Jail

setenv DESTDIR /usr/jail0
mount /cdrom
sh /cdrom/7-1.RELEASE/base/install.sh


mkdir /usr/jail0
cd /usr/src
make world DESTDIR=/usr/jail0
--------------------------------------------------------------
>>> make world completed on Fri Feb 13 23:31:16 EET 2009
(started Fri Feb 13 22:00:40 EET 2009)
--------------------------------------------------------------
make distribution DESTDIR=/usr/jail0

/usr/src# df
Filesystem 1M-blocks Used Avail Capacity Mounted on
/dev/ad0s2a 495 361 94 79% /
devfs 0 0 0 100% /dev
/dev/ad0s2e 495 0 456 0% /tmp
/dev/ad0s2f 30612 14389 13774 51% /usr
/dev/ad0s2d 2445 891 1359 40% /var
devfs 0 0 0 100% /var/named/dev
linprocfs 0 0 0 100% /usr/compat/linux/proc
/usr/src# mount -t devfs devfs /usr/jail0/dev
/usr/src# df
Filesystem 1M-blocks Used Avail Capacity Mounted on
/dev/ad0s2a 495 361 94 79% /
devfs 0 0 0 100% /dev
/dev/ad0s2e 495 0 456 0% /tmp
/dev/ad0s2f 30612 14389 13774 51% /usr
/dev/ad0s2d 2445 891 1359 40% /var
devfs 0 0 0 100% /var/named/dev
linprocfs 0 0 0 100% /usr/compat/linux/proc
devfs 0 0 0 100% /usr/jail0/dev
/usr/src#


jail_sendmail_rootdir="/usr/jail0" # Jail's root directory
jail_sendmail_hostname="sendmail.fire.wall" # Jail's hostname
jail_sendmail_ip="192.168.0.10" # Jail's IP number
jail_sendmail_devfs_enable="YES" # mount devfs in the jail
jail_sendmail_devfs_ruleset="ruleset_name"


повторно
# cd /usr/src
# make installworld DESTDIR=/usr/jailN

# make buildworld
# make installworld DESTDIR=/path/to/jail/1
# make installworld DESTDIR=/path/to/jail/2
# make installworld DESTDIR=/path/to/jail/N

Где 1 - jail id (JID) из вывода jls.
Полезные sysctl-переменные для джейлов:
security.jail.set_hostname_allowed - если 1, то внутри jail можно поменять имя хоста;
security.jail.socket_unixiproute_only - если 1 , то сокет в jail можно создать только для доменов PF_LOCAL, PF_INET или PF_ROUTE, иначе, возвращается ошибка;
security.jail.sysvipc_allowed - если 1, то то в jail можно получить доступ к глобальному System V IPC;
security.jail.getfsstatroot_only - если 1, то в jail можно получить информацию (df)только о той файловой системе на которой создан jail;
security.jail.allow_raw_sockets - если 1, то в jail можно создавать raw sockets;
security.jail.chflags_allow - если 1, то процессы в jail могут модифицировать флаги ФС.

More info

• http://www.samag.ru/cgi-bin/go.pl?q=articles;n=11.2006;a=04
• http://www.section6.net/wiki/index.php/Creating_a_FreeBSD_Jail
• http://memberwebs.com/stef/freebsd/jails/
• http://pbraun.nethence.com/doc/sysutils_bsd/freebsd-jail.html
• http://www.samag.ru/art/11.2005/11.2005_06.html

-- DmytroNikitiuk - 2009-06-07