VitePress 镜像站QQ 群 787969044视频教程Ⅰ视频教程Ⅱ
编辑

11.4 Linux Jail

准备工作

本文会把所有 jail 绑定到虚拟接口 lo1 上，所有的 jail 等同于位于 FreeBSD 下的一个局域网中，FreeBSD 主机相当于该局域网的网关。

所有 jail 的网络活动须经过网络接口 lo1，所以要使用网络就须做网络转发，这里使用 pf 防火墙完成这个工作。

注意

这是获取网络访问的关键。

准备网络接口

# sysrc cloned_interfaces+="lo1" # 增加一个克隆的网络接口 lo1
# service netif cloneup          # 启用克隆的网络接口

准备 pf 防火墙

这里提供两种方式进行配置，请按需选用。

方法一

编辑 /etc/pf.conf，加入：

table <jails> persist
nat pass on em0 inet from <jails> to any -> em0

在防火墙中建立名为 jails 的表，并指定 persist 标志使防火墙总是维持这个表（即使没有相关的规则引用它）。

“表”是 pf 防火墙的一种命名结构，可保存地址和网络的集合。jails 表中的地址可以通过 NAT 访问网络。

可以用 pfctl 对 jails 表进行增减以达到控制网络访问的目的。如：

  • pfctl -t jails -T add 192.168.5.1 把 192.168.5.1 加入 jails 表使其可以访问网络

  • pfctl -t jails -T delete 192.168.5.1 把 192.168.5.1 移出 jails 表使其无法访问网络。

特点是手动管理麻烦，但灵活。

方法二

直接在 /etc/pf.conf 中写下规则：

以允许 192.168.5.1 访问网络，特点是规则固化在配置中，没有特别的需求的话这个挺方便的。

启用 pf 防火墙

警告

无论你想不想使用防火墙，不这样设置你在 Jail 中都没有网络。

加载必要的 Linux 兼容层内核模块

这种方式可自动完成 linux 兼容层各个模块的加载

准备目录

创建 debian jail

下载基本系统

这里以 Debian 12(bookworm) 为例：

构建 Ubuntu/Debian

示例输出，如下：

注意

末尾可能会提示有错误，无视即可。

创建 debian jail 实例

现在用 Debian 12 基本系统创建 jail 实例，命名为 debian。

实例的基本配置

创建 /etc/fstab.debian，内容如下：

在 /etc/jail.conf 中，加入以下内容（若无则新建）：

  • exec.start 指定启动 jail 时运行的命令。

如果是 freebsd 做 jail 一般是 exec.start = 'sh /etc/rc'，即使用 FreeBSD 的 rc 系统启动服务。

但是 debian 中使用的是 systemd 作为 init 系统。jail 并不能使用 systemd，所以不能使用相应的命令（service 命令可用），所以在这里用 /bin/true 不做任何事安全的返回 true 就可以。

问题就是（以 sshd 服务为例）在 debian jail 中启用 sshd 服务后（ service ssh start ）, 如果重启 debian jail，那么 sshd 服务不会再次随 jail 启动而启动。这时可以写成 exec.start = 'service ssh start'。这样启动 debian jail 时可以启动 sshd 服务。

如果要启用更多的服务，则可以编写如下：

  • exec.stop 停止 jail 时运行的命令。

如果是 freebsd 做 jail 一般是 sh /etc/rc.shutdown jail。

这里同样因为 systemd 的原因用 /bin/true 安全的返回 true 就可以。

启用实例，允许网络访问

  • 启动 jail

  • 停止 jail

  • 在 pf 防火墙中的 jails 表中加入 jail 的地址，以允许 jail 访问网络：

更新系统

执行：

或者使用

至此，一个基于 Debian 12 的 linux jail 已经成功建立，同样的方法可以建立基于 debian 和 ubuntu 各版本的多个 jail。

jail 开机自启

开机时启动 jail

默认启动所有 jail。

另外可以在 /etc/rc.conf 中用 jail_list 变量指定在开机时启动的 jail 的名字，编辑 /etc/rc.conf 写入：

或执行

如果 jail_list 变量为空，则会启动所有在 /etc/jail.conf 中配置的 jail。

创建 Ubuntu jail

ubuntu jail 建立方法同上，以 Ubuntu 22.04(jammy) 为例，

构建基本系统并配置

创建 /etc/fstab.ubuntu，内容如下：

在 /etc/jail.conf 中写入 ubuntu 的配置，如下：

启用实例并允许网络访问

如果已经在 /etc/rc.conf 中设置过 jail_enable=YES，也可以用

开机启动可以参考 debian jail，执行

在 pf 防火墙中的 jails 表中加入 jail 的地址，以允许 jail 访问网络：

更新系统

或者使用

过程和同 debian jail。

创建 AntiX linux jail

AntiX 基于 debian，且不使用 systemd。

下载镜像文件并解压

先安装 squashfs-tools 以解压 linux 文件系统镜像。

AntiX linux 提供四个镜像版本，full、base、core、net，这里下载 core 版本：

配置 Antix jail

创建 /etc/fstab.antix，内容如下：

在 /etc/jail.conf 中写入 (这里只展示 antix 相关部分)

这里 exec.start 设为 /etc/init.d/rc 3。

在 debian jail 部分已经提到，debian 使用 systemd 做初始化系统。这在 jail 中不能使用，所以用 /bin/true 启动，以保证什么都不做，只是安全返回 true 值。

antiX 不使用 systemd 做初始化系统，可以用 rc 进行初始化：在这里 /etc/init.d/rc 3 指定 antix jail 在启动时使用 rc 以第 3 运行级别初始化 jail。即在 debian jail 中提到的服务运行问题在这里并不存在（即可以直接在 jail 启动时运行服务，比如 sshd）。

更新系统

  • 设置开机自启，然后启动

  • 在 pf 中允许网络访问，方法同上。

  • 现在进入 jail：

创建 Alpine jail

  • 构建基本系统

  • 创建 /etc/fstab.alpine，内容如下：

  • 在 /etc/jail.conf 中写入，

  • 设置开机启动，然后启动

  • 在 pf 中允许网络访问，方法同上。

  • 现在进入 jail：

  • 修改 /etc/jail.conf 中 alpine 的配置：

  • 重启 alpine

jail 中的 GUI

本文环境：Windows 10 物理机，在 virtualbox 安装了 FreeBSD 13.1 虚拟机。

在 FreeBSD 虚拟机中已部署了 4 个 jail，如下。这里有一个 freebsd jail，为和 virtualbox 中的 FreeBSD 虚拟机作区分，我们称其为 freebsd-jail：

Windows 10 物理机 ⇨ FreeBSD 13.1 虚拟机 ⇨ FreeBSD Jail（freebsd-jail） + Debian Jail + Ubuntu Jail + Alpine Jail。

在这 4 个 jail 中分别安装 xclock、firefox、chrome、jwm 这几款软件。

在 freebsd-jail、debian、ubuntu、alpine( alpine 使用 vnc 方法不成功，其它方法 xclock、xterm 可运行，firefox 和 chrome 未成功) 都成功了，jwm 用于美化。

技巧

不用安装 xorg。

其中，在 ubuntu 22.04，firefox、chrome 要求用 snap 安装，snap 需要 systemd，不能使用，所以使用 deb 包安装。方法如下：

带 X Server 的终端

这里使用 MobaXterm。MobaXterm 默认配置，无多余配置。

确保 X server 已经启用，记下 DISPLAY 值，格式是 hostname:displaynumber.screennumber 这里是 192.168.56.1:0.0

登录 jail（不限方式，可以是 ssh，可以是 jexec；不限用户，可以是普通用户，不一定是 root、wheel 组成员）

4 个 xclock 可独立显示在 Windows 10 桌面上，效果比较理想。

内嵌 X Server

X Server 里的 X Server，这里使用 Xnest/Xephyr、Xnest/Xephyr 对 X11 应用来说是 X Server，对宿主 X Server 来说是 X Client。

  • FreeBSD 虚拟机里安装 Xnest 或 Xephyr。两者择其一即可：

或者

  • 在 FreeBSD 中启用

  • :1 即上面提到了 DISPLAY 值中的 displaynumber。FreeBSD 系统 IP 为 10.0.2.15，所以完整的 DISPLAY 值为 10.0.2.15:1.0。因为 FreeBSD 系统 X Server 的 displaynumber 值为 0，所以从 1 开始

  • -listen tcp 侦听 TCP 端口

  • 在 4 个 jail 中，采取上面相同的方法

四个 jail 可以同时在 FreeBSD 开启的一个 Xnest/Xephyr 窗口中打开 xclock。但是此时的 xclock 因为没有窗口管理器，界面丑，且连最基本的拖动都做不到。可以在执行 xclock 前先执行 jwm，如下。

这里注意 jwm & 执行一次够了，不需要每个 jail 都去执行。这里用 jwm 只是看中其轻量级，xfce 等也是可以的。可以自行尝试。

共享主机 socket 方式

  • 先在 FreeBSD 系统上执行

  • 关闭访问控制：

然后在 jail 的 fstab 中加入下面内容，这里以 ubuntu jail 的 fstab 为例，其它 jail 参照修改即可。

必要时先 mkdir -p /usr/jails/ubuntu/tmp/.X11-unix，确保有挂载点。

重启 jail 后，在 jail 中执行：

上文提到 fstab 文件中有下面这样一行

虽然很多教程中有这样写，但我认为是不安全的，所以注释掉不用。如果这么写，那么 FreeBSD 的 /tmp 目录都将暴露在 jail 中，且因为是可读写的：在 jail 中就可以对 FreeBSD 的 /tmp 目录进行写入。这样就破坏了 jail 与 FreeBSD 的隔离性，是不安全的。而仅读挂载 /tmp/.X11-unix，则大大提高了安全性。

X Server tcp 侦听加 xhost 连接管理

这里我使用的是 sddm 桌面管理器，使用其它桌面管理器的，请参考相应桌面管理器的文档进行，原理一样。

在 FreeBSD 内新建 /usr/local/etc/sddm.conf（如果没有的话），修改 ServerArguments 内容如下：

重启后，FreeBSD 上用下面方式加入 jail IP 以允许访问 (无需 root 权限）：

然后在 jail 中，执行：

  • 这里把 DISPLAY 设为 :0.0、127.0.0.1:0.0、10.0.2.15:0.0 都成功了，上面几种方法也可以一一尝试。

VNC

在 jail 中安装 vnc server，可以用 tightvnc-server，也可以用 tigervnc-server，这里以 debian jail 为例，在 jail 中执行

使用 vnc 客户端登录

备注

宿主机 X Server tcp 侦听加 xhost 连接管理的方式是安全性最差的一种，是 tcp 侦听默认关闭原因之一。

共享宿主机 socket 的方式注意上面提到的两点安全性还是有保障的。

前 4 种方法算是“回字的 4 种写法”，都算是 X Server 连接的变体。带 X Server 的终端和共享 socket 的方式之外，其它三种方式最好在 jail 内再搭配个桌面。

带 X Server 的终端、共享主机 socket、vnc 这三种方式比较推荐。无论哪个方式，linux jail 中不要要求每个 X 应用都能运行，那真的很难做到，毕竟兼容层不是百分百兼容，freebsd jail 的话就好很多。

除去共享宿主机 socket 的方法，其它方法都是可以应用的非 jail 环境的。

参考资料

其他更多可以运行的软件及方法见 https://wiki.freebsd.org/LinuxApps。

网站：

上一页11.3 使用 Qjail 管理 Jail下一页12.1 通过 BVCP 以网页管理 BHyve

最后更新于

这有帮助吗？