创建tiny jail成功了，但是网络配置这块，jail里只能ping通外面，而无法pkg更新软件。本文章是这篇文章Jail管理器AppJail的使用@FreeBSD-CSDN博客的网络篇。
首先host主机配置pf防火墙
参考这里：Packet Filter - AppJail Handbook
在/etc/rc.conf文件中添加
pf_enable="YES"
pflog_enable="YES"当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了：
sysrc pf_enable="YES"
sysrc pflog_enable="YES"配置防火墙的基本规则，在/etc/pf.conf文件中写入：
tcp_services = "{ ssh, smtp, domain, www, pop3, auth, pop3s }"
udp_services = "{ domain }"
block all
pass out proto tcp to any port $tcp_services keep state
pass proto udp to any port $udp_services keep state
pass in proto tcp to any port $tcp_services keep state
pass inet proto icmp from any to any基本pf配置完成后，再配置pf可以转发ip
# To forward IPv6 traffic
sysctl net.inet.ip.forwarding=1
# To forward IPv6 traffic, use:
sysctl net.inet6.ip6.forwarding=1
# To enable these settings at system boot, use sysrc(8) to add them to /etc/rc.conf:
sysrc gateway_enable=yes
sysrc ipv6_gateway_enable=yes配置好后重启
service pf restart
注意若pf配置失误可能导致ssh连不上
为AppJail进行网络配置
若要使用网络，首先需要在FreeBSD pf创建anchors（锚点）。之所以选择pf防火墙软件，是因为在FreeBSD中最流行以及在手册里排在第一位的就是pf 。在/etc/pf.conf文件中添加如下语句：
nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"前面pf中已经做过的操作
在/etc/rc.conf文件中添加
pf_enable="YES" pflog_enable="YES"当然也选择使用sysrc命令添加，这样就不需要再进入编辑器了：
sysrc pf_enable="YES" sysrc pflog_enable="YES"
重启服务
service pf restart
注意若pf配置失误可能导致ssh连不上
nat网络配置
appjail nat add network web
appjail nat on network web
appjail nat boot on network web这样创建好后，jail里就可以调用web网络使用nat通信了，也就是外网通了。
创建nginx tiny jail
参考这里：Tiny Jails - AppJail Handbook
创建pkg.sh文件
先写一个pkg.sh文件，内容如下：
#!/bin/sh
main()
{
local jail="$1" package="$2"
if [ -z "${jail}" -o -z "${package}" ]; then
echo "usage: pkg.sh jail package" >&2
exit 64
fi
get_depends "${jail}" "${package}" | while IFS= read -r _package
do
pkg -j "${jail}" query "%Fp" -- "${_package}"
done
}
get_depends()
{
_get_depends "$@" | sort | uniq
}
_get_depends()
{
local jail="$1" package="$2"
if [ -z "${jail}" -o -z "${package}" ]; then
echo "usage: get_depends jail package" >&2
exit 64
fi
pkg -j "${jail}" query '%dn-%dv' -- "${package}" | while IFS= read -r _package
do
get_depends "${jail}" "${_package}"
done
printf "%s\n" "${package}"
}
main "$@"将pkg.sh文件设置为可执行：chmod 755 pkg.sh
创建web网段
appjail network add web 10.0.0.0/24
appjail network add web 10.0.0.0/24创建nginx的镜像:nginx.lst
# 创建web网段
appjail network add web 10.0.0.0/24
# 创建nginx的镜像:nginx.lst
appjail quick nginx virtualnet="web:nginx default" nat expose=80 start overwrite
appjail pkg jail nginx install -y nginx
./pkg.sh nginx nginx > nginx.lst这里止步于appjail pkg jail nginx install -y nginx
以下内容还未调试通过
Before we can export the jail, we need to edit the list to add the
/usr/local/wwwand/usr/local/etc/nginxdirectories and not just add the*-distfiles.appjail stop nginx appjail jail create -I tiny+export="files:nginx.lst output:nginx.appjail compress:xz" nginxThe template is not included, so we can use the
bridge.conftemplate and edit its required parameters.appjail jail create -t /usr/local/share/examples/appjail/templates/bridge.conf -I tiny+import=nginx.appjail tinynginx appjail-config set -j tinynginx '${iface}=nginx' appjail-config set -j tinynginx '${ext_iface}=em0' appjail-config set -j tinynginx devfs_ruleset=10 appjail start tinynginxNow, a bit of post-processing:
# appjail sysrc jail tinynginx ifconfig_sb_nginx="SYNCDHCP" ... # appjail cmd jexec tinynginx service netif start ... # appjail cmd jexec tinynginx mkdir -p /var/log/nginx # appjail cmd jexec tinynginx ln -s /usr/local/www/nginx-dist /usr/local/www/nginx # appjail cmd jexec tinynginx service nginx oneenable ... # appjail cmd jexec tinynginx service nginx start ... # fetch -qo - http://192.168.1.104 <!DOCTYPE html> <html> <head> <title>Welcome to nginx!</title> ...
总结
AppJail的配置不算很难，但是手册写的太零散，需要自己穿针引线。尤其是网络这块，别的软件一般都有个快速手册，按照快速手册能基本用起来。但是AppJail的快速手册里的jail起来之后是没有网络的，而网络部分需要自己去看说明书，而且各个技术细节还是分开讲......
也许是AppJail功能太强大的缘故，不适合快速入门。先暂时到这里，目前的情况就是jail能ping通外面，但是无法pkg外网，导致不能装wget、 curl 以及 lynx等，也就是无法实用。
在jail内部使用ifconfig igb0 10.0.0.3 netmask 255.255.255.0 也没有成功。用命令：appjail start myjail virtualnet="web:nginx default" nat start overwrite 起另一个jail，结果起来之后还是没有网络配置....
好吧，就到这里吧，用cbsd管理试试。
调试
nginx虚拟机启动时报错equires appjail-nat/jail/*
[00:00:35] [ debug ] [nginx] Setting NAT rule: network:web ext_if:igb0 logopts:0 () on_if:igb0
[00:00:40] [ error ] [nginx] The nat command requires appjail-nat/jail/* and appjail-nat/network/* anchors to work.
原来是先要配置pf防火墙，并在/etc/pf.conf文件中加入这三句：
nat-anchor "appjail-nat/jail/*"
nat-anchor "appjail-nat/network/*"
rdr-anchor "appjail-rdr/*"
pf防火墙重启后连不上了
最不想看到的事情，结果还是发生了。防火墙重启后ssh连不上了，ping也不通，不知道系统怎么回事了。只能到控制台去看了，其实就是防火墙把自己给防了...
加了一条规则，允许连这台主机的一些服务端口：
pass in proto tcp to any port $tcp_services keep state
同时也加了一条允许ping的：
pass inet proto icmp from any to any
报错Unable to update repository FreeBSD
执行appjail pkg jail nginx install -y nginx ，结果报错：
Updating FreeBSD repository catalogue...
pkg: An error occured while fetching package
pkg: An error occured while fetching package
repository FreeBSD has no meta file, using default settings
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
pkg: An error occured while fetching package
Unable to update repository FreeBSD
Error updating repositories!
怀疑是jail系统里网络不通...
appjail login nginx 进入系统，发现能ping通
执行pkg search命令，发现提示:
root@nginx:~ # pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: n
所以问题就是pkg安装的时候有个选项导致没有进行下一步？
尝试解决方法，执行这个命令：
appjail cmd jexec nginx pkg search nginx
按照提示按一下y
外部执行命令appjail cmd jexec nginx pkg search nginx卡住
需要修改pkg？
mkdir -p /usr/local/etc/pkg/repos
echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf
也就是：
appjail cmd jexec nginx mkdir -p /usr/local/etc/pkg/repos
root@fbhost:~ # appjail cmd jexec nginx echo "FreeBSD: { enabled: no }" > /usr/local/etc/pkg/repos/FreeBSD.conf
再次执行：appjail cmd jexec nginx pkg search nginx
不行。怀疑是不是pf防火墙，把防火墙放开：
pass out proto tcp to any keep state
首先弄明白前面操作不起作用的原因了：
两条指令都只对host主机起了作用（确切的说是目录创建对jail生效了，第二条指令只对host主机起作用了），没有修改jail虚拟机的设置。
其次不能设为no，那样就无法pkg 安装软件了。
首先把host主机的/usr/local/etc/pkg/repos/FreeBSD.conf删掉或者把no改成yes （刚才第二句导致的结果）。
生成备份镜像以便做实验
appjail image export -t py -c zstd nginx
生成文件：Saved as /usr/local/appjail/cache/images/nginx/py-amd64-image.appjail
这样万一把这个jail弄崩了，可以直接用备份镜像创建新jail！
在nginx jail内部pkg search 也卡住
pkg search nginx
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: y
Bootstrapping pkg from pkg+https://pkg.FreeBSD.org/FreeBSD:14:amd64/quarterly, please wait...
所以是jail内部pkg本身就没执行成功，这是个问题....
暂时问题搁置。
jail内部配置网络ifconfig igb0 10.0.0.3 netmask 255.255.255.0 报错
ifconfig igb0 10.0.0.3 netmask 255.255.255.0
ifconfig: socket(family 2,SOCK_DGRAM): Protocol not supported
可能不支持内部配置？ 只能通过appjail命令来设置？
比着葫芦画瓢，使用这个命令来起jail：appjail start myjail virtualnet="web:nginx default" nat start overwrite
结果里面也是没有ip的....
扫一扫
4260
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
