选项的资料。 有用的应用程序 要使用您的电视卡，您需要安装下列应用程序之一： multimedia/fxtv 提供 窗口电视(TV-in-a-window) 功能和图像/声音/图像采集功能。 multimedia/xawtv 也是一款电视应用程序，功能同 fxtv 一样。 misc/alevt 解码和显示Videotext/Teletext。 audio/xmradio， 一款用于一些电视卡的调频电台调谐器的程序。 audio/wmtune， 一款用于电台调谐器的便捷的桌面程序。 更多的程序在&os; Ports Collection(Ports 集)里。 问题解决 如果您的电视卡遇到了什么问题， 您应该首先检查一下您的视频采集芯片和调谐器是不是真正的被&man.bktr.4; 驱动程序支持，并且是不是使用了正确的配置选项。 想得到更多支持和关于您的电视卡的各种问题， 您可以接触和使用&a.multimedia.name; 邮件列表的压缩包。 Marc Fonvieille 撰写人 图象扫描仪 图象扫描仪 介绍 在 &os; 中， 访问扫描仪的能力， 是通过 SANE (Scanner Access Now Easy) API 提供的。 SANE 也会使用一些 &os; 设备驱动来访问扫描仪硬件。 &os; 支持 SCSI 和 USB 扫描仪。 在做任何配置之前请确保您的扫描仪被 SANE 支持。 SANE 有一个 支持的设备 列表， 可以为您提供有关扫描仪的支持情况和状态的信息。 &man.uscanner.4; 手册页也提供了一个支持的 USB 扫描仪列表。 内核配置 上面提到 SCSI 和 USB 接口都是支持的。 取决于您的扫描仪接口， 需要不同的设备驱动程序。 USB 接口 默认的 GENERIC 内核包含了支持 USB 扫描仪需要的设备驱动。 如果您决定使用一个定制的内核， 确保下面在您的内核配置文件中存在下面这些行： device usb device uhci device ohci device uscanner 取决于您主板上的 USB 芯片， 您只需要 device uhci 或者 device ohci 中的一种，但是两个都在 内核配置文件中是没有害处的。 如果您不想重新编译内核而且您的内核也不是 GENERIC 的， 您可以用 &man.kldload.8; 命令直接加载 &man.uscanner.4; 设备驱动模块： &prompt.root; kldload uscanner 要在每次系统启动的时候加载这个模块， 添加下面这行到 /boot/loader.conf 中： uscanner_load="YES" 在使用正确的内核重启系统， 或加载了所需的内核模块之后， 就可以将您的 USB 扫描仪接到计算机上了。 在系统消息缓冲中， (&man.dmesg.8;) 应该会出现一行表示检测到您的扫描仪的信息： uscanner0: EPSON EPSON Scanner, rev 1.10/3.02, addr 2 这表明我们的扫描仪正在使用 /dev/uscanner0 设备节点。 SCSI 接口 如果您的扫描仪是 SCSI 接口的， 重要的是要知道您使用哪种 SCSI 控制器。 取决于所使用的 SCSI 芯片， 您需要调整内核配置文件。 GENERIC 的内核支持最常用的 SCSI 控制器。 请阅读 NOTES 文件并在您的内核配置文件中添加正确的行。 除了 SCSI 适配器驱动之外， 您还需要在内核配置文件中增加下述配置： device scbus device pass 在正确地联编并安装了内核之后， 就应该可以在系统启动时， 从系统消息缓冲中看到这些设备： pass2 at aic0 bus 0 target 2 lun 0 pass2: <AGFA SNAPSCAN 600 1.10> Fixed Scanner SCSI-2 device pass2: 3.300MB/s transfers 如果您的扫描仪没有在系统启动的时候加电， 很可能还需要强制手动检测一下，用 &man.camcontrol.8; 命令执行一次 SCSI 总线扫描： &prompt.root; camcontrol rescan all Re-scan of bus 0 was successful Re-scan of bus 1 was successful Re-scan of bus 2 was successful Re-scan of bus 3 was successful 然后扫描仪就会出现在 SCSI 设备列表里： &prompt.root; camcontrol devlist <IBM DDRS-34560 S97B> at scbus0 target 5 lun 0 (pass0,da0) <IBM DDRS-34560 S97B> at scbus0 target 6 lun 0 (pass1,da1) <AGFA SNAPSCAN 600 1.10> at scbus1 target 2 lun 0 (pass3) <PHILIPS CDD3610 CD-R/RW 1.00> at scbus2 target 0 lun 0 (pass2,cd0) 有关 SCSI 设备的更多细节， 可查看 &man.scsi.4; 和 &man.camcontrol.8; 手册页。 SANE 配置 SANE 系统分为两部分： 后端 (graphics/sane-backends) 和前端 (graphics/sane-frontends)。 后端部分提供到扫描仪自身的访问。 SANE 的 支持设备列表详细说明了哪一个后端可以支持您的图象扫描仪。 如果您想使用您的设备，就必须为您的扫描仪选定正确的后端。 前端部分提供图形化的扫描界面 (xscanimage)。 要做的第一步就是安装 graphics/sane-backends port 或者 package。然后，使用 sane-find-scanner 命令来检查 SANE 系统做的扫描仪检测： &prompt.root; sane-find-scanner -q found SCSI scanner "AGFA SNAPSCAN 600 1.10" at /dev/pass3 输出显示了扫描仪的接口类型和扫描仪连接到系统上的设备节点。 生产厂家和产品型号可能没有显示，不过不重要。 一些 USB 扫描仪需要您加载固件，后端的手册页中有这方面的解释。 您也应该阅读 &man.sane-find-scanner.1; 和 &man.sane.7; 手册页。 现在我们需要检查扫描仪是否可以被扫描前端识别。 默认情况下， SANE 后端自带一个叫做 &man.scanimage.1; 的命令行工具。 这个命令允许您列出设备以及从命令行执行图片扫描。 选项用来列出扫描仪设备： &prompt.root; scanimage -L device `snapscan:/dev/pass3' is a AGFA SNAPSCAN 600 flatbed scanner 如果没有输出任何信息， 或提示没有识别到扫描仪， 则说明 &man.scanimage.1; 无法识别它。 如果发生这种情况， 您就需要修改扫描仪支持后端的配置文件， 并定义所使用的扫描设备。 /usr/local/etc/sane.d/ 目录中包含了所有的后端配置文件。 这类识别问题经常会在某些 USB 扫描仪上发生。 例如， 对于在 中所使用的 USB 扫描仪， sane-find-scanner 会给出下面的信息： &prompt.root; sane-find-scanner -q found USB scanner (UNKNOWN vendor and product) at device /dev/uscanner0 扫描仪被正确的探测到了，它使用 USB 接口，连接在 /dev/uscanner0 设备节点上。 我们现在可以检查看看扫描仪是否被正确的识别： &prompt.root; scanimage -L No scanners were identified. If you were expecting something different, check that the scanner is plugged in, turned on and detected by the sane-find-scanner tool (if appropriate). Please read the documentation which came with this software (README, FAQ, manpages). 既然扫描仪没有被识别，我们就需要编辑 /usr/local/etc/sane.d/epson.conf 文件。所用的扫描仪型号是 &epson.perfection; 1650， 这样我们知道扫描仪应使用 epson 后端。确保阅读后端配置文件中的帮助注释。 改动非常简单：注释掉导致您的扫描仪使用错误接口的所有行 (在我们这种情况下，我们将注释掉从 scsi 开始的所有行，因为我们的扫描仪使用 USB 接口)，然后在文件的结尾添加指定的接口和所用的设备节点。 这种情况下，我们添加下面这行： usb /dev/uscanner0 请确保阅读后端配置文件提供的注释以及后端手册页了解更多细节， 并使用正确的语法。我们现在可以检验扫描仪是否被识别到了： &prompt.root; scanimage -L device `epson:/dev/uscanner0' is a Epson GT-8200 flatbed scanner 我们的 USB 扫描仪被识别到了。 此时如果商标和型号与扫描仪的实际情况不符， 并不会带来太大的麻烦。 您需要关注的是 `epson:/dev/uscanner0' 字段， 这个给了我们正确地后端名称和正确的设备节点。 一旦 scanimage -L 命令可以看到扫描仪， 配置就完成了。设备现在准备好等待扫描了。 &man.scanimage.1; 允许我们从命令行执行图片扫描， 相比之下使用图形用户界面来执行图片扫描会更好。 SANE 提供了一个简单但实用的图形界面： xscanimage (graphics/sane-frontends)。 Xsane (graphics/xsane)是另一个流行的图形扫描前端。 这个前端提供了一些高级特性， 比如多样的扫描模式(photocopy，fax，等。)， 色彩校正，批量扫描，等等。这两个程序都可以作为 GIMP 的插件使用。 授权其他用户访问扫描仪 前面所有的操作都是用 root 权限来完成的。 然而您可能需要让其他的用户也可以访问扫描仪。 用户需要有扫描仪所用的设备节点的读和写权限。 比如，我们的 USB 扫描仪使用设备节点 /dev/uscanner0，这个节点属于 operator 组。将用户 joe 添加到 operator 组会允许他使用扫描仪： &prompt.root; pw groupmod operator -m joe 要了解更多细节， 请阅读 &man.pw.8; 联机手册。 此外， 还需要为 /dev/uscanner0 设备节点设置正确的写入权限 (0660 或 0664)， 因为默认情况下， operator 组只能读这个设备节点。 这项工作可以通过在 /etc/devfs.rules 文件中添加如下设置来自东完成： [system=5] add path uscanner0 mode 660 随后您还需要在 /etc/rc.conf 中添加下面的内容并重新启动： devfs_system_ruleset="system" 关于这些配置的进一步细节请参考联机手册 &man.devfs.8;。 当然， 考虑安全的原因， 在您将用户添加到任何组， 尤其是 operator 组时， 都应三思而后行。 diff --git a/zh_CN.GB2312/books/handbook/network-servers/chapter.sgml b/zh_CN.GB2312/books/handbook/network-servers/chapter.sgml index 6aef0019b9..2e25551746 100644 --- a/zh_CN.GB2312/books/handbook/network-servers/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/network-servers/chapter.sgml @@ -1,4732 +1,4845 @@ Murray Stokely Reorganized by 网络服务器 概要 本章将覆盖某些在 &unix; 系统上常用的网络服务。话题将会涉及 如何安装、配置、测试和维护多种不同类型的网络服务。本章节中将提 供大量配置文件的样例，期望能够对您有所裨益。 在读完本章之后，您将会知道： 如何管理 inetd。 如何设置运行一个网络文件系统。 如何配置一个网络信息服务器以共享用户帐号。 如何通过DHCP自动配置网络。 如何配置一个域名服务器。 如何设置Apache HTTP 服务器。 如何设置文件传输（FTP）服务器。 如何使用Samba为 &windows; 客户端设置文件和打印服务。 如何同步时间和日期，以及如何设置使用NTP协议的时间服务器。 如何配置标准的日志守护进程， syslogd， 接受远程主机的日志。 在阅读此章节之前，您应当： 理解有关/etc/rc中脚本的基本知识。 熟悉基本网络术语。 懂得如何安装额外的第三方软件（）。 Chern Lee Contributed by 为 &os; 6.1-RELEASE 进行了更新， 由 The &os; Documentation Project <application>inetd</application> <quote>超级服务器</quote> 总览 &man.inetd.8; 有时也被称作 Internet 超级服务器， 因为它可以为多种服务管理连接。 当 inetd 收到连接时， 它能够确定连接所需的程序， 启动相应的进程， 并把 socket 交给它 (服务 socket 会作为程序的标准输入、 输出和错误输出描述符)。 使用 inetd 来运行那些负载不重的服务有助于降低系统负载， 因为它不需要为每个服务都启动独立的服务程序。 一般说来， inetd 主要用于启动其它服务程序， 但它也有能力直接处理某些简单的服务， 例如 chargen、 auth， 以及 daytime。 这一节将介绍关于如何通过命令行选项， 以及配置文件 /etc/inetd.conf 来对 inetd 进行配置的一些基础知识。 设置 inetd 是通过 &man.rc.8; 系统启动的。 inetd_enable 选项默认设为 NO， 但可以在安装系统时， 由用户根据需要通过 sysinstall 来打开。 将： inetd_enable="YES" 或 inetd_enable="NO" 写入 /etc/rc.conf 可以启用或禁用系统启动时 inetd 的自动启动。 命令： &prompt.root; /etc/rc.d/inetd rcvar 可以显示目前的设置。 此外， 您还可以通过 inetd_flags 参数来向 inetd 传递额外的其它参数。 命令行选项 与多数服务程序类似， inetd 也提供了为数众多的用以控制其行为的参数。 完整的参数列表如下： inetd 这些参数都可以通过 /etc/rc.conf 的 inetd_flags 选项来传给 inetd。 默认情况下， inetd_flags 设为 -wW -C 60， 者表示希望为 inetd 的服务启用 TCP wrapping， 并阻止来自同一 IP 每分钟超过 60 次的请求。 初学的用户可能会很高兴地发现这些选项通常并不需要进行修改， 前面提到的速率限制选项在您的服务器收到过量请求的连接时， 则会有效地发挥作用。 完整的参数列表， 可以在 &man.inetd.8; 联机手册中找到。 -c maximum 指定单个服务的最大并发访问数量，默认为不限。 也可以在此服务的具体配置里面通过改掉。 -C rate 指定单个服务一分钟内能被单个IP地址调用的最大次数， 默认不限。也可以在此服务的具体配置里面通过 改掉。 -R rate 指定单个服务一分钟内能被调用的最大次数，默认为256。 设为0 则允许不限次数调用。 -s maximum 指定同一 IP 同时请求同一服务时允许的最大值； 默认值为不限制。 您可以通过 参数来以服务为单位进行限制。 <filename>inetd.conf</filename> 对于 inetd 的配置， 是通过 /etc/inetd.conf 文件来完成的。 在修改了 /etc/inetd.conf 之后， 可以使用下面的命令来强制 inetd 重新读取配置文件： 重新加载 <application>inetd</application> 配置文件 &prompt.root; /etc/rc.d/inetd reload 配置文件中的每一行都是一个独立的服务程序。 在这个文件中， 前面有 # 的内容被认为是注释。 /etc/inetd.conf 文件的格式如下： service-name socket-type protocol {wait|nowait}[/max-child[/max-connections-per-ip-per-minute[/max-child-per-ip]]] user[:group][/login-class] server-program server-program-arguments 下面是针对 IPv4 的 &man.ftpd.8; 服务的例子： ftp stream tcp nowait root /usr/libexec/ftpd ftpd -l service-name 指明各个服务的服务名。其服务名必须与/etc/services中列出的一致。 这将决定inetd会监听哪个port。 一旦有新的服务需要添加，必须先在/etc/services里面添加。 socket-type 可以是stream、dgram、raw或者 seqpacket。 stream 用于基于连接的 TCP 服务；而 dgram 则用于使用 UDP 协议的服务。 protocol 下列之一： 协议 说明 tcp， tcp4 TCP IPv4 udp， udp4 UDP IPv4 tcp6 TCP IPv6 udp6 UDP IPv6 tcp46 Both TCP IPv4 and v6 udp46 Both UDP IPv4 and v6 {wait|nowait}[/max-child[/max-connections-per-ip-per-minute[/max-child-per-ip]]] 指明从inetd 里头调用的服务是否可以自己处理socket. socket类型必须使用， 而stream socket daemons， 由于通常使用多线程方式，应当使用 . 通常把多个 socket 丢给单个服务进程， 而 则 会为每个新的 socket 生成一个子进程。 选项能够配置 inetd 能为本服务派生出的最大子进程数量。 如果某特定服务需要限定最高10个实例， 把/10 放到后头就可以了。 指定 /0 表示不限制子进程的数量。 除了 之外， 还有两个选项可以限制来自同一位置到特定服务的最大连接数。 可以限制特定 IP 地址每分钟的总连接数， 例如， 限制任何 IP 地址每分钟最多连接十次。 则可以限制为某一 IP 地址在任何时候所启动的子进程数量。 这些选项对于防止针对服务器有意或无意的资源耗竭和拒绝服务 (DoS) 攻击十分有用。 这个字段中， 必须指定 或 两者之一。 而 、 和 则是可选项。 流式多线程服务， 并且不配置任何 、 或 限制时， 其配置为： nowait。 同一个服务， 但希望将服务启动的数量限制为十个时， 则是： nowait/10。 同样配置， 限制每个 IP 地址每分钟最多连接二十次， 而同时启动的子进程最多十个， 应写作： nowait/10/20。 下面是 &man.fingerd.8; 服务的默认配置： finger stream tcp nowait/3/10 nobody /usr/libexec/fingerd fingerd -s 最后这个例子中， 将子进程数限制为 100 个， 而任意 IP 最多同时建立 5 个连接： nowait/100/0/5。 user 该开关指定服务将以什么用户身份运行。一般而言，服务运行身份是 root。基于安全目的，可以看到有些服务以 daemon身份，或者是最小特权的 nobody身份运行。 server-program 当连接到来时，执行服务程序的全路径。如果服务是由 inetd内置提供的，以代替。 server-program-arguments 当调用到时，该开关 的值通过argv[0]通过传递给服务而工作。 如果命令行为：mydaemon -d，则 mydaemon -d为 开关的值。同样的，如果服务是由inetd 内置提供的，这里还是 。 Security 随安装时所选的模式不同， 许多 inetd 的服务可能已经默认启用。 如果确实不需要某个特定的服务， 则应考虑禁用它。 在 /etc/inetd.conf 中， 将对应服务的那行前面加上 #， 然后 重新加载 inetd 配置 就可以了。 某些服务， 例如 fingerd， 可能是完全不需要的， 因为它们提供的信息可能对攻击者有用。 某些服务在设计时是缺少安全意识的， 或者有过长或压根没有连接请求的超时机制。 这使得攻击者能够通过缓慢地对这些服务发起连接， 并耗尽可用的资源。 对于这种情况， 设置 、 或 限制， 来制约服务的行为是个好办法。 默认情况下，TCP wrapping 是打开的。参考 &man.hosts.access.5; 手册，以获得更多关于在各种 inetd 调用的服务上设置TCP限制的信息。 杂项 daytime、 time、 echo、 discard、 chargen， 以及 auth 都是由 inetd 提供的内建服务。 auth 服务提供了网络身份服务， 它可以配置为提供不同级别的服务， 而其它服务则通常只能简单的打开或关闭。 参考 &man.inetd.8; 手册获得更多信息。 Tom Rhodes Reorganized and enhanced by Bill Swingle Written by 网络文件系统（NFS） NFS 网络文件系统是FreeBSD支持的文件系统中的一种， 也被称为 NFS。 NFS允许一个系统在网络上与它人共享目录和文件。通过使用NFS，用户和程序可以象访问本地文件 一样访问远端系统上的文件。 以下是NFS最显而易见的好处： 本地工作站使用更少的磁盘空间，因为通常的数据可以存放在一 台机器上而且可以通过网络访问到。 用户不必在每个网络上机器里头都有一个home目录。Home目录 可以被放在NFS服务器上并且在网络上处处可用。 诸如软驱，CDROM，和 &iomegazip; 之类的存储设备可以在网络上面被别的机器使用。 这可以减少整个网络上的可移动介质设备的数量。 <acronym>NFS</acronym>是如何工作的 NFS 至少包括两个主要的部分： 一台服务器， 以及至少一台客户机， 客户机远程地访问保存在服务器上的数据。 要让这一切运转起来， 需要配置并运行几个程序。 服务器必须运行以下服务： NFS server (服务) 文件服务器 UNIX 客户机 rpcbind mountd nfsd 服务 描述 nfsd NFS，为来自NFS客户端的 请求服务。 mountd NFS挂载服务，处理&man.nfsd.8;递交过来的请求。 rpcbind 此服务允许 NFS 客户程序查询正在被 NFS 服务使用的端口。 客户端同样运行一些进程，比如 nfsiod。 nfsiod处理来自NFS的请求。 这是可选的，而且可以提高性能，对于普通和正确的操作来说并不是必须的。 参考&man.nfsiod.8;手册获得更多信息。 配置<acronym>NFS</acronym> NFS configuration NFS的配置过程相对简单。这个过程只需要 对/etc/rc.conf文件作一些简单修改。 在NFS服务器这端，确认/etc/rc.conf 文件里头以下开关都配上了: rpcbind_enable="YES" nfs_server_enable="YES" mountd_flags="-r" 只要NFS服务被置为enable，mountd 就能自动运行。 在客户端一侧，确认下面这个开关出现在 /etc/rc.conf里头: nfs_client_enable="YES" /etc/exports文件指定了哪个文件系统 NFS应该输出（有时被称为共享）。 /etc/exports里面每行指定一个输出的文件系统和 哪些机器可以访问该文件系统。在指定机器访问权限的同时，访问选项 开关也可以被指定。有很多开关可以被用在这个文件里头，不过不会在这 里详细谈。您可以通过阅读&man.exports.5; 手册来发现这些开关。 以下是一些/etc/exports的例子： NFS export examples 下面是一个输出文件系统的例子， 不过这种配置与您所处的网络环境及其配置密切相关。 例如， 如果要把 /cdrom 输出给与服务器域名相同的三台计算机 (因此例子中只有机器名， 而没有给出这些计算机的域名)， 或在 /etc/hosts 文件中进行了这种配置。 标志表示把输出的文件系统置为只读。 由于使用了这个标志， 远程系统在输出的文件系统上就不能写入任何变动了。 /cdrom -ro host1 host2 host3 下面的例子可以输出/home给三个以IP地址方式表示的主机。 对于在没有配置DNS服务器的私有网络里头，这很有用。 此外， /etc/hosts 文件也可以用以配置主机名；参看 &man.hosts.5; 。 标记允许子目录被作为挂载点。 也就是说，客户端可以根据需要挂载需要的目录。 /home -alldirs 10.0.0.2 10.0.0.3 10.0.0.4 下面几行输出 /a ，以便两个来自不同域的客户端可以访问文件系统。 标记授权远端系统上的 root 用户在被输出的文件系统上以root身份进行读写。 如果没有特别指定 -maproot=root 标记， 则即使用户在远端系统上是 root 身份， 也不能修改被输出文件系统上的文件。 /a -maproot=root host.example.com box.example.org 为了能够访问到被输出的文件系统，客户端必须被授权。 请确认客户端在您的 /etc/exports 被列出。 在 /etc/exports 里头，每一行里面，输出信息和文件系统一一对应。 一个远程主机每次只能对应一个文件系统。而且只能有一个默认入口。比如，假设 /usr 是独立的文件系统。这个 /etc/exports 就是无效的： # Invalid when /usr is one file system /usr/src client /usr/ports client 一个文件系统，/usr， 有两行指定输出到同一主机， client. 解决这一问题的正确的格式是： /usr/src /usr/ports client 在同一文件系统中， 输出到指定客户机的所有目录， 都必须写到同一行上。 没有指定客户机的行会被认为是单一主机。 这限制了你可以怎样输出的文件系统， 但对绝大多数人来说这不是问题。 下面是一个有效输出列表的例子， /usr 和 /exports 是本地文件系统： # Export src and ports to client01 and client02, but only # client01 has root privileges on it /usr/src /usr/ports -maproot=root client01 /usr/src /usr/ports client02 # The client machines have root and can mount anywhere # on /exports. Anyone in the world can mount /exports/obj read-only /exports -alldirs -maproot=root client01 client02 /exports/obj -ro 在修改了 /etc/exports 文件之后， 就必须让 mountd 服务重新检查它， 以便使修改生效。 一种方法是通过给正在运行的服务程序发送 HUP 信号来完成： &prompt.root; kill -HUP `cat /var/run/mountd.pid` 或指定适当的参数来运行 mountd &man.rc.8; 脚本： &prompt.root; /etc/rc.d/mountd onereload 关于使用 rc 脚本的细节， 请参见 。 另外， 系统重启动可以让 FreeBSD 把一切都弄好。 尽管如此， 重启不是必须的。 以 root 身份执行下面的命令可以搞定一切。 在 NFS 服务器端： &prompt.root; rpcbind &prompt.root; nfsd -u -t -n 4 &prompt.root; mountd -r 在 NFS 客户端： &prompt.root; nfsiod -n 4 现在每件事情都应该就绪，以备挂载一个远端文件系统。 在这些例子里头， 服务器名字将是：server ，而客户端的名字将是： client。 如果您只打算临时挂载一个远端文件系统或者只是打算作测试配置正确与否， 只要在客户端以 root 身份执行下面的命令： NFS mounting &prompt.root; mount server:/home /mnt 这条命令会把服务端的 /home 目录挂载到客户端的 /mnt 上。 如果配置正确，您应该可以进入客户端的 /mnt 目录并且看到所有服务端的文件。 如果您打算让系统每次在重启动的时候都自动挂载远端的文件系统，把那个文件系统加到 /etc/fstab 文件里头去。下面是例子： server:/home /mnt nfs rw 0 0 &man.fstab.5; 手册里有所有可用的开关。 锁 某些应用程序 (例如 mutt) 需要文件上锁支持才能正常运行。 在使用 NFS 时， 可以用 rpc.lockd 来支持文件上锁功能。 要启用它， 需要在服务器和客户机的 /etc/rc.conf 中加入 (假定两端均已配好了 NFS)： rpc_lockd_enable="YES" rpc_statd_enable="YES" 然后使用下述命令启动该程序： &prompt.root; /etc/rc.d/lockd start &prompt.root; /etc/rc.d/statd start 如果并不需要真的在 NFS 客户机和 NFS 服务器间确保上锁的语义， 可以让 NFS 客户机在本地上锁， 方法是使用 &man.mount.nfs.8; 时指定 参数。 请参见 &man.mount.nfs.8; 联机手册以了解更多细节。 实际应用 NFS 有很多实际应用。下面是比较常见的一些： NFS uses 多个机器共享一台CDROM或者其他设备。这对于在多台机器中安装软件来说更加便宜跟方便。 在大型网络中，配置一台中心 NFS 服务器用来放置所有用户的home目录可能会带来便利。 这些目录能被输出到网络以便用户不管在哪台工作站上登录，总能得到相同的home目录。 几台机器可以有通用的/usr/ports/distfiles 目录。 这样的话，当您需要在几台机器上安装port时，您可以无需在每台设备上下载而快速访问源码。 Wylie Stilwell Contributed by Chern Lee Rewritten by 通过 <application>amd</application> 自动地挂接 amd 自动挂接服务 &man.amd.8; (自动挂接服务) 能够自动地在访问时挂接远程的文件系统。 如果文件系统在一段时间之内没有活动， 则会被 amd 自动卸下。 通过使用 amd， 能够提供一个持久挂接以外的选择， 而后者往往需要列入 /etc/fstab。 amd 通过将自己以 NFS 服务器的形式， 附加到 /host 和 /net 目录上来工作。 当访问这些目录中的文件时， amd 将查找相应的远程挂接点， 并自动地挂接。 /net 用于挂接远程 IP 地址上导出的文件系统， 而 /host 则用于挂接远程主机名上的文件系统。 访问 /host/foobar/usr 中的文件， 相当于告诉 amd 尝试挂接在主机 foobar 上导出的 /usr。 通过 <application>amd</application> 来挂接导出的文件系统 您可以通过使用 showmount 命令来查看远程主机上导出的文件系统。 例如， 要查看 foobar 上导出的文件系统， 可以用： &prompt.user; showmount -e foobar Exports list on foobar: /usr 10.10.10.0 /a 10.10.10.0 &prompt.user; cd /host/foobar/usr 如同在前面例子中所看到的， showmount 显示了导出的 /usr。 当进入 /host/foobar/usr 这个目录时， amd 将尝试解析主机名 foobar 并自动地挂接需要的文件系统导出。 amd 可以通过启动脚本来启动， 方法是在 /etc/rc.conf 中加入： amd_enable="YES" 除此之外， 还可以给 amd 通过 amd_flags 选项来传递额外的参数。 默认情况下， amd_flags 为： amd_flags="-a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map" /etc/amd.map 文件定义了挂接导出文件系统时所使用的默认选项。 /etc/amd.conf 文件， 则定义了更多关于 amd 的高级功能选项。 请参考 &man.amd.8; 和 &man.amd.conf.5; 联机手册， 以了解进一步的情况。 John Lind Contributed by 与其他系统集成时的常见问题 某些特定的 ISA PC 系统上的以太网适配器上有一些限制， 这些限制可能会导致严重的网络问题， 特别是与 NFS 配合使用时。 这些问题并非 FreeBSD 所特有的， 但 FreeBSD 系统会受到这些问题的影响。 这样的问题， 几乎总是在当 (FreeBSD) PC 系统与高性能的工作站， 例如 Silicon Graphics, Inc., 和 Sun Microsystems, Inc. 的工作站联网时发生。 NFS 挂接能够正常工作， 而且一些操作也可能成功， 但服务器会很快变得对客户机不太理会， 虽然对其他客户机的请求仍然能够正常处理。 这种情况通常发生在客户端， 无论它是一个 FreeBSD 系统或是终端。 在许多系统上， 一旦发生了这样的问题， 通常没办法正常地关闭客户机。 唯一的办法通常是让终端复位， 因为这一 NFS 状况没有办法被解决。 尽管 正确的 解决办法， 是为 FreeBSD 系统配备一块高性能的、 适用的以太网适配器， 然而也有办法绕过问题并得到相对满意的结果。 如果 FreeBSD 系统是 服务器， 则在客户机挂接时， 应该指定 。 如果 FreeBSD 系统是 客户机， 则应加入 参数。 这些选项可以通过在对应的 fstab 的第四个字段加入， 以便让客户机能够自动地挂接， 或者通过 &man.mount.8; 的 参数在手工挂接时指定。 还需要注意的是另一个问题， 有时会被误认为是和上面一样的问题。 这个问题多见于 NFS 服务器和客户机在不同的网络上时。 如果是这种情况， 一定要 确定 您的路由器确实把必需的 UDP 信息路由到了目的地， 否则您将什么也做不了。 下面的例子中， fastws 是主机 (接口) 的名字， 它是一台高性能的终端， 而 freebox 是另一台主机 (接口) 的名字， 它是一个使用较低性能的以太网适配器的 FreeBSD 系统。 同时， /sharedfs 将被导出成为 NFS 文件系统 (参见 &man.exports.5;)， 而 /project 将是客户机上挂接这一导出文件系统的挂接点。 所有的应用场景中， 请注意附加选项， 例如 或 以及 可能是您的应用所需要的。 关于 FreeBSD 系统 (freebox) 作为客户机的示范 /etc/fstab 文件， 见于 freebox 之上： fastws:/sharedfs /project nfs rw,-r=1024 0 0 在 freebox 上手工挂接： &prompt.root; mount -t nfs -o -r=1024 fastws:/sharedfs /project 以 FreeBSD 系统作为服务器的例子， 是 fastws 上的 /etc/fstab： freebox:/sharedfs /project nfs rw,-w=1024 0 0 在 fastws 上手工挂接的命令是： &prompt.root; mount -t nfs -o -w=1024 freebox:/sharedfs /project 几乎所有的 16-位 以太网控制器， 都能够在没有上述读写尺寸限制的情况下正常工作。 对于那些关心到底是什么问题的人， 下面是失败如何发生的解释， 同时这也说明了为什么这是一个无法恢复的问题。 典型情况下， NFS 会使用一个 块 为单位进行操作， 其尺寸是 8 K (虽然它可能会将操作分成更小尺寸的分片)。 由于最大的以太网包尺寸大约是 1500 字节， 因此 NFS 块 会分成多个以太网包， 虽然在更高层的代码看来它仍然是一个完整的单元， 并在接收方重新组装， 作为一个整体来 确认。 高性能的工作站， 可以将构成 NFS 单元的包迅速发出， 其节奏会快到标准允许的最大限度。 在容量较小的卡上， 后来的包会冲掉同一单元内的较早的包， 因而整个单元无法被重建或确认。 其结果是， 工作站将超时并重试， 但仍然是完整的 8 K 单元， 这一过程将无休止地重复下去。 如果将单元尺寸限制在以太网包尺寸之下， 我们就能够确保每一个以太网包都能够被独立地接收和确认， 从而避免了上面的死锁情形。 溢出在高性能工作站将数据库投向 PC 系统时仍会发生， 但在更好的网卡上， 能够保证这类溢出不会在每一个 NFS 单元 上都发生。 当出现溢出时， 被影响的单元被重传， 因而此时有很大的机会它将被正确接收、 重组， 并确认。 Bill Swingle Written by Eric Ogren Enhanced by Udo Erdelhoff 网络信息服务 (NIS/YP) 它是什么？ NIS Solaris HP-UX AIX Linux NetBSD OpenBSD NIS， 表示网络信息服务 (Network Information Services)， 最初由 Sun Microsystems 开发， 用于 &unix; (最初是 &sunos;) 系统的集中管理。 目前， 它基本上已经成为了业界标准； 所有主流的类 &unix; 系统 (&solaris;, HP-UX, &aix;, Linux, NetBSD, OpenBSD, FreeBSD, 等等) 都支持 NIS。 黄页 (yellow pages)NIS NIS 也就是人们所熟知的黄页(Yellow Pages)， 但由于商标的问题， Sun 将其改名为现在的名字。 旧的术语 (以及 yp)， 仍然经常可以看到， 并被广泛使用。 NIS 域 这是一个基于 RPC 的客户机/服务器系统， 它允许在一个 NIS 域中的一组机器共享一系列配置文件。 这样， 系统管理员就可以配置只包含最基本配置数据的 NIS 客户机系统， 并在单点上增加、 删除或修改配置数据。 Windows NT 尽管实现的内部细节截然不同， 这和 &windowsnt; 域系统非常类似， 以至于可以将两者的基本功能相互类比。 您应该知道的术语和进程 有一系列术语和重要的用户进程将在您在 FreeBSD 上实现 NIS 时用到， 无论是在创建 NIS 服务器， 或作为 NIS 客户机： rpcbind portmap 术语 说明 NIS 域名 NIS 主服务器和所有其客户机 (包括从服务器) 会使用同一 NIS 域名。 和 &windowsnt; 域名类似， NIS 域名与 DNS 无关。 rpcbind 必须运行这个程序， 才能够启用 RPC (远程过程调用， NIS 用到的一种网络协议)。 如果没有运行 rpcbind， 则没有办法运行 NIS 服务器， 或作为 NIS 客户机。 ypbind 绑定(bind) NIS 客户机到它的 NIS 服务器上。 这样， 它将从系统中获取 NIS 域名， 并使用 RPC 连接到服务器上。 ypbind 是 NIS 环境中， 客户机-服务器通讯的核心； 如果客户机上的 ypbind 死掉的话， 它将无法访问 NIS 服务器。 ypserv 只应在 NIS 服务器上运行它； 这是 NIS 的服务器进程。 如果 &man.ypserv.8; 死掉的话， 则服务器将不再具有响应 NIS 请求的能力 (此时， 如果有从服务器的话， 则会接管操作)。 有一些 NIS 的实现 (但不是 FreeBSD 的这个) 的客户机上， 如果之前用过一个服务器， 而那台服务器死掉的话， 并不尝试重新连接到另一个服务器。 通常， 发生这种情况时， 唯一的办法就是重新启动服务器进程 (或者， 甚至重新启动服务器) 或客户机上的 ypbind 进程。 rpc.yppasswdd 另一个只应在 NIS 主服务器上运行的进程； 这是一个服务程序， 其作用是允许 NIS 客户机改变它们的 NIS 口令。 如果没有运行这个服务， 用户将必须登录到 NIS 主服务器上， 并在那里修改口令。 它是如何工作的？ 在 NIS 环境中， 有三种类型的主机： 主服务器， 从服务器， 以及客户机。 服务器的作用是充当主机配置信息的中央数据库。 主服务器上保存着这些信息的权威副本， 而从服务器则是保存这些信息的冗余副本。 客户机依赖于服务器向它们提供这些信息。 许多文件的信息可以通过这种方式来共享。 通常情况下， master.passwd、 group， 以及 hosts 是通过 NIS 分发的。 无论什么时候， 如果客户机上的某个进程请求这些本应在本地的文件中的资料的时候， 它都会向所绑定的 NIS 服务器发出请求， 而不使用本地的版本。 机器类型 NIS 主服务器 一台 NIS 主服务器。 这台服务器， 和 &windowsnt; 域控制器类似， 会维护所有 NIS 客户机所使用的文件。 passwd， group， 以及许多其他 NIS 客户机所使用的文件， 都被存放到主服务器上。 可以将一台 NIS 主服务器用在多个 NIS 域中。 然而， 本书不打算对这种配置进行介绍， 因为这种配置， 通常只出现在小规模的 NIS 环境中。 NIS 从服务器 NIS 从服务器。 这一概念， 与 &windowsnt; 的备份域控制器类似。 NIS 从服务器， 用于维护 NIS 主服务器的数据文件副本。 NIS 从服务器提供了一种冗余， 这在许多重要的环境中是必需的。 此外， 它也帮助减轻了主服务器的负荷： NIS 客户机总是挂接到最先响应它们的 NIS 服务器上， 而这也包括来自从服务器的响应。 NIS 客户机 NIS 客户机。 NIS 客户机， 和多数 &windowsnt; 工作站类似， 通过 NIS 服务器 (或对于 &windowsnt; 工作站， 则是 &windowsnt; 域控制器) 来完成登录时的身份验证过程。 使用 NIS/YP 这一节将通过实例介绍如何配置 NIS 环境。 规划 假定您正在管理大学中的一个小型实验室。 在这个实验室中， 有 15 台 FreeBSD 机器， 目前尚没有集中的管理点； 每一台机器上有自己的 /etc/passwd 和 /etc/master.passwd。 这些文件通过人工干预的方法来保持与其他机器上版本的同步； 目前， 如果您在实验室中增加一个用户， 将不得不在所有 15 台机器上手工执行 adduser 命令。 毋庸置疑， 这一现状必须改变， 因此您决定将整个实验室转为使用 NIS， 并使用两台机器作为服务器。 因此， 实验室的配置应该是这样的： 机器名 IP 地址 机器的角色 ellington 10.0.0.2 NIS 主服务器 coltrane 10.0.0.3 NIS 从服务器 basie 10.0.0.4 教员工作站 bird 10.0.0.5 客户机 cli[1-11] 10.0.0.[6-17] 其他客户机 如果您是首次配置 NIS， 仔细思考如何进行规划就十分重要。 无论您的网络的大小如何， 都必须进行几个决策。 选择 NIS 域名 NIS 域名 这可能不是您过去使用的 域名(domainname)。 它的规范的叫法， 应该是 NIS 域名。 当客户机广播对此信息的请求时， 它会将 NIS 域的名字作为请求的一部分发出。 这样， 统一网络上的多个服务器， 就能够知道谁应该回应请求。 您可以把 NIS 域名想象成以某种方式相关的一组主机的名字。 一些机构会选择使用它们的 Internet 域名来作为 NIS 域名。 并不推荐这样做， 因为在调试网络问题时， 这可能会导致不必要的困扰。 NIS 域名应该是在您网络上唯一的， 并且有助于了解它所描述的到底是哪一组机器。 例如对于 Acme 公司的美工部门， 可以考虑使用 acme-art 这样的 NIS 域名。 在这个例子中， 您使用的域名是 test-domain。 SunOS 然而， 某些操作系统 (最著名的是 &sunos;) 会使用其 NIS 域名作为 Internet 域名。 如果您的网络上存在包含这类限制的机器， 就 必须 使用 Internet 域名来作为您的 NIS 域名。 服务器的物理要求 选择 NIS 服务器时， 需要时刻牢记一些东西。 NIS 的一个不太好的特性就是其客户机对于服务器的依赖程度。 如果客户机无法与其 NIS 域的服务器联系， 则这台机器通常会陷于不可用的状态。 缺少用户和组信息， 会使绝大多数系统进入短暂的冻结状态。 基于这样的考虑， 您需要选择一台不经常重新启动， 或用于开发的机器来承担其责任。 如果您的网络不太忙， 也可以使用运行着其他服务的机器来安放 NIS 服务， 只是需要注意， 一旦 NIS 服务器不可用， 则 所有 的 NIS 客户机都会受到影响。 NIS 服务器 所有的 NIS 信息的正规版本， 都被保存在一台单独的称作 NIS 主服务器的机器上。 用于保存这些信息的数据库， 称为 NIS 映射(map)。 在 FreeBSD 中， 这些映射被保存在 /var/yp/[domainname] 里， 其中 [domainname] 是提供服务的 NIS 域的名字。 一台 NIS 服务器， 可以同时支持多个域， 因此可以建立很多这样的目录， 所支撑一个域对应一个。 每一个域都会有一组独立的映射。 NIS 主和从服务器， 通过 ypserv 服务程序来处理所有的 NIS 请求。 ypserv 有责任接收来自 NIS 客户机的请求， 翻译请求的域， 并将名字映射为相关的数据库文件的路径， 然后将来自数据库的数据传回客户机。 配置 NIS 主服务器 NIS 服务器配置 配置主 NIS 服务器相对而言十分的简单， 而其具体步骤则取决于您的需要。 FreeBSD 提供了一步到位的 NIS 支持。 您需要做的全部事情， 只是在 /etc/rc.conf 中加入一些配置， 其他工作会由 FreeBSD 完成。 nisdomainname="test-domain" 这一行将在网络启动 (例如重新启动) 时， 把 NIS 域名配置为 test-domain。 nis_server_enable="YES" 这将要求 FreeBSD 在网络子系统启动之后立即启动 NIS 服务进程。 nis_yppasswdd_enable="YES" 这将启用 rpc.yppasswdd 服务程序， 如前面提到的， 它允许用户在客户机上修改自己的 NIS 口令。 随 NIS 配置的不同， 可能还需要增加其他一些项目。 请参见 关于 NIS 服务器同时充当 NIS 客户机 这一节， 以了解进一步的情况。 现在， 所需要做的最后的工作是以超级用户身份执行 /etc/netstart 命令。 这将依据 /etc/rc.conf 为您配置好所有的东西。 初始化 NIS 映射 NIS 映射 NIS 映射 是一些数据库文件， 它们位于 /var/yp 目录中。 这些文件基本上都是根据 NIS 主服务器的 /etc 目录自动生成的， 唯一的例外是： /etc/master.passwd 文件。 一般来说， 您会有非常充分的理由不将 root 以及其他管理帐号的口令发到所有 NIS 域上的服务器上。 因此， 在开始初始化 NIS 映射之前， 我们应该： &prompt.root; cp /etc/master.passwd /var/yp/master.passwd &prompt.root; cd /var/yp &prompt.root; vi master.passwd 这里， 删除掉和系统有关的帐号对应的项 (bin、 tty、 kmem、 games， 等等)， 以及其他不希望被扩散到 NIS 客户机的帐号 (例如 root 和任何其他 UID 0 (超级用户) 的帐号)。 确认 /var/yp/master.passwd 这个文件是同组用户， 以及其他用户不可读的 (模式 600)！ 如果需要的话， 用 chmod 命令来改它。 Tru64 UNIX 完成这些工作之后， 就可以初始化 NIS 映射了！ FreeBSD 提供了一个名为 ypinit 的脚本来帮助您完成这项工作 (详细信息， 请见其联机手册)。 请注意， 这个脚本在绝大多数 &unix; 操作系统上都可以找到， 但并不是所有操作系统的都提供。 在 Digital UNIX/Compaq Tru64 UNIX 上它的名字是 ypsetup。 由于我们正在生成的是 NIS 主服务器的映射， 因此应该使用 ypinit 的 参数。 如果已经完成了上述步骤， 要生成 NIS 映射， 只需执行： ellington&prompt.root; ypinit -m test-domain Server Type: MASTER Domain: test-domain Creating an YP server will require that you answer a few questions. Questions will all be asked at the beginning of the procedure. Do you want this procedure to quit on non-fatal errors? [y/n: n] n Ok, please remember to go back and redo manually whatever fails. If you don't, something might not work. At this point, we have to construct a list of this domains YP servers. rod.darktech.org is already known as master server. Please continue to add any slave servers, one per line. When you are done with the list, type a <control D>. master server : ellington next host to add: coltrane next host to add: ^D The current list of NIS servers looks like this: ellington coltrane Is this correct? [y/n: y] y [..output from map generation..] NIS Map update completed. ellington has been setup as an YP master server without any errors. ypinit 应该会根据 /var/yp/Makefile.dist 来创建 /var/yp/Makefile 文件。 创建完之后， 这个文件会假定您正在操作只有 FreeBSD 机器的单服务器 NIS 环境。 由于 test-domain 还有一个从服务器， 您必须编辑 /var/yp/Makefile： ellington&prompt.root; vi /var/yp/Makefile 应该能够看到这样一行， 其内容是 NOPUSH = "True" (如果还没有注释掉的话)。 配置 NIS 从服务器 NIS 从服务器 配置 NIS 从服务器， 甚至比配置主服务器还要简单。 登录到从服务器上， 并按照前面的方法， 编辑 /etc/rc.conf 文件。 唯一的区别是， 在运行 ypinit 时需要使用 参数。 这里的 选项， 同时要求提供 NIS 主服务器的名字， 因此我们的命令行应该是： coltrane&prompt.root; ypinit -s ellington test-domain Server Type: SLAVE Domain: test-domain Master: ellington Creating an YP server will require that you answer a few questions. Questions will all be asked at the beginning of the procedure. Do you want this procedure to quit on non-fatal errors? [y/n: n] n Ok, please remember to go back and redo manually whatever fails. If you don't, something might not work. There will be no further questions. The remainder of the procedure should take a few minutes, to copy the databases from ellington. Transferring netgroup... ypxfr: Exiting: Map successfully transferred Transferring netgroup.byuser... ypxfr: Exiting: Map successfully transferred Transferring netgroup.byhost... ypxfr: Exiting: Map successfully transferred Transferring master.passwd.byuid... ypxfr: Exiting: Map successfully transferred Transferring passwd.byuid... ypxfr: Exiting: Map successfully transferred Transferring passwd.byname... ypxfr: Exiting: Map successfully transferred Transferring group.bygid... ypxfr: Exiting: Map successfully transferred Transferring group.byname... ypxfr: Exiting: Map successfully transferred Transferring services.byname... ypxfr: Exiting: Map successfully transferred Transferring rpc.bynumber... ypxfr: Exiting: Map successfully transferred Transferring rpc.byname... ypxfr: Exiting: Map successfully transferred Transferring protocols.byname... ypxfr: Exiting: Map successfully transferred Transferring master.passwd.byname... ypxfr: Exiting: Map successfully transferred Transferring networks.byname... ypxfr: Exiting: Map successfully transferred Transferring networks.byaddr... ypxfr: Exiting: Map successfully transferred Transferring netid.byname... ypxfr: Exiting: Map successfully transferred Transferring hosts.byaddr... ypxfr: Exiting: Map successfully transferred Transferring protocols.bynumber... ypxfr: Exiting: Map successfully transferred Transferring ypservers... ypxfr: Exiting: Map successfully transferred Transferring hosts.byname... ypxfr: Exiting: Map successfully transferred coltrane has been setup as an YP slave server without any errors. Don't forget to update map ypservers on ellington. 现在应该会有一个叫做 /var/yp/test-domain 的目录。 在这个目录中， 应该保存 NIS 主服务器上的映射的副本。 接下来需要确定这些文件都及时地同步更新了。 在从服务器上， 下面的 /etc/crontab 项将帮助您确保这一点： 20 * * * * root /usr/libexec/ypxfr passwd.byname 21 * * * * root /usr/libexec/ypxfr passwd.byuid 这两行将强制从服务器将映射与主服务器同步。 由于主服务器会尝试确保所有其 NIS 映射的变动都知会从服务器， 因此这些项并不是绝对必需的， 尽管如此， 强制更新能够保证这些对依赖于服务器的系统至关重要的口令信息及时地同步。 同时， 在繁忙的网络上， 有时也会出现映射同步更新不完全的情况。 现在， 在从服务器上执行 /etc/netstart， 就可以启动 NIS 服务了。 NIS 客户机 NIS 客户机会通过 ypbind 服务程序来与特定的 NIS 服务器建立一种称作绑定的联系。 ypbind 会检查系统的默认域 (这是通过 domainname 命令来设置的)， 并开始在本地网络上广播 RPC 请求。 这些请求会指定 ypbind 尝试绑定的域名。 如果已经配置了服务器， 并且这些服务器接到了广播， 它将回应 ypbind， 后者则记录服务器的地址。 如果有多个可用的服务器 (例如一个主服务器， 加上多个从服务器)， ypbind 将使用第一个响应的地址。 从这一时刻开始， 客户机会把所有的 NIS 请求直接发给那个服务器。 ypbind 偶尔会 ping 服务器以确认其仍然在正常运行。 如果在合理的时间内没有得到响应， 则 ypbind 会把域标记为未绑定， 并再次发起广播， 以期找到另一台服务器。 设置 NIS 客户机 NIS 客户机配置 配置一台 FreeBSD 机器作为 NIS 客户机是非常简单的。 编辑 /etc/rc.conf 文件， 并在其中加上下面几行， 以设置 NIS 域名， 并在网络启动时启动 ypbind： nisdomainname="test-domain" nis_client_enable="YES" 要从 NIS 服务器导入所有的口令项， 需要从您的 /etc/master.passwd 文件中删除所有用户， 并使用 vipw 在这个文件的最后一行加入： +::::::::: 这一行将让 NFS 服务器的口令映射中的帐号能够登录。 也有很多修改这一行来配置 NIS 客户机的办法。 请参见稍后的 netgroups 小节 以了解进一步的情况。 要了解更多信息， 可以参阅 O'Reilly 的 Managing NFS and NIS 这本书。 需要至少保留一个本地帐号 (也就是不通过 NIS 导入) 在您的 /etc/master.passwd 文件中， 而这个帐号应该是 wheel 组的成员。 如果 NIS 发生不测， 这个帐号可以用来远程登录， 成为 root， 并修正问题。 要从 NIS 服务器上导入组信息， 需要在 /etc/group 文件末尾加入： +:*:: 完成这些步骤之后， 就应该可以通过运行 ypcat passwd 来看到 NIS 服务器的口令映射了。 NIS 的安全性 基本上， 任何远程用户都可以发起一个 RPC 到 &man.ypserv.8; 并获得您的 NIS 映射的内容， 如果远程用户了解您的域名的话。 要避免这类未经授权的访问， &man.ypserv.8; 支持一个称为 securenets 的特性， 用以将访问限制在一组特定的机器上。 在启动过程中， &man.ypserv.8; 会尝试从 /var/yp/securenets 中加载 securenet 信息。 这个路径随 参数改变。 这个文件包含了一些项， 每一项中包含了一个网络标识和子网掩码， 中间用空格分开。 以 # 开头的行会被认为是注释。 示范的 securenets 文件如下所示： # allow connections from local host -- mandatory 127.0.0.1 255.255.255.255 # allow connections from any host # on the 192.168.128.0 network 192.168.128.0 255.255.255.0 # allow connections from any host # between 10.0.0.0 to 10.0.15.255 # this includes the machines in the testlab 10.0.0.0 255.255.240.0 如果 &man.ypserv.8; 接到了来自匹配上述任一规则的地址的请求， 则它会正常处理请求。 反之， 则请求将被忽略， 并记录一条警告信息。 如果 /var/yp/securenets 文件不存在， 则 ypserv 会允许来自任意主机的请求。 ypserv 程序也支持 Wietse Venema 的 TCP Wrapper 软件包。 这样， 管理员就能够使用 TCP Wrapper 的配置文件来代替 /var/yp/securenets 完成访问控制。 尽管这两种访问控制机制都能够提供某种程度的安全， 但是， 和特权端口检查一样， 它们无法避免 IP 伪造 攻击。 您的防火墙应该阻止所有与 NIS 有关的访问。 使用 /var/yp/securenets 的服务器， 可能会无法为某些使用陈旧的 TCP/IP 实现的 NIS 客户机服务。 这些实现可能会在广播时， 将主机位都设置为 0， 或在计算广播地址时忽略子网掩码。 尽管这些问题可以通过修改客户机的配置来解决， 其他一些问题也可能导致不得不淘汰那些客户机系统， 或者不使用 /var/yp/securenets。 在使用陈旧的 TCP/IP 实现的系统上， 使用 /var/yp/securenets 是一个非常糟糕的做法， 因为这将导致您的网络上的 NIS 丧失大部分功能。 TCP Wrappers 使用 TCP Wrapper 软件包， 会导致您的 NIS 服务器的响应延迟增加。 而增加的延迟， 则可能会导致客户端程序超时， 特别是在繁忙的网络或者很慢的 NIS 服务器上。 如果您的某个客户机因此而产生一些异常， 则应将这些客户机变为 NIS 从服务器， 并强制其绑定自己。 不允许某些用户登录 在我们的实验室中， basie 这台机器， 是一台教员专用的工作站。 我们不希望将这台机器拿出 NIS 域， 而主 NIS 服务器上的 passwd 文件， 则同时包含了教员和学生的帐号。 这时应该怎么做？ 有一种办法来禁止特定的用户登录机器， 即使他们身处 NIS 数据库之中。 要完成这一工作， 只需要在客户机的 /etc/master.passwd 文件中加入一些 -username 这样的项， 其中， username 是希望禁止登录的用户名。 一般推荐使用 vipw 来完成这个工作， 因为 vipw 会对您在 /etc/master.passwd 文件上所作的修改进行合法性检查， 并在编辑结束时重新构建口令数据库。 例如， 如果希望禁止用户 bill 登录 basie， 我们应该： basie&prompt.root; vipw [在末尾加入 -bill， 并退出] vipw: rebuilding the database... vipw: done basie&prompt.root; cat /etc/master.passwd root:[password]:0:0::0:0:The super-user:/root:/bin/csh toor:[password]:0:0::0:0:The other super-user:/root:/bin/sh daemon:*:1:1::0:0:Owner of many system processes:/root:/sbin/nologin operator:*:2:5::0:0:System &:/:/sbin/nologin bin:*:3:7::0:0:Binaries Commands and Source,,,:/:/sbin/nologin tty:*:4:65533::0:0:Tty Sandbox:/:/sbin/nologin kmem:*:5:65533::0:0:KMem Sandbox:/:/sbin/nologin games:*:7:13::0:0:Games pseudo-user:/usr/games:/sbin/nologin news:*:8:8::0:0:News Subsystem:/:/sbin/nologin man:*:9:9::0:0:Mister Man Pages:/usr/share/man:/sbin/nologin bind:*:53:53::0:0:Bind Sandbox:/:/sbin/nologin uucp:*:66:66::0:0:UUCP pseudo-user:/var/spool/uucppublic:/usr/libexec/uucp/uucico xten:*:67:67::0:0:X-10 daemon:/usr/local/xten:/sbin/nologin pop:*:68:6::0:0:Post Office Owner:/nonexistent:/sbin/nologin nobody:*:65534:65534::0:0:Unprivileged user:/nonexistent:/sbin/nologin +::::::::: -bill basie&prompt.root; Udo Erdelhoff Contributed by 使用 Netgroups netgroups 前一节介绍的方法， 在您需要为非常少的用户和/或机器进行特殊的规则配置时还算凑合。 在更大的网络上， 您 一定会 忘记禁止某些用户登录到敏感的机器上， 或者， 甚至必须单独地修改每一台机器的配置， 因而丢掉了 NIS 最重要的优越性： 集中式 管理。 NIS 开发人员为这个问题提供的解决方案， 被称作 netgroups。 它们的作用和语义， 基本上可以等同于 &unix; 文件系统上使用的组。 主要的区别是它们没有数字化的 ID， 以及可以在 netgroup 中同时包含用户和其他 netgroup。 Netgroups 被设计用来处理大的、 复杂的包含数百用户和机器的网络。 一方面， 在您不得不处理这类情形时， 这是一个很有用的东西。 而另一方面， 它的复杂性又使得通过非常简单的例子很难解释 netgroup 到底是什么。 这一节的其余部分的例子将展示这个问题。 假设您在实验室中成功地部署 NIS 引起了上司的兴趣。 您接下来的任务是将 NIS 域扩展， 以覆盖校园中的一些其他的机器。 下面两个表格中包括了新用户和新机器， 及其简要说明。 用户名 说明 alpha, beta IT 部门的普通雇员 charlie, delta IT 部门的学徒 echo, foxtrott, golf, ... 普通雇员 able, baker, ... 目前的实习生 机器名 说明 war, death, famine, pollution 最重要的服务器。 只有 IT 部门的雇员才允许登录这些机器。 pride, greed, envy, wrath, lust, sloth 不太重要的服务器， 所有 IT 部门的成员， 都可以登录这些机器。 one, two, three, four, ... 普通工作站。 只有 真正的 雇员才允许登录这些机器。 trashcan 一台不包含关键数据的旧机器。 即使是实习生， 也允许登录它。 如果您尝试通过一个一个地阻止用户来实现这些限制， 就需要在每一个系统的 passwd 文件中， 为每一个不允许登录该系统的用户添加对应的 -user 行。 如果忘记了任何一个， 就可能会造成问题。 在进行初始配置时， 正确地配置也许不是什么问题， 但随着日复一日地添加新用户， 总有一天 您会忘记为新用户添加某个行。 毕竟， Murphy 是一个乐观的人。 使用 netgroups 来处理这一状况可以带来许多好处。 不需要单独地处理每一个用户； 您可以赋予用户一个或多个 netgroups 身份， 并允许或禁止某一个 netgroup 的所有成员登录。 如果添加了新的机器， 只需要定义 netgroup 的登录限制。 如果增加了新用户， 也只需要将用户加入一个或多个 netgroup。 这些变化是相互独立的： 不再需要 对每一个用户和机器执行 ……。 如果您的 NIS 配置经过了谨慎的规划， 就只需要修改一个中央的配置文件， 就能够允许或禁止访问某台机器的权限了。 第一步是初始化 NIS 映射 netgroup。 FreeBSD 的 &man.ypinit.8; 默认情况下并不创建这个映射， 但它的 NIS 实现能够在创建这个映射之后立即对其提供支持。 要创建空映射， 简单地输入 ellington&prompt.root; vi /var/yp/netgroup 并开始增加内容。 在我们的例子中， 至少需要四个 nergruop： IT 雇员， IT 学徒， 普通雇员和实习生。 IT_EMP (,alpha,test-domain) (,beta,test-domain) IT_APP (,charlie,test-domain) (,delta,test-domain) USERS (,echo,test-domain) (,foxtrott,test-domain) \ (,golf,test-domain) INTERNS (,able,test-domain) (,baker,test-domain) IT_EMP, IT_APP 等等， 是 netgroup 的名字。 每一个括号中的组中， 都有一些用户帐号。 组中的三个字段是： 在哪些机器上能够使用这些项。 如果不指定主机名， 则项在所有机器上都有效。 如果指定了主机， 则很容易造成混淆。 属于这个 netgroup 的帐号。 帐号的 NIS 域。 您可以从其他 NIS 域中把帐号导入到您的 netgroup 中， 如果您管理多个 NIS 域的话。 每一个字段都可以包括通配符。 参见 &man.netgroup.5; 了解更多细节。 netgroups Netgroup 的名字一般来说不应超过 8 个字符， 特别是当您的 NIS 域中有机器打算运行其它操作系统的时候。 名字是区分大小写的； 使用大写字母作为 netgroup 的名字， 能够让您更容易地区分用户、 机器和 netgroup 的名字。 某些 NIS 客户程序 (FreeBSD 以外的那些) 可能无法处理含有大量项的 netgroup。 例如， 某些早期版本的 &sunos; 会在 netgroup 中包含多于 15 个 项 时出现问题。 要绕过这个问题， 可以创建多个 子netgroup，每一个中包含少于 15 个用户， 以及一个包含所有 子netgroup 的真正的 netgroup： BIGGRP1 (,joe1,domain) (,joe2,domain) (,joe3,domain) [...] BIGGRP2 (,joe16,domain) (,joe17,domain) [...] BIGGRP3 (,joe31,domain) (,joe32,domain) BIGGROUP BIGGRP1 BIGGRP2 BIGGRP3 如果需要超过 225 个用户， 可以继续重复上面的过程。 激活并分发新的 NIS 映射非常简单： ellington&prompt.root; cd /var/yp ellington&prompt.root; make 这个操作会生成三个 NIS 映射， 即 netgroup、 netgroup.byhost 和 netgroup.byuser。 用 &man.ypcat.1; 可以检查这些 NIS 映射是否可用了： ellington&prompt.user; ypcat -k netgroup ellington&prompt.user; ypcat -k netgroup.byhost ellington&prompt.user; ypcat -k netgroup.byuser 第一个命令的输出， 应该与 /var/yp/netgroup 的内容相近。 第二个命令， 如果没有指定本机专有的 netgroup， 则应该没有输出。 第三个命令， 则用于显示某个用户对应的 netgroup 列表。 客户机的设置也很简单。 要配置服务器 war， 只需进入 &man.vipw.8; 并把 +::::::::: 改为 +@IT_EMP::::::::: 现在， 只有 netgroup IT_EMP 中定义的用户会被导入到 war 的口令数据库中， 因此只有这些用户能够登录。 不过， 这个限制也会作用于 shell 的 ~， 以及所有在用户名和数字用户 ID 之间实施转换的函数的功能。 换言之， cd ~user 将不会正常工作， 而 ls -l 也将显示数字的 ID 而不是用户名， 并且 find . -user joe -print 将失败， 并给出 No such user 的错误信息。 要修正这个问题， 您需要导入所有的用户项， 而 不允许他们登录服务器。 这可以通过在 /etc/master.passwd 加入另一行来完成。 这行的内容是： +:::::::::/sbin/nologin， 意思是 导入所有的项， 但导入项的 shell 则替换为 /sbin/nologin。 通过在 /etc/master.passwd 中增加默认值， 可以替换掉 passwd 中的任意字段。 务必确认 +:::::::::/sbin/nologin 这一行出现在 +@IT_EMP::::::::: 之后。 否则， 所有从 NIS 导入的用户帐号将以 /sbin/nologin 作为登录 shell。 完成上面的修改之后， 在 IT 部门有了新员工时， 只需修改一个 NIS 映射就足够了。 您也可以用类似的方法， 在不太重要的服务器上， 把先前本地版本的 /etc/master.passwd 中的 +::::::::: 改为： +@IT_EMP::::::::: +@IT_APP::::::::: +:::::::::/sbin/nologin 相关的用于普通工作站的配置则应是： +@IT_EMP::::::::: +@USERS::::::::: +:::::::::/sbin/nologin 一切平安无事， 直到数周后， 有一天策略发生了变化： IT 部门也开始招收实习生了。 IT 实习生允许使用普通的终端， 以及不太重要的服务器； 而 IT 学徒， 则可以登录主服务器。 您增加了新的 netgroup IT_INTERN， 以及新的 IT 实习生到这个 netgroup 并开始修改每一台机器上的配置…… 老话说得好：牵一发， 动全身。 NIS 通过 netgroup 来建立 netgroup 的能力， 正可以避免这样的情形。 一种可能的方法是建立基于角色的 netgroup。 例如， 您可以创建称为 BIGSRV 的 netgroup， 用于定义最重要的服务器上的登录限制， 以及另一个成为 SMALLSRV 的 netgroup， 用以定义次重要的服务器， 以及第三个， 用于普通工作站的 netgroup USERBOX。 这三个 netgroup 中的每一个， 都包含了允许登录到这些机器上的所有 netgroup。 您的 NIS 映射中的新项如下所示： BIGSRV IT_EMP IT_APP SMALLSRV IT_EMP IT_APP ITINTERN USERBOX IT_EMP ITINTERN USERS 这种定义登录限制的方法， 在您能够将机器分组并加以限制的时候可以工作的相当好。 不幸的是， 这是种例外， 而非常规情况。 多数时候， 需要按机器去定义登录限制。 与机器相关的 netgroup 定义， 是处理上述策略改动的另一种可能的方法。 此时， 每台机器的 /etc/master.passwd 中， 都包含两个 + 开头的行。 第一个用于添加允许登录的 netgroup 帐号， 而第二个则用于增加其它帐号， 并把 shell 设置为 /sbin/nologin。 使用 全大写 的机器名作为 netgroup 名是个好主意。 换言之， 这些行应该类似于： +@BOXNAME::::::::: +:::::::::/sbin/nologin 一旦在所有机器上都完成了这样的修改， 就再也不需要修改本地的 /etc/master.passwd 了。 所有未来的修改都可以在 NIS 映射中进行。 这里是一个例子， 其中展示了在这一应用情景中所需要的 netgroup 映射， 以及其它一些常用的技巧： # Define groups of users first IT_EMP (,alpha,test-domain) (,beta,test-domain) IT_APP (,charlie,test-domain) (,delta,test-domain) DEPT1 (,echo,test-domain) (,foxtrott,test-domain) DEPT2 (,golf,test-domain) (,hotel,test-domain) DEPT3 (,india,test-domain) (,juliet,test-domain) ITINTERN (,kilo,test-domain) (,lima,test-domain) D_INTERNS (,able,test-domain) (,baker,test-domain) # # Now, define some groups based on roles USERS DEPT1 DEPT2 DEPT3 BIGSRV IT_EMP IT_APP SMALLSRV IT_EMP IT_APP ITINTERN USERBOX IT_EMP ITINTERN USERS # # And a groups for a special tasks # Allow echo and golf to access our anti-virus-machine SECURITY IT_EMP (,echo,test-domain) (,golf,test-domain) # # machine-based netgroups # Our main servers WAR BIGSRV FAMINE BIGSRV # User india needs access to this server POLLUTION BIGSRV (,india,test-domain) # # This one is really important and needs more access restrictions DEATH IT_EMP # # The anti-virus-machine mentioned above ONE SECURITY # # Restrict a machine to a single user TWO (,hotel,test-domain) # [...more groups to follow] 如果您正使用某种数据库来管理帐号， 应该可以使用您的数据库的报告工具来创建映射的第一部分。 这样， 新用户就自动地可以访问这些机器了。 最后的提醒： 使用基于机器的 netgroup 并不总是适用的。 如果正在为学生实验室部署数十台甚至上百台同样的机器， 您应该使用基于角色的 netgroup， 而不是基于机器的 netgroup， 以便把 NIS 映射的尺寸保持在一个合理的范围内。 需要牢记的事项 这里是一些其它在使用 NIS 环境时需要注意的地方。 每次需要在实验室中增加新用户时， 必须 只 在 NIS 服务器上加入用户， 而且 一定要记得重建 NIS 映射。 如果您忘记了这样做， 新用户将无法登录除 NIS 主服务器之外的任何其它机器。 例如， 如果要在实验室增加新用户 jsmith， 我们需要： &prompt.root; pw useradd jsmith &prompt.root; cd /var/yp &prompt.root; make test-domain 也可以运行 adduser jsmith 而不是 pw useradd jsmith. 将管理用的帐号排除在 NIS 映射之外。 一般来说， 您不希望这些管理帐号和口令被扩散到那些包含不应使用它们的用户的机器上。 确保 NIS 主和从服务器的安全， 并尽可能减少其停机时间。 如果有人攻入或简单地关闭这些机器， 则整个实验室的任也就无法登录了。 这是集中式管理系统中最薄弱的环节。 如果没有保护好 NIS 服务器， 您就有大批愤怒的用户需要对付了！ NIS v1 兼容性 FreeBSD 的 ypserv 提供了某些为 NIS v1 客户提供服务的支持能力。 FreeBSD 的 NIS 实现， 只使用 NIS v2 协议， 但其它实现可能会包含 v1 协议， 以提供对旧系统的向下兼容能力。 随这些系统提供的 ypbind 服务将首先尝试绑定 NIS v1 服务器， 即使它们并不真的需要它 (有些甚至可能会一直广播搜索请求， 即使已经从某台 v2 服务器得到了回应也是如此)。 注意， 尽管支持一般的客户机调用， 这个版本的 ypserv 并不能处理 v1 的映射传送请求； 因而， 它就不能与较早的支持 v1 协议的 NIS 服务器配合使用， 无论是作为主服务器还是从服务器。 幸运的是， 现今应该已经没有仍然在用的这样的服务器了。 同时作为 NIS 客户机的 NIS 服务器 在多服务器域的环境中， 如果服务器同时作为 NIS 客户， 在运行 ypserv 时要特别小心。 一般来说， 强制服务器绑定自己要比允许它们广播绑定请求要好， 因为这种情况下它们可能会相互绑定。 某些怪异的故障， 很可能是由于某一台服务器停机， 而其它服务器都依赖其服务所导致的。 最终， 所有的客户机都会超时并绑定到其它服务器， 但这个延迟可能会相当可观， 而且恢复之后仍然存在再次发生此类问题的隐患。 您可以强制一台机器绑定到特定的服务器， 这是通过 ypbind 的 参数来完成的。 如果不希望每次启动 NIS 服务器时都手工完成这项工作， 可以在 /etc/rc.conf 中加入： nis_client_enable="YES" # run client stuff as well nis_client_flags="-S NIS domain,server" 参见 &man.ypbind.8; 以了解更多情况。 口令格式 NIS 口令格式 在实现 NIS 时， 口令格式的兼容性问题是一种最为常见的问题。 假如您的 NIS 服务器使用 DES 加密口令， 则它只能支持使用 DES 的客户机。 例如， 如果您的网络上有 &solaris; NIS 客户机， 则几乎肯定需要使用 DES 加密口令。 要检查您的服务器和客户机使用的口令格式， 需要查看 /etc/login.conf。 如果主机被配置为使用 DES 加密的口令， 则 default class 将包含类似这样的项： default:\ :passwd_format=des:\ :copyright=/etc/COPYRIGHT:\ [Further entries elided] 其他一些可能的 passwd_format 包括 blf 和 md5 (分别对应于 Blowfish 和 MD5 加密口令)。 如果修改了 /etc/login.conf， 就必须重建登录性能数据库， 这是通过以 root 身份运行下面的程序来完成的： &prompt.root; cap_mkdb /etc/login.conf 已经在 /etc/master.passwd 中的口令的格式不会被更新， 直到用户在登录性能数据库重建 之后 首次修改口令为止。 接下来， 为了确保所有的口令都按照您选择的格式加密了， 还需要检查 /etc/auth.conf 中 crypt_default 给出的优先选择的口令格式。 要完成此工作， 将您选择的格式放到列表的第一项。 例如， 当使用 DES 加密的口令时， 对应项应为： crypt_default = des blf md5 在每一台基于 &os; 的 NIS 服务器和客户机上完成上述工作之后， 就可以肯定您的网络上它们都在使用同样的口令格式了。 如果在 NIS 客户机上做身份验证时发生问题， 这也是第一个可能出现问题的地方。 注意： 如果您希望在混合的网络上部署 NIS 服务器， 可能就需要在所有系统上都使用 DES， 因为这是所有系统都能够支持的最低限度的公共标准。 Greg Sutter Written by 网络自动配置 (DHCP) 什么是 DHCP？ 动态主机配置协议 DHCP - Internet Software Consortium (ISC) + Internet Systems Consortium (ISC) DHCP， 动态主机配置协议， 是一种让系统得以连接到网络上， 并获取所需要的配置参数手段。 FreeBSD 6.0 之前的版本， - 采用的是 ISC (Internet Software + 采用的是 ISC (Internet Systems Consortium) 的 DHCP 客户端 (&man.dhclient.8;) 实现。 更高版本使用的则是来自 OpenBSD 3.7 的 OpenBSD dhclient。 这里提供的所有关于 dhclient 的信息， 都是以 ISC 或 OpenBSD DHCP 客户端程序为准的。 DHCP 服务器是 ISC 软件包的一部分。 这一节都介绍哪些内容 这一节描述了 ISC 和 DHCP 系统中的客户端， 以及和 ISC DHCP 系统中的服务器端的组件。 客户端程序， dhclient， 是随 FreeBSD 作为它的一部分提供的； 而服务器部分， 则可以通过 net/isc-dhcp3-server port 得到。 &man.dhclient.8;、 &man.dhcp-options.5;、 以及 &man.dhclient.conf.5; 联机手册， 加上下面所介绍的参考文献， 都是非常有用的资源。 它如何工作 UDP 当 DHCP 客户程序， dhclient 在客户机上运行时， 它会开始广播请求配置信息的消息。 默认情况下， 这些请求是在 UDP 端口 68 上。 服务器通过 UDP 67 给出响应， 向客户机提供一个 IP 地址， 以及其他有关的配置参数， 例如子网掩码、 路由器， 以及 DNS 服务器。 所有这些信息都会以 DHCP lease 的形式给出， 并且只在一段特定的时间内有效 (这是由 DHCP 服务器的维护者配置的)。 这样， 那些已经断开网络的客户机使用的陈旧的 IP 地址就能被自动地回收了。 DHCP 客户程序可以从服务器端获取大量的信息。 关于能获得的信息的详细列表， 请参考 &man.dhcp-options.5;。 FreeBSD 集成 FreeBSD 完全地集成了 ISC 或 OpenBSD 的 DHCP 客户端， dhclient (取决于您运行的 &os; 版本)。 DHCP 客户端被安装程序直接支持， 并且是基本系统的一部分。 这使得您不再需要去了解那些已经运行了 DHCP 服务器的网络的具体配置参数。 从 FreeBSD 3.2 开始， 每一个发行版中均包含 dhclient。 sysinstall sysinstall 能够支持 DHCP。 在 sysinstall 中配置网络接口时， 它询问的第二个问题便是： Do you want to try DHCP configuration of the interface? (您是否希望在此接口上尝试 DHCP 配置?)。 如果做肯定的回答， 则将运行 dhclient， 一旦成功， 则将自动地填写网络配置信息。 要在系统启动时使用 DHCP， 您必须做两件事： DHCP 需求 您的内核中， 必须包含 bpf 设备。 如果需要这样做， 需要将 device bpf 添加到内核的编译配置文件中， 并重新编译内核。 要了解关于编译内核的进一步信息， 请参见 。 bpf 设备已经是 FreeBSD 发行版中默认的 GENERIC 内核的一部分了， 因此如果您没有对内核进行定制， 则不用创建一份新的内核配置文件， DHCP 就能工作了。 对于那些安全意识很强的人来说， 您应该知道 bpf 也是包侦听工具能够正确工作的条件之一 (当然， 它们还需要以 root 身份运行才行)。 bpf 是 使用 DHCP 所必须的， 但如果您对安全非常敏感， 则很可能会有理由不把 bpf 加入到您的内核配置中， 直到您真的需要使用 DHCP 为止。 编辑您的 /etc/rc.conf 并加入下面的设置： ifconfig_fxp0="DHCP" 务必将 fxp0 替换为您希望自动配置的网络接口的名字， 您可以在 找到更进一步的介绍。 如果您希望使用另一位置的 dhclient， 或者需要给 dhclient 传递其他参数， 还可以添加下面的配置 (根据需要进行修改)： dhclient_program="/sbin/dhclient" dhclient_flags="" DHCP 服务器 DHCP 服务器， dhcpd， 是作为 net/isc-dhcp3-server port 的一部分提供的。 这个 port 包括了 ISC DHCP 服务器及其文档。 文件 DHCP 配置文件 /etc/dhclient.conf dhclient 需要一个配置文件， /etc/dhclient.conf。 一般说来， 这个文件中只包括注释， 而默认值基本上都是合理的。 这个配置文件在 &man.dhclient.conf.5; 联机手册中进行了进一步的阐述。 /sbin/dhclient dhclient 是一个静态连编的， 它被安装到 /sbin 中。 &man.dhclient.8; 联机手册给出了关于 dhclient 的进一步细节。 /sbin/dhclient-script dhclient-script 是一个 FreeBSD 专用的 DHCP 客户端配置脚本。 在 &man.dhclient-script.8; 中对它进行了描述， 但一般来说， 用户不需要对其进行任何修改， 就能够让一切正常运转了。 /var/db/dhclient.leases DHCP 客户程序会维护一个数据库来保存有效的 lease， 它们被以日志的形式保存到这个文件中。 &man.dhclient.leases.5; 给出了更为细致的介绍。 进阶读物 DHCP 协议的完整描述是 RFC 2131。 关于它的其他信息资源的站点 也提供了详尽的资料。 安装和配置 DHCP 服务器 这一章包含哪些内容 这一章提供了关于如何在 FreeBSD 系统上使用 ISC - (Internet 软件协会) 的 DHCP 实现套件来架设 DHCP 服务器的信息。 + (Internet 系统协会) 的 DHCP 实现套件来架设 DHCP 服务器的信息。 DHCP 套件中的服务器部分并没有作为 FreeBSD 的一部分来提供， 因此您需要安装 net/isc-dhcp3-server port 才能提供这个服务。 请参见 以了解关于如何使用 Ports Collection 的进一步详情。 安装 DHCP 服务器 DHCP 安装 为了在您的 FreeBSD 系统上进行配置以便作为 DHCP 服务器来使用， 需要把 &man.bpf.4; 设备编译进内核。 要完成这项工作， 需要将 device bpf 加入到您的内核配置文件中， 并重新联编内核。 要得到关于如何联编内核的进一步信息， 请参见 。 bpf 设备是 FreeBSD 所附带的 GENERIC 内核中已经联入的组件， 因此您并不需要为了让 DHCP 正常工作而特别地定制内核。 如果您有较强的安全意识， 应该注意 bpf 同时也是让听包程序能够正确工作的设备 (尽管这类程序仍然需要以特权用户身份运行)。 bpf 是 使用 DHCP 所必需的， 但如果您对安全非常敏感， 您可能会不希望将 bpf 放进内核， 直到您真的认为 DHCP 是必需的为止。 接下来要做的是编辑示范的 dhcpd.conf， 它由 net/isc-dhcp3-server port 安装。 默认情况下， 它的名字应该是 /usr/local/etc/dhcpd.conf.sample， 在开始修改之前， 您需要把它复制为 /usr/local/etc/dhcpd.conf。 配置 DHCP 服务器 DHCP dhcpd.conf dhcpd.conf 包含了一系列关于子网和主机的定义， 下面的例子可以帮助您理解它： option domain-name "example.com"; option domain-name-servers 192.168.4.100; option subnet-mask 255.255.255.0; default-lease-time 3600; max-lease-time 86400; ddns-update-style none; subnet 192.168.4.0 netmask 255.255.255.0 { range 192.168.4.129 192.168.4.254; option routers 192.168.4.1; } host mailhost { hardware ethernet 02:03:04:05:06:07; fixed-address mailhost.example.com; } 这个选项指定了提供给客户机作为默认搜索域的域名。 请参考 &man.resolv.conf.5; 以了解关于这一概念的详情。 这个选项用于指定一组客户机使用的 DNS 服务器， 它们之间以逗号分隔。 提供给客户机的子网掩码。 客户机可以请求租约的有效期， 而如果没有， 则服务器将指定一个租约有效期， 也就是这个值 (单位是秒)。 这是服务器允许租出地址的最大时长。 如果客户机请求了更长的租期， 则它将得到一个地址， 但其租期仅限于 max-lease-time 秒。 这个选项用于指定 DHCP 服务器在一个地址被接受或释放时是否应对应尝试更新 DNS。 在 ISC 实现中， 这一选项是 必须指定的。 指定地址池中可以用来分配给客户机的 IP 地址范围。 在这个范围之间， 以及其边界的 IP 地址将分配给客户机。 定义客户机的默认网关。 主机的硬件 MAC 地址 (这样 DHCP 服务器就能够在接到请求时知道请求的主机身份)。 指定总是得到同一 IP 地址的主机。 请注意在此处使用主机名是对的， 因为 DHCP 服务器会在返回租借地址信息之前自行解析主机名。 在配制好 dhcpd.conf 之后， 应在 /etc/rc.conf 中启用 DHCP 服务器， 也就是增加： dhcpd_enable="YES" dhcpd_ifaces="dc0" 此处的 dc0 接口名应改为 DHCP 服务器需要监听 DHCP 客户端请求的接口 (如果有多个， 则用空格分开)。 接下来， 可以用下面的命令来启动服务： &prompt.root; /usr/local/etc/rc.d/isc-dhcpd.sh start 如果未来您需要修改服务器的配置， 请务必牢记发送 SIGHUP 信号给 dhcpd 并 不会 导致配置文件的重新加载， 而这在其他服务程序中则是比较普遍的约定。 您需要发送 SIGTERM 信号来停止进程， 然后使用上面的命令来重新启动它。 文件 DHCP 配置文件 /usr/local/sbin/dhcpd dhcpd 是静态连接的， 并安装到 /usr/local/sbin 中。 随 port 安装的 &man.dhcpd.8; 联机手册提供了关于 dhcpd 更为详尽的信息。 /usr/local/etc/dhcpd.conf dhcpd 需要配置文件， 即 /usr/local/etc/dhcpd.conf 才能够向客户机提供服务。 这个文件需要包括应提供给客户机的所有信息， 以及关于服务器运行的其他信息。 此配置文件的详细描述可以在随 port 安装的 &man.dhcpd.conf.5; 联机手册上找到。 /var/db/dhcpd.leases DHCP 服务器会维护一个它签发的租用地址数据库， 并保存在这个文件中， 这个文件是以日志的形式保存的。 随 port 安装的 &man.dhcpd.leases.5; 联机手册提供了更详细的描述。 /usr/local/sbin/dhcrelay dhcrelay 在更为复杂的环境中， 可以用来支持使用 DHCP 服务器转发请求给另一个独立网络上的 DHCP 服务器。 如果您需要这个功能， 需要安装 net/isc-dhcp3-relay port。 &man.dhcrelay.8; 联机手册提供了更为详尽的介绍。 Chern Lee Contributed by Tom Rhodes Daniel Gerzo 域名系统 (<acronym>DNS</acronym>) 纵览 BIND &os; 在默认情况下使用一个版本的 BIND (Berkeley Internet Name Domain)， 这是目前最为流行的 DNS 协议实现。 DNS 是一种协议， 可以通过它将域名同 IP 地址相互对应。 例如， 查询 www.FreeBSD.org 将得到 &os; Project 的 web 服务器的 IP 地址， 而查询 ftp.FreeBSD.org 则将得到响应的 FTP 机器的 IP 地址。 类似地， 也可以做相反的事情。 查询 IP 地址可以得到其主机名。 当然， 完成 DNS 查询并不需要在系统中运行域名服务器。 目前， 默认情况下&os; 使用的是 BIND9 DNS 服务软件。 我们内建于系统中的版本提供了增强的安全特性、 新的文件目录结构， 以及自动的 &man.chroot.8; 配置。 DNS 在 Internet 上的 DNS 是通过一套较为复杂的权威根域名系统， 顶级域名 (TLD)， 以及一系列小规模的， 提供少量域名解析服务并对域名信息进行缓存的域名服务器组成的。 目前， BIND 由 - Internet Software Consortium - + Internet Systems Consortium + 维护。 术语 要理解这份文档， 需要首先了解一些相关的 DNS 术语。 resolver (解析器) reverse DNS (反向 DNS) root zone (根域) 术语 定义 正向 DNS 将域名映射到 IP 地址 原点 (Origin) 表示特定域文件所在的域 - named, BIND, 域名服务器 + named, BIND 在 &os; 中 BIND 域名服务器软件包的常见叫法。 解析器 (Resolver) 计算机用以向域名服务器查询域名信息的一个系统进程 反向 DNS - 与正向 DNS 相对； 将 IP 地址映射为主机名 + 将 IP 地址映射为主机名 根域 Internet 域层次的起点。 所有的域都在根域之下， 类似文件系统中， 文件都在根目录之下那样。 域 (Zone) 独立的域， 子域， 或者由同一机构管理的 DNS 的一部分。 域 例子 域的例子： - . 是根域。 + . 在本文档中通常指代根域。 org. 是根域之下的一个顶级域名 (TLD)。 example.org. 是在 org. TLD 之下的一个域。 1.168.192.in-addr.arpa 是一个表示所有 192.168.1.* IP 地址空间中 IP 地址的域。 如您所见， 域名中越细节的部分会越靠左出现。 例如， example.org. 就比 org. 范围更小， 类似地 org. 又比根域更小。 域名各个部分的格局与文件系统十分类似： /dev 目录在根目录之下， 等等。 运行域名服务器的理由 域名服务器通常会有两种形式： 权威域名服务器， 以及缓存域名服务器。 下列情况需要有权威域名服务器： 想要向全世界提供 DNS 信息， 并对请求给出权威应答。 注册了类似 example.org 的域， 而需要将 IP 指定到其下的主机名上。 某个 IP 地址块需要反向 DNS 项 (IP 到主机名)。 备份服务器， 或常说的从 (slave) 服务器， 会在主服务器出现问题或无法访问时来应答查询请求。 下列情况需要有缓存域名服务器： 本地的 DNS 服务器能够缓存， 并比直接向外界的域名服务器请求更快地得到应答。 当有人查询 www.FreeBSD.org 时，解析器通常会向上级 ISP 的域名服务器发出请求， 并获得回应。 如果有本地的缓存 DNS 服务器， 查询只有在第一次被缓存 DNS 服务器发到外部世界。 其他的查询不会发向局域网外， 因为它们已经有在本地的缓存了。 DNS 如何运作 在 &os; 中， BIND 服务程序被称为 - named， 其原因显而易见。 + named。 文件 描述 &man.named.8; BIND 服务程序 &man.rndc.8; 域名服务控制程序 /etc/namedb BIND 存放域名信息的位置。 /etc/namedb/named.conf 域名服务配置文件 随在服务器上配置的域的性质不同， 域的定义文件一般会存放到 /etc/namedb 目录中的 master、 slave， 或 dynamic 子目录中。 这些文件中提供了域名服务器在响应查询时所需要的 DNS 信息。 启动 BIND + BIND starting (启动) 由于 BIND 是默认安装的， 因此配置它相对而言很简单。 默认的 named 配置， 是在 - &man.chroot.8; 环境中提供基本的域名解析服务。 + &man.chroot.8; 环境中提供基本的域名解析服务， + 并且只限于监听本地 IPv4 回环地址 (127.0.0.1)。 如果希望启动这一配置， 可以使用下面的命令： - &prompt.root; /etc/rc.d/named forcestart + &prompt.root; /etc/rc.d/named onestart 如果希望 named 服务在每次启动的时候都能够启动， 需要在 /etc/rc.conf 中加入： named_enable="YES" 当然， 除了这份文档所介绍的配置选项之外， 在 /etc/namedb/named.conf 中还有很多其它的选项。 不过， 如果您需要了解 &os; 中用于启动 named 的那些选项的话， 则可以查看 /etc/defaults/rc.conf 中的 named_* 参数， 并参考 &man.rc.conf.5; 联机手册。 除此之外， 也是一个不错的起点。 配置文件 + BIND configuration files (配置文件) 目前， named 的配置文件存放于 /etc/namedb 目录， 在使用前应根据需要进行修改， 除非您只打算让它完成简单的域名解析服务。 这个目录同时也是您进行绝大多数配置的地方。 - - 使用 <command>make-localhost</command> - - 要为 localhost 配置权威域， 需要进入 - /etc/namedb 目录， - 并运行下面的命令： - - &prompt.root; sh make-localhost - - 如果一切正常的话， 在 - master 子目录中会增加一组文件。 - 本地域名对应的文件是 localhost.rev， - 而 IPv6 对应的配置则是 localhost-v6.rev。 - 作为默认配置， 所需的信息已经放到了 - named.conf 文件中。 - - <filename>/etc/namedb/named.conf</filename> // $FreeBSD$ // // Refer to the named.conf(5) and named(8) man pages, and the documentation // in /usr/share/doc/bind9 for more details. // // If you are going to set up an authoritative server, make sure you // understand the hairy details of how DNS works. Even with // simple mistakes, you can break connectivity for affected parties, // or cause huge amounts of useless Internet traffic. options { + // Relative to the chroot directory, if any directory "/etc/namedb"; pid-file "/var/run/named/pid"; dump-file "/var/dump/named_dump.db"; statistics-file "/var/stats/named.stats"; // If named is being used only as a local resolver, this is a safe default. // For named to be accessible to the network, comment this option, specify // the proper IP address, or delete this option. listen-on { 127.0.0.1; }; // If you have IPv6 enabled on this system, uncomment this option for // use as a local resolver. To give access to the network, specify // an IPv6 address, or the keyword "any". // listen-on-v6 { ::1; }; -// In addition to the "forwarders" clause, you can force your name -// server to never initiate queries of its own, but always ask its -// forwarders only, by enabling the following line: -// -// forward only; +// These zones are already covered by the empty zones listed below. +// If you remove the related empty zones below, comment these lines out. + disable-empty-zone "255.255.255.255.IN-ADDR.ARPA"; + disable-empty-zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA"; + disable-empty-zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA"; // If you've got a DNS server around at your upstream provider, enter // its IP address here, and enable the line below. This will make you // benefit from its cache, thus reduce overall DNS traffic in the Internet. /* forwarders { 127.0.0.1; }; -*/ +*/ + +// If the 'forwarders' clause is not empty the default is to 'forward first' +// which will fall back to sending a query from your local server if the name +// servers in 'forwarders' do not have the answer. Alternatively you can +// force your name server to never initiate queries of its own by enabling the +// following line: +// forward only; + +// If you wish to have forwarding configured automatically based on +// the entries in /etc/resolv.conf, uncomment the following line and +// set named_auto_forward=yes in /etc/rc.conf. You can also enable +// named_auto_forward_only (the effect of which is described above). +// include "/etc/namedb/auto_forward.conf"; 正如注释所言， 如果希望从上级缓存中受益， 可以在此处启用 forwarders。 正常情况下， 域名服务器会逐级地查询 Internet 来找到特定的域名服务器， 直到得到答案为止。 这个选项将让它首先查询上级域名服务器 (或另外提供的域名服务器)， 从而从它们的缓存中得到结果。 如果上级域名服务器是一个繁忙的高速域名服务器， 则启用它将有助于改善服务品质。 127.0.0.1 不会 正常工作。 一定要把地址改为您上级服务器的 IP 地址。 /* - * If there is a firewall between you and nameservers you want - * to talk to, you might need to uncomment the query-source - * directive below. Previous versions of BIND always asked - * questions using port 53, but BIND versions 8 and later - * use a pseudo-random unprivileged UDP port by default. - */ - // query-source address * port 53; + Modern versions of BIND use a random UDP port for each outgoing + query by default in order to dramatically reduce the possibility + of cache poisoning. All users are strongly encouraged to utilize + this feature, and to configure their firewalls to accommodate it. + + AS A LAST RESORT in order to get around a restrictive firewall + policy you can try enabling the option below. Use of this option + will significantly reduce your ability to withstand cache poisoning + attacks, and should be avoided if at all possible. + + Replace NNNNN in the example with a number between 49160 and 65530. + */ + // query-source address * port NNNNN; }; // If you enable a local name server, don't forget to enter 127.0.0.1 // first in your /etc/resolv.conf so this server will be queried. // Also, make sure to enable it in /etc/rc.conf. +// The traditional root hints mechanism. Use this, OR the slave zones below. +zone "." { type hint; file "named.root"; }; + +/* Slaving the following zones from the root name servers has some + significant advantages: + 1. Faster local resolution for your users + 2. No spurious traffic will be sent from your network to the roots + 3. Greater resilience to any potential root server failure/DDoS + + On the other hand, this method requires more monitoring than the + hints file to be sure that an unexpected failure mode has not + incapacitated your server. Name servers that are serving a lot + of clients will benefit more from this approach than individual + hosts. Use with caution. + + To use this mechanism, uncomment the entries below, and comment + the hint zone above. +*/ +/* zone "." { - type hint; - file "named.root"; + type slave; + file "slave/root.slave"; + masters { + 192.5.5.241; // F.ROOT-SERVERS.NET. + }; + notify no; }; - -zone "0.0.127.IN-ADDR.ARPA" { - type master; - file "master/localhost.rev"; +zone "arpa" { + type slave; + file "slave/arpa.slave"; + masters { + 192.5.5.241; // F.ROOT-SERVERS.NET. + }; + notify no; }; - -// RFC 3152 -zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA" { - type master; - file "master/localhost-v6.rev"; +zone "in-addr.arpa" { + type slave; + file "slave/in-addr.arpa.slave"; + masters { + 192.5.5.241; // F.ROOT-SERVERS.NET. + }; + notify no; }; +*/ + +/* Serving the following zones locally will prevent any queries + for these zones leaving your network and going to the root + name servers. This has two significant advantages: + 1. Faster local resolution for your users + 2. No spurious traffic will be sent from your network to the roots +*/ +// RFC 1912 +zone "localhost" { type master; file "master/localhost-forward.db"; }; +zone "127.in-addr.arpa" { type master; file "master/localhost-reverse.db"; }; +zone "255.in-addr.arpa" { type master; file "master/empty.db"; }; + +// RFC 1912-style zone for IPv6 localhost address +zone "0.ip6.arpa" { type master; file "master/localhost-reverse.db"; }; + +// "This" Network (RFCs 1912 and 3330) +zone "0.in-addr.arpa" { type master; file "master/empty.db"; }; + +// Private Use Networks (RFC 1918) +zone "10.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "16.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "17.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "18.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "19.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "20.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "21.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "22.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "23.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "24.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "25.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "26.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "27.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "28.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "29.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "30.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "31.172.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "168.192.in-addr.arpa" { type master; file "master/empty.db"; }; + +// Link-local/APIPA (RFCs 3330 and 3927) +zone "254.169.in-addr.arpa" { type master; file "master/empty.db"; }; + +// TEST-NET for Documentation (RFC 3330) +zone "2.0.192.in-addr.arpa" { type master; file "master/empty.db"; }; + +// Router Benchmark Testing (RFC 3330) +zone "18.198.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "19.198.in-addr.arpa" { type master; file "master/empty.db"; }; + +// IANA Reserved - Old Class E Space +zone "240.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "241.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "242.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "243.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "244.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "245.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "246.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "247.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "248.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "249.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "250.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "251.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "252.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "253.in-addr.arpa" { type master; file "master/empty.db"; }; +zone "254.in-addr.arpa" { type master; file "master/empty.db"; }; + +// IPv6 Unassigned Addresses (RFC 4291) +zone "1.ip6.arpa" { type master; file "master/empty.db"; }; +zone "3.ip6.arpa" { type master; file "master/empty.db"; }; +zone "4.ip6.arpa" { type master; file "master/empty.db"; }; +zone "5.ip6.arpa" { type master; file "master/empty.db"; }; +zone "6.ip6.arpa" { type master; file "master/empty.db"; }; +zone "7.ip6.arpa" { type master; file "master/empty.db"; }; +zone "8.ip6.arpa" { type master; file "master/empty.db"; }; +zone "9.ip6.arpa" { type master; file "master/empty.db"; }; +zone "a.ip6.arpa" { type master; file "master/empty.db"; }; +zone "b.ip6.arpa" { type master; file "master/empty.db"; }; +zone "c.ip6.arpa" { type master; file "master/empty.db"; }; +zone "d.ip6.arpa" { type master; file "master/empty.db"; }; +zone "e.ip6.arpa" { type master; file "master/empty.db"; }; +zone "0.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "1.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "2.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "3.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "4.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "5.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "6.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "7.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "8.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "9.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "a.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "b.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "0.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "1.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "2.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "3.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "4.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "5.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "6.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "7.e.f.ip6.arpa" { type master; file "master/empty.db"; }; + +// IPv6 ULA (RFC 4193) +zone "c.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "d.f.ip6.arpa" { type master; file "master/empty.db"; }; + +// IPv6 Link Local (RFC 4291) +zone "8.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "9.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "a.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "b.e.f.ip6.arpa" { type master; file "master/empty.db"; }; + +// IPv6 Deprecated Site-Local Addresses (RFC 3879) +zone "c.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "d.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "e.e.f.ip6.arpa" { type master; file "master/empty.db"; }; +zone "f.e.f.ip6.arpa" { type master; file "master/empty.db"; }; + +// IP6.INT is Deprecated (RFC 4159) +zone "ip6.int" { type master; file "master/empty.db"; }; // NB: Do not use the IP addresses below, they are faked, and only // serve demonstration/documentation purposes! // // Example slave zone config entries. It can be convenient to become // a slave at least for the zone your own domain is in. Ask // your network administrator for the IP address of the responsible -// primary. +// master name server. // -// Never forget to include the reverse lookup (IN-ADDR.ARPA) zone! -// (This is named after the first bytes of the IP address, in reverse -// order, with ".IN-ADDR.ARPA" appended.) +// Do not forget to include the reverse lookup zone! +// This is named after the first bytes of the IP address, in reverse +// order, with ".IN-ADDR.ARPA" appended, or ".IP6.ARPA" for IPv6. // -// Before starting to set up a primary zone, make sure you fully -// understand how DNS and BIND works. There are sometimes -// non-obvious pitfalls. Setting up a slave zone is simpler. +// Before starting to set up a master zone, make sure you fully +// understand how DNS and BIND work. There are sometimes +// non-obvious pitfalls. Setting up a slave zone is usually simpler. // // NB: Don't blindly enable the examples below. :-) Use actual names // and addresses instead. -/* An example master zone -zone "example.net" { - type master; - file "master/example.net"; -}; -*/ - /* An example dynamic zone key "exampleorgkey" { algorithm hmac-md5; secret "sf87HJqjkqh8ac87a02lla=="; }; zone "example.org" { type master; allow-update { key "exampleorgkey"; }; file "dynamic/example.org"; }; */ -/* Examples of forward and reverse slave zones -zone "example.com" { - type slave; - file "slave/example.com"; - masters { - 192.168.1.1; - }; -}; +/* Example of a slave reverse zone zone "1.168.192.in-addr.arpa" { type slave; file "slave/1.168.192.in-addr.arpa"; masters { 192.168.1.1; }; }; */ 在 named.conf 中， 还给出了从域、转发域和反解析域的例子。 如果新增了域， 就必需在 named.conf 中加入对应的项目。 例如， 用于 example.org 的域文件的描述类似下面这样： zone "example.org" { type master; file "master/example.org"; }; 如 语句所标示的那样， 这是一个主域， 其信息保存在 /etc/namedb/master/example.org 中， 如 语句所示。 zone "example.org" { type slave; file "slave/example.org"; }; 在从域的情形中， 所指定的域的信息会从主域名服务器传递过来， 并保存到对应的文件中。 当主域服务器发生问题或不可达时， 从域名服务器就有一份可用的域名信息， 从而能够对外提供服务。 域文件 BIND zone files (域文件) - + 下面的例子展示了用于 example.org 的主域文件 (存放于 /etc/namedb/master/example.org)： - $TTL 3600 ; 1 hour + $TTL 3600 ; 1 hour default TTL example.org. IN SOA ns1.example.org. admin.example.org. ( 2006051501 ; Serial 10800 ; Refresh 3600 ; Retry 604800 ; Expire - 86400 ; Minimum TTL + 300 ; Negative Reponse TTL ) ; DNS Servers IN NS ns1.example.org. IN NS ns2.example.org. ; MX Records IN MX 10 mx.example.org. IN MX 20 mail.example.org. IN A 192.168.1.1 ; Machine Names localhost IN A 127.0.0.1 ns1 IN A 192.168.1.2 ns2 IN A 192.168.1.3 mx IN A 192.168.1.4 mail IN A 192.168.1.5 ; Aliases -www IN CNAME @ +www IN CNAME example.org. - - 请注意以 . 结尾的主机名是全称主机名， 而结尾没有 + 请注意以 . 结尾的主机名是全称主机名， 而结尾没有 . 的则是相对于原点的主机名。 例如， - www 将被转换为 - www.原点. - 在这个假想的域信息文件中， 我们的原点是 - example.org.， 因此 www - 将被当作 www.example.org.。 - - - - 域信息文件的格式如下： - + ns1 将被转换为 + ns1.example.org. + + 域信息文件的格式如下： + 记录名 IN 记录类型 值 DNS 记录 - - 最常用的 DNS 记录： - + + 最常用的 DNS 记录： SOA 域权威开始 NS 权威域名服务器 A 主机地址 CNAME 别名对应的正规名称 MX 邮件传递服务器 PTR 域名指针 (用于反向 DNS) - -example.org. IN SOA ns1.example.org. admin.example.org. ( + example.org. IN SOA ns1.example.org. admin.example.org. ( 2006051501 ; Serial 10800 ; Refresh after 3 hours 3600 ; Retry after 1 hour 604800 ; Expire after 1 week - 86400 ) ; Minimum TTL of 1 day - - + 300 ) ; Negative Reponse TTL example.org. - 域名， 同时也是这个域信息文件的原点。 + + 域名， 同时也是这个域信息文件的原点。 + ns1.example.org. - 该域的主/权威域名服务器。 + + 该域的主/权威域名服务器。 + admin.example.org. - 此域的负责人的电子邮件地址， - 其中 @ 被换掉了。 - (admin@example.org 对应 + + 此域的负责人的电子邮件地址， + 其中 @ + 需要换掉 (admin@example.org 对应 admin.example.org) 2006051501 - 文件的序号。 每次修改域文件时都必须增加这个数字。 - 现今， 许多管理员会考虑使用 - yyyymmddrr 这样的格式来表示序号。 - 2006051501 通常表示上次修改于 - 05/15/2006， 而后面的 - 01 则表示在那天的第一次修改。 - 序号非常重要， 它用于通知从域服务器更新数据。 - + + 文件的序号。 每次修改域文件时都必须增加这个数字。 + 现今， 许多管理员会考虑使用 + yyyymmddrr 这样的格式来表示序号。 + 2006051501 通常表示上次修改于 + 05/15/2006， 而后面的 + 01 则表示在那天的第一次修改。 + 序号非常重要， 它用于通知从域服务器更新数据。 + - - IN NS ns1.example.org. + IN NS ns1.example.org. - - 这是一个 NS 项。 每个准备提供权威应答的服务器都必须有一个对应项。 - + 这是一个 NS 项。 每个准备提供权威应答的服务器都必须有一个对应项。 - -localhost IN A 127.0.0.1 + localhost IN A 127.0.0.1 ns1 IN A 192.168.1.2 ns2 IN A 192.168.1.3 mx IN A 192.168.1.4 mail IN A 192.168.1.5 - - A 记录指明了机器名。 正如在前面所按倒的， + A 记录指明了机器名。 正如在前面所看到的， ns1.example.org 将解析为 - 192.168.1.2。 - + 192.168.1.2。 - - IN A 192.168.1.1 + IN A 192.168.1.1 这一行把当前原点 example.org 指定为使用 IP 地址 192.168.1.1。 - -www IN CNAME @ + www IN CNAME @ - - 正规名 (CNAME) 记录通常用于为某台机器指定别名。 + 正规名 (CNAME) 记录通常用于为某台机器指定别名。 在这个例子中， 将 www 指定成了 主 机器的一个别名， - 后者的名字与域名 example.org 相同 - (192.168.1.1)。 - CNAME 也可以用来提供主机别名， - 或将一个主机名以轮转 (round robin) 方式指定到多台服务器。 - + 后者的名字与域名 + example.org + (192.168.1.1) 相同。 + CNAME 不能同与之有相同名字的任何其它记录并存。 MX 记录 - - IN MX 10 mail.example.org. + IN MX 10 mail.example.org. - - MX 记录表示哪个邮件服务器负责接收发到这个域的邮件。 + MX 记录表示哪个邮件服务器负责接收发到这个域的邮件。 mail.example.org 是邮件服务器的主机名， - 而 10 则是它的优先级。 - + 而 10 则是它的优先级。 - - 可以有多台邮件服务器， 其优先级分别是 10、 + 可以有多台邮件服务器， 其优先级分别是 10、 20 等等。 尝试向 example.org 投递邮件的服务器， - 会首先尝试优先级最高的 MX (优先级数值最低的记录)、 - 接着尝试次高的， 并重复这一过程直到邮件递送到达为止。 - + role="domainname">example.org 投递邮件的服务器， + 会首先尝试优先级最高的 MX (优先级数值最小的记录)、 + 接着尝试次高的， 并重复这一过程直到邮件递达为止。 - - 对于 in-addr.arpa 域名信息文件 (反向 DNS)， 使用了同样的格式， - 只是 PTR 项代替了 A 或 CNAME 的位置。 - + in-addr.arpa 域名信息文件 (反向 DNS)， 采用的格式是同样的， + 只是 PTR 项代替了 A 或 CNAME 的位置。 $TTL 3600 1.168.192.in-addr.arpa. IN SOA ns1.example.org. admin.example.org. ( 2006051501 ; Serial 10800 ; Refresh 3600 ; Retry 604800 ; Expire - 3600 ) ; Minimum + 300 ) ; Negative Reponse TTL IN NS ns1.example.org. IN NS ns2.example.org. 1 IN PTR example.org. 2 IN PTR ns1.example.org. 3 IN PTR ns2.example.org. 4 IN PTR mx.example.org. 5 IN PTR mail.example.org. 这个文件给出了上述假想域中 IP 地址到域名的映射关系。 + + 需要说明的是， 在 PTR 记录右侧的名字必须是全称域名 + (也就是必须以 . 结束)。 缓存域名服务器 BIND 缓存域名服务器 - 缓存域名服务器是对任何域都不提供权威解析的域名服务器。 - 它自己简单地完成查询， 并记住这些查询以备后续使用。 - 要建立这样的服务器， 只需像平时一样配置一个域名服务器， - 而不配置域就可以了。 + 缓存域名服务器是一种主要承担解析递归查询角色的域名服务器。 + 它简单地自行进行查询， 并将查询结果记住以备后续使用。 安全 尽管 BIND 是最为常用的 DNS 实现， 但它总是有一些安全问题。 时常会有人发现一些可能的甚至可以利用的安全漏洞。 尽管 &os; 会自动将 named 放到 &man.chroot.8; 环境中运行， 但仍有一些其它可用的安全机制来帮助您规避潜在的针对 DNS 服务的攻击。 阅读 CERT 的安全公告， 并订阅 the &a.security-notifications; 是一个有助于帮助您了解最新 Internet 及 &os; 安全问题的好习惯。 如果发现了问题， 确保源代码是最新的， 并重新联编一份 named 不会给您带来任何麻烦。 进一步阅读 BIND/named 联机手册： &man.rndc.8; &man.named.8; &man.named.conf.5; 官方的 ISC BIND + url="https://www.isc.org/software/bind">官方的 ISC BIND 页面 Official ISC BIND + url="https://www.isc.org/software/guild">Official ISC BIND Forum - - - BIND9 FAQ - - O'Reilly DNS 和 BIND 第 5 版 RFC1034 + url="http://www.rfc-editor.org/rfc/rfc1034.txt">RFC1034 - 域名 - 概念和工具 RFC1035 + url="http://www.rfc-editor.org/rfc/rfc1035.txt">RFC1035 - 域名 - 实现及其标准 Murray Stokely Contributed by Apache HTTP 服务器 web 服务器 配置 Apache 纵览 &os; 被用于运行许多全球最为繁忙的 web 站点。 大多数 Internet 上的 web 服务器， 都使用 Apache HTTP 服务器。 Apache 软件包可以在您的 FreeBSD 安装盘上找到。 如果没有在首次安装时附带安装 Apache， 则可以通过 www/apache13 或 www/apache22 port 来安装。 一旦成功地安装了 Apache， 就必须对其进行配置。 这一节介绍了 1.3.X 版本的 Apache HTTP 服务器 的配置， 因为它是随 &os; 一同使用的最多的版本。 Apache 2.X 引入了很多新技术， 但在此并不讨论。 要了解关于 Apache 2.X 的更多资料， 请参见 。 配置 Apache 配置文件 主要的 Apache HTTP Server 配置文件， 在 &os; 上会安装为 /usr/local/etc/apache/httpd.conf。 这是一个典型的 &unix; 文本配置文件， 它使用 # 作为注释符。 关于全部配置选项的详尽介绍超出了本书的范围， 这里将只介绍最常被修改的那些。 ServerRoot "/usr/local" 这指定了 Apache 安装的顶级目录。 执行文件被放到服务器根目录 (server root) 的 bin 和 sbin 子目录中， 而配置文件则位于 etc/apache。 ServerAdmin you@your.address 这个地址是在服务器发生问题时应发送电子邮件的地址， 它会出现在服务器生成的页面上， 例如错误页面。 ServerName www.example.com ServerName 允许您配置发送回客户端的主机名， 如果您的服务器被用户以别的名字访问 (例如， 使用 www 而不是主机本身的真实名字)。 DocumentRoot "/usr/local/www/data" DocumentRoot： 这个目录是您的文档所在的目录。 默认情况下， 所有的请求都会从这个位置去获取， 但也可以通过符号连接和别名指定其它的位置。 在修改配置之前备份 Apache 的配置文件永远是一个好习惯。 一旦对初始配置满意了， 就可以开始运行 Apache 了。 运行 <application>Apache</application> Apache 启动和停止 与许多其它网络服务不同， Apache 并不依赖 inetd 超级服务器来运行。 一般情况下会把它配置为一个独立的服务器， 以期在客户的 web 浏览器连入 HTTP 请求时， 能够获得更好的性能。 它提供了一个 shell 脚本来使启动、 停止和重新启动服务器变得尽可能地简单。 首次启动 Apache， 只需执行： &prompt.root; /usr/local/sbin/apachectl start 可以在任何时候使用下面的命令来停止服务： &prompt.root; /usr/local/sbin/apachectl stop 当由于某种原因修改了配置文件之后， 需要重启服务器： &prompt.root; /usr/local/sbin/apachectl restart 要在重启 Apache 服务器时不中断当前的连接， 则应运行： &prompt.root; /usr/local/sbin/apachectl graceful 更多的信息， 可以在 &man.apachectl.8; 联机手册中找到。 要在系统启动时启动 Apache， 则应在 /etc/rc.conf 中加入： apache_enable="YES" 或者对于Apache 2.2： apache22_enable="YES" 如果您希望在系统引导时启动 Apache httpd 程序并指定其它一些选项， 则可以把下面的行加到 rc.conf： apache_flags="" 现在 web 服务器就开始运行了， 您可以使用 web 浏览器打开 http://localhost/。 默认显示的 web 页面是 /usr/local/www/data/index.html。 虚拟主机 Apache 支持两种不同类型的虚拟主机。 第一种方法是基于名字的虚拟主机。 基于名字的虚拟主机使用客户机发来的 HTTP/1.1 头来辨别主机名。 这使得不同的域得以共享同一个 IP 地址。 要配置 Apache 来使用基于名字的虚拟主机， 需要把类似下面的项加到您的 httpd.conf 中： NameVirtualHost * 如果您的 web 服务器的名字是 www.domain.tld， 而您希望建立一个 www.someotherdomain.tld 的虚拟域， 则应在 httpd.conf 中加入： <VirtualHost *> ServerName www.domain.tld DocumentRoot /www/domain.tld </VirtualHost> <VirtualHost *> ServerName www.someotherdomain.tld DocumentRoot /www/someotherdomain.tld </VirtualHost> 您需要把上面的地址和文档路径改为所使用的那些。 要了解关于虚拟主机的更多信息， 请参考官方的 Apache 文档， 这些文档可以在 找到。 Apache 模块 Apache 模块 有许多不同的 Apache 模块， 它们可以在基本的服务器基础上提供许多附加的功能。 FreeBSD 的 Ports Collection 为安装 Apache 和常用的附加模块提供了非常方便的方法。 mod_ssl web 服务器 安全 SSL 密码学 mod_ssl 这个模块使用 OpenSSL 库， 来提供通过 安全套接字层 (SSL v2/v3) 和 传输层安全 (TLS v1) 协议的强加密能力。 这个模块提供了从某一受信的证书签署机构申请签名证书所需的所有工具， 您可以藉此在 &os; 上运行安全的 web 服务器。 如果您未曾安装 Apache， 也可以直接安装一份包含了 mod_ssl 的版本的 Apache 1.3.X， 其方法是通过 www/apache13-modssl port 来进行。 SSL 支持已经作为 Apache 2.X 的一部分提供， 您可以通过 www/apache22 port 来安装后者。 语言绑定 Apache对于一些主要的脚本语言都有相应的模块。 这些模块使得完全使用某种脚本语言来写 Apache 模块成为可能。 他们通常也被嵌入到服务器作为一个常驻内存的解释器， 以避免启动一个外部解释器对于下一节将描述的动态网站所需时间和资源上的开销。 动态网站 web servers dynamic 在过去的十年里，越来越多的企业为了增加收益和暴光率而转向了互联网。 这也同时增进了对于互动网页内容的需求。有些公司，比如 µsoft; 推出了基于他们专有产品的解决方案，开源社区也做出了积极的回应。 比较时尚的选择包括 Django，Ruby on Rails， mod_perl, and mod_php. Django Python Django Django 是一个以 BSD 许可证发布的 framework， 能让开发者快速写出高性能高品质的 web 应用程序。 它提供给一个对象关系映射组件，数据类型可以被当 Python 中的对象，和一组丰富的动态数据库访问 API， 使开发者避免了写 SQL 语句。它同时还提供了可扩展的模板系统， 让应用程序的逻辑部分与 HTML 的表现层分离。 Django 依赖与 mod_python， Apache, 和一个可选的 SQL 数据库引擎。 在设置了一些恰当的标志后，FreeBSD 的 Port 系统将会帮助你安装这些必需的依赖库。 安装 Django，Apache2， mod_python3，和 PostgreSQL &prompt.root; cd /usr/ports/www/py-django; make all install clean -DWITH_MOD_PYTHON3 -DWITH_POSTGRESQL 在安装了 Django 和那些依赖的软件之后， 你需要创建一个 Django 项目的目录，然后配置 Apache，当有对于你网站上应用程序的某些指定的 URL 时调用内嵌的 Python 解释器。 Django/mod_python 有关 Apache 部分的配置 你需要在 Apache 的配置文件 httpd.conf 加入以下这几行， 把对某些 URL 的请求传给你的 web 应用程序： <Location "/"> SetHandler python-program PythonPath "['/dir/to/your/django/packages/'] + sys.path" PythonHandler django.core.handlers.modpython SetEnv DJANGO_SETTINGS_MODULE mysite.settings PythonAutoReload On PythonDebug On </Location> Ruby on Rails Ruby on Rails Ruby on Rails 是另外一个开源的 web framework， 提供了一个全面的开发框架，能帮助 web 开发者工作更有成效和快速写出强大的应用。 它能非常容易的从 posts 系统安装。 &prompt.root; cd /usr/ports/www/rubygem-rails; make all install clean - + mod_perl mod_perl Perl Apache/Perl 集成计划， 将 Perl 程序设计语言的强大功能， 与 Apache HTTP 服务器 紧密地结合到了一起。 通过 mod_perl 模块， 可以完全使用 Perl 来撰写 Apache 模块。 此外， 服务器中嵌入的持久性解释器， 消除了由于启动外部的解释器为 Perl 脚本的启动所造成的性能损失。 mod_perl 通过多种方式提供。 要使用 mod_perl， 应该注意 mod_perl 1.0 只能配合 Apache 1.3 而 mod_perl 2.0 只能配合 Apache 2.X 使用。 mod_perl 1.0 可以通过 www/mod_perl 安装， 而以静态方式联编的版本， 则可以通过 www/apache13-modperl 来安装。 mod_perl 2.0 则可以通过 www/mod_perl2 安装。 Tom Rhodes Written by mod_php mod_php PHP PHP， 也称为 PHP: Hypertext Preprocessor， 是一种特别适合于 Web 开发的通用脚本语言。 它能够很容易地嵌入到 HTML 之中， 其语法接近于 C、 &java;， 以及 Perl， 以期让 web 开发人员的一迅速撰写动态生成的页面。 要获得用于 Apache web 服务器的 PHP5 支持， 可以从安装 lang/php5 port 开始。 在首次安装 lang/php5 port 的时候， 系统会自动显示可用的一系列 OPTIONS (配置选项)。 如果您没有看到菜单， 例如由于过去曾经安装过 lang/php5 port 等等， 可以用下面的命令再次显示配置菜单， 在 port 的目录中执行： &prompt.root; make config 在配置选项对话框中， 选中 APACHE 这一项， 就可以联编出用于与 Apache web 服务器配合使用的可动态加载的 mod_php5 模块了。 由于各式各样的原因 (例如， 出于已经部署的 web 应用的兼容性考虑)， 许多网站仍在使用 PHP4。 如果您需要 mod_php4 而不是 mod_php5， 请使用 lang/php4 port。 lang/php4 port 也支持许多 lang/php5 port 提供的配置和编译时选项。 前面我们已经成功地安装并配置了用于支持动态 PHP 应用所需的模块。 请检查并确认您已将下述配置加入到了 /usr/local/etc/apache/httpd.conf 中： LoadModule php5_module libexec/apache/libphp5.so AddModule mod_php5.c <IfModule mod_php5.c> DirectoryIndex index.php index.html </IfModule> <IfModule mod_php5.c> AddType application/x-httpd-php .php AddType application/x-httpd-php-source .phps </IfModule> 这些工作完成之后， 还需要使用 apachectl 命令来完成一次 graceful restart 以便加载 PHP 模块： &prompt.root; apachectl graceful 在未来您升级 PHP 时， make config 这步操作就不再是必需的了； 您所选择的 OPTIONS 会由 &os; 的 Ports 框架自动保存。 在 &os; 中的 PHP 支持是高度模块化的， 因此基本安装的功能十分有限。 增加其他功能的支持非常简单， 只需通过 lang/php5-extensions port 即可完成。 这个 port 提供了一个菜单驱动的界面来帮助完成 PHP 扩展的安装。 另外， 也可以通过对应的 port 来单独安装扩展。 例如， 要将对于 MySQL 数据库服务器的支持加入 PHP5， 只需简单地安装 databases/php5-mysql port。 安装完扩展之后， 必须重新启动 Apache 服务器， 来令其适应新的配置变更： &prompt.root; apachectl graceful Murray Stokely Contributed by 文件传输协议 (FTP) FTP 服务器 纵览 文件传输协议 (FTP) 为用户提供了一个简单的， 与 FTP 服务器交换文件的方法。 &os; 系统中包含了 FTP 服务软件， ftpd。 这使得在 &os; 上建立和管理 FTP 服务器变得非常简单。 配置 最重要的配置步骤是决定允许哪些帐号访问 FTP 服务器。 一般的 &os; 系统包含了一系列系统帐号分别用于执行不同的服务程序， 但未知的用户不应被允许登录并使用这些帐号。 /etc/ftpusers 文件中， 列出了不允许通过 FTP 访问的用户。 默认情况下， 这包含了前述的系统帐号， 但也可以在这里加入其它不应通过 FTP 访问的用户。 您可能会希望限制通过 FTP 登录的某些用户， 而不是完全阻止他们使用 FTP。 这可以通过 /etc/ftpchroot 文件来完成。 这一文件列出了希望对 FTP 访问进行限制的用户和组的表。 而在 &man.ftpchroot.5; 联机手册中， 已经对此进行了详尽的介绍， 故而不再赘述。 FTP 匿名 如果您想要在服务器上启用匿名的 FTP 访问， 则必须建立一个名为 ftp 的 &os; 用户。 这样， 用户就可以使用 ftp 或 anonymous 和任意的口令 (习惯上， 应该是以那个用户的邮件地址作为口令) 来登录和访问您的 FTP 服务器。 FTP 服务器将在匿名用户登录时调用 &man.chroot.2;， 以便将其访问限制在 ftp 用户的主目录中。 有两个文本文件可以用来指定显示在 FTP 客户程序中的欢迎文字。 /etc/ftpwelcome 文件中的内容将在用户连接上之后， 在登录提示之前显示。 在成功的登录之后， 将显示 /etc/ftpmotd 文件中的内容。 请注意后者是相对于登录环境的， 因此对于匿名用户而言， 将显示 ~ftp/etc/ftpmotd。 一旦正确地配置了 FTP 服务器， 就必须在 /etc/inetd.conf 中启用它。 这里需要做的全部工作就是将注释符 # 从已有的 ftpd 行之前去掉： ftp stream tcp nowait root /usr/libexec/ftpd ftpd -l 如 所介绍的那样， 修改这个文件之后， 必须让 inetd 重新加载它， 才能使新的设置生效。请参阅 以获取更多有关如何在你系统上启用 inetd 的详细信息。 ftpd 也可以作为一个独立的服务启动。 这样的话就需要在 /etc/rc.conf 中设置如下的变量： ftpd_enable="YES" 在设置了上述变量之后，独立的服务将在下次系统重启的时候启动， 或者通过以 root 身份手动执行如下的命令启动： &prompt.root; /etc/rc.d/ftpd start 现在可以通过输入下面的命令来登录您的 FTP 服务器了： &prompt.user; ftp localhost 维护 syslog 日志文件 FTP ftpd 服务程序使用 &man.syslog.3; 来记录消息。 默认情况下， 系统日志将把和 FTP 相关的消息记录到 /var/log/xferlog 文件中。 FTP 日志的位置， 可以通过修改 /etc/syslog.conf 中如下所示的行来修改： ftp.info /var/log/xferlog FTP 匿名 一定要小心对待在匿名 FTP 服务器中可能遇到的潜在问题。 一般而言， 允许匿名用户上传文件应三思。 您可能发现自己的 FTP 站点成为了交易未经授权的商业软件的论坛， 或发生更糟糕的情况。 如果不需要匿名的 FTP 上传， 可以在文件上配置权限， 使得您能够在其它匿名用户能够下载这些文件之前复查它们。 Murray Stokely Contributed by 为 µsoft.windows; 客户机提供文件和打印服务 (Samba) Samba 服务器 Microsoft Windows 文件服务器 Windows 客户机 打印服务器 Windows 客户机 纵览 Samba 是一个流行的开源软件包， 它提供了针对 µsoft.windows; 客户机的文件和打印服务。 这类客户机可以连接并使用 FreeBSD 系统上的文件空间， 就如同使用本地的磁盘一样， 或者像使用本地打印机一样使用 FreeBSD 上的打印机。 Samba 软件包可以在您的 FreeBSD 安装盘上找到。 如果您没有在初次安装 FreeBSD 时安装 Samba， 则可以通过 net/samba3 port 或 package 来安装。 配置 默认的 Samba 配置文件会以 /usr/local/share/examples/samba/smb.conf.default 的名字安装。这个文件必须复制为 /usr/local/etc/smb.conf 并进行定制， 才能开始使用 Samba。 smb.conf 文件中包含了 Samba 的运行时配置信息， 例如对于打印机的定义， 以及希望共享给 &windows; 客户机的 共享文件系统。 Samba 软件包包含了一个称为 swat 的 web 管理工具， 后者提供了配置 smb.conf 文件的简单方法。 使用 Samba Web 管理工具 (SWAT) Samba Web 管理工具 (SWAT) 是一个通过 inetd 运行的服务程序。 因此， 需要把 /etc/inetd.conf 中下面几行的注释去掉， 才能够使用 swat 来配置 Samba： swat stream tcp nowait/400 root /usr/local/sbin/swat swat 如 中所介绍的那样， 在修改了这个配置文件之后， 必须让 inetd 重新加载配置， 才能使其生效。 一旦在 inetd.conf 中启用了 swat， 就可以用浏览器访问 connect to 了。 您将首先使用系统的 root 帐号登录。 只要成功地登录进了 Samba 配置页面， 就可以浏览系统的文档， 或从 Globals(全局) 选项卡开始配置了。 Globals 小节对应于 [global] 小节中的变量， 前者位于 /usr/local/etc/smb.conf 中。 全局配置 无论是使用 swat， 还是直接编辑 /usr/local/etc/smb.conf， 通常首先要配置的 Samba 选项都是： workgroup NT 域名或工作组名， 其他计算机将通过这些名字来找到服务器。 netbios name NetBIOS 这个选项用于设置 Samba 服务器的 NetBIOS 名字。 默认情况下， 这是所在主机的 DNS 名字的第一部分。 server string 这个选项用于设置通过 net view 命令， 以及某些其他网络工具可以查看到的关于服务器的说明性文字。 安全配置 在 /usr/local/etc/smb.conf 中的两个最重要的配置， 是选定的安全模型， 以及客户机上用户的口令存放后端。 下面的语句控制这些选项： security 最常见的选项形式是 security = share 和 security = user。 如果您的客户机使用用户名， 并且这些用户名与您的 &os; 机器一致， 一般应选择用户级 (user) 安全。 这是默认的安全策略， 它要求客户机首先登录， 然后才能访问共享的资源。 如果采用共享级 (share) 安全， 则客户机不需要用有效的用户名和口令登录服务器， 就能够连接共享的资源。 这是较早版本的 Samba 中的默认值。 passdb backend NIS+ LDAP SQL 数据库 Samba 提供了若干种不同的验证后端模型。 您可以通过 LDAP、 NIS+、 SQL 数据库， 或经过修改的口令文件， 来完成客户端的身份验证。 默认的验证模式是 smbpasswd， 这也是本章将介绍的全部内容。 假设您使用的是默认的 smbpasswd 后端， 则必须首先创建一个 /usr/local/private/smbpasswd 文件， 来允许 Samba 对客户进行身份验证。 如果您打算让 &unix; 用户帐号能够从 &windows; 客户机上登录， 可以使用下面的命令： &prompt.root; smbpasswd -a username 从 Samba 3.0.23c 开始， 用于存在验证文件的实际目录变成了 /usr/local/etc/samba。 目前推荐使用的后端是 tdbsam， 您应使用下面的命令来添加用户帐号： &prompt.root; pdbedit username 请参考 官方的 Samba HOWTO 以了解关于配置选项的进一步信息。 按照前面给出的基本描述， 您应该已经可以启动 Samba 了。 启动 <application>Samba</application> net/samba3 port 会增加一个新的用于控制 Samba 的启动脚本。 要启用这个脚本， 以便用它来完成启动、 停止或重启 Samba 的任务， 需要在 /etc/rc.conf 文件中加入： samba_enable="YES" 此外， 也可以进行更细粒度的控制： nmbd_enable="YES" smbd_enable="YES" 这也同时配置了在系统引导时启动 Samba。 配置好之后， 就可以在任何时候通过下面的命令来启动 Samba 了： &prompt.root; /usr/local/etc/rc.d/samba start Starting SAMBA: removing stale tdbs : Starting nmbd. Starting smbd. 请参见 以了解关于使用 rc 脚本的进一步信息。 Samba 事实上包含了三个相互独立的服务程序。 您应该能够看到 nmbd 和 smbd 两个服务程序都是通过 samba 脚本启动的。 如果在 smb.conf 中启用了 winbind 名字解析服务， 则应该可以看到 winbindd 服务被启动起来。 可以在任何时候通过下面的命令来停止运行 Samba： &prompt.root; /usr/local/etc/rc.d/samba stop Samba 是一个复杂的软件包， 它提供了用于与 µsoft.windows; 网络进行集成的各式各样的功能。 要了解关于这里所介绍的基本安装以外的其它功能， 请访问 。 Tom Hukins Contributed by 通过 NTP 进行时钟同步 NTP 纵览 随着时间的推移， 计算机的时钟会倾向于漂移。 网络时间协议 (NTP) 是一种确保您的时钟保持准确的方法。 许多 Internet 服务依赖、 或极大地受益于本地计算机时钟的准确性。 例如， web 服务器可能会接收到一个请求， 要求如果文件在某一时刻之后修改过才发送它。 在局域网环境中， 共享文件的计算机之间的时钟是否同步至关重要， 因为这样才能使时间戳保持一致。 类似 &man.cron.8; 这样的程序， 也依赖于正确的系统时钟， 才能够准确地执行操作。 NTP ntpd FreeBSD 附带了 &man.ntpd.8; NTP 服务器， 它可以用于查询其它的 NTP 服务器， 并配置本地计算机的时钟， 或者为其它机器提供服务。 选择合适的 NTP 服务器 NTP 选择服务器 为了同步您的系统时钟， 需要首先找到至少一个 NTP 服务器以供使用。 网络管理员， 或 ISP 都可能会提供用于这样目的的 NTP 服务器—请查看他们的文档以了解是否是这样。 另外， 也有一个在线的 公开的 NTP 服务器列表， 您可以从中选一个较近的 NTP 服务器。 请确认您选择的服务器的访问策略， 如果需要的话， 申请一下所需的许可。 选择多个相互不连接的 NTP 服务器是一个好主意， 这样在某个服务器不可达， 或者时钟不可靠时就可以有别的选择。 这是因为， &man.ntpd.8; 会智能地选择它收到的响应—它会更倾向于使用可靠的服务器。 配置您的机器 NTP 配置 基本配置 ntpdate 如果只想在系统启动时同步时钟， 则可以使用 &man.ntpdate.8;。 对于经常重新启动， 并且不需要经常同步的桌面系统来说这比较适合， 但绝大多数机器都应该运行 &man.ntpd.8;。 在引导时使用 &man.ntpdate.8; 来配合运行 &man.ntpd.8; 也是一个好主意。 &man.ntpd.8; 渐进地修正时钟， 而 &man.ntpdate.8; 则直接设置时钟， 无论机器的当前时间和正确时间有多大的偏差。 要启用引导时的 &man.ntpdate.8;， 需要把 ntpdate_enable="YES" 加到 /etc/rc.conf 中。 此外， 还需要通过 ntpdate_flags 来设置同步的服务器和选项， 它们将传递给 &man.ntpdate.8;。 NTP ntp.conf 一般配置 NTP 是通过 /etc/ntp.conf 文件来进行配置的， 其格式在 &man.ntp.conf.5; 中进行了描述。 下面是一个例子： server ntplocal.example.com prefer server timeserver.example.org server ntp2a.example.net driftfile /var/db/ntp.drift 这里， server 选项指定了使用哪一个服务器， 每一个服务器都独立一行。 如果某一台服务器上指定了 prefer (偏好) 参数， 如上面的 ntplocal.example.com， 则会优先选择这个服务器。 如果偏好的服务器和其他服务器的响应存在显著的差别， 则丢弃它的响应， 否则将使用来自它的响应， 而不理会其他服务器。 一般来说， prefer 参数应该标注在非常精确的 NTP 时源， 例如那些包含特殊的时间监控硬件的服务器上。 而 driftfile 选项， 则指定了用来保存系统时钟频率偏差的文件。 &man.ntpd.8; 程序使用它来自动地补偿时钟的自然漂移， 从而使时钟即使在切断了外来时源的情况下， 仍能保持相当的准确度。 另外， driftfile 选项也保存上一次响应所使用的 NTP 服务器的信息。 这个文件包含了 NTP 的内部信息， 它不应被任何其他进程修改。 控制您的服务器的访问 默认情况下， NTP 服务器可以被整个 Internet 上的主机访问。 如果在 /etc/ntp.conf 中指定 restrict 参数， 则可以控制允许哪些机器访问您的服务器。 如果希望拒绝所有的机器访问您的 NTP 服务器， 只需在 /etc/ntp.conf 中加入： restrict default ignore 这样做会禁止您的服务器访问在本地配置中列出的服务器。 如果您需要令 NTP 服务器与外界的 NTP 服务器同步时间， 则应允许指定服务器。 请参见联机手册 &man.ntp.conf.5; 以了解进一步的细节。 如果只希望子网内的机器通过您的服务器同步时钟， 而不允许它们配置为服务器， 或作为同步时钟的节点来时用， 则加入 restrict 192.168.1.0 mask 255.255.255.0 nomodify notrap 这里， 需要把 192.168.1.0 改为您网络上的 IP 地址， 并把 255.255.255.0 改为您的子网掩码。 /etc/ntp.conf 可能包含多个 restrict 选项。 要了解进一步的细节， 请参见 &man.ntp.conf.5; 的 Access Control Support(访问控制支持) 小节。 运行 NTP 服务器 要让 NTP 服务器在系统启动时随之开启， 需要把 ntpd_enable="YES" 加入到 /etc/rc.conf 中。 如果希望向 &man.ntpd.8; 传递更多参数， 需要编辑 /etc/rc.conf 中的 ntpd_flags。 要在不重新启动机器的前提下启动服务器， 需要手工运行 ntpd， 并带上 /etc/rc.conf 中的 ntpd_flags 所指定的参数。 例如： &prompt.root; ntpd -p /var/run/ntpd.pid 在临时性的 Internet 连接上使用 ntpd &man.ntpd.8; 程序的正常工作并不需要永久性的 Internet 连接。 然而， 如果您的临时性连接是配置为按需拨号的， 那么防止 NTP 通讯频繁触发拨号， 或保持连接就有必要了。 如果您使用用户级 PPP， 可以使用 filter 语句， 在 /etc/ppp/ppp.conf 中进行必要的设置。 例如： set filter dial 0 deny udp src eq 123 # Prevent NTP traffic from initiating dial out set filter dial 1 permit 0 0 set filter alive 0 deny udp src eq 123 # Prevent incoming NTP traffic from keeping the connection open set filter alive 1 deny udp dst eq 123 # Prevent outgoing NTP traffic from keeping the connection open set filter alive 2 permit 0/0 0/0 要了解进一步的信息， 请参考 &man.ppp.8; 的 PACKET FILTERING(包过滤) 小节， 以及 /usr/share/examples/ppp/ 中的例子。 某些 Internet 访问提供商会阻止低编号的端口， 这会导致 NTP 无法正常工作， 因为响应无法到达您的机器。 进一步的信息 关于 NTP 服务器的文档， 可以在 /usr/share/doc/ntp/ 找到 HTML 格式的版本。 Tom Rhodes Contributed by 使用 <command>syslogd</command> 记录远程主机的日志 处理系统日志对于系统安全和管理是一个重要方面。 当有多台分布在中型或大型网络的机器，再或者是处于各种不同类型的网络中， 监视他们上面的日志文件则显得非常难以操作， 在这种情况下， 配置远程日志记录能使整个处理过程变得更加轻松。 集中记录日志到一台指定的机器能够减轻一些日志文件管理的负担。 日志文件的收集， 合并与循环可以在一处配置， 使用 &os; 原生的工具， 比如 &man.syslogd.8; 和 &man.newsyslog.8;。 在以下的配置示例中， 主机 A， 命名为 logserv.example.com， 将用来收集本地网络的日志信息。 主机 B， 命名为 logclient.example.com 将把日志信息传送给服务器。 在现实中， 这两个主机都需要配置正确的正向和反向的 DNS 或者在 /etc/hosts 中记录。 否则， 数据将被服务器拒收。 日志服务器的配置 日志服务器是配置成用来接收远程主机日志信息的机器。 在大多数的情况下这是为了方便配置， 或者是为了更好的管理。 不论是何原因， 在继续深入之前需要提一些必需条件。 一个正确配置的日志服务器必须符合以下几个最基本的条件： 服务器和客户端的防火墙规则允许 514 端口上的 UDP 报文通过。 syslogd 被配置成接受从远程客户发来的消息。 syslogd 服务器和所有的客户端都必须有配有正确的正向和反向 DNS， 或者在 /etc/hosts 中有相应配置。 配置日志服务器， 客户端必须在 /etc/syslog.conf 中列出, 并指定日志的 facility： +logclient.example.com *.* /var/log/logclient.log 更多关于各种被支持并可用的 facility 能在 &man.syslog.conf.5; 手册页中找到。 一旦加入以后， 所有此类 facility 消息都会被记录到先前指定的文件 /var/log/logclient.log。 提供服务的机器还需要在其 /etc/rc.conf 中配置： syslogd_enable="YES" syslogd_flags="-a logclient.example.com -vv" 第一个选项表示在系统启动时启用 syslogd 服务， 第二个选项表示允许服务器接收来自指定日志源客户端的数据。 第二行配置中最后的部分， 使用 ， 表示增加日志消息的详细程度。 在调整 facility 配置的时候， 这个配置非常有用， 因为管理员能够看到哪些消息将作为哪个 facility 的内容来记录。 可以同时指定多个 选项来允许多个客户机。 此外， 还可以指定 IP 地址或网段， 请参阅 &man.syslog.3; 联机手册以了解可用配置的完整列表。 最后， 日志文件应该被创建。 不论你用何种方法创建， 比如 &man.touch.1; 能很好的完成此类任务： &prompt.root; touch /var/log/logclient.log 此时， 应该重启并确认一下 syslogd 守护进程： &prompt.root; /etc/rc.d/syslogd restart &prompt.root; pgrep syslog 如果返回了一个 PIC 的话， 服务端应该被成功重启了, 并继续开始配置客户端。 如果服务端没有重启的话， 请在 /var/log/messages 日志中查阅相关输出。 日志客户端配置 日志客户端是一台发送日志信息到日志服务器的机器， 并在本地保存拷贝。 - 类似于日志服务器， 客户端也必须满足一些最基本的条件： - + 与日志服务器类似， 客户端也需要满足一些最基本的条件： + &man.syslogd.8; 必须被配置成发送指定类型的消息到能接收他们的日志服务器。 防火墙必须允许 514 端口上的 UDP 包通过； 必须配置正向与反向 DNS， 或者在 /etc/hosts 中有正确的记录。 相比服务器来说配置客户端更轻松一些。 客户端的机器在 /etc/rc.conf 中做如下的设置： syslogd_enable="YES" syslogd_flags="-s -vv" 和前面类似， 这些选项会在系统启动过程中启用 syslogd 服务， 并增加日志消息的详细程度。 而 选项则表示禁止服务接收来自其他主机的日志。 Facility 是描述某个消息由系统的哪部分生成的。 举例来说， ftp 和 ipfw 都是 facility。 当这两项服务生成日志消息时， 它们通常在日志消息中包含了这两种工具。 Facility 通常带有一个优先级或等级， 就是用来标记一个日志消息的重要程度。 最普通的为 warning 和 info。 请参阅 &man.syslog.3; 手册页以获得一个完整可用的 facility 与优先级列表。 日志服务器必须在客户端的 /etc/syslog.conf 中指明。 在此例中， @ 符号被用来表示发送日志数据到远程的服务器， 看上去差不多如下这样： *.* @logserv.example.com 添加后， 必须重启 syslogd 使得上述修改生效： &prompt.root; /etc/rc.d/syslogd restart 测试日志消息是否能通过网络发送， 在准备发出消息的客户机上用 &man.logger.1; 来向 syslogd 发出信息： &prompt.root; logger "Test message from logclient" 这段消息现在应该同时出现在客户机的 /var/log/messages 以及日志服务器的 /var/log/logclient.log 中。 调试日志服务器 在某些情况下， 如果日志服务器没有收到消息的话就需要调试一番了。 有几个可能的原因， 最常见的两个是网络连接的问题和 DNS 的问题。 为了测试这些问题， 请确认两边的机器都能使用 /etc/rc.conf 中所设定的主机名访问到对方。 如果这个能正常工作的话， 那么就需要对 /etc/rc.conf 中的 syslogd_flags 选项做些修改了。 在以下的示例中， /var/log/logclient.log 是空的， /var/log/message 中也没有表明任何失败的原因。 为了增加调试的输出， 修改 ayalogd_flags 选项至类似于如下的示例， 并重启服务： syslogd_flags="-d -a logclien.example.com -vv" &prompt.root; /etc/rc.d/syslogd restart 在重启服务之后， 屏幕上将立刻闪现类似这样的调试数据： logmsg: pri 56, flags 4, from logserv.example.com, msg syslogd: restart syslogd: restarted logmsg: pri 6, flags 4, from logserv.example.com, msg syslogd: kernel boot file is /boot/kernel/kernel Logging to FILE /var/log/messages syslogd: kernel boot file is /boot/kernel/kernel cvthname(192.168.1.10) validate: dgram from IP 192.168.1.10, port 514, name logclient.example.com; rejected in rule 0 due to name mismatch. 很明显，消息是由于主机名不匹配而被拒收的。 在一点一点的检查了配置文件之后， 发现了 /etc/rc.conf 中如下这行有输入错误： syslogd_flags="-d -a logclien.example.com -vv" 这行应该包涵有 logclient， 而不是 logclien。 在做了正确的修改并重启之后便能见到预期的效果了： &prompt.root; /etc/rc.d/syslogd restart logmsg: pri 56, flags 4, from logserv.example.com, msg syslogd: restart syslogd: restarted logmsg: pri 6, flags 4, from logserv.example.com, msg syslogd: kernel boot file is /boot/kernel/kernel syslogd: kernel boot file is /boot/kernel/kernel logmsg: pri 166, flags 17, from logserv.example.com, msg Dec 10 20:55:02 <syslog.err> logserv.example.com syslogd: exiting on signal 2 cvthname(192.168.1.10) validate: dgram from IP 192.168.1.10, port 514, name logclient.example.com; accepted in rule 0. logmsg: pri 15, flags 0, from logclient.example.com, msg Dec 11 02:01:28 trhodes: Test message 2 Logging to FILE /var/log/logclient.log Logging to FILE /var/log/messages 此刻， 消息能够被正确接收并保存入文件了。 安全性方面的思考 就像其他的网络服务一样， 在实现配置之前需要考虑安全性。 有时日志文件也包含了敏感信息， 比如本地主机上所启用的服务， 用户帐号和配置数据。 从客户端发出的数据经过网络到达服务器， 这期间既没有加密也没有密码保护。 如果有加密需要的话， 可以使用 security/stunnel， 它将在一个加密的隧道中传输数据。 本地安全也同样是个问题。 日志文件在使用中或循环转后都没有被加密。 本地用户可能读取这些文件以获得对系统更深入的了解。 对于这类情况， 给这些文件设置正确的权限是非常有必要的。 &man.newsyslog.8; 工具支持给新创建和循环的日志设置权限。 把日志文件的权限设置为 600 能阻止本地用户不必要的窥探。 diff --git a/zh_CN.GB2312/books/handbook/vinum/chapter.sgml b/zh_CN.GB2312/books/handbook/vinum/chapter.sgml index 180aef6967..0255edc808 100644 --- a/zh_CN.GB2312/books/handbook/vinum/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/vinum/chapter.sgml @@ -1,1215 +1,1219 @@ Greg Lehey 原作 Vinum 卷管理程序 概述 无论您有什么样的磁盘，总会有一些潜在问题： 它们可能容量太小。 它们可能速度太慢。 它们可能也太不可靠。 针对这些问题， 人们提出并实现了许多不同的解决方案。 为了应对这些问题， 一些用户采用了多个， 有时甚至是冗余的磁盘这类方法。 除了支持许多种不同的硬件 RAID 控制器之外， - FreeBSD 的基本系统中包括了 Vinum 卷管理器， 它是一个用以实现虚拟磁盘驱动器的块设备。 + &os; 的基本系统中包括了 Vinum 卷管理器， 它是一个用以实现虚拟磁盘驱动器的块设备。 Vinum 是一种称为 卷管理器， 或者说用于解决前面这三种问题的虚拟磁盘驱动程序。 Vinum 能够提供比传统磁盘系统更好的灵活性、 性能和可靠性， 并实现了能够单独或配合使用 RAID-0、 RAID-1 和 RAID-5 模型。 这一章对传统磁盘存储的潜在问题进行了简要说明，并介绍了 Vinum 卷管理器。 - 从 FreeBSD 5 开始， 对 Vinum 进行了重写， + 从 &os; 5 开始， 对 Vinum 进行了重写， 以便使其符合 GEOM 架构 ()， 同时保留其原有的设计创意、 术语， 以及保存在磁盘上的元数据格式。 这一重写的版本称为 gvinum (表示 GEOM vinum)。 接下来的文字中 Vinum 是一个抽象的名字， 通常并不具体指某一特定的实现。 新版本中所有的指令都应通过 gvinum 命令来操作， 而对应的内核模块的名字， 也由 vinum.ko 改为了 geom_vinum.ko， 而在 - /dev/vinum 中的所有设备节点， - 也改为放到了 /dev/gvinum。 - 从 FreeBSD 6 开始， 旧版的 Vinum 实现已不再提供。 + /dev/vinum 中的所有设备节点， + 也改为放到了 /dev/gvinum。 + 从 &os; 6 开始， 旧版的 Vinum 实现已不再提供。 磁盘容量太小 Vinum RAID software 磁盘越大，存储的数据也就越多。您经常会发现您需要 一个比您可使用的磁盘大得多的文件系统。 无可否认，这个问题 已经没有十年前那样严峻了，但它仍然存在。通过创建一个在许多 磁盘上存储数据的抽象设备，一些系统可以解决这个问题。 访问瓶颈 现代系统经常需要用一个高度并发的方式来访问数据。 例如，巨大的FTP 或HTTP 服务器可以支持数以千计的并发会话， 可以有多个连到外部世界的100 Mbit/s , 这远远地超过了绝大多数磁盘的数据传输速率。 当前的磁盘驱动器最高可以以70 MB/s的速度传输数据, 但这个值在一个有许多不受约束的进程访问一个驱动器的环境中变得并不重要， 它们可能只完成了这些值的一小部分。这样一种情况下，从磁盘子 系统的角度来看问题就更加有趣：重要的参数是在子系统上的负 荷，换句话说是传输占用了驱动器多少时间。 在任何磁盘传输中, 驱动器必须先寻道, 等待磁头访问第一个扇区, 然后执行传输. 这些动作看起来可能很细小: 我们不会感有任何中断。 假设传输10 kB数据， : 现在的高性能磁盘平均寻道时间是3.5ms。 最快的驱动器可以旋转在15,000 rpm，, 所以平均寻址时间为2ms. 在70 MB/s的速度传输时, 数据的传输时间大约150 μs, 几乎无法和寻址时间相比. 在这样一种情况下, 高效的传输也会降低到 1 MB/s 显然传输的快慢依赖与所传输数据的大小。 对于这个瓶颈的一般和明显的解决方法是采用 多个磁盘:而不是只使用一个大磁盘, 它使用几个比较小的磁盘联合起来形成一个大的磁盘. 每个磁盘都可以独立地进行传输数据，所以通过使用多个磁盘 大大提高了数据吞吐量。 当然，所要求的吞吐量的提高要比磁盘的数量小得多。 尽管每个驱动器并行传输数据，但没有办法确保请求能够平均 分配到每个驱动器上。不可避免一个驱动器的负载可能比另一个要高得多。 磁盘的串连 Vinum 串连 磁盘的负载平衡很大程度依赖于驱动器上数据的共享方式. 在下面的讨论中, 将磁盘存储想象成一个巨大的数据扇区，像一本书的页 那样用编号来设定地址. 最明显的方法是把虚拟磁盘分成许多连续的扇区组， 每个扇区大小就是独立的磁盘大小，用这种方法来存储数据， 就像把一本厚厚的书分成很多小的章节。 这个方法叫做 串联 它有一个优点就是磁盘不需要有任何特定的大小关系。 当访问到的虚拟磁盘根据它的地址空间来分布的时候， 它能工作得很好。 当访问集中在一个比较小的区域的时候，性能的提高没有显著的改进。 举例说明了用串联组织的方式来分配存储单元的顺序。
串联组织
条带盘 Vinum 条带 RAID 另外一种影射方法是把地址空间分布在比较小的容量相同的磁盘上， 从而能够在不同的设备上存储它们。例如，前256 个扇区可能存储在第一 个磁盘上，接着的256 个扇区存储在另一个磁盘上等等。 写满最后一个磁 盘后，进程会重复以前的工作，直到所有的磁盘被写满。这个影射叫做 分段(striping) 或者 RAID-0 RAID 代表廉价冗余磁盘阵列 (Redundant Array of Inexpensive Disks) 提供各种容错机制， 但后面这个术语可能会有些让人误解：它不提供冗余功能。 . 分段要求很精确地寻址，通过多个磁盘进行数据传输的时候，它 可能会引起额外的I/O 负载，但它也可能提供更多的连续负载。 显示了用分段形式分配的存储单元的顺序。
分段组织
数据的完整性 现时磁盘的最后一个问题是它们不太可靠。 虽然磁盘驱动器的可靠性在过去几年有了很大的提高， 但它们仍然是服务器中最容易损坏的核心组件。 当它们发生故障的时候， 结果可能是灾难性的： 替换坏的磁盘驱动器并恢复数据可能要花费几天时间。 磁盘镜像 Vinum 镜像 RAID-1 解决这个问题的传统方法是建立 镜象， 在不同的物理硬件上对数据做两个副本。 根据 RAID 级别出现的时间顺序， 这个技术也被叫做 RAID 级别1 或者 RAID-1。 任何写到卷的数据也会被写到镜象上， 所以可以从任何一个副本读取数据， 如果其中有一个出现故障， 数据也还可以从其他驱动器上访问到。 镜象有两个问题： 价格. 它需要两倍的存储容量。 性能影响。 写入操作必须在两个驱动器上执行，所以它们 花费两倍的带宽。读取数据并不会影响性能： 它们甚至看起来会更快。 RAID-5 一个可选的方案采用 奇偶校验 的方式， 用以实现 RAID 2、 3、 4 和 5。 这其中， RAID-5 是我们最感兴趣的。 在 Vinum 的实现中， 这是一个条带组织结构的变体， 其中， 每一个条带中都以一个专用的块， 来保存其它块的奇偶校验值。 这样， RAID-5 plex 除了在每个块中都包含了一个奇偶校验块之外， 实现 RAID-5 时也就和普通的条带 plex 一样了。 作为 RAID-5 的一项要求， 奇偶校验块在每一个条带中的顺序都是不同的。 数据块的编号， 决定了它的相对块号。
RAID-5 的组织
与镜像相比， RAID-5 最显著的优势在于只需使用少得多的存储空间。 读取类似于条带式存储的组织， 但写入会慢得多， 大约仅相当于读性能的 25%。 如果一个驱动器失效， 则阵列仍然可以在降级的模式运行： 读取来自正常的驱动器数据的操作照常进行， 但读取失效的驱动器的数据， 则来自于余下驱动器上相关的计算结果。 Vinum 目标 为了解决这些问题，Vinum 提出了一个四层的目标结构： 最显著的目标是虚拟磁盘, 叫做 卷(volume). 卷本质上与一个UNIX 磁盘 驱动器有同样的属性，虽然它们是有些不太一样。它们没有大小的限制。 卷下面是 plexes, 每一个表示卷的所有地址空间。在层次结构中的这个水平能够提供 冗余功能。可以把plex 想象成用一个镜象排列的方式组织起来的 独立磁盘，每个都包含同样的数据。 由于Vinum 存在于UNIX 磁盘存储框架中,所以它也可能 使用UNIX 分区作为多个磁盘plex 的组成部分, 但事实上这并不可靠:UNIX 磁盘只能有有限数量的分区。 取而代之，Vinum 把一个简单的UNIX 分区 (the drive) 分解成叫做subdisks的相邻区域, 它可以使用这个 来为plex 建立块。 Subdisks 位于 Vinum 驱动器上, 当前的UNIX 分区。Vinum 驱动器可以包含很多的subdisks。 除了驱动器开始的一小块区域用来存储配置和描述信息以外，整个 驱动器都可以用于存储数据。 下面的章节描述了这些目标提供了Vinum 所要求的功能的方法。 卷的大小要求 在Vinum的配置中，Plex可以把多个subdisk 分布在所有的驱动上。 结果, 每个独立的驱动器的大小都不会限制plex 的大小，从而不会限制卷的大小 多余的数据存储 Vinum 通过给一个卷连上多个plex 来完成镜象的功能。 每个plex 是一个在一个卷中的数据的描述。一个卷可以包含一个 到八个plex。 虽然一个plex 描述了一个卷的所有数据，, 但可能描述的部分被物理地丢失了。可能是设计的问题 （没有为plex 部分定义一个subdisk）也可能是意外的故障 （由于驱动器的故障导致）。只要至少有一个plex 能够为 卷的完全地址范围提供数据，卷就能够正常工作。 性能问题 Vinum 在plex 水平既执行串联也执行分段： 一个串连的plex轮流使用 每个subdisk 的地址空间。 一个 分段的plex 在每个subdisk 上 划分数据. Subdisk 必须是大小一样的，为了从一个连接的plex 中 区分开它，必须至少有两个subdisk。 哪种plex 组织更有效？ - FreeBSD &rel.current提供的Vinum 版本能实现两种plex: + &os; &rel.current提供的Vinum 版本能实现两种plex: 串联的plex 更加灵活：它们可以包含任何数量的subdisk， subdisk 也可能有不同的长度。Plex 可以通过添加额外的subdisk 来得到扩展。 与分段 plex 不同， 它们需要的 CPU 时钟更少， 尽管 CPU 上的负载差异是不可测量的。 另一方面，它们的负载可能不平衡，一个磁盘可能负载很重， 而其他的可能很空闲。 分段(RAID-0) plexes 的最大优点是 它们减少了负载不平衡的情况: 通过选择一个最合适大小的分段 (大约是256 kB), 您甚至可以在各个组成的驱动器上降低负载 . 这种方法的缺点是在subdisk 上受到非常复杂的编码限制 : 它们必须是同样大小, 通过添加新的subdisk 来扩展一个plex 是非常复杂的,以至Vinum 当前没有实现它. Vinum 利用一个额外 的，代价不高的限制：一个分段的plex 必须有至少两个subdisk， 否则， 它就无法区分连接的 plex 了。 总结一下每个plex 组织 的优点和缺点. Vinum Plex组织图 Plex 类型 最少subdisks 可否添加subdisks 尺寸相同 应用 串联 1 可以 不必须 带有很大弹性和适中性能的大数据量存储。 分段 2 不可以 必须 大量并发访问时,具有较高性能。
一些例子 Vinum 维护着一个描述本系统中对象的 配置数据库。 开始时， 用户可以在 &man.gvinum.8; 工具来从若干配置文件生成配置数据库。 Vinum 在其控制的每个磁盘分区 (在 Vinum 中称为 device) 上都保存配置数据库的副本。 这一数据库在每次状态变化时均会更新， 因而重启每个 Vinum 对象时， 都能够恢复其状态。 配置文件 配置文件描述了独立的 Vinum.一个简单卷的定义可能是这样的: drive a device /dev/da3h volume myvol plex org concat sd length 512m drive a 这个文件描述了四个Vinum 目标: drive 行描述了一个磁盘分区（驱动器） 和与下面的硬件相关的它的位置。它给出了一个符号名 a. 这个与设备名称分开的符号名允许 磁盘从一个位置移动到另一个位置而不会搞混。 volume 行描述了一个卷。 唯一的必须属性是名称，在这个例子中是 myvol. plex 行定义了一个plex。 唯一需要的参数是组织,在这个例子中是 concat. 没有名称是必然的: 系统自动通过添加suffix .px 来从卷名称产生一个名字,这里的x 是在卷中的plex 的编号。而这个plex 将被 叫做myvol.p0。 sd 行描述了一个subdisk。 最小的说明是存储subdisk 的驱动器名称，和subdisk 的长度。 对于plex，没有名称也是必然的：系统自动通过添加 suffix .sx 来分配源自plex 的名称，这里 x是plex 中subdisk 的编号。 Vinum 给这个subdisk 命名为myvol.p0.s0。 处理完这个文件后， &man.gvinum.8; 会产生下面的输出： &prompt.root; gvinum -> create config1 Configuration summary Drives: 1 (4 configured) Volumes: 1 (4 configured) Plexes: 1 (8 configured) Subdisks: 1 (16 configured) D a State: up Device /dev/da3h Avail: 2061/2573 MB (80%) V myvol State: up Plexes: 1 Size: 512 MB P myvol.p0 C State: up Subdisks: 1 Size: 512 MB S myvol.p0.s0 State: up PO: 0 B Size: 512 MB 这些输出内容展示了 &man.gvinum.8; 的简要列表格式。 在 中用图形展示了这个配置。
一个简单的Vinum 卷
下面这个图显示了一个由按顺序排列的subdisk 组成的plex。 在这个小小的例子中，卷包含一个plex，plex 包含一个subdisk。 这个卷本身和普通的磁盘分区相比并没有什么特别的优越性， 它包含了一个 plex， 因此不是冗余的。 这个 plex 中包括了一个子磁盘， 因此这和从磁盘分区分配存储没什么两样。 接下来的几节， 将介绍一些更有用的配置方法。 提高容错性： 镜像 卷的容错性可以通过镜像来提高。 在配置镜像卷时， 确保 plex 分布在不同的驱动器上十分重要， 这样一个驱动器坏掉时， 就不会同时影响两个 plex。 下面的配置将映射卷： drive b device /dev/da4h volume mirror plex org concat sd length 512m drive a plex org concat sd length 512m drive b 上面的例子中， 并不需要再次指定驱动器 a， 因为 Vinum 监控所有其配置数据库的对象。 完成定义之后， 配置如下所示： Drives: 2 (4 configured) Volumes: 2 (4 configured) Plexes: 3 (8 configured) Subdisks: 3 (16 configured) D a State: up Device /dev/da3h Avail: 1549/2573 MB (60%) D b State: up Device /dev/da4h Avail: 2061/2573 MB (80%) V myvol State: up Plexes: 1 Size: 512 MB V mirror State: up Plexes: 2 Size: 512 MB P myvol.p0 C State: up Subdisks: 1 Size: 512 MB P mirror.p0 C State: up Subdisks: 1 Size: 512 MB P mirror.p1 C State: initializing Subdisks: 1 Size: 512 MB S myvol.p0.s0 State: up PO: 0 B Size: 512 MB S mirror.p0.s0 State: up PO: 0 B Size: 512 MB S mirror.p1.s0 State: empty PO: 0 B Size: 512 MB 以图形方式展示了其结构。
镜像 Vinum 卷
这个例子中， 每一个 plex 包含了完整的 512 MB 地址空间。 在前面的例子中， plex 则只包括一个子盘。 优化性能 前面例子中的镜像卷要比没有镜像的卷具有更好的容灾能力， 但它的性能要差一些： 每一次写入卷时， 需要同时写到两个驱动器上， 因而也就需要更大的磁盘访问带宽。 如果希望非常好的性能， 则需要另外一种方式： 不做镜像， 而将数据分成条带放到尽可能多的、不同的磁盘上。 下面给出了一个跨越四个磁盘驱动器的 plex 卷： drive c device /dev/da5h drive d device /dev/da6h volume stripe plex org striped 512k sd length 128m drive a sd length 128m drive b sd length 128m drive c sd length 128m drive d 和之前类似， 并不需要定义 Vinum 已经知道的驱动器。 在完成定义之后， 将得到如下配置： Drives: 4 (4 configured) Volumes: 3 (4 configured) Plexes: 4 (8 configured) Subdisks: 7 (16 configured) D a State: up Device /dev/da3h Avail: 1421/2573 MB (55%) D b State: up Device /dev/da4h Avail: 1933/2573 MB (75%) D c State: up Device /dev/da5h Avail: 2445/2573 MB (95%) D d State: up Device /dev/da6h Avail: 2445/2573 MB (95%) V myvol State: up Plexes: 1 Size: 512 MB V mirror State: up Plexes: 2 Size: 512 MB V striped State: up Plexes: 1 Size: 512 MB P myvol.p0 C State: up Subdisks: 1 Size: 512 MB P mirror.p0 C State: up Subdisks: 1 Size: 512 MB P mirror.p1 C State: initializing Subdisks: 1 Size: 512 MB P striped.p1 State: up Subdisks: 1 Size: 512 MB S myvol.p0.s0 State: up PO: 0 B Size: 512 MB S mirror.p0.s0 State: up PO: 0 B Size: 512 MB S mirror.p1.s0 State: empty PO: 0 B Size: 512 MB S striped.p0.s0 State: up PO: 0 B Size: 128 MB S striped.p0.s1 State: up PO: 512 kB Size: 128 MB S striped.p0.s2 State: up PO: 1024 kB Size: 128 MB S striped.p0.s3 State: up PO: 1536 kB Size: 128 MB
条带化的 Vinum 卷
这个卷在 中给出。 条带的阴影部分， 表示在 plex 地址空间中的位置： 颜色最浅的在最前面， 而最深的在最后。 高性能容在 如果硬件足够多， 也能够构建比标准 &unix; 分区同时提高了容灾性和性能的卷。 典型的配置文件类似： volume raid10 plex org striped 512k sd length 102480k drive a sd length 102480k drive b sd length 102480k drive c sd length 102480k drive d sd length 102480k drive e plex org striped 512k sd length 102480k drive c sd length 102480k drive d sd length 102480k drive e sd length 102480k drive a sd length 102480k drive b 第二个 plex 中的子盘和第一个 plex 中的错开了两个驱动器： 这能够帮助确保即使同时访问两个驱动器， 写操作也不会同时发生在同一个盘上。 给出了该卷的结构。
镜像并条带化的 Vinum 卷
对象命名 如前面所描述的那样， Vinum 会给 plex 和子盘指定默认的名字， 而这些名字也是可以定制的。 不推荐修改默认的名字： 使用允许给对象任意命名的 VERITAS 卷管理器的经验证明， 这一灵活性并没有带来太多的好处， 相反， 它很容易导致对象的混淆。 名字中可以包括任何非空白的字符， 但一般来说， 建议只使用字母、 数字和下划线。 卷、 plex， 以及子盘的名字， 可以包含最多 64 个字符， 而驱动器的名字， 则最长可以使用 32 个字符。 Vinum 对象会在 - /dev/gvinum 之下生成设备节点。 + /dev/gvinum 之下生成设备节点。 前述的配置将使 Vinum 创建以下设备节点： 这些内容仅适用于旧式的 Vinum 实现。 控制设备 - /dev/vinum/control 和 - /dev/vinum/controld， + /dev/vinum/control 和 + /dev/vinum/controld， 分别由 &man.gvinum.8; 和 Vinum 服务使用。 每个卷对应的设备项。 这些是 Vinum 使用的主要设备。 因此， 前述配置包括下列设备： - /dev/gvinum/myvol、 - /dev/gvinum/mirror、 - /dev/gvinum/striped、 - /dev/gvinum/raid5 以及 - /dev/gvinum/raid10。 + /dev/gvinum/myvol、 + /dev/gvinum/mirror、 + /dev/gvinum/striped、 + /dev/gvinum/raid5 以及 + /dev/gvinum/raid10。 这些内容仅适用于旧式的 Vinum 实现。 - 一个包含每个驱动器对应设备的 /dev/vinum/drive + 一个包含每个驱动器对应设备的 + /dev/vinum/drive 目录。 这些项事实上是指向对应磁盘节点的符号连接。 所有卷的直接项都存放在 - /dev/gvinum/ 中。 + /dev/gvinum/ 中。 目录 - /dev/gvinum/plex， 以及 - /dev/gvinum/sd 中相应地存放了每个 plex + /dev/gvinum/plex， 以及 + /dev/gvinum/sd 中相应地存放了每个 plex 以及子盘的设备节点。 例如， 考虑下面的配置文件： drive drive1 device /dev/sd1h drive drive2 device /dev/sd2h drive drive3 device /dev/sd3h drive drive4 device /dev/sd4h volume s64 setupstate plex org striped 64k sd length 100m drive drive1 sd length 100m drive drive2 sd length 100m drive drive3 sd length 100m drive drive4 处理这个文件之后， &man.gvinum.8; 将在 - /dev/gvinum 中建立下面的结构： + /dev/gvinum 中建立下面的结构： drwxr-xr-x 2 root wheel 512 Apr 13 16:46 plex crwxr-xr-- 1 root wheel 91, 2 Apr 13 16:46 s64 drwxr-xr-x 2 root wheel 512 Apr 13 16:46 sd /dev/vinum/plex: total 0 crwxr-xr-- 1 root wheel 25, 0x10000002 Apr 13 16:46 s64.p0 /dev/vinum/sd: total 0 crwxr-xr-- 1 root wheel 91, 0x20000002 Apr 13 16:46 s64.p0.s0 crwxr-xr-- 1 root wheel 91, 0x20100002 Apr 13 16:46 s64.p0.s1 crwxr-xr-- 1 root wheel 91, 0x20200002 Apr 13 16:46 s64.p0.s2 crwxr-xr-- 1 root wheel 91, 0x20300002 Apr 13 16:46 s64.p0.s3 虽然 plex 和子盘一般并不推荐指定名字， 但还是必须给 Vinum 驱动器命名。 这样， 当把驱动器转移到不同的地方时， 它仍然能够被自动地识别出来。 驱动器名最长可以包含 32 个字符。 创建文件系统 对于系统而言， 卷和磁盘是一样的。 唯一的例外是， 与 &unix; 驱动器不同， Vinum 并不对卷进行分区， 因而它也就不包含分区表。 这要求修改某些磁盘工具， 特别是 &man.newfs.8;， 它会试图将 Vinum 卷名当作分区标识。 - 例如， 磁盘驱动器的名字可能是 /dev/ad0a 或 - /dev/da2h。 + 例如， 磁盘驱动器的名字可能是 + /dev/ad0a 或 + /dev/da2h。 这些名字分别表达在第一个 (0) IDE (ad) 磁盘上的第一个分区 (a)， 以及第三个 (2) SCSI 磁盘 (da) 上的第八个分区 (h)。 而相比而言， Vinum 卷可能叫做 - /dev/gvinum/concat， + /dev/gvinum/concat， 这个名字和分区名没有什么关系。 一般而言， &man.newfs.8; 会试图解释磁盘的名字， 如果它无法理解这个名字， 则会给出错误提示。 例如： &prompt.root; newfs /dev/gvinum/concat newfs: /dev/gvinum/concat: can't figure out file system partition 要在这个卷上创建文件系统， 则需要使用 &man.newfs.8;： &prompt.root; newfs /dev/gvinum/concat 对于 &os; 5.0 之前的版本， &man.newfs.8; 还需要指定一个 - -v 参数， 而且其设备命名方式也是旧式的： + 参数， 而且其设备命名方式也是旧式的： - &prompt.root; newfs -v /dev/vinum/concat + &prompt.root; newfs -v /dev/vinum/concat 配置 Vinum 在 GENERIC 内核中， 并不包含 Vinum。 可以编译一个定制的包含 Vinum 的内核， 然而并不推荐这样做。 启动 Vinum 的标准方法， 是使用内核模块 (kld)。 甚至不需要使用 &man.kldload.8; 来启动 Vinum： 在启动 &man.gvinum.8; 时， 它会检查这一模块是否已经加载， 如果没有， 则会自动地加载它。 启动 Vinum 将配置信息， 采用与配置文件一样的形式来存放到磁盘分区上。 当从配置数据库中读取时， Vinum 会识别一系列在配置文件中不可用的关键字。 例如， 磁盘配置文件可能包含下面的文字： volume myvol state up volume bigraid state down plex name myvol.p0 state up org concat vol myvol plex name myvol.p1 state up org concat vol myvol plex name myvol.p2 state init org striped 512b vol myvol plex name bigraid.p0 state initializing org raid5 512b vol bigraid sd name myvol.p0.s0 drive a plex myvol.p0 state up len 1048576b driveoffset 265b plexoffset 0b sd name myvol.p0.s1 drive b plex myvol.p0 state up len 1048576b driveoffset 265b plexoffset 1048576b sd name myvol.p1.s0 drive c plex myvol.p1 state up len 1048576b driveoffset 265b plexoffset 0b sd name myvol.p1.s1 drive d plex myvol.p1 state up len 1048576b driveoffset 265b plexoffset 1048576b sd name myvol.p2.s0 drive a plex myvol.p2 state init len 524288b driveoffset 1048841b plexoffset 0b sd name myvol.p2.s1 drive b plex myvol.p2 state init len 524288b driveoffset 1048841b plexoffset 524288b sd name myvol.p2.s2 drive c plex myvol.p2 state init len 524288b driveoffset 1048841b plexoffset 1048576b sd name myvol.p2.s3 drive d plex myvol.p2 state init len 524288b driveoffset 1048841b plexoffset 1572864b sd name bigraid.p0.s0 drive a plex bigraid.p0 state initializing len 4194304b driveoff set 1573129b plexoffset 0b sd name bigraid.p0.s1 drive b plex bigraid.p0 state initializing len 4194304b driveoff set 1573129b plexoffset 4194304b sd name bigraid.p0.s2 drive c plex bigraid.p0 state initializing len 4194304b driveoff set 1573129b plexoffset 8388608b sd name bigraid.p0.s3 drive d plex bigraid.p0 state initializing len 4194304b driveoff set 1573129b plexoffset 12582912b sd name bigraid.p0.s4 drive e plex bigraid.p0 state initializing len 4194304b driveoff set 1573129b plexoffset 16777216b 这里最明显的区别是， 指定了配置的位置信息、名称 (这些在配置文件中还是可用的， 但不鼓励用户自行指定) 以及状态信息 (这是用户不能指定的)。 Vinum 并不在配置信息中保存关于驱动器的信息： 它会扫描已经配置的磁盘驱动器上包含 Vinum 标识的分区。 这使得 Vinum 能够在 &unix; 驱动器被指定了不同的 ID 时也能够正确识别它们。 自动启动 这些内容仅适用于旧式的 Vinum 实现。 Gvinum 在通过 &man.loader.conf.5; 加载了内核模块之后就能自动启动。 在启动时加载 Gvinum 模块， 需在 /boot/loader.conf 中加入 geom_vinum_load="YES"。 要在引导系统时自动启动 Vinum， 需要在 /etc/rc.conf 中加入下面的配置： start_vinum="YES" # set to YES to start vinum 如果您的系统中没有 /etc/rc.conf， 创建一个并加入这些设置就可以了。 这样， 系统就会在启动时自动加载 Vinum 的 kld， 并启动配置中所提到的所有对象。 这是在挂接文件系统之前进行的， 因此， &man.fsck.8; 和挂接文件系统都能够自动地在 Vinum 卷上进行。 当使用 vinum start 命令来启动 Vinum 时， Vinum 会从某一个 Vinum 驱动器中读取配置数据库。 正常情况下， 每个驱动器上都包含了同样的配置数据库副本， 因此从哪个驱动器上读取是无所谓的。 但是， 在系统崩溃之后， Vinum 就必须检测哪一个驱动器上的配置数据库是最新的， 并从上面读取配置。 如果需要， 它会更新其它驱动器上的配置。 使用 Vinum 作为根文件系统 如果文件系统使用完全镜像的 Vinum 配置， 有时也会希望根文件系统也作了镜像。 这种配置要比镜像其它文件系统麻烦一些， 因为： 根文件系统在引导过程中很早的时候就必须处于可用状态， 因此 Vinum 的基础设施在这一时刻就应该可用了。 包含根文件系统的卷， 同时也保存了系统的引导程序和内核， 因此它们必须能够被宿主系统的内建工具 (例如 PC 机的 BIOS) 识别， 而通常是没办法让它们了解 Vinum 的细节的。 下面几节中， 术语 根卷 标识包含根文件系统的 Vinum 卷。 把这个卷命名为 "root" 可能是个不错的主意， 不过从技术上说， 并不严格地要求这样做。 不过， 接下来的命令例子都使用这个名字。 及早启动 Vinum 以适应对根文件系统的要求 有许多关于它的尺度： Vinum 必须在启动时可以被内核使用。 因此， 在 中所介绍的方法， 也就无法适应这一任务的需要了。 在接下来的配置中， 也 不能 设置 start_vinum 参数。 第一种方法是通过将 Vinum 静态联编到内核中来实现， 这样， 它就在任何时候都可用了， 虽然一般并不需要这样。 另一种方法是通过 /boot/loader () 来尽早加载 vinum 内核模块， 这一操作发生在内核加载之前。 这可以通过将下面的配置： geom_vinum_load="YES" 加入到 /boot/loader.conf 文件中来实现。 对 Gvinum 而言， 所有的启动过程都是在内核模块加载时自动进行的， 因此上面的操作， 也就是所要进行的全部工作了。 下面的文字介绍的是旧式的 Vinum 系统， 保留它们的主要是为了方便那些使用旧版系统的用户。 Vinum 必须尽早初始化， 因为需要由它来提供根文件系统的卷。 默认情况下， Vinum 的内核部分并不主动地查找可能包含 Vinum 卷信息的驱动器， 而会等待管理员 (或者某个启动脚本) 来执行 vinum start 命令。 - 下面介绍的是 FreeBSD 所需的配置。 + 下面介绍的是 &os; 所需的配置。 通过将下面的配置： vinum.autostart="YES" 加入 /boot/loader.conf， Vinum 将在内核部分初始化的过程中， 自动地扫描所有的驱动器以查找 Vinum 信息。 需要说明的是， 并不需要指定内核到什么地方去找根文件系统。 /boot/loader 会在 /etc/fstab 中查找根文件系统的设备名， 并将这一信息转交给内核。 当需要挂接根文件系统时， 内核会根据设备名来知道它由哪个驱动提供， 并将其转译为内部设备 ID (major/minor 编号)。 让基于 Vinum 的卷在引导时可以访问 - 因为目前的 FreeBSD 引导程序只有 7.5 KB 的代码， + 因为目前的 &os; 引导程序只有 7.5 KB 的代码， 并且已经承担了从 UFS 文件系统中读取文件 (例如 /boot/loader) 的重任， 因此完全没有办法再让它去分析 Vinum 配置数据中的 Vinum 结构， 并找到引导卷本身的信息。 因此， 需要一些技巧来为引导代码提供标准的 "a" 分区， 而它则包含了根文件系统。 要让这些得以实现， 根卷需要满足下面的条件： 根卷不能是条带卷或 RAID-5 卷。 根卷 plex 不能包含连接的子盘。 需要说明的是， 使用多个 plex， 每个 plex 都复制一份根文件系统的副本， 是需要而且是可行的。 然而， 引导过程只能使用这些副本中的一个来引导系统， 直到内核最终自行挂接根文件系统为止。 这些 plex 中的每个子盘， 在这之后会有它们自己的 "a" 分区， 以表达每一个可以引导的设备。 每一个 "a" 分区， 尽管并不需要和其它包含根卷的 plex 处于各自驱动器的同一位置。 但是， 这样创建 Vinum 卷使得镜像卷相互对称， 从而能够避免了混淆。 为了创建每一个根卷的 "a" 分区， 需要完成下面的操作： 使用下面的命令来了解根卷成员子盘的位置 (从设备开始的偏移量) 和尺寸： &prompt.root; gvinum l -rv root 需要注意的是， Vinum 偏移量和尺寸的单位是字节。 它们必须是 512 的整数倍， 才能得到 bsdlabel 命令所需的块号。 在每一个根卷成员设备上， 执行命令： &prompt.root; bsdlabel -e devname 这其中， 对于没有 slice (也就是 fdisk) 表的磁盘， devname 必须是磁盘的名字 (例如 da0)， 或者是 slice 的名字 (例如 ad0s1)。 如果设备上已经有了 "a" 分区 (比如说， 包含 Vinum 之前的根文件系统)， 则应改为其它的名字， 以便继续访问 (如果需要的话)， 但它并不会继续用于启动系统。 注意， 活动的分区 (类似正挂接的根文件系统) 不能被改名， 因此， 要完成这项工作， 必须从 Fixit 盘启动， 或者分两步操作， 并 (在镜像情形中) 首先操作那些非引导盘。 然后， 设备上 Vinum 分区的偏移 (如果有的话) 必须加到这个设备上根卷对应的子盘上。 其结果值， 将成为新的 "a" 分区的 "offset" 值。 这个分区的 "size" 值， 可以根据前面的配置计算得出。 "fstype" 应该是 4.2BSD。 "fsize"、 "bsize"， 以及 "cpg" 值， 则应与文件系统的实际情况匹配， 尽管在配置 Vinum 时并不重要。 这样， 新的 "a" 分区， 将创建并覆盖这一设备上的 Vinum 分区的范围。 注意， bsdlabel 只有在 Vinum 分区的 fstype 被标记为 "vinum" 时， 才允许这样做。 这就成了！ 所有的 "a" 分区现在都已存在， 而且是根卷的一份副本。 强烈建议您再次验证其结果， 方法是： &prompt.root; fsck -n /dev/devnamea 务必注意， 所有包含控制信息的文件， 都必须放到 Vinum 卷上的根文件系统。 在启动新的 Vinum 根卷时， 它们可能和实际在用的根文件系统不匹配。 因此， /etc/fstab 和 /boot/loader.conf 这两个文件需要特别地注意。 在下次重启时， 引导程序需要从新的基于 Vinum 的根文件系统中获取适当的控制信息， 并据此工作。 在内核初始化过程的结尾部分， 在所有的设备都被宣示之后， 如果显示了下面的信息， 则表示配置成功： Mounting root from ufs:/dev/gvinum/root 基于 Vinum 的根文件系统的配置范例 在 Vinum 根卷配置好之后， gvinum l -rv root 的输出可能类似下面的样子： ... Subdisk root.p0.s0: Size: 125829120 bytes (120 MB) State: up Plex root.p0 at offset 0 (0 B) Drive disk0 (/dev/da0h) at offset 135680 (132 kB) Subdisk root.p1.s0: Size: 125829120 bytes (120 MB) State: up Plex root.p1 at offset 0 (0 B) Drive disk1 (/dev/da1h) at offset 135680 (132 kB) 需要注意的值是 135680， 也就是偏移量 (相对于 - /dev/da0h 分区)。 这相当于 bsdlabel + /dev/da0h 分区)。 + 这相当于 bsdlabel 记法中的 265 个 512-字节的磁盘块。 类似地， 根卷的尺寸是 245760 - 个 512-字节的磁盘块。 /dev/da1h 中， + 个 512-字节的磁盘块。 + /dev/da1h 中， 包含了根卷的第二个副本， 采用了同样的配置。 这些设备的 bsdlabel 类似下面的样子： ... 8 partitions: # size offset fstype [fsize bsize bps/cpg] a: 245760 281 4.2BSD 2048 16384 0 # (Cyl. 0*- 15*) c: 71771688 0 unused 0 0 # (Cyl. 0 - 4467*) h: 71771672 16 vinum # (Cyl. 0*- 4467*) 可以看到， 伪装的 "a" 分区的 "size" 参数和前面的一样， 而 "offset" 参数则是 Vinum 分区 "h"， 以及设备中这一分区 (或 slice) 的偏移量之和。 这是一种典型的配置， 它能够避免在 中介绍的问题。 此外， 我们也看到整个 "a" 分区完全处于设备上包含了 Vinum 数据的 "h" 分区之中。 注意， 在上面的配置中， 整个设备都是 Vinum 专用的， 而且没有留下 Vinum 之前的根分区， 因为它永久性地成为了新建的 Vinum 配置中的一个子盘。 故障排除 如果遇到了问题， 则需要从中恢复的办法。 下面列出了一些常见的缺陷， 及其解决方法。 系统的引导程序加载了， 但无法启动 如果由于某种原因系统不再继续启动， 引导程序可以在 10-秒 倒计时的时候， 按 space 键来停止。 加载器变量 (例如 vinum.autostart) 可以通过使用 show 命令来查看， 并使用 set 和 unset 命令来设置。 如果遇到的问题是由于 Vinum 的内核模块没有列入预加载的列表， 而没有正确加载， 则简单使用 load geom_vinum 会有所帮助。 此后， 可以使用 boot -as 来继续启动过程。 选项 会要求内核询问所挂接的根文件系统 ()， 并使引导过程在单用户模式停止 ()， 此时根文件系统是以只读方式挂接的。 这样， 即使只挂接了多 plex 卷中的一个 plex， 也不会引致 plex 之间数据不一致的问题。 当提示输入要挂接的根文件系统时， 可以输入任何一个包含根文件系统的设备。 如果正确地配置了 /etc/fstab， 则默认的应该是类似 ufs:/dev/gvinum/root。 一般可以使用类似 ufs:da0d 这样的设备来代替它， 因为它通常包括了 Vinum 之前的根文件系统。 需要注意的是， 如果在这里输入了 "a" 分区， 则它可能表达的实际上是 Vinum 根设备的一个子盘， 而在镜像式配置中， 这只会挂接镜像的根设备中的一个。 如果之后将这个文件系统以读写方式挂接， 则需要从 Vinum 根卷中删去其他的 plex， 否则这些卷中可能会包含不一致的数据。 只加载了主引导程序 如果 /boot/loader 加载失败， 而主引导程序加载正常 (在启动时， 屏幕最左边一列有一个旋转的线)， 则可以尝试在此时中断主引导程序的过程， 方法是按 space 键。 这将在引导的第二阶段暂停， 具体可以参见 。 此时， 可以尝试从另一个分区， 例如原先包含根文件系统， 并不再叫作 "a" 的那个分区， 启动。 无法启动， 引导程序发生 panic 这种情况一般是由于 Vinum 安装过程中破坏了引导程序造成的。 不幸的是， Vinum 目前只在分区开始的地方保留了 4 KB 的空间， 之后就开始写 Vinum 头信息了。 然而， 目前第一阶段和第二阶段的引导程序， 加上 bsdlabel 嵌入的内容则需要 8 KB。 因此， 如果 Vinum 分区从偏移量 0 开始， 而这个 slice 或磁盘能够启动， 则 Vinum 的安装将毁掉引导程序。 类似地， 如果从上述情形中恢复， 例如， 从 Fixit 盘启动， 并通过 bsdlabel -B 按照 中介绍的方法来恢复引导程序， 则引导程序会覆盖掉 Vinum 头， 这样 Vinum 也就找不到它的磁盘了。 尽管这并不会真的毁掉 Vinum 的配置数据， 或者 Vinum 卷上的数据， 并且可以通过输入一模一样的 Vinum 配置数据来恢复， 但从这种状况中完全恢复是非常困难的。 要真正解决问题， 必须将整个 Vinum 分区向后移动至少 4 KB， 以便使 Vinum 头和系统的引导程序不再冲突。 diff --git a/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml b/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml index cb9060aa19..27acb39aa1 100644 --- a/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/virtualization/chapter.sgml @@ -1,884 +1,978 @@ Murray Stokely 原作 虚拟化 概述 虚拟化软件能够让同一台机器上同时运行多个操作系统。 在 PC 上， 这种系统通常由一个运行虚拟化软件的宿主操作系统， 以及一系列客户操作系统组成。 读完这章， 您将了解： 宿主操作系统与客户操作系统的区别。 如何在采用 &intel; 处理器的 &apple; &macintosh; 计算机上安装 FreeBSD。 如何在包含 &xen; 的 Linux 上安装 FreeBSD。 如何在 µsoft.windows; 以 Virtual PC 安装 FreeBSD。 如何为虚拟化对 FreeBSD 系统进行性能调优。 在阅读这章之前， 您应： 理解 &unix; 和 FreeBSD 的基础知识 ()。 了解如何安装 FreeBSD ()。 了解如何配置网络连接 ()。 了解如何安装第三方软件 (). 作为客户 OS 的 FreeBSD MacOS 上的 Parallels 为 &mac; 设计的 Parallels Desktop 是一种可用于采用 &intel; 处理器， 并运行 &macos; 10.4.6 或更高版本的 &apple; &mac; 计算机的商业软件。 在 &macos; X 上安装了这个软件之后， 用户需要配置虚拟机并安装所需的客户操作系统。 在 Parallels/&macos; X 上安装 FreeBSD 在 &macos; X/Parallels 上安装 FreeBSD 的第一步是创建一个新的虚拟机。 在系统提示选择客户 OS 类型 (Guest OS Type) 时选择 FreeBSD， 并根据您使用 FreeBSD 虚拟实例的需要分配磁盘和内存： 对多数在 Parallels 上使用 FreeBSD 的情形而言， 4GB 磁盘空间和 512MB 的 RAM 就够用了： 在创建了 FreeBSD 虚拟机之后， 还需要在其中安装 FreeBSD。 最好的做法是使用官方的 FreeBSD CDROM 或从官方 FTP 站点下载的 ISO 镜像来完成这个任务。 如果您的本地 &mac; 文件系统中有 ISO 映像文件， 或您的 &mac; 的 CD 驱动器中有 CDROM， 就可以在 FreeBSD Parallels 窗口的右下角点击光盘图标。 之后， 系统将给出一个窗口， 供您完成将虚拟机中的 CDROM 驱动器连接到本地的 ISO 文件或真正的 CDROM 驱动器上。 在完成了将 CDROM 与您的安装源完成关联之后， 就可以按重启 (reboot) 图标来重启 FreeBSD 虚拟机了。 Parallels 将配合一个特殊的 BIOS 启动， 后者能够像普通的 BIOS 一样检查系统中是否有 CDROM 驱动器。 此时， 它就能够找到 FreeBSD 安装介质并开始 中所介绍的标准的基于 sysinstall 安装的过程。 此时您可以安装 X11， 但暂时不要对它进行配置。 在完成安装之后， 重启并进入新安装的 FreeBSD 虚拟机。 在 &macos; X/Parallels 上配置 FreeBSD 在您将 FreeBSD 安装到 &macos; X 的 Parallels 上之后， 还需要进行一系列的配置， 以便为系统的虚拟化操作进行优化。 配置引导加载器变量 最重要的一步是通过调低 变量来降低 Parallels 环境中的 FreeBSD 对 CPU 的使用。 这可以通过在 /boot/loader.conf 中增加下述配置来完成： kern.hz=100 如果不使用这个配置， 闲置的 FreeBSD Parallels 客户 OS 会在单处理器的 &imac; 上使用大约 15% 的 CPU。 如此修改之后， 空闲时的使用量就减少到大约 5% 了。 创建新的内核配置文件 您可以删去全部 SCSI、 FireWire， 以及 USB 设备驱动程序。 Parallels 提供了一个由 &man.ed.4; 驱动的虚拟网卡， 因此， 除了 &man.ed.4; 和 &man.miibus.4; 之外的其他网络接口驱动都可以从内核中删去。 配置网络 最基本的网络配置， 是通过使用 DHCP 来将您的虚拟机与宿主 &mac; 接入同一个局域网。 这可以通过在 /etc/rc.conf 中加入 ifconfig_ed0="DHCP" 来完成。 更高级一些的网络配置方法， 请参见 中的介绍。 福康 陈 (Loader) 原作 在 Linux 上通过 &xen; 运行 FreeBSD &xen; hypervisor 是一个开放源代码的并行虚拟化产品， 并由商业的 XenSource 公司提供支持。 在这种系统中， 客户操作系统称为 domU 域， 而宿主系统则称为 dom0。 在 Linux 上运行 FreeBSD 虚拟机实例的第一步， 是安装用于 Linux dom0 的 &xen;。 在这个例子中， 宿主系统采用的发行版本是 Slackware Linux。 在 Linux dom0 上安装 &xen; 3 从 XenSource 下载 &xen; 3.0 从 下载 xen-3.0.4_1-src.tgz。 解压缩源代码包 &prompt.root; cd xen-3.0.4_1-src &prompt.root; KERNELS="linux-2.6-xen0 linux-2.6-xenU" make world &prompt.root; make install 为 dom0 重新编译内核： &prompt.root; cd xen-3.0.4_1-src/linux-2.6.16.33-xen0 &prompt.root; make menuconfig &prompt.root; make &prompt.root; make install 对于较早版本的 &xen;， 可能需要指定 make ARCH=xen menuconfig 在 Grub 的 menu.lst 中增加一个对应的菜单项 编辑 /boot/grub/menu.lst 并在其中增加下列配置： title Xen-3.0.4 root (hd0,0) kernel /boot/xen-3.0.4-1.gz dom0_mem=262144 module /boot/vmlinuz-2.6.16.33-xen0 root=/dev/hda1 ro 重新启动计算机并进入 &xen; 首先， 编辑 /etc/xen/xend-config.sxp， 并在其中增加下列配置： (network-script 'network-bridge netdev=eth0') 接下来就可以运行 &xen; 了： &prompt.root; /etc/init.d/xend start &prompt.root; /etc/init.d/xendomains start 现在 dom0 已经开始运行： &prompt.root; xm list Name ID Mem VCPUs State Time(s) Domain-0 0 256 1 r----- 54452.9 FreeBSD 7-CURRENT domU 从 http://www.fsmware.com/ 下载用于 &xen; 3.0 的 FreeBSD domU 内核。 kernel-current mdroot-7.0.bz2 xmexample1.bsd 将配置文件 xmexample1.bsd 放到 /etc/xen/ 并修改与内核及磁盘映像位置有关的配置项。 下面是一个示范的例子： kernel = "/opt/kernel-current" memory = 256 name = "freebsd" vif = [ '' ] disk = [ 'file:/opt/mdroot-7.0,hda1,w' ] #on_crash = 'preserve' extra = "boot_verbose" extra += ",boot_single" extra += ",kern.hz=100" extra += ",vfs.root.mountfrom=ufs:/dev/xbd769a" 其中， mdroot-7.0.bz2 应是未压缩的。 接下来， 您需要修改 kernel-current 中的 __xen_guest 小节， 并加入 &xen; 3.0.3 所需要的 VIRT_BASE： &prompt.root; objcopy kernel-current -R __xen_guest &prompt.root; perl -e 'print "LOADER=generic,GUEST_OS=freebsd,GUEST_VER=7.0,XEN_VER=xen-3.0,BSD_SYMTAB,VIRT_BASE=0xC0000000\x00"' > tmp &prompt.root; objcopy kernel-current --add-section __xen_guest=tmp &prompt.root; objdump -j __xen_guest -s kernel-current kernel-current: file format elf32-i386 Contents of section __xen_guest: 0000 4c4f4144 45523d67 656e6572 69632c47 LOADER=generic,G 0010 55455354 5f4f533d 66726565 6273642c UEST_OS=freebsd, 0020 47554553 545f5645 523d372e 302c5845 GUEST_VER=7.0,XE 0030 4e5f5645 523d7865 6e2d332e 302c4253 N_VER=xen-3.0,BS 0040 445f5359 4d544142 2c564952 545f4241 D_SYMTAB,VIRT_BA 0050 53453d30 78433030 30303030 3000 SE=0xC0000000. 现在可以创建并运行 domU 了： &prompt.root; xm create /etc/xen/xmexample1.bsd -c Using config file "/etc/xen/xmexample1.bsd". Started domain freebsd WARNING: loader(8) metadata is missing! Copyright (c) 1992-2006 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD 7.0-CURRENT #113: Wed Jan 4 06:25:43 UTC 2006 kmacy@freebsd7.gateway.2wire.net:/usr/home/kmacy/p4/freebsd7_xen3/src/sys/i386-xen/compile/XENCONF WARNING: DIAGNOSTIC option enabled, expect reduced performance. Xen reported: 1796.927 MHz processor. Timecounter "ixen" frequency 1796927000 Hz quality 0 CPU: Intel(R) Pentium(R) 4 CPU 1.80GHz (1796.93-MHz 686-class CPU) Origin = "GenuineIntel" Id = 0xf29 Stepping = 9 Features=0xbfebfbff<FPU,VME,DE,PSE,TSC,MSR,PAE,MCE,CX8,APIC,SEP,MTRR,PGE,MCA,CMOV,PAT,PSE36,CLFLUSH, DTS,ACPI,MMX,FXSR,SSE,SSE2,SS,HTT,TM,PBE> Features2=0x4400<CNTX-ID,<b14>> real memory = 265244672 (252 MB) avail memory = 255963136 (244 MB) xc0: <Xen Console> on motherboard cpu0 on motherboard Timecounters tick every 10.000 msec [XEN] Initialising virtual ethernet driver. xn0: Ethernet address: 00:16:3e:6b:de:3a [XEN] Trying to mount root from ufs:/dev/xbd769a WARNING: / was not properly dismounted Loading configuration files. No suitable dump device was found. Entropy harvesting: interrupts ethernet point_to_point kickstart. Starting file system checks: /dev/xbd769a: 18859 files, 140370 used, 113473 free (10769 frags, 12838 blocks, 4.2% fragmentation) Setting hostname: demo.freebsd.org. lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 ::1 prefixlen 128 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x2 inet 127.0.0.1 netmask 0xff000000 Additional routing options:. Mounting NFS file systems:. Starting syslogd. /etc/rc: WARNING: Dump device does not exist. Savecore not run. ELF ldconfig path: /lib /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout Starting usbd. usb: Kernel module not available: No such file or directory Starting local daemons:. Updating motd. Starting sshd. Initial i386 initialization:. Additional ABI support: linux. Starting cron. Local package initialization:. Additional TCP options:. Starting background file system checks in 60 seconds. Sun Apr 1 02:11:43 UTC 2007 FreeBSD/i386 (demo.freebsd.org) (xc0) login: 现在 domU 应该能运行 &os; 7.0-CURRENT 内核了： &prompt.root; uname -a FreeBSD demo.freebsd.org 7.0-CURRENT FreeBSD 7.0-CURRENT #113: Wed Jan 4 06:25:43 UTC 2006 kmacy@freebsd7.gateway.2wire.net:/usr/home/kmacy/p4/freebsd7_xen3/src/sys/i386-xen/compile/XENCONF i386 接下来可以在 domU 中配置网络了。 &os; domU 会使用一种称做 xn0 的专用网络接口： &prompt.root; ifconfig xn0 10.10.10.200 netmask 255.0.0.0 &prompt.root; ifconfig xn0: flags=843<UP,BROADCAST,RUNNING,SIMPLEX> mtu 1500 inet 10.10.10.200 netmask 0xff000000 broadcast 10.255.255.255 ether 00:16:3e:6b:de:3a lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 ::1 prefixlen 128 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x2 inet 127.0.0.1 netmask 0xff000000 在 dom0 Slackware 上 会出现一些 &xen; 专用的网络接口： &prompt.root; ifconfig eth0 Link encap:Ethernet HWaddr 00:07:E9:A0:02:C2 inet addr:10.10.10.130 Bcast:0.0.0.0 Mask:255.0.0.0 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:815 errors:0 dropped:0 overruns:0 frame:0 TX packets:1400 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:204857 (200.0 KiB) TX bytes:129915 (126.8 KiB) lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:99 errors:0 dropped:0 overruns:0 frame:0 TX packets:99 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:9744 (9.5 KiB) TX bytes:9744 (9.5 KiB) peth0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:1853349 errors:0 dropped:0 overruns:0 frame:0 TX packets:952923 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:2432115831 (2.2 GiB) TX bytes:86528526 (82.5 MiB) Base address:0xc000 Memory:ef020000-ef040000 vif0.1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:1400 errors:0 dropped:0 overruns:0 frame:0 TX packets:815 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:129915 (126.8 KiB) TX bytes:204857 (200.0 KiB) vif1.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:3 errors:0 dropped:0 overruns:0 frame:0 TX packets:2 errors:0 dropped:157 overruns:0 carrier:0 collisions:0 txqueuelen:1 RX bytes:140 (140.0 b) TX bytes:158 (158.0 b) xenbr1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF UP BROADCAST RUNNING NOARP MTU:1500 Metric:1 RX packets:4 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:112 (112.0 b) TX bytes:0 (0.0 b) &prompt.root; brctl show bridge name bridge id STP enabled interfaces xenbr1 8000.feffffffffff no vif0.1 peth0 vif1.0 &windows; 上的 Virtual PC Virtual PC 是 µsoft; 上的 &windows; 软件产品， 可以免费下载使用。 相关系统要求，请参阅 system requirements 说明。 在 µsoft.windows; 装完 Virtual PC 之后， 必须针对所安装的虚拟机器来做相应设定。 在 Virtual PC/µsoft.windows; 上安装 FreeBSD 在 µsoft.windows;/Virtual PC 上安装 FreeBSD 的第一步是新增虚拟器。 如下所示，在提示向导中请选择 Create a virtual machine： 然后在 Operating system 处选 Other： 并依据自身需求来规划硬盘容量和内存的分配。对大多数在 Virtual PC 使用 FreeBSD 的情况而言， 大约 4GB 的硬盘空间以及 512MB 的内存就够用了。 保存并完成配置： 接下来选择新建的 FreeBSD 虚拟机器，并单击 Settings， 以设定网络种类以及网卡： 在新建 FreeBSD 虚拟机器以后， 就可以继续以其安装 FreeBSD。 安装方面， 比较好的作法是使用官方的 FreeBSD 光盘或从官方 FTP 站下载 ISO 镜像。 若您的 &windows; 系统 内已有该 ISO 镜像， 那么就可以在 FreeBSD 虚拟机器上连按两下， 以开始启动。 接着在 Virtual PC 窗口内按 CD 再按 Capture ISO Image...。 接着出现一个对话框， 可以把虚拟机器内的光驱设定到该 ISO 镜像， 或者是真实的光驱。 设好光盘来源之后，就可以重新开机， 也就是先按 Action 再按 Reset 即可。 Virtual PC 会以特殊 BIOS 开机， 并与普通 BIOS 一样会先检查是否有光盘驱动器。 此时， 它会找到 FreeBSD 安装光盘， 并开始在 内所介绍的 sysinstall 安装过程。 这时候也可以顺便安装 X11， 但不要进行相关设定。 完成安装之后， 记得把安装光盘或者 ISO 镜像退出。 最后， 把装好的 FreeBSD 虚拟机器重新开机即可。 调整 µsoft.windows;/Virtual PC 上的 FreeBSD 在 µsoft.windows; 上以 Virtual PC 装好 FreeBSD 后， 还需要做一些设定步骤， 以便将虚拟机内的 FreeBSD 最佳化。 设定 boot loader 参数 最重要的步骤乃是藉由调降 来降低 Virtual PC 环境内 FreeBSD 的 CPU 占用率。 在 /boot/loader.conf 内加上下列设定即可： kern.hz=100 若不作这设定， 那么光是 idle 状态的 FreeBSD Virtual PC guest OS 就会在单一处理器的电脑上大约有 40% 的 CPU 占用率。 作了上述修改之后, 占用率大约会降至 3%。 建立一个新的内核配置文件 可以放心把所有的 SCSI， FireWire 和 USB 设备驱动都移除。 Virtual PC 有提供 &man.de.4; 的虚拟网卡， 因此除了 &man.de.4; 以及 &man.miibus.4; 以外其他的网卡也都可以从内核的配置文件中移除。 设定网络 可以给虚拟机器简单得使用 DHCP 来设定与 host (µsoft.windows;) 相同的本地网络环境， 只要在 /etc/rc.conf 加上 ifconfig_de0="DHCP" 即可完成。 其他的高级网络设置， 可参阅 . 运行于 MacOS 的 VMware &mac 版本的 VMWare Fusion 是一个商业软件，运行在基于 &intel 的 &apple; &mac 计算机的 &macos; 10.4.9 或更版本的操作系统上。FreeBSD 是一个完全被支持的客户操作系统。 在 &macos; X 上安装了 VMWare Fusion 之后， 用户就可以着手配置一个虚拟机器并安装客户操作系统。 在 VMWare/&macos; X 上安装 FreeBSD 第一步是运行 VMWare Fusion， 虚拟机器库将被装载。 单击 "New" 创建 VM： New Virtual Machine Assistant 将被运行来帮助你创建 VM， 单击 Continue 继续： 在 Operatiing System 项选择 Other，Version 项可选 FreeBSD 或 FreeBSD 64-bit。 选一个你想要的 VM 镜像名字和存储的目录位置。 选择 VM 虚拟硬盘的大小： 选择安装 VM 的方式， 从一个 ISO 镜像或一张 CD 安装： 一旦你点击了 Finish， VM 就会启动了： 以你通常的方式安装 &os; 或者参照 中的步骤： 安装完成之后，你就可以修改一些 VM 的设定，比如内存大小： 在 VM 运行的时候，VM 系统硬件的设置是无法修改的。 配置 VM 的 CPU 数量： CD-ROM设备的状态。通常当你不在需要 CDROM/ISO 的时候可以切断他们跟 VM 的连接。 最后一项需要修改的是 VM 与网络连接的方式。 如果你希望除了宿主以外的机器也能连接到 VM， 请选择 Connect directly to the physical network (Bridged)。选择 Share the host's internet connection (NAT) 的话， VM 可以连接上网络，但是不能从外面访问。 在你修改完设定之后，就可以从新安装的 FreeBSD 虚拟机器启动了。 配置运行于 &macos; X/VMWare 上的 FreeBSD 在 &macos; X 上的 VMWare 上安装完 FreeBSD 之后，有些配置的步骤可用来优化虚拟系统。 设置 boot loader 变量 最重要的步骤是降低 来减少 VMWare 上 FreeBSD 的 CPU 使用率。这需要在 /boot/loader.conf 里加入以下这行设定： kern.hz=100 如果没有这项设定，VMWare 上的 FreeBSD 客户 OS 空闲时将占用 &imac; 上一个 CPU 大约 15% 的资源。在修改此项设定之后仅为 5%。 创建一个新的内核配置文件 你可以去掉所有的 FireWire, USB 设备的驱动程序。 VMWare 提供了一个 &man.em.4; 支持的虚拟网络适配器，所以除了 &man.em.4; 之外的网卡驱动都可以被剔除。 设置网络 最基本的网络设定包括简单的使用 DHCP 把你的虚拟机器连接到宿主 &mac; 相同的本地网络上。 在 /etc/rc.conf 中加入： ifconfig_em0="DHCP"。 更多有关网络的设置可以参阅 。 作为宿主 OS 的 FreeBSD - 目前， 还没有任何一种虚拟化软件包官方支持 FreeBSD 作为宿主操作系统， - 但很多人使用较早版本的 VMware 提供的这项能力。 目前， - 已经有人在为让 &xen; 能够在 FreeBSD 上作为宿主环境而进行相关的开发工作。 + 在过去的几年中 &os; 并没有任何可用的并被官方支持的虚拟化解决方案。 + 一些用户曾时使用过利用 &linux 二进制兼容层运行的 + VMware 陈旧并多半已过时的版本 (比如 + emulators/vmware3)。 + 在 &os; 7.2 发布不久， Sun 开源版本 (Open Source Edition + OSE) 的 &virtualbox; + 作为一个 &os; 原生的程序出现在了 Ports Collection 中。 + &virtualbox; 是一个开发非常活跃， + 完全虚拟化的软件， 并且可在大部份的操作系统上使用， 包括 &windows;， + &macos;， &linux; 和 &os;。同样也能把 &windows; 或 &unix; + 作为客户系统运行。 它有一个开源和一个私有两种版本。 从用户的角度来看， + OSE 版本最主要的限制也许是缺乏 USB 的支持。 + 其他更多的差异可以通过链接 + + 查看 Editions 页面。 目前， &os; 上只有 OSE + 版本可用。 + + + 安装 &virtualbox; + + &virtualbox; 已作为一个 &os; + port 位于 emulators/virtualbox， + 可使用如下的命令安装： + + &prompt.root; cd /usr/ports/emulators/virtualbox +&prompt.root; make install clean + + 在配置对话框中的一个有用的选项是 + GusetAdditions 程序套件。 + 这些在客户操作系统中提供了一些有用的特性， + 比如集成鼠标指针 (允许在宿主和客户系统间使用鼠标， + 而不用事先按下某个特定的快捷键来切换) 和更快的视频渲染， + 特别是在 &windows; 客户系统中。 在安装了客户操作系统之后， + 客户附加软件可在 Devices 菜单中找到。 + + 在第一次运行 &virtualbox; + 之前还需要做一些配置上的修改。port 会安装一个内核模块至 + /boot/modules 目录， + 此模块需要事先加载： + + &prompt.root; kldload vboxdrv + + 可以在 /boot/loader.conf + 中加入以下的配置使此模块在机器重启之后能自动加载： + + vboxdrv_load="YES" + + &virtualbox; 还需要挂载 + proc 文件系统： + + &prompt.root; mount -t procfs proc /proc + + 为了使配置能在重启后始终生效， 需要在 + /etc/fstab 中加入以下这行： + + proc /proc procfs rw 0 0 + + + 如果在运行 &virtualbox; + 的终端中发现了类似如下的错误消息： + + VirtualBox: supR3HardenedExecDir: couldn't read "", errno=2 cchLink=-1 + + 此故障可能是由 proc + 文件系统导致的。 请使用 mount + 命令检查文件系统是否正确挂载。 + + + 在安装 &virtualbox; + 时会自动创建 vboxusers 组。 + 所有需要使用 &virtualbox; + 的用户必须被添加为此组中的成员。 可以使用 pw + 命令添加新的成员： + + &prompt.root; pw groupmod vboxusers -m yourusername + + 运行 &virtualbox;， + 可以通过选择你当前图形环境中的 + Sun VirtualBox， + 也可以在虚拟终端中键入以下的命令: + + &prompt.user; VirtualBox + + 获得更多有关配置和使用 &virtualbox; + 的信息， 请访问官方网站 。 + 鉴于 &os; port 非常新， 并仍处于开发状态。请查看 &os; wiki + 上的相关页面 + 以获取最新的信息和故障排查细则。 + + + + 其他的虚拟化选项 + + &xen;在 &os; + 上作为宿主运行依然处于开发之中。 试验性版本将出现在 + &os; 8.0。 + diff --git a/zh_CN.GB2312/books/handbook/x11/chapter.sgml b/zh_CN.GB2312/books/handbook/x11/chapter.sgml index 40229cdb8b..6b84252917 100644 --- a/zh_CN.GB2312/books/handbook/x11/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/x11/chapter.sgml @@ -1,1528 +1,1614 @@ Ken Tom 根据 X.Org 的 X11 服务修改此文档 Marc Fonvieille X Window 系统 概述 FreeBSD 使用 X11 来为用户提供功能强大的图形用户界面。 X11 是一种可以免费使用的 X 视窗系统， 其实现包括 &xorg; 和 &xfree86; (以及一些其他这里没有讨论的软件包)。 &os; 在包括 &os; 5.2.1-RELEASE 在内的版本之前， 都默认安装 &xfree86;， 一种由 &xfree86; Project, Inc. 发布的 X11 服务。 从 &os; 5.3-RELEASE 开始， 默认并且为官方支持的 X11 变成了 &xorg;， 它是由 X.Org 基金会开发的 X11 服务， 采用与 &os; 类似的授权。 此外， 也有一些用于 &os; 的商业 X 服务器。 这章将介绍 X11 的安装和配置， 并着重强调 &xorg; 的 &xorg.version; 版。 如欲了解关于 &xfree86; 的详细信息 (在较早的 &os; 版本中， &xfree86; 是默认的 X11 软件包) 或较早版本的 &xorg;， 则可以访问存档的旧版 &os; 使用手册， 其网址为 。 欲了解 X11 所支持的显示卡等硬件， 请访问 &xorg; 网站。 在阅读完这一章后，您将会了解： X 视窗系统的不同组件，它们是如何协同工作的。 如何安装和配置 X11。 如何安装和使用不同的窗口管理器。 如何在 X11 中使用 &truetype; 字体。 如何为您的系统设置图形登录 (XDM)。 在阅读这一章之前，您应该： 知道如何安装额外的第三方应用程序()。 理解 X 对于那些熟悉其他图形环境，比如 µsoft.windows; 或者 &macos; 的用户来说，第一次使用 X 可能会感觉很惊讶。 通常您并不需要深入了解各种 X 组件的作用以及它们之间的相互影响， 不过， 了解一些关于它们的基础知识， 有助于更好地利用 X 的强大功能。 为什么要使用 X? X 不是第一个为 &unix; 而开发的视窗系统， 但它是最流行的。 X 的原始开发团队在开发 X 之前就已经在另外一个视窗系统上工作了。 那个系统的名字叫做 W (就是 Window)。X 只是罗马字母中 W 后面 的一个。 X 可以被叫做 X, X Window 系统, X11, 等等。把 X11 称做 X Windows 可能会冒犯某些人； 查看 &man.X.7; 可以了解更多的信息。 X 客户机/服务器模型 X 一开始就是针对网络而设计的，所以 采用了 client-server 模型。在 X 模型中， X server 运行在有键盘，显示器，鼠标的计算机上。 服务器用来管理显示信息，处理来自键盘和鼠标的输入信息， 并与其他输入输出设备交互 (比如作为输入设备的 tablet， 或者作为输出设备的投影仪)。 每一个 X 应用程序 (比如 XTerm, 或者 &netscape;) 就是一个 客户程序 (client)。 客户程序给服务器发送信息，如 请在这些坐标上画一个窗口， 而服务器则返回处理信息， 如 用户刚刚点击了 OK 按钮。 如果您家或办公环境中只有一台使用 FreeBSD 的计算机， 就只能在同一台计算机上运行 X server 和 X client 了。 然而， 如果您有很多运行 FreeBSD 的机器， 您可以在您的桌面计算机上运行 X server， 而在比较高档的服务器上运行 X 应用程序。 在这样的环境中， X server 和 X client 之间的通信就可以通过网络来进行。 这可能会让一些人感到困惑， 因为 X 的术语和他们料想的有些不同。 他们以为 X server 是运行在功能强大的大型机上的，而 X client 是运行在他们桌面上的计算机上的。 记住，X server 是有键盘和显示器的那台计算机，而 X client 是那些显示窗口的程序。 Client 和 server 不一定都要运行在同一种操作系统上， 它们甚至无需在同一种类型的计算机上运行。 在 µsoft.windows; 或 Apple 公司的 &macos; 上运行 X server 也是可以的， 在它们上面也有很多免费的和商业化的应用程序。 窗口管理器 X 的设计哲学很像 &unix; 的设计哲学， tools, not policy。这就意味着 X 不会试图去规定任务应该如何 去完成，而是，只给用户提供一些工具，至于决定如何使用这些工具是用户自己的 事情。 这套哲学扩展了 X，它不会规定窗口在屏幕上应该是什么样子，要如何移动鼠标， 应该用什么键来切换窗体 (比如， Alt Tab 按键，在 µsoft.windows; 环境中的作用), 每个窗口的工具条应该 看起来像什么，他们是否应该有关闭按钮等等。 实际上，X 行使了一种叫做 窗口管理器的应用程序的职责。有很多这样的程序可用： AfterStep, Blackbox, ctwm, Enlightenment, fvwm, Sawfish, twm, Window Maker，等等。每一个窗口管理器 都提供了不同的界面和观感；其中一些还支持 虚拟桌面；有一些允许您可以定制一些键来管理您的桌面； 一些有开始 按钮，或者其他类似的设计；一些是 可定制主题的(themeable)， 通过安装新的主题， 可以完全改变外观。 这些以及很多其他的窗口管理器， 都可以在 Ports Collection 的 x11-wm 分类目录里找到。 另外，KDE 和 GNOME 桌面环境都有他们自己的窗口管理器 与桌面集成。 每个窗口管理器也有不同的配置机制；有些需要手工来写配置文件， 而另外一些则可以使用 GUI 工具来完成大部分的配置任务， 举例而言， (Sawfish) 就使用 Lisp 语言书写配置文件。 焦点策略 窗口管理器的另一个特性是鼠标的 focus policy。 每个窗口系统都需要有一个选择窗口的方法来接受键盘的输入信息，以及当前 哪个窗口处于可用状态。 您通常比较熟悉的是一个叫做 click-to-focus 的焦点策略。 这是 µsoft.windows; 使用的典型焦点策略，也就是您在一个窗口上点击 一下鼠标，这个窗口就处于当前可用的状态。 X 不支持一些特殊的焦点策略。确切地说，窗口管理器控制着在什么时候哪个窗口 拥有焦点。不同的窗口管理器支持不同的焦点方案。它们都支持点击即获得焦点， 而且它们中的大多数都支持好几种方案。 最流行的焦点策略： focus-follows-mouse 鼠标指示器下面的窗口就是获得焦点的窗口。 这个窗口不一定位于其他所有窗口之上。 通过将鼠标移到另一个窗口就可以改变焦点， 而不需要在它上面点击。 sloppy-focus 这种方式是对 focus-follows-mouse 策略的一个小小扩展。对于 focus-follows-mouse， 如果您把鼠标移到了根窗口（或桌面背景）上， 则所有的其它窗口都会失去焦点， 而相关的全部键盘输入也会丢失。 如果选择了 sloppy-focus， 则只有当指针进入新窗口时， 窗口焦点才会发生变化， 而当退出当前窗口时是不会变化的。 click-to-focus 当前窗口由鼠标点击来选择。窗口被突出显示 ， 出现在所有其他窗口的前面。即使指针被移向了另一个窗口，所有的键盘输入 仍会被这个窗口接收。 许多窗口管理器支持其他的策略，与这些相比又有些变化。您可以看具体 窗口管理器的文档。 窗口部件 提供工具而非策略的 X 方法使得在每个应用程序屏幕上看到的窗口部件得到了 大大的扩展。 Widget 只是针对用户接口中所有列举项目的一个术语，它 可以用某种方法来点击或操作；如按钮，复选框，单选按钮，图标，列表框等等。 µsoft.windows; 把这些叫做控件。 µsoft.windows; 和苹果公司的 &macos; 都有一个严格的窗口部件策略。 应用程序开发者被建议确保他们的应用程序共享一个普通的所见即所得的用户界面。 对于 X，它并不要求一个特殊的图形风格或一套相结合的窗口部件集。 这样的结果是您不能期望 X 应用程序只拥有一个普通的所见即所得的界面。 有很多的流行的窗口部件集设置，包括来自于 MIT 的 Athena， &motif; (模仿 µsoft.windows; 的窗口风格， 所有部件都具有斜边和3种灰色度)， OpenLook， 等等。 如今， 绝大多数比较新的 X 应用程序采用一组新式的窗口设计， 这包括 KDE 所使用的 Qt， 以及 GNOME 所使用的 GTK+。 在这样一种窗口系统下，&unix; 桌面的一些所见即所得特性作了一些收敛， 以使初学者感到更容易一些。 安装 X11 &xorg; 是 &os; 上的默认 X11 实现。 &xorg; 是由 X.Org 基金会发行的开放源代码 X Window 系统实现中的 X 服务。 &xorg; 基于 &xfree86 4.4RC2 和 X11R6.6 的代码。 从 &os; Ports 套件可以安装 &xorg; 的 &xorg.version; 版本。 如果需要从 Ports Collection 编译和安装 &xorg;： &prompt.root; cd /usr/ports/x11/xorg &prompt.root; make install clean 要完整地编译 &xorg; 则需要至少 4 GB 的剩余磁盘空间。 另外 X11 也可以直接从 package 来安装。 我们提供了可以与 &man.pkg.add.1; 工具配合使用的 X11 安装包。 如果从远程下载和安装， 在使用 &man.pkg.add.1; 时请不要指定版本号。 &man.pkg.add.1; 会自动地下载最新版本的安装包。 想要从 package 安装 &xorg;， 简单地输入下面的命令： &prompt.root; pkg_add -r xorg 上面的例子介绍了如何安装完整的 X11 软件包， 包括服务器端，客户端，字体等等。 此外， 也有一些单独的 X11 的 ports 和 packages. 这一章余下的部分将会讲解如何配置 X11, 以及如何设置一个高效的桌面环境。 Christopher Shumway Contributed by 配置 X11 &xorg; X11 开始之前 在配置 X11 之前， 您需要了解所安装的系统的下列信息： 显示器规格 显示卡的芯片类型 显示卡的显存容量 水平刷新率 垂直刷新率 显示器的规格被 X11 用来决定显示的分辨率和刷新率。 这些规格通常可以从显示器所带的文档中， 以及制造商的网站找到。 需要知道两个数字范围： 垂直刷新率和水平刷新率。 显示卡的芯片类型将决定 X11 使用什么模块来驱动图形硬件。 尽管系统能自动检测出绝大多数的硬件， 但事先了解在自动检测出错的时候还是很有用处的。 显示卡的显存大小决定了系统支持的分辨率和颜色深度。 了解这些限制非常重要。 配置 X11 对于 &xorg; 7.3 这个版本， 可以不需要任何的配置文件就能运行，在提示符下键如下命令： &prompt.user; startx - 如果这个命令并不能启动 X11， - 也许是默认的配置文件不适合你机器的配置， 这时候就需要手工配置 - X11 了。 + 从 &xorg; 7.4 开始， 可以使用 + HAL 自动检测键盘和鼠标。Ports + sysutils/hal 和 + devel/dbus 将被作为 + x11/xorg 所依赖的包安装进系统。 + 并且需要在 /etc/rc.conf 文件中启用： + + hald_enable="YES" +dbus_enable="YES" + + 在更深入的配置 &xorg; 以前， + 需要运行这些服务 (手工启动或者重启机器)。 + + 自动配置对于某些硬件可能不起作用或者无法做到期望的配置。 + 在这种情况下就有必要做一些手工配置。 诸如 GNOME， KDE 或 - XFce 之类的桌面环境， + Xfce 之类的桌面环境， 大多都提供了一些允许用户非常易用的工具， 来设置像分辨率这样的显示参数。 所以如果你觉得默认的配置并不适合， 而且你打算安装一个这样的桌面环境， 那么就请继续完成桌面环境的安装， 并使用适合的显示设置工具。 配置 X11 需要一些步骤。 第一步是以超级用户的身份建立初始的配置文件： &prompt.root; Xorg -configure 这会在 /root 中生成一个叫做 xorg.conf.new 的配置文件 (无论您使用 &man.su.1; 或直接登录， 都会改变默认的 $HOME 目录变量)。 X11 程序将尝试探测系统中的图形硬件，并将探测到的硬件信息写入配置文件， 以便加载正确的驱动程序。 下一步是测试现存的配置文件， 以确认 &xorg; 能够同系统上的图形设备正常工作。 - 要完成这个任务，只需： + 对于 &xorg; 7.3 或者之前的版本， + 键入： &prompt.root; Xorg -config xorg.conf.new + 从 &xorg; 7.4 和更高的版本开始， + 这个测试将显示出一个黑色的屏幕，对于判断 X11 是否能正常工作会造成一些困扰。 + 可以通过 选项使用旧的模式： + + &prompt.root; Xorg -config xorg.conf.new -retro + 如果用户看到一个黑灰的格子和一个 X 形的鼠标指针，那么配置就是成功的。 要退出测试， 只要同时按下 Ctrl Alt Backspace 。 如果鼠标工作不正常， 则需要先配置它。 参见 &os; 安装一章中的 。 X11 调优 + + 此组合键在 &xorg; 7.3 + 或者之前的版本中默认启用。 在 7.4 或以后的版本中开启此选项， + 你可以在任何的 X 终端模拟器中键入以下的命令： + + &prompt.user; setxkbmap -option terminate:ctrl_alt_bksp + + 或者为 hald 创建一个叫作 + x11-input.fdi 的键盘配置文件并保存至 + /usr/local/etc/hal/fdi/policy + 目录。 这个文件需包含以下这些： + + <?xml version="1.0" encoding="ISO-8859-1"?> +<deviceinfo version="0.2"> + <device> + <match key="info.capabilities" contains="input.keyboard"> + <merge key="input.x11_options.XkbOptions" type="string">terminate:ctrl_alt_bksp</merge> + </match> + </device> +</deviceinfo> + + 你可能需要重启你的机器来使得 hald + 重新读取这个文件。 + + + 如果鼠标无法正常工作， 在继续深入之前需要先配置它。 + 参阅 &os; 安装一章中的 。 另外， + 从 7.4 版本开始， xorg.conf 中的 + InputDevice 部分将被忽略， + 这有助于自动检测硬件设备。 可以在这个文件中的 + ServerLayout 或者 ServerFlags + 加入以下选项使用旧的模式： + + Option "AutoAddDevices" "false" + + 输入设备连同其他需要的选项 (比如， 键盘布局切换) + 就可以像在之前的版本中的那样配置了。 + + + 正如前面所提到的， 自版本 7.4 开始 hald + 守护进程默认自动检测你的键盘。 可能检测出你的键盘布局或型号有差异， + 在桌面环境中， 比如 GNOME， + KDE 或者 + Xfce 提供了工具来配置键盘。 + 另一方面， 也可在 &man.setxkbmap.1; 工具的帮助下或者通过 + hald 的配置文件来直接设置键盘的属性。 + + 举例来说， 如果某人想要使用一个 PC 102 键法语布局的键盘， + 我们就需要为 hald 创建一个配置文件， + 叫作 x11-input.fdi 并保存入 /usr/local/etc/hal/fdi/policy + 目录。 这个文件需要包含如下这些： + + <?xml version="1.0" encoding="ISO-8859-1"?> +<deviceinfo version="0.2"> + <device> + <match key="info.capabilities" contains="input.keyboard"> + <merge key="input.x11_options.XkbModel" type="string">pc102</merge> + <merge key="input.x11_options.XkbLayout" type="string">fr</merge> + </match> + </device> +</deviceinfo> + + 如果这个文件已经存在， 只要把键盘配置相关的部分拷贝加入即可。 + + 你需要重启你的机器使 hald + 读入此文件。 + + 也可以在 X 模拟终端或一个脚本中使用以下的命令达到相同的效果: + + &prompt.user; setxkbmap -model pc102 -layout fr + + /usr/local/share/X11/xkb/rules/base.lst + 列出了各种不同的键盘， 布局和可用的选项。 + + + X11 tuning + 接下来是调整 xorg.conf.new 配置文件并作测试。 用文本编辑器如 &man.emacs.1; 或 &man.ee.1; 打开这个文件。 要做的第一件事是为当前系统的显示器设置刷新率。 这些值包括垂直和水平的同步频率。 把它们加到 xorg.conf.new 的 "Monitor" 小节中： Section "Monitor" Identifier "Monitor0" VendorName "Monitor Vendor" ModelName "Monitor Model" HorizSync 30-107 VertRefresh 48-120 EndSection 在配置文件中也有可能没有 HorizSync 和 VertRefresh。 如果是这样的话， 就只能手动添加， 并在 HorizSync 和 VertRefresh 后面设置合适的数值了。 在上面的例子中， 给出了相应的显示器的参数。 X 能够使用显示器所支持的 DPMS (能源之星) 功能。 &man.xset.1; 程序可以控制超时时间， 并强制待机、挂起或关机。 如果希望启用显示器的 DPMS 功能， 则需要把下面的设置添加到 monitor 节中： Option "DPMS" xorg.conf 关闭 xorg.conf.new 之前还应该选择默认的分辨率和色深。 这是在 "Screen" 小节中定义的： Section "Screen" Identifier "Screen0" Device "Card0" Monitor "Monitor0" DefaultDepth 24 SubSection "Display" Viewport 0 0 Depth 24 Modes "1024x768" EndSubSection EndSection DefaultDepth 关键字描述了要运行的默认色深。 这可以通过 &man.Xorg.1; 的 命令行开关来替代配置文件中的设置。 Modes 关键字描述了给定颜色深度下屏幕的分辨率。 需要说明的是， 目标系统的图形硬件只支持由 VESA 定义的标准模式。 前面的例子中， 默认色深是使用 24位色。 在采用这个色深时， 允许的分辨率是 1024x768。 最后就是将配置文件存盘， 并使用前面介绍的测试模式测试一下。 在发现并解决问题的过程中， 包含了与 X11 服务器相关的各个设备的信息的 X11 日志文件会为您发现和排除问题有所帮助。 &xorg; 日志的文件名是 /var/log/Xorg.0.log 这样的格式。 实际的日志文件名可能是 Xorg.0.log 到 Xorg.8.log 等等。 如果一切准备妥当， 就可以把配置文件放到公共的目录中了。 您可以在 &man.Xorg.1; 里面找到具体位置。 这个位置通常是 /etc/X11/xorg.conf 或 /usr/local/etc/X11/xorg.conf。 &prompt.root; cp xorg.conf.new /etc/X11/xorg.conf 现在已经完成了 X11 的配置全过程。 &xorg; 可以通过 &man.startx.1; 工具来启动。 除此之外， X11 服务器也可以用 &man.xdm.1; 来启动。 - - 有一个图形配置工具 - &man.xorgcfg.1;， 会随 X11 软件包一同安装。 - 它可以通过选择合适的驱动和设置交互式地定义配置。 - 这个程序可以从控制台通过命令 xorgcfg -textmode 来直接启动。 - 欲了解详情， 请参考 &man.xorgcfg.1; 的联机手册。 - - 另外还有一个叫做 &man.xorgconfig.1; 的文本界面配置工具 - 这是一个控制台工具， 对用户而言不太友好， 但也正因它使用的是纯文本界面， - 因此当其他工具无法工作时， 您仍可使用这个工具。 - 高级配置主题 配置 &intel; i810 显示芯片组 Intel i810 显示芯片 配置Intel i810芯片组的显示卡需要有针对 X11 的能够用来驱动显示卡的 agpgart AGP程序接口。 请参见 &man.agp.4; 驱动程序的联机手册了解更多细节。 这也适用于其他的图形卡硬件配置。 注意如果系统没有将 &man.agp.4; 驱动程序编译进内核，尝试用 &man.kldload.8; 加载模块是无效的。 这个驱动程序必须编译进内核或者使用 /boot/loader.conf 在启动时加载进入内核。 添加宽屏平板显示器 widescreen flatpanel configuration 这一节假定您了解一些关于高级配置的知识。 如果使用前面的标准配置工具不能产生可用的配置， 则在日志文件中提供的信息应该足以修正配置使其正确工作。 如果需要的话， 您应使用一个文本编辑器来完成这项工作。 目前的宽屏 (WSXGA、 WSXGA+、 WUXGA、 WXGA、 WXGA+， 等等) 支持 16:10 和 10:9 或一些支持不大好的显示比例。 常见的一些 16:10 比例的分辨率包括： 2560x1600 1920x1200 1680x1050 1440x900 1280x800 有时， 也可以简单地把这些分辨率作为 Section "Screen" 中的 Mode 来进行配置， 类似下面这样： Section "Screen" Identifier "Screen0" Device "Card0" Monitor "Monitor0" DefaultDepth 24 SubSection "Display" Viewport 0 0 Depth 24 Modes "1680x1050" EndSubSection EndSection &xorg; 能够自动地通过 I2C/DDC 信息来自动获取宽屏显示器的分辨率信息， 并处理显示器支持的频率和分辨率。 如果驱动程序没有对应的 ModeLines， 就需要给 &xorg; 一些提示了。 使用 /var/log/Xorg.0.log 能够提取足够的信息， 就可以写一个可用的 ModeLine 了。 这类信息如下所示： (II) MGA(0): Supported additional Video Mode: (II) MGA(0): clock: 146.2 MHz Image Size: 433 x 271 mm (II) MGA(0): h_active: 1680 h_sync: 1784 h_sync_end 1960 h_blank_end 2240 h_border: 0 (II) MGA(0): v_active: 1050 v_sync: 1053 v_sync_end 1059 v_blanking: 1089 v_border: 0 (II) MGA(0): Ranges: V min: 48 V max: 85 Hz, H min: 30 H max: 94 kHz, PixClock max 170 MHz 这些信息称做 EDID 信息。 从中建立 ModeLine 只是把这些数据重新排列顺序而已： ModeLine <name> <clock> <4 horiz. timings> <4 vert. timings> 如此， 本例中的 Section "Monitor" 中的 ModeLine 应类似下面的形式： Section "Monitor" Identifier "Monitor1" VendorName "Bigname" ModelName "BestModel" ModeLine "1680x1050" 146.2 1680 1784 1960 2240 1050 1053 1059 1089 Option "DPMS" EndSection 经过简单的编辑步骤之后， X 就可以在您的宽屏显示器上启动了。 Murray Stokely 供稿 在 X11 中使用字体 Type1 字体 X11 使用的默认字体不是很理想。 大型的字体显得参差不齐，看起来很不专业， 并且， 在 &netscape; 中， 小字体简直无法看清。 有好几种免费、 高质量的字体可以很方便地用在 X11 中。 例如，URW字体集合 (x11-fonts/urwfonts) 就包括了高质量的 标准 type1 字体 (Times Roman, Helvetica、 Palatino 和其他一些)。 在 Freefont 集合中 (x11-fonts/freefonts) 也包括更多的字体， 但它们中的绝大部分使用在图形软件中，如 Gimp，在屏幕字体中使用并不完美。另外， 只要花很少的功夫，可以将 &xfree86; 配置成能使用 &truetype; 字体：请参见后面的 &truetype; 字体一节。 要安装上面的Type1字体，您只需要运行下面的命令： &prompt.root; cd /usr/ports/x11-fonts/urwfonts &prompt.root; make install clean freefont 或其他的字库和上面所说的大体类似。 为了让 X 服务器能够检测到这些字体， 需要在 X 服务器的配置文件 (/etc/X11/xorg.conf) 中增加下面的配置： FontPath "/usr/local/lib/X11/fonts/URW/" 或者，也可以在命令行运行： &prompt.user; xset fp+ /usr/local/lib/X11/fonts/URW &prompt.user; xset fp rehash 这样会起作用，但是当 X 会话结束后就会丢失， 除非它被添加到启动文件 (~/.xinitrc 中， 针对一个寻常的 startx 会话，或者当您通过一个类似 XDM 的图形登录管理器登录时添加到 ~/.xsession 中)。 第三种方法是使用新的 /usr/local/etc/fonts/local.conf 文件： 查看 anti-aliasing 章节。 &truetype; 字体 TrueType 字体 fonts (字体) TrueType &xorg; 已经内建了对 &truetype; 字体的支持。有两个不同的模块能够启用这个功能。 在这个例子中使用 freetype 这个模块，因为它与其他的字体描绘后端 是兼容的。要启用 freetype 模块，只需要将下面这行添加到 /etc/X11/xorg.conf 文件的 "Module" 部分。 Load "freetype" 现在，为 &truetype; 字体创建一个目录 (比如， /usr/local/lib/X11/fonts/TrueType) 然后把所有的 &truetype; 字体复制到这个目录。记住您不能直接从 &macintosh; 计算机中提取 &truetype; 字体； 能被 X11 使用的必须是 &unix;/&ms-dos;/&windows; 格式的。 一旦您已经将这些文件复制到了这个目录， 就可以用 ttmkfdir 来创建 fonts.dir 文件， 以便让X字体引擎知道您已经安装了这些新文件。 ttmkfdir 可以在 FreeBSD Ports 套件中的 x11-fonts/ttmkfdir 中找到。 &prompt.root; cd /usr/local/lib/X11/fonts/TrueType &prompt.root; ttmkfdir -o fonts.dir 现在把 &truetype; 字体目录添加到字体路径中。 这和上面 Type1 字体的步骤是一样的， 那就是，使用 &prompt.user; xset fp+ /usr/local/lib/X11/fonts/TrueType &prompt.user; xset fp rehash 或者把 FontPath 这行加到 xorg.conf 文件中。 就是这样。现在 &netscape;, Gimp, &staroffice; 和其他所有的 X 应用程序 应该可以认出安装的 &truetype; 字体。一些很小的字体(如在 Web 页面上高分辨率显示的文本) 和一些很大的字体(在 &staroffice; 下) 现在看起来已经很好了。 Joe Marcus Clarke Updated by Anti-Aliased 字体 anti-aliased fonts fonts anti-aliased X11 从 &xfree86; 4.0.2 开始支持字体的反走样。 但是， 字体配置在 &xfree86; 4.3.0 之前是非常繁琐的。 从 &xfree86; 4.3.0 开始， 对于所有支持 Xft 的应用程序， 所有放到 X11 /usr/local/lib/X11/fonts/ 和 ~/.fonts/ 中的字体都自动地被加入反走样支持。 并不是所有的应用程序都支持 Xft， 但已经有相当多的程序提供 Xft 支持了。 支持 Xft 的应用程序包括 Qt 2.3 以及更高版本 (用以开发 KDE 桌面的工具包)、 GTK+ 2.0 和更高版本 (用于开发 GNOME 桌面的工具包)， 以及 Mozilla 1.2 和更高版本。 要控制哪些字体是 anti-aliased，或者配置 anti-aliased 特性， 创建(或者编辑，如果文件已经存在的话)文件 /usr/local/etc/fonts/local.conf。Xft 字体系统的几个 高级特性都可以使用这个文件来调节； 这一部分只描述几种最简单的情况。要了解更多的细节，请查看 &man.fonts-conf.5;. XML 这个文件一定是 XML 格式的。注意确保所有的标签都完全的关闭掉。 这个文件以一个很普通的 XML 头开始， 后跟一个 DOCTYPE 定义， 接下来是 <fontconfig> 标签： <?xml version="1.0"?> <!DOCTYPE fontconfig SYSTEM "fonts.dtd"> <fontconfig> 像前面所做的那样，在 /usr/local/lib/X11/fonts/ 和 ~/.fonts/ 目录下的所有字体已经可以被支持 Xft 的 应用程序使用了。如果您想添加这两个目录以外的其他路径， 简单的添加下面这行到 /usr/local/etc/fonts/local.conf文件中： <dir>/path/to/my/fonts</dir> 添加了新的字体，尤其是添加了新的字体目录后， 您应该运行下面的命令重建字体缓存： &prompt.root; fc-cache -f Anti-aliasing 会让字体边缘有些模糊，这样增加了非常小的文本的可读性， 并从大文本字体中删除 锯齿。 但如果使用普通的文本， 则可能引起眼疲劳。 要禁止 14磅 以下字体的反走样， 需要增加如下配置： <match target="font"> <test name="size" compare="less"> <double>14</double> </test> <edit name="antialias" mode="assign"> <bool>false</bool> </edit> </match> <match target="font"> <test name="pixelsize" compare="less" qual="any"> <double>14</double> </test> <edit mode="assign" name="antialias"> <bool>false</bool> </edit> </match> fonts spacing 用 anti-aliasing 来间隔一些等宽字体也是不适当的。 这似乎是 KDE 的一个问题。 要修复这个问题需要确保每个字体之间的间距保持在100。 加入下面这些行： <match target="pattern" name="family"> <test qual="any" name="family"> <string>fixed</string> </test> <edit name="family" mode="assign"> <string>mono</string> </edit> </match> <match target="pattern" name="family"> <test qual="any" name="family"> <string>console</string> </test> <edit name="family" mode="assign"> <string>mono</string> </edit> </match> (这里把其他普通的修复的字体作为 "mono")，然后加入： <match target="pattern" name="family"> <test qual="any" name="family"> <string>mono</string> </test> <edit name="spacing" mode="assign"> <int>100</int> </edit> </match> 某些字体，比如 Helvetica，当 anti-aliased 的时候可能存在问题。 通常的表现为字体本身似乎被垂直的切成两半。 糟糕的时候，还可能导致应用程序比如 Mozilla 崩溃。 为了避免这样的现象，考虑添加下面几行到 local.conf文件里面： <match target="pattern" name="family"> <test qual="any" name="family"> <string>Helvetica</string> </test> <edit name="family" mode="assign"> <string>sans-serif</string> </edit> </match> 一旦您完成对 local.conf 文件的编辑，确保您使用了 </fontconfig> 标签来结束文件。 不这样做将会导致您的更改被忽略。 X11 默认的字库当使用反走样时会比较难看。 更好的字库可以在 x11-fonts/bitstream-vera port 中找到。 这个 port 会创建一个 /usr/local/etc/fonts/local.conf 文件， 如果这个文件不存在的话。 反之， port 将创建 /usr/local/etc/fonts/local.conf-vera 文件。 将其内容合并到 /usr/local/etc/fonts/local.conf 中， 则 Bitstream 字体将自动地代替默认的 X11 Serif， Sans Serif， 以及单倍距字体。 最后，用户可以通过他们个人的 .fonts.conf 文件来添加自己的设定。 要完成此项工作， 用户只需简单地创建 ~/.fonts.conf 并添加相关配置。 此文件也必须是 XML 格式的。 LCD screen Fonts LCD screen 最后：对于LCD屏幕， 可能希望使用子像素的取样。 简单而言， 这是通过分别控制 (水平方向分开的) 红、绿、蓝 像素， 来改善水平分辨率； 这样做的效果一般会非常明显。 要启用它， 只需在 local.conf 文件的某个地方加入： <match target="font"> <test qual="all" name="rgba"> <const>unknown</const> </test> <edit name="rgba" mode="assign"> <const>rgb</const> </edit> </match> 随您显示器的种类不同， 可能需要把 rgb 改为 bgr、 vrgb 或 vbgr： 试验一下看看那个更好。 Mozilla disabling anti-aliased fonts (禁用反锯齿字体) 在下次启动 X server 时， 反锯齿 (anti-aliasing) 功能就启用了。 不过， 应用程序必须了解如何使用它， 才能因此而受益。 目前 Qt 工具包已经对其提供了全面支持， 因此整个 KDE 环境都能使用反锯齿字体。 GTK+ 和 GNOME 也可以通过 Font capplet 来使用反锯齿功能 (进一步细节请参见 )。 默认情况下， Mozilla 1.2 及更高版本有能力自动使用反锯齿。 要禁用这一特性， 则需要使用指定 -DWITHOUT_XFT 并重新联编 Mozilla。 Seth Kingsley Contributed by X 显示管理器 概要 X Display Manager X 显示管理器(XDM) 是一个X视窗系统用于进行登录会话管理的可选项。 这个可以应用于多种情况下，包括小 X Terminals， 桌面，大网络显示服务器。既然 X 视窗系统不受网络和协议的限制， 那对于通过网络连接起来的运行 X 客户端和服务器端的不同机器， 就会有很多的可配置项。 XDM 提供了一个选择要连接到哪个显示服务器的图形接口， 只要键入如登录用户名和密码这样的验证信息。 您也可以把 XDM 想象成与 &man.getty.8 工具一样(see for details)。为用户提供了同样功能。它可以完成系统的登录任务， 然后为用户运行一个会话管理器 (通常是一个 X 视窗管理器)。接下来 XDM 就等待这个程序退出，发出信号用户已经登录完成，应当退出屏幕。 这时， XDM 就可以为下一个登录用户显示登录和可选择屏幕。 使用 XDM XDM 精灵程序在 /usr/local/bin/xdm 中。您可以在任何时候 用 root 来运行这个程序， 在本地机器上，它将启动管理X的画面。如果要 XDM 每次机器一启动就开始运行， 一个简单的办法是在 /etc/ttys 中加入一个记录。 有关这个文件的更多的格式和使用方法，可以看看 。在默认的 /etc/ttys 文件中用于运行 XDM 守护程序的一行是这样的： ttyv8 "/usr/local/bin/xdm -nodaemon" xterm off secure 默认情况下，这个记录是关闭的，要启用它， 您需要把第5部分的 off 改为 on 然后按照 的指导 重新启动 &man.init.8;。第一部分，这个程序将管理的终端名称是 ttyv8。这意味着 XDM 将运行在第9个虚拟终端上。 配置 XDM XDM 的配置目录是在 /usr/local/lib/X11/xdm中。在这个目录中， 您会看到几个用来改变 XDM 行为和外观的文件。您会找到这些文件： 文件 描述 Xaccess 客户端授权规则。 Xresources 默认的X资源值。 Xservers 远程和本地显示管理列表。 Xsession 用于登录的默认的会话脚本。 Xsetup_* 登录之前用于加载应用程序的脚本。 xdm-config 运行在这台机器上的所有显示的全局配置。 xdm-errors 服务器程序产生的错误。 xdm-pid 当前运行的 XDM 的进程 ID。 当 XDM 运行时， 在这个目录中有几个脚本和程序可以用来设置桌面。 这些文件中的每一个的用法都将被简要地描述。 这些文件的更详细的语法和用法在 &man.xdm.1; 中将有详细描述。 默认的配置是一个矩形的登录窗口，上面有机器的名称， Login: 和 Password:。如果您想设计您自己个性化的 XDM 屏幕，这是一个很好的起点。 Xaccess 用以连接由 XDM 所控制的显示设备的协议， 叫做 X 显示管理器连接协议 (XDMCP)。 这个文件是一组用以控制来自远程计算机的 XDMCP 连接的规则。 除非您修改 xdm-config 使其接受远程连接， 否则其内容将被忽略。 默认情况下， 它不允许来自任何客户端的连接。 Xresources 这是一个默认的用来显示选项和登录屏幕的应用程序文件。 您可以在这个文件中对登录程序的外观进行定制。 其格式与 X11 文档中描述的默认应用程序文件是一样的。 Xservers 这是一个选择者应当提供的作为可选的远程显示列表。 Xsession 这是一个用户登录后针对 XDM 的默认会话脚本。通常，在 ~/.xsession 中每个用户将有一个可定制的会话脚本。 Xsetup_* 在显示选择者或登录接口之前，这些将被自动运行。 这是一个每个显示都要用到的脚本，叫做 Xsetup_， 后面会跟一个本地显示的数字(比如 Xsetup_0)。典型的，这些脚本将在后台 (如 xconsole)运行一个或两个程序。 xdm-config 此文件以应用程序默认值的形式， 提供了在安装时所使用的普适的显示设置。 xdm-errors 这个文件包含了 XDM 正设法运行的的 X 服务器 的输出。 如果 XDM 正设法运行的显示由于某种原因被挂起， 那这是一个寻找错误信息的好地方。 这些信息会在每一个会话的基础上被写到用户的 ~/.xsession-errors 文件中。 运行一个网络显示服务器 对于其他客户端来说， 如果希望它们能连接到显示服务器，您就必须编辑访问控制规则， 并启用连接侦听。 默认情况下， 这些都预设为比较保守的值。 要让 XDM 能侦听连接， 首先要在 xdm-config 文件中注释掉一行： ! SECURITY: do not listen for XDMCP or Chooser requests ! Comment out this line if you want to manage X terminals with xdm DisplayManager.requestPort: 0 然后重新启动XDM。 记住默认应用程序文件的注释以! 字母开始，不是#。 您需要设置严格的访问控制 — 看看在 Xaccess 文件中的实例， 并参考 &man.xdm.1; 的联机手册， 以了解进一步的细节。 替换 XDM 有几个替换默认 XDM程序的方案。 其中之一是 上一节已经描述过的kdm (与 KDE捆绑在一起)。 kdm 提供了许多视觉上的改进和局部的修饰， 同样能让用户在启动时能选择他们喜欢的窗口管理器。 Valentino Vaschetto Contributed by 桌面环境 这节描述了 FreeBSD 上用于 X 的不同桌面环境。 桌面环境 可能仅仅是一个简单的窗口管理器， 也可能是一个像 KDE 或者 GNOME这样的完整桌面应用程序套件。 GNOME 有关 GNOME GNOME GNOME 是一个用户界面友好的桌面环境， 能够使用户很容易地使用和配置他们的计算机。 GNOME 包括一个面板(用来启动应用程序和显示状态)， 一个桌面(存放数据和应用程序的地方)， 一套标准的桌面工具和应用程序， 和一套与其他人相互协同工作的协议集。 其他操作系统的用户在使用 GNOME提供的强大的图形驱动环境时会觉得很好。 更多的关于 FreeBSD 上 GNOME 的信息 可以在 FreeBSD GNOME Project 的网站上找到。 此外， 这个网站也提供了相当详尽的关于安装、 配置和管理 GNOME 的常见问题解答 (FAQ)。 安装 GNOME 这个软件可以很容易地通过预编译包或 Ports 套件来安装： 要从网络安装GNOME， 只要键入： &prompt.root; pkg_add -r gnome2 从源代码编译GNOME，可以使用 ports树： &prompt.root; cd /usr/ports/x11/gnome2 &prompt.root; make install clean 一旦装好了 GNOME， 就必须告诉 X server 启动 GNOME 而不是默认的窗口管理器。 最简单的启动 GNOME 的方法是使用 GDM， GNOME 显示管理器。 随 GNOME 桌面一同安装的 GDM (但默认是禁用的)， 可以通过在 /etc/rc.conf 中加入 gdm_enable="YES" 来启用。 这样在重新启动的时候， GNOME 就会在登录时自动启动 — 除此之外不需要进一步设置了。 GNOME 也可以通过适当地配置名为 .xinitrc 的文件来启动。 如果已经有了自定义的 .xinitrc， 将启动当前窗口管理器的那一行改为启动 /usr/local/bin/gnome-session 就可以了。 如果还没有， 那么只需简单地： &prompt.user; echo "/usr/local/bin/gnome-session" > ~/.xinitrc 接下来输入 startx， GNOME 桌面环境就启动了。 如果之前使用了一些旧式的显示管理器， 例如 XDM， 则这样做是没用的。 此时应建立一个可执行的 .xsession 文件， 其中包含同样的命令。 要完成这项工作， 需要用 /usr/local/bin/gnome-session 取代现有的窗口管理器： &prompt.user; echo "#!/bin/sh" > ~/.xsession &prompt.user; echo "/usr/local/bin/gnome-session" >> ~/.xsession &prompt.user; chmod +x ~/.xsession 还有一种做法， 是配置显示管理器， 以便在登录时提示您选择窗口管理器； 在 KDE 细节 环节中介绍了关于如何为 kdm （KDE 的显示管理器）进行这样的配置。 在GNOME上使用Anti-aliased字体 GNOME anti-aliased fonts X11 通过RENDER扩展来支持 anti-aliasing。 GTK+ 2.0 以及更高的版本(被 GNOME使用的工具包)可以使用这个功能。 配置 anti-aliasing 在 描述。所以，使用最近的软件， anti-aliasing 可以应用在 GNOME桌面环境中。只需要依次选择 应用程序 桌面首选项 字体，然后选上 最佳形状， 最佳对比度，或者 像素圆滑(LCD)。对于 GTK+ 应用程序，它们不是 GNOME 桌面的一部分，在启动程序前需要设置 环境变量GDK_USE_XFT的值为 1。 KDE KDE 有关 KDE KDE 是一个容易使用的现代桌面环境。 KDE 有很多很好的特性： 一个美丽的现代的桌面。 一个集合了完美网络环境的桌面。 一个集成的帮助系统，能够方便、高效地帮助您使用 KDE 桌面和它的应用程序。 所有的KDE应用程序具有一致的所见即所得界面。 标准的菜单和工具栏，键盘布局，颜色配置等。 国际化：KDE 可以使用超过40种语言。 集中化、 统一的对话框驱动的桌面配置 许多有用的 KDE应用程序。 KDE 附带了一个名为 Konqueror 的 web 浏览器， 它是其他运行于 &unix; 系统上的 web 浏览器的一个强大的竞争对手。 要了解关于 KDE 的更多详情， 可以访问 KDE 网站。 与 FreeBSD 相关的 KDE 信息和资源， 可以在 FreeBSD 上的 KDE 团队 的网站找到。 FreeBSD 上提供了两种版本的 KDE。 版本 3 已经推出了很长时间， 十分成熟。 而版本 4， 也就是下一代版本， 也可以通过 Ports 套件来安装。 这两种版本甚至能够并存。 安装 KDE 与 GNOME 和其他桌面环境类似， 这个软件可以很容易地通过预编译包或 Ports 套件来安装： 要从网络安装 KDE3 只需要： &prompt.root; pkg_add -r kde 要从网络安装 KDE4 则需要： &prompt.root; pkg_add -r kde4 &man.pkg.add.1; 就会自动的下载最新版本的应用程序。 要从源代码编译 KDE3， 可以使用 ports 树： &prompt.root; cd /usr/ports/x11/kde3 &prompt.root; make install clean 而从 ports 提供的源代码编译 KDE4， 对应的操作则是： &prompt.root; cd /usr/ports/x11/kde4 &prompt.root; make install clean 安装好 KDE 之后， 还需要告诉X server 启动这个应用程序来代替默认的窗口管理器。 这可以通过编辑 .xinitrc 文件来完成： 对于 KDE3： &prompt.user; echo "exec startkde" > ~/.xinitrc 对于 KDE4： &prompt.user; echo "exec /usr/local/kde4/bin/startkde" > ~/.xinitrc 现在，无论您什么时候用 startx进入 X 视窗系统， KDE 就将成为您的桌面环境。 如果使用一个像 XDM这样的显示管理器， 那配置文件可能有点不同。需要编辑一个 .xsession 文件，有关 kdm 的用法会在这章的后面介绍。 有关 KDE 的更多细节 现在 KDE 已经被安装在系统中了。 通过帮助页面或点击多个菜单可以发现很多东西。 &windows; 或 &mac; 用户会有回到家的感觉。 有关 KDE 的最好的参考资料是 它的在线文档。KDE 拥有它自己的 web 浏览器 Konqueror， 还有很多其他的应用程序和丰富文档。 这节的余下部分将讨论一些很难用走马观花的方法来学习的技术项目。 KDE 显示管理器 KDE display manager 如果在同一系统上有多个用户， 则管理员通常会希望使用图形化的登录界面。 前面已经提到， 使用 XDM 可以完成这项工作。 不过， KDE 本身也提供了另一个选择， 即 kdm， 它的外观更富吸引力， 而且提供了更多的登录选项。 值得一提的是， 用户还能通过菜单很容易地选择希望使用的桌面环境 (KDE、 GNOME 或其它)。 要启用 kdm， 需要修改 /etc/ttys 中的 ttyv8 项。 将其改为类似下面的样子： 对于 KDE3 ttyv8 "/usr/local/bin/kdm -nodaemon" xterm on secure 对于 KDE4 ttyv8 "/usr/local/kde4/bin/kdm -nodaemon" xterm on secure - XFce + Xfce - 有关XFce + 有关Xfce - XFce是以被GNOME + Xfce是以被GNOME 使用的 GTK+ 工具包为基础的桌面环境， 但是更加轻巧，适合于那些需要一个易于使用和配置并且简单而高效的桌面的人。 看起来，它非常像使用在商业&unix;系统上的 CDE环境。 - XFce的主要特性有下面这些： + Xfce的主要特性有下面这些： 一个简单，易于使用的桌面。 完全通过鼠标的拖动和按键来控制等。 与CDE 相似的主面板，菜单，applets和应用launchers。 集成的窗口管理器，文件管理器，声音管理器， GNOME 应用模块等等。 可配置界面的主题。(因为它使用GTK+) 快速，轻便，高效：对于比较老的/旧的机器或带有很少内存的机器仍然很理想。 - 更多有关XFce - 的信息可以参考XFce + 更多有关Xfce + 的信息可以参考Xfce 网站。 - 安装XFce + 安装Xfce - 有一个二进制的XFce + 有一个二进制的Xfce 软件包存在(在写作的时候)。要安装的话，执行下面的命令： &prompt.root; pkg_add -r xfce4 另外，要从源代码建立，使用Ports Collection： &prompt.root; cd /usr/ports/x11-wm/xfce4 &prompt.root; make install clean 现在，要告诉X服务器在下次X启动时执行 - XFce。 + Xfce。 只要执行下面的命令： &prompt.user; echo "/usr/local/bin/startxfce4" > ~/.xinitrc 接下来就是启动 X， - XFce将成为您的桌面。 + Xfce将成为您的桌面。 与以前一样，如果使用像 XDM 这样的显示管理器，需要创建一个 .xsession文件，就像有关 GNOME 的那节描述的， 使用/usr/local/bin/startxfce4 命令，或者，配置显示管理器允许在启动时选择一个桌面， 就像有关kdm的那节描述的。