[GUIDE]Jails in FreeBSD: Services "einsperren"

Zunächst einmal: Wofür Jails?

Mit Jails kann man einzelne Prozesse aber auch eine gesammte FreeBSD-Distribution "einsperren". Das bedeutet, dass alles innerhalb der Jails keinen Zugriff auf den Host oder andere Jails hat, aber trotzdem eine meist vollständige Umgebung bietet.
Jede Jail verfügt über:

ein eigenes Benutzer-System (deswegen eigener "root")
eine eigene IP-Addresse
eine vollständig funktionsfähige FBSD-Umgebung
absolute Kontrolle des Hosts über die Jails

also eine Menge Sicherheit...
Nun kann man beispielsweise folgendes System aufbauen:

Host: Betreibt nur die Jails (+ evtl. Firewall)
->Jail "Metin": Betreibt den M2-Server
->Jail "Web": Betreibt den Webserver sammt PHP etc.
->Jail "MySQL": Betreibt die MySQL-Datenbank für Server und Homepage

Somit ist es unmöglich auf andere Systemkomponenten oder Dienste Zugriff zu erlangen wenn man eine dieser Jails komprommitiert ("übernommen") hat - erst recht hat man dann noch immer nicht "root"-Zugriff auf dem System...

Voraussetzung ist, dass man mindestens eine zusätzliche IP-Adresse pro Jail hat!
Mithilfe von Port-Forwarding und NAT kann man diese Voraussetzung umgehen - evtl. folgt dazu ein Guide...

Ezjail installieren:

Spoiler

Code:

test2# cd /usr/ports/sysutils/ezjail
test2# make install clean

Dannach neu per SSH (PuTTY) verbinden, damit der neu installierte Befehl bekannt ist.

BaseJail einrichten:

Spoiler

Die Basejail ist die Vorlage für alle späteren Jails. Dateien, die nur gelesen werden müssen und bei allen Jails gleich sind,
werden hier zentral gespeichert - somit spart man einiges an Speicherplatz auf der Festplatte.

Code:

test2# ezjail-admin install -p -m

Nun lädt ezjail einige Archive herunter, die eine Minimal-Version von FreeBSD enthalten.
Mit den Parametern "-p" und "-m" werden die Ports-Colllection und die Manual-Pages mitinstalliert (optional aber empfohlen).
Bei 64bit-Systemen werden außerdem die 32bit-Libs automatisch heruntergeladen und installiert.

Netzwerkverbindung für die Jails

Spoiler

Damit jede Jail eine eigene IP-Addresse verwenden kann, muss jede verwendete IP-Addresse zunächst zur Konfiguration des
Hauptservers hinzugefügt werden:
Zunächst müsst ihr den Namen der Netzwerkkarte kennen:

Öffnet die Datei "/etc/rc.conf" und sucht nach etwa folgender Zeile:

Code:

test2# ee /etc/rc.conf

#Folgende Zeile suchen:

ifconfig_le0="inet xxx.xxx.xxx.xxx netmask ..."

Die Abkürzung wie "le0" oder "em0" ist der Name eurer Netzwerkkarte.

Nun ergänzt am Ende der Datei folgende Zeilen:

Code:

syslogd_flags="-s -s" #For no listening
ifconfig_<Name der Netzwerkkarte>_alias<Aliasnummer>="inet <IP-Addresse> netmask 255.255.255.255"

Dabei setzt ihr ein:
<Name der Netzwerkkarte>: die entsprechende Abkürzung
<Aliasnummer>: Nummerierung - diese beginnt bei 0 und muss für jede weitere IP-Addresse fortgesetzt werden.
<IP-Addresse>: Eure zusätzliche IP-Addresse

Beendet nun den Editor mit ESCAPE >> "leave editor" >> "save changes"

Nun erstellt ihr in der BaseJail noch die Datei mit Informationen über die Nameserver zur Auflösung von Domains:

Code:

test2# echo "nameserver 8.8.8.8" >> /usr/jails/newjail/etc/resolv.conf
test2# echo "nameserver 8.8.4.4" >> /usr/jails/newjail/etc/resolv.conf

In diesem Fall verwende ich die Nameserver von Google ("8.8.8.8" und "8.8.4.4")

Schließlich müsst ihr für die Jails Sockets erlauben, um zum Beispiel "ping" benutzen zu können:

Code:

test2# echo 'security.jail.allow_raw_sockets=1' >>  /etc/sysctl.conf

Nun habt ihr eine zusätzliche IP-Addresse auf eurem System eingerichtet.

Nun müsst ihr einmal euren Server rebooten. Überprüft am besten vorher nochmal alle Änderungen, die ihr in der Datei "rc.conf" gemacht habt!

SSH (per PuTTY) für alle Jails einrichten

Spoiler

Um SSH-Zugriff für alle Jails zu ermöglichen, müsst ihr für die späteren Jails den SSH-Daemon ("SSH-Server") einrichten, dazu tut ihr folgendes:

Code:

test2# ee /usr/jails/newjail/etc/ssh/sshd_config

Nun sucht ihr in dieser Datei nach diesen Zeilen:

Code:

#Port 22

und

#PermitRootLogin no

Diese ändert ihr zu

Code:

Port 2222

und

PermitRootLogin yes

und speichert mit ESC >> "leave editor" >> "save changes".
Damit ist der SSH-Login der Jails später über Port 2222 erreichbar.

Schließlich stellt ihr in der Datei "rc.conf" ein, dass SSHD beim Start der Jail mitgestartet werden soll:

Code:

test2# echo 'sshd_enable="YES"' >> /usr/jails/newjail/etc/rc.conf

So könnt ihr euch später an den Jails über SSH als "root" anmelden.

Eine Jail erstellen

Spoiler

Nachdem ihr nun eine IP-Addresse für die neue Jail eingerichtet habt, erstellt ihr die Jail mit

Code:

test2# ezjail-admin create <Name der Jail> <IP-Addresse>

Dabei wählt ihr einen beliebigen Namen für die Jail und gebt die gerade hinzugefügte IP-Addresse an.

Jails benutzen

Spoiler

Bevor ihr euch nach dem Erstellen der Jail über SSH anmelden könnt, müsst ihr das "root"-Passwort festlegen:

Code:

test2# ezjail-admin console -e passwd <Jailname>

Dann gebt ihr euer gewünschtes "root"-Passwort für die Jail ein und bestätigt es erneut.

Nun ist es soweit: ihr könnt euch zum ersten mal über SSH an der Jail anmelden!
Aber es kommt noch mehr: Sollen die Jails beim Start des Servers automatisch mitgestartet werden? Dann sieh weiter unten nach!

Jails automatisch starten

Spoiler

Um alle Jails beim Systemstart automatisch starten zu lassen, reicht es folgenden Befehl auf dem Host auszuführen:

Code:

test2# echo 'ezjail_enable="YES"' >> /etc/rc.conf

Zusätzliches

Spoiler

Befehle zum Verwalten der Jails:

Code:

test2# ezjail-admin start <Jailname>   //Startet die angegebene  Jail - wird kein Jailname angegeben, werden alle Jaiös gestartet
test2# ezjail-admin stop <Jailname>   //Stopt die angegebene (oder alle) Jails - funktioniert wie "start" 
test2# ezjail-admin console <Jailname>   //Ohne Angabe des -e Parameters: Öffnet eine Konsole der angegeben Jail
test2# ezjail-admin console -e <Befehl> <Jailname>   //Mit  Angabe des -e Parameters: Führt den angegeben Befehl auf der angegeben  Jail aus
test2# ezjail-admin create <Jailname> <IP-Addresse>    //Erstellt eine Jail mit angegebenem Namen und mit der angegebenen  IP-Addresse - diese sollte zuvor in "rc.conf" eingetragen sein
test2# ezjail-admin delete -w <Jailname>   //Löscht die angegebene  Jail sowie alle ihre Dateien - Ohne -w Parameter: Dateien bleiben  erhalten

Anmerkung zu "start": Wird ezjail nicht automatisch gestartet (siehe "Jails automatisch starten"), so muss "one" vorangestellt werden: "onestart"

Der komplette Guide wurde zwei mal komplett von mir auf virtuellen Maschinen getestet!

Kommentar

Spoiler

Auch wenn dieser Guide eigentlich nichts mit Metin2 zu tun hat - muss man zugeben, dass mindestens 80% der FreeBSD-Benutzer hier aus dem PServer-Bereich kommen...

Unter Umständen könnte ich auch vereinzelt "Privatunterricht" erteilen oder das Jail-System auf eurem Server einrichten. Einfach per PN melden...

Greetz M@shkin