diff --git a/nl_NL.ISO8859-1/books/handbook/config/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/config/chapter.sgml
index 4b654da3d9..e2b6c14c84 100644
--- a/nl_NL.ISO8859-1/books/handbook/config/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/config/chapter.sgml
@@ -1,3240 +1,3306 @@
ChernLeeGeschreven door MikeSmithNaar een tutorial van MattDillonTevens gebaseerd op tuning(7) door DannyPanstersVertaling door Instellingen en OptimalisatieOverzichtsysteeminstellingensysteemoptimalisatieSysteeminstellingen zijn een belangrijk aspect van &os;.
Correcte instellingen helpen moeilijkheden bij toekomstige
upgrades te voorkomen. In dit hoofdstuk wordt het instellen van
&os; beschreven, alsmede een aantal prestatiebevorderende
maatregelen waarmee een &os; systeem geoptimaliseerd kan
worden.Na het lezen van dit hoofdstuk weet de lezer:Hoe efficiënt om te gaan met bestandssystemen en
wisselpartities;De grondbeginselen van het rc.conf
instellingensysteem en van het opstarten van toepassingen
(diensten) met
/usr/local/etc/rc.d;Hoe een netwerkkaart ingesteld en getest wordt;Hoe virtuele hosts op netwerkapparatuur ingesteld
worden;Hoe de configuratiebestanden in
/etc gebruikt worden;Hoe &os; geoptimaliseerd kan worden met
sysctl variabelen;Hoe schijfprestaties te verbeteren en hoe
kernelbeperkingen gewijzigd kunnen worden.Veronderstelde voorkennis:De &unix; en &os; grondbeginselen () begrijpen;Bekend zijn met de grondbeginselen van kernelinstellingen
en compilatie ().Initiële InstellingenPartitionerenpartitioneren/etc/var/usrBasispartitiesBij het aanmaken van bestandssystemen met
&man.disklabel.8; of &man.sysinstall.8; is het van belang
dat op een harde schijf de data-overdracht het snelst is aan
de buitenste sporen en het langzaamst aan de binnenste.
Kleinere en veelgebruikte bestandssystemen kunnen daarom het
beste aan het begin van de schijf geplaatst worden, terwijl
grotere partities als /usr meer naar het
einde van de schijf geplaatst kunnen worden. Het is een goed
idee om partities aan te maken in deze of gelijksoortige
volgorde: root, swap, /var,
/usr.De grootte van /var
hangt af van de wijze waarop de machine gebruikt gaat worden.
/var wordt gebruikt voor onder meer
mailboxen, logbestanden en printerdata en -wachtrijen.
Mailboxen en logbestanden kunnen onverwacht groot worden,
afhankelijk van het aantal systeemgebruikers en de bewaarduur
van logbestanden. Meestal is minder dan een gigabyte
voldoende. /var/tmp moet wel groot
genoeg moet zijn om packages te kunnen bevatten.De partitie /usr bevat veel van de
benodigde systeembestanden. Die bevat tevens de
&man.ports.7;collectie (aanbevolen) en de broncode
(optioneel). Beide zijn optioneel tijdens de installatie.
Voor deze partitie wordt tenminste 2 gigabyte
aanbevolen.Het is verstandig rekening te houden met de vereiste
schijfruimte bij het kiezen van partitiegroottes. Als in een
partitie onvoldoende vrije schijfruimte is, terwijl een
andere vrijwel niet gebruikt wordt, is dat een vervelend
en niet optimaal oplosbaar probleem.&man.sysinstall.8;'s Auto-defaults
partitiekeuze kan in de ervaring van sommige gebruikers
mogelijk te kleine /var en
/ partities opleveren. Partitioneren
moet verstandig en niet te zuinig gebeuren.
Wisselpartities (swap)swap groottewisselpartitiewisselpartitiegrootteDe vuistregel is dat het wisselbestand ongeveer het
dubbele van de grootte van het systeemgeheugen (RAM) moet
zijn. Als de machine bijvoorbeeld 128 megabytes
geheugen heeft, kan het beste een wisselbestand van
(tenminste) 256 megabytes gebruikt worden. Minder
dan 256 megabytes swap is in dit geval af te raden.
Systemen met weinig geheugen kunnen overigens beter
functioneren met meer swap. Ook is het verstandig rekening
te houden met eventuele geheugenuitbreiding in de toekomst.
Bovendien zijn de VM paging algoritmen van de kernel zo
afgestemd dat ze het beste presteren bij een wisselbestand
van tenminste tweemaal de grootte van het geheugen. Een te
kleine swap kan dus inefficiënties in de VM code tot
gevolg hebben en mogelijk problemen veroorzaken als het
systeemgeheugen uitgebreid wordt.Op grotere systemen met meerdere SCSI schijven (of
meerdere IDE schijven op verschillende controllers) is het
aan te raden om op elke schijf een wisselpartitie in te
stellen (dit kan tot en met vier schijven), elk met ongeveer
dezelfde grootte. De kernel kan met arbitraire groottes
werken, maar interne datastructuren schalen tot viermaal de
grootste swappartitie. De kernel kan de beschikbare ruimte
voor het wisselbestand het meest optimaal indelen als de
partities ongeveer even groot zijn. Een grote swap is prima,
ook als ze zelden gebruikt wordt. Zo kan het gemakkelijker
zijn om een (uit de hand gelopen) proces dat het systeem
grotendeels bezet houdt te beëindigen, voordat er
opnieuw opgestart moet worden.Waarom partitioneren?Waarom niet één enkele grote partitie
gebruiken? Er zijn verscheidene redenen waarom dit niet zo'n
goed idee is. De verschillende partities hebben hun eigen
karakteristieke operationele gedrag en vereisten. Door ze te
scheiden zijn er betere mogelijkheden om het systeem te
optimaliseren. Vanaf de / en
/usr partities wordt bijvoorbeeld vooral
gelezen en er wordt weinig naar geschreven, terwijl er in
/var en /var/tmp
zowel veel gelezen als geschreven wordt.Door een systeem goed te partitioneren wordt vermeden dat
fragmentatie die optreedt in de kleinere partities met veel
schrijfactiviteit doorsijpelt naar partities die vooral
lees-intensief zijn. Door schrijf-intensieve partities aan
het begin van de schijf te plaatsen, zijn de prestaties wat
betreft invoer/uitvoer het beste is daar waar het het
meest nodig is. Ofschoon er natuurlijk ook de best mogelijke
in/uit prestaties wenselijk zijn in de grotere partities,
weegt het plaatsen van deze bestandssystemen aan het begin
van de schijf niet tegen de voordelen van het plaatsen van
/var aan het begin van de schijf (na
root en swap) voor de totale snelheid van het systeem.
Tenslotte zijn er veiligheidsoverwegingen. Een compacte en
nette rootpartitie die vrijwel alleen-lezen is, heeft een
betere kans om een nare crash te overleven.Hoofdinstellingenrc bestandenrc.confDe voornaamste lokatie voor systeeminstellingen is
/etc/rc.conf. Dit bestand bevat een scala
aan instellingen, die gebruikt wordt om het systeem in te stellen
bij het opstarten. De naam impliceert dit al. Het is informatie
voor de rc* bestanden (rc staat voor
resource configuration of
broninstellingen).De systeembeheerder wordt geacht regels toe te voegen aan
rc.conf om de standaardinstellingen uit
/etc/defaults/rc.conf aan te passen. Het
standaardbestand moet niet letterlijk gekopiëerd worden
naar /etc. Het bevat standaardwaardes en is
niet bedoeld als voorbeeld. Alle wijzigingen die specifiek
zijn voor een systeem horen in /etc/rc.conf
thuis.In een clusterscenario is het nuttig om systeemspecifieke
instellingen te scheiden van algemene instellingen die voor het
hele cluster gelden. Hiervoor kunnen een aantal strategieën
worden gebruikt. De aanbevolen benadering is om gedeelde
instellingen in een ander bestand te plaatsen, zoals
/etc/rc.conf.site en dit invoegen in
/etc/rc.conf, wat verder alleen
systeemspecifieke informatie bevat.Aangezien rc.conf gelezen wordt door
&man.sh.1; is dit eenvoudig te bereiken:rc.conf:. rc.conf.site
hostname="node15.example.com"
network_interfaces="fxp0 lo0"
ifconfig_fxp0="inet 10.1.1.1"rc.conf.site:defaultrouter="10.1.1.254"
saver="daemon"
blanktime="100"rc.conf.site kan dan naar elk systeem
gedistribueerd worden met rsync of een
gelijksoortig programma, terwijl rc.conf
uniek blijft.Het actualiseren van het systeem met &man.sysinstall.8;
of make world overschrijft
rc.conf niet, zodat de bestaande
systeeminstellingen niet verloren gaan.Toepassingen InstellingenGeïnstalleerde toepassingen hebben meestal hun eigen
instellingenbestanden, met hun eigen syntaxis, etc. Het is van
belang deze bestanden apart te houden van het basissysteem,
zodat ze makkelijk gelokaliseerd kunnen worden en beheerd kunnen
worden met de hulpmiddelen voor pakketbeheer./usr/local/etcDeze bestanden worden meestal geïnstalleerd in
/usr/local/etc. Als een toepassing een
uitgebreide set bestanden voor instellingen heeft, wordt er een
submap voor aangemaakt.Bij de installatie van een port of package, worden normaliter
ook voorbeeldbestanden met instellingen geïnstalleerd. Deze
zijn doorgaans te herkennen aan een toevoegsel
.default. Als er geen bestaande
instellingenbestanden voor de toepassing zijn, kunnen ze gemaakt
worden door de .default bestanden te
kopiëren.Een voorbeeld is de map
/usr/local/etc/apache:-rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf
-rw-r--r-- 1 root wheel 2184 May 20 1998 access.conf.default
-rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf
-rw-r--r-- 1 root wheel 9555 May 20 1998 httpd.conf.default
-rw-r--r-- 1 root wheel 12205 May 20 1998 magic
-rw-r--r-- 1 root wheel 12205 May 20 1998 magic.default
-rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types
-rw-r--r-- 1 root wheel 2700 May 20 1998 mime.types.default
-rw-r--r-- 1 root wheel 7980 May 20 1998 srm.conf
-rw-r--r-- 1 root wheel 7933 May 20 1998 srm.conf.defaultAan de grootte van de bestanden is te zien dat alleen
srm.conf gewijzigd is. Als later de
Apache port wordt vernieuwd, wordt dit
bestand niet overschreven.TomRhodesBijgedragen door Diensten StartendienstenVeel gebruikers kiezen ervoor om software van derden te
installeren op &os; vanuit de portscollectie. In veel gevallen
is het noodzakelijk om de software dusdanig in te stellen dat
het opstart tijdens het booten. Diensten zoals mail/postfix of www/apache13 zijn slechts twee
voorbeelden van softwarepakketten die gestart kunnen worden
tijdens de systeemstart. In deze paragraaf wordt toegelicht
hoe software van derde partijen kan worden gestart.In &os; worden de meeste diensten, zoals &man.cron.8;, door
de opstartscripts van het systeem gestart. Deze scripts kunnen
verschillen tussen &os; en leverancierversies, echter het meest
belangrijke aspect om in gedachten te houden is dat hun
opstartinstellingen verwerkt kunnen worden door simpele
opstartscripts.Voor de komst van rcNG zetten applicaties simpelweg een
opstartscript in de map /usr/local/etc/rc.d dat dan
uitgelezen werd door de opstartscripts van het systeem. Deze
scripts werden dan uitgevoerd tijdens de laatste stappen van
een systeemstart.Terwijl veel individuen bezig waren om de oude stijl van
instellen naar de nieuwe stijl over te zetten, bleef sommige
software nog steeds een script nodig hebben in de genoemde map.
De subtiele verschillen in de scripts hangen af van het wel of
niet gebruiken van rcNG. Vóór &os; 5.1
werden scripts oude stijl gebruikt en in bijna
alle gevallen voldoet een script nieuwe
stijl.Elk script moet een .sh toegevoegd
hebben aan het einde en elk script moet opstartbaar zijn door
het systeem. Het laatstgenoemde kan bereikt worden met
chmod en door het zetten van de rechten
755. Er zouden ook minimaal de opties
start en stop moeten zijn
voor de applicatie.Het simpelste opstartscript ziet er waarschijnlijk als
volgt uit:#!/bin/sh
echo -n ' utility'
case "$1" in
start)
/usr/local/bin/utility
;;
stop)
kill -9 `cat /var/run/utility.pid`
;;
*)
echo "Usage: `basename $0` {start|stop}" >&2
exit 64
;;
esac
exit 0Dit script levert de opties stop en
start voor de applicatie met de naam
- utility. Deze applicatie zou dan de
- volgende regels in /etc/rc.conf geplaatst
- kunnen hebben:
-
- utility_enable="YES"
+ utility.Dit kan handmatig gestart worden met:&prompt.root; /usr/local/etc/rc.d/utility.sh startHoewel niet alle software van derden een regel nodig heeft
in /etc/rc.conf, wordt er bijna elke
dag een wel een port veranderd om deze instellingen te
ondersteunen. De meldingen tijdens de installatie van de port
bevatten vaak meer informatie. Sommige software
van derden levert opstartscripts die de applicatie kunnen laten
werken met rcNG. Dit wordt in de volgende paragraaf
behandeld.Uitgebreide ApplicatieinstellingenNu &os; rcNG heeft, zijn de instellingen van
applicaties die mee moeten opstarten verbeterd. Er is meer
diepgang in gekomen. Door gebruik te maken van de
sleutelwoorden die in de paragraaf rcNG behandeld worden,
kunnen applicaties nu starten na andere diensten.
DNS kan bijvoorbeeld extra opties
meekrijgen van /etc/rc.conf in plaats
van hard ingestelde opties in het opstartscript. Een
basisscript ziet er ongeveer als volgt uit:#!/bin/sh
#
# PROVIDE: utility
# REQUIRE: DAEMON
# BEFORE: LOGIN
# KEYWORD: FreeBSD shutdown
#
# WIJZIG DEZE WAARDEN NIET HIER
# MAAR IN HET BESTAND /etc/rc.conf
#
utility_enable=${utility_enable-"NO"}
utility_flags=${utility_flags-""}
utility_pidfile=${utility_pidfile-"/var/run/utility.pid"}
. /etc/rc.subr
name="utility"
rcvar=`set_rcvar`
command="/usr/local/sbin/utility"
load_rc_config $name
pidfile="${utility_pidfile}"
start_cmd="echo \"Starting ${name}.\"; /usr/bin/nice -5 ${command} ${utility_flags} ${command_args}"
run_rc_command "$1"Dit script zorgt ervoor dat
utility wordt gestart voor
de dienst login, maar na de dienst
daemon. Het biedt ook de mogelijkheid
voor het instellingen en volgen van het
PID of het process ID
bestand.
+ Voor deze applicatie kan dan de volgende regel in
+ /etc/rc.conf geplaatst worden:
+
+ utility_enable="YES"
+
Deze nieuwe methode maakt het volgende mogelijk:
makkelijker commandoregelopties manipuleren, importeren van
standaardfuncties uit /etc/rc.subr,
compatibiliteit met het &man.rcorder.8; programma en het
eenvoudiger instellingen via
/etc/rc.conf. In essentie kan dit
script zelfs geplaatst worden in de map /etc/rc.d. Dat kan in
potentie wel het &man.mergemaster.8; programma van de wijs
brengen als dat gebruikt wordt voor het bijwerken van
software.Diensten met Diensten StartenAndere diensten, zoals POP3 server
daemons, IMAP, enzovoort, kunnen gestart
worden door gebruik te maken van &man.inetd.8;. Daaraan is
voorafgegaan dat die dienst uit de portscollectie is
geïstalleerd en dat er een regel met instellingen is
toegevoegd aan /etc/inetd.conf of
één van de bestaande niet actieve regels is
geactiveerd. Werken met inetd
en zijn instellingen wordt uitgebreid toegelicht in de
paragraaf over inetd.In sommige gevallen is het handiger om &man.cron.8; te
gebruiken om diensten te starten. Deze aanpak heeft een aantal
voordelen omdat cron start als de eigenaar
van crontab. Dit stelt reguliere
gebruikers in staat om sommige applicaties te starten en te
onderhouden.cron levert een unieke optie: plaats van
een tijdsspecificatie kan @reboot gebruikt
worden. Dit zorgt ervoor dat de taak gestart wordt als
&man.cron.8; gestart wordt, meestal tijdens een
systeemstart.TomRhodesEen bijdrage van cron InstellencroninstellenEen zeer nuttig hulpprogramma in &os; is &man.cron.8;. De
cron daemon draait op de achtergrond en
controleert voortdurend /etc/crontab. Ook
controleert cron de map
/var/cron/tabs, op zoek naar nieuwe
crontab bestanden. Deze
crontab bestanden bevatten informatie over
specifieke taken die cron moet verrichten op
gezette tijden.cron gebruikt twee verschillende soorten
instellingenbestanden: de systeemcrontab en gebruikerscrontabs.
Het enige verschil tussen deze twee formaten is het zesde veld.
In de systeemcrontab is dit de gebruikersnaam die het commando
uitvoert. Hierdoor kunnen met de systeemcrontab commando's als
iedere gebruiker uitgevoerd worden. In een gebruikerscrontab is
het zesde veld het uit te voeren commando en alle commando's
worden uitgevoerd als de gebruiker die de crontab heeft
aangemaakt. Dit is een belangrijke veiligheidsmaatregel.Gebruikerscrontabs geven individuele gebruikers de
mogelijkheid om bepaalde terugkerende taken automatisch te
laten uitvoeren zonder dat root rechten
noodig zijn. Commando's in de crontab van een gebruiker
worden uitgevoerd met de rechten van de eigenaar.root kan ook een gebruikerscrontab
aanleggen. Dit is niet dezelfde als
/etc/crontab (de systeemcrontab). Omdat
er al een systeemcrontab is, is het doorgaans niet nodig om een
gebruikerscrontab voor root te
maken./etc/crontab (de systeemcrontab) ziet er
uit als volgt:# /etc/crontab - root's crontab for &os;
#
# $&os;: src/etc/crontab,v 1.32 2002/11/22 16:13:39 tom Exp $
#
#
SHELL=/bin/sh
PATH=/etc:/bin:/sbin:/usr/bin:/usr/sbin
HOME=/var/log
#
#
#minuut uur mdag maand wdag wie commando
#
#
*/5 * * * * root /usr/libexec/atrun Zoals in de meeste &os; instellingenbestanden gaat het
karakter # vooraf aan commentaar.
Commentaar wordt gebruikt als uitleg en geheugensteun.
Commentaar dient niet vermengd te worden met commando's,
anders wordt het commentaar opgevat als deel van het
commando. Blanco regels worden genegeerd.Eerst worden omgevingsvariabelen gedefiniëerd.
Hoervoor wordt het is-gelijk karakter (=)
gebruikt. In het bovenstaande voorbeeld wordt het gebruikt
voor de variabelen SHELL, PATH
en HOME. Als de regel SHELL
ontbreekt, gebruikt cron standaard
sh als shell. Voor de omgevingsvariabele
PATH bestaat geen standaardwaarde. Als
PATH ontbreekt moeten absolute paden
gebruikt worden. Als HOME ontbreekt, gebruikt
cron de thuismap van de de gebruiker die
cron aanroept.In deze commentaarregel staan de zeven velden van een
crontabdefinitie. Dit zijn minuut,
uur, mdag,
maand, wdag,
wie en commando. De
betekenissen liggen voor de hand: minute
is het aantal minuten van het tijdstip waarop het commando
moet worden uitgevoerd; hour geeft het uur
aan; mdag staat voor de dag van de maand;
maand staat voor het maandnummer en
wdag geeft de dag van de week aan. Het
veld wie is bijzonder en bestaat alleen in
/etc/crontab. Het geeft aan als welke
gebruiker het commando uitgevoerd moet worden. Een gebruiker
die zijn eigen crontab installeert,
heeft deze optie niet. Het veld command
bevat het uit te voeren commando.In deze regel worden aan de hierboven besproken opties
waarden toegekend. Er wordt gebruik gemaakt van
*/5 en * karakters.
Deze betekenen eerst-laatst en kunnen gezien
worden als telkens. In deze regel staat
dus dat het commando atrun elke vijf
minuten moet worden uitgevoerd door
root, ongeacht welke dag of maand het
is. Meer informatie over atrun staat in
&man.atrun.8;.Commando's kunnen een willekeurig aantal opties of
argumenten meekrijgen. Als commando's echter meerdere regels
nodig hebben moeten deze regels afgebroken worden met een
backslash \ karakter, om aan te geven dat ze
op de volgende regel vervolgd worden.Dit is de basisopzet voor elk crontab
bestand. De enige uitzondering is de aanwezigheid van veld zes,
waar de gebruikersnaam wordt aangegeven. Dit veld bestaat alleen
in het systeembestand /etc/crontab. Voor
crontabbestanden van individuele gebruikers
moet dit veld worden weggelaten.Een Crontab InstallerenDe onderstaande procedure moet niet gebruikt worden om de
systeemcrontab te wijzigen of te installeren. Er kan een
gewone editor gebruikt worden. cron
ziet dat het bestand veranderd is en begint direct met het
gebruiken van de nieuwe versie. Deze
FAQ vraag geeft verdere uitleg.Om een nieuwe crontab te installeren
moet eerst een bestand in het juiste formaat gemaakt worden en
daarna moet het geiuml;nstalleerd worden met
crontab commando:&prompt.root; crontab crontabbestandIn dit voorbeeld is crontabbestand de
naam van een eerder gemaakt
crontabbestand.Er bestaat ook een optie om een lijst van
geïnstalleerde crontab bestanden op
te vragen, namelijk de optie van
crontab.Gebruikers die hun eigen crontabbestand willen schrijven
zonder het gebruik van een sjabloon, kunnen gebruik maken van
crontab -e. Dit opent de
EDITOR met een leeg bestand. Als het bestand
wordt opgeslagen en de editor wordt afgesloten, wordt het
bestand automatisch als crontab
geïnstalleerd.Een gebruikerscrontab kan verwijderd
worden door de met crontab de optie
te gebruiken.TomRhodesEen bijdrage van Gebruik van rc met &os; 5.XrcNG&os; gebruikt inmiddels het NetBSD rc.d
systeem bij het opstarten van het systeem. Veel van de bestanden
in /etc/rc.d zijn scripts voor basisdiensten
die werken met de opties ,
en , analoog aan
hoe diensten die via een port of package zijn geïnstalleerd
gestart worden met de scripts in
/usr/local/etc/rc.d. &man.sshd.8; kan
bijvoorbeeld als volgt herstart worden:&prompt.root; /etc/rc.d/sshd restartDeze procedure is vrijwel gelijk voor andere diensten.
Uiteraard worden diensten meestal automatisch gestart zoals
in &man.rc.conf.5; staat. Om de Network Address Translation
daemon bij het opstarten te laten starten is de volgende regel in
/etc/rc.conf bijvoorbeeld voldoende:natd_enable="YES"Als er reeds een natd_enable="NO" regel
is, kan NO gewoon in YES
veranderd worden. De rc scripts starten, voor zover nodig,
automatisch andere afhankelijke diensten.Omdat het rc.d systeem in eerste
instantie bedoeld is om diensten te starten en stoppen bij het
opstarten en afsluiten van het systeem, werken de standaardopties
, en
alleen als de juiste variabelen in
/etc/rc.conf zijn ingesteld. Het commando
sshd restart alleen dan als
sshd_enable de waarde YES
heeft in /etc/rc.conf. Als er een service
gestart, gestopt of herstart moet worden, ongeacht de definities
in /etc/rc.conf, moet het commando
voorafgegaan worden door force. Dus om
sshd te herstarten ongeacht
/etc/rc.conf setting, voldoet het volgende
commando:&prompt.root; /etc/rc.d/sshd forcerestartHet is eenvoudig te controleren of een dienst is ingeschakeld
is in /etc/rc.conf door het bijpassende
rc.d script uit te voeren met de optie
. Voor sshd:&prompt.root; /etc/rc.d/sshd rcvar
# sshd
$sshd_enable=YESDe tweede regel (# sshd) is de
uitvoer van sshd, geen
root console.De optie wordt gebruikt om vast te
stellen of een dienst gestart is. Om bijvoorbeeld te controleren
of sshd gestart is:&prompt.root; /etc/rc.d/sshd status
sshd is running as pid 433.Het is ook mogelijk om een dienst te herladen met de optie
. Dan wordt er getracht een signaal te
sturen aan een individuele dienst, waarbij de dienst de bestanden
met instellingen opnieuw in moet lezen. Meestal komt dit neer
op het verzenden van het signaal
SIGHUP signaal.De structuur van rcNG wordt niet
alleen gebruikt voor netwerkdiensten, maar ook voor het merendeel
van de systeemstart. In dit kader is bijvoorbeeld het bestand
bgfsck interessant. Als dit script wordt
uitgevoerd, wordt de volgende boodschap getoond:Starting background file system checks in 60 seconds.Dit script wordt dus gebruikt voor bestandssysteemcontrole
in de achtergrond, hetgeen alleen tijdens de systeemstart
gebeurt.Veel systeemdiensten zijn afhankelijk van andere diensten om
correct te kunnen functioneren. Zo starten NIS en andere
RPC-gebaseerde diensten niet als de rpcbind
(portmapper) dienst nog niet draait. Om dit te stroomlijnen
wordt informatie over afhankelijkheden en andere meta-data
ingevoegd in het commentaar bovenaan het opstartscript. Deze
commentaarregels worden vervolgens tijdens de systeemstart
met &man.rcorder.8; verwerkt om zo vast te stellen in welke
volgorde de systeemdiensten gestart moeten worden. De volgende
sleutelwoorden kunnen worden opgenomen aan het begin van elk
opstartscript:PROVIDE: geeft aan in welke diensten
dit bestand voorziet.REQUIRE: geeft aan welke andere
diensten vereist zijn voor deze dienst. Dit script wordt
uitgevoerd na de aangegeven
diensten.BEFORE: geeft diensten aan die
afhankelijk zijn van deze dienst. Dit bestand wordt
uitgevoerd vóór de
aangegeven diensten.KEYWORD: &os; of NetBSD. Dit wordt gebruikt voor
speciale eigenschappen van één van de
*BSD's.Met deze methode kan een systeembeheerder gemakkelijk
systeemdiensten besturen, zonder gedoe met
runlevels zoals bij sommige andere &unix;
systemen.Meer informatie over het &os; 5.X rc.d
staat in &man.rc.8; en &man.rc.subr.8;.MarcFonvieilleEen bijdrage van Netwerkkaarten InstellennetwerkkaarteninstellenHet is tegenwoordig nauwelijks voorstelbaar dat een computer
geen netwerkverbinding heeft. Het toevoegen en instellen van
een netwerkkaart is een gebruikelijke taak voor een &os;
beheerder.Het Juiste Stuurprogramma VindennetwerkkaartenstuurprogrammaVoor het zoeken begint, moet duidelijk zijn om welke kaart
het gaat, welke chip erop zit en of het een PCI of ISA kaart
is. &os; ondersteunt vele kaarten. Op de Hardware
Compatibiliteitslijst voor de betreffende release om staan de
kaarten die ondersteund worden.Als duidelijk is dat een kaart ondersteund wordt, moet
vastgesteld worden wat het geschikte stuurprogramma is.
- In /usr/src/sys/i386/conf/LINT (4.X) of
- /usr/src/sys/conf/NOTES staat een
- lijst van stuurprogramma's voor netwerkinterfaces met wat
- informatie over de ondersteunde chipsets of kaarten. In geval
- van twijfel biedt de hulppagina voor het stuurprogramma
- (man) vaak uitkomst. In het algemeen bevat
- deze meer informatie over de ondersteunde hardware en mogelijke
- problemen die kunnen optreden.
+ In het bestand /usr/src/sys/conf/NOTES
+ (/usr/src/sys/arch/conf/LINT
+ voor &os; 4.X) staat een lijst van stuurprogramma's voor
+ netwerkinterfaces met wat informatie over de ondersteunde
+ chipsets of kaarten. In geval van twijfel biedt de hulppagina
+ voor het stuurprogramma (man) vaak uitkomst.
+ In het algemeen bevat deze meer informatie over de ondersteunde
+ hardware en mogelijke problemen die kunnen optreden.
+
+
+ NOTES bestaat niet op &os; 4.X.
+ In plaats daarvan kan in het bestand
+ LINT informatie gevonden worden over een
+ groot aantal netwerkkaarten. In staan meer details over
+ NOTES versus
+ LINT.
+ Als een veelgebruikte kaart gebruikt wordt, hoeft meestal
niet ver gezocht te worden. Stuurprogramma's voor
veelvoorkomende netwerkinterfaces al aanwezig in de algemene
GENERIC kernel. In dat geval wordt zo'n
al gevonden worden bij het opstarten, bijvoorbeeld met het
volgende bericht:dc0: <82c169 PNIC 10/100BaseTX> port 0xa000-0xa0ff mem 0xd3800000-0xd38
000ff irq 15 at device 11.0 on pci0
dc0: Ethernet address: 00:a0:cc:da:da:da
miibus0: <MII bus> on dc0
ukphy0: <Generic IEEE 802.3u media interface> on miibus0
ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto
dc1: <82c169 PNIC 10/100BaseTX> port 0x9800-0x98ff mem 0xd3000000-0xd30
000ff irq 11 at device 12.0 on pci0
dc1: Ethernet address: 00:a0:cc:da:da:db
miibus1: <MII bus> on dc1
ukphy1: <Generic IEEE 802.3u media interface> on miibus1
ukphy1: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, autoIn dit voorbeeld zitten er twee kaarten in het systeem die
het stuurprogramma &man.dc.4; gebruiken.
- Pas als het juiste stuurprogramma geladen is, kan de
- netwerkkaart gebruikt worden. Dit kan op twee manieren.
- Het eenvoudigste is om met &man.kldload.8; een kernelmodule
- voor de kaart te laden . Maar voor sommige NIC
- stuurprogramma's (bijvoorbeeld ISA kaarten en sommige kaarten
- die het stuurprogramma &man.ed.4; gebruiken) is er geen module.
- Ondersteuning voor een kaart kan ook in de kernel gecompileerd
- worden. In /usr/src/sys/i386/conf/LINT
- (4.X) of /usr/src/sys/conf/NOTES (5.X) en
- de hulppagina van het stuurprogramma is na te lezen wat er in
- het kernelinstellingenbestand moet staan. In staat meer informatie over het
- compileren van een eigen kernel. Als een netwerkkaart al bij
- het opstarten wordt herkend door de
- GENERIC, is er geen reden om een andere
- kernel te bouwen.
+ Als het stuurprogramma voor een NIC geen onderdeel is van
+ de GENERIC kernel, dan dient het juiste
+ stuurprogramma voor die NIC geladen te worden. Dit kan op twee
+ manieren:
+
+
+
+ De meest eenvoudige manier is het laden van een
+ kernelmodule voor een netwerkkaart met &man.kldload.8;.
+ Niet alle NIC stuurprogramma's zijn als module beschikbaar.
+ Zo zijn er bijvoorbeeld geen modules beschikbaar voor ISA
+ kaarten.
+
+
+
+ Ondersteuning voor een kaart kan ook in de kernel
+ gecompileerd worden. In
+ /usr/src/sys/conf/NOTES,
+ /usr/src/sys/arch/conf/NOTES
+ en de hulppagina van het stuurprogramma is na te lezen wat
+ er in het kernelinstellingenbestand moet staan. In staat meer informatie over het
+ compileren van een eigen kernel. Als een netwerkkaart al
+ bij het opstarten wordt herkend door de
+ GENERIC kernel, is er geen reden om
+ een andere kernel te bouwen.
+
+ De Netwerkkaart InstellennetwerkkaarteninstellenNadat een geschikt stuurprogramma geladen is, moet de kaart
nog ingestelt worden. Mogelijk is dit al gebeurd door
sysinstall tijdens de
installatie.Om de instellen van de netwerkkaarten weer te geven
zien:&prompt.user; ifconfig
dc0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
inet 192.168.1.3 netmask 0xffffff00 broadcast 192.168.1.255
ether 00:a0:cc:da:da:da
media: Ethernet autoselect (100baseTX <full-duplex>)
status: active
dc1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
inet 10.0.0.1 netmask 0xffffff00 broadcast 10.0.0.255
ether 00:a0:cc:da:da:db
media: Ethernet 10baseT/UTP
status: no carrier
lp0: flags=8810<POINTOPOINT,SIMPLEX,MULTICAST> mtu 1500
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
inet 127.0.0.1 netmask 0xff000000
tun0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500Op oudere versies van of &os; moet volgens
&man.ifconfig.8; misschien de optie
gebruikt worden. In &man.ifconfig.8;zijn meer details over
de syntaxis te lezen. In dit voorbeeld is de uitvoer over
IPv6 (inet6 etc.) achterwege
gelaten.In dit voorbeeld werden de volgende apparaten
weergegeven:dc0: de eerste Ethernet
interface;dc1: de tweede Ethernet
interface;lp0: de parallelle poort
interface;lo0: het loopback
apparaat;tun0: het tunnelapparaat
gebruikt door ppp.&os; gebruikt de naam van het stuurprogramma gevolgd door
een nummer voor de volgorde waarop de kaarten gedetecteerd zijn
bij het opstarten. sis2 is de derde
netwerkkaart in het systeem die het stuurprogramma &man.sis.4;
gebruikt.In het vorige voorbeeld is het apparaat
dc0 volledig operationeel. Dit blijkt
uit de volgende indicatoren:UP betekent dat de kaart
geconfigureerd is en klaar voor gebruik;De kaart heeft een Internet (inet)
adres (in dit geval 192.168.1.3);Het heeft een geldig subnetmasker
(netmask; 0xffffff00 is hetzelfde als
255.255.255.0);Het heeft een geldig broadcastadres (in dit geval,
192.168.1.255);Het MAC adres van de kaart (ether)
is 00:a0:cc:da:da:da;De fysieke mediaselectie staat in autoselectiemodus
(media: Ethernet autoselect (100baseTX
<full-duplex>)).
dc1 is ingesteld om met
10baseT/UTP media te werken. Meet
informatie over de mogelijke media types staan in de
hulppagina's voor het betreffende stuurprogramma.De status van de link (status)
is active, dat wil zeggen dat de drager
is gevonden. Bij dc1staat echter
status: no carrier. Dit is normaal als
er geen ethernet kabel in de kaart gestoken is.Als de uitvoer &man.ifconfig.8; uitvoer er ongeveer zoals
hieronder uitziet, dan is de netwerkkaart nog niet
ingesteld:dc0: flags=8843<BROADCAST,SIMPLEX,MULTICAST> mtu 1500
ether 00:a0:cc:da:da:daOm de kaart te instellen zijn root
rechten nodig. De netwerkkaart van vanaf de console worden
ingesteld met &man.ifconfig.8;, maar dan moet dat na elke
herstart herhaald worden. Daarom wordt het vrijwel altijd in
/etc/rc.conf gezet.In /etc/rc.conf moet voor elke
netwerkkaart in een systeem een regel toegevoegd worden. In
het huidige voorbeeld zou dat het volgende kunnen zijn:ifconfig_dc0="inet 192.168.1.3 netmask 255.255.255.0"
ifconfig_dc1="inet 10.0.0.1 netmask 255.255.255.0 media 10baseT/UTP"dc0, dc1,
enzovoort, moeten vervangen worden door de correcte
stuurprogramma's voor de netwerkkaarten, zo ook de
IP adressen. In de handleiding van het
stuurprogramma en van &man.ifconfig.8; staan meer details over
de mogelijke opties en in &man.rc.conf.5; staat meer informatie
over /etc/rc.conf.Als het netwerk al geconfigureerd is tijdens het
installeren van &os; staan er al enkele regels met betrekking
tot de netwerkkaart(en) in /etc/rc.conf.
Het is dus handig /etc/rc.conf te
controleren voordat er regels toegevoegd worden.Ook /etc/hosts moet worden gewijzigd
om de namen en IP adressen van
verschillende machines op het lokale netwerk, als ze er nog
niet in staan. Meer informatie staat in &man.hosts.5; en
/usr/share/examples/etc/hosts.Testen en Problemen OplossingAls de veranderingen in /etc/rc.conf
zijn gemaakt, moet het systeem opnieuw gestarten worden (of
moeten nauwkeurig alle daemons gestart of herstart worden).
Veranderingen aan de interface(s) worden dan toegepast en dan
kan er controleerd worden of herstarten goed werkt zonder
foutmeldingen.Als de kaart werkt, maar de performance is slecht, dan kan
het de moeite waard zijn om &man.tuning.7; door te nemen.
Incorrecte netwerkinstellingen kunnen ook tot langzame
verbindingen leiden.Soms kunnen enkele device timeouts
optreden. Met sommige kaarten is dit normaal gedrag. Maar als
dit continu gebeurd of storend is, is het verstandig uit te
zoeken of er geen sprake is van een hardwareconfict tussen de
netwerkkaart en een ander apparaat Ook dient nogmaals de
bekabeling gecontroleer te worden. Misschien zit er niets
anders op dan een andere netwerkkaart te gebruiken.Het is ook mogelijk dat er watchdog
timeout foutmeldingen optreden. Als eerste moet
dan de netwerkkabel fecontroleerd worden. Veel kaarten hebben
een PCI slot nodig dat Bus Mastering ondersteunt. Sommige
oudere moederborden hebben maar één PCI slot
waarmee dit kan (meestal slot 0). In de documentatie van de
netwerkkaart en het moederbord is na te gaan of dit het
probleem is.No route to host meldingen treden op
als het systeem niet in staat is om een pakket naar de
eindbestemming te routeren. Dit kan gebeuren als er geen
standaardroute aangegeven is of als er een kabel niet verbonden
is. De uitvoer van netstat -rn moet
gecontroleerd worden en of er een geldige route is naar de
bestemming. Mocht dit niet het geval zijn, dan staat er meer
informatie in .ping: sendto: Permission denied
foutmeldingen worden vaak veroorzaakt door een verkeerd
ingestelde firewall. Als de kernel ipfw
activeert bij het opstarten zonder dat er firewallregels zijn
gedefiniëerd, is het standaardbeleid om alle verkeer te
weigeren, zelfs pings! In staat
meer informatie.Er kan ook sprake zijn van onvoldoende prestaties doordat
de mediaselectie instelling niet optimaal is. In dergelijke
gevallen is het mogelijk om de mediaselectie niet als
autoselect in te stellen, maar expliciet
aan te geven wat de mediaselectie moet zijn, bijvoorbeeld
10baseT/UTP voor twisted pair. Hoewel dit voor de meeste
hardware helpt, kan het zijn dat de problemen blijven.
Dan moeten nogmaals de netwerkinstellingen gecontroleerd worden
en geeft de &man.tuning.7; handleiding wellicht meer
informatie.Virtuele Hostsvirtuele hostsIP aliassen&os; wordt veel gebruikt voor virtuele sitehosting, waarbij
één fysieke server er op het netwerk uitziet alsof
het meerdere servers zijn. Dit kan bereikt worden door meerdere
IP adressen toe te kennen aan dezelfde
interface.Een bepaalde netwerkinterface heeft een echt
adres en kan daarnaast een willekeurig aantal
alias adressen hebben. Normaliter worden
dergelijke aliassen toegevoegd door aliasregels toe te voegen aan
/etc/rc.conf.Een aliasregel voor de interface
fxp0 ziet er zo uit:ifconfig_fxp0_alias0="inet xxx.xxx.xxx.xxx netmask xxx.xxx.xxx.xxx"De aliasregels moeten beginnen met alias0
en moete elkaar dan opvolgen (bijvoorbeeld
_alias1,, _alias2,
enzovoort). Het instelproces stopt als er een nummer
ontbreekt.Het is belangrijk dat aliassen het juiste netmasker hebben.
Dit is eenvoudig: Een bepaalde interface moet altijd
één adres hebben dat het netmasker van het netwerk
correct representeert. Elk ander adres binnen dit netwerk op
deze interface (alias) moet een netmasker van allemaal
1'en (bits) hebben (getoond als 255.255.255.255 of 0xffffffff).Een voorbeeld. Stel de fxp0
interface is verbonden met twee netwerken, het 10.1.1.0 netwerk met masker 255.255.255.0 en het 202.0.75.16 met netmasker 255.255.255.240. Het systeem moet ook
de adressen 10.1.1.1 tot en met
10.1.1.5 en 202.0.75.17 tot en met 202.0.75.20 krijgen. Zoals hierboven
vermeld, heeft alleen het eerste adres in een netwerkreeks (in
dit geval 10.0.1.1 en 202.0.75.17) een geldig netmasker. Alle
overige (10.1.1.2 tot en met
10.1.1.5 en 202.0.75.18 tot en met 202.0.75.20) moeten ingesteld worden met
het netmasker 255.255.255.255.Dit kan als volgt: ifconfig_fxp0="inet 10.1.1.1 netmask 255.255.255.0"
ifconfig_fxp0_alias0="inet 10.1.1.2 netmask 255.255.255.255"
ifconfig_fxp0_alias1="inet 10.1.1.3 netmask 255.255.255.255"
ifconfig_fxp0_alias2="inet 10.1.1.4 netmask 255.255.255.255"
ifconfig_fxp0_alias3="inet 10.1.1.5 netmask 255.255.255.255"
ifconfig_fxp0_alias4="inet 202.0.75.17 netmask 255.255.255.240"
ifconfig_fxp0_alias5="inet 202.0.75.18 netmask 255.255.255.255"
ifconfig_fxp0_alias6="inet 202.0.75.19 netmask 255.255.255.255"
ifconfig_fxp0_alias7="inet 202.0.75.20 netmask 255.255.255.255"Instellingenbestanden/etc layoutInstellingengegevens wordt in een aantal mappen bewaard.
Daar zijn onder andere:/etcGenerieke systeeminstellingenbestanden, specifiek
voor het systeem./etc/defaultsDe standaardversies van
systeeminstellingenbestanden die gebruikt worden als er
geen in /etc staat./etc/mailExtra &man.sendmail.8; instellingenbestanden of
instellingenbestanden voor andere MTAs.
/etc/pppInstellingen voor zowel user- als kernel-ppp
programma's./etc/namedbStandaardlocatie voor &man.named.8; gegevens.
Normaal gesproken bevinden zich hier
named.conf en
zonebestanden./usr/local/etcInstellingenbestanden voor geïnstalleerde
software. Kan submappen hebben waarin bij elkaar
horende instellingengegevens van een applicatie
gegroepeerd zijn./usr/local/etc/rc.dStart en stop scripts voor geïnstalleerde
diensten./var/dbAutomatisch gemaakte systeemspecifieke
databasebestanden, zoals de packagedatabase, de
&man.locate.1; database, enzovoort.HostnamenhostnaamDNS/etc/resolv.confresolv.confIn /etc/resolv.conf wordt
voorgeschreven op welke wijze &os; het Domain Name System
(DNS) moet gebruiken.De meest voorkomende termen in
resolv.conf zijn:nameserverHet IP adres van een
naamserver die ondervraagd moet worden voor
naam/IP conversie. De servers
worden in volgorde geprobeerd en het maximale aantal
is drie.searchZoeklijst voor het opzoeken van hostnamen.
Meestal wordt deze bepaald door het domein waarop de
lokale hostnaam zich bevindt.domainDe lokale domeinnaam.Een typisch resolv.conf
bestand:search example.com
nameserver 147.11.1.11
nameserver 147.11.100.30search en domain
dienen niet tegelijk gebruikt te worden.Als DHCP wordt gebruikt: &man.dhclient.8; overschrijft
meestal resolv.conf met informatie
ontvangen van de DHCP server./etc/hostshosts/etc/hosts is een eenvoudige
tekstdatabase uit de dagen van het oude internet. Het werkt
samen met DNS en NIS om namen en IP
adressen over en weer te vertalen. Lokale computers,
verbonden via een LAN, kunnen hier het beste in opgenomen
worden om zo op simpele wijze naam/IP
conversie voor een LAN te hebben, zonder noodzaak voor een
&man.named.8; server. Ook kunnen naamaliassen toegekend
worden (vergelijkbaar met CNAMES bij DNS). Op soortgelijke
wijze kan /etc/hosts gebruikt worden als
een (zeer beperkte) lokale DNS cache.
# $&os;$
#
# Host Database
# Dit bestand hoort de adressen en aliassen te bevatten
# voor de lokale hosts die dit bestand gebruiken.
# Bij gebruik van DNS of NIS hoeft dit bestand helemaal niet gebruikt
# te worden. Zie /etc/nsswitch.conf voor de volgorde van resolutie.
#
#
::1 localhost localhost.my.domain myname.my.domain
127.0.0.1 localhost localhost.my.domain myname.my.domain
#
# Verzonnen netwerk.
#10.0.0.2 myname.my.domain myname
#10.0.0.3 myfriend.my.domain myfriend
#
# Volgens RFC 1918 mogen de volgende IP netwerken gebruikt worden
# als private netwerken die niet met internet verbonden zijn:
#
# 10.0.0.0 - 10.255.255.255
# 172.16.0.0 - 172.31.255.255
# 192.168.0.0 - 192.168.255.255
#
# Als er toch verbinding moet zijn met internet, zijn echte
# officieel toegewezen nummers nodig. Probeer ECHT GEEN eigen
# netwerknummers te verzinnen, maar vraag ze op bij de provider
# (als die er is) of bij de Internet Registry (ftp naar
# rs.internic.net, map `/templates').
#/etc/hosts heeft als formaat:[Internet address] [official hostname] [alias1] [alias2] ...Bijvoorbeeld:10.0.0.1 myRealHostname.example.com myRealHostname foobar1 foobar2In &man.hosts.5; staat meer informatie.Logboekbestanden Instellenlogboekbestandensyslog.confsyslog.confsyslog.conf is het
instellingenbestand voor het programma &man.syslogd.8;. Het
geeft aan welke soorten syslog berichten
er gelogd moeten worden en naar welke logboekbestanden,
apparaten, gebruikers of machines.# $&os;$
#
# Spaties zijn TOEGESTAAN als veldscheiding in dit bestand.
# Maar andere *nix-achtige systemen eisen nog steeds het gebruik
# van tabs als veldscheiding. Als dit bestand gedeeld wordt met
# andere systemen, is het verstandig alle tabs als veldscheiding
# te gebruiken.
# Zie ook de handleding van syslog.conf(5).
*.err;kern.debug;auth.notice;mail.crit /dev/console
*.notice;kern.debug;lpr.info;mail.crit;news.err /var/log/messages
security.* /var/log/security
mail.info /var/log/maillog
lpr.info /var/log/lpd-errs
cron.* /var/log/cron
*.err root
*.notice;news.err root
*.alert root
*.emerg *
# verwijder het commentaarkarakter om alle schrijfacties naar
# /dev/console naar /var/log/console.log te schrijven.
#console.info /var/log/console.log
# verwijder het commentaarkarakter om alle berichten naar
# /var/log/all.log te schrijven.
#*.* /var/log/all.log
# # verwijder het commentaarkarakter om alle liggen naar een andere
# host in te schakelen met de naam loghost.
#*.* @loghost
# # verwijder het commentaarkarakter als inn draait.
# news.crit /var/log/news/news.crit
# news.err /var/log/news/news.err
# news.notice /var/log/news/news.notice
!startslip
*.* /var/log/slip.log
!ppp
*.* /var/log/ppp.logIn &man.syslog.conf.5; staat meer informatie.newsyslog.confnewsyslog.confnewsyslog.conf is het
instellingenbestand voor &man.newsyslog.8;, een programma
dat op gezette tijden via &man.cron.8; wordt uitgevoerd.
&man.newsyslog.8; stelt vast wanneer logboekbestanden
gearchiveerd moeten worden of anderszins opnieuw gerangschikt
moeten worden. logfile wordt hernoemd
naar logfile.0,
logfile.0
naar logfile.1, enzovoort.newsyslog.conf geeft aan welke
logboekbestanden beheerd moeten worden, hoeveel er in
archieven bewaard moeten worden en wanneer ze aangemaakt
moeten worden. Logboekbestanden kunnen gereorganiseerd en/of
gearchiveerd worden als ze een bepaalde grootte bereikt
hebben of op een bepaald periodiek tijdstip of een bepaalde
datum.# configuration file for newsyslog
# $&os;$
#
# filename [owner:group] mode count size when [ZB] [/pid_file] [sig_num]
/var/log/cron 600 3 100 * Z
/var/log/amd.log 644 7 100 * Z
/var/log/kerberos.log 644 7 100 * Z
/var/log/lpd-errs 644 7 100 * Z
/var/log/maillog 644 7 * @T00 Z
/var/log/sendmail.st 644 10 * 168 B
/var/log/messages 644 5 100 * Z
/var/log/all.log 600 7 * @T00 Z
/var/log/slip.log 600 3 100 * Z
/var/log/ppp.log 600 3 100 * Z
/var/log/security 600 10 100 * Z
/var/log/wtmp 644 3 * @01T05 B
/var/log/daily.log 640 7 * @T00 Z
/var/log/weekly.log 640 5 1 $W6D0 Z
/var/log/monthly.log 640 12 * $M1D0 Z
/var/log/console.log 640 5 100 * ZIn &man.newsyslog.8; staat meer informatie.sysctl.confsysctl.confsysctlsysctl.conf lijkt veel op
rc.conf. Waardetoekenning heeft weer de
vorm variable=value. De ingestelde
&man.sysctl.8; waarden worden doorgevoerd op het moment dat het
systeem naar multi-user modus gaat. Niet alle variabelen
kunnen in deze modus gewijzigd worden.Hieronder staat een voorbeeld van
sysctl.conf waarin het loggen van gevallen
waarin een proces beëindigd wordt ten gevolge van een
fataal signaal (bijv. een TERM signaal of een exitcode van een
programma dat crasht) wordt uitgezet en waarin de &linux;
emulatielaag zodanig wordt ingesteld dat een &linux; programma
ook echt rapporteert dat het onder &os; draait:kern.logsigexit=0 # Do not log fatal signal exits (e.g. sig 11)
compat.linux.osname=&os;
compat.linux.osrelease=4.3-STABLEOptimaliseren met sysctlsysctloptimaliseringmet sysctl&man.sysctl.8; is een interface waarmee veranderingen gemaakt
kunnen worden aan een draaiend &os; systeem. Er zijn onder meer
vele geavanceerde opties voor de TCP/IP stack
en het virtuele geheugensysteem, waarmee een ervaren
systeembeheerder de systeemprestaties drastisch kan verbeteren.
Met &man.sysctl.8; kunnen meer dan vijfhonderd ststeemvariabelen
opgevraagd en ingesteld worden.In essentie heeft &man.sysctl.8; twee funkties: het lezen en
wijzigen van systeeminstellingen.Om alle leesbare variabelen te tonen:&prompt.user; sysctl -aOm een bepaalde variabele op te vragen, bijvoorbeeld
kern.maxproc:&prompt.user; sysctl kern.maxproc
kern.maxproc: 1044Om een bepaalde variabele toe te kennen (te wijzigen), is de
syntaxis
variable=value:
&prompt.root; sysctl kern.maxfiles=5000
kern.maxfiles: 2088 -> 5000Waarden van sysctl variabelen zijn doorgaans strings (tekst),
getallen of booleans (1 als waar,
0 als onwaar).Om automatisch variabelen in te stellen als de machine start,
kunnen ze toegevoegd worden aan
/etc/sysctl.conf. Meer informatie staat in
&man.sysctl.conf.5; en .TomRhodesEen bijdrage van &man.sysctl.8; Alleen-lezenIn sommige gevallen is het wenselijk zijn om &man.sysctl.8;
waarden die alleen-lezen zijn toch te wijzigen. Dit wordt niet
aangeraden, maar het is soms onvermijdelijk.Op sommige laptops is bijvoorbeeld het apparaat
&man.cardbus.4; niet in staat om geheugenregio's af te tasten,
met als gevolg foutmeldingen als:cbb0: Could not map register memory
device_probe_and_attach: cbb0 attach returned 12In dergelijke gevallen moeten er meestal enkele
&man.sysctl.8; instellingen gewijzigd worden die alleen-lezen
zijn en een standaardwaarde hebben. Dit kan bereikt worden door
&man.sysctl.8; OIDs in de lokale
/boot/loader.conf te zetten.
Standaardinstellingen staan in
/boot/defaults/loader.conf.Om het bovenstaande probleem op te lossen moet in
in /boot/loader.confhw.pci.allow_unsupported_io_range=1 ingesteld
worden. Dan werkt &man.cardbus.4; wel goed.Harde schijven optimaliserenSysctl Variabelenvfs.vmiodirenablevfs.vmiodirenableDe sysctl variabele vfs.vmiodirenable
kan de waarde 0 (uit) of 1 (aan) hebben. De standaardwaarde
is 1. Deze variabele bepaalt hoe mappen door het systeem
in een cache bewaard worden. De meeste mappen zijn
klein en gebruiken slechts een klein fragment (typisch
1 K) in het bestandssysteem en nog minder (typisch
512 bytes) in de buffercache. Als deze variabele
uit staat (op 0) bewaart de buffercache slechts een bepaald
aantal mappen in de cache, ook al is er een overvloed aan
geheugen beschikbaar. Wanneer deze aan staat (op 1), wordt
de VM pagecache gebruikt, waardoor voor het cachen van mappen
al het geheugen kan worden gebruikt. Het is echter wel zo
dat het minimale in-core geheugen dat gebruikt wordt om een
map te cachen in dat geval de fysieke pagegrootte is
(typisch 4 K) in plaats van 512 bytes. Het is aan
te raden deze optie aan te laten staat als gebruik gemaakt
worden van diensten die met grote aantallen bestanden werken,
zoals webcaches, grote mailsystemen en newsservers. Als deze
optie aan blijft staan, verlaagt die de prestaties niet, ook
al kost het meer geheugen. Door experimenteren is dit voor
een systeem na te gaan.vfs.write_behindvfs.write_behindDe sysctl variabele vfs.write_behind
staat standaard aan (1). Dit betekent dat
het bestandssysteem gegevens naar het medium gaat schrijven
op het moment dat er een volledig cluster aan data verzameld
is Dit is meestal het geval bij het schrijven van grote
sequentiële bestanden. Het idee is om te voorkomen dat
de buffercache verzadigd raakt met vuile buffers zonder dat
dit bijdraagt aan de I/O prestaties. Dit kan echter
processen ophouden en onder sommige omstandigheden is het
wellicht beter deze sysctl uit te zetten.vfs.hirunningspacevfs.hirunningspaceDe sysctl variabele vfs.hirunningspace
bepaalt hoeveel nog te schrijven gegevens er in het complete
systeem op elk moment in de wachtrij naar schijfcontrollers
mag staan. De standaardwaarde is meestal voldoende, maar op
machines met veel schijven, is het beter deze te verhogen
naar vier of vijf megabyte. Het
instellen van een te hoge waarde (groter dan de
schrijfdrempel van de buffercache) kan leiden tot zeer
slechte prestaties bij clustering. Stel deze waarde niet
arbitrair hoog in! Hogere schrijfwaarden kunnen vertraging
veroorzaken in het lezen, als dit tegelijk
plaatsvindt.Er zijn verscheidene andere sysctls voor buffercache en
VM pagecache. Het wordt afgeraden deze te wijzigen. Sinds
&os; 4.3 is het VM systeem zeer goed in staat zichzelf
automatisch te optimaliseren.vm.swap_idle_enabledvm.swap_idle_enabledDe sysctl variabele
vm.swap_idle_enabled is nuttig in grote
multi-user systemen met veel gebruikers die af- en aanmelden
en veel onbenutte processen. Dergelijke systemen hebben de
neiging om voortdurend de vrije geheugenreserves onder druk
te zetten. Het is mogelijk om de prioriteit van
geheugenpages die verband houden met onbenutte processen
sneller te laten dalen dan met het normale pageout algoritme,
door deze sysctl aan te zetten en via
vm.swap_idle_threshold1 en
vm.swap_idle_threshold2 de swapout
hysterese (in seconden onbenut) af te stemmen. Deze optie
dient alleen gebruikt te worden als ze echt nodig is, want de
andere kant van de medaille is dat dit eerder pre-page
geheugen inhoudt in plaats van later, waardoor het meer
wisselbestand- en schijfbandbreedte kost. In een klein
systeem heeft deze optie een voorspelbaar effect, maar in
grote systemen waar al sprake is van een matige paging kan
deze optie het mogelijk maken voor het VM systeem om hele
processen gemakkelijk in en uit het geheugen te halen.hw.ata.wchw.ata.wcTen tijde van &os; 4.3 is er geflirt met het
uitzetten van IDE schrijfcaching. Hierdoor neemt de
bandbraadte naar IDE schijven af, maar het werd als
noodzakelijk beschouwd vanwege ernstige problemen met
gegevensinconsistentie die door harddiskproducenten
geëintroduceerd waren. Het probleem is dat IDE schijven
niet de waarheid vertellen over wanneer een schrijfactie
klaar is. Door IDE schrijfcaching wordt data niet alleen
ongeordend geschreven, maar soms kan zelfs het schrijven van
sommige blokken voortdurend uitgesteld worden als er sprake
is van een hoge disklast. Een crash of stroomstoring kan
dan ernstige corruptie van het bestandssysteem veroorzaken.
Daarom werd de standaardinstelling van &os; voor alle
zekerheid gewijzigd. Helaas was het resultaat een groot
verlies aan prestaties en na die release is de
standaardwaarde weer terug veranderd. Met de sysctl
variabele hw.ata.wc kan gecontroleerd
worden of schrijfcaching aan of uit staat. Als
schrijfcaching uit staat, het die weer aangezet worden door
hw.ata.wc naar 1 te zetten. Aangezien dit
een kernelvariabele is, moet deze ingesteld worden vanuit de
bootloader tijdens het opstarten. Nadat de kernel eenmaal
opgestart is, heeft het wijzigen van deze sysctl geen
effect.Meer informatie staat in &man.ata.4;.SCSI_DELAY
(kern.cam.scsi_delay)kern.cam.scsi.delaykernel optionsSCSI_DELAYDe SCSI_DELAY kernelinstelling kan
gebruikt worden om de opstarttijd te versnellen. De
standaardwaarde is nogal hoog en kan 15
seconden vertraging veroorzaken. Met modernere SCSI systemen
is 5 seconden al voldoende. Nieuwere
versies van &os; (5.0 en hoger) gebruiken de opstartvariabele
kern.cam.scsi_delay. Zowel deze als de
optie SCSI_DELAY gebruiken waarden
uitgedrukt in milliseconden en
niet in
seconden.SoftupdatesSoftupdatestunefs&man.tunefs.8; kan gebruikt worden om een bestandsysteem
nauwkeurig af te stellen. Het heeft veel opties, maar nu wordt
alleen het aan- en uitzetten van softupdates besproken. Dat
gaat als volgt:&prompt.root; tunefs -n enable /filesystem
&prompt.root; tunefs -n disable /filesystemEen bestandssysteem kan niet met &man.tunefs.8; gewijzigd
worden als het gemount is. Softupdates aanzetten wordt dus in
het algemeen gedaan vanuit single-user modus, voordat partities
gemount zijn.Vanaf &os; 4.5, is het mogelijk om softupdates
aan te zetten op het moment dat de bestandssystemen aangemaakt
worden, door middel van de -U optie van
&man.newfs.8;.Softupdates zorgen voor een drastische verbetering van de
meta-data prestaties, met name het aanmaken en verwijderen van
bestanden, door gebruik van een geheugencache. Het wordt dan
ook aangeraden om op alle bestandssystemen softupdates te
gebruiken. Er zijn twee nadelen aan softupdates: softupdates
garandeert een consistent bestandssysteem in geval van een
crash, maar het kan makkelijk enkele seconden (zelfs een
minuut) achter liggen met het daadwerkelijk bijwerken op de
fysieke harde schijf. Als een systeem crasht wordt wellicht
meer werk verloren dan anders het geval zou zijn. Daarnaast
vertraagt softupdates het vrijgeven van bestandssysteemblokken.
Als een bestandssysteem (zoals de root partitie) bijna vol is,
dan kan het verrichten van een grote update, zoals
make installworld, ertoe leiden dat het
bestandssysteem ruimtegebrek krijgt en dat daardoor de operatie
mislukt.Meer over SoftupdatesSoftupdatesdetailsEr zijn traditioneel twee methodes om de metadata van een
bestandssysteem terug naar de schijf te schrijven. Het
bijwerken van metadata houdt het bijwerken van van
niet-inhoudelijke data zoals inodes of mappen in.Historisch gezien was het gebruikelijk om metadataupdates
synchroon weg te schrijven. Als een map bijvoorbeeld
gewijzigd was, wachtte het systeem totdat de verandering
daadwerkelijk naar de schijf geschreven was. De databuffers
(de inhoud van een bestand) werden doorgeschoven naar de
buffercache en op een later moment asynchroon op de schijf
opgeslagen. Het voordeel van deze benadering is dat ze
altijd veilig is. Als het systeem faalt tijdens het
bijwerken, is de metadata nog altijd consistent. Een bestand
kan volledig gecreëerd zijn of helemaal niet. Als de
datablokken van een bestand nog niet van de buffercache naar
de schijf geschreven zijn ten tijde van de crash, is
&man.fsck.8; in staat om dit te herkennen en het
bestandssysteem te repareren door de lengte van het bestand
nul te maken. Deze implementatie is ook helder en eenvoudig.
Het nadeel is echter dat het wijzigen van metadata een traag
proces is. Een rm -r commando benadert
bijvoorbeeld alle bestanden in een map sequentiëel, maar
elke mapverandering (verwijderen van een bestand) wordt
synchroon naar de schijf geschreven. Dit omvat ook het
bijwerken van de map zelf, van de inodetabel en mogelijk ook
van indirecte blokken die voor het bestand in kwestie
zijn gealloceerd. Gelijksoortige processen spelen zich af
bij een commando als tar -x, waarbij een
grote bestandshiëearchie wordt uitgepakt.De tweede mogelijkheid is om het bijwerken van metadata
asynchroon weg te schrijven. Dit is standaard in
&linux;/ext2fs en als een *BSD ufs bestandssysteem met
mount -o async gemount is, is de werking
hetzelfde. Alle bijwerkingen aan metagegevens worden
eenvoudigweg doorgegeven aan de buffercache en vermengd met
inhoudelijke updates van de bestandsgegevens. Het voordeel
is een grote winst aan snelheid, omdat er niet telkens
gewacht hoeft te worden op het bijwerken van metagegevens tot
deze daadwerkelijk naar de schijf geschreven zijn. De
implementatie is ook in dit geval helder en eenvoudig. Het
grote nadeel is uiteraard dat er geen enkele garantie is voor
de consistentie van het bestandssysteem. Als het systeem
faalt tijdens een operatie waarbij veel metagegevens worden
bijgewerkt (bijvoorbeeld door een stroomstoring of iemand
drukt op de resetknop), blijft het bestandssysteem in een
onvoorspelbare toestand achter. Er is geen mogelijkheid om
de toestand van het bestandssysteem te onderzoeken als het
systeem weer opstart, want de datablokken van een bestand
kunnen al weggeschreven zijn geweest terwijl het wegschrijven
van bijwerkingen aan de inodetabel of de bijhorende map nog
niet plaats heeft gevonden. Het is zelfs onmogelijk om een
fsck te implementeren die de overgebleven
chaos kan opruimen: de benodigde informatie is gewoon niet
volledig aanwezig op de schijf. Als een bestandssysteem op
deze manier onherstelbaar beschadigd is, is de enige optie
&man.newfs.8; te gebruiken en vervolgens te herstellen van
een backup.De gebruikelijke oplossing voor dit probleem is het
implementeren van dirty region logging,
ook wel journaling genoemd, hoewel deze
term niet consistent gebruikt wordt en soms ook wordt
gebruikt voor andere vormen van transactielogging. Het
bijwerken van metagegevens wordt nog steeds synchroon
geschreven, maar slechts naar een klein gebied van de schijf.
Later worden ze dan naar de juiste locatie verplaatst. Omdat
het loggebied klein is, hoeven de koppen van de schijf zelfs
tijdens schrijfintensieve operaties nog maar over een kleine
fysieke afstand te bewegen en door deze snellere respons zijn
dit soort operaties sneller dan op de traditionele manier.
De extra complexiteit van de implementatie is nogal beperkt,
dus het risico van introductie van extra bugs valt mee. Een
nadeel is dat alle metagegevens tweemaal geschreven worden
(eerst naar het loggebied en later nog eens naar de
definitieve locatie). Dus bij normaal gebruik kan er sprake
zijn van wat men wel noemt een performance
pessimization. Anderzijds kunnen in geval van een
crash alle nog uitstaande metagegevensoperaties snel worden
teruggedraaid of vanuit het loggebied alsnog worden
afgemaakt, wanneer de machine weer opstart. Het
bestandssysteem start dan snel op.Kirk McKusick, de vader van het Berkeley FFS, loste dit
probleem op met softupdates, wat betekent dat alle uitstaande
acties voor het bijwerken van metagegevens in het geheugen
bewaard worden en dan geordend naar de schijf geschreven
worden. Dit heeft het gevolg dat in geval van intensieve
operaties met betrekking tot metagegevens, latere
bijwerkingen aan een item eerdere bewerkingen opvangen
(catch) als deze nog in het geheugen zitten en
nog niet weggeschreven waren. Dus alle operaties,
op bijvoorbeeld een map, worden in het algemeen eerst in het
geheugen uitgevoerd voordat er wordt bijgewerkt naar schijf.
De datablokken worden geordend conform hun positie, zodat ze
nooit weggeschreven worden voordat hun metagegevens
geschreven zijn. Als het systeem een crash ondervindt,
veroorzaakt dat impliciet het terugdraaien van uitstaande
operaties (log rewind): alle operaties die nog
niet weggeschreven waren lijken nooit gebeurd te zijn. Zo
wordt een consistent bestandssysteem in stand gehouden dat
eruit ziet alsof het 30 tot 60 seconden eerder was. Het
gebruikte algoritme garandeert dat alle bronnen die in
gebruik zijn als zodanig gemarkeerd worden in hun daarvoor
geschikte bitmaps: blokken en inodes. Na een crash is de
enige allocatiefout die kan optreden dat bronnen gemarkeerd
kunnen zijn als in gebruik (used), terwijl ze
feitelijk alweer beschikbaar (free) zijn.
&man.fsck.8; herkent deze situatie en stelt dergelijke vrij
te maken bronnen opnieuw beschikbaar. Het is volkomen veilig
om na een crash te negeren dat het bestandssysteem niet
schoon is en het tot mounten te dwingen met
mount -f. Om niet langer gebruikte
bronnen vrij te maken moet later &man.fsck.8; uitgevoerd
worden. Dit is dan ook het idee achter background
fsck: op het moment dat het systeem aan het
opstarten is, wordt er alleen een
snapshot van het systeem bewaard.
fsck kan later uitgevoerd worden. Alle
bestandssystemen kunnen dirty gemount worden
en het systeem kan gewoon verder opstarten naar multi-user
modus. Vervolgens zijn er fscks
gepland die in de achtergrond draaien voor elk
bestandssysteem dat niet schoon is en waarmee bezette bronnen
vrijgegeven worden. Bestandssystemen die geen gebruik maken
van softupdates moeten echter nog steeds gebruik maken van de
normale fsck in de voorgrond.Het voordeel van softupdates is dat operaties op
metagegevens bijna net zo snel zijn als asynchrone updates
(dat wil zeggen sneller dan met
logging, waarbij de metagegevens keer
keer geschreven worden). Nadelen zijn de complexiteit van
de code (wat een groter risico op bugs impliceert in een
gebied dat bijzonder gevoelig is voor verlies van
gebruikersgegevens) en een groter geheugenverbruik. Tevens
moet de gebruiker wennen aan enkele eigenaardigheden. Na
een crash lijkt de toestand van het bestandssysteem wat
ouder. In situaties waar de standaard
synchrone benadering een aantal lege bestanden zou hebben
achtergelaten na fsck, is het met
softupdates juist zo dat dergelijke bestanden er helemaal
niet zijn, omdat de metadata of de bestandsinhoud nooit naar
de schijf is geschreven. Schijfruimte wordt pas vrijgegeven
als de bijwerkingen aan metagegevens en inhoudelijke
bestandsdata weggeschreven zijn, wat mogelijk pas enige tijd
na het uitvoeren van rm plaatsvindt. Dit
kan problemen veroorzaken als er grote hoeveelheden data
naar een bestandssysteem geschreven worden dat onvoldoende
vrije ruimte heeft om alle bestanden twee keer te kunnen
bevatten (bijvoorbeeld in /tmp).Fijnafstemming van KernellimietenfijnafstemmingkernellimietenBestandsproceslimietenkern.maxfileskern.maxfileskern.maxfiles kan worden verhoogd of
verlaagd, afhankelijk van de systeembehoeften. Deze
variabele geeft het maximale aantal bestandsdescriptors op
een systeem. Als de bestandsdescriptortabel vol is,.toont de
systeembuffer meerdere malen file: table is
full, hetgeen achteraf te zien is net
dmesg.Elk geopend bestand, socket of fifo heeft een
bestandsdescriptor. Een grote produktieserver kan makkelijk
enige duizenden bestandsdescriptors nodig hebben, afhankelijk
van het soort en aantal diensten die tegelijk draaien.De standaardwaarde voor kern.maxfiles
wordt bepaald door de optie MAXUSERS in
het bestand met kernelinstellingen.
kern.maxfiles groeit evenredig met de
waarde van MAXUSERS. Als een aangepaste
kernel wordt gebouwd, is het een goed idee om deze
kerneloptie in te stellen afhankelijk van het gebruikt van
een systeemhet (maar niet te laag). Hoewel een
produktieserver misschien niet 256 gebruikers gelijktijdige
gebruikers heeft, kunnen de benodigde systeembronnen best
vergelijkbaar zijn met een grootschalige webserver.Vanaf &os; 4.5 kan meestal het beste
MAXUSERS op 0 gezet
worden in het bestand met kernelinstellingen. Er wordt dan
een redelijke waarde gekozen, die gebaseerd is op de
hoeveelheid RAM in een systeem.
kern.ipc.somaxconnkern.ipc.somaxconnDe sysctl variabele kern.ipc.somaxconn
beparkt de grootte van de luisterwachtrij voor het accepteren
van nieuwe TCP verbindingen. De standaardwaarde van
128 is meestal te laag voor robuuste
behandeling van nieuwe verbindingen in een zwaarbeladen
webserver omgeving. Voor zulke omgevingen wordt aangeraden
deze waarde te verhogen tot 1024 of hoger.
De dienstdaemon beperkt misschien zelf de luisterwachtrij
(bijvoorbeeld &man.sendmail.8; of
Apache), maar heeft vaak een
mogelijkheid in een configuratiebestand de wachtrijgrootte
aan te passen. Grote luisterwachtrijen zijn
ook beter in het ontwijken van Ontzegging van Dienst
(DoS) aanvallen.NetwerkbeperkingenDe kerneloptie NMBCLUSTERS bepaalt het
aantal netwerk Mbufs dat beschikbaar is voor een systeem. Een
veel bezochte server met een laag aantal Mbufs beperkt de
mogelijkheden van &os;. Elk cluster staat voor ongeveer
2 K geheugen, dus een waarde van 1024 stelt 2 megabyte
aan kernelgeheugen voor, dat is gereserveerd voor
netwerkbuffers. Een simpele berekening geeft aan hoeveel er
nodig is. Stel dat een webserver met een maximum van 1000
simultane verbindingen voor elke verbinding 16 K aan
ontvangst netwerkbuffers en 16 K aan zendbuffers kost, dan
is ongeveer 32 MB aan netbuffers nodig voor de webserver.
Een goede vuistregel is te vermeniguldigen met twee,
dus 2x32 MB / 2 KB = 64 MB /
2 kB = 32768. Voor machines met veel geheugen wordt
4096 tot 32768 aangeraden. Er moet in geen geval een arbitrair
hoge waarde voor deze sysctl opgegeven worden, want dat kan
leiden tot een crash tijdens het opstarten. Met de optie
van &man.netstat.1; kan clustergebruik
van het netwerk bekeken worden.De loaderparameter kern.ipc.nmbclusters
moet gebruikt worden om dit tijdens het opstarten toe te
passen. Alleen voor oudere versies van &os; is het nodig om de
kerneloptie NMBCLUSTERS te gebruiken.Voor drukke servers die extensief gebruik maken van de
systeemaanroep &man.sendfile.2;, kan het nodig zijn het aantal
&man.sendfile.2; buffers te verhogen via de kerneloptie
NSFBUFS of door de waarde in te stellen in
/boot/loader.conf (in &man.loader.8; staan
details). Als er in de procestabel processen staan met een
status sfbufa is dat een algemene indicator
dat deze parameter aangepast moet worden. De sysctl variabele
kern.ipc.nsfbufs is alleen-lezen en
laat zien op welke waarde deze kernelvariabele is ingesteld.
Deze parameter schaalt engiszins met de variabele
kern.maxusers, maar het kan nodig zijn om
deze bij te stellen.Zelfs als een socket als non-blocking gemarkeerd is, dan
nog kan het aanroepen van &man.sendfile.2; op de non-blocking
socket ertoe leiden dat er toch blokkade optreedt totdat er
voldoende struct sf_buf's vrijgemaakt
zijn.net.inet.ip.portrange.*net.inet.ip.portrange.*De sysctle variabelelen
net.inet.ip.portrange.* bepalen welke
reeks poortnummers automatisch gebonden wordt aan TCP en UDP
sockets. Er zijn drie gebieden: een laag gebied, een
(standaard) middengebied en een hoog gebied. De meeste
netwerkprogramma's gebruiken het standaardbereik, wat
begrensd wordt door
net.inet.ip.portrange.first en
net.inet.ip.portrange.last met
standaardwaarden van respectievelijk 1024 en 5000. Gebonden
poortreeksen worden gebruikt voor uitgaande verbindingen en
het is onder bepaalde omstandigheden mogelijk dat poorten
op raken. Dit gebeurt meestal in het geval van een zwaar
belaste webproxy. Poortbereik is niet van belang als vooral
diensten draaien die zich bezighouden met inkomende
verbindingen, zoals een normale webserver, of als het aantal
uitgaande verbindingen beperkt is, zoals bij een mailrelay.
Voor situaties waarin een tekort aan poorten dreigt, wordt
aangeraden om net.inet.ip.portrange.last
bescheiden op te hogen. Een waarde van
10000, 20000 of
30000 is redelijk. Er moet ook rekening
met effecten op firewalls gehouden worden als de poortreeks
gewijzigd wordt. Sommige firewalls kunnen grote
poortreeksen blokkeren, meestal de lagere poorten, en
verwachten dat andere systemen hogere poorten gebruiken voor
uitgaande verbindingen. Om deze reden wordt het aanbevolen
om net.inet.ip.portrange.first te
verlagen.TCP Bandbreedtevertragingsproduct (TCP Bandwidth Delay
Product)TCP bandbreedtevertragingsproductnet.inet.tcp.inflight_enableDe TCP bandbreedtevertragingsproduct limitatie lijkt op
TCP/Vegas in NetBSD. Het kan aangezet worden door de sysctl
variabelel net.inet.tcp.inflight_enable
de waarde 1 te geven. Het systeem
tracht dan het bandbreedtevertragingssprodukt te berekenen
voor elke verbinding en beperkt dan de hoeveelheid gegevens
in de wachtrij naar het netwerk tot de hoeveelheid die
vereist is om maximale doorvoer te kunnen handhaven.Dit is nuttig bij gebruik van modems, Gigabit Ethernet of
zelfs bij hoge snelheid WAN links (of elke andere link met
een groot bandbreedtevertragingsprodukt), in het bijzonder
als ook windowschaling of een groot verzendwindow gebruikt
wordt. Als deze optie aangezet wordt, dient ook
net.inet.tcp.inflight_debug de waarde
0 te krijgen (geen debugging) en voor
produktiegebruik kan het instellen van
net.inet.tcp.inflight_min naar minstens
6144 voordeel opleveren. Het instellen
van hoge minima kan effectief het beperken van bandbreedte
ondermijnen, afhankelijk van de link. De mogelijkheid tot
limitering zorgt ervoor dat de hoeveelheid data die opgebouwd
wordt, in tussentijdse route- en switchwachtrijen verlaagd
kan worden en tevens kan de hoeveelheid gegevens die
opgebouwd wordt in de interfacewachtrij van de lokale host
verlaagd worden. Met minder pakketten in wachtrijen, kunnen
interactieve verbindingen opereren met lagere
Round Trip tijden, met name over
langzame modems. Deze optie gaat alleen over datatransmissie
(upload / serverkant) en heeft geen effect gegevensontvangst
(download / clientkant).Aanpassen van
net.inet.tcp.inflight_stab wordt
niet aangeraden. Deze parameter krijgt
standaard een waarde van 20, wat 2 maximale pakketten
opgeteld bij de bandbreedtevensterberekening representeert.
Het extra venster is nodig om het algoritme stabiel te houden
en om de reactietijd bij veranderende omstandigheden te
verbeteren, maar het kan ook leiden tot langere pingtijden
over langzame verbindingen (zonder het inflight algoritme kan
dit echter nog erger zijn). In dergelijke gevallen kan deze
parameter misschien verlaagd worden naar 15, 10 of 5 en
misschien moet voor het gewenste effect ook
net.inet.tcp.inflight_min verlaagd worden
(bijvoorbeeld naar 3500). Het verlagen van deze parameters
moet pas in laatste instantie overwogen worden.Wisselbestandruimte ToevoegenHoe goed er ook gepland wordt, soms draait een systeem gewoon
niet zoals verwacht. Een oorzaak hiervoor kan een tekort aan
wisselbestandruimte zijn. Als blijkt dat er meer
wisselbestandruimte nodig is, kan dat eenvoudig. Er zijn drie
manieren om de totale ruimte beschikbaar als wisselbestand te
vergroten: een nieuwe harde schijf toevoegen, swappen over NFS of
een wisselbestand maken op een bestaande (UFS of andere)
partitie.Wisselbestand (partitie) op een Nieuwe Harde
SchijfDit is natuurlijk de beste manier om de
wisselbestandsruimte te vergroten en een goed excuus om een
extra harde schijf toe te voegen. Die komt immers altijd wel
van pas. In dat geval kan het beste de discussie over
wisselbestandruimte in
nog eens herlezen worden om wat suggesties te krijgen over hoe
wisselbestandpartitie(s) het beste ingedeeld kunnen
worden.Swappen over NFSIn het algemeen wordt swappen over NFS niet aangeraden
omdat het langzaam is. Dit dient alleen gebruikt te worden als
het onmogelijk om naar een lokale schijf te swappen. In &os;
versies voor 4.X was het hanteren van een wisselbestand over
NFS erg langzaam en inefficiënt. Nieuwere versies werken
beter, maar dan nog wordt swappen over NFS sterk gelimiteerd
door de aanwezige netwerkbandbreedte en belast het de NFS
server.WisselbestandenHet is mogelijk om een bestand aan te maken van een
bepaalde grootte en dit als swap te gebruiken. In dit
voorbeeld wordt een 64 MB bestand gebruikt,
/usr/swap0. Uiteraard kan een
willekeurige naam gebruikt worden.Een Wisselbestand Aanmaken met &os; 4.XDe kernel moet het vnode stuurprogramma bevatten. In
recente versies van GENERIC
is vnode niet opgenomen.pseudo-device vn #Vnode driver (turns a file into a device)Een vn-apparaat aanmaken:&prompt.root; cd /dev
&prompt.root; sh MAKEDEV vn0Een wisselbestand aanmaken
(/usr/swap0):&prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64Correcte rechten op (/usr/swap0)
instellen:&prompt.root; chmod 0600 /usr/swap0Wisselbestand opnemen in
/etc/rc.conf:swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired.Nu kan de machine herstart worden of het
wisselbestand meteen te gebruiken:&prompt.root; vnconfig -e /dev/vn0b /usr/swap0 swapEen Wisselbestand Aanmaken met &os; 5.XDe kernel moet het stuurprogramma voor de
geheugendisk (&man.md.4;) bevatten. Dat zit standaard in
de GENERIC kernel.device md # Memory "disks"Het wisselbestand /usr/swap0
aanmaken:&prompt.root; dd if=/dev/zero of=/usr/swap0 bs=1024k count=64De correctie rechten op
/usr/swap0 instellen:&prompt.root; chmod 0600 /usr/swap0Het wisselbestand opnemen in
/etc/rc.conf:swapfile="/usr/swap0" # Set to name of swapfile if aux swapfile desired.De machine moet herstart worden of om het
wisselbestand direct in te schakelen:&prompt.root; mdconfig -a -t vnode -f /usr/swap0 -u 0 && swapon /dev/md0HitenPandyaGeschreven door TomRhodesEnergie- en BronnenbeheerHet is belangrijk om hardwarebronnen op een efficiënte
wijze te benutten. Voordat ACPI
geïntroduceerd werd was het erg lastig en onflexibel
om het energieverbruik en de thermische eigenschappen van een
systeem te beheersen. De hardware werd beheerst door deze of
gene interface, ingebed in het BIOS, zoals de
Plug-n-play BIOS (PNPBIOS) of
Advanced Power Management (APM), enzovoort.
Energie- en bronnenbeheer is een kerntaak van moderne
besturingssystemen. Het besturingssysteem moet bijvoorbeeld
systeemlimieten in de gaten houdt (en mogelijk een SMS sturen of
iets dergelijks) als de systeemtemperatuur onverwacht
toeneemt.In dit deel van het &os; handboek wordt uitgebreide
informatie verschaft over ACPI. Aan het einde
staan referenties naar meer leesmateriaal.
ACPI is op &os; 5.X en nieuwere systemen
als een standaard ingeladen kernelmodule aanwezig. In
&os; 4.9 kan ACPI aangezet worden door de
regel device acpica toe te voegen aan het
bestand met kernelinstellingen en een nieuwe kernel te bouwen en
te installeren.Wat is ACPI?
+ ACPI
+
+ APM
+
+
Advanced Configuration and Power Interface
(ACPI) is een standaard die door een
alliantie van producenten geschreven is, met als doel te
voorzien in een een standaardinterface voor hardware bronnen-
en energiebeheer. Een belangrijk element is dat het meer
flexibiliteit en beheersmogelijkheden biedt aan het
besturingssysteem (OS). Moderne systemen
hebben de limieten van de huidige PNP interfaces verder
opgerekt dan wenselijk en misschien wel mogelijk was.
ACPI is de directe opvolger van
APM (Advanced Power Management). Centraal
is het verleggen van hardwarebeheer en -monitoring naar de OS
laag in plaats van de zeer beperkte BIOS laag.Tekortkomingen van APMMet de Advanced Power Management (APM)
faciliteit kan het energieverbruik van een systeem geregeld
worden op basis van de systeemactiviteit. Het APM BIOS wordt
geleverd door de systeemproducent of -verkoper en het is
specifiek voor dat betreffende hardware platform. Een APM
stuurprogramma in het besturingssysteem regelt vervolgens de
toegang tot de APM Software Interface, die
het besturen van vermogensniveau mogelijk maakt.Er zijn vier hoofdproblemen met APM te onderscheiden: ten
eerste wordt het energiebeheer verricht door een BIOS
(afhankelijk van producent) en het besturingssysteem heeft daar
geen kennis van. De gebruiker die idle-time waarden instelt
voor een harde schijf in het APM BIOS is hier een voorbeeld
van. Dan zal het BIOS de harde schijf langzamer kunnen laten
draaien zonder dat het besturingssysteem de noodzaak ziet of
het goedkeurt. Ten tweede: de APM logica is ingebed in de
BIOS, waardoor het buiten het besturingssysteem om opereert.
Dit houdt in dat gebruikers problemen met hun APM BIOS alleen
kunnen verhelpen door een nieuw BIOS in het ROM te flashen,
wat een gevaarlijke en mogelijk onherstelbare operatie is.
Ten derde is APM een producent-specifieke technologie, in de
zin dat er altijd een hoge mate van duplicatie zal zijn van al
dan niet geslaagde pogingen om het wiel opnieuw uit te vinden
en uiteraard ook van bugs. Er is geen enkele garantie dat het
wegnemen van een bug door een producent ook een zelfde bug
wegneemt bij een concurrent. Tenslotte is het van belang te
weten dat de APM BIOS in het algemeen gewoon te weing geheugen
kon gebruiken om een ingewikkeld energiebeheer te kunnen
implementeren. Laat staan dat deze goed aanpasbaar was aan
veranderlijke doelstellingen voor de betreffende
machine.Plug-n-play BIOS (PNPBIOS) was
in veel situations onbetrouwbaar. PNPBIOS is 16-bit
technologie, dus het besturingssysteem moet 16-bit emulatie
gebruiken om met PNPBIOS methoden te kunnen samenwerken.Het &os; stuurprogramma APM is
gedocumenteerd in &man.apm.4;.ACPI InstellenHet stuurprogramma acpi.ko wordt
standaard geladen bij het opstarten door de &man.loader.8;
en hoeft niet gecompileerd te worden.
De redenatie is dat er met modules gemakkelijker gewerkt kan
worden, bijvoorbeeld een andere acpi.ko
gebruiken zonder dat er een nieuwe kernel gebouwd moet worden.
Dit heeft het voordeel dat testen eenvoudiger is. Een andere
reden is dat het opstarten van ACPI nadat
een systeem eenmaal volledig opgestart is, weinig nuttig is en
in sommige gevallen fataal kan zijn. In geval van tijfel kan
ACPI beter uitgeschakeld worden. Dit
stuurprogramma kan niet gestopt worden als het eenmaal geladen
is, omdat de systeembus het gebruikt voor allerlei interacties
met hardware. ACPI kan uitgezet worden met
het hulpprogramma &man.acpiconf.8;. In feite kan de meeste
interactie met het ACPI systeem gedaan
worden via &man.acpiconf.8;. In wezen betekent dit dat als er
iets over ACPI in &man.dmesg.8; staat, het
hoogstwaarschijnlijk al draait.ACPI en APM
kunnen niet samenleven en moeten afzonderlijk en exclusief
gebruikt worden. De laatste die gestart wordt bepaalt of het
stuurprogramma de ander wel of niet ziet.In haar eenvoudigste vorm kan ACPI
gebruikt worden om het systeem in slaapmodus te zetten met de
vlag en een 1-5 optie
met &man.acpiconf.8;. De meeste gebruikers hebben alleen
1 nodig. De optie 5
verricht een soft-off, wat hetzelfde is
als:&prompt.root; halt -pAndere opties zijn mogelijk. In &man.acpiconf.8; staat
meer informatie.NateLawsonGeschreven door PeterSchultzMet medewerking van TomRhodes&os; ACPI Gebruiken en DebuggenACPI is een totaal nieuwe manier om
apparaten te ontdekken, om energieverbruik te beheren en om een
gestandaardiseerde toegang te bieden tot allerlei apparaten die
eerder via het BIOS beheerd werden. Er wordt
voortdurend vooruitgang geboekt om ACPI op
alle systemen te laten werken, maar bugs in de
ACPIMachine Language
(AML) bytecode van sommige moederborden,
onvolledigheden in &os;'s kernel subsystemen en bugs in de
&intel; ACPI-CA interpreter blijven
opduiken.Deze tekst is bedoeld om de &os; ACPI
beheerders (maintainers) te helpen met het vinden
van de hoofdoorzaken van problemen die voorkomen en met het
debuggen en het vinden van een oplossing.Debuginformatie AanleverenVoordat een probleem wordt aanmeld, moet het zeker zijn
dat de laatste BIOS versie draait en
indien beschikbaar de geïntregeerde controller
firmware versie.Diegenen die meteen een probleem willen indienen, sturen
de volgende informatie naar
freebsd-acpi@FreeBSD.org:Omschrijving van het foutieve gedrag, inclusief
systeemtype en model en alles wat de fout kan veroorzaken.
Als het een nieuw fenomeen is, dan dient ook zo accuraat
mogelijk aangegeven te worden wanneer de fout het eerst
optrad.De &man.dmesg.8; uitvoer van boot
-v, inclusief foutmeldingen die gegenereerd
worden als de fout optreedt.De &man.dmesg.8; uitvoer van boot
-v met ACPI uitgeschakeld,
indien het uitzetten van ACPI het
probleem oplost.Uitvoer van sysctl hw.acpi. Dit is
tevens een goede manier om uit te vinden welke
ACPI mogelijkheden een systeem
heeft.Een URL waar de
ACPISource
Language (ASL) gevonden
kan worden. De ASL dient
niet rechtstreeks naar de lijst
gezonden te worden, omdat deze nogal groot kan zijn. Een
kopie van een ASL kan gemaakt worden met het volgende
commando:&prompt.root; acpidump -t -d > name-system.asl(Vervang een aanmeldnaam door
$NAME en producent/model door
$SYSTEM. Bijvoorbeeld:
njl-FooCo6000.asl)De meeste &os; programmeurs lezen de &a.current;
mailinglijst, maar problemen gaan bij voorkeur ook naar
&a.acpi.name; zodat ze zeker gezien worden. Het kan enige tijd
duren voordat er antwoord komt, omdat deze mensen elders ook
nog fulltime banen hebben. Als de bug niet meteen duidelijk
is, komt er waarschijnlijk en verzoek om een
PR in te dienen via &man.send-pr.1;. Als er
een PR moet worden opgesteld, dan dient alle
hierboven gevraagde informatie vermeld te worden. Dit helpt om
het probleem te kunnen volgen en oplossen. Het sturen van een
PR zonder eerst &a.acpi.name; te mailen is
niet wenselijk, aangezien men PRs gebruikt
als herinnering, niet als rapportagesysteem. Mogelijk is een
probleem al eens door iemand anders aangemeld.AchtergrondACPI is aanwezig op alle moderne
computers die voldoen aan de ia32 (x86), ia64 (Itanium) of
amd64 (AMD) architecturen. De volledige standaard heeft vele
mogelijkheden zoals CPU prestatiebeheer,
energiebeheer, thermische zones, diverse batterijsystemen,
ingebedde controllers en busnummering. De meeste systemen
implementeren minder dan de volledige standaard. Een
desktopsysteem implementeert bijvoorbeeld meestal alleen
busnummering, terwijl laptops mogelijk ook koeling- en
batterijbeheer ondersteunen. Laptops hebben ook suspend en
resume (slapen en wakker worden) met hun eigen aanverwante
comlexiteit.Een ACPI-compliant systeem heeft
verscheidene componenten. Het BIOS is de
eerste en dan zijn er verscheidene tabellen in het geheugen
zoals FADT die zaken als de
APIC map (gebruikt voor
SMP) specificeren, beschikbaar gesteld door
verschillende producenten/verkopers. Daarnaast zijn er
specifieke eenvoudige instellingen en instellingenregisters,
ook allen specifiek voor de leverancier. Ook wordt er een
tabel van bytecode (de Differentiated System
Description Table DSDT)
geleverd die een op een boomstructuur lijkende namespace biedt
voor apparaten en apparaatobjectfuncties.Het stuurprogramma ACPI moet de
voorgedefinieerde tabellen verwerken, een interpreter voor
de bytecode implementeren en apparaatstuurprogramma's en de
kernel aanpassen om alleen al informatie van het
ACPI subsysteem te kunnen accepteren.
&intel; heeft een interpreter beschikbaar gesteld
(ACPI-CA) die door &os; en ook door &linux;
en NetBSD gebruikt wordt. De ACPI-CA
broncode staat in src/sys/contrib/dev/acpica. De
lijmcode (glue code) die
ACPI-CA laat werken met &os; staat in
src/sys/dev/acpica/Osd. Stuurprogramma's
die verscheidene ACPI apparaten
implementeren staan in src/sys/dev/acpica.Algemene ProblemenWil ACPI goed werken, dan moeten alle
onderdelen goed werken. Hieronder staan enkele algemene
problemen in volgorde van hoe vaak ze optreden en enkele
mogelijke oplossingen of manieren om de problemen te
vermijden.Suspend/resumeACPI heeft drie slaapstanden waarbij
het geheugen (RAM) wordt ingezet. Dit
zijn de STR toestanden
S1-S3,en nog een
slaap-met-gebruik-van-harde-schijf toestand
(STD) die S4 heet.
S5 is zacht uit en is de
normale status van een systeem als het is aangesloten maar
niet is aangezet. S4 kan feitelijk op
twee manieren geïmplementeerd worden:
S4BIOS is een
slaapstand naar schijf met behulp van het
BIOS en
S4OS wordt volledig
door het besturingssysteem beheerd.als eerste dienen de sysctl
items die iets met de slaapstand
te maken hebben gecontroleerd te worden. Hieronder staan de
resultaten voor een Thinkpad:hw.acpi.supported_sleep_state: S3 S4 S5
hw.acpi.s4bios: 0Dit betekent dat hier acpiconf -s
gebruikt kan worden om S3,
S4 OS en
S5 te testen. Als
gelijk was aan (1), dan zou er
S4BIOS ondersteuning
zijn in plaats van S4
OS.Als suspend/resume getest moet worden, dient, indien
ondersteund, bij S1 begonnen te worden.
Deze toestand heeft de grootste kans om te werken, omdat deze
niet veel stuurprogrammaondersteuning vereist. Niemand heeft
nog S2 geïmplementeerd, maar het is
ongeveer hetzelfde als S1. Daarna wordt
S3 getest. Dit is het diepste
STR niveau en heeft uitgebreide
ondersteuning van stuurprogramma's nodig om hardware goed
opnieuw te kunnen starten. Mochten er blokkades optreden,
dan kan naar de &a.acpi.name; lijst gemaild worden. Er kan
echter geen snelle oplossing verwacht worden, omdat er nog de
nodige stuurprogramma's/hardware liggen om getest en bewerkt
te worden.Om een probleem te kunnen isoleren helpt het om zoveel
mogelijk stuurprogramma's uit de kernel te halen. Als dit
werkt, kan er teruggewerkt worden naar de driver die schuldig
is aan het falen. Meestal vertonen binaire stuurprogramma's
als nvidia.ko, X11
beeldschermstuurprogramma's en USB de
meeste problemen, terwijl bijvoorbeeld Ethernet
interfaces meestal meteen goed werken. Als de
stuurprogramma's zonder problemen geladen en verwijderd
kunnen worden, dan is dit te automatiseren door de juiste
commando's in /etc/rc.suspend en
/etc/rc.resume te zetten. Er staat een
voorbeeld (achter commentaartekens) voor het laden en
verwijderen van een driver. Als het beeldscherm er na
wakker worden vreemd uitziet, kan geprobeerd worden
naar nul
(0) te zetten. Met langere of kortere
waarden voor kan
bekeken worden of dat helpt.In geval van problemen is het ook een optie om een
recente &linux; distibutie met ondersteuning voor
ACPI support te starten en daarvan de
suspend/resume ondersteuning op dezelfde hardware uit te
proberen. Als het werkt met &linux;, dan is het
waarschijnlijk een &os; stuurprogrammaprobleem en als het
mogelijk is uit te vinden over welke driver het gaat, kan dat
bijdragen aan het oplossen van het probleem.
ACPI houdt zich in het algemeen niet bezig
met andere stuurprogramma's bijvoorbeeld geluid,
ATA, enzovoort. Als er dus een echt
driverprobleem is, dan is waarchijnlijk uiteindelijk
ook nodig naar de &a.current.name; lijst te posten en naar de
beheerder van het stuurprogramma. Voor degenen met moed is
het vooral aan te raden een paar &man.printf.3;s in
problematische stukken van een stuurprogramma te plaatsen
voor debugging om na te gaan waar de resumefunctie precies
hangt.Tot slot kan geprobeerd worden om ACPI
uit te zetten en in plaats daarvan APM aan
te zetten. Als suspend/resume werkt met
APM, is het wellicht verstandig het
daarbij te houden, vooral met wat oudere apparatuur (voor
2000). Producenten hebben nogal wat tijd nodig gehad om
ACPI ondersteuning goed te krijgen en
voor oudere hardware is het waarschijnlijker dat er
BIOS problemen zijn met
ACPI.Systeem Hangt (tijdelijk of permanent)Meestal is het hangen van het systeem het gevolg van
verloren interrupts of een interruptstorm. Chipsets kunnen
een heleboel problemen hebben, afhankelijk van hoe het
BIOS interrupts instelt voor het
opstarten, of de APIC
(MADT) tabel correct is en de routering
van het System Control Interrupt
(SCI).
+ interrupt storms
+
Interruptstorms kunnen onderscheiden worden van verloren
geraakte interrupts door de uitvoer van vmstat
-i te controleren en de regel met
acpi0 goed te lezen. Als de teller in
toenemende mate hoger staat dan enkele per seconde, dan is
sprake van een interruptstorm. Als het systeem lijkt te
hangen, is het wellicht nog mogelijk door te dringen tot
de DDB (CTRLALTESC)
show interrupts uit te voeren.
+
+ ACPI
+
+ disabling
+
+
De beste hoop in geval van interruptproblemen
is om APIC ondersteuning uit te zetten met
hint.apic.0.disabled="1" in
loader.conf.PanicsPanics zijn relatief zeldzaam met ACPI
en krijgen de hoogste prioriteit bij het oplossen. Eerst
moeten de verschillende gebeurtenissen waarmee de
panic (als mogelijk) te reproduceren is geïsoleerd
worden en moet een backtrace gemaakt worden.
options DDB dient aangezet te worden en er
dient een een seriële console () of een &man.dump.8; partitie
te komen.. In DDB is een backtrace te
maken met tr. Als de backtrace handmatig
opgeschreven moet worden, is het belangrijk dat in ieder
geval de bovenste en onderste vijf (5) regels van de
backtrace genoteerd worden.Daarna dient getracht te worden het systeem te starten
zonder ACPI. Als dat werkt, is het
ACPI subsysteem geïsoleerd en kunnen
de verschillende waarden
uitgeprobeerd worden. In &man.acpi.4; staan enkele
voorbeelden.Systeem Slaat Aan na Slaapstand of Stophw.acpi.disable_on_poweroff="0" kan
uitgezet worden in &man.loader.conf.5;. Hierdoor schakelt
ACPI bepaalde gebeurtenissen tijdens het
afsluitproces niet uit. Om dezelfde redenen moeten sommige
systemen deze waarde altijd op 1
(standaard) hebben staan. In het algemeen lost dit een
probleem op waarbij een systeem spontaan weer opkomt
nadat het in slaapstand is gezet of geheel gestopt is.Overige ProblemenAls er nog andere problemen zijn met
ACPI (met een docking station of
apparaten niet gedetecteerd, enzovoort), dan kan een mail
met beschijving naar de mailinglijst gezonden worden.
Sommige zaken kunnen echter gerelateerd zijn aan delen van
het ACPI subsysteem die nog niet af zijn,
dus het kan in sommige gevallen een tijd duren. Gebruikers
moeten soms geduld hebben en de bereidheid om eventuele
patches uit te proberen.ASL, acpidump en
IASL
+
+ ACPI
+
+ ASL
+
+
Het grootste probleem is dat BIOS
producenten vaak incorrecte (of gewoon foutieve) bytecode
leveren. Dit blijkt doorgaans uit kernelboodschappen
als:ACPI-1287: *** Error: Method execution failed [\\_SB_.PCI0.LPC0.FIGD._STA] \\
(Node 0xc3f6d160), AE_NOT_FOUNDVaak kunnen dergelijke problemen geoplost worden door de
BIOS bij te werken tot de laatste revisie.
De meeste consoleberichten zijn onschuldig, maar als er andere
problemen zijn, zoals batterijstatus die niet werkt, dan ligt
het voor de hand te zoeken naar problemen in de
AML code. De bytecode die
AML genoemd wordt, wordt gecompileerd van
een broncodetaal ASL. Deze staat weer in
een tabel DSDT. Met &man.acpidump.8; kan
een kopie van de ASL gemaakt worden. Dan
moeten zowel de opties (laat inhoud van
vaste tabellen zien) als (disassembleer
AML naar ASL) gebruikt
worden. In Debuginformatie
Aanleveren staat een voorbeeld.De eenvoudigste eerste controle is de
ASL code opnieuw compileren en kijken of
er foutmeldingen optreden. Waarschuwingen kunnen doorgaans
genegeerd worden, maar fouten zijn bugs die er meestal toe
leiden dat ACPI niet correct werkt. Om
ASL te hercompileren:&prompt.root; iasl eigen.aslASL Repareren
+
+ ACPI
+
+ ASL
+
+
Op langere termijn is het de bedoeling dat voor vrijwel
elke machine ACPI werkt zonder enig
ingrijpen van de gebruiker. Op dit moment wordt er echter nog
gewerkt aan oplossingen voor veel voorkomende vergissingen die
BIOS producenten maken. De µsoft;
interpreter (acpi.sys en
acpiec.sys) controleert niet strikt of het
BIOS volledig aan de standaard voldoet,
waardoor het voorkomt dat BIOS makers die
alleen testen onder &windows; bepaalde fouten in hun
ASL nooit correct repareren. &os; hoopt
door te gaan met de identificatie en documentatie van welk
niet-standaard gedrag precies wordt toegelaten door
µsoft;'s interpreter en te dit te repliceren zodat &os;
kan werken zonder dat gebruikers zich gedwongen zien om de
ASL te repareren. Als een tijdelijke
oplossing en om te helpen met het in kaart brengen van bepaald
gedrag, kan de ASL handmatig gerepareerd
worden. Mocht dit lukken, dan wordt erop aangedrongen een
&man.diff.1; van de oude en de nieuwe ASL
te mailen, zodat het foutieve gedrag mogelijk in
ACPI-CA kan worden verwerkt, waardoor
andere gebruikers niet meer handmatig met hun
ASL aan de gang hoeven.
+
+ ACPI
+
+ error messages
+
+
Hieronder staat een lijst algemene foutmeldingen, hun
oorzaken en hoe ze op te lossen:_OS afhankelijkhedenSommige AMLs gaan ervan uit dat de
wereld enkel bestaat uit &windows; versies. &os; kan zich
voordoen als elk OS om te kijken of dit
problemen oplost. Een gemakkelijke manier om dit te doen is
hw.acpi.osname="Windows 2001" in te
stellen in /boot/loader.conf of andere
gelijksoortige strings die in een ASL
staan.Ontbrekende Return OpdrachtenSommige methoden hebben geen specifieke returnwaarde,
zoals wel vereist wordt door de standaard. Hoewel
ACPI-CA hier niets mee doet, heeft &os;
de mogelijkheid tot impliciete returns. Er kunnen ook
expliciet return opdrachten toegevoegd worden waar vereist,
als het bekend is welke waarden teruggevoerd moeten worden.
Om iasl te dwingen tot compilatie van
ASL kan de schakeloptie
gebruikt worden.De Standaard AML AanpassenNadat eigen.asl aangepast is, kan
deze als volgt gecompileerd wordent:&prompt.root; iasl eigen.aslMet de optie is af te dwingen dat de
AML gemaakt wordt, zelfs als er
compileerfouten optreden. Sommige fouten (zoals ontbrekende
return opdrachten) worden automatisch opgelost door de
interpreter.DSDT.aml is de standaardnaam voor
het bestand dat door iasl wordt
geproduceerd. Dit is in plaats van de foutieve versie uit
het BIOS (die nog steeds
aanwezig is in het flashgeneugen) te laden door
/boot/loader.conf als volgt te
wijzigen:acpi_dsdt_load="YES"
acpi_dsdt_name="/boot/DSDT.aml"DSDT.aml moet in de map /boot staan.Debuguitvoer van ACPI
Verkrijgen
+
+ ACPI
+
+ problems
+
+
+
+ ACPI
+
+ debugging
+
+
Het stuurprogramma ACPI heeft een zeer
flexibele debugfaciliteit. Er kan zowel een set van
subsystemen aangegeven worden als het niveau van uitvoerigheid.
De te debuggen subsystemen worden aangegeven als lagen
(layers) en zijn opgedeeld in
ACPI-CA componenten (ACPI_ALL_COMPONENTS)
en ACPI hardware ondersteuning
(ACPI_ALL_DRIVERS). De uitvoerigheid van debuguitvoer wordt
aangegeven als het niveau (level) en gaat van
CPI_LV_ERROR (alleen fouten rapporteren) tot ACPI_LV_VERBOSE
(alles). Het niveau is een bitmasker en dus kunnen er meerdere
opties tegelijk ingeschakeld worden (gescheiden door spaties).
In de praktijk wordt wellicht een seriële console gebruikt
om de uitvoer te loggen als deze zo omvangrijk is dat de
console berichtbuffer vol loopt (misschien wel meerdere keren).
Een complete lijst van de individuele lagen en niveaus staat
in &man.acpi.4;.Debuguitvoer staat staandaard niet aan. Door
options ACPI_DEBUG toe te voegen aan het
bestand met kernelinstellingen als ACPI als
de kernel is gebouwd, wordt het ingeschakeld. Door
ACPI_DEBUG=1 toe te voegen aan
/etc/make.conf wordt het systeembreed
ingeschakeld. Als ACPI als module wordt
gebruikt (de normale situatie), dan hoeft slechts de
acpi.ko module opnieuw gecompileerd te
worden:&prompt.root; cd /sys/modules/acpi/acpi
&& make clean &&
make ACPI_DEBUG=1acpi.ko moet in
/boot/kernel komen te
staan en de gewenste debuglaag en het gewenste
niveau van uitvoerigheid dienen toegevoegd te worden aan
loader.conf. Hieronder een voorbeeld
waarmee debuguitvoer wordt aangezet voor alle
ACPI-CA componenten en alle
ACPI hardware stuurprogramma's
(CPU, LID, enzovoort.
Het niveau van uitvoerigheid is het laagst mogelijke. Er
worden alleen fouten gemeld.debug.acpi.layer="ACPI_ALL_COMPONENTS ACPI_ALL_DRIVERS"
debug.acpi.level="ACPI_LV_ERROR"Als de gezochte informatie wordt veroorzaakt door een
specifieke gebeurtenis (bijvoorbeeld in en uit slaapstand
gaan), dan kunnen wijzigingen aan
loader.conf achterwege blijven en in
plaats daarvan kan sysctl gebruikt worden om
laag en niveau in te stellen na het opstarten en zo het systeem
voor te bereiden op die specifieke gebeurtenis. De
sysctls hebben dezelfde namen als de
parameters in loader.conf.VerwijzingenMeer informatie over ACPI staat op de
volgende locaties:De &a.acpi;De ACPI mailinglijst archieven
De oude ACPI mailinglijst archieven
De ACPI 2.0 specificatie
&os; Handleidingen: &man.acpi.4;,
&man.acpi.thermal.4;, &man.acpidump.8;, &man.iasl.8;,
&man.acpidb.8;
DSDT debugging informatie.
(Gebruikt Compaq als voorbeeld, maar van algemeen
nut).
diff --git a/nl_NL.ISO8859-1/books/handbook/desktop/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/desktop/chapter.sgml
index 1251bb5341..d21d893508 100644
--- a/nl_NL.ISO8859-1/books/handbook/desktop/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/desktop/chapter.sgml
@@ -1,1414 +1,1420 @@
ChrisptopheJulietBijgedragen door RenéLadanVertaald door Bureaubladapplicaties
- Samenvatting
+ Overzicht&os; kan een groot aantal bureaubladapplicaties draaien,
zoals browsers en tekstverwerkers. De meeste hiervan zijn
beschikbaar als packages of kunnen automatisch vanuit de
portscollectie gebouwd worden. Veel nieuwe gebruikers
verwachten dit soort applicaties op hun bureaublad. Dit
hoofdstuk laat zien hoe populaire bureaubladapplicaties
moeiteloos geïnstalleerd kunnen worden vanuit een package
of vanuit de portscollectie.Als programma's vanuit ports geïnstalleerd worden, wordt
hun broncode gecompileerd. Dit kan erg lang duren, afhankelijk
van wat er gecompileerd wordt en de rekenkracht van een machine.
Als compileren vanuit broncode te veel tijd kost, kunnen de
meeste programma's van de portscollectie als een voorafgebouwd
package geïnstalleerd worden.Omdat &os; compatibel is met &linux;, zijn veel applicaties
die voor &linux; zijn ontwikkeld beschikbaar een &os; bureaublad.
Het wordt sterk aanbevolen om te lezen
voordat &linux; applicaties geïnstalleerd worden. Veel
ports die gebruik maken van &linux; compatibiliteit beginnen met
linux-. Dit is handig om te onthouden wanneer er
naar een port gezocht wordt met bijvoorbeeld &man.whereis.1;.
In dit hoofdstuk wordt aangenomen dat &linux; binaire
compatibiliteit is ingeschakeld voordat &linux; applicaties
worden geïnstalleerd.In dit hoofdstuk worden de volgende categoriën
behandeld:Browsers (zoals Mozilla,
&netscape;,
Opera,
Firefox,
Konqueror)Productiviteit (zoals
KOffice,
AbiWord,
The GIMP,
OpenOffice.org)Documentviewers (zoals
&acrobat.reader;,
gv,
Xpdf,
GQview)Financieel (zoals
GnuCash,
Gnumeric,
Abacus)Er wordt aangenomen dat de lezer van dit hoofdstuk:Weet hoe aanvullende software van derde partijen
geïnstalleerd wordt ().Weet hoe aanvullende &linux; software geïnstalleerd
wordt ().Meer informatie over een multimedia-omgeving staat in
. Installatie van e-mail staat
beschreven in .Browsers
+
+ browsers
+
+ web
+
+
&os; wordt zonder een voor-geïnstalleerde browser
geleverd. In plaats hiervan bevat de
www map van de
portscollectie browsers om te installeren. Het is ook mogelijk
voor de meeste ports een package te installeren als compileren
niet gewenst is. Compileren kan soms lang duren.KDE en
GNOME bevatten reeds HTML-browsers.
In staat meer informatie over de
installatie van deze complete bureaubladen.Lichtgewicht browsers uit de portscollectie zijn onder andere
www/dillo,
www/links of
www/w3m.Dit gedeelte behandelt deze applicaties:ApplicatieBronnenPortsAfhankelijkhedenMozillaveelzwaarGtk+&netscape;veellicht&linux; binaire compatibiliteitOperaweiniglicht&os; en &linux; versies beschikbaar. De &linux;
versie is afhankelijk van de &linux; binaire
compatibiliteit en
linux-openmotif.FirefoxgemiddeldzwaarGtk+KonquerorgemiddeldzwaarKDE bibliothekenMozillaMozillaMozilla is misschien wel de
meest geschikte browser voor &os;. Het is modern, stabiel en
volledig geschikt naar &os;. Het bevat een zeer aan de
standaarden voldoend HTML-weergave element. Het levert een
mail- en nieuwslezer. Het bevat zelfs een HTML-bewerker voor
het maken van webpagina's. Mozilla
deelt dezelfde broncodebasis met
&netscape;Communicator.Op langzame machines, met een CPU-snelheid van 233MHz of
minder dan 64MB aan RAM, kan Mozilla
te veeleisend zijn om volledig bruikbaar te zijn. In dat
geval is Opera browser een mogelijke
vervanger.Het is niet wenselijk is om
Mozilla te compileren, dan is dit al
door het &os; GNOME team gedaan. Het package kan
geïnstalleerd worden met:&prompt.root; pkg_add -r mozillaAls het package niet beschikbaar is en er genoeg tijd en
schijfruimte schikbaar zijn, kan de broncode van
Mozilla gedownload, gecompileerd en
geïnstalleerd worden. Dit gaat met:&prompt.root; cd /usr/ports/www/mozilla
&prompt.root; make install cleanDe Mozilla port zorgt voor een
correcte installatie door de
chrome registry setup met
root rechten te draaien. Als echter ook
toevoegingen zoals muisgebaren geïnstalleerd moeten worden,
dan moet Mozilla als
root gedraaid worden om dat op de juiste
wijze geïnstalleerd te krijgen.Als de installatie van Mozilla
eenmaal voltooid is, is root zijn niet
langer nodig. Mozilla kan als
browser gestart worden met:&prompt.user; mozillaHet kan direct als mailprogramma of nieuwslezer gestart
worden met:&prompt.user; mozilla -mailTomRhodesBijgedragen door Mozilla, &java;, en ¯omedia; &flash;Mozilla installeren is
eenvoudig, maar helaas neemt Mozilla
installeren met ondersteuning voor add-ons zoals &java; en
¯omedia; &flash; zowel tijd als schijfruimte in
beslag.Als eerste moeten de bestanden gedownload worden die
gebruikt worden met Mozilla. Op
kan een account aangemaakt worden. De gebruikersnaam en het
moeten bewaard worden omdat het in de toekomst nog nodig kan
zijn. Daarna dient j2sdk-1_3_1-src.tar.gz
gedownload te worden en in
/usr/ports/distfiles/ geplaatst te worden
omdat de port het bestand niet automatisch kan ophalen. Dit
komt door licentiebeperkingen. Ook kan meteen de
java environment kan vanaf
gedownload worden. De bestandsnaam is
j2sdk-1_3_1_08-linux-i586.bin en is
rond 25 megabyte groot. Ook dit bestand dient in
/usr/ports/distfiles/ te worden geplaatst.
Tenslotte dient de java patchkit van
gedownload te worden en in
/usr/ports/distfiles/ gezet te
worden.Installeer de java/jdk13 port met make
install clean en installeer vervolgens de www/flashpluginwrapper port. Deze
is afhankelijk van emulators/linux_base wat een grote
port is. Er bestaan andere &flash;
plug-ins, maar werkten niet op het moment van schrijven.Installeer de
www/mozilla port als
Mozilla niet al is
geïnstalleerd.Kopieer de &flash; plug-in
met:&prompt.root; cp /usr/local/lib/flash/libflashplayer.so \
/usr/X11R6/lib/browser_plugins/libflashplayer_linux.so&prompt.root; cp /usr/local/lib/flash/ShockwaveFlash.class \
/usr/X11R6/lib/browser_plugins/Voeg de volgende regels bovenin (meteen onder
#!/bin/sh) aan het opstartscript van
Mozilla/usr/X11R6/bin/mozilla toe:LD_PRELOAD=/usr/local/lib/libflashplayer.so.1
export LD_PRELOADMozilla kan gestart worden
met:&prompt.user; mozilla &Ga naar de About Plug-ins
optie van het Help menu. Er verschijnt een
lijst met alle beschikbare plugins.
&java; en
&shockwave; &flash; horen beiden
in de lijst te staan.&netscape;&netscape;De portscollectie bevat verschillende versies van de
&netscape; browser. Omdat in de &os; versie een serieuze
veiligheidsfout zit, wordt installatie sterk afgeraden ten
faveure van een meer recente &linux; of DIGITAL UNIX
versie.De laatste stabiele uitgave van de &netscape; browser is
&netscape; 7. Deze kan
geïnstalleerd worden vanaf de ports collectie:&prompt.root; cd /usr/ports/www/netscape7
&prompt.root; make install cleanEr zijn ook versies in de Franse, Duitse en Japanse
categoriën.&netscape; 4.x versies worden
niet aangeraden omdat ze niet voldoen aan de hedendaagse
standaarden. &netscape; 7.x en
nieuwere versies zijn echter alleen beschikbaar voor het
&i386; platform.OperaOperaOpera is een zeer snelle,
complete browser en voldoet aan standaarden. Hij komt in twee
smaken: een &os; versie en een versie die draait onder &linux;
emulatie. Voor elk besturingssysteem is er een gratis versie
van de browser (adware) en een reclameloze versie die gekocht
kan worden op de Opera website.De &os; package versie van Opera
wordt zo geïnstalleerd:&prompt.root; pkg_add -r operaSommige FTP-sites hebben niet alle packages, maar hetzelfde
resultaat kan worden behaald met de ports collectie door te
typen:&prompt.root; cd /usr/ports/www/opera>
&prompt.root; make install cleanDe &linux; versie van Opera
kan geïnstlleerd worden door bij de bovenstaande
voorbeelden linux-opera te gebruiken in
plaats van opera. De &linux; versie is
nuttig in situaties waarin plugins nodig zijn die alleen voor
&linux; beschikbaar zijn, zoals
Adobe &acrobat.reader;. In alle
andere opzichten lijken de &os; en &linux; versies identiek.
FirefoxFirefoxFirefox is de browser voor de
volgende generatie, gebaseerd op de codebase van
Mozilla.
Mozilla is een volledig pakket van
applicaties, zoals een browser, een mailclient, een chatclient
en nog veel meer. Firefox is gewoon
een browser wat het kleiner en sneller maakt.Het package is te installeren met:&prompt.root; pkg_add -r firefoxVia de portscollectie kan ook de broncode gecompileerd
worden:&prompt.root; cd /usr/ports/www/firefox
&prompt.root; make install cleanKonquerorKonquerorKonqueror is deel van
KDE maar het kan ook buiten
KDE gebruikt worden door
x11/kdebase3 te
installeren. Konqueror is veel meer
dan een browser. Het is ook een bestandsbeheerder en een
multimedia-viewer.Konqueror wordt ook met een
verzameling plugins geleverd, beschikbaar in
misc/konq-plugins.Konqueror ondersteunt ook
&flash; en er is meer informatie
beschikbaar op .
ProductiviteitAls het op productiviteit aankomt, zoeken nieuwe gebruikers
vaak een goed kantoorpakket of een vriendelijke tekstverwerker.
Hoewel sommige bureaubladomgevingen
zoals KDE reeds een kantoorpakket
verschaffen, is er geen standaardapplicatie. &os; verschaft alles
wat nodig is, ongeacht de bureaubladomgeving.Dit gedeelde behandelt deze applicaties:ApplicatieBronnenPortsAfhankelijkhedenKOfficeweinigzwaarKDEAbiWordweiniglichtGtk+ of
GNOMEThe GIMPweiniglichtGtk+OpenOffice.orgveelerg zwaarGCC 3.1,
&jdk; 1.3,
MozillaKOfficeKOfficekantoorpakketKOfficeDe KDE-gemeenschap heeft zijn bureaubladomgeving met een
kantoorpakket geleverd dat buiten KDE
gebruikt kan worden. Het bevat de vier standaardcomponenten uit
andere kantoorpakketten. KWord is de
tekstverwerker, KSpread is het
spreadsheetprogramma, KPresenter
beheert diapresentaties, en Kontour
voorziet in grafische mogelijkheden.Voordat de nieuwste KOffice
wordt geïnstalleert, moet er een recente versie van
KDE geïnstalleerd zijn.KOffice als package installeren
gaat met het volgende commando:&prompt.root; pkg_add -r kofficeAls het package niet beschikbaar is, kan de portscollectie
gebruiken worden. Om KOffice voor
KDE3 te installeren:&prompt.root; cd /usr/ports/editors/koffice-kde3
&prompt.root; make install cleanAbiWordAbiWordAbiWord is een vrij
tekstverwerkingsprogramma, ongeveer gelijk aandoet als
µsoft; Word. Het is geschikt
om verslagen, brieven, rapporten, memo's, enz. mee te typen.
Het is erg snel, bevat veel mogelijkheden en is erg
gebruikersvriendelijk.AbiWord kan veel
bestandsformaten in- en uitvoeren, waaronder enkele formaten
zoals µsoft; .doc.AbiWord is beschikbaar als
package en te installeren met:&prompt.root; pkg_add -r AbiWord2Als het package niet beschikbaar is, kan het worden
gecompileerd vanuit de ports collectie. De ports collectie is
meer recent. Dat kan als volgt:&prompt.root; cd /usr/ports/editors/AbiWord2
&prompt.root; make install cleanThe GIMPThe GIMPVoor het bewerken of retoucheren van afbeeldingen is
The GIMP een zeer geavanceerd
afbeeldingenmanipulatieprogramma. Het kan als eenvoudig
tekenprogramma worden gebruikt of als kwalititeitspakket voor
het retoucheren van foto's. Het ondersteunt een groot aantal
plugins en bevat een scripting interface.
The GIMP kan een groot aantal
bestandsformaten lezen en schrijven. Het ondersteunt
interfaces met scanners en tabletten.Het pakket is te installeren als package met:&prompt.root; pkg_add -r gimpAls een FTP-site dit package niet heeft, kan de
portscollectie gebruikt worden. De graphics map van
de portscollectie bevat ook
The GIMP Manual. Die kan zo
geïnstalleerd worden:&prompt.root; cd /usr/ports/graphics/gimp
&prompt.root; make install clean
&prompt.root; cd /usr/ports/graphics/gimp-manual-pdf
&prompt.root; make install cleanDe
graphics
map van de portscollectie bevat de ontwikkelversie van
The GIMP in graphics/gimp-devel. Een HTML
versie van The GIMP Manual staan
in graphics/gimp-manual-html.OpenOffice.orgOpenOffice.orgkantoorpakketOpenOffice.orgOpenOffice.org bevat alle
noodzakelijke applicaties in een compleet
kantoorproductiviteitspakket: een tekstverwerker,
een spreadsheet, een presentatiebeheerder en een
tekenprogramma. De gebruikersinterface is vrijwel gelijk aan
die van andere kantoorpakketten en het kan veel populaire
bestandsformaten in- en uitvoeren. Het is beschikbaar in een
aantal verschillende talen met interfaces, spellingcontrole en
woordenboeken.De tekstverwerker van
OpenOffice.org gebruikt een eigen
XML-bestandsformaat voor overdraagbaarheid en flexibiliteit.
Het spreadsheetprogramma bevat een macrotaal en kan gekoppeld
worden aan externe databases.
OpenOffice.org is stabiel en draait
zonder aanpassingen op &windows;, &solaris;, &linux;, &os; en
&macos; X. Meer informatie over
OpenOffice.org staat op de OpenOffice website.
Voor specifieke &os; informatie en om direct packages te
downloaden is er de website van het &os; OpenOffice
Porting Team.Om OpenOffice.org te
installeren:&prompt.root; pkg_add -r openofficeAls het package geïnstalleerd is, moet het
installatieprogramma gedraaid worden en gekozen worden voor
. Dit
programma dient uitgevoerd te worden door de gebruiker die
OpenOffice.org gaat
gebruiken:&prompt.user; openoffice-setupAls de OpenOffice.org packages
niet beschikbaar zijn, kan het uit de ports gecompileerd
worden. Hiervoer is veel schijfruimte en tijd nodig:&prompt.root; cd /usr/ports/editors/openoffice-1.1
&prompt.root; make install cleanAls de installatie klaar is, moet het installatieprogramma
gedraaid worden en gekozen worden voor . Dit programma dient
uitgevoerd te worden door de gebruiker die
OpenOffice.org gaat
gebruiken:&prompt.user; cd /usr/ports/editors/openoffice-1.1
&prompt.user; make install-userVertaalde versies zijn als de onderstaande ports
beschikbaar:TaalPortCatalaanseditors/openoffice-1.1-caTsjechischeditors/openoffice-1.1-csDeenseditors/openoffice-1.1-dkGriekseditors/openoffice-1.1-grSpaanseditors/openoffice-1.1-esEstlandseditors/openoffice-1.1-etFinseditors/openoffice-1.1-fiItaliaanseditors/openoffice-1.1-itNederlandseditors/openoffice-1.1-nlZweedseditors/openoffice-1.1-seSlowaakseditors/openoffice-1.1-skSloveenseditors/openoffice-1.1-sl_SITurkseditors/openoffice-1.1-trArabischarabic/openoffice-1.1Chinees (Vereenvoudigd)chinese/openoffice-1.1-zh_CNChinees (Traditioneel)chinese/openoffice-1.1-zh_TWFransfrench/openoffice-1.1Duitsgerman/openoffice-1.1Hongaarshungarian/openoffice-1.1Japansjapanese/openoffice-1.1Koreaanskorean/openoffice-1.1Poolspolish/openoffice-1.1Portugees (Braziliaans)portuguese/openoffice-1.1-pt_BRPortugeesportuguese/openoffice-1.1-pt_PTRussischrussian/openoffice-1.1DocumentviewersHet kan zijn dat de standaardviewers voor een aantal
populaire bestandsformaten niet in het basissysteem zitten. In
dit gedeelte wordt aangegeven hoe die geïnstalleerd kunnen
worden.Dit gedeelte behandelt deze applicaties:ApplicatieBronnenPortsAfhankelijkheden&acrobat.reader;weiniglicht&linux; binaire compatibiliteitgvweiniglichtXaw3dXpdfweiniglichtFreeTypeGQviewweiniglichtGtk+ of
GNOME&acrobat.reader;&acrobat.reader;PDFbekijkenDocumenten worden vaak als PDF-bestanden, Portable
Document Format, verspreid. Een van de aanbevolen
viewers voor dit bestandstype is
&acrobat.reader; dat Adobe voor
&linux; heeft uitgegeven. Omdat &os; &linux; binaries kan
draaien, is het ook beschikbaar voor &os;.Het &acrobat.reader; 5 package
wordt geïnstalleerd met:&prompt.root; pkg_add -r acroreadZoals gewoonlijk kan ook de portscollectie gebruikt worden
als het package niet beschikbaar is:&prompt.root; cd /usr/ports/print/acroread5
&prompt.root; make install cleangvgvPDFbekijken&postscript;bekijkengv is een &postscript; en PDF
viewer. Het is gebaseerd op
ghostview maar heeft een
vriendelijker uiterlijk dankzij de
Xaw3d bibliotheek. Het is snel en
heeft mogelijkheden als oriëntatie, papiergrootte, schalen
en anti-aliassen. Bijna elke bewerking kan met het
toetsenbord of de muis worden gedaan.gv is als package te
installeren:&prompt.root; pkg_add -r gvOf uit de portscollectie:&prompt.root; cd /usr/ports/print/gv
&prompt.root; make install cleanXpdfXpdfPDFbekijkenXpdf een efficiënte
lichtgewicht PDF-viewer voor &os;. Het heeft erg weinig
bronnen nodig en is zeer stabiel. Het gebruikt de standaard
X-fonts en is niet afhankelijk van
&motif; of andere X-toolkits.Xpdf is als package te
installeren:&prompt.root; pkg_add -r xpdfOf uit de portscollectie:&prompt.root; cd /usr/ports/graphics/xpdf
&prompt.root; make install cleanAls de installatie voltooid is, kan
Xpdf gestart worden en het menu kan
met de rechtermuisknop geactiveerd worden.GQviewGQviewGQview is een
afbeeldingenbeheerder. Een bestand kan met één
klik bekeken worden, er kan een externe editor opgestart worden
er kunnen thumbnail-voorbeelden gemaakt worden en nog veel
meer. Het bevat ook een diapresentatie-modus en enkele
standaard bestandsoperaties. Er kunnen
afbeeldingsverzamelingen beheerd worden en eenvoudig duplicaten
gevonden worden. GQview het
completekan scherm gebruiken ondersteunt meerdere talen.GQview is als package te
installeren:&prompt.root; pkg_add -r gqviewOf vanuit de portscollectie:&prompt.root; cd /usr/ports/graphics/gqview
&prompt.root; make install cleanFinanciënOm financiën via het &os; bureaublad te beheren zijn er
krachtige en gemakkelijk te gebruiken applicaties om te
installeren. Sommige zijn compatibel met wijdverbreide
bestandsformaten zoals Quicken of
Excel documenten.Dit gedeelte behandelt deze applicaties:ApplicatieBronnenPortsAfhankelijkhedenGnuCashweinigzwaarGNOMEGnumericweinigzwaarGNOMEAbacusweiniglichtTcl/TkGnuCashGnuCashGnuCash is onderdeel van
GNOME dat gebruikersvriendelijke en
krachtige applicaties aan eindgebruikers wil leveren. Met
GnuCash kunnen inkomsten en
uitgaven, bankrekeningen en voorraden bijgehouden worden. Het
bevat een intuïtieve interface terwijl het erg
professioneel blijft.GnuCash levert een slim kasboek,
een hiërarchisch systeem van rekeningen, veel
toetsenbordversnellers en auto-invul mogelijkheden. Het een
transactie splitsen in meer gedetailleerde stukken.
GnuCash kan
Quicken QIF-bestanden invoeren en
samenvoegen. Het kan ook met de meeste internationale datum-
en valutaformaten omgaan.GnuCash is als package te
installeren:&prompt.root; pkg_add -r gnucashOf uit de portscollectie:&prompt.root; cd /usr/ports/finance/gnucash
&prompt.root; make install cleanGnumericGnumericspreadsheetGnumericGnumeric is een spreadsheet uit
de GNOME bureaubladomgeving. Het
maakt gebruikt van auto-invullen afhankelijk van
het celformaat. Het kan bestanden in een aantal populaire
formaten zoals Excel,
Lotus 1-2-3 en
Quattro Pro inlezen.
Gnumeric ondersteunt grafieken door
middel van het grafiekprogramma math/guppi. Het heeft een groot
aantal ingebouwde functies en kent gebruikelijke celformaten
als nummer, valuta, datum, tijd en veel meer.Gnumeric is als package te
installeren:&prompt.root; pkg_add -r gnumericOf uit de portscollectie:&prompt.root; cd /usr/ports/math/gnumeric
&prompt.root; make install cleanAbacusAbacusspreadsheetAbacusAbacus is een kleine en
gemakkelijk te gebruiken spreadsheet en bevat veel ingebouwde
functies die nuttig zijn in verschillende domeinen zoals
statistiek, financiën, en wiskunde. Het kan
Excelbestanden lezen en schrijven.
Abacus kan &postscript;
uitvoer produceren.Abacus is als package te
installeren:&prompt.root; pkg_add -r abacusOf uit de portscollectie:&prompt.root; cd /usr/ports/deskutils/abacus
&prompt.root; make install cleanSamenvattingHoewel &os; populair is bij ISP's om zijn prestaties en
stabiliteit, is het behoorlijk klaar voor dagelijks gebruik als
een bureaublad. Met enkele duizenden applicaties als packages of ports, is een perfect
bureaublad te bouwen dat aan alle noden voldoet.Als een bureaublad is geïnstalleerd is het mogelijk een
stap verder te gaan met misc/instant-workstation. Met deze
meta-port kan een verzameling ports gebouwd worden
die aangepast kan worden door
/usr/ports/misc/instant-workstation/Makefile
te bewerken en de gebruikte syntaxis voor de standaardverzameling
om ports toe te voegen of te verwijderen te gebruiken. Het
bouwen gaat volends de gebruikelijke procedure. Uiteindelijk is
het zo mogelijk één groot package te creëren
voldoet aan de persoonlijke eisen van een gebruiker dat te
installeren is op alle gebruikte werkstations!Nu volgt nog een overzicht van alle bureaubladapplicaties die
in dit hoofdstuk zijn behandeld:ApplicatiePackagePortMozillamozillawww/mozilla&netscape;linux-netscape7www/netscape7Operalinux-operawww/linux-operaFirefoxfirefoxwww/firefoxKOfficekoffice-kde3editors/koffice-kde3AbiWordAbiWord2editors/AbiWord2The GIMPgimpgraphics/gimpOpenOffice.orgopenofficeeditors/openoffice-1.1&acrobat.reader;acroread5print/acroread5gvgvprint/gvXpdfxpdfgraphics/xpdfGQviewgqviewgraphics/gqviewGnuCashgnucashfinance/gnucashGnumericgnumericmath/gnumericAbacusabacusdeskutils/abacus
diff --git a/nl_NL.ISO8859-1/books/handbook/kernelconfig/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/kernelconfig/chapter.sgml
index d53d6e881f..fcc80c472d 100644
--- a/nl_NL.ISO8859-1/books/handbook/kernelconfig/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/kernelconfig/chapter.sgml
@@ -1,1919 +1,1917 @@
JimMockBijgewerkt en opnieuw gestructureerd door JakeHambyOorspronkelijk bijgedragen door RenéLadanVertaald door Het Instellen van de &os;-kernelSamenvattingkerneleen eigen kernel bouwenDe kernel is de kern van het &os;-besturingssysteem en is
verantwoordelijk voor het geheugenbeheer, het opleggen van
beveiligingsregels, het aansturen van het netwerk, de toegang tot
schijven en nog veel meer. Hoewel steeds meer in &os; dynamisch
instelbaar wordt, is het af en toe nodig om de kernel opnieuw in
te stellen en te compileren.Na het lezen van dit hoofdstuk weet de lezer:Waarom het nodig is om een eigen kernel te bouwen;
Hoe een nieuw kernelinstellingenbestand te schrijven of
een bestaand kernelinstellingenbestand aan te passen;Hoe het kernelinstellingenbestand te gebruiken om een
nieuwe kernel aan te maken en te bouwen;Hoe een nieuwe kernel te installeren;Hoe de ingangen in /dev die nodig
kunnen zijn aan te maken;Hoe problemen op te lossen als er iets verkeerd gaat.
Alle opdrachten die in dit hoofdstuk als voorbeeld zijn
gegeven moeten als root uitgevoerd worden om
te slagen.Redenen om een Eigen Kernel te BouwenTraditioneel heeft &os; zoals dat heet een
monolitische kernel gehad. Dit betekent dat de
kernel één groot programma was, een vaste lijst
van apparaten ondersteunde en als het gewenst was om het gedrag
van de kernel te veranderen, moest er een nieuwe kernel
gecompileerd worden en moest daarna de computer opnieuw gestart
worden met de nieuwe kernel.Vandaag de dag beweegt &os; zich snel naar een model waar
veel van de functionaliteit van de kernel in modules zit die
dynamisch in en uit de kernel kunnen worden geladen, naargelang
dat noodzakelijk is. Dit stelt de kernel in staat om zich aan
nieuwe hardware aan te passen die plotseling beschikbaar komt
(zoals PCMCIA-kaarten in een laptop) of om nieuwe functionaliteit
in zich op te nemen die niet noodzakelijk was toen de kernel
oorspronkelijk werd gecompileerd. Dit staat bekend als een
modulaire kernel.Desondanks is het nog steeds nodig om enkele dingen van de
kernel statisch in te stellen. In sommige gevallen komt dit
doordat de functionaliteit zo diep geworteld zit in de kernel dat
het niet dynamisch laadbaar gemaakt kan worden. In andere
gevallen kan het simpelweg komen doordat nog niemand de tijd
heeft genomen om een dynamisch laadbare kernelmodule voor die
functionaliteit te schrijven.Het bouwen van een eigen kernel is een van de meest
belangrijke beproevingen die bijna elke BSD-gebruiker moet
doorstaan. Hoewel dit proces veel tijd in beslag neemt, levert
het veel voordelen op voor een &os; systeem. In tegenstelling
tot de GENERIC-kernel, die vele typen
hardware moet ondersteunen, ondersteunt een eigen kernel alleen
de hardware van de computer waar hij voor gemaakt is. Dit biedt
een aantal voordelen, zoals:Een snellere opstarttijd. Aangezien de kernel alleen de
hardware zoekt die zich in het systeem bevindt, kan de tijd
die het systeem nodig heeft om op te starten aanzienlijk
korter worden;Minder geheugengebruik. Een eigen kernel gebruikt vaak
minder geheugen dan de GENERIC-kernel,
wat van belang is aangezien de kernel zich altijd in het
echte geheugen moet bevinden. Om deze reden is een eigen
kernel geknipt voor een systeem met een kleine hoeveelheid
RAM;Aanvullende hardware-ondersteuning. Een eigen kernel kan
ingebouwde ondersteuning bieden voor apparaten die zich niet
in de GENERIC-kernel bevinden, zoals
geluidskaarten.Bouwen en Installeren van een Eigen Kernelkernelbouwen / installerenEerst wordt er een overzicht gegeven van de mappen waarin de
kernel gebouwd wordt. Alle genoemde mappen staan onder de map
/usr/src/sys, die ook toegankelijk is via
de padnaam /sys. Er zijn hier een aantal
mappen aanwezig die de verschillende delen van de kernel
representeren, maar de meest belangrijke hiervan zijn
arch/conf, waarin
de eigen kernelinstellingen bewerkt worden en
compile, waarin de eigen kernel gebouwd
wordt. arch representeert hier
één van i386,
alpha, amd64,
ia64, powerpc,
sparc64 of pc98 (een
alternatieve ontwikkelingstak van PC-hardware die populair is in
Japan). Alles binnen de map van een bepaalde architectuur is er
alleen voor die architectuur. De rest van de code is
machine-onafhankelijk en hetzelfde op alle platformen waarnaar
&os; eventueel geport kan worden. De indeling van de
mapstructuur is logisch: alle ondersteunde apparaten,
bestandssystemen en opties staan in een eigen submap. Versies
van &os; beneden 5.X ondersteunen alleen de
i386-, alpha- en
pc98-architecturen.Dit hoofdstuk veronderstelt dat de i386-architectuur in de
voorbeelden gebruikt wordt. Als dit voor de lezer anders is,
moeten de juiste aanpassingen aan de padnamen worden gemaakt voor
de architectuur van zijn systeem.Als de map /usr/src/sysniet aanwezig is op een systeem, dan is de
kernelbroncode niet geïnstalleerd. De eenvoudigste manier
om dit te doen is door sysinstall (
/stand/sysinstall voor versies van &os;
ouder dan 5.2) te draaien als root en
Configure,
Distributions,
src, sys
te kiezen. Als sysinstall ongewenst
is en er toegang is tot een officiële
&os;-CDROM, is de broncode ook vanaf de opdrachtregel te
installeren:&prompt.root; mount /cdrom
&prompt.root; mkdir -p /usr/src/sys
&prompt.root; ln -s /usr/src/sys /sys
&prompt.root; cat /cdrom/src/sys.[a-d]* | tar -xzvf -Daarna kan vanuit de map
arch/conf het
instellingenbestand GENERIC naar de naam
voor de eigen kernel gekopieerd worden:&prompt.root; cd /usr/src/sys/i386/conf
&prompt.root; cp GENERIC MIJNKERNELTraditioneel bestaat deze naam geheel uit hoofdletters en als
er meerdere &os;-machines worden beheerd met verschillende
hardware is het een goed idee om het te vernoemen naar de
hostnaam van de machine. Omwille van dit voorbeeld wordt het
MIJNKERNEL genoemd.Het kernelinstellingenbestand direct onder
/usr/src opslaan kan een slecht idee zijn.
In geval van problemen kan het verleidelijk zijn om
/usr/src te verwijderen en opnieuw te
beginnen. Nadat dit gedaan is kost het vaak maar enkele
seconden om te realiseren dat het instellingenbestand voor de
eigen kernel verwijderd is. Ook moet
GENERIC niet gewijzigd worden, omdat het
tijdens de volgende keer dat de
broncodestructuur bijgewerkt wordt, overschreven kan
worden waarbij de wijzigingen in de kernelinstellingen verloren
gaan.Het kan gewenst zijn om het kernelinstellingenbestand
ergens anders op te slaan en een symbolische link naar het
bestand in de map
i386 aan te
maken:&prompt.root; cd /usr/src/sys/i386/conf
&prompt.root; mkdir /root/kernels
&prompt.root; cp GENERIC /root/kernels/MIJNKERNEL
&prompt.root; ln -s /root/kernels/MIJNKERNELNu moet MIJNKERNEL met de favoriete
tekstverwerker bewerkt worden. Voor beginners is waarschijnlijk
alleen de tekstverwerker vi
beschikbaar, die te ingewikkeld is om hier te beschrijven, maar
goed is beschreven in vele boeken in de bibliografie. &os; biedt ook de
eenvoudigere tekstverwerker ee, die
voor een beginner de keuze bij uitstek is. De commentaarregels
in het begin kunnen gewijzigd worden om de persoonlijke
instellingen of de veranderingen die gemaakt zijn ten opzichte
van GENERIC weer te geven.&sunos;Voor degenen die een kernel op &sunos; of een andere BSD
hebben gebouwd zal veel van dit bestand bekend voorkomen.
Echter, voor degenen die van een ander besturingssysteem zoals
DOS komen, kan het instellingenbestand
GENERIC overdonderend overkomen, dus moeten
de beschrijvingen in de sectie Het Instellingenbestand
zorgvuldig opgevolgd worden.Als de broncodestructuur
gesynchroniseerd is met de nieuwste broncode van het
&os;-project, moet altijd
/usr/src/UPDATING gelezen worden voordat
enige updatestappen worden genomen. Dit bestand beschrijft
alle belangrijke zaken en gebieden binnen de broncodestructuur
die speciale aandacht nodig hebben.
/usr/src/UPDATING komt altijd overeen met
de lokale versie van de &os;-broncode en is daarom meer
bijgewerkt met nieuwe informatie dan dit handboek.Nu moet de broncode voor de kernel gecompileerd worden.
Hiervoor zijn twee procedures beschikbaar en degene die gebruikt
wordt hangt af van de reden waarom de kernel opnieuw gebouwd
wordt en de gebruikte versie van &os;.Als alleen de kernelbroncode is
geïnstalleerd, moet procedure 1 gevolgd worden.Als een versie van &os; lager dan 4.0 wordt gedraaid, en
er niet wordt geupdate naar
&os; 4.0 of hoger door middel van de
make buildworld–procedure, moet
procedure 1 gebruikt worden.Als er een nieuwe kernel gebouwd wordt zonder dat de
broncode geupdate wordt (misschien om een nieuwe optie, zoals
IPFIREWALL, toe te voegen), kunnen beide
procedures gebruikt worden.Als de kernel opnieuw wordt gebouwd als onderdeel van een
make buildworld-proces, moet procedure 2
gebruikt worden.cvsup
- anonieme CVS
-
CTMCVSanoniemAls de broncodestructuur niet op enige
wijze bijgewerkt is sinds de laatste keer dat er met succes een
buildworld-installworld
cyclus werd uitgevoerd, CVSup noch
CTM werden gedraaid en
anoncvs werd niet gebruikt, dan is
het veilig om config,
make depend, make,
make install te gebruiken.Procedure 1. Een Kernel op Traditionele
Wijze BouwenDraai &man.config.8; om de kernelbroncode aan te
maken:&prompt.root; /usr/sbin/config MIJNKERNELGa naar de bouwmap. &man.config.8; geeft de naam van
deze map nadat het gedraaid is zoals boven is
aangegeven:&prompt.root; cd ../compile/MIJNKERNELVoor &os; versies lager dan 5.0 moet het volgende
gebruikt worden:&prompt.root; cd ../../compile/MIJNKERNELCompileer de kernel:&prompt.root; make depend
&prompt.root; makeInstalleer de nieuwe kernel:&prompt.root; make installProcedure 2. Een Kernel op de Nieuwe Wijze
bouwenGa naar de map /usr/src:&prompt.root; cd /usr/srcCompileer de kernel:&prompt.root; make buildkernel KERNCONF=MIJNKERNELInstalleer de nieuwe kernel:&prompt.user; make installkernel KERNCONF=MIJNKERNELIn &os; 4.2 en eerder moet
KERNCONF= door KERNEL=
vervangen worden. Een 4.2-STABLE die voor 2 februari 2001 is
opgehaald herkent KERNCONF= niet./boot/kernel.oldDe nieuwe kernel wordt naar de map /boot/kernel gekopieerd als
/boot/kernel/kernel en de oude kernel wordt
verplaatst naar /boot/kernel.old/kernel. Nu
moet het systeem afgesloten worden en opnieuw worden opgestart om
gebruik te maken van de nieuwe kernel. Er zijn wat instructies
voor problemen
oplossen aan het einde van dit hoofdstuk, die erg nuttig
kunnen zijn als er iets misgaat. Vergeet niet om het gedeelte te
lezen waarin staat uitgelegd hoe te herstellen als de nieuwe
kernel niet
opstart.In &os; 4.X en eerder worden kernels in
/kernel en modules in /modules geïnstalleerd en
worden oude kernels gebackupt in
/kernel.old. Andere bestanden die te
maken hebben met het opstartproces, zoals de boot
&man.loader.8; en instellingen worden opgeslagen in
/boot. Modules van derde partijen of
eigen modules kunnen in /modules opgeslagen worden,
alhoewel gebruikers erop bedacht moeten zijn dat het erg
belangrijk is dat de modules synchroon worden gehouden met de
gecompileerde kernel. Modules die niet bedoeld zijn om met de
gecompileerde kernel te draaien kunnen voor instabiliteit of
onjuistheden zorgen.Als er nieuwe apparaten (zoals geluidskaarten) zijn
toegevoegd en &os; 4.X of eerder wordt gedraaid, kan het
zijn dat er enkele apparaatnodes aan de map /dev moeten worden toegevoegd,
voordat ze gebruikt kunnen worden. Er staat meer informatie
in het Apparaatnodes
maken later in dit hoofdstuk.JoelDahlBijgewerkt voor &os; 5.X door Het InstellingenbestandkernelNOTESkernelLINTNOTESLINTkernelinstellingenbestandHet algemene formaat van een instellingenbestand is vrij
eenvoudig. Elke regel bevat een sleutelwoord en
één of meer argumenten. Omwille van de eenvoud
bevatten de meeste regels maar één argument. Alles
wat na een # komt, wordt als commentaar
beschouwd en genegeerd. De volgende gedeelten beschrijven elk
sleutelwoord, in het algemeen in dezelfde volgorde als
GENERIC, alhoewel sommige samenhangende
sleutelwoorden gegroepeerd zijn in een enkel gedeelte (zoals
Netwerken) zelfs al staan ze verspreid in het bestand
GENERIC.
Een uitputtende lijst van architectuurafhankelijke opties en
apparaten staat in het bestand NOTES, dat in
dezelfde map staat als GENERIC.
Architectuuronafhankelijke opties staan in
/usr/src/sys/conf/NOTES.NOTES bestaat niet in &os; 4.X.
In plaats daarvan bevat het bestand LINT
een uitgebreide uitleg over opties en apparaten in
GENERIC. LINT had
twee doelen in 4.X: een naslagwerk leveren om kernelopties te
kiezen voor het bouwen van een eigen kernel en een
kernelinstelling leveren met zoveel mogelijk instelbare opties
ingesteld op niet-standaardwaarden. De redenering hierachter
was dat zo'n instelling veel hielp (en nog steeds helpt) met
het testen van nieuwe code en veranderingen aan bestaande code
die conflicten met andere delen van de kernel kunnen
veroorzaken. Er zijn in 5.X echter een hoop veranderingen
gemaakt aan het raamwerk van kernelinstellingen. Een voorbeeld
hiervan is dat de instelopties van de stuurprogramma's zijn
verplaatst naar een bestand hints zodat ze
tijdens het opstarten dynamisch veranderd en geladen kunnen
worden, en LINT kon deze aanwijzingen niet
meer bevatten. Om deze en andere redenen is
LINT hernoemd tot
NOTES en heeft het hoofdzakelijk z'n
eerste bestaansreden gehouden: de beschikbare opties
documenteren voor gebruikersgemak.In &os; 5.X en latere versies is het nog steeds
mogelijk om een bouwbaar bestand LINT aan
te maken door middel van:&prompt.root; cd /usr/src/sys/i386/conf && make LINTkernelinstellingenbestandHet volgende is een voorbeeld van het
kernelinstellingenbestand GENERIC met
aanvullend commentaar omwille van de helderheid. Dit voorbeeld
is redelijk gelijk aan de versie in
/usr/src/sys/i386/conf/GENERIC.#
# GENERIC -- Standaard kernelinstellingenbestand voor &os;/i386
#
# Meer informatie over dit bestand staat in het onderdeel Het Instellen
# van de FreeBSD-kernel in het handboek:
#
# http://www.FreeBSD.org/doc/nl_NL.ISO8859-1/books/handbook/kernelconfig-config.html
#
# Het handboek is ook lokaal beschikbaar in /usr/share/doc/handbook
# als de doc distributie is geïnstalleerd. Op de &os; World Wide Web
# server (http://www.FreeBSD.org/) staat altijd de meest recente
# informatie.
#
# Een uitputtende lijst met opties en meer gedetailleerde beschrijving
# van de apparaatregels staat ook in de bestanden ../../conf/NOTES en
# NOTES.
# Bij twijfel over het doel en de noodzaak van een regel dient eerst in
# NOTES gekeken te worden.
#
# $FreeBSD: /repoman/r/ncvs/src/sys/i386/conf/GENERIC,v 1.413 2004/08/11 01:34:18 rwatson Exp $De volgende sleutelwoorden zijn noodzakelijk in
elke kernel die gebouwd wordt:kerneloptiesmachinemachine i386Dit is de architectuur van de machine. Het moet
één van alpha,
amd64, i386,
ia64, pc98,
powerpc of sparc64
zijn.kerneloptiescpucpu I486_CPU
cpu I586_CPU
cpu I686_CPUBovenstaande optie geeft het type CPU aan dat in een systeem
zit. De CPU-regel kan meerdere keren voorkomen (als bijvoorbeeld
onbekend is of I586_CPU of
I686_CPU gebruikt moet worden), maar voor een
eigen kernel is het beter om alleen de aanwezige CPU aan te
geven. Als er twijfel bestaat over het type CPU, kan het bestand
/var/run/dmesg.boot worden bekeken voor de
opstartberichten.kerneloptiescputypeDe broncode van &os; bevat nog steeds ondersteuning voor
I386_CPU, maar staat standaard uit in zowel
-STABLE als -CURRENT. Dit betekent dat er nu de volgende
mogelijkheden zijn om &os; op een CPU van de 386-klasse te
installeren:Installeer een oudere versie van &os; en herbouw vanuit
de broncode zoals beschreven staat in .Bouw userland en de kernel op een nieuwere machine en
verricht de installatie op de 386 door gebruik te maken van
de voorgecompileerde bestanden in
/usr/obj (in
staan details).Maak een eigen versie van &os; die ondersteuning voor
I386_CPU bevat in de kernels van de
installatie-CDROM.De eerste van deze opties is waarschijnlijk de
gemakkelijkste, maar deze heeft veel schijfruimte nodig wat een
probleem kan zijn voor 386-klasse machines.kerneloptiesidentident GENERICDit is de identificatie van de kernel. Dit moet veranderd
worden in de naam van de kernel, dus
MIJNKERNEL als de instructies van de
voorgaande voorbeelden gevolgd zijn. De waarde in de string
ident wordt afgebeeld wanneer de kernel
opstart, dus is het handig om de nieuwe kernel een andere naam te
geven als deze apart moet worden gehouden van de gebruikelijke
kernel (als er bijvoorbeeld een experimentele kernel gebouwd
wordt).kerneloptiesmaxusersmaxusers nDe optie maxusers stelt de grootte van een
aantal belangrijke systeemtabellen in. Dit aantal moet ruwweg
gelijk zijn aan het aantal gebruikers dat verwacht wordt
gelijktijdig van de machine gebruik te maken.Met ingang van &os; 4.5 stelt het systeem deze waarde
zelf in als deze uitdrukkelijk op 0 is gezet.
Het auto-tuning-algoritme stelt
maxusers in afhankelijk van de hoeveelheid
geheugen in het systeem, met een minimum van 32 en een
maximum van 384.
In &os; 5.X en hoger heeft maxusers een
standaardwaarde van 0 als deze niet gespecificeerd is. Als er
een versie van &os; lager dan 4.5 wordt gebruikt of het gewenst
is om de waarde zelf te beheren, wordt aangeraden om
maxusers minstens op 4 te zetten, met name als
het X Window Systeem in gebruik is of als er software
gecompileerd wordt. De reden hiervoor is dat de belangrijkste
tabel die door maxusers ingesteld wordt, het
maximum aantal processen is, dat ingesteld wordt op 20 +
16 * maxusers, dus als maxusers op 1
ingesteld wordt, zijn er maar 36 gelijktijdige processen
mogelijk, inclusief de ongeveer achttien processen die door het
systeem tijdens het opstarten start en de ongeveer vijftien
processen die waarschijnlijk aangemaakt worden door het opstarten
van het X Window Systeem. Zelfs een eenvoudige taak als het
afbeelden van een hulppagina start negen processen op om de
pagina te filteren, te decomprimeren en af te beelden. Als
maxusers op 64 ingesteld wordt, zijn er 1044
gelijktijdige processen mogelijk, wat genoeg moet zijn voor bijna
alle soorten gebruik. Als echter de gevreesde fout
proc table full verschijnt als er
geprobeerd wordt om een programma op te starten of als er een
server gedraaid wordt met een groot aantal gelijktijdige
gebruikers, zoals ftp.FreeBSD.org,
kan het getal altijd verhoogd worden en kan de kernel opnieuw
gebouwd worden.maxusers stelt geen
grens aan het aantal gebruikers dat op de machine kan
aanmelden. Het stelt gewoon verschillende tabelgroottes in op
redelijke waardes, uitgaande van het maximum aantal gebruikers
dat waarschijnlijk de machine gebruikt en van het aantal
processen dat elk van deze gebruikers zal draaien. Een
sleutelwoord dat wel het aantal
gelijktijdige aanmeldingen op afstand en X-terminalvensters
begrenst is pseudo-device pty
16. In &os; 5.X kan dit getal
genegeerd worden omdat daar het stuurprogramma &man.pty.4;
auto-cloning is. Er kan eenvoudig gebruik
worden gemaakt van de regel device pty in
het instellingenbestand.# Floating point ondersteuning - niet uitschakelen.
device npxnpx is de interface naar de wiskundige
floating point-eenheid in &os;, die ofwel de hardware coprocessor
is ofwel de softwarematige wiskundige emulator. Dit is
niet optioneel.# Pseudo devices
device loop # Netwerk loopbackDit is het generieke loopbackapparaat voor TCP/IP. Als
telnet of FTP op localhost (ook bekend als
127.0.0.1) gebruikt wordt, loopt
dat via dit apparaat. Dit is verplicht. Op
&os; 4.X moet de volgende regel gebruikt worden:# Gebruiken in &os; 4.X
pseudo-device loopAlles wat nu volgt is min of meer optioneel. Meer informatie
over elke optie staat in de notities eronder of ernaast.#Om statisch te compileren in device wiring in plaats van /boot/device.hints.
#hints "GENERIC.hints" # Standaardlocatie voor devices.In &os; 5.X en nieuwer wordt &man.device.hints.5;
gebruikt om opties van de programma's die de apparaten aansturen
in te stellen. De standaardplaats die &man.loader.8; controleert
tijdens het opstarten is /boot/device.hints.
Met de optie hints is het mogelijk om deze
aanwijzingen statisch in de kernel te compileren, waardoor er
geen noodzaak is om een bestand device.hints
in /boot aan te maken.#makeoptions DEBUG=-g # Bouw kernel met gdb(1) debug symbolen.Om ruimte te sparen in de installatieplaats voegt het normale
bouwproces van &os; geen debug-informatie toe tijdens het bouwen
van de kernel en stript de meeste symbolen nadat de resulterende
kernel is gelinkt. Voor het testen van kernels van de tak
-CURRENT of van zelfgemaakte veranderingen in de &os;-kernel kan
het gewenst zijn om deze regel uit te commentariëren. Dit
zet het gebruik van de optie aan die
debug-informatie aanzet als de broncode wordt doorgegeven aan
&man.gcc.1;. Hetzelfde kan bereikt worden met de optie
van &man.config.8; als de
traditionele manier wordt gebruikt om een kernel
te bouwen. Meer informatie staat in .options SCHED_4BSD # 4BSD taakplannerDe traditionele taakplanner voor &os;. Afhankelijk van de
systeembelasting kan de prestatie worden verhoogd door de nieuwe
scheduler ULE voor &os; te gebruiken, die speciaal voor SMP
ontworpen is, maar ook goed werkt op UP-systemen. Vervang
desgewenst, om deze uit te proberen,
SCHED_4BSD door SCHED_ULE
in het instellingenbestand.options INET # internetwerkenNetwerkondersteuning. Laat dit aanstaan, zelfs als een
verbinding met een netwerk niet gepland is. De meeste
programma's hebben tenminste een loopbacknetwerk nodig (dat wil
zeggen het maken van netwerkverbindingen binnen de PC), dus dit
is eigenlijk verplicht.options INET6 # IPv6 communicatieprotocollenDit zet de IPv6-communicatieprotocollen aan.options FFS # Berkeley Fast BestandssysteemDit is het basisbestandssysteem voor de harde schijf. Laat
dit erin staan als er vanaf de harde schijf wordt
opgestart.options UFS_ACL # Ondersteuning voor toeganscontrolelijstenMet deze optie, die alleen in &os; 5.X aanwezig is,
wordt de ondersteuning voor toegangscontrolelijsten aangezet.
Hiervoor zijn uitgebreide attributen en UFS2
nodig. Een en ander wordt in detail beschreven in . ACL's staan standaard
aan en moeten niet uitgezet worden in de kernel als ze al eerder
op een bestandssysteem zijn gebruikt, omdat dit de
toegangscontrolelijsten verwijdert en hierdoor de manier waarop
bestanden beschermd worden op onvoorspelbare wijze
verandert.options UFS_DIRHASH # Verbeter prestaties in grote mappenDeze optie bevat functionaliteit om schijfoperaties op grote
mappen te versnellen, ten koste van extra geheugen. Deze staat
normaalgesproken, zoals voor een grote server of interactief
werkstation, aan en wordt uitgezet als &os; op een kleiner
systeem wordt gebruikt waar geheugen het belangrijkste en
schijfsnelheid minder belangrijk is, zoals voor een
firewall.options SOFTUPDATES # Schakel FFS Softupdates ondersteuning inDeze optie zet softupdates in de kernel aan en helpt om de
schijftoegang voor schrijven te verhogen. Zelfs als deze
functionaliteit door de kernel geleverd wordt, moet die voor
specifieke schijven worden aangezet. Bekijk de uitvoer van
&man.mount.8; om te zien of softupdates aanstaat voor de
systeemschijven. Als de optie soft-updates
niet zichtbaar is, dient deze geactiveerd te worden met behulp
van &man.tunefs.8; voor bestaande bestandssystemen of
&man.newfs.8; voor nieuwe bestandssystemen.options MD_ROOT # MD is een potentieel rootapparaatDeze optie zet ondersteuning aan voor een virtuële
schijf die in het geheugen wordt geïmplementeerd en als
rootapparaat wordt gebruikt.kerneloptiesNFSkerneloptiesNFS_ROOToptions NFSCLIENT # Netwerk Bestandssysteem Client
options NFSSERVER # Netwerk Bestandssysteem Server
options NFS_ROOT # NFS bruikbaar als /, NFSCLIENT nodigHet netwerkbestandssysteem. Dit kan weggelaten worden tenzij
er gepland is om partities te mounten van een &unix;
bestandsserver over TCP/IP.kerneloptiesMSDOSFSoptions MSDOSFS # MSDOS BestandssysteemHet &ms-dos; bestandssysteem. Dit kan veilig weggelaten
worden, tenzij er gepland is om een DOS-geformatteerde partitie
van de harde schijf tijdens het opstarten te mounten. Het wordt
automatisch geladen als er voor de eerste keer een DOS-partitie
wordt gemount, zoals boven beschreven. Bovendien geeft de
uitstekende software emulators/mtools toegang tot
DOS-floppies zonder dat ze gemount en gedismount moeten worden en
heeft het MSDOSFS helemaal niet nodig.options CD9660 # ISO 9660 BestandssysteemHet ISO 9960-bestandssysteem voor CDROM's. Commentarieer dit
uit als er geen CDROM-drive aanwezig is of als er slechts af en
toe data-CD's gemount worden (aangezien het dynamisch geladen
wordt als er voor de eerste keer een data-CD gemount wordt).
Audio-CD's hebben dit bestandssysteem niet nodig.options PROCFS # ProcesbestandssysteemHet procesbestandssysteem. Dit is een als-of
bestandssysteem, gemount in /proc, dat
programma's als &man.ps.1; in staat stelt om meer informatie over
de draaiende processen te geven. In &os; 5.X en hoger is
het onder de meeste omstandigheden niet nodig om
PROCFS te gebruiken, omdat de meeste debug- en
monitorgereedschappen zijn aangepast om zonder
PROCFS te draaien. In tegenstelling tot
&os; 4.X mounten nieuwe installaties op &os; 5.X
standaard het procesbestandssysteem niet. Bovendien moeten
6.X-CURRENT kernels die gebruik maken van
PROCFS, nu ook ondersteuning bevatten voor
PSEUDOFS:options PSEUDOFS # Pseudo-bestandssysteem frameworkPSEUDOFS is niet beschikbaar in
&os; 4.X.options GEOM_GPT # GUID Partitietabellen.Met deze optie kan een groot aantal partities op een enkele
schijf aanwezig zijn.options COMPAT_43 # Compatibel met BSD 4.3 [ERIN HOUDEN!]Compatibiliteit met 4.3BSD. Laat dit aanstaan. Sommige
programma's gedragen zich vreemd als dit uitgecommentarieerd
wordt.options COMPAT_FREEBSD4 # Compatibel met &os;4Deze optie is nodig op &os; 5.X &i386; en Alpha systemen
om ondersteuning te bieden aan applicaties die gecompileerd zijn
op oudere versies van &os; en gebruik maken van oudere
systeemaanroep-interfaces. Het is aanbevolen dat deze optie
gebruikt wordt op alle &i386; en Alpha systemen die mogelijk
oudere applicaties draaien. Voor platformen die pas in 5.X
ondersteuning verwierven, zoals ia64 en &sparc64;, is deze optie
niet nodig.options SCSI_DELAY=15000 # Vertraging (in ms) voordat SCSI wordt afgezocht.Dit zorgt ervoor dat de kernel vijftien seconden wacht
voordat die elk SCSI-apparaat in het systeem afzoekt. Als er
alleen IDE harddisks zijn, kan deze optie genegeerd worden,
anders is het misschien wenselijk om deze waarde te verlagen tot
vijf seconden, om het opstarten te versnellen. Uiteraard moet
deze waarde weer verhoogd worden als &os; problemen heeft om de
SCSI-apparaten te herkennen.options KTRACE # ktrace(1) ondersteuningDit schakelt kernelondersteuning voor het volgen processen
in, wat handig is tijdens debuggen.options SYSVSHM # SYSV-stijl gedeeld geheugenDeze optie biedt System V gedeeld geheugen. Meestal
wordt dit wegens de XSHM-uitbreiding in X gebruikt, waar door
vele grafische programma's automatisch gebruik van wordt gemaakt
voor extra snelheid. Als X gebruik wordt, is het raadzaam om dit
op te nemen.
+ options SYSVMSG # SYSV-stijl berichtwachtrijen
+
+ Dit biedt ondersteuning voor System V berichten. Ook
+ deze optie voegt slechts een paar honderd bytes aan de kernel
+ toe.
+
options SYSVSEM # SYSV-stijl semaforenDit biedt ondersteuning voor System V semaforen. Het
wordt minder vaak gebruikt, maar voegt slechts een paar honderd
bytes aan de kernel toe.
- options SYSVMSG # SYSV-stijl berichtenwachtrijen
-
- Dit biedt ondersteuning voor System V berichten. Ook
- deze optie voegt slechts een paar honderd bytes aan de kernel
- toe.
-
De optie van het commando &man.ipcs.1;
geeft een lijst van alle processen die een van deze
System V faciliteiten gebruikt.options _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensiesDit biedt real-time-uitbreidingen die in de 1993 &posix; zijn
toegevoegd. Bepaalde applicaties in de portscollectie gebruiken
deze (zoals &staroffice;).options KBD_INSTALL_CDEV # installeer een CDEV-ingang in /devDeze optie is gerelateerd aan het toetsenbord. Het
installeert een CDEV-ingang in /dev.options AHC_REG_PRETTY_PRINT # Toon register bitveld in debuguitvoer.
# Voegt ~128k toe aan driver.
options AHD_REG_PRETTY_PRINT # Toon register bitveld in debuguitvoer.
# Voegt ~215k toe aan driver.Dit helpt bij het debuggen door makkelijker te lezen
registerdefinities af te beelden.options ADAPTIVE_GIANT # Giant mutex is adaptief.Giant is de naam van een wederzijds uitsluitingsmechanisme
(een sleep mutex) dat een grote verzameling kernelbronnen
beschermt. Vandaag de dag is dit een onaccaptabele
prestatie-bottleneck die actief door sloten wordt vervangen die
individuele bronnen beschermen. De optie
ADAPTIVE_GIANT zorgt ervoor dat Giant in de
verzamelingen van mutexen wordt opgenomen waar actief wordt
opgespind. Dit betekent dat wanneer een thread de Giant-mutex
wil nemen, maar die reeds door een thread op een andere CPU
genomen is, de eerste thread blijft draaien en wacht tot er een
slot vrijkomt. Normaalgesproken zou de thread weer gaan slapen
en wachten op de volgende kans om te draaien. Laat dit er in
geval van twijfel instaan.kerneloptiesSMPdevice apic # I/O APICHet apic-apparaat zet de ondersteuning voor I/O-APIC voor het
afleveren van interrupts aan. Het apic-apparaat kan zowel in UP-
als in SMP-kernels gebruikt worden, maar is noodzakelijk voor
SMP-kernels. Voeg options SMP toe om
ondersteuning voor meerdere processoren op te nemen.device isaAlle computers die door &os; ondersteund worden hebben
één van deze apparaten. Verwijder dit niet, zelfs
niet als er geen ISA-sloten aanwezig zijn. &os; biedt momenteel
slechts gedeeltelijke ondersteuning aan IBM PS/2 (Micro Channel
Architecture)-systemen. Meer informatie over de ondersteuning
voor MCA staat in
/usr/src/sys/i386/conf/notes.device eisaNeem dit op voor een EISA-moederbord. Dit zet ondersteuning
voor zelfdetectie en -instelling aan voor alle apparaten op de
EISA-bus.device pciNeem dit op voor een PCI-moederbord. Dit zet ondersteuning
voor zelfdetectie van PCI-kaarten en gatewaying van
PCI-naar-ISA-bus aan.device agpNeem dit op als er een AGP-kaart in het systeem aanwezig is.
Dit zet ondersteuning voor AGP aan, en ondersteuning voor AGP
GART voor borden die deze mogelijkheden hebben.# Floppy drives
device fdcDit is de controller voor de floppydrive.# ATA- en ATAPI-apparaten
device ataDit stuurprogramma biedt ondersteuning aan alle ATA- en
ATAPI-apparaten. Er is slechts één device
ata-regel nodig om de kernel alle PCI
ATA/ATAPI-apparaten te laten ontdekken op moderne
machines.device atadisk # ATA schijvenDit is samen met device ata nodig voor ATA
schijven.device ataraid # ATA RAID schijvenDit is samen met device ata nodig voor ATA
RAID-schijven.
device atapicd # ATAPI CDROM-drivesDit is samen met device ata nodig voor
ATAPI CDROM-drives.device atapifd # ATAPI floppy drivesDit is samen met device ata nodig voor
ATAPI floppydrives.device atapist # ATAPI tape drivesDit is samen met device ata nodig voor
ATAPI tapedrives.options ATA_STATIC_ID # Statische apparaatnummeringDit zorgt ervoor dat de controller statisch nummert. Zonder
deze optie worden nummers dynamisch toegewezen.# SCSI Controllers
device ahb # EISA AHA1742 familie
device ahc # AHA2940 en onboard AIC7xxx apparaten
device ahd # AHA39320/29320 en onboard AIC79xx apparaten
device amd # AMD 53C974 (Teckram DC-390(T))
device isp # Qlogic familie
device mpt # LSI-Logic MPT-Fusion
#device ncr # NCR/Symbios Logic
device sym # NCR/Symbios Logic (nieuwere chipsets)
device trm # Tekram DC395U/UW/F DC315U adapters
device adv # Advansys SCSI adapters
device adw # Advansys wide SCSI adapters
device aha # Adaptec 154x SCSI adapters
device aic # Adaptec 15[012]x SCSI adapters, AIC-6[23]60.
device bt # Buslogic/Mylex MultiMaster SCSI adapters
device ncv # NCR 53C500
device nsp # Workbit Ninja SCSI-3
device stg # TMC 18C30/18C50SCSI controllers. Commentarieer de regels uit voor apparaten
die niet in het systeem aanwezig zijn. Als het een systeem met
alleen IDE apparaten betreft, kunnen ze allemaal weggelaten
worden.# SCSI randapparaten
device scbus # SCSI bus (nodig voor SCSI)
device ch # SCSI media changers
device da # Direct Access (schijven)
device sa # Sequential Access (tape, enzovoort)
device cd # CD
device pass # Passthrough apparaat (directe SCSI-toegang)
device ses # SCSI Omgevingsdiensten (en SAF-TE)SCSI-aanhangels. Ook hier geldt dat apparaten die niet
aanwezig zijn uitgecommentarieerd kunnen worden, of als alleen
IDE-hardware aanwezig aanwezig is, ze allemaal weggelaten kunnen
worden.Het USB-stuurprogramma &man.umass.4; en enkele andere
stuurprogramma's gebruiken het SCSI-subsysteem, alhoewel ze
geen echte SCSI-apparaten zijn. Daarom mag SCSI-ondersteuning
niet verwijderd worden als dit soort stuurprogramma's in de
kernelinstellingen worden opgenomen.# RAID controllers met interfaces naar het SCSI subsysteem
device amr # AMI MegaRAID
device asr # DPT SmartRAID V, VI en Adaptec SCSI RAID
device ciss # Compaq Smart RAID 5*
device dpt # DPT Smartcache III, IV - Zie NOTES voor opties
device hptmv # Highpoint RocketRAID 182x
device iir # Intel Integrated RAID
device ips # IBM (Adaptec) ServeRAID
device mly # Mylex AcceleRAID/eXtremeRAID
device twa # 3ware 9000 series PATA/SATA RAID
# RAID controllers
device aac # Adaptec FSA RAID
device aacp # SCSI passthrough voor aac (CAM nodig)
device ida # Compaq Smart RAID
device mlx # Mylex DAC960 famile
device pst # Promise Supertrak SX6000
device twe # 3ware ATA RAIDOndersteunde RAID-controllers. Als een van deze niet
aanwezig is, kan deze uitgecommentarieerd of verwijderd
worden.# atkbdc0 bestuurt het toetsenbord en de PS/2 muis
device atkbdc # AT toetsenbordcontrollerDe toetsenbordcontroller (atkbdc) biedt
I/O-diensten aan voor het AT-toetsenbord en het PS/2-type van
aanwijsapparaten. Deze controller is noodzakelijk voor het
toetsenbordstuurprogramma (atkbd) en het
PS/2-aanwijsapparaatstuurprogramma
(psm).device atkbd # AT toetsenbordHet stuurprogramma atkbd biedt samen met
de controller atkbdc toegang tot het
AT84-toetsenbord of het uitgebreide AT-toetsenbord dat verbonden
is met de controller voor het AT-toetsenbord.device psm # PS/2 muisDit apparaat kan gebruikt worden als de muis in de
PS/2-muispoort wordt geplugd.device vga # VGA videokaart stuurprogrammaHet stuurprogramma voor de videokaart.# splash screen/screensaver
device splash # Splash screen en screensaver ondersteuningEen splash-scherm tijdens het opstarten! Screensavers hebben
deze optie ook nodig (voor &os; 4.X dient
pseudo-device splash gebruikt te
worden.# syscons is het standaard consolestuurprogramma, lijkt op een SCO console
device scsc is het standaard consolestuurprogramma
en lijkt op een SCO-console. Aangezien de meeste programma's die
met een volledig scherm werken de console via een
terminaldatabase zoals termcap benaderen,
moet het niet uitmaken of dit of vt, het
VT220-compatibele consolestuurprogramma,
gebruikt wordt. Wanneer er aangemeld wordt, dient de variabele
TERM op scoansi gezet worden
indien programma's die met een volledig scherm werken problemen
hebben om met dit console te draaien.# Schakel dit in voor het pcvt (VT220 compatibele) consolestuurprogramma
#device vt
#options XSERVER # ondersteuning voor X server op een vt console
#options FAT_CURSOR # begin met een blokcursorDit is een VT220-compatibel consolestuurprogramma,
achterwaarts compatibel met de VT100/102. Het werkt goed op
enkele laptops die hardware-incompatibiliteiten hebben met
sc. Ook dient de variabele
TERM op vt100 of
vt220 gezet te worden bij het aanmelden. Dit
stuurprogramma kan ook nuttig zijn wanneer er verbinding wordt
gemaakt met een groot aantal verschillende machines in een
netwerk, waarbij de ingangen termcap of
terminfo voor het apparaat
sc vaak niet beschikbaar zijn.
vt100 is op bijna elk platform
beschikbaar.APM# Ondersteuning voor energiebeheer (zie NOTES voor meer opties)
#device apmOndersteuning voor geavanceerd energiebeheer (Advanced Power
Management). Dit is nuttig voor laptops, alhoewel dit in
&os; 5.X en hoger standaard uitgeschakeld is in
GENERIC.# Schakel suspend/resume ondersteuning voor de i8254 in.
device pmtimerHet stuurprogramma voor het timerapparaat voor
energiebeheergebeurtenissen, zoals APM en ACPI.# PCCARD (PCMCIA) ondersteuning.
# PCMCIA en cardbus bridge ondersteuning.
device cbb # cardbus (yenta) bridge
device pccard # PC Card (16-bit) bus
device cardbus # CardBus (32-bit) busOndersteuning voor PCMCIA. Dit is wenselijk voor
laptopgebruikers.# Serial (COM) poorten
device sio # 8250, 16[45]50-gebaseerde seriële poortenDit zijn de seriële poorten waarnaar in de wereld van
&ms-dos;/&windows; verwezen wordt als
COM-poorten.Als er een intern modem op COM4 en
een seriële poort op COM2
aanwezig is, moet het IRQ van het modem in 2 worden veranderd
(om duistere technische redenen geldt dat IRQ2 = IRQ9) om er
vanuit &os; toegang toe te krijgen. Als er een multipoort
seriële kaart aanwezig is, staat in &man.sio.4; meer
informatie over de juiste waarden die aan
/boot/device.hints toegevoegd moeten
worden. Sommige videokaarten (vaak gebaseerd op S3 chips)
gebruiken IO-adressen van de vorm 0x*2e8, en
omdat vele goedkope serieële kaarten de 16-bits
IO-adresruimte niet volledig decoderen, botsen ze met deze
kaarten waardoor de COM4-poort
praktisch onbruikbaar is.Elke serieële poort moet een uniek IRQ hebben (tenzij
er gebruik wordt gemaakt van een van de multipoortkaarten
waarbij gedeelde interrupts ondersteund worden), dus kunnen de
standaard IRQ's voor COM3 en
COM4 niet gebruikt worden.# Parallelle poort
device ppcDit is de interface voor de parallelle poort op de
ISA-bus.device ppbus # Parallelle poortbus (verplicht)Biedt ondersteuning voor de parallelle poortbus.device lpt # PrinterOndersteuning voor parallelle poort-printers.Alle van de bovenstaande drie zijn noodzakelijk om
ondersteuning voor parallelle printers aan te zetten.device plip # TCP/IP over parallelDit is het stuurprogramma voor de parallelle
netwerkinterface.device ppi # Parallelle poort interface apparaatDe algemene I/O (geek-poort) + IEEE1284 I/O.#device vpo # scbus en da verplichtzipdriveDit is voor een Iomega Zipdrive. Hiervoor is ondersteuning
voor scbus en da nodig. De
beste prestaties worden gehaald met poorten in EPP
1.9-modus.#device pucDit dient uitgecommentarieerd te worden indien er een
domme seriële of parallelle PCI-kaart
aanwezig is die ondersteund wordt door het &man.puc.4;
verbindingsstuurprogramma.# PCI Ethernet NIC's.
device de # DEC/Intel DC21x4x (Tulip)
device em # Intel PRO/1000 adapter Gigabit Ethernet Card
device ixgb # Intel PRO/10GbE Ethernet Card
device txp # 3Com 3cR990 (Typhoon)
device vx # 3Com 3c590, 3c595 (Vortex)Verscheidene PCI-netwerkkaartstuurprogramma's. Degenen die
niet in het systeem aanwezig zijn kunnen uitgecommentarieerd of
verwijderd worden.# PCI Ethernet NIC's die de MII bus controller code gebruiken.
# NB: 'device miibus' moet behouden blijven om deze NIC's te kunnen gebruiken!
device miibus # MII bus ondersteuningOndersteuning voor MII-bus is noodzakelijk voor sommige PCI
10/100 Ethernet-NICs, namelijk voor diegenen die MII-geldige
transceivers gebruiken of interfaces voor transceiverbesturing
implementeren die als een MII werken. Door device
miibus aan de kernelinstellingen toe te voegen wordt
de ondersteuning voor de generieke miibus-API en voor alle
PHY-stuurprogramma's opgenomen, waaronder een generieke voor
PHYs die niet specifiek door een individueel stuurprogramma
worden behandeld.device dc # DEC/Intel 21143 en verschillende gelijkwerkenden
device miibus # MII bus ondersteuning
device bfe # Broadcom BCM440x 10/100 Ethernet
device bge # Broadcom BCM570xx Gigabit Ethernet
device dc # DEC/Intel 21143 en verschillende gelijkwerkenden
device fxp # Intel EtherExpress PRO/100B (82557, 82558)
device pcn # AMD Am79C97x PCI 10/100 (voorrang boven 'lnc')
device re # RealTek 8139C+/8169/8169S/8110S
device rl # RealTek 8129/8139
device sf # Adaptec AIC-6915 (Starfire)
device sis # Silicon Integrated Systems SiS 900/SiS 7016
device sk # SysKonnect SK-984x & SK-982x gigabit Ethernet
device ste # Sundance ST201 (D-Link DFE-550TX)
device ti # Alteon Networks Tigon I/II gigabit Ethernet
device tl # Texas Instruments ThunderLAN
device tx # SMC EtherPower II (83c170 EPIC)
device vr # VIA Rhine, Rhine II
device wb # Winbond W89C840F
device xl # 3Com 3c90x (Boomerang, Cyclone)Stuurprogramma's die gebruik maken van de MII
bus-controllercode.# ISA Ethernet NIC's. Inclusief pccard NIC's.
device cs # Crystal Semiconductor CS89x0 NIC
# 'device ed' heeft 'device miibus' nodig
device ed # NE[12]000, SMC Ultra, 3c503, DS8390 kaarten
device ex # Intel EtherExpress Pro/10 en Pro/10+
device ep # Etherlink III-gebaseerde kaarten
device fe # Fujitsu MB8696x-gebaseerde kaarten
device ie # EtherExpress 8/16, 3C507, StarLAN 10, etc.
device lnc # NE2100, NE32-VL Lance Ethernet kaarten
device sn # SMC's 9000 serie Ethernet chips
device xe # Xircom pccard Ethernet
# ISA apparaten die de oude ISA shims gebruiken
#device leISA Ethernetstuurprogramma's. In
/usr/src/sys/i386/conf/NOTES
staan details over welke kaarten door welk stuurprogramma
ondersteund worden.# Draadloze NIC kaarten
device wlan # 802.11 ondersteuning
device an # Aironet 4500/4800 802.11 draadloze NIC's.
device awi # BayStack 660 en anderen
device wi # WaveLAN/Intersil/Symbol 802.11 draadloze NIC's.
#device wl # Oudere niet-802.11 Wavelan draadloze NIC.Ondersteuning voor verscheidene draadloze kaarten.device mem # Geheugen- en kernelgeheugenapparatenDe geheugenapparaten van het systeem.device io # I/O apparaatDeze optie stelt een proces in staat om I/O-privileges te
verkrijgen. Dit is nuttig als er gebruikerprogramma's worden
geschreven die direct met hardware werken. Dit is nodig om het
X Window Systeem te draaien.device random # Entropy apparaatCryptografisch veilige willekeurige getallengenerator.device ether # Ethernet ondersteuningether is allen noodzakelijk als er een
Ethernetkaart aanwezig is. Het bevat code voor het generieke
Ethernet protocol. Op &os; 4.X dient
pseudo-device ether gebruikt te worden.device sl # Kernel SLIPsl dient voor SLIP-ondersteuning. Dit is
bijna geheel overgenomen door PPP, wat eenvoudiger is op te
zetten, beter geschikt is voor modem-naar-modem-verbindingen en
krachtiger is. Met &os; 4.X dient
pseudo-device sl gebruikt te worden.device ppp # Kernel PPPDit dient voor PPP-ondersteuning van inbelverbindingen door
de kernel. Er is ook een versie van PPP als gebruikersapplicatie
geïmplementeerd die tun gebruikt en meer
flexibiliteit en mogelijkheden biedt zoals demand-bellen.
Met &os; 4.X dient pseudo-device ppp
gebruikt te worden.device tun # Packet tunnel.Dit wordt gebruikt door de gebruikers-PPP-software. In
PPP staat meer informatie. Met
&os; 4.X dient pseudo-device tun gebruikt
te worden.
device pty # Pseudo-ttys (telnet, etc.)Dit is een pseudo-terminal of gesimuleerde
aanmeldpoort. Die wordt gebruikt door binnenkomende sessies van
telnet en rlogin, door
xterm en voor sommige andere
applicaties zoals Emacs.Met &os; 4.X dient
pseudo-device ptynummer
gebruikt te worden. Het nummer na
pty geeft het aantal
pty's aan dat aangemaakt dient te worden.
Als er meer dan het standaard aantal van zestien gelijktijdige
xterm schermen en/of remote
aanmeldingen nodig zijn, dient dit nummer overeenkomstig
verhoogd te worden, tot maximaal 256.device md # GeheugenschijvenPseudo-apparaten die een schijf in het geheugen implementeren.
Met &os; 4.X dient pseudo-device md
gebruikt te worden.device gif # IPv6 en IPv4 tunnelenDit implementeert IPv6-over-IPv4-tunneling,
IPv4-over-IPv6-tunneling, IPv4-over-IPv4-tunneling en
IPv6-over-IPv6-tunneling. Met ingang van &os; 4.4 is het
apparaat gifzelfklonend en
dient de regel pseudo-device gif gebruikt te
worden. Eerdere versies van &os; 4.X vereisen een getal,
bijvoorbeeld pseudo-device gif 4.device faith # IPv6-naar-IPv4-relay (vertaling)Dit pseudo-apparaat onderschept pakketten die ernaar
verzonden worden en leidt ze om naar het IPv4/IPv6-vertaaldaemon.
Met &os; 4.X dient pseudo-device faith 1
gebruikt te worden.# Het `bpf' apparaat schakelt de Berkeley Pakketfilter in.
# Wees bewust van de administratieve consequenties die dit heeft!
device bpf # Berkeley pakketfilterDit is het Berkeley Pakketfilter. Dit pseudo-apparaat staat
netwerkinterfaces toe om in luistermodus gezet te worden, zodat
elk pakket op een uitzendnetwerk (bijvoorbeeld een Ethernet)
onderschept wordt. Deze pakketten kunnen naar schijf onderschept
en/of onderzocht worden met het programma &man.tcpdump.1;. Met
&os; 4.X dient pseudo-device bpf gebruikt
te worden.Het apparaat &man.bpf.4; wordt ook gebruikt door
&man.dhclient.8; om het IP-adres van de standaardrouter
(gateway) te verkrijgen, enzovoorts. Als DHCP gebruikt wordt,
dient dit ingeschakeld te blijven.# USB support
device uhci # UHCI PCI->USB interface
device ohci # OHCI PCI->USB interface
device usb # USB Bus (verplicht)
#device udbp # USB Double Bulk Pipe apparaten
device ugen # Generic
device uhid # Human Interface Devices
device ukbd # Toetsenbord
device ulpt # Printer
device umass # Schijnven/Massaopslag - scbus en da nodig
device ums # Muis
device urio # Diamond Rio 500 MP3 speler
device uscanner # Scanners
# USB Ethernet, requires mii
device aue # ADMtek USB Ethernet
device axe # ASIX Electronics USB Ethernet
device cue # CATC USB Ethernet
device kue # Kawasaki LSI USB Ethernet
device rue # RealTek RTL8150 USB EthernetOndersteuning voor verscheidene USB-apparaten.# FireWire ondersteuning
device firewire # FireWire bus code
device sbp # SCSI over FireWire (scbus en da nodig)
device fwe # Ethernet over FireWire (niet-standaard!)Ondersteuning voor verscheidene Firewire-apparaten.Meer informatie en aanvullende apparaten die door &os;
ondersteund worden staan in
/usr/src/sys/i386/conf/NOTES.Instellingen bij Veel Geheugen
(PAE)
- Physical Address
- Extensions(PAE)
+ Physical Address Extensions
+ (PAE)
- instellingen veel geheugen
+ veel geheugenSommige machines (PAE) hebben meer
geheugen nodig dan limiet van 4 gigabyte op User+Kernel Virtual
Adress (KVA) ruimte. Vanwege deze limiet
voegde Intel ondersteuning toe voor toegang tot 36-bits fysieke
adresruimte in de &pentium; Pro en nieuwere lijn van
CPU's.De Physical Address Extension (PAE)
mogelijkheden van de &intel; &pentium; Pro en nieuwere CPU's
staan geheugenhoeveelheden toe tot 64 gigabyte. &os; biedt
ondersteuning voor deze mogelijkheid via de kernelinsteloptie
, die beschikbaar is in de 4.X-serie van
&os; met ingang van 4.9-RELEASE en in de 5.X-serie van &os;
met ingang van 5.1-RELEASE. Vanwege de beperkingen van de
geheugenarchitectuur van Intel wordt er geen onderscheid
gemaakt tussen geheugen boven of beneden 4 gigabytes. Geheugen
dat boven de 4 gigabytes is toegewezen wordt gewoon bij het
beschikbare gevoegd.Om ondersteuning voor PAE in de kernel
aan te zetten, dient de volgende regel aan het
kernelinstellingenbestand te worden toegevoegd:options PAEDe ondersteuning voor PAE in &os; is
alleen beschikbaar voor &intel; IA-32-processoren. Ook dient
opgemerkt te worden dat ondersteuning voor
PAE nog niet wijdverbreid getest is en
als betakwaliteit beschouwd dient te worden vergeleken met
andere stabiele kenmerken van &os;.Ondersteuning voor PAE in &os; heeft
enige beperkingen:Een proces kan niet meer dan 4 gigabyte VM-ruimte
krijgen;KLD-modules kunnen niet in een
kernel worden geladen die PAE aan heeft
staan, vanwege de verschillen in het bouwraamwerk van een
module en de kernel;Apparaatstuurprogramma's die geen gebruik maken van de
&man.bus.dma.9;-interface zullen gegevenscorruptie
veroorzaken in een kernel die PAE aan
heeft staan en hun gebruik wordt afgeraden. Om deze reden
wordt er een kernelinstellingenbestand voor
PAE geleverd met &os; 5.X, die alle
stuurprogramma's uitsluit waarvan bekend is dat ze niet
werken in een kernel die PAE aan heeft
staan;Sommige systeeminstellingen bepalen het
geheugenbronverbruik aan de hand van de hoeveelheid
beschikbaar fysiek geheugen. Zulke instellingen kunnen
onnodig veel toewijzen vanwege de grote hoeveelheid
geheugen in een PAE systeem. Een
voorbeeld hiervan is de sysctl
, die het maximum aantal
vnodes dat in de kernel aanwezig mag zijn beheert. Het is
aan te raden om deze en andere van dit soort instellingen
aan te passen aan een redelijke waarde;Het kan nodig zijn om de virtuele kerneladresruimte
(KVA) te vergroten of om het aantal
kernelbronnen dat veel gebruikt wordt (zie boven) te
verminderen om zo uitputting van KVA te
voorkomen. De kerneloptie kan
gebruikt worden om de KVA-ruimte te
vergroten.Om prestatie- en stabiliteitsredenen is het aan te raden om
&man.tuning.7; te raadplegen. &man.pae.4; bevat bijgewerkte
informatie over de ondersteuning voor PAE in
&os;.Apparaatnodes MakenapparaatnodesMAKEDEVAls &os; 5.0 of hoger gedraaid wordt, kan deze
sectie veilig worden overgeslagen. Deze versies gebruiken
&man.devfs.5; om transparant apparaatnodes voor de gebruiker toe
te wijzen.Bijna elk apparaat in de kernel heeft een overeenkomstige
node-ingang in de map /dev.
Deze nodes zien eruit als reguliere bestanden, maar zijn
eigenlijk speciale ingangen in de kernel die door programma's
gebruikt worden om toegang tot het apparaat te verkrijgen. Het
shellscript /dev/MAKEDEV, dat wordt
uitgevoerd als het besturingssysteem voor het eerst wordt
geïnstalleerd, maakt bijna alle ondersteunde apparaatnodes
aan. Het maakt echter niet alle nodes aan,
dus als ondersteuning voor een apparaat wordt toegevoegd, loont
het om te controleren of de geschikte ingangen in de map aanwezig
zijn en deze toe te voegen als ze ontbreken. Hier volgt een
eenvoudig voorbeeld:Stel dat ondersteuning voor de IDE CD-ROM aan de kernel wordt
toegevoegd:device ad0Dit betekent dat de map /dev moet worden
onderzocht op ingangen die met acd0
beginnen, mogelijk gevolgd door een letter zoals
c of voorafgegaan door de letter
r, wat duidt op een raw
apparaat. Die bestanden zijn daar niet, dus moet in de map
/dev het volgende ingegeven worden:MAKEDEV&prompt.root; sh MAKEDEV acd0Als dit script geëindigd is, zijn de ingangen
acd0c en racd0c in de
map /dev aanwezig, wat duidt op een juiste
uitvoer.Voor geluidskaarten maakt het volgende commando de juiste
ingangen aan:&prompt.root; sh MAKEDEV snd0Als apparaatnodes voor apparaten als geluidskaarten worden
aangemaakt en andere mensen toegang tot de machine hebben, kan
het wenselijk zijn om de apparaten tegen toegang van buitenaf
te beschermen door deze aan /etc/fbtab toe
te voegen. In &man.fbtab.5; staat meer informatie.Deze eenvoudige procedure dient gevolgd te worden voor elk
ander apparaat dat niet in GENERIC staat en
geen ingangen heeft in /dev.Alle SCSI-controllers gebruiken dezelfde verzameling
ingangen in /dev, dus is het niet nodig om
deze aan te maken. Ook hebben netwerkkaarten en SLIP/PPP
pseudo-apparaten geen ingang in /dev, dus
is het niet nodig om hierover bezorgd te zijn.Problemen OplossenEr zijn vijf categoriën problemen die op kunnen treden
tijdens het bouwen van een eigen kernel:config faaltAls het commando &man.config.8; faalt bij het verwerken
van de kernelbeschrijving, is er waarschijnlijk ergens een
eenvoudige fout gemaakt. Gelukkig geeft &man.config.8; het
nummer van de regel weer waarmee het problemen had, dus kan
snel de regel gevonden worden waarin de fout zit.
In het onderstaande voorbeeld dient gecontroleerd te worden
of het sleutelwoord juist is ingevoerd door het met de
kernel GENERIC of een andere
referentie te vergelijken:config: line 17: syntax errormake faaltAls make faalt, duidt dit meestal op
een fout in de kernelbeschrijving die niet erg genoeg is om
door &man.config.8; opgemerkt te worden. De instellingen
dienen nogmaals nagekeken te worden. Als het probleem nog
steeds niet is op te lossen, stuur dan een mail naar de
&a.questions; met de kernelinstellingen. Dat leidt meestal
snel tot een diagnose.Het installeren van de nieuwe kernel misluktAls het compileren van de kernel goed ging, maar het
installeren mislukte (make install of
make installkernel faalde), dient als
eerste gecontroleerd te worden of het systeem op
beveiligingsniveau (securelevel) 1 of hoger draait (zie
&man.init.8;). De kernelinstallatie probeert namelijk om
de vlag immutable van de oude kernel te verwijderen en de
vlag immutable op de nieuwe kernel te zetten. Aangezien
beveiligingsniveau 1 of hoger verhindert om de vlag
immutable te verwijderen van enig bestand op het systeem,
dient de kernelinstallatie op beveiligingsniveau 0 of lager
uitgevoerd te worden.Bovenstaande geldt alleen voor &os; 4.X en eerdere
versies. &os; 5.X en hogere versies zetten de vlag
immutable niet op de kernel en een mislukte poging om de
kernel de kernel te installeren duidt meestal op een
fundamenteler probleem.De kernel start niet opAls de nieuwe kernel niet opstart of de apparaten
niet herkent is kalmte geboden. &os; heeft een uitstekend
mechanisme om van niet-compatibele kernels te herstellen.
De gewenste kernel om mee op te starten kan vanuit de &os;
boot loader gekozen worden. Als het systeem terugtelt
vanaf 10, kan deze vanuit het opstartmenu gekozen worden.
Sla een willekeurige toets, behalve de
Enter toets, aan, voer
unload in en daarna
boot /boot/kernel.old/kernel
of de bestandsnaam van enige andere kernel die correct
opstart. Als de kernelinstellingen gewijzigd worden, is
het altijd aan te raden om een kernel bij de hand te houden
waarvan bekend is dat die juist werkt.Nadat er met een goede kernel is opgestart, kan het
instellingenbestand gecontroleerd worden en geprobeerd
worden om de kernel nogmaals te bouwen. Een behulpzame
bron is het bestand /var/log/messages,
dat onder andere alle kernelberichten van alle keren dat er
succesvol is opgestart vastlegt. Ook geeft &man.dmesg.8;
alle kernelberichten weer van de huidige
opstartprocedure.Als er problemen zijn met het bouwen van een kernel,
dient een GENERIC, of een andere
kernel waarvan bekend is dat die werkt, bewaard te worden
onder een andere naam die niet verwijderd wordt als de
volgende kernel gebouwd wordt. Er kan niet op
kernel.old vertrouwd worden omdat
bij de installatie van een nieuwe kernel
kernel.old overschreven wordt met de
laatst geïnstaleerde kernel, die niet hoeft te
werken. Ook dient de werkende kernel zo snel mogelijk
naar de juiste plaats /boot/kernel verplaatst te
worden, omdat anders commando's als &man.ps.1; eventueel
onjuist werken. Hiervoor dient simpelweg de map met de
goede kernel hernoemd te worden:&prompt.root; mv /boot/kernel /boot/kernel.slecht
&prompt.root; mv /boot/kernel.goed /boot/kernelVoor versies van &os; eerder dan 5.X luidt het juiste
commando om het kernelbestand dat make
installeert te ontgrendelen (om een andere
kernel definitief terug te zetten):&prompt.root; chflags noschg /kernelAls dit niet mogelijk is, wordt er waarschijnlijk op
een beveiligingsniveau groter dan nul gedraaid. Wijzig
kern_securelevel in
/etc/rc.conf naar
–1 en start het systeem opnieuw.
Deze instelling kan op het vorige niveau worden
teruggezet als de nieuwe kernel naar behoren
werkt.Als het wenselijk is om de nieuwe kernel
vast te zetten op zijn plaats, of enig
ander bestand, zodat het niet verplaatst of verknoeid kan
worden:&prompt.root; chflags schg /kernelDe kernel werkt, maar &man.ps.1; werkt niet meerAls er een andere versie van de kernel is
geïnstalleerd dan degene waarmee de
systeemgereedschappen gebouwd zijn, bijvoorbeeld een kernel
voor 5.X op een 4.X-systeem, werken vele
systeemstatuscommando's als &man.ps.1; en &man.vmstat.8;
niet langer. De wereld moet opnieuw gecompileerd en
geïnstalleerd worden en met dezelfde broncodestructuur
als de kernel zijn gebouwd. Dit is een van de redenen
waarom het normaliter geen goed idee is om een afwijkende
versie van de kernel ten opzichte van de rest van de wereld
te gebruiken.
diff --git a/nl_NL.ISO8859-1/books/handbook/linuxemu/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/linuxemu/chapter.sgml
index 609493bed7..5163100364 100644
--- a/nl_NL.ISO8859-1/books/handbook/linuxemu/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/linuxemu/chapter.sgml
@@ -1,4029 +1,4028 @@
JimMockGeherstructureerd en delen bijgewerkt door Brian N.HandyOrigineel bijgedragen door RichMurpheyRenéLadanVertaald door &linux; Binaire CompatibiliteitOverzicht&os; levert binaire compatibiliteit met verscheidene andere
&unix; achtige besturingssystemen, waaronder &linux;. Op dit
moment kan de vraag gesteld worden waarom &os; nu precies
&linux; binaries moet kunnen draaien. Het antwoord is dat veel
bedrijven en ontwikkelaars alleen ontwikkelen voor &linux;, omdat
dat het nieuwste hebbeding is in de wereld van
computers. Dat laat &os; gebruikers al zeurend achter bij
diezelfde bedrijven en ontwikkelaars om originele &os; versies
van hun applicaties. Het probleem is dat veel van deze bedrijven
zich niet goed realiseren hoeveel mensen hun product zouden
gebruiken als er ook &os; versies van waren en de meesten blijven
alleen voor &linux; ontwikkelen. Dus wat moet een &os; gebruiker
doen? Hier komt de &linux; binaire compatibiliteit van &os; om
de hoek kijken.In een notendop stelt de compatibiliteit &os; in staat om
rond de 90% van alle &linux; applicaties zonder wijzigingen te
draaien. Dit omvat applicaties zoals
&staroffice;, de &linux; versie van
&netscape;,
&adobe; &acrobat;,
RealPlayer,
VMWare,
&oracle;, WordPerfect,
Doom,
Quake en meer. Er wordt zelfs gemeld
dat in sommige gevallen &linux; binaries beter presteren op &os;
dan op &linux;.Er zijn echter enkele &linux;-specifieke
besturingssysteemeigenschappen die niet door &os; ondersteund
worden. &linux; binaries werken niet op &os; als ze overvloedig
gebruik maken van &i386; specifieke aanroepen, zoals het
aanzetten van de virtuele 8086 modus.Na het lezen van dit hoofdstuk weet de lezer:Hoe &linux; binaire compatibiliteit op een systeem aan
te zetten;Hoe aanvullende &linux; gedeelde bibliotheken te
installeren;Hoe &linux; applicaties op een &os; systeem te
installeren;De implementatiedetails van &linux; compatibiliteit in
&os;.Aangeraden voorkennis:Hoe extra software van derden te installeren ().InstallatieKLD (kernel loadable object)&linux; binaire compatibiliteit staat standaard niet aan. De
gemakkelijkste manier om deze functionaliteit aan te zetten is
door het linux KLD object (Kernel
LoaDable object) te laden. Deze module kan geladen
worden door simpelweg linux op de
opdrachtregel in te geven.Als &linux; compatibiliteit altijd aan moet staan, dan moet
de volgende regel aan /etc/rc.conf
toegevoegd worden:linux_enable="YES"Met &man.kldstat.8; kan gecontroleerd worden of de KLD
geladen is:&prompt.user; kldstat
Id Refs Address Size Name
1 2 0xc0100000 16bd8 kernel
7 1 0xc24db000 d000 linux.kokerneloptiesLINUXAls het om enige reden ongewenst of onmogelijk is de KLD te
laden, dan kan de &linux; binaire compatibiliteit statisch in de
kernel gecompileerd worden door
options COMPAT_LINUX aan het
kernelinstellingenbestand toe te voegen. Daarna kan de nieuwe
kernel zoals beschreven in
geïnstalleerd worden.&linux; Runtime Bibliotheken Installeren&linux;&linux; bibliotheken installerenDit kan op twee manieren gedaan worden: door de linux_base port te
gebruiken of door ze handmatig te
installeren.Installeren uit de linux_base PortportscollectieDit is verreweg de gemakkelijkste weg om te bewandelen
om de runtime bibliotheken te installeren. Het is net
als het installeren van andere ports uit de portscollectie.
Dit kan met het volgende commando:&prompt.root; cd /usr/ports/emulators/linux_base
&prompt.root; make install distcleanNu is er werkende &linux; binaire compatibiliteit.
Sommige programma's kunnen klagen over onjuiste kleine
versies van de systeembibliotheken. Over het algemeen
schijnt dit echter geen probleem te zijn.Er kunnen verschillende versies van de emulators/linux_base port
beschikbaar zijn, overeenkomend met verschillende versies
van verscheidene &linux; distributies. Het is verstandig
de port te installeren die het meest voldoet aan de eisen
van de &linux; applicaties die geïnstalleerd gaan
worden.Bibliotheken Handmatig InstallerenAls de portscollectie niet is geïnstalleerd, kunnen
de bibliotheken met de hand geïnstalleerd worden. Om
alles te laten werken moeten de &linux; gedeelde bibliotheken
waarvan het programma afhankelijk is en de runtime linker
geïnstalleerd worden. Ook moet een shadow
root map aangemaakt worden,
/compat/linux, voor &linux; bibliotheken
op een &os; systeem. Elke gedeelde bibliotheek die wordt
geopend door &linux; programma's die op &os; draaien, kijken
eerst in deze boomstructuur. Dus als een &linux; programma
bijvoorbeeld /lib/libc.so laadt,
probeert &os; eerst
/compat/linux/lib/libc.so te openen, en
als die niet bestaat, probeert het
/lib/libc.so proberen. Gedeelde
bibliotheken moeten in de schaduwmapstructuur
geïnstalleerd worden in plaats van in de paden die het
&linux; ld.so rapporteert.In het algemeen geldt dat alleen de eerste paar keer
dat een &linux; binary wordt geïnstalleerd op een &os;
systeem naar de gedeelde bibliotheken gezocht wordt waar
&linux; binaries van afhankelijk zijn. Na een tijd is de
verzameling van &linux; gedeelde bibliotheken op een systeem
voldoende groot om nieuw geïmporteerde &linux; binaries
te kunnen draaien zonder enig extra werk.Extra Gedeelde Bibliotheken Installerengedeelde bibliothekenWat als de linux_base port is
geïnstalleerd en een applicatie nog steeds klaagt over
ontbrekende gedeelde bibliotheken? Op zich zijn er twee
mogelijkheden (voor het opvolgen van deze instructies zijn
root rechten op een &os; systeem
vereist).Als er toegang is tot een &linux; systeem kan gekeken
worden welke gedeelde bibliotheken de applicatie nodig heeft
en kunnen ze gekopieerd worden naar het &os systeem. Dit
wordt toegelicht in het volgende voorbeeld:Stel dat FTP gebruikt is om de &linux; binary van
Doom op te halen en die op een
&linux; systeem staat waar toegang tot is. Dan kan met
ldd linuxdoom gecontroleerd worden welke
gedeelde bibliotheken er nodig zijn:&prompt.user; ldd linuxdoom
libXt.so.3 (DLL Jump 3.1) => /usr/X11/lib/libXt.so.3.1.0
libX11.so.3 (DLL Jump 3.1) => /usr/X11/lib/libX11.so.3.1.0
libc.so.4 (DLL Jump 4.5pl26) => /lib/libc.so.4.6.29symbolische linksAlle bestanden uit de laatste kolom zijn nodig en
moeten onder /compat/linux komen te
staat en de namen uit de eerste kolom moeten er als
symbolische links naar verwijzen. Dit betekent dat
uiteindelijk deze bestanden op een &os; systeem
staan:/compat/linux/usr/X11/lib/libXt.so.3.1.0
/compat/linux/usr/X11/lib/libXt.so.3 -> libXt.so.3.1.0
/compat/linux/usr/X11/lib/libX11.so.3.1.0
/compat/linux/usr/X11/lib/libX11.so.3 -> libX11.so.3.1.0
/compat/linux/lib/libc.so.4.6.29
/compat/linux/lib/libc.so.4 -> libc.so.4.6.29
Als er al een &linux; gedeelde bibliotheek met een
groot revisienummer overeenstemmend met de eerste kolom
van de ldd uitvoer is, dan hoeft het
bestand uit de laatste kolom niet naar een systeem
gekopieerd te worden. Het bestand dat er al staat moet
werken. Het is aan te raden om de gedeelde bibliotheek
sowieso te kopiëren als het een nieuwere versie
is. De oude kan verwijderd worden, zolang de
symbolische link maar naar de nieuwe wijst. Dus als
deze bibliotheken op een systeem staan:/compat/linux/lib/libc.so.4.6.27
/compat/linux/lib/libc.so.4 -> libc.so.4.6.27en een nieuwe binary zegt een latere versie nodig
te hebben volgens de uitvoer van
ldd:libc.so.4 (DLL Jump 4.5pl26) -> libc.so.4.6.29Als slechts één of twee versies
verouderd zijn in het laatste cijfer, dan hoeft
/lib/libc.so.4.6.29 niet
gekopieerd te worden, omdat het programma goed moet
werken met de ietwat oudere versie. Als er echter
behoefte aan is, kan besloten worden om
libc.so sowieso te verplaatsen,
en dat resulteert in:/compat/linux/lib/libc.so.4.6.29
/compat/linux/libc.so.4 -> lbic.so.4.6.29
Het symbolische link mechanisme is
alleen nodig voor &linux;
binaries. De &os; runtime linker zorgt zelf voor het
kijken naar passende grote revisienummers en daar hoeft
geen zorg over te bestaan.
&linux; ELF Binaries Installeren&linux;ELF binariesELF binaries hebben soms een extra stap van
branding nodig. Als er ongemerkt ELF binaries
worden gedraaid, onstaat er een foutmelding zoals de
volgende:&prompt.user; ./mijn-linux-elf-binary
ELF binary type not known
AbortOm de &os; kernel te helpen &os; ELF binaries en &linux;
binaries uit elkaar te houden, kan &man.brandelf.1; gebruikt
worden.&prompt.user; brandelf -t Linux mijn-linux-elf-binaryGNU gereedschapskistDe GNU gereedschapskist plaatst nu automatisch de juiste
merkinformatie in ELF binaries, dus deze stap zou steeds
overbodiger moeten worden in de toekomst.De Hostnaamresolver Instellenresolv+: "bind" is an invalid keyword resolv+:
"hosts" is an invalid keywordAls DNS niet werkt of de bovenstaande melding ontstaat, dan
moet /compat/linux/etc/host.conf ingesteld
worden met daarin:order hosts, bind
multi onDe volgorde geeft aan dat /etc/hosts
als eerste doorzocht wordt en DNS als tweede. Als
/compat/linux/etc/host.conf niet
geïnstalleerd is, vinden &linux; applicaties
/etc/host.conf van &os; en klagen ze over
de incompatibele &os; syntaxis. bind moet
verwijderd worden als er geen naamserver is ingesteld die
gebruik maakt van /etc/resolv.conf.MurrayStokelyBijgewerkt voor &mathematica; 4.X door BojanBistrovicSamengevoegd met werk van &mathematica; Installerenapplicaties&mathematica;Dit document beschrijft het installatieproces van de &linux;
versie van &mathematica; 4.X op een
&os; systeem.De &linux; versie van
&mathematica; draait perfect op &os;,
maar de binaries die door Wolfram geleverd worden moeten gemerkt
worden zodat &os; weet dat het de Linux ABI moet gebruiken om ze
uit te voeren.De &linux; versie van
&mathematica; of
&mathematica; for Students kan
direct bij Wolfram besteld worden op .De &linux; Binaries MerkenDe &linux; binaries zijn geplaatst in de map
Unix van de
&mathematica; CDROM geleverd door
Wolfram. Deze mappenstructuur moet naar de lokale harde schijf
gekopieerd worden, zodat de &linux; binaries gemerkt kunnen
wordt met &man.brandelf.1; voordat de installer draait:&prompt.root; mount /cdrom
&prompt.root; cp -rp /cdrom/Unix/ /localdir/
&prompt.root; brandelf -t Linux /localdir/Files/SystemFiles/Kernel/Binaries/Linux/*
&prompt.root; brandelf -t Linux /localdir/Files/SystemFiles/FrontEnd/Binaries/Linux/*
&prompt.root; brandelf -t Linux /localdir/Files/SystemFiles/Installation/Binaries/Linux/*
&prompt.root; brandelf -t Linux /localdir/Files/SystemFiles/Graphics/Binaries/Linux/*
&prompt.root; brandelf -t Linux /localdir/Files/SystemFiles/Converters/Binaries/Linux/*
&prompt.root; brandelf -t Linux /localdir/Files/SystemFiles/LicenseManager/Binaries/Linux/mathlm
&prompt.root; cd /localdir/Installers/Linux/
&prompt.root; ./MathInstallerAls alternatief kan simpelweg het standaard ELF merk op
Linux gezet worden voor alle ongemerkte binaries met het
commando:&prompt.root; sysctl kern.fallback_elf_brand=3Dit laat &os; aannemen dat alle ongemerkte ELF binaries de
Linux ABI gebruiken en dus zou de installer rechtstreeks van
de CDROM moeten kunnen draaien.&mathematica; Wachtwoord OpvragenVoordat &mathematica; kan
draaien, moet er een wachtwoord komen van Wolfram dat
overeenkomt met het machine ID.EthernetMAC adresAls de &linux; compatibiliteits-runtime bibliotheken zijn
geïnstalleerd en &mathematica;
is uitgepaktm, dan kan het machine ID verkregen
worden door mathinfo te draaien in de
installatiemap. Dit machine-ID is alleen op het MAC adres van
de eerste Ethernetkaart gebaseerd.&prompt.root; cd /localdir/Files/SystemFiles/Installation/Binaries/Linux
&prompt.root; mathinfo
disco.example.com 7115-70839-20412Bij een registratie bij Wolfram, per email, telefoon of
fax, wordt het machine ID opgegeven en zij
reageren met een overeenkomstig wachtwoord dat uit groepen
getallen bestaat. Deze informatie kan ingevoerd worden bij het
voor de eerste keer draaien van
&mathematica;, net als voor elk
ander &mathematica; platform.Het &mathematica; Frontend over een Netwerk
Draaien&mathematica; gebruikt enkele
speciale lettertypen om tekens af te beelden die niet aanwezig
zijn in een standaard lettertypeverzameling (integralen,
sommen, Griekse letters, enzovoort). Het X-protocol vereist
dat deze lettertypen lokaal worden
geïnstalleerd. Dit betekent dat deze lettertypen
gekopieerd moeten worden vanaf de CDROM of vanaf een host met
&mathematica; erop naar de lokale
machine. Deze lettertypen worden meestal opgeslagen in
/cdrom/Unix/Files/SystemFiles/Fonts op de
CDROM of in
/usr/local/mathematica/SystemFiles/Fonts
op de harde schijf. De eigenlijke lettertypen staan in de
submap Type1 en X.
Er zijn verschillende manieren om ze te installeren, zoals
hieronder staat beschreven.De eerste manier is om ze te kopiëren in
één van de bestaande lettertypenmappen in
/usr/X11R6/lib/X11/fonts. Hiertoe dient
fonts.dir bewerkt te worden door de namen
van de lettertypen eraan toe te voegen het aantal lettertypen
op de eerste regel te veranderen. Als alternatief kan ook
eenvoudig &man.mkfontdir.1; in de map gedraaid worden waar de
lettertypen heen zijn gekopieerd.De tweede manier om dit te doen is door de mappen naar
/usr/X11R6/lib/X11/fonts te
kopiëren:&prompt.root; cd /usr/X11R6/lib/X11/fonts
&prompt.root; mkdir X
&prompt.root; mkdir MathType1
&prompt.root; cd /cdrom/Unix/Files/SystemFiles/Fonts
&prompt.root; cp X/* /usr/X11R6/lib/X11/fonts/X
&prompt.root; cp Type1/* /usr/X11R6/lib/X11/fonts/MathType1
&prompt.root; cd /usr/X11R6/lib/X11/fonts/X
&prompt.root; mkfontdir
&prompt.root; cd ../MathType1
&prompt.root; mkfontdirVoeg nu de nieuwe lettertypenmappen toe aan het
lettertypenpad:&prompt.root; xset fp+ /usr/X11R6/lib/X11/fonts/X
&prompt.root; xset fp+ /usr/X11R6/lib/X11/fonts/MathType1
&prompt.root; xset fp rehashAls de &xorg; server gebruikt
wordt, kunnen deze lettertypenmappen automatisch geladen worden
door ze aan xorg.conf toe te
voegen.Voor &xfree86; servers is het
instellingenbestand XF86Config.lettertypenAls er nog geen map
/usr/X11R6/lib/X11/fonts/Type1 bestaat,
kan de naam van de map MathType1 in het
bovenstaande voorbeeld veranderd worden naar
Type1.AaronKaplanBijgedragen door RobertGetschmannMet dank aan &maple; InstallerenapplicatiesMaple&maple; is een commercieel
wiskundeprogramma vergelijkbaar met
&mathematica;. De software is te koop
op en kan daar
ook geregistreerd worden voor een licentiebestand. Om deze
software op &os; te installeren kunnen de volgende eenvoudige
stappen gevolgd worden:Voer het INSTALL> shellscript
uit van de productdistributie. Kies de RedHat
optie als daarom wordt gevraagd door het
installatieprogramma. Een typische installatiemap zou
/usr/local/maple
zijn.Bestel, als dat nog niet gedaan is, een licentie voor
&maple; van Maple Waterloo
Software () en kopieer
deze naar
/usr/local/maple/license/license.dat.Installeer de FLEXlm
licentiebeheerder met het installatieshellscript
INSTALL_LIC, dat geleverd wordt bij
&maple;. Stel de primaire
hostnaam voor de machine in voor de licentieserver.Patch het bestand
/usr/local/maple/bin/maple.system.type
met het volgende: ----- knip ------------------
*** maple.system.type.orig Sun Jul 8 16:35:33 2001
--- maple.system.type Sun Jul 8 16:35:51 2001
***************
*** 72,77 ****
--- 72,78 ----
# the IBM RS/6000 AIX case
MAPLE_BIN="bin.IBM_RISC_UNIX"
;;
+ "FreeBSD"|\
"Linux")
# the Linux/x86 case
# We have two Linux implementations, one for Red Hat and
----- knip einde van patch -----Achter "FreeBSD"| mogen geen verdere
witvelden staan.Deze patch instrueert &maple;
om &os; als een &linux; systeem te herkennen.
Het shellscript bin/maple roept het
shellscript bin/maple.system.type aan,
dat op zijn beurt uname -a aanroept om
achter de naam van het besturingssysteem te komen.
Afhankelijk van de naam van het besturingssysteem zoekt het
uit welke binaries het moet gebruiken.Start de licentieserver.Het volgende script, geïnstalleerd als
/usr/local/etc/rc.d/lmgrd.sh, is een
gemakkelijke manier om lmgrd op te
starten: ----- knip ------------
#! /bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/usr/X11R6/bin
PATH=${PATH}:/usr/local/maple/bin:/usr/local/maple/FLEXlm/UNIX/LINUX
export PATH
LICENSE_FILE=/usr/local/maple/license/license.dat
LOG=/var/log/lmgrd.log
case "$1" in
start)
lmgrd -c ${LICENSE_FILE} 2>> ${LOG} 1>&2
echo -n " lmgrd"
;;
stop)
lmgrd -c ${LICENSE_FILE} -x lmdown 2>> ${LOG} 1>&2
;;
*)
echo "Usage: `basename $0` {start|stop}" 1>&2
exit 64
;;
esac
exit 0
----- knip ------------&maple; testen:&prompt.user; cd /usr/local/maple/bin
&prompt.user; ./xmapleNu hoort het programma te draaien. Het is belangrijk om
Maplesoft te schrijven om ze te laten weten dat een echte
&os; versie gewenst is!Gemeenschappelijke Verborgen GevarenDe FLEXlm
licentiebeheerder kan een lastig programma zijn om mee te
werken. Aanvullende documentatie staat op .lmgrd staat er bekend om erg
kieskeurig over het licentiebestand te zijn en core te dumpen
als er een probleem is. Een correct licentiebestand ziet er
zo uit:# =======================================================
# License File for UNIX Installations ("Pointer File")
# =======================================================
SERVER chillig ANY
#USE_SERVER
VENDOR maplelmg
FEATURE Maple maplelmg 2000.0831 permanent 1 XXXXXXXXXXXX \
PLATFORMS=i86_r ISSUER="Waterloo Maple Inc." \
ISSUED=11-may-2000 NOTICE=" Technische Universitat Wien" \
SN=XXXXXXXXXHet serienummer en de sleutel zijn vervangen door
X'en. chillig is de
hostnaam.Het bewerken van het licentiebestand lukt zolang de
regel FEATURE niet verandert (die
beschermd is door de licentiesleutel).DanPellegBijgedragen door &matlab; Installerenapplicaties&matlab;Dit document beschrijft het installatieproces van de &linux;
versie van &matlab; 6.5 op een &os;
systeem. Het werkt best goed, met uitzondering van de
&java.virtual.machine; (zie ).De &linux; versie van &matlab; kan
besteld worden bij The MathWorks op . Er dient ook een
licentiebestand of instructies hoe dat te maken te zijn. Het is
belangrijk om Maplesoft te schrijven om ze te laten weten dat een
echte &os; versie gewenst is!&matlab; InstallerenOm &matlab; te
installeren:Laad de installatie-CD en mount die. Start het
installatiescript als root:&prompt.root; /compat/linux/bin/sh /cdrom/installHet is een grafisch installatieprogramma. Als er
foutmeldingen verschijnen dat het programma geen scherm
kan openen, kan setenv HOME
~GEBRUIKER
uitgevoerd worden, waar
GEBRUIKER de gebruiker is
waarmee &man.su.1; is gedaan.Als om de &matlab; rootmap
wordt gevraagd, dient
/compat/linux/usr/local/matlab
opgegeven te worden.
Voer op de commandoregel het volgende uit om de
rest van het installatieproces gemakkelijk te houden:
set
MATLAB=/compat/linux/usr/local/matlab.Wijzig het licentiebestand zoals aangegeven tijdens het
verkrijgen van de licentie voor
&matlab;.Dit bestand kan van tevoren gemaakt worden met een
tekstverwerker en door het te kopiëren naar
$MATLAB/license.dat voordat het
installatieprogramma vraagt om het te bewerken.Maak het installatieproces af.Nu is de installatie van
&matlab; compleet. De volgende
stappen lijmen het aan het &os; systeem.Licentiebeheerder StartenMaak symbolische links voor de scriptbestanden van de
licentiebeheerder:&prompt.root; ln -s $MATLAB/etc/lmboot /usr/local/etc/lmboot_TMW
&prompt.root; ln -s $MATLAB/etc/lmdown /usr/local/etc/lmdown_TMWMaak een opstartbestand in
/usr/local/etc/rc.d/flexlm.sh.
Onderstaand voorbeeld is een gewijzigde versie van het
meegeleverde $MATLAB/etc/rc.lm.glnx86.
De wijzigingen omvatten bestandslocaties en het starten
van de licentiebeheerder onder &linux;-emulatie.#!/bin/sh
case "$1" in
start)
if [ -f /usr/local/etc/lmboot_TMW ]; then
/compat/linux/bin/sh /usr/local/etc/lmboot_TMW -u gebruikersnaam && echo 'MATLAB_lmgrd'
fi
;;
stop)
if [ -f /usr/local/etc/lmdown_TMW ]; then
/compat/linux/bin/sh /usr/local/etc/lmdown_TMW > /dev/null 2>&1
fi
;;
*)
echo "Usage: $0 {start|stop}"
exit 1
;;
esac
exit 0Het bestand moet uitvoerbaar zijn:&prompt.root; chmod +x /usr/local/etc/rc.d/flexlm.shOok moet bovenstaande
gebruikersnaam vervangen
worden door een geldige gebruikersnaam op het systeem
(maar niet door root).Start de licentiebeheerder op met het commando:&prompt.root; /usr/local/etc/rc.d/flexlm.sh startDe &java; Runtime-omgeving LinkenVerander de &java; Runtime
Environment Link naar een die werkt op &os;:&prompt.root; cd $MATLAB/sys/java/jre/glnx86
&prompt.root; unlink jre; ln -s ./jre1.1.8 ./jre&matlab; Opstartscript MakenPlaats het volgende startscript in
/usr/local/bin/matlab:#!/bin/sh
/compat/linux/bin/sh /compat/linux/usr/local/matlab/bin/matlab "$@"Geef vervolgens het commando
chmod +x /usr/local/bin/matlab.Afhankelijk van de versie van emulators/linux_base, kunnen er
fouten optreden als dit script draait. Om dat te voorkomen,
dient in
/compat/linux/usr/local/matlab/bin/matlab
de regel:if [ `expr "$lscmd" : '.*->.*'` -ne 0 ]; then(in versie 13.0.1 staat dit op regel 410) veranderd te
worden in:if test -L $newbase; then&matlab; Afsluitscript MakenHet volgende is nodig om een probleem op te lossen dat
samenhangt met het onjuist afsluiten van &matlab;.Maak het bestand
$MATLAB/toolbox/local/finish.m dat
alleen de volgende regel bevat:! $MATLAB/bin/finish.sh$MATLAB$ is hier letterlijk
bedoeld.In dezelfde map staan de bestanden
finishsav.m en
finishdlg.m, die de mogelijkheid
geven om de werkomgeving te bewaren vóór
het afsluiten. Als één van deze scripts
gebruikt wordt, dient de bovenstaande regel direct na het
commando save ingevoegd te worden.
Maak het bestand
$MATLAB/bin/finish.sh, dat het
volgende bevat:#!/usr/compat/linux/bin/sh
(sleep 5; killall -1 matlab_helper) &
exit 0Maak het bestand uitvoerbaar:&prompt.root; chmod +x $MATLAB/bin/finish.sh&matlab; GebruikenNu kan met matlab het programma gestart
worden.MarcelMoolenaarBijgedragen door &oracle; InstallerenapplicatiesOracleVoorwoordHieronder wordt het installatieproces van
&oracle; 8.0.5 en
&oracle; 8.0.5.1 Enterprise
Edition voor &linux; op een &os;-machine
beschreven.De &linux;-omgeving InstallerenUit de portscollectie dienen emulators/linux_base en devel/linux_devtools
geïnstalleerd te zijn. Als er problemen zijn met deze
ports, kan het zijn dat de packages of oudere versies uit de
portscollectie gebruikt moeten worden.Om de intelligente agent te draaien, moet ook het Red Hat
Tcl package geïnstalleerd worden:
tcl-8.0.3-20.i386.rpm. Het algemene
commando om packages te installeren met de officiële
RPM port (archivers/rpm) is:&prompt.root; rpm -i --ignoreos --root /compat/linux --dbpath /var/lib/rpm packageDe installatie van het package
hoort foutloos te verlopen.De &oracle;-omgeving CreërenVoordat &oracle;
geïnstalleerd kan worden, moet een juiste omgeving
opgezet worden. Dit document beschrijft alleen welke
speciale dingen gedaan moeten worden om
&oracle; voor &linux; op &os; te
draaien, en niet wat beschreven staat in de
&oracle;
installatiehandleiding.KerneloptimalisatiekerneloptimalisatieZoals beschreven staat in de
&oracle; installatiehandleiding
moet de maximale grootte van het gedeelde geheugen ingesteld
worden. Op &os; moet SHMMAX niet gebruikt
worden. SHMMAX wordt slechts uit
SHMMAXPGS en PGSIZE
berekend. Daarom dient SHMMAXPGS
gedefinieerd te worden. Alle andere opties kunnen gebruikt
worden zoals in de handleiding staat beschreven.
Bijvoorbeeld:options SHMMAXPGS=10000
options SHMMNI=100
options SHMSEG=10
options SEMMNS=200
options SEMMNI=70
options SEMMSL=61Deze opties kunnen naargelang het gebruik van
&oracle; ingesteld worden.Ook de volgende opties dienen in het
kernelinstellingenbestand te staan:options SYSVSHM #SysV gedeeld geheugen
options SYSVSEM #SysV semaforen
options SYSVMSG #SysV interprocescommunicatie&oracle; AccountCreeër een oracle account op
dezelfde manier als elk ander account. Het
oracle account is alleen bijzonder in
het opzicht dat het een &linux; shell moet hebben. Dat kan
door /compat/linux/bin/bash toe te voegen
aan /etc/shells en de shell voor het
oracle account in te stellen op
/compat/linux/bin/bash.OmgevingNaast de normale &oracle;
variabelen als ORACLE_HOME en
ORACLE_SID moeten de volgende
omgevingsvariabelen ingesteld worden:VariabeleWaardeLD_LIBRARY_PATH$ORACLE_HOME/libCLASSPATH$ORACLE_HOME/jdbc/lib/classes111.zipPATH/compat/linux/bin;
/compat/linux/sbin;
/compat/linux/usr/bin;
/compat/linux/usr/sbin;
/bin;
/sbin;
/usr/bin;
/usr/sbin;
/usr/local/bin;
$ORACLE_HOME/binHet is aan te raden om alle omgevingsvariabelen in
.profile in te stellen. Een volledig
voorbeeld is:ORACLE_BASE=/oracle; export ORACLE_BASE
ORACLE_HOME=/oracle; export ORACLE_HOME
LD_LIBRARY_PATH=$ORACLE_HOME/lib
export LD_LIBRARY_PATH
ORACLE_SID=ORCL; export ORACLE_SID
ORACLE_TERM=386x; export ORACLE_TERM
CLASSPATH=$ORACLE_HOME/jdbc/lib/classes111.zip
export CLASSPATH
PATH=/compat/linux/bin:/compat/linux/sbin:/compat/linux/usr/bin
PATH=$PATH:/compat/linux/usr/sbin:/bin:/sbin:/usr/bin:/usr/sbin
PATH=$PATH:/usr/local/bin:$ORACLE_HOME/bin
export PATH&oracle; InstallerenWegens een kleine inconsistentie in de &linux; emulator
moet de map .oracle aangemaakt worden
in /var/tmp voordat het
- installatieprogramma wordt gestart. In deze map moet òf
- door iedereen geschreven kunnen worden òf de
- oracle gebruiker moet de eigenaar zijn.
- Nu hoort &oracle; zonder problemen
- te installeren. Bij problemen dienen eerst de
+ installatieprogramma wordt gestart. De gebruiker
+ oracle moet de eigenaar van deze map
+ zijn. Nu hoort &oracle; zonder
+ problemen te installeren. Bij problemen dienen eerst de
&oracle; distributie en/of de
instellingen gecontroleerd te worden! Nadat
&oracle; is geïnstalleerd,
moeten de patches uit de volgende twee secties
geïnstalleerd worden.Een veelvoorkomend probleem is dat de adapter voor het
TCP-protocol niet goed is geïnstalleerd. De consequentie
daarvan is dat er geen TCP-listeners gestart kunnen worden. De
volgende acties helpen om dit probleem op te lossen:&prompt.root; cd $ORACLE_HOME/network/lib
&prompt.root; make -f ins_network.mk ntcontab.o
&prompt.root; cd $ORACLE_HOME/lib
&prompt.root; ar r libnetwork.a ntcontab.o
&prompt.root; cd $ORACLE_HOME/network/lib
&prompt.root; make -f ins_network.mk installHierna dient root.sh nogmaals te
draaien!root.sh PatchenAls &oracle;
geïnstalleerd wordt, worden sommige acties die als
root moeten worden uitgevoerd
geregistreerd in een shellscript met de naam
root.sh. Dit script komt in de map
orainst te staan. De volgende patch
dient uitgevoerd te worden op root.sh om
het de juiste locatie van chown te laten
gebruiken of als alternatief kan het script onder een
originele &linux; shell gedraaid worden*** orainst/root.sh.orig Tue Oct 6 21:57:33 1998
--- orainst/root.sh Mon Dec 28 15:58:53 1998
***************
*** 31,37 ****
# This is the default value for CHOWN
# It will redefined later in this script for those ports
# which have it conditionally defined in ss_install.h
! CHOWN=/bin/chown
#
# Define variables to be used in this script
--- 31,37 ----
# This is the default value for CHOWN
# It will redefined later in this script for those ports
# which have it conditionally defined in ss_install.h
! CHOWN=/usr/sbin/chown
#
# Define variables to be used in this scriptAls &oracle; niet vanaf
een CD wordt geïnstalleerd, kan de broncode van
root.sh aangepast worden. Die heet
rthd.sh en staat in de map
orainst in de broncodestructuur.
genclntsh PatchenHet script genclntsh wordt gebruikt om
é´n enkele gedeelde bibliotheek voor de client
aan te maken. Het wordt gebruikt tijdens het maken van de
demonstraties. Met de volgende patch wordt de definitie van
PATH uitgecommentarieerd:*** bin/genclntsh.orig Wed Sep 30 07:37:19 1998
--- bin/genclntsh Tue Dec 22 15:36:49 1998
***************
*** 32,38 ****
#
# Explicit path to ensure that we're using the correct commands
#PATH=/usr/bin:/usr/ccs/bin export PATH
! PATH=/usr/local/bin:/bin:/usr/bin:/usr/X11R6/bin export PATH
#
# each product MUST provide a $PRODUCT/admin/shrept.lst
--- 32,38 ----
#
# Explicit path to ensure that we're using the correct commands
#PATH=/usr/bin:/usr/ccs/bin export PATH
! #PATH=/usr/local/bin:/bin:/usr/bin:/usr/X11R6/bin export PATH
#
# each product MUST provide a $PRODUCT/admin/shrept.lst&oracle; DraaienAls de instructies worden gevolgd, draait
&oracle; als op &linux; zelf.HolgerKippBijgedragen door ValentinoVaschettoOriginele versie omgezet naar SGML door &sap.r3; Installerenapplicaties&sap.r3;Installaties van &sap; Systemen
die &os; gebruiken worden niet ondersteund door het &sap;
ondersteuningsteam. Zij bieden alleen ondersteuning voor
gecertificeerde platformen.VoorwoordDit document beschrijft een mogelijke manier om een
&sap.r3; System met
&oracle; Database voor &linux; op
een &os; machine, inclusief de installatie van &os; en
&oracle;. Er worden twee
configuraties beschreven:&sap.r3; 4.6B (IDES) met
&oracle; 8.0.5 op
&os; 4.3–STABLE;
&sap.r3; 4.6C met
&oracle; 8.1.7 op
&os; 4.5–STABLE.
Hoewel dit document alle belangrijke stappen in meer detail
probeert te beschrijven, is het niet bedoeld als een vervanging
voor de &oracle; en
&sap.r3;
installatiehandleidingen.Voor specifieke vragen wordt verwezen naar de documentatie
die geleverd wordt bij de &sap.r3;
&linux; editie voor &sap; en
&oracle; en de bronnen van
&oracle; en
&sap; OSS.SoftwareVoor de &sap; installaties zijn
de volgende CDROMs gebruikt:&sap.r3; 4.6B, &oracle; 8.0.5NaamNummerBeschrijvingKERNEL51009113SAP Kernel Oracle / Installation / AIX, Linux,
SolarisRDBMS51007558Oracle / RDBMS 8.0.5.X / LinuxEXPORT151010208IDES / DB-Export / Disc 1 of 6EXPORT251010209IDES / DB-Export / Disc 2 of 6EXPORT351010210IDES / DB-Export / Disc 3 of 6EXPORT451010211IDES / DB-Export / Disc 4 of 6EXPORT551010212IDES / DB-Export / Disc 5 of 6EXPORT651010213IDES / DB-Export / Disc 6 of 6Ook zijn de &oracle; 8 Server
(Pre-productie versie 8.0.5 voor &linux; kernelversie 2.0.33)
CD gebruikt, die niet echt noodzakelijk is en &os; 4.3-STABLE
(een paar dagen na de 4.3-RELEASE).&sap.r3; 4.6C SR2, &oracle; 8.1.7NaamNummerBeschrijvingKERNEL51014004SAP Kernel Oracle / SAP Kernel Version 4.6D /
DEC, LinuxRDBMS51012930Oracle 8.1.7/ RDBMS / LinuxEXPORT151013953Release 4.6C SR2 / Export / Disc 1 of 4EXPORT151013953Release 4.6C SR2 / Export / Disc 2 of 4EXPORT151013953Release 4.6C SR2 / Export / Disc 3 of 4EXPORT151013953Release 4.6C SR2 / Export / Disc 4 of 4LANG151013954Release 4.6C SR2 / Language / DE, EN, FR /
Disc 1 van 3Afhankelijk van de talen die geïnstalleerd moeten
worden kunnen aanvullende taal-CDs nodig zijn. Hier
worden DE en EN gebruikt, dus is alleen de eerste taal-CD
nodig. Een kleine kanttekening is dat de nummers van alle
vier de EXPORT CDs identiek zijn. Ook hebben alle drie de
taal-CDs hetzelfde nummer (dit verschilt met de 4.6B IDES
release CD-nummering). Ten tijde van schrijven draait deze
installatie op &os; 4.5-STABLE (20.03.2002).Opmerkingen over &sap;Het wordt aangeraden de volgende notities
vóór de installatie van
&sap.r3; gelezen te hebben. Ze
waren bruikbaar tijdens de installatie:&sap.r3; 4.6B, &oracle; 8.0.5NummerTitel0171356SAP Software on Linux: Essential Comments0201147INST: 4.6C R/3 Inst. on UNIX - Oracle0373203Update / Migration Oracle 8.0.5 -->
8.0.6/8.1.6 LINUX0072984Release of Digital UNIX 4.0B for Oracle0130581R3SETUP step DIPGNTAB terminates0144978Your system has not been installed correctly0162266Questions and tips for R3SETUP on
Windows NT / W2K&sap.r3; 4.6C, &oracle; 8.1.7NummerTitel0015023Initializing table TCPDB (RSXP0004) (EBCDIC)0045619R/3 with several languages or typefaces0171356SAP Software on Linux: Essential Comments0195603RedHat 6.1 Enterprise version: Known problems0212876The new archiving tool SAPCAR0300900Linux: Released DELL Hardware0377187RedHat 6.2: important remarks0387074INST: R/3 4.6C SR2 Installation on UNIX0387077INST: R/3 4.6C SR2 Inst. on UNIX - Oracle0387078SAP Software on UNIX: OS Dependencies 4.6C SR2Benodigde HardwareDe volgende uitrusting is voldoende voor de installatie van
een &sap.r3; Systeem. Voor
productiegebruik geldt natuurlijk dat exactere gegevens nodig
zijn:Component4.6B4.6CProcessor2 x 800MHz &pentium; III2 x 800MHz &pentium; IIIGeheugen1GB ECC2GB ECCHardeschijfruimte50-60GB (IDES)50-60GB (IDES)Voor productiegebruik zijn &xeon; processoren met een grote
cache, schijftoegang op hoge snelheid (SCSI,
RAID-hardwarecontroller) USV en ECC-RAM aanbevolen. De
grote hoeveelheid benodigde schijfruimte is te wijten aan het
vooringestelde IDES-systeem, dat 27 GB aan
databasebestanden aanmaakt tijdens de installatie. Deze ruimte
is ook voldoende voor beginnende productiesystemen en
applicatiegegevens.&sap.r3; 4.6B, &oracle; 8.0.5De volgende kant-en-klare hardware werd gebruikt: een
dual processorbord met 2 800 MHz &pentium;nbsp;III
processoren, &adaptec; 21960 Ultra160 SCSI adapter (om een
40/80 GB DLT tapedrive en CDROM aan te spreken), &mylex;
&acceleraid; (2 kanalen, firmware 6.00-1-00 met 32 MB
RAM). Aan de &mylex; RAID-controller zijn twee 17 GB
harde schijven (gespiegeld) en vier 36 GB harde schijven
(RAID-niveau 5) bevestigd.&sap.r3; 4.6C, &oracle; 8.1.7Voor deze installatie werd een &dell; &poweredge; 2500
gebruikt: een dual processorbord met twee 1000 MHz
&pentium; III processoren (256 kB cache), 2 GB
PC133 ECC SDRAM, PERC/3 DC PCI RAID-controller met
128 MB en een EIDE DVD-ROM-drive. Aan de
RAID-controller zijn twee 18 GB harde schijven
(gespiegeld) en vier 36 GB harde schijven (RAID-niveau
5) bevestigd.Installatie van &os;Eerst moet &os; geïnstalleerd worden. Er zijn
verschillende manieren om dit te doen (&os; 4.3 was
geïnstalleerd via FTP, &os; 4.5 direct vanaf de
RELEASE CD). Er staat meer informatie in .SchijfindelingOm het eenvoudig te houden, werd voor zowel de
&sap.r3; 46B installatie als de
&sap.r3; 46C SR2 installatie
dezelfde schijfindeling gebruikt. Alleen de apparaatnamen
veranderden, omdat de installaties op verschillende hardware
werden gedaan (/dev/da respectievelijk
/dev/amr, dus als een AMI &megaraid;
wordt gebruikt, is /dev/amr0s1a te zien
in plaats van /dev/da0s1a):BestandssysteemGrootte (1k-blokken)Grootte (GB)Gemount aan/dev/da0s1a1.016.3031//dev/da0s1b6swap/dev/da0s1e2.032.6232/var/dev/da0s1f8.205.3398/usr/dev/da1s1e45.734.36145/compat/linux/oracle/dev/da1s1f2.032.6232/compat/linux/sapmnt/dev/da1s1g2.032.6232/compat/linux/usr/sapDe twee logische drives dienen tevoren met de &mylex;- of
PERC/3 RAID-software ingesteld en geïnitialiseerd te
worden. De software kan tijdens de opstartfase van het
BIOS gestart worden.De schijfindelingen wijken licht af van de aanbevelingen
van &sap;, omdat &sap; aanbeveelt om de
&oracle; submappen (en enkele
andere) gescheiden te mounten. Hier is besloten om ze
omwille van de eenvoud gewoon als echte submappen aan te
maken.make world en een Nieuwe
KernelNu dient de nieuwste -STABLE-broncode gedownload te
worden. Nadat het kernelinstellingenbestand is aangepast,
kunnen de wereld en de kernel opnieuw gebouwd worden.
Hier moeten ook de kernelparameters in staan die
nodig zijn voor &sap.r3; en
&oracle;.De &linux;-omgeving InstallerenHet &linux; Basissysteem InstallerenEerst moet de linux_base port
geïnstalleerd worden (als
root):&prompt.root; cd /usr/ports/emulators/linux_base
&prompt.root; make install distcleanDe &linux; Ontwikkelomgeving InstallerenDe &linux;-ontwikkelomgeving is volgens noodzakelijk om
&oracle; op &os; te
installeren:&prompt.root; cd /usr/ports/devel/linux_devtools
&prompt.root; make install distcleanDe &linux;-ontwikkelomgeving is alleen voor de
&sap.r3; 46B IDES installatie
geïnstalleerd. Het is niet nodig als de
&oracle; DB niet opnieuw wordt
gelinkt op het &os;-systeem. Dit is het geval als de
&oracle; tarball van een
&linux;-systeem wordt gebruikt.De Benodigde RPM's InstallerenRPM'sOm het R3SETUP programma te starten is
PAM-ondersteuning nodig. Tijdens de eerste installatie van
&sap; op &os; 4.3-STABLE is
geprobeerd om PAM met alle benodigde packages te installeren
en uiteindelijk is de installatie van het PAM-package
afgedwongen, wat werkte. Voor &sap.r3; 4.6C
SR 2 is we meteen de installatie van het PAM
RPM afgedwongen, wat ook werkte, dus lijkt het erop dat de
afhankelijke packages niet nodig zijn:&prompt.root; rpm -i --ignoreos --nodeps --root /compat/linux --dbpath /var/lib/rpm \
pam-0.68-7.rpmOm &oracle; 8.0.5 de
intelligente agent te laten draaien, moest ook het
Tcl-package van RedHat
tcl-8.0.5-30.i386.prm geïnstalleerd
worden (anders mislukt het herlinken tijdens de installatie
van &oracle;). Er zijn nog wat
andere gevallen met betrekking tot het herlinken van
&oracle;, maar dat is een
&oracle; &linux;-geval en niet
&os;-specifiek.Aanvullende HintsHet kan ook een goed idee zijn om
linprocfs aan
/etc/fstab toe te voegen. Meer
informatie is te vinden in &man.linprocfs.5;. Een andere
parameter om in te stellen is
kern.fallback_elf_brand=3 in
/etc/sysctl.conf.De &sap.r3;-omgeving MakenDe Benodigde Bestandssystemen en Mountpunten
CreërenVoor een eenvoudige installatie is het voldoende om de
volgende bestandssystemen aan te maken:mountpuntgrootte in GB/compat/linux/oracle45 GB/compat/linux/sapmnt2 GB/compat/linux/usr/sap2 GBHet is ook noodzakelijk om enige mounts te maken,
anders klaagt de &sap; Installer
als die de gemaakte mounts controleert:&prompt.root; ln -s /compat/linux/oracle /oracle
&prompt.root; ln -s /compat/linux/sapmnt /sapmnt
&prompt.root; ln -s /compat/linux/usr/sap /usr/sapMogelijke foutmeldingen tijdens de installatie zijn (hier
met System PRD en de
&sap.r3; 4.6C
SR2-installatie):INFO 2002-03-19 16:45:36 R3LINKS_IND_IND SyLinkCreate:200
Checking existence of symbolic link /usr/sap/PRD/SYS/exe/dbg to
/sapmnt/PRD/exe. Creating if it does not exist...
WARNING 2002-03-19 16:45:36 R3LINKS_IND_IND SyLinkCreate:400
Link /usr/sap/PRD/SYS/exe/dbg exists but it points to file
/compat/linux/sapmnt/PRD/exe instead of /sapmnt/PRD/exe. The
program cannot go on as long as this link exists at this
location. Move the link to another location.
ERROR 2002-03-19 16:45:36 R3LINKS_IND_IND Ins_SetupLinks:0
can not setup link '/usr/sap/PRD/SYS/exe/dbg' with content
'/sapmnt/PRD/exe'Gebruikers en Mappen Aanmaken&sap.r3; heeft twee gebruikers
en drie groepen nodig. De gebruikersnamen zijn afhankelijk
van de &sap; system ID (SID) die
uit drie letters bestaat. Enkele van deze SIDs zijn
gereserveerd door &sap;
(bijvoorbeeld SAP en
NIX. In de
&sap;-documentatie staat een
complete lijst). Voor de IDES-installatie is
IDS gebruikt, voor de 4.6C SR2-installatie
PRD, omdat dat systeem bedoeld is voor
productiegebruik. Daarvoor zijn de volgende groepen gebruikt
(groep-IDs kunnen afwijken, dat zijn gewoon de waardes die
voor deze specifieke installatie gebruikt zijn):groep-IDgroepsnaambeschrijving100dbaDataBase-Administrator101sapsys&sap; System102operDataBase-OperatorVoor een standaard &oracle;-
installatie wordt slechts é´n groep,
dba, gebruikt. De groep
oper gebruikt ook de groep
dba (er staat meer informatie in de
&oracle;- en
&sap;-documentatie).Tevens zijn de volgende gebruikers nodig:gebruikers-IDgebruikersnaamgenerieke naamgroepaanvullende groepenbeschrijving1000idsadm/prdadmsidadmsapsysoper&sap;-beheerder1002oraids/oraprdorasiddbaoper&oracle;-beheerderDe volgende regels voor &man.adduser.8; zijn nodig om de
&sap;-beheerder-gebruiker toe te
voegen:Name: sidadm
Password: ******
Fullname: SAP-beheerderSID
Uid: 1000
Gid: 101 (sapsys)
Class:
Groups: sapsys dba
HOME: /home/sidadm
Shell: bash (/compat/linux/bin/bash)en deze voor de
&oracle;-beheerder-gebruiker:Name: orasid
Password: ******
Fullname: Oracle-beheerderSID
Uid: 1002
Gid: 100 (dba)
Class:
Groups: dba
HOME: /oracle/sid
Shell: bash (/compat/linux/bin/bash)De &oracle;-beheerder moet ook
in de groep oper zitten als de groepen
dba en oper
beiden gebruikt worden.Mappen AanmakenDe volgende mappen worden normaalgesproken als aparte
bestandssystemen aangemaakt. Dit is geheel afhankelijk van
de behoefte. Hier is ervoor gekozen om ze als simpele mappen
aan te maken, omdat ze toch allemaal op dezelfde RAID-5
zitten:Eerst worden de eigenaren en rechten van sommige mappen
ingesteld (als root):&prompt.root; chmod 775 /oracle
&prompt.root; chmod 777 /sapmnt
&prompt.root; chown root:dba /oracle
&prompt.root; chown sidadm:sapsys /compat/linux/usr/sap
&prompt.root; chmod 775 /compat/linux/usr/sapAls tweede worden de mappen als gebruiker
orasid aangemaakt. Dat
zijn allemaal submappen van
/oracleSID:&prompt.root; su - orasid
&prompt.root; cd /oracle/SID
&prompt.root; mkdir mirrlogA mirrlogB origlogA origlogB
&prompt.root; mkdir sapdata1 sapdata2 sapdata3 sapdata4 sapdata5 sapdata6
&prompt.root; mkdir saparch sapreorg
&prompt.root; exitVoor de &oracle;
8.1.7-installatie zijn enkele aanvullende
mappen nodig:&prompt.root; su - orasid
&prompt.root; cd /oracle
&prompt.root; mkdir 805_32
&prompt.root; mkdir client stage
&prompt.root; mkdir client/80x_32
&prompt.root; mkdir stage/817_32
&prompt.root; cd /oracle/SID
&prompt.root; mkdir 817_32De map client/80x_32 wordt met
precies deze naam gebruikt. De x mag
niet door een getal of iets dergelijs vervangen
worden.In de derde stap worden de mappen als gebruiker
sidadm
aangemaakt:&prompt.root; su - sidadm
&prompt.root; cd /usr/sap
&prompt.root; mkdir SID
&prompt.root; mkdir trans
&prompt.root; exitRegels in /etc/servicesVoor &sap.r3; zijn enkele
regels in het bestand /etc/services
nodig, die niet correct worden ingesteld tijdens de
installatie op &os;. De volgende regels moeten toegevoegd
worden (op zijn minst die regels die met een instantienummer
overeenkomen, in dit geval 00. Het
kan geen kwaad om alle regels van 00 tot
en met 99 toe te voegen voor
dp, gw,
sp en ms). Als er een
SAProuter gebruikt gaat worden of
toegang tot &sap; OSS nodig is,
dan is 99 ook nodig, aangezien poort 3299
gewoonlijk wordt gebruikt voor het
SAProuter-proces op het
doelsysteem:sapdp00 3200/tcp # SAP-dispatcher. 3200 + instantienummer
sapgw00 3300/tcp # SAP-gateway. 3300 + instantienummer
sapsp00 3400/tcp # 3400 + instantienummer
sapms00 3500/tcp # 3500 + instantienummer
sapmsSID 3600/tcp # SAP-berichtenserver. 3600 + instantienummer
sapgw00s 4800/tcp # veilige SAP-gateway 4800 + instantienummerBenodigde Lokalisatieslocale&sap; heeft tenminste twee
lokalisaties nodig die geen deel uitmaken van de standaard
RedHat-installatie. &sap; biedt de benodigde RPMs als
downloadbare bestanden op hun FTP-server aan (die alleen
toegankelijk is voor klanten met OSS-toegang). In notitie
0171356 staat een lijst van de benodigde RPMs.Het is ook mogelijk om gewoon de juiste links aan te
maken (bijvoorbeeld vanuit de_DE en
en_US), maar dat is niet aan te raden
voor productiesystemen (alhoewel het probleemloos op het
IDES-systeem werkte). De volgende lokalisaties zijn
nodig:de_DE.ISO-8859-1
en_US.ISO-8859-1Nu moeten de volgende links gemaakt worden:&prompt.root; cd /compat/linux/usr/share/locale
&prompt.root; ln -s de_DE de_DE.ISO-8859-1
&prompt.root; ln -s en_US en_US.ISO-8859-1Als ze niet aanwezig zijn, onstaan er problemen tijdens
de installatie. Als ze dan consequent genegeerd worden (door
de STATUS van de probleemstap op
OK te zetten in het bestand
CENTRDB.R3S), is het niet mogelijk om op
het &sap;- systeem aan te melden
zonder wat extra moeite.Kerneloptimalisatiekerneloptimalisatie&sap.r3;-systemen hebben veel
bronnen nodig. Daarom zijn de volgende parameters
toegevoegd aan het kernelinstellingenbestand:#Stel deze in voor geheugengierigheid (SAP en Oracle)
options MAXDSIZ="(1024*1024*1024)"
options DFLDSIZ="(1024*1024*1024)"
#System-V-opties nodig.
options SYSVSHM # SysV-stijl gedeeld geheugen
options SHMMAXPGS=262144 #maximum aantal gedeelde geheugenpagina's
#options SHMMAXPGS=393216 #gebruik dit voor de 46C installatieparameters
options SHMMNI=256 #maximun aantal identifier-interfaces voor gedeeld geheugen
options SHMSEG=100 #maximum aantal gedeeld-geheugensegmenten per proces
options SYSVMSG #SysV-stijl berichtenwachtrijen
options MSGSEG=32767 #maximum aantal berichtsegmenten in systeem
options MSGSSZ=32 #grootte van berichtensegment. MOET macht van 2 zijn
options MSGMNB=65535 #maximum aantal tekens per berichtenwachtrij
options MSGTQL=2046 #maximum aantal berichten in systeem
options SYSVSEM #SysV-stijl semaforen
options SEMMNU=256 #aantal semafoor-UNDO-structuren
options SEMMNS=1024 #aantal semaforen in systeem
options SEMMNI=520 #aantal semafoor-identifiers
options SEMUME=100 #aantal UNDO-sleutelsDe minimumwaarden zijn aangegeven in de documentatie van
&sap;. Omdat er geen beschrijving voor &linux; is, wordt
verwezen naar de HP-UX-sectie (32 bit) voor meer informatie.
Omdat het systeem voor de 4.6C SR2-installatie meer
hoofdgeheugen heeft, kunnen de gedeelde segmenten voor
&sap; en
&oracle; groter zijn.. Daarom kan
voor een groter aantal pagina's voor het gedeelde geheugen
gekozen worden.Op een standaardinstallatie van &os; 4.5 op &i386;
moeten MAXDSIZ en
DFLDSIZ op maximaal 1 GB blijven
staan. Anders kunnen er vreemde fouten als
ORA-27102: out of memory en
Linux Error 12: Cannot allocate
memory optreden.&sap.r3; InstallerenDe &sap;-CDROMs VoorbereidenTijdens de installatie moeten veel CDROMs gemount en
gedismount worden. Als er voldoende CDROM-drives zijn,
kunnen ze allemaal tegelijk gemount worden. Hier is besloten
om de inhoud van de CDROMs naar de overeenkomende mappen
te kopiëren:/oracle/SID/sapreorg/cd-naamHierboven is cd-naam
één van KERNEL,
RDBMS, EXPORT1,
EXPORT2, EXPORT3,
EXPORT4, EXPORT5 en
EXPORT6 voor de
4.6B/IDES-installatie en één van
KERNEL, RDBMS,
DISK1, DISK2,
DISK3, DISK4 en
LANG voor de 4.6C SR2-installatie. Alle
bestandsnamen op de gemounte CD's moeten in hoofdletters
staan of anders kan er gebruik gemaakt worden van de optie
bij het mounten:&prompt.root; mount_cd9660 -g /dev/cd0a /mnt
&prompt.root; cp -R /mnt/* /oracle/SID/sapreorg/cd-naam
&prompt.root; umount /mntHet Installatiescript UitvoerenEerst moet er een map install worden
aangemaakt:&prompt.root; /oracle/SID/sapreorg/KERNEL/UNIX/INSTTOOL.SHDe IDES-installatie (4.6B) komt met een volledig
aangepast &sap.r3; -demonstratiesysteem, dus zijn er zes in
plaats van slechts drie EXPORT-CD's. Op dit moment dient het
installatiesjabloon CENTRDB.R3S voor het
installeren van een standaard centrale instantie
(&r3; met database), niet de
IDES centrale instantie, dus moet de overeenkomende
CENTRDB.R3S vanuit de map EXPORT1 gekopieerd worden,
anders vraagt R5SETUP slechts om drie
EXPORT-CD's.De nieuwere uitgave &sap; 4.6
SR2 komt met vier EXPORT-CD's. Het
parameterbestand dat de installatiestappen beheert is
CENTRAL.R3S. In tegenstelling tot
eerdere uitgaven zijn er geen aparte installatiesjablonen
voor een centrale instantie met of zonder database.
&sap; gebruikt een apart sjabloon
voor de installatie van de database. Om de installatie op
een later tijdstip te opnieuw te starten is het echter
oldoende om met het originele bestand opnieuw te
starten.Tijdens en na de installatie eist
&sap; dat
hostname alleen de naam van de computer en
niet de volledig gekwalificeerde domeinnaam teruggeeft. Dus
dient òf de computernaam op deze manier ingesteld te
worden, òf een alias ingesteld te worden met
alias hostname='hostname -s' voor zowel
orasid als
sidadm (en
voor root tijdens minimaal de
installatiestappen die als root worden
uitgevoerd). Het is ook mogelijk om de geïnstalleerde
bestanden .profile en .login
van beide gebruikers die tijdens de installatie
worden geïnstalleerd aan te passen.Start R3SETUP 4.6BBen er zeker van dat LD_LIBRARY_PATH juist
is ingesteld:&prompt.root; export LD_LIBRARY_PATH=/oracle/IDS/lib:/sapmnt/IDS/exe:/oracle/805_32/libStart R3SETUP als
root vanuit de installatiemap:&prompt.root; cd /oracle/IDS/sapreorg/install
&prompt.root; ./R3SETUP -f CENTRDB.R3SHet script stelt vervolgens wat vragen
(standaardantwoorden in haken, gevolgd door de eigenlijke
invoer):VraagStandaardInvoerEnter SAP System ID[C11]IDSEnterEnter SAP Instance Number[00]EnterEnter SAPMOUNT Directory[/sapmnt]EnterEnter name of SAP central host[troubadix.domain.de]EnterEnter name of SAP db host[troubadix]EnterSelect character set[1] (WE8DEC)EnterEnter Oracle server version (1) Oracle 8.0.5,
(2) Oracle 8.0.6, (3) Oracle 8.1.5,
(4) Oracle 8.1.61EnterExtract Oracle Client archive[1] (Yes, extract)EnterEnter path to KERNEL CD[/sapcd]/oracle/IDS/sapreorg/KERNELEnter path to RDBMS CD[/sapcd]/oracle/IDS/sapreorg/RDBMSEnter path to EXPORT1 CD[/sapcd]/oracle/IDS/sapreorg/EXPORT1Directory to copy EXPORT1 CD[/oracle/IDS/sapreorg/CD4_DIR]EnterEnter path to EXPORT2 CD[/sapcd]/oracle/IDS/sapreorg/EXPORT2Directory to copy EXPORT2 CD[/oracle/IDS/sapreorg/CD5_DIR]EnterEnter path to EXPORT3 CD[/sapcd]/oracle/IDS/sapreorg/EXPORT3Directory to copy EXPORT3 CD[/oracle/IDS/sapreorg/CD6_DIR]EnterEnter path to EXPORT4 CD[/sapcd]/oracle/IDS/sapreorg/EXPORT4Directory to copy EXPORT4 CD[/oracle/IDS/sapreorg/CD7_DIR]EnterEnter path to EXPORT5 CD[/sapcd]/oracle/IDS/sapreorg/EXPORT5Directory to copy EXPORT5 CD[/oracle/IDS/sapreorg/CD8_DIR]EnterEnter path to EXPORT6 CD[/sapcd]/oracle/IDS/sapreorg/EXPORT6Directory to copy EXPORT6 CD[/oracle/IDS/sapreorg/CD9_DIR]EnterEnter amount of RAM for SAP + DB850Enter (in Megabytes)Service Entry Message Server[3600]EnterEnter Group-ID of sapsys[101]EnterEnter Group-ID of oper[102]EnterEnter Group-ID of dba[100]EnterEnter User-ID of
sidadm[1000]EnterEnter User-ID of
orasid[1002]EnterNumber of parallel procs[2]EnterAls de CD's niet naar de verschillende plaatsen
gekopieerd waren, kan het
&sap;-installatieprogramma de
benodigde CD niet vinden (geïdentificeerd door het
bestand LABEL.ASC op de CD) en vraagt
het om de CD te mounten en het mountpad te bevestigen of in
te voeren.Het bestand CENTRDB.R3S kan fouten
bevatten. In dit geval vroeg het nogmaals om de EXPORT4 CD
maar gaf het wel de juiste sleutel (6_LOCATION, daarna
7_LOCATION enzovoorts) aan, dus kon gewoon doorgegaan worden
met het invoeren van de juiste waarden.Afgezien van enkele problemen die hieronder genoemd
worden, hoort alles vanzelf te gaan tot het punt waar de
software voor de &oracle;-database geïnstalleerd moet
worden.R3SETUP 4.6C SR2 StartenLD_LIBRARY_PATH moet juist ingesteld
zijn. Dit is een andere waarde dan die van de 4.6B
installatie met &oracle;
8.0.5:&prompt.root; export LD_LIBRARY_PATH=/sapmnt/PRD/exe:/oracle/PRD/817_32/libStart R3SETUP als gebruiker
root vanuit de installatiemap:&prompt.root; cd /oracle/PRD/sapreorg/install
&prompt.root; ./R3SETUP -f CENTRAL.R3SHet script stelt vervolgens enkele vragen
(standaardantwoorden tussen haken, gevolgd door de eigenlijke
invoer):VraagStandaardInvoerEnter SAP System ID[C11]PRDEnterEnter SAP Instance Number[00]EnterEnter SAPMOUNT Directory[/sapmnt]EnterEnter name of SAP central host[majestix]EnterEnter Database System ID[PRD]PRDEnterEnter name of SAP db host[majestix]EnterSelect character set[1] (WE8DEC)EnterEnter Oracle server version (2) Oracle 8.1.72EnterExtract Oracle Client archive[1] (Yes, extract)EnterEnter path to KERNEL CD[/sapcd]/oracle/PRD/sapreorg/KERNELEnter amount of RAM for SAP + DB20441800Enter (in Megabytes)Service Entry Message Server[3600]EnterEnter Group-ID of sapsys[100]EnterEnter Group-ID of oper[101]EnterEnter Group-ID of dba[102]EnterEnter User-ID of oraprd[1002]EnterEnter User-ID of prdadm[1000]EnterLDAP support3Enter (no support)Installation step completed[1] (continue)EnterChoose installation service[1] (DB inst,file)EnterTot dusver geeft het aanmaken van gebruikers een fout
in de fases OSUSERDBSID_IND_ORA (voor het aanmaken van de
gebruiker
orasid) en
OSUSERIDADM_IND_ORA (voor het aanmaken van de gebruiker
sidadm).&oracle; 8.0.5 InstallerenMogelijke problemen staan beschreven in de &sap; Notes en
&oracle; Readme bestanden met betrekking
tot &linux; en &oracle; DB. De
meeste, zoniet alle, problemen komen door incompatibele
bibliotheken.Meer informatie over het installeren van
&oracle; staat in &oracle; Installeren.&oracle; 8.0.5 Installeren met
orainstAls &oracle; 8.0.5 gebruikt
moet worden, zijn enkele bibliotheken nodig voor het met
succes herlinken, omdat &oracle;
8.0.5 met een oude versie van glibc gelinkt
was (RedHat 6.0) en RedHat 6.1 reeds een nieuwere glibc
gebruikt. De volgende aanvullende packages moeten
geïnstalleerd worden om er zeker van te zijn dat het
linken lukt:compat-libs-5.2-2.i386.rpmcompat-glibc-5.2-2.0.7.2.i386.rpmcompat-egcs-5.2-1.0.3a.1.i386.rpmcompat-egcs-c++-5.2.1.0.3a.1.i386.rpmcompat-binutils-5.2-2.9.1.0.23.1.i386.rpmIn de &sap; Notes of &oracle; Readme
staat meer informatie. Als er geen keuze is (op het moment
van installeren was er niet genoeg tijd om dit te
controleren) kunnen de originele binaries gebruikt worden of
kunnen de herlinkte binaries van een origineel RedHat
systeem gebruikt worden.Om de intelligente agent te compileren moet het RedHat
Tcl package geïnstalleerd zijn. Als
tcl-8.0.3-20.i386.rpm niet te krijgen
is, doet een nieuwere versie zoals
tcl-8.0.5-30.i386.rpm voor RedHat 6.1
het ook.Afgezien van het herlinken is de installatie
rechttoe rechtaan:&prompt.root; su - oraids
&prompt.root; export TERM=xterm
&prompt.root; export ORACLE_TERM=xterm
&prompt.root; export ORACLE_HOME=/oracle/IDS
&prompt.root; cd $ORACLE_HOME/orainst_sap
&prompt.root; ./orainstAlle schermen dienen met Enter
bevestigd te worden totdat de software geïnstalleerd is,
behalve dat de &oracle; On-Line Text
Viewer gedeselecteerd moet worden omdat deze
momenteel niet voor &linux; beschikbaar is. Vervolgens wil
&oracle; met
i386-glibc20-linux-gcc herlinken, in
plaats van met de beschikbare gcc,
egcs of
i386-redhat-linux-gcc.Wegens tijdbeperkingen is besloten om de binaries van een
&oracle; 8.0.5 PreProduction-uitgave
te gebruiken, nadat de eerste poging om de versie van de
RDBMS-CD werkend te krijgen mislukte en het vinden en gebruiken
van de juiste RPMs was op dat moment een nachtmerrie
was.&oracle; 8.0.5 Pre-productie Versie voor
&linux; (Kernel 2.0.33) InstallerenDe installatie hiervan is vrij eenvoudig: mount de CD en
start het installatieprogramma. Het vraagt dan om de plaats
van de &oracle; thuismap en zet daar alle binaries neer.
Op dat moment waren echter niet de restanten van vorige
pogingen om RDBMS te installeren verwijderd.Daarna kon &oracle; Database
zonder problemen gestart worden.De &oracle; 8.1.7 &linux; Tarball InstallerenDe tarball oracle81732.tgz die gemaakt
is uit de installatiemap een &linux;-systeem kan uitgepakt
worden in
/oracle/SID/817_32/.Ga door met de &sap.r3; InstallatieAls eerste dienen de omgevingsinstellingen van de
gebruikers idsamd
(sidadm) en
oraids (orasid)
gecontroleerd te worden. Ze moeten nu beiden beschikken over
de bestanden .profile,
.login en .cshrc die
allemaal hostname gebruiken. In het geval
dat de hostnaam van het systeem de volledig gekwalificeerde
naam is, moet hostname in
hostname –s veranderd worden in
alle drie de bestanden.De Database LadenHierna kan R3SETUP òfwel
opnieuw gestart of voortgezet worden (afhankelijk van de
keuze voor exit of niet). R3SETUP maakt
vervolgens de tabelruimten aan en laadt de gegevens (voor 46B
IDES van EXPORT1 tot en met EXPORT6, voor 46C van DISK1 tot
en met DISK4) met R3load in de
database.Wanneer het laden van de database is voltooid (dit kan
enkele uren duren) wordt om enkele wachtwoorden gevraagd.
Voor testinstallaties kunnen de welbekende
standaardwachtwoorden worden gebruikt. Als veiligheid een
punt is moeten er andere wachtwoorden gebruikt worden!VraagInvoerEnter Password for sapr3sapEnterConfirum Password for sapr3sapEnterEnter Password for sysverander_tijdens_installerenEnterConfirm Password for sysverander_tijdens_installatieEnterEnter Password for systembeheerderEnterConfirm Password for systembeheerderEnterHier waren er wat problemen met
dipgntab tijdens de installatie van
4.6B.ListenerHieronder staat hoe de
&oracle; Listener als gebruiker
orasid
op kan starten:&prompt.user; umask 0; lsnrctl startAnders kan de fout ORA-12546
optreden, omdat de sockets dan niet de juiste rechten
hebben. Zie &sap; Note 072984.Bijwerken van MNLS TabellenAls het de bedoeling is niet-Latin-1-talen in te voeren
in het &sap;-systeem, dan moeten
de Multi National Language Support-tabellen bijgewerkt
worden. Dit staat beschreven in de &sap; OSS Notes 15023 en
45619. In alle andere gevallen kan deze vraag overgeslagen
worden tijdens de &sap;
installatie.Als er geen MNLS nodig is, is het nog steeds
noodzakelijk om de TCPDB-tabel te controleren en deze te
initialiseren als dit nog niet is gedaan. Zie
&sap;-notities 0015023 en 0045619 voor meer
informatie.Stappen na de InstallatieDe &sap.r3; Licentiesleutel OpvragenEr moet een &sap.r3;
licentiesleutel opgevraagd worden. Dit is nodig omdat de
tijdelijke licentie die tijdens de installatie
geïnstalleerd is, maar voor vier weken geldig is. Eerst
moet de hardwaresleutel bekend zijn. Deze wordt bekend door
als gebruiker idsadm aan te melden en
saplicense uit te voeren:&prompt.root; /sapmnt/IDS/exe/saplicense -getHet uitvoeren van saplicense zonder
parameters geeft een lijst met opties. Nadat de
licentiesleutel verkregen is, kan deze geïnstalleerd
worden door middel van:&prompt.root; /sapmnt/IDS/exe/saplicense -installHierbij moeten de volgende waarden ingevoerd
worden:SAP SYSTEM ID = SID, 3 tekens
CUSTOMER KEY = hardwaresleutel, 11 tekens
INSTALLATION NO = installatie, 10 cijfers
EXPIRATION DATE = jjjjmmdd, meestal "99991231"
LICENSE KEY = licentiesleutel, 24 tekensGebruikers AanmakenNu kan een gebruiker binnen client 000 aangemaakt worden
(voor sommige taken is het nodig deze binnen client 000 aan
te maken, als maar een andere gebruiker dan gebruikers
sap* en ddic wordt
gebruikt). Zoals gewoonlijk wordt als nieuwe gebruikersnaam
wartung (of dienst
in het Nederlands) gekozen. Voor extra veiligheid moeten de
wachtwoorden van alle standaardgebruikers binnenin alle
clients worden veranderd (dit geldt ook voor gebruikers
sap* en
ddic).Transportsysteem, Profiel, Werkmodi en Dergelijke
InstellenVanuit client 000 dient, als een andere gebruiker
dan ddic of sap*,
tenminste het volgende ingesteld worden:TaakTransactieStel het transportsysteem in, bijvoorbeeld
als Stand-Alone Transport Domain
EntitySTMSMaak een profiel voor het systeem aan of wijzig
ditRZ10Beheer werkmodi en instantiesRZ04Deze en alle andere stappen die na de installatie
uitgevoerd moeten worden, staan uitvoerig beschreven in de
&sap; installatiehandleidingen.
initsid.sap
(initIDS.sap) BewerkenHet bestand
/oracle/IDS/dbs/initIDS.asp bevat het
&sap; back-upprofiel. Hier moeten
de grootte van de te gebruiken tape, het compressietype,
enzovoorts gedefinieerd worden. Om dit aan de gang te
krijgen met sapdba /
brbackup zijn de volgende waarden
veranderd:compress = hardware
archive_function = copy_delete_save
cpio_flags = "-ov --format=newc --block-size=128 --quiet"
cpio_in_flags = "-iuv --block-size=128 --quiet"
tape_size = 38000M
tape_address = /dev/nsa0
tape_address_rew = /dev/sa0Uitleg:compress: de tape die gebruikt wordt
is een HP DLT1 die hardware-compressie ondersteunt.archive_function: dit definieert het
standaardgedrag om &oracle;-archieflogs op te slaan: nieuwe
logboekbestanden worden op tape opgeslagen, reeds opgeslagen
logboekbestanden worden nogmaals opgeslagen en worden daarna
verwijderd. Dit bespaart een hoop problemen als de
database hersteld moet worden en één van de
archieftapes versleten is.cpio_flags: de standaard is om
te gebruiken die de blokgrootte op
5120 bytes instelt. Voor DLT tapes raadt HP een
blokgrootte van minimaal 32 kB aan, dus is
gebruikt voor blokken van
64 kB. is nodig omdat er
inodegetallen groter dan 65535 zijn. De laatste optie
is nodig omdat
brbackup anders klaagt zodra
cpio het aantal opgeslagen blokken
meldt.cpio_in_flags: vlaggen die nodig zijn
om de gegevens van de tape terug te laden. Het formaat wordt
automatisch herkend.tape_size: dit geeft gewoonlijk de
ruwe opslagcapaciteit van de tape. Omwille van de veiligheid
(er wordt hardware-compressie gebruikt) is de waarde iets
lager dan de eigenlijke waarde.tape_address: de naam van het
niet-opwindbare apparaat dat met cpio
gebruikt wordt.tape_address_rew: de naam van het
opwindbare apparaat dat met cpio gebruikt
wordt.Instellingen na de InstallatieDe volgende parameters van
&sap; moeten na de installatie
geoptimaliseerd worden (voorbeelden voor IDES 46B, 1 GB
geheugen):NaamWaardeztta/roll_extension250000000abap/heap_area_dia300000000abap/heap_area_nondia400000000em/initial_size_MB256em/blocksize_kB1024ipc/shm_psize_4070000000&sap; notitie 0013026:NaamWaardeztta/dynpro_area2500000&sap; notitie 0157246:NaamWaarderdisp/ROLL_MAXFS16000rdisp/PG_MAXFS30000Met bovenstaande parameters kan op een op een systeem
met 1 GB aan geheugen het geheugengebruik soortgelijk
zijn aan het volgende:Mem: 547M Active, 305M Inact, 109M Wired, 40M Cache, 112M Buf, 3492K FreeProblemen Tijdens de InstallatieR3SETUP Herstarten na het Oplossen
van een ProbleemR3SETUP stopt als het een probleem
tegenkomt. Nadat de bijhorende logbestanden zijn bekeken
en de fout is hersteld, moet R3SETUP
opnieuw gestart worden en gewoonlijk dient REPEAT
geselecteerd te worden bij de laatste stap waar
R3SETUP over klaagde.R3SETUP kan gewoon met het bijhorende
bestand R3S worden opgestart:&prompt.root; ./R3SETUP -f CENTRDB.R3Svoor 4.6B, of met&prompt.root; ./R3SETUP -f CENTRAL.R3Svoor 4.6C, onafhankelijk van het feit of de fout optrad
met CENTRAL.R3S of met
DATABASE.R3S.Tijdens sommige fasen verwacht
R3SETUP dat zowel de database als
&sap; draaien (omdat die stappen
al voltooid waren). Mochten er fouten optreden en kan
bijvoorbeeld de database niet gestart worden, dan moeten
de database en &sap; handmatig
worden gestart nádat de fouten zijn hersteld en
voordat R3SETUP opnieuw wordt
gestart.Ook de &oracle; listener
moet opnieuw gestarten worden (als
orasid met
umask 0; lsnrctl start) als die ook was
gestopt (bijvoorbeeld omdat het systeem opnieuw opgestart
moest worden).OSUSERSIDADM_IND_ORA Tijdens
R3SETUPAls R3SETUP tijdens deze fase klaagt,
moet het sjabloonbestand dat R3SETUP
destijds gebruikte (CENTRDB.R3S (4.6B)
of één van CENTRAL.R3S of
DATABASE.R3S (4.6C)) worden gewijzigd.
Zoek [OSUSERSIDADM_IND_ORA] of zoek de
enige regel met STATUS=ERROR en wijzig de
volgende waarden:HOME/home/sidadm (was leeg)
STATUS=OK (had status ERROR)Daarna kan R3SETUP opnieuw gestart
worden.OSUSERDBSID_IND_ORA Tijdens
R3SETUPR3SETUP klaagt mogelijk ook tijdens
deze fase. De fout is vergelijkbaar met die in de fase
OSUSERSIDADM_IND_ORA. Hier kan gewoon het sjabloonbestand
dat R3SETUP destijds gebruikte
(CENTRDB.R3S (4.6B) of
één van CENTRAL.R3S of
DATABASE.R3S (4.6C)) gewijzigd worden.
In [OSUSERDBSID_IND_ORA] of de enige regel
STATUS=ERROR en kan de volgende waarde
in die sectie gewijzigd worden:STATUS=OKNu kan R3SETUP opnieuw gestart
worden.oraview.vrf FILE NOT FOUND
Tijdens de Installatie van &oracle;De &oracle; On-Line Text Viewer is
niet gedeselecteerd voordat de installatie begon. Dit
onderdeel is gemarkeerd om geïnstalleerd te worden,
zelfs al is dit onderdeel momenteel niet beschikbaar op
&linux;. Dit onderdeel dient gedeselecteerd te worden in het
&oracle; installatiemenu en de
installatie dient opnieuw gestart te worden.TEXTENV_INVALID Tijdens
R3SETUP, RFC of SAPgui StartDeze foutmelding geeft aan dat de juiste locale niet
geïnstalleerd is. &sap; notitie 0171356 geeft de
benodigde RPMs die geïnstalleerd moeten worden
(bijvoorbeeld spalocales-1.0-3 en
saposcheck-1.0-1 voor RedHat 6.1).
Indien alle gerelateerde foutmeldingen genegeerd zijn en
de bijhorende STATUS van
ERROR in OK veranderd
zijn (in CENTRDB.R3S) telkens als
R3SETUP klaagde en
R3SETUP gewoon opnieuw gestart is, dan is
het &sap;-systeem onjuist
geconfigureerd en is het onmogelijk om met
SAPgui een verbinding met het
systeem te maken, zelfs al kan het systeem gestart worden.
Een poging om met de oude &linux;
SAPgui een verbinding te maken gaf
de volgende meldingen:Sat May 5 14:23:14 2001
*** ERROR => no valid userarea given [trgmsgo. 0401]
Sat May 5 14:23:22 2001
*** ERROR => ERROR NR 24 occured [trgmsgi. 0410]
*** ERROR => Error when generating text environment. [trgmsgi. 0435]
*** ERROR => function failed [trgmsgi. 0447]
*** ERROR => no socket operation allowed [trxio.c 3363]
SpeicherzugriffsfehlerDit komt doordat &sap.r3; geen
juiste locale kan toekennen en ook doordat het zelf onjuist
is ingesteld (ontbrekende regels in sommige
databasetabellen). Om een verbinding met
&sap.r3; te kunnen maken, moeten
de volgende regels aan het DEFAULT.PFL
worden toegevoegd (zie notitie 0043288):abap/set_etct_env_at_new_mode = 0
install/collate/active = 0
rscp/TCP0B = TCP0BNu kan het &sap;-systeem
opnieuw gestart worden en kan een verbinding met het systeem
gemaakt worden, hoewel landspecifieke taalinstellingen anders
kunnen werken dan verwacht. Nadat de landinstellingen zijn
gecorrigeerd (en de juiste locales zijn gegeven), kunnen
bovenstaande regels uit DEFAULT.PFL
verwijderd worden en kan het
&sap;-systeem opnieuw gestart
worden.ORA-00001Deze fout trad alleen op met &oracle;
8.1.7 op &os; 4.5. De reden was dat de
&oracle;-database zichzelf niet
goed kon initialiseren en crashte, waarbij het semaforen en
gedeeld geheugen op het systeem achterliet. De volgende
poging om de database te starten geeft dan
ORA-00001.Met ipcs -a moeten de semaforen
opgezocht worden en verwijderd worden met
ipcrm.ORA-00445 (achtergrondproces PMON
Is Niet Gestart)Deze fout trad op met &oracle;
8.1.7. Deze fout wordt gemeld als de database
met het gebruikelijke script startsap
wordt gestart (bijvoorbeeld
startsap_majestix_00) als gebruiker
prdadm.Een mogelijke manier om dit te omzeilen is om de database
in plaats daarvan als gebruiker oraprd
te starten met svrmgrl:&prompt.user; svrmgrl
SVRMGR> connect internal;
SVRMGR> startup;
SVRMGR> exitORA-12546 (Start Listener met
de Juiste Rechten)De &oracle; listener moet als
gebruiker oraids worden gestart:&prompt.root; umask 0; lsnrctl startAnders kan ORA-12456 optreden
omdat de sockets dan niet de juiste rechten hebben. Zie
&sap; notitie 0072984.ORA-27102 (Geen Geheugen
Beschikbaar)Deze fout trad op toen geprobeerd werd en om waarden
groter dan 1 GB (1024x1024x1024) te gebruiken voor
MAXDSIZ en DFLDSIZ.
Ook kwam er de foutmelding Linux Error 12: Cannot
allocate memory.
[DIPGNTAB_IND_IND] Tijdens
R3SETUPDit wordt behandeld in &sap; notitie 0130581
(R3SETUP termineert). Om een of andere
reden gebruikte het installatieproces tijdens de
IDES-specifieke installatie niet de juiste
&sap; systeemnaam
IDS, maar in plaats daarvan de lege string
"". Dit leidt tot wat kleine problemen
met de toegang tot mappen omdat de paden dynamisch
gegenereerd worden door middel van
SID (in dit geval IDS). Dus
werden niet de paden:/usr/sap/IDS/SYS/...
/usr/sap/IDS/DVMGS00maar de volgende paden gebruikt:/usr/sap//SYS/...
/usr/sap/D00Om de installatie voort te zetten, zijn een link en een
aanvullende map aangemaakt:&prompt.root; pwd
/compat/linux/usr/sap
&prompt.root; ls -l
total 4
drwxr-xr-x 3 idsadm sapsys 512 May 5 11:20 D00
drwxr-x--x 5 idsadm sapsys 512 May 5 11:35 IDS
lrwxr-xr-x 1 root sapsys 7 May 5 11:35 SYS -> IDS/SYS
drwxrwxr-x 2 idsadm sapsys 512 May 5 13:00 tmp
drwxrwxr-x 11 idsadm sapsys 512 May 4 14:20 transDit gedrag staat ook beschreven in &sap; notities 0029227
en 0008401. Deze problemen traden niet op tijdens de
installatie van &sap; 4.6C.[RFCRSWBOINI_IND_IND] Tijdens
R3SETUPTijdens de installatie van &sap;
4.6C trad deze fout gewoon op als het gevolg
van een andere fout eerder in de installatie. In dit geval
moeten de bijhorende logboekbestanden doorzocht worden om het
echte probleem te kunnen herstellen.Als na het doorzoeken van de logboekbestanden blijkt dat
deze fout inderdaad de juiste is (zie de &sap; notities),
dan kan de STATUS van de stap die het
probleem geeft van ERROR in
OK veranderd worden (in
CENTRDB.R3S) en kan
R3SETUP opnieuw gestart worden. Na de
installatie moet rapport RSWBOINS van
transactie SE38 uitgevoerd worden. In &sap; notitie 0162266
staat aanvullende informatie over de fasen
RFCRSWBOINI en
RFCRADDBDIF.[RFCRADDBDIF_IND_IND] Tijdens
R3SETUPHier gelden dezelfde beperkingen: er dient door het
doorzoeken van de logboekbestanden gecontroleerd te worden
dat deze fout niet veroorzaakt wordt door eerdere
problemen.Als bevestigd kan worden dat &sap; notitie 0162266 van
toepassing is, kan gewoon STATUS van de
stap die het probleem geeft van ERROR in
OK veranderd worden (in
CENTRDB.R3S) en
R3SETUP opnieuw gestart worden. Na de
installatie moet het rapport RADDBDIF van
transactie SE38 uitgevoerd worden.sigaction sig31: File size limit
exceededDeze fout trad op tijdens het starten van de
&sap;-processen
disp+work. Als
&sap; met het script
startsap gestart wordt, worden er
subprocessen gestart die ontkoppelen en het vuile werk om
alle andere &sap;-processen te
starten opknappen. Een gevolg hiervan is dat het script zelf
een verkeerde situatie niet opmerkt.Om te controleren of de &sap;
processen juist zijn gestart, kan de processtatus bekeken
worden met ps ax | grep
SID, wat een lijst
geeft met alle processen van
&oracle; en
&sap;. Als het ernaar uitziet dat
sommige processen ontbreken of als er geen verbinding met het
&sap;-systeem gemaakt kan worden,
is het verstandig de bijhorende logboekbestanden uit
/usr/sap/SID/DVEBMGSnr/work/
te bekijken. De te controleren bestanden zijn
dev_ms en
dev_disp.Signaal 31 treedt hier op als de hoeveelheid gedeeld
geheugen die door &oracle; en
&sap; wordt gebruikt, groter is
dan wat in het kernelinstellingenbestand is ingesteld en dit
kan worden verholpen door een hogere waarde te
gebruiken:# grotere waarden voor 46C productiesystemen:
options SHMMAXPGS=393216
# kleinere waarde voldoende voor 46B:
#options SHMMAXPGS=262144saposcol Starten MisluktEr zijn wat problemen met het programma
saposcol (versie 4.6D). Het
&sap;-systeem gebruikt
saposcol om informatie over de
systeemprestaties in te winnen. Dit programma is niet
noodzakelijk om het &sap;-systeem
te gebruiken, dus kan dit probleem als onbelangrijk worden
beschouwd. De oudere versie (4.6B) werkt wel, maar verzamelt
niet alle gegevens (veel aanroepen geven gewoon 0 terug,
bijvoorbeeld het processorgebruik).Gevorderde OnderwerpenHier wordt beschreven hoe de &linux; binaire compatibiliteit
werkt. Het meeste van wat nu volgt is sterk gebaseerd op een
e-mailbericht van Terry Lambert
tlambert@primenet.com aan &a.chat; (Message ID:
<199906020108.SAA07001@usr09.primenet.com>).Hoe Werkt Het?uitvoerklasselader&os; heeft een abstractie met de naam execution
class loader. Dit is een wig in de systeemaanroep
&man.execve.2;.Wat er gebeurt is dat &os; een lijst van loaders heeft, in
plaats van een enkele loader die terugvalt op de
#! loader voor het draaien van elke
shellinterpreter of shellscript.Vroeger onderzocht de enige loader op het &unix; platform
het magische getal (in het algemeen de eerste 4 of 8 bytes van
het bestand) om te zien of het een binary was die het systeem
kende en als dat het geval was laadde het de binaire
loader.Als het niet het binaire type voor het systeem was, faalde
de aanroep naar &man.execve.2; en probeerde de shell het als
shellopdrachten uit te voeren.Deze aanname was een standaard voor wat de huidige
shell ook is.Later werd er een hack gemaakt voor &man.sh.1; om de eerste
twee tekens te onderzoeken en als die bestonden uit
:\n voerde het in plaats hiervan de
&man.csh.1; shell uit (het idee is dat SCO de hack als eerste
maakte).Wat &os; nu doet is door een lijst van loaders gaan
met een generieke #! loader die kennis heeft
van interpreters in de zin van de karakters die volgen op de
volgende witruimte tot de laatste, met uiteindelijk een
terugval op /bin/sh.ELFVoor &linux; ABI-ondersteuning ziet &os; het magische getal
als een ELF-binary (het maakt op dit punt geen onderscheid
tussen &os;, &solaris;, &linux; of elk ander besturingssysteem
dat een ELF-beeldtype heeft).&solaris;De ELF loader zoekt naar een gespecialiseerd
merk, dat een commentaargedeelte in het
ELF-beeld is en dat niet aanwezig is in SVR4/&solaris;
ELF-binairen.Om &linux;-binaries werkend te krijgen, moeten ze
gemerkt worden als het type
Linux met &man.brandelf.1;:&prompt.root; brandelf -t Linux bestandAls dit gedaan is, ziet de ELF loader het
Linux-merk in het bestand.ELFmerkenAls de ELF loader het Linux-merk
tegenkomt, verplaatst de loader een pointer in de
proc-structuur. Alle systeemaanroepen
worden met deze pointer geïndexeerd (in een traditioneel
&unix; systeem is dit de
sysent[]-structuurarray, die de
systeemaanroepen bevat). Ook wordt het proces gemerkt voor
speciale behandeling door de valstrikvector van de
signaal-trampolinecode samen met nog meer (kleine) aanpassingen
die door de &linux; kernelmodule worden afgehandeld.De &linux; kernelmodule bevat naast andere dingen een lijst
van sysent[]-ingangen waarvan de adressen
in de kernelmodule staan.Als een systeemaanroep door de &linux;-binary wordt
aangeroepen, verwijdert de valstrikcode de referentie aan de
functiepointer van de systeemaanroep en geeft die de
ingangspunten van de systeemaanroep van &linux; en niet van
&os;.Verder reroot de &linux;-modus
dynamisch lookups. Dit is wat de optie
(niet het unionfs
bestandssysteemtype!) voor het mounten van bestandssystemen
effectief doet. Eerst wordt een poging gedaan om het bestand
in de map
/compat/linux/origineel-pad
op te zoeken en vervolgens alleen als dat
mislukt, wordt het bestand in
/origineel-pad
opgezocht. Dit zorgt ervoor dat binaries die andere binaries
nodig hebben kunnen draaien (zo kan bijvoorbeeld de
&linux;-gereedschapskist geheel onder &linux; ABI-ondersteuning
draaien). Dit betekent ook dat &linux;-binaries &os;-binaries
kunnen laden en draaien als er geen overeenkomende
&linux;-binaries zijn en dat er een &man.uname.1;-opdracht in
de mappenstructuur /compat/linux gezet kan
worden om er zeker van te zijn dat &linux;-binaries niet kunnen
weten dat ze niet op &linux; draaien.Effectief bevindt er zich een &linux;-kernel in de
&os;-kernel. De verschillende onderliggende functies die alle
functies implementeren die de kernel aanbiedt, zijn dezelfde
tabelingangen voor de systeemaanroepen van &os; als van
&linux;: bestandssysteembewerkingen, bewerkingen op het
virtuële geheugen, signaalaflevering, System V IPC,
enzovoort. Het enige verschil is dat &os;-binaries de
lijm functies voor &os; krijgen en dat de
&linux;-binaries de lijm-functies voor
&linux; krijgen (de meeste oudere besturingssystemen hadden
alleen hun eigen lijm-functies: adressen
van functies die in een statische globale
sysent[] structuurarray werden opgeslagen,
in plaats van adressen van functies waarvan dynamisch een
geïnitialiseerde pointer wordt verwijderd in de
proc-structuur van het proces dat de aanroep
doet).Welke is de eigenlijke &os; ABI? Dat maakt niet uit.
Eigenlijk is het enige verschil dat (op dit moment; dit kan
eenvoudig veranderen in een toekomstige uitgave, en dat gebeurt
waarschijnlijk na deze uitgave) de
lijm-functies van &os; statisch gelinkt
zijn in de kernel en dat de lijm-functies
van &linux; zowel statisch gelinkt kunnen worden als dat ze
door een kernelmodule worden benaderd.Maar is dit nu echt emulatie? Nee. Het is een
ABI-implementatie, geen emulatie. Er is geen emulator (of
simulator, om de volgende vraag voor te zijn) bij
betrokken.Dus waarom wordt het dan soms
&linux;-emulatie genoemd? Om het moeilijk te
maken om &os; te verkopen! Serieus, het is zo omdat de
historische implementatie in een tijd werd gedaan toen er echt
geen ander woord was om te beschrijven wat er aan de hand was,
om te zeggen dat &os; &linux;-binaries draaide was niet waar
als de code niet in de kernel gecompileerd werd of als een
module geladen werd en er moest een woord zijn voor hetgeen
geladen werd. Vandaar de
&linux;-emulator.
diff --git a/nl_NL.ISO8859-1/books/handbook/mirrors/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/mirrors/chapter.sgml
index 2f94306350..bfd662d71f 100644
--- a/nl_NL.ISO8859-1/books/handbook/mirrors/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/mirrors/chapter.sgml
@@ -1,2992 +1,3082 @@
&os; VerkrijgenCDROM en DVD UitgeversWinkelproducten in Doos&os; is beschikbaar in een doos (&os; CD's, additionele
software en gedrukte documentatie) bij verschillende
verkopers:CompUSA
WWW: Frys Electronics
WWW: CD's en DVD's&os; CD's en DVD's zijn te koop bij veel online
winkels:Daemon News MallPO Box 161Nauvoo, IL62354Verenigde Staten
Telefoon: +1 866 273-6255
Fax: +1 217 453-9956
E–mail: sales@bsdmall.com
WWW: BSD-Systems
E–mail: info@bsd-systems.co.uk
WWW: fastdiscs.com6 Eltham CloseLeeds, LS6 2TYVerenigd Koninkrijk
Telefoon: +44 870 1995 171
E–mail: sales@fastdiscs.com
WWW: &os; Mall, Inc.3623 Sanford StreetConcord, CA94520-1405Verenigde Staten
Telefoon: +1 925 674-0783
Fax: +1 925 674-0821
E–mail: info@freebsdmall.com
WWW: &os; Services Ltd11 Lapwing CloseBicesterOX26 6XRVerenigd Koninkrijk
WWW: Hinner EDVSt. Augustinus-Str. 10D-81825MünchenDuitsland
Telefoon: (089) 428 419
WWW: Ikarios22-24 rue Voltaire92000NanterreFrankrijk
WWW: JMC SoftwareIerland
Telefoon: 353 1 6291282
WWW: The Linux EmporiumHilliard House, Lester WayWallingfordOX10 9TAVerenigd Koninkrijk
Telefoon: +44 1491 837010
Fax: +44 1491 837016
WWW: Linux System Labs Australia21 Ray DriveBalwyn NorthVIC - 3104Australië
Telefoon: +61 3 9857 5918
Fax: +61 3 9857 8974
WWW: LinuxCenter.RuGalernaya Street, 55Saint-Petersburg190000Rusland
Telefoon: +7-812-3125208
E–mail: info@linuxcenter.ru
WWW: UNIXDVD.COM LTD57 Primrose AvenueSheffieldS5 6FSVerenigs Koninkrijk
WWW: DistributeursWederverkopers die &os; CDROM producten willen verkopen
kunnen contact opnemen met een distributeur:Cylogistics809B Cuesta Dr., #2149Mountain View, CA94040Verenigde Staten
Telefoon: +1 650 694-4949
Fax: +1 650 694-4953
E–mail: sales@cylogistics.com
WWW: &os; Services Ltd11 Lapwing CloseBicesterOX26 6XRVerenigd Koninkrijk
WWW: Ingram Micro1600 E. St. Andrew PlaceSanta Ana, CA92705-4926Verenigde Staten
Telefoon: 1 (800) 456-8000
WWW: Kudzu, LLC7375 Washington Ave. S.Edina, MN55439Verenigde Staten
Telefoon: +1 952 947-0822
Fax: +1 952 947-0876
E–mail: sales@kudzuenterprises.comLinuxCenter.RuGalernaya Street, 55Saint-Petersburg190000Rusland
Telefoon: +7-812-3125208
E–mail: info@linuxcenter.ru
WWW: Navarre Corp7400 49th Ave SouthNew Hope, MN55428Verenigde Staten
Telefoon: +1 763 535-8333
Fax: +1 763 535-0341
WWW: FTP SitesDe officië broncode voor &os; is beschikbaar via anoniem
toegankelijke FTP in de hele wereld via vele mirrorsites. De
site
heeft een goede verbinding en staat veel verbindingen toe, maar
het is waarschijnlijk beter om een mirrorsite te zoeken die
dichterbij is (zeker als het doel is ook een
soort mirrorsite op te zetten).De &os; mirrorsites
database is beter bijgewerkt dan die in het
Handboek omdat die lijst uit DNS komt in plaats van een met de
hand ingevoerde lijst.&os; is beschikbaar via de onderstaande anonieme FTP mirror
sites. Bij het kiezen van anonieme FTP voor het verkrijgen van
&os; wordt aangeraden een site die dichtbij ligt te kiezen. De
mirrorsites die in de lijst staan als Primaire
Mirrorsites hebben meestal het complete &os; archief
(alle beschikbare versies voor alle architecturen) maar downloads
zijn waarschijnlijk sneller van een site die in het land of de
regio van de gebruiker staat. De regionale sites hebben de
meeste recente versies voor de meest populaire architecturen,
maar hebben wellicht niet het complete archief. Alle sites geven
toegang via anonieme FTP, maar een aantal sites hebben ook andere
toegangsmogelijkheden. De toegangsmogelijkheden voor iedere site
staan tussen haakjes achter de hostnaam. De rest van deze
paragraaf wordt automatisch samengesteld en is niet
vertaald.
&chap.mirrors.ftp.inc;
Anonieme CVSInleiding
+
+ CVS
+
+ anoniem
+
+
Anonieme CVS (of ook wel bekend als
anoncvs) is een functie die beschikbaar is
met de hulpprogramma's die bij &os; zitten om te synchroniseren
met een elders aanwezig CVS depot. Het staat gebruikers van
&os; onder andere toe om zonder bijzondere rechten alleen-lezen
operaties uit te voeren op een van de officiële anoncvs
servers van het &os; project. Om het te kunnen gebruiken dient
de omgevingsvariabele CVSROOT zo ingesteld te
worden dat hij wijst naar de gewenste anoncvs server, dient het
bekende wachtwoord anoncvs bij het commando
cvs login opgegeven te worden en kan daarna
&man.cvs.1; gebruikt worden om het te benaderen als ieder
lokaal aanwezig depot.Het commando cvs login slaat de
wachtwoorden die voor aanmelden bij de CVS server op in een
bestand met de naam .cvspass in de map
HOME. Als dit bestand niet bestaat, is het
mogelijk dat er een foutmelding wordt gegeven als
cvs login de eerste keer wordt gebruikt.
Dat kan opgelost worden door een leeg bestand
.cvspass te maken en dan opnieuw aan te
melden.Hoewel de diensten CVSup en
anoncvs beiden vrijwel dezelfde functie
invullen, zijn er redenen die de keuze voor de
synchronisatiemethode beïnvloeden. In een notendop is
CVSup veel efficiënter in het
gebruik van netwerkbronnen en is het de meest geavanceerde van
de twee, maar daar staat iets tegenover. Voor het gebruik van
CVSup moet eerst een speciale client
geïnstalleerd en ingesteld worden voordat er bits kunnen
gaan stromen en dat kan dan alleen in de redelijk grote brokken
die in CVSupcollections heten.Anoncvs kan daarentegen gebruikt
worden om alles te bekijken van een individueel bestand tot aan
een specifiek programma (als ls of
grep) door aan de naam van de CVS module
te refereren. Ook anoncvs is alleen
geschikt voor alleen-lezen operaties op het CVS depot, dus als
het de bedoeling is om lokaal ontwikkelwerk en hetzelfde depot
met delen uit het &os; project te combineren, dan biedt alleen
CVSup daar een oplossing
voor.Anonieme CVS GebruikenHet instellen van &man.cvs.1; om gebruik te maken van
een Anoniem CVS depot is een kwestie van het instellen van de
omgevingsvariabele CVSROOT op een van de
anoncvs servers van het &os; project. Op
het moment van schrijven zijn de volgende servers
beschikbaar:Oostenrijk:
:pserver:anoncvs@anoncvs.at.FreeBSD.org:/home/ncvs
Gebruikt cvs login en gebruik een
willekeurig wachtwoord.Frankrijk:
:pserver:anoncvs@anoncvs.fr.FreeBSD.org:/home/ncvs
(pserver (wachtwoord anoncvs), ssh
(geen wachtwoord)
Duitsland:
:pserver:anoncvs@anoncvs.de.FreeBSD.org:/home/ncvs
Gebruik cvs login en gebruik als
wachtwoord anoncvsDuitsland:
:pserver:anoncvs@anoncvs2.de.FreeBSD.org:/home/ncvs
(rsh, pserver, ssh, ssh/2022)
Japan:
:pserver:anoncvs@anoncvs.jp.FreeBSD.org:/home/ncvs
Gebruik cvs login en gebruik als
wachtwoord anoncvsZweden:
freebsdanoncvs@anoncvs.se.FreeBSD.org:/home/ncvs
(alleen ssh - geen wachtwoord)VS:
freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs
(alleen ssh - geen wachtwoord)VS:
anoncvs@anoncvs1.FreeBSD.org:/home/ncvs (alleen ssh - geen
wachtwoord)Omdat met CVS vrijwel iedere versie die ooit beschikbaar is
geweest uitgecheckt kan worden, is het van
belang op de hoogte te zijn van de &man.cvs.1; vlag voor
revisie () en welke waarden zie zoal kan
aannemen in het &os; Project depot.Er zijn twee soorten labels (tags): revisielabels en
taklabels (branch). Een revisielabel refereert aan een
specifieke revisie. De betekenis blijft van dag tot dag
gelijk. Aan de andere kant refereert een taklabel aan de
laatste revisie in een bepaalde ontwikkellijn op een bepaald
moment. Omdat een taklabel niet refereert aan een specifieke
revisie, kan die morgen anders zijn dan vandaag. bevat revisielabels waar
gebruikers in geïnteresseerd kunnen zijn. Nogmaals: deze
zijn allemaal niet geldig voor de portscollectie omdat de
portscollectie geen meerdere revisies kent.Als een specifiek taklabel wordt aangegeven, worden als
alles goed gaat, de laatste revisies uit een bepaalde
ontwikkellijn ontvangen. Als er een oudere versie opgehaald
moet worden, kan dat door met de vlag een datum aan te geven. In &man.cvs.1; staan
meer details.VoorbeeldenHoewel het sterk wordt aangeraden eerst de hulppagina's
voor &man.cvs.1; grondig door te lezen, volgen hier een aantal
snelle voorbeelden die feitelijk aangeven hoe Anonieme CVS
gebruikt kan worden.SSH Gebruiken om de src/ Tree Uit
te Checken:&prompt.user; cvs -d freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs co src
The authenticity of host 'anoncvs.freebsd.org (128.46.156.46)' can't be established.
DSA key fingerprint is 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'anoncvs.freebsd.org' (DSA) to the list of known hosts.Iets Uitchecken uit -CURRENT (&man.ls.1;) en Dat Weer
Verwijderen:&prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs
&prompt.user; cvs loginAt the prompt, enter the passwordanoncvs.
&prompt.user; cvs co ls
&prompt.user; cvs release -d ls
&prompt.user; cvs logoutSSH Gebruiken om de src/
Structuur uit te Checken:&prompt.user; cvs -d freebsdanoncvs@anoncvs.FreeBSD.org:/home/ncvs co src
The authenticity of host 'anoncvs.freebsd.org (128.46.156.46)' can't be established.
DSA key fingerprint is 52:02:38:1a:2f:a8:71:d3:f5:83:93:8d:aa:00:6f:65.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'anoncvs.freebsd.org' (DSA) to the list of known hosts.De Versie van &man.ls.1; in de 3.X-STABLE Tak
Uitchecken:&prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs
&prompt.user; cvs loginAt the prompt, enter the passwordanoncvs.
&prompt.user; cvs co -rRELENG_3 ls
&prompt.user; cvs release -d ls
&prompt.user; cvs logoutEen Lijst Wijzigingen Maken (als Unified Diffs) voor
&man.ls.1;&prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs
&prompt.user; cvs loginAt the prompt, enter the passwordanoncvs.
&prompt.user; cvs rdiff -u -rRELENG_3_0_0_RELEASE -rRELENG_3_4_0_RELEASE ls
&prompt.user; cvs logoutUitzoeken Welke Modulenamen Gebruikt Kunnen
Worden:&prompt.user; setenv CVSROOT :pserver:anoncvs@anoncvs.FreeBSD.org:/home/ncvs
&prompt.user; cvs loginAt the prompt, enter the passwordanoncvs.
&prompt.user; cvs co modules
&prompt.user; more modules/modules
&prompt.user; cvs release -d modules
&prompt.user; cvs logoutAndere BronnenDe volgende bronnen kunnen bijdragen aan een beter begrip
van CVS:CVS
Tutorial van Cal Poly.CVS Home,
de CVS gemeenschap voor ontwikkeling en
ondersteuning.CVSweb
is de &os; Project webinterface voor CVS.CTM Gebruiken
- CTM is een methode om een map
- elders gesynchroniseerd te houden met een centrale. Het is
- ontwikkeld voor gebruik met de &os; broncode, hoewel sommigen
- het ook voor andere doeleinden handig vinden. Er bestaat op
- dit moment weinig tot geen documentatie over het proces van het
- maken van delta's. Voor informatie over het gebruik van
- CTM kan het beste contact gezocht
- worden met de &a.ctm-users.name; mailinglijst.
+ CTM
+
+ CTM is een methode om een map
+ elders gesynchroniseerd te houden met een centrale. Het is
+ ontwikkeld voor gebruik met de &os; broncode, hoewel sommigen het
+ ook voor andere doeleinden handig vinden. Er bestaat op dit
+ moment weinig tot geen documentatie over het proces van het maken
+ van delta's. Voor informatie over het gebruik van
+ CTM kan het beste contact gezocht
+ worden met de &a.ctm-users.name; mailinglijst.Waarom CTM Gebruiken?CTM geeft een lokale kopie van
de &os; broncode. Die is in een aantal smaken
beschikbaar. Of het gaat om slechts één tak of
de complete CVS structuur, CTM kan
het bieden. CTM is gewoon gemaakt
voor actieve ontwikkelaars die met &os; werken, maar geen of
een slechte internetverbinding hebben of gewoon automatisch de
laatste wijzigingen willen ontvangen. De meest actieve takken
kennen op z'n hoogst drie delta's per dag. Het is het
overwegen waard om ze per automatische mail te laten sturen.
De grootte van de updates wordt altijd zo klein mogelijk
gehouden. Meestal kleiner dan 5 K en soms (in tien
procent van de gevallen) is het 10–50 K. In
uitzonderlijke gevallen komt het voor dat een mail van
100 K of meer wordt gestuurd.Het is wel van belang op de hoogte te zijn van de valkuilen
die een rol spelen bij het direct werken met broncode in plaats
van met een voorverpakte release. Dit geldt nog meer als wordt
gewerkt met de current code. Het lezen van
Bijblijven met &os; wordt sterk
aangeraden.Wat Is Er Nodig om CTM te
Gebruiken?Voor het gebruik van CTM zijn
twee dingen nodig: het CTM
programma en de initiële delta's om de applicatie te
voeden en naar een current niveau te
komen.CTM is al onderdeel van &os;
sinds versie 2.0 is uitgebracht en is te vinden in
/usr/src/usr.sbin/ctm, als de broncode
aanwezig is.Als er een oudere versie van 2.0 draait van &os;, is het
mogelijk om de huidige CTM code
direct op te halen van .De delta's voor
CTM kunnen op twee manieren komen:
met FTP of per e-mail. De volgende FTP sites bieden
ondersteuning voor CTM:Er staan er nog meer in de paragraaf mirrors.FTP de relevante map en download het bestand
README vanaf daar.Voor delta's via e-mail:Er dient een abonnement genomen te worden op een van de
CTM distributielijsten.
&a.ctm-cvs-cur.name; ondersteunt de complete CVS structuur.
&a.ctm-src-cur.name; ondersteunt het hoofd van de ontwikkeltak.
&a.ctm-src-4.name; ondersteunt de 4.X release tak, enzovoort.
Om te abonneren kan geklikt worden op de bovenstaande links of
via &a.mailman.lists.link; kan in een lijst geklikt worden op
de lijst waarvoor waarvoor een abonnement gewenst is. De
lijstpagina bevat instructies over hoe te abonneren.Na het ontvangen van CTM updates
per mail, kan ctm_rmail gebruikt worden voor
het uitpakken en verwerken. ctm_rmail kan
zelfs direct vanuit /etc/aliases gebruikt
worden om het proces volledig automatisch te laten verlopen.
In de hulppagina van ctm_rmail staan meer
details.Welke methode ook gebruikt wordt voor de
CTM delta's, het is belangrijk een
abonnement te nemen op de &a.ctm-announce.name; mailinglijst.
In de toekomst worden alleen op die lijst aankondigingen
gedaan over het CTM systeem.
Abonneren kan door op de link hierboven te klikken en de
instructies te volgen.CTM de Eerste Keer
GebruikenVoordat de CTM delta's gebruikt
kunnen worden, moet er een startpunt voor bepaald worden.Eerst moet bepaald worden wat er al is. Het is mogelijk te
beginnen vanuit een lege map. Dan moet een
initiële Empty delta gebruikt worden om een
door CTM ondersteunde structuur te
starten. Het is de bedoeling dat deze start
delta's ooit voor het gemak op de CD komen te staan, maar dit
is nog niet het geval.Omdat de structuren tientallen megabytes groot zijn, heeft
het de voorkeur om al met iets te beginnen. Als er een
-RELEASE CD beschikbaar is, kan de initiële broncode
gekopieerd of uitgepakt worden. Dit bespaart nogal wat
dataverkeer.De start delta's kunnen herkend worden aan
de X die aan het nummer is toegevoegd
(bijvoorbeeld src-cur.3210XEmpty.gz). De
nummering achter de X komt overeen met de
oorsprong van het initiële zaad.
Empty is een lege map. Er wordt in het
algemeen iedere honderd delta's een basistransitie voor
Empty gemaakt. Die zijn trouwens groot: 70
tot 80 Megabytes gzip data is normaal voor
de XEmpty delta's.Als er een delta als startpunt is gekozen, zijn ook alle
delta's met hogere volgnummers nodig.CTM in het Dagelijk Leven
GebruikenOm de delta's toe te passen:&prompt.root; cd /where/ever/you/want/the/stuff
&prompt.root; ctm -v -v /where/you/store/your/deltas/src-xxx.*CTM begrijpt delta's in
gzip formaat, dus het niet nodig om eerst
gunzip te gebruiken. Dat spaart
diskruimte.Tenzij het zeker is van de veiligheid van het proces, doet
CTM niets met de structuur. Om een
delta te verifiëren kan ook de vlag
gebruikt worden en dan komt
CTM ook niet aan een structuur. Dan
wordt alleen de integriteit van de delta gecontroleerd en of
die zonder problemen op de huidige structuur kan worden
toegepast.CTM kent nog meer opties die in
de hulppagina's worden besproken.Meer is er niet. Iedere keer dat er een delta wordt
ontvangen, moet die door CTM gehaald
worden om de broncode bijgewerkt te houden.Delta's kunnen het beste niet verwijderd worden als het
lastig is ze opnieuw te downloaden. Dan kunnen ze het beste
bewaard worden voor het geval er eens iets gebeurt. Zelfs als
er alleen floppy's beschikbaar zijn, is het wellicht verstandig
die te gebruiken met fdwrite.Lokale Wijzigingen BehoudenEen ontwikkelaar wil graag experimenteren met bestanden in
de structuur en die bestanden veranderen.
CTM ondersteunt lokale wijzigingen
in beperkte mate: alvorens te kijken of bestand
foo bestaat, zoekt het eerst naar
foo.ctm. Als dat bestand bestaat, past
CTM de wijzigigen daarop toe in
plaats van op foo.Dit gedrag biedt een eenvoudige mogelijkheid om lokale
wijzigingen bij te houden. Dat kan dus door bestanden die
gewijzigd gaan worden te kopiëren naar een bestand met
dezelfde naam met de toevoeging .ctm. Dan
kan er vrijelijk gespeeld worden met de code, terwijl
CTM het bestand
.ctm bijwerkt.Andere Interessante Mogelijkheden van
CTMUitvinden Wat Precies Wordt Veranderd door een
UpdateHet is mogelijk een lijst met wijzigingen te maken die
CTM zou maken op het broncodedepot
met de optie .Dit is nuttig als het gewenst is om een logboek bij te
houden van de wijzigingen, de te wijzigen bestanden voor- of
na te bewerken op welke manier dan ook, of als de gebruiker
gewoon een beetje paranoïde is.Back-ups Maken vóór BijwerkenSoms kan het wenselijk zijn om een back-up te maken van
alle bestanden die gewijzigd gaan worden door een
CTM update.Met back-upt
CTM alle bestanden die gewijzigd
gaan worden door een CTM delta
naar back–upbestand.Te Wijzigen Bestanden door een Update BeperkenSoms is het wenselijk de reikwijdte voor een
CTM update te beperken of kan het
wenselijk zijn om maar een paar bestanden bij te werken uit
een aantal delta's.Een lijst met bestanden die
CTM mag bewerken kan aangegeven
worden met de opties en
en het opgeven van regular
expressions.Om bijvoorbeeld een bijgewerkte kopie van
lib/libc/Makefile te maken uit de
verzameling met opgeslagen CTM
delta's, kan het volgende commando uitgevoerd worden:&prompt.root; cd /where/ever/you/want/to/extract/it/
&prompt.root; ctm -e '^lib/libc/Makefile' ~ctm/src-xxx.*Voor ieder te wijzigen bestand in een
CTM delta worden de opties
en toegepast in de
volgorde waarin ze op de commandoregel staan. Het bestand
wordt alleen door CTM verwerkt als
het passend is bevonden na het toepassen van alle parameters
in en .Toekomstige Plannen voor
CTMDie zijn er:Een of andere vorm van authenticatie in het
CTM systeem bouwen zodat
vervalste CTM updates
afgevangen kunnen worden;De opties voor CTM opruimen
omdat ze verwarrend zijn geworden.Nog MeerEr zijn ook delta's voor de
portscollectie, maar daar is nog niet zo
veel belangstelling voor.CTM MirrorsCTM/&os; is op de volgende
mirrorsites via anonieme FTP beschikbaar. Als voor
CTM anonieme FTP wordt gebruikt,
heeft het de voorkeur een site die in geografische zin dichtbij
is te gebruiken.Bij problemen kan contact gezocht worden met de
&a.ctm-users.name; mailinglijst.Californië, Bay Area, officiële bronZuid-Afrika, back-upserver voor oude delta'sTaiwan/R.O.C.Als er geen mirror dichtbij is of als die incompleet is,
kan een zoekmachine als alltheweb gebruikt
worden.CVSup GebruikenInleidingCVSup is een softwarepakket voor
het verspreiden en bijwerken van broncodestructueren vanaf een
master CVS depot op een andere server. De &os; broncode wordt
beheerd in een broncode depot op een centrale ontwikkelmachine
in Californië. Met CVSup
kunnen &os; gebruikers op eenvoudige wijze hun broncode
bijwerken.CVSup gebruikt een zogenaamd
pull model voor het bijwerken. In het
pull-model vraagt iedere client de server om updates als die
nodig zijn. De server wacht passief op een verzoek om updates
van zijn clients. Alle updates worden dus op initiatief van de
client gedaan. De server stuurt nooit ongevraagde updates.
Gebruikers moeten de CVSup client
handmatig draaien om te updaten of een cron
taak instellen om op regelmatige basis bij te werken.De term CVSup, op de gegeven
wijze geschreven, doelt op het complete softwarepakket. De
belangrijkste componenten zijn de client
cvsup, die op de machine van een gebruiker
draait, en de server cvsupd, die op alle
&os; mirrorsites draait.In de &os; documentatie en op de mailinglijsten zijn
referenties aan sup te vinden.
Sup was de voorloper van
CVSup en diende hetzelfde doel.
CVSup wordt op dezelfde manier
gebruikt als sup en gebruikt zelfs bestanden met instellingen
die ook te gebruiken zijn met sup.
Sup wordt niet langer gebruikt in
het &os; project omdat CVSup sneller
en flexibeler is.InstallatieDe meest eenvoudige wijze van installatie van
CVSup is met het voorgecompileerde
package net/cvsup uit de
&os; packagescollectie. Als het
gewenst is, kan CVSup ook uit de
broncode gebouwd worden in net/cvsup. De net/cvsup port is afhankelijk van
het Modula-3 systeem en dat kan wel even duren en er is ook
nogal wat schijfruimte voor nodig om het te downloaden en te
bouwen.Als CVSup gebruikt gaat
worden op een machine waarop geen
&xfree86; of
&xorg; staat, zoals een server,
dan dient de port waar geen
CVSup GUI bij
zit geïnstalleerd te worden: net/cvsup-without-gui.CVSup InstellingenDe werking van CVSup wordt
gestuurd door een bestand met instellingen met de naam
supfile. Er staan een aantal
supfiles als voorbeeld in de map /usr/share/examples/cvsup/.De informatie in een supfile
beantwoordt de volgende vragen voor
CVSup:Welke bestanden
moeten ontvangen worden?
-
+
Welke versies daarvan
moeten ontvangen worden?
-
+
Waar moeten ze
vandaan komen?
-
+
Waar moeten ze komen
te staan?
-
+
Waar moet
cvsup zijn statusbestanden
bijhouden?In de volgende paragrafen wordt een
supfile bestand opgebouwd door
achtereenvolgens alle gestelde vragen te beantwoorden. Als
eerste wordt de algemene structuur van een
supfile beschreven.Een supfile is een tekstbestand.
Commentaar begint met een # en loopt tot het
einde van de regel. Lege regels en regels die alleen
commentaar bevatten worden genegeerd.Iedere regel die overblijft slaat op een groep bestanden
die ontvangen moet worden. De regel begint met de naam van een
collectie, een logische groep bestanden op de
server. De naam van de collectie geeft de server aan welke
bestanden er gestuurd moeten worden. Na de naam van de
collectie komen er geen of meer velden die gescheiden worden
door witruimte. Die velden beantwoorden de hierboven gestelde
vragen. Er zijn twee soorten velden: vlagvelden en
waardevelden. Een vlagveld bestaat uit een alleenstaand
sleutelwoord, bijvoorbeeld delete of
compress. Een waardeveld begint ook met
een sleutelwoord, maar het sleutelwoord wordt direct (zonder
witruimte) gevolgd door = en een tweede
woord. release=cvs is bijvoorbeeld een
waardeveld.In een supfile wordt meestal
aangegeven dat er meerdere collecties ontvangen moeten worden.
Het is mogelijk om een supfile te
structureren door expliciet alle relevante velden aan te geven
voor iedere collectie, maar dat maakt de regels in de
supfile nogal lang en het is onhandig
omdat de meeste velden hetzelfde zijn voor alle collecties in
een supfile.
CVSup biedt een systeem met
standaardinstellingen om dit probleem te omzeilen. Regels die
beginnen met de speciale pseuso-collectienaam
*default kunnen gebruikt worden om
standaarden in te stellen voor de collecties die er in de
supfile achteraan komen. Een
standaardwaarde kan voor individuele collecties overschreven
worden door een andere waarde in de collectie zelf aan te
geven. Standaarden kunnen ook middenin het bestand gewijzigd
of aangevuld worden met extra *default
regels.Na deze achtergronden wordt er nu een
supfile samengesteld voor het ontvangen en
bijwerken van de hoofd broncodestructuur van &os;-CURRENT.Welke bestanden moeten
ontvangen worden?
-
+
De bestanden die via CVSup
beschikbaar zijn, zijn beschikbaar in groepen die
collecties heten. De beschikbare collecties
staan beschreven in de volgende paragraaf. In dit
voorbeeld is het de bedoeling dat de hele hoofd
broncodestructuur voor &os; wordt ontvangen. Daar is
één grote collectie voor:
src-all. De eerste stap in het maken
van een supfile is het opsommen van de
gewenste collecties, één per regel (in dit
geval maar één regel):src-allWelke versies daarvan
moeten ontvangen worden?Met CVSup kan vrijwel iedere
versie van de broncode die ooit heeft bestaan opgehaald
worden. Dat kan omdat de cvsupd
server direct vanaf het CVS depot werkt, dat alle versies
bevat. Er kan aangegeven welke ontvangen moeten worden met
de waardevelden tag= en
.
-
+
Voorzichtigheid is geboden bij het correct aangeven
van velden met tag=. Sommige labels
zijn alleen geldig voor bepaalde collecties of bestanden.
Als ze incorrect worden aangeven of als er een spelfout
wordt gemaakt in een label, verwijdert
CVSup bestanden waarvan dat
waarschijnlijk niet de bedoeling is. Het label
tag=. dient eigenlijk
alleen gebruikt te worden voor de
ports-* collecties.Het veld tag= benoemt een symbolisch
label in het depot. Er zijn twee soorten labels:
revisielabels en taklabels. Een revisielabel refereert aan
een specifieke revisie. De betekenis blijft altijd
hetzelfde. Een taklabel refereert echter aan de laatste
revisie van een gegeven ontwikkellijn op een gegeven
moment. Omdat een taklabel niet refereert aan een
specifieke revisie, kan het morgen iets anders betekenen
dan vandaag.
-
+
beschrijft de meest
interessante taklabels. Als er in het instellingenbestand
van CVSup een label wordt
aangegeven, moet dat vooraf gegaan worden door
tag= (RELENG_4 zal
tag=RELENG_4 worden). Voor de
portscollectie is alleen tag=.
relevant.Labels dienen exact zo ingegeven te worden als ze
staan beschreven. CVSup kan
geen onderscheid maken tussen geldige en ongeldige
labels. Als er een spelfout in een label wordt gemaakt,
doet CVSup alsof er een geldig
label is ingegeven dat aan geen enkel bestand refereert.
Dan zal CVSup de bestaande
broncode wissen.Bij het aangeven van een taklabel wordt meestal de
laatste versie van de bestanden voor een bepaalde
ontwikkellijn ontvangen. Om een oudere versie te
ontvangen kan in het veld een datum
opgegeven worden. In &man.cvsup.1; staat hoe dat
werkt.Om bijvoorbeeld &os;-CURRENT te ontvangen dient het
volgende aan het begin van supfile
toegevoegd te worden:
-
+
*default tag=.Er ontstaat een belangrijk speciaal geval als er geen
velden met tag= of
date= worden aangegeven. In dat geval
worden de eigenlijke RCS bestanden direct uit het CVS depot
van de server ontvangen in plaats van dat een bepaalde
versie wordt ontvangen. Ontwikkelaars geven in het
algemeen de voorkeur aan deze optie. Door zelf een kopie
van de broncode op hun systeem te hebben, krijgen ze de
mogelijkheid om zelf door eerdere versies van bestanden te
bladeren en de geschiedenis ervan te bekijken. Dit
voordeel kost wel veel schijfruimte.Waar moeten ze vandaan
komen?
-
+
Het veld host= wordt gebruikt om
cvsup aan te geven waar de updates
vandaan moeten komen. Dat kan van elke CVSup mirrorsite, hoewel
er wordt aangeraden een site die geografisch dichtbij ligt
te kiezen. In dit voorbeeld wordt een fictieve &os;
distributiesite gebruikt, cvsup99.FreeBSD.org:*default host=cvsup99.FreeBSD.org
-
+
In een werkelijke situatie dient de hostnaam gewijzigd
te worden in een host die echt bestaat voordat
CVSup gaat draaien. Iedere keer
dat cvsup wordt gestart, kan er een
andere host op de commandoregel opgegeven worden met de
optie .
-
+
Waar moeten ze komen te
staan?
-
+
Het veld prefix= geeft
cvsup aan waar de ontvangen bestanden
terecht moeten komen. In dit voorbeeld worden de bestanden
direct in de hoofd broncodestructuur
/usr/src geplaatst. De map
src is al impliciet in de gekozen
collecties, vandaar dat het onderstaande de juiste
instelling is:
-
+
*default prefix=/usrWaar moet
cvsup zijn statusbestanden
bijhouden?De CVSup client houdt
statusbestanden bij in een map die base
wordt genoemd. Die bestanden helpen
CVSup efficiënter te
werken door bij te houden welke updates al eerder zijn
ontvangen. Hier wordt de standaard basemap gebruikt,
/var/db:*default base=/var/dbDe bovenstaande instelling wordt standaard gebruikt als
die niet wordt aangegeven in de
supfile, dus hij is eigenlijk niet
nodig.
-
+
Als de basemap niet al bestaat, moet die gemaakt
worden. De cvsup client weigert te
draaien als de basemap niet bestaat.Allerlei supfile
instellingen:
-
+
Er is nog een regel die in een
supfile moet staan:*default release=cvs delete use-rel-suffix compressrelease=cvs geeft de server aan dat
de informatie uit het &os; hoofd CVS depot moet komen. Dat
is eigenlijk altijd het geval, maar er zijn mogelijkheden
die buiten het bereik van dit handboek vallen.
-
+
delete geeft
CVSup het recht om bestanden te
verwijderen. Dit moet altijd aangegeven worden zodat
CVSup de broncode altijd kan
bijwerken. CVSup gaat
voorzichtig om met het verwijderen van bestanden waar het
verantwoordelijk voor is. Extra bestanden in de structuur
worden met rust gelaten.
-
+
use-rel-suffix is nogal
geheimzinnig. Voor de nieuwsgierigen staat er meer over in
&man.cvsup.1;. Anders kan het gewoon ingesteld worden
zonder erover na te denken.compress schakelt het gebruikt van
gzip compressie in voor het communicatiekanaal. Als de
verbinding een E1 of sneller is, hoeft er geen compressie
gebruikt te worden. Anders helpt het aanzienlijk.Alles combinerend:Hieronder staat de hele supfile
uit het voorbeeld:*default tag=.
*default host=cvsup99.FreeBSD.org
*default prefix=/usr
*default base=/var/db
*default release=cvs delete use-rel-suffix compress
src-allHet Bestand refuseZoals hierboven al is aangegeven, gebruikt
CVSup een pull
methode. Dat betekent eigenlijk dat er een
verbinding wordt gemaakt met de
CVSup server en die zegt dan:
Dit kan er van mij gedownload worden..., en
dan antwoordt de client met: Oké, ik wil dit en
dat en zus en zo. Met de standaardinstellingen haalt
de CVSup client alle bestanden die
bij een collectie en het label horen dat in het bestand met
de instellingen is opgegeven. Maar dat is niet altijd
wenselijk, in het bijzonder als de doc,
ports of www
structuren worden gesynchroniseerd. De meeste mensen kunnen
geen vier of vijf talen lezen en die hebben de taalspecifieke
bestanden dus niet nodig. Als de portscollectie met
CVSup wordt opgehaald, is het
mogelijk om iedere collectie apart aan te geven (bijvoorbeeld
ports-astrology,
ports-biology, enzovoort, in plaats van
eenvoudigweg ports-all). Maar omdat
de doc en www
structuren geen taalspecifieke collecties hebben, moet er
gebruik gemaakt worden van een van de vele mooie
mogelijkheden van CVSup: het
bestand refuse.Het bestand refuse geeft
CVSup in feite aan dat niet ieder
bestand uit een collectie opgehaald moet worden. Het geeft
dus aan dat de client bepaalde bestanden van de server moet
weigeren. Het bestand
refuse staat in (of kan gemaakt worden
in)
base/sup/.
base staat ingesteld in
supfile. De standaardlocatie voor
base is
/var/db. De standaardplaats voor
refuse is dus
/var/db/sup/refuse.Het bestand refuse heeft een erg
eenvoudige opmaak. Het bevat de namen van de bestanden die
niet gedownload mogen worden. Als een gebruiker bijvoorbeeld
geen andere talen spreekt dan Engels en Nederlands, maar
de Nederlandse vertaling van de documentatie hoeft niet
binnengehaald te worden, dan kan het volgende in het bestand
refuse gezet worden:
- doc/da_*
+ doc/bn_*
+doc/da_*
doc/de_*
doc/el_*
doc/es_*
doc/fr_*
doc/it_*
doc/ja_*
doc/nl_*
doc/no_*
doc/pl_*
doc/pt_*
doc/ru_*
doc/sr_*
+doc/tr_*
doc/zh_*Dit gaat zo door voor de andere talen. De volledige
lijst staat in het &os;
CVS depot.Met deze handige eigenschap kunnen gebruikers met
langzamere verbindingen of zij die per minuut voor hun
internetverbinding betalen waardevolle tijd besparen omdat er
geen bestanden meer gedownload worden die nooit gebruikt
worden. Meer informatie over refuse
bestanden en andere leuke mogelijkheden van
CVSup staat in de
handleiding.CVSup DraaienNu kan het bijwerken beginnen. Het commando is best wel
eenvoudig:&prompt.root; cvsup supfileDe supfile
is de naam van het supfile bestand dat
gebruikt moet worden. Aangenomen dat er X11 draait op een
machine, toont cvsup een GUI venster met
wat knoppen om de bekende acties uit te voeren. Het proces
start na het klikken op de knop
go.Omdat in dit voorbeeld de werkelijke structuur in
/usr/src wordt bijgewerkt, moet het
programma als root uitgevoerd worden,
zodat cvsup de rechten heeft die het nodig
heeft om de bestanden bij te werken. Het is voorstelbaar dat
de benodigde rechten, het net gemaakte bestand met instellingen
en het voor de eerste keer draaien van een programma zorgt voor
wat onrust. Daarom is het mogelijk proef te draaien zonder
dat er bestanden gewijzigd worden. Dat kan door ergens een
lege map te maken en een extra argument mee te geven op de
commandoregel:&prompt.root; mkdir /var/tmp/dest
&prompt.root; cvsup supfile /var/tmp/destDe opgegeven map is de bestemming voor alle
bestandsupdates. CVSup bekijkt wel
de bestanden in /usr/src, maar wijzigt ze
niet. Alle updates belanden in
/var/tmp/dest/usr/src.
CVSup werkt ook de statusbestanden
niet bij als het op deze wijze wordt uitgevoerd. De nieuwe
versies van de bestanden worden naar de aangegeven map
geschreven. Als er maar leestoegang is tot
/usr/src, hoeft een gebruiker zelfs geen
root te zijn bij het uitvoeren van dit
experiment.Als er geen X11 draait of als het niet wenselijk is een GUI
te gebruiken, dan kunnen daarvoor opties op de commandoregel
meegegeven worden bij het draaien van
cvsup:&prompt.root; cvsup -g -L 2 supfile
-
+
De optie geeft
CVSup aan dat de GUI niet gebruikt
hoeft te worden. Dit gebeurt automatisch als X11 niet draait,
maar anders moet het aangegeven worden.De optie geeft
CVSup aan dat details getoond
moeten worden over alle bestanden die bijgewerkt worden. Er
zijn drie niveau's van uitvoerigheid, van
tot . Standaard is het 0, wat betekent
dat er geen enkel bericht wordt getoond, met uitzondering van
foutmeldingen.Er zijn nog veel andere opties beschikbaar. Met
cvsup -H wordt een lijst met korte uitleg
getoond. Beschrijvingen met meer details staan in de
handleiding.Als het bijwerken op de gewenste manier loopt, kan het
regulier draaien van CVSup met
&man.cron.8; ingesteld worden. Natuurlijk hoort
CVSup zonder GUI te draaien als het
programma vanuit de &man.cron.8; draait.CVSup
Bestandscollecties
-
+
De via CVSup beschikbare
bestandscollecties zijn hiërarchisch georganiseerd. Er
zijn een paar grote collecties en die zijn opgedeeld in
kleinere sub-collecties. Het ontvangen van een collectie is
hetzelfde als het ontvangen van alle sub-collecties. De
hiërarchische relatie tussen de collecties wordt
hieronder aangegeven door het niveau van inspringen.De meest gebruikte collecties zijn
src-all en ports-all. De
andere collecties worden door kleine groepen mensen gebruikt
voor bijzondere doeleinden en sommige mirrorsites hebben ze
niet allemaal.cvs-all release=cvs
-
+
Het &os; CVS hoofddepot, inclusief de cryptografische
code.
-
+
distrib release=cvs
-
+
Bestanden die betrekking hebben op het
verspreiden en spiegelen van &os;.
-
+
doc-all release=cvsBroncode voor het &os; Handboek en andere
documentatie, zonder de bestanden voor de &os;
website.ports-all release=cvsDe &os; Portscollectie.Als ports-all (het
complete portssysteem) niet bijgewerkt hoeft te
worden, maar enkele van de onderstaande
sub-collecties, dan moet
altijd ook de
ports-base sub-collectie
bijgewerkt worden! Als er iets wijzigt in de
infrastructuur van de ports waar
ports–base voor staat,
is het vrijwel zeker dat die wijzigingen heel
snel door echte ports gebruikt
gaan worden. Dus als alleen de
echte ports bijgewerkt worden en
als die gebruik maken van nieuwe mogelijkheden,
dan is de kans groot dat het bouwen daarvan
foutloopt met een vage foutmelding. Het
eerste dat gedaan moeten
worden is ervoor zorgen dat de
ports-base sub-collectie is
bijgewerkt.
+
+ Bij het zelf bouwen van een lokale kopie van
+ ports/INDEX
+ mOEt
+ ports-all geaccepteerd worden
+ (de hele port structuur). Het bouwen van
+ ports/INDEX met een
+ gedeeltelijke structuur wordt niet ondersteund.
+ Zie ook de FAQ.
+
+
+
+ ports-accessibility
+ release=cvs
+
+
+ Software voor minder valide
+ gebruikers.
+
+
+
+
+ ports-arabic
+ release=cvs
+
+
+ Ondersteuning voor de Arabische
+ taal.
+
+
+
ports-archivers
release=cvs
-
+
Archiveringshulpmiddelen.ports-astro
release=cvs
-
+
Astronomie ports.ports-audio
release=cvs
-
+
Geluidsondersteuning.ports-base
release=cvs
-
+
De infrastructuur van de portscollectie.
Bestanden uit de mappen
Mk/ en
Tools/ van
/usr/ports.Zie ook de belangrijke
waarschuwing hierboven: deze
sub-collectie dient
altijd bijgewerkt te
worden als er een onderdeel van de &os;
portscollectie wordt bijgewerkt!ports-benchmarks
release=cvs
-
+
Benchmarks.ports-biology
release=cvsBiologie.ports-cad
release=cvs
-
+
Computer aided design programma's.ports-chinese
release=cvs
-
+
Ondersteuning voor de Chinese
taal.ports-comms
release=cvs
-
+
Communicatiesoftware.ports-converters
release=cvs
-
+
Karaktercode omzetters.ports-databases
release=cvs
-
+
Databases.
-
+
ports-deskutils
release=cvs
-
+
Dingen die op een bureaublad stonden
voordat computers waren uitgevonden.ports-devel
release=cvsOntwikkelhulpmiddelen.ports-dns
release=cvsDNS gerelateerde software.
-
+
ports-editors
release=cvsEditors.ports-emulators
release=cvs
-
+
Emulatoren voor
besturingssystemen.ports-finance
release=cvs
-
+
Monetaire, financiële en
gerelateerde applicaties.ports-ftp
release=cvs
-
+
FTP client en server programma's.ports-games
release=cvs
-
+
Spelletjes.
-
+
ports-german
release=cvs
-
+
Ondersteuning voor de Duitse taal.ports-graphics
release=cvsGrafische programma's.
+
+ ports-hebrew
+ release=cvs
+
+
+ Ondersteuning voor de Hebreeuwse
+ taal.
+
+
+
ports-hungarian
release=cvs
-
+
Ondersteuning voor de Hongaarse
taal.ports-irc
release=cvsInternet Relay Chat
hulpprogramma's.ports-japanese
release=cvsOndersteuning voor de Japanse
taal.
-
+
ports-java
release=cvs&java; programma's.ports-korean
release=cvsOndersteuning voor de Koreaanse
taal.ports-lang
release=cvsProgrammeertalen.ports-mail
release=cvsMailsoftware.ports-math
release=cvsNumerieke rekensoftware.ports-mbone
release=cvsMBone applicaties.ports-misc
release=cvsVerschillende programma's.ports-multimedia
release=cvsMultimedia software.ports-net
release=cvs
-
+
Netwerksoftware.
+
+ ports-net-mgmt
+ release=cvs
+
+
+ Netwerkbeheersoftware.
+
+
+
ports-news
release=cvs
-
+
USENET news software.
-
+
ports-palm
release=cvs
-
+
Softwareondersteuning voor
Palm
apparatuur.ports-polish
release=cvs
-
+
Ondersteuning voor de Poolse taal.
-
+
ports-portuguese
release=cvs
-
+
Ondersteuning voor de Portugese
taal.ports-print
release=cvs
-
+
Printsoftware.ports-russian
release=cvs
-
+
Ondersteuning voor de Russische
taal.
+
+ ports-science
+ release=cvs
+
+
+ Wetenschappelijk.
+
+
+
ports-security
release=cvs
-
+
Beveiligingsprogramma's.ports-shells
release=cvs
-
+
Commandoregelshells.ports-sysutils
release=cvs
-
+
Systeemprogramma's.ports-textproc
release=cvs
-
+
Tekstverwerkingsprogramma's (zonder
desktop publishing).
+
+ ports-ukrainian
+ release=cvs
+
+
+ Ondersteuning voor de Oekraïnische
+ taal.
+
+
+
ports-vietnamese
release=cvs
-
+
Ondersteuning voor de Vietnamese
taal.ports-www
release=cvs
-
+
Software gerelateerd aan het Wereldwijde
Web.ports-x11
release=cvs
-
+
Ports voor het X windowsysteem.ports-x11-clocks
release=cvs
-
+
X11 klokken.ports-x11-fm
release=cvsX11 bestandsbeheerders.ports-x11-fonts
release=cvs
-
+
X11 lettertypen en
lettertypeprogramma's.ports-x11-toolkits
release=cvsX11 hulpprogramma's.
- ports-x11-servers
-
+ ports-x11-servers
+ release=cvs
+
X11 servers.
- ports-x11-wm
-
+ ports-x11-themes
+
+
+ X11 thema's.
+
+
+
+
+ ports-x11-wm
+ release=cvs
+
X11 vensterbeheerprogramma's.src-all release=cvs
-
+
De hoofdbroncode van &os;, inclusief de
cryptografische code.src-base
release=cvsVerschillende bestanden bovenin de
/usr/src
structuur.src-bin
release=cvsGebruikersprogramma's die wellicht nodig
zijn in single-user modus
(/usr/src/bin).src-contrib
release=cvsProgramma's en bibliotheken van buiten
het &os; project die vrijwel ongewijzigd
gebruikt worden
(/usr/src/contrib).src-crypto release=cvsCryptografische programma's en
bibliotheken van buiten het &os; project, die
vrijwel ongewijzigd worden gebruikt
(/usr/src/crypto).src-eBones release=cvs
-
+
Kerberos en DES
(/usr/src/eBones). Niet
gebruikt in recente uitgaves van &os;.src-etc
release=cvsBestanden met systeeminstellingen
(/usr/src/etc).src-games
release=cvs
-
+
Spelletjes
(/usr/src/games).src-gnu
release=cvsProgramma's die onder de GNU Public
License vallen
(/usr/src/gnu).src-include
release=cvs
-
+
Headerbestanden
(/usr/src/include).src-kerberos5
release=cvs
-
+
Kerberos5 beveiligingspakket
(/usr/src/kerberos5).src-kerberosIV
release=cvs
-
+
KerberosIV beveiligingspakket
(/usr/src/kerberosIV).src-lib
release=cvsBibliotheken
(/usr/src/lib).src-libexec
release=cvsSysteemprogramma's die meestal door
andere programma's worden uitgevoerd
(/usr/src/libexec).
-
+
src-release
release=cvs
-
+
Bestanden die nodig zijn voor het
maken van een &os; release
(/usr/src/release).src-sbin release=cvsSysteemprogramma's voor single-user modus
(/usr/src/sbin).
-
+
src-secure
release=cvsCryptografische bibliotheken en
commando's
(/usr/src/secure).src-share
release=cvsBestanden die tussen meerdere systemen
gedeeld kunnen worden
(/usr/src/share).src-sys
release=cvsDe kernel
(/usr/src/sys).src-sys-crypto
release=cvs
-
+
Cryptografische kernelcode
(/usr/src/sys/crypto).src-tools
release=cvsVerschillende hulpprogramma's voor het
onderhoud van &os;
(/usr/src/tools).src-usrbin
release=cvsGebruikersprogramma's
(/usr/src/usr.bin).src-usrsbin
release=cvs
-
+
Systeemprogramma's
(/usr/src/usr.sbin).
-
+
www release=cvs
-
+
De broncode voor de &os; website.
-
+
distrib release=selfDe instellingenbestanden van de
CVSup server zelf. Gebruikt
door de CVSup
mirrorsites.gnats release=currentDe GNATS bug-tracking database.mail-archive release=current
-
+
&os; mailinglijstarchief.www release=currentDe voorbewerkte &os; websitebestanden (niet de
broncode). Gebruikt door WWW mirrorsites.Voor Meer InformatieDe CVSup FAQ en andere
informatie over CVSup is te vinden
op De
CVSup Homepage.De meeste &os;–gerelateerde discussie over
CVSup vindt plaats op de
&a.hackers;. Daar worden nieuwe versies van de software
aangekondigd, net als op de &a.announce;.Vragen en foutrapporten kunnen gericht worden aan de
auteur van het programma op
cvsup-bugs@polstra.com.CVSup SitesCVSup servers voor &os; draaien
op de onderstaande sites. Het overige deel van deze paragraaf
wordt automatisch samengesteld en is daarom niet vertaald.
&chap.mirrors.cvsup.inc;
CVS LabelsBij het ophalen of bijwerken van broncode met
cvs of
CVSup moet een revisielabel meegegeven
worden. Een revisielabel refereert aan een specifieke lijn in
de &os; ontwikkeling of aan een specifiek moment in de tijd. Het
eerste type heet taklabel (branch tag) en het
tweede type heet releaselabel (release
tag).TaklabelsDeze zijn, met uitzondering van HEAD
(dat altijd een geldig label is), alleen van toepassing op de
src/ structuur. De
ports/, doc/ en
www/ structuren kennen geen takken.HEADSymbolische naam voor de hoofdlijn van &os;-CURRENT.
Ook de standaard als geen revisie is aangegeven.In CVSup wordt dit label
aangegeven met een . (dat is dus geen
interpunctie, maar een echt .
karakter).In CVS is dit de standaard als er geen revisietabel
is aangegeven. Het is meestal
geen goed idee om een checkout of
update van CURRENT broncode op een STABLE machine te
doen, tenzij dat expliciet de bedoeling is.RELENG_5De ontwikkellijn voor &os;-5.X, ook bekend als
&os; 5-STABLE.RELENG_5_3De releasetak voor &os;-5.3, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_5_2De releasetak voor &os;-5.2 en &os;-5.2.1, alleen
gebruikt voor beveiligingswaarschuwingen en andere
kritische aanpassingen.RELENG_5_1De releasetak voor &os;-5.1, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_5_0De releasetak voor &os;-5.0, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4De ontwikkellijn voor &os;-4.X, ook bekend als &os;
4-STABLE.RELENG_4_10De releasetak voor &os;-4.10, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4_9De releasetak voor &os;-4.9, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4_8De releasetak voor &os;-4.8, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4_7De releasetak voor &os;-4.7, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4_6De releasetak voor &os;-4.6 en &os;-4.6.2,
alleen gebruikt voor beveiligingswaarschuwingen en andere
kritische aanpassingen.RELENG_4_5De releasetak voor &os;-4.5, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4_4De releasetak voor &os;-4.4, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_4_3De releasetak voor &os;-4.3, alleen gebruikt voor
beveiligingswaarschuwingen en andere kritische
aanpassingen.RELENG_3De ontwikkellijn voor &os;-3.X, ook bekend als
3.X-STABLE.RELENG_2_2De ontwikkellijn voor &os;-2.2.X, ook bekend als
2.2-STABLE. Deze tak is sterk verouderd.ReleaselabelsDeze labels refereren aan een specifiek moment in de tijd
waarop een versie van &os; is uitgegeven. Het proces om tot
een release te komen is gedetailleerder beschreven in de
Release Engineering
Informatie en Release
Proces documenten. De src structuur gebruikt
labelnamen die beginnen met RELENG_ labels.
De ports en doc structuren gebruiken labels
waarvan de naam begint met het label
RELEASE. De www tenslotte, is niet
gemarkeerd met een bijzondere naam bij releases.RELENG_5_3_0_RELEASE&os; 5.3RELENG_4_10_0_RELEASE&os; 4.10RELENG_5_2_1_RELEASE&os; 5.2.1RELENG_5_2_0_RELEASE&os; 5.2RELENG_4_9_0_RELEASE&os; 4.9RELENG_5_1_0_RELEASE&os; 5.1RELENG_4_8_0_RELEASE&os; 4.8RELENG_5_0_0_RELEASE&os; 5.0RELENG_4_7_0_RELEASE&os; 4.7RELENG_4_6_2_RELEASE&os; 4.6.2RELENG_4_6_1_RELEASE&os; 4.6.1RELENG_4_6_0_RELEASE&os; 4.6RELENG_4_5_0_RELEASE&os; 4.5RELENG_4_4_0_RELEASE&os; 4.4RELENG_4_3_0_RELEASE&os; 4.3RELENG_4_2_0_RELEASE&os; 4.2RELENG_4_1_1_RELEASE&os; 4.1.1RELENG_4_1_0_RELEASE&os; 4.1RELENG_4_0_0_RELEASE&os; 4.0
-
+
RELENG_3_5_0_RELEASE&os;-3.5RELENG_3_4_0_RELEASE&os;-3.4RELENG_3_3_0_RELEASE&os;-3.3RELENG_3_2_0_RELEASE&os;-3.2RELENG_3_1_0_RELEASE&os;-3.1RELENG_3_0_0_RELEASE&os;-3.0RELENG_2_2_8_RELEASE&os;-2.2.8RELENG_2_2_7_RELEASE&os;-2.2.7RELENG_2_2_6_RELEASE&os;-2.2.6RELENG_2_2_5_RELEASE&os;-2.2.5RELENG_2_2_2_RELEASE&os;-2.2.2RELENG_2_2_1_RELEASE&os;-2.2.1RELENG_2_2_0_RELEASE&os;-2.2.0AFS SitesEr draaien AFS servers voor &os; op de volgende sites:SwedenThe path to the files are:
/afs/stacken.kth.se/ftp/pub/FreeBSD/stacken.kth.se # Stacken Computer Club, KTH, Sweden
130.237.234.43 #hot.stacken.kth.se
130.237.237.230 #fishburger.stacken.kth.se
130.237.234.3 #milko.stacken.kth.seBeheerder: ftp@stacken.kth.sersync SitesDe volgende sites bieden &os; aan via het protocol rsync.
Het programma rsync werkt vrijwel
hetzelfde als &man.rcp.1;, maar kent meer mogelijkheden en
gebruikt het rsync remote-update protocol, dat alleen verschillen
tussen twee groepen bestanden overbrengt, waardoor het
synchroniseren via een netwerk drastisch wordt versneld. Dit
kan het beste gedaan worden als er een mirrorsite voor de
&os; FTP server of het &os; CVS depot draait. De
rsync suite is voor veel
besturingssystemen beschikbaar. Voor &os; kan het package of de
port uit net/rsync
geïnstalleerd worden.Tschechische Republiekrsync://ftp.cz.FreeBSD.org/Beschikbare collecties:ftp: Een gedeeltelijke mirror van de &os;
FTP server.&os;: Een volledige mirror van de &os; FTP
server.Duitslandrsync://grappa.unix-ag.uni-kl.de/Beschikbare collecties:freebsd-cvs: Het volledige &os; CVS
depot.Deze machine mirrort onder andere ook de CVS depots
voor de NetBSD en OpenBSD projecten.Nederlandrsync://ftp.nl.FreeBSD.org/Beschikbare collecties:
- vol/3/freebsd-core: Een volledige mirror
+ vol/4/freebsd-core: Een volledige mirror
van de &os; FTP server.Verenigd Koninkrijkrsync://rsync.mirror.ac.uk/Beschikbare collecties:ftp.FreeBSD.org: Een volledige mirror van
de &os; FTP server.Verenigde Statenrsync://ftp-master.FreeBSD.org/Deze server mag alleen gebruikt worden door &os;
primaire mirrorsites.Beschikbare collecties:&os;: Het masterarchief van de &os;
FTP server.acl: De &os; master ACL
lijst.rsync://ftp13.FreeBSD.org/Beschikbare collecties:&os;: Een volledige mirror van de &os; FTP
server.
diff --git a/nl_NL.ISO8859-1/books/handbook/network-servers/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/network-servers/chapter.sgml
index a8fe348964..fda14e47ec 100644
--- a/nl_NL.ISO8859-1/books/handbook/network-servers/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/network-servers/chapter.sgml
@@ -1,5530 +1,5543 @@
MurrayStokelyGereorganiseerd door SiebrandMazelandVertaald door NetwerkdienstenOverzichtDit hoofdstuk behandelt een aantal veelgebruikte
netwerkdiensten op &unix; systemen. Er wordt ingegaan op de
installatie, het instellen, testen en beheren van verschillende
typen netwerkdiensten. Overal in dit hoofdstuk staan
voorbeeldbestanden met instellingen waar de lezer zijn voordeel
mee kan doen.Na het lezen van dit hoofdstuk weet de lezer:Hoe om te gaan met de inetd
daemon;Hoe een netwerkbestandssysteem opgezet kan worden;Hoe een netwerkinformatiedienst (NIS) opgezet kan worden
voor het delen van gebruikersaccounts;Hoe automatische netwerkinstellingen gemaakt kunnen
worden met DHCP;Hoe een domeinnaam server opgezet kan worden;Hoe een Apache HTTP Server
opgezet kan worden;Hoe een File Transfer Protocol (FTP) Server opgezet kan
worden;Hoe een bestands- en printserver voor &windows; clients
opgezet kan worden met
Samba;Hoe datum en tijd gesynchroniseerd kunnen worden en hoe
een tijdserver opgezet kan worden met het NTP
protocol.Veronderstelde voorkennis:Basisbegrip van de scripts in
/etc/rc;Bekend zijn met basis netwerkterminologie;Kennis van de installatie van software van derde partijen
().ChernLeeGeschreven door De inetdSuper-ServerOverzicht&man.inetd.8; wordt de internet Super-Server
genoemd, omdat die verbindingen voor meerdere diensten beheert.
Als door inetd een verbinding wordt
ontvangen, bepaalt die voor welk programma de verbinding
bedoeld is, spawnt dat proces en delegeert de socket (het
programma wordt gestart met de socket van de dienst als
zijn standaard invoer, uitvoer en foutbeschrijvingen). Het
draaien van één instantie van
inetd reduceert de load op een
systeem in vergelijking met het in stand-alone modus draaien
van alle daemons.inetd wordt primair gebruikt om
andere daemons aan te roepen, maar het handelt een aantal
triviale protocollen direct af, zoals
chargen,
auth en
daytime.In deze paragraaf worden de basisinstellingen van
inetd behandeld met de opties vanaf
de commandoregel en met het instellingenbestand
/etc/inetd.conf.Instellingeninetd wordt gestart door het
/etc/rc.conf systeem. De
optie inetd_enable staat standaard op
NO, maar wordt door
sysinstall vaak ingeschakeld door de
instellingen van het medium beveiligingsprofiel. Door het
instellen van
inetd_enable="YES" of
inetd_enable="NO" in
/etc/rc.conf wordt
inetd bij het opstarten van een
systeem wel of niet ingeschakeld.Dan kunnen er ook nog een aantal commandoregelopties aan
inetd meegegeven worden met de optie
inetd_flags.Commandoregeloptiesinetd overzicht:inetd [-d] [-l] [-w] [-W] [-c maximum] [-C rate] [-a adres | hostnaam]
[-p bestandsnaam] [-R rate] [instellingenbestand]-dSchakel debugging in.-lSchakel het loggen van succesvolle verbindingen
in.-wSchakel TCP Wrapping voor externe diensten in (staat
standaard aan).-WSchakel TCP Wrapping voor internet diensten uit
inetd in (staat standaard
aan).-c maximumGeeft het maximale aantal gelijktijdige verzoeken voor
iedere dienst aan. De standaard is ongelimiteerd. Kan
per dienst ter zijde geschoven worden met de parameter
.-C rateGeeft het maximale aantal keren aan dat een dienst
vanaf een bepaald IP adres per minuut aangeroepen kan
worden. Kan per dienst ter zijde geschoven worden met de
parameter
.-R rateGeeft het maximale aantal keren aan dat een dienst
per minuut aangeroepen kan worden. De standaard is 256.
De instelling 0 geeft aan dat er geen
limiet is.-aGeeft een of meer IP adres associaties aan. Er kan
ook een hostnaam opgegeven worden, in welk geval het IPv4
of IPv6 adres dat met de hostnaam overeenkomst wordt
gebruikt. Meestal wordt er een hostnaam gebruikt als
inetd in een &man.jail.8;
draait en de hostnaam dus overeenkomst met de
&man.jail.8;-omgeving.Als er een hostnaam wordt aangegeven en zowel IPv4
als IPv6 zijn nodig, dan moeten er twee instellingen
in /etc/inetd.conf gemaakt worden,
voor beide protocollen een. Een TCP-gebaseerde
dienst heeft bijvoorbeeld twee regels met instellingen
nodig: tcp4 en tcp6
voor beide protocollen.-pGeeft het bestand aan waarin het proces ID opgeslagen
moet worden.Al deze opties kunnen aan inetd
meegegeven worden met de optie inetd_flags
in /etc/rc.conf. Standaard staat
inetd_flags op –wW,
dat TCP wrapping voor de interne en externe diensten van
inetd inschakelt. Voor beginnende
gebruikers hoeven deze waarden meestal niet aangepast te worden
of ingegeven te worden in
/etc/rc.conf.Een externe dienst is een daemon buiten
inetd, die wordt aangesproken als
er een verbinding voor wordt ontvangen. Een interne dienst
is een dienst die inetd vanuit
zichzelf kan aanbieden.inetd.confDe instellingen van inetd
worden beheerd in /etc/inetd.conf.Als er een wijziging wordt aangebracht in
/etc/inetd.conf, dan kan
inetd gedwongen worden om de
instellingen opnieuw in te lezen door een HangUP signaal naar
het inetd proces te sturen:inetd een HangUP Signaal
Sturen&prompt.root; kill -HUP `cat /var/run/inetd.pid`Iedere regel in het bestand met instellingen heeft
betrekking op een individuele daemon. Commentaar wordt vooraf
gegaan door een #. De opmaak van
/etc/inetd.conf is als volgt:service-name
socket-type
protocol
{wait|nowait}[/max-child[/max-connections-per-ip-per-minute]]
user[:group][/login-class]
server-program
server-program-argumentsEen voorbeeldregel voor de ftpd
daemon met IPv4:ftp stream tcp nowait root /usr/libexec/ftpd ftpd -lservice-nameDit is de dienstnaam van een daemon. Die moet
overeenkomen met een dienst uit
/etc/services. Hiermee kan de
poort waarop inetd moet
luisteren aangegeven worden. Als er een nieuwe dienst
wordt gemaakt, moet die eerst in
/etc/services gezet worden.socket-typeDit is stream,
dgram, raw of
seqpacket. stream
moet gebruikt worden voor connectie gebaseerde TCP
daemons, terwijl dgram wordt gebruikt
voor daemons die gebruik maken van het
UDP transport protocol.protocolEen van de volgende:ProtocolToelichtingtcp, tcp4TCP IPv4udp, udp4UDP IPv4tcp6TCP IPv6udp6UDP IPv6tcp46Zowel TCP IPv4 als v6udp46Zowel UDP IPv4 als v6{wait|nowait}[/max-child[/max-connections-per-ip-per-minute]] geeft aan of de daemon
die door inetd wordt
aangesproken zijn eigen sockets kan afhandelen of niet.
sockettypen moeten de optie
gebruiken, terwijl streamsocket
daemons, die meestal multi-threaded zijn, de optie
horen te gebruiken.
geeft meestal meerdere sockets aan
een daemon, terwijl een child
daemon spawnt voor iedere nieuwe socket.Het maximun aantal child daemons dat
inetd mag spawnen kan
ingesteld worden met de optie .
Als een limiet van tien instanties van een bepaalde
daemon gewenst is, dan zou er /10
achter gezet worden.Naast is er nog een andere
optie waarmee het maximale aantal verbindingen van een
bepaalde plaats naar een daemon ingesteld kan worden.
Dat kan met
. Een
waarde van tien betekent hier dat er van iedere IP adres
maximaal tien verbindingen naar daemon tot stand gebracht
kunnen worden. Dit kan gebruikt worden om bedoeld en
onbedoeld bronnengebruik van een machine te
voorkomen.In dit veld is of
verplicht.
en
zijn
optioneel.Een stream-type multi-threaded daemon zonder
or
limieten is eenvoudigweg:
nowait.Dezelfde daemon met een maximale limiet van tien
daemons zou zijn: nowait/10.Dezelfde instellingen met een limiet van twintig
connecties per IP adres per minuut en een totaal maximum
van tien child daemons zou zijn:
nowait/10/20.Deze opties worden allemaal gebruikt door de
standaardinstelling voor de
fingerd daemon:finger stream tcp nowait/3/10 nobody /usr/libexec/fingerd fingerd -suserDit is de gebruikersnaam waar een daemon onder
draait. Daemons draaien meestal als de gebruiker
root. Om veiligheidsredenen draaien
sommige daemons onder de gebruiker
daemon of de gebruiker met de minste
rechten: nobody.server-programHet volledige pad van de daemon die uitgevoerd moet
worden als er een verbinding wordt ontvangen. Als de
daemon een dienst is die door
inetd intern wordt geleverd,
dan moet de optie gebruikt
worden.server-program-argumentsDeze optie werkt samen met de optie
en hierin worden de
argumenten ingesteld, beginnend met
argv[0], die bij het starten aan de
daemon worden meegegeven. Als
mijndaemon -d de commandoregel is,
dan zou mijndaemon -d de waarde van
zijn. Hier
geldt ook dat als de daemon een interne dienst is, hier
de optie moet worden.BeveiligingAfhankelijk van het beveiligingsprofiel dat bij de
installatie is gekozen, kunnen veel van de daemons van
inetd standaard ingeschakeld zijn.
Het is verstandig een daemon die niet noodzakelijk is uit te
schakelen! Dat kan door een # voor de daemon
in /etc/inetd.conf en dan een hangup signaal naar inetd te
sturen. Sommige daemons, zoals
fingerd, zijn wellicht helemaal niet
gewenst omdat ze een aanvaller te veel informatie geven.Sommige daemons zijn zich niet echt bewust van beveiliging
en hebben lange of niet bestaande time-outs voor
verbindingspogingen. Hierdoor kan een aanvaller langzaam veel
verbindingen maken met een daemon en zo beschikbare bronnen
verzadigen. Het is verstandig voor die daemons de limietopties
en
te gebruiken.TCP wrapping staat standaard aan. Er staat meer informatie
over het zetten van TCP restricties op de verschillende daemons
die door inetd worden aangesproken
in &man.hosts.access.5;.Allerleidaytime,
time,
echo,
discard,
chargen en
auth zijn allemaal interne diensten
van inetd.De dienst auth biedt
identiteitsnetwerkdiensten (ident,
identd) en is tot op een bepaald
niveau instelbaar.Er staat meer informatie in &man.inetd.8;.TomRhodesGereorganiseerd en verbeterd door BillSwingleGeschreven door Netwerkbestandssysteem (NFS)NFSHet Netwerkbestandssysteem (Network File System) is een van
de vele bestandssystemen die &os; ondersteunt. Het staat ook wel
bekend als NFS.
Met NFS is het
mogelijk om mappen en bestanden met anderen in een netwerk te
delen. Door het gebruik van NFS kunnen gebruikers en
programma's bij bestanden op andere systemen op bijna dezelfde
manier als bij hun eigen lokale bestanden.De grootste voordelen van NFS zijn:Lokale werkstations gebruiken minder diskruimte omdat
veel gebruikte data op één machine opgeslagen
kan worden en nog steeds toegankelijk is voor gebruikers via
het netwerk;Gebruikers hoeven niet op iedere machine een thuismap te
hebben. Thuismappen kunnen op de NFS
server staan en op het hele netwerk beschikbaar zijn;Opslagapparaten als floppydisks, CDROM drives en
&iomegazip; drives kunnen door andere machines op een netwerk
gebruikt worden. Hierdoor kan het aantal drives met
verwijderbare media in een netwerk verkleind worden.Hoe NFS WerktNFS bestaat uit tenminste twee
hoofdonderdelen: een server en een of meer clients. De client
benadert de gegevens die op een server machine zijn opgeslagen
via een netwerk. Om dit mogelijk te maken moeten er een aantal
processen ingesteld en gestart worden.In &os; 4.X is het hulpprogramma
portmap gebruikt in plaats van
rpcbind. Dus in &os; 4.X
moet elke rpcbind vervangen
worden door portmap in de
volgende voorbeelden.Op de server moeten de volgende daemons draaien:NFSserverfileserverUNIX clientsrpcbindportmapmountdnfsdDaemonBeschrijvingnfsdDe NFS daemon die verzoeken van
de NFS clients afhandelt.mountdDe NFS mountdaemon die
doorgestuurde verzoeken van &man.nfsd.8;
uitvoert.rpcbindDeze daemon geeft NFS
clients aan welke poort de NFS
server gebruikt.Op de client kan ook een daemon draaien:
nfsiod. De
nfsiod daemon handelt verzoeken van
de NFS server af. Dit is optioneel en kan
de prestaties verbeteren, maar het is niet noodzakelijk voor
een normale en correcte werking. Meer informatie staat in
&man.nfsiod.8;.
NFS InstellenNFSinstellenNFS instellen gaat redelijk rechtlijnig.
Alle processen die moeten draaien kunnen meestarten bij het
opstarten door een paar wijzigingen in
/etc/rc.conf.Op de NFS server dienen de volgende
opties in /etc/rc.conf te staan:rpcbind_enable="YES"
nfs_server_enable="YES"
mountd_flags="-r"mountd start automatisch als de
NFS server is ingeschakeld.Op de client dient de volgende optie in
/etc/rc.conf te staan:nfs_client_enable="YES"In het bestand /etc/exports staat
beschreven welke bestandssystemen NFS moet
exporteren (soms heet dat ook wel delen of
sharen). Iedere regel in
/etc/exports slaat op een bestandssysteem
dat wordt geëxporteerd en welke machines toegang hebben
tot dat bestandssysteem. Samen met machines die toegang
hebben, kunnen ook toegangsopties worden aangegeven. Er zijn
veel opties beschikbaar, maar hier worden er maar een paar
beschreven. Alle opties staan beschreven in
&man.exports.5;.Nu volgen een aantal voorbeelden voor
/etc/exports:NFSexport voorbeeldenHet volgende voorbeeld geeft een beeld van hoe een
bestandssysteem te exporteren, hoewel de instellingen
afhankelijk zijn van de omgeving en het netwerk. Om
bijvoorbeeld de map /cdrom te exporteren
naar drie machines die dezelfde domeinnaam hebben als de server
(vandaar dat de machinenamen geef domeinachtervoegsel hebben)
of in /etc/hosts staan. De vlag
exporteert het bestandssysteem als
alleen–lezen. Door die vlag kan een ander systeem niet
schrijven naar het geëxporteerde bestandssysteem./cdrom -ro host1 host2 host3Het volgende voorbeeld exporteert
/home naar drie hosts op basis van IP
adres. Dit heeft zin als er een privaat netwerk bestaat,
zonder dat er een DNS server is ingesteld.
Optioneel kan /etc/hosts gebruikt worden
om interne hostnamen in te stellen. Er is meer informatie te
vinden in &man.hosts.5;. Met de vlag
mogen submappen ook mountpunten zijn. De submap wordt dan niet
feitelijk gemount, maar de client mount dan alleen de submappen
die verplicht of nodig zijn./home -alldirs 10.0.0.2 10.0.0.3 10.0.0.4Het volgende voorbeeld exporteert /a
zo dat twee clients uit verschillende domeinen bij het
bestandssysteem mogen. Met de vlag
mag de gebruiker op het
andere systeem gegevens naar het geëxporteerde
bestandssysteem schrijven als root. Als
de vlag niet wordt gebruikt, dan
kan een gebruiker geen bestanden wijzigen op het
geëxporteerde bestandssysteem, zelfs niet als een
gebruiker daar root is./a -maproot=root host.example.com box.example.orgOm een client toegang te geven tot een geëxporteerd
bestandssysteem, moet die client daar rechten voor hebben. De
client moet daarvoor genoemd worden in
/etc/exports.In /etc/exports staat iedere regel
voor de exportinformatie van één bestandssysteem
naar één host. Per bestandssysteem mag een host
maar één keer genoemd worden en mag maar
één standaard hebben. Stel bijvoorbeeld dat
/usr een enkel bestandssysteem is. Dan is
de volgende /etc/exports niet
valide:># Werkt niet als /usr 1 bestandssysteem is
/usr/src client
/usr/ports clientEén bestandssysteem, /usr,
heeft twee regels waarin exports naar dezelfde host worden
aangegeven, client. In deze situatie is de
juiste instelling:/usr/src /usr/ports clientDe eigenschappen van een bestandssysteem dat naar een
bepaalde host wordt geëxporteerd moeten allemaal op
één regel staan. Regels waarop geen client
wordt aangegeven worden behandeld als een enkele host. Dit
beperkt hoe bestandssysteem geëxporteerd kunnen worden,
maar dat blijkt meestal geen probleem.Het volgende voorbeeld is een valide exportlijst waar
/usr en /exports
lokale bestandssystemen zijn:# Export src and ports to client01 and client02, but only
# client01 has root privileges on it
/usr/src /usr/ports -maproot=root client01
/usr/src /usr/ports client02
# The client machines have root and can mount anywhere
# on /exports. Anyone in the world can mount /exports/obj read-only
/exports -alldirs -maproot=root client01 client02
/exports/obj -roAls /etc/exports wordt aangepast, moet
mountd herstart worden om de
wijzigingen actief te maken. Dat kan door een HUP signaal naar
het mountd proces te sturen:&prompt.root; kill -HUP `cat /var/run/mountd.pid`Het is ook mogelijk een machine te herstarten, zodat &os;
alles netjes in kan stellen, maar dat is niet nodig. Het
uitvoeren van de volgende commando's als
root hoort hezelfde resultaat te
hebben.Op de NFS server:&prompt.root; rpcbind
&prompt.root; nfsd -u -t -n 4
&prompt.root; mountd -rOp de NFS client:&prompt.root; nfsiod -n 4Nu is alles klaar om feitelijk het netwerkbestandssysteem
te mounten. In de volgende voorbeelden is de naam van de
server server en de naam van de client is
client. Om een netwerkbestandssysteem
slechts tijdelijk te mounten of om alleen te testen, kan een
commando als het onderstaande als root op
de client uitgevoerd worden:NFSmounten&prompt.root; mount server:/home /mntHiermee wordt de map /home op de
server gemount op /mnt op de client. Als
alles juist is ingesteld, zijn nu in /mnt
op de client de bestanden van de server zichtbaar.Om een netwerkbestandssysteem iedere keer als een computer
opstart te mounten, kan het bestandssysteem worden toegevoegd
aan /etc/fstab file:server:/home /mnt nfs rw 0 0Alle beschikbare opties staan in &man.fstab.5;.Mogelijkheden voor GebruikNFS is voor veel doeleinden in te
zetten. Een aantal voorbeelden:NFSgebruikEen aantal machines een CDROM of andere media laten
delen. Dat is goedkoper en vaak ook handiger, bijvoorbeeld
bij het installeren van software op meerdere
machines;Op grote netwerken kan het praktisch zijn om een
centrale NFS server in te richten,
waarop alle thuismappen staan. Die thuismappen kunnen dan
geëxporteerd worden, zodat gebruikers altijd
dezelfde thuismap hebben, op welk werkstation ze ook
aanmelden;Meerdere machines kunnen een gezamenlijke map
/usr/ports/distfiles hebben. Dan is
het mogelijk om een port op meerdere machines te
installeren, zonder op iedere machine de broncode te hoeven
downloaden.WylieStilwellGeschreven door ChernLeeHerschreven door Automatisch Mounten met
amdamdautomatic mounter daemon&man.amd.8; (de automatic mounter daemon) mount automatisch
netwerkbestandssystemen als er aan een bestand of map binnen
dat bestandssysteem wordt gerefereerd.
amd unmount ook bestandssystemen die
een bepaalde tijd niet gebruikt worden. Het gebruikt van
amd is een aantrekkelijk en
eenvoudig alternatief ten opzichte van permanente mounts,
die meestal in /etc/fstab staan.amd werkt door zichzelf als
NFS server te koppelen aan de mappen /host
en /net. Als binnen die mappen een
bestand wordt geraadpleegd, dan zoekt
amd de bijbehorende netwerkmount op
en mount die automatisch. /net wordt
gebruikt om een geëxporteerd bestandssysteem van een
IP adres te mounten, terwijl /host wordt
gebruikt om een geëxporteerd bestandssysteem van een
hostnaam te mounten.Het raadplegen van een bestand in
/host/foobar/usr geeft
amd aan dat die moet proberen de
/usr export op de host
foobar te mounten.Een Export Mounten met
amdDe beschikbare mounts van een netwerkhost zijn te
bekijken met showmount. Om bijvoorbeeld
de mounts van de host foobar te
bekijken:&prompt.user; showmount -e foobar
Exports list on foobar:
/usr 10.10.10.0
/a 10.10.10.0
&prompt.user; cd /host/foobar/usrZoals in het bovenstaande voorbeeld te zien is, toont
showmount/usr als een
export. Als er naar de map
/host/foobar/usr wordt gegaan, probeert
amd de hostnaam
foobar te resolven en de gewenste export
automatisch te mounten.amd kan gestart worden door de
opstartscript door de volgende regel in
/etc/rc.conf te plaatsen:amd_enable="YES"Er kunnen ook nog opties meegegeven worden aan
amd met de optie
amd_flags. Standaard staat
amd_flags ingesteld op:amd_flags="-a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map"In het bestand /etc/amd.map staan
de standaardinstellingen waarmee exports gemount worden. In
het bestand /etc/amd.conf staan een
aantal van de meer gevorderde instellingen van
amd.In &man.amd.8; en &man.amd.conf.5; staat meer
informatie.JohnLindGeschreven door Problemen bij Samenwerking met Andere SystemenBepaalde Ethernet adapters voor ISA PC systemen kennen
limieten die tot serieuze netwerkproblemen kunnen leiden, in
het bijzonder met NFS. Dit probleem is niet specifiek voor
&os;, maar het kan op &os; wel voor komen.Het probleem ontstaat bijna altijd als (&os;) PC systemen
netwerken met high-performance werkstations, zoals van Silicon
Graphics, Inc. en Sun Microsystems, Inc. De NFS mount werkt
prima en wellicht lukken een aantal acties ook, maar dan ineens
lijkt de server niet meer te reageren voor de client, hoewel
verzoeken van en naar andere systemen gewoon verwerkt worden.
Dit gebeurt op een clientsysteem, of de client nu het &os
systeem is of het werkstation. Op veel systemen is er geen
manier om de client netjes af te sluiten als dit probleem is
ontstaan. Vaak is de enige mogelijkheid een reset van de
client, omdat het probleem met NFS niet opgelost kan
worden.Hoewel de enige correcte oplossing de
aanschaf van een snellere en betere Ethernet adapter voor het
&os; systeem is, is er zo om het probleem heen te werken dat
het werkbaar is. Als &os; de server is,
kan de optie gebruikt worden bij het
mounten door de client. Als het &os; systeem de
client is, dan dient het NFS
bestandssysteem gemount te worden met de optie
. Deze opties kunnen het vierde
veld zijn in een regel in fstab voor
automatische mounts en bij handmatige mounts met &man.mount.8;
kan de parameter gebruikt worden.Soms wordt een ander probleem voor dit probleem versleten,
als servers en clients zich op verschillende netwerken
bevinden. Als dat het geval is, dan dient
vastgesteld te worden dat routers de
UDP informatie op de juiste wijze routeren,
omdat er anders nooit NFS verkeer gerouteerd kan worden.In de volgende voorbeelden is fastws de
host(interface)naam van een high-performance werkstation en
freebox is de host(interface)naam van een &os;
systeem met een Ehernet adapter die mindere prestaties levert.
/sharedfs wordt het geëxporteerde
NFS bestandssysteem (zie &man.exports.5;) en
/project wordt het mountpunt voor het
geëxporteerde bestandssysteem op de client.
In sommige gevallen kunnen applicaties beter draaien als
extra opties als of
en gebruikt
worden.Voorbeelden voor het &os; systeem
(freebox) als de client in
/etc/fstab op
freebox:fastws:/sharedfs /project nfs rw,-r=1024 0 0Als een handmatig mountcommando op
freebox:&prompt.root; mount -t nfs -o -r=1024 fastws:/sharedfs /projectVoorbeelden voor het &os; systeem als de server in
/etc/fstab op
fastws:freebox:/sharedfs /project nfs rw,-w=1024 0 0Als een handmatig mountcommando op
fastws:&prompt.root; mount -t nfs -o -w=1024 freebox:/sharedfs /projectBijna iedere 16–bit Ethernet adapter werkt zonder de
hierboven beschreven restricties op de lees- en
schrijfgrootte.Voor wie het wil weten wordt nu beschreven wat er gebeurt
als de fout ontstaan, wat ook duidelijk maakt waarom het niet
hersteld kan worden. NFS werkt meestal met een
blockgrootte van 8 K (hoewel het mogelijk
is dat er kleinere fragmenten worden verwerkt). Omdat de
maximale grootte van een Ethernet pakket rond de
1500 bytes ligt, wordt een block
opgesplitst in meerdere Ethernet pakketten, hoewel het hoger in
de code nog steeds één eenheid is, en wordt
ontvangen, samengevoegd en bevestigd
als een eenheid. De high-performance werkstations kunnen de
pakketten waaruit een NFS eenheid bestaat bijzonder snel naar
buiten pompen. Op de kaarten met minder capaciteit worden de
eerdere pakketten door de latere pakketten van dezelfde eenheid
ingehaald voordat ze bij die host zijn aangekomen en daarom kan
de eenheid niet worden samengesteld en bevestigd. Als gevolg
daarvan ontstaat er op het werkstation een time-out en probeert
die de eenheid opnieuw te sturen, maar dan weer de hele eenheid
van 8 K, waardoor het proces wordt herhaald, ad
infinitum.Door de grootte van de eenheid kleiner te houden dan de
grootte van een Ethernet pakket, is het zeker dat elk Ethernet
pakket dat compleet is aangekomen bevestigd kan worden, zodat
de deadlock niet ontstaat.Toch kan een PC systeem nog wel overrompeld worden als
high-performance werkstations er op inhakken, maar met de
betere netwerkkaarten valt het dan in ieder geval niet om door
de NFS eenheden. Als het systeem toch wordt
overrompeld, dan worden de betrokken eenheden opnieuw
verstuurd en dan is de kans groot dat ze worden ontvangen,
samengevoegd en bevestigd.BillSwingleGeschreven door EricOgrenVerbeterd door UdoErdelhoffNetwerkinformatiesysteem (NIS/YP)Wat Is Het?NISSolarisHP-UXAIXLinuxNetBSDOpenBSDNIS,
dat staat voor Netwerkinformatiediensten (Network Information
Services), is ontwikkeld door Sun Microsystems om het beheer
van &unix; (origineel &sunos;) systemen te centraliseren.
Tegenwoordig is het eigenlijk een industriestandaard geworden.
Alle grote &unix; achtige systemen (&solaris;, HP-UX, &aix;,
&linux;, NetBSD, OpenBSD, &os;, enzovoort) ondersteunen
NIS.yellow pagesNISNIS
stond vroeger bekend als Yellow Pages, maar vanwege problemen
met het handelsmerk heeft Sun de naam veranderd. De oude term,
en yp, wordt nog steeds vaak gebruikt.NISdomeinenHet is een op RPC gebaseerd client/server systeem waarmee
een groep machines binnen een NIS domein een gezamenlijke set
met instellingenbestanden kan delen. Hierdoor kan een
beheerder NIS systemen opzetten met een minimaal aantal
instellingen en vanaf een centrale lokatie instellingen
toevoegen, verwijderen en wijzigen.Windows NTHet is te vergelijken met het &windowsnt; domeinsysteem en
hoewel de interne implementatie van de twee helemaal niet
overeenkomt, is de basisfunctionaliteit vergelijkbaar.Termen en Processen om te OnthoudenEr zijn een aantal termen en belangrijke
gebruikersprocessen die een rol spelen bij het implementeren
van NIS op &os;, zowel bij het maken van een NIS server als bij
het maken van een systeem dan NIS client is:rpcbindportmapTermBeschrijvingNIS domeinnaamEen NIS master server en al zijn clients
(inclusief zijn slave master) hebben een NIS
domeinnaan. Vergelijkbaar met een &windowsnt;
domeinnaam, maar de NIS domeinnaam heeft niets te maken
met DNS.rpcbindMoet draaien om RPC (Remote
Procedure Call in te schakelen, een netwerkprotocol dat
door NIS gebruikt wordt). Als
rpcbind niet draait, dan kan
een NIS server niet draaien en kan een machine ook geen
NIS client zijn (In &os; 4.X wordt
portmap in plaats van
rpcbind).ypbindVerbindt een NIS client aan zijn
NIS server. Dat gebeurt door met de NIS domeinnaam van
het systeem en door het gebruik van RPC
te verbinden met de server.
ypbind is de kern van
client-server communicatie in een NIS omgeving. Als
ypbind op een machine
stopt, dan kan die niet meer bij de NIS server
komen.ypservHoort alleen te draaien op NIS servers. Dit is
het NIS server proces zelf. Als &man.ypserv.8; stopt,
dan kan de server niet langer reageren op NIS
verzoeken (hopelijk is er dan een slave server om het
over te nemen). Er zijn een aantal implementaties van
NIS, maar niet die op &os;, die geen verbinding met
een andere server proberen te maken als de server
waarmee ze verbonden waren niet meer reageert. In dat
geval is vaak het enige dat werkt het server proces
herstarten (of zelfs de hele server) of het
ypbind proces op de
client.rpc.yppasswddNog een proces dat alleen op NIS master servers
hoort te draaien. Dit is een daemon waarbij NIS
clients hun NIS wachtwoorden kunnen wijzigen. Als deze
daemon niet draait, moeten gebruikers aanmelden op de
NIS master server en daar hun wachtwoord wijzigen.Hoe Werkt Het?Er zijn drie typen hosts in een NIS omgeving: master
servers, slave servers en clients. Servers zijn het centrale
depot voor instellingen voor een host. Master servers
bevatten de geauthoriseerd kopie van die informatie, terwijl
slave servers die informatie spiegelen voor redundantie.
Clients verlaten zich op de servers om hun die informatie ter
beschikking te stellen.Op deze manier kan informatie uit veel bestanden gedeeld
worden. De bestanden master.passwd,
group en hosts
worden meestal via NIS gedeeld. Als een proces op een client
informatie nodig heeft die normaliter in een van die lokale
bestanden staat, dan vraagt die het in plaats daarvan aan
de NIS servers waarmee hij verbonden is.Soorten MachinesNISmaster serverEen NIS master server. Deze
server onderhoudt, analoog aan een &windowsnt; primary
domain controller, de bestanden die door alle NIS clients
gebruikt worden. De bestanden
passwd, group
en andere bestanden die door de NIS clients gebruikt
worden staan op de master server.Het is mogelijk om één machine master
server te laten zijn voor meerdere NIS domeinen. Dat
wordt in deze inleiding echter niet beschreven, omdat
die uitgaat van een relatief kleine omgeving.NISslave serverNIS slave servers. Deze zijn
te vergelijken met &windowsnt; backup domain controllers.
NIS slave servers beheren een kopie van de bestanden met
gegevens op de NIS master. NIS slave servers bieden
redundantie, die nodig is in belangrijke omgevingen. Ze
helpen ook om de belasting te verdelen met de master
server: NIS client maken altijd een verbinding met de NIS
server die het eerst reageert en dat geldt ook voor
antwoorden van slave servers.NISclientNIS clients. NIS clients
authenticeren, net als de meeste &windowsnt;
werkstations, tegen de NIS server (of de &windowsnt;
domain controller in het geval van &windowsnt;
werkstations) bij het aanmelden.NIS/YP GebruikenDit onderdeel behandelt het opzetten van een
NIS voorbeeldomgeving.Dit onderdeel veronderstelt dat &os; 3.3 of later
draait. De nu volgende instructies werken
waarschijnlijk voor iedere versie van
&os; hoger dan 3.0, maar dat hoeft niet waar te zijn.PlannenEr wordt uitgegaan van een beheerder van een klein
universiteitslab. Dat lab, dat bestaat uit &os; machines,
kent op dit moment geen centraal beheer. Iedere machine
heeft zijn eigen /etc/passwd en
/etc/master.passwd. Die bestanden
worden alleen met elkaar in lijn gehouden door handmatige
handelingen. Als er op dit moment een gebruiker aan het lab
wordt toegevoegd, moet adduser op alle 15
machines gedraaid worden. Dat moet natuurlijk veranderen en
daarom is besloten het lab in te richten met NIS, waarbij
twee machines als server worden gebruikt.Het lab ziet er ongeveer als volgt uit:MachinenaamIP adresRol Machineellington10.0.0.2NIS mastercoltrane10.0.0.3NIS slavebasie10.0.0.4Wetenschappelijk werkstationbird10.0.0.5Client machinecli[1-11]10.0.0.[6-17]Andere client machinesBij het voor de eerste keer instellen van een NIS schema
is het verstandig eerst na te denken over hoe dat opgezet
moet worden. Hoe groot een netwerk ook is, er moeten een
aantal beslissingen gemaakt worden.Een NIS Domeinnaam KiezenNISdomeinnaamDit is wellicht niet de bekende
domeinnaam. Daarom wordt het ook de
NIS domeinnaam genoemd. Bij de broadcast
van een client om informatie wordt ook de naam van het NIS
domein waar hij onderdeel van uitmaakt meegezonden. Zo
kunnen meerdere servers op een netwerk bepalen of er
antwoord gegeven dient te worden op een verzoek. De NIS
domeinnaam is kan voorgesteld worden als de naam van een
groep hosts op op een of andere manier aan elkaar
gerelateerd zijn.Sommige organisaties kiezen hun internet domeinnaam als
NIS domeinnaam. Dat wordt niet aangeraden omdat het voor
verwarring kan zorgen bij het debuggen van
netwerkproblemen. De NIS domeinnaam moet uniek zijn binnen
een netwerk en het is handig als die de groep machines
beschrijft waarvoor hij geldt. Zo kan bijvoorbeeld de
Financiële afdeling van Acme Inc. als NIS domeinnaam
acme-fin hebben. In dit voorbeeld wordt
de naam test-domain gekozen.SunOSSommige besturingssystemen gebruiken echter (met name
&sunos;) hun NIS domeinnaam als hun internet domeinnaam.
Als er machines zijn op een netwerk die deze restrictie
kennen, dan moet de internet
domeinnaam als de naam voor het NIS domainnaam gekozen
worden.SysteemeisenBij het kiezen van een machine die als NIS server wordt
gebruikt zijn er een aantal aandachtspunten. Een van de
onhandige dingen aan NIS is de afhankelijkheid van de
clients van de server. Als een client de server voor zijn
NIS domein niet kan bereiken, dan wordt die machine vaak
onbruikbaar. Door het gebrek aan gebruiker- en
groepsinformatie bevriezen de meeste systemen. Daarom moet
er een machine gekozen worden die niet vaak herstart hoeft
te worden of wordt gebruikt voor ontwikkeling. De NIS
server is in het meest ideale geval een alleenstaande
server die als enige doel heeft NIS server te zijn. Als
een netwerk niet zwaar wordt gebruikt, kan de NIS server op
een machine die ook andere diensten aanbiedt gezet worden,
maar het blijft belangrijk om ervan bewust te zijn dat als
de NIS server niet beschikbaar is, dat nadelige invloed
heeft op alle NIS clients.NIS ServersDe hoofdversies van alle NIS informatie staan opgeslagen
op één machine die de NIS master server heet.
De databases waarin de informatie wordt opgeslagen heten NIS
maps. In &os; worden die maps opgeslagen in
/var/yp/[domainnaam] waar
[domeinnaam] de naam is van het NIS
domein dat wordt bediend. Een enkele NIS server kan
tegelijkertijd meerdere NIS domeinen ondersteunen en het is
dus mogelijk dat er meerdere van zulke mappen zijn, een voor
ieder ondersteund domein. Ieder domein heeft zijn eigen
onafhankelijke set maps.In NIS master en slave servers worden alle NIS verzoeken
door de ypserv daemon afgehandeld.
ypserv is verantwoordelijk voor het
ontvangen van inkomende verzoeken van NIS clients, het
vertalen van de gevraagde domeinnaam en mapnaam naar een pad
naar het corresponderende databasebestand en het terugsturen
van de database naar de client.Een NIS Master Server OpzettenNISserver opzettenHet opzetten van een master NIS server kan erg
eenvoudig zijn, afhankelijk van de behoeften. &os; heeft
ondersteuning voor NIS als basisfunctie. Alleen de
volgende regels hoeven aan
/etc/rc.conf toegevoegd te worden en
&os; doet de rest:nisdomainname="test-domain"
Deze regel stelt de NIS domainnaam in op
test-domain bij het instellen van
het netwerk (bij het opstarten).nis_server_enable="YES"
Dit geeft &os; aan de NIS server processen te starten
als het netwerk de volgende keer wordt
opgestart.nis_yppasswdd_enable="YES"
Dit schakelt de dameon rpc.yppasswdd
in die, zoals al eerder aangegeven, clients toestaat
om hun NIS wachtwoord vanaf een client machine te
wijzigen.Afhankelijk van de inrichting van NIS, kunnen er nog
meer instellingen nodig zijn. In het onderdeel NIS Servers die
ook NIS Clients Zijn staan meer details.Nu hoeft alleen /etc/netstart als
superuser uitgevoerd te worden. Dat stelt alles in met
gebruikmaking van de waarden uit
/etc/rc.conf.NIS Maps InitialiserenNISmapsDie NIS maps zijn
databasebestanden die in de map
/var/yp staan. Ze worden gemaakt uit
de bestanden met instellingen uit de map
/etc van de NIS master, met
één uitzondering:
/etc/master.passwd. Daar is een goede
reden voor, want het is niet wenselijk om de wachtwoorden
voor root en andere administratieve
accounts naar alle servers in het NIS domein te sturen.
Daar moet voor het initialiseren van de NIS maps het
volgende uitgevoerd worden:&prompt.root; cp /etc/master.passwd /var/yp/master.passwd
&prompt.root; cd /var/yp
&prompt.root; vi master.passwdDan horen alle systeemaccounts verwijderd te worden
(bin, tty,
kmem, games,
enzovoort) en alle overige accounts waarvoor het niet
wenselijk is dat ze op de NIS clients terecht komen
(bijvoorbeeld root en alle andere UID
0 (superuser) accounts)./var/yp/master.passwd hoort niet
te lezen te zijn voor een groep of voor de wereld (dus
modus 600)! Voor het aanpassen van de rechten kan
chmod gebruikt worden.Tru64 UNIXAls dat is gedaan, kunnen de NIS maps
geïnitialiseerd worden. Bij &os; zit een script
ypinit waarmee dit kan (in de hulppagina
staat meer informatie). Dit script is beschikbaar op de
meeste &unix; besturingssystemen, maar niet op allemaal.
Op Digital UNIX/Compaq Tru64 UNIX heet het
ypsetup. Omdat er maps voor een NIS
master worden gemaakt, wordt de optie
meegegeven aan
ypinit. Aangenomen dat de voorgaande
stappen zijn uitgevoerd, kunnen de NIS maps gemaakt worden
op de volgende manier:ellington&prompt.root; ypinit -m test-domain
Server Type: MASTER Domain: test-domain
Creating an YP server will require that you answer a few questions.
Questions will all be asked at the beginning of the procedure.
Do you want this procedure to quit on non-fatal errors? [y/n: n] n
Ok, please remember to go back and redo manually whatever fails.
If you don't, something might not work.
At this point, we have to construct a list of this domains YP servers.
rod.darktech.org is already known as master server.
Please continue to add any slave servers, one per line. When you are
done with the list, type a <control D>.
master server : ellington
next host to add: coltrane
next host to add: ^D
The current list of NIS servers looks like this:
ellington
coltrane
Is this correct? [y/n: y] y
[..uitvoer van het maken van de maps..]
NIS Map update completed.
ellington has been setup as an YP master server without any errors.ypinit hoort
/var/yp/Makefile gemaakt te hebben uit
/var/yp/Makefile.dist. Als dit
bestand is gemaakt, neemt dat bestand aan dat er in een
omgeving met een enkele NIS server wordt gewerkt met alleen
&os; machines. Omdat test-domain ook
een slave server bevat, dient
/var/yp/Makefile gewijzigd te
worden:ellington&prompt.root; vi /var/yp/MakefileAls de onderstaande regel niet al uitgecommentarieerd
is, dient dat alsnog te gebeuren:NOPUSH = "True"Een NIS Slave Server OpzettenNISslave serverHet opzetten van een NIS slave server is nog
makkelijker dan het opzetten van de master. Dit kan door
aan te melden op de slave server en net als voor de master
server /etc/rc.conf te wijzigen. Het
enige verschil is dat nu de optie
gebruikt wordt voor het draaien van
ypinit. Met de optie
moet ook de naam van de NIS
master meegegven worden. Het commando ziet er dus als
volgt uit:coltrane&prompt.root; ypinit -s ellington test-domain
Server Type: SLAVE Domain: test-domain Master: ellington
Creating an YP server will require that you answer a few questions.
Questions will all be asked at the beginning of the procedure.
Do you want this procedure to quit on non-fatal errors? [y/n: n] n
Ok, please remember to go back and redo manually whatever fails.
If you don't, something might not work.
There will be no further questions. The remainder of the procedure
should take a few minutes, to copy the databases from ellington.
Transferring netgroup...
ypxfr: Exiting: Map successfully transferred
Transferring netgroup.byuser...
ypxfr: Exiting: Map successfully transferred
Transferring netgroup.byhost...
ypxfr: Exiting: Map successfully transferred
Transferring master.passwd.byuid...
ypxfr: Exiting: Map successfully transferred
Transferring passwd.byuid...
ypxfr: Exiting: Map successfully transferred
Transferring passwd.byname...
ypxfr: Exiting: Map successfully transferred
Transferring group.bygid...
ypxfr: Exiting: Map successfully transferred
Transferring group.byname...
ypxfr: Exiting: Map successfully transferred
Transferring services.byname...
ypxfr: Exiting: Map successfully transferred
Transferring rpc.bynumber...
ypxfr: Exiting: Map successfully transferred
Transferring rpc.byname...
ypxfr: Exiting: Map successfully transferred
Transferring protocols.byname...
ypxfr: Exiting: Map successfully transferred
Transferring master.passwd.byname...
ypxfr: Exiting: Map successfully transferred
Transferring networks.byname...
ypxfr: Exiting: Map successfully transferred
Transferring networks.byaddr...
ypxfr: Exiting: Map successfully transferred
Transferring netid.byname...
ypxfr: Exiting: Map successfully transferred
Transferring hosts.byaddr...
ypxfr: Exiting: Map successfully transferred
Transferring protocols.bynumber...
ypxfr: Exiting: Map successfully transferred
Transferring ypservers...
ypxfr: Exiting: Map successfully transferred
Transferring hosts.byname...
ypxfr: Exiting: Map successfully transferred
coltrane has been setup as an YP slave server without any errors.
Don't forget to update map ypservers on ellington.Nu hoort er een map
/var/yp/test-domain te zijn waarin
kopieë van de NIS master server maps staan. Die
moeten bijgewerkt blijven. De volgende regel in
/etc/crontab op de slave servers
regelt dat:20 * * * * root /usr/libexec/ypxfr passwd.byname
21 * * * * root /usr/libexec/ypxfr passwd.byuidMet de bovenstaande twee regels wordt de slave
gedwongen zijn maps met de maps op de master server te
synchroniseren. Hoewel dit niet verplicht is, omdat de
master server probeert veranderingen aan de NIS maps door
te geven aan zijn slaves, is het wel verstandig om een
slave tot bijwerken te dwingen, omdat wachtwoordinformatie
van vitaal belang is voor systemen die van de server
afhankelijk zijn. Dit is des te belangrijker op drukke
netwerken, omdat daar het bijwerken van maps niet altijd
compleet afgehandeld hoeft te worden.Nu kan ook op de slave server het commando
/etc/netstart uitgevoerd worden, dat op
zijn beurt de NIS server start.NIS ClientsEen NIS client maakt wat heet een verbinding (binding)
met een NIS server met de ypbind daemon.
ypbind controleert het standaarddomein van
het systeem (zoals ingesteld met
domainname) en begint met het broadcasten
van RPC verzoeken op het lokale netwerk. Die verzoeken
bevatten de naam van het domein waarvoor
ypbind een binding probeert te maken. Als
een server die is ingesteld om het gevraagde domein te
bedienen een broadcast ontvangt, dan antwoordt die aan
ypbind dat dan het IP adres van de server
opslaat. Als er meerdere servers beschikbaar zijn, een
master en bijvoorbeeld meerdere slaves, dan gebruikt
ypbind het adres van de eerste server die
antwoord geeft. Vanaf dat moment stuurt de client alle NIS
verzoeken naar die server. ypbindpingt de server zo nu en dan om te controleren
of die nog draait. Als er na een bepaalde tijd geen antwoord
komt op een ping, dan markeert ypbind het
domein als niet verbonden en begint het broadcasten opnieuw,
in de hoop dat er een andere server wordt
gelocaliseerd.Een NIS Client OpzettenNISclient instellenHet opzetten van een &os; machine als NIS client is
redelijk doorzichtig:Wijzig /etc/rc.conf en voeg de
volgende regels toe om de NIS domeinnaam in te stellen
en ypbind mee te laten starten bij
het starten van het netwerk:nisdomainname="test-domain"
nis_client_enable="YES"Om alle mogelijke regels voor accounts uit de NIS
server te halen, dienen alle gebruikersaccounts uit
/etc/master.passwd verwijderd te
worden en dient met vipw de volgende
regel aan het einde van het bestand geplaatst te
worden:+:::::::::Door deze regel wordt alle geldige accounts
in de password map van de NIS server toegang gegeven.
Er zijn veel manieren om de NIS client in te stellen
door deze regel te veranderen. In het onderdeel
netgroups
hieronder staat meer informatie. Zeer gedetailleerde
informatie staat in het boek NFS en NIS
beheren van O'Reilly.Er moet tenminste één lokale
account behouden blijven (dus niet geïmporteerd
via NIS) in /etc/master.passwd
en die hoort ook lid te zijn van de groep
wheel. Als er iets mis is met
NIS, dan kan die account gebruikt worden om via het
netwerk aan te melden, root te
worden en het systeem te repareren.Om alle groepen van de NIS server te importeren,
kan de volgende regel aan
/etc/group toegevoegd
worden:+:*::Na het afronden van deze stappen zou met ypcat
passwd de passwd map van de NIS server te zien
moeten zijn.NIS BeveiligingIn het algemeen kan iedere netwerkgebruiker een RPC verzoek
doen uitgaan naar &man.ypserv.8; en de inhoud van de NIS maps
ontvangen, mits die gebruiker de domeinnaam kent. Omdat soort
ongeautoriseerde transacties te voorkomen, ondersteunt
&man.ypserv.8; de optie securenets, die gebruikt
kan worden om de toegang te beperken tot een opgegeven aantal
hosts. Bij het opstarten probeert&man.ypserv.8; de securenets
informatie te laden uit het bestand
/var/yp/securenets.Dit pad kan verschillen, afhankelijk van het pad dat
opgegeven is met de optie . Dit
bestand bevat regels die bestaan uit een netwerkspecificatie
en een netwerkmasker, gescheiden door witruimte. Regels die
beginnen met # worden als commentaar
gezien. Een voorbeeld van een securenetsbestand zou er zo
uit kunnen zien:# allow connections from local host -- mandatory
127.0.0.1 255.255.255.255
# allow connections from any host
# on the 192.168.128.0 network
192.168.128.0 255.255.255.0
# allow connections from any host
# between 10.0.0.0 to 10.0.15.255
# this includes the machines in the testlab
10.0.0.0 255.255.240.0Als &man.ypserv.8; een verzoek ontvangt van een adres dat
overeenkomt met een van de bovenstaande regels, dan wordt dat
verzoek normaal verwerkt. Als er geen enkele regel op het
verzoek van toepassing is, dan wordt het verzoek genegeerd en
wordt er een waarschuwing gelogd. Als het bestand
/var/yp/securenets niet bestaat, dan
accepteert ypserv verbindingen van iedere
host.Het programma ypserv ondersteunt ook
- het pakket tcpwrapper van Wietse
+ het pakket TCP Wrapper van Wietse
Venema. Daardoor kan een beheerder de instellingenbestanden
- van tcpwrapper gebruiken voor
+ van TCP Wrapper gebruiken voor
toegangsbeperking in plaats van
/var/yp/securenets.Hoewel beide methoden van toegangscontrole enige vorm van
beveiliging bieden, zijn ze net als de privileged port test
kwetsbaar voor IP spoofing aanvallen. Al het
NIS gerelateerde verkeer hoort door een firewall
tegengehouden te worden.Servers die gebruik maken van
/var/yp/securenets kunnen wellicht
legitieme verzoeken van NIS clients weigeren als die gebruik
maken van erg oude TCP/IP implementaties. Sommige van die
implementaties zetten alle host bits op nul als ze een
broadcast doen en/of kijken niet naar het subnetmasker als ze
het broadcastadres berekenen. Hoewel sommige van die
problemen opgelost kunnen worden door de instellingen op de
client aan te passen, zorgen andere problemen voor het
noodgedwongen niet langer kunnen gebruiker van NIS voor die
client of het niet langer gebruiken van
/var/yp/securenets.Het gebruik van /var/yp/securenets
op een server met zo'n oude implementatie van TCP/IP is echt
een slecht idee en zal leiden tot verlies van NIS
functionaliteit voor grote delen van een netwerk.tcpwrapper
- Het gebruik van het tcpwrapper
- pakket leidt tot langere wachttijden op de NIS server. De
- extra vertraging kan net lang genoeg zijn om een timeout te
- veroorzaken in clientprogramma's, in het bijzonder als het
- netwerk druk is of de NIS server traag is. Als een of meer
- clients last hebben van dat symptoom, dan is het verstandig
- om de clientsystemen in kwestie NIS slave server te maken en
- naar zichzelf te laten wijzen.
+ Het gebruik van het TCP
+ Wrapper pakket leidt tot langere wachttijden
+ op de NIS server. De extra vertraging kan net lang genoeg
+ zijn om een timeout te veroorzaken in clientprogramma's, in
+ het bijzonder als het netwerk druk is of de NIS server traag
+ is. Als een of meer clients last hebben van dat symptoom,
+ dan is het verstandig om de clientsystemen in kwestie NIS
+ slave server te maken en naar zichzelf te laten
+ wijzen.Aanmelden voor Bepaalde Gebruiker BlokkerenIn het lab staat de machine basie, die
alleen faculteitswerkstation hoort te zijn. Het is niet
gewenst die machine uit het NIS domein te halen, maar het
passwd bestand op de master NIS server
bevat nu eenmaal accounts voor zowel de faculteit als de
studenten. Hoe kan dat opgelost worden?Er is een manier om het aanmelden van specifieke gebruikers
op een machine te weigeren, zelfs als ze in de NIS database
staan. Daarvoor hoeft er alleen maar
–username
aan het einde van /etc/master.passwd op de
client machine toegevoegd te worden, waar
username de gebruikersnaam van de
gebruiker die niet mag aanmelden is. Dit gebeurt bij voorkeur
met vipw, omdat vipw
de wijzigingen aan /etc/master.passwd
controleert en ook de wachtwoord database opnieuw bouwt na
het wijzigen. Om bijvoorbeeld de gebruiker
bill aan te kunnen laten aanmelden op
basie:basie&prompt.root; vipw[add -bill to the end, exit]
vipw: rebuilding the database...
vipw: done
basie&prompt.root; cat /etc/master.passwd
root:[password]:0:0::0:0:The super-user:/root:/bin/csh
toor:[password]:0:0::0:0:The other super-user:/root:/bin/sh
daemon:*:1:1::0:0:Owner of many system processes:/root:/sbin/nologin
operator:*:2:5::0:0:System &:/:/sbin/nologin
bin:*:3:7::0:0:Binaries Commands and Source,,,:/:/sbin/nologin
tty:*:4:65533::0:0:Tty Sandbox:/:/sbin/nologin
kmem:*:5:65533::0:0:KMem Sandbox:/:/sbin/nologin
games:*:7:13::0:0:Games pseudo-user:/usr/games:/sbin/nologin
news:*:8:8::0:0:News Subsystem:/:/sbin/nologin
man:*:9:9::0:0:Mister Man Pages:/usr/share/man:/sbin/nologin
bind:*:53:53::0:0:Bind Sandbox:/:/sbin/nologin
uucp:*:66:66::0:0:UUCP pseudo-user:/var/spool/uucppublic:/usr/libexec/uucp/uucico
xten:*:67:67::0:0:X-10 daemon:/usr/local/xten:/sbin/nologin
pop:*:68:6::0:0:Post Office Owner:/nonexistent:/sbin/nologin
nobody:*:65534:65534::0:0:Unprivileged user:/nonexistent:/sbin/nologin
+:::::::::
-bill
basie&prompt.root;UdoErdelhoffGeschreven door Netgroups GebruikennetgroupsDe methode uit het vorige onderdeel werkt prima als er maar
voor een beperkt aantal gebruikers en/of machines speciale
regels nodig zijn. Op grotere netwerken
gebeurt het gewoon dat er wordt vergeten
om een aantal gebruikers de aanmeldrechten op gevoelige
machines te ontnemen of dat zelfs iedere individuele machine
aangepast moet worden, waardoor het voordeel van NIS teniet
wordt gedaan: centraal beheren.De ontwikkelaars van NIS hebben dit probleem opgelost met
netgroups. Het doel en de semantiek
kunnen vergeleken worden met de normale groepen die gebruikt
worden op &unix; bestandssystemen. De belangrijkste
verschillen zijn de afwezigheid van een numeriek ID en de
mogelijkheid om een netgroup aan te maken die zowel gebruikers
als andere netgroups bevat.Netgroups zijn ontwikkeld om gebruikt te worden voor grote,
complexe netwerken met honderden gebruikers en machines. Aan
de ene kant is dat iets Goeds. Aan de andere kant is het wel
complex en bijna onmogelijk om netgroups met een paar
eenvoudige voorbeelden uit te leggen. Dat probleem wordt in de
rest van dit onderdeel duidelijk gemaakt.Stel dat de succesvolle implementatie van NIS in het lab
de interesse heeft gewekt van een centrale beheerclub. De
volgende taak is het uitbreiden van het NIS domein met een
aantal andere machines op de campus. De onderstaande twee
tabellen bevatten de namen van de nieuwe gebruikers en de
nieuwe machines met een korte beschijving.Gebruikersna(a)m(en)Beschrijvingalpha,
betaGewone medewerkers van de IT afdelingcharlie,
deltaJunior medewerkers van de IT afdelingecho,
foxtrott,
golf, ...Gewone medewerkersable,
baker, ...StagiairsMachinena(a)m(en)Beschrijvingwar, death,
famine,
pollutionDe belangrijkste servers. Alleen senior
medewerkers van de IT afdeling mogen hierop
aanmelden.pride, greed,
envy, wrath,
lust, slothMinder belangrijke servers. Alle leden van
de IT afdeling mogen aanmelden op deze
machines.one, two,
three, four,
...Gewone werkstations. Alleen
echte medewerkers mogen op deze
machines aanmelden.trashcanEen erg oude machine zonder kritische data. Zelfs
de stagiair mag deze doos gebruiken.Als deze restricties ingevoerd worden door iedere gebruiker
afzonderlijk te blokkeren, dan wordt er een
-user regel per
systeem toegevoegd aan de passwd voor
iedere gebruiker die niet mag aanmelden op dat systeem. Als
er maar één regel wordt vergeten, kan dat een
probleem opleveren. Wellicht lukt het nog dit juist in te
stellen bij de bouw van een machine, maar het wordt
echt vergeten de regels toe te voegen voor
nieuwe gebruikers in de produktiegase. Murphy was tenslotte
een optimist.Het gebruik van netgroups biedt in deze situatie een aantal
voordelen. Niet iedere gebruiker hoeft separaat afgehandeld te
worden. Een gebruik kan aan een of meer groepen worden
toegevoegd en aanmelden kan voor alle leden van zo'n groep
worden toegestaan of geweigerd. Als er een nieuwe machine
wordt toegevoegd, dan hoeven alleen de aanmeldrestricties voor
de netgroups te worden ingesteld. Als er een nieuwe gebruiker
wordt toegevoegd, dan hoeft die alleen maar aan de juiste
netgroups te worden toegevoegd. Die veranderingen zijn
niet van elkaar afhankelijk: geen voor iedere combinatie
van gebruiker en machine moet het volgende .... Als
de NIS opzet zorgvuldig is gepland, dan hoeft er maar
één instellingenbestand gewijzigd te worden om
toegang tot machines te geven of te ontnemen.De eerst stap is het initialiseren van de NIS map netgroup.
&man.ypinit.8; van &os; maakt deze map niet standaard, maar als
die is gemaakt, ondersteunt de NIS implementatie hem wel. Een
lege map wordt als volgt gemaakt:ellington&prompt.root; vi /var/yp/netgroupNu kan hij gevuld worden. In het gebruikte voorbeeld zijn
tenminste vier netgroups: IT medewerkers, IT junioren, gewone
medewerkers en stagiars.IT_MW (,alpha,test-domain) (,beta,test-domain)
IT_APP (,charlie,test-domain) (,delta,test-domain)
USERS (,echo,test-domain) (,foxtrott,test-domain) \
(,golf,test-domain)
STAGS (,able,test-domain) (,baker,test-domain)IT_MW, IT_APP
enzovoort, zijn de namen van de netgroups. Iedere groep tussen
haakjes bevat een of meer gebruikersnamen voor die groep. De
drie velden binnen een groep zijn:De na(a)m(en) van de host(s) waar de volgende
onderdelen geldig zijn. Als er geen hostnaam wordt
opgegeven dan is de regel geldig voor alle hosts. Als er
wel een hostnaam wordt opgegeven, dan wordt een donker,
spookachtig en verwarrend domein betreden.De naam van de account die bij deze netgroup
hoort.Het NIS domein voor de account. Er kunnen accounts
uit andere NIS domeinen geïmporteerd worden in een
netgroup als een beheerder zo ongelukkig is meerdere
NIS domeinen te hebben.Al deze velden kunnen jokerkarakters bevatten. Details
daarover staan in &man.netgroup.5;.netgroupsDe naam van een netgroup mag niet langer zijn dan acht
karakters, zeker niet als er andere besturingssystemen binnen
een NIS domein worden gebruikt. De namen zijn
hoofdlettergevoelig: alleen hoofdletters gebruiken voor de
namen van netgroups is een makkelijke manier om onderscheid
te kunnen maken tussen gebruikers-, machine- en
netgroupnamen.Sommige NIS clients (andere dan die op &os; draaien)
kunnen niet omgaan met netgroups met veel leden. Sommige
oudere versies van &sunos; gaan bijvoorbeeld lastig doen als
een netgroup meer dan 15 leden heeft.
Dit kan omzeild worden door meerdere sub-netgroups te maken
met 15 gebruikers of minder en een echte netgroup die de
sub-netgroups bevat:BIGGRP1 (,joe1,domain) (,joe2,domain) (,joe3,domain) [...]
BIGGRP2 (,joe16,domain) (,joe17,domain) [...]
BIGGRP3 (,joe31,domain) (,joe32,domain)
BIGGROUP BIGGRP1 BIGGRP2 BIGGRP3Dit proces kan herhaald worden als er meer dan 225
gebruikers in een netgroup moeten.Het activeren en distribueren van de nieuwe NIS map is
eenvoudig:ellington&prompt.root; cd /var/yp
ellington&prompt.root; makeHiermee worden drie nieuwe NIS maps gemaakt:
netgroup,
netgroup.byhost en
netgroup.byuser. Met &man.ypcat.1; kan
bekeken worden op de nieuwe NIS maps beschikbaar zijn:ellington&prompt.user; ypcat -k netgroup
ellington&prompt.user; ypcat -k netgroup.byhost
ellington&prompt.user; ypcat -k netgroup.byuserDe uitvoer van het eerste commando hoort te lijken op de
inhoud van /var/yp/netgroup. Het tweede
commando geeft geen uitvoer als er geen host-specifieke
netgroups zijn ingesteld. Het derde commando kan gebruikt
worden om een lijst van netgroups voor een gebruiker op te
vragen.Het instellen van de client is redelijk eenvoudig. Om de
server war in te stellen hoeft alleen met
&man.vipw.8; de volgende regel in de regel daarna vervangen te
worden:+:::::::::Vervang de bovenstaande regel in de onderstaande.+@IT_MW:::::::::Nu worden alleen de gebruikers die in de netgroup
IT_MW geïmporteerd in de wachtwoord
database van de host war, zodat alleen die
gebruikers kunnen aanmelden.Helaas zijn deze beperkingen ook van toepassing op de
functie ~ van de shell en alle routines
waarmee tussen gebruikersnamen en numerieke gebruikers ID's
wordt gewisseld. Met andere woorden: cd
~user werkt niet,
ls –l toont het numerieke ID in plaats
van de gebruikersnaam en find . –user joe
–print faalt met de foutmelding No
such user. Om dit te repareren moeten alle
gebruikers geïmporteerd worden, zonder ze het
recht te geven aan te melden op een server.Dit kan gedaan worden door nog een regel aan
/etc/master.passwd toe te voegen:+:::::::::/sbin/nologinDit betekent importeer alle gebruikers, maar vervang
de shell door /sbin/nologin.
Ieder veld in een passwd regel kan door een
standaardwaarde vervangen worden in
/etc/master.passwd.De regel +:::::::::/sbin/nologin moet
na +@IT_MW::::::::: komen. Anders krijgen
alle gebruikers die uit NIS komen
/sbin/nologin als aanmeldshell.Na deze wijziging hoeft er nog maar één NIS
map gewijzigd te worden als er een nieuwe medewerker komt bij
de IT afdeling. Dezelfde aanpak kan gebruikt worden voor de
minder belangrijke servers door de oude regel
+::::::::: in de lokale versie van
/etc/master.passwd door iets als het
volgende te vervangen:+@IT_MW:::::::::
+@IT_APP:::::::::
+:::::::::/sbin/nologinVoor normale werkstations zijn het de volgende
regels:+@IT_MW:::::::::
+@USERS:::::::::
+:::::::::/sbin/nologinEn dat zou allemaal leuk en aardig zijn als er niet na een
paar weken een beleidsverandering komt: de IT afdeling gaat
stagiairs aannemen. De IT stagiairs mogen de normale
werkstations en de minder belangrijke servers gebruiken en de
junior beheerders mogen gaan aanmelden op de hoofdservers. Dat
kan door een nieuwe groep IT_STAG te maken
en de nieuwe IT stagiairs toe te voegen aan die netgroup en dan
de instellingen op iedere machine te gaan veranderen. Maar
zoals het spreekwoord zegt: Fouten in een centrale
planning leiden tot complete chaos.Deze situaties kunnen voorkomen worden door gebruik te
maken van de mogelijkheid in NIS om netgroups in netgroups op
te nemen. Het is mogelijk om rol-gebaseerde netgroups te
maken. Er kan bijvoorbeeld een netgroup
BIGSRV gemaakt worden om het aanmelden op de
belangrijke servers te beperken en er kan een andere netgroup
SMALLSRV voor de minder belangrijke servers
zijn en een derde netgroup met de naam
USERBOX voor de normale werkstations. Al
die netgroups kunnen de netgroups bevatten die op die machines
mogen aanmelden. De nieuwe regels in de NIS map netgroup zien
er dan zo uit:BIGSRV IT_MW IT_APP
SMALLSRV IT_MW IT_APP ITSTAG
USERBOX IT_MW ITSTAG USERSDeze methode voor het instellen van aanmeldbeperkingen
werkt redelijk goed als er groepen van machines gemaakt kunnen
worden met identieke beperkingen. Helaas blijkt dat eerder
uitzondering dan regel. Meestal moet het mogelijk zijn om per
machine in te stellen wie wel en wie niet mogen
aanmelden.Daarom is het ook mogelijk om via machine-specifieke
netgroups de hierboven aangegeven beleidswijziging op te
vangen. In dat scenario bevat
/etc/master.passwd op iedere machine twee
regels die met + beginnen. De eerste voegt de
netgroup toe met de accounts die op de machine mogen aanmelden
en de tweede voegt alle andere accounts toe met
/sbin/nologin als shell. Het is
verstandig om als naam van de netgroup de machinenaam in
HOOFDLETTERS te gebruiken. De regels zien er
ongeveer als volgt uit:+@MACHINENAAM:::::::::
+:::::::::/sbin/nologinAls dit voor alle machines is gedaan, dan hoeven de lokale
versies van /etc/master.passwd nooit meer
veranderd te worden. Alle toekomstige wijzigingen kunnen dan
gemaakt worden door de NIS map te wijzigen. Hieronder staat
een voorbeeld van een mogelijke netgroup map voor het
beschreven scenario met een aantal toevoegingen:# Definieer eerst de gebruikersgroepen
IT_MW (,alpha,test-domain) (,beta,test-domain)
IT_APP (,charlie,test-domain) (,delta,test-domain)
DEPT1 (,echo,test-domain) (,foxtrott,test-domain)
DEPT2 (,golf,test-domain) (,hotel,test-domain)
DEPT3 (,india,test-domain) (,juliet,test-domain)
ITSTAG (,kilo,test-domain) (,lima,test-domain)
D_STAGS (,able,test-domain) (,baker,test-domain)
#
# En nu een aantal groepen op basis van rollen
USERS DEPT1 DEPT2 DEPT3
BIGSRV IT_MW IT_APP
SMALLSRV IT_MW IT_APP ITSTAG
USERBOX IT_MW ITSTAG USERS
#
# Een een groep voor speciale taken.
# Geef echo en golf toegang tot de anti-virus machine.
SECURITY IT_MW (,echo,test-domain) (,golf,test-domain)
#
# Machine-gebaseerde netgroups
# Hoofdservers
WAR BIGSRV
FAMINE BIGSRV
# Gebruiker india heeft toegang tot deze server nodig.
POLLUTION BIGSRV (,india,test-domain)
#
# Deze is erg belangrijk en heeft strengere toegangseisen nodig.
DEATH IT_MW
#
# De anti-virus machine als hierboven genoemd.
ONE SECURITY
#
# Een machine die maar door 1 gebruiker gebruikt mag worden.
TWO (,hotel,test-domain)
# [...hierna volgen de andere groepen]Als er een soort database wordt gebruikt om de
gebruikersaccounts te beheren, dan is het in ieder geval nodig
dat ook het eerste deel van de map met de database
rapportagehulpmiddelen gemaakt kan worden. Dan krijgen nieuwe
gebruikers automatisch toegang tot de machines.Nog een laatste waarschuwing: het is niet altijd aan te
raden gebruik te maken van machine-gebaseerde netgroups. Als
er tientallen of zelfs honderden gelijke machines voor
bijvoorbeeld studentenruimtes worden uitgerold, dan is het
verstandiger rol-gebaseerde netgroups te gebruiken in plaats
van machine-gebaseerde netgroups om de grootte van de NIS map
binnen de perken te houden.Belangrijk om te OnthoudenIn een NIS omgeving werken een aantal dingen wel
anders.Als er een gebruiker toegevoegd moet worden, dan moet
die alleen toegevoegd worden aan de
master NIS server en mag niet vergeten worden dat
de NIS maps herbouwd moeten worden. Als dit
wordt vergeten, dan kan de nieuwe gebruiker nergens anders
aanmelden dan op de NIS master. Als bijvoorbeeld een
nieuwe gebruiker jsmith toegevoegd
moet worden:&prompt.root; pw useradd jsmith
&prompt.root; cd /var/yp
&prompt.root; make test-domainEr kan ook adduser jsmith in plaats
van pw useradd jsmith gebruikt
worden.De beheeraccounts moeten buiten de NIS maps
gehouden worden. Het is niet handig als de
beheeraccounts en wachtwoorden naar machines waarop
gebruikers aanmelden die geen toegang tot die informatie
horen te hebben zouden gaan.De NIS master en slave moeten veilig blijven
en zo min mogelijk niet beschikbaar zijn. Als
de machine wordt gehackt of als hij wordt uitgeschakeld,
dan kunnen er in theorie nogal wat mensen niet meer
aanmelden.Dit is de belangrijkste zwakte van elk gecentraliseerd
beheersysteem. Als de NIS servers niet goed beschermd
worden, dan worden veel gebruikers boos!NIS v1 Compatibiliteitypserv voor &os; biedt wat
ondersteuning voor NIS v1 clients. De NIS implementatie van
&os; gebruikt alleen het NIS v2 protocol, maar andere
implementaties bevatten ondersteuning voor het v1 protocol voor
achterwaartse compatibiliteit met oudere systemen. De
ypbind daemons die bij deze systemen
zitten proberen een binding op te zetten met een NIS v1 server,
hoewel dat niet per se ooit nodig is (en ze gaan misschien nog
wel door met broadcasten nadat ze een antwoord van een v2
server hebben ontvangen). Het is belangrijk om te melden dat
hoewel ondersteuning voor gewone clientcalls aanwezig is, deze
versie van ypserv geen v1 map
transferverzoeken af kan handelen. Daarom kan
ypserv niet gebruikt worden als
master of slave in combinatie met oudere NIS servers die alleen
het v1 protocol ondersteunen. Gelukkig worden er in deze tijd
niet meer zoveel van deze servers gebruikt.NIS Servers die ook NIS Clients ZijnHet is belangrijk voorzichtig om te gaan met het draaien
van ypserv in een multi-server
domein waar de server machines ook NIS clients zijn. Het is
in het algemeen verstandiger om de servers te dwingen met
zichzelf te binden dan ze toe te staan een bindverzoek te
broadcasten en het risico te lopen dat ze een binding met
elkaar maken. Er kunnen vreemde fouten optreden als een van de
servers plat gaat als er andere servers van die server
afhankelijk zijn. Na verloop van tijd treedt op de clients wel
een timeout op en verbinden ze met een andere server, maar de
daarmee gepaard gaande vertraging kan aanzienlijk zijn en de
foutmodus is nog steeds van toepassing, omdat de servers dan
toch weer opnieuw een verbinding met elkaar kunnen
vinden.Het is mogelijk een host aan een specifieke server te
binden door aan ypbind de vlag
mee te geven. Om dit niet iedere
keer handmatig na een herstart te hoeven uitvoeren, kan de
volgende regel worden opgenomen in
/etc/rc.conf van de NIS server:nis_client_enable="YES" # start ook het client gedeelte
nis_client_flags="-S NIS domain,server"In &man.ypbind.8; staat meer informatie.WachtwoordformatenNISwachtwoordformatenEen van de meest voorkomende problemen bij het
implementeren van NIS is de compatibiliteit van het
wachtwoordformaat. Als een NIS server wachtwoorden gebruikt
die met DES gecodeerd zijn, dan kunnen alleen clients die ook
DES gebruiken ondersteund worden. Als er bijvoorbeeld
&solaris; NIS clients in een netwerk zijn, dan moet er vrijwel
zeker gebruik gemaakt worden van met DES gecodeerde
wachtwoorden.Van welk formaat clients en servers gebruik maken is te
zien in /etc/login.conf. Als een host
gebruik maakt van met DES gecodeerde wachtwoorden, dan staat er
in de klasse default een regel als de
volgende:default:\
:passwd_format=des:\
:copyright=/etc/COPYRIGHT:\
[Overige regels weggelaten]Andere mogelijke waarden voor
passwd_format zijn
blf en md5
(respectievelijk voor Blowfish en MD5 gecodeerde
wachtwoorden).Als er wijzigingen gemaakt zijn aan
/etc/login.conf dan moet de
login capability database herbouwd worden door het volgende
commando als root uit te voeren:&prompt.root; cap_mkdb /etc/login.confHet formaat van de wachtwoorden die al in
/etc/master.passwd staan worden niet
bijgewerkt totdat een gebruiker zijn wachtwoord voor de
eerste keer wijzigt nadat de login
capability database is herbouwd.Om te zorgen dat de wachtwoorden in het gekozen formaat
zijn gecodeerd, moet daarna gecontroleerd worden of de waarde
crypt_default in
/etc/auth.conf de voorkeur geeft aan het
gekozen formaat. Om dat te realiseren dient het gekozen
formaat vooraan gezet te worden in de lijst. Als er
bijvoorbeeld gebruik gemaakt wordt van DES gecodeerde
wachtwoorden, dan hoort de regel er als volgt uit te
zien:crypt_default = des blf md5Als de bovenstaande stappen op alle &os; gebaseerde NIS
servers en clients zijn uitgevoerd, dan is het zeker dat ze het
allemaal eens zijn over welk wachtwoordformaat er op het
netwerk wordt gebruikt. Als er problemen zijn bij de
authenticatie op een NIS client, dan is dit een prima startpunt
voor het uitzoeken waar de problemen vandaan komen. Nogmaals:
als er een NIS server in een heterogene omgeving wordt
geplaatst, dan is het waarschijnlijk dat er gebruik gemaakt
moet worden van DES op alle systemen, omdat dat de laagst
overeenkomende standaard is.GregSutterGeschreven door Automatisch Netwerk Instellen (DHCP)Wat Is DHCP?Dynamic Host Configuration ProtocolDHCPInternet Software Consortium (ISC)DHCP, het Dynamic Host Configuration Protocol, schrijft
voor hoe een systeem verbinding kan maken met een netwerk en
hoe het de benodigde informatie kan krijgen om met dat netwerk
te communiceren. &os; gebruikt de ISC (Internet Software
Consortium) DHCP implementatie, dus alle
implementatie-specifieke informatie die hier wordt gegeven is
bedoeld voor de ISC distributie.Wat Behandeld WordtIn dit onderdeel worden de client- en servercomponenten van
het ISC DHCP systeem beschreven. Het programma voor de client,
dhclient, zit standaard in &os; en de server
is beschrikbaar via de net/isc-dhcp3-server port. Naast
de onderstaande informatie, zijn de hulppagina's van
&man.dhclient.8;, &man.dhcp-options.5; en &man.dhclient.conf.5;
bruikbare bronnen.Hoe Het WerktUDPAls dhclient, de DHCP client, wordt
uitgevoerd op een clientmachine, dan begint die met het
broadcasten van verzoeken om instellingeninformatie. Standaard
worden deze verzoeken op UDP poort 68 gedaan. De server
antwoordt op UDP 67 en geeft de client een IP adres en andere
relevante netwerkinformatie, zoals een netmasker, router en DNS
servers. Al die informatie komt in de vorm van een DHCP
lease en is voor een bepaalde tijd geldig
(die is ingesteld door de beheerder van de DHCP server). Op
die manier kunnen IP adressen voor clients die niet langer met
het netwerk verbonden zijn (stale) automatisch weer ingenomen
worden.DHCP clients kunnen veel informatie van de server krijgen.
Er staat een uitputtende lijst in &man.dhcp-options.5;.&os; Integratie&os; integreert de ISC DHCP client
dhclient volledig. Er is ondersteuning voor
de DHCP client in zowel het installatieprogramma als in het
basissysteem, waardoor het niet noodzakelijk is om kennis te
hebben van het maken van netwerkinstellingen voor het netwerk
waar een DHCP server draait. dhclient is
onderdeel van &os; distributies sinds 3.2.sysinstallDHCP wordt ondersteund door
sysinstall. Bij het instellen van
een netwerkinterface binnen
sysinstall is de tweede vraag:
Wil je proberen de interface met DHCP in te
stellen? Als het antwoord bevestigend luidt, dan
wordt dhclient uitgevoerd en als dat
succesvol verloopt, dan worden de netwerkinstellingen
automatisch ingevuld.Voor het gebruiken van DHCP bij het opstarten van het
systeem zijn twee instellingen nodig:DHCPvereistenHet apparaat bpf moet in de
kernel gecompileerd zijn. Dit kan door
device bpf (pseudo-device
bpf onder &os; 4.X) aan het bestand met
kernelinstellingen toe te voegen en de kernel te herbouwen.
Meer informatie over het bouwen van een kernel staat in
.Het apparaat bpf is al
onderdeel van de GENERIC kernel die
bij &os; zit, dus als er geen sprake is van een aangepaste
kernel, dan hoeft er geen nieuwe gemaakt te worden om DHCP
aan te praat te krijgen.Voor de lezer die bijzonder begaan is met
beveiliging, is het belangrijk aan te geven dat
bpf ook het apparaat is waardoor
pakketsnuffelaars hun werk kunnen doen (hoewel ze nog
steeds als root moeten draaien).
bpfis
noodzakelijk voor DHCP, maar als beveiliging bijzonder
belangrijk is, dan hoort bpf
waarschijnlijk niet in een kernel te zitten omdat de
verwachting dat er in de toekomst ooit DHCP gebruikt gaat
worden.In /etc/rc.conf moet het volgende
worden opgenomen:ifconfig_fxp0="DHCP"fxp0 dient vervangen te worden
door de juiste aanduiding van de interface die dynamisch
ingesteld moet worden, zoals beschreven staat in .Als er een andere lokatie voor
dhclient wordt gebruikt of als er extra
parameters aan dhclient meegegeven
moeten worden, dan dient ook iets als het volgende
toegevoegd te worden:dhcp_program="/sbin/dhclient"
dhcp_flags=""DHCPserverDe DHCP server, dhcpd, zit bij
de port net/isc-dhcp3-server in de
portscollectie. Deze port bevat de ISC DHCP server en
documentatie.BestandenDHCPinstellingenbestanden/etc/dhclient.confVoor dhclient is een
instellingenbestand /etc/dhclient.conf
nodig. Dat bestand bevat meestal alleen maar commentaar,
omdat de standaardinstellingen redelijk zinvol zijn. Dit
bestand wordt beschreven in &man.dhclient.conf.5;./sbin/dhclientdhclient is statisch gelinkt en
staat in /sbin. Er staat meer
informatie over dhclient in
&man.dhclient.8;./sbin/dhclient-scriptdhclient-script is het
&os;-specifieke DHCP client instellingenscript. Het wordt
beschreven in &man.dhclient-script.8;, maar het is niet
nodig het te wijzigen om goed te werken./var/db/dhclient.leasesDe DHCP client houdt in dit bestand een database bij
van geldige leases, die naar een logboekbestand worden
geschreven. In &man.dhclient.leases.5; staat een iets
uitgebreidere beschrijving.Verder LezenHet DHCP protocol staat volledig beschreven in RFC 2131.
Er is nog een bron van informatie ingesteld op .Een DHCP Server Installeren en InstellenWat Behandeld WordtIn dit onderdeel wordt beschreven hoe een &os; systeem
zo ingesteld kan worden dat het opereert als DHCP server
door gebruik te maken van de ISC (Internet Software
Consortium) implementatie van de DHCP suite.Het servergedeelte van de suite is geen
standaardonderdeel van &os; en om deze dienst aan te bieden
dient de port net/isc-dhcp3-server
geïnstalleerd te worden. In
staat meer informatie over de portscollectie.DHCP ServerinstallatieDHCPinstallatieOm een &os; systeem in te stellen als DHCP server moet
het apparaat &man.bpf.4; in de kernel zijn opgenomen. Om dit
te doen dient device bpf
(pseudo-device bpf onder &os; 4.X)
aan het bestand met kernelinstellingen toegegvoegd te worden
en dient de kernel herbouwd te worden. Meer informatie over
het bouwen van kernels staat in .Het apparaat bpf is al onderdeel
van de GENERIC kernel die bij &os;, dus
het is meestal niet nodig om een aangepaste kernel te bouwen
om DHCP aan de praat te krijgen.Het is belangrijk te vermelden dat
bpf ook het apparaat is waardoor
pakketsnuffelaars kunnen werken (hoewel de programma's die
er gebruik van maken wel bijzondere toegang nodig hebben).
bpfis
verplicht voor DHCP, maar als beveiliging van belang is,
dan is het waarschijnlijk niet verstandig om
bpf in een kernel op te nemen
alleen omdat er in de toekomst misschien ooit DHCP gebruikt
gaat worden.Hierna dient het standaardbestand
dhcpd.conf dat door de port net/isc-dhcp3-server is
geïnstalleerd gewijzigd te worden. Standaard is dit
/usr/local/etc/dhcpd.conf.sample en dit
bestand dient gekopieerd te worden naar
/usr/local/etc/dhcpd.conf voordat de
wijzgingen worden gemaakt.De DHCP Server InstellenDHCPdhcpd.confdhcpd.conf is opgebouwd uit
declaraties over subnetten en hosts en is wellicht het meest
eenvoudig te beschijven met een voorbeeld:option domain-name "example.com";
option domain-name-servers 192.168.4.100;
option subnet-mask 255.255.255.0;
default-lease-time 3600;
max-lease-time 86400;
ddns-update-style none;
subnet 192.168.4.0 netmask 255.255.255.0 {
range 192.168.4.129 192.168.4.254;
option routers 192.168.4.1;
}
host mailhost {
hardware ethernet 02:03:04:05:06:07;
fixed-address mailhost.example.com;
}Deze optie geeft het domein aan dat door clients als
standaard zoekdomein wordt gebruikt. In
&man.resolv.conf.5; staat meer over wat dat
betekent.Deze optie beschrijft een door komma's gescheiden
lijst met DNS servers die de client moet
gebruiken.Het netmasker dat aan de clients wordt
voorgeschreven.Een client kan om een bepaalde duur vragen die een
lease geldig is. Anders geeft de server aan wanneer de
lease vervalt (in seconden).Dit is de maximale duur voor een lease die de server
toestaat. Als een client vraagt om een langere lease,
dan wordt die wel verstrekt, maar is de maar geldig
gedurende max-lease-time
seconden.Deze optie geeft aan of de DHCP server moet proberen
de DNS server bij te werken als een lease is geaccepteerd
of wordt vrijgegeven. In de ISC implementatie is deze
optie verplicht.Dit geeft aan welke IP adressen in de groep met
adressen zitten die zijn gereserveerd om uitgegeven te
worden aan clients. Alle IP adressen tussen de
aangegeven adressen en die adressen zelf worden aan
clients uitgegeven.Geeft de default gateway aan die aan de clients
wordt voorgeschreven.Het hardware MAC adres van een host, zodat de DHCP
server een host kan herkennen als die een verzoek
doet.Geeft een host aan die altijd hetzelfde IP adres
moet krijgen. Hier kan een hostnaam gebruikt worden,
omdat de DHCP server de hostnaam zelf opzoekt voordat de
lease-informatie terug wordt gegeven.Als dhcpd.conf is ingesteld, kan de
server met het volgende commando gestart worden:&prompt.root; /usr/local/etc/rc.d/isc-dhcpd.sh startAls er later wijzigingen in de instellingen gemaakt
moeten worden, dan is het belangrijk te onthouden dat het
sturen van een SIGHUP signaal naar
dhcpdniet
resulteert in het opnieuw laden van de instellingen, zoals
voor de meeste daemons geldt. Voor deze daemon dient een
signaal SIGTERM gestuurd te worden om het
proces te stoppen. Daarna dient de daemon met het hiervoor
beschreven commando weer gestart worden.BestandenDHCPinstellingenbestanden/usr/local/sbin/dhcpddhcpd is statisch gelinkt
en staat in /usr/local/sbin. In de
hulppagina voor &man.dhcpd.8; die meekomt met de port
staat meer informatie over
dhcpd./usr/local/etc/dhcpd.confdhcpd heeft een
instellingenbestand,
/usr/local/etc/dhcpd.conf, nodig
voordat de daemon diensten aan clients kan leveren. Het
bestand moet alle informatie bevatten die aan clients
gegeven moet worden en de informatie die nodig is voor
het draaien van de dienst. Dit instellingenbestand staat
beschreven in de hulppagina voor &man.dhcpd.conf.5; die
meekomt met de port./var/db/dhcpd.leasesDe DHCP server houdt in dit bestand een database bij
met leases die zijn uitgegeven en die naar een logboek
worden geschreven. In de hulppagina &man.dhcpd.leases.5;
die bij de port zit wordt dit uitvoeriger
beschreven./usr/local/sbin/dhcrelaydhcrelay wordt in
uitgebreidere omgevingen gebruikt waar de ene DHCP server
een verzoek van een client naar een andere DHCP server op
een ander netwerk doorstuurt. Als deze functionaliteit
nodig is, kan die beschikbaar komen door de port
net/isc-dhcp3-relay
te installeren. De hulppagina voor &man.dhcrelay.8; die
bij de port zit bevat meer details.ChernLeeGeschreven door Domeinnaamsysteem (DNS)OverzichtBIND&os; gebruikt standaard een versie van BIND (Berkeley
Internet Name Domain), wat de meest gebruikte implementatie van
het DNS protocol is. DNS is het protocol waarmee namen aan
IP adressen gebonden worden en vice versa. Zo wordt
bijvoorbeeld op een zoekopdracht voor www.FreeBSD.org geantwoord met het IP
adres van de webserver van het &os; Project en op een
zoekopdracht voor ftp.FreeBSD.org
wordt geantwoord met het bijbehorende IP adres van de FTP
machine. Het tegenovergestelde kan ook gebeuren. Een
zoekopdracht voor een IP adres kan de bijbehorende hostnaam
opleveren. Het is niet nodig om een nameserver te draaien om
op een systeem zoekopdrachten met DNS te maken.DNSDNS wordt op internet onderhouden door een complex systeem
van autoritaire root nameservers en andere nameservers met een
kleinere scope die domeininformatie hosten en cachen.In dit document wordt BIND 8.x beschreven, de stabiele
versie die in &os; wordt gebruikt. BIND 9.x kan op &os;
geïnstaleerd worden met de net/bind9 port.RFC1034 and RFC1035 schrijven het DNS protocol voor.Op dit moment wordt BIND beheerd door het Internet Software
Consortium .TerminologieVoor het begrip van dit document dienen aan aantal termen
begrepen te worden.resolverreverse DNSroot zoneTermDefinitieVoorwaartse DNSHet koppelen van hostnamen aan IP
adressen;Herkomst (origin)Verwijst naar het domein dat door een bepaald
zonebestand wordt gedekt;named, BIND,
nameserverVaak gebruikte namen voor het BIND nameserver
pakket in &os;;ResolverEen systeemproces waarmee een machine
zoekopdrachten om zoneinformatie aan een nameserver
stelt;Reverse DNSHet tegenovergestelde van voorwaartse DNS. Het
koppelen van IP adressen aan hostnamen;Root zoneHet begin van de internet zonehiërarchie.
Alle zones vallen onder de root zone, net zoals alle
bestanden in een bestandssysteem onder de rootmap
vallen;ZoneEen individueel domein, subdomein of een deel van
de DNS die door dezelfde autoriteit wordt
beheerd.zonesvoorbeeldenVoorbeelden van zones:. is de root zone;org. is een zone onder de root
zone;example.org. is een
zone onder het zone org.;foo.example.org. is
een subdomein onder de zone example.org.;1.2.3.in-addr.arpa is een zone waarin
alle IP adressen die onder de IP ruimte 3.2.1.* vallen.
Zoals te zien is staat het meer specifieke deel van een
hostnaam aan de linkerkant. Zo is example.org. bijvoorbeeld meer
specifiek dan org. en is org.
meer specifiek van de root zone. De indeling van ieder deel
van een hostnaam lijkt veel op een bestandssysteem: de map
/dev valt onder de root, enzovoort.Redenen om een Nameserver te DraaienNameservers bestaan in het algemeen in twee smaken: een
authoritative namserver en een caching namserver.Er is een authoritative namserver nodig als:het nodig is DNS informatie aan te bieden aan de wereld
om met autoriteit (authoritatively) op verzoeken te
antwoorden;een domein, zoals example.org, is geregistreerd
en er IP adressen aan hostnamen die daaronder liggen
toegewezen moeten worden;een IP adresblok reverse DNS entries nodig heeft (IP
naar hostnaam);een backup namserver, die slave wordt genoemd, moet
antwoorden op verzoeken als de primaire down of niet
toegankelijk is.Er is een caching namserver nodig als:een lokale DNS server kan cachen en wellicht sneller
kan antwoorden dan een namserver die verder weg
staat;het wenselijk is om het totale netwerkverkeer te
reduceren. Er is ooit vastgesteld dat DNS verkeer 5% of
meer van het totale verkeer op internet uitmaakt.Als er een verzoek wordt gedaan voor www.FreeBSD.org, dan doet de resolver
meestal een verzoek bij de nameserver van de ISP die de uplink
levert en ontvangt daarop een antwoord. Met een lokale,
caching namserver hoeft het verzoek maar één
keer door de caching nameserver naar de buitenwereld gedaan te
worden. Voor ieder volgend verzoek hoeft niet buiten het
lokale netwerk gekeken te worden omdat het al lokaal in de
cache staat.Hoe Het WerktOm begrijpelijke redenen heet de BIND daemon in &os;
named.BestandBeschrijvingnamedde BIND daemonndcname daemon beheerprogramma/etc/namedbmap waar BIND zoneinformatie staat/etc/namedb/named.confdaemon instellingenbestandZonebestanden staat meestal binnen de map
/etc/namedb en bevatten de DNS zone
informatie die de namserver aanbiedt.BIND StartenBINDstartenOmdat BIND standaard wordt geïnstalleerd, is het
instellen relatief eenvoudig.Om de named daemon bij het
booten te laten starten kan de volgende regel in
/etc/rc.conf gezet worden:named_enable="YES"Om na het instellen de daemon handmatig te starten:&prompt.root; ndc startInstellingenbestandenBINDinstellingenbestanden/secondary>
make-localhost GebruikenHet volgende commando dient uitgevoerd te worden om het
bestand voor de lokale reverse DNS zone in
/etc/namedb/localhost.rev op de juiste
wijze aan te maken:&prompt.root; cd /etc/namedb
&prompt.root; sh make-localhost/etc/namedb/named.conf// $FreeBSD$
//
// In de hulppagina named(8) zijn meer details te vinden. Voor het
// opzetten van een primaire server is begrip van de werking van DNS
// noodzakelijk. Zelfs eenvoudige fouten kunnen de werking verstoren
// of veel onnodig verkeer veroorzaken.
options {
directory "/etc/namedb";
// Als toevoeging op de "forwarders" clausule kan de namserver ook
// worden aangegeven dat hij nooit zelf verzoeken mag maken, maar dat
// altijd aan zijn forwarders moet vragen door de volgende regel te
// activeren:
//
// forward only;
// Als er een DNS server beschikbaar is bij een upstream provider dan
// kan het IP adres op de regel hieronder ingegeven worden en kan die
// geactiveerd worden. Hierdoor wordt voordeel gehaald uit de cache,
// waardoor het DNS verkeer op internet vermindert.
/*
forwarders {
127.0.0.1;
};
*/Zoals al in het commentaar staat kan het gebruik van een
cache in de uplink met forwarders
ingeschakeld worden. In normale omstandigheden maakt een
namserver recursief verzoeken tot er een antwoord komt waar
de server naar op zoek is. Door de bovenstaande optie in te
schakelen wordt eerst bij de namserver die is opgegeven
gevraagd, waardoor er gebruik gemaakt kan worden van de
cache van die server. Als die namserver een drukke, snelle
namserver is, kan het erg de moeite waard zijn van deze
optie gebruik te maken.127.0.0.1 werkt hier
niet. Dat IP adres dient gewijzigd te
worden naar een werkende namserver in de uplink./*
* Als er een firewall tussen een host en namservers staat waarmee
* gesproken moet worden, dan dient het commentaar voor het
* query-source hieronder verwijderd te worden. In eerdere versies van
* BIND werden verzoeken altijd via poort 53 gedaan, maar vanaf
* BIND 8.1 wordt een poort zonder privileges gebruikt.
*/
// query-source address * port 53;
/*
* Als de namserver in een sandbox draait, kan het wenselijk zijn om
* een andere lokatie voor het dumpbestand in te geven.
*/
// dump-file "s/named_dump.db";
};
// Opmerking: het volgende wordt in een latere release ondersteund.
/*
host { any; } {
topology {
127.0.0.0/8;
};
};
*/
// Het opzetten van een secondary is veel eenvoudiger en dat wordt
// hieronder ruweg beschreven.
//
// Als er een lokale nameserver wordt gebruikt, dan dient niet
// vergeten te worden om 127.0.0.1 in /etc/resolv.conf te zetten zodat
// die eerst bevraagd wordt. Het is ook belangrijk wijzigingen aan te
// brengen in /etc/rc.conf om named te starten.
zone "." {
type hint;
file "named.root";
};
zone "0.0.127.IN-ADDR.ARPA" {
type master;
file "localhost.rev";
};
zone
"0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.INT" {
type master;
file "localhost.rev";
};
// NB: De IP adressen hieronder zijn bedoeld als voorbeeld en dienen
// niet gebruikt te worden!
//
// Voorbeeld secondary instellingen. Het kan handig zijn om tenminste
// secondary te worden voor de zone waar de host onderdeel van
// uitmaakt. Bij netwerkbeheerders kan nagevraagd worden welke server
// de primaire server is.
//
// De reverse lookup zone (IN-ADDR.ARPA) mag nooit vergeten worden! Dat
// zijn de eerste bytes van het respectievelijke IP adres in omgekeerde
// volgorde met daarachter ".IN-ADDR.ARPA".
//
// Het is echter van groot belang om de werking van DNS en BIND te
// begrijpen voordat er een primaire zone wordt opgeset. Er zijn
// nogal wat onverwachte valkuiten. Het opzetten van een secondary is
// veel eenvoudiger.
//
// NB: Het wordt afgeraden de onderstaande voorbeelden actief te maken.
// Er dienen bestaande namen en adressen gebruikt te worden.
//
// BELANGRIJK!!! &os; draait BIND in een zandbak (zie named_flags in
// rc.conf). In de map waarin de secundaire zones staat moet
// geschreven kunnen worden door BIND. Dat kan als volgt:
//
// mkdir /etc/namedb/s
// chown bind:bind /etc/namedb/s
// chmod 750 /etc/namedb/sMeer informatie over het draaien van BIND in een zandbak
staat in named
in een Zandbak Draaien.
/*
zone "example.com" {
type slave;
file "s/example.com.bak";
masters {
192.168.1.1;
};
};
zone "0.168.192.in-addr.arpa" {
type slave;
file "s/0.168.192.in-addr.arpa.bak";
masters {
192.168.1.1;
};
};
*/De bovenstaande voorbeelden komen uit
named.conf en zijn voorbeelden van
instellingen voor een slave, voor een forward en reverse
zone.Voor iedere nieuwe zone die wordt aangeboden dient een
nieuwe instelling voor de zone aan
named.conf toegevoegd te worden.De meest eenvoudige instelling voor de zone example.org kan er als volgt
uitzien:zone "example.org" {
type master;
file "example.org";
};De zone is een master, dat geeft de instelling
aan, waarvan de zoneinformatie in
/etc/namedb/example.org staat, wat de
instelling aangeeft.zone "example.org" {
type slave;
file "example.org";
};In het geval van de slave wordt de zoneinformatie
voor een zone getransporteerd van de master namserver en
opgeslagen in het ingestelde bestand. Als een master server
het niet meer doet of niet bereikbaar is, dan heeft de slave
server de getransporteerde zoneinformatie nog en kan die
aanbieden.ZonebestandenEen voorbeeldbestand voor een master zone voor example.org (als bestand
/etc/namedb/example.org):$TTL 3600
example.org. IN SOA ns1.example.org. admin.example.org. (
5 ; Serial
10800 ; Refresh
3600 ; Retry
604800 ; Expire
86400 ) ; Minimum TTL
; DNS Servers
@ IN NS ns1.example.org.
@ IN NS ns2.example.org.
; Machinenamen
localhost IN A 127.0.0.1
ns1 IN A 3.2.1.2
ns2 IN A 3.2.1.3
mail IN A 3.2.1.10
@ IN A 3.2.1.30
; Aliases
www IN CNAME @
; MX Record
@ IN MX 10 mail.example.org.Iedere hostnaam die eindigt op een . is
een exacte hostnaam, terwijl alles zonder een
. op het einde refereert aan de oorsprong.
Zo wordt www bijvoorbeeld vertaald naar
www.origin.
In de zone uit het voorbeeld hierboven is de oorsprong
example.org., dus www
vertaalt naar www.example.org.De regels in een zonebestand volgen de volgende
opmaak:recordnaam IN recordtype waardeDNSrecordsDe meest gebruikte DNS records:SOAbegin van zoneautoriteit (start of
authority)NSeen bevoegde (authoritative) name
serverAeen hostadresCNAMEde canonieke (canonical) naam voor een
aliasMXmail exchangerPTReen domeinnaam pointer (gebruikt in
reverse DNS)
example.org. IN SOA ns1.example.org. admin.example.org. (
5 ; Serial
10800 ; Refresh after 3 hours
3600 ; Retry after 1 hour
604800 ; Expire after 1 week
86400 ) ; Minimum TTL of 1 dayexample.org.de domeinnaam, ook de oorsprong voor dit
zonebestand.ns1.example.org.de primaire/bevoegde namserver voor deze
zone.admin.example.org.de persoon die verantwoordelijk is voor
deze zone, e-mailadres met @ vervangen.
admin@example.org wordt
admin.example.org.5het serienummer van het bestand. Dit moet iedere
keer als het zonebestand wordt aangepast opgehoogd
worden. Tegenwoordig geven veel beheerders de voorkeur
aan de opmaak yyyymmddrr voor het
serienummer. 2001041002 betekent
dan dat het voor het laatst is aangepast op
10–04–2001. De laatste
02 betekent dat het zonebestand een
aantal keer is aangepast op die dag. Het serienummer
is belangrijk omdat het slave nameservers aangeeft dat
een zone is bijgewerkt.
@ IN NS ns1.example.org.Hierboven staat een NS regel. Voor iedere nameserver
die bevoegde antwoorden moet geven voor de zone hoort er
zo'n regel te zijn. De @ betekent
hetzelfde als example.org.
Een @ vertaalt naar de oorsprong.
localhost IN A 127.0.0.1
ns1 IN A 3.2.1.2
ns2 IN A 3.2.1.3
mail IN A 3.2.1.10
@ IN A 3.2.1.30Een A record geeft een machinenaam aan. Hierboven is te
zien dat ns1.example.org zou
resolven naar 3.2.1.2.
Nogmaals, het symbool voor oorsprong, @,
wordt hier gebruikt en dus zou example.org resolven naar
3.2.1.30.
www IN CNAME @Een canoniek name record wordt meestal gebruikt voor het
geven van aliasen aan een machine. In het voorbeeld is
www een alias naar de machine die gelijk is
aan de oorsprong, example.org (3.2.1.30). CNAME's kunnen gebruikt
worden om een alias aan hostnamen te geven of om round robin
één hostnaam naar meerdere machines te laten
wijzen.MX record
@ IN MX 10 mail.example.org.MX records geven aan welke mailservers verantwoordelijk
zijn voor het afhandelen van inkomende mail voor de zone.
mail.example.org is de hostnaam
voor de mailserver en 10 is de prioriteit voor die
mailserver.Het is mogelijk meerdere mailservers in te stellen met
prioriteiten 3, 2 en 1. Een mailserver die probeert mail
af te leveren voor example.org probeert dat eerst
bij de MX met de hoogste prioriteit, daarna de op een na
hoogste, enzovoort, totdat de mail afgeleverd kan
worden.Voor in-addr.arpa zonebestanden (reverse DNS) wordt
dezelfde opmaak gebruikt, maar dan met PTR regels in plaats
van A of CNAME.$TTL 3600
1.2.3.in-addr.arpa. IN SOA ns1.example.org. admin.example.org. (
5 ; Serial
10800 ; Refresh
3600 ; Retry
604800 ; Expire
3600 ) ; Minimum
@ IN NS ns1.example.org.
@ IN NS ns2.example.org.
2 IN PTR ns1.example.org.
3 IN PTR ns2.example.org.
10 IN PTR mail.example.org.
30 IN PTR example.org.Dit bestand geeft de juiste IP adressen voor hostnamen
in het voorbeelddomein hierboven.Caching NameserverBINDcaching namserverEen caching namserver is een namserver die voor geen
enkele zone bevoegd is en alleen verzoeken doet en die onthoudt
voor later gebruik. Het opzetten ervan is eenvoudigweg het
opzetten van een namserver zonder zones toe te voegen.named in een Zandbak
DraaienBINDin een zandbak draaienchrootAls extra beveiligingsmaatregel is het wellicht wenselijk
om &man.named.8; als een gebruiker zonder privileges te draaien
en de instellingen zo te maken dat die &man.chroot.8; in een
zandbakmap draait. Hierdoor is alles buiten de zandbak niet
toegankelijk voor de named daemon.
Hierdoor wordt de schade die aangericht kan worden beperkt in
het geval dat named wordt gehackt.
Standaard kent &os; een gebruiker en groep
bind die voor dit doel bestemd
zijn.Er wordt ook wel gesteld dat het verstandiger is om
named met
chroot te draaien, maar in plaats daarvan
in een &man.jail.8; te draaien. Dit wordt hier niet
beschreven.Omdat named niet in staat is
ook maar iets buiten de zankbak te raadplegen (zoals gedeelde
bibliotheken, log sockets, enzovoort), moeten er een aantal
stappen gevolgd worden om named goed
te laten draaien. In de onderstaande controlelijst wordt
aangenomen dat het pad naar de zandbak
/etc/namedb is en dat er geen wijzigingen
gemaakt zijn aan de inhoud van die map. De volgende stappen
dienen als root uitgevoerd te
worden:Maak alle mappen die named
verwacht:&prompt.root; cd /etc/namedb
&prompt.root; mkdir -p bin dev etc var/tmp var/run master slave
&prompt.root; chown bind:bind slave var/*named hoeft alleen in
deze mappen te schrijven, dus krijgt het alleen daar
rechten.Herschik en maak de basiszone en stel het bestand met
instellingen in:&prompt.root; cp /etc/localtime etc
&prompt.root; mv named.conf etc && ln -sf etc/named.conf
&prompt.root; mv named.root master
&prompt.root; sh make-localhost && mv localhost.rev localhost-v6.rev master
&prompt.root; cat > master/named.localhost
$ORIGIN localhost.
$TTL 6h
@ IN SOA localhost. postmaster.localhost. (
1 ; serial
3600 ; refresh
1800 ; retry
604800 ; expiration
3600 ) ; minimum
IN NS localhost.
IN A 127.0.0.1
^DHierdoor kan named de
correcte tijd melden aan &man.syslogd.8;.sysloglogboekbestandennamedAls er een oudere versie dan &os; 4.9-RELEASE draait,
dient een statisch gelinkte kopie van
named-xfer gebouwd te worden en
naar de zankbak gekopieerd te worden:&prompt.root; cd /usr/src/lib/libisc
&prompt.root; make cleandir && make cleandir && make depend && make all
&prompt.root; cd /usr/src/lib/libbind
&prompt.root; make cleandir && make cleandir && make depend && make all
&prompt.root; cd /usr/src/libexec/named-xfer
&prompt.root; make cleandir && make cleandir && make depend && make NOSHARED=yes all
&prompt.root; cp named-xfer /etc/namedb/bin && chmod 555 /etc/namedb/bin/named-xferNadat de statisch gelinkte
named-xfer is geïnstalleerd, is het
nodig wat op te ruimen om te voorkomen dat er kopieen van
bibliotheken of programma's in de boomstructuur met
broncode achterblijven:&prompt.root; cd /usr/src/lib/libisc
&prompt.root; make cleandir
&prompt.root; cd /usr/src/lib/libbind
&prompt.root; make cleandir
&prompt.root; cd /usr/src/libexec/named-xfer
&prompt.root; make cleandirDeze stap gaat wel eens verkeerd. Als dit gebeurt,
kan het volgende commando uitgevoerd worden:&prompt.root; cd /usr/src && make cleandir && make cleandirDaarnaast kan de /usr/obj
structuur verwijderd worden:&prompt.root; rm -fr /usr/obj && mkdir /usr/objHiermee wordt aanwezige rommel uit de
broncodestructuur verwijderd en kunnen de hierboven
beschreven stappen opnieuw uitgevoerd worden.Als &os; version 4.9-RELEASE of later wordt gebruikt,
dan is named-xfer in
/usr/libexec standaard statisch
gelinkt en kan er simpelweg met &man.cp.1; een kopie naar
de zandbak gemaakt worden.Maak een dev/null die zichtbaar is
voor named en waar
named kan schrijven:&prompt.root; cd /etc/namedb/dev && mknod null c 2 2
&prompt.root; chmod 666 nullSymlink /var/run/ndc naar
/etc/namedb/var/run/ndc:&prompt.root; ln -sf /etc/namedb/var/run/ndc /var/run/ndcHiermee wordt voorkomen dat er iedere keer als
&man.ndc.8; wordt uitgevoerd de optie
meegegeven moet worden. Omdat de inhoud van
/var/run bij het booten wordt
verwijderd, kan het wenselijk zijn dit commando aan de
&man.crontab.5; van root toe te
voegen met de optie .sysloglogboekbestandennamedStel &man.syslogd.8; in om een extra
log socket te maken waar
named heen kan schrijven. Dit
kan door -l /etc/namedb/dev/log toe te
voegen aan de syslogd_flags variable in
/etc/rc.conf.chrootMaak de instelling om named
te starten en zich met chroot in een
zandbak te plaatsen met de volgende aanpassing in
/etc/rc.conf:named_enable="YES"
named_flags="-u bind -g bind -t /etc/namedb /etc/named.conf"In het instellingenbestand
/etc/named.conf staan
volledige paden relatief aan de
zandbak. Het bestand in de regel hierboven
is dus feitelijk
/etc/namedb/etc/named.conf.Nu dient /etc/namedb/etc/named.conf
gewijzigd te worden, zodat named
weet welke zones geladen moeten worden en waar ze staan. Nu
volgt een van commentaar voorzien voorbeeld. Alle regels
zonder commentaar wijken niet af van de opzet voor een DNS
server die niet in een zandbak draait:options {
directory "/";
named-xfer "/bin/named-xfer";
version ""; // Laat versie BIND niet zien
query-source address * port 53;
};
// ndc control socket
controls {
unix "/var/run/ndc" perm 0600 owner 0 group 0;
};
// Zones follow:
zone "localhost" IN {
type master;
file "master/named.localhost";
allow-transfer { localhost; };
notify no;
};
zone "0.0.127.in-addr.arpa" IN {
type master;
file "master/localhost.rev";
allow-transfer { localhost; };
notify no;
};
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.int" {
type master;
file "master/localhost-v6.rev";
allow-transfer { localhost; };
notify no;
};
zone "." IN {
type hint;
file "master/named.root";
};
zone "private.example.net" in {
type master;
file "master/private.example.net.db";
allow-transfer { 192.168.10.0/24; };
};
zone "10.168.192.in-addr.arpa" in {
type slave;
masters { 192.168.10.2; };
file "slave/192.168.10.db";
};De opdracht directory heeft als
waarde / omdat alle bestanden die
named nodig heeft binnen die
map staan. Dit staat dus gelijk aan
/etc/namedb voor een
normale gebruiker.Geeft het volledige pad naar het uitvoerbare bestand
named-xfer (vanuit de optiek van
named). Dit is nodig omdat
named is gecompileerd om
standaard te zoeken naar named-xfer in
/usr/libexec.Geeft de bestandsnaam
(relatief aan de instelling directory
hierboven) waar named het
zonebestand voor deze zone kan vinden.Geeft de bestandsnaam
(relatief aan de instelling directory
hierboven) waar named een kopie
van het zonebestand moet schrijven nadat die succesvol van
de master server is gekopieerd. Daarom moest de eigenaar
van de map slave naar
bind gewijzigd worden in een eerdere
stap.Na het doorlopen van de hierboven beschreven stappen kan
de server herstart worden of kunnen &man.syslogd.8; herstart en
&man.named.8; gestart worden, mits de nieuwe opties voor
syslogd_flags en
named_flags zijn ingesteld. Dan draait
named in een zandbak!BeveiligingHoewel BIND de meest gebruikte implementatie van DNS is,
is er altijd nog het beveiligingsvraagstuk. Soms worden er
mogelijke en te misbruiken beveiligingsgaten gevonden.Het is verstandig om bij te blijven met CERT
beveiligingswaarschuwingen en een abonnement te nemen op de
&a.security-notifications; om bij te blijven met de
beveiligingsproblemen wat betreft internet en &os;.Als er problemen ontstaan, kan het bijwerken van broncode
en het opnieuw bouwen van named
geen kwaad doen.Verder LezenBIND/named hulppagina's:
&man.ndc.8;, &man.named.8;, &man.named.conf.5;Officiële
ISC BIND pagina
BIND FAQO'Reilly
DNS en BIND 4e EditieRFC1034
- Domeinnamen - Concepten en FaciliteitenRFC1035
- Domeinnamen - Implementatie en
SpecificatieTomRhodesGeschreven door BIND9 en &os;bind9instellenHet uitbrengen van &os; 5.3 was het moment van
introductie van de BIND9
DNS server software in de distributie.
Dit betekende nieuwe beveiligingsmogelijkheden, een nieuwe
indeling van het bestandssysteem en automatische instelling van
&man.chroot.8;. Deze paragraaf bestaat uit twee delen. In het
eerste deel worden de nieuwe mogelijkheden en hun instelling
beschreven en het tweede gedeelte gaat over hulp bij het upgraden
naar &os; 5.3. Vanaf dit moment wordt er simpelweg verwezen
naar &man.named.8; in plaats van naar BIND.
Dit onderdeel slaat het beschrijven van de terminologie over,
omdat die eerder is besproken. De theorie wordt ook niet
beschreven. Het is aan te raden om die eerdere onderdelen te
lezen voor dit onderdeel.De bestanden met instellingen voor
named staan op dit moment in /var/named/etc/namedb/ en moeten
voor gebruik aangepast worden. Daar worden de meeste
instellingen gemaakt.Een Master Zone InstellenOm een master zone in te stellen kan in /var/named/etc/namedb/ het volgende
uitgevoerd worden:&prompt.root; sh make-localhostAls alles goed is gegaan hoort er een nieuw bestand in de
master map te staan. De
bestandsnamen horen localhost.rev voor de
lokale domeinnaam te zijn en
localhost-v6.rev voor
IPv6 instellingen. Instellingen voor
standaardgebruik staan al in het instellingenbestand
named.conf file.Een Slave Zone InstellenInstellingen voor extra domeinen of subdomeinen kunnen
worden ingesteld als slave zones. In de meeste gevallen kan
het bestand master/localhost.rev gewoon
naar de map slave
gekopieerd worden en aangepast worden. Als dat is gedaan,
moeten de bestanden op de juiste wijze toegevoegd worden aan
named.conf, zoals in het volgende
voorbeeld voor example.com:zone "example.com" {
type slave;
file "slave/example.com";
masters {
10.0.0.1;
};
};
zone "0.168.192.in-addr.arpa" {
type slave;
file "slave/0.168.192.in-addr.arpa";
masters {
10.0.0.1;
};
};In dit voorbeeld is het master IP adres
de primaire domain server vanwaar de zones gehaald worden. Die
hoeft niet per se zelf een DNS server te
zijn.Opstarten InstellenOm de named daemon met het
systeem te laten starten, hoort de volgende optie in
rc.conf te staan:named_enable="YES"Hoewel er nog andere mogelijkheden bestaan, is dit het
absolute minimum. In &man.rc.conf.5; staan nog meer
mogelijkheden beschreven. Als er niets in
rc.conf staat, kan
named gestart worden vanaf de
commandoregel:&prompt.root; /etc/rc.d/named startBIND9 BeveiligingHoewel &os; named automatisch in een
&man.chroot.8; omgeving zet, zijn er nog een aantal andere
beveiligingsmogelijkheden die kunnen helpen om mogelijke
aanvallen op de DNS dienst af te
slaan.Toegangscontrolelijsten OpvragenEen toegangscontrolelijst (acl) voor vraagstellingen kan
gebruikt worden om vraagstellingen voor zones te beperken.
De instelling gaat door een netwerk te definiëren binnen
het token acl en dan een lijst met
IP adressen aan te geven in de
instellingen voor de zone. Om domeinen toe te staan om de
voorbeeldhost te gebruiken, kan iets als het volgende
gebruikt worden:acl "example.com" {
192.168.0.0/24;
};
zone "example.com" {
type slave;
file "slave/example.com";
masters {
10.0.0.1;
};
allow-query { example.com; };
};
zone "0.168.192.in-addr.arpa" {
type slave;
file "slave/0.168.192.in-addr.arpa";
masters {
10.0.0.1;
};
allow-query { example.com; };
};Opvragen Versie BeperkenHet opvragen van de versie van de DNS
server kan een ingang zijn voor een aanvaller, die deze
informatie kan gebruiken om te zoeken naar bekende exploits
of bugs om in te breken op de host. Er kan een vervalste
versiestring gezet worden in de sectie
options van
named.conf:options {
directory "/etc/namedb";
pid-file "/var/run/named/pid";
dump-file "/var/dump/named_dump.db";
statistics-file "/var/stats/named.stats";
version "None of your business";MurrayStokelyGeschreven door Apache HTTP Server
- web server
+ webservers
- setting up
+ opzettenApacheOverzicht&os; wordt gebruikt om een paar van de drukste websites ter
wereld te draaien. De meeste webservers op internet maken
gebruik van de Apache HTTP Server.
Apache softwarepackages staan op de
&os; installatiemedia. Als Apache
niet bij de oorsponkelijke installatie van &os; is
meegeïnstalleerd, dan kan dat vanuit de www/apache13 of www/apache2 port.Als Apache succesvol is
geïnstalleerd, moeten er instelingen gemaakt
worden.In dit onderdeel wordt versie 1.3.X van de
Apache HTTP Server behandeld omdat
die het meest gebruikt wordt op &os;.
Apache 2.X biedt veel nieuwe
mogelijkheden, maar wordt hier niet beschreven. Meer
informatie over Apache 2.X is
te vinden op .InstellenApacheconfiguration fileHet belangrijkste bestand met instellingen voor de
Apache HTTP Server op &os; is
/usr/local/etc/apache/httpd.conf. Dit
bestand is een typisch &unix; tekstgebaseerd
instellingenbestand waarin regels met commentaar beginnen met
het karakter #. Het uitputtend beschrijven
van alle mogelijke instellingen valt buiten het bereik van dit
boek, dus worden alleen de meest gebruikte directieven
beschreven.ServerRoot "/usr/local"Hierin wordt de standaard mappenhiërarchie voor
de Apache installatie
aangegeven. Binaire bestanden staan in de submappen
bin en sbin van de serverroot en
bestanden met instellingen staan in etc/apache.ServerAdmin beheerder@beheer.adresHet adres waaraan problemen met de server gemaild
kunnen worden. Dit adres verschijnt op een aantal door
de server gegenereerde pagina's, zoals documenten met
foutmeldingen.ServerName www.example.comMet ServerName kan een hostnaam
ingesteld worden die wordt teruggezonden aan de clients
als de naam van de server anders is dan die is ingesteld
(gebruik bijvoorbeeld www in plaats van
de echte hostnaam).DocumentRoot "/usr/local/www/data"DocumentRoot: de map waaruit de
documenten worden geserveerd. Standaard worden alle
verzoeken uit deze map gehaald, maar er kunnen
symbolische links en aliasen gebruikt worden om naar
andere locaties te wijzen.Het is altijd een goed idee om back-ups te maken van het
instellingenbestand voor Apache
vóór het maken van wijzigingen. Als de juiste
instellingen gemaakt zijn, kan
Apache gestart worden.Apache DraaienApachestarten of stoppenApache draait niet vanuit de
inetd super server zoals veel andere
netwerkdiensten. Hij is ingesteld om zelfstandig te draaien
vanwege beter prestaties voor het afhandelen van inkomende
HTTP verzoeken van client webbrowsers. Er wordt een
shellscriptwrapper bijgeleverd om het starten, stoppen en
herstarten zo eenvoudig mogelijk te maken. Het volgende
commando start Apache voor de eerste
keer:&prompt.root; /usr/local/sbin/apachectl startDe server kan op iedere moment gestopt worden met:&prompt.root; /usr/local/sbin/apachectl stopNa het maken van wijzigingen aan het instellingenbestand
moet de dienst herstart worden:&prompt.root; /usr/local/sbin/apachectl restartOm Apache te herstarten zonder
bestaande connecties te verbreken:&prompt.root; /usr/local/sbin/apachectl gracefulIn &man.apachectl.8; staat meer informatie.Om Apache met het systeem mee te
starten kan de volgende regel aan
/etc/rc.conf worden toegevoegd:apache_enable="YES"Als het nodig is additionele commandoregelopties op te
geven voor de Apachehttpd bij het opstarten, dan kunnen die in
de volgende regel in rc.conf meegegeven
worden:apache_flags=""Nu de webserver draait, is die te benaderen door een
webbrowser te wijzen naar http://localhost/.
De standaard webpagina is
/usr/local/www/data/index.html.Virtuele HostingApache ondersteunt twee
verschillende manieren van Virtuele Hosting. De eerste
methode is Naam-gebaseerde Virtuele Hosting. Naam-gebaseerde
Virtuele Hosting gebruikt de HTTP/1.1 headers van de clients
om de hostnaam uit te zoeken. Hierdoor kunnen meerdere
domeinen hetzelfde IP adres delen.Om Apache gebruik te laten
maken van Naam-gebaseerde Virtuele Hosting kan een regel als
de volgende in httpd.conf worden
opgenomen:NameVirtualHost *Als een webserver www.domein.tld heet en er moet een
virtueel domein voor www.anderdomein.tld gaan draaien, dan
kunnen de volgende regels aan httpd.conf
worden toegevoegd:<VirtualHost *>
ServerName www.domein.tld
DocumentRoot /www/domein.tld
<VirtualHost>
<VirtualHost *>
ServerName www.anderdomein.tld
DocumentRoot /www/anderdomein.tld
</VirtualHost>De adressen en de paden uit dit voorbeeld kunnen in echte
implementaties uiteraard gewijzigd worden.Meer informatie over het opzetten van virtuele hosts staat
in de officiële documentatie voor
Apache op Apache ModulesApachemodulesEr zijn veel verschillende
Apache modules die functionaliteit
toevoegen aan de basisdienst. De &os; portscollectie biedt
op een eenvoudige manier de mogelijkheid om
Apache samen met de meeste populaire
add-on modules te installeren.mod_sslwebserverveiligSSLcryptografieDe module mod_ssl gebruikt
de OpenSSL bibliotheek om sterke cryptografie te leveren via
de protocollen Secure Sockets Layer (SSL v2/v3) en
Transport Layer Security (TLS v1). Deze module levert
alles wat nodig is om een getekend certificaat aan te vragen
bij een vertrouwde certificaatautoriteit om een veilige
webserver onder &os; te kunnen draaien.Als Apache nog niet is
geïnstalleerd, dan is er een versie van
Apache 1.3.X die
mod_ssl bevat en
geïnstalleerd kan worden met de www/apache13-modssl port. SSL
ondersteuning is ook voor
Apache 2.X beschikbaar in de
www/apache2 port, waar
het standaard is ingeschakeld.mod_perlPerlHet Apache/Perl
integratieproject brengt de volledige kracht van de Perl
programmeertaal en de Apache HTTP
Server samen. Met de
mod_perl module is het mogelijk om
Apache modules volledig in Perl te
schrijven. Daarnaast voorkomt een ingebouwde persistente
interpreter in de server de overhead van het starten van een
externe interpreter en de nadelen van het opstarten van
Perl.Als Apache nog niet is
geïnstalleerd, dan is er een versie van
Apache die
mod_perl bevat en
geïnstalleerd kan worden met de www/apache13-modperl port.PHPPHPPHP, dat staat voor PHP: Hypertext
Preprocessor, is een veelgebruikte algemene Open
Source scripttaal die bijzonder bruikbaar is voor
webontwikkeling en die ingebed kan worden in HTML. De
syntaxis is afgeleid van C, &java; en Perl en blijkt
makkelijk te leren. Het belangrijkste doel van de taal is
webontwikkelaars in staat te stellen om gemakkelijk dynamisch
samengestelde webpagina's te schrijven. Maar er kan nog veel
meer met PHP gedaan worden.PHP kan geïnstalleerd worden met de lang/php5 port.MurrayStokelyGeschreven door File Transfer Protocol (FTP)FTP serversOverzichtHet File Transfer Protocol (FTP) biedt gebruikers een
eenvoudige manier om bestanden van en naar een FTP server te
verplaatsen. &os; bevat FTP
server software, ftpd, in het
basissysteem. Hierdoor is het opzetten en beheren van een
FTP server op
&os; erg overzichtelijk.InstellenDe belangrijkste stap bij het instellen is de beslissing
welke accounts toegang krijgen tot de FTP server. Een normaal
&os; systeem heeft een aantal systeemaccounts die gebruikt
worden voor daemons, maar onbekende gebruikers mag niet
toegestaan worden van die accounts gebruikt te maken. In
/etc/ftpusers staat een lijst met
gebruikers die geen FTP toegang hebben. Standaard staan daar
de voorgenoemde accounts in, maar het is ook mogelijk om daar
gebruikers toe te voegen die geen FTP toegang mogen
hebben.Het kan ook wenselijk zijn de FTP toegang voor sommige
gebruikers te beperken, maar niet onmogelijk te maken. Dit kan
met /etc/ftpchroot. In dat bestand staan
gebruikers en groepen waarop FTP toegangsbeperkingen van
toepassing zijn. In &man.ftpchroot.5; staan alle details die
hier niet beschreven zijn.
+
+ FTP
+
+ anoniem
+
+
Om anonieme FTP toegang voor een server in te schakelen,
dient er een gebruiker ftp op een &os;
systeem aangemaakt te worden. Dan kunnen gebruikers op de
server aanmelden met de gebruikersnaam ftp
of anonymous en met ieder wachtwoord
(de geldende conventie schrijft voor dat dit een e-mail adres
van de gebruiker is). De FTP server roep bij een anonieme
aanmelding &man.chroot.2; aan, zodat er alleen toegang is tot
de thuismap van de gebruiker ftp.Er zijn twee tekstbestanden waarin welkomstberichten voor
de FTP clients gezet kunnen worden. De inhoud van
/etc/ftpwelcome wordt getoond voordat
gebruikers een aanmeldprompt zien. Na een succesvolle
aanmelding wordt de inhoud van
/etc/ftpmotd getoond. Het genoemde pad
is relatief ten opzichte van de aanmeldomgeving, dus voor
anonieme gebruikers wordt ~ftp/etc/ftpmotd
getoond.Als een FTP server eenmaal correct is ingesteld, moet die
ingeschakeld worden in /etc/inetd.conf.
Daar moet het commentaarkarakter # voor de
bestaande ftpd regel verwijderd
worden:ftp stream tcp nowait root /usr/libexec/ftpd ftpd -lNadat het bestand met instellingen is gewijzigd, moet er
een HangUP signaal verstuurd worden naar
inetd, zoals uitgelegd in .Nu kan aangemeld worden op de FTP server met:&prompt.user; ftp localhostBeherensysloglogboekbestandenFTPDe ftpd daemon gebruikt
&man.syslog.3; om berichten te loggen. Standaard plaatst de
systeemlogdaemon berichten over FTP in
/var/log/xferlog. De lokatie van het FTP
logboek kan gewijzigd worden door de volgende regels in
/etc/syslog.conf te wijzigen:ftp.info /var/log/xferlog
+
+ FTP
+
+ anoniem
+
+
Het is verstandig na te denken over de gevaren die op de
loer liggen bij het draaien van een anonieme FTP server. Dat
geldt in het bijzonder voor het laten uploaden ven bestanden.
Het is dan goed mogelijk dat een FTP site een forum wordt om
commerciële software zonder licenties uit te wisselen of
erger. Als anonieme uploads toch nodig zijn, dan horen de
rechten op die bestanden zo te staan dat ze niet door andere
anonieme gebruikers gelezen kunnen worden tot er door een
beheerder naar gekeken is.MurrayStokelyGeschreven door
- Bestands- en Printdiensten voor µsoft.windows; clients
+ Bestands- en Printdiensten voor µsoft.windows; Clients
(Samba)Samba serverMicrosoft Windowsfile serverWindows clientsprint serverWindows clientsOverzichtSamba is een populair open
source softwarepakket dat bestands- en printdiensten voor
µsoft.windows; clients biedt. Die clients kunnen
dan ruimte op een &os; bestandssysteem gebruiken alsof het
een lokale schijf is en &os; printers gebruiken alsof het
lokale printers zijn.Samba software packages horen
op de &os; installatiemedia te staan. Als
Samba bij de basisinstallatie niet
mee is geïnstalleerd, dan kan dat alsnog via de net/samba3 port of met het
package.InstellenEen standaardbestand met instellingen voor
Samba wordt geïnstalleerd als
/usr/local/etc/smb.conf.default. Dit
bestand dient gekopieerd te worden naar
/usr/local/etc/smb.conf en voordat
Samba gebruikt kan worden, moeten er
aanpassingen aan worden gemaakt.smb.conf bevat de instellingen voor
Samba, zoals die voor de printers en
de gedeelde bestandssystemen die gedeeld worden
met &windows; clients. Het Samba
pakket bevat een webgebaseerde beheermodule die
swat heet, waarmee
smb.conf op een eenvoudige manier
ingesteld kan worden.De Samba Webbeheermodule Gebruiken (SWAT)De Samba Webbeheermodule (SWAT) draait als een daemon
vanuit inetd. Daarom dient voor
de volgende regel uit /etc/inetd.conf
het commentaarkarakter verwijderd te worden voordat
swat gebruikt kan worden om
Samba in te stellen:swat stream tcp nowait/400 root /usr/local/sbin/swatNadat het bestand met instellingen is gewijzigd, moet er
een HangUP signaal verstuurd worden naar
inetd, zoals uitgelegd in .Als swat is ingeschakeld in
inetd.conf, kan de module gebruikt
worden door met een browser een verbinding te maken met
. Er dient
aangemeld te worden met de root account
van het systeem.Na succesvol aanmelden op de hoofdpagina voor de
Samba instellingen, is het
mogelijk de systeemdocumentatie te bekijken of te starten
door op het tabblad Globals te klikken.
Het onderdeel Globals correspondeert met
de sectie [global] in
/usr/local/etc/smb.conf.Systeembrede InstellingenOf Samba nu wordt ingesteld
door /usr/local/etc/smb.conf direct te
bewerken of met swat, de eerste
instellingen die gemaakt moeten worden zijn de
volgende:workgroupNT Domeinnaam of Werkgroepnaam voor de computers
die verbinding gaan maken met de server.netbios nameNetBIOSHiermee wordt de NetBIOS naam waaronder de
Samba server bekend zal zijn
ingesteld. Standaard is de naam het eerste gedeelte
van de DNS naam van een host.server stringHiermee wordt de string ingesteld die te zien is
als het commando net view en een
aantal andere commando's die gebruik maken van de
descriptieve tekst voor de server gebruikt
worden.BeveiligingsinstellingenTwee van de belangrijkste instellingen in
/usr/local/etc/smb.conf zijn het
gekozen beveiligingsmodel en het wachtwoord voor
clientgebruikers. Deze worden met de volgende instellingen
gemaakt:securityDe twee meest gebruikte mogelijkheden hier zijn
security = share en
security = user. Als de clients
gebruikersnamen hebben die overeenkomen met hun
gebruikersnaam op de &os; machine, dan is het
verstandig om te kiezen voor beveiliging op
gebruikersniveau. Dit is het standaard
beveiligingsbeleid en kent als voorwaarde dat
gebruikers zich eerst moeten aanmelden voordat ze
toegang krijgen tot gedeelde bronnen.Bij beveiliging op shareniveau hoeft een client
niet met een geldige gebruikersnaam en wachtwoord aan
te melden op de server voor het mogelijk is om een
verbinding te proberen te krijgen met een gedeelde
bron. Dit was het standaardbeveiligingsmodel voor
oudere versies van
Samba.passdb backendNIS+LDAPSQL databaseSamba kent aan de
achterkant verschillende authenticatiemodellen.
Clients kunnen authenticeren met LDAP, NIS+, een SQL
database of een aangepast wachtwoordbestand. De
standaard authenticatiemethode is
smbpasswd. Meer wordt hier niet
behandeld.Als aangenomen wordt dat de standaard achterkant
smbpasswd wordt gebruikt, dan moet
/usr/local/private/smbpasswd gemaakt
worden om Samba in staat te
stellen clients te authenticeren. Alle &unix;
gebruikersaccounts toegang geven vanaf &windows; clients gaat
met het volgende commando:&prompt.root; grep -v "^#" /etc/passwd | make_smbpasswd > /usr/local/private/smbpasswd
&prompt.root; chmod 600 /usr/local/private/smbpasswdIn de Samba documentatie staat
meer informatie over instellingen. Met de hier gegeven
basisuitleg moet het mogelijk zijn
Samba draaiende te krijgen.Samba StartenOm Samba in te schakelen bij het
starten van een systeem dient de volgende regel aan
/etc/rc.conf toegevoegd te worden:samba_enable="YES"Samba kan op ieder moment
gestart worden met:&prompt.root; /usr/local/etc/rc.d/samba.sh start
Starting SAMBA: removing stale tdbs :
Starting nmbd.
Starting smbd.Samba bestaat feitelijk uit drie
afzonderlijke daemons. Het script
samba.sh start de daemons
nmbd en
smbd. Als de winbind name
resolution diensten in smb.conf zijn
ingeschakeld, dan start ook de daemon
winbindd.Samba kan op ieder moment
gestopt worden met:&prompt.root; /usr/local/etc/rc.d/samba.sh stopSamba is een complexe
softwaresuite met functionaliteit waarmee verregaande
ingratie met µsoft.windows; netwerken mogelijk wordt.
Informatie die verder gaat dan de basisinstallatie staat op
.TomHukinsGeschreven door Tijd Synchroniseren met NTPNTPOverzichtNa verloop van tijd gaat de tijd van een computer meestal
uit de pas lopen. Het Netwerk Tijd Protocol (NTP) kan ervoor
zorgen dat de tijd accuraat blijft.Veel diensten op internet zijn afhankelijk, of hebben veel
voordeel, van het betrouwbaar zijn van de tijd. Zo ontvangt
een webserver bijvoorbeeld veel verzoeken om een bestand te
sturen als dat gewijzigd is sinds een bepaald moment. In een
LAN omgeving is het van groot belang dat computers die
bestanden delen van eenzelfde server gesynchroniseerde tijd
hebben zodat de tijdstempels consistent blijven. Diensten
zoals &man.cron.8; zijn ook afhankelijk van een betrouwbare
systeemtijd om commando's op het ingestelde moment uit te
voeren.NTPntpdBij &os; zit de &man.ntpd.8; NTP server die gebruikt kan worden
om bij andere NTP servers de tijd op
te vragen om de eigen klok gelijk te zetten of om de juiste
tijd te verstrekken aan andere apparaten.Passende NTP Servers KiezenNTPchoosing serversOm de tijd te synchroniseren moeten er één
of meer NTP
servers beschikbaar zijn. Een lokale systeembeheerder of een
ISP heeft wellicht een NTP server voor dit doel opgezet. Het
is verstandig om documentatie te raadplegen en te bekijken of
dat het geval is. Er is een online
lijst van publiek toegankelijke NTP servers waarop een
NTP server gezocht kan worden die in geografische zin dichtbij
een te synchroniseren computer ligt. Het is belangrijk te
voldoen aan het beleid voor de betreffende server en
toestemming te vragen als dat in de voorwaarden staat.Het is verstandig meerdere, niet van elkaar afhankelijke,
NTP servers te kiezen voor het geval een van de servers niet
langer betrouwbaar is of niet bereikbaar is. &man.ntpd.8;
gebruikt de antwoorden die van andere servers ontvangen worden
op intelligente wijze: betrouwbare servers krijgen voorrang
boven ontbetrouwbare servers.Machine InstellenNTPinstellenBasisinstellingenntpdateAls het alleen de bedoeling is de tijd te synchroniseren
bij het opstarten van een machine, dan kan &man.ntpdate.8;
gebruikt worden. Dit kan van toepassing zijn op desktops
die regelmatig herstart worden en niet echt regelmatig
gesynchroniseerd hoeven te worden. Op sommige machines hoort
echter &man.ntpd.8; te draaien.Het gebruik van &man.ntpdate.8; bij het opstarten is ook
een goed idee voor machines waarop &man.ntpd.8; draait. De
&man.ntpd.8; wijzigt de tijd geleidelijk, terwijl
&man.ntpdate.8; gewoon de tijd instelt, hoe groot het
verschil tussen de bestaande tijd van een machine en de
correcte tijd ook is.Om &man.ntpdate.8; tijdens het opstarten in te schakelen
kan ntpdate_enable="YES" aan
/etc/rc.conf worden toegevoegd. Alle
voor de synchronisatie te gebruiken servers moeten dan,
samen met eventuele opties voor &man.ntpdate.8;, in
ntpdate_flags aangegeven worden.NTPntp.confAlgemene InstellingenNTP wordt ingesteld met het bestand
/etc/ntp.conf in het formaat dat
beschreven staat in &man.ntp.conf.5;. Hieronder volgt een
eenvoudig voorbeeld:server ntplocal.example.com prefer
server timeserver.example.org
server ntp2a.example.net
driftfile /var/db/ntp.driftDe optie server geeft aan welke
servers er gebruikt moeten worden, met op elke regel een
server. Als de server wordt ingesteld met het argument
prefer, zoals bij ntplocal.example.com, dan krijgt die
server de voorkeur boven de andere. Een antwoord van een
voorkeursserver wordt genegeerd als dat significant afwijkt
van de antwoorden van de andere servers. In andere gevallen
wordt het gebruikt zonder rekening te houden met de andere
antwoorden. Het argument prefer wordt
meestal gebruikt voor NTP servers waarvan bekend is dat ze
erg betrouwbaar zijn, zoals die met speciale tijdbewaking
hardware.De optie driftfile geeft aan welk
bestand gebruikt wordt om de offset van de klokfrequentie van
het systeem op te slaan. &man.ntpd.8; gebruikt die om
automatisch te compenseren voor het natuurlijke afwijken van
de tijd, zodat er zelfs bij gebrek aan externe bronnen een
redelijke accurate tijdsinstelling mogelijk is.De optie driftfile geeft aan welk
bestand gebruikt wordt om informatie over eerdere
antwoorden van NTP servers die gebruikt worden op te slaan.
Dit bestand bevat interne informatie voor NTP. Het hoort
niet door andere processen gewijzigd te worden.Toegang tot een Server InstellenEen NTP server is standaard toegankelijk voor alle
hosts op een netwerk. De optie restrict
in /etc/ntp.conf maakt het mogelijk om
aan te geven welke machines de dienst mogen benaderen.Voor het blokkeren van toegang voor alle andere machines
kan de volgende regel aan /etc/ntp.conf
toegevoegd worden:restrict default ignoreOm alleen machines op bijvoorbeeld het locale netwerk toe
te staan hun tijd te synchroniseren met een server, maar
ze tegelijkertijd niet toe te staan om de server te draaien
of de server als referentie voor synchronisatie te gebruiken,
kan de volgende regel toegevoegd worden:restrict 192.168.1.0 mask 255.255.255.0 nomodify notrapHierboven is 192.168.1.0
een IP adres op een LAN en 255.255.255.0 is het bijbehorende
netwerkmasker./etc/ntp.conf mag meerdere regels
met restrict bevatten. Meer details staan
in het onderdeel Access Control Support
van &man.ntp.conf.5;.De NTP Server DraaienDe NTP server kan bij het opstarten gestart worden door de
regel ntpd_enable="YES" aan
/etc/rc.conf toe te voegen. Om extra
opties aan &man.ntpd.8; mee te geven kan de parameter
ntpd_flags in
/etc/rc.conf gebruikt worden.Om de server zonder een herstart van de machine te starten
kan ntpd uitgevoerd worden, met toevoeging
van de parameters uit ntpd_flags in
/etc/rc.conf. Bijvoorbeeld:&prompt.root; ntpd -p /var/run/ntpd.pidIn &os; 4.X, dienen de
ntpd uit het bovenstaande voorbeeld
vervangen te worden door xntpd.ntpd Gebruiken met een Tijdelijke
Internetverbinding&man.ntpd.8; heeft geen permanente verbinding met een
netwerk nodig om goed te werken. Maar als er gebruik gemaakt
wordt van een inbelverbinding, is het wellicht verstandig om
ervoor te zorgen dat uitgaande NTP verzoeken geen uitgaande
verbinding kunnen starten. Als er gebruik gemaakt wordt van
user PPP, kunnen er filter commando's
ingesteld worden in /etc/ppp/ppp.conf.
Bijboorbeeld:set filter dial 0 deny udp src eq 123
# NTP verkeer zorgt niet voor uitbellen
set filter dial 1 permit 0 0
set filter alive 0 deny udp src eq 123
# Inkomend NTP verkeer houdt de verbinding niet open
set filter alive 1 deny udp dst eq 123
# Uitgaand NTP verkeer houdt de verbinding niet open
set filter alive 2 permit 0/0 0/0Meer details staan in de PACKET
FILTERING sectie in &man.ppp.8; en in de voorbeelden
in /usr/share/examples/ppp/.Sommige internet providers blokkeren lage poorten,
waardoor NTP niet kan werken omdat er nooit een antwoord
ontvangen kan worden door een machine.Meer InformatieHTML documentatie voor de NTP server staat in
/usr/share/doc/ntp/.
diff --git a/nl_NL.ISO8859-1/books/handbook/ports/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/ports/chapter.sgml
index a6cd794a02..91b9f254e7 100644
--- a/nl_NL.ISO8859-1/books/handbook/ports/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/ports/chapter.sgml
@@ -1,1409 +1,1410 @@
ReneKetelaarsVertaald door SiebrandMazelandApplicaties Installeren: Packages en PortsOverzichtportspackages&os; bevat een grote collectie aan systeemgereedschappen
als onderdeel van het basissysteem. De mogelijkheden reiken
echter niet heel ver en daarom is er snel een applicatie van een
andere partij nodig. &os; bevat twee complementaire
technologieën om andere applicaties te installeren: de &os;
portscollectie en binaire softwarepackages. Beide systemen
kunnen gebruikt worden om de nieuwste versies van een gewenste
applicatie te installeren van lokale media of rechtstreeks van
het netwerk.Na het lezen van dit hoofdstuk weet de lezer:Hoe binaire softwarepackages van derden te
installeren;Hoe software van derden vanuit de portscollectie te
installeren;Hoe eerder geïnstalleerde packages of ports te
verwijderen;Hoe standaardwaardes die door de ports worden gebruikt te
wijzigen;Hoe het juiste softwarepackage te vinden;Hoe ports bij te werken.Overzicht van SoftwareinstallatieAls de lezer eerder gebruik heeft gemaakt van een &unix;
systeem dan is het bekend dat de standaardprocedure voor het
installeren van software van derden ongeveer als volgt is:Download de software als broncode of als binair
bestand;Pak de software uit vanuit zijn originele distributietype
(meestal een tar-bestand gecomprimeerd met &man.compress.1;,
&man.gzip.1;, of &man.bzip2.1;);Zoek de documentatie (meestal een
INSTALL of README
bestand of enkele bestanden in een submap
doc/) en lees zorgvuldig hoe de software
geïnstalleerd moet worden;Als de software als broncode is gedistribueerd, moet de
broncode gecompileerd worden. Dit kan wijzigingen in een
Makefile vereisen of het draaien van een
configure script en andere
werkzaamheden;De software installeren en testen.En dat geldt alleen als alles goed gaat. Als er een
softwarepackage geïnstalleerd wordt dat niet specifiek
gemaakt is voor &os; moet mogelijkerwijs zelfs de code aangepast
worden om alles goed te laten werken.Als de gebruiker het wenst, kan hij in &os; doorgaan met het
installeren van software op de traditionele
manier. &os; levert echter twee technologieën die veel
moeite kunnen besparen: packages en ports. Op dit moment zijn zo
meer dan &os.numports; applicaties beschikbaar.Voor iedere gewenste applicatie is het &os; package voor die
applicatie één te downloaden bestand. Het package
bevat voorgecompileerde kopiën met alle commando's voor de
applicatie en alle instellingenbestanden of documentatie. Een
gedownload packagebestand kan gemanipuleerd worden met &os;
packagemanagement commando's zoals &man.pkg.add.1;,
&man.pkg.delete.1;, &man.pkg.info.1;, enzovoort. Het installeren
van een nieuwe applicatie kan met één
commando.Een &os; port van een applicatie is een groep bestanden
ontworpen om het proces van compileren van een applicatie vanuit
broncode te automatiseren.Het is te vergelijken met de stappen die normaal gevolgd
worden om een programma te compileren (downloaden, uitpakken,
aanpassen, compileren en installeren). De bestanden die samen
een port vormen bevatten alle noodzakelijke informatie om het
systeem dit te laten doen. Met een aantal eenvoudige commando's
wordt de broncode voor de applicatie automatisch gedownload,
uitgepakt, aangepast, gecompileerd en geïnstalleerd.Het portssysteem kan zelfs gebruikt worden om packages te
maken die later weer gemanipuleerd kunnen worden met
pkg_add en andere packagemanagement
commando's, waarover later meer uitleg wordt gegeven.Zowel packages als ports kennen afhankelijkheden
(dependencies). Stel dat er een applicatie
geïnstalleerd gaat worden die er vanuit gaat dat een
specifieke bibliotheek wordt geïnstalleerd. Zowel de
applicatie als de bibliotheek zijn beschikbaar als &os; ports
en packages. Als het commando pkg_add of
het portssysteem wordt gebruikt om de applicatie toe te voegen,
dan zien beiden dat de bibliotheek niet geïnstalleerd is
en wordt deze automatisch eerst geïnstalleerd.Gezien het feit dat beide technologieën vrijwel identiek
zijn, kan de vraag rijzen waarom &os; de moeite neemt om beide te
faciliteren. Packages en ports hebben ieder hun eigen kracht.
Welke gebruikt wordt hangt af van voorkeuren en
omstandigheden.Voordelen van PackagesEen gecomprimeerd package tar-bestand is meestal kleiner
dan het gecomprimeerde tar-bestand met de broncode van de
applicatie;Packages vereisen geen additionele compilatie. Voor
grote applicaties als Mozilla,
KDE of
GNOME kan dit belangrijk zijn,
vooral als een systeem wat trager is;Packages vereisen geen begrip van het proces van het
compileren van software op &os;.Voordelen van PortsPackages worden meestal gecompileerd met conservatieve
opties, omdat ze moeten draaien op een maximaal aantal
systemen. Bij het installeren vanuit de port kunnen de
compilatieinstellingen aangepast worden om zo bijvoorbeeld
code te maken die specifiek voor een Pentium IV of een
Athlon processor is;Sommige applicaties hebben compilatieinstellingen
gerelateerd aan wat ze wel of niet kunnen doen.
Apache kan bijvoorbeeld ingesteld
worden met een uitgebreide hoeveelheid verschillende
ingebouwde instellingen. Door vanuit de port te werken
hoeven niet alle standaardinstellingen geaccepteerd te worden
en kunnen ze ingesteld worden;In sommige gevallen zijn er meerdere packages voor
dezelfde applicatie om specifieke instellingen aan te geven.
Ghostscript is bijvoorbeeld
beschikbaar als een ghostscript package
en ghostscript-nox11 package,
afhankelijk van het al dan niet geïnstalleerd hebben van
een X11 server. Deze ruwe vorm van tweaking is mogelijk met
packages, maar dit wordt snel onmogelijk als een applicatie
meer dan één of twee verschillende
compilatieinstellingen heeft;De licentievoorwaarden van sommige softwaredistributies
verbieden binaire distributie. Ze moeten dus gedistribueerd
worden als broncode;Sommige mensen vertrouwen binaire distributies niet.
Broncode kan tenminste (in theorie) zelf doorgelezen en
gecontroleerd worden op potentiële problemen;Als er lokale modificaties zijn, is de broncode nodig om
ze toe te passen;Sommige mensen hebben graag de broncode zodat ze die
kunnen lezen als ze zich vervelen, erin kunnen hacken, code
kunnen overnemen (indien de licentie dit toestaat
natuurlijk), enzovoort.Om vernieuwingen van ports bij te houden kan een abonnement
genomen worden op de &a.ports; en/of de &a.ports-bugs;.Voordat een applicatie wordt geïnstalleerd is het aan
te raden op
na kijken of er geen beveiligingsproblemen voor de gewenste
applicatie bekend zijn.Het is ook mogelijk om security/portaudit te installeren,
dat automatisch alle geïnstalleerde applicaties
controleert op bekende fouten. Deze controle wordt ook
uitgevoerd voordat een port wordt geïnstalleerd.
Met het commando portaudit -F -a
kunnen de packages die al geïnstalleerd zijn worden
gecontroleerd.In de rest van dit hoofdstuk wordt uitgelegd hoe packages en
ports gebruikt kunnen worden om software in &os; te installeren
en te beheren.Een Applicatie ZoekenVoordat een applicatie geïnstalleerd kan worden, moeten
de doelen bekend zijn en hoe de applicatie heet.De lijst met voor &os; beschikbare applicaties groeit
continu. Gelukkig zijn er een aantal manieren om te
zoeken:Op de &os; website staat een recente doorzoekbare lijst
met alle beschikbare applicaties: http://www.FreeBSD.org/ports/.
De ports zijn onderverdeeld in categorieën. Er kan naar
een applicatie gezocht worden op naam (als die bekend is) of
alle applicaties in een categorie kunnen bekeken
worden.FreshPortsDan Langille onderhoudt FreshPorts op . FreshPorts
volgt veranderingen in applicaties in de ports en biedt de
mogelijkheid om of meer ports te volgen. Er wordt dan een
e-mail gestuurd als de port is bijgewerkt.FreshMeatAls de naam van de gewenst applicatie niet bekend is, is
het wellicht mogelijk deze te achterhalen via een website als
FreshMeat ()
en kan daarna op de &os; site gecontroleerd worden of de
applicatie al geschikt gemaakt is voor gebruik met
&os;.Als de precieze naam van de port bekend is, maar niet
bekend is in welke categorie deze staat, kan dit achterhaald
worden met &man.whereis.1;. Door simpelweg whereis
bestand in te geven,
waar bestand het te instelleren
programma is. Als het op het systeem staat, wordt dat als
volgt aangegeven:&prompt.root; whereis lsof
lsof: /usr/ports/sysutils/lsofDit geeft aan dat lsof (een
systeemhulpprogramma) in de map
/usr/ports/sysutils/lsof staat.Een andere manier om een port op te sporen is door het
ingebouwde zoekmechanisme van de portscollectie te
gebruiken. Hiervoor moet het huidige pad de map
/usr/ports zijn. Vanuit die map kan
make search
name=programmanaam
uitgevoerd worden, waar
programmanaam de naam is van het
programma dat wordt gezocht. Als bijvoorbeeld
lsof wordt gezocht:&prompt.root; cd /usr/ports
&prompt.root; make search name=lsof
Port: lsof-4.56.4
Path: /usr/ports/sysutils/lsof
Info: Lists information about open files (similar to fstat(1))
Maint: obrien@FreeBSD.org
Index: sysutils
B-deps:
R-deps:Het belangrijkste onderdeel van de uitvoer is in dit geval
de regel waarop Path: staat, omdat die aangeeft
waar de port staat. De andere informatie is niet nodig voor de
installatie van de port en wordt hier niet behandeld.Voor nog dieper zoeken kan ook make
search key=string
gebruikt worden waar string tekst is
waarnaar gezocht moet worden. Hiermee wordt naar namen van
ports, commentaar, beschrijvingen en afhankelijkheden gezocht
en dit kan gebruikt worden om ports te vinden die te maken
hebben met een bepaald onderwerp als onbekend is hoe het
gezochte programma heet.In beide gevallen is de zoekstring niet
hoofdlettergevoelig. Zoeken naar LSOF geeft
hetzelfde resultaat als zoeken naar lsof.ChernLeeBijgedragen door Het Packagessysteem GebruikenEen Package Installerenpackagesinstallerenpkg_addMet &man.pkg.add.1; kan een &os; softwarepackage
geïnstalleerd worden vanaf een lokaal bestand of vanaf een
server op het netwerk.Handmatig een Package Downloaden en Lokaal
Installeren&prompt.root; ftp -a ftp2.FreeBSD.org
Connected to ftp2.FreeBSD.org.
220 ftp3.FreeBSD.org FTP server (Version 6.00LS) ready.
331 Guest login ok, send your email address as password.
230-
230- This machine is in Vienna, VA, USA, hosted by Verio.
230- Questions? E-mail freebsd@vienna.verio.net.
230-
230-
230 Guest login ok, access restrictions apply.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>cd /pub/FreeBSD/ports/packages/sysutils/
250 CWD command successful.
ftp>get lsof-4.56.4.tgz
local: lsof-4.56.4.tgz remote: lsof-4.56.4.tgz
200 PORT command successful.
150 Opening BINARY mode data connection for 'lsof-4.56.4.tgz' (92375 bytes).
100% |**************************************************| 92375 00:00 ETA
226 Transfer complete.
92375 bytes received in 5.60 seconds (16.11 KB/s)
ftp>exit
&prompt.root; pkg_add lsof-4.56.4.tgzAls er lokaal geen bron is voor packages (zoals de &os;
CD-ROM set) dan is het waarschijnlijk makkelijker om de
optie te gebruiken met &man.pkg.add.1;.
Deze optie zorgt er voor dat het hulpprogramma automatisch het
correcte formaat en de juiste versie bepaalt en die daarna
binnenhaalt en installeert vanaf een FTP site.
pkg_add&prompt.root; pkg_add -r lsofHet voorbeeld hierboven haalt het correcte package binnen
en installeert het zonder dat de gebruiker iets hoeft te doen.
Het is mogelijk een alternatieve &os; packagessite aan te geven
in plaats van de hoofddistributiesite. Dan moet
PACKAGESITE ingesteld worden om de
standaardinstellingen aan te passen. &man.pkg.add.1; gebruikt
&man.fetch.3; om de bestanden binnen te halen, dat gebruik
maakt van diverse omgevingsvariabelen zoals
FTP_PASSIVE_MODE, FTP_PROXY, en
FTP_PASSWORD. Mogelijk moeten ook
één of meer van deze variabelen gebruikt worden
als een machine achter een firewall staat of als gebruik
gemaakt moet worden van een FTP/HTTP proxy. In &man.fetch.3;
staat de complete lijst. In het voorbeeld hierboven is gebruik
gemaakt van lsof in plaats van
lsof-4.56.4. Als het package wordt
binnengehaald met behulp van de bovenstaande instellingen, dan
moet het versienummer van het package niet gebruikt worden.
&man.pkg.add.1; haalt automatisch de laatste versie van de
applicatie binnen.&man.pkg.add.1; downloadt de meest recente versie van een
applicatie als &os.current; of &os.stable;. Als een
-RELEASE versie wordt gebruikt, wordt het package dat bij die
release hoort gebruikt. Het is mogelijk dit gedrag te
veranderen door de omgevingsvariabele
PACKAGESITE te wijzigen.Packagebestanden worden gedistribueerd in de formaten
.tgz en .tbz. Ze
zijn te vinden op
of op de &os; CD-ROM distributie. Iedere CD in de &os; 4-CD
set (en de PowerPak, enzovoort) bevat packages in de map
/packages. De opbouw van de packages is
ongeveer gelijk aan die van /usr/ports.
Iedere categorie heeft zijn eigen map en ieder package staat
ook in de map All.
De mappenstructuur van het packagesysteem is gelijk aan die
van het portssysteem. Samen vormen ze het
package/portssysteem.Packages Beherenpackagesbeheren&man.pkg.info.1; is een hulpprogramma dat de diverse
geïnstalleerde packages toont en beschrijft.pkg_info&prompt.root; pkg_info
cvsup-16.1 A general network file distribution system optimized for CV
docbook-1.2 Meta-port for the different versions of the DocBook DTD
...&man.pkg.version.1; is een hulpprogramma dat een
samenvatting van de versie van alle geïnstalleerde
packages geeft. Het vergelijkt de versie van het package met
de huidige versie in de portscollectie.pkg_version&prompt.root; pkg_version
cvsup =
docbook =
...De symbolen in de tweede kolom geven aan hoe de
geïnstalleerde versie staat ten opzichte van de versie die
beschikbaar is in de lokale portscollectie.SymboolBetekenis=De versie van het geïnstalleerde package komt
overeen met die in de lokale portscollectie.<De geïnstalleerde versie is ouder dan die
beschikbaar is in de ports.>De geïnstalleerde versie is nieuwer dan die
in de lokale portscollectie. De lokale portscollectie
is waarschijnlijk verouderd.?Het geïnstalleerde package kan niet gevonden
worden in index van de portscollectie. Dit kan
bijvoorbeeld gebeuren als een geïnstalleerde port
uit de portscollectie wordt verwijderd of
hernoemd.*Er zijn meerdere versies van het package.Een Package Verwijderenpkg_deletepackagesdeletingVoor het verwijderen van een geïnstalleerd package
wordt het hulpprogramma &man.pkg.delete.1; gebruikt.&prompt.root; pkg_delete xchat-1.7.1DiversenAlle informatie over packages wordt opgeslagen in de map
/var/db/pkg. De lijst met
geïnstalleerde bestanden en beschrijvingen van ieder
package staat in de bestanden in deze map.De Portscollectie GebruikenIn de volgende paragrafen worden basisinstructies gegeven
over het gebruik van de portscollectie om programma's op een
systeem te installeren of ervan te verwijderen.De PortscollectieVoordat ports geïnstalleerd kunnen worden moet eerst
de portscollectie op een systeem staan, die in essentie een set
van Makefiles, patches en bestanden met
beschrijvingen is in /usr/ports.Tijdens het installeren van een &os; systeem, vraagt
sysinstall of de portscollectie
geïnstalleerd moet worden. Als daar NO is
aangegeven, dan kan met behulp van de volgende instructies
alsnog de portscollectie op een systeem gezet worden:Met SysinstallBij deze methode wordt
sysinstall weer gebruikt om de
portscollectie te installeren.sysinstall
(/stand/sysinstall in &os; versies
ouder dan 5.2) dient als
root uitgevoerd te worden:>&prompt.root; sysinstallSelecteer onderaan
Configure en druk op
Enter;Selecteer onderaan
Distributions en druk op
Enter;Selecteer ports en druk op
Space;Selecteer bovenaan Exit en
druk op Enter;Selecteer het gewenste installatiemedium, zoals CDROM,
FTP, enzovoort;Selecteer bovenaan Exit en
druk op Enter;Druk op X om
sysinstall te verlaten.De alternatieve methode om de portscollectie te installeren
en bij te werken maakt gebruik van
CVSup. Zie hiervoor het bestand
/usr/share/examples/cvsup/ports-supfile
uit de port CVSup. In dat bestand
en CVSup gebruiken
() staat meer informatie over het gebruik
van CVSup.Met CVSupDit is een snelle methode om de portscollectie te
installeren met behulp van CVSup.
Meer informatie over CVSup of over
het bijgewerkt houden van de portscollectie staat in de eerder
genoemde paragraaf.De port net/cvsup
dient geïnstalleerd te worden. Meer details zijn te
vinden in CVSup
Installatie ();/usr/share/examples/cvsup/ports-supfile
dient als root naar een nieuwe lokatie
zoals /root of een thuismap gekopieerd
te worden;ports-supfile dient aangepast te
worden;CHANGE_THIS.FreeBSD.org
dient gewijzigd te worden in een
CVSup server in de buurt. In
CVSup Mirrors () staat een complete lijst van
mirrorsites;Start cvsup:&prompt.root; cvsup -g -L 2 /root/ports-supfileAls dit commando later wordt herhaald, dan worden alle
recente veranderingen binnengehaald. De ports die al
geïnstalleerd zijn worden niet opnieuw gebouwd!Ports InstallerenportsinstallerenHet eerste wat uitleg behoeft als het over de
portscollectie gaat is de term skelet
(skeleton). In een notendop is een portskelet
een minimaal aantal bestanden dat &os; aangeeft hoe een
programma gecompileerd en geïnstalleerd kan worden. Ieder
portskelet bevat:Een Makefile. De
Makefile bevat verschillende
definities die aangeven hoe de applicatie gecompileerd moet
worden en waar die op een systeem geïnstalleerd moet
worden;Een bestand distinfo. Dit bestand
bevat informatie over de bestanden die gedownload moeten
worden om de port te bouwen en hun checksums, om met
&man.md5.1; vast te stellen dat de bestanden niet corrupt
zijn geraakt tijdens de download.;Een map files. Deze map bevat
patches om het programma op een &os; systeem te laten
compileren en installeren. Patches zijn in essentie kleine
bestanden waarin kleine veranderingen aan andere,
specifieke, bestanden staan aangegeven. Ze zijn opgesteld
in platte tekst en er staan dingen in als Verwijder
regel 10 of Wijzig regel 26 in
.... Patches staan ook wel bekend als
diffs omdat ze gemaakt worden met het
programma &man.diff.1;.Deze map kan ook andere bestanden bevatten die gebruikt
worden om de port te bouwen;Een bestand pkg-descr. Dit is een
meer gedetailleerde beschijving van het programma, vaak in
één regel;Een bestand pkg-plist. Dit is een
lijst met alle bestanden die door de port
geïnstalleerd worden. Het geeft het portssysteem ook
aan welke bestanden bij het verwijderen van de port weer
verwijderd kunnen worden.Sommige ports bevatten nog andere bestanden, zoals
pkg-message. Het portssysteem gebruikt
die bestanden voor het afhandelen van bijzondere situaties.
Meer details over die bestanden en over ports in het algemeen
zijn na te lezen in het &os; Handboek
voor Porters.De port bevat instructies over hoe de broncode gebouwd moet
worden, maar de broncode zelf is er geen onderdeel van. De
broncode staat op een CD-ROM of op internet. De broncode
wordt verspreid op de wijze waarop de auteur dat wenst. Vaak
is dat als een tar of gzip bestand, maar het kan ook ingepakt
zijn met een ander programma of helemaal niet ingepakt zijn.
De broncode van een programma, in welke vorm dan ook, heet een
distfile. De twee methoden om een &os; port te
installeren worden hieronder beschreven.Ports installeren dient als root te
gebeuren.Voordat een port wordt geïnstalleerd is het aan
te raden op
na kijken of er geen beveiligingsproblemen voor de
gewenste applicatie bekend zijn.Het is ook mogelijk om security/portaudit te
installeren. Hiermee wordt die controle automatisch
uitgevoerd voordat een port wordt geïnstalleerd. Met
het commando portaudit -F kan de
meest recente versie van de database met
beveiligingsproblemen opgehaald worden. Door deze port wordt
dagelijks een beveiligingsaudit gedaan en wordt ook dagelijks
de database bijgewerkt. Meer informatie is te vinden in
&man.portaudit.1; en &man.periodic.8;.Ports vanaf CD-ROM Installerenportsinstalleren vanaf CD-ROMDe officiële &os; Project CD-ROM images bevatten
geen distfiles meer. Die kostten veel ruimte die beter
gevuld kon worden met voorgecompileerde packages. CD-ROM
producten als het &os; PowerPak bevatten wel distfiles en
deze kunnen besteld worden bij een verkoper als de &os; Mall. In
deze paragraaf wordt aangenomen dat er een &os; CD-ROM set
aanwezig is.De &os; CD-ROM dient in de drive te zitten en gemount te
worden op /cdrom. Als er een ander
mountpunt wordt gebruikt, dient de make
variable CD_MOUNTPTS te worden ingesteld.
Om te beginnen dient de juiste map voor een port aangegeven
te worden:&prompt.root; cd /usr/ports/sysutils/lsofEenmaal in de map lsof is het skelet
van de port te zien. In de volgende stap wordt de broncode
voor de port gecompileerd of gebouwd. Dit
wordt gedaan door op het prompt make in te
voeren. Dat levert iets als het volgende op:&prompt.root; make
>> lsof_4.57D.freebsd.tar.gz doesn't seem to exist in /usr/ports/distfiles/.
>> Attempting to fetch from file:/cdrom/ports/distfiles/.
===> Extracting for lsof-4.57
...
[uitvoer van uitpakken verwijderd]
...
>> Checksum OK for lsof_4.57D.freebsd.tar.gz.
===> Patching for lsof-4.57
===> Applying FreeBSD patches for lsof-4.57
===> Configuring for lsof-4.57
...
[uitvoer van configure verwijderd]
...
===> Building for lsof-4.57
...
[uitvoer van compileren verwijderd]
...
&prompt.root;Als het compileren is afgerond is het prompt weer
zichtbaar. In de volgende stap wordt de port
geïnstalleerd. Om dat te bewerkstelligen wordt het
woord install aan make
toegevoegd:&prompt.root; make install
===> Installing for lsof-4.57
...
[uitvoer installatie verwijderd]
...
===> Generating temporary packing list
===> Compressing manual pages for lsof-4.57
===> Registering installation for lsof-4.57
===> SECURITY NOTE:
This port has installed the following binaries which execute with
increased privileges.
&prompt.root;Als het prompt weer beschikbaar is, is de applicatie
klaar voor gebruik. Omdat lsof met
verhoogde rechten wordt uitgevoerd, wordt er een
waarschuwing getoond. Tijdens het bouwen en installeren van
ports zijn de getoonde waarschuwingen van belang.Het is mogelijk een stap minder te gebruiken door
make install uit te voeren in plaats van
make en make install
als twee afzonderlijke stappen.Sommige shells houden een cache bij van de commando's
die in de mappen uit de omgevingsvariabele
PATH staan om het opzoeken van een
uitvoerbaar bestand te versnellen. Als zo'n shell wordt
gebruikt, moet er na de installatie van een port het
commando rehash worden uitgevoerd
voordat zojuist geïnstalleerde commando's kunnen
- worden gebruikt. Dit geldt zowel voor shells die
- onderdeel uitmaken van het basissysteem (zoals
- tcsh) als voor shells uit de
- portscollectie (als shells/zsh).
+ worden gebruikt. Dit commando werkt voor shells zoals
+ tcsh. Voor shells als
+ sh of shells/bash dient
+ hash -r gebruikt te worden. In de
+ documentatie van een shell staat meer informatie.
Licenties van sommige ports staan niet toe dat de
code wordt opgenomen in een CD-ROM. Dit kan komen doordat
er een formulier ingevuld moet worden voor een download of
doordat herdistributie niet is toegestaan of om een andere
reden. Om een port te installeren die niet op de CD-ROM
staat moet de computer waarop de port geïnstalleerd
wordt een internetverbinding hebben. Dit staat in de
volgende paragraaf
beschreven.Ports vanaf Internet InstallerenNet als in de vorige paragraaf wordt hier aangenomen dat
er voor een systeem een werkende internetverbinding is. Als
die er niet is, dient de CD-ROM installatie gevolgd te
worden of moet met de hand de distfile in
/usr/ports/distfiles gezet
worden.Het installeren van een ports vanaf internet gaat op
precies dezelfde manier als de installatie vanaf CD-ROM. Het
enige verschil is dat de distfile van internet komt in plaats
vanaf de CD-ROM.Het stappenplan is ook hetzelfde:&prompt.root; make install
>> lsof_4.57D.freebsd.tar.gz doesn't seem to exist in /usr/ports/distfiles/.
>> Attempting to fetch from ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/distfiles/.
Receiving lsof_4.57D.freebsd.tar.gz (439860 bytes): 100%
439860 bytes transferred in 18.0 seconds (23.90 kBps)
===> Extracting for lsof-4.57
...
[uitvoer van uitpakken verwijderd]
...
>> Checksum OK for lsof_4.57D.freebsd.tar.gz.
===> Patching for lsof-4.57
===> Applying FreeBSD patches for lsof-4.57
===> Configuring for lsof-4.57
...
[uitvoer van configure verwijderd]
...
===> Building for lsof-4.57
...
[uitvoer van compileren verwijderd]
...
===> Installing for lsof-4.57
...
[uitvoer van installatie verwijderd]
...
===> Generating temporary packing list
===> Compressing manual pages for lsof-4.57
===> Registering installation for lsof-4.57
===> SECURITY NOTE:
This port has installed the following binaries which execute with
increased privileges.
&prompt.root;Het enige verschil is de regel die aangeeft waar de
distfile wordt opgehaald.Het portssysteem gebruikt &man.fetch.1; om bestanden te
downloaden. Dat programma maakt gebruik van een aantal
omgevingsvariabelen, waaronder
FTP_PASSIVE_MODE, FTP_PROXY,
en FTP_PASSWORD. Als een systeem achter een
firewall staat, is het wellicht noodzakelijk om een of meer
van deze omgevingsvriabelen in te stellen of om gebruik te
maken van een FTP/HTTP proxy. In &man.fetch.3; staat een
complete lijst.Als er geen continue internetverbinding is, kan gebruik
gemaakt worden van make
fetch. Door dit
commando in de map /usr/ports uit te
voeren worden alle benodigde bestanden
gedownload. Dit commando werkt ook op een lager niveau als
/usr/ports/net of
/usr/ports/net/xmule. Als een port
afhankelijk is van bibliotheken of andere ports dan worden
de distfiles van die ports niet
opgehaald. Om dat de bereiken dient
fetch vervangen te worden door
fetch-recursive.Het is mogelijk alle ports in een categorie te bouwen
door make in een hogere map uit te
voeren, naar analogie van het voorbeeld voor make
fetch. Dit is wel
gevaarlijk, omdat sommige ports niet tegelijk met andere
geïnstalleerd kunnen zijn. In andere gevallen
installeren twee ports hetzelfde bestand met een andere
inhoud.In zeldzame gevallen willen of moeten gebruikers de tar
bestanden van een andere site dan de
MASTER_SITES halen (de locatie waar de
bestanden vandaan komen). Dat is mogelijk met de optie
MASTER_SITES met een volgend
commando:&prompt.root; cd /usr/ports/directory
&prompt.root; make MASTER_SITE_OVERRIDE= \
ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/distfiles/ fetchIn het voorgaande voorbeeld is de optie
MASTER_SITES gewijzigd naar ftp.FreeBSD.org/pub/FreeBSD/ports/distfiles/.Sommige ports staan toe (of schrijven zelfs voor) dat
er een aantal instellingen worden meegegeven die bepaalde
onderdelen (niet gebruikt, beveiligingsinstellingen en
andere aanpassingen) van de applicatie in- of uitschakelen.
Voorbeelden van ports waarbij dat het geval is zijn
www/mozilla, security/gpgme en mail/sylpheed-claws. Er wordt
een bericht getoond als dit soort instellingen beschikbaar
zijn.Standaardmappen voor Ports WijzigenSoms is het handig (of verplicht) om een andere map voor
distfiles of ports te gebruiken. Met de variabelen
PORTSDIR en PREFIX
kunnen de standaardmappen veranderd worden:&prompt.root; make PORTSDIR=/usr/home/example/ports installHet voorbeeld hierboven compileert de port in
/usr/home/example/ports en installeert
alles in /usr/local.&prompt.root; make PREFIX=/usr/home/example/local installHet voorbeeld hierboven compileert in
/usr/ports en installeert in
/usr/home/example/local.&prompt.root; make PORTSDIR=../ports PREFIX=../local installHet voorbeeld hierboven combineert de twee instellingen.
Het gaat te ver om dit volledig in het handboek te
beschrijven, maar hier krijgt de lezer een idee van de
mogelijkheden.Het is ook mogelijk de bovenstaande variabelen als deel
van de omgeving in te stellen. In de hulppagina's van de
gebruikte shell staat hoe dat mogelijk is.Omgaan met imakeEr zijn ports die imake gebruiken
(een onderdeel van het X Window Systeem) die niet goed werken
met PREFIX en erop staan te installeren in
/usr/X11R6. Er zijn ook een aantal Perl
ports die PREFIX negeren en in de Perl
hiërarchie installeren. Deze ports op de
PREFIX locatie laten installeren is
meestal erg moeilijk of onmogelijk.Geïnstalleerde Ports VerwijderenportsverwijderenIn deze paragraaf wordt het verwijderen van ports
behandeld. Dat kan nodig zijn als een port niet langer wordt
gebruikt of als de verkeerde ports is geïnstalleerd. Dit
wordt geïllustreerd door de port uit het vorige voorbeeld
te verwijderen (lsof). Net als bij het
installeren van ports, moet eerst naar de juiste map gegaan
worden (/usr/ports/sysutils/lsof). Daarna
kan lsof verwijderd worden. Dit gaat met
het commando make deinstall:&prompt.root; cd /usr/ports/sysutils/lsof
&prompt.root; make deinstall
===> Deinstalling for lsof-4.57Erg makkelijk dus. Nu is lsof van een
systeem verwijderd. Om het opnieuw te installeren kan vanuit
de map /usr/ports/sysutils/lsofmake reinstall uitgevoerd worden.Het uitvoeren van make deinstall en
make reinstall werkt niet als ooit
make clean voor die port is uitgevoerd. Om
een port te verwijderen na het cleanen van die port kan
&man.pkg.delete.1; gebruikt worden, zoals wordt toegelicht in
de paragraaf Het Packagessysteem
Gebruiken.Ports en SchijfruimteportsschijfruimteWerken met de portscollectie kan in de loop der tijd veel
diskruimte gebruiken. Omdat de portsstructuur de neiging heeft
in de loop der tijd in grootte te groeien, na het bouwen en
installeren van software uit de ports, is het van belang altijd
de tijdelijke werkmappen work op te ruimen met het
commando make clean.
Hiermee wordt de map work verwijderd nadat
een port is gebouwd en geïnstalleerd. Daarnaast kunnen
ook de distfiles met de broncode verwijderd worden uit de map
distfiles en
kunnen ports die niet meer gebruikt worden verwijderd
worden.Sommige gebruikers kiezen ervoor om de beschikbare port
categorieën te beperken met instellingen in het bestand
refuse. Zo kan bij het draaien van de
applicatie CVSup voorkomen worden
dat bestanden in een categorie worden gedownload. Meer
informatie over refuse staat in .Ports BijwerkenportupgradeportsbijwerkenAls de portscollectie eenmaal is bijgewerkt
vóór het bijwerken van ports, is het verstandig
het bestand /usr/ports/UPDATING te
raadplegen. In dat bestand staan aanwijzingen en wijzigingen
voor gebruikers die van belang zijn bij het bijwerken van
ports.Het bijwerken van ports kan een vervelend klusje zijn. Om
bijvoorbeeld een port bij te werken is het nodig om naar de
juiste portsmap te gaan, de port te bouwen, de oude port te
verwijderen, de nieuwe port te installeren en daarna de werkmap
op te ruimen. Het is voorstelbaar dat dit voor bijvoorbeeld
vijf ports een vervelend klusje is. Dit was een groot probleem
voor systeembeheerders, dus zijn daar hulpprogramma's voor
gemaakt. Zo voert het hulpprogramma sysutils/portupgrade het complete
hiervoor beschreven proces uit! Die port is gewoon als iedere
andere port te installeren met make install
clean.Nu kan er een database gemaakt worden met het commando
pkgdb -F. Hiermee wordt de lijst van
geïnstalleerde ports gelezen en wordt een databasebestand
gemaakt in de map /var/db/pkg. Als daarna
portupgrade -a wordt uitgevoerd, wordt
die database gelezen en het bestand INDEX
van de ports. Tenslotte begint
portupgrade met het downloaden,
bouwen, back-uppen, installeren en opschonen van de ports die
zijn bijgewerkt. portupgrade kent
veel opties voor verschillend gebruik. De meest belangrijke
worden hieronder besproken.Om een specifieke applicatie bij te werken en niet de hele
database, kan portupgrade
pkgname gebruikt worden.
De vlag kan gebruikt worden om
portupgrade ook te draaien voor alle
packages waar het opgegeven package van afhankelijk is en
de optie zorgt ervoor dat het wordt
gedraaid voor alle packages die van het opgegeven package
afhankelijk zijn.Om bij installatie van packages in plaats van ports gebruik
te maken kan gebruikt worden. Met deze
optie zoekt portupgrade in de
lokale mappen uit PKG_PATH of haalt de packages
van via het netwerk op als het lokaal niet wordt aangetroffen.
Als een package niet lokaal en niet via het netwerk wordt
gevonden, dan gebruikt portupgrade
ports. Om het gebruik van ports te voorkomen kan gebruik
gemaakt worden van de optie .Om alleen de distfiles op te halen (of packages als
is opgegeven), zonder bouwen of
installeren, is beschikbaar. Meer
informatie staat in &man.portupgrade.1;.Het is van belang om regelmatig de packagedatabase bij
te werken met pkgdb -F om
inconsistenties de repareren, in het bijzonder als
portupgrade daar om vraagt. Als
portupgrade tijdens het bijwerken
van de packagedatabase wordt onderbroken levert dat een
inconsistente database op.Er bestaan ook andere hulpprogramma's die de besproken
taken uit kunnen voeren. Deze zijn te vinden in de map
ports/sysutils.Activiteiten na het InstallerenNa het installeren van een nieuwe applicatie is het meestal
verstandig om de documentatie te lezen die bij een applicatie
zit, bestanden met instellingen die vereist zijn aan te passen,
ervoor te zorgen dat de applicatie start na het booten (als het
een daemon is), enzovoort.De exacte stappen om een applicatie in te stellen zijn
natuurlijk voor iedere applicatie anders. Maar als er net een
nieuwe applicatie is geïnstalleerd en het is niet
vanzelfsprekend hoe verder te gaan, dan kunnen de volgende tips
helpen:Met &man.pkg.info.1; kan uitgevonden worden welke
bestanden geïnstalleerd zijn en waar. Om bijvoorbeeld
uit te vinden welke bestanden door FooPackage versie 1.0.0
zijn geïnstalleerd:&prompt.root; pkg_info -L foopackage-1.0.0 | lessBestanden in mapnamen met man/
zijn hulppagina's, etc/ bevat bestanden
met instellingen en doc/ bevat
uitgebreidere documentatie.Als niet helemaal duidelijk is welke versie van het
programma is geïnstalleerd, kan een commando als volgt
gebruikt worden:&prompt.root; pkg_info | grep -i foopackageHiermee worden alle packages getoond waar
foopackage in de packagenaam
voorkomt.Als de hulppagina's zijn gevonden, kunnen die bekeken
worden met &man.man.1;. Zo kan er ook in de bestanden met
voorbeeldinstellingen gekeken worden en naar aanvullende
documentatie, als die is bijgeleverd.Als er een website is voor de applicatie staat daar
vaak ook aanvullende documentatie, veelgestelde vragen,
enzovoort. Als het webadres niet bekend is, kan dat nog
staan in de uitvoer van het volgende commando:&prompt.root; pkg_info foopackage-1.0.0Als er een regel met WWW: in staat, is
dat de URL naar de website voor de applicatie.Ports die na het booten moeten starten (zoals internet
diensten) hebben meestal een voorbeeldscript in
/usr/local/etc/rc.d. Dit script kan
bekeken, aangepast en hernoemd worden waar nodig. Meer
informatie staat in Diensten
Starten.Omgaan met Kapotte PortsAls een port niet werkt, zijn er een aantal mogelijke
manieren om verder te komen:Repareren! In het Handboek
voor de Porter is gedetailleerde informatie te
vinden over de infrastructuur van de Ports,
zodat een kapotte port gemaakt kan worden of er zelfs een
nieuwe port ingestuurd kan worden.Klaag alleen per e-mail! Er kan
eerst een e-mail naar de beheerder van de port gestuurd
worden. Voor het mailadres van de beheerder kan
make maintainer ingegeven worden of het
kan in de Makefile staan. In de mail
dienen in ieder geval de naam en versie van de port te
staan (de regel met $&os;: in de
Makefile) en de uitvoer tot en met de
foutmelding. Als er geen antwoord komt van de beheerder,
kan er met &man.send-pr.1; een foutrapport ingestuurd
worden.Zoek een package van een FTP site in de buurt. De
master packagecollectie staat op ftp.FreeBSD.org in de map
packages, maar het is van belang dat er
eerst in de buurt wordt gekeken! Dat
het package werkt is waarschijnlijker dan wanneer uit de
de broncode wordt gecompileerd en het is nog sneller ook.
Een package kan met &man.pkg.add.1; geïnstalleerd
worden.
diff --git a/nl_NL.ISO8859-1/books/handbook/security/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/security/chapter.sgml
index ae3222667b..fdbd76a1a8 100644
--- a/nl_NL.ISO8859-1/books/handbook/security/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/security/chapter.sgml
@@ -1,5313 +1,5313 @@
MatthewDillonVeel uit dit hoofdstuk is overgenomen uit de
security(7) handboekpagina van SiebrandMazelandVertaald door BeveiligingbeveiligingOverzichtDit hoofdstuk biedt een basisinleiding in
systeembeveiligingsconcepten, een aantal goede basisregels en
een paar gevorderde onderwerpen binnen &os;. Veel van de
onderwerpen die worden behandeld kunnen ook worden toegepast op
systemen en internet in het algemeen. Het internet is niet
langer een vriendelijke omgeving waar iedereen
een goede buur wil zijn. Het beveiligen van een systeem is
onontbeerlijk als gegevens, intellectueel eigendom, tijd en wat
dan ook uit de handen van hackers c.s. gehouden moeten
worden.&os; biedt veel hulpmiddelen en mechanismen om te zorgen
voor de integriteit en veiligheid van een systeem en
netwerk.Na het lezen van dit hoofdstuk weet de lezer:Van basis systeembeveiligingsconcepten in relatie tot
&os;;Meer over verschillende versleutelingsmechanismen die
beschikbaar zijn in &os; zoals DES en
MD5;Hoe eenmalige wachtwoordauthenticatie opgezet kan
worden;Hoe TCP Wrappers in te stellen voor
gebruik met inetd;Hoe KerberosIV op &os;
releases eerder dan 5.0 opgezet kan worden;Hoe Kerberos5 op &os; 5.0
release en verder opgezet kan worden;Hoe IPsec wordt ingesteld en hoe een
VPN op te zetten tussen &os; en
µsoft.windows; machines;Hoe OpenSSH, &os;'s
SSH implementatie, in te stellen en te
gebruiken;Wat filesysteem ACLs zijn en hoe
die te gebruiken;Hoe om te gaan met publicaties van &os;
beveiligingswaarschuwingen.Er wordt aangenomen dat de lezer van dit hoofdstuk:Basisbegrip heeft van &os; en internetconcepten.In dit boek worden nog meer onderwerpen met betrekking tot
beveiliging beschreven. Zo wordt bijvoorbeeld Verplichte
Toegangscontrole (Mandatory Access Control) besproken in en Internet Firewalls in .IntroductieBeveiliging is een taak die begint en eindigt bij de
systeembeheerder. Hoewel alle BSD &unix; multi-user systemen
enige inherente beveiliging kennen, is het bouwen en onderhouden
van additionele beveiligingsmechanismen om de gebruikers
eerlijk te houden waarschijnlijk een van de
zwaarste taken voor de systeembeheerder. Machines zijn zo veilig
als ze gemaakt worden en beveiligingsoverwegingen staan altijd op
gespannen voet met de wens om gebruiksvriendelijkheid. &unix;
systemen zijn in het algemeen in staat tot het tegelijkertijd
uitvoeren van een enorm aantal processen en veel van die
processen acteren als server - daarmee wordt bedoeld dat externe
entiteiten er verbindingen mee kunnen maken en ertegen kunnen
praten. Nu de minicomputers en mainframes van gisteren de
desktops van vandaag zijn en computers onderdeel zijn van
netwerken en internetwerken, wordt beveiliging nog
belangrijker.Beveiliging kan het beste ingesteld worden door een gelaagde
ui-aanpak. In een notendop zijn er het beste net
zoveel lagen van beveiliging als handig is en daarna dient het
systeem zorgvuldig gemonitord te worden op inbraken. Het is niet
wenselijk beveiliging te overontwerpen, want dat doet afbreuk aan
de detectiemogelijkheden en detectie is een van de belangrijkste
aspecten van beveiligingsmechanismen. Zo heeft het bijvoorbeeld
weinig zin om de schg vlaggen (zie
&man.chflags.1;) op ieder binair bestand op een systeem te
zetten, omdat het, hoewel dit misschien tijdelijk binaire
bestanden beschermt, een inbreker in een systeem ervan kan
weerhouden een eenvoudig te detecteren wijziging te maken
waardoor beveiligingsmaatregelen de inbreker misschien
helemaal niet ontdekken.Systeembeveiliging heeft ook te maken met het omgaan met
verschillende vormen van aanvallen, zoals een poging om een
systeem te crashen of op een andere manier onstabiel te maken,
zonder te proberen de root account aan te
vallen (break root). Aandachtspunten voor
beveiliging kunnen opgesplitst worden in categorieën:Ontzeggen van dienst aanvallen (Denial of
service).Gebruikersaccounts compromitteren.root compromitteren via
toegankelijke servers.root compromitteren via
gebruikersaccounts.Achterdeur creëren (Backdoor).DoS aanvallenOntzegging van Dienst (DoS)beveiligingOntzegging van Dienst DoS aanvallen(DoS)Ontzegging van Dienst (DoS)Een ontzegging van dienst (DoS) aanval is een techniek die
de machine middelen ontneemt. In het algemeen zijn DoS aanvallen
brute kracht mechanismen die proberen de machine te crashen of op
een andere manier onbruikbaar te maken door de machine of de
netwerkcode te overvragen. Sommige DoS aanvallen proberen
misbruik te maken van bugs in de netwerkcode om een machine met
een enkel pakket te crashen. Zoiets kan alleen gerepareerd
worden door een aanpassing aan de kernel te maken. Aanvallen op
servers kunnen vaak hersteld worden door op de juiste wijze
opties in stellen om de belasting van servers te limiteren in
ongunstige omstandigheden. Omgaan met brute kracht aanvallen is
lastiger. Zo is een aanval met gefingeerde pakketten
(spoofed-packet) vrijwel niet te stoppen, behalve
dan door het systeem van internet los te koppelen. Misschien
gaat de machine er niet door plat, maar het kan wel een volledige
internetverbinding verzadigen.beveiligingaccount compromitteringEen gecompromitteerde gebruikersaccount komt nog veel vaker
voor dan een DoS aanval. Veel systeembeheerders draaien nog
steeds standaard telnetd,
rlogind,
rshd en
ftpd servers op hun machines. Deze
servers communiceren standaard niet over beveiligde verbindingen.
Het resultaat is dat als er een redelijk grote gebruikersgroep
is, er altijd wel van een of meer van de gebruikers die van
afstand op dat systeem aanmelden (wat toch de meest normale en
makkelijke manier is om op een systeem aan te melden) het
wachtwoord is afgeluisterd (sniffed). Een
oplettende systeembeheerder analyseert zijn logboekbestanden om
te zoeken naar verdachte bronadressen, zelfs als het om
succesvolle aanmeldpogingen gaat.Uitgangspunt moet altijd zijn dat als een aanvaller toegang
heeft tot een gebruikersaccount, de aanvaller de
root account kan compromitteren. In
werkelijkheid is het wel zo dat voor een systeem dat goed
beveiligd is en goed wordt onderhouden, toegang tot een
gebruikersaccount niet automatisch betekent dat de aanvaller ook
root privileges kan krijgen. Het is van
belang dit onderscheid te maken, omdat een aanvaller zonder
toegang tot root in het algemeen zijn sporen
niet kan wissen en op z'n best wat kan rommelen met bestanden van
de gebruiker of de machine kan crashen. Gecompromitteerde
gebruikersaccounts zijn vrij normaal omdat gebruikers normaliter
niet de voorzorgsmaatregelen nemen die systeembeheerders
nemen.beveiligingachterdeurenSysteembeheerders moeten onthouden dat er in potentie heel
veel manieren zijn om toegang tot root te
krijgen. Een aanvaller zou het
root wachtwoord kunnen kennen, een bug kunnen
ontdekken in een dienst die onder root
draait en daar via een netwerkverbinding op in kunnen breken of
een aanvaller zou een probleem kunnen met een suid-root programma
dat de aanvaller in staat stelt root te
worden als hij eenmaal toegang heeft tot een gebruikersaccount.
Als een aanvaller een manier heeft gevonden om
root te worden op een machine, dan hoeft
hij misschien geen achterdeur (backdoor) te
installeren. Veel bekende manieren die zijn gevonden om
root te worden, en weer zijn afgesloten,
vereisen veel werk van de aanvaller om zijn rommel achter zich op
te ruimen, dus de meeste aanvallers installeren een achterdeur.
Een achterdeur biedt de aanvaller een manier om makkelijk opnieuw
root toegang tot het systeem te krijgen, maar
dit geeft de slimme systeembeheerder ook een makkelijke manier om
de inbraak te ontdekken. Het onmogelijk maken een achterdeur te
installeren zou best wel eens nadelig kunnen zijn voor
beveiliging, omdat hiermee nog niet het gat gedicht is waardoor
er in eerste instantie is ingebroken.Beveiligingsmaatregelen moeten altijd geïmplementeerd
worden in een meerlagenmodel en worden als volgt
gecategoriseerd:Beveiligen van root en
medewerkersaccounts.Beveiligen van root – servers
onder root en suid/sgid binaire
bestanden.Beveiligen van gebruikersaccounts.Beveiligen van het wachtwoordbestand.Beveiligen van de kern van de kernel, ruwe devices
en bestandssystemen.Snel detecteren van ongeoorloofde wijzigingen aan het
systeem.Paranoia.In het volgende onderdeel van dit hoofdstuk gaan we dieper in
op de bovenstaande punten.&os; Beveiligenbeveiliging&os; beveiligenCommando vs. ProtocolIn dit hele document gebruiken we
vette tekst om te verwijzen naar een
commando of applicatie en een monospaced
lettertype om te verwijzen naar specifieke commando's.
Protocollen staan vermeld in een normaal lettertype. Dit
typografische onderscheid is zinvol omdat bijvoorbeeld ssh
zowel een protocol als een commando is.In de volgende onderdelen behandelen we de methodes uit de
vorige paragraaf om een
&os; systeem te beveiligen.Beveiligen van root en
Medewerkersaccounts.suOm te beginnen: doe geen moeite om medewerkersaccounts
te beveiligen als de root account niet
beveiligd is. Op de meeste systemen heeft de
root account een wachtwoord. Als eerste
moet aangenomen worden dat dit wachtwoord
altijd gecompromitteerd is. Dit betekent
niet dat het wachtwoord verwijderd moet worden. Het wachtwoord
is namelijk bijna altijd nodig voor toegang via het console van
de machine. Het betekent wel dat het niet mogelijk gemaakt
moet worden om het wachtwoord te gebruiken buiten het console
om en mogelijk zelfs niet via het &man.su.1; commando. Pty's
moeten bijvoorbeeld gemarkeerd staan als onveilig
(insecure) in het bestand
/etc/ttys zodat direct aanmelden met
root via telnet
of rlogin niet wordt toegestaan. Als andere
aanmelddiensten zoals sshd gebruikt
worden, dan hoort direct aanmelden via
root uitgeschakeld staat. Dit kan door
het bestand /etc/ssh/sshd_config te
bewerken en ervoor te zorgen dat
PermitRootLogin op NO
staat. Dit moet gebeuren voor iedere methode van toegang
– diensten zoals FTP worden vaak over het hoofd gezien.
Het direct aanmelden van root hoort alleen
te mogen via het systeemconsole.wheelNatuurlijk moet een systeembeheerder de mogelijkheid hebben
om root te worden. Daarvoor kunnen een
paar gaatjes geprikt worden. Maar dan moet ervoor gezorgd
worden dat er voor deze gaatjes extra aanmelden met een
wachtwoord nodig is. Eén manier om
root toegankelijk te maken is door het
toevoegen van de juiste medewerkersaccounts aan de
wheel groep (in
/etc/group). De medewerkers die lid zijn
van de groep wheel mogen
su–en naar root.
Maak medewerkers nooit native lid van de groep
wheel door ze in de groep
wheel te plaatsen in
/etc/group. Medewerkersaccounts horen lid
te zijn van de groep staff en horen dan
pas toegevoegd te worden aan de groep
wheel in het bestand
/etc/group. Alleen medewerkers die ook
echt toegang tot root nodig hebben horen
in de groep wheel geplaatst te worden.
Het is ook mogelijk, door een authenticatiemethode als Kerberos
te gebruiken, om het bestand .k5login van
Kerberos in de root account te gebruiken
om een &man.ksu.1; naar root toe te staan
zonder ook maar iemand lid te maken van de groep
wheel. Dit is misschien wel een
betere oplossing, omdat het
wheel-mechanisme het nog steeds mogelijk
maakt voor een inbreker root te breken als
de inbreker een wachtwoordbestand te pakken heeft gekregen en
toegang kan krijgen tot één van de
medewerkersaccounts. Hoewel het instellen van het
wheel-mechanisme beter is dan niets, is
het niet per se de meest veilige optie.Een indirecte manier om de medewerkersaccounts te
beveiligen en uiteindelijk ook de toegang tot
root, is het gebruik van alternatieve
aanmeldmethodes en de wachtwoorden van de medewerkersaccounts,
zoals het heet uit te sterren. Met &man.vipw.8;
kan iedere instantie van een gecodeerd wachtwoord vervangen
worden door een enkel *
karakter. Met dit commando worden
/etc/master.passwd en de
gebruikers/wachtwoord database bijgewerkt om het aanmelden met
wachtwoord uit te schakelen.Een regel voor een medewerkersaccount als:foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcshZou veranderd moeten worden naar:foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcshDoor deze wijziging kan niet langer normaal aangemeld
worden omdat het gecodeerde wachtwoord nooit gelijk is aan de
*. Nu dit is gebeurd, moeten
medewerkers een ander mechanisme gebruiken om zich te
authenticeren zoals &man.kerberos.1; of &man.ssh.1; met een
publiek/privaat sleutelpaar. Bij het gebruik van iets als
Kerberos moeten gewoonlijk de machines waarop de Kerberos
server draait en het desktop werkstation beveiligd worden. Bij
het gebruik van een publiek/privaat sleutelpaar met ssh, moet
in het algemeen de machine van waar wordt
aangemeld beveiligd worden (meestal een werkstation). Het is
mogelijk nog een beveiligingslaag toe te voegen door het
sleutelpaar te beschermen met een wachtwoord als het aan te
maken met &man.ssh-keygen.1;. Door accounts van medewerkers
uit te sterren is het ook gegarandeerd dat ze
alleen aan kunnen melden door gebruik te maken van de veilige
toegangsmethodes die de beheerder heeft ingesteld. Hierdoor
worden alle medewerkers gedwongen veilige, gecodeerde
verbindingen te gebruiken voor al hun sessies. Daarmee wordt
een belangrijk beveiligingsgat gesloten dat veel indringers
gebruiken: snuffelen aan het netwerk vanaf een niet-relevante
minder veilige machine.Meer indirecte beveiligingsmechanismen hebben ook als
uitgangspunt dat vanaf een zwaarder beveiligde machine wordt
aangemeld op een minder beveiligd systeem. Als een
hoofdserver bijvoorbeeld allerlei servers draait, zou het
werkstation er geen moeten draaien. Om een werkstation
redelijk veilig te laten zijn, dienen er zo min mogelijk
servers op te draaien, bij voorkeur zelfs geen en er zou een
schermbeveiliging met wachtwoordbeveiliging op moeten draaien.
Maar als een aanvaller fysieke toegang heeft tot een
werkstation, dan kan hij elke beveiliging die erop is
aangebracht omzeilen. Dit probleem dient echt overwogen te
worden, net als het feit dat de meeste aanvallen van een
afstand plaatsvinden, via het netwerk, door mensen die geen
fysieke toegang hebben tot werkstations of servers.KerberosIVHet gebruik van iets als Kerberos geeft de mogelijkheid
om het wachtwoord van de account van een medewerker buiten
gebruik te stellen of te wijzigen op één plaats,
waarbij het meteen actief is op alle machines waarop die
medewerker een account heeft. Als de account van een
medewerker gecompromitteerd raakt, moet vooral de mogelijkheid
om per direct het wachtwoord voor machines te kunnen aanpassen
niet onderschat worden. Met afzonderlijke wachtwoorden kan het
veranderen van wachtwoorden op N systemen een puinhoop worden.
Met Kerberos kunnen ook wachtwoordrestricties opgelegd worden:
het is niet alleen mogelijk om een Kerberos
ticket na een bepaalde tijd te laten verlopen,
maar het Kerberos systeem kan afdwingen dat de gebruiker na een
bepaalde tijd een nieuw wachtwoord kiest (na bijvoorbeeld een
maand).Beveiligen van root – servers
onder root en suid/sgid Binaire
BestandenntalkcomsatfingerzandbakkensshdtelnetdrshdrlogindEen voorzichtige systeembeheerder draait alleen die servers
die nodig zijn, niets meer, niets minder. Bedenk dat
servers van derde partijen vaak de meeste neiging hebben tot
het vertonen van bugs. Zo staat bijvoorbeeld het draaien van
een oude versie van imapd of
popper gelijk aan het weggeven van
de root account aan de hele wereld. Draai
nooit een server die niet zorgvuldig is onderzocht. Veel
servers hoeven niet te draaien als root.
Zo kunnen de ntalk,
comsat en
finger daemons bijvoorbeeld draaien
in speciale gebruikerszandbakken
(sandboxes). Een zandbak
is niet perfect, tenzij er heel veel moeite gedaan wordt, maar
de meerlagenbenadering blijft bestaan: als iemand via een
server die in een zandbak draait weet in te breken, dan moeten
ze eerst nog uit de zandbak komen. Hoe groter het aantal lagen
is waar een inbreker doorheen moet, hoe kleiner de kans op
succes is. root gaten zijn historisch
gezien aanwezig geweest in vrijwel iedere server die ooit als
root gedraaid heeft, inclusief de
basisservers van een systeem. Op een machine waarop mensen
alleen aanmelden via sshd en nooit
via telnetd of
rshd of
rlogind dienen die servers
uitgeschakeld te worden!&os; draait ntalkd,
comsat en
finger tegenwoordig standaard in een
zandbak. Een ander programma dat misschien beter in een
zandbak kan draaien is &man.named.8;. In
/etc/defaults/rc.conf staat als commentaar
welke parameters er nodig zijn om
named in een zandbak te draaien.
Afhankelijk van of het een nieuwe systeeminstallatie of het
bijwerken van een bestaand systeem betreft, worden de speciale
gebruikersaccounts die bij die zandbakken horen misschien niet
geïnstalleerd. Een voorzichtige systeembeheerder
onderzoekt en implementeert zandbakken voor servers waar dat
ook maar mogelijk is.sendmailEr zijn een aantal diensten die vooral niet in een zandbak
draaien: sendmail,
popper,
imapd,
ftpd en andere. Voor sommige
servers zijn alternatieven, maar dat kost misschien meer tijd
dan er te besteden is (gemak dient de mens). Het kan voorkomen
dat deze servers als root moeten draaien
en dat er vertrouwd moet worden op andere mechanismen om een
inbraak via die servers te detecteren.De andere grote mogelijkheid voor root
gaten in een systeem zijn de suid-root en sgid binaire
bestanden die geïnstalleerd zijn op een systeem. Veel van
die bestanden, zoals rlogin, staan
in /bin, /sbin,
/usr/bin of
/usr/sbin. Hoewel het niet 100% veilig
is, mag aangenomen worden dat de suid en sgid binaire bestanden
van een standaardsysteem redelijk veilig zijn. Toch worden er
nog wel eens root gaten gevonden in deze
bestanden. Zo is er in 1998 een root gat
gevonden in Xlib waardoor
xterm (die normaliter suid is)
kwetsbaar bleek. Een voorzichtige systeembeheerder kiest voor
better to be safe than sorry door de suid
bestanden die alleen medewerkers hoeven uit te voeren aan een
speciale groep toe te wijzen en de suid bestanden die niemand
gebruikt te lozen (chmod 000). Een server
zonder monitor heeft normaal gezien
xterm niet nodig. Sgid bestanden
kunnen bijna net zo gevaarlijk zijn. Als een inbreker een
sgid-kmem stuk kan krijgen, dan kan hij wellicht
/dev/kmem lezen en dus het gecodeerde
wachtwoordbestand, waardoor mogelijk ieder account met
een wachtwoord besmet is. Een inbreker toegang tot de groep
kmem kan krijgen, zou bijvoorbeeld mee
kunnen kijken met de toetsaanslagen die ingegeven worden via de
pty's, inclusief die pty's die gebruikt worden door gebruikers
die via beveiligde methodes aanmelden. Een inbreker die
toegang krijgt tot de groep tty kan naar
bijna alle tty's van gebruikers schrijven. Als een gebruiker
een terminalprogramma of een terminalemulator met een
toetsenbordsimulatieoptie draait, dan kan de inbreker in
potentie een datastroom genereren die ervoor zorgt dat de
terminal van de gebruiker een commando echot, dat dan wordt
uitgevoerd door die gebruiker.Beveiligen van GebruikersaccountsGebruikersaccounts zijn gewoonlijk het meest lastig om te
beveiligen. Hoewel er allerlei Draconische maatregelen genomen
kunnen worden met betrekking tot de medewerkers en hun
wachtwoorden weggesterd kunnen worden, gaat dat
waarschijnlijk niet lukken met de gewone gebruikersaccounts.
Als er toch voldoende vrijheid is, dan prijst de beheerder zich
gelukkig en is het misschien toch mogelijk de accounts
voldoende te beveiligen. Als die vrijheid er niet is, dan
moeten die accounts gewoon netter gemonitord worden. Het
gebruik van ssh en
Kerberos voor gebruikersaccounts is
problematischer vanwege het extra beheer en de ondersteuning,
maar nog steeds een prima oplossing in vergelijking met een
gecodeerd wachtwoordbestand.Beveiligen van het WachtwoordbestandDe enige echte oplossing is zoveel mogelijk wachtwoorden
* maken en ssh
of Kerberos gebruiken voor toegang
tot die accounts. Hoewel een gecodeerd wachtwoordbestand
(/etc/spwd.db) alleen gelezen kan worden
door root, is het wel mogelijk dat een
inbreker leestoegang krijgt tot dat bestand zonder dat de
aanvaller root-schrijftoegang krijgt.Beveiligingsscripts moeten altijd controleren op en
rapporteren over wijzigingen in het wachtwoordbestand (zie ook
Bestandsintegriteit
Controleren hieronder).Beveiligen van de Kern van de Kernel, Ruwe Devices en
BestandssystemenAls een aanvaller toegang krijgt tot
root dan kan hij ongeveer alles, maar er
zijn een paar slimmigheidjes. Zo hebben bijvoorbeeld de meeste
moderne kernels een ingebouwde pakketsnuffeldriver
(packet sniffing). Bij &os; is dat het
bpf device. Een inbreker zal in het
algemeen proberen een pakketsnuffelaar te draaien op een
gecompromitteerde machine. De inbreker hoeft deze mogelijkheid
niet te hebben en bij de meeste systemen is het niet verplicht
het bpf device mee te
compileren.sysctlMaar zelfs als het bpf
device is uitgeschakeld, dan zijn er nog
/dev/mem en
/dev/kmem. De inbreker kan namelijk nog
schrijven naar ruwe diskdevices. En er is ook nog een optie
in de kernel die modulelader (module loader)
heet, &man.kldload.8;. Een ondernemende inbreker kan een KLD
module gebruiken om zijn eigen bpf
device of een ander snuffeldevice te installeren in een
draaiende kernel. Om deze problemen te voorkomen, moet de
kernel op een hoger veiligheidsniveau draaien, ten minste
securelevel 1. Het securelevel wordt ingesteld met
sysctl op de
kern.securelevel variabele. Als securelevel
op 1 staat, is het niet langer mogelijk te schrijven naar ruwe
devices en speciale chflags vlaggen als
schg worden dan afgedwongen. Ook dient de
vlag schg gezet te worden op kritische
opstartbestanden, mappen en scriptbestanden. Alles dat wordt
uitgevoerd voordat het securelevel wordt ingesteld. Dit is
misschien wat overdreven en het wordt lastiger een systeem te
vernieuwen als dat in een hoger securelevel draait. Er is een
compromis mogelijk door het systeem in een hoger securelevel te
draaien maar de schg vlag niet op alle
systeembestanden en mappen te zetten die maar te vinden zijn.
/ en /usr zouden ook
als alleen-lezen gemount kunnen worden. Het is nog belangrijk
om op te merken dat als de beheerder te Draconisch omgaat
met dat wat hij wil beschermen, hij daardoor kan veroorzaken
dat die o-zo belangrijke detectie van een inbraak wordt
misgelopen.Bestandsintegriteit Controleren: Binaire Bestanden,
Instellingenbestanden, Etc.Als puntje bij paaltje komt kan de kern van een systeem
maar tot een bepaald punt beveiligd worden zonder dat het
minder prettig werken wordt. Zo werk het zetten van de
schg bit met chflags op
de meeste bestanden in / en
/usr waarschijnlijk averechts, omdat,
hoewel de bestanden beschermd zijn, ook het venster waarin
detectie plaats kan vinden is gesloten. De laatste laag van
beveiliging is waarschijnlijk de meest belangrijke: detectie.
Alle overige beveiliging is vrijwel waardeloos (of nog erger:
geeft een vals gevoel van veiligheid) als een mogelijke inbraak
niet gedetecteerd kan worden. Een belangrijk doel van het
meerlagenmodel is het vertragen van een aanvaller, nog meer dan
hem te stoppen, om de detectiekant van de vergelijking de kans
te geven hem op heterdaad te betrappen.De beste manier om te zoeken naar een inbraak is zoeken
naar gewijzigde, missende of onverwachte bestanden. De beste
manier om te zoeken naar gewijzigde bestanden is vanaf een
ander (vaak gecentraliseerd) systeem met beperkte toegang.
Met zelfgeschreven scripts op dat extra beveiligde systeem met
beperkte toegang ben is een beheerder vrijwel onzichtbaar voor
mogelijke aanvallers en dat is belangrijk. Om het nut te
maximaliseren moeten in het algemeen dat systeem met beperkte
toegang best veel rechten gegeven worden op de andere machines
in het netwerk, vaak via een alleen-lezen NFS export van de
andere machines naar het systeem met beperkte toegang of door
ssh sleutelparen in te stellen om
het systeem met beperkte toegang een
ssh verbinding te laten maken met de
andere machines. Buiten het netwerkverkeer, is NFS de minst
zichtbare methode. Hierdoor kunnen de bestandssystemen
op alle client machines vrijwel ongezien gemonitord worden.
Als de server met beperkte toegang verbonden is met de client
machines via een switch, dan is de NFS methode vaak de beste
keus. Als de server met beperkte toegang met de andere
machines is verbonden via een hub of door meerdere routers, dan
is de NFS methode wellicht niet veilig genoeg (vanuit een
netwerk standpunt) en kan beter ssh
gebruikt worden, ondanks de audit-sporen die
ssh achterlaat.Als de machine met beperkte toegang eenmaal minstens
leestoegang heeft tot een clientsysteem dat het moet gaan
monitoren, dan moeten scripts gemaakt worden om dat monitoren
ook echt uit te voeren. Uitgaande van een NFS mount, kunnen
de scripts gebruik maken van eenvoudige systeem hulpprogramma's
als &man.find.1; en &man.md5.1;. We adviseren minstens
één keer per dag een md5 te maken van alle
bestanden op de clientmachine en van instellingenbestanden als
in /etc en
/usr/local/etc zelfs vaker. Als er
verschillen worden aangetroffen ten opzichte van de basis md5
informatie op het systeem met beperkte toegang, dan hoort het
script te gillen om een beheerder die het moet gaan uitzoeken.
Een goed beveiligingsscript controleert ook op onverwachte suid
bestanden en op nieuwe en verwijderde bestanden op
systeempartities als / en
/usr.Als ssh in plaats van NFS wordt
gebruikt, dan is het schrijven van het script lastiger. Dan
moeten de scripts met scp naar de client
verplaatst worden om ze uit te voeren, waardoor ze zichtbaar
worden. Voor de veiligheid dienen ook de binaire bestanden die
het script gebruikt, zoals &man.find.1;, gekopieerd te
worden. De ssh client op de client
zou al gecompromitteerd kunnen zijn. Het is misschien
noodzakelijk ssh te gebruiken over onveilige verbindingen, maar
dat maakt alles een stuk lastiger.Een goed beveiligingsscript voert ook controles uit op de
instellingenbestanden van gebruikers en medewerkers:
.rhosts, .shosts,
.ssh/authorized_keys, enzovoort…
Dat zijn bestanden die buiten het bereik van de
MD5 controle vallen.Als gebruikers veel diskruimte hebben, dan kan het te lang
duren om alle bestanden op deze partitie te controleren. In dat
geval is het verstandig de mount vlaggen zo in te stellen dat
suid binaire bestanden en devices op die partities niet zijn
toegestaan. Zie daarvoor de nodev en
nosuid opties (zie &man.mount.8;). Die
partities moeten wel toch nog minstens eens per week doorzocht
worden, omdat het doel van deze beveiligingslaag het ontdekken
van een inbraak is, of die nu succesvol is of niet.Procesverantwoording (zie &man.accton.8;) kost relatief
gezien weinig en kan bijdragen aan een evaluatie mechanisme
voor na inbraken. Het is erg handig om uit te zoeken hoe
iemand precies heeft ingebroken op het systeem, mits het
bestand nog onbeschadigd is na de inbraak.Tenslotte horen beveiligingsscripts de logboekbestanden te
verwerken en de logboekbestanden zelf horen zo veilig mogelijk
tot stand te komen. remote syslog kan erg
zinvol zijn. Een aanvaller probeert zijn sporen uit te wissen
en logboekbestanden zijn van groot belang voor een
systeembeheerder als het gaat om uitzoeken wanneer en hoe er is
ingebroken. Een manier om logboekbestanden veilig te stellen
is door het systeemconsole via een seriële poort aan te
sluiten op een veilige machine en zo continu informatie te
verzamelen.ParanoiaEen beetje paranoia is niet verkeerd. Eigenlijk kan de
systeembeheerder zoveel beveiligingsopties inschakelen als hij
wil, als deze maar geen impact hebben op het gebruiksgemak en
de beveiligingsopties die wel impact
hebben op het gebruiksgemak kunnen ingeschakeld worden als daar
zorgvuldig mee wordt omgegaan. Nog belangrijker is misschien
dat er een juiste combinatie wordt gevonden. Als de
aanbevelingen uit dit document woord voor woord worden
opgevolgd, dan worden daarmee de methodes aan een toekomstige
aanvaller verraden, die ook toegang heeft tot dit
document.Ontzeggen van Dienst AanvallenOntzegging van Dienst (DoS)In deze paragraaf worden Ontzeggen van Dienst aanvallen
(Denial of Service of DoS) behandeld. Een DoS
aanval wordt meestal uitgevoerd als pakketaanval. Hoewel er
weinig gedaan kan worden tegen de huidige aanvallen met
gefingeerde pakketten die een netwerk kunnen verzadigen, kan
de schade geminimaliseerd worden door ervoor te zorgen dat
servers er niet door plat gaan.Limiteren van server forks.Limiteren van springplank (springboard)
aanvallen (ICMP response aanvallen, ping broadcast,
etc.).Kernel Route Cache.Een veelvoorkomende DoS aanval tegen een server die forkt
is er een die probeert processen, file descriptors en geheugen
te gebruiken tot de machine het opgeeft.
inetd (zie &man.inetd.8;) kent een
aantal instellingen om dit type aanval af te zwakken. Hoewel
het mogelijk is ervoor te zorgen dat een machine niet plat
gaat, is het in het algemeen niet mogelijk te voorkomen dat de
dienstverlening door de aanval wordt verstoord. Meer is te
lezen in de handleiding van inetd
en het advies is in het bijzonder aandacht aan de
, en
opties te besteden. Aanvallen met gefingeerde
IP adressen omzeilen de
optie naar inetd, dus in het
algemeen moet een combinatie van opties gebruikt worden.
Sommige op zichzelf staande servers hebben parameters waarmee
het aantal forks gelimiteerd kan worden.Sendmail heeft de optie
die veel beter blijkt te
werken dan het gebruik van de opties van sendmail waarmee de
werklast gelimitteerd kan worden. De parameter
MaxDaemonChildren moet zodanig ingesteld
worden dat als sendmail start, hij
hoog genoeg is om de te verwachten belasting aan te kunnen,
maar niet zo hoog is dat de computer het aantal instanties van
sendmails niet aankan zonder plat te
gaan. Het is ook verstandig om sendmail in de wachtrij modus
() te draaien en de
daemon (sendmail -bd) los te koppelen van de
verwerking van de wachtrij (sendmail -q15m).
Als de verwerking van wachtrij real-time moet, kunnen de
tussenpozen voor verwerking verkort worden door deze
bijvoorbeeld op in te stellen, maar dan
is een redelijke instelling van
MaxDaemonChildren van belang om
die sendmail te beschermen tegen
trapsgewijze fouten (cascade failures).Syslogd kan direct aangevallen
worden en het is sterk aan te raden de
optie te gebruiken waar dat ook maar mogelijk is en anders de
optie.Er dient voorzichtig omgesprongen te worden met diensten
die terugverbinden zoals
- tcpwrapper's reverse-identd die
+ TCP Wrapper's reverse-identd die
direct aangevallen kan worden. In het algemeen is het hierom
onverstandig gebruik te maken van de reverse-ident optie van
- tcpwrappers.
+ TCP Wrapper.
Het is een goed idee om interne diensten af te schermen
voor toegang van buitenaf door ze te firewallen op de routers
aan de rand van een netwerk (border routers).
Dit heeft als achtergrond dat verzadigingsaanvallen voorkomen
van buiten het LAN voorkomen kunnen worden. Daarmee wordt geen
aanval op root via het netwerk en die
diensten daaraan voorkomen. Er dient altijd een exclusieve
firewall te zijn, d.w.z. firewall alles
behalve poorten A, B, C, D en M-Z.
Zo worden alle lage poorten gefirewalled behalve die voor
specifieke diensten als named (als
er een primary is voor een zone),
ntalkd,
sendmail en andere diensten die
vanaf internet toegankelijk moeten zijn. Als de firewall
andersom wordt ingesteld, als een inclusieve of tolerante
firewall, dan is de kans groot dat er wordt vergeten een aantal
diensten af te sluiten of dat er een nieuwe
interne dienst wordt toegevoegd en de firewall niet wordt
bijgewerkt. Er kan nog steeds voor gekozen worden de hoge
poorten open te zetten, zodat een tolerante situatie ontstaat,
zonder de lage poorten open te stellen. &os; biedt ook de
mogelijkheid een reeks poortnummers die gebruikt worden voor
dynamische verbindingen in te stellen via de verscheidene
net.inet.ip.portrangesysctls (sysctl -a | fgrep
portrange), waardoor ook de complexiteit van de
firewall instellingen kan vereenvoudigen. Zo kan bijvoorbeeld
een normaal begin tot eindbereik ingesteld worden van 4000 tot
5000 en een hoog poortbereik van 49152 tot 65535. Daarna kan
alles onder 4000 op de firewall geblokkeerd worden (met
uitzondering van bepaalde poorten die vanaf internet bereikbaar
moeten zijn natuurlijk).ICMP_BANDLIMEen andere veelvoorkomende DoS aanval is de springplank
aanval: een server zo aanvallen dat de respons van die server
de server zelf, het lokale netwerk of een andere machine
overbelast. De meest voorkomende aanval van dit type is de
ICMP ping broadcast aanval. De aanvaller
fingeert ping pakketten die naar het broadcast adres van het
LAN worden gezonden met als bron het IP adres
van de machine die hij eigenlijk aan wil vallen. Als de routers
aan de rand van het netwerk niet zijn ingesteld om een ping aan
een broadcast adres te blokkeren, dan kan het LAN genoeg
antwoorden produceren om de verbinding van het slachtoffer (het
gefingeerde bronadres) te verzadigen, zeker als de aanvaller
hetzelfde doet met tientallen andere netwerken.
Broadcastaanvallen met een volume van meer dan 120 megabit zijn
al voorgekomen. Een tweede springplank aanval is er een tegen
het ICMP foutmeldingssysteem. Door een pakket te maken waarop
een ICMP foutmelding komt, kan een aanvaller de inkomende
verbinding van een server verzadigen en de uitgaande verbinding
wordt verzadigd door de foutmeldingen. Dit type aanval kan een
server ook laten crashen, zeker als de server de ICMP
antwoorden niet zo snel kwijt kan als ze ontstaan. De kernel
van &os; kent een nieuwe compileeroptie
waarmee de effectiviteit van dit
type aanvallen afneemt. De laatste belangrijke klasse
springplankaanvallen hangt samen met een aantal interne
diensten van inetd zoals de UDP echo
dienst. Een aanvaller fingeert eenvoudigweg een UDP pakket met
als bronadres de echopoort van Server A en als bestemming de
echopoort van Server B, waar Server A en B allebei op een LAN
staan. Die twee servers gaan dat pakket dan heen en weer
kaatsen. Een aanvaller kan beide servers overbelasten door een
aantal van deze pakketten te injecteren. Soortgelijke problemen
kunnen ontstaan met de chargen
poort. Een competente systeembeheerder zal al deze interne
inetd test-diensten
uitschakelen.Gefingeerde pakketten kunnen ook gebruikt worden om de
kernel route cache te overbelasten. Raadpleeg daarvoor de
net.inet.ip.rtexpire,
rtminexpire en rtmaxcachesysctl parameters. Een aanval met
gefingeerde pakketten met een willekeurig bron IP zorgt ervoor
dat de kernel een tijdelijke cached route maakt in de
routetabel, die uitgelezen kan worden met netstat -rna
| fgrep W3. Deze routes hebben een levensduur van
ongeveer 1600 seconden. Als de kernel merkt dat de cached
routetabel te groot is geworden, dan wordt
rtexpire dynamisch verkleind, maar deze
waarde wordt nooit lager dan rtminexpire.
Er zijn twee problemen:De kernel reageert niet snel genoeg als een laag
belaste server wordt aangevallen.rtminexpire is niet laag genoeg om
de kernel de aanval te laten overleven.Als servers verbonden zijn met het internet via een E3
of sneller, dan is het verstandig om handmatig
rtexpire en rtminexpire
aan te passen via &man.sysctl.8;. Als de een van de parameters
op nul wordt gezet, dan crasht de machine. Het instellen van
beide waarden op 2 seconden is voldoende om de routetabel
tegen een aanval te beschermen.Aandachtspunten voor Toegang met
Kerberos en
SSHsshKerberosIVEr zijn een aantal aandachtspunten die in acht genomen
moeten worden als Kerberos of ssh gebruikt worden. Kerberos V
is een prima authenticatieprotocol, maar er zitten bugs in de
kerberos versies van telnet en
rlogin waardoor ze niet geschikt
zijn voor binair verkeer. Kerberos codeert standaard sessie
niet, tenzij de optie wordt gebruikt.
ssh codeert standaard wel
alles.ssh werkt prima, maar het stuurt coderingssleutels
standaard door. Dit betekent dat als gegeven een veilig
werkstation met sleutels die toegang geven tot de rest van het
systeem en ssh wordt gebruikt om verbinding te maken met een
onveilige machine, die sleutels gebruikt kunnen worden. De
sleutels zelf zijn niet bekend, maar ssh stelt een
doorstuurpoort in zolang als een gebruikers aangemeld blijft.
Als de aanvaller roottoegang heeft op de
onveilige machine, dan kan hij die poort gebruiken om toegang
te krijgen tot alle machines waar de sleutels van de gebruiker
toegang toe geven.Het advies is ssh in combinatie met Kerberos te gebruiken
voor het aanmelden door medewerkers wanneer dat ook maar
mogelijk is. ssh kan gecompileerd
worden met Kerberos ondersteuning. Dit vermindert de kans op
blootstelling van ssh sleutels en beschermt tegelijkertijd
de wachtwoorden met Kerberos. ssh sleutels zouden alleen
gebruikt moeten worden voor geautomatiseerde taken vanaf
veilige machines (iets waar Kerberos ongeschikt voor is). Het
advies is om het doorsturen van sleutels uit te schakelen in de
ssh instellingen of om de from=IP/DOMAIN
optie te gebruiken die ssh in staat stelt het bestand
authorized_keys te gebruiken om de
sleutel alleen bruikbaar te maken voor entiteiten die zich
aanmelden vanaf vooraf aangewezen machines.BillSwingleDelen geschreven en herschreven door SiebrandMazelandVertaald door DES, MD5 en CryptbeveiligingcryptcryptDESMD5Iedere gebruiker op een &unix; systeem heeft een wachtwoord
bij zijn account. Het lijkt voor de hand liggend dat deze
wachtwoorden alleen bekend horen te zijn bij de gebruiker en het
eigenlijke besturingssysteem. Om deze wachtwoorden geheim te
houden, zijn ze gecodeerd in een eenweg hash
(one-way hash), wat betekent dat ze eenvoudig
gecodeerd kunnen worden maar niet gedecodeerd. Met andere
woorden, wat net gesteld werd is helemaal niet waar: het
besturingssysteem kent het echte wachtwoord
niet. De enige manier om een wachtwoord in
platte tekst te verkrijgen, is door er met brute
kracht naar te zoeken in alle mogelijke wachtwoorden.Helaas was DES, de Data Encryption Standard, de enige
manier om wachtwoorden veilig te coderen toen &unix; ontstond.
Dit was geen probleem voor gebruikers in de VS, maar omdat
de broncode van DES niet geëxporteerd mocht worden moest
&os; een manier vinden om zowel te gehoorzamen aan de wetten van
de VS als aansluiting te houden bij alle andere &unix; varianten
die nog steeds DES gebruikten.De oplossing werd gevonden in het splitsen van de
coderingsbibliotheken zodat gebruikers in de VS de DES
bibliotheken konden installeren en gebruiken en internationale
gebruikers een coderingsmethode konden gebruiken die
geëxporteerd mocht worden. Zo is het gekomen dat &os; MD5
is gaan gebruiken als coderingsmethode. Van MD5 wordt aangenomen
dat het veiliger is dan DES, dus de mogelijkheid om DES te
installeren is vooral beschikbaar om aansluiting te kunnen
houden.Het Crypt Mechanisme HerkennenVoor &os; 4.4 was libcrypt.a een
symbolic link die wees naar de bibliotheek die gebruikt werd voor
codering. In &os; 4.4 veranderde libcrypt.a
zodat er een instelbare wachtwoordhash bibliotheek kwam. Op dit
moment ondersteunt de bibliotheek DES, MD5 en Blowfish
hashfuncties. Standaard gebruikt &os; MD5 om wachtwoorden te
coderen.Het is vrij makkelijk om uit te vinden welke
coderingsmethode &os; op een bepaald moment gebruikt. De
gecodeerde wachtwoorden in
/etc/master.passwd bekijken is een manier.
Wachtwoorden die gecodeerd zijn met MD5 zijn langer dan wanneer
ze gecodeerd zijn met DES hash. Daarnaast beginnen ze met de
karakters $1$. Wachtwoorden
die beginnen met $2a$ zijn
gecodeerd met de Blowfish hashfunctie. DES password strings
hebben geen bijzondere kenmerken, maar ze zijn korter dan MD5
wachtwoorden en gecodeerd in een 64-karakter alfabet waar geen
$ karakter in zit. Een relatief korte
string die niet begint met een dollar teken is dus
waarschijnlijk een DES wachtwoord.Het wachtwoord formaat voor nieuwe wachtwoorden wordt
ingesteld met de passwd_format
aanmeldinstelling in /etc/login.conf waar
des, md5 of
blf mag staan. Zie de &man.login.conf.5;
handboekpagina voor meer informatie over
aanmeldinstellingen.Eenmalige Wachtwoordeneenmalige wachtwoordenbeveiligingeenmalige wachtwoordenS/Key is een eenmalige wachtwoord methode die gebaseerd is op
de eenweg hashfunctie. &os; gebruikt een MD4 hash om aansluiting
te houden, maar andere systemen gebruiken ook wel MD5 en DES-MAC.
S/Key is al een onderdeel van het &os; basissysteem vanaf versie
1.1.5 en wordt ook in een groeiend aantal andere
besturingssystemen gebruikt. S/Key is een geregistreerd
handelsmerk van Bell Communications Research, Inc.Vanaf versie 5.0 van &os; is S/Key vervangen door OPIE
(Eenmalige Wachtwoorden in Alles - One-time Passwords In
Everything). OPIE gebruikt standaard een MD5 hash.Hier worden drie verschillende soorten wachtwoorden
besproken. De eerste is het normale &unix; of Kerberos
wachtwoord. Dit heet het &unix; wachtwoord. Het
tweede type is een eenmalig wachtwoord dat wordt gemaakt met het
S/Key programma key of het OPIE
programma &man.opiekey.1; en dat wordt geaccepteerd door
keyinit of &man.opiepasswd.1; en de
aanmeldprocedure. Dit heet het eenmalige
wachtwoord. Het laatste type wachtwoord is het
wachtwoord dat wordt opgegeven aan de key/
opiekey programma's (en soms aan de
keyinit / opiepasswd
programma's) die gebruikt worden om eenmalige wachtwoorden te
maken. Dit type heet geheim wachtwoord of gewoon
een wachtwoord zonder toevoeging.Het geheime wachtwoord heeft niets te maken met het &unix;
wachtwoord; ze kunnen hetzelfde zijn, dat wordt afgeraden. S/Key
en OPIE geheime wachtwoorden kennen niet de beperking van 8
karakters als de oude &unix; wachtwoorden.
Bij &os; mag het wachtwoord voor aanmelden tot 128
karakters lang zijn.
Het mag onbeperkt lang zijn. Wachtwoorden van een zes of zeven
woorden lange zin zijn niet ongewoon. Voor het overgrote deel
werkt het S/Key of OPIE systeem volledig onafhankelijk van het
&unix; wachtwoordsysteem.Buiten het wachtwoord zijn er nog twee stukjes data die van
belang zijn voor S/Key en OPIE. Het eerste wordt
zaad (seed) of
sleutel (key) genoemd en bestaat
uit twee letters en vijf cijfers. Het tweede stukje data heet de
iteratieteller (iteration count),
een nummer tussen 1 en 100. S/Key maakt een eenmalig wachtwoord
door het zaad en het geheime wachtwoord aaneen te schakelen en
daarop het door de iteratieteller aangegeven keren MD4/MD5 hash
toe te passen. Daarna wordt het resultaat omgezet in zes korte
Engelse woorden. Die zes woorden zijn een eenmalige wachtwoord.
Het authenticatiesysteem (hoofdzakelijk PAM) houdt bij welk
eenmalig wachtwoord het laatst is gebruikt en de gebruiker wordt
geauthenticeerd als de hash van het door de gebruiker ingegeven
wachtwoord gelijk is aan het vorige wachtwoord. Omdat er een
eenweg hash wordt gebruikt, is het onmogelijk om toekomstige
eenmalige wachtwoorden te maken als iemand toch een eenmalig
wachtwoord heeft afgevangen. De iteratieteller wordt verlaagd na
iedere succesvolle aanmelding om de gebruiker en het
aanmeldprogramma synchroon te houden. Als de iteratieteller op 1
staat, moeten S/Key en OPIE opnieuw ingesteld worden.Er zijn drie programma's bij ieder systeem betrokken die
hieronder worden besproken. De key en
opiekey programma's hebben een iteratieteller,
zaad en een geheim wachtwoord nodig en maken dan een eenmalig
wachtwoord of een lijst van opeenvolgende eenmalige wachtwoorden.
De programma's keyinit en
opiepasswd worden gebruikt om respectievelijk
S/Key en OPIE te initialiseren en om wachtwoorden,
iteratietellers en zaad te wijzigen. Ze accepteren zowel
wachtwoordzinnen als een iteratieteller, zaad en een eenmalig
wachtwoord. De programma's keyinfo en
opieinfo bekijken de relevante bestanden
waarin de eigenschappen staan (/etc/skeykeys
of /etc/opiekeys) en tonen de huidige
iteratieteller en zaad van de gebruiker die het commando
uitvoert.Nu worden vier verschillende acties besproken. Bij de eerste
worden keyinit of
opiepasswd gebruikt in een beveiligde
verbinding om voor het eerst eenmalige wachtwoorden in te stellen
of om een wachtwoord of zaad aan te passen. Bij de tweede worden
keyinit of opiepasswd
gebruikt in een niet-beveiligde verbinding samen met
key of opiekey over een
beveiligde verbinding om hetzelfde te bereiken. In een derde
scenario wordt key/opiekey
gebruikt om te melden over een onveilige verbinding. Het vierde
scenario behandelt het gebruik van key of
opiekey om een aantal sleutels aan te maken
die opgeschreven of afgedrukt kunnen worden, zodat ze meegenomen
kunnen worden naar een plaats van waar geen enkele veilige
verbinding opgezet kan worden.Veilige Verbinding InitialiserenOm S/Key voor de eerste keer te initialiseren, een
wachtwoord te wijzigen of zaad te veranderen over een
beveiligde verbinding (bv. op het console van een machine of
via ssh), moet het commando
keyinit gebruikt worden zonder parameters
terwijl een gebruiker als zichzelf is aangemeld:&prompt.user; keyinit
Adding unfurl:
Reminder - Only use this method if you are directly connected.
If you are using telnet or rlogin exit with no password and use keyinit -s.
Enter secret password:
Again secret password:
ID unfurl s/key is 99 to17757
DEFY CLUB PRO NASH LACE SOFTBij OPIE wordt opiepasswd
gebruikt:&prompt.user; opiepasswd -c
[grimreaper] ~ $ opiepasswd -f -c
Adding unfurl:
Only use this method from the console; NEVER from remote. If you are using
telnet, xterm, or a dial-in, type ^C now or exit with no password.
Then run opiepasswd without the -c parameter.
Using MD5 to compute responses.
Enter new secret pass phrase:
Again new secret pass phrase:
ID unfurl OTP key is 499 to4268
MOS MALL GOAT ARM AVID COEDAls Enter new secret pass phrase: of
Enter secret password: op het scherm verschijnt,
dient een wachtwoord of wachtwoordzin ingevoerd te worden. Dit
is dus niet het aanmeldwachtwoord is, maar dat dit wordt gebruikt
om eenmalige wachtwoorden te maken. De ID regel
geeft de parameters van het verzoek weer: de aanmeldnaam, de
iteratieteller en zaad. Bij het aanmelden kent het systeem deze
parameters en worden deze weergegeven zodat ze niet onthouden
hoeven te worden. Op de laatste regel staat het eenmalige
wachtwoord dat overeenkomt met die parameters en het geheime
wachtwoord. Als de gebruiker direct opnieuw zou aanmelden, zou
hij dat eenmalige wachtwoord moeten gebruiken.Onveilige Verbinding InitialiserenOm te initialiseren of een wachtwoord te wijzigen over een
onveilige verbinding, moet er al ergens een veilige verbinding
bestaand de gebruiker key of
opiekey kan uitvoeren. Dit kan een desktop
programma zijn op een &macintosh; of een shell prompt op een
machine die vertrouwd wordt. De gebruiker moet ook een
iteratieteller verzinnen (100 is wellicht een prima getal) en
moet een eigen zaad bedenken of er een laten fabriceren. Over
de onveilige verbinding (naar de machine die de gebruiker wil
initialiseren) wordt het commando keyinit -s
gebruikt:&prompt.user; keyinit -s
Updating unfurl:
Old key: to17758
Reminder you need the 6 English words from the key command.
Enter sequence count from 1 to 9999: 100
Enter new key [default to17759]:
s/key 100 to 17759
s/key access password:
s/key access password:CURE MIKE BANE HIM RACY GOREBij OPIE is dat opiepasswd:&prompt.user; opiepasswd
Updating unfurl:
You need the response from an OTP generator.
Old secret pass phrase:
otp-md5 498 to4268 ext
Response: GAME GAG WELT OUT DOWN CHAT
New secret pass phrase:
otp-md5 499 to4269
Response: LINE PAP MILK NELL BUOY TROY
ID mark OTP key is 499 gr4269
LINE PAP MILK NELL BUOY TROYOm het standaard zaad te accepteren (dat het programma
keyinit nogal verwarrend een
key) noemt, is de invoer
Return. Voor een toegangswachtwoord wordt
ingevoerd, dient eerst gewisseld te worden naar de veilige
verbinding of het S/Key desktop programma en dienen dezelfde
parameters ingegeven te worden:&prompt.user; key 100 to17759
Reminder - Do not use this program while logged in via telnet or rlogin
Enter secret password: <secret password>
CURE MIKE BANE HIM RACY GOREOf bij OPIE:&prompt.user; opiekey 498 to4268
Using the MD5 algorithm to compute response.
Reminder: Don't use opiekey from telnet or dial-in sessions.
Enter secret pass phrase:
GAME GAG WELT OUT DOWN CHATIn de onveilige verbinding wordt nu het eenmalige
wachtwoord in het relevante programma
gekopieerd.Een Enkel Eenmalig Wachtwoord MakenAls S/Key of OPIE eenmaal is ingesteld staat er bij het
aanmelden iets als het volgende:&prompt.user; telnet example.com
Trying 10.0.0.1...
Connected to example.com
Escape character is '^]'.
FreeBSD/i386 (example.com) (ttypa)
login: <username>
s/key 97 fw13894
Password:Of bij OPIE:&prompt.user; telnet example.com
Trying 10.0.0.1...
Connected to example.com
Escape character is '^]'.
FreeBSD/i386 (example.com) (ttypa)
login: <username>
otp-md5 498 gr4269 ext
Password: NB: de S/Key en OPIE meldingen hebben een erg zinvolle
optie (die hier niet te zien is): als er op
Return wordt gedrukt bij de wachtwoordregel,
wordt de echo aangezet, zodat de invoer zichtbaar is. Dit is
erg handig als er met de hand een wachtwoord wordt ingegeven,
zoals wanneer het wordt ingevoerd vanaf een afdruk.MS-DOSWindowsMacOSNu moet het eenmalige wachtwoord gemaakt worden om het
aanmeldprompt mee te antwoorden. Dit moet gedaan worden op een
vertrouwd systeem waarop key of
opiekey beschikbaar is. Er zijn ook
versies voor &ms-dos;, &windows; en &macos;. Voor beide
commando's moet zowel de iteratieteller als het zaad ingeven
worden op de commandoregel. Deze kan zo overgenomen worden
vanaf het aanmeldprompt op de machine waarop de gebruiker wil
aanmelden.Op het vertrouwde systeem:&prompt.user; key 97 fw13894
Reminder - Do not use this program while logged in via telnet or rlogin.
Enter secret password:
WELD LIP ACTS ENDS ME HAAGBij OPIE:&prompt.user; opiekey 498 to4268
Using the MD5 algorithm to compute response.
Reminder: Don't use opiekey from telnet or dial-in sessions.
Enter secret pass phrase:
GAME GAG WELT OUT DOWN CHATNu het eenmalige wachtwoord er is, kan het aanmelden
doorgang vinden:login: <username>
s/key 97 fw13894
Password: <return to enable echo>
s/key 97 fw13894
Password [echo on]: WELD LIP ACTS ENDS ME HAAG
Last login: Tue Mar 21 11:56:41 from 10.0.0.2 ... Meerdere Eenmalige Wachtwoorden MakenSoms moet is een gebruiker ergens waarvandaan er geen
toegang is tot een vertrouwde machine of een beveiligde
verbinding. In dat geval is het mogelijk om met de
key en opiekey commando's
een aantal eenmalige wachtwoorden te maken om uit te printen en
deze mee te nemen:&prompt.user; key -n 5 30 zz99999
Reminder - Do not use this program while logged in via telnet or rlogin.
Enter secret password: <secret password>
26: SODA RUDE LEA LIND BUDD SILT
27: JILT SPY DUTY GLOW COWL ROT
28: THEM OW COLA RUNT BONG SCOT
29: COT MASH BARR BRIM NAN FLAG
30: CAN KNEE CAST NAME FOLK BILKOf bij OPIE:&prompt.user; opiekey -n 5 30 zz99999
Using the MD5 algorithm to compute response.
Reminder: Don't use opiekey from telnet or dial-in sessions.
Enter secret pass phrase: <secret password>
26: JOAN BORE FOSS DES NAY QUIT
27: LATE BIAS SLAY FOLK MUCH TRIG
28: SALT TIN ANTI LOON NEAL USE
29: RIO ODIN GO BYE FURY TIC
30: GREW JIVE SAN GIRD BOIL PHIMet worden vijf opeenvolgende
sleutels aangevraagd, geeft aan wat het
laatste iteratiegetal moet zijn. Deze wachtwoorden worden
weergegeven in omgekeerde volgorde voor
gebruik. Als de gebruiker echt paranoïde bent kan hij ze
opschrijven of hij kan er ook voor kiezen ze af te drukken met
lpr. Op iedere regel staat dus de
iteratieteller en het eenmalige wachtwoord, maar misschien is
het toch handig om ze na gebruik af te strepen.Gebruik van &unix; Wachtwoorden BeperkenS/Key kan beperkingen plaatsen op het gebruik van &unix;
wachtwoorden gebaseerd op hostnaam, gebruikersnaam,
terminalpoort of IP adres van een
aanmeldsessie. Deze beperkingen staan in het
instellingenbestand /etc/skey.access.
De handboekpagina voor &man.skey.access.5; bevat meer
informatie over de inhoud van het bestand en bevat ook details
over een aantal aandachtspunten voor beveiliging voordat
besloten wordt dit bestand te gebruiken in de
beveiliging.Als het bestand /etc/skey.access niet
bestaat (dat mag in &os; 4.X systemen), dan mogen alle
gebruikers hun &unix; wachtwoord gebruiken. Maar als het
bestand wel bestaat, dan moeten alle gebruikers S/Key
gebruiken, tenzij iets anders expliciet wordt toegestaan door
instellingen in het bestand skey.access.
In alle gevallen worden &unix; wachtwoorden op het console wel
toegestaan.Nu volgt een voorbeeld met instellingen in het bestand
skey.access waarin de drie meest gebruikte
instellingen terugkomen:permit internet 192.168.0.0 255.255.0.0
permit user fnord
permit port ttyd0In de eerste regel (permit internet)
staat dat gebruikers met een bron IP adres
(wat gefingeerd kan worden) dat past binnen de aangegeven
waarde en masker altijd &unix; wachtwoorden mogen gebruiken.
Dit mag niet gezien worden als beveiligingsmechanisme, maar
eerder als een mogelijkheid om gebruikers aan wie het wordt
toegestaan eraan te herinneren dat ze op een onveilig netwerk
zitten en gebruik moeten maken van S/Key bij het aanmelden.De tweede regel (permit user) staat de
gebruiker fnord toe om altijd &unix;
wachtwoorden te gebruiken. In het algemeen dient dit alleen
gebruikt te worden voor gebruikers die niet in staat zijn het
programma key te gebruiken, zoals gebruikers
met domme terminals of gebruikers die totaal niet op te voeden
zijn.De derde regel (permit port) staat
gebruikers die aanmelden vanaf een aangegeven
terminalverbinding toe om &unix; wachtwoorden te gebruiken.
Dit kan gebruikt worden voor inbellers.Met OPIE kan ook paal en perk gesteld worden aan het
gebruik van &unix; wachtwoorden op basis van het
IP adres van een aanmeldsessie, net als met
S/Key. Dat kan met het bestand
/etc/opieaccess dat standaard aanwezig is
op &os; 5.0 en latere systemen. Bij &man.opieaccess.5; staat
meer informatie over dit bestand en welke
beveiligingsoverwegingen bestaan bij het gebruik.Hieronder een voorbeeld voor een
opieaccess bestand:permit 192.168.0.0 255.255.0.0In deze regel (permit internet) staat
dat gebruikers met een bron IP adres (wat
gefingeerd kan worden) dat past binnen de aangegeven waarde en
masker altijd &unix; wachtwoorden mogen gebruiken.Als geen van de regels uit opieaccess
van toepassing is, worden standaard pogingen zonder OPIE
geweigerd.TomRhodesGeschreven door SiebrandMazelandVertaald door TCP WrapperTCP WrappersIedereen die bekend is met &man.inetd.8; heeft waarschijnlijk
wel eens van TCP Wrappers gehoord. Maar
slechts weinigen lijken volledig te begrijpen hoe ze in een
netwerkomgeving toegepast kunnen worden. Het schijnt dat
iedereen een firewall wil hebben om netwerkverbindingen af te
handelen. Ondanks dat een firewall veel kan, zijn er toch dingen
die hij niet kan, zoals tekst terugsturen naar ontstaansplaats
van een verbinding. De TCP software kan dat
en nog veel meer. In dit onderdeel worden de
TCP Wrappers mogelijkheden besproken en, waar
dat van toepassing is, worden ook voorbeelden voor implementatie
gegeven.De TCP Wrappers software vergroot de
mogelijkheden van inetd door de mogelijkheid
al zijn serverdaemons te controleren. Met deze methode is het
mogelijk om te loggen, berichten te zenden naar verbindingen, een
daemon toe te staan alleen interne verbindingen te accepteren,
etc. Hoewel een aantal van deze mogelijkheden ook ingesteld
kunnen worden met een firewall, geeft deze manier niet alleen een
extra laag beveiliging, maar gaat dit ook verder dan wat een
firewall kan bieden.De toegevoegde waarde van TCP Wrappers
is niet dat het een goede firewall vervangt.
TCP Wrappers kunnen samen met een firewall en
andere beveiligingsinstellingen gebruikt worden om een extra laag
van beveiliging voor het systeem te bieden.Omdat dit een uitbreiding is op de instellingen van
inetd, wordt aangenomen dat de lezer het
onderdeel inetd configuration heeft
gelezen.Hoewel programma's die onder &man.inetd.8; draaien niet
echt daemons zijn, heten ze traditioneel wel zo.
Deze term wordt hier dus ook gebruikt.Voor het Eerst InstellenDe enige voorwaarde voor het gebruiken van
TCP Wrappers in &os; is ervoor te zorgen
dat de inetd gestart wordt vanuit
rc.conf met de optie .
Dit is de standaardinstelling. Er wordt vanuit gegaan dat
/etc/hosts.allow juist is ingesteld, maar
als dat niet zo is, dan zal &man.syslogd.8; dat melden.In tegenstelling tot bij andere implementaties van
TCP Wrappers is het gebruik van
hosts.deny niet langer mogelijk. Alle
instellingen moeten in /etc/hosts.allow
staan.In de meest eenvoudige instelling worden verbindingen naar
daemons toegestaan of geweigerd afhankelijk van de opties in
/etc/hosts.allow. De standaardinstelling
in &os; is verbindingen toe te staan naar iedere daemon die met
inetd is gestart. Na de basisinstelling
wordt aangegeven hoe dit gewijzigd kan worden.De basisinstelling heeft meestal de vorm
daemon : adres : actie.
daemon is de daemonnaam die
inetd heeft gestart. Het
adres kan een geldige hostnaam, een
IP adres of een IPv6 adres tussen
blokhaken ([ ]) zijn. Het veld actie kan
allow of deny zijn, afhankelijk van of toegang toegestaan of
geweigerd moet worden. De instellingen werken zo dat ze
worden doorlopen van onder naar boven om te kijken welke regel
als eerste van toepassing is. Als een regel van toepassing is
gevonden, dan stop het zoekproces.Er zijn nog andere mogelijkheden, maar die worden elders
toegelicht. Een eenvoudige instelling kan al van met deze
informatie worden gemaakt. Om bijvoorbeeld
POP3 verbindingen toe te staan via de
mail/qpopper daemon,
zouden de volgende instellingen moeten worden toegevoegd aan
hosts.allow:# This line is required for POP3 connections:
qpopper : ALL : allowNadat deze regel is toegevoegd moet
inetd herstart worden. Dit gaat met het
&man.kill.1; commando of met de restart
parameter met /etc/rc.d/inetd.Gevorderde InstellingenTCP Wrappers hebben ook gevorderde
instellingen. Daarmee komt meer controle over de wijze waarop
er met verbindingen wordt omgegaan. Soms is het een goed idee
om commentaar te sturen naar bepaalde hosts of
daemonverbindingen. In andere gevallen moet misschien iets
in een logboekbestand geschreven worden of een e-mail naar de
beheerder gestuurd worden. Dit kan allemaal met instellingen
die wildcards, uitbreidingskarakters
(expansion characters) en het uitvoeren van externe commando's
heten. De volgende twee paragrafen beschrijven deze
mogelijkheden.Externe Commando'sStel dat zich de situatie voordoet waar een verbinding
geweigerd moet worden, maar er een reden gestuurd moet
worden naar het individu dat die verbinding probeerde op te
zetten. Hoe gaat dat? Dat is mogelijk door gebruik te
maken van de optie . Als er een
poging tot verbinding wordt gedaan, wordt er met
een shellcommando of script
uitgevoerd. Er staat al een voorbeeld in
hosts.allow:# De andere daemons zijn beschermd.
ALL : ALL \
: severity auth.info \
: twist /bin/echo "You are not welcome to use %d from %h."Dit voorbeeld geeft aan dat het bericht You are
not allowed to use daemon from
hostname. wordt teruggestuurd
voor iedere daemon die niet al is ingesteld in het
toegangsbestand. Het is erg handig om een antwoord terug
te sturen naar degene die een verbinding op heeft willen
zetten meteen nadat een tot stand gekomen verbinding is
verbroken. Let wel dat alle berichten die gezonden worden
moeten staan tussen "
karakters. Hier zijn geen uitzonderingen op. Het is mogelijk een ontzegging van dienst aanval uit
te voeren op de server als een aanvaller, of een groep
aanvallers, deze daemons kan overstromen met verzoeken om
verbindingen te maken.Het is ook mogelijk hier de optie
te gebruiken. Net als weigert
impliciet de verbinding en kan het
gebruikt worden om shellcommando's of scripts uit te voeren.
Anders dan bij stuurt
geen bericht aan degene die de
verbinding wilde maken. Zie bijvoorbeeld de volgende
instelling:# Geen verbindingen van example.com:
ALL : .example.com \
: spawn (/bin/echo %a from %h attempted to access %d >> \
/var/log/connections.log) \
: denyHiermee worden alle verbindingen van het domein
*.example.com geweigerd.
Tegelijkertijd worden ook hostnaam, IP
adres en de daemon waarmee verbinding werd gemaakt naar
/var/log/connections.log
geschreven.Naast de vervangingskarakters die al zijn toegelicht,
zoals %a, bestaan er nog een paar andere. In de
handboekpagina van &man.hosts.access.5; staat een volledige
lijst.Wildcard OptiesTot nu toe is in ieder voorbeeld ALL
gebruikt. Er bestaan nog andere opties waarmee de
mogelijkheden nog verder gaan. Zo kan ALL
gebruikt worden om van toepassing te zijn op iedere instantie
van een daemon, domein of een IP adres.
Een andere wildcard die gebruikt kan worden is
PARANOID. Daarmee wordt iedere host die
een IP adres geeft dat gefingeerd kan zijn
aangeduid. In andere woorden: paranoid
kan gebruikt worden om een actie aan te geven als er een
IP adres gebruikt wordt dat verschilt van
de hostnaam. Het volgende voorbeeld kan wat verheldering
brengen:# Weiger mogelijke gespoofte verzoeken aan sendmail:
sendmail : PARANOID : denyIn het voorgaande voorbeeld worden alle
verbindingsverzoeken aan sendmail met een
IP adres dat verschilt van de hostnaam
geweigerd.Het gebruik van PARANOID kan nogal
wat schade aanrichten als de client of de server kapotte
DNS instellingen heeft. Voorzichtigheid
van de beheerder is geboden.De handboekpagina van &man.hosts.access.5; geeft meer
uitleg over wildcards en de mogelijkheden die ze
bieden.Voordat de bovenstaande instellingen werken, dient de
eerste regels in hosts.allow als
commentaar gemarkeerd te worden.MarkMurrayBijgedragen door MarkDapozGebaseerd op een bijdrage van SiebrandMazelandVertaald door KerberosIVKerberos is een netwerkdienst,
protocol en systeem waarmee gebruikers zich kunnen aanmelden met
behulp van een dienst op een veilige server. Diensten als op een
andere server aanmelden, op afstand kopiëren, veilig tussen
systemen kopiëren en andere taken met een hoog risico worden
aanmerkelijk veiliger en beter controleerbaar.De onderstaande instructies kunnen gebruikt worden als
handleiding voor het opzetten van Kerberos op &os;. Voor een
volledige beschrijving wordt verwezen naar de relevante
handboekpagina's.KerberosIV InstallerenMITKerberosIVinstallerenKerberos is een optioneel component van &os;. De meest
eenvoudige manier om de software te installeren is het
selecteren van de krb4 of
krb5 distributie in
sysinstall tijdens de initiële
installatie van &os;. Hierdoor wordt de eBones
(KerberosIV) of Heimdal (Kerberos5)
implementatie van Kerberos geïnstalleerd. Deze
implementaties zijn beschikbaar omdat ze ontwikkeld zijn buiten
de VS/Canada en dus zijn ze beschikbaar voor systeemeigenaren
buiten die landen in dit tijdperk waarin er beperkingen gelden
ten aanzien van de export van coderingsprogramma's uit de
VS.Het is ook mogelijk te kiezen voor de MIT implementatie van
Kerberos via de ports collectie: security/krb5.Maken van de Initiële DatabaseDit hoeft alleen op de Kerberos gedaan te worden. Er
dienen geen oude Kerberos databases rond te slingeren.
Controleer in de map /etc/kerberosIV of de
volgende bestanden aanwezig zijn:&prompt.root; cd /etc/kerberosIV
&prompt.root; ls
README krb.conf krb.realmsAls er nog meer bestanden zijn (zoals
principal.* of
master_key), dan kan met het programma
kdb_destroy de oude Kerberos database
vernietigd worden of de overige bestanden kunnen verwijderd
worden als Kerberos niet draait.Nu moeten de bestanden krb.conf en
krb.realms gewijzigd om de Kerberos wereld
te definiëren. In dit geval heet de wereld
EXAMPLE.COM en de server heet
grunt.example.com. Wijzig of
creëer het bestand krb.conf:&prompt.root; cat krb.conf
EXAMPLE.COM
EXAMPLE.COM grunt.example.com admin server
CS.BERKELEY.EDU okeeffe.berkeley.edu
ATHENA.MIT.EDU kerberos.mit.edu
ATHENA.MIT.EDU kerberos-1.mit.edu
ATHENA.MIT.EDU kerberos-2.mit.edu
ATHENA.MIT.EDU kerberos-3.mit.edu
LCS.MIT.EDU kerberos.lcs.mit.edu
TELECOM.MIT.EDU bitsy.mit.edu
ARC.NASA.GOV trident.arc.nasa.govIn dit geval hoeven de andere werelden er niet te zijn. Ze
staan er als voorbeeld van hoe een machine attent gemaakt kan
worden op het bestaan van meerdere werelden. In een eigen test
kan ervoor gekozen worden ze weg te laten.De eerste regel benoemt de wereld waarin het systeem
opereert. De andere regels bevatten werelden/hosts. Het
eerste deel van een regel bevat de wereld en het tweede deel is
een host in die wereld die fungeert als sleutel
distributiecentrum. De woorden admin
server achter een hostnaam betekenen dat een host
ook administratieve database server is. In de handboekpagina's
van Kerberos wordt hierover meer uitleg gegeven.Nu moet grunt.example.com aan
de wereld EXAMPLE.COM toegevoegd worden en
er moet ook een instelling gemaakt worden voor alle hosts uit
het .example.com domein in
de wereld EXAMPLE.COM. Het bestand
krb.realms dient dan als volgt gewijzigd
te worden:&prompt.root; cat krb.realms
grunt.example.com EXAMPLE.COM
.example.com EXAMPLE.COM
.berkeley.edu CS.BERKELEY.EDU
.MIT.EDU ATHENA.MIT.EDU
.mit.edu ATHENA.MIT.EDUNogmaals: de andere werelden hoeven er niet te staan. Ze
staan er als voorbeeld hoe een machine van het bestaan van
andere werelden op de hoogte gebracht kan worden. Om het
overzichtelijker te maken, kan mogen ze verwijderd
worden.De eerste regel plaatst het specifieke
systeem in de genoemde wereld. De rest van de regels geeft aan
hoe standaardsystemen uit een bepaald subdomein in een wereld
plaatst worden.Nu kan de database aangemaakt worden. Dit hoeft alleen op
de Kerberos server gedaan te worden (of Sleutel Distributie
Centrum) met het commando kdb_init:&prompt.root; kdb_initRealm name [default ATHENA.MIT.EDU ]:EXAMPLE.COM
You will be prompted for the database Master Password.
It is important that you NOT FORGET this password.
Enter Kerberos master key:Nu moet de sleutel opgeslagen worden zodat diensten op de
lokale machine er gebruik van kunnen maken met het commando
kstash:&prompt.root; kstashEnter Kerberos master key:
Current Kerberos master key version is 1.
Master key entered. BEWARE!Nu is de gecodeerde hoofdsleutel opgeslagen in
/etc/kerberosIV/master_key.Help Het aan de PraatKerberosIVeerste keer startenVoor ieder systeem dat met Kerberos
wordt beveiligd moeten twee principals worden aangemaakt. Die
heten kpasswd en rcmd.
Deze twee principals worden aangemaakt voor iedere systeem en
de instantie is de naam van het systeem.Deze daemons, kpasswd en
rcmd, staan andere systemen toe om
Kerberos wachtwoorden te wijzigen en commando's als
&man.rcp.1;, &man.rlogin.1; en &man.rsh.1; uit te
voeren.Deze worden nu toegevoegd:&prompt.root; kdb_edit
Opening database...
Enter Kerberos master key:
Current Kerberos master key version is 1.
Master key entered. BEWARE!
Previous or default values are in [brackets] ,
enter return to leave the same, or new value.
Principal name:passwdInstance:grunt
<Not found>, Create [y] ?y
Principal: passwd, Instance: grunt, kdc_key_ver: 1
New Password: <---- enter RANDOM here
Verifying password
New Password: <---- enter RANDOM here
Random password [y] ?y
Principal's new key version = 1
Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?Max ticket lifetime (*5 minutes) [ 255 ] ?Attributes [ 0 ] ?
Edit O.K.
Principal name:rcmdInstance:grunt
<Not found>, Create [y] ?
Principal: rcmd, Instance: grunt, kdc_key_ver: 1
New Password: <---- enter RANDOM here
Verifying password
New Password: <---- enter RANDOM here
Random password [y] ?
Principal's new key version = 1
Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?Max ticket lifetime (*5 minutes) [ 255 ] ?Attributes [ 0 ] ?
Edit O.K.
Principal name: <---- null entry here will cause an exitAanmaken van het ServerbestandNu moeten alle instanties die de diensten op iedere server
definiëren geëxtraheerd worden. Dat kan met het
commando ext_srvtab. Dit commando maakt een
bestand aan dat veilig gekopieerd moet
worden naar de map /etc/kerberosIV van
iedere Kerberos client. Dit bestand moet aanwezig zijn op
iedere server en op iedere client en is van doorslaggevend
belang voor de werking van Kerberos.&prompt.root; ext_srvtab gruntEnter Kerberos master key:
Current Kerberos master key version is 1.
Master key entered. BEWARE!
Generating 'grunt-new-srvtab'....Het bovenstaande commando maakt een tijdelijk bestand aan
dat hernoemd moet worden naar srvtab zodat
alle diensten erbij kunnen. Met &man.mv.1; kan het op de
juiste plaats op het originele systeem gezet worden:&prompt.root; mv grunt-new-srvtab srvtabAls het bestand voor een clientsysteem is en het netwerk is
niet veilig, dan kan het bestand
client-new-srvtab
dan naar een verwijderbaar medium gekopieerd worden en dan
fysiek veilig getransporteerd worden. Op de client dient het
bestand srvtab te heten in de map
/etc/kerberosIV en in mode 600 te
staan:&prompt.root; mv grumble-new-srvtab srvtab
&prompt.root; chmod 600 srvtabDe Database VullenNu moeten de gebruikers in de database. In dit voorbeeld
wordt de gebruiker jane als eerste
ingevoerd. Hiervoor is het commando
kdb_edit:&prompt.root; kdb_edit
Opening database...
Enter Kerberos master key:
Current Kerberos master key version is 1.
Master key entered. BEWARE!
Previous or default values are in [brackets] ,
enter return to leave the same, or new value.
Principal name:janeInstance:
<Not found>, Create [y] ?y
Principal: jane, Instance: , kdc_key_ver: 1
New Password: <---- enter a secure password here
Verifying password
New Password: <---- re-enter the password here
Principal's new key version = 1
Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?Max ticket lifetime (*5 minutes) [ 255 ] ?Attributes [ 0 ] ?
Edit O.K.
Principal name: <---- null entry here will cause an exitAlles TestenEerst moeten de Kerberos daemons gestart worden. Als de
juiste wijziging in /etc/rc.conf zijn
gemaakt, dan gebeurt dit automatisch na een herstart. Dit
hoeft alleen ingesteld te worden op de Kerberos server.
Kerberos clients vinden automatisch wat ze zoeken in de
map /etc/kerberosIV.&prompt.root; kerberos &
Kerberos server starting
Sleep forever on error
Log file is /var/log/kerberos.log
Current Kerberos master key version is 1.
Master key entered. BEWARE!
Current Kerberos master key version is 1
Local realm: EXAMPLE.COM
&prompt.root; kadmind -n &
KADM Server KADM0.0A initializing
Please do not use 'kill -9' to kill this job, use a
regular kill instead
Current Kerberos master key version is 1.
Master key entered. BEWARE!Nu kunnen kan er getest worden of met het commando
kinit een ticket (kaartje) gekregen kan
worden voor het ID jane dat net is
aangemaakt:&prompt.user; kinit jane
MIT Project Athena (grunt.example.com)
Kerberos Initialization for "jane"
Password:Met klist kan gecontroleerd worden of de
tokens er echt zijn:&prompt.user; klist
Ticket file: /tmp/tkt245
Principal: jane@EXAMPLE.COM
Issued Expires Principal
Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COMNu wordt het wachtwoord gewijzigd met &man.passwd.1; om
te controleren of de kpasswd daemon
autorisatie krijgt van de Kerberos database:&prompt.user; passwd
realm EXAMPLE.COM
Old password for jane:New Password for jane:
Verifying password
New Password for jane:
Password changed.su Rechten ToewijzenKerberos biedt mogelijkheid iedere
gebruiker die rootrechten nodig heeft zijn
eigen afzonderlijke &man.su.1; wachtwoord
te geven. Nu wordt een ID toegevoegd dat geautoriseerd is om
&man.su.1; te gebruiken naar root. Dit
wordt geregeld door een instantie van root
te verbinden met een principal. Met
kdb_edit kan jane.root
gemaakt worden in de Kerberos database:&prompt.root; kdb_edit
Opening database...
Enter Kerberos master key:
Current Kerberos master key version is 1.
Master key entered. BEWARE!
Previous or default values are in [brackets] ,
enter return to leave the same, or new value.
Principal name:janeInstance:root
<Not found>, Create [y] ? y
Principal: jane, Instance: root, kdc_key_ver: 1
New Password: <---- enter a SECURE password here
Verifying password
New Password: <---- re-enter the password here
Principal's new key version = 1
Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?Max ticket lifetime (*5 minutes) [ 255 ] ?12 <--- Keep this short!
Attributes [ 0 ] ?
Edit O.K.
Principal name: <---- null entry here will cause an exitEen lijst van de tokens kan bevestigen als alles werkt
zoals verwacht:&prompt.root; kinit jane.root
MIT Project Athena (grunt.example.com)
Kerberos Initialization for "jane.root"
Password:Nu dient de gebruiker toegevoegd te worden aan het
bestand .klogin van
root:&prompt.root; cat /root/.klogin
jane.root@EXAMPLE.COMNa een &man.su.1;:&prompt.user; suPassword:kan de lijst met tokens bekeken worden:&prompt.root; klist
Ticket file: /tmp/tkt_root_245
Principal: jane.root@EXAMPLE.COM
Issued Expires Principal
May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COMAndere Commando's GebruikenIn een eerder voorbeeld is een principal met de naam
jane gemaakt met een instantie
root. Dit was gebaseerd op een gebruiker met
dezelfde naam als de principal en dit is de standaard binnen
Kerberos: een
<principal>.<instantie> in de
vorm van <gebruikersnaam>.root staat die
<gebruikersnaam> het gebruik van
&man.su.1; naar root toe als de benodigde
instellingen in het bestand .klogin in de
home directory van root zijn
gemaakt:&prompt.root; cat /root/.klogin
jane.root@EXAMPLE.COMZo werkt het ook als een gebruiker in zijn eigen home
directory iets als volgt heeft opgenomen:&prompt.user; cat ~/.klogin
jane@EXAMPLE.COM
jack@EXAMPLE.COMHierdoor mag iedereen die zich in de wereld
EXAMPLE.COM heeft geauthenticeerd als
jane of jack (via
kinit, zie boven) bij
jane's account of de bestanden op dit
systeem (grunt) met &man.rlogin.1;,
&man.rsh.1; of &man.rcp.1;.Nu meldt bijvoorbeeld jane zich aan
op een ander systeem met Kerberos:&prompt.user; kinit
MIT Project Athena (grunt.example.com)
Password:
&prompt.user; rlogin grunt
Last login: Mon May 1 21:14:47 from grumble
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of the University of California. All rights reserved.
FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995Of jack meldt zich aan op
jane's account op dezelfde machine
(jane heeft het bestand
.klogin ingesteld zoals hierboven en de
beheerder van Kerberos heeft een principal
jack aangemaakt zonder instantie):&prompt.user; kinit
&prompt.user; rlogin grunt -l jane
MIT Project Athena (grunt.example.com)
Password:
Last login: Mon May 1 21:16:55 from grumble
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of the University of California. All rights reserved.
FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995TillmanHodgsonBijgedragen door MarkMurrayGebaseerd op een bijdrage van SiebrandMazelandVertaald door Kerberos5Iedere &os; release hoger dan &os;-5.1 bevat alleen
ondersteuning voor Kerberos5. Daarom
is Kerberos5 de enige versie die erbij
zit. De instellingen zijn op veel gebieden gelijk aan die van
KerberosIV. De nu volgende informatie
geldt alleen voor &os;-5.0 releases en verder. Gebruikers die
het KerberosIV package willen
gebruiken kunnen dat installeren uit de
security/krb4 port.Kerberos is een netwerkdienst,
protocol en systeem waarmee gebruikers zich kunnen aanmelden
met behulp van een dienst op een veilige server. Diensten als
op een andere server aanmelden, op afstand kopiëren, veilig
tussen systemen kopiëren en andere taken met een hoog risico
worden aanmerkelijk veiliger en beter controleerbaar.Kerberos kan omschrijven worden
als identiteitbevestigend proxy systeem. Het kan ook
omschreven worden als een vertrouwd authenticatiesysteem van een
derde partij. Kerberos vervult maar
één taak: het veilig authenticeren van gebruikers
op het netwerk. Het vervult geen autorisatietaken (wat
gebruikers mogen) en controleert ook niets (wat gebruikers hebben
gedaan). Nadat een client en server
Kerberos hebben gebruikt om hun
identiteit vast te stellen kunnen ze ook al hun communicatie
coderen om hun privacy en data-integriteit te garanderen.Daarom wordt het sterk aangeraden om
Kerberos samen met andere
beveiligingsmechanismen te gebruiken die autorisatie en
controlemogelijkheden bieden.De aanwijzingen die nu volgen kunnen gebruikt worden als
werkinstructie om Kerberos in te
stellen zoals dat wordt meegeleverd met &os;. Een complete
beschrijving staat in de handboekpagina.Voor demonstratie van de installatie van
Kerberos wordt gebruik gemaakt van de
volgende naamgeving:Het DNS domein (zone)
is example.org.De Kerberos wereld is
EXAMPLE.ORG.Het advies is voor installaties van
Kerberos echte domeinnamen te
gebruiken, zelfs als het alleen intern wordt gebruikt. Hiermee
worden DNS problemen voorkomen is een
goede samenwerking met andere
Kerberos werelden verzekerd.GeschiedenisKerberos5geschiedenisKerberos is ontworpen door
MIT als oplossing voor
netwerkbeveiligingsproblemen. Het
Kerberos protocol gebruikt sterke
codering zodat een client zijn identiteit kan bewijzen aan een
server (en andersom) over een onveilige
netwerkverbinding.Kerberos is zowel de naam van
een netwerkautorisatieprotocol als een bijvoeglijk naamwoord om
de programma's te beschrijven die gebruik maken van het
programma (zoals Kerberos telnet).
De huidige versie van het protocol is versie 5 en is beschreven
in RFC 1510.Er zijn een aantal vrij beschikbare implementaties van dit
protocol beschikbaar voor veel systemen. Het Massachusetts
Institute of Technology (MIT), waar
Kerberos ooit is ontwikkeld,
ontwikkelt nog steeds door aan hun
Kerberos pakket. Het wordt in de
VS veel gebruikt als coderingspakket en
daarom wordt het ook geraakt door de exportwetgeving van de
VS. Kerberos
van MIT is beschikbaar als port
(security/krb5). Heimdal
Kerberos is een andere implementatie
van versie 5 die expliciet buiten de VS is
ontwikkeld om de exportwetgeving de omzeilen (en wordt daarom
vaak gebruikt in niet-commerciële &unix; varianten). De
Heimdal Kerberos distributie is
beschikbaar als port (security/heimdal) en er zit een
minimale installatie in de basisinstallatie van &os;.Om het grootst mogelijke publiek te bereiken gaan deze
instructies ervan uit dat de Heimdal distributie die bij &os;
zit wordt gebruikt.Opzetten van een Heimdal KDCKerberos5sleutel distributie centrum instellingenHet Sleutel Distributie Centrum (KDC,
voluit Key Distribution Center) is de
gecentraliseerde authenticatiedienst die
Kerberos levert. Het is de computer
die Kerberos tickets uitgeeft. Het
KDC wordt vertrouwd door
alle andere computer in de Kerberos
wereld en daarom dient er een strenger beveiligingsregime op
van kracht te zijn.Hoewel het draaien van de
Kerberos dienst erg weinig van een
systeem vraagt, wordt het wel aangeraden om een machine in te
richten exclusief voor het KDC om
beveiligingsredenen.Het opzetten van een KDC begint met de
controle of de instellingen in
/etc/rc.conf juist zijn om te functioneren
als KDC (misschien moeten paden veranderd
worden voor een eigen systeem):kerberos5_server_enable="YES"
kadmind5_server_enable="YES"
kerberos_stash="YES" is alleen beschikbaar in
&os; 4.X.Daarna wordt het Kerberos
instellingenbestand /etc/krb5.conf
aangemaakt:[libdefaults]
default_realm = EXAMPLE.ORG
[realms]
EXAMPLE.ORG = {
kdc = kerberos.example.org
admin_server = kerberos.example.org
}
[domain_realm]
.example.org = EXAMPLE.ORG/etc/krb5.conf gaat ervan uit dat de
KDC de fully-qualified hostname kerberos.example.org heeft. Als de
KDC een andere hostname heeft, moet er nog
een CNAME (alias) toevoegd aan de zonefile.Voor grotere netwerken met een juist ingestelde
BIND DNS server kan
het bovenstaande voorbeeld ingekort worden tot:[libdefaults]
default_realm = EXAMPLE.ORGDoor de volgende regels toe te voegen aan de zonefile
voor example.org:_kerberos._udp IN SRV 01 00 88 kerberos.example.org.
_kerberos._tcp IN SRV 01 00 88 kerberos.example.org.
_kpasswd._udp IN SRV 01 00 464 kerberos.example.org.
_kerberos-adm._tcp IN SRV 01 00 749 kerberos.example.org.
_kerberos IN TXT EXAMPLE.ORG.Om clients de Kerberos
diensten te kunnen laten vinden, moet
er een volledig ingestelde
/etc/krb5.conf zijn of een minimaal
ingestelde /etc/krb5.confen een correct ingestelde DNS
server.Nu wordt de Kerberos
database aangemaakt. Deze database bevat de sleutels voor
alle principals en zijn versleuteld met een hoofdwachtwoord.
Dit wachtwoord hoeft niet onthouden te worden omdat het wordt
opgeslagen in (/var/heimdal/m-key). De
hoofdsleutel wordt aangemaakt door kstash
te starten en een wachtwoord in te voeren.Als de hoofdsleutel is gemaakt, kan de database
ingeschakeld worden met kadmin
met de optie -l (die staat voor
local). Deze optie geeft
kadmin de opdracht om de databasebestanden
direct te wijzigingen in plaats van via de
kadmind netwerkdienst. Hiermee wordt het
kip-ei probleem opgelost waarbij een verbinding wordt gemaakt
met de database voordat hij bestaat. Op het prompt van
kadmin kan met init
de database met de werelden aangemaakt worden.Tenslotte, nog steeds in kadmin, kan
de eerste principal gemaakt worden met
add. De standaardopties voor de principal
worden nu aangehouden. Deze kunnen later altijd
nog gewijzigd worden met modify. Met
het commando ? kunnen alle beschikbare
mogelijkheden getoond worden.Hieronder een sessie waarin een voorbeelddatabase wordt
aangemaakt:&prompt.root; kstash
Master key: xxxxxxxx
Verifying password - Master key: xxxxxxxx
&prompt.root; kadmin -l
kadmin> init EXAMPLE.ORG
Realm max ticket life [unlimited]:
kadmin> add tillman
Max ticket life [unlimited]:
Max renewable life [unlimited]:
Attributes []:
Password: xxxxxxxx
Verifying password - Password: xxxxxxxxNu kan de KDC dienst gestart worden
met /etc/rc.d/kerberos start en
/etc/rc.d/kadmind start. Op dit moment
draait er nog geen enkele daemon die gebruik maakt van
Kerberos. Bevestiging dat
KDC draait is te krijgen door een ticket te
vragen en dat uit te lezen voor de principal (user)
die zojuist is aangemaakt vanaf de commandoregel van het
KDC zelf:&prompt.user; k5init tillman
tillman@EXAMPLE.ORG's Password:
&prompt.user; k5list
Credentials cache: FILE:/tmp/krb5cc_500
Principal: tillman@EXAMPLE.ORG
Issued Expires Principal
Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORGKerberos inschakelen op een
Server met Heimdal dienstenKerberos5diensten inschakelenAls eerste is een kopie van het instellingenbestand van
Kerberos nodig,
/etc/krb5.conf. Dit bestand kan
eenvoudigweg op een veilige manier (met netwerkprogramma's
als &man.scp.1;, of fysiek via een floppy) naar de
clientcomputer gekopieerd worden vanaf de
KDC.Hierna is het /etc/krb5.keytab
nodig. Dit is het belangrijkste verschil tussen een server
die een daemons met Kerberos
aanbiedt en een werkstation: de server heeft het bestand
keytab nodig. Dit bestand bevat de
hostsleutel van de server waardoor het werkstation en de
KDC elkaars identiteit kunnen bevestigen.
Dit bestand dient veilig overgebracht te worden omdat de
beveiliging van de server doorbroken kan worden als de
sleutel openbaar wordt gemaakt. Dit betekent expliciet dat
overdracht via een protocol dat platte tekst gebruikt,
bv. FTP, een slecht idee is.Meestal wordt keytab naar de
server gebracht met kadmin. Dat
werkt handig omdat ook de host principal (het
KDC onderdeel van
krb5.keytab) aangemaakt moet
worden met kadmin.Let wel op dat er al een ticket moet zijn en dat dit
ticket de kadmin interface moet mogen
gebruiken in kadmind.acl. Zie
Beheer op Afstand in de Heimdal
informatiepagina's (info heimdal) voor
details over het ontwerpen van toegangscontrole. Als
kadmin via het netwerk geen toegang mag
hebben, dan kan ook op een veilige verbinding gemaakt worden
met de KDC (via het lokale console,
&man.ssh.1; of Kerberos
&man.telnet.1;) zodat alles lokaal uitgevoerd kan worden met
kadmin -l.Na het installeren van
/etc/krb5.conf kan
kadmin van de
Kerberos server gebruikt worden.
Met add --random-key kan de host
principal toegevoegd worden en met ext kan
de host principal van de server naar zijn eigen keytab
getrokken worden. Bijvoorbeeld:&prompt.root; kadmin
kadmin> add --random-key host/myserver.example.org
Max ticket life [unlimited]:
Max renewable life [unlimited]:
Attributes []:
kadmin> ext host/myserver.example.org
kadmin> exitLet op: ext slaat de sleutel standaard
op in /etc/krb5.keytab.Als kadmind niet beschikbaar is op de
KDC (wellicht om beveiligingsredenen) en
er via het netwerk dus geen toegang is tot
kadmin, dan kan de host principal
(host/myserver.EXAMPLE.ORG) ook direct
aan de KDC toegevoegd worden en daarna in
een tijdelijk bestand gezet worden. Het volgende kan
gebruikt worden om te voorkomen dat
/etc/krb5.keytab op de
KDC) wordt overschreven:&prompt.root; kadmin
kadmin> ext --keytab=/tmp/example.keytab host/myserver.example.org
kadmin> exitHierna kan de keytab veilig gekopieerd worden naar de
server (met scp of een floppy). Geef
een niet-standaard naam op voor de keytab om te voorkomen
dat de keytab op de KDC wordt
overschreven.Nu kan de server communiceren met de
KDC (vanweg
krb5.conf) en zijn identiteit bewijzen
(vanwege krb5.keytab). Nu is de server
klaar om er een aantal Kerberos
diensten op te activeren. In dit voorbeeld wordt de dienst
telnet geactiveerd door de volgende regel
in /etc/inetd.conf te zetten en dan
&man.inetd.8; te herstarten met
/etc/rc.d/inetd restart:telnet stream tcp nowait root /usr/libexec/telnetd telnetd -a userHet belangrijkste is dat de typering
-a (van authenticatie) op user staat. Meer
details zijn in &man.telnetd.8; te vinden.Kerberos Activeren op een
Client met HeimdalKerberos5clientinstellingenHet opzetten van een clientcomputer is eigenlijk
kinderlijk eenvoudig. Wat betreft de
Kerberos instelling is alleen het
Kerberos instellingenbestand
(/etc/krb5.conf) nodig. Dat kan
eenvoudigweg naar de clientcomputer gekopieerd worden vanaf
de KDC.Test de client met kinit,
klist en kdestroy
vanaf de client om een ticket te krijgen, te bekijken en
daarna te verwijderen voor de principal die hierboven is
aangemaakt. Nu moeten ook
Kerberos applicaties gebruikt
kunnen worden om verbindingen te maken met servers waarop
Kerberos is geactiveerd. Als dat
niet lukt en het verkrijgen van een ticket is wel mogelijk,
dan ligt dat hoogstwaarschijnlijk aan de server en niet aan
de client of de KDC.Bij het testen van een applicatie als
telnet kan het beste een pakketsnuffelaar
(bv. &man.tcpdump.1;) gebruikt worden om te bevestigen dat
een wachtwoord niet als tekst wordt verzonden. Gebruik
telnet met de optie -x.
Dan wordt de complete datastroom versleuteld (vergelijkbaar
met ssh).De Kerberos sleutelapplicaties
op de client (meestal kinit,
klist, kdestroy en
kpasswd) zitten in de basisinstallatie
van &os;. Let wel dat ze in &os; versies van voor 5.0
hernoemd zijn naar k5init,
k5list, k5destroy,
k5passwd en k5stash
(deze commando's worden gewoonlijk maar een keer
gebruikt).Er worden standaard ook andere
Kerberos applicaties op de client
geïnstalleerd. Hier komt de
minimalistische natuur van de Heimdal
basisinstallatie boven drijven: telnet is
de enige dienst waarvoor Kerberos
geactiveerd is.De Heimdal port voegt een aantal missende
clientapplicaties toe: versies met ondersteuning voor
Kerberos van
ftp, rsh,
rcp, rlogin en een paar
minder gebruikelijke programma's. De MIT
port bevat ook een volledig gamma aan
Kerberos clientapplicaties.Instellingenbestanden voor Gebruikers:
.k5login en
.k5usersKerberos5bestanden met gebruikersinstellingenVoor gebruikers binnen een wereld wijst hun
Kerberos principal (bv.
tillman@EXAMPLE.ORG) gewoonlijk naar
een lokale gebruikeraccount (bv. een lokale account met de
naam tillman). Voor Clientapplicaties
als telnet is gewoonlijk geen
gebruikersnaam of principal nodig.Soms moet iemand zonder bijpassende
Kerberos principal toch toegang
hebben tot een lokale gebruikersaccount.
tillman@EXAMPLE.ORG zou bijvoorbeeld
toegang nodig kunnen hebben tot de lokale gebruikersaccount
webdevelopers. Andere principals zouden
die toegang wellicht ook nodig kunnen hebben.De bestanden .k5login en
.k5users uit de gebruikersmap kunnen op
eenzelfde manier gebruikt worden als
.hosts en .rhosts.
Zo wordt het voorgaande probleem opgelost. Als bijvoorbeeld
een .k5login met de volgende
inhoud:tillman@example.org
jdoe@example.orgin de thuismap van de lokale gebruiker
webdevelopers gezet wordt dan zouden
beide principals toegang hebben tot die account zonder dat
ze een wachtwoord hoeven te delen.We raden aan de handboekpagina's voor deze commando's
te lezen. Let op dat de ksu handboekpagina
.k5users behandelt.Kerberos Tips, Trucs en
Problemen OplossenKerberos5problemen oplossenAls de Heimdal of MIT
Kerberos port wordt gebruikt
dan dient de PATH omgevingsvariabele
de Kerberos versies van de
clientapplicaties te tonen voor de systeemversies.Hebben alle computers in de wereld hun tijd
gesynchroniseerd? Als dat niet zo is, dan slaagt de
authenticatie wellicht niet.
beschrijft hoe klokken
met NTP gesynchroniseerd kunnen
worden.MIT en Heimdal werken prima samen.
Dit geldt niet voor kadmin omdat
daarvoor geen protocolstandaard is.Als een hostnaam wordt gewijzigd, dan moet ook de
host/ principal aangepast en de
keytab. Dit geldt ook voor bijzondere instellingen
in de keytab zoals de www/ principal
voor www/mod_auth_kerb van
Apache.Alle hosts in een wereld moeten oplosbaar
(resolvable) zijn (zowel vooruit als achteruit) in de
DNS (of tenminste in
/etc/hosts). CNAMEs werken wel,
maar de A en PTR records moeten juist en actief zijn. De
foutmelding is niet erg duidelijk: Kerberos5
refuses authentication because Read req failed: Key table
entry not found.Sommige besturingssystemen van clients voor een
KDC zetten wellicht geen setuid
root voor ksu.
Dit betekent dat ksu niet werkt. Dat
is vanuit beveiligingsoogpunt een prima idee, maar wel
lastig. Dit is dus geen KDC
fout.Als met MIT
Kerberos een principal een
ticket moet krijgen dat langer geldig is dan de standaard
van tien uur, dan moet
modify_principal in
kadmin gebruikt worden om de maximale
geldigheidsduur (maxlife) van zowel de principal waar het
om gaat als de krbtgt principal aan
te passen. Dan kan de principal kinit-l gebruiken om een ticket met een
langere levensduur aan te vragen.Als een pakketsnuffelaar op de
KDC draait bij om te helpen bij het
oplossen van problemen en dan kinit
vanaf een werkstation wordt gestart, dan wordt zichtbaar
dat de TGT meteen wordt verstuurd als
kinit start, zelfs nog voor het
wachtwoord! De reden hiervoor is dat de
Kerberos server vrijelijk een
TGT (Ticket Granting
Ticket) verstuurt op iedere niet geautoriseerd verzoek.
Maar iedere TGT is versleuteld met een
sleutel die is afgeleid van het wachtwoord van de
gebruiker. Als een gebruiker zijn wachtwoord ingeeft,
wordt dat dus niet naar de KDC
gezonden, maar ontcijfert het de TGT
die kinit al heeft ontvangen. Als de
ontcijfering resulteert in een geldige ticket met een
geldige tijdstempel, dan heeft de gebruiker geldige
Kerberos rechten. Deze
rechten bevatten ook een sessiesleutel voor het opzetten
van beveiligde communicatie met de
Kerberos server in de toekomst
en de eigenlijke ticket-granting ticket, die is
versleuteld met de sleutel van de
Kerberos server zelf. Deze
tweede laag van versleuteling is niet bekend voor de
gebruiker, maar het stelt de
Kerberos server in staat om de
juistheid van iedere TGT te
bevestigen.Als tickets worden gebruik die lang geldig zijn (bv.
een week) en OpenSSH wordt
gebruikt om een verbinding te maken met de machine waarop
het ticket staat, zorg er dan voor dat de
Kerberos optie
op no
staat in sshd_config want anders
worden tickets verwijderd bij afmelden.Host principals kunnen ook een langere levensduur
hebben. Als een gebruikers principal een levensduur van
een week heeft, maar de host waar de verbinding mee
gemaakt wordt heeft een levensduur van negen uur,
dan heb staat er een verlopen host principal in de cache
en dan werkt e.e.a. niet zoals verwacht.Een krb5.dict bestand om het
gebruik van bepaalde slechte wachtwoorden te voorkomen
(dit wordt kort behandeld in de handboekpagina voor
kadmind) heeft alleen betrekking op
principals waar een wachtwoordbeleid voor geldt. De
opmaak van krb5.dict is eenvoudig:
een rij tekens per regel. Een symbolic link maken naar
/usr/share/dict/words is misschien
handig.Verschillen met de MIT portHet belangrijkste verschil tussen de
MIT en Heimdal installatie heeft
betrekking op kadmin, dat een andere (maar
gelijkwaardige) set commando's kent en een andere protocol
gebruikt. Dit betekent nogal wat als een
KDC MIT is, omdat
dan de kadmin van Heimdal niet gebruikt
kan worden om de KDC vanaf afstand te
beheren (dat geldt trouwens ook vice versa).De clientapplicaties kunnen ook commandoregelopties
gebruiken die een beetje verschillen, maar waarmee wel
hetzelfde wordt bereikt. We raden aan de instructies op de
MIT Kerberos
website () te volgen.
Wees voorzichtig met paden: de MIT port
installeert standaard in
/usr/local/ en dus kunnen de
normale systeemapplicaties gestart worden in
plaats van die van MIT als de
PATH omgevingsvariabele de systeemmappen als
eerste weergeeft.Als de MIT
security/krb5 port die
bij &os; zit wordt gebruikt, dan zorgt het lezen van
/usr/local/share/doc/krb5/README.FreeBSD
dat bij de port wordt geïnstalleerd voor een beter
begrip over waarom het aanmelden via
telnetd en klogind
soms wat vreemd verloopt. Als belangrijkste wijzen we erop
dat het bij het corrigeren van
onjuiste rechten op het cachebestand
noodzakelijk is dat het binaire bestand
login.krb5 wordt gebruikt voor
authenticatie zodat het op de juiste wijze eigenaarschap kan
wijzigen voor de doorgegeven rechten.Beperkingen in
KerberosKerberos5beperkingen en tekortkomingenKerberos is een alles of
niets aanpakIedere ingeschakelde dienst op het netwerk moet
aangepast worden om met Kerberos
te werken (of op een andere manier beschermd zijn tegen
netwerkaanvallen), want anders kunnen gebruikersrechten
worden gestolen en hergebruikt. Een voorbeeld hier van is
het inschakelen van Kerberos
voor alle shells op afstand (via rsh en
telnet bijvoorbeeld), maar de
POP3 mailserver die wachtwoorden als
platte tekst verzend ongemoeid laten.Kerberos is bedoeld voor
werkstations met een gebruikerIn een multi-user omgeving is
Kerberos minder veilig. Dit komt
doordat de tickets worden opgeslagen in de map
/tmp, waar gelezen kan worden door
alle gebruikers. Als een gebruiker een computer deelt met
andere gebruikers op hetzelfde moment (dus multi-user), dan
is het mogelijk dat een ticket van een gebruiker wordt
gestolen (gekopieerd) door een andere gebruiker.Dit kan voorkomen worden met de commandoregeloptie
-c bestandsnaam of (bij
voorkeur) de omgevingsvariabele KRB5CCNAME,
maar dat wordt zelden gedaan. In principe kan het opslaan
van een ticket in de thuismap van een gebruiker in
combinatie met eenvoudige bestandsrechten dit probleem
verhelpen.De KDC is een single point of failureZoals het is ontworpen, moet de KDC
zo goed mogelijk beveiligd zijn, omdat de hoofd
wachtwoorddatabase erop staat. De KDC
hoort geen enkele andere dienst aan te bieden en moet ook
fysiek afgeschermd worden. Het gevaar is groot, omdat
Kerberos alle wachtwoorden
versleutelt met dezelfde sleutel (de master
sleutel) die als een bestand op de KDC
staat.Toch is een gecompromitteerde master sleutel niet zo'n
groot probleem als wellicht wordt verondersteld. De
mastersleutel wordt alleen gebruikt om de
Kerberos database te
versleutelen en als zaad voor de generator van willekeurige
nummers. Zo lang als de toegang tot de
KDC is beveiligd, kan een aanvaller niet
echt iets doen met de mastersleutel.Als de KDC niet beschikbaar is
(misschien door een ontzeggen van dienst aanval of
netwerkproblemen) kunnen de netwerkdiensten niet gebruikt
worden omdat er geen authenticatie uitgevoerd kan worden;
een recept voor een ontzeggen van dienst aanval. Dit
risico kan omzeild worden door meerdere
KDC's (één master en
één of meer slaves) en een zorgvuldige
implementatie van secundaire of fall-back authenticatie.
PAM is hier uitermate geschikt
voor.Tekortkomingen van
KerberosKerberos stelt gebruikers,
hosts en diensten in staat om elkaar te authenticeren.
Maar het heeft geen mechanisme om de KDC
te authenticeren aan de gebruikers, hosts of diensten. Dit
betekent dat bijvoorbeeld een vervalste
kinit alle gebruikersnamen en
wachtwoorden zou kunnen afluisteren. Iets als
security/tripwire of
andere controle-instrumenten voor de integriteit van
bestandssystemen kunnen hier verlichting brengen.Bronnen en Verdere InformatieKerberos5externe bronnen
De Kerberos FAQ
(Engels)Een
Authenticatiesysteem Ontwerpen: een Dialoog in Vier
Scenes (Engels)
RFC 1510, De Kerberos Netwerk
Authenticatie Dienst (V5) (Engels)
MIT
Kerberos
homepageHeimdal
Kerberos homepageTomRhodesGeschreven door SiebrandMazelandVertaald door OpenSSLbeveiligingOpenSSLOpenSSLEen toepassing die bij &os; zit die veel gebruikers over het
hoofd zien is OpenSSL.
OpenSSL biedt een versleutelde
transportlaag bovenop de normale communicatielaag. Daardoor
biedt het de mogelijkheid met veel netwerktoepassingen en
diensten verweven te raken.Een aantal toepassingen van
OpenSSL zijn versleutelde
authenticatie van mailclients, webgebaseerde transacties als
creditcardbetalingen en nog veel meer. Veel ports zoals
www/apache13-ssl en
mail/sylpheed-claws
bieden tijdens het compileren ondersteuning om
OpenSSL in te bouwen.In de meeste gevallen zal de portscollectie proberen de
port security/openssl te
bouwen, tenzij de make variabele
WITH_OPENSSL_BASE expliciet naar
yes is gezet.De versie van OpenSSL die bij &os;
zit ondersteunt Secure Sockets Layer v2/v3 (SSLv2/SSLv3),
Transport Layer Security v1 (TLSv1) netwerk
beveiligingsprotocollen en kan gebruikt worden als generieke
versleutelingsbibliotheek.Hoewel OpenSSL ondersteuning
biedt voor het IDEA algoritme, is dat
standaard uitgeschakeld in verband met patenten in de VS. Om
het te gebruiken dient de licentie gelezen te worden en, als
de restricties aanvaardbaar zijn, dient de make variabele
MAKE_IDEA ingesteld te worden in
make.conf.Een van de meest gebruikte toepassingen van
OpenSSL is het leveren van
certificaten voor gebruik met softwaretoepassingen. Deze
certificaten verzekeren dat de eigenschappen van een bedrijf
of individu geldig zijn en niet vervalst. Als het certificaat
in kwestie niet geldig verklaard is door een van de
Certificate Authorities of
CA's, dan komt er een waarschuwing. Een
Certificate Authority is een bedrijf, zoals VeriSign, dat certificaten
ondertekent zodat de eigenschappen van een bedrijf of individu
geldig verklaard kunnen worden. Dit proces kost geld en het is
zeker geen voorwaarde voor het gebruik van certificaten. Het
stelt wel de meer paranoïde gebruikers gerust.Certificaten MakenOpenSSLcertificaten makenVoor het maken van certificaten is het volgende commando
beschikbaar:&prompt.root; openssl req -new -nodes -out req.pem -keyout cert.pem
Generating a 1024 bit RSA private key
................
.......................................
writing new private key to 'cert.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:PA
Locality Name (eg, city) []:Pittsburgh
Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company
Organizational Unit Name (eg, section) []:Systems Administrator
Common Name (eg, YOUR name) []:localhost.example.org
Email Address []:trhodes@FreeBSD.org
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:SOME PASSWORD
An optional company name []:Another NameLet op dat het antwoord direct na Common
Name een domeinnaam weergeeft. De prompt wil
dat er een servernaam wordt ingegeven voor het
verificatieproces. Het plaatsen van iets anders dan een
domeinnaam zorgt ervoor dat het certificaat waardeloos wordt.
Er zijn ook andere opties als verloopdatum, andere
versleutelingsalgoritmen, etc, beschikbaar. Een volledige
lijst is na te lezen in de handboekpagina van
&man.openssl.1;.Er zou nu een bestand cert.pem moeten
bestaan in de map waar het voorgaande commando is uitgevoerd.
Dit is het certificaat dat aan een CA ter
ondertekening gezonden kan worden.In gevallen waar ondertekening door een
CA niet vereist is, kan een zelfondertekend
certificaat gemaakt worden. Maak als eerste de
RSA sleutel:&prompt.root; openssl dsaparam -rand -genkey -out
myRSA.key 1024Hierna kan de CA sleutel gemaakt
worden:&prompt.root; openssl gendsa -des3 -out \
myca.keymyRSA.keyDeze sleutel kan gebruikt worden om een certificaat te
maken:&prompt.root; openssl req -new -x509 -days 365 -key
myca.key -out new.crtEr zouden nu twee bestanden bijgekomen moeten zijn in de
map: een certificate authority ondertekeningsbestand
myca.key en new.crt,
het certificaat zelf. Deze moeten in een map geplaatst worden,
bij voorkeur onder /etc
waar alleen root kan lezen. De rechten
0700 zijn hier prima en die kunnen ingesteld worden met
chmod.Certificate Gebruiken: een VoorbeeldEn wat kunnen deze bestanden? Een prima toepassing zou
het versleutelen van verbindingen naar de
Sendmail MTA
kunnen zijn. Daardoor zouden gebruikers niet langer platte
tekst hoeven te authenticeren om mail te sturen via de lokale
MTA.Dit is niet de best denkbare toepassing omdat sommige
MUA's de gebruiker een foutmelding geven
als ze het certificaat niet lokaal geïnstalleerd hebben.
De documentatie bij de software geeft meer informatie over
het installeren van certificaten.De volgende regels moeten opgenomen worden in het lokale
.mc bestand:dnl SSL Options
define(`confCACERT_PATH',`/etc/certs')dnl
define(`confCACERT',`/etc/certs/new.crt')dnl
define(`confSERVER_CERT',`/etc/certs/new.crt')dnl
define(`confSERVER_KEY',`/etc/certs/myca.key')dnl
define(`confTLS_SRV_OPTIONS', `V')dnl/etc/certs/ is de
map die gebruikt wordt voor het lokaal opslaan van certificaten
en sleutels. De laatste voorwaarde het is opnieuw aanmaken van
het lokale .cf bestand. Dit gaat door
eenvoudigweg make<
install te typen in de map
/etc/mail. Laat dat
volgen door een makerestart waardoor de
Sendmail daemon herstart zou moeten
worden.Als alles goed is gegaan, dan staan er geen foutmeldingen
/var/log/maillog en is
Sendmail zichtbaar in de
proceslijst.Maak als eenvoudige test een verbinding met de mailserver
met &man.telnet.1;:&prompt.root; telnet example.com 25
Trying 192.0.34.166...
Connected to example.com.
Escape character is '^]'.
220 example.com ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT)
ehlo example.com
250-example.com Hello example.com [192.0.34.166], pleased to meet you
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250-SIZE
250-DSN
250-ETRN
250-AUTH LOGIN PLAIN
250-STARTTLS
250-DELIVERBY
250 HELP
quit
221 2.0.0 example.com closing connection
Connection closed by foreign host.Als de regel STARTTLS verschijnt in de
uitvoer dan werkt alles correct.NikClaytonnik@FreeBSD.orgGerschreven door SiebrandMazelandVertaald door VPN via IPsecEen VPN opzetten met &os; gateways tussen twee netwerken die
gescheiden zijn door internet.Hiten M.Pandyahmp@FreeBSD.orgGeschreven door SiebrandMazelandVertaald door IPsec BegrijpenDeze paragraaf is een gids in het proces van het opzetten,
en gebruiken van IPsec en het veilig laten communiceren van
machines in een omgeving die bestaat uit &os; en
µsoft.windows; 2000/XP.
Voordat IPsec opgezet kan worden dient de lezer bekend te zijn
met de concepten die nodig zijn om een aangepaste kernel te
bouwen (zie ).IPsec is een protocol dat bovenop de
Internet Protocol (IP) laag ligt. Hiermee kunnen twee of meer
host op een veilige manier communiceren (vandaar de naam). De
&os; IPsec netwerk wachtrij (stack) is gebaseerd
op de KAME
implementatie, die zowel de IPv4 als de IPv6 protocolfamilies
ondersteunt.&os; 5.X bevat een door hardware
geaccelereerde IPsec wachtrij die Fast
IPsec heet en uit OpenBSD komt. Die kan gebruik
maken van cryptografische hardware (waar mogelijk) via het
&man.crypto.4; subsysteem om de prestaties van IPsec te
optimaliseren. Dit subsysteem is nieuw en ondersteunt niet
alle opties die beschikbaar zijn in de KAME versie van
IPsec. Voordat er gebruik gemaakt kan worden van door
hardware versnelde IPsec, moet de volgende optie in het
kernelinstellingenbestand worden gezet:options FAST_IPSEC # new IPsec (cannot define w/ IPSEC) Het is op dit moment niet mogelijk om het
Fast IPsec subsysteem samen met de KAME
implementatie van IPsec te gebruiken. Zie
&man.fast.ipsec.4; voor meer informatie.IPsec bestaat uit twee subprotocollen:Encapsulated Security Payload
(ESP) beschermt de IP pakketdata tegen
inmenging door een derde partij door de inhoud te
versleutelen met symmetrische
versleutelingsalgoritmen (als Blowfish en 3DES).Authentication Header (AH)
beschermt de IP pakketkop tegen inmenging door een derde
partij en spoofing door een cryptografische checksum te
berekenen en de IP pakketkopvelden te hashen met een
veilige hashfunctie. Hierna wordt een extra kop ingevoegd
die de hash bevat zodat de informatie in het pakket
geauthenticeerd kan worden.ESP en AH kunnen
samen of apart gebruikt worden, afhankelijk van de
omgeving.IPsec kan gebruikt worden om het verkeer tussen twee hosts
direct te versleutelen (dat heet Transport
Mode) of door virtuele tunnels te
bouwen tussen twee subnetten die gebruikt kunnen worden voor
veilige communicatie tussen twee bedrijfsnetwerken (dat heet
Tunnel Mode). De laatste versie staat
beter bekend als Virtual Private Network
(VPN). In &man.ipsec.4; staat gedetailleerde
informatie over het IPsec subsysteem in &os;.Voor ondersteuning voor IPsec in de kernel zijn de
volgende opties nodig in het
kernelinstellingenbestand:options IPSEC #IP security
options IPSEC_ESP #IP security (crypto; define w/ IPSEC)Als er ook fouten in IPsec (debugging) verwijderd moeten
kunnen worden, dan is de volgende optie ook nodig:options IPSEC_DEBUG #debug for IP securityHet ProbleemEr bestaat geen standaard voor wat een VPN is. VPN's
kunnen opgezet worden met behulp van een aantal verschillende
technologieën die allemaal hun eigen voor- en nadelen
hebben. Dit onderdeel bevat een scenario en de
strategieën die gebruikt kunnen worden voor het
implementeren van een VPN in iedere situatie.Het Scenario: twee netwerken die één moeten
lijken en via internet verbonden zijnDit is het uitgangspunt:Er zijn tenminste twee locatiesBeide locaties gebruiken IPBeide locaties hebben een internetverbinding via een
gateway waarop &os; draait.De gateway op ieder netwerk heeft tenminste
één publiek IP
adres.De interne adressen van de twee netwerken mogen
publieke of private IP adressen zijn,
dat maakt niet uit. Er mag NAT draaien op de gateway als
dat nodig is.De interne IP adressen van de twee
netwerken mogen niet conflicteren.
Hoewel dit in theorie mogelijk is een combinatie van VPN en
NAT te gebruiken om dit te laten werken, wordt het vast een
drama om dit in te stellen.Als de twee netwerken die met elkaar verbonden moeten
worden intern dezelfde private IP
adresreeksen gebruiken (beiden gebruiken bijvoorbeeld 192.168.1.x), dan moet een van de
netwerken hernummerd worden.De netwerk topologie zou er zo uit kunnen zien:Netwerk #1 [ Interne Hosts ] Privaat Net, 192.168.1.2-254
[ Win9x/NT/2K ]
[ UNIX ]
|
|
.---[fxp1]---. Privaat IP, 192.168.1.1
| FreeBSD |
`---[fxp0]---' Publiek IP, A.B.C.D
|
|
-=-=- Internet -=-=-
|
|
.---[fxp0]---. Publiek IP, W.X.Y.Z
| FreeBSD |
`---[fxp1]---' Privaat IP, 192.168.2.1
|
|
Netwerk #2 [ Internal Hosts ]
[ Win9x/NT/2K ] Privaat Net, 192.168.2.2-254
[ UNIX ]Let op de twee publieke IP adressen.
In de rest van dit onderdeel worden de letters gebruikt
om ze aan te duiden. Overal waar die letters staan, kunnen ze
vervangen worden door eigen publieke IP
adressen. Zo hebben ook de twee gateway machines intern .1
IP adressen en de twee netwerken hebben
andere IP adressen (respectievelijk 192.168.1.x en 192.168.2.x). Alle machines op de
private netwerken zijn zo ingesteld dat ze de .1 machine als hun standaard gateway
gebruiken.Het is de bedoeling dat, vanuit het netwerkstandpunt, ieder
netwerk de machines in het andere netwerk kan zien alsof ze
beiden aan dezelfde router zouden zitten; wel een router die
een beetje langzaam is en af een toe een pakketje laat
vallen.Dit betekent dat (bijvoorbeeld) op machine 192.168.1.20:ping 192.168.2.34uitgevoerd kan worden en dat werkt, transparant.
µsoft.windows; machines moeten het andere netwerk kunnen
zien, gedeelde bestanden kunnen benaderen, enzovoort, op
dezelfde manier als ze dat kunnen op het lokale netwerk.En dat alles moet veilig zijn. Dat betekent dat verkeer
tussen de twee netwerken versleuteld moet zijn.Het opzetten van een VPN tussen twee netwerken is een
proces dat uit meerdere stappen bestaat:Het maken van een virtuele
netwerkverbinding tussen de twee netwerken over het
internet. Testen met gereedschappen als &man.ping.8; om te
bevestigen dat het werkt.Het instellen van beveiligingsbeleid om te verzekeren
dat het verkeer tussen de twee netwerken transparant wordt
versleuteld en ontsleuteld wanneer dat nodig is. Testen
met gereedschappen als &man.tcpdump.1; om te bevestigen dat
het werkt.Additionele software instellen op de &os; gateways om
µsoft.windows; machines de andere kant van het VPN te
laten zien.Stap 1: De virtuele netwerkverbinding
maken en testenStel dat een gebruiker is aangemeld op de gatewaymachine
in netwerk #1 (met publiek IP adres
A.B.C.D en privaat
IP adres 192.168.1.1) en de voert
ping 192.168.2.1 uit, naar het private
adres van de machine met IP adres W.X.Y.Z. Wat moet er gebeuren om
dat te laten werken?De gateway host moet weten hoe hij 192.168.2.1 kan bereiken. Met
andere woorden: hij moet een route hebben naar 192.168.2.1.Private IP adressen als de reeks
192.168.x horen in het
algemeen niet thuis op internet. Ieder pakket naar
192.168.2.1 moet dus
ingepakt worden in een ander pakket. Dit pakket moet
afkomstig lijken van A.B.C.D en moet naar
W.X.Y.Z verstuurd worden.
Dit proces heet inkapseling
(encapsulation).Als dit pakket aankomt bij W.X.Y.Z dan moet het
uitgekapseld (unencapsulated) worden en
afgeleverd worden aan 192.168.2.1.Dit is alsof er een tunnel moet bestaan
tussen de twee netwerken. De twee
tunnelopeningen zijn de IP
adressen A.B.C.D en
W.X.Y.Z en de tunnel moet op de
hoogte zijn van de private IP adressen die
door de tunnel mogen. De tunnel wordt gebruikt om verkeer
met private IP adressen over het internet
te leiden.Deze tunnel wordt gemaakt door gebruik te maken van de
generieke interface of gif devices
op &os;. De gif interface moet op
iedere gatewaymachine ingesteld zijn met vier
IP adressen: twee voor de publieke
IP adressen en twee voor de private
IP adressen.Ondersteuning voor het gif
device moet in de &os; kernel van beide machine gecompileerd
worden. Dit kan door de volgende optie toe te voegen aan de
kernelinstellingenbestanden op beide machines, dan de kernel
te compileren, te installeren en dan gewoon te
herstarten:pseudo-device gifHet instellen van de tunnel gaat in twee stappen. Eerst
moet de tunnel verteld worden wat de IP
adressen aan de buitenkant (publiek) zijn met
&man.gifconfig.8;. Daarna moeten de private
IP adressen ingesteld worden met
&man.ifconfig.8;.In &os; 5.X is de functionaliteit van &man.gifconfig.8;
opgenomen in &man.ifconfig.8;.Op de gatewaymachine op netwerk #1 moeten de volgende
commando's uitgevoerd worden om te tunnel in te
stellen.gifconfig gif0 A.B.C.D W.X.Y.Z
ifconfig gif0 inet 192.168.1.1 192.168.2.1 netmask 0xffffffffOp de andere gatewaymachine moeten dezelfde commando's
uitgevoerd worden met omgedraaide IP
adressen.gifconfig gif0 W.X.Y.Z A.B.C.D
ifconfig gif0 inet 192.168.2.1 192.168.1.1 netmask 0xffffffffDaarna toont:gifconfig gif0de instellingen. Op netwerk #1 zou dat het volgende
zijn:&prompt.root; gifconfig gif0
gif0: flags=8011<UP,POINTTOPOINT,MULTICAST> mtu 1280
inet 192.168.1.1 --> 192.168.2.1 netmask 0xffffffff
physical address inet A.B.C.D --> W.X.Y.ZEr is nu een tunnel gemaakt tussen de fysieke adressen
A.B.C.D en
W.X.Y.Z en het verkeer dat
door de tunnel mag is dat tussen 192.168.1.1 en
192.168.2.1.Hiermee is ook een regel gemaakt in de routetabel op
beide machines die te bekijken zijn met netstat
-rn. Deze uitvoer komt van de gatewayhost op
netwerk #1.&prompt.root; netstat -rn
Routing tables
Internet:
Destination Gateway Flags Refs Use Netif Expire
...
192.168.2.1 192.168.1.1 UH 0 0 gif0
...De Flags waarde geeft aan dat dit een
hostroute is, wat betekent dat iedere gateway weet hoe hij de
andere gateway kan bereiken, maar dat ze niet weten hoe ze
bij de rest van elkaars netwerk kunnen komen. Dat probleem
wordt snel opgelost.Het is waarschijnlijk dat op beide machines een firewall
draait. Die moet omzeild worden voor VPN verkeer. Het is
mogelijk al het verkeer tussen de beide netwerken toestaan of
firewallregels toe te voegen waarmee de beide netwerken die
het VPN met elkaar verbindt tegen elkaar beschermd
worden.Het testen wordt een stuk eenvoudiger als de firewall zo
is ingesteld dat al het verkeer door het VPN wordt
doorgelaten. Laten kunnen nog restricties toegevoegd worden.
Met &man.ipfw.8; wordt metipfw add 1 allow ip from any to any via gif0al het verkeer tussen de twee eindstations van het VPN
toegestaan zonder dat dit de andere regels van de firewall
beïnvloedt. Dit commando moet natuurlijk wel op beide
gatewayhosts uitgevoerd worden.Deze instelling is toereikend om elke gateway machine het
recht te geven de ander te pingen. Op 192.168.1.1 kan nu:ping 192.168.2.1gedraaid worden en moet een antwoord komen. Op de andere
machine kan dezelfde test gedaan worden.Maar nu zijn de andere machines op het interne netwerk
nog niet te bereiken. Dat komt door de routering: hoewel de
gateway machines elkaar nu weten te vinden, weten ze nog niet
hoe ze het netwerk achter elkaar kunnen bereiken.Om dat probleem op te lossen moet een statische route
worden toevoegd op iedere gateway machine. Het commando
daarvoor is:route add 192.168.2.0 192.168.2.1 netmask 0xffffff00Dit betekent: om hosts op het netwerk 192.168.2.0 te bereiken moeten
pakketten naar de host 192.168.2.1 sturen. Een
zelfde dient op de andere gateway uitgevoerd te worden, maar
dan met de 192.168.1.x
adressen.IP verkeer van hosts op het ene netwerk kan nu hosts op
het andere netwerk bereiken.Hiermee is tweederde van het VPN tussen twee netwerken
aangelegd in de zin dat het virtueel is en er een
netwerk is. Maar het is nog niet privaat.
Dit wordt aangetoond met &man.ping.8; en &man.tcpdump.1;.
Voer op de gateway host het volgende commando uit:/para>
tcpdump dst host 192.168.2.1Voer vanuit een andere sessie op de host het onderstaande
commando uit:ping 192.168.2.1De uitvoer is ongeveer als volgt:16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request
16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply
16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request
16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply
16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request
16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo replyHet is zichtbaar dat de ICMP berichten niet versleuteld
heen en weer gaan. Als met &man.tcpdump.1; de parameter
was gebruikt om meer bytes te tonen uit
de pakketten, dan was meer informatie te zien geweest.Dit is natuurlijk onacceptabel. In de volgende paragraaf
gaat het dan ook over het beveiligen van de verbinding tussen
de twee netwerken zodat al het verkeer automatisch wordt
versleuteld.Samenvatting:Stel voor beide kernels het pseudo-device
gif in.Wijzig /etc/rc.conf op gateway
host #1 en voeg de volgende regels toe (wijzig
IP adressen naar wens).gifconfig_gif0="A.B.C.D W.X.Y.Z"
ifconfig_gif0="inet 192.168.1.1 192.168.2.1 netmask 0xffffffff"
static_routes="vpn"
route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00"Wijzig het firewallscript
(/etc/rc.firewall of iets dergelijks)
op beide hosts en voeg het volgende toe:ipfw add 1 allow ip from any to any via gif0Maak gelijksoortige wijzigingen in
/etc/rc.conf op gateway host #2 en
draai de volgorde van de IP adressen
om.Stap 2: De Verbinding BeveiligenOm de verbinding te beveiligen wordt IPsec gebruikt.
IPsec biedt een mechanisme waarmee twee hosts samen een
sleutel hebben en die sleutel dan gebruiken om gegevens te
versleutelen tussen die twee hosts.Hiervoor moet op twee plaatsen een aanpassing gemaakt
worden in de instellingen.Er moet een mechanisme zijn voor de twee hosts om het
eens te worden over het versleutelingsmechanisme dat
gebruikt gaat worden. Als de twee hosts het daar over
eens zijn, dan hebben ze een zogenaamde
beveiligingssamenwerking (security
association).Er moet een mechanisme zijn waarmee wordt aangegeven
welk verkeer versleuteld moet worden. Tenslotte moet
niet al het uitgaande verkeer versleuteld worden, maar
alleen het verkeer dat onderdeel is van het VPN. De
regels die worden opgesteld om te bepalen welke verkeer
versleuteld wordt heten beveiligingsbeleid
(security policies).Beveiligingssamenwerking en beveiligingsbeleid worden
beiden onderhouden door de kernel en kunnen aangepast worden
met programma's in userland. Maar voor dit mogelijk is, moet
de kernel geschikt gemaakt worden voor ondersteuning van IPsec
en het Encapsulated Security Payload (ESP) protocol. Dit kan
door de volgende regel op te nemen in het
kernelinstellingenbestand:options IPSEC
options IPSEC_ESPDaarna dienen hercompilatie en installatie van de kernel
plaats te vinden en moet de machine gereboot worden. Dit
moet voor beide gateway hosts uitgevoerd worden.Het is mogelijk twee wegen te bewandelen voor het
opzetten van beveiligingssamenwerking. Als het met de hand
wordt opgezet dan moeten een versleutelingsalgoritme,
coderingssleutels, enzovoort gekozen worden. Er kan ook een
daemons gebruikt worden die het Internet Key Exchange
protocol (IKE) implementeert om dit uit te voeren.Het advies is voor het laatste te kiezen. Los van andere
overwegingen is het makkelijker in te stellen.Voor het wijzigen en weergeven van het beveiligingsbeleid
is er &man.setkey.8;. Ter vergelijking:
setkey is voor het beveiligingsbeleid van
de kernel wat &man.route.8; is voor de routetabellen van de
kernel. setkey kan ook de huidige
beveiligingssamenwerkingen weergeven en om de vergelijking
door te zetten is het in die zin verwant aan
netstat -r.Er zijn een aantal daemons beschikbaar voor het bijhouden
van beveiligingssamenwerking in &os;. In dit artikel wordt
beschreven hoe dat met racoon gaat. racoon zit in de &os;
portscollectie in de security/ categorie en kan op de
gebruikelijke manier geïnstalleerd worden.racoon moet draaien op beide gateway hosts. Op iedere
host moet het IP adres van de andere
kant van het VPN ingesteld worden en een geheime sleutel (die
door de gebruiker zelf is gekozen en die hetzelfde moet zijn
op beide gateways).De twee daemons zoeken dan contact met elkaar en stellen
vast dat ze zijn wie ze beweren te zijn (door gebruik te
maken van de geheime sleutel die is ingesteld). De daemons
maken dan een nieuwe geheime sleutel aan en gebruiken die om
het verkeer over het VPN te versleutelen. Ze wijzigen die
sleutel periodiek zodat een aanvaller er niets aan heeft in
het geval hij achter een van de sleutels zou komen. Dit is
theoretisch trouwens vrijwel onuitvoerbaar. Tegen de tijd
dat de sleutel gekraakt is, hebben de twee daemons al een
nieuwe gekozen.De instellingen van racoon worden opgeslagen in
${PREFIX}/etc/racoon. Daar tref staat
een instellingenbestand aan dat niet ingrijpend hoeft te
wijzigen. De andere component van de instellingen van racoon
die gewijzigd moet worden is de wederzijds bekende
sleutel (pre-shared key).Standaard verwacht racoon dat die in
${PREFIX}/etc/racoon/psk.txt staat. Het
is belangrijk op te merken dat de wederzijds bekende sleutel
niet de sleutel is die gebruikt wordt om
het verkeer van de VPN verbinding te versleutelen. Het is
gewoon een token die de sleutelbeheerdaemons in staat stelt
elkaar te vertrouwen.psk.txt bevat een regel voor iedere
locatie waarmee verbinding bestaat. In dit voorbeeld zijn er
twee locaties en dus bevat ieder psk.txt
bestand één regel (omdat de ene kant van de VPN
alleen iets te maken heeft met één andere
kant).Op gateway host #1 ziet dat er als volgt uit:W.X.Y.Z secretEr staat dus het publieke
IP adres van de andere kant, witruimte
;– spatie(s) of tab(s) – en een stuk tekst met de
geheime sleutel. Natuurlijk dient secret niet
als sleutel gebruikt te worden. Ook hier gelden de normale
regels voor wachtwoorden.Op gateway host #2 ziet dat er dan zo uit:A.B.C.D secretDus het publieke
IP adres van de andere kant en dezelfde
geheime sleutel. psk.txt moet in mode
0600 staan (alleen lees en schrijfrechten
voor root) voordat racoon zal
werken.Racoon moet draaien op beide gatewaymachines. Er moeten
ook een aantal firewallregels toegevoegd worden om IKE
verkeer toe te staan, dat over UDP naar de ISAKMP (Internet
Security Association Key Management Protocol) poort loopt.
Nogmaals: deze regels staan bij voorkeur zo vroeg mogelijk in
de firewallregels.ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp
ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmpAls racoon eenmaal draait, dan kan de ene gateway host
vanaf de andere gepingd worden. De verbinding is dan nog
steeds niet versleuteld, maar racoon stelt wel de
beveiligingssamenwerking tussen de twee hosts op. Dat kan
heel even duren en dat uit zich in een kleine vertraging
voordat er een antwoord op de ping komt.Als de beveiligingssamenwerking tot stand is gekomen,
dan kan deze getoond worden met &man.setkey.8;:setkey -DHet bovenstaande commando toont de
beveiligingssamenwerkingsingsinformatie.Dat is de ene helft van het probleem. De andere helft is
het instellen van het beveiligingsbeleid.Voor er een zinvol beveiligingsbeleid opgesteld kan
worden volgt eerst een samenvatting van wat tot nu toe is
bereikt. Het volgende geldt voor beide kanten van de
verbinding.Ieder IP pakket dat wordt verzonden heeft een kop die
gegevens over het pakket bevat. De kop bevat het
IP adres van zowel de bron als de
bestemming. Zoals bekend horen private
IP adressen zoals de reeks
192.168.x.y niet thuis op
internet. Ze moeten eerst ingepakt worden in een ander
pakket. Voor dat pakket moeten het publieke bron en
bestemmingsadres op de plaats van de private adressen gezet
worden.Dus als een uitgaand pakket als volgt begon:
.----------------------.
| Src: 192.168.1.1 |
| Dst: 192.168.2.1 |
| <andere kopinfo> |
+----------------------+
| <pakket data> |
`----------------------'Dan wordt het ingepakt in een andere pakket dat er
ongeveer als volgt uitziet:
.--------------------------.
| Src: A.B.C.D |
| Dst: W.X.Y.Z |
| <andere kop info> |
+--------------------------+
| .----------------------. |
| | Src: 192.168.1.1 | |
| | Dst: 192.168.2.1 | |
| | <andere kop info> | |
| +----------------------+ |
| | <pakket data> | |
| `----------------------' |
`--------------------------'Het gif device zorgt voor het
inpakken. Het pakket heeft nu een echt IP
adres aan de buitenkant en het originele pakket zit ingepakt
als data in het pakket dat het internet opgestuurd gaat
worden.Nu moet het verkeer over het VPN natuurlijk versleuteld
worden. Dat kan als volgt worden weergegeven:Als een pakket A.B.C.D verlaat met als bestemming
W.X.Y.Z, versleutel het dan
met de benodigde beveiligingssamenwerkingen.Als een pakket aankomt van W.X.Y.Z en het heeft
A.B.C.D als bestemming,
ontcijfer het dan met de benodigde
beveiligingssamenwerkingen.Dat klopt bijna, maar niet helemaal. Als dit gebeurde,
dan zou al het verkeer van en naar W.X.Y.Z, zelfs als dat geen deel
uit zou maken van het VPN, versleuteld worden. Dat is niet
wenselijk. Het correcte beleid ziet er zo uit:Als een pakket A.B.C.D verlaat en dat pakket
bevat een ander pakket en als het W.X.Y.Z als bestemming heeft,
versleutel het dan met de benodigde
beveiligingssamenwerkingen.Als een pakket aankomt van W.X.Y.Z en het pakket bevat een
ander pakket en het heeft A.B.C.D als bestemming, ontcijfer
het dan met de benodigde
beveiligingssamenwerkingen.Dat is een subtiele aanpassing, maar wel
noodzakelijk.Beveiligingsbeleid wordt ook ingesteld met
&man.setkey.8;. &man.setkey.8; biedt een instellingtaal
voor het definiëren van beleid. Instructies kunnen via
STDIN gegeven worden of met de optie
uit een bestand komen dat de instellingen bevat.De instellingen op gateway host #1 (die het publieke
IP adres A.B.C.D heeft) om al het uitgaande
verkeer naar W.X.Y.Z te laten
versleutelen is:spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require;Deze commando's kunnen in een bestand (bv.
/etc/ipsec.conf) gezet worden om
uitgevoerd te worden:&prompt.root; setkey -f /etc/ipsec.conf vertelt &man.setkey.8; dat er een
regel toegevoegd moet worden aan de database met het
beveiligingsbeleid. De rest van de regel geeft aan op welke
pakketten dit beleid van toepassing is. A.B.C.D/32 en W.X.Y.Z/32 zijn de
IP adressen en netmaskers waarmee het
netwerk of de hosts worden aangegeven waarop het beleid van
toepassing is. In dit geval is het van toepassing op het
verkeer tussen twee hosts. vertelt
de kernel dat dit beleid alleen van toepassing is op
pakketten waarin een ander pakket ingepakt zit. betekent dat dit beleid van toepassing is op
uitgaande pakketten en betekent dat de
pakketten beveiligd moeten worden.Het tweede deel geeft aan hoe een pakket versleuteld
wordt. is het protocol dat gebruikt
moet worden en geeft aan dat het
pakket ingepakt moet worden in een IPsec pakket. Het
herhaalde gebruik van A.B.C.D
en W.X.Y.Z heeft te maken met
het aangeven welke beveiligingssamenwerking gebruikt moet
worden en als laatste is het door
verplicht dat de pakketten versleuteld worden als deze regel
van toepassing is.Deze regel is alleen van toepassing op uitgaande
pakketten. Er moet ook nog een regel komen voor inkomende
pakketten.spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require;Let wel dat hier dus staat in plaats
van en dat de IP
adressen zijn omgedraaid.Op de andere gateway host (met een publiek
IP adres W.X.Y.Z) zijn soortgelijke regels
nodig.spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec esp/tunnel/W.X.Y.Z-A.B.C.D/require;
spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec esp/tunnel/A.B.C.D-W.X.Y.Z/require;Tenslotte moeten de firewalls ESP en IPENCAP pakketten
naar beide kanten toestaan. Deze regels moeten op beide
hosts toegevoegd worden.ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z
ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D
ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z
ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.DOmdat deze regels symmetrisch zijn, kunnen ze op beide
gateway hosts gebruikt worden.Uitgaande pakketten zien er nu ongeveer zo uit:
.------------------------------. --------------------------.
| Src: A.B.C.D | |
| Dst: W.X.Y.Z | |
| <andere kop info> | | Versleuteld
+------------------------------+ | pakket.
| .--------------------------. | -------------. | inhoud
| | Src: A.B.C.D | | | | is
| | Dst: W.X.Y.Z | | | | volledig
| | <andere kop info> | | | |- veilig
| +--------------------------+ | | Ingepakt | voor
| | .----------------------. | | -. | pakket | snoopen
| | | Src: 192.168.1.1 | | | | Origineel|- met echt | door derden
| | | Dst: 192.168.2.1 | | | | pakket, | IP adres |
| | | <andere kop info> | | | |- privaat | |
| | +----------------------+ | | | IP adres | |
| | | <pakket data> | | | | | |
| | `----------------------' | | -' | |
| `--------------------------' | -------------' |
`------------------------------' --------------------------'
Als ze ontvangen worden door de andere kant van het VPN
dan worden ze eerst ontcijferd (met de
beveiligingssamenwerking die door racoon tot stand is
gebracht). Daarna komen ze de gif
interface binnen die de tweede laag uitpakt zodat het
binnenste pakket overblijft, dan nu naar het interne netwerk
kan reizen.De beveiliging kan gecontroleerd worden met dezelfde
&man.ping.8; test die eerder is uitgevoerd, door eerst aan
te melden op de A.B.C.D
gateway machine en het onderstaande uit te voeren:tcpdump dst host 192.168.2.1In nog een sessie op dezelfde host kan dan het volgende
commando uitgevoerd worden:ping 192.168.2.1Nu hoort de volgende uitvoer te zien te zijn:XXX tcpdump output&man.tcpdump.1; toont nu de ESP pakketten. Als deze
pakketten verder bekeken worden met de optie
dan is de uitvoer onbegrijpelijk vanwege
de versleuteling.Gefeliciteerd. Nu is het VPN tussen de twee locaties
opgezet.SamenvattingStel beide kernels in met:options IPSEC
options IPSEC_ESPInstalleer security/racoon. Wijzig
${PREFIX}/etc/racoon/psk.txt op
beide gateway hosts en voeg een regel toe voor het
IP adres van de host aan de andere
kant en een geheime sleutel die aan beide kanten bekend
is. Dit bestand hoort mode 0600 te hebben.Voeg de volgende regels toe aan
/etc/rc.conf voor iedere
host:ipsec_enable="YES"
ipsec_file="/etc/ipsec.conf"Maak /etc/ipsec.conf op iedere
host die de benodigde spdadd regels bevat. Op gateway
host #1 zou dat zijn:spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P out ipsec
esp/tunnel/A.B.C.D-W.X.Y.Z/require;
spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P in ipsec
esp/tunnel/W.X.Y.Z-A.B.C.D/require;En op gateway host #2 is dat:spdadd W.X.Y.Z/32 A.B.C.D/32 ipencap -P out ipsec
esp/tunnel/W.X.Y.Z-A.B.C.D/require;
spdadd A.B.C.D/32 W.X.Y.Z/32 ipencap -P in ipsec
esp/tunnel/A.B.C.D-W.X.Y.Z/require;Voeg firewallregels toe om IKE, ESP en IPENCAP
verkeer toe te staan naar beide hosts:
ipfw add 1 allow udp from A.B.C.D to W.X.Y.Z isakmp
ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp
ipfw add 1 allow esp from A.B.C.D to W.X.Y.Z
ipfw add 1 allow esp from W.X.Y.Z to A.B.C.D
ipfw add 1 allow ipencap from A.B.C.D to W.X.Y.Z
ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.DDe voorgaande twee stappen zouden voldoende moeten zijn
voor het opzetten van het VPN. Machines op ieder netwerk
kunnen elkaar nu bereiken op basis van IP
adressen en al het verkeer over de verbinding wordt
automatisch en veilig versleuteld.ChernLeeBijgedragen door SiebrandMazelandVertaald door OpenSSHOpenSSHbeveiligingOpenSSHOpenSSH is een groep
netwerkverbindingsprogramma's waarmee computers via het netwerk
veilig benaderd kunnen worden. Het kan ingezet worden als een
directe vervanger van rlogin,
rsh, rcp en
telnet. Daarnaast kunnen alle andere
TCP/IP verbindingen veilig
getunneld of geforward worden door SSH.
OpenSSH versleutelt al het verkeer om
afluisteren, het stelen van een verbinding en andere
netwerkaanvallen effectief te voorkomen.OpenSSH wordt onderhouden door het
OpenBSD project en is gebaseerd op SSH v1.2.12 met alle recente
bugfixes en updates. Het is compatibel met beide protocollen SSH
1 en 2. OpenSSH zit in de
basisinstallatie sinds &os; 4.0.Voordelen van Gebruik van OpenSSHAls gewoonlijk &man.telnet.1; of &man.rlogin.1; wordt
gebruikt, wordt de data in platte tekst en niet versleuteld
verzonden. Netwerksnuffelaars die ergens tussen de client en
de server meeluisteren, kunnen een gebruikersnaam en wachtwoord
stelen en zien welke gegevens er worden overgezonden tijdens
een sessie. OpenSSH biedt een
verscheidenheid aan authenticatie en versleutelingsmethoden
die het voorgaande voorkomen.sshd InschakelenOpenSSHinschakelenIn rc.conf dient het volgende te
staan:sshd_enable="YES"Hierdoor wordt &man.sshd.8; geladen, het daemonprogramma
voor OpenSSH, als het systeem de
volgende keer opstart. De sshd
daemon kan ook direct gestart worden door
sshd in te geven op de commandoregel.SSH ClientOpenSSHclient&man.ssh.1; werkt net zoals &man.rlogin.1;.&prompt.root; ssh user@example.com
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'example.com' added to the list of known hosts.
user@example.com's password: *******Het aanmelden gaat nu net zoals het zou gaan als wanneer
er een sessie gestart zou worden met rlogin
of telnet. SSH maakt gebruik van een
systeem met vingerafdrukken als sleutels voor het vaststellen
met welke server verbinding wordt gemaakt op het moment
dat de client verbinding zoekt. De gebruiker krijgt alleen de
eerste keer dat verbinding wordt gezocht met de server een
vraag waarop yes geantwoord dient te worden.
Bij volgende pogingen om aan te melden wordt de
vingerafdruksleutel vergeleken met de sleutel die is
opgeslagen. De SSH client alarmeert de gebruiker als de
opgeslagen vingerafdruk sleutel anders is dan de sleutel die
de server meldt. De vingerafdrukken worden opgeslagen in
~/.ssh/known_hosts of in
~/.ssh/known_hosts2 voor SSH v2
vingerafdrukken.OpenSSH servers staan standaard
ingesteld om alleen SSH v2 connecties toe te staan. De client
kan echter tussen beiden kiezen. Versie 2 is robuster en
veiliger dan zijn voorloper.Het commando &man.ssh.1; kan gedwongen worden om een van de
twee protocollen te gebruiken door de optie
of voor respectievelijk
v1 en v2 aan te geven.Veilig KopiërenOpenSSHveilig kopiërenscpHet commando &man.scp.1; (secure copy) werkt gelijk aan
&man.rcp.1;. Het kopieert een bestand van of naar een andere
machine, maar doet dat veilig.&prompt.root; scp user@example.com:/COPYRIGHT COPYRIGHT
user@example.com's password: *******
COPYRIGHT 100% |*****************************| 4735
00:00
&prompt.root;Omdat de vingerafdruk al is opgeslagen voor deze host in
het vorige voorbeeld, is die al geverifieerd als &man.scp.1;
gebruik wordt.De argumenten die aan &man.scp.1; gegeven worden zijn
vrijwel gelijk aan die voor &man.cp.1; met het bestand of
de bestanden als het eerste argument en de bestemming als het
tweede. Omdat het bestand over het netwerk gaat, door SSH,
hebben een of meer van de bestandsargumenten de vorm
.InstellenOpenSSHinstellenHet instellingenbestand dat voor het hele systeem geldt
voor zowel de OpenSSH daemon als
client staat in de map /etc/ssh.ssh_config bevat de instellingen voor
de client en sshd_config bevat ze voor
de daemon.Daarnaast bieden het
(standaard /usr/sbin/sshd) en
rc.conf
opties nog meer mogelijkheden voor instellingen.ssh-keygenIn plaats van het gebruik van wachtwoorden kan
&man.ssh-keygen.1; gebruikt worden om RSA sleutels te maken
om een gebruiker te authenticeren:&prompt.user; ssh-keygen -t rsa1
Initializing random number generator...
Generating p: .++ (distance 66)
Generating q: ..............................++ (distance 498)
Computing the keys...
Key generation complete.
Enter file in which to save the key (/home/user/.ssh/identity):
Enter passphrase:
Enter the same passphrase again:
Your identification has been saved in /home/user/.ssh/identity.
...&man.ssh-keygen.1; maakt een publiek en privaat sleutelpaar
aan dat gebruikt kan worden voor authenticatie. De private
sleutel staat opgeslagen in
~/.ssh/identity en de publieke sleutel
staat in ~/.ssh/identity.pub. De publieke
sleutel moet in ~/.ssh/authorized_keys
van de andere machine staan om dit te laten werken.Nu is het mogelijk een verbinding te maken met een andere
machine die gebaseerd is op RSA authenticatie in plaats van
op wachtwoorden.De optie maakt RSA sleutels
voor versie 1 van het SSH protocol. Als gebruik van versie 2
gewenst is, dan het commando ssh-keygen -t
rsa gebruikt te worden.Als er een wachtwoordzin is gebruikt bij &man.ssh-keygen.1;
dan wordt de gebruiker iedere keer dat de private sleutel wordt
gebruikt een wachtwoord gevraagd.Het is mogelijk een SSH protocol versie 2 DSA sleutel te
maken voor hetzelfde doel met het commando
ssh-keygen -t dsa. Hiermee wordt een
publiek/privaat DSA sleutelpaar gemaakt dat alleen gebruikt kan
worden in SSH protocol versie 2 sessies. De publieke sleutel
staat in ~/.ssh/id_dsa.pub en de private
sleutel staat in ~/.ssh/id_dsa.Publieke DSA staan ook in
~/.ssh/authorized_keys op de andere
machine.&man.ssh-agent.1; en &man.ssh-add.1; zijn hulpprogramma's
die gebruikt worden om meerdere met wachtwoorden beschermde
private sleutels te beheren.Opties en bestandslocaties kunnen afhankelijk zijn
van de gebruikte OpenSSH versie op
een systeem. Raadpleeg de &man.ssh-keygen.1; handboekpagina
voor de correcte gegevens.SSH TunnelsOpenSSHtunnelsOpenSSH kan een tunnel maken
waarin een ander protocol ingepakt kan worden zodat er een
versleutelde sessie ontstaat.Het volgende commando geeft &man.ssh.1; aan dat er een
tunnel voor telnet gemaakt moet
worden:&prompt.user; ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com
&prompt.user;Aan het ssh commando worden de volgende
opties meegegeven:Dit dwingt ssh om versie 2 van het
protocol te gebruiken. Gebruik van deze optie wordt
afgeraden als er verbinding wordt gemaakt met oudere SSH
servers.Dit geeft aan dat er geen commando volgt, maar dat er
een tunnel opgezet moet worden. Als deze optie niet
aanwezig was, zou ssh een normale
sessie starten.Dit dwingt ssh om in de
achtergrond te draaien.Dit geeft aan dat de lokaal een tunnel wordt gemaakt
in de vorm
lokale_poort:netwerk_host:netwerk_poort.Wijst naar een gebruiker op de SSH server op het
netwerk.Een SSH tunnel werkt doordat een luistersocket wordt
gemaakt op localhost op de aangegeven poort.
Die stuurt dan iedere ontvangen verbinding op de lokale
host/poort via de SSH verbinding door naar de aangegeven host
en poort op het netwerk.In het voorbeeld wordt poort
5023 op localhost
doorgestuurd naar poort 23 op
localhost van de machine op het netwerk.
Omdat 23telnet is, zou dit een veilige
telnet verbinding opleveren door
een SSH tunnel.Dit kan gebruikt worden om ieder willekeurig onveilig
TCP protocol in te pakken als SMTP,
POP3, FTP, etc.SSH Gebruiken om een Veilige Tunnel te Maken voor
SMTP&prompt.user; ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com
user@mailserver.example.com's password: *****
&prompt.user; telnet localhost 5025
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 mailserver.example.com ESMTPDit kan samen met een &man.ssh-keygen.1; en extra
gebruikersaccounts gebruikt worden om een min of meer
naadloze en eenvoudige SSH tunnelomgeving te maken. In
plaats van wachtwoorden kunnen sleutels gebruikt worden en de
tunnels kunnen in de omgeving van een aparte gebruiker
draaien.Praktische Voorbeelden van een SSH TunnelVeilige Toegang tot een POP3 ServerOp het werk staat een SSH server die verbindingen van
buitenaf toestaat. Op hetzelfde netwerk op kantoor staat
een mailserver waarop POP3 draait. Het netwerk of het
netwerkpad tussen de locatie op internet en kantoor is
wellicht niet helemaal te vertrouwen. Om deze reden dient
de mailserver op een veilige manier benaderd te worden. De
oplossing is een SSH verbinding opzetten naar de SSH server
op kantoor en dan door de tunnel heen een verbinding
opzetten met de mailserver.&prompt.user; ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com
user@ssh-server.example.com's password: ******Als de tunnel eenmaal draait, dan kan de mailclient
naar localhost poort 2110 gewezen worden.
Alle verbinding naar die poort worden veilig doorgestuurd
door de tunnel naar
mail.example.com.Een Draconische Firewall OmzeilenSommige netwerkbeheerders stellen draconische
firewallregels op en filteren niet alleen inkomende
verbindingen, maar ook uitgaande. Meestal mag dan alleen
maar verbinding gemaakt worden met andere machines op
poorten 22 en 80 voor SSH en websurfen.Soms wil een gebruiker dan toch toegang krijgen tot
andere (wellicht niet netwerk-gerelateerd) diensten, zoals
een Ogg Vorbis server om muziek te streamen. Als die Ogg
Vorbis server streamt op een andere poort dan 22 of 80, dan
kan deze niet bereikt worden.De oplossing ligt in het opzetten van een SSH
verbinding naar een machine buiten de firewall en die
tunnel te gebruiken om bij de Ogg Vorbis server te
komen.&prompt.user; ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org
user@unfirewalled-system.example.org's password: *******De streamingclient kan nu gewezen worden naar
localhost poort 8888 vanwaar er wordt
doorverwezen naar music.example.com poort
8000 en zo wordt de firewall succesvol ontwerken.Meer LezenOpenSSH&man.ssh.1; &man.scp.1; &man.ssh-keygen.1;
&man.ssh-agent.1; &man.ssh-add.1;&man.sshd.8; &man.sftp-server.8;TomRhodesBijgedragen door SiebrandMazelandVertaald door ACLBestandssysteem ToegangscontrolelijstenIn combinatie met verbeteringen als snapshots, bieden
&os; 5.0 en volgende versies de veiligheid van
Bestandssysteem Toegangscontrolelijsten (Access Control Lists,
ACLs).Met Toegangscontrolelijsten wordt het standaard &unix;
rechtenmodel uitgebreid op een zeer verenigbare (&posix;.1e)
manier. Deze methodes stellen een beheerder in staat om gebruik
te maken en voordeel te halen uit een geraffineerder
beveiligingsmodel.Om ondersteuning voor ACLs voor
bestandssystemen in te schakelen dient het volgende in de kernel
gecompileerd te worden:options UFS_ACLAls deze optie niet aanwezig is, dan wordt er een
waarschuwing weergegeven als er wordt geprobeerd een
bestandssysteem te mounten dat gebruik maakt van
ACLs. Deze optie is al geactiveerd in de
GENERIC kernel. ACLs
zijn afhankelijk van uitgebreide attributen die zijn ingeschakeld
op het bestandssysteem. Uitgebreide attributen worden standaard
ondersteund in het volgende generatie &unix; bestandssysteem
UFS2.Er is meer administratieve overhead nodig om
uitgebreide attributen in te stellen op
UFS1 dan op UFS2. De
prestaties van uitgebreide attributen zijn op
UFS2 ook veel beter. Daarom wordt
UFS2 ook meestal aangeraden boven
UFS1 bij het gebruik van
toegangscontrolelijsten.ACLs worden ingeschakeld door de
beheersvlag op het moment van mounten. Dit
kan ook in /etc/fstab staan. De vlag op het
moment van mounten kan ook automatisch gezet worden op een
persistente wijze met &man.tunefs.8; door een superblok in de
bestandssysteemkop te wijzigen. In het algemeen wordt de
voorkeur gegeven aan de vlag in het superblok om een aantal
redenen:De ACLs vlag op het moment van mounten
kan niet gewijzigd worden bij opnieuw mounten (&man.mount.8;
), maar alleen door een volledige
&man.umount.8; en een verse &man.mount.8;. Dit betekent dat
ACLs niet ingeschakeld kunnen worden op
root bestandssysteem na het booten. Het betekent ook dat de
aard van een bestandssysteem niet veranderd kan worden als
het eenmaal in gebruik is.Het inschakelen van de superblok vlag zorgt ervoor dat
het bestandssysteem altijd wordt gemount met de
ACLs ingeschakeld, zelfs als het niet in
fstab staat of als de apparaten van
plaats veranderen. Hiermee wordt voorkomen dat het
bestandssysteem wordt gebruikt zonder dat
ACLs ingeschakeld zijn, wat ervoor zou
kunnen zorgen dat ACLs onjuist worden
toegepast wat weer kan zorgen voor
beveiligingsproblemen.Wellicht wordt het mogelijk om de
ACLs via de vlag in te schakelen zonder een
compleet verse &man.mount.8;, maar de ontwikkelaars vinden het
wenselijk om het per ongeluk zonder ACLs
mounten te ontmoedigen, omdat er bijzonder vervelende gevolgen
kunnen zijn als ACLs worden ingeschakeld,
daarna worden uitgezet en weer worden ingeschakeld zonder dat
de uitgebreide attributen worden geschoond. In het algemeen
geldt dat als ACLs eenmaal zijn ingeschakeld
voor een bestandssysteem, ze niet meer uitgeschakeld moeten
worden, omdat de resulterende bestandsbescherming wellicht niet
compatibel is met dat wat gebruikers van het systeem nodig
hebben en het opnieuw aanzetten van ACLs kan
leiden tot het opnieuw koppelen van voorheen bestaande
ACLs aan bestanden waarvoor de
toegangsrechten sindsdien zijn aangepast, wat kan leiden tot
onverwachte situaties.Bestandssystemen waarvoor ACLs zijn
ingeschakeld worden weergegeven met een +
(plus) teken als de toegangsrechten worden bekeken:drwx------ 2 robert robert 512 Dec 27 11:54 private
drwxrwx---+ 2 robert robert 512 Dec 23 10:57 directory1
drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2
drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3
drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_htmlHierboven is te zien dat mappen
directory1, directory2
en directory3 allemaal gebruik maken van
ACLs. De map public_html
doet dat niet.Gebruik Maken van ACLsDe ACLs van het bestandssysteem kunnen
bekeken worden met het hulpprogramma &man.getfacl.1;. Om de
ACL op het bestand test
te bekijken zou het volgende commando nodig zijn:&prompt.user; getfacl test
#file:test
#owner:1001
#group:1001
user::rw-
group::r--
other::r--Om de ACL op dit bestand te wijzigen
wordt het hulpprogramma &man.setfacl.1; als volgt
gebruikt:&prompt.user; setfacl -k testDe vlag verwijdert alle bestaande
ACLs van een bestand of bestandssysteem. De
methode die de voorkeur geniet is gebruiken
omdat die optie de basisvelden die nodig zijn voor het laten
werken van de ACLs laat staan.&prompt.user; setfacl -m u:trhodes:rwx,group:web:r--,o::--- testBij het commando hierboven, werd de optie
gebruikt om de standaard
ACL aan te passen. Omdat er geen
voorgedefinieerde instellingen waren, die waren verwijderd door
het commando daarvoor, werden nu de standaardinstellingen
hersteld en de rechten die werden aangegeven toegevoegd. Let
op dat bij het toevoegen van een gebruiker of een groep die
niet bekend is op het systeem een foutmelding
Invalid argument wordt geschreven naar
stdout.TomRhodesBijgedragen door SiebrandMazelandVertaald door &os; Beveiligingswaarschuwingen&os; BeveiligingswaarschuwingenNet als veel andere kwalitatief goede
productiebesturingssystemen publiceert &os;
Beveiligingswaarschuwingen. Deze waarschuwingen
worden meestal pas naar de beveiligingslijst gemaild en
gedocumenteerd in de Errata als de van toepassing zijnde
releases gepatcht zijn. In deze paragraaf wordt toegelicht wat
een waarschuwing is, hoe die te begrijpen en welke maatregelen
er genomen moeten worden om een systeem bij te werken.Hoe Ziet een Waarschuwing eruit?De &os; beveiligingswaarschuwingen zien er ongeveer uit als
die hieronder die van de &a.security-notifications.name;
mailinglijst komt.=============================================================================
&os;-SA-XX:XX.UTIL Security Advisory
The &os; Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person@EMAIL-ADDRESS
Affects: All releases of &os;
&os; 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
&os; only: NO
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.FreeBSD.org/security/.
I. Background
II. Problem Description
III. Impact
IV. Workaround
V. Solution
VI. Correction details
VII. ReferencesHet veld Topic geeft aan wat precies
het probleem is. Het is eigenlijk een inleiding op de
beveiligingswaarschuwing en geeft aan welke programma
kwetsbaar is.Het veld Category geeft aan welk
onderdeel van het systeem kwetsbaar is. Dat kan een van de
onderdelen core,
contrib of ports
zijn. De categorie core betekent dat
de een kerncomponent van het &os; besturingssysteem
kwetsbaar is. De categorie contrib
betekent dat software die toegevoegd is aan het &os;
Project kwetsbaar is, zoals
sendmail. Tenslotte geeft de
categorie ports aan dat een optionele
component uit de portscollectie kwetsbaar is.Het veld Module geeft aan waar de
component zich bevindt, bijvoorbeeld
sys. In dit voorbeeld wordt het
duidelijk dat de module sys kwetsbaar
is. Hier gaat het dus om een kwetsbaar component die
gebruikt wordt in de kernel.Het veld Announced geeft aan wanneer
de beveiligingswaarschuwing gepubliceerd of aangekondigd
is. Dit betekent dat het beveiligingsteam heeft bevestigd
dat het probleem bestaat en dat er een patch is gecommit in
het depot met de broncode van &os;.In het veld Credits wordt iemand of
een organisatie bedankt die de kwetsbaarheid heeft ontdekt
en gerapporteerd.Het veld Affects geeft aan welke
releases van &os; door deze kwetsbaarheid worden getroffen.
Voor de kernel kan snel gekeken worden naar de uitvoer van
ident voor de betreffende bestanden om
te bepalen welke revisie ze hebben. Voor ports is het
versienummer te zien in /var/db/pkg.
Als het systeem niet gelijk op loopt met het &os;
CVS depot en dagelijks herbouwd wordt,
dan is de kans groot dat het systeem kwetsbaar is.Het veld Corrected geeft de datum,
tijd en tijdzone aan en de release die is aangepast.Het veld &os; only geeft aan of deze
kwetsbaarheid alleen betrekking heeft op &os; of dat hij
ook betrekking heeft op andere besturingssystemen.Het veld Background geeft meer
informatie over wat er precies aan de hand is. Meestal
staat hier waarom het programma aanwezig is in &os;, waar
het voor gebruikt wordt en hoe het programma is
ontstaan.Het veld Problem Description geeft
gedetailleerde toelichting op het beveiligingsprobleem.
Hier kan informatie bij staat over programmacode die
fouten bevat of zelfs hoe het programma gebruikt kan worden
om een beveiligingsgat te openen.Het veld Impact beschrijft welke
invloed het probleem kan hebben op het systeem. Dit kan
bijvoorbeeld een ontzegging van dienst aanval zijn,
gebruikers extra rechten geven of het verkrijgen van
supergebruiker toegang voor de aanvaller zijn.Het veld Workaround geeft aan hoe
het mogelijk is het probleem te omzeilen (workaround) in
het geval systeembeheerders niet in staat zijn om het
systeem bij te werken. Dit zou te maken kunnen hebben
met de tijd, beschikbaarheid van het netwerk en een hele
lijst met andere redenen. Hoe dan ook, beveiliging
dient serieus genomen te worden en een systeem dat
kwetsbaar is moet bijgewerkt worden of het gat in de
beveiliging moet gedicht worden met de alternatieve
oplossing.Het veld Solution geeft instructies
over hoe een systeem aangepast kan worden. Dit is een
werkinstructie die getest en gecontroleerd is om een
systeem aan te passen en weer veilig werkend te
krijgen.In het veld Correction Details staan
de CVS takken of releasenamen, met de
punten veranderd in een liggend streepje. Er staat ook
welke revisienummer de aangetaste bestanden binnen een tak
hebben.In het veld References wordt
gewoonlijk verwezen naar andere bronnen. Dit kunnen
URLs, boeken, mailinglijsten en
nieuwsgroepen zijn.
diff --git a/nl_NL.ISO8859-1/books/handbook/x11/chapter.sgml b/nl_NL.ISO8859-1/books/handbook/x11/chapter.sgml
index b931d09c2b..9f8f844a20 100644
--- a/nl_NL.ISO8859-1/books/handbook/x11/chapter.sgml
+++ b/nl_NL.ISO8859-1/books/handbook/x11/chapter.sgml
@@ -1,1926 +1,1922 @@
KenTomGeupdate voor X.Org's X11 server door MarcFonvieilleErikRadderVertaald door Het X Window SysteemOverzicht&os; gebruikt X11 om gebruikers een krachtige grafische
gebruikersschil te bieden. X11 is een open-source
implementatie van het X Window System dat zowel
&xorg; als
&xfree86; bevat. &os; versies tot en
met &os; 4.10-RELEASE en &os; 5.2.1-RELEASE hebben
&xfree86; als standaard, de X11 server
die is uitgebracht door The &xfree86; Project, Inc. Vanaf
&os; 5.3-RELEASE is de officiële standaardversie van
X11 gewijzigd naar &xorg;, de X11
server die is ontwikkeld door de X.Org Foundation.In dit hoofdstuk wordt de installatie en instelling van X11
behandeld met de nadruk op
&xorg;.Meer informatie over de videohardware die X11 ondersteunt
kan gevonden worden op &xorg; of &xfree86; websites.Na het lezen van dit hoofdstuk weet de lezer:Wat de componenten van het X Window systeem zijn en hoe
zij samenwerken.Hoe X11 geïnstalleerd en ingesteld kan
worden.Hoe verschillende window managers geïnstalleerd en
gebruikt kunnen worden.Hoe &truetype; lettertypen in X11 te gebruiken.Hoe het systeem ingesteld moet worden voor grafisch
aanmelden (XDM).Aangeraden voorkennis:Hoe extra software van derden te installeren
().In dit hoofdstuk wordt het installeren en instellen van de
&xorg; en
&xfree86; X11 servers behandeld. De
bestanden met instellingen, commando's en syntaxis is
overwegend hetzelfde. Waar dat anders is wordt het
aangegeven.X BegrijpenX voor de eerste keer gebruiken kan een hele schok zijn voor
mensen die gewend zijn aan andere grafische omgevingen, zoals
µsoft.windows; of &macos;.Het is niet noodzakelijk om alle details te kennen over de
X componenten en hoe zij samenwerken, maar enige basiskennis
draagt wel bij aan krachtiger gebruik kunnen maken van
X.Waarom X?X is niet het eerste windows systeem dat geschreven is voor
&unix;, maar wel het meest populaire. Het oorspronkelijke X
ontwikkelteam werkte eerst aan een ander window systeem. De
naam van dat systeem was W (van
Window). X was gewoon de volgende letter in het
alfabet.X kan gewoon X,
X Window Systeem, X11 of nog
anders genoemd worden. X11 X Windows noemen kan
door sommigen als een belediging opgevat worden. &man.X.7; kan
hierover wat licht laten schijnen.Het X Client/Server ModelX is vanaf het begin aan ontworpen om netwerk-centraal te
zijn en gebruikt een client-server model.In het X model, draait de X server op de
computer waar het toetsenbord, beeldscherm en muis aan vast
zit. De server is verantwoordelijk voor het regelen van
beeldinformatie, verwerken van invoer van toetsenbord en muis,
enzovoort. Iedere X applicatie (zoals
XTerm, of
&netscape;) is een
client. Een client stuurt berichten naar de
server zoals teken een venster op deze
coördinaten en de server stuurt berichten terug
zoals de gebruiker heeft op de OK knop
gedrukt.Thuis of in kleine bedrijven draaien zowel de X server als
de X clients op dezelfde machine. Het is heel goed mogelijk
dat de X server op een minder krachtige desktop computer draait
en de X applicaties (de clients) op een, zeg maar, dure
krachtige machine van het bedrijf. Hier vindt de communicatie
tussen de X client en server plaats over het netwerk.Dit verwart sommige mensen, omdat de X terminologie geheel
omgekeerd is aan wat ze verwachten. Dat is namelijk dat de
X server de grote krachtige machine aan het eind
van de gang is en de X client de machine op hun
bureau is.De X server is de machine met het beeldscherm en het
toetsenbord en de X clients zijn de programma's die de
vensters tonen.Het protocol vereist niet dat de clients en servers
hetzelfde besturingssysteem moeten draaien of hetzelfde soort
computer moeten zijn. Het is heel goed mogelijk om X server op
een µsoft.windows; of Apple's &macos; te draaien en er
zijn verschillende gratis en commerciële applicaties die
dat doen.&xorg;, zit vanaf
&os; 5.3-RELEASE als standaard X server bij &os; en is
gratis onder een gelijksoortig licentie als de &os; licentie.
Er zijn ook commerciële X servers voor &os;
verkrijgbaar.De Window ManagerDe filosofie van het X ontwerp lijkt veel op die van
&unix;: gereedschappen, geen beleid. Dit houdt
in dat X niet bepaalt hoe een taak volbracht moet worden. In
plaats daarvan worden gereedschappen geleverd aan de gebruiker
die verantwoordelijk is voor het juiste gebruik hiervan.Deze filosofie verbreedt zich door X niet te laten bepalen
hoe vensters er moeten uitzien op het scherm, hoe ze verplaatst
moeten worden met de muis, welke toetsaanslagen gebruikt moeten
worden om te schakelen tussen vensters (bijvoorbeeld AltTab in het geval van µsoft.windows;), hoe de
titelbalken eruit moeten zien, of ze wel of niet sluitknoppen
moeten hebben, enzovoort.In plaats daarvan delegeert X deze verantwoordelijkheid aan
een applicatie die Window Manager heet. Er zijn
tientallen window managers voor X:
AfterStep,
Blackbox,
ctwm,
Enlightenment,
fvwm,
Sawfish,
twm,
Window Maker en vele anderen. Elk
van deze window managers heeft een eigen voorkomen en werking.
Er zijn window managers met virtual desktops of
met eigen toetscombinaties om de desktop te beheren; of hebben
een Start knop of iets gelijksoortigs. Sommige
gebruiken thema's die uiterlijk en beleving
compleet veranderen door een nieuw thema te kiezen. Window
managers zijn te vinden in de categorie
x11-wm van de Portscollectie.De KDE en
GNOME desktop omgevingen hebben hun
eigen window managers die in het bureaublad zijn
geïntegreerd.Iedere windows manager heeft zijn eigen manier van
instellen. Sommige werken met handgetypte bestanden, anderen
beschikken over grafische gereedschappen voor de meeste
instellingen. Er is er minstens één
(Sawfish) waarvan het
instellingenbestand is geschreven in een dialect van de taal
Lisp.FocusbeleidDe window manager is ook verantwoordelijk voor het
focusbeleid van de muis. Ieder window
geörienteerd systeem heeft een manier nodig om te
bepalen welk venster actief is, toetsaanslagen ontvangt en
daarbij zichtbaar aangeeft welk venster actief is.Een bekend focus beleid heet
click-to-focus. Dit model wordt gebruikt door
µsoft.windows;, waarbij een venster actief wordt door er
met de muis op te klikken.X ondersteunt geen specifiek focusbeleid. In plaats
daarvan bepaalt de window manager op welk venster, op welk
moment, de focus ligt. Een aantal window managers
ondersteunen verschillende focusmethoden. Ze ondersteunen
allemaal click to focus en de meerderheid
ondersteunt ook nog andere.De meest populaire zijn:focus-volgt-muis (focus-follows-mouse)Het venster dat onder de muis zit is het venster
waarop de focus ligt. Dit hoeft niet het venster te
zijn dat bovenop alle andere vensters ligt. De focus
verandert door te wijzen naar een ander venster. Het
is niet nodig om er ook nog eens op te klikken.slordige-focus (sloppy-focus)Dit beleid is een kleine uitbreiding op
focus-follows-mouse. Indien bij focus-follows-mouse de
muis over het root venster (of de achtergrond) gaat,
ligt op geen enkel venster de focus en gaan alle
toetsaanslagen verloren. Bij sloppy-focus, verandert
de focus alleen als de muis in een nieuw venster komt
en niet als het huidige venster wordt verlaten.klik-voor-focus (click-to-focus)Het actieve venster wordt geselecteerd door erop
te klikken. Het venster wordt dan
opgetild en verschijnt dan voor alle
andere vensters. Alle toetsaanslagen worden nu naar
dit venster gestuurd, zelfs als de cursor naar een
ander scherm wordt verplaatst.Veel window managers ondersteunen andere soorten of
variaties op de bovenstaande typen muisbeleid. Hierover
staat meestal meer in de documentatie van de betreffende
window manager.WidgetsDe X aanpak door gereedschappen te leveren en niets af te
dwingen breidt zich uit naar de widgets die in elk
applicatievenster te zien zijn.Widget is een term voor alle dingen van de
gebruikersinterface waarop geklikt kan worden of een andere
actie mee uitgevoerd kan worden: knoppen, vinkvakjes, iconen,
lijsten en ga zo maar door. µsoft.windows; noemt ze
controls.µsoft.windows; en Apple's &macos; hebben beide een erg
strikt widgetbeleid. Van de applicatieontwikkelaars wordt
verwacht dat hun applicaties eenduidig zijn wat betreft
uiterlijk en beleving. Bij X is ervoor gekozen geen grafische
stijl of widgets te verplichten.X applicaties hebben dus niet allemaal hetzelfde uiterlijk.
Er zijn populaire widgetsets en variaties, inclusief de
originele Athena widgetset van MIT,
&motif; (waarvan de widgetset van
µsoft.windows; is afgeleid: schuine randen en drie
gradaties grijs), OpenLook en
anderen.De meeste nieuwe X applicaties gebruiken een modern
uitziende widgetset: Qt, gebruikt door
KDE, of GTK+ van het
GNOME project. Vanuit dit oogpunt
lijkt het enigzins op de &unix; desktop, wat het makkelijker
maakt voor de beginnende gebruiker.X11 InstallerenZowel &xorg; als
&xfree86; kan op &os;
geïnstalleerd worden. Vanaf &os; 5.3-RELEASE is
&xorg; de standaard X11
implementatie voor &os;. &xorg; is
de X11 server van de open source implementatie die is uitgebracht
door de X.Org Foundation. &xorg; is
gebaseerd op de code van
&xfree86 4.4RC2 en X11R6.6.
De X.Org Foundation heeft X11R6.7 uitgebracht in april
2004 en X11R6.8.1 in september 2004. De laatstgenoemde versie
is beschikbaar via de &os; portscollectie.Om &xorg; vanuit de
portscollectie te bouwen en te installeren:&prompt.root; cd /usr/ports/x11/xorg
&prompt.root; make install cleanOm &xorg; compleet te
bouwen is tenminste 4 GB vrije schijfruimte nodig.Om &xfree86; vanuit de
portscollectie te bouwen en te installeren:&prompt.root; cd /usr/ports/x11/XFree86-4
&prompt.root; make install cleanX11 kan ook als package geïnstalleerd worden doordat er
binaire packages beschikbaar zijn voor &man.pkg.add.1;. Als
hiervoor de optie remote fetching van
&man.pkg.add.1; wordt gebruikt, dan moet het versienummer
verwijderd worden. &man.pkg.add.1; haalt automatisch de laatste
versie van het programma op.Om het package voor &xorg; op te
halen en te installeren:&prompt.root; pkg_add -r xorgHet &xfree86; 4.X package kan
geïnstalleerd worden met:&prompt.root; pkg_add -r XFree86Het voorbeeld hierboven installeert de complete X11
distributie inclusief de servers, clients, lettertypen enz. Er
zijn ook afzondelijke packages en ports beschikbaar voor
verschillende delen van X11.De rest van dit hoofdstuk licht toe hoe X11 wordt ingesteld
en hoe een productieve desktopomgeving gebouwd kan worden.Van &xfree86; naar
&xorg;Zoals voor iedere port, moet
/usr/ports/UPDATING bekeken worden voor
de wijzigingen. In dit bestand staan instructies die
nodig zijn om een systeem te migreren van
&xfree86; naar
&xorg;.CVSup kan gebruikt worden om
de ports tree bij te werken voordat er wordt begonnen met een
migratie. Naast deze maatregel moet ook sysutils/portupgrade
geïnstalleerd worden voor de migratie van een X11
systeem.In /etc/make.conf kan de variabele
X_WINDOW_SYSTEM=xorg ingesteld worden.
Hierdoor is het zeker dat een systeem weet welke X11 er wordt
gebruikt. De oude variabele XFREE86_VERSION
is komen te vervallen en vervangen door de variabele
X_WINDOW_SYSTEM.Dan kunnen de volgende commando's uitgevoerd worden:&prompt.root; pkg_delete -f /var/db/pkg/imake-4* /var/db/pkg/XFree86-*
&prompt.root; cd /usr/ports/x11/xorg
&prompt.root; make install clean
&prompt.root; pkgdb -F&man.pkgdb.1; is onderdeel van de
portupgrade software en kan packages
inclusief afhankelijkheden bijwerken.Om &xorg; compleet te bouwen
is tenminste 4 GB vrije schijfruimte nodig.ChristopherShumwayBijgedragen door X11 Instellen&xfree86; 4.X&xfree86;&xorg;X11VoorbereidingVoordat er wordt begonnen met het instellen van X11 is de
volgende informatie van de te installeren machine nodig:Monitor specificatiesChipset van de videokaartGeheugen van de videokaarthorizontale scansnelheidverticale scansnelheidDe specificaties van de monitor worden door X11 gebruikt om
de resolutie en ververssnelheid te bepalen. Deze specificaties
kunnen normaal gesproken verkregen worden uit de bij de monitor
geleverde documentatie of van de website van de leverancier.
Er zijn twee nummerreeksen nodig: de horizontale scansnelheid
(scan rate) en de vertikale syncronisatiesnelheid (vertical
synchronization).De chipset van de videokaart bepaalt welke driver X11
gebruikt om de grafische hardware aan te spreken. Bij de
meeste chipsets kan dit automatisch bepaald worden, maar het is
altijd handig om dit te weten voor het geval de automatische
detectie niet correct werkt.Het geheugen op de videokaart bepaalt de resolutie en
kleurdiepte waarmee het systeem kan werken. Dit is belangrijk
omdat de gebruiker zo de grenzen van zijn systeem kent.X11 InstellenHet instellen van X11 bestaat uit meerdere stappen. De
eerste stap is het bouwen van een instellingenbestand. Dit kan
met:&prompt.root; Xorg -configureIn het geval van &xfree86; is
dat:&prompt.root; XFree86 -configureDit genereert een kaal X11 instellingbestand in de map
/root met de naam
xorg.conf.new. Feitelijk wordt bepaald
waar de map staat door hoe er superuser rechten zijn verkregen.
$HOME is anders bij gebruik van &man.su.1; of
bij direct aanmelden. Het X11 programma probeert dan de
grafische hardware te detecteren en schrijft een
instellingenbestand dat de juiste drivers laadt voor de
gevonden hardware van het systeem.De volgende stap is het testen van de bestaande
configuratie om te controleren of
&xorg; met de grafische kaart van
het doelsysteem kan werken. Dit kan met:&prompt.root; Xorg -config xorg.conf.newVoor &xfree86;
gebruikers:&prompt.root; XFree86 -xf86config XF86Config.newAls er een zwart/grijs rooster en een X muis cursor
verschijnen was de configuration successvol. Om de test te
stoppen dient gelijktijdig op CtrlAltBackspace gedrukt te
worden.Als de muis niet werkt, dan moet deze eerst ingesteld
worden. Zie in het &os; installatie
hoofdstuk.X11 optimaliserenNu moet xorg.conf.new (of
XF86Config.new als
&xfree86; wordt gebruikt) worden
aangepast aan de smaak van de gebruiker. Hiervoor moet het
bestand in een teksteditor zoals &man.emacs.1; of &man.ee.1;
worden geladen. Eerst moeten de frequenties van de monitor
toegevoegd worden. Die zijn meestal weergegeven als
horizontale en vertikale synchronisatiesnelheid. Deze waarden
worden toegevoegd aan xorg.conf.new in het
onderdeel "Monitor":Section "Monitor"
Identifier "Monitor0"
VendorName "Monitor Vendor"
ModelName "Monitor Model"
HorizSync 30-107
VertRefresh 48-120
EndSectionIn het instellingenbestand kunnen de sleutelwoorden
HorizSync en VertRefresh
missen. Als ze er niet staan, moeten ze toegevoegd worden met
de juiste horizontale synchronisatiesnelheid achter het
HorizSync sleutelwoord en de vertikale
synchronisatiesnelheid achter het
VertRefresh sleutelwoord. In het
bovenstaande voorbeeld werden de gegevens van de monitor
ingevoerd.X kan DPMS (Energy Star) eigenschappen gebruiken bij
monitoren die dit ondersteunen. &man.xset.1; regelt de
time-outs en kan de statussen standby, suspend of uit forceren.
Om DPMS eigenschappen voor een monitor te activeren, moet de
volgende regel toegevoegd worden aan de monitor sectie:
Option "DPMS"xorg.confXF86ConfigAls het instellingenbestand
xorg.conf.new (of
XF86Config.new) toch open staat in de
editor dan kan ook meteen de gewenste standaardresolutie en
kleurdiepte gekozen worden. Dit staat in het onderdeel
"Screen":Section "Screen"
Identifier "Screen0"
Device "Card0"
Monitor "Monitor0"
DefaultDepth 24
SubSection "Display"
Viewport 0 0
Depth 24
Modes "1024x768"
EndSubSection
EndSectionHet sleutelwoord DefaultDepth beschrijft
de kleurdiepte die standaard wordt gebruikt. Met de
commandoregeloptie van &man.Xorg.1; (of
&man.XFree86.1;) kan dit overschreven worden. Het sleutelwoord
Modes beschrijft de resolutie waarmee
gewerkt wordt bij de opgegeven kleurdiepte. Alleen VESA
standaarden die door de grafische kaart van het systeem worden
gedefinieerd worden ondersteund. In het voorbeeld hierboven is
de standaardkleurdiepte 24 bits per pixel. Bij deze
kleurdiepte is de toegestane resolutie 1024 bij 768
pixels.Bij het oplossen van problemen zijn de logboekbestanden
van X11 vaak een goede hulp. Ze bevatten informatie voor
ieder apparaat waar de X11 server verbinding mee maakt.
Namen van &xorg; logboekbestanden
hebben de vorm /var/log/Xorg.0.log
(namen van &xfree86;
logboekbestanden hebben de vorm
XFree86.0.log). De precieze naam van
een logboekbestand van variëren van
Xorg.0.log tot
Xorg.8.log enzovoort.Als alles is ingesteld, moet het instellingenbestand op een
plaats gezet worden waar &man.Xorg.1; (of &man.XFree86.1;) het
kan vinden. Dit is meestal
/etc/X11/xorg.conf of
/usr/X11R6/etc/X11/xorg.conf (voor
&xfree86; heet het
/etc/X11/XF86Config of
/usr/X11R6/etc/X11/XF86Config):&prompt.root; cp xorg.conf.new /etc/X11/xorg.confVoor &xfree86;:&prompt.root; cp XF86Config.new /etc/X11/XF86ConfigHet instellen van X11 is nu gereed. Om
&xfree86; 4.X te kunnen starten
met &man.startx.1; dient de x11/wrapper port geïnstalleert
te worden. &xorg; heeft wrappercode
en heeft geen extra wrapper nodig. De X11 server kan ook
gestart worden met &man.xdm.1;.Er zit ook een grafisch instellingenprogramma bij de
X11 distributie: &man.xorgcfg.1; (man.xf86cfg.1; voor
&xfree86;). Hiermee kunnen de
instellingen en drivers interactief gekozen worden. Dit
kan ook op het console gebruikt worden:
xorgcfg -textmode. Meer details zijn
te vinden in &man.xorgcfg.1; en &man.xf86cfg.1;.Er is ook nog het hulpprogramma &man.xorgconfig.1;
(&man.xf86config.1; voor
&xfree86;). Dit programma is
op het console te gebruiken en is veel minder
gebruikersvriendelijk, maar het zou wel kunnen werken in
gevallen waarin andere hulpprogramma's dat niet doen.Bijzondere InstellingenInstellen met de &intel; i810 Graphics ChipsetsIntel i810 graphic
chipsetInstellen met &intel; i810 integrated chipsets vereist de
agpgart AGP programmeringsinterface
voor X11 om de kaart aan te sturen. De &man.agp.4; driver
zit in de GENERIC kernel sinds
4.8-RELEASE en 5.0-RELEASE. Bij eerdere versies dient het
volgende toegevoegd te worden aan het bestand met
kernelinstellingen:device agpHierna dient een nieuwe kernel gebouwd te worden. In
plaats hiervan, kan de kernelmodule
agp.ko automatisch geladen worden met
&man.loader.8; tijdens het opstarten. Hiervoor moet het
volgende in /boot/loader.conf
staan:agp_load="YES"Als gebruik wordt gemaakt van &os; 4.X of recenter,
dan moet een apparaatnode gemaakt worden voor de
programmainterface. Om deze AGP apparaatnode te maken, dient
&man.MAKEDEV.8; gestart te worden in de map
/dev:&prompt.root; cd /dev
&prompt.root; sh MAKEDEV agpgart&os; 5.X of later gebruikt &man.devfs.5; om
apparaatnodes transparant te verwerken, dan is de
stap met &man.MAKEDEV.8; niet meer nodig.Hierdoor wordt het configureren van de hardware net
als ieder andere grafische kaart. Bij systemen die zonder
&man.agp.4; driver gecompileerd zijn slaagt het laden van
module met &man.kldload.8; niet. De driver moet in de kernel
geladen zijn tijdens het opstarten door te compileren of door
/boot/loader.conf te gebruiken.Als &xfree86; 4.1.0 (of
later) gebruikt wordt en er verschijnen berichten over
unresolved symbols zoals
fbPictureInit, dan kan het toevoegen van
de regel aan het
&xfree86; instellingenbestand na
Driver "i810" de oplossing zijn:Option "NoDDC"MurrayStokelyBijgedragen door Lettertypen Gebruiken in X11Type1 LettertypenDe standaard lettertypen van X11 zijn allerminst ideaal voor
het typische bureaubladprogramma. Grote presentatielettertypen
zien er hoekig en onprofessioneel uit en kleine lettertypen in
&netscape; zijn bijna onleesbaar. Er
zijn diverse gratis, kwalitatief goede Type1 (&postscript;)
lettertypen die meteen gebruikt kunnen worden met X11. De URW
lettertypecollectie (x11-fonts/urwfonts) heeft bijvoorbeeld
hoge kwaliteit versies van standaard Type1 lettertypen
(Times Roman,
Helvetica,
Palatino en anderen).
De Freefonts collectie (x11-fonts/freefonts) heeft nog meer
lettertypen, maar de meesten ervan zijn bedoeld om in grafische
software als Gimp gebruikt te worden
en zijn niet compleet genoeg om als schermlettertypen te
gebruiken. Daarbij kan X11 zonder veel moeite ingesteld worden
worden om &truetype; lettertypen te gebruiken. Meer informatie
staat in &man.X.7; of de paragraaf over &truetype; Lettertypen.Om de bovenstaande Type1 lettertypecollectie van de
portscollectie te installeren:&prompt.root; cd /usr/ports/x11-fonts/urwfonts
&prompt.root; make install cleanDat geldt ook voor de freefont en andere collecties. Om de
X server te vertellen dat deze lettertypen bestaan, dient de
volgende regel toegevoegd te worden in
XF86Config (in /etc/
voor &xfree86; versie 3 of in
/etc/X11/ voor versie 4):FontPath "/usr/X11R6/lib/X11/fonts/URW/"Ook kan op de commando regel in de X sessie het volgende
gestart worden:&prompt.user; xset fp+ /usr/X11R6/lib/X11/fonts/URW
&prompt.user; xset fp rehashDit werkt wel, maar zodra de X sessie wordt afgesloten is het
weer verdwenen tenzij het is toegevoegd aan het opstartbestand
(~/.xinitrc voor een normale
startx sessie of
~/.xsession als er wordt aangemeld met een
grafische aanmeldmanager als XDM).
Een derde manier is het gebruik van het nieuwe bestand
/usr/X11R6/etc/fonts/local.conf: zie
hiervoor de paragraaf over over Anti-aliasing.&truetype; LettertypenTrueType lettertypenlettertypenTrueType&xfree86; 4.X en
&xorg; hebben ingebouwde ondersteuning
voor het renderen van &truetype; lettertypen. Er zijn twee
verschillende modules die deze functionaliteit activeren. In dit
voorbeeld wordt de freetype module gebruikt omdat deze beter
werkt met de andere lettertypen die back-ends renderen. Om de
freetype module te activeren dient de volgende regel toegevoegd
te worden aan het onderdeel "Module" van
/etc/X11/xorg.conf of
/etc/X11/XF86Config.Load "freetype"Voor &xfree86; 3.3.X is een
aparte &truetype; lettertypeserver nodig. Meestal wordt
Xfstt gebruikt. Om
Xfstt te installeren hoeft alleen
de port x11-servers/Xfstt
geïnstalleerd te worden.Hierna dient een map voor de &truetype; lettertypen gemaakt
te worden (bijvoorbeeld
/usr/X11R6/lib/X11/fonts/TrueType) en alle
&truetype; lettertypen moeten naar deze map gekopieerd worden.
&truetype; lettertypen kunnen niet direct van een &macintosh;
gehaald worden. Ze moeten in een &unix;/&ms-dos;/&windows;
formaat zijn voor X11. Zodra de bestanden naar deze map zijn
gekopieerd, kan ttmkfdir gestart
worden om een fonts.dir bestand te maken
zodat de X lettertyperenderer weet waar deze nieuwe bestanden
zijn geïnstalleerd. ttmkfdir zit in de
&os; portscollectie als x11-fonts/ttmkfdir.&prompt.root; cd /usr/X11R6/lib/X11/fonts/TrueType
&prompt.root; ttmkfdir > fonts.dirNu moet de &truetype; map toe aan het lettertypepad
toegevoegd worden. Dit gebeurt op dezelde wijze als boven is
beschreven voor Type1
lettertypen:&prompt.user; xset fp+ /usr/X11R6/lib/X11/fonts/TrueType
&prompt.user; xset fp rehashof door een FontPath regel toe te voegen
aan xorg.conf (of
XF86Config).Dat is alles. Nu herkennen
&netscape;,
Gimp,
&staroffice; en alle andere X
applicaties de geïnstalleerde &truetype; lettertypen.
Extreem kleine lettertypen (zoals hoge resolutie tekst op een
webpagina) en extreme grote lettertypen (in
&staroffice;) zien er nu veel beter
uit.Joe MarcusClarkeBijgewerkt door Anti-alias Lettertypenanti-alias lettertypenlettertypenanti-aliasAnti-aliasing wordt door X11 sinds ondersteund sinds
&xfree86; versie 4.0.2. Maar
instellingen voor lettertypen waren bewerkelijk voordat
&xfree86; 4.3.0 geïntroduceerd
werd. Vanaf &xfree86; 4.3.0
zijn alle lettertypen die X11 in de mappen
/usr/X11R6/lib/X11/fonts/ en
~/.fonts/ aantreft automatisch beschikbaar
voor anti-aliasing in applicaties die Xft ondersteunen. Niet
alle applicaties ondersteunen Xft. Voorbeelden van applicaties
met Xft ondersteuning zijn Qt 2.3 en hoger (de
hulpprogramma's voor het KDE
bureaublad), GTK+ 2.0 en hoger (de hulpprogramma's voor het
GNOME bureaublad) en
Mozilla 1.2 en hoger.Om te kunnen regelen welke lettertypen gebruik maken van
anti-alias of om de eigenschappen van anti-aliasing in te stellen
kan /usr/X11R6/etc/fonts/local.conf gemaakt
of gewijzigd worden. In dit bestand kunnen speciale
eigenschappen van het Xft lettertypesysteem aangepast worden.
Deze paragraaf beschijft wat eenvoudige mogelijkheden.
Meer details staan in &man.fonts-conf.5;.XMLDit bestand moet in het XML formaat opgemaakt worden.
Hoofdletters en kleine letters worden onderscheiden en alle tags
moeten netjes worden afgesloten. Het bestand begint met de
gewone XML header gevolgd door een DOCTYPE definitie en daarna de
<fontconfig> tag:<?xml version="1.0"?>
<!DOCTYPE fontconfig SYSTEM "fonts.dtd">
<fontconfig>Zoals al eerder is vermeld zijn alle lettertypen in
/usr/X11R6/lib/X11/fonts/ en in
~/.fonts/ al geschikt gemaakt voor
Xft applicaties. Als naast deze twee mappen nog een andere
lettertypen moeten kunnen bevatten, dan dient een soortgelijke
regel als de onderstaande aan
/usr/X11R6/etc/fonts/local.conf toegevoegd
te worden:<dir>/path/to/my/fonts</dir>Na het toevoegen van nieuwe lettertypen en zeker nieuwe
lettertypemappen dienen de lettertypecaches opnieuw opgebouwd
worden met:&prompt.root; fc-cache -fAnti-aliasing maakt randen een beetje wazig wat kleine
teksten beter leesbaar maakt en voorkomt
trapvorming van grote letters. Maar het kan
oogkramp veroorzaken als het op normale tekst wordt toegepast.
Om lettertypen kleiner dan 14 punten uit te sluiten van
anti-aliasing moeten de volgende regels toegevoegd worden:<match target="font">
<test name="size" compare="less">
<double>14</double>
</test>
<edit name="antialias" mode="assign">
<bool>false</bool>
</edit>
</match>
<match target="font">
<test name="pixelsize" compare="less" qual="any">
<double>14</double>
</test>
<edit mode="assign" name="antialias">
<bool>false</bool>
</edit>
</match>lettertypenspacingSpatiëring voor sommige enkel gespatieerde lettertypen
kan ook ongepast zijn bij anti-aliasing. Dit lijkt vooral een
probleem te zijn bij KDE. Een
mogelijke oplossing hiervoor is het vergroten van de
spatiëring van die lettertypen naar 100:<match target="pattern" name="family">
<test qual="any" name="family">
<string>fixed</string>
</test>
<edit name="family" mode="assign">
<string>mono</string>
</edit>
</match>
<match target="pattern" name="family">
<test qual="any" name="family">
<string>console</string>
</test>
<edit name="family" mode="assign">
<string>mono</string>
</edit>
</match>Het bovenstaande hernoemt de standaardnamen van lettertypen
naar "mono"). Voeg daarna het volgende
toe:<match target="pattern" name="family">
<test qual="any" name="family">
<string>mono</string>
</test>
<edit name="spacing" mode="assign">
<int>100</int>
</edit>
</match>Bepaalde lettertypen, zoals Helvetica, kunnen problemen
hebben met anti-aliasing. Dit uit zich meestal in een
lettertype dat vertikaal door midden lijkt gesneden. Op zijn
ergst kan het applicaties zoals
Mozilla laten crashen. Om dit te
voorkomen kan overwogen worden om ook de volgende regels toe
te voegen aan local.conf:<match target="pattern" name="family">
<test qual="any" name="family">
<string>Helvetica</string>
</test>
<edit name="family" mode="assign">
<string>sans-serif</string>
</edit>
</match>Als de wijzigingen in local.conf zijn
gemaakt dient niet vergeten te worden het bestand te eindigen
met de tag </fontconfig> tag. Als dit
niet gedaan wordt, dan worden de wijzigingen niet gezien.De standaard lettertypeset die geleverd wordt bij X11 is
niet erg geschikt als het aankomt op anti-aliasing. Een veel
betere set standaardlettertypen is de x11-fonts/bitstream-vera port. Deze
port maakt /usr/X11R6/etc/fonts/local.conf
aan als het nog niet bestaat. Als het al wel bestaat maakt de
port /usr/X11R6/etc/fonts/local.conf-vera
aan. De inhoud van dit bestand dient in
/usr/X11R6/etc/fonts/local.conf geplaatst
te worden en dan vervangen de Bitstream lettertypen automatisch
de standaard X11 Serif, Sans Serif en Monospaced
lettertypen.Als laatste kunnen gebruikers hun eigen instellingen aan een
persoonlijk .fonts.conf bestand toevoegen.
Om dit te doen moet iedere gebruiker het bestand
~/.fonts.conf maken. Ook dit bestand moet
in het XML formaat zijn.LCD screenlettertypenLCD screenNog een laatste punt: bij een LCD scherm kan sub-pixel
sampling prettig zijn. Eigenlijk zorgt dit er voor dat de
(horizontaal gesplitste) rode, groene en blauwe componenten
gewijzigd worden om de horizontale resolutie te verbeteren. Het
resultaat is geweldig. Voeg hiervoor de volgende regels ergens
aan local.conf toe:<match target="font">
<test qual="all" name="rgba">
<const>unknown</const>
</test>
<edit name="rgba" mode="assign">
<const>rgb</const>
</edit>
</match>Afhankelijk van het soort beeldscherm kan
rgb veranderd moeten worden in
bgr, vrgb of
vbgr. Experimenteren levert de beste
instelling op.
- Mozilla
-
- web browsers
-
- Mozilla
+ Mozilla
- Mozilla
+ anti-aliasing lettertypen uitschakelenAnti-aliasing moet werken zodra de X server opnieuw gestart
is. Programma's dienen echter wel te weten hoe ze er mee moeten
werken. Op dit moment geldt dat voor de Qt toolkit en de hele
KDE omgeving kan met anti-alias
omgaan (zie over
KDE). GTK+ en
GNOME anti-aliasing gebruiken via de
Font capplet (zie ).
Mozilla 1.2 en hoger gebruiken
automatisch anti-aliasing. Om dit uit te zetten moet
Mozilla opnieuw gebouwd worden met de
optie -DWITHOUT_XFT.SethKingsleyBijgedragen door De X Display ManagerOverzichtX BeeldschermmanagerDe X Beeldschermmanager (XDM) is
een optioneel onderdeel van het X Window Systeem dat gebruikt
wordt voor beheer van aanmeldsessies. Dit is vaak erg handig
bij bijvoorbeeld X Terminals, desktops en grote
netwerk beeldschermservers. Omdat het X Window Systeem
netwerk- en protocolonafhankelijk is, zijn er veel
mogelijkheden om X clients en servers op verschillende machines
in een netwerk te verbinden. XDM
levert een grafische interface waarmee er gekozen kan worden
welke beeldschermserver gebruikt moet worden en handelt
authorisatie informatie (gebruikersnaam en wachtwoord)
af.XDM levert de gebruiker dezelfde
funtionaliteit levert als &man.getty.8; (zie
). Dus het regelt de
systeemaanmeldingen voor de schermen waaraan verbonden moet
worden en start dan een sessie manager namens de gebruiker
(meestal een X window manager). XDM
wacht dan tot het programma stopt en geeft aan dat de gebruiker
klaar is en afgemeld kan worden. Hierna kan
XDM het aanmeldscherm weer tonen
zodat de volgende gebruiker kan aanmelden.XDM GebruikenDe XDM daemon staat in
/usr/X11R6/bin/xdm. Dit programma
kan als root altijd gestart worden en
regelt dan het X weergavegedeelte van de lokale machine. Als
XDM iedere keer bij het opstarten
moet starten is het handig om een regel toe te voegen aan
/etc/ttys. Meer informatie over het
gebruik van dit bestand staat in .
In de standaardversie van /etc/ttys staat
een regel om de applicatie deamon
XDM op een virtuele terminal te
draaien:ttyv8 "/usr/X11R6/bin/xdm -nodaemon" xterm off secureStandaard staat deze regel uit. Om hem aan te zetten moet
veld 5 van off naar on
gewijzigd worden en moet met &man.init.8; herstart worden met
gebruikmaking van de aanwijzingen in .
Het eerste veld, de naam van de terminal die het programma
aanstuurt, is ttyv8. Dit houdt in dat
XDM op de negende virtuele terminal
begint te draaien.XDM InstellenDe map met instellingen voor XDM
is /usr/X11R6/lib/X11/xdm. In deze map
staan diverse bestanden die gebruikt kunnen worden om het
gedrag en uiterlijk van XDM te
veranderen. Meestal zijn dit de volgende bestanden:BestandOmschrijvingXaccessRegels voor client authorisatie.XresourcesStandaard waarden voor X bronnen.XserversLijst met op afstand en lokaal te beheren schermen.XsessionStandaard sessie script voor logins.Xsetup_*Script die applicaties start voordat de login
interface start.xdm-configAlgehele configuratie voor alle schermen op
deze machine.xdm-errorsErrors die gegenereerd zijn door het server programma.xdm-pidHet proces ID van de draaiende XDM.Tevens staan in deze map een aantal scripts en programma's
om het bureaublad in te stellen als
XDM draait. Het doel van elk van
deze bestanden wordt kort omschreven. De juiste syntaxis en
het gebruik van deze bestanden staat in &man.xdm.1;.De standaardinstelling regelt een eenvoudig rechthoekig
aanmeldvenster met bovenin de hostnaam van de machine in een
groot lettertype met een Login: en
Password: prompt eronder. Dit is een goed
beginpunt om het uiterlijk en werking van het
XDM venster te veranderen.XaccessOm een verbinding te maken met
XDM gestuurde schermen wordt het
protocol X Display Manager Connection Protocol (XDMCP)
gebruikt. Het bestand is een set regels die XDMCP
verbindingen met andere machines bestuurt. Standaard mag
iedere client een verbinding maken. Zolang
xdm-config niet is aangepast om
verbindingen te accepteren is dat geen probleem.XresourcesDit is een bestand met standaarden voor de schermkiezer
en de aanmeldschermen. Hier kan het uiterlijk van het
aanmeldprogramma gewijzigd worden. De indeling is hetzelfde
als bij het app-defaults bestand en is beschreven in de X11
documentatie.XserversDit is een lijst met netwerkschermen waaruit gekozen kan
worden.XsessionDit is het standaard sessiescript voor
XDM dat start nadat de gebruiker
is aangemeld. Normaal heeft iedere gebruiker een eigen
sessiescript in ~/.xsession dat dit
script overheerst.Xsetup_*Deze starten automatisch voordat de kiezers of
aanmeldschermen getoond worden. Er is een script voor ieder
gebruikt scherm met de naam Xsetup_
gevolgd door het lokale schermnummer (bijvoorbeeld
Xsetup_0). Normaal draaien deze scripts
éé of twee programma's in de achtergrond zoals
xconsole.xdm-configDit bevat de instellingen die toegepast worden op ieder
scherm die deze installatie aanstuurt. De indeling is
hetzelfde als van app-defaults.xdm-errorsHierin staan de meldingen die de X servers geven als
XDM ze probeert te starten. Als
een scherm dat gestart is door XDM
om onduidelijke reden hangt, is dit een goede plaats om te
zoeken naar foutmeldingen. Deze meldingen worden ook per
sessie naar het ~/.xsession-errors van
de gebruiker gestuurd.Een Netwerk Beeldschermserver GebruikenOm gebruikers een verbinding te laten maken met een X
server moeten de toegangsregels gewijzigd worden en de
connectielistener moet aangezet worden. Deze hebben standaard
wat terughoudende waarden. Om XDM
te laten luisteren naar verbindingen moet als eerste een regel
uitgecommentarieerd worden in
xdm-config:! SECURITY: do not listen for XDMCP or Chooser requests
! Comment out this line if you want to manage X terminals with XDM
DisplayManager.requestPort: 0Hierna moet XDM herstart worden.
Afwijkend in dit bestand is dat commentaar in app-defaults
bestanden begint met het karakter ! en niet met
het karakter #. Het kan wenselijk zijn om de
toegangcontrole aan te scherpen. Hiervoor staan
voorbeeldregels in Xaccess en
&man.xdm.1;.Alternatieven voor XDMEr bestaan diverse alternatieven voor
XDM programma.
kdm (wordt geleverd bij
KDE) wordt later in dit hoofstuk
behandeld. De kdm
beeldschermmanager biedt vele grafische verbeteringen en
cosmetische franje en de mogelijkheid om de gebruiker de kans
te geven een window manager te laten kiezen bij het
aanmelden.ValentinoVaschettoBijgedragen door BureaubladomgevingenDeze sectie beschrijft de verschillende
bureaubladomgevingen voor X op &os;. Een
bureaubladomgeving kan van alles inhouden: van
een simpele window manager tot een complete suite van
bureaubladapplicaties zoals KDE of
GNOME.GNOMEOver GNOMEGNOMEGNOME is een
gebruikersvriendelijke bureaubladomgeving die de gebruiker de
mogelijkheid geeft om gemakkelijk de computer te gebruiken en
in te stellen. GNOME heeft een
paneel (voor het starten en tonen van statusinformatie van
applicaties), een bureaublad (waar data en applicaties
geplaatst kunnen worden), een set standaard
bureaubladapplicaties en een regels die het makkelijker maakt
voor applicaties om eenduidig met elkaar samen te werken.
Gebruikers van andere besturingssystemen of omgevingen voelen
zich meestal meteen thuis bij het gebruik van de krachtige
grafisch gestuurde omgeving die
GNOME biedt. Meer informatie over
GNOME op &os; staat op de &os; GNOME
Project website.GNOME InstallerenDe makkelijkste manier om
GNOME te installeren is door
middel van het Desktop Configuration menu
tijdens de &os; installatie zoals beschreven in . Het kan ook makkelijk
geïnstalleerd worden van een package of uit de
portscollectie:Om het GNOME package te
installeren:&prompt.root; pkg_add -r gnome2Om GNOME vanuit de
portscollectie te installeren:&prompt.root; cd /usr/ports/x11/gnome2
&prompt.root; make install cleanZodra GNOME geïnstalleerd
is, moet de X server verteld worden dat in plaats van de
standaard window manager GNOME
gebruikt moet worden. Als er al een
.xinitrc is, dan hoeft alleen de regel
die de huidige windows manager start veranderd te worden in
een regel die
/usr/X11R6/bin/gnome-session start.
Als er niets speciaals met dit instellingenbestand is
gedaan:&prompt.user; echo "/usr/X11R6/bin/gnome-session" > ~/.xinitrcNu kan met startx de
GNOME bureaubladomgeving gestart
worden.Als een beeldschermmanager als
XDM gebruikt wordt werkt het
bovenstaande niet. In plaats daarvan moet een uitvoerbaar
.xsession gemaakt worden met hetzelfde
commando erin. Hiervoor moet het bestand aangepast worden
door het bestaande window manager commando te vervangen door
/usr/X11R6/bin/gnome-session:&prompt.user; echo "#!/bin/sh" > ~/.xsession
&prompt.user; echo "/usr/X11R6/bin/gnome-session" >> ~/.xsession
&prompt.user; chmod +x ~/.xsessionHet is ook mogelijk de beeldschermanager zo in te stellen
dat de window manager gekozen kan worden tijdens het
aanmelden. In de paragraaf Meer KDE Details wordt
uitgelegd hoe dit gedaan moet worden voor de
kdm beeldschermmanager van
KDE.Anti-alias Lettertypen in GNOMEGNOMEanti-alias lettertypenX11 ondersteunt anti-aliasing via de
RENDER uitbreiding. GTK+ 2.0 en hoger
(de toolkit die gebruikt wordt bij
GNOME) kunnen dit gebruiken. Het
instellen van anti-aliasing is beschreven in . Dus met up-to-date software is
anti-aliasing in de GNOME
bureaublagomgeving mogelijk. In ApplicationsDesktop
PreferencesFont kan gekozen wordne voor Best
shapes, Best contrast of
Subpixel smoothing (LCDs). Bij een
GTK+ applicatie die geen onderdeel is van het
GNOME bureaublad moet de
omgevingsvariabele GDK_USE_XFT op
1 gezet worden voordat het programma wordt
gestart.KDEKDEOver KDEKDE is een bureaubladomgeving
die eigentijds is en makkelijk in gebruik.
KDE biedt de gebruiker:Een schitterende eigentijdse desktop;Een desktop die volledig netwerktransparant
is;Een geïntegreerd hulpsysteem dat eenvoudig
bruikbare informatie geeft over het gebruik van het
KDE bureaublad en de
applicaties;Alle KDE applicaties
werken op dezelfde manier en zien er hetzelfde
uit;Gestandaardiseerde menu's en werkbalken,
keybindings, kleurschema's, enzovoort;Internationalisatie:
KDE is beschikbaar in meer dan
40 talen;Gecentraliseerde vraag en antwoord gestuurde
bureaubladinstelling;Een grote hoeveelheid bruikbare
KDE applicaties;KDE heeft een office
applicatie suite die gebaseerd is op
KDE's
KParts technologie en bestaat uit een
spread-sheet, een presentatieprogramma, een organizer, een
nieuwsclient en meer. KDE heeft
ook de webbrowser Konqueror die
niet onder doet voor de andere bestaande webbrowsers op
&unix; systemen. Meer informatie over
KDE staat op de KDE website. Voor &os;
specifieke informatie en bronnen over
KDE is er de &os;-KDE team
website.KDE InstallerenNet als bij GNOME of iedere
andere bureaubladomgeving is de makkelijkste manier om
KDE te installeren door middel van
het Desktop Configuration menu in het &os;
installatie proces. Dat wordt beschreven in . Ook nu geldt weer dat de software
eenvoudig geïnstalleerd met een package of uit de
portscollectie:Om KDE van een package te
installeren:&prompt.root; pkg_add -r kde&man.pkg.add.1; haalt automatisch de laatste versie van
de applicatie op.Om KDE vanuit de
portscollectie te bouwen en te installeren:&prompt.root; cd /usr/ports/x11/kde3
&prompt.root; make install cleanNadat KDE geïnstalleerd
is, moet de X server verteld worden dat déze
applicatie gestart moet worden in plaats van de standaard
window manager. Hiervoor kan .xinitrc
aangepast worden:&prompt.user; echo "exec startkde" > ~/.xinitrcAls het X Window System wordt gestart met
startx is KDE
het bureaublad.Als er een beeldschermmanager als
XDM gebruikt wordt, is de
instelling anders. Dan moet .xsession
gewijzigd worden. Instructies voor
kdm worden later in dit hoofdstuk
beschreven.Meer KDE detailsNadat KDE
geïnstalleerd is op een systeem, kunnen de meeste dingen
uitgezocht worden via de hulppagina's of door de verschillende
menu's aan te wijzen en erop te klikken. &windows; en &mac;
gebruikers voelen zich meestal helemaal thuis.Het beste naslagwerk voor KDE
is de on-line documentatie. KDE
heeft zijn eigen web browser,
Konqueror, tientallen handige
applicatie's en uitgebreide documentatie. De volgende
paragrafen beschrijven de technische zaken die moeilijk
proefondervindelijk te achterhalen zijn.De KDE BeeldschermmanagerKDEbeeldschermmanagerEen beheerder van een multi-user systeem die een grafisch
aanmeldscherm willen hebben voor zijn gebruikers kan hiervoor
XDM gebruiken, zoals eerder
beschreven. KDE biedt
kdm als alternatief. Dat is
ontworpen met een beter uiterlijk en heeft meer
aanmeldopties. Gebruikers kunnen via een menu kiezen
welke bureaubladomgeving (KDE,
GNOME of een andere) zij na het
aanmelden willen gebruiken.Om te beginnen dient het KDE
beheerpaneel kcontrol door
root uitgevoerd te worden. Er wordt in
het algemeen vanuit gegaan dat het niet veilig is om als
root de X omgeving te gebruiken. In
plaats daarvan wordt de window manager als normale gebruiker
gestart en in een terminalvenster (zoals
xterm of
KDE's
konsole) wordt root
met su aangemeld. De gebruiker moet
hiervoor wel in de groep wheel
in /etc/group staan). In het
terminalvenster kan dan kcontrol
ingegeven worden.Eerst dient geklikt te worden op het linker icoon
System, daarna op Login
manager. Rechts staan nu verschillende opties om
in te stellen die de KDE
handleiding uitgebreid behandelt. Klik op
sessions aan de rechterzijde. Klik
New type om de verschillende window
managers en bureaubladomgevingen toe te voegen. Dit zijn
alleen de labels, hierop staat dan
KDE en
GNOME in plaats van
startkde of
gnome-session. Er dient ook nog
een label failsafe gemaakt te
worden.Er wordt aangeraden ook met de andere menu's te spelen.
Die zijn hoofdzakeklijk voor cosmetische zaken en spreken
voor zich. Als de instellingen gemaakt zijn kan onderaan op
Apply geklikt worden en kan het
beheerprogramma verlaten worden.Om te zorgen kdm begrijpt
wat de labels (KDE en
GNOME etc) betekenen, dienen de
bestanden die XDM gebruikt
gewijzigd te worden.In KDE 2.2 is dit veranderd:
kdm gebruikt nu zijn eigen
instellingenbestanden. In de
KDE 2.2 documentatie staan
meer details.Als root, in een terminal venster,
dient /usr/X11R6/lib/X11/xdm/Xsession
gewijzigd te worden. In het midden van het bestand is een
onderdeel dat er als volgt uitziet:case $# in
1)
case $1 in
failsafe)
exec xterm -geometry 80x24-0-0
;;
esac
esacEr moeten een aantal regels toegevoegd worden aan dit
onderdeel. Aangenomen dat de gebruikte labels
KDE en GNOME waren, dient
dat het volgende de worden:case $# in
1)
case $1 in
kde)
exec /usr/local/bin/startkde
;;
GNOME)
exec /usr/X11R6/bin/gnome-session
;;
failsafe)
exec xterm -geometry 80x24-0-0
;;
esac
esacOm bij het aanmelden de KDE
bureaubladachtergrond hetzelfde te laten zijn als na het
aanmelden, dient de volgende regel toegevoegd worden aan
/usr/X11R6/lib/X11/xdm/Xsetup_0:/usr/local/bin/kdmdesktopNu moet kdm voorkomen in
/etc/ttys en starten bij de volgende
herstart. Om dit te doen kunnen de instructies uit XDM gebruikt worden en kan
/usr/X11R6/bin/xdm vervangen worden
in /usr/local/bin/kdm.Anti-alias LettertypenKDEanti-alias lettertypenX11 ondersteunt anti-aliasing door de toevoeging de
RENDER toevoeging en vanaf
Qt versie 2.3 ondersteunt Qt (de toolkit die bij
KDE zit) deze toevoeging. Het
instellen hiervan is beschreven in
over anti-aliasing X11 lettertypen. Dus met up-to-date
software is anti-aliasing mogelijk op een
KDE bureaublad. In het
KDE menu moet in PreferencesLook and
FeelFonts het vinkvakje Gebruik
Anti-aliasing voor Lettertypen en Iconen
aangevinkt worden. Voor Qt applicaties die geen onderdeel
zijn van KDE moet de
omgevingsvariabele QT_XFT op
true gezet worden voordat het programma
wordt gestart.XFceOver XFceXFce is een bureaubladomgeving
die gebaseerd is op de GTK+ toolkit die gebruikt wordt bij
GNOME, maar is eenvoudiger en
bedoeld voor gebruikers die een simpel en efficient
bureaublad willen dat toch eenvoudig en makkelijk in te
stellen is. Het ziet er bijna hetzelfde uit als
CDE dat bij commerciële
&unix; systemen zit. Een aantal
XFce functies zijn:Een eenvoudige, makkelijk te bedienen
desktop;Geheel in te stellen met de muis, met klikken en
slepen, enzovoort;Hoofdpaneel hetzelfde als
CDE met menu's, applets en
applicatiesGeïntegreerde window manager, bestandsmanager,
geluidsmanager, GNOME
compliance module en andere zaken;Thema's (sinds het gebruik van GTK+);Snel, licht en efficient: ideaal voor de oudere
of langzamere machines of machines met beperkte
hoeveelheid geheugen;Meer informatie over XFce
staat op de XFce
website.Installeren van XFceXFce is met een package
te installeren:&prompt.root; pkg_add -r xfce4Of vanuit de portscollectie:&prompt.root; cd /usr/ports/x11-wm/xfce4
&prompt.root; make install cleanNu moet de X server weten dat
XFce gestart moet worden als X de
volgende keer start:&prompt.user; echo "/usr/X11R6/bin/startxfce4" > ~/.xinitrcDe volgende keer dat X start is
XFce het bureaublad. Wederom:
als een beeldschermmanager als XDM
gebruikt wordt, moet .xsession gemaakt
worden zoals beschreven in de paragraaf over GNOME. Nu moet echter het
command /usr/X11R6/bin/startxfce4
gebruikt. Het is ook mogelijk de beeldschermmanager in te
stellen om bureaublad te kiezen bij het aanmelden, zoals is
uitgelegd in de paragraaf over kdm.