Глава 3. Основы FreeBSD

Хотя системную консоль можно использовать для взаимодействия с системой, пользователь, работающий из командной строки на клавиатуре FreeBSD, обычно вместо этого входит в виртуальную консоль. Это связано с тем, что системные сообщения по умолчанию настроены на отображение на системной консоли. Эти сообщения будут появляться поверх команды или файла, с которыми работает пользователь, что затрудняет концентрацию на текущей задаче.

По умолчанию FreeBSD настроена для предоставления нескольких виртуальных консолей для ввода команд. Каждая виртуальная консоль имеет собственную приглашение для входа и оболочку, и переключение между виртуальными консолями осуществляется легко. Это, по сути, предоставляет эквивалент командной строки для одновременного открытия нескольких окон в графической среде.

Сочетания клавиш Alt+F1 — Alt+F8 зарезервированы в FreeBSD для переключения между виртуальными консолями. Используйте Alt+F1 для перехода к системной консоли (ttyv0), Alt+F2 для доступа к первой виртуальной консоли (ttyv1), Alt+F3 для доступа ко второй виртуальной консоли (ttyv2) и так далее. При использовании Xorg в качестве графической консоли для возврата к текстовой виртуальной консоли используется сочетание Ctrl+Alt+F1.

При переключении с одной консоли на другую FreeBSD управляет выводом на экран. В результате создаётся иллюзия наличия нескольких виртуальных экранов и клавиатур, которые можно использовать для ввода команд на выполнение в FreeBSD. Программы, запущенные в одной виртуальной консоли, продолжают работать при переключении пользователя на другую виртуальную консоль.

Обратитесь к kbdcontrol(1), vidcontrol(1), atkbd(4), syscons(4) и vt(4) для более технического описания консоли FreeBSD и её драйверов клавиатуры.

В FreeBSD количество доступных виртуальных консолей настраивается в этом разделе /etc/ttys:

Чтобы отключить виртуальную консоль, поставьте символ комментария (#) в начале строки, соответствующей этой виртуальной консоли. Например, чтобы уменьшить количество доступных виртуальных консолей с восьми до четырёх, добавьте # перед последними четырьмя строками, представляющими виртуальные консоли ttyv5 до ttyv8. Не комментируйте строку системной консоли ttyv0. Обратите внимание, что последняя виртуальная консоль (ttyv8) используется для доступа к графической среде, если Xorg установлен и настроен, как описано в Система X Window.

Для подробного описания каждой колонки в этом файле и доступных опций для виртуальных консолей обратитесь к ttys(5).

В меню загрузки FreeBSD есть пункт с названием "Boot Single User". При выборе этого пункта система загрузится в особый режим, известный как "однопользовательский режим". Этот режим обычно используется для восстановления системы, которая не загружается, или для сброса пароля root, если он неизвестен. В однопользовательском режиме сеть и другие виртуальные консоли недоступны. Однако предоставляется полный доступ root к системе, и по умолчанию пароль root не требуется. По этим причинам для загрузки в этом режиме необходим физический доступ к клавиатуре, и определение того, кто имеет такой доступ, является важным аспектом обеспечения безопасности системы FreeBSD.

Настройки, управляющие однопользовательским режимом, находятся в этом разделе файла /etc/ttys:

По умолчанию статус установлен в secure. Это предполагает, что тот, кто имеет физический доступ к клавиатуре, либо не важен, либо контролируется политикой физической безопасности. Если этот параметр изменён на insecure, предполагается, что среда сама по себе небезопасна, так как любой может получить доступ к клавиатуре. При изменении этой строки на insecure FreeBSD будет запрашивать пароль root, когда пользователь выбирает загрузку в однопользовательском режиме.

Режим видео по умолчанию в консоли FreeBSD может быть изменён на 1024x768, 1280x1024 или любой другой, поддерживаемый графическим чипом и монитором. Для использования другого видео режима загрузите модуль VESA:

Для определения видеорежимов, поддерживаемых оборудованием, используйте vidcontrol(1). Чтобы получить список поддерживаемых видеорежимов, выполните следующую команду:

Результат выполнения этой команды выводит список видеорежимов, поддерживаемых оборудованием. Чтобы выбрать новый видеорежим, укажите режим с помощью vidcontrol(1) от имени пользователя root:

Если новый видео-режим приемлем, его можно установить постоянным при загрузке, добавив в /etc/rc.conf:

Поскольку весь доступ к системе FreeBSD осуществляется с использованием учетных записей, а все процессы выполняются пользователями, управление пользователями и учетными записями является важным.

Существует три основных типа учетных записей: системные учетные записи, пользовательские учетные записи и учетная запись суперпользователя.

FreeBSD предоставляет различные команды для управления учетными записями пользователей. Наиболее распространённые команды перечислены в Утилиты для управления учетными записями пользователей, а также приведены примеры их использования. Для получения дополнительной информации и примеров использования обратитесь к руководству (man) каждой утилиты.

Группа — это список пользователей. Группа идентифицируется по своему названию и GID. В FreeBSD ядро использует UID процесса и список групп, к которым он принадлежит, чтобы определить, что процесс может делать. В большинстве случаев под GID пользователя или процесса обычно подразумевается первая группа в списке.

Соответствие имен групп и GID перечислено в /etc/group. Это простой текстовый файл с четырьмя полями, разделенными двоеточиями. Первое поле — имя группы, второе — зашифрованный пароль, третье — GID, а четвертое — список участников, разделенных запятыми. Полное описание синтаксиса смотрите в group(5).

Суперпользователь может изменить /etc/group с помощью текстового редактора, однако предпочтительнее редактировать файл групп с помощью vigr(8), так как это позволяет избежать некоторых распространённых ошибок. Альтернативно, для добавления и редактирования групп можно использовать pw(8). Например, чтобы добавить группу с именем teamtwo и затем убедиться, что она существует:

В этом примере 1100 — это GID группы teamtwo. На данный момент в teamtwo нет участников. Эта команда добавит jru в качестве участника teamtwo.

Аргумент -M представляет собой разделённый запятыми список пользователей, которые будут добавлены в новую (пустую) группу или заменят членов существующей группы. Для пользователя это членство в группе отличается от (и дополняет) его основной группы, указанной в файле паролей. Это означает, что пользователь не будет отображаться как член группы при использовании groupshow с pw(8), но будет виден при запросе информации через id(1) или аналогичный инструмент. Когда pw(8) используется для добавления пользователя в группу, он только изменяет /etc/group и не пытается читать дополнительные данные из /etc/passwd.

В этом примере аргумент -m представляет собой список пользователей, разделённых запятыми, которые будут добавлены в группу. В отличие от предыдущего примера, эти пользователи добавляются к группе и не заменяют уже существующих в ней пользователей.

В этом примере jru является участником групп jru и teamtwo.

Для получения дополнительной информации об этой команде и формате файла /etc/group обратитесь к pw(8) и group(5).

Символьные права доступа используют символы вместо восьмеричных значений для назначения прав доступа файлам или каталогам. Синтаксис символьных прав доступа имеет вид (кто) (действие) (права доступа), где доступны следующие значения:

Эти значения используются с chmod(1), но с буквами вместо чисел. Например, следующая команда запретит доступ к FILE как членам группы, связанной с FILE, так и всем остальным пользователям:

Список, разделённый запятыми, может быть указан, если к файлу необходимо применить более одного изменения. Например, следующая команда удаляет разрешение на запись для группы и всех остальных пользователей у FILE, а также добавляет разрешение на выполнение для всех:

В дополнение к правам доступа к файлам FreeBSD поддерживает использование "флагов файлов". Эти флаги добавляют дополнительный уровень безопасности и контроля над файлами, но не над каталогами. С помощью флагов файлов даже пользователь root может быть лишён возможности удалять или изменять файлы.

Флаги файлов изменяются с помощью chflags(1). Например, чтобы установить системный флаг «неудаляемый» для файла file1, выполните следующую команду:

Чтобы отключить системный флаг "неудаляемый", добавьте "no" перед sunlink:

Чтобы просмотреть флаги файла, используйте -lo с ls(1):

Некоторые флаги файлов могут быть добавлены или удалены только пользователем root. В остальных случаях владелец файла может устанавливать его флаги. Дополнительную информацию можно найти в chflags(1) и chflags(2).

Помимо уже рассмотренных прав доступа, существуют три специальных параметра, которые должны знать все администраторы. Это права setuid, setgid и sticky.

Эти настройки важны для некоторых операций UNIX®, так как предоставляют функциональность, обычно недоступную обычным пользователям. Чтобы понять их, необходимо отметить разницу между реальным идентификатором пользователя (real user ID) и эффективным идентификатором пользователя (effective user ID).

Реальный идентификатор пользователя (UID) — это UID, который владеет или запускает процесс. Эффективный идентификатор пользователя — это UID, от имени которого выполняется процесс. Например, passwd(1) запускается с реальным UID, когда пользователь меняет свой пароль. Однако для обновления базы данных паролей команда выполняется с эффективным UID пользователя root. Это позволяет пользователям изменять свои пароли без ошибки Permission Denied.

Разрешение setuid может быть добавлено символически путем добавления права s для пользователя, как в следующем примере:

Права setuid также могут быть установлены путем добавления числа четыре (4) перед набором прав, как показано в следующем примере:

Разрешения для файла suidexample.sh теперь выглядят следующим образом:

Обратите внимание, что s теперь является частью набора прав для владельца файла, заменив бит исполнения. Это позволяет создавать программы, требующие повышенных прав, таких как passwd(1).

Чтобы наблюдать это в реальном времени, откройте два терминала. В одном введите passwd как обычный пользователь. Пока команда ожидает ввода нового пароля, проверьте таблицу процессов и посмотрите информацию о пользователе для passwd(1):

В терминале A:

В терминале B:

Хотя passwd(1) запускается от имени обычного пользователя, он использует эффективный UID root.

Разрешение setgid выполняет ту же функцию, что и разрешение setuid, за исключением того, что оно изменяет настройки группы. Когда приложение или утилита запускается с этой настройкой, оно получает разрешения в соответствии с группой, которой принадлежит файл, а не пользователем, запустившим процесс.

Чтобы установить право setgid на файл в символьном виде, добавьте право s для группы с помощью chmod(1):

В качестве альтернативы укажите в chmod(1) ведущую двойку (2):

В следующем листинге обратите внимание, что символ s теперь находится в поле, предназначенном для настроек прав группы:

setuid и setgid биты прав могут снизить безопасность системы, предоставляя повышенные привилегии. Третий специальный бит прав, sticky bit, напротив, может повысить безопасность системы.

Когда sticky bit установлен на каталоге, он разрешает удаление файлов только владельцу файла. Это полезно для предотвращения удаления файлов в общедоступных каталогах, таких как /tmp, пользователями, не являющимися владельцами файла. Чтобы использовать этот режим доступа, добавьте режим t к файлу:

В качестве альтернативы можно добавить единицу (1) перед набором прав доступа:

Разрешение sticky bit отображается как t в самом конце набора разрешений:

Каталоги и файлы хранятся в файловой системе. Каждая файловая система содержит ровно один каталог на самом верхнем уровне, называемый корневым каталогом для этой файловой системы. Этот корневой каталог может содержать другие каталоги. Одна файловая система назначается корневой файловой системой или /. Все остальные файловые системы монтируются в корневую файловую систему. Независимо от количества дисков в системе FreeBSD, каждый каталог выглядит как часть одного и того же диска.

Рассмотрим три файловые системы: A, B и C. Каждая файловая система имеет один корневой каталог, который содержит два других каталога с именами A1, A2 (аналогично B1, B2 и C1, C2).

Назовем корневую файловую систему A. Если использовать ls(1) для просмотра содержимого этого каталога, будут видны два подкаталога, A1 и A2. Дерево каталогов выглядит следующим образом:

Файловая система должна быть смонтирована в каталог другой файловой системы. При монтировании файловой системы B в каталог A1 корневой каталог B заменяет A1, а каталоги в B отображаются соответствующим образом:

Любые файлы в каталогах B1 или B2 доступны по пути /A1/B1 или /A1/B2 соответственно. Файлы, которые находились в /A1, временно скрыты. Они снова станут доступны, если B будет отмонтирован из A.

Если бы B был смонтирован на A2, то диаграмма выглядела бы так:

и пути будут /A2/B1 и /A2/B2 соответственно.

Файловые системы могут монтироваться одна поверх другой. Продолжая последний пример, файловая система C может быть смонтирована поверх каталога B1 в файловой системе B, что приведёт к следующей структуре:

Или C может быть непосредственно смонтирована в файловую систему A, в каталог A1:

Вполне возможно иметь одну большую корневую файловую систему и не создавать других. У такого подхода есть несколько недостатков и одно преимущество.

Файловые системы содержатся в разделах. Диски разделяются на разделы с использованием одной из нескольких схем разметки; см. Ручная разметка разделов. Более новая схема — GPT; старые компьютеры на базе BIOS используют MBR. GPT поддерживает разделение диска на разделы с указанием размера, смещения и типа. Она поддерживает большое количество разделов и их типов, и рекомендуется к использованию везде, где это возможно. Разделы GPT используют имя диска с суффиксом, где суффикс p1 соответствует первому разделу, p2 — второму и так далее. MBR, однако, поддерживает только небольшое количество разделов. Разделы MBR в FreeBSD называются слайсами. Слайсы могут использоваться для разных операционных систем. Слайсы FreeBSD дополнительно разбиваются на разделы с использованием меток BSD (см. bsdlabel(8)).

Номера слайсов указываются после имени устройства с префиксом s и начинаются с 1. Таким образом, "da0s1" — это первый слайс на первом SCSI-диске. На диске может быть только четыре физических слайса, но внутри физических слайсов соответствующего типа могут находиться логические слайсы. Эти расширенные слайсы нумеруются, начиная с 5, поэтому "ada0s5" — это первый расширенный слайс на первом SATA-диске. Эти устройства используются файловыми системами, которые предназначены для размещения в слайсе.

Каждый раздел GPT или BSD может содержать только одну файловую систему, что означает, что файловые системы часто описываются либо по их стандартной точке монтирования в иерархии файловых систем, либо по имени раздела, в котором они находятся.

FreeBSD также использует место на диске для раздела подкачки (swap space), чтобы обеспечить работу виртуальной памяти. Это позволяет компьютеру вести себя так, как будто у него больше памяти, чем есть на самом деле. Когда FreeBSD исчерпывает доступную память, она перемещает часть данных, которые в данный момент не используются, в раздел подкачки, а затем возвращает их обратно (перемещая что-то другое), когда они нужны. Этот процесс называется подкачкой (paging).

Некоторые разделы BSD имеют определенные соглашения, связанные с ними.

Слайсы и «опасно выделенные» (dangerously dedicated) физические диски содержат разделы BSD, которые обозначаются буквами от a до h. Эта буква добавляется к имени устройства, поэтому «da0a» — это раздел a на первом диске da, который является «опасно выделенным». «ada1s3e» — это пятый раздел в третьем срезе второго диска SATA.

Наконец, каждый диск в системе идентифицируется. Имя диска начинается с кода, указывающего тип диска, за которым следует номер, обозначающий конкретный диск. В отличие от разделов и слайсов, нумерация дисков начинается с 0. Распространённые коды перечислены в Имена устройств дисков.

При указании раздела в слайсе укажите имя диска, s, номер слайса, а затем букву раздела. Примеры приведены в разделе Примеры имен дисков. Разделы GPT включают имя диска, p, а затем номер раздела.

Концептуальная модель диска показывает концептуальную модель разметки диска с использованием разделов MBR.

При установке FreeBSD настройте слайсы диска, если используется MBR, и создайте разделы внутри слайса, который будет использоваться для FreeBSD. Если используется GPT, настройте разделы для каждой файловой системы. В обоих случаях создайте файловую систему или область подкачки в каждом разделе и определите, где будет монтироваться каждая файловая система. Подробности о работе с разделами см. в gpart(8).

В процессе загрузки (Процесс загрузки FreeBSD), файловые системы, перечисленные в /etc/fstab, автоматически монтируются, за исключением записей, содержащих noauto. Этот файл содержит записи в следующем формате:

См. fstab(5) для получения дополнительной информации о формате /etc/fstab и его параметрах.

Файловые системы монтируются с помощью mount(8). Базовая синтаксическая конструкция выглядит следующим образом:

Файловая система, указанная в /etc/fstab, также может быть смонтирована, если указать только точку монтирования.

Эта команда предоставляет множество опций, которые описаны в mount(8). Наиболее часто используемые опции включают:

Следующие параметры могут быть переданы в -o в виде списка, разделенного запятыми:

Для размонтирования файловой системы используйте umount(8). Эта команда принимает один параметр, которым может быть точка монтирования, имя устройства, -a или -A.

Все формы команды принимают параметр -f для принудительного размонтирования и -v для вывода подробной информации. Учтите, что использование -f обычно не рекомендуется, так как это может привести к аварийному завершению работы компьютера или повреждению данных в файловой системе.

Для размонтирования всех смонтированных файловых систем или только файловых систем указанных после -t типов используйте -a или -A. Обратите внимание, что -A не пытается размонтировать корневую файловую систему.

Чтобы просмотреть процессы, выполняемые в системе, используйте ps(1) или top(1). Для отображения статичного списка текущих процессов, их PID, объема используемой памяти и команд, которыми они были запущены, используйте ps(1). Для отображения всех выполняемых процессов с периодическим обновлением списка каждые несколько секунд, чтобы интерактивно наблюдать за работой компьютера, используйте top(1).

По умолчанию ps(1) отображает только команды, выполняемые и принадлежащие текущему пользователю. Например:

Вывод должен быть похож на следующий:

Вывод команды ps(1) организован в несколько столбцов. В столбце PID отображается идентификатор процесса. PID начинаются с 1, достигают 99999, затем снова начинаются с начала. Однако, если PID уже используется, он не будет повторно назначен. Столбец TT показывает tty, на котором выполняется программа, а STAT отображает состояние программы. TIME — это время, в течение которого программа выполнялась на CPU. Обычно это не общее время с момента запуска программы, так как большинство программ проводят много времени в ожидании событий, прежде чем им потребуется время на CPU. Наконец, COMMAND — это команда, которая использовалась для запуска программы.

Доступно несколько различных опций для изменения отображаемой информации. Один из наиболее полезных наборов — auxww, где a показывает информацию обо всех запущенных процессах всех пользователей, u отображает имя пользователя и использование памяти владельцем процесса, x показывает информацию о процессах демонов, а ww заставляет ps(1) выводить полную командную строку для каждого процесса вместо её обрезки, когда она становится слишком длинной для экрана.

Вывод команды top(1) выглядит аналогично:

Вывод должен быть похож на следующий:

Вывод разделён на две части. Заголовок (первые пять или шесть строк) показывает PID последнего запущенного процесса, среднюю загрузку системы (которая отражает, насколько система занята), время работы системы (время с последней перезагрузки) и текущее время. Остальные данные в заголовке относятся к количеству запущенных процессов, объёму используемой оперативной памяти и файла подкачки (свопа), а также времени, которое система проводит в различных состояниях процессора. Если загружен модуль файловой системы ZFS, строка ARC указывает, сколько данных было прочитано из кэша памяти, а не с диска.

Ниже заголовка расположен ряд столбцов с информацией, аналогичной выводу команды ps(1), такой как PID, имя пользователя, объем CPU времени и команда, запустившая процесс. По умолчанию top(1) также отображает объем памяти, занимаемый процессом. Эта информация разделена на два столбца: один для общего размера и один для резидентного размера. Общий размер — это объем памяти, который потребовался приложению, а резидентный размер — это объем, который оно фактически использует в данный момент.

top(1) автоматически обновляет отображение каждые две секунды. Другой интервал можно указать с помощью -s.

Один из способов взаимодействия с любым запущенным процессом или демоном — отправить сигнал с помощью kill(1). Существует множество различных сигналов; некоторые имеют определённое значение, в то время как другие описаны в документации приложения. Пользователь может отправлять сигналы только своим процессам, и попытка отправить сигнал чужому процессу приведёт к ошибке отказа в доступе. Исключением является пользователь root, который может отправлять сигналы любым процессам.

Операционная система также может отправлять сигналы процессу. Если приложение написано с ошибками и пытается получить доступ к памяти, к которой оно не должно обращаться, FreeBSD отправит процессу сигнал "Нарушение сегментации" (SIGSEGV). Если приложение было написано с использованием системного вызова alarm(3) для оповещения по истечении определенного времени, ему будет отправлен сигнал "Будильник" (SIGALRM).

Для остановки процесса могут использоваться два сигнала: SIGTERM и SIGKILL. SIGTERM — это вежливый способ завершить процесс, так как процесс может прочитать сигнал, закрыть все открытые файлы журналов и попытаться завершить текущие операции перед остановкой. В некоторых случаях процесс может игнорировать SIGTERM, если он находится в середине задачи, которую нельзя прервать.

SIGKILL не может быть проигнорирован процессом. Отправка SIGKILL процессу обычно немедленно останавливает этот процесс. ^[1].

Другие часто используемые сигналы — это SIGHUP, SIGUSR1 и SIGUSR2. Поскольку они предназначены для общего применения, разные программы могут реагировать на них по-разному.

Например, после изменения конфигурационного файла веб-сервера необходимо указать веб-серверу перечитать его конфигурацию. Перезапуск httpd приведёт к кратковременному простою веб-сервера. Вместо этого отправьте демону сигнал SIGHUP. Учтите, что разные демоны могут вести себя по-разному, поэтому обратитесь к документации демона, чтобы определить, приведёт ли SIGHUP к желаемому результату.

Самый простой способ навсегда изменить оболочку по умолчанию — использовать chsh. Запуск этой команды откроет редактор, настроенный в переменной окружения EDITOR, которая по умолчанию установлена в vi(1). Измените строку Shell: на полный путь к новой оболочке.

Или используйте chsh -s, который установит указанную оболочку без открытия редактора. Например, чтобы изменить оболочку на bash:

Введите пароль в командной строке и нажмите Return, чтобы изменить оболочку. Выйдите из системы и войдите снова, чтобы начать использовать новую оболочку.

UNIX® оболочка — это не просто командный интерпретатор, а мощный инструмент, который позволяет пользователям выполнять команды, перенаправлять их вывод и ввод, а также объединять команды в цепочки для улучшения конечного результата. В сочетании со встроенными командами это предоставляет пользователю среду, способную максимизировать эффективность работы.

Перенаправление в оболочке — это действие отправки вывода или ввода команды в другую команду или файл. Например, чтобы сохранить вывод команды ls(1) в файл, перенаправьте вывод:

Содержимое каталога теперь будет отображено в файле directory_listing.txt. Некоторые команды, например sort(1), могут использоваться для чтения ввода. Чтобы отсортировать этот список, перенаправьте ввод:

Входные данные будут отсортированы и выведены на экран. Чтобы перенаправить эти данные в другой файл, можно перенаправить вывод sort(1), изменив направление:

Во всех предыдущих примерах команды выполняют перенаправление с использованием файловых дескрипторов. Каждая UNIX®-система имеет файловые дескрипторы, включая стандартный ввод (stdin), стандартный вывод (stdout) и стандартный вывод ошибок (stderr). Каждый из них имеет своё назначение: ввод может осуществляться с клавиатуры или мыши — устройств, предоставляющих входные данные. Вывод может направляться на экран или бумагу в принтере. А ошибки — это всё, что используется для диагностических или сообщений об ошибках. Все три типа считаются файловыми дескрипторами, основанными на вводе-выводе, и иногда называются потоками.

С помощью этих дескрипторов оболочка позволяет передавать вывод и ввод между различными командами и перенаправлять их в файл или из файла. Другой метод перенаправления — оператор конвейера.

Оператор UNIX® pipe, |, позволяет передавать вывод одной команды напрямую или направлять его другой программе. По сути, pipe позволяет передать стандартный вывод одной команды в качестве стандартного ввода другой команды, например:

В этом примере содержимое файла directory_listing.txt будет отсортировано, а вывод передан в less(1). Это позволяет пользователю прокручивать вывод в удобном темпе и предотвращает его исчезновение с экрана.

FreeBSD включает несколько приложений и утилит, созданных Free Software Foundation (FSF). Помимо man-страниц, эти программы могут содержать гипертекстовые документы, называемые файлами info. Их можно просматривать с помощью info(1) или, если установлен editors/emacs, в режиме info редактора emacs.

Чтобы использовать info(1), введите:

Для краткого введения введите h. Для быстрой справки по командам введите ?.