diff --git a/zh_CN.GB2312/books/handbook/basics/chapter.sgml b/zh_CN.GB2312/books/handbook/basics/chapter.sgml index b0e5aa7579..ebf9e6a427 100644 --- a/zh_CN.GB2312/books/handbook/basics/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/basics/chapter.sgml @@ -1,2379 +1,2378 @@ Chris Shumway Rewritten by UNIX 基础 概述 下列章节的命令和功能适用于FreeBSD操作系统。 同时这里许多内容和一些 类-&unix; 操作系统相关。 假如您已经熟悉这些内容可跳过不阅读。 假如您是FreeBSD新手， 那您应该认真详细地从头到尾读一遍这些章节。 读取这些内容，您将了解： 怎样在FreeBSD使用 虚拟控制台。 在 &unix; 中文件权限如何运作， 以及理解 &os; 中的文件标志。 &os; 默认文件系统的架构。 &os;磁盘架构。 怎样挂接或卸下文件系统。 什么是进程、守护进程、信号。 什么是shell，应当怎样去改变登录进入的默认环境。 怎样使用基本的文本编辑器。 什么是设备，什么是设备节点。 &os; 下，使用的是什么可执行文件格式。 怎样使用 man 手册并取得更多资讯。 虚拟控制台和终端 虚拟控制台 终端 可以用多种不同的方式使用 FreeBSD， 在文本终端输入命令是其中之一。 通过使用这种方式， 您可以容易地使用 FreeBSD 来获得 &unix; 操作系统的灵活而强大的功能。 这一节将介绍 终端 和 控制台， 以及如何在 FreeBSD 中使用它们。 控制台 控制台 假如您没有设置 FreeBSD 在启动期间开启图形登录界面， 那么系统将在引导和启动脚本正确运行完成后，给您一个登录的提示。 您会看到类似这样的界面: Additional ABI support:. Local package initialization:. Additional TCP options:. Fri Sep 20 13:01:06 EEST 2002 FreeBSD/i386 (pc3.example.org) (ttyv0) login: 这些信息可能和您的系统稍微有点不同，但不会有很大差别。 最后两行是我们感兴趣的， 理解这一行: FreeBSD/i386 (pc3.example.org) (ttyv0) 这一行是您刚才启动的系统信息其中一块， 您所看到的是一个FreeBSD控制台， 运行在一个Intel或兼容的x86体系架构上面 现在理解一下i386的含义。 请注意尽管您的 FreeBSD 并非在 Intel 386 CPU 上运行， 但也会显示为 i386。 这不是指您的处理器， 而是指处理器的 体系结构。 。 这台计算机的名字 (每台 &unix; 计算机都有自己的名字) 叫 pc3.example.org， 就是现在这个系统控制台—这个 ttyv0 终端的样子。 在最后，最后一行一直保持这样: login: 这里， 您将可以输入用户名 username 并登录到 &os; 系统中。 接下来的一节， 将介绍如何登录系统。 进入FreeBSD FreeBSD是一个多用户多任务的系统， 换句话来说就是一个系统中可以容纳许多不同的用户， 而这些用户都可以同时在这台机器中运行大量的程序。 每一个多用户系统都必须在某方面去区分 user， 在 FreeBSD 里 (以及 类-&unix; 操作系统)， 完成这方面工作是有必要的， 因而， 每位使用者在运行程序之前都必须首先 登录， 而每位用户都有与之对应的用户名 (username) 和密码 (password)。 FreeBSD 会在用户进入之前作出询问这两项信息。 启动脚本 当 FreeBSD 引导并运行完启动脚本之后， 启动脚本这些程序在FreeBSD在启动过程中运行。 它们的主要功能为其他每方面的运行作好准备， 和运行您的配置所用到的相关环境。 ， 它会给出一个提示， 并要求输入有效的用户名： login: 举个例子更容易理解，我们假设您的用户名叫 john。 在提示符下输入 john 并按 Enter， 此时您应该看到这个提示 password： login: john Password: 现在输入 john的密码并按下 Enter。 输入密码时是 不回显的! 不必为此担心， 这样做是出于安全考虑。 假如您输入的密码是正确的， 这时你应该已进入 FreeBSD， 并可以开始尝试可用的命令了。 您应该看见 MOTD 或者出现一个命令提示符 (#、$ 或 % 字符). 这表明您已成功登录进入FreeBSD。 多个控制台 在一个控制台运行 &unix; 命令虽说很好， 但 FreeBSD 具有一次运行 多个程序的能力。 仅使用一个控制台只会浪费 FreeBSD 同时运行多任务的能力。 而 虚拟控制台 在这方面发挥强大的功能。 FreeBSD 能配置出满足您不同需求的虚拟控制台， 在键盘上您用一组键就能从各个虚拟控制台之间切换。 各个控制台有自己的传输通道， 当您在各个控制台切换时 FreeBSD 会切换到合适的键盘传输通道和显示器传输通道。 FreeBSD 各个控制台之间可利用特殊组键切换并保留原有控制台 关于 FreeBSD 的控制台和键盘设备这些详细资料或使用技巧可在手册里找到: &man.syscons.4;、&man.atkbd.4;、&man.vidcontrol.1; 和 &man.kbdcontrol.1;。 我们不在这里详细介绍， 但是爱好者总会在手册里找到详细的答案。 ，您可这样做: AltF1， AltF2， 一直到 AltF8 在FreeBSD里切换到其中一个虚拟控制台。 同样地, 您正在从其中某个控制台切换到另一个控制台的时候, FreeBSD 会保存正在使用和恢复将要使用屏幕传输通道。 这种结果形成一种 错觉， 您拥有许多虚拟屏幕和键盘可以输入很多的命令。 这些程序需要在一个虚拟控制台不能停止运行而又不需要观察它， 它继续运行而您可以切换到其他的虚拟控制台。 <filename>/etc/ttys</filename>文件 FreeBSD 虚拟控制台的默认配置为8个，但并不是硬性设置， 您可以很容易设置虚拟控制台的个数增多或减少。 虚拟控制台的的编号和设置在 /etc/ttys 文件里。 您可以使用 /etc/ttys 文件在 FreeBSD 下配置虚拟控制台。 文件里每一未加注释的行都能设置一个终端或虚拟控制台 (当行里含有 # 这个字符时不能使用) 。 FreeBSD 默认配置是配置出9个虚拟控制台而只能启动8个， 以下这些行是 ttyv 一起启动: # name getty type status comments # ttyv0 "/usr/libexec/getty Pc" cons25 on secure # Virtual terminals ttyv1 "/usr/libexec/getty Pc" cons25 on secure ttyv2 "/usr/libexec/getty Pc" cons25 on secure ttyv3 "/usr/libexec/getty Pc" cons25 on secure ttyv4 "/usr/libexec/getty Pc" cons25 on secure ttyv5 "/usr/libexec/getty Pc" cons25 on secure ttyv6 "/usr/libexec/getty Pc" cons25 on secure ttyv7 "/usr/libexec/getty Pc" cons25 on secure ttyv8 "/usr/X11R6/bin/xdm -nodaemon" xterm off secure 如果要了解这个文件中每一列的详细介绍， 以及虚拟控制台上所能使用的配置， 请参考联机手册 &man.ttys.5;。 单用户模式的控制台 关于 单用户模式 详细介绍在 这里可以找到。 当您运行单用户模式时只能使用一个控制台， 没有多个虚拟控制台可使用。 单用户模式的控制台同也可以在 /etc/ttys 文件设置， 可在这行找到要启动的控制台： # name getty type status comments # # If console is marked "insecure", then init will ask for the root password # when going to single-user mode. console none unknown off secure 这个 console 已经注释掉, 您可编辑这行把 secure 改为 insecure。 这样， 当用单用户进入 FreeBSD 时， 它仍然要求提供 root 用户的密码。 在把这个选项改为 insecure 的时候一定要小心， 如果您忘记了 root用户的密码， 进入单用户会有点麻烦。 尽管仍然能进入单用户模式， 但如果您不熟悉它就会非常令人头疼。 改变控制台的显示模式 FreeBSD 控制台默认的显示模式可以被调整为 1024x768， 1280x1024， 或者任何你的显卡芯片和显示器所支持的其他尺寸。 要使用一个不同的显示模式， 你必须首先重新编译内核并包含以下2个选项： options VESA options SC_PIXEL_MODE 在内核用这2个选项编译完成后，你就可以使用 &man.vidcontrol.1; 工具来测定你的硬件支持何种显示模式了。 以 root 身份在控制台键入以下命令来获得一份所支持的显示模式列表。 &prompt.root; vidcontrol -i mode 这个命令的输出是一份你的硬件所支持的显示模式列表。 你可以在以 root 身份在控制台上键入 &man.vidcontrol.1; 命令来改变显示模式： &prompt.root; vidcontrol MODE_279 如果你对于新的显示模式满意，那么可以把它加入到 /etc/rc.conf 使机器在每次启动的时候都能生效， 我们使用了上一个例子中的模式： allscreens_flags="MODE_279" 权限 UNIX FreeBSD，是 BSD &unix; 的延续， 并基于几个关键的 &unix; 观念。 从一开始就多处提到 FreeBSD 是一个多用户的操作系统， 它能分别处理几个同时工作的用户所分配的毫无关联任务。 并负责为每位用户的硬件设备、 外设、 内存和 CPU 处理时间作出合理安排。 因为系统有能力支持多用户， 在每一方面系统都会作出谁能读、 写和执行的资源权力限制。 这点权限以三个八位元的方式储存着， 一个是表示文件所属者， 一个是表示文件所属群组， 一个是表示其他人。 这些数字以下列方式表示： 权限 文件权限 数值 权限 目录列表 0 不能读，不能写，不能执行 --- 1 不能读，不能写，可执行 --x 2 不能读，可写，不能执行 -w- 3 不能读，可写，可执行 -wx 4 可读，不能写，不能执行 r-- 5 可读，不能写，可执行 r-x 6 可读，可写，不能执行 rw- 7 可读，可写，可执行 rwx ls 目录 使用命令的 (&man.ls.1;) 参数可以显示出文件的所属者、 所属组和其他人等属性。 请看以下的例子： &prompt.user; ls -l total 530 -rw-r--r-- 1 root wheel 512 Sep 5 12:31 myfile -rw-r--r-- 1 root wheel 512 Sep 5 12:31 otherfile -rw-r--r-- 1 root wheel 7680 Sep 5 12:31 email.txt ... 使用 ls -l 在每行的开始出现了： -rw-r--r-- 从左边起的第一个字，告诉我们这个文件是一怎样的文件: 普通文件?目录?特殊设备?socket?或是设备文件? 在这个例子， - 表示一个普通文件。 接下来三个字是 rw- 是文件拥有者的权限。 再接下来的三个字是 r-- 是文件所属群组的权限。 最後三个字是 r-- 是其他人的权限。 以这一个文件为例，他的权限设定是拥有者可以读写这个文件、群组可以读取、 其他使用者也能读取这个文件。 根据上面的表格， 用数字表示这个文件其三部分的权限应该是 644。 这样很好，但系统怎样对设备进行权限控制的? 事实上 FreeBSD 将大部份硬件设备当作一个文件看待， 用程序能打开、读取、写入数据就如其他的文件一样。 而设备文件放在 /dev 目录。 目录也视为一种文件，也有读取、写入、执行的权限。 但目录的执行权限意义并不与普通文件相同， 实际上执行权限是进入权限。 当一个目录是被标示可以执行的时， 表示可以进入它， 或者换言之， 利用 cd (改变当前目录) 进入它。 此外， 这也表示有权进入目录的用户， 可以访问其下的已知名字的文件 (当然目录下的文件也受到访问限制)。 详细方面，想读取一个目录的列表就必须设为可读权限， 同时想删除一个已知的文件，就必须把目录下这个文件设为可写 和 执行权限。 还有更多权限设定， 但是他们大多用在特殊状况下如一个setuid的执行文件和粘贴性目录， 如果想要得知有关文件权限和如何设定的更多资讯，请看手册&man.chmod.1;。 Tom Rhodes Contributed by 权限的符号化表示 权限符号 权限符号，某些时候就是指符号表达式， 使用八进制的字符给目录或文件分配权限。 权限符号的使用语法是 (谁) (作用) (权限)。 看看下列数值的在那些地方所起什么样的作用: 选项 字母 介绍 (谁) u 用户 (谁) g 所属群体 (谁) o 其他人 (谁) a 所有人 (全部) (作用) + 增加权限 (作用) - 减少权限 (作用) = 确定权限 (权限) r 可读 (权限) w 可写 (权限) x 执行 (权限) t 粘贴位 (权限) s 设置 UID 或 GID 这些数值 &man.chmod.1; 以习惯标定的。 举个例子，用以下命令阻止其他人访问 FILE文件: &prompt.user; chmod go= FILE 如果需要对文件一次进行多项变动， 则可用逗号分开， 在下面的例子中， 将去掉 FILE 文件的群体和 全体其他用户 可写权限， 并为所有人增加可执行权限： &prompt.user; chmod go-w,a+x FILE Tom Rhodes Contributed by &os; 文件标志 在前面所介绍的文件权限的基础之上， &os; 还支持使用 文件标志。 这些标志为文件提供了进一步的安全控制机制， 但这些控制并不适用于目录。 这些文件标志提供了针对文件的进一步控制， 帮助确保即使是 root 用户也无法删除或修改文件。 文件标志可以通过使用 &man.chflags.1; 工具来修改， 其用户界面很简单。 例如， 要在文件 file1 上应用系统禁删标志， 应使用下述命令： &prompt.root; chflags sunlink file1 要禁用系统禁删标志， 只需在前述命令中的 标志前加 no。 例如： &prompt.root; chflags nosunlink file1 要显示文件上的标志， 应使用命令 &man.ls.1; 的 参数： - &prompt.root; ls -lo file1 - + &prompt.root; ls -lo file1 输出结果应类似于： -rw-r--r-- 1 trhodes trhodes sunlnk 0 Mar 1 05:54 file1 许多标志只可以由 root 用户来增加， 而另一些， 则可以由文件的所有者来增加。 建议管理员仔细阅读 &man.chflags.1; 和 &man.chflags.2; 联机手册， 以对其加深理解。 目录架构 目录层次 理解 FreeBSD 的目录层次结构对于建立对系统整体的理解十分重要的基础。 其中， 最重要的概念是根目录， /。 这个目录是系统引导时挂接的第一个目录， 它包含了用以准备多用户操作所需的操作系统基础组件。 根目录中也包含了用于在启动时转换到多用户模式之前挂接其他文件系统所需的挂接点。 挂接点 (mount point) 是新增的文件系统在接入现有系统时的起点位置 (通常是根目录)。 在 对此进行了详细的阐述。 标准的挂接点包括 /usr、 /var、 /tmp、 /mnt， 以及 /cdrom。 这些目录通常会在 /etc/fstab 文件中提及。 /etc/fstab 是一张包含系统中各个文件系统及挂接点的表。 在 /etc/fstab 中的绝大多数文件系统都会在启动时由 &man.rc.8; 脚本自动挂接， 除非特别指定了 选项。 更多细节请参考 。 您可以通过 &man.hier.7; 来了解完整的文件系统层次说明。 现在， 让我们先来看一看绝大多数的常见的目录以供参考。 目录 介绍 / 文件系统的根目录。 /bin/ 在单个用户和多用户环境下的基本工具目录。 /boot/ 在操作系统在启动加载期间所用的程序和配置。 /boot/defaults/ 默认每步引导启动的配置内容，请查阅&man.loader.conf.5;。 /dev/ 设备节点，请查阅 &man.intro.4;。 /etc/ 系统启动的配置和脚本。 /etc/defaults/ 系统默认的启动配置和脚本，请参考 &man.rc.8; 。 /etc/mail/ 关系到邮件系统运作的配置， 请参考 &man.sendmail.8;。 /etc/namedb/ named 配置文件，请参考 &man.named.8;。 /etc/periodic/ 每天、每星期和每月周期性地运行的脚本， 请通过 &man.cron.8;查阅 &man.periodic.8;。 /etc/ppp/ ppp配置文件，请查阅&man.ppp.8;。 /mnt/ 由管理员习惯使用挂接点的临时空目录。 /proc/ 运行中的文件系统，请参阅 &man.procfs.5; 和 &man.mount.procfs.8;。 /rescue/ 用于紧急恢复的一组静态联编的程序； 参见 &man.rescue.8;。 /root/ root用户的Home(主)目录。 /sbin/ 在单个用户和多用户环境下的存放系统程序和管理所需的基本实用目录。 /tmp/ 临时文件。 /tmp 目录中的内容， 一般不会在系统重新启动之后保留。 通常会将基于内存的文件系统挂在 /tmp 上。 这一工作可以用一系列 tmpmfs 相关的 &man.rc.conf.5; 变量来自动完成。 (或者， 也可以在 /etc/fstab 增加对应项； 参见 &man.mdmfs.8;)。 /usr/ 存放大多数用户的应用软件。 /usr/bin/ 存放实用命令，程序设计工具，和应用软件。 /usr/include/ 存放标准 C include 文件. /usr/lib/ 存放库文件。 /usr/libdata/ 存放各种实用工具的数据文件。 /usr/libexec/ 存放系统实用或后台程序 (从另外的程序启动执行)。 /usr/local/ 存放本地执行文件， 库文件等等， 同时也是 FreeBSD ports 安装的默认安装目录。 /usr/local 在 /usr 中的目录布局大体相同， 请查阅 &man.hier.7;。 但 man 目录例外， 它们是直接放在 /usr/local 而不是 /usr/local/share 下的， 而 ports 说明文档在 share/doc/port。 /usr/obj/ 通过联编 /usr/src 得到的目标文件。 /usr/ports 存放 FreeBSD 的 Ports Collection (可选)。 /usr/sbin/ 存放系统后台程序 和 系统工具 (由用户执行)。 /usr/share/ 存放架构独立的文件。 /usr/src/ 存放 BSD 或者本地源码文件。 /usr/X11R6/ 存放 X11R6 可执行文件、 库文件、 配置文件等的目录(可选)。 /var/ 多用途日志、 临时或短期存放的， 以及打印假脱机系统文件。 有时会将基于内存的文件系统挂在 /var 上。 这一工作可以通过在 &man.rc.conf.5; 中设置一系列 varmfs 变量 (或在 /etc/fstab 中加入一行配置； 参见 &man.mdmfs.8;) 来完成。 /var/log/ 存放各种的系统记录文件。 /var/mail/ 存放用户mailbox(一种邮件存放格式)文件。 /var/spool/ 各种打印机和邮件系统spooling(回环)的目录。 /var/tmp/ 临时文件。 这些文件在系统重新启动时通常会保留， 除非 /var 是一个内存中的文件系统。 /var/yp NIS 映射。 磁盘组织 FreeBSD 查找文件的最小单位是文件名。 而文件名区分大小写，这就意味着 readme.txt 和 README.TXT 是两个不相同的文件。 FreeBSD 不凭文件扩展名 (.txt) 去识别这个文件是 程序、 文档， 或是其他格式的数据。 各种文件存放在目录里。 一个目录可以为空， 也可以含有多个的文件。一个目录同样可以包含其他的目录， 允许您在一个目录里建立多个不同层次的目录。 这将帮助您轻松地组织您的数据。 文件或目录是由文件名或目录名，加上斜线符号 /， 再根据需要在目录名后面加上其他目录的名称。 如果您有一个名为 foo 的目录， 它包含另一个目录 bar， 后者包括一个叫 readme.txt 的文件， 则全名， 或者说到文件的 路径 就是 foo/bar/readme.txt。 在文件系统里目录和文件的作用是存储数据。 每一个文件系统都有且只有一个顶级目录 根目录， 这个根目录则可以容纳其他目录。 您也许在其他的一些操作系统碰到类似这里的情况， 当然也有不同的情况。 举些例子， &ms-dos; 是用 \ 分隔文件名或目录名， 而 &macos; 则使用:。 FreeBSD在路径方面不使用驱动器名符号或驱动器名称， 在FreeBSD里您不能这样使用： c:/foo/bar/readme.txt。 为了代替(驱动器名符号)， 一个文件系统会指定 根 文件系统， 根文件系统的根目录是 /。 其他每一个文件系统 挂接在根文件系统下。 无论有多少磁盘在FreeBSD 系统里， 每个磁盘都会以目录的方式加上。 假设您有三个文件系统， 名为 A、 B 和 C。 每个文件系统有一个根目录， 而各自含有两个其他的目录， 名为 A1, A2 ( B1, B2 和 C1, C2)。 看看 A 这个根文件系统。 假如您用 ls 命令来查看这个目录您会见到两个子目录: A1 和 A2。 这个目录树是这个样子: / | +--- A1 | `--- A2 一个文件系统必须挂到另一个文件系统的某一目录， 所以现在假设把 B 文件系统挂到 A1目录， 那 B 根目录因此代替 了 A1，而显示出 B 目录(的内容)： / | +--- A1 | | | +--- B1 | | | `--- B2 | `--- A2 无论B1 或 B2 目录在那里而延伸出来的路径必须为 /A1/B1 或 /A1/B2。 而在 /A1 里原有的文件会临时隐藏。 想这些文件再出现把 B 从 A 挂接释放。 所有在B1 或 B2 目录里的文件都可以通过 /A1/B1 或 /A1/B2 访问。而在 /A1 中原有的文件会被临时隐藏，直到 B 从 A 上被卸载 (unmout) 为止。 把 B 挂接在 A2 那图表的样子就是这样子: / | +--- A1 | `--- A2 | +--- B1 | `--- B2 这个路径分别是 /A2/B1 和 /A2/B2 。 文件系统能把顶部挂接在另一个文件系统上。 继续这个例子， 把 C 文件系统挂接在 B 文件系统里的 B1 目录， 排列如下: / | +--- A1 | `--- A2 | +--- B1 | | | +--- C1 | | | `--- C2 | `--- B2 或者把 C 文件系统挂接在 A 文件系统里的A1目录： / | +--- A1 | | | +--- C1 | | | `--- C2 | `--- A2 | +--- B1 | `--- B2 假如您熟悉 &ms-dos; 并知道 join 命令， 尽管不相同，其实功能是相似的。 这方面不是普通知识而且涉及到您自己所关心的， 当您安装FreeBSD并在以后添加新磁盘时， 您必须知到该如何新建文件系统和挂接上。 (FreeBSD系统)它有一个主要的根文件系统， 不需要另外新建立， 但当需要手工处理时，这是一个有用的知识。 多个文件系统的益处 不同的文件系统可用不同的 挂接参数。 举些例子， 仔细想一下， 根文件系统能用只读的方式挂接上， 防止不经意删除或编辑到一个危险的文件。 把各用户能写入的文件系统分开， 像/home这样， 由另外的文件系统分别用 nosuid 参数挂接，这个参数防止 suid/guid 在执行这个文件系统中的文件时生效， 从而缓解了一些安全问题。 FreeBSD 能根据一个文件系统使用的情况自动优化 这个文件系统上的文件布局。 所以对一个存储了大量小文件并会被频繁写入文件系统的优化与一个存储了少量大文件的优化是不同的。 而在一个大的单一文件系统上则无法体现这样的优化。 FreeBSD 的文件系统能够在断电时尽可能避免损失。 然而， 在关键点时的电源失效仍然可能会破坏文件系统的结构。 将您的文件系统分成多个有助于分散风险， 并方便备份和恢复。 单一文件系统的益处 文件系统是固定大小的。 当安装FreeBSD时新建一个文件系统并设定一个大小， 您会在稍后发觉到必须去建一个大的分区。 如果配置不当， 则需要备份、 重新创建文件系统， 然后再恢复数据。 FreeBSD 提供了 &man.growfs.8; 命令。 这使得能够实时地调整文件系统的大小， 因而不再受其限制。 文件系统是和分区一一对应的。 这里的分区和常用的术语分区 (例如， &ms-dos; 分区) 的意思并不一样， 这是由于 &os; 的 &unix; 传统造成的。 每一个分区使用一个从 a 到 h 的字母来表示。 每个分区只能包含一个文件系统， 这意味着文件系统通常可以由它们在文件系统目录结构中的挂接点， 或对应的分区字母来表示。 FreeBSD 的 交换分区 也需要使用磁盘空间。 交换分区是给 FreeBSD 作 虚拟内存 使用的， 这样能令您的计算机有更多的内存可使用， 当FreeBSD在运行而内存不够的时候， 它会把其他一些可转移的数据转移到交换分区， 空出内存的位置以供使用。 某些 partitions 的用途是确定的。 分区 约定 a 通常指定为根文件系统 b 通常指定为交换分区 c 通常它和所在的 slice 大小相同。 c 分区上工作时必定会影响到事整个 slice (举个例子，坏块扫描器)。 您通常不愿意在这个partition建立文件系统。 d 分区 d 曾经有特殊的含义， 不过这种意义在现时的系统上已不再适用， 因此 d 可以和任何其它普通的分区一样使用了。 每一个包含了文件系统的分区被保存在 FreeBSD 称为 slice 的部分上。 Slice 是一个 FreeBSD 术语， 通常被叫做分区， 再次强调， 这是由于 FreeBSD 的 &unix; 背景。 Slices 有其编号， 从1到4。 slices partitions 专用 (dangerously dedicated) Slice 编号在设备名后面， 并有一个 s 前缀， 从 1 开始。 因此 da0s1 是第一个 SCSI 驱动器的第一个 slice。 每个磁盘上只能有四个物理的 slices， 但您可以在物理 slice 中使用适当的类型来创建逻辑 slice。 这些扩展 slice 编号从 5 开始， 因此 ad0s5 是第一个 IDE 磁盘中的第一个 扩展 slice。 文件系统所使用的设备应该占满 slice。 Slices, 专用指定 物理驱动器， 和其他驱动器都包含 partitions， 那几个的 partitions 都是用字母从 a 到 h 来标定的， 而这些字母都在驱动器名字之后，所以 da0a 是指首个da设备的 a partition， 而那个就是 专项指定。 ad1s3e 是指IDE磁盘上第三个slice的第五个partition。 最终，每个磁盘都被系统识别。 一个磁盘名字是用磁盘类型代码和编号来标识的， 它不像slices，磁盘的编号是由0开始的。 对应代码请看这里所列出的。 当在 FreeBSD 中指定 partition 名字时， 必须同时包含这个分区的 slice 和磁盘的名字； 类似地， 在指定 slice 时， 也应该给出包含该 slice 的磁盘名字。 可这样列出： 磁盘名称，s，slice 编号，和partition标定字母。 例子请看 。 这里显示了一个磁盘的布局，有更清楚的帮助。 在安装FreeBSD时，您首先要配置好磁盘slices， 然后在FreeBSD使用的slice上建立partitions。 并在每个partition上建立一个文件系统(或交换分区)， 和指定文件系统的挂接位置。 磁盘设备的代码 代码 说明 ad ATAPI (IDE) 磁盘 da SCSI 直接存取磁盘 acd ATAPI (IDE) 光驱 cd SCSI 光驱 fd 软驱
样例磁盘, Slice, 和 Partition 它们的命名 命名 说明 ad0s1a 在首个IDE磁盘(ad0)上的 第一个slice (s1)里的 第一个partition (a)。 da1s2e 在第二个SCSI磁盘(da1)上的 第二个slice(s2)里的 第五个partition(e)。 一个磁盘的布局 从在系统里的首个IDE磁盘图表可以显示出FreeBSD的见解。 假设磁盘大小为4 GB，它里面包含了两个2 GB 大小的slices (但在&ms-dos;叫partitions)。 首个slice是一个&ms-dos;磁盘叫C:， 而第二个slice是FreeBSD配置好的slice。 FreeBSD配置好的slice有三个partitions和另一个交换分区。 这三个partitions各自控制一个文件系统。 partitiona 用于根文件系统， partitione 用于 /var 目录层， partitionf 用于 /usr 目录层。 .-----------------. --. | | | | DOS / Windows | | : : > First slice, ad0s1 : : | | | | :=================: ==: --. | | | Partition a, mounted as / | | | > referred to as ad0s2a | | | | | :-----------------: ==: | | | | Partition b, used as swap | | | > referred to as ad0s2b | | | | | :-----------------: ==: | Partition c, no | | | Partition e, used as /var > file system, all | | > referred to as ad0s2e | of FreeBSD slice, | | | | ad0s2c :-----------------: ==: | | | | | : : | Partition f, used as /usr | : : > referred to as ad0s2f | : : | | | | | | | | --' | `-----------------' --' 文件系统的挂接和卸下 这种文件系统就像一棵树那样用/确立根部， 是比较理想的文件系统。 而/dev、 /usr 和其他目录就是根目录的分枝， 另外这些目录可以再分枝，例如/usr/local。 根文件系统 应该考虑给某些目录一些空间从而分散文件系统。 /var 之下包含目录 log/，目录spool/， 和不同类型的临时文件，很可能把它塞满。 把什么都塞进根文件系统不是一个好主意， 好的做法是应该把 /var 从 /分离出去。 另一个要考虑的是，给物理设备或虚拟磁盘这些自带空间的文件系统确定目录结构树。 例如 网络文件系统 或光驱的挂接。 <filename>fstab</filename> 文件 文件系统 使用fstab的挂接 在 引导过程 期间， 自动挂上/etc/fstab所列出的文件系统。 (除非他们注明为 选项)。 /etc/fstab 文件包含的各行的列表格式如下: device /mount-point fstype options dumpfreq passno device 设备名称(设备必须存在)， 说明在 . mount-point 目录 (目录必须存在)， 用在那个挂接上的文件系统上。 fstype 文件系统类型，请通过&man.mount.8;查阅。 默认的FreeBSD文件系统类型是ufs。 options 设为可读写文件系统的选项， 或设为只读文件系统的选项， 或其他一些选项，可随意选一个。 一个常用的选项 用在不需在引导过程期间挂接的文件系统。 其他的选项在 &man.mount.8; 手册里列出。 dumpfreq &man.dump.8; 使用这项去决定那个文件系统必须移贮。 假如缺少这项，默认的数值为0。 passno 这一项决定文件系统的检查顺序， 文件系统想跳过检查应将passno设为0。 根文件系统(那个是在每方面开始之前必须检查的) 应该将它的 passno 设为1， 其他文件系统的 passno 必须把数值设到大于1。假如多个文件系统的passno的值相同， 那么 &man.fsck.8; 在允许的情况下将尝试并行地去检查文件系统。 请参阅 &man.fstab.5; 联机手册， 以获得关于 /etc/fstab 文件格式， 以及其中所包含的选项的进一步信息。 <command>mount</command> 命令 文件系统 挂接 这个 &man.mount.8; 命令是挂接文件系统的基本运用。 使用最多的基本格式: &prompt.root; mount device mountpoint 它的选项非常多，而&man.mount.8; 手册同样提及， 但常用的都在这里: 挂接的各种选项 挂接/etc/fstab里所有列出的文件系统。 除非标记为 noauto 或作了排除在外的 类型标记，或者在这之前已挂上。 除了实际上系统调用以外，可以完成任何事情，这个选项是和 参数一起连在一块使用，可以决定&man.mount.8;所做的事情。 强制去挂接一个未知的文件系统(会有危险)， 或当把一个文件系统挂接状态由可读写降为只读时，强制撤消可写通道。 以只读方式挂接文件系统。 这和在指定了 选项配合 (对于 &os; 5.2 之前的版本来说， 则是 ) 参数的效果是一样的。 fstype 根据给出的文件系统类型挂接文件系统， 假如给于选项，仅挂接这个类型的文件系统。 ufs 是默认的文件系统类型。 在文件系统上修改挂接选项。 版本模式。 以可读写方式挂接文件系统。 The 选项采用一个逗号分开以下多个选项: noexec 不允许文件系统上的二进制程序执行。这也是一个有用的安全选项。 nosuid 不允许文件系统上的 setuid 或 setgid 标记生效。这也是一个有用的安全选项。 <command>umount</command> 命令 文件系统 卸下 &man.umount.8; 命令同样采用一个参数、一个挂接点、一个设备名。 或采用选项，又或采用选项。 所有格式都可采用 去强行卸下， 或采用 用那适当的版本。 但警告，采用 并不是一个好主意， 强行卸下文件系统可能损坏计算机或破坏文件系统上的数据。 和 会卸下所有已挂接的文件系， 可能通过后面列出的文件系统进行修改， 但无论如何，都不会尝试去卸下根文件系统。 进程 FreeBSD 是一个多任务操作系统。 这就意味着好像一次可以运行一个以上的程序。 每个占用一定时间运行的程序就叫 进程 (process)。 你运行的每一个命令会至少启动一个新进程，还有很多一直运行着的系统进程， 用以维持系统的正常运作。 每个进程用来标识的一个编号就叫 进程 ID， 或叫 PID。 而且，就像文件那样，每个进程也有所属用户和所属群体。 所属用户和所属群体使用在这方面:确定这个进程可以打开那些文件和那些设备， 从而在初期使用文件的权限。 多数的进程都有一个父进程， 而进程是依靠父进程来启动的。 例如，假如您把命令输入到shell里那shell是一个进程，而您运行的各个命令同样是进程， 那么，shell就是您各个运行进程的父进程。 而这方面有一个例外的进程就叫&man.init.8;。 init始终是首个进程,，所以他的PID始终是1， 而init在FreeBSD起动时由内核自动启动。 在系统上，有两个命令对进程观察非常有用:&man.ps.1; 和 &man.top.1;。 这个ps命令作用是观察当前运行进程的状态， 显示他们的PID，使用了多少内存，它们启动的命令行。 而top命令则是显示所有运行进程，并在以秒计的短时内更新数据。 您能交互式的观察您计算机的工作。 默认情况下， ps仅显示出您自己所运行的命令。 例如: &prompt.user; ps PID TT STAT TIME COMMAND 298 p0 Ss 0:01.10 tcsh 7078 p0 S 2:40.88 xemacs mdoc.xsl (xemacs-21.1.14) 37393 p0 I 0:03.11 xemacs freebsd.dsl (xemacs-21.1.14) 48630 p0 S 2:50.89 /usr/local/lib/netscape-linux/navigator-linux-4.77.bi 48730 p0 IW 0:00.00 (dns helper) (navigator-linux-) 72210 p0 R+ 0:00.00 ps 390 p1 Is 0:01.14 tcsh 7059 p2 Is+ 1:36.18 /usr/local/bin/mutt -y 6688 p3 IWs 0:00.00 tcsh 10735 p4 IWs 0:00.00 tcsh 20256 p5 IWs 0:00.00 tcsh 262 v0 IWs 0:00.00 -tcsh (tcsh) 270 v0 IW+ 0:00.00 /bin/sh /usr/X11R6/bin/startx -- -bpp 16 280 v0 IW+ 0:00.00 xinit /home/nik/.xinitrc -- -bpp 16 284 v0 IW 0:00.00 /bin/sh /home/nik/.xinitrc 285 v0 S 0:38.45 /usr/X11R6/bin/sawfish 在这个例子里您可看到，从 &man.ps.1; 输出的每一列是有规律的。 PID 就是进程ID，这个较早前已讨论过了。 PID号的分配由 1一直上升直到99999， 当您运行到超过限制时，这些编号会回转分配 (仍在使用中的 PID 不会分配给其他进程)。 TT这一列显示了程序运行所在的终端， 目前可以安全地忽略。 STAT 显示程序的状态，也可以安全地被忽略。 TIME是程序在CPU处理时间—运行的时间量， 并不是指您程序启动到现在的所用的时间。 许多程序碰巧遇到某方面在他们之前要花费大量CPU处理时间时，他们就必须等候。 最后， COMMAND 是运行程序时使所用的命令行。 &man.ps.1;支持使用各种选项去改变显示出来的内容， 最有用的一个就是auxww。 选项显示出所有运行进程的内容， 而不仅仅是您的进程。 选项显示出进程所归属的用户名字以及内存使用， 选项显示出后台进程。 而 选项表示为 &man.ps.1; 把每个进程的整个命令行全部显示完， 而不是由于命令行过长就把它从屏幕上截去。 下面和从&man.top.1;输出是类似的，一个示例式对话就象这样子: &prompt.user; top last pid: 72257; load averages: 0.13, 0.09, 0.03 up 0+13:38:33 22:39:10 47 processes: 1 running, 46 sleeping CPU states: 12.6% user, 0.0% nice, 7.8% system, 0.0% interrupt, 79.7% idle Mem: 36M Active, 5256K Inact, 13M Wired, 6312K Cache, 15M Buf, 408K Free Swap: 256M Total, 38M Used, 217M Free, 15% Inuse PID USERNAME PRI NICE SIZE RES STATE TIME WCPU CPU COMMAND 72257 nik 28 0 1960K 1044K RUN 0:00 14.86% 1.42% top 7078 nik 2 0 15280K 10960K select 2:54 0.88% 0.88% xemacs-21.1.14 281 nik 2 0 18636K 7112K select 5:36 0.73% 0.73% XF86_SVGA 296 nik 2 0 3240K 1644K select 0:12 0.05% 0.05% xterm 48630 nik 2 0 29816K 9148K select 3:18 0.00% 0.00% navigator-linu 175 root 2 0 924K 252K select 1:41 0.00% 0.00% syslogd 7059 nik 2 0 7260K 4644K poll 1:38 0.00% 0.00% mutt ... 这个输出分成两部份。 前面部份(起始前五行) 显示了:运行于最后进程的PID、 系统负载均衡 (那个是指系统繁忙时的调节方式)、 系统正常运行时间 ( 指从启动算起所用的时间) 和当前时间。 前面部份另外的图表 涉及:多少进程在运行(这个情况是47)， 多少内存和多少交换分区在使用， 和在不同CPU状态里系统消耗多少时间。 在那下面一连串的纵列和从&man.ps.1;输出的的内存是相似的。 如以前&man.ps.1;一样，您能见到:PID、用户名、CPU处理时间合计、运行的命令。 &man.top.1;默认是显示您的进程所用内存空间的合计。 内存空间这里分成两列，一列为总体大小，另一列是必须请求驻留大小是多少内存—总体大小。 而驻留大小实际上是瞬间使用的多少。 在以上那个例子，您会看到那&netscape;总计需要30 MB内存， 但实际只用了9 MB。 &man.top.1; 每两秒自动刷新一次，您可以用改变刷新的秒数。 守护进程，信号和杀死进程 当您运行一个编辑器时它是很容易控制的，告诉它去加载文件它就加载。 您之所以能这样做，是因为编辑器提供这样便利去这样做，和因为有编辑器去附上的终端。 一些程序在运行中不需要连续的用户输入，一有机会就从终端里分离到后台去。 例如，一个web系统整天都在作web请求的响应，他不需要您输入任何东西就能完成， 这个类别的另一个例子就是把email的传送。 我们把那些程序叫 守护进程。 守护神是希腊神话中的一些人物，非正非邪，他们是些守护小精灵， 大体上为人类作出贡献。 许多类似web服务或mail服务的系统对于今天仍有用途， 这就是为什么在那么长的时间里，BSD的吉祥物保持为一双鞋加一把钢叉的守护神模样。 守护进程的程序命名通常在最后加一个 d。 BIND 是伯克利互联网域名服务 (而实际执行的程序名称则是 named)， Apache web系统的程序就叫 httpd， 在行式打印机上的打印守护进程就是 lpd。 这只是一种惯例，不是标准或硬性规定。 例如，为Sendmail而应用的主要mail守护进程就叫sendmail， 却不叫maild，这和您推测的一样。 有时可能会需要与守护进程进行通讯。 而 信号 则是其中的一种通讯机制。 可以发送信号给守护进程 (或相关的另一些进程) 来与它进行通信， 不同的信号都有自己的数字编号—其中一些有特殊的含义， 其它的则可以被应用程序自己进行解释， 而一般来说， 应用程序的文档会告诉哪些信号会被如何处理。 您只能给所属于您的进程发信号，假如您给其他人的进程发信号， 进程就会用&man.kill.1; 或 &man.kill.2;权限进行拒绝。 当然,root 用户会例外，它能把各种信号发送给每个进程。 在某些情况下，FreeBSD也会向应用软件发送信号。 假如一个应用软件含有恶意写入并试图去访问内存，那是不可想象的，FreeBSD会向那个进程发送 段式违规 信号 (SIGSEGV)。 假如一个应用软件使用&man.alarm.3;系统去进行周期性调用闹钟功能，每当达到时间时， FreeBSD会向应用软件发送闹钟信号(SIGALRM)。 有两个信号可以停止进程:SIGTERM 和 SIGKILL。 SIGTERM比较友好，进程能捕捉这个信号， 根据您的需要来关闭程序。在关闭程序之前，您可以结束打开的记录文件和完成正在做的任务。 在某些情况下， 假如进程正在进行作业而且不能中断，那么进程可以忽略这个 SIGTERM信号。 对于SIGKILL信号，进程是不能忽略的。 这是一个 '我不管您在做什么,立刻停止'的信号。 假如您发送SIGKILL信号给进程， FreeBSD就将进程停止在那里。 有点不正确—少数的东西是不能中断的。 例如， 假如进程试图读取网络上另一计算机上的文件， 而那个的计算机会因为某些原因拿走了这个文件， 那这个进程从上述情况来看是 不能中断。 最终这个进程会超时，典型的两分钟。一出现超时进程将被杀死。 . 您可能会去使用 SIGHUP、 SIGUSR1 和 SIGUSR2信号。 这都是些通用的信号，各种应用程序都可以应用 在各方面的信号发送。 假如您改变了web系统的配置文件—并想web系统去重读它的配置， 您可以停止然后再启动httpd。但这样做web系统会导致一个短暂 的中断周期，那样是不受欢迎的。几乎所有的守护进程在编写时，都会指定对SIGHUP 信号进行响应从而重读配置文件。 所以， 最好的方法， 就不是杀死并重启 httpd， 而是发一个 SIGHUP 信号给它。 因为在这方面没有一个标准，不同的守护进程有不同的用法，所以不了解时应读一下守护进程的文档。 发送信号可用&man.kill.1; 命令， 请参考&man.kill.1;所列出的例子。 发送一个信号给进程 这个例子显示了怎样去发一个信号给&man.inetd.8;。 inetd配置文件是/etc/inetd.conf， 如果想inetd 去重读文件系统的话，可以给它发一个SIGHUP 信号。 寻找您要发送信号的进程ID，可以用&man.ps.1; 加 &man.grep.1;来完成。 &man.grep.1;命令被用在搜索输出方面，搜索您指定的字符串。 这命令是由普通用户来执行的，而&man.inetd.8;是root用户运行的， 所以必须给&man.ps.1;带上选项。 &prompt.user; ps -ax | grep inetd 198 ?? IWs 0:00.00 inetd -wW 得出 &man.inetd.8; PID号是198。 有时 grep inetd 命令也出现在输出中， 这是因为在这方面 &man.ps.1; 也是寻找列表中运行进程。 使用 &man.kill.1; 去发送信号。 因为 &man.inetd.8; 是由 root启动的， 您必须使用 &man.su.1; 去 变为 root 用户。 &prompt.user; su Password: &prompt.root; /bin/kill -s HUP 198 和大多数 &unix; 命令一样， &man.kill.1; 如果完成了任务, 就不会给出任何消息。 假如您发送信号给一个不属于您的进程， 您会看到 kill: PID: Operation not permitted. 假如输错了PID号，把信号发送到其他进程，那是坏事。 或者您侥幸，把信号发送到不存在的进程， 您会看见 kill: PID: No such process. 为什么使用 <command>/bin/kill</command>? 许多shell提供了内建 kill 命令， 这样， shell就能直接发送信号，而不是运行 /bin/kill。 这点非常有用， 但不同shell有不同的语法来指定发送信号的名字， 与其试图把它们学完倒不如简单地直接使用 /bin/kill ...。 发送其他的信号也很相似， 只要在命令行替换 TERM 或 KILL 就行了。 在系统上随意杀死进程是个坏主意，特别是&man.init.8;， 它的进程ID是1，它非常特殊。可以运行 /bin/kill -s KILL 1 命令来让系统迅速关机。 当您按下 Return （回车）键之前， 一定要 详细检查您运行 &man.kill.1; 时所指定的参数。 Shells shells 命令行 在FreeBSD里，每日有一大堆工作是在命令行的界面完成的,那就叫做shell。 一个shell的主要功能就是从输入取得命令然后去执行他。 许多的shell同样能帮我们完成内建的每日功能，例如:文件管理、文件寻找、命令行编辑、 宏指令和环境变量。FreeBSD内含了一些shell，例如:sh、Bourne Shell、 tcsh和改良过的C-shell。 另外也有些shell也可在FreeBSD的Ports得到，例如:zsh和bash。 您想使用哪一种shell取决于您的喜好， 假如您是C程序设计师，您可能选择一个C-like shell例如tcsh。 假如您是从Linux过来的或是一个命令行的新手，您可能会试一下bash。 这一点告诉我们每一个shell都有各自的特性，可能适用于您的工作环境，也可能不适用于您的工作环境。 每个shell都有一个共通点就是文件名补全。 输入命令或文件名的前几个字，然后按Tab键，就能靠shell的自动补全功能得出 命令或文件名。这里有一个例子，假设您有两个文件叫 foobar 和foo.bar，而您想删除 foo.bar， 可这样在键盘上输入 rm fo[Tab].[Tab]。 那么shell就会输出 rm foo[BEEP].bar。 这个[BEEP] 是这控制台铃声， 那个是告诉我们它不能完成文件名补全，因为有多个文件名符合。 foobar 和 foo.bar 都是以 fo开头， 它只可以补全到 foo。 输入 .并再按一次 Tab，shell才把其余的文件名全部显示出来。 环境变量 另一个特点就是shell利用环境变量运行。环境变量是贮存在shell环境空间上相对应的键和可变值， 这个空间能够补程序从shell里读出，而且包含了许多程序的配置。 这个一个常用环境变量列和其含义的列表： environment variables (环境变量) 变量 说明 USER 当前登录进入的用户名。 PATH 搜索程序路径，以两点的冒号分隔开。 DISPLAY 假如有这个变量的话，就是X11显示器的网络名称。 SHELL 当前所用的shell。 TERM 用户终端的名字，通常用在确定终端的能力。 TERMCAP 各种终端功能所用终端分离编码的基本数据项目。 OSTYPE 操作系统类型，默认是FreeBSD。 MACHTYPE 是指系统上运行的CPU体系结构。 EDITOR 用户首选的文本编辑器。 PAGER 用户首选的文本页面调度程序 。 MANPATH 搜索联机手册路径，以两点的冒号分隔开。 Bourne shells 不同的shell设置环境变量也不相同。举个例子， 在如tcsh 和 csh这样的C-Style shell， 您必须使用setenv去设置环境变量。 而在如sh和bash这样的Bourne shell， 您必须使用export去设置当前环境变量。 再举个例子，要去设置或改变EDITOR环境变量， 在csh或tcsh下将EDITOR设为 /usr/local/bin/emacs: &prompt.user; setenv EDITOR /usr/local/bin/emacs 而在Bourne shell下，则是: &prompt.user; export EDITOR="/usr/local/bin/emacs" 您也可以在命令行上加一个$字符在变量之前从而取得环境变量。 举个例子，用echo $TERM 就会显示出$TERM的设定值， 其实就是shell取得$TERM并传给echo来显示的。 shell里有许多特别的字符代表着特别的资料，我们把叫做meta-characters。 最常用的就是*字符，它可代表文件名的任何字符。 这些特别字符应用到文件名全域方面。假如，输入 echo *和输入 ls的效果是相同的，其实就是 shell 取得了全部符合 *的文件名，并传给 echo 在命令行下显示出来。 为了防止shell去分析这些特别字符， 我们可在它之前加一个 \字符去说明它只是普通字符。 echo $TERM就会显示出您的终端情况， 而 echo \$TERM 就会显示出 $TERM 这几个字。 改变您用的Shell 改变您的Shell的最简单方法是使用 chsh 命令。 执行 chsh 将根据您设定的EDITOR 环境变量进入到那个编辑器，假如没有设定，就会进入vi编辑器。 请改变Shell:这行对应值。 您可使用chsh 的选项， 这样就能设置您的shell却又不用编辑器。假如您想把shell改为bash 可用下面的技巧。 &prompt.user; chsh -s /usr/local/bin/bash 您使用的shells必须 在/etc/shells 文件里列出。 假如您从 ports里装一个shell， 那就不用做这步了。 假如您手工装一个shell，那就要手工添加进去。 举个例了子，假如您手工把 bash装到 /usr/local/bin里，您还要进行这一步: &prompt.root; echo "/usr/local/bin/bash" >> /etc/shells 然后运行chsh。 文本编辑器 文本编辑器 编辑器 FreeBSD 的很多配置都可以通过编辑文本文件来完成。 因此， 最好能熟悉某种文本编辑器。 FreeBSD 基本系统中提供了一些， 您也可以从 Ports Collection 安装其它编辑器。 ee editors ee 最容易学的而又简单的编辑器是 ee编辑器， 是个标准的简易编辑器。 要启动 ee，首先就要在命令行输入 ee filename， filename 是一个要编辑的文件名。 例如，要编辑 /etc/rc.conf就要输入 ee /etc/rc.conf，在 ee的控制内， 编辑器所有功能的操作方法都显示在最上方。 这个^ 字符代表 键盘上的Ctrl 键， 所以^e 就是 Ctrle组合键。 假如想离开ee， 按Esc键，就可选择离开编辑器。 当您修改了内容的时候，编辑器会提示您保存。 vi 编辑器 vi emacs 编辑器 emacs FreeBSD本身也带许可多有强大功能的文本编辑器， 例如 vi。还有其他在FreeBSD Ports里几种， 像 emacs 和 vim。 这些编辑器有着强大的功能，但同时学习起来比较复杂。 不管怎样，假如您从事文字编辑方面的工作， 学习如vim 或 emacs 这些有强大功能的编辑器用法， 在长时间工作里会帮您节省不少的时间。 设备和设备节点 在一个系统里，硬件描述通常用法就是一个设备对应一个术语，包括磁盘、打印机、显卡和键盘。 当 FreeBSD 启动过程中，大多数的设备都能探测到并显示出来， 您也可以查阅/var/run/dmesg.boot， 引导时所有信息都在里面。 例如， acd0 就是 首个 IDE 光盘设备， 而 kbd0 则代表键盘。 在&unix;操作系统里，大多数设备存在的特殊访问文件就是叫做设备节点， 他们都定位在/dev目录里。 建立设备节点 当在系统中添加新设备或将附加设备的支持编译进内核之后， 都必须为其建立设备节点。 <literal>DEVFS</literal> (DEVice 文件系统) 这个设备文件系统， 或叫 DEVFS， 为内核的设备命名在整体文件系统命名里提供通道， 并不是建立或更改设备节点， DEVFS只是为您的特别文件系统进行维护。 请参见 &man.devfs.5; 联机手册以了解更多细节。 二进制文件格式 要理解为什么 &os; 使用 &man.elf.5; 格式， 您必须首先了解一些 &unix; 系统中的 三种 主要 可执行文件格式的有关知识： &man.a.out.5; 是最古老和经典的 &unix; 目标文件格式， 这种格式在其文件的开始处有一个短小而又紧凑的首部， 该首部带有一个魔幻数字，用来标识具体的格式(更多详情参见&man.a.out.5;)。 这种格式包含3个要装载入内存的段：.text， .data， 和 .bss，以及 一个符号表和一个字符串表。 COFF SVR3目标文件格式。其文件头现在包括一个区段表(section table)， 因此除了.text，.data，和.bss区段以外，您还可以包含其它的区段。 &man.elf.5; COFF 的后继， 其特点是可以有多个区段， 并可以使用32位或64位的值。 它有一个主要的缺点： ELF 在其设计时假设每个系统体系结构只有一种 ABI。 这种假设事实上相当错误， 甚至在商业化的SYSV世界中都是错误的 (它们至少有三种ABI: SVR4, Solaris, SCO)。 FreeBSD试图在某种程度上解决这个问题，它提供一个工具，可以 对一个已知的ELF可执行文件 标识它所遵从的ABI的信息。 更多这方面的知识可以参见手册页&man.brandelf.1; FreeBSD从经典阵营中来，因此使用了&man.a.out.5;格式， 众多BSD版本的发行(直到3.X分支的开始)也证明了这种格式的有效性。 虽然在那以前的某段时间，在FreeBSD系统上创建和运行ELF格式 的二进制可执行文件(和内核)也是可能的，但FreeBSD一开始并不积极进步 到使用ELF作为其缺省的格式。为什么？噢，当Linux阵营完成了 转换到ELF格式的痛苦历程后，却发现并不足以由此而放弃 a.out可执行文件格式，因为正是由于它们不灵活的， 基于跳转表的共享库机制，使得销售商和开发者们构建共享库非常困难。 直到已有的ELF工具提供了一种解决共享库问题的办法， 并被普遍认为是前进方向以后，迁徙的代价在FreeBSD界才被接受， 并由此完成了迁徙。FreeBSD的共享库机制其基础更类似于Sun &sunos;的共享库机制， 并且正因为此，其易用性很好。 那么，为什么会有这么多不同的格式呢？ 回溯到蒙昧和黑暗的过去，那时只有简单的硬件。这种简单的硬件支撑了一个简单 和小型的系统。在这样的简单系统上(PDP-11)a.out格式 足以胜任表达二进制文件的任务。当人们将&unix;从这种简单的系统中移植出来的时候， a.out格式被保留了下来，因为对于早期将&unix移植到 Motorola 68k，VAXen等系统来说，它还是足够可用的。 然后，一些聪明的硬件工程师认为，如果可以让软件完成一些简单的聪明操作， 那么他们就可以在硬件设计中减少若干门电路，并可以让CPU核心运行得更快。 当a.out格式用于这种新型的硬件系统时(现在我们叫它 RISC)，显得并不合适。因此，人们设计了许多新的格式 以便在这样的硬件系统上能获得比简单的a.out格式更优越 的性能。诸如COFF，ECOFF，还有其它 一些晦涩难懂的格式正是在这个阶段被发明出来的，人们也研究了这些格式的局限性， 慢慢地最终落实到ELF格式。 同时，程序的大小变得越来越大，磁盘空间(以及物理内存)相对来说却仍然较小， 因此共享库的概念便产生了。VM系统也变得越来越复杂了。当所有这些进步都建立在 a.out格式的基础上的时候，它的可用性随着每个新特性 的产生就受到了严重考验。并且，人们还希望可以在运行时动态装载某些东西，或者 在初始化代码运行以后可以丢弃部分程序代码，以便节约主存储器和交换区。编程语言 也变得越来越复杂，人们希望可以在main()函数执行之前自动执行某些代码。为了实现 所有这些功能，人们对a.out格式作了很多改动(hack)， 他们在某个阶段里基本也是可行的。随着时间的推移，a.out格式 不得不增加大量的代码和复杂度来满足这些需求。虽然ELF格式 解决了许多这样的问题，但是从一个可用的系统迁移到另一个系统却是痛苦的。因此 直到继续保留a.out格式的代价比迁移到ELF格式 的代价还大的时候，人们才会最终转换到ELF格式。 然而，随着时间的推移，FreeBSD系统本身的编译工具(特别是汇编器和装载器) 赖以派生的编译工具，其发展却形成了两个平行的分支。FreeBSD这个分支增加了共享库， 并修改了一些错误。而原先编写了这些工具的GNU人则重写了这些工具，并对交叉编译提供了 更简化的支持，还随意插入了不同格式的支持，等等。虽然很多人希望创建针对FreeBSD的 交叉编译器，但他们却并未如愿以偿，因为FreeBSD的as 和ld的源代码更为老旧，所以无法完成这个任务。 新的GNU工具链(binutils)则确实支持交叉编译，ELF 格式，共享库，C++扩展，等等。并且，由于很多供应商都发布ELF格式的 二进制文件，因而让FreeBSD能够运行它们将是一个很好的事情。 ELF格式比a.out格式开销要大些，同时也 允许基础系统有更好的扩展性。ELF格式的有关工具有着更好的维护， 并且提供交叉编译支持，这对许多人来说是很重要的。ELF格式可能会稍微 慢一些，但很难测量出来。另外，在这两者之间，有许多细节也是不同的，比如它们映射页面的方式， 处理初始化代码的方式，等等。所有这些都不太重要，但这也确实是不同之处。在将来的适当时候， GENERIC内核将不再支持a.out格式，并且， 当不再需要运行遗留的a.out格式程序时，内核也将不再提供对其的支持。 取得更多的资讯 联机手册 联机手册 最详细的使用说明文档莫过于 FreeBSD 里的联机手册了。 几乎每一个程序都会附上一份简短说明， 以介绍这个程序的的基本功能以及参数的用法。 我们能通过 man 命令来阅读这些说明， 而使用 man 命令却是简单的事情: &prompt.user; man command command 就是您要了解的命令命称。 举个例子，想了解 ls 命令就输入: &prompt.user; man ls 这些在线手册分下列章节: 用户命令。 系统调用以及错误代码。 C 库文件里的函数说明。 设备驱动程序。 文件格式。 游戏以及其他娱乐。 各种资讯。 系统维护以及命令。 内核开发情况。 在某些情况下，同样的主题也会出现在在线手册的不同章节。 举个例子，系统里有chmod这个用户命令，而又有个 chmod() 系统调用。 在这种情形下，您应当向 man 命令指定需要的内容: &prompt.user; man 1 chmod 这样就会显示出手册里的用户 chmod 命令。 传统上，我们在写入文档时把特定详细参考内容在在线手册括号里注明。 所以 &man.chmod.1; 是指 chmod 用户命令， 而 &man.chmod.2; 是指系统调用。 如果您已经知道命令的名字，只是不知道要怎样使用的话，那就比较好办。 但您连名字都不知道呢?这个时候您就可以利用 man 的搜寻功能， 它会在手册的介绍部份找寻您要搜寻的关键字，它的选项是 ： &prompt.user; man -k mail 当您使用这个命令的时候，man会把介绍里含有mail关键字 的命令列出来，实际上这和apropos命令的功能是相同的。 有时您会看到/usr/bin 下有许多命令但不知他们的用途， 您只需这样做: &prompt.user; cd /usr/bin &prompt.user; man -f * 或者这样做 &prompt.user; cd /usr/bin &prompt.user; whatis * 两个命令是一样的。 GNU Info 文件 Free软件基金会 FreeBSD许多应用软件以及实用工具来自Free软件基金会(FSF)。 作为手册的扩充，这些程序提供了一种更具有活力的超文档说明info， 您可用info命令来阅读他们。 假如您装上emacs，也能利用emacs 的info模式来阅读。 使用 &man.info.1; 这个命令只需简单地输入: &prompt.user; info 想得到简单介绍， 请按 h。 想快速得到的命令说明， 请按 ?。 diff --git a/zh_CN.GB2312/books/handbook/boot/chapter.sgml b/zh_CN.GB2312/books/handbook/boot/chapter.sgml index e58a1aeae7..faeb9af59f 100644 --- a/zh_CN.GB2312/books/handbook/boot/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/boot/chapter.sgml @@ -1,720 +1,720 @@ FreeBSD 引导过程 概述 引导 启动电脑以及加载操作系统的过程被称为引导过程， 或者简称为引导。 FreeBSD 的引导过程给用户自定义启动提供了很大的伸缩性， 您可以选择启动不同的操作系统，或者是同一系统的不同版本及内核。 本章将详细介绍您能在 FreeBSD 引导过程中设置的配置选项。 这包括了引导内核、探测设备并启动 &man.init.8; 等等之前所发生的所有事情。 这些事项一般发生在文本由白变灰时。 读完这章您将会知道： FreeBSD 引导系统里的各项组件， 以及它们之间的交互方式. 在 FreeBSD 引导时给各组件配置选项以控制引导过程。 &man.device.hints.5;的基本知识。 只适用于x86 本章只描述了运行于 Intel x86 体系之上的 FreeBSD 的引导过程。 引导问题 启动电脑及启动和引导操作系统构成了一个有趣的两难境地。 按照定义在操作系统被启动之前计算机是无法完成任何任务的，包括运行磁盘上的程序。 如果计算机在没有操作系统的情况下不能运行来自于磁盘上的程序而操作系统又是放在磁盘上的， 那操作系统是如何启动的呢？ 在 Munchausen男爵历险记 (The Adventures of Baron Munchausen) 这本书中有一个和这个过程类似的故事， 一个人掉到了下水管道里， 然后靠着拉自己的靴襻 (bootstrap) 克服重重困难爬了出来。 在早期文献中， 多以术语 bootstrap 来指代操作系统的加载机制， 如今它逐渐被简写为 booting。 BIOS 基本输入/输出系统BIOS 在 x86 硬件体系中，基本输入/输出系统 (BIOS) 负责加载操作系统， 为了做到这一点，BIOS 在磁盘上寻找主引导记录 (MBR)，而 MBR 必须在放置的磁盘的特定位置。BIOS 有足够的能力来读入和运行 MBR， 且假使地认为 MBR 能完成加载操作系统的剩余任务， MBR可能需要BIOS的帮助。 Master Boot Record (MBR) Boot Manager Boot Loader 在MBR中的代码通常被提为引导管理器， 尤其是与用户交互的那类。这一类引导器通常有更多代码位于磁盘第一 轨道或在操作系统的文件系统中。 (引导管理器有时也被称为boot loader， 但是FreeBSD对后面的引导阶段才使用这个术语。) 流行的引导管理器包括boot0(亦称Boot Easy，标准的 &os; 引导管理器)、 Grub、GAG，以及 LILO。 (只有boot0能装得进MBR。) 如果您只安装了一个操作系统，那么一个标准的 MBR 就足够了。 这个 MBR 先在磁盘上搜索可引导的(亦称“活动的”)分区， 然后运行分区上的代码以加载操作系统的其它部分。 MBR由&man.fdisk.8;安装，是一个缺省的MBR。相关文件为 /boot/mbr。 如果您在磁盘上安装了多个操作系统那么您可以安装一个不同的 引导管理器，它能显示一张操作系统的列表，您能从中选择启动哪个。 这样的两种引导器将在下一小节中讨论。 启动系统的剩余部分被分为三个阶段。第一阶段由 MBR 执行,它只是使计算机进入特定的状态然后执行第二阶段。 第二阶段稍微干得多一些。第三阶段完成加载操作系统的任务。 工作被分为三个阶段是因为 PC 标准对第一第二阶段执行的程序的大小有所限制。 把这些任务连在一起使得 FreeBSD 可以提供更大伸缩性的加载器 (loader)。 内核 init 然后内核启动，它开始探测设备并初始化它们。 一旦内核引导进程完成任务，内核将控制权交给用户进程 &man.init.8;， 它确认磁盘是否处于可用状态。&man.init.8; 然后开始用户级资源配置： 加载文件系统启动网卡，及粗略地启动所有 FreeBSD 系统加载时经常运行的进程。 引导管理器和各引导阶段 Boot Manager The Boot Manager 主引导记录 (MBR) 在MBR或引导管理器中的代码有时被提为引导过程的 - 阶段0。这一小节半夜前面提到引导器中的两种： + 阶段0。这一小节便是前面提到引导器中的两种： boot0和LILO。 <application>boot0</application>引导管理器： 由 FreeBSD 的安装程序以及 boot0cfg(8) 所安装的 MBR， 默认基于 /boot/boot0。 (程序boot0非常简单， 由于在MBR中的程序只能有446字节长， 分区表和MBR末端的0x55AA标识也要挤占一些空间。) 如果你已经安装boot0 并且有多个操作系统在你的硬盘上， 那么你如果您安装了 FreeBSD MBR 而且安装了多个操作系统， 则会在系统启动时看到类似下面的提示： <filename>boot0</filename> 截屏 F1 DOS F2 FreeBSD F3 Linux F4 ?? F5 Drive 1 Default: F2 目前已经知道一些其它操作系统，特别是 &windows; ， 会以自己的 MBR 覆盖现有 MBR。 如果发生了这种事情， 或者您想用 FreeBSD 的 MBR 覆盖现有的 MBR，您可以使用以下的命令： &prompt.root; fdisk -B -b /boot/boot0 device device 是要写入 MBR 的设备名，比如 ad0 代表第一个 IDE 磁盘，ad2 代表第二个 IDE 控制器上的第一个 IDE 磁盘， da0 代表第一个 SCSI 磁盘，等等。 抑或，如果你需要一个自行配置的MBR，请使用&man.boot0cfg.8;。 The LILO Boot Manager: 要想安装这个引导管理器并也用来引导FreeBSD， 首先启动Linux，并将以下选项加入到已有的配置文件 /etc/lilo.conf： other=/dev/hdXY table=/dev/hdX loader=/boot/chain.b label=FreeBSD 在上面的内容里，使用Linux的标示符指定了FreeBSD的主分区和驱动器， 将X替换为Linux驱动器字母， 将Y替换为Linux主分区号。 如果您使用的是 SCSI 驱动器，您需要将 /dev/hd 改成 /dev/sd， 这里再次使用了 XY 的语法。 如果您安装的两个系统在同一驱动器上， 选项可以去掉。现在您可以执行 /sbin/lilo -v 使修改生效；应检查屏幕上的消息确认修改。 第一阶段，<filename>/boot/boot1</filename>，和第二阶段， <filename>/boot/boot2</filename> 概念上，第一，第二阶段同属于一个程序，处于磁盘的相同区域。但由于空间限制， 它们被分为两部分。可是您总是会一起安装它们。它们由安装器或 bsdlabel(见下文)复制自被组合而成的 /boot/boot。 它们位于文件系统外，引导分区的第一轨道，从第一扇区开始。在这里boot0，或者任何其它引导管理器， 期望找到一个程序运行，继续引导进程。 所使用的扇区数可由/boot/boot的大小确定。 boot1 非常简单，因为它再多也只能有 512 字节， 只能识别储存着分区信息的 bsdlabel， 及寻找执行 boot2。 boot2 稍微有点加强，能够理解 FreeBSD 的文件系统以便于寻找里面的文件， 能提供选择内核和加载器的简单界面。 因为 loader 有着更强的功能， 提供了一套易于使用的引导配置，boot2 一般都执行 loader， 但以前它的任务是直接运行内核。 <filename>boot2</filename> 的屏幕输出 >> FreeBSD/i386 BOOT Default: 0:ad(0,a)/boot/loader boot: 如果您要更改已安装的 boot1 和 boot2，请使用命令 &man.bsdlabel.8;。 &prompt.root; bsdlabel -B diskslice diskslice 是用于引导的磁盘和分区， 比如 ad0s1 代表第一个 IDE 磁盘上的第一个分区。 dangerously dedicated 如果您在 &man.bsdlabel.8; 命令中只使用了磁盘名，比如 ad0，就会破坏磁盘上的所有分区。 这当然不是您所希望的，所以在按下 回车 之前 一定要对命令进行多次确认。 第三阶段，<filename>/boot/loader</filename> boot-loader 加载器 (loader) 是三个阶段中的最后阶段， 且是放置在文件系统之中的，一般是文件 /boot/loader。 loader 被作为一种友好的配置方式，使用了一组内建且易用的命令集。 这些命令由一个强大的多的解释器支持构建，其本身带有复杂得多的命令集。 Loader 程序流程 初始时，loader 会探测控制台和磁盘，识别是从哪块盘引导的。 它会根据这些信息设置变量， 启动解释器以接受通过脚本或交互方式传来的用户命令。 loader loader 配置 loader 然后会读取并运行 /boot/loader.rc， 默认地读取 /boot/defaults/loader.conf 以设置可靠的默认变量，读取 /boot/loader.conf 对这些变量作本地修改。loader.rc 依据这些变量进行动作，加载任何被选择的模块和内核。 最后，默认地，loader 会停留 10 秒等待按键， 若没有发生中断，就开始引导内核。如果被中断，用户会得到一个命令行提示符， 在这里用户得更改变量、卸载所有模块、加载模块、最后引导 或重新引导。 Loader 内建的命令 这些是最常用的 loader 命令.对所有可用命令的解释请参见 &man.loader.8;。 autobootseconds 在给定的时间内如果没有中断发生就引导内核。它显示一个倒数计时， 默认的时间范围是 10 秒。 boot -options kernelname 立即按照给定的选项 (如果有的话) 和内核名 (如果是内核的) 引导内核。 boot-conf 基于变量对各种模块进行自动配置 (和引导内核时发生的一样)。 您只须记住要先使用 unload 命令， 然后修改一些变量，比如 kernel。 help topic 显示从文件 /boot/loader.help 读取的帮助信息。如果给定的主题是 index， 那么列出来的是所有可用的主题。 include filename … 通过给定的文件名处理文件。文件被读入，然后被一行一行地解释。 任何错误都会立即中止 include 命令。 load type filename 加载内核、内核模块，或者是给定类型的文件 (通过给定的文件名)。 任何在文件名后面的参数都会被传给文件。 ls path 显示给定路径或者是根目录 (如果路径没有指定) 下面的文件列表。 如果指定了 选项，文件大小也会显示。 lsdev 列出所有可以加载模块的设备。 如果指定了 选项，会显示出更多的细节。 lsmod 显示已被加载的模块。如果指明了 选项， 会显示更多的细节。 more filename 显示指定的文件，每隔 LINES 停顿一次。 reboot 立即重启系统。 set variable set variable=value 设置 loader 的环境变量。 unload 移除所有已被加载的模块。 Loader 示例 这里有一些实际中 loader 用法的示例 single-user mode 只是简单的引导默认内核，不同的是进入单用户模式： boot -s 卸载默认内核和模块，然后加载旧的 (或者其它) 的内核： kernel.old unload load kernel.old 您可以使用被称为通用内核的 kernel.GENERIC， 或者您以前安装的内核 kernel.old (当您升级或配置了您自己的内核等时候)。 使用以下命令加载常用的模块和另一个内核： unload set kernel="kernel.old" boot-conf 加载内核配置脚本： load -t userconfig_script /boot/kernel.conf 内核在引导时的交互 内核 引导交互 一旦内核被 loader (一般情况下) 或者 boot2 (越过 loader) 加载， 它将检查引导标志，如果有的话，就会进行必要的动作调整。 内核 引导标志 内核引导标志 这里是一些常用的引导标志： 在内核初始化时，询问作为根加载的设备。 从 CDROM 引导。 运行 UserConfig (引导时的内核配置器) 引导进入单用户模式 在内核引导过程中显示更有的信息 还有更多的引导标志，阅读 &man.boot.8; 以获取有关它们的信息。 Tom Rhodes Contributed by device.hints Device Hints 这是 FreeBSD 5.0 及其以后版本的组件， 不存在于早前的版本中。 在初始化系统启动时，&man.loader.8; 会读取 &man.device.hints.5; 文件。这个文件以变量的形式储存着内核引导信息， 有时被称为 device hints。 设备驱动程序用device hints 对设备进行配置。 Device hints 也可以在 第三阶段的boot loader 的命令行提示符中指定。变量可以用 set 命令添加，unset 命令删除， show 命令查看。在文件 /boot/device.hints 设置的变量亦可以在这里被覆盖。键入 boot loader 中的变量不是永久性的，在下次启动时就会被忘记。 一旦系统引导成功，&man.kenv.1; 命令可以用来清楚所有的变量。 文件 /boot/device.hints 的语法是一行一个变量， 使用#作为注释标记。 每行是按照如下方式组织的： hint.driver.unit.keyword="value" 第三阶段 boot loader 的语法是： set hint.driver.unit.keyword=value driver 是设备驱动程序名，unit 是设备驱动程序单位名，keyword 是 hint 关键字。 关键字可以由以下选项组成： at：指明设备所绑定的总线 port：指明所使用 I/O 的起始地址。 irq：指明所使用的中断请求号。 drq：指明 DMA channel 号。 maddr：指明设备占用的物理内存地址。 flags：给设备设置各种标志位。 disabled：如果设成 1， 设备被禁用。 设备驱动程序能够接受更多的 hints，推荐您参看它们的联机手册。参看 &man.device.hints.5;、&man.kenv.1;、&man.loader.conf.5; 和 &man.loader.8; 联机手册以获取更多的信息。 init Init：进程控制及初始化 一旦内核完成引导，它就把控制权交给了用户进程 &man.init.8;，它放置在 /sbin/init， 或者 init_path 变量指定的程序路径中。 这个变量是在 loader 里面设置的。 自动重启过程 自动重启过程会确认系统中可用的文件系统处于健康的状态。 如果不是， 而且使用 &man.fsck.8; 也无法修复这些问题， &man.init.8; 会进入 单用户模式 以便系统管理员直接修正这些问题。 单用户模式 单用户模式 控制台 此模式可以通过 自动重启过程 或者通过带有 选项的用户引导或通过在 loader 里设置 boot_single 变量等多种方式来达到。 也可以在多用户模式下调动无重启 () 选项和停机 () 选项的 &man.shutdown.8; 命令来进入单用户模式。 如果系统 控制台 在文件 /etc/ttys 中被设置为 不安全(insecure)， 在初始化单用户模式前会出现要求输入 root 密码的命令行提示符。 在 <filename>/etc/ttys</filename> 文件中的不安全控制台 # name getty type status comments # # If console is marked "insecure", then init will ask for the root password # when going to single-user mode. console none unknown off insecure 把控制台设置成 不安全 (insecure) 使只知道 root 密码的人才能进入单用户模式， 因为您认为控制台在物理上是不安全的。因此如果您考虑到安全性， 请选择 不安全 (insecure)，而非 安全 (secure)。 多用户模式 多用户模式 如果 &man.init.8; 发现您的文件系统一切正常，又或者用户在单用户模式完成了工作， 系统就会进入多用户模式，开始系统的资源配置。 rc 文件 资源配置 (rc) 资源配置分别从文件 /etc/defaults/rc.conf、 /etc/rc.conf 中读取默认配置和细节配置， 然后加载在文件 /etc/fstab 中提及的文件系统、 启动网络服务、启动各种系统守护进程，最后启动本地安装包的启动脚本。 &man.rc.8; 联机手册是关于资源配置的很好的参考。 关机 (shutdown) 过程 shutdown 由命令 &man.shutdown.8; 的发起的关机过程中， &man.init.8; 会试着运行 /etc/rc.shutdown 脚本， 给所有进程发送 TERM 信号， 最后给不按时停止的进程发送 KILL 信号。 在支持电源管理的平台上关闭 FreeBSD 系统的电源， 只要简单地使用命令 shutdown -p now 即可。 此外， 可以用命令 shutdown -r now 来重启 FreeBSD。 要执行 &man.shutdown.8; 您必须是 root 用户或 operator 组的成员。 也可以使用 &man.halt.8; 和 &man.reboot.8; 命令来关闭系统， 请参看它们的联机手册以获得更多的信息。 电源管理需要支持， 这要求内核支持 &man.acpi.4; 或以模块形式加载它。 diff --git a/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml b/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml index 57db8b190d..ae52cdb4ff 100644 --- a/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/firewalls/chapter.sgml @@ -1,2990 +1,2990 @@ Joseph J. Barbish Contributed by Brad Davis Converted to SGML and updated by 防火墙 防火墙 安全 防火墙 入门 防火墙的存在， 使得过滤出入系统的数据流成为可能。 防火墙可以使用一组或多组 规则 (rules)， 来检查出入您的网络连接的数据包， 并决定允许或阻止它们通过。 这些规则通常可以检查数据包的某个或某些特征， 这些特征包括， 但不必限于协议类型、 来源或目的主机地址， 以及来源或目的端口。 防火墙可以大幅度地改善主机或网络的安全。 它可以用来完成下面的任务： 保护和隔离应用程序、 服务程序， 以及您内部网络上的机器， 不受那些来自公共的 Internet 网络上您所不希望的数据流量的干扰。 限制或禁止从内部网访问公共的 Internet 上的服务。 支持网络地址转换 (NAT)， 它使得您的内部网络能够使用私有的 IP 地址， 并分享一条通往公共的 Internet 的连接 (使用一个 IP 地址， 或者一组公网地址)。 读完这章， 您将了解： 如何正确地定义包过滤规则。 &os; 中内建的集中防火墙之间的差异。 如何使用和配置 OpenBSD 的 PF 防火墙。 如何使用和配置 IPFILTER。 如何使用和配置 IPFW。 阅读这章之前， 您需要： 理解基本的 &os; 和 Internet 概念。 防火墙的概念 防火墙/primary> 规则集 建立防火墙规则集的基本方法有两种： 包容式的 或 排斥式的。 排斥式的防火墙， 允许除了禁止的那些数据之外的所有网络流量通过。 包容式的防火墙正好相反。 后者只允许符合规则的流量通过， 而其他所有的流量都被阻止。 包容式防火墙一般说来要比排斥式防火墙安全， 因为他们显著地降低了由于允许不希望的网络流量通过所带来的风险。 如果使用了 带状态功能的防火墙 (stateful firewall)， 则安全机制可以进一步地细化。 带状态功能的防火墙能够记录通过防火墙的连接， 进而只允许与现有连接匹配的连接， 或创建新的连接。 带状态功能的防火墙的缺点， 则是在很短时间内有大量的连接请求时， 它们可能会受到拒绝服务 (DoS) 攻击。 绝大多数防火墙都提供了同时启用两种防火墙的能力， 以便为站点提供更好的保护。 防火墙软件包 &os; 的基本系统内建了三种不同的防火墙软件包。 它们是 IPFILTER (也被称作 IPF)、 IPFIREWALL (也被称作 IPFW)， 以及 OpenBSD 的 PacketFilter (也被称为 PF)。 &os; 也提供了两个内建的、 用于流量整形 (基本上是控制带宽占用) 的软件包： &man.altq.4; 和 &man.dummynet.4;。 Dummynet 在过去一直和 IPFW 紧密集成， 而 ALTQ 则需要配合 PF 使用。 IPFILTER 对于流量整形可以使用 IPFILTER 的 NAT 和过滤功能以及 IPFW 的 &man.dummynet.4; 配合, 或者 使用 PF 跟 ALTQ 的组合。 IPFW， 以及 PF 都是用规则来控制是否允许数据包出入您的系统， 虽然它们采取了不同的实现方法和规则语法。 &os; 包含多个内建的防火墙软件包的原因在于， 不同的人会有不同的需求和偏好。 任何一个防火墙软件包都很难说是最好的。 作者倾向于使用 IPFILTER， 因为它提供的状态式规则， 在 NAT 的环境中要简单许多， 而且它内建了 ftp 代理， 这简化了使用外部 FTP 服务时所需的配置。 由于所有的防火墙都基于检查所选定的包控制字段来实现功能， 撰写防火墙规则集时， 就必须了解 TCP/IP 是如何工作的， 以及包的控制字段在正常会话交互中的作用。 您可以在这个网站找到一份很好的解释文档： . OpenBSD Packet Filter (PF) 和 <acronym>ALTQ</acronym> 防火墙 PF 2003 年 7 月， OpenBSD 的防火墙， 也就是常说的 PF 被成功地移植到了 &os; 上， 并可以通过 &os; Ports Collection 来安装了； 第一个将 PF 集成到基本系统中的版本是 2004 年 11 月发行的 &os; 5.3。 PF 是一个完整的提供了大量功能的防火墙软件， 并提供了可选的 ALTQ (交错队列， Alternate Queuing) 功能。 ALTQ 提供了服务品质 (QoS) 带宽整形功能， 这个功能能够以基于过滤规则的方式来保障不同服务的带宽。 OpenBSD Project 在维护 PF 用户指南方面已经做了非常卓越的工作， 因此我们不打算在这本使用手册中进行更进一步的阐述， 以避免不必要的重复劳动。 更多的详细信息， 可以在 &os; 版本的 PF 网站上找到： 。 启用 PF PF 作为 &os; 5.3 和更高版本基本系统安装的一部分， 作为一个可以动态加载的模块出现。 如果在 rc.conf 中配置了 pf_enable="YES" 则系统会自动加载对应的内核模块。 可加载内核模块在构建时启用了 &man.pflog.4;。 这个模块假定 options INET 和 device bpf 是存在的。 除非编译时指定了 NOINET6 (对 &os; 6.0-RELEASE 之前的版本) 或 NO_INET6 (对更新一些的版本) (例如在 &man.make.conf.5; 中定义) 它还需要 options INET6。 一旦加载了这个内核模块， 或者将 PF 支持静态联编进内核， 就可以随时通过 pfctl 来启用或禁用 pf 了。 下面的例子展示了如何启用 pf： &prompt.root; pfctl -e pfctl 命令提供了一种与 pf 防火墙交互的方法。 要了解进一步的信息， 参考 &man.pfctl.8; 联机手册是一个不错的办法。 内核选项 内核选项 device pf 内核选项 device pflog 内核选项 device pfsync 将下面这些选项加入到 &os; 内核的编译配置文件中并不是启用 PF 的强制性要求。 这里列出它们主要是为了介绍一些背景信息。 将 PF 编译到内核中之后， 就不再需要使用可加载内核模块了。 如何在内核编译配置中加入对于 PF 选项的例子可以在内核源代码中的 /usr/src/sys/conf/NOTES 这个文件中找到。 这里列举如下： device pf device pflog device pfsync device pf 用于启用 Packet Filter 防火墙的支持。 device pflog 启用可选的 &man.pflog.4; 伪网络设备， 用以通过 &man.bpf.4; 描述符来记录流量。 &man.pflogd.8; 服务可以用来存储信息， 并把它们以日志形式记录到磁盘上。 device pfsync 启用可选的 &man.pfsync.4; 伪网络设备， 用以监视 状态变更。 由于这不是那个可加载内核模块的一部分， 因此如果需要使用它， 就必须自行编译定制的内核了。 这些设置只有在您使用它们构建和安装新内核之后才会生效。 可用的 rc.conf 选项 您需要在 /etc/rc.conf 中添加如下配置， 以便在启动时激活 PF： pf_enable="YES" # 启用 PF (如果需要的话， 自动加载内核模块) pf_rules="/etc/pf.conf" # pf 使用的规则定义文件 pf_flags="" # 启动时传递给 pfctl 的其他选项 pflog_enable="YES" # 启动 pflogd(8) pflog_logfile="/var/log/pflog" # pflogd 用于记录日志的文件名 pflog_flags="" # 启动时传递给 pflogd 的其他选项 如果您的防火墙后面有一个 LAN， 而且需要通过它来转发 LAN 上的包， 或进行 NAT， 还必须同时启用下述选项： gateway_enable="YES" # 启用为 LAN 网关 启用 <acronym>ALTQ</acronym> ALTQ 只有在作为编译选项加入到 &os; 内核时， 才能使用。 ALTQ 目前还不是所有的可用网卡驱动都能够支持的。 请参见 &man.altq.4; 联机手册了解您正使用的 &os; 版本中的驱动支持情况。 下面这些选项将启用 ALTQ 以及一些附加的功能。 options ALTQ options ALTQ_CBQ # 基于分类的排列 (CBQ) options ALTQ_RED # 随机先期检测 (RED) options ALTQ_RIO # 对进入和发出的包进行 RED options ALTQ_HFSC # 带等级的包调度器 (HFSC) options ALTQ_PRIQ # 按优先级的排列 (PRIQ) options ALTQ_NOPCC # 在联编 SMP 内核时必须使用，禁止读时钟 options ALTQ 将启用 ALTQ 框架的支持。 options ALTQ_CBQ 用于启用基于分类的队列 (CBQ) 支持。 CBQ 允许您将连接分成不同的类别， 或者说， 队列， 以便在规则中为它们指定不同的优先级。 options ALTQ_RED 将启用随机预检测 (RED)。 RED 是一种用于防止网络拥塞的技术。 RED 度量队列的长度， 并将其与队列的最大和最小长度阈值进行比较。 如果队列过长， 则新的包将被丢弃。 如名所示， RED 从不同的连接中随机地丢弃数据包。 options ALTQ_RIO 将启用出入的随机预检测。 options ALTQ_HFSC 启用层次式公平服务平滑包调度器。 要了解关于 HFSC 进一步的信息， 请参见 。 options ALTQ_PRIQ 启用优先队列 (PRIQ)。 PRIQ 首先允许高优先级队列中的包通过。 options ALTQ_NOPCC 启用 ALTQ 的 SMP 支持。 如果是 SMP 系统， 则必须使用它。 建立过滤规则 Packet Filter 会从 &man.pf.conf.5; 文件中读取配置规则， 并根据那里的规则修改、 丢弃或让数据包通过。 默认安装的 &os; 已经提供了一个默认的、 包含一些有用例子和注释的 /etc/pf.conf。 尽管 &os; 提供了自己的 /etc/pf.conf， 但这个文件和 OpenBSD 中的语法是一样的。 OpenBSD 开发团队提供了一个非常好的配置 pf 资源， 它可以在 找到。 在浏览 pf 用户手册时， 请时刻注意， 在 &os; 中所包含的 pf 的版本和 OpenBSD 中是不一样的。 在 &os; 5.X 中 pf 相当于 OpenBSD 3.5 中的版本， 而 &os; 6.X 中则相当于 OpenBSD 3.7。 关于 pf 的配置和使用问题， 可以在 &a.pf; 提出。 当然， 在提出问题之前， 别忘了查阅邮件列表的存档。 IPFILTER (IPF) 防火墙 防火墙 IPFILTER 这一节的内容正在撰写中。 其内容可能不总是十分准确。 IPFILTER 的作者是 Darren Reed。 IPFILTER 是独立于操作系统的： 它是一个开放源代码的应用， 并且已经被移植到了 &os;、 NetBSD、 OpenBSD、 SunOS、 HP/UX， 以及 Solaris 操作系统上。 IPFILTER 的支持和维护都相当活跃， 并且有规律地发布更新版本。 IPFILTER 提供了内核模式的防火墙和 NAT 机制， 这些机制可以通过用户模式运行的接口程序进行监视和控制。 防火墙规则可以使用 &man.ipf.8; 工具来动态地设置和删除。 NAT 规则可以通过 &man.ipnat.1; 工具来维护。 &man.ipfstat.8; 工具则可以用来显示 IPFILTER 内核部分的统计数据。 最后， 使用 &man.ipmon.8; 程序可以把 IPFILTER 的动作记录到系统日志文件中。 IPF 最初是使用一组 以最后匹配的规则为准 的策略来实现的， 这种方式只能支持无状态的规则。 随着时代的进步， IPF 被逐渐增强， 并加入了 quick 选项， 以及支持状态的 keep state 选项， 这使得规则处理逻辑变得更富有现代气息。 IPF 的官方文档介绍了传统的规则编写方法和文件处理逻辑。 新增的功能只是作为一些附加的选项出现， 如果能完全理解这些功能， 则对于建立更安全的防火墙就很有好处。 这一节中主要是针对 quick 选项， 以及支持状态的 keep state 选项的介绍。 这是包容式防火墙规则集最基本的编写要素。 包容式防火墙只允许与规则匹配的包通过。 这样， 您就既能够控制来自防火墙后面的机器请求 Internet 公网上的那些服务， 同时也可以控制来自 Internet 的请求能够访问内部网上的哪些服务。 所有其它的访问请求都会被阻止， 并记录下来。 包容式防火墙一般而言要远比排斥式的要安全， 而且也只需要定义允许哪些访问通过。 要获得关于传统规则处理方式的详细信息， 请参考： 以及 。 IPF FAQ 可以在 找到。 除此之外， 您还可以在 找到开放源代码的 IPFilter 的邮件列表存档， 并进行搜索。 启用 IPF IPFILTER 启用 IPF 作为 &os; 基本安装的一部分， 以一个独立的内核模块的形式提供。 如果在 rc.conf 中配置了 ipfilter_enable="YES"， 系统就会自动地动态加载 IPF 内核模块。 这个内核模块在创建时启用了日志支持， 并加入了 default pass all 选项。 如果只是需要把默认的规则设置为 block all 的话， 并不需要把 IPF 编译到内核中。 可以简单地通过把这条规则加入自己的规则集来达到同样的目的。 内核选项 内核选项 IPFILTER 内核选项 IPFILTER_LOG 内核选项 IPFILTER_DEFAULT_BLOCK IPFILTER 内核选项 下面这些 &os; 内核编译选项并不是启用 IPF 所必需的。 这里只是作为背景知识来加以阐述。 如果将 IPF 编入了内核， 则对应的内核模块将不被使用。 关于 IPF 选项语句的内核编译配置的例子， 可以在内核源代码中的 /usr/src/sys/conf/NOTES 找到。 此处列举如下： options IPFILTER options IPFILTER_LOG options IPFILTER_DEFAULT_BLOCK options IPFILTER 用于启用 IPFILTER 防火墙的支持。 options IPFILTER_LOG 用于启用 IPF 的日志支持， 所有匹配了包含 log 的规则的包， 都会被记录到 ipl 这个包记录伪—设备中。 options IPFILTER_DEFAULT_BLOCK 将改变防火墙的默认动作， 进而， 所有不匹配防火墙的 pass 规则的包都会被阻止。 这些选项只有在您重新编译并安装内核之后才会生效。 可用的 rc.conf 选项 要在启动时激活 IPF， 您需要在 /etc/rc.conf 中增加下面的设置： ipfilter_enable="YES" # 启动 ipf 防火墙 ipfilter_rules="/etc/ipf.rules" # 将被加载的规则定义， 这是一个文本文件 ipmon_enable="YES" # 启动 IP 监视日志 ipmon_flags="-Ds" # D = 作为服务程序启动 # s = 使用 syslog 记录 # v = 记录 tcp 窗口大小、 ack 和顺序号(seq) # n = 将 IP 和端口映射为名字 如果您的 LAN 在防火墙后面， 并且使用了保留的私有 IP 地址范围， 那就需要增加下面的一些选项来启用 NAT 功能： gateway_enable="YES" # 启用作为 LAN 网关的功能 ipnat_enable="YES" # 启动 ipnat 功能 ipnat_rules="/etc/ipnat.rules" # 用于 ipnat 的规则定义文件 IPF ipf ipf 命令可以用来加载您自己的规则文件。 一般情况下， 您可以建立一个包括您自定义的规则的文件， 并使用这个命令来替换掉正在运行的防火墙中的内部规则： &prompt.root; ipf -Fa -f /etc/ipf.rules 表示清除所有的内部规则表。 用于指定将要被读取的规则定义文件。 这个功能使得您能够修改自定义的规则文件， 通过运行上面的 IPF 命令， 可以将正在运行的防火墙刷新为使用全新的规则集， 而不需要重新启动系统。 这对于测试新的规则来说就很方便， 因为您可以任意执行上面的命令。 请参考 &man.ipf.8; 联机手册以了解这个命令提供的其它选项。 &man.ipf.8; 命令假定规则文件是一个标准的文本文件。 它不能处理使用符号代换的脚本。 也确实有办法利用脚本的非常强大的符号替换能力来构建 IPF 规则。 要了解进一步的细节， 请参考 。 IPFSTAT ipfstat IPFILTER 统计 默认情况下， &man.ipfstat.8; 会获取并显示所有的累积统计， 这些统计是防火墙启动以来用户定义的规则匹配的出入流量， 您可以通过使用 ipf -Z 命令来将这些计数器清零。 请参见 &man.ipfstat.8; 联机手册以了解进一步的细节。 默认的 &man.ipfstat.8; 命令输出类似于下面的样子： input packets: blocked 99286 passed 1255609 nomatch 14686 counted 0 output packets: blocked 4200 passed 1284345 nomatch 14687 counted 0 input packets logged: blocked 99286 passed 0 output packets logged: blocked 0 passed 0 packets logged: input 0 output 0 log failures: input 3898 output 0 fragment state(in): kept 0 lost 0 fragment state(out): kept 0 lost 0 packet state(in): kept 169364 lost 0 packet state(out): kept 431395 lost 0 ICMP replies: 0 TCP RSTs sent: 0 Result cache hits(in): 1215208 (out): 1098963 IN Pullups succeeded: 2 failed: 0 OUT Pullups succeeded: 0 failed: 0 Fastroute successes: 0 failures: 0 TCP cksum fails(in): 0 (out): 0 Packet log flags set: (0) 如果使用了 (进入流量) 或者 (输出流量)， 它就只获取并显示内核中所安装的对应过滤器规则的统计数据。 ipfstat -in 以规则号的形式显示进入的内部规则表。 ipfstat -on 以规则号的形式显示流出的内部规则表。 输出和下面的类似： @1 pass out on xl0 from any to any @2 block out on dc0 from any to any @3 pass out quick on dc0 proto tcp/udp from any to any keep state ipfstat -ih 显示内部规则表中的进入流量， 每一个匹配规则前面会同时显示匹配的次数。 ipfstat -oh 显示内部规则表中的流出流量， 每一个匹配规则前面会同时显示匹配的次数。 输出和下面的类似： 2451423 pass out on xl0 from any to any 354727 block out on dc0 from any to any 430918 pass out quick on dc0 proto tcp/udp from any to any keep state ipfstat 命令的一个重要的功能可以通过指定 参数来使用， 它会以类似 &man.top.1; 的显示 &os; 正运行的进程表的方式来显示统计数据。 当您的防火墙正在受到攻击的时候， 这个功能让您得以识别、 试验， 并查看攻击的数据包。 这个选项提还提供了实时选择希望监视的目的或源 IP、 端口或协议的能力。 请参见 &man.ipfstat.8; 联机手册以了解详细信息。 IPMON ipmon IPFILTER 记录日志 为了使 ipmon 能够正确工作， 必须打开 IPFILTER_LOG 这个内核选项。 这个命令提供了两种不同的使用模式。 内建模式是默认的模式， 如果您不指定 参数， 就会采用这种模式。 服务模式是持续地通过系统日志来记录的工作模式， 这样， 您就可以通过查看日志来了解过去曾经发生过的事情。 这种模式是 &os; 和 IPFILTER 配合工作的模式。 由于在 &os; 中提供了一个内建的系统日志自动轮转功能， 因此， 使用 syslogd 比默认的将日志信息记录到一个普通文件要好。 在默认的 rc.conf 文件中， 您会看到一个 ipmon_flags 语句， 指定了 标志： ipmon_flags="-Ds" # D = 作为服务程序启动 # s = 使用 syslog 记录 # v = 记录 tcp 窗口大小、 ack 和顺序号(seq) # n = 将 IP 和端口映射为名字 记录日志的好处是很明显的。 它提供了在事后重新审查相关信息， 例如哪些包被丢弃， 以及这些包的来源地址等等。 这将为查找攻击者提供非常有用的第一手资料。 即使启用了日志机制， IPF 仍然不会对其规则进行任何日志记录工作。 防火墙管理员可以决定规则集中的哪些应记录日志， 并在这些规则上加入 log 关键字。 一般来说， 只应记录拒绝性的规则。 作为惯例， 通常会有一条默认的、拒绝所有网络流量的规则， 并指定 log 关键字， 作为您的规则集的最后一条。 这样， 您就能够看到所有没有匹配任何规则的数据包。 IPMON 的日志 Syslogd 使用特殊的方法对日志数据进行分类。 它使用称为 facility 和 level 的组。 以 模式运行的 IPMON 采用 security 作为 facility 名。 所有由 IPMON 记录的数据都会进入 security。 如果需要， 可以用下列 levels 来进一步区分数据： LOG_INFO - 使用 "log" 关键字指定的通过或阻止动作 LOG_NOTICE - 同时记录通过的那些数据包 LOG_WARNING - 同时记录阻止的数据包 LOG_ERR - 进一步记录含不完整的包头的数据包 要设置 IPFILTER 来将所有的数据记录到 /var/log/ipfilter.log， 需要首先建立这个文件。 下面的命令可以完成这个工作： &prompt.root; touch /var/log/ipfilter.log syslog 功能可以通过在 /etc/syslog.conf 文件中的语句来定义。 syslog.conf 提供了相当多的用以控制 syslog 如何处理类似 IPF 这样的用用程序所产生的系统消息的方法。 您需要将下列语句加到 /etc/syslog.conf： security.* /var/log/ipfilter.log 这里的 security.* 表示把所有的相关日志信息写到指定的文件中。 要让 /etc/syslog.conf 中的修改立即生效， 您可以重新启动计算机， 或者通过执行 /etc/rc.d/syslogd reload 来让它重新读取 /etc/syslog.conf。 不要忘了修改 /etc/newsyslog.conf 来让您刚创建的日志进行轮转。 记录消息的格式 由 ipmon 生成的消息由空格分隔的数据字段组成。 所有的消息都包含的字段是： 接到数据包的日期。 接到数据包的时间。 其格式为 HH:MM:SS.F， 分别是小时、 分钟、 秒， 以及分秒 (这个数字可能有许多位)。 处理数据包的网络接口名字， 例如 dc0。 组和规则的编号， 例如 @0:17。 可以通过 ipfstat -in 来查看这些信息。 动作： p 表示通过， b 表示阻止， S 表示包头不全， n 表示没有匹配任何规则， L 表示 log 规则。 显示这些标志的顺序是： S, p, b, n, L。 大写的 P 或 B 表示记录包的原因是某个全局的日志配置， 而不是某个特定的规则。 地址。 这实际上包括三部分： 源地址和端口 (以逗号分开)， 一个 -> 符号， 以及目的地址和端口。 209.53.17.22,80 -> 198.73.220.17,1722. PR， 后跟协议名称或编号， 例如， PR tcp。 len， 后跟包头的长度， 以及包的总长度， 例如 len 20 40。 对于 TCP 包， 则还会包括一个附加的字段， 由一个连字号开始， 之后是表示所设置的标志的一个字母。 请参见 &man.ipmon.8; 联机手册， 以了解这些字母所对应的标志。 对于 ICMP 包， 则在最后会有两个字段。 前一个总是 ICMP， 而后一个则是 ICMP 消息和子消息的类型， 中间以斜线分靠， 例如 ICMP 3/3 表示端口不可达消息。 构建采用符号替换的规则脚本 一些有经验的 IPF 会创建包含规则的文件， 并把它编写成能够与符号替换脚本兼容的方式。 这样做最大的好处是， 它能够让您只修改符号名字所代表的值， 而在脚本执行时直接替换掉所有的名符。 作为脚本， 您可以使用符号替换来把那些经常使用的值直接用于多个规则。 下面我们将给出一个例子。 这个脚本所使用的语法与 sh、 csh， 以及 tcsh 脚本。 符号替换的前缀字段是美元符号： $。 符号字段不使用 $ 前缀。 希望替换符号字段的值， 必须使用双引号 (") 括起来。 您的规则文件的开头类似这样： ############# IPF 规则脚本的开头 ######################## oif="dc0" # 外网接口的名字 odns="192.0.2.11" # ISP 的 DNS 服务器 IP 地址 myip="192.0.2.7" # 来自 ISP 的静态 IP 地址 ks="keep state" fks="flags S keep state" # 可以使用这个脚本来建立 /etc/ipf.rules 文件， # 也可以 "直接地" 运行它。 # # 请删除两个注释号之一。 # # 1) 保留下面一行， 则创建 /etc/ipf.rules： #cat > /etc/ipf.rules << EOF # # 2) 保留下面一行， 则 "直接地" 运行脚本： /sbin/ipf -Fa -f - << EOF # 允许发出到我的 ISP 的域名服务器的访问 pass out quick on $oif proto tcp from any to $odns port = 53 $fks pass out quick on $oif proto udp from any to $odns port = 53 $ks # 允许发出未加密的 www 访问请求 pass out quick on $oif proto tcp from $myip to any port = 80 $fks # 允许发出使用 TLS SSL 加密的 https www 访问请求 pass out quick on $oif proto tcp from $myip to any port = 443 $fks EOF ################## IPF 规则脚本的结束 ######################## 这就是所需的全部内容。 这个规则本身并不重要， 它们主要是用于体现如何使用符号代换字段， 以及如何完成值的替换。 如果上面的例子的名字是 /etc/ipf.rules.script， 就可以通过输入下面的命令来重新加载规则： &prompt.root; sh /etc/ipf.rules.script 在规则文件中嵌入符号有一个问题： IPF 无法识别符号替换， 因此它不能直接地读取这样的脚本。 这个脚本可以使用下面两种方法之一来使用： 去掉 cat 之前的注释， 并注释掉 /sbin/ipf 开头的那一行。 像其他配置一样， 将 ipfilter_enable="YES" 放到 /etc/rc.conf 文件中， 并在此后立刻执行脚本， 以创建或更新 /etc/ipf.rules。 通过把 ipfilter_enable="NO" (这是默认值) 加到 /etc/rc.conf 中， 来禁止系统启动脚本开启 IPFILTER。 在 /usr/local/etc/rc.d/ 启动目录中增加一个类似下面的脚本。 应该给它起一个显而易见的名字， 例如 ipf.loadrules.sh。 请注意， .sh 扩展名是必需的。 #!/bin/sh sh /etc/ipf.rules.script 脚本文件必须设置为属于 root， 并且属主可读、 可写、 可执行。 &prompt.root; chmod 700 /usr/local/etc/rc.d/ipf.loadrules.sh 这样， 在系统启动时， 就会自动加载您的 IPF 规则了。 IPF 规则集 规则集是指一组编写好的依据包的值决策允许通过或阻止 ipf 规则。 包的双向交换组成了一个会话交互。 防火墙规则集对同一个包会进行两次处理， 第一次是它从公网的 Internet 主机到达的时候， 第二次是它离开并返回初始的 Internet 公网主机的时候。 每一个 TCP/IP 服务 (例如 telnet, www, 邮件等等) 是由协议预先定义的源或目的 IP 地址， 以及源或目的端口。 这是最基本的一些可以为防火墙规则所利用的， 判别是否允许服务通过的标准。 IPFILTER 规则处理顺序 IPF 最初被写成使用一组称作 以最后匹配的规则为准 的处理逻辑， 且只能处理无状态的规则。 随着时代的发展， IPF 进行了改进， 并提供了 quick 选项， 以及一个有状态的 keep state 选项。 后者使处理逻辑迅速地跟上了时代的步伐。 这一节中提供的一些指导， 是基于使用包含 quick 选项和有状态的 keep state 选项来进行阐述的。 这些是编写包容式防火墙规则集的基本要素。 包容式防火墙只允许与规则匹配的服务通过。 这样， 您就既能够控制来自防火墙后面的机器请求 Internet 公网上的那些服务， 同时也可以控制来自 Internet 的请求能够访问内部网上的哪些服务。 所有其它的访问请求都会被阻止， 并记录下来。 包容式防火墙一般而言要远比排斥式的要安全， 而且也只需要定义允许哪些访问通过。 当对防火墙规则进行操作时， 应该 谨慎行事。 某些配置可能会 将您反锁在 服务器外面。 安全起见， 您可以考虑在第一次进行防火墙配置时在本地控制台上， 而不是远程， 例如通过 ssh 来进行。 规则语法 IPFILTER 规则语法 这里给出的规则语法已经简化到只处理那些新式的带状态规则， 并且都是 第一个匹配的规则获胜 逻辑的。 要了解完整的传统规则语法描述， 请参见 &man.ipf.8; 联机手册。 以 # 字符开头的内容会被认为是注释。 这些注释可以出现在一行规则的末尾， 或者独占一行。 空行会被忽略。 规则由关键字组成。 这些关键字必须以一定的顺序， 从左到右出现在一行上。 接下来的文字中关键字将使用粗体表示。 某些关键字可能提供了子选项， 这些子选项本身可能也是关键字， 而且可能会提供更多的子选项。 下面的文字中， 每种语法都使用粗体的小节标题呈现， 并介绍了其上下文。 ACTION IN-OUT OPTIONS SELECTION STATEFUL PROTO SRC_ADDR,DST_ADDR OBJECT PORT_NUM TCP_FLAG STATEFUL ACTION = block | pass IN-OUT = in | out OPTIONS = log | quick | on 网络接口的名字 SELECTION = proto 协议名称 | 源/目的 IP | port = 端口号 | flags 标志值 PROTO = tcp/udp | udp | tcp | icmp SRC_ADD,DST_ADDR = all | from 对象 to 对象 OBJECT = IP地址 | any PORT_NUM = port 端口号 TCP_FLAG = S STATEFUL = keep state ACTION (动作) 动作对表示匹配规则的包应采取什么动作。 每一个规则 必须 包含一个动作。 可以使用下面两种动作之一： block 表示如果规则与包匹配， 则丢弃包。 pass 表示如果规则与包匹配， 则允许包通过防火墙。 IN-OUT 每个过滤器规则都必须明确地指定是流入还是流出的规则。 下一个关键字必须要么是 in， 要么是 out， 否则将无法通过语法检查。 in 表示规则应被应用于刚刚从 Internet 公网上收到的数据包。 out 表示规则应被应用于即将发出到 Internet 的数据包。 OPTIONS 这些选项必须按下面指定的顺序出现。 log 表示包头应被写入到 ipl 日志 (如前面 LOGGING 小节所介绍的那样)， 如果它与规则匹配的话。 quick 表示如果给出的参数与包匹配， 则以这个规则为准， 这使得能够 "短路" 掉后面的规则。 这个选项对于使用新式的处理逻辑是必需的。 on 表示将网络接口的名称作为筛选参数的一部分。 接口的名字会在 &man.ifconfig.8; 的输出中显示。 使用这个选项， 则规则只会应用到某一个网络接口上的出入数据包上。 要配置新式的处理逻辑， 必须使用这个选项。 当记录包时， 包的头会被写入到 IPL 包日志伪设备中。 紧跟 log 关键字， 可以使用下面几个修饰符 (按照下列顺序)： body 表示应同时记录包的前 128 字节的内容。 first 如果 log 关键字和 keep state 选项同时使用， 则这个选项只在第一个包上触发， 这样就不用记录每一个 keep state 包信息了。 SELECTION 这一节所介绍的关键字可以用于所检察的包的属性。 有一个关键字主题， 以及一组子选项关键字， 您必须从他们中选择一个。 以下是一些通用的属性， 它们必须按下面的顺序使用： PROTO proto 是一个主题关键字， 它必须与某个相关的子选项关键字配合使用。 这个值的作用是匹配某个特定的协议。 要使用新式的规则处理逻辑， 就必须使用这个选项。 tcp/udp | udp | tcp | icmp 或其他在 /etc/protocols 中定义的协议。 特殊的协议关键字 tcp/udp 可以用于匹配 TCP 或 UDP 包， 引入这个关键字的作用是是避免大量的重复规则的麻烦。 SRC_ADDR/DST_ADDR 使用 all 关键词， 基本上相当于 from any to any 在没有配合其他关键字的情形。 from src to dst： from 和 to 关键字主要是用来匹配 IP 地址。 所有的规则都必须同时给出源和目的两个参数。 any 是一个可以用于匹配任意 IP 地址的特殊关键字。 例如， 您可以使用 from any to any 或 from 0.0.0.0/0 to any 或 from any to 0.0.0.0/0 或 from 0.0.0.0 to any 以及 from any to 0.0.0.0。 IP 地址可以按句点分隔的 IP 地址/掩码长度 的方式来指定， 也可以只指定一个句点分隔的 IP 地址。 如果无法使用子网掩码来表示 IP 的话， 表达地址就会很麻烦。 请参见下面的网页了解如何撰写掩码长度： 。 PORT 如果为源或目的指定了匹配端口， 规则就只能应用于 TCP 和 UDP 包了。 当编写端口比较规则时， 可以指定 /etc/services 中所定义的名字， 也可以直接用端口号来指定。 如果端口号出现在源对象一侧， 则被认为是源端口号； 反之， 则被认为是目的端口号。 要使用新式的规则处理逻辑， 就必须与 to 对象配合使用这个选项。 使用的例子： from any to any port = 80。 端口的比较是以数字的形式进行的， 可以使用比较算符来指定， 也可以指定一个范围。 port "=" | "!=" | "<" | ">" | "<=" | ">=" | "eq" | "ne" | "lt" | "gt" | "le" | "ge". 要指定端口范围， 可以使用 "<>" | "><"。 在源和目的匹配参数之后， 需要使用下面两个参数， 才能够使用新式的规则处理逻辑。 <acronym>TCP</acronym>_FLAG 标志只对 TCP 过滤使用。 这些字母用来表达 TCP 包头的标志。 新式的规则处理逻辑使用 flags S 参数来识别 tcp 会话开始的请求。 STATEFUL keep state 表示如果有一个包与规则匹配， 则其筛选参数应激活有状态的过滤机制。 如果使用新式的处理逻辑， 则这个选项是必需的。 有状态过滤 IPFILTER 有状态过滤 有状态过滤将网络流量当作一种双向的包交换来处理。 如果激活它， keep-state 会动态地为每一个相关的包在双向会话交互过程中产生内部规则。 它能够确认发起者和包的目的地之间的会话是有效的双向包交换过程的一部分。 如果包与这些规则不符， 则将自动地拒绝。 状态保持也使得 ICMP 包能够与 TCP 或 UDP 会话相关。 因此， 如果您在浏览网站时收到允许的状态保持规则匹配的 ICMP 类型 3 代码 4 响应， 则这些响应会被自动地允许进入。 所有 IPF 能够处理的包， 都可以作为某种活跃会话的一部分， 即使它是另一种协议的， 也会被允许进入。 所发生的事情是： 将要通过联入公网的网络接口发出的包， 首先会经过动态状态表的检查。 如果包与会话中预期的下一个包匹配， 则防火墙就会允许包通过， 而会话的交互流信息也会在动态状态表中进行更新， 而其他的包， 则将使用发出规则集来检查。 发到联入 Internet 公网的包， 也会首先经过动态规则表的检查。 如果与会话中预期的下一个包匹配， 则防火墙就允许它通过， 并更新动态状态表。 其他包仍会使用进入规则集进行检查。 当会话结束时， 对应的项会在动态状态表中删除。 有状态过滤使得您能够集中于阻止/允许新的会话。 一旦新会话被允许通过， 则所有后续的包就都被自动地允许通过， 而伪造的包则被自动地拒绝。 如果新的会话被阻止， 则后续的包也都不会被允许通过。 有状态过滤从技术角度而言， 在阻止目前攻击者常用的洪水式攻击来说， 具有更好的抗御能力。 包容式规则集的例子 下面的规则集是如何编写非常安全的包容式防火墙规则集的一个范例。 包容式防火墙只让允许的服务通过， 而所有其他的访问都会被默认地拒绝。 所有的防火墙都有至少两个接口对应的默认规则， 从而使防火墙能够正常工作。 所有的类 &unix; 系统， 包括 &os; 都使用 lo0 和 IP 地址 127.0.0.1 用于操作系统中内部的通讯。 防火墙规则必须允许这些包无阻碍地通过。 接入 Internet 公网的网络接口， 是放置规则并允许将访问请求发到 Internet 以及接收响应的地方。 这有可能是用户模式的 PPP tun0 接口， 如果您的网卡同 DSL 或电缆调制解调器相联的话。 如果有至少一个网卡与防火墙后的内网 LAN 相联， 这些网络接口就应该有一个规则来允许来自这些 LAN 接口的包无阻碍地通过。 一般说来， 规则应被组织为三个主要的小节： 所有允许自由通过的接口规则， 发到公网接口的规则， 以及进入公网接口的规则。 每一个公网接口规则中， 经常会匹配到的规则应该放置在尽可能靠前的位置。 而最后一个规则应该是阻止包通过， 并记录它们。 下面防火墙规则集中， Outbound 部分是一些使用 'pass' 的规则， 这些规则指定了允许访问的公网 Internet 服务， 并且指定了 'quick'、 'on'、 'proto'、 'port'， 以及 'keep state' 这些选项。 'proto tcp' 规则还指定了 'flag' 这个选项， 这样会话的第一个包将出发状态机制。 接下来的 Inbound 一节， 则首先阻止所有不希望的数据包。 这样做有两个原因， 其一是被阻止的包可能会被后面的规则允许， 从而并不妨碍获得授权的服务正常工作； 其二是这避免了那些不常见的包由于匹配到最后一条规则而触发日志， 规则集中的最后一条规则是阻止并记录所有的包， 通过这样的记录， 就比较容易找到攻击系统的人， 并为采取法律措施收集证据。 需要注意的另一件事情是， 如果收到了不希望的数据包， 则这些包会被丢弃， 而不是给出什么响应。 这样做的好处是， 攻击者无法了解包是否已经被您的系统收到。 攻击者所能了解到的信息越少， 攻陷您的系统所需要花费的时间也就越长。 我们在这里记录的连入的 'nmap OS 指纹' 探测企图， 一般来说正是攻击者所做的第一件事。 如果您看到了 'log first' 规则的日志， 就应该用 ipfstat -hio 命令来看看那个规则被匹配的次数， 以便了解系统是否正在或曾被攻击。 如果记录的包的端口号并不是您所知道的， 可以在 /etc/services 或 了解端口号通常的用途。 参考下面的网页， 了解木马使用的端口：。 下面是我在自己的系统中使用的完整的， 非常安全的 '包容式' 防火墙规则集。 直接使用这个规则集不会给您造成问题， 您所要做的只是注释掉那些您不需要的服务。 如果在日志中发现了希望阻止的记录， 只需在 inbound 小节中增加一条阻止规则集可。 您必须将每一个规则中的 dc0 替换为您系统上接入 Internet 的网络接口名称， 例如， 用户环境下的 PPP 应该是 tun0。 在 /etc/ipf.rules 中加入下面的内容： ################################################################# # No restrictions on Inside LAN Interface for private network # Not needed unless you have LAN ################################################################# #pass out quick on xl0 all #pass in quick on xl0 all ################################################################# # No restrictions on Loopback Interface ################################################################# pass in quick on lo0 all pass out quick on lo0 all ################################################################# # Interface facing Public Internet (Outbound Section) # Interrogate session start requests originating from behind the # firewall on the private network # or from this gateway server destine for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # xxx must be the IP address of your ISP's DNS. # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file pass out quick on dc0 proto tcp from any to xxx port = 53 flags S keep state pass out quick on dc0 proto udp from any to xxx port = 53 keep state # Allow out access to my ISP's DHCP server for cable or DSL networks. # This rule is not needed for 'user ppp' type connection to the # public Internet, so you can delete this whole group. # Use the following rule and check log for IP address. # Then put IP address in commented out rule & delete first rule pass out log quick on dc0 proto udp from any to any port = 67 keep state #pass out quick on dc0 proto udp from any to z.z.z.z port = 67 keep state # Allow out non-secure standard www function pass out quick on dc0 proto tcp from any to any port = 80 flags S keep state # Allow out secure www function https over TLS SSL pass out quick on dc0 proto tcp from any to any port = 443 flags S keep state # Allow out send & get email function pass out quick on dc0 proto tcp from any to any port = 110 flags S keep state pass out quick on dc0 proto tcp from any to any port = 25 flags S keep state # Allow out Time pass out quick on dc0 proto tcp from any to any port = 37 flags S keep state # Allow out nntp news pass out quick on dc0 proto tcp from any to any port = 119 flags S keep state # Allow out gateway & LAN users non-secure FTP ( both passive & active modes) # This function uses the IPNAT built in FTP proxy function coded in # the nat rules file to make this single rule function correctly. # If you want to use the pkg_add command to install application packages # on your gateway system you need this rule. pass out quick on dc0 proto tcp from any to any port = 21 flags S keep state # Allow out secure FTP, Telnet, and SCP # This function is using SSH (secure shell) pass out quick on dc0 proto tcp from any to any port = 22 flags S keep state # Allow out non-secure Telnet pass out quick on dc0 proto tcp from any to any port = 23 flags S keep state # Allow out FBSD CVSUP function pass out quick on dc0 proto tcp from any to any port = 5999 flags S keep state # Allow out ping to public Internet pass out quick on dc0 proto icmp from any to any icmp-type 8 keep state # Allow out whois for LAN PC to public Internet pass out quick on dc0 proto tcp from any to any port = 43 flags S keep state # Block and log only the first occurrence of everything # else that's trying to get out. # This rule enforces the block all by default logic. block out log first quick on dc0 all ################################################################# # Interface facing Public Internet (Inbound Section) # Interrogate packets originating from the public Internet # destine for this gateway server or the private network. ################################################################# # Block all inbound traffic from non-routable or reserved address spaces block in quick on dc0 from 192.168.0.0/16 to any #RFC 1918 private IP block in quick on dc0 from 172.16.0.0/12 to any #RFC 1918 private IP block in quick on dc0 from 10.0.0.0/8 to any #RFC 1918 private IP block in quick on dc0 from 127.0.0.0/8 to any #loopback block in quick on dc0 from 0.0.0.0/8 to any #loopback block in quick on dc0 from 169.254.0.0/16 to any #DHCP auto-config block in quick on dc0 from 192.0.2.0/24 to any #reserved for docs block in quick on dc0 from 204.152.64.0/23 to any #Sun cluster interconnect block in quick on dc0 from 224.0.0.0/3 to any #Class D & E multicast ##### Block a bunch of different nasty things. ############ # That I do not want to see in the log # Block frags block in quick on dc0 all with frags # Block short tcp packets block in quick on dc0 proto tcp all with short # block source routed packets block in quick on dc0 all with opt lsrr block in quick on dc0 all with opt ssrr # Block nmap OS fingerprint attempts # Log first occurrence of these so I can get their IP address block in log first quick on dc0 proto tcp from any to any flags FUP # Block anything with special options block in quick on dc0 all with ipopts # Block public pings block in quick on dc0 proto icmp all icmp-type 8 # Block ident block in quick on dc0 proto tcp from any to any port = 113 # Block all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 block in log first quick on dc0 proto tcp/udp from any to any port = 137 block in log first quick on dc0 proto tcp/udp from any to any port = 138 block in log first quick on dc0 proto tcp/udp from any to any port = 139 block in log first quick on dc0 proto tcp/udp from any to any port = 81 # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP's DHCP server as it's the only # authorized source to send this packet type. Only necessary for # cable or DSL configurations. This rule is not needed for # 'user ppp' type connection to the public Internet. # This is the same IP address you captured and # used in the outbound section. pass in quick on dc0 proto udp from z.z.z.z to any port = 68 keep state # Allow in standard www function because I have apache server pass in quick on dc0 proto tcp from any to any port = 80 flags S keep state # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID/PW passed over public Internet as clear text. # Delete this sample group if you do not have telnet server enabled. #pass in quick on dc0 proto tcp from any to any port = 23 flags S keep state # Allow in secure FTP, Telnet, and SCP from public Internet # This function is using SSH (secure shell) pass in quick on dc0 proto tcp from any to any port = 22 flags S keep state # Block and log only first occurrence of all remaining traffic # coming into the firewall. The logging of only the first # occurrence stops a .denial of service. attack targeted # at filling up your log file space. # This rule enforces the block all by default logic. block in log first quick on dc0 all ################### End of rules file ##################################### <acronym>NAT</acronym> NAT IP 伪装 NAT 网络地址转换 NAT NAT 是 网络地址转换(Network Address Translation) 的缩写。 对于那些熟悉 &linux; 的人来说， 这个概念叫做 IP 伪装 (Masquerading)； NAT 和 IP 伪装是完全一样的概念。 由 IPF 的 NAT 提供的一项功能是， 将防火墙后的本地局域网 (LAN) 共享一个 ISP 提供的 IP 地址来接入 Internet 公网。 有些人可能会问， 为什么需要这么做。 一般而言， ISP 会为非商业用户提供动态的 IP 地址。 动态地址意味着每次登录到 ISP 都有可能得到不同的 IP 地址， 无论是采用电话拨号登录， 或使用 cable 以及 DSL 调制解调器的方式。 这个 IP 是您与 Internet 公网交互时使用的身份。 现在考虑家中有五台 PC 需要访问 Internet 的情形。 您可能需要向 ISP 为每一台 PC 所使用的独立的 Internet 账号付费， 并且拥有五根电话线。 有了 NAT， 您就只需要一个 ISP 账号， 然后将另外四台 PC 的网卡通过交换机连接起来， 并通过运行 &os; 系统的那台机器作为网关连接出去。 NAT 会自动地将每一台 PC 在内网的 LAN IP 地址， 在离开防火墙时转换为公网的 IP 地址。 此外， 当数据包返回时， 也将进行逆向的转换。 NAT 通常是在没有向 ISP 请求许可， 或事先知会的情况下进行的， 因而如果被发现， 有时可能会成为 ISP 撤销您的账号的一个借口。 商业用户一般来说会购买昂贵得多的 Internet 线路， 通常会获得一组长期有效的静态 IP 地址块。 ISP 一般会希望并同意商业用户在他们的内网中使用 NAT。 在 IP 地址空间中， 有一些特殊的范围是保留供经过 NAT 的内网 LAN IP 地址使用的。 根据 RFC 1918， 您可以使用下面这些 IP 范围用于内网， 它们不会在 Internet 公网上路由： 起始 IP 10.0.0.0 - 结束 IP 10.255.255.255 起始 IP 172.16.0.0 - 结束 IP 172.31.255.255 起始 IP 192.168.0.0 - 结束 IP 192.168.255.255 IP<acronym>NAT</acronym> NAT 以及 IPFILTER ipnat NAT 规则是通过 ipnat 命令加载的。 默认情况下， NAT 规则会保存在 /etc/ipnat.rules 文件中。 请参见 &man.ipnat.1; 了解更多的详情。 如果在 NAT 已经启动之后想要修改 NAT 规则， 可以修改保存 NAT 规则的那个文件， 然后在执行 ipnat 命令时加上 参数， 以删除在用的 NAT 内部规则表， 以及所有地址翻译表中已有的项。 要重新加载 NAT 规则， 可以使用类似下面的命令： &prompt.root; ipnat -CF -f /etc/ipnat.rules 如果想要看看您系统上 NAT 的统计信息， 可以用下面的命令： &prompt.root; ipnat -s 要列出当前的 NAT 表的映射关系， 使用下面的命令： &prompt.root; ipnat -l 要显示详细的信息并显示与规则处理和当前的规则/表项： &prompt.root; ipnat -v IP<acronym>NAT</acronym> 规则 NAT 规则非常的灵活， 能够适应商业用户和家庭用户的各种不同的需求。 这里所介绍的规则语法已经被简化， 以适应非商用环境中的一般情况。 完整的规则语法描述， 请参考 &man.ipnat.5; 联机手册中的介绍。 NAT 规则的写法与下面的例子类似： map IF LAN_IP_RANGE -> PUBLIC_ADDRESS 关键词 map 出现在规则的最前面。 将 IF 替换为对外的网络接口名。 LAN_IP_RANGE 是内网中的客户机使用的地址范围。 通常情况下， 这应该是类似 192.168.1.0/24 的地址。 PUBLIC_ADDRESS 既可以是外网的 IP 地址， 也可以是 0/32 这个特殊的关键字， 它表示分配到 IF 上的所有地址。 <acronym>NAT</acronym> 的工作原理 当包从 LAN 到达防火墙， 而目的地址是公网地址时， 它首先会通过 outbound 过滤规则。 接下来， NAT 会得到包， 并按自顶向下的顺序处理规则， 而第一个匹配的规则将生效。 NAT 接下来会根据包对应的接口名字和源 IP 地址检查所有的规则。 如果包和某个 NAT 规则匹配， 则会检查包的 [源 IP 地址， 例如， 内网的 IP 地址] 是否在 NAT 规则中箭头左侧指定的 IP 地址范围匹配。 如果匹配， 则包的原地址将被根据用 0/32 关键字指定的 IP 地址重写。 NAT 将向它的内部 NAT 表发送此地址， 这样， 当包从 Internet 公网中返回时， 就能够把地址映射回原先的内网 IP 地址， 并在随后使用过滤器规则来处理。 启用 IP<acronym>NAT</acronym> 要启用 IPNAT， 只需在 /etc/rc.conf 中加入下面一些语句。 使机器能够在不同的网络接口之间进行包的转发， 需要： gateway_enable="YES" 每次开机时自动启动 IPNAT： ipnat_enable="YES" 指定 IPNAT 规则集文件： ipnat_rules="/etc/ipnat.rules" 大型 LAN 中的 <acronym>NAT</acronym> 对于在一个 LAN 中有大量 PC， 以及包含多个 LAN 的情形， 把所有的内网 IP 地址都映射到同一个公网 IP 上会导致资源不够的问题， 因为同一个端口可能在许多做了 NAT 的 LAN PC 上被多次使用， 并导致碰撞。 有两种方法来缓解这个难题。 指定使用哪些端口 普通的 NAT 规则类似于： map dc0 192.168.1.0/24 -> 0/32 上面的规则中， 包的源端口在包通过 IPNAT 时时不会发生变化的。 通过使用 portmap 关键字， 您可以要求 IPNAT 只使用一定范围内的端口地址。 比如说， 下面的规则将让 IPNAT 把源端口改为指定范围内的端口： map dc0 192.168.1.0/24 -> 0/32 portmap tcp/udp 20000:60000 使用 auto 关键字可以让配置变得更简单一些， 它会要求 IPNAT 自动地检测可用的端口并使用： map dc0 192.168.1.0/24 -> 0/32 portmap tcp/udp auto 使用公网地址池 对很大的 LAN 而言， 总有一天会达到这样一个临界值， 此时的 LAN 地址已经多到了无法只用一个公网地址表现的程度。 如果有可用的一块公网 IP 地址， 则可以将这些地址作为一个 地址池 来使用， 让 IPNAT 来从这些公网 IP 地址中挑选用于发包的地址， 并将其为这些包创建映射关系。 例如， 如果将下面这个把所有包都映射到同一公网 IP 地址的规则： map dc0 192.168.1.0/24 -> 204.134.75.1 稍作修改， 就可以用子网掩码来表达 IP 地址范围： map dc0 192.168.1.0/24 -> 204.134.75.0/255.255.255.0 或者用 CIDR 记法来指定的一组地址了： map dc0 192.168.1.0/24 -> 204.134.75.0/24 端口重定向 非常流行的一种做法是， 将 web 服务器、 邮件服务器、 数据库服务器以及 DNS 分别放到 LAN 上的不同的 PC 上。 这种情况下， 来自这些服务器的网络流量仍然应该被 NAT， 但必须有办法把进入的流量发到对应的局域网的 PC 上。 IPNAT 提供了 NAT 重定向机制来解决这个问题。 考虑下面的情况， 您的 web 服务器的 LAN 地址是 10.0.10.25， 而您的唯一的公网 IP 地址是 20.20.20.5， 则可以编写这样的规则： rdr dc0 20.20.20.5/32 port 80 -> 10.0.10.25 port 80 或者： rdr dc0 0.0.0.0/0 port 80 -> 10.0.10.25 port 80 另外， 也可以让 LAN 地址 10.0.10.33 上运行的 LAN DNS 服务器来处理公网上的 DNS 请求： rdr dc0 20.20.20.5/32 port 53 -> 10.0.10.33 port 53 udp FTP 和 <acronym>NAT</acronym> FTP 是一个在 Internet 如今天这样为人所熟知之前就已经出现的恐龙， 那时， 研究机构和大学是通过租用的线路连到一起的， 而 FTP 则被用于在科研人员之间共享大文件。 那时， 数据的安全性并不是需要考虑的事情。 若干年之后， FTP 协议则被埋进了正在形成中的 Internet 骨干， 而它使用明文来交换用户名和口令的缺点， 并没有随着新出现的一些安全需求而得到改变。 FTP 提供了两种不同的风格， 即主动模式和被动模式。 两者的区别在于数据通道的建立方式。 被动模式相对而言要更加安全， 因为数据通道是由发起 ftp 会话的一方建立的。 关于 FTP 以及它所提供的不同模式， 在 进行了很好的阐述。 IP<acronym>NAT</acronym> 规则 IPNAT 提供了一个内建的 FTP 代理选项， 它可以在 NAT map 规则中指定。 它能够监视所有外发的 FTP 主动或被动模式的会话开始请求， 并动态地创建临时性的过滤器规则， 只打开用于数据通道的端口号。 这样， 就消除了 FTP 一般会给防火墙带来的， 需要大范围地打开高端口所可能带来的安全隐患。 下面的规则可以处理来自内网的 FTP 访问： map dc0 10.0.10.0/29 -> 0/32 proxy port 21 ftp/tcp 这个规则能够处理来自网关的 FTP 访问： map dc0 0.0.0.0/0 -> 0/32 proxy port 21 ftp/tcp 这个则处理所有来自内网的非 FTP 网络流量： map dc0 10.0.10.0/29 -> 0/32 FTP map 规则应该在普通的 map 规则之前出现。 所有的包会从最上面的第一个规则开始进行检查。 匹配的顺序是网卡名称， 内网源 IP 地址， 以及它是否是 FTP 包。 如果所有这些规则都匹配成功， 则 FTP 代理将建立一个临时的过滤规则， 以便让 FTP 会话的数据包能够正常出入， 同时对这些包进行 NAT。 所有的 LAN 数据包， 如果没有匹配第一条规则， 则会继续尝试匹配下面的规则， 并最终被 NAT。 IP<acronym>NAT</acronym> FTP 过滤规则 如果使用了 NAT FTP 代理， 则只需要为 FTP 创建一个规则。 如果没有使用 FTP 代理， 则需要下面三个规则： # Allow out LAN PC client FTP to public Internet # Active and passive modes pass out quick on rl0 proto tcp from any to any port = 21 flags S keep state # Allow out passive mode data channel high order port numbers pass out quick on rl0 proto tcp from any to any port > 1024 flags S keep state # Active mode let data channel in from FTP server pass in quick on rl0 proto tcp from any to any port = 20 flags S keep state IPFW 防火墙 IPFW 这一节的内容正在撰写中。 其内容可能不总是十分准确。 IPFIREWALL (IPFW) 是一个由 &os; 发起的防火墙应用软件， 它由 &os; 的志愿者成员编写和维护。 它使用了传统的无状态规则和规则编写方式， 以期达到简单状态逻辑所期望的目标。 标准的 &os; 安装中， IPFW 所给出的规则集样例 (可以在 /etc/rc.firewall 中找到) 非常简单， 建议不要不加修改地直接使用。 该样例中没有使用状态过滤， 而该功能在大部分的配置中都是非常有用的， 因此这一节并不以系统自带的样例作为基础。 IPFW 的无状态规则语法， 是由一种提供复杂的选择能力的技术支持的， 这种技术远远超出了一般的防火墙安装人员的知识水平。 IPFW 是为满足专业用户， 以及掌握先进技术的电脑爱好者们对于高级的包选择需求而设计的。 要完全释放 IPFW 的规则所拥有的强大能力， 需要对不同的协议的细节有深入的了解， 并根据它们独特的包头信息来编写规则。 这一级别的详细阐述超出了这本手册的范围。 IPFW 由七个部分组成， 其主要组件是内核的防火墙过滤规则处理器， 及其集成的数据包记帐工具、 日志工具、 用以触发 NAT 工具的 'divert' (转发) 规则、 高级特殊用途工具、 dummynet 流量整形机制， 'fwd rule' 转发工具， 桥接工具， 以及 ipstealth 工具。 启用 IPFW IPFW 启用 IPFW 是基本的 &os; 安装的一部分， 以单独的可加载内核模块的形式提供。 如果在 rc.conf 中加入 firewall_enable="YES" 语句， 就会自动地加载对应的内核模块。 除非您打算使用由它提供的 NAT 功能， 一般情况下并不需要把 IPFW 编进 &os; 的内核。 如果将 firewall_enable="YES" 加入到 rc.conf 中并重新启动系统， 则下列信息将在启动过程中， 以高亮的白色显示出来： ipfw2 initialized, divert disabled, rule-based forwarding disabled, default to deny, logging disabled 可加载内核模块在编译时加入了记录日志的能力。 要启用日志功能， 并配置详细日志记录的限制， 需要在 /etc/sysctl.conf 中加入一些配置。 这些设置将在重新启动之后生效： net.inet.ip.fw.verbose=1 net.inet.ip.fw.verbose_limit=5 内核选项 内核选项 IPFIREWALL 内核选项 IPFIREWALL_VERBOSE 内核选项 IPFIREWALL_VERBOSE_LIMIT IPFW 内核选项 把下列选项在编译 &os; 内核时就加入， 并不是启用 IPFW 所必需的， 除非您需要使用 NAT 功能。 这里只是将这些选项作为背景知识来介绍。 options IPFIREWALL 这个选项将 IPFW 作为内核的一部分来启用。 options IPFIREWALL_VERBOSE 这个选项将启用记录通过 IPFW 的匹配了包含 'log' 关键字规则的每一个包的功能。 options IPFIREWALL_VERBOSE_LIMIT=5 以每项的方式， 限制通过 &man.syslogd.8; 记录的包的个数。 如果在比较恶劣的环境下记录防火墙的活动可能会需要这个选项。 它能够避免潜在的针对 syslog 的洪水式拒绝服务攻击。 内核选项 IPFIREWALL_DEFAULT_TO_ACCEPT options IPFIREWALL_DEFAULT_TO_ACCEPT 这个选项默认地允许所有的包通过防火墙， 如果您是第一次配置防火墙， 使用这个选项将是一个不错的主意。 options IPV6FIREWALL options IPV6FIREWALL_VERBOSE options IPV6FIREWALL_VERBOSE_LIMIT options IPV6FIREWALL_DEFAULT_TO_ACCEPT 这些选项与 IPv4 的对应选项功能一样， 它们是针对 IPv6 的。 如果不使用 IPv6， 则不带任何规则的 IPV6FIREWALL 将阻止所有的 IPv6 包。 内核选项 IPDIVERT options IPDIVERT 这一选项启用 NAT 功能。 如果内核选项中没有加入 IPFIREWALL_DEFAULT_TO_ACCEPT， 或将您的防火墙设置配置为允许所有的进入包， 则所有发到本机或发出的包都会被阻止。 <filename>/etc/rc.conf</filename> Options 启用防火墙： firewall_enable="YES" 要选择由 &os; 提供的几种防火墙类型中的一种来作为默认配置， 您需要阅读 /etc/rc.firewall 文件并选出合适的类型， 然后在 /etc/rc.conf 中加入类似下面的配置： firewall_type="open" 您还可以指定下列配置规则之一： open — 允许所有流量通过。 client — 只保护本机。 simple — 保护整个网络。 closed — 完全禁止除回环设备之外的全部 IP 流量。 UNKNOWN — 禁止加载防火墙规则。 filename — 到防火墙规则文件的绝对路径。 有两种加载自定义 ipfw 防火墙规则的方法。 其一是将变量 firewall_type 设为包含不带 &man.ipfw.8; 命令行选项的 防火墙规则 文件的完整路径。 下面是一个简单的规则集例子： add block in all add block out all 除此之外， 也可以将 firewall_script 变量设为包含 ipfw 命令的可执行脚本， 这样这个脚本会在启动时自动执行。 与前面规则集文件等价的规则脚本如下： #!/bin/sh ipfw -q flush ipfw add block in all ipfw add block out all 如果 firewall_type 设为 client 或 simple， 则还应查看在 /etc/rc.firewall 中的默认规则， 以确认它们与所在机器的配置相一致。 此外， 请注意这一章中的例子均假定 firewall_script 是 /etc/ipfw.rules。 启用日志： firewall_logging="YES" 设置 firewall_logging 的唯一作用是， 系统将把 net.inet.ip.fw.verbose sysctl 变量置为 1 (参见 )。 并没有能够设置日志限制的 rc.conf 变量， 不过这种限制可以通过设置某些 sysctl 变量来完成， 可以手工进行操作， 也可以写到 /etc/sysctl.conf 文件中： net.inet.ip.fw.verbose_limit=5 如果您的计算机是作为网关使用的， 也就是它通过 &man.natd.8; 提供网络地址翻译 (NAT)， 请参见 以了解需要在 /etc/rc.conf 中配置的选项。 IPFW 命令 ipfw ipfw 命令是在防火墙运行时， 用于在其内部规则表中手工逐条添加或删除防火墙规则的标准工具。 这一方法的问题在于， 一旦您的关闭计算机或停机， 则所有增加或删除或修改的规则也就丢掉了。 把所有的规则都写到一个文件中， 并在启动时使用这个文件来加载规则， 或一次大批量地替换防火墙规则， 那么推荐使用这里介绍的方法。 ipfw 的另一个非常实用的功能是将所有正在运行的防火墙规则显示出来。 IPFW 的记账机制会为每一个规则动态地创建计数器， 用以记录与它们匹配的包的数量。 在测试规则的过程中， 列出规则及其计数器是了解它们是否工作正常的重要手段。 按顺序列出所有的规则： &prompt.root; ipfw list 列出所有的规则， 同时给出最后一次匹配的时间戳： &prompt.root; ipfw -t list 列出所有的记账信息、 匹配规则的包的数量， 以及规则本身。 第一列是规则的编号， 随后是发出包匹配的数量， 进入包的匹配数量， 最后是规则本身。 &prompt.root; ipfw -a list 列出所有的动态规则和静态规则： &prompt.root; ipfw -d list 同时显示已过期的动态规则： &prompt.root; ipfw -d -e list 将计数器清零： &prompt.root; ipfw zero 只把规则号为 NUM 的计数器清零： &prompt.root; ipfw zero NUM IPFW 规则集 规则集是一组根据包中选择的数值使用 allow 或 deny 写出的 ipfw 规则。 在两个主机之前的双向包交换组成了一次会话交互。 防火墙规则集， 会对同一个包处理两次： 第一次是包从公网上到达防火墙时， 而第二次则是包返回 Internet 公网上的主机时。 每一个 TCP/IP 服务 (例如 telnet, www, mail, 等等)， 都有事先定义好的协议， 以及一个端口号。 这可以作为建立允许或阻止规则时的基本选择依据。 IPFW 规则处理顺序 当有数据包进入防火墙时， 会从规则集里的第一个规则开始进行比较， 并自顶向下地进行匹配。 当包与某个选择规则参数相匹配时， 将会执行规则所定义的动作， 并停止规则集搜索。 这种策略， 通常也被称作 最先匹配者获胜 的搜索方法。 如果没有任何与包相匹配的规则， 那么它就会根据强制的 ipfw 默认规则， 也就是 65535 号规则截获。 一般情况下这个规则是阻止包， 而且不给出任何回应。 如果规则定义的动作是 count、 skipto 或 tee 规则的话， 搜索会继续。 这里所介绍的规则， 都是使用了那些包含状态功能的， 也就是 'keep state'、 'limit'、 'in'/'out'、 或者 'via' 选项的规则。 这是编写包容式防火墙规则集所需的基本框架。 包容式防火墙只允许与规则匹配的包通过。 这样， 您就既能够控制来自防火墙后面的机器请求 Internet 公网上的那些服务， 同时也可以控制来自 Internet 的请求能够访问内部网上的哪些服务。 所有其它的访问请求都会被阻止， 并记录下来。 包容式防火墙一般而言要远比排斥式的要安全， 而且也只需要定义允许哪些访问通过。 在操作防火墙规则时应谨慎行事， 如果操作不当， 有可能将自己反锁在外面。 规则语法 IPFW 规则语法 这里所介绍的规则语法已经经过了简化， 只包括了建立标准的包容式防火墙规则集所必需的那些。 要了解完整的规则语法说明， 请参见 &man.ipfw.8; 联机手册。 规则是由关键字组成的： 这些关键字必须以特定的顺序从左到右书写。 下面的介绍中， 关键字使用粗体表示。 某些关键字还包括了子选项， 这些子选项本身可能也是关键字， 有些还可以包含更多的子选项。 # 用于表示开始一段注释。 它可以出现在一个规则的后面， 也可以独占一行。 空行会被忽略。 CMD RULE_NUMBER ACTION LOGGING SELECTION STATEFUL CMD 每一个新的规则都应以 add 作为前缀， 它表示将规则加入内部表。 RULE_NUMBER 每一个规则都必须包含一个规则编号。 ACTION 每一个规则可以与下列的动作之一相关联， 所指定的动作将在进入的数据包与规则所指定的选择标准相匹配时执行。 allow | accept | pass | permit 这些关键字都表示允许匹配规则的包通过防火墙， 并停止继续搜索规则。 check-state 根据动态规则表检查数据包。 如果匹配， 则执行规则所指定的动作， 亦即生成动态规则； 否则， 转移到下一个规则。 check-state 规则没有选择标准。 如果规则集中没有 check-state 规则， 则会在第一个 keep-state 或 limit 规则处， 对动态规则表实施检查。 deny | drop 这两个关键字都表示丢弃匹配规则的包。 同时， 停止继续搜索规则。 LOGGING log or logamount 当数据包与带 log 关键字的规则匹配时， 将通过名为 SECURITY 的 facility 来把消息记录到 syslogd。 只有在记录的次数没有超过 logamount 参数所指定的次数时， 才会记录日志。 如果没有指定 logamount， 则会以 sysctl 变量 net.inet.ip.fw.verbose_limit 所指定的限制为准。 如果将这两种限制值之一指定为零， 则表示不作限制。 万一达到了限制数， 可以通过将规则的日志计数或包计数清零来重新启用日志， 请参见 ipfw reset log 命令来了解细节。 日志是在所有其他匹配条件都验证成功之后， 在针对包实施最终动作 (accept, deny) 之前进行的。 您可以自行决定哪些规则应启用日志。 SELECTION 这一节所介绍的关键字主要用来描述检查包的哪些属性， 用以判断包是否与规则相匹配。 下面是一些通用的用于匹配包特征的属性， 它们必须按顺序使用： udp | tcp | icmp 也可以指定在 /etc/protocols 中所定义的协议。 这个值定义的是匹配的协议， 在规则中必须指定它。 from src to dst from 和 to 关键字用于匹配 IP 地址。 规则中必须同时指定源和目的两个参数。 如果需要匹配任意 IP 地址， 可以使用特殊关键字 any。 还有一个特殊关键字， 即 me， 用于匹配您的 &os; 系统上所有网络接口上所配置的 IP 地址， 它可以用于表达网络上的其他计算机到防火墙 (也就是本机)， 例如 'from me to any' 或 'from any to me' 或 'from 0.0.0.0/0 to any' 或 'from any to 0.0.0.0/0' 或 'from 0.0.0.0 to any' 或 'from any to 0.0.0.0' 以及 'from me to 0.0.0.0'。 IP 地址可以通过 带点的 IP 地址/掩码长度， 或者一个带点的 IP 地址的形式来指定。 这是编写规则时所必需的。 如果不清楚如何写掩码长度， 请参见 。 port number 这个参数主要用于那些支持端口号的协议 (例如 TCP 和 UDP)。 如果要通过端口号匹配某个协议， 就必须指定这个参数。 此外， 也可以通过服务的名字 (根据 /etc/services) 来指定服务， 这样会比使用数字指定端口号直观一些。 in | out 相应地， 匹配进入和发出的包。 这里的 in 和 out 都是关键字， 在编写匹配规则时， 必需作为其他条件的一部分来使用。 via IF 根据指定的网络接口的名称精确地匹配进出的包。 这里的 via 关键字将使得接口名称成为匹配过程的一部分。 setup 要匹配 TCP 会话的发起请求， 就必须使用它。 keep-state 这是一个必须使用的关键字。 在发生匹配时， 防火墙将创建一个动态规则， 其默认行为是， 匹配使用同一协议的、从源到目的 IP/端口 的双向网络流量。 limit {src-addr | src-port | dst-addr | dst-port} 防火墙只允许匹配规则时， 与指定的参数相同的 N 个连接。 可以指定至少一个源或目的地址及端口。 'limit' 和 'keep-state' 不能在同一规则中同时使用。 'limit' 提供了与 'keep-state' 相同的功能， 并增加了一些独有的能力。 状态规则选项 IPFW 带状态过滤 有状态过滤将网络流量当作一种双向的包交换来处理。 它提供了一种额外的检查能力， 用以检测会话中的包是否来自最初的发送者， 并在遵循双向包交换的规则进行会话。 如果包与这些规则不符， 则将自动地拒绝它们。 'check-state' 用来识别在 IPFW 规则集中的包是否符合动态规则机制的规则。 如果匹配， 则允许包通过， 此时防火墙将创建一个新的动态规则来匹配双向交换中的下一个包。 如果不匹配， 则将继续尝试规则集中的下一个规则。 动态规则机制在 SYN-flood 攻击下是脆弱的， 因为这种情况会产生大量的动态规则， 从而耗尽资源。 为了抵抗这种攻击， 从 &os; 中加入了一个叫做 limit 的新选项。 这个选项可以用来限制符合规则的会话允许的并发连接数。 如果动态规则表中的规则数超过限制， 则包将被丢弃。 记录防火墙消息 IPFW 记录日志 记录日志的好处是显而易见的： 它提供了在事后检查所发生的状况的方法， 例如哪些包被丢弃了， 这些包的来源和目的地， 从而为您提供找到攻击者所需的证据。 即使启用了日志机制， IPFW 也不会自行生成任何规则的日志。 防火墙管理员需要指定规则集中的哪些规则应该记录日志， 并在这些规则上增加 log 动作。 一般来说， 只有 deny 规则应记录日志， 例如对于进入的 ICMP ping 的 deny 规则。 另外， 复制默认的 ipfw 终极 deny 规则， 并加入 log 动作来作为您的规则集的最后一条规则也是很常见的用法。 这样， 您就能看到没有匹配任何一条规则的那些数据包。 日志是一把双刃剑， 如果不谨慎地加以利用， 则可能会陷入过多的日志数据中， 并导致磁盘被日志塞满。 将磁盘填满是 DoS 攻击最为老套的手法之一。 由于日志除了会写入磁盘之外， 还会输出到 root 的控制台屏幕上， 因此有过多的日志信息是很让人恼火的事情。 IPFIREWALL_VERBOSE_LIMIT=5 内核选项将限制同一个规则发到系统日志程序 syslogd 的连续消息的数量。 当内核启用了这个选项时， 某一特定规则所产生的连续消息的数量将封顶为这个数字。 一般来说， 没有办法从连续 200 条一模一样的日志信息中获取更多有用的信息。 举例来说， 如果同一个规则产生了 5 次消息并被记录到 syslogd， 余下的相同的消息将被计数， 并像下面这样发给 syslogd： last message repeated 45 times 所有记录的数据包包消息， 默认情况下会最终写到 /var/log/security 文件中， 后者在 /etc/syslog.conf 文件里进行了定义。 编写规则脚本 绝大多数有经验的 IPFW 用户会创建一个包含规则的文件， 并且， 按能够以脚本形式运行的方式来书写。 这样做最大的一个好处是， 可以大批量地刷新防火墙规则， 而无须重新启动系统就能够激活它们。 这种方法在测试新规则时会非常方便， 因为同一过程在需要时可以多次执行。 作为脚本， 您可以使用符号替换来撰写那些经常需要使用的值， 并用同一个符号在多个规则中反复地表达它。 下面将给出一个例子。 这个脚本使用的语法同 'sh'、 'csh' 以及 'tcsh' 脚本兼容。 符号替换字段使用美元符号 $ 作为前缀。 符号字段本身并不使用 $ 前缀。 符号替换字段的值必须使用 "双引号" 括起来。 可以使用类似下面的规则文件： ############### start of example ipfw rules script ############# # ipfw -q -f flush # Delete all rules # Set defaults oif="tun0" # out interface odns="192.0.2.11" # ISP's DNS server IP address cmd="ipfw -q add " # build rule prefix ks="keep-state" # just too lazy to key this each time $cmd 00500 check-state $cmd 00502 deny all from any to any frag $cmd 00501 deny tcp from any to any established $cmd 00600 allow tcp from any to any 80 out via $oif setup $ks $cmd 00610 allow tcp from any to $odns 53 out via $oif setup $ks $cmd 00611 allow udp from any to $odns 53 out via $oif $ks ################### End of example ipfw rules script ############ 这就是所要做的全部事情了。 例子中的规则并不重要， 它们主要是用来表示如何使用符号替换。 如果把上面的例子保存到 /etc/ipfw.rules 文件中， 您就可以通过输入下面的命令来加载它。 &prompt.root; sh /etc/ipfw.rules /etc/ipfw.rules 这个文件可以放到任何位置， 也可以命名为随便什么别的名字。 也可以手工执行下面的命令来达到类似的目的： &prompt.root; ipfw -q -f flush &prompt.root; ipfw -q add check-state &prompt.root; ipfw -q add deny all from any to any frag &prompt.root; ipfw -q add deny tcp from any to any established &prompt.root; ipfw -q add allow tcp from any to any 80 out via tun0 setup keep-state &prompt.root; ipfw -q add allow tcp from any to 192.0.2.11 53 out via tun0 setup keep-state &prompt.root; ipfw -q add 00611 allow udp from any to 192.0.2.11 53 out via tun0 keep-state 带状态规则集 以下的这组非-NAT 规则集， 是如何编写非常安全的 '包容式' 防火墙的一个例子。 包容式防火墙只允许匹配了 pass 规则的包通过， 而默认阻止所有的其他数据包。 必须有至少两个网络接口， 并且在其上配置了规则才能使防火墙正常工作。 所有类 &unix; 操作系统， 也包括 &os;， 都设计为允许使用网络接口 lo0 和 IP 地址 127.0.0.1 来完成操作系统内部的通讯。 防火墙必须包含一组规则， 使这些数据包能够无障碍地收发。 接入 Internet 公网的那个网络接口上， 应该配置授权和访问控制， 来限制对外的访问， 以及来自 Internet 公网的访问。 这个接口很可能是您的 ppp 接口， 例如 tun0， 或者您接在 DSL 或电缆 modem 上的网卡。 如果有至少一个网卡接入了防火墙后的内网 LAN， 则必须为这些接口配置规则， 以便让这些接口之间的包能够顺畅地通过。 所有的规则应被组织为三个部分， 所有应无阻碍地通过的规则， 公网的发出规则， 以及公网的接收规则。 公网接口相关的规则的顺序， 应该是最经常用到的放在尽可能靠前的位置， 而最后一个规则， 则应该是阻止那个接口在那一方向上的包。 发出部分的规则只包含一些 'allow' 规则， 允许选定的那些唯一区分协议的端口号所指定的协议通过， 以允许访问 Internet 公网上的这些服务。 所有的规则中都指定了 proto, port, in/out, via 以及 keep state 这些选项。 'proto tcp' 规则同时指定 'setup' 选项， 来区分开始协议会话的包， 以触发将包放入 keep state 规则表中的动作。 接收部分则首先阻止所有不希望的包， 在这里有两个目的。 首先是， 这些包被禁止掉之后， 就不会由于匹配了后面的某个规则而被允许。 其次， 明确地禁止这些包， 就不会再在日志中记录它们而形成干扰。 防火墙的最后一条规则是阻止并记录所有包， 这样， 您就可以留下用于起诉攻击您的系统的人的有用记录。 另一件需要注意的事情是， 不希望的数据包一般来说不会有任何响应， 这些数据包会被丢弃并消失。 这样， 攻击者也就无法了解他的数据包是否到达了您的系统。 而攻击者了解的信息越少， 它们攻陷系统所需的时间也就越长。 当记录的包使用的端口号不是您所熟悉的那些时， 可以看一看 /etc/services/ 或到 并查找一下端口号， 以了解其用途。 另外， 您也可以在这个网页上了解常见木马所使用的端口： 。 包容式规则集的例子 下面是一个非-NAT 的规则集， 它是一个完整的包容式规则集。 使用它作为您的规则集不会有什么问题。 只需把那些不需要的服务对应的 pass 规则注释掉就可以了。 如果您在日志中看到消息， 而且不想再看到它们， 只需在接收部分增加一个一个 deny 规则。 您可能需要把 'dc0' 改为接入公网的接口的名字。 对于使用用户态 ppp 的用户而言， 应该是 'tun0'。 您可以看出这些规则中的模式。 所有请求 Internet 公网上服务的会话开始包， 都使用了 keep-state。 所有来自 Internet 的授权服务请求， 都采用了 limit 选项来防止洪水式攻击。 所有的规则都使用了 in 或者 out 来说明方向。 所有的规则都使用了 via 接口名来指定应该匹配通过哪一个接口的包。 这些规则都应放到 /etc/ipfw.rules。 ################ Start of IPFW rules file ############################### # Flush out the list before we begin. ipfw -q -f flush # Set rules command prefix cmd="ipfw -q add" pif="dc0" # public interface name of NIC # facing the public Internet ################################################################# # No restrictions on Inside LAN Interface for private network # Not needed unless you have LAN. # Change xl0 to your LAN NIC interface name ################################################################# #$cmd 00005 allow all from any to any via xl0 ################################################################# # No restrictions on Loopback Interface ################################################################# $cmd 00010 allow all from any to any via lo0 ################################################################# # Allow the packet through if it has previous been added to the # the "dynamic" rules table by a allow keep-state statement. ################################################################# $cmd 00015 check-state ################################################################# # Interface facing Public Internet (Outbound Section) # Interrogate session start requests originating from behind the # firewall on the private network or from this gateway server # destine for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # x.x.x.x must be the IP address of your ISP.s DNS # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file $cmd 00110 allow tcp from any to x.x.x.x 53 out via $pif setup keep-state $cmd 00111 allow udp from any to x.x.x.x 53 out via $pif keep-state # Allow out access to my ISP's DHCP server for cable/DSL configurations. # This rule is not needed for .user ppp. connection to the public Internet. # so you can delete this whole group. # Use the following rule and check log for IP address. # Then put IP address in commented out rule & delete first rule $cmd 00120 allow log udp from any to any 67 out via $pif keep-state #$cmd 00120 allow udp from any to x.x.x.x 67 out via $pif keep-state # Allow out non-secure standard www function $cmd 00200 allow tcp from any to any 80 out via $pif setup keep-state # Allow out secure www function https over TLS SSL $cmd 00220 allow tcp from any to any 443 out via $pif setup keep-state # Allow out send & get email function $cmd 00230 allow tcp from any to any 25 out via $pif setup keep-state $cmd 00231 allow tcp from any to any 110 out via $pif setup keep-state # Allow out FBSD (make install & CVSUP) functions # Basically give user root "GOD" privileges. $cmd 00240 allow tcp from me to any out via $pif setup keep-state uid root # Allow out ping $cmd 00250 allow icmp from any to any out via $pif keep-state # Allow out Time $cmd 00260 allow tcp from any to any 37 out via $pif setup keep-state # Allow out nntp news (i.e. news groups) $cmd 00270 allow tcp from any to any 119 out via $pif setup keep-state # Allow out secure FTP, Telnet, and SCP # This function is using SSH (secure shell) $cmd 00280 allow tcp from any to any 22 out via $pif setup keep-state # Allow out whois $cmd 00290 allow tcp from any to any 43 out via $pif setup keep-state # deny and log everything else that.s trying to get out. # This rule enforces the block all by default logic. $cmd 00299 deny log all from any to any out via $pif ################################################################# # Interface facing Public Internet (Inbound Section) # Interrogate packets originating from the public Internet # destine for this gateway server or the private network. ################################################################# # Deny all inbound traffic from non-routable reserved address spaces $cmd 00300 deny all from 192.168.0.0/16 to any in via $pif #RFC 1918 private IP $cmd 00301 deny all from 172.16.0.0/12 to any in via $pif #RFC 1918 private IP $cmd 00302 deny all from 10.0.0.0/8 to any in via $pif #RFC 1918 private IP $cmd 00303 deny all from 127.0.0.0/8 to any in via $pif #loopback $cmd 00304 deny all from 0.0.0.0/8 to any in via $pif #loopback $cmd 00305 deny all from 169.254.0.0/16 to any in via $pif #DHCP auto-config $cmd 00306 deny all from 192.0.2.0/24 to any in via $pif #reserved for docs $cmd 00307 deny all from 204.152.64.0/23 to any in via $pif #Sun cluster interconnect $cmd 00308 deny all from 224.0.0.0/3 to any in via $pif #Class D & E multicast # Deny public pings $cmd 00310 deny icmp from any to any in via $pif # Deny ident $cmd 00315 deny tcp from any to any 113 in via $pif # Deny all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 $cmd 00320 deny tcp from any to any 137 in via $pif $cmd 00321 deny tcp from any to any 138 in via $pif $cmd 00322 deny tcp from any to any 139 in via $pif $cmd 00323 deny tcp from any to any 81 in via $pif # Deny any late arriving packets $cmd 00330 deny all from any to any frag in via $pif # Deny ACK packets that did not match the dynamic rule table $cmd 00332 deny tcp from any to any established in via $pif # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP.s DHCP server as it.s the only # authorized source to send this packet type. # Only necessary for cable or DSL configurations. # This rule is not needed for .user ppp. type connection to # the public Internet. This is the same IP address you captured # and used in the outbound section. #$cmd 00360 allow udp from any to x.x.x.x 67 in via $pif keep-state # Allow in standard www function because I have apache server $cmd 00400 allow tcp from any to me 80 in via $pif setup limit src-addr 2 # Allow in secure FTP, Telnet, and SCP from public Internet $cmd 00410 allow tcp from any to me 22 in via $pif setup limit src-addr 2 # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID & PW are passed over public # Internet as clear text. # Delete this sample group if you do not have telnet server enabled. $cmd 00420 allow tcp from any to me 23 in via $pif setup limit src-addr 2 # Reject & Log all incoming connections from the outside $cmd 00499 deny log all from any to any in via $pif # Everything else is denied by default # deny and log all packets that fell through to see what they are $cmd 00999 deny log all from any to any ################ End of IPFW rules file ############################### 一个 <acronym>NAT</acronym> 和带状态规则集的例子 NAT 以及 IPFW 要使用 IPFW 的 NAT 功能， 还需要进行一些额外的配置。 除了其他 IPFIREWALL 语句之外， - 还需要在内核编译配置中加上 'option divert' 语句。 + 还需要在内核编译配置中加上 'option IPDIVERT' 语句。 在 /etc/rc.conf 中， 除了普通的 IPFW 配置之外， 还需要加入： natd_enable="YES" # Enable NATD function natd_interface="rl0" # interface name of public Internet NIC natd_flags="-dynamic -m" # -m = preserve port numbers if possible 将带状态规则与转发 natd 规则 (网络地址转换) 会使规则集的编写变得非常复杂。 check-state 的位置， 以及 'divert natd' 规则将变得非常关键。 这样一来， 就不再有简单的顺序处理逻辑流程了。 提供了一种新的动作类型， 称为 'skipto'。 要使用 skipto 命令， 就必须给每一个规则进行编号， 以确定 skipto 规则号是您希望跳转到的位置。 下面给出了一些未加注释的例子来说明如何编写这样的规则， 用以帮助您理解包处理规则集的处理顺序。 处理流程从规则文件最上边的第一个规则开始处理， 并自顶向下地尝试每一个规则， 直到找到匹配的规则， 且数据包从防火墙中放出为止。 请注意规则号 100 101， 450， 500， 以及 510 的位置非常重要。 这些规则控制发出和接收的包的地址转换过程， 这样它们在 keep-state 动态表中的对应项中就能够与内网的 LAN IP 地址关联。 另一个需要注意的是， 所有的 allow 和 deny 规则都指定了包的方向 (也就是 outbound 或 inbound) 以及网络接口。 最后， 请注意所有发出的会话请求都会请求 skipto rule 500 以完成网络地址转换。 下面以 LAN 用户使用 web 浏览器访问一个 web 页面为例。 Web 页面使用 80 来完成通讯。 当包进入防火墙时， 规则 100 并不匹配， 因为它是发出而不是收到的包。 它能够通过规则 101， 因为这是第一个包， 因而它还没有进入动态状态保持表。 包最终到达规则 125， 并匹配该规则。 最终， 它会通过接入 Internet 公网的网卡发出。 这之前， 包的源地址仍然是内网 IP 地址。 一旦匹配这个规则， 就会触发两个动作。 keep-state 选项会把这个规则发到 keep-state 动态规则表中， 并执行所指定的动作。 动作是发到规则表中的信息的一部分。 在这个例子中， 这个动作是 "skipto rule 500"。 规则 500 NAT 包的 IP 地址， 并将其发出。 请务必牢记， 这一步非常重要。 接下来， 数据包将到达目的地， 之后返回并从规则集的第一条规则开始处理。 这一次， 它将与规则 100 匹配， 其目的 IP 地址将被映射回对应的内网 LAN IP 地址。 其后， 它会被 check-state 规则处理， 进而在暨存会话表中找到对应项， 并发到 LAN。 数据包接下来发到了内网 LAN PC 上， 而后者则会发送从远程服务器请求下一段数据的新数据包。 这个包会再次由 check-state 规则检查， 并找到发出的表项， 并执行其关联的动作， 即 'skipto 500'。 包跳转到规则 500 并被 NAT 后发出。 在接收一侧， 已经存在的会话的数据包， 会被 check-state 规则自动地处理， 并放到转发 natd 规则。 我们需要解决的问题是， 阻止所有的坏数据包， 而只允许授权的服务。 例如在防火墙上运行了 Apache 服务， 而我们希望人们在访问 Internet 公网的同时， 也能够访问本地的 web 站点。 新的接入开始请求包将匹配规则 100， 而 IP 地址则为防火墙所在的服务器而映射到了 LAN IP。 此后， 包会匹配所有我们希望检查的那些令人生厌的东西， 并最终匹配规则 425。 一旦发生匹配， 会发生两件事。 数据包会被发到 keep-state 动态表， 但此时， 所有来自那个源 IP 的会话请求的数量会被限制为 2。 这一做法能够挫败针对指定端口上服务的 DoS 攻击。 动作同时指定了包应被发到 LAN 上。 包返回时， check-state 规则会识别出包属于某一已经存在的会话交互， 并直接把它发到规则 500 做 NAT， 并发到发出接口。 示范规则集 #1: #!/bin/sh cmd="ipfw -q add" skip="skipto 500" pif=rl0 ks="keep-state" good_tcpo="22,25,37,43,53,80,443,110,119" ipfw -q -f flush $cmd 002 allow all from any to any via xl0 # exclude LAN traffic $cmd 003 allow all from any to any via lo0 # exclude loopback traffic $cmd 100 divert natd ip from any to any in via $pif $cmd 101 check-state # Authorized outbound packets $cmd 120 $skip udp from any to xx.168.240.2 53 out via $pif $ks $cmd 121 $skip udp from any to xx.168.240.5 53 out via $pif $ks $cmd 125 $skip tcp from any to any $good_tcpo out via $pif setup $ks $cmd 130 $skip icmp from any to any out via $pif $ks $cmd 135 $skip udp from any to any 123 out via $pif $ks # Deny all inbound traffic from non-routable reserved address spaces $cmd 300 deny all from 192.168.0.0/16 to any in via $pif #RFC 1918 private IP $cmd 301 deny all from 172.16.0.0/12 to any in via $pif #RFC 1918 private IP $cmd 302 deny all from 10.0.0.0/8 to any in via $pif #RFC 1918 private IP $cmd 303 deny all from 127.0.0.0/8 to any in via $pif #loopback $cmd 304 deny all from 0.0.0.0/8 to any in via $pif #loopback $cmd 305 deny all from 169.254.0.0/16 to any in via $pif #DHCP auto-config $cmd 306 deny all from 192.0.2.0/24 to any in via $pif #reserved for docs $cmd 307 deny all from 204.152.64.0/23 to any in via $pif #Sun cluster $cmd 308 deny all from 224.0.0.0/3 to any in via $pif #Class D & E multicast # Authorized inbound packets $cmd 400 allow udp from xx.70.207.54 to any 68 in $ks $cmd 420 allow tcp from any to me 80 in via $pif setup limit src-addr 1 $cmd 450 deny log ip from any to any # This is skipto location for outbound stateful rules $cmd 500 divert natd ip from any to any out via $pif $cmd 510 allow ip from any to any ######################## end of rules ################## 下面的这个规则集基本上和上面一样， 但使用了易于读懂的编写方式， 并给出了相当多的注解， 以帮助经验较少的 IPFW 规则编写者更好地理解这些规则到底在做什么。 示范规则集 #2： #!/bin/sh ################ Start of IPFW rules file ############################### # Flush out the list before we begin. ipfw -q -f flush # Set rules command prefix cmd="ipfw -q add" skip="skipto 800" pif="rl0" # public interface name of NIC # facing the public Internet ################################################################# # No restrictions on Inside LAN Interface for private network # Change xl0 to your LAN NIC interface name ################################################################# $cmd 005 allow all from any to any via xl0 ################################################################# # No restrictions on Loopback Interface ################################################################# $cmd 010 allow all from any to any via lo0 ################################################################# # check if packet is inbound and nat address if it is ################################################################# $cmd 014 divert natd ip from any to any in via $pif ################################################################# # Allow the packet through if it has previous been added to the # the "dynamic" rules table by a allow keep-state statement. ################################################################# $cmd 015 check-state ################################################################# # Interface facing Public Internet (Outbound Section) # Interrogate session start requests originating from behind the # firewall on the private network or from this gateway server # destine for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # x.x.x.x must be the IP address of your ISP's DNS # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file $cmd 020 $skip tcp from any to x.x.x.x 53 out via $pif setup keep-state # Allow out access to my ISP's DHCP server for cable/DSL configurations. $cmd 030 $skip udp from any to x.x.x.x 67 out via $pif keep-state # Allow out non-secure standard www function $cmd 040 $skip tcp from any to any 80 out via $pif setup keep-state # Allow out secure www function https over TLS SSL $cmd 050 $skip tcp from any to any 443 out via $pif setup keep-state # Allow out send & get email function $cmd 060 $skip tcp from any to any 25 out via $pif setup keep-state $cmd 061 $skip tcp from any to any 110 out via $pif setup keep-state # Allow out FreeBSD (make install & CVSUP) functions # Basically give user root "GOD" privileges. $cmd 070 $skip tcp from me to any out via $pif setup keep-state uid root # Allow out ping $cmd 080 $skip icmp from any to any out via $pif keep-state # Allow out Time $cmd 090 $skip tcp from any to any 37 out via $pif setup keep-state # Allow out nntp news (i.e. news groups) $cmd 100 $skip tcp from any to any 119 out via $pif setup keep-state # Allow out secure FTP, Telnet, and SCP # This function is using SSH (secure shell) $cmd 110 $skip tcp from any to any 22 out via $pif setup keep-state # Allow out whois $cmd 120 $skip tcp from any to any 43 out via $pif setup keep-state # Allow ntp time server $cmd 130 $skip udp from any to any 123 out via $pif keep-state ################################################################# # Interface facing Public Internet (Inbound Section) # Interrogate packets originating from the public Internet # destine for this gateway server or the private network. ################################################################# # Deny all inbound traffic from non-routable reserved address spaces $cmd 300 deny all from 192.168.0.0/16 to any in via $pif #RFC 1918 private IP $cmd 301 deny all from 172.16.0.0/12 to any in via $pif #RFC 1918 private IP $cmd 302 deny all from 10.0.0.0/8 to any in via $pif #RFC 1918 private IP $cmd 303 deny all from 127.0.0.0/8 to any in via $pif #loopback $cmd 304 deny all from 0.0.0.0/8 to any in via $pif #loopback $cmd 305 deny all from 169.254.0.0/16 to any in via $pif #DHCP auto-config $cmd 306 deny all from 192.0.2.0/24 to any in via $pif #reserved for docs $cmd 307 deny all from 204.152.64.0/23 to any in via $pif #Sun cluster $cmd 308 deny all from 224.0.0.0/3 to any in via $pif #Class D & E multicast # Deny ident $cmd 315 deny tcp from any to any 113 in via $pif # Deny all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 $cmd 320 deny tcp from any to any 137 in via $pif $cmd 321 deny tcp from any to any 138 in via $pif $cmd 322 deny tcp from any to any 139 in via $pif $cmd 323 deny tcp from any to any 81 in via $pif # Deny any late arriving packets $cmd 330 deny all from any to any frag in via $pif # Deny ACK packets that did not match the dynamic rule table $cmd 332 deny tcp from any to any established in via $pif # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP's DHCP server as it's the only # authorized source to send this packet type. # Only necessary for cable or DSL configurations. # This rule is not needed for 'user ppp' type connection to # the public Internet. This is the same IP address you captured # and used in the outbound section. $cmd 360 allow udp from x.x.x.x to any 68 in via $pif keep-state # Allow in standard www function because I have Apache server $cmd 370 allow tcp from any to me 80 in via $pif setup limit src-addr 2 # Allow in secure FTP, Telnet, and SCP from public Internet $cmd 380 allow tcp from any to me 22 in via $pif setup limit src-addr 2 # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID & PW are passed over public # Internet as clear text. # Delete this sample group if you do not have telnet server enabled. $cmd 390 allow tcp from any to me 23 in via $pif setup limit src-addr 2 # Reject & Log all unauthorized incoming connections from the public Internet $cmd 400 deny log all from any to any in via $pif # Reject & Log all unauthorized out going connections to the public Internet $cmd 450 deny log all from any to any out via $pif # This is skipto location for outbound stateful rules $cmd 800 divert natd ip from any to any out via $pif $cmd 801 allow ip from any to any # Everything else is denied by default # deny and log all packets that fell through to see what they are $cmd 999 deny log all from any to any ################ End of IPFW rules file ############################### diff --git a/zh_CN.GB2312/books/handbook/geom/chapter.sgml b/zh_CN.GB2312/books/handbook/geom/chapter.sgml index 052b8d5ab6..2bf53ae7a8 100644 --- a/zh_CN.GB2312/books/handbook/geom/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/geom/chapter.sgml @@ -1,605 +1,605 @@ Tom Rhodes 原作 GEOM： 模块化磁盘变换框架 概述 GEOM GEOM 磁盘框架 GEOM 本章将介绍以 &os; GEOM 框架来使用磁盘。 这包括了使用这一框架来配置的主要的 RAID 控制工具。 这一章不会深入讨论 GEOM 如何处理或控制 I/O、 其下层的子系统或代码。 您可以从 &man.geom.4; 联机手册及其众多 SEE ALSO 参考文献中得到这些信息。 这一章也不是对 RAID 配置的权威介绍， 它只介绍由 支持GEOM 的 RAID 级别。 读完这章， 您将了解： 通过 GEOM 支持的 RAID 类型。 如何使用基本工具来配置和管理不同的 RAID 级别。 如何通过 GEOM 使用镜像、 条带、 加密和挂接在远程的磁盘设备。 如何排除挂接在 GEOM 框架上的磁盘设备的问题。 阅读这章之前， 您应： 理解 &os; 如何处理磁盘设备 ()。 了解如何配置和安装新的 &os; 内核 ()。 GEOM 介绍 GEOM 允许访问和控制类 (classes) — 主引导记录、 BSD 标签 (label)， 等等 — 通过使用 provider， 或在 /dev 中的特殊文件。 它支持许多软件 RAID 配置， GEOM 能够向操作系统， 以及在其上运行的工具提供透明的访问方式。 Tom Rhodes 原作 Murray Stokely RAID0 - 条带 GEOM 条带 条带是一种将多个磁盘驱动器合并为一个卷的方法。 许多情况下， 这是通过硬件控制器来完成的。 GEOM 磁盘子系统提供了 RAID0 的软件支持， 它也成为磁盘条带。 在 RAID0 系统中， 数据被分为多个块， 这些块将分别写入阵列的所有磁盘。 与先前需要等待系统将 256k 数据写到一块磁盘上不同， RAID0 系统， 能够同时分别将打碎的 64k 写到四块磁盘上， 从而提供更好的 I/O 性能。 这一性能提升还能够通过使用多个磁盘控制器来进一步改进。 在 RAID0 条带中的每一个盘的尺寸必须一样， 因为 I/O 请求是分散到多个盘上的， 以便让这些盘上的读写并行完成。 磁盘条带图 在未格式化的 ATA 磁盘上建立条带 加载 geom_stripe 模块： &prompt.root; kldload geom_stripe 确信存在合适的挂接点 (mount point)。 如果这个卷将成为根分区， 那么暂时把它挂接到其他位置i， 如 /mnt： &prompt.root; mkdir /mnt 确定将被做成条带卷的磁盘的设备名， 并创建新的条带设备。 举例而言， 要将两个未用的、 尚未分区的 ATA 磁盘 /dev/ad2 和 /dev/ad3 做成一个条带设备： &prompt.root; gstripe label -v st0 /dev/ad2 /dev/ad3 接着需要写标准的 label， 也就是通常所说的分区表到新卷上， 并安装标准的引导代码： &prompt.root; bsdlabel -wB /dev/stripe/st0 上述过程将在 /dev/stripe 目录中的 st0 设备基础上建立两个新设备。 这包括 st0a 和 st0c。 这时， 就可以在 st0a 设备上用下述 newfs 命令来建立文件系统了： &prompt.root; newfs -U /dev/stripe/st0a 在屏幕上将滚过一些数字， 整个操作应该能在数秒内完成。 现在可以挂接刚刚做好的卷了。 要挂接刚创建的条带盘： &prompt.root; mount /dev/stripe/st0a /mnt 要在启动过程中自动挂接这个条带上的文件系统， 需要把关于卷的信息放到 /etc/fstab 文件中： &prompt.root; echo "/dev/stripe/st0a /mnt ufs rw 2 2" \ >> /etc/fstab 此外， geom_stripe 模块也必须通过在 /boot/loader.conf 中增加下述设置， 以便在系统初始化过程中自动加载。 &prompt.root; echo 'geom_stripe_load="YES"' >> /boot/loader.conf RAID1 - 镜像 GEOM 磁盘镜像 镜像是一种许多公司和家庭用户使用的不需中断的备份技术。 当存在镜像时， 它的意思是说 磁盘B 简单地复制 磁盘A。 或者， 也可能是 磁盘C+D 复制 磁盘A+B。 无论磁盘如何配置， 共同的特征， 都是磁盘或卷的信息会被复制。 随后，在无需中断服务或访问的情况下， 可以很容易地复原和备份这些信息， 甚至把它们存储到其他更安全的地方。 要开始做这件事， 首先要确保系统中有两个同样大的磁盘驱动器， 下面的例子假定使用直接访问方式 (Direct Access， &man.da.4;) SCSI 的磁盘。 首先需要把 &os; 安装到第一块磁盘上， 并建立两个分区。 第一个分区将成为交换区， 其尺寸应该是两倍的 RAM 尺寸， 而余下的空间， 则作为根 (/) 文件系统来使用。 当然， 也可以为其他挂接点划分不同的分区； 但是， 这将使难度提高一个量级， 因为您将不得不手工修改 &man.bsdlabel.8; 和 &man.fdisk.8; 的设置。 重新启动系统， 并等待其完全初始化完。 当这个过程完成之后， 以 root 用户的身份登录。 创建 /dev/mirror/gm 设备， 并将其连接到 /dev/da1： &prompt.root; gmirror label -vnb round-robin gm0 /dev/da1 系统应会给出下列回应： Metadata value stored on /dev/da1. Done. 初始化 GEOM， 这将加载 /boot/kernel/geom_mirror.ko 内核模块： &prompt.root; gmirror load 这个命令应该会在 /dev/mirror 目录中创建 gm0 设备节点。 在刚创建的 gm0 设备上安装通用的 fdisk 标签以及引导区代码： &prompt.root; fdisk -vBI /dev/mirror/gm0 接下来安装通用的 bsdlabel 信息： &prompt.root; bsdlabel -wB /dev/mirror/gm0s1 如果存在多个区段 (slice) 或分区 (partition)， 则需要修改一部分上面命令的参数。 它们必须与另一个盘上对应的区段和分区匹配。 使用 &man.newfs.8; 工具来在 gm0s1a 设备上建立默认的 UFS 文件系统： &prompt.root; newfs -U /dev/mirror/gm0s1a 这将让系统输出很多信息和一系列数字。 不必为此担心， 只需看看是否有错误提示就可以了， 如果没问题， 接下来把它挂到 /mnt 挂接点上面： &prompt.root; mount /dev/mirror/gm0s1a /mnt 现在需要把所有引导盘上的数据迁移到新的文件系统上了。 下面的例子使用了 &man.dump.8; 和 &man.restore.8; 这两个命令； 不过， 用 &man.dd.1; 在这里也可以达到完全一样的目的。 &prompt.root; dump -L -0 -f- / |(cd /mnt && restore -r -v -f-) 这个操作必须在所有文件系统上都作一遍。 您可以将前述命令中的文件系统， 改为所希望的文件系统的位置。 接下来应该编辑复制出来的 /mnt/etc/fstab 文件， 并删去或注释掉交换文件 需要注意的是， 在 fstab 注释掉交换文件， 通常会需要您以其他方式重建交换空间。 请参见 以了解进一步的细节。 。 修改其他文件系统对应的信息， 以便让它们使用新盘。 参考下面的例子： # Device Mountpoint FStype Options Dump Pass# #/dev/da0s2b none swap sw 0 0 /dev/mirror/gm0s1a / ufs rw 1 1 用下面的命令来确保系统引导时会加载 geom_mirror.ko： &prompt.root; echo 'geom_mirror_load="YES"' >> /mnt/boot/loader.conf &prompt.root; echo 'geom_mirror_load="YES"' >> /boot/loader.conf 最后重新启动系统： &prompt.root; shutdown -r now 在启动时选择第 4 个选项进入单用户模式。 在控制台， 可以通过 &man.df.1; 的输出来确认系统是从 gm0s1a 启动的。 如果一切顺利，系统将从 gm0s1a 设备启动。 现在可以使用以下命令清除主磁盘并插入镜像中： &prompt.root; dd if=/dev/zero of=/dev/da0 bs=512 count=79 &prompt.root; gmirror configure -a gm0 &prompt.root; gmirror insert gm0 /dev/da0 此处 告诉 &man.gmirror.8; 采用自动同步， 或换言之： 自动地将磁盘的写操作做镜像处理。 联机手册中详细解释了如何重建， 以及替换磁盘， 只不过它用 data 表示这里的 gm0。 在镜像建立后，可以用如下命令检查镜像的状态： &prompt.root; gmirror status 故障排除 系统拒绝引导 如果系统引导时出现类似下面的提示： ffs_mountroot: can't find rootvp Root mount failed: 6 mountroot> 这种情况应使用电源或复位按钮重启机器。 在引导菜单中， 选择第六 (6) 个选项。 这将让系统进入 &man.loader.8; 提示符。 在此处手工加载内核模块： OK? load geom_mirror OK? boot 如果这样做能解决问题， 则说明由于某种原因模块没有被正确加载。 可以通过在内核配置文件中加入： options GEOM_MIRROR 然后重新编译和安装内核来解决这个问题。 GEOM Gate 网络设备 通过 gate 工具， GEOM 支持以远程方式使用设备， 例如磁盘、 CD-ROM、 文件等等。 这和 NFS 类似。 在开始工作之前， 首先要创建一个导出文件。 这个文件的作用是指定谁可以访问导出的资源， 以及提供何种级别的访问授权。 例如， 要把第一块 SCSI 盘的第四个 slice 导出， 对应的 /etc/gg.exports 会是类似下面的样子： 192.168.1.0/24 RW /dev/da0s4d 这表示允许同属私有子网的所有机器访问 da0s4d 分区上的文件系统。 要导出这个设备， 首先请确认它没有被挂接， 然后是启动 &man.ggated.8; 服务： &prompt.root; ggated 现在我们将在客户机上 mount 该设备， 使用下面的命令： &prompt.root; ggatec create -o rw 192.168.1.1 /dev/da0s4d ggate0 &prompt.root; mount /dev/ggate0 /mnt 到此为止， 设备应该已经可以通过挂接点 /mnt 访问了。 请注意， 如果设备已经被服务器或网络上的任何其他机器挂接， 则前述操作将会失败。 如果不再需要使用这个设备， 就可以使用 &man.umount.8; 命令来安全地将其卸下了， 这一点和其他磁盘设备类似。 为磁盘设备添加卷标 GEOM 磁盘卷标 在系统初始化的过程中， &os; 内核会为检测到的设备创建设备节点。 这种检测方式存在一些问题， 例如， 在通过 USB 添加设备时应如何处理？ 很可能有闪存盘设备最初被识别为 da0 而在这之后， 则由 da0 变成了 da1。 而这则会在挂接 /etc/fstab 中的文件系统时造成问题， 这些问题， 还可能在系统引导时导致无法正常启动。 解决这个问题的一个方法是以连接拓扑方式链式地进行 SCSI 设备命名， 这样， 当在 SCSI 卡上增加新设备时， 这些设备将使用一个未用的编号。 但如果 USB 设备取代了主 SCSI 磁盘的位置呢？ 由于 USB 通常会在 SCSI 卡之前检测到， 因此很可能出现这种现象。 当然， 可以通过在系统引导之后再插入这些设备来绕过这个问题。 另一种绕过这个问题的方法， 则是只使用 ATA 驱动器， 并避免在 /etc/fstab 中列出 SCSI 设备。 还有一种更好的解决方法。 通过使用 glabel 工具， 管理员或用户可以为磁盘设备打上标签， 并在 /etc/fstab 中使用这些标签。 由于 glabel 会将标签保存在对应 provider 的最后一个扇区， 在系统重启之后， 它仍会持续存在。 因此， 通过将具体的设备替换为使用标签表示， 无论设备节点变成什么， 文件系统都能够顺利地完成挂接。 这并不是说标签一定是永久性的。 glabel 工具既可以创建永久性标签， 也可以创建临时性标签。 在重启时， 只有永久性标签会保持。 请参见联机手册 &man.glabel.8; 以了解两者之间的差异。 标签类型和使用示范 有两种类型的标签， 一种是普通标签， 另一种是文件系统标签。 两者的差异体现在是否能够自动检测， 以及是否在重启后保持。 这些标签会放到 /dev 中的特殊目录中， 这些目录的名字取决于文件系统类型。 例如， UFS2 文件系统的标签会创建到 /dev/ufs2 目录中。 普通标签在系统下次重启时会消失， 这些标签会创建到 /dev/label 目录中， 很适合测试之用。 永久性标签可以使用 tunefs 或 newfs 工具来创建。 要为 UFS2 文件系统创建标签， 而不破坏其上的数据， 可以使用下面的命令： &prompt.root; tunefs -L home /dev/da3 如果文件系统满了， 这可能会导致数据损坏； 不过， 如果文件系统快满了， 此时应首先删除一些无用的文件， 而不是增加标签。 现在， 您应可以在 /dev/ufs2 目录中看到标签， 并将其加入 /etc/fstab： /dev/ufs2/home /home ufs rw 2 2 当运行 tunefs 时， 应首先卸下文件系统。 现在可以像平时一样挂接文件系统了： &prompt.root; mount /home 现在， 只要在系统引导时通过 /boot/loader.conf 配置加载了内核模块 geom_label.ko， 或在联编内核时指定了 GEOM_LABEL 选项， 设备节点由于增删设备而顺序发生变化时， 就不会影响文件系统的挂接了。 通过使用 newfs 命令的 参数， 可以在创建文件系统时为其添加默认的标签。 请参见联机手册 &man.newfs.8; 以了解进一步的详情。 下列命令可以清除标签： &prompt.root; glabel destroy home 通过 GEOM 实现 UFS 日志 GEOM 日志 随着 &os; 7.0 的发布， 实现了长期为人们所期待的 UFS 日志。 这个实现采用了 GEOM 子系统， 可以很容易地使用 &man.gjournal.8; 工具来进行配置。 日志是什么？ 日志的作用是保存文件系统事务的记录， 换言之， 完成一次完整的磁盘写入操作所需的变动， 这些记录会在元数据以及文件数据写盘之前， 写入到磁盘中。 这种事务日志可以在随后用于重放并完成文件系统事务， 以避免文件系统出现不一致的问题。 这种方法是另一种阻止文件系统丢失数据并发生不一致的方法。 与 Soft Updates 追踪并确保元数据更新顺序这种方法不同， 它会实际地将日志保存到磁盘最后的扇区， 或另外一块磁盘上。 与其他文件系统的日志实现不同， gjournal 采用的是基于块， 而不是作为文件系统的一部分的方式 - 它只是作为一种 GEOM 扩展实现。 如果希望启用 gjournal， &os; 内核需要下列选项 - 这是 7.X 系统上的默认配置： options UFS_GJOURNAL 现在， 可以为空闲的文件系统创建日志了。 对于新增的 SCSI 磁盘 da4， 具体的操作步骤为： &prompt.root; gjournal label /dev/da4 &prompt.root; gjournal load 这样， 就会出现一个与 /dev/da4 设备节点对应的 /dev/da4.journal 设备节点。 - 接下来， 可以在这个设备上简历文件系统： + 接下来， 可以在这个设备上建立文件系统： &prompt.root; newfs -O 2 -J /dev/da4.journal 这个命令将建立一个包含日志的 UFS2 文件系统。 然后就可以用 mount 命令来挂接设备了： &prompt.root; mount /dev/da4.journal /mnt 当磁盘包含多个 slice 时， 每个 slice 上都会建立日志。 例如， 如果有 ad4s1 和 ad4s2 这两个 slice， 则 gjournal 会建立 ad4s1.journal 和 ad4s2.journal。 如果连续运行两次这个命令， 则会建立 多层日志。 在某些情况下， 可能会希望在其他磁盘上保存日志。 对于这些情形， 日志提供者或存储设备， 应在启用日志的设备后给出。 在暨存的文件系统上， 可以用 tunefs 来启用日志； 不过， 在尝试修改文件系统之前， 您应对其进行备份。 多数情况下， gjournal 会因为无法建立日志而失败， 在误用 tunefs 时， 这可能导致失败。 diff --git a/zh_CN.GB2312/books/handbook/install/chapter.sgml b/zh_CN.GB2312/books/handbook/install/chapter.sgml index 817570e5af..61ffc9a06c 100644 --- a/zh_CN.GB2312/books/handbook/install/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/install/chapter.sgml @@ -1,4481 +1,4488 @@ Jim Mock 结构、组织重整, 部分重写 Randy Pratt sysinstall 操作流程、屏幕抓图以及一般性文件 安装 FreeBSD 概述 installation FreeBSD 提供了一个以文字为主，简单好用的安装程序，叫做 sysinstall 。这是 FreeBSD 默认使用的安装程序； 厂商如果想，也可以提供适合自己需要的安装程序。本章说明如何使用 sysinstall 来安装 FreeBSD。 学习完本章之后，您将会知道： 如何制作 FreeBSD 安装磁盘 FreeBSD如何参照及分割您的硬盘 如何启动 sysinstall. 在执行 sysinstall 时您将要回答的问题、 问题代表什么意义，以及该如何回答它们。 在阅读本章之前，您应该： 阅读您要安装的 FreeBSD 版本所附的硬件支持列表以确定您的硬件有没有被支持。 一般来说，此安装说明是针对 &i386; (PC 兼容机) 体系结构的电脑。如果有其它体系结构(如Alpha)的安装说明， 我们将一并列出。虽然本文档经常保持更新， 但有可能与您安装版本上所带的说明文档有些许出入。 在这里建议您使用本说明文章作为一般性的安装指导参考手册。 硬件需求 最小配置 安装 &os; 所需的最小硬件配置， 随 &os; 版本和硬件架构不同而有所不同。 关于安装所需的最低硬件配置信息， 可以在 &os; 网站的 发行版信息 部分中的 安装说明书 中找到。在接下来的几节中， 给出了这些信息的一些总结。随您安装 &os; 的方式不同， 可能需要使用软驱或为 &os; 支持的 CDROM 驱动器， 有时候也可能需要的是一块网卡。 这将在 中进行介绍。 &os;/&arch.i386; 和 &os;/&arch.pc98; &os;/&arch.i386; 和 &os;/&arch.pc98; 版本， 都需要 486 或更高的处理器，以及至少 24 MB 的 RAM。 您需要至少 150 MB 的空闲硬盘空间， 才能完成最小的安装配置。 对于老旧的硬件而言， 多数时候， 装配更多的 RAM 和腾出更多的硬盘空间， 要比使用更快的处理器更有用。 &os;/&arch.alpha; Alpha 要安装 &os;/&arch.alpha;， 您使用的必须是某种受支持的平台 (参见 ) 而且 &os; 必须独占一个硬盘。目前 &os; 还无法与其它操作系统共享磁盘。 这个磁盘必须接在 SRM 固件支持的 SCSI 控制器上，或者如果您机器上的 SRM 支持从 IDE 硬盘启动，则应装到 IDE 硬盘上。 ARC Alpha BIOS SRM 此外您还需要用于您的平台 SRM 控制台固件。有时，可以在 AlphaBIOS (或 ARC) 固件和 SRM 之间切换。如果没有， 则需要从制造商网站上下载并安装新的固件。 对于 Alpha 的支持， 从 &os; 7.0 版本开始已经不再提供。 &os; 6.X 系列发行版， 是最后一批支持这种硬件平台的版本。 &os;/&arch.amd64; 架构 有两类处理器同时能够支持运行 &os;/&arch.amd64;。 第一种是 AMD64 处理器， 包括 &amd.athlon;64、 &amd.athlon;64-FX、 &amd.opteron; 以及更高级别的处理器。 能够使用 &os;/&arch.amd64; 的另一种处理器是包含了采用 &intel; EM64T 架构支持的处理器。 这类处理器包括 &intel; &core; 2 Duo、 Quad、 以及 Extreme 系列处理器， 以及 &intel; &xeon; 3000、 5000、 和 7000 系列处理器。 如果您的计算机使用 nVidia nForce3 Pro-150， 则 必须 使用 BIOS 配置， 禁用 IO APIC。 如果您没有找到这样的选项， 可能就只能转而禁用 ACPI 了。 Pro-150 芯片组存在一个 bug， 目前我们还没有找到绕过这一问题的方法。 &os;/&arch.sparc64; 要安装 &os;/&arch.sparc64;， 必须使用它支持的平台 (参见 )。 &os;/&arch.sparc64; 需要独占一块磁盘。 目前还没有办法与其它操作系统共享一块磁盘。 支持的硬件 支持的硬件列表， 会作为 &os; 发行版本的 &os; 兼容硬件说明提供。 这个文档通常可以在 CDROM 或 FTP 安装文件的顶级目录找到， 它的名字是 HARDWARE.TXT， 此外， 在 sysinstall 的 documentation 菜单也可以找到。它针对特定的硬件架构列出了 &os; 已知支持的硬件。 不同发行版本和架构上的硬件支持列表，可以在 &os; 网站的 发行版信息 页面上找到。 安装前的准备工作 列出您电脑的硬件清单 在安装 FreeBSD 之前，您应该试着将您电脑中的硬件清单列出来。 FreeBSD 安装程序会将这些硬件(磁盘、网卡、光驱等等) 以及型号及制造厂商列出来。FreeBSD 也会尝试为这些设备找出最适当的 IRQ 及 IO 端口的设定。但是因为 PC 的硬件种类实在太过复杂， 这个步骤不一定总是能成功。这时， 您就可能需要手动更改有问题的设备的设定值。 如果您已经安装了其它的操作系统，如 &windows; 或 Linux， 那么您可以先由这些系统所提供的工具来查看您的设备设定值是怎么分配的。 如果您真的没办法确定某些接口卡用什么设定值，那么您可以检查看看， 说不定它的设定已经标示在卡上。常用的 IRQ 号码为 3、5 以及 7； IO 端口的值通常以 16 进制位表示，例如 Ox330。 我们建议您在安装 FreeBSD 之前把这些信息打印或记录下来，做成表格 的样子也许会比较有帮助，例如： 硬件设备清单 设备名 IRQ IO 端口号 备注 第一块硬盘 N/A N/A 40 GB，Seagate 制造，第一个 IDE 接口主设备 CDROM N/A N/A 第一个 IDE 接口从设备 第二块硬盘 N/A N/A 20 GB，IBM 制造, 第二个 IDE 接口主设备 第一个 IDE 控制器 14 0x1f0 网卡 N/A N/A &intel; 10/100 Modem N/A N/A &tm.3com; 56K faxmodem，位于 COM1 口 …
在清楚地了解了您计算机的配置之后， 需要检查它是否符合您希望安装的 &os; 版本的硬件需求。 备份您的数据 如果您的电脑上面存有重要的数据资料， 那么在安装 FreeBSD 前请确定您已经将这些资料备份了， 并且先测试这些备份文档是否有问题。FreeBSD 安装程序在要写入任何资料到您的硬盘前都会先提醒您确认， 一旦您确定要写入，那么以后就没有反悔的机会。 决定要将 FreeBSD 安装到哪里 如果您想让 FreeBSD 使用整个硬盘，那么请直接跳到下一节。 但是，如果您想让 FreeBSD 跟您已有的系统并存， 那么您必须对您数据存在硬盘的分布方式有深入的了解， 以及其所造成的影响。 &os;/&arch.i386; 体系结构的硬盘分配方式 一个 PC 硬盘可以被细分为许多块。 这些块被称为 partitions (分区)。 由于 &os; 内部也有分区的概念，如此命名很容易导致混淆， 因此我们在 &os; 中，将其称为磁盘 slice，或简称为 slices。 例如， FreeBSD 提供的用于操作 PC 磁盘分区的工具 fdisk 就将其称为 slice 而不是 partition。 由于设计的原因， 每个硬盘仅支持四个分区； 这些分区叫做 主分区(Primary partion)。 为了突破这个限制以便能使用更多的分区，就有了新的分区类型，叫做 扩展分区(Extended partition)。 一个硬盘可以拥有一个扩展分区。在扩展分区里可以建立许多个所谓的 逻辑分区(Logical partitions)。 每个分区都有其独立的 分区号(partition ID), 用以区分每个分区的数据类型。FreeBSD 分区的分区号为 165。 一般而言，每种操作系统都会有自己独特的方式来区别分区。 例如 DOS 及其之后的 &windows;， 会分配给每个主分区及逻辑分区一个 驱动器字符， 从 C: 开始。 FreeBSD 必须安装在主分区。FreeBSD 可以在这个分区上面存放系统数据或是您建立的任何文件。 然而，如果您有多个硬盘，您也可以在这些硬盘上(全部或部分)建立 FreeBSD 分区。在您安装 FreeBSD 的时候，必须要有一个分区可以给 FreeBSD 使用。 这个分区可以是尚未规划的分区， 或是已经存在且存有数据但您不再需要的分区。 如果您已经用完了您硬盘上的所有分区， 那么您必须使用其它操作系统所提供的工具 (如 DOS 或 &windows; 下的 fdisk) 来腾出一个分区给 FreeBSD 使用。 如果您的某个分区有多余的空间，您可以使用它。 但是使用前您需要先整理一下这些分区。 FreeBSD 最小安装需要约 100 MB 的空间，但是这仅是 非常 基本的安装， 几乎没有剩下多少空间可以建立您自己的文件。一个较理想的最小安装是 250 MB，不含图形界面；或是 350 MB 以上，包含图形界面。 如果您还需要安装其它的第三方厂商的套件， 那么将需要更多的硬盘空间。 您可以使用商业软件，例如 &partitionmagic; (硬盘分区魔术师) 或类似 GParted 这样的免费工具来调整分区尺寸，为 FreeBSD 腾出空间。 FreeBSD 光盘的 tools 目录包含两个免费的工具也可以完成这个工作： FIPS 以及 PResizer，它们的文档可以在同一目录中找到。 FIPS、PResizer， 和 &partitionmagic; 能够改变 FAT16 以及 FAT32 分区的大小 — 它们可以在 &ms-dos; 以及 &windows; ME 系统中使用。 这些工具的说明文件可以在同一个目录下面找到。 &partitionmagic; 和 GParted 都能改变 NTFS 分区的尺寸。 GParted 在许多 Live CD Linux 发行版， 如 SystemRescueCD 中均有提供。 目前已经有报告显示改变 µsoft; Vista 分区尺寸时会出现问题。 在进行此类操作时， 建议您准备一张 Vista 安装 CDROM。如同其他的磁盘维护操作一样， 强烈建议您事先进行备份。 不当的使用这些工具可能会删掉您硬盘上的数据资料！ 在使用这些工具前确定您有最近的、没问题的备份数据。 使用已存在的分区 假设您只有一个 4GB 的硬盘，而且已经装了 &windows; 然后您将这个硬盘分成两个分区 C: 跟 D:，每个分区大小为 2 GB。在 C: 分区上存放有 1 GB 的数据、 D:分区上存放 0.5 GB 的数据。 这意味着您的盘上有两个分区，一个驱动器符号是一个分区 (如 c:、d:)。 您可以把所有存放在 D: 分区上的数据复制到 C: 分区, 这样就空出了一个分区(d:)给 FreeBSD 使用。 缩减已现在的分区 假设您只有一个 4 GB 的硬盘，而且已经装了 &windows;。 您在安装 &windows; 的时候把 4 GB 都给了 C: 分区，并且已经使用了 1.5 GB 的空间。您想将剩余空间中的 2 GB 给 FreeBSD 使用。 为了安装 FreeBSD，您必须从下面两种方式中选择一种： 备份 &windows; 的数据资料，然后重新安装 &windows;， 并给 &windows; 分配 2 GB 的空间。 使用上面提及的 &partitionmagic; 来整理或切割您的分区。 Alpha 体系结构的硬盘分配方式 Alpha 在 Alpha 上，您必须使用一整颗硬盘给 FreeBSD， 没有办法在同一个硬盘上跟其它操作系统共存。 根据不同的 Alpha 机器，您的硬盘可以是 SCSI 或 IDE 硬盘， 只要您的机器可以从这些硬盘开机就可以。 按照 Digital/Compaq 使用手册书写的惯例， 所有 SRM 输入的部分都用大写表示。 注意，SRM 大小写有别。 要想得知您硬盘的名称以及型号， 可以在 SRM console 提示符下使用 SHOW DEVICE 命令: >>>SHOW DEVICE dka0.0.0.4.0 DKA0 TOSHIBA CD-ROM XM-57 3476 dkc0.0.0.1009.0 DKC0 RZ1BB-BS 0658 dkc100.1.0.1009.0 DKC100 SEAGATE ST34501W 0015 dva0.0.0.0.1 DVA0 ewa0.0.0.3.0 EWA0 00-00-F8-75-6D-01 pkc0.7.0.1009.0 PKC0 SCSI Bus ID 7 5.27 pqa0.0.0.4.0 PQA0 PCI EIDE pqb0.0.1.4.0 PQB0 PCI EIDE 此范例使用 Digital Personal Workstation 433au 并且显示出此机器联接有三个硬盘。第一个是 CDROM，叫做 DKA0；另外两个是两个硬盘，分别叫做 DKC0 及 DKC100。 硬盘名称中有 DKx 字样的是 SCSI 硬盘。 例如 DKA100 表示是一个 SCSI 设备， 其 SCSI ID 为 1，位于第一个 SCSI 接口 (A)。 DKC300 表示一个 SCSI 硬盘， SCSI ID 为 3，位于第三个 SCSI 接口 (C)。设备名称 PKx 表示 SCSI 控制卡。由以上 SHOW DEVICE 指令的输出结果看来， SCSI 光盘也被视为是 SCSI 硬盘的一种。 IDE 硬盘的名称类似 DQx，而 PQx 则表示相对应的硬盘控制器。 收集您的网络配置相关资料 如果您想通过网络(FTP 或是 NFS)安装 FreeBSD， 那么您就必须知道您的网络配置信息。在安装 FreeBSD 的过程中将会提示您输入这些资料，以顺利完成安装过程。 使用以太网或电缆/DSL Modem 如果您通过局域网或是要通过网卡使用电缆/DSL 上网， 那么您必须准备下面的信息： IP 地址。 默认网关 IP 地址。 主机名称。 DNS 服务器的 IP 地址。 子网掩码。 如果您不知道这些信息， 您可以询问系统管理员或是您的网络服务提供者。 他们可能会说这些信息会由 DHCP 自动分配；如果这样的话，请记住这一点就可以了。 使用 Modem 连接 如果您由 ISP 提供的拨号服务上网，您仍然可以通过它安装 FreeBSD，只是会需要很长的时间。 您必须知道： 拨号到 ISP 的电话号码。 您的 modem 是连接到哪个 COM 端口。 您拨号到 ISP 所用的账号和密码。 检查 FreeBSD 发行勘误 虽然我们尽力确保每个 FreeBSD 发行版本的稳定性， 但偶尔也会有一些错误进入发行版。极少数情况下， 这些问题甚至可能会影响安装。 当发现和修正问题之后，它们会列在 FreeBSD 网站中的 FreeBSD 发行勘误 中。 在您安装之前，应该首先看一看这份勘误表，以了解可能存在的问题。 关于所有释出版本的信息，包括勘误表，可以在 FreeBSD 网站 的 发行版信息 一节中找到。 准备安装介质 FreeBSD 可以通过下面任何一种安装介质进行安装： 安装介质 CDROM 或 DVD 在同一计算机上的 DOS 分区 SCSI 或 QIC 磁带 软盘 网络 通过防火墙的一个 FTP 站点，或使用 HTTP 代理。 NFS 服务器 一个指定的并行或串行接口 如果您购买了 FreeBSD 的 CD 或 DVD，那么您可以直接进入下一节 。 如果您还没有 FreeBSD 的安装文件，您应该回到 一节， 它介绍了如何准备所需要的安装介质。之后，您就可以回到这一节， 并从 继续。 准备引导介质 FreeBSD 的安装过程开始于将您的电脑开机进入 FreeBSD 安装环境 — －并非在其它的操作系统上运行一个程序。 计算机通常使用安装在硬盘上的操作系统进行引导， 也可以配置成使用一张bootable(可引导)的软盘进行启动。 大多数现代计算机都可以从光驱进行引导系统。 如果您有 FreeBSD 的安装光盘或 DVD(或者是您购买的， 或者是您自己准备的。)并且您的计算机可以从光驱进行启动 (通常在 BIOS 中会有 Boot Order 或类似的选项可以设置)，那么您就可以跳过此小节。 因为 FreeBSD 光盘及 DVD 光盘都是可以引导的， 用它们开机您不用做什么特别的准备。 一般来说，要建立安装盘(软盘)请依照下列步骤： 获取开机软盘映像文件 开机软盘映像文件可以在您的安装介质的 floppies/ 目录下找到， 另外您也可以从下述网站的 floppies 目录下载： ftp://ftp.FreeBSD.org/pub/FreeBSD/releases/<架构名>/<版本>-RELEASE/floppies/. 将 <架构名> 和 <版本> 替换为您使用的计算机体系结构和希望安装的版本号。 例如，用于安装 &i386; 上的 &os;/&arch.i386; &rel.current;-RELEASE 的文件的地址， 应该是 。 软盘映像文件的扩展名是 .flp。 在 floppies/ 目录中包括了许多不同的映像文件， 随您安装的 FreeBSD 版本， 某些时候也随硬件的不同， 您需要使用的映像文件可能会有所不同。 您通常会需要四张软盘， 即 boot.flp、 kern1.flp、 kern2.flp， 以及 kern3.flp。 请查阅同一目录下的 README.TXT 文件以了解关于这些映像文件的最新信息。 您的 FTP 程序必须使用 二进制模式 来下载这些映 像文件。有些浏览器只会用 text (或ASCII ) 模式来传输数据， 用这些浏览器下载的映像文件做成的软盘将无法正常开机。 准备软盘 您必须为您下载的每一个映像文件准备一张软盘。 并且请避免使用到坏掉的软盘。 最简单的方式就是您先将这些软盘格式化， 不要相信所谓的已格式化的软盘。在 &windows; 下的格式化程序不会告诉您出现多少坏块， 它只是简单的标记它们为 bad 并且忽略它们。 根据建议您应该使用全新的软盘来存放安装程序。 如果您在安装 FreeBSD 的过程中造成当机、 冻结或是其它怪异现象，第一个要怀疑的就是引导软盘。 请用其它的软盘制作映像文件再试试看。 将映像文件写入软盘中 .flp 文件 并非 一般的文件，您不能直接将它们复制到软盘上。 事实上它是一张包含完整磁盘内容的映像文件。这表示您 不能 简单的使用 DOS 的 copy 命令将文件写到软盘上， 而必须使用特别的工具程序将映像文件直接写到软盘中。 DOS 如果您使用 &ms-dos; 或 &windows; 操作系统来制作引导盘， 那么您可以使用我们提供的 fdimage 程序来将映像文件写到软盘中。 如果您使用的是光盘，假设光盘的驱动器符号为 E:，那么请执行下面的命令： E:\> tools\fdimage floppies\boot.flp A: 重复上述命令以完成每个 .flp 文件的写入， 每换一个映像文件都必须更换软盘； 制作好的软盘请注明是使用哪个映像文件做的。 如果您的映像文件存放在不同的地方，请自行修改上面的指令指向您存放 .flp 文件的地方。要是您没有 FreeBSD 光盘， 您可以到 FreeBSD 的 FTP 站点 tools目录 中下载。 如果您在 &unix; 系统上制作软盘(例如其它 FreeBSD 机器)， 您可以使用 &man.dd.1; 命令来将映像文件写到软盘中。 如果您用 FreeBSD,可以执行下面的命令： &prompt.root; dd if=boot.flp of=/dev/fd0 在 FreeBSD 中，/dev/fd0 指的是第一个软驱(即 A: 驱动器)； /dev/fd1 是 B: 驱动器,依此类推。其它的 &unix; 系统可能会用不同的的名称， 这时您就要查阅该系统的说明文件。 您现在可以安装 FreeBSD 了 开始安装 默认情况下, 安装过程并不会改变任何您硬盘中的数据， 除非您看到下面的讯息： Last Chance: Are you SURE you want continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! 在看到这最后的警告讯息前您都可以随时离开， 安装程序界面不会变更您的硬盘。如果您发现有任何设定错误， 这时您可以直接将电源关掉而不会造成任何伤害。 开机启动 引导 &i386; 系统 从电脑尚未开机开始说起 将电脑电源打开。刚开始的时候它应该会显示进入系统设置菜单或 BIOS 要按哪个键，常见的是 F2、 F10、Del 或 Alt S 。不论是要按哪个键，请按它进入 BIOS 设置画面。 有时您的计算机可能会显示一个图形画面，典型的做法是按 Esc 将关掉这个图形画面， 以使您能够看到必要的设置信息。 找到设置开机顺序的选项，它的标记为 Boot Order 通常会列出一些设备让您选择，例如：Floppy、 CDROM、First Hard Disk 等等。 如果您要用软盘安装，请确定选到 floppy disk； 如果您要用光盘安装，请选择 CDROM。为了避免疑惑， 请参考您的主板说明手册。 储存设定并离开，系统应该会重新启动。 如果您用软盘安装，请将在 一节中制作好的第一张引导盘，里面包含kern.flp boot.flp 文件的那张盘， 放入软盘驱动器中。 如果您是从光盘安装， 那么开机后请将 FreeBSD 光盘放入光驱中。 如果您开机后如往常一样并没有从软盘或光盘引导，请检查： 是不是软盘或光盘太晚放入面错失开机引导时间。 如果是， 请将它们放入后重新开机。 BIOS 设定不对，请重新检查 BIOS 的设定。 您的 BIOS 不支持从这些安装介质引导。 FreeBSD 即将启动。如果您是从光盘引导， 您会见到类似下面的画面： Booting from CD-Rom... CD Loader 1.2 Building the boot loader arguments Looking up /BOOT/LOADER... Found Relocating the loader and the BTX Starting the BTX loader BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS CD is cd0 BIOS drive C: is disk0 BIOS drive D: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 1.1 Loading /boot/defaults/loader.conf /boot/kernel/kernel text=0x64daa0 data=0xa4e80+0xa9e40 syms=[0x4+0x6cac0+0x4+0x88e9d] \ 如果您从软盘启动， 则应看到类似下面的画面： Booting from Floppy... Uncompressing ... done BTX loader 1.00 BTX version is 1.01 Console: internal video/keyboard BIOS drive A: is disk0 BIOS drive C: is disk1 BIOS 639kB/261120kB available memory FreeBSD/i386 bootstrap loader, Revision 1.1 Loading /boot/defaults/loader.conf /kernel text=0x277391 data=0x3268c+0x332a8 | Insert disk labelled "Kernel floppy 1" and press any key... 请根据提示将 boot.flp 软盘取出， 插入 kern1.flp 这张盘， 然后按 Enter。 您只需从第一张软盘启动， 然后再需要时根据提示插入其他软盘就可以了。 不论是从软盘或光盘引导， 接下来都会进入 &os; 引导加载器菜单：
&os; Boot Loader Menu
您可以等待十秒， 或按 Enter。 引导 Alpha 系统 Alpha 从电脑尚未打开电源开始。 打开电脑电源并等待屏幕上出现开机提示信息。 如您需要制作用于安装的软盘，请参考 ， 将其中一张制作为第一片引导盘，其中包含 boot.flp。将这张软盘插进软驱， 并输入下列命令，以便从软盘启动 (请视实际情况修改命令中的软驱盘符)： >>>BOOT DVA0 -FLAGS '' -FILE '' 如果您要从光盘引导， 请将光盘放入光驱中然后输入下列命令开始安装 (请视情况修改命令中的光驱盘符)： >>>BOOT DKA0 -FLAGS '' -FILE '' 然后 FreeBSD 就会启动。如果您从软盘引导， 到某个阶段您会看到下面的信息： Insert disk labelled "Kernel floppy 1" and press any key... 此时应按照提示取出 boot.flp 软盘， 换上 kern1.flp 软盘， 然后按 Enter 键。 不论从软盘或光盘引导，您都会看到下面这段信息： Hit [Enter] to boot immediately, or any other key for command prompt. Booting [kernel] in 9 seconds... _ 您可以等待 10 秒或是按 Enter 跳过。 之后就会进入内核设定菜单。 引导 &sparc64; 多数 &sparc64; 系统均配置为从硬盘自动引导。 如果希望安装 &os;，就需要从网络或 CDROM 启动了， 这需要首先进入 PROM (OpenFirmware)。 要完成这项工作，首先需要重启系统，并等待出现引导消息。 具体的信息取决于您使用的型号，不过它应该会是类似下面这样： Sun Blade 100 (UltraSPARC-IIe), Keyboard Present Copyright 1998-2001 Sun Microsystems, Inc. All rights reserved. OpenBoot 4.2, 128 MB memory installed, Serial #51090132. Ethernet address 0:3:ba:b:92:d4, Host ID: 830b92d4. 如果您的系统此时开始了从硬盘引导的过程，则需要按下 L1A 或 StopA ， 或者在串口控制台上发送 BREAK (例如， 在 &man.tip.1; 或 &man.cu.1; 中是 ~#) 以便进入 PROM 提示符。 它应该是类似下面这样： ok ok {0} 这是在只有一颗 CPU 的系统上的提示。 这是用于 SMP 系统的选项， 这里的数字， 是系统中可用的 CPU 数量。 这时， 将 CDROM 插入驱动器， 并在 PROM 提示符后面， 输入 boot cdrom。 查看设备探测的结果 前面屏幕显示的最后几百行字会存在缓冲区中以便您查阅。 要浏览缓冲区，您可以按下 Scroll Lock 键， 这会开启画面的卷动功能。然后您就可以使用方向键或 PageUp 、PageDown 键来上下翻阅。 再按一次 Scroll Lock 键将停止画面卷动。 在您浏览的时候会看到类似 的画面。 真正的结果依照您的电脑装置而有所不同。
典型的设备探测结果 avail memory = 253050880 (247120K bytes) Preloaded elf kernel "kernel" at 0xc0817000. Preloaded mfs_root "/mfsroot" at 0xc0817084. md0: Preloaded image </mfsroot> 4423680 bytes at 0xc03ddcd4 md1: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1:<VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <iSA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0 <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci 0 usb0: <VIA 83572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr1 uhub0: 2 ports with 2 removable, self powered pci0: <unknown card> (vendor=0x1106, dev=0x3040) at 7.3 dc0: <ADMtek AN985 10/100BaseTX> port 0xe800-0xe8ff mem 0xdb000000-0xeb0003ff ir q 11 at device 8.0 on pci0 dc0: Ethernet address: 00:04:5a:74:6b:b5 miibus0: <MII bus> on dc0 ukphy0: <Generic IEEE 802.3u media interface> on miibus0 ukphy0: 10baseT, 10baseT-FDX, 100baseTX, 100baseTX-FDX, auto ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xec00-0xec1f irq 9 at device 10. 0 on pci0 ed0 address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 orm0: <Option ROM> at iomem 0xc0000-0xc7fff on isa0 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5” drive> on fdc0 drive 0 atkbdc0: <Keyboard controller (i8042)> at port 0x60,0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/@ mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x100 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 pppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold plip0: <PLIP network interface> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master UDMA33 acd0: CD-RW <LITE-ON LTR-1210B> at ata1-slave PIO4 Mounting root from ufs:/dev/md0c /stand/sysinstall running as init on vty0
请仔细检查探测结果以确定 FreeBSD 找到所有您期望出现的设备。 如果系统没有找到设备， 则不会将其列出。 定制内核 能够让您为系统添加默认的 GENERIC 内核所不支持的设备， 如声卡等。 在 &os; 6.2 和更高版本中， 在探测完系统设备之后， 将显示 。 请使用光标键来选择国家或地区。 接着按 Enter， 系统将自动设置地区及键盘映射。 您也可以很容易地退出 sysinstall 程序并从头来过。
选择国家及地区菜单
选择离开 Sysinstall
在主界面使用方向键选择 Exit Install 您会看到 如下的信息： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies/CDs/DVDs from the drives). [ Yes ] No 如果 CDROM 还留在光驱里，而且选择了 &gui.yes;， 则安装程序将重新启动。 如果您是从软盘启动， 则在重启系统之前， 需要将 boot.flp 软盘取出。 介绍 Sysinstall sysinstall 是 FreeBSD 项目所提供的安装程序。它以 console(控制台)为主， 分为多个菜单及画面让您配置及控制安装过程。 sysinstall 菜单画面由方向键、 Enter、Tab、Space， 以及其它按键所控制。在主画面的 Usage 菜单有这些按键的说明。 要查看这些说明，请将光标移到 Usage 项目，然后 [Select] 按键被选择， ，然后按下 Enter 键。 安装画面的使用说明会显示出来，阅读完毕请按 Enter 键回到主画面。
选取 Sysinstall 主菜单的 Usage 项目
选择 Documentation(说明文件) 菜单 用方向键从主菜单选择 Doc 条目然后按 Enter键。
选择说明文件菜单
这将会进入说明文件菜单。
Sysinstall 说明文件菜单
阅读这些说明文件很重要。 要阅读一篇文章，请用方向键选取要阅读的文章然后按 Enter 键。阅读中再按一下 Enter 就会回到说明文件画面。 若要回到主菜单，用方向键选择 Exit 然后按下 Enter 键。 选择键盘对应(Keymap)菜单 如果要改变键盘按键的对应方式， 请在主菜单选取 Keymap 然后按 Enter 键。一般情况下不改变此项， 除非您使用了非标准键盘或非美国键盘。
Sysinstall 主菜单
您可以使用上下键移动到您想使用的键盘对应方式， 然后按下 Space 键以选取它；再按 Space 键可以取消选取。当您完成后， 请选择 &gui.ok; 然后按 Enter 键。 这一屏幕只显示出部分列表。选择 &gui.cancel; 按 Tab 键将使用默认的键盘对应， 并返回到主菜单
Sysinstall 键盘对应菜单
安装选项设置画面 选择 Options 然后按 Enter 键。
Sysinstall 主菜单
Sysinstall 选项设置
预设值通常可以适用于大部分的使用者，您并不需要改变它们。 版本名称要根据安装的版本进行变化。 目前选择项目的描述会在屏幕下方以蓝底白字显示。 注意其中有一个项目是 Use Defaults(使用默认值) 您可以由此项将所有的设定还原为预设值。 可以按下 F1 来阅读各选项的说明。 按 Q 键可以回到主画面。 开始进行标准安装 Standard(标准) 安装适用于那些 &unix; 或 FreeBSD 的初级使用者。用方向键选择 Standard 然后按 Enter 键可开始进入标准安装。
开始进行标准安装
分配磁盘空间 您的第一个工作就是要分配 FreeBSD 用的硬盘空间以便 sysinstall 先做好一些准备。 为了完成这个工作，您必须先对 FreeBSD 如何找到磁盘信息做一个了解。 BIOS 磁盘编号 当您在系统上安装配置 FreeBSD 之前， 有一个重要的事情一定要注意，尤其是当您有多个硬盘的时候。 DOS Microsoft Windows 在 pc 架构，当您跑像 &ms-dos; 或 µsoft.windows; 这种跟 BIOS 相关的操作系统的时候，BIOS 有能力改变正常的磁盘顺序， 然后这些操作系统会跟着 BIOS 做改变。这让使用者不一定非要有所谓的 primary master 硬盘开机。 许多人发现最简单而便宜备份系统的方式就是再去买一块一模一样的硬盘， 然后定期将数据从第一块硬盘复制到第二个硬盘，使用 Ghost 或 XCOPY。所以，当第一个硬盘死了， 或者是被病毒破坏，或者有坏轨道， 他们可以调整 BIOS 中的开机顺序而直接用第二块硬盘开机。 就像交换硬盘的数据线，但是无需打开机箱。 SCSI BIOS 比较昂贵，配有 SCSI 控制卡的系统通常可以延伸 BIOS 的功能来让 SCSI 设备 (可达七个) 达到类似改变顺序的功能。 习惯于使用这种方式的使用者可能会感到惊讶， 因为在 FreeBSD 中并非如此。FreeBSD 不会参考 BIOS， 而且也不知道所谓的 BIOS 逻辑磁盘对应 是怎么回事。这会让人感觉很疑惑， 明明就是一样的硬盘而且资料也完全从另一块复制过来的， 结果却没办法像以前那样用。 当使用 FreeBSD 以前，请将 BIOS 中的硬盘开机顺序调回正常的顺序， 并且以后不要再改变。 如果一定要交换硬盘顺序， 那请用硬件的方式， 打开机箱并调整调线。 范例：Bill 和 Fred 的安装历险 Bill 替 Fred 把旧的 Wintel 的机器装上了 FreeBSD。 他装了一台 SCSI 硬盘，ID 是 0，然后把 FreeBSD 装在上面。 Fred 开始使用他新的 FreeBSD 系统；但是过了几天， 他发现这旧的 SCSI硬盘发生了许多小问题。之后， 他就跟 Bill 说起这件事。 又过了几天，Bill 决定是该解决问题的时候了， 所以他从后面房间的硬盘 收藏 中找出了一个一模一样的硬盘，并且经过表面测试后显示这块硬盘没有问题。 因此，Bill 将它的 ID 调成 4，然后安装到 Fred 的机器， 并且将资料从磁盘 0 复制到磁盘 4。现在新硬盘装好了， 而且看起来好像一切正常；所以，Bill 认为现在应该可以开始用它了。 Bill 于是到 SCSI BIOS 中设定 SCSI ID 4 为开机盘，用磁盘 4 重新开机后，一切跑得很顺利。 继续用了几天后，Bill 跟 Fred 决定要来玩点新的： 该将 FreeBSD 升级了。Bill 将 ID 0 的硬盘移除 (因为有问题) 并且又从收藏区中拿了一块一样的硬盘来。然后他用 Fred 神奇的网络 FTP 磁盘将新版的 FreeBSD 安装在这块硬盘上； 安装过程没什么问题发生。 Fred 用了这新版本几天后，觉得它很适合用在工程部门… 是时候将以前放在旧系统的工作资料复制过来了。 因此， Fred 将 ID4 的 SCSI 硬盘 (里面有放着旧系统中复制过来的最新资料) mount 起来，结果竟然发现在 ID4 的硬盘上， 他以前的所有资料都不见了！ 资料跑到哪里去了呢？ 当初 Bill 将 ID0 硬盘的资料复制到 ID4 的时候， ID4 即成为一个 新的副本。 而当他调 SCSI BIOS 设定 ID4 为开机盘，想让系统从 ID4 开机， 这其实只是他自己笨，因为大部分的系统可以直接调 BIOS 而改变开机顺序， 但是 FreeBSD 却会把开机顺序还原成正常的模式，因此，Fred 的 FreeBSD 还是从原来那块 ID0 的硬盘开机的。所有的资料都还在那块硬盘上， 而不是在想象之中的 ID4 硬盘。 幸运的是， 在我们发现这件事的时候那些资料都还在， 我们将这些资料从最早的那块 ID0 硬盘取出来并交还给 Fred， 而 Bill 也由此了解到计算机计数是从 0 开始的。 虽然我们这里的例子使用 SCSI 硬盘， 但是相同的概念也可以套用在 IDE 硬盘上。 使用 FDisk 创建分区 如果不再做改变，数据将会写进硬盘。如果您犯了一个错误想重新开始， 请选择 sysinstall 安装程序的退出按钮(exit)。或按 U 键来 Undo 操作。 如果您的操作没有结果， 您总可以重新启动您的计算机来达到您的目的。 当您在 sysinstall 主菜单选择使用标准安装后，您会看到下面的信息： Message In the next menu, you will need to set up a DOS-style ("fdisk") partitioning scheme for your hard disk. If you simply wish to devote all disk space to FreeBSD (overwriting anything else that might be on the disk(s) selected) then use the (A)ll command to select the default partitioning scheme followed by a (Q)uit. If you wish to allocate only free space to FreeBSD, move to a partition marked "unused" and use the (C)reate command. [ OK ] [ Press enter or space ] 如屏幕指示，按 Enter 键， 然后您就会看到一个列表列出所有在探测设备的时候找到的硬盘。 范例显示的是有找到两个 IDE 硬盘的情形，这两个硬盘分别为 ad0 和 ad2。
选择要分区的硬盘
您可能正在奇怪，为什么 ad1 没有列出来？ 为什么遗失了呢？ 试想，如果您有两个 IDE 硬盘，一个是在第一个 Primary master， 一个是 Secondary master，这样会发生什么事呢？ 如果 FreeBSD 依照找到的顺序来为他们命名，如 ad0 和 ad1 那么就不会有什么问题。 但是，现在问题来了。如果您现在想在 primary slave 加装第三个硬盘， 那么这个硬盘的名称就会是 ad1，之前的 ad1 就会变成 ad2。 这会造成什么问题呢？因为设备的名称 （如 ad1s1a）是用来寻找文件系统的， 因此您可能会发现，突然，您有些文件系统从此无法正确地显示出来， 必须修改 FreeBSD 配置文件（译注：/etc/fstab）才可以正确显示。 为了解决这些问题，在配置内核的时候可以叫 FreeBSD 直接用 IDE 设备所在的位置来命名，而不是依据找到的顺序。使用这种方式的话， 在 secondary master 的 IDE 设备就 永远是 ad2，即使您的系统中没有 ad0 或 ad1 也不受影响。 此为 FreeBSD 内核的默认值，这也是为什么上面的画面只显示 ad0 和 ad2 的原因。 画面上这台机器的两颗硬盘是装在 primary 及 secondary 的 master 上面； 并没有任何一个硬盘安装在 slave 插槽上。 您应该选择您想安装 FreeBSD 的硬盘，然后按下 &gui.ok;。之后 FDisk 就会开始，您会看到类似 的画面。 FDisk 的显示画面分为三个部分。 第一部分是画面上最上面两行，显示的是目前所选择的硬盘的信息。 包含它的 FreeBSD 名称、硬盘分布以及硬盘的总容量。 第二部分显示的是目前选择的硬盘上有哪些分区， 每个分区的开始及结束位置、所占容量、FreeBSD 名称、 它们的描述以及类别（sub-type）。此范例显示有两个未使用的小分区， 还有一个大的 FAT 分区， （很可能是 &ms-dos; 或 &windows; 的 C: ）， 以及一个扩展分区（在 &ms-dos; 或 &windows; 里面还可以包含逻辑分区）。 第三个部分显示 FDisk 中可用的命令。
典型的尚未编辑前的 Fdisk 分区表
接下来要做的事跟您要怎么给您的硬盘分区有关。 如果您要让 FreeBSD 使用整个硬盘（稍后您确认要 sysinstall 继续安装后会删除所有这个硬盘上的资料），那么您就可以按 A 键（Use Entire Disk ） 目前已有的分区都会被删除，取而代之的是一个小的，标示为 unused 的分区，以及一个大的 FreeBSD 分区。之后， 请用方向键将光标移到这个 FreeBSD 分区，然后按 S 以将此分区标记为启动分区。 您会看到类似 的画面。注意，在 Flags 栏中的 A 记号表示此分区是 激活 的， 因而启动将从此分区进行。 要删除现有的分区以便为 FreeBSD 腾出空间， 您可以将光标移动到要删除的分区后按 D 键。 然后就可按 C 键， 并在弹出的对话框中输入将要创建的分区的大小。 输入合适的大小后按 Enter 键。 一般而言， 这个对话框中的初始值是可以分配给该分区的最大值。 它可能是最大的邻接分区或未分配的整个硬盘大小。 如果您已经建立好给 FreeBSD 的分区 （使用像 &partitionmagic;类似的工具）， 那么您可以按下 C 键来建立一个新的分区。同样的， 会有对话框询问您要建立的分区的大小。
Fdisk 分区使用整个硬盘
完成后，按 Q 键。您的变更会存在 sysinstall 中， 但是还不会真正写入您的硬盘。 安装多重引导 在这步骤您可以选择要不要安装一个多重引导管理器。 一般而言，如果碰到下列的情形， 您应该选择要安装多重引导管理程序。 您有一个以上的硬盘，并且 FreeBSD 并不是安装在第一个硬盘上。 除了 FreeBSD，您还有其它的操作系统安装在同一块硬盘上， 所以您需要在开机的时候选择要进入哪一个系统。 如果您在这台机器上只安装一个 FreeBSD 操作系统， 并且安装在第一个硬盘， 那么选择 Standard 安装就可以了。如果您已经使用了一个第三方的多重引导程序， 那么请选择 None。 选择好配置后请按 Enter。
Sysinstall 多重引导管理程序
按下 F1 键所显示的在线说明中有讨论一些操作系统共存可能发生的问题。 在其它硬盘上创建分区 如果您的系统上有一个以上的硬盘， 在选择完多重引导管理程序后会再回到选择硬盘的画面。 如果您要将 FreeBSD 安装在多个硬盘上，那么您可以在这里选择其它的硬盘， 然后重复使用 FDisk 来建立分区。 如果您想让 FreeBSD 来管理其它的硬盘， 那么两个硬盘都必须安装 FreeBSD 的多重引导管理程序。
离开选择硬盘画面
Tab 键可以在您最后选择的硬盘、 &gui.ok; 以及 &gui.cancel; 之间进行切换。 用 Tab 键将光标移动到 &gui.ok; 然后按 Enter 键继续安装过程。 使用 <application>bsdlabel</application> 创建分区 您现在必须在刚刚建立好的 slice 中规划一些 label。 请注意，每个 label 的代号是 a 到 h，另外，习惯上 b、 c 和 d 是有特殊用途的，不应该随意变动。 某些应用程序可以利用一些特殊的分区而达到较好的效果， 尤其是分区分散在不同的硬盘的时候。但是，现在您是第一次安装FreeBSD， 所以不需要去烦恼如何分割您的硬盘。最重要的是， 装好FreeBSD然后学习如何使用它。当您对FreeBSD有相当程度的熟悉后， 您可以随时重新安装FreeBSD，然后改变您分区的方式。 下面的范例中有四个分区 — 一个是磁盘交换分区，另外三个是文件系统。 为第一个硬盘分区 分区 文件系统 大小 描述 a / - 128 MB + 512 MB 这是一个根文件系统（root filesystem）。 任何其它的文件系统都会 挂在根目录（译注：用根目录比较亲切） - 下面。 128 MB 对于此目录来说是合理的大小， + 下面。 512 MB 对于此目录来说是合理的大小， 因为您往后并不会在这里存放太多的数据； 在安装 FreeBSD - 后会用掉约 40 MB 的根目录空间。 + 后会用掉约 128 MB 的根目录空间。 剩下的空间是用来存放临时文件用的，同时， 您也应该预留一些空间，因为以后的FreeBSD版本可能会需要较多的 /（根目录）空间。 b N/A 2-3 x RAM b 分区为系统磁盘交换分区 （swap space）。选择正确的交换空间大小可是一门学问唷。 一般来说，交换空间的大小应该是您系统上内存（RAM） 大小的2到3倍。 交换空间至少要有 64 MB。因此， 如果您的电脑上的 RAM 比 32 MB 小， 请将交换空间大小设为 64 MB。 如果您有一个以上的硬盘， 您可以在每个硬盘上都配置交换分区。FreeBSD 会利用每个硬盘上的交换空间，这样做能够提高 swap 的性能。 如果是这种情形， 先算出您总共需要的交换空间大小 （如128 MB），然后除以您拥有的硬盘数目（如2块）， 算出的结果就是每个硬盘上要配置的交换空间的大小。 在这个例子中， 每个硬盘的交换空间为 64 MB。 e /var - 256 MB + 256 MB 至 1024 MB /var 目录会存放不同长度的文件、 日志以及其它管理用途的文件。大部分这些文件都是 FreeBSD 每天在运行的时候会读取或是写入的。 当这些文件放在另外的文件系统（译注：即/var） 可以避免影响到其它目录下面类似的文件存取机制。 f /usr - 剩下的硬盘空间 + 剩下的硬盘空间 （至少 2 GB） 您所有的其它的文件通常都会存在/usr 目录以及其子目录下面。
+ + 上面例子中的数值仅限于有经验的用户使用。 + 通常我们鼓励用户使用 &os; 分区编辑器中一个叫做 + Auto Defaults的自动分区布局功能。 + + 如果您要将FreeBSD安装在一个以上的硬盘， 那么您必须在您配置的其它分区上再建立分区。 最简单的方式就是在每个硬盘上建立两个分区，一个是交换分区， 一个是文件系统分区。 为其它磁盘分区 分区 文件系统 大小 描述 b N/A 见描述 之前提过，交换分区是可以跨硬盘的。但是，即使 a 分区没有使用，习惯上还是会把交换分区放在 b 分区上。 e /diskn 剩下的硬盘空间 剩下的空间是一个大的分区，最简单的做法是将之规划为 a分区而不是e分区。然而， 习惯上a分区是保留给根目录 (/) 用的。您不一定要遵守这个习惯，但是 sysinstall 会， 所以照着它做会使您的安装比较清爽、干净。 您可以将这些文件系统挂在任何地方，本范例建议将它们挂在 /diskn 目录，n 依据每个硬盘而有所不同， 但是，您喜欢的话也可将它们挂在别的地方。
分区的配置完成后，您可以用sysinstall. 来建立它们了。您会看到下面的信息： Message Now, you need to create BSD partitions inside of the fdisk partition(s) just created. If you have a reasonable amount of disk space (200MB or more) and don't have any special requirements, simply use the (A)uto command to allocate space automatically. If you have more specific needs or just don't care for the layout chosen by (A)uto, press F1 for more information on manual layout. [ OK ] [ Press enter or space ] 按下 Enter 键开始FreeBSD分区表编辑器，称做 Disklabel。 显示您第一次执行 Disklabel的画面。 画面分为三个区域。 前几行显示的是您正在编辑的硬盘以及您正在建立的 slice 位于哪个分区上。（在这里，Disklabel 使用的是 分区名称 而不是 slice 名）。 此画面也会显示 slice 还有多少空间可以使用；亦即，有多余的空间， 但是尚未指派分区。 画面中间区域显示已建立的区区，每个分区的文件系统名称、 所占的大小以及一些关于建立这些文件系统的参数选项。 下方的第三区显示在 Disklabel 中可用的按键。
Sysinstall Disklabel 编辑器
Disklabel - 您可以自动配置分区以及给它们预设的大小。您可以按 - A键使用此功能。您会看到类似 + 您可以自动配置分区以及给它们预设的大小。 + 这些默认的分区是由内部的分区尺寸算法根据磁盘的大小计算出的。 + 您可以按 A键使用此功能。您会看到类似 的画面。根据您硬盘的大小， 自动分配所配置的大小不一定合适。但是没有关系， 您并不一定要使用预设的大小。 默认情况下会给/tmp 目录一个独立分区，而不是附属在 / 之下。 这样可以避免将一些临时文件放到根目录中（译注： 可能会用完根目录空间）。
Sysinstall Disklabel 编辑器-使用自动配置
如果您不想使用默认的分区布局， 则需要用方向键移动光标并选中第一个分区， 然后按 D 来删除它。 重复这一过程直到删除了所有推荐的分区。 要建立第一个分区 (a，作为 / — 根文件系统)， 请确认您已经在屏幕顶部选中了正确的 slice， 然后按 C。 接下来将出现一个对话框， 要求您输入新分区的尺寸 (如 所示)。 您可以输入以块为单位的尺寸，或以 M 表示MB、 G 结尾表示GB， 或者 C 表示柱面数的方式来表达尺寸。 从 FreeBSD 5.X 开始， 用户可以： 使用 Custom Newfs (Z) 选项来选择 UFS2 (在 &os; 5.1 和更高版本中的默认值)。 用 Auto Defaults 来创建， 然后用 Custom Newfs 选项， 或在创建文件系统时指定 。 如果您使用了 Custom Newfs选项， 不要忘记增加 来启用 SoftUpdates！
根目录使用空间
如果使用此处显示的默认尺寸， 则会创建一个占满整个 slice 空余空间的 partition。如果希望使用前面例子中描述的 partition 尺寸， 则应按 Backspace 键删除这些数字， 并输入 - 128M， 如 + 512M， 如 所示。 然后， 按下 &gui.ok;。
编辑要分区大小
输入完大小后接着问您要建立的分区是文件系统还是交换空间，如 所示。第一个分区是文件系统， 所以确认选择 FS后按Enter 键。
选择根分区类型
最后，因为您要建立的是一个文件系统，所以必须告诉 Disklabel 这个文件系统要挂接在什么地方，如 所示。根文件系统的挂接点 /, 所以请输入 /,然后按 Enter键。
选择根挂接点
刚刚制作好的分区会显示在画面上。 您应该重复上述的动作以建立其它的分区。当建立交换空间的时候， 系统不会问您要将它挂接在哪里，因为交换空间是不用挂在系统上的。 当您在建立最后一个分区/usr的时候， 您可以直接使用默认的大小，即所有此分区剩余的空间。 您最终的 FreeBSD DiskLabel 编辑器画面会类似 , 实际数字按您的选择而有所不同。 按下 Q 键完成分区的建立。
Sysinstall Disklabel 编辑器
选择要安装的软件包 选择要安装的软件包 安装哪些软件包在很大程度上取决于系统将被用来做什么， 以及有多少可用的磁盘空间。内建的选项包括了运行所需要的最小系统， 到把所有软件包全都装上的常用配置。&unix; 或 FreeBSD 新手通常直接选择一个设定好的软件包就可以了， 而有经验的使用者则可以考虑自己订制安装哪些软件包。 按下 F1 可以看到有关软件包的更多选项信息， 以及它们都包含了哪些软件，之后，可以按 Enter 回到软件包选择画面。 如果您想要使用图形界面， 则必须选择软件包名称开头是 X 的那些软件包。 对于 X 服务器的配置， 以及选择默认的桌面管理器这样的工作必须在 &os; 安装完成之后才能作。 关于配置 X 服务器的更多资料可以在 找到。 默认安装的 X11 版本是 &xorg;。 如果需要定制内核， 您还需要选择包含源代码的那个选项。 要了解为什么应该编译和构建新的内核， 请参见 。 显然， 包含所有组件的系统是最万能的。 如果磁盘空间足够， 用光标键选择 中的 All 并按 Enter。 如果担心磁盘空间不够的话， 则选择最合适的选项。 不要担心选择的是否是最合适的， 因为其他软件包可以在安装完毕后再加入进来。
选择软件包
安装ports软件包 当选择完您想要安装的部分后，接着会询问您要不要安装FreeBSD Ports 软件包；Ports软件包可以让您简单方便地安装软件包。Ports本身并不包含编辑 软件所需要的程序源代码，而是一个包含自动下载、编辑以及安装的文档集合。 一章讨论如何使用Ports. 安装程序并不会检查您是否有足够的硬盘空间, 在选择这一项之前请先确定您有足够的硬盘空间。 目前 FreeBSD &rel.current; 版本中， FreeBSD Ports Collection 大约占用 &ports.size; 大小的硬盘空间。 对于近期的版本您可能需要更多一些空间来安装他们。 User Confirmation Requested Would you like to install the FreeBSD Ports Collection? This will give you ready access to over &os.numports; ported software packages, at a cost of around &ports.size; of disk space when "clean" and possibly much more than that if a lot of the distribution tarballs are loaded (unless you have the extra CDs from a FreeBSD CD/DVD distribution available and can mount it on /cdrom, in which case this is far less of a problem). The Ports Collection is a very valuable resource and well worth having on your /usr partition, so it is advisable to say Yes to this option. For more information on the Ports Collection & the latest ports, visit: http://www.FreeBSD.org/ports [ Yes ] No 选择 &gui.yes; 将会安装 Ports Collection， 而选择 &gui.no; 则将跳过它。 选好后按 Enter 继续。 此后， 选择安装的软件包的屏幕将再次出现。
确认您要安装的软件包
如果对您的选择感到满意，请选择Exit 退出，确保&gui.ok; 被高亮显示，然后按Enter 继续。 选择您要使用的安装介质 如果要从 CDROM 或 DVD安装，使用方向键将光标移到 Install from a FreeBSD CD/DVD。确认 &gui.ok; 被选取，然后按 Enter 开始安装程序。 如果要使用其它的方式安装， 请选择适当的安装介质然后按照屏幕指示进行安装。 按 F1 可以显示安装介质的在线说明。按一下 Enter 可返回选择安装介质画面。
选择安装介质
FTP安装模式 installation network FTP 使用FTP安装，有三种方式：主动式（active）FTP、被动式（passive）FTP 或是透过HTTP代理服务器。 主动式FTP： 从FTP服务器安装 这个选项将会使所有的FTP传输使用 Active模式。 这将无法通过防火墙，但是可以使用在那些比较早期， 不支持被动模式的FTP站。如果您的连接在使用被动（默认值） 模式卡住了，请换主动模式看看！ 被动模式FTP：通过防火墙从FTP服务器安装 FTP passive mode 此选项会让 sysinstall 使用 Passive模式来安装。这使得使用者可以穿过 不允许用非固定TCP PORTS连入的防火墙。 FTP 透过 HTTP 代理服务器： 透过HTTP代理服务器， 由 FTP 服务器安装 FTP via a HTTP proxy 此选项会让 sysinstall 通过HTTP协议 （像浏览器一样）连到proxy服务器。 proxy服务器会解释送出的请求，然后通知FTP服务器。 因为通过HTTP协议，所以可以穿过防火墙。 要用这种方式，您必须指定proxy服务器的地址。 对于一个 FTP 代理服务器而言， 通常在使用者登入名称中加入您要登入的服务器的用户名， 加在 @ 符号后面。然后代理服务器就会 假装 成一个真的服务器。例如，假设您要从 ftp.FreeBSD.org 安装，通过 FTP 代理服务器 foo.example.com， 使用1234端口。 在这种情况下，您可以到 options 菜单，将 FTP username 设为 ftp@ftp.FreeBSD.org，密码设为您的电子邮件地址。 安装介质部分，指定FTP (或是被动式 FTP，如果代理服务器支持的话) 以及URL为 ftp://foo.example.com:1234/pub/FreeBSD。 因为ftp.FreeBSD.org的 /pub/FreeBSD 目录会被抓取到 foo.example.com之下，您就可以从 这台 机器 (会从 ftp.FreeBSD.org 抓取文件) 安装。 安装确认 到此为止，可以开始进行安装了， 这也是您避免更动到您的硬盘的最后机会。 User Confirmation Requested Last Chance! Are you SURE you want to continue the installation? If you're running this on a disk with data you wish to save then WE STRONGLY ENCOURAGE YOU TO MAKE PROPER BACKUPS before proceeding! We can take no responsibility for lost disk contents! [ Yes ] No 选择 &gui.yes; 然后按下 Enter 确认安装 安装所需的时间会根据您所选择的软件、 安装介质以及您电脑的速度而有所不同。 在安装的过程中会有一些信息来显示目前的进度。 当您看到下面的信息表示已经安装完成了： Message Congratulations! You now have FreeBSD installed on your system. We will now move on to the final configuration questions. For any option you do not wish to configure, simply select No. If you wish to re-enter this utility after the system is up, you may do so by typing: /usr/sbin/sysinstall. [ OK ] [ Press enter or space ] 按下 Enter 以进行安装后的配置。 选择 &gui.no; 然后按 Enter 会取消安装，不会对您的系统造成更动。您会看到下面的信息： Message Installation complete with some errors. You may wish to scroll through the debugging messages on VTY1 with the scroll-lock feature. You can also choose "No" at the next prompt and go back into the installation menus to retry whichever operations have failed. [ OK ] 产生这个信息是因为什么东西也没有安装，按下 Enter 后会离开安装程序回到主安装界面。从主安装界面可以退出安装程序。 安装后的配置 安装成功后， 就可以进行进一步的配置了。 引导新安装的 FreeBSD 系统之后， 使用 sysinstall (/stand/sysinstall 如果您使用的是 &os; 5.2 之前的版本)， 并选择 Configure。 配置网卡 如果您之前配置用 PPP 通过 FTP 安装，那么这个画面将不会出现； 正像所说的那样，您可以稍后再做配置。 如果想更多的了解网卡或将FreeBSD配置为网关或路由器，请参考 Advanced Networking 的相关文章。 User Confirmation Requested Would you like to configure any Ethernet or SLIP/PPP network devices? [ Yes ] No 如果要配置网卡，请选择 &gui.yes; 然后按 Enter。 否则请选择 &gui.no; 继续。
选择网卡设备
用方向键选择您要配置的网卡接口，然后按Enter。 User Confirmation Requested Do you want to try IPv6 configuration of the interface? Yes [ No ] 目录私人区域网络IP协议IPv4已经足够，所以选择 &gui.no; 然后按 Enter。 如果想试试新的IP通信协议 IPv6 ， 使用 RA 服务，请选择 &gui.yes; 然后按 Enter。 寻找 RA 服务器将会花费几秒的时间。 User Confirmation Requested Do you want to try DHCP configuration of the interface? Yes [ No ] 如果您不需要 DHCP (Dynamic Host Configuration Protocol　动态主机配置协议) ，选择 &gui.no; 然后按Enter。 选择 &gui.yes; 会执行dhclient， 如果成功，它会自动将网络配置信息填上。更多的信息请参考 。 下面的网络配置显示了怎样把以太网设备配置成区域网络网关的角色。
配置 ed0接口
使用Tab 键可以在各个栏目之间进行切换，请输入适当 的信息： Host（机器名称） 完整的机器名称，例如本例中的 k6-2.example.com 。 Domain（域名） 您机器所在的域名称，如本例的 example.com IPv4 Gateway（IPv4网关） 输入将数据包传送到远端网络的机器IP地址。 只有当机器是网络上的一个节点时才要输入。 如果这台机器要作为您局域网的网关， 请将此处设为空白。IPv4网关， 也被称作默认网关或默认路由器。 域名服务器 本地网络中的域名服务器的IP地址。 本例中假设机器所在的网络中没有域名服务器， 所以填入的是ISP提供的域名服务器地址 （208.163.10.2。） IPv4 地址 本机所使用的IP地址。本例为 192.168.0.1。 子网掩码 在这个局域网中所使用的地址块是 192.168.0.0 - 192.168.0.255， 对应的子网掩码是 255.255.255.0。 ifconfig 额外参数设定 任何ifconfig命令跟网卡接口有关的参数。 本范例中没有。 使用 Tab 键选择 &gui.ok;然后按 Enter键。 User Confirmation Requested Would you like to Bring Up the ed0 interface right now? [ Yes ] No 选择 &gui.yes; 然后按 Enter 将会将机器的网卡转为启用状态。 机器下次启动的时候即可使用。 配置网关 User Confirmation Requested Do you want this machine to function as a network gateway? [ Yes ] No 如果这台机器要作为本地网络和其它机器之间传送数据包的网关，请选择 &gui.yes; 然后按 Enter。 如果这台机器只是网络上的普通节点，请选择 &gui.no; 并按 Enter 继续。 配置网络服务 User Confirmation Requested Do you want to configure inetd and the network services that it provides? Yes [ No ] 如果选择 &gui.no;， 许多网络服务，如 telnetd 将不会启用。 这样， 远端用户将无法 telnet 进入这台机器。 本机上的用户还是可以 telnet到远端机器的。 这些服务可以在安装完成后修改/etc/inetd.conf 配置文件来启用它们。请参阅 以获得更多的信息。 如果您想现在就配置这些网络服务，请选择 &gui.yes;， 然后会看到下面的信息： User Confirmation Requested The Internet Super Server (inetd) allows a number of simple Internet services to be enabled, including finger, ftp and telnetd. Enabling these services may increase risk of security problems by increasing the exposure of your system. With this in mind, do you wish to enable inetd? [ Yes ] No 选择 &gui.yes; 继续。 User Confirmation Requested inetd(8) relies on its configuration file, /etc/inetd.conf, to determine which of its Internet services will be available. The default FreeBSD inetd.conf(5) leaves all services disabled by default, so they must be specifically enabled in the configuration file before they will function, even once inetd(8) is enabled. Note that services for IPv6 must be separately enabled from IPv4 services. Select [Yes] now to invoke an editor on /etc/inetd.conf, or [No] to use the current settings. [ Yes ] No 选择 &gui.yes; 将允许您添加网络服务 (或将相应网络服务每行开头的 # 除掉即可。)
编辑 <filename>inetd.conf</filename>配置文件
在加入您想启用的服务后，按下 Esc键会出现一个 对话框可以让您离开以及保存修改。 启用 SSH 登录 SSH sshd User Confirmation Requested Would you like to enable SSH login? Yes [ No ] 选择 &gui.yes; 便会启用 &man.sshd.8;， 也就是 OpenSSH 服务程序。 它能够让您以安全的方式从远程访问机器。 如欲了解关于 OpenSSH 的进一步详情， 请参见 。 匿名 FTP FTP anonymous User Confirmation Requested Do you want to have anonymous FTP access to this machine? Yes [ No ] 不允许匿名 FTP访问 选择默认的 &gui.no; 并按下 Enter 键将仍然可以让在这台机器上有账号的用户访问 FTP。 允许匿名 FTP访问 如果您选择允许匿名 FTP 存取， 那么网络中任何人都可以使用FTP来访问您的机器。 在启用匿名访问之前应该考虑网络的安全问题。 如果要知道更多有关网络安全的信息， 请参阅 。 要启用FTP匿名访问，用方向键选择 &gui.yes; 并按 Enter键。 系统会给出进一步的确认信息： User Confirmation Requested Anonymous FTP permits un-authenticated users to connect to the system FTP server, if FTP service is enabled. Anonymous users are restricted to a specific subset of the file system, and the default configuration provides a drop-box incoming directory to which uploads are permitted. You must separately enable both inetd(8), and enable ftpd(8) in inetd.conf(5) for FTP services to be available. If you did not do so earlier, you will have the opportunity to enable inetd(8) again later. If you want the server to be read-only you should leave the upload directory option empty and add the -r command-line option to ftpd(8) in inetd.conf(5) Do you wish to continue configuring anonymous FTP? [ Yes ] No 这些信息会告诉您 FTP 服务还需要在 /etc/inetd.conf 中启用。 假如您希望允许匿名 FTP 连接， 请参见 。 选择 &gui.yes; 并按 Enter 继续； 系统将给出下列信息：
默认的匿名 FTP 配置
使用 Tab 在不同的信息字段之间切换， 并填写必要的信息： UID 用于分配给匿名 FTP 用户的用户 ID。 所有上传的文件的属主都将是这个 ID。 Group 匿名 FTP 用户所在的组。 Comment 用于在 /etc/passwd 中描述该用户的说明性信息。 FTP Root Directory 可供匿名 FTP 用户使用的文件所在的根目录。 Upload Subdirectory 匿名 FTP 用户上传的文件的存放位置。 默认的 FTP 根目录将放在 /var 目录下。 如果您的 /var 目录空间不足以应付您的FTP需求， 您可以将FTP的根目录改为 /usr 目录下的 /usr/ftp 目录。 当您对一切配置都满意后，请按 Enter 键继续。 User Confirmation Requested Create a welcome message file for anonymous FTP users? [ Yes ] No 如果您选择 &gui.yes; 并按下 Enter键， 系统会自动打开文本编辑器让您编辑FTP的欢迎信息。
编辑FTP欢迎信息
此文本编辑器叫做 ee。 按照指示修改信息文本或是稍后再用您喜爱的文本编辑器来修改。 请记住画面下方显示的文件位置。 按 Esc 将弹出一个默认为 a) leave editor的对话框。按 Enter 退出并继续。再次按 Enter 将保存修改。 配置网络文件系统 网络文件系统 (NFS) 可以让您可以在网络上共享您的文件。 一台机器可以配置成NFS服务器、客户端或两者并存。请参考 以获得更多的信息。 NFS 服务器 User Confirmation Requested Do you want to configure this machine as an NFS server? Yes [ No ] 如果您不想安装网络文件系统，请选择 &gui.no; 然后按 Enter键。 如果您选择 &gui.yes; 将会出现一个对话框提醒您必须先建立一个 exports 文件。 Message Operating as an NFS server means that you must first configure an /etc/exports file to indicate which hosts are allowed certain kinds of access to your local filesystems. Press [Enter] now to invoke an editor on /etc/exports [ OK ] 按 Enter 键继续。系统会启动文本编辑器让您编辑 exports 文件。
编辑 <filename>exports</filename>文件
按照指示加入真实输出的文件目录或是稍后用您喜爱的编辑器自行编辑。 请记下画面下方显示的文件名称及位置。 按下 Esc 键会出现一具对话框，默认选项是 a) leave editor。按下 Enter 离开并继续。 NFS 客户端 NFS 客户端允许您的机器访问NFS服务器。 User Confirmation Requested Do you want to configure this machine as an NFS client? Yes [ No ] 按照您的需要，选择 &gui.yes; 或 &gui.no; 然后按 Enter。 配置系统终端 系统提供了几个选项可以让您配置终端的表现方式。 User Confirmation Requested Would you like to customize your system console settings? [ Yes ] No 要查阅及配置这些选项，请选择 &gui.yes; 并按Enter。
系统终端配置选项
最常用的选项就是屏幕保护程序了。使用方向键将光标移动到 Saver 然后按 Enter。
屏幕保护程序选项
选择您想使用的屏幕保护程序，然后按 Enter。 之后回到系统终端配置画面。 默认开启屏幕保护程序的时间是300秒。如果要更改此时间，请再次选择 Saver 。然后选择 Timeout 并按 Enter键。系统会弹出一个对话框如下：
屏幕保护时间设置
您可以直接改变这个值，然后选 &gui.ok;并按 Enter 键回到系统终端配置画面。
退出系统终端配置
选择 Exit 然后按下 Enter 键会回到安装后的配置画面。 配置时区 配置您机器的时区可以让系统自动校正任何区域时间的变更， 并且在执行一些跟时区相关的程序时不会出错。 例子中假设此台机器位于美国东部的时区。 请参考您所在的地理位置来配置。 User Confirmation Requested Would you like to set this machine's time zone now? [ Yes ] No 选择 &gui.yes; 并按下 Enter键以配置时区。 User Confirmation Requested Is this machine's CMOS clock set to UTC? If it is set to local time or you don't know, please choose NO here! Yes [ No ] 这里按照您机器时间的配置，选择 &gui.yes; 或 &gui.no; 然后按 Enter。
选择您所处的地理区域
请选择适当的区域然后按 Enter。
选择您所在的国家
选择您所在的国家然后按 Enter。
选择您所在的时区
选择您所在的时区然后按 Enter。 Confirmation Does the abbreviation 'EDT' look reasonable? [ Yes ] No 检查一下时区的缩写是否正确，如果没错，请按 Enter 返回系统安装后的配置画面。 Linux 兼容性 User Confirmation Requested Would you like to enable Linux binary compatibility? [ Yes ] No 选择 &gui.yes; 并按下Enter 键， 将允许您在FreeBSD中执行Linux的软件。安装程序会安装一些为了跟 Linux 兼容的软件包。 如果您是通过FTP安装，那么您必须连到网络上。 有时候FTP站并不会包含所有的安装软件包（例如Linux兼容软件包）； 不过，稍后您还可以再安装这个项目。 配置鼠标 此选项可以让您在终端上使用三键鼠标剪贴文字。 如果您用的鼠标是两个按钮，请参考手册 &man.moused.8;； 以取得有关模拟三键鼠标的信息。范例中使用的鼠标不是USB接口。 （例如ps/2或com接口的鼠标）： User Confirmation Requested Does this system have a PS/2, serial, or bus mouse? [ Yes ] No 如果您使用的是 PS/2、 串口或 Bus 鼠标，请选择 &gui.yes;， 如果是 USB 鼠标， 则应选择 &gui.no; 并按 Enter。
选择鼠标类型
使用方向键选择 Type 然后按 Enter。
设置鼠标协议
在这个例子中使用的类型是ps/2鼠标，所以可以使用默认的 Auto（自动） 。 您可以用方向键选择合适的项目，确定选择了 &gui.ok; 后按 Enter 键离开此画面。
配置鼠标端口
选择 Port 然后按 Enter。
配置鼠标端口
假设这台机器用的是ps/2鼠标，您可以采用默认的 PS/2 选项。请选择适当的项目然后按 Enter。
启动鼠标服务进程
选择Enable然后按 Enter 来启动和测试鼠标。
测试鼠标功能
鼠标指针可以在屏幕上移动，指明鼠标服务已经正常启用。那么请选择 &gui.yes; 按 Enter键。否则鼠标没 有配置成功 — 选择 &gui.no; 并尝试不同的配置 选项。 选择 Exit 并按 Enter 退回到系统安装完成后的配置画面。 安装预编译的软件包 (package) Package 是事先编译好的二进制文件， 因此， 这是安装软件的一种便捷的方式。 在这里作为例子我们将给出安装一个 package 所需的过程。 如果需要， 还可以在这一阶段加入其他 package。 安装完成之后， sysinstall 依然可以用来安装其他 package。 User Confirmation Requested The FreeBSD package collection is a collection of hundreds of ready-to-run applications, from text editors to games to WEB servers and more. Would you like to browse the collection now? [ Yes ] No 选择 &gui.yes; 并按 Enter 将进入 package 选择界面：
选择 Package 类别
在任何时候， 只有当前安装介质上存在的 package 才可以安装。 如果选择了 All 或某个特定的分类， 则系统会列出全部可用的 package。 用光标键移动光棒选中需要的 package， 并按 Enter。 系统会显示可供选择的 package：
选择 Package
如图所示， 我们选择了 bash shell。 您可以根据需要使用 Space 键来勾选选定的 package。 在屏幕左下角会给出 package 的简短说明。 反复按下 Tab 键， 可以在最后选中的 package、 &gui.ok; 和 &gui.cancel; 之间来回切换。 当您把需要的 package 都标记为安装之后， 按一下 Tab 切换到 &gui.ok;， 随后按下 Enter 就可以回到 package 选择菜单了。 左右方向键可以用于在 &gui.ok; 和 &gui.cancel; 之间进行切换。 这种方法也可以用来选择 &gui.ok;， 随后按下 Enter 也可以回到 package 选择菜单。
安装预编译软件包
使用 Tab 和左右方向键选择 [ Install ] 并按 Enter。 接下来需要确认将要安装的预编译包：
确认将要安装的预编译包
选择 &gui.ok; 并按下 Enter 就可以开始预编译包的安装了。在这个过程中您会看到安装的相关信息， 直到安装完成为止。请留意观察是否有错误信息出现。 在完成预编译包的安装之后， 就进入了最后的配置阶段。 如果您没有选择任何预编译包， 并希望直接进入最后的配置阶段， 则可以选择 Install 来跳过。 添加用户和组 在安装系统的过程中， 您应添加至少一个用户， 以避免直接以 root 用户的身份登录。 用以保存其用户数据的根分区通常很小， 因此用 root 身份运行程序可能将其迅速填满。 下面的提示信息介绍了这样做可能带来的更大隐患： User Confirmation Requested Would you like to add any initial user accounts to the system? Adding at least one account for yourself at this stage is suggested since working as the "root" user is dangerous (it is easy to do things which adversely affect the entire system). [ Yes ] No 选择 &gui.yes; 并按 Enter 即可开始创建用户的过程。
选择用户
用箭头键来选择 User 然后按 Enter。
添加用户信息
下面的描述信息会出现在屏幕的下方，可以使用 Tab 键来切换不同的项目，以便输入相关信息： Login ID 新用户的登录名（强制性必须写） UID 这个用户的ID编号（如果不写，系统自动添加） Group 这个用户的登录组名（如果不写，系统自动添加） Password 这个用户的密码（键入这个需要很仔细！） Full name 用户的全名（解释、备注） Member groups 这个用户所在的组 Home directory 用户的主目录（如果不写，系统自动添加） Login shell 用户登录的shell（默认是/bin/sh）。 你可以将登录 shell 由 /bin/sh 改为 /usr/local/bin/bash， 以便使用事先以 package 形式安装的 bash shell。不要使用一个不存在的或您不能登录的shell。 最通用的shell是使用 BSD-world 的 C shell， 可以通过指定/bin/tcsh来修改。 用户也可以被添加到 wheel 组中成了一个超级用户，从而拥有 root 权限。 当您感觉满意时，键入 &gui.ok; 键， 用户和组管理菜单将会重新出现。
退出用户和组管理
如果有其他的需要， 此时还可以添加其他的组。 此外， 还可以通过 sysinstall (在 &os; 5.2 以前的版本中是 /stand/sysinstall) 在安装完成之后添加它们。 当您完成添加用户的时候，选择Exit 然后键入Enter 继续下面的安装。 设置 <username>root</username> 密码 Message Now you must set the system manager's password. This is the password you'll use to log in as "root". [ OK ] [ Press enter or space ] 键入 Enter 来设置 root 密码。 密码必须正确地输入两次。 毋庸讳言， 您需要选择一个不容易忘记的口令。 请注意您输入的口令不会回显， 也不会显示星号。 New password: Retype new password : 密码成功键入后，安装将继续。 退出安装 如果您需要设置 其他网络设备， 或需要完成其他的配置工作， 可以在此时或者事后通过 sysinstall (对于 &os; 5.2 之前的版本是 /stand/sysinstall) 来进行配置。 User Confirmation Requested Visit the general configuration menu for a chance to set any last options? Yes [ No ] 选择 &gui.no; 然后键入 Enter 返回到主安装菜单。
退出安装
选择 [X Exit Install] 然后键入 Enter。您可能需要确认是否真的退出安装： User Confirmation Requested Are you sure you wish to exit? The system will reboot (be sure to remove any floppies/CDs/DVDs from the drives). [ Yes ] No 选择 &gui.yes; 取出软盘。CDROM 驱动器将被锁定， 直到机器重新启动。CDROM 解锁后就可以取出光盘了。 此后系统将重新启动， 因此请留意是否会出现一些错误信息。 进一步的细节， 请参见 。 Tom Rhodes 原作 配置其他网络服务 如果之前缺少这一领域的经验， 那么配置网络服务对于新手而言， 很可能会是一件很有挑战的事情。 网络， 包括 Internet， 对于包括 &os; 在内的所有现代操作系统而言都至关重要。 因此， 首先对 &os; 提供的丰富的网络性能加以了解会很有帮助。 在安装过程中了解这些知识， 能够确保用户更好地理解他们可以用到的各种服务。 网络服务是一些可以接收来自网络上任何地方的人所提交的输入信息的程序。 人们一直都在努力确保这些程序不会做任何 有害的 事情。 不幸的是， 程序员们并不是十全十美的完人，因此，网络服务程序中的漏洞， 便有可能被攻击者利用来做一些坏事。因而， 只启用那些您知道自己需要的服务就很重要了。如果存在疑问， 那么就最好不要在您发现需要它之前启动任何网络服务。 您可以事后通过再次运行 sysinstall 或直接手工配置 /etc/rc.conf 来随时启用这些服务。 选择 Networking 选项将下显示一个类似下面的菜单：
网络配置之上层配置
第一个选项， Interfaces， 已经在前面的 中做过配置， 因此现在可以略过它。 选择 AMD 选项， 将添加对于 BSD 自动挂接程序的支持。 这个程序通常会和 NFS 协议 (详情参见下文) 配合使用，以便自动挂载远程文件系统。 启用它不需要在此时进行特殊的额外配置。 下一行是 AMD Flags 的参数选项。 选择它之后，会弹出一个让您选择 AMD 参数的子菜单。 菜单中包含一系列的选项： -a /.amd_mnt -l syslog /host /etc/amd.map /net /etc/amd.map 选项用来设置默认的挂接位置，这里使用的是 /.amd_mnt目录。 指定默认的 日志 文件； 但是，当使用 syslogd 时，所有在日之中记录的活动， 都会发送到系统日志服务去。 /host 用来挂接远程主机上输出的文件系统，而 /net 目录则用来挂接从特定 IP 地址输出的文件系统。 /etc/amd.map 文件定义了用于 AMD 的默认输出选项。 FTP anonymous (匿名) Anon FTP 允许匿名 FTP 访问。 选中这个选项， 可以使这台机器成为一台匿名 FTP 服务器。 要注意启用这个选项的安全风险。 系统将使用另外的菜单来说明安全风险和进一步的配置。 Gateway 选项可以使将本机配置成为一台以前我们介绍过的网关。 如果您在安装过程中不小心选中了 Gateway， 也可以在这里用这个选项来取消。 Inetd 选项用来配置或完全禁用前面讨论过的 &man.inetd.8; 服务程序。 Mail 用来配置系统默认的 MTA 或邮件传输代理。 选择这个选项将出现下面的菜单：
选择默认的 MTA
这里给您提供了一个安装MTA 并将其配置为默认值的机会。MTA 是一种能够将邮件头递给本系统或互联网上的用户的邮件服务。 选择 Sendmail 将会安装十分流行的 sendmail 服务， 这也是 &os; 的默认配置。Sendmail local 选项表示将 sendmail 设为默认的 MTA，但禁止其从 Internet 上接收邮件的能力。 此外还有一些其他选项，Postfix 和 Exim 与 Sendmail 的功能类似。 它们两者也可以投递邮件； 不过， 有些用户会喜欢使用它们代替 sendmail MTA。 选择 MTA 或决定不挑选 MTA 之后， 网络配置菜单的下一项将是 NFS client。 NFS client 客户端可以使系统通过 NFS 与服务器进行通信。 NFS 服务器通过 NFS 协议可以使其它在网络上的机器来访问自己的文件系统。 如果这台机器要作为一台独立的服务器，这个选项可以保留不选。 如果启用它， 您在之后还需要进行更多的其他配置； 请参见 以了解关于配置客户机和服务器的进一步详情。 接下来的 NFS server 选项， 可以让您将本机系统配置为 NFS 服务器。 这会自动将启动 RPC 远程过程调用的信息写入配置文件。 RPC 是一种在多个主机和程序之间进行连接组织的机制。 下一项是 Ntpdate 选项， 它能够处理时间同步。 当选择它后， 会出现一个像下面所似的菜单：
Ntpdate 配置
从这个菜单选择一个离您最近的服务器。 选择较近的服务器，有助于提高时间同步的精度， 因为较远的服务器的连接延迟可能会比较大。 下一个选项是 PCNFSD。 这个选项将安装第三方软件包 net/pcnfsd。 它可以用来为无法自行提供 NFS 认证服务的操作系统， 如微软的 &ms-dos; 提供服务。 滚屏到下一页看一下其它选项：
网络配置之下层配置
&man.rpcbind.8;， &man.rpc.statd.8; 和 &man.rpc.lockd.8; 这三个程序是用来提供远程过程调用 (RPC) 服务的。 rpcbind 程序管理 NFS 服务器和客户端的通信， 这是 NFS 正确工作的必要前提。rpc.statd 程序可以和其它主机上 rpc.statd 程序交互， 以提供状态监控。这些状态报告默认情况下会保存到 /var/db/statd.status 文件中。 最后的一项是 rpc.lockd 选项， 如果启用，则将提供文件上锁服务。通常将它和 rpc.statd 联用， 以监视哪些主机会请求对文件执行上锁操作， 以及这种操作的频繁程度。 尽管后两项功能对于调试非常有用， 但它们并不是 NFS 服务器和客户端正常运行所必需的。 下一个项目是Routed，这是一个路由程序。 &man.routed.8; 程序管理网络路由表，发现多播路由， 并且支持在网络上与它物理相连的主机来复制它的路由表的请求。 它被广泛地应用在本地网络中并扮演着网关的角色。 当选择它后，一个子菜单会来询问您这个程序的默认位置。 默认的位置已经被定义过， 您可以选择 Enter 键， 也可以按下其它的键。 这时会出来另一个菜单来询问您传递给 routed程序的参数。 默认的是 参数。 接下来是 Rwhod 选项， 选中它会启用 &man.rwhod.8; 程序在系统初时化的时候。 rwhod程序通过网络周期性的广播系统 信息或以客户的身份来收集这些信息。 更多的信息可以查看 &man.ruptime.1; 和 &man.rwho.1; 手册页。 倒数第二个选项是&man.sshd.8; 程序。它可以通过使用 OpenSSH 来提供安全的shell服务， 我们推荐通过使用它来使用 telnet 和 FTP 服务。 sshd 服务通过使用加密技术来创建从一台机器到另一台机器的安全连接。 最后有一个 TCP 扩展选项。 这可以用来扩展在 RFC 1323 和 RFC 1644 里定义的 TCP 功能。当许多主机以高速连接本机时，可能会引起某些连接被丢弃。 我们不推荐使用这个选项， 但是当使用独立的主机时可以从它上面得到一些好处。 现在您已经配置完成了网络服务， 您可以滚动屏幕到顶部选择 X Exit 项， 退出进入下一个配置部分， 或简单地选择两次 X Exit 之后选择 [X Exit Install] 来退出 sysinstall。 &os; 的启动过程 &os;/&arch.i386; 的启动过程 如果启动正常，您将看到在屏幕上有很多信息滚动， 最后您会看到登录命令行。您可以通过键入 Scroll-Lock和使用 PgUp 与 PgDn来查看信息，再键入 Scroll-Lock 回到命令行。 记录信息可能不会显示（缓冲区的限制）。您可以通过键入 dmesg 来查看。 使用您在安装过程中设置的用户名/密码来登录。（例子中使用 rpratt）。除非必须的时候请不要用 root 用户登录。 典型的启动信息：（忽略版本信息） Copyright (c) 1992-2002 The FreeBSD Project. Copyright (c) 1979, 1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994 The Regents of the University of California. All rights reserved. Timecounter "i8254" frequency 1193182 Hz CPU: AMD-K6(tm) 3D processor (300.68-MHz 586-class CPU) Origin = "AuthenticAMD" Id = 0x580 Stepping = 0 Features=0x8001bf<FPU,VME,DE,PSE,TSC,MSR,MCE,CX8,MMX> AMD Features=0x80000800<SYSCALL,3DNow!> real memory = 268435456 (262144K bytes) config> di sn0 config> di lnc0 config> di le0 config> di ie0 config> di fe0 config> di cs0 config> di bt0 config> di aic0 config> di aha0 config> di adv0 config> q avail memory = 256311296 (250304K bytes) Preloaded elf kernel "kernel" at 0xc0491000. Preloaded userconfig_script "/boot/kernel.conf" at 0xc049109c. md0: Malloc disk Using $PIR table, 4 entries at 0xc00fde60 npx0: <math processor> on motherboard npx0: INT 16 interface pcib0: <Host to PCI bridge> on motherboard pci0: <PCI bus> on pcib0 pcib1: <VIA 82C598MVP (Apollo MVP3) PCI-PCI (AGP) bridge> at device 1.0 on pci0 pci1: <PCI bus> on pcib1 pci1: <Matrox MGA G200 AGP graphics accelerator> at 0.0 irq 11 isab0: <VIA 82C586 PCI-ISA bridge> at device 7.0 on pci0 isa0: <ISA bus> on isab0 atapci0: <VIA 82C586 ATA33 controller> port 0xe000-0xe00f at device 7.1 on pci0 ata0: at 0x1f0 irq 14 on atapci0 ata1: at 0x170 irq 15 on atapci0 uhci0: <VIA 83C572 USB controller> port 0xe400-0xe41f irq 10 at device 7.2 on pci0 usb0: <VIA 83C572 USB controller> on uhci0 usb0: USB revision 1.0 uhub0: VIA UHCI root hub, class 9/0, rev 1.00/1.00, addr 1 uhub0: 2 ports with 2 removable, self powered chip1: <VIA 82C586B ACPI interface> at device 7.3 on pci0 ed0: <NE2000 PCI Ethernet (RealTek 8029)> port 0xe800-0xe81f irq 9 at device 10.0 on pci0 ed0: address 52:54:05:de:73:1b, type NE2000 (16 bit) isa0: too many dependant configs (8) isa0: unexpected small tag 14 fdc0: <NEC 72065B or clone> at port 0x3f0-0x3f5,0x3f7 irq 6 drq 2 on isa0 fdc0: FIFO enabled, 8 bytes threshold fd0: <1440-KB 3.5" drive> on fdc0 drive 0 atkbdc0: <keyboard controller (i8042)> at port 0x60-0x64 on isa0 atkbd0: <AT Keyboard> flags 0x1 irq 1 on atkbdc0 kbd0 at atkbd0 psm0: <PS/2 Mouse> irq 12 on atkbdc0 psm0: model Generic PS/2 mouse, device ID 0 vga0: <Generic ISA VGA> at port 0x3c0-0x3df iomem 0xa0000-0xbffff on isa0 sc0: <System console> at flags 0x1 on isa0 sc0: VGA <16 virtual consoles, flags=0x300> sio0 at port 0x3f8-0x3ff irq 4 flags 0x10 on isa0 sio0: type 16550A sio1 at port 0x2f8-0x2ff irq 3 on isa0 sio1: type 16550A ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 ppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/15 bytes threshold ppbus0: IEEE1284 device found /NIBBLE Probing for PnP devices on ppbus0: plip0: <PLIP network interface> on ppbus0 lpt0: <Printer> on ppbus0 lpt0: Interrupt-driven port ppi0: <Parallel I/O> on ppbus0 ad0: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata0-master using UDMA33 ad2: 8063MB <IBM-DHEA-38451> [16383/16/63] at ata1-master using UDMA33 acd0: CDROM <DELTA OTC-H101/ST3 F/W by OIPD> at ata0-slave using PIO4 Mounting root from ufs:/dev/ad0s1a swapon: adding /dev/ad0s1b as swap device Automatic boot in progress... /dev/ad0s1a: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1a: clean, 48752 free (552 frags, 6025 blocks, 0.9% fragmentation) /dev/ad0s1f: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1f: clean, 128997 free (21 frags, 16122 blocks, 0.0% fragmentation) /dev/ad0s1g: FILESYSTEM CLEAN; SKIPPING CHECKS /dev/ad0s1g: clean, 3036299 free (43175 frags, 374073 blocks, 1.3% fragmentation) /dev/ad0s1e: filesystem CLEAN; SKIPPING CHECKS /dev/ad0s1e: clean, 128193 free (17 frags, 16022 blocks, 0.0% fragmentation) Doing initial network setup: hostname. ed0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500 inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255 inet6 fe80::5054::5ff::fede:731b%ed0 prefixlen 64 tentative scopeid 0x1 ether 52:54:05:de:73:1b lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x8 inet6 ::1 prefixlen 128 inet 127.0.0.1 netmask 0xff000000 Additional routing options: IP gateway=YES TCP keepalive=YES routing daemons:. additional daemons: syslogd. Doing additional network setup:. Starting final network daemons: creating ssh RSA host key Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: cd:76:89:16:69:0e:d0:6e:f8:66:d0:07:26:3c:7e:2d root@k6-2.example.com creating ssh DSA host key Generating public/private dsa key pair. Your identification has been saved in /etc/ssh/ssh_host_dsa_key. Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub. The key fingerprint is: f9:a1:a9:47:c4:ad:f9:8d:52:b8:b8:ff:8c:ad:2d:e6 root@k6-2.example.com. setting ELF ldconfig path: /usr/lib /usr/lib/compat /usr/X11R6/lib /usr/local/lib a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout /usr/X11R6/lib/aout starting standard daemons: inetd cron sshd usbd sendmail. Initial rc.i386 initialization:. rc.i386 configuring syscons: blank_time screensaver moused. Additional ABI support: linux. Local package initialization:. Additional TCP options:. FreeBSD/i386 (k6-2.example.com) (ttyv0) login: rpratt Password: 生成 RSA 和 DSA密钥在比较慢的机器上可能要花很长时间。这只是一个 新安装后的首次启动，以后的启动会变得更快一点。 如果已经完成 X 服务器的配置， 且指定了默认的桌面窗口管理器， 就可以在命令行键入 startx 来启动它了。 &os;/&arch.alpha; 的启动过程 Alpha 一旦安装完成，您就可以键入下面的命令来启动FreeBSD： >>>BOOT DKC0 这是从指定的固定硬件进行引导。如果要使 FreeBSD 下次能够自动启动， 使用下面的命令： >>> SET BOOT_OSFLAGS A >>> SET BOOT_FILE '' >>> SET BOOTDEF_DEV DKC0 >>> SET AUTO_ACTION BOOT 启动信息跟启动 &i386;机器时差不多。（但不完全一样） FreeBSD 关机 正确的关闭操作系统是很重要的。不要仅仅关闭电源。 首先，您需要成为一个超级用户，通过键入 su 命令来实现。然后输入 root 密码。这需要用户是 wheel 组的一名成员。然后， 以root键入 shutdown -h now命令。 The operating system has halted. Please press any key to reboot. 当shutdown命令发出后，屏幕上出现 Please press any key to reboot 信息时，您就可以安全的关闭计算机了。如果按下任意一个键， 计算机将重新启动。 您也能够使用 Ctrl Alt Del 组合键来重新启动计算机，但是不推荐使用这个操作。 常见问题 安装 常见问题 下面将介绍一些在安装过程中常见的问题，像如何报告发生的问题， 如何双重启动 FreeBSD 和 &ms-dos; 或 &windows;。 当您遇到错误时，应该怎么做？ 由于 PC 结构的限制， 硬件检测不可能 100% 地可靠， 但是有些问题是您可以自己解决的。 首先检查一下您使用的 &os; 版本的 硬件兼容说明 文档看看您使用的是否是被支持的硬件。 如果您使用的硬件是系统支持的，但仍然遇到了死机或其他问题， 则需要联编 定制的内核。 这能够支持默认的 GENERIC 内核所不支持的设备。 在引导盘上的内核假定绝大多数的硬件，均为按出厂设置的方式配置了 IRQ、 IO 地址和 DMA 通道。 如果您的硬件重新进行了配置， 则可能需要编辑内核配置， 并重新编译内核， 以便告诉 &os; 到哪里去查找设备。 除此之外，也可能遇到这种情况吗，即探测某种并不存在的设备时， 会干扰到其他设备的检测并使其失败。 这种情况吗下应禁止驱动程序检测可能导致冲突的设备。 有些安装问题可以借助更新硬件的程序来解决，特别是主板的 BIOS 。 大部分的主板制造商都会提供网站给用户下载新的 BIOS 以及提供如何更新的说明。 也有许多制造商强烈建议，除非必要否则不要轻易更新 BIOS 。因为更新的过程 可能 会发生问题，进而损害 BIOS 芯片。 使用 &ms-dos; 和 &windows; 文件系统 目前， &os; 尚不支持通过 Double Space™ 程序压缩的文件系统。 因此，如果希望 &os; 访问数据， 则应首先解压缩这些文件系统。 这项工作，可以通过位于 Start> Programs > System Tools 菜单的 Compression Agent 来完成。 &os; 可以支持基于 &ms-dos; 的文件系统 （有时被称为 FAT 文件系统）。 &man.mount.msdosfs.8; 命令能够把这样的文件系统挂接到现有的目录结构中， 并允许访问 FAT 文件系统上的内容。 通常我们并不直接使用 - &man.mount.msdosfs.8;，它一般会在 /etc/fstab + &man.mount.msdosfs.8; 程序，它一般会在 /etc/fstab 中的某一行被调用或者被 &man.mount.8; 工具并配合适当的参数来调用。 /etc/fstab中一个典型的例子： /dev/ad0sN /dos msdosfs rw 0 0 /dos 目录必须事先存在。 更多关于 /etc/fstab 的细节， 请参阅 &man.fstab.5;。 一个使用 &man.mount.8; 挂载 &ms-dos; 文件系统的例子： &prompt.root; mount -t msdosfs /dev/ad0s1 /mnt 在此例子中， &ms-dos; 文件系统位于主硬盘的第一个分区。 您的情况可能与引不同，查看命令 dmesg 和 mount 的输出。 它们应该可以让您得到足够的分区信息。 &os; 可能使用和其他操作系统不同计数方法来标记磁盘 slices， 特别需要指出的是， &ms-dos; 的扩展分区通常会比 &ms-dos; 主分区被标记为更高的数值。 可以使用 &man.fdisk.8; 工具来帮助测定哪些 slices 属于 &os; 哪些是属于其他的操作系统。 NTFS 分区也可以通过类似 &man.mount.ntfs.8; 命令挂接在FreeBSD上。 排除故障时的常见问题和解决方法 我的系统在引导到探测硬件时发生了死机、 安装过程中行为异常， 或没有检测到软驱。 &os; 5.0 和更高版本在启动过程中广泛使用了 i386、 amd64 及 ia64 平台提供的 ACPI 服务来检测系统配置。 不幸的是， 在 ACPI 驱动和主板 BIOS 中存在一些 bug。 如果遇到这种情况， 可以在系统引导时禁用 ACPI， 其方法是在第三阶段引导加载器时使用 hint hint.acpi.0.disabled： set hint.acpi.0.disabled="1" 这一设置会在系统重启之后失效，因此，如果需要的话，您应在 /boot/loader.conf 文件中增加 hint.acpi.0.disabled="1"。 关于引导加载器的进一步详情， 请参见 。 在硬盘安装 &os; 之后的首次启动时， 内核加载并检测了硬件， 但给出下列消息并停止运行： changing root device to ad1s1a panic: cannot mount root 这是怎么回事？ 我该怎么做？ 另外引导帮助信息里提到的 bios_drive:interface(unit,partition)kernel_name 是什么？ 系统在处理引导盘非系统中的第一块盘时有一个由来已久的问题。 BIOS 采用的编号方式有时和 &os; 不一致， 而设法将其变为一样则很难正确地实现。 因而， 在发生这种情况时，&os; 可能会需要一些帮助才能找到磁盘。有两种常见的情况， 在这些情况下您都需要手工告诉 &os; 根文件系统模块的位置。 这是通过告诉引导加载器 BIOS 磁盘编号、磁盘类型以及 &os; 中的该种磁盘的编号来实现的。 第一种情况是有两块 IDE 硬盘， 分别配置为对应 IDE 总线上的主 (master) 设备， 并希望 &os; 从第二块硬盘上启动。 BIOS 将两块硬盘识别为磁盘 0 和磁盘 1， 而 &os; 则将其分别叫做 ad0 和 ad2。 &os; 位于 BIOS 磁盘 1， 其类型是 ad 而 &os; 磁盘编号则是 2， 因此， 您应输入： 1:ad(2,a)kernel 注意， 如果您的主总线上有从设备， 则这一配置是不必要的 (因为这样配置是错的)。 第二种情况是从 SCSI 磁盘启动，但系统中安装了一个或多个 IDE 硬盘。这时，&os; 磁盘编号会比 BIOS 磁盘编号小。如果您有两块 IDE 硬盘， 以及一块 SCSI 硬盘，则 SCSI 硬盘将会是 BIOS 磁盘 2， 类型为 da 而 &os; 磁盘编号是 0， 因此， 您应输入： 2:da(0,a)kernel 来告诉 &os; 您希望从 BIOS 磁盘 2 引导， 而它是系统中的第一块 SCSI 硬盘。 假如只有一块 IDE 硬盘， 则应以 1: 代替。 一旦您确定了应选用的正确配置， 就可以用标准的文本编辑器把它写到 /boot.config 文件中了。 除非另行指定， &os; 将使用这个文件的内容， 作为对 boot: 提示的默认回应。 在硬盘安装 &os; 之后的首次启动时， Boot Manager 只是给出了 F? 的菜单提示， 但并不继续引导过程。 在您安装 &os; 进行到分区编辑器时所设置的磁盘尺寸信息不对。 请回到分区编辑器并指定正确的磁盘尺寸。 这种情况必须重新安装 &os;。 如果您无法确定在您机器上的正确尺寸信息，可以用一个小技巧： 在磁盘开始的地方安装一个小的 DOS 分区， 并在其后安装 &os;。 安装程序能够看到这个 DOS 分区， 并利用它推测磁盘的尺寸信息， 这通常会有所帮助。 下面的技巧不再推荐使用， 在这里仅供参考：
如果您正准备建立只运行 &os; 的服务器或工作站， 而无需考虑 (之后) 与 DOS、 Linux 或其他操作系统的兼容性， 也可以使用整个硬盘 (分区编辑器中的 A)， 选择 &os; 独占整个硬盘每一个扇区的非标准选项。 这会扫除关于磁盘尺寸的一切烦恼， 但会限制您以后运行 &os; 以外的其他操作系统的能力。
系统找到了 &man.ed.4; 网卡， 但总是报设备超时 (device timeout) 错误。 您的网卡可能使用了与 /boot/device.hints 文件中指定的 IRQ 不同的中断请求号。 &man.ed.4; 驱动默认情况下并不支持 软 配置 (在 DOS 中使用 EZSETUP 配置的值)， 但如果您在网卡的 hints 中指定 -1， 便会使用软配置。 您应使用网卡的跳线进行硬配置 (根据需要修改内核设置) 或通过 hint hint.ed.0.irq="-1" 将 IRQ 指定为 -1。 这会告诉内核使用软配置。 另一个可能是您的网卡使用 IRQ 9， 这会与 IRQ 2 共用同一中断请求线， 同时也是导致问题的一个常见原因 (特别是 VGA 卡使用 IRQ 2 的时候！)。 您应尽量避免使用 IRQ 2 或 9。 Valentino Vaschetto Contributed by 高级安装指南 这节主要描述在一些特殊情况下如何安装FreeBSD。 在一个没有显示器或键盘的系统上安装FreeBSD installation headless (serial console) serial console 这种类型的安装叫做 headless install（无关安装）， 因您正要安装FreeBSD的机器不是没带显示器，就是没有显卡。 您可能会问那怎么安装？ 可以使用一个串行控制台。 串行控制台基本上是使用另外一台机器来充当主显示设备和键盘。 要这样做，只要执行下面的步骤：创建安装软件，请看 一节说明。 按下面的步骤，修改这些软盘用来引导进入一个串行控制台： 通过启动软盘来引导进入一个串行控制台 mount 如果您想用软盘，FreeBSD将进入它通常的安装模式。 我们要把 FreeBSD 引导进入串行控制台，需要这样做， 您必须使用 &man.mount.8;命令在FreeBSD系统上挂接 boot.flp 的那个软盘。 &prompt.root; mount /dev/fd0 /mnt 现在您已经挂上了软盘， 需要进入 /mnt 目录： &prompt.root; cd /mnt 这儿是您必须设置软盘引导进入串行控制台的地方。 您必须制作一个包含 /boot/loader -h 这行的叫做 boot.config 的文件。 所有这些是为了给引导程序一个标记以引导进入串行控制台。 &prompt.root; echo "/boot/loader -h" > boot.config 现在您已经正确配置好了软盘，您必须使用 &man.umount.8; 命令卸下软盘。 &prompt.root; cd / &prompt.root; umount /mnt 现在您可以从软盘驱动器中取出软盘了。 连接您的 Null-modem 线 null modem cable 您现在需要一根 null modem线 来连接两台机器。只要连接两台机器的串口。 普通的串行线是不行的， 您需要使用一根null modem的线， 因为它在一些十字交叉口有金属线。 开始启动安装 现在开始启动安装。把 boot.flp 的那张软盘插入软盘驱动器，然后开启电源。 连接您的无头机器 cu 现在您已经通过&man.cu.1;连接到了那台机器。 &prompt.root; cu -l /dev/cuad0 在 &os; 5.X 上， 应使用 /dev/cuaa0 代替例子中的 /dev/cuad0。 就这样！ 您已经能够通过您的 cu session 对话来控制那台 无头机器了。 它将要求您把 kern1.flp 的那张软盘插入驱动器， 然后它将提示选择使用哪种终端。 只要选择 FreeBSD 的彩色控制台， 然后继续您的安装。 准备您自己的安装介质 为了避免重复 FreeBSD disc 在这里指 FreeBSD CDROM or DVD 那即意味着您要购买或自己制做。 有好几个原因需要您创建自己的FreeBSD安装介质。 这可能是物理介质，如磁带，使用 sysinstall 程序找到的安装文件， FTP 站点或 &ms-dos;分区。 例如： 您有许多机器连接到本地网络，使用一个FreeBSD光盘。 您要使用FreeBSD来创建一个本地FTP站点， 然后使用这个FTP站点来代替连接到Internet。 您有一张 FreeBSD 光盘， FreeBSD 不支持您的 CD/DVD 驱动器， 但 &ms-dos;/&windows; 支持。 您要复制安装文件到一个DOS分区， 然后使用这些文件进行安装。 您要安装的计算机没有 CD/DVD驱动器和网卡，但您可以连接一个 Laplink-style 串口或并口线缆到那台计算机。 您要通过一个磁带机来安装FreeBSD. 创建一张安装光盘 FreeBSD 的每个发行版本都为每一支持的平台提供至少两张 CDROM 映像 (ISO images)。如果您有刻录机， 这些映像文件可以被(burned) 成FreeBSD的安装光盘。 如果没有刻录机，而上网带宽却很便宜，它也是一种很好的安装方式。 下载正确的 ISO 映像文件 每个版本的ISO映像文件都可以从 ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-架构名/版本 或最近的镜像站点下载。选择合适的 架构 和 版本 。 目录中包含下面一些映像文件： FreeBSD 5.<replaceable>X</replaceable> 和 6.<replaceable>X</replaceable> ISO 映像文件名和含意 文件名 包含内容 版本-RELEASE-架构-bootonly.iso 引导 FreeBSD 内核并启动安装界面所需的全部数据。 安装文件可以从 FTP 或其他安装源获得。 版本-RELEASE-架构名-disc1.iso 安装 FreeBSD 所需的全部文件， 以及一份用于与 sysinstall 中的 Repair(修复) 机制联用的 现场文件系统。 版本-RELEASE-架构名-disc2.iso &os; 文档 (在 &os; 6.2 之前) 以及这张光盘能装下的、 尽可能多的第三方软件包。 version-RELEASE-arch-docs.iso &os; 文档 (&os; 6.2 和之后的版本)。
您 必须 下载 bootonly ISO 镜像 (如果有的话) 或第一张光盘的镜像之一。 不需要两个都下载， 因为第一张光盘包括了 bootonly ISO 的全部内容。 如果访问 Internet 的价格便宜， 建议使用 bootonly ISO。 这样您可以安装 &os;， 并从网上通过 ports/packages 系统 (参见 ) 根据需要下载和安装第三方软件包。 如果您正打算安装 &os; 并同时选择一些第三方软件包， 则可以下载第一张光盘的镜像文件。 其它的映像盘也是很有用的，但不是必须的， 尤其是在您有高速的网络连接时。 刻录 CDs 您必须把这些映像文件刻录成光盘。 如果您在其它的FreeBSD系统上完成此项工作，请看 得到更多的信息，（特别是 和 ） 如果您在其它的系统平台上执行，您需要相应的刻录软件。 映像文件使用的是标准的ISO格式，必须被您的刻录软件所支持。 如果有兴趣制作一张定制的 FreeBSD 版本， 请参考 Release Engineering Article。 为 FreeBSD 安装盘建立局域网 FTP 站点 installation network FTP FreeBSD 光盘的布局和 FTP 站点相同。 这样， 建立局域网 FTP 站点来用于网络上的其它计算机安装 FreeBSD， 就十分的容易。 在要作为FTP站点的那台FreeBSD机器上， 确定FreeBSD磁盘放入光驱中并将它挂在 /cdrom 目录中。 &prompt.root; mount /cdrom 在 /etc/passwd 文件中建立一个可匿名访问 FTP 服务器的账号。 您可以利用 &man.vipw.8; 命令编辑 /etc/passwd 文件， 加入下面这一行叙述： ftp:*:99:99::0:0:FTP:/cdrom:/nonexistent 确定在 /etc/inetd.conf 配置文件中开启了FTP服务。 任何本地网络中的机器在安装 FreeBSD 选择安装介质时就可以选择透过 FTP 站点，然后选取 Other 后输入 ftp:// 本地FTP服务器 即可以透过本地的FTP站点来安装FreeBSD。 如果用作 FTP 客户端的引导介质 (通常是软盘) 与本地局域网的 FTP 站点上的版本不一致， sysinstall 会不允许您完成安装。 如果您使用的版本差距不很大， 并且希望绕过这一判断， 则应进入 Options 菜单， 并将安装包的名字改为 any。 此方式最好使用在有防火墙保护的内部网络。 如果要将此FTP服务公开给外面的网际网络（非本地用户）， 您的电脑必须承担被侵入或其它的风险。 我们强烈建议您要有完善的安全机制才这样做。 创建安装软盘 installation floppies 如果您从软盘安装（我们不推荐那样做）， 或者是由于不支持硬件或者更简单的理由是因为您坚持要使用软盘安装。 您必须准备几张软盘。 至少这些软盘必须是 1.44 MB 的，用来容纳所有在 base (基本系统) 目录下的文件。如果您在 DOS 操作系统下准备就 必须 使用 &ms-dos; 的 FORMAT 命令来格式化软盘。 如果您使用的是 &windows; 操作系统， 在资源管理器中就可以完成这个工作 (用右键单击 A: 驱动器，并选择 Format)。 不要 指望厂家的预先格式化！ 最好还是亲自进行格式化。 过去用户报告的很多问题都是由于不正确地使用格式化设备所造成的， 所以我们需要在这里着重提一下。 如果您在另外一台FreeBSD的机器上做了启动盘的话， 进行格式化是一个不错的主意。 虽然您不需要把每张盘都做成DOS文件系统。您也可以使用 bsdlabel 和 newfs 命令来创建一个UFS文件系统，具体操作按下面的顺序进行： &prompt.root; fdformat -f 1440 fd0.1440 &prompt.root; bsdlabel -w fd0.1440 floppy3 &prompt.root; newfs -t 2 -u 18 -l 1 -i 65536 /dev/fd0 然后您就可以像其它的文件系统一样挂上和写入这些磁盘。 格式化这些磁盘后，您必须把文件复制到磁盘中。 这些发行文件被分割成刚好可存进五张 1.44 MB 软盘。 检查您所有的磁盘， 找出所有可能适合的文件。 直到您找到所有需要的配置并且将它们以这种方式安置。 第一个配置都应该有一个子目录在磁盘上， 例如： a:\base\base.aa、 a:\base\base.ab， 等等。 base.inf 文件， 也应放在 base 的第一张盘上， 因为安装程序需要读取这个文件， 以了解在获得发布包时需要下载多少文件。 一旦您进入选择安装介质的屏幕， 选择 Floppy 将会看到后面的提示符。 从 &ms-dos; 分区安装 installation from MS-DOS 如果从 &ms-dos; 分区安装， 您需要将发布文件复制到该分区根目录下的 freebsd 目录中。 例如： c:\freebsd。 您必须复制一部分 CDROM 或 FTP 上的目录结构， 因此， 如果您从光盘进行复制， 建议使用 DOS 的 xcopy 命令。 下面是准备进行 FreeBSD 最小系统安装的例子： C:\> md c:\freebsd C:\> xcopy e:\bin c:\freebsd\bin\ /s C:\> xcopy e:\manpages c:\freebsd\manpages\ /s 假设 C: 盘是您的空闲空间， E: 盘是您挂接的 CDROM。 如果您没有光盘驱动器，您可以从以下网站下载发行包。ftp.FreeBSD.org. 每一个发行包都在一个目录中，例如 base 发行包可以在 &rel.current;/base/ 目录中找到。 对很多发行包来说，如果您希望从 &ms-dos;分区安装的话 （您有足够的空间），安装 c:\freebsd — 下的每个文件－这个 BIN 发行包只是最低限度的要求。 创建一个安装磁带 installation from QIC/SCSI Tape 从磁带安装也许是最简单的方式， 比在线使用 FTP 安装或使用 CDROM 还快。安装的程序假设是简单地被压缩在磁带上。 在您得到所有配置文件后，简单地解开它们，用下面的命令： &prompt.root; cd /freebsd/distdir &prompt.root; tar cvf /dev/rwt0 dist1 ... dist2 在您安装的时候，您要确定留有足够的空间给临时目录（允许您选择） 来容纳磁带安装时 全部 的内容。由于不是随机访问 磁带的，所以这种安装方法需要很多临时空间。 开始安装时，在从软盘启动 之前， 磁带机必须已经放在驱动设备中。否则， 安装过程中可能会找不到它。 通过网络安装 installation (安装) network (网络) serial (串口， SLIP 或 PPP) installation (安装) network (网络) parallel (并口， PLIP) installation (安装) network (网络) Ethernet (以太网) 可用的网络安装类型有三种。 以太网 (标准的以太网控制器)、 串口 (SLIP 或 PPP) 以及 并口 (PLIP (laplink 线缆))。 如果希望以最迅速的方式完成网络安装， 那么以太网适配器当然就是首选！ FreeBSD 支持绝大多数常见 PC 以太网卡； 系统能够支持的网卡 (以及所需的配置) 可以在 FreeBSD 发行版附带的硬件兼容说明中找到。 如果您使用的是系统支持的 PCMCIA 以太网卡， 在为笔记本加电 之前 之前一定要把它插好！ 很不幸， FreeBSD 目前并不支持在安装过程中热插 PCMCIA 卡。 此外， 您还需要知道自己的 IP 地址、 网络类型对应的子网掩码， 以及机器名。 如果您正通过 PPP 连接安装而没有固定的静态 IP， 不用怕， 这个 IP 地址会由您的 ISP 自动分配。 您的系统管理员会告诉您进行网络配置所需的信息。 如果您需要通过名字而不是 IP 地址来访问其他主机， 则还需要配置一个域名服务器， 可能还需要一个网关地址 (在使用 PPP 时， 这个地址是服务提供商的 IP 地址)。 如果您希望通过 HTTP 代理服务器来完成 FTP 安装， 还需要知道代理服务器的地址。 如果您不知道这些信息， 则应在进行这种安装 之前 向系统管理员或 ISP 询问。 SLIP 支持是相当原始的，并且被限制在主要对hard-wired 的连接， 就像一台膝上型计算机与另一台计算机间的串行线。 现在的SLIP的安装还没有提供拨号功能，这个连接应该是 hard-wired； 用PPP工具提供的这种便利性应该首先尽可能被用于 SLIP 设备。 如果您使用一个 MODEM，那您就只有 PPP 这一种选择了。在您安装的过程中， 要确定您能很容易地获得完整且快速的关于您服务提供商的信息。 如果您使用 PAP 或 CHAP 方式连接到您的 ISP， （换句话说，如果您不使用脚本在&windows;中连接到您的ISP）， 那么您需要在 ppp 提示符下输入 dial 命令。否则，当 PPP 连接者只提供一种最简单的终端模拟器，您必须知道如何使用针对 MODEM 的 AT commands拨号到您的 ISP。 想知道更深入的信息可以参考 使用手册中的用户级PPP那节 以及 FAQ 。 如果您有一些问题，可以使用 set log local ... 命令将日志显示在屏幕上。 您也可以通过并口电缆连接到另外一台FreeBSD （2.0或以后的版本）机器上进行安装，您可以考虑使用 laplink 并口电缆进行安装。通过并口安装要比通过串口 （最高 50 kbytes/sec）安装快得多。 通过NFS安装之前 installation network NFS NFS 安装方式是非常方便的。只需要简单地将 FreeBSD 文件复制到一台服务器上，然后在安装时选择NFS介质。 如果这个服务器要 特权端口 才能支持 （如SUN的工作站），您需要在安装前在 Options 菜单中设置 NFS Secure。 如果你使用了一块低质量的以太网卡比较糟糕， 速度很慢，则应考虑 NFS Slow的选项。 为了达到NFS安装的目的，这个服务器必须支持 subdir 加载。 例如，如果您的 FreeBSD &rel.current; 目录存在： ziggy:/usr/archive/stuff/FreeBSD，然后 ziggy 将必须允许直接挂上 /usr/archive/stuff/FreeBSD，而不仅仅是 /usr 或 /usr/archive/stuff。 在 FreeBSD的 /etc/exports 配置文件中， 是由 选项来控制的。其它 NFS 服务器也许有不同的方式。如果您从服务器得到 permission denied 这个信息， 可能是因为您没有正确的启用它。 diff --git a/zh_CN.GB2312/books/handbook/printing/chapter.sgml b/zh_CN.GB2312/books/handbook/printing/chapter.sgml index 9b370f0704..9b3f324609 100644 --- a/zh_CN.GB2312/books/handbook/printing/chapter.sgml +++ b/zh_CN.GB2312/books/handbook/printing/chapter.sgml @@ -1,4648 +1,4648 @@ Sean Kelly Contributed by Jim Mock Restructured and updated by 打印 概述 LPD spooling system printing FreeBSD 可以支持众多种类的打印机， 从最古老的针式打印机到最新的激光打印机以及它们之间所有类型的打印机。 您可以使运行的应用程序产生高质量的打印输出。 FreeBSD 也可以被设置成一个网络上的打印服务器。 它可以从包括 FreeBSD、 &windows; 及 &macos; 在内的多种其他计算机上接收打印任务。 FreeBSD 将保证任务在某时被打印， 并且可以把哪台机器， 哪位用户打印的最多记录在统计表中， 生成 横幅 页， 显示哪份打印输出的是哪位用户的等等。 在读完这章后，您将知道： 怎样配置FreeBSD后台打印。 怎样安装打印过滤器来对特殊的打印任务做特殊的处理， 包括把传来的文档转换成打印机能理解的格式。 怎样在打印输出上开启报头或者横幅页功能。 怎样打印到连接在其他计算机上的打印机。 怎样打印到直接连接在网络上的打印机。 怎样控制打印机的限制， 包括限制打印任务的大小和阻止某些用户打印。 怎样记录打印机统计表和使用情况。 怎样解决打印故障。 在读这章之前， 您应该： 知道怎样配置并安装新内核 ()。 介绍 为了在 FreeBSD 中使用打印机， 需要首先配置好伯克利行式打印机后台打印系统即 LPD。 它是 FreeBSD 的标准打印控制系统。 这章介绍 LPD 后台打印系统， 在接下来将简称为 LPD， 并且将指导您完成其配置。 如果您已经熟悉了 LPD 或者其他后台打印系统， 则可以跳到 设置后台打印系统 这部分。 LPD 完全控制一台计算机上的打印机。 它负责许多的事情： 它控制本地和连接在网络上其他计算机上打印机的访问。 print jobs 它允许用户提交要打印的文件; 这些通常被认为是任务。 它为每个打印机维护一个 队列 来防止多个用户在同一时刻访问一台打印机。 它可以打印报头(也叫做banner或者 burst页使用户可以轻松的从一堆打印输出中找到它们打印的任务。 它来设置连接在串口上的打印机的通讯参数。 它能通过网络将任务发送到另外一台计算机的 LPD后台打印队列中。 它可以根据不同种类的打印机语言和打印机的性能运行特殊的过滤器来格式化任务。 它记录打印机的使用情况。 通过配置文件 (/etc/printcap)和提供的特殊过滤程序， 您可以使LPD 系统在众多种类的打印机硬件上完成上面全部的或者一些子集的功能。 为什么要用后台打印 如果您是系统唯一的用户， 您可能会奇怪为什么要在您不需要访问控制， 报头页或者打印机使用统计时为后台打印费心。 它可以设置成允许直接访问打印机， 但您还是应该使用后台打印， 因为： LPD在后台打印任务； 您不用被迫等待数据被完全副本到打印机的时间。 &tex; LPD可以可以方便的通过过滤器给任务加上日期/ 时间的页眉或者把一种特殊的文件格式 (比如&tex; DVI 文件) 转换成一种打印机可以理解的格式。 您不必去手动做这些步骤。 许多提供打印功能的免费和商业程序想要和您计算机上的的后台打印系统通讯。 通过设置后台打印系统， 您将更轻松的支持其他以后要添加的或者现有的软件。 基本设置 要想在 LPD后台打印系统上使用打印机， 您需要设置打印机硬件和 LPD软件。 这个 文档描述了这两级设置： 参见简单打印机 设置来了解怎样连接一个打印机， 告诉 LPD怎样与 它通讯， 并且打印纯文本到 打印机。 参见 高级打印机设置 来了解怎样打印多种 特殊格式的文件， 怎样打印报头页， 怎样通过网络 打印， 怎样控制打印机的访问权限， 并且学会为打印 作业记帐统计。 简单打印机设置 这部分讲解怎样配置打印机硬件和 LPD使之与打印机配合。 讲解的基础知识有： 硬件 设置部分将讲解怎样把一台打印机连接到 您计算机的一个端口上。 软件 设置部分将讲解怎样配置 LPD后台打印的配置 文件 (/etc/printcap)。 如果您正在设置一台通过网络协议 接收数据来打印而不是通过串口或者并口的打印机， 参见 使用网络数据流界面的打印机。 尽管这部分叫简单打印机 设置， 但还是相当复杂的。 使打印机 配合 LPD 后台打印系统在计算机上正常运转是最难的 部分。 一旦您的打印机可以正常工作后，那些高级选项， 比如报文页和记帐， 是相当简单的。 硬件设置 这部分讲述了打印机连接到计算机的多种 途径。 主要讨论了多种接口和 连接线， 还有允许 FreeBSD 与打印机通讯所需的 内核配置。 如果您已经连接好了您的打印机而且已经 用它在另外一个操作系统下成功的打印， 您 或许可以跳到这个部分软件设置。 端口和连接电缆 现在所出售的在 PC 上使用的打印机通常至少有 以下三种接口中的一个： printers serial 串口， 也叫 RS-232 或者 COM 口， 使用您计算机上的串口来发送数据到打印机。 串口在计算机上已经非常普遍， 而且电缆也非常容易买到且容易制作。 串口有时需要特殊的电缆， 而且可能需要您去配置稍微有点儿复杂的通讯选项。 大多数 PC 的串口的最高传输速度只有 115200 bps， 这使得打印很大的图像需要的时间很长。 printers parallel 并口 使用计算机上的并口来发送数据到打印机。 并口在计算机上也已经非常普遍， 而且速度高于 RS-232 串口。 电缆非常容易买到， 但很难手工制作。 并口通常没有通讯选项， 这使得配置它相当简单。 centronics parallel printers 并口按打印机上的接头来命名也叫做 Centronics接口。 printers USB USB 接口， 即通用串行总线， 可以达到比并口和串口高很多的速度。 其电缆既简单又便宜。 USB 用来打印比串口和并口更有优势， 但 &unix; 系统不能很好的支持它。 避免这个问题的方法就是购买一台 像大多数打印机一样的既有 USB 接口又有并口的 打印机。 一般来说并口只提供单向通讯 (计算机到打印机)， 而串口和 USB 则可以提供双向通讯。 新的并口 (EPP 和 ECP) 及打印机在使用了 IEEE-1284 标准的电缆之后， 可以在FreeBSD下双向通讯。 PostScript 与打印机通过并口双向通讯通常由这两种方法中的一种来完成。 第一个方法是使用为 FreeBSD 编写的可以通过打印机使用的语言与打印机通讯的驱动程序。 这通常用在喷墨打印机上， 且可以用来报告剩余墨水多少和其他状态信息。 第二种方法使用在支持 &postscript; 的打印机上。 &postscript; 任务事实上由程序发送给打印机； 但它并不进行打印而是直接将结果返回给计算机。 &postscript; 也采取双向通讯来将打印中的问题报告给计算机， 比如 &postscript; 程序中的错误或者打印机卡纸。 这些信息对于用户来说也许是非常有价值的。 此外， 最好的在支持 &postscript; 的打印机上记帐的方法需要双向通讯： 询问打印机打印总页数 (打印机从出厂一共打印过多少页)， 然后发送用户的任务， 之后再次查询总打印页数。 将打印前后得到的两个值相减就可以得到该用户要付多少纸钱。 并口 用并口连接打印机需要用 Centronics 电缆把打印机与计算机连接起来。 具体说明指导在打印机， 计算机的说明书上应该有， 或者干脆两个上面都有。 记住您用的计算机上的哪个并口。 第一个并口在 FreeBSD 上叫 /dev/ppc0； 第二个叫 /dev/ppc1， 依此类推。 打印机设备也用同样的方法命名： /dev/lpt0 是接在第一个并口上的打印机， 依此类推。 串口 用串口连接打印机需要用 合适的串口电缆把打印机与计算机连接起来。 具体 说明指导应该在打印机， 计算机的说明书上有， 或者 同样干脆两个上面都有。 如果您不确定什么样儿的电缆才是 合适的串口 电缆 ， 您可以尝试以下几种不同的 电缆： 调制解调器 电缆每一端的 每一根引脚都直接连接到另一端 相应的引脚 上。 这种电缆也叫做 DTE-to-DCE 电缆。 null-modem cable 非调制解调器电缆上每一端的有些引脚 是与另一端相应引脚直接连接的， 而有一些则是交叉连接的 (比如， 发送数据引脚连接到 接收数据引脚 )， 还有一些引脚直接在电缆连接头儿内 短接。 这种电缆也叫做 DTE-to-DTE 电缆。 一些特殊的打印机需要的串口打印机 电缆， 是一种和非调制解调器电缆类似的电缆， 只是一些信号还是送到了另一端， 而 不是直接在连接头儿内短路。 baud rate parity flow control protocol 当然， 您还得为打印机设置通讯参数。 一般是通过打印机面板上的按钮或者 DIP 开关进行设置。 在计算机和打印机上都选择它们所支持的最高 波特 (每秒多少比特， 有时也叫 波特率) 的传输速率。 选择7或者8个数据位； 选择不校验， 偶校验或者奇校验； 选择1个或2个停止位。 还要选择流量控制协议： 无， XON/XOFF (也叫做 in-band 或 软件) 流量控制。 记住您的软件配置中的参数也要设成上面的数值。 软件设置 这部分描述了要使用FreeBSD系统中的 LPD 后台打印系统进行打印所需的软件设置。 包括这几个步骤： 在需要的时候配置内核来允许您连接 打印机的端口； 配置内核 部分会告诉您 需要做什么。 如果您使用并口， 则需要设置一下 并口的通讯模式; 设置 并口通讯模式 部分会告诉您具体的 细节。 测试操作系统是否能够发送数据到打印机。 检测打印机 联机状况 部分会告诉您要怎样 做。 为 LPD 设置与打印机匹配的参数则 通过修改 /etc/printcap 这个文件来完成。 这章后面 的部分将讲解如何来完成设置。 配置内核 操作系统的内核为了使某些特殊设备工作需要重新 编译。 打印机所用的串口、 并口就属于那些特殊设备。 因此， 可能需要 添加对串口或并口的支持， 如果内核并没有配置它们的话。 要想知道您现在使用的内核是否支持串口， 输入： &prompt.root; grep sioN /var/run/dmesg.boot 其中 N 是串口的 编号， 从0开始。 如果您看到 类似下面的输出： sio2 at port 0x3e8-0x3ef irq 5 on isa sio2: type 16550A 则说明您现在使用的内核支持串口。 要想知道您现在使用的内核是否支持并口， 输入： &prompt.root; grep ppcN /var/run/dmesg.boot 其中 N 是并口的 编号， 同样从0开始。 如果得到类似 下面的输出： ppc0: <Parallel port> at port 0x378-0x37f irq 7 on isa0 ppc0: SMC-like chipset (ECP/EPP/PS2/NIBBLE) in COMPATIBLE mode ppc0: FIFO with 16/16/8 bytes threshold 那么您现在使用的内核支持并口。 您可能必须为了使操作系统支持您打印机需要的串口或 并口而 重新配置内核。 要增加对串口的支持， 参见 内核配置这部分。 要增加对并口的支持， 除了参见 上面提到的那部分之外， 还要 参见下面的 部分。 设置并口的通讯模式 在使用并口时， 您可以选择 让 FreeBSD 用中断方式还是轮询方式来 与打印机通讯。 在 FreeBSD 上， 通用的打印机驱动 (&man.lpt.4;) 使用 &man.ppbus.4; 系统， 它利用 &man.ppc.4; 驱动来控制端口芯片。 中断 方式是 GENERIC 核心的默认方式。 在这种方式下， 操作系统占用一条中断请求线来检测打印机是否已经做好接收数据的准备。 轮询 方式是操作系统反复不断的询问打印机是否做好接收数据的准备。 当它返回就绪时， 核心开始发送下面要发送的数据。 中断方式速度通常会快一些， 但却占用了一条宝贵的中断请求线。 一些新出的 HP 打印机 不能正常的工作在中断模式下， 是由于一些定时问题 (还没正确的理解) 造成的。 这些打印机需要使用轮询方式。 您应该使用 任何一种方式， 只要它能正常工作就行。 一些打印机虽然在两种模式下都可以 工作， 但在中断模式下会慢的要命。 您可以用以下两种方法设定通讯模式： 通过 配置内核或者使用 &man.lptcontrol.8; 这个程序。 要通过配置内核的方法设置 通讯模式： 修改内核配置文件。 找到 一个叫 ppc0 的记录。 如果您想要设置的是 第二个并口， 那么用 ppc1 代替。 使用第三个并口的时候用 ppc2 代替， 依此类推。 如果您希望使用中断驱动模式， 则应编辑下面的配置： hint.ppc.0.irq="N" 它在 /boot/device.hints 这个文件中， 其中 N 用正确的中断 编号代替。 同时， 核心配置文件也必须 包括 &man.ppc.4; 的驱动： device ppc 如果您想要使用轮询方式， 只需要把 /boot/device.hints 这个文件中的下面这行删除掉： hint.ppc.0.irq="N" 在 FreeBSD 下， 有时上面的方法并不能使并口工作在轮询方式。 大多数情况是由于 &man.acpi.4; 驱动造成的， 它可以自动侦测到设备并将其挂载到系统上， 但也因此， 它控制着打印机端口的访问模式. 您需要检查 &man.acpi.4; 的配置来解决这个问题。 保存文件。 然后配置， 建立， 并安装刚配置的内核， 最后重新启动。 参见 内核配置 这章来获得更多细节。 使用 &man.lptcontrol.8; 设置通讯模式： 输入： &prompt.root; lptcontrol -i -d /dev/lptN 将 lptN 设置成中断方式。 输入： &prompt.root; lptcontrol -p -d /dev/lptN 将 lptN 设置成轮询方式。 您可以把这些命令加入到 /etc/rc.local 这个文件中， 这样每次启动系统 时都会设置成您想要的方式。 参见 &man.lptcontrol.8; 来获得 更多信息。 检测打印机的通讯 在设置后台打印系统之前， 您应该确保您的计算机可以把数据 发送到打印机上。 分别独立调试打印机的通讯和后台打印系统会更简单。 我们为了测试打印机，将发送一些文本给它。 一个叫 &man.lptest.1; 的程序能胜任这项工作， 它可以让打印机立即打印出程序发给它的 字符： 它在每行打出 可以打印的 96 个 ASCII 字符。 PostScript 当我们使用的是一台 &postscript; ( 或者以其他语言为基础的 ) 打印机， 那么 需要更仔细的检测。 一段小小的 &postscript; 程序足以完成检测的任务， 比如下面这段程序： %!PS 100 100 moveto 300 300 lineto stroke 310 310 moveto /Helvetica findfont 12 scalefont setfont (Is this thing working?) show showpage 可以把上面这段 &postscript; 代码写进一个文件里， 并且像下面部分的例子里那样 使用。 PCL 上面的小程序是针对 &postscript; 而不是惠普的 PCL 写的。 由于 PCL 拥有许多其他打印机没有的强大功能， 比如它支持在打印纯文本的同时夹带特殊的命令， 而 &postscript; 则不能直接打印纯文本， 所以需要对这类打印机语言进行特殊的处理。 检测并口打印机 printers parallel 这部分内容将指导您怎样检测 FreeBSD 是否可以与一台已经连接在并口上的打印机通讯。 要测试并口上的打印机： 用 &man.su.1; 命令转换到 root 用户。 发送数据到打印机。 如果打印机可以直接打印纯文本， 可以用 &man.lptest.1;。 输入： &prompt.root; lptest > /dev/lptN 其中 N 是并口的编号， 从0开始。 如果打印机支持 &postscript; 或其他打印机语言， 可以发送一段小程序到打印机。 输入： &prompt.root; cat > /dev/lptN 然后， 一行一行地 输入 输入这段程序。 因为在按下 换行 或者 回车 之后， 这一行就不能再修改了。 当您输入完这段程序之后， 按 CONTROL+D， 或者其他表示文件结束的键。 另外一种办法， 您可以把这段程序写在一个文件里， 并输入： &prompt.root; cat file > /dev/lptN 其中 file 是包含这您要发给打印机程序的文件名。 之后， 您应该看到打印出了一些东西。 如果打印出的东西看起来并不正确， 请不要着急； 我们将在后面指导您如何解决这类问题。 检测串口打印机 printers serial 这部分将告诉您如何检测 FreeBSD 是否可以与连接在串口上的打印机通讯。 要测试连接在串口上的打印机： 通过 &man.su.1; 命令转为 root 用户。 修改 /etc/remote 这个文件。 增加下面这些内容： printer:dv=/dev/port:br#bps-rate:pa=parity bits-per-second serial port parity 其中 port 是串口的设备节点 (ttyd0、 ttyd1， 等等)， bps-rate 是与打印机通讯时使用的速率， 而 parity 是通讯时打印机要求的校验方法 (应该是 even、 odd、 none， 或 zero 之一)。 这儿有一个串口打印机的例子， 它连接在第三个串口上， 速度为 19200   波特， 不进行校验： printer:dv=/dev/ttyd2:br#19200:pa=none 用 &man.tip.1; 连接打印机。 输入： &prompt.root; tip printer 如果没能成功， 则要再次修改 /etc/remote 这个文件， 并且试试用 /dev/cuaaN 代替 /dev/ttydN。 发送数据到打印机。 如果打印机可以直接打印纯文本， 则用 &man.lptest.1;。 输入： &prompt.user; $lptest 如果打印机支持 &postscript; 或者其他 打印机语言， 则发送一段小程序到 打印机。 一行一行的输入程序， 必须 非常仔细 因为像退格 或者其他编辑键也许对打印机来说有它的 意义。 您同样也需要按一个特殊的 文件结束键， 让打印机知道它已经 接收了整个程序。 对于 &postscript; 打印机， 按 CONTROL+D。 或者， 您同样也可以把程序存储在一个文件里 并输入： &prompt.user; >file 其中 file 是 包含要发送程序的文件名。 在 &man.tip.1; 发送这个文件之后， 按代表 文件结束的键。 您应该看到打印出了一些东西。 如果它们看起来并不正确也不要着急； 我们将在稍后的章节中介绍如何解决这类问题。 启用后台打印： 文件 <filename>/etc/printcap</filename> 目前， 您的打印机应该已经连好了线， 系统内核也为与打印机联机而重新配置好 (如果需要的话)， 而且您也已经可以发送一些简单的数据到打印机。 现在， 我们要配置 LPD 来使其控制您的打印机。 配置 LPD 要修改 /etc/printcap 这个文件。 由于 LPD 后台打印系统在每次使用后台打印的时候， 都会读取这个文件， 因此对这个文件的修改会立即生效。 printers capabilities &man.printcap.5; 这个文件的格式很简单。 您可以用您最喜欢的文本编辑器来修改 /etc/printcap 这个文件。 这种格式和其他的像 /usr/share/misc/termcap 和 /etc/remote 这类文件是一样的。 要得到关于这种格式的详尽信息， 请参阅联机手册 &man.cgetent.3;。 简单的后台打印配置包括下面的几步： 给打印机起一个名字 (记忆和使用的别名)， 然后把它们写进文件 /etc/printcap； 参见 如何为打印机命名 这章来得到更多的关于起名的帮助。 header pages 通过增加 sh 项关掉报头页 (它默认是启用的)； 参见 如何禁用报头页 部分来得到更多信息。 建立一个后台打印队列的目录， 并且通过 sd 项目指定它的位置； 您可参见 创建后台打印队列目录 一节了解更多信息。 在 /dev 下设置打印机设备节点， 并且在写在 /etc/printcap 文件中 lp 项目里； 参见 识别打印机设备 这部分可以得到更多信息。 此外， 如果打印机连接在串口上， 通讯参数的设置需要写在 ms# 项中。 这些参数在 配置后台打印通讯参数 这在前面已经讨论过。 安装纯文本过滤器； 详情请参见 安装文本过滤器 小节。 用 &man.lpr.1; 命令来测试设置。 想得到更多信息可以参见 测试 和 故障排除 部分。 使用打印机语言的打印机， 如 &postscript; 打印机， 通常是不能直接打印纯文本的。 前面提到， 并且将在后面继续进行介绍的简单的设置方法， 均假定您正在安装这种只能打印它能识别的文件格式的打印机。 用户通常会希望直接在系统提供的打印机上打印纯文本。 采用 LPD 接口的程序也通常是这样设计的。 如果您正在安装这样一台打印机， 并且希望它不仅能打印使用它支持的打印机语言的任务 而且 还能打印纯文本的任务的话， 那么强烈建议您在上面提到的简单设置的步骤上增加一步： 安装从自动纯文本到 &postscript; (或者其他打印机语言) 的转换程序。 更多的细节， 请参见 在 &postscript; 打印机上打印纯文本。 打印机的命名 第一步 (简单) 就是给打印机起一个名字。 您是按功能起名字还是干脆起个古怪的名字都没有关系， 因为您可以给打印机设置许多的别名。 在 /etc/printcap 里至少有一个打印机必须指定， 别名是 lp。 这是默认的打印机名。 如果用户既没有 PRINTER 环境变量， 也没有在任何 LPD 命令的命令行中指定打印机名， 则 lp 将是默认要使用的打印机。 还有， 我们通常把最后一个别名设置成能完全描述打印机的名字， 包括厂家和型号。 一旦您选好了名字或者一些别名， 把它们放进文件 /etc/printcap 里。 打印机的名字应该从最左边的一列写起。 用竖杠来隔开每个别名， 并且在最后一个别名后面加上一个冒号。 在下面的例子中， 我们从一个基本的 /etc/printcap 开始， 它只定义了两台打印机 (一台 Diablo 630 行式打印机和一台 Panasonic KX-P4455 &postscript; 激光打印机 ): # # /etc/printcap for host rose # rattan|line|diablo|lp|Diablo 630 Line Printer: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4: 在这个例子中， 第一台打印机被命名为 rattan 并且设置了 line， diablo, lp， 和 Diablo 630 Line Printer 这几个别名。 因为它被设置了 lp 这个别名， 所以它是默认打印机。 第二台 被命名为 bamboo， 并且设置了 ps， PS, S， panasonic， 和 Panasonic KX-P4455 PostScript v51.4 这几个别名。 不打印报头页 printing header pages LPD 后台打印系统默认 会为每个任务打印 报头页。 报头页 包含了发送这个任务的用户， 发送这个任务的计算机， 任务的名字， 并用大字母打出。 但不幸的是， 所有这些额外的文本， 都会给在对打印机进行最初的配置时排除故障带来困难， 所以我们将先不打印报头页。 要暂停打印报头页， 为打印机的记录增加 sh 标记， 在 /etc/printcap 文件中。 这儿有一个 /etc/printcap 文件中使用 sh 的例子: # # /etc/printcap for host rose - no header pages anywhere # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh: 注意我们的正确格式: 第一行从最左边一列开始， 而后的每一行用 TAB 缩进一次。 一行写不下需要换行时， 在换行前打一个反斜杠。 建立后台打印队列目录 printer spool print jobs 下一步设置就是要建立一个 后台打印队列目录， 也就是在打印任务最终完成之前用于存放这些任务的目录， 这个目录中也会存放后台打印系统用到的其他一些文件。 由于后台打印队列目录的变量本质， 通常 把这些目录安排在 /var/spool 下。 您也没有必要去 备份后台打印队列目录里的内容。 重新建立它们只要简单的使用 &man.mkdir.1; 命令。 通常， 我们习惯将目录名起成和 打印机一样的名字， 像下面 这样： &prompt.root; mkdir /var/spool/printer-name 然而， 如果您有很多网络打印机， 您可能想要把这些后台打印的队列目录目录放在一个单独的专为使用 LPD 打印而准备的目录里。 我们将用我们的两台打印机 rattan 和 bamboo 作为例子： &prompt.root; mkdir /var/spool/lpd &prompt.root; mkdir /var/spool/lpd/rattan &prompt.root; mkdir /var/spool/lpd/bamboo 如果担心用户任务的保密性， 可能会希望保护相应的后台打印队列目录， 使之不能被其他用户访问。 后台打印的队列目录的属主应该是 daemon 用户， 而 daemon 用户和 daemon 组拥有读写和搜索的权限， 但其他用户没有。 接下来用我们的两台打印机作为例子: &prompt.root; chown daemon:daemon /var/spool/lpd/rattan &prompt.root; chown daemon:daemon /var/spool/lpd/bamboo &prompt.root; chmod 770 /var/spool/lpd/rattan &prompt.root; chmod 770 /var/spool/lpd/bamboo 最后， 您需要通过/etc/printcap 文件告诉 LPD 这些目录。 您可以用 sd 标记来指定后台打印队列目录的路径: # # /etc/printcap for host rose - added spooling directories # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo: 注意打印机的名字要从第 1 列开始， 其他记录每行都要用 TAB 键缩进一次， 写不开需要换行在最后加上反斜杠。 如果您没用 sd 标记指定后台打印队列目录， 后台打印系统会将 /var/spool/lpd 目录作为默认目录。 识别打印机设备 在 端口与对应的设备项 章节中， 我们确定了使用 /dev 目录中的哪个节点来让 FreeBSD 与打印机 通讯。 现在， 我们来告诉 LPD 这个 信息。 当后台打印系统有任务需要打印， 它 将为过滤程序（负责传送数据到打印机）打开 指定的设备。 用 lp 标记在 /etc/printcap 里列出 /dev 下的设备节点。 在我们的例子中， 假设打印机 rattan 在第一个并口上， 打印机 bamboo 在第六个串口上; 下面是 要对 /etc/printcap 文件里增加的内容 : # # /etc/printcap for host rose - identified what devices to use # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:\ :lp=/dev/ttyd5: 如果您没在您的 /etc/printcap 文件中 用 lp 标记指定设备节点， LPD 将默认使用 /dev/lp 。 /dev/lp 目前在 FreeBSD 中不存在。 如果您正在安装的打印机是连接在 并口上的， 请跳到 安装文本 过滤器 这章。 如果不是的话， 还是最好按下面介绍的 步骤做。 配置后台打印通讯参数 printers serial 对于连在串口上的打印机， LPD 可以为发送数据到打印机的过滤程序设置好波特率， 校验， 和其他串口通讯参数 。 这是有利的， 因为: 它可以让您只需简单的修改 /etc/printcap 就能尝试不同的通讯 参数; 您并不需要去重新编译过滤器 程序。 它使得后台打印系统可以在 多台有不同串口通讯设置的打印机上使用 相同的过滤器程序。 下面这个 /etc/printcap 中 用 lp 标记来控制列出设备的 串口通讯参数 : br#bps-rate 设置设备的通讯速度为 bps-rate， 这里 bps-rate 可以为 50， 75， 110, 134， 150， 200， 300， 600， 1200， 1800， 2400， 4800， 9600, 19200， 38400， 57600， or 115200 比特每秒。 ms#stty-mode 设置已打开的中端设备的选项 。 &man.stty.1; 将详细 讲述可用的选项。 当 LPD 打开 用 lp 指定的设备时， 它会 将设备的特性设置成在 ms# 标记后指定的那样。 特别是 parenb, parodd， cs5, cs6， cs7, cs8， cstopb, crtscts， 和 ixon 这些模式， 它们在 &man.stty.1; 手册中有详细说明。 我们举个例子来添加我们连在第6个串口上的 打印机。 我们将设波特为38400。 至于模式， 我们将用 -parenb 设置成不校验， 用 cs8 设置成8位字符， 用 clocal 设置成不要调制解调器控制， 用 crtscts 设置成硬件流量控制： bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts: 安装文本过滤器 printing filters 我们现在准备告诉 LPD 使用什么文本过滤器 给打印机发送任务。 文本过滤器， 也叫 输入过滤器， 是一个 在 LPD 有一个任务要发给 打印机时运行的程序。 当 LPD 为打印机运行文本过滤器时， 它设置过滤器的 标准输入为要发给打印机的任务， 而标准输出为 用 lp 标记指定的打印机 。 过滤器先从标准输入读取 任务， 为打印机进行一些转换 ， 并将结果写到标准输出， 这些结果 将被打印。 想得到更多关于文本过滤器的信息， 见 过滤器 这节。 对于简单的打印机设置， 文本过滤器可以仅仅是一段 执行 /bin/cat 的 shell 脚本来 发送任务到打印机。 FreeBSD 还提供了一个叫做 lpf 的过滤器， 它可以处理退格和下划线来 使那些可能不能很好处理这类字符流的打印机正常工作。 而且， 当然， 您可以用任何其他的 您想用的过滤程序。 lpf 过滤器在 lpf: 一个文本 过滤器 这节将有详细描述。 首先， 我们来写一段叫做 /usr/local/libexec/if-simple 的简单 shell 脚本作为文本过滤器。 用您熟悉的文本编辑器将下面的内容放进 这个文件： #!/bin/sh # # if-simple - Simple text input filter for lpd # Installed in /usr/local/libexec/if-simple # # Simply copies stdin to stdout. Ignores all filter arguments. /bin/cat && exit 0 exit 2 使这个文件可以被执行： &prompt.root; chmod 555 /usr/local/libexec/if-simple 然后用 if 标记在 /etc/printcap 里告诉 LPD 使用这个脚本。 我们将仍然为 一直作为例子的这两台打印机在 /etc/printcap 里增加这个标记： # # /etc/printcap for host rose - added text filter # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0:\ :if=/usr/local/libexec/if-simple: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts:\ :if=/usr/local/libexec/if-simple: if-simple 脚本的副本可以在 /usr/share/examples/printing 目录中找到。 开启 <application>LPD</application> &man.lpd.8; 在 /etc/rc 中被运行， 它是否被运行由 lpd_enable 这个变量控制。 这个 变量默认是 NO。 如果您还没有修改 ， 那么增加这行： lpd_enable="YES" 到 /etc/rc.conf 文件当中， 然后既可以重启您的 机器， 也可以直接运行 &man.lpd.8;。 &prompt.root; lpd 测试 现在已经基本完成了 LPD 的基本设置。 但不幸的是， 还不是庆祝的时候， 因为我们还需要测试设置并且修正所有的 问题。 要测试设置， 尝试打印一些东西。 要 用 LPD 系统打印， 您可以 使用 &man.lpr.1; 命令， 它可以提交一个任务来打印。 您可以联合使用 &man.lpr.1; 和 the &man.lptest.1; 程序， 在 检查打印机 通讯 这节介绍怎样生成一些测试文本。 要测试简单 LPD 设置： 输入： &prompt.root; lptest 20 5 | lpr -Pprinter-name 其中 printer-name 是 在 /etc/printcap 中指定的打印机的一个名字 ( 或者一个别名) 。 要测试默认 打印机， 输入 &man.lpr.1; 不带任何 选项。 同样， 如果您正在测试一台使用 &postscript; 的打印机， 发送一个 &postscript; 程序到打印机而不是 使用 &man.lptest.1;。 您可以把程序放在一个 文件里， 然后输入： lpr file。 对于一台 &postscript; 打印机， 您应该得到那段程序的 结果。 而如果您使用的 &man.lptest.1;， 则您得到的 结果应该看起来像下面这样： !"#$%&'()*+,-./01234 "#$%&'()*+,-./012345 #$%&'()*+,-./0123456 $%&'()*+,-./01234567 %&'()*+,-./012345678 要更进一步的测试打印机， 尝试下载一些大的 程序 (为基于特定语言的打印机 ) 或者运行 &man.lptest.1; 并使用不同的参数。 比如， lptest 80 60 将生成 60 行 每行 80 个字符。 如果打印机不能工作， 参考 故障排除 这节。 高级设置 这部分将描述用来打印特别格式文件， 页眉， 通过网络打印， 以及对打印机使用限制和 记帐。 过滤器 printing filters 尽管 LPD 处理网络协议， 任务排队， 访问控制， 和打印的其他方面， 但大部分 实际 工作还是由 过滤器。 过滤器是 一种与打印机通讯并且处理设备依赖和特殊需要的 程序。 在简单打印机设置这节里， 我们安装了一个纯文本过滤器 — 一个应该可以用在大多数 打印机上的极简单的过滤器 ( 安装 文本过滤器)。 然而， 为了进行格式转换， 打印 记帐， 适应特殊的打印机， 等等， 您需要明白过滤器是怎样工作的。 在根本上过滤器负责处理这些方面。 但坏消息是大多数时候 您 必须自己提供过滤器。 好消息 是很多过滤器通常都已经有了; 当没有的时候， 它们 通常也是很好写的。 FreeBSD 也提供了一个过滤器， /usr/libexec/lpr/lpf， 可以让大多数可以打印纯文本的 打印机工作。 ( 它处理文件里的退格和 跳格， 并且进行记帐， 但这基本就是它所有能做的了。 ) 这里还有几个过滤器和过滤器组件在 FreeBSD Ports Collection 里。 这是在这节里您将找到的内容： 过滤器是怎样 工作的， 设法给出一个过滤器在打印过程中的 大致角色。 您应该阅读这节来理解 在 LPD 使用过滤器时 表面上看不到 的事情。 这个知识 能够帮您预期 并调试您在为每个打印机安装越来越多的过滤器 时可能遇到的问题。 LPD 默认每个打印机都能 打印 纯文本。 这就出现一个问题在 &postscript; (或者基于其他 语言的打印机) 以及所有无法直接打印纯文本的打印机。 让 &postscript; 打印机适应纯文本任务 这节将告诉您 要解决这个问题应该做些什么。 如果您使用一台 &postscript; 打印机， 那么您应该阅读这个小节。 &postscript; 对于许多程序来说都是一个非常受欢迎的输出格式。 一些人甚至直接写 &postscript; 代码。 但不幸的是， &postscript; 打印机非常昂贵。 模拟 &postscript; 在 非 &postscript; 打印机上 这节将告诉您怎样进一步修改 打印机的文本过滤器， 使得一台 非 &postscript; 打印机接受 并打印 &postscript; 数据。 如果 您没有 &postscript; 打印机， 那么您应该阅读这个小节。 转换 过滤器 这节讲述了一个自动把 指定格式文件， 比如图像或排版数据， 转换成您打印机可以理解的格式。 在阅读了这节 之后， 您应该可以设置好您的打印机使得用户可以 输入 lpr -t 来打印带有不同宏定义库的文本， 或者用 lpr -d 来打印 &tex; DVI 数据， 用 lpr -v 来打印光栅图像数据， 等等。 我推荐您 阅读这节。 输出 过滤器 这节讲述了这个不是经常使用的 LPD: 的功能－输出过滤器。 除非您要打印页眉 (见 页眉 这节 )， 您或许可以完全跳过这节。 lpf: 一个文本 过滤器 描述了 lpf， 一个 FreeBSD 自带的相当 完整而又简单的文本过滤器， 可以使用在行式打印机 (和那些担当行式打印机功能的激光 打印机 ) 上。 如果 您需要一个快速的方法来让打印机统计打印纯文本的工作量 ， 或者您有一台遇到退格字符就冒烟的打印机 ， 您应该考虑 lpf。 您可以在 /usr/share/examples/printing 目录中找到下面将提到的那些脚本的副本。 过滤器是怎样工作的 前面说过， 过滤器是一个被 LPD 启动， 用来处理与打印机通讯过程中设备依赖的部分 的可执行程序。 当 LPD 想要打印 一个任务中的文件， 它启动一个过滤器 程序。 它把要打印的文件设置成过滤器的标准输入， 标准输出设置成打印机， 并且把错误信息定向到 错误日志文件 (在 lf 标识里指定， 默认在 /etc/printcap， 或者 /dev/console 文件里 )。 troff 过滤器被 LPD 启动， 并且 过滤器的参数依赖于 /etc/printcap 文件中所列出的和 用户为任务用 &man.lpr.1; 命令所指定的。 例如， 如果用户输入 lpr -t， LPD 会 启动 troff 过滤器， 即在 目标打印机的 tf 标签里所列出的过滤器。 如果用户想要打印纯文本， 它将会启动 if ***过滤器 ( 这是通常的情况： 参见 输出过滤器 来得到 细节 )。 在 /etc/printcap 文件中， 您可以指定三种过滤器： The 文本过滤器 ， 在 LPD 文档中也叫做 输入过滤器 ， 处理 常规的文本打印。 可以把它想象成默认过滤器。 LPD 默认每台打印机都可以打印纯文本， 而文本过滤器的任务就是来搞定退格、跳格， 或者其他在某种打印机上容易错误的特殊字符。 如果您 所在的环境对打印机的使用情况进行 记帐， 那么文本过滤器必须也对打印进行统计， 统计通常是通过对打印的行数进行计数然后与打印机所支持的每页的行数做比较后 得出的。 文本过滤器 的启动命令为: filter-name -c -w width -l length -i indent -n login -h host acct-file where 当任务用 lpr -l 这个命令提交时出现 width 这里取您在 /etc/printcap 文件中指定的 pw (页 宽) 标签的值， 默认为 132。 length 这里取您的 pl (页 长) 标签的值， 默认为 66 indent 这里是来自 lpr -i 命令的总缩进量， 默认为 0 login 这里是正在打印文件的用户名 host 这里是提交打印任务的主机名 acct-file 这里是来自 af 变量中指定的用于记帐的文件名。 printing filters 转换过滤器 的功能是， 将特定格式的文件转换成打印机能够识别并打印的格式。 例如， ditroff 格式的排版数据就是无法直接打印的， 但您可以安装一个转换过滤器来将 ditroff 文件转换成一种打印机可以识别和打印的形式。 请参见 转换过滤器 这一节来了解更多细节。 如果您需要对打印进行记帐， 那么转换过滤器也必须完成记帐工作。 转换过虑器的启动命令为： filter-name -x pixel-width -y pixel-height -n login -h host acct-file pixel-width 的值来自 px 标签 (默认为 0)， pixel-height 的值来自 py 标签 (默认为 0)。 输出过滤器 仅在没有文本过滤器 时， 或者报头页被打开时使用. 就我的 经验而言， 输出过滤器是很少用到的. 在 输出过滤器 这节中会 介绍它们. 启动输出过滤器的命令行只有两个参数: filter-name -w width -l length 和 参数的意义和文本过滤器中的一样。 过滤器也应该在 退出 时给出下面的几种退出状态: exit 0 过滤器已经成功的打印了文件. exit 1 过滤器打印失败了， 但希望 LPD 试着再打印一次。 如果过滤器返回了这个状态， LPD 将重新启动过滤器。 exit 2 过滤器打印失败并且不希望 LPD 重试。 这种情况下 LPD 会放弃这个文件。 文本过滤器随 FreeBSD 一起发布， 文件名为 /usr/libexec/lpr/lpf， 它利用页宽和页长参数来决定何时发送送纸指令， 并提供位打印记帐的方法。 它使用登录名、 主机名， 和记帐文件参数来生成记帐记录。 如果您想购买过滤器， 要注意它是否是与 LPD 兼容。 如果兼容的话， 则它们必须支持前面提到的那些参数。 如果您打算编写普通的过滤器程序， 则同样需要使之支持前面那些参数和退出状态码。 在 &postscript; 打印机上打印纯文本任务 print jobs 如果您是您的计算机和 &postscript; (或其他语言的) 打印机的唯一用户， 而且您不打算发送纯文本到打印机， 并因此不打算从应用程序程序直接将纯文本发到打印机的话， 就完全不需要再关心这节的内容了。 但是， 如果打印机同时需要接收 &postscript; 和纯文本的任务， 就需要对打印机进行设置了。 要完成这项工作， 我们需要一个文本过滤器来检测到达的任务是纯文本的还是 &postscript; 格式的。 所有 &postscript; 的任务必须以 %! (其他打印机语言请参见打印机的文档) 开头。 如果任务的头两个字符是这两个， 就代表这是 &postscript; 格式的， 并且可以直接略过任务剩余的部分。 如果任务开头的两个字符不是这两个， 那么过滤器将把文本转换成 &postscript; 并打印结果。 我们怎样去做？ printers serial 如果你有一台串口打印机， 一个好办法就是安装 lprps。 lprps 是一个可以与打印机进行双向通信 &postscript; 打印机过滤器。 它用打印机传来的详细信息来更新打印机的状态文件， 所以用户和管理员可以准确的看到打印机处在什么样的状态 (比如 缺墨 或者 卡纸)。 但更重要的是， 它包含了一个叫做 psif 的程序， 它可以检测接收到的文件是否是纯文本的， 并且将使用 textps 命令 ( 也是由 lprps 提供的程序) 转换文本到 &postscript;。 然后它会用 lprps 将任务发送到打印机。 lprps 可以在 FreeBSD Ports Collection (详见 The Ports Collection) 中找到。 您当然可以自己获取， 构建并安装它。 在安装之后 lprps， 只需指定 psif 这个程序的路径， 这也是包含在 lprps 中的一个程序。 如果您已经用 ports 安装好了 lprps， 将下面的内容添加到 /etc/printcap 文件中 &postscript; 打印机的记录部分中： :if=/usr/local/libexec/psif: 同时还需要指定 rw 标签来告诉 LPD 使用读-写模式打开打印机。 如果您有一台并口的 &postscript; 打印机 (因此不能与打印机进行 lprps 需要的双向通信)， 可以使用下面这段 shell 脚本来充当文本过滤器: #!/bin/sh # # psif - Print PostScript or plain text on a PostScript printer # Script version; NOT the version that comes with lprps # Installed in /usr/local/libexec/psif # IFS="" read -r first_line first_two_chars=`expr "$first_line" : '\(..\)'` if [ "$first_two_chars" = "%!" ]; then # # PostScript job， print it. # echo "$first_line" && cat && printf "\004" && exit 0 exit 2 else # # Plain text， convert it， then print it. # ( echo "$first_line"; cat ) | /usr/local/bin/textps && printf "\004" && exit 0 exit 2 fi 在上面的脚本中， textps 命令是一个独立安装的程序用来将纯文本转换成 &postscript;。 您可以使用任何您喜欢的文本到 &postscript; 转换程序。 FreeBSD Ports Collection (详见 Ports Collection) 中包含了一个功能非常完整的文本到 &postscript; 的转换程序， 它叫做 a2ps。 模拟 &postscript; 在非 &postscript; 打印机上 PostScript emulating Ghostscript &postscript; 是高质量排版和打印 事实上的 标准。 而 &postscript; 也是一个 昂贵 的标准。 幸好， Aladdin 开发了一个和 &postscript; 类似的叫做 Ghostscript 的程序可以用在 FreeBSD 上。 Ghostscript 可以读取大多数 &postscript; 的文件并处理其中的页面交给多种设备， 包括许多品牌的非 PostScript 打印机。 通过安装 Ghostscript 并使用一个特殊的文本过滤器， 则可以使一台非 &postscript; 打印机用起来就像真的 &postscript; 打印机一样。 Ghostscript 也包括在 FreeBSD Ports Collection 中， 如果您想要从这里安装。 您同样可以很容易地获取， 构建， 并安装它。 要模拟 &postscript;， 文本过滤器要检测是否要打印一个 &postscript; 文件。 如果不是， 那么过滤器将直接将文件发送到打印机； 否则， 它会用 Ghostscript 先将文件转换成打印机可以理解的格式。 这里有一个例子: 下面的脚本是一个针对 Hewlett Packard DeskJet 500 打印机的文本过滤器。 对于其他打印机， 替换 gs (Ghostscript) 命令中的 参数 就可以了。 (输入 gs -h 来获得当前安装的 Ghostscript 所支持的设备列表。) #!/bin/sh # # ifhp - Print Ghostscript-simulated PostScript on a DeskJet 500 # Installed in /usr/local/libexec/ifhp # # Treat LF as CR+LF (to avoid the "staircase effect" on HP/PCL # printers): # printf "\033&k2G" || exit 2 # # Read first two characters of the file # IFS="" read -r first_line first_two_chars=`expr "$first_line" : '\(..\)'` if [ "$first_two_chars" = "%!" ]; then # # It is PostScript; use Ghostscript to scan-convert and print it. # /usr/local/bin/gs -dSAFER -dNOPAUSE -q -sDEVICE=djet500 \ -sOutputFile=- - && exit 0 else # # Plain text or HP/PCL， so just print it directly; print a form feed # at the end to eject the last page. # echo "$first_line" && cat && printf "\033&l0H" && exit 0 fi exit 2 最后， 需要告知 LPD 所使用的过滤器， 通过 if 标签完成: :if=/usr/local/libexec/ifhp: 您可以输入 lpr plain.text 和 lpr whatever.ps， 它们都应该可以成功打印。 转换过滤器 在完成了 打印机简单设置 这节中所描述的内容之后， 头一件事 恐怕就是为你喜爱的格式的文件安装转换过滤器了 (除了纯 ASCII 文本)。 为什么安装转换过滤器? &tex; printing DVI files 转换过滤器使打印众多格式的文件变得很容易。 比如， 假设我们大量使用 &tex; 排版系统， 并且有一台 &postscript; 打印机。 每次从 &tex; 生成一个 DVI 文件， 我们都不能直接打印它直到我们将 DVI 文件转换成 &postscript;。 转换的命令应该是下面的样子: &prompt.user; dvips seaweed-analysis.dvi &prompt.user; lpr seaweed-analysis.ps 通过安装 DVI 文件的转换过滤器， 我们可以跳过每次手动转换这一步， 而让 LPD 来完成这个步骤。 现在， 每次要打印 DVI 文件， 我们只需要一步就可以打印它： &prompt.user; lpr -d seaweed-analysis.dvi 我们要 LPD 转换 DVI 文件是通过指定 选项完成的。 格式和转换 选项 这一节列出了所有的转换选项。 对于每种想要打印机支持的转换， 首先要安装 转换过滤器 然后在 /etc/printcap 中指定它的路径。 在简单打印设置中， 转换过滤器类似于文本过滤器 (详见 安装文本过滤器 ) 不同的是它不是用来打印纯文本， 而是将一个文件转换成打印机能够理解的格式。 我应该安装哪个转换过滤器？ 您应该安装您希望使用的转换过滤器。 如果要打印很多 DVI 数据， 就需要 DVI 转换过滤器； 如果有大量的 troff 数据， 就应该安装 troff 过滤器。 下面的表格总结了可以与 LPD配合 工作的过滤器， 以及它们在 /etc/printcap文件中的变量名， 还有如何在 lpr命令中调用它们： 文件类型 在/etc/printcap文件中的变量名 在lpr命令中调用使用的参数 cifplot cf DVI df plot gf ditroff nf FORTRAN text rf troff tf raster vf plain text if none, , or 在例子中， lpr -d就是指 打印机需要在/etc/printcap文件中 df变量所指的过滤器。 FORTRAN 不管别人怎么说， 像 FORTRAN 的文本 和 plot 这些格式已经基本不用了。 所以在您的机器上， 就可以安装其他的过滤器来替换这些参数原有的意义。 例如， 假设想要能直接打印 Printerleaf 文件 (由 Interleaf desktop publishing 程序生成)， 而且不打算打印 plot 文件， 就可以安装一个 Printerleaf 转换过滤器并且用 gf 变量指定它。 然后就可以告诉您的用户使用 lpr -g 就可以 打印 Printerleaf 文件。 安装转换过滤器 以为安装的转换过滤器不是 FreeBSD 基本系统的一部分， 所以它们可能是在 /usr/local 目录下。 通常目录 /usr/local/libexec 是保存它们的地方， 因为它们通常是通过 LPD 运行的； 普通用户应该并不需要直接运行它们。 要启用一个转换过滤器， 只需要在 /etc/printcap 文件中为目标打印机中合适的变量赋上过滤器所在的路径。 在接下来的例子当中， 我们将为 一台叫做 bamboo 的打印机添加一个转换过滤器。 下面是这个例子的 /etc/printcap 文件， 其中使用新变量 df 来为打印机 bamboo 设置转换过滤器. # # /etc/printcap for host rose - added df filter for bamboo # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0:\ :if=/usr/local/libexec/if-simple: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts:rw:\ :if=/usr/local/libexec/psif:\ :df=/usr/local/libexec/psdf: 这里的 DVI 过滤器是一段 shell 脚本， 名字叫做 /usr/local/libexec/psdf。 下面是它的代码： #!/bin/sh # # psdf - DVI to PostScript printer filter # Installed in /usr/local/libexec/psdf # # Invoked by lpd when user runs lpr -d # exec /usr/local/bin/dvips -f | /usr/local/libexec/lprps "$@" 这段脚本以过滤器模式运行 dvips (参数 ) 并从标准输入读取要打印的任务。 然后运行 &postscript; 文本过滤器 lprps (详见 在 &postscript; 打印机上打印纯文本任务 这一节)， 并且带着 LPD 传给脚本的全部参数。 lprps 将利用这些参数来为打印进行记帐。 更多转换过滤器应用实例 因为安装转换过滤器的步骤并不是固定的， 所以这里会多给出一些例子。 在以后的安装配置过程中可以以这些例子为参考。 甚至如果合适的话， 可以完全照搬过去。 这段例子中的脚本是一个 Hewlett Packard LaserJet III-Si 打印机的光栅格式数据 (实际上也就是 GIF 文件)： #!/bin/sh # # hpvf - Convert GIF files into HP/PCL, then print # Installed in /usr/local/libexec/hpvf PATH=/usr/X11R6/bin:$PATH; export PATH giftopnm | ppmtopgm | pgmtopbm | pbmtolj -resolution 300 \ && exit 0 \ || exit 2 它的工作原理就是将 GIF 文件转换成 portable anymap， 再转换成 portable graymap， 然后再转换成 portable bitmap， 最后再转换成 LaserJet/PCL- 兼容的数据。 下面是为打印机配置上上述过滤器的 /etc/printcap 文件： # # /etc/printcap for host orchid # teak|hp|laserjet|Hewlett Packard LaserJet 3Si:\ :lp=/dev/lpt0:sh:sd=/var/spool/lpd/teak:mx#0:\ :if=/usr/local/libexec/hpif:\ :vf=/usr/local/libexec/hpvf: 下面的脚本是一个在名叫 bamboo 的这台 &postscript; 打印机上打印用 groff 排版软件生成的 troff 数据的打印过滤器： #!/bin/sh # # pstf - Convert groff's troff data into PS, then print. # Installed in /usr/local/libexec/pstf # exec grops | /usr/local/libexec/lprps "$@" 上面这段脚本还是用 lprps 来与打印机进行通讯。 如果打印机是接在并口上的， 那么就应该使用下面的这段脚本： #!/bin/sh # # pstf - Convert groff's troff data into PS, then print. # Installed in /usr/local/libexec/pstf # exec grops 这里是我们要启用过滤器需要在 /etc/printcap 里增加的内容： :tf=/usr/local/libexec/pstf: 下面的例子也许会让许多 FORTRAN 老手羞愧。 它是一个 FORTRAN- 文本 的过滤器， 能在任意一台 可以打印纯文本的打印机上使用。 我们将为打印机 teak 安装这个过滤器： #!/bin/sh # # hprf - FORTRAN text filter for LaserJet 3si: # Installed in /usr/local/libexec/hprf # printf "\033&k2G" && fpr && printf "\033&l0H" && exit 0 exit 2 然后我们要在 /etc/printcap 中为打印机能够 teak 启用这个过滤器添加下面的内容： :rf=/usr/local/libexec/hprf: 最后， 再给出一个有些复杂的例子。 我们将给以前介绍过的 teak 这台激光打印机添加一个 DVI 过滤器。 首先， 最容易的部分： 更新 /etc/printcap 加入 DVI 过滤器的路径： :df=/usr/local/libexec/hpdf: 现在， 该困难的部分了： 编写过滤器。 为了实现过滤器， 我们需要一个 DVI-到-LaserJet/PCL 转换程序。 FreeBSD Ports Collection (详见 Ports Collection 这一节) 中有一个包： dvi2xx 是这个包的名称。 安装这个包就会得到我们需要的程序， dvilj2p ， 它可以将 DVI 数据转换成 LaserJet IIp， LaserJet III， 和 LaserJet 2000 兼容的数据。 dvilj2p 使得过滤器 hpdf 变得十分复杂， 因为 dvilj2p 不能读取标准输入。 它需要从文件中读取数据。 更糟糕的是， 这个文件的名字必须以 .dvi 结尾。 所以使用 /dev/fd/0 作为标准输入是有问题的。 我们可以通过连接 (符号连接) 来解决这个问题。 连接一个临时的文件名 (一个以 .dvi 结尾的文件名) 到 /dev/fd/0， 从而强制 dvilj2p 从标准输入读取。 现在迎面而来的是另外一个问题， 我们不能使用 /tmp 存放临时连接。 符号连接是被用户和组 bin 拥有的。 而过滤器则是以 daemon 用户运行的。 并且 /tmp 目录设置了 sticky 位。 所以过滤器只能建立符号连接， 但它不能在用完之后清除掉这些连接。 因为它们属于不同的用户。 所以过滤器将在当前工作目录下建立符号连接， 即后台打印队列目录 (用变量 sd 在 /etc/printcap 中指定)。 这是一个非常好的让过滤器完成它工作的地方， 特别还是因为 (有时) 这个目录比起 /tmp 来有更多的可用磁盘空间。 最后， 给出过滤器的代码： #!/bin/sh # # hpdf - Print DVI data on HP/PCL printer # Installed in /usr/local/libexec/hpdf PATH=/usr/local/bin:$PATH; export PATH # # Define a function to clean up our temporary files. These exist # in the current directory, which will be the spooling directory # for the printer. # cleanup() { rm -f hpdf$$.dvi } # # Define a function to handle fatal errors: print the given message # and exit 2. Exiting with 2 tells LPD to do not try to reprint the # job. # fatal() { echo "$@" 1>&2 cleanup exit 2 } # # If user removes the job, LPD will send SIGINT, so trap SIGINT # (and a few other signals) to clean up after ourselves. # trap cleanup 1 2 15 # # Make sure we are not colliding with any existing files. # cleanup # # Link the DVI input file to standard input (the file to print). # ln -s /dev/fd/0 hpdf$$.dvi || fatal "Cannot symlink /dev/fd/0" # # Make LF = CR+LF # printf "\033&k2G" || fatal "Cannot initialize printer" # # Convert and print. Return value from dvilj2p does not seem to be # reliable, so we ignore it. # dvilj2p -M1 -q -e- dfhp$$.dvi # # Clean up and exit # cleanup exit 0 自动转换： 一种替代转换过滤器的方法 以上这些转换过滤器基本上建成了您的打印环境， 但也有不足就是必须由用户来指定 (在 &man.lpr.1; 命令行中) 要使用哪一个过滤器。 如果您的用户不是对计算机很在行， 那么选用过滤器将是一件麻烦的事情。 更糟的是， 当过滤器设定的不正确时， 过滤器被用在了不它对应类型的文件上， 打印机也许会喷出上百张纸。 比只安装转换过滤器更好的方法， 就是让文本过滤器 (因为它是默认的过滤器) 来检测要打印文件的类型， 然后自动运行正确的转换过滤器。 像 file 这样的工具可以给我们一定的帮助。 当然， 要区分开 有些 文件的类型还是有困难的 — 但是， 当然， 您可以仅为它们提供转换过滤器。 apsfilter printing filters apsfilter FreeBSD Ports Collection 包含了一个可以自动进行转换的文本过滤器， 名字叫做 apsfilter。 它可以检测出纯文本， &postscript;， 和 DVI 格式的文件， 并且运行相应的转换过滤器， 然后打印。 输出过滤器 LPD 后台打印系统还支持一种我们还没有讨论过的过滤器： 输出过滤器。 输出过滤器只是用来打印纯文本的， 类似于文本过滤器， 但简化了许多地方。 如果您正在使用输出过滤器而不是文本过滤器， 那么： LPD 为整个任务启动一个输出过滤器， 而不是为任务中的每个文件都启动一次。 LPD 不会提供任务中文件开始和结束的信息给输出过滤器。 LPD 不会提供用户名或者主机名给过滤器， 所以它是无法做打印记帐的。 事实上它只有两个参数： 过滤器-名字 -w宽度 -l长度 宽度 来自于 pw 变量， 而 length 来自于 pl 变量， 这些值都是实际问题中给打印机设置的。 不要让输出过滤器的简化所耽误。 如果想要输出过滤器完成让任务中的每个文件都重新开始一页打印是 不可能 的。 请使用文本过滤器 (也叫输入过滤器)； 详见 安装文本过滤器。 此外， 实际上， 输出过滤器 更复杂 ， 它要检查发给它的字节流中是否有特殊的标志字符， 并且给自己发送信号来代替 LPD 的。 可是， 如果打算要报头页或者需要发送控制字符或者其他的初始化字符串来完成打印报头页， 那么输出过滤器则是 必需的。 (但是它也是 无用的 如果打算对打印的用户计费， 因为 LPD 不会给输出过滤器任何用户或者主机的信息。) 在一台单个的打印机上， LPD 同时允许输出过滤器、 文本过滤器和其他的过滤器。 在某些情况下， LPD 将仅会启动输出过滤器来打印报头页 (详见 报头页)。 然后 LPD 会要求输出过滤器 自己停止运行 ， 它发送给过滤器两个字节： ASCII 031跟着一个 ASCII 001。 当输出过滤器看见这两个字节 (031, 001)， 它应该通过发送 SIGSTOP 信号来停止自己的运行。 当 LPD 已经运行好了其他的过滤器， 它会通过给输出过滤器发送 SIGCONT 信号来让输出过滤器重新运行。 如果仅有一个输出过滤器而 没有 文本过滤器， 并且 LPD 正在处理一个纯文本任务， LPD 会使用输出过滤器来完成这个任务。 像以前运行一样， 输出过滤器会按顺序打印任务中的文件， 而不会插入送纸或其他进纸的命令， 但这也许并 不是 您想要的结果。 在大多数情况下， 您还是需要一个文本过滤器。 lpf 这个我们前面介绍过的文本过滤器程序， 也可以用来做输出过滤器。 如果需要使用快速且混乱的输出过滤器， 但又不想写字节检测和信号发送代码， 那么试试 lpf。 lpf 也可以包含在一个 shell 脚本中来处理任何打印机可能需要的初始化代码。 <command>lpf</command>： 一个文本过滤器 /usr/libexec/lpr/lpf 这个程序包含在 FreeBSD 的二进制程序中， 它是一个文本过滤器 (输入过滤器)。 它可以缩排输出 (用 lpr -i 命令提交的任务)， 可以打印控制字符禁止断页 用 lpr -l 提交的任务)， 可以调整任务中退格和制表符打印的位置， 还可以对打印进行记帐。 它同样可以像输出过滤器一样工作。 lpf 适用于很多打印环境。 尽管它本身没有向打印机发送初始化代码的功能， 但写一个 shell 脚本来完成所需的初始化并执行 lpf 是很容易的。 page accounting accounting printer 为了让 lpf 可以正确的进行打印记帐， 那么需要 /etc/printcap 中的 pw 和 pl 变量都填入正确的值。 它用这些值来测定一页能打印多少文本， 并计算出任务有多少页。 想得到更多关于打印记帐的信息， 请参见 对打印机使用进行记帐。 报头页 如果您有 很多 用户， 他们正在使用各式各样的打印机， 那么您或许要考虑一下把 报头页 当作无可避免之灾祸了。 banner pages header pages header pages 报头页， 也叫 banner 或者 burst 页， 可以用来辨别打印出的文件是谁打印的。 它们通常用大号的粗体字母打印出来， 也可能用装饰线围绕四周， 所以在一堆打印出的文件中， 突出的显示了这个文件属于哪个用户的哪个任务。 这可以让用户快速的找到他们的任务。 而报头页一个明显的缺点就是， 在每个任务中都要有一张或者几张纸作为报头页印出来， 可是它们的有用的地方只发挥几分钟的作用， 最后它们会被放进回收站或者扔进垃圾堆。 (注意报头页只是一个任务一个， 而不是任务中的每个文件都有一个， 所以可能对纸张还不算很浪费。) LPD 系统可以自动为您的打印提供报头页， 如果 您的打印机可以直接打印纯文本。 如果您的打印机是一台 &postscript; 打印机， 您将需要一个外部的程序来生成报头页； 详见 在 &postscript; 打印机上打印报头页。 打开报头页 在 简单打印设置 这节， 我们通过在 /etc/printcap 文件中指定 sh (禁止报头页) 来把报头页功能关掉了。 要重新为打印机开启报头页功能， 只需要删除掉 sh。 听起来很容易， 不是么？ 是的。 您 可能 不得不让输出过滤器来给打印机发送初始化字符串。 下面是一个用在 Hewlett Packard PCL-兼容打印机上的输出过滤器的例子： #!/bin/sh # # hpof - Output filter for Hewlett Packard PCL-compatible printers # Installed in /usr/local/libexec/hpof printf "\033&k2G" || exit 2 exec /usr/libexec/lpr/lpf 用 of 变量指定输出过滤器的路径。 参见 输出过滤器 这一节来得到更多信息。 下面是一个为我们以前介绍的叫做 teak 的打印机配置的 /etc/printcap 文件； 在配置当中我们开启了报头页并且加入了上述的打印过滤器： # # /etc/printcap for host orchid # teak|hp|laserjet|Hewlett Packard LaserJet 3Si:\ :lp=/dev/lpt0:sd=/var/spool/lpd/teak:mx#0:\ :if=/usr/local/libexec/hpif:\ :vf=/usr/local/libexec/hpvf:\ :of=/usr/local/libexec/hpof: 现在， 当用户再发任务给打印机 teak 的时候， 每个任务都会有一个报头页。 如果用户想要花时间来寻找他们自己打印的文件， 那么他们可以通过 lpr -h 命令来提交任务； 参考 报头页选项 这一节来得到更多关于 &man.lpr.1; 的选项。 LPD 在报头页之后发出一个换纸字符。 如果您的打印机使用一个不同的字符或者字符串当作退纸指令， 在 /etc/printcap 中用 ff 变量指定即可。 控制报头页 通过启用报头页， LPD 将生成出一个 长报头， 一整页的大字母， 标着用户， 主机和任务名。 下面是一个例子 (kelly 打印了用主机 rose 打印了一个叫做 outline 的任务)： k ll ll k l l k l l k k eeee l l y y k k e e l l y y k k eeeeee l l y y kk k e l l y y k k e e l l y yy k k eeee lll lll yyy y y y y yyyy ll t l i t l oooo u u ttttt l ii n nnn eeee o o u u t l i nn n e e o o u u t l i n n eeeeee o o u u t l i n n e o o u uu t t l i n n e e oooo uuu u tt lll iii n n eeee r rrr oooo ssss eeee rr r o o s s e e r o o ss eeeeee r o o ss e r o o s s e e r oooo ssss eeee Job: outline Date: Sun Sep 17 11:04:58 1995 LPD 会附加一个换页符在这段文本之后， 所以任务会在新的一页上开始 (除非设置了 sf (禁止换纸) 在 /etc/printcap 文件里目标打印机的记录中)。 如果您喜欢， LPD 可以生成一个 短报头； 指定 sb (短 banner) 在文件 /etc/printcap 中。 报头页就会看起来像下面这样： rose:kelly Job: outline Date: Sun Sep 17 11:07:51 1995 同样是默认的， LPD 也是先打印报头页， 然后才是任务。 要想反过来， 在 /etc/printcap 中指定 hl (最后报头)。 为带报头页的任务记帐 使用 LPD 内置的报头页会在进行打印记帐的时候产生一种特殊情况： 报头页肯定是 免费 的。 为什么？ 因为输出过滤器是仅有的一个在打印报头页时能进行记帐的外部程序， 但却没有提供给它任何 用户或者主机 的信息或者记帐文件， 所以它无法知道谁应该为打印机的使用付费。 如果仅仅是 增加一页 给文本过滤器或者其他过滤器 (它们有用户和主机的信息) 是不够的， 因为 用户可以用 lpr -h 命令跳过报头页。 他还是需要为自己并没有打印的报头页付钱。 基本上， lpr -h 是明知用户的首选， 但也不能强制让别人使用它。 让每个过滤器生成自己的报头页 (因此可以为它们计费) 是 仍然不够的。 如果用户想要用 lpr -h 命令禁止报头页， 它们将仍然印出报头页并且为它们付费。 因为 LPD 不会把 这个参数传给任何过滤器。 这样， 您该怎么办呢？ 您可以： 认可 LPD 的这个问题， 并且免费提供报头页打印。 安装一个替代 LPD 的软件， 比如 LPRng。 参考 替换标准的后台打印软件 来得到更多关于可以替代 LPD 的软件的信息。 写一个 聪明的 输出过滤器。 通常， 输出过滤器不应该去完成除了初始化打印机或者进行一些简单字符转换以外的任何事情。 它适合完成报头页和纯文本任务 (当没有文本 (输入) 过滤器时)。 但是， 如果有文本过滤器为纯文本任务服务， 那么 LPD 将仅为打印报头页启动输出过滤器。 而且， 这个输出过滤器可以理解报头页里 LPD 生成的信息， 然后决定哪位用户和主机应该为报头页付费。 这种方法仅有的问题是输出过滤器仍然不知道应该使用什么记帐文件 (af 变量的内容并没有被传递过来)， 但是如果您有一个众所周知的记帐文件， 就可以直接把文件名写进输出过滤器。 为了简化解释报头的步骤， 我们定义 sh (短报头) 变量在 /etc/printcap 文件中。 但这些还是太麻烦了， 而且用户也更喜欢让他们免费打印报头页的慷慨的系统管理员。 在 &postscript; 打印机上打印报头页 像上面描述的那样，LPD 可以生成一个纯文本的报头页来适应多种打印机。 当然， &postscript; 不能直接打印纯文本， 所以 LPD 没什么用—或者说大多时候是这样。 一个显而易见的方法来得到报头页就是让每个转换过滤器和文本过滤器都来生成报头页。 这些过滤器应该用用户名和主机的参数来生成一个相对应的报头页。 这种方法的缺点就是用户总是打印出报头页， 无论他们是否用 lpr -h 命令来提交的任务。 让我们来深入深入的研究一下这个方法。 下面的脚本输入三个参数 (用户登录名， 主机名， 和任务名) 然后生成一个简单的 &postscript; 报头页： #!/bin/sh # # make-ps-header - make a PostScript header page on stdout # Installed in /usr/local/libexec/make-ps-header # # # These are PostScript units (72 to the inch). Modify for A4 or # whatever size paper you are using: # page_width=612 page_height=792 border=72 # # Check arguments # if [ $# -ne 3 ]; then echo "Usage: `basename $0` <user> <host> <job>" 1>&2 exit 1 fi # # Save these, mostly for readability in the PostScript, below. # user=$1 host=$2 job=$3 date=`date` # # Send the PostScript code to stdout. # exec cat <<EOF %!PS % % Make sure we do not interfere with user's job that will follow % save % % Make a thick, unpleasant border around the edge of the paper. % $border $border moveto $page_width $border 2 mul sub 0 rlineto 0 $page_height $border 2 mul sub rlineto currentscreen 3 -1 roll pop 100 3 1 roll setscreen $border 2 mul $page_width sub 0 rlineto closepath 0.8 setgray 10 setlinewidth stroke 0 setgray % % Display user's login name, nice and large and prominent % /Helvetica-Bold findfont 64 scalefont setfont $page_width ($user) stringwidth pop sub 2 div $page_height 200 sub moveto ($user) show % % Now show the boring particulars % /Helvetica findfont 14 scalefont setfont /y 200 def [ (Job:) (Host:) (Date:) ] { 200 y moveto show /y y 18 sub def } forall /Helvetica-Bold findfont 14 scalefont setfont /y 200 def [ ($job) ($host) ($date) ] { 270 y moveto show /y y 18 sub def } forall % % That is it % restore showpage EOF 现在， 每个转换过滤器和文本过滤器都能调用这段脚本来生成报头页， 然后打印用户的任务。 下面是我们早些时候在这个文档中提到的 DVI 转换过滤器， 被修改之后来生成一个报头页： #!/bin/sh # # psdf - DVI to PostScript printer filter # Installed in /usr/local/libexec/psdf # # Invoked by lpd when user runs lpr -d # orig_args="$@" fail() { echo "$@" 1>&2 exit 2 } while getopts "x:y:n:h:" option; do case $option in x|y) ;; # Ignore n) login=$OPTARG ;; h) host=$OPTARG ;; *) echo "LPD started `basename $0` wrong." 1>&2 exit 2 ;; esac done [ "$login" ] || fail "No login name" [ "$host" ] || fail "No host name" ( /usr/local/libexec/make-ps-header $login $host "DVI File" /usr/local/bin/dvips -f ) | eval /usr/local/libexec/lprps $orig_args 过滤器是怎样解释参数列表来决定用户名和主机名的。 解释的方法对于其他转换过滤器来说也是一样的。 尽管文本过滤器需要输入的参数有些小的不同， (参见 过滤器是怎样工作的)。 像我们以前提到的那样， 上面的配置， 尽管相当简单， 关掉了 禁止报头页 的选项 ( 选项) 在 lpr 中。 如果用户想要保护树木 (或者是几便士， 如果你对打印报头页收费的话)， 它还不能完成这件事情， 因为每个过滤器都要为每个任务打印一个报头页。 要允许用户对于每个任务都可以关闭报头页， 您需要使用在 为报头页记帐 这节中介绍的那种技巧： 写一个输出过滤器来解释 LPD- 生成的报头页并且生成一个 &postscript; 的版本。 如果用户用 lpr -h 命令提交任务， 那么 LPD 将不会生成报头页， 并且输出过滤器也不会生成报头页。 否则， 输出过滤器将从 LPD 读取文本， 然后发送适当的报头页的 &postscript; 编码给打印机。 如果您有的是一台连在串口上的 &postscript; 打印机， 您可以使用 lprps 里的一个输出过滤器， psof ， 它可以完成上述任务。 但注意 psof 不对报头页计费。 网络打印 printers network network printing FreeBSD 支持网络打印： 发送任务给远程打印机。 网络打印通常指两种不同的方式： 访问一台连接在远程主机上的打印机。 在一台主机上安装一台常规的串口或并口打印机。 然后， 设置 LPD 来通过网络访问其他主机上的打印机。 具体见 安装在远程主机上的打印机 这节。 访问一台直接连接在网络上的打印机。 打印机另有一个网络接口 (或者替代常规的串口或者并口)。 这样的打印机可能像下面这样工作： 它或许可以理解 LPD 的协议， 并且甚至可以接收远程主机发来的任务排进队列。 这样， 它就像一个普通的主机运行着 LPD 一样。 做在 安装在远程主机上的打印机 里介绍的步骤， 可以设置好这样的打印机。 它或许支持网络数据流。 这样， 把打印机 接 在一台网络上的主机上， 由这台主机负责安排任务并发送任务到打印机。 参见 带网络数据流接口的打印机 这节来得到更多安装这类打印机的建议。 安装在远程主机上的打印机 LPD 后台打印系统内建了对给其他也运行着 LPD (或者是与 LPD 兼容的) 的主机发送任务的功能。 这个功能使您可以在一台主机上安装打印机， 并让它可以在其他主机上访问。 这个功能同样适用在那些有网络接口并且可以理解 LPD 协议的打印机上。 要开启这种远程打印的功能， 首先在一台主机上安装打印机， 就是 打印服务器， 可以使用在 简单打印机设置 这节中简单设置的方法。 高级的设置可以参考 高级打印机设置 这节中你需要的部分。 一定要测试一下打印机， 看看它是不是所有您开启的 LPD 的功能都正常工作。 此外还需要确认 本地主机 允许使用 远程主机 上的 LPD 服务 (参见 限制远程打印机任务)。 printers network network printing 如果您正在使用一台带网络接口并与 LPD 兼容的打印机， 那么我们那下面讨论中的 打印服务器 就是打印机本身， 而 打印机名 就是您为打印机配置的名字。 参考随打印机和/或者打印机-网络接口供给的文档。 如果您正使用惠普的 Laserjet， 则打印机名 text 将自动地为您完成 LF 到 CRLF 的转换， 因而也就不需要 hpif 脚本了。 然后， 在另外一台你想要访问打印机的主机上的 /etc/printcap 文件中加入它们的记录， 像下面这样： 可以随意给这个记录起名字。 简单起见， 您可以给打印服务器使用相同的名字或者别名。 保留 lp 变量为空， (:lp=:)。 建立一个后台打印队列目录， 并用 sd 变量指明其位置。 LPD 将把任务提交给打印服务器之前， 会把这些任务保存在这里。 在 rm 变量中放入打印服务器的名字。 在 rp 中放入打印服务器上打印机的名字。 就是这样。 不需要列出转换过滤器， 页面大小， 或者其他的一些东西在 /etc/printcap 文件中。 这有一个例子。 主机 rose 有两台打印机， bamboo 和 rattan。 我们要让主机 orchid 的用户可以使用这两台打印机。 下面是 /etc/printcap 文件， 用在主机 orchid (详见 开启报头页) 上的。 文件中已经有了打印机 teak 的记录； 我们在主机 rose 上增加了两台打印机： # # /etc/printcap for host orchid - added (remote) printers on rose # # # teak is local; it is connected directly to orchid: # teak|hp|laserjet|Hewlett Packard LaserJet 3Si:\ :lp=/dev/lpt0:sd=/var/spool/lpd/teak:mx#0:\ :if=/usr/local/libexec/ifhp:\ :vf=/usr/local/libexec/vfhp:\ :of=/usr/local/libexec/ofhp: # # rattan is connected to rose; send jobs for rattan to rose: # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :lp=:rm=rose:rp=rattan:sd=/var/spool/lpd/rattan: # # bamboo is connected to rose as well: # bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :lp=:rm=rose:rp=bamboo:sd=/var/spool/lpd/bamboo: 然后， 我们只需要在主机 orchid 上建立一个后台打印队列目录： &prompt.root; mkdir -p /var/spool/lpd/rattan /var/spool/lpd/bamboo &prompt.root; chmod 770 /var/spool/lpd/rattan /var/spool/lpd/bamboo &prompt.root; chown daemon:daemon /var/spool/lpd/rattan /var/spool/lpd/bamboo 现在， 主机 orchid 上的用户可以打印到 rattan 和 bamboo 了。 如果， 比如， 一个用户在主机 orchid 上输入了 &prompt.user; lpr -P bamboo -d sushi-review.dvi LPD 系统在主机 orchid 上会复制这个任务到后台打印队列目录 /var/spool/lpd/bamboo 并且记下这是一个 DVI 任务。 当主机 rose 上的打印机 bamboo 的后台打印队列目录有空间的时， 这两个 LPDs 系统将会传输这个文件到主机 rose 上。 文件将排在主机 rose 的队列中知道最终被打印出来。 它将被从 DVI 转换成 &postscript; (因为 bamboo 是一台 &postscript; 打印机) 在主机 rose。 带有网络数据流接口的打印机 通常， 当您为打印机购买了一块网卡， 可以得到两个版本： 一个是模拟后台打印 (贵一些的版本)， 或者一个只发送数据给打印机就像在使用串口或者并口一样 (便宜一些的版本)。 这节讲述如何使用这个便宜一些的版本。 要得到贵一些版本的更多信息， 参见前面章节 安装在远程主机上的打印机。 /etc/printcap 文件的格式让您指定使用哪个串口或并口， 并且还要指定 (如果您正在使用串口)， 使用多快的波特， 是否使用流量控制， 为制表符延迟， 转换换行， 等等。 但是没有一种方法指定一个连接到一台正在监听 TCP/IP 的或者其他网络接口的打印机。 要发送数据到网络打印机， 就需要开发一个通讯程序， 它可以被文本或者转换过滤器调用。 下面是一些例子： 脚本 netprint 将标准输入的所有数据发送到一个连在网络上的打印机。 我们将打印机的名字作为第一个参数， 端口号跟在后面作为第二个参数， 传给 netprint。 注意它只支持单向通讯 (FreeBSD 到打印机)； 很多网络打印机支持双向通讯， 并且这是您可能利用到的 (得到打印机状态， 进行打印记帐， 等等的时候。)。 #!/usr/bin/perl # # netprint - Text filter for printer attached to network # Installed in /usr/local/libexec/netprint # $#ARGV eq 1 || die "Usage: $0 <printer-hostname> <port-number>"; $printer_host = $ARGV[0]; $printer_port = $ARGV[1]; require 'sys/socket.ph'; ($ignore, $ignore, $protocol) = getprotobyname('tcp'); ($ignore, $ignore, $ignore, $ignore, $address) = gethostbyname($printer_host); $sockaddr = pack('S n a4 x8', &AF_INET, $printer_port, $address); socket(PRINTER, &PF_INET, &SOCK_STREAM, $protocol) || die "Can't create TCP/IP stream socket: $!"; connect(PRINTER, $sockaddr) || die "Can't contact $printer_host: $!"; while (<STDIN>) { print PRINTER; } exit 0; 然后我们就可以在多种过滤器里使用这个脚本了。 加入我们有一台 Diablo 750-N 行式打印机联在网络上。 打印机在 5100 端口上接收要打印的数据。 打印机的主机名是 scrivener。 这里是为这个打印机写的文本过滤器： #!/bin/sh # # diablo-if-net - Text filter for Diablo printer `scrivener' listening # on port 5100. Installed in /usr/local/libexec/diablo-if-net # exec /usr/libexec/lpr/lpf "$@" | /usr/local/libexec/netprint scrivener 5100 限制打印机的使用 printers restricting access to 这节将讲述关于限制打印机使用的问题。 LPD 系统让您可以控制谁可以访问打印机， 无论本地或是远程的， 是否他们可以打印机多份副本， 任务可以有多大， 以及打印队列的尺寸等。 限制多份副本 LPD 系统能够简化用户在打印多份副本时的工作。 用户可以用 lpr -#5 (举例) 来提交打印任务， 则会将任务中每个文件都打印五份副本。 这是不是一件很棒的事情呢。 如果您感觉多份副本会对打印机造成不必要的磨损和损耗， 您可以屏蔽掉 &man.lpr.1; 的 选项， 这可以通过在 /etc/printcap 文件中增加 sc 变量来完成。 当用户用 选项提交任务时， 他们将看到： lpr: multiple copies are not allowed 注意当为一台远程打印机进行设置时 (参见 安装在远程主机上的打印机 这一节) 您还需要同时在远程主机的 /etc/printcap 文件中 增加sc 变量， 否则用户还是可以从其他主机上提交使用多份副本的任务。 下面是一个例子。 这个是 /etc/printcap 文件在主机 rose 上。 打印机 rattan 非常轻闲， 所以我们将允许多份副本， 但是激光打印机 bamboo 则有些忙， 所以我们禁止多份副本， 通过增加 sc 变量： # # /etc/printcap for host rose - restrict multiple copies on bamboo # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0:\ :if=/usr/local/libexec/if-simple: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:sc:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts:rw:\ :if=/usr/local/libexec/psif:\ :df=/usr/local/libexec/psdf: 现在， 我们还需要增机 sc 变量在主机 orchid 的 /etc/printcap 文件中 (顺便我们也禁止打印机 teak 多份打印) ： # # /etc/printcap for host orchid - no multiple copies for local # printer teak or remote printer bamboo teak|hp|laserjet|Hewlett Packard LaserJet 3Si:\ :lp=/dev/lpt0:sd=/var/spool/lpd/teak:mx#0:sc:\ :if=/usr/local/libexec/ifhp:\ :vf=/usr/local/libexec/vfhp:\ :of=/usr/local/libexec/ofhp: rattan|line|diablo|lp|Diablo 630 Line Printer:\ :lp=:rm=rose:rp=rattan:sd=/var/spool/lpd/rattan: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :lp=:rm=rose:rp=bamboo:sd=/var/spool/lpd/bamboo:sc: 通过使用 sc 变量， 我们阻止了 lpr -# 命令的使用， 但仍然没有禁止用户多次运行 &man.lpr.1; ， 或者多次提交任务中同样的文件， 像下面这样： &prompt.user; lpr forsale.sign forsale.sign forsale.sign forsale.sign forsale.sign 这里有很多种方法可以阻止这种行为 (包括忽略它)， 并且是免费的。 限制对打印机的访问 您可以控制谁可以打印到哪台打印机通过 &unix; 的组机制和文件 /etc/printcap 中的 rg 变量。 只要把可以访问打印机的用户放进适当的组中， 然后在 rg 变量中写上组的名字。 非这组的用户 (包括 root) 将会得到这样的提示： lpr: Not a member of the restricted group 如果他们试图打印到被限制的打印机。 像使用 sc (禁止多份副本) 变量一样， 您需要指定 rg 在远程同样对打印机有访问限制的主机上， 如果您感觉合适的话 (参考 安装在远程主机上的打印机 这一节)。 比如， 我们将让任何人都可以访问打印机 rattan， 但只有在 artists 组中的人可以使用打印机 bamboo。 这里是类似的主机 rose 上的 /etc/printcap 文件： # # /etc/printcap for host rose - restricted group for bamboo # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0:\ :if=/usr/local/libexec/if-simple: bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:sc:rg=artists:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts:rw:\ :if=/usr/local/libexec/psif:\ :df=/usr/local/libexec/psdf: Let us leave the other example /etc/printcap file (for the host orchid) alone. Of course, anyone on orchid can print to bamboo. It might be the case that we only allow certain logins on orchid anyway, and want them to have access to the printer. Or not. 这里每台仅能有一个限制的组。 控制提交的任务大小 print jobs 如果您有很多用户访问打印机， 可能需要对用户可以提交的文件尺寸设置一个上限。 毕竟， 文件系统中后台打印队列目录的空间是有限的， 您需要保证这里有空间来存放其他用户的任务。 print jobs controlling LPD 允许通过使用 mx 变量来限制任务中文件的最大字节数， 方法是指定单位为块的 BUFSIZ 数， 每块表示 1024 字节。 如果在这个变量的值是 0， 则表示不进行限制； 不过， 如果不指定 mx 变量的话， 则会使用默认值 1000 块。 这个限制是对于任务中 文件 的， 而 不是 任务总共的大小。 LPD 不会拒绝比限制大小大的文件。 但它是将限制大小以内的部分排入队列， 并且打印出来的只有这些。 剩下的部分将被丢弃。 这个行为是否正确还需讨论。 让我们来为例子打印机 rattan 和 bamboo 增加限制。 由于那些艺术家的 &postscript; 文件可能会很大， 我们将限制大小为 5 兆字节。 我们将不对纯文本行式打印机做限制： # # /etc/printcap for host rose # # # No limit on job size: # rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:mx#0:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0:\ :if=/usr/local/libexec/if-simple: # # Limit of five megabytes: # bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:sc:rg=artists:mx#5000:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts:rw:\ :if=/usr/local/libexec/psif:\ :df=/usr/local/libexec/psdf: 同样， 限制只对本地用户起作用。 如果设置了允许远程用户使用您的打印机， 远程用户将不会受到这些限制。 您也需要指定 mx 变量在远程主机的 /etc/printcap 文件中。 参见 安装在远程主机上的打印机 这一节来得到更多有关远程打印的信息。 除此之外， 还有另一种限制远程任务大小的方法； 参见 限制远程打印机任务。 限制远程打印机任务 LPD 后台打印系统提供了多种方法来限制从远程主机提交的任务： 主机限制 您可以控制本地 LPD 接收哪台远程主机发来的请求， 通过 /etc/hosts.equiv 文件和 /etc/hosts.lpd 文件。 LPD 查看是否到来的任务请求来自被这两个文件中列出的主机。 如果没有， LPD 会拒绝这个请求。 这些文件的格式非常简单： 每行一个主机名。 注意 /etc/hosts.equiv 文件也被 &man.ruserok.3; 协议使用， 并影响着 &man.rsh.1; and &man.rcp.1; 等程序， 所以要小心。 举个例子， 下面是 /etc/hosts.lpd 文件在主机 rose 上： orchid violet madrigal.fishbaum.de 意思是主机 rose 将接收来自 orchid， violet， 和 madrigal.fishbaum.de 的请求。 如果任何其他的主机试图访问主机 rose 的 LPD， 任务将被拒绝。 大小限制 您可以控制后台打印队列目录需要保留多少空间。 建立一个叫做 minfree 的文件在后台打印队列目录下为本地打印机。 在这个文件中插入一个数字来代表多少磁盘块数 (512 字节) 的剩余空间来接收远程任务。 这让您可以保证远程用户不会填满您的文件系统。 您也可以用它来给本地用户一个优先： 他们可以在磁盘剩余空间低于 minfree 文件中的指定值后仍然可以提交任务。 比如， 让我们增加一个 minfree 文件为打印机 bamboo。 我们检查 /etc/printcap 文件来找到这个打印机的后台打印队列目录； 这里是打印机 bamboo 的记录： bamboo|ps|PS|S|panasonic|Panasonic KX-P4455 PostScript v51.4:\ :sh:sd=/var/spool/lpd/bamboo:sc:rg=artists:mx#5000:\ :lp=/dev/ttyd5:ms#-parenb cs8 clocal crtscts:rw:mx#5000:\ :if=/usr/local/libexec/psif:\ :df=/usr/local/libexec/psdf: 后台打印队列目录在 sd 变量中给出。 我们设置 3 兆字节 (6144 磁盘块) 为文件系统上必须存在的总共剩余空间， 让 LPD 可以接受远程任务： &prompt.root; echo 6144 > /var/spool/lpd/bamboo/minfree 用户限制 您可以控制哪些远程用户可以打印到本地打印机， 通过指定 rs 变量在 /etc/printcap 文件中。 当 rs 出现在一个本地打印机的记录中时， LPD 将接收来自远程主机 并 在本地有同样登录名的用户提交的任务。 否则， LPD 会拒绝这个任务。 这个功能在一个 (比如) 有许多部门共享一个网络的环境中特别有用， 并且有些用户可以越过部门的边界。 通过为他们在您的系统上建立帐号， 他们可以他们自己的部门的系统里使用您的打印机。 如果 只 允许他们您的打印机， 而不是您的计算机资源， 您可以给他们 象征 帐户， 不带主目录并且设置一个没用的 shell ， 比如 /usr/bin/false。 对打印机使用记帐 accounting printer 当然， 你需要对打印付费。 为什么不？ 纸张和墨水都需要花钱的。 并且这里还有维护的费用 — 打印机是由很多部件组装成的， 并且零件会坏掉。 您可以检查您的打印机， 使用形式， 和维护费用来得出每页 (或者每尺， 每米， 或者每什么) 的费用。 现在， 您怎样启动打印记帐呢？ 好了， 坏消息是 LPD 后台打印系统在这个部分没有提供很多帮助。 记帐是一个对使用的打印机的种类， 打印的格式， 和 您的 在对打印机的使用计费的需求依赖性很高的。 要实现记帐， 您必须更改打印机的文本过滤器 (对纯文本任务记费) 和转换过滤器 (对其他格式的文件计费)， 要统计页数或者查询打印了多少页的话。 您不可以通过使用简单的输出过滤器来逃脱计费， 因为它不能进行记帐。 参见 过滤器 这节。 通常， 有两种方法来进行记帐： 定期记帐 是更常用的方法， 可能因为它更简单。 无论合适何人打印一个任务， 过滤器都将记录用户名， 主机名， 和打印的页数到一个记帐文件。 每个月， 学期， 年， 或者任何您想设定的时间段， 收集这些不同打印机上的记帐文件， 按用户对打印的页数进行结算， 并对使用进行付费。 然后删掉所有记录文件， 开始一个新的计费周期。 实时记帐 不太常用， 可能因为它比较难。 这种方法让过滤器对用户的打印进行实时的记帐。 像磁盘配额， 记帐是实时的。 您可以组织用户打印当他们的帐户超额的时候， 并且可能提供一种方法让用户检查并调整他们的 打印配额。 但这个方法需要一些数据库代码来跟踪用户和他们的配额。 LPD 后台打印系统对两种方法都支持且很简单： 所以您需要提供过滤器 (大多数时候)， 还要提供记帐代码。 但这好的方面是： 您可以有非常灵活的记帐方法。 比如， 您可以选择使用阶段记帐还是实时记帐。 您可以选择记录哪些信息： 用户名， 主机名， 任务类型， 打印页数， 使用了多少平方尺的纸， 任务打印了多长时间， 等等。 您可以通过修改过滤器来存储这些信息。 快速并且混乱的打印记帐 FreeBSD 包含两个可以让您立刻可以建立起简单的阶段记帐的程序。 它们是文本过滤器 lpf， 在 lpf： 一个文本过滤器 这节中描述， 和 &man.pac.8;， 一个收集并统计打印机记帐文件中记录的程序。 像在前面章节提到的过滤器一样 (过滤器)， LPD 启动文本或者转换过滤器并在过滤器命令行里带上记帐文件的名字。 过滤器可以使用这个参数知道该往哪写记帐记录。 这个文件的名字来自于 af 变量在 /etc/printcap 文件里， 并且如果没有指定绝对路径， 则默认是相对于后台打印队列目录的。 LPD 启动 lpf 带着页宽和页长的参数 (通过 pw 和 pl 变量)。 lpf 使用这些参数来判定将使用多少张纸。 在文件发送到打印机之后， 它就会在记帐文件中写入记录。 记录像下面这个样子： 2.00 rose:andy 3.00 rose:kelly 3.00 orchid:mary 5.00 orchid:mary 2.00 orchid:zhang 您应该让每个打印机都使用一个独立的记帐文件， 像 lpf 就没有内建文件锁逻辑， 这样两个 lpf 可能会发生彼此记录混合的情况， 如果它们同时要在同一个文件写入内容的时候。 一个最简单的保证每个打印机都使用一个独立的记帐文件的方法就是将 af=acct 写在 /etc/printcap 文件中。 然后， 每个打印机的记帐文件都会在这台打印机的后台打印队列目录中， 文件的名字叫做 acct。 当您准备对用户的打印进行收费时， 运行 &man.pac.8; 程序。 只要转换到要收集信息的这台打印机的后台打印队列目录， 然后输入 pac。 您将会得到一个美元计费的摘要像下面这样： Login pages/feet runs price orchid:kelly 5.00 1 $ 0.10 orchid:mary 31.00 3 $ 0.62 orchid:zhang 9.00 1 $ 0.18 rose:andy 2.00 1 $ 0.04 rose:kelly 177.00 104 $ 3.54 rose:mary 87.00 32 $ 1.74 rose:root 26.00 12 $ 0.52 total 337.00 154 $ 6.74 这些是 &man.pac.8; 需要的参数： 哪台 打印机 要结帐。 这个选项仅在用 af 变量在 /etc/printcap 文件中指定了绝对路径的情况下起作用。 以金额来排序输出来代替以用户名字字母排序。 忽略记帐文件中的主机名。 带上这个选项， 用户 smith 在主机 alpha 上与同样的用户 smith 在主机 gamma 上一样。 不带这个选项的话， 他们则是不同的用户。 使用 price 作为每页或每尺美元的单价来替代 pc 变量指定的单价在 /etc/printcap 文件中， 或者两分 (默认)。 price 可以用一个浮点数来指定。 反向排序。 建立一个记帐摘要文件， 并且截短记帐文件。 名字 … 只打印指定 名字 用户的记帐信息。 在 &man.pac.8; 默认产生的摘要中， 可以看到在不同主机上的每个用户打印了多少页。 如果在您这里， 主机不考虑 (因为用户可以使用任何主机)， 运行 pac -m， 来得到下面的摘要： Login pages/feet runs price andy 2.00 1 $ 0.04 kelly 182.00 105 $ 3.64 mary 118.00 35 $ 2.36 root 26.00 12 $ 0.52 zhang 9.00 1 $ 0.18 total 337.00 154 $ 6.74 要以美元计算应付钱数， &man.pac.8; 指定 pc 变量在 /etc/printcap 文件中 (默认是 200， 或者 2 分每页). 这个参数的单位是百分之一分， 在这个变量中指定每页或者每尺的价格。 您可以覆盖这个值当运行 &man.pac.8; 带着参数 的时候。 参数 的单位是美元， 而不是百分之一分。 例如， &prompt.root; pac -p1.50 设定每页的价格是 1 美元 5 美分。 您可以通过这个选项来达到目标利润。 最终， 运行 pac -s 将存储这些信息在一个记帐文件里， 文件名和打印机帐户的名字相同， 但是带着 _sum 的后缀。 然后截短记帐文件。 当您再次运行 &man.pac.8; 的时候， 它再次读取记帐文件来得到初始的总计， 然后在记帐文件中增加信息。 怎样对打印的页数进行计数？ 为了进行远程的精确记帐， 需要判断一个任务将会消耗多少张纸。 这是打印记帐问题的关键。 对于纯文本任务， 这个问题不是太难解决： 对任务中的行数进行计数然后与打印机支持的每页行数进行比较。 别忘了也对添印的行， 或者很长的逻辑上的一行但在打印机上会折成两行的这类进行记帐。 文本过滤器 lpf (在 lpf：一个文本过滤器 这节中介绍) 会在记帐时考虑这些问题。 如果正在编写一个可以进行记帐的文本过滤器， 您可能需要查看 lpf 的源代码。 怎样处理其他格式的文件？ 好， 对于 DVI- 到 -LaserJet 或者 DVI- 到 -&postscript; 转换， 可以让您的过滤器输出诊断信息， 关于 dvilj 或者 dvips 命令， 并且看到多少页被转换了。 您也许可以对于其他类型的文件和转换程序进行类似操作。 但是这些方法的弱点就是事实上打印机并不是打印了所有的页。 比如， 卡纸， 缺墨， 或者炸掉了 — 但用户还是要为没有打印的部分付钱。 您该怎样做？ 只有一条 肯定 的方法来进行 精确 的记帐。 购买一台可以告诉您它使用了多少纸的打印机， 并且将它连接到串口或者网络上。 几乎所有 &postscript; 打印机都支持这个小功能。 其他制造厂或其他型号也可以有这个功能 (比如 Imagen 激光网络打印机)。 为这些打印机更改过滤器使它在打印完每个任务之后接收纸张用量， 并 仅 基于这个值进行记帐。 不需要计算行数， 也不需要容易出错的文件检查。 当然， 您也总是可以大方的使打印免费。 使用打印机 printers usage 这节将讲述如何使用在 FreeBSD 下设置好的打印机。 下面是一个用户级命令的总览： &man.lpr.1; 打印任务 &man.lpq.1; 检查打印队列 &man.lprm.1; 从打印机的队列中移除任务 还有一个管理命令， &man.lpc.8;， 在 管理打印机 一节中有所介绍， 它可以用于控制打印机及其队列。 &man.lpr.1;, &man.lprm.1;, and &man.lpq.1; 这三个命令都接受 选项来指定对哪个打印机 / 队列进行操作， 在 /etc/printcap 文件中列出的打印机。 这允许您提交， 删除， 并检查任务在多个打印机上。 如果您不使用 选项， 那么这些命令会使用在 环境变量 PRINTER 中指定的打印机。 最终， 如果您也没有 PRINTER 这个环境变量， 这些命令的默认值是叫做 lp 的这台打印机。 从此以后， 术语 默认打印机 就是指 PRINTER 环境变量中指定的这台， 或者叫做 lp 的这一台当没有环境变量 PRINTER 的时候。 打印任务 要打印文件， 输入： &prompt.user; lpr filename ... printing 这个命令会打印所有列出的文件到默认打印机。 如果没有列出文件， &man.lpr.1; 会从标准输入读取打印数据。 比如， 这个命令打印一些重要的系统文件： &prompt.user; lpr /etc/host.conf /etc/hosts.equiv 要选择一个指定的打印机， 输入： &prompt.user; lpr -P printer-name filename ... 这个例子打印一个当前目录的长长的列表到叫做 rattan 的这台打印机： &prompt.user; ls -l | lpr -P rattan 因为没有为 &man.lpr.1; 命令列出文件， lpr 从标准输入读入数据， 在这里是 ls -l 命令的输出。 &man.lpr.1; 命令同样可以接受多种控制格式的选项， 应用文件转换， 生成多份副本， 等等。 要得到更多信息， 参考 打印选项 这节。 检查任务 print jobs 当使用 &man.lpr.1; 进行打印时， 您希望打印的所有数据被放在一起打包成了一个 打印任务， 它被发送到 LPD 后台打印系统。 每台打印机都有一个任务队列， 并且您的任务在队列中等待其他用户的其他任务打印。 打印机按照先来先印的规则打印这些任务。 要显示默认打印机的队列， 输入 &man.lpq.1;。 要指定打印机， 使用 选项。 例如， 命令 &prompt.user; lpq -P bamboo 会显示打印机 bamboo 的队列。 下面是命令 lpq 输出的一个例子： bamboo is ready and printing Rank Owner Job Files Total Size active kelly 9 /etc/host.conf, /etc/hosts.equiv 88 bytes 2nd kelly 10 (standard input) 1635 bytes 3rd mary 11 ... 78519 bytes 这里显示了队列中有三个任务在 bamboo 中。 第一个任务， 用户 kelly 提交的， 标识 任务编号 9。 每个要打印的任务都会获得一个不同的任务编号。 大多时候可以忽略这个任务编号， 但在您需要取消任务时会用到这个号码； 参考 移除任务 这节得到更多信息。 编号为 9 的任务包含了两个文件； 在 &man.lpr.1; 命令行中指定的多个文件被看作是一个单个的任务。 它是当前激活的任务 (注意这个词 激活 在 Rank 这列下面)， 意思是打印机当前正在打印那个任务。 第二个任务包含了标准输入传给 &man.lpr.1; 命令的数据。 第三个任务来自用户 mary; ， 它是一个比较大的任务。 她要打印的文件的路径名太长了， 所以 &man.lpq.1; 命令只显示了三个点。 &man.lpq.1; 输出的头一行也很有用： 它告诉我们打印机正在做什么 (或者至少是 LPD 认为打印机应该正在做的)。 &man.lpq.1; 命令同样支持 选项来生成一个详细的长列表。 下面是一个 lpq -l 命令的例子： waiting for bamboo to become ready (offline ?) kelly: 1st [job 009rose] /etc/host.conf 73 bytes /etc/hosts.equiv 15 bytes kelly: 2nd [job 010rose] (standard input) 1635 bytes mary: 3rd [job 011rose] /home/orchid/mary/research/venus/alpha-regio/mapping 78519 bytes 移除任务 如果您对一个打印任务改变了主意， 可以用 &man.lprm.1; 将任务从队列中删除。 通常， 您甚至可以用 &man.lprm.1; 命令来移除一个当前激活的任务， 但是任务的一部分或者所有还是可能打印出来。 要从默认打印机中移除一个任务， 首先使用 &man.lpq.1; 找到任务编号。 然后输入： &prompt.user; lprm job-number 要从指定打印机中删除任务， 增加 选项。 下面的命令会删除编号为 10 的任务从 bamboo 这台打印机： &prompt.user; lprm -P bamboo 10 &man.lprm.1; 命令有一些快捷方式： lprm - 删除所有属于您的任务 (默认打印机的)。 lprm user 删除所有属于用户 user 的任务 (默认打印机的)。 超级用户可以删除用户的任务； 您只可以删除自己的任务。 lprm 命令行中不带任务编号， 任务名， 或者 选项， &man.lprm.1; 会删除默认打印机上当前激活的任务， 如果它属于你。 超级用户可以删除任务激活的任务。 使用参数 和上面的快捷方式来用指定打印机替代默认打印机。 例如， 下面的命令会删除当前用户在打印机 rattan 队列中的所有任务： &prompt.user; lprm -P rattan - 如果您正工作在一个网络环境中， &man.lprm.1; 将只允许在提交任务的主机上删除任务， 甚至是同一台打印机也可以在其他主机上使用时。 下面的命令证明了这个： &prompt.user; lpr -P rattan myfile &prompt.user; rlogin orchid &prompt.user; lpq -P rattan Rank Owner Job Files Total Size active seeyan 12 ... 49123 bytes 2nd kelly 13 myfile 12 bytes &prompt.user; lprm -P rattan 13 rose: Permission denied &prompt.user; logout &prompt.user; lprm -P rattan 13 dfA013rose dequeued cfA013rose dequeued 超越纯文本：打印选项 &man.lpr.1; 支持许多控制文本格式的参数， 转换图形和其他格式文件， 生成多份副本， 处理任务， 等等。 这一节将描述这些选项。 格式与转换选项 下面的 &man.lpr.1; 参数控制任务中文件的格式。 使用这些参数， 如果任务不含纯文本， 或者您想让纯文本通过 &man.pr.1; 格式化。 &tex; 例如， 下面的命令打印一个 DVI 文件 (来自 &tex; 排版系统) 文件名为 fish-report.dvi 到打印 bamboo： &prompt.user; lpr -P bamboo -d fish-report.dvi 这些选项应用到任务中的每个文件， 所以您不能混合 (说) DVI 和 ditroff 文件在同一个任务中。 替代的方法是， 用独立的任务提交这些文件， 使用不同的转换选项给不同的任务。 所有这些选项除了 和 都需要转换过滤器安装给目标打印机。 例如， 选项需要 DVI 转换过滤器。 参考 转换过滤器 这节得到更多细节。 打印 cifplot 文件。 打印 DVI 文件。 打印 FORTRAN 文本文件。 打印 plot 数据。 缩进 number 列； 如果没有指定 number， 则缩进 8 列。 这个选项仅可以工作在某些过滤器上。 不要在选项 和数字之间加入空格。 打印文字数据， 包括控制字符。 打印 ditroff (无设备依赖 troff) 数据。 -p 打印之前用 &man.pr.1; 格式化纯文本。 参考 &man.pr.1; 得到更多信息。 使用 title 在 &man.pr.1; 上来替代文件名。 这个选项仅在使用 选项时起作用。 打印 troff 数据。 打印 raster 数据。 下面是一个例子： 这个命令打印了一个很好的 &man.ls.1; 联机手册到默认打印机： &prompt.user; zcat /usr/share/man/man1/ls.1.gz | troff -t -man | lpr -t &man.zcat.1; 命令解压缩 &man.ls.1; 的手册并且将内容传给 &man.troff.1; 命令， 它将格式化这些内容并且生成 GNU troff 输出给 &man.lpr.1; ， 它提交任务到 LPD 后台打印。 因为使用了 选项为 &man.lpr.1; ， 后台打印将会转换 GNU troff 输出到默认打印机可以理解的格式当任务被打印时。 任务处理选项 下面的 &man.lpr.1; 选项告诉 LPD 对任务特殊处理： -# copies 生成 copies 个副本给任务中的每个文件， 替代每个文件一份副本。 管理员可以禁止这个选项来减少打印机的浪费和鼓励复印机的使用。 参考 限制多份副本。 这个例子打印三份副本的文件 parser.c 跟着三份副本的文件 parser.h 到默认打印机： &prompt.user; lpr -#3 parser.c parser.h -m 打印完成后发信。 使用这个选项， LPD 系统将会发送邮件到您的帐户， 当它完成了处理您的任务后。 在信中， 它将会告诉您任务是否成功完成或者出现了错误， 并且 (通常) 指明是什么错误。 -s 不要复制文件到后台打印队列目录， 要使用符号连接。 如果您正在打印一个很大的任务， 您可能需要这个选项。 它节省后台打印队列目录的空间 (您的任务可能使后台打印队列目录所在的文件系统剩余空间超出)。 它同样也节省了时间， 因为 LPD 将不会副本任务的每个字节到后台打印队列目录。 这也有一个缺点： 因为 LPD 将直接指向源文件， 您不能修改或者删除它们直到它们被打印出来。 如果您打印到一台远程打印机， LPD 将最终将文件从本地主机副本到远程主机上， 所以选项 只能节省本地后台打印队列目录的空间， 而不是远程的。 虽然如此， 但它还是很有用。 -r 移除任务中的文件在它们被复制到后台打印队列目录之后， 或者在用 选项打印它们之后。 谨慎使用这个选项！ 报头页选项 这些 &man.lpr.1; 的选项调整了通常出现在任务报头页上的文本。 如果报头页被跳过了在目标打印机上， 这些选项将不会起作用。 参考 报头页 得到更多关于设置报头页的信息。 -C text 替换报头页上的主机名为 text。 主机名通常都是提交任务的主机名称。 -J text 替换报头页上的任务名为 text。 任务名通常是任务中头一个文件的名字， 或者 stdin 如果您正在打印标准输入。 -h 不打印任何报头页。 在某些地点， 这个选项可能无效， 与报头页的产生方法有关。 参考 报头页 得到详细信息。 管理打印机 作为一个打印机的管理者， 您必须要安装， 设置， 并且测试它们。 使用 &man.lpc.8; 命令， 您可以与打印机以更多的方式交流。 用 &man.lpc.8; ， 您可以 启动或停止打印机 启用或禁止它们的队列 重新安排每个队列中的任务。 首先， 一个关于术语的解释： 如果一个打印机被 停止 了， 它将不会打印它队列中的任何东西。 但用户还是可以提交任务， 它们会在队列中等待直到打印机被 启动 或者队列被清空。 如果一个队列被 禁止， 没有用户 (除了 root) 可以提交任务到打印机。 一个 启用 的队列允许任务被提交。 一个打印机可以被 启动 但它的队列被禁止， 在这种情况下打印机将打印队列中的任务， 直到队列为空。 通常， 您必须有 root 权限来使用 &man.lpc.8; 命令。 普通用户可以使用 &man.lpc.8; 命令来获得打印机状态并且重启一台挂了的打印机。 这里是一个关于 &man.lpc.8; 命令的摘要。 大部分命令带着一个 printer-name 参数来知道要对哪台打印机操作。 您可以用 all 填在 printer-name 的位置来代表所有在 /etc/printcap 文件中列出的打印机。 abort printer-name 取消当前任务并停止打印机。 用户仍然可以提交任务， 如果队列还是启用的。 clean printer-name 从打印机的后台打印队列目录移除旧的文件。 有时， 组成任务的文件没有被 LPD 正确的删除， 特别是在打印中出现错误或者管理活动比较多的时候。 这个命令查找不属于后台打印队列目录的文件并删除它们。 disable printer-name 禁止新任务入队。 如果打印机正在工作， 它将会继续打印队列中剩余的任务。 超级用户 (root) 总是可以提交任务， 甚至提交到一个禁止的队列。 这个命令在测试一台新打印机或者安装过滤器时非常有用： 禁止队列并提交以 root 提交任务。 其他用户将不能提交任务直到您完成了测试并用命令 enable 重新启用了队列的时候。 down printer-name message 打印机下线。 等于 disable 命令后跟一个 stop 命令。 message 将作为打印机状态， 当用户使用 &man.lpq.1; 或者 lpc status 命令查看打印机队列状态的时候显示出来。 enable printer-name 为打印机开启队列。 用户可以提交任务到打印机但是在打印机启动之前不会打印出任何东西。 help command-name 打印关于 command-name 命令的帮助。 不带 command-name， 则打印可用命令的摘要。 restart printer-name 启动打印机。 普通用户可以使用这个命令， 当一些特别的环境导致 LPD 锁死时， 但他们不能启用一台使用 stop 或者 down 命令停用的打印机。 restart 命令等同于 abort 后跟着一个 start。 start printer-name 启用打印机。 打印机将开始打印队列中的任务。 stop printer-name 停止打印机。 打印机将完成当前任务并且将不再打印队列中的任务任务。 尽管打印机被停用， 但用户仍然可以提交任务到一个开启的队列。 topq printer-name job-or-username 重新以 printer-name 安排队列， 通过将列出的 job 编号或者指定的所属 username 的任务放在队列的最前面。 对于这个命令， 您不可以使用 all 当作 printer-name。 up printer-name 打印机上线； 相对于 down 命令。 等同于 start 后跟着一个 enable 命令。 &man.lpc.8; 的命令行接受上面的命令。 如果您不输入任何命令， &man.lpc.8; 则进入一个交互模式， 在这里您可以输入命令直到输入 exit， quit， 或者文件结束符。 替换标准后台打印 如果您已经通读过了这个手册， 那么到现在您应该已经了解了关于 FreeBSD 包含的后台打印系统 LPD 的一切。 您可能发现了它很多的缺点， 它们很自然的让您提出这样的问题： 这里还有什么后台打印系统吗 (并且可以工作在 FreeBSD 上) ？ LPRng LPRng LPRng， 它的意思是 LPR： 下一代， 是一个完全重写的 PLP。 Patrick Powell 和 Justin Mason (PLP 维护的主要负责人) 合作完成了 LPRng。 LPRng 的主站是 。 CUPS CUPS CUPS， 通用 UNIX 打印系统， 提供了一个轻便的打印层给 &unix;-基础的操作系统。 它是由 Easy Software Products 开发的， 并且成为了 &unix; 供应商和用户的标准打印解决方案。 CUPS 使用 Internet 打印协议 (IPP) 作为管理打印任务和队列的基础。 行式打印机守护程序 (LPD) 服务器消息块 (SMB)， 和 AppSocket (a.k.a. JetDirect) 协议的部分功能也被支持。 CUPS 增加了基于浏览网络打印机和 PostScript 打印机描述 (PPD) 的打印选项来支持 &unix; 下的真实打印。 CUPS 的主站是 。 疑难问题 在使用 &man.lptest.1; 进行简单的测试之后， 您可能得到了下面的结果， 而不是正确的结果： 过了一会儿， 它工作了； 或者， 它没有退出一整张纸。 打印机进行了打印， 但在这之前它呆了一段而且什么都没做。 事实上， 您可能需要按一下打印机上的 打印剩余 或者 送纸 按钮来让结果出现。 如果这是问题所在， 打印机可能在等待， 看看在打印之前， 您的任务是否还有更多的数据。 要修正这个问题， 您可以让文本过滤器发送一个送纸字符 (或者其他需要的) 到打印机。 这通常足够让打印机立即打印出内部缓存内剩余的文本。 它同样可以用来确保每个任务的结尾都占用一整张纸， 这样下一个任务才不会在前一个任务最后一张纸的中间开始。 接下来的 shell 脚本 /usr/local/libexec/if-simple 的脚本打印了一个送纸符在它发送任务到打印机之后： #!/bin/sh # # if-simple - Simple text input filter for lpd # Installed in /usr/local/libexec/if-simple # # Simply copies stdin to stdout. Ignores all filter arguments. # Writes a form feed character (\f) after printing job. /bin/cat && printf "\f" && exit 0 exit 2 它的输出产生了 楼梯效果。 您可能在纸上得到下面这些： !"#$%&'()*+,-./01234 "#$%&'()*+,-./012345 #$%&'()*+,-./0123456 MS-DOS OS/2 ASCII 您也成为了 楼梯效果 的受害者， 这是由对新行的标志字符的解释不一致造成的。 &unix; 风格的操作系统使用一个单个字符： ASCII 码 10， 即换行 (LF)。 &ms-dos;， &os2;， 和其他的系统使用一对儿字符， ASCII 码 10 和 ASCII 码 13 (回车 CR)。 许多打印机使用 &ms-dos; 的习惯来代表新行。 当您在 FreeBSD 上打印时， 您的文本仅用了换行字符。 打印机， 打印机看到换行字符后， 走一行纸， 但还光标位置还是在这张纸上要打印的下一个字符处。 这就是回车的作用： 将下一个要打印的字符的位置移到纸张的左边缘。 这里是 FreeBSD 想要打印机做的： 打印机收到 CR 打印机打印 CR 打印机收到 LF 打印机打印 CR + LF 下面有几种完成这个的办法： 使用打印机的配置开关或者控制面板来更改它对这些字符的解释。 查看打印机的手册来找到怎样更改。 如果您引导您的系统到其他除了 FreeBSD 之外的操作系统， 您可能不得不 重新配置 打印机使用 这个操作系统对 CR 和 LF 字符的解释。 您可能更喜欢下面这另一种解决方案。 让 FreeBSD 的串口驱动自动转换 LF 到 CR+LF。 当然， 这 仅仅 工作在串口打印机上。 要开启这个功能， 定义 ms# 变量并 设置 onlcr 模式在 /etc/printcap 文件中相应打印机处。 发送一个 转义码 到打印机来让它临时对 LF 字符做不同的处理。 参考您的打印机手册来了解您的打印机支持哪些转义码。 当您找到合适的转义码， 修改文本过滤器让其先发送这个转义码， 然后再发送打印任务。 PCL 这里是一个为懂得 Hewlett-Packard PCL 转义码的打印机编写的文本过滤器。 这个过滤器使得打印机将 LF 作为一个 LF 和一个 CR 来对待； 然后它发送任务； 最后发送一个送纸符弹出任务的最后一张纸。 它应该可以在几乎所有 Hewlett Packard 打印机上工作。 #!/bin/sh # # hpif - Simple text input filter for lpd for HP-PCL based printers # Installed in /usr/local/libexec/hpif # # Simply copies stdin to stdout. Ignores all filter arguments. # Tells printer to treat LF as CR+LF. Ejects the page when done. printf "\033&k2G" && cat && printf "\033&l0H" && exit 0 exit 2 下面是一个 /etc/printcap 文件的例子在叫做 orchid 的主机上。 它只有一台打印机连接在第一个并口上， 一台 Hewlett Packard LaserJet 3Si 名字叫做 teak。 它使用上面那段脚本作为文本过滤器： # # /etc/printcap for host orchid # teak|hp|laserjet|Hewlett Packard LaserJet 3Si:\ :lp=/dev/lpt0:sh:sd=/var/spool/lpd/teak:mx#0:\ :if=/usr/local/libexec/hpif: 行行覆盖。 打印机从来不进纸换行。 所有的文本都打印在头一行文本的上面。 这个问题是 相反 于楼梯效果， 像上面描述的那样， 并且更少见。 一些地方， LF 这个 FreeBSD 用来结束一行的字符被作为 CR 这个将打印位置返回到纸的左边的字符对待。 而没有向下走纸一行。 使用打印机的配置开关或者控制面板来强制对 LF 和 CR 进行下面的转换： 打印机收到 打印机打印 CR CR LF CR + LF 打印丢掉字符。 当打印时， 每行里打印机都丢掉一些字符没有打。 这个问题可能随着打印的进行越发严重， 丢掉越来越多的字符。 这个问题是由打印机跟不上计算机通过串口发送数据的速度造成的 (这个问题应该不会发生在并口打印机上)。 有两种方法能克服这个问题： 如果打印机支持 XON/XOFF 流量控制， 那就让 FreeBSD 使用它， 通过加入 ixon 模式在 ms# 变量里。 如果打印机支持载波流量控制， 指定 crtscts 模式在 ms# 变量里。 并且要确定连接打印机和计算机的线是支持载波流量控制的。 它打印出垃圾。 打印机打印出的东西看起来是一些随机的字符， 而不是想要打印的东西。 这通常意味着另一种串口打印机通讯参数设置不正确的错误。 复查 br 变量中设定的波特， 和 ms# 中的校验设置； 确定打印机也在使用和 /etc/printcap 文件中相同的设置。 没有反应。 如果没有反应， 问题就可能出在 FreeBSD 而不是硬件上了。 增加日志文件 (lf) 变量到 /etc/printcap 文件里出现问题的打印机的记录处。 比如， 下面是打印机 rattan 的记录， 使用了 lf 变量： rattan|line|diablo|lp|Diablo 630 Line Printer:\ :sh:sd=/var/spool/lpd/rattan:\ :lp=/dev/lpt0:\ :if=/usr/local/libexec/if-simple:\ :lf=/var/log/rattan.log 然后， 再次打印。 检查日志文件 (在我们的例子当中， 是 /var/log/rattan.log 这个文件) 来看是否有错误信息出现。 根据出现的信息， 试着来修正问题。 如果您没有指定 lf 变量， LPD 会使用 /dev/console 作为默认值。