第 32 章 网络服务器

32.2.1. 配置文件

inetd 的配置通过编辑 /etc/inetd.conf 完成。此配置文件的每一行都代表一个可以由 inetd 启动的应用程序。默认情况下，每行开头都有一个注释 (#)，这意味着 inetd 未侦听任何应用程序。要配置 inetd 以侦听某个应用程序的连接，请删除该应用程序行开头的 #。

保存编辑内容后，通过编辑 /etc/rc.conf 配置 inetd 在系统启动时启动。

要立即启动 inetd，使其侦听您配置的服务，请键入

示例 1. 重新加载 inetd 配置文件

通常，应用程序的默认条目无需在删除 # 后进行编辑。在某些情况下，编辑默认条目可能是合适的。

例如，这是 ftpd(8) 通过 IPv4 的默认条目

条目中的七列如下

32.2.2. 命令行选项

与大多数服务器守护进程一样，inetd 有一些选项可用于修改其行为。默认情况下，inetd 以 -wW -C 60 启动。这些选项为所有服务（包括内部服务）启用 TCP 包装器，并防止任何 IP 地址每分钟向任何服务请求超过 60 次。

要更改传递给 inetd 的默认选项，请在 /etc/rc.conf 中添加 inetd_flags 的条目。如果 inetd 正在运行，请使用 service inetd restart 重新启动它。

指定来自单个 IP 地址在任何时间可以调用服务的最大次数，其中默认值为无限制。可以通过在 /etc/inetd.conf 中使用 max-child-per-ip 在每项服务的基础上进行覆盖。

32.2.3. 安全注意事项

许多可以由 inetd 管理的守护进程都没有安全意识。某些守护进程（如 fingerd）可以提供可能对攻击者有用的信息。仅启用所需的服务，并监视系统是否有过多的连接尝试。max-connections-per-ip-per-minute、max-child 和 max-child-per-ip 可用于限制此类攻击。

32.3.1. 配置服务器

以下 /etc/exports 条目演示了如何导出文件系统。这些示例可以修改以匹配读者网络上的文件系统和客户端名称。此文件中可以使用许多选项，但这里只提及其中几个。有关选项的完整列表，请参阅 exports(5)。

此示例显示了如何将 /cdrom 导出到三个名为 alpha、bravo 和 charlie 的主机。

-ro 标志使文件系统只读，防止客户端对导出的文件系统进行任何更改。此示例假设主机名位于 DNS 或 /etc/hosts 中。如果网络没有 DNS 服务器，请参阅 hosts(5)。

下一个示例通过 IP 地址将 /home 导出到三个客户端。这对于没有 DNS 或 /etc/hosts 条目的网络很有用。-alldirs 标志允许子目录成为挂载点。换句话说，它不会自动挂载子目录，但允许客户端根据需要挂载所需的目录。

下一个示例导出 /a，以便来自不同域的两个客户端可以访问该文件系统。-maproot=root 允许远程系统上的 root 用户以 root 身份在导出的文件系统上写入数据。如果未指定 -maproot=root，则客户端的 root 用户将映射到服务器的 nobody 帐户，并受 nobody 定义的访问限制约束。

每个文件系统只能指定一个客户端。例如，如果 /usr 是一个单一文件系统，则以下条目无效，因为两个条目都指定了相同的主机

此情况下的正确格式是使用一个条目

以下是有效导出列表的示例，其中 /usr 和 /exports 是本地文件系统

要在启动时启用 NFS 服务器所需的进程，请将这些选项添加到 /etc/rc.conf 中

现在可以通过运行以下命令启动服务器

每当 NFS 服务器启动时，mountd 也会自动启动。但是，mountd 只在启动时读取 /etc/exports。要使后续的 /etc/exports 编辑立即生效，请强制 mountd 重新读取它

有关使用 sharenfs ZFS 属性而不是 exports(5) 文件通过 NFS 导出 ZFS 数据集的说明，请参阅 zfs-share(8)。

有关 NFS 版本 4 设置的说明，请参阅 nfsv4(4)。

要启用 NFS 客户端，请在每个客户端的 /etc/rc.conf 中设置此选项

然后，在每个 NFS 客户端上运行此命令

客户端现在拥有挂载远程文件系统所需的一切。在这些示例中，服务器的名称为 server，客户端的名称为 client。要将 server 上的 /home 挂载到 client 上的 /mnt 挂载点

现在可以在 client 上的 /mnt 目录中访问 /home 中的文件和目录。

要每次客户端启动时都挂载远程文件系统，请将其添加到 /etc/fstab 中

有关所有可用选项的说明，请参阅 fstab(5)。

某些应用程序需要文件锁定才能正确运行。要启用锁定，请在客户端和服务器上执行以下命令

然后启动 rpc.lockd(8) 服务

如果服务器上不需要锁定，则可以通过在运行 mount 时包含 -L 来配置 NFS 客户端在本地锁定。有关更多详细信息，请参阅 mount_nfs(8)。

autofs(5) 功能是几个组件的通用名称，这些组件共同允许在访问该文件系统内的文件或目录时自动挂载远程和本地文件系统。它包括内核组件 autofs(5) 和几个用户空间应用程序：automount(8)、automountd(8) 和 autounmountd(8)。它作为以前 FreeBSD 版本中 amd(8) 的替代方案。amd 仍然为了向后兼容的目的而提供，因为两者使用不同的映射格式；autofs 使用的格式与其他 SVR4 自动挂载程序（例如 Solaris、MacOS X 和 Linux 中的自动挂载程序）相同。

autofs(5) 虚拟文件系统由 automount(8) 挂载到指定的挂载点，通常在启动期间调用。

每当进程尝试访问 autofs(5) 挂载点内的文件时，内核将通知 automountd(8) 守护进程并暂停触发进程。 automountd(8) 守护进程将通过查找正确的映射并根据该映射挂载文件系统来处理内核请求，然后向内核发出信号以释放阻塞的进程。 autounmountd(8) 守护进程会在一段时间后自动卸载自动挂载的文件系统，除非它们仍在使用。

主要的 autofs 配置文件是 /etc/auto_master。它将各个映射分配到顶级挂载点。有关 auto_master 和映射语法的说明，请参阅 auto_master(5)。

在 /net 上挂载了一个特殊的自动挂载程序映射。当访问此目录中的文件时，autofs(5) 会查找相应的远程挂载并自动挂载它。例如，尝试访问 /net/foobar/usr 中的文件将告诉 automountd(8) 挂载主机 foobar 上的 /usr 导出。

showmount 的输出显示 /usr 作为导出。当更改到 /host/foobar/usr 目录时，automountd(8) 会拦截请求并尝试解析主机名 foobar。如果成功，automountd(8) 会自动挂载源导出。

要启用 autofs(5) 在启动时，请将此行添加到 /etc/rc.conf 中

然后可以通过运行以下命令启动 autofs(5)

autofs(5) 映射格式与其他操作系统中的相同。来自其他来源的关于此格式的信息可能会有用，例如 Mac OS X 文档。

有关更多信息，请查阅 automount(8)、automountd(8)、autounmountd(8) 和 auto_master(5) 手册页。

表 28.1 总结了 NIS 使用的术语和重要进程

NIS 环境中有三种类型的主机

许多文件中的信息可以使用 NIS 共享。 master.passwd、group 和 hosts 文件通常通过 NIS 共享。每当客户端上的进程需要通常在本地这些文件中找到的信息时，它都会向其绑定的 NIS 服务器发出查询。

本节描述了一个示例 NIS 环境，该环境由 15 台 FreeBSD 计算机组成，没有集中式管理点。每台机器都有自己的 /etc/passwd 和 /etc/master.passwd。这些文件仅通过手动干预才能保持同步。目前，当用户添加到实验室时，必须在所有 15 台机器上重复此过程。

实验室的配置如下

如果这是第一次开发 NIS 方案，则应提前进行充分的计划。无论网络规模如何，都需要在计划过程中做出一些决策。

所有 NIS 文件的规范副本都存储在主服务器上。用于存储信息的数据库称为 NIS 映射。在 FreeBSD 中，这些映射存储在 /var/yp/[domainname] 中，其中 [domainname] 是 NIS 域的名称。由于支持多个域，因此可以有多个目录，每个域一个。每个域都将拥有自己独立的映射集。

NIS 主服务器和从服务器通过 ypserv(8) 处理所有 NIS 请求。此守护程序负责接收来自 NIS 客户端的传入请求，将请求的域和映射名称转换为相应数据库文件的路径，并将数据从数据库传输回客户端。

设置主 NIS 服务器相对简单，具体取决于环境需求。由于 FreeBSD 提供了内置的 NIS 支持，因此只需要通过将以下几行添加到 /etc/rc.conf 中来启用它即可

在服务器机器也是 NIS 客户端的多服务器域中必须小心。通常最好强制服务器绑定到自身，而不是允许它们广播绑定请求并可能相互绑定。如果一台服务器宕机而其他服务器依赖于它，则可能会导致奇怪的故障模式。最终，所有客户端都将超时并尝试绑定到其他服务器，但涉及的延迟可能相当大，并且故障模式仍然存在，因为服务器可能会再次相互绑定。

可以通过将以下附加行添加到 /etc/rc.conf 中来强制服务器也是客户端绑定到特定服务器

保存编辑后，键入 /etc/netstart 以重新启动网络并应用 /etc/rc.conf 中定义的值。在初始化 NIS 映射之前，启动 ypserv(8)

要设置 NIS 从服务器，请登录到从服务器并像主服务器一样编辑 /etc/rc.conf。不要生成任何 NIS 映射，因为这些映射已存在于主服务器上。在从服务器上运行 ypinit 时，请使用 -s（表示从服务器）而不是 -m（表示主服务器）。此选项需要 NIS 主服务器的名称以及域名，如本例所示

这将在从服务器上生成一个名为 /var/yp/test-domain 的目录，其中包含 NIS 主服务器映射的副本。在每个从服务器上添加这些 /etc/crontab 条目将强制从服务器与其主服务器上的映射同步

这些条目不是强制性的，因为主服务器会自动尝试将其任何映射更改推送到其从服务器。但是，由于客户端可能依赖于从服务器提供正确的密码信息，因此建议强制执行频繁的密码映射更新。这在繁忙的网络中尤其重要，因为映射更新可能并不总是能够完成。

要完成配置，请在从服务器上运行 /etc/netstart 以启动 NIS 服务。

NIS 客户端使用 ypbind(8) 绑定到 NIS 服务器。此守护程序在本地网络上广播 RPC 请求。这些请求指定在客户端上配置的域名。如果同一域中的 NIS 服务器接收到其中一个广播，它将响应 ypbind，后者将记录服务器的地址。如果有多个服务器可用，客户端将使用第一个响应服务器的地址，并将所有 NIS 请求定向到该服务器。客户端将定期自动 ping 服务器以确保它仍然可用。如果在合理的时间内未收到回复，ypbind 将将域标记为未绑定并开始再次广播，以期找到另一个服务器。

要将 FreeBSD 机器配置为 NIS 客户端

要立即启动 NIS 客户端，请以超级用户身份执行以下命令

完成这些步骤后，在客户端上运行ypcat passwd应该会显示服务器的passwd映射。

由于 RPC 是一种基于广播的服务，因此同一域中运行 ypbind 的任何系统都可以检索 NIS 映射的内容。为了防止未经授权的事务，ypserv(8) 支持一个称为“securenets”的功能，该功能可用于限制对给定主机集的访问。默认情况下，此信息存储在/var/yp/securenets中，除非ypserv(8) 以-p和备用路径启动。此文件包含由网络规范和网络掩码组成的条目，它们之间用空格分隔。以"#"开头的行被视为注释。一个示例securenets可能如下所示

如果ypserv(8) 收到来自与其中一条规则匹配的地址的请求，它将正常处理该请求。如果地址与规则不匹配，则该请求将被忽略，并且会记录警告消息。如果securenets不存在，则ypserv将允许来自任何主机的连接。

TCP Wrapper 是一种替代机制，用于提供访问控制而不是securenets。虽然这两种访问控制机制都增加了一些安全性，但它们都容易受到“IP欺骗”攻击。所有与 NIS 相关的流量都应在防火墙处阻止。

使用securenets的服务器可能无法为具有过时 TCP/IP 实现的合法 NIS 客户端提供服务。其中一些实现会在执行广播时将所有主机位设置为零，或者在计算广播地址时无法遵守子网掩码。虽然其中一些问题可以通过更改客户端配置来解决，但其他问题可能会迫使这些客户端系统退役或放弃securenets。

使用 TCP Wrapper 会增加 NIS 服务器的延迟。额外的延迟可能足够长，以至于导致客户端程序超时，尤其是在繁忙的网络中，且 NIS 服务器速度较慢的情况下。如果一个或多个客户端受到延迟的影响，请将这些客户端转换为 NIS 从服务器并强制它们绑定到自身。

禁止指定的用户登录到各个系统在较大的网络中变得不可扩展，并且很快就会失去 NIS 的主要优势：集中式管理。

网络组的开发是为了处理拥有数百个用户和机器的大型复杂网络。它们的使用类似于 UNIX® 组，主要区别在于缺少数字 ID 以及能够通过包含用户帐户和其他网络组来定义网络组。

为了扩展本章中使用的示例，NIS 域将扩展以添加表 28.2 和 28.3 中显示的用户和系统

在使用网络组配置此方案时，每个用户都分配到一个或多个网络组，然后允许或禁止所有网络组成员登录。添加新机器时，必须为所有网络组定义登录限制。添加新用户时，必须将帐户添加到一个或多个网络组。如果 NIS 设置计划得很周密，则只需要修改一个中央配置文件即可授予或拒绝对机器的访问权限。

第一步是初始化 NIS netgroup映射。在 FreeBSD 中，此映射不会默认创建。在 NIS 主服务器上，使用编辑器创建名为/var/yp/netgroup的映射。

此示例创建四个网络组来表示 IT 员工、IT 学徒、员工和实习生

每个条目配置一个网络组。条目中的第一列是网络组的名称。每组括号表示一个或多个用户的组或另一个网络组的名称。在指定用户时，每个组中的三个逗号分隔字段表示

如果一个组包含多个用户，请用空格分隔每个用户。此外，每个字段都可以包含通配符。有关详细信息，请参阅netgroup(5)。

不应使用超过 8 个字符的网络组名称。名称区分大小写，并且对网络组名称使用大写字母是区分用户、机器和网络组名称的简单方法。

一些非 FreeBSD NIS 客户端无法处理包含超过 15 个条目的网络组。可以通过创建几个包含 15 个或更少用户的子网络组以及一个由子网络组组成的真实网络组来规避此限制，如本示例所示

如果单个网络组中存在超过 225（15 乘以 15）个用户，请重复此过程。

要激活并分发新的 NIS 映射

这将生成三个 NIS 映射netgroup、netgroup.byhost和netgroup.byuser。使用ypcat(1)的映射键选项检查新的 NIS 映射是否可用

第一个命令的输出应类似于/var/yp/netgroup的内容。第二个命令仅在创建了特定于主机的网络组时才会产生输出。第三个命令用于获取用户的网络组列表。

要配置客户端，请使用vipw(8)指定网络组的名称。例如，在名为war的服务器上，替换此行

为

这指定只有在网络组IT_EMP中定义的用户才会被导入到此系统的密码数据库中，并且只有这些用户才能登录到此系统。

此配置也适用于 shell 的~函数以及在用户名和数字用户 ID 之间转换的所有例程。换句话说，cd ~user将不起作用，ls -l将显示数字 ID 而不是用户名，并且find . -user joe -print将失败并显示消息No such user。要解决此问题，请导入所有用户条目，但不要允许它们登录到服务器。这可以通过添加额外的一行来实现

此行配置客户端导入所有条目，但将这些条目中的 shell 替换为/usr/sbin/nologin。

确保将额外行放在+@IT_EMP:::::::::之后。否则，从 NIS 导入的所有用户帐户都将使用/usr/sbin/nologin作为其登录 shell，并且没有人能够登录到系统。

要配置不太重要的服务器，请使用以下几行替换服务器上的旧+:::::::::

工作站的对应行将是

NIS 支持从其他网络组创建网络组，如果有关用户访问的策略发生更改，这将非常有用。一种可能性是创建基于角色的网络组。例如，可以创建一个名为BIGSRV的网络组来定义重要服务器的登录限制，另一个名为SMALLSRV的网络组用于不太重要的服务器，以及一个名为USERBOX的网络组用于工作站。这些网络组中的每一个都包含允许登录到这些机器的网络组。NIS`netgroup`映射的新条目将如下所示

当可以定义具有相同限制的机器组时，这种定义登录限制的方法效果相当好。不幸的是，这是例外情况，而不是规则。大多数时候，需要能够在每台机器的基础上定义登录限制。

机器特定的网络组定义是处理策略更改的另一种可能性。在这种情况下，每个系统的/etc/master.passwd都包含两行以“+”开头。第一行添加一个网络组，其中包含允许登录到此机器的帐户，第二行添加所有其他帐户，其shell为/usr/sbin/nologin。建议使用主机名的“全大写”版本作为网络组的名称。

一旦在所有机器上完成了此任务，就不再需要修改/etc/master.passwd的本地版本。所有进一步的更改都可以通过修改NIS映射来处理。以下是在这种情况下可能的netgroup映射示例。

使用基于机器的网络组可能并不总是明智的。在部署几十或几百个系统时，可以使用基于角色的网络组而不是基于机器的网络组，以将NIS映射的大小保持在合理的范围内。

NIS要求NIS域中的所有主机使用相同的格式加密密码。如果用户在NIS客户端上遇到身份验证问题，可能是由于密码格式不同。在异构网络中，所有操作系统都必须支持该格式，其中DES是最基本的标准。

要检查服务器或客户端正在使用哪种格式，请查看/etc/login.conf的这一部分。

在此示例中，系统正在使用DES格式进行密码哈希。其他可能的值包括用于Blowfish的blf，用于MD5的md5，用于SHA-256的sha256和用于SHA-512的sha512。有关更多信息以及系统上可用内容的最新列表，请参阅crypt(3)手册页。

如果需要编辑主机上的格式以使其与NIS域中使用的格式匹配，则在保存更改后必须重建登录功能数据库。

LDAP使用一些术语，在开始配置之前应该了解这些术语。所有目录条目都由一组属性组成。这些属性集中的每一个都包含一个唯一的标识符，称为可分辨名称 (DN)，它通常由其他几个属性（如公共名称或相对可分辨名称 (RDN)）构建。类似于目录如何具有绝对路径和相对路径，将DN视为绝对路径，将RDN视为相对路径。

LDAP条目的示例如下所示。此示例搜索指定用户帐户 (uid)、组织单位 (ou) 和组织 (o) 的条目。

此示例条目显示了dn、mail、cn、uid和telephoneNumber属性的值。cn属性是RDN。

有关LDAP及其术语的更多信息，请访问http://www.openldap.org/doc/admin24/intro.html。

FreeBSD没有提供内置的LDAP服务器。通过安装net/openldap-server包或端口开始配置。

在包中启用了大量默认选项。通过运行pkg info openldap-server查看它们。如果它们不够用（例如，如果需要SQL支持），请考虑使用适当的框架重新编译端口。

安装会创建目录/var/db/openldap-data来保存数据。必须创建用于存储证书的目录。

下一阶段是配置证书颁发机构。必须从/usr/local/etc/openldap/private执行以下命令。这很重要，因为文件权限需要限制，用户不应该访问这些文件。有关证书及其参数的更详细信息，请参阅OpenSSL。要创建证书颁发机构，请从以下命令开始并按照提示操作。

提示的条目可以是通用的，除了Common Name。此条目必须不同于系统主机名。如果这将是自签名证书，请在主机名前加CA表示证书颁发机构。

下一个任务是创建证书签名请求和私钥。输入此命令并按照提示操作。

在证书生成过程中，确保正确设置Common Name属性。证书签名请求必须使用证书颁发机构签名才能用作有效证书。

证书生成过程的最后一部分是生成和签署客户端证书。

请记住，在出现提示时使用相同的Common Name属性。完成后，确保通过上述命令总共生成了八 (8) 个新文件。

运行OpenLDAP服务器的守护进程是slapd。其配置是通过slapd.ldif执行的：旧的slapd.conf已被OpenLDAP弃用。

配置示例用于slapd.ldif是可用的，也可以在/usr/local/etc/openldap/slapd.ldif.sample中找到。选项在slapd-config(5)中进行了记录。slapd.ldif的每个部分，就像所有其他LDAP属性集一样，都通过DN唯一标识。确保在dn:语句和所需部分的末尾之间没有留下空行。在以下示例中，将使用TLS来实现安全通道。第一部分表示全局配置。

必须在此处指定证书颁发机构、服务器证书和服务器私钥文件。建议让客户端选择安全密码并省略选项olcTLSCipherSuite（与除openssl之外的其他TLS客户端不兼容）。选项olcTLSProtocolMin允许服务器要求最低安全级别：建议使用。虽然服务器的验证是强制性的，但客户端的验证不是：olcTLSVerifyClient: never。

第二部分是关于后端模块，可以按如下方式配置。

第三部分用于加载数据库将使用的所需ldif模式：它们是必不可少的。

接下来，是前端配置部分。

另一个部分专门用于配置后端，以后访问OpenLDAP服务器配置的唯一方法是以全局超级用户身份访问。

默认管理员用户名是cn=config。在shell中键入slappasswd，选择一个密码并在olcRootPW中使用其哈希值。如果没有现在指定此选项，在导入slapd.ldif之前，以后没有人能够修改全局配置部分。

最后一部分是关于数据库后端。

此数据库承载LDAP目录的实际内容。除了mdb之外，还有其他类型可用。此处配置其超级用户（不要与全局超级用户混淆）：olcRootDN中的（可能自定义的）用户名和olcRootPW中的密码哈希；可以像以前一样使用slappasswd。

此存储库包含四个slapd.ldif示例。要将现有的slapd.conf转换为slapd.ldif，请参阅此页面（请注意，这可能会引入一些无用的选项）。

完成配置后，必须将slapd.ldif放置在空目录中。建议将其创建为。

导入配置数据库。

启动slapd守护进程。

选项-d可用于调试，如slapd(8)中所述。要验证服务器是否正在运行并正常工作。

服务器仍然必须受信任。如果以前从未这样做过，请按照以下说明操作。安装OpenSSL包或端口。

从存储ca.crt的目录（在此示例中为/usr/local/etc/openldap）运行。

CA和服务器证书现在在其各自的角色中被正确识别。要验证这一点，请从server.crt目录运行此命令。

如果slapd正在运行，请重新启动它。如/usr/local/etc/rc.d/slapd中所述，要在启动时正确运行slapd，必须将以下行添加到/etc/rc.conf。

slapd在启动时不提供调试。为此目的，请检查/var/log/debug.log、dmesg -a和/var/log/messages。

以下示例将组team和用户john添加到domain.example LDAP数据库中，该数据库仍然为空。首先，创建文件domain.ldif

有关更多详细信息，请参阅 OpenLDAP 文档。使用 slappasswd 将纯文本密码 secret 替换为 userPassword 中的哈希值。作为 loginShell 指定的路径必须存在于所有允许 john 登录的系统中。最后，使用 mdb 管理员修改数据库。

只有全局超级用户才能对全局配置部分进行修改。例如，假设最初指定了选项 olcTLSCipherSuite: HIGH:MEDIUM:SSLv3，现在必须将其删除。首先，创建一个包含以下内容的文件

然后，应用修改

当系统提示时，提供在配置后端部分中选择的密码。不需要用户名：此处，cn=config 表示要修改的数据库部分的 DN。或者，使用 ldapmodify 删除数据库的单行，使用 ldapdelete 删除整个条目。

如果出现问题，或者全局超级用户无法访问配置后端，则可以删除并重写整个配置

slapd.ldif 然后可以再次编辑和导入。请仅在没有其他解决方案可用时遵循此过程。

这仅是服务器的配置。同一台机器还可以托管具有其自身独立配置的 LDAP 客户端。

FreeBSD 安装程序中包含 DHCP 客户端支持，从而可以轻松配置新安装的系统以从现有的 DHCP 服务器自动接收其网络寻址信息。有关网络配置示例，请参阅帐户、时区、服务和加固。

当在客户端机器上执行 dhclient 时，它会开始广播配置信息请求。默认情况下，这些请求使用 UDP 端口 68。服务器在 UDP 端口 67 上回复，为客户端提供 IP 地址和其他相关的网络信息，例如子网掩码、默认网关和 DNS 服务器地址。此信息以 DHCP “租约”的形式存在，并且在可配置的时间内有效。这允许不再连接到网络的客户端的陈旧 IP 地址自动重复使用。DHCP 客户端可以从服务器获取大量信息。详尽的列表可以在dhcp-options(5)中找到。

默认情况下，当 FreeBSD 系统启动时，其 DHCP 客户端在后台或异步运行。其他启动脚本在 DHCP 进程完成时继续运行，从而加快系统启动速度。

当 DHCP 服务器快速响应客户端的请求时，后台 DHCP 工作良好。但是，DHCP 在某些系统上可能需要很长时间才能完成。如果网络服务在 DHCP 分配网络寻址信息之前尝试运行，则它们将失败。使用同步模式下的 DHCP 可以避免此问题，因为它会在 DHCP 配置完成之前暂停启动。

此行位于 /etc/rc.conf 中，用于配置后台或异步模式

如果系统已配置为在安装期间使用 DHCP，则此行可能已存在。将这些示例中显示的 fxp0 替换为要动态配置的接口的名称，如“设置网络接口卡”中所述。

要改为将系统配置为使用同步模式，并在 DHCP 完成期间在启动时暂停，请使用“SYNCDHCP”

其他客户端选项可用。在rc.conf(5)中搜索 dhclient 以获取详细信息。

DHCP 客户端使用以下文件

本节演示如何使用 Internet Systems Consortium (ISC) 实现的 DHCP 服务器将 FreeBSD 系统配置为充当 DHCP 服务器。可以使用net/isc-dhcp44-server包或端口安装此实现及其文档。

安装net/isc-dhcp44-server会安装一个示例配置文件。将 /usr/local/etc/dhcpd.conf.example 复制到 /usr/local/etc/dhcpd.conf 并对该新文件进行任何编辑。

配置文件由子网和主机的声明组成，这些声明定义提供给 DHCP 客户端的信息。例如，这些行配置以下内容

此配置文件支持更多选项。有关详细信息和示例，请参阅随服务器一起安装的 dhcpd.conf(5)。

完成 dhcpd.conf 的配置后，在 /etc/rc.conf 中启用 DHCP 服务器

将 dc0 替换为 DHCP 服务器应监听 DHCP 客户端请求的接口（或接口，用空格分隔）。

通过发出以下命令启动服务器

服务器配置的任何未来更改都需要停止然后使用service(8)启动 dhcpd 服务。

DHCP 服务器使用以下文件。请注意，手册页已随服务器软件一起安装。

名称服务器通常有两种形式：权威名称服务器和缓存（也称为解析）名称服务器。

当需要权威名称服务器时

当需要缓存名称服务器时

当查询 www.FreeBSD.org 时，解析器通常会查询上行 ISP 的名称服务器，并检索回复。使用本地缓存 DNS 服务器，查询只需由缓存 DNS 服务器向外部世界发出一次。由于信息缓存在本地，因此其他查询无需转到本地网络之外。

Unbound 提供在 FreeBSD 基本系统中。默认情况下，它只为本地机器提供 DNS 解析。虽然基本系统软件包可以配置为提供超出本地机器的解析服务，但建议通过从 FreeBSD Ports 集合安装 Unbound 来解决此类需求。

要启用 Unbound，请将以下内容添加到 /etc/rc.conf

/etc/resolv.conf 中任何现有的名称服务器都将配置为新 Unbound 配置中的转发器。

一旦确认每个名称服务器都支持 DNSSEC，就开始 Unbound

这将负责更新 /etc/resolv.conf，以便现在可以查询 DNSSEC 安全域名。例如，运行以下命令以验证 FreeBSD.org DNSSEC 信任树

FreeBSD 在基本系统中不提供权威名称服务器软件。鼓励用户安装第三方应用程序，例如 dns/nsd 或 dns/bind918 软件包或端口。

zeroconf 的一个流行实现是 Avahi。可以使用以下命令安装和配置 Avahi

在 FreeBSD 中，主要的 Apache HTTP 服务器配置文件安装为 /usr/local/etc/apache2x/httpd.conf，其中 x 表示版本号。此 ASCII 文本文件以 # 开头注释行。最常修改的指令是

在进行更改之前，始终备份默认 Apache 配置文件是个好主意。完成 Apache 配置后，保存文件并使用 apachectl 验证配置。运行 apachectl configtest 应返回 Syntax OK。

要在系统启动时启动 Apache，请将以下行添加到 /etc/rc.conf

如果 Apache 应以非默认选项启动，则可以将以下行添加到 /etc/rc.conf 以指定所需的标志

如果 apachectl 未报告配置错误，则立即启动 httpd

可以通过在 Web 浏览器中输入 http://localhost 来测试 httpd 服务，将 localhost 替换为运行 httpd 的机器的完全限定域名。显示的默认网页是 /usr/local/www/apache24/data/index.html。

在 httpd 运行时，可以在进行后续配置更改后使用以下命令测试 Apache 配置是否有错误

虚拟主机允许在同一台 Apache 服务器上运行多个网站。虚拟主机可以是基于 IP 的或基于名称的。基于 IP 的虚拟主机为每个网站使用不同的 IP 地址。基于名称的虚拟主机使用客户端的 HTTP/1.1 标头来确定主机名，这允许网站共享相同的 IP 地址。

要设置 Apache 以使用基于名称的虚拟主机，请为每个网站添加一个 VirtualHost 块。例如，对于名为 www.domain.tld 且虚拟域为 www.someotherdomain.tld 的 Web 服务器，请将以下条目添加到 httpd.conf

对于每个虚拟主机，请将 ServerName 和 DocumentRoot 的值替换为要使用的值。

有关设置虚拟主机的更多信息，请查阅 Apache 官方文档：https://httpd.apache.ac.cn/docs/vhosts/。

Apache 使用模块来增强基本服务器提供的功能。请参阅 https://httpd.apache.ac.cn/docs/current/mod/ 以获取可用模块的完整列表以及配置详细信息。

在 FreeBSD 中，可以使用 www/apache24 端口编译一些模块。在 /usr/ports/www/apache24 中键入 make config 以查看哪些模块可用以及哪些模块默认启用。如果模块未与端口一起编译，则 FreeBSD Ports 集合提供了一种简单的方法来安装许多模块。本节介绍三个最常用的模块。

除了 mod_perl 和 mod_php 之外，还可以使用其他语言来创建动态 Web 内容。这些包括 Django 和 Ruby on Rails。

最重要的配置步骤是确定哪些帐户将被允许访问 FTP 服务器。FreeBSD 系统具有一些系统帐户，这些帐户不应允许 FTP 访问。不允许任何 FTP 访问的用户列表可以在 /etc/ftpusers 中找到。默认情况下，它包含系统帐户。可以添加不应允许访问 FTP 的其他用户。

在某些情况下，可能希望限制某些用户的访问权限，而不会完全阻止他们使用 FTP。这可以通过创建 /etc/ftpchroot 来实现，如 ftpchroot(5) 中所述。此文件列出了受 FTP 访问限制的用户和组。

要启用对服务器的匿名 FTP 访问，请在 FreeBSD 系统上创建一个名为 ftp 的用户。然后，用户将能够使用 ftp 或 anonymous 作为用户名登录到 FTP 服务器。当提示输入密码时，将接受任何输入，但按照惯例，应使用电子邮件地址作为密码。当匿名用户登录时，FTP 服务器将调用 chroot(2)，以将访问权限限制在 ftp 用户的主目录中。

可以创建两个文本文件来指定要显示给 FTP 客户端的欢迎消息。在用户到达登录提示符之前，将显示 /etc/ftpwelcome 的内容。登录成功后，将显示 /etc/ftpmotd 的内容。请注意，此文件的路径相对于登录环境，因此对于匿名用户，将显示 ~ftp/etc/ftpmotd 的内容。

FTP 服务器配置完成后，在 /etc/rc.conf 中设置相应的变量，以便在系统启动时启动该服务。

立即启动服务

通过输入以下命令测试与 FTP 服务器的连接：

ftpd 守护进程使用 syslog(3) 记录消息。默认情况下，系统日志守护进程会将与 FTP 相关的消息写入 /var/log/xferlog。可以通过修改 /etc/syslog.conf 中的以下行来更改 FTP 日志的位置。

Samba 在 /usr/local/etc/smb4.conf 中进行配置。在使用 Samba 之前必须创建此文件。

这是一个简单的 smb4.conf 示例，用于与工作组中的 Windows® 客户端共享目录和打印机。对于涉及 LDAP 或 Active Directory 的更复杂的设置，最好使用 samba-tool(8) 创建初始的 smb4.conf。

要在启动时启用 Samba，请将以下行添加到 /etc/rc.conf 中

立即启动 Samba

Samba 由三个独立的守护进程组成。samba_enable 将启动 nmbd 和 smbd 守护进程。如果还需要 winbind 名称解析，请设置

可以通过输入以下命令随时停止 Samba：

Samba 是一款复杂的软件套件，其功能允许与 Microsoft® Windows® 网络广泛集成。有关此处描述的基本配置之外的功能的更多信息，请参阅 https://www.samba.org。

在 FreeBSD 上，可以使用内置的 ntpd 来同步系统的时钟。ntpd 使用 rc.conf(5) 变量和 /etc/ntp.conf 进行配置，如下节所述。

ntpd 使用 UDP 数据包与其网络对等方通信。您机器与其 NTP 对等方之间的任何防火墙都必须配置为允许在端口 123 上进出 UDP 数据包。

ntpd不需要永久连接到Internet即可正常工作。但是，如果配置了PPP连接以按需拨出，则应防止NTP流量触发拨出或保持连接活动。这可以通过/etc/ppp/ppp.conf中的filter指令进行配置。例如

有关更多详细信息，请参阅ppp(8)中的PACKET FILTERING部分以及/usr/share/examples/ppp/中的示例。

要配置iSCSI目标，请创建/etc/ctl.conf配置文件，在/etc/rc.conf中添加一行以确保ctld(8)守护进程在启动时自动启动，然后启动守护进程。

以下是一个简单的/etc/ctl.conf配置文件示例。有关此文件可用选项的完整说明，请参阅ctl.conf(5)。

第一个条目定义了pg0门户组。门户组定义了ctld(8)守护进程将在其上侦听的网络地址。discovery-auth-group no-authentication条目表示允许任何发起器在没有身份验证的情况下执行iSCSI目标发现。第三行和第四行配置ctld(8)在默认端口3260上的所有IPv4（listen 0.0.0.0）和IPv6（listen [::]）地址上侦听。

无需定义门户组，因为有一个名为default的内置门户组。在这种情况下，default和pg0之间的区别在于，使用default时，始终拒绝目标发现，而使用pg0时，始终允许目标发现。

第二个条目定义了一个目标。目标有两个可能的含义：一台提供iSCSI服务的机器或一组命名的LUN。此示例使用后一种含义，其中iqn.2012-06.com.example:target0是目标名称。此目标名称适用于测试目的。对于实际使用，请将com.example更改为真实的域名，反转。2012-06表示获取该域名控制权的年份和月份，target0可以是任何值。可以在此配置文件中定义任意数量的目标。

auth-group no-authentication行允许所有发起器连接到指定的目标，并且portal-group pg0使目标可以通过pg0门户组访问。

下一节定义了LUN。对于发起器，每个LUN将显示为一个单独的磁盘设备。可以为每个目标定义多个LUN。每个LUN都由一个数字标识，其中LUN 0是强制性的。path /data/target0-0行定义了文件或zvol支持LUN的完整路径。该路径必须在启动ctld(8)之前存在。第二行是可选的，并指定LUN的大小。

接下来，要确保在启动时启动ctld(8)守护进程，请将此行添加到/etc/rc.conf中

要立即启动ctld(8)，请运行以下命令

当ctld(8)守护进程启动时，它会读取/etc/ctl.conf。如果在守护进程启动后编辑了此文件，请使用此命令使更改立即生效

iSCSI发起器要求iscsid(8)守护进程正在运行。此守护进程不使用配置文件。要使其在启动时自动启动，请将此行添加到/etc/rc.conf中

要立即启动iscsid(8)，请运行以下命令

可以使用或不使用/etc/iscsi.conf配置文件连接到目标。本节演示了两种类型的连接。