{"id":286,"date":"2012-06-30T10:22:11","date_gmt":"2012-06-30T08:22:11","guid":{"rendered":"http:\/\/www.opencomp.hu\/?p=286"},"modified":"2020-03-25T10:22:43","modified_gmt":"2020-03-25T09:22:43","slug":"freebsd-virtualizacio-az-ezjail-hasznalataval","status":"publish","type":"post","link":"https:\/\/www.opencomp.hu\/?p=286","title":{"rendered":"FreeBSD virtualiz\u00e1ci\u00f3 az ezjail haszn\u00e1lat\u00e1val"},"content":{"rendered":"\n

Az eddigi FreeBSD-s \u00edr\u00e1sok ut\u00e1n k\u00f6vetkezzen ugyanebben a t\u00e9m\u00e1ban egy kicsit izgalmasabb  \u00edr\u00e1s, sz\u00f3ljon pedig ez a virtualiz\u00e1ci\u00f3r\u00f3l. Napjainkban m\u00e1r t\u00f6bb oper\u00e1ci\u00f3s rendszer t\u00e1mogatja a virtualiz\u00e1ci\u00f3t nat\u00edvan, k\u00fcl\u00f6nb\u00f6z\u0151 form\u00e1ban, k\u00fcl\u00f6nb\u00f6z\u0151 megold\u00e1sokkal, a terminol\u00f3gia is k\u00fcl\u00f6nb\u00f6z\u0151 lehet. Gondolhatunk itt arra, amit Solaris alatt z\u00f3n\u00e1nak<\/a> neveznek, AIX platformon LPAR<\/a>, Linux-okn\u00e1l chroot. Nagyon k\u00edv\u00e1ncsi voltam arra, hogy BSD (ebben az esetben FreeBSD) fronton mik a lehet\u0151s\u00e9gek, ha ilyen ig\u00e9nyeim vannak. Nos, \u00f6r\u00f6m\u00f6mre szolg\u00e1lt, hogy itt sem tal\u00e1lkoztam elmarad\u00e1ssal. A FreeBSD-nek megvan a megold\u00e1sa a virtualiz\u00e1ci\u00f3ra, amit itt jail-nek nevez\u00fcnk, \u00e9s a legegyszer\u0171bb m\u00f3don az ez-jail nev\u0171 porttal menedzselhetj\u00fck.
<\/p>\n\n\n\n

FreeBSD virtualiz\u00e1ci\u00f3 (jail) az ezjail haszn\u00e1lat\u00e1val<\/h2>\n\n\n\n

Mi az a jail?<\/h3>\n\n\n\n

A BSD-szer\u0171 oper\u00e1ci\u00f3s rendszerekben m\u00e1r a 4.2BSD \u00f3ta megtal\u00e1lhat\u00f3 volt a chroot. Ez lehet\u0151v\u00e9 tette adott programok sz\u00e1m\u00e1ra a gy\u00f6k\u00e9rk\u00f6nyvt\u00e1r megv\u00e1ltoztat\u00e1s\u00e1t (saj\u00e1t k\u00f6nyvt\u00e1rstrukt\u00far\u00e1juk volt). Az adott program nem f\u00e9rt hozz\u00e1 a chroot-olt k\u00f6nyvt\u00e1ron k\u00edv\u00fcli r\u00e9szhez, ez biztons\u00e1goss\u00e1 tette ezt. Az id\u0151k folyam\u00e1n azonban biztons\u00e1gi r\u00e9seket fedeztek fel, egyre t\u00f6bb kiskaput tal\u00e1ltak ezek kij\u00e1tsz\u00e1s\u00e1ra, \u00e9s nem utols\u00f3sorban a hangol\u00e1sra sem nagyon volt lehet\u0151s\u00e9g. Ennek kik\u00fcsz\u00f6b\u00f6l\u00e9s\u00e9re sz\u00fcletett a jail alrendszer, mely az el\u0151bb felsoroltakon k\u00edv\u00fcl m\u00e1r kib\u0151v\u00edtette a lehet\u0151s\u00e9geket, pl. a h\u00e1l\u00f3zati alrendszer \u00e9s felhaszn\u00e1l\u00f3k jailben t\u00f6rt\u00e9n\u0151 kezel\u00e9s\u00e9re, ezenk\u00edv\u00fcl a finomhangolhat\u00f3s\u00e1ga is j\u00f3val kiterjedtebb lett. Ez azonban azt is mag\u00e1val vonta, hogy a jailek telep\u00edt\u00e9se, be\u00e1ll\u00edt\u00e1sa, konfigur\u00e1ci\u00f3ja meglehet\u0151sen neh\u00e9zkess\u00e9 v\u00e1lt. Ezt siker\u00fclt megk\u00f6nny\u00edteni az ez-jail nev\u0171 porttal (igaz\u00e1b\u00f3l ez egy script-szer\u0171 tool), mely ezt nagyon egyszer\u0171v\u00e9 teszi.<\/p>\n\n\n\n

N\u00e9zz\u00fck meg a FreeBSD ez-jail-lel install\u00e1lt jailjeinek el\u0151nyeit<\/strong>:<\/p>\n\n\n\n

\u2013 t\u00e1rhely-megtakar\u00edt\u00e1s az\u00e1ltal, hogy egyetlen alaprendszer bin\u00e1ris szettet haszn\u00e1l az \u00f6sszes jail
\u2013 updatelhet\u0151 az \u00f6sszes jail egy base-directoryn bel\u00fcl
\u2013 mivel a base system (bin\u00e1risok) read-only m\u00f3dban vannak csatolva, ez a bet\u00f6r\u0151 dolg\u00e1t nehez\u00edti (ellehetetlen\u00edti), pl. rootkitek eset\u00e9n
\u2013 az ezjail sh scriptk\u00e9nt van \u00edrva, \u00edgy nem sz\u00fcks\u00e9ges b\u00e1rmilyen extra shell telep\u00edt\u00e9se a host-rendszeren
\u2013 attach-detach, backup-restore megoldott<\/p>\n\n\n\n

\u00e9s h\u00e1tr\u00e1nyait<\/strong>:<\/p>\n\n\n\n

\u2013 k\u00f6z\u00f6s bin\u00e1risok (k\u00fcl\u00f6n nem upgradelhet\u0151 jailek)
\u2013 jelenleg k\u00f6r\u00fclm\u00e9nyes, ill. helyenk\u00e9nt nem megoldott a jailek er\u0151forr\u00e1s menedzsmentje
\u2013 az el\u0151bbi miatt amennyiben t\u00f6bb  jailt akarunk futtatni, a CPU kioszt\u00e1s csak affinity alapj\u00e1n lehets\u00e9ges
\u2013 egy base-jailre mindenk\u00e9pp sz\u00fcks\u00e9g van, ez plusz helyet foglal (azonban ez a tov\u00e1bbiakban templatek\u00e9nt haszn\u00e1lhat\u00f3, teh\u00e1t van pozit\u00edvuma is)<\/p>\n\n\n\n

Az els\u0151 l\u00e9p\u00e9sek:<\/h3>\n\n\n\n

Tesztrendszer\u00fcnk egy FreeBSD, annak is 9.0-\u00e1s verzi\u00f3ja, friss portf\u00e1val, egy darab em0-ra hallgat\u00f3 h\u00e1l\u00f3zati csatol\u00f3val. A jailek base-directoryja nagyon szimpl\u00e1n a \/jails lesz, ez azonban ak\u00e1r lehet k\u00fcl\u00f6n filerendszeren is term\u00e9szetesen. Els\u0151 l\u00e9p\u00e9sk\u00e9nt telep\u00edten\u00fcnk kell az ez-jail-t.<\/p>\n\n\n\n

# cd \/usr\/ports\/sysutils\/ezjail
# make install<\/p>\n\n\n\n

Alapesetben maga telep\u00edt\u00e9s k\u00e9sz is. Tegy\u00fck be az \/etc\/rc.conf-ba is, hogy elinduljon rendszerindul\u00e1skor ( ezjail_enable=\u201dYES\u201d ). Sz\u00fcks\u00e9g\u00fcnk van m\u00e9g az ezjail konfigur\u00e1ci\u00f3s f\u00e1jlj\u00e1nak edit\u00e1l\u00e1s\u00e1ra, ez igaz\u00e1b\u00f3l csak egyszer, most az elej\u00e9n sz\u00fcks\u00e9geltetik.<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

\u00c9n csak a jail-ek basedir-j\u00e9t v\u00e1ltoztattam, semmi egyebet. Ha ez megt\u00f6rt\u00e9nt, akkor k\u00e9szen \u00e1llunk arra, hogy install\u00e1ljuk a base-jailt. Erre, norm\u00e1l esetben, egyetlen egyszer van sz\u00fcks\u00e9g a jail haszn\u00e1lat\u00e1n\u00e1l, t\u00f6bbet nem.<\/p>\n\n\n\n

# ezjail-admin install<\/p>\n\n\n\n

\u00c9rdekes dolgokat figyelhet\u00fcnk most meg:<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

L\u00e1tjuk, hogy az install a FreeBSD ftp hely\u00e9r\u0151l let\u00f6lti a jelenlegi verzi\u00f3nknak megfelel\u0151 alaprendszer csomagj\u00e1t, \u00e9s ezt telep\u00edti (mintegy m\u00e1sodszor), csak \u00e9pp most a jail basedir al\u00e1 a basejail k\u00f6nyvt\u00e1rba. A basejail installja valami hasonl\u00f3 m\u00f3don \u00e9r v\u00e9get:<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

A basejail\u00fcnk k\u00e9szen van. Ezzel azonban m\u00e9g nem nyert\u00fck meg a lott\u00f3 5-\u00f6st, hiszen nincs egy darab virtu\u00e1lis rendszer\u00fcnk sem, \u00e9ppen csak felk\u00e9sz\u00edtett\u00fck rendszer\u00fcnket arra, hogy l\u00e9trehozhassuk a val\u00f3ban m\u0171k\u00f6d\u0151 jaileket. \u00c9rdekes lesz megfigyelni, hogy mennyire hasonl\u00edt ennek az eg\u00e9sznek a folyamata \u00e9s az eredm\u00e9nye a Solaris oper\u00e1ci\u00f3s rendszer z\u00f3na<\/a>-szeml\u00e9let\u00e9re (annyira az\u00e9rt nem kifinomult, de ki tudja, tal\u00e1n a j\u00f6v\u0151ben). No, h\u00e1t kre\u00e1ljuk meg az els\u0151 jail\u00fcnket.<\/p>\n\n\n\n

Ehhez l\u00e9tre kell hozni a host system-en az IP c\u00edmet vagy c\u00edmeket aliask\u00e9nt, amin majd az \u00fajonnan l\u00e9trehozott jail\u00fcnk figyelni fog. Fontos megjegyezni, hogy ez azt is jelenti, hogy az olyan szolg\u00e1ltat\u00e1sokat, amik minden IP-n figyelnek (syslogd p\u00e9ld\u00e1ul), a host systemen \u00e1t kell konfigur\u00e1lni, hogy csak a host IP-n figyeljenek (\u00e9rtelemszer\u0171en a jailen ezt NEM kell megtenni, hiszen ott csak egy IP-n \u2013 amit osztottunk- fog figyelni).<\/p>\n\n\n\n

# ipconfig em0 192.168.55.17 alias
# ezjail-admin create -r testjail testjail 192.168.55.17<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Majd a v\u00e9ge valami hasonl\u00f3 lesz:<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

L\u00e1tjuk is a figyelmeztet\u00e9st, \u00e9ppen az eml\u00edtett syslogd-r\u0151l, mely minden IP-n figyel, ezt lesz\u00e1m\u00edtva sikeres volt a jail l\u00e9trehoz\u00e1sa. N\u00e9zz\u00fck meg, a meglev\u0151 \u00e9s \u00fajonnan install\u00e1lt jaileket, erre is van t\u00f6bb m\u00f3d:<\/p>\n\n\n\n

Megn\u00e9zhetj\u00fck az ezjail paranccsal:<\/p>\n\n\n\n

# ezjail-admin list<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Illetve a jls paranccsal:<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

L\u00e1tjuk, a kett\u0151 kimenete, m\u00e1s elrendez\u00e9sben, de megegyezik. Az  STA oszlop alatti DR st\u00e1tusz mutatja, hogy D(irectory tree based jail\u00fcnk) van \u00e9s R(unning), teh\u00e1t fut.<\/p>\n\n\n\n

Pr\u00f3b\u00e1ljuk most ide beloginolni:<\/p>\n\n\n\n

# ezjail-admin console testjail<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Sikeres volt teh\u00e1t az installunk. A jail fut \u00e9s ig\u00e9ny szerint integr\u00e1lhat\u00f3ak bele az ig\u00e9nyeknek megfelel\u0151 alkalmaz\u00e1sok (web, mail, stb. szerverek).<\/p>\n\n\n\n

A jail vagy jailek le\u00e1ll\u00edt\u00e1sa \u00e9s ind\u00edt\u00e1sa a k\u00f6vetkez\u0151k\u00e9ppen t\u00f6rt\u00e9nik:<\/p>\n\n\n\n

# ezjail-admin stop testjail
# ezjail-admin start testjail<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Finomhangol\u00e1s:<\/h3>\n\n\n\n

A jailek be\u00e1ll\u00edt\u00e1sainak finomhangol\u00e1s\u00e1t t\u00falnyom\u00f3r\u00e9szt sysctl v\u00e1ltoz\u00f3kkal v\u00e9gezhetj\u00fck el. A sysctl-en bel\u00fcl egy speci\u00e1lis r\u00e9szf\u00e1ban tal\u00e1lhatunk erre alkalmas be\u00e1ll\u00edt\u00e1sokat: ez a a FreeBSD rendszermag opci\u00f3i k\u00f6z\u00f6tt megtal\u00e1lhat\u00f3 security.jail.*<\/code>. Az al\u00e1bbi k\u00e9pen ezek l\u00e1that\u00f3ak kigy\u0171jtve:<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

\u00d6sszegz\u00e9s:<\/h3>\n\n\n\n

Annak ellen\u00e9re, hogy b\u00e1rmelyik BSD rendszer t\u00e1mogatja a le\u00edrtakban szerepl\u0151 lehet\u0151s\u00e9geket, legk\u00f6nnyebben nekem FreeBSD alatt siker\u00fclt m\u0171k\u00f6d\u00e9sre b\u00edrnom \u2013 itt viszont r\u00f6vid id\u0151 alatt (Open- \u00e9s NetBSD eset\u00e9ben nem fordult le probl\u00e9ma n\u00e9lk\u00fcl, de ez lehetett az \u00e9n figyelmetlens\u00e9gem miatt is). Engem ez a  virtualiz\u00e1ci\u00f3s megval\u00f3s\u00edt\u00e1s legink\u00e1bb a Solaris z\u00f3n\u00e1ira<\/a> eml\u00e9keztetett, ahogy eml\u00edtettem. Vannak m\u00e9g korl\u00e1tok, \u00e9s megold\u00e1sra v\u00e1r\u00f3 probl\u00e9m\u00e1k a BSD virtualiz\u00e1ci\u00f3ban, azonban a jelenlegi eredm\u00e9nyek alapj\u00e1n is \u00edg\u00e9retesnek \u00e9s haszn\u00e1lhat\u00f3nak t\u0171nik a BSD jail.<\/p>\n","protected":false},"excerpt":{"rendered":"

Az eddigi FreeBSD-s \u00edr\u00e1sok ut\u00e1n k\u00f6vetkezzen ugyanebben a t\u00e9m\u00e1ban egy kicsit izgalmasabb  \u00edr\u00e1s, sz\u00f3ljon pedig ez a virtualiz\u00e1ci\u00f3r\u00f3l. Napjainkban m\u00e1r t\u00f6bb oper\u00e1ci\u00f3s rendszer t\u00e1mogatja a virtualiz\u00e1ci\u00f3t nat\u00edvan, k\u00fcl\u00f6nb\u00f6z\u0151 form\u00e1ban, k\u00fcl\u00f6nb\u00f6z\u0151 megold\u00e1sokkal, a terminol\u00f3gia is k\u00fcl\u00f6nb\u00f6z\u0151 lehet. Gondolhatunk itt arra, amit Solaris alatt z\u00f3n\u00e1nak neveznek, AIX platformon LPAR, Linux-okn\u00e1l chroot. Nagyon k\u00edv\u00e1ncsi voltam arra, hogy BSD (ebben az esetben … „FreeBSD virtualiz\u00e1ci\u00f3 az ezjail haszn\u00e1lat\u00e1val”<\/span> b\u0151vebben<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-286","post","type-post","status-publish","format-standard","hentry","category-blogpost"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=\/wp\/v2\/posts\/286","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=286"}],"version-history":[{"count":1,"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=\/wp\/v2\/posts\/286\/revisions"}],"predecessor-version":[{"id":287,"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=\/wp\/v2\/posts\/286\/revisions\/287"}],"wp:attachment":[{"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=286"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=286"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.opencomp.hu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=286"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}