manページ  — JAIL

詳細は jail(2) のマニュアルページを参照してください。

D=/here/is/the/jail
cd /usr/src
mkdir -p $D
make world DESTDIR=$D
cd etc
make distribution DESTDIR=$D
mount_devfs devfs $D/dev
cd $D
ln -sf dev/null kernel

注: jail に対し、devfs 中の適切なデバイスのみが見えるようになっている ことが重要です。 jail 中でのディスクデバイスへのアクセスを許すと、 jail 中のプロセスが jail 外のファイルを修正することで、 jail の砂箱を通り抜けてしまうかもしれません。 devfs ルールを使用することで、 jail 毎の devfs 中のエントリへのアクセスを制限する方法については、 devfs(8) を参照してください。

多くの場合、この例の方法では、 必要をはるかに越えた数のものを jail に入れてしまうでしょう。 もう一方の極端な例では、jail はただ 1 個のファイルのみを保持します: すなわち jail の中で実行する実行形式 1 個だけです。

"太い" jail から開始して動かなくなるまで徐々にものを削除していく方が、 "細い" jail から開始して動くようになるまで徐々にものを追加していくよりも かなり簡単ですので、試すにはお勧めですが、また用心することもお勧めします。

sendmail_enable="NO"
inetd_flags="-wW -a 192.168.11.23"
rpcbind_enable="NO"

この例では、 192.168.11.23 はホストシステムの元々の IP アドレスです。 inetd(8) から実行されるデーモンは、指定されたホスト IP アドレスを使用するよう、 簡単に設定可能です。 他のデーモンは手動での設定が必要です — いくつかに対しては、 rc.conf(5) フラグエントリにて可能ですが、他のものに対してはアプリケーション毎の 設定ファイルをいじるか、再コンパイルが必要です。 次のよく使われるサービスは、個別の設定ファイルを修正して、 アプリケーションが特定の IP アドレスだけを listen するようにすべきです:

sshd(8) の設定には /etc/ssh/sshd_config の修正が必要です。

sendmail(8) の設定には /etc/mail/sendmail.cf の修正が必要です。

named(8) の設定には /etc/namedb/named.conf の修正が必要です。

さらに、多くのサービスは、ホスト環境で動作させるために、 再コンパイルが必要です。 これには、 rpcbind(8), nfsd(8), mountd(8) といった、 rpc(3) を使用してサービスを提供するほとんどのアプリケーションが含まれます。 一般に、bind する IP アドレスを指定不可能なアプリケーションは、 jail IP アドレスに対して送られた要求にもそれらがサービスするのでない限り、 ホスト環境で実行すべきではありません。 ホスト環境からの NFS にサービスしようとすると、 混乱が生じるかもしれませんし、 特定の IP だけを使用するようには簡単には再設定できません。 これは、NFS のサービスには、直接カーネルが実行するものがあるからです。 ホスト環境内で動作している すべてのサードパーティネットワークソフトウェアもまた確認および設定して、 すべての IP アドレスに bind しないようにすべきです。 結果として、これらのサービスもまた、 jail 環境から提供されているように見えるでしょう。

ひとたびこれらのデーモンが無効化またはホスト環境内に固定化されたなら、 後の混乱 (jail へメールを送るときに、jail の sendmail がダウンしていて、 メールがホストへ配送されてしまうなど) の可能性を減らすために、 リブートして全デーモンが既知の状態となるようにするのが最良です。

• 空の /etc/fstab を作成し、fstab が存在しないという起動警告を解消します (仮想サーバのみ)。
• ポートマッパを無効化します ( /etc/rc.conf: rpcbind_enable="NO") (仮想サーバのみ)。
• newaliases(1) を実行し、 sendmail(8) の警告を解消します。
• インタフェース設定を無効化し、 ifconfig(8) 関連の起動警告を解消します (network_interfaces="") (仮想サーバのみ)。
• /etc/resolv.conf を設定し、jail 内の名前解決が正しく動作するようにします。
• root のパスワードを設定します。 実ホストシステムとは異なっても良いです。
• タイムゾーンを設定します。
• jail 環境内のユーザにユーザアカウントを追加します。
• jail 環境に必要なパッケージを追加します。

パッケージ固有の設定 (ウェブサーバや SSH サーバ等) や、 好みのログを取るための /etc/syslog.conf の修正等を行ってください。 仮想サーバを使っていない場合、ホスト環境の syslogd(8) が jail 環境の syslog ソケットを listen するように変更したいかもしれません。 この例では、syslog ソケットは /data/jail/192.168.11.100/var/run/log に格納されます。

シェルから抜ければ、jail はシャットダウンします。

ifconfig ed0 inet alias 192.168.11.100/32
mount -t procfs proc /data/jail/192.168.11.100/proc
jail /data/jail/192.168.11.100 testhostname 192.168.11.100 \
        /bin/sh /etc/rc

ほとんどの sysctl(8) 設定変数は jail 内から設定不可であるため、若干の警告が表示されます。 なぜなら、 これらの設定変数は、すべての jail 環境とホスト環境に渡って大域的だからです。 しかしながら、すべて正しく動作することでしょう。 inetd(8), syslogd(8) および他のプロセスが jail 内で動作していることは、 ps(1) を使用することにより、jail されたプロセスの横に ‘J’ フラグが付いていることにより確認可能です。 jail のアクティブリストを見るには jls(8) ユーティリティを使用します。 jail された環境へは、ホスト名または IP アドレスで telnet(1) 可能であり、 前述の手順で作成したアカウントを使用してログイン可能です。

kill -TERM -1
kill -KILL -1

これにより、 SIGTERM または SIGKILL のシグナルを、jail 内から jail 内の全プロセスに通知します。 jail の用途に依存して、jail 内で /etc/rc.shutdown を実行したいかもしれません。 jail 外からプロセスを殺すには、 jexec(8) ユーティリティを上述の kill(1) コマンドと組み合わせて使用するか、 killall(1) ユーティリティを -j オプション付きで使用します。

/proc/pid /status ファイルの最後のフィールドには、 プロセスが動作している jail のホスト名か、 このプロセスが jail 内で動作していないことを示すために "-" を含みます。 ps(1) コマンドもまた、jail 内のプロセスに対して ‘J’ フラグを示します。 しかし、jail 用のホスト名はデフォルトでは jail 内から書き換え可能であるため、 デフォルトでは /proc の status エントリは信頼できません。 jail 内からのホスト名設定を禁ずるには、ホスト環境の sysctl 変数 security.jail.set_hostname_allowed を 0 に設定します。 これはすべての jail に影響します。 sysctl.conf(5) を使うことにより、ブートのたびにこの sysctl 設定を行えます。 次の行を /etc/sysctl.conf に追加するだけです:

    security.jail.set_hostname_allowed=0

現在、jail 毎の設定を保持する 2 個の MIB 関係変数があります。 jail 内のプロセスによるこれらの変数の変更は、ホスト環境には影響せず、 jail 環境に対してのみ影響します。 変数名は kern.securelevel と kern.hostname です。

Robert Watson が追加の文書を書き、少々バグを見つけ、 新規機能を少々追加し、ユーザランドの jail 環境を綺麗にしました。